Всё о CTF в России

Интервью с организаторами RuCTF-2019

26–29 апреля в Екатеринбурге пройдёт уже 13 по счёту соревнования RuCTF, в рамках которого так же пройдет конференция со множеством профессионалов в области информационной безопасности. Редакция CTFNews решила выведать некоторые детали приготовления и подготовки соревнований, и пообщалась с Александром Алексеевым, директор RuCTF 2019, и Виком Котвицким, координатором RuCTF 2019.

CTFNews: Расскажите в двух словах: почему RuCTF — это важная веха для всего CTF-сообщества страны? RuCTF — это одни из самых первых соревнований по информационной безопасности в стране. Как это вышло? Есть ли какая-то история, легенда? Сохраняется ли этот статус по сей день?

Александр: Всё просто — в России всего два очных международных соревнования: мы и VolgaCTF. Хакердом проводили CTF-соревнования с 2006 года (самые первые в России, хоть и только для уральских команд), а в 2008 провели первый RuCTF, к 2015 году сделав его международным. А в 2010 году на RuCTF в гости приехали ребята из Самары, вдохновились и сказали, что хотят так же. Взяв с собой Илью Зеленчука в качестве консультанта, они уже в 2011 смогли запустить первый VolgaCTF, который тоже стал международным.

Вик: RuCTF 2008 уже объединял в себе и конференцию, и соревнования. В самом первом RuCTF приняли участие команды Хакердом, НИИ ЧАВО из УрГУ, keva и SiBears из Томска, Smoked Chicken и Avalon из Челябинска, Гарде из Кургана, eXpl0it из Курска и Reboot из Уфы, а гостевая команда почти полностью состояла из ярославцев. В этом году SiBears снова приедут к нам, Хакердом снова разрабатывает сервисы, а Smoked Chicken стали частью команды More Smoked Leet Chicken, которая преобразовалась в LC↯BC — вот они-то и примут участие в RuCTF 2019. Не совсем понимаю, о какой легенде идёт речь, ведь RuCTF просто хронологически являются первыми всероссийскими A/D CTF-соревнованиями, а за «легендарностью» приезжайте лучше на III Кубок CTF России в конце года, там будет здорово.

Александр: На вопрос о сохранении статуса должны отвечать не мы, а участники. Но мы с командой надеемся, что нам удаётся поддерживать уровень проведения и даже поднимать его. О многом говорит тот факт, что международных CTF в России пока что два — мы и VolgaCTF.

Вик: И мы ни капли не конкурируем, а дружим. Приезжаем в Самару, а они к нам в Екатеринбург.

Александр: Вообще мы хотели бы, чтобы крутых соревнований было больше, но пока до таких масштабов дотягивают немногие. Но крутых тасковых CTF становится всё больше, поэтому мы надеемся, что и A/D скоро разовьётся.

CTFNews: А какую объективную пользу получат участники именно на ваших соревнованиях?

Александр: Как и на всех CTF-соревнованиях, команды потратят 8 часов на изучение сервисов, поиск и устранение уязвимостей, а потом довольные и с кучей новых знаний в области не только ИБ, но и всего, связанного с информационными технологиями, разъедутся домой. Мы стремимся не к какому-то эксклюзиву и сенсациям, а к качеству сервисов и удовольствию участников.

Вик: Но помимо соревнований есть ещё конференция! На ней можно будет узнать, например, про безопасность семейства протоколов ZigBee, крутые плагины для Burp Suite, интересные примеры социальной инженерии и о том, как работают команды пентестеров (да-да, это эксклюзивный спойлер части программы конференции для CTFNews). Мы совсем скоро опубликуем полную программу конференции, которая пройдёт в Технопарке Высоких Технологий Свердловской Области и будем рады не только участникам финала RuCTF, но и гостям.

CTFNews: Но продолжим о соревнованиях. На сайте сказано, что в этом году в роли отборочных соревнований выступало VolgaCTF 2018. Как вообще стать дружественным соревнованием для RuCTF? Есть ли какие-то правила отбора?

Александр: На самом деле критериев не так много: нужно быть студенческим A/D соревнованием, участие в котором могут принять любые желающие команды (возможен такой же вариант, как у Волги: тасковые кволзы, а потом уже A/D, главное, чтобы на кволзы мог зарегистрироваться кто угодно). А ещё нужно рассказать нам о себе. Например, на почту info@ructf.org или в Телеграм Вику: t.me/ktwzk. На основе фидбека участников и выложенных сервисов и райтапов наши разработчики примут решение.

