微软计划从2027年3月开始收紧对驱动程序的认证要求，明确规定所有通过WHCP提交、申请认证的驱动程序必须附带有效的SBOM和VEX文件。
这项新的SBOM和VEX文件要求直接适用于面向Windows 11版本25H2、版本26H1、Windows Server 2025及后续版本的驱动。这意味着，对于这些新一代操作系统平台上的驱动开发商而言，准备生成并提交这两类安全清单已成为一项关键的合规任务。
如果供应商未能提交SBOM或VEX文件，或者所提交的文件未通过验证流程，那么其对应的驱动程序将无法获得微软的签名认证。这构成了新的技术门槛，直接影响了相关硬件和软件生态系统的更新迭代速度。
在时间线上，微软计划于2026年12月发布新版Windows驱动程序工具包（WDK），该工具包预计将包含生成SBOM和VEX文件所需的具体工具集。这为开发者提供了一个明确的准备窗口期。
需要注意的是，微软也对过渡期进行了界定。根据公开资料指出，面向较早版本Windows开发的驱动以及在2027年3月之前提交的驱动程序，暂时不需要提供SBOM和VEX文件，体现了政策的阶段性调整。
这项关于驱动签名要求的变化背景，主要源于欧盟《网络弹性法案》（CRA）的影响。这表明微软正在将全球性的安全法规要求纳入其核心产品生态系统的合规标准中。
从技术规范层面看，微软对SBOM和VEX文件的格式有明确规定，要求供应商最终输出的SBOM和VEX文件必须严格符合SPDX 3.0格式，这对开发流程的标准化提出了更高要求。
对于开发者而言，理解这一变化的关键在于时间节点和适用范围。虽然新规指向未来，但其影响已经开始体现在当前版本的驱动设计和测试流程中，促使生态系统提前进行安全资产清单的管理工作。
综上所述，微软通过收紧对SBOM和VEX文件的要求，旨在提升Windows 11和Windows Server 2025等新版本操作系统在供应链层面的透明度和可追溯性。所有相关厂商必须关注后续WDK的更新，并确保其开发流程能够适配SPDX 3.0格式的要求。
信息来源
本文基于上述公开资料整理，未使用来源页面的图片、视频或嵌入媒体。