NiklosKoda a écrit:
Hello,
Voilà mes quelques critiques pour l'édition de cette année.
N'ayant pas vraiment suivi les confs & workshops, je ne parlerai que des challenges.
- Fail total du challenge public : Pas de challenge public cette année. Le vrai problème est que des annonces ont été faites toute les demi-heures pour dire que le challenge public allait arriver, ce qui n'a pas été le cas. Finalement, les challengers ont poireauté pendant plusieurs heures, puisque c'est bien après minuit que l'annonce de l'annulation a été faite alors que le départ était prévu pour 20h. Evidemment on s'attend forcément à des problèmes, "shit happens", mais plus à quelques épreuves supprimées qu'à l'abandon du challenge complet, ce qui rappelle fortement le fail du ctf de l'année d'avant.
- DoS pour le challenge privé : Faire un CTF sur le modèle attaque/défense est une excellente idée, il n'y en a pas des masses et c'est plus sympa qu'un simple liste d'épreuves. Par contre ça nécessite d'être bien mieux encadré. Je sais que la question des DoS a été abordée plusieurs fois, mais c'est quand même à cause de ça que le CTF a été arrêté en plein milieu, pour finalement ne jamais redémarrer au contraire de ce qui avait été annoncé (finalement il aura duré de 22h à 5h, au lieu de 20h à 8h)
- Organisation générale du challenge privé : on voit bien d'années en années que le CTF s'améliore et ça fait plaisir, mais il y a toujours quelques couacs :
* Aucun accès à internet, pendant toute la durée du challenge (enfin, on pouvait afficher une page web de temps en temps)
* Fausses infos dans les manuels envoyés ou distribués aux équipes (VM windows supprimée, flags propres à chaque équipe alors qu'ils sont les mêmes pour tous, ...)
* Manque d'informations (clé ssh sur les VM à ne pas supprimer, fonctionnalité des services à conserver, ...)
* Dysfonctionnement du système de status des services, très gênant.
* Possibilités aux équipes de jouer en dehors des règles, parfois compter sur le "fair-play" n'est pas assez (kernel module permettant de masker les services, possibilité de faire du filtrage sur le serveur plutôt que depuis le firewall (en installant un vrai iptables depuis un repo local par exemple ou directement au niveau applicatif), tunnels, ...)
* Accès physique à des personnes étrangères au CTF à la zone du challenge (dafuq !!!)
* Pas de musique :'(
Et dernière chose qui me laisse personnellement un petit gout d'amertume : voir les 1ers repartir avec le gros lot sans que les 2èmes et 3èmes n'aient un petit lot de consolation, comme c'était le cas les années précédentes :p
Et pour que la critique ne paraisse pas trop rude, je tiens quand même à dire qu'on (mon équipe) repart avec une assez bonne impression, et que malgré les points négatifs cités au dessus, on voit que le staff a fait un gros travail pour ce challenge. D'ailleurs il n'y a rien à redire aux épreuves (qu'on a seulement pu regarder en partie, vu la quantité, la complexité, les autres aspects à gérer et le peu de temps). On a apprécié la disponibilité des membres du staff quand on avait un souci, et également le ravitaillement en grignotages/boissons !
A bientôt o/
Merci à toi pour ce retour critique, je pense que nous allons en tenir compte pour les années qui suivent tout en essayant de garder le challenge le plus ouvert possible.
Le but de celui-ci etant de reproduire au mieux une infrastructure de production in-situ, il y'a effectivement débat en ce qui concerne les DoS et autres sujets que tu as soulevé.
Pour les prix pour les 2eme et 3eme place, on vas y réfléchir, mais il faut savoir que les prix pèsent assez lourds sur le budget NDH et que donc, nous ne pouvons nous permettre de récompenser tout le monde avec un cash price par exemple
.
Encore merci pour votre venu et votre participation, on espere tous que cette soirée aura était aussi fun pour vous que pour nous.
En ce qui concerne le Wargame, le problème avec la communication viens du fait que nous avons très tôt identifié le soucis qui nous empêché de vous le proposer, mais que la résolution n'a finalement pas pu être possible pour des questions de bugs et d'infrastructure que nous ne pouvons malheureusement pas dévoiler pour l'instant.
