Microsoft se prepara para introducir un cambio significativo en el proceso de activación por volumen de Windows. La compañía lanzará KMS Hardware-Secured, una evolución del sistema de gestión de claves que obligará a los servidores de activación a demostrar su identidad mediante certificación criptográfica respaldada por el Module de Platforme de Confiance (TPM). El objetivo es evitar que hosts falsos, clonados o emulados por software puedan hacerse pasar fácilmente por servidores KMS legítimos.

Los fundamentos del nuevo KMS protegido por TPM en 30 segundos

• Microsoft vinculará la identidad de los servidores KMS a claves protegidas por el TPM.
• La validación se aplicará al host empresarial que activa equipos, no de forma directa a cada dispositivo individual.
• Windows Server 2025 empezará a mostrar advertencias de preparación en agosto de 2026.
• La certificación será obligatoria en la próxima versión LTSC de Windows Server.
• Los entornos virtualizados requerirán pasos adicionales, cuya publicación aún está pendiente.
• Este cambio dificultará los activadores KMS falsos, pero no eliminará por completo las copias ilegales de Windows.

Esta actualización afectará uno de los mecanismos más usados por empresas, administraciones y grandes organizaciones para activar cientos o miles de dispositivos desde una infraestructura interna. También apunta a una de las técnicas más comunes para eludir la licencia de Windows: montar un servidor KMS falso que responda como si fuera legítimo y con licencia por volumen.

La diferencia respecto al modelo actual es que la confianza ya no dependerá únicamente de la configuración del software. El servidor deberá proporcionar una prueba vinculada al hardware, validada mediante el TPM, antes de recibir la autorización para gestionar solicitudes de activación.

De la confianza basada en software a una identidad vinculada al hardware

Key Management Service permite a una organización gestionar la activación de Windows sin que cada equipo tenga que contactar directamente con Microsoft. Los clientes KMS buscan dentro de la red un host autorizado y renuevan periódicamente su estado de activación.

Este sistema reduce la carga administrativa y facilita la gestión de grandes despliegues, laboratorios, escritorios virtuales y dispositivos en redes restringidas. Sin embargo, el diseño tradicional deja abierta la posibilidad de que una implementación falsa pueda imitar las respuestas legítimas y activar equipos no autorizados.

Herramientas no autorizadas han aprovechado durante años esta vulnerabilidad para simular entornos corporativos. El equipo recibe una respuesta KMS aparentemente válida y se activa por un período determinado. Un servicio o tarea programada puede repetir este proceso para renovar esa condición.

KMS Hardware-Secured añade una capa adicional de seguridad. El servidor deberá utilizar el TPM como raíz de confianza y demostrar que su identidad criptográfica está asociada a una plataforma específica. Microsoft podrá verificar esa prueba antes de autorizar el host a distribuir activaciones.

Este enfoque dificulta varias formas de fraude:

• copiar la configuración de un servidor legítimo;
• exportar sus secretos y reutilizarlos en otra máquina;
• clonar un servidor KMS virtual sin mantener la cadena de confianza;
• emular completamente el servicio mediante software;
• modificar la plataforma sin que esto quede reflejado en la certificación.

El TPM puede proteger las claves de modo que no sean exportables en archivos convencionales. También puede proporcionar evidencias sobre el estado de arranque y la integridad de la plataforma, aunque Microsoft aún debe definir exactamente qué mediciones solicitará al servidor KMS.

El TPM no supervisará cada Windows individualmente

Este anuncio puede interpretarse como una medida antipiratería, pero su alcance es más limitado de lo que algunos titulares sugieren.

Microsoft no ha indicado que el TPM de cada equipo vaya a investigar activadores, analizar archivos o decidir de forma autónoma si la licencia instalada es legítima. La certificación se centrará en el host KMS, es decir, en el servidor que declara estar autorizado para activar otros sistemas dentro de una organización.

Los clientes seguirán enviando sus solicitudes al servidor configurado. La diferencia radica en que este host deberá haber pasado previamente una validación basada en hardware.

Para un usuario doméstico con licencia digital, clave comercial o licencia incluida por el fabricante, este cambio no debería requerir ninguna acción. Tampoco modificará directamente los métodos de activación asociados a la cuenta de Microsoft o claves OEM.

