去电脑城装过系统的差友，应该多少见过 KMS 这个神奇的东西。
不管你是 Windows 还是 Office，只要装机师傅打开这工具跑一遍，屏幕就会弹出“激活成功”。
离谱的是，这个长期出现在各种破解工具里的 KMS，最早其实是微软自己做出来的。
然而就在前两天，微软发布了一项新规，准备给 KMS 加上更严格的硬件认证。
也就是说，这条从 Windows Vista 时代一路活到现在的模拟 KMS 激活路子，可能真的快要走到头了。
来源：Windows 官方博客
先给不熟悉 KMS 的差友科普一下它的来历和工作逻辑。
简单来说，KMS 就是微软为大公司搭的一套批量激活服务，用来激活 Windows 和 Office。之所以要搞这套，还是因为之前的激活方式漏洞太大。
在 Windows XP 时代，企业批量买了正版授权后，微软会提供一份专门的系统镜像和密钥。IT 部门把镜像批量部署到公司电脑上，再配置密钥，就都激活了。
但问题来了：一个密钥能装遍整家公司，那一旦流出公司，理论上也能装遍全世界。
于是从 Windows Vista 和 Server 2008 开始，微软重新设计了批量激活体系——KMS 由此诞生。
具体操作是：企业把专属的 KMS 密钥留在服务器上；管理员先让这台服务器连接微软完成激活，之后公司里的 Windows 就能通过内网连接这台服务器实现激活。密钥一直绑在服务器上，安全性确实高了不少。
但按照微软产品的传统，事情发展到这儿，通常就该出点问题了。
由于微软在发放 KMS 密钥时，只会验证服务器是否有权限；而客户端系统在激活时，也只会验证 KMS 返回的内容是否符合激活要求，并不会去审核服务器的授权和密钥来源。
这就留下了一个经典漏洞：只要有人能把 KMS 的协议破解出来，然后模拟一台能给出同样应答的假服务器，就能骗过 Windows 激活。
网上的各路大神开始逆向工程，把微软的校验逻辑还原出来做成工具。用户点一下按钮，工具就会在本地模拟一台服务器，给 Windows 返回一份能通过校验的响应。
一台普通家用电脑，就这么搭上了微软给企业准备的绿色通道，成功激活了。
为了解决 KMS 激活一次只能维持 180 天的问题，这些工具还会在后台留下定期唤醒任务，每隔一段时间就重新认证一次。
久而久之，KMS 从企业激活方案变成了电脑城装机师傅的常驻软件。
终于，在这个漏洞即将迎来二十岁生日之际，微软决定用 TPM 补上它了。
可能不少差友第一次听说 TPM，还是在 2021 年 Windows 11 发布的时候——当时微软为了“安全性”，要求硬件必须支持 TPM 2.0 才能升级。
实际上，TPM 的起源可以追溯到上世纪 90 年代。互联网爆发期病毒猖獗，1999 年 IBM、英特尔等巨头成立了 TCPA（可信计算组织），发布了电脑硬件的安全模块标准，也就是 TPM。
简单来说，TPM 相当于电脑的一个独立保险箱，里面存储密钥和验证设备状态。由于 TPM 里的信息无法通过软件模拟出来，它相当于硬件层面的身份证——没法造假。
这种能证明硬件身份且不会被破解的模块，正是微软软件激活漏洞的克星。
所以微软这次打算把 KMS 服务器和 TPM 进行绑定。以后想用服务器激活系统，不仅得提供 KMS 密钥，还得提供 TPM 证明自己是经过微软官方授权的硬件。
也就是说，即便有人再模拟出 KMS 服务器，拿不出微软认证过的 TPM，照样没法激活。
不过大伙儿也别太担心，这事来得倒没那么快。
按照微软的说法，从今年 8 月开始，他们会先在 Windows Server 2025 上加入提示，让企业检查现有 KMS 主机能否满足新要求。真正的强制 TPM 证明，得等下一代 Windows Server 正式版。
也就是说，微软现在只是先通知企业准备改造，并不会在 8 月直接停掉现有 KMS 激活，更不会让普通用户的 Windows 突然集体失效。
当然，等这套规则真正落地，传统 KMS 模拟工具的日子肯定没以前那么好过。照这个趋势，再过几年，传统的 KMS 激活方式真就不好使了。
话说回来，微软要堵上 KMS 漏洞这事儿，本身确实没问题。Windows 是商业软件，不能因为这套激活方式用了快二十年，就真把它当成系统自带福利。
只不过这事儿放到今天的 Windows 身上，多少有点黑色幽默。如今的 Windows 能留住这么多人，靠的主要还是几十年积累下来的软件、游戏、驱动和工作流程，并不是大家觉得它有多好用。
微软当然可以继续收紧激活，但要是能把查封漏洞的态度分一点给系统体验，Windows 也不至于因为 bug 天天被人骂。既然激活机制都准备从硬件底层重新做了，那套还在互相打架的新旧 UI，啥时候也能享受一下这个待遇？
