USB 金鑰開機：插上專屬隨身碟才能啟動 Windows，防止他人偷用

核心原理

利用群組原則「啟動指令碼」，在開機早期檢查特定 USB 隨身碟是否存在唯一識別檔案。不存在 → 執行 shutdown -s -t 10 關機。

實作步驟

1. 確認 USB 代號：插入隨身碟，記下代號（例：I:）。代號固定至關重要，建議用磁碟管理指定固定代號。
2. 建立識別檔：USB 根目錄建立空白檔（名稱任意，例：mykey.auth）。
3. 撰寫批次檔：本地磁碟建立 check_usb.bat，內容：
   if not exist I:\mykey.auth shutdown -s -t 10 -c "未偵測到授權金鑰，系統將在 10 秒後關機"
4. 部署到群組原則：
   1. Win+R → gpedit.msc。
   2. 電腦設定 → Windows 設定 → 指令碼 (啟動/關機) → 「啟動」。
   3. 「新增」→ 瀏覽選取 check_usb.bat → 確定。
5. 測試：拔除 USB 重開機 → 10 秒倒數關機；插入 USB 開機 → 正常進入桌面。

緊急解鎖方案（USB 遺失/損壞時）

1. 關機倒數期間：Win+R → shutdown -a 中止關機。
2. 安全模式：開機連點 F8 → 選「安全模式」→ 進入後不會執行啟動指令碼 → 執行 gpedit.msc 移除該指令碼 → 重開機恢復正常。

安全性評估與加強

進階替代方案

• SysKey (系統金鑰)：Win+R → syskey → 「更新」→ 「密碼啟動」/「磁碟機金鑰」。將 SAM 加密金鑰存入 USB，無 USB 無法解密 SAM，根本無法登入。
• BitLocker (Vista/7/8/10 Pro/Enterprise)：啟用「僅 USB 啟動金鑰」模式。
• 第三方工具：USB Raptor、Predator、Rohos Logon Key（支援動態挑戰-回應、藍牙鑰匙）。

批次檔方案適合 XP/2003 輕量部署；現代環境建議升級至 BitLocker + TPM + USB 金鑰，獲得硬體級防護。