Certifikáty a podpisy ovladačů ve Windows: kompletní průvodce

V systému Windows se ovladače a jejich digitální podpisy staly klíčovou součástí zabezpečení systému. Kromě pouhého umožnění fungování tiskárny, grafické karty nebo čipové karty je dnes důležité, aby systém dokázal ověřit, zda je software originální, legitimní a pochází od důvěryhodného dodavatele.

Pokud jste se někdy při instalaci ovladače setkali s hláškami typu „Windows nemůže ověřit vydavatele tohoto ovladače“ nebo s chybami souvisejícími s certifikátem, víte, jak frustrující to může být. V tomto článku si v klidu rozebereme, jak funguje podepisování ovladačů ve Windows (v režimu jádra i v uživatelském režimu), jaké požadavky se mění v závislosti na verzi Windows, jak podepisovat vlastní ovladače a jaké máte možnosti pro bezpečné zakázání ověřování podpisu, když nemáte jinou možnost.

Co je podepisování ovladačů ve Windows a proč je tak důležité?

Podepisování ovladačů je jednoduše proces přidružení digitálního podpisu (na základě certifikátů) k balíčku ovladačů. Tento podpis se obvykle aplikuje na soubor katalogu balíčku (.CAT) nebo přímo na binární soubory ovladačů (.SYS, .DLL atd.) pomocí technik vloženého podpisu.

Během instalace zařízení používá systém Windows tyto digitální podpisy ke dvěma klíčovým účelům : ověření, zda balíček nebyl od svého podepsání upraven (integrita), a potvrzení identity dodavatele softwaru (vydavatele ovladače). Pokud něco nesouhlasí, zobrazí se varování nebo v přísnějších případech je instalace či načtení ovladače zablokováno.

V 64bitových verzích systému Windows Vista a novějších zavedla společnost Microsoft poměrně jasnou politiku: všechny ovladače v režimu jádra musí být pro načtení podepsány, až na několik málo výjimek. To řadí ovladače do stejné kategorie zabezpečení jako zbytek systémových binárních souborů, protože zranitelnost na úrovni jádra může počítač zcela ohrozit.

Pravidla se postupem času zpřísňovala . Počínaje systémem Windows 10 verze 1507 musí všechny ovladače podepsané prostřednictvím Centra vývoje hardwaru společnosti Microsoft používat algoritmus SHA-2. Starší algoritmus SHA-1 byl z důvodů kryptografické bezpečnosti zastaralý a společnost Microsoft jej postupně v celém ekosystému ruší.

Je zde důležitý detail: binární soubory ovladačů v režimu jádra podepsané duálními certifikáty (SHA-1 + SHA-2) vydanými subjekty, které nepatří společnosti Microsoft, mohou mít problémy na systémech starších než Windows 10 nebo dokonce způsobovat pády systému ve Windows 10 a novějších. Aby se tomu zabránilo, společnost Microsoft vydala aktualizaci KB3081436, která obsahuje správné hashe souborů a opravuje chování při načítání v těchto případech.

Přehled podepisování ovladačů ve Windows

Abychom plně pochopili, jak to všechno funguje, je užitečné tyto koncepty oddělit. Na jedné straně je tu podpis kódu ovladače (režim jádra nebo uživatelský režim) a na druhé straně požadavky na instalační podpis pro zařízení Plug and Play (PnP). Ačkoli spolu souvisejí, nejsou úplně stejné: můžete mít ovladač, který je správně podepsaný na binární úrovni, ale nesplňuje nějaké další instalační požadavky.

Společnost Microsoft poskytuje specifickou dokumentaci k digitálním podpisům pro moduly jádra v systému Windows Vista a novějších systémech , která podrobně popisuje, které certifikáty jsou platné, jak konstruovat řetězce důvěryhodnosti a které hashovací algoritmy jsou podporovány (aktuálně SHA-2). Pro ovladače, které přenášejí chráněný obsah (zvuk a video s DRM, PUMA, PAP, PVP-OPM atd.), existují také speciální požadavky na podepisování kódu zaměřené na ochranu multimediálního obsahu.

