Microsoft durcit la signature des pilotes Windows, exige SBOM et VEX dès mars 2027

Microsoft a annoncé un durcissement de ses exigences de signature pour les pilotes Windows, qui entrera en vigueur le 1er mars 2027. Dans le cadre du programme mis à jour Windows Hardware Compatibility Program (WHCP), les développeurs soumettant des pilotes pour Windows 11 versions 25H2, 26H1, ainsi que pour Windows Server 2025 et les versions ultérieures, devront inclure une Liste des composants logiciels (SBOM) et une déclaration sur l'exploitabilité des vulnérabilités (VEX).

Cette modification de politique fait partie des efforts continus de Microsoft pour améliorer la sécurité et l'intégrité de l'écosystème des pilotes Windows. Elle vise également à se conformer aux réglementations évolutives en matière de cybersécurité, telles que la loi européenne sur la résilience cybernétique (CRA), qui met l'accent sur la transparence et la sécurité tout au long de la chaîne d'approvisionnement logicielle.

Les pilotes soumis sans un SBOM ou VEX valide, ou dont les documents ne peuvent être vérifiés, ne recevront pas la signature WHCP. Ceci s'applique aux pilotes certifiés via le Hardware Lab Kit (HLK) ainsi qu'à ceux signés via Attestation. Les soumissions existantes et les pilotes pour les versions de Windows antérieures à Windows 11 25H2 et Windows Server 2025 sont exemptés de ces nouvelles exigences.

Microsoft prévoit de publier des outils mis à jour pour la génération et la validation des fichiers SBOM et VEX avec le Windows Driver Kit (WDK) en décembre 2026. Les développeurs peuvent également utiliser des outils tiers ou des normes industrielles, à condition que la sortie soit conforme au format SPDX 3.0. Il est conseillé aux entreprises qui prévoient de soumettre des pilotes après la date limite de mars 2027 de se familiariser avec ces spécifications à venir et de commencer à cataloguer leurs composants logiciels.