Secure Boot, TPM 2.0 e virtualizzazione: come attivarli nel BIOS e verificarli

Secure Boot e TPM 2.0 sono requisiti di Windows 11 e di molti anti-cheat dei giochi online; la virtualizzazione hardware serve a WSL, Hyper-V, alle macchine virtuali e a diverse funzioni di sicurezza di Windows. Sui PC recenti sono quasi sempre già attivi, ma un aggiornamento del BIOS o un reset della CMOS li spegne, e su un PC assemblato possono non esserlo mai stati. In più, nel 2026 sono scaduti i certificati Secure Boot del 2011: vediamo anche come controllare che il vostro PC abbia ricevuto quelli del 2023.

In breve

Tempo: 10–20 minuti; fino a un’ora se serve convertire il disco da MBR a GPT.
Difficoltà: media.
Cosa serve: account amministratore, accesso al BIOS/UEFI, la chiave di ripristino BitLocker se il disco è cifrato.
Ordine giusto: prima si verifica il disco (deve essere GPT), poi si passa da CSM/Legacy a UEFI, poi si attiva Secure Boot. Il TPM e la virtualizzazione sono indipendenti.

Versioni: Windows 11 26H2, firmware UEFI di schede madri e notebook recenti. La procedura segue la documentazione ufficiale di Microsoft e dei produttori citati in calce, verificata il 4 novembre 2026. I nomi dei menu cambiano da marca a marca e tra versioni del BIOS.

Attenzione: se il disco è cifrato con BitLocker (o con la crittografia del dispositivo, attiva di default su molti portatili), modificare Secure Boot o TPM fa chiedere la chiave di ripristino al riavvio. Recuperatela prima dal vostro account Microsoft. Non usate mai la voce “Clear TPM” o “Cancella TPM” se non sapete esattamente cosa fa: cancella le chiavi conservate nel chip.

Passo 1: controllare lo stato attuale

Prima di entrare nel BIOS conviene sapere cosa manca. Premete Win+R e lanciate msinfo32: nella pagina Riepilogo di sistema guardate Modalità BIOS (deve essere UEFI) e Stato avvio protetto (Attivato o Disattivato). Per il TPM, Win+R e tpm.msc: deve comparire il messaggio che il TPM è pronto per l’uso e, sotto le informazioni sul produttore, Versione specifica 2.0. Da PowerShell aperto come amministratore si fa tutto in una volta:

Confirm-SecureBootUEFI
Get-Tpm
Get-Disk | Format-Table -AutoSize

Verifica: Confirm-SecureBootUEFI restituisce True (attivo) o False (supportato ma spento); se risponde “Cmdlet not supported on this platform”, il PC è in modalità Legacy o non supporta Secure Boot. In Get-Tpm contano TpmPresent e TpmReady, entrambi True. In Get-Disk la colonna Partition Style del disco di sistema deve essere GPT. Per la virtualizzazione aprite Gestione attività, scheda Prestazioni > CPU: la voce Virtualizzazione deve risultare abilitata.

Passo 2: se il disco è MBR, convertirlo in GPT

Secure Boot funziona solo con avvio UEFI, e Windows si avvia in UEFI solo da un disco GPT. Se al passo 1 il disco di sistema è MBR, disattivare CSM nel BIOS renderebbe Windows non avviabile: prima va convertito il disco con MBR2GPT, lo strumento incluso in Windows, che non cancella i dati. Se usate BitLocker, sospendete prima la protezione: Microsoft avverte che dopo la conversione le protezioni esistenti vanno eliminate e ricreate.

Nei comandi che seguono il disco di sistema è il numero 0: controllate in Get-Disk (colonne Number e Partition Style) che sia davvero quello con Windows e sostituite il numero se necessario. Da un prompt dei comandi come amministratore, verificate prima se il disco è convertibile:

mbr2gpt /validate /disk:0 /allowFullOS

Attenzione: la conversione modifica la tabella delle partizioni e non si può annullare (lo strumento lo ricorda: “These changes cannot be undone!”). Prima fate un backup dei dati importanti, sospendete BitLocker se attivo e assicuratevi che il PC supporti l’avvio UEFI.

Se la convalida termina con “Validation completed successfully”, convertite:

mbr2gpt /convert /disk:0 /allowFullOS

/allowFullOS serve perché per impostazione predefinita lo strumento si usa da Windows PE; da Windows in esecuzione crea una nuova partizione di sistema EFI ricavando spazio da quella di Windows. Le condizioni richieste sono precise: al massimo tre partizioni primarie, nessuna partizione estesa o logica, una partizione attiva di sistema.

