Microsoft меняет политику подписи драйверов ядра Windows

Microsoft пообещала заняться основными жалобами пользователей на Windows 11 и улучшить производительность системы в этом году. Это неудивительно, особенно на фоне недавнего отчета, показавшего, что Windows не демонстрирует высоких результатов в корпоративной среде с точки зрения стабильности и надежности. Теперь компания делает еще один шаг к повышению безопасности и общей устойчивости Windows 11.

Редмонд объявил, что вскоре отключит возможность загрузки драйверов ядра, подписанных через устаревшую программу перекрестной подписи (cross-signed root), по умолчанию. Эта программа была внедрена в начале 2000-х годов и позволяла выдавать сертификаты подписи кода, доверенные Windows, после проверки со стороны сторонних партнеров. Microsoft завершила поддержку программы в 2021 году, и все сертификаты, выданные через нее, уже истекли, однако в некоторых сценариях ядро все еще продолжает им доверять.

В ближайшее время это изменится. Начиная с апреля 2026 года, ядро Windows будет принимать только драйверы, подписанные через программу Windows Hardware Compatibility Program (WHCP). При этом, из соображений совместимости, Microsoft сохранит явный список разрешенных драйверов (allow list), позволяющий загружать старые, но проверенные драйверы, ранее прошедшие через программу перекрестной подписи. Новые правила распространяются на Windows 11, версия 24H2, 25H2, 26H1, Windows Server 2025, а также на все будущие клиентские и серверные версии Windows.

Microsoft также учитывает, что в некоторых средах по-прежнему используются устаревшие драйверы по причинам совместимости. Поэтому новая политика доверия ядра сначала будет запущена в режиме оценки: система будет отслеживать и анализировать поведение в течение определенного времени (включая часы работы и перезагрузки). Кроме того, компания позволит настраивать политику Application Control for Business (ранее WDAC), чтобы при необходимости переопределять стандартную политику ядра. Это особенно важно для организаций, использующих собственные драйверы для внутренних задач.

Microsoft отметила, что начнет поэтапное внедрение новой политики ядра с апреля 2026 года и будет продолжать собирать обратную связь от пользователей для ее доработки. Текущая версия политики сформирована на основе миллиардов телеметрических сигналов, собранных с устройств под управлением Windows 11 и Windows Server 2025 за последние несколько лет.