Ошибка ПИН-кода Windows Hello 0x80090016, 0x8009002d и «Что-то пошло не так, ПИН-код недоступен» на ноутбуке: сброс контейнера Ngc и диагностика TPM 2.0

Ошибка ПИН-кода Windows Hello 0x80090016, 0x8009002d и «Что-то пошло не так, ПИН-код недоступен» на ноутбуке: сброс контейнера Ngc и диагностика TPM 2.0

Классический утренний шок после автоматического обновления UEFI BIOS или накопительного обновления Windows 11: вы открываете ноутбук, а вместо привычного поля ввода 4-значного ПИН-кода или отпечатка пальца на экране входа горит суровая надпись: «Что-то пошло не так, и ваш ПИН-код недоступен. Щёлкните, чтобы снова настроить ПИН-код», а при попытке пересоздать его в параметрах выскакивают криптографические коды отказа 0x80090016 (NTE_BAD_KEYSET), 0x8009002d (NTE_INTERNAL_ERROR) или 0x80090011!

Почему это произошло? В отличие от обычного пароля учётной записи, ваш ПИН-код Windows Hello (а вместе с ним отпечаток пальца и сканер лица) — это не просто строчка текста в файле на диске, а аппаратная криптографическая связка между защищённой папкой контейнера Ngc на SSD и микросхемой доверенного платформенного модуля TPM 2.0 (Intel PTT / AMD fTPM) внутри процессора ноутбука! Когда обновляется прошивка BIOS (сбрасывая ключи владельца TPM), садится в ноль аккумулятор со сбросом CMOS или обрывается питание в момент записи ключей, криптографический замок внутри папки Ngc (Next Generation Credentials) перестаёт совпадать с ключом чипа TPM 2.0 — и Windows блокирует повреждённый контейнер!

Самое приятное: ремонт этой связки занимает ровно 3 минуты без потери единого документа — и работает как в том случае, если вы уже зашли на рабочий стол по обычному паролю, так и в том случае, если ноутбук застрял прямо на заблокированном экране приветствия!

Диагностическая таблица 4 ситуаций сбоя ПИН-кода Windows Hello на ноутбуке

Выберите точную ситуацию, в которой сейчас находится ваш ноутбук:

Золотая пошаговая инструкция: полный сброс сломанной папки «Ngc» за 2 минуты!

Если вы вошли в Windows обычным паролем, но в Параметрах → Учётные записи → Варианты входа не даёт ни удалить старый ПИН-код, ни создать новый с ошибками 0x80090016 / 0x8009002d, выполните этот официальный трёхстрочный метод Microsoft:

1. Нажмите правой кнопкой мыши по кнопке Пуск → Терминал (Администратор) (или Командная строка от имени администратора).
2. Папка ключей Ngc защищена от случайного удаления даже от самого администратора — поэтому по очереди скопируйте и выполните три штатные системные команды:
   • Передача владения папкой группе администраторов: takeown /f C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /r /d y
   • Выдача полных прав доступа на очистку: icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /grant administrators:F /t
   • Полное удаление повреждённого старого контейнера (Windows автоматически создаст девственно чистую защищённую папку заново!): rd /s /q C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc (Примечание для русскоязычной локализации: если в второй команде имя группы написалось на русском языке, используйте универсальный международный идентификатор группы администраторов со звёздочкой: icacls C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc /grant *S-1-5-32-544:F /t — он срабатывает на любом языке Windows в мире со 100%-й точностью!)
3. Сразу откройте Параметры → Учётные записи → Варианты входа → ПИН-код (Windows Hello) → Настроить — окно создания ПИН-кода (а следом и сканера отпечатка пальца / ИК-камеры лица!) откроется без сучка и задоринки за одну секунду!

Спасательный круг №2: если вас НЕ пускает даже НА рабочий стол (спряталась строка обычного пароля)!

Очень коварная ситуация Windows 11: вы знаете свой обычный пароль от учётной записи наизусть, но на экране блокировки вообще нет кнопки ввода обычного пароля (потому что по умолчанию включена функция «Для повышения безопасности разрешите вход только с помощью Windows Hello»), а кнопка «Настроить ПИН-код» выдаёт ошибку!

