To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

Stel je de wereld van cybersecurity voor als een enorme, spannende sportschool waar de apparatuur bestaat uit digitale vallen en de training eruit bestaat om dingen kapot te maken om te zien hoe goed ze standhouden. In deze sportschool is er een populair spel genaamd "Capture The Flag" (CTF). Denk aan een digitale speurtocht gecombineerd met een slotenmakerswedstrijd. In plaats van een fysieke vlag te vinden die begraven ligt in een zandbak, zoeken teams van hackers naar verborgen reeksen tekst die "flags" worden genoemd, die verstopt zitten in opzettelijk defecte computerprogramma's. Ze moeten ontdekken hoe het programma kapot is, het gat dichten om anderen te stoppen het te gebruiken, of het gat exploiteren om de flag van hun rivalen te stelen. Het is een manier om te leren hoe je computers beschermt door te leren hoe je ze breekt, waardoor saaie beveiligingslessen veranderen in een opwindende, competitieve sport.

Al twee decennia lang rent een groep studenten en docenten van een universiteit in Berlijn, Duitsland, bekend als ENOFLAG, rond in deze digitale sportschool. Ze begonnen als een klein team dat alleen maar probeerde deel te nemen aan een lokale wedstrijd, maar in de loop van 20 jaar hebben ze gezien hoe het spel veranderde van een kleine bijeenkomst van vrienden in een massaal mondiaal fenomeen. Ze hebben gezien hoe de tools fancier werden, hoe het aantal spelers explodeerde en hoe de regels van het spel op verrassende manieren verschoven.

Dit artikel is hun "tijdscapsule" en "veldgids" in één. De auteurs, Jörg Schneider, Sebastian Neef en Sebastian Koch, kijken terug op 20 jaar organiseren en spelen van deze wedstrijden om ons te vertellen hoe het spel is geëvolueerd en wat ze hebben geleerd over het in leven houden van een team gedurende twee decennia.

Van een kleine club naar een wereldwijd stadion
Toen ENOFLAG in 2006 begon, was de CTF-wereld een rustige buurt. Er waren slechts ongeveer 20 tot 25 teams die meededen aan de grootste wedstrijden. Als je wilde deelnemen, moest je je eigen team vanaf nul opbouwen omdat er niet veel waren. Vandaag de dag is de scène geëxplodeerd. Het is nu normaal om honderden teams tegelijkertijd te zien strijden. De auteurs leggen uit dat deze boom deels komt doordat de "sportschool" naar de cloud is verhuisd. In het verleden moest elk team zijn eigen servers en kabels huren, wat moeilijk en duur was. Nu kunnen organisatoren gewoon op een knop drukken om honderden virtuele machines in de cloud te laten verschijnen, waardoor het voor iedereen makkelijk is om deel te nemen aan het feestje.

De twee manieren om te spelen
Het artikel belicht een verschuiving in hoe mensen spelen. Twintig jaar geleden was de meest populaire stijl "Attack-Defense". Stel je een spel voor waarbij elk team zijn eigen kasteel (een virtuele machine) krijgt dat ze moeten verdedigen, terwijl ze tegelijkertijd proberen in de kastelen van alle anderen in te breken. Het was intens, interactief en erg moeilijk te organiseren. Tegenwoordig heeft de "Jeopardy"-stijl de overhand genomen. Dit is meer als een standaard quizshow of een videogame met levels. Je krijgt een lijst met puzzels (zoals het kraken van een code of het vinden van een bug in een website) en je lost ze op je eigen tempo op om punten te verdienen. De auteurs suggereren dat deze stijl wint omdat het gemakkelijker te draaien is en geen complexe, real-time gevechten vereist zoals de Attack-Defense modus.

