ניהול מתקדם של אישורי מנהלי התקנים וחתימות ב-Windows הפך לנושא קריטי עבור מנהלי מערכת, מפתחים ומשתמשים מתקדמים כאחד. מאז שמיקרוסופט הידקה את מדיניות החתימה ב-Windows 64 סיביות, כל מנהל התקן הפועל במצב ליבה חייב להיות חתום כראוי, ובמקרים רבים, גם לעבור דרך מערכות האימות של מיקרוסופט. הוספת שינויים אלה, כגון אימוץ חובה של SHA-2 וחתימת אימות, יכולה בקלות להקשות על העניינים ללא הבנה כוללת טובה.
בנוסף לכל זה, בסביבות עבודה אמיתיות, עלינו להתמודד עם מנהלי התקנים מיושנים, מכשירים ללא תמיכה מעודכנת, כרטיסי קריפטוגרפיה, אישורי כרטיסים חכמים , כלים של צד שלישי, עבודה מרחוק, מחשבים ללא גישה לאינטרנט, ואפילו מערכות שעדיין נמצאות בתהליכי ייצור עם Windows 7 או Windows XP. בהקשר זה, הבנת אופן פעולתם של חתימות, אילו סוגי אישורים משמשים, כיצד הם מנוהלים בלוח החומרה, ואילו אפשרויות עומדות בפנינו כאשר משהו משתבש, היא קריטית כדי להימנע מבזבוז שעות על שגיאות מוצפנות ופגיעה באבטחת המערכת.
מהי חתימת מנהל התקן ב-Windows ומדוע היא כל כך חשובה?
ב-Windows, מנהל התקן חתום משלב חתימה דיגיטלית המשויכת לחבילת מנהל ההתקן (קבצים בינאריים, קבצי INF, קטלוגים וכו'). חתימה זו משרתת שתי מטרות עיקריות: אימות שהחבילה לא שונתה מאז שהמפרסם פרסם אותה (שלמות) ואישור זהות הספק שחתם עליה (אותנטיות). במערכות 64 סיביות מאז Windows Vista, הכלל הבסיסי ברור: מנהלי התקנים במצב ליבה חייבים להיות חתומים אחרת הם לא ייטענו.
כאשר אנו מתקינים התקן, המערכת עצמה משתמשת בחתימות דיגיטליות ובאישורים כדי לוודא שחבילת מנהל ההתקן מגיעה ממפיץ מהימן ולא נפגמה במהלך ההעברה. אם משהו נראה לא תקין (חתימה לא חוקית, אישור שפג תוקפו, אלגוריתם לא נתמך, קטלוג שונה וכו'), Windows מפרסם אזהרות, חוסם את ההתקנה או פשוט מונע את טעינת מנהל ההתקן בעת ההפעלה.
יתר על כן, מאז הגרסאות המוקדמות של Windows 10, מיקרוסופט דרשה מנהלי התקנים לעבור דרך ערוץ החתימה שלה דרך מרכז פיתוח החומרה ולהשתמש באלגוריתמי SHA-2. זה לא רק משפיע על קבצים בינאריים חתומים על ידי מיקרוסופט, אלא גם על האופן שבו מנהלי התקנים של צד שלישי חתומים באמצעות SHA-1 או עם אישורים שכבר אינם נחשבים מאובטחים מתקבלים או נדחים.
שינויי חתימת מנהל התקן: מ-SHA1 ל-SHA2 ובעיות תאימות
אחת הבעיות שגרמו לכאבי ראש רבים היא המעבר מ- SHA1 ל-SHA2 בחתימת מנהלי התקנים . החל מגרסה 1507 של Windows 10, כל מנהלי ההתקן החתומים על ידי מרכז החומרה משתמשים ב-SHA-2. יתר על כן, קבצים בינאריים מסוימים במצב ליבה המשלבים חתימות כפולות (SHA1 ו-SHA2) מספקי צד שלישי עלולים לגרום לבעיות במערכות ישנות יותר מ-Windows 10, או אפילו להוביל לקריסות ב-Windows 10 וגירסאות מאוחרות יותר אם עדכונים מסוימים אינם מותקנים.
באופן ספציפי, מיקרוסופט תיעדה מקרים בהם מנהלי התקנים שנחתמו והוטמעו עם אישורים כפולים לא נטענו כראוי או יכלו לגרום למסכים כחולים במערכות ללא תיקונים קריטיים. כדי למנוע זאת, הם המליצו להתקין עדכונים כגון KB 3081436, שגם פרסמו את קוד ה-SHA של הקבצים המושפעים, מה שאפשר למשתמשים לוודא אם המערכת שלהם משתמשת בקבצים בינאריים בעייתיים.
