- L'aggiornamento del BIOS modifica l'ambiente che convalida il TPM e potrebbe indurre BitLocker a richiedere la chiave di ripristino.
- È fondamentale individuare e salvare la chiave BitLocker (account, stampante o USB) prima di modificare il firmware.
- La sospensione temporanea di BitLocker sull'unità di sistema riduce i problemi che si verificano dopo l'aggiornamento del BIOS.
- Alcuni modelli, soprattutto negli ambienti aziendali Dell, richiedono il rispetto di specifiche linee guida del produttore.
In questo articolo vedremo, passo dopo passo e in dettaglio, cosa fare prima e dopo l'aggiornamento del BIOS con BitLocker , cosa può succedere al TPM, come ottenere la chiave di ripristino se richiesta e perché alcuni computer (come diversi modelli Dell, schede madri ASUS o MSI B450/B550, tra gli altri) mostrano avvisi apparentemente contraddittori che risultano ancora più confusionari.
Cosa succede tra BIOS, BitLocker e TPM quando si esegue l'aggiornamento?
Per capire perché BitLocker a volte richiede la chiave di ripristino a ogni avvio dopo un aggiornamento del BIOS, è necessario comprendere la relazione tra BIOS/UEFI , TPM e crittografia BitLocker. Sapere cosa cambia rende molto più facile prendere precauzioni ed evitare di farsi prendere dal panico quando compare la schermata blu.
BitLocker, sulla maggior parte dei computer moderni, si basa su un chip TPM 2.0 che memorizza in modo sicuro parte delle chiavi di crittografia. Questo chip verifica che l'ambiente di avvio (firmware, Secure Boot, configurazione di base) sia lo stesso di quando il disco è stato crittografato. Se rileva modifiche significative, le interpreta come un possibile attacco e richiede la chiave di ripristino per assicurarsi che sia effettivamente l'utente ad avviare il computer.
Su alcuni computer desktop con schede madri come la MSI B450 Tomahawk Max o la ASUS B550-F, il produttore include avvisi molto seri con le nuove versioni del BIOS: raccomanda di abilitare BitLocker e di salvare (o verificare) la chiave di ripristino prima di aggiornare il BIOS, perché se qualcosa va storto, si potrebbe perdere l'accesso a Windows. Il messaggio può sembrare allarmistico, ma l'idea di base è semplice: se il TPM smette di riconoscere l'ambiente e richiede la chiave, è assolutamente necessario averla a portata di mano.
Sui laptop professionali come il Dell Latitude o sulle apparecchiature di livello enterprise di Dell, HP o Lenovo, la situazione si complica un po' perché entra in gioco anche la gestione aziendale: spesso la chiave BitLocker non è presente solo nel tuo account, ma è memorizzata anche nell'organizzazione (dominio aziendale, università, ecc.) e il BIOS può essere aggiornato automaticamente dall'assistente del produttore o dalle policy IT.
Perché i produttori insistono tanto su BitLocker prima di aggiornare il BIOS?
I messaggi dei produttori possono sembrare contraddittori: alcuni consigliano di attivare BitLocker e salvare la chiave prima dell'aggiornamento, mentre altri chiedono di fare esattamente il contrario, ovvero disattivare BitLocker prima del flashing. In realtà, entrambi gli avvertimenti mirano a ridurre i rischi, ma si concentrano su fasi diverse del processo.
Nel caso di schede madri come la MSI B450 Tomahawk Max , con aggiornamenti del BIOS volti ad abilitare o migliorare il supporto TPM (ad esempio, per soddisfare i requisiti di Windows 11), il programma di installazione avverte che è fondamentale avere BitLocker configurato correttamente e, soprattutto, avere la chiave di ripristino a portata di mano. Il motivo è che una modifica nel modo in cui il firmware espone il TPM può attivare una richiesta della chiave al successivo avvio.
Altri sistemi, come molte schede madri ASUS B550 , visualizzano un messaggio prima di aggiornare il BIOS quando rilevano che l'unità di sistema è protetta da BitLocker, invitando l'utente a disabilitarlo. L'obiettivo è impedire che l'unità venga crittografata durante l'aggiornamento del firmware, riducendo al minimo i problemi di avvio ed evitando cicli di ripristino nel caso in cui lo stato interno del TPM cambi in modo troppo drastico.
In alcuni casi, come segnalato da molti utenti, anche disabilitando BitLocker tramite l'interfaccia grafica di Windows, lo strumento di aggiornamento del BIOS della scheda madre continua a visualizzare un avviso che indica che BitLocker è attivo . Ciò può accadere perché sono ancora presenti protezioni configurate sull'unità, il processo di sospensione non è stato applicato correttamente, sono presenti altre unità crittografate (come unità flash USB) o il sistema non ha completato l'intero ciclo di disabilitazione.
