¿Qué es CTF?

CTF en ciberseguridad es una competencia donde los participantes deben resolver diferentes retos para conseguir banderas (flags). Los retos pueden clasificarse en varias categorías, incluyendo ingeniería inversa, criptografía, explotación web y binaria (pwn), entre otras. Las banderas, ocultadas por los organizadores en software o sistemas deliberadamente vulnerables, suelen ser archivos o fragmentos de código (puede ser algo tan simple como flag{this_is_a_sample_flag}). Aplicando sus conocimientos de seguridad, los participantes, solos o en equipo, en línea o presenciales, atacan sistemas para descubrir tantas banderas como sea posible durante un tiempo determinado, que puede ser de horas o incluso días. En algunos eventos, existen premios monetarios para quienes alcancen los primeros lugares.

Los CTF pueden dividirse en tres estilos principales: Jeopardy, Ataque-Defensa (Attack-Defense) y mixto. En el estilo Jeopardy, los participantes se encuentran con una serie de retos en los sistemas de la organización, que se encarga de presentar ciertas pistas. Mientras más banderas capturen en estos retos en el menor tiempo posible, más puntos pueden acumular. También influye que las tareas son de dificultad variable, por lo que las más complejas suelen otorgar más puntos. Al finalizar el tiempo total disponible, la persona o el equipo que haya acumulado más puntos gana.

En el estilo Ataque-Defensa hay una mayor similitud con el juego tradicional al aire libre, ya que dos o más equipos cuentan con sus propias banderas. Los objetivos de cada grupo son defender sus banderas en el sistema vulnerable que se les asignó (cerrando vulnerabilidades en un periodo limitado) y atacar, explotando vulnerabilidades en los sistemas de los equipos contrarios para capturar sus banderas. Los participantes reciben puntos tanto por defender como por atacar. Del mismo modo, el equipo con más puntos al finalizar el tiempo predeterminado gana el evento de CTF.

Reconociendo la abundancia de este tipo de competencias y cómo pueden quedar en el olvido una vez concluidas, en 2012 la idea de hacer un seguimiento de los CTF a nivel mundial comenzó a tomar forma en un sitio llamado CTFtime. Allí podemos encontrar una enorme lista de alrededor de 750 nombres de CTF, cada uno con su correspondiente conjunto de eventos realizados a lo largo de los años. En CTFtime tienen un registro de eventos pasados y de algunas tareas utilizadas en ellos, así como una lista de próximos eventos. También hay un ranking de equipos que han participado en los CTF con el paso del tiempo, y allí incluso puedes crear un equipo si deseas comenzar a competir.

Para crear el top 10 de esta publicación, decidimos apoyarnos en esa lista de 750 nombres de CTF, organizada por número descendente de eventos. Nos enfocamos en los primeros 57 nombres, donde el primero tenía 18 y el último 6 eventos asociados. Cada evento de CTF recibe un "peso", una métrica que sirve para reflejar su dificultad y clasificar a los equipos (ver detalles aquí). Sus valores van de 0 a 100, correspondiendo este último a la mayor dificultad. De este modo, tomamos para cada CTF los pesos de sus cinco eventos más recientes y calculamos su promedio (presentado a continuación entre paréntesis junto al nombre de cada CTF). Con estos valores establecimos el top 10, considerando también que todos los CTF de la lista hubieran tenido al menos un evento en este año o en el anterior.

10 - hxp CTF (65.40)

Esta competencia de CTF es organizada por hxp, un grupo de "hackers excepcionalmente atractivos" formado hace aproximadamente una década en Alemania, inicialmente bajo el complicado nombre de "H4x0rPsch0rr". Han tenido un evento anual de CTF desde 2015 (aquí está su propio archivo). El más reciente fue en diciembre del año pasado. Este fue de estilo Jeopardy, en línea, duró 48 horas y sus retos trataron sobre criptografía, pwn (explotación binaria), ingeniería inversa, explotación web, "zaj" y misceláneos. Este hxp CTF 2021 obtuvo un peso de 99.41 y fue liderado por el equipo israelí llamado pasten (No sabemos si en realidad es israelí, pero, en todos los casos, mencionaremos la nacionalidad correspondiente a la bandera vinculada al nombre del equipo en CTFtime).

9 - ASIS CTF (finales; 78.55)

Esta competencia de CTF es organizada por el equipo académico iraní ASIS.. Han figurado en CTFtime con eventos anuales desde 2013. Como se indica en su sitio, los retos que proponen o "están organizados en categorías como información general de seguridad (Trivia), hacking web, criptografía moderna, exploit, informática forense, ingeniería inversa, esteganografía", entre otras. La final de ASIS CTF 2021 fue de estilo Jeopardy, en línea y duró 24 horas. Tuvo un peso de 65.47 y fue ganada por el equipo estadounidense DiceGang, un grupo que, según datos de CTFtime, figura como líder en su país y séptimo en la "clasificación general" hoy para 2022. Incluso el año pasado y este año organizaron sus propias competencias de CTF. Las próximas clasificatorias de ASIS CTF se llevarán a cabo a mediados de octubre de este año, y las finales el 30 de diciembre.

