Kā pārbaudīt draiveru parakstus sistēmā Windows un izvairīties no kļūdām

Ierīču draiveri ir galvenā Windows sastāvdaļa, lai sazinātos ar aparatūru : grafikas karti, printeri, Wi-Fi adapteri, skaņas karti utt. Kad draiverī rodas problēmas, rodas dīvainas kļūdas, ierīces pārstāj darboties vai notiek avārijas, kuras ir grūti izskaidrot. Un, lai visu vēl vairāk sarežģītu, Microsoft jau gadiem ilgi ir pieprasījis, lai daudzi no šiem draiveriem būtu digitāli parakstīti , lai tie varētu pareizi ielādēties.

Draivera paraksta verifikācija operētājsistēmā Windows ir spēcīgs drošības līdzeklis, taču tā var radīt arī īstas galvassāpes, ja nepieciešams instalēt vecāku draiveri, testa draiveri vai tāda ražotāja draiveri, ko Microsoft nav validējis. Šajā rakstā tiks detalizēti paskaidrots, kas ir draivera paraksta verifikācija, kā to pārbaudīt, ko darīt, ja rodas bēdīgi slavenā kļūda "Windows nevar pārbaudīt digitālo parakstu… (kods 52)", un kādas metodes pastāv, lai (īslaicīgi vai neatgriezeniski) atspējotu šo verifikāciju, kā arī visus ar to saistītos riskus.

Kas īsti ir draiveru parakstīšana operētājsistēmā Windows?

Draivera digitālais paraksts darbojas kā autentiskuma sertifikāts , līdzīgi kā tas, ko izmanto parakstītās lietojumprogrammās. Būtībā tas norāda, ka draivera fails nav modificēts kopš tā parakstīšanas, ko izstrādājis izstrādātājs, un ka tas ir arī izturējis validācijas procesu, ko Microsoft uzskata par uzticamu.

Kad ražotājs iesniedz savus draiverus korporācijai Microsoft , šie draiveri var tikt pārbaudīti (piemēram, ar HLK/HCK) vai sertificēti. Abos gadījumos rezultāts ir pakotne, kas parakstīta ar Microsoft izsniegtu sertifikātu. Šis paraksts garantē, ka draiveris ir paredzēts konkrētai operētājsistēmai un lietošanas gadījumam, un ka tas nav bojāts vai mainīts starp avotu un jūsu datoru.

Vidusmēra lietotājam šis paraksts darbojas kā drošības filtrs : Windows pēc noklusējuma ielādē tikai tos draiverus, kas ir izturējuši šo apstiprināšanas procesu. Ja mēģināsiet instalēt neparakstītu draiveri vai draiveri ar nederīgu parakstu, sistēma var to bloķēt, parādīt brīdinājumus vai vienkārši neizdoties ielādēt ierīci, īpaši Windows Vista 64 bitu versijās un jaunākās versijās.

Fonā draiveru parakstīšana palīdz arī cīnīties pret ļoti nopietniem draudiem, piemēram, rootkitiem, kas maskējas kā sistēmas draiveri, lai iegūtu SISTĒMAS privilēģijas . Kad šāda ļaunprogrammatūra ir instalēta kā draiveris, tā var uzraudzīt datplūsmu, pārtvert savienojumus ar viltotiem sertifikātiem, atspējot pretvīrusu programmatūru un paslēpties ļoti zemā līmenī, padarot atklāšanu gandrīz neiespējamu bez pārformatēšanas.

Tāpēc vispārējais noteikums ir skaidrs : kad vien iespējams, izmantojiet ražotāja vai Windows Update parakstītus draiverus . Parakstīšanas procesu vajadzētu apiet tikai tad, ja jums ir pārliecinošs iemesls un jūs precīzi zināt, ko instalējat.

Gadījuma izpēte: kļūdas kods 52 "Windows nevar pārbaudīt digitālo parakstu..."