No obstante, puede tener un impacto indirecto en las herramientas que dependen de una infraestructura KMS falsa. Si el ecosistema empieza a exigir una identidad criptográfica certificada, simplemente repetir el protocolo o las respuestas de activación dejará de ser suficiente.

Esto no significa que desaparezcan todos los métodos ilegales. Existen técnicas distintas que no dependen de un servidor KMS convencional, y es previsible que quienes manejan estas herramientas busquen nuevas formas de eludir las restricciones.

Windows Server 2025 comenzará a verificar la compatibilidad en agosto

La transición se iniciará con una fase informativa.

Desde agosto de 2026, Windows Server 2025 mostrará mensajes indicando si un equipo está preparado para actuar como host KMS con seguridad basada en hardware. En esa etapa las advertencias ayudarán a los equipos de sistemas a identificar incompatibilidades antes de que la certificación sea obligatoria.

Los administradores podrán consultar el estado de la licencia mediante:

slmgr /dlv

El sistema podrá mostrar un mensaje confirmando si el dispositivo cumple con los requisitos para funcionar como servidor KMS protegido por hardware. En caso contrario, indicará que el host no reúne las condiciones necesarias.

También aparecerán advertencias en el Visor de eventos, en la ruta:

Applications and Services Logs > Key Management Service

Microsoft recomienda comprobar si el TPM admite la función de certificación de claves mediante PowerShell:

Get-TpmSupportedFeature -FeatureList "Key Attestation"

Si la respuesta incluye Key Attestation, el dispositivo cuenta con la capacidad básica necesaria para la nueva arquitectura.

Este chequeo no reemplaza una validación completa. También será necesario verificar que el TPM está habilitado, que el firmware está actualizado y que el servidor es compatible con la versión correspondiente de Windows Server.

La próxima versión LTSC hará obligatoria la certificación

Microsoft ha confirmado que la certificación mediante TPM será obligatoria con la siguiente versión Long-Term Servicing Channel (LTSC) de Windows Server.

La compañía aún no ha divulgado el nombre comercial ni el calendario de dicha versión. Tampoco ha especificado cuándo dejará de aceptar el modelo KMS tradicional en los entornos que migran a este nuevo servidor.

Las organizaciones deberán revisar con anticipación sus hosts actuales. Algunos equipos físicos podrían contar con un TPM compatible que permanece desactivado en la UEFI. Otros servidores antiguos podrían no tener el módulo, o disponer de una versión que no soporte la certificación de claves requerida.

La migración podría requerir:

• activar el TPM en el firmware;
• actualizar la BIOS o UEFI;
• sustituir un módulo físico;
• migrar el servicio KMS a otro servidor;
• revisar procedimientos de copia y recuperación;
• documentar cómo se mantiene la identidad del host ante fallos.

Este cambio también puede afectar a los planes de continuidad, pues si la identidad del servidor se vincula a un TPM concreto, restaurar solo desde una copia de seguridad puede no ser suficiente. La recuperación deberá considerar las claves protegidas por hardware y los mecanismos de reinscripción que Microsoft implemente.

El aspecto aún pendiente: la virtualización

Muchas empresas ya no ejecutan KMS sobre servidores físicos independientes, sino que utilizan máquinas virtuales en plataformas Hyper-V, VMware, Proxmox VE, soluciones hiperconvergentes o nubes privadas.

Microsoft ha confirmado que publicará instrucciones específicas para estos entornos próximamente. Por ahora, no se debe asumir que simplemente añadir un vTPM a una VM garantizará el compatibilidad completa con la nueva arquitectura.

Un vTPM suele depender de la seguridad del hipervisor, del host físico y de un servicio de protección de claves, por lo que la cadena de confianza es más compleja que en un servidor físico.

Quedan varias incógnitas técnicas abiertas:

• ¿Cómo se certificará un vTPM ante Microsoft?
• ¿Qué pasará cuando la VM migre a otro nodo?
• ¿Será posible realizar migraciones en caliente?
• ¿Cómo funcionarán las réplicas para recuperación ante desastres?
• ¿Conservará un clon la identidad o la perderá?
• ¿Qué requisitos deberán cumplir VMware, Hyper-V o Proxmox?
• ¿Cómo se gestionará una restauración tras la pérdida del host?

