微软2026年4月起终止Windows内核对旧交叉签名驱动的信任

自2026年4月起，Windows内核将调整默认驱动加载行为，不再信任通过已停用的交叉签名根程序签发的驱动程序。这一变化标志着实施逾二十年的内核信任机制正式退出历史舞台。

交叉签名根程序是微软于本世纪初建立的技术路径，旨在支持经严格审核的第三方合作伙伴获取受Windows系统信任的代码签名资质。该机制已于2021年全面终止，所有依此流程签发的证书均已失效。尽管如此，系统内核在此前一直维持对这些旧证书的向后兼容性，在特定条件下仍允许对应驱动加载。

根据最新策略，所有新版本Windows操作系统将仅默认接受通过Windows硬件兼容性计划认证并完成相应签名的驱动程序。该要求将覆盖Windows 11 24H2、25H2、26H1，Windows Server 2025，以及此后发布的全部客户端与服务器系统版本。

为保障企业环境中关键业务系统的平稳过渡，微软将维护一份经过评估的白名单，收录符合安全标准、运行稳定且具备良好声誉的旧版驱动，确保其在新策略下仍可正常加载。

新策略初期将以评估模式运行，系统仅记录驱动加载行为、运行时长及启动频次，暂不实施强制拦截。此举旨在为组织提供充分的适配窗口，尤其便于识别和替换依赖旧签名机制的关键组件。

此外，具备管理权限的用户可通过配置Application Control for Business策略，灵活调整内核级驱动加载规则。该能力对需部署自主开发驱动的企业尤为关键，可在满足安全基线的前提下保留必要的运行弹性。

该策略的制定基于近年来从Windows 11及Windows Server 2025设备持续采集的海量运行数据，并将在后续阶段结合实际使用反馈持续优化完善。