System ignoruje instalację niestandardowego sterownika

System ignorujący instalację niestandardowego sterownika wskazuje na wymuszony podpis cyfrowy w trybie Secure Boot.

Dlaczego system pomija instalację sterownika

Komunikat o ignorowaniu instalacji niestandardowego sterownika zwykle oznacza, że system Windows odrzucił pakiet sterownika podczas weryfikacji jego podpisu cyfrowego. Podpis cyfrowy pozwala sprawdzić, czy pliki sterownika pochodzą od wskazanego wydawcy i czy nie zostały zmienione po podpisaniu. W przypadku sterowników działających w trybie jądra system traktuje tę kontrolę szczególnie rygorystycznie, ponieważ taki kod otrzymuje dostęp do operacji wykonywanych na niskim poziomie systemu operacyjnego.

Jeżeli komputer uruchamia system w trybie UEFI z aktywną funkcją Secure Boot, firmware sprawdza elementy potrzebne do bezpiecznego uruchomienia systemu, a Windows stosuje dodatkowe reguły dotyczące zaufania do sterowników. Sterownik określany jako niestandardowy może być poprawnie działającym plikiem przygotowanym przez małego producenta, starszym sterownikiem bez aktualnego podpisu albo pakietem przeznaczonym do testów. Sama nazwa „niestandardowy” nie przesądza o jego szkodliwości, ale brak wymaganego łańcucha zaufania powoduje odmowę instalacji lub załadowania.

Rola podpisu cyfrowego i trybu Secure Boot

Secure Boot korzysta z mechanizmu zaufanych kluczy zapisanych w środowisku UEFI. Podczas startu komputera weryfikowane są podpisy wybranych składników procesu uruchamiania, a później system Windows sprawdza zgodność sterowników z własnymi zasadami bezpieczeństwa. Istotne jest rozróżnienie między podpisem katalogu sterownika a podpisem poszczególnych plików. Pakiet może zawierać plik INF opisujący instalację, pliki binarne SYS oraz dodatkowe biblioteki. Weryfikacja obejmuje zależności pakietu, jego integralność i zgodność z wymaganiami systemu.

Problem może pojawić się po aktualizacji Windows, zmianie ustawień UEFI albo instalacji sterownika przeznaczonego dla innej wersji systemu. Znaczenie ma również architektura systemu, ponieważ sterownik przeznaczony dla wersji 32-bitowej nie jest zamiennikiem sterownika dla 64-bitowego Windows. W niektórych przypadkach instalator kopiuje pliki, lecz właściwy sterownik nie zostaje uruchomiony przy kolejnym starcie. Wtedy urządzenie może być widoczne w Menedżerze urządzeń z żółtym symbolem ostrzegawczym, a w jego właściwościach pojawia się kod błędu związany z brakiem możliwości załadowania sterownika.

Bezpieczne rozróżnienie błędu sterownika od awarii urządzenia

Diagnozę warto rozpocząć od ustalenia, czy problem dotyczy samego urządzenia, czy wyłącznie warstwy programowej. W Menedżerze urządzeń można sprawdzić nazwę sprzętu, identyfikatory sprzętowe oraz właściwości sterownika. Identyfikator sprzętowy pomaga dobrać pakiet do konkretnego kontrolera, a nie tylko do ogólnej nazwy urządzenia. Należy też zweryfikować, czy sterownik pochodzi ze strony producenta urządzenia lub komputera i czy jest przeznaczony dla zainstalowanej edycji oraz architektury Windows.

Przydatne jest sprawdzenie dziennika systemowego dotyczącego instalacji urządzeń oraz pliku setupapi.dev.log, w którym Windows zapisuje informacje o dopasowaniu pakietu, kopiowaniu plików i wyniku weryfikacji. Jeżeli pojawiają się komunikaty o nieprawidłowym podpisie, problem leży w zaufaniu do pakietu. Jeżeli log wskazuje brak zgodności identyfikatora sprzętowego, niewłaściwą wersję systemu albo brak wymaganej zależności, wyłączanie Secure Boot nie rozwiąże przyczyny. Warto również sprawdzić, czy sterownik nie został zablokowany przez funkcję Integralność pamięci w obszarze Izolacja rdzenia. Ta funkcja wykorzystuje zabezpieczenia oparte na wirtualizacji do ograniczania uruchamiania niezgodnego kodu w jądrze.

Postępowanie z odrzuconym pakietem na komputerze

Najbezpieczniejszym rozwiązaniem jest znalezienie aktualnego, podpisanego sterownika przeznaczonego dokładnie dla danego modelu urządzenia i wersji Windows. Przed instalacją można usunąć nieudany pakiet z poziomu Menedżera urządzeń, zaznaczając opcję usunięcia oprogramowania sterownika, jeśli jest dostępna, a następnie ponownie uruchomić komputer. Nie należy instalować plików pobranych z przypadkowych katalogów ani zastępować sterownika innym pakietem tylko dlatego, że ma podobną nazwę.

Tryb testowy systemu i tymczasowe wyłączanie kontroli podpisów są rozwiązaniami przeznaczonymi do kontrolowanych prac programistycznych lub diagnostycznych. Nie powinny być stałym sposobem użytkowania komputera, ponieważ zmniejszają ochronę procesu uruchamiania i mogą pozwolić na załadowanie sterownika, którego pochodzenia lub integralności nie da się potwierdzić. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z instalacją oraz uruchamianiem sterowników w systemie Windows.