Capture the flag (sicurezza informatica)

Una squadra che partecipa alla competizione CTF a DEF CON 17

Le Capture the Flag (spesso abbreviate in CTF[1]) nella sicurezza informatica sono un tipo di competizione in cui i partecipanti tentano di trovare stringhe di testo, chiamate flag, nascoste in programmi o siti web volutamente vulnerabili[2]. Le competizioni possono includere flag nascoste nei dispositivi hardware, possono essere organizzate sia online che fisicamente e possono essere rivolte a utenti esperti o alle prime armi. Il nome deriva dall'omonimo sport all'aria aperta[3].

Possono venire organizzate sia per fungere da mezzo di apprendimento[4] che per attuare una valutazione delle competenze[5].

Formati

Nonostante esistano molti formati di CTF, nel tempo sono stati principalmente il formato jeopardy e l'attacco-difesa a diffondersi[6].

Nel primo formato i team devono completare il maggior numero di sfide (challenge) di varie categorie come crittografia, sicurezza software, sicurezza web e reverse engineering, che spesso consistono nel violare servizi installati nei server degli organizzatori[7].

Nel formato attacco-difesa a tutte le squadre viene fornita una copia dei servizi da ospitare sui propri server. L'obiettivo è quello di far continuare a funzionare i servizi normalmente rimanendo raggiungibile, applicando patch per la difesa e automatizzando gli attacchi in modo da colpire quante più squadre possibile ripetutamente[8].

Risvolti didattici

Le CTF hanno dimostrato di essere un modo efficace per migliorare le competenze in sicurezza informatica attraverso la gamification[9]. Esistono anche esempi di CTF progettate per lo sviluppo di competenze di un pubblico generale, come la PicoCTF, organizzata dal Carnegie Mellon CyLab e pwn.college, supportata dalla Arizona State University[10].

Oltre ad essere eventi e metodi d'insegnamento verticali, le CTF hanno dimostrato di essere un modo molto efficace per accelerare l'apprendimento di concetti di sicurezza informatica nei percorsi di studio tradizionali[11]. Le CTF sono state incluse nei corsi universitari di informatica nel corso "Introduction to Information Security" (introduzione alla sicurezza dell'informazione) presso l'Università nazionale di Singapore[12].

Le CTF sono anche popolari nelle accademie militari, venendo incluse come parte del curriculum per i corsi di sicurezza informatica. Un esempio è l'esercitazione informatica organizzata dalla NSA che include l'organizzazione di una CTF tra le accademie di servizio degli Stati Uniti e le università militari[13].

Competizioni

Competizioni organizzate dalle community

Ogni anno vengono organizzate centinaia di CTF, che possono essere legate a conferenze internazionali come a piccoli eventi locali[14].

La DEF CON CTF, una delle competizioni più antiche, richiede di raggiungere un buona posizione in classifica ad una gara di qualificazione per poter partecipare alle finali in presenza, ed ha acquisito una fama ed importanza tale da venire rinominata la "World Series"[15], il "Superbowl"[16], e le " Olimpiadi"[17] di hacking dai media statunitensi. La regione Sardegna ha fornito alla squadra di sicurezza informatica dell'Università di Cagliari srdnlen supporto per massimizzare, nell'edizione 2025, la probabilità di qualificarsi per le finali[18], impresa fallita con una distanza di circa 20 posizioni dall'obiettivo[19].

Tra le CTF organizzate interamente da studenti spicca la Cybersecurity Awareness Worldwide (CSAW) CTF organizzata da NYU Tandon, Grenoble INP - Esisar, NYU Abu Dhabi, Università Iberoamericana, Indian Institute of Technology Kanpur[20].

Altre CTF sono partecipate e organizzate da comunità studentesche locali, come per la Kalmar CTF[21] in nord Europa o la M0lecon CTF di Torino[1].

Competizioni sostenute dai governi

Tra le competizioni governative troviamo la DARPA Cyber Grand Challenge[22] e la European Cybersecurity Challenge organizzata dall'ENISA[23].

Nel 2023, in vista della Hack-a-Sat CTF sponsorizzata dalla US Space Force è stato mandato un satellite vulnerabile nello spazio, che i partecipanti potevano violare una che questo era arrivato in orbita[24]. La gara è stata poi vinta dal collettivo italiano mhackeroni, che ha scattato una celebre foto dal satellite[25].

Competizioni supportate dalle aziende

Aziende e altre organizzazioni possono utilizzare le CTF per formare o valutare i dipendenti ed i processi aziendali. I vantaggi delle CTF sono simili a quelli dell'utilizzo delle CTF in un ambiente educativo. Oltre alle gare interne, alcune società come Google organizzano CTF[26] e come Tencent sponsorizzano diversi eventi all'anno[27].

Nella cultura popolare

  • In Mr. Robot, i video di un turno di qualificazione della DEF CON CTF vengono mostrati nell'intro della stagione 3 "eps3.0_power-saver-mode.h"
  • In The Undeclared War, una CTF appare nella scena iniziale della serie mentre viene utilizzata come esercizio di reclutamento dal GCHQ[28]
  • Go Go Squid!, è una serie televisiva incentrata sugli allenamenti e le CTF.

