Driver ikecfgif installation failed windows 10

Проблема: Не устанавливается Клиент 4.1 на WindowsXP SP2 / Windows7x32 / Windows7 x64 с ошибкой «невозможно проверить подпись для cab-файла» или «невозможно установить драйвер cryptopm» или «невозможно установить драйвер cp_avstb» или другие драйвера

Описание:  проблема заключается в том, что Windows не может проверить подпись драйвера/файла, который подписан современной ЭЦП разработчика с применением алгоритма SHA256.
Подробное описание на сайте Microsoft: https://technet.microsoft.com/en-us/library/security/3033929
Решение: установка обновления операционной системы:
Ссылка на обновление безопасности для Windows XP SP2 — https://support.microsoft.com/ru-ru/kb/968730
Ссылка на запрос обновления безопасности для Windows XP SP3 (при запросе выбрать язык установленной системы): https://support.microsoft.com/ru-ru/hotfix/kbhotfix?kbnum=968730&kbln=ru-ru
Ссылка на обновление безопасности для Windows 7 x32 — https://www.microsoft.com/en-us/download/details.aspx?id=46078
Ссылка на обновление безопасности для Windows 7 x64 — https://www.microsoft.com/en-us/download/details.aspx?id=46148
Ссылка на обновление безопасности для Windows Server 2008 R2 x64 —
https://www.microsoft.com/en-us/download/details.aspx?id=46083
Также, можете попробовать воспользоватся Утилитой удаления Клиента безопасности, как указано в статье базы знаний

Если данная инструкция вам не помогла, то обратитесь в службу технической поддержки, с описанием возникшей проблемы и выполненных действиях.

Обновления Windows 10 зачастую вызывали много проблем у многих пользователей и с каждым новым накопительным обновлением их становится всё больше и больше. Например, могут возникнуть проблемы с драйверами, которые ранее никак себя не проявляли, а устройства, для которых эти драйверы предназначены, работали вполне себе штатно.

Если на Вашем устройстве с операционной системой Windows 10 возникает ошибка «драйвер не может быть загружен на этом устройстве», Microsoft утверждает, что это означает следующее: настройка целостности памяти в Windows Security предотвращает загрузку драйвера на вашем устройстве.

Корпорация Майкрософт обновила документ поддержки, предупреждая пользователей о том, что «если Вы решите продолжить использование устройства без решения проблемы драйвера, Вы можете обнаружить, что функциональность, которую поддерживает драйвер, больше не работает, что может иметь последствия от незначительных до серьезных».

Как быть в данной ситуации? Как решить проблему с драйверами в Windows 10?

Первое, что Вы должны сделать, это проверить, доступен ли новый или обновленный драйвер через Центр обновления Windows или через производителя этого драйвера. Если Вы не можете найти совместимый драйвер для решения этой проблемы, Вы можете отключить параметр целостности памяти в системе безопасности Windows, чтобы обойти сообщение об ошибке «драйвер не может загрузиться на это устройство».  

1) Перейдите в меню Пуск > Настройки > Обновление и безопасность 

2) Затем выберите Безопасность Windows > Безопасность устройства

3) В разделе «Изоляция ядра» выберите «Сведения об изоляции ядра» 

4) Отключите настройку целостности памяти, если она еще не включена

5) Перезагрузите компьютер для вступления измененных параметров в силу

Несовместимые драйверы оказались своего рода проклятием для Windows 10, но похоже что компания, по крайней мере, наконец-то начала признавать эти проблемы и предлагать обходные пути вместо того, чтобы оставлять пользователей в поисках решений.

Ранее уже сообщалось о том, что очередное обновление Windows 10 сломало спящий режим и понизило частоту кадров в играх. То ли ещё будет!

Unfortunately, none of the suggestions worked.

Got the same issue, here is my experience.