תרחיש מעורב זה גרם לכך שכאשר פורסים מנהלי התקנים בסביבות עם גרסאות Windows שונות, חיוני לבדוק את דרישות החתימה עבור כל גרסת מערכת הפעלה ולוודא שהשילוב של אלגוריתם הגיבוב, סוג האישור ושיטת החתימה תואם לכל פלטפורמת יעד.
תפקיד מנהל במרכז השותפים וניהול תעודות נהיגה
כשאנחנו מדברים על מפתחי חומרה וחברות המפיצות מנהלי התקנים, תפקידו של מנהל מרכז השותפים (לשעבר מרכז מפתחי החומרה) הוא מפתח. אדם זה אחראי על ניהול אישורי חתימת הקוד המשמשים לחתימה על מנהלי התקנים ועל שליחתם לחתימה או אימות של מיקרוסופט.
מלוח המחוונים של החומרה של מרכז השותפים, מנהל המערכת יכול להוסיף, לחדש ולבטל אישורי חתימה . לשם כך, עליו להתחבר, לגשת להגדרות החשבון או המפתח שלו, וללכת למקטע "ניהול אישורים". משם, הוא יכול להוסיף אישורים חדשים, להוריד את הקבצים לחתימה (כגון הקובץ הסטנדרטי Signablefile.bin) ולהעלות שוב את האישורים החתומים.
התהליך הטיפוסי להשגת אישור כרוך בהורדת קובץ בינארי המסופק על ידי מיקרוסופט, חתימה עליו באמצעות SignTool באמצעות /fd sha256 וחותמת זמן מתאימה של SHA-2, והעלאת הקובץ המתקבל. מרכז פיתוח החומרה של Windows יאמת שהאישור שייך לחברה ויקשר אותו לחשבון לצורך חתימה עתידית על חבילות מנהלי התקנים, באמצעות אימות או באמצעות תהליכי אישור סטנדרטיים.
קבלת וחידוש תעודות רכב חשמלי להחתמת נהגים
כדי לחתום על מנהלי התקנים ברמה מקצועית, במיוחד כאשר נדרשת אימות או מנהלי התקנים אמורים להתפרסם דרך Windows Update, חיוני אישור חתימת קוד של אימות מורחב (EV) שהונפק על ידי רשות אישורים מוכרת. אישורים אלה דורשים אימות מחמיר יותר של הארגון, אך בתמורה מציעים רמת אמון גבוהה יותר.
התהליך הסטנדרטי מתחיל בקביעת סוג תעודת חתימת הקוד הנדרשת, בהתבסס על סוג מנהל ההתקן, גרסאות Windows הנתמכות ודרישות מיקרוסופט. אם כבר יש לך תעודה תקפה ואינך מעוניין להחליף ספקים, תוכל לעשות בה שימוש חוזר. אחרת, עליך לרכוש תעודת EV חדשה לאחר ש-CA יאמת את זהות החברה.
לאחר אישור ההנפקה, ספק התעודה מספק הוראות לאחזור תעודת ה-EV , אשר מאוחסנת לרוב בהתקן חומרה (אסימון USB או HSM) או מותקנת במאגר תעודות מאובטח. תעודה זו, יחד עם SignTool או כלים מקבילים, ישמשו לחתימה על קבצי ה-CAB, הקטלוגים, ובמקרים רבים, על הקבצים הבינאריים של מנהלי ההתקן לפני שליחתם ל-Microsoft.
הוספה, עדכון והסרה של אישורים בלוח החומרה
לאחר שתעודת ה-EV פעילה, השלב הבא הוא לשמור על רישום תקין שלה בלוח המחוונים של חומרת מרכז השותפים . כדי להוסיף תעודה חדשה, מנהל המערכת מתחבר, עובר ל"הגדרות חשבון" או "הגדרות מפתח" ולאחר מכן ל"ניהול תעודות". משם, הוא יכול לבחור "הוסף תעודה חדשה" ולפעול לפי האשף.
