Zusammenfassung:
Microsoft hat angekündigt, den Schwellenwert für die Treiberzertifizierung für das Windows Hardware Compatibility Program (WHCP) weiter anzuheben. Ab März 2027 müssen berechtigte Windows-Treibereinreichungen sowohl eine Software Bill of Materials (SBOM) als auch eine Vulnerability Exploitability Description (VEX)-Datei enthalten.
Microsoft kündigte im Mai dieses Jahres an, die Qualität von Treibern in Windows-Systemen durch die „Drive Quality Initiative“ (DQI) zu verbessern. Ein wichtiger Teil dieser Initiative ist das Windows Hardware Compatibility Program, das von Hardwarepartnern verlangt, Microsoft-Signaturen für Treiber zu erhalten. Ab 2027 wird Microsoft strengere WHCP-Zertifizierungsanforderungen für die Treibereinreichung einführen.
Microsoft gab an, dass ab März 2027 allen über WHCP zur Zertifizierung eingereichten Treibern gültige SBOM- und VEX-Dateien beiliegen müssen. Die neuen Anforderungen gelten für Treiber, die für Windows 11 Version 25H2, Version 26H1, Windows Server 2025 und spätere Versionen entwickelt wurden. Wenn ein Lieferant eines dieser Dokumente nicht einreicht oder das Dokument die Überprüfung nicht besteht, kann sein Fahrer keine Unterschrift erhalten.
Microsoft betont, dass für frühere Windows-Versionen entwickelte Treiber sowie vor März 2027 eingereichte Treiber keine SBOM- und VEX-Dateien bereitstellen müssen. Darüber hinaus sind sowohl durch das Windows Hardware Lab Kit (HLK) zertifizierte Treiber als auch durch zertifizierte Signaturen übermittelte Treiber von dieser Anforderung betroffen.
Diese Änderung ergibt sich im Wesentlichen aus dem Cyber Resilience Act (CRA) der EU, daher müssen die entsprechenden Anforderungen eingehalten werden. Allerdings räumte Microsoft auch ein, dass diese Änderung größere Auswirkungen auf die Partner haben wird und sagte, dass man sein Bestes tun werde, um Unterstützung zu leisten.
Microsoft plant, im Dezember 2026 eine neue Version des Windows Driver Kit (WDK) zu veröffentlichen, die die zum Generieren von SBOM- und VEX-Dateien erforderlichen Tools enthalten wird. Es wird erwartet, dass auch die dazugehörige Dokumentation im gleichen Zeitraum veröffentlicht wird. Anbieter können zum Generieren dieser Dateien auch Tools von Drittanbietern verwenden. Microsoft verlangt jedoch, dass die endgültige Ausgabe strikt dem SPDX 3.0-Format entspricht.
Microsoft hat auch viele andere technische Anleitungen veröffentlicht, aber das Wichtigste im Moment ist, dass Treiberanbieter sich so früh wie möglich mit der neuen Version von WDK vertraut machen und sicherstellen sollten, dass bei jedem Einreichen eines Treibers entsprechende SBOM- und VEX-Dateien bereitgestellt werden, anstatt mehrere Treiberinformationen in einer Datei zusammenzuführen und diese einheitlich einzureichen.
Kommentare