Microsoft exigirá un chip TPM para poder activar Windows mediante KMS en el entorno empresarial

Microsoft ha anunciado un cambio en la forma en que las empresas activan Windows a gran escala. Y es que la compañía reforzará su Key Management Service, conocido popularmente por sus siglas KMS. Este es el sistema que permite activar cientos o miles de equipos desde un servidor interno sin depender de una clave individual por dispositivo, exigiendo que ese servidor demuestre estar corriendo sobre hardware verificado y sin manipular.

El cambio no afecta a los usuarios domésticos ni a las licencias individuales de Windows. Está dirigido exclusivamente a entornos corporativos, donde KMS lleva años siendo el método estándar para desplegar el sistema operativo en volumen. El problema que Microsoft dice haber detectado es que ese servidor puede clonarse o falsificarse por completo mediante software, lo que ha permitido a atacantes activar copias de Windows de forma ilegítima simulando ser un host KMS legítimo.

¿Cómo funciona la verificación por hardware?

La solución se apoya en el TPM, el chip de seguridad que Windows 11 exige desde su lanzamiento en 2021 y que hoy viene integrado en la práctica totalidad de procesadores modernos. Con esta nueva función, bautizada como KMS Hardware-Secured, el servidor que gestiona las activaciones deberá demostrar su identidad mediante una atestación criptográfica basada en ese chip antes de poder activar ningún equipo.

El proceso consiste, a grandes rasgos, en que el host KMS presenta una prueba de identidad respaldada por el TPM, que Microsoft valida antes de conceder permiso para emitir activaciones. Ese mismo chip confirma además que el servidor no ha sido alterado. Solo cuando ambas comprobaciones son correctas, el host queda habilitado para atender solicitudes de activación del resto de equipos de la organización. En la práctica, esto ata la confianza a una pieza física concreta, en lugar de a una configuración de software que cualquiera puede copiar.

Un cambio progresivo que acabará siendo obligatorio

Microsoft no va a imponer este requisito de forma inmediata. A partir de agosto de 2026, Windows Server 2025 empezará a mostrar avisos de preparación que indicarán si un servidor concreto cumple ya los requisitos de seguridad basada en hardware, tanto en la línea de comandos mediante el comando slmgr /dlv como en el registro de eventos del sistema. Es, en esencia, un periodo de gracia para que los administradores puedan planificar la transición sin sorpresas.

Esa fase de aviso terminará en algún momento futuro no concretado, cuando la próxima versión LTSC de Windows Server haga obligatoria la atestación por TPM para poder seguir usando KMS Hardware-Secured. Microsoft recomienda a los equipos de IT hacer inventario de sus servidores KMS desde ya, comprobar que los físicos están certificados en el catálogo de Windows Server y que tienen el TPM habilitado, y ejecutar el comando de PowerShell Get-TpmSupportedFeature -FeatureList "Key Attestation" para confirmar si el hardware actual es compatible.

Microsoft lleva años insistiendo en el TPM como pilar de seguridad de Windows, una exigencia que en su momento generó bastante controversia entre usuarios con equipos más antiguos incompatibles. Aplicarlo ahora también a la infraestructura de activación empresarial es una extensión lógica de esa misma estrategia, aunque el verdadero impacto lo notarán los administradores de sistemas encargados de mantener actualizado el parque de servidores KMS de sus organizaciones, no el usuario final de un PC doméstico.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!