Prestare il PC proteggendo i dati con un profilo ospite

Basta cedere il portatile a un amico per cinque minuti per rischiare che veda la cronologia del browser, le password memorizzate o le fatture salvate sul disco. Senza una barriera invalicabile, chi siede alla tastiera ha accesso a tutta la nostra vita digitale con due clic.

Il vecchio account Guest predefinito è stato disattivato da Microsoft perché mandava in blocco il menu Start e le applicazioni moderne. Creare un secondo account dalle impostazioni sembra la soluzione più logica, ma nasconde una trappola che molti ignorano: per impostazione di fabbrica, qualsiasi nuovo profilo locale conserva i permessi di lettura su tutte le unità disco secondarie e sui file non protetti da crittografia.

LEGGI ANCHE: Aggiungere nuovi utenti su Windows: Account locale o Microsoft?

I pericoli nascosti nel prestare una sessione già aperta

Concedere il portatile mentre siamo collegati con il nostro profilo principale espone a rischi che vanno ben oltre la semplice cartella dei documenti. Anche bloccando la visualizzazione delle credenziali nelle impostazioni, la sessione attiva rende vulnerabili i punti nevralgici dell'intero ambiente digitale.

I browser moderni richiedono il PIN di Windows Hello prima di mostrare le password memorizzate in chiaro, ma lasciano aperte tutte le connessioni in corso. Chi riceve il computer può navigare nei negozi online dove abbiamo effettuato l'accesso, ordinare prodotti o leggere messaggi privati senza inserire alcuna credenziale, semplicemente sfruttando i cookie memorizzati nella memoria temporanea.

Ancora più grave è l'esposizione della rete domestica. Da qualsiasi finestra di comando aperta con privilegi standard, basta digitare un comando mirato per mostrare all'istante la password della rete Wi-Fi a cui siamo collegati:

netsh wlan show profile name="NomeDellaRete" key=clear

Sotto la voce Contenuto chiave la password compare in chiaro, permettendo a un ospite indiscreto di memorizzarla o fotografarla in tre secondi netti. Per evitare queste intrusioni occorre alzare una barriera di sistema prima di consegnare la macchina.

Il limite degli account standard e il blocco dei dischi con icacls

Nei sistemi operativi Windows moderni un account locale privo di privilegi amministrativi conserva i permessi di lettura sulle partizioni secondarie del disco fisso. Senza una rimozione esplicita del gruppo utenti dalle liste di controllo accessi, chiunque utilizzi la tastiera può sfogliare gli archivi non protetti.

Quando aggiungiamo un utente tramite l'interfaccia grafica, Windows lo inserisce nel gruppo generico degli utenti autenticati. Questo significa che la cartella personale principale resta inaccessibile, ma l'ospite può comunque aprire il disco dati D:, copiare archivi di lavoro o installare programmi nella propria cartella temporanea. Per azzerare questo rischio prima di prestare la macchina, serve un intervento mirato sui permessi.

Apriamo il Prompt dei comandi cercando cmd nel menu Start e selezionando la voce per avviarlo come amministratore. Il primo comando genera il nuovo profilo senza password:

net user Visitatore /add

Per impedire che questo profilo possa sfogliare una seconda partizione o un disco rigido contenente materiale riservato, dobbiamo negare l'accesso in modo esplicito usando l'utilità di gestione delle autorizzazioni:

icacls D:\ /deny Visitatore:(OI)(CI)(F)

Con questa singola riga, qualsiasi tentativo di aprire l'unità D: da parte del profilo ospite restituirà una schermata di blocco immediata. Terminato il prestito del computer, per eliminare ogni cartella creata dall'ospite e ripulire il sistema basta lanciare un ultimo comando dalla nostra sessione principale:

net user Visitatore /delete

Modalità Chiosco per chi deve solo navigare su internet

Se la richiesta dell'amico riguarda unicamente la consultazione rapida del web, concedere l'accesso al desktop completo rappresenta un'esposizione non necessaria. Windows integra la funzione di accesso assegnato che trasforma il computer in un terminale monouso.

In questa modalità il sistema operativo avvia a tutto schermo una sola applicazione selezionata, solitamente Microsoft Edge. La barra delle applicazioni sparisce, la combinazione di tasti per aprire Esplora File viene disattivata e la pressione dei comandi di chiusura non ha effetto. Nelle impostazioni di Windows 11 basta cercare la voce Chiosco multimediale e configurare Edge come browser pubblico: l'ospite naviga tra le schede, ma non appena la sessione viene chiusa o resta inattiva, la cronologia e i file scaricati vengono distrutti all'istante.