8 - Dragon CTF (79.58)

Este certamen de CTF es organizado por el equipo Dragon Sector de Polonia, creado en febrero de 2013. Han venido realizando eventos anuales de CTF desde 2015; el más reciente fue en noviembre del año pasado, con un peso de 99.33. Fue un evento de 24 horas, en línea, de estilo Jeopardy, con retos de web, ingeniería inversa, pwn, criptografía y misceláneos. El ganador de este CTF fue el equipo taiwanés Balsn, cuyos integrantes, como se indica en su sitio web, están en su mayoría matriculados en el Laboratorio de Seguridad de Redes de la Universidad Nacional de Taiwán. Balsn también ha organizado su propio concurso de CTF desde 2019.

7 - RuCTF (80.60)

Este "desafío internacional en línea de seguridad de la información" forma parte de uno de los eventos de ciberseguridad más grandes de Rusia y es el primero de nuestra lista en estilo Ataque-Defensa. RuCTF, nacido en 2008, es organizado anualmente por el equipo HackerDom, asociado a la Universidad Estatal de los Urales. Como se explica en sus reglas, el desarrollo del juego es el siguiente:

El juego comienza entregando a los participantes servidores idénticos con un conjunto predefinido de servicios vulnerables. Durante la primera hora después de que se entrega la imagen del juego, los segmentos de red permanecen cerrados y los equipos deben concentrarse en administrar su servidor de juego y analizar las vulnerabilidades. Pasada esta hora, la red se abre y, durante 8 horas, los equipos pueden explotar vulnerabilidades para conseguir banderas de los demás equipos.

El RuCTF de este año se llevó a cabo en mayo y obtuvo un peso de 97.62. El ganador fue el equipo ruso Bushwhackers, de la Universidad Estatal de Moscú, que de hecho superó al equipo que, mientras escribimos esto, ocupa el primer lugar a nivel mundial este año: C4T BuT S4D, también de Rusia.

6 - HITCON CTF (80.71)

Esta competencia de CTF es organizada por la Hacks In Taiwan Conference (HITCON), un evento existente desde 2005 que forma parte de la Asociación de Hackers de Taiwán. Sus CTF se han celebrado anualmente desde 2014 (año a partir del cual su propio equipo de hacking registra participaciones en otros eventos de CTF). El más reciente fue en diciembre del año pasado. Este HITCON CTF 2021 fue de estilo Jeopardy, en línea y duró 36 horas. Entre los tipos de retos se encontraban pwn, misceláneos, criptografía, ingeniería inversa, web y juegos, alcanzando un peso de 88.98. El ganador fue el equipo estadounidense perfect blue, que también cuenta con miembros de otros seis países. Consultar los premios de este evento fue bastante sencillo: el primer lugar se llevó USD 4,096, el segundo USD 2,048 y el tercero USD 1,024. Los organizadores también distribuyeron USD 3,000 entre los cinco mejores equipos taiwaneses del evento.

5 - Google CTF (80.89)

Bueno, sobra decir quién está a cargo de organizar esta competencia de CTF. En CTFtime tienen registrados eventos anuales desde 2016. Cabe destacar que, en sus reglas, señalan que personas de todo el mundo pueden participar, excepto de Crimea, Cuba, Irán, Corea del Norte, Quebec y Sudán. Al igual que algunos de los anteriores, este CTF cuenta con una etapa de clasificación y una final. Recientemente, a principios de julio, tuvo lugar la primera de estas etapas para 2022. Fue un CTF de 48 horas, en línea, de estilo Jeopardy, con un peso de 97.84. Las categorías de retos fueron misceláneos, web, hardware, pwn, ingeniería inversa, criptografía y sandbox. Hubo premios para los tres primeros lugares, siendo el del primer lugar una jugosa suma de USD 13,337. El primer puesto lo obtuvo el equipo perfect r00t, una colaboración entre los grupos perfect blue y r00timentary. La etapa final supuestamente se realizó hace unos días, del 9 al 11 de septiembre, en una oficina de Google con 8 de los finalistas seleccionados, quienes tuvieron la oportunidad de ganar más premios.

4 - Hack.lu CTF (83.52)

Esta competencia de CTF es organizada por el grupo académico alemán FluxFingers, asociado a la Universidad Ruhr de Bochum. De hecho, este CTF forma parte de la conferencia de ciberseguridad Hack.lu, celebrada en Luxemburgo desde 2005. Parece ser que desde la primera reunión se han realizado CTF de Hack.lu cada año, pero el más reciente en octubre del año pasado fue la 11.ª edición organizada por FluxFingers. Este fue de estilo Jeopardy, en línea y con una duración de 48 horas. Al igual que en otros CTF, los jugadores podían participar solos, pero como comentaron en su sitio web: "recomendamos hacer equipo porque es más divertido y pueden aprender unos de otros". Los retos giraron en torno a ingeniería inversa, criptografía, seguridad web y explotación binaria. El peso de este evento fue de 94.48 y el ganador fue el equipo suizo organizers, que conserva el segundo lugar en la clasificación general de este año mientras escribimos este post. Hack.lu CTF 2022 está programado para octubre.

