Cara mengesahkan tandatangan pemacu dalam Windows dan mengelakkan ralat

Pemacu peranti merupakan komponen penting untuk Windows berkomunikasi dengan perkakasan : kad grafik, pencetak, penyesuai Wi-Fi, kad bunyi, dan sebagainya. Apabila terdapat masalah dengan pemacu, ralat pelik muncul, peranti berhenti berfungsi atau ranap sistem berlaku yang sukar dijelaskan. Dan, untuk merumitkan lagi keadaan, selama bertahun-tahun Microsoft telah mewajibkan kebanyakan pemacu ini ditandatangani secara digital agar dapat dimuatkan dengan betul.

Pengesahan tandatangan pemacu dalam Windows merupakan langkah keselamatan yang ampuh, tetapi ia juga boleh menjadi masalah apabila anda perlu memasang pemacu lama, pemacu ujian atau pemacu daripada pengeluar yang belum disahkan oleh Microsoft. Artikel ini akan menerangkan secara terperinci tentang pengesahan tandatangan pemacu, cara mengesahkannya, apa yang perlu dilakukan apabila anda menghadapi ralat "Windows tidak dapat mengesahkan tandatangan digital… (kod 52)" yang terkenal, dan kaedah yang ada untuk melumpuhkan (sementara atau selama-lamanya) pengesahan ini, berserta semua risiko yang berkaitan.

Apakah sebenarnya tandatangan pemacu dalam Windows?

Tandatangan digital pemandu berfungsi seperti sijil keaslian , sama seperti yang digunakan dalam aplikasi yang ditandatangani. Pada asasnya, ia menunjukkan bahawa fail pemacu tidak diubah suai sejak pembangun menandatanganinya dan ia juga telah menjalani proses pengesahan yang dianggap boleh dipercayai oleh Microsoft.

Apabila pengilang menyerahkan pemacunya kepada Microsoft , pemacu ini mungkin diuji (contohnya, dengan HLK/HCK) atau disahkan. Dalam kedua-dua kes, hasilnya ialah pakej yang ditandatangani dengan sijil yang dikeluarkan oleh Microsoft. Tandatangan ini menjamin bahawa pemacu tersebut bertujuan untuk sistem pengendalian dan kes penggunaan tertentu, dan ia tidak rosak atau diubah antara sumber dan PC anda.

Bagi pengguna biasa, tandatangan ini bertindak sebagai penapis keselamatan : Windows hanya memuatkan pemacu secara lalai yang telah lulus proses kelulusan ini. Jika anda cuba memasang pemacu yang tidak ditandatangani atau pemacu dengan tandatangan yang tidak sah, sistem mungkin menyekatnya, memaparkan amaran atau gagal memuatkan peranti, terutamanya dalam versi 64-bit Windows Vista dan yang lebih baharu.

Di latar belakang, penandatanganan pemacu juga membantu memerangi ancaman yang sangat serius seperti rootkit, yang menyamar sebagai pemacu sistem untuk mendapatkan keistimewaan SISTEM . Sebaik sahaja perisian hasad sedemikian dipasang sebagai pemacu, ia boleh memantau trafik, memintas sambungan dengan sijil palsu, melumpuhkan perisian antivirus dan bersembunyi pada tahap yang sangat rendah, menjadikan pengesanan hampir mustahil tanpa memformat semula.

Oleh itu, peraturan umum adalah jelas : bila-bila masa yang boleh, gunakan pemacu yang ditandatangani daripada pengilang atau Kemas Kini Windows . Anda hanya perlu memintas proses penandatanganan apabila anda mempunyai alasan yang kukuh dan tahu dengan tepat apa yang anda pasang.

Kajian kes: Kod Ralat 52 "Windows tidak dapat mengesahkan tandatangan digital..."

