Cada driver de Windows moderno debería estar firmado digitalmente. La firma demuestra: a) el driver es de quien dice ser; b) no se ha modificado tras la firma. Windows usa esto para decidir si carga un driver.
Cómo funciona la firma
El fabricante crea el driver, lo firma con su clave privada (cuya pública está certificada por una CA — autoridad). Windows comprueba en la carga: ¿la firma es válida? ¿La CA es de confianza? Si sí: carga. Si no: rechaza (en sistemas con verificación obligatoria).
Tipos de firma
Authenticode estándar
Firma básica con certificado de fabricante. Windows 10 lo aceptaba para drivers user-mode.
WHQL (Windows Hardware Quality Labs)
Driver enviado a Microsoft para tests, firmado por Microsoft. Sello de calidad. Reconocible: en Update muestra «Probado por Microsoft».
EV (Extended Validation)
Certificado tras verificación rigurosa de identidad del fabricante. Obligatorio desde Windows 10 1607 para drivers kernel-mode (como controladores GPU).
AVG Driver Updater solo descarga drivers con firma válida — nunca de fuentes no verificadas.
Comportamiento de Windows
Windows 10/11 con HVCI activo
Drivers no firmados: no se cargan. Punto. HVCI verifica firmas en kernel.
Windows 10/11 sin HVCI
Drivers user-mode: warning, pero se cargan. Drivers kernel-mode (GPU, audio): obligatoria firma EV. Sin firma EV: rechazado.
Test mode
Modo desarrollo de Windows que permite cargar drivers sin firma. Activación: bcdedit -set TESTSIGNING ON (admin) + reinicio. No usar en sistemas productivos — relaja la verificación de firmas.
Riesgos de drivers no firmados
- Origen desconocido — ¿lo escribió quien dice?
- Modificación posible — ¿alguien lo cambió tras compilar?
- Sin auditoría — sin firma WHQL, no hay validación Microsoft
- Privilegios kernel — driver no firmado con kernel-access = riesgo total
Casos legítimos sin firma
- Drivers de desarrollo — durante desarrollo de hardware
- Soluciones empresariales antiguas — drivers de hardware industrial discontinuado
- Linux dual-boot — para algunos drivers Linux extras
Si necesitas cargar driver no firmado: usa Test Mode sólo durante el uso, desactívalo después.
Fuentes adicionales
Fuentes autorizadas para profundizar:
Preguntas frecuentes
No. La firma demuestra autoría, no ausencia de bugs. Drivers firmados pueden tener CVEs (BYOVD).
WHQL incluye tests de Microsoft. Mejor calidad, pero no infalibilidad. Drivers WHQL pueden seguir siendo vulnerables.
Clic derecho sobre el .sys o .inf → Propiedades → pestaña «Firmas digitales». Si no hay pestaña: no firmado.
Test Mode temporal, o (mejor) busca alternativa firmada. Para hardware antiguo: a veces hay drivers community firmados.