Jak weryfikować podpisy sterowników w systemie Windows i unikać błędów

Sterowniki urządzeń są kluczowym elementem systemu Windows, umożliwiającym komunikację ze sprzętem : kartą graficzną, drukarką, kartą Wi-Fi, kartą dźwiękową itp. Gdy sterownik przestaje działać, pojawiają się dziwne błędy, urządzenia przestają działać lub dochodzi do trudnych do wyjaśnienia awarii. Co więcej, Microsoft od lat wymaga cyfrowego podpisu wielu z tych sterowników , aby mogły się poprawnie załadować.

Weryfikacja podpisu sterownika w systemie Windows to skuteczne zabezpieczenie, ale może być również prawdziwym problemem, gdy trzeba zainstalować starszy sterownik, sterownik testowy lub sterownik od producenta, który nie został zatwierdzony przez firmę Microsoft. W tym artykule szczegółowo wyjaśnimy, czym jest weryfikacja podpisu sterownika, jak ją przeprowadzić, co zrobić w przypadku wystąpienia słynnego błędu „System Windows nie może zweryfikować podpisu cyfrowego… (kod 52)” oraz jakie są dostępne metody wyłączenia (tymczasowo lub na stałe) tej weryfikacji, a także wszystkie związane z tym zagrożenia.

Czym właściwie jest podpisywanie sterowników w systemie Windows?

Cyfrowy podpis sterownika działa jak certyfikat autentyczności , podobny do tego używanego w podpisanych aplikacjach. Zasadniczo wskazuje on, że plik sterownika nie został zmodyfikowany od czasu podpisania go przez programistę i że przeszedł on proces weryfikacji, który Microsoft uznaje za wiarygodny.

Gdy producent przesyła swoje sterowniki do firmy Microsoft , mogą one zostać przetestowane (na przykład za pomocą HLK/HCK) lub poświadczone. W obu przypadkach rezultatem jest pakiet podpisany certyfikatem wydanym przez firmę Microsoft. Ten podpis gwarantuje, że sterownik jest przeznaczony dla konkretnego systemu operacyjnego i zastosowania oraz że nie został uszkodzony ani zmodyfikowany między źródłem a komputerem.

Dla przeciętnego użytkownika ten podpis działa jak filtr bezpieczeństwa : system Windows domyślnie ładuje tylko te sterowniki, które przeszły proces zatwierdzania. Jeśli spróbujesz zainstalować niepodpisany sterownik lub sterownik z nieprawidłowym podpisem, system może go zablokować, wyświetlić ostrzeżenia lub po prostu nie załadować urządzenia, szczególnie w 64-bitowych wersjach systemu Windows Vista i nowszych.

W tle podpisywanie sterowników pomaga również zwalczać bardzo poważne zagrożenia, takie jak rootkity, które podszywają się pod sterowniki systemowe, aby uzyskać uprawnienia SYSTEMOWE . Po zainstalowaniu takiego złośliwego oprogramowania jako sterownika, może ono monitorować ruch, przechwytywać połączenia za pomocą sfałszowanych certyfikatów, wyłączać oprogramowanie antywirusowe i ukrywać się na bardzo niskim poziomie, co praktycznie uniemożliwia wykrycie bez ponownego formatowania.

Dlatego ogólna zasada jest jasna : zawsze, gdy to możliwe, używaj podpisanych sterowników od producenta lub z usługi Windows Update . Powinieneś pominąć proces podpisywania tylko wtedy, gdy masz ku temu ważny powód i dokładnie wiesz, co instalujesz.

Studium przypadku: Kod błędu 52 „System Windows nie może zweryfikować podpisu cyfrowego...”

Począwszy od systemów Windows Vista x64 i Windows Server 2008 , dość często pojawia się komunikat o błędzie: „System Windows nie może zweryfikować podpisu cyfrowego sterowników wymaganych dla tego urządzenia. Niedawna zmiana sprzętu lub oprogramowania mogła spowodować zainstalowanie pliku, który nie jest prawidłowo podpisany, jest uszkodzony lub jest złośliwym oprogramowaniem z nieznanego źródła. (Kod 52)”.

