«Ваш пин-код недоступен» после обновления Windows 11: что сломалось и как войти · Уловка-32

Содержание

Компьютер обновился ночью сам. Утром на экране входа вместо поля для цифр — «Ваш пин-код недоступен». Ниже кнопка «Настроить PIN», а за ней — «Для этого нужен интернет». Интернет подключён: кабель, Wi-Fi, раздача с телефона. Windows всё равно его не видит.

Так выглядит не один сбой, а два сразу. Первый ломает PIN, второй не даёт его восстановить. По отдельности каждый лечится, вместе они превращают компьютер в кирпич на пару дней — и человек в итоге сносит систему.

PIN — это не пароль из четырёх цифр #

Четыре цифры на экране входа и пароль от почты устроены по-разному. PIN привязан к железу, пароль — к учётной записи.

Пароль аккаунта Майкрософт принадлежит учётной записи и проверяется на серверах Microsoft. PIN принадлежит конкретному устройству: он не уходит в сеть, не действует на другом ноутбуке и не меняется при смене пароля.

Хранится он в защищённом хранилище Windows Hello — NGC, Next Generation Credentials. Метаданные лежат в папке C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc, обслуживают их службы NgcSvc и NgcCtnrSvc, а сами ключи запечатаны модулем TPM или, если его нет, средствами DPAPI. Прочитать файлы напрямую нельзя, и это не баг, а замысел.

Тут есть нестыковка. В актуальном описании архитектуры Windows Hello Microsoft говорит, что физических контейнеров на диске нет и контейнер — логическая единица группировки. При этом папка реально существует, исследователи её разбирают, а все инструкции по восстановлению вертятся вокруг неё. Держите в голове оба факта: документация описывает модель, а не файловую систему.

Почему PIN пропадает после обновления #

PIN расшифровывается только тогда, когда совпадает всё: хранилище на диске, ключ в TPM и состояние системы безопасности. Стоит одному звену измениться — расшифровка не проходит, и Windows честно сообщает: «Ваш пин-код недоступен из-за изменения параметров безопасности на этом устройстве».

Спрятать за этой фразой может что угодно:

накопительное обновление Windows;
обновление прошивки UEFI;
сброс или очистка TPM;
смена имени учётной записи в организации;
восстановление системы или сброс с сохранением файлов;
замена материнской платы.

Во всех случаях меняется одно и то же: то, на что PIN опирался при расшифровке. Если модуль TPM в порядке, ключ внутри него на месте, а хранилище на диске не трогали, расшифровка проходит автоматически и вы её не замечаете; но стоит обновлению, прошивке или сбросу изменить хотя бы одно из этих условий, и Windows перестаёт узнавать владельца — вместо поля для цифр появляется предложение настроить PIN заново. Сам PIN при этом никуда не «забывается» и уж точно не крадётся.

Дальше Windows предлагает простое действие — задать PIN заново. И тут вступает вторая поломка.

Почему запасной пароль тоже не пускает #

Чтобы пересоздать PIN, Windows должна убедиться, что вы — это вы. Проверка идёт через аккаунт Майкрософт, то есть по сети. Отсюда диалог «Для этого нужен интернет», который появляется даже при подключённом кабеле.

Важный нюанс: сам пароль от аккаунта Майкрософт может сработать и без сети — по локальному кешу, если вы раньше входили с ним на этом устройстве. А пересоздание PIN так не работает: Windows в этом сценарии требует подтвердить аккаунт через сеть.

Оговорка для локальной учётной записи: там всё иначе. PIN пересоздаётся по локальному паролю и сети не требует. Всё, что ниже, — про вход через аккаунт Майкрософт.

Поэтому фраза «нет интернета» на экране входа — не про кабель в розетке. Это про то, что конкретный запрос не дошёл до конкретного сервера.

