Отключение проверки цифровой подписи драйверов в Windows 10

Зачем отключать проверку подписи драйверов

Проверка цифровой подписи защищает систему от установки неподписанных или потенциально вредоносных драйверов. Иногда она мешает установке старых, кастомных или самоподписанных драйверов при отладке, восстановлении совместимости или использовании специализированного оборудования. Отключать проверку следует лишь временно и осознано.

Краткое определение: цифровая подпись драйвера — криптографический маркер, подтверждающий, что драйвер не был изменён и подписан доверенным издателем.

Варианты и краткий обзор

• Временно через параметры загрузки — быстро и безопасно для однократной установки. Автоматически возвращается в защищённый режим после перезагрузки.
• Через редактор групповой политики — удобный сетевой способ для Pro/Enterprise редакций Windows, позволяет игнорировать проверку в пользовательской конфигурации.
• Тестовый режим (TESTSIGNING) — включает установку неподписанных драйверов на период работы системы в тестовом режиме; рекомендуется для разработки/отладки.
• Постоянное отключение через bcdedit (nointegritychecks) — отключает проверки на постоянной основе; увеличивает риск, использовать очень осторожно.

1. Отключение через параметры загрузки (временно)

Это самый простой и безопасный способ для однократной установки неподписанных драйверов. После перезагрузки подпись снова проверяется.

Шаги:

1. Нажмите и удерживайте клавишу Shift, затем выберите Перезагрузить.
2. В меню выберите Устранение неполадок > Дополнительные параметры > Параметры загрузки, нажмите Перезагрузить.
3. После перезагрузки вы увидите список параметров загрузки. Нажмите F7 (или цифру, соответствующую пункту) — «Отключить проверку подписи драйверов».
4. Система загрузится с отключённой проверкой, установите необходимые драйверы.

Важно: этот метод временный — после следующей обычной перезагрузки защита вернётся.

2. Отключение через Редактор локальной групповой политики

Подходит для редакций Windows с gpedit.msc (Pro, Enterprise). Изменяйте только описываемые параметры.

Шаги:

1. Откройте окно «Выполнить» (Win+R), введите gpedit.msc и нажмите Enter.
2. В левой панели перейдите в «Конфигурация пользователя».
3. Откройте «Административные шаблоны» в основной панели.
4. Перейдите в «Система» → «Установка драйверов».
5. Найдите параметр «Кодовая подпись для драйверов устройств» (Code signing for device drivers).
6. Откройте его, установите значение Включено, а в выпадающем списке выберите Игнорировать.
7. Нажмите «ОК», примените изменения и перезагрузите компьютер.

Примечание: этот метод меняет поведение установки драйверов для пользователей на данной машине/в домене (в зависимости от области применения). Некорректные правки в gpedit могут влиять на другие политики — будьте внимательны.

3. Включение тестового режима Windows (TESTSIGNING)

Тестовый режим позволяет системе загружать неподписанные драйверы и полезен для разработчиков и тестирования. В тестовом режиме на рабочем столе отображается водяной знак.

Шаги:

1. Откройте Командную строку с правами администратора (правый клик по Пуск → Командная строка (Администратор) или PowerShell (Администратор)).
2. Введите команду и нажмите Enter:

bcdedit /set TESTSIGNING ON

3. Перезагрузите компьютер. Установите драйверы.
4. После завершения верните нормальный режим:

bcdedit /set TESTSIGNING OFF

Важно: TESTSIGNING полезен при разработке, но оставлять систему в тестовом режиме в продакшне не рекомендуется.

4. Постоянное отключение проверки через bcdedit (nointegritychecks)

Этот метод делает проверку подписи неактивной постоянно. Это наименее безопасный вариант — увеличивает поверхность атаки. Применяйте только если понимаете риски.

Шаги (постоянное отключение):

1. Откройте Командную строку с правами администратора.
2. Введите и выполните:

bcdedit.exe /set nointegritychecks on

3. Перезагрузите систему и установите драйверы.

Чтобы вернуть проверку подписи:

bcdedit.exe /set nointegritychecks off

Альтернативные команды того же эффекта:

bcdedit -set loadoptions DISABLE_INTEGRITY_CHECKS
bcdedit -set TESTSIGNING ON

Чтобы восстановить:

bcdedit -set loadoptions ENABLE_INTEGRITY_CHECKS
bcdedit -set TESTSIGNING OFF

Когда нельзя отключать проверку подписи

• Если вы не уверены в происхождении драйвера.
• На рабочих серверах и производственных машинах без плана возврата.
• В сетях с повышенными требованиями безопасности и соответствием (compliance).

