syskey（系統金鑰）是 Windows 2000/XP 內建的 SAM 資料庫加密工具，提供雙重密碼保護、啟動金鑰軟碟/USB、本機金鑰儲存三種模式，大幅提升離線攻擊難度。本文詳細說明三種模式設定、變更與移除流程。
核心原理
SAM（安全性帳號管理員）資料庫儲存使用者密碼雜湊。預設以系統金鑰加密，金鑰儲存在本機登錄檔，離線掛載登錄檔即可嘗試暴力破解。syskey 將金鑰加密，需額外祕密（密碼/軟碟/USB）才能解密 SAM。
啟動 syskey
Win+R → syskey → 確定 → 「更新」→ 選擇加密模式。
模式一：密碼啟動（雙重密碼）
- 選「密碼啟動」，輸入 12–128 字元強密碼（區分大小寫、建議含符號）。
- 重開機後，Windows 載入前會彈出「本機電腦需要密碼才能啟動」對話框，輸入正確才能進入登入畫面。
- 此密碼與使用者登入密碼獨立，屬開機前驗證。
模式二：軟碟/USB 金鑰（實體金鑰）
- 選「在軟碟上儲存啟動金鑰」（XP 支援 USB 隨身碟當軟碟模式，需 BIOS 支援）。
- 系統寫入
startkey.key 到媒體。若已設定密碼模式，需先輸入舊密碼授權。
- 重開機需插入該媒體才能啟動，極高安全性，適合攜帶式電腦防竊。
- 金鑰檔可備份至另一軟碟/USB（複製
startkey.key），但遺失將無法開機，務必妥善保管多份備份。
模式三：本機儲存金鑰（預設/降級）
- 選「在本機電腦上儲存啟動金鑰」，系統將加密金鑰寫回登錄檔。
- 若從模式二切回，需插入原金鑰媒體授權。
- 此模式等同未啟用 syskey，僅防禦極低階離線攻擊。
變更/移除與注意事項
- 再次執行
syskey → 「更新」即可切換模式或變更密碼/金鑰。
- 忘記密碼/遺失金鑰媒體 = 永久無法開機，無官方回復管道，必須重灌系統。
- 網域環境下，syskey 不影響網域登入（網域控制站驗證），但本機快取登入需解密 SAM。
- 建議搭配 BitLocker（Vista+）或 TrueCrypt/VeraCrypt 全碟加密，提供更完整資料保護。
syskey 是輕量級開機前認證強化工具，設定前請務必評估遺失風險並建立完整備份策略。