Sui laptop Dell e altri computer aziendali, entra in gioco anche la modalità di distribuzione degli aggiornamenti del firmware. È frequente che l' assistente del produttore installi automaticamente il BIOS durante un aggiornamento di routine. Successivamente, al successivo avvio, BitLocker potrebbe richiedere la chiave di ripristino e, talvolta, continuare a richiederla a ogni riavvio perché il TPM non si fida completamente della nuova firma del firmware o della nuova chiave Secure Boot PK.
Dove trovare la chiave di ripristino di BitLocker se il BIOS la richiede
Se dopo un aggiornamento del BIOS compare la schermata blu di BitLocker che richiede la password di 48 cifre, la chiave è sapere esattamente dove è memorizzata . Esistono diverse posizioni comuni in cui la password potrebbe essere archiviata, a seconda di come è stato configurato il computer e se appartiene o meno a un'organizzazione.
In ambito lavorativo o scolastico, è molto comune che il dispositivo sia connesso a un dominio aziendale o scolastico . Se hai mai effettuato l'accesso con un account aziendale o scolastico, la chiave di recupero è solitamente collegata a tale account e gestita dal reparto IT. In questi casi, spesso è necessario contattare l'assistenza per ottenere la chiave associata all'identificativo del dispositivo.
Microsoft offre una pagina dedicata per trovare le chiavi di ripristino associate agli account aziendali o scolastici. Da un altro dispositivo, puoi accedere a AKA.MS/MyRecoveryKey , effettuare il login con il tuo account aziendale o scolastico, andare alla sezione Dispositivi ed espandere il dispositivo per il quale ti serve la chiave. Lì troverai solitamente l'opzione "Visualizza chiavi BitLocker", che ti permetterà di individuare la chiave di ripristino corrispondente utilizzando l' ID chiave visualizzato nella schermata blu.
Se possiedi un computer personale e hai installato BitLocker autonomamente, potresti aver stampato la chiave al momento dell'attivazione della crittografia. È consigliabile controllare le cartelle o i file in cui solitamente conservi i documenti importanti associati al computer, poiché la chiave stampata mostra chiaramente l'ID e le 48 cifre necessarie per sbloccare l'unità in caso di problemi.
Un'altra opzione comune è quella di salvare la chiave di ripristino su un'unità USB . In tal caso, se il computer si blocca sulla schermata blu, collega l'unità USB allo stesso computer e segui le istruzioni visualizzate sullo schermo di BitLocker per leggere la chiave dal dispositivo. Se la chiave è salvata come file di testo, puoi anche collegare l'unità USB a un altro computer, aprire il file .txt e copiare attentamente le 48 cifre per inserirle manualmente dove richiesto.
Sui computer moderni collegati a un account Microsoft personale, la chiave di ripristino potrebbe essere associata al profilo Microsoft sul sito web dell'azienda, sebbene in ambito professionale il metodo più affidabile sia solitamente l'account aziendale sul portale sopra menzionato o il contatto diretto con l'assistenza IT. In entrambi i casi, è fondamentale non apportare ulteriori modifiche al BIOS (come la cancellazione del TPM) prima di individuare e conservare in un luogo sicuro la chiave di ripristino.
Quando è consigliabile sospendere o disabilitare BitLocker prima di aggiornare il BIOS?
A questo punto, la domanda principale è solitamente: devo disabilitare completamente BitLocker prima di aggiornare il BIOS, oppure è sufficiente sospendere la protezione? E, inoltre, su quali unità devo farlo: solo sull'unità di Windows, o anche sulle unità USB e sui dischi rigidi secondari?
Se desideri semplicemente impedire a BitLocker di richiederti la chiave di ripristino dopo un aggiornamento del firmware, la soluzione migliore è solitamente quella di sospendere temporaneamente la protezione dell'unità di sistema prima di avviare l'aggiornamento del BIOS. In Windows, dal Pannello di controllo, in Crittografia unità BitLocker, puoi selezionare l'unità C: e utilizzare l'opzione "Sospendi protezione" per consentire al TPM di accettare le modifiche della piattaforma senza attivare la schermata blu.
La sospensione del processo di avvio non decrittografa il disco; si limita a indicare a BitLocker di consentire determinate modifiche all'ambiente di avvio senza richiedere la chiave di ripristino. Una volta completato l'aggiornamento del BIOS e verificato che Windows si avvii correttamente, è possibile tornare allo stesso pannello e fare clic su "Riprendi protezione" per ripristinare la crittografia e il normale funzionamento, ripristinando la configurazione corrente nel TPM.
