Por que o Windows 11 é tão exigente com os requisitos de hardware segundo a Microsoft

O Windows 11 promete refinar a gestão de janelas, executar aplicações Android, e unificar o aspecto e a sensação das aplicações integradas no sistema operativo após anos de frustrante estagnação. Mas nada disso importa se o seu computador não puder executar o software, e a Microsoft só prometeu suporte oficial do Windows 11 para computadores lançados nos últimos três ou quatro anos. Qualquer outra pessoa será capaz de executar o sistema operativo se cumprir os requisitos de desempenho, mas terá de descarregar um ficheiro ISO e instalar o sistema operativo manualmente em vez de o fazer através do Windows Update.

Isto é uma novidade em relação às versões anteriores do Windows, que até agora tinham mais ou menos os mesmos requisitos de sistema durante uma década. A Microsoft utilizou efectivamente a capacidade de correr em hardware mais antigo como ponto de venda para o Windows 10, tornando-o disponível como uma actualização gratuita para todos os computadores a correr o Windows 7 e o Windows 8.

A lógica da Microsoft para os rigorosos requisitos oficiais de suporte do Windows 11 – incluindo o Secure Boot, um módulo TPM 2.0, e suporte à virtualização – sempre se centrou na segurança e não no desempenho em bruto.

Uma publicação da Microsoft revela esses requisitos com mais detalhe e também fala sobre a estabilidade do sistema utilizando dados de crash de PCs mais antigos no programa Windows Insider.

Drivers e estabilidade

A Microsoft diz que os PCs com programas que não cumpriam os requisitos mínimos do Windows 11 “tinham 52% mais falhas no modo kernel” do que os PCs que o faziam e que “os dispositivos que cumprem os requisitos do sistema tinham uma experiência sem falhas de 99,8%” De acordo com a Microsoft, isto resume-se principalmente ao suporte activo de driver.

Os computadores mais recentes utilizam sobretudo DCH drivers, A Microsoft começou a explorar uma forma de empilhar drivers que era compatível com o DCH no Windows 10. Para ser compatível com DCH, um driver deve instalar utilizando apenas um ficheiro .INF típico, deve separar as personalizações de drivers específicos de OEM do próprio driver, e deve distribuir quaisquer aplicações que acompanhem o driver (como um painel de controlo para um driver de áudio ou GPU) através da Microsoft Store. Muitos utilizadores nos últimos anos têm usado drivers DCH, mas são raros ou inexistentes para hardware feito na era do Windows 8 ou Windows 7.

Certamente, os computadores a partir de 2012 ou 2014 vão estar a correr drivers desactualizados que causam falhas – a utilização de drivers da era Windows 7 em computadores mais antigos com Windows 10 pode levar a instabilidade ou mau desempenho geral. Mas os números da Microsoft não fazem distinção entre estes sistemas mais antigos e os computadores mais recentes que quase, mas não o fazem completamente, falham os requisitos do sistema, como os sistemas Intel Core de 6ª e 7ª gerações e os sistemas Ryzen de primeira geração que incluem módulos TPM 2.0 e ainda gozam do suporte de drivers DCH activos da Intel, AMD, e (em muitos casos) das empresas que fabricaram os computadores.

Presumivelmente, a instalação manual do Windows 11 nestes PCs irá parecer mais ou menos estável do que a sua instalação num dispositivo oficialmente suportado, mas é algo que teremos de testar por nós próprios.

Uma pilha gigante de acrónimos de segurança

É aí que os requisitos de segurança voltam a ser aplicados. A Microsoft vai mais longe para explicar os benefícios da utilização dos módulos Secure Boot e TPM 2.0, mas a chave pode na realidade ser o requisito de virtualização menos discutido e uma sopa de alfabeto de acrónimos.

O Windows 11 (e também o Windows 10!) utilizam virtualization-based security, ou VBS, Para isolar partes da memória do sistema do resto do sistema. VBS inclui uma funcionalidade opcional chamada “integridade da memória” que é o nome mais fácil de usar para algo chamado integridade de código protegido por Hypervisor, ou HVCI. HVCI pode ser activada em qualquer PC Windows 10 sem problemas de incompatibilidade de controladores, mas os computadores mais antigos incorrerão numa penalização de desempenho significativa porque os seus processadores não suportam o controlo de execução baseado em Modos, ou MBEC.