Ten komunikat oznacza po prostu, że podpis sterownika nie jest ważny dla zasad aktualnie aktywnych w systemie. Może to być spowodowane brakiem podpisu sterownika, brakiem zaufania do wystawiającego go urzędu, wygaśnięciem certyfikatu lub naruszeniem integralności pliku.

W praktyce skutkuje to tym, że system Windows uniemożliwia działanie urządzenia . Jest to typowe na przykład w przypadku niektórych kart Wi-Fi USB , takich jak niektóre modele TP-Link TL-WN722N: Menedżer urządzeń rozpoznaje je, ale wyświetla kod błędu 52, a urządzenie nie działa, dopóki system nie zostanie uruchomiony z tymczasowo wyłączonym wymuszaniem podpisu sterownika (za pomocą klawisza F8 lub zaawansowanych opcji uruchamiania).

Jeśli musisz naciskać klawisz F8 lub korzystać z zaawansowanych opcji uruchamiania przy każdym uruchomieniu, aby sterownik działał, to znak, że problem leży w podpisie. Sterownik jest nieaktualny, został zmodyfikowany lub używa certyfikatu, który nie jest zaufany dla używanej wersji systemu Windows.

Najlepszym rozwiązaniem, o ile to możliwe, jest pobranie prawidłowo podpisanej wersji sterownika , albo z oficjalnej strony producenta, albo za pośrednictwem usługi Windows Update. Jeśli to niemożliwe, istnieją metody łagodzenia lub wyłączania weryfikacji podpisu, ale należy je stosować z najwyższą ostrożnością.

Jak zweryfikować podpis firmy Microsoft w zgłoszeniu sterownika

W środowiskach rozwoju, testowania i dystrybucji sprzętu często zachodzi potrzeba weryfikacji, czy zestaw sterowników jest rzeczywiście podpisany przez firmę Microsoft , a jeśli tak, to czy poprzez atestację, czy poprzez przejście testów HLK/HCK. Aby to zrobić, pierwszym krokiem jest pobranie podpisanego pakietu z odpowiedniego pulpitu nawigacyjnego sprzętu firmy Microsoft.

Ogólna procedura pobierania podpisanych plików sterowników z przesyłki jest następująca: należy zlokalizować przesyłkę w portalu sprzętowym, wybrać prywatny identyfikator produktu, wprowadzić dane sterownika i w sekcji „Właściwości pakietów i podpisu” wybrać opcję „Więcej”, a następnie „Pobierz podpisane pliki”.

Po pobraniu pakietu kluczowym elementem jest zazwyczaj plik .cat powiązany ze sterownikiem. Ten katalog zawiera informacje o podpisie i certyfikacji. Można tam sprawdzić certyfikat użyty do podpisu i jego dozwolone zastosowania.

Aby zweryfikować podpis Microsoft za pomocą interfejsu graficznego , kliknij prawym przyciskiem myszy plik .cat sterownika, otwórz „Właściwości”, a następnie zakładkę „Podpisy cyfrowe”. Zobaczysz tam nazwę certyfikatu użytego do podpisu. Klikając „Szczegóły” przy tym podpisie i przechodząc do zakładki „Szczegóły” certyfikatu, możesz wyświetlić pole „Ulepszone użycie klucza” (EKU).

Kod EKU wskazuje, do czego można użyć danego certyfikatu podpisującego . W przypadku sterowników sprzętowych systemu Windows używane są konkretne identyfikatory obiektów (OID). OID kończący się na 5 zazwyczaj odpowiada typowi podpisu bez poświadczenia, natomiast OID kończący się na 1 oznacza, że ​​sterownik jest podpisany poświadczeniem. To rozróżnienie jest istotne, gdy masz dwie wersje tego samego sterownika i chcesz wiedzieć, która jest która.