Pokud jde o publikační pracovní postup, existuje několik způsobů, jak odeslat ovladače na portál Microsoft Hardware Portal . U produkčních ovladačů je standardním přístupem spuštění testů pomocí HLK nebo staršího HCK a nahrání binárního souboru i testovacích protokolů. Pro scénáře pouze pro klienty ve Windows 10 lze použít atestační podepisování, což snižuje potřebu automatizovaného testování a zároveň zachovává ověřování a podepisování společností Microsoft.

Možnost testovacího podepisování , určená pro interní vývoj a testování, zůstává také k dispozici. Tato možnost používá neveřejné certifikáty nebo certifikáty vydané soukromou infrastrukturou veřejných klíčů (PKI). Tyto ovladače se načtou pouze v případě, že je systém nakonfigurován v testovacím režimu nebo se specifickými zásadami, které testovací ovladače povolují.

Výjimky a křížově podepsané řadiče

V dřívějších verzích Windows 10 jsou za určitých podmínek stále povoleny tzv. „ křížově podepsané ovladače“. Jedná se o ovladače podepsané dodavatelem certifikátem Authenticode, který je zřetězen s mezilehlým certifikátem podepsaným společností Microsoft, čímž se obchází celý proces hardwarového portálu.

Společnost Microsoft udržuje několik výjimek, aby zabránila tomu, aby se již nasazené systémy staly nespustitelnými. Ovladače s křížovým podpisem jsou povoleny v následujících situacích: počítač byl upgradován z předchozí verze systému Windows na Windows 10 verze 1607 ; v systému BIOS/UEFI je zakázáno zabezpečené spouštění ; nebo je ovladač podepsán certifikátem vydaným před 29. červencem 2015, který se propojuje s podporovanou certifikační autoritou s křížovým podpisem.

Aby se snížilo riziko znefunkčnění systému, nejsou bootovací ovladače blokovány, i když nesplňují nové zásady, ale Asistent kompatibility programů je může označit a navrhnout jejich odstranění nebo nahrazení. Cílem je zabránit narušení bootovací sekvence, ale postupně odstraňovat nekompatibilní ovladače.

Požadavky na podepisování verzí systému Windows

Požadavky na podepisování se liší v závislosti na konkrétní verzi operačního systému a na tom, zda počítač používá technologii Secure Boot. Obecně lze tabulku zásad podepisování pro klientské edice shrnout následovně:

• Windows Vista a Windows 7a také Windows 8+ s vypnutým zabezpečeným spouštěnímU 64bitových certifikátů je podpis vyžadován, zatímco u 32bitových certifikátů podpis povinný nebyl. Podpis může být vložen do souboru nebo do přidruženého katalogu a požadovaný algoritmus je SHA-2. Řetězec certifikátů musí pro zachování integrity kódu končit ve standardních důvěryhodných kořenových certifikátech.
• Windows 8 a 8.1 a Windows 10 verze 1507 a 1511 s povoleným zabezpečeným spouštěním32bitové i 64bitové ovladače vyžadují podepsané ovladače. Vložené nebo katalogizované podepisování je stále povoleno pomocí algoritmu SHA-2 a spoléhá se na standardní kořenové adresáře pro zajištění integrity kódu.
• Windows 10 verze 1607, 1703 a 1709 s funkcí Secure BootPožadavek je zpřísněn a podpisy musí být ukotveny ke konkrétním kořenovým certifikátům společnosti Microsoft (Microsoft Kořen Authority 2010, kořenová certifikační autorita společnosti Microsoft a kořenová certifikační autorita společnosti Microsoft).
• Windows 10 verze 1803 a novější s funkcí Secure Boot: stejné požadavky na podpis, které jsou zakotveny ve výše zmíněných kořenových oprávněních společnosti Microsoft, jsou zachovány pro 32bitové i 64bitové systémy.

Spolu s podepsáním kódu ovladače musí balíček také splňovat požadavky na podepsání pro instalaci zařízení Plug and Play . To znamená, že soubory .INF, katalogy a binární soubory musí být správně propojeny a zohledněny v podpisu, aby je instalační program zařízení (a Správce zařízení ) považoval za platné.

Existují také speciální typy ovladačů, jako například ELAM (Early Launch Anti-Malware) , které se načítají velmi brzy během procesu spouštění, aby chránily systém před nízkoúrovňovým malwarem . Tyto ovladače mají další požadavky na podepisování a certifikaci popsané v příručce Early Launch Anti-Malware Guide.

