Windows 11: arriva la gestione dei permessi ispirata ad Android

La gestione granulare dei permessi applicativi rappresenta una delle sfide storiche dei sistemi operativi desktop. Microsoft ha annunciato l’introduzione in Windows 11 di controlli di sicurezza ispirati ai modelli adottati sui dispositivi mobili, ad esempio su Android, con l’obiettivo di richiedere il consenso esplicito dell’utente prima che le applicazioni possano accedere a risorse sensibili come file locali, microfono e fotocamera.

La novità si inserisce in una traiettoria evolutiva che, dalla diffusione di Windows 10 nel 2015 fino all’adozione di Windows 11 dal 2021, sta progressivamente trasformando il sistema operativo. L’approccio segnala una convergenza tra sicurezza desktop e mobile, spinta dall’aumento delle superfici di attacco legate a software Win32 tradizionali, applicazioni Microsoft Store e Progressive Web App (PWA).

Dal modello permissivo del desktop alle richieste di consenso esplicito

Le piattaforme Windows storicamente hanno privilegiato un modello di esecuzione applicativa relativamente permissivo, fondato su meccanismi come User Account Control (UAC) per l’elevazione dei privilegi e su criteri di sicurezza applicati tramite criteri di gruppo e policy aziendali.

L’introduzione di richieste di autorizzazione dinamiche rappresenta un cambiamento significativo: il sistema mostrerà finestre di consenso simili a quelle di Android e iOS quando un’app tenterà di accedere a risorse locali, consentendo un controllo contestuale invece che preventivo.

L’impostazione vuole ridurre il rischio di accessi silenziosi a periferiche e dati personali, fenomeno sfruttato da malware e software invasivi. Dal punto di vista tecnico, l’implementazione richiede un’integrazione a livello di kernel e API di sistema per intercettare le chiamate di accesso a risorse quali Windows Runtime, driver multimediali e file system, in modo da collegare ogni richiesta a un contesto utente verificabile.

Windows 11 e Windows 10 non disponevano già di un sistema per l’autorizzazione all’uso di microfono, videocamera e così via?

Un sistema di autorizzazioni per microfono, fotocamera, posizione e altre risorse “sensibili” esiste già in Windows 10 (dalla versione 1803/1809) ed è stato ulteriormente consolidato in Windows 11. Tuttavia, il modello attuale presenta alcune limitazioni strutturali che spiegano perché Microsoft stia introducendo controlli “in stile mobile” più granulari.

In Windows 10 e 11 le autorizzazioni sono gestite principalmente tramite le impostazioni sulla privacy (Impostazioni, Privacy e sicurezza), con opzioni globali e per-applicazione che regolano l’accesso a dispositivi come webcam e microfono.

Il sistema funziona bene per le applicazioni Microsoft Store perché sfrutta il modello di sandbox e le API di Windows Runtime che impongono dichiarazioni esplicite sulle capacità di ciascuna applicazione all’interno del rispettivo file manifest.

Il problema emerge con il vasto parco software Win32 tradizionale, che rappresenta ancora la maggioranza delle applicazioni desktop. Questi programmi possono interagire con driver e API di basso livello senza passare necessariamente per i medesimi controlli dichiarativi, e in molti casi l’utente non riceve un prompt contestuale al primo accesso alla risorsa. L’autorizzazione è quindi più statica che dinamica: si imposta a posteriori o in modo globale, invece di essere richiesta nel momento esatto in cui l’app tenta di utilizzare la periferica.

I nuovi controlli annunciati da Microsoft puntano proprio a colmare questo divario: non sostituire il sistema esistente, ma renderlo uniforme per tutte le tipologie di applicazioni, incluse quelle Win32.

Windows Baseline Security Mode e trasparenza del consenso

Il progetto annunciato introduce due iniziative complementari: Windows Baseline Security Mode e User Transparency and Consent. La prima mira a stabilire un profilo di sicurezza di base applicato a tutti i dispositivi Windows 11, indipendentemente dall’edizione, con impostazioni predefinite più restrittive per l’accesso a risorse critiche. La seconda punta a rendere trasparenti le operazioni più “delicate”, fornendo all’utente notifiche comprensibili e controlli centralizzati per revocare o modificare le autorizzazioni.

Il modello richiama le architetture di sicurezza sandbox già impiegate nelle applicazioni Microsoft Store, ma estende la logica anche ai software Win32 tradizionali, storicamente meno isolati.

Ciò comporta l’introduzione di un layer di mediazione che associa i token di sicurezza dei processi alle policy di consenso, evitando che le applicazioni aggirino le restrizioni mediante chiamate dirette alle API di basso livello.

Scenari di attacco mitigati e limiti operativi

L’introduzione di prompt di consenso esplicito riduce l’efficacia di tecniche di attacco che sfruttano l’accesso automatico a dispositivi e dati locali. Malware distribuiti tramite allegati o trojan, ad esempio, potrebbero essere limitati nell’attivazione silente delle varie funzionalità di sistema, poiché l’utente riceverebbe una richiesta di autorizzazione non mascherabile dall’applicazione.

Restano tuttavia limiti strutturali. Le applicazioni eseguite con privilegi elevati o in contesti enterprise gestiti tramite criteri centralizzati potrebbero bypassare alcune richieste di consenso, soprattutto in ambienti bastate sulle policy di dominio Active Directory.