Domande frequenti sul processo di aggiornamento di avvio protetto

Dopo la scadenza dei certificati Secure Boot, i dispositivi che non hanno ricevuto i certificati 2023 più recenti continueranno ad avviarsi e funzionare normalmente e gli aggiornamenti standard di Windows continueranno a essere installati. Tuttavia, questi dispositivi non potranno più ricevere nuove protezioni di sicurezza per il processo di avvio anticipato, inclusi aggiornamenti a Windows Boot Manager, database di avvio protetto, elenchi di revoche o mitigazioni per le vulnerabilità a livello di avvio appena individuate.

Nel corso del tempo, questo limita la protezione del dispositivo contro le minacce emergenti e può influire sugli scenari che si basano sull'attendibilità dell'avvio protetto, ad esempio la protezione avanzata di BitLocker o i bootloader di terze parti. La maggior parte dei dispositivi Windows riceverà automaticamente i certificati aggiornati e molti OEM hanno fornito aggiornamenti del firmware quando necessario. Mantenere il dispositivo aggiornato con questi aggiornamenti garantisce che possa continuare a ricevere il set completo di protezioni di sicurezza che l'avvio protetto è progettato per fornire.

È consigliabile aggiornare i certificati di avvio protetto ben prima della data di scadenza di giugno 2026.

Se il dispositivo è gestito da Microsoft e condivide i dati di diagnostica con Microsoft, Microsoft tenterà di aggiornare automaticamente i certificati di avvio protetto nella maggior parte dei casi. Anche se Microsoft farà del suo meglio per aggiornare l'avvio protetto, in alcune situazioni non è garantito l'applicazione dell'aggiornamento e sarà necessario l'intervento del cliente. Il cliente è responsabile in ultima istanza dell'aggiornamento dei certificati di avvio protetto.

Esempi di situazioni in cui i dispositivi gestiti da Microsoft con dati di diagnostica abilitati potrebbero non ricevere aggiornamenti includono:

• Gli aggiornamenti di Microsoft Secure Boot si applicano solo ad alcune versioni di Windows in-support.
• I dati di diagnostica abilitati nel dispositivo potrebbero essere bloccati da un firewall nell'organizzazione e non raggiungere Microsoft.
• Potrebbe esserci un problema con il firmware del dispositivo.

Avvertenza Che cosa significa essere "Gestito da Microsoft"? Il sistema condivide i dati di diagnostica ed è gestito da Microsoft Cloud o Intune.

Se il dispositivo non condivide dati di diagnostica con Microsoft ed è gestito dal reparto IT della tua organizzazione o dal cliente, il reparto IT può aggiornare i sistemi seguendo le indicazioni di Microsoft in Scadenza del certificato di avvio protetto di Windows e aggiornamenti della CA.

Se il computer è gestito da Microsoft, i certificati di avvio protetto vengono aggiornati tramite Windows Update.

Se il computer è gestito dall'amministratore IT dell'organizzazione o dell'azienda, il reparto IT dispone di metodi per aggiornare il sistema utilizzando le indicazioni della scadenza del certificato di avvio protetto di Windows e degli aggiornamenti della CA.

Il supporto per Windows 10 termina il 14 ottobre 2025. Per altre informazioni, vedi: Il supporto per Windows 10 termina il 14 ottobre 2025.

Per continuare a ricevere gli Aggiornamenti della sicurezza dopo questa data, i clienti che usano ancora Windows 10 possono iscriversi a:

• Programma di aggiornamenti di sicurezza estesa (ESU) di Windows 10, vedi Programma di aggiornamenti di sicurezza estesa (ESU) di Windows 10
• In alternativa, se hai una versione LTSC supportata di Windows 10, continuerà a ricevere gli aggiornamenti della sicurezza fino alla data di scadenza LTSC. Ad esempio, vedi Programma di aggiornamenti estesi della sicurezza (ESU) per Windows 10

Nota

• Windows 10 Enterprise LTSC è disponibile per l'acquisto come SKU autonomo o come parte di un abbonamento a Windows Enterprise E3.
• Windows IoT Enterprise LTSC può essere acquistato direttamente da un OEM o tramite una licenza fornitore come SKU autonomo.

I certificati di avvio protetto consentono al firmware di verificare che i componenti critici, ad esempio i boot manager, le ROM facoltative (driver del firmware) e altro software basato su firmware, siano attendibili e non manomessi. Microsoft usa questi certificati per firmare boot manager e altri componenti che devono essere considerati attendibili, nonché per gli aggiornamenti di avvio protetto. Quando i certificati meno recenti scadono, non possono più essere usati per firmare nuovi componenti o aggiornamenti.

I dispositivi con avvio protetto disabilitato non riceveranno i nuovi certificati di avvio protetto nel firmware. Di conseguenza, rimarranno vulnerabili al malware a livello di avvio, ad esempio i bootkit, perché le protezioni Secure Boot non vengono applicate.

Per i dispositivi idonei, ad esempio quelli che ricevono aggiornamenti cumulativi tramite la distribuzione basata sulla confidenza o quelli registrati in Controlled Feature Rollout (CFR) con i dati di diagnostica abilitati, Microsoft tenterà di aggiornare tutti i certificati applicabili. Tuttavia, questi aggiornamenti vengono forniti come assistenza, non garanzia. Gli amministratori IT rimangono responsabili di garantire che l'intero parco istanze sia aggiornato, utilizzando il CFR automatizzato di Microsoft e altri metodi di distribuzione documentati.

I certificati sono stati inclusi negli aggiornamenti cumulativi (LCU) del 13 maggio 2025 e successivi. Tuttavia, non vengono applicati automaticamente, sono necessari ulteriori passaggi. Per indicazioni sulla distribuzione, vedere https://aka.ms/getsecureboot.

