微软将为 Windows KMS 批量激活引入 TPM 硬件安全机制，封堵盗版激活路径

7 月 26 日消息，在推出 Windows 11 后，微软要求整个 PC 产业将可信平台模块（TPM）作为所有新主板和处理器的标准配置。如今，微软正进一步利用这一已广泛普及的硬件，加强企业市场 Windows 的激活安全机制。

微软近日宣布，将为 Windows 批量激活服务（KMS，Key Management Service）引入一项全新功能。KMS 是企业及其他大型组织用于批量激活 Windows 设备的标准方案，未来将引入基于硬件的安全机制，利用 TPM 的加密能力验证托管 KMS 服务的服务器是否合法可信。

微软表示，长期以来，攻击者一直滥用 KMS 伪造 Windows 激活过程。这不仅会带来安全风险，也成为部分个人用户绕过正版授权、免费激活 Windows 的一种手段。新推出的“基于 TPM 的证明（TPM-based Attestation）”将利用 TPM 提供加密证明，以验证 KMS 服务器的完整性和真实性。

具体而言，该功能首先会验证 KMS 主机的硬件身份，确认服务器所使用的硬件已通过微软认证。随后，它还会检查 KMS 主机是否遭到篡改。完成验证后，TPM 芯片才会允许该 KMS 主机处理企业组织所需的大规模 Windows 激活请求。

微软表示，从下一代 Windows Server 开始，基于 TPM 的证明将成为 KMS 激活的强制要求。公司还计划从 2026 年 8 月起，在 Windows Server 2025 中向企业客户推送相关“就绪通知”，敦促企业提前完成部署。届时，系统管理员需要检查现有 KMS 基础设施，确保其已具备支持基于硬件的激活安全机制的能力。

微软表示：“随着 Windows 安全机制不断演进，可信的激活基础设施将发挥越来越重要的作用。KMS Hardware Secured 能帮助企业环境为未来做好准备，同时也符合微软持续推进基于硬件信任体系的发展方向。”

据了解，多年来，不少用于激活盗版 Windows 的工具都采用了基于 KMS 的方式。2025 年，微软封堵了广受盗版用户使用的“KMS38”激活方法，但传统的 KMS 激活方式仍可正常运行。

知名破解组织 Massgrave 提供了一系列开源的“非官方”Windows 激活工具，其中包括一种 Online KMS 方法。这种方式需要每隔六个月连接一次伪造的 KMS 服务器，以维持系统激活状态。

随着微软引入基于 TPM 的证明机制，这类依赖 Online KMS 的破解方式很可能将面临终结。不过，最终效果仍有待观察。值得一提的是，Massgrave 最近还推出了一种名为 TSforge Activation 的新激活方法，声称能够绕过微软整个软件激活数字版权管理（DRM）体系。