Bermula dengan Windows Vista x64 dan Windows Server 2008 dan seterusnya , agak biasa untuk menghadapi mesej ralat: "Windows tidak dapat mengesahkan tandatangan digital pemacu yang diperlukan untuk peranti ini. Perubahan perkakasan atau perisian baru-baru ini mungkin telah memasang fail yang tidak ditandatangani dengan betul, rosak atau perisian berniat jahat daripada sumber yang tidak diketahui. (Kod 52)."

Mesej ini bermaksud bahawa tandatangan pemacu tidak sah untuk dasar yang sedang aktif pada sistem anda. Ini mungkin kerana pemacu langsung tidak ditandatangani, pihak berkuasa yang mengeluarkan tidak dipercayai, sijil telah tamat tempoh atau integriti fail telah terjejas.

Dalam praktiknya, hasilnya ialah Windows menghalang peranti daripada berfungsi . Contohnya, ini adalah perkara biasa dengan beberapa penyesuai Wi-Fi USB , seperti model TP-Link TL-WN722N tertentu: Pengurus Peranti mengenalinya, tetapi memaparkan kod ralat 52, dan peranti tidak beroperasi melainkan anda but sistem dengan penguatkuasaan tandatangan pemacu mandatori dilumpuhkan buat sementara waktu (menggunakan F8 atau pilihan permulaan lanjutan).

Jika anda perlu menekan F8 atau menggunakan pilihan permulaan lanjutan setiap kali anda boot untuk pemacu anda berfungsi, itu adalah tanda bahawa masalahnya terletak pada tandatangan. Sama ada pemacu sudah ketinggalan zaman, telah diubah suai atau menggunakan sijil yang tidak dipercayai untuk versi Windows yang anda gunakan.

Penyelesaian ideal, apabila boleh, adalah untuk mendapatkan versi pemacu yang ditandatangani dengan betul , sama ada daripada laman web rasmi pengeluar atau melalui Kemas Kini Windows. Jika itu tidak mungkin, terdapat kaedah untuk melonggarkan atau melumpuhkan pengesahan tandatangan, tetapi ini harus digunakan dengan sangat berhati-hati.

Cara mengesahkan tandatangan Microsoft dalam penyerahan pemacu

Dalam persekitaran pembangunan, pengujian atau pengedaran perkakasan , adalah perkara biasa untuk mengesahkan sama ada satu set pemacu sebenarnya ditandatangani oleh Microsoft , dan jika ya, sama ada melalui pengesahan atau dengan lulus ujian HLK/HCK. Untuk melakukan ini, langkah pertama ialah memuat turun pakej yang ditandatangani daripada papan pemuka perkakasan Microsoft yang berkaitan.

Langkah umum untuk memuat turun fail pemacu yang ditandatangani daripada penghantaran adalah: cari penghantaran pada portal perkakasan, pilih pengecam produk peribadi, masukkan butiran pemacu dan, dalam bahagian "Pakej dan sifat tandatangan", gunakan pilihan "Lagi" dan kemudian "Muat turun fail yang ditandatangani".

Sebaik sahaja anda mempunyai pakej tersebut, elemen utama biasanya ialah fail .cat yang dikaitkan dengan pemacu. Katalog ini mengandungi maklumat tandatangan dan pensijilan. Dari situ, anda boleh melihat sijil yang digunakan untuk menandatangani dan penggunaannya yang dibenarkan.

Untuk mengesahkan tandatangan Microsoft menggunakan antara muka grafik , klik kanan pada fail .cat pemacu, buka "Properties", dan kemudian tab "Digital Signatures". Di sana anda akan melihat nama sijil yang digunakan untuk tandatangan tersebut. Dengan mengklik "Details" pada tandatangan tersebut dan pergi ke tab "Details" sijil, anda boleh melihat medan "Enhanced Key Usage" (EKU).

EKU menunjukkan untuk apa sijil tandatangan itu boleh digunakan . Dalam kes pemacu perkakasan Windows, pengecam objek tertentu (OID) digunakan. OID yang berakhir dengan 5 biasanya sepadan dengan jenis tandatangan bukan pengesahan, manakala OID yang berakhir dengan 1 menunjukkan bahawa pemacu tersebut ditandatangani oleh pengesahan. Perbezaan ini penting apabila anda mempunyai dua versi pemacu yang sama dan perlu tahu yang mana satu.

