Отключение проверки подписи драйверов windows server 2003

Наиболее часто задаваемый вопрос у нас на форуме посвящен ошибкам, связанным с появлением
BSOD (синего экрана смерти).

В связи с этим мы подготовили статью, которая поможет Вам в решении данного вопроса:

Установка Windows Server 2003

Q1: Как отключить проверку цифровой подписи драйверов при установке Windows Server 2003?

A:
Необходимо создать файл ответов winnt.sif
В разделе [Unattended] файла winnt.sif вы должны внести такую строку:

DriverSigningPolicy=Ignore

Данная строка вынудит программу установки проинсталлировать неподписанные драйверы (not WHQL certified).
Эта строка используется в сочетании с OemPnPDriversPath:
В разделе [Unattended] файла winnt.sif вы должны внести примерно такую строку:

OemPnPDriversPath=»Drivers00_intel_INF;Drivers01_gigabit_LAN;Drivers02_monitor»

Впрочем, по информации с форума msfn.org, этот трюк не всегда срабатывает, так что по возможности используйте подписанные
драйверы. Или устанавливайте неподписанные вручную в случае проблем.

Q2: Как правильно задать имя контроллера домена при установке Windows Server 2003?

A:
Есть зарегистрированный домен второго уровня firma.ru. Как шлюз стоит Linux, на нем DNS этого домена, прокси, почта и WWW. Нужно в локальной сети поднять домен на Windows. Вопрос — как правильно задать имя домена

Есть два варианта:

Вариант 1

1. ресурсы домена АД локального должны быть доступны пользователям из вне. те, например, аутентификация пользователей которые в Инет кафе — в Мельбурне. Аутентификация для этих пользователей бывает нужна в
основном для авторизации доступа к ресурсам (например в вашему доменному ВЕБ серверу или SQL серверу..)

1.1 тогда можно сделать ваш локальный домен с именем firma.ru (но тогда будет необходимо, чтобы сервер DNS на Linux поддерживал некоторые особенности для поддержки домена , кажется с версии BIND 8.2.1 все поддерживается)
1.2 можно проще. создать делегированную зону с именеме, к примеру corp.firma.ru и разместить ее на DNS Windows Server’e.
тогда все замечательно. и из вне все будет находиться, если контроллерам внешние IP назначить, и локально все будет работать (разрешение имен)

Вариант 2

2. Не нужна внешняя аутентификация (90% случаев), только интересует домен.

2.1 Задаем название firma.local, делаем домен, сервер DNS настраиваем на пересылку (forvarding) на DNS Linux. Если вдруг есть зона «.» — удаляем ее совсем (будьте внимательны, при создании первого контроллера он должен иметь пустое поле в свойствах Предпочитаемого
сервера DNS, а не указывать на внешние сервера, иначе dcpromo будет пытаться настроить необходимую зону как раз на внешних DNS’сах — 97% ее с этими изменениями «отошьют».
2.2 Далее можно вручную добисать в первичной зоне домена A (www=local IP your Linux with WWW service)записи для вашего WWW (на LINUX), тогда из локальной сети пользователи смогут обращаться в нему, например по имени www.firma.local.
но можно этого и не делать, все равно разрешения получат из локальной сети, но тогда уже по имени внешнему www.firma.ru (те, вернет им на этот запрос DNS LInux сервер — внешний свой IP адрес). оба варианта годятся (выбор только за приложениями, которые ваши
пользователи локально используют — нужно им именно www.firma.ru или сойдет и .local)

Q3: Как правильно произвести миграцию домена с Windows NT4 на Windows Server 2003?

A:
Этап первый:
Настройка домена назначения

Для миграции журнала SID и сведений о паролях на контроллере домена должно быть установлено средство «Миграция
в Active Directory». Для этого выполните следующие действия: 1. Включите в политике по умолчанию для контроллеров домена аудит успешных и неудачных операций «Аудит управления учетными записями». Для этого выполните следующие действия.

1a. Запустите оснастку «Active Directory — пользователи и компьютеры».

b. Разверните домен, щелкните правой кнопкой мыши раздел Контроллеры домена и выберите пункт Свойства.

c. На вкладке Групповая политика выберите объект Политика контроллеров домена по умолчанию и нажмите кнопку Изменить.

d. Последовательно разверните узлы Конфигурация компьютера, Конфигурация Windows, Параметры безопасности, Локальные политики, а затем Политика аудита.
e. В правой части окна дважды щелкните Аудит управления учетными записями.
f. Установите флажок Определить следующие параметры политики, а также флажки:

Успех
Отказ

g. Нажмите кнопку ОК, закройте редактор объектов групповой политики и снова нажмите кнопку ОК.
h. Дождитесь, пока изменения групповой политики распространятся на домен.

2. Войдите от имени администратора на контроллер домена с установленным средством «Миграция в Active Directory».

3. Введите следующую команду, чтобы создать файл ключа экспорта паролей (PES)

admt key исходный_домен путь пароль

где исходный_домен — это сетевое имя исходного домена Windows NT 4.0, путь — это путь к файлу экспорта паролей,
а пароль — это необязательный пароль или символ звездочки (*), помогающие защитить файлы PES.

Примечание. Необходимо указывать локальный путь для файлов PES. Путь может указывать на сменный носитель, например на дисковод гибких дисков, дисковод ZIP или дисковод для дисков CD-R или CD-RW. Кроме того, если указать пароль, средство «Миграция
в Active Directory» сможет защитить файл. Если ввести звездочку (*), то средство «Миграция в Active Directory» предложит ввести и подтвердить пароль. При вводе пароль скрывается операционной системой.