Weryfikacja podpisów za pomocą narzędzia SignTool (podpis osadzony w plikach .sys)

Oprócz podpisu w katalogu .cat , wiele sterowników jądra ma podpis osadzony bezpośrednio w pliku .sys. Do sprawdzenia tego typu podpisu standardowym narzędziem jest SignTool , zawarty w pakiecie Windows SDK i narzędziach programistycznych firmy Microsoft.

Typowe polecenie weryfikujące podpis osadzony w sterowniku wygląda mniej więcej tak:

SignTool — sprawdź podpis: SignTool verify /v /pa DriverFileName.sys

W tym poleceniu opcja `verify` nakazuje programowi SignTool weryfikację podpisu określonego pliku sterownika. Przełącznik ` /v` włącza wyświetlanie szczegółowych komunikatów, komunikatów o postępie i ewentualnych ostrzeżeń, natomiast ` /pa` wymusza sprawdzenie zgodnie z wymaganiami dotyczącymi podpisu dla instalacji urządzenia Plug and Play.

Należy pamiętać, że SignTool nie wymaga określenia dokładnego certyfikatu użytego do podpisania pliku; po prostu przeszukuje magazyny certyfikatów systemu, aby sprawdzić, czy łańcuch zaufania prowadzi do zaufanego głównego urzędu certyfikacji. Dlatego, jeśli używasz certyfikatów testowych, musisz najpierw zainstalować ten certyfikat w magazynie „Zaufane główne urzędy certyfikacji” na komputerze, którego używasz do weryfikacji.

SignTool — praktyczny przykład: SignTool verify /v /pa amd64\toaster.sys

Jeśli weryfikacja się nie powiedzie, SignTool wyświetli komunikaty o błędach, wskazujące czy problem polega na tym, że nie można znaleźć certyfikatu, łańcuch nie dociera do zaufanego korzenia, użyte klucz jest nieodpowiednie lub podpis nie pasuje do faktycznej zawartości pliku (plik jest zmanipulowany lub uszkodzony).

Podpisane, niepodpisane i ogólne sterowniki systemu Windows

W codziennym życiu użytkowników systemu Windows występują zasadniczo trzy rodzaje sterowników : ogólne dostarczane przez sam system, oficjalne sterowniki producenta oraz, w mniejszym stopniu, mniej znane sterowniki innych firm lub wersje próbne.

Standardowe sterowniki Microsoft są instalowane automatycznie, dzięki czemu można korzystać z większości sprzętu od pierwszego uruchomienia. Zazwyczaj oferują one podstawowy zestaw funkcji: na przykład, w przypadku drukarki wielofunkcyjnej możliwe jest jedynie drukowanie, ale nie skanowanie ani korzystanie z zaawansowanych funkcji panelu.

Sterowniki dostarczane przez producenta sprzętu zazwyczaj dodają dodatkowe funkcje, poprawiają wydajność i udostępniają określone narzędzia: panele sterowania, narzędzia do kalibracji, profile kolorów, specjalne funkcje dźwiękowe itp. Jeśli musisz całkowicie odinstalować procesor graficzny, użyj DDU.

Bardzo często zdarza się, że podczas wyszukiwania sterowników w Google, jako pierwsze pojawiają się witryny innych firm , obiecujące „pobranie dowolnego sterownika” lub automatyczną instalację. Tego typu witryny są typowym źródłem złośliwego oprogramowania i zmodyfikowanych sterowników, dlatego najlepiej ich unikać. Jeśli w systemie włączona jest weryfikacja podpisów, wiele z tych sterowników zostanie zablokowanych, ponieważ zostaną wykryte jako nieprawidłowe. Jeśli wolisz narzędzie do identyfikacji sterowników, możesz skorzystać z Driver Easy.

