Windows CE 提供了一種機(jī)制，使定制操作系統(tǒng)內(nèi)核的開發(fā)者能夠保護(hù)自己定制的內(nèi)核，加入了這種機(jī)制后，所有nk.bin解開的模塊(EXE、DLL、OCX)都能夠正常運(yùn)行，存放在永久存儲(chǔ)器上的模塊在開發(fā)者數(shù)字簽名后也能夠運(yùn)行，而沒有數(shù)字簽名的模塊則不能運(yùn)行。讀者有興趣可以查看CE幫助文檔中標(biāo)題為《Create a Trusted Environment》的文章。言簡(jiǎn)意賅，下面就開始講解如何實(shí)現(xiàn)可信任環(huán)境。

1、得到鑰容器

得到鑰容器(key container)的方法是調(diào)用Win32 Security API。先得到CSP(cryptographic service provider)，再得到key container。默認(rèn)的CSP為Microsoft Base Cryptographic Provider。默認(rèn)的key container以當(dāng)前登錄用戶名為名稱。如果你熟悉加密方面知識(shí)的話可以另外調(diào)用其他CSP。在此我們以Microsoft Base Cryptographic Provider默認(rèn)的key container為signfile需要的鑰容器。

2、對(duì)模塊簽名

signfile.exe 用于對(duì)模塊簽名。這個(gè)文件在CE安裝目錄里(包括源碼)可以找到，下面是參數(shù)說明：

-o 輸出簽名數(shù)據(jù)到指定的文件

-k 指定CAPI 鑰容器

-p 輸出公鑰到指定文件(內(nèi)容為一個(gè)C語言數(shù)組)

-s 嵌入指定字符

-a 在指定的PE格式的文件中附加簽名數(shù)據(jù)

-f 要簽名的文件(EXE、DLL)

假如我們要將myproc.exe簽名，假設(shè)我們以fulinlin名字在桌面 Windows 上登錄，那么在命令行輸入如下命令：

signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt

上面參數(shù)告訴signfile.exe 用鑰容器fulinlin中的私鑰將文件myproc.exe簽名，并且將公鑰存放到名為myproc.txt的文件中。加密具體過程很復(fù)雜，我對(duì)加密不了解，只能理解到這么低級(jí)的程度。如果說錯(cuò)了希望讀者指教。

3、編寫檢驗(yàn)函數(shù)

編寫檢驗(yàn)函數(shù)前請(qǐng)參考CE的幫助文檔中標(biāo)題為《Verifying a Signature》的文章。我們只需要把這篇文章中最下面的代碼復(fù)制到CE安裝目錄下定義OEMInit函數(shù)的.c文件中。因?yàn)槲业恼{(diào)試平臺(tái)屬于X86系列，所以定義OEMInit函數(shù)是在cfwpc.c文件中。為了使讀者能夠簡(jiǎn)單弄懂這個(gè)機(jī)制，我把相關(guān)函數(shù)、變量做一個(gè)簡(jiǎn)單說明，如下：

////初始化公鑰函數(shù)

extern BOOL InitPubKey(const BYTE *KeyBlob, DWORD cbKeyBlob);

/////這兩個(gè)指針是在loader.c文件中定義的，loader.c實(shí)現(xiàn)加載器的功能，加載模塊(EXE、DLL)。這兩個(gè)指針指向兩個(gè)函數(shù)，pOEMLoadInit

////指向的函數(shù)的功能是：每當(dāng)加載一個(gè)模塊的時(shí)候這個(gè)函數(shù)決定是否需要驗(yàn)證。TRUE表示需要，F(xiàn)ALSE不需要。pOEMLoadModule指向的

////函數(shù)的功能是：驗(yàn)證將要加載的模塊是否具有合法的簽名。有三個(gè)返回值，具體請(qǐng)看幫助文檔。

extern OEMLoadInit_t pOEMLoadInit; extern OEMLoadModule_t pOEMLoadModule;

/////以"CertifyModule"開頭的函數(shù)為系統(tǒng)自帶的驗(yàn)證函數(shù)。有了這三個(gè)函數(shù)你就不用去了解加密知識(shí)了。

extern BOOL CertifyModuleInit(void); extern BOOL CertifyModule(PBYTE pbBlock, DWORD cbBlock);extern BOOL CertifyModuleFinal(PBYTE *ppbSignData, PDWORD pcbSignData);

注意公鑰數(shù)據(jù)g_bSignPublicKeyBlob，要把signfile導(dǎo)出的公鑰覆蓋代碼中原有的g_bSignPublicKeyBlob 。

4、編譯并測(cè)試

用PB打開一個(gè)內(nèi)核工程，進(jìn)入命令行狀態(tài)(菜單open build release directory)。鍵入"build -c"和"sysgen i486oal"，因?yàn)閏fwpc.c是i486oal.lib的一部分。之后重新編譯內(nèi)核。測(cè)試方法是把任何一個(gè)CE下運(yùn)行的EXE復(fù)制一份，一份不改變，另一份由signfile簽名。然后把這兩個(gè)文件復(fù)制到永久存儲(chǔ)器上運(yùn)行。測(cè)試結(jié)果簽名的能運(yùn)行，而不簽名的不能運(yùn)行(彈出對(duì)話框顯示"找不到XXX(或它的某一個(gè)組件)。請(qǐng)確認(rèn)......")。