4. Переместите созданный файл PES на сервер экспорта паролей в исходном домене. Этим сервером может быть любой контроллер домена в домене Windows NT 4.0, имеющий быстрое и надежное соединение с компьютером под управлением Windows Server 2003, на котором установлено
средство «Миграция в Active Directory».

Этап второй:
Настройка исходного домена

Чтобы настроить исходный домен Windows NT 4.0 для миграции паролей, выполните следующие действия.
1. Создайте новую локальную группу с именем исходный_домен$$$, где исходный_домен — это NetBIOS-имя исходного домена Windows NT 4.0. Данная группа должна быть пустой.

2. На основном контроллере домена необходимо включить аудит успешных и неудачных операций управления пользователями и группами. Для этого выполните следующие действия.

a. Запустите диспетчер пользователей в домене.
b. В меню Политики выберите пункт Аудит.
c. Выберите пункт Аудит следующих событий и установите следующие флажки для пункта Управление пользователями и группами:

Успех
Отказ

d. Нажмите кнопку ОК.

3. Разрешите на исходном домене доступ к базе данных диспетчера учетных записей безопасности с помощью удаленного вызова процедур, изменив значение параметра реестра TcpipClientSupport на 1. Для этого выполните следующие действия. Внимание! Неправильное использование
редактора реестра может привести к возникновению серьезных неполадок, требующих переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт
и знания.
a. На основном контроллере домена нажмите кнопку Пуск, выберите пункт Выполнить, в поле Открыть введите команду regedit и нажмите кнопку ОК.
b. Найдите и выделите следующий раздел реестра:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa

c. В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
d. Введите имя нового параметра TcpipClientSupport.
e. Щелкните правой кнопкой мыши параметр TcpipClientSupport и выберите команду Изменить.
f. В поле Значение введите 1 и нажмите кнопку ОК.
g. Закройте редактор реестра.

Примечание: Необходимо перезапустить компьютер, чтобы изменения вступили в силу. Тем не менее нет необходимости перезагружать компьютер до установки компонента DLL миграции паролей
средства «Миграция в Active Directory».

4. Установите компонент DLL миграции паролей средства «Миграция в Active Directory» на основном контроллере домена. Для этого запустите программу Pwdmig.exe из папки I386ADMTPwdmig на компакт-диске Windows Server 2003 или из папки, в которую было
загружено средство «Миграция в Active Directory».

После запуска мастера установки компонента DLL миграции паролей средства «Миграция в Active Directory» необходимо
указать путь к файлу PES, перенесенному из домена Windows NT 4.0. Для этого файла необходимо указывать локальный путь. Кроме того, будет предложено ввести пароль, заданный при создании этого файла.

5. После успешного завершения установки компонента DLL миграции паролей средства «Миграция в Active Directory» нажмите кнопку Да, когда появится приглашение перезагрузить компьютер.

6. Перед началом миграции паролей из домена Windows NT 4.0 измените значение параметра реестра AllowPasswordExport на 1. Для этого выполните следующие действия. Внимание! Неправильное использование редактора реестра может привести к возникновению серьезных
неполадок, требующих переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт и знания.
a. На основном контроллере домена нажмите кнопку Пуск, выберите пункт Выполнить, в поле Открыть введите команду regedit и нажмите кнопку ОК.
b. Найдите и выделите следующий раздел реестра:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa

c. На правой панели щелкните правой кнопкой мыши параметр AllowPasswordExport и выберите команду Изменить.
d. В поле Значение введите 1 и нажмите кнопку ОК.
e. Закройте редактор реестра.

За более подробной информацией по данному вопросу вы можете обратиться
к этой статье MS KB

Q4: Как правильно создать и настроить дополнительный контроллер домена Windows Server 2003?

A: 1. Выполняем проверку конфигурации первого контроллера домена

Например как указано в этой статье MS KB: «Рекомендации по настройке контроллеров
домена Windows»
конфигурация TCP/IP контроллера: IP статический, Предпочитаемый DNS указывает на собственный IP адрес.
проверяем Журналы событий на предмет наличия ошибок при настройке этого КД
также можно выполнить команды netdiag.exe и dcdiag.exe из дополнительного набора инструментов Resource Kit Tools для Windows 2003)

2. Делаем резервную копию первого КД

(Например удачным решением будет использовать Автоматический набор восстановления системы ASR — в ntbackup.exe)

3. На новый сервер устанавливаем ОС

4. Выполняем настройки TCP/IP: IP адрес статический и уникальный, Предпочитаемый DNS указывает на IP адрес первого контроллера
— тк он и есть DNS сервер.

5. Выполняем подключение этой системы к домену по DNS имени домена (Servers — — [NTDS Settings] -> Servers — your.domain.local
— [NTDS Settings]).

Если на этом этапе возникают ошибки — значит инфраструктура DNS развернута не правильно.

6. Регистрируемся учетной записью Администратора домена и запускаем мастер Управление данным сервером (Manage Your Server)

7. Если спросят указываем выборочную конфигурацию (Custom) и выбираем новую роль Контроллера домена (Domain Controller)

(Если есть необходимость развернуть новый контроллер удаленно можно использовать
резервную копию первого
КД для оперции загрузки базы AD )

8. В мастере создания контроллера домена выбираем режим Дополнительного контроллера домена и указываем DNS имя домена

9. Выполняем дополнительные настройки (пути к каталогам, пароли и тп) и дожидаемся окончания процесса конфигурации и
переноса базы данных

10. Выполняем перезагрузку нового контроллера домена и выполняем проверку журналов системы (Event Viewer)

11. Если все в порядке, то открываем мастер Управления данным сервером (Manage Your Server) второй раз и выполняем добавление
роли DNS сервера на эту систему (кстати эту операцию можно выполнить перед поднятием роли контроллера домена)

12. На предложение мастера о создании зоны DNS следует отказаться (необходимые зоны уже были интегрированы в базу Active
Directory и реплицировались с первого КД)

13. Используем консоль управления DNS сервером для того чтобы убедиться что необходимые зоны появились (_msdcs.your.domain.local>
и your.domain.local). Иначе перезагружаем сервер.

