Las cajas estaban selladas desde la fábrica. Eso fue lo primero que todos entendieron mal.
Infección en la cadena de suministro
La gente confía en los sellos.
Confía en el plástico termoencogible, los números de serie, los hologramas, las cintas antimanipulación, las láminas en relieve, las fibras microscópicas, los manifiestos cifrados, los registros firmados de la cadena de custodia y esas pequeñas etiquetas diseñadas para romperse solas si alguien las mira con demasiada agresividad.
Dale a la gente suficientes pruebas de que algo no ha sido tocado y, tarde o temprano, dejará de preguntarse si ya era seguro antes de que alguien pudiera tocarlo.
Ese fue el error.
El mío también, durante unos once minutos.
El envío me esperaba en el Muelle Nueve, bajo el distrito de carga oriental: cuarenta y ocho estuches negros mate apilados dentro de una caja de transporte climatizada, rodeados de tanta autenticación como para hacer sentir querido a un auditor del gobierno.
Origen de fábrica confirmado.
Entrega al transportista confirmada.
Integridad de los sellos confirmada.
Cantidad de dispositivos confirmada.
Cada marca de tiempo coincidía.
Cada identificador coincidía.
Cada caja se veía exactamente igual que todas las demás.
Que suele ser justo cuando empiezo a ponerme nerviosa.
Mi cliente era Helix Meridian, una empresa de infraestructura financiera con el tipo de presupuesto de seguridad capaz de generar su propio clima.
Gestionaban sistemas de liquidación, servicios de identidad institucional y suficiente tráfico automatizado de transacciones como para que detenerlos durante diez minutos probablemente terminara convertido en un capítulo de algún libro de economía.
No confiaban en las redes.
No confiaban en la nube.
Apenas confiaban en sus propios empleados.
Me cayeron bien de inmediato.
Las unidades estaban destinadas a una instalación segura al otro lado de la ciudad. Cuarenta y ocho dispositivos USB idénticos que contenían un entorno interno de recuperación firmado, utilizado para dar servicio a sistemas aislados que se mantenían deliberadamente apartados de la red corporativa.
Sin aprovisionamiento remoto.
Sin enlace de descarga.
Sin actualización inalámbrica.
Solo medios físicos.
Eso era lo que debía hacerlos más seguros.
Mis instrucciones eran inusualmente específicas.
NO ABRIR.
NO CONECTAR.
NO SUSTITUIR.
ENTREGAR SELLADO DE FÁBRICA.
Nada complicado.
Recoger la caja.
Verificar los sellos.
Llevarla al otro lado de la ciudad.
Entregársela a alguien cuyo nombre yo no debía conocer.
Cobrar.
Los trabajos sencillos me hacen desconfiar.
Los trabajos complicados te dicen dónde está el peligro.
Los sencillos dejan que el peligro elija.
Firmé la transferencia de custodia a las 21:16.
Tres minutos después empezó a llover.
Lluvia de verdad, que se había vuelto lo bastante cara en la ciudad como para que la gente la fotografiara.
Cargué la caja en el compartimento trasero de mi transporte y vi desaparecer el Muelle Nueve detrás de columnas de concreto brillantes con los reflejos de la publicidad.
Nada me siguió.
Nada extraño apareció en el escaneo pasivo.
El planificador de ruta mostraba verde en los seis distritos.
Lo ignoré y tomé otra ruta.
Costumbre de mensajera.
O paranoia.
La diferencia depende sobre todo de si tenías razón.
Once minutos después de empezar el trayecto, la caja informó de una anomalía en la cadena de custodia.
No una alarma.
No exactamente.
Solo una discrepancia.
La caja contenía cuarenta y ocho dispositivos registrados individualmente y el manifiesto contenía cuarenta y ocho identidades de dispositivo.
Pero el lector pasivo de inventario había visto cuarenta y nueve.
Volví a mirar la pantalla.
Cuarenta y ocho esperados.
Cuarenta y nueve detectados.
Luego cuarenta y ocho.
Entré en el oscuro nivel inferior de un estacionamiento donde la mitad de las luces llevaban tanto tiempo rotas que ya formaban parte de la arquitectura.
