信任的簽署信任模型

本文說明信任模型的概念、信任簽署提供的主要信任模型，以及如何在信任簽署支援的各種簽署案例中使用它們。

信任模型

信任模型會定義驗證數位簽名的規則和機制，並確保數位環境中通訊的安全性。 信任模型會定義在數位生態系統中的實體內建立和維護信任的方式。

對於類似 Microsoft Windows 應用程式的公開信任程式代碼簽署等簽章取用者，信任模型取決於具有屬於 Microsoft 跟證書計劃之證書頒發機構單位（CA）憑證的簽章。 因此，信任簽署信任模型的設計主要是為了支援在 Windows 上使用程式代碼簽署的 Windows Authenticode 簽署和安全性功能（例如 智慧型手機應用程控 和 Windows Defender 應用程控）。

信任簽署提供兩個主要信任模型，以支援各種不同的簽章取用 （驗證）：

• 公用信任
• 私人信任

注意

您不限於套用本文所述簽署案例中使用的信任模型。 信任的簽署旨在支援適用於 Windows 功能的 Windows 和 Authenticode 程式代碼簽署和應用程控。 它廣泛支援 Windows 以外的其他簽署和信任模型。

公用信任模型

公用信任是信任簽署中提供的兩個信任模型之一，也是最常用的模型。 公開信任模型中的憑證會從 Microsoft 身分識別驗證跟證書授權單位 2020 發行，並符合 Microsoft PKI 服務第三方認證實務聲明（CPS）。 此根 CA 包含在信賴憑證者的跟證書計劃中，例如 Microsoft 跟證書計劃，用於程式代碼簽署和時間戳。

信任簽署中的公用信任資源是設計來支援下列簽署案例和安全性功能：

• Win32 應用程式程式代碼簽署
• Windows 11 中的智慧型應用程式控制件
• /INTEGRITYCHECK 可攜式可執行文件的強制完整性簽署 （PE） 二進位檔
• 虛擬化型安全性 （VBS） 記憶體保護區

建議您使用公用信任來簽署您想要公開共用的任何成品。 簽署者應該是經過驗證的法律組織或個人。

注意

信任簽署包含 [公開信任] 集合下「測試」憑證配置檔的選項，但憑證並非公開信任。 公用信任測試憑證配置檔是用於內部迴圈開發/測試簽署，不應受到信任。

私人信任模型

私人信任是信任簽署中提供的第二個信任模型。 當整個生態系統中不廣泛信任簽章時，就適合選擇加入信任。 用於信任簽署私人信任資源的 CA 階層不會在任何根程式和 Windows 中預設信任。 相反地，其設計目的是在商務用 App Control 中使用 （先前稱為 Windows Defender 應用程控、 WDAC） 功能，包括：

• 使用程式代碼簽署搭配 WDAC 新增控件和保護
• 使用已簽署的原則來保護 Windows Defender 應用程控防止竄改
• 選擇性：建立適用於 Windows Defender 應用程控的程式代碼簽署憑證

如需如何使用信任簽署參考設定及簽署 WDAC 原則的詳細資訊，請參閱 信任簽署快速入門。

後續步驟

設定信任的簽署