במהלך התהליך, המערכת מייצרת קובץ Signablefile.bin אשר יש להוריד ולחתום באמצעות האישור הדיגיטלי החדש של החברה. SignTool משמש עם הפרמטר /fd sha256 וחותמת זמן SHA-2, ובכך מבטיחים שהתעודה לא תהפוך לבלתי שמישה כאשר תוקפה פג אם יהיה צורך באימותים זמניים בכל שלב.
לאחר חתימת הקובץ, חזור למרכז השותפים והעלה אותו מאותו מדור. אם הכל נכון, האישור החדש ישויך לחשבון המפתח , מוכן לשימוש בהגשות מנהלי התקנים עתידיות.
כאשר אישור אינו נחוץ עוד או שיש חשד שהוא נפרץ, ניתן להסירו ישירות מלוח המחוונים . פשוט אתר אותו ברשימה והשתמש באפשרות "הסר" בעמודת הפעולות. פעולה זו אינה מבטלת אוטומטית את כל החתימות שבוצעו באמצעותו (חתימות שכבר הונפקו יישארו תקפות ברוב המקרים), אך היא מונעת שימוש חוזר בו עבור הגשות או תצורות חדשות.
חתימה באמצעות אימות: יצירה וחתימה על CAB לבקרים
חתימת אימות היא מנגנון המאפשר הפצת מנהלי התקנים מבלי לעבור את כל תהליך הסמכת WHQL המסורתי, תוך שמירה על חתימת מיקרוסופט ועמידה בכללי טעינת הליבה. זה מושג על ידי הכנת קובץ CAB המכיל את חבילת מנהל ההתקן ושליחתו דרך מרכז השותפים לחתימה על ידי מיקרוסופט.
הגשת CAB טיפוסית מכילה, לכל הפחות, את קובץ הקובץ הבינארי של מנהל ההתקן (לדוגמה, Echo.sys), את קובץ ה-INF המתאים (Echo.inf) ואת קבצי הסמלים של PDB (כגון Echo.pdb) הנדרשים לכלי Microsoft לניתוח קבצי זיכרון במקרה של כשלים. ניתן לכלול גם קבצי קטלוג (.cat) לאימות פנימי של החברה, אם כי מיקרוסופט תיצור מחדש את הקטלוגים שלה במהלך תהליך החתימה.
קובץ ה-CAB נוצר בדרך כלל באמצעות MakeCab וקובץ DDF המגדיר את שם הקובץ המתקבל, את מבנה התיקיות הפנימי של החבילה ואת הקבצים שיש לכלול. ה-DDF מגדיר פרמטרים כגון סוג הדחיסה, שם הפלט (לדוגמה, Echo.cab) וספריית היעד בתוך ה-CAB (בדרך כלל תיקיית משנה כדי למנוע הצבת הקבצים בספריית השורש).
לאחר הכנת ה-DDF, מבוצעת פקודה בסגנון הבא MakeCab /f Echo.ddfאשר יוצר את קובץ ה-CAB בתת-ספרייה (כגון Disk1). מומלץ לבדוק את תוכנו כדי לוודא ש גם קבצים בינאריים וגם קבצי INF ו-PDB הם נכללו כהלכה לפני שעברו לשלב הבא: חתימה עם תעודת ה-EV.
חתימת רכב חשמלי מ-CAB והגשה דרך מרכז השותפים
לאחר יצירת ה-CAB, יש לחתום עליו באמצעות אישור ה-EV של הארגון . פעולה זו מתבצעת שוב באמצעות SignTool, תוך הצבעה על מאגר האישורים שבו נמצא ה-EV וציון אלגוריתם ה-hash (SHA256) וכתובת ה-URL של שרת חותמת הזמן:
דוגמה קלאסית לפקודה זה יהיה משהו כמו SignTool sign /s MY /n "Nombre de la empresa" /fd sha256 /tr http://... /td sha256 /v Echo.cabחתימה זו מבטיחה שהחבילה כולה מוגנת ושניתן יהיה לאמת את שלמותה ומקורה עוד לפני ש-Microsoft מעבדת אותה.
לאחר מכן, קובץ ה-CAB החתום מועלה מלוח מרכז השותפים , במקטע הגשות החומרה החדש. שם, מוקצה שם למוצר, מצוינים מאפייני החתימה הרצויות (אילו סוגי חתימות רצויות עבור החבילה, אילו ארכיטקטורות ומערכות נתמכות), וחתימות בדיקה מופעלות או מושבתות בהתאם לתרחיש.
