微软收紧 Windows WHCP 驱动签名认证，2027 年 3 月起

9 月 3 日消息，微软宣布将从 2027 年 3 月起收紧 Windows 驱动签名要求，面向 Win11 25H2、26H1 及 Windows Server 2025 及后续版本提交驱动时，开发商须同时提供有效的软件物料清单（SBOM）和漏洞可利用性信息交换（VEX）声明。

微软当地时间 9 月 2 日发布公告称，这项调整属于 Windows 硬件兼容性计划（WHCP）政策的一部分，旨在提高 Windows 驱动生态的安全性与完整性，同时满足欧盟《网络韧性法案》（CRA）的合规要求。

从 2027 年 3 月开始，针对 Windows 11 25H2、26H1 以及 Windows Server 2025 及后续版本的驱动提交，必须包含符合 SPDX 3.0 格式的 SBOM，以及用于说明该驱动是否受到已知 CVE 漏洞影响的 VEX 声明。

如果提交内容缺少要求的 SBOM 或 VEX，或者相关文件未通过验证，微软将不会为该驱动提供 WHCP 签名。新要求同时适用于通过硬件实验室工具包（HLK）认证以及通过 Attestation 方式签名的驱动。

微软表示，2027 年 3 月之前提交的驱动无需提供 SBOM 和 VEX。针对 Windows 11 25H2、26H1 及 Windows Server 2025 之前版本的 Windows 系统，其认证要求同样不会包含这两项材料。

此次政策调整适用于所有加入 WHCP 计划，并通过硬件开发者中心（HDC）开发、签署或提交驱动以获取 WHCP 签名的合作伙伴。如果企业计划在 2027 年 3 月之后为上述系统提交驱动，就需要遵守新要求。

微软计划在 2026 年 12 月通过新版 Windows 驱动程序工具包（WDK）提供生成和验证 SBOM，以及生成 VEX 声明所需的工具，并同步发布相关技术文档。

开发商也可以使用第三方或行业标准工具生成 SBOM 和 VEX 文件，但最终文件必须严格符合 SPDX 3.0 格式。微软同时表示，现有工具可用于提前熟悉相关流程，但 2026 年 12 月发布的新工具将取代当前版本。

微软建议开发和合规团队提前了解 SBOM、VEX 及 SPDX 格式，并开始整理驱动二进制文件中使用的第三方和开源组件，为 2027 年 3 月的新提交窗口做好准备。

按照微软公布的提交规范，SBOM 和 VEX 文件需要放置在驱动程序包目录下的专用子文件夹中。每个驱动都必须分别提供一份 SBOM 和一份 VEX 声明，不能用一套文件覆盖包含多个驱动的整个提交内容。

这里所说的单个驱动，是指一个 INF 文件及其对应的一组二进制文件组成的驱动程序包。例如提交中包含 N 个驱动文件夹、每个文件夹包含 M 个驱动，就需要提供 N×M 份独立的 SBOM 和 VEX 文件。

SBOM 文件的名称需要与 INF 文件名称对应，格式为“inf_name.spdx.json”；配套 VEX 文件则应命名为“inf_name.vex.json”。这些文件不应放入补充文档目录，也不会作为驱动程序包的一部分提供给最终用户。