Congelare Windows e annullare ogni modifica al riavvio

Lasciare il computer a disposizione di colleghi sbadati o farlo usare a bambini curiosi finisce quasi sempre nello stesso modo: icone cancellate, programmi spazzatura installati e cartelle di sistema manomesse. L'ansia di dover formattare o ricorrere a punti di ripristino instabili spinge a cercare una barriera che renda il sistema operativo totalmente impermeabile.

La risposta consiste nel congelare il disco rigido. Invece di affidarsi a un antivirus che interviene solo a danno già avvenuto, questa tecnologia devia ogni operazione di scrittura verso una memoria provvisoria: spegnendo la macchina ogni variazione scompare, facendo ripartire Windows sempre identico allo stato iniziale.

LEGGI ANCHE: Attivare e Automatizzare Protezione Sistema Windows 11

Come funziona il ripristino continuo del sistema

Il ripristino continuo del sistema intercetta le richieste di scrittura sul disco rigido reindirizzandole su una memoria temporanea. Al momento dello spegnimento questo livello provvisorio viene eliminato, facendo ripartire il sistema operativo dallo stato originale senza conservare file scaricati, modifiche al registro o infezioni.

I tradizionali punti di ripristino di Windows falliscono quando un malware disattiva il servizio di copia shadow o altera i registri di avvio. Il congelamento del disco lavora invece a livello logico inferiore: l'utente visualizza finestre e installa software normalmente, ma ogni bit modificato risiede in una sandbox temporanea. Spegnendo o riavviando la macchina, il livello virtuale viene spazzato via e il sistema torna allo stato iniziale senza bisogno di formattazioni.

I programmi storici ormai inutilizzabili su Windows 11

Molti blog consigliano ancora software storici che sui computer moderni risultano dannosi. Reboot Restore Rx ha ritirato la versione gratuita e il suo modulo di avvio entra in conflitto con il Secure Boot e le partizioni GPT, causando schermate nere dopo gli aggiornamenti cumulativi. Shadow Defender non viene aggiornato da anni e Microsoft ha inserito il suo file di installazione nella lista di blocco di sistema perché viola l'isolamento del kernel. Anche la funzione nativa Unified Write Filter (UWF), spesso citata online, rimane inattiva sulle edizioni Home e Pro, operando unicamente sulle costose licenze Enterprise.

La procedura immediata con strumenti nativi

Se la necessità primaria consiste nel provare applicazioni sconosciute, navigare su siti sospetti o aprire allegati di posta senza rischi, la strada più rapida non richiede alcuna installazione esterna.

Su Windows 10 e Windows 11 Pro o Enterprise basta abilitare Windows Sandbox. Si premono i tasti Windows e R, si digita il comando di gestione delle funzionalità facoltative e si preme Invio:

optionalfeatures.exe

Nella finestra che compare si scorre l'elenco, si inserisce la spunta accanto alla voce Sandbox di Windows e si conferma con un riavvio del computer. All'avvio successivo si trova nel menu Start un ambiente desktop isolato e leggero. Al suo interno è possibile incollare file dal desktop reale ed eseguire qualsiasi programma. Appena si chiude la finestra della Sandbox con la crocetta in alto a destra, l'intera sessione viene distrutta e nessun file può infettare il sistema principale.

Sui computer con Windows Home, dove questa voce non è inclusa, si ottiene lo stesso isolamento sfruttando programmi per creare una sandbox o zona protetta e isolata del computer oppure configurando una macchina virtuale gratuita su VirtualBox da ripristinare tramite istantanee salvate.

Per le postazioni condivise usate da più persone, la configurazione più pulita prevede l'attivazione della Modalità PC condiviso integrata nel sistema operativo. Tramite questa impostazione, Windows assegna agli ospiti un profilo a tempo: non appena l'utente esegue la disconnessione, il sistema elimina la cartella del profilo, la cronologia web e i documenti temporanei, lasciando la postazione pronta per la persona successiva.

