Résumé :
Microsoft a annoncé qu'il augmenterait encore le seuil de certification des pilotes pour le programme de compatibilité matérielle Windows (WHCP). À partir de mars 2027, les soumissions de pilotes Windows éligibles doivent fournir à la fois une nomenclature logicielle (SBOM) et un fichier de description de l'exploitabilité des vulnérabilités (VEX).
Microsoft a annoncé en mai de cette année qu'il améliorerait la qualité des pilotes dans les systèmes Windows grâce à la « Drive Quality Initiative » (DQI). Une partie importante de cette initiative est le programme de compatibilité matérielle Windows, qui oblige les partenaires matériels à obtenir des signatures Microsoft pour les pilotes. À partir de 2027, Microsoft mettra en œuvre des exigences de certification WHCP plus strictes pour la soumission des pilotes.
Microsoft a déclaré qu'à partir de mars 2027, tous les pilotes soumis via WHCP pour certification doivent être accompagnés de fichiers SBOM et VEX valides. Les nouvelles exigences s'appliquent aux pilotes développés pour Windows 11 version 25H2, version 26H1, Windows Server 2025 et versions ultérieures. Si un fournisseur ne soumet pas l'un ou l'autre de ces documents, ou si la vérification du document échoue, son chauffeur ne pourra pas obtenir de signature.
Microsoft souligne que les pilotes développés pour les versions antérieures de Windows, ainsi que les pilotes soumis avant mars 2027, n'ont pas besoin de fournir les fichiers SBOM et VEX. De plus, les pilotes certifiés via le Windows Hardware Lab Kit (HLK) et les pilotes soumis via des signatures certifiées seront concernés par cette exigence.
Ce changement découle principalement de la loi européenne sur la cyber-résilience (CRA), les exigences correspondantes doivent donc être respectées. Cependant, Microsoft a également reconnu que ce changement aurait un impact plus important sur les partenaires et a déclaré qu'il ferait de son mieux pour fournir une assistance.
Microsoft prévoit de publier une nouvelle version du kit de pilotes Windows (WDK) en décembre 2026, qui comprendra les outils nécessaires pour générer des fichiers SBOM et VEX. La documentation connexe devrait également être publiée au cours de la même période. Les fournisseurs peuvent également utiliser des outils tiers pour générer ces fichiers, mais Microsoft exige que le résultat final soit strictement conforme au format SPDX 3.0.
Microsoft a également publié de nombreux autres conseils techniques, mais le plus important pour le moment est que les fournisseurs de pilotes doivent se familiariser avec la nouvelle version de WDK le plus tôt possible et s'assurer que les fichiers SBOM et VEX correspondants sont fournis à chaque fois qu'ils soumettent un pilote, au lieu de fusionner plusieurs informations sur le pilote en un seul fichier et de le soumettre de manière uniforme.
Commentaires