Windows 11: la nuova regola di Microsoft relativa al TPM non influisce sul vostro PC

A partire dal fine settimana circolano notizie secondo cui Microsoft starebbe finalmente ponendo fine alle installazioni pirata di Windows 11. La notizia è stata innescata da un post pubblicato sul blog Windows IT Pro in data 22 luglio, in cui si parla del TPM, il chip di sicurezza presente sulla scheda madre, e dell’attivazione di Windows. Tuttavia, il contenuto del post è in realtà diverso da quanto affermato dai titoli.

Che cos’è effettivamente il KMS

Le aziende non attivano Windows un computer alla volta tramite Microsoft. Gestiscono invece un proprio server interno, il Key Management Service, abbreviato in KMS. Ogni PC presente in rete si rivolge a questo server e riceve la propria attivazione. Ciò consente di risparmiare tempo e risorse, ma presenta un punto debole. Fino ad ora, un host KMS si identificava esclusivamente tramite la propria configurazione software, che può essere copiata.

Secondo Microsoft, è esattamente ciò che sta accadendo. Gli autori degli attacchi configurano server KMS falsi o clonati che si spacciano per autentici all’interno della rete aziendale e concedono licenze a computer per i quali nessuno ha pagato. Ciò crea un problema di licenze e conformità per l’azienda.

Cosa sta facendo Microsoft al riguardo

La nuova funzionalità si chiama KMS Hardware-Secured e richiede che l’host KMS fornisca un’attestazione TPM. Il Trusted Platform Module (TPM) è un chip presente sulla scheda madre in grado di verificare crittograficamente l’identità dell’hardware e di confermare che non sia stato manomesso. Il server deve dimostrare due cose prima ancora di poter rilasciare una licenza: la propria identità hardware, che Microsoft verifica, e che la piattaforma sia rimasta invariata da allora. Se non supera uno di questi controlli, non sarà più in grado di attivare alcuna licenza.

La tempistica e le disposizioni attualmente in vigore

Nessuna di queste disposizioni è ancora in vigore. A partire da agosto 2026, Windows Server 2025 si limiterà a visualizzare notifiche che indicano se un host è pronto. Tali notifiche possono essere visualizzate utilizzando il comando `slmgr /dlv` e nel Visualizzatore eventi, alla voce «Registri di applicazioni e servizi», «Servizio di gestione delle chiavi». Un messaggio indica che il dispositivo è idoneo come host KMS con sicurezza basata su hardware; l’altro indica che non soddisfa i requisiti.

L’attestazione TPM non diventerà obbligatoria fino alla prossima versione di Windows Server rilasciata tramite il Long-Term Servicing Channel (LTSC). Microsoft non ha specificato una data per tale cambiamento. Fino ad allora, le installazioni KMS esistenti continueranno a funzionare come di consueto. Se desidera verificare se il Suo hardware è compatibile, può farlo in PowerShell con privilegi di amministratore utilizzando il comando `Get-TpmSupportedFeature -FeatureList "Key Attestation"`. Se il server risponde con "Key Attestation", la funzionalità è disponibile.

Perché il Suo computer non c’entra nulla con tutto questo

E questo ci porta al punto in cui le notizie riportate hanno preso una piega errata. La funzione KMS Hardware-Secured verifica il server, non il client. Sul PC che avete davanti non accade nulla. Chiunque utilizzi Windows per uso personale non noterà alcuna modifica, indipendentemente dal tipo di licenza in possesso.

Il malinteso è scaturito da un secondo aspetto. Microsoft aveva reso inutilizzabile un metodo di attivazione denominato KMS38 alla fine del 2025, alimentando l’aspettativa che la modifica successiva sarebbe seguita. Tuttavia, KMS38 non aveva nulla a che fare con i server KMS o con il TPM. Il metodo sfruttava un file di supporto per l’aggiornamento di Windows per simulare una data di scadenza lontana nel tempo. Microsoft aveva già rimosso in precedenza dalla propria documentazione di supporto le istruzioni per aggirare il controllo del TPM, pertanto la questione non è nuova.

Anche la soluzione alternativa che presenta effettivamente la sigla «KMS» nel proprio nome non è interessata dal problema. Essa non si collega a un vero host KMS, ma avvia invece un server fittizio sul computer dell’utente stesso che si limita ad approvare la richiesta. Non vi è alcun componente in grado di eseguire un controllo del TPM. I metodi oggi ampiamente utilizzati funzionano comunque secondo un principio completamente diverso.

Il fatto che il TPM non sia sempre così obbligatorio in Windows 11 come potrebbe sembrare era già evidente durante l’aggiornamento dei computer meno recenti.

Chi deve davvero intervenire ora

Sono interessati gli amministratori e, anche tra questi, solo coloro che dispongono di un proprio host KMS. Per i server fisici, Microsoft richiede che il dispositivo sia certificato nel Catalogo di Windows Server e che disponga di un TPM installato e abilitato. Attualmente non vi sono requisiti per gli host KMS virtuali. Microsoft intende fornire questi dettagli in un post successivo, pertanto non ha ancora pubblicato le regole relative a questo scenario.