Windows 2000/XP 內建一個鮮為人知但威力強大的安全工具：syskey.exe（系統金鑰工具）。它能對 SAM 資料庫（儲存使用者密碼雜湊）進行額外加密，並支援啟動密碼與金鑰磁碟（軟碟/USB）雙因子認證，大幅提高實體存取安全性。
核心原理
- 預設：SAM 資料庫以系統金鑰加密，金鑰儲存在本機登錄表 → 實體存取電腦可離線破解密碼雜湊
- 啟用 Syskey 後：SAM 加密金鑰再以「使用者提供的密碼」或「儲存於可移動媒體的金鑰檔」二次加密
- 結果：無啟動密碼/金鑰磁碟 → 無法解密 SAM → 無法離線破解密碼、無法啟動系統
三種保護模式詳解
模式一：啟動密碼（密碼保護）
- 執行
syskey → 確定 → 「更新」
- 選「密碼啟動」 → 輸入密碼（建議 12+ 字元、大小寫數字符號混合）
- 重開機後：Windows 載入前出現對話框「這部電腦需要密碼才能啟動，請輸入啟動密碼」
- 輸入正確 → 繼續載入 → 再輸入使用者帳號密碼 → 進入桌面
- 雙重密碼保護：Syskey 密碼 ≠ 使用者密碼，攻破其一仍無法進入
模式二：金鑰磁碟（實體金鑰）
syskey → 「更新」 → 選「在磁碟機 A: 上儲存啟動金鑰」- 若已設啟動密碼，需先輸入密碼授權
- 插入格式化軟碟（或 USB 隨身碟，需 BIOS 支援 USB 開機模擬軟碟）
- 系統寫入
syskey.key 金鑰檔 → 完成
- 重開機：必須插入金鑰磁碟 系統才會繼續啟動，否則卡在提示畫面
- 金鑰檔可備份至多張磁碟/USB，避免單點故障
模式三：本機儲存金鑰（預設，安全性最低）
- 金鑰加密後仍儲存本機登錄表 → 等同未啟用 Syskey
- 僅防禦線上攻擊，無法防禦離線實體攻擊
移除/降級保護等級
- 執行
syskey → 選「在本機電腦上儲存啟動金鑰」
- 需插入金鑰磁碟或輸入啟動密碼授權
- 確定後恢復預設模式，下次開機不再提示
實務部署建議
| 場景 | 推薦模式 | 注意事項 |
|---|
| 筆電/攜帶裝置 | 啟動密碼 + 磁碟加密 (BitLocker/EFS) | Syskey 密碼遺失 = 資料永久無法存取，必須備份 |
| 共用桌機/網咖/實驗室 | 金鑰磁碟 (USB) 由管理員保管 | 每日開機需管理員插入金鑰，維護成本高 |
| 伺服器/關鍵主機 | 啟動密碼 + TPM/硬體加密 | 配合實體機櫃鎖定、BIOS 密碼、開機序鎖定 |
| 一般家用 | 不啟用（改用強帳號密碼 + 更新 + 防毒） | Syskey 增加維護複雜度，風險大於收益 |
關鍵風險與對策
- 遺失啟動密碼/金鑰磁碟 → 系統永久無法啟動，資料無法存取（除非有備份金鑰）
→ 對策：密碼存入密碼管理器；金鑰檔備份多份離線保存
- 無法進入安全模式修復 → Syskey 在核心載入前生效，安全模式同樣需驗證
→ 對策：製作 Windows PE/安裝光碟啟動修復磁碟
- 相容性問題：某些備份軟體、磁碟映像工具無法處理 Syskey 加密的 SAM
→ 對策：測試驗證後再部署生產環境
- XP 家用版不支援：Syskey 僅在 Professional/Server 版本可用
現代視角：Syskey 的歷史地位與替代方案
- Windows Vista/7/8/10/11：BitLocker 磁碟加密 取代 Syskey，提供全磁碟加密、TPM 整合、網路解鎖、恢復金鑰備份至 AD/Azure AD
- Linux：LUKS 全磁碟加密 + 預啟動認證
- macOS：FileVault 2 全磁碟加密
- Syskey 已在 Windows 10 1709 移除，BitLocker 成為唯一原生啟動加密方案
syskey 是 Windows NT 時代為了解決「實體存取 = 完全控制」而設計的經典方案。雖已退出歷史舞台，但其「金鑰分離、多因子啟動認證、離線攻擊緩解」的設計哲學，依然是現代端點加密技術的基石。理解 Syskey，有助於掌握 BitLocker、FileVault、LUKS 等現代加密技術的核心邏輯。
