Lassen wir die System-Bugs vorerst beiseite, Microsoft geht nun mit voller Härte gegen Nutzer von raubkopierter Software vor.

Freunde, die schon einmal in einem Computerladen ein Betriebssystem installieren ließen, haben das wundersame Ding namens KMS sicher schon einmal gesehen.

Egal ob es sich um Windows-Systeme oder Office-Software handelt: Sobald der Techniker im Laden dieses Tool startet, wird auf dem Bildschirm angezeigt, dass die Aktivierung erfolgreich war und man sich für Ihren Kauf bedankt.

Das Absurde daran ist, dass KMS, das seit langem in verschiedensten Hacking-Tools auftaucht, ursprünglich von Microsoft selbst entwickelt wurde.

Doch vor zwei Tagen hat Microsoft eine neue Regel veröffentlicht, die KMS mit strengeren Hardware-Authentifizierungen versehen soll.

Das heißt, der simulierte KMS-Aktivierungsweg, der seit der Ära von Windows Vista bis heute existiert, könnte nun wirklich bald sein Ende finden.

Quelle: Der offizielle Windows-Blog

Zuerst erklären wir den Freunden, die KMS nicht gut kennen, die Herkunft und Funktionsweise dieses Tools.

Einfach ausgedrückt ist KMS ein von Microsoft für Großunternehmen eingerichteter Software-Aktivierungsdienst, der hauptsächlich zur Massenaktivierung von Windows- und Office-Software dient.

Der Grund für die Einführung dieses KMS-Systems liegt vor allem darin, dass die vorherigen Aktivierungsmethoden erhebliche Sicherheitslücken aufwiesen und die Bedienung sehr umständlich war.

Freunde, die schon einmal ein Unternehmen geführt haben, wissen: Zu Zeiten von Windows XP stellte Microsoft, wenn man als Organisation massenhaft offizielle Lizenzen für Windows erwarb, ein spezielles Systemabbild und einen Schlüssel zur Verfügung.

Anschließend musste nur die IT-Abteilung das Systemabbild über Server auf allen Computern des Unternehmens massenhaft bereitstellen und den Schlüssel konfigurieren, damit diese Systeme normal laufen konnten.

Doch bald darauf stellte Microsoft ein Problem fest: Da ein einziger Schlüssel zur Installation auf allen Computern des Unternehmens ausreichte, konnte dieser Schlüssel, sobald er das Unternehmen verließ, theoretisch auch auf der ganzen Welt verwendet werden.

Daher hat Microsoft ab der Generation von Windows Vista und Windows Server 2008 das Massenaktivierungssystem neu gestaltet, und KMS entstand so.

Konkret gesagt wird der unternehmensspezifische KMS-Schlüssel auf dem Server gespeichert; der Administrator lässt diesen Server zuerst eine Verbindung zu Microsoft herstellen, um die Aktivierung abzuschließen, danach können alle Windows-Systeme im Unternehmen über die Verbindung zum Server direkt im internen Netzwerk aktiviert werden.

Da der Schlüssel ständig an den Server gebunden ist, ist die Sicherheit theoretisch um mehrere Stufen höher.

Doch gemäß der Tradition von Microsoft-Produkten läuft es an dieser Stelle meistens nicht mehr reibungslos.

Bei der Ausgabe von KMS-Schlüsseln überprüft Microsoft nur, ob der Server über die entsprechenden Berechtigungen verfügt; wenn der Server das System aktiviert, überprüft das System nur, ob der KMS-Inhalt den Aktivierungsanforderungen entspricht, und prüft nicht erneut die Berechtigung des Servers oder die Herkunft des Schlüssels.

Dadurch entsteht eine Sicherheitslücke zwischen dem Server und dem zu aktivierenden System: Da das System die Herkunft von KMS nicht prüft, reicht es aus, wenn jemand das KMS-Protokoll knackt und einen Server simuliert, der die gleiche Antwort liefert, um Windows zur Aktivierung zu überreden...

Daher haben verschiedene Experten im Internet mit der Reverse Engineering dieses Tools begonnen, die Prüfsumme und das Protokoll von Microsoft wiederhergestellt und daraus ein Tool entwickelt;

Die Nutzer müssen nur auf eine Schaltfläche klicken, das Tool simuliert lokal einen Server und gibt Windows eine Antwort zurück, die die Prüfung besteht.

Auf diese Weise konnte ein normaler Heimcomputer den von Microsoft für Unternehmen vorgesehenen Grüne Pass nutzen und erfolgreich aktiviert werden.

Um das Problem zu lösen, dass eine KMS-Aktivierung nur 180 Tage gültig ist, hinterlassen diese Aktivierungstools auch regelmäßige Wake-up-Aufgaben im Hintergrund, die den falschen Server in bestimmten Abständen zur erneuten Authentifizierung aufrufen.