Sahkan tandatangan dengan SignTool (tandatangan yang dibenamkan dalam fail .sys)

Selain tandatangan dalam katalog .cat , banyak pemacu kernel mempunyai tandatangan yang dibenamkan terus dalam fail .sys. Untuk menyemak jenis tandatangan ini, alat standardnya ialah SignTool , yang disertakan dalam SDK Windows dan alat pembangunan Microsoft.

Perintah biasa untuk mengesahkan tandatangan yang terbenam dalam pemacu adalah seperti ini:

SignTool — semak tandatangan: SignTool verify /v /pa DriverFileName.sys

Dalam arahan ini, pilihan `verify` memberitahu SignTool untuk mengesahkan tandatangan fail pemacu yang ditentukan. Suis ` /v` membolehkan output verbose, memaparkan mesej kemajuan dan sebarang amaran, manakala ` /pa` memaksa semakan dilakukan mengikut keperluan tandatangan untuk pemasangan peranti Plug and Play.

Ambil perhatian bahawa SignTool tidak memerlukan anda menentukan sijil tepat yang digunakan untuk menandatangani fail tersebut; ia hanya mencari stor sijil sistem untuk melihat sama ada rantaian kepercayaan membawa kepada pihak berkuasa pensijilan root yang dipercayai. Oleh itu, jika anda menggunakan sijil ujian, anda mesti memasang sijil tersebut terlebih dahulu dalam stor "Pihak Berkuasa Pensijilan Root yang Dipercayai" pada mesin yang anda gunakan untuk pengesahan.

SignTool — contoh praktikal: SignTool verify /v /pa amd64\toaster.sys

Jika pengesahan gagal, SignTool akan memaparkan mesej ralat yang menunjukkan sama ada masalahnya ialah sijil tidak dapat ditemui, rantaian tidak sampai ke root yang dipercayai, penggunaan kunci tidak sesuai atau tandatangan tidak sepadan dengan kandungan fail sebenar (fail yang dimanipulasi atau rosak).

Pemacu Windows yang ditandatangani, tidak ditandatangani dan generik

Dalam kehidupan seharian pengguna Windows, pada asasnya terdapat tiga jenis pemacu : pemacu generik yang disediakan oleh sistem itu sendiri, pemacu rasmi daripada pengilang dan, pada tahap yang lebih rendah, pemacu pihak ketiga atau versi percubaan yang kurang dikenali.

Pemacu generik Microsoft dipasang secara automatik supaya anda boleh menggunakan kebanyakan perkakasan dari but pertama. Ia biasanya menawarkan satu set ciri asas: contohnya, dengan pencetak berbilang fungsi anda mungkin hanya boleh mencetak, tetapi tidak boleh mengimbas atau menggunakan fungsi panel lanjutan.

Pemacu yang disediakan oleh pengeluar perkakasan biasanya menambah ciri tambahan, meningkatkan prestasi dan mendayakan alat tertentu: panel kawalan, utiliti penentukuran, profil warna, fungsi bunyi khas dan sebagainya. Jika anda perlu menyahpasang GPU sepenuhnya, gunakan DDU.

Adalah sangat biasa apabila anda mencari pemacu di Google, laman web pihak ketiga akan muncul dahulu , menjanjikan untuk "memuat turun sebarang pemacu" atau memasang semuanya secara automatik. Laman web jenis ini merupakan sumber klasik perisian hasad dan pemacu yang diubah suai, jadi sebaiknya elakkannya. Jika sistem anda telah mendayakan pengesahan tandatangan, kebanyakan pemacu ini akan disekat kerana ia dikesan sebagai tidak sah. Jika anda lebih suka alat untuk mengenal pasti pemacu, anda boleh menggunakan Driver Easy.