Apagué el transporte.
Ejecuté el escaneo otra vez.
Cuarenta y ocho.
Otra vez.
Cuarenta y ocho.
Me quedé mirando la caja.
Las máquinas fallan.
Los lectores cuentan mal.
Los entornos inalámbricos generan ruido.
La gente que sobrevive en mi oficio no trata cada número extraño como si fuera una revelación divina.
Pero tampoco lo ignora.
Revisé el sello exterior.
Intacto.
La tira de custodia había sido colocada en la fábrica y registrada criptográficamente antes de que el envío entrara en tránsito.
Su patrón microscópico de fractura coincidía con la imagen almacenada en el manifiesto.
Nadie había abierto la caja.
Revisé los paquetes individuales a través del panel transparente de inspección.
Las cuarenta y ocho cajas tenían sellos antimanipulación serializados.
Todos intactos.
Todos auténticos.
Eso debería haberme hecho sentir mejor.
No lo hizo.
Ejecuté un escaneo pasivo de inventario más profundo.
Esta vez el recuento se mantuvo en cuarenta y ocho, pero una entrada mostró durante un instante el identificador de una familia de controladores que no correspondía.
Mismo producto.
Misma capacidad.
Misma especificación externa.
Distinto linaje de controlador.
Solo por un instante.
Luego desapareció.
Me quedé allí sentada escuchando cómo la lluvia golpeaba el concreto en algún punto más allá del estacionamiento.
Hay gente que cree que el hardware es sencillo porque puede sostenerlo en la mano.
El software parece abstracto.
Las redes parecen invisibles.
El hardware parece sólido.
Real.
Concreto.
Una memoria USB es plástico, metal, silicio y un conector que puedes ver con tus propios ojos.
Eso tranquiliza.
La tranquilidad es peligrosa.
Dentro de casi todos los dispositivos USB modernos hay un controlador.
No solo memoria.
Un controlador.
Un pequeño procesador responsable de decidir cómo habla el dispositivo con la computadora, cómo se administra la memoria flash y, más importante aún, qué cree la computadora host que es realmente ese dispositivo.
La gente ve una memoria USB.
La computadora ve lo que el controlador le diga que vea.
Almacenamiento.
Teclado.
Interfaz de red.
Más de una cosa al mismo tiempo.
La carcasa de plástico no tiene voto.
El firmware sí.
Sabía lo suficiente sobre las investigaciones de BadUSB como para entender que la parte desagradable no eran los archivos corruptos.
Los archivos se pueden escanear.
Los archivos se pueden verificar mediante hash.
Los archivos se pueden eliminar.
El comportamiento del controlador vive más abajo.
Por debajo de la parte que la mayoría de la gente cree estar comprobando.
Si alguien había cambiado el firmware dentro de uno de esos dispositivos, la unidad podía parecer completamente normal hasta el momento exacto en que decidiera dejar de serlo.
Llamé al cliente.
No respondió.
Eso no era extraño.
Helix Meridian hacía pasar las comunicaciones con los mensajeros a través de un intermediario precisamente para que los mensajeros no pudieran llamar directamente a quienes recibían envíos sensibles.
Compartimentación.
Todos saben menos.
Todos se sienten más seguros.
Hasta que la persona que sabe menos es la única que está mirando el problema.
Envié un código prioritario de excepción.
La respuesta llegó doce segundos después.
SELLOS VERIFICADOS.
MANIFIESTO VERIFICADO.
CONTINUAR CON LA ENTREGA.
Envié el informe de anomalía.
La respuesta llegó más rápido.
NO ABRIR EL ENVÍO.
Fue entonces cuando supe que alguien tenía miedo.
Volví a mirar la caja.
Mi contrato era claro.
Sellado en fábrica.
Entregado sin abrir.
Cadena de custodia intacta.
El trabajo de un mensajero no consiste en mejorar la carga.
Ni inspeccionarla.
Ni juzgarla.
Ni decidir si el remitente y el destinatario están tomando buenas decisiones.
Movemos cosas.