In alcune situazioni, come ad esempio con determinate schede madri ASUS B550-F , il programma di aggiornamento del BIOS potrebbe continuare a visualizzare avvisi che indicano che BitLocker è ancora attivo, anche se è stato sospeso da Windows. In questi casi, è consigliabile verificare lo stato effettivo delle protezioni tramite riga di comando utilizzando il comando ` manage-bde` e assicurarsi che il sistema abbia applicato correttamente il comando di sospensione.
Per quanto riguarda altre unità crittografate, come le chiavette USB o i dischi rigidi esterni, queste possono interferire con il processo di aggiornamento solo se il programma di installazione del BIOS le rileva in modo problematico. In generale, è sufficiente rimuovere tutti i dispositivi non essenziali dal computer prima dell'aggiornamento (dischi rigidi esterni, chiavette USB, ecc.) e assicurarsi che BitLocker sia sospeso, non necessariamente disabilitato o completamente decrittografato, sull'unità di sistema.
Cosa fare se, dopo l'aggiornamento, la chiave BitLocker viene richiesta ogni volta che il computer si avvia
Uno dei problemi più fastidiosi segnalati dagli utenti di laptop professionali è che, dopo un aggiornamento del firmware o del BIOS (ad esempio, su un Dell Latitude ), BitLocker inizia a richiedere la chiave di ripristino a ogni avvio, senza eccezioni. Si inseriscono le 48 cifre, Windows 11 si avvia senza problemi, ma la stessa cosa si ripete al riavvio successivo.
La prima cosa che di solito si consiglia è di accedere a Windows, andare al Pannello di controllo e, nella sezione BitLocker, utilizzare le opzioni "Sospendi protezione" e poi "Ripristina protezione" . Questa procedura dovrebbe consentire al TPM di ripristinare le impostazioni di avvio in base alla nuova versione del BIOS, il che in teoria dovrebbe impedire ulteriori richieste di accesso alla chiave ai riavvii successivi.
Se ciò non funziona, è possibile utilizzare lo strumento da riga di comando `manage-bde` con comandi come ` manage-bde -protectors -disable c:` e, dopo il riavvio, `manage-bde -protectors -enable c:` . Questo forza BitLocker a ricalcolare lo stato di protezione dell'unità. Tuttavia, su alcuni computer il problema persiste: il sistema si avvia, ma richiede comunque la chiave di ripristino.
È inoltre necessario verificare nel BIOS che il chip TPM 2.0 sia abilitato e attivo e che Secure Boot sia attivato in base alle impostazioni di BitLocker. Modifiche continue a questi parametri possono confondere il TPM e impedirgli di considerare l'ambiente "stabile", prolungando così il ciclo di ripristino ad ogni avvio.
Una misura più drastica consiste nell'utilizzare l' opzione "Cancella TPM" nel BIOS. Questa operazione ripristina il chip di sicurezza e può contribuire a risolvere i problemi di convalida dell'avvio, ma non è una decisione da prendere alla leggera: se si cancella il TPM senza una chiara comprensione dello stato di BitLocker e senza la garanzia di avere accesso alla chiave di ripristino, si potrebbe non essere in grado di decrittografare il disco o perdere funzionalità come il PIN di Windows Hello fino a quando non vengono riconfigurate.
Prima di arrivare a quel punto, è generalmente consigliabile esaminare attentamente tutte le opzioni di sospensione e ripristino di BitLocker, verificare la presenza di eventuali aggiornamenti del firmware in sospeso e, sui sistemi aziendali, consultare il reparto IT . A volte la soluzione consiste nell'aggiornare a una versione successiva del BIOS che corregge il comportamento o nell'implementare una specifica policy di avvio della piattaforma nell'ambiente aziendale.
Dettagli specifici delle apparecchiature Dell e problemi noti relativi agli aggiornamenti del BIOS
Nell'ecosistema Dell, sono documentati alcuni casi in cui gli aggiornamenti del BIOS, combinati con BitLocker e la gestione della chiave di piattaforma (PK) di Secure Boot, hanno generato problemi sufficientemente gravi da bloccare determinati aggiornamenti distribuiti da Windows Update.
È stato segnalato che diversi modelli, tra cui Dell 14 Plus 2-in-1 DB04255, Dell 14 Plus DB14255 e Dell 16 Plus DB16255 , presentano un problema specifico con la versione del BIOS 1.2.0 e successive. Gli aggiornamenti a queste versioni tramite Windows Update sono stati sospesi fino a novembre 2025 circa (data stimata soggetta a modifiche) mentre Microsoft lavora a un nuovo metodo di aggiornamento per risolvere il conflitto della chiave PK e l'interazione con BitLocker.
