1. 先说结论INF 文件缺乏数字签名Windows 到底在拦什么在 Windows 下安装硬件驱动尤其是那些偏门硬件或者年代久远的打印机、USB 3.0 扩展卡、声卡、网卡时经常会弹出一个让人摸不着头脑的提示——INF 不包含数字签名信息。这句话拆开看就是两个关键点一个是 INF 文件一个是数字签名信息。INF 是驱动安装包的配方表告诉 Windows 该拷贝哪些驱动文件、写哪些注册表项、创建什么服务数字签名则是身份证明用来验证这份配方表确实来自可信的开发者并且在传输过程中没有被改动过。Windows 在安装驱动时会检查这个签名签名有效才允许继续签名缺失或者无效就直接弹窗拦下把安装进程停在那里。这篇文章准备把INF 不包含数字签名信息这件事从头到尾讲透。我会先解释 INF 和驱动签名机制的底层逻辑再带你认清各种常见报错长什么样然后给出从最省事到最彻底的几套解决方案最后附上实操排错中积累的速查表和避坑心得。不管你是刚接触驱动安装的新手还是在机房摸爬滚打多年的运维都能从中找到能直接抄作业的部分。2. INF 文件与驱动签名机制先弄清楚原理再动手2.1 INF 文件在驱动安装中起什么作用INF 的全称是 Interface Information File从 Windows 95 时代就有了本质是一个按特定格式编写的纯文本文件。它的作用就像快递包裹上的配送单收件人是谁、货物有哪些、应该送到哪个货架、是否需要冷藏保存全都写在上面。驱动安装时Windows 的即插即用PnP管理器会先读取 INF 文件按照里面的指令去部署驱动。一个典型的 INF 文件里通常包含以下几块核心内容Version 段声明这个 INF 支持的 Windows 版本、设备类别。Manufacturer 段指明厂商名称和对应的硬件 ID 映射关系。DDInstall 段定义驱动文件的拷贝规则、注册表写入项、服务创建指令等。AddService 指令告诉 Windows 需要注册哪些内核服务以及它们的启动类型。因为 INF 直接掌控了驱动文件的安装路径和系统服务注册行为Windows 必须相当谨慎地对待它。假如一份 INF 没有被数字签名就有可能是被恶意篡改过的。比如盗版驱动包中加一个恶意系统服务或者在 INF 里改掉驱动文件指向就能让系统加载来路不明的内核模块。这正是 Windows 要在 INF 这一层设下签名检查的原因。2.2 数字签名是怎么盖到 INF 文件上的在理解报错之前有必要先看懂签名机制。驱动开发者写完驱动后会把 INF、SYS、DLL 等文件打包用数字证书对这个包进行签名。签名过程可以理解为对文件内容做一次哈希摘要再用开发者的私钥对摘要进行加密验证时Windows 用开发者的公钥包含在证书里解密签名再重新计算文件哈希如果两边一致就说明文件从签名后到现在没有任何改动。Windows 的驱动签名有两种常见类型微软 WHQL 签名驱动经过微软硬件认证测试由微软签发这种驱动可以通过标准安装流程直接装第三方签名使用 EV 代码签名证书进行的签名Windows 会将证书链回溯到受信任的根证书颁发机构认证通过也能正常安装。当你看到INF 不包含数字签名信息时多数情况下是 INF 文件没有进行任何签名或者签名证书没有被系统信任。这在一些厂商官网裸奔的老驱动包、自开发测试驱动、以及从论坛或网盘下载的第三方修改版驱动里尤其常见。2.3 Windows 为什么非要卡这一关很多人觉得 Windows 管得宽但驱动签名机制并不是为了折腾用户而是内核安全的一道关键防线。内核模式驱动拥有系统最高权限一个带 bug 或被植入后门的驱动可以直接让系统蓝屏、崩溃逃逸甚至获取管理员权限。签署强制机制至少能做到三件事来源可溯系统可以根据证书信息判断驱动发布者的身份完整性校验确保驱动文件没有被二次打包、篡改降低误装概率提醒用户安装的是未经认证的软件而不是一行行弹窗刷屏。从 Vista 时代开始64 位 Windows 对内核驱动就强制执行签名要求到了 Win10/11配合 Secure Boot安全启动签名校验链条更严格了。换句话说你遇到这个报错正说明系统的安全机制在正常运转——虽然它有时候会导致设备装不上驱动确实让人抓狂。3. 现场还原常见的报错场景和它们背后的原因3.1 INF 不包含数字签名信息以外的几种相似提示实际使用中这个问题的马甲不少。