A TPM neve a legtöbb felhasználónak a Windows 11 sokat vitatott rendszerkövetelményei miatt lehet ismerős. Egy hardveres kriptoprocesszor, amely biztonságosan képes kulcsokat létrehozni és tárolni, valamint ellenőrizheti a rendszerindítás és az eszköz állapotát. Az egyik legfontosabb tulajdonsága, hogy a benne tárolt privát kulcsokat úgy lehet használni, hogy azok ne legyenek kimásolhatók a modulból. A Microsoft most ismét ehhez a hardveres biztonsági megoldáshoz nyúl, ezúttal azonban nem az otthoni számítógépeket, hanem a vállalati Windows-aktiválást kiszolgáló szervereket érinti a változás. A vállalat új, KMS Hardware-Secured nevű rendszere TPM-alapú hitelesítéssel ellenőrzi majd, hogy a Windows-példányokat aktiváló KMS-gazdagép valódi, megbízható hardveren működik-e, és nem módosították-e illetéktelenül. A Microsoft ezzel elsősorban a vállalati licencelési infrastruktúrát szeretné biztonságosabbá tenni, de a megoldás a hamis vagy lemásolt aktiválószerverek használatát is jelentősen megnehezítheti.
A Microsoft hivatalos dokumentációja szerint a Key Management Service, röviden KMS arra szolgál, hogy a mennyiségi licenccel rendelkező vállalatok és intézmények a saját helyi hálózatukon keresztül aktiválhassák a Windowst és a Windows Servert. Ilyenkor nem minden egyes számítógép fordul közvetlenül a Microsoft szervereihez, hanem a helyi KMS-gazdagéptől kapja meg az aktiválást. A rendszer a Microsoft szerint kliens-szerver modellben működik. A vállalati gépek időről időre kapcsolatba lépnek a helyi KMS-szerverrel, az aktiválás pedig 180 napig érvényes, és rendszeres kapcsolódással újul meg. A technológia használatához a KMS-gazdagépnek egy, a Microsoft által kiadott vállalati licenckulccsal is rendelkeznie kell.
A KMS ugyanakkor régóta a Windows-kalózkodás egyik fontos eszköze is. A különböző aktivátorok úgy tesznek, mintha a felhasználó számítógépe egy jogosult vállalati KMS-kiszolgálóhoz kapcsolódna, így licenc megvásárlása nélkül próbálják aktivált állapotban tartani az operációs rendszert. A PCW korábban már bemutatta, milyen veszélyeket rejthetnek ezek az eszközök: egy KMSpico telepítőjének álcázott kártevő például böngészők és kriptovalutás pénztárcák adatait próbálta ellopni. A kalózaktivátorok letöltése tehát a licencelési problémák mellett komoly biztonsági kockázatot is jelenthet.
Az új rendszer lényege, hogy a KMS-gazdagépnek a jövőben nemcsak egy megfelelő szoftveres konfigurációval és licenckulccsal kell rendelkeznie, hanem TPM-alapú igazolást is szolgáltatnia kell a Microsoft felé. A változásról szóló első beszámolók alapján könnyű arra következtetni, hogy a Microsoft a TPM segítségével közvetlenül ellenőrzi majd az otthoni számítógépeket, és automatikusan letiltja az illegálisan aktivált Windows-példányokat. Az új védelem azonban nem így működik.
A KMS Hardware-Secured a vállalati aktiválást biztosító KMS-gazdagépekre vonatkozik, nem pedig minden egyes Windows 11-es számítógépre. Az új követelmény tehát nem azt jelenti, hogy egy otthoni gép TPM-modulja a felhasználó licencének eredetiségét fogja vizsgálni. A módosítás elsősorban azokat a nem hivatalos szolgáltatásokat érintheti, amelyek valódi vállalati KMS-szervernek álcázva aktiválnak nagyszámú számítógépet. Más, KMS-től független aktiválási eljárásokra azonban önmagában nem feltétlenül lesz hatással. A Microsoft ráadásul már korábban is célba vett egyes kalózaktiválási módszereket. A 2025. novemberi Windows-frissítések után működésképtelenné vált a KMS38 egyik széles körben használt megoldása, bár annak fejlesztői más aktiválási módszerek felé terelték a felhasználókat.
A Microsoft nem azonnal teszi kötelezővé az új rendszert. A vállalat tervei szerint 2026 augusztusától a Windows Server 2025 először csak felkészültségi üzeneteket jelenít meg a rendszergazdáknak. Ezekből kiderülhet, hogy az adott KMS-gazdagép alkalmas-e a későbbi hardveres hitelesítés használatára. A fokozatos bevezetésre azért van szükség, mert a KMS-gazdagépek fizikai és virtuális Windows-rendszereken egyaránt működhetnek. A vállalatoknak ezért ellenőrizniük kell, hogy a jelenlegi szervereik rendelkeznek-e megfelelő TPM-mel vagy virtuális TPM-támogatással, és szükség esetén új infrastruktúrára kell átállniuk. A Microsoft egyelőre nem közölt több részletet arról, hogy pontosan mikortól tagadja majd meg az aktiválást a TPM-alapú hitelesítésre alkalmatlan KMS-szerverektől. Az augusztusi változás ezért elsősorban figyelmeztetés és felkészülési időszak, nem pedig azonnali lekapcsolás.
A változás a jogszerűen működő otthoni Windows-felhasználókat várhatóan egyáltalán nem érinti. A vállalati rendszergazdák számára viszont újabb ellenőrzési és esetleges hardvercsere-feladatot jelenthet, a hamis KMS-szolgáltatások üzemeltetőinek pedig az eddiginél jóval nehezebb lesz hiteles Microsoft-infrastruktúrának kiadniuk magukat.
