Ваш ПИН-код недоступен в Windows 11 и 10 — причины и решения

При очередном включении компьютера или ноутбука и входе в Windows вас может встретить сообщение: «Возникла проблема. Ваш PIN-код недоступен. Щелкните, чтобы снова настроить ПИН-код» или «Ваш PIN-код перестал быть доступным, так как на этом устройстве изменились параметры безопасности». Иногда нажатие «Настроить свой PIN-код» позволяет заново создать его, но во многих случаях после экрана «Подождите» вы вновь возвращаетесь в то же окно.

В этой инструкции подробно о том, почему такое может происходить и что делать, если вы столкнулись с недоступности ПИН-кода при входе в Windows 11/10, чтобы исправить ситуацию и войти в систему.

Основные причины

Главные причины рассматриваемой проблемы с доступностью ПИН-кода в Windows 11 актуальных версий следующие:

• Отключение или сброс ключей модуля TPM в БИОС/UEFI
• Отключение безопасной загрузки в БИОС/UEFI, изменение режима загрузки
• Сброс параметров БИОС/UEFI
• Редко, но возможно — обновление БИОС.

Суть в том, что при создании ПИН-кода в Windows 11 генерируются криптографические ключи, которые шифруются с помощью мастер-ключа SRK (Storage Root Key) в TPM или же защищенной области fTPM, после чего они помещаются в системную папку NGC (Next Generation Credentials). При вводе ПИН-кода на экране входа Windows должна отправить файл из NGC в TPM для расшифровки и проверки.

Описанные действия в БИОС/UEFI приводят к тому, что корневой ключ очищается, либо TPM отказывает в доступе из-за изменений в системе (отключили Secure Boot), либо модуль TPM и вовсе становится недоступным. В первых двух случаях вы увидите сообщение «Ваш PIN-код перестал быть доступным, так как на этом устройстве изменились параметры безопасности», в третьем — «Возникла проблема. Ваш PIN-код недоступен».

В Windows 10 (где пользователи редко используют TPM) причиной чаще оказываются иные факторы (могут быть актуальными и для Windows 11):

• Нарушение запуска службы Изоляция ключей CNG или Диспетчер учетных данных.
• Повреждение содержимого или прав доступа к папке

  C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\NGC

• Повреждение папки профиля пользователя
• Перенос системы на другой компьютер (например, переставили SSD с установленной Windows на другое оборудование). Причина: использование аппаратных идентификаторов для шифрования учётных данных.

Как итог, чаще причина недоступности ПИН-кода не в «кривой работе Windows», а в каких-то действиях пользователя, последствия которых не осознавались до момента столкновения с ними: от изменений параметров БИОС/UEFI до слишком усердной «оптимизации».

Простые способы решения

Сначала о некоторых быстрых вариантах решения, которые в некоторых случаях могут сработать:

1. Если вы отключали Secure Boot и/или TPM в БИОС/UEFI, попробуйте их снова включить (и отключить CSM/Legacy, если включали): отключение не обязательно очищает ключи и в некоторых случаях повторное включение позволяет полностью вернуть работоспособности ПИН-кода без каких-либо дополнительных действий.
2. Если это не сработало, на экране входа в систему убедитесь, что выполнено подключение к Интернету (значок присутствует в области справа внизу) и используйте ссылку «Настроить свой PIN-код». Важно: иногда ссылка показывает экран «Подождите», а затем возвращает пользователя на экран входа при первом нажатии, но второе или третье срабатывает. Также для пользователей из РФ могут наблюдаться проблемы при подключении через мобильный Интернет, но всё исправно работает при использовании домашнего Интернета. Если сработало — вам останется использовать данные учетной записи Майкрософт (E-mail, пароль, но не ПИН-код), для того чтобы зайти в систему и задать новый ПИН-код), обычно доступны разные варианты подтверждения входа:
3. При наличии ссылки «Параметры входа» (отображается в Windows 10 и ранних версиях Windows 11) ниже сообщения об ошибке, вы можете нажать по ней, затем выбрать вариант входа в систему с помощью пароля и использовать пароль (это не то же самое, что ПИН-код) для входа в систему с вашей учётной записью Майкрософт. После успешного входа вы можете повторно настроить ПИН-код в Параметры — Учетные записи — Варианты входа (может потребоваться отключить Windows Hello и удалить ПИН-код прежде, чем устанавливать новый).
4. Если вы столкнулись с проблемой после включения опции «Диагностический запуск» в msconfig, используйте отдельную инструкцию для её решения. Примечание: если вы знаете пароль учётной записи Майкрософт, первая часть указанной инструкции также позволяет включить опцию входа по паролю, а не ПИН-коду на экране входа в систему, то есть применима не только для диагностического запуска.
5. Если речь идёт о компьютере организации, изучите групповые политики в Административные шаблоны — Компоненты Windows — Windows Hello для бизнеса — Использовать Windows Hello для бизнеса или в реестре

