Kernel-Mode Driver İmzalama Neden Zorunlu?
Windows Vista'dan itibaren 64-bit Windows sürümlerinde kernel-mode kod imzalama (KMCS) politikası uygulanmaktadır. Bu politika gereği işletim sistemi çekirdeğinde çalışacak tüm sürücülerin dijital olarak imzalanması zorunludur.
Windows 10 sürüm 1607 ve sonrasında ise Microsoft, yeni kernel-mode sürücülerin Windows Hardware Developer Center Dashboard portalı üzerinden imzalanmasını (attestation signing) zorunlu kılmıştır.
Gereksinimler
- EV Kod İmzalama Sertifikası: Dashboard erişimi için EV sertifikası zorunludur
- Windows Hardware Developer Hesabı: Microsoft Partner Center kaydı gerekir
- Windows Driver Kit (WDK): Sürücü geliştirme ve test araçları
- FIPS 140-2 Level 2 Donanım: EV sertifika özel anahtarı için USB Token veya HSM
Attestation Signing Süreci
Adım 1: EV Sertifika ile Dashboard Kaydı
Microsoft Partner Center'a EV Kod İmzalama sertifikanızla kayıt olun. Bu sertifika şirketinizin kimliğini doğrular ve dashboard'a güvenli erişim sağlar.
Adım 2: Sürücü Paketini Hazırlama
Sürücünüzü HLK (Hardware Lab Kit) testlerinden geçirin. Test sonuçlarını .hlkx paket formatında dışa aktarın.
Adım 3: Dashboard'a Yükleme
Hazırlanan paketi Microsoft Hardware Developer Center'a yükleyin. Microsoft'un otomatik test ve imzalama süreci başlatılır. Onaylanan sürücüler Microsoft WHQL imzası alır.
Cross-Signing vs Attestation Signing
Eski yöntem olan cross-signing, Microsoft'un güvendiği CA'ların kök sertifikası ile çapraz imzalama yapılmasını gerektiriyordu. Ancak Windows 10 1607'den itibaren yeni sürücüler için attestation signing zorunlu hale geldi. Mevcut cross-signed sürücüler hâlâ çalışır ancak yeni sürücülerin dashboard üzerinden imzalanması gerekir.
Sık Yapılan Hatalar
- OV sertifika kullanmak: Dashboard erişimi sadece EV sertifika ile mümkündür
- Timestamp eklememek: Sertifika süresi dolduğunda imza geçersiz olur
- Yanlış hash algoritması: SHA-256 kullanın, SHA-1 artık desteklenmemektedir
- Test Mode'u kapatmamak: Production sürücülerinde test imzası kullanmayın
