Come rendere Windows immutabile: differenze con Linux

L’idea di un sistema operativo immutabile sta guadagnando sempre più terreno. Ma cosa significa davvero “immutabile”? E perché questo concetto sta diventando cruciale non solo per chioschi e sistemi embedded, ma anche per data center, ambienti di sviluppo e persino desktop personali? Rendere Windows immutabile significa impedire modifiche permanenti al sistema operativo, sia da parte degli utenti che di malware o software non autorizzato.

L’immutabilità del sistema rappresenta un paradigma innovativo in cui il cuore dell’ambiente di lavoro – file di sistema, configurazioni critiche, pacchetti di base – è reso inaccessibile alle modifiche accidentali o malevole. Questo schema garantisce che ogni riavvio riporti il sistema a uno stato noto, pulito e controllato.

Windows integra uno strumento per rendere immutabile un’installazione del sistema operativo, con la possibilità di richiedere al bisogno la memorizzazione delle modifiche (ad esempio dopo l’installazione di un software importante) oppure di escludere specifiche cartelle e chiavi del registro di sistema.

Windows diventa immutabile con UWF: cos’è e come funziona

UWF (Unified Write Filter) è un filtro di scrittura a livello di file system: tutte le modifiche apportate al disco sono reindirizzate a una cache temporanea in RAM o su disco. Al riavvio, il sistema torna esattamente allo stato iniziale.

Si tratta di uno strumento sviluppato e supportato direttamente da Microsoft. Il rovescio della medaglia è che è supportato soltanto nelle edizioni Enterprise ed Education di Windows 10 e Windows 11.

A beneficio degli utenti delle edizioni Home e Pro, Microsoft propone la storica Windows Sandbox che funziona ancora, con qualche accortezza, in Windows 11 24H2 e successivi. L’ambiente isolato permette di eseguire un’istanza di Windows separata dal resto del sistema e di default tutte le modifiche si perdono alla chiusura della sandbox.

I principi alla base di UWF

UWF agisce invece a livello di sistema operativo nella sua interezza:

• Le scritture su disco sono deviate in una “overlay cache” temporanea.
• Alla chiusura del sistema (o reboot), le modifiche sono automaticamente rimosse.
• Si possono escludere file o cartelle (ad esempio per mantenere log, aggiornamenti di sistema,…).
• Si può scegliere di applicare (“commit“) delle modifiche per renderle permanenti (ad esempio dopo un aggiornamento).

Come usare l’immutabilità di UWF in Windows

Supponendo di usare Windows 10 Enterprise o Windows 11 Enterprise, scaricabili in versione di valutazione dal sito Web di Microsoft oppure da Archive.org come spiegato nell’articolo sulle edizioni di Windows 10 supportate fino al 2032, è possibile provare UWF premendo Windows+X quindi scegliendo Windows PowerShell (Amministratore) o Terminale (Admin).

A questo punto, basta digitare quanto segue per installare la funzionalità:

Enable-WindowsOptionalFeature -Online -FeatureName "Client-UnifiedWriteFilter" -All

I comandi seguenti consentono poi di abilitare UWF sulla partizione di sistema, quindi di proteggere l’unità C:

uwfmgr filter enable
uwfmgr volume protect C:

Al termine dell’installazione e della configurazione è indispensabile riavviare il sistema per rendere effettive tutte le modifiche. Si può farlo anche dalla finestra PowerShell digitando ciò che segue:

Restart-Computer

Mettere alla prova la protezione esercitata da UWF

Dopo il riavvio, provate semplicemente a creare una cartella sul desktop di Windows. Riavviando di nuovo il sistema quindi avviando la sessione di lavoro, si noterà che la cartella e l’eventuale suo contenuto risultano scomparsi.

Con i comandi seguenti, sempre da impartire da una finestra PowerShell, è possibile escludere cartelle, file e chiavi del registro di sistema:

uwfmgr file add-exclusion C:\Logs
uwfmgr registry add-exclusion HKLM\Software\MioSoftware

Le modifiche applicate saranno in ogni caso fatte proprie dal sistema operativo e resisteranno sempre ai successivi riavvii.

Qualora si volessero salvare tutte le modifiche applicate, ad esempio dopo aver installato un software o effettuato una modifica importante, si può scrivere ciò che segue:

uwfmgr commit

Per applicare degli aggiornamenti con comodità, si può disattivare il filtro (uwfmgr filter disable) per poi riattivarlo al termine dell’operazione (uwfmgr filter enable). Tra un’operazione e l’altra riavviare il sistema (Restart-Computer).

Differenze tra UWF in Windows e distribuzioni Linux immutabili

Windows Unified Write Filter (UWF) e le distribuzioni Linux immutabili (come Fedora Silverblue, openSUSE MicroOS, Vanilla OS, NixOS, e così via) hanno in comune l’obiettivo di proteggere l’integrità del sistema, ma lo raggiungono con tecnologie, filosofie e limiti molto diversi.

UWF agisce come un filtro a livello di volume che intercetta tutte le scritture e le reindirizza in un overlay temporaneo, rendendo ogni modifica effimera salvo specifiche esclusioni. Le distribuzioni Linux immutabili, invece, integrano l’immutabilità nella loro architettura: il file system di base è a sola lettura, gli aggiornamenti sono atomici e possono essere sottoposti a procedura di annullamento (rollback), le modifiche avvengono in modo transazionale o dichiarativo.

Mentre UWF si limita a congelare lo stato corrente di un sistema convenzionale, le distribuzioni Linux immutabili offrono una piattaforma progettata fin dall’inizio per essere stabile, modulare e gestibile in modo affidabile, anche in scenari complessi come cloud, sviluppo o DevOps. In un altro articolo abbiamo analizzato da vicino il funzionamento dell’italiana Vanilla OS.

Le principali differenze a colpo d’occhio

Architettura. UWF agisce a livello di filtro del volume (driver), intercettando le scritture e salvandole in un overlay temporaneo. Linux immutabile si basa su un file system di sola lettura a livello di root (come OSTree, Btrfs con snapshot o overlayfs), con aggiornamenti atomici.

Struttura del sistema. Con UWF si utilizza un’installazione di Windows standard (seppur in edizione Enterprise o Education) modificata tramite UWF. Le distro Linux immutabili sono pensate nativamente così, con la root separata dallo stato utente.

Obiettivo primario. UWF è pensato per proteggere dispositivi specifici da modifiche, garantendo che ogni riavvio riporti il sistema a uno stato noto. Linux immutabile mira a creare un’infrastruttura stabile e gestibile per aggiornamenti controllati, rollback, e consistenza nel tempo.

Persistenza dei dati. UWF consente esclusioni configurabili per specifici file o cartelle da rendere persistenti. Linux immutabile separa chiaramente i layer: root è immutabile, ma directory come /etc, /var e /home possono essere persistenti o gestiti con overlay/snapshot.

Rollback. Con UWF, in Windows, è sempre manuale, ripristinando immagini di backup o disattivando il filtro. Le possibilità di rollback dono invece integrate in rpm-ostree, snapper, nixos-rebuild

Gestione degli aggiornamenti. UWF non gestisce aggiornamenti; ogni modifica permanente va applicata disattivando temporaneamente il filtro. Linux immutabile adotta meccanismi integrati per aggiornamenti atomici.

Facilità di configurazione. UWF è relativamente semplice da attivare ma limitato in flessibilità. Linux immutabile richiede una curva di apprendimento maggiore, ma offre controllo più granulare e coerenza nel tempo.