14. Теперь в сети инфраструктура DNS была изменена и DNS сервера теперь 2. Поэтому на всех ОС, входящих в домен необходимо
эти изменения отобразить:

15. В качестве предпочитаемого DNS сервера на системах уже должен был быть установлен IP адрес первого КД, а вот теперь
в качестве альтернативного нужно указать IP адрес второго контроллера домена.

16. Особо отмечу что эта конфигурация должна быть отображена на всех системах в домене: контроллеры, сервера и клиенты.

(Если только не используется особые режимы настрйки инфраструктыры DNS)

17. Также добавить на второй КД роль Глобального Каталога (в дополнении к первому):
На втором КД — открываем консоль [Active Directory Сайты и службы] — [Default-First-Site-Name] — Servers — ДК2 — [NTDS Settings] открываем свойства и помечаем данный сервер как носитеть Глобального Каталога.

18. Анализируем журнал Directory Service на втором контроллере, дожидаемся репликации и подтверждения принятия роли
ГК. Перегружаемся.

Что это даст? Это методика позволяет в случае выхода из строя первого контроллера домена — находить второй контроллер
и работать с базой данных Active Directory.
Конечно, если первый контроллер будет отключен, то не будут доступны хозяева операций — 5 штук. Самым нужным кторым для клиента является Хозяин — «Эмулятор PDC». Например он нужен клиентским системам чтобы выполнять некоторые операции для осблуживания клиентов.

Как это все проверить? очень просто: отключаем от сети первый контроллер, далее:

а. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени сторого доменного пользователя и пробуем
обратиться к какому-либо сетевому ресурсу

б. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени нового для этой станции доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсу опять

в. можно пойти еще дальше и перезагрузить в таком состоянии сети второй контроллер домена (и повторить операцию а. или б.)

Конечно, на всех операциях нужно выполнить анализ Журналов Системы (локальной станции и второго контроллера).

выход из строя второго контроллера наверно интересно проэмулировать только с целью получения данных об ошибках в журналах
работы доменных служб на первом КД.

Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума:
Создание дополнительного контроллера домена Windows 2003

Q5: Как проверить правильность установки при разворачивании домена Active Directory?

A:
Чтобы узнать правильно ли было сделано — нужно задать другой вопрос — вы не велосипед изобретаете — поэтому как нужно делать новую сетевую службу/компонент
— конечно уже описано.

Как пример — в серверной системе уже есть встроенная справка (не подумайте ничего плохого, это я не посылаю вас на F1
— просто подвожу к ней.. знакомиться так сказать.. те представляю), а еще есть мастер управления конфигурацией.
Manage your server (Administrative Tools) при выборе пункта
Add/Remove Role и режима Custom конфигурации он отображает список тех ролей, которые можно сделать, используя встроенные в ваше серверную систему возможности.
так вот при указании на пункт Domain Controller (Active Directory) — справа появляется, появляется ссылка на конкретные ЦУ о том как правильно нужно сделать именно ее и как (подготовка, развертывание и дальнейшие шаги). Да и под самим пунктом
Add/Remove Role — есть тоже самое — Read about server roles — но это уже по всем.

Вот поэтому развертывание инфраструктуры компонент нужно разделить на несколько этапов:
-изучение темы, постановка задачи (удобство управления и обслуживания)
-поиск возможных решений (Microsoft Windows systems)
-получение ЦУ о развертывании (deployment guide)
-тестирование на полигоне (your server or Virtual Servers/PC)
-планирование внедрения и подготовка плана действий на случай отката («to do» lists)
-наладка и тестирование (log files and managing)
-мониторинг и обслуживание (new events and new backups)

Так же для проверки используйте
Support Tools из дистрибутива серверной системы и используйте команды netdiag /v dcdiag /v и другие тоже.. в журналы системы и компонент заглядывайте.

Q6: Можно ли сделать обновление (upgrade) Windows XP до Windows Server 2003?

A:
 
Компанией
Microsoft заявлена
возможность обновления
до Windows 2003 Server со
следующих платформ
:
Windows NT Server 4.0 with Service Pack 5 or later
Windows NT Server 4.0, Terminal Server Edition, with Service Pack 5 or later
Windows NT Server 4.0, Enterprise Edition, with Service Pack 5 or later
Windows 2000 Server
Windows 2000 Advanced Server
Windows Server 2003, Standard Edition

В
рабочих средах
так и следует
поступать
. Рекомендовать выполнения обновления систем с рабочей станции до уровня сервера вам никто не будет, т.к. слишком велика вероятность некорректной
работы подобным образом мутированной системы.
Однако, для тестового использования, возможен следующий метод обновления (upgrade) систем Windows XP до Windows Server 2003:
В исходном дистрибутиве необходимо выполнить модификацию файла: dosnet.inf
i386dosnet.inf
в нем есть параметр, определяющий какая операционная система будет устанавливаться:

[Miscellaneous]
ProductType = х

где x это:
0 — Professional
1 — Standart
2 — Enterprise Edition

поэтому перед обновлением заменяем тип продукта на соответствующий номер исходной системы.
Не забудьте выполнить резервное копирование исходной системы и не забывать, в дальнейшем, о проведенной операции мутации и делать поправку на будущие ошибки.

Pavel 
Kravchenko ©

Нашли неточность? Выделите текст с ошибкой и нажмите ctrl + enter.