Podepsání ovladače pro Windows 10, Windows 8.x a Windows 7

Pokud jste vývojář ovladačů nebo pracujete v prostředí, kde jsou distribuovány vlastní ovladače, musíte dodržovat požadavky programu Windows Hardware Compatibility Program (WHCP) a používat příslušné nástroje pro každou verzi: HLK pro Windows 10 a HCK pro starší verze.

V případě Windows 10 by typický pracovní postup vypadal takto: stáhněte si sadu Hardware Lab Kit (HLK) odpovídající každé verzi Windows 10, kterou chcete podporovat, nainstalujte testovací prostředí a spusťte kompletní certifikační průchod na klientovi s danou verzí. Každé spuštění vygeneruje testovací protokol.

Pokud jste ovladač testovali na více verzích, budete mít více protokolů. Obvyklou praxí je sloučit všechny protokoly do jedné zprávy s použitím nejnovější verze HLK. Tato kombinace zjednodušuje odesílání na hardwarový portál a umožňuje, aby jeden podpis pokrýval více verzí systému.

Jakmile budete mít záznamy, odešlete binární soubor ovladače a kombinované výsledky HLK na řídicí panel Centra pro vývojáře hardwaru systému Windows . Tam vyberete požadovaný typ podpisu (například produkční, atestační atd.), nakonfigurujete vlastnosti odeslání a počkáte, až automatizovaný proces společnosti Microsoft vygeneruje podepsané katalogy a vrátí vám certifikovaný balíček.

Podobný přístup se používá pro Windows 7, Windows 8 a Windows 8.1, ale s příslušnou sadou pro certifikaci hardwaru (HCK) pro každou verzi. Společnost Microsoft k této sadě udržuje uživatelskou příručku, která vysvětluje proces testování, ověření a odeslání.

Podepisování ovladačů pro verze systému Windows 10 starší než 1607

Před vydáním systému Windows 10 verze 1607 vyžadovalo mnoho typů ovladačů certifikát Authenticode v kombinaci s křížovým podpisem od společnosti Microsoft. Tato technika, známá jako křížové podepisování, umožňovala výrobcům podepisovat ovladače a systém Windows je přijímat, jako by byly „požehnány“ infrastrukturou společnosti Microsoft.

Mezi ovladače vyžadující tento model podpisu patřily ovladače zařízení v režimu jádra , ovladače uživatelského režimu, které úzce interagují s jádrem, a ovladače používané k přehrávání nebo zpracování chráněného obsahu (zvuk a video chráněné technologií DRM). Mezi ty druhé patřily zvukové ovladače založené na protokolu PUMA nebo PAP a také ovladače videa, které spravují ochranu výstupu (PVP-OPM).

Podepisování kódu pro chráněné multimediální komponenty má svá vlastní pravidla, protože řetězec důvěryhodnosti a rozšíření certifikátů musí zajistit, aby chráněný obsah nebylo možné snadno zachytit nebo manipulovat.

Praktické použití nástroje SignTool k podepisování ovladačů v režimu jádra (Windows 7 a 8)

V praxi je hlavním nástrojem pro podepisování binárních souborů ve Windows SignTool , který je součástí Windows SDK. Pro ovladače v režimu jádra ve Windows 7 a 8 existuje několik možností, které jsou obzvláště užitečné pro podepisování a ověřování.

Mezi nejdůležitější parametry nástroje SignTool patří: /ac pro přidání dalšího certifikátu (například křížového certifikátu Microsoftu) , /f pro označení souboru obsahujícího podpisový certifikát (například .pfx), /p pro heslo daného PFX, /fd pro určení hashovacího algoritmu (například /fd sha256 pro vynucení SHA-256, protože SHA-1 je historicky výchozí).

Parametr `/n`, „Běžný název certifikátu“, je také nezbytný , protože umožňuje vybrat správný certifikát z úložiště certifikátů Windows pomocí jeho Běžného názvu. Pro přidání časových razítek můžete použít `/t` s klasickým serverem Authenticode nebo `/tr` se serverem kompatibilním s RFC 3161, což je nejmodernější a doporučená možnost.

