64位Windows Vista 和Windows 7系统下驱动签名指南

在Windows Vista 和Windows 7 64位系统下安装的内核驱动程序都需要经过证书数字签名，否则无法安装。本文介绍如何给驱动文件进行签名。

签名介绍

驱动文件进行签名首先需要向CA证书机构（例如VerSign、GlobalSign）购买签名证书，从微软网站下载交叉证书，然后使用签名工具SignTool进行签名。

驱动签名证书

从CA证书版本机构购买的驱动签名证书，通常包含一个双证书文件myCert.spc（包含一个CA证书和一个签名证书）以及一个私钥文件myCert.pvk。

然后将得到的证书文件转换为签名工具可以使用的pfx(个人信息交换)格式，可以借助工具Pvk2Pfx：

Pvk2Pfx -pvk myCert.pvk -pi 123456 -spc myCert.spc -pfx myCert.pfx -po 123456

-pvk 指定密钥文件

-spc 指定双证书文件

-pi 保护输入密钥的密码

-pfx 输出的pfx证书文件

-po 保护输出密钥的密码

执行成功后会生成myCert.pfx文件

交叉签名证书

可以从Microsoft网站可以下载相应的交叉证书，交叉证书和驱动签名证书的CA必须是相同的：

http://www.microsoft.com/whdc/driver/install/drvsign/crosscert.mspx；

此处以VerSign签名证书为例下载后的文件为MSCV-VSClass3.cer 。

签名工具

Signtool.exe，签名会使用到该工具的sign命令，以下是该命令常用的参数：

/v 执行成功、执行失败或产生警告消息时生成详细输出。

/a 自动选择最佳的签名证书。

/c 指定用于对证书进行签名的证书模板名（一个 Microsoft 扩展），交叉签名证书。

/f 指定签名证书文件（pfx格式）。

/p 指定签名证书的私钥保护密码。

/t 指定时间戳服务器的 URL。

详细命令和参数参考：http://msdn.microsoft.com/zh-cn/library/8s9b9yaz(VS.80).aspx

驱动文件签名

SignTool sign /v /ac MSCV-VSClass3.cer /f myCert.pfx /p 123456 /t http://timestamp.verisign.com/scripts/timestamp.dll mydrv.sys

The following certificate was selected:

Issued to: My Company Co.,Ltd

Issued by: VeriSign Class 3 Code Signing 2004 CA

Expires: Sat Sep 24 07:59:59 2011

SHA1 hash: 4C59A129D4A09F2FD53B75B79D3C7BE91D832EE7

Cross certificate chain (using machine store):

Issued to: Microsoft Code Verification Root

Issued by: Microsoft Code Verification Root

Expires: Sat Nov 01 21:54:03 2025

SHA1 hash: 8FBE4D070EF8AB1BCCAF2A9D5CCAE7282A2C66B3

Issued to: Class 3 Public Primary Certification Authority

Issued by: Microsoft Code Verification Root

Expires: Tue May 24 01:11:29 2016

SHA1 hash: 58455389CF1D0CD6A08E3CE216F65ADFF7A86408

Issued to: VeriSign Class 3 Code Signing 2004 CA

Issued by: Class 3 Public Primary Certification Authority

Expires: Wed Jul 16 07:59:59 2014

SHA1 hash: 197A4AEBDB25F0170079BB8C73CB2D655E0018A4

Issued to: My Company Co.,Ltd

Issued by: VeriSign Class 3 Code Signing 2004 CA

Expires: Sat Sep 24 07:59:59 2011

SHA1 hash: 4C59A129D4A09F2FD53B75B79D3C7BE91D832EE7

Done Adding Additional Store

Successfully signed and timestamped: mydrv.sys

Number of files successfully Signed: 1

Number of warnings: 0

Number of errors: 0