Можно ли обнаружить аппаратные кейлоггеры? и как?

Я недавно задал себе тот же вопрос, только для (возможно, более распространенных) подключаемых аппаратных кейлоггеров, таких как, например, USB или PS/2 кейлоггеры.

чтобы ответить на этот вопрос для себя я недавно купил USB кейлоггер для экспериментов. Хотя, конечно, на рынке есть разные устройства, и не все работают одинаково, тот, который я купил (KeeLog с USB-перехватчик нажатий клавиш), кажется, трудно обнаружить.

С Помощью Программы

Что Я пробовал до сих пор (под Linux):

• lsusb и lsusb -t
• lshw
• powertop
• tail -f /var/log/syslog

ни одна из этих команд не показала никакой разницы в зависимости от того, используется кейлоггер или нет. Никаких дополнительных устройств не отображается, никаких странных сообщений об ошибках в журнале, никаких разных адресов шин для одного и того же устройства и т. д.

так кейлоггер я купил не ведет себя как USB-концентратор или такой, это просто, кажется, проходит (и захватывает) каждый пакет в автобусе.

но поскольку кейлоггер должен быть вставлен между компьютером и клавиатурой, вы можете считать подозрительными любые события отключения клавиатуры USB. Я, хотя и ожидаю довольно много ложных срабатываний.

единственный способ увидеть разницу до сих пор был с дополнительным оборудованием:

Измерение Энергопотребления

я использовал доктор USB зарядное устройство от Adafruit между моим компьютером и кейлоггером, и он показал 0,04 а больше, чем без кейлоггера. Но до сих пор я не мог увидеть эту разницу в энергопотреблении с помощью программного обеспечения, т. е. с powertop.

но этот вид обнаружения имеет несколько недостатков:

• нажатие Caps-Lock и / или Num-Lock на клавиатуре также вызвало дополнительное энергопотребление от его светодиода, и это было примерно в том же диапазоне в соответствии с доктором USB-зарядного устройства: 1 LED = 0.03 A, 2 LED = 0.05 A.

• если я должен проверить USB зарядное устройство доктор каждый раз, прежде чем использовать компьютер, я очень вероятно, будет также обнаружить USB кейлоггер сидит в том же месте или поблизости.

использование дополнительных устройств на том же USB-порту

если вы ищете кейлоггер, например, Amazon, вы заметите, что некоторые из них не будут работать, если есть USB-концентратор на клавиатуре (и другие утверждают, что их продукт делает). Поэтому я поставил простой USB-концентратор за кейлоггер и подключен клавиатуру в USB-концентратор (т. е. компьютер → кейлоггер → USB-концентратор → клавиатура).

результат был , что-по крайней мере, с моделью кейлоггер я купил - ни USB-концентратор, ни клавиатура были обнаружены моим компьютером больше, никаких следов в журналах, как обычно, когда я подключаю устройство USB. Хотя индикатор питания на USB-хаб был на.

таким образом, один из способов смягчить (и ничего более) опасность не обнаруживая аппаратный кейлоггер USB является для использования удлинительного кабеля USB с задней стороны компьютера, заканчивающегося на видном месте на рабочем столе, подключите USB-концентратор и клавиатуру к концентратору. Если вдруг клавиатура перестает работать, вы, скорее всего, проверить всю цепочку USB и может заметить кейлоггер таким образом.

так что моя личная рекомендация:

Убедитесь, Что Вы Можете Проверить Разъем Клавиатуры Легко

Setup ваши стол и ПК в путе который разъем ваша клавиатура всегда или, по крайней мере, достаточно часто видна:

• подключите клавиатуру к USB-разъему на передней панели, если ваш компьютер находится на рабочем столе. В настоящее время кейлоггеры все еще достаточно велики, чтобы их можно было заметить.

• Если вам не нужны никакие внешние вещи Вашего компьютера (например, CD ROM), а не против его уродливого зада, включите компьютер вокруг так, что вы можете видеть все сзади разъемы, а рабочий.

• если у вас есть достаточно места вокруг вашего стола и ваш компьютер является башня случае, сидя под столом, настроить его таким образом, что вы проходите ПК задней части вашего стола регулярно и взглянуть на задней части вашего компьютера, например, каждое утро, когда вы приедете на работу или около того.

Дальнейшего Обсуждения

эта тема также была рассмотрена на сайте ИТ-безопасности StackExchange в вопросе"Обнаружения Оборудования кейлоггеры... элегантные решения?".

возможно (в теории во всяком случае) встроить акустический кейлоггер практически во что угодно, и это сделает это возможным (и это невозможно обнаружить).