Jedním z možných pracovních postupů by bylo shromáždit binární soubory ovladače v pracovním adresáři nebo dokonce vše zkopírovat do složky bin sady Windows SDK. Poté získat certifikát pro podepisování kódu a v případě potřeby i křížový certifikát společnosti Microsoft (například CrossCert odpovídající certifikační autoritě, která váš certifikát vydala). Umístěte oba do stejného adresáře, ze kterého budete spouštět SignTool.

Jakmile je vše připraveno, může příklad příkazu vypadat nějak takto: `signtool sign /ac CrossCert.crt /f CodeSign.pfx /p password1234 /fd sha256 /tr http://timestamp.globalsign.com/tsa/r6advanced1 filter.sys` . Tím se vygeneruje moderní podpis s SHA-256, zahrne křížový certifikát a přidá se časové razítko RFC 3161, které je nezbytné pro to, aby podpis zůstal platný i po vypršení platnosti certifikátu.

Po podpisu se doporučuje ověřit pomocí příkazu, například `signtool verify -v -kp filter.sys` . Příkaz `-v` zobrazuje podrobné informace, zatímco `-kp` kontroluje podpis podle kritérií ovladače v režimu jádra. Pokud výstup indikuje, že podpis je platný a řetězec důvěryhodnosti končí akceptovaným kořenovým adresářem, je ovladač připraven k nasazení.

Je důležité si uvědomit, že v mnoha případech je podepsán i soubor katalogu (.CAT). Proces se opakuje: soubor .CAT je podepsán, ověřen a jakmile je vše v pořádku, ovladač se normálně nainstaluje do systému.

Podpis pro ověření a vytvoření balíčků CAB

Společnost Microsoft nabízí atestaci jako relativně snadný způsob distribuce ovladačů, zejména na klientských systémech Windows 10. Dodavatel je zodpovědný za zajištění toho, aby ovladač splňoval požadavky, a společnost Microsoft jej pouze ověří a podepíše, čímž se v některých scénářích vyhne kompletní sadě testů HLK.

Pro odeslání ovladače prostřednictvím atestace se obvykle připraví soubor CAB , který obsahuje základní komponenty balíčku. Typický soubor CAB obsahuje samotný binární ovladač (.SYS), soubor INF (.INF), který systém Windows použije během instalace, ladicí symboly (.PDB) pro řešení problémů a někdy i katalogy .CAT, které společnost Microsoft použije jako referenci k ověření struktury (ačkoli poté vygeneruje vlastní katalogy pro finální distribuci).

Vytvoření je jednoduché: shromážděte všechny soubory, které chcete podepsat, do jednoho adresáře, například C:\Echo. Z příkazového řádku s oprávněními správce se podívejte do nápovědy k MakeCab, kde najdete jeho možnosti, a připravte soubor DDF s potřebnými direktivami, v nichž určíte, které soubory chcete komprimovat, jakou archívní sadu CAB chcete generovat a do kterých podsložek je chcete v rámci souboru CAB uspořádat.

V příkladu s řadičem Echo by soubor DDF mohl nastavit výstupní název na Echo.cab, povolit kompresi MSZIP a definovat cílový adresář (DestinationDir=Echo), aby v kořenovém adresáři souboru CAB nebyly žádné volné soubory. Poté jsou uvedeny úplné cesty k souborům Echo.inf a Echo.sys, aby je MakeCab zahrnul.

S připraveným DDF spusťte příkaz jako `MakeCab /f Echo.ddf` . Nástroj zobrazí, kolik souborů zahrnul, dosaženou úroveň komprese a do které složky (obvykle Disk1) umístil výsledný soubor CAB. Jednoduše otevřete soubor Echo.cab pomocí Průzkumníka souborů a ověřte, zda obsahuje vše očekávané.

Podepište CAB certifikátem EV a odešlete jej do Partnerského centra.

Před nahráním balíčku na hardwarový portál společnosti Microsoft je standardní praxí podepsat soubor CAB certifikátem EV (Extended Validation) . Tyto certifikáty, které mají přísnější ověřování autority, poskytují větší důvěryhodnost a jsou často vyžadovány pro určité typy podpisů.