Durante questo periodo, la raccomandazione ufficiale è di non utilizzare Windows Update per aggiornare il BIOS, ma piuttosto di visitare il sito Dell.com o utilizzare lo strumento Dell SupportAssist per ottenere la versione firmware più recente per ciascun sistema interessato. Questo per ridurre al minimo il rischio che la chiave di ripristino di BitLocker si danneggi o che il computer si blocchi durante il processo di aggiornamento.
La documentazione di Dell elenca anche una vasta gamma di prodotti interessati da vari problemi relativi a BitLocker e al BIOS: Dell Pro Max Micro, Pro Max Slim, Pro Max Tower, Dell Plus, Dell Pro, Pro Max, Pro Plus, Pro Premium, Latitude, Pro Rugged, Vostro e workstation desktop , tra gli altri. Ogni linea di prodotti può presentare dettagli leggermente diversi, ma il concetto generale è simile: si consiglia di seguire le guide specifiche del produttore, consultare gli avvisi di supporto e assicurarsi di avere a portata di mano la chiave di ripristino prima di apportare qualsiasi modifica.
Inoltre, Dell pubblica regolarmente articoli nella sua knowledge base con istruzioni dettagliate per il ripristino dei sistemi che si bloccano richiedendo la chiave BitLocker dopo gli aggiornamenti del firmware. Negli ambienti gestiti, il sistema di gestione dei dispositivi proprietario dell'azienda può archiviare centralmente le chiavi e consentire al reparto IT di ripristinare la fiducia del TPM con il nuovo BIOS senza richiedere l'intervento dell'utente, se non il riavvio quando richiesto.
Procedure consigliate generali prima di aggiornare il BIOS con BitLocker abilitato
Combinando l'esperienza con diversi produttori e casi d'uso reali, possiamo ricavare alcune linee guida sensate per aggiornare il BIOS di un computer con BitLocker abilitato senza inutili complicazioni. Non si tratta di regole infallibili, ma di buone pratiche che riducono significativamente i rischi.
Il primo passo è assicurarsi di sapere dove si trova la chiave di ripristino e di potervi accedere anche se il computer principale non si avvia. Ciò implica controllare il proprio account Microsoft o aziendale, individuare eventuali documenti stampati o file su un'unità USB e, se si tratta di un computer aziendale, verificare che il supporto IT possa recuperarla qualora non si riesca a trovarla.
In secondo luogo, esaminate attentamente le note di rilascio della versione del BIOS e gli eventuali avvisi inclusi dal produttore nella pagina di download o nella procedura guidata di installazione. Se vi viene richiesto di sospendere BitLocker, fatelo; se vi viene segnalato un problema noto con una versione specifica, valutate se avete davvero bisogno di quell'aggiornamento in questo momento o se potete attendere una versione successiva e più stabile.
È sempre consigliabile creare un backup recente dei dati importanti prima di modificare il firmware. Anche se gli aggiornamenti del BIOS sono generalmente considerati sicuri per il vostro modello specifico, qualsiasi interruzione di corrente, blackout o guasto può compromettere il funzionamento del computer. Avere un backup non previene completamente il problema, ma consente almeno di recuperare i dati qualora la soluzione preveda la reinstallazione o la sostituzione di componenti.
Per quanto riguarda lo stato di BitLocker, a meno che il produttore non specifichi diversamente, l'approccio migliore è solitamente quello di sospendere la protezione BitLocker sull'unità di sistema poco prima di avviare l'aggiornamento e riattivarla dopo aver verificato che Windows si avvii correttamente con il nuovo BIOS. Se il programma di installazione continua a rilevare BitLocker anche dopo averlo sospeso, valutate se desiderate comunque procedere o se preferite cercare informazioni specifiche per la vostra scheda madre o modello.
Infine, evitate di apportare troppe modifiche in rapida successione: non è una buona idea aggiornare il BIOS, modificare le impostazioni di Secure Boot, cambiare la modalità di avvio (UEFI/Legacy) e resettare il TPM tutto in una volta. Procedete passo dopo passo , apportate una modifica, verificate che il sistema si avvii senza problemi e solo allora apportate la successiva. In questo modo, se qualcosa va storto, avrete una comprensione molto migliore di cosa è successo e sarà più facile ripristinare le impostazioni precedenti o chiedere aiuto con informazioni specifiche.
Comprendendo meglio come interagiscono BIOS, TPM e BitLocker, dove vengono memorizzate le chiavi di ripristino e quali misure preventive è possibile adottare, l'aggiornamento del firmware smette di essere un azzardo tecnologico e diventa un'operazione delicata ma gestibile, a condizione che vengano rispettati gli avvertimenti del produttore e che le informazioni necessarie per riottenere l'accesso al sistema vengano conservate in modo sicuro qualora la crittografia dovesse diventare più rigorosa dopo la modifica.