Ese es el código.
Los códigos son maravillosos hasta que obedecer uno se convierte en la cosa más estúpida que puedes hacer.
Abrí la caja.
El sello de custodia se volvió rojo en el instante en que se separó.
Registro permanente de ruptura.
Marca de tiempo generada.
Mis credenciales se adjuntaron automáticamente.
En algún lugar dentro de Helix Meridian, un sistema de seguridad acababa de escribir mi nombre junto a las palabras acceso no autorizado.
Bien.
Al menos alguien sabría por dónde empezar a buscarme.
Las cajas individuales estaban acomodadas en seis filas de ocho.
Limpias.
Perfectas.
Casi ceremoniales.
Saqué el dispositivo asociado con la lectura anómala del controlador.
Caja treinta y uno.
Sello de fábrica intacto.
Número de serie correcto.
Número de lote correcto.
Calidad de impresión correcta.
Hasta la pequeña abrasión en la esquina inferior aparecía en la fotografía del empaque tomada en la fábrica.
Nadie había cambiado la caja.
Nadie la había abierto.
Rompí el sello.
Dentro había una memoria USB idéntica a las demás.
Cuerpo de grafito mate.
Número de serie marcado con láser.
Sin tapa desmontable.
Nada teatral.
El hardware malicioso casi nunca parece malicioso.
Ese es precisamente el punto.
Llevaba conmigo un pequeño kit de aislamiento exactamente para el tipo de situación que nadie espera que encuentre un mensajero.
Alimentado por batería.
Sin radio.
Sin credenciales persistentes.
Nada conectado a nada que me importara.
Una máquina diseñada para ser sacrificada.
Conecté la unidad.
Apareció normalmente.
Capacidad correcta.
Identidad de volumen correcta.
Imagen de recuperación firmada presente.
Los archivos coincidían con el manifiesto.
Todos los hashes coincidían.
Durante medio segundo me sentí estúpida.
Entonces el host registró otra función USB.
Apareció brevemente, se identificó, desapareció y no dejó casi nada detrás.
No almacenamiento.
Algo más.
El tipo de comportamiento que una unidad normal de recuperación no tenía ninguna razón para mostrar.
La desconecté.
La volví a conectar.
Esta vez no ocurrió nada.
Dispositivo de almacenamiento normal.
Perfectamente aburrido.
Lo cual era peor.
El código malicioso malo repite errores.
El buen código malicioso sabe cuándo la repetición empieza a convertirse en evidencia.
Abrí una segunda caja.
Luego una tercera.
Misma familia de controladores.
Misma revisión de firmware aprobada según los campos de identidad externos.
Distinto comportamiento interno.
Al llegar a la caja cinco, tenía las manos frías.
No miedo.
Reconocimiento.
El envío no había sido manipulado.
El envío había sido fabricado así.
Volví a llamar al intermediario.
Esta vez alguien respondió.
“Rompió los sellos.”
“Qué gusto escuchar su voz también.”
“Su contrato ha terminado.”
“Probablemente.”
“No entregue el envío.”
Sonreí.
Cinco minutos antes me habían ordenado continuar.
Es curioso lo que la evidencia le hace a la confianza.
“Necesito los registros de producción.”
“Usted es mensajera.”
“Esta noche soy ambiciosa.”
Silencio.
Luego:
“¿Dónde está?”
“Si lo supiera, me decepcionaría.”
Otro silencio.
Más largo esta vez.
“Los dispositivos vinieron directamente del fabricante aprobado.”
“Lo sé.”
“Sin logística de terceros.”
“Lo sé.”
“Sin reempaque.”
“Lo sé.”
“Entonces alguien los interceptó antes de la recogida.”
“No.”
Miré las cajas abiertas esparcidas por el suelo.
“Ese es precisamente el problema.”
A la gente le gusta la idea de la interceptación porque le da un lugar al ataque.
Un muelle de carga.
Un almacén.
Un camión.
Un funcionario de aduanas corrupto.
Un mensajero comprometido.
Encuentra el punto donde el objeto legítimo se volvió ilegítimo y puedes dibujar un círculo alrededor del problema.
