To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

Stellen Sie sich die Welt der Cybersicherheit wie ein riesiges, hochkarätiges Fitnessstudio vor, in dem die Geräte aus digitalen Fallen bestehen und das Training darin besteht, Dinge zu zerstören, um zu sehen, wie standhaft sie sind. In diesem Fitnessstudio gibt es ein beliebtes Spiel namens „Capture The Flag“ (CTF). Denken Sie an es wie eine digitale Schnitzeljagd gemischt mit einem Schlossknacker-Wettbewerb. Anstatt eine physische Flagge zu finden, die im Sandkasten vergraben ist, suchen Teams von Hackern nach versteckten Textzeichenfolgen, den sogenannten „Flags“, die in absichtlich fehlerhaften Computerprogrammen verborgen sind. Sie müssen herausfinden, wie das Programm kaputt ist, das Loch schließen, um andere zu stoppen, oder das Loch ausnutzen, um das Flag von ihren Rivalen zu stehlen. Es ist eine Art, zu lernen, wie man Computer schützt, indem man lernt, wie man sie bricht, wodurch langweilige Sicherheitslektionen in einen aufregenden, kompetitiven Sport verwandelt werden.

Seit zwei Jahrzehnten läuft eine Gruppe von Studenten und Lehrern einer Universität in Berlin, Deutschland, bekannt als ENOFLAG, durch dieses digitale Fitnessstudio. Sie begannen als kleines Team, das nur versuchte, bei einem lokalen Wettbewerb anzutreten, und haben über 20 Jahre hinweg beobachtet, wie sich das Spiel von einer kleinen Zusammenkunft von Freunden zu einem massiven globalen Phänomen entwickelt hat. Sie haben gesehen, wie die Werkzeuge raffinierter wurden, die Anzahl der Spieler explodierte und sich die Regeln des Spiels auf überraschende Weise verschoben haben.

Dieses Papier ist sowohl ihr „Zeitkapsel“ als auch ihr „Feldführer“. Die Autoren Jörg Schneider, Sebastian Neef und Sebastian Koch blicken auf 20 Jahre Organisation und Spiel dieser Wettbewerbe zurück, um uns zu zeigen, wie sich das Spiel entwickelt hat und was sie darüber gelernt haben, ein Team über zwei Jahrzehnte am Leben zu erhalten.

Vom kleinen Club zum globalen Stadion
Als ENOFLAG im Jahr 2006 startete, war die CTF-Welt ein ruhiges Viertel. Es gab nur etwa 20 bis 25 Teams, die an den größten Wettbewerben teilnahmen. Wenn man beitreten wollte, musste man sein eigenes Team von Grund auf neu aufbauen, da es nicht viele gab. Heute ist die Szene explodiert. Es ist mittlerweile normal, hunderte von Teams gleichzeitig kämpfen zu sehen. Die Autoren erklären, dass dieser Boom teilweise darauf zurückzuführen ist, dass das „Fitnessstudio“ in die Cloud umgezogen ist. In der Vergangenheit musste jedes Team seine eigenen Server und Kabel mieten, was schwierig und teuer war. Heute können Organisatoren einfach auf einen Knopf klicken, um hunderte virtuelle Maschinen in der Cloud zu erzeugen, was es für jeden einfach macht, bei der Party mitzumachen.

Die zwei Arten zu spielen
Das Papier hebt eine Verschiebung in der Art und Weise hervor, wie die Leute spielen. Vor zwanzig Jahren war der beliebteste Stil „Attack-Defense“. Stellen Sie sich ein Spiel vor, bei dem jedes Team sein eigenes Schloss (eine virtuelle Maschine) bekommt, das es verteidigen muss, während es gleichzeitig versucht, in die Burgen aller anderen einzubrechen. Es war intensiv, interaktiv und sehr schwer zu organisieren. Heute hat der „Jeopardy“-Stil die Oberhand gewonnen. Dies ist eher wie eine Standard-Quizshow oder ein Videospiel mit verschiedenen Levels. Man erhält eine Liste von Rätseln (wie das Knacken eines Codes oder das Finden eines Bugs in einer Website) und löst sie in seinem eigenen Tempo, um Punkte zu sammeln. Die Autoren legen nahe, dass dieser Stil gewinnt, weil er einfacher zu betreiben ist und nicht das komplexe, Echtzeit-Kämpfen des Attack-Defense-Modus erfordert.

