- L'avvio protetto richiede UEFI, partizioni GPT e chiavi di avvio valide.
- msinfo32 consente di controllare la modalità BIOS e lo stato di Secure Boot.
- Disabilitando CSM e scegliendo Windows UEFI si abilita la verifica della firma.
- La gestione delle chiavi (ripristino delle impostazioni di fabbrica) risolve lo stato "Non attivo".
Dopo un aggiornamento del BIOS/UEFI, è piuttosto comune che Secure Boot venga disabilitato, cambi stato o appaia come "Non attivo". Pertanto, è consigliabile rivedere le impostazioni per ripristinarne il corretto funzionamento. In questo articolo, spiegherò in dettaglio come riattivare Secure Boot in modo sicuro, senza trascurare aspetti critici come UEFI, GPT, CSM, chiavi di avvio, TPM 2.0 e BitLocker.
Prima di fare qualsiasi cosa, è consigliabile eseguire un paio di controlli rapidi in Windows e nel firmware. Questo vi aiuterà a evitare errori comuni come il famigerato "UEFI legacy" o i blocchi di crittografia. Tenete a portata di mano la chiave di ripristino se utilizzate BitLocker e consultate il manuale del produttore, se disponibile, poiché ogni scheda madre (ASUS, MSI, Gigabyte, Lenovo, Dell, HP, ecc.) potrebbe visualizzare menu diversi.
Che cos'è Safe Start e perché dovresti volerlo abilitare?
Secure Boot è un livello di protezione del firmware che convalida le firme crittografiche del software caricato all'avvio del sistema, garantendo che venga eseguito solo software firmato e affidabile. In altre parole, blocca l'esecuzione di bootloader o driver non autorizzati e contribuisce a contenere i malware che tentano di infiltrarsi nel processo di avvio.
Oltre alla sicurezza, una configurazione corretta influisce anche sulla stabilità e sulla compatibilità con i sistemi moderni. Se è necessario avviare strumenti o sistemi operativi che non supportano questa verifica, è possibile disabilitarla temporaneamente, sebbene i produttori raccomandino di mantenere Secure Boot permanentemente attivo, salvo in casi molto specifici.
Controlli iniziali in Windows: modalità BIOS e stato di avvio protetto
Il primo passo consiste nel verificare lo stato attuale del computer. Windows offre un'anteprima rapida per vedere se si è in modalità UEFI o Legacy (CSM) e se l'avvio protetto (Secure Boot) è abilitato. Controllare qui consente di risparmiare tempo perché, se risulta già "Abilitato", non è necessario fare altro.
- stampa Windows + R, Scrivi msinfo32 e confermare con Invio. Si apriranno le Informazioni di sistema.
- Individuare i campi Modalità BIOS y Stato di avvio sicuro.
- Se la modalità BIOS indica che UEFI e Secure Boot Status sono abilitati, non è necessario apportare modifiche. Se è disabilitato, è possibile abilitarlo. Se è indicato Non supportatoLa tua scheda madre non supporta questa funzione.
- Se la modalità BIOS mostra Ereditato/CSMPrima di poter utilizzare Secure Boot, sarà necessario passare a UEFI.
MBR vs GPT: convertire il disco di sistema se necessario
Affinché Secure Boot funzioni, l'installazione di Windows deve trovarsi su un disco partizionato in formato GPT (GUID Partition Table). Se l'unità di sistema è in formato MBR, è necessario convertirla in GPT utilizzando lo strumento integrato di Microsoft. Prima di farlo, eseguire un backup dei dati importanti.
Verifica lo stile della partizione tramite Gestione disco: premi Windows + X, apri Gestione disco, fai clic con il pulsante destro del mouse sul disco di sistema (non solo sull'unità C:) e apri Proprietà > Volumi. Alla voce Stile partizione, vedrai se è GPT o MBR.
Se devi convertire, apri il prompt dei comandi come Amministratore (assicurarsi che la finestra indichi quel livello di autorizzazione) e convalidare con mbr2gpt /validate /disk:0 /allowFullOS (Sostituisci 0 con il numero di disco corretto se non corrisponde). Se tutto è corretto, esegui mbr2gpt /convert /disk:0 /allowFullOSDopo la conversione potrebbe essere necessario Cambia la modalità di avvio nel firmware in UEFI.
