微软给20年老驱动判死刑：4亿台设备明年4月集体"断签"

2003年签发的数字证书，2026年4月彻底失效。微软刚扔下一颗定时炸弹——所有没走官方认证流程的内核驱动，将被Windows系统拒绝加载。这不是技术迭代，是直接把20年前的"信任遗产"一键清空。

受影响设备规模没有官方数字，但参考Windows 11 24H2及后续版本的推送节奏，全球数亿台工作站和服务器将在18个月后面临驱动兼容性问题。

「信任链」断裂：一个设计缺陷养了20年的蛊

微软的"交叉签名根证书计划"始于2000年代初。初衷很朴素：让第三方硬件厂商能给驱动程序签名，证明代码没被篡改。但微软把私钥管理完全交给外部机构，结果「导致滥用和凭证盗窃，将客户及其平台置于风险之中」，微软在公告中直言。

这套机制的漏洞像一颗蛀牙。证书本身早已过期，但Windows内核仍"广泛信任"这些签名——相当于门禁系统认了二十年前的旧工牌，哪怕发卡公司早就倒闭。2026年4月的更新将彻底关闭这个后门。

企业IT部门现在最头疼的是清单盘点。哪些设备还在跑交叉签名驱动？厂商还活着吗？愿意重新认证吗？微软自己也没底，所以设计了"评估模式"——内核先审计、记录，不立即阻断，给管理员留出演练时间。

兼容性执念 vs 安全洁癖：微软的走钢丝表演

「我们深知驱动和应用安全是客户所需，但不能以牺牲兼容性和生产力为代价」，微软的声明像一份免责声明。这话的潜台词是：我们知道会炸，但不得不炸。

评估模式的具体运作方式是：系统记录每次交叉签名驱动的加载行为，生成兼容性报告。管理员能看到哪些驱动会被拦截、哪些应用依赖它们。微软承诺保留"必要且信誉良好的交叉签名驱动"的信任状态——但"必要"和"信誉良好"的定义权在微软手里。

企业级用户还有一条逃生通道：Application Control for Business策略。管理员可以强制允许特定内核驱动，但有个硬门槛——策略必须由设备安全启动平台密钥（PK）或密钥交换密钥（KEK）变量中的权威机构签名。换句话说，这招只适用于内部机密场景，不是给 legacy 设备续命的。

微软划了一条清晰的边界：面向Windows生态的驱动，必须走WHCP认证、必须经微软HDC门户签名。没有例外。

时间线已定：三版Windows进入倒计时

变更适用范围已明确锁定：Windows 11 24H2、25H2、26H1，以及Windows Server 2025。老版本Windows 10用户暂时安全——但也只是"暂时"，微软的路线图向来是渐进式推进。

硬件厂商的反应将决定这场迁移的阵痛程度。WHCP认证不是免费午餐：测试周期、文档准备、微软审核，整套流程对小型外设厂商尤其沉重。更残酷的是，有些驱动对应的硬件早已停产，原厂商可能已不存在。

工业控制、医疗设备、科研仪器是重灾区。这些场景的共同点：设备生命周期极长、软件更新频率极低、对稳定性要求极高。一台2010年部署的质谱仪，驱动可能正是交叉签名产物。换驱动？厂商报价可能够买半台新设备。

微软的评估模式本质是压力测试——用18个月收集数据，验证"一刀切"的可行性。如果兼容性灾难超预期，政策可能微调；如果数据支持强硬立场，2026年4月就是死线。

技术债务的终极清算

这件事的荒诞之处在于：微软早在数年前就已废弃交叉签名计划，却允许其"幽灵"继续游荡。这不是疏忽，是兼容性承诺的代价。Windows的护城河从来不是技术领先，是"你爷爷的打印机今天还能用"。

但现在安全威胁的烈度改变了计算方式。内核级漏洞的利用链越来越成熟，保留旧信任机制的风险收益比已经倒挂。微软的选择很明确：宁可牺牲部分兼容性，也要收紧内核边界。

对企业IT的真正考验在评估模式期间。是被动等待微软的兼容性报告，还是主动审计驱动清单？是联系厂商推动WHCP认证，还是提前部署Application Control策略？18个月听起来充裕，但跨部门协调、供应商谈判、测试验证，时间其实刚够跑完一轮流程。

一个细节值得玩味：微软特意强调，Application Control策略"不应用于支持旧设备或旧应用"。这条备注像一道防波堤，防止企业把变通方案当成常态。微软要的是生态整体迁移，不是个案特批。

最终，所有驱动作者面临同一个选择：进入WHCP体系，或者退出Windows内核。没有中间地带。这场清洗的受益者是新入局者——他们从未依赖交叉签名，没有历史包袱。而沉淀了二十年驱动的老牌厂商，正被迫支付迟到两十年的技术债务。

你的设备清单里，藏着多少2003年的数字签名？评估模式开启后，第一封兼容性警告会发给谁？