Come rinnovare i certificati Secure Boot in Windows ed evitare problemi di sicurezza

Informatec Digital » Risorse » Come rinnovare i certificati di Secure Boot in Windows ed evitare problemi di sicurezza

Se utilizzi Windows 10 o Windows 11 e hai l'avvio protetto (Secure Boot) abilitato , sei direttamente interessato dalle modifiche ai certificati che Microsoft e i produttori di PC apporteranno da qui a giugno 2026. Non si tratta di una questione teorica: stiamo parlando del componente che convalida ciò che può essere eseguito sul tuo computer dal momento in cui premi il pulsante di accensione, e i cui certificati originali stanno per scadere.

Per anni abbiamo dato per scontato che il sistema fosse protetto fin dall'avvio, ma ora è giunto il momento di verificare che tutto sia pronto per il rinnovo del certificato Secure Boot . Microsoft, i produttori di apparecchiature originali (come Acer) e gli amministratori di sistema hanno già iniziato a lavorarci ed è importante capire cosa sta succedendo, le conseguenze dell'inazione e i passi pratici che si possono intraprendere, sia che siate utenti domestici o che gestiate un parco dispositivi in ​​un'azienda.

Perché i certificati Secure Boot scadono e cosa significa?

Il meccanismo Secure Boot basato su UEFI si affida a certificati digitali memorizzati nel firmware per determinare quale codice è affidabile durante l'avvio: boot loader, driver del firmware, componenti critici pre-sistema operativo, ecc. Questo modello è stato progettato attorno a una gerarchia di chiavi che stabilisce una catena di fiducia dal firmware a Windows.

All'interno di questa gerarchia troviamo, ad esempio, la Platform Key (PK) , che di solito proviene dall'OEM (come Acer), le Key Exchange Keys (KEK) di Microsoft e del produttore, e due database essenziali: il DB (firme consentite) e il DBX (firme revocate). Il DB include certificati e firme considerati affidabili, mentre il DBX viene aggiornato con gli elementi che devono essere bloccati perché non sicuri o compromessi.

I primi certificati Secure Boot rilasciati congiuntamente da Acer e Microsoft risalgono al 2011 e sono stati progettati per una durata approssimativa di 15 anni. Ciò significa che questi certificati iniziali scadranno a giugno 2026. Se il firmware del computer si basa ancora su di essi e non è stato aggiornato ai nuovi certificati del 2023, la protezione all'avvio diventerà obsoleta.

Con i certificati scaduti, il computer potrebbe comunque avviarsi ed eseguire Windows normalmente, ma il problema principale è che Microsoft non sarà in grado di applicare correttamente le nuove misure di sicurezza all'ambiente di avvio. Ciò include le protezioni contro i malware che si caricano prima del sistema, i tentativi di aggirare BitLocker e altri attacchi alla catena di fiducia iniziale.

Su macchine più vecchie o su sistemi non più supportati (come le installazioni di Windows 10 senza ESU), il rischio è quello di ritrovarsi con un ambiente di avvio funzionante, ma la cui superficie di attacco aumenta perché non riceve gli stessi aggiornamenti di sicurezza o non può sfruttare le moderne revoche DBX.

Contesto: fine del supporto per Windows 10, ascesa di Windows 11 e dipendenza da Secure Boot

L'annuncio della fine del supporto per Windows 10 ha spinto milioni di utenti ad aggiornare a Windows 11 per evitare di perdere le patch di sicurezza. Oggi, la quota di mercato si è chiaramente spostata verso Windows 11, con circa il 63% rispetto al 35% di Windows 10, in gran parte a causa della pressione derivante dalla fine del supporto.

Sebbene alcune installazioni di Windows 10 utilizzino ancora canali speciali come LTSC o i programmi di aggiornamenti di sicurezza estesi (ESU) , la realtà è che la maggior parte degli utenti dovrà convivere con Windows 11 o, quantomeno, con distribuzioni Linux se desidera rimanere ben protetto. Ma questo non significa che Windows 11 sia impenetrabile: la validità dei certificati di avvio protetto (Secure Boot) diventa ora un fattore determinante.

Per Windows 11, Secure Boot non è un optional, ma un requisito per l'installazione nella maggior parte degli scenari supportati. Microsoft insiste nel mantenerlo attivo non solo per motivi di sicurezza generale, ma anche perché molte misure di protezione si basano su questa catena di fiducia. Persino nel mondo dei videogiochi, è sempre più comune che i titoli moderni (come la serie Battlefield e altri giochi AAA) richiedano l'attivazione di Secure Boot per poter funzionare.

