Windows CE 供给了一种机制，使定制操作体系内核的开发者可以维护自己定制的内核，加入了这种机制后，一切nk.bin解开的模块(EXE、DLL、OCX)都可以正常运转，存放在永久存储器上的模块在开发者数字签名后也可以运转，而没有数字签名的模块则不能运转。读者有爱好可以检查CE协助文档中标题为《Create a Trusted Environment》的文章。要言不烦，下面就开端解说怎么完成可信任环境。
1、得到钥容器
得到钥容器(key container)的办法是调用Win32 Security API。先得到CSP(cryptographic service provider)，再得到key container。默许的CSP为Microsoft Base Cryptographic Provider。默许的key container以当时登录用户名为称号。假定你了解加密方面常识的话可以别的调用其他CSP。在此咱们以Microsoft Base Cryptographic Provider默许的key container为signfile需求的钥容器。
2、对模块签名
signfile.exe 用于对模块签名。这个文件在CE装置目录里(包含源码)可以找到，下面是参数阐明：
-o 输出签名数据到指定的文件
-k 指定CAPI 钥容器
-p 输出公钥到指定文件(内容为一个C言语数组)
-s 嵌入指定字符
-a 在指定的PE格局的文件中附加签名数据
-f 要签名的文件(EXE、DLL)
假定咱们要将myproc.exe签名，假定咱们以fulinlin姓名在桌面 Windows 上登录，那么在指令行输入如下指令：
signfile -fmyproc.exe -a -kfulinlin -pmyproc.txt
上面参数告知signfile.exe 用钥容器fulinlin中的私钥将文件myproc.exe签名，而且将公钥存放到名为myproc.txt的文件中。加密详细进程很杂乱，我对加密不了解，只能了解到这么初级的程度。假定说错了期望读者指导。
3、编写检验函数
编写检验函数前请参阅CE的协助文档中标题为《Verifying a Signature》的文章。咱们只需求把这篇文章中最下面的代码仿制到CE装置目录下界说OEMInit函数的.c文件中。由于我的调试渠道归于X86系列，所以界说OEMInit函数是在cfwpc.c文件中。为了使读者可以简略弄懂这个机制，我把相关函数、变量做一个简略阐明，如下：
////初始化公钥函数
extern BOOL InitPubKey(const BYTE *KeyBlob, DWORD cbKeyBlob);
/////这两个指针是在loader.c文件中界说的，loader.c完成加载器的功用，加载模块(EXE、DLL)。这两个指针指向两个函数，pOEMLoadInit
////指向的函数的功用是：每逢加载一个模块的时分这个函数决议是否需求验证。TRUE表明需求，FALSE不需求。pOEMLoadModule指向的
////函数的功用是：验证即将加载的模块是否具有合法的签名。有三个返回值，详细请看协助文档。
extern OEMLoadInit_t pOEMLoadInit; extern OEMLoadModule_t pOEMLoadModule;
/////以CertifyModule最初的函数为体系自带的验证函数。有了这三个函数你就不用去了解加密常识了。
extern BOOL CertifyModuleInit(void); extern BOOL CertifyModule(PBYTE pbBlock, DWORD cbBlock);extern BOOL CertifyModuleFinal(PBYTE *ppbSignData, PDWORD pcbSignData);
留意公钥数据g_bSignPublicKeyBlob，要把signfile导出的公钥掩盖代码华夏有的g_bSignPublicKeyBlob 。
4、编译并测验
用PB翻开一个内核工程，进入指令行状况(菜单open build release directory)。键入build -c和sysgen i486oal，由于cfwpc.c是i486oal.lib的一部分。之后从头编译内核。测验办法是把任何一个CE下运转的EXE仿制一份，一份不改动，另一份由signfile签名。然后把这两个文件仿制到永久存储器上运转。测验成果签名的能运转，而不签名的不能运转(弹出对话框显现找不到XXX(或它的某一个组件)。请承认……)。
