Elke moderne Windows-driver hoort digitaal ondertekend te zijn. De handtekening bewijst: a) de driver is van wie hij beweert te zijn; b) hij is na ondertekening niet gewijzigd. Windows gebruikt dit om te beslissen of een driver geladen wordt.
Hoe ondertekening werkt
De fabrikant maakt de driver, ondertekent met zijn privésleutel (waarvan de publieke gecertificeerd is door een CA — autoriteit). Windows verifieert bij het laden: is de handtekening geldig? Is de CA vertrouwd? Zo ja: laden. Zo nee: weigeren (op systemen met verplichte verificatie).
Soorten handtekeningen
Standaard Authenticode
Basishandtekening met fabrikantscertificaat. Windows 10 accepteerde deze voor user-mode-drivers.
WHQL (Windows Hardware Quality Labs)
Driver opgestuurd naar Microsoft voor tests, ondertekend door Microsoft. Kwaliteitsstempel. Herkenbaar in Update als «Getest door Microsoft».
EV (Extended Validation)
Certificaat na strenge identiteitscontrole van de fabrikant. Verplicht sinds Windows 10 1607 voor kernel-mode-drivers (zoals GPU-drivers).
AVG Driver Updater downloadt alleen drivers met geldige handtekening — nooit van onbevestigde bronnen.
Gedrag van Windows
Windows 10/11 met HVCI actief
Niet-ondertekende drivers: niet geladen. Punt. HVCI verifieert handtekeningen in de kernel.
Windows 10/11 zonder HVCI
User-mode-drivers: waarschuwing, maar geladen. Kernel-mode-drivers (GPU, audio): EV-handtekening verplicht. Zonder EV: geweigerd.
Test mode
Ontwikkelaarsmodus van Windows die het laden van niet-ondertekende drivers toestaat. Activeren: bcdedit -set TESTSIGNING ON (admin) + herstart. Niet gebruiken op productiesystemen — verzwakt de handtekeningverificatie.
Risico's van niet-ondertekende drivers
- Onbekende oorsprong — wie schreef hem werkelijk?
- Wijziging mogelijk — heeft iemand hem na compilatie aangepast?
- Geen audit — zonder WHQL-handtekening geen Microsoft-validatie
- Kernel-rechten — niet-ondertekende driver met kernel-toegang = totaal risico
Legitieme gevallen zonder handtekening
- Ontwikkelaarsdrivers — tijdens hardware-ontwikkeling
- Oude bedrijfsoplossingen — drivers van uitgefaseerde industriële hardware
- Linux dual-boot — voor sommige extra Linux-drivers
Moet je een niet-ondertekende driver laden: gebruik Test Mode alleen tijdens gebruik, schakel daarna uit.
Aanvullende bronnen
Gezaghebbende bronnen voor verdere informatie:
Veelgestelde vragen
Nee. De handtekening bewijst de auteur, niet de afwezigheid van bugs. Ondertekende drivers kunnen CVE's hebben (BYOVD).
WHQL omvat Microsoft-tests. Hogere kwaliteit, geen onfeilbaarheid. WHQL-drivers kunnen alsnog kwetsbaar zijn.
Rechtsklikken op .sys of .inf → Eigenschappen → tabblad «Digitale handtekeningen». Geen tabblad: niet ondertekend.
Tijdelijk Test Mode, of (beter) zoek een ondertekend alternatief. Voor oude hardware: soms zijn er door de community ondertekende drivers.