Newsgroup: it.comp.os.win.windows10
Titolo: account sconosciuto

Se creo una cartella sul desktop in sicurezza ho anche un "account 
sconosciuto"
https://i.postimg.cc/dQzQ5TqC/scono.png
 
 
cosa che non succede se creo una cartella su C:\
 
se provo a rimuovere l'account viene l'errore
https://i.postimg.cc/fbLhzwzZ/sciono2.png
 
 
ma è normale che succeda questo?
ha qualche funzione particolare questo account sconosciuto?

 ha qualche funzione particolare questo account sconosciuto?
 
probabilmente hai eliminato un account in modo scorretto. Per il 
sistema quell'account esiste ancora ma e' per cosi' dire...orfano.
Puoi eliminare quell'account, come dice il messaggio, disattivando 
prima la propagazione dei permessi per ereditarieta' dei permessi


non ho mai avuto altro account all'infuori di questo
ma a quanto pare è una "stranezza" di Windows, forse dopo aggiornamento?
 
https://www.reddit.com/r/Windows10/comments/qhjeik/permission_for_windowsapp_unkown_account/
 
 
https://www.reddit.com/r/Windows10/comments/qhjeik/permission_for_windowsapp_unkown_account/
 
 
https://learn.microsoft.com/en-US/troubleshoot/windows-server/windows-security/sids-not-resolve-into-friendly-names
 
 
c'è chi dice che serva ed eliminarlo potrebbe creare problemi.
 
ma per eliminarlo in teoria dove?
in utenti non c'è.
bisognerebbe toglierlo dalla scheda Sicurezza del Disco?
O ci sono altri posti?
 

Adriano, il 07/01/2024 alle 11:29 ha scritto:

in base alla tabella qui
https://learn.microsoft.com/en-us/windows/win32/secauthz/well-known-sids
 
 
il "mio" S-1-5-21 corrisponde a SIDS are not unique.
 
???

 ???
 
regedit
vai in HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList
Dovresti trovarci 3 entry "brevi" (tipo S-1-5-18) da non toccare (sono 
di sistema)
Altre entry sono piu' lunghe (per es. S-1-5-22-e una sfilza di numeri)
Se le selezioni, nella key ProfileImagePath vedi a che utente 
corrispondono. Se qualcuno non ti torna, dovresti poterlo eliminare, 
prendendo prima nota del, valore S-1-5-22 ecc ecc per cercare se nel 
registry appare altre volte. Poi fai un riavvio
Occhio a mettere mano al registry perche' a fare danni si fa presto.

 corrispondono. 
 
ci sono 4 valori
 
S-1-5-18	%systemroot%\system32\config\systemprofile
S-1-5-19	%systemroot%\ServiceProfiles\LocalService
S-1-5-20	%systemroot%\ServiceProfiles\NetworkService
S-1-5-21-4161316019-2799663521-322573989-1001		C:\Users\ilmionomeutente
 

 
 
tra l'altro questo non è quello che mi appare in sicurezza, ovvero questo
Account sconosciuto(S-1-5-21-4054783291-3803500937-4158556770-1001)

ha qualche funzione particolare questo account sconosciuto?
 
E' difficile dirlo, non ci sai dire niente sulla storia del computer?
Nel senso: č in dominio, č stato in dominio, č stato reinstallato
senza formattazione, ha subito l'azione di pulitori etc.
 
Per esempio, alcuni driver per schede video creano un utente apposito
per gli aggiornamenti.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Account sconosciuto(S-1-5-21-4054783291-3803500937-4158556770-1001)
 
cerca questo S-1 ecc ecc nel registry

 per gli aggiornamenti.
 
anche Windows lo fa
 
https://learn.microsoft.com/en-us/windows/security/identity-protection/access-control/local-accounts
 
https://devblogs.microsoft.com/scripting/how-can-i-determine-if-the-local-administrator-account-has-been-renamed-on-a-computer/
 
https://learn.microsoft.com/de-de/windows/win32/secauthz/well-known-sids
 
 


si trova in
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component 
Based 
Servicing\Packages\Package_1_for_KB5022609~31bf3856ad364e35~amd64~~10.0.1.0
 
e successivi package
 
https://i.imgur.com/SP9s0q7.png
 
 
 


https://learn.microsoft.com/de-de/windows/win32/secauthz/well-known-sids
 
 


aggironamenti e cose varie.
 
Mi spiego meglio: non è normale che un utente di servizio finisca nei
diritti del desktop di un utente.


 O ci sono altri posti?
 
Controlla i permessi della cartella C:\Users, se l'utente è presente
per tale cartella i permessi verranno ereditati da tutte le cartelle
al di sotto di C:\Users, eliminalo ed avrai risolto il problema.
 

 Servicing\Packages\Package_1_for_KB5022609~31bf3856ad364e35~amd64~~10.0.1.0
 
thanks


si, in C:\Users c'è
ma sta anche sul disco
anche se una cartella creata in C:\ poi non eredita niente di questo 
account SID

 si, in C:\Users c'è
 
quindi, toglilo da C:\Users
 
 

 diritti del desktop di un utente.
 
è un utente che utilizza Windows, mi stupisce casomai che non ce 
l'abbiano tutti.
forse viene creato solo dopo un grande aggiornamento.


dicono che può creare problemi con Windows, assolutamente da non 
toglierlo, perchè se Windows lo ha messo c'è un motivo e poi meglio non 
rischiare.

 non rischiare.
 
Ma chi ti ha detto che "lo ha messo windows" ? 
 
