CTF 2021: „Game of Trons“

1 Dezember 2021

Am 26. und 27.11. fand auf dem Campus der Universität der Bundeswehr München und online der erste hybride „Capture the Flag“-Hacking-Wettbewerb des Forschungsinstituts CODE statt.

Freitag, 22:00 Uhr: Dunkle Räume, leuchtende Bildschirme, lockere Stimmung – und trotzdem herrscht weitgehend konzentrierte Stille im Unicasino: Diesen ungewöhnlichen Eindruck konnte man als einer der wenigen registrierten Gäste des 7. Capture the Flag-Events des Forschungsinstituts CODE mit Unterstützung von ITIS e.V. und Team localos auf dem Campus der UniBw M gewinnen. Ende November kamen – natürlich unter Einhaltung der geltenden Corona-Schutzmaßnahmen – 14 Teams, die das Online-Qualifying im Oktober als Beste von 60 teilnehmenden Teams absolviert hatten, auf dem Campus der UniBw M zusammen. Weitere 15 Teams kämpften in einem separaten Track mit leicht veränderten Aufgabenspektrum um den Sieg im Onlinewettbewerb, der ebenfalls unter dem Motto „Game of Trons“ stand. Insgesamt 18 Stunden lang lösten die Teilnehmenden anspruchsvolle Aufgaben aus dem Gebiet der Cybersicherheit.  Auf die Teams vor Ort wartete am Ende noch eine Überraschung.

Spannende Herausforderungen unter Pandemiebedingungen

Das CTF 2021 begann am späten Nachmittag des 26. November. Vor dem Hintergrund der aktuellen Pandemielage hatte die Gesundheit der Gäste absolute Priorität: Am Einlass zum Veranstaltungsort mussten alle Teams einen 2G-Nachweis vorzeigen. Schnelltests, Masken und Raumluftfilter sorgten für zusätzliche Sicherheit. Um 17.30 Uhr begrüßte Prof. Dr. Wolfgang Hommel für das Direktorium des FI CODE die Teilnehmenden vor Ort und online: „Einige Teams sind heute zum ersten Mal mit dabei, aber viele kennen unsere CTFs schon aus den letzten Jahren. Wir freuen uns deshalb, über 40 komplett neue Challenges am Start zu haben, die für eine schlaflose Nacht sorgen werden“. Nach einer kurzen technischen Einweisung durch das Administratoren-Team fiel dann um 18.00 Uhr pünktlich der Startschuss.

_{Das "Gameboard" (Spielumgebung) des CTF 2021: Ziel war es, Kontinente zu besiedeln und zu halten.}

Wie in jedem Jahr stand das CTF des FI CODE unter einem Motto, das Storyline und Gestaltung der Challenges bestimmte. Gemäß dem Titel „Game of Trons“ – eine Anspielung auf die erfolgreiche Fantasy-Serie „Game of Thrones“ und das SciFi-Epos „Tron“ – lautete die Zielvorgabe, Kontinente zu besiedeln und Herrschaft über diese zu erlangen. Statt Mord und Intrigen galt es jedoch, mörderische Herausforderungen zu lösen.

Von Forensik bis Virtual Reality: Aufgaben aus diversen Kategorien

Die über 45 anspruchsvollen Aufgaben kamen in diesem Jahr aus den Kategorien Krypto, Web, Forensik, Misc und Reversing/Pwning. Neben den klassischen Herausforderungen, die meist auf echten Sicherheitslücken basierten, warteten wie in den Vorjahren auch wieder einige außergewöhnliche Challenges auf die Teams. So wurden die Teilnehmenden z. B. durch eine Hardware-Challenge mit einem Oszilloskop, eine Art Geo-Caching-Challenge und sogar eine Virtual Reality-Challenge von Team localos herausgefordert.  Von 49 Challenges wurden insgesamt erfolgreich 36 gelöst.

_{In der Virtual-Reality-Challenge musste eine korrekte Befehlssequenz eingegeben werden, um Drachen abzuwehren und die bedrohte Burg zu retten.}

Gemäß dem etablierten Spielformat „Jeopardy“ bestand der Wettbewerb wie in der namensgebenden Spielshow aus klar voneinander abgetrennten Aufgaben, die größtenteils einzeln und in beliebiger Reihenfolge bearbeitet werden konnten. Die Kategorien der Challenges entsprachen den zu erobernden Kontinenten auf dem Gameboard, das in Form einer interaktiven Weltkarte gestaltet war. Für jede gelöste „Challenge“ erhielten die Teams eine „Flag“ und eine nach Schwierigkeitsgrad dynamisch berechnete Anzahl Punkte. Zusatzpunkte gab es für das erstmalige Lösen einer Challenge („First Blood“). Weiterhin wurden rundenbasiert Punkte für das Erobern und Halten eines Kontinents vergeben. Diejenigen Teams, die in einer Kategorie zum jeweiligen Zeitpunkt in Führung lagen, erhielten alle zwei Stunden 10 Punkte für jeden gehaltenen Kontinent.