La pre-validazione è fondamentale perché verifica, tra le altre cose, che ci sia spazio sufficiente per le tabelle GPT e che la struttura delle partizioni sia compatibile. Sebbene lo strumento sia progettato per la conversione in loco, qualsiasi modifica al partizionamento comporta dei rischi, pertanto si consiglia di eseguire un backup preliminare.
TPM 2.0 e Windows 11: verifica rapida
Sebbene il TPM 2.0 non sia necessario per abilitare Secure Boot, è richiesto per Windows 11. Se si utilizza Windows 11, è necessario verificare che il chip sia presente e abilitato. Eseguire tpm.msc e controllare lo stato: se viene visualizzato "Pronto all'uso", tutto è a posto; in caso contrario, abilitarlo nel BIOS/UEFI (cercare TPM, fTPM o PTT, a seconda del produttore, solitamente in Sicurezza o Opzioni avanzate).
Su molti dispositivi moderni, il TPM è abilitato di default, ma potrebbe essere disabilitato dopo un aggiornamento del firmware o un ripristino del sistema. La procedura tipica consiste nell'andare su Sicurezza > TPM/fTPM/PTT e selezionare Abilitato , salvando le modifiche con F10 prima di uscire affinché l'attivazione abbia effetto.
Come accedere al BIOS/UEFI: chiavi e percorso da Windows
Per accedere a Secure Boot, è necessario accedere al firmware. Il metodo più comune consiste nel riavviare il computer e premere ripetutamente un tasto durante il POST. I tasti più comuni sono Canc, F2, F10, F12 o Esc , anche se questo può variare a seconda del produttore.
Se preferisci farlo direttamente dal sistema, usa Avvio avanzato. In Windows 10, vai su Impostazioni > Aggiornamento e sicurezza > Ripristino e fai clic su Riavvia ora in Avvio avanzato. In Windows 11, vai su Impostazioni > Windows Update > Opzioni avanzate > Ripristino e, in Avvio avanzato, scegli Riavvia ora. Dopo il riavvio, vai su Risoluzione dei problemi > Opzioni avanzate > Impostazioni firmware UEFI e conferma.
Su alcuni portatili (soprattutto quelli da gioco), è comune tenere premuto F2 durante l'accensione dopo lo spegnimento . Su alcuni portatili da gioco, il metodo potrebbe prevedere di tenere premuto contemporaneamente il tasto per abbassare il volume e il tasto di accensione. Consulta il manuale del tuo modello se non riesci ad avviarlo al primo tentativo.
Posizione di Secure Boot nel firmware e cosa è necessario disattivare.
Una volta entrati nel BIOS/UEFI, cercate l'opzione Secure Boot. Potrebbe trovarsi in schede come Sicurezza, Avvio, Avanzate o Autenticazione , a seconda che l'interfaccia sia UEFI classica, "MyASUS in UEFI" o un'interfaccia proprietaria di un altro produttore.
Prima di abilitare Secure Boot, disabilitare il Compatibility Support Module (CSM) o la modalità Legacy. Secure Boot funziona solo in UEFI puro, quindi se il CSM è abilitato, disabilitarlo. Successivamente, verificare la presenza di un'opzione Tipo di sistema operativo; molti firmware mostrano "Modalità Windows UEFI" anziché "Altro sistema operativo". Per abilitare Secure Boot, selezionare Windows UEFI.
Con CSM disabilitato e il tipo di sistema operativo corretto selezionato, individua l' interruttore Secure Boot (potrebbe apparire come Secure Boot Control). Impostalo da Disabilitato ad Abilitato. Se il firmware ti chiede di gestire le chiavi, installa le impostazioni predefinite di fabbrica o ripristina le chiavi predefinite; questo database è ciò che consente la convalida dei bootloader firmati da Microsoft.
Salva le modifiche, esci e verifica in Windows
Al termine, salva ed esci. In genere, questa operazione si esegue premendo F10 e confermando (OK/Accetta/Conferma), oppure accedendo alla scheda Salva ed esci e selezionando "Salva modifiche ed esci". Il computer si riavvierà con le nuove impostazioni applicate.
Tornati in Windows, ripetete la query msinfo32 per verificare che lo stato di Secure Boot appaia ora come Abilitato. Se risulta ancora "Non attivo" o "Disabilitato", potrebbero mancare delle chiavi oppure CSM potrebbe essere ancora abilitato da qualche parte nel firmware.
