Im CTF-Labor der Hochschule Offenburg können UNITS-Studierende und andere Interessierte ihre praktischen Fähigkeiten in Bezug auf IT-Sicherheitsthemen ausweiten oder auf die Probe stellen. Bei einem sogenannten Capture The Flag (CTF) geht es grundlegend darum, spezielle Aufgaben, die sogenannten Challenges rund um verschiedenste „Hacking“-Themen zu lösen. Hinter jeder Challenge verbirgt sich nach erfolgreichem Lösen der jeweiligen Aufgabe die sogenannte „Flag“, eine spezielle Zeichenkette (z.B.: „flag_48bfe506e824cb010156de7195c2376c773fc386_“). Wird die korrekte Flag im CTF-Labor übermittelt, ist die Challenge gelöst und man erhält Punkte. Die Anzahl der Punkte reduziert sich in Abhängigkeit davon, wie viele bereits diese Challenge lösen konnten. Durch das Sammeln von Punkten entsteht eine Art Wettbewerb und ein Vergleich mit anderen Studierenden wird möglich. Es geht bei einem CTF aber in erster Linie darum, etwas zu lernen und nicht die meisten Punkte zu sammeln. Besonders im Fokus steht dabei der praktische Ansatz, das bekannte „Learning by Doing“.
Für dieses Online-Labor, zu erreichen über ctf.hs-offenburg.de im Hochschulnetz oder via VPN, stehen mittlerweile eine Vielzahl an Challenges zur Verfügung, die zudem ständig erweitert werden. Damit stets neue und aktuelle Herausforderungen bereitstehen, entwickelt unsere Projektgruppe neue Challenges für das CTF-Labor. Jedes Gruppenmitglied ist hierbei für zwei bis drei neue Aufgaben verantwortlich, für welche das „Hacking-Problem“ selbst entwickelt und implementiert wird, aber auch die Dokumentation für Tutoren angefertigt wird. Die Einteilung dieser Aufgaben erfolgt in spezielle Kategorien, so dass sich Studierende auch bewusst Aufgaben in einer spezifischen Rubrik vornehmen können. Unsere Challenges erweitern dabei die Kategorien „Stego“, „Web“, „Network“, „Forensic“ und „Crypto“.
Stego
„Hidden Image – Part 1“, “Hidden Image – Part 2”, “Hidden Image – Part 3”
Bei diesen Challenges geht es darum, versteckte Informationen in Bildern zu finden. Dabei kann sowohl Text oder auch weitere Bilder in einem Trägerbild versteckt sein.
Web
„JWT 1/3“, „JWT 2/3“, „JWT 3/3“
Bei diesen Challenges geht es darum, Schwachstellen und Angriffspunkte einer weit verbreiteten Authentifizierungsmethode (JSON Web Token (JWT)) kennenzulernen. Auch sollen die Challenges Teilnehmer anregen, sich mit der zugrunde liegenden Funktionsweise dieses Verfahrens auseinander zu setzen.
„Log4shell”
Es soll bei dieser Challenge die Schwachstelle im Logging-Service Apache Log4j (CVE-2021-44228), welcher in vielen Anwendungen Verwendung findet, ausgenutzt werden.
Network
„Knock Knock”
Mit Knock Knock soll dem Anwender ein Verfahren zum Sichern von Servern bzw. Netzwerken vorgestellt und nähergebracht werden. Die Challenge soll den Angreifer für alternative Möglichkeiten der Serverabsicherung bzw. weitere Optionen neben herkömmlichen Firewalls sensibilisieren.
Forensic
„Multi-Cody“
Es wird eine Zeichenkette bereitgestellt, welche über mehrere Kodierungen und Zeichenkettenmanipulationen verändert wurde. Durch Analyse des Strings und dem korrekten Einsatz von Dekodierungsmechansimen erhält man schließlich den Ursprungsinhalt.
“Windows Forensics”
Es soll unter dem Windows Betriebssystem NTFS ein bestimmter Datenstrom, der sog. Zone Identifier ermittelt werden. Dieser enthält Informationen, woher eine heruntergeladene Datei stammt.
„unencrypted“
Zukünftige IT-Sicherheitsspezialisten müssen den Umgang mit verschiedenen Tools beherrschen. Diese Challenge soll den Umgang von Filtertechniken mit dem Tool Wireshark schulen, mit denen interessante Spuren aus einem gegebenen Dump gefunden werden können. Zudem soll sie aufzeigen, dass das Protokoll HTTP jegliche Daten, insbesondere Passwörter, unverschlüsselt überträgt.
Crypto
“unsecure parameter”
Bei dieser Challenge soll das Wissen aus der Kryptografievorlesung in Bezug auf das Schlüsselaustauschverfahren Diffie-Hellman gefestigt werden. Die Studierenden sollen hierbei aus gegebenen Parametern auf den gemeinsamen geheimen Schlüssel kommen.
Zudem soll sie eine Möglichkeit aufweisen, wie man die errechneten Schlüssel in einem weiteren Verfahren anwenden kann, um eine symmetrisch verschlüsselte Nachricht zu entschlüsseln.
“Certificate Validation”
Bei dieser Challenge soll ein Einblick in das Thema Zertifikate geboten werden. Der Anwender muss sich mit dem Themengebiet auseinandersetzen, um den Aufbau von X.509 Zertifikaten zu verstehen und so eine Lösung zu finden.
Somit wird das CTF-Labor durch unser Projekt umfangreicher und bietet auch in der Breite mehr Herausforderungen für die interessierten Studierenden.
Projektteam:
Jannik Herrmann
Projektbetreuung:
Prof. Erik Zenner