Windows 11: новое правило Microsoft относительно модулей TPM не затронет ваш компьютер

С выходных в сети циркулируют сообщения о том, что компания Microsoft наконец-то намерена положить конец пиратским установкам Windows 11. Поводом для этого послужила публикация в блоге Windows IT Pro от 22 июля. В ней рассматриваются TPM — чип безопасности на материнской плате — и активация Windows. Однако в самом посте говорится нечто иное, чем утверждают заголовки.

Что такое KMS на самом деле

Компании не активируют Windows по одному компьютеру через Microsoft. Вместо этого они используют собственный внутренний сервер — службу управления ключами (Key Management Service), сокращённо KMS. Каждый компьютер в сети обращается к этому серверу и получает активацию. Это позволяет сэкономить ресурсы, но имеет слабое место. До сих пор хост KMS идентифицировал себя исключительно по конфигурации программного обеспечения, которую можно скопировать.

По данным Microsoft, именно это и происходит. Злоумышленники настраивают поддельные или клонированные серверы KMS, которые выдают себя за подлинные внутри корпоративной сети и выдают лицензии на компьютеры, за которые никто не заплатил. Это создает для компании проблемы с лицензированием и соблюдением нормативных требований.

Какие меры принимает Microsoft для решения этой проблемы

Новая функция называется KMS Hardware-Secured и требует от хоста KMS предоставления аттестации TPM. Модуль доверенной платформы (TPM) — это микросхема на материнской плате, способная с помощью криптографических средств проверить идентичность оборудования и подтвердить, что оно не подвергалось несанкционированному вмешательству. Прежде чем серверу будет разрешено выдавать лицензии, он должен подтвердить две вещи: идентичность своего оборудования, которую проверяет Microsoft, и то, что платформа с тех пор не претерпела изменений. Если сервер не пройдет любую из этих проверок, он больше не сможет активировать никакие лицензии.

График внедрения и текущие требования

Пока что ни одно из этих требований не вступило в силу. Начиная с августа 2026 года, Windows Server 2025 будет просто отображать уведомления, указывающие, готов ли хост к работе. Эти уведомления можно просмотреть с помощью команды `slmgr /dlv`, а также в «Просмотрщике событий» в разделе «Журналы приложений и служб», «Служба управления ключами». Одно сообщение указывает, что устройство подходит в качестве хоста KMS с аппаратной защитой; другое — что оно не соответствует требованиям.

Аттестация TPM станет обязательной только в следующей версии Windows Server, выпущенной через канал долгосрочного обслуживания (LTSC). Компания Microsoft не указала конкретную дату введения этого требования. До этого момента существующие установки KMS будут продолжать работать в обычном режиме. Если вы хотите проверить совместимость вашего оборудования, вы можете сделать это в PowerShell с правами администратора, используя команду `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Если сервер ответит «Key Attestation», значит, эта функция доступна.

Почему ваш компьютер не имеет к этому никакого отношения

И вот здесь мы подошли к моменту, когда в сообщениях в прессе возникла путаница. Система KMS Hardware-Secured проверяет сервер, а не клиент. На вашем компьютере ничего не происходит. Любой пользователь, работающий в Windows в личных целях, не заметит этих изменений, независимо от типа лицензии.

Недоразумение возникло из-за второго момента. Компания Microsoft сделала метод активации под названием KMS38 непригодным для использования в конце 2025 года, что породило ожидания, что следующее изменение последует за этим. Однако KMS38 не имел никакого отношения ни к серверам KMS, ни к TPM. Данный метод использовал файл поддержки обновлений Windows для имитации отдалённой даты истечения срока действия. Ранее компания Microsoft уже удалила инструкции по обходу проверки TPM из своей собственной документации по поддержке, поэтому эта проблема не является новой.

Даже обходной способ, в названии которого действительно присутствует «KMS», не затронут. Он не связывается с реальным KMS-хостом, а запускает на компьютере пользователя поддельный сервер, который просто утверждает запрос. В нём отсутствует какой-либо компонент, способный выполнить проверку TPM. В любом случае, широко используемые сегодня методы работают по совершенно иному принципу.

Тот факт, что TPM в Windows 11 не всегда является столь обязательным, как может показаться, уже стал очевиден при обновлении старых компьютеров.

Кому действительно необходимо принять меры прямо сейчас

Это касается администраторов, и даже среди них — только тех, у кого есть собственный хост KMS. Для физических серверов Microsoft требует, чтобы устройство было сертифицировано в каталоге Windows Server Catalog и имело установленный и включённый модуль TPM. В настоящее время к виртуальным хостам KMS никаких требований не предъявляется. Microsoft планирует предоставить эти подробности в последующем сообщении, поэтому сама компания пока не опубликовала правила для данного сценария.