Win8 強制安裝未簽名驅動程序：臨時禁用/永久測試模式雙方案

背景

Win8/8.1/10 強制要求內核模式驅動簽名 (KMCS)，未經 Microsoft WHQL/認證簽名的驅動 (舊硬件、開發版驅動、修改版驅動、虛擬設備驅動) 默認無法安裝，提示「驅動程序簽名驗證失敗」/「系統找不到指定的文件」。

方案一：臨時禁用驅動簽名強制 (單次生效，重啟失效)

1. Win+C →「設置」→「更改電腦設置」→「通用」→「高級啟動」→「立即重新啟動」。
2. 重啟進入「選擇選項」→「疑難解答」→「高級選項」→「啟動設置」→「重新啟動」。
3. 啟動設置菜單中按 7 或 F7 →「禁用驅動程序強制簽名」。
4. 系統啟動進入桌面，此時可安裝任意未簽名驅動。重啟後恢復強制簽名要求。

適用場景： 單次安裝特定未簽名驅動，不希望永久降低系統安全性。

方案二：永久啟用測試模式 (BCD 編輯，適合驅動開發/頻繁測試)

原理： 修改啟動配置數據 (BCD) 設置 TESTSIGNING ON 並禁用完整性檢查，系統長期接受測試簽名/無簽名驅動。

創建「開啟測試模式」腳本 (管理員運行)

1. 新建文本文件 enable_testsigning.cmd，內容：

bcdedit -set loadoptions DDISABLE_INTEGRITY_CHECKS
bcdedit -set TESTSIGNING ON

2. 右鍵 →「以管理員身份運行」。
3. 重啟電腦，啟動時右下角水印顯示「測試模式」，即可永久安裝未簽名驅動。

創建「關閉測試模式」腳本 (恢復正常)

1. 新建 disable_testsigning.cmd，內容：

bcdedit -set loadoptions ENABLE_INTEGRITY_CHECKS
bcdedit -set TESTSIGNING OFF

2. 管理員運行，重啟，水印消失，恢復強制簽名驗證。

進階：為特定驅動添加測試簽名 (比全局測試模式更安全)

1. 安裝 Windows Driver Kit (WDK) 獲取 signtool.exe、inf2cat、makecert。
2. 創建自簽測試憑證：makecert -r -pe -ss PrivateCertStore -n "CN=TestDriverCert" testcert.cer
3. 生成驅動目錄文件：inf2cat /driver:<驅動目錄> /os:8_x64
4. 簽名目錄文件：signtool sign /v /s PrivateCertStore /n "TestDriverCert" /t https://timestamp.verisign.com/scripts/timestamp.dll <驅動目錄>\<驅動名>.cat
5. 安裝驅動時選擇「仍然安裝此驅動程序軟件」(系統識別為測試簽名)。

安全風險與建議

最佳實踐： 優先尋找廠商官網最新 WHQL 驅動；實在無官方驅動時，優先「臨時禁用」；開發環境使用「單驅動測試簽名」；避免長期運行「全局測試模式」。