Windows 11: Microsofts nya TPM-regel påverkar inte din dator

Sedan helgen har det cirkulerat rapporter om att Microsoft äntligen sätter stopp för piratkopierade installationer av Windows 11. Detta utlöstes av ett inlägg på bloggen Windows IT Pro daterat den 22 juli. Inlägget handlar om TPM, säkerhetschipet på moderkortet, och aktivering av Windows. Inlägget säger dock något annat än vad rubrikerna påstår.

Vad KMS egentligen är

Företag aktiverar inte Windows en dator i taget via Microsoft. Istället kör de sin egen interna server, Key Management Service, eller KMS förkortat. Varje dator i nätverket skickar en förfrågan till denna server och får sin aktivering. Detta sparar arbete men har en svaghet. Hittills har en KMS-värd identifierat sig enbart genom sin programvarukonfiguration, och den kan kopieras.

Enligt Microsoft är det precis vad som händer. Angripare sätter upp falska eller klonade KMS-servrar som utger sig för att vara äkta inom företagsnätverket och licensierar datorer som ingen har betalat för. Detta skapar ett licens- och efterlevnadsproblem för företaget.

Vad Microsoft gör åt saken

Den nya funktionen kallas KMS Hardware-Secured och kräver att KMS-värden tillhandahåller TPM-attestering. Trusted Platform Module (TPM) är ett chip på moderkortet som kryptografiskt kan verifiera hårdvarans identitet och bekräfta att den inte har manipulerats. Servern måste bevisa två saker innan den ens får utfärda en licens: sin hårdvaruidentitet, som Microsoft verifierar, och att plattformen har förblivit oförändrad sedan dess. Om den inte klarar någon av dessa kontroller kommer den inte längre att kunna aktivera någonting.

Tidsplanen och vad som gäller just nu

Inget av detta har trätt i kraft ännu. Från och med augusti 2026 kommer Windows Server 2025 helt enkelt att visa meddelanden som anger om en värd är redo. Dessa meddelanden kan visas med kommandot `slmgr /dlv` och i Händelseläsaren under Applikations- och tjänsteloggar, Nyckelhanteringstjänst. Det ena meddelandet anger att enheten är lämplig som KMS-värd med hårdvarubaserad säkerhet; det andra anger att den inte uppfyller kraven.

TPM-attestering blir inte obligatorisk förrän i nästa version av Windows Server som släpps via Long-Term Servicing Channel (LTSC). Microsoft har inte angett något datum för detta. Fram till dess kommer befintliga KMS-installationer att fortsätta fungera som vanligt. Om du vill kontrollera om din hårdvara är kompatibel kan du göra det i PowerShell med administratörsbehörighet med kommandot `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Om servern svarar med ”Key Attestation” är funktionen tillgänglig.

Varför din dator inte har något med detta att göra

Och det leder oss till den punkt där rapporteringen har spårat ur. KMS Hardware-Secured kontrollerar servern, inte klienten. Ingenting händer på datorn framför dig. Den som använder Windows för privat bruk kommer inte att märka någon förändring, oavsett vilken typ av licens man har.

Missförståndet härrörde från en andra punkt. Microsoft hade gjort en aktiveringsmetod kallad KMS38 obrukbar vid slutet av 2025, vilket ledde till förväntningar om att nästa förändring skulle följa. KMS38 hade dock inget att göra med KMS-servrar eller TPM. Metoden utnyttjade en Windows-uppgraderingsfil för att simulera ett avlägset utgångsdatum. Microsoft har tidigare tagit bort instruktioner för att kringgå TPM-kontrollen från sin egen supportdokumentation, så denna fråga är inte ny.

Inte ens den lösning som faktiskt har ”KMS” i namnet påverkas. Den kontaktar inte en riktig KMS-värd, utan startar istället en falsk server på användarens egen dator som helt enkelt godkänner begäran. Det finns ingen komponent som skulle kunna utföra en TPM-kontroll. De metoder som är allmänt använda idag fungerar ändå enligt en helt annan princip.

Att TPM inte alltid är så obligatoriskt i Windows 11 som det låter framgick redan vid uppgradering av äldre datorer.

Vem behöver egentligen vidta åtgärder nu

Administratörer berörs, och även bland dem endast de som har en egen KMS-värd. För fysiska servrar kräver Microsoft att enheten är certifierad i Windows Server Catalog och har ett TPM installerat och aktiverat. Det finns för närvarande inga krav för virtuella KMS-värdar. Microsoft planerar att tillhandahålla dessa detaljer i ett senare inlägg, så företaget har ännu inte publicerat reglerna för just detta scenario.