Microsoft ประกาศเตรียมเปลี่ยนระบบเปิดใช้งาน (Activation) Windows สำหรับองค์กรจากการเชื่อถือค่า Configuration ของซอฟต์แวร์เพียงอย่างเดียว ไปสู่การตรวจสอบความน่าเชื่อถือของฮาร์ดแวร์ผ่านฟีเจอร์ใหม่ที่ชื่อว่า KMS Hardware-Secured โดยใช้ Trusted Platform Module (TPM) Attestation เป็นกลไกหลัก
แม้ข่าวนี้จะไม่ใช่การเปิดเผยช่องโหว่ แต่เป็นการยกระดับมาตรการความปลอดภัยเชิงป้องกัน (Proactive Security Enhancement) ที่องค์กรควรวางแผนรองรับล่วงหน้า โดยเฉพาะทีมที่ดูแลระบบ Key Management Service (KMS) ภายในองค์กร
เป้าหมายของฟีเจอร์นี้
ระบบ Activation แบบเดิมของ Windows ผ่าน KMS อาศัยความเชื่อถือจากค่า Configuration ของซอฟต์แวร์เป็นหลัก ซึ่งเปิดช่องให้เกิดปัญหาต่างๆ เช่น:
- การสร้าง KMS Server ปลอม เพื่อ Activate Windows โดยไม่ได้รับอนุญาต
- การ โคลนระบบ (Cloning) KMS Host เพื่อหลีกเลี่ยงการตรวจสอบสิทธิ์
- การขโมยข้อมูลลับที่ใช้ในกระบวนการ Activation
Microsoft จึงพัฒนา KMS Hardware-Secured เพื่อปิดช่องโหว่เชิงกระบวนการเหล่านี้ ด้วยการผูก Activation เข้ากับความน่าเชื่อถือของฮาร์ดแวร์แทน
กลไกการทำงาน
KMS Host ใช้ TPM ของตัวเองสร้าง Attestation Report เพื่อพิสูจน์ตัวตนและความสมบูรณ์ของระบบ ก่อนที่กระบวนการ Activation จะเสร็จสมบูรณ์ กระบวนการนี้สร้างห่วงโซ่ความน่าเชื่อถือทางการเข้ารหัส (Cryptographic Chain of Trust) ระหว่าง Windows Client กับ KMS Host ทำให้ลดความเสี่ยงจากการที่ KMS Server ถูกคัดลอกหรือปลอมแปลงตัวตนได้ยากขึ้นมาก
Timeline การบังคับใช้
- สิงหาคม 2026 — Windows Server 2025 เริ่มแสดงข้อความแจ้งความพร้อม (Readiness Messages) เพื่อช่วยผู้ดูแลระบบตรวจสอบว่า KMS Host ของตนรองรับโมเดลใหม่นี้หรือไม่
- Windows Server LTSC รุ่นถัดไป — Microsoft จะบังคับใช้ TPM Attestation แบบเต็มรูปแบบสำหรับ KMS Hardware-Secured
ข้อกำหนดทางเทคนิค
สำหรับ KMS Host แบบ Physical Server จะต้อง:
- ได้รับการรับรอง (Certified) สำหรับ Windows Server และปรากฏใน Windows Server Catalog
- มี TPM ติดตั้งและเปิดใช้งานในเฟิร์มแวร์
ผู้ดูแลระบบสามารถตรวจสอบความพร้อมได้ผ่านคำสั่ง slmgr /dlv หรือตรวจสอบ Event Log ของ Key Management Service รวมถึงรันคำสั่งใน PowerShell แบบ Elevated:
Get-TpmSupportedFeature -FeatureList "Key Attestation"
หากผลลัพธ์แสดง Key Attestation แปลว่าเซิร์ฟเวอร์รองรับความสามารถ TPM ที่ Microsoft ต้องการสำหรับ KMS Hardware-Secured
ผลกระทบที่อาจเกิดขึ้นต่อองค์กร