A la gente de seguridad le encantan los círculos.
Este problema no tenía ninguno.
Cada registro de empaque era válido desde el momento en que los dispositivos habían salido del ensamblaje final.
Así que retrocedí.
Lote del controlador.
Marca de tiempo del ensamblaje.
Versión del firmware.
Línea de producción.
Estación de programación.
Resultado del control de calidad.
El intermediario abrió de mala gana los registros, una capa tras otra, mientras me recordaba cada treinta segundos que técnicamente yo ya no trabajaba para ellos.
Le recordé que técnicamente todavía tenía en mi poder cuarenta y ocho dispositivos diseñados para entrar en sus sistemas más sensibles.
Eso mejoró la cooperación.
El lote de controladores había entrado en producción dieciocho días antes.
Ocho mil unidades.
Proveedor aprobado.
Silicio aprobado.
Paquete de firmware aprobado.
Firma digital válida.
Auditoría de fabricación limpia.
Prueba automatizada superada.
Todas las casillas verdes que un departamento de seguridad podría pedir.
Entonces noté las marcas de tiempo.
El paquete de firmware había sido firmado seis minutos antes de que el servidor de producción registrara su recepción.
Normal.
Pero el hash registrado por la estación de fabricación había quedado anotado dos segundos antes de que el archivo existiera en el servidor.
Las marcas de tiempo imposibles no son magia.
Normalmente significan que alguien está ocultando una secuencia.
Pedí los registros de la estación de fabricación.
No disponibles.
Pedí la copia de seguridad.
No disponible.
Pregunté por qué.
El intermediario dejó de responder.
Eso era respuesta suficiente.
Salí del estacionamiento.
No con la caja.
Distribuí las unidades entre tres contenedores blindados separados y dejé el embalaje original de transporte donde estaba.
Quien estuviera rastreando la caja podía disfrutar del estacionamiento.
Me llevé un dispositivo comprometido.
Veinte minutos después estaba frente a un edificio del antiguo distrito industrial que oficialmente no producía productos electrónicos desde hacía nueve años.
El letrero sobre la entrada todavía mostraba el logotipo descolorido de una empresa que había sido comprada, renombrada, dividida, reorganizada y finalmente convertida en cuatro subsidiarias propiedad de una holding registrada en algún lugar cálido y jurídicamente conveniente.
Dentro, las luces estaban encendidas.
La fabricación nunca desaparece de verdad.
Simplemente le cambian el nombre suficientes veces hasta que nadie sabe en la fábrica de quién está parado.
Un técnico se reunió conmigo detrás de un vidrio reforzado.
Unos cincuenta y tantos.
Uniforme gris.
Sin credencial de seguridad visible.
Miró la unidad que llevaba en la mano e inmediatamente dejó de mirarme a mí.
Eso fue útil.
“¿De dónde salió esto?” pregunté.
“No lo sé.”
“Todavía ni siquiera lo ha mirado.”
“No sé nada.”
“Mejor respuesta.”
Se movió hacia los controles de la puerta.
Puse la unidad contra el vidrio.
“Ocho mil.”
Su mano se detuvo.
Ahí estaba.
No culpa.
Miedo.
“¿Cuántas se enviaron?” pregunté.
“Tiene que irse.”
“¿Cuántas?”
Miró más allá de mí, hacia la calle.
“Todas.”
La habitación de repente pareció más pequeña.
“¿Quién cambió el firmware?”
“Nadie lo cambió.”
Otra vez esa respuesta.
La que nadie quería escuchar.
“Explíquese.”
Se acercó al vidrio.
“El paquete pasó por el proceso normal de liberación.”
“¿Firmado?”
“Sí.”
“¿Validado?”
“Sí.”
“¿Aprobado para producción?”
“Sí.”
“¿Y malicioso?”
Tragó saliva.
“Sí.”
Hay brechas en las que un atacante entra por la fuerza en un sistema.
Y luego hay brechas en las que el propio sistema autoriza al atacante.
El segundo tipo dura más.
El proceso de firma del firmware no había sido evitado.
