De dozen waren in de fabriek verzegeld. Dat was het eerste wat iedereen verkeerd begreep.
Infectie in de toeleveringsketen
Mensen vertrouwen zegels.
Ze vertrouwen krimpfolie, serienummers, hologrammen, verzegelingstape, reliëffolie, microscopische vezels, versleutelde manifesten, ondertekende overdrachtslogboeken en die kleine stickers die ontworpen zijn om zichzelf uit elkaar te trekken als iemand er net iets te agressief naar kijkt.
Geef mensen genoeg bewijs dat iets niet is aangeraakt en uiteindelijk stoppen ze met de vraag of het wel veilig was voordat iemand het überhaupt kon aanraken.
Dat was de fout.
Die van mij ook, ongeveer elf minuten lang.
De zending stond op me te wachten bij Dock Negen onder het oostelijke vrachtdistrict: achtenveertig matzwarte behuizingen, gestapeld in een klimaatgecontroleerde transportkist en omgeven door genoeg authenticatie om een overheidsauditor zich geliefd te laten voelen.
Herkomst uit de fabriek bevestigd.
Overdracht aan vervoerder bevestigd.
Integriteit van de verzegeling bevestigd.
Aantal apparaten bevestigd.
Elke tijdstempel klopte.
Elke identificatiecode klopte.
Elke doos zag er precies hetzelfde uit als elke andere doos.
En dat is meestal het moment waarop ik zenuwachtig begin te worden.
Mijn klant was Helix Meridian, een bedrijf voor financiële infrastructuur met het soort beveiligingsbudget dat zijn eigen weersysteem kan creëren.
Ze beheerden afwikkelingssystemen, institutionele identiteitsdiensten en genoeg geautomatiseerd transactieverkeer om een storing van tien minuten waarschijnlijk een eigen hoofdstuk in iemands economieboek te bezorgen.
Ze vertrouwden netwerken niet.
Ze vertrouwden clouds niet.
Ze vertrouwden hun eigen medewerkers nauwelijks.
Ik mocht ze meteen.
De drives waren bestemd voor een beveiligde implementatiefaciliteit aan de andere kant van de stad. Achtenveertig identieke USB-apparaten met een ondertekende interne herstelomgeving voor onderhoud aan geïsoleerde systemen die bewust buiten het bedrijfsnetwerk werden gehouden.
Geen provisioning op afstand.
Geen downloadlink.
Geen draadloze update.
Alleen fysieke media.
Dat moest ze veiliger maken.
Mijn instructies waren ongewoon specifiek.
NIET OPENEN.
NIET AANSLUITEN.
NIET VERVANGEN.
IN FABRIEKSVERZEGELDE STAAT AFLEVEREN.
Niets ingewikkelds aan.
Kist ophalen.
Zegels controleren.
Door de stad vervoeren.
Overhandigen aan iemand van wie ik de naam niet hoorde te kennen.
Betaald worden.
Eenvoudige opdrachten maken me achterdochtig.
Ingewikkelde opdrachten vertellen je waar het gevaar zit.
Eenvoudige opdrachten laten het gevaar zelf kiezen.
Ik ondertekende de overdracht van de bewakingsketen om 21:16.
Drie minuten later begon het te regenen.
Echte regen, die in de stad inmiddels duur genoeg was geworden dat mensen er foto’s van maakten.
Ik laadde de kist in het achterste compartiment van mijn transportmiddel en keek hoe Dock Negen verdween achter betonnen pilaren die glommen van weerspiegelde reclame.
Niets volgde me.
Op de passieve scan verscheen niets ongewoons.
De routeplanner gaf groen aan in alle zes districten.
Ik negeerde hem en nam een andere route.
Koeriersgewoonte.
Of paranoia.
Het verschil hangt er vooral vanaf of je gelijk had.
Elf minuten onderweg meldde de kist een afwijking in de bewakingsketen.
Geen alarm.
Niet precies.
Gewoon een afwijking.