L'ultimo pacchetto di aggiornamenti di sicurezza per Windows 11 include la rotazione dei certificati di Avvio protetto (Secure Boot) in scadenza a giugno 2026. Molti utenti riceveranno questi certificati automaticamente tramite Windows Update, senza dover cercare manualmente file o pacchetti.

Per i computer desktop o portatili acquistati a partire dal 2024-2025, i produttori OEM hanno già integrato i certificati UEFI CA 2023 direttamente nel firmware, quindi questi computer sono pronti fin dalla fabbrica e tutto ciò che devi fare è mantenere Windows aggiornato e non disabilitare Secure Boot inutilmente.

Cosa succede se non si rinnovano i certificati Secure Boot?

Una domanda molto frequente è se il PC smetterà di avviarsi al raggiungimento della data di scadenza. La risposta, per la maggior parte degli utenti, è che il computer continuerà ad accendersi e a funzionare normalmente. Sarà possibile aprire le applicazioni, navigare in internet e utilizzare il sistema operativo proprio come si fa ora.

Il vero problema è più subdolo: un computer con certificati Secure Boot scaduti potrebbe smettere di ricevere o applicare correttamente determinati aggiornamenti che richiedono questa nuova catena di fiducia. Alcuni miglioramenti critici alla sicurezza a livello di avvio potrebbero non essere installati, creando vulnerabilità che gli aggressori potrebbero sfruttare.

Inoltre, questi rinnovi dei certificati sono progettati per affrontare le vulnerabilità moderne nell'ambiente precedente al sistema operativo. Se la base di certificati non viene aggiornata, il PC può diventare un bersaglio più facile per malware bootkit, rootkit persistenti o strumenti progettati per aggirare meccanismi come BitLocker nelle primissime fasi di avvio.

C'è un altro scenario da considerare: alcune applicazioni, soprattutto in ambienti aziendali o ad alta sicurezza, potrebbero richiedere che Secure Boot sia operativo e aggiornato . Se i controlli interni rilevano certificati scaduti, potrebbero non avviarsi o avere funzionalità limitate, con conseguente impatto sulla produttività.

Pertanto, la raccomandazione di Microsoft è chiara: mantenete sempre Secure Boot abilitato e aggiornato , installate gli ultimi aggiornamenti di Windows 11 o, nel caso di Windows 10 con ESU, applicate tutte le patch di sicurezza e assicuratevi di avere la versione più recente del firmware/BIOS disponibile per ogni computer.

Come verificare lo stato dei certificati Secure Boot in Windows

Per scoprire se il tuo computer ha già adottato i nuovi certificati Secure Boot , puoi eseguire un rapido controllo tramite PowerShell. Microsoft offre un comando che analizza il contenuto del database delle firme di Secure Boot (db) e cerca in particolare la presenza di Windows UEFI CA 2023.

Con PowerShell aperto con privilegi di amministratore, puoi eseguire qualcosa di equivalente a:

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Se il comando restituisce True , significa che il computer sta già utilizzando il nuovo certificato UEFI 2023 ed è protetto dalla scadenza dei certificati originali del 2011. In tal caso, non c'è bisogno di preoccuparsi, se non di continuare ad applicare i normali aggiornamenti di Windows e del firmware non appena disponibili.

Al contrario, se l'espressione restituisce False , la macchina si basa ancora su certificati che scadono a giugno 2026. In tal caso, è consigliabile verificare innanzitutto se Secure Boot è effettivamente abilitato nel BIOS/UEFI e quindi forzare o facilitare l'installazione degli aggiornamenti necessari tramite Windows Update o attraverso l'apposita configurazione negli ambienti gestiti.

Per verificare che Secure Boot sia abilitato, è possibile utilizzare lo strumento Informazioni di sistema con il comando msinfo32 . Nella finestra che si apre, controllare il campo corrispondente a "Stato di Secure Boot": se viene visualizzato "Abilitato", la funzionalità è attiva; se viene visualizzato "Disabilitato" o "Non supportato", sarà necessario accedere alle impostazioni UEFI della scheda madre o del portatile per abilitarla, a condizione che l'hardware lo consenta.