Почему «нет интернета», если он есть #

Экран блокировки не пользуется вашим браузером. У него свой сетевой путь, свои таймауты и свои серверы. Браузер может открывать сайты, а служба входа в это же время будет считать, что связи нет.

Причин может быть четыре. Проверяются по порядку, начиная с самой вероятной.

Фильтр обхода DPI. Утилиты вроде GoodbyeDPI или zapret работают через драйвер WinDivert: он ставит фильтры Windows Filtering Platform и перенаправляет пакеты в пользовательский режим, где их можно менять или придерживать. Фильтр работает с пакетами, а не с программами: ему всё равно, чей это трафик — браузера, обновления или службы входа.

Отдельная засада в том, что драйвер WinDivert не привязан к окну программы и не завершается вместе с ней: даже после закрытия утилиты фильтр может продолжать висеть в системе, спокойно пропускать браузер и молча ломать соединение службы входа с серверами Microsoft. Автор GoodbyeDPI в одном из обсуждений прямо приводит команды для его выгрузки и добавляет, что перезагрузка снимает эффект полностью. Если утилита ставится службой и стартует вместе с системой, перезагрузка ничего не изменит — фильтр вернётся.

Сбитые дата и время. Неверные часы ломают проверку TLS-сертификата. Сеть работает, пакеты ходят, а соединение с сервером входа не устанавливается. Проверяется в UEFI за минуту.

Нет драйвера сетевого адаптера. Редкий, но реальный случай: с загрузочной флешки Linux интернет видит, а Windows — нет, потому что после замены платы или обновления пропал драйвер. Тогда лечится установкой драйвера с другого компьютера.

Провайдер или фильтрация на стороне сети. Тот же симптом, что в историях, где помогает точка доступа с телефона: интернет формально есть, а до серверов Microsoft запросы не доходят.

Как войти: по порядку #

Начните с простого и не перескакивайте через шаги.

Проверьте время в UEFI и подключение. Если часы уехали — поправьте и попробуйте снова. Если сеть под вопросом — подключите телефон по USB и включите режим модема, это надёжнее Wi-Fi.
Загрузитесь в безопасном режиме с сетью. На экране входа зажмите Shift и выберите «Перезагрузка», дальше «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры загрузки» → «Включить безопасный режим с загрузкой сетевых драйверов». В этом режиме сторонние службы и драйверы не поднимаются, и часто именно там вход проходит.
Уберите фильтр WinDivert. Если безопасный режим пустил, причина почти наверняка в стороннем сетевом фильтре. После входа выгрузите драйвер из командной строки с правами администратора:

sc stop windivert
sc delete windivert

Если система отвечает, что такой службы нет, проверьте вариант windivert1.4. После — перезагрузка и повторная попытка входа.

Проверьте автозапуск утилиты. Она может стоять службой или задачей. Пока она стартует вместе с системой, проблема будет возвращаться.
Войдите по паролю и задайте новый PIN. Параметры → Учётные записи → Варианты входа → PIN. Старый PIN при этом не понадобится, потому что его уже нет.
Если пароль тоже не пускает — ищите вторую учётную запись администратора или создавайте её из среды восстановления. Перед этим проверьте ключ BitLocker: без него работа из среды восстановления закончится потерей данных.

Почему не надо сразу удалять папку NGC #

В большинстве ответов на такой вопрос советуют одно и то же: загрузиться в среду восстановления, зайти в папку NGC и вычистить её содержимое:

del /F /Q *

Совет кочует по форумам годами, включая ответы внешних сотрудников Microsoft. И он же — самый рискованный шаг из всех.

Последствия конкретные:

удаляются учётные данные Windows Hello для всех пользователей устройства сразу, а не только для сломанной записи;
если перед удалением вы меняли владельца папки и права доступа (а без этого Windows часто не даёт к ней притронуться), изменённые права останутся;
на устройстве с TPM хранилище рассинхронизируется с ключами в модуле, и появляется новая поломка, которую диагностировать сложнее прежней.