De kist bevatte achtenveertig individueel geregistreerde apparaten en het manifest bevatte achtenveertig apparaatidentiteiten.
Maar de passieve inventarislezer had er negenenveertig gezien.
Ik keek opnieuw naar het scherm.
Achtenveertig verwacht.
Negenenveertig waargenomen.
Toen achtenveertig.
Ik reed de donkere onderste verdieping van een parkeergarage in, waar de helft van de lampen al zo lang kapot was dat het onderdeel van de architectuur was geworden.
Ik schakelde het transportmiddel uit.
Liet de scan opnieuw draaien.
Achtenveertig.
Nog een keer.
Achtenveertig.
Ik staarde naar de kist.
Machines haperen.
Lezers tellen verkeerd.
Draadloze omgevingen veroorzaken ruis.
Mensen die in mijn vak overleven behandelen niet elk vreemd getal als een goddelijke openbaring.
Maar ze negeren het ook niet.
Ik controleerde de buitenste verzegeling.
Intact.
De bewakingsstrip was in de fabriek aangebracht en cryptografisch geregistreerd voordat de zending überhaupt in transport ging.
Het microscopische breukpatroon kwam overeen met de afbeelding die in het manifest was opgeslagen.
Niemand had de kist geopend.
Door het transparante inspectievenster controleerde ik de afzonderlijke verpakkingen.
Alle achtenveertig dozen hadden verzegelingen tegen manipulatie met een eigen serienummer.
Allemaal intact.
Allemaal echt.
Dat had me beter moeten laten voelen.
Dat deed het niet.
Ik voerde een diepere passieve inventarisscan uit.
Deze keer bleef het aantal apparaten achtenveertig, maar één vermelding liet heel even een identificatie van een controllerfamilie zien die daar niet hoorde.
Hetzelfde product.
Dezelfde capaciteit.
Dezelfde uiterlijke specificaties.
Een andere controllerlijn.
Slechts een ogenblik.
Toen verdween hij.
Ik zat daar en luisterde naar de regen die ergens buiten de garage op beton sloeg.
Er zijn mensen die denken dat hardware eenvoudig is omdat je het kunt vasthouden.
Software voelt abstract.
Netwerken voelen onzichtbaar.
Hardware voelt tastbaar.
Echt.
Concreet.
Een USB-stick bestaat uit plastic, metaal, silicium en een connector die je met je eigen ogen kunt zien.
Dat stelt gerust.
Geruststelling is gevaarlijk.
In bijna elk modern USB-apparaat zit een controller.
Niet alleen geheugen.
Een controller.
Een kleine processor die bepaalt hoe het apparaat met de computer communiceert, hoe het flashgeheugen wordt beheerd en, belangrijker nog, wat de hostcomputer denkt dat het apparaat eigenlijk is.
Mensen zien een USB-stick.
De computer ziet wat de controller hem vertelt dat hij moet zien.
Opslag.
Toetsenbord.
Netwerkinterface.
Meer dan één ding tegelijk.
De plastic behuizing heeft geen stem.
De firmware wel.
Ik wist genoeg over BadUSB-onderzoek om te weten dat beschadigde bestanden niet het smerige deel waren.
Bestanden kunnen worden gescand.
Bestanden kunnen worden gehasht.
Bestanden kunnen worden verwijderd.
Het gedrag van de controller zit dieper.
Onder het deel waarvan de meeste mensen denken dat ze het controleren.
Als iemand de firmware in een van die apparaten had veranderd, kon de stick volledig normaal lijken tot het moment waarop hij besloot dat niet meer te zijn.
Ik belde de klant.
Geen antwoord.
Dat was niet ongebruikelijk.
Helix Meridian liet communicatie met koeriers bewust via een tussenpersoon lopen, zodat koeriers niet rechtstreeks konden bellen met de mensen die gevoelige zendingen ontvingen.
Compartimentering.
Iedereen weet minder.
Iedereen voelt zich veiliger.
Tot degene die minder weet de enige persoon is die naar het probleem kijkt.
Ik stuurde een prioritaire uitzonderingscode.
Het antwoord kwam twaalf seconden later.
ZEGELS GECONTROLEERD.
MANIFEST GECONTROLEERD.
DOORGAAN MET LEVERING.
Ik stuurde het afwijkingsrapport.
Het antwoord kwam sneller.
ZENDING NIET OPENEN.
Dat was het moment waarop ik wist dat iemand bang was.
Ik keek opnieuw naar de kist.
Mijn contract was duidelijk.
In de fabriek verzegeld.
Ongeopend afgeleverd.
Bewakingsketen intact.
Het is niet de taak van een koerier om de lading te verbeteren.
Niet om hem te inspecteren.
Niet om hem te beoordelen.
Niet om te beslissen of afzender en ontvanger verstandige keuzes maken.
Wij verplaatsen dingen.
Dat is de code.
Codes zijn prachtig totdat het volgen ervan het domste wordt wat je kunt doen.
Ik opende de kist.
De bewakingsverzegeling werd rood op het moment dat hij loskwam.
Permanente registratie van de breuk.
Tijdstempel aangemaakt.
Mijn inloggegevens automatisch gekoppeld.
Ergens binnen Helix Meridian had een beveiligingssysteem zojuist mijn naam naast de woorden onbevoegde toegang gezet.
Mooi.
Dan wist tenminste iemand waar hij moest beginnen als hij naar me zocht.
De afzonderlijke dozen waren verpakt in zes rijen van acht.
Netjes.
Perfect.
Bijna ceremonieel.
Ik pakte het apparaat dat gekoppeld was aan de afwijkende controllerlezing.
Doos eenendertig.
Fabrieksverzegeling intact.
Serienummer klopte.
Lotnummer klopte.
Afdrukkwaliteit klopte.
Zelfs de kleine beschadiging op de onderste hoek stond op de verpakkingsfoto uit de fabriek.
Niemand had de doos verwisseld.
Niemand had hem geopend.
Ik brak de verzegeling.
Binnenin zat een USB-stick die niet anders was dan de rest.
Mat grafietkleurige behuizing.
Lasergegraveerd serienummer.
Geen verwijderbare dop.
Niets theatraals.
Kwaadaardige hardware ziet er bijna nooit kwaadaardig uit.
Dat is precies het punt.
Ik had een kleine isolatiekit bij me voor precies het soort situatie waarvan niemand verwacht dat een koerier erin terechtkomt.
Op batterijen.
Geen radio.
Geen blijvende inloggegevens.
Niets verbonden met iets waar ik om gaf.
Een machine die gebouwd was om opgeofferd te worden.
Ik sloot de stick aan.
Hij verscheen normaal.
Juiste capaciteit.
Juiste volume-identiteit.
Ondertekende herstelimage aanwezig.
De bestanden kwamen overeen met het manifest.
Elke hash klopte.
Een halve seconde lang voelde ik me dom.
Toen registreerde de host nog een USB-functie.
Die verscheen kort, identificeerde zichzelf, verdween weer en liet bijna niets achter.
Geen opslag.
Iets anders.
Het soort gedrag waarvoor een normale herstelstick geen enkele reden had.
Ik koppelde hem los.
Sloot hem opnieuw aan.
Deze keer gebeurde er niets.
Normaal opslagapparaat.
Volkomen saai.
Wat erger was.
Slechte kwaadaardige code herhaalt fouten.
Goede kwaadaardige code weet wanneer herhaling bewijs wordt.
Ik opende een tweede doos.
Toen een derde.
Dezelfde controllerfamilie.
Volgens de externe identiteitsvelden dezelfde goedgekeurde firmwareversie.
Ander intern gedrag.
Bij doos vijf waren mijn handen koud.
Geen angst.
Herkenning.
Er was niet met de zending geknoeid.
De zending was zo geproduceerd.