Содержание

• Видео инструкция
• Способы деактивации проверки
  • Способ 1: Переход в режим загрузки с деактивацией обязательной верификации подписей
  • Способ 2: «Командная строка»
  • Способ 3: «Редактор групповой политики»
  • Способ 4: «Редактор реестра»
• Вопросы и ответы

Иногда операционная система блокирует инсталляцию драйверов, если у них отсутствует цифровая подпись. В Windows 7 эта ситуация особенно часто происходит на 64-разрядных ОС. Давайте разберемся, как в случае необходимости отключить проверку цифровой подписи.

Читайте также: Деактивация проверки подписи драйверов в Виндовс 10

Видео инструкция

Способы деактивации проверки

Сразу следует оговориться, что деактивируя проверку цифровой подписи, вы действуете на свой страх и риск. Дело в том, что неизвестные драйвера могут быть источником уязвимости или прямой опасности, если являются продуктом разработки злоумышленников. Поэтому не рекомендуем снимать защиту при установке объектов, скачанных из интернета, так как это очень рискованно.

В то же время бывают ситуации, когда вы уверены в подлинности драйверов (например, когда они поставляются в комплекте с оборудованием на дисковом носителе), но у них по какой-то причине отсутствует цифровая подпись. Вот для таких случаев и стоит применять описанные ниже способы.

Способ 1: Переход в режим загрузки с деактивацией обязательной верификации подписей

Чтобы деактивировать верификацию подписи драйверов при их инсталляции на Виндовс 7, можно произвести загрузку ОС в особом режиме.

1. Перезагрузите или включите компьютер в зависимости от того, в каком состоянии он в данный момент находится. Как только прозвучит звуковой сигнал при запуске, зажмите клавишу F8. В некоторых случаях это может быть иная кнопка или сочетание, в зависимости от версии BIOS, установленного на вашем ПК. Но в подавляющем большинстве случаев нужно применять именно вышеуказанный вариант.



2. Откроется перечень вариантов запуска. При помощи стрелок навигации на клавиатуре выберите пункт «Отключение обязательной проверки…» и щелкните Enter.



3. После этого ПК запустится в режиме деактивированной проверки подписи и вы сможете спокойно инсталлировать любые драйвера.

Недостаток данного метода заключается в том, что как только вы запустите в следующий раз компьютер в обычном режиме, все установленные драйвера без цифровых подписей тут же слетят. Этот вариант подходит лишь для одноразового подключения, ели вы не планируете использовать устройство регулярно.

Способ 2: «Командная строка»

Отключить верификацию цифровой подписи можно при помощи введения команд в «Командную строку» операционной системы.

1. Жмите «Пуск». Переходите во «Все программы».



2. Щелкайте «Стандартные».



3. В раскрывшейся директории ищите «Командная строка». Произведя нажатие по указанному элементу правой кнопкой мышки (ПКМ), выбирайте позицию «Запуск от имени администратора» в отобразившемся перечне.



4. Активируется «Командная строка», в которую нужно ввести следующее:

   bcdedit.exe -set loadoptions DDISABLE_INTEGRITY_CHECKS

   Щелкайте Enter.





5. После появления информации, говорящей об удачном завершении задачи, вбивайте такое выражение:

   bcdedit.exe -set TESTSIGNING ON

   Снова применяйте Enter.



6. Верификация подписи теперь деактивирована.



7. Для её повторной активации вбейте:

   bcdedit -set loadoptions ENABLE_INTEGRITY_CHECKS

   Применяйте нажатием Enter.



8. Затем вбейте:

   bcdedit -set TESTSIGNING ON

   Снова нажимайте Enter.



9. Верификация подписи снова активирована.

Существует ещё один вариант действий через «Командную строку». В отличие от предыдущего, он требует всего лишь введения одной команды.

1. Вводите:

   bcdedit.exe /set nointegritychecks ON

   Жмите Enter.



2. Проверка деактивирована. Но после инсталляции необходимого драйвера все-таки рекомендуем снова активировать верификацию. В «Командной строке» вбейте:

   bcdedit.exe /set nointegritychecks ON OFF



3. Верификация подписи опять активирована.

Урок: Активация «Командной строки» в Виндовс 7

Способ 3: «Редактор групповой политики»

Другой вариант деактивации верификации подписи осуществляется методом манипуляций в «Редакторе групповой политики». Правда, он доступен только в редакциях «Корпоративная», «Профессиональная» и «Максимальная», а вот для редакций «Домашняя базовая», «Начальная» и «Домашняя расширенная» этот алгоритм выполнения поставленной задачи не подойдет, так как в них отсутствует необходимая функциональность.

1. Для активации нужного нам инструмента воспользуемся оболочкой «Выполнить». Нажмите Win+R. В поле отобразившейся формы введите:

   gpedit.msc

   Жмите «OK».



2. Запускается необходимый для наших целей инструмент. В центральной части открывшегося окна щелкайте по позиции «Конфигурация пользователя».



3. Далее жмите «Административные шаблоны».



4. Теперь войдите в директорию «Система».



5. Затем откройте объект «Установка драйвера».



6. Теперь щелкайте по названию «Цифровая подпись драйверов…».



7. Открывается окно настройки вышеуказанного компонента. Выставьте радиокнопку в положение «Отключить», а затем жмите «Применить» и «OK».



8. Теперь закрывайте все открытые окна и программы, далее щелкайте «Пуск». Кликните по треугольной фигуре справа от кнопки «Завершение работы». Выбирайте «Перезагрузка».



9. Компьютер будет перезапущен, после чего верификация подписи деактивируется.

Способ 4: «Редактор реестра»

Следующий способ решения поставленного задания выполняется через «Редактор реестра».