Wreszcie istnieją sterowniki testowe lub te od mniejszych deweloperów , które mogą być podpisane certyfikatami z podpisem własnym lub przez podmioty nierozpoznawane domyślnie przez system Windows. W takich przypadkach zaczynają pojawiać się ostrzeżenia i błędy, takie jak kod 52.

Metoda 1: Uruchomienie poprzez tymczasowe wyłączenie podpisywania sterowników

Najprostszym i najmniej inwazyjnym sposobem na ominięcie tego ograniczenia jest użycie opcji uruchamiania „Wyłącz wymuszanie obowiązkowego podpisu sterownika”. Ten tryb dotyczy tylko tej sesji: po następnym uruchomieniu system Windows powraca do standardowego zachowania.

Pomysł jest prosty: uruchamiasz system z tą opcją , instalujesz problematyczny sterownik, a następnie restartujesz go normalnie. Ma to tę zaletę, że skraca czas, w którym system pozostaje bez ochrony, choć nie zawsze gwarantuje, że sterownik będzie działał przy kolejnych próbach rozruchu bez podpisu.

W systemach Windows 8, Windows 10 i Windows 11 klasyczny klawisz F8 jest domyślnie ukryty , więc standardowym sposobem dostępu do zaawansowanych opcji uruchamiania jest samo uruchomienie systemu. Możesz przytrzymać klawisz Shift , klikając „Uruchom ponownie” w menu Start, lub uruchomić następujące polecenie w wierszu polecenia lub oknie Uruchom:

Zaawansowany dostęp do logowania: shutdown.exe /r /o

Po ponownym uruchomieniu system Windows wyświetli menu opcji diagnostycznych . Następnie należy przejść do „Rozwiązywanie problemów” > „Opcje zaawansowane” > „Ustawienia uruchamiania”. Po kliknięciu przycisku OK system uruchomi się ponownie, a na ekranie pojawi się lista opcji. Wśród nich będzie opcja „Wyłącz wymuszanie podpisu sterownika”, którą zazwyczaj wybiera się, naciskając klawisz F7.

W systemach Windows 7 , Windows Vista i równoważnych wersjach systemu Windows Server klawisz F8 jest zazwyczaj dostępny podczas uruchamiania. Wystarczy nacisnąć go kilkakrotnie podczas uruchamiania komputera, przejść do opcji zaawansowanych i wybrać opcję „Wyłącz wymuszanie podpisu sterownika”.

Metoda 2: Trwała modyfikacja procesu rozruchu za pomocą bcdedit

Jeśli musisz trwale wyłączyć weryfikację podpisu (na przykład w środowisku testowym lub laboratoryjnym), możesz skorzystać z bcdedit , narzędzia wiersza poleceń , które umożliwia zmianę ustawień menedżera rozruchu systemu Windows.

W przeciwieństwie do poprzedniej metody tymczasowej, zmiany wprowadzone za pomocą bcdedit są zachowywane po każdym ponownym uruchomieniu, aż do momentu ich cofnięcia. Z tego powodu należy zachować szczególną ostrożność, ponieważ istnieje ryzyko załadowania sterowników bez prawidłowego podpisu.

Aby wyłączyć sprawdzanie za pomocą bcdedit , otwórz okno wiersza poleceń z uprawnieniami administratora (kliknij prawym przyciskiem myszy „Uruchom jako administrator”) i uruchom na przykład:

bcdedit — włącz tryb testowy i wyłącz integralność: bcdedit /set testsigning on
bcdedit /set nointegritychecks on

Parametr `testsigning on` aktywuje tryb testowy , który umożliwia programistom ładowanie sterowników testowych podpisanych certyfikatami testowymi. Wartość `nointegritychecks on` wyłącza sprawdzanie integralności podpisu, umożliwiając systemowi Windows ładowanie sterowników nawet wtedy, gdy ich podpis nie przejdzie standardowej walidacji.

