Microsoft prende ativação do Windows ao TPM: o que muda mesmo (e o que não)

A Microsoft anunciou uma alteração significativa ao modo como o Windows é ativado em ambientes empresariais: o serviço de gestão de chaves (Key Management Service, ou KMS) vai passar a exigir verificação por hardware através do chip TPM (Trusted Platform Module). A funcionalidade, batizada de «KMS Hardware-Secured», obriga o servidor de ativação a provar criptograficamente que corre em hardware genuíno e não adulterado antes de poder ativar dispositivos Windows numa organização. Apesar de várias manchetes sugerirem que a Microsoft vai «bloquear cópias piratas» em qualquer PC, as análises técnicas mais recentes esclarecem que a medida incide sobre os servidores KMS das organizações — e não sobre o computador de cada utilizador.

O que a Microsoft anunciou

Segundo a documentação publicada, a Microsoft vai reforçar a segurança da ativação por volume do Windows.

A funcionalidade, chamada KMS Hardware-Secured, usa atestação baseada em TPM para verificar que os hosts KMS correm em hardware fidedigno antes de poderem ativar dispositivos Windows. A empresa enquadra a alteração como mais um passo dos seus esforços para modernizar a ativação do Windows, num contexto em que as organizações enfrentam desafios crescentes de identidade dos dispositivos, licenciamento e abuso dos procedimentos de ativação.

O KMS é a tecnologia de ativação por volume da Microsoft. Em vez de cada dispositivo se ligar individualmente aos servidores de ativação da Microsoft, um host KMS dentro do ambiente empresarial trata dos pedidos de ativação dos dispositivos-cliente elegíveis. É este modelo, usado por empresas, administração pública, escolas e outros clientes de licenciamento por volume, que a mudança visa.

Como funciona a atestação por TPM

O TPM é um componente de hardware dedicado que funciona como raiz de confiança. Permite aos dispositivos gerar e proteger chaves criptográficas que ajudam a garantir a integridade da plataforma. No novo modelo, o processo obedece a uma sequência clara. A atestação verifica primeiro a identidade de hardware do host KMS, confirmando que a Microsoft o reconhece como um dispositivo físico legítimo; depois verifica que o host não foi adulterado; e só após passar em ambas as verificações, por via criptográfica através do chip TPM, é que o servidor KMS fica autorizado a tratar pedidos de ativação.

Este desenho substitui o antigo modelo assente apenas em software. O servidor KMS usa o seu TPM para gerar um relatório de atestação que prova a sua identidade e integridade antes de a ativação ser concluída, criando uma cadeia de confiança criptográfica entre os clientes Windows e o host KMS e reduzindo o risco de o servidor ser copiado ou personificado. No modelo tradicional, os administradores instalam uma chave de licença por volume específica do cliente (CSVLK) no host KMS, e os clientes descobrem esse host via DNS para pedir a ativação.

Cronologia e prazos

A partir de agosto de 2026, o Windows Server 2025 vai começar a fornecer mensagens de preparação aos administradores, aparecendo essas mensagens ao executar o comando slmgr /dlv — que devolve informação detalhada sobre o estado da licença — bem como nos registos do serviço KMS. A obrigatoriedade entra em vigor com a próxima versão do Windows Server.

Vale a pena sublinhar o que ainda não é conhecido. Quanto ao calendário da obrigatoriedade, tudo o que a Microsoft revelou é que acontecerá «na próxima versão LTSC do Windows Server»; o nome do produto, a data de lançamento, o período de tolerância antes da imposição e o tratamento dado a hosts não conformes não constam do anúncio.

O que NÃO muda para o utilizador comum

É neste ponto que muitas leituras da notícia derraparam. O objetivo declarado da Microsoft é reduzir a exposição de segurança, licenciamento e conformidade criada por servidores KMS falsos ou clonados — e não introduzir uma nova verificação de TPM em cada PC Windows individual. Os relatos que enquadram o anúncio como a Microsoft a usar chips TPM para desligar remotamente todas as instalações piratas do Windows exageram o que foi efetivamente anunciado; o novo controlo é imposto aos hosts KMS, não a cada dispositivo-cliente.

