Directiva de firma de controladores
Nota:
A partir de Windows 10, versión 1607, Windows no cargará ningún nuevo controlador en modo kernel que no esté firmado por el Portal de desarrollo. Para que el controlador se firme, primero regístrese en el programa centro de desarrollo de hardware de Windows. Tenga en cuenta que se requiere un certificado de firma de código EV para establecer una cuenta de panel.
Hay muchas maneras diferentes de enviar controladores al portal. En el caso de los controladores de producción, debe enviar registros de prueba de HLK/HCK, como se describe a continuación. Para realizar pruebas en sistemas solo de cliente Windows 10, puede enviar los controladores para la firma de atestación, lo que no requiere pruebas HLK. O bien, puede enviar el controlador para la firma de prueba, tal y como se describe en la página Crear un nuevo envío de hardware .
Excepciones
Los controladores firmados con firma cruzada siguen estando permitidos si se cumple alguna de las siguientes condiciones:
- El equipo se actualizó de una versión anterior de Windows a Windows 10, versión 1607.
- El arranque seguro está desactivado en el BIOS.
- Los controladores se han firmado con un certificado de entidad final emitido antes del 29 de julio de 2015 que se encadena a una CA firmada cruzada compatible.
Para evitar que los sistemas no arranquen correctamente, los controladores de arranque no se bloquearán, pero el Asistente de compatibilidad del programa los quitará.
Firma de un controlador para las versiones de cliente de Windows
Para firmar un controlador para Windows 10, siga estos pasos:
- Para cada versión de Windows 10 en la que quiera certificar, descargue windows HLK (Hardware Lab Kit) para esa versión y ejecute un pase de certificado completo en el cliente para esa versión. Obtendrá un registro por versión.
- Si tiene varios registros, comúltelos en un único registro con el HLK más reciente.
- Envíe el controlador y los resultados de pruebas de HLK combinados al portal del Panel del Centro para desarrolladores de hardware de Windows.
Para obtener detalles específicos de la versión, revise la directiva WHCP (Programa de compatibilidad de hardware de Windows) para las versiones de Windows a las que desea dirigirse.
Para firmar un controlador para Windows 7, Windows 8 o Windows 8.1, use el HCK adecuado (Kit de certificación de hardware). Para obtener más información, consulte la Guía del usuario del Kit de certificación de hardware de Windows.
Firma de un controlador para versiones anteriores de Windows
Antes de Windows 10, versión 1607, los siguientes tipos de controladores requieren un certificado Authenticode usado junto con el certificado cruzado de Microsoft para la firma cruzada:
- Controladores de dispositivos en modo kernel
- Controladores de dispositivos en modo de usuario
- Controladores que transmiten contenido protegido. Esto incluye controladores de audio que usan audio en modo de usuario protegido (MSC) y controladores de audio protegidos (PAP) y controladores de dispositivos de vídeo que controlan comandos protegidos de protección de salida de ruta de acceso de vídeo (PVP-OPM). Para obtener más información, vea Firma de código para componentes multimedia protegidos.
Requisitos de firma por versión
En la tabla siguiente se muestran las directivas de firma para las versiones del sistema operativo cliente.
Tenga en cuenta que el arranque seguro no se aplica a Windows Vista y Windows 7.
| Se aplica a: | Windows Vista, Windows 7; Windows 8+ con arranque seguro desactivado | Windows 8, Windows 8.1, Windows 10, versiones 1507, 1511 con arranque seguro activado | Windows 10, versiones 1607, 1703, 1709 con arranque seguro en | Windows 10, versión 1803+ con arranque seguro |
|---|---|---|---|---|
| Arquitecturas: | Solo 64 bits, no se requiere ninguna firma para 32 bits | 64 bits, 32 bits | 64 bits, 32 bits | 64 bits, 32 bits |
| Firma necesaria: | Archivo incrustado o de catálogo | Archivo incrustado o de catálogo | Archivo incrustado o de catálogo | Archivo incrustado o de catálogo |
| Algoritmo de firma: | SHA2 | SHA2 | SHA2 | SHA2 |
| Certificado: | Raíces estándar de confianza por integridad de código | Raíces estándar de confianza por integridad de código | Microsoft Root Authority 2010, Microsoft Root Certificate Authority, Microsoft Root Authority | Microsoft Root Authority 2010, Microsoft Root Certificate Authority, Microsoft Root Authority |
Además de la firma de código de controlador, también debe cumplir los requisitos de firma de instalación de dispositivos PnP para instalar un controlador. Para obtener más información, consulta requisitos de firma de instalación de dispositivos de Plug and Play (PnP).
Para obtener información sobre cómo firmar un controlador ELAM, consulta Antimalware de inicio temprano.