El firmware malicioso había pasado directamente por él.
Credenciales válidas.
Aprobación válida.
Build válida.
Firma válida.
El equipo de fabricación no había sido hackeado para hacer algo no autorizado.
Se le había ordenado hacer exactamente aquello para lo que había sido diseñado.
Programar controladores.
Verificarlos.
Enviarlos.
La infección no estaba fuera de la cadena de suministro.
Estaba usando la cadena de suministro.
Esa distinción mantendría a mucha gente empleada durante años.
Suponiendo que sobrevivieran a la reunión.
“¿Quién aprobó el firmware?” pregunté.
“Tres personas.”
“Nombres.”
“Dos están muertas.”
Esperé.
“La tercera nunca existió.”
Casi me reí.
No porque fuera gracioso.
Sino porque a veces un problema llega a ser tan perfectamente malo que se cuela un poco de admiración.
Un empleado sintético.
Historial de credenciales.
Evaluaciones de desempeño.
Registros de nómina.
Credenciales de acceso.
Certificados de capacitación.
Años de historia organizacional fabricada envueltos alrededor de una persona que jamás había respirado.
Los atacantes no habían comprometido a un empleado.
Habían insertado uno en la empresa.
Para cuando alguien mirara hacia atrás, las aprobaciones parecían rutinarias porque quien aprobaba llevaba años pareciendo rutinario.
El técnico se frotó la cara con ambas manos.
“Pensábamos que el problema era la estación.”
“No lo es.”
“¿El servidor de firmas?”
“No.”
“Entonces, ¿qué?”
Miré a través del vidrio las filas de equipos de fabricación oscuros detrás de él.
Máquinas esperando pacientemente las órdenes del día siguiente.
Máquinas que no sabían distinguir un firmware bueno de uno malo.
Solo aprobado de no aprobado.
“Confiaron en el proceso.”
Me miró fijamente.
“Se supone que debes confiar en el proceso.”
“Para eso están los procesos.”
Volví a guardar la unidad en el bolsillo.
“Y eso mismo es lo que los hace útiles para alguien que consigue entrar lo bastante temprano.”
Mi comunicador vibró.
Helix Meridian.
Esta vez, canal directo.
Sin intermediario.
Cuando seguridad deja de proteger hasta las presentaciones, las cosas se han puesto muy mal.
Apareció el rostro de un hombre.
Sin nombre.
Sin título.
No lo necesitaba.
“Señorita Vale.”
“Eso es desafortunado.”
“¿Qué cosa?”
“Que usted sepa mi nombre.”
Lo ignoró.
“Necesitamos que el envío se entregue inmediatamente.”
“No.”
Su expresión apenas cambió.
“Entendemos que ha identificado una anomalía de firmware.”
“Entienden lo suficiente como para dejar de llamarla anomalía.”
“Nuestros ingenieros necesitan acceso físico.”
“Manden ingenieros.”
“Los dispositivos deben estar dentro de nuestra instalación de contención.”
“Ahí es donde iban desde el principio.”
Hizo una pausa.
“Sí.”
Algo en la forma en que lo dijo me molestó.
No la palabra.
El momento.
Miré la unidad comprometida que tenía en la mano.
Luego al técnico.
Luego de nuevo al director de seguridad.
“¿Para qué sistemas estaban destinados?”
“Información restringida.”
“Entonces disfrute de su malware restringido.”
Se le tensó la mandíbula.
“Terminales de recuperación.”
“¿Conectados a producción?”
“Aislados.”
“¿Conectados durante mantenimiento?”
Silencio.
Ahí estaba.
Air-gapped.
Segmentado.
Aislado.
Palabras que usa la gente de seguridad hasta que alguien tiene que mover datos entre esos sistemas.
¿Y qué usan cuando no se permiten redes?
Medios físicos.
El objeto de confianza.
La cosa dentro de la caja sellada.
Sentí cómo todo el ataque se desplegaba hacia atrás en mi cabeza.
El atacante no necesitaba penetrar el perímetro de Helix Meridian.
No necesitaba credenciales VPN robadas.
