Veel Windows bestanden (waaronder .sys bestanden in C:\Windows\System32\Drivers\) lijken niet digitaal te zijn ondertekend; als je er met de rechter muistoets op klikt en voor Eigenschappen (Properties) kiest ontbreekt vaak een tabblad voor digitale handtekeningen. Didier Stevens beschrijft in [1] dat die bestanden meestal zijn ondertekend middels een zogenaamde detached (ontkoppelde) signature, en dat je o.a. "SigCheck.exe" [2] van Mark Russinovich (SysInternals en Microsoft) kunt gebruiken om de signature te checken. Voorbeeld: sigcheck -i c:\windows\system32\drivers\afd.sys Het bovenstaande commando laat zien dat afd.sys (Ancillary Function Driver for WinSock) digitaal is ondertekend. Het laat ook zien waar de zogenaamde "catalog file" (met signatures) staat. Door "-i" worden alle betrokken certificaten getoond, en de daarin gebruikte hashes; op mijn Windows 7 x64 PC is dat in alle gevallen SHA1. Belangrijk: wat in de output niet getoond wordt is het gebruikte hashalgoritme over de file zelf, noch het ...