Windows 11: A Microsoft új TPM-szabálya nem érinti a számítógépét

A hétvégétől kezdve olyan hírek keringenek, miszerint a Microsoft végre véget vet a Windows 11 kalózverzióinak telepítésének. Ezt a Windows IT Pro blogon július 22-én megjelent bejegyzés váltotta ki. A bejegyzés a TPM-ről, az alaplapon található biztonsági chipről és a Windows aktiválásáról szól. A bejegyzés azonban valójában mást mond, mint amit a címek állítanak.

Mi is valójában a KMS?

A vállalatok nem egyenként aktiválják a Windows-t a Microsofton keresztül. Ehelyett saját házon belüli szervert üzemeltetnek, a Key Management Service-t, röviden KMS-t. A hálózaton lévő minden számítógép lekérdezi ezt a szervert, és megkapja az aktiválást. Ez megkönnyíti a munkát, de van egy gyenge pontja is. Eddig a KMS-gazdagép kizárólag a szoftverkonfigurációja alapján azonosította magát, és ezt le lehet másolni.

A Microsoft szerint pontosan ez történik. A támadók hamis vagy klónozott KMS-kiszolgálókat állítanak fel, amelyek a vállalati hálózaton belül eredetinek tűnnek, és olyan gépeket engedélyeznek, amelyekért senki sem fizetett. Ez licencelési és megfelelési problémát okoz a vállalat számára.

Mit tesz a Microsoft ez ellen?

Az új funkció neve KMS Hardware-Secured, és megköveteli a KMS-gazdagéptől, hogy TPM-hitelesítést nyújtson. A Trusted Platform Module (TPM) az alaplapon található chip, amely kriptográfiai úton ellenőrizheti a hardver identitását, és megerősítheti, hogy azt nem manipulálták. A szervernek két dolgot kell igazolnia, mielőtt egyáltalán engedélyt kapna licenc kiadására: a hardver identitását, amelyet a Microsoft ellenőriz, és azt, hogy a platform azóta változatlan maradt. Ha bármelyik ellenőrzésen elbukik, többé nem lesz képes semmit sem aktiválni.

Az ütemterv és a jelenlegi helyzet

Mindez egyelőre még nem lépett hatályba. 2026 augusztusától a Windows Server 2025 egyszerűen csak értesítéseket jelenít meg, amelyek jelzik, hogy egy adott gazdagép készen áll-e. Ezek az értesítések a `slmgr /dlv` paranccsal, valamint az Eseménynaplóban az Alkalmazások és szolgáltatások naplói, Kulcskezelő szolgáltatás menüpont alatt tekinthetők meg. Az egyik üzenet azt jelzi, hogy az eszköz hardveralapú biztonsággal rendelkező KMS-gazdagépként alkalmas; a másik pedig azt, hogy nem felel meg a követelményeknek.

A TPM-hitelesítés csak a Long-Term Servicing Channel (LTSC) csatornán keresztül kiadott következő Windows Server-verziótól lesz kötelező. A Microsoft még nem határozta meg ennek időpontját. Addig a meglévő KMS-telepítések továbbra is a szokásos módon működnek. Ha ellenőrizni szeretné, hogy a hardvere kompatibilis-e, rendszergazdai jogosultsággal a PowerShellben a `Get-TpmSupportedFeature -FeatureList "Key Attestation"` parancs segítségével teheti meg. Ha a szerver „Key Attestation” válasszal reagál, a funkció elérhető.

Miért nincs ehhez semmi köze a számítógépének

És ezzel eljutottunk ahhoz a ponthoz, ahol a sajtóbeszámolók eltévedtek. A KMS Hardware-Secured a szervert ellenőrzi, nem az ügyfelet. Az Ön előtt álló számítógépen semmi sem történik. Aki személyes használatra futtatja a Windows-t, az nem fogja észrevenni a változást, függetlenül a licenc típusától.

A félreértés egy második pontból eredt. A Microsoft 2025 végén használhatatlanná tette a KMS38 nevű aktiválási módszert, ami azt a várakozást keltette, hogy a következő változás is ezt fogja követni. A KMS38-nak azonban semmi köze nem volt a KMS-kiszolgálókhoz vagy a TPM-hez. A módszer egy Windows-frissítési támogatási fájlt használt fel egy távoli lejárati dátum szimulálására. A Microsoft korábban már eltávolította a TPM-ellenőrzés megkerülésére vonatkozó utasításokat a saját támogatási dokumentációjából, így ez a kérdés nem új keletű.

Még az a megoldás sem érintett, amelynek a nevében ténylegesen szerepel a „KMS” kifejezés. Ez nem lép kapcsolatba egy valódi KMS-kiszolgálóval, hanem a felhasználó saját számítógépén indít el egy hamis szervert, amely egyszerűen jóváhagyja a kérést. Nincs olyan komponens, amely TPM-ellenőrzést végezhetne. A ma széles körben használt módszerek egyébként is teljesen más elven működnek.

Az a tény, hogy a TPM a Windows 11-ben nem mindig olyan kötelező, mint amilyennek tűnik, már a régebbi számítógépek frissítésekor is nyilvánvaló volt.

Kinek kell most ténylegesen lépéseket tennie

A rendszergazdákat érinti a változás, és közülük is csak azokat, akik saját KMS-kiszolgálóval rendelkeznek. A fizikai kiszolgálók esetében a Microsoft előírja, hogy az eszköznek szerepelnie kell a Windows Server Catalogban, valamint TPM-nek kell lennie telepítve és engedélyezve. A virtuális KMS-kiszolgálókra jelenleg nincsenek követelmények. A Microsoft egy későbbi bejegyzésben tervezi ezeknek a részleteknek a közzétételét, így egyelőre még nem tette közzé maga a szabályokat erre az esetre vonatkozóan.