1. Наберите Win+R. Введите:

   regedit

   Кликните «OK».



2. Активируется оболочка «Редактора реестра». В левой области оболочки кликайте по объекту «HKEY_CURRENT_USER».



3. Далее заходите в каталог «Software».



4. Откроется очень длинный перечень разделов, расположенных по алфавиту. Отыщите среди элементов наименование «Policies» и кликните по нему.



5. Далее жмите по названию каталога «Microsoft» ПКМ. В контекстном меню выберите пункт «Создать» и в дополнительном перечне выбирайте вариант «Раздел».



6. Отобразится новая папка с активным полем для наименования. Вбейте туда такое имя – «Driver Signing» (без кавычек). Щелкайте Enter.



7. После этого щелкайте ПКМ по наименованию только что созданного раздела. В списке щелкайте по пункту «Создать». В дополнительном перечне выбирайте вариант «Параметр DWORD 32 bit». Причем эту позицию следует выбрать независимо от того 32-битная у вас система или же 64-битная.



8. Теперь в правой части окна отобразится новый параметр. Произведите по нему щелчок ПКМ. Выбирайте «Переименовать».



9. После этого название параметра станет активным. Впишите вместо текущего наименования следующее:

   BehaviorOnFailedVerify

   Щелкните Enter.



10. После этого произведите двойной щелчок левой кнопкой мыши по этому элементу.



11. Открывается окно свойств. Необходимо проверить, чтобы радиокнопка в блоке «Система исчисления» стояла в позиции «Шестнадцатеричная», а в поле «Значение» была установлена цифра «0». Если все это так, то просто щелкайте «OK». Если же в окне свойств любой из элементов не отвечает вышеприведенному описанию, то необходимо произвести те установки, о которых было сказано, и только после этого нажать «OK».



12. Теперь закрывайте «Редактор реестра», нажав стандартный значок закрытия окна, и перезагружайте ПК. После процедуры перезапуска верификация подписи будет деактивирована.

В Виндовс 7 существует несколько методов деактивации проверки подписи драйверов. К сожалению, только вариант с включением компьютера в особом режиме запуска гарантировано обеспечит нужный результат. Хотя и он имеет некоторые ограничения, выражающиеся в том, что после запуска ПК в обычном режиме все инсталлированные драйвера без подписи слетят. Остальные методы могут работать не на всех компьютерах. Их работоспособность зависит от редакции ОС и установленных обновлений. Поэтому, возможно, придется перепробовать несколько вариантов, прежде чем вы получите ожидаемый результат.

Еще статьи по данной теме:

Помогла ли Вам статья?

1. ЧТО ТАКОЕ ЦИФРОВАЯ ПОДПИСЬ ДРАЙВЕРА?
2. РИСКИ УСТАНОВКИ ДРАЙВЕРОВ БЕЗ ЦИФРОВОЙ ПОДПИСИ
3. ВСЕ ЛИ ДРАЙВЕРЫ С ИЗМЕНЕННОЙ ПОДПИСЬЮ НЕСУТ УГРОЗУ?
4. ЗАЧЕМ ОТКЛЮЧАТЬ ПРОВЕРКУ ЦИФРОВОЙ ПОДПИСИ ДРАЙВЕРА
5. ОТКЛЮЧЕНИЕ ПРОВЕРКИ ЦИФРОВОЙ ПОДПИСИ ИЗ КОМАНДНОЙ СТРОКИ WINDOWS
6. ОТКЛЮЧЕНИЕ ПРОВЕРКИ ЦИФРОВОЙ ПОДПИСИ В РЕДАКТОРЕ ЛОКАЛЬНОЙ ГРУППОВОЙ ПОЛИТИКИ
7. ОТКЛЮЧЕНИЕ ПРОВЕРКИ ЦИФРОВОЙ ПОДПИСИ В WINDOWS 8 И 10

Многие пользователи ПК сталкивались с ситуацией, когда при установке драйвера какого-либо устройства на экране компьютера отображалось окно с сообщением «Не удалось проверить издателя этих драйверов»:

Подобное предупреждение отображается в случае, если устанавливаемый драйвер не имеет цифровой подписи либо она была модифицирована уже после публикации программного обеспечения устройства производителем. Что такое цифровая подпись и как отключить ее проверку операционной системой Windows?

ЧТО ТАКОЕ ЦИФРОВАЯ ПОДПИСЬ ДРАЙВЕРА?

Цифровая подпись — обыкновенный сертификат, подтверждающий достоверность данных об издателе программного обеспечения. Этот электронный документ компании-производители оборудования для компьютеров получают в специальном центре сертификации. В результате центром выдается электронный сертификат, который затем прикладывается к драйверу устройства. При его последующей установке Windows сначала считывает данные сертификата и, если все нормально, позволяет продолжить процесс инсталляции.

Если же данные сертификата операционная система подтвердить не может, пользователь видит соответствующее предупреждение на экране. Сообщение об ошибке отобразится и в случае, если сертификат был отредактирован после официальной даты его публикации. И неважно, соответствуют ли хранящиеся в нем данные действительности или нет. Все это направлено только на то, чтобы предостеречь пользователей Windows от установки сомнительных (по мнению разработчиков операционной системы, т.е. Microsoft) драйверов.

РИСКИ УСТАНОВКИ ДРАЙВЕРОВ БЕЗ ЦИФРОВОЙ ПОДПИСИ

Драйвер, по сути, является программой, как, например, браузер или видеопроигрыватель. Принцип работы подробно изложен в статье «Что такое драйвер». Исключение составляет лишь то, что он может не иметь исполнимых (EXE) файлов. Но драйвер — это также инструкция для операционной системы о том, как использовать то или иное устройство. А в этой инструкции прописаны самые различные команды, которым Windows придется следовать.