Важно: отключение подписи увеличивает риск загрузки вредоносных драйверов. Всегда получайте драйверы с официальных сайтов производителей или из доверенных источников.

Альтернативы отключению подписи

• Найти подписанный драйвер у производителя или в Windows Update.
• Использовать совместимый драйвер, сертифицированный Microsoft.
• Запустить виртуальную машину или тестовую среду и установить драйвер там.
• Обновить оборудование/ПО до версии с поддержкой подписанных драйверов.

Критерии приёмки

• Драйвер установлен и устройство работает ожидаемо после перезагрузки.
• Отсутствуют ошибки в Диспетчере устройств и в журнале событий Windows, связанные с драйвером.
• Система успешно возвращена в защищённый режим (если изменение было временным).

План отката и инструкция по восстановлению

1. Если использовали временный метод (параметры загрузки) — просто перезагрузите систему нормально.
2. Если включали TESTSIGNING:

bcdedit /set TESTSIGNING OFF

Перезагрузите.

3. Если использовали nointegritychecks:

bcdedit.exe /set nointegritychecks off

или

bcdedit -set loadoptions ENABLE_INTEGRITY_CHECKS
bcdedit -set TESTSIGNING OFF

Перезагрузите.

4. Проверьте Диспетчер устройств и системные журналы на предмет ошибок.

Контрольные списки по ролям

Для домашнего пользователя:

• Создать точку восстановления системы.
• Скачать драйвер только с сайта производителя.
• Использовать временное отключение через параметры загрузки.
• Вернуть систему в нормальный режим после установки.

Для продвинутого пользователя / ИТ-специалиста:

• Сделать резервную копию текущего состояния загрузчика BCD (через bcdedit /enum all).
• Проверить подпись драйвера через signtool или свойства файла.
• Использовать групповые политики в домене, если требуется массовое применение.

Для админа корпоративной сети:

• Документировать причину отклонения политики.
• Применять изменения через GPO с ограниченным охватом и аудитом.
• Планировать откат и уведомить службы безопасности.

Когда отключение не поможет — типичные случаи

• Проблема связана с несовместимостью аппаратного обеспечения, а не с подписью.
• Драйвер повреждён или неправильно настроен.
• Требуется цифровая подпись от конкретного издателя для работы с платформой безопасности (например, Secure Boot).

Диагностика и тесты

• Проверьте код ошибки в Диспетчере устройств (например, Code 52) — часто указывает на проблему подписи.
• Перед установкой проверьте файл драйвера: правый клик → Свойства → Цифровые подписи.
• После установки перезапустите систему и проверьте журнал событий Windows (System, DriverFrameworks).

Блок-схема принятия решения

flowchart TD
  A[Нужно установить неподписанный драйвер?] -->|Нет| B[Использовать подписанный драйвер]
  A -->|Да| C[Можно ли использовать временное отключение?]
  C -->|Да| D[Отключить через параметры загрузки]
  C -->|Нет| E[Нужен постоянный доступ или тестирование]
  E -->|Разработка/тестирование| F[Включить TESTSIGNING]
  E -->|Производство/долгосрочно| G[Использовать bcdedit nointegritychecks с планом отката]
  D --> H[Установить драйвер и перезагрузить]
  F --> H
  G --> H
  H --> I[Вернуть систему в защищённый режим]

Дополнительные рекомендации по безопасности

• Всегда сканируйте установочные файлы антивирусом перед применением.
• Используйте точку восстановления и резервное копирование критичных данных.
• Минимизируйте время работы системы с отключённой подписью.

Частые вопросы

Вопрос: Безопасно ли отключать проверку подписи только на один драйвер? Ответ: Технически да, если вы используете временное отключение и затем сразу возвращаете систему в нормальный режим. Однако риск остаётся до тех пор, пока система работает без проверки.

Вопрос: Работает ли это на Windows 11? Ответ: Многие методы похожи, но в системах с включённым Secure Boot и более строгими требованиями подписи драйверов некоторые варианты могут не работать. Для Windows 11 используйте официальные руководства, учитывая Secure Boot.

Краткое резюме

• Выберите минимально инвазивный метод: временное отключение через параметры загрузки — лучший старт для частных пользователей.
• Для разработки используйте TESTSIGNING. Для массового применения — gpedit в контролируемой среде.
• Постоянное отключение через bcdedit повышает риск и требует плана отката.

Если вы используете один из описанных способов, делитесь опытом: какие драйверы вы устанавливали и какие проблемы возникли — это поможет другим выбрать безопасный подход.