Как за 2 минуты вернуть кнопку обычного пароля прямо с экрана блокировки без переустановки Windows (строго при условии, что это ваш собственный ноутбук и вам известен ваш законный пароль учётной записи или ключ восстановления BitLocker, если диск зашифрован!):

1. На экране блокировки зажмите клавишу Shift на клавиатуре и мышкой нажмите в правом нижнем углу Выключение → Перезагрузка — ноутбук загрузится в синее меню Среды восстановления Windows (WinRE).
2. Выберите Поиск и устранение неисправностей → Дополнительные параметры → Командная строка.
3. Введите regedit — откроется Редактор реестра.
4. Выделите мышкой ветку HKEY_LOCAL_MACHINE, нажмите в верхнем меню Файл → Загрузить куст…, перейдите в папку вашей Windows C:\Windows\System32\Config, выберите файл SOFTWARE и назовите временный раздел, например, OfflineSoft.
5. Раскройте путь HKEY_LOCAL_MACHINE\OfflineSoft\Microsoft\PolicyManager\default\Settings\AllowSignInOptions (и ветку ...\Passwordless\Device), переведите параметр DevicePasswordLessBuildVersion с 2 на 0!
6. Выделите OfflineSoft → Файл → Выгрузить куст, закройте окна и перезагрузите ноутбук — на экране входа тут же появится знакомая иконка Ключика (вход обычным паролем), вы спокойно войдёте на рабочий стол со всеми своими файлами и сбросите папку Ngc по инструкции выше!

Контрольный чек-лист надёжной работы входа Windows Hello на ноутбуке

• [ ] В окне tpm.msc подтверждён статус «Модуль TPM готов к использованию, версия спецификации 2.0», а перед любым обновлением UEFI BIOS под рукой всегда известен обычный пароль учётной записи (и сохранён в надёжном месте резервный ключ BitLocker!).
• [ ] В Параметрах → Учётные записи → Варианты входа отключён жёсткий тумблер «Разрешить вход только с помощью Windows Hello», чтобы на экране приветствия всегда оставался запасной спасательный вход по обычному паролю!
• [ ] Службы Биометрическая служба Windows (WbioSrvc), Диспетчер учётных данных (VaultSvc) и Изоляция ключей CNG (KeyIso) работают в штатном автоматическом режиме.
• [ ] Выполнена очистка и пересоздание контейнера Ngc с использованием универсального идентификатора *S-1-5-32-544.

Частые вопросы

Почему ИТ-специалисты всегда советуют отключать галочку «Только вход Windows Hello» сразу после покупки любого нового ноутбука?

Потому что это лучшая 5-секундная страховка от потери рабочего дня в командировке! Когда галочка снята, вы всё равно 364 дня в году заходите за полсекунды удобным ПИН-кодом или касанием пальца (как на лучших бизнес-сериях из нашего обзора корпоративных ноутбуков ThinkPad и EliteBook и лёгких ноутбуков для удалёнки), НО если в самолёте без интернета после обновления слетит контейнер Ngc, вы за 3 секунды нажмёте «Параметры входа → Пароль», введёте свой пароль и продолжите готовить презентацию без единой заминки!

Безопасно ли нажимать кнопку «Очистить TPM (Clear TPM)» в оснастке tpm.msc при ошибках ПИН-кода?

Стоп — будьте предельно внимательны! Нажимать «Очистить TPM» можно Только после того, как вы на 100% проверили два условия: 1) вы точно знаете обычный пароль входа в Windows и 2) на вашем диске C: приостановлено шифрование диска BitLocker (либо у вас перед глазами на бумаге выписан 48-значный цифровой ключ восстановления BitLocker)! В 95% случаев для ремонта ПИН-кода 0x80090016 трогать сам чип TPM вообще не нужно — достаточно очистить только папку Ngc по нашему Шагу 1!

Проверяется ли работа модуля TPM 2.0, сканера отпечатка пальца и ИК-камеры Windows Hello при предпродажной подготовке?

Обязательно! Корректная готовность чипа TPM 2.0, работа биометрических датчиков и чистота учётного профиля проверяются на каждом ноутбуке — результаты отражены в цифровом паспорте ноутбука и защищены гарантией 12 месяцев.