Se, dopo aver controllato msinfo32 e il comando PowerShell, il certificato 2023 non viene ancora visualizzato, il passo successivo logico è Windows Update . Verifica la presenza di aggiornamenti in sospeso, in particolare quelli classificati come aggiornamenti di sicurezza o del firmware. Su molti computer, è sufficiente installare questi pacchetti e riavviare il sistema per applicare automaticamente il rinnovo del certificato.

Aggiornamento manuale dei certificati Secure Boot sui singoli computer

Esistono casi in cui, nonostante l'avvio protetto (Secure Boot) sia abilitato e Windows Update sia in esecuzione, l'aggiornamento del database dei certificati non viene applicato automaticamente. Per queste situazioni, Microsoft descrive un metodo per forzare la segnalazione dell'aggiornamento tramite il Registro di sistema di Windows.

La procedura standard prevede la creazione o la modifica del valore AvailableUpdates nel ramo del registro dedicato a Secure Boot. In PowerShell con privilegi di amministratore, è possibile utilizzare un comando simile al seguente:

reg add HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

È importante notare che quando si incolla questo comando in PowerShell, è necessario sostituire le barre "/" nel percorso del registro con le normali barre rovesciate di Windows affinché il comando funzioni correttamente. Una volta creato o modificato questo valore, Windows dovrebbe rilevare la disponibilità di aggiornamenti dei certificati e applicarli dopo il successivo ciclo di Windows Update e il riavvio.

Prima di modificare il Registro di sistema, è consigliabile assicurarsi che il sistema soddisfi i requisiti di base: avvio protetto (Secure Boot) abilitato nel BIOS, una versione di Windows supportata (principalmente Windows 11 o Windows 10 con ESU) e il servizio Windows Update in esecuzione. Qualsiasi modifica errata al Registro di sistema può causare problemi, quindi è consigliabile avere un backup o un punto di ripristino del sistema.

Una volta completata la procedura e dopo uno o più riavvii, è possibile eseguire nuovamente il comando PowerShell che cerca "Windows UEFI CA 2023" nel database di Secure Boot. Se questa volta la risposta è True, il computer ora funziona con i certificati rinnovati e le future misure di sicurezza all'avvio possono essere applicate senza problemi.

Monitoraggio avanzato: eventi, registrazione e WMI per gli amministratori

Negli ambienti aziendali, Microsoft raccomanda di andare ben oltre la semplice verifica manuale con un paio di comandi. Per capire a che punto si trova ciascun team in merito agli aggiornamenti dei certificati di Secure Boot , è fondamentale esaminare gli eventi di sistema e raccogliere informazioni dettagliate utilizzando PowerShell, il registro di sistema e le query WMI/CIM.

Un primo passo consiste nell'esaminare gli eventi Secure Boot più recenti , in particolare gli identificativi 1801 e 1808. Questi eventi sono documentati nei log associati agli aggiornamenti del database Secure Boot (db) e del database di revoca (DBX). L'analisi degli eventi più recenti aiuta a determinare se sono presenti aggiornamenti in sospeso, errori dell'applicazione o stati di successo.

Inoltre, si raccomanda di effettuare un inventario dettagliato dei dispositivi in ​​tutta l'organizzazione. È possibile utilizzare script PowerShell per raccogliere parametri come il nome del computer (HostName, ad esempio $env:COMPUTERNAME) e la data e l'ora di raccolta (Get-Date), fornendo un quadro chiaro del parco apparecchiature in un determinato momento.

Nel Registro di sistema sono presenti diverse chiavi particolarmente rilevanti. Una di queste è la chiave principale di Secure Boot, situata in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot , dove è possibile valutare valori come SecureBootEnabled, HighConfidenceOptOut e AvailableUpdates. Questi dati indicano se Secure Boot è attivo, se il dispositivo ha aderito a determinate policy di attendibilità e se sono disponibili aggiornamenti dei certificati.

D'altra parte, esiste il ramo di manutenzione in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing , che contiene parametri come UEFICA2023Status, WindowsUEFICA2023Capable e UEFICA2023Error. Questi valori indicano se il dispositivo è in grado di adottare i nuovi certificati UEFI CA 2023, se li ha applicati e se si sono verificati errori durante il processo.

Anche la sezione degli attributi del dispositivo, HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes , risulta utile. Questa sezione memorizza dati come OEMManufacturerName, OEMModelSystemFamily, OEMModelNumber, FirmwareVersion, FirmwareReleaseDate, OSArchitecture e CanAttemptUpdateAfter. Queste informazioni aiutano a confrontare la compatibilità del firmware con lo stato degli aggiornamenti di Secure Boot.