Ik belde de tussenpersoon opnieuw.
Deze keer nam iemand op.
“U hebt de zegels verbroken.”
“Ook leuk om uw stem eens te horen.”
“Uw contract is beëindigd.”
“Waarschijnlijk.”
“Lever de zending niet af.”
Ik glimlachte.
Vijf minuten eerder had ik nog opdracht gekregen om door te gaan.
Grappig wat bewijs doet met zelfvertrouwen.
“Ik heb de productiegegevens nodig.”
“U bent een koerier.”
“Vanavond ben ik ambitieus.”
Stilte.
Toen:
“Waar bent u?”
“Als u dat wist, zou ik teleurgesteld zijn.”
Nog meer stilte.
Deze keer langer.
“De apparaten kwamen rechtstreeks van de goedgekeurde fabrikant.”
“Dat weet ik.”
“Geen logistiek via derden.”
“Dat weet ik.”
“Geen herverpakking.”
“Dat weet ik.”
“Dan heeft iemand ze vóór het ophalen onderschept.”
“Nee.”
Ik keek naar de opengebroken dozen die over de vloer verspreid lagen.
“Dat is juist het probleem.”
Mensen houden van onderschepping als verklaring, omdat het een aanval een locatie geeft.
Een laadperron.
Een magazijn.
Een vrachtwagen.
Een corrupte douanebeambte.
Een gecompromitteerde koerier.
Vind het punt waarop het legitieme object illegitiem werd en je kunt een cirkel om het probleem trekken.
Beveiligingsmensen zijn gek op cirkels.
Deze had er geen.
Elke verpakkingsregistratie was geldig vanaf het moment dat de apparaten de eindassemblage verlieten.
Dus ging ik terug.
Controllerlot.
Assemblagetijdstempel.
Firmware-release.
Productielijn.
Programmeerstation.
Resultaat van de kwaliteitscontrole.
De tussenpersoon opende met tegenzin de gegevens, laag voor laag, terwijl hij me om de dertig seconden eraan herinnerde dat ik technisch gezien niet meer voor hen werkte.
Ik herinnerde hem eraan dat ik technisch gezien nog altijd achtenveertig apparaten in bezit had die bedoeld waren voor hun gevoeligste systemen.
Dat verbeterde de samenwerking.
Het controllerlot was achttien dagen eerder in productie gegaan.
Achtduizend exemplaren.
Goedgekeurde leverancier.
Goedgekeurd silicium.
Goedgekeurd firmwarepakket.
Digitale handtekening geldig.
Productieaudit schoon.
Geautomatiseerde test geslaagd.
Elk groen vinkje waar een beveiligingsafdeling om kon vragen.
Toen zag ik de tijdstempels.
Het firmwarepakket was zes minuten ondertekend voordat de productieserver had geregistreerd dat hij het ontvangen had.
Normaal.
Maar de hash die door het productiestation was geregistreerd, stond twee seconden eerder genoteerd dan het moment waarop het bestand op de server bestond.
Onmogelijke tijdstempels zijn geen magie.
Meestal probeert iemand een volgorde te verbergen.
Ik vroeg om de logbestanden van het productiestation.
Niet beschikbaar.
Ik vroeg om de back-up.
Niet beschikbaar.
Ik vroeg waarom.
De tussenpersoon stopte met antwoorden.
Dat was antwoord genoeg.
Ik verliet de garage.
Niet met de kist.
Ik verdeelde de drives over drie afzonderlijke afgeschermde containers en liet de oorspronkelijke transportverpakking achter waar hij stond.
Wie de kist ook volgde, mocht van de parkeergarage genieten.
Ik nam één gecompromitteerd apparaat mee.
Twintig minuten later stond ik voor een gebouw in het oude productiedistrict dat officieel al negen jaar geen elektronica meer had geproduceerd.
