To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

Imaginez le monde de la cybersécurité comme une immense salle de sport à enjeux élevés, où l'équipement est composé de pièges numériques et où l'entraînement consiste à casser des choses pour voir comment elles résistent. Dans cette salle de sport, il existe un jeu populaire appelé « Capture The Flag » (CTF). Voyez cela comme une chasse au trésifice numérique mêlée à un concours de crochetage de serrure. Au lieu de chercher un drapeau physique enfoui dans un bac à sable, des équipes de hackers traquent des chaînes de texte cachées appelées « flags » (drapeaux) dissimulées à l'intérieur de programmes informatiques intentionnellement défectueux. Ils doivent comprendre comment le programme est cassé, réparer la faille pour empêcher les autres de l'utiliser, ou exploiter la faille pour voler le drapeau de leurs rivaux. C'est une façon d'apprendre à protéger les ordinateurs en apprenant à les casser, transformant des leçons de sécurité ennuyeuses en un sport compétitif et passionnant.

Depuis deux décennies, un groupe d'étudiants et d'enseignants d'une université de Berlin, en Allemagne, connu sous le nom d'ENOFLAG, parcourt cette salle de sport numérique. Ils ont commencé comme une petite équipe essayant simplement de participer à un concours local, mais en 20 ans, ils ont vu le jeu changer, passant d'un petit rassemblement d'amis à un phénomène mondial massif. Ils ont vu les outils devenir plus sophistiqués, le nombre de joueurs exploser et les règles du jeu changer de manière surprenante.

Ce document est à la fois leur « capsule temporelle » et leur « guide de terrain ». Les auteurs, Jörg Schneider, Sebastian Neef et Sebastian Koch, reviennent sur 20 ans d'organisation et de pratique de ces concours pour nous expliquer comment le jeu a évolué et ce qu'ils ont appris sur la manière de maintenir une équipe en vie pendant deux décennies.

D'un petit club à un stade mondial
Lorsque ENOFLAG a débuté en 2006, le monde du CTF était un quartier calme. Il n'y avait que 20 à 25 équipes jouant dans les plus grands concours. Si vous vouliez rejoindre l'aventure, vous deviez construire votre propre équipe de toutes pièces car il n'y en avait pas beaucoup. Aujourd'hui, la scène a explosé. Il est désormais normal de voir des centaines d'équipes concourir en même temps. Les auteurs expliquent que ce boom est en partie dû au fait que la « salle de sport » s'est déplacée vers le cloud. Autrefois, chaque équipe devait louer ses propres serveurs et câbles, ce qui était difficile et coûteux. Désormais, les organisateurs peuvent simplement cliquer sur un bouton pour générer des centaines de machines virtuelles dans le cloud, rendant la participation facile pour tout le monde.

Les deux façons de jouer
Le document met en évidence un changement dans la manière de jouer. Il y a vingt ans, le style le plus populaire était l'« Attack-Defense » (Attaque-Défense). Imaginez un jeu où chaque équipe possède son propre château (une machine virtuelle) qu'elle doit défendre tout en essayant simultanément de s'introduire dans les châteaux des autres. C'était intense, interactif et très difficile à organiser. Aujourd'hui, le style « Jeopardy » a pris le dessus. Cela ressemble davantage à un quiz télévisé ou à un jeu vidéo avec des niveaux. Vous recevez une liste d'énigmes (comme craquer un code ou trouver un bug dans un site web), et vous les résolvez à votre propre rythme pour gagner des points. Les auteurs suggèrent que ce style l'emporte car il est plus facile à gérer et ne nécessite pas les combats complexes en temps réel du mode Attack-Defense.

Les outils du métier
Les outils utilisés par les joueurs ont bénéficié d'une mise à niveau massive. À l'époque, si vous vouliez voir ce qui se passait sur le réseau, vous utilisiez peut-être un outil simple qui montrait simplement un flux de données, comme regarder une rivière couler. Aujourd'hui, les équipes utilisent des systèmes automatisés puissants capables d'analyser le trafic et de lancer des attaques avec la vitesse d'un superordinateur. Pour les organisateurs de concours, la tâche s'est également simplifiée. Dans les premiers temps, les organisateurs devaient construire l'intégralité du tableau de score et du système de gestion de jeu à partir de zéro, comme si l'on construisait des montagnes russes avec du bois et des clous. Désormais, il existe des plateformes prêtes à l'emploi qui permettent à n'importe qui de mettre en place un concours en un week-end.

Le mystère des notes disparues
Un changement intéressant que les auteurs ont remarqué est que les joueurs partagent moins leurs secrets. Par le passé, après un concours, les équipes rédigeaient des guides détaillés appelés « writeups » expliquant exactement comment elles avaient résolu les énigmes, et les publiaient en ligne pour que tout le monde puisse apprendre. C'était comme une bibliothèque publique de solutions. Aujourd'hui, les auteurs observent que ces guides disparaissent des sites publics. Au lieu de cela, ils sont partagés dans des groupes de discussion privés ou ne sont plus partagés du tout. Cela signifie que la « bibliothèque » se vide, ce qui rend l'apprentissage plus difficile pour les nouveaux joueurs qui voudraient apprendre des anciens maîtres.

La révolution des robots
Le changement le plus spectaculaire dont traite le document est l'arrivée de l'intelligence artificielle (IA). Les auteurs notent que des agents d'IA ont démontré la faisabilité de gagner des CTF en résolvant des défis de diverses difficultés et de toutes catégories. Cela signifie que, pour les équipes humaines, les chances de gagner deviennent « dérisoires », car la vitesse et les capacités de l'IA dépassent celles d'un joueur individuel. Le document suggère que cela change le jeu pour toujours. Les équipes sont désormais contraintes d'utiliser l'IA juste pour rester à la hauteur, sous peine de perdre. Cela crée un nouveau problème : si le jeu devient une course à savoir qui possède les abonnements d'IA les plus coûteux, il cesse d'être un test de compétence humaine et d'apprentissage. Les auteurs craignent que cela ne fasse perdre l'intérêt aux étudiants, car l'écart entre une équipe bien financée dotée d'une super-IA et une équipe d'étudiants devient trop important.

Ce qu'ils ont appris pour maintenir une équipe en vie
Enfin, le document offre des conseils sur la manière de maintenir une équipe comme ENOFLAG en vie pendant 20 ans. Le secret ne réside pas seulement dans le fait d'avoir les meilleurs joueurs, mais dans la communauté. Ils ont découvert qu'avoir des réunions hebdomadaires régulières, une atmosphère amicale pour les débutants et un mélange d'étudiants et d'enseignants est crucial. Ils ont également appris qu'avoir un statut de club officiel est utile, car cela protège l'équipe lorsque les professeurs prennent leur retraite ou que les bâtiments universitaires changent. Ils insistent sur le fait que l'objectif doit toujours être l'apprentissage et le plaisir, et non seulement la victoire. Si une équipe devient trop focalisée sur l'aspect « élite », elle perd le sang neuf nécessaire à sa survie.

En résumé, ce document raconte l'histoire d'un jeu numérique qui est passé d'une petite expérience à un sport mondial. Il nous montre que si les outils et les joueurs ont changé, le défi fondamental reste le même : comment continuer à apprendre et à s'amuser quand les robots commencent à jouer mieux que nous ? Les auteurs suggèrent que la communauté doit inventer de nouvelles façons de jouer pour que les humains restent aux commandes, garantissant que le jeu demeure un lieu d'éducation et de découverte, et non un simple concours pour savoir qui peut s'offrir la meilleure IA.