微软调整Windows NT内核使用超过20年的签名信任政策可能会产生兼容性问题

#系统资讯微软将从 4 月起停止信任各类旧版驱动程序，可能会产生大量的兼容性问题，但可以提高系统稳定性和安全性。这项新政策只允许内核信任 WHCP 签名的驱动，所以各种停止维护的老驱动将无法正常运行，显然这样会导致部分老旧硬件无法正常使用。查看全文：https://ourl.co/112357

微软正在计划通过新方式提升 Windows 11 的整体稳定性和安全性，不过这项变更可能会给诸多硬件制造商带来影响，当然在某些环境中可能还会影响企业的各类设备使用。

从本世纪初开始，微软就向硬件合作伙伴提供代码签名证书，这部分代码签名证书主要用于驱动程序签名，经过签名的驱动程序可以被 Windows NT 内核信任。

到 2021 年微软停止这项交叉签名根证书信任计划，之前所有已经通过该计划签发的证书也都已经过期，但基于兼容性考虑微软仍然会在内核中信任这些过期签名签发的驱动程序。

为进一步提高系统稳定性，微软决定从 4 月起调整信任方案：

调整后会造成什么问题：

很多硬件制造商可能已经停止维护某些老旧的硬件和驱动程序，甚至这些硬件制造商都已经倒闭，这种情况下硬件没有新驱动程序就可能无法正常使用。

尤其是在某些企业或工业环境中，老旧设备使用的硬件驱动程序可能早已过期，所以当微软执行新政策后就会导致这些驱动程序无法使用。

微软将提供部分豁免政策：

这种涉及到内核和驱动程序信任的调整势必会引起诸多问题，所以微软通过三种方式来继续提供必要的兼容性。

第一，微软将维护明确的允许列表，让内核可以继续加载通过交叉签名验证的、信誉良好的驱动程序。

第二，在初期新的内核信任策略将以评估模式启动，该模式会在一段时间内收集老旧驱动程序的使用情况。

第三，对于企业来说，还可以通过企业应用程序控制功能来继续使用旧的内核信任策略，这样可以继续使用旧驱动程序或自定义驱动程序 (比如企业开发仅适用于内部的驱动程序，不需要进行签名)。