Microsoft MVP성태의 닷넷 이야기
개발 환경 구성: 739. Windows 10부터 바뀐 device driver 서명 방법 [링크 복사], [링크+제목 복사],
조회: 1308
글쓴 사람
정성태 (seongtaejeong at gmail.com)
홈페이지
첨부 파일
 
(연관된 글이 5개 있습니다.)

Windows 10부터 바뀐 device driver 서명 방법

예전에만 해도,

정식 인증서가 있는 경우 Device Driver 서명하는 방법
; https://www.sysnet.pe.kr/2/0/2914

legacy device driver, 또는 non-pnp device driver라고 불리는 sys 파일에 대해서는 정식 소프트웨어 인증서로 서명했으면 SCM에 등록해 사용할 수 있었는데요, Windows 10부터는 이것도 안 되게 바뀌었습니다.

예를 들어, 제가 만들어 두었던 커널 메모리를 읽고 쓰는 드라이버 파일의 경우,

커널 메모리를 읽고 쓰는 NT Legacy driver와 C# 클라이언트 프로그램
; https://www.sysnet.pe.kr/2/0/12104

당시에는 교차 인증서를 사용해 서명하면 문제가 없었는데,

Cross-Certificates for Kernel Mode Code Signing
; https://learn.microsoft.com/en-us/windows-hardware/drivers/install/cross-certificates-for-kernel-mode-code-signing

현재는 교차 인증서가 아예 없어졌습니다. 따라서 단순히 일반 소프트웨어 인증서로 서명해도 시작 시 오류가 발생합니다.

// 다중 서명
c:\temp> Signtool sign /fd sha1 /v /ph /sm /n "...인증서 이름..." /t http://timestamp.digicert.com KernelMemoryIO.sys
c:\temp> Signtool sign /as /fd sha256 /ph /v /sm /n "...인증서 이름..." /tr http://timestamp.digicert.com /td sha256 KernelMemoryIO.sys

c:\temp> sc create "KernelMemoryIO" binPath= "C:\temp\KernelMemoryIO.sys" type= kernel start= demand
c:\temp> sc start "KernelMemoryIO"
[SC] StartService FAILED 577:

Windows cannot verify the digital signature for this file. A recent hardware or software change might have installed a file that is signed incorrectly or damaged, or that might be malicious software from an unknown source.




바뀐 정책에 따르면,

Driver Signing changes in Windows 10
; https://techcommunity.microsoft.com/blog/windowshardwarecertification/driver-signing-changes-in-windows-10/364859

이제 pnp/non-pnp 상관없이 모든 커널 드라이버는 마이크로소프트에 의해 서명을 받아야 합니다. 여기서 가장 큰 장애는, 그 서명을 받으려면 일반 코드 서명 인증서가 아니라, EV(Extended Validation) 코드 서명 인증서가 필요하다는 것입니다.

DigiCert EV CodeSign
; https://www.certkorea.co.kr/codesign/sp.php?p=23&s_code=16

1년마다 90만 원을 지불해야 하니, 개인의 경우에는 꽤나 부담스러운 수준입니다. (일반 코드 서명 인증서도 1년에 60만 원 정도 합니다.)

위의 내용을 보고 갑자기 궁금해진 소프트웨어가 있었는데요, 바로 Process Hacker입니다. 그 제품은 Process Explorer와 유사한 기능을 제공하면서도 무료로 배포하고 있었는데,

Process Hacker (현재는 이름이 "System Informer"로 바뀜)
; https://processhacker.sourceforge.io/

구현을 위해 반드시 커널 모드의 드라이버를 필요로 한 제품이었습니다. 그렇다면, 저걸 만든 개발자가 개인 비용을 들여 해마다 EV 코드 서명 인증서를 구입하고 있다는 것인데요, 정말 그럴까 싶어서 확인해 봤더니 "SystemInformer.sys" 파일의 서명이 (EV 인증서가 있어야만 통과되는) "Microsoft Windows Hardware Compatibility Publisher"로 서명된 것으로 나옵니다.

오호~~~ 진짜로 ^^; EV 인증서 구입을 감수하고 있었던 것입니다. (잘은 모르지만 아마도 sourceforge 측의 지원이 있지 않을까 싶습니다.)




정리하면, 이제 커널 모드 드라이버를 개발하는 회사에 취업하지 않는 한 TESTSIGNING 모드를 벗어날 수는 없을 듯합니다.

