Microsoft внедрит TPM-проверку KMS для корпоративной активации Windows

27.07.2026 Big 0 Комментариев Технологии

Microsoft объявила о модернизации механизма корпоративной активации Windows. Компания внедряет аппаратную проверку KMS-серверов через TPM-чипы (Trusted Platform Module). Новая система должна повысить безопасность корпоративной инфраструктуры и затруднить использование поддельных (эмулируемых) серверов активации. TPM-attestation станет обязательной для KMS Hardware-Secured в следующем выпуске Windows Server LTSC. Текущая версия Windows Server 2025 выполнит роль переходного этапа: система начнёт предупреждать администраторов о необходимости подготовки инфраструктуры к будущему переходу на новый стандарт защиты.

Изменения в механизме корпоративной активации

Key Management Service (KMS) используется организациями для централизованной активации Windows и других продуктов Microsoft по корпоративным лицензиям внутри закрытой сети. Новый механизм добавляет процедуру TPM-based attestation. Перед обслуживанием клиентских запросов KMS-сервер должен подтвердить свою подлинность с использованием возможностей Trusted Platform Module.

По информации Microsoft, переход на аппаратную защиту разделен на этапы. Windows Server 2025 станет первым выпуском, который начнет информировать администраторов о грядущих изменениях. Полное внедрение и обязательное требование TPM-attestation для KMS Hardware-Secured запланировано на следующий релиз Windows Server LTSC (Long-Term Servicing Channel).

Принцип работы TPM-based attestation

Новая схема добавляет криптографическую проверку KMS-хоста на базе TPM. Аттестация выполняется с использованием криптографических функций чипа, который выступает аппаратным корнем доверия (Root of Trust) для всей операционной среды.

Во время процедуры аттестации сервер подтверждает четыре ключевых параметра:

наличие доверенного TPM-модуля и поддержку функции Key Attestation;
подлинность аппаратного обеспечения;
целостность процесса загрузки (Secure Boot);
отсутствие несанкционированных изменений критически важных компонентов системы.

Только после успешной проверки сервер сможет выполнять корпоративную активацию клиентов Windows в режиме KMS Hardware-Secured.

Причины обновления протокола KMS

Microsoft объясняет изменения необходимостью повысить безопасность корпоративных сетей. Основная цель — защитить процесс активации от спуфинг-атак (spoofing) и злоупотреблений. Поддельные (эмулируемые) KMS-серверы многие годы использовались не только для обхода лицензирования, но и могли становиться частью вредоносной инфраструктуры, предоставляя злоумышленникам скрытую точку входа в корпоративную сеть.

По оценке отраслевых изданий TechSpot, Neowin и Help Net Security, используемые сегодня схемы эмуляции KMS могут перестать работать или стать значительно сложнее в эксплуатации после полного внедрения TPM-based attestation.

Влияние на пользователей и администраторов

Для организаций, использующих официальные корпоративные лицензии Microsoft и поддерживаемое оборудование, механизм активации продолжит работать при соблюдении новых требований к KMS-хостам. Администраторам рекомендуется заранее проверить наличие TPM-модуля, совместимость серверов с новым механизмом и общую готовность инфраструктуры к будущему обновлению Windows Server.

Это ожидаемое последствие новой модели защиты, направленное на устранение уязвимостей в цепочке доверия и перенос фокуса с программной конфигурации на аппаратно подтверждённую идентичность платформы.

Место нововведения в стратегии безопасности Microsoft

Новый механизм продолжает курс компании на аппаратное усиление безопасности операционной системы Windows. В предыдущие годы Microsoft сделала TPM 2.0 обязательным требованием для установки Windows 11, усилила защиту Secure Boot и последовательно продвигает аппаратную модель доверия для критичных компонентов экосистемы.

TPM-based attestation становится логичным продолжением этой стратегии, распространяя аппаратную проверку на инфраструктуру корпоративной активации.

Сравнение моделей проверки KMS

Параметр	Классическая модель KMS	Новая модель KMS Hardware-Secured
Метод проверки	Проверка на основе программной конфигурации KMS-хоста.	Проверка через TPM-attestation.
Основа доверия	Доверие основано на конфигурации сервера.	Доверие основано на аппаратной идентичности и целостности платформы.
Риск эмуляции	Возможна эмуляция KMS-хоста программными методами.	Эмуляция существенно усложняется после внедрения аппаратной аттестации.
Уязвимость к атакам	Более высокий риск спуфинга и подмены KMS-сервера.	Аппаратная криптографическая проверка снижает риск подмены.

Ключевые выводы

Microsoft внедряет TPM-based attestation для защиты корпоративной активации через протокол KMS.
Проверка подлинности переносится с программной конфигурации на аппаратный корень доверия (Root of Trust).
Windows Server 2025 будет предупреждать администраторов о грядущих изменениях в инфраструктуре.
Обязательным требованием новая защита станет в следующем выпуске Windows Server LTSC.
Нововведение направлено на существенное усложнение эксплуатации эмулируемых KMS-серверов и предотвращение спуфинг-атак.
Домашние пользователи, использующие розничные ключи или цифровые лицензии, не затрагиваются этими изменениями.

Часто задаваемые вопросы (FAQ)

Затронут ли изменения домашние компьютеры?

Нет. Нововведение относится исключительно к корпоративной активации через протокол KMS. Домашние пользователи, применяющие розничные ключи или цифровые лицензии, не столкнутся с изменениями в процессе активации своих устройств.

Будут ли работать легальные корпоративные лицензии?

Да. При соблюдении новых требований к оборудованию механизм активации продолжит работать в штатном режиме. Организациям необходимо убедиться в наличии TPM-модуля на серверах и их совместимости с обновлением.

Что такое TPM-based attestation?

Это процедура аппаратной криптографической проверки KMS-сервера с использованием чипа Trusted Platform Module (TPM). Она подтверждает подлинность оборудования и целостность системы перед выполнением активации клиентских устройств.

Нужно ли обновлять существующий KMS-сервер?

Если организация использует KMS, Microsoft рекомендует заранее подготовить инфраструктуру. Администраторам следует проверить совместимость оборудования с новыми требованиями и следить за официальными обновлениями Windows Server.

Когда TPM-проверка станет обязательной?

Microsoft планирует сделать TPM-based attestation обязательной в следующем выпуске Windows Server LTSC. Текущая версия Windows Server 2025 служит этапом подготовки и будет выдавать системные предупреждения администраторам.