לאחר השלמת ההגשה ותהליך החתימה, המפתח יכול להוריד את מנהל ההתקן החתום על ידי מיקרוסופט מלוח המחוונים. חבילה זו תותקן לאחר מכן במחשבי המשתמשים, בדרך כלל ללא אזהרות אבטחה, בתנאי שהמערכת נותנת אמון ברשויות האישורים הרלוונטיות ושרשרת האמון מוגדרת כראוי.
אימות חתימת הבקר ויחידות ה-EKU
לאחר הורדת הדרייבר החתום, כדאי לבדוק ש החתימות והתעודות הוחלו כהלכהלשם כך, כלי הייחוס הוא שוב SignTool, עם פקודות כגון SignTool verify Echo.sys כדי לאמת את החתימה הבסיסית או פרמטרים נוספים כגון /pa /ph /v /d לפרטים נוספים, כולל גיבוב (hashes) ואימות של כל החתימות הקיימות בקובץ.
בנוסף לאימות שורת פקודה, ניתן לבדוק אישורים באופן ידני ממאפייני הקובץ בסייר Windows. הכרטיסייה "חתימות דיגיטליות" מפרטת את החתימות שהוחלו; בחירת אחת ולחיצה על "פרטים" → "הצג אישור" מספקת גישה לכל המידע הרלוונטי אודות שרשרת האמון.
בלשונית פרטי האישור, השדה שימוש משופר במפתח (EKU) מאפשר לך לאשר שהאישור הונפק עם הסיומות המתאימות לחתימה על קוד ומנהלי התקנים. אם מספרי ה-EKU שגויים, המערכת עשויה לקבל את החתימה הקריפטוגרפית אך עדיין לדחות את העלאת מנהל ההתקן מכיוון שהאישור אינו מורשה למטרה ספציפית זו.
ניהול מתקדם של מחזור החיים של הבקר החתום
התהליך הפנימי של מיקרוסופט לחתימה על הגשה כרוך בדרך כלל במספר פעולות משורשרות. ראשית, חתימת מיקרוסופט מוטמעת המבוססת על SHA-2 מתווספת לקובץ הבינארי של מנהל ההתקן. אם הלקוח כבר הוסיף חתימות משלו לקובץ הבינארי, ייתכן שאלו יוחלפו על ידי חתימת מיקרוסופט במידת הצורך כדי להבטיח עמידה במדיניות ההעלאה.
לאחר מכן המערכת יוצרת וחותמת על קובץ קטלוג חדש (.cat) עם אישור Microsoft SHA-2, המחליף כל קטלוג שהוגש במקור על ידי המפתח. פעולה זו מבטיחה ששלמות החבילה כולה נשלטת על ידי הקטלוג החתום על ידי מיקרוסופט, בעוד שקבצים בינאריים בודדים נחתמים בהתאם לכללי מצב ליבה.
לאחר התקנת מנהל ההתקן ב-Windows (בין אם באמצעות devcon, pnputil, מתקינים מותאמים אישית או דרך Windows Update), אם התצורה נכונה, הודעות כגון "Windows אינו יכול לאמת את המפרסם של תוכנת מנהל התקן זו" לא אמורות להופיע. אזהרות מסוג זה מצביעות בדרך כלל על בעיות בשרשרת האישורים, חתימות לא שלמות, קטלוגים לא רשומים או אי תאימות עם מדיניות החתימה של המערכת.
מנהלי התקנים ב-Windows 10 וניהול בסיסי של מנהלי התקנים
מנקודת מבטו של משתמש הקצה או טכנאי התמיכה, הכלי הראשון לבדיקת מצב מנהלי ההתקנים ב-Windows 10 הוא מנהל ההתקנים . זה מציג את הרשימה המלאה של ההתקנים המותקנים במחשב: אלה שפועלים כראוי מופיעים ללא סמלי אזהרה, בעוד שאלה עם בעיות מסומנים בסמלים צהובים או אדומים.
הדרך המהירה ביותר לפתוח אותו היא להשתמש בסרגל החיפוש בתפריט התחל על ידי הקלדת "מנהל התקנים", או על ידי שימוש בתפריט ההקשר של תפריט התחל (Win+X) ובחירת האפשרות המתאימה. מקונסולה זו, ניתן לעדכן, להשבית, להסיר או לבדוק את המאפיינים של כל מנהל התקן, כולל החתימה הדיגיטלית שלו.
