密碼可被破解、繞過，**實體 USB 金鑰** 為開機增加「擁有因子」驗證。將 XP/2003 核心啟動檔 (NTLDR、NTDETECT.COM、BOOT.INI) 複製至 USB，設定 BIOS USB 為第一啟動序，**無 USB 無法進入系統**，大幅提升實體安全性。

製作 USB 開機金鑰 (XP/2003 適用)

1. 準備任意容量 USB 隨身碟 → 格式化為 **FAT32** (相容性最佳)。
2. 資料夾選項 → 「檢視」→ 勾選「顯示隱藏檔案」+ 取消「隱藏受保護的作業系統檔案」。
3. 系統分區 (通常 C:) 根目錄複製三檔至 USB 根目錄：
   NTLDR、NTDETECT.COM、BOOT.INI。
4. 進 BIOS (開機狂按 Del/F2) → **Boot Priority** → **USB-HDD / USB-ZIP / Removable Device 設為第 1 優先序**。
5. **設定 BIOS 管理員密碼** (防他人改回硬碟啟動) → F10 儲存離開。

驗證與日常使用

• 插上 USB → 開機 → 正常進入 Windows。
• 拔除 USB → 開機 → **「NTLDR is missing」或「Boot device not found」**，無法進入系統。
• 每次開機/重開機皆需插入 USB，**物理持有即授權**。

遺失 USB / USB 損壞 / 系統損毀：三種救援路徑

安全性評估與局限

• ✅ **防暴力破解密碼**：無 USB 無法進入登入畫面。
• ✅ **防離線登錄編輯**：無法掛載離線修改 SAM/登錄。
• ❌ **無法防實體存取**：攻擊者可拆硬碟掛載他機讀取資料 (需配合 BitLocker/TrueCrypt/VeraCrypt 全磁碟加密)。
• ❌ **無法防 WinPE/Linux Live USB 開機**：BIOS 密碼可防，但可清 CMOS 繞過。
• ❌ **不適用 Vista/7/8/10/11**：啟動架構改為 BOOTMGR + BCD，需製作 Windows To Go / Ventoy + BitLocker 解鎖金鑰。

進階：雙因子認證 (USB + 密碼)

保留 Windows 登入密碼，**USB 金鑰 + 密碼** = 兩因子 (擁有 + 知悉)，安全性大幅提升。若 USB 遺失，仍可用密碼透過修復主控台恢復啟動。