security - 适用于 64 位 Windows 的 Thawte 驱动程序签名

Question

如果这个问题偏离主题，请推荐另一个 StackExchange 网站来发布此问题:-)

我公司最近从 Thawte 购买了 G2 代码签名证书。我已经完成了签署 64 位驱动程序所需的所有步骤，因此可以在 Windows 7 64 位下安装它。

也就是说，我有:

• 下载了 G2 Thawte 交叉证书
• 获得了我们自己的 Thawte 证书(实际上是一个 .p12 文件，我必须将其导入并重新导出为 .pfx 文件才能使其正常工作)
• 通过以下命令成功签署驱动程序:signtool.exe sign/ac cross.cer/f private_key.pfx/p *****/t "http://timestamp.verisign.com/scripts/timstamp.dll"/v my_driver.sys
• 将我们的公司证书(甚至是第一个不起作用时的所有 Thawte 证书)导入到计算机的受信任根颁发机构和受信任发布者中
• 将 thawte 交叉证书导入中级证书颁发机构

我尝试使用 signtool.exe verify/pa/v my_driver.sys 验证签名，已通过。如果我不在命令行中使用/pa，则会显示“SignTool 错误:证书链已处理，但终止于信任提供者不信任的根证书”。 (这是我应该担心的事情吗？)

现在，当我尝试使用简单的 INF 文件(不是 cab 文件)安装驱动程序时，结果是有关 Windows 无法验证驱动程序发行者的红色警告。当我选择不安装驱动程序时，我收到以下额外消息:无法验证文件，因为它没有通过 Authenticode(tm) 签名的关联目录。

我读到，Thawte 过去不能真正用于对这样的驱动程序进行签名，因为不知何故 MS 停止支持它，但它仍然在其网站上列出了交叉证书。不确定这是否仍然有效，找不到任何证据。

如有任何建议，我们将不胜感激。

Answer 1

您需要向您的 inf 文件添加 CatalogFile 引用，运行 Inf2Cat.exe (在 DDK 中)生成 cat 文件，然后使用 signtool.exe 对其进行签名。