To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

사이버 보안의 세계를 디지털 함정으로 만들어진 운동 기구들이 있고, 물건을 부수며 그것이 얼마나 잘 견디는지 확인하는 것이 운동이 되는, 거대하고 긴장감 넘치는 체육관이라고 상상해 보십시오. 이 체육관에는 "캡처 더 플래그(Capture The Flag, CTF)"라고 불리는 인기 있는 게임이 있습니다. 이것은 디지털 보물찾기와 자물쇠 따기 대회가 혼합된 것과 같습니다. 모래사장에 묻힌 물리적인 깃발을 찾는 대신, 해커 팀들은 의도적으로 망가뜨린 컴퓨터 프로그램 안에 숨겨진 "플래그"라고 불리는 텍스트 문자열을 찾아내야 합니다. 그들은 프로그램이 어떻게 망가졌는지 파악하고, 다른 사람들이 이용하지 못하도록 구멍을 메우거나, 혹은 라이벌로부터 플래그를 훔치기 위해 그 구멍을 공략해야 합니다. 이는 컴퓨터를 어떻게 보호하는지 배우기 위해 어떻게 부수는지를 배우는 방법이며, 지루한 보안 수업을 흥미진진하고 경쟁적인 스포츠로 탈바꿈시킵니다.

지난 20년 동안, 독일 베를린에 위치한 한 대학교의 학생과 교사들로 구성된 그룹인 ENOFLAG는 이 디지털 체육관을 누비며 달려왔습니다. 그들은 처음에는 그저 지역 대회에 참가하려는 작은 팀으로 시작했지만, 20년에 걸쳐 이 게임이 소규모의 친구 모임에서 거대한 글로벌 현상으로 어떻게 변모했는지를 지켜보았습니다. 그들은 도구가 더 화려해지고, 플레이어의 수가 폭발적으로 증가하며, 게임의 규칙이 놀라운 방식으로 변화하는 것을 목격했습니다.

이 논문은 그들의 "타임캡슐"이자 "현장 가이드"입니다. 저자인 요르크 슈나이더(Jörg Schneider), 세바스티안 네프(Sebastian Neef), 세바스티안 코흐(Sebastian Koch)는 이러한 대회를 조직하고 플레이해 온 20년을 되돌아보며, 게임이 어떻게 진화했는지, 그리고 20년 동안 팀을 유지하는 것에 대해 무엇을 배웠는지 우리에게 들려줍니다.

작은 클럽에서 글로벌 스타디움으로
ENOFLAG가 시작된 2006년, CTF 세계는 조용한 동네와 같았습니다. 가장 큰 대회에도 약 20~25개의 팀만이 참여했습니다. 만약 참여하고 싶다면, 주변에 팀이 많지 않았기 때문에 스스로 팀을 만들어야 했습니다. 오늘날, 이 장면은 폭발적으로 성장했습니다. 이제 수백 개의 팀이 동시에 경쟁하는 것은 흔한 일이 되었습니다. 저자들은 이러한 붐의 이유 중 하나가 "체육관"이 클라우드로 이동했기 때문이라고 설명합니다. 과거에는 모든 팀이 자신만의 서버와 선들을 임대해야 했기에 어렵고 비용이 많이 들었습니다. 이제 운영자들은 버튼 하나만 클릭하면 클라우드에 수백 개의 가상 머신을 생성할 수 있어, 누구나 파티에 참여하기 쉬워졌습니다.

두 가지 플레이 방식
이 논문은 사람들이 플레이하는 "방식"의 변화를 강조합니다. 20년 전 가장 인기 있는 스타일은 "공격-방어(Attack-Defense)"였습니다. 모든 팀이 자신만의 성(가상 머신)을 가지고, 다른 모든 사람의 성을 부수려고 시도하는 동시에 자신의 성을 방어해야 하는 게임을 상상해 보십시오. 그것은 강렬하고 상호작용적이었으며, 운영하기 매우 어려웠습니다. 오늘날에는 "제퍼디(Jeopardy)" 스타일이 주류가 되었습니다. 이것은 표준 퀴즈 쇼나 레벨이 있는 비디오 게임과 더 비슷합니다. 여러분은 퍼즐 목록(코드를 해독하거나 웹사이트의 버그를 찾는 것 등)을 받고, 자신의 속도에 맞춰 문제를 풀어 점수를 얻습니다. 저자들은 이 스타일이 운영하기 더 쉽고, 공격-방어 모드의 복잡한 실시간 전투를 요구하지 않기 때문에 승리하고 있다고 제안합니다.