   HKLM\SOFTWARE\Policies\Microsoft\PassportForWork
   HKLM\SOFTWARE\Policies\Microsoft\Windows\System параметр AllowDomainPINLogon

Во многих случаях этих способов оказывается достаточно, чтобы решить проблему со входом, но не всегда. Если предыдущие варианты не помогли, по порядку используйте далее приведённые методы, один из которых с большой вероятностью исправит ситуацию. Примечание: если диск зашифрован с помощью функции «Шифрование устройства» или Bitlocker, часть описанных способов могут потребовать разблокировки доступа к диску и ключа восстановления BitLocker.

Службы Изоляция ключей CNG и Диспетчер учетных данных

В случае, если проблемы с ПИН-кодом возникли не после действий с БИОС/UEFI, а каких-либо действий по оптимизации системы вручную или с помощью сторонних программ, первое, на что следует обратить внимание — службы, необходимые для работы ПИН-кода: Изоляция ключей CNG и Диспетчер учетных данных.

Если вход в Windows 11/10 возможен, исправить тип запуска служб можно следующим образом:

1. Нажмите клавиши Win+R на клавиатуре, либо нажмите правой кнопкой мыши по кнопке «Пуск» и выберите пункт «Выполнить», введите services.msc и нажмите Enter
2. Найдите в списке служб «Изоляция ключей CNG» и, если её тип запуска отличается от «Вручную», дважды нажмите по службе, измените тип запуска на «Вручную» и примените настройки.
3. Повторите те же действия для службы «Диспетчер учетных данных», тип запуска также «Вручную».
4. Перезагрузите компьютер.

При невозможности зайти в систему, вы можете выполнить то же самое в среде восстановления:

1. На экране блокировки нажмите по изображенной в правом нижнем углу кнопки «Питания», а затем, удерживая клавишу Shift нажмите «Перезагрузка».
2. После перезагрузки вы попадете в среду восстановления Windows. Перейдите в раздел Дополнительные параметры — Поиск и устранение неисправностей — Дополнительные параметры.
3. Здесь в первую очередь я рекомендую попробовать использовать пункт «Восстановление системы» — при наличии точек восстановления вы быстро сможете вернуть компьютер к состоянию, когда вход с ПИН-кодом работал исправно.
4. Если предыдущий вариант не подошел, откройте пункт «Командная строка», а затем введите команду regedit и нажмите Enter.
5. Откроется редактор реестра. В нём выберите раздел HKEY_LOCAL_MACHINE, а затем в меню выберите «Файл» — «Загрузить куст» и укажите путь к файлу

   C:\Windows\System32\config\SYSTEM

   Внимание: буква системного диска в среде восстановления может отличаться, кроме этого, может быть несколько дисков, содержащих такую папку. Убедитесь, что файл открывается с того диска, где у вас по факту установлена Windows (определить можно, например, по размеру этого диска).
6. Появится запрос о назначении имени для загруженного куста — задайте любое удобное вам. В результате внутри раздела реестра HKEY_LOCAL_MACHINE появится подраздел с заданным вами именем.
7. В этом подразделе перейдите в

   ControlSet001\Services\KeyIso

   и обратите внимание на значение параметра с именем Start в правой панели. Если его значение отличается от 3, дважды нажмите по параметру, установите значение 3, примените настройки.
8. Повторите те же действия для раздела

   ControlSet001\Services\VaultSvc

9. Выберите подраздел реестра с заданным вами на 6-м шаге именем, а затем в меню редактора реестра выберите в меню «Файл» — «Выгрузить куст» и подтвердите выгрузку сделанных изменений.
10. Закройте редактор реестра, командную строку и перезагрузите компьютер — ПИН-код Windows 11 или 10 должен работать.