Verifica: l’ultima riga deve essere “Conversion completed successfully”, seguita dall’avviso che il firmware va impostato in UEFI prima del riavvio. È proprio così: riavviate ed entrate subito nel BIOS (passo 3). Get-Disk deve ora mostrare GPT.

Passo 3: passare a UEFI e attivare Secure Boot

Entrate nel firmware: da Windows con shutdown /r /fw /t 0, oppure con il tasto della vostra marca (la tabella è in https://hardwarfare.it/guide/tutorial/entrare-bios-uefi-boot-menu-tasti-marca/). Microsoft indica due operazioni: impostare la modalità di avvio su UEFI invece di Legacy/CSM e, se il firmware offre entrambe, lasciare UEFI come prima o unica opzione. Poi si attiva Secure Boot. Esempi dai produttori:

ASUS: modalità avanzata (Advanced Mode), Boot > Secure Boot, voce OS Type da “Other OS” (Secure Boot spento) a Windows UEFI mode. Su alcuni modelli il menu è sotto Security.
MSI: dopo aver impostato UEFI, il menu Secure Boot compare (per esempio sulle B550 in Settings > Advanced > Windows OS Configuration); attivatelo.
Notebook e PC di marca: di solito Security > Secure Boot o Boot > Secure Boot.

Se lo stato di Secure Boot risulta “Setup Mode” o “Not Active” anche con l’opzione attiva, nel firmware non sono caricate le chiavi. Secondo la tabella di ASUS, Secure Boot risulta attivo solo con le chiavi presenti (stato “User”) e OS Type su Windows UEFI mode; senza chiavi lo stato è “Setup”. Sulle schede ASUS si passa Secure Boot Mode da Standard a Custom, si apre Key Management e si caricano le chiavi predefinite (di solito la voce Install Default Secure Boot Keys); altri produttori la chiamano “Restore Factory Keys” o simile.

Salvate con F10 e riavviate.

Verifica: in msinfo32 Stato avvio protetto deve essere Attivato; Confirm-SecureBootUEFI deve restituire True.

Passo 4: attivare il TPM 2.0 (fTPM o PTT)

La maggior parte dei processori recenti ha un TPM integrato nel firmware: si chiama Intel PTT (Platform Trust Technology) sulle piattaforme Intel e AMD fTPM (in alcuni BIOS “AMD CPU fTPM” o “AMD PSP fTPM”) su quelle AMD. Microsoft spiega che l’opzione si trova spesso in un sottomenu chiamato Advanced, Security o Trusted Computing. Su MSI, per esempio: Settings > Security > Trusted Computing, Security Device Support su Enable, poi PTT o AMD CPU fTPM come dispositivo. Le schede madri con un modulo TPM separato hanno anche la scelta tra TPM discreto e firmware: per Windows 11 va bene l’uno o l’altro, purché sia 2.0.

Verifica: in tpm.msc il TPM deve risultare pronto per l’uso con Versione specifica 2.0; in Get-Tpm TpmPresent e TpmReady devono essere True. Il messaggio “Impossibile trovare un TPM compatibile” (Compatible TPM cannot be found) significa che il TPM c’è ma è disattivato nel BIOS, o che il PC non lo ha.

Passo 5: attivare la virtualizzazione

Nel firmware la voce si chiama di solito Intel Virtualization Technology (VT-x) sui sistemi Intel e SVM Mode (AMD-V) su quelli AMD; spesso è nel menu della CPU, sotto Advanced o, nelle schede madri da gaming, nella sezione di overclock. Attivatela e salvate. Microsoft raccomanda di cambiare nel firmware solo ciò che serve. In Windows, se vi servono macchine virtuali o WSL, cercate Attiva o disattiva funzionalità di Windows dal menu Start e spuntate Piattaforma macchina virtuale.

Verifica: in Gestione attività, Prestazioni > CPU, la voce Virtualizzazione deve risultare abilitata.

Passo 6: controllare i certificati Secure Boot 2023

I certificati Microsoft del 2011 su cui si basa Secure Boot sono scaduti tra giugno e ottobre 2026 e vengono sostituiti da quelli del 2023, distribuiti da Windows Update e, dove serve, dagli aggiornamenti firmware dei produttori.

