Ciao a tutti, sono Federico Salis. Quando parliamo di minacce a livello UEFI, la situazione è sempre critica perché parliamo del cuore del vostro computer. Se il Secure Boot viene raggirato, l’intero sistema operativo non è più un ambiente sicuro. Vediamo subito come analizzare il problema e applicare le mitigazioni necessarie.

Come verificare e mettere in sicurezza il sistema

Livello Facile 🟢: Aggiornamenti di sistema e sicurezza base

Il primo passo fondamentale è assicurarsi che Windows abbia applicato le ultime patch di sicurezza rilasciate da Microsoft per revocare i bootloader vulnerabili.

• Apri le impostazioni di sistema premendo la combinazione di tasti Windows + I.
• Naviga su Impostazioni > Windows Update (o Aggiornamento e sicurezza > Windows Update).
• Clicca su Verifica disponibilità aggiornamenti e installa tutti i pacchetti di sicurezza cumulativi disponibili.
• Assicurati che la protezione basata sulla virtualizzazione sia attiva andando su Sicurezza di Windows > Sicurezza dispositivi > Dettagli isolamento core e attivando Integrità della memoria.

Livello Medio 🟡: Aggiornamento del BIOS/UEFI e revoca delle chiavi DBX

Poiché il problema risiede a livello di firmware, l’aggiornamento del sistema operativo potrebbe non bastare se la tabella delle chiavi revocate (DBX) del tuo UEFI non è aggiornata.

• Identifica la marca e il modello della tua scheda madre o del tuo notebook.
• Accedi al sito ufficiale del produttore nella sezione Supporto > Driver e Download.
• Scarica e installa l’ultima versione del BIOS/UEFI disponibile. I produttori rilasciano costantemente aggiornamenti della lista di revoca Secure Boot (DBX).
• Per riavviare direttamente nell’interfaccia UEFI, vai su Impostazioni > Sistema > Ripristino e seleziona Riavvia ora accanto a Avvio avanzato, quindi naviga su Risoluzione problemi > Opzioni avanzate > Impostazioni firmware UEFI.

Livello Avanzato 🔴: Verifica dello stato di Secure Boot e applicazione revoche da PowerShell

Se desideri verificare da riga di comando se il Secure Boot è attivo ed eseguire la mitigazione manuale per le firme DBX vulnerabili, puoi utilizzare PowerShell con privilegi da amministratore.

1. Verifica se il Secure Boot è attivo ed eseguito correttamente nel sistema:

Confirm-SecureBootUEFI

2. Controlla lo stato delle opzioni di mitigazione per la revoca dei bootloader vulnerabili registrati nel Registro di sistema:

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot"

3. Se necessario, forza l’aggiornamento della revocation list (DBX) tramite il comando di aggiornamento delle definizioni di Windows Defender:

Update-MPEngineSignature