Ogni driver Windows moderno dovrebbe essere firmato digitalmente. La firma dimostra: a) il driver è di chi dice di essere; b) non è stato modificato dopo la firma. Windows usa questo per decidere se caricare un driver.
Come funziona la firma
Il produttore crea il driver, lo firma con la sua chiave privata (la cui pubblica è certificata da una CA — autorità). Windows verifica al caricamento: la firma è valida? La CA è fidata? Se sì: carica. Se no: rifiuta (sui sistemi con verifica obbligatoria).
Tipi di firma
Authenticode standard
Firma base con certificato del produttore. Windows 10 la accettava per driver user-mode.
WHQL (Windows Hardware Quality Labs)
Driver inviato a Microsoft per test, firmato da Microsoft. Bollino di qualità. Riconoscibile: in Update mostra «Testato da Microsoft».
EV (Extended Validation)
Certificato dopo verifica rigorosa dell’identità del produttore. Obbligatorio da Windows 10 1607 per driver kernel-mode (come driver GPU).
AVG Driver Updater scarica solo driver con firma valida — mai da fonti non verificate.
Comportamento di Windows
Windows 10/11 con HVCI attivo
Driver non firmati: non caricati. Punto. HVCI verifica le firme nel kernel.
Windows 10/11 senza HVCI
Driver user-mode: warning, ma caricati. Driver kernel-mode (GPU, audio): firma EV obbligatoria. Senza firma EV: rifiutato.
Test mode
Modalità sviluppatore di Windows che permette di caricare driver senza firma. Attivazione: bcdedit -set TESTSIGNING ON (admin) + riavvio. Non usare su sistemi produttivi — rilassa la verifica delle firme.
Rischi dei driver non firmati
- Origine sconosciuta — l’ha scritto chi dice?
- Modifica possibile — qualcuno l’ha cambiato dopo la compilazione?
- Senza audit — senza firma WHQL, nessuna validazione Microsoft
- Privilegi kernel — driver non firmato con kernel-access = rischio totale
Casi legittimi senza firma
- Driver di sviluppo — durante lo sviluppo di hardware
- Soluzioni aziendali datate — driver di hardware industriale dismesso
- Linux dual-boot — per alcuni driver Linux extra
Se devi caricare driver non firmato: usa Test Mode solo durante l’uso, disattivalo dopo.
Fonti aggiuntive
Fonti autorevoli per approfondire:
Domande frequenti
No. La firma dimostra l’autore, non l’assenza di bug. Driver firmati possono avere CVE (BYOVD).
WHQL include test Microsoft. Migliore qualità, ma non infallibilità. Driver WHQL possono comunque essere vulnerabili.
Clic destro su .sys o .inf → Proprietà → scheda «Firme digitali». Se non c’è la scheda: non firmato.
Test Mode temporaneo, o (meglio) cerca un’alternativa firmata. Per hardware datato: a volte ci sono driver community firmati.