La gestione delle licenze aziendali di Windows sta per subire una trasformazione radicale. Microsoft ha introdotto un nuovo requisito obbligatorio per l'attivazione tramite Key Management Service (KMS), spostando il baricentro della sicurezza dall'identità software a quella hardware. La nuova funzionalità, denominata KMS Hardware-Secured, integra l'attestazione basata su chip TPM per garantire che solo i dispositivi fisicamente autorizzati possano essere attivati all'interno di un network aziendale.

La fine della fiducia cieca nel software

Per anni, il sistema KMS ha permesso alle organizzazioni di attivare migliaia di postazioni senza che ogni singolo client dovesse contattare i server di Microsoft, delegando il compito a un host locale. Tuttavia, questo modello ha mostrato vulnerabilità, diventando il bersaglio preferito di strumenti di attivazione non ufficiali e script che emulano server KMS per bypassare i pagamenti delle licenze.

Secondo quanto riportato dal Windows IT Pro Blog, l'obiettivo è fornire garanzie più solide sull'identità del dispositivo e sull'integrità dell'attivazione. L'introduzione della TPM attestation (attestazione TPM) trasforma il chip di sicurezza in un garante hardware: non basterà più che un client sia "compatibile" con il server KMS, ma dovrà dimostrare la propria identità tramite una chiave crittografica univoca e non clonabile.

L'impatto su Windows Server 2025 e oltre

Il rollout di questa tecnologia segue un percorso graduale ma rigoroso. In Windows Server 2025, è già stata introdotta una fase di preparazione per l'attestazione TPM. La strategia a lungo termine è ancora più netta: il supporto hardware diventerà un requisito mandatorio per l'attivazione KMS nelle prossime release del canale Long-Term Servicing (LTSC).

Questa mossa si inserisce in un trend di irrigidimento dei requisiti hardware che avevamo già visto con l'obbligo del TPM 2.0 per l'installazione di Windows 11, fondamentale per feature come BitLocker e Windows Hello. Mentre Microsoft spinge verso l'integrazione di AI e nuove interfacce, come visto recentemente con le modifiche al menu Start, la sicurezza di base del sistema operativo viene spostata sempre più a livello di silicio.

La guerra agli attivatori non ufficiali

L'introduzione di KMS Hardware-Secured rappresenta un colpo durissimo per la comunità che utilizza script open source o tool di terze parti, come i noti Microsoft Activation Scripts (MAS) o le tecniche KMS38. Questi strumenti si basano spesso sull'emulazione di un server KMS o sulla manipolazione dei token di attivazione software. Poiché l'attestazione TPM richiede un hardware fisico specifico e una firma crittografica valida, l'emulazione via software diventa tecnicamente impossibile.

Per le aziende che non dispongono di hardware aggiornato, l'alternativa suggerita da Microsoft è la migrazione verso le attivazioni basate su abbonamento (come Windows Enterprise E3 o E5), che eliminano del tutto la necessità di un server KMS locale a favore di una gestione cloud più flessibile e sicura.