Estas cuestiones serán particularmente relevantes en clústeres con alta disponibilidad, donde las máquinas virtuales se mueven automáticamente entre nodos. Si la certificación queda vinculada al hardware subyacente, Microsoft deberá ofrecer métodos que permitan mantener la seguridad sin obstaculizar la operación normal de entornos virtualizados.

Seguridad reforzada, pero con mayor dependencia operativa

El principal beneficio del nuevo modelo es claro: dificultará que atacantes puedan copiar un servidor KMS o robar sus credenciales de activación.

La certificación basada en TPM puede reducir la suplantación, proteger secretos y ofrecer a Microsoft mayor certeza acerca de la identidad del servidor. También puede facilitar a las empresas detectar hosts no autorizados en su red.

No obstante, la dependencia de hardware añade complejidad. Una falla en la placa, un cambio de servidor o una migración sin planificación pueden afectar la capacidad de activar nuevos equipos si no existe un proceso de recuperación documentado y robusto.

Las organizaciones deben tratar al servidor KMS como una pieza esencial de seguridad y licenciamiento, no como una simple máquina secundaria que puede clonarse o reconstruirse sin consecuencias.

Este cambio forma parte de una estrategia más amplia de Microsoft, que desde hace años traslada funciones críticas a raíces de confianza respaldadas por hardware: BitLocker, Windows Hello, Credential Guard, Secure Boot, protección de claves y certificación remota.

Hasta ahora, KMS era uno de los pocos mecanismos todavía dependientes en gran medida de una identidad basada en software. Con KMS Hardware-Secured, Microsoft busca cerrar esa brecha.

Recomendaciones para los administradores ahora

Lo primero es realizar un inventario completo de todos los servidores KMS de la organización. Es común encontrar hosts antiguos, secundarios o de recuperación que permanecen registrados pero no documentados adecuadamente.

Luego, conviene identificar:

• versión de Windows Server instalada;
• servidor físico o virtual;
• presencia y versión del TPM;
• soporte para Key Attestation;
• hipervisor utilizado;
• método de copia de seguridad;
• procedimientos de recuperación;
• dependencias de red y DNS;
• cantidad de clientes que dependen de cada host.

Además, es importante seguir las actualizaciones que Microsoft publique respecto a virtualización y fechas de obligatoriedad.

No es recomendable renovar hardware únicamente con la información actual. En muchos casos, bastará con habilitar funciones existentes. Sin embargo, conviene detectar con antelación qué servidores no podrán adaptarse al nuevo esquema sin cambios mayores.

La nueva arquitectura no hace que el TPM revise todos los Windows instalados en una red. Su papel será más específico y técnico: actuar como la credencial criptográfica del servidor autorizado para activar los dispositivos de la organización.

Preguntas frecuentes

¿Microsoft usará el TPM para verificar que cada Windows sea legítimo?

Según lo anunciado, no. La certificación será exclusiva para el servidor KMS de la organización, no para cada equipo individual.

¿Cuándo comienzan estos cambios?

Windows Server 2025 empezará a mostrar avisos de preparación en agosto de 2026. La certificación será obligatoria con la próxima versión LTSC de Windows Server.

¿Los servidores KMS virtuales necesitarán vTPM?

Es probable que la confianza basada en hardware requiera un vTPM, pero Microsoft aún no ha publicado detalles completos para entornos virtualizados.

¿Desaparecerán los activadores KMS?

Es posible que este cambio limite o dificulte el uso de servidores falsos o emulados por software. Sin embargo, no garantiza la eliminación total de métodos no autorizados de activación.

Fuentes:

• Microsoft Tech Community, Fortalecimiento del Key Management Service (KMS) con confianza basada en hardware.
• Documentación de Microsoft Learn sobre Key Management Service y activación por volumen.
• Documentación técnica en Microsoft Learn sobre TPM y Key Attestation.
• Información de Microsoft sobre seguridad basada en virtualización y TPM virtual en Windows Server.