Quello è un account utente che è stato cancellato, ma che era stato in
qualche modo aggiunto, forse in fase di installazione iniziale del tuo
sistema, per cui la rimozione dello stesso non ti creerà problemi.
 
poi... fai come ti pare.
 

 Ma chi ti ha detto che "lo ha messo windows" ?
 
e vabbè. ce l'ho messo io adesso.
basta leggere come funzionano gli account SID e come vengono usati da 
Windows per operazioni di backup e aggiornamento.
 
 

 Windows per operazioni di backup e aggiornamento.
 
già, leggere e *capire* come funziona il tutto :-P quel SID con backup
ed aggiornamento non c'entra una mazza, ma comunque fai come ti pare.
 

forse viene creato solo dopo un grande aggiornamento.
 
In quel posto è un errore.


 perchè se Windows lo ha messo c'è un motivo e poi meglio non rischiare.
 
mah...io ho a che fare con tantissimi pc al lavoro, eppure quell'utente 
non c'e' da nessuna parte.
Per stabilire SE e' cancellabile senza problemi o meno, si dovrebbe 
sapere chi, o cosa, lo ha creato.
Di solito in c:\users c'e' "pubblica", "default", e le cartelle utente 
relative a chi si logga al pc. Stop.
Come esempio di utente extra, mi viene in mente nx, creato dal software 
NoMachine
Se invece vai a guardare gli utenti presenti in gestione 
computer\utenti e gruppi locali, trovi anche Administrator e guest 
(presenti ma di default disattivati) e probabilmente WDAGUtilityaccount 
usato da windows defender (se lo usi).

 ed aggiornamento non c'entra una mazza, ma comunque fai come ti pare.
 
tra l'altro, il prefisso "S-1-5-21" rappresenta un account utente
(documentati e lo scoprirai), questo significa che sul sistema ad
un certo punto, esisteva un utente con quel SID, utente che è poi
stato rimosso per un qualsivoglia motivo, ma il fatto tale utente
abbia accesso completo alla cartella "C:\Users" è MOLTO strano
 
per capirci
 
 S = prefisso comune per i SID
 1 = SECURITY_WORLD_SID_AUTHORITY
 5 = SECURITY_NT_AUTHORITY
21 = USERS
 
poi, come ho già scritto, fai come ti pare.
 
 

 In quel posto è un errore.
 
Non solo un errore, non ha senso ! Windows update, o anche backup non
hanno bisogno di usare un'utenza speciale, basta "SYSTEM" o "BACKUP"
 
 
 
 
 
 
 
 

hanno bisogno di usare un'utenza speciale, basta "SYSTEM" o "BACKUP"
 
Di utenti speciali ce ne sono in giro.
Per esempio molte voci del registro hanno TRUSTEDINSTALLER.
 
In public/desktop c'č INTERACTIVE. E forse girando se ne trovano
altri, ma lě dove lo trova lui proprio non ha senso.
E se lo ha fatto un programma di terze parti, ha fatto un brutto
lavoro.


 un brutto lavoro.
 
A meno che non fosse esattamente quello il "lavoro" del programma :P
 
 
 
 
 
 

 Si ok, ma i SID sono molto diversi !
 
prima che mi dimentichi, esiste un tool di sysinternals per dare
un'occhiata ai vari SID, mi riferisco a
 
https://learn.microsoft.com/en-us/sysinternals/downloads/psgetsid
 
 
ad esempio, usando il tool di cui sopra e fornendo allo stesso un SID
come ad esempio
 
psgetsid S-1-5-18
 
si ottiene il "nome" legato a quel SID, nel caso sopra 
 
NT AUTHORITY\SYSTEM
 
volendo poi elencare tutti i SID noti al sistema si può usare WMIC,
sempre da cmd (aperto come admin) basta lanciare il comando
 
wmic useraccount get sid,name
 
oppure
 
wmic useraccount get sid,domain,name
 
o, volendo generare un file di testo con tutte le info
 
wmic useraccount get name,sid >sid.txt
 
se poi il computer è in un dominio AD e si desidera soltanto elencare
gli account locali, basta il comando
 
wmic useraccount where "localaccount=true" get name,sid,disabled
 
che mostrerà tutti gli account e relativi SID locali insieme con lo
stato di ciascuno (disabilitato o meno)
 
buon divertimento :)
 
 

A meno che non fosse esattamente quello il "lavoro" del programma :P
 
Chissà...
Comunque, a proposito di orfani, ne ho trovato uno su una VM con
Windows 11 che uso per test.
Ovviamente ho guardato nello snapshot dello stato iniziale, appena
installato il sistema e aggiornato. Quindi una situazione pulita.
 
Vedo che c:\users\public\ ha un po' di utenti speciali (batch,
interactive etc). Ha i diritti espliciti, non eredita niente.
C:\users\public\desktop ha di nuovo diritti espliciti, non eredita da
public. E ha un sid sconosciuto. S1-5-21, quindi un utente, e finale
1000 (quando l'utente che uso ha 1001).
 
In teoria potrebbe essere un utente creato e poi cancellato, ma io in
fase di installazione ho creato solo un utente.
Non so se Windows ha lasciato qualcosa durante l'installazione. Se lo
ha fatto, per me è un errore.


 Vedo che c:\users\public\ ha un po' di utenti speciali
 
ehm... quella non è una normale cartella utente :)
 


Infatti non dico mica che ci sia qualcosa di anomalo negli utenti
speciali. Non so se era chiaro dal testo, ma io volevo proprio dire
che quella cartella sembrava regolare.
 
Se vai avanti, però, puoi leggere che dentro la desktop (che ha
diritti espliciti) c'è un utente orfano. Quello invece mi pare
anomalo.