我在搜索资料和排查问题过程中遇到过这些报错它们的底层原因相差不远这里一并梳理清楚我整理了下面这张表方便对照排查报错提示出现位置常见原因INF 不包含数字签名信息右键安装或设备管理器更新驱动时INF 未签名或签名证书不受信任指定的路径不包含适用的设备 INF更新驱动程序→浏览我的电脑→让我从计算机上的可用驱动程序列表选取时INF 写错硬件 ID或者目录结构不符合 Windows 驱动包规范Windows 无法验证此设备所需的驱动程序的数字签名设备管理器安装驱动时驱动文件本身带签名但签名已过期/被吊销或者证书链不完整最近硬件或软件更改安装的文件可能未正确签名插上新设备后系统提示设备驱动未签名系统只完成了通用驱动安装未对 PowerShell 脚本进行数字签名命令行运行 ps1 脚本时Windows PowerShell 执行策略拦截和 INF 签名属于同一条信任链只是对象不同很多人在网上搜索指定的路径不包含适用的设备inf有时候会误以为和INF 不包含数字签名信息是同一回事其实这两个报错的重点不太一样。前面那个主要指向文件路径和硬件 ID 匹配不上后面这个才是签名验证没过。排查时要分清楚。3.2 为什么 USB3.0、老外设和官网下不动的驱动最容易中招从实际操作经验来说最容易触发这类签名问题的设备有以下几个共同点太老比如好多年前发布的打印机扫描仪驱动厂商已经没有更新 WHQL 签名版本但你在 Windows 10/11 上还想用太小众一些展会赠品级的 USB 声卡、采集卡、多串口扩展卡驱动只有一张光盘没有经过微软认证发布者太小个人开发者或小团队做的驱动可能用的是自签名证书签了名但没导入系统根证书库Windows 照样不信任下载渠道不靠谱在第三方下载站拿到的驱动包经常是被人重新打包过的打包过程破坏了原签名甚至直接把签名信息剔除了。USB3.0 这种情况我多说一句如果老系统比如 Windows 7 原版镜像安装到没有原生 USB3.0 支持的主板时经常需要手动注入包含签名驱动的 USB3.0 控制器驱动。此时如果手头驱动是修改版就可能出现签名报错。反过来如果只是想在 Win10 下安装某个自称兼容的老 USB3.0 驱动也容易撞上这个问题。3.3 别以为只有 Windows 有签名问题搜索热词里还出现了 Kali、Ubuntu、UOS 这些系统的数字签名问题顺带提一下方便大家理解签名机制是所有现代操作系统都会做的基础安全设计。Kali/Ubuntu 等发行版的软件源中所有安装包都带有 GPG 签名。apt 更新报错里常见的 NO_PUBKEY 就是在提示没有公钥来验证签名。UOS 这类国产系统对驱动和应用也有签名验证要求给普通用户带来的体验问题同样存在只是具体命令和证书管理方式和 Windows 不同。所以遇到数字签名报错先别急着觉得系统坏了。这个机制在所有操作系统里都成立只是 Windows 把 INF 的签名检查处理得比较严格报错文案也更直接。4. 解决思路从最省事到最彻底按顺序来先说一句大实话如果你安装的是一个正规厂商的驱动正确且唯一的主流解法是去厂商官网下载带数字签名的新版驱动或者用 Windows Update 自动搜索。签名问题的本质是信任最省事的方案就是让系统信任你的驱动来源。但现实往往没那么理想所以下面按先临时后彻底的顺序给出几套可落地的方案。4.1 第一步尝试官方驱动与 Windows Update操作步骤不复杂打开设备管理器找到带黄色感叹号的设备右键选择更新驱动程序。选择自动搜索驱动程序等 Windows 自己找。如果搜不到去设备厂商官网的支持页面按型号下载最新驱动。这里要特别提醒从官网下载驱动时看清页面是否注明支持 Windows 10/11 以及是否为经过 WHQL 认证的版本。假如官网只放了上古版本且没有任何签名信息那基本就没戏了。不过 Windows Update 的驱动库有时反而有厂商后续提交的签名版本值得一试。4.2 临时关闭驱动签名强制适合一次性安装的场景如果驱动包本身没问题只是没签名又只是不想改系统设置太长可以用高级启动菜单临时禁用签名强制。Win10/11 的操作路径如下点击开始菜单 → 按住 Shift 键点重启进入蓝色界面后依次选择疑难解答→高级选项→启动设置点击重启按钮重启后按数字键 7选择禁用驱动程序强制签名。这种方式只在本次启动生效重启后签名检查会恢复。它适合用来装一次旧驱动不适合作为长期方案。而且需要注意Win10/11 在启用了 Secure Boot 的情况下这种方式有时会被 BIOS 策略覆盖必须在 BIOS 里临时关闭 Secure Boot 才能生效。4.3 用测试模式 bcdedit 长时间运行未签名驱动如果你调试驱动的时间比较长每回都重启进高级菜单确实麻烦。此时可以进入测试签名模式以管理员身份打开命令行提示符执行 bcdedit /set testsigning on重启电脑。开启后桌面右下角会出现测试模式的水印表明系统目前允许加载未签名驱动。用完后执行 bcdedit /set testsigning off 并重启即可恢复。注意这个方法同样受 Secure Boot 限制开启 Secure Boot 时命令会执行失败需要先关掉它。需要强调的是这台机器如果还要用于生产环境、处理重要数据不建议长期使用测试模式。测试模式相当于把门口保安撤了方便省事但风险也在。