Boven de ingang hing nog steeds het vervaagde logo van een bedrijf dat was gekocht, hernoemd, opgesplitst, gereorganiseerd en uiteindelijk veranderd in vier dochterondernemingen van een holdingmaatschappij die ergens was geregistreerd waar het warm en juridisch handig was.
Binnen brandde licht.
Productie verdwijnt nooit echt.
Ze krijgt alleen steeds een andere naam totdat niemand meer weet in wiens fabriek hij eigenlijk staat.
Een technicus ontmoette me achter versterkt glas.
Midden vijftig.
Grijs uniform.
Geen zichtbare beveiligingsbadge.
Hij keek naar de stick in mijn hand en stopte onmiddellijk met naar mij kijken.
Dat was nuttig.
“Waar komt deze vandaan?” vroeg ik.
“Ik weet het niet.”
“U hebt hem nog niet eens bekeken.”
“Ik weet nergens van.”
“Beter antwoord.”
Hij bewoog naar de deurbediening.
Ik hield de stick tegen het glas.
“Achtduizend.”
Zijn hand stopte.
Daar was het.
Geen schuld.
Angst.
“Hoeveel zijn er verzonden?” vroeg ik.
“U moet weg.”
“Hoeveel?”
Hij keek langs me heen naar de straat.
“Allemaal.”
De ruimte voelde plotseling kleiner.
“Wie heeft de firmware veranderd?”
“Niemand heeft hem veranderd.”
Dat antwoord weer.
Het antwoord dat niemand wilde horen.
“Leg uit.”
Hij stapte dichter naar het glas.
“Het pakket is door het normale vrijgaveproces gegaan.”
“Ondertekend?”
“Ja.”
“Gevalideerd?”
“Ja.”
“Goedgekeurd voor productie?”
“Ja.”
“En kwaadaardig?”
Hij slikte.
“Ja.”
Er zijn inbraken waarbij een aanvaller een systeem binnendringt.
En er zijn inbraken waarbij het systeem zelf de aanvaller autoriseert.
De tweede soort duurt langer.
Het ondertekeningsproces van de firmware was niet omzeild.
De kwaadaardige firmware was er gewoon doorheen gegaan.
Geldige inloggegevens.
Geldige goedkeuring.
Geldige build.
Geldige handtekening.
De productieapparatuur was niet gehackt om iets uit te voeren waarvoor ze geen toestemming had.
Ze had opdracht gekregen precies te doen waarvoor ze ontworpen was.
Controllers programmeren.
Ze controleren.
Ze verzenden.
De infectie zat niet buiten de toeleveringsketen.
Ze gebruikte de toeleveringsketen.
Dat onderscheid zou mensen jarenlang aan het werk houden.
Als ze de vergadering tenminste overleefden.
“Wie heeft de firmware goedgekeurd?” vroeg ik.
“Drie mensen.”
“Namen.”
“Twee zijn dood.”
Ik wachtte.
“De derde heeft nooit bestaan.”
Ik moest bijna lachen.
Niet omdat het grappig was.
Maar omdat een probleem soms zo volmaakt slecht wordt dat er toch een beetje bewondering doorheen glipt.
Een synthetische medewerker.
Historie van inloggegevens.
Functioneringsbeoordelingen.
Salarisadministratie.
Toegangspassen.
Trainingscertificaten.
Jaren aan gefabriceerde organisatiegeschiedenis rond een persoon die nooit één ademtocht had genomen.
De aanvallers hadden geen medewerker gecompromitteerd.
Ze hadden er een in het bedrijf geplaatst.
Tegen de tijd dat iemand terugkeek, leken de goedkeuringen routine omdat degene die goedkeurde al jaren als routine werd gezien.
De technicus wreef met beide handen over zijn gezicht.
“We dachten dat het probleem bij het station lag.”
“Dat is het niet.”
“De ondertekeningsserver?”
“Nee.”
“Wat dan?”
Ik keek door het glas naar de rijen donkere productieapparatuur achter hem.
Machines die geduldig wachtten op de opdrachten van morgen.