And the winner is …

Das siegreiche Team konnte nach 18 intensiven Stunden die meisten Flags und die höchste Gesamtpunktezahl vorweisen. Bis zum Schluss blieb es spannend: Während Team T5 lange vorne lag, startete Nemesis gegen Ende eine Aufholjagd – für alle Anwesenden auf dem Scoreboard live zu verfolgen. Um Punkt 12.00 Uhr am Samstag stand dann fest: Die vier glücklichen Gewinner kamen aus dem Team Nemesis. Platz 2 erreichte Team T5, der dritte Platz ging an Sabobatage. Den Online-Track konnten die Careless Eagles vor 0x90 und Ignorital für sich entscheiden.

Die Siegerehrung nahm der Geschäftsführer des FI CODE, Volker Eiseler, vor. Neben Ruhm und Ehre erhielten die Gewinner des On-Site-Tracks die Möglichkeit, sich auf der sogenannten „Flag of Fame“ mit Unterschriften zu verewigen. Alle drei erstplatzierten Teams konnten sich außerdem über Sachpreise freuen.

_{CODE-Geschäftsführer Volker Eiseler (links) mit dem Siegerteam „Nemesis“, das sich zum Abschluss auf der sogenannten „Flag of Fame“ verewigen durfte.}

Überraschung zum Schluss
Eine große Überraschung gab es dann ganz zum Schluss. Herbert Abben, Direktor des SANS Institute EMEA, kündigte zugeschaltet per Videokonferenz einen zusätzlichen Gewinn an: Für das Siegerteam des On-Site-Tracks stiftete der renommierte Anbieter von Cybersecurity-Trainings und -Zertifizierungen insgesamt vier Gutscheine für einen On-Demand-Kurs des SANS Institute. Während sich die Gewinner über die gute Nachricht freuten, bedankte sich Volker Eiseler im Namen von CODE herzlich für den großzügigen Preis, der der Ausbildung der Cybersecurity-Experten von morgen zugutekommt – ein Ziel, das beide Institutionen verfolgen. 

Insgesamt wäre das CTF 2021 ohne die Unterstützung diverser weiterer Partner aus der Industrie nur schwer umsetzbar gewesen – zumindest hätten die Teilnehmenden ansonsten auf ihr leibliches Wohl in Form von Abendessen, Frühstück und „Lunch to go“ verzichten müssen. Wir bedanken uns bei all unseren Unterstützern!

Was ist ein „Capture the Flag“-Wettbewerb (CTF)?

CTFs bieten die Möglichkeit, spielerisch Kompetenzen im Bereich der Cybersicherheit zu entwickeln und tragen damit zur praxisbezogenen Ausbildung von Expertinnen und Experten bei.  Das „Capture the Flag“ des Forschungsinstituts CODE ist ein auf Wissenserwerb, Teambuilding und Spaß ausgerichteter Hacking-Wettbewerb, der seit 2015 einmal jährlich auf dem Campus der Universität der Bundeswehr München in Neubiberg stattfindet. Während des Events können bereits Studierende ihr theoretisches Wissen anhand verschiedener praktischer Herausforderungen testen.

Ansprechpersonen:

Organisations-Team „Capture The Flag” am FI CODE
E-Mail: ctf@unibw.de

Julius Zahn
Assistent der Geschäftsführung
Forschungsinstitut CODE
Tel.: +49 89 6004 7303
E-Mail:  julius.zahn@unibw.de

Lisa Scherbaum
Referentin für Öffentlichkeitsarbeit
Forschungsinstitut CODE
Tel.: +49 89 6004 7307
E-Mail: lisa.scherbaum@unibw.de

Medienberichte zum CTF 2021:

Infopoint Security (7.12.2021): https://www.infopoint-security.de/fi-code-capture-the-flag-2021-sans-institute-stiftet-preis-fuer-das-gewinnerteam/a29772/

Sectank.net (8.12.2021): https://sectank.net/magazin/2021/12/08/capture-the-flag-2021-des-fi-code-sans-institute-stiftete-preis-fuer-das-gewinnerteam/ 

_{Bilder: © FI CODE}