Persyaratan penandatanganan kode driver

Artikel
02/16/2024

Driver Anda harus ditandatangani dengan sertifikat sebelum Anda mengirimkannya ke dasbor perangkat keras. Organisasi Anda dapat mengaitkan sejumlah sertifikat dengan akun dasbornya, dan masing-masing pengiriman Anda harus ditandatangani dengan salah satu sertifikat tersebut. Tidak ada batasan jumlah sertifikat (validasi diperpanjang (EV) dan Standar) yang terkait dengan organisasi Anda.

Artikel ini menyediakan informasi umum tentang jenis penandatanganan kode yang tersedia untuk driver Anda, serta persyaratan terkait untuk driver tersebut.

Untuk informasi selengkapnya tentang persyaratan penandatanganan driver, lihat halaman berikut:

Tempat mendapatkan sertifikat penandatanganan kode

Sertifikat penandatanganan kode dapat dibeli dari salah satu otoritas sertifikat berikut:

Driver yang ditandatangani sertifikat EV

Akun dasbor Pusat Dev Perangkat Keras Anda harus memiliki setidaknya satu sertifikat EV yang terkait dengannya untuk mengirimkan biner untuk penandatanganan pengesahan atau untuk mengirimkan biner untuk sertifikasi HLK. Aturan berikut ini akan berlaku:

Sertifikat EV terdaftar Anda harus valid pada saat pengiriman.
Meskipun Microsoft sangat menyarankan agar Anda menandatangani pengiriman individual dengan sertifikat EV, Anda dapat menandatangani pengiriman dengan sertifikat penandatanganan Authenticode yang juga terdaftar ke akun Pusat Mitra Anda.
Semua sertifikat harus SHA2 dan ditandatangani dengan sakelar /fd sha256 baris perintah SignTool.

Jika Anda sudah memiliki sertifikat EV yang disetujui dari otoritas sertifikat, Anda dapat menggunakannya untuk membuat akun Pusat Mitra. Jika Anda tidak memiliki sertifikat EV, pilih satu otoritas sertifikat dan ikuti petunjuk mereka untuk pembelian.

Setelah otoritas sertifikat memverifikasi informasi kontak Anda dan pembelian sertifikat Anda disetujui, ikuti petunjuknya untuk mengambil sertifikat.

Driver yang diuji HLK dan ditandatangani dasbor

Driver bertanda tangan dasbor yang telah lulus tes HLK akan berfungsi pada Windows Vista melalui Windows 10, termasuk edisi Windows Server. Pengujian HLK adalah metode yang direkomendasikan untuk penandatanganan driver, karena akan menandatangani driver untuk semua versi OS. Selain itu, driver yang diuji HLK menunjukkan bahwa produsen telah menguji perangkat keras mereka secara ketat untuk memenuhi semua persyaratan Microsoft sehubungan dengan keandalan, keamanan, efisiensi daya, kemampuan servis, dan performa, sehingga memberikan pengalaman Windows yang hebat. Ini termasuk kepatuhan terhadap standar industri dan kepatuhan dengan spesifikasi Microsoft untuk fitur khusus teknologi, membantu memastikan penginstalan, penyebaran, konektivitas, dan interoperabilitas yang benar. Untuk mempelajari cara membuat driver yang diuji HLK untuk pengiriman dasbor Anda, lihat Memulai Windows HLK.

Driver yang ditandatangani pengesahan Windows 10 untuk skenario pengujian

Penginstalan perangkat Windows menggunakan tanda tangan digital untuk memverifikasi integritas paket driver dan identitas penerbit perangkat lunak yang menyediakan paket driver.

Hanya untuk tujuan pengujian, Anda dapat mengirimkan driver untuk penandatanganan pengesahan, yang tidak memerlukan pengujian HLK.

Penandatanganan pengesahan memiliki batasan dan persyaratan berikut:

Driver yang ditandatangani pengesahan tidak dapat diterbitkan ke Windows Update untuk audiens ritel. Untuk menerbitkan driver ke Windows Update untuk audiens ritel, Anda harus mengirimkan driver Anda melalui Program Kompatibilitas Perangkat Keras Windows (WHCP). Menerbitkan driver yang ditandatangani pengesahan ke Windows Update untuk tujuan pengujian didukung dengan memilih opsi CoDev atau Uji Kunci Registri / Surface SSRK .
Penandatanganan pengesahan hanya berfungsi pada Windows 10 Desktop dan versi Windows yang lebih baru. Driver yang ditandatangani pengesahan tidak akan berfungsi untuk versi Windows lainnya, seperti Windows Server 2016, Windows 8, atau Windows 7.
Penandatanganan pengesahan mendukung mode kernel Windows 10 Desktop dan driver mode pengguna. Meskipun driver mode pengguna tidak perlu ditandatangani oleh Microsoft untuk Windows 10, proses pengesahan yang sama dapat digunakan untuk driver mode pengguna dan kernel. Untuk driver yang perlu berjalan pada versi Windows sebelumnya, Anda harus mengirimkan log pengujian HLK/HCK untuk sertifikasi Windows.
Penandatanganan pengesahan tidak akan mengembalikan Tingkat PE yang tepat untuk biner ELAM atau Windows Hello PE. Ini harus diuji dan dikirimkan sebagai paket .hlkx untuk menerima atribut tanda tangan tambahan.
Penandatanganan pengesahan memerlukan penggunaan Sertifikat validasi diperpanjang (EV) untuk mengirimkan driver ke Pusat Mitra (Dasbor Pusat Dev Perangkat Keras).
Penandatanganan pengesahan mengharuskan nama folder driver tidak berisi karakter khusus, tidak ada jalur berbagi file UNC, dan panjangnya kurang dari 40 karakter.
Ketika driver menerima penandatanganan pengesahan, itu bukan Bersertifikat Windows. Tanda tangan pengesahan dari Microsoft menunjukkan bahwa driver dapat dipercaya oleh Windows, tetapi karena driver belum diuji di HLK Studio, tidak ada jaminan yang dibuat sekeliling kompatibilitas, fungsionalitas, dan sebagainya. Driver yang menerima penandatanganan pengesahan tidak dapat diterbitkan ke audiens ritel melalui Windows Update. Jika Anda ingin menerbitkan driver Anda ke audiens ritel, Anda harus mengirimkan driver Anda melalui Program Kompatibilitas Perangkat Keras Windows (WHCP).
DUA (Driver Update Acceptable) tidak mendukung driver yang ditandatangani menggunakan pengesahan.
Tingkat PE dan biner berikut dapat diproses melalui Pengesahan:
- PeTrust
- DrmLevel
- HAL
- .exe
- .Cab
- .dll
- .ocx
- .Msi
- .xpi
- .xap

Untuk informasi tentang cara membuat driver yang ditandatangani pengesahan untuk driver Windows 10+, lihat Pengandar Windows 10+ tanda pengesahan.

Pengandar bertanda tangan Windows Server

Windows Server 2016 dan yang lebih besar tidak akan menerima pengiriman penandatanganan pengandar yang diuji dan filter.
Dasbor hanya akan menandatangani perangkat dan driver filter yang telah berhasil lulus tes HLK.
Windows Server 2016 dan yang lebih besar hanya akan memuat driver bertanda tangan dasbor yang telah berhasil lulus tes HLK.

Windows Defender Application Control

Perusahaan dapat menerapkan kebijakan untuk mengubah persyaratan penandatanganan driver menggunakan edisi Windows 10 Enterprise. Kontrol Aplikasi Pertahanan Windows (WDAC) menyediakan kebijakan integritas kode yang ditentukan perusahaan, yang mungkin dikonfigurasi untuk memerlukan setidaknya driver yang ditandatangani pengesahan. Untuk informasi selengkapnya tentang WDAC, lihat Merencanakan dan memulai proses penyebaran Kontrol Aplikasi Pertahanan Windows.

Persyaratan penandatanganan driver Windows

Tabel di bawah ini merangkum persyaratan penandatanganan driver untuk Windows:

Versi	Dasbor Pengesahan Ditandatangani	Dasbor Lulus Uji HLK Ditandatangani	Ditandatangani silang menggunakan sertifikat SHA-1 yang dikeluarkan sebelum 29 Juli 2015
Windows Vista	Tidak	Ya	Ya
Windows 7	Tidak	Ya	Ya
Windows 8 / 8.1	Tidak	Ya	Ya
Windows 10	Ya	Ya	Tidak (pada Windows 10 1809)
Windows 10 - DG Diaktifkan	*Dependen Konfigurasi	*Dependen Konfigurasi	*Dependen Konfigurasi
Windows Server 2008 R2	Tidak	Ya	Ya
Windows Server 2012 R2	Tidak	Ya	Ya
Windows Server >= 2016	Tidak	Ya	Ya
Windows Server >= 2016 – DG Diaktifkan	*Dependen Konfigurasi	*Dependen Konfigurasi	*Dependen Konfigurasi
Windows IoT Enterprise	Ya	Ya	Ya
Windows IoT Enterprise- DG Diaktifkan	*Dependen Konfigurasi	*Dependen Konfigurasi	*Dependen Konfigurasi
Windows IoT Core(1)	Ya (Tidak Diperlukan)	Ya (Tidak Diperlukan)	Ya (Penandatanganan silang juga akan berfungsi untuk sertifikat yang dikeluarkan setelah 29 Juli 2015)

*Dependen konfigurasi – Dengan edisi Windows 10 Enterprise, organisasi dapat menggunakan Windows Defender Application Control (WDAC) untuk menentukan persyaratan penandatanganan kustom. Untuk informasi selengkapnya tentang WDAC, lihat Merencanakan dan memulai proses penyebaran Kontrol Aplikasi Pertahanan Windows.

(1) Penandatanganan driver diperlukan untuk produsen yang membangun produk ritel (yaitu untuk tujuan non-pengembangan) dengan IoT Core. Untuk daftar Otoritas Sertifikat (CA) yang disetujui, lihat Sertifikat Silang untuk Penandatanganan Kode Mode Kernel. Jika Boot Aman UEFI diaktifkan, driver harus ditandatangani.

Bagikan melalui