- KMS Host รุ่นเก่าหรือ Virtual Machine ที่ไม่รองรับ TPM อาจต้องอัปเกรดฮาร์ดแวร์ ก่อนถึงกำหนดบังคับใช้
- กระบวนการ Activation ภายในองค์กรอาจต้องปรับเปลี่ยน โดยเฉพาะองค์กรที่ใช้ KMS Host แบบ Virtualized ที่ไม่มี TPM ผ่านทะลุ (Passthrough) ไปยัง VM
- ฟีเจอร์นี้มุ่งเป้าไปที่ระบบ Activation ระดับองค์กรเป็นหลัก ไม่ได้กระทบผู้ใช้งาน Windows 11 ทั่วไปในระดับบุคคลโดยตรง
- องค์กรที่เตรียมตัวล่วงหน้าจะได้รับประโยชน์ด้านความปลอดภัยเพิ่มเติม จากการลดความเสี่ยงของ KMS Server ปลอมหรือถูกโคลน โดยไม่ต้องเผชิญปัญหา Activation ขัดข้องเมื่อถึงกำหนดบังคับใช้
สิ่งที่องค์กรควรทำ
- ตรวจสอบความพร้อมของ KMS Host ที่ใช้งานอยู่ ด้วยคำสั่ง
slmgr /dlvหรือGet-TpmSupportedFeature -FeatureList "Key Attestation"ผ่าน PowerShell - วางแผนอัปเกรดฮาร์ดแวร์ KMS Host ที่ยังไม่รองรับ TPM ล่วงหน้าก่อนถึงกำหนดบังคับใช้ใน Windows Server LTSC รุ่นถัดไป
- ติดตามประกาศจาก Microsoft เกี่ยวกับกำหนดเวลาบังคับใช้อย่างใกล้ชิด เพื่อวางแผนการเปลี่ยนผ่านโดยไม่กระทบต่อการดำเนินงาน
- ตรวจสอบว่า KMS Host แบบ Virtual Machine มีการตั้งค่า TPM Passthrough ที่ถูกต้อง หากใช้งานในสภาพแวดล้อม Virtualized
แนวทางลดความเสี่ยงระยะยาว
1. รวมการตรวจสอบความพร้อม TPM เข้าเป็นส่วนหนึ่งของ IT Asset Management
เพื่อให้ทราบล่วงหน้าว่าเซิร์ฟเวอร์ใดในองค์กรต้องอัปเกรดก่อนถึงกำหนดบังคับใช้
2. วางแผนงบประมาณสำหรับการอัปเกรดฮาร์ดแวร์ KMS Host ล่วงหน้า
หลีกเลี่ยงการเร่งจัดซื้อแบบฉุกเฉินเมื่อใกล้ถึงกำหนดบังคับใช้จริง
3. ทดสอบกระบวนการ Activation ในสภาพแวดล้อม Staging ก่อนปรับใช้จริง
เพื่อให้มั่นใจว่าการเปลี่ยนผ่านจะไม่กระทบต่อการดำเนินงานขององค์กร
วิเคราะห์ในมุมมองจาก TXEC
แม้เรื่องนี้จะไม่ใช่ช่องโหว่หรือการโจมตี แต่ TXEC มองว่าเป็นข่าวที่ทีม IT และ Security ขององค์กรควรให้ความสนใจ เพราะสะท้อนแนวโน้มสำคัญของอุตสาหกรรมที่กำลังผูกความน่าเชื่อถือของระบบเข้ากับฮาร์ดแวร์มากขึ้นเรื่อยๆ (Hardware Root of Trust) แทนการพึ่งพาเพียง Configuration ของซอฟต์แวร์
องค์กรที่ใช้ Windows Server และ KMS ในการบริหารจัดการ Activation ควรเริ่มตรวจสอบความพร้อมของฮาร์ดแวร์ตั้งแต่วันนี้ แม้กำหนดบังคับใช้เต็มรูปแบบจะยังไม่ชัดเจนแน่นอน เพื่อหลีกเลี่ยงปัญหา Activation ขัดข้องที่อาจกระทบต่อการดำเนินงานในอนาคต และควรมองว่านี่เป็นโอกาสในการยกระดับความปลอดภัยของกระบวนการ Activation ภายในองค์กรไปพร้อมกัน
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, Petri, Help Net Security, Neowin ]