Windows Hello niedostępny po aktualizacji BIOS

Windows Hello niedostępny po aktualizacji BIOS wskazuje na zresetowaną komunikację z modułem TPM po aktualizacji firmware.

Dlaczego Windows Hello może przestać działać po aktualizacji BIOS

Windows Hello to mechanizm logowania systemu Windows za pomocą rozpoznawania twarzy, odcisku palca albo kodu PIN przypisanego do konkretnego urządzenia. PIN Windows Hello nie jest zwykłym hasłem przechowywanym w systemie. Jego zabezpieczenie opiera się na kluczach kryptograficznych powiązanych z komputerem, profilem użytkownika oraz modułem TPM (Trusted Platform Module). TPM może być osobnym układem na płycie głównej albo funkcją firmware procesora, określaną w ustawieniach UEFI jako Intel PTT lub AMD fTPM.

Aktualizacja BIOS lub UEFI może zmienić sposób, w jaki firmware inicjalizuje TPM, przywrócić domyślne ustawienia zabezpieczeń albo spowodować ponowne wykrycie modułu przez system Windows. W takiej sytuacji system może nadal uruchamiać się prawidłowo, ale Windows Hello zgłosi brak dostępności funkcji, odrzucać wcześniej skonfigurowany PIN albo żądać ponownej konfiguracji. Nie musi to oznaczać fizycznego uszkodzenia modułu TPM. Przyczyną może być także niespójność między zapisanymi w systemie informacjami o urządzeniu zabezpieczającym a aktualnym stanem firmware.

Rola TPM, ustawień UEFI i kluczy logowania

TPM przechowuje lub chroni operacje związane z kluczami kryptograficznymi, ale nie pełni funkcji zwykłego dysku ani folderu z plikami użytkownika. Windows korzysta z niego między innymi do potwierdzenia tożsamości urządzenia i ochrony materiału kryptograficznego używanego przez Windows Hello. Jeżeli po aktualizacji BIOS funkcja Intel PTT albo AMD fTPM zostanie wyłączona, system może nie mieć dostępu do oczekiwanego modułu. Podobny objaw może wystąpić, gdy ustawienia trybu rozruchu, Secure Boot lub konfiguracji platformy zmienią się względem stanu sprzed aktualizacji.

Przed zmianą ustawień TPM trzeba uwzględnić szyfrowanie urządzenia lub funkcję BitLocker. Klucze odzyskiwania mogą być potrzebne po zmianie firmware, ustawień UEFI albo stanu modułu zabezpieczającego. Wyczyszczenie TPM nie jest zwykłym sposobem odświeżenia Windows Hello. Operacja usuwa chronione w module dane i może wymusić ponowną konfigurację funkcji korzystających z TPM, a w określonych konfiguracjach doprowadzić do żądania klucza odzyskiwania dysku. Dlatego nie należy wybierać opcji „Wyczyść TPM” tylko dlatego, że zniknął PIN Windows Hello.

Jak rozróżnić problem konfiguracji od awarii sprzętowej

Pierwszym krokiem jest sprawdzenie, czy system Windows wykrywa moduł zabezpieczający. Informacje można zobaczyć w konsoli TPM uruchamianej poleceniem tpm.msc albo w aplikacji Zabezpieczenia Windows, w sekcji dotyczącej zabezpieczeń urządzenia i procesora zabezpieczeń. W PowerShell można również użyć polecenia Get-Tpm, które pokazuje między innymi, czy TPM jest obecny, włączony i gotowy do użycia. Wynik należy interpretować razem z komunikatem Windows Hello, stanem Secure Boot oraz ustawieniami firmware, ponieważ pojedynczy komunikat nie wskazuje jeszcze jednoznacznie przyczyny.

Jeżeli TPM jest niewidoczny, należy sprawdzić w UEFI, czy odpowiednia funkcja firmware jest aktywna. Nazwa ustawienia zależy od platformy i może odnosić się do TPM, Intel PTT albo AMD fTPM. Trzeba też zweryfikować, czy aktualizacja nie przywróciła ustawień domyślnych dotyczących trybu rozruchu lub Secure Boot. Jeżeli TPM jest widoczny i gotowy, ale PIN nadal nie działa, problem może dotyczyć danych Windows Hello zapisanych dla konkretnego konta. Wtedy bezpieczniejszym kierunkiem jest ponowne skonfigurowanie PIN-u po potwierdzeniu dostępu do konta i posiadania wymaganych kluczy odzyskiwania, a nie pochopne czyszczenie TPM.

W przypadku komunikatów o błędzie urządzenia, znikania TPM po każdym ponownym uruchomieniu, niestabilnego działania fTPM albo nieprawidłowego zakończenia aktualizacji BIOS potrzebna jest szersza diagnostyka. Obejmuje ona sprawdzenie wersji i modelu firmware, ustawień UEFI, dzienników systemowych oraz zachowania komputera po pełnym wyłączeniu. Jeżeli problem występuje także w innych funkcjach zależnych od TPM lub Secure Boot, może wskazywać na problem firmware, płyty głównej albo zasilania, a nie wyłącznie na uszkodzony profil Windows Hello.

Serwisowanie komputera po zmianie firmware

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką problemów pojawiających się po aktualizacji BIOS lub UEFI. Przy usterce związanej z Windows Hello sprawdzany jest stan TPM, konfiguracja firmware, Secure Boot, dostęp do systemu oraz zależności z szyfrowaniem dysku. Działania powinny być dobierane tak, aby nie usuwać danych chronionych przez moduł TPM bez wcześniejszego ustalenia skutków takiej operacji.

Diagnostyka pozwala ustalić, czy wystarczy przywrócenie właściwych ustawień UEFI i ponowna rejestracja Windows Hello, czy też konieczne jest odtworzenie konfiguracji firmware albo sprawdzenie sprzętu. W laptopie szczególne znaczenie ma dokładne dopasowanie wersji BIOS do modelu płyty głównej oraz zachowanie ustawień wymaganych przez system Windows. Jeżeli komputer korzysta z szyfrowania urządzenia lub BitLocker, przed ingerencją należy przygotować właściwy klucz odzyskiwania i potwierdzić, że użytkownik ma możliwość ponownego odblokowania danych.