Secure Boot su Windows 11: cos’è, come funziona e perché è importante

Quando accendete il PC, passano frazioni di secondo in cui il sistema è completamente indifeso. Il sistema operativo non è ancora partito, l’antivirus è ancora addormentato, nessun software di sicurezza è in esecuzione. In quello spazio temporale ristretto — ma reale — si nascondono alcune delle minacce informatiche più insidiose in circolazione.

Secure Boot esiste esattamente per presidiare quel momento. È il guardiano invisibile che lavora prima di Windows, prima di qualsiasi applicazione, prima che qualunque software di sicurezza abbia la possibilità di intervenire. Capire come funziona non è un esercizio accademico: nel 2026, con la scadenza di certificati critici in arrivo a giugno, è diventato qualcosa che ogni utente Windows dovrebbe conoscere almeno nelle sue linee essenziali.

Cos’è Secure Boot e cosa fa concretamente

Secure Boot è una funzionalità di sicurezza dello standard UEFI — il firmware moderno che ha sostituito il BIOS classico su quasi tutti i PC degli ultimi quindici anni. Il suo compito è preciso: verificare che ogni componente software che si avvia con il sistema sia autentico, non modificato e proveniente da una fonte riconosciuta come affidabile.

La verifica avviene prima che Windows si carichi. Prima del bootloader, prima dei driver, prima di qualsiasi cosa. Il firmware legge una firma digitale associata a ogni componente di avvio — bootloader, driver UEFI, kernel — e la confronta con un database di certificati validi. Se la firma corrisponde, il componente viene eseguito. Se non corrisponde, o se il certificato è stato revocato, il sistema blocca l’avvio e segnala il problema.

La struttura tecnica che regge questo meccanismo si basa su tre elementi principali. Il DB è il database delle chiavi consentite — l’elenco dei certificati riconosciuti come affidabili. Il DBX è il database delle chiavi revocate — l’elenco di certificati che non devono più essere considerati validi, perché compromessi o associati a software pericolosi. La KEK(Key Exchange Key) è la chiave che autorizza gli aggiornamenti a DB e DBX: senza di essa, nessuna modifica all’elenco dei certificati validi può essere applicata al firmware.

Tutti e tre questi elementi risiedono in variabili non volatili del firmware UEFI — non sul disco rigido, non in una partizione di sistema. Sono scritti direttamente nel chip del firmware della scheda madre.

Perché Windows 11 lo richiede obbligatoriamente

Quando Microsoft ha annunciato i requisiti di Windows 11, Secure Boot è finito nella lista insieme a TPM 2.0, generando molta confusione e qualche polemica. In molti si sono chiesti se si trattasse di una mossa commerciale per forzare l’acquisto di nuovo hardware. La risposta è no — o almeno, non principalmente.

Secure Boot e TPM 2.0 lavorano in tandem su Windows 11 per garantire qualcosa di concreto: che il sistema operativo possa fidarsi dell’hardware su cui gira. TPM 2.0 misura l’integrità del processo di avvio e la memorizza in registri protetti (i PCR, Platform Configuration Register). Secure Boot garantisce che solo codice lecito venga eseguito durante quell’avvio. Insieme, i due meccanismi permettono a funzionalità come BitLocker e Windows Hello di funzionare con garanzie reali — non soltanto su base software, dove un attaccante sufficientemente abile potrebbe aggirarle.

Senza Secure Boot attivo, BitLocker non può affidarsi a misurazioni di avvio affidabili. Windows Hello non può verificare che il dispositivo sia integro. Le funzionalità di Credential Guard e Virtualization Based Security perdono una parte fondamentale delle loro garanzie. Non è un requisito di facciata.

I bootkit: la minaccia che Secure Boot blocca prima di tutto

Per capire perché Secure Boot è importante, conviene capire cosa succede quando non c’è — o quando viene aggirato.

I bootkit sono una categoria di malware particolarmente insidiosa: si installano nel bootloader o nel firmware, in posizioni che vengono eseguite prima del sistema operativo. Questo li rende praticamente invisibili agli strumenti di sicurezza tradizionali: un antivirus che gira su Windows non può rilevare codice che è già in esecuzione da prima che Windows si avviasse.

Un bootkit ben costruito può disabilitare le difese del sistema operativo, intercettare credenziali, installare altri malware, e persistere anche dopo una reinstallazione di Windows — perché la reinstallazione sovrascrive il sistema operativo, non il firmware o il bootloader infettato. Rimuovere un bootkit richiede spesso una riformattazione completa con reinstallazione del firmware, un’operazione che va ben oltre le competenze dell’utente medio.

Secure Boot non rende impossibile la creazione di bootkit — i ricercatori di sicurezza hanno dimostrato nel tempo varie tecniche di bypass. Ma eleva drasticamente la difficoltà tecnica di un attacco riuscito e blocca la stragrande maggioranza delle varianti note. È, come si dice nel settore, un controllo efficace contro le minacce reali anche se non perfetto contro le minacce teoriche più avanzate.

La catena di fiducia e i certificati digitali

Secure Boot è un’infrastruttura a chiave pubblica (PKI). Il suo funzionamento si basa su certificati digitali — documenti crittografici che attestano l’identità e l’autorità di chi ha firmato un componente software.

