Gestion des patchs avancée

Selon la stratégie de sécurité de vos
serveurs, lorsque vous installez des
correctifs, vous risquez de recevoir un
avertissement indiquant que le fichier
ne contient pas de signature valide.
Pourtant Microsoft prétend signer tous
ses correctifs. Alors pourquoi cet avertissement
?
La confusion existe parce qu’il
existe deux types de signatures : une signature
Authenticode et une signature
WHQL (Windows Hardware Quality
Labs). Un développeur logiciel s’assure
de l’authenticité d’un fichier en lui
ajoutant une signature Authenticode.
Windows ne vérifie pas automatiquement
la signature Authenticode pour
les correctifs. Vous pouvez vérifier la
signature en faisant un clic droit sur le fichier et en sélectionnant Properties. Vous pouvez aussi utiliser
l’outil ligne de commande Chktrust qui accompagne le
Microsoft Platform SDK (Software Development Kit) pour
vérifier la signature Authenticode. Chktrust.exe vous dira si
un certificat est valide, mais pas à  qui il appartient.
Microsoft stocke la signature WHQL dans un fichier de
catalogue séparé pour montrer que la société a testé la compatibilité
d’un fichier de driver avec Windows XP ou
Windows 2000. Microsoft inclut une signature WHQL pour
chaque fichier de driver dans un correctif. L’avertissement
apparaît quand la signature WHQL pour un fichier de driver
ne correspond pas à  celle qui se trouve dans le fichier de catalogue.
Donc, si la signature Authenticode vérifie le correctif
avant l’installation et si la signature WHQL vérifie les fichiers
de drivers une fois le correctif installé, pourquoi l’avertissement
apparaît-il encore ? Il apparaît
parce que le correctif installe
de nouveaux fichiers avec de
nouvelles signatures WHQL.
Comme les nouvelles signatures
WHQL ne sont disponibles
qu’une fois l’installation finie,
Windows ne peut vérifier une
nouvelle signature qu’après l’installation
du correctif. Vous pouvez
vérifier ces signatures à  l’aide
de l’outil Windows File Signature
Verification (sigverif.exe) après
avoir installé le correctif. Si vous
vérifiez la signature Authenticode
avant d’installer le correctif et si vous exécutez Sigverif pour
vérifier les signatures WHQL après l’installation, vous pouvez
ignorer sans crainte l’avertissement de signature invalide.