Hvað er gagnaglíma?

Í þessum kafla ætlum við að kynna okkur gagnaglímur (e. Capture the Flag, skammstafað CTF). Netöryggi er nefnilega ekki bara fræðileg grein sem lærð er úr bókum; þetta er fyrst og fremst verkleg iðn þar sem besta leiðin til að læra er að prófa sig áfram. Gagnaglímur eru leikjavæddar keppnir sem eru hannaðar til að leyfa fólki að spreyta sig á raunverulegum áskorunum í öruggu og löglegu umhverfi.

Uppruninn og nafnið

Heitið „Capture the Flag“ kemur úr hefðbundnum útileikjum þar sem tvö lið keppast við að ræna fána hvors annars og flytja yfir á sitt svæði. Í tölvuheiminum er þetta svipað, en í stað raunverulegs fána er leitað að fána (e. flag) í stafrænu formi.

Í gagnaglímum er fáninn yfirleitt sérstakur textastrengur sem er falinn í tölvukerfum, forritum eða vefsíðum. Í okkar verkefnum er fánasniðið alltaf á forminu gg{texti} (t.d. gg{vel_gert_thu_fannst_fanan}), nema annað sé tekið fram. Þegar þér tekst að leysa ákveðna þraut, hvort sem hún felur í sér að finna veikleika á vefsíðu eða lesa dulkóðuð skilaboð, færðu fánann í verðlaun. Með því að senda fánann inn í keppniskerfið sannar þú að þér hafi tekist að leysa þrautina og færð stig fyrir.

Ólík keppnisform

Gagnaglímur skiptast aðallega í tvo flokka sem reyna á ólíka færni og krefjast mismunandi skipulags:

Hefðbundin gagnaglíma (e. Jeopardy)

Þetta er algengasta keppnisformið, sérstaklega fyrir byrjendur, og er sniðið að Hakkaraskólanum. Í þessum gagnaglímum er keppendum sýndur listi af ólíkum áskorunum sem skiptast í ákveðna flokka. Hver þraut gefur ákveðinn stigafjölda sem fer eftir erfiðleikastigi. Keppendur geta leyst þrautirnar í þeirri röð sem þeim hentar og engin bein samskipti eða árásir eiga sér stað á milli keppnisliða.

Dæmigerðir flokkar á slíkum mótum eru:

• Veföryggi (e. Web Security): Fundið veikleika í vefsíðum og vefþjónustum.
• Bakhönnun (e. Reverse Engineering): Greint hvernig keyranleg forrit virka og fundið lykilorð eða fána sem eru faldar í kóðanum.
• Dulritun (e. Cryptography): Ráðið í dulkóðuð skilaboð eða fundið veikleika í dulritunarkerfum.
• Minnisveikleikar (e. Binary Exploitation / Pwn): Yfirskrifað minni í forritum til að fá þau til að keyra eigin skipanir.
• Ýmislegt (e. Miscellaneous / Misc): Þrautir sem passa ekki í aðra flokka, til dæmis forritunarþrautir eða rannsóknir á skrám.

Gagnahríð (e. Attack/Defense CTF)

Þetta er flóknara og kvikara keppnisform sem líkir eftir raunverulegum aðstæðum í netöryggi. Hvert lið fær úthlutað eins konar „sýndarvirki“ – netþjóni sem keyrir fjölda þjónusta sem innihalda viljandi veikleika.

Markmið hvers liðs er tvíþætt: 1. Vörn: Liðið þarf að verja sinn eigin þjón með því að greina flæði netumferðar, finna veikleikana í þjónustunum og smíða lagfæringar (e. patches) til koma í veg fyrir árásir án þess að eyðileggja virkni þjónustunnar. 2. Sókn: Samhliða þarf liðið að smíða árásir (e. exploits) og beita þeim gegn þjónustum annarra liða til að stela fánum úr kerfunum þeirra.

Gagnahríð krefst mikillar samvinnu, hraða og djúps skilnings á kerfisstjórnun og samskiptareglum.

Saga gagnaglíma á Íslandi

Gagnaglímur námu land frekar seint á Íslandi, miðað við önnur lönd. Hér er rakin saga Gagnaglíma á Íslandi, eftir því sem höfundar fá best að komið.

Fyrsta glíman í HR (2011)

Fyrsta íslenska gagnaglíman var haldin haustið 2011 í Háskólanum í Reykjavík. Skipuleggjendur hennar voru þeir Ýmir Vigfússon og Freysteinn Alfreðsson. Keppnin var haldin í framhaldi af netöryggisnámskeiði sem Ýmir kenndi við HR. Keppnissniðið var gagnahríð (e. Attack/Defense) og vakti keppnin mikla athygli í tæknisamfélaginu. Þar kepptu lið skipuð háskólanemum og sérfræðingum úr atvinnulífinu um að verja sínar eigin tölvur og brjótast inn í tölvur andstæðinganna í rauntíma.

Keppnin sýndi fram á að hægt væri að kenna netöryggi á hagnýtan og spennandi hátt á Íslandi, og lagði grunninn að frekari þróun þessara mála hér á landi.

Árin 2012 og 2013 voru svipaðar keppnir haldnar í tengslum við námskeið Ýmis.

IceCTF (2016)

Fimm árum síðar, árið 2016, var stigið stórt skref þegar fyrsta íslenska gagnaglíman (e. Jeopardy CTF), IceCTF, var haldin. Að baki keppninni stóðu þeir Hlynur Óskar Jónasson, James Elías Sigurðsson og Heiðar Karl Ragnarsson, undir leiðsögn Ýmis Vigfússonar.

IceCTF var ekki aðeins ætluð íslenskum nemendum heldur var hún opin öllum á Internetinu. Keppnin varð gríðarlega vinsæl á heimsvísu og laðaði að sér þúsundir þátttakenda frá tugum landa.

IceCTF var aftur haldin árið 2018, en hefur ekki verið endurvakin síðan.

Af hverju ættum við að taka þátt?

Gagnaglímur eru frábær leið til að byggja upp færni sem nýtist beint í atvinnulífinu. Þær kenna okkur:

• Gagnrýna hugsun: Að skoða kerfi og spyrja: „Hvernig var þetta hannað, og hvernig get ég fengið það til að gera eitthvað sem hönnuðurinn sá ekki fyrir?“
• Þrautseigju: Oft þarf að prófa tugi ólíkra leiða áður en rétta lausnin finnst.
• Hagnýta kunnáttu: Þú lærir ekki bara að lesa um hluti heldur að smíða árásir og varnir sjálfur.