Windows Hello non disponibile su Surface: come sbloccare il PC quando PIN e volto non funzionano

Windows Hello segnala “non disponibile”, il PIN non si imposta, il Microsoft Store non installa nulla e a volte compare “stack‑based buffer overrun”. Ecco una guida completa per sbloccare Surface (e altri PC Windows) quando credenziali e moduli biometrici risultano corrotti e non si riesce ad accedere né alle opzioni di ripristino.

Indice

Scenario e sintomi

Il problema tipico si manifesta così:

Windows Hello PIN/volto non disponibili nella schermata di accesso.
Il pulsante “Imposta di nuovo il PIN” apre un flusso che rimanda al Microsoft Store, ma l’installazione non parte.
Sporadicamente un errore critico “stack‑based buffer overrun” interrompe il login.
Su altri dispositivi compare l’avviso “Non puoi eseguire l’accesso al dispositivo adesso. Vai su account.live…”, e nemmeno il reset password online risolve.

In pratica: credenziali bloccate, database Ngc (PIN) e componenti Windows Hello corrotti, possibile danneggiamento dei file di sistema e talvolta impossibilità di aprire il ripristino dalla schermata di blocco.

Cause più frequenti

Corruzione della cartella Ngc (archivio PIN) o dei pacchetti Hello Face/Fingerprint.
Driver/firmware Surface non aggiornati (soprattutto camera IR e TPM).
File di sistema danneggiati dopo aggiornamenti interrotti, improvvise interruzioni di alimentazione o antivirus aggressivi.
Servizi di identità (Windows Biometric Service, Credential Manager) in errore.
Problemi di account: sospensione, 2FA bloccata, device rimosso dal profilo.

Mappa rapida sintomo → intervento consigliato

Sintomo	Possibile causa	Priorità di intervento
“Windows Hello non disponibile” ma password accetta	Ngc corrotto o moduli Hello non installati	Rigenerare PIN eliminando `Ngc` → Reinstallare Hello
Login impossibile (PIN e password respinti)	Credenziali account/2FA in blocco	Recuperare account Microsoft da altro device
Errore “stack‑based buffer overrun”	File di sistema/driver danneggiati	`SFC` + `DISM` da WinRE
WinRE non si apre	Bootloader/ambiente ripristino non integro	USB di installazione/ripristino e riparazione o reinstallazione

Percorso consigliato (ordine pratico)

Verifica dell’account Microsoft
Da un altro PC o smartphone accedi al tuo account. Se l’accesso fallisce, usa l’assistente di recupero, verifica metodi 2FA (notifiche app, codici di backup, email secondaria) e controlla che l’account non sia sospeso. Motivo: se l’identità cloud resta bloccata, anche un ripristino locale non consentirà l’accesso completo ai servizi e alla crittografia dei dispositivi.
Se riesci ad accedere al PC con la password
Rigenera il PIN eliminando la cartella Ngc e reinstalla Windows Hello (Face/Fingerprint) dalle funzionalità opzionali. Vedi la sezione Rigenerare PIN/Windows Hello.
Se non riesci ad accedere in alcun modo
Forza l’avvio in WinRE e avvia SFC/DISM, prova il ripristino all’avvio o la disinstallazione degli ultimi aggiornamenti. Vedi Entrare in WinRE e Riparare i file di sistema.
Se WinRE non parte o le riparazioni falliscono
Prepara una USB di ripristino/Installazione e reinstalla Windows (mantenendo o cancellando i dati a seconda della situazione). Vedi Reinstallazione da USB.
Dopo il rientro nel sistema
Completa Windows Update, installa driver/firmware Surface, configura di nuovo Hello e verifica i log per eventuali errori residui. Vedi Dopo il ripristino.

Prima di intervenire: sicurezza e preparazione

Backup dei dati: se non puoi accedere a Windows ma devi salvare file locali non sincronizzati, avvia un Live USB (Linux) o usa l’USB di installazione per copiare i dati su unità esterna. Evita di spostare file di sistema.
Chiave di ripristino BitLocker: su molti Surface la crittografia dispositivo è attiva. Assicurati di avere la chiave salvata nel tuo account o stampata prima di interventi su boot/TPM.
Alimentazione stabile: collega l’alimentatore del Surface. Interruzioni durante DISM o durante l’installazione possono peggiorare la situazione.

Recuperare l’account Microsoft (passo obbligatorio)

Prima di qualsiasi reset locale, accertati che il tuo account sia sbloccato e funzionante:

Accedi da altro dispositivo e verifica password e metodi 2FA (notifiche, SMS, email secondaria, codici di recupero).
Controlla la sezione Dispositivi: se vedi il Surface come “non conforme” o rimosso, prendi nota ma prosegui con le riparazioni locali.
Se usi profili aziendali/scuola, verifica eventuali policy che impongono Hello o bloccano modifiche al PIN.

Se il recupero account fallisce, risolvi prima questo aspetto: anche dopo una reinstallazione, non riuscirai ad attivare correttamente i servizi Microsoft senza credenziali valide.

Rigenerare PIN e Windows Hello quando entri ancora con la password

Se la password funziona ma il PIN/volto risulta non disponibile, la causa è spesso la cartella Ngc corrotta. Ecco come rigenerarla in modo pulito.

Metodo grafico (facile)

Accedi con la password del tuo account.
Apri Gestione servizi e verifica che Windows Biometric Service sia in esecuzione (automatico). Se non parte, annota l’errore.
Vai in Impostazioni → Account → Opzioni di accesso e rimuovi il PIN (se presente).
Apri Esplora file e raggiungi: C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc Se non puoi eliminare la cartella, usa il metodo da prompt qui sotto.
Riavvia, torna in Opzioni di accesso e crea un nuovo PIN. Aggiungi poi Hello Face/Fingerprint.

Metodo da Prompt amministrativo (robusto)

Serve quando l’ACL della cartella impedisce la rimozione.

takeown /F "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /R /D Y
icacls "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /grant administrators:F /T
rmdir /S /Q "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc"

Riavvia e reimposta PIN/Hello.

Reinstallare i componenti Hello (quando il desktop è accessibile)

Apri Impostazioni → App → Funzionalità facoltative.
Verifica e, se necessario, reinstalla “Windows Hello Face” e “Windows Hello Fingerprint”.
Esegui Windows Update e controlla eventuali aggiornamenti di Surface firmware e driver camera IR.

Entrare in WinRE (Avvio avanzato) quando non si accede

WinRE offre ripristino all’avvio, prompt dei comandi, disinstallazione aggiornamenti e ripristino di sistema.

Metodi per aprire WinRE

Da schermata di accesso (se visibile): tieni premuto Maiusc mentre clicchi Arresta/riavvia → Risoluzione dei problemi.
Forzando 3 interruzioni di avvio: accendi il Surface e non appena compare il logo Windows, tieni premuto il tasto di accensione finché si spegne. Ripeti 3 volte. Al quarto avvio, dovrebbe apparire Ripristino.
Da USB di installazione: avvia da chiavetta, poi scegli Ripara il computer invece di Installa.

Cosa fare in WinRE

Ripristino all’avvio: risolve problemi comuni di boot.
Disinstalla aggiornamenti: utile se il problema è iniziato dopo un update di qualità o funzionalità.
Prompt dei comandi: consente SFC/DISM e la gestione file avanzata.
Ripristino configurazione di sistema: se avevi punti di ripristino utili.

Riparare i file di sistema con SFC e DISM

Gli errori “buffer overrun” spesso indicano librerie o moduli corrotti. Esegui i comandi in questa sequenza.

Esecuzione online (se arrivi al desktop)

sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow

Esecuzione da WinRE (offline)

In Prompt dei comandi, individua la lettera dell’installazione Windows (in WinRE spesso non è C:). Usa: diskpart list vol exit Supponiamo che Windows sia D:.
Esegui la scansione SFC offline: sfc /scannow /offbootdir=D:\ /offwindir=D:\Windows
Ripara l’immagine con DISM puntando alla directory Windows: DISM /Image:D:\ /Cleanup-Image /RestoreHealth
Riavvia e verifica l’accesso.

