Nætterne tages i brug, når der kæmpes for på 48-timer at klare sig i CTF-konkurrencer. Her er gælder det kvalifikation til Defcon.
Kalmarunionen gør lille Danmark til en global stormagt.
Og glem alt om Dronning Margrethe d. 1.s alliance af nordiske kongeriger i 1397.
Det er ikke den Kalmarunion, men derimod en samling på godt 75 dedikerede hackere, som for to år siden toppede verdensranglisten i CTF-disciplinen.
Altså samlede point nok i globale ”Capture The Flag”-hacker konkurrencer på højeste niveau til at ligge foran alle andre.
Og det i øvrigt uanset om modstanden kom fra hardcore kinesiske teams, Standfords fineste eller knalddygtige indere.
Kalmarunionen kan noget, og opskriften er enkel og handler om passion.
Eller som formand Morten Eskildsen forklarer:
"Kalmarunionen er en samling af glade mennesker med en enorm passion for cybersikkerhed."
Hvordan skal man ellers få 10-15 mennesker til at bruge hele weekender med at presse hjernen til yderste, mens de arbejder sig gennem rækker problemer som kun kan knækkes enkeltvis i en lang slidsom proces på mange, mange timer.
For nogle betyder det 48 timer uden søvn. For andre indlagte hvileperioder på medbragte madrasser eller nærmeste hostel.
Og det vel at mærke mennesker, som normalt lever både mageligt og ikke mangler noget.
Det blev vel en form for besættelse eller livsstil.
Kalmarunionen har en hård kerne på 20–30 medlemmer, der spiller meget aktivt, mens hele communitiet tæller omkring 70–80 mennesker, som kommer ind og ud alt efter, hvordan familieliv, børn, studie og arbejde tillader det.
Aldersspredningen er på omkring 15-50 år.
"De fleste af vores medlemmer er startet uden en relevant uddannelse. I stedet er de startet ved at være nysgerrige på et interessant emne og er dykket ned i det. Nogle har lært sig selv det hele fra bunden, mens andre har suppleret med en uddannelse undervejs”, fortæller formanden.
Hvor de danske cybermesterskaber og universitetsklubberne på DTU, Aarhus Universitet, Aalborg Universitet, SDU og ITU fanger de unge talenter, så er Kalmarunionen stedet, hvor man søger hen, for at udfordre sig selv maksimalt og spille med i de absolut største, internationale elite.
Det er ikke bare en computerklub; det fungerer som et elitært sportshold med dertil hørende talentudvikling.
Morten Eskildsen er i dag 33 år, og startede i slutningen af teenageårene med at udvikle software til virksomheder.
Han indså hurtigt, at hvis han skulle sælge sikker software, blev han nødt til at kende angrebsteknikkerne for overhovedet at kunne evaluere sit eget arbejde.
"Og ja, så gik det nok galt derfra," siger han og fortsætter:
”Det blev vel en form for besættelse eller livsstil. Jeg kunne godt lide udfordringen og det at lære noget nyt, både bredt og helt nede i dybden. Jeg elsker at sætte mig fokuseret og bare finde ud af, hvordan tingene virker helt ned til den mindste brik. Det er det reneste detektivarbejde, fyldt med kreativitet og puslespil”.
PROSAbladet mødte Morten Eskildsen og holdkaptajn Adam Blