За каждой поездкой — отбор, финал, виза, билеты и вопрос, кто из команды сможет полететь. Рассказываем, как турниры превратились для CBS в маршрут по миру — и что в этих поездках было помимо соревнований.
Проверяем маршрут
Назовите все 12 стран: на какой CTF и с каким результатом вы туда попали?
Илья Греков: Румыния, Япония, Швеция, Саудовская Аравия, ОАЭ, Таиланд, Индонезия (Бали), Италия, Испания, Швейцария, США, Китай (Тайвань). Трудно вспомнить все соревнования, но раз квалились, значит, попадали в топ-10 или 8. В некоторых странах, например, в ОАЭ, Швеции и США, были несколько раз.
Какая поездка была первой и что должно было случиться, чтобы команда на неё решилась?
Илья Греков: Первой поездкой был контест в Румынии. К этому моменту у нас накопился уже опыт путешествия по соревнованиям в России, к тому же Румыния находится не так далеко от нас, и у ее жителей схожий менталитет. Поэтому взяли самых больших любителей путешествовать и отправились туда.
Иван Новиков: Если я правильно помню, первым был DefCamp CTF в Румынии. Мы прошли отбор и поехали на 24-часовой финал. Уже не помню, оплачивали ли нам перелёт или мы покупали билеты сами. Получали отдельные румынские визы в посольстве в Москве.
Мы не выиграли, хотя были близки: не решили какую-то очень дурацкую задачу. Но сам CTF получился душевным. В Румынии было тепло и дёшево, мы играли в небольшом помещении на территории конференции и все 24 часа оставались на площадке. Спали на пуфиках, организаторы заказывали нам пиццу. В какой-то момент они зачем-то включили гимн СССР, и нам пришлось подпевать.
Это был наш первый такой опыт: приехать в другую страну и провести сутки на CTF. Было интересно.
В каких случаях вы ехали по приглашению, за призовые, при поддержке партнёра или за свои деньги?
Илья Греков: Почти всегда мы едем за счет организаторов, — за свой счет ехать как-то не особо хочется, но были и исключения. Поддержка спонсора была только на DEF CON: компания, в которой работают Рома и Артем, оплатила не только визы и билеты до Лас-Вегаса, но и попытки получения этих виз в других странах.
Были ли страны, куда вы квалифицировались, но так и не смогли поехать?
Илья Греков: Самое крупное из наших соревнований — DEF CON, много ребят не смогли получить визу. Для других турниров эта проблема тоже была актуальна, но в меньшей степени.
Какая страна оказалась самой необычной для вас?
Иван Новиков: Из тех, где я был, — Саудовская Аравия. По ощущениям она сильно отличалась от Дубая. Среди наших знакомых мало кто бывал в Эр-Рияде, и нам было интересно посмотреть, как там живут.
Мы общались с местными: спрашивали, как у них всё устроено, как они учатся. Нас угощали местной едой, показывали достопримечательности. Поэтому, кроме CTF, общения с командами и призовых, у этой поездки была большая туристическая часть.
Про деньги и организацию
Из чего обычно складывается бюджет одной поездки?
Роман Никитин: Виза, билеты, отель, еда на месте.
Кто в команде занимается билетами, визами, жильём и документами?
Роман Никитин: Тот, кто является капитаном на данный ивент.
Какие расходы чаще всего недооценивают участники, которые едут на офлайн-CTF впервые?
Роман Никитин: Никакие, все расходы очевидны.
Как вы выбираете состав команды на финал, если полететь могут не все?
Роман Никитин: Кто больше участвовал в отборе и в целом в команде, дальше выбираем по незакрытым категориям.
Про сами турниры
Чем офлайн-финал ощущается иначе, чем онлайн-турнир?
Илья Греков: Финалы часто проходят в рамках различных конференций, поэтому всегда есть ощущение массовости: много людей, громкая музыка, большие столы с кучей проводов, в результате получается намного больше эмоций во время игры.
Был ли турнир, на который вы давно хотели попасть? Оправдались ли ожидания?
Иван Новиков: DEF CON. Было ощущение: это главное соревнование, значит, нужно хотя бы раз туда отобраться и съездить.
Но сама игра нам не понравилась. Организация, технические проблемы, задачи — всё это оставило скорее разочарование. Вместо удовольствия от соревнования ты пытался разобраться с инфраструктурой, неработающей сетью и всё-таки заработать какие-то баллы.
При этом сама конференция была интересной. Обидно, что из-за CTF на неё оставалось мало времени. Даже когда занимаешься чем-то совершенно мучительным и, как тебе кажется, бесполезным, отойти от игры трудно. Мы всё равно пытались выбираться и смотреть, что происходит вокруг.