Se SFC/DISM non risolvono

Prova a disinstallare l’ultimo aggiornamento di qualità/funzionalità da WinRE.
Avvia da USB e usa Ripara il computer → Ripristino all’avvio.

USB di ripristino e reinstallazione di Windows

Quando il login è impossibile, WinRE non parte o le riparazioni falliscono, una reinstallazione pulita è la soluzione più affidabile.

Creazione della chiavetta

Su un altro PC Windows scarica l’immagine di installazione ufficiale (Windows 10/11) o l’immagine di ripristino Surface specifica del modello.
Prepara una USB ≥ 16 GB con lo strumento nativo o con un creatore avviabile.

Avvio del Surface da USB

Surface (modelli standard): con dispositivo spento, tieni premuto Volume giù e premi Power. Rilascia quando compare il logo.
UEFI: per cambiare l’ordine di boot, entra nel firmware (da WinRE → Impostazioni firmware UEFI o, a dispositivo spento, Volume su + Power su molti modelli) e abilita l’avvio da USB.

Opzioni d’installazione

Conserva i file (reinstallazione in-place): se avviata dall’interno di Windows. Se non accedi, non è praticabile.
Installazione pulita: scegli l’unità di sistema, elimina/ricrea le partizioni se necessario (dopo backup e con chiave BitLocker a disposizione). È la via più sicura contro corruzioni profonde.
Account locale temporaneo: durante l’OOBE puoi creare un account offline; collega l’account Microsoft solo dopo aver completato aggiornamenti e testato la stabilità.

Dopo l’installazione

Esegui tutti gli aggiornamenti Windows e i driver/firmware Surface.
Installa o verifica Windows Hello Face/Fingerprint nelle funzionalità opzionali.
Configura PIN e biometria solo dopo aver controllato il Visualizzatore eventi (assenza di errori ricorrenti biometrici/Hello).

Dopo il ripristino: verifiche e prevenzione

Event Viewer: controlla i log di “Biometrics”, “User Device Registration” e “Credential Manager” per errori residui.
TPM: non cancellare il TPM se non strettamente necessario e solo dopo aver salvato la chiave BitLocker.
Driver camera IR: assicurati che il sensore infrarossi del Surface compaia in Gestione dispositivi senza avvisi.
Policy aziendali: se il dispositivo è gestito (Intune/AD), confrontati con l’amministratore per policy su Hello/PIN.
Metodi di accesso alternativi: aggiungi una chiave di sicurezza o passkey dove supportato per emergenza.

Guida operativa dettagliata

Sequenza ideale di intervento

Recupera l’account su altro dispositivo (password, 2FA, codici di backup).
Tenta l’accesso con password sul PC problematico. Se entri:
- Rigenera PIN eliminando Ngc e reinstalla componenti Hello.
- Esegui sfc/dism per sanificare file di sistema.
Se non entri:
- Forza WinRE → Ripristino all’avvio → Prompt dei comandi → SFC / DISM.
- Valuta Disinstalla aggiornamenti se il problema è iniziato dopo un update.
Se WinRE non compare o non basta:
- Prepara USB di ripristino e procedi con reinstallazione pulita.

Check rapidi che fanno la differenza

Ora e fuso orario errati possono invalidare token e 2FA: correggili appena entri.
Spazio disco: meno di 2–3 GB liberi può impedire installazioni/aggiornamenti.
Antivirus: in caso di suite terze aggressive, disabilita temporaneamente durante la (re)installazione di Hello.

Risoluzione dei problemi del Microsoft Store durante “Reimposta PIN”

Se il flusso per reimpostare il PIN lancia il Microsoft Store ma l’installazione non parte:

Verifica data/ora e connettività di rete.
Reimposta la cache Store dal prompt (se arrivi al desktop): wsreset.exe
Verifica la presenza delle funzionalità “Windows Hello Face/Fingerprint” e reinstalla come indicato.

