Ngày 22/7/2026, Microsoft đăng một bài blog kỹ thuật trên Windows IT Pro Blog, thông báo về một thay đổi âm thầm nhưng đáng chú ý trong cách hệ thống Key Management Service (KMS) hoạt động. Tính năng mới có tên KMS Hardware-Secured, và nó buộc chip bảo mật TPM (Trusted Platform Module) phải tham gia vào quá trình xác thực máy chủ kích hoạt Windows trong môi trường doanh nghiệp.
Ngay khi thông tin này lan truyền, nhiều nơi đã vội gắn nó với một câu chuyện giật gân hơn: "Microsoft dùng TPM để chặn đứng Windows lậu", nhưng thực tế phức tạp và thú vị hơn thế.
KMS Hardware-Secured thực chất là gì?
Để hiểu tại sao thay đổi này quan trọng, cần nhắc lại KMS là gì. Đây là công nghệ kích hoạt hàng loạt (volume activation) mà Microsoft cung cấp cho doanh nghiệp: thay vì từng máy tính phải tự kết nối tới máy chủ của Microsoft để kích hoạt Windows, một máy chủ KMS đặt trong mạng nội bộ công ty sẽ đứng ra "bảo lãnh", các thiết bị trong mạng định kỳ kết nối tới máy chủ này để xác nhận và duy trì trạng thái đã kích hoạt.
Vấn đề là mô hình KMS truyền thống chỉ dựa vào cấu hình phần mềm, nên tồn tại lâu nay một lỗ hổng: kẻ xấu có thể dựng lên các máy chủ KMS giả mạo hoặc nhân bản (spoofed/cloned KMS server) để đánh lừa hệ thống, từ đó kích hoạt Windows trái phép cho hàng loạt máy mà không cần giấy phép hợp lệ.
KMS Hardware-Secured được sinh ra để bịt lỗ hổng này. Thay vì tin vào phần mềm, Microsoft giờ đây yêu cầu chính máy chủ KMS phải có chip TPM và phải chứng minh được, thông qua một quy trình gọi là "TPM attestation" (xác thực bằng TPM), rằng nó đang chạy trên phần cứng thật, chưa từng bị can thiệp hay giả mạo. TPM đóng vai trò là "gốc tin cậy phần cứng" (hardware root of trust), tạo ra bằng chứng mật mã học về danh tính và tính toàn vẹn của máy chủ trước khi được phép cấp phép kích hoạt cho các thiết bị khác.
Theo Microsoft, cơ chế mới mang lại ba lợi ích: ngăn chặn máy chủ KMS giả mạo phát hành giấy phép, chống can thiệp bằng cách gắn các bí mật kích hoạt (activation secrets) vào phần cứng cụ thể, và chuẩn bị hạ tầng cho các yêu cầu bảo mật trong tương lai.
Microsoft không áp dụng ngay lập tức mà đưa ra một lộ trình có độ trễ để doanh nghiệp kịp chuẩn bị. Từ tháng 8/2026, Windows Server 2025 sẽ bắt đầu hiển thị các thông báo trạng thái sẵn sàng, thông qua lệnh slmgr /dlv và Event Viewer, cho biết máy chủ KMS hiện tại có đủ điều kiện chuyển sang cơ chế kích hoạt dựa trên phần cứng hay chưa.
Microsoft cũng hứa sẽ cung cấp hướng dẫn riêng cho các máy chủ KMS ảo hóa (virtual KMS host) trong các bài viết tiếp theo. Đáng chú ý, xác thực TPM sẽ chỉ trở thành bắt buộc từ phiên bản Windows Server LTSC kế tiếp, tức doanh nghiệp còn thời gian để nâng cấp hạ tầng trước khi bị ép buộc.
Không phải là công cụ "quét" máy tính cá nhân
Đây là điểm mà nhiều bài báo công nghệ quốc tế đã vô tình (hoặc cố ý) gây hiểu lầm. Một số nơi đã gắn KMS Hardware-Secured với việc Microsoft từng "khai tử" KMS38, một phương pháp kích hoạt lậu offline bị chặn từ tháng 11/2025, rồi suy diễn rằng đây là bước tiếp theo trong "cuộc chiến" tổng lực nhằm chấm dứt Windows lậu.
Thực tế, hai chuyện này không liên quan đến nhau. KMS38 khai thác một tệp trợ giúp nâng cấp Windows để giả mạo ngày kích hoạt kéo dài, không hề dùng đến TPM hay máy chủ KMS. Còn KMS Hardware-Secured, xét đến cùng, không kiểm tra bất cứ điều gì trên chiếc máy tính cá nhân mà người dùng đang gõ bàn phím. Nó chỉ kiểm tra máy chủ mà các tổ chức, doanh nghiệp dùng để kích hoạt hàng loạt thiết bị trong nội bộ, và yêu cầu chính máy chủ đó phải mang chip TPM chứng minh danh tính.
Nói cách khác, người dùng cá nhân sở hữu Windows có bản quyền hợp pháp hoặc giấy phép số gần như không bị ảnh hưởng gì bởi thay đổi này.
Dù không nhắm trực tiếp vào người dùng cuối, thay đổi này vẫn có thể giáng một đòn đáng kể vào một hình thức kích hoạt Windows lậu khá phổ biến: phương pháp Online KMS.
Đây là kỹ thuật do nhóm phát triển công cụ bẻ khóa mã nguồn mở Massgrave phổ biến, trong đó máy tính của người dùng định kỳ "gọi điện về nhà" (phone home) mỗi 6 tháng tới một máy chủ KMS giả mạo trên mạng để duy trì trạng thái kích hoạt.
Một khi TPM attestation được áp dụng rộng rãi và các máy chủ giả mạo không thể vượt qua bước xác thực phần cứng, phương pháp Online KMS gần như sẽ mất tác dụng.
Nhìn rộng ra, đây là một phần trong chiến lược dài hơi của Microsoft nhằm dịch chuyển các lớp bảo mật của Windows từ "chỉ dựa vào phần mềm" sang "gắn với phần cứng đáng tin cậy", tương tự cách các tính năng như Windows Hello, BitLocker hay System Guard đã và đang tận dụng TPM.
Với việc TPM 2.0 giờ đây gần như là tiêu chuẩn bắt buộc trên phần cứng đời mới, việc mở rộng vai trò của con chip này sang cả hạ tầng xác thực doanh nghiệp là bước đi hợp lý và có phần tất yếu.
Với các doanh nghiệp đang vận hành máy chủ KMS nội bộ, đây là lúc nên bắt đầu rà soát khả năng tương thích phần cứng, thay vì đợi đến khi TPM attestation trở thành yêu cầu bắt buộc mới cuống cuồng nâng cấp.
*Nguồn tham khảo: Microsoft Windows IT Pro Blog (techcommunity.microsoft.com), Windows Report, TechSpot
Lâm Mộc
