winlogon

Premere CTRL+ALT+CANC su Windows attiva ancora oggi una sequenza del tutto speciale, una di quelle cose che nessuna applicazione può toccare, intercettare o replicare. E no, non è un capriccio di Microsoft. È una scelta progettuale precisa, che affonda le radici nei primi anni dell'architettura Windows NT, quando serviva un modo affidabile per distinguere un comando autentico dell'utente da qualsiasi software in esecuzione. La storia, però, parte ancora più indietro. Ai tempi di MS-DOS, su architettura x86 in modalità reale, la combinazione CTRL+ALT+CANC serviva per forzare il riavvio della macchina. Una scorciatoia a basso livello, quasi brutale, ma tremendamente efficace. Con l'arrivo di Windows NT, quella stessa sequenza cambia completamente significato e diventa uno strumento di sicurezza. Nei sistemi MS-DOS, CTRL+ALT+CANC funzionava come un reset software puro e semplice: il BIOS intercettava la combinazione e riavviava tutto senza passare da alcuna procedura di spegnimento. Non esisteva separazione tra processi, nessuna protezione della memoria. Tutto girava nello stesso spazio. Con l'introduzione della modalità protetta e di Windows NT, Microsoft sfruttò quella combinazione per qualcosa di radicalmente diverso: nasce la Secure Attention Sequence, un meccanismo pensato per garantire che solo il sistema operativo possa reagire a quella specifica sequenza di input. Non si trattava più di riavviare, ma di creare un canale sicuro tra utente e sistema. Durante l'avvio del sistema, il processo winlogon è uno dei primi a essere inizializzato. Tra i suoi compiti c'è quello di registrare CTRL+ALT+CANC come sequenza protetta. E non è affatto un passaggio secondario: winlogon lo fa in una fase talmente precoce da rendere impossibile qualsiasi interferenza da parte delle applicazioni. Chi registra per primo quella sequenza ne mantiene il monopolio, punto. Il risultato è un controllo esclusivo, stabilito prima ancora che lo spazio utente sia pienamente operativo. Desktop isolati e il ruolo di WinSta0 Windows utilizza oggetti chiamati window station per rappresentare l'insieme di input e output fisici: schermo, tastiera e mouse. L'oggetto principale si chiama WinSta0 e gestisce l'interazione diretta con l'utente. All'interno di WinSta0, winlogon crea tre desktop distinti, ciascuno con un ruolo ben preciso. Il primo è il desktop di logon, utilizzato per l'autenticazione e l'esposizione delle finestre di dialogo essenziali. Quando arriva la Secure Attention Sequence, il sistema commuta automaticamente su questo ambiente isolato. Il secondo è il desktop applicativo, quello che l'utente vede dopo l'accesso. Tutte le applicazioni girano qui, ma con restrizioni: solo il sistema e la sessione interattiva possono accedervi. I processi avviati come servizi, ad esempio tramite il Service Control Manager, non hanno visibilità su questo desktop. Il terzo è il desktop dello screen saver: quando si attiva un salvaschermo, il sistema cambia contesto grafico. Se l'utente è autenticato, mantiene accesso condiviso con il sistema; in caso contrario, resta un ambiente gestito esclusivamente dal sistema operativo. Perché CTRL+ALT+CANC non si può intercettare, nemmeno da remoto Il meccanismo che protegge la combinazione CTRL+ALT+CANC funziona perché opera a un livello inferiore rispetto alle API standard. Solo codice in modalità kernel, quindi a livello Ring 0, può teoricamente intervenire. Ma qui entra in gioco un altro vincolo: la firma dei driver. Senza un certificato valido, il sistema moderno non carica codice in kernel mode. La superficie di attacco, in pratica, è estremamente ridotta. La rigidità della Secure Attention Sequence emerge con chiarezza negli scenari remoti. Quando si utilizza un software di desktop remoto, premere CTRL+ALT+CANC sulla tastiera non produce alcun effetto sul sistema remoto. Il motivo è tecnico: la combinazione viene intercettata immediatamente dal sistema operativo locale, prima ancora che il software di connessione possa leggerla o inoltrarla. Non è un semplice input da trasmettere, ma un evento gestito a livello kernel, completamente fuori dalla portata delle applicazioni. Per aggirare questo limite, i client remoti adottano soluzioni indirette: nel caso di Desktop remoto, ad esempio, si utilizza una sequenza leggermente diversa che il software riconosce e trasforma artificialmente in un evento di Secure Attention Sequence sul sistema remoto, grazie ai permessi kernel. Una dinamica simile si osserva nelle macchine virtuali. Se una VM è in esecuzione all'interno di un hypervisor, la pressione di CTRL+ALT+CANC viene sempre catturata dal sistema host. Per inviare l'equivalente alla macchina virtuale, l'hypervisor deve offrire una funzione dedicata, come "Invia CTRL+ALT+CANC". Anche qui non si tratta di un inoltro diretto, ma di una generazione controllata dell'evento all'interno del sistema guest. Ogni ambiente gestisce autonomamente la propria Secure Attention Sequence, garantendo che l'input resti sempre sotto il controllo diretto del sistema operativo. Oggi l'autenticazione si basa su tecnologie più avanzate: isolamento delle credenziali, virtualizzazione, biometria. La Secure Attention Sequence non è più centrale come un tempo, ma conserva una funzione precisa. Al di là di configurazioni specializzate, CTRL+ALT+CANC permette di bloccare il sistema, cambiare utente, effettuare una disconnessione e presenta anche un collegamento diretto al Task Manager di Windows. Cosa poco nota, in Windows 10 e Windows 11 permette di effettuare un riavvio di emergenza del sistema: dopo la pressione di CTRL+ALT+CANC basta tenere premuto il tasto CTRL e fare clic sul pulsante Arresta il sistema in basso a destra.

winlogon

CTRL+ALT+CANC: ecco perché nessuna app può intercettarlo