Sākot ar Windows Vista x64 un Windows Server 2008 , diezgan bieži var rasties kļūdas ziņojums: "Windows nevar pārbaudīt šai ierīcei nepieciešamo draiveru digitālo parakstu. Nesen veiktas aparatūras vai programmatūras izmaiņas, iespējams, ir instalējušas failu, kas nav pareizi parakstīts, ir bojāts vai satur ļaunprātīgu programmatūru no nezināma avota. (Kods 52)."

Šis ziņojums vienkārši nozīmē, ka draivera paraksts nav derīgs jūsu sistēmā pašlaik aktīvajām politikām. Tas varētu būt tāpēc, ka draiveris vispār nav parakstīts, izdevēja iestāde nav uzticama, sertifikāta derīguma termiņš ir beidzies vai faila integritāte ir apdraudēta.

Praksē rezultāts ir tāds, ka Windows neļauj ierīcei darboties . Piemēram, tas ir raksturīgi dažiem USB Wi-Fi adapteriem , piemēram, noteiktiem TP-Link TL-WN722N modeļiem: ierīču pārvaldnieks tos atpazīst, bet parāda kļūdas kodu 52, un ierīce nedarbojas, ja vien sistēma netiek startēta ar īslaicīgi atspējotu obligāto draivera paraksta ieviešanu (izmantojot F8 vai papildu startēšanas opcijas).

Ja katru reizi, kad startējat datoru, ir jānospiež taustiņš F8 vai jāizmanto papildu startēšanas opcijas, lai draiveris darbotos, tā ir zīme, ka problēma ir saistīta ar parakstu. Vai nu draiveris ir novecojis, modificēts vai izmanto sertifikātu, kas nav uzticams jūsu izmantotajai Windows versijai.

Ideāls risinājums, kad vien iespējams, ir iegūt pareizi parakstītu draivera versiju vai nu no ražotāja oficiālās vietnes, vai izmantojot Windows Update. Ja tas nav iespējams, ir metodes, kā atvieglot vai atspējot paraksta verifikāciju, taču tās jāizmanto ļoti piesardzīgi.

Kā validēt Microsoft parakstu draivera iesniegumā

Aparatūras izstrādes, testēšanas vai izplatīšanas vidē bieži ir jāpārbauda, ​​vai draiveru komplektu faktiski ir parakstījis Microsoft , un, ja tā, vai tas ir iespējams, izmantojot atestāciju vai nokārtojot HLK/HCK testēšanu. Lai to izdarītu, pirmais solis ir lejupielādēt parakstīto pakotni no attiecīgā Microsoft aparatūras informācijas paneļa.

Vispārīgās darbības, lai lejupielādētu parakstītus draivera failus no sūtījuma, ir šādas: atrodiet sūtījumu aparatūras portālā, atlasiet privāto produkta identifikatoru, ievadiet draivera informāciju un sadaļā “Pakotnes un paraksta rekvizīti” izmantojiet opciju “Vairāk” un pēc tam “Lejupielādēt parakstītus failus”.

Kad esat ieguvis pakotni, galvenais elements parasti ir ar draiveri saistītais .cat fails. Šajā katalogā ir ietverta informācija par parakstu un sertifikāciju. Tur varat redzēt parakstīšanai izmantoto sertifikātu un tā atļautos lietojumus.

Lai pārbaudītu Microsoft parakstu, izmantojot grafisko saskarni , ar peles labo pogu noklikšķiniet uz draivera .cat faila, atveriet "Properties" (Rekvizīti) un pēc tam cilni "Digital Signatures" (Digitālie paraksti). Tur redzēsiet parakstam izmantotā sertifikāta nosaukumu. Noklikšķinot uz "Details" (Sīkāka informācija) uz šī paraksta un dodoties uz sertifikāta cilni "Details" (Sīkāka informācija), varat skatīt lauku "Enhanced Key Usage" (Uzlabota atslēgas izmantošana) (EKU).

EKU norāda, kam šo parakstīšanas sertifikātu var izmantot . Windows aparatūras draiveru gadījumā tiek izmantoti specifiski objektu identifikatori (OID). OID, kas beidzas ar 5, parasti atbilst neapliecinoša paraksta tipam, savukārt OID, kas beidzas ar 1, norāda, ka draiveris ir parakstīts ar apliecinājumu. Šī atšķirība ir svarīga, ja jums ir divas viena un tā paša draivera versijas un ir jāzina, kura ir kura.

