В Microsoft анонсировали механизм KMS Hardware-Secured, который призван защитить корпоративную активацию Windows от поддельных и клонированных серверов. Перед обработкой запросов на активацию KMS-хосту придется подтвердить с помощью TPM, что он работает на доверенном оборудовании и не был скомпрометирован.

Как правило, Key Management Service (KMS) используют организации, которым нужно активировать большое количество устройств внутри своей сети. Вместо обращения каждого компьютера к серверам Microsoft запросы обрабатывает локальный KMS-хост, который подтверждает их активацию. Новые требования коснутся именно таких хостов.

По словам специалистов Microsoft, злоумышленники могут создавать поддельные или клонированные KMS-хосты и использовать их для обхода лицензионных ограничений, а механизм KMS Hardware-Secured должен усложнить подобные атаки.

В новой схеме сервер сначала должен подтвердить свою подлинность с помощью Trusted Platform Module (TPM). Этот модуль хранит криптографические ключи и позволяет проверить, что система работает на доверенном железе, а ее конфигурацию не модифицировали. Только после проверки с участием TPM Microsoft разрешит KMS-хосту обрабатывать запросы на активацию Windows.

Изменения не затронут обычную OEM- или retail-активацию Windows и не вводят обязательную привязку пользовательских лицензий к железу. Однако нововведение может ударить по эмуляторам и поддельным KMS-хостам, которые нередко используются для активации ОС.

Развертывание нового механизма начнется в августе 2026 года: в Windows Server 2025 появятся уведомления, которые помогут администраторам проверить, соответствует ли KMS-хост новым требованиям, и система сообщит, подходит ли сервер для KMS Hardware-Secured.

В настоящее время TPM-аттестация для серверов не является обязательной, и существующие KMS-хосты продолжат работать как раньше. Ожидается, что более жесткие требования вступят в силу со следующим LTSC-релизом Windows Server. Вероятно, речь идет о Windows Server 2028, хотя представители Microsoft не называют конкретной версии.

Как отмечает издание Neowin, KMS Hardware-Secured станет очередным шагом на пути к модернизации механизма активации Windows. В частности, в конце 2025 года стало известно, что перестал работать офлайн-способ активации Windows 10 и 11 через KMS38, а также был отключен официальный способ активации Windows 10 и 11 по телефону. Тогда разработчики объясняли это борьбой с мошенничеством, заявляя, что компания регулярно сталкивается с проблемами, связанными с идентификацией устройств и лицензированием ПО.