La firma del codice in modalità kernel è il requisito di Windows secondo cui un driver deve essere firmato digitalmente prima di potersi caricare nel kernel. La firma consente a Windows di verificare il produttore del driver e aiuta a bloccare l'esecuzione di codice sconosciuto o manomesso a ring 0, dove può controllare file, memoria, processi e impostazioni di sicurezza.
Questo è importante perché l'accesso al kernel è potente: un driver firmato può comunque essere pericoloso se il suo progetto è troppo ampio, se ha un'interfaccia vulnerabile o se gli aggressori possono abusare di un driver legittimo per eludere le difese. Negli attacchi reali, i criminali usano spesso driver attendibili o firmati con certificati rubati per caricare codice kernel malevolo, disabilitare gli strumenti di sicurezza o manipolare lo stato protetto del sistema. I difensori si affidano alla firma del codice, a Secure Boot, alle blocklist dei driver e al monitoraggio dei caricamenti dei driver, ma il solo stato della firma non prova che un componente sia sicuro.