Windows 11: Microsoft'un yeni TPM kuralı bilgisayarınızı etkilemez

Hafta sonundan bu yana, Microsoft'un korsan Windows 11 kurulumlarına nihayet son vereceğine dair haberler dolaşıyor. Bu haberler, 22 Temmuz tarihli Windows IT Pro blogundaki bir yazıyla başladı. Yazıda, anakart üzerindeki güvenlik yongası olan TPM ve Windows etkinleştirme konusu ele alınmaktadır. Ancak yazıda, manşetlerde iddia edilenden farklı bir şey ifade ediliyor.

KMS aslında nedir?

Şirketler, Windows'u Microsoft aracılığıyla tek tek her bilgisayarda etkinleştirmez. Bunun yerine, kendi şirket içi sunucularını, yani Key Management Service (Kısa adıyla KMS) kullanırlar. Ağdaki her bilgisayar bu sunucuya sorgu gönderir ve etkinleştirme bilgisini alır. Bu, zahmetten tasarruf sağlar ancak bir zayıflığı da vardır. Şimdiye kadar, bir KMS sunucusu kendini yalnızca yazılım yapılandırması aracılığıyla tanımlıyordu ve bu yapılandırma kopyalanabiliyordu.

Microsoft’a göre, tam da bu oluyor. Saldırganlar, kurumsal ağ içinde gerçek sunucular gibi görünen sahte veya klonlanmış KMS sunucuları kuruyor ve kimsenin parasını ödemediği makineleri lisanslıyor. Bu durum, şirket için bir lisanslama ve uyumluluk sorunu yaratıyor.

Microsoft bu konuda ne yapıyor?

Yeni özellik "KMS Hardware-Secured" olarak adlandırılıyor ve KMS ana bilgisayarının TPM doğrulaması sağlamasını gerektiriyor. Güvenilir Platform Modülü (TPM), anakart üzerinde bulunan ve donanımın kimliğini kriptografik olarak doğrulayabilen ve üzerinde herhangi bir müdahale yapılmadığını teyit edebilen bir yongadır. Sunucunun lisans verebilmesi için önce iki şeyi kanıtlaması gerekir: Microsoft tarafından doğrulanan donanım kimliği ve platformun o zamandan beri değişmemiş olması. Bu kontrollerden herhangi birinde başarısız olursa, artık hiçbir şeyi etkinleştiremez.

Zaman çizelgesi ve şu anda geçerli olanlar

Bunların hiçbiri henüz yürürlükte değildir. Ağustos 2026’dan itibaren, Windows Server 2025, bir ana bilgisayarın hazır olup olmadığını belirten bildirimler gösterecektir. Bu bildirimler, `slmgr /dlv` komutu kullanılarak ve Olay Görüntüleyicisi’nde Uygulamalar ve Hizmet Günlükleri, Anahtar Yönetimi Hizmeti altında görüntülenebilir. Bir mesaj, cihazın donanım tabanlı güvenlik ile bir KMS ana bilgisayarı olarak uygun olduğunu belirtirken; diğeri ise gereksinimleri karşılamadığını belirtir.

TPM doğrulaması, Uzun Vadeli Hizmet Kanalı (LTSC) aracılığıyla yayınlanacak bir sonraki Windows Server sürümüne kadar zorunlu hale gelmeyecektir. Microsoft bu konuda henüz bir tarih belirtmemiştir. O zamana kadar mevcut KMS kurulumları her zamanki gibi çalışmaya devam edecektir. Donanımınızın uyumlu olup olmadığını kontrol etmek isterseniz, PowerShell'de yönetici ayrıcalıklarıyla `Get-TpmSupportedFeature -FeatureList "Key Attestation"` komutunu kullanarak bunu yapabilirsiniz. Sunucu "Key Attestation" yanıtını verirse, özellik kullanılabilir durumdadır.

Bilgisayarınızın bununla ne ilgisi yok?

Ve bu da bizi haberlerin yoldan saptığı noktaya getiriyor. KMS Donanım Korumalı, istemciyi değil sunucuyu kontrol eder. Önünüzdeki bilgisayarda hiçbir şey olmaz. Kişisel kullanım amacıyla Windows çalıştıran hiç kimse, lisans türü ne olursa olsun bu değişikliği fark etmeyecektir.

Yanlış anlama, ikinci bir noktadan kaynaklanıyordu. Microsoft, 2025'in sonunda KMS38 adlı bir etkinleştirme yöntemini kullanılamaz hale getirmişti; bu da bir sonraki değişikliğin de aynı yönde olacağı beklentisine yol açmıştı. Ancak KMS38’in KMS sunucuları veya TPM ile hiçbir ilgisi yoktu. Bu yöntem, uzak bir son kullanma tarihini simüle etmek için bir Windows yükseltme destek dosyasından yararlanıyordu. Microsoft, daha önce kendi destek belgelerinden TPM kontrolünü atlatmaya yönelik talimatları kaldırmıştı; dolayısıyla bu sorun yeni değil.

Adında “KMS” geçen geçici çözüm bile bu durumdan etkilenmiyor. Bu yöntem, gerçek bir KMS sunucusuyla iletişim kurmuyor; bunun yerine, kullanıcının kendi bilgisayarında, isteği onaylayan sahte bir sunucu başlatıyor. TPM kontrolü yapabilecek herhangi bir bileşen bulunmuyor. Zaten günümüzde yaygın olarak kullanılan yöntemler tamamen farklı bir prensiple çalışıyor.

TPM’nin Windows 11’de her zaman kulağa geldiği kadar zorunlu olmadığı gerçeği, eski bilgisayarları yükseltirken zaten ortadaydı.

Şu anda gerçekten harekete geçmesi gerekenler

Yöneticiler bu durumdan etkilenmektedir ve bunların arasında da yalnızca kendi KMS sunucusu olanlar. Fiziksel sunucular için Microsoft, cihazın Windows Server Kataloğu’nda sertifikalı olmasını ve üzerinde TPM’nin kurulu ve etkinleştirilmiş olmasını şart koşmaktadır. Şu anda sanal KMS sunucuları için herhangi bir gereklilik bulunmamaktadır. Microsoft bu ayrıntıları daha sonraki bir gönderide paylaşmayı planladığından, bu senaryoya ilişkin kuralları henüz yayınlamamıştır.