Что мешает разработчику драйвера заставить операционную систему, например, вывести на экран сообщение, в котором пользователю будет предложено что-то где-то скачать и установить? Или собрать персональные данные о пользователе и его действиях в интернете, а затем отправить все это злоумышленнику? Другими словами, установка драйверов с модифицированной либо отсутствующей подписью — то же самое, что установка каких-либо сомнительных программ из интернета или, например, использование взломанных пиратских приложений.

ВСЕ ЛИ ДРАЙВЕРЫ С ИЗМЕНЕННОЙ ПОДПИСЬЮ НЕСУТ УГРОЗУ?

Конечно, нет. Если обратить внимание на сообщение Windows о невозможности подтверждения сертификата, то можно увидеть в окне вариант продолжения установки. Т.е. операционная система допускает инсталляцию неподписанных драйверов. Связано это с тем, что не все производители устройств и/или разработчиков программного обеспечения получают официальные сертификаты — это ведь стоит денег.

Сертификаты отсутствуют у большинства драйверов, которые разрабатываются любителями для решения специфических задач с тем или иным устройством. Яркий пример — прошивка смартфонов. Зачастую, чтобы выполнить эту операцию, требуется установка специального драйвера, который позволит передать на смартфон специальные команды с компьютера. Разве программист-любитель, решивший бесплатно помочь владельцам смартфонов с прошивкой, будет тратиться на получение официального сертификата? Вряд ли.

Таким образом, устанавливать или не устанавливать неподписанные драйверы — решать только пользователю. Если на компьютере имеется антивирус, который не выявил никакой угрозы, а сам драйвер был скачан с проверенного источника, то шанс того, что он безопасен, достаточно велик.

ЗАЧЕМ ОТКЛЮЧАТЬ ПРОВЕРКУ ЦИФРОВОЙ ПОДПИСИ ДРАЙВЕРА

Очевидно — чтобы установить драйвер без цифровой подписи. Одно дело, когда ПО все же имеет какую-нибудь подпись (пускай и поддельную или модифицированную), совсем другое, когда эта она и вовсе отсутствует. В этих случаях Windows может попросту заблокировать установку драйвера, даже не предложив пользователю варианта с продолжением инсталляции.

Еще одна причина — установка устаревших драйверов. В распоряжении пользователя может оказаться устройство, поддержка которого производителем прекращена, т.е. под него более не пишутся новые версии драйверов. Если, к примеру, последняя версия ПО была написана еще под Windows 7, а пользователь перешел на Windows 10, то при попытке установки драйвера может вылезти все та же ошибка. Но это не повод вновь устанавливать на компьютер старую версию операционной системы или приобретать новое оборудование.

Существует простое решение этой проблемы — отключение функции проверки системой цифровых подписей. И сделать это можно несколькими способами.

ОТКЛЮЧЕНИЕ ПРОВЕРКИ ЦИФРОВОЙ ПОДПИСИ ИЗ КОМАНДНОЙ СТРОКИ WINDOWS

Первое, что здесь нужно сделать — запустить командную строку Windows от имени администратора (это важно). В ОС Windows 8/8.1/10 сделать это просто:

• Кликните правой кнопкой мыши по значку «Пуск».
• Выберите в отобразившемся списке пункт «Командная строка (администратор)».

Если у вас Windows 7:

• Откройте меню «Пуск».
• Найдите и раскройте раздел «Стандартные».
• Кликните правой кнопкой мыши над ярлыком «Командная строка», затем выберите пункт «Запуск от имени администратора».

Далее поочередно в командную строку следует вписать следующие команды (после ввода нажмите «Enter»):

• exe -set loadoptions DISABLE_INTEGRITY_CHECKS
• bcdedit /set testsigning on

Данные команды позволяют запустить Windows в режиме тестирования оборудования, т.е. по сути — в режиме разработчика. Об этом будет свидетельствовать сообщение в правой нижней части экрана.

Если необходимость в использовании неподписанных драйверов отпала, режим тестирования следует отключить. Для этого достаточно прописать в командную строку следующие две команды:

• exe /set loadoptions ENABLE_INTEGRITY_CHECKS
• bcdedit /set testsigning off

Каждый раз после включения/выключения проверки цифровой подписи компьютер следует перезагружать.

ОТКЛЮЧЕНИЕ ПРОВЕРКИ ЦИФРОВОЙ ПОДПИСИ В РЕДАКТОРЕ ЛОКАЛЬНОЙ ГРУППОВОЙ ПОЛИТИКИ

Редактор групповой политики — одно из системных приложений Windows, позволяющее производить тонкую настройку конфигурации операционной системы. Для запуска программы выполните следующее:

• Нажмите на клавиатуре клавиши «Win» и «R» одновременно.
• Откроется маленькое окошко «Выполнить». Скопируйте в него следующую строку — gpedit.msc, затем нажмите «ОК».

После запуска редактора групповой политики:

• В левой части окна программы раскройте раздел «Конфигурация пользователя», затем подразделы «Административные шаблоны», «Система» и «Установка драйвера».
• В центральной части окна отобразятся три параметра. Нас интересует «Цифровая подпись драйверов устройств». Кликните два раза по этому параметру.

• В левой части вновь открывшегося окна установите переключатель на пункт «Отключено», затем нажмите «Применить».

ОТКЛЮЧЕНИЕ ПРОВЕРКИ ЦИФРОВОЙ ПОДПИСИ В WINDOWS 8 И 10

Из редактора групповой политики отключение проверки подписей драйверов не всегда срабатывает в ОС Windows 8 и 10 (зависит от дистрибутива операционной системы). Но систему все равно можно заставить загружаться в режиме тестирования путем изменения параметров загрузки:

• Откройте меню «Пуск» и кликните по кнопке «Параметры» (кнопка с изображением шестеренки).
• В окне параметров перейдите в раздел «Обновление и безопасность».