도구의 진화
플레이어들이 사용하는 도구들은 엄청난 업그레이드를 거쳤습니다. 예전에는 네트워크에서 무슨 일이 일어나고 있는지 보고 싶다면, 마치 흐르는 강물을 보는 것처럼 단순히 데이터의 흐름을 보여주는 간단한 도구를 사용했을 것입니다. 오늘-날, 팀들은 트래픽을 분석하고 슈퍼컴퓨터의 속도로 공격을 개시할 수 있는 강력하고 자동화된 시스템을 사용합니다. 대회를 운영하는 사람들에게도 상황은 더 쉬워졌습니다. 초기에는 운영자들이 나무와 못으로 롤러코스터를 만드는 것처럼 전체 스코어보드와 게임 관리 시스템을 처음부터 직접 구축해야 했습니다. 이제는 누구나 주말 사이에 대회를 설정할 수 있게 해주는 기성 플랫폼들이 존재합니다.

사라진 기록의 미스터리
저자들이 주목한 흥之一한 변화는 플레이어들이 자신의 비밀을 덜 공유한다는 점입니다. 과거에는 대회가 끝난 후, 팀들이 퍼즐을 어떻게 풀었는지 정확하게 설명하는 "라이트업(writeups)"이라는 상세한 가이드를 작성하여 모두가 배울 수 있도록 온라인에 게시하곤 했습니다. 그것은 마치 해결책이 담긴 공공 도서관과 같았습니다. 현재, 저자들은 이러한 가이드들이 공개 사이트에서 사라지고 있음을 관찰했습니다. 대신, 이들은 비공개 채팅 그룹에서 공유되거나 아예 공유되지 않습니다. 이는 "도서관"이 점점 비어가고 있음을 의미하며, 새로운 플레이어들이 숙련자들로부터 배우는 것을 더 어렵게 만들고 있습니다.

로봇 혁명
이 논문이 다루는 가장 극적인 변화는 인공지능(AI)의 등장입니다. 저자들은 AI 에이전트가 다양한 난이도와 모든 카테고리의 챌린지를 해결함으로써 CTF에서 승리하는 것이 가능하다는 것을 입증했다고 언급했습니다. 이는 인간 팀들에게 있어, AI의 속도와 능력이 단일 플레이어를 앞지르기 때문에 승리할 가능성이 "점점 줄어들고 있음"을 의미합니다. 논문은 이것이 게임을 영원히 바꿀 것이라고 제안합니다. 이제 팀들은 AI를 사용하여 따라잡지 못하면 패배하게 될 것이므로, AI를 사용하는 것이 강제되고 있습니다. 이는 새로운 문제를 만듭니다. 만약 게임이 누가 더 비싼 AI 구독 서비스를 가지고 있는지를 겨루는 경주가 된다면, 그것은 인간의 기술과 학습을 테스트하는 것이 아니게 됩니다. 저자들은 이것이 학생들이 흥미를 잃게 만들 수 있다고 우려합니다. 왜냐하면 고도로 자금을 지원받은 팀과 AI를 가진 학생 팀 사이의 격차가 너무 커지고 있기 때문입니다.

팀을 유지하는 법에 대한 교훈
마지막으로, 이 논문은 어떻게 하면 ENOFLAG와 같은 팀을 20년 동안 지속할 수 있는지에 대한 조언을 제공합니다. 비밀은 단지 최고의 플레이어를 보유하는 것이 아니라, 바로 "커뮤니티"에 있습니다. 그들은 정기적인 주간 회의, 초보자를 위한 친근한 분위기, 그리고 학생과 교사의 조화가 매우 중요하다고 발견했습니다. 또한 공식적인 클럽 지위를 갖는 것이 교수님이 은퇴하거나 대학 건물이 바뀌더라도 팀을 보호하는 데 도움이 된다는 것을 배웠습니다. 그들은 목표가 반드시 승리하는 것이 아니라 학습과 즐거움이어야 한다고 강조합니다. 만약 팀이 지나치게 "엘리트"가 되는 데만 집중한다면, 생존에 필요한 새로운 피를 잃게 될 것입니다.

요약하자면, 이 논문은 작은 실험에서 시작하여 글로벌 스포츠로 성장한 디지털 게임의 이야기를 들려줍니다. 이는 도구와 플레이어는 변했을지라도, 핵심 과제는 여전히 동일하다는 것을 보여줍니다: 로봇이 우리보다 게임을 더 잘 플레이하기 시작할 때, 어떻게 계속 배우고 즐거움을 유지할 것인가? 저자들은 인간이 운전석에 앉아 있을 수 있는 새로운 방식의 게임을 발명하여, 게임이 단지 누가 더 좋은 AI를 감당할 수 있는지를 겨루는 대결이 아닌 교육과 발견의 장으로 남을 수 있도록 해야 한다고 제안합니다.