4.4 彻底方案为 INF 和驱动文件做自签名并导入受信任根证书这个方法最接近正规军的解决方式原理是自己做一张测试证书给自己的驱动签上名再把这张证书加入系统的受信任的根证书颁发机构和受信任的发布者列表。经过这套操作后Windows 会认为该驱动来源可信后续安装就不再报INF 不包含数字签名信息。这个方法的核心步骤我放到下面第五节详细说因为里面工具选型、命令参数和坑都是实打实的内容。5. 实操流程自签名并安装 INF 驱动5.1 准备工具Windows SDK 的 signtool 与证书生成做这件事需要用到 Windows SDK 里自带的签名工具 signtool.exe以及一个能生成证书的工具。推荐的方法有两种使用 Visual Studio 自带的开发者命令提示符里面集成了 signtool单独安装 Windows SDK安装时勾选Windows SDK for Windows Store Apps或Desktop C x64/x86 应用相关组件也可以拿到 signtool 和证书创建工具。如果你只想快速验证流程我建议大家直接用 Windows 自带的 PowerShell 来生成证书。从 Windows 10 1809 开始PowerShell 有 New-SelfSignedCertificate 命令三行命令就能生成一张用于驱动签名的代码签名证书不用额外装一堆工具。具体命令如下管理员身份的 PowerShell 中执行# 1. 创建一张自签名代码签名证书有效期 3 年 $cert New-SelfSignedCertificate -Subject CNMy Test Driver Cert -Type CodeSigningCert -CertStoreLocation Cert:\LocalMachine\My -NotAfter (Get-Date).AddYears(3) # 2. 导出证书文件用于后续导入受信任根证书 Export-Certificate -Cert $cert -FilePath C:\driver\MyTestCert.cer如果你用的是旧版 Windows或者还是习惯传统方式也可以使用 makecert 命令。不过 makecert 生成的证书有时需要在签名时额外指定 CSP 参数比较繁琐现在不推荐新用户使用。5.2 签名 INF、SYS 文件的完整命令操作签名过程的核心命令是 signtool。打开开发人员命令提示符或普通命令行进到有 signtool.exe 的目录然后按以下几步执行。签名驱动文件假设驱动目录在 C:\driver里面有 test.inf 和 test.syssigntool sign /v /s My /n My Test Driver Cert /t http://timestamp.digicert.com C:\driver\test.inf C:\driver\test.sys命令参数解释/v显示详细签名信息/s My指定从当前用户的我的证书存储区寻找证书/n指定证书名称要和创建时输入的证书主题一致/t指定时间戳服务器地址这样驱动过期后签名依然有效最后跟上要签名的文件路径可以一次签多个文件。签名成功后会有 Signing Success 之类的提示。如果不成功多半是证书选错、名称对不上或者 Windows SDK 版本太旧。签名完 INF 后再用下面的命令验证签名确实写入成功signtool verify /v /pa C:\driver\test.inf/pa 表示验证时只检查 Authenticode 签名有效性不会去校验 Windows 硬件徽标策略。5.3 把证书导入受信任的根证书颁发机构和受信任的发布者签名完只是第一步Windows 不会自动信任这张自签名证书。还需要把它加入系统信任列表。操作方式有两种。图形化方式双击 C:\driver\MyTestCert.cer在弹出的证书窗口里点击安装证书选择存储区时选受信任的根证书颁发机构再重复一次选择受信任的发布者。命令行方式管理员身份执行适合批量部署certutil -addstore Root C:\driver\MyTestCert.cer certutil -addstore TrustedPublisher C:\driver\MyTestCert.cer导入完成后再次右键 INF 文件选择安装或者从设备管理器更新驱动应该就能正常通过了。如果设备已经安装过一半导致缓存异常建议先卸载设备再重新扫描硬件改动然后手动指定到该 INF 文件。5.4 别忘了控制台日志与签名数据库更新有时明明签名成功、证书也导入但安装时还是提示驱动未签名。这可能是因为 Windows 的签名缓存没有刷新。可以用下面命令强制刷新pnputil /scan-devices或者重启一次系统让 PnP 管理器重新枚举设备并加载新的签名信息。