Microsoft rafforza l'attivazione di Windows: KMS adotterà la verifica hardware tramite TPM

Microsoft continua ad ampliare le iniziative dedicate alla sicurezza dell'ecosistema Windows e, dopo le recenti novità riguardanti Entra ID e la strategia di aggiornamenti basata anche sull'intelligenza artificiale, ha annunciato un'importante evoluzione del Key Management Service (KMS), il sistema utilizzato dalle organizzazioni per l'attivazione in volume dei dispositivi Windows.

La novità prende il nome di "KMS Hardware-Secured" e introduce un modello di fiducia fondato sull'hardware. L'obiettivo è ridurre il rischio rappresentato dai server KMS contraffatti o clonati, sfruttati negli anni per aggirare i meccanismi di attivazione e creare problemi sia dal punto di vista della conformità delle licenze sia dell'identità dei dispositivi all'interno delle infrastrutture aziendali.

KMS è da tempo la tecnologia scelta dalle aziende che devono attivare migliaia di installazioni Windows senza che ogni singolo PC comunichi direttamente con i server Microsoft. In questo scenario un host KMS interno alla rete aziendale gestisce tutte le richieste di attivazione dei client autorizzati, semplificando il deployment e l'amministrazione dell'infrastruttura.

Con KMS Hardware-Secured cambia però il modello di sicurezza. I server KMS dovranno dimostrare di essere in esecuzione su hardware considerato affidabile attraverso un processo di attestazione basato sul Trusted Platform Module (TPM), il componente hardware già impiegato da numerose funzionalità di sicurezza di Windows, tra cui Windows Hello, BitLocker e System Guard.

Il TPM costituisce infatti una "root of trust" hardware, capace di generare prove crittografiche che attestano l'identità della piattaforma e verificano che il sistema non abbia subito alterazioni. Nel nuovo flusso di attivazione il server KMS utilizza il TPM per certificare la propria identità hardware; Microsoft verifica tale attestazione prima di autorizzare il server a distribuire le licenze di attivazione ai dispositivi Windows presenti nell'organizzazione. Contestualmente il TPM conferma anche l'integrità della piattaforma, contribuendo a impedire l'utilizzo di host compromessi.

Secondo Microsoft questo approccio offre diversi vantaggi rispetto al modello tradizionale basato esclusivamente sul software. Oltre a consentire che soltanto server verificati possano emettere licenze di attivazione, i segreti di attivazione utilizzati dal sistema vengono associati all'hardware, rendendo più difficile sottrarli o falsificarli. L'azienda sottolinea inoltre che il nuovo modello prepara le infrastrutture ai futuri requisiti di sicurezza previsti per l'attivazione di Windows.

Le società sono invitate a iniziare fin da subito le verifiche dell'infrastruttura esistente. Per gli host KMS fisici Microsoft raccomanda di controllare che il server sia certificato per Windows Server, che il TPM sia installato e abilitato e che supporti la funzionalità di Key Attestation, verificabile tramite PowerShell con il comando Get-TpmSupportedFeature -FeatureList "Key Attestation". Indicazioni specifiche dedicate agli ambienti virtualizzati saranno invece pubblicate successivamente.

Un primo passo verso la transizione arriverà ad agosto 2026, quando Windows Server 2025 introdurrà messaggi di compatibilità che consentiranno agli amministratori di verificare se un host KMS soddisfa i nuovi requisiti hardware. Le informazioni saranno consultabili attraverso il comando slmgr /dlv, che segnalerà chiaramente se il server è idoneo oppure no a operare con la nuova modalità di sicurezza. Eventuali incompatibilità saranno inoltre registrate nei log eventi del servizio Key Management Service.

Microsoft ha infine confermato che l'attestazione TPM diventerà un requisito obbligatorio con la prossima versione Long-Term Servicing Channel (LTSC) di Windows Server, verosimilmente identificabile come Windows Server 2028. L'azienda raccomanda quindi ai responsabili IT di pianificare fin d'ora l'aggiornamento dell'infrastruttura, così da affrontare gradualmente la transizione verso un sistema di attivazione fondato su un modello di fiducia basato sull'hardware.