// 관리자 권한으로 실행 (재부팅 필요)

Bcdedit.exe -set TESTSIGNING ON

혹시나 나중에 EV 인증서가 생긴다면 "Windows Hardware Developer Center Dashboard portal"을 통해 구체적으로 어떻게 서명 받게 되는지 설명해 보겠습니다. (지금은 없으므로 진행 자체를 할 수 없어 다룰 수가 없군요. ^^)




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 1/16/2025]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13881정성태2/7/2025393닷넷: 2316. C# - Port I/O를 이용한 PCI Configuration Space 정보 열람파일 다운로드1
13880정성태2/5/2025439오류 유형: 947. sshd - Failed to start OpenSSH server daemon.
13879정성태2/5/2025501오류 유형: 946. Ubuntu - N: Updating from such a repository can't be done securely, and is therefore disabled by default.
13878정성태2/3/2025695오류 유형: 945. Windows - 최대 절전 모드 시 DRIVER_POWER_STATE_FAILURE 발생 (pacer.sys)
13877정성태1/25/20251023닷넷: 2315. C# - PCI 장치 열거 (레지스트리, SetupAPI)파일 다운로드1
13876정성태1/25/20251168닷넷: 2314. C# - ProcessStartInfo 타입의 Arguments와 ArgumentList파일 다운로드1
13875정성태1/24/20251160스크립트: 69. 파이썬 - multiprocessing 패키지의 spawn 모드로 동작하는 uvicorn의 workers
13874정성태1/24/20251132스크립트: 68. 파이썬 - multiprocessing Pool의 기본 프로세스 시작 모드(spawn, fork)
13873정성태1/23/20251058디버깅 기술: 217. WinDbg - PCI 장치 열거
13872정성태1/23/20251045오류 유형: 944. WinDbg - 원격 커널 디버깅이 연결은 되지만 Break (Ctrl + Break) 키를 눌러도 멈추지 않는 현상
13871정성태1/22/20251159Windows: 278. Windows - 윈도우를 다른 모니터 화면으로 이동시키는 단축키 (Window + Shift + 화살표)
13870정성태1/18/20251235개발 환경 구성: 741. WinDbg - 네트워크 커널 디버깅이 가능한 NIC 카드 지원 확대
13869정성태1/18/20251256개발 환경 구성: 740. WinDbg - _NT_SYMBOL_PATH 환경 변수에 설정한 경로로 심벌 파일을 다운로드하지 않는 경우
13868정성태1/17/20251195Windows: 277. Hyper-V - Windows 11 VM의 Enhanced Session 모드로 로그인을 할 수 없는 문제
13867정성태1/17/20251302오류 유형: 943. Hyper-V에 Windows 11 설치 시 "This PC doesn't currently meet Windows 11 system requirements" 오류
13866정성태1/16/20251308개발 환경 구성: 739. Windows 10부터 바뀐 device driver 서명 방법
13865정성태1/15/20251394오류 유형: 942. C# - .NET Framework 4.5.2 이하의 버전에서 HttpWebRequest로 https 호출 시 "System.Net.WebException" 예외 발생
13864정성태1/15/20251345Linux: 114. eBPF를 위해 필요한 SELinux 보안 정책
13863정성태1/14/20251285Linux: 113. Linux - 프로세스를 위한 전용 SELinux 보안 문맥 지정
13862정성태1/13/20251228Linux: 112. Linux - 데몬을 위한 SELinux 보안 정책 설정
13861정성태1/11/20251346Windows: 276. 명령행에서 원격 서비스를 동기/비동기로 시작/중지
13860정성태1/10/20251269디버깅 기술: 216. WinDbg - 2가지 유형의 식 평가 방법(MASM, C++)
13859정성태1/9/20251336디버깅 기술: 215. Windbg - syscall 이후 실행되는 KiSystemCall64 함수 및 SSDT 디버깅
13858정성태1/8/20251410개발 환경 구성: 738. PowerShell - 원격 호출 시 "powershell.exe"가 아닌 "pwsh.exe" 환경으로 명령어를 실행하는 방법
13857정성태1/7/20251820C/C++: 187. Golang - 콘솔 응용 프로그램을 Linux 데몬 서비스를 지원하도록 변경파일 다운로드1
[1]  2  3  4  5  6  7  8  9  10  11  12  13  14  15  ...