针对某些特定类型驱动比如打印驱动、网卡驱动还可能需要更新驱动存储库。你可以先把 INF 文件导入系统驱动库pnputil /add-driver C:\driver\test.inf /install/install 参数会让 Windows 直接尝试为匹配的设备安装驱动这是个非常实用的调试技巧。6. 常见问题与排查技巧实录6.1 报错信息与对应思路速查表下面是我在实际排障中总结出的一张速查表覆盖了本主题及边缘场景。遇到同类问题可以直接对号入座问题现象排查方向推荐处理INF 不包含数字签名信息确认 INF 是否签名、证书是否被信任官网重新下载驱动或自签名并导入证书指定的路径不包含适用的设备 INF检查 INF 的硬件 ID 和目录结构用记事本打开 INF确认硬件 ID 与设备一致确认驱动包中没有嵌入子目录Windows 无法验证此设备所需的驱动程序的数字签名证书过期、吊销、证书链不完整下载新版本驱动临时禁用签名强制安装64 位系统安装驱动时提示签名强制启动 Secure Boot 开启状态在 BIOS 中关闭 Secure Boot或使用测试模式某软件或硬件最近有所更改Windows 无法验证新插入设备驱动来源不明回滚驱动或安装经过 WHQL 签名的官方驱动PowerShell 未对脚本进行数字签名执行策略拦截 ps1 脚本使用 Set-ExecutionPolicy -Scope CurrentUser RemoteSignedKali/Ubuntu 报 NO_PUBKEY 签名错误apt 源中缺少公钥使用 apt-key 或导入官方 GPG 公钥UOS 数字签名证书软件安装失败软件未签名或证书不受信联系软件厂商获取签名版本或按系统规范导入证书6.2 排障中容易踩的几个坑这几个坑是我这些年反复见过的写出来帮大家避一避第一只签 INF 不签 SYS。如果驱动器加载的是内核模式服务Windows 会要求 SYS 文件也通过签名验证。仅给 INF 签名只是通过了 INF 检查驱动文件加载时会继续报错。所以签名时要保持安装包内所有关键文件一起签的习惯。第二时间戳服务器连不上。签名时如果加了 /t 参数但网络不通签名就会失败。此时可以把 /t 参数去掉先完成本地签名但这样证书一旦过期驱动安装会受影响所以离线环境下要格外注意证书有效期。第三导入证书时选错存储区。只导入当前用户的证书能解决一部分问题但 Windows 的驱动签名校验通常读的是本地计算机的证书库。必须导入到 LocalMachine 下的受信任根证书颁发机构和受信任的发布者否则签了也白签。第四忽略组策略中的设备安装限制。有些企业机器上组策略对象GPO里配置了设备安装限制会阻止安装未经签名驱动的行为。本地改完证书后如果还报错去 secpol.msc 或 gpedit.msc 里检查设备安装限制策略。第五UAC 权限不足。签名、导入证书、安装驱动这三步都需要管理员权限。如果你只是普通用户账号每一步都会失败。调出管理员命令行后执行命令减少权限问题的发生。6.3 几条实在的操作建议基于这些经验我给几条建议驱动文件的备份习惯很重要。老设备驱动能正常运行就别随便更新尤其不要从非官方渠道下载最新版。临时禁用签名强制的操作我建议只在个人开发机或测试机上用别在生产环境、财务系统、涉密设备上做。真的没必要赌这份风险。如果给公司内部设备统一安装未签名驱动应该用自签名证书方案并且通过域策略部署证书比逐台导入更规范。对开发者来说签名驱动的自动化流程可以集成到 CI持续集成中作为构建后处理的一个步骤。我自己的做法是在构建脚本里判断环境变量如果是发布分支就自动签名并验证少了很多人为操作空间。7. 最后再分享一点个人的操作体会在这个领域折腾得久了我最大的感受是签名问题本质是一个信任管理问题而不是单纯的安装问题。很多用户一看到INF 不包含数字签名信息就乱了阵脚试图用各种破解工具绕过校验反而把系统搞得漏洞百出。实际上冷静想一想你的设备和驱动来源是否可靠才是首先应该判断的。我自己的习惯是遇到这种报错先做三件事确认驱动是从设备厂商官方渠道拿到的确认系统时间、证书库有没有被改动过尝试 Windows Update 或者厂商新版驱动。这三步解决不了才上签名工具和自签名方案。另外再多说一句如果你的驱动是给别人用的而且对方不会操作证书导入那么更省心的做法是把自签名证书打包在驱动安装程序里让安装程序在安装前自动导入证书。用 NSIS 或者 Inno Setup 都可以实现网上有很多现成脚本。这样使用方体验会舒服很多也能少替你根证书的信任问题承担风险。总之Windows 的驱动签名机制并非高深难懂的东西但一旦理解不到位排障就会像无头苍蝇。希望这篇文章能让你少走一些弯路遇到 INF 签名报错时心里有底手上有招。 
