化運(yùn)維服務(wù).jpg)
專場(chǎng).jpg)
Microsoft Windows 64位內(nèi)核驅(qū)動(dòng)簽名(Sectigo)
更新時(shí)間: 2023-09-28 14:59:03
如果您使用的是SHA-2證書或信任鏈中包含SHA-2證書，并且您正用它來簽署內(nèi)核模塊，那么您應(yīng)該需要安裝 KB3033929，它是Windows安全更新系統(tǒng)發(fā)布的針對(duì)Windows 7更新的補(bǔ)丁。在沒有更新的Windows 7版本上，內(nèi)核會(huì)拒絕使用SHA-2的證書的簽名，因此不能使用它們來加載內(nèi)核模塊。
那么如何在Microsoft Windows 64位系統(tǒng)中做內(nèi)核驅(qū)動(dòng)簽名呢？本文以Sectigo證書為例講解。
為了成功安裝驅(qū)動(dòng)程序，必須對(duì)項(xiàng)目中的以下文件類型進(jìn)行簽名：
.sys
.cat
前提條件：
1.下載Sectigo交叉簽名的CA。
[KMCS] COMODO RSA Certification Authority或KMCS] AddTrust External CA Root（用于與內(nèi)核模式驅(qū)動(dòng)程序簽名一起使用）
2.打開Windows命令提示符（cmd），然后運(yùn)行signtool.exe：
簽名：
使用存儲(chǔ)在受密碼保護(hù)的PFX文件中的證書對(duì)文件進(jìn)行簽名
內(nèi)核簽名有以下兩種情況：
無需時(shí)間戳：
> signtool sign /v /ac 'CROSS_SIGNED_SECTIGO_CA_HERE' /f YOUR_PFX_HERE /p Password /n 'Company Name' 'PATH_TO_FILE_TO_SIGN'
使用時(shí)間戳：
> signtool sign /v /ac 'CROSS_SIGNED_SECTIGO_CA_HERE' /f YOUR_PFX_HERE /p Password /n 'Company Name' /tr http://timestamp.sectigo.com/rfc3161 'PATH_TO_FILE_TO_SIGN'
此命令將為程序安裝一個(gè)包括交叉簽名證書的簽名，其中，該證書的時(shí)間戳符合RFC 3161。
注意： 公司證書名稱應(yīng)與頒發(fā)給您自己的證書領(lǐng)域的證書完全一致。
提示：
1. 您可以使用以下命令來驗(yàn)證驅(qū)動(dòng)程序文件的簽名：
> signtool verify /v /kp 'PATH_TO_FILE_TO_SIGN'
2. 您應(yīng)使用以下命令來驗(yàn)證由指定目錄文件簽名的指定驅(qū)動(dòng)程序：
> signtool verify /v /kp /c 'C:\\CatFileName.cat' 'PATH_TO_FILE_TO_SIGN'
-v用于顯示詳細(xì)輸出，-kp根據(jù)內(nèi)核模式驅(qū)動(dòng)程序簽名標(biāo)準(zhǔn)對(duì)其進(jìn)行驗(yàn)證。
3.為了減少啟動(dòng)時(shí)間，請(qǐng)對(duì)所有驅(qū)動(dòng)程序和目錄文件進(jìn)行簽名。
原文鏈接：https://support.sectigo.com/Com_KnowledgeDetailPage?Id=kA01N000000zFK6
相關(guān)文檔