Akhir sekali, terdapat pemacu ujian atau pemacu daripada pembangun yang lebih kecil , yang mungkin ditandatangani dengan sijil yang ditandatangani sendiri atau oleh entiti yang tidak dikenali oleh Windows secara lalai. Dalam kes ini, amaran dan ralat seperti kod 52 mula muncul.

Kaedah 1: But dengan melumpuhkan tandatangan pemacu buat sementara waktu

Cara paling mudah dan paling kurang mengganggu untuk memintas sekatan adalah dengan menggunakan pilihan permulaan "Lumpuhkan penguatkuasaan tandatangan pemacu mandatori." Mod ini hanya menjejaskan sesi tersebut: pada permulaan semula seterusnya, Windows kembali kepada tingkah laku standardnya.

Ideanya mudah: anda memulakan sistem dengan pilihan ini , memasang pemacu yang bermasalah, dan kemudian mulakan semula seperti biasa. Ini mempunyai kelebihan untuk mengurangkan masa sistem tidak dilindungi, walaupun ia tidak selalu menjamin bahawa pemacu akan terus berfungsi pada percubaan but yang tidak ditandatangani pada masa hadapan.

Dalam Windows 8, Windows 10 dan Windows 11 , kekunci F8 klasik tersembunyi secara lalai , jadi cara biasa untuk mengakses pilihan permulaan lanjutan adalah dari dalam sistem itu sendiri. Anda boleh menekan kekunci Shift sambil mengklik "Mulakan Semula" daripada menu Mula atau jalankan arahan berikut dalam tetingkap Prompt Perintah atau Jalankan:

Akses log masuk lanjutan: shutdown.exe /r /o

Selepas memulakan semula, Windows akan memaparkan menu pilihan diagnostik . Dari situ, navigasi ke "Selesaikan Masalah" > "Pilihan lanjutan" > "Tetapan Permulaan". Setelah mengklik OK, sistem akan dimulakan semula dan anda akan melihat senarai pilihan. Antaranya ialah "Lumpuhkan penguatkuasaan tandatangan pemacu," yang biasanya dipilih dengan menekan kekunci F7.

Dalam Windows 7 , Windows Vista dan versi Windows Server yang setara , F8 biasanya tersedia dari permulaan. Hanya tekan berulang kali semasa menghidupkan komputer, masukkan pilihan lanjutan dan pilih "Lumpuhkan penguatkuasaan tandatangan pemacu".

Kaedah 2: Ubah suai proses but secara kekal menggunakan bcdedit

Jika anda perlu melumpuhkan pengesahan tandatangan secara berterusan (contohnya, dalam persekitaran ujian atau makmal), anda boleh menggunakan bcdedit , alat baris arahan yang membolehkan anda menukar tetapan pengurus but Windows.

Tidak seperti kaedah sementara sebelumnya, perubahan yang dibuat dengan bcdedit akan berterusan selepas setiap but semula sehingga anda mengembalikannya. Atas sebab ini, anda mesti menggunakannya dengan sangat berhati-hati, kerana anda berisiko memuatkan pemacu tanpa tandatangan yang sah.

Untuk melumpuhkan semakan menggunakan bcdedit , buka tetingkap Prompt Perintah dengan keistimewaan pentadbir (klik kanan "Jalankan sebagai pentadbir") dan jalankan, contohnya:

bcdedit — dayakan mod ujian dan lumpuhkan integriti: bcdedit /set testsigning on
bcdedit /set nointegritychecks on

Parameter `testsigning on` mengaktifkan mod ujian , yang direka untuk membolehkan pembangun memuatkan pemacu ujian yang ditandatangani dengan sijil ujian. Nilai `nointegritychecks on` melumpuhkan semakan integriti tandatangan, membolehkan Windows memuatkan pemacu walaupun tandatangannya gagal dalam pengesahan standard.