长河君 · 2026/9/16 17:41:04 · 阅读 1.2k INF文件数字签名缺失怎么办？Windows驱动安装报错全解析与自签名实操
1. 先说结论INF 文件缺乏数字签名Windows 到底在拦什么在 Windows 下安装硬件驱动尤其是那些偏门硬件或者年代久远的打印机、USB 3.0 扩展卡、声卡、网卡时经常会弹出一个让人摸不着头脑的提示——INF 不包含数字签名信息。这句话拆开看就是两个关键点一个是 INF 文件一个是数字签名信息。INF 是驱动安装包的配方表告诉 Windows 该拷贝哪些驱动文件、写哪些注册表项、创建什么服务数字签名则是身份证明用来验证这份配方表确实来自可信的开发者并且在传输过程中没有被改动过。Windows 在安装驱动时会检查这个签名签名有效才允许继续签名缺失或者无效就直接弹窗拦下把安装进程停在那里。这篇文章准备把INF 不包含数字签名信息这件事从头到尾讲透。我会先解释 INF 和驱动签名机制的底层逻辑再带你认清各种常见报错长什么样然后给出从最省事到最彻底的几套解决方案最后附上实操排错中积累的速查表和避坑心得。不管你是刚接触驱动安装的新手还是在机房摸爬滚打多年的运维都能从中找到能直接抄作业的部分。2. INF 文件与驱动签名机制先弄清楚原理再动手2.1 INF 文件在驱动安装中起什么作用INF 的全称是 Interface Information File从 Windows 95 时代就有了本质是一个按特定格式编写的纯文本文件。它的作用就像快递包裹上的配送单收件人是谁、货物有哪些、应该送到哪个货架、是否需要冷藏保存全都写在上面。驱动安装时Windows 的即插即用PnP管理器会先读取 INF 文件按照里面的指令去部署驱动。一个典型的 INF 文件里通常包含以下几块核心内容Version 段声明这个 INF 支持的 Windows 版本、设备类别。Manufacturer 段指明厂商名称和对应的硬件 ID 映射关系。DDInstall 段定义驱动文件的拷贝规则、注册表写入项、服务创建指令等。AddService 指令告诉 Windows 需要注册哪些内核服务以及它们的启动类型。因为 INF 直接掌控了驱动文件的安装路径和系统服务注册行为Windows 必须相当谨慎地对待它。假如一份 INF 没有被数字签名就有可能是被恶意篡改过的。比如盗版驱动包中加一个恶意系统服务或者在 INF 里改掉驱动文件指向就能让系统加载来路不明的内核模块。这正是 Windows 要在 INF 这一层设下签名检查的原因。2.2 数字签名是怎么盖到 INF 文件上的在理解报错之前有必要先看懂签名机制。驱动开发者写完驱动后会把 INF、SYS、DLL 等文件打包用数字证书对这个包进行签名。签名过程可以理解为对文件内容做一次哈希摘要再用开发者的私钥对摘要进行加密验证时Windows 用开发者的公钥包含在证书里解密签名再重新计算文件哈希如果两边一致就说明文件从签名后到现在没有任何改动。Windows 的驱动签名有两种常见类型微软 WHQL 签名驱动经过微软硬件认证测试由微软签发这种驱动可以通过标准安装流程直接装第三方签名使用 EV 代码签名证书进行的签名Windows 会将证书链回溯到受信任的根证书颁发机构认证通过也能正常安装。当你看到INF 不包含数字签名信息时多数情况下是 INF 文件没有进行任何签名或者签名证书没有被系统信任。这在一些厂商官网裸奔的老驱动包、自开发测试驱动、以及从论坛或网盘下载的第三方修改版驱动里尤其常见。2.3 Windows 为什么非要卡这一关很多人觉得 Windows 管得宽但驱动签名机制并不是为了折腾用户而是内核安全的一道关键防线。内核模式驱动拥有系统最高权限一个带 bug 或被植入后门的驱动可以直接让系统蓝屏、崩溃逃逸甚至获取管理员权限。签署强制机制至少能做到三件事来源可溯系统可以根据证书信息判断驱动发布者的身份完整性校验确保驱动文件没有被二次打包、篡改降低误装概率提醒用户安装的是未经认证的软件而不是一行行弹窗刷屏。从 Vista 时代开始64 位 Windows 对内核驱动就强制执行签名要求到了 Win10/11配合 Secure Boot安全启动签名校验链条更严格了。换句话说你遇到这个报错正说明系统的安全机制在正常运转——虽然它有时候会导致设备装不上驱动确实让人抓狂。3. 现场还原常见的报错场景和它们背后的原因3.1 INF 不包含数字签名信息以外的几种相似提示实际使用中这个问题的马甲不少。