To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

Immaginate il mondo della cybersecurity come una gigantesca palestra ad alta posta in gioco, dove l'attrezzatura è fatta di trappole digitali e l'allenamento consiste nel rompere le cose per vedere quanto resistono. In questa palestra, c'è un gioco molto popolare chiamato "Capture The Flag" (CTF). Pensatelo come a una caccia al tesoro digitale mescolata a un concorso di scasso delle serrature. Invece di cercare una bandiera fisica sepolta in una scatola di sabbia, squadre di hacker danno la caccia a stringhe di testo nascoste chiamate "flag" (bandiere) celate all'interno di programmi informatici intenzionalmente difettosi. Devono capire come il programma sia rotto, riparare il buco per impedire ad altri di usarlo, o sfruttare il buco per rubare la bandiera ai loro rivali. È un modo per imparare a proteggere i computer imparando a romperli, trasformando noiosi insegnamenti sulla sicurezza in un entusiasmante sport competitivo.

Per gli ultimi due decenni, un gruppo di studenti e insegnanti di un'università di Berlino, in Germania, noto come ENOFLAG, ha corso in questa palestra digitale. Sono iniziati come una piccola squadra che cercava solo di partecipare a un concorso locale, ma in 20 anni hanno visto il gioco cambiare da un piccolo incontro tra amici a un enorme fenomeno globale. Hanno visto gli strumenti diventare più sofisticati, il numero di giocatori esplodere e le regole del gioco cambiare in modi sorprendenti.

Questo articolo è il loro "reperto storico" e la loro "guida sul campo" allo stesso tempo. Gli autori, Jörg Schneider, Sebastian Neef e Sebastian Koch, guardano indietro a 20 anni di organizzazione e partecipazione a questi concorsi per raccontarci come il gioco si è evoluto e cosa hanno imparato per mantenere in vita una squadra per due decenni.

Da un piccolo club a uno stadio globale
Quando ENOFLAG è nata nel 2006, il mondo dei CTF era un quartiere tranquillo. C'erano solo circa 20 o 25 squadre che giocavano nei concorsi più grandi. Se volevi unirti, dovevi costruire la tua squadra da zero perché non ce n'erano molte in giro. Oggi, la scena è esplosa. È normale vedere centinaia di squadre competere contemporaneamente. Gli autori spiegano che questo boom è dovuto in parte al fatto che la "palestra" si è spostata sul cloud. In passato, ogni squadra doveva affittare i propri server e cavi, il che era difficile e costoso. Ora, gli organizzatori possono semplicemente cliccare un pulsore per generare centinaia di macchine virtuali nel cloud, rendendo facile per chiunque unirsi alla festa.

I due modi di giocare
L'articolo evidenzia un cambiamento nel modo in cui si gioca. Venti anni fa, lo stile più popolare era l'"Attack-Defense" (Attacco-Difesa). Immaginate un gioco in cui ogni squadra ha il proprio castello (una macchina virtuale) che deve difendere mentre cerca contemporaneamente di scassinare i castelli di tutti gli altri. Era intenso, interattivo e molto difficile da organizzare. Oggi, lo stile "Jeopardy" ha preso il sopravvento. Questo è più simile a un classico quiz televisivo o a un videogioco a livelli. Si riceve una lista di enigmi (come scassinare un codice o trovare un bug in un sito web) e li si risolve al proprio ritmo per guadagnare punti. Gli autori suggeriscono che questo stile sta vincendo perché è più facile da gestire e non richiede il complesso combattimento in tempo reale della modalità Attack-Defense.

Gli strumenti del mestiere
Gli strumenti utilizzati dai giocatori hanno ricevuto un aggiornamento massiccio. Ai tempi, se volevi vedere cosa stava succedendo sulla rete, potevi usare un semplice strumento che mostrava solo un flusso di dati, come osservare un fiume che scorre. Oggi, le squadre usano sistemi potenti e automatizzati che possono analizzare il traffico e lanciare attacchi con la velocità di un supercomputer. Anche per chi organizza i concorsi è diventato più facile. Nei primi tempi, gli organizzatori dovevano costruire l'intero sistema di punteggio e gestione del gioco da zero, come costruire una montagna russa usando solo legno e chiodi. Ora, esistono piattaforme pronte all'uso che permettono a chiunque di configurare un concorso in un fine settimana.

Il mistero degli appunti mancanti
Una cosa interessante che gli autori hanno notato è che i giocatori condividono meno i propri segreti. In passato, dopo un concorso, le squadre scrivevano guide dettagliate chiamate "writeup" spiegando esattamente come avevano risolto gli enigmi, e le pubblicavano online affinché tutti potessero imparare. Era come una biblioteca pubblica di soluzioni. Ora, gli autori osservano che queste guide stanno scomparendo dai siti pubblici. Inveve, vengono condivise in gruppi di chat privati o non vengono condivise affatto. Questo significa che la "biblioteca" si sta svuotando, rendendo più difficile per i nuovi giocatori imparare dai vecchi maestri.

La rivoluzione dei robot
Il cambiamento più drammatico di cui tratta l'articolo è l'arrivo dell'Intelligenza Artificiale (IA). Gli autori notano che gli agenti IA hanno dimostrato la fattibilità di vincere i CTF risolvendo sfide di diversa difficoltà e in tutte le categorie. Ciò significa che, per le squadre umane, le possibilità di vincere stanno diventando "diminuisce progressivamente" perché la velocità e le capacità dell'IA superano quelle di un singolo giocatore. L'articolo suggerisce che questo sta cambiando il gioco per sempre. Le squadre sono ora costrette a usare l'IA solo per stare al passo, altrimenti perderanno. Questo crea un nuovo problema: se il gioco diventa una corsa a chi ha gli abbonamenti all'IA più costosi, smette di essere un test di abilità umana e di apprendimento. Gli autori temono che questo possa far perdere interesse agli studenti perché il divario tra una squadra ben finanziata con una super-IA e una squadra di studenti sta diventando troppo ampio.

Cosa hanno imparato per mantenere in vita una squadra
Infine, l'articolo offre alcuni consigli su come mantenere in vita una squadra come ENOFLAG per 20 anni. Il segreto non è solo avere i migliori giocatori; è la comunità. Hanno scoperto che avere riunioni settimanali regolari, un'atmosfera amichevole per i principianti e un mix di studenti e insegnanti è fondamentale. Hanno anche imparato che avere uno status ufficiale di club aiuta, perché protegge la squadra quando i professori vanno in pensione o gli edifici universitari cambiano. Sottolineano che l'obiettivo dovrebbe essere sempre l'apprendimento e il divertimento, non solo la vittoria di premi. Se una squadra diventa troppo concentrata sull'essere "élite", perde il sangue nuovo necessario per sopravvivere.

In breve, questo articolo racconta la storia di un gioco digitale che è cresciuto da un piccolo esperimento a uno sport globale. Ci mostra che, sebbene gli strumenti e i giocatori siano cambiati, la sfida fondamentale rimane la stessa: come possiamo continuare a imparare e divertirci quando i robot iniziano a giocare meglio di noi? Gli autori suggeriscono che la comunità debba inventare nuovi modi per giocare che mantengano gli esseri umani al comando, assicurando che il gioco rimanga un luogo di educazione e scoperta, e non solo un concorso su chi può permettersi la migliore IA.