Além disso, nada bloqueia a ativação de imediato. As implementações KMS existentes continuam a funcionar exatamente como hoje até a Microsoft lançar a versão LTSC que torna o requisito obrigatório. Os administradores podem confirmar antecipadamente se o equipamento é compatível: executando Get-TpmSupportedFeature -FeatureList "Key Attestation", uma máquina compatível responde com «key attestation», confirmando que a capacidade existe antes de a Microsoft começar a impor o KMS Hardware-Secured.

Impacto na pirataria e a resposta dos «crackers»

A emulação de KMS tem sido, historicamente, um dos métodos mais difundidos para «ativar» versões piratas do Windows. Os piratas abusam deste sistema para correr um servidor KMS falso «caseiro» — disponibilizado como ferramenta de ativação descarregável — apontando o Windows para ele para obter uma licença sem pagar. A exigência de atestação por TPM tende a inutilizar esses ativadores que emulam o KMS localmente ou apontam para servidores KMS falsos online.

Contudo, a batalha está longe de terminada. Existem outros métodos de «ativação» mais recentes que contornam a arquitetura de DRM da Microsoft por outras vias, como HWID, Ohook e TSforge. O método TSforge, em particular, foi apresentado como visando a arquitetura de DRM da Microsoft de forma mais ampla, em vez de depender da emulação de KMS. Por outras palavras, fechar a porta do KMS não fecha todas as portas.

Porque é que isto importa em Portugal

Para PME, escolas e organismos públicos portugueses que gerem os seus próprios servidores de ativação por volume, esta mudança é essencialmente uma questão de planeamento de infraestrutura de TI. Servidores KMS mais antigos, ou hosts virtualizados sem TPM adequado, poderão deixar de cumprir os requisitos quando a obrigatoriedade entrar em vigor. Convém usar a janela de agosto de 2026 para inventariar hosts, testar a compatibilidade e orçamentar eventuais substituições, evitando surpresas na altura em que a próxima versão LTSC tornar o requisito obrigatório.

Do ponto de vista de segurança, a mudança alinha-se com a tendência de ancorar a confiança no hardware — o mesmo princípio que sustenta funcionalidades como o BitLocker ou o Windows Hello. Reduzir a superfície de abuso de servidores de ativação falsos ajuda também a mitigar riscos de licenciamento e de integridade do software, matérias que se cruzam com as obrigações de gestão de risco previstas no Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2). Manter software genuíno e devidamente licenciado é, aliás, um requisito básico de higiene de cibersegurança que o CNCS e o CERT.PT recomendam a qualquer organização, e que reduz o risco de exposição a malware frequentemente embutido em ativadores piratas.

Perguntas frequentes

A Microsoft vai desativar o meu Windows pirata através do TPM?

Não com base neste anúncio. A verificação por TPM aplica-se aos servidores KMS que as organizações usam para ativação por volume, não a cada PC individual. A medida inutiliza sobretudo ativadores que emulam servidores KMS falsos, mas não introduz uma nova verificação de TPM em cada computador de utilizador.

Quando entra em vigor a obrigatoriedade?

A partir de agosto de 2026 o Windows Server 2025 começa a mostrar mensagens de preparação aos administradores. A atestação por TPM torna-se obrigatória na próxima versão LTSC do Windows Server, cuja data exata a Microsoft ainda não divulgou.

Como verifico se os meus servidores KMS são compatíveis?

Pode executar o comando PowerShell Get-TpmSupportedFeature com a lista de funcionalidades «Key Attestation»; uma máquina compatível confirma que suporta a atestação de chaves. O comando slmgr /dlv e os registos do serviço KMS também passam a indicar o estado de preparação a partir de agosto de 2026.

Isto acaba com toda a pirataria do Windows?

Não. A medida trava métodos baseados em emulação de KMS, mas existem outras técnicas de ativação não oficiais, como HWID, Ohook e TSforge, que contornam a arquitetura de DRM por outras vias. A eficácia real desta mudança só será confirmada quando a obrigatoriedade entrar em vigor.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft e em análises de publicações especializadas em cibersegurança.