Machines die goede firmware niet van slechte firmware konden onderscheiden.
Alleen goedgekeurd van niet-goedgekeurd.
“Jullie vertrouwden het proces.”
Hij staarde me aan.
“Je hoort het proces te vertrouwen.”
“Daar zijn processen voor.”
Ik stopte de stick terug in mijn zak.
“En precies daarom zijn ze zo bruikbaar voor iemand die vroeg genoeg binnenkomt.”
Mijn communicator trilde.
Helix Meridian.
Deze keer een direct kanaal.
Geen tussenpersoon.
Wanneer beveiliging ophoudt zelfs introducties af te schermen, is het ernstig misgegaan.
Het gezicht van een man verscheen.
Geen naam.
Geen titel.
Die had hij niet nodig.
“Mevrouw Vale.”
“Dat is jammer.”
“Wat?”
“Dat u mijn naam kent.”
Hij negeerde dat.
“We hebben de zending onmiddellijk nodig.”
“Nee.”
Zijn uitdrukking veranderde nauwelijks.
“We begrijpen dat u een firmwareafwijking hebt gevonden.”
“U weet genoeg om het geen afwijking meer te noemen.”
“Onze technici hebben fysieke toegang nodig.”
“Stuur technici.”
“De apparaten horen in onze containmentfaciliteit.”
“Daar waren ze vanaf het begin al voor bestemd.”
Hij zweeg even.
“Ja.”
Iets in de manier waarop hij het zei zat me dwars.
Niet het woord.
Het moment.
Ik keek naar de gecompromitteerde stick in mijn hand.
Toen naar de technicus.
Toen weer naar de beveiligingsdirecteur.
“Voor welke systemen waren deze bedoeld?”
“Vertrouwelijke informatie.”
“Geniet dan maar van uw vertrouwelijke malware.”
Zijn kaak spande zich aan.
“Herstelterminals.”
“Verbonden met productie?”
“Geïsoleerd.”
“Verbonden tijdens onderhoud?”
Stilte.
Daar was het.
Air-gapped.
Gesegmenteerd.
Geïsoleerd.
Woorden die beveiligingsmensen gebruiken tot het moment waarop iemand gegevens tussen die systemen moet verplaatsen.
En wat gebruiken ze wanneer netwerken niet zijn toegestaan?
Fysieke media.
Het vertrouwde object.
Het ding in de verzegelde doos.
In mijn hoofd zag ik de volledige aanval achterstevoren ontvouwen.
De aanvaller hoefde de perimeter van Helix Meridian niet binnen te dringen.
Had geen gestolen VPN-inloggegevens nodig.
Had geen zero-day tegen een internetserver nodig.
Had niemand nodig die dom genoeg was om op een bijlage te klikken.
Het enige wat nodig was, was dat Helix Meridian zijn eigen beveiligingsbeleid volgde.
Gebruik goedgekeurde hardware.
Van een goedgekeurde leverancier.
Geleverd via een goedgekeurde keten.
Aan een geïsoleerd systeem.
Hoe strenger het beleid werd afgedwongen, hoe betrouwbaarder de geïnfecteerde apparaten hun doel bereikten.
Prachtig.
Verschrikkelijk.
Bijna elegant.
“Hoeveel eerdere zendingen?” vroeg ik.
De directeur antwoordde niet.
Ik vroeg het opnieuw.
“Hoeveel?”
“Dit gesprek gaat over de huidige zending.”
“Nee. Dat doet het niet.”
Hij keek weg van de camera.
Slechts een fractie van een seconde.
Er was iemand anders in de kamer.
Iemand van wie hij de reactie niet in beeld wilde hebben.
Toen wist ik het.
Achtenveertig apparaten waren geen probleem dat groot genoeg was om hem zo bang te maken.
Achtenveertig apparaten waren bewijs.
Ik verliet de fabriek zonder afscheid te nemen.
De technicus probeerde me niet tegen te houden.
