windows - 驱动程序/代码签名

Question

老实说，我自己也不知道把它放在哪里，但我把它放在这里，因为签名过程需要 VS 的 signtool。关于签名和数字证书，我在这里有点困惑。

如果我错了，请纠正我。

1）有两种类型的签名：代码签名和驱动程序签名。驱动程序必须做后者，而最终用户软件只需要做代码签名。

2) 驱动程序签名需要来自 VeriSign、GlobalSign 等来源的数字证书。而对于代码签名，我们可以使用自己生成的公钥生成自己的证书。

我理解正确吗？

Answer 1

有两种类型的签名：代码签名和驱动程序签名。驱动程序必须做后者，而最终用户软件只需要做代码签名。

两种类型是：代码签名和 EV 代码签名。驱动程序需要稍后加上额外的验证和批准，但仅适用于 Windows 10 驱动程序。

驱动程序签名需要来自 VeriSign、GlobalSign 等来源的数字证书。而对于代码签名，我们可以使用自己生成的公钥生成自己的证书。

EV 签名（用于驱动程序）来自同一家公司，但是它们包含一个硬件令牌，每次签名都需要它，

适用于 Windows 10 的驱动程序需要以下内容：

1. 一种EV（扩展验证）代码签名，它需要硬件令牌，并且比常规代码签名证书的成本更高。

2. 向 Microsoft 提交由他们签名的反代码。为此，签名者（必须向 Microsoft 硬件程序注册）。该要求自 2016 年 1 月起生效。

有一个关于这个过程的优秀教程。

Answer 2

前段时间，我学习了使用内核模式代码签名演练进行驱动程序签名 http://msdn.microsoft.com/en-us/library/windows/hardware/gg487328.aspx（可作为 doc 文件下载）。我从未听说过内核模式驱动程序的代码签名。对于驱动程序，有两种签名类型：测试签名和发布签名。测试签名用于开发过程，Win7和Vista 64位只允许在特殊模式下测试签名驱动程序。Release-sign 用于产品发布，需要购买数字证书。发布签名的驱动程序可以不受限制地安装在任何 Windows 版本中。

内核模式代码签名演练包含内核模式驱动程序的测试和发布签名的分步说明。