To Play or Not to Play: Insights and Lessons Learned from 20 Years of CTFs with ENOFLAG

想象一下网络安全的世界就像是一个巨大的、高风险的健身房，那里的器材是由数字陷阱构成的，而锻炼方式则是通过破坏事物来测试它们的强度。在这个健身房里，有一个受欢迎的游戏叫做“夺旗赛”（Capture The Flag，简称 CTF）。把它想象成一场结合了锁匠比赛的数字寻宝游戏。参赛者寻找的不是埋在沙坑里的实物旗帜，而是隐藏在故意设计有缺陷的计算机程序中的隐藏文本字符串（称为“flag”）。他们必须弄清楚程序是如何损坏的，修复漏洞以阻止他人利用，或者利用漏洞从对手那里窃取旗帜。这是一种通过学习如何破坏计算机来学习如何保护计算机的方式，将枯燥的安全课程变成了一项令人兴奋的竞技运动。

在过去的二十年里，来自德国柏林一所大学的一个名为 ENOFLAG 的学生和教师团队一直在这个数字健身房里奔跑。他们最初只是一个试图参加当地比赛的小型团队，但在 2-0 年间，他们目睹了这场游戏如何从一个朋友间的小聚会演变成一场大规模的全球现象。他们见证了工具变得更加华丽，玩家数量爆炸式增长，以及游戏规则以令人惊讶的方式发生转变。

这篇论文是他们的“时间胶囊”兼“实战指南”。作者 Jörg Schneider、Sebastian Neef 和 Sebastian Koch 回顾了组织和参与这些比赛的 20 年历程，向我们展示了这场游戏是如何演变的，以及他们对于如何让一个团队维持生命力二十载所学到的经验。

从小型俱乐部到全球体育场
当 ENOFLAG 在 2006 年成立时，CTF 世界还只是一个安静的社区。当时最大的比赛中也只有大约 20 到 25 支队伍在参赛。如果你想加入，你必须从零开始组建自己的队伍，因为当时并没有多少现成的团队。如今，这一场景已经爆发。现在看到数百支队伍同时竞争已成常态。作者解释说，这种繁荣部分是因为“健身房”已经搬到了云端。过去，每支队伍都必须租用自己的服务器和线路，这既困难又昂贵。现在，组织者只需点击一个按钮，就能在云端生成数百个虚拟化机器，让任何人都能轻松加入这场派对。

两种玩法
论文强调了人们玩耍方式的转变。二十年前，最流行的风格是“攻防模式”（Attack-Defense）。想象一下这样一个游戏：每支队伍都有自己的城堡（一台虚拟机），他们必须在防御自己城堡的同时，尝试攻破所有其他人的城堡。这非常激烈、具有交互性，且组织难度极大。如今，“闯关模式”（Jeopardy）占据了主导地位。这更像是一场标准的问答秀或带有关卡的电子游戏。你会得到一系列谜题（比如破解代码或在网站中寻找漏洞），然后按照自己的节奏解决它们以赚取积分。作者认为这种风格之所以胜出，是因为它更容易运行，且不需要攻防模式那种复杂的实时对抗。

行业工具
玩家使用的工具也得到了巨大的升级。回溯往昔，如果你想观察网络上发生了什么，你可能会使用一个只能显示数据流的简单工具，就像观察河流的流动一样。而今天，团队使用的是强大的自动化系统，可以分析流量并以超级计算机的速度发起攻击。对于举办比赛的人来说，情况也变得更容易了。在早期，组织者必须从头开始构建整个计分板和游戏管理系统，就像用木头和钉子搭建过山车一样。现在，已经有了现成的平台，让任何人都能在周末内搭建起一场比赛。

消失的笔记之谜
作者注意到一个有趣的现象：玩家分享秘密的行为正在减少。过去，在比赛结束后，团队会编写详细的“解题报告”（writeups），解释他们是如何解决谜题的，并将它们发布在网上供大家学习。这就像是一个公开的解决方案图书馆。现在，作者观察到这些指南正从公共网站上消失。相反，它们被分享在私密的聊天群组中，或者根本不再分享。这意味着这个“图书馆”正在变得空虚，使得新手很难向老手学习。

机器人革命
论文讨论的最剧烈的变化是人工智能（AI）的到来。作者指出，AI 智能体已经证明了通过解决不同难度和不同类别的挑战来赢得 CTF 的可行性。这意味着对于人类团队而言，获胜的机会正在变得“微乎其微”，因为 AI 的速度和能力已经超越了单个玩家。论文指出，这正在永远改变游戏规则。团队现在被迫使用 AI 来跟上步伐，否则就会落败。这产生了一个新问题：如果比赛变成了一场看谁能负担得起最昂贵的 AI 订阅服务的竞赛，那么它就不再是对人类技能和学习的测试了。作者担心，这可能会让学生失去兴趣，因为拥有超级 AI 的资金雄厚的团队与学生团队之间的差距正变得过于巨大。

关于如何让团队长青的经验
最后，论文提供了关于如何让像 ENOFLAG 这样的团队持续 20 年的建议。秘诀不仅仅在于拥有最好的选手，更在于社区。他们发现，定期的每周会议、对初学者友好的氛围以及学生与教师的混合构成至关重要。他们还了解到，拥有官方俱乐部身份很有帮助，因为当教授退休或大学建筑变更时，这能保护团队。他们强调，目标应当始终是学习和乐趣，而不只是赢取奖品。如果一个团队变得过于专注于“精英化”，它就会失去生存所需的血液。

简而言之，这篇论文讲述了一个数字游戏如何从一个小实验成长为一项全球性运动的故事。它告诉我们，尽管工具和玩家已经改变，但核心挑战依然存在：当机器人开始比人类玩得更好的时候，我们如何保持学习并享受乐趣？作者建议，社区需要发明新的玩法，让把人类留在驾驶座上的方式，确保这项游戏仍然是一个教育和探索的场所，而不仅仅是一场看谁能负担得起最好 AI 的竞赛。