Per quanto riguarda i registri eventi, è consigliabile raccogliere indicatori come il LatestEventId associato a Secure Boot, il BucketID e il livello di attendibilità estratto dagli eventi 1801/1808, nonché i contatori Event1801Count e Event1808Count. Grazie a questi dati di telemetria, i team IT possono individuare schemi, errori ricorrenti o dispositivi che non riescono a completare correttamente gli aggiornamenti dei certificati.

Infine, ulteriori dettagli di sistema vengono ottenuti tramite query WMI/CIM : versione di Windows (Get-CimInstance Win32_OperatingSystem per OSVersion e LastBootTime), produttore e prodotto della scheda madre (Get-CimInstance Win32_BaseBoard), produttore e modello del computer (Get-CIMInstance Win32_ComputerSystem).Manufacturer e .Model) e dati del BIOS (Get-CIMInstance Win32_BIOS per descrizione e data di rilascio). Tutto ciò consente di correlare le versioni del firmware, l'hardware e lo stato di Secure Boot all'interno di un unico inventario.

Ambienti gestiti da Intune e dispositivi gestiti dall'IT

Per le organizzazioni che utilizzano Intune o altre soluzioni MDM per gestire i propri dispositivi Windows, la questione chiave è se sia sufficiente lasciare che Windows Update svolga il suo lavoro o se siano necessari ulteriori interventi in vista del 2026. Microsoft ha indicato che, negli ambienti gestiti, a condizione che i dati di diagnostica siano abilitati almeno al livello "Obbligatorio", gli aggiornamenti necessari verranno distribuiti automaticamente.

In pratica, questo significa che se i criteri di Intune consentono già la telemetria e le opzioni di aggiornamento sono configurate correttamente, si può stare tranquilli. Ciononostante, molti amministratori si chiedono se sia necessario creare manualmente determinate chiavi di registro, come MicrosoftUpdateManagedOptIn, o se queste vengano configurate automaticamente quando il dispositivo soddisfa i requisiti.

Microsoft ha pubblicato una documentazione specifica che indica che la chiave MicrosoftUpdateManagedOptIn , situata in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot, deve essere impostata su 1 sui dispositivi con aggiornamenti gestiti dal reparto IT affinché il rinnovo automatico dei certificati funzioni correttamente. In alcuni casi, questa chiave può essere configurata automaticamente, ma in altri potrebbe essere necessario imporla tramite criteri di gruppo.

Si raccomanda pertanto di rivedere i criteri di Intune relativi alla diagnostica e agli aggiornamenti, verificare lo stato effettivo dei computer utilizzando script di inventario e, se necessario, implementare un criterio di configurazione che garantisca che MicrosoftUpdateManagedOptIn abbia il valore appropriato e che i rami di manutenzione riflettano la compatibilità con UEFI CA 2023.

È altrettanto importante non presumere ciecamente che "nel 2026 non ci sarà bisogno di fare nulla". Sebbene Microsoft automatizzi gran parte del processo, ogni organizzazione ha le sue caratteristiche specifiche: dispositivi con firmware obsoleto, computer che non si connettono regolarmente, policy di rete restrittive o macchine con aggiornamenti rimandati. Un piano di convalida proattivo previene sorprese dell'ultimo minuto.

Ruolo degli OEM e aggiornamenti BIOS/firmware

I produttori di computer e schede madri, come Acer, svolgono un ruolo cruciale in tutto questo processo. Controllano la Platform Key (PK) e alcune delle KEK presenti nel firmware, nonché le versioni del BIOS/UEFI che determinano il modo in cui i database Secure Boot DB e DBX vengono caricati e gestiti.

Secondo Acer, l'azienda prevede di rilasciare aggiornamenti del BIOS specifici per i laptop e i desktop interessati nel primo trimestre del 2026. Queste versioni includono i file PK, KEK e DB aggiornati con le certificazioni del 2023, in modo che, dopo l'applicazione dell'aggiornamento del BIOS, il computer risulti conforme alla nuova catena di fiducia Secure Boot.

È probabile che altri produttori adottino strategie simili, pertanto gli amministratori IT e gli utenti esperti dovrebbero prestare molta attenzione alle note di supporto dei rispettivi produttori . In molti casi, la procedura prevede il download di un nuovo BIOS dal sito Web del produttore o la sua ricezione tramite strumenti proprietari (come le utility di aggiornamento automatico) e l'applicazione dell'aggiornamento seguendo le istruzioni standard.