Mit der Zeit wurde KMS von einem unternehmensweiten Aktivierungsverfahren zu einem Standard-Tool für Techniker in Computerläden.

Kurz bevor diese Sicherheitslücke ihr 20-jähriges Jubiläum feiert, hat Microsoft endlich beschlossen, sie mit TPM zu schließen.

Viele Freunde haben zum ersten Mal von TPM gehört, als Windows 11 im Jahr 2021 veröffentlicht wurde. Damals forderte Microsoft aus sogenannten Sicherheitsgründen, dass die Hardware TPM 2.0 unterstützen muss, um auf die neueste Systemversion aktualisieren zu können.

Tatsächlich geht die Geschichte dieses Moduls aber bis ins letzte Jahrhundert zurück.

Zu dieser Zeit erlebte das Internet eine rasante Entwicklung, Viren und Trojaner waren weit verbreitet. Im Jahr 1999 gründeten Giganten wie IBM und Intel daher eine spezielle Organisation namens TCPA (Trusted Computing Group) und veröffentlichten einen Sicherheitsmodulstandard für Computerhardware, nämlich TPM.

Einfach ausgedrückt definiert dieser Standard, wie ein Sicherheitsmodul im Computer aussehen soll, um Schlüssel zu speichern und den Gerätezustand zu überprüfen;

Da die in TPM gespeicherten Informationen nicht durch Software simuliert werden können, gilt es für die Hardware als zuverlässiger Ausweis.

Dieses Modul, das die Hardwareidentität nachweisen kann und nicht gehackt werden kann, ist genau das, was Microsoft zur Behebung der Sicherheitslücke bei der Softwareaktivierung benötigt.

Daher plant Microsoft in diesem Schritt, den Server mit TPM zu verbinden. Wenn man in Zukunft den Server zur Systemaktivierung nutzen möchte, muss man nicht nur den KMS-Schlüssel angeben, sondern auch das TPM vorweisen, um zu bestätigen, dass man eine offizielle Lizenz von Microsoft erhalten hat.

Das heißt, selbst wenn jemand in Zukunft KMS simulieren kann, wird er das System nicht über einen virtuellen Server aktivieren können, wenn er kein von Microsoft zertifiziertes TPM vorweisen kann.

Aber Sie müssen sich keine allzu großen Sorgen machen: Diese Änderung wird nicht sofort umgesetzt.

Laut Microsoft werden ab August dieses Jahres entsprechende Hinweise zuerst auf Windows Server 2025 hinzugefügt, um Unternehmen dazu zu bringen, zu prüfen, ob ihre vorhandenen KMS-Hosts die neuen Anforderungen erfüllen.

Die echte verpflichtende TPM-Überprüfung wird erst mit der nächsten offiziellen Version von Windows Server eingeführt.

Das heißt, Microsoft informiert die Unternehmen jetzt nur im Voraus über die anstehende Umstellung, wird die vorhandene KMS-Aktivierung im August nicht sofort abschalten und auch nicht dazu führen, dass die Windows-Systeme normaler Nutzer plötzlich alle nicht mehr funktionieren.

Sobald diese Regeln jedoch vollständig umgesetzt sind, werden die traditionellen KMS-Simulationstools nicht mehr so einfach funktionieren wie früher. Nach dieser Entwicklung könnte der traditionelle KMS-Aktivierungsweg in einigen Jahren wirklich nutzlos werden.

Im Grunde hat Microsoft nichts falsch daran, die KMS-Sicherheitslücke zu schließen.

Schließlich ist Windows eine kommerzielle Software. Wir dürfen nicht vergessen, dass diese Aktivierungsmethode fast 20 Jahre lang genutzt wurde, und sie daher fälschlicherweise als integrierten Vorteil des Systems zu betrachten.

Aber diese Angelegenheit wirkt auf das heutige Windows irgendwie wie eine schwarze Komödie. Schließlich behält Windows heute so viele Nutzer vor allem wegen der über Jahrzehnte angesammelten Software, Spiele, Treiber und Arbeitsabläufe, nicht weil die Nutzer es für besonders benutzerfreundlich halten.

Natürlich kann Microsoft die Aktivierungsbeschränkungen weiter verschärfen. Aber man wünscht sich, dass Microsoft einen Teil des Eifers, den es beim Schließen von Sicherheitslücken zeigt, auch für die Verbesserung der Systemerfahrung aufbringt – dann würde Windows nicht ständig wegen seiner Bugs kritisiert werden.

Wenn der Aktivierungsmechanismus bereits von Grund auf auf Hardwareebene neu entwickelt wird, wann bekommen dann die verschiedenen alten und neuen UI-Elemente im System, die sich ständig gegenseitig behindern, endlich die gleiche Behandlung?

Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „X.PIN“, Autor: Siyi, Redakteure: Milo & Mianxian, veröffentlicht mit Genehmigung von 36Kr.