E esse acrónimo parece estar na raiz da lista de suporte de CPU do Windows 11. Se suporta MBEC, geralmente, está aprovado, se não suportar, está fora. O suporte MBEC só está incluído em processadores relativamente novos, começando com as arquitecturas Kaby Lake e Skylake-X do lado da Intel, e a arquitectura Zen 2 do lado da AMD – isto combina quase perfeitamente, embora não exactamente, com as listas de suporte de processadores do Windows 11.

É mais fácil pensar no MBEC como uma aceleração do hardware para a característica de integridade da memória, como AES-NI instructions. Os computadores sem AES-NI ainda podem utilizar a encriptação BitLocker, por exemplo, apenas têm que lidar com uma penalização de desempenho mais notória. O mesmo se aplica à funcionalidade de integridade da memória e aos MBEC-PCs sem processadores que suportam MBEC que confia em emulação de software chamada “Restricted User Mode,” O que traz os benefícios de segurança, mas afecta mais o desempenho.

Alguns utilizadores que testaram a funcionalidade HVCI no Windows 10 em processadores sem suporte MBEC notaram o desempenho é reduzido em 40 porcento, embora isto dependa das tarefas que estamos a executar e do computador que estamos a utilizar.

A característica de integridade da memória está presente no Windows 10- “secured-core PC“. A iniciativa lançada em finais de 2019 mandata o suporte a todos os requisitos de segurança do Windows 11 e mais alguns outros. Mas para a maioria dos PCs, o HVCI é normalmente desactivado por defeito em todos os sistemas, excepto nos mais recentes.

A Microsoft diz aos OEMs para permitir HVCI por defeito em todos os PCs Intel Core da 11ª geração, qualquer coisa com um dos processadores Zen 2 ou Zen 3 da AMD (que abrange os chips Ryzen 3000, 4000, e 5000-series), e o Qualcomm Snapdragon 8180 SoC e mais recentes; também requerem pelo menos 8GB de RAM e um SSD de 64GB ou maior. Se estiver a construir um PC e fizerem uma nova instalação do Windows 10, o HVCI não será activado por defeito, mesmo que cumpra esses requisitos.

Então, se a Microsoft está a exigir o suporte HVCI acelerado pelo MBEC (que frase) em todos os PCs Windows 11, então certamente está a alterar as definições de segurança por defeito para tirar partido dessas características? O post do blog da empresa afirma que a resposta é actualmente não, pelo menos não nos PCs existentes (ênfase nos nossos):

“Embora o Windows 11 não exija o VBS, acreditamos que os seus benefícios de segurança são tão importantes que definimos os requisitos mínimos do sistema para assegurar que cada PC a executar o Windows 11 possa satisfazer a mesma segurança de que o [Departamento de Defesa dos EUA] depende. Em parceria com os nossos parceiros OEM e de Chipsets , iremos permitir o VBS e HVCI na maioria dos novos PCs durante o próximo ano. E continuaremos a procurar oportunidades para expandir o VBS através de mais sistemas ao longo do tempo”

Assumindo que o suporte total de hardware HVCI e MBEC é o que está a conduzir os novos requisitos do Windows 11,  existem inclusões e exclusões estranhas das listas de processadores suportados. Porque é que apenas uma mão cheia de chips Intel Core de 7ª geração de topo de gama são oficialmente suportados, embora a própria documentação da Microsoft sobre o Windows 10 diga claramente que estes chips irão suportar o Windows 10 pois o HVCI funciona em todos os processadores Kaby Lake?

Estamos curiosos sobre a razão pela qual processadores AMD Zen+ como os CPUs Ryzen série 2000 e APUs série 3000 aparecem na lista de suporte da Microsoft, ainda que aparentemente só suportem MBEC a partir do lançamento do Zen 2. Seria bom obter respostas até este Outono quando o Windows 11 for lançado para utilizadores públicos.