已经购买了数字签名 为什么驱动安装时依然提示“windows 无法验证驱动程序软件的发行者”

[shakaqrj]

已经购买了数字签名 为什么驱动安装时依然提示“windows 无法验证驱动程序软件的发行者”

购买了数字签名后，依次对sys,dll,cat进行了签名
signtool也验证签名没问题了

右击各个文件的属性，也能看到数字签名

但安装驱动时依然提示，不知道还有没有什么需要做的 谢谢

[mdcire]

你的驱动签名算法是sha2还是sha1的？应该是sha2的吧。在一些系统上有可能会出现这种情况，例如win10的一些系统，像16xx,home版之类的它无法识别sha2的驱动签名，但可以识别到sha1的，很垃圾。win7的一些系统如果没有打专门的补丁只能识别sha1。理论上sha2签名是没有问题的，但系统有Bug你也没办法，所以很多sys文件的签名都是双签名，即同时有两个数字签名，一个sha2,一个sha1，这样就避免问题。不过双签名需要专门签名工具支持，貌似单独要买的，一个signtool无法实现。

[Eleven]

针对了不同的平台?

[worldy]

买到假的了吧？

[赵4老师]

我总感觉签名是“搬起石头砸自己的脚”。

[shakaqrj]

我开始用SHA1的 后来改成SHA256了 还是不行 说win10数字签名政策改了？ https://docs.microsoft.com/en-us/windows-hardware/drivers/install/kernel-mode-code-signing-policy--windows-vista-and-later-

[汪宁宇]

先签名dll, sys, exe，最后根据这些签好的生成cat，最后签cat

[red-fly]

我之前签名似乎没有遇到过这种情况，签成功了之后就可以正常使用，多个版本的os上都没有问题。 不过我的是ocx 控件，不是驱动程序 楼上说的win10，这个我倒没有注意

[汪宁宇]

引用 7 楼 jszj 的回复:

我之前签名似乎没有遇到过这种情况，签成功了之后就可以正常使用，多个版本的os上都没有问题。 不过我的是ocx 控件，不是驱动程序 楼上说的win10，这个我倒没有注意

一样的签名方法，现在最后用sha1,sha2双签名，我们的驱动只用sha1,WIN10也是可以的

[赵4老师]

引用 9 楼 shakaqrj 的回复:

现在的问题是wn10起码安装驱动没问题，win7却是驱动安装不成功 设备管理器有警告 问了颁证机构（赛门铁克），说是win7只支持sha1，不支持sha256, 现在颁发的签名都是sha256的了 解决方法 是要么购买SHA1 双签名（但SHA1只能购买一年的，我在想一年后咋办，他说他们可能后面就没有SHA1的了） 要么给系统打补丁，我按照给的链接下载补丁 安装时却说系统不支持。。 请问win7应该怎么打补丁呢？后来我让那台电脑做了全部更新 发现也不行。。。

显然你是被石头砸到脚了。

[shakaqrj]

那应该如何做？

[shakaqrj]

现在的问题是wn10起码安装驱动没问题，win7却是驱动安装不成功 设备管理器有警告 问了颁证机构（赛门铁克），说是win7只支持sha1，不支持sha256, 现在颁发的签名都是sha256的了 解决方法 是要么购买SHA1 双签名（但SHA1只能购买一年的，我在想一年后咋办，他说他们可能后面就没有SHA1的了） 要么给系统打补丁，我按照给的链接下载补丁 安装时却说系统不支持。。 请问win7应该怎么打补丁呢？后来我让那台电脑做了全部更新 发现也不行。。。

[Dobzhansky]

用 win10 带的signtool ， 支持双签名 前提是供应商给你更新了支持双签名的证书 signtool.exesign /f codesign.sha1.pfx /p passwd /t http://timestamp.globalsign.com/scripts/timestamp.dll a.dll signtool.exe sign /f codesign.sha256.pfx /p passwd /as /fd sha256 /tr http://timestamp.globalsign.com/?signature=sha2 /td sha256 a.dll

[菲姐姐]

不是签名证书的问题，也不是证书的算法问题，签名后还需要完成WHQL认证，才没有这个提示

[Eric___Lee]

引用 1 楼 mdcire 的回复:

你的驱动签名算法是sha2还是sha1的？应该是sha2的吧。在一些系统上有可能会出现这种情况，例如win10的一些系统，像16xx,home版之类的它无法识别sha2的驱动签名，但可以识别到sha1的，很垃圾。win7的一些系统如果没有打专门的补丁只能识别sha1。理论上sha2签名是没有问题的，但系统有Bug你也没办法，所以很多sys文件的签名都是双签名，即同时有两个数字签名，一个sha2,一个sha1，这样就避免问题。不过双签名需要专门签名工具支持，貌似单独要买的，一个signtool无法实现。

对的，我曾经在win7 64位系统上安装带有数字签名的驱动后总是报错，无法验证签名，在系统上安装一个补丁后就正常了，看了一下补丁内容，增加了签名算法sha2的支持。 不过我看网上有说安装补丁总是失败，可以看一下微软提供的异常情况和解决方法 补丁名称：Windows 7 安全更新程序 (KB3033929) 补丁链接：https://www.microsoft.com/zh-cn/download/details.aspx?id=46078 异常及解决方法：https://support.microsoft.com/zh-cn/help/3033929/microsoft-security-advisory-availability-of-sha-2-code-signing-support