Note

  1. 1 2 Capture the Flag, diventare esperti di cybersecurity giocando: le challenge, su Agenda Digitale, 28 giugno 2021. URL consultato il 25 dicembre 2025.
  2. ↑ Vincenzo Digilio, Capture The Flag: così i team di hacking individuano le vulnerabilità in software e sistemi, su Cyber Security 360, 4 maggio 2021. URL consultato l'11 novembre 2023.
  3. ↑ (EN) Eric Brown, CTF Hacking: What is Capture the Flag for a Newbie?, su AT&T Cybersecurity, 23 dicembre 2019. URL consultato l'11 novembre 2023.
  4. ↑ (EN) Tiina Schafeitel-Tähtinen e Willi Lazarov, Teaching and Learning Cybersecurity Using Capture the Flag: Effectiveness Comparison Between University Students in Finland and Czechia, in Computer Applications in Engineering Education, vol. 33, n. 5, 2025, pp. e70082, DOI:10.1002/cae.70082. URL consultato il 25 dicembre 2025.
  5. ↑ Difesa: conclusa la prima SMD CYBER CHALLENGE, su www.difesa.it. URL consultato il 25 dicembre 2025.
  6. ↑ (EN) CaptureTheFlag.it, Cos’è un CTF, su CaptureTheFlag.it. URL consultato il 25 dicembre 2025.
  7. ↑ (EN)
  8. ↑ Attack and Defense :, su Ulisse wiki. URL consultato il 26 dicembre 2025.
  9. ↑ (EN) DOI:10.1007/s10639-022-11451-4, ISSN 1573-7608, PMID 36855694, https://oadoi.org/10.1007%2Fs10639-022-11451-4.
  10. ↑ (EN) ASU News, https://news.asu.edu/20210215-asu-cybersecurity-dojo-pwn-college-thwart-cyberattacks. URL consultato il 18 luglio 2023.;(EN) cylab.cmu.edu, https://www.cylab.cmu.edu/news/2023/02/0220-picoctf.html. URL consultato il 18 luglio 2023.
  11. ↑ pp. 5479–5486, DOI:10.1109/HICSS.2016.677, ISBN 978-0-7695-5670-3. ;SIGITE '17, pp. 47–52, DOI:10.1145/3125659.3125686, ISBN 978-1-4503-5100-3.
  12. ↑ pp. 752–758, DOI:10.1145/3328778.3366893, ISBN 9781450367936.
  13. ↑ nsa.gov, https://www.nsa.gov/Cybersecurity/NSA-Cyber-Exercise/. URL consultato il 18 luglio 2023.
  14. ↑ CTFtime.org / All about CTF (Capture The Flag), su ctftime.org. URL consultato il 26 dicembre 2025.
  15. ↑ (EN) CNBC, https://www.cnbc.com/2013/11/08/defcon-capture-the-flag-competition-is-only-for-top-hackers.html. URL consultato il 18 luglio 2023.
  16. ↑ (EN) Pittsburgh Post-Gazette, https://www.post-gazette.com/news/education/2017/04/09/hacking-carnegie-mellon-cmu-pico-ctf-ppp-david-brumley-DefCon-Capture-the-Flag/stories/201704090092. URL consultato il 18 luglio 2023.;(EN) cmu.edu, https://www.cmu.edu/news/stories/archives/2022/august/cmu-hacking-team-wins-super-bowl-of-hacking-for-6th-time. URL consultato il 18 luglio 2023.
  17. ↑ (EN) https://www.reuters.com/technology/hacker-tournament-brings-together-worlds-best-las-vegas-2022-08-17/.
  18. ↑ 40 studenti affrontano la maratona di DEF CON CTF, su regione.sardegna.it. URL consultato il 26 dicembre 2025.
  19. ↑ (EN) ctftime team, DEF CON CTF Qualifier 2025, su ctftime.org. URL consultato il 26 dicembre 2025.
  20. ↑ (EN) Home, su CSAW. URL consultato il 26 dicembre 2025.
  21. ↑ (EN) 2025 - KalmarCTF, su www.kalmarunionen.dk. URL consultato il 26 dicembre 2025.
  22. ↑ Cyber Grand Challenge (CGC), su www.darpa.mil. URL consultato il 26 dicembre 2025.
  23. ↑ (EN) Join the European Cyber Security Challenge | ENISA, su www.enisa.europa.eu. URL consultato il 26 dicembre 2025.
  24. ↑ (EN) theregister.com, https://www.theregister.com/2023/06/03/moonlighter_satellite_hacking/. URL consultato il 18 luglio 2023.
  25. ↑ Il team italiano Mhackeroni ha preso il controllo del satellite USA Moonligher in una gara tra hacker, su Geopop, 18 agosto 2023. URL consultato il 26 dicembre 2025.
  26. ↑ Google CTF, su capturetheflag.withgoogle.com. URL consultato il 26 dicembre 2025.
  27. ↑ (EN) An Inside Look at China’s Hacking Competitions, su chinaobservers, 3 dicembre 2024. URL consultato il 26 dicembre 2025.
  28. ↑ (EN) ISSN 0261-3077, https://www.theguardian.com/tv-and-radio/2022/jul/07/some-staff-work-behind-armoured-glass-a-cybersecurity-expert-on-the-undeclared-war.

Voci correlate

Collegamenti esterni

  • ctftime.org - un archivio di competizioni CTF passate, in corso e pianificate.
Questa voce è stata pubblicata da Wikipedia. Il testo è rilasciato in base alla licenza Creative Commons Attribution-Share Alike 4.0, salvo diversa indicazione. Potrebbero essere applicate clausole aggiuntive per i file multimediali.