如何给系统安装添加数字签名驱动 禁用驱动程序强制签名【高级】

Windows安装未签名驱动需绕过强制签名，方法包括：一、高级启动临时禁用；二、bcdedit永久禁用；三、signtool+inf2cat合法签名；四、组策略禁用（Pro/Enterprise）；五、DSEO工具注入豁免。

如果您尝试在Windows系统中安装未经过微软数字签名的驱动程序，系统会因启用驱动程序强制签名而阻止安装。以下是绕过此限制并成功加载自定义签名驱动的高级操作步骤：

一、通过高级启动选项临时禁用驱动程序强制签名

该方法利用Windows内置的“禁用驱动程序强制签名”启动模式，在单次重启中临时关闭签名验证，适用于测试或紧急安装场景。

1、按下 Win + X 组合键，选择“关机或注销” → “重启”，同时按住 Shift 键不放，直到进入“选择一个选项”界面。

2、依次点击“疑难解答” → “高级选项” → “启动设置”，然后点击“重启”。

3、重启后按键盘数字键 7 或功能键 F7，选择“禁用驱动程序强制签名”。

4、系统重启进入桌面后，立即执行驱动安装（例如运行.inf文件右键“安装”，或使用pnputil命令），此时未签名驱动可被加载。

二、使用bcdedit命令永久禁用驱动程序强制签名

该方法修改系统启动配置数据库（BCD），使Windows在每次启动时均跳过驱动签名强制检查。注意：此操作降低系统安全性，仅限受控环境使用。

1、以管理员身份运行命令提示符或PowerShell。

2、输入以下命令并回车：bcdedit /set {current} testsigning on。

3、执行完成后，输入 bcdedit /set {current} nointegritychecks on 并回车。

4、重启计算机，桌面右下角将显示“测试模式”水印，表示驱动签名验证已全局禁用。

三、使用signtool与inf2cat为驱动添加有效数字签名

该方法不规避签名机制，而是通过微软认证链为驱动生成合法签名，确保其在启用强制签名的系统中正常安装。需具备有效EV代码签名证书。

1、使用 inf2cat 工具将驱动.inf文件转换为.cat目录文件，命令格式为：inf2cat /driver:"C:\MyDriver" /os:10_R2,11_X64。

2、使用 signtool sign /v /ac "DigiCert Trusted Root CA.crt" /n "Your Company Name" /t http://timestamp.digicert.com "MyDriver.cat" 对.cat文件进行时间戳签名。

3、运行 certmgr.msc，将用于签名的根证书导入“受信任的根证书颁发机构”容器。

4、双击已签名的.inf文件，或使用 pnputil /add-driver "MyDriver.inf" /install 安装驱动，系统将验证签名并通过加载。

四、通过组策略禁用设备驱动程序强制签名（仅限Windows Pro/Enterprise）

该方式适用于域环境或本地组策略编辑器可用的系统，通过策略项控制驱动签名行为，无需修改启动参数或BCD。

1、按下 Win + R，输入 gpedit.msc 并回车。

2、导航至“计算机配置” → “管理模板” → “系统” → “驱动程序安装”。

3、双击“设备驱动程序的代码签名”，选择“已启用”，并在下拉菜单中选择 忽略。

4、点击“确定”后，在命令提示符中执行 gpupdate /force 刷新策略，重启后生效。

五、使用Driver Signature Enforcement Overrider（DSEO）工具手动注入签名豁免

该方法适用于无法获取EV证书且需长期运行未签名驱动的开发调试场景，通过修改内核内存中的签名检查标志位实现绕过。

1、从可信来源下载并解压 DSEO 2.3.1 工具包，以管理员身份运行 dseo13b.exe。

2、点击“Enable Test Mode”，等待系统提示重启，重启后进入测试模式。

3、再次运行DSEO，选择“Add new certificate”，导入驱动配套的自签名证书（.cer文件）。

4、点击“Sign a System File”，浏览并选择目标驱动的.sys文件，点击“Sign”完成内核级签名绑定。