Windows XP Syskey 啟動密碼與金鑰磁碟：雙重鎖死系統安全

前言

Windows XP 內建強大的 Syskey (系統金鑰) 功能，可為 SAM 資料庫加密、設定開機密碼、甚至製作實體金鑰磁碟 (USB/軟碟)，構建「開機前驗證」防線，遠強於一般使用者帳號密碼。

功能架構

• 第 1 層：Syskey 開機密碼 — 開機載入核心前要求輸入，錯誤即停機，不進入 Windows 登入畫面。
• 第 2 層：Windows 使用者帳號密碼 — 通過 Syskey 後進入的一般登入驗證。
• 第 3 層 (可選)：金鑰磁碟 — 開機需插入實體 USB/軟碟，雙因子認證 (擁有磁碟 + 知道密碼)。

設定 Syskey 開機密碼

1. Win+R → syskey → Enter。
2. 彈出對話框 → 「更新」。
3. 選「密碼啟動」→ 輸入兩次相同密碼 (建議 12 字元以上、大小寫數字符號混合) → 確定。
4. 重開機驗證：開機畫面將出現「請輸入系統啟動密碼」提示框。

移除開機密碼 (恢復預設)

1. 再次執行 syskey → 「更新」。
2. 選「在本機上儲存啟動金鑰」→ 確定。
3. 輸入目前的 Syskey 密碼確認 → 系統將金鑰寫回本機登錄表，下次開機不再詢問。

製作金鑰磁碟 (Syskey 儲存於 USB/軟碟)

1. 執行 syskey → 「更新」。
2. 選「系統產生的密碼」→ 再選「在軟碟上儲存啟動金鑰」 (XP 僅支援軟碟機 A:，若無軟碟機需用第三方工具模擬或改用 BitLocker/VeraCrypt)。
3. 插入軟碟 → 確定，系統寫入 syskey.fky。
4. 下次開機會提示「請插入啟動金鑰磁碟」。

現代替代方案： XP 不支援 USB 金鑰磁碟。建議改用 VeraCrypt 系統加密 + 預開機驗證 或升級至支援 BitLocker + TPM + USB 啟動金鑰的 Windows 7/10/11 專業版/企業版。

安全性評估

遺忘密碼/遺失金鑰磁碟救援

• 忘記 Syskey 密碼： 無官方回復管道。唯一辦法是離線編輯登錄表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa 刪除 SecureBoot 值，但需知原始加密金鑰，**極高難度**。實務上只能重灌系統。
• 遺失金鑰磁碟： 同樣無法回復，必須重灌。

鐵律： 設定 Syskey 前務必備份重要資料，並將密碼/金鑰磁碟妥善保管 (列印紙本、密碼管理器、保險箱)。

結語

Syskey 是 XP 時代最高階的原生防護機制，雖無法抵擋現代惡意軟體 (Rootkit、Bootkit)，但對物理存取攻擊、離線密碼重置工具極具威懾力。若仍在維護 XP 系統，請務必啟用 Syskey 密碼，並配合 VeraCrypt 全磁碟加密達到纵深防禦。