Servono a scopi diversi.

Gli aggiornamenti del firmware possono aggiornare le variabili di avvio protetto predefinite archiviate nel firmware. Ciò è particolarmente utile se le impostazioni di avvio protetto vengono successivamente ripristinate ai valori predefiniti, perché le impostazioni predefinite del firmware determinano quali certificati vengono ripristinati in tale scenario.

Windows applica le modifiche alle variabili di avvio protetto attive che vengono applicate durante l'avvio normale. Queste variabili attive sono ciò che il firmware usa per convalidare i componenti di avvio e su cui Windows si basa per fornire future protezioni di avvio protetto.

In pratica, Windows è responsabile di mantenere aggiornata la configurazione di avvio protetto attiva. Gli aggiornamenti del firmware assicurano che vengano aggiornati anche i valori predefiniti, riducendo il rischio se l'avvio protetto viene reimpostato o reinizializzato in futuro.

Gli amministratori devono assicurarsi che le variabili di avvio protetto attive siano aggiornate e monitorare lo stato della distribuzione, indipendentemente dalla disponibilità o meno di aggiornamenti del firmware.

Ci sono due percorsi possibili:

• Se il computer è gestito da Microsoft con dati di diagnostica condivisi e il sistema operativo è supportato, Microsoft tenterà di eseguire l'aggiornamento.
• Se il dispositivo è gestito dal cliente o da un amministratore IT, il reparto IT può applicare gli aggiornamenti al set convalidato di computer in grado di eseguire in modo sicuro gli aggiornamenti in base alle indicazioni di Microsoft nella scadenza del certificato di avvio protetto di Windows e negli aggiornamenti della CA.

Questi passaggi dovrebbero soddisfare la maggior parte dei clienti senza richiedere un aggiornamento del firmware da parte degli OEM. Tuttavia, ci saranno alcuni casi in cui gli aggiornamenti non si applicano a causa di problemi noti o sconosciuti nel firmware del dispositivo. In questi casi, segui le indicazioni OEM sugli aggiornamenti del firmware.

Avvertenza Il processo precedente applica le variabili attive di avvio protetto tramite il sistema operativo. I valori predefiniti del firmware di avvio protetto vengono mantenuti nel firmware rilasciato dall'OEM. La guida è di non modificare o aggiornare la configurazione di avvio protetto a meno che l'OEM non abbia rilasciato un aggiornamento per modificare le impostazioni predefinite del firmware con i nuovi certificati.

Se i certificati scadono, la protezione Secure Boot è ridotta. Se il sistema soddisfa i requisiti per un sistema operativo più recente, ad esempio Windows 11, sarà possibile eseguire l'aggiornamento a una versione più recente del sistema operativo di Windows 11.

Se l'avvio protetto non è abilitato nei dispositivi Windows 10 LTSC, questi non sono inclusi nell'implementazione corrente dei nuovi certificati di avvio protetto. Quando si inizia l'aggiornamento a Windows 11 LTSC, sarà necessario seguire passaggi di migrazione specifici pertinenti in quel momento per garantire che i nuovi certificati 2023 siano inclusi.

Solo le versioni del sistema operativo Windows supportate riceveranno i certificati.

Per Windows in esecuzione in un ambiente virtuale, esistono due metodi per aggiungere i nuovi certificati alle variabili del firmware di avvio protetto:

• Il creatore dell'ambiente virtuale (AWS, Azure, Hyper-V, VMware e così via) può fornire un aggiornamento per l'ambiente e includere i nuovi certificati nel firmware virtualizzato. Questo funzionerebbe per i nuovi dispositivi virtualizzati.
• Per Windows in esecuzione a lungo termine in una macchina virtuale, gli aggiornamenti possono essere applicati tramite Windows come qualsiasi altro dispositivo, se il firmware virtualizzato supporta gli aggiornamenti di avvio protetto.

Questi ambienti gestiti dai clienti/IT spesso non dispongono di dati di diagnostica sufficienti per consentire a Microsoft di implementare le nuove funzionalità in modo sicuro e sicuro. Inoltre, i reparti IT in genere preferiscono mantenere il pieno controllo sui tempi e sui contenuti di aggiornamento per garantire la conformità, la stabilità e la compatibilità con gli strumenti e i flussi di lavoro interni. Molti dispositivi aziendali funzionano anche in ambienti sensibili o limitati in cui l'accesso o la gestione esterna, implicita nel CFR, può essere indesiderabile o vietata.

Se Windows usa già il boot manager firmato 2023, ma il firmware viene ripristinato a valori predefiniti che non includono il certificato Windows UEFI CA 2023, Secure Boot bloccherà il processo di avvio.

Per risolvere questo problema, è necessario riapplicare il certificato 2023 al DB del firmware utilizzando l'applicazione di ripristino. Questa operazione viene eseguita creando un'USB di ripristino, quindi avviando il dispositivo interessato da tale USB per ripristinare il certificato mancante.

Per istruzioni dettagliate, vedi le indicazioni ufficiali di Microsoft per l'aggiornamento dei supporti di installazione di Windows.

Sì. Gli aggiornamenti cumulativi che contengono i nuovi certificati di avvio protetto possono essere applicati anche se i certificati esistenti sono scaduti. Se il dispositivo può avviare Windows e installare gli aggiornamenti, i certificati aggiornati possono essere scritti nel firmware seguendo le indicazioni di distribuzione pubblicate. La maggior parte dei dispositivi riceverà automaticamente questi aggiornamenti, ma alcuni sistemi potrebbero richiedere ulteriori aggiornamenti del firmware.