בתרחיש אידיאלי, רוב המכשירים מכוסים על ידי מנהלי התקנים גנריים או ספציפיים ש-Windows עצמה מורידה ומתקינה דרך Windows Update. עם זאת, כאשר המערכת אינה מזהה פריט חומרה מסוים, מופיעים "התקנים לא ידועים", הדורשים ניהול ידני נוסף על ידי המשתמש או מנהל המערכת.
התקנים לא ידועים ומיקום ידני של מנהל ההתקן המתאים
כאשר מופיע מכשיר לא ידוע עם סמל אזהרה , הדרך היעילה ביותר לזהותו היא בדרך כלל לבדוק את מזהה החומרה שלו. מהמאפיינים שלו, בכרטיסייה "פרטים", בחר "מזהה חומרה" והעתק את המחרוזות שמתחילות בקידומות PCI, USB או אחרות. מחרוזות אלו כוללות את מזהה היצרן והדגם של המכשיר.
עם מזהה זה בהישג יד, תוכלו לחפש בבטחה את מנהל ההתקן המתאים באתר הרשמי של היצרן, או במקרים מסוימים, במאגרי מידע ייעודיים של מנהלי התקנים. לאחר הורדת החבילה, אם מדובר בקובץ התקנה בר-הפעלה, פשוט עקבו אחר האשף; אם, לעומת זאת, היא מגיעה כתיקייה מלאה בקבצי INF, SYS וקבצים אחרים, תצטרכו להשתמש באפשרות " עיין במחשב שלי אחר תוכנת מנהל התקן ", תוך ציון הנתיב לתיקייה זו.
במקרים רבים, במיוחד עם ציוד ישן יותר או שילובי חומרה יוצאי דופן, חיפוש ידני מסוג זה הוא הדרך היחידה המעשית לגרום למכשיר לפעול כראוי, תוך הקפדה תמיד על הורדת מנהלי התקנים רק ממקורות אמינים ולא מפורטלים גנריים המשלבים מנהלי התקנים עם תוכנות לא רצויות.
מנהלי התקנים ללא חתימה מזוהה, מצבים מיוחדים ואפשרויות אבטחה
Windows 10 כולל שכבת אבטחה נוספת בכך שהוא דורש חתימה על מנהלי התקנים על ידי מיקרוסופט או ספקים מהימנים . זה הגיוני לחלוטין מנקודת מבט של הגנת המערכת, אך זה יכול להפוך לבעיה כשצריך להתקין מנהלי התקנים לגיטימיים שאינם חתומים כראוי או שאין להם חתימה שזוהתה על ידי המערכת.
בגרסאות קודמות של Windows, יכולת לקבל באופן ידני את ההתקנה של מנהל התקן לא חתום פשוט על ידי לחיצה על "התקן בכל מקרה", אך החל מ-Windows 10, אפשרות זו בוטלה במידה רבה. כדי להתקין מנהלי התקנים אלה, עליך כעת להשתמש בשיטות כגון אתחול מתקדם עם אימות חתימה מושבת , מצב בדיקה או שינויים במדיניות קבוצתית, בהתאם למהדורת המערכת.
השיטה השמרנית ביותר כוללת הפעלה מחדש של Windows במצב מיוחד אשר מבטל באופן זמני את אכיפת חתימת מנהל ההתקן . ניתן לעשות זאת דרך הגדרות המערכת (Win+I → עדכון ואבטחה → שחזור) באמצעות "הפעלה מתקדמת" ולאחר ניווט בין מספר תפריטים ("פתרון בעיות" → "אפשרויות מתקדמות" → "הגדרות הפעלה"), בחירת האפשרות אשר מבטלת את אכיפת חתימת מנהל ההתקן. פעולה זו מאפשרת לך להתקין את מנהל ההתקן הדרוש, אם כי ההגנה תופעל מחדש בהפעלה מחדש הבאה.
השבתת חתימת מנהלי התקנים: מדיניות קבוצתית, מצב בדיקה ופקודות BCDEdit
בסביבות מתקדמות יותר, כגון מהדורות Pro או Enterprise של Windows 10/11, ניתן להתאים את אופן החתימה של מנהלי התקנים באמצעות מדיניות קבוצתית (GPEDIT) . ניווט אל תצורת משתמש → תבניות ניהול → מערכת → התקנת מנהל התקן יוביל אתכם למדיניות "חתימת קוד עבור מנהלי התקנים". הגדרתה ל"מושבת" מרפה את דרישת החתימה, אך יש להשתמש בה בזהירות ועליכם להיות מודעים להשפעה האבטחתית.