Apabila anda ingin kembali kepada tingkah laku Windows biasa , anda mesti mengalih keluar nilai tersebut daripada konfigurasi pemuat but dengan:

bcdedit — kembalikan penandatanganan ujian/pemeriksaan integriti: bcdedit /deletevalue testsigning
bcdedit /deletevalue nointegritychecks

Jika anda mempunyai sebarang keraguan tentang nilai yang sedang aktif , anda boleh menyemak tetapan dengan:

Semak status pengecas: bcdedit /v

Sebelum menggunakan jenis perubahan kekal ini, adalah penting untuk mengingati dua perkara utama : jika anda telah mendayakan BitLocker, lumpuhkannya buat sementara waktu, dan jika But Selamat didayakan dalam BIOS/UEFI , anda mesti melumpuhkannya, kerana mekanisme ini menghalang pemuatan sistem atau konfigurasi yang tidak disahkan.

Lumpuhkan tandatangan pemandu daripada dasar kumpulan

Pengguna Windows 10/11 Pro dan edisi yang setara boleh melaraskan tingkah laku penandatanganan pemacu melalui Editor Dasar Kumpulan Tempatan (gpedit.msc). Kaedah ini tidak tersedia dalam edisi Laman Utama.

Untuk menggunakannya, buka kotak dialog Run dengan Win + Rmenulis gpedit.msc dan tekan Enter. Dalam editor yang terbuka, navigasi ke "Konfigurasi Pengguna" > "Templat Pentadbiran" > "Sistem" > "Pemasangan Pemacu".

Dalam laluan itu, anda akan menemui pilihan "Tandatanganan kod untuk pemacu peranti" . Klik dua kali untuk membuka tetapannya. Di sana, anda boleh memilih antara dasar yang berbeza: amaran, sekat atau benarkan.

Jika anda memilih "Lumpuhkan" atau melaraskan dasar untuk tidak memerlukan tandatangan , Windows akan kurang ketat semasa memasang pemacu, walaupun anda harus ingat bahawa ini terpakai kepada konteks pengguna dan mungkin tidak meliputi semua kes kernel atau pemacu yang dimuatkan pada peringkat awal but.

Selepas menukar dasar ini, adalah disyorkan untuk memulakan semula komputer anda bagi memastikan peraturan baharu digunakan sepenuhnya. Dan, setelah anda memasang pemacu yang bermasalah, pertimbangkan untuk kembali kepada konfigurasi yang lebih ketat bagi mengelakkan kerentanan tersebut dibiarkan terbuka selama-lamanya.

Mod Ujian dalam Windows

Windows menyertakan "Mod Ujian" yang direka khusus untuk senario di mana pemacu atau aplikasi yang tidak ditandatangani dengan sijil standard perlu dijalankan. Dalam mod ini, pemacu ujian boleh dimuatkan tanpa perlu ditandatangani oleh pihak berkuasa pensijilan yang diiktiraf oleh Microsoft.

Untuk mendayakan atau melumpuhkan mod ini, bcdedit juga digunakan . Daripada konsol dengan keistimewaan pentadbir, anda boleh mengawal parameter TESTSIGNING . Walaupun banyak panduan menunjukkan sebaliknya, operasi biasa ialah:

TESTSIGNING — aktifkan arahan: bcdedit /set TESTSIGNING ON

Menetapkan TESTSIGNING kepada ON akan memulakan sistem dalam mod ujian dan anda akan melihat tera air pada desktop yang menunjukkan sesuatu seperti "Mod Ujian Windows...". Semasa mod ini aktif, anda boleh memasang dan memuatkan pemacu yang ditandatangani dengan sijil ujian.

Apabila anda telah selesai memasang atau menguji pemacu yang diperlukan , adalah dinasihatkan untuk kembali ke mod biasa dengan menjalankan arahan terbalik:

TESTSIGNING — arahan nyahaktifkan: bcdedit /set TESTSIGNING OFF

Pendekatan ini merupakan jalan tengah antara kaedah sementara 100% iaitu boot dengan F7 dan melumpuhkan semakan integriti sepenuhnya. Ia khususnya ditujukan kepada pembangun dan penguji yang bekerja dengan pemacu yang masih dalam pembangunan.