La procedura avanzata: avvio nativo da disco virtuale differenziale

Per ottenere un computer reale che si azzera a ogni riavvio senza installare driver invasivi o rompere la compatibilità con UEFI e Secure Boot, la soluzione adottata dagli amministratori di sistema consiste nell'avviare Windows da un file VHDX differenziale.

Il principio si basa sulla creazione di due dischi virtuali:

• Disco Base (Padre). Contiene l'installazione pulita di Windows, i driver della scheda madre e i programmi essenziali. Questo file viene contrassegnato con l'attributo di sola lettura per impedire qualsiasi alterazione.
• Disco Differenziale (Figlio). Registra unicamente i cambiamenti, le scritture e i file scaricati durante la sessione di lavoro.

Per preparare la struttura si crea innanzitutto l'immagine base del sistema operativo dentro un volume secondario, ad esempio in D:. Successivamente, tramite il Prompt dei comandi avviato come amministratore, si richiama lo strumento di gestione dischi per generare il file secondario:

diskpart
create vdisk file="D:\Win_Differenziale.vhdx" parent="D:\Win_Base.vhdx"
exit

A questo punto si inserisce la nuova voce nel menu di avvio di Windows tramite l'utilità BCDboot:

bcdboot V:\Windows

Per automatizzare il ripristino a ogni accensione, la rotta di Navigaweb prevede uno script batch inserito nell'ambiente di avvio Windows PE che sovrascrive il file differenziale con una copia vuota prelevata da una cartella di riserva. All'avvio della macchina, prima del caricamento del desktop, il comando elimina il vecchio file figlio pieno di modifiche e ne posiziona uno azzerato:

del D:\Win_Differenziale.vhdx
copy D:\Backup\Win_Differenziale_Pulito.vhdx D:\Win_Differenziale.vhdx

Questo metodo sfrutta unicamente i componenti originali di Microsoft: non ci sono problemi con il chip TPM, non si verificano blocchi improvvisi di BitLocker e il sistema riparte sempre veloce e privo di scorie.

Cosa considerare prima di bloccare la scrittura sul disco

Rendere un sistema operativo del tutto immutabile comporta alcuni vincoli da gestire in anticipo:

• Loop degli aggiornamenti cumulativi. Se Windows scarica una serie di patch che richiedono due o tre riavvii consecutivi per completare la configurazione, il congelamento annulla i file di transito al primo riavvio. La macchina entra in un ciclo di tentativi di ripristino automatico. Per aggiornare Windows è obbligatorio avviare direttamente il disco base, installare le patch e ricreare il differenziale pulito.
• Minacce attive durante la sessione. L'azzeramento al riavvio cancella il malware dal disco rigido, ma non impedisce a uno spyware attivo in memoria di intercettare password o dati di carte bancarie nel corso dell'utilizzo prima dello spegnimento.
• Separazione dei documenti personali. Qualsiasi file salvato sul desktop o nella cartella Download svanisce allo spegnimento. Risulta indispensabile abituarsi a salvare i file di lavoro su una chiavetta USB, su un secondo disco non protetto o sincronizzarli su uno spazio cloud.

Diario di bordo di Navigaweb

Quando ho allestito il primo computer destinato a parenti e amici con l'obiettivo di non doverci rimettere mano ogni settimana, ho fatto l'errore di installare un programma di congelamento di terze parti: al primo aggiornamento corposo di sistema, il PC ha smesso di avviarsi e ho dovuto recuperare i file smontando l'unità. Da allora ho abbandonato quei software obsoleti. Per chi vuole solo navigare senza paura consiglio di sfruttare la Sandbox nativa di Windows; chi invece ha bisogno di un computer che si azzera a ogni riavvio troverà nei dischi VHDX differenziali l'unico sistema davvero solido, pulito e capace di durare nel tempo.