На DEF CON я бы, пожалуй, съездил ещё раз — уже на саму конференцию, чтобы спокойно походить, посмотреть и почувствовать эту атмосферу.
Что больше всего запомнилось на DEF CON за пределами игры?
Иван Новиков: Афтепати. Представьте: всех этих нердов, хакеров и программистов отправляют в огромный люкс в Лас-Вегасе, как в американском кино. Номер комнат на семь-восемь, в одной — караоке. Ванные засыпаны льдом, в них охлаждаются напитки.
Кто-то играет диджейский сет, команды обмениваются стикерами: оставляешь свои, забираешь чужие. Организаторы Google CTF настраивают караоке, чтобы спеть пару песен. Всё напоминает американскую подростковую вечеринку из фильма, только вокруг CTF-щики и ИБ-шники.
В какой-то момент приходит LiveOverflow. Можно подойти, поговорить, задать вопросы, сфотографироваться. Это очень прикольный опыт.
Закончилось всё тоже кинематографично: пришла полиция с собаками, и вечеринку разогнали. А потом участники начали писать, что заболели ковидом. Так бывает.
Есть ли у CBS ритуал или рабочий процесс, который появился именно в поездках?
Илья Греков: Каких-то ритуалов, кажется, не сложилось, но в поездках люди почти не опаздывают к началу, а иногда даже приходят раньше, поэтому можно обсудить какие-то элементы стратегии заранее, в основном связанные с тулингом.
Как вы распределяете работу между теми, кто находится на площадке, и теми, кто помогает удалённо?
Илья Греков: Сначала пробовали организовать общение всех-со-всеми, но в итоге не вышло: очные участники общаются в основном друг с другом, а удаленным ребятам тяжело донести свою мысль. Поэтому остановились на небольших группах, каждая из которых решает свой набор заданий и общается голосом или в чате, а если нужно централизованное решение, то оно проходит среди тех, кто присутствует очно.
Какая техническая проблема на турнире запомнилась сильнее всего?
Илья Греков: Очень слабый интернет на арабских площадках. Подробностей не знаю, но там постоянная война между организаторами CTF, которые хотят быстрый интернет без ограничений для участников, и организаторами конференции, которые не очень гарантируют такую возможность.
А какая — совсем не техническая?
Илья Греков: Самая главная нетехническая проблема произошла в 2024 году, когда часть нашей команды летела с финала Google CTF, который проходил в Испании, на Бали, на финал SAS. Лететь предстояло с пересадкой, но из-за того, что рейс задержали, пересадочный самолет улетел за 9 минут до прилета ребят. Тем, кто полетел на Бали из России так же не очень повезло: хоть организаторы и знали время их прилета и даже заказали трансфер, парням пришлось чуть ли не ночевать на улице, потому что заселение в отель было через 10 часов после их приезда. А дозвониться до организаторов не вышло…
Какая поездка особенно запомнилась?
Иван Новиков: Наверное, ADDA CTF в Дубае. Там всё было довольно необычно. Организаторы проводили CTF впервые, призовой фонд был неплохой, а сама игра растянулась на пять дней.
Каждый день начинался новый этап с новым набором заданий. На игру отводили примерно полный рабочий день — точное количество часов уже не вспомню. После окончания этапа дорешать вчерашние задачи было нельзя.
Получилось, что мы ещё и отдохнули. В первый день хорошо поиграли, во второй — разгромили соперников. На третий и четвёртый занимались, по сути, багбаунти, за которое тоже давали очки. В итоге выиграли CTF и при этом не особенно устали.
Когда игра идёт пять дней, но каждый вечер у тебя свободен, это очень приятно. Мы ездили на пляж, купались, общались. Ребята ходили в аквапарк и зоопарк, а ещё мы искали самые дешёвые видеокарты в Dubai Mall. В общем, все вместе прокляли Дубай и прекрасно провели время.
А какой финал запомнился именно игрой?
Иван Новиков: Тут я бы предложил ребятам рассказать про Google CTF в Японии. Сам я туда не ездил, но со стороны было видно, насколько им понравилось. Они не выиграли, однако вернулись довольными и отдохнувшими. Я давно не видел их такими невыгоревшими после CTF.
Про людей и международную сцену
С кем вы познакомились благодаря поездкам и во что эти знакомства потом выросли?
Иван Новиков: Некоторые знакомства начались онлайн, а поездки позволили встретиться лично и нормально пообщаться. Так было, например, с crazyman и другими ребятами из r3kapig. Мы сотрудничали с ними, а на DEF CON ездили и играли вместе, объединённым составом. Это был классный опыт.
