Quand Windows installe un pilote, la signature numérique se pose. Windows moderne (10/11 64-bit) refuse par défaut les pilotes non signés.
Pourquoi la signature compte
Les pilotes s'exécutent en mode noyau — niveau le plus privilégié. Un pilote malveillant ou défectueux peut :
- Voler des données de tout processus
- Cacher des rootkits au niveau OS
- Contourner l'anti-malware
- Faire planter le système
Types de signatures
1. Signature de code standard
Le développeur achète un certificat à une CA et signe.
2. Extended Validation (EV) Code Signing
Niveau supérieur — vérification supplémentaire. Microsoft requiert EV pour les pilotes kernel-mode depuis Windows 10 1607.
3. WHQL (Microsoft Hardware Quality Labs)
Niveau le plus strict : Microsoft teste sur configuration de référence et signe lui-même. Pilotes WHQL = pas d'invite UAC.
AVG Driver Updater installe uniquement des pilotes signés et certifiés WHQL.
Vérifier une signature
Via Explorer
- Clic droit sur le fichier (.sys, .inf) → Propriétés
- Onglet "Signatures numériques"
- Cliquez sur le signataire → Détails
Via signtool
signtool verify /pa /v "C:\path\to\driver.sys"
Quand installer un pilote non signé ?
Scénarios où c'est inévitable : pilote auto-développé, vieux matériel, projets hobby. Windows offre Test Mode :
bcdedit /set testsigning on
Inconvénients :
- Watermark "Test Mode" sur le bureau
- HVCI ne fonctionne plus
- Certains jeux (anti-cheat) refusent
- Banques peuvent refuser
Désactiver :
bcdedit /set testsigning off
Important : signé ≠ fiable
Plusieurs pilotes attaqués par BYOVD étaient parfaitement signés (Dell DBUtil, MSI RTCore64, ASRock RGB). Microsoft maintient une Vulnerable Driver Blocklist à part. Activez-la via HVCI.
Recommandations pratiques
- Standard pour tout le monde : uniquement des pilotes WHQL
- Gamers actifs : pilotes bêta (signés mais non WHQL) acceptables
- Développeurs : Test Mode — uniquement sur machines dédiées
- Jamais : désactiver Driver Signature Enforcement de manière permanente
- Toujours vérifier : Microsoft Vulnerable Driver Blocklist + HVCI actifs
Sources complémentaires
Sources autoritaires pour informations approfondies :
- Signature de code — Wikipédia
- Microsoft Hardware Certification (WHQL)
- Driver Signing Policy — Microsoft Learn
- signtool — documentation Microsoft
Questions fréquentes
Certificat expiré ou révoqué. Vérifiez via Propriétés → Signatures numériques.
Signé : identité du développeur vérifiée. WHQL : Microsoft teste aussi le pilote sur matériel.
Souvent heuristique — beaucoup d'antivirus sont paranoïaques. Si vous faites confiance à la source : signalez à l'éditeur.
Oui : pilotes installés en Test Mode peuvent rester, mais montrent des erreurs Driver Signature Enforcement au rechargement.