微软收紧 Windows 11 与 Server 2025 驱动签名门槛

今年 5 月，微软宣布启动“驱动质量倡议”，旨在全面提升 Windows 系统中的驱动程序质量。作为该倡议的核心环节，Windows 硬件兼容性计划（WHCP）是硬件合作伙伴获取驱动签名的必经之路。微软近日宣布，自2027年起，该计划的认证门槛将迎来显著升级。

微软官方明确表示，自2027年3月起，所有通过 WHCP 提交并申请签名的驱动程序，都必须同时附带有效的软件物料清单（SBOM）以及漏洞可利用性信息交换（VEX）声明。这一新规适用于面向 Windows 11 25H2、26H1 以及 Windows Server 2025 及后续版本开发的驱动。如果供应商未能提交上述任一文件，或者文件未能通过微软的验证，其驱动程序将无法获得 WHCP 签名。

值得注意的是，该要求不仅适用于通过 HLK 认证的驱动，同样适用于通过认证签名方式提交的驱动。

不过，微软也给出了明确的缓冲期：针对较早版本 Windows 开发的驱动，以及在 2027 年 3 月之前提交的驱动，均无需提供 SBOM 和 VEX 文件。

这项政策的背后，是欧盟《网络韧性法案》（CRA）的强制性合规要求。该法案旨在提高软硬件产品的网络安全标准，因此微软此次收紧认证并非可选动作，而是必须遵守的底线。微软也坦言，这一变革对合作伙伴而言影响深远，因此将尽最大努力提供技术与工具支持。

为帮助开发者平稳过渡，微软计划在 2026 年 12 月发布新版 Windows 驱动程序工具包（WDK）。新版工具包将内置生成和验证 SBOM 与 VEX 文件所需的专用工具，并同步发布相关技术文档。此外，微软允许开发者使用第三方或行业标准工具来生成这些文件，但最终输出的文件必须严格符合 SPDX 3.0 格式规范。

在技术落地层面，微软强调了一个关键细节：开发者必须为每一次驱动提交单独生成并上传对应的 SBOM 和 VEX 文件，绝不能用一套综合文件去覆盖包含多个驱动的整个提交包。建议开发团队尽早熟悉 WDK 工具链，提前梳理驱动二进制文件中使用的第三方和开源组件，为即将到来的新规做好充足准备。

短期内，这一新规将显著增加硬件厂商（尤其是中小型外设厂商和工控设备制造商）的合规成本与研发周期。企业需要重构 CI/CD 流程以自动生成符合 SPDX 3.0 标准的文件，并保存长达 10 年。但从长远来看，这将加速淘汰劣质、缺乏维护的“僵尸驱动”，推动整个 Windows 硬件生态向标准化、高安全性和高稳定性方向演进。对于普通用户而言，未来的 Windows 系统将变得更加“抗造”，底层崩溃的概率将大幅降低。