如何申请内核驱动签名证书
在Windows操作系统上开发硬件驱动程序，内核驱动签名是开发者绕不开的一道“硬门槛”。自Windows 10版本1607起，微软强制要求所有内核模式驱动程序必须经过代码签名证书的数字签名才能加载运行，Windows 11更进一步强化了这一规则。未签名的内核驱动将被系统直接拦截，无法通过手动放行规避。那么，内核驱动签名证书究竟如何申请？
一、内核驱动签名必须使用EV代码签名证书
很多开发者常常混淆不同类型的证书，但内核驱动签名场景与其他软件签名有着本质区别。Windows系统分为用户模式（Ring 3）和内核模式（Ring 0）——驱动程序运行在Ring 0，拥有最高系统权限。正因权限极高，微软对内核驱动签名的身份验证要求是所有证书类型中最严格的。
普通的OV代码签名证书仅适用于常规软件签名，无法用于内核驱动签名。而EV（扩展验证）代码签名证书则是微软官方指定的内核驱动签名必备工具——这不是“更好”的选择，而是唯一被微软接受的内核驱动签名起点。EV证书要求CA机构对企业进行工商注册核实、物理地址核实、电话核实、申请人身份核实等多维度交叉验证。
二、内核驱动签名证书申请全流程
完整的内核驱动签名证书申请与认证流程，可概括为以下五个关键步骤：
第一步：注册微软开发者账户
访问微软硬件开发中心，注册并加入Windows硬件开发者计划。这一步是后续提交内核驱动签名申请的入口，需使用EV证书对注册文件完成签名以验证企业身份。
第二步：购买EV代码签名证书
选择微软信任的证书颁发机构（CA），如DigiCert、GlobalSign、Sectigo、Certum等。申请内核驱动签名证书需准备以下材料：加盖公章的企业营业执照副本（需与工商注册信息一致）、法人及授权联系人身份证明、企业银行账户信息、申请授权书等。EV代码签名证书的审核比OV代码签名证书严格得多，CA机构会通过电话回拨、第三方数据库比对等方式验证企业真实性，审核周期通常为3-7个工作日。
第三步：获取硬件令牌并激活证书
审核通过后，CA机构会将包含私钥和证书的专用硬件令牌（USB Key）邮寄给申请人。EV证书的私钥必须存储在FIPS 140-2认证的硬件设备中，从根源上保障签名安全。不同品牌的交付方式有所不同：DigiCert、Sectigo等品牌UKey需从国外邮寄；GlobalSign可通过国内顺丰邮寄；而Certum则支持云签名技术，无需硬件UKey。
第四步：对驱动程序进行签名
将硬件令牌插入签名电脑，使用Windows SDK中的SignTool工具对驱动程序文件（.sys、.dll等）进行签名。签名时务必添加RFC3161标准时间戳，这样即使证书过期后，已签名的驱动仍然有效。
第五步：提交WHQL认证（内核驱动必做）
获得EV证书仅仅是内核驱动签名的第一步。对于内核模式驱动程序，完整的合规路径是“EV代码签名+WHQL认证”。具体流程为：先使用EV证书对驱动程序包进行初始签名；使用Windows HLK工具完成驱动的兼容性与稳定性测试，生成测试日志文件；将测试通过的驱动包与HLK日志打包，使用EV证书签名后提交至微软硬件仪表板；微软审核通过后为驱动添加官方WHQL签名，整体审核周期通常需要2-4周。特别提醒：自2026年4月起，Windows内核将默认拒绝加载通过旧版交叉签名根程序签名的驱动程序，内核驱动签名的标准路径已全面转向通过Windows硬件兼容性计划（WHCP）进行认证。
三、安信证书：一站式内核驱动签名证书服务
申请内核驱动签名证书，选择一家可靠的证书服务商至关重要。安信证书成立于2007年，是国内领先的数字证书服务商，与Certum、GlobalSign、Sectigo（Comodo）、DigiCert等主流CA机构保持深度合作。
在安信证书申请内核驱动签名证书，企业可以根据预算和需求灵活选择不同品牌：
Certum EV代码签名证书：约2500元/年，支持云签名技术，无需硬件UKey，审核通过即可在线完成签名操作，是性价比之选
GlobalSign EV代码签名证书：约4000元/年，老牌CA，含硬件UKey，国内顺丰邮寄
Sectigo EV代码签名证书：约4200元/年，全球签发量最大，市场认可度高
DigiCert EV代码签名证书：约6600元/年，行业标杆，兼容性最佳
安信证书提供从选型咨询、材料预审到签名部署的一站式服务。其核心优势包括：本地化材料预审服务帮助提前排查信息准确性问题，大幅降低审核驳回概率；7×12小时中文技术支持，从选型到签名全程协助；到期提醒与续签管理服务，确保证书续签无缝衔接。对于不熟悉内核驱动签名证书申请流程的开发者而言，这能大幅降低操作难度与时间成本。
内核驱动签名证书是Windows内核驱动程序商业发布的必备通行证。从注册微软开发者账户、购买EV代码签名证书，到完成HLK测试与WHQL认证，每一步都不可或缺。建议开发者提前规划认证周期，选择安信证书等正规服务商，确保内核驱动签名证书申请顺利、驱动合规上线。