La scorciatoia per la navigazione ospite senza toccare Windows

Affidarsi alla semplice finestra in incognito del browser è un errore comune: la sessione privata impedisce il salvataggio dei cookie, ma mostra comunque la barra dei segnalibri personali, permette di aprire le cartelle dei download e consente a chiunque di cliccare sulla finestra principale lasciata minimizzata.

Per chi deve concedere il computer solo per controllare una pagina web senza configurare nuovi account di sistema, la rotta di Navigaweb prevede la duplicazione del collegamento del browser sul desktop inserendo il parametro --guest alla fine del percorso del file eseguibile. All'apertura della finestra si avvia un ambiente a tenuta stagna che ignora le credenziali memorizzate ed elimina la cronologia di navigazione alla chiusura. Questa procedura, spiegata nell'approfondimento su come creare profili utente su Chrome e ospite, trasforma il programma in un'applicazione isolata dal resto della nostra identità online.

Aprire file sconosciuti da chiavetta con Windows Sandbox

Quando un collega o un conoscente chiede di usare il computer per stampare un documento o visualizzare una presentazione contenuta in una chiavetta USB, il rischio di infezioni da script malevoli o virus autorun è elevato.

Nelle edizioni Pro ed Enterprise di Windows lo strumento più efficace è Windows Sandbox. Si tratta di un ambiente virtuale temporaneo che parte da zero in quindici secondi. Per una protezione totale possiamo creare sul desktop un file con estensione .wsb contenente poche righe di codice per disattivare l'accesso alla rete:

<Configuration>
  <Networking>Disable</Networking>
</Configuration>

Avviando questo file, la Sandbox si apre senza alcuna connessione verso internet o verso la rete locale. L'ospite può inserire la chiavetta, copiare i file nella finestra virtuale e stamparli. Chiudendo la finestra, tutto il contenuto della memoria RAM evapora all'istante senza lasciare traccia sul disco fisso reale.

Sulle macchine con Windows Home, dove questa funzione non è presente, lo stesso livello di isolamento per i singoli programmi si ottiene installando l'utility gratuita Sandboxie Plus, che confina i processi sconosciuti all'interno di una gabbia software separata dai dati personali.

Congelare il sistema con Reboot Restore Rx

Per chi gestisce un computer in una casa vacanze, in uno studio condiviso o in una postazione aperta a più familiari, creare account temporanei a ripetizione diventa un lavoro ingestibile. I file scaricati intasano il disco e le impostazioni di sistema vengono continuamente scombinate.

La soluzione definitiva consiste nel bloccare lo stato del disco rigido con Reboot Restore Rx, l'alternativa gratuita ai costosi software industriali come Deep Freeze. Questo strumento genera un'istantanea di riferimento della partizione di sistema. Chiunque usi il computer può installare programmi, salvare documenti sul desktop o contrarre malware: a ogni riavvio della macchina, il software ripristina la struttura delle partizioni allo stato originale bit per bit, cancellando qualsiasi traccia d'uso in modo automatico.

Configurazioni avanzate per postazioni condivise

Opzioni di controllo per gestire postazioni usate da più persone senza installare strumenti accessori:

• La modalità PC condiviso in Windows Pro. Nelle edizioni professionali di Windows è integrata la funzione Shared PC Mode, configurabile tramite i pacchetti di provisioning di sistema. Ottimizza il computer per ingressi multipli cancellando automaticamente i profili utente temporanei al momento della disconnessione e riducendo al minimo i file conservati nella cache.
• Limitazione degli orari di accesso. Se il prestito del computer deve essere circoscritto a determinate fasce orarie, il terminale amministratore consente di applicare un blocco automatico tramite il comando net user Visitatore /times:L-V,09:00-18:00. Al di fuori dell'intervallo specificato, il sistema respingerà qualsiasi tentativo di accesso.
• Abbandono del vecchio account Guest nativo. Il profilo Ospite storico presente su Windows 7 non deve essere riattivato tramite modifiche al registro di sistema su Windows 10 o Windows 11. I tentativi di forzatura generano continui sfarfallii del desktop e bloccano l'avvio delle applicazioni di sistema.

Diario di bordo di Navigaweb

Per anni ho pensato che bastasse tenere installato un secondo browser pulito come Brave per farlo usare a chi mi chiedeva il portatile. Puntualmente, appena mi allontanavo, la persona cercava d'istinto l'icona di Google Chrome sul desktop, aprendo le mie schede personali con tutte le password e le sessioni attive memorizzate. Ho risolto definitivamente creando un collegamento a Chrome modificato con l'istruzione ospite e blindando l'unità D: con una riga di comando. Ora posso allungare il portatile ad amici o parenti con un sorriso disteso, sapendo che non vedranno una sola riga delle mie ricerche personali.