Negli ultimi giorni Microsoft ha annunciato un cambiamento significativo nella gestione delle firme dei driver kernel, una decisione che va a toccare un meccanismo nato nei primi anni 2000 e rimasto in parte operativo anche dopo essere stato ufficialmente dismesso nel 2026. In pratica, il vecchio meccanismo di firma incrociata non sarà più considerato accettabile dal kernel nelle nuove impostazioni di default: la mossa punta a ridurre la superficie d’attacco del sistema operativo agendo direttamente sul livello più profondo dell’esecuzione.
La novità operativa è semplice da riassumere: da aprile il kernel di Windows caricherà per default solo i driver firmati tramite il Windows Hardware Compatibility Program (WHCP). Per non rompere la compatibilità immediata, Microsoft manterrà una lista esplicita di driver legacy già verificati che continueranno a funzionare, ma ogni driver nuovo dovrà ottenere la firma WHCP.
La modifica è prevista per Windows 11 24H2, 25H2, 26H1, per Windows Server 2026 e per tutte le versioni future dei client e server Windows.
Perché questo cambiamento è cruciale
Il punto centrale è la natura dei driver kernel: questi componenti operano con privilegi elevati, hanno accesso diretto all’hardware e alla memoria e quindi possono alterare profondamente il comportamento del sistema. Un driver compromesso può consentire il furto di dati, l’installazione di rootkit o l’elusione di soluzioni di sicurezza. Rendere il caricamento più rigoroso significa ridurre il rischio che certificati ormai obsoleti o emessi da canali non più monitorati consentano code malevole di raggiungere il kernel. In altre parole, è un intervento mirato a rafforzare la integrità del runtime del sistema operativo.
Impatto sulla sicurezza e sulla fiducia
Oltre al rischio tecnico, c’è un elemento di fiducia: continuare a fare affidamento su certificati ventennali aumenta la probabilità di vulnerabilità non rilevate. Con la transizione al WHCP Microsoft cerca di spostare tutti i produttori verso un processo di certificazione centralizzato e aggiornato, dove i controlli sulla qualità, la stabilità e la sicurezza sono più coerenti. Questo non significa l’eliminazione immediata di ogni driver legacy, ma una chiusura della porta ai nuovi payload firmati con il vecchio schema che non passano per l’attuale programma di compatibilità.
Modalità di attuazione: graduale e osservata
Microsoft adotterà un approccio prudente: la nuova politica entrerà in una modalità di valutazione iniziale che permetterà di monitorare l’impatto sui dispositivi in campo e identificare problemi di compatibilità prima di applicare la restrizione in modo coercitivo.
L’azienda raccoglierà dati di telemetria da dispositivi con Windows 11 e Windows Server 2026 basandosi su errori, metriche di performance e modalità d’uso per calibrare il deploy. Questo approccio data-driven riduce la probabilità di interruzioni improvvise in ambienti produttivi.
Strumenti per le aziende
Per le organizzazioni che hanno driver personalizzati o che non possono migrare immediatamente, Microsoft offre la possibilità di utilizzare la policy Application Control for Business (ex WDAC) per sovrascrivere la politica predefinita del kernel. Questo permette di mantenere funzionalità legacy in ambienti controllati senza rinunciare all’applicazione centralizzata delle regole in produzioni vaste. In pratica, le aziende dovranno pianificare testing, aggiornamenti dei fornitori e eventuali eccezioni gestite tramite policy per evitare fermi macchina.
Un cambiamento nel più ampio contesto Windows e hardware
Questa misura arriva in un momento in cui l’ecosistema Windows è sotto osservazione per vari motivi: dalla frammentazione degli strumenti di sviluppo all’esigenza di unificare standard, fino alle pressioni del mercato hardware. Ad esempio, i produttori di PC stanno affrontando dinamiche di prezzo delle memorie che influenzano le spedizioni e i cicli di aggiornamento degli utenti; al contempo, il processo di migrazione verso Windows 11 continua a sostenere un ricambio hardware che può facilitare l’adozione di driver firmati WHCP. In sostanza, la novità tecnica di Microsoft si inserisce in una transizione più ampia che riguarda sicurezza, sviluppo e supply chain.
Per prepararsi, sviluppatori e responsabili IT dovrebbero verificare lo stato delle firme dei driver, pianificare la conversione al WHCP quando necessario e sfruttare gli strumenti di controllo offerti da Microsoft per le eccezioni temporanee. La strada scelta è volta a ridurre rischi concreti al livello più critico del sistema operativo, pur mantenendo meccanismi di mitigazione per garantire continuità operativa.
