从数字签名管理看windows的安全加强

柯林

win7以上系统，默认已经禁止加载无合法数字签名的驱动程序，这对病毒是一大打击！但是，所谓道高一尺，魔高一丈，经常玩毒的人会认为这根本不是个事，盗用一个签名，轻轻松松就破了。

关于新系统的安全性，参看这个帖子http://bbs.kafan.cn/thread-2052487-1-1.html里面提到了一些可喜的功能（虽然远远不够，比如最根本的应对勒索的磁盘文件管制功能就没有）

其实这个问题，是签名管理机制有问题导致的。现在的签名验证，只是看有没有合法的数字证书，而没有验证这个证书的有效性。换句话说，搞数字签名的人太懒了，只是简单打上数字证书了事，没有对该证书的使用进行规定。好比一个单位，只要盖上单位公章，就变成万能纸，就算公司没有欠你一毛钱，你提笔在这张盖了公章的纸上写上公司欠你一千万，公司也就认账了，世界上有这样荒唐的事没有？还真有。按当今这种管理方式，真的行得通，很多盗取公章滥用、冒充假军人、假记者之类的，原理上都是利用了这一漏洞。要杜绝此类事情，需要改变管理机制，一个合法的文件签署，需要由五部分组成：1、文件编号    2、公司领导签名  3、秘书处加盖公章适用对象编号（将文件编号与公章适用对象编号进行配对存档，并注明该文件的主题及内容索引，必要时拍照存档） 4、办公室主任加盖公司印章  5、主管部门审核有效性盖章   五大环节缺一不可，相互制约，你再拿一堆复印纸来盖上公章去瞎写一通，屁用都没有！

言归正传，数字签名安全检查机制，不只是检查有没有数字证书，还要检查这个证书的编号，复核该编号指向对象（程序）的哈希值。也就是说：厂商签发的数字证书，由三部分组成：第一，厂商数字签名；第二，证书编号；第三，该编号的证书挂钩（或称配对）的对象的哈希值，这些信息，不但在程序的数字签名里有，云端或服务器保留一份底单，系统检查数字签名时，从自带的信息库或云端里进行比对并校验文件的哈希值，全部对上，才能视为有效。这样认真管理，再去盗用什么签名，是没有用的，盗卖数字证书更是废纸一张。（可能正确一点的做法是：程序附带数字证书编号，该编号对应的程序哈希值，厂商存档并提交微软，一来安全性更好（相当于不知道云端存储的是什么），二来让喜欢盗用数字签名的人瞎忙去 ）

每一个数字证书编号对应唯一的对象，相当于每一个程序都有一个独占性的合法身份证，利用数字签名的伎俩可以休矣。