No necesitaba un zero-day contra un servidor expuesto a Internet.
No necesitaba a alguien lo bastante tonto como para abrir un archivo adjunto.
Solo necesitaba que Helix Meridian siguiera su propia política de seguridad.
Usar hardware aprobado.
De un proveedor aprobado.
Entregado mediante una cadena aprobada.
A un sistema aislado.
Cuanto más estrictamente se aplicaba la política, con mayor fiabilidad llegaban los dispositivos infectados a su objetivo.
Hermoso.
Terrible.
Casi elegante.
“¿Cuántos envíos anteriores?” pregunté.
El director no respondió.
Volví a preguntar.
“¿Cuántos?”
“Esta conversación se refiere al envío actual.”
“No. No se refiere a eso.”
Apartó la mirada de la cámara.
Solo una fracción de segundo.
Había alguien más en la habitación.
Alguien cuya reacción no quería que apareciera en pantalla.
Fue entonces cuando lo supe.
Cuarenta y ocho dispositivos no eran un problema lo bastante grande como para asustarlo de esa manera.
Cuarenta y ocho dispositivos eran evidencia.
Salí de la fábrica sin despedirme.
El técnico no intentó detenerme.
Afuera, la lluvia se había reducido a una fina neblina que hacía que cada farola pareciera cansada.
Recuperé el resto del envío y conduje hacia Helix Meridian.
No porque me lo hubieran ordenado.
Porque para entonces las cajas eran lo menos peligroso de toda la ciudad.
Su instalación de contención ocupaba seis niveles subterráneos bajo un edificio sin nombre corporativo.
Tres puntos de control se abrieron antes de que llegara al área de carga.
En el cuarto, nadie preguntó por qué estaba roto el sello principal del envío.
Ya lo sabían.
Un equipo de seguridad esperaba detrás de un tabique de vidrio.
Sin armas visibles.
No hacían falta.
El tipo de personas que estaban allí tenía departamentos enteros dedicados a las consecuencias.
El director de la llamada vino a recibirme en persona.
Más alto de lo que esperaba.
También más viejo.
Miró la caja abierta.
Luego me miró a mí.
“Comprometió la cadena de custodia.”
“De nada.”
No sonrió.
Nadie a su alrededor lo hizo tampoco.
Público difícil.
Coloqué una de las unidades abiertas sobre la mesa de inspección.
“El firmware del controlador está comprometido. El empaque es auténtico. El número de serie del dispositivo es auténtico. El sello de fábrica era auténtico. La firma de producción parece válida.”
“Lo sabemos.”
Lo miré.
“¿Desde cuándo?”
No respondió.
Detrás del vidrio, los técnicos comenzaron a trasladar las cajas sin abrir a contenedores aislados de evidencia.
Nadie parecía sorprendido.
Eso me molestó más que cualquier otra cosa aquella noche.
“Este no es el primer envío.”
No era una pregunta.
El director miró las cuarenta y ocho cajas.
Luego me miró a mí.
Por primera vez desde que lo conocía, la confianza desapareció de su rostro.
“No.”
Una palabra.
Suficiente.
Miré a través del vidrio la instalación segura detrás de nosotros.
Filas de terminales.
Estaciones de servicio.
Sistemas de recuperación.
Máquinas deliberadamente desconectadas del mundo exterior porque alguien había decidido que el aislamiento físico era más seguro.
Y en algún lugar dentro de esas salas había puertos USB.
Esperando.
Pensé en cada sello intacto que había revisado en el Muelle Nueve.
Cada número de serie coincidente.
Cada resultado verde de verificación.
Cada pequeño fragmento de evidencia que me decía que el envío había recorrido exactamente el camino que todos esperaban.
Esa era la parte en la que no podía dejar de pensar.
Nadie había interceptado la carga.
Nadie había abierto las cajas.
Nadie había reemplazado las unidades.
Nadie había roto la cadena de suministro.
La habían utilizado.
El director se puso a mi lado.
“Tenemos equipos revisando implementaciones anteriores.”
“¿Hasta cuándo hacia atrás?”
Dudó.
“Catorce meses.”
