Windows CE答应PB开发者创建一个可信任的环境。其中有一种机制:在定制的内核启动后,只答应加密过的EXE、DLL运行,而非加密的EXE、DLL运行会失败。简略的说明这种机制原理,就是利用内核在加载EXE、DLL之前,先运行验证函数来验证EXE、DLL是否具有数字签名,并且签名是否合法。假如合法就可以运行了,不合法就不加载执行。验证函数能够访问一个全局Public Key,在EXE、DLL中包含Private Key。其中PB工具“signfile.exe”用于将数字签名附加到符合PE格式的EXE、DLL上。