Proces se mírně liší v závislosti na poskytovateli certifikátu EV, ale obecná myšlenka je znovu použít SignTool, tentokrát zaměřený na CAB. Typický příkaz může vypadat: SignTool sign /s MY /n "Název společnosti" /fd sha256 /tr http://sha256timestamp.ws.symantec.com/sha256/timestamp /td sha256 /v C:\Echo\Disk1\Echo.cab , který do úložného pole přidá podpis SHA-256 s časovým razítkem SHA-256.

Po podepsání přejděte do Centra partnerů společnosti Microsoft , konkrétně do hardwarového dashboardu, a přihlaste se pomocí přihlašovacích údajů vaší organizace. Zde vyberte možnost „Odeslat nový hardware“, nahrajte podepsaný soubor CAB a vyplňte vlastnosti odesílání: název produktu, požadovaný typ podpisu, zda chcete zkušební podpis nebo pouze produkční podpis atd.

Je důležité nepovolovat možnosti testovacího podepisování, pokud hledáte produkční ovladač. V sekci požadovaných podpisů vyberete varianty, které chcete do balíčku zahrnout (například podpisy pro různé verze nebo architektury Windows).

Jakmile je formulář vyplněn, klikněte na tlačítko Odeslat a nechte portál zpracovat balíček. Jakmile společnost Microsoft dokončí podepisování ovladače, panel označí, že odeslání bylo zpracováno, a umožní vám stáhnout podepsaný ovladač , obvykle doprovázený katalogy a metadaty potřebnými pro jeho distribuci.

Ověřte, zda je řadič správně podepsán

Po stažení balíčku je čas ověřit, zda je vše v pořádku. Prvním krokem je extrahovat soubory z dodávky do dočasné složky a otevřít okno příkazového řádku s oprávněními správce . Odtud můžete pomocí nástroje SignTool ověřit podpisy použité na binární soubory klíčů.

Základní příkaz by byl `SignTool verify Echo.sys` , který rychle ověří platnost podpisu. Pro důkladnější ověření můžete použít ` SignTool verify /pa /ph /v /d Echo.sys` , kde `/pa` označuje použití politiky Authenticode, `/ph` přidává ověření hash a `/v` generuje podrobný výstup se všemi informacemi o řetězci certifikátů.

Chcete-li zkontrolovat rozšířené klíčové jednotky (EKU) certifikátu použitého k podepisování, můžete použít Průzkumníka Windows: klikněte pravým tlačítkem myši na binární soubor, vyberte Vlastnosti, přejděte na kartu „Digitální podpisy“, vyberte příslušnou položku a klikněte na „Podrobnosti“. V nabídce „Zobrazit certifikát“ a na kartě „Podrobnosti“ můžete zkontrolovat pole „Rozšířené klíčové jednotky“ a ověřit, zda obsahuje příslušná rozšíření pro podepisování kódu nebo ovladačů.

Interní proces některých pracovních postupů podepisování zahrnuje opětovné vložení vlastního podpisu SHA-2 společností Microsoft do binárního souboru a odstranění všech podpisů použitých zákazníkem, pokud nesplňují aktuální zásady. Vygeneruje se také nový soubor katalogu podepsaný společností Microsoft, který nahradí všechny předchozí soubory .CAT odeslané dodavatelem.

Testování a instalace ovladače ve Windows

Jakmile je ovladač podepsán, je nutné ověřit, zda se v cílovém systému správně nainstaluje a funguje. Z administrátorské konzole lze k automatizaci instalace použít nástroje jako devcon . Pokud například balíček obsahuje soubor echo.inf, který definuje kořenový adresář zařízení\ECHO, postačí pouhé spuštění příkazu `devcon install echo.inf root\ECHO` v příslušném adresáři.

Během tohoto procesu, pokud je vše správně podepsáno, by se neměla zobrazovat varování typu „Systém Windows nemůže ověřit vydavatele tohoto ovladače“. Pokud se objeví, znamená to, že něco v řetězci důvěryhodnosti nebo v katalozích je špatně zarovnáno a měli byste zkontrolovat podpisy i kořenové certifikáty nainstalované v systému.

Ve složitějších scénářích je možné vytvářet odeslání s více ovladači . Obvyklý přístup spočívá ve vytvoření samostatných podsložek v rámci struktury souborů, jedné pro každý balíček ovladačů (DriverPackage1, DriverPackage2 atd.), a úpravě souboru DDF tak, aby každá sada souborů .SYS a .INF byla umístěna ve vlastní podsložce v rámci souboru CAB. MakeCab poté vše sestaví do jednoho souboru připraveného k odeslání na portál.

Podpisy ovladačů z pohledu uživatele

Z pohledu koncového uživatele je podepisování ovladačů vnímáno jako vestavěný bezpečnostní filtr ve Windows . Stejně jako u podepsaných aplikací je cílem ujistit uživatele, že software pochází z legitimního zdroje a nebyl pozměněn. V případě ovladačů je však tento požadavek vyšší, protože fungují s velmi vysokou úrovní oprávnění.

Pokud je ovladač řádně podepsán a vydán oficiálními kanály, služba Windows Update nebo samotný operační systém jej distribuuje poměrně transparentně. To uživatelům usnadňuje získávání aktualizovaných a opravených verzí, aniž by museli cokoli ručně vyhledávat, s jistotou, že prošly filtry společnosti Microsoft.

Problém nastává, když potřebujete nainstalovat ovladače, které nejsou digitálně podepsány nebo jejichž podpis již není akceptován aktuálními zásadami (například při pokusu o použití staršího hardwaru na novějších systémech). V těchto situacích systém Windows instalaci blokuje nebo zobrazuje opakovaná varování, což vás nutí uchýlit se k pokročilejším řešením.

Metody instalace nepodepsaných ovladačů (a jejich rizika)

Existuje několik způsobů, jak nainstalovat ovladače, které nesplňují zásady pro podpisy, ale je důležité mít na paměti, že každá metoda s sebou nese jinou úroveň rizika . Dočasná úprava, která se po restartu vrátí zpět, není totéž jako úplné vypnutí kontrol integrity.

Běžnou metodou je spuštění systému Windows s dočasně zakázaným povinným používáním podepsaných ovladačů . Chcete-li to provést, restartujte počítač a otevřete pokročilé možnosti (například z nabídky Start stisknutím klávesy Shift a kliknutím na tlačítko Restartovat), přejděte do části Řešení problémů > Upřesnit možnosti > Nastavení spouštění a vyberte možnost „Zakázat vynucování podpisu ovladače“. Systém se poté spustí bez vyžadování podpisů, což vám umožní nainstalovat ovladač. Po dalším restartu se ochrana automaticky znovu aktivuje.

Další možností, dostupnou pouze ve Windows 10/11 Pro a novějších edicích , je použití Editoru zásad skupiny (gpedit.msc). V části Konfigurace uživatele > Šablony pro správu > Systém > Instalace ovladačů můžete upravit zásadu „Podepisování kódu pro ovladače zařízení“ a nastavit ji na hodnotu Zakázáno. Po restartu bude systém Windows mnohem shovívavější k nepodepsaným ovladačům nebo ovladačům s pochybnými podpisy.

Pro testovací a vývojové scénáře je k dispozici funkce s názvem Testovací režim systému Windows . Aktivuje se z administrátorské konzole spuštěním příkazu bcdedit a umožňuje načítání ovladačů podepsaných testovacími certifikáty, aniž by bylo nutné je předávat veřejnou infrastrukturou. V tomto režimu se na ploše obvykle zobrazí vodoznak, který označuje, že systém je v testovacím režimu.

Nakonec existuje ta nejextrémnější možnost: úplné vypnutí kontroly integrity ovladačů pomocí bcdedit.exe (s použitím parametru nointegritychecks). Tím se systém stane zcela zranitelným vůči instalaci jakéhokoli ovladače, ať už legitimního, nebo ne, a tato metoda by se měla používat pouze ve velmi specifických případech a s plným pochopením toho, co děláte.

Skutečná nebezpečí zakázání podepisování řidičů

Zakázání této ochrany není jen drobnou nepříjemností; otevírá dveře jedné z nejobtížněji odhalitelných hrozeb: rootkitům na úrovni ovladačů . Ty se instalují jako legitimní ovladače, ale po načtení mají SYSTÉMOVÁ oprávnění a schopnost monitorovat nebo manipulovat se systémem na velmi nízké úrovni.

