Riassunto:
Microsoft ha annunciato che aumenterà ulteriormente la soglia di certificazione dei driver per il Programma di compatibilità hardware di Windows (WHCP). A partire da marzo 2027, gli invii di driver Windows idonei devono fornire sia una distinta dei materiali del software (SBOM) sia un file di descrizione della vulnerabilità sfruttabilità (VEX).
Microsoft ha annunciato nel maggio di quest'anno che migliorerà la qualità dei driver nei sistemi Windows attraverso la "Drive Quality Initiative" (DQI). Una parte importante di questa iniziativa è il Programma di compatibilità hardware di Windows, che richiede ai partner hardware di ottenere le firme Microsoft per i driver. A partire dal 2027, Microsoft implementerà requisiti di certificazione WHCP più rigorosi per l’invio dei driver.
Microsoft ha dichiarato che a partire da marzo 2027, tutti i conducenti inviati tramite WHCP per la certificazione dovranno essere accompagnati da file SBOM e VEX validi. I nuovi requisiti si applicano ai driver sviluppati per Windows 11 versione 25H2, versione 26H1, Windows Server 2025 e versioni successive. Se un fornitore non riesce a inviare uno di questi documenti o se il documento non supera la verifica, il suo autista non sarà in grado di ottenere una firma.
Microsoft sottolinea che i driver sviluppati per versioni precedenti di Windows, così come i driver inviati prima di marzo 2027, non devono fornire file SBOM e VEX. Inoltre, sia i driver certificati tramite Windows Hardware Lab Kit (HLK) sia i driver inviati tramite firme certificate saranno interessati da questo requisito.
Questo cambiamento deriva principalmente dal Cyber Resilience Act (CRA) dell'UE, pertanto è necessario rispettare i requisiti pertinenti. Tuttavia, Microsoft ha anche riconosciuto che questo cambiamento avrà un impatto maggiore sui partner e ha affermato che farà del suo meglio per fornire supporto.
Microsoft prevede di rilasciare una nuova versione di Windows Driver Kit (WDK) nel dicembre 2026, che includerà gli strumenti necessari per generare file SBOM e VEX. Nello stesso periodo è prevista anche la pubblicazione della relativa documentazione. I fornitori possono anche utilizzare strumenti di terze parti per generare questi file, ma Microsoft richiede che l'output finale sia rigorosamente conforme al formato SPDX 3.0.
Microsoft ha rilasciato anche molte altre indicazioni tecniche, ma la cosa più importante al momento è che i fornitori di driver acquisiscano familiarità con la nuova versione di WDK il prima possibile e garantiscano che i file SBOM e VEX corrispondenti vengano forniti ogni volta che inviano un driver, invece di unire più informazioni sui driver in un unico file e inviarle in modo uniforme.
Commenti