Вик: Например, в этом году могли стать дружественными ещё и SibirCTF, но мы абсолютно не согласны с их вариантом правил A/D CTF: в Томске в этом году каждый флаг можно было сдать только один раз, то есть если команда А сдала флаг команды В, то команда С не может сдать его же. Таким образом, вся игра превратилась в «гонку ферм» — важно стало не кто украл флаг, а кто первым его сдал.

CTFNews: Какие задания ждут участников в этом году? Будет ли какая-то определенная тематика? Какой уровень сложности тасков?

Вик: Я напомню, что основным событием является Attack/Defence CTF, в нём нет тасков, а есть сервисы. Как обычно, мы всё-всё держим в тайне, но про тематику могу немного рассказать. В 2017 и 2018 годах мы делали комиксы и рассказывали участникам историю о людях, улетевших с Земли исследовать космос, а позже обосновавшихся на других планетах. В этом году всех ждёт третья и последняя серия этой легенды, в которой всё станет ясно. Комикс в комплекте, само собой.

CTFNews: Чем вы хотите удивить приехавшие к вам команды?

Александр: Если честно, мы не хотели бы никого удивлять. Мы хотим, чтобы команды поиграли качественный A/D и порешали интересные задания на Всероссийской Олимпиаде. А удивлять участников поручим докладчикам конференции.

CTFNews: А чего ждут от соревнований сами организаторы?

Вик: Ой, я только что спросил в чате организаторов и боюсь, что тебе нельзя публиковать такие ответы :) Коротко: до RuCTF уже заметно меньше месяца и сейчас все занимаются подготовкой почти круглосуточно, поэтому всё, чего мы хотим — это чтоб RuCTF понравился участникам и побыстрее закончился.

Александр: Стоит вспомнить, что CTF — это дружба! Поэтому мы с Галей, ответственной за афтерпати, очень хотим, чтобы все участники пообщались, встретили старых знакомых и нашли новых, а самое главное — обменялись опытом.

CTFNews: Ни одно соревнование не обходится без судейства. вопрос — а кто судьи? Что будете делать с теми, кто нарушает правила или каким-то образом подрывает деятельность организаторов соревнований?

Вик: Обходится. У нас нет «звёздных» судей и экспертов, а результаты считает проверяющая система с открытым исходным кодом, так что все очки начисляются абсолютно прозрачно. Но если кто-то нарушит правила, судьбу команды будет решать Жюри.

Александр: Да, у нас есть Жюри — это команда разработчиков сервисов и технических специалистов, без которых игра не была бы возможна — всё это члены команды Хакердом, точный список которых мы скоро опубликуем на RuCTF.org. Жюри делает все возможное для того, чтобы соревнование получилось качественным, честным, и доставило участникам удовольствие. Тем не менее, жюри может наказать или дисквалифицировать команду за нарушение правил, а также может принимать решения в критических ситуациях, не описанных в правилах. Команды должны быть готовы отнестись к таким решениям с пониманием.

Вик: Однако, запретов в правилах совсем немного — участникам нельзя атаковать системы организаторов; фильтровать трафик от других команд; генерировать большой объем трафика, представляющий угрозу стабильности систем организаторов или других команд. И да, участники соревнований имеют право публично выражать сомнения в отношении решений Жюри или подвергать их критике :) Но таких случаев у нас пока не наблюдалось.

CTFNews: RuCTF, безусловно, очень масштабное соревнование, но есть ли подобные соревнования в стране? Для тех, кто не сможет попасть к вам.

Александр: Стоит определиться, говорим ли мы про A/D соревнования в частности или про все CTF в целом? Тасковых CTF довольно много, причём ещё больше хороших jeopardy проходит онлайн. Если же хочется поиграть хороший A/D в России и потусоваться с крутыми командами, то есть VolgaCTF и A/D Кубка CTF России, но для участия в первых нужно занять достойное место на отборочных соревнованиях, которые прошли в предыдущие выходные, а для участия во втором — победить в одном из региональных соревнований. Так что на хорошие соревнования попасть не так-то просто.

Вик: А как же Lunary, ребята из Вышки? Они только начинают делать большие соревнования, но уже подают большие надежды. Как раз 14 апреля начнётся отбор на MIEM Real CTF, который обещает стать крутым соревнованием. Победитель Real CTF будет приглашён на финал VolgaCTF, а по поводу приглашения на RuCTF 2020 мы пока думаем и ждём оценки качества от наших разработчиков.

Александр: Вообще, участвовать в CTF-соревнованиях можно, не вставая с дивана. Самое крутое — это тусовка и общение, которые есть как раз на больших мероприятиях: RuCTF, VolgaCTF, Кубке CTF России.