Per i computer rilasciati nel 2024 o nel 2025, il BIOS in genere include le chiavi del BIOS del 2023 di fabbrica, oppure riceve tale aggiornamento poco dopo l'acquisto. Se hai acquistato il tuo PC in quegli anni, probabilmente disponi già dei certificati aggiornati ; ciononostante, è sempre consigliabile effettuare una verifica tramite PowerShell per conferma.

Nel caso di infrastrutture distribuite, data center o grandi flotte di laptop, potrebbe essere necessario coordinare un piano di implementazione graduale del firmware con gli OEM , evitando di applicare aggiornamenti BIOS critici a tutti i dispositivi contemporaneamente senza test preliminari. Questo approccio è integrato nella gestione del ciclo di vita crittografico e del firmware che molte aziende già implementano.

Le migliori pratiche di sicurezza informatica per Secure Boot

Il rinnovo dei certificati Secure Boot non è un evento isolato, ma parte integrante della gestione del ciclo di vita crittografico dell'organizzazione . Pianificare la rotazione di chiavi e certificati, verificare l'effettivo utilizzo nell'ambiente e mantenere i controlli di integrità nel firmware e nel TPM riduce la probabilità che qualcuno manometta il sistema durante le fasi iniziali di avvio.

A questo proposito, è consigliabile combinare i controlli di avvio con altri livelli di protezione: crittografia del disco tramite BitLocker , sistemi di rilevamento e risposta (EDR/XDR), monitoraggio delle modifiche al firmware e alla configurazione e verifiche periodiche delle policy di sicurezza di Windows e dell'hardware. Tutto ciò contribuisce a impedire che un singolo errore in un livello comprometta l'intero sistema.

Le aziende specializzate in sicurezza informatica e penetration testing possono apportare valore aggiunto eseguendo valutazioni della catena di avvio , simulando attacchi al firmware, all'UEFI e allo stesso Secure Boot, e verificando che le difese si comportino come previsto. Questi servizi spesso includono anche raccomandazioni per automatizzare e orchestrare gli aggiornamenti.

Nelle organizzazioni con infrastrutture altamente distribuite, sfruttare i servizi cloud come Azure o AWS per configurare canali di distribuzione e una gestione centralizzata degli aggiornamenti può semplificare il controllo di patch, certificati e firmware. Inoltre, l'utilizzo di dashboard in Power BI e di analisi telemetrica aiuta a dare priorità ai dispositivi che richiedono un intervento urgente.

L'utilizzo di strumenti di intelligenza artificiale e di sistemi di rilevamento delle anomalie focalizzati sugli eventi di avvio e sul comportamento del firmware sta diventando sempre più comune. Questi sistemi sono in grado di individuare schemi insoliti nei log di Secure Boot, riavvii anomali o modifiche alle configurazioni UEFI che potrebbero indicare un tentativo di attacco o una configurazione errata.

A livello operativo, alcuni consigli di base includono: controllare periodicamente lo stato di Windows Update e della sicurezza nel Centro sicurezza di Windows, richiedere il firmware ufficiale ai produttori per i computer che non si aggiornano automaticamente, testare gli aggiornamenti in laboratorio prima della distribuzione su larga scala e mantenere inventari aggiornati e sistemi di gestione delle patch ben configurati.

Combinando queste pratiche con il corretto rinnovo dei certificati Secure Boot si contribuisce a mantenere una solida posizione di sicurezza, riducendo le finestre di esposizione e facilitando i futuri audit, sia interni che esterni.

In sintesi, la scadenza dei certificati Secure Boot a giugno 2026 rende essenziale rivedere la configurazione e l'aggiornamento dei nostri sistemi, sia a casa che nelle grandi organizzazioni: assicurarsi che Secure Boot sia attivo , verificare la presenza della CA UEFI 2023 di Windows tramite PowerShell, convalidare le chiavi di registro e gli eventi, coordinarsi con gli OEM per applicare il firmware più recente e sfruttare le funzionalità di Intune, WSUS, SCCM o soluzioni MDM per automatizzare le implementazioni fa la differenza tra un ambiente che rimane protetto dalle moderne minacce di avvio e uno che, pur apparendo normale, accumula rischi silenziosi difficili da individuare a prima vista.