我在搜索资料和排查问题过程中遇到过这些报错它们的底层原因相差不远这里一并梳理清楚我整理了下面这张表方便对照排查报错提示出现位置常见原因INF 不包含数字签名信息右键安装或设备管理器更新驱动时INF 未签名或签名证书不受信任指定的路径不包含适用的设备 INF更新驱动程序→浏览我的电脑→让我从计算机上的可用驱动程序列表选取时INF 写错硬件 ID或者目录结构不符合 Windows 驱动包规范Windows 无法验证此设备所需的驱动程序的数字签名设备管理器安装驱动时驱动文件本身带签名但签名已过期/被吊销或者证书链不完整最近硬件或软件更改安装的文件可能未正确签名插上新设备后系统提示设备驱动未签名系统只完成了通用驱动安装未对 PowerShell 脚本进行数字签名命令行运行 ps1 脚本时Windows PowerShell 执行策略拦截和 INF 签名属于同一条信任链只是对象不同很多人在网上搜索指定的路径不包含适用的设备inf有时候会误以为和INF 不包含数字签名信息是同一回事其实这两个报错的重点不太一样。前面那个主要指向文件路径和硬件 ID 匹配不上后面这个才是签名验证没过。排查时要分清楚。3.2 为什么 USB3.0、老外设和官网下不动的驱动最容易中招从实际操作经验来说最容易触发这类签名问题的设备有以下几个共同点太老比如好多年前发布的打印机扫描仪驱动厂商已经没有更新 WHQL 签名版本但你在 Windows 10/11 上还想用太小众一些展会赠品级的 USB 声卡、采集卡、多串口扩展卡驱动只有一张光盘没有经过微软认证发布者太小个人开发者或小团队做的驱动可能用的是自签名证书签了名但没导入系统根证书库Windows 照样不信任下载渠道不靠谱在第三方下载站拿到的驱动包经常是被人重新打包过的打包过程破坏了原签名甚至直接把签名信息剔除了。USB3.0 这种情况我多说一句如果老系统比如 Windows 7 原版镜像安装到没有原生 USB3.0 支持的主板时经常需要手动注入包含签名驱动的 USB3.0 控制器驱动。此时如果手头驱动是修改版就可能出现签名报错。反过来如果只是想在 Win10 下安装某个自称兼容的老 USB3.0 驱动也容易撞上这个问题。3.3 别以为只有 Windows 有签名问题搜索热词里还出现了 Kali、Ubuntu、UOS 这些系统的数字签名问题顺带提一下方便大家理解签名机制是所有现代操作系统都会做的基础安全设计。Kali/Ubuntu 等发行版的软件源中所有安装包都带有 GPG 签名。apt 更新报错里常见的 NO_PUBKEY 就是在提示没有公钥来验证签名。UOS 这类国产系统对驱动和应用也有签名验证要求给普通用户带来的体验问题同样存在只是具体命令和证书管理方式和 Windows 不同。所以遇到数字签名报错先别急着觉得系统坏了。这个机制在所有操作系统里都成立只是 Windows 把 INF 的签名检查处理得比较严格报错文案也更直接。4. 解决思路从最省事到最彻底按顺序来先说一句大实话如果你安装的是一个正规厂商的驱动正确且唯一的主流解法是去厂商官网下载带数字签名的新版驱动或者用 Windows Update 自动搜索。签名问题的本质是信任最省事的方案就是让系统信任你的驱动来源。但现实往往没那么理想所以下面按先临时后彻底的顺序给出几套可落地的方案。4.1 第一步尝试官方驱动与 Windows Update操作步骤不复杂打开设备管理器找到带黄色感叹号的设备右键选择更新驱动程序。选择自动搜索驱动程序等 Windows 自己找。如果搜不到去设备厂商官网的支持页面按型号下载最新驱动。这里要特别提醒从官网下载驱动时看清页面是否注明支持 Windows 10/11 以及是否为经过 WHQL 认证的版本。假如官网只放了上古版本且没有任何签名信息那基本就没戏了。不过 Windows Update 的驱动库有时反而有厂商后续提交的签名版本值得一试。4.2 临时关闭驱动签名强制适合一次性安装的场景如果驱动包本身没问题只是没签名又只是不想改系统设置太长可以用高级启动菜单临时禁用签名强制。Win10/11 的操作路径如下点击开始菜单 → 按住 Shift 键点重启进入蓝色界面后依次选择疑难解答→高级选项→启动设置点击重启按钮重启后按数字键 7选择禁用驱动程序强制签名。这种方式只在本次启动生效重启后签名检查会恢复。它适合用来装一次旧驱动不适合作为长期方案。而且需要注意Win10/11 在启用了 Secure Boot 的情况下这种方式有时会被 BIOS 策略覆盖必须在 BIOS 里临时关闭 Secure Boot 才能生效。4.3 用测试模式 bcdedit 长时间运行未签名驱动如果你调试驱动的时间比较长每回都重启进高级菜单确实麻烦。此时可以进入测试签名模式以管理员身份打开命令行提示符执行 bcdedit /set testsigning on重启电脑。开启后桌面右下角会出现测试模式的水印表明系统目前允许加载未签名驱动。用完后执行 bcdedit /set testsigning off 并重启即可恢复。注意这个方法同样受 Secure Boot 限制开启 Secure Boot 时命令会执行失败需要先关掉它。需要强调的是这台机器如果还要用于生产环境、处理重要数据不建议长期使用测试模式。