Если причиной неработоспособности ПИН-кода было отключение служб, эти действия должны исправить ситуацию.

Очистка папки Ngc

Этот способ будет полезным для сброса ПИН-кодов (для всех учётных записей) и в случае, если причиной неработоспособности ПИН-кода стало повреждение файлов в папке Ngc или изменение прав доступа к ней. Достаточно выполнить следующие шаги:

1. На экране блокировки нажмите по изображенной в правом нижнем углу кнопки «Питания», а затем, удерживая клавишу Shift нажмите «Перезагрузка», чтобы открыть среду восстановления.
2. Перейдите в раздел Дополнительные параметры — Поиск и устранение неисправностей — Дополнительные параметры — Командная строка.
3. Проверьте букву системного раздела диска, так как она может отличаться от стандартной C: при использовании среды восстановления. Для этого по порядку введите команды

   diskpart
   list volume
   exit

   В результате вы увидите тома на дисках, назначенные им буквы и метки.
4. По порядку введите следующие команды, при необходимости изменив букву диска C: на актуальную букву системного раздела:

   takeown /f C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /r /d y
   icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /grant *S-1-5-32-544:F /t
   RD /S /Q C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc
   MD С:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc
   icacls D:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /T /Q /C /RESET

5. Закройте командную строку и перезагрузите компьютер.

После выполнения указанных действий все ПИН-коды будут удалены и вам либо будет предложено зайти с использованием пароля, либо вы увидите единственную ссылку «Вход», по которой вам будет предложено зайти в учётную запись Майкрософт:

Учитывайте, что в случае невозможности подключения к серверам Майкрософт войти в систему может не получиться, также ссылка «Вход» может срабатывать не с первого раза. Если зайти в ОС всё так же не получается, можно использовать следующие методы.

Преобразование учётной записи в локальную или создание новой учетной записи

Если предыдущие способы не помогают попасть в систему, вход в учётную запись Майкрософт невозможен, либо вы не помните пароль, вы можете использовать WinPE для того, чтобы сбросить пароль учетной записи, конвертировать её из учетной записи Майкрософт в локальную, что автоматически отключит использование ПИН-кода для этого аккаунта.

1. Используя какой-либо другой компьютер, загрузите образ ISO WinPE Sergei Strelec и запишите его на флешку, например, с помощью Rufus. Примечание: если возможности создания загрузочной флешки нет, далее приведены альтернативные варианты решения.
2. Загрузитесь с созданной флешки (может потребоваться отключить Secure Boot в BIOS) на компьютере, где ПИН-код недоступен, в меню «Пуск» перейдите в раздел «Программы WinPE» — «Сброс паролей» и запустите утилиту Windows Login Unlocker.
3. В списке учетных записей нажмите правой кнопкой мыши по учетной записи, в которую не получается войти и выберите пункт «Reset password» (для сброса/удаления пароля) или «Change password» (для изменения пароля).
4. Появится запрос, с сообщением о том, что это учетная запись Майкрософт и она будет преобразована в локальную учетную запись — нажмите Ок.

После выполнения указанных действий вы получите сообщение о том, что пароль был успешно сброшен, утилиту можно закрыть и загрузиться с обычного жесткого диска или SSD — без пароля или с установленным вами паролем. Учитывайте, что после такого преобразования вам может потребоваться вновь войти в учётную запись Майкрософт в приложениях, где ранее выполнялся вход с этой учётной записью:

Если создание загрузочной флешки в текущей ситуации невозможно, есть ещё два варианта действий, которые возможно выполнить из среды восстановления в командной строке, либо в командной строке, запущенной по Shift+F10 с установочного накопителя Windows 11/10:

1. Создайте локальную учётную запись с правами администратора, используя 2-й способ из этой инструкции. После создания вы сможете выбрать её на экране входа в систему, зайти под ней и либо полностью «переехать» в новую учётную запись, либо выполнить действия над уже имеющейся, но не работающей учётной записью Майкрософт.
2. Используйте 2-й способ из статьи Как включить скрытую учетную запись Администратора в Windows 11 (подойдет и для Windows 10), затем зайдите в эту учетную запись и уже из неё выполняйте управление пользователями для исправления проблемы.

Надеюсь, один из вариантов поможет решить проблему и вы успешно получите доступ к вашей ОС.