Parakstu pārbaude ar SignTool (paraksts, kas iegults .sys failos)

Papildus parakstam .cat katalogā daudziem kodola draiveriem ir paraksts, kas ir iegults tieši .sys failā. Lai pārbaudītu šāda veida parakstu, standarta rīks ir SignTool , kas ir iekļauts Windows SDK un Microsoft izstrādes rīkos.

Tipiska komanda draiverī iegultā paraksta validēšanai būtu kaut kas līdzīgs šim:

SignTool — pārbaudiet parakstu: SignTool verify /v /pa DriverFileName.sys

Šajā komandā opcija `verify` norāda SignTool pārbaudīt norādītā draivera faila parakstu. Slēdzis ` /v` iespējo detalizētu izvadi, parādot progresa ziņojumus un visus brīdinājumus, savukārt ` /pa` piespiež veikt pārbaudi atbilstoši Plug and Play ierīces instalēšanas paraksta prasībām.

Ņemiet vērā, ka SignTool neprasa norādīt precīzu sertifikātu, kas izmantots faila parakstīšanai; tas vienkārši meklē sistēmas sertifikātu krātuvēs, lai noskaidrotu, vai uzticības ķēde ved uz uzticamu saknes sertifikācijas iestādi. Tādēļ, ja izmantojat testa sertifikātus, vispirms šis sertifikāts ir jāinstalē verifikācijai izmantotās ierīces "Uzticamo saknes sertifikācijas iestāžu" krātuvē.

SignTool — praktisks piemērs: SignTool verify /v /pa amd64\toaster.sys

Ja verifikācija neizdodas, SignTool parādīs kļūdas ziņojumus, kas norāda, vai problēma ir saistīta ar sertifikātu neatrašanu, ķēde nesasniedz uzticamu sakni, atslēgas lietojums nav atbilstošs vai paraksts neatbilst faktiskajam faila saturam (manipulēts vai bojāts fails).

Parakstīti, neparakstīti un vispārīgi Windows draiveri

Windows lietotāja ikdienas dzīvē pamatā ir trīs veidu draiveri : vispārējie, ko nodrošina pati sistēma, oficiālie ražotāja draiveri un mazākā mērā mazāk zināmi trešo pušu draiveri vai izmēģinājuma versijas.

Vispārīgie Microsoft draiveri tiek instalēti automātiski, lai lielāko daļu aparatūras varētu izmantot jau no pirmās palaišanas reizes. Tie parasti piedāvā pamata funkciju kopumu: piemēram, ar daudzfunkcionālu printeri, iespējams, varēsiet tikai drukāt, bet ne skenēt vai izmantot papildu paneļa funkcijas.

Aparatūras ražotāja nodrošinātie draiveri parasti pievieno papildu funkcijas, uzlabo veiktspēju un iespējo noteiktus rīkus: vadības paneļus, kalibrēšanas utilītas, krāsu profilus, īpašas skaņas funkcijas utt. Ja nepieciešams pilnībā atinstalēt GPU, izmantojiet DDU.

Ļoti bieži, meklējot draiverus pakalpojumā Google, vispirms parādās trešo pušu vietnes , kas sola "lejupielādēt jebkuru draiveri" vai instalēt visu automātiski. Šāda veida vietnes ir klasisks ļaunprogrammatūras un modificētu draiveru avots, tāpēc no tām vislabāk izvairīties. Ja jūsu sistēmā ir iespējota paraksta verifikācija, daudzi no šiem draiveriem tiks bloķēti, jo tie tiks konstatēti kā nederīgi. Ja vēlaties rīku draiveru identificēšanai, varat izmantot Driver Easy.

