I portatili con Snapdragon X sono apprezzati per la lunga autonomia, e molti sono venduti come Copilot+ PC. Di serie sono già ben protetti: accesso con Windows Hello e, spesso, crittografia già attiva. Una password senza la quale Windows non si avvia nemmeno resta comunque utile.
Vediamo cosa protegge un portatile ARM di serie, dove sono i punti deboli e come aggiungere una password prima dell’avvio.
Cosa sono i portatili Windows on ARM
I processori Snapdragon X usano l’architettura ARM, non x86/x64 come i soliti chip Intel e AMD. Su di essi gira una versione a 64 bit di Windows 11 per ARM. I programmi comuni funzionano in versione ARM nativa oppure tramite l’emulazione integrata.
Diverso il discorso per il software che lavora all’avvio del sistema: l’emulazione non aiuta, deve essere scritto apposta per ARM. Per questo, quando scegli una protezione all’avvio per un portatile del genere, verifica che supporti Windows on ARM.
Copilot+ PC è il nome che Microsoft dà ai portatili con un processore dedicato all’intelligenza artificiale (NPU). I primi modelli avevano Snapdragon X, ma oggi esistono Copilot+ PC anche con Intel e AMD. Qui parliamo dei modelli ARM.
Quali protezioni ci sono già
Windows Hello
Accesso con il volto, l’impronta digitale o un PIN. È comodo e più sicuro di una password corta, ma protegge solo l’accesso a Windows.
Crittografia dispositivo e BitLocker
Sui portatili nuovi la crittografia del disco di sistema è spesso già attiva: su Windows Home si chiama Crittografia dispositivo, su Pro è BitLocker. Spesso, ma non sempre: dipende dall’edizione di Windows e da come è stato configurato il portatile alla prima accensione.
Controlla tu stesso:
- Apri Impostazioni > Privacy e sicurezza > Crittografia dispositivo. Su Pro trovi le impostazioni di BitLocker anche cercando nel menu Start.
- Verifica che la crittografia sia attiva.
- Trova la chiave di ripristino. Di solito viene salvata nell’account Microsoft. Conservane una copia lontano dal portatile: senza la chiave, dopo un aggiornamento del firmware o una sostituzione dell’hardware puoi perdere l’accesso ai dati.
Secure Boot
Secure Boot è attivo di serie: il firmware avvia solo bootloader con una firma attendibile. Protegge la catena di avvio dalle manomissioni, quindi lascialo attivo.
Perché una password prima di Windows serve comunque
Windows Hello e la password di Windows proteggono l’accesso, non l’avvio. Con la normale configurazione della Crittografia dispositivo, il disco si sblocca da solo all’accensione e Windows arriva fino alla schermata di blocco. Chi prende il portatile ha davanti un sistema già avviato, e tutto dipende dalla schermata di accesso.
Una password all’avvio aggiunge un’altra barriera:
- senza la password Windows non parte, e un estraneo non vede nemmeno la schermata di accesso;
- la password viene chiesta anche se il disco viene installato in un altro computer o il programma viene disinstallato;
- nella modalità nascosta la richiesta della password non compare, e il portatile sembra bloccato;
- la password UEFI non c’è su tutti i modelli ARM, mentre la password all’avvio si imposta da Windows e non dipende dalle voci del menu del firmware.
Disk Password Protection 5.6 su un portatile ARM
Disk Password Protection chiede una password prima che si avvii il sistema operativo. Dalla versione 5.6 il programma è adatto ai portatili Snapdragon:
- supporta Windows on ARM a 64 bit;
- i moduli UEFI sono firmati con il certificato Microsoft UEFI CA 2023, richiesto dai computer nuovi, quindi Secure Boot resta attivo;
- sui sistemi UEFI il modulo di protezione all’avvio è compatibile con BitLocker, quindi non serve disattivare la Crittografia dispositivo;
- la password viene verificata con PBKDF2, che rallenta molto i tentativi di indovinarla per forza bruta.
Attenzione ai Secured-core PC. Su alcuni portatili, soprattutto sui Secured-core PC (e molti Copilot+ PC lo sono), il firmware UEFI di serie non si fida dei moduli di terze parti firmati con la Microsoft UEFI CA. In questo caso, prima di installare la protezione all’avvio, devi attivare nelle impostazioni UEFI l’opzione che consente la CA UEFI di Microsoft per terze parti: il nome dipende dal produttore. Secure Boot resta attivo. Se non trovi questa opzione, chiedi al produttore. Prova prima la protezione sul tuo dispositivo e tieni a portata di mano la chiave di ripristino di BitLocker: se la Crittografia dispositivo è attiva, anche una modifica alle impostazioni UEFI può far comparire la schermata di ripristino di BitLocker.
