In questo articolo Indice dei contenuti 2 sezioni
L’integrità della memoria su Windows 11 smetterà presto di essere una funzione che molti hanno senza saperlo e che altrettanti non hanno mai visto attivarsi. Microsoft ha deciso di forzare la mano: a partire dal mese di ottobre, gli aggiornamenti qualitativi cominceranno ad accenderla in automatico sui computer compatibili, andando a recuperare tutte quelle macchine rimaste indietro nonostante avessero già i requisiti giusti. E dove serve, il sistema potrà attivare anche la sicurezza basata sulla virtualizzazione, il presupposto tecnico senza il quale questa protezione del kernel non può funzionare.
Non è una novità assoluta, anzi. La funzione esiste dai tempi di Windows 10 ed è già attiva di default sulla stragrande maggioranza dei PC recenti. Il problema riguarda il parco macchine aggiornato negli anni, passato di versione in versione, che per un motivo o per l’altro è sfuggito alle maglie della rete.
Come funziona HVCI e perché Microsoft ci tiene tanto
Il nome tecnico è HVCI, e il meccanismo è meno esoterico di quanto sembri. L’idea è usare la virtualizzazione hardware per isolare una parte dei controlli di sicurezza del sistema operativo, mettendoli al riparo in una specie di stanza blindata. Prima che un driver o una qualsiasi porzione di codice possa girare a livello di kernel, Windows verifica che rispetti le regole di integrità previste. Se non le rispetta, non passa.
Il vantaggio pratico è quello di tagliare le gambe a una categoria di attacchi piuttosto diffusa, quella che sfrutta driver vulnerabili o già compromessi per arrivare ai privilegi più alti della macchina. Un driver firmato ma bacato, in mano alla persona sbagliata, vale più di mille exploit sofisticati. Con l’integrità della memoria attiva, quella scorciatoia si chiude.
I requisiti restano quelli noti e non sono proibitivi: processore abbastanza recente, almeno 8 GB di RAM sui sistemi x64, un SSD da minimo 64 GB, virtualizzazione abilitata e driver compatibili. Le installazioni pulite di Windows 11 su hardware un po’ più datato già rispettano questi criteri e attivano la protezione senza che nessuno debba muovere un dito. L’intervento di ottobre, quindi, riguarda soprattutto i computer trascinati avanti negli anni a colpi di aggiornamento.
Attivazione graduale, con la possibilità di tornare indietro
Nella maggior parte dei casi l’utente non si accorgerà di nulla. Il rischio, però, esiste e Microsoft lo mette nero su bianco: se una periferica o un programma si appoggia ancora a un driver vecchio, incompatibile con le restrizioni imposte da HVCI, Windows potrebbe semplicemente rifiutarsi di caricarlo. Risultato, l’hardware collegato smette di funzionare come dovrebbe. Nei casi peggiori la faccenda può arrivare a toccare l’avvio stesso del PC.
Proprio per questo l’attivazione non sarà indiscriminata. Prima di procedere, il sistema valuterà la configurazione hardware della macchina, la compatibilità dei driver installati e l’impatto previsto sulle prestazioni. Una specie di controllo preliminare che serve a evitare di rompere qualcosa in nome della sicurezza.
E se qualcosa dovesse andare storto lo stesso, è previsto un piano B. Windows potrà fare marcia indietro da solo, disattivando HVCI per permettere al computer di ripartire normalmente. Un meccanismo di sicurezza sulla sicurezza, se si vuole.
C’è poi un aspetto che farà piacere a chi gestisce parchi macchine aziendali o a chi ha semplicemente le idee chiare sulle proprie impostazioni. Microsoft ha dichiarato che rispetterà le scelte già fatte: se l’integrità della memoria è stata disattivata volontariamente da un utente o da un amministratore, il rilascio di ottobre non andrà a rimettere le mani su quella preferenza. Chi ha detto no, insomma, resta con il suo no.
