背景：XP 登錄密碼極易被破解
工具 (Ophcrack、NT Password、PE 離線註冊表編輯) 可在數分鐘內重置/繞過 XP 本地賬戶密碼。單一登錄密碼形同虛設，需增加啟動階段認證。
Syskey 系統金鑰：為 SAM 資料庫加鎖
syskey 工具對 SAM (Security Account Manager) 資料庫 進行 128 位加密，並要求啟動時提供解密金鑰。三種金鑰存儲方式：
- 本機儲存 (預設)：金鑰存本地，啟動無需輸入，僅防離線註冊表編輯。
- 密碼啟動 (推薦雙重保險)：金鑰派生自用戶輸入密碼，**開機必須輸入 Syskey 密碼才能繼續載入 Windows**，隨後才進入登錄界面輸入賬戶密碼 —— 真正的雙因子 (知識因子×2)。
- 軟盤/USB 金鑰：金鑰存可移動介質，插上才能啟動 (物理雙因子)。
圖文啟用「密碼啟動」步驟
- Win+R →
syskey → 回車 → 「保護 Windows XP 帳戶數據庫的安全」對話框。
- 點擊 「更新」 按鈕 → 「啟動密碼」對話框。
- 選中 「密碼啟動」 單選框。
- 輸入密碼 (如
12345) → 確認密碼 → 確定。
- 重啟驗證：POST 後出現「啟動密碼」對話框，輸入正確方可進入 Windows 登錄畫面。
取消/變更 Syskey 密碼
- 同樣運行
syskey → 「更新」。
- 選中 「系統產生的密碼」 → 勾選「在本機上保存啟動密碼」→ 確定。
- 系統提示輸入當前 Syskey 密碼 驗證身分 → 確定後恢復為本機儲存模式 (無需輸入即可啟動)。
安全性評估與局限
- ✅ 防禦離線密碼重置工具、PE 系統竄改 SAM。
- ✅ 防禦物理接觸者直接進入系統。
- ❌ 無法防禦：硬體鍵盤記錄器、DMA 攻擊 (FireWire/Thunderbolt)、冷啟動攻擊 (DDR 殘留數據)、BitLocker 等全盤加密未啟用時的硬盤拆卸掛載讀取。
- ⚠️ 遺忘 Syskey 密碼 = 徹底鎖死，無官方後門，僅能重裝系統 (數據若無備份將丟失)。
現代系統 (Vista/7/8/10/11) 的等效防護
- BitLocker 驅動器加密 (專業/企業/教育版) — TPM + PIN/USB Key 保護系統盤，啟動前認證，數據全盤加密。
- UEFI BIOS/UEFI 密碼 — 固件級啟動鎖，阻止啟動順序竄改/外部介質啟動。
- Windows Hello PIN/生物識別 + TPM 2.0 — 現代硬體綁定認證，抗暴力破解。
結論：Syskey 是 XP 時代的經典雙鎖方案，現代環境請直接部署 BitLocker + UEFI 密碼 + TPM 2.0，構建從固件到文件系統的纵深防禦。