前言
Windows XP 登入密碼易被離線破解工具（如 NTPasswd、Ophcrack、Kon-Boot）繞過或重設。微軟內建的 Syskey (系統金鑰) 功能可為 SAM 帳號資料庫加入啟動金鑰，構成「開機啟動密碼 → 登入密碼」雙重防護，並支援製作 USB 開機金鑰盤 實現雙因子認證，大幅提升實體存取安全性。
功能原理
- Syskey 使用 128 位元加密金鑰加密 SAM 資料庫（儲存密碼雜湊的註冊表區塊）。
- 啟用「密碼啟動」後，開機早期會提示輸入 啟動密碼，正確才能解密 SAM、繼續載入作業系統、顯示登入畫面。
- 選擇「儲存啟動金鑰到軟碟/USB」後，金鑰寫入可移動媒體，開機時必須插入該媒體才能解密 SAM，實現「擁有因子」驗證。
操作步驟
一、啟用啟動密碼（純密碼模式）
- Win+R → 輸入
syskey → Enter。
- 彈出「保護 Windows XP 帳號資料庫安全」對話框 → 點選 「更新」 按鈕。
- 選擇 「密碼啟動」 選項按鈕。
- 輸入 啟動密碼（建議 12+ 字元、大小寫、數字、符號混合）→ 再次確認 → Enter。
- 系統提示「啟動金鑰已更新」→ 確定。
- 重開機測試：開機畫面將出現「請輸入啟動密碼」提示，輸入正確後才進入 Windows 登入畫面。
二、製作 USB 開機金鑰盤（雙因子模式，推薦）
- 準備一顆 乾淨 USB 隨身碟（建議專用、標記「Syskey 金鑰」），格式化為 FAT/FAT32。
- Win+R →
syskey → 「更新」 → 選擇 「系統產生的密碼」 下的 「將啟動金鑰儲存到軟碟」（XP 介面仍顯示「軟碟」，實支援 USB 大容量儲存裝置）。
- 點選「確定」→ 系統提示插入磁碟 → 插入 USB 隨身碟 → 確定。
- 稍待寫入完成，提示「啟動金鑰已儲存到磁碟」。
- 重開機測試：未插入 USB 時，開機直接報錯或停在啟動金鑰提示，無法進入系統；插入 USB 後正常啟動到登入畫面。
三、取消/變更啟動金鑰
- 需插入原 USB 金鑰盤（或輸入原啟動密碼）才能執行
syskey → 「更新」 → 選擇「系統產生的密碼」→ 「將啟動金鑰儲存到本機電腦」→ 確定，即恢復無啟動密碼狀態。
- 若遺失 USB 金鑰盤且忘記啟動密碼，**無法透過常規手段繞過**，需重灌系統（資料可用 WinPE 備份）。
注意事項與最佳實務
| 項目 | 建議 |
|---|
| 密碼複雜度 | 啟動密碼 ≥12 字元，含大小寫/數字/符號；避免字典詞、個資。 |
| USB 金鑰盤管理 | 製作 2 份備份（主用+備份），分別存放不同地點；標記明確，勿混雜資料。 |
| BIOS 開機順序 | 確保 USB 裝置優先於硬碟（或至少可偵測），否則 Syskey 無法讀取金鑰。 |
| 適用場景 | 筆電/攜帶型裝置、共用電腦、儲存敏感資料工作站、防盜保護。 |
| 不適用場景 | 伺服器/無人值守/自動化部署環境（需人工干預輸入/插入）。 |
| 相容性 | Windows 2000/XP/2003 支援；Vista/7/8/10/11 已改用 BitLocker + TPM + PIN/USB，Syskey 移除。 |
進階：結合 EFS 檔案加密雙重保障
- 啟用 Syskey 保護 SAM。
- 重要資料夾右鍵 → 內容 → 進階 → 勾選「加密內容以保護資料」(EFS)，需 NTFS 分區。
- EFS 使用者憑證/私鑰受 SAM 保護，Syskey 加密 SAM → 雙層加密鏈：
啟動金鑰/密碼 → 解密 SAM → 登入密碼 → 解鎖 EFS 憑證 → 存取加密檔案。
結語
Syskey 是 Windows XP 時代最強、零成本、原生內建的實體存取防護機制。啟用「密碼啟動」或製作「USB 金鑰盤」，可有效阻擋離線破解工具、竊賊直接存取資料。配合 EFS 檔案加密，構成「開機→登入→檔案」三層防禦。遷移至新版 Windows 時，請改用 BitLocker + TPM + PIN/USB 繼承同等防護邏輯。
