Windows CE 提供了一種機(jī)制，使定制操作系統(tǒng)內(nèi)核的開發(fā)者能夠保護(hù)自己定制的內(nèi)核，加入了這種機(jī)制后，所有nk.bin解開的模塊（EXE、DLL、OCX）都能夠正常運(yùn)行，存放在存儲器上的模塊在開發(fā)者數(shù)字簽名后也能夠運(yùn)行，而沒有數(shù)字簽名的模塊則不能運(yùn)行。讀者有興趣可以查看CE幫助文檔中標(biāo)題為《Create a Trusted Environment》的文章。言簡意賅，下面就開始講解如何實(shí)現(xiàn)可信任環(huán)境。

　　1、得到鑰容器

　　得到鑰容器（key container）的方法是調(diào)用Win32 Security API。先得到CSP（cryptographic service provider），再得到key container。默認(rèn)的CSP為Microsoft Base Cryptographic Provider。默認(rèn)的key container以當(dāng)前登錄用戶名為名稱。如果你熟悉加密方面知識的話可以另外調(diào)用其他CSP。在此我們以Microsoft Base Cryptographic Provider默認(rèn)的key container為signfile需要的鑰容器。

　　2、對模塊簽名
　
　　signfile.exe 用于對模塊簽名。這個文件在CE安裝目錄里（包括源碼）可以找到，下面是參數(shù)說明：

　　-o 輸出簽名數(shù)據(jù)到指定的文件

　　-k 指定CAPI 鑰容器

　　-p 輸出公鑰到指定文件（內(nèi)容為一個C語言數(shù)組）

　　-s 嵌入指定字符

　　-a 在指定的PE格式的文件中附加簽名數(shù)據(jù)

　　-f 要簽名的文件（EXE、DLL）

　　假如我們要將myproc.exe簽名，假設(shè)我們以fulinlin名字在桌面 Windows 上登錄，那么在命令行輸入如下命令：

　　signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt　　上面參數(shù)告訴signfile.exe 用鑰容器fulinlin中的私鑰將文件myproc.exe簽名，并且將公鑰存放到名為myproc.txt的文件中。加密具體過程很復(fù)雜，我對加密不了解，只能理解到這么低級的程度。如果說錯了希望讀者指教。

　　3、編寫檢驗函數(shù)

　　編寫檢驗函數(shù)前請參考CE的幫助文檔中標(biāo)題為《Verifying a Signature》的文章。我們只需要把這篇文章中下面的代碼復(fù)制到CE安裝目錄下定義OEMInit函數(shù)的.c文件中。因為我的調(diào)試平臺屬于X86系列，所以定義OEMInit函數(shù)是在cfwpc.c文件中。為了使讀者能夠簡單弄懂這個機(jī)制，我把相關(guān)函數(shù)、變量做一個簡單說明，如下：

　　////初始化公鑰函數(shù)

　　extern BOOL InitPubKey(const BYTE *KeyBlob, DWORD cbKeyBlob); /////這兩個指針是在loader.c文件中定義的，loader.c實(shí)現(xiàn)加載器的功能，加載模塊（EXE、DLL）。這兩個指針指向兩個函數(shù)，pOEMLoadInit
////指向的函數(shù)的功能是：每當(dāng)加載一個模塊的時候這個函數(shù)決定是否需要驗證。TRUE表示需要，F(xiàn)ALSE不需要。pOEMLoadModule指向的
////函數(shù)的功能是：驗證將要加載的模塊是否具有合法的簽名。有三個返回值，具體請看幫助文檔。

　　extern OEMLoadInit_t pOEMLoadInit; extern OEMLoadModule_t pOEMLoadModule; /////以"CertifyModule"開頭的函數(shù)為系統(tǒng)自帶的驗證函數(shù)。有了這三個函數(shù)你就不用去了解加密知識了。

　　extern BOOL CertifyModuleInit(void); extern BOOL CertifyModule(PBYTE pbBlock, DWORD cbBlock);extern BOOL CertifyModuleFinal(PBYTE *ppbSignData, PDWORD pcbSignData); 注意公鑰數(shù)據(jù)g_bSignPublicKeyBlob，要把signfile導(dǎo)出的公鑰覆蓋代碼中原有的g_bSignPublicKeyBlob 。

　　4、編譯并測試

　　用PB打開一個內(nèi)核工程，進(jìn)入命令行狀態(tài)（菜單open build release directory）。鍵入"build -c"和"sysgen i486oal"，因為cfwpc.c是i486oal.lib的一部分。之后重新編譯內(nèi)核。測試方法是把任何一個CE下運(yùn)行的EXE復(fù)制一份，一份不改變，另一份由signfile簽名。然后把這兩個文件復(fù)制到存儲器上運(yùn)行。測試結(jié)果簽名的能運(yùn)行，而不簽名的不能運(yùn)行（彈出對話框顯示"找不到XXX（或它的某一個組件）。請確認(rèn)......"）。