Trovi i dettagli nella notizia sull’uscita di Disk Password Protection 5.6.
Come impostare la password all’avvio
- Scarica Disk Password Protection e installalo.
- Prima di procedere, verifica che la chiave di ripristino di BitLocker sia salvata e a portata di mano.
- Nella finestra principale seleziona il disco di sistema e scegli “Installa la protezione all’avvio…”.
- Inserisci la password due volte. Se vuoi, aggiungi un “Indizio della password”, e attiva la modalità di protezione nascosta se non vuoi mostrare la richiesta della password.
- Fai clic su “OK” e riavvia il portatile. Prima dell’avvio di Windows comparirà la richiesta della password.
La password si digita sulla tastiera del portatile, quindi è più comoda una lunga frase segreta di più parole che una breve sequenza di simboli. Una guida passo passo è nell’articolo su come mettere la password all’avvio del PC, e tutte le opzioni sono descritte nella pagina sulla protezione all’avvio.
Le impostazioni UEFI sui portatili ARM
Il menu di configurazione UEFI dei portatili ARM cambia molto da modello a modello e a volte offre meno opzioni del solito. Su alcuni modelli puoi impostare una password UEFI e disattivare l’avvio da USB, su altri queste voci non ci sono. Consulta la documentazione del produttore.
Se le opzioni ci sono, usale:
- imposta una password di amministratore UEFI;
- disattiva l’avvio da USB e da dischi esterni;
- lascia attivo Secure Boot.
È importante perché, se il portatile viene avviato da una chiavetta USB, la richiesta della password di Disk Password Protection non compare. Se non puoi bloccare l’avvio da USB, i dati restano protetti dalla Crittografia dispositivo: senza la chiave non si leggono nemmeno da una chiavetta.
Nascondere le partizioni
Oltre alla password all’avvio, Disk Password Protection può nascondere le partizioni. Il programma elimina la voce della partizione dalla tabella delle partizioni: Windows e gli altri programmi non la vedono, e Gestione disco mostra al suo posto spazio non allocato. La partizione resta nascosta anche su altri computer e dopo la disinstallazione. Per farla ricomparire servono Disk Password Protection e la password.
Su un portatile ARM di solito tutti i dati stanno sulla partizione di sistema C:, e la partizione con Windows in esecuzione non si può nascondere. La funzione è utile se hai una partizione dati separata o un disco esterno. Approfondisci nell’articolo su come nascondere una partizione.
Cosa non fa Disk Password Protection
- Non cripta i dati. I dati di una partizione nascosta si possono trovare con i programmi di recupero dati. Per criptare i dati su un portatile ARM usa la Crittografia dispositivo integrata o BitLocker.
- Non impedisce l’avvio da USB. Per questo servono una password UEFI e l’avvio da USB disattivato, se il tuo modello lo consente.
- Non ha una password principale. Scegli una password che non dimenticherai e aggiungi un indizio.
Uno schema solido per un portatile ARM: Crittografia dispositivo o BitLocker con la chiave di ripristino salvata, Windows Hello per l’accesso, una password all’avvio con Disk Password Protection e, dove possibile, una password UEFI con l’avvio da USB disattivato.
Domande frequenti
Si può mettere una password all’accensione di un portatile Snapdragon?
Sì. Alcuni modelli offrono una password UEFI. Inoltre Disk Password Protection 5.6 supporta Windows on ARM a 64 bit e chiede una password prima dell’avvio di Windows.
Sui Copilot+ PC la crittografia è attiva di serie?
Spesso sì, ma non sempre. Controlla in Impostazioni > Privacy e sicurezza > Crittografia dispositivo e salva la chiave di ripristino.
Bisogna disattivare Secure Boot per usare Disk Password Protection?
No. I moduli UEFI della versione 5.6 sono firmati con Microsoft UEFI CA 2023 e funzionano con Secure Boot attivo. Su alcuni dispositivi, per esempio i Secured-core PC, prima bisogna consentire nelle impostazioni UEFI la CA UEFI di Microsoft per terze parti.
Disk Password Protection funziona insieme a BitLocker?
Sì. Nella versione 5.6 il modulo di protezione all’avvio sui sistemi UEFI è compatibile con BitLocker. La crittografia protegge i dati, la password all’avvio impedisce di avviare il sistema.
La password all’avvio sostituisce la crittografia?
No. Disk Password Protection non cripta i dati, quindi lascia attiva la Crittografia dispositivo o BitLocker.