Microsoft ужесточает политику безопасности Windows: блокировка устаревших драйверов

Согласно официальному заявлению Microsoft, начиная с апреля 2026 года, ядро Windows по умолчанию будет отказываться загружать драйверы, подписанные с помощью устаревшей программы перекрёстной подписи (cross-signing root program). Это означает конец политике доверия к ядру, которая действовала более 20 лет.

Программа перекрёстной подписи была механизмом, введённым Microsoft в начале 2000-х годов. Она позволяла сторонним партнёрам после прохождения проверки получать сертификаты для подписи кода, которым доверяла Windows.

Microsoft официально прекратила действие этой программы в 2021 году, и все выданные в её рамках сертификаты истекли. Однако ядро Windows до сих пор по умолчанию доверяло этим старым сертификатам, что в некоторых сценариях позволяло загружать связанные с ними драйверы.

Согласно новой политике, ядро Windows будет принимать только драйверы, подписанные в рамках программы совместимости оборудования Windows (WHCP).

Эта политика будет применяться к Windows 11 24H2, 25H2, 26H1, Windows Server 2025 и всем будущим клиентским и серверным версиям.

Тем не менее, Microsoft оставляет «запасной выход»: будет вестись белый список, разрешающий ядру загружать старые, но проверенные и имеющие хорошую репутацию драйверы, прошедшие через программу перекрёстной подписи. Это необходимо для обеспечения совместимости.

Учитывая, что некоторые корпоративные среды могут зависеть от старых драйверов, Microsoft устанавливает начальный этап новой политики доверия ядра в режим оценки. На этом этапе будет проводиться только мониторинг и аудит времени работы системы и количества запусков, без немедленной блокировки.

Кроме того, пользователи по-прежнему смогут переопределить политику ядра по умолчанию, настроив Application Control for Business (ранее известный как WDAC). Это особенно полезно для организаций, которым необходимо загружать собственные внутренние драйверы.

Microsoft заявляет, что новая политика основана на десятках миллиардов телеметрических сигналов, собранных за последние годы с устройств под управлением Windows 11 и Windows Server 2025, и в дальнейшем будет оптимизироваться на основе отзывов пользователей.

ИИ: Это важный и ожидаемый шаг со стороны Microsoft. Устаревшие механизмы безопасности, сохранявшиеся десятилетиями ради обратной совместимости, давно стали уязвимым местом. Хотя переход может вызвать временные сложности у некоторых предприятий, в долгосрочной перспективе это значительно повысит безопасность экосистемы Windows для всех пользователей в 2026 году.