Desuso de certificados de publicador de software, certificados de versión comercial y certificados de prueba comercial

Precaución

La mayoría de los certificados cruzados expiraron en julio de 2021. No puede usar certificados de firma de código que se encadenen con certificados cruzados expirados para crear nuevas firmas digitales del modo kernel para todas las versiones de Windows.

El Programa raíz de confianza de Microsoft ya no admite certificados raíz que tengan funcionalidades de firma en modo kernel.

Para conocer los requisitos de directiva, consulta Requisitos de firma de código en modo kernel de Windows 10.

Los certificados raíz entrecruzados existentes con capacidades de firma de código en modo kernel siguen funcionando hasta la expiración. Todos los certificados de publicador de software, los certificados de versión comercial y los certificados de prueba comercial encadenados a estos certificados raíz también dejarán de ser válidos en la misma fecha.

Para que el controlador se firme, primero regístrese para el programa del Centro de desarrollo de hardware de Windows.

Preguntas más frecuentes

¿Cómo puedo encontrar el calendario de caducidad de los certificados de cruce confiables?

Todos los certificados raíz de confianza firmados cruzados ya han expirado.

¿Existen alternativas a los certificados cruzados para probar controladores?

Los procedimientos siguientes están disponibles. Para todos los métodos, la opción de arranque TESTSIGNING debe estar habilitada.

Para probar los controladores en el arranque, consulte Cómo instalar un controlador firmado por pruebas necesario para la instalación y el arranque de Windows.

Para obtener más información, consulte Introducción a la firma de controladores durante el desarrollo y las pruebas.

¿Cómo se ven afectados los paquetes de controladores firmados existentes?

Siempre que los paquetes de controladores estén con marca de tiempo antes de la fecha de expiración del certificado de firma de hoja, los paquetes continúan funcionando.

¿Hay alguna manera de ejecutar paquetes de controladores de producción sin exponerlos a Microsoft?

No, todos los paquetes de controladores de producción deben enviarse y estar firmados por Microsoft.

¿Cada nueva versión de producción de un paquete de controladores requiere una firma de Microsoft?

Sí, cada vez que se reconstruye un paquete de controladores de nivel de producción, Microsoft debe firmar el paquete.

¿Puedo firmar código que no sea de controlador con certificados existentes emitidos por un tercero?

Sí, estos certificados seguirán funcionando hasta que caduquen. El código firmado mediante estos certificados solo se ejecuta en modo de usuario a menos que tenga una firma válida de Microsoft.

¿Puedo seguir usando el certificado EV para firmar envíos al Centro de desarrollo de hardware?

Sí, los certificados de validación extendida (EV) siguen funcionando hasta que expiren. Si firma un controlador en modo kernel con un certificado EV después de que expire el certificado cruzado emisor, el controlador resultante no carga, ejecuta ni instala.

¿Cómo sé si las expiraciones programadas pueden afectar a mi certificado de firma?

Si la cadena entre certificados termina en Microsoft Code Verification Root, el certificado de firma se ve afectado.

Para ver la cadena de certificados cruzados, ejecute el signtool verify /v /kp <mydriver.sys> comando . Por ejemplo:

Captura de pantalla que muestra la salida del comando de la herramienta de firma que identifica una cadena entre certificados.

¿Cómo puedo automatizar la firma de test de Microsoft para integrarla con los procesos de compilación de mi organización?

Los procesos de compilación pueden llamar a la API del Centro de desarrollo de hardware.

Para obtener ejemplos que muestran el uso, consulta el repositorio de Surface Dev Center Manager (SDCM) en GitHub.

¿Es Microsoft el único proveedor de firmas de código de kernel en producción?

Sí.

¿Cómo puedo hacer que mis controladores se ejecuten en Windows XP cuando el Centro de desarrollo de hardware no proporciona firma de controladores?

Los controladores todavía se pueden firmar con un certificado de firma de código emitido por terceros. Sin embargo, el certificado que firmó el controlador debe importarse al almacén de certificados de Local Computer Trusted Publishers del equipo de destino. Para obtener más información, consulte Almacén de certificados de editores de confianza.

¿Cómo difieren las opciones de firma de producción en la versión de Windows?

Advertencia

La firma cruzada ya no se acepta para la firma de controladores. El uso de certificados cruzados para firmar controladores en modo kernel es una infracción de la directiva del Programa raíz de confianza (TRP) de Microsoft. El TRP ya no admite certificados raíz que tengan funcionalidades de firma en modo kernel. La entidad de certificación revocará los certificados que infrinjan las directivas de TRP de Microsoft.

Si el controlador se ejecuta en Windows 7, 8 o 8.1, debe estar firmado a través del Programa de compatibilidad de hardware con Windows. Para empezar, consulte Creación de un nuevo envío de hardware.

A partir de Windows 10, utiliza ya sea el Programa de Compatibilidad de Hardware de Windows (WHCP) o la firma de certificación.

Si tiene problemas para firmar el driver con WHCP, notifique los detalles a través de una de las siguientes opciones:

  • Last updated on