В корпоративной среде к этому добавляются осиротевшие ключи в каталоге: записи о ключах остаются, а сами ключи уничтожены. Microsoft такую операцию не документирует и не поддерживает.

Если совсем прижало и других вариантов нет — переименуйте папку, а не удаляйте содержимое. Поддерживаемой такую операцию тоже не назвать, зато она обратима: папку можно вернуть на место.

cd C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft
ren Ngc Ngc.old

Учтите, что в среде восстановления системный диск может быть не C:. Проверьте букву через diskpart или dir, прежде чем что-то переименовывать. И если диск зашифрован BitLocker, сначала понадобится ключ восстановления.

Сброс TPM: когда помогает и чем опасен #

Очистка TPM действительно возвращает возможность создать PIN. Она же стирает защитники, которые были завязаны на модуль, — в первую очередь тот, что открывает диск с BitLocker. Сам ключ восстановления при этом не пропадает, но система попросит его ввести.

Сначала ключ восстановления на руках. Потом UEFI. Если ключ лежит только в аккаунте Майкрософт, а вход в аккаунт недоступен, вы меняете одну проблему на другую, куда более неприятную.

И это точно не первый шаг. Сброс TPM оправдан, когда пересоздание PIN не проходит, а хранилище явно повреждено.

Чего не делать #

Не откатывайте обновление, не приостановив его установку. Автор истории с форума откатился, но обновление вернулось в тот же момент. Откат без паузы — это перезагрузка по кругу.

Не начинайте со сброса Windows. Он стирает программы и настройки, а проблема чаще всего решается на предыдущих шагах.

Не меняйте пароль аккаунта несколько раз подряд. Это не помогает, а добавляет ограничение по числу попыток входа.

После входа #

Задайте PIN заново — он снова будет работать офлайн. Заведите второй локальный аккаунт с правами администратора: следующая поломка входа перестанет быть катастрофой. Проверьте, что ключ восстановления BitLocker доступен без входа в систему. И посмотрите, не висит ли в автозапуске сетевая утилита, из-за которой всё началось.

Если не помогло ничего #

Бывает, что не проходят ни безопасный режим, ни вход по паролю, ни пересоздание PIN. Тогда задача меняется: не починить вход, а забрать данные и вернуть рабочую систему.

Снимите файлы. Диск в USB-адаптер или загрузка с live-носителя. Профиль лежит в C:\Users\<имя>. Если диск зашифрован BitLocker, сначала понадобится ключ восстановления.
Заведите локального администратора из среды восстановления. Это даст вход, чтобы вытащить остатки настроек и программ. Ключ BitLocker нужен и здесь.
Сброс с сохранением файлов. Убирает программы и настройки, личные файлы оставляет. Это уже не ремонт, а замена системы.
Сервис не взламывает пароль. Максимум, что там предложат, — переустановка. Поэтому копия делается до похода в сервис, а не после.

Если непонятно, какой именно секрет вас не пускает — пароль аккаунта, локальный пароль, PIN или ключ диска, — начните с общей инструкции: Забыл пароль от ноутбука: как восстановить доступ к Windows.

Итог #

«Пин-код недоступен» — это не «забыл PIN» и не взлом. Это разрыв связки между хранилищем Windows Hello и тем, на что оно опирается: модулем TPM, прошивкой, состоянием системы безопасности. Восстановить её можно только пересозданием PIN, а для аккаунта Майкрософт это требует связи с серверами входа. Если связи нет — чините сначала её, а не хранилище.

Самый плохой сценарий в этой истории — не поломка, а совет «удалите папку NGC» как первый шаг. Он превращает обратимую проблему в необратимую.

Разбор того, почему Windows пишет «неверный пароль» при верном пароле и где именно ломается проверка входа, — в отдельной статье: Windows 11 пишет «неверный пароль», хотя пароль верный.