测试模式相当于把门口保安撤了方便省事但风险也在。4.4 彻底方案为 INF 和驱动文件做自签名并导入受信任根证书这个方法最接近正规军的解决方式原理是自己做一张测试证书给自己的驱动签上名再把这张证书加入系统的受信任的根证书颁发机构和受信任的发布者列表。经过这套操作后Windows 会认为该驱动来源可信后续安装就不再报INF 不包含数字签名信息。这个方法的核心步骤我放到下面第五节详细说因为里面工具选型、命令参数和坑都是实打实的内容。5. 实操流程自签名并安装 INF 驱动5.1 准备工具Windows SDK 的 signtool 与证书生成做这件事需要用到 Windows SDK 里自带的签名工具 signtool.exe以及一个能生成证书的工具。推荐的方法有两种使用 Visual Studio 自带的开发者命令提示符里面集成了 signtool单独安装 Windows SDK安装时勾选Windows SDK for Windows Store Apps或Desktop C x64/x86 应用相关组件也可以拿到 signtool 和证书创建工具。如果你只想快速验证流程我建议大家直接用 Windows 自带的 PowerShell 来生成证书。从 Windows 10 1809 开始PowerShell 有 New-SelfSignedCertificate 命令三行命令就能生成一张用于驱动签名的代码签名证书不用额外装一堆工具。具体命令如下管理员身份的 PowerShell 中执行# 1. 创建一张自签名代码签名证书有效期 3 年 $cert New-SelfSignedCertificate -Subject CNMy Test Driver Cert -Type CodeSigningCert -CertStoreLocation Cert:\LocalMachine\My -NotAfter (Get-Date).AddYears(3) # 2. 导出证书文件用于后续导入受信任根证书 Export-Certificate -Cert $cert -FilePath C:\driver\MyTestCert.cer如果你用的是旧版 Windows或者还是习惯传统方式也可以使用 makecert 命令。不过 makecert 生成的证书有时需要在签名时额外指定 CSP 参数比较繁琐现在不推荐新用户使用。5.2 签名 INF、SYS 文件的完整命令操作签名过程的核心命令是 signtool。打开开发人员命令提示符或普通命令行进到有 signtool.exe 的目录然后按以下几步执行。签名驱动文件假设驱动目录在 C:\driver里面有 test.inf 和 test.syssigntool sign /v /s My /n My Test Driver Cert /t http://timestamp.digicert.com C:\driver\test.inf C:\driver\test.sys命令参数解释/v显示详细签名信息/s My指定从当前用户的我的证书存储区寻找证书/n指定证书名称要和创建时输入的证书主题一致/t指定时间戳服务器地址这样驱动过期后签名依然有效最后跟上要签名的文件路径可以一次签多个文件。签名成功后会有 Signing Success 之类的提示。如果不成功多半是证书选错、名称对不上或者 Windows SDK 版本太旧。签名完 INF 后再用下面的命令验证签名确实写入成功signtool verify /v /pa C:\driver\test.inf/pa 表示验证时只检查 Authenticode 签名有效性不会去校验 Windows 硬件徽标策略。5.3 把证书导入受信任的根证书颁发机构和受信任的发布者签名完只是第一步Windows 不会自动信任这张自签名证书。还需要把它加入系统信任列表。操作方式有两种。图形化方式双击 C:\driver\MyTestCert.cer在弹出的证书窗口里点击安装证书选择存储区时选受信任的根证书颁发机构再重复一次选择受信任的发布者。命令行方式管理员身份执行适合批量部署certutil -addstore Root C:\driver\MyTestCert.cer certutil -addstore TrustedPublisher C:\driver\MyTestCert.cer导入完成后再次右键 INF 文件选择安装或者从设备管理器更新驱动应该就能正常通过了。如果设备已经安装过一半导致缓存异常建议先卸载设备再重新扫描硬件改动然后手动指定到该 INF 文件。5.4 别忘了控制台日志与签名数据库更新有时明明签名成功、证书也导入但安装时还是提示驱动未签名。这可能是因为 Windows 的签名缓存没有刷新。