键盘记录

定义

键盘记录指持续追踪并保存用户键盘输入的过程，记录的通常不只是按下了哪一个键，还包括按键发生的时刻、按下的时长和速度等信息^[2][1]。用于自动完成这项工作的装置或程序称为键盘记录器，英文写作 keylogger^[2]。

按形态划分，键盘记录器主要有软件与硬件两种。软件记录器是安装在设备硬盘上的程序，常作为恶意软件的组成部分出现；硬件记录器是接在键盘与计算机之间的物理装置，也可能被内置在键盘机身内^[2]。此外还有一些不接入设备的方式，例如用隐藏摄像头拍摄手部动作，或借助声音、电磁等物理信号推断输入内容^[2][3]。

原理

软件记录器工作在设备内部。按键被按下后，信号沿着键盘驱动、操作系统到前台程序的链路传递，软件记录器就在这条链路上截获并保存这些事件^[4]。常见做法包括利用应用程序接口(API)钩子拦截键盘消息、在网页表单提交之前抓取输入内容，以及设法取得较高权限并驻留在系统内核层^[2]。也有向网页注入脚本、监听键盘事件来实现记录的方式^[5]。

硬件记录器一般串联在键盘与主机接口之间，外形与 U 盘相似，内部装有微处理器与存储芯片，通过检测按键造成的电平变化来获取数据，可保存数月至一年左右的按键记录，需要由安装者取回设备读取。

记录器的典型插入位置可以用下面的结构表示：

flowchart LR

K[键盘] --> D[键盘驱动]

D --> OS[操作系统] --> A[前台程序]

D -. 截获 .-> L[软件记录器]

K -. 串联 .-> H[硬件记录器]

除直接接入输入链路之外，研究者还提出利用物理侧信道攻击推断按键的方法，分析对象包括敲击声音、电磁辐射、机械振动和按键的时间间隔等^[6][3][7]。其中一项研究采集了有线与无线键盘的电磁泄漏，在其实验条件下可从约 20 米外还原出约 95% 的按键内容^[3]。

发展历程

键盘记录的实践早于个人计算机的普及。20世纪70年代冷战期间，苏联针对美国驻莫斯科使馆使用的 IBM Selectric 电动打字机安装了监听装置，装置隐藏在打字机部件中，能够感知打印部件的转动并还原击键内容，再通过无线电传出^[8][9]。美方直到约1984年才发现这些装置^[8]。部分资料把这类设备视为最早的键盘记录器，并认为其出现于20世纪70年代。

20世纪90年代，面向商用市场的软件键盘记录器开始大量出现^[10]。随着互联网与视窗系统的普及，这类程序常作为木马程序的一部分，借助钓鱼邮件和捆绑安装传播。

2009年发表的一项研究系统测试了 2001 年至 2008 年间购买的多种键盘，发现 PS/2、USB、无线和笔记本键盘都存在可被利用的电磁泄漏^[3]。此后，声学、振动、无线信号等侧信道研究陆续出现，并逐渐引入机器学习方法^[7]。近年来，键盘记录功能常与信息窃取类程序结合，除按键之外还会采集剪贴板与屏幕内容^[11]。

应用

键盘记录器在 IT 运维中被用于排查故障，在软件开发中被用于收集使用者反馈，也被企业用于监控服务器与公司设备，家长则可借助它了解未成年人的设备使用情况^[2]。这些用途通常以使用者知情或安装方为设备所有者等条件为前提^[2]。

在安全研究中，键盘记录被用于观察用户如何与程序交互^[2]。它同时是击键动力学与人机交互研究的手段之一，研究者通过按键节奏等特征分析输入行为^[12]。

在恶意用途方面，键盘记录器常作为间谍软件或木马的功能模块，用于获取账号口令、银行卡信息等^[2][4]。由于大量敏感数据都经由键盘输入，这一用途使其成为信息安全领域长期关注的问题之一。

局限

键盘记录并不总能被察觉或阻止。软件记录器可以运行在系统内核层，或伪装成正常程序，普通用户乃至部分安全软件都难以发现^[2][4]。硬件记录器接在键盘与主机之间，常规软件扫描通常无法识别，需要检查接口或对设备进行物理拆检^[2]。

常见防护手段也存在边界。网络传输加密只保护数据在传输途中的安全，无法阻止运行在终端上的记录器在加密之前读取按键^[12]。屏幕软键盘对部分记录器无济于事，因为这类程序还能截取屏幕或剪贴板内容^[2]。多因素认证可以降低凭据被直接使用的风险，但并不能阻止按键本身被记录。

侧信道类的按键推断受距离、环境噪声、键盘型号与打字习惯等因素影响，多数方案只有在特定条件下才能得到较高准确率^[3][7]。硬件方式则通常以能够接触目标设备为前提。

参见

• 恶意软件 —— 键盘记录器常作为其功能组件出现。

• 木马程序 —— 软件键盘记录器常借助它传播。

• 侧信道攻击 —— 通过物理信号推断按键的技术路线。

• 多因素认证 —— 可降低凭据被窃取后直接利用的风险。

• 人机交互 —— 键盘记录被用于该领域的研究。