SECCON 2016 Online予選、運営の裏側をレポート

明け方の運営会場はのんびりしていた

2016年12月11日、朝5時50分。某所のとある会議室前にたどり着くと、一晩中ついていたのだろう明かりが扉の隙間から漏れていました。そっと扉を開けると、平常運転を装いながら眠気がふんわり漂う「SECCON 2016 Online CTF」運営チームが迎えてくれました。

「CTF」は「Capture the Flag」（旗取りゲーム）の略称で、セキュリティの知識や技術力をゲーム形式で競うコンテストのことです。問題をできるだけ多く解いて答え（フラグ）の合計得点を競う“クイズ形式”や、謎解きが施された問題サーバを攻略した場合のフラグポイントと、フラグを他チームに盗られないよう妨害して得られる防御ポイントの合計で競う“攻防戦形式”が主流で、独自ルールや工夫を加えて世界各国で行われています。有名どころでは、アメリカの「DEF CON CTF」、韓国の「CODEGATE」、台湾の「HITCON」、フランスの「Nuit Du Hack」、マレーシアの「HITB」、ロシアの「PHD」などが挙げられるでしょうか。世界中のCTF情報をまとめた総合サイト「CTFtime.org」を見ると、ほぼ毎週末、何かしら開催されていることが分かります。

「SECCON」は、日本発のCTF大会です。情報セキュリティ人材の発掘および育成、自己研磨の場の提供を目的に、毎年1～2月に開催される決勝大会「SECCON CTF」を始めとして、地方大会やオンライン大会などの予選、CTF初心者を対象とした勉強会「CTF for ビギナーズ」や「CTF for GIRLS」など、年間を通して実施されています。CTFの存在や楽しさを全国区レベルに広め、新規ファンの獲得や“ガチ勢”のさらなるチャレンジを促進してきた功労団体と言えます。

そんなSECCONも、2012年度の初回は学生向けの企画として始まり、年齢制限を取っ払った2013年度も国内向けに実施。それが、2014年度からオンライン予選を海外参加者にも公開、優勝の副賞にDEF CON CTF出場権が授与されることになった途端、世界の強豪チームが次々参戦。学生大会と国際大会に分けた2015年度も出場を賭けて、オンライン予選では熾烈な戦いが繰り広げられました。

今回の予選も、99か国および地域、4339登録ユーザー、1834チームが参加。作問と運営含む26人のうち16人が対応にあたっていると聞き、会場はさぞ慌ただしくピリピリしているのではないかと想像していました。

それが、「…今年は楽だな」とあくびするメンバーや、ピコ太郎の「PPAP」を流しながらペンでパイン飴を突いて踊るメンバーなど、のほほんとした空気が。

「以前はアクセスに耐えきれずスコアサーバが落ち、参加者に迷惑をかけてしまうこともありました。そこで、実行委員会の忠鉢さんと国分さんが前回の決勝大会直後からインフラ構成の決定含む準備に入ってくれて、大幅強化が実現しました。予選の開始直後は何千人規模の参加者が一斉にログインしてくるので、直前のチェック時はかなりバタバタしていましたが、慌ただしかったのはそのときくらいですね」。

万端な計画・準備のおかげで余裕があると、SECCON実行委員長の竹迫良範氏は言います。

「あと、実は今回からさくらクラウドを採用しているんですよ。前回の振り返りの段階で、さくらでいこうという話になりました。かなりいいインスタンスや太い回線を使わせてもらえているのも、安定運用の要因だと思います」（竹迫氏）。さくら、お役に立てていたようです！

このほか、JPRS（日本レジストリサービス）から技術提供を受け、通常よりも安全性の高いドメイン認証を採用。参加者が安全かつ快適に楽しめるよう、運営チームの情熱と努力、スポンサー企業のバックアップによって競技環境は改善や強化が行われているようです。

若手CTFチームが作問に全面協力

そのSECCONで今回最も大きな変化の1つが、若手CTFチームのTokyoWesternsによる作問協力です。オンライン予選では27問（Web：3問、Forensics：3問、Exploit：9問、Binary, Crypto：2問、Web, Crypto：1問、Binary：4問、Crypto：5問）が出題されましたが、うち14問をTokyoWesternsが担当しました。

TokyoWesternsは、MMA、tuat_mcc、CureSecureなど複数のCTFチームのメンバーによる混成チームで、ctftime.orgの2016年のチームレーティング（CTF出場や結果などの指標による総合評価）で7位に入るなど、今最も勢いのある注目株です。メンバーであるMMAは2015年に国内外を対象としたCTF大会「MMA CTF 1st 2015」を開催、翌年はTokyoWesternsのメンバーも加わって「TokyoWesterns/MMA CTF 2nd 2016」を実施しており、大会に出場するだけでなく作問や大会運営にも積極的に取り組んでいます。

