Windows XP 帳戶安全三重保護：密碼原則、Syskey 雙重加密、密碼重設磁碟

帳戶安全不僅在於密碼複雜度，更需制度化管理與備援機制。XP 專業版內建「群組原則」、「Syskey」、「遺忘密碼精靈」三大工具，結合使用可構建完整防護鏈。

第一層：群組原則強制密碼原則

1. Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
2. 依序展開：「本機電腦原則」→「電腦設定」→「Windows 設定」→「安全性設定」→「帳戶原則」→「密碼原則」。
3. 設定三項關鍵值：
   ✅ 密碼必須符合複雜性需求 → 已啟用（禁止 123456、abc、生日等弱密碼）
   ✅ 密碼最小長度 → 8 字元以上（建議 10+）
   ✅ 密碼最短使用期限 → 15 天（防止用戶立即改回舊密碼）
4. 同目錄下「帳戶鎖定原則」建議：
   「帳戶鎖定閾值」= 5 次錯誤 → 「鎖定時間」= 30 分鐘 → 「重設鎖定計數器」= 30 分鐘。

第二層：Syskey 系統金鑰雙重加密 SAM 資料庫

Syskey 以 128 位元金鑰加密本機安全性帳戶管理員 (SAM) 資料庫，離線破解難度指數級上升。

1. Win+R 輸入 syskey → 「更新」。
2. 選擇金鑰儲存方式（三選一）：
   🔹 密碼啟動：每次開機需輸入 Syskey 密碼才能載入 SAM，最高安全性，適合攜帶式電腦。
   🔹 系統產生金鑰儲存於本機：透明加密，無感體驗，但若硬碟被拆離離線攻擊仍有風險。
   🔹 金鑰儲存於磁碟片/USB 隨身碟：實體金鑰，開機必須插入對應磁片/隨身碟，相當於雙因子認證（知識因子+持有因子）。
3. ⚠️ 警告：啟用後不可逆，遺失金鑰/密碼/磁片將導致系統永久無法登入，請務必先備份重要資料並建立密碼重設磁碟（見第三層）。

第三層：建立密碼重設磁碟（遺忘密碼備援）

適用於本機帳戶（非網域帳戶）。

1. 控制台 → 「使用者帳戶」→ 選取目標帳戶 → 左側「防止遺忘密碼」啟動精靈。
2. 插入空白磁片/USB 隨身碟（建議專用、標示明確）。
3. 輸入目前密碼 → 完成，產生 userkey.psw 加密檔案。

使用時機：登入畫面輸入錯誤密碼後，出現「重設密碼」連結 → 插入重設磁碟 → 依精靈設定新密碼 → 登入。

備份建議：製作兩份重設磁碟，一份放置辦公室保險箱，一份隨身攜帶；Syskey 選擇 USB 金鑰模式時同樣建議備份一份金鑰隨身碟。

整體防護矩陣