为驱动签名应选普通代码签名证书还是EV代码签名证书？

驱动签名证书适用规则说明 #

你并非只能购买EV代码签名证书，普通代码签名证书是否够用完全取决于你的使用场景：

• 公开发布面向普通用户、适配Windows 10 1607+、Windows 11的驱动：必须使用EV代码签名证书。微软硬件合作伙伴中心的账户注册、驱动提交入口仅接受EV证书做身份核验，你提交驱动后由微软官方签发WHQL签名，普通用户设备无需额外配置即可默认信任加载。
• 适配Windows 7及更早版本的驱动：普通代码签名证书即可满足需求，签名后的驱动可在目标系统上直接运行。
• 企业内部自用/测试场景的驱动：普通代码签名证书可以使用，但需要在目标设备上额外配置信任策略：要么开启测试模式，要么将证书根证书手动加入受信任发布者列表，否则系统默认安全策略会拦截驱动加载。

EV与普通代码签名证书的优缺点对比 #

EV代码签名证书 #

• 优点：
  • 是微软官方唯一认可的可用于硬件中心驱动提交的证书类型，签发的WHQL签名驱动全版本Windows默认信任，无需用户额外配置
  • 安全性更高，证书私钥默认存储在硬件加密Key中，盗用风险极低
  • 签名的程序不会被Windows SmartScreen默认拦截，信誉积累速度更快
• 缺点：
  • 申请门槛高，仅企业主体可申请，需要提交全套资质做人工审核，个人无法办理
  • 价格高昂，年使用成本通常在数千元
  • 审核签发周期长，一般需要3-7个工作日才能下证

普通代码签名证书（OV类型） #

• 优点：
  • 申请门槛低，企业、个人主体均可申请，审核速度快，多数机构1-3个工作日即可出证，部分支持当日签发
  • 成本低，年使用成本通常仅数百元
• 缺点：
  • 无法用于微软硬件中心的驱动提交申请，不能给公开发布的高版本Windows驱动做有效签名
  • 签名的高版本Windows内核驱动默认不受系统信任，需要用户手动修改配置才能加载
  • 私钥多为文件形式存储，泄露风险更高，签名的程序容易被SmartScreen拦截，需要长期积累使用信誉才能解除拦截

内容的提问来源于stack exchange，提问作者kontravolta