為 Windows XP 加把 Syskey 開機密碼鎖：雙重防護與金鑰磁碟製作

什麼是 Syskey？

Syskey (System Key) 是 Windows 內建的系統金鑰工具，可對 SAM（安全性帳號管理器）資料庫進行額外加密，並提供開機密碼與金鑰磁碟兩種進階驗證方式。這把鎖的等級高於使用者登入密碼，在載入作業系統核心前生效。

功能一：設定系統開機密碼

1. 執行 syskey（Win+R → syskey）。
2. 按「更新」→ 選擇「密碼啟動」。
3. 輸入兩次相同密碼（建議強度：≥12 字元，含大小寫、數字、符號）。
4. 確定完成。重開機後，進入 Windows 登入畫面前會先要求輸入此開機密碼。

取消方法：再次執行 syskey → 選「將啟動金鑰儲存在本機」→ 輸入目前開機密碼確認 → 完成後重開機不再提示。

功能二：製作金鑰磁碟（雙因子認證雛形）

1. 執行 syskey →「更新」→ 選「系統產生的密碼」。
2. 勾選「將啟動密碼儲存在軟碟上」→ 插入已格式化軟碟（或 USB 隨身碟，視版本支援）。
3. 確定後系統自動將加密金鑰寫入磁碟。
4. 以後每次開機，系統會要求插入金鑰磁碟驗證，無磁碟無法繼續啟動。

這類似部分鑑識/加密軟體要求硬體金鑰（Dongle）才能執行，屬於「擁有因子」驗證，安全性極高。

適用版本與限制

• Windows 2000/XP/2003 完整支援。
• Vista/7/8/10/11 已整合 BitLocker、TPM、PIN、生物辨識等更完整的開機保護體系，Syskey 功能被移除/整合。
• 金鑰磁碟遺失將無法開機，務必備份金鑰檔案（軟碟易損壞，建議改用 USB 並多備份）。
• 若忘記開機密碼且無金鑰磁碟，需使用離線登錄編輯工具（如 chntpw）清除 Syskey 設定，或重灌系統。

現代替代方案

• BitLocker 驅動器加密（專業版/企業版/教育版）：全磁碟加密，支援 TPM+PIN、USB 啟動金鑰、純密碼等多種解鎖方式。
• BIOS/UEFI 開機密碼：硬體層面鎖定，繞過難度極高。
• Windows Hello：PIN、指紋、臉部辨識，便利且安全。

結語

Syskey 為 XP 時代提供了超越使用者密碼的開機層級保護，金鑰磁碟機制更是雙因子認證的早期實踐。雖然現代 Windows 已有更強大的替代方案，但理解其原理有助於建立分層防禦的安全觀念。