אפשרות נוספת היא מצב בדיקה (TESTSIGNING)זה מיועד למפתחים שעובדים עם מנהלי התקנים שעדיין בשלב הבדיקה. הפעלת מצב זה באמצעות bcdedit /set TESTSIGNING ON (והפעלה מחדש) מאפשר טעינת מנהלי התקנים חתומים בתעודות בדיקה, שבדרך כלל מונפקות על ידי הארגון עצמו. כאשר המערכת נמצאת במצב זה, מוצג סימן מים על שולחן העבודה המציין שהיא פועלת בסביבת בדיקה.
האפשרות הדרסטית ביותר היא להשבית אותם לחלוטין. בדיקות שלמות הבקר עם פקודות כמו bcdedit.exe /set nointegritychecks onזה מאפשר התקנה וטעינה של כל מנהל התקן, חתום או לא חתום, ולמרות שזה יכול להיות שימושי במצבים ספציפיים מאוד (לדוגמה, תחזוקת חומרה קריטית ללא תמיכה מודרנית בסביבה מבודדת לחלוטין), זה מהווה סיכון אבטחה ניכר. בכל פעם שמשתמשים בשיטה זו, מומלץ להפעיל אותה מחדש באמצעות bcdedit.exe /set nointegritychecks off לאחר התקנת הדרייברים הדרושים.
סכנות של השבתת הגנות חתימת נהג
הקלה או השבתה של חתימת מנהלי התקנים פותחת את הדלת לאיומים שקשה מאוד לזהות ואף קשה יותר למגר: rootkits ותוכנות זדוניות דמויות מנהלי התקנים . רכיבים אלה נטענים עם הרשאות SYSTEM ופועלים ברמה נמוכה מאוד, מה שמאפשר להם לנטר תעבורה, ליירט תקשורת, לחסום תוכנות אנטי-וירוס ולהסתתר כמעט מכל כלי אבטחה.
לאחר שמנהל התקן מזויף מסוג זה הותקן בהצלחה, המערכת עלולה להיפגע לחלוטין ללא תסמינים ברורים. זיהוי באמצעות פתרונות אבטחה מסורתיים קשה מאוד, מכיוון שהתוכנה הזדונית מסווה את עצמה כמנהל התקן לגיטימי. במקרים רבים, הדרך האמינה היחידה לשחזר מחשב נגוע היא לאתחל ולהתקין מחדש את המערכת מאפס.
לכן, כל תוכנה שמתעקשת להשבית לצמיתות חתימת מנהלי התקנים כדי "לייעל את הביצועים", "להפעיל תכונות נסתרות" או הבטחות דומות צריכה להיחשב כחשודה. תמיד עדיף לחפש חלופות: מנהלי התקנים רשמיים מעודכנים, גרסאות חתומות, מצבי בדיקה מבוקרים, או אפילו ניתוק החומרה במידת הצורך, במקום להשאיר את המערכת ללא הגנה.
מנהלי התקנים של Windows לעומת מנהלי התקנים של היצרן: במה להשתמש ומתי
נקודה אחת שגורמת לבלבול ניכר היא ההבדל בין מנהלי ההתקנים הגנריים שמיקרוסופט מספקת עם המערכת לבין מנהלי ההתקנים הספציפיים מכל יצרן. הראשונים מאפשרים לרוב המכשירים לתפקד "ישר מהקופסה" כאשר החומרה מחוברת, אך בדרך כלל הם מציעים רק את הפונקציות הבסיסיות של הרכיב.
אם, לדוגמה, מדובר במדפסת רב-תכליתית, סביר להניח שתוכלו להדפיס ללא בעיות באמצעות מנהלי ההתקן של Windows, אך הגישה לסורק, תכונות מתקדמות של טיפול בנייר או לוחות האבחון של היצרן עשויה להיות קשה. כדי להפיק את המרב מהמכשיר, עדיף להתקין את מנהלי ההתקן והתוכנה הרשמיים מהספק , שבדרך כלל כוללים חתימות דיגיטליות תקפות ואפשרויות תצורה נוספות.
בעת הורדת מנהלי התקנים, חשוב לוודא שהאתר שאתם מבקרים בו הוא למעשה אתר היצרן ולא אתר של צד שלישי. טריק פשוט הוא לבדוק בקפידה את כתובת ה-URL של הדומיין ולהימנע מתקינים גנריים שמבטיחים "לעדכן את כל מנהלי ההתקן שלך" אך מוסיפים תוכנות פרסום או אפילו תוכנות זדוניות. בכל פעם שחתימת מנהלי התקנים מופעלת, Windows יסייע לחסום חבילות מפוקפקות מסוג זה על ידי הצגת אזהרות או מניעת התקנתן.
