微软宣布了一项将改变 Windows 内核安全格局的重大决策：从 2026 年 4 月起，Windows 11 将默认停止加载通过旧版“交叉签名（Cross-Signing）”程序认证的内核驱动程序。
这一举措标志着微软正式终结了自 2000 年代初沿用至今的驱动信任机制，转而全面实施更严格的 Windows 硬件兼容性计划 (WHCP) 标准。尽管提升系统安全性与稳定性，但微软也为特殊场景留下了“后门”。
核心变革：为何要废除“交叉签名”？
- 历史背景：“交叉签名”是微软在 2000 年代初引入的机制，允许驱动程序在经过第三方合作伙伴审查后获得信任证书。
- 现状问题：该程序已于 2021 年正式停用，所有通过此流程颁发的证书理论上已过期。然而，为了兼容性，Windows 内核至今仍默认信任这些旧证书，导致一些过时、甚至存在潜在风险的老旧驱动仍能加载到现代系统中。
- 新策略：从 2026 年 4 月 开始，Windows 内核将只接受通过现行 WHCP (Windows Hardware Compatibility Program) 签署的驱动程序。这意味着那些依赖旧证书的“古董级”驱动将被彻底挡在门外。
适用范围与例外机制
- 受影响系统：
- Windows 11 (24H2, 25H2, 26H1 及未来版本)
- Windows Server 2025 及未来服务器版本
- “白名单”例外：
- 微软承认完全切断可能影响部分关键业务，因此将维护一个明确的允许列表 (Allow List)。
- 只有那些经过验证、信誉良好且确实必要的旧版交叉签名驱动才能被列入此表并继续加载。
- 评估模式 (Audit Mode)：
- 新政实施初期将以评估模式运行。系统会监控和审计尝试加载旧驱动的行为，记录日志但不会立即阻止，以便管理员观察影响范围。
- 自定义覆盖：
- 企业用户可通过配置 应用程序控制策略 (App Control Policies) 来覆盖默认设置，允许加载内部开发的自定义驱动或特定的旧版驱动，确保业务连续性。
安全与稳定的双重提升
微软表示，这一决策基于过去几年从数十亿台 Windows 设备收集的遥测数据。
- 消除隐患：老旧驱动往往是系统崩溃 (BSOD)、安全漏洞和性能瓶颈的根源。清除它们将显著提升 Windows 11 的整体稳定性。
- 响应危机：近期报告显示 Windows 在企业端的故障率远高于 macOS，此次收紧内核策略是微软重建企业信任、提升系统健壮性的关键一步。
- 现代化进程：迫使硬件厂商和开发者全面转向现代化的 WHCP 标准，推动整个生态系统的技术更新。
给企业与用户的建议
- 立即审计：IT 管理员应尽快使用工具扫描现有设备，识别哪些设备仍在使用交叉签名的旧驱动。
- 测试评估模式：在 4 月新政生效后，利用“评估模式”窗口期，收集系统日志，确认是否有关键业务受阻。
- 制定预案：对于必须使用旧驱动的特殊场景（如老旧工业设备、专用医疗仪器），提前配置好应用程序控制策略或申请加入允许列表。
- 推动更新：联系硬件供应商，获取符合 WHCP 标准的最新驱动程序。
微软此次“壮士断腕”，终结了长达 20 年的旧驱动信任机制，虽然短期内可能带来一定的兼容性阵痛，但从长远看，这是构建更安全、更稳定 Windows 生态的必经之路。对于用户而言，这意味着未来的 Windows 11 将更少蓝屏、更少漏洞，但也意味着那些依赖“古董”硬件的用户必须面对升级或寻找替代方案的现实。
评论