3 - DEF CON CTF (finales; 85.72)

Esta competencia de CTF forma parte de, como mencionamos en un artículo anterior cuando dimos una descripción general de este y otros eventos de seguridad ofensiva, "una de las convenciones de hacking más antiguas y grandes del mundo", la cual se celebra cada año en Las Vegas, EE. UU., desde 1993. Actualmente Nautilus Institute organiza este CTF, pero en años anteriores estuvo a cargo de Order of the Overflow, Legitimate Business Syndicate y Binjitsu de ddtek en diferentes periodos. La clasificatoria de mayo, de estilo Jeopardy, contó con la asistencia de 1,282 equipos. El DEF CON CTF 2022, celebrado en agosto como en años anteriores, fue de estilo Ataque-Defensa, con 16 equipos clasificados y 72 horas de duración. El peso de esta etapa final fue de 96.33 y el ganador fue el equipo Maple Mallard Magistrates (también conocido como MMM). Como premios se entregaron las codiciadas DEF CON Uber Badges (o black badges), que, como alguien comentó alguna vez en un post de Hackaday, otorgan "entrada gratuita de por vida" al evento y abren "prácticamente cualquier puerta cuando se incluyen en el currículum".

2 - PlaidCTF 2022 (94.60)

Esta competencia de CTF es organizada por el equipo académico estadounidense Plaid Parliament of Pwning (conocido como PPP) de la Universidad Carnegie Mellon, formado en 2009. En CTFtime existe registro de eventos anuales de PlaidCTF desde 2011. El evento más reciente tuvo lugar en abril de este año y se denominó Plaidiverse. Fue un CTF de 24 horas, en línea y de estilo Jeopardy. Las categorías de retos fueron explotación binaria, ingeniería inversa, criptografía, explotación web y misceláneos, alcanzando un peso de 93.67. El evento fue patrocinado y los premios fueron de USD 2,048 para el primer lugar, USD 1,024 para el segundo y USD 512 para el tercero. Al igual que en Google CTF 2022, el equipo ganador fue perfect r00t.

1 - 0CTF (96.25)

Esta competencia de CTF es organizada principalmente por el grupo académico chino 0ops, de la Universidad Jiao Tong de Shanghái. Han celebrado un evento anual de CTF desde 2015. A partir de 2018 se presenta bajo el nombre de 0CTF/TCTF, tal vez por la intervención que tuvo en su organización el conglomerado multinacional chino de tecnología y entretenimiento Tencent, específicamente a través de la marca Tencent Security y grupos asociados. El evento más reciente tuvo lugar en septiembre de 2021 (meses después de la etapa de calificación), siguió el estilo Jeopardy, fue en línea y duró 48 horas. Se sabe que hubo al menos retos de explotación web y binaria, logrando un peso de 95.00. Al igual que en Hack.lu CTF 2021, el equipo ganador fue organizers. Y aunque en CTFtime aparecen presentados como "0x20000 CNY" (así figura también en el sitio web del evento para este año), asumimos que los premios fueron de 20,000 CNY para el primer lugar, 10,000 CNY para el segundo y 8,000 CNY para el tercero. (En ese momento, como consultamos en Google, 20,000 CNY equivalían a unos USD 3,100). 0CTF/TCTF 2022, que al parecer será de una sola etapa, se llevará a cabo pronto, el 17 de septiembre, y está abierto a cualquier equipo del mundo sin restricción en el número de participantes por equipo. ¿Te animarías a participar?

Este ha sido nuestro top 10 de CTF. Seguramente más adelante abriremos espacio para hablar sobre competencias alternativas (como Pwn2Own y Tianfu Cup), en las que los participantes no trabajan en sistemas o servicios deliberadamente vulnerables, sino en dispositivos y software de uso masivo en el "mundo real", donde se busca descubrir vulnerabilidades de día cero (zero-day).

Los CTF, como hemos visto, suelen ser patrocinados por universidades u otras organizaciones y, sin duda, funcionan como un incentivo para poner a prueba habilidades y conocimientos en hacking ético y aprender aún más. Debido a esto y a la diversión que ofrecen, estas competencias de hacking se vuelven atractivas no solo para profesionales, sino también para principiantes en el campo y personas que están buscando hacia dónde orientar su futuro. Como señalaron Raman et al. hace unos años: "Debido a la extrema escasez de profesionales talentosos en seguridad, existe una necesidad crítica de organizar CTF".

¿Te interesa la ciberseguridad? ¿Te gustaría formar parte de un red team para evaluar de manera ética los sistemas de las organizaciones y contribuir a su seguridad? Si es así, sigue este enlace.