Windows 10のドライバー署名変更とは？バージョン1607の新ルールと例外条件を解説

Windows 10では、ドライバー署名に関する重要な変更が導入されました。今後、すべての新しいカーネルモードドライバーにはデジタル署名が必須となり、Windows Hardware Developer Center Dashboardポータルへの提出が求められます。

Windows 10におけるドライバー署名の変更点

Windows 10 バージョン1607の新規インストールから、従来定義されていたドライバー署名ルールがオペレーティングシステムによって強制されます。これにより、Windows 10 バージョン1607では、Dev Portalによって署名されていない新しいカーネルモードドライバーを読み込まなくなります。なお、この署名の強制は新規OSインストールにのみ適用され、以前のOSからWindows 10 バージョン1607へアップグレードしたシステムはこの変更の影響を受けません。

最新版のWindows 10は、Dev Portalによってデジタル署名されたカーネルモードドライバーのみを読み込みます。ただし、この変更の影響を受けるのは、Secure Boot（セキュアブート）が有効な状態でのOS新規インストールのみです。アップグレードではなくクリーンインストールを行った場合は、Microsoftによる署名済みドライバーが必要となります。

なお、すでにWindows 10 PCにインストールされている既存のドライバーについては、バージョン1607へのアップグレード後に動作させるために再署名を行う必要はありません。2016年7月29日より前に発行され、有効な署名証明書によって署名されたドライバーは、引き続きWindows 10 バージョン1607上で問題なく動作します。

新しい署名ポリシーの主な例外

新しい署名ポリシーには数多くの例外が設けられており、その主要なものは以下の通りです。

• 以前のバージョンのWindows（例：Windows 10 バージョン1511）からWindows 10 Build 1607へアップグレードしたPCは、この変更の影響を受けません。
• Secure Boot機能を搭載していないPC、またはSecure Bootが無効になっているPCも影響を受けません。
• 2015年7月29日より前に発行されたクロス署名証明書で署名されたすべてのドライバーは、引き続き動作します。
• ブートドライバーは、システムが起動できなくなる事態を防ぐためブロックされません。ただし、プログラム互換性アシスタント（Program Compatibility Assistant）によって削除される場合があります。
• この変更はWindows 10 バージョン1607のみに適用され、それ以前のバージョンのWindowsは一切影響を受けません。

Microsoftが説明している今回の署名変更は、Windows 10 バージョン1607にのみ適用されます。さらに、使用しているオペレーティングシステムの種類に関わらず、Windows Hardware Developer Center Dashboardポータルへの新規提出にはEVコードサイニング証明書による署名が必要となる点に注意してください。

前述の通り、ポリシーの変更はSecure Bootが有効な場合にのみ適用されます。Secure Bootが無効であれば、既存のクロス署名証明書で署名されたドライバーもそのまま利用できます。

すべてのWindowsバージョンに対応するドライバーの署名方法

すべてのバージョンのWindowsと互換性のあるドライバーに署名したい場合は、まず最新のWindows 10向けにHLKテストを実行し、Windows 8.1およびその他の旧バージョン向けにHCKテストを実行する必要があります。その後、両方のテストログをマージし、HLKおよびHCKテストの統合結果をドライバーとともにWindows Hardware Developer Center Dashboardポータルへ提出してください。

ドライバー署名の変更について詳しくは、MSDNをご参照ください。

Windowsのドライバー署名とは？

OEMメーカーが自社ハードウェア用のドライバーを作成する際、そのドライバーは認証を受ける必要があります。これは、ドライバーにデジタル署名を関連付けることによって実現されます。Windowsは、デジタル署名によってドライバー本体とその整合性を検証できるドライバーのみをインストールします。また、ドライバーのインストール時に、OEMベンダーの識別情報も確認します。