深度解析 Windows 2000/XP 數位簽章機制：系統檔案保護的核心防線

前言：為何數位簽章至關重要？

微軟自 Windows 2000 起引入「Windows 檔案保護」（WFP）機制，其核心判斷依據即為數位簽章。只有通過微軟 WHQL（Windows Hardware Quality Labs）認證、擁有有效數位簽章的系統檔案與驅動程式，才能取代受保護的系統元件。本文深入解析數位簽章運作原理、驗證工具實戰、與進階管理技巧。

一、Windows 檔案保護（WFP）運作機制

WFP 在背景持續監控受保護檔案類型：*.sys、*.dll、*.ocx、*.ttf、*.fon、*.exe 等。當偵測到嘗試取代的檔案無有效微軟數位簽章，或版本號不符，WFP 會自動從 %SystemRoot%\System32\dllcache 快取或安裝光碟還原原版檔案。若找不到備份，將提示插入安裝媒體。

簽章來源管道：Service Pack、Hotfix、Windows Update、裝置管理員驅動安裝、作業系統升級。

二、認識數位簽章與驗證工具

數位簽章確保檔案來源可信且未被竄改。通過 WHQL 的硬體/軟體封裝會貼上「Designed for Microsoft Windows XP」標誌。

內建驗證工具：

• sigverif（檔案簽章驗證）：掃描系統檔案簽章狀態，產生詳細日誌
• sfc /scannow（系統檔案檢查器）：修復損毀檔案並驗證簽章

三、實戰案例演示

案例 1：驗證 Windows XP 是否為原版

1. 執行 sigverif → 點擊「開始」掃描
2. 檢視結果清單：winlogon.exe 與 licdll.dll 若未出現在「未簽章清單」中，表示核心檔案未被竄改
3. 多數未簽章項目為第三方驅動程式，屬正常現象

圖 3：檔案簽章驗證結果視窗

案例 2：驅動程式簽章警告處理

安裝未通過 WHQL 的驅動時，XP 會彈出「無法驗證相容性」警告。三種應對策略（系統屬性 → 硬體 → 驅動程式簽章）：

• 忽略：允許安裝所有驅動，不再提示（適合測試環境）
• 警告：預設值，提示但允許繼續
• 阻止：拒絕安裝未簽章驅動（高安全性需求環境）

圖 4：驅動程式簽章警告對話方塊

圖 5：驅動程式簽章原則設定

案例 3：簽章驗證結果記錄至日誌

sigverif →「進階」→「記錄」分頁 → 勾選「將結果儲存至日誌檔」→ 選擇「附加」或「覆寫」模式。或直接執行 sigverif /defscan 快速掃描並覆寫預設日誌。

案例 4：管理 dllcache 快取與停用 WFP

• 清空快取：sfc /purgecache（釋放 ~360MB 空間，但之後需安裝光碟還原檔案）
• 限制快取大小/位置：gpedit.msc → 電腦設定 → 系統 → Windows 檔案保護 → 設定掃描/快取大小/快取路徑
• 完全停用 WFP：群組原則中將「設定 Windows 檔案保護掃描」設為「已停用」（極不建議，系統將失去自我修復能力）

四、專家建議與最佳實務

1. 保持 WFP 啟用：是系統穩定性的最後防線
2. 優先安裝 WHQL 驅動：減少相容性問題與藍畫面風險
3. 定期執行 sigverif：特別在安裝新軟體/驅動後，偵測惡意程式竄改系統檔案
4. 保留 dllcache 快取：除非磁碟空間極度緊張，否則勿清除
5. 啟用驅動程式簽章「警告」模式：平衡易用性與安全性

五、延伸知識：Catalog 檔案與 INF 安裝

驅動程式套件通常包含 .cat 目錄檔，內含所有檔案的 SHA1 雜湊值與微軟簽章。INF 安裝腳本引用此 CAT 檔，完成驗證鏈。若手動複製驅動檔案而非透過 INF 安裝，將失去簽章保護，WFP 會視為未簽章檔案並嘗試還原。