To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

Imagina el mundo de la ciberseguridad como un gimnasio gigante de alto riesgo donde el equipo está hecho de trampas digitales y el entrenamiento consiste en romper cosas para ver cómo resisten. En este gimnasio, hay un juego popular llamado "Capture The Flag" (CTF). Piensa en esto como una búsqueda del tesoro digital mezclada con un concurso de forzar cerraduras. En lugar de buscar una bandera física enterrada en un arenero, equipos de hackers buscan cadenas de texto ocultas llamadas "flags" escondidas dentro de programas informáticos intencionadamente defectuosos. Tienen que descubrir cómo está roto el programa, reparar el agujero para evitar que otros lo usen, o explotar el agujero para robar la bandera de sus rivales. Es una forma de aprender a proteger las computadoras aprendiendo cómo romperlas, convirtiendo las aburridas lecciones de seguridad en un emocionante deporte competitivo.

Durante las últimas dos décadas, un grupo de estudiantes y profesores de una universidad en Berlín, Alemania, conocido como ENOFLAG, ha estado corriendo por este gimnasio digital. Comenzaron como un pequeño equipo que solo intentaba presentarse a un concurso local, pero a lo largo de 20 años, han visto cómo el juego ha cambiado de ser una pequeña reunión de amigos a un fenómeno global masivo. Han visto cómo las herramientas se han vuelto más sofisticadas, cómo el número de jugadores ha explotado y cómo las reglas del juego han cambiado de formas sorprendentes.

Este documento es su "cápsula del tiempo" y su "guía de campo" todo en uno. Los autores, Jörg Schneider, Sebastian Neef y Sebastian Koch, miran hacia atrás a 20 años de organizar y jugar estos concursos para contarnos cómo ha evolucionado el juego y qué han aprendido sobre cómo mantener vivo a un equipo durante dos décadas.

De un pequeño club a un estadio global
Cuando ENOFLAG comenzó en 2006, el mundo de los CTF era un vecindario tranquilo. Solo había entre 20 y 25 equipos jugando en los concursos más grandes. Si querías unirte, tenías que construir tu propio equipo desde cero porque no había muchos alrededor. Hoy en día, la escena ha explotado. Ahora es normal ver cientos de equipos compitiendo a la vez. Los autores explican que este auge se debe en parte a que el "gimnasio" se ha trasladado a la nube. En el pasado, cada equipo tenía que alquilar sus propios servidores y cables, lo cual era difícil y costoso. Ahora, los organizadores pueden simplemente hacer clic en un botón para generar cientos de máquinas virtuales en la nube, facilitando que cualquiera se una a la fiesta.

Las dos formas de jugar
El documento destaca un cambio en cómo la gente juega. Hace veinte años, el estilo más popular era el "Attack-Defense" (Ataque y Defensa). Imagina un juego donde cada equipo tiene su propio castillo (una máquina virtual) que deben defender mientras intentan simultáneamente irrumpir en los castillos de todos los demás. Era intenso, interactivo y muy difícil de organizar. Hoy en día, el estilo "Jeopardy" ha tomado el control. Esto es más parecido a un concurso de preguntas estándar o a un videojuego con niveles. Recibes una lista de acertijos (como descifrar un código o encontrar un error en un sitio web) y los resuelves a tu propio ritmo para ganar puntos. Los autores sugieren que este estilo está ganando porque es más fácil de ejecutar y no requiere la compleja lucha en tiempo real del modo Ataque y Defensa.

Las herramientas del oficio
Las herramientas que usan los jugadores han recibido una mejora masiva. En aquellos tiempos, si querías ver qué estaba pasando en la red, podías usar una herramienta simple que solo te mostraba un flujo de datos, como observar un río fluir. Hoy en día, los equipos utilizan sistemas potentes y automatizados que pueden analizar el tráfico y lanzar ataques con la velocidad de una supercomputadora. Para las personas que organizan los concursos, también se ha vuelto más fácil. En los primeros días, los organizadores tenían que construir todo el sistema de puntuación y gestión del juego desde cero, como construir una montaña rusa con madera y clavos. Ahora, existen plataformas ya preparadas que permiten a cualquiera configurar un concurso en un fin de semana.

El misterio de las notas perdidas
Un cambio interesante que los autores notaron es que los jugadores están compartiendo menos sus secretos. En el pasado, después de un concurso, los equipos escribían guías detalladas llamadas "writeups" explicando exactamente cómo resolvieron los acertijos, y las publicaban en línea para que todos aprendieran de ellas. Era como una biblioteca pública de soluciones. Ahora, los autores observan que estas guías están desapareciendo de los sitios públicos. En su lugar, se comparten en grupos de chat privados o no se comparten en absoluto. Esto significa que la "biblioteca" se está quedando vacía, lo que dificulta que los nuevos jugadores aprendan de los maestros antiguos.

La revolución de los robots
El cambio más dramático que analiza el documento es la llegada de la Inteligencia Artificial (IA). Los autores señalan que los agentes de IA han demostrado la viabilidad de ganar CTFs resolviendo desafíos de diversas dificultades y de todas las categorías. Esto significa que, para los equipos humanos, las posibilidades de ganar se están volviendo "diminutas" porque la velocidad y las capacidades de la IA superan a un solo jugador. El documento sugiere que esto está cambiando el juego para siempre. Los equipos ahora se ven obligados a usar la IA solo para mantenerse al día, o perderán. Esto crea un nuevo problema: si el juego se convierte en una carrera para ver quién tiene las suscripciones de IA más caras, deja de ser una prueba de habilidad humana y aprendizaje. Los autores temen que esto pueda hacer que los estudiantes pieran el interés porque la brecha entre un equipo bien financiado con una super-IA y un equipo de estudiantes se está volviendo demasiado amplia.

Lo que aprendieron sobre mantener vivo a un equipo
Finalmente, el documento ofrece algunos consejos sobre cómo mantener vivo a un equipo como ENOFLAG durante 20 años. El secreto no es solo tener a los mejores jugadores; es la comunidad. Descubrieron que tener reuniones semanales regulares, un ambiente amigable para los principiantes y una mezcla de estudiantes y profesores es crucial. También aprendieron que tener un estatus de club oficial ayuda, porque protege al equipo cuando los profesores se jubilan o los edificios universitarios cambian. Enfatizan que el objetivo siempre debe ser aprender y divertirse, no solo ganar premios. Si un equipo se enfoca demasiado en ser "élite", pierde la sangre nueva necesaria para sobrevivir.

En resumen, este documento cuenta la historia de un juego digital que pasó de ser un pequeño experimento a un deporte global. Nos muestra que, aunque las herramientas y los jugadores han cambiado, el desafío central sigue siendo el mismo: ¿cómo seguimos aprendiendo y divirtiéndonos cuando los robots están empezando a jugar mejor que nosotros? Los autores sugieren que la comunidad necesita inventar nuevas formas de jugar que mantengan a los humanos al mando, asegurando que el juego siga siendo un lugar para la educación y el descubrimiento, no solo un concurso de quién puede permitirse la mejor IA.