Jeśli chcesz powrócić do normalnego zachowania systemu Windows , musisz usunąć te wartości z konfiguracji programu ładującego za pomocą:

bcdedit — przywróć testsigning/nointegritychecks: bcdedit /deletevalue testsigning
bcdedit /deletevalue nointegritychecks

Jeśli masz jakiekolwiek wątpliwości co do tego, które wartości są aktualnie aktywne , możesz sprawdzić ustawienia za pomocą:

Sprawdź stan ładowarki: bcdedit /v

Przed zastosowaniem tego typu trwałych zmian należy pamiętać o dwóch ważnych kwestiach : jeśli funkcja BitLocker jest włączona, należy ją tymczasowo wyłączyć, a jeśli w systemie BIOS/UEFI włączona jest funkcja Secure Boot , należy ją wyłączyć, ponieważ mechanizm ten zapobiega ładowaniu niezweryfikowanych systemów lub konfiguracji.

Wyłącz podpisywanie sterowników z zasad grupy

Użytkownicy systemów Windows 10/11 Pro i ich odpowiedników mogą dostosować sposób podpisywania sterowników za pomocą Edytora lokalnych zasad grupy (gpedit.msc). Ta metoda nie jest dostępna w wersjach Home.

Aby z niego skorzystać, otwórz okno dialogowe Uruchom za pomocą kombinacji klawiszy Win + Rpisze gpedit.msc i naciśnij Enter. W otwartym edytorze przejdź do „Konfiguracja użytkownika” > „Szablony administracyjne” > „System” > „Instalacja sterowników”.

W tej ścieżce znajdziesz opcję „Podpisywanie kodu dla sterowników urządzeń” . Kliknij ją dwukrotnie, aby otworzyć ustawienia. Tam możesz wybrać jedną z różnych zasad: ostrzegaj, blokuj lub zezwalaj.

Jeśli wybierzesz opcję „Wyłącz” lub zmienisz ustawienia tak, aby podpis nie był wymagany , system Windows będzie mniej rygorystyczny podczas instalowania sterowników. Należy jednak pamiętać, że dotyczy to kontekstu użytkownika i może nie obejmować wszystkich przypadków, w których jądro lub sterowniki są ładowane na bardzo wczesnych etapach rozruchu.

Po zmianie tej zasady zaleca się ponowne uruchomienie komputera, aby upewnić się, że nowe reguły zostały w pełni zastosowane. Po zainstalowaniu problematycznego sterownika należy rozważyć powrót do bardziej restrykcyjnej konfiguracji, aby uniknąć pozostawienia tej luki w zabezpieczeniach w nieskończoność.

Tryb testowy w systemie Windows

System Windows zawiera „Tryb testowy” zaprojektowany specjalnie na potrzeby scenariuszy, w których konieczne jest uruchomienie sterowników lub aplikacji, które nie są podpisane standardowymi certyfikatami. W tym trybie sterowniki testowe można załadować bez konieczności ich podpisania przez uznany przez firmę Microsoft urząd certyfikacji.

Do włączania i wyłączania tego trybu służy również bcdedit . Z poziomu konsoli z uprawnieniami administratora można sterować parametrem TESTSIGNING . Chociaż wiele poradników pokazuje to na odwrót, typowa operacja wygląda następująco:

TESTSIGNING — polecenie aktywujące: bcdedit /set TESTSIGNING ON

Ustawienie parametru TESTSIGNING na ON uruchamia system w trybie testowym , a na pulpicie pojawi się znak wodny z informacją w stylu „Tryb testowy systemu Windows...”. Gdy ten tryb jest aktywny, można instalować i ładować sterowniki podpisane certyfikatami testowymi.

Po zakończeniu instalacji lub testowania niezbędnych sterowników zaleca się powrót do trybu normalnego poprzez uruchomienie polecenia odwrotnego:

TESTSIGNING — polecenie dezaktywacji: bcdedit /set TESTSIGNING OFF

To podejście stanowi swego rodzaju kompromis między w 100% tymczasową metodą rozruchu za pomocą klawisza F7 a całkowitym wyłączeniem kontroli integralności. Jest ono szczególnie polecane deweloperom i testerom pracującym ze sterownikami, które są jeszcze w fazie rozwoju.

