微软封堵 20 年免费激活漏洞，普通用户还能白嫖吗？

最近微软又有大动作，针对沿用近二十年的 KMS 免费激活漏洞推出强化机制。不管是 Windows 系统还是 Office 软件，以往只要运行 KMS 工具，界面就会显示激活成功，看起来和正版授权并无区别。日前微软发布新规，计划为 KMS 批量激活增加严格的硬件身份核验，依靠 KMS 实现零成本激活的传统路径，未来生存空间将会大幅收窄。

KMS 原本是微软面向企业打造的批量激活方案。XP 时代，企业批量采购正版授权后，微软会提供专属镜像与密钥，用于多终端统一部署。但很快微软发现漏洞：单一密钥一旦外泄，理论上可以不限设备安装。于是从 Vista、Windows Server 2008 版本开始，微软重构批量激活体系，KMS 机制正式登场。

运作逻辑很清晰：企业把专属 KMS 密钥部署在内网服务器，公司电脑接入局域网连接这台服务器完成激活。密钥留存于服务端，安全性相比前代方案明显提升。

但微软这套机制很快暴露出短板：微软发放 KMS 密钥时仅校验服务器权限，客户端激活阶段只核验交互协议是否合规，并不核查 KMS 服务端本身是否拥有合法授权。这就留下可利用的空间。技术爱好者逆向破解 KMS 通信协议，开发出各类激活工具，在本地虚拟一台 KMS 服务器，向 Windows 返回合法校验应答。普通家用电脑借此接入这套面向企业设计的激活通道，完成系统激活。

由于 KMS 单次激活有效期仅有 180 天，工具会在后台周期性自动续期。久而久之，KMS 从正规企业激活方案，演变为电脑城装机常用手段，也是普通用户免费激活 Windows、Office 最主流的方式。

在这套漏洞沿用将近二十年之际，微软计划借助 TPM 补齐短板。很多人对 TPM 并不陌生，推出 Windows 11 时，微软将 TPM 2.0 列为系统升级硬件门槛，用以提升终端安全性。追溯源头，本世纪初病毒与恶意程序泛滥，微软、IBM、英特尔等厂商联合成立可信计算平台联盟（TCPA），制定电脑硬件安全芯片标准，也就是 TPM，后续联盟改组为可信计算组织 TCG。TPM 相当于设备内置的硬件安全身份证，无法单纯依靠软件模拟。

本次微软的方案，是把合规 KMS 服务器与 TPM 硬件证明绑定。后续合法 KMS 主机对外提供激活服务时，除有效 KMS 密钥外，还需要出示 TPM 硬件可信证明。即便有人虚拟搭建 KMS 应答服务器，无法提供合规硬件证明，就不能对外提供激活服务。

不过用户不必过度恐慌，政策落地存在缓冲周期。按照微软安排，从 2026 年 8 月开始，Windows Server 2025 累积更新会新增检测提示，方便企业提前自查现有 KMS 基础设施。TPM 强制核验机制，将在下一代 Windows Server 正式版本生效。现阶段微软仅通知企业开展改造准备，不会直接关停现有 KMS 激活链路，更不会造成普通用户系统突然失效。当然等到整套规则全面落地，沿用多年的传统 KMS 激活思路，将会面临巨大挑战。

微软封堵 KMS 漏洞本身合乎商业逻辑，Windows 属于商业授权软件，持续二十年被民间渠道滥用激活机制早已是长期现象。但这件事放在当下的 Windows 生态里，多少带有几分争议。如今大量用户持续使用 Windows，依托的是数十年沉淀下来的软件、游戏、驱动生态与成熟工作流程，并非单纯认可系统体验。微软打击盗版的态度十分坚决，可系统长期存在各类 bug、功能冗余冲突等问题，优化进度始终难以满足用户期待。倘若微软可以把封堵激活漏洞投入的资源，分出一部分改善系统体验，Windows 也不会频繁因为各类故障遭到用户吐槽。