Microsoft усиливает защиту механизма массовой активации Windows: серверы Key Management Service (KMS) придётся подтверждать аппаратным способом — через криптографический чип TPM. Это нововведение направлено против пиратских активаторов, которые на протяжении многих лет имитировали корпоративные серверы активации.
Как это работает
Key Management Service — это корпоративный инструмент, позволяющий активировать Windows в крупных сетях: локальный KMS-хост обрабатывает запросы устройств вместо прямого обращения к серверам Microsoft. Именно эту схему и используют пиратские утилиты, выдающие себя за легитимный KMS-сервер и выдающие поддельные лицензии.
Новое решение под названием KMS Hardware-Secured добавляет проверку на аппаратном уровне. Процедура состоит из трех этапов: KMS-хост подтверждает свою аппаратную идентичность через TPM, Microsoft проверяет эту аттестацию, а сам чип подтверждает, что платформа не была скомпрометирована. Только после этого хост получает право обрабатывать запросы на активацию.
Trusted Platform Module — это отдельный криптографический модуль для изолированного хранения ключей и сертификатов. Начиная с Windows 11, наличие TPM 2.0 является обязательным требованием, а современные процессоры Intel и AMD поддерживают эту функцию на уровне прошивки.
Сроки внедрения
| Этап | Когда |
|---|---|
| Предупреждающие сообщения в Windows Server 2025 | август 2026 года |
| Обязательное требование (следующая версия Windows Server LTSC) | 2028 год |
Проверить готовность системы можно с помощью команды slmgr /dlv. Администраторам физических серверов необходимо включить TPM 2.0, а рекомендации для виртуальных машин Microsoft обещает опубликовать позже.
Кого это на самом деле касается
Несмотря на громкие заголовки о «конце пиратской Windows», изменения имеют четко очерченные границы. Они касаются исключительно корпоративного механизма KMS и не затрагивают обычных пользователей с розничными, OEM- или цифровыми лицензиями. Для домашнего ПК с легально активированной системой ничего не изменится.
В то же время удар действительно ощутим для наиболее распространённого класса активаторов — тех, которые работают посредством эмуляции KMS-сервера. Такие инструменты не смогут пройти аппаратную аттестацию, поскольку не имеют доступа к доверенному TPM-хосту.
Впрочем, объявлять об окончательной победе пока рано: в сообществе разработчиков неофициальных инструментов уже обсуждают возможные способы обхода нового механизма. Кроме того, это требование станет обязательным лишь через два года, поэтому существующие схемы активации будут работать ещё долгое время.
