Microsoft ha annunciato l'introduzione di un modello di autorizzazioni simile a quello degli smartphone per Windows 11, una mossa che segna una svolta epocale nella filosofia di sicurezza del sistema operativo desktop più diffuso al mondo.
L'iniziativa si articola in due pilastri fondamentali: il Windows Baseline Security Mode e il framework User Transparency and Consent. Quest'ultimo introduce un sistema di richieste di permesso in tempo reale che gli utenti Windows conoscono bene dal mondo mobile: ogni volta che un'applicazione tenterà di accedere a microfono, webcam, file system o installare componenti aggiuntivi, il sistema operativo richiederà esplicitamente il consenso dell'utente.
Logan Iyer, ingegnere della piattaforma Windows, ha spiegato che la necessità di questo cambiamento nasce dall'escalation di comportamenti invasivi da parte delle applicazioni. Troppi software modificano esperienze core di Windows, alterano impostazioni di sistema e installano bundle indesiderati senza alcuna trasparenza verso l'utente finale. Il nuovo framework permetterà non solo di autorizzare o negare l'accesso al momento della richiesta, ma anche di revocare permessi precedentemente concessi attraverso un pannello centralizzato, esattamente come avviene su iOS e Android.
Il Baseline Security Mode introduce invece controlli di integrità runtime attivi per impostazione predefinita, garantendo che solo applicazioni, servizi e driver correttamente firmati possano essere eseguiti sul sistema. La scelta mantiene però un equilibrio pragmatico: utenti e amministratori IT conservano la possibilità di bypassare queste protezioni per software specifici quando necessario, evitando così il rischio di creare un ecosistema chiuso tipo macOS o mobile che potrebbe alienare la vasta base di utenti enterprise e power user.
Microsoft ha programmato un rilascio graduale delle nuove funzionalità di sicurezza, sviluppato in stretta collaborazione con sviluppatori, aziende e partner dell'ecosistema. L'approccio per fasi permetterà di raccogliere feedback e calibrare i controlli prima di una implementazione su larga scala, un passo prudente considerando la complessità dell'ecosistema Windows e la necessità di evitare rotture nella compatibilità con decenni di software legacy.
Queste modifiche si inseriscono nell'ambito della Secure Future Initiative (SFI), lanciata da Microsoft nel novembre 2023 dopo che il Cyber Safety Review Board del Dipartimento di Sicurezza Nazionale degli Stati Uniti aveva bollato la cultura della sicurezza dell'azienda come "inadeguata". Il rapporto faceva seguito alla violazione di Exchange Online perpetrata dagli hacker cinesi del gruppo Storm-0558, che nel maggio 2023 erano riusciti a sottrarre una chiave di firma consumer Microsoft, ottenendo accesso esteso ai servizi cloud dell'azienda di Redmond.
L'iniziativa SFI ha già prodotto altri interventi significativi: la protezione dei login Entra ID contro attacchi di script injection, la disattivazione di tutti i controlli ActiveX nelle app Microsoft 365 e Office 2024 per Windows, e l'aggiornamento delle impostazioni predefinite di sicurezza di Microsoft 365 per bloccare l'accesso a SharePoint, OneDrive e file Office tramite protocolli di autenticazione legacy, notoriamente vulnerabili.
Iyer ha sottolineato che gli standard di trasparenza più elevati si applicheranno anche ad applicazioni e agenti basati su intelligenza artificiale, garantendo maggiore visibilità sui loro comportamenti sia agli utenti finali che agli amministratori IT. Una considerazione particolarmente rilevante nell'era dell'integrazione sempre più profonda di funzionalità AI nel sistema operativo, con Copilot e altri strumenti che richiedono accesso esteso a dati e risorse di sistema.