Rootkit tohoto typu dokáže zachytit internetový provoz, vkládat falešné certifikáty, přesměrovávat připojení na stránky ovládané útočníkem, blokovat instalaci antiviru a usnadňovat vstup dalšího malwaru. To vše lze provést prakticky bez viditelné stopy pro uživatele, a to i v případě mnoha tradičních bezpečnostních řešení.

Díky práci s nejvyššími oprávněními jsou tyto škodlivé ovladače prakticky neviditelné a obtížně se odstraňují . V mnoha případech je jediným realistickým řešením kompletní formátování počítače a zahájení od nuly, což představuje značnou ztrátu času a dat, pokud neexistují aktuální zálohy.

Proto když vás aplikace požádá o zakázání podepisování ovladačů za účelem instalace „něčeho magického“, je moudré být podezřívavý. Kdykoli je to možné, je lepší hledat alternativy nebo podepsané verze , i kdyby to znamenalo vzdát se určitého zastaralého hardwaru nebo specifických funkcí.

Ovladače pro Windows versus ovladače od výrobce

Při instalaci periferií a komponent systém Windows obvykle nabízí generické ovladače , které umožňují základní používání hardwaru. Například multifunkční tiskárna může bez problémů tisknout s použitím generického ovladače, ale pokud chcete skenovat, používat automatický podavač dokumentů nebo používat pokročilé možnosti, budete téměř jistě potřebovat oficiální ovladač od výrobce.

Totéž platí pro zvukové karty, grafické karty a další složitá zařízení: s generickými ovladači bude počítač fungovat, ale přijdete o funkce, optimalizaci výkonu a pokročilé konfigurační nástroje. V mnoha případech oficiální ovladače také nabízejí specifické opravy chyb , které v generických ovladačích od společnosti Microsoft nikdy nejsou zahrnuty.

Nejlepším místem pro stažení těchto ovladačů jsou vždy oficiální webové stránky výrobce hardwaru . Při vyhledávání na Googlu se často nejprve zobrazí stránky třetích stran plné podezřelých „stahovačů ovladačů“ nebo instalačních programů. Pokud odkaz nepochází z domény výrobce, je nejlepší ho ignorovat.

Pokud zůstane podepisování ovladačů povoleno, systém Windows mnoho z těchto pochybných balíčků zablokuje, pokud zjistí, že se jedná o neplatný software nebo že podpisy nejsou v pořádku. To slouží jako další vrstva zabezpečení proti nešikovným nebo přímo škodlivým instalačním programům.

Praktický případ: Chyba podepisování certifikátu s ovladači GPU ve Windows 7

V počítačích se staršími operačními systémy, jako je 64bitový Windows 7 , je poměrně běžné narazit na problémy s instalací moderních ovladačů pro grafické karty nebo jiný novější hardware. Typickým příkladem je chyba „Podpisové certifikáty nejsou nainstalovány. Nainstalujte prosím požadované certifikáty“ při pokusu o instalaci ovladačů Nvidia pro grafické karty, jako je GTX 1060 nebo GTX 950.

V mnoha případech, i když uživatel při spuštění zakáže podepisování ovladačů, ovladač po restartu nefunguje, protože zásady podepisování jsou znovu povoleny. Řešení, jako je instalace všech předchozích verzí ovladače, použití alternativních instalačních programů (například Snappy Driver Installer), použití aktualizací podpory SHA-2 (například KB3033929) nebo přeinstalace ze Správce zařízení, byla vyzkoušena bez úspěchu.

Praktické řešení, které fungovalo, zahrnuje ruční extrahování obsahu instalačního programu verze 474.11 (nejnovější ovladač WHQL pro Windows 7) do složky a aktualizaci ovladače grafické karty ve Správci zařízení výběrem možnosti vyhledání ovladače v počítači a výběrem dané složky. Stejná metoda může selhat u novějších verzí, například 474.14, pokud instalační program nerozpozná soubory INF jako platné pro daný systém.

