Windows 11: Nowa zasada firmy Microsoft dotycząca modułów TPM nie ma wpływu na Państwa komputer

Od weekendu krążą doniesienia, że firma Microsoft w końcu zamierza położyć kres pirackim instalacjom systemu Windows 11. Punktem wyjścia był wpis opublikowany 22 lipca na blogu Windows IT Pro. Dotyczy on modułu TPM, czyli układu zabezpieczającego na płycie głównej, oraz aktywacji systemu Windows. Jednak treść tego wpisu faktycznie różni się od tego, co sugerują nagłówki.

Czym faktycznie jest usługa KMS

Firmy nie aktywują systemu Windows pojedynczo na poszczególnych komputerach za pośrednictwem firmy Microsoft. Zamiast tego korzystają z własnego serwera wewnętrznego, tzw. Key Management Service, w skrócie KMS. Każdy komputer w sieci wysyła zapytanie do tego serwera i otrzymuje aktywację. Rozwiązanie to pozwala zaoszczędzić wysiłku, ale ma pewną słabość. Do tej pory serwer KMS identyfikował się wyłącznie na podstawie konfiguracji oprogramowania, którą można skopiować.

Według firmy Microsoft właśnie tak się dzieje. Atakujący konfigurują fałszywe lub sklonowane serwery KMS, które podszywają się pod autentyczne w sieci korporacyjnej i udzielają licencji na komputery, za które nikt nie zapłacił. Stwarza to dla firmy problem związany z licencjonowaniem i zgodnością z przepisami.

Jak firma Microsoft radzi sobie z tym problemem

Nowa funkcja nosi nazwę KMS Hardware-Secured i wymaga od hosta KMS dostarczenia poświadczenia TPM. Moduł Trusted Platform Module (TPM) to układ scalony umieszczony na płycie głównej, który może kryptograficznie zweryfikować tożsamość sprzętu oraz potwierdzić, że nie został on naruszony. Zanim serwer otrzyma uprawnienia do wydawania licencji, musi udowodnić dwie rzeczy: swoją tożsamość sprzętową, którą weryfikuje firma Microsoft, oraz fakt, że platforma pozostała niezmieniona od momentu weryfikacji. Jeśli nie przejdzie którejkolwiek z tych kontroli, nie będzie już mógł aktywować żadnych licencji.

Harmonogram oraz aktualne zasady

Żadne z tych zmian nie weszło jeszcze w życie. Począwszy od sierpnia 2026 r. system Windows Server 2025 będzie po prostu wyświetlał powiadomienia wskazujące, czy dany host jest gotowy. Powiadomienia te można wyświetlić za pomocą polecenia `slmgr /dlv` oraz w Przeglądarce zdarzeń w sekcji „Dzienniki aplikacji i usług”, „Usługa zarządzania kluczami”. Jeden komunikat informuje, że urządzenie nadaje się na host KMS z zabezpieczeniami sprzętowymi; drugi wskazuje, że nie spełnia ono wymagań.

Poświadczenie TPM stanie się obowiązkowe dopiero w kolejnej wersji systemu Windows Server wydanej w ramach kanału długoterminowej obsługi (LTSC). Firma Microsoft nie podała jeszcze konkretnej daty wprowadzenia tego wymogu. Do tego czasu istniejące instalacje KMS będą nadal działać jak dotychczas. Jeśli chcą Państwo sprawdzić, czy Państwa sprzęt jest kompatybilny, mogą Państwo to zrobić w programie PowerShell z uprawnieniami administratora, używając polecenia `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Jeśli serwer zwróci komunikat „Key Attestation”, oznacza to, że funkcja jest dostępna.

Dlaczego Państwa komputer nie ma z tym nic wspólnego

I tu dochodzimy do punktu, w którym doniesienia mediów zboczyły z właściwego toru. Funkcja KMS Hardware-Secured sprawdza serwer, a nie klienta. Na komputerze, z którego Państwo korzystają, nic się nie dzieje. Każdy użytkownik korzystający z systemu Windows do celów prywatnych nie zauważy tej zmiany, niezależnie od rodzaju posiadanej licencji.

Nieporozumienie wynikało z drugiej kwestii. Firma Microsoft uniemożliwiła korzystanie z metody aktywacji o nazwie KMS38 pod koniec 2025 r., co wywołało oczekiwania, że wkrótce nastąpi kolejna zmiana. Jednak KMS38 nie miał nic wspólnego z serwerami KMS ani modułem TPM. Metoda ta wykorzystywała plik wsparcia aktualizacji systemu Windows do symulowania odległej daty wygaśnięcia. Firma Microsoft już wcześniej usunęła instrukcje dotyczące omijania kontroli modułu TPM ze swojej dokumentacji pomocy technicznej, więc kwestia ta nie jest nowa.

Nawet obejście, które faktycznie zawiera w nazwie skrót „KMS”, nie jest tym dotknięte. Nie łączy się ono z prawdziwym hostem KMS, lecz uruchamia fałszywy serwer na komputerze użytkownika, który po prostu zatwierdza żądanie. Nie ma tam żadnego komponentu, który mógłby przeprowadzić kontrolę modułu TPM. Metody powszechnie stosowane obecnie działają zresztą na zupełnie innej zasadzie.

Fakt, że moduł TPM nie zawsze jest w systemie Windows 11 tak obowiązkowy, jak mogłoby się wydawać, był już widoczny podczas aktualizacji starszych komputerów.

Kto naprawdę musi podjąć działania już teraz

Dotyczy to administratorów, a nawet wśród nich tylko tych, którzy posiadają własny serwer KMS. W przypadku serwerów fizycznych firma Microsoft wymaga, aby urządzenie było certyfikowane w katalogu Windows Server Catalog oraz posiadało zainstalowany i włączony moduł TPM. Obecnie nie ma żadnych wymagań dotyczących wirtualnych serwerów KMS. Firma Microsoft planuje przedstawić te szczegóły w późniejszym wpisie, dlatego na razie nie opublikowała jeszcze zasad dotyczących tego scenariusza.