To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

Imagine o mundo da cibersegurança como uma academia gigante de alto risco, onde os equipamentos são feitos de armadilhas digitais e o treino consiste em quebrar coisas para ver até onde elas aguentam. Nesta academia, existe um jogo popular chamado "Capture The Flag" (CTF). Pense nisso como uma caça ao tesouro digital misturada com um concurso de arrombamento de fechaduras. Em vez de encontrar uma bandeira física enterrada em uma caixa de areia, equipes de hackers caçam strings de texto escondidas chamadas "flags" ocultas dentro de programas de computador intencionalmente quebrados. Eles precisam descobrir como o programa está quebrado, consertar o buraco para impedir que outros o utilizem ou explorar o buraco para roubar a bandeira de seus rivais. É uma forma de aprender como proteger computadores aprendendo como quebrá-los, transformando lições de segurança entediantes em um esporte emocionante e competitivo.

Durante as últimas duas décadas, um grupo de estudantes e professores de uma universidade em Berlim, Alemanha, conhecido como ENOFLAG, tem percorrido esta academia digital. Eles começaram como uma pequena equipe tentando apenas participar de um concurso local, mas ao longo de 20 anos, viram o jogo mudar de um pequeno encontro de amigos para um fenôico global massivo. Eles viram as ferramentas ficarem mais sofisticadas, o número de jogadores explodir e as regras do jogo mudarem de formas surpreendentes.

Este artigo é o seu "cápsula do tempo" e "guia de campo" ao mesmo tempo. Os autores, Jörg Schneider, Sebastian Neef e Sebastian Koch, olham para trás nos 20 anos de organização e prática desses concursos para nos contar como o jogo evoluiu e o que aprenderam sobre manter uma equipe viva por duas décadas.

De um Pequeno Clube para um Estádio Global
Quando a ENOFLAG começou em 2006, o mundo do CTF era um bairro silencioso. Havia apenas cerca de 20 a 25 equipes jogando nos maiores concursos. Se você quisesse participar, teria que construir sua própria equipe do zero porque não havia muitas por aí. Hoje, a cena explodiu. Agora é normal ver centenas de equipes competindo ao mesmo tempo. Os autores explicam que este boom se deve, em parte, ao fato de a "academia" ter se mudado para a nuvem. No passado, cada equipe tinha que alugar seus próprios servidores e cabos, o que era difícil e caro. Agora, os organizadores podem apenas clicar em um botão para gerar centenas de máquinas virtuais na nuvem, tornando fácil para qualquer um entrar na festa.

As Duas Formas de Jogar
O artigo destaca uma mudança na forma como as pessoas jogam. Vinte anos atrás, o estilo mais popular era o "Attack-Defense" (Ataque e Defesa). Imagine um jogo onde cada equipe recebe seu próprio castelo (uma máquina virtual) que elas devem defender enquanto tentam simultaneamente invadir os castelos de todos os outros. Era intenso, interativo e muito difícil de organizar. Hoje, o estilo "Jeopardy" assumiu o controle. Isso é mais parecido com um programa de perguntas e respostas padrão ou um videogame com níveis. Você recebe uma lista de enigmas (como decifrar um código ou encontrar um erro em um site) e os resolve no seu próprio ritmo para ganhar pontos. Os autores sugerem que este estilo está vencendo porque é mais fácil de operar e não exige o combate complexo e em tempo real do modo Ataque e Defesa.

As Ferramentas do Ofício
As ferramentas que os jogadores usam receberam um upgrade massivo. Antigamente, se você quisesse ver o que estava acontecendo na rede, poderia usar uma ferramenta simples que apenas mostrava um fluxo de dados, como observar um rio fluindo. Hoje, as equipes usam sistemas poderosos e automatizados que podem analisar o tráfego e lançar ataques com a velocidade de um supercomputador. Para as pessoas que organizam os concursos, também ficou mais fácil. Nos primórdios, os organizadores tinham que construir todo o placar e o sistema de gerenciamento do jogo do zero, como construir uma montanha-russa de madeira e pregos. Agora, existem plataformas prontas que permitem que qualquer pessoa configure um concurso em um fim de semana.

O Mistério das Notas Desaparecidas
Uma mudança interessante que os autores notaram é que os jogadores estão compartilhando menos seus segredos. No passado, após um concurso, as equipes escreviam guias detalhados chamados "writeups", explicando exatamente como resolveram os enigmas, e os postavam online para que todos pudessem aprender. Era como uma biblioteca pública de soluções. Agora, os autores observam que esses guias estão desaparecendo dos sites públicos. Em vez disso, estão sendo compartilhados em grupos de chat privados ou não estão sendo compartilhados de forma alguma. Isso significa que a "biblioteca" está ficando mais vazia, tornando mais difícil para novos jogadores aprenderem com os antigos mestres.

A Revolução dos Robôs
A mudança mais dramática que o artigo discute é a chegada da Inteligência Artificial (IA). Os autores observam que agentes de IA demonstraram a viabilidade de vencer CTFs resolvendo desafios de diversas dificuldades e de todas as categorias. Isso significa que, para as equipes humanas, as chances de vencer estão se tornando "diminuidamente pequenas", porque a velocidade e as capacidades da IA superam um jogador individual. O artigo sugere que isso está mudando o jogo para sempre. As equipes agora são forçadas a usar IA apenas para conseguir acompanhar o ritmo, ou perderão. Isso cria um novo problema: se o jogo se tornar uma corrida para ver quem tem as assinaturas de IA mais caras, ele deixa de ser um teste de habilidade humana e aprendizado. Os autores temem que isso possa fazer com que os estudantes percam o interesse, pois o abismo entre uma equipe bem financiada com uma super-IA e uma equipe de estudantes está se tornando grande demais.

O Que Aprenderam Sobre Manter uma Equipe Viva
Finalmente, o artigo oferece conselhos sobre como manter uma equipe como a ENOFLAG ativa por 20 anos. O segredo não é apenas ter os melhores jogadores; é sobre comunidade. Eles descobriram que ter reuniões semanais regulares, um ambiente amigável para iniciantes e uma mistura de estudantes e professores é crucial. Também aprenderam que ter o status oficial de clube ajuda, pois protege a equipe quando os professores se aposentam ou os edifícios da universidade mudam. Eles enfatizam que o objetivo deve ser sempre aprender e se divertir, não apenas ganhar prêmios. Se uma equipe se tornar focada demais em ser "de elite", ela perde o sangue novo necessário para sobreviver.

Em resumo, este artigo conta a história de um jogo digital que cresceu de um pequeno experimento para um esporte global. Ele nos mostra que, embora as ferramentas e os jogadores tenham mudado, o desafio central permanece: como podemos continuar aprendendo e nos divertindo quando os robôs estão começando a jogar melhor do que nós? Os autores sugerem que a comunidade precisa inventar novas formas de jogar que mantenham os humanos no comando, garantindo que o jogo continue sendo um lugar de educação e descoberta, e não apenas um concurso de quem pode pagar pela melhor IA.