加密 Windows CE系统

作者：付林林

　　一直留意我著的文章的网友没有忘记，我在《让自己编写的DLL加载到 Slot1》文章中向所有阅读这篇文章的网友询问一个问题，关于signfile.exe的参数key container的设置问题，至今没有人回答我。不过最近我已经自己研究搞定。经过实验，实现了CE提供的可信任环境。"可信任环境"说通俗一点就是让你定制的CE内核启动后，只能运行内核包含的EXE、DLL模块和签名过的EXE、DLL模块，非签名EXE、DLL无法运行。"可信任环境"保证了你的内核的安全性，防止其他人非法研究你的内核或者非法在其上运行EXE、DLL。在讲述这个技术之前，请允许我先罗嗦几句。
逆风者
　　目前在国内有十多家网站转载了我的部分文章（大多数非我授权），而读者不能阅读到我所有的文章。在此我强调一点，我只在 www.yesky.com 和 www.vckbase.com 开设专栏，只有专栏中的文章才是最全的，到撰稿为止我在专栏中发表的文章数量算本篇文章一共有27篇。这27篇文章都是无偿地提供给这两家网站。我的专栏的链接地址如下：

yesky：http://www.yesky.com/SoftChannel/72340168526266368/20040908/1851586.shtml

vckbase：http://www.vckbase.com/vckbase/columnist/fllsoft

　　下面开始讲解。Windows CE 提供了一种机制，使定制操作系统内核的开发者能够保护自己定制的内核，加入了这种机制后，所有nk.bin解开的模块（EXE、DLL、OCX）都能够正常运行，存放在永久存储器上的模块在开发者数字签名后也能够运行，而没有数字签名的模块则不能运行。读者有兴趣可以查看CE帮助文档中标题为《Create a Trusted Environment》的文章。言简意赅，下面就开始讲解如何实现可信任环境。

1、得到钥容器

　　得到钥容器（key container）的方法是调用Win32 Security API。先得到CSP（cryptographic service provider），再得到key container。默认的CSP为Microsoft Base Cryptographic Provider。默认的key container以当前登录用户名为名称。如果你熟悉加密方面知识的话可以另外调用其他CSP。在此我们以Microsoft Base Cryptographic Provider默认的key container为signfile需要的钥容器。

2、对模块签名

　　signfile.exe 用于对模块签名。这个文件在CE安装目录里（包括源码）可以找到，下面是参数说明：

• -o<out filename> 输出签名数据到指定的文件
• -k<CAPI key container> 指定CAPI 钥容器
• -p<output C file to hold CAPI public key > 输出公钥到指定文件（内容为一个C语言数组）
• -s<string to sign and embed in signature> 嵌入指定字符
• -a 在指定的PE格式的文件中附加签名数据
• -f<PEFile > 要签名的文件（EXE、DLL）

　　假如我们要将myproc.exe签名，假设我们以fulinlin名字在桌面 Windows 上登录，那么在命令行输入如下命令：

signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt

　　上面参数告诉signfile.exe 用钥容器fulinlin中的私钥将文件myproc.exe签名，并且将公钥存放到名为myproc.txt的文件中。加密具体过程很复杂，我对加密不了解，只能理解到这么低级的程度。如果说错了希望读者指教。

3、编写检验函数

　　编写检验函数前请参考CE的帮助文档中标题为《Verifying a Signature》的文章。我们只需要把这篇文章中最下面的代码复制到CE安装目录下定义OEMInit函数的.c文件中。因为我的调试平台属于X86系列，所以定义OEMInit函数是在cfwpc.c文件中。为了使读者能够简单弄懂这个机制，我把相关函数、变量做一个简单说明，如下：