Visbeidzot, ir testa draiveri vai mazāku izstrādātāju izstrādāti draiveri , kas var būt parakstīti ar pašparakstītiem sertifikātiem vai ar entītijām, kuras Windows pēc noklusējuma neatpazīst. Šādos gadījumos sāk parādīties brīdinājumi un kļūdas, piemēram, kods 52.

1. metode: startēšana, īslaicīgi atspējojot draivera parakstīšanu

Vienkāršākais un vismazāk traucējošais veids, kā apiet ierobežojumu, ir izmantot startēšanas opciju "Atspējot obligāto draivera paraksta ieviešanu". Šis režīms ietekmē tikai šo sesiju: ​​nākamajā restartēšanas reizē Windows atgriežas pie standarta darbības.

Ideja ir vienkārša: jūs startējat sistēmu ar šo opciju , instalējat problemātisko draiveri un pēc tam restartējat to normāli. Tam ir tāda priekšrocība, ka tas samazina laiku, kurā sistēma ir neaizsargāta, lai gan tas ne vienmēr garantē, ka draiveris turpinās darboties turpmākajos neparakstītos palaišanas mēģinājumos.

Operētājsistēmās Windows 8, Windows 10 un Windows 11 klasiskā F8 taustiņa noklusējuma vērtība ir paslēpta , tāpēc parasti papildu startēšanas opcijas var atvērt no pašas sistēmas. Varat turēt nospiestu taustiņu Shift un vienlaikus izvēlnē Sākt noklikšķināt uz “Restartēt” vai arī komandrindas vai palaišanas logā palaist šo komandu:

Paplašināta pieteikšanās piekļuve: shutdown.exe /r /o

Pēc restartēšanas sistēma Windows parādīs diagnostikas opciju izvēlni . Tur dodieties uz sadaļu "Problēmu novēršana" > "Papildu opcijas" > "Startēšanas iestatījumi". Noklikšķinot uz Labi, sistēma atkal tiks restartēta, un jūs redzēsiet opciju sarakstu. Starp tām būs "Atspējot draivera paraksta ieviešanu", ko parasti izvēlas, nospiežot taustiņu F7.

Operētājsistēmās Windows 7 , Windows Vista un līdzvērtīgās Windows Server versijās taustiņš F8 parasti ir pieejams startēšanas laikā. Vienkārši atkārtoti nospiediet to, ieslēdzot datoru, ievadiet papildu opcijas un atlasiet “Atspējot draivera paraksta ieviešanu”.

2. metode: neatgriezeniski modificējiet sāknēšanas procesu, izmantojot bcdedit

Ja nepieciešams pastāvīgi atspējot paraksta verifikāciju (piemēram, testa vai laboratorijas vidē), varat izmantot bcdedit — komandrindas rīku , kas ļauj mainīt Windows sāknēšanas pārvaldnieka iestatījumus.

Atšķirībā no iepriekšējās pagaidu metodes, ar bcdedit veiktās izmaiņas tiek saglabātas pēc katras pārstartēšanas, līdz tās tiek atjaunotas. Šī iemesla dēļ tā jāizmanto ļoti piesardzīgi, jo pastāv risks ielādēt draiverus bez derīga paraksta.

Lai atspējotu pārbaudi, izmantojot bcdedit , atveriet komandrindas logu ar administratora tiesībām (ar peles labo pogu noklikšķiniet uz "Palaist kā administratoram") un palaidiet, piemēram:

bcdedit — iespējot testa režīmu un atspējot integritāti: bcdedit /set testsigning on
bcdedit /set nointegritychecks on

Parametrs `testsigning on` aktivizē testa režīmu , kas paredzēts, lai izstrādātāji varētu ielādēt testa draiverus, kas parakstīti ar testa sertifikātiem. Vērtība `nointegritychecks on` atspējo paraksta integritātes pārbaudes, ļaujot operētājsistēmai Windows ielādēt draiverus pat tad, ja to paraksts neiztur standarta validāciju.

