Windows CE 提供了一種機制，使定制操作系統(tǒng)內(nèi)核的開發(fā)者能夠保護自己定制的內(nèi)核，加入了這種機制后，所有nk.bin解開的模塊(EXE、DLL、OCX)都能夠正常運行，存放在永久存儲器上的模塊在開發(fā)者數(shù)字簽名后也能夠運行，而沒有數(shù)字簽名的模塊則不能運行。讀者有興趣可以查看CE幫助文檔中標題為《Create a Trusted Environment》的文章。言簡意賅，下面就開始講解如何實現(xiàn)可信任環(huán)境。
1、得到鑰容器
得到鑰容器(key container)的方法是調(diào)用Win32 Security API。先得到CSP(cryptographic service provider)，再得到key container。默認的CSP為Microsoft Base Cryptographic Provider。默認的key container以當前登錄用戶名為名稱。如果你熟悉加密方面知識的話可以另外調(diào)用其他CSP。在此我們以Microsoft Base Cryptographic Provider默認的key container為signfile需要的鑰容器。
2、對模塊簽名
signfile.exe 用于對模塊簽名。這個文件在CE安裝目錄里(包括源碼)可以找到，下面是參數(shù)說明：
-o 輸出簽名數(shù)據(jù)到指定的文件
-k 指定CAPI 鑰容器
-p 輸出公鑰到指定文件(內(nèi)容為一個C語言數(shù)組)
-s 嵌入指定字符
-a 在指定的PE格式的文件中附加簽名數(shù)據(jù)
-f 要簽名的文件(EXE、DLL)
假如我們要將myproc.exe簽名，假設(shè)我們以fulinlin名字在桌面 Windows 上登錄，那么在命令行輸入如下命令：
signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt
上面參數(shù)告訴signfile.exe 用鑰容器fulinlin中的私鑰將文件myproc.exe簽名，并且將公鑰存放到名為myproc.txt的文件中。加密具體過程很復雜，我對加密不了解，只能理解到這么低級的程度。如果說錯了希望讀者指教。
3、編寫檢驗函數(shù)
編寫檢驗函數(shù)前請參考CE的幫助文檔中標題為《Verifying a Signature》的文章。我們只需要把這篇文章中最下面的代碼復制到CE安裝目錄下定義OEMInit函數(shù)的.c文件中。因為我的調(diào)試平臺屬于X86系列，所以定義OEMInit函數(shù)是在cfwpc.c文件中。為了使讀者能夠簡單弄懂這個機制，我把相關(guān)函數(shù)、變量做一個簡單說明，如下：
////初始化公鑰函數(shù)
extern BOOL InitPubKey(const BYTE *KeyBlob, DWORD cbKeyBlob);
/////這兩個指針是在loader.c文件中定義的，loader.c實現(xiàn)加載器的功能，加載模塊(EXE、DLL)。這兩個指針指向兩個函數(shù)，pOEMLoadInit
////指向的函數(shù)的功能是：每當加載一個模塊的時候這個函數(shù)決定是否需要驗證。TRUE表示需要，F(xiàn)ALSE不需要。pOEMLoadModule指向的
////函數(shù)的功能是：驗證將要加載的模塊是否具有合法的簽名。有三個返回值，具體請看幫助文檔。
extern OEMLoadInit_t pOEMLoadInit; extern OEMLoadModule_t pOEMLoadModule;
/////以"CertifyModule"開頭的函數(shù)為系統(tǒng)自帶的驗證函數(shù)。有了這三個函數(shù)你就不用去了解加密知識了。
extern BOOL CertifyModuleInit(void); extern BOOL CertifyModule(PBYTE pbBlock, DWORD cbBlock);extern BOOL CertifyModuleFinal(PBYTE *ppbSignData, PDWORD pcbSignData);
注意公鑰數(shù)據(jù)g_bSignPublicKeyBlob，要把signfile導出的公鑰覆蓋代碼中原有的g_bSignPublicKeyBlob 。
4、編譯并測試
用PB打開一個內(nèi)核工程，進入命令行狀態(tài)(菜單open build release directory)。鍵入"build -c"和"sysgen i486oal"，因為cfwpc.c是i486oal.lib的一部分。之后重新編譯內(nèi)核。測試方法是把任何一個CE下運行的EXE復制一份，一份不改變，另一份由signfile簽名。然后把這兩個文件復制到永久存儲器上運行。測試結(jié)果簽名的能運行，而不簽名的不能運行(彈出對話框顯示"找不到XXX(或它的某一個組件)。請確認......")。
下載文檔