TokyoWesternsに声をかけた理由。1つは新しい血を入れて世代交代を促すことで、もう1つはCTFの問題のグローバルな傾向に足並みを揃えることです。特に後者について、これまではSECCONらしさにこだわって独自性のある問題を作成してきましたが、海外の流りはPwn問題に移行、方向性のズレがやや大きくなってきました。そこで、今回は海外の流れに合わせた問題作りを目指すことにして、国内外で活躍しながらCTF大会の運営も経験しているTokyoWesternsに協力を仰いだそうです。より多くの国内のCTFプレイヤーが海外のCTFでも活躍できればという期待もあるようです。
（Pwn問題：脆弱性を突いて管理者権限などを奪取、本来アクセスできない場所から隠されたフラグをゲットする問題）

「あと、前回の大会で一部の問題が不評だったので、ならば傾向の違うものを出してみようという意図もありました。でも、なんで去年と問題傾向が違うんだと不満の声が聞こえてきており、作問はなかなか難しいなと実感しています」。CTFプロデューサーの愛甲健二氏は苦笑いします。

ところで、TokyoWesternsはなぜSECCON出場ではなく作問協力する道を選んだのでしょうか。メンバーのytoku氏に質問したところ、「（TokyoWesternsメンバーの多くは学生で）SECCON決勝大会の時期はメンバーの大半が卒論制作で忙しいんです」と笑って答えてくれました。ちなみに、作問の準備用にSlackチャネルを作ったのが2016年11月の第1週。そこから内容を決定し、作問に取りかかったそうです。

会場ではメンバー同士での情報交換や「SECCONとは別にオンサイトの攻防戦大会を開催してみたい」などのアイディアも飛び出し、「やってみたいことがあれば、大人がいくらでもサポートするよ」と竹迫氏が応える場面が見られました。

第1回SECCON CTFを取材したとき、実行委員の上野宣氏は「おじさんたちが作ったCTFなんかつまらない、これからは僕たちが新しいCTFをやる番だという声をたくさん聞きたい」と期待を明かしてくれました。TokyoWesternsや若手が運営に参加してくれたことは、そんなSECCON創業メンバーにとって一番嬉しい変化だったのかもしれません。

参加者が仕掛ける情報戦に対処せよ！

予選自体は、HITCON（台湾）、217（台湾）、binja（日本）、Dragon_Sector（ポーランド）、PPP（アメリカ）などの強豪チームが上位争いを繰り広げる展開に。運営メンバーは熱い戦いを見守りながら、公式チャットに寄せられる参加者からの質問に対応していました。

公式チャットは、参加者同士で会話できるチャネルと運営への質問専用チャネルを用意。そこで投稿された質問をメンバー全員で共有し、回答できる人が返事をする形で回していました。

チャットを覗いたところ、かなり活発に活用されている印象でした。質問専用チャネルでは、ルールや禁止事項が書かれたページを確認したりWeb検索したりすれば解決できるような内容が多い印象。「解答につながる返答が引きだせたらラッキーくらいの感覚」で、特に海外勢はソーシャルエンジニアリングを積極的に仕掛けてくるところも多いと、宮本久仁男氏は説明します。

実際、チャットでは情報戦とも取れる活動が見受けられました。

参加者同士の情報交換チャネルで、アカウントの1つがとあるチームのメンバーのふりをして「決勝戦で日本に行きたいから答えをくれ」と繰り返し発言。質問専用チャネルには通報が入り、運営会場は一時騒然となりました。

しかし、アクセス元など詳細をチェックした結果、そのアカウントは参加チームを騙る偽物と判明。バレてからもダメ元で“答え教えて”投稿を繰り返すも、参加者も取り合わず。予選終了直前には悪態をつきながら「来年も参加してやる！ 待ってろよ！」と前向き（？）な発言を残して退室しました。

参加者は、問題を解くだけの存在と思い込んではならない。運営は情報の真偽を見極める忍耐と冷静さが必須。そう感じさせる出来事でした。

予期せぬインシデント（？）が発生したものの、大きなトラブルなく進行。競技時間が残すところ5分になったところで、恒例のEuropeの名曲「Final Countdown」が会場に流れ、こうして2日間のオンライン予選は終了しました。

自分の作った問題の1つが解かれないと寂しい顔をしていたTokyoWesternsのnomeaning氏も、残り時間30分でPPPが回答フラグを投稿。みんなから良かったねと拍手があり、本人も「やったー！ 良かったー！」とほっとした表情を浮かべていました。

最終結果は、写真のとおりです。上位常連のチーム名が並んでいます。

SECCON実行委員会の発表によると、決勝には日本から9チーム、韓国4チーム、台湾3チーム、中国とアメリカとポーランドが各2チーム、ロシアとスイス・フランスの混成チームが各1チーム出場するとのこと。

決勝大会は、2017年1月28日（土)と29日（日）の2日間、東京電機大学で開催されます。決勝の様子は、見学可能です。SECCONが登場する人気漫画「王様達のヴァイキング」の作者のトークセッションなど各種講演のほか、CTFやバグハンティングコンテストといった参加型イベントもあります（事前登録はこちら http://2016.seccon.jp/about/final2017.html）

「決勝では、プレイヤーが楽しめる問題を用意したので、参加チームの皆様は期待していてください。また見学に来られる方は、カンファレンスの合間にどんな人たちが決勝へ勝ち進んだのかぜひ覗きに来てください！」（竹迫氏）。