Kad vēlaties atgriezties pie normālas Windows darbības , šīs vērtības ir jānoņem no sāknēšanas ielādes konfigurācijas, izmantojot:

bcdedit — atjaunot testsigning/nointegritychecks: bcdedit /deletevalue testsigning
bcdedit /deletevalue nointegritychecks

Ja jums ir kādas šaubas par to, kuras vērtības pašlaik ir aktīvas , varat pārbaudīt iestatījumus, izmantojot:

Pārbaudiet lādētāja statusu: bcdedit /v

Pirms šāda veida pastāvīgo izmaiņu piemērošanas ir svarīgi paturēt prātā divus galvenos punktus : ja ir iespējots BitLocker, īslaicīgi atspējojiet to, un, ja BIOS/UEFI ir iespējota drošā sāknēšana , tā ir jāatspējo, jo šis mehānisms novērš nepārbaudītu sistēmu vai konfigurāciju ielādi.

Atspējot draiveru parakstīšanu no grupas politikām

Windows 10/11 Pro un līdzvērtīgu izdevumu lietotāji var pielāgot draiveru parakstīšanas darbību, izmantojot lokālo grupas politikas redaktoru (gpedit.msc). Šī metode nav pieejama Home izdevumos.

Lai to izmantotu, atveriet dialoglodziņu Palaist, nospiežot taustiņu kombināciju Win + R.Raksta gpedit.msc un nospiediet taustiņu Enter. Atvērtajā redaktorā dodieties uz sadaļu "Lietotāja konfigurācija" > "Administratīvās veidnes" > "Sistēma" > "Draivera instalēšana".

Šajā ceļā jūs atradīsiet opciju "Ierīču draiveru koda parakstīšana" . Veiciet dubultklikšķi uz tās, lai atvērtu tās iestatījumus. Tur jūs varat izvēlēties starp dažādām politikām: brīdināt, bloķēt vai atļaut.

Ja atlasīsiet “Atspējot” vai pielāgosiet politiku tā, lai paraksts nebūtu nepieciešams , Windows būs mazāk stingrs, instalējot draiverus, taču jāpatur prātā, ka tas attiecas uz lietotāja kontekstu un, iespējams, neaptvers visus gadījumus, kad kodols vai draiveri tiek ielādēti ļoti agrīnā sāknēšanas stadijā.

Pēc šīs politikas maiņas ieteicams restartēt datoru, lai nodrošinātu, ka jaunie noteikumi tiek pilnībā piemēroti. Un, kad esat instalējis problemātisko draiveri, apsveriet iespēju atgriezties pie ierobežojošākas konfigurācijas, lai izvairītos no šīs ievainojamības neatstāšanas atvērtai uz nenoteiktu laiku.

Testa režīms operētājsistēmā Windows

Sistēmā Windows ir iekļauts "testa režīms", kas īpaši izstrādāts scenārijiem, kuros ir nepieciešams palaist draiverus vai lietojumprogrammas, kas nav parakstītas ar standarta sertifikātiem. Šajā režīmā testa draiverus var ielādēt bez nepieciešamības tos parakstīt Microsoft atzītai sertifikācijas iestādei.

Lai iespējotu vai atspējotu šo režīmu, tiek izmantots arī bcdedit . No konsoles ar administratora privilēģijām var kontrolēt parametru TESTSIGNING . Lai gan daudzās rokasgrāmatās tas tiek parādīts otrādi, tipiskā darbība ir šāda:

TEST SIGNING — aktivizēt komandu: bcdedit /set TESTSIGNING ON

Iestatot TESTSIGNING uz ON, sistēma tiek palaista testa režīmā , un darbvirsmā redzēsiet ūdenszīmi, kas norāda kaut ko līdzīgu "Windows testa režīms...". Kamēr šis režīms ir aktīvs, varat instalēt un ielādēt draiverus, kas parakstīti ar testa sertifikātiem.

Kad esat pabeidzis nepieciešamo draiveru instalēšanu vai testēšanu , ieteicams atgriezties normālā režīmā, palaižot apgriezto komandu:

TESTSIGNING — deaktivizēšanas komanda: bcdedit /set TESTSIGNING OFF

Šī pieeja ir sava veida kompromiss starp 100% pagaidu palaišanas metodi ar F7 un integritātes pārbaužu pilnīgu atspējošanu. Tā ir īpaši paredzēta izstrādātājiem un testētājiem, kas strādā ar draiveriem, kuri vēl tiek izstrādāti.

