目前在国内有十多家网站转载了我的部分文章（大多数非我授权），而读者不能阅读到我所有的文章。在此我强调一点，我只在www.yesky.com和www.vckbase.com开设专栏，只有专栏中的文章才是最全的，到撰稿为止我在专栏中发表的文章数量算本篇文章一共有27篇。这27篇文章都是无偿地提供给这两家网站。我的专栏的链接地址如下：
yesky：http://www.yesky.com/SoftChannel/72340168526266368/20040908/1851586.shtml
vckbase：http://www.vckbase.com/vckbase/columnist/fllsoft
下面开始讲解。Windows CE提供了一种机制，使定制操作系统内核的开发者能够保护自己定制的内核，加入了这中机制后，所有nk.bin解开的模块（EXE、DLL、OCX）都能够正常运行，存放在永久存储器上的模块在开发者数字签名后也能够运行，而没有数字签名的模块则不能运行。读者有兴趣可以查看CE帮助文档中标题为《Create a Trusted Environment》的文章。言简意赅，下面就开始讲解如何实现可信任环境。
1、得到钥容器
得到钥容器（key container）的方法是调用Win32 Security API。先得到CSP（cryptographic service provider），再得到key container。默认的CSP为Microsoft Base Cryptographic Provider。默认的key container以当前登录用户名为名称。如果你熟悉加密方面知识的话可以另外调用其他CSP。在此我们以Microsoft Base Cryptographic Provider默认的key container为signfile需要的钥容器。
2、对模块签名
signfile.exe用于对模块签名。这个文件在CE安装目录里（包括源码）可以找到，下面是参数说明：
-o 输出签名数据到指定的文件
-k 指定CAPI 钥容器
-p 输出公钥到指定文件（内容为一个C语言数组）
-s 嵌入指定字符
-a 在指定的PE格式的文件中附加签名数据
-f 要签名的文件（EXE、DLL）
假如我们要将myproc.exe签名，假设我们以fulinlin名字在桌面windows 上登录，那么在命令行输入如下命令：
signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt
上面参数告诉signfile.exe 用钥容器fulinlin中的私钥将文件myproc.exe签名，并且将公钥存放到名为myproc.txt的文件中。加密具体过程很复杂，我对加密不了解，只能理解到这么低级的程度。如果说错了希望读者指教。
3、编写检验函数
编写检验函数前请参考CE的帮助文档中标题为《Verifying a Signature》的文章。我们只需要把这篇文章中最下面的代码复制到CE安装目录下定义OEMInit函数的.c文件中。因为我的调试平台属于X86系列，所以定义OEMInit函数是在cfwpc.c文件中。为了使读者能够简单弄懂这个机制，我把相关函数、变量做一个简单说明，如下：
////初始化公钥函数
extern BOOL InitPubKey(const BYTE *KeyBlob, DWORD cbKeyBlob);
/////这两个指针是在loader.c文件中定义的，loader.c实现加载器的功能，加载模块（EXE、DLL）。这两个指针指向两个函数，pOEMLoadInit
////指向的函数的功能是：每当加载一个模块的时候这个函数决定是否需要验证。TRUE表示需要，FALSE不需要。pOEMLoadModule指向的
////函数的功能是：验证将要加载的模块是否具有合法的签名。有三个返回值，具体请看帮助文档。
extern OEMLoadInit_t pOEMLoadInit;
extern OEMLoadModule_t pOEMLoadModule;
/////以"CertifyModule"开头的函数为系统自带的验证函数。有了这三个函数你就不用去了解加密知识了。
extern BOOL CertifyModuleInit(void);
extern BOOL CertifyModule(PBYTE pbBlock, DWORD cbBlock);
extern BOOL CertifyModuleFinal(PBYTE *ppbSignData, PDWORD pcbSignData);
注意公钥数据g_bSignPublicKeyBlob，要把signfile导出的公钥覆盖代码中原有的g_bSignPublicKeyBlob 。
4、编译并测试
用PB打开一个内核工程，进入命令行状态（菜单open build release directory）。键入"build -c"和"sysgen i486oal"，因为cfwpc.c是i486oal.lib的一部分。之后重新编译内核。测试方法是把任何一个CE下运行的EXE复制一份，一份不改变，另一份由signfile签名。然后把这两个文件复制到永久存储器上运行。测试结果签名的能运行，而不签名的不能运行（弹出对话框显示"找不到XXX（或它的某一个组件）。请确认......"）。
付林林：
2001年计算机专业毕业。从毕业起一直从事软件开发工作。目前从事 Windows CE 下操作系统内核定制和应用程序开发。在实际工作中积累了CE下开发的一些经验。希望和 CE 下开发者交流、探讨，更希望你们能不吝赐教。我的EMail：windowsce@tom.com
本文作者将在天极社区嵌入式开发版回答读者的疑问。
未经本文作者同意，不准擅自转载本篇文章。联系作者请邮至windowsce@tom.com或fllsoft@sina.com
作者：付林林 来源：天极网
http://www.biplip.com/Default.aspx?tabid=34&mid=348&ctl=View&ItemID=334