Lumpuhkan sepenuhnya pengesahan tandatangan pemandu

Terdapat kaedah yang lebih radikal yang melumpuhkan secara kekal salah satu ciri keselamatan terpenting yang berkaitan dengan pengawal: pemeriksaan integriti tandatangan. Ia merupakan penyelesaian yang ekstrem dan hanya boleh digunakan sebagai pilihan terakhir.

Ideanya mudah: untuk memberitahu Windows, menggunakan bcdedit, supaya tidak melakukan pemeriksaan integriti semasa memuatkan pemacu. Untuk melakukan ini, arahan seperti berikut biasanya digunakan dalam konsol pentadbir:

NoIntegrityChecks — lumpuhkan semakan: bcdedit.exe /set nointegritychecks on

Dengan tetapan ini, Windows akan membenarkan pemasangan dan pemuatan pemacu yang gagal dalam semakan tandatangan . Dalam erti kata lain, hampir mana-mana pemacu boleh dijalankan, tanpa mengira sumbernya, selagi mekanisme lain (seperti But Selamat) tidak menghalangnya.

Sebaik sahaja anda memasang semua pemacu yang diperlukan , adalah sangat disyorkan untuk mengembalikan perubahan ini dan kembali kepada tetapan lalai untuk memulihkan perlindungan. Untuk melakukan ini, anda boleh menjalankan:

NoIntegrityChecks — pulihkan semakan: bcdedit.exe /set nointegritychecks off

Melumpuhkan semakan ini secara kekal meningkatkan permukaan serangan dengan ketara : pemacu berniat jahat boleh memasuki laluan ini dengan kebenaran penuh dan tanpa Windows menghentikannya. Oleh itu, dalam persekitaran peribadi, biasanya lebih bijak untuk menggunakan kaedah sementara atau mencari alternatif pemacu yang ditandatangani daripada membiarkan sistem tidak dilindungi sepanjang masa.

Bahaya sebenar memasang pemacu yang tidak ditandatangani

Tandatangan pemacu mungkin kelihatan seperti gangguan apabila anda hanya mahukan penyesuai Wi-Fi atau pencetak lama anda berfungsi, tetapi perlu diingat mengapa sekatan ini wujud. Ancaman berasaskan pemacu (rootkit, bootkit, dll.) adalah antara yang paling berbahaya di luar sana.

Pengawal berniat jahat berjalan dengan keistimewaan SISTEM , melebihi keistimewaan pengguna dan banyak pertahanan. Dari situ, ia boleh memintas semua trafik rangkaian, memanipulasi sijil untuk mengalihkan sambungan ke laman web palsu, mencatat ketukan kekunci, mencuri kata laluan dan banyak lagi.

Tambahan pula, jenis perisian hasad ini selalunya hampir tidak dapat dilihat oleh antivirus dan alat keselamatan yang berjalan pada sistem pengendalian itu sendiri kerana ia dimuatkan pada tahap yang lebih rendah. Dalam banyak kes, satu-satunya cara yang boleh dipercayai untuk menyingkirkan rootkit jenis ini adalah dengan memformat dan memasang semula Windows sepenuhnya.

Oleh itu, anda tidak sepatutnya melumpuhkan penguatkuasaan tandatangan pemacu dengan ringan atau mempercayai program yang meminta anda melumpuhkannya untuk memasang "pemacu ajaib" atau "pengoptimum" yang sepatutnya. Sebelum bereksperimen dengan pilihan ini, adalah wajar mencari alternatif daripada sumber yang boleh dipercayai atau mempertimbangkan sama ada anda benar-benar memerlukan pemacu khusus itu.

Peraturan utamanya mudah: hanya pasang pemacu daripada sumber yang dipercayai , terutamanya apabila anda memutuskan untuk berehat atau melumpuhkan pengesahan tandatangan. Pintasan kecil hari ini boleh menjadi masalah besar esok jika pemacu yang dijangkiti mengambil alih komputer anda.