Che cosa fa davvero Secure Boot — e perché nel 2025 conta ancora

Un buttafuori che lavora prima che Windows esista

Secure Boot sta nel firmware UEFI e lavora come un buttafuori con la lista degli invitati. Il firmware custodisce database di certificati — db con le chiavi di firma fidate e dbx con quelle revocate esplicitamente — e ogni anello della catena di avvio, a partire dal boot manager di Windows, si vede controllare la firma contro quei database prima di poter girare. Il codice non firmato o revocato viene rifiutato prima che compaia il primo pixel di Windows.

Conta, perché la catena di avvio è l'unico posto che l'antivirus non può difendere. Un bootkit carica prima del sistema, prima di Defender, prima di qualunque driver: un bootloader compromesso significa che il malware possiede tutto ciò che viene dopo. Windows 11 ha reso Secure Boot obbligatorio per un motivo, e la funzione non costa niente a runtime: le verifiche delle firme aggiungono millisecondi a un avvio che già dura dieci secondi.

• Blocca i bootkit — la catena di avvio è l'unico territorio malware che l'antivirus non raggiunge
• Costa zero in prestazioni: la verifica avviene una volta per avvio, in millisecondi
• Controlla le firme del codice, non la vostra attività — non è sorveglianza e da solo non comunica nulla a nessuno
• Collabora con BitLocker: il log di measured boot alimenta i controlli anti-manomissione di Windows
• Frena gli attacchi di rollback — un bootloader vecchio, firmato ma vulnerabile, si revoca tramite aggiornamenti di dbx
• Non può essere spento da malware dentro un Windows in esecuzione — l'impostazione vive nel firmware, non su disco

Controllare il proprio — e la trappola BitLocker

Premete Win+R, lanciate msinfo32 e cercate due righe: la modalità BIOS deve dire UEFI e lo stato di avvio protetto deve dire Attivato. Su una macchina in modalità legacy CSM Secure Boot non esiste proprio — e questo è già un motivo per convertire il disco da MBR a GPT con mbr2gpt e passare a un flusso di avvio moderno, se l'hardware lo supporta. La conversione richiede meno di un'ora e sblocca anche le funzioni dipendenti dal TPM, come BitLocker e l'idoneità al passaggio a Windows 11.

Un avviso prima di toccare l'interruttore: se BitLocker sta cifrando il disco, disattivare Secure Boot cambia lo stato di avvio misurato, e la partenza successiva chiederà la chiave di ripristino di 48 cifre. Salvatela prima da aka.ms/myrecoverykey o dalla pagina dell'account Microsoft. La stessa cautela vale per armeggiare con le impostazioni TPM — fTPM su AMD o PTT su Intel.

I pochi casi in cui spegnerlo è legittimo

I motivi legittimi per disattivare Secure Boot sono rari ma reali: una scheda video antidiluviana il cui option ROM precede le firme UEFI, alcune schede di cattura dell'era di Windows 10, oppure una configurazione Linux di nicchia con un kernel personalizzato che nessuno ha firmato. Le distribuzioni principali avviano benissimo con Secure Boot attivo, perché il loro shim è firmato da Microsoft. Tutto il resto dei motivi citati in giro — controllo delle ventole, avvii più rapidi, vecchi giochi — è folklore.

Non è legittimo, invece, disattivarlo come cura per avvii lenti, errori di aggiornamento o vaghe instabilità: nessuna di queste cose è causata da Secure Boot, e l'abitudine di internet di raccomandarlo per tutto è il modo in cui la gente finisce con un PC che non parte e una chiave di ripristino persa. Se una pagina di supporto vi dice di spegnerlo per installare il loro tool, chiedete che cosa esattamente non passa la verifica della firma. A volte la risposta onesta è l'installer stesso.

Domande e risposte

Da leggere dopo