- Microsoft introduce la atestación basada en TPM para verificar servidores KMS en empresas.
- La medida comenzará con avisos de preparación en Windows Server 2025 a partir de agosto de 2026.
- El requisito será obligatorio en la próxima versión LTSC de Windows Server, sin afectar a usuarios particulares.
- Herramientas de activación no oficial como el método Online KMS de Massgrave podrían quedar bloqueadas.
Microsoft ha anunciado un cambio significativo en su sistema de activación de Windows que afectará principalmente a empresas y grandes organizaciones. La compañía va a utilizar el chip TPM (Trusted Platform Module) para verificar la legitimidad de los servidores que gestionan las activaciones masivas, un movimiento que busca cerrar el paso a los métodos de piratería más extendidos. La nueva función, denominada KMS Hardware-Secured, se basa en la atestación por hardware y comenzará a implementarse de forma progresiva a partir de agosto de 2026.
El sistema KMS (Key Management Service) es la herramienta que permite a las empresas activar cientos de equipos con Windows de forma centralizada, sin necesidad de introducir claves individuales. Sin embargo, los atacantes han explotado este mecanismo creando servidores KMS falsos que imitan a los legítimos, lo que ha facilitado la activación ilegal de copias de Windows. Con la nueva verificación basada en TPM, Microsoft pretende asegurar que solo servidores de confianza puedan conceder licencias, elevando la seguridad a un nivel que el software por sí solo no puede garantizar.
¿Qué es KMS y por qué Microsoft lo refuerza?
El Servicio de Gestión de Claves (KMS) es una tecnología que Microsoft puso a disposición de las organizaciones para simplificar la activación de Windows en entornos con muchos dispositivos. En lugar de activar cada ordenador de forma individual, los administradores configuran un servidor interno que responde a las solicitudes de activación. Este sistema ha sido durante años un punto débil porque los servidores KMS se identificaban únicamente mediante software, lo que permitía a los piratas informáticos clonar o falsificar esos servidores y conceder licencias sin pagar.
Microsoft ha reconocido que el abuso de KMS se ha convertido en un problema de cumplimiento y licencias para muchas empresas. Los atacantes configuran servidores KMS no autorizados que se hacen pasar por auténticos dentro de la red corporativa, activando equipos por los que nadie ha pagado. La nueva función KMS Hardware-Secured exige que el servidor demuestre su identidad de hardware mediante el chip TPM, un componente integrado en la placa base que almacena claves criptográficas de forma aislada y que puede verificar que el sistema no ha sido manipulado. Si tienes dudas sobre tu equipo, puedes verificar la instalación de TPM para comprobar su estado.
El proceso de verificación consta de dos pasos: primero, Microsoft comprueba que el hardware del servidor es legítimo y está registrado; segundo, el TPM confirma que el entorno de software no ha sufrido alteraciones desde el arranque. Solo si se superan ambas comprobaciones, el servidor KMS puede emitir licencias de activación masiva. De lo contrario, el sistema rechazará cualquier solicitud de activación procedente de ese equipo.
El papel del TPM y el calendario de implantación
El chip TPM no es nuevo en el ecosistema de Windows. Desde el lanzamiento de Windows 11, Microsoft exige que los ordenadores cuenten con este módulo de seguridad para poder instalar el sistema operativo. Sin embargo, hasta ahora su uso se limitaba a funciones como el cifrado de disco BitLocker o la autenticación biométrica. Con esta actualización, el TPM se convierte en el guardián de las activaciones corporativas, ampliando su papel a la verificación de la infraestructura de licencias.
Según la información publicada por Microsoft, la implantación será gradual. A partir de agosto de 2026, Windows Server 2025 comenzará a mostrar mensajes de preparación que indicarán si un servidor KMS es compatible con la nueva seguridad basada en hardware. Estos avisos permitirán a los administradores evaluar su infraestructura y realizar los ajustes necesarios antes de que el requisito se vuelva obligatorio. La compañía ha confirmado que la atestación TPM será un requisito indispensable en la próxima versión de Windows Server que se publique a través del Canal de Mantenimiento a Largo Plazo (LTSC), aunque no ha especificado una fecha concreta.
Es importante destacar que esta medida no afecta a los usuarios particulares que utilizan Windows en sus ordenadores personales. La verificación por TPM se aplica exclusivamente a los servidores KMS de las organizaciones, no a los equipos cliente. Por lo tanto, quienes tengan una copia legítima de Windows 11 o versiones anteriores no notarán ningún cambio en su día a día. Incluso los métodos de activación no oficiales que no dependen de un servidor KMS real, como los que simulan un servidor local en el propio equipo, podrían seguir funcionando, al menos de momento.
No obstante, el impacto sobre las herramientas de piratería más populares podría ser significativo. El colectivo Massgrave, conocido por sus activadores de código abierto, utiliza un método llamado Online KMS que se conecta cada seis meses a un servidor KMS falso para renovar la licencia. Con la atestación basada en TPM, ese servidor falso no podrá demostrar una identidad de hardware legítima, por lo que la activación quedaría bloqueada. Sin embargo, Massgrave ya ha lanzado un nuevo método llamado TSforge, que según sus desarrolladores es capaz de eludir toda la arquitectura de protección de licencias de Microsoft, lo que sugiere que la batalla entre la compañía y los piratas informáticos está lejos de terminar.
Para las empresas europeas, especialmente las pymes que dependen de servidores antiguos, este cambio puede suponer un desafío técnico y económico. Los administradores deberán comprobar si sus servidores físicos cuentan con TPM habilitado y si están certificados en el Catálogo de Windows Server. En el caso de servidores virtuales, se puede estudiar habilitar TPM 2.0 y Secure Boot en VMware para entornos virtualizados. La compañía recomienda a las organizaciones que empiecen a prepararse cuanto antes para evitar problemas de cumplimiento y posibles pérdidas de activación en el futuro.
En definitiva, Microsoft da un paso más en su estrategia de seguridad basada en hardware, utilizando el chip TPM como pilar para proteger el proceso de activación de Windows. Aunque la medida está dirigida al ámbito corporativo, sus efectos se dejarán sentir en todo el ecosistema, especialmente en las herramientas de activación no oficiales que durante años han aprovechado las debilidades del sistema KMS. La implantación será progresiva, con avisos a partir de agosto de 2026 y la obligatoriedad en la próxima versión LTSC de Windows Server. Los usuarios particulares, por su parte, pueden estar tranquilos: su ordenador no se verá afectado por este cambio.