Buiten was de regen afgenomen tot een fijne nevel die elke straatlamp moe liet lijken.
Ik haalde de rest van de zending op en reed richting Helix Meridian.
Niet omdat ze me dat hadden opgedragen.
Omdat de dozen inmiddels het minst gevaarlijke ding in de stad waren.
Hun containmentfaciliteit besloeg zes ondergrondse verdiepingen onder een gebouw zonder bedrijfsnaam.
Drie controlepunten gingen open voordat ik de laadruimte bereikte.
Bij het vierde vroeg niemand waarom de hoofdverzegeling van de zending was verbroken.
Ze wisten het al.
Achter een glazen wand stond een beveiligingsteam te wachten.
Geen zichtbare wapens.
Niet nodig.
Het soort mensen dat daar stond had complete afdelingen voor gevolgen.
De directeur van het gesprek kwam me persoonlijk tegemoet.
Langer dan ik had verwacht.
Ook ouder.
Hij keek naar de geopende kist.
Toen naar mij.
“U hebt de bewakingsketen gecompromitteerd.”
“Graag gedaan.”
Hij glimlachte niet.
Niemand om hem heen deed dat.
Moeilijk publiek.
Ik legde een van de geopende drives op de inspectietafel.
“De controllerfirmware is gecompromitteerd. De verpakking is echt. Het serienummer van het apparaat is echt. De fabrieksverzegeling was echt. De productiehandtekening lijkt geldig.”
“Dat weten we.”
Ik keek hem aan.
“Sinds wanneer?”
Hij antwoordde niet.
Achter het glas begonnen technici de ongeopende dozen in geïsoleerde bewijscontainers te plaatsen.
Niemand keek verbaasd.
Dat zat me meer dwars dan wat dan ook die nacht.
“Dit is niet de eerste zending.”
Geen vraag.
De directeur keek naar de achtenveertig dozen.
Toen naar mij.
Voor het eerst sinds ik hem had ontmoet verdween het zelfvertrouwen uit zijn gezicht.
“Nee.”
Eén woord.
Genoeg.
Ik keek door het glas naar de beveiligde faciliteit achter ons.
Rijen terminals.
Servicestations.
Herstelsystemen.
Machines die bewust waren losgekoppeld van de buitenwereld omdat iemand had besloten dat fysieke isolatie veiliger was.
En ergens in die ruimtes zaten USB-poorten.
Wachtend.
Ik dacht aan elke intacte verzegeling die ik bij Dock Negen had gecontroleerd.
Elk overeenkomend serienummer.
Elk groen verificatieresultaat.
Elk klein stukje bewijs dat me vertelde dat de zending precies de route had afgelegd die iedereen verwachtte.
Dat was het deel waar ik niet over kon ophouden na te denken.
Niemand had de lading onderschept.
Niemand had de dozen geopend.
Niemand had de drives vervangen.
Niemand had de toeleveringsketen doorbroken.
Ze hadden hem gebruikt.
De directeur kwam naast me staan.
“We hebben teams die eerdere installaties controleren.”
“Hoe ver terug?”
Hij aarzelde.
“Veertien maanden.”
Ik draaide me naar hem toe.
“Dezelfde leverancier?”
“Ja.”
“Dezelfde controllerfamilie?”
“Dat weten we nog niet.”
“Hoeveel apparaten?”
Hij antwoordde niet.
Dat hoefde ook niet.
Mensen denken dat cybersecurity draait om slechte dingen buiten houden.
Firewalls.
Wachtwoorden.
Versleuteling.
Air gaps.
Toegangscontrole.
Allemaal nuttig.
Allemaal noodzakelijk.
Maar geen van die dingen helpt veel wanneer het ding dat je bewust door de deur naar binnen draagt al voor iemand anders werkt.
Ik liep richting de uitgang.
De directeur riep me na.
“Vale.”
Ik stopte.
“U had gelijk dat u de zending hebt geopend.”
Ik keek naar hem om.