На самом DEF CON и на афтепати можно познакомиться с людьми из самых разных областей ИБ: от CTF-ветеранов до исследователей, которых ты раньше видел только в интернете. Мы познакомились с LiveOverflow, поговорили про немецкий рынок ИБ и про то, куда вообще движется индустрия. Ребята пообщались со знакомыми по CryptoHack.
В этом и ценность поездок: человека, с которым ты раньше переписывался или решал задачи, наконец можно встретить и поговорить с ним о чём-то за пределами очередного таска.
Чем отличаются CTF-сцены в разных странах: организация, задачи, общение между командами?
Иван Новиков: Я бы сравнивал отдельные соревнования. В одной стране можно попасть на совершенно разные CTF — и по организации, и по задачам, и по атмосфере.
Например, на VolgaCTF афтепати, кажется, иногда важнее самой игры. Вокруг соревнований сохраняется атмосфера праздника, и ради этой движухи тоже хочется приезжать. От DEF CON у меня осталось похожее впечатление: сама игра местами казалась неорганизованной, зато всё, что происходило после, было очень интересным. Общение, шоты, диджеи — люди собираются и хорошо проводят время.
У Google CTF другой характер: высокий уровень организации, хорошие трансляции, интересные задачи. Команд меньше, поэтому всё ощущается камернее и общаться проще. Про сам финал лучше расскажут Илья, Рома и Артём, которые в нём играли. Я давно не видел, чтобы они получали столько удовольствия от игры.
Мне также запомнился Midnight Sun CTF в Стокгольме: хорошая организация и интересные задачи. Понравились SAS CTF, который делали ребята из России, и ADDA CTF в Дубае. При этом были и зарубежные соревнования, про которые я думал: у нас RuCTF организован лучше.
С задачами та же история: большой призовой фонд ничего не гарантирует. На Black Hat MEA CTF в Саудовской Аравии были хорошие, сложные таски, над которыми действительно приходилось посидеть. А были такие, что после знакомства с решением хотелось только послать автору лучи добра. Смотришь и понимаешь: удовольствия от этого ты бы не получил, даже если бы решил.
Поэтому обобщать до «в этой стране хорошие CTF, а в этой плохие» я бы не стал. Нужно смотреть, кто делает конкретное соревнование и что у этих людей получалось раньше.
Был ли момент, когда вы почувствовали себя не просто участниками турнира, а частью международного сообщества?
Иван Новиков: Да, но это происходило постепенно. На многие соревнования мы приезжали уже командой, которую знали. Называешь C4T BuT S4D, и человек узнаёт тег: кто-то видел нас в рейтинге CTFtime, кто-то играл в соревнования, которые мы организовывали. Приятно, когда к тебе подходят и спрашивают, как вы что-то решили или сделали.
Для CBS ощущение причастности к международному сообществу во многом появилось благодаря организации собственных CTF. В них играли люди из разных стран, узнавали о нас, общались с нами. Поездки продолжали это знакомство.
Да и само сообщество не существует только на финалах. Есть Slack-каналы, CryptoHack и другие места, где люди обсуждают задачи и делятся идеями. Ты можешь быть частью этой среды, даже если пока никуда не ездил.
Если всё-таки выделять одну поездку, то, наверное, DEF CON. Там чувствуешь масштаб американской и международной ИБ-тусовки. До поездки ты знаешь о ней со стороны, а после у тебя уже есть знакомые, с которыми вы обсуждали задачи на афтепати. Она становится тебе немного ближе.
Что иностранные команды обычно знают о российской CTF-сцене, а что их удивляет?
Иван Новиков: Мне кажется, их прежде всего удивляет, насколько в России любят Attack/Defense и насколько хорошо умеют его делать.
На DEF CON я общался с ребятами из Германии, которые говорили, что RuCTF — лучший A/D, на котором они были. По-моему, это был человек из ENOWARS.
По моим разговорам, российскую сцену за рубежом во многом воспринимают именно через A/D: у нас его много играют, у нас сильные команды и хорошие соревнования. Jeopardy в этом образе занимает меньше места.
Мы ещё пытались рассказывать про Кубок России и про то, как всё устроено вокруг него. Но, честно говоря, подробности нашей системы соревнований обычно вызывали меньше интереса.
Про обратную сторону
Какая поездка не оправдала ожиданий?