Cosa fare se appare "Non attivo": reimpostare i tasti e forzare la modalità appropriata
Esistono casi in cui, nonostante UEFI e Secure Boot siano abilitati, lo stato risulta "Non attivo ". Sulle schede madri moderne, la soluzione tipica consiste nell'abilitare Secure Boot e ripristinare le impostazioni di fabbrica, salvando successivamente le modifiche.
Su laptop, PC all-in-one o console di gioco con UEFI classico: vai su Sicurezza > Avvio protetto e abilita Controllo avvio protetto . Quindi vai su Gestione chiavi. Per prima cosa, usa "Ripristina modalità di configurazione" per cancellare i database, conferma con Sì e poi seleziona Ripristina chiavi di fabbrica . Salva le modifiche (F10) e riavvia.
Sui dispositivi con "MyASUS in UEFI", la procedura è simile: abilitare Secure Boot, accedere a Gestione chiavi, ripristinare la modalità di configurazione e quindi ripristinare le chiavi con "Ripristina chiavi di fabbrica". Infine, salvare le modifiche e riavviare il dispositivo affinché lo stato venga aggiornato.
Sui computer desktop, alcuni firmware richiedono la modifica della modalità di avvio protetto (Secure Boot Mode) in " Personalizzata " per gestire le chiavi: apri Gestione chiavi, esegui "Cancella chiavi di avvio protetto", conferma e quindi scegli "Installa chiavi di avvio protetto predefinite". Non dimenticare di chiudere con F10 o "Salva modifiche ed esci" in modo che lo stato cambi in Utente/Attivo quando necessario.
Molti BIOS UEFI hanno una modalità base e una modalità avanzata. Se non visualizzi le opzioni sopra, premi F7 per accedere alla modalità avanzata e quindi controlla nuovamente le schede Sicurezza e Avvio. Puoi navigare utilizzando i tasti freccia e Invio, oppure con il mouse o il touchpad, a seconda del tuo sistema.
L'interfaccia può variare leggermente a seconda del modello e della versione del firmware. Non sorprendetevi se il percorso viene indicato come Sicurezza > Avvio protetto > Controllo avvio protetto oppure Avvio > Avvio protetto > Tipo di sistema operativo . L'obiettivo è lo stesso: disabilitare CSM, selezionare Windows UEFI e assicurarsi che le chiavi di avvio protetto siano caricate.
BitLocker e crittografia dei dispositivi: evita sorprese al riavvio
Se utilizzi BitLocker o la crittografia del dispositivo, la modifica di parametri di avvio critici (CSM, Secure Boot, TPM) potrebbe comportare la richiesta della chiave di ripristino da parte di Windows al successivo avvio. Tienila a portata di mano prima di intervenire sul BIOS/UEFI per evitare di rimanere bloccato fuori dal sistema.
Se si preferisce disabilitare temporaneamente la crittografia, consultare innanzitutto le linee guida ufficiali di Microsoft per evitare la perdita di dati. Sui computer aziendali, è consigliabile coordinare queste modifiche con il team IT per rispettare le policy e mantenere la sicurezza.
Percorso alternativo per abilitare UEFI e convertire le partizioni senza reinstallare
Se provenivi dalla modalità Legacy/CSM e il tuo disco era formattato come MBR, il modo più pulito è convertirlo in GPT utilizzando l'utilità mbr2gpt e poi passare a UEFI nel BIOS. Ricordarsi di convalidare prima con mbr2gpt /validate e poi eseguirlo mbr2gpt /convert con l'identificatore del disco corretto.
Un dettaglio che spesso viene trascurato: la finestra del prompt dei comandi deve visualizzare "Amministratore" . Se non si esegue la console con privilegi elevati, i comandi potrebbero fallire senza un messaggio chiaro, costringendovi a ripetere la procedura.
Quando disabilitare temporaneamente l'avvio protetto
Alcuni strumenti di diagnostica, immagini di manutenzione e sistemi operativi non funzionano con la verifica della firma abilitata. In questi casi, è possibile disabilitare temporaneamente Secure Boot, utilizzare ciò che serve e quindi riabilitarlo al termine.
