This article explains the steps to opt in to using HVCI on Windows devices.

🔐 Про CPU в системных требованиях #Windows11

В прошлый раз было про TPM. Туда я чуть позже добавил PDF от Microsoft с разбором минимальных требований и отсылкой к спискам поддерживаемых процессоров.

Вчера Проничкин ретвитнул команду #PowerShell, которая конкретизирует аппаратное требование к CPU и раскрывает его связь с уровнем обеспечения безопасности Windows.

Get-CimInstance -Namespace ROOT\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard

Этот класс WMI содержит сведения о возможностях и текущих параметрах Device Guard, #классика блога про его настройку в помощь. В документации сказано, что этот класс есть только в корпоративном издании, но у меня сработало и в Pro.

Конкретнее, нужно смотреть параметр AvailableSecurityProperties, например, так:
(Get-CimInstance -Namespace ROOT\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard).AvailableSecurityProperties

👉 Выводится столбик цифр от 0 до 8. Каждая соответствует свойству безопасности Device Guard. Если в списке есть цифра 7, ваш ЦП поддерживается.…

⚙️ О включении HVCI из коробки в #Windows11

Позавчера я выразил мнение, что Microsoft хочет включать защиту целостности памяти на всех ПК, которые поддерживаются новой ОС. Это в идеале, конечно. И уже на следующий день мне попался документ, проливающий свет на реальное состояние дел: Hypervisor-protected Code Integrity enablement.

📃 Список исключений большой. #HVCI из коробки НЕ включается при таких раскладах:

🔹 Вы обновились с Windows 10, где защита целостности кода была выключена. Это действует и сейчас при обновлениях с 1803 и новее.
🔹 Версии Windows 11 для Китая и Кореи во избежание конфликтов с популярными системами анти-чита.
🔹 На ПК с менее чем 8GB RAM и без SSD. П - производительность!
🔹 На ПК с процессором старше, чем Intel 11-го поколения или AMD Ryzen 3000. С Intel странно. В #Windows10 1803 заявляли автоматическое включение с седьмого поколения, и MBEC реализован в Kaby Lake. Однако это поколение в список поддерживаемых ЦП не попало, а Microsoft сослалась на ограниченную поддержку (limited support)…