“Zet dat op papier.”
Voor het eerst die hele nacht glimlachte er bijna iemand.
Buiten begon de ochtend de stadslichten te verdunnen.
Bestelwagens reden door kruispunten.
Vrachtdrones stegen op vanaf daken.
Fabrieken wisselden van ploeg.
Miljoenen componenten gingen door miljoenen handen op weg naar mensen die schone dozen zouden openen, perfecte zegels zouden controleren en ervan uit zouden gaan dat het moeilijke deel voorbij was.
Misschien hadden de meesten van hen gelijk.
Dat is het ongemakkelijke aan vertrouwen.
Het moet meestal werken, anders zou niemand het gebruiken.
Het gevaarlijke deel is de uitzondering.
Eén goedgekeurd bestand.
Eén vertrouwde inlogreferentie.
Eén controller die werd geprogrammeerd voordat iemand eraan dacht zich af te vragen wat hem eigenlijk was opgedragen.
Eén verzegelde doos.
Ik dacht vroeger dat sporen van manipulatie je konden vertellen of iets gecompromitteerd was.
Nu wist ik beter.
Een zegel kan je vertellen of iemand de doos heeft geopend.
Het kan je niet vertellen of dat überhaupt nodig was.
Iedereen maakt zich zorgen over wat er gebeurt nadat de verzegeling is verbroken.
Niemand vraagt wie de doos heeft verzegeld.
Meer verhalen over Mara Vale
Mara Vale is een fictieve cyberpunkkoerier die GetUSB gebruikt om echte technologie te verkennen via verhalen over hardware, gegevensintegriteit, AI-systemen en de ongemakkelijke plekken waar fysieke beveiliging en digitaal vertrouwen elkaar raken. Als je Infectie in de toeleveringsketen goed vond, gaan deze eerdere verhalen verder met de serie:
Mara Vale: Sommige gegevens zouden nooit mogen veranderen
In een wereld waarin gegevens stilletjes kunnen worden aangepast en geschiedenis kan worden herschreven, krijgt Mara de opdracht een zeldzaam tegen schrijven beveiligd USB-apparaat te vervoeren met informatie die absoluut niet mag veranderen. Het verhaal verkent hardwarematige schrijfbeveiliging, onveranderlijke gegevens en wat er gebeurt wanneer de waarheid zelf waardevol wordt juist omdat ze weigert te veranderen.
Mara Vale: Het model dat begon af te drijven
Een voorspellend systeem dat wordt vertrouwd om alles te kunnen voorzien begint subtiel onverenigbare toekomsten te produceren. Mara krijgt opdracht een fysieke USB-baseline af te leveren met een bekende, betrouwbare toestand van het model, maar ontdekt dat het corrigeren van een systeem dat door chaos wordt beïnvloed misschien alleen maar een nieuw uitgangspunt creëert.
Mara Vale: De air-gapped echo
Mara betreedt een faciliteit die fysiek van elk extern netwerk is losgekoppeld, maar toch blijft gevoelige informatie ontsnappen. Het spoor leidt naar elektromagnetische lekkage, emissies van machines en een verontrustend inzicht: een computer loskoppelen van het netwerk betekent niet noodzakelijk dat je hem ook loskoppelt van de natuurkunde.
Mara Vale is een fictieve cyberpunk-noirserie van GetUSB die echte technologische concepten via verhalen onderzoekt. De onderwerpen in de serie zijn geïnspireerd op legitieme discussies rond USB-beveiliging, firmwareaanvallen in BadUSB-stijl, hardwaretoeleveringsketens, controllerfirmware, schrijfbeveiliging, air-gapped systemen, elektromagnetische lekkage, AI-infrastructuur en gegevensintegriteit. De verhaallijn, technische thema’s en redactionele controle worden ontwikkeld door het GetUSB-team, waarbij AI-ondersteuning wordt gebruikt voor het verfijnen van de structuur en het ontwikkelen van visuele concepten.