1. Running Windows 7, Ultimate edition, x64;

2. OpenVPN 2.5.3 gets installed fine;
however, setupapi.dev.log contains following:
sig: {_VERIFY_FILE_SIGNATURE} 15:18:46.274
sig: Key = oemvista.inf
sig: FilePath = c:program filestap-windowsdriveroemvista.inf
sig: Catalog = c:program filestap-windowsdrivertap0901.cat
! sig: Verifying file against specific (valid) catalog failed! (0x800b0109)
! sig: Error 0x800b0109: A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider.
sig: {_VERIFY_FILE_SIGNATURE exit(0x800b0109)} 15:18:46.331
sig: {_VERIFY_FILE_SIGNATURE} 15:18:46.331
sig: Key = oemvista.inf
sig: FilePath = c:program filestap-windowsdriveroemvista.inf
sig: Catalog = c:program filestap-windowsdrivertap0901.cat
sig: Success: File is signed in Authenticode(tm) catalog.
sig: Error 0xe0000241: The INF was signed with an Authenticode(tm) catalog from a trusted publisher.
sig: {_VERIFY_FILE_SIGNATURE exit(0xe0000241)} 15:18:46.351
(same applies to wintun)

So tap driver isn’t being recognized by the system (go to device manager/check network section/see tap driver with yellow triangle on the icon:
«This device is not working properly because Windows cannot load the drivers required for this device. (Code 31)»

3. To resolve the tap driver challenges, tried:

3.1 Full system cleanup (delete all the drivers, openvpn installs, tap installer/reinstalled everything w/ and w/o tap installer)
(i still do wander why other drivers may interfere with the install from openvpn, but that’s a diff story)
3.2 bcedit experiments & windows reboot with «disable driver signature enforcement»
3.3 manually imported certificates (via certmgr & mmc snap in for the local computer; to root & trusted publisher)
3.4 signed driver myself & used self-signed certificate

As an experiment, took clean windows 7 x64 sp1 — installed openvpn — has challenges too, works only under «disable driver signature enforcement».
But at least — tap driver is recognized as a driver — and is loaded properly if one chooses «disable driver signature»; so it sorta works.

~~~

After all the experiments, this is what i came down to:

There seem to be two issues that the latest OpenVPN installer has;
and latest tap driver installer has;
(and they seem to have it (at least) for the past ~8-10 releases (went as far as 9.9 with tap installer; and 2.0 with openvpn))

a) Challenge one: digital signature. Technically, one can bypass it by either experimenting bcedits; enabling test mode; or by loading via F8/disable driver signature. Who’s at fault — Microsoft, who started enforcing driver signatures; that’s annoying exercise to go through, a lot of projects out there choose not to do it;

b) Challenge two: busted certificate chain.
(that’s the one is unable to overcome).
Something is screwed up with certificates associated with openvpn/tap installer.
And not with the certificate itself — the one that’s assigned to it; it’s good and legit; but specifically with the intermediate certificate: the one that (in theory) you could get from the digisign guys.

Funny enough, Microsoft has exactly the same challenges with one of their .NET library installs: and to resolve it, they have provided combined — proper — certificate — that you can install yourself and make it work.

But with OpenVPN — we do not have (direct) access to combined (and verified!) certificate (yes, i tried to get it exported/imported; including chain of certs; didn’t work. tried to go to the source — digi sign website — to grab intermediate cert — no good either)
So cert challenges combined with digital signature challenges — and entire application becomes useless.

Direction that (in theory) could work:

If one updates registry; and adds following record to the driver:
«ComponentId» with the value «tap0901»:
It makes «Network card» to be visible to openVPN app;
So error from «hey, you have no tap devices out there»:
Turns into «hey, you have tap device there, but it’s busy».
(chances are, OpenVPN queries registry directly, bypassing Windows API; which is why it makes a difference)

Therefore if one manages to mimic «properly enabled driver» through regedits — it might actually work, and provide solution to all those people who have troubles. I’ll keep digging this direction, but if someone with a bit more experience could assist — help would be very much appreciated.

Alternative, is to provide chained certificate for the software (that’s question to openvpn devs) that’s been properly validated and considered to be valid by Microsoft.
That way, digital signature can be overrulled with bcedits/and/or/F8/disable driver signature enforcement):
And certs is legit:
And we’d be good.

Third alternative (unlikely) — is to include proper certificate & proper digital signature in the future releases of openvpn:
But while first one should be easy; getting proper signature in place doesn’t seem to look too good.

~~

any other suggestions/comments/possible ways to resolve it — will seriously appreciate some help here.

For now it doesn’t look too promising.