Die Werkzeuge des Handwerks
Die Werkzeuge, die die Spieler verwenden, haben ein massives Upgrade erhalten. Damals, wenn man sehen wollte, was im Netzwerk passierte, nutzte man vielleicht ein einfaches Tool, das nur einen Datenstrom anzeigte, so als würde man einem Fluss beim Fließen zusehen. Heute nutzen Teams leistungsstarke, automatisierte Systeme, die den Datenverkehr analysieren und Angriffe mit der Geschwindigkeit eines Supercomputers starten können. Auch für die Leute, die die Wettbewerbe leiten, ist es einfacher geworden. In den frühen Tagen mussten Organisator das gesamte Scoreboard und das Management-System für das Spiel von Grund auf selbst bauen, wie den Bau einer Achterbahn aus Holz und Nägeln. Heute gibt es fertige Plattformen, die es jedem ermöglichen, ein Turnier in einem Wochenende aufzusetzen.

Das Mysterium der fehlenden Notizen
Eine interessante Änderung, die die Autoren bemerkt haben, ist, dass Spieler weniger ihrer Geheimnisse teilen. In der Vergangenheit schrieben Teams nach einem Wettbewerb detaillierte Anleitungen, sogenannte „Writeups“, die genau erklärten, wie sie die Rätsel gelöst hatten, und posteten diese online, damit alle daraus lernen konnten. Es war wie eine öffentliche Bibliothek der Lösungen. Jetzt beobachten die Autoren, dass diese Anleitungen von öffentlichen Seiten verschwinden. Stattdessen werden sie in privaten Chatgruppen geteilt oder gar nicht geteilt. Das bedeutet, dass die „Bibliothek“ leerer wird, was es für neue Spieler schwieriger macht, von den alten Meistern zu lernen.

Die Roboter-Revolution
Die dramatischste Änderung, die das Papier diskutiert, ist die Ankunft der Künstlichen Intelligenz (KI). Die Autoren stellen fest, dass KI-Agenten die Machbarkeit demonstriert haben, CTFs zu gewinnen, indem sie Herausforderungen unterschiedlicher Schwierigkeitsgrade und aus allen Kategorien lösen. Das bedeutet, dass für menschliche Teams die Chancen zu gewinnen „diminishingly small“ (immer kleiner werden), da die Geschwindigkeit und die Fähigkeiten der KI die eines einzelnen Spielers übertreffen. Das Papier legt nahe, dass dies das Spiel für immer verändert. Teams sind nun gezwungen, KI zu nutzen, nur um Schritt zu halten, sonst werden sie verlieren. Dies schafft ein neues Problem: Wenn das Spiel zu einem Rennen wird, wer die teuersten KI-Abonnements besitzt, hört es auf, ein Test menschlicher Geschicklichkeit und Lernfähigkeit zu sein. Die Autoren sorgen sich, dass dies dazu führen könnte, dass Studenten das Interesse verlieren, weil die Kluft zwischen einem gut finanzierten Team mit einer Super-KI und einem Studententeam zu groß wird.

Was sie gelernt haben, um ein Team am Leben zu erhalten
Schließlich bietet das Papier Ratschläge, wie man ein Team wie ENOFLAG über 20 Jahre am Leben erhält. Das Geheimnis ist nicht nur, die besten Spieler zu haben; es ist die Gemeinschaft. Sie fanden heraus, dass regelmäßige wöchentliche Treffen, eine freundliche Atmosphäre für Anfänger und eine Mischung aus Studenten und Lehrern entscheidend sind. Sie lernten auch, dass es hilft, einen offiziellen Clubstatus zu haben, da dies das Team schützt, wenn Professoren in den Ruhestand gehen oder Universitätsgebäude wechseln. Sie betonen, dass das Ziel immer das Lernen und der Spaß sein sollte, nicht nur das Gewinnen von Preisen. Wenn ein Team zu sehr darauf fokussiert ist, „elitär“ zu sein, verliert es das neue Blut, das zum Überleben nötig ist.

Kurz gesagt erzählt dieses Papier die Geschichte eines digitalen Spiels, das von einem kleinen Experiment zu einem globalen Sport heranwuchs. Es zeigt uns, dass sich zwar die Werkzeuge und die Spieler geändert haben, die Kernherausforderung aber dieselbe bleibt: Wie behalten wir den Lernwillen und den Spaß bei, wenn die Roboter anfangen, das Spiel besser zu spielen als wir? Die Autoren schlagen vor, dass die Community neue Wege finden muss, um zu spielen, die den Menschen in der Fahrersitz lassen, um sicherzustellen, dass das Spiel ein Ort für Bildung und Entdeckung bleibt und nicht nur ein Wettbewerb darum, wer die beste KI bezahlen kann.