如何加密 Windows CE系統(tǒng)

Windows CE 提供了一種機(jī)制，使定制操作系統(tǒng)內(nèi)核的開發(fā)者能夠保護(hù)自己定制的內(nèi)核，加入了這種機(jī)制后，所有nk.bin解開的模塊(EXE、DLL、OCX)都能夠正常運(yùn)行，存放在永久存儲器上的模塊在開發(fā)者數(shù)字簽名后也能夠運(yùn)行，而沒有數(shù)字簽名的模塊則不能運(yùn)行。讀者有興趣可以查看CE幫助文檔中標(biāo)題為《Create a Trusted Environment》的文章。言簡意賅，下面就開始講解如何實現(xiàn)可信任環(huán)境。

1、得到鑰容器

得到鑰容器(key container)的方法是調(diào)用Win32 Security API。先得到CSP(cryptographic service provider)，再得到key container。默認(rèn)的CSP為Microsoft Base Cryptographic Provider。默認(rèn)的key container以當(dāng)前登錄用戶名為名稱。如果你熟悉加密方面知識的話可以另外調(diào)用其他CSP。在此我們以Microsoft Base Cryptographic Provider默認(rèn)的key container為signfile需要的鑰容器。

2、對模塊簽名

signfile.exe 用于對模塊簽名。這個文件在CE安裝目錄里(包括源碼)可以找到，下面是參數(shù)說明：

-o 輸出簽名數(shù)據(jù)到指定的文件

-k 指定CAPI 鑰容器

-p 輸出公鑰到指定文件(內(nèi)容為一個C語言數(shù)組)

-s 嵌入指定字符

-a 在指定的PE格式的文件中附加簽名數(shù)據(jù)

-f 要簽名的文件(EXE、DLL)

假如我們要將myproc.exe簽名，假設(shè)我們以fulinlin名字在桌面 Windows 上登錄，那么在命令行輸入如下命令：

signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt

上面參數(shù)告訴signfile.exe 用鑰容器fulinlin中的私鑰將文件myproc.exe簽名，并且將公鑰存放到名為myproc.txt的文件中。加密具體過程很復(fù)雜，我對加密不了解，只能理解到這么低級的程度。如果說錯了希望讀者指教。

3、編寫檢驗函數(shù)

編寫檢驗函數(shù)前請參考CE的幫助文檔中標(biāo)題為《Verifying a Signature》的文章。我們只需要把這篇文章中最下面的代碼復(fù)制到CE安裝目錄下定義OEMInit函數(shù)的.c文件中。因為我的調(diào)試平臺屬于X86系列，所以定義OEMInit函數(shù)是在cfwpc.c文件中。為了使讀者能夠簡單弄懂這個機(jī)制，我把相關(guān)函數(shù)、變量做一個簡單說明，如下：

////初始化公鑰函數(shù)

extern BOOL InitPubKey(const BYTE *KeyBlob, DWORD cbKeyBlob);

/////這兩個指針是在loader.c文件中定義的，loader.c實現(xiàn)加載器的功能，加載模塊(EXE、DLL)。這兩個指針指向兩個函數(shù)，pOEMLoadInit

////指向的函數(shù)的功能是：每當(dāng)加載一個模塊的時候這個函數(shù)決定是否需要驗證。TRUE表示需要，F(xiàn)ALSE不需要。pOEMLoadModule指向的

////函數(shù)的功能是：驗證將要加載的模塊是否具有合法的簽名。有三個返回值，具體請看幫助文檔。

extern OEMLoadInit_t pOEMLoadInit; extern OEMLoadModule_t pOEMLoadModule;

/////以CertifyModule開頭的函數(shù)為系統(tǒng)自帶的驗證函數(shù)。有了這三個函數(shù)你就不用去了解加密知識了。

extern BOOL CertifyModuleInit(void); extern BOOL CertifyModule(PBYTE pbBlock, DWORD cbBlock);extern BOOL CertifyModuleFinal(PBYTE *ppbSignData, PDWORD pcbSignData);

注意公鑰數(shù)據(jù)g_bSignPublicKeyBlob，要把signfile導(dǎo)出的公鑰覆蓋代碼中原有的g_bSignPublicKeyBlob 。

4、編譯并測試

用PB打開一個內(nèi)核工程，進(jìn)入命令行狀態(tài)(菜單open build release directory)。鍵入build -c和sysgen i486oal，因為cfwpc.c是i486oal.lib的一部分。之后重新編譯內(nèi)核。測試方法是把任何一個CE下運(yùn)行的EXE復(fù)制一份，一份不改變，另一份由signfile簽名。然后把這兩個文件復(fù)制到永久存儲器上運(yùn)行。測試結(jié)果簽名的能運(yùn)行，而不簽名的不能運(yùn)行(彈出對話框顯示找不到XXX(或它的某一個組件)。請確認(rèn)......)。