Se installate Linux e nel BIOS avete selezionato "Altro sistema operativo", è frequente visualizzare messaggi o errori relativi alla modalità UEFI legacy. La soluzione di solito prevede la configurazione della modalità UEFI, mantenendo CSM disabilitato e, se mantenete Windows, verificando che il disco di sistema sia formattato in GPT e che le chiavi di Secure Boot siano caricate. Alcuni scenari Linux richiedono bootloader firmati; in caso contrario, la soluzione temporanea è avviare il sistema con Secure Boot disabilitato.
Computer portatili e PC all-in-one: con il computer spento, tieni premuto F2 durante l'accensione per accedere al BIOS/UEFI. Una volta dentro, passa alla modalità avanzata con F7 , vai su Sicurezza > Avvio protetto e regola il Controllo avvio protetto. Se non compare, controlla anche la scheda Avvio, in particolare il Tipo di sistema operativo (Windows UEFI o Altro sistema operativo).
MyASUS in UEFI: la navigazione è molto simile, cambia solo l'aspetto. Vai a Impostazioni avanzate, quindi a Sicurezza > Avvio protetto e abilita il controllo e la gestione dei tasti da Gestione tasti se lo stato rimane su Non attivo. Ricorda di salvare con F10.
Computer desktop: su alcuni modelli, il tasto per accedere è Canc (Del) . Cercare Avvio > Avvio protetto e, se la gestione delle chiavi è abilitata, impostare la modalità su Personalizzata per cancellare e installare le chiavi predefinite (Installa chiavi di avvio protetto predefinite). Verificare inoltre che CSM sia impostato su Disabilitato in modo che diventi attivo.
Controllo finale e risoluzione dei problemi
Dopo ogni modifica al BIOS, salva e riavvia. In Windows, riapri msinfo32 per verificare che la modalità BIOS sia impostata su UEFI e lo stato di Secure Boot su Abilitato. Se qualcosa va storto e il computer non si avvia, ripristina il firmware e disabilita temporaneamente Secure Boot oppure ripristina l'ultima impostazione per ripristinare la funzionalità.
Errori tipici che rivelano il problema: se il messaggio "Non attivo" persiste, mancano delle chiavi; se non vedi l'interruttore di Secure Boot, sei in modalità base e devi passare alla modalità avanzata; se Windows non si avvia dopo la conversione a GPT, il firmware potrebbe essere ancora in modalità CSM/Legacy anziché UEFI. La regolazione di questi tre punti risolve quasi sempre il problema.
Consultate sempre la documentazione del produttore. Sebbene l'obiettivo sia lo stesso per tutte le marche, la terminologia e la procedura esatta variano. Non è raro che un'opzione denominata "Tipo di sistema operativo" sia quella che abilita o disabilita Secure Boot in background (Windows UEFI = attivo, Altro sistema operativo = inattivo).
• Verifica in msinfo32 di essere in modalità UEFI e controlla lo stato di Secure Boot. Se sei in modalità Legacy, converti in GPT e cambia in UEFI nel firmware.
• Disabilitare CSM nel BIOS. Impostare il tipo di sistema operativo su Windows UEFI e abilitare Secure Boot. Se richiesto, installare le chiavi predefinite o ripristinarle tramite Gestione chiavi.
• Se lo stato mostra "Non attivo", ripristinare la modalità di configurazione e reinstallare i tasti di fabbrica. Sui computer desktop, potrebbe essere necessario passare alla modalità personalizzata per gestire i tasti. Ricordarsi di salvare con F10.
• Se utilizzi Windows 11, usa TPM 2.0 e tieni presente BitLocker: annota la chiave di ripristino prima di modificare il firmware. In caso di problemi, annulla l'ultima modifica e riprova.
Con UEFI, GPT e CSM disabilitati e le chiavi di fabbrica caricate, Secure Boot sarà operativo e il computer avvierà solo software attendibile. Vale la pena verificare questa impostazione, soprattutto dopo un aggiornamento del BIOS, perché a volte queste modifiche ripristinano i parametri di avvio o eliminano il database delle chiavi. Una volta compresa la procedura (msinfo32 per la diagnostica, mbr2gpt se necessario, impostazioni in Sicurezza/Avvio e gestione delle chiavi), riattivare Secure Boot richiede solo pochi minuti e offre maggiore sicurezza senza compromettere le prestazioni.
