По мере того, как Microsoft все агрессивнее пытается пересадить пользователей Windows на онлайн-учетные записи Microsoft вместо использования классических локальных аккаунтов (см. обходные способы установки Windows 11 с локальным аккаунтом), все больше количество людей используют PIN код для входа в систему с помощью Windows Help. В некоторых случаях при попытке входа в Windows 11 с помощью PIN на экране входа появляется ошибка вида:
Возникла проблема. Ваш ПИН код недоступен. Щелкните чтобы настроить свой ПИН-код.
Something happened and your PIN isn't available. Click to set up your PIN again.
Your PIN is no longer available due to a change in your security settings on this device, click to reset PIN.
В этой статье мы рассмотрим, что означает ошибка недоступности PIN кода, вероятные причины ее появления и как войти в Windows в такой ситуации.
Прежде чем продолжить, нужно отметить пару важных моментов нужных для понимания, как работает PIN код в Windows:
- PIN код (в отличии от пароля аккаунта MSA) является локальным криптографическим аутентификатором, привязан к конкретному компьютеру, и используется для доступа к закрытому ключу, хранящемуся в аппаратном чипе TPM (если нет чипа TPM 2.0, используется Virtualization-based Security /VBS).
- Зашифрованные учетные данные Windows Hello (включая ключи, сертификаты) для входа хранятся в защищённом контейнере Next Generation Credentials (NGC) по пути
C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc - Когда пользователь вводит PIN при входе в систему, система передаёт его в TPM для расшифровки приватного ключа из NGC-контейнера. В случае успеха с помощью закрытого ключа генерируется подпись (challenge-response) и выполняется аутентификация.
Соответственно, если TPM недоступен или по какой-то причине его содержимое или конфигурация изменена (например, после обновления/сброса или перепрошивки UEFI, сброса ключей в модуле TPM, отключение Secure Boot), аутентификация по PIN коду становится недоступной и не может быть использована для входа в систему.
Ниже список решений, которые позволяют решить типовые проблемы с невозможностью войти в Windows по PIN коду.
Проверьте настройки BIOS/UEFI и TPM
Откройте меню настроек вашего BIOS/UEFI, проверьте что включен режим Secure Boot и модуль TPM. Если используется режим совместимости (Legacy, CSM), он не позволит использовать PIN для входа в Windows. Отключите режимы совместимости и используйте нативный UEFI с Secure Boot и TPM.
Вход в Windows с паролем аккаунта Microsoft
Если недоступен вход по PIN, вы можете войти в систему с паролем вашего Microsoft аккаунта.
Выберите на экране опцию Sign-in options (методы входа) и выполните вход в ваш аккаунт Microsoft (с помощью постоянного пароля или одноразового кода, который будет отправлен на ваш email).
После входа в Windows можно будет задать новый PIN.
Если на экране входа в Windows не отображаются другие способы входа, или не появляется окно для входа в аккаунт Microsoft, вы можете добавить опцию входа по паролю на экран входа в Windows через среду восстановления WinRE или загрузочный диск.
- Загрузитесь в среде WinRE и откройте командную строку
- Запустите редактор реестра (
regedit.exe) и загрузите (Load Hive) локальный куст реестра из файла SOFTWARE в директорииC:\Windows\System32\Config
- В смонтированной ветке реестра перейдите в раздел
\Microsoft\Windows NT\CurrentVersion\PasswordLess\Deviceи измените значение DevicePasswordLessBuildVersion на 0
- Затем перейдите в
\Microsoft\PolicyManager\default\Settings\AllowSignInOptionsи измените значение value на 0 - Перезагрузите компьютер и проверьте, что на экране входа в Windows 11 появилась опция входа по паролю.
- Войдите в Windows с паролем и задайте новый PIN, сначала удалив старый (Settings -> Accounts -> Sign-in options -> PIN -> Remove this sign-in options).
Запуск служб необходимых для работы ПИН в Windows Hello
Чтобы в Windows работал вход через PIN, на компьютере должны быть запущены системные службы Изоляция ключей CNG (CNG Key Isolation, CNG расшифровывается как Cryptography API: Next Generation) и Диспетчер учетных данных (Credential Manager). Войдите на компьютер под другой учетной записи (можно включить встроенную учетную запись локального администратора Windows) и проверьте состояние служб:
Get-Service KeyIso, VaultSvc
Если любая из этих служб остановлена, пользователь не сможет войти в систему. Настройте автозапуск этих служб.
При загрузке с внешнего носителя, чтобы включить автозапуск этих служб:
- Откройте редактор реестра и загрузите куст
C:\Windows\System32\config\SYSTEM - Перейдите в смонтированный куст, ветка ControlSet001\Services\KeyIso
- Найдите ветку служб KeyIso и VaultSvc и измените в них значение параметра Start на 3. Это означает, что данные службы будут запускаться автоматически.
- Выгрузите куст (Unload Hive) и перезагрузите компьютер
Вход в Windows в безопасном режиме
Если Windows настроен на загрузку в безопасном режиме (Safe Mode), войти в него с PIN не удастся, т.к. в таком режиме не запускаются службы, необходимые для работы аутентификации Windows Hello.
Чтобы отключить безопасный режим:
- Зажмите клавишу Shift на экране входа, затем нажмите кнопку Restart
- На экране параметров загрузки выберите Advanced Settings и запустите командную строку.
- Чтобы отключить загрузку в безопасном режиме в конфигурации загрузчика, выполните:
bcdedit /deletevalue {default} safeboot - Перезагрузите компьютер и попробуйте войти с PIN
Очистка папки NGC
Для сброса всех ключей и сертификатов, используемых для входа по PIN (всех пользователей!!!), можно очистить содержимое каталога NGC.
Для этого нужно загрузиться в среде восстановления или WinPE и выполнить следующие команды
wmic logicaldisk get caption, deviceid, description
Последовательно выполните следующие команды
takeown /f C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /r /d y
icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /grant *S-1-5-32-544:F /t
RD /S /Q C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc
MD С:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc
icacls D:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /T /Q /C /RESET
Перезагрузите компьютер. Войдите в свой аккаунт с паролем и создайте новый PIN.