Całkowicie wyłącz weryfikację podpisu kierowcy

Istnieje bardziej radykalna metoda, która trwale wyłącza jedną z najważniejszych funkcji bezpieczeństwa kontrolerów: sprawdzanie integralności podpisów. Jest to rozwiązanie ekstremalne i powinno być stosowane tylko w ostateczności.

Pomysł jest prosty: za pomocą bcdedit wskazać systemowi Windows, aby nie przeprowadzał kontroli integralności podczas ładowania sterowników. Aby to zrobić, zazwyczaj używa się następującego polecenia w konsoli administratora:

NoIntegrityChecks — wyłącz sprawdzanie: bcdedit.exe /set nointegritychecks on

Dzięki temu ustawieniu system Windows zezwoli na instalację i ładowanie sterowników, które nie przejdą kontroli podpisu . Innymi słowy, praktycznie każdy sterownik może zostać uruchomiony, niezależnie od źródła, o ile inne mechanizmy (takie jak Bezpieczny rozruch) nie będą temu przeszkadzać.

Po zainstalowaniu wszystkich niezbędnych sterowników zdecydowanie zaleca się cofnięcie tej zmiany i powrót do ustawień domyślnych w celu przywrócenia ochrony. Aby to zrobić, uruchom polecenie:

NoIntegrityChecks — przywracanie kontroli: bcdedit.exe /set nointegritychecks off

Trwałe wyłączenie tych kontroli znacząco zwiększa powierzchnię ataku : złośliwy sterownik może dostać się do systemu z pełnymi uprawnieniami i bez konieczności blokowania go przez system Windows. Dlatego w środowiskach osobistych zazwyczaj rozsądniej jest stosować metody tymczasowe lub szukać podpisanych alternatyw dla sterowników, niż pozostawiać system cały czas bez ochrony.

Prawdziwe zagrożenia związane z instalacją niepodpisanych sterowników

Podpisywanie sterowników może wydawać się uciążliwe, gdy zależy Ci tylko na sprawnym działaniu karty Wi-Fi lub starej drukarki, ale warto pamiętać, dlaczego istnieje to ograniczenie. Zagrożenia związane ze sterownikami (rootkity, bootkity itp.) należą do najgroźniejszych.

Złośliwy kontroler działa z uprawnieniami SYSTEM , wyższymi od uprawnień użytkownika i wieloma zabezpieczeniami. Dzięki temu może przechwytywać cały ruch sieciowy, manipulować certyfikatami, aby przekierowywać połączenia do fałszywych stron internetowych, rejestrować naciśnięcia klawiszy, kraść hasła i wiele więcej.

Co więcej, ten rodzaj złośliwego oprogramowania jest często praktycznie niewidoczny dla programów antywirusowych i zabezpieczających działających w samym systemie operacyjnym, ponieważ ładuje się na niższym poziomie. W wielu przypadkach jedynym niezawodnym sposobem na pozbycie się tego typu rootkita jest całkowite sformatowanie i ponowna instalacja systemu Windows.

Dlatego nigdy nie należy wyłączać wymuszania podpisów sterowników bez powodu ani ufać programom, które proszą o wyłączenie tego mechanizmu w celu zainstalowania rzekomych „magicznych sterowników” lub „optymalizatorów”. Zanim zaczniesz eksperymentować z tymi opcjami, warto poszukać alternatyw z wiarygodnych źródeł lub zastanowić się, czy faktycznie potrzebujesz tego konkretnego sterownika.

Złota zasada jest prosta: instaluj sterowniki tylko z zaufanych źródeł , zwłaszcza jeśli zdecydujesz się zrezygnować z weryfikacji podpisów lub ją wyłączyć. Mały skrót dzisiaj może stać się ogromnym problemem jutro, jeśli zainfekowany sterownik przejmie kontrolę nad Twoim komputerem.