De gereedschappen van het vak
De tools die de spelers gebruiken, hebben een enorme upgrade gekregen. In de begindagen, als je wilde zien wat er op het netwerk gebeurde, gebruikte je misschien een simpel hulpmiddel dat alleen een stroom gegevens liet zien, zoals het kijken naar een rivier die stroomt. Tegenwoordig gebruiken teams krachtige, geautomatiseerde systemen die het verkeer kunnen analyseren en aanvallen kunnen lanceren met de snelheid van een supercomputer. Voor de mensen die de wedstrijden organiseren, is het ook makkelijker geworden. In de beginjaren moesten organisatoren het hele scorebord en het wedstrijdbeheersysteem vanaf nul bouwen, zoals het bouwen van een achtbaan van hout en spijkers. Nu zijn er kant-en-klare platforms waarmee iedereen in een weekend een wedstrijd kan opzetten.

Het mysterie van de ontbrekende aantekeningen
Een interessante verandering die de auteurs opmerkten, is dat spelers minder van hun geheimen delen. In het verleden schreven teams na een wedstrijd gedetailleerde handleidingen, zogenaamde "writeups", waarin ze precies uitlegden hoe ze de puzzels hadden opgelost, en plaatsten ze die online zodat iedereen ervan kon leren. Het was als een openbare bibliotheek van oplossingen. Nu observeren de auteurs dat deze handleidingen verdwijnen van publieke sites. In plaats daarvan worden ze gedeeld in privéchatgroepen of helemaal niet gedeeld. Dit betekent dat de "bibliotheek" leger wordt, wat het voor nieuwe spelers moeilijker maakt om te leren van de oude meesters.

De robotrevolutie
De meest dramatische verandering die het artikel bespreekt, is de komst van Kunstmatige Intelligentie (AI). De auteurs merken op dat AI-agenten hebben aangetoond dat het haalbaar is om CTF's te winnen door uitdagingen van verschillende moeilijkheidsgraden en uit alle categorieën op te lossen. Dit betekent dat voor menselijke teams de kans om te winnen "krimpend klein" wordt, omdat de snelheid en capaciteiten van AI de individuele speler overtreffen. Het artikel suggereert dat dit het spel voorgoed verandert. Teams worden nu gedwongen om AI te gebruiken om bij te blijven, anders verliezen ze. Dit creëert een nieuw probleem: als het spel een race wordt om te zien wie de meest dure AI-abonnementen heeft, stopt het met een test van menselijke vaardigheid en leren. De auteurs maken zich zorgen dat dit ervoor kan zorgen dat studenten hun interesse verliezen, omdat de kloof tussen een goed gefinancierd team met een super-AI en een studententeam te groot wordt.

Wat ze leerden over het in leven houden van een team
Ten slotte biedt het artikel advies over hoe je een team als ENOFLAG twintig jaar lang in leven kunt houden. Het geheim is niet alleen het hebben van de beste spelers; het is de gemeenschap. Ze ontdekten dat het hebben van regelmatige wekelijkse vergaderingen, een vriendelijke sfeer voor beginners en een mix van studenten en docenten cruciaal is. Ze leerden ook dat het hebben van een officiële clubstatus helpt, omdat het het team beschermt wanneer professoren met pensioen gaan of universiteitsgebouwen veranderen. Ze benadrukken dat het doel altijd leren en plezier hebben moet zijn, niet alleen het winnen van prijzen. Als een team te veel gericht is op het zijn van "elite", verliest het de nieuwe aanwas die nodig is om te overleven.

Kortom, dit artikel vertelt het verhaal van een digitaal spel dat groeide van een klein experiment naar een wereldwijde sport. Het laat ons zien dat hoewel de tools en de spelers zijn veranderd, de kernuitdaging hetzelfde blijft: hoe houden we het leren en het plezier in stand wanneer de robots het spel beter beginnen te spelen dan wij? De auteurs suggereren dat de gemeenschap nieuwe manieren moet uitvinden om te spelen die de mens in de bestuurdersstoel houden, om te garanderen dat het spel een plek blijft voor educatie en ontdekking, en niet alleen een wedstrijd is om te zien wie de beste AI kan betalen.