כלי עדכון ואבחון של מנהלי התקנים
עבור משתמשים המעדיפים להאציל חלק מהעבודה, קיימות תוכנות ייעודיות המזהות מנהלי התקנים מיושנים ומציעות גרסאות חדשות יותר, כגון Driver Booster, Driver Talent, AVG Driver Updater, או פתרונות טכניים יותר כמו Snappy Driver Installer או DriverPack Solution. בעוד שאלו יכולים להיות שימושיים לאיתור חבילות שקשה למצוא, מומלץ להשתמש בהן בזהירות ותמיד לאמת את מקור מנהלי ההתקן המוצעים.
בצד האבחון, כלים כמו DriverView של Nirsoft מאפשרים לך לרשום את כל מנהלי ההתקנים המותקנים במערכת ולהבחין במהירות אילו מהם שייכים למיקרוסופט (עם חתימות תקפות) ואילו מהם של צד שלישי. יישום זה, לדוגמה, מציג מנהלי התקנים של מיקרוסופט על רקע לבן ומדגיש באדום את אלה של חברות אחרות, מה שמקל על זיהוי מקורות בעיות פוטנציאליים.
DriverView מאפשר לך למיין את הרשימה לפי חברה, לסנן כדי להסתיר מנהלי התקנים של מיקרוסופט ולהתמקד במנהלי התקנים של צד שלישי, ולראות מידע מפורט על כל מנהל התקן על ידי לחיצה כפולה: שם, נתיב, גרסה, חברה וכו'. בעזרת מידע זה, קל יותר להחליט האם מנהל התקן חשוד הוא חלק מתוכנה מהימנה או שיש להסירו כדי לשפר את יציבות המערכת או את האבטחה.
כרטיסים חכמים, תעודות על גבי כרטיס ומנהל PKI של Bit4id
בסביבות ארגוניות ומנהליות, מקובל מאוד שאישורים המשמשים לחתימות אלקטרוניות, אימות או הצפנה יאוחסנו על גבי כרטיסים חכמים או טוקנים קריפטוגרפיים. ניהול התקנים אלה - כולל קודי PIN, קודי PUK, וייבוא וייצוא של אישורים - דורש כלים ספציפיים כגון Bit4id PKI Manager ותוכנת הביניים המשויכת אליו.
מנהל ה-PKI של Bit4id מספק תצוגה של התקנים מחוברים (קוראי כרטיסים, טוקנים) ולאחר כניסה עם קוד סודי, מאפשר לך לצפות בתעודות המשתמש ותעודות רשות האישורים (CA) המאוחסנות במכשיר. מלוח המחוונים שלו, תוכל לבצע משימות כגון פתיחת קוד סודי באמצעות PUK, שינוי קוד סודי או PUK, כניסה ויציאה מהכרטיס, שינוי שם המכשיר או ייבוא תעודות בפורמט .p12/.pfx הכוללות את המפתח הפרטי.
בעת ייבוא אישור, היישום מבקש ממך לבחור את הקובץ, להזין את קוד ה-PIN של הכרטיס, את סיסמת המכל של PFX/P12, ובאופן אופציונלי, מזהה CKA_ID לשימוש עם PKCS#11. לחלופין, הוא מאפשר לך גם לייצא אישורים בפורמט .cer , המכילים רק את המפתח הציבורי, מכיוון שלא ניתן לחלץ את המפתח הפרטי של כרטיס חכם מסיבות אבטחה.
תכונה נוספת ומעניינת היא היכולת לסנכרן אוטומטית את אישורי הכרטיס עם מאגר האישורים של Windows , דבר חיוני עבור יישומים כמו Microsoft Edge, Chrome, Opera או Adobe Reader כדי להשתמש באישורים אלה כדי לאמת או לחתום על מסמכי PDF מהדפדפן או מהיישום עצמו.
אימות אישורים ב-Windows, דפדפנים ו-Adobe Reader
כדי לוודא שהתעודות בכרטיס הועלו כהלכה למערכת, ניתן לפתוח את מאגר האישורים של Windows באמצעות certmgr.msc מתפריט התחל. אישורי המשתמש המקושרים לכרטיס אמורים להופיע בתיקייה "אישי" → "אישורים" אם תוכנת הביניים פעלה כהלכה.