Tento typ případu ilustruje, jak křehká může být rovnováha mezi nejnovějšími ovladači, certifikáty SHA-2 a nepodporovanými operačními systémy . Je stále obtížnější instalovat – a udržovat v bezpečí – moderní ovladače na starších platformách, které již nedostávají aktualizace ani bezpečnostní záplaty.

Jak detekovat a opravit problémy s vadnými ovladači

I když jsou ovladače správně podepsané, mohou se z mnoha důvodů poškodit nebo být nekonzistentní : konflikty s jinými programy, malware, přerušené instalace, neúspěšné aktualizace systému Windows atd. Když k tomu dojde, postižené zařízení obvykle přestane fungovat nebo funguje nepravidelně.

Prvním diagnostickým nástrojem je Správce zařízení . Kliknutím pravým tlačítkem myši na tlačítko Start a výběrem odpovídající možnosti se otevře kompletní seznam veškerého detekovaného hardwaru. Pokud má zařízení problém s ovladačem, bude označeno žlutou ikonou varování.

V těchto případech je prvním pokusem o řešení kliknout pravým tlačítkem myši na zařízení, vybrat možnost „Aktualizovat ovladač“ a nechat systém Windows vyhledat vhodnější ovladač, buď lokálně, nebo prostřednictvím služby Windows Update. Pokud to nefunguje, můžete zařízení odinstalovat (s ponecháním softwaru ovladače nebo bez něj) a restartovat jej, aby se jej systém Windows pokusil znovu nainstalovat od začátku.

Systém Windows navíc obsahuje v panelu Nastavení, konkrétně v části „Aktualizace a zabezpečení“ > „Řešení problémů“, nástroje pro odstraňování problémů s hardwarem a zařízeními . Tento průvodce prohledává systém a navrhuje automatické akce pro obnovení funkčnosti určitých ovladačů.

Pokud problém způsobila konkrétní aktualizace ovladače, může být užitečné použít možnost „Vrátit ovladač zpět“ na kartě „Ovladač“ ve vlastnostech zařízení, za předpokladu, že systém Windows zachová předchozí verzi. Tím se obnoví problematická instalace a může se obnovit stabilita systému.

Zobrazení a analýza ovladačů třetích stran nainstalovaných v systému Windows

Chcete-li získat větší kontrolu nad tím, co je ve vašem systému nainstalováno, můžete použít nástroje třetích stran, jako je DriverView od společnosti Nirsoft , který zobrazuje podrobný seznam všech ovladačů načtených ve vašem počítači. Jedná se o bezplatný přenosný nástroj, který výrazně zjednodušuje audit ovladačů.

DriverView používá velmi jednoduchý systém barevného kódování: ovladače od společnosti Microsoft s platnými digitálními podpisy se zobrazují s bílým pozadím , zatímco ovladače třetích stran (od výrobců nebo dalšího softwaru) jsou zvýrazněny červeně. To pomáhá rychle identifikovat, které části skládačky nezávisí přímo na operačním systému.

Seznam lze seřadit podle sloupců, například podle „Společnosti“, čímž se seskupí všechny ovladače od stejné společnosti. Nabídka Zobrazit navíc obvykle obsahuje možnost skrýt všechny ovladače od společnosti Microsoft a zobrazit pouze ovladače třetích stran, což vám umožní zaměřit se na ty, které s největší pravděpodobností způsobují konflikty.

Dvojitým kliknutím na libovolnou položku se otevře okno s podrobnými informacemi o ovladači : verze, úplná cesta, popis, výrobce, datum nahrání atd. V případě neznámých nebo podezřelých ovladačů tato data pomáhají určit, zda jsou součástí programu, který skutečně používáme, nebo zda se vyplatí je dále prozkoumat a dokonce odinstalovat.

Vzhledem k tomuto přehledu je zřejmé, že podepisování ovladačů a certifikáty ve Windows nejsou jen formalitou, ale základní součástí pro udržení stability a zabezpečení systému. Pochopení toho, jak jsou ovladače podepisovány, jaké požadavky se mění mezi verzemi Windows, jaké nástroje existují pro ověřování a jak reagovat, když je ovladač nepodepsaný nebo selže, nám umožňuje vytěžit z našeho hardwaru maximum a zároveň zůstat ostražití vůči hrozbám nízké úrovně.