Quanto è sicuro l'accesso automatico di Windows?

The question is, when I enable auto-logon for my Windows 7 box, will there be any additional security problems?

Non fintanto che non c'è niente che legge il registro e che distribuisce le credenziali memorizzate su una parte (probabilmente dannosa).

Does the setting "Users must enter a user name and password to use this computer." affect anything else?

Devo ancora scoprire il software in prima persona che è limitato a NON avere accesso READ al registro. Quindi, in pratica, qualsiasi software può leggere le credenziali dal registro, se è stato creato e dato le credenziali corretti (UAC) da eseguire. Quale sarà il caso nel 99,99%.

Ora, se una delle cose "software" in esecuzione era "malware", tutto ciò che sarebbe necessario è una breve trasmissione su Internet per trasferire le tue credenziali a una terza parte. Nella peggiore delle ipotesi, a tua insaputa. Utilizzando tali credenziali, le persone potrebbero provare ad accedere al sistema dall'esterno (rete / internet) e utilizzare la macchina con lo stesso livello di accesso utente che ha fornito l'account di accesso automatico.

Where/how is the password stored for auto-login?

Registro di Windows, in "testo semplice" .

Un consiglio di sicurezza dalla mia parte, poiché nessuno lo ha ancora detto ...

L'accesso automatico può essere utile. Ma per favore non dire che il tuo account di auto-login ha il livello "admin". Se è così, CAMBIARÀ in qualcosa di più limitato e più innocuo ... nel caso in cui!

Il login automatico funziona memorizzando le credenziali nel registro in testo normale. Una volta che il processo winlogon.exe ha terminato il caricamento, verifica quei particolari valori di registro. Se esistono, Windows si connette con quelle credenziali. È come se un utente digitasse le stesse credenziali di per sé.

Di solito è progettato per essere utilizzato in modalità in stile chiosco, con account utente che hanno accesso limitato alla rete o al computer locale.

È sicuro? No. La tua password utente è memorizzata in testo normale nel registro. Questo è stato progettato per sistemi in stile chiosco per account con accesso limitato.

L'autologon di SystInternals memorizza le credenziali nell'area del registro di LSASecret che potrebbe essere facilmente estratta dallo strumento di terze parti (google per loro) L'unica soluzione sicura che ho trovato è Logonexpert che crittografa login / password usando AES256

Se decidi di utilizzare l'autologon, ti suggerisco di utilizzare almeno l'utilità SystInternals Autologon .

In questo modo è almeno non memorizzato in testo in chiaro e (in qualche modo) protetto.

Nota: è memorizzato come un segreto LSA. link