במקרה של פיירפוקס, אשר מתחזק מאגר אישורים נפרד משלו , עליך לבדוק את הקטע "אבטחה ותעודות" בהעדפות הדפדפן. אם מודולי PKCS#11 מוגדרים כהלכה וקוד ה-PIN מוזן כאשר תתבקש, תעודות הכרטיס החכם יופיעו גם בכרטיסיות "תעודות משתמש" ו"תעודות הרשאה".
עבור Adobe Acrobat Reader, הנתיב כרוך במעבר אל "העדפות" ← "חתימות" ← "זהויות ותעודות מהימנות" ולאחר מכן למקטע "מזהים דיגיטליים של Windows". אם התעודות נמצאות במאגר התעודות של Windows, Adobe יכולה להשתמש בהן ישירות כדי לחתום דיגיטלית על מסמכי PDF . תהליך העבודה האופייני הוא לבחור "השתמש בתעודה", לבחור את האזור בקובץ ה-PDF שבו תמוקם החתימה, לבחור את התעודה המתאימה ולהשלים את התהליך על ידי הזנת קוד ה-PIN של הכרטיס כאשר תתבקש לעשות זאת.
פתרון בעיות נפוצות עם מנהלי התקנים ואישורים
כאשר מנהל התקן מתחיל להתנהג בצורה לא יציבה או שרכיב חומרה מפסיק לפעול, הדבר הראשון שיש לעשות הוא לבדוק את הסמל המתאים במנהל ההתקנים . סמל צהוב מציין בעיה במנהל ההתקן: ייתכן שהוא פגום, מיושן, חתום בצורה שגויה או מתנגש עם תוכנה אחרת.
פעולות מומלצות כוללות שימוש בפותר בעיות החומרה המובנה של Windows , עדכון ידני של מנהל ההתקן ממנהל ההתקנים, הסרת התקנה והתקנה מחדש של מנהל ההתקן, או אפילו חזרה לגרסה קודמת אם עדכון אחרון הציג את הבעיה. במקרים רבים, פשוט מתן אפשרות ל-Windows Update להתקין מחדש את מנהל ההתקן פותר את הסכסוכים.
בתרחישים מורכבים יותר, כגון הגדרות של ריבוי אתחול עם מערכות ישנות יותר, שגיאות כמו "חתימה על אישורי חתימה אינה מותקנת" בעת התקנת מנהלי התקנים של GPU ב-Windows 7 עשויות לדרוש חילוץ ידני של קבצי ההתקנה מהיצרן וניווט לתיקיית החילוץ במנהל ההתקנים כדי לאלץ את ההתקנה של קובץ ה-INF הנכון. זה גם עוזר להבטיח ש-Windows 7 מכיל את העדכונים המאפשרים SHA-2 (כגון KB3033929), ואם כל השאר נכשל, שקול להשבית זמנית את חתימת מנהלי ההתקן במערכת ספציפית זו, בתנאי שהיא נשארת מבודדת ומשתמשת במנהלי התקנים ממקור מהימן.
לבסוף, כאשר הבעיה קשורה לתעודות כרטיס חכם (קודי PIN לא עקביים, שגיאות כניסה לתוכנת הביניים, כשלים בטעינת אישורים למאגר), מומלץ לאסוף את כל מידע האבחון ממנהל ה-PKI , גרסאות מותקנות, תוצאות בדיקה בדפדפנים וביישומים, ולשלוח אותו לספק הכרטיס או לרשות האישורים כדי לזרז את פתרון התקרית.
לאור כל האמור לעיל, ברור שניהול מתקדם של אישורי מנהלי התקנים וחתימות ב-Windows אינו רק עניין של "לגרום למכשיר לעבוד", אלא של שילוב של אבטחה, תאימות ושיטות עבודה מומלצות: בחירת אישורי חתימת קוד בחוכמה, שליטה במחזור החיים שלהם במרכז השותפים, כיבוד מדיניות SHA-2, ידיעה מתי וכיצד להקל על מגבלות החתימה, מינוף כלים כמו DriverView או Bit4id PKI Manager, ומעל הכל, הורדה והתקנה מתמדת של מנהלי התקנים ואישורים ממקורות מהימנים, שמירה על איזון בין יציבות, פונקציונליות והגנה מפני איומים ברמה נמוכה.