Me volví hacia él.
“¿Mismo proveedor?”
“Sí.”
“¿Misma familia de controladores?”
“Todavía no lo sabemos.”
“¿Cuántos dispositivos?”
No respondió.
No hacía falta.
La gente piensa que la ciberseguridad consiste en mantener fuera las cosas malas.
Firewalls.
Contraseñas.
Cifrado.
Air gaps.
Controles de acceso.
Todo útil.
Todo necesario.
Pero nada de eso ayuda demasiado cuando aquello que llevas deliberadamente a través de la puerta ya está trabajando para otra persona.
Caminé hacia la salida.
El director me llamó.
“Vale.”
Me detuve.
“Hizo bien en abrir el envío.”
Me volví a mirarlo.
“Póngalo por escrito.”
Por primera vez en toda la noche, alguien casi sonrió.
Afuera, la mañana empezaba a diluir las luces de la ciudad.
Los camiones de reparto atravesaban las intersecciones.
Los drones de carga despegaban desde los tejados.
Las fábricas cambiaban de turno.
Millones de componentes pasaban por millones de manos camino de personas que abrirían cajas limpias, inspeccionarían sellos perfectos y asumirían que la parte difícil ya había terminado.
Quizá la mayoría tuviera razón.
Eso es lo incómodo de la confianza.
Tiene que funcionar la mayor parte del tiempo o nadie la usaría.
La parte peligrosa es la excepción.
Un archivo aprobado.
Una credencial de confianza.
Un controlador programado antes de que alguien pensara en cuestionar lo que se le había ordenado hacer.
Una caja sellada.
Antes pensaba que las señales de manipulación te decían si algo había sido comprometido.
Ahora sabía más.
Un sello puede decirte si alguien abrió la caja.
No puede decirte si necesitaba hacerlo.
Todos se preocupan por lo que pasa después de que se rompe el sello.
Nadie pregunta quién selló la caja.
Más historias de Mara Vale
Mara Vale es una mensajera cyberpunk ficticia utilizada por GetUSB para explorar tecnología real mediante historias sobre hardware, integridad de datos, sistemas de inteligencia artificial y esos lugares incómodos donde la seguridad física se encuentra con la confianza digital. Si disfrutaste Infección en la cadena de suministro, estas historias anteriores continúan la serie:
Mara Vale: Algunos datos nunca deberían cambiar
En un mundo donde los registros pueden editarse discretamente y la historia puede reescribirse, Mara recibe el encargo de transportar un raro dispositivo USB protegido contra escritura que contiene información que no puede cambiar bajo ninguna circunstancia. La historia explora la protección contra escritura por hardware, los datos inmutables y lo que ocurre cuando la verdad misma adquiere valor precisamente porque se niega a cambiar.
Mara Vale: El modelo que empezó a desviarse
Un sistema predictivo en el que se confía para anticiparlo todo comienza a producir futuros sutilmente incompatibles. A Mara se le pide entregar una línea base física en USB que contiene un estado conocido y confiable del modelo, solo para descubrir que corregir un sistema influenciado por el caos quizá simplemente cree otro punto de partida.
Mara Vale: El eco del air gap
Mara entra en una instalación físicamente desconectada de todas las redes externas y, aun así, la información sensible sigue escapando. El rastro conduce a fugas electromagnéticas, emisiones de las máquinas y una inquietante conclusión: desconectar una computadora de la red no significa necesariamente desconectarla de la física.
Mara Vale es una serie ficticia de cyberpunk noir creada por GetUSB para explorar conceptos tecnológicos reales mediante la narrativa. Los temas que aparecen en la serie están inspirados en debates legítimos sobre seguridad USB, ataques de firmware al estilo BadUSB, cadenas de suministro de hardware, firmware de controladores, protección contra escritura, sistemas air-gapped, fugas electromagnéticas, infraestructura de inteligencia artificial e integridad de datos. La dirección de las historias, los temas técnicos y la supervisión editorial son desarrollados por el equipo de GetUSB, con apoyo asistido por inteligencia artificial para refinar la estructura y generar conceptos visuales.