Артем Михеев: Поездка на GoogleCTF 2024, так как с GoogleCTF 2023 ожидалась качественная организация эвента и интересное соревнование, а ни то ни другое не выполнилось. В 2023 финал проходил в Токио, в 2024 в небольшом городке в Испании. В 2023 нас поселили в удобный отель в шаговой доступности от офиса Гугла, где проводился финал, в 2024 нас поселили в рандомный мотель, и соревнования проходили в подвальной аудитории какого-то рандомного университета, до которого нас довозили на трансфере. Сами соревнования отличались по качеству бесконечно.
Случалось ли отказаться от турнира из-за денег, визы, работы или учёбы?
Артем Михеев: От поездки на Insomni’hack отказались из-за необходимости виз, поездка на Миднайт не удалась, потому что организаторы специально задерживали документы для виз по приказу сверху, чтобы русские не приехали.
Какие сложности поездок зритель обычно не видит по командным фотографиям?
Артем Михеев: Вся поездка воспринимается как один большой день, потому что постоянно суета, нет времени отдохнуть, так как организаторы предоставляют билеты и проживание только на сам период соревнования. Помимо очевидной подготовки к соревнованиям, есть ещё такая же подготовка по поездке: кто-то должен разобраться с визами, выбрать билеты, и т.д.
Какая поездка оказалась самой сложной логистически и почему?
Роман Никитин: Испания и Бали, про которую рассказывал Илья. Ну и проблемы с визами и перелётами в страны, где сейчас это невозможно.
От поездок на финалы тоже можно устать?
Иван Новиков: Да, у нас в какой-то момент началось «горе от успеха». В чате CBS приходилось искать людей, которые вообще готовы куда-то поехать.
Например, есть финал на Тайване, но до него нужно добираться с тремя пересадками. Возможно, ещё и за свои деньги. Хотя дело было не только в расходах: даже когда поездку оплачивали, люди уставали и не хотели снова лететь.
Я тоже помню это ощущение: собираешься на очередной CTF, а особого желания уже нет. Вроде бы интересная поездка, но всё это начинает утомлять.
На каком зарубежном CTF вы были в последний раз?
Иван Новиков: На SAS CTF на Пхукете. И это было очень круто.
Для меня это тот самый опыт CBS: вы друзья, у которых есть общее хобби — играть в CTF и разбирать A/D-сервисы. Мы приехали, поиграли, выиграли. Потом общались с другими командами, выпивали, слушали доклады на конференции, ходили купаться и есть. Было весело и очень приятно снова собраться.
Есть, конечно, грустная дедовская часть меня, которая думает: а вдруг этот зарубежный CTF окажется последним? Я сейчас не слишком верю, что таких поездок впереди будет много. Но сам SAS оставил очень хорошие впечатления.
Какой совет вы дали бы команде, которая хочет попасть на свой первый зарубежный финал?
Иван Новиков: Первый совет — родиться пораньше. Это, конечно, шутка, но мне кажется, что офлайн-финалов становится меньше.
Если серьёзно, следите за CTFtime и обращайте внимание на соревнования, о которых мало говорят. На ADDA CTF в Дубае мы попали практически случайно. Насколько я помню, организаторы поздно опубликовали анонс на CTFtime, поэтому в квалификации участвовало мало команд. Сильных составов было буквально два, включая нас.
При этом финал оказался действительно хорошим. Мы провели в Дубае почти неделю, и примерно пять дней так или иначе были связаны с CTF и ИБ. Получилась поездка, от которой мы получили много удовольствия. Если бы пропустили анонс, этого опыта у нас бы не было.
И ещё: будьте готовы к тому, что на какие-то финалы придётся ехать за свои деньги. Рассчитывать, что поездка окупится призовыми, я бы не советовал. Их ещё нужно выиграть.
Но даже без призовых поездка может того стоить: вы сыграете на новом турнире, познакомитесь с людьми и попутешествуете вместе с командой. Просто лучше заранее понимать, что именно вы готовы за этот опыт заплатить.
В какую страну или на какой турнир CBS ещё хочет попасть — и что для этого нужно сделать?
Иван Новиков: За всю команду я отвечать не могу, но думаю, что CBS с удовольствием съездили бы ещё на какой-нибудь финал в тёплой стране.
Лично я хотел бы попасть на CTF в Японии. Команда там уже была, а я — нет. Ещё интересно съездить туда, где никто из нас не бывал или куда сложно добраться просто так. Ребята, например, ездили на Тайвань. Мне кажется, финал в Австралии тоже был бы отличным поводом для поездки.
А если совсем фантазировать — я бы съездил на CTF в Северной Корее, если бы такой существовал. Без интернета. Наверное, это был бы любопытный опыт.