Microsoft emette i propri certificati Secure Boot, che vengono pre-installati nel firmware della maggior parte dei PC venduti con Windows. Questi certificati dicono al firmware: “fidati dei bootloader e dei driver firmati con queste chiavi”. I produttori OEM — Dell, HP, Lenovo, ASUS e gli altri — integrano i certificati Microsoft nel firmware delle loro macchine durante la produzione.

Quando Microsoft rilascia un aggiornamento al bootloader di Windows, lo firma con le proprie chiavi. Il firmware verifica la firma, la trova valida, e lascia procedere l’avvio. Se qualcuno tenta di sostituire il bootloader con una versione non firmata o firmata con una chiave non riconosciuta, il firmware blocca tutto.

I certificati, però, hanno una durata. Come i documenti d’identità, scadono. Ed è qui che nel 2026 si apre uno scenario che vale la pena conoscere bene.

La scadenza del 2026: cosa sta succedendo e perché conta

I certificati Secure Boot emessi da Microsoft nel 2011 — quelli presenti sulla quasi totalità dei PC Windows prodotti tra il 2012 e il 2025 — iniziano a scadere a giugno 2026, con il completamento del ciclo previsto per ottobre dello stesso anno.

Microsoft ha preparato la transizione con anticipo. I nuovi certificati — identificati come KEK CA 2023, Windows UEFI CA 2023 e Microsoft UEFI CA 2023 — hanno iniziato a essere distribuiti tramite Windows Update a partire da febbraio 2026. La novità strutturale più rilevante è che il vecchio certificato UEFI CA 2011 è stato diviso in due: uno dedicato ai bootloader e uno alle Option ROM, una separazione che consente un controllo più granulare su cosa il firmware considera affidabile.

Il punto critico che molti utenti non conoscono è questo: dopo la scadenza, il PC si avvia lo stesso. Secure Boot continua a funzionare con i vecchi certificati fin quando non tenta di verificare qualcosa di firmato solo con le nuove chiavi. Il problema non è immediato. Il problema è progressivo: un dispositivo con certificati scaduti non può ricevere aggiornamenti al bootloader, non può applicare nuove revoche al DBX, non può ricevere mitigazioni per vulnerabilità scoperte dopo la scadenza. Nel tempo, questo apre finestre di vulnerabilità che i bootkit possono sfruttare.

Come verificare lo stato di Secure Boot sul proprio PC

Controllare se Secure Boot è attivo e se i certificati sono aggiornati richiede pochi passaggi.

Il metodo più immediato passa dall’app Sicurezza di Windows: si va nella sezione Sicurezza del dispositivo e si cerca la voce Secure Boot. L’indicatore può avere tre stati. Il badge verde segnala che tutto è in ordine — Secure Boot attivo e certificati aggiornati. Il badge giallo indica che Secure Boot è attivo ma i certificati non sono ancora stati aggiornati alla versione 2023. Il badge rosso segnala problemi più seri, come Secure Boot disabilitato o un errore nel processo di aggiornamento.

Per verificare lo stato direttamente tramite il sistema, si può aprire il pannello Informazioni di sistema (msinfo32.exe) e cercare la voce “Stato avvio protetto” nella schermata principale. Il valore atteso è “Attivato”.

Se il badge è giallo o Secure Boot risulta non aggiornato, la prima azione da fare è aprire Windows Update e controllare che non ci siano aggiornamenti in sospeso. I nuovi certificati vengono distribuiti attraverso il normale canale degli aggiornamenti cumulativi — compresi gli ultimi Patch Tuesday di febbraio e maggio 2026. Chi ha Windows Update attivo e aggiornato ha già probabilmente ricevuto o riceverà a breve i nuovi certificati in modo automatico.

Chi deve prestare più attenzione

Per la maggior parte degli utenti consumer che tengono Windows Update attivo, la transizione è o sarà trasparente. Ma esistono categorie di utenti che meritano un’attenzione aggiuntiva.

Chi usa software con driver non standard — strumenti di overclock, software audio professionale, applicazioni di virtualizzazione — dovrebbe verificare la compatibilità dei propri driver con le nuove chiavi di firma. I driver firmati con la vecchia UEFI CA 2011 continueranno a funzionare per ora, ma nel tempo potrebbero richiedere aggiornamenti da parte dei rispettivi produttori.

Chi gestisce hardware datato — PC prodotti prima del 2015, o con firmware OEM mai aggiornato — potrebbe trovarsi in una situazione in cui il firmware non supporta la scrittura dei nuovi certificati nelle variabili UEFI. In questi casi, l’unica soluzione è un aggiornamento firmware da parte del produttore, se disponibile. Molti OEM hanno già rilasciato aggiornamenti BIOS/UEFI specifici per questa transizione.

Chi ha eseguito un ripristino del firmware alle impostazioni di fabbrica dopo aver già ricevuto i nuovi certificati dovrebbe verificare lo stato: in alcuni casi il ripristino sovrascrive le variabili UEFI con i valori di default del firmware, che potrebbero contenere ancora i vecchi certificati 2011.

Giugno 2026 non è lontano. Se avete Windows Update attivo, probabilmente non dovete fare nulla. Se invece avete aggiornamenti in pausa da mesi, questo è il momento giusto per riprendere il controllo.

Fonti:

Per rimanere aggiornato sulle novità e sulle offerte del mondo della tecnologia, seguici su Telegram e Whatsapp