Annexe 4 : Problèmes de signature de pilotes

Deux problèmes de signature de pilote connus sont décrits ci-dessous.

Problème de signature avec le système d’exploitation précédent

Chaque nouvelle version de Windows et, par la suite, dans les Service Packs publiés, les certificats racines des fournisseurs d’autorité de certification certifiés Microsoft, les fournisseurs nouveaux ou existants avec de nouveaux certificats sont ajoutés à l’image du système d’exploitation. Par exemple, Vista, XP, etc. Les systèmes d’exploitation peuvent rencontrer des problèmes de signature inconnus ou des problèmes de signature non signés si l’ordinateur testé n’est pas connecté à Internet. Si l’ordinateur testé est connecté à Internet, les nouveaux certificats sont automatiquement téléchargés lorsqu’un pilote est installé et aucun problème n’est détecté. Parfois, les fournisseurs d’autorité de certification sont également en mesure de résoudre les problèmes lorsque l’ordinateur sous test n’est pas connecté à Internet.

Erreur code 52

Il existe un bogue connu pour le système d’exploitation Windows 7 x64, lorsqu’un fichier catalogue (.cat) est signé à l’aide d’un nouveau certificat de signature publié VeriSign qui utilise l’algorithme SHA256. Si vous ouvrez le fichier cat signé et affichez la signature, puis sélectionnez l’onglet Détails que vous remarquerez :

Pour résoudre le problème, vous pouvez demander à VeriSign de fournir un certificat de remplacement sans coût signé avec l’algorithme de hachage SHA1.

Vous pouvez également acheter un autre certificat SHA1 et signer le fichier avec deux signatures comme indiqué ci-dessous si vous souhaitez conserver les deux certificats. Notez que seuls les fichiers .sys peuvent être double signés, car ils sont des fichiers PE.

Signtool sign /fd sha256 /ac C:\MyCrossCert\Crosscert.cer /s my /n “MyCompany Inc. “ /ph /as /sha1 XX...XX C:\DriverDir\toaster.SYS

Où XX... XX est le hachage du certificat que vous utilisez pour la signature secondaire. Ajoutez /tr à la signature d’horodatage.

Remarque : Consultez l’avis de sécurité Microsoft (2880823) « Dépréciation de l’algorithme de hachage SHA-1 pour le programme de certificat racine Microsoft » qui décrit une modification de stratégie dans laquelle Microsoft n’autorise plus les autorités de certification racine à émettre des certificats X.509 à l’aide de l’algorithme de hachage SHA-1 à des fins de signature ssl et de code après le 1er janvier 2016.

L’utilisation du certificat SHA1 sera déconseillée par Microsoft à partir du 1er janvier 2016. Tous les fournisseurs d’autorité de certification doivent émettre des certificats de signature avec l’algorithme de hachage SHA256.

Windows cesse d’accepter les certificats de signature de code SHA1 sans horodatage après le 1er janvier 2016.