• Далее откройте в левой части окна подраздел «Восстановление».
• В центре окна отобразится блок «Особые варианты загрузки» с кнопкой «Перезагрузить сейчас». Кликните по этой кнопке, компьютер перезагрузится.

• После включения компьютера на экране отобразятся варианты действий. Выберите пункт «Поиск и устранение неисправностей».
• На следующем шаге выберите пункт «Дополнительные параметры», затем — «Параметры загрузки».

• Нажмите клавишу «F7» для загрузки Windows в режиме тестирования оборудования с отключенной функцией проверки подписи драйверов.

При следующей перезагрузке Windows будет загружена в обычном режиме.

Установка драйвера без проверки цифровой подписи в Windows

Как известно, для корректной, стабильной и производительной работы комплектующих ПК и периферийных устройств требуется установка дополнительного программного обеспечения. Скачанный драйвер с официального сайта или через специальные приложения зачастую устанавливается без проблем. Однако происходит это только в том случае, если его тестирование компанией Майкрософт прошло успешно. В редких случаях сертификат может отсутствовать по некоторым причинам, из-за этого у пользователя возникают проблемы с установкой необходимого драйвера.

Установка неподписанного драйвера в Windows

Как уже было сказано выше, в большинстве случаев все сопутствующее ПО для оборудования предварительно проверяется в Microsoft. При успешно пройденном тестирование компания добавляет специальный файл-сертификат, являющийся цифровой подписью. Этот документ означает подлинность и безопасность драйвера для операционной системы, благодаря чему его инсталляция происходит без труда.

Однако такой сертификат может быть не во всем ПО. К примеру, он может отсутствовать для драйвера к старому (но технически рабочему) оборудованию. Но есть и другие ситуации, в которых подпись может отсутствовать у нового устройства или виртуальных драйверов.

Будьте внимательны при инсталляции непроверенного драйвера! Отключая проверку, вы ставите под угрозу работоспособность системы и сохранность ваших данных. Выполняйте его инсталляцию, только если уверены в безопасности файла и источника, откуда он был скачан.

Переходя к основной теме вопроса, хочется отметить, что есть 3 рабочих варианта отключения проверки подписи драйвера. Один из них работает до перезагрузки ПК, второй отключает защиту до последующего ручного включения пользователем. Более подробно о каждом из них читайте ниже.

Способ 1: Особые параметры загрузки Windows

Чаще всего необходимость отключения проверки цифровой подписи возникает единожды. В этой ситуации логичнее всего воспользоваться предоставлением временного разрешения. Оно будет работать один раз: до последующей перезагрузки компьютера. За этот промежуток времени вы можете инсталлировать любое количество непроверенных драйверов, перезапустить ПК, и проверка сертификата будет работать как и прежде, защищая операционную систему.

Первым делом запустите ОС в особом режиме. Пользователям Windows 10 потребуется выполнить следующие шаги:

Это же можно сделать, вызвав альтернативное меню ПКМ.

В меню слева перейдите в «Восстановление», а справа, под «Особые варианты загрузки», кликните «Перезагрузить сейчас».

Дождитесь старта Виндовс и выберите раздел «Поиск и устранение неисправностей».

В «Диагностика» перейдите в «Дополнительные параметры».

Здесь откройте «Параметры загрузки».

Ознакомьтесь с тем, что применится при следующем старте системы, и нажмите «Перезагрузить».

В этом режиме будет отключено управление мышью, а также изменится разрешение экрана до низкого. Пункт, отвечающий за отключение проверки подписи драйверов, седьмой в списке. Соответственно, нажмите на клавиатуре F7.

Начнется перезапуск, по завершении которого вы можете выполнить инсталляцию.

Последовательность действий для пользователей Windows 7 другая:

1. Перезагрузите компьютер обычным способом.
2. После начала запуска системы нажмите F8 (чтобы не пропустить момент, быстро жмите клавишу сразу же после того, как появится приветственный логотип материнской платы).
3. Стрелками выберите «Отключение обязательной проверки подписи драйверов».

Остается нажать Enter и дождаться перезапуска системы.

Теперь можно заняться инсталляцией программного обеспечения.

После следующего включения компьютера будет произведен обычный запуск системы, и она вновь начнет проверять подпись у драйверов, которые вы захотите установить. Обратите внимание, что эта служба не занимается проверкой установленных драйверов, для этого необходимо запускать отдельное приложение, которое по понятным причинам нас не интересует.

Способ 2: Командная строка

Используя известный многим интерфейс командной строки пользователь может отключить цифровую подпись, введя последовательно 2 команды.
Этот способ работает только при стандартном интерфейсе BIOS. Владельцам материнских плат с UEFI потребуется предварительно отключить «Secure Boot».

Откройте «Пуск», введите cmd, кликните ПКМ по результату и выберите «Запустить от имени администратора».

Пользователи «десятки» могут открыть командную строку либо PowerShell (в зависимости от того, как настроено их альтернативное меню) с правами администратора и через ПКМ по «Пуск».

Скопируйте команду ниже и вставьте ее в строку:

bcdedit.exe -set loadoptions DISABLE_INTEGRITY_CHECKS

Нажмите Enter и впишите:

bcdedit.exe -set TESTSIGNING ON

Снова жмите Enter. Спустя небольшой промежуток времени вы получите уведомление «Операция успешно завершена».

Перезагрузите ПК и запустите инсталляцию ПО для нужного оборудования.