Certificato in scadenza	Scadenza	Sostituto
Microsoft Corporation KEK CA 2011	24 giugno 2026	Microsoft Corporation KEK 2K CA 2023
Microsoft UEFI CA 2011	27 giugno 2026	Microsoft UEFI CA 2023 e Microsoft Option ROM UEFI CA 2023
Microsoft Windows Production PCA 2011	19 ottobre 2026	Windows UEFI CA 2023

Secondo Microsoft i PC senza i nuovi certificati continuano ad avviarsi e a ricevere gli aggiornamenti normali, ma non possono più ricevere nuove protezioni della fase di avvio (Boot Manager, database e liste di revoca di Secure Boot). Il controllo più semplice è nell’app Sicurezza di Windows > Sicurezza dispositivi > Avvio protetto, che da aprile 2026 mostra uno stato: aggiornato completamente, non ancora aggiornato oppure azione richiesta. Da PowerShell come amministratore, il controllo indicato da Microsoft per il database db è:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

E, con lo stesso principio, per la chiave KEK:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'KEK 2K CA 2023'

Verifica: entrambi i comandi devono restituire True. False vuol dire che l’aggiornamento non è ancora arrivato: lasciate lavorare Windows Update e controllate se il produttore del PC o della scheda madre ha pubblicato un BIOS che include i certificati 2023. Se l’app Sicurezza di Windows mostra “azione richiesta”, secondo Microsoft l’aggiornamento non può essere applicato alla configurazione attuale: leggete il messaggio di dettaglio nell’app e controllate se il produttore ha pubblicato un BIOS nuovo (https://hardwarfare.it/gaming/pc-gaming/aggiornare-bios-scheda-madre-guida/).

Se qualcosa va storto

Dopo aver disattivato CSM il PC dice che non trova un dispositivo di avvio: il disco è ancora MBR. Riattivate CSM, avviate Windows e fate il passo 2.
mbr2gpt termina con codice 7: il layout del disco non rispetta i requisiti (più di tre partizioni primarie, partizioni estese). Con codice 6 un volume è cifrato: sospendete BitLocker. I dettagli sono nei log setupact.log e setuperr.log in %windir%.
All’avvio compare “Secure Boot Violation”: il firmware rifiuta un bootloader non firmato con le chiavi caricate (per esempio un vecchio strumento su chiavetta o un driver non firmato). Aggiornate lo strumento o disattivate Secure Boot solo per il tempo necessario.
Confirm-SecureBootUEFI risponde “Unable to set proper privileges. Access was denied.”: PowerShell non è stato aperto come amministratore.
Il gioco continua a dire che Secure Boot o TPM non sono attivi: verificate con msinfo32 e tpm.msc dopo un riavvio completo e controllate nella pagina di supporto del gioco quali requisiti chiede esattamente.
Al riavvio Windows chiede la chiave di ripristino BitLocker: inseritela; succede una volta dopo modifiche a Secure Boot o TPM.

Come tornare indietro

Secure Boot e virtualizzazione si disattivano dallo stesso menu senza conseguenze sui dati (ma Windows 11 e alcuni giochi smetteranno di considerare il PC conforme). Disattivare il TPM con BitLocker attivo, invece, porta alla richiesta della chiave di ripristino: sospendete prima BitLocker. La conversione MBR2GPT non si annulla, come avverte lo strumento stesso durante la conversione: un disco GPT non si avvia più in modalità Legacy, quindi CSM deve restare spento.

Guide collegate

https://hardwarfare.it/guide/tutorial/entrare-bios-uefi-boot-menu-tasti-marca/: come arrivare al firmware.
https://hardwarfare.it/ai-software/windows/windows-11-pc-non-supportato-esu-windows-10/: cosa fare se il processore non è supportato anche con TPM e Secure Boot attivi.
https://hardwarfare.it/ai-software/linux/installare-wsl2-ubuntu-windows-11/: il primo uso della virtualizzazione appena attivata.

La nostra indicazione: controllate oggi lo stato dei certificati 2023 nell’app Sicurezza di Windows, anche se il PC funziona benissimo. È l’unico dei tre punti che non si risolve da solo con un clic nel BIOS e, se il firmware è bloccato, la soluzione passa dal produttore.

Fonti

Immagine di copertina: Lenovo N20 Chrome – motherboard – Infineon SLB9655TT12-49890.jpg di Raimond Spekking, licenza CC BY-SA 4.0, via Wikimedia Commons; elaborazione grafica HardWarfare.

Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo