L'ultimo dei vecchi certificati Secure Boot scade lunedì

La data è lunedì. Il 19 ottobre scade il certificato Microsoft Windows Production PCA 2011. È quello che firma il gestore di avvio di Windows, il piccolo pezzo di codice che parte prima di Windows e che Secure Boot ispeziona a ogni accensione del PC. Di questo passaggio avevamo scritto a luglio, dopo la scadenza a giugno dei primi due certificati del 2011. Questo è l'ultimo.

Lunedì mattina non succederà nulla di drammatico. Le indicazioni di Microsoft dicono che i PC interessati si avvieranno e funzioneranno normalmente e continueranno a ricevere i consueti aggiornamenti di Windows. Quello che perdono è più silenzioso: niente più aggiornamenti al gestore di avvio, niente nuove voci negli elenchi di revoca di Secure Boot, niente correzioni per le falle di avvio scoperte d'ora in poi. È proprio lo strato che dovrebbe fermare qualcosa come il bootkit BlackLotus, malware che si carica prima di Windows e quindi prima che qualunque antivirus si sia svegliato. Il PC non si rompe. Smette solo di ricevere un tipo preciso di riparazione.

Il controllo richiede meno di un minuto. Aprite Sicurezza di Windows, andate su Sicurezza dispositivo e poi su Avvio protetto. «Tutti gli aggiornamenti dei certificati richiesti sono stati applicati» significa che avete finito. «Configurazione di attendibilità di avvio precedente» significa che avete aggiornamenti da installare e un riavvio da fare. «Limitazioni hardware o firmware» rimanda al produttore del PC: cercate un aggiornamento del BIOS sulla sua pagina di assistenza. E se dice che Microsoft ha sospeso l'aggiornamento per un problema noto sul vostro modello, lasciate stare: quella pausa è voluta. Riguarda tutte le versioni di Windows 11, e Windows 10 solo se siete iscritti agli aggiornamenti di sicurezza estesi.

Il controllo della postura di sicurezza di Tendvane legge lo stesso stato di Secure Boot e BitLocker che legge Sicurezza di Windows, così vedete a che punto è il PC senza andare a cercare il menu.