В любой момент можно вернуть настройки, открыв cmd методом, расписанным выше, и вписав это:

bcdedit.exe -set TESTSIGNING OFF

После этого нажмите Enter и перезагрузить компьютер. Теперь драйверы всегда будут проверяться операционной системой. Дополнительно можно обратно включить UEFI таким же образом, каким вы его отключали.

Способ 3: Редактор локальной групповой политики

Еще один вариант решения поставленной задачи — редактирование политики компьютера. Им могут воспользоваться обладатели Windows версии выше Home (Домашней).

Зажмите Win + R и впишите gpedit.msc. Подтвердите ввод кнопкой «ОК» либо клавишей Enter.

Используя левое меню, разверните поочередно папки, нажимая на стрелочку перед их названием: «Конфигурация пользователя» >«Административные шаблоны» >«Система» >«Установка драйвера».

Справа в окне дважды ЛКМ кликните по «Цифровая подпись драйверов устройств».

Здесь задайте значение «Отключено», означающее, что осуществляться сканирование как таковое не будет.

Сохраните настройки через «ОК» и перезагрузите компьютер.

Запустите драйвер, который не удавалось установить, и повторите попытку.

Способ 4: Создание цифровой подписи

Не всегда методы, рассмотренные в этой статье, работают. При невозможности отключить проверку, можно пойти другим путем — создать подпись вручную. Он же подойдет, если подпись установленного программного обеспечения время от времени «слетает».

Распакуйте архиватором скачанный EXE-драйвер, который нужно установить. Давайте попробуем сделать это с использованием WinRAR. Нажмите по файлу правой кнопкой мыши и выберите пункт «Extract to», чтобы распаковать составные инсталлятора в папку рядом.

Зайдите в нее, найдите файл INF и через контекстное меню выберите «Свойства».

Перейдите на вкладку «Безопасность». Скопируйте путь к файлу, указанный в поле «Имя объекта».

Откройте командную строку или PowerShell с правами администратора. Как это сделать, написано в Способе 1.

‪Впишите команду pnputil –a , вставив после –a путь, который вы скопировали в Шаге 3.

Нажмите Enter, немного подождите, пока начнется обработка INF-файла. По окончании вы увидите уведомление об успешном импорте. Это значит, что драйвер зарегистрирован в Виндовс.

Мы рассмотрели несколько способов установки неподписанного программного обеспечения. Каждый из них несложен и доступен даже для начинающих юзеров. Еще раз стоит напомнить о небезопасности такой инсталляции и возможных ошибках в виде синего экрана смерти. Не забудьте предварительно создать точку восстановления.

Читайте также: Как создать точку восстановления в Windows XP, Windows 7, Windows 8, Windows 10

Установка неподписанного драйвера в Windows Hyper-V Server

Ранее я уже рассказывал про установку и настройку apcupsd — утилиты для работы с UPS. В этот раз мне понадобилось подключить UPS непосредственно к серверу с Windows Hyper-V Server 2019. Сходу не получилось это сделать, так как usb драйвер для ups не имеет цифровой подписи. Так что сегодня я расскажу, как установить неподписанный драйвер на Windows Hyper-V Server 2019.

Если у вас еще нет своего сервера с Hyper-V или он недонастроен, можете воспользоваться моей статьей на эту тему — Установка и настройка Windows Hyper-V Server 2019. Изначально я планировал установить драйвер в гипервизор через Windows Admin Center. Но увы, неподписанный подтвержденной цифровой подписью драйвер установить через админ центр не получится. А так хотелось 🙂

Придется делать вручную. С непосредственно установкой неподписанного драйвера все просто и особо останавливаться и расписывать нюансы не буду. Первое, что вам нужно сделать — отключить проверку подписи драйвера с помощью команды в консоли:

И обязательно перезагрузиться после этого. Так же учтите, что надо будет предварительно отключить UEFI secure boot, если он включен в BIOS. А в случае с виртуальной машиной Hyper-V снять галку Включить безопасную загрузку в настройках виртуальной машины.

Если этого не сделать, предыдущая команда не выполнится, будет ошибка.

После перезагрузки можно устанавливать сам драйвер:

В случае с apcupsd драйвер будет лежать apcupsddriver. В последней версии apcupsd в списке поддерживаемых систем самая старшая указана Windows 2008, но у меня без проблем устанавливался он на все последующие системы, вплоть до 2019 года.

Таким образом можно вручную, через консоль гипервизора установить любой неподписанный драйвер на Windows Hyper-V Server 2019.

Отключаем проверку подписи драйвера в Windows Server 2012 R2

Способ 1

Появилась необходимость отключить проверку цифровой подписи драйвера в Windows Server 2012 R2, которая вертелась в качестве гостевой системы на Hyper-V.

В сети много мануалов, как это сделать с помощью команд в cmd или PowerShell.
У меня при вводе команд:

Решение до слез смешное — нужно снять галку Включить безопасную загрузку в настройках виртуальной машины:

После этой простой манипуляции, команды применились ОС и режим включился.

Способ 2

Если вы полностью хотите отключить проверку подписывания драйверов в Windows, сделать это можно с помощью групповой политики.

Откройте редактор локальной групповой политики, набрав gpedit.msc

В меню политик перейдите в раздел User Configuration->Administrative Templates-> System->Driver Installation.

В правой панели найдите пункт ‘Code Signing for Device Drivers’ и дважды щелкните по нему.

В появившемся окне выберите ‘Enabled’, а в нижнем меню – ‘Ignore’. Нажмите Ок и перезагрузите компьютер. После перезагрузи и применения политика, в своей Windows 7 / Windows Server 2012 R2 вы полностью отключите подписывание драйверов, и сможете установить любые, в том числе, неподписанные драйвера.