Pilnībā atspējojiet draivera paraksta verifikāciju

Pastāv radikālāka metode, kas neatgriezeniski atspējo vienu no svarīgākajām ar kontrolieriem saistītajām drošības funkcijām: paraksta integritātes pārbaudes. Tas ir galējs risinājums, un to vajadzētu izmantot tikai kā pēdējo līdzekli.

Ideja ir vienkārša: izmantojot bcdedit, norādīt operētājsistēmai Windows neveikt integritātes pārbaudes, ielādējot draiverus. Lai to izdarītu, administratora konsolē parasti tiek izmantota šāda komanda:

NoIntegrityChecks — atspējot pārbaudes: bcdedit.exe /set nointegritychecks on

Izmantojot šo iestatījumu, Windows atļaus instalēt un ielādēt draiverus, kas neiztur paraksta pārbaudes . Citiem vārdiem sakot, var palaist praktiski jebkuru draiveri neatkarīgi no tā avota, ja vien citi mehānismi (piemēram, drošā sāknēšana) to neliedz.

Kad esat instalējis visus nepieciešamos draiverus , ir ļoti ieteicams atsaukt šīs izmaiņas un atgriezties pie noklusējuma iestatījumiem, lai atjaunotu aizsardzību. Lai to izdarītu, varat palaist:

NoIntegrityChecks — atjaunošanas pārbaudes: bcdedit.exe /set nointegritychecks off

Šo pārbaužu pastāvīga atspējošana ievērojami palielina uzbrukuma virsmu : ļaunprātīgs draiveris var iekļūt pa šo maršrutu ar pilnām atļaujām un bez Windows apturēšanas. Tāpēc personīgajā vidē parasti ir saprātīgāk izmantot pagaidu metodes vai meklēt parakstītas draiveru alternatīvas, nevis visu laiku atstāt sistēmu neaizsargātu.

Reāli neparakstītu draiveru instalēšanas riski

Draiveru parakstīšana var šķist traucējoša, ja viss, ko vēlaties, ir tas, lai jūsu Wi-Fi adapteris vai vecais printeris darbotos, taču ir vērts atcerēties, kāpēc pastāv šis ierobežojums. Draiveru apdraudējumi (rootkit, bootkit utt.) ir vieni no bīstamākajiem.

Ļaunprātīgs kontrolieris darbojas ar SISTĒMAS privilēģijām , kas pārsniedz lietotāja privilēģijas, un daudzām aizsardzības iespējām. No turienes tas var pārtvert visu tīkla trafiku, manipulēt ar sertifikātiem, lai novirzītu savienojumus uz viltotām vietnēm, reģistrēt taustiņsitienus, zagt paroles un daudz ko citu.

Turklāt šāda veida ļaunprogrammatūra bieži vien ir praktiski neredzama pretvīrusu un drošības rīkiem, kas darbojas pašā operētājsistēmā, jo tā tiek ielādēta zemākā līmenī. Daudzos gadījumos vienīgais uzticamais veids, kā atbrīvoties no šāda veida rootkit, ir pilnībā formatēt un pārinstalēt Windows.

Tāpēc nekad nevajadzētu viegli atspējot draiveru paraksta ieviešanu vai uzticēties programmām, kas lūdz to atspējot, lai instalētu it kā "maģiskos draiverus" vai "optimizētājus". Pirms eksperimentēt ar šīm iespējām, ir vērts meklēt alternatīvas no uzticamiem avotiem vai apsvērt, vai jums tiešām ir nepieciešams konkrētais draiveris.

Zelta likums ir vienkāršs: instalējiet draiverus tikai no uzticamiem avotiem , it īpaši, ja nolemjat atslābināt vai atspējot paraksta verifikāciju. Neliels saīsinājums šodien var kļūt par milzīgu problēmu rīt, ja inficēts draiveris pārņem jūsu datora kontroli.