Primero, el token de acceso
contiene mucho más que el identificador de seguridad (SID) . Uno solo tiene que "Ejecutar como administrador" un programa para ver en el Administrador de tareas que su usuario es uno mismo y no Administrador, y este milagro se logra simplemente modificando el token de acceso, no reemplazando el SID.
En segundo lugar, NT-AUTHORITY y SYSTEM no son cuentas ni grupos, a pesar de lo que dicen otras fuentes (incluso dentro de Microsoft). Un SID generalmente tiene un nombre que se muestra cuando es necesario. Una cuenta de usuario contribuirá con su SID como SID principal al token de acceso, que también determinará el nombre que muestran varias utilidades. Pero el token de acceso puede contener SID adicionales, por ejemplo, para todos los grupos a los que pertenece esa cuenta de usuario. Al verificar los permisos, Windows buscará cualquier SID en el token de acceso que tenga ese permiso.
Algunos SID de Windows conocidos tendrán nombres informados por Windows, aunque en realidad no pertenecen a ninguna cuenta.
Wikipedia define un identificador de seguridad como:
un identificador único e inmutable de un usuario, grupo de usuarios u
otra entidad de seguridad .
El SID ni siquiera necesita definir una cuenta de usuario o un grupo. Simplemente define un conjunto de permisos. El artículo de Wikipedia anterior agrega:
Windows otorga o niega el acceso y los privilegios a los recursos basados en listas de control de acceso (ACL), que usan SID para identificar de manera única a los usuarios y sus pertenencias a grupos. Cuando un usuario inicia sesión en una computadora, se genera un token de acceso que contiene los SID de usuario y grupo y el nivel de privilegio de usuario. Cuando un usuario solicita acceso a un recurso, el token de acceso se compara con la ACL para permitir o denegar una acción particular sobre un objeto en particular.
El SID de NT-AUTHORITY\SYSTEMse puede agregar a otras cuentas. Por ejemplo, esto se dice sobre la
cuenta LocalSystem :
La cuenta LocalSystem es una cuenta local predefinida utilizada por el administrador de control de servicios. [...] Su token incluye NT AUTHORITY \ SYSTEM y BUILTIN \ Administrators SIDs; Estas cuentas tienen acceso a la mayoría de los objetos del sistema.
Ya se puede ver en el texto anterior la confusión que reina incluso en la documentación de Microsoft con respecto a los SID del sistema, que no son exactamente cuentas ni grupos, que son solo un conjunto de permisos. Esta confusión se extiende aún más a otras utilidades y artículos, por lo que cualquier información devuelta debe ser cuidadosamente examinada.
El artículo de Microsoft
Los identificadores de seguridad conocidos en los sistemas operativos Windows
detallan todos los SID del sistema, algunos de los cuales incluyo a continuación:
Conclusión : NT-AUTHORITY \ SYSTEM es el nombre de un ID de seguridad, que no es un grupo ni una cuenta. Se muestra en el Administrador de tareas como SISTEMA cuando es el SID principal de un programa. Lo máximo que lo llamaría es "una pseudo cuenta".
.
(El uso de la API interna Win32 LookupAccountSid también revela que parece ser un grupo SidTypeGroup ).