Capture the flag (CTF): digitale speurtocht als hackertraining
Stel je een speurtocht voor, maar dan volledig digitaal: geen briefjes onder een boomstronk, maar geheime codes verstopt in kwetsbare websites, versleutelde berichten en computerprogramma's. Wie de zwakke plek vindt en die weet uit te buiten, ontdekt een uniek tekstfragment — de 'vlag' — en scoort daarmee punten. Dit is in de kern wat een capture the flag-wedstrijd (CTF) is: een cybersecuritycompetitie waarin hackers, van scholier tot professional, legaal en in een afgeschermde omgeving hun inbraaktechnieken op de proef stellen.
De naam is geleend van het bekende buitenspel waarbij twee teams elkaars vlag proberen te veroveren, maar dan vertaald naar de digitale wereld. In plaats van rennen door een bos, doorzoeken deelnemers programmacode, netwerkverkeer of versleutelde bestanden op fouten die een aanvaller zou kunnen misbruiken. Het bijzondere is dat dit allemaal gebeurt op systemen die speciaal — en met toestemming — kwetsbaar zijn gemaakt, zodat niemand zich zorgen hoeft te maken over de wet of over echte schade.
Wat is het precies?
Organisatoren van een CTF bouwen vooraf een reeks digitale 'puzzels' met daarin bewust ingebouwde zwakke plekken, zogeheten kwetsbaarheden. Denk aan een website met een lek in de inlogpagina, een programma dat crasht op een onverwachte invoer, of een bestand met een zwak versleutelingsalgoritme. Ergens in elk van die puzzels zit een unieke tekststring verstopt, meestal in de vorm flag{...}. Wie de kwetsbaarheid vindt en misbruikt, krijgt toegang tot die vlag en kan die vervolgens invoeren op een scorebord om punten te verdienen.
De uitdagingen zijn doorgaans ingedeeld in categorieën die elk een ander vakgebied van cybersecurity vertegenwoordigen. 'Web' draait om lekken in websites, 'crypto' om het kraken van zwakke versleuteling, 'pwn' (uitgesproken als 'pown', jargon voor iemand of iets 'overnemen') om het uitbuiten van fouten in programma's om er ongeautoriseerd controle over te krijgen, 'reversing' (reverse engineering) om het achterhalen hoe een programma intern werkt zonder de broncode te hebben, en 'forensics' om sporen terug te vinden in bestanden of netwerkopnames. Vaak is er ook een categorie 'OSINT' (open source intelligence), waarin deelnemers publiek beschikbare informatie combineren om iets te achterhalen, en een restcategorie 'misc' voor alles wat niet past.
Er bestaan grofweg twee wedstrijdvormen. Bij het populaire jeopardy-style-format — genoemd naar het Amerikaanse quizprogramma met een bord vol categorieën en puntenwaarden — kiezen teams zelf welke losse puzzels ze aanpakken; hoe lastiger de puzzel, hoe meer punten. Bij attack-defense-wedstrijden krijgt elk team een eigen kwetsbare server die het moet verdedigen, terwijl het tegelijk probeert de servers van andere teams binnen te dringen. Dat laatste format simuleert realistischer hoe verdediging en aanval in de praktijk samenhangen, maar is technisch complexer om te organiseren. Wedstrijden duren van een paar uur tot 48 uur aan één stuk, en vinden zowel online als fysiek plaats.
Wat wil men ermee bereiken?
Het belangrijkste doel is oefening: CTF's bieden een legale, gecontroleerde omgeving om aanvalstechnieken te leren die in de praktijk vaak illegaal zouden zijn als je ze zomaar op echte systemen zou uitproberen. Wie wil leren hoe een website gehackt kan worden, hoeft dankzij CTF's niet stiekem bij een willekeurig bedrijf in te breken — er zijn genoeg speciaal gebouwde oefenobjecten.
Daarnaast fungeren CTF's als wervingsinstrument. Bedrijven en overheidsinstanties die op zoek zijn naar cybersecuritytalent — van technologiebedrijven tot defensieorganisaties en inlichtingendiensten — organiseren of sponsoren wedstrijden om getalenteerde deelnemers te ontdekken. Een goede prestatie in een bekende CTF geldt in de sector vaak als een sterkere referentie dan een diploma alleen.
Ook educatie speelt een grote rol. Voor beginners en scholieren zijn er laagdrempelige competities die stap voor stap uitleggen hoe bepaalde technieken werken, met als doel jongeren enthousiast te maken voor een vakgebied waar wereldwijd een tekort aan personeel is. Tot slot ontstaat er een levendige kennisgemeenschap rond CTF's: na afloop van wedstrijden publiceren deelnemers vaak uitgebreide 'write-ups' waarin ze precies uitleggen hoe ze een puzzel oplosten, wat weer anderen helpt leren.
Voorbeelden uit de praktijk
DEF CON CTF geldt als de oudste en meest prestigieuze wedstrijd in dit veld. De competitie loopt al sinds het midden van de jaren negentig en vindt jaarlijks plaats tijdens de hackersconferentie DEF CON in Las Vegas. Alleen teams die zich via voorrondes kwalificeren, mogen meedoen aan de fysieke finale — vergelijkbaar met een wereldkampioenschap in de hackerscene.
picoCTF is opgezet door Carnegie Mellon University, een Amerikaanse universiteit met een sterke reputatie op het gebied van computerwetenschappen, en draait sinds 2013. De wedstrijd richt zich bewust op middelbare scholieren en absolute beginners, met opgaven die oplopen in moeilijkheidsgraad en uitleg die meer begeleidt dan bij de meeste andere CTF's.
CSAW CTF, georganiseerd door de NYU Tandon School of Engineering in New York, is een van de grootste door studenten gerichte cybersecuritycompetities ter wereld en trekt jaarlijks duizenden deelnemers van universiteiten wereldwijd.
Google CTF draait sinds 2017 en bestaat uit twee onderdelen: een 'Beginner's Quest' voor nieuwkomers en een zwaardere wedstrijd voor ervaren hackers, waarbij de beste teams zich plaatsen voor een finale.
HackTheBox, een platform opgericht in 2017, biedt naast losse oefenlabs ook doorlopende en tijdelijke CTF-achtige uitdagingen aan, en is uitgegroeid tot een van de bekendste plekken waar beginners en professionals hun vaardigheden onderhouden buiten de traditionele wedstrijdkalender om.
Hoe ver is de techniek?
Als 'methode' is CTF allesbehalve nieuw: het format bestaat al meer dan een kwart eeuw en is inmiddels volwassen en wijdverbreid. Via de gemeenschapswebsite CTFtime worden jaarlijks honderden competities wereldwijd bijgehouden en gerangschikt, van kleine lokale evenementen tot grote internationale finales.
Wat wél voortdurend verandert, is de inhoud. Naarmate nieuwe technologie mainstream wordt, verschijnen er nieuwe categorieën: uitdagingen rond cloudomgevingen, slimme contracten op de blockchain, kwetsbaarheden in kunstmatige-intelligentiesystemen en beveiliging van Internet of Things-apparaten duiken steeds vaker op naast de klassieke categorieën.
Er zijn ook knelpunten. De instapdrempel is voor veel beginners hoog: zonder programmeerervaring en basiskennis van netwerken is het lastig om aan de slag te gaan, ook al bestaan er inmiddels laagdrempelige varianten zoals picoCTF. Daarnaast bekritiseren sommige professionals uit de sector het format omdat het winnen van een CTF niet automatisch betekent dat iemand ook goed is in het dagelijkse, minder spectaculaire werk van een beveiligingsanalist, zoals het schrijven van rapportages of het opzetten van detectiesystemen. CTF-vaardigheden en praktijkvaardigheden overlappen, maar zijn niet identiek. Ook de organisatie van attack-defense-wedstrijden blijft technisch en financieel kostbaar, wat verklaart waarom het jeopardy-format veel vaker voorkomt.
Wie werken eraan?
Universiteiten vormen een belangrijke motor achter het veld. Naast Carnegie Mellon University en NYU Tandon in de Verenigde Staten heeft ook Nederland een sterke academische traditie op het gebied van offensief beveiligingsonderzoek, met onder meer de Digital Security-groep van de Radboud Universiteit in Nijmegen, die internationaal aanzien geniet in onderzoek naar kwetsbaarheden in hard- en software.
Aan bedrijfszijde zijn techbedrijven als Google actief met eigen wedstrijden, terwijl gespecialiseerde beveiligingsbedrijven wereldwijd — waaronder Nederlandse spelers als Fox-IT en Riscure — CTF's sponsoren of eigen teams laten meedoen als onderdeel van hun opleidings- en wervingsstrategie. Platforms als HackTheBox hebben er bovendien een verdienmodel van gemaakt om doorlopend oefenmateriaal aan te bieden.
Ook overheden en defensieorganisaties zijn betrokken, vooral als het gaat om het werven en trainen van cybersecuritypersoneel. In de Verenigde Staten en verschillende Europese landen worden CTF's gebruikt binnen militaire en inlichtingenkringen om talent te scouten, al zijn details over de precieze rol van dit soort organisaties vaak niet openbaar. De gemeenschap zelf wordt grotendeels in stand gehouden door vrijwilligers: de website CTFtime, die als centrale kalender en ranglijst fungeert voor duizenden teams wereldwijd, wordt door de gemeenschap zelf gerund en gefinancierd.