可以用下面命令强制刷新pnputil /scan-devices或者重启一次系统让 PnP 管理器重新枚举设备并加载新的签名信息。针对某些特定类型驱动比如打印驱动、网卡驱动还可能需要更新驱动存储库。你可以先把 INF 文件导入系统驱动库pnputil /add-driver C:\driver\test.inf /install/install 参数会让 Windows 直接尝试为匹配的设备安装驱动这是个非常实用的调试技巧。6. 常见问题与排查技巧实录6.1 报错信息与对应思路速查表下面是我在实际排障中总结出的一张速查表覆盖了本主题及边缘场景。遇到同类问题可以直接对号入座问题现象排查方向推荐处理INF 不包含数字签名信息确认 INF 是否签名、证书是否被信任官网重新下载驱动或自签名并导入证书指定的路径不包含适用的设备 INF检查 INF 的硬件 ID 和目录结构用记事本打开 INF确认硬件 ID 与设备一致确认驱动包中没有嵌入子目录Windows 无法验证此设备所需的驱动程序的数字签名证书过期、吊销、证书链不完整下载新版本驱动临时禁用签名强制安装64 位系统安装驱动时提示签名强制启动 Secure Boot 开启状态在 BIOS 中关闭 Secure Boot或使用测试模式某软件或硬件最近有所更改Windows 无法验证新插入设备驱动来源不明回滚驱动或安装经过 WHQL 签名的官方驱动PowerShell 未对脚本进行数字签名执行策略拦截 ps1 脚本使用 Set-ExecutionPolicy -Scope CurrentUser RemoteSignedKali/Ubuntu 报 NO_PUBKEY 签名错误apt 源中缺少公钥使用 apt-key 或导入官方 GPG 公钥UOS 数字签名证书软件安装失败软件未签名或证书不受信联系软件厂商获取签名版本或按系统规范导入证书6.2 排障中容易踩的几个坑这几个坑是我这些年反复见过的写出来帮大家避一避第一只签 INF 不签 SYS。如果驱动器加载的是内核模式服务Windows 会要求 SYS 文件也通过签名验证。仅给 INF 签名只是通过了 INF 检查驱动文件加载时会继续报错。所以签名时要保持安装包内所有关键文件一起签的习惯。第二时间戳服务器连不上。签名时如果加了 /t 参数但网络不通签名就会失败。此时可以把 /t 参数去掉先完成本地签名但这样证书一旦过期驱动安装会受影响所以离线环境下要格外注意证书有效期。第三导入证书时选错存储区。只导入当前用户的证书能解决一部分问题但 Windows 的驱动签名校验通常读的是本地计算机的证书库。必须导入到 LocalMachine 下的受信任根证书颁发机构和受信任的发布者否则签了也白签。第四忽略组策略中的设备安装限制。有些企业机器上组策略对象GPO里配置了设备安装限制会阻止安装未经签名驱动的行为。本地改完证书后如果还报错去 secpol.msc 或 gpedit.msc 里检查设备安装限制策略。第五UAC 权限不足。签名、导入证书、安装驱动这三步都需要管理员权限。如果你只是普通用户账号每一步都会失败。调出管理员命令行后执行命令减少权限问题的发生。6.3 几条实在的操作建议基于这些经验我给几条建议驱动文件的备份习惯很重要。老设备驱动能正常运行就别随便更新尤其不要从非官方渠道下载最新版。临时禁用签名强制的操作我建议只在个人开发机或测试机上用别在生产环境、财务系统、涉密设备上做。真的没必要赌这份风险。如果给公司内部设备统一安装未签名驱动应该用自签名证书方案并且通过域策略部署证书比逐台导入更规范。对开发者来说签名驱动的自动化流程可以集成到 CI持续集成中作为构建后处理的一个步骤。我自己的做法是在构建脚本里判断环境变量如果是发布分支就自动签名并验证少了很多人为操作空间。7. 最后再分享一点个人的操作体会在这个领域折腾得久了我最大的感受是签名问题本质是一个信任管理问题而不是单纯的安装问题。很多用户一看到INF 不包含数字签名信息就乱了阵脚试图用各种破解工具绕过校验反而把系统搞得漏洞百出。实际上冷静想一想你的设备和驱动来源是否可靠才是首先应该判断的。我自己的习惯是遇到这种报错先做三件事确认驱动是从设备厂商官方渠道拿到的确认系统时间、证书库有没有被改动过尝试 Windows Update 或者厂商新版驱动。这三步解决不了才上签名工具和自签名方案。另外再多说一句如果你的驱动是给别人用的而且对方不会操作证书导入那么更省心的做法是把自签名证书打包在驱动安装程序里让安装程序在安装前自动导入证书。用 NSIS 或者 Inno Setup 都可以实现网上有很多现成脚本。这样使用方体验会舒服很多也能少替你根证书的信任问题承担风险。总之Windows 的驱动签名机制并非高深难懂的东西但一旦理解不到位排障就会像无头苍蝇。希望这篇文章能让你少走一些弯路遇到 INF 签名报错时心里有底手上有招。