防護二：Syskey 雙重加密——保護 SAM 資料庫離線攻擊

原理：Syskey 使用 128-bit 金鑰加密 SAM 資料庫（含密碼雜湊），防止離線破解工具（如 Ophcrack、彩虹表）直接讀取硬碟破解密碼。

啟用模式三選一

1. 系統產生金鑰儲存於本機 (預設/透明模式)：
   執行 syskey →「啟用加密」→ 確定。
   無感知加密，開機無需輸入額外密碼。風險：金鑰在本機，離線攻擊者若取得系統權限仍可解密。
2. 使用者輸入啟動密碼 (密碼模式)：
   syskey →「更新」→ 選擇「啟動密碼」→ 設定密碼。
   開機早期 (Winlogon 前) 需輸入此密碼才能繼續載入系統。最高安全性，但遺忘無法恢復（需重灌）。
3. 金鑰儲存於軟碟/USB (金鑰磁碟模式)：
   syskey →「更新」→「系統產生的密碼」→ 選擇「儲存啟動金鑰在軟碟」→ 插入格式化軟碟/USB。
   開機需插入該媒體才能啟動。物理二因子認證，極高安全性。
   ⚠️ 必須備份第二組金鑰媒體，遺失將無法開機。

模式切換與驗證

• 模式間切換需驗證當前金鑰（輸入密碼或插入金鑰媒體）。
• 檢視狀態：執行 syskey 顯示目前加密模式。
• 不可逆：一旦啟用加密無法停用，只能在三模式間切換。

防護三：密碼重設磁碟——自我救援的最後防線

適用：本地帳號（非網域帳號），預防密碼遺忘自救。

建立流程

1. 控制台 → 使用者帳號 → 選取目標帳號。
2. 左側「相關工作」→ 「防止忘記密碼」（忘記密碼精靈）。
3. 下一步 → 插入 空白格式化軟碟/USB 隨身碟（建議專用，勿存其他資料）。
4. 輸入當前帳號密碼 → 下一步 → 建立完成（生成 userkey.psw 檔案）。
5. 妥善保管磁碟/隨身碟（標示帳號、密封保存）。

使用流程

登入畫面輸入錯誤密碼 → 系統提示「重設密碼」→ 插入重設磁碟 → 精靈引導設定新密碼 + 密碼提示 → 完成登入。

三重防護協同效果

部署建議

• 獨立工作站：密碼策略(本地 gpedit) + Syskey 密碼模式 + 重設磁碟（USB）。
• 筆電/高風險環境：密碼策略 + Syskey 金鑰磁碟模式 (USB) + 重設磁碟（另一 USB）。
• 企業域環境：域群組原則下發密碼/鎖定策略 + BitLocker (Vista+) 替代 Syskey + 域管理員重設密碼替代重設磁碟。
• 共用電腦：每位使用者各自建立重設磁碟，互不干擾。

三重防護缺一不可：策略防線上攻擊，Syskey 防線下離線攻擊，重設磁碼防自我遺忘。投入 15 分鐘設定，換取長期帳號安全安心。