Se non puoi accedere al desktop, salta questo capitolo e procedi con WinRE/USB.

Tabella riepilogativa delle soluzioni (con “quando usarle”)

Obiettivo	Passi chiave	Quando serve
Recuperare l’account Microsoft	Accesso da altro device → percorso di recupero → verifica 2FA/sospensioni	Obbligatorio prima di qualsiasi reset locale
Ripristinare PIN / Windows Hello	Eliminare/ricreare `Ngc` → reinstallare Hello → creare nuovo PIN	Quando il problema è il solo database PIN o i moduli Hello
Riparare i file di sistema	`sfc /scannow` e `dism /restorehealth` (online/offline)	Se compaiono errori critici (buffer overrun) o crash
Avviare WinRE	Shift+Riavvia, 3 interruzioni di avvio, o da USB	Per accedere a ripristini, prompt e disinstallazione aggiornamenti
USB di recupero / Reinstallare Windows	Creare USB, avviare da Surface, reinstallare (anche pulita)	Quando il login è impossibile o le riparazioni falliscono

FAQ essenziali

Perché il PIN non è disponibile ma la password sì?

Il PIN è salvato localmente (cartella Ngc) e può corrompersi indipendentemente dall’account cloud. In questi casi eliminare e ricreare Ngc risolve. Cos’è l’errore “stack‑based buffer overrun” in fase di login?

È un crash di un processo in user‑mode o driver che provoca chiusure forzate. Spesso è legato a file/driver corrotti. Le scansioni SFC/DISM e gli aggiornamenti firmware lo risolvono. Se cancello il TPM perdo l’accesso?

Potresti perdere chiavi usate da BitLocker e Hello. Esegui questa operazione solo se hai la chiave di ripristino e una ragione precisa. Posso mantenere i dati con una reinstallazione?

Solo con una reinstallazione in‑place avviata da dentro Windows. Se non accedi, la via da USB è generalmente una installazione pulita, quindi fai prima un backup.

Checklist veloce

✔ Account Microsoft recuperato (password + 2FA ok)
✔ Chiave BitLocker disponibile
✔ Tentativo di accesso con password eseguito
✔ Rinomina/eliminazione Ngc + ricreazione PIN
✔ SFC/DISM completati (online o da WinRE)
✔ Se fallito, USB di ripristino pronta e boot da USB testato
✔ Dopo il rientro: Windows Update + driver/firmware Surface
✔ Hello riconfigurato e log puliti

Comandi utili (riassunto)

:: Rigenerazione PIN (cartella Ngc)
takeown /F "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /R /D Y
icacls "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc" /grant administrators:F /T
rmdir /S /Q "C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Ngc"

:: Riparazione sistema (online)
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow

:: Riparazione sistema (offline da WinRE, supponendo D:\Windows)
sfc /scannow /offbootdir=D:\ /offwindir=D:\Windows
DISM /Image:D:\ /Cleanup-Image /RestoreHealth

Consigli finali

Non rimandare gli aggiornamenti: molti problemi Hello si risolvono con firmware e driver recenti.
Metodi di recupero multipli: aggiungi più metodi 2FA e conserva i codici di backup in luogo sicuro.
Evita tool non ufficiali: puntare su strumenti nativi (WinRE, SFC/DISM, USB ufficiale) riduce i rischi.

In breve: recupera l’account online, prova WinRE con SFC/DISM, rigenera il PIN eliminando Ngc; se il sistema rimane inaccessibile, reinstalla Windows da chiavetta di ripristino e completa update/driver prima di riconfigurare Hello.

Risorse operative (riassunto stampabile)

Account: conferma password, 2FA e stato dell’account su altro device.
WinRE: Shift+Riavvia o 3 spegnimenti forzati → Risoluzione dei problemi.
Riparazioni: SFC e DISM (online/offline), disinstalla ultimo aggiornamento se necessario.
Reinstallazione: USB ufficiale, boot da Volume giù + Power su Surface.
Dopo: Windows Update, driver/firmware Surface, Hello Face/Fingerprint, nuovo PIN.