Session und Desktop sollte man nicht durcheinander werfen. Ein Desktop ist ein Container fuer verschiedene Objekte (zB Fenster und Programm IO) und wiederum eingebettet in eine WindowStation (weiterer Container). Ene WindowStation koennte man am ehesten als Repraesentation einer Session bezeichnen, stimmt aber auch nicht ganz.
Ich kann nur sagen, dass jede Loesung, die auf NT alles andere umgeht OHNE eine eigene
GINA zu benutzen auch garantiert verwundbar ist. Wenn man die Moeglichkeiten hat, sollte man sie auch nutzen.
Lest mal "Programming Windows Security" von Keith Brown!