Der KMS-Schlüsselverwaltungsdienst ist eine Batch-Aktivierungstechnologie, die von Microsoft hauptsächlich für Unternehmen und große Organisationen bereitgestellt wird. Diese Aktivierungstechnologie kann die Komplexität von Unternehmensaktivierungssystemen vereinfachen. Gleichzeitig können auch mit Windows Server ausgestattete virtuelle Maschinen im Bereich Cloud Computing bei Bedarf aktiviert werden. Beispielsweise wird KMS verwendet, um eine Serverinstanz beim Öffnen zu aktivieren, und die Aktivierungsberechtigung wird beim Löschen automatisch widerrufen.
Für normale Benutzer ist es sehr einfach, einen KMS-Aktivierungsserver einzurichten. Im Internet gibt es entsprechende Open-Source-Warehouses. Benutzer können auf jedem Host oder Server einen Aktivierungsserver einrichten. Einige Router-Firmwares enthalten beispielsweise sogar ein KMS-Plugin, mit dem sich schnell ein Aktivierungsserver im LAN einrichten lässt, um eine schnelle Aktivierung von Geräten im LAN zu erreichen.
Jetzt hat Microsoft damit begonnen, den KMS-Aktivierungsüberprüfungsmechanismus zu stärken:
Microsoft hat kürzlich bekannt gegeben, dass es den KMS-Aktivierungsüberprüfungsmechanismus gestärkt hat. Microsoft hofft, die Sicherheit der Batch-Aktivierung durch ein neues Vertrauensmodell für die Hardwareunterstützung zu stärken. Diese erweiterte Funktion namens KMS Hardware Security gilt für den Authentifizierungsmechanismus basierend auf dem Trusted Platform Module TPM. Bevor der KMS-Server das Downstream-System aktiviert, überprüft Microsoft vorab, ob der Aktivierungsserver auf vertrauenswürdiger Hardware läuft.
Laut Microsoft sollen die neuen KMS-Hardware-Sicherheitsfunktionen Sicherheits- und Compliance-Risiken begegnen, die von gefälschten oder geklonten KMS-Servern ausgehen, die von „Angreifern“ zur Umgehung von Kontrollen genutzt wurden. Durch das Hinzufügen der Validierung des Trusted Platform Module kann Microsoft sicherstellen, dass nur validierte KMS-Aktivierungsserver, die auf nicht gefährdeter Hardware laufen, Lizenzen an Downstream-Systeme ausstellen können.
Der neue Verifizierungsprozess sieht ungefähr so aus:
Im neuen Aktivierungsmodus verwendet der KMS-Server zunächst die vom Trusted Platform Module unterstützte Authentifizierung, um seine Hardware-Identität festzustellen. Anschließend führt der Microsoft-Server eine unabhängige Sicherheitsüberprüfung dieser Hardwareidentität durch. Nach bestandener Überprüfung kann der KMS-Aktivierungsserver Aktivierungslizenzen an nachgelagerte Systeme vergeben. Das Trusted Platform Module bestätigt außerdem die Integrität der Plattform, die nicht überprüft werden kann, wenn der Aktivierungsserver manipuliert wurde.
Microsoft ermutigt derzeit Unternehmen und Institutionen, die KMS-Aktivierungsserver verwenden, vor der Umstellung mit der Evaluierung von Produktionsumgebungen zu beginnen. Für virtualisierte KMS-Aktivierungsserver wird Microsoft in Zukunft relevante technische Leitfäden veröffentlichen, um IT-Administratoren bei der Durchführung der erforderlichen Vorbereitungs- und Migrationsarbeiten zu unterstützen (virtualisierte Server verfügen möglicherweise nicht über die Trusted Platform Module-Zertifizierung).
Testen der TPM-Verifizierung ab August:
Dem Plan zufolge wird Microsoft ab August 2026 die Führung bei der Einführung der Trusted Platform Module-Verifizierungsfunktion auf Windows Server 2025 übernehmen. Zu diesem Zeitpunkt können IT-Administratoren den KMS-Dienst auf dem System bereitstellen und dann überprüfen, ob der Server die neuen Hardwareanforderungen erfüllt.
Nach der Bereitstellung des Dienstes können IT-Administratoren die Informationen über den Befehl slmgr -dlv anzeigen. Berechtigte Geräte werden angezeigt: Dieses Gerät kann als KMS-Host für hardwarebasierte Sicherheitsfunktionen verwendet werden. Nicht geeignete Geräte werden wie folgt angezeigt: Dieses Gerät erfüllt nicht die Anforderungen für die Verwendung eines KMS-Hosts mit hardwarebasierter Sicherheit.
Microsoft gab außerdem bekannt, dass die nachfolgende Veröffentlichung von Windows Server LTSC vorschreiben wird, dass KMS-Server die Trusted Platform Module-Verifizierung erfüllen müssen. Die nächste langfristige Serviceversion soll Windows Server 2028 sein, daher müssen sich Unternehmen im Voraus auf den Übergang vorbereiten, um künftig Probleme bei der Batch-Aktivierung zu vermeiden.
Auswirkungen auf normale Benutzer:
Diese Verbesserung von Microsoft wird kurzfristig keine Auswirkungen auf normale Benutzer haben, da Microsoft Zeit braucht, um die Hardwareüberprüfung voranzutreiben, sodass sie vorerst keine Auswirkungen auf Benutzer haben wird, die ihre eigenen KMS-Server erstellen. Einige Aktivierungstools verfügen außerdem über integrierte KMS-Funktionen zum Erstellen von KMS-Servern in der lokalen Umgebung, um eine lokale Aktivierung zu erreichen. Dies hat vorerst keine Auswirkungen.
Mit Blick auf die Zukunft könnte die Praxis, KMS-Server willkürlich einzurichten, eingeschränkt werden. Benutzer können KMS-Server möglicherweise nicht nach Belieben einrichten. Andere Community-Benutzer finden jedoch möglicherweise Möglichkeiten, die Einschränkungen von Microsoft zu umgehen und weiterhin Möglichkeiten zum Erstellen von KMS-Servern bereitzustellen, die keine TPM-Module erfordern und die Microsoft-Authentifizierung bestehen können.