电脑驱动程序数字签名用于验证文件完整性与发布者身份，windows通过检查签名有效性、证书信任链、eku用途、microsoft .cat 文件及启用内核签名强制策略来确保驱动安全。
电脑驱动程序数字签名是一种由可信证书颁发机构签发的电子凭证，用于验证驱动程序文件的完整性和发布者身份。当系统加载驱动时，Windows 会检查该签名是否有效、是否来自受信任的根证书，并确认驱动自签名后未被篡改。以下是验证驱动来源并确保其安全性的具体操作方式：
一、查看驱动程序的数字签名信息
通过属性界面可直接读取驱动文件（如 .sys 或 .cat）所绑定的签名详情，包括证书颁发者、有效期及签名时间戳，从而判断其是否由合法开发者发布且未被恶意替换。
1、在“设备管理器”中右键目标设备，选择“属性”。
2、切换到“驱动程序”选项卡，点击“驱动程序详细信息”。
3、在列表中找到主驱动文件（通常为 .sys 文件），右键该文件并选择“属性”。
4、切换至“数字签名”选项卡，选中签名条目后点击“详细信息”。
5、在弹出窗口中点击“查看证书”，检查“常规”页中的“颁发给”字段与“有效期至”时间。
二、使用 SignTool 验证签名有效性
SignTool 是 Windows SDK 提供的命令行工具，能对驱动文件执行深度签名验证，支持检测签名是否符合 PnP 安装策略、是否启用内核模式签名要求等关键安全条件。
1、以管理员身份打开“开发人员命令提示符（x64）”。
2、输入命令：signtool verify /v /pa DriverFileName.sys，其中 DriverFileName.sys 替换为实际驱动文件名。
3、观察输出结果中是否包含“Successfully verified”字样。
4、若出现“Signer certificate is not in the trusted people store”提示，则说明签名证书未被系统信任。
5、若返回“Error: No signature found”或“Invalid signature”，则表明该驱动未签名或签名已损坏。
三、检查证书增强型密钥用法（EKU）
EKU 字段定义了证书的用途范围，驱动签名证书必须包含特定 OID（如 1.3.6.1.4.1.311.10.3.6 表示内核模式代码签名），否则即使证书本身有效，Windows 也不会接受其用于驱动加载。
1、右键点击驱动对应的 .cat 或 .sys 文件，选择“属性”。
2、进入“数字签名”选项卡，双击签名条目打开证书窗口。
3、切换至“详细信息”选项卡，向下滚动查找“增强型密钥用法”字段。
4、确认其值中包含Microsoft Kernel Mode Code Signing或对应 OID 结尾为 6。
5、若显示为“Windows Hardware Driver Verification”且 OID 结尾为 5，则仅为测试签名，不具备生产环境部署资格。
四、比对 Microsoft 签名返回的 .cat 文件
经 Windows 硬件仪表板认证后，Microsoft 会生成并返回一个由其私钥签署的 .cat 文件，该文件覆盖原始提交中的所有签名数据，是官方授权发布的唯一可信依据。
1、登录合作伙伴中心硬件仪表板，定位已完成认证的驱动提交。
2、在“驱动程序详细信息”页的“包和签名属性”区域，点击“更多”→“下载签名文件”。
3、解压下载的 ZIP 包，提取其中的 .cat 文件。
4、右键该 .cat 文件，选择“属性”→“数字签名”→“详细信息”→“查看证书”。
5、确认证书“颁发者”字段为Microsoft Windows Hardware Compatibility Publisher。
五、启用内核模式签名强制策略进行运行时验证
启用内核调试模式下的签名强制策略，可在系统启动阶段拦截任何未经有效签名的驱动加载行为，从源头杜绝非法驱动注入风险。
1、以管理员身份运行命令提示符。
2、执行命令：bcdedit /set testsigning off 关闭测试签名模式。
3、执行命令：bcdedit /set nointegritychecks off 确保完整性检查启用。
4、执行命令：bcdedit /set loadoptions ENABLE_INTEGRITY_CHECKS 显式开启内核完整性校验。
5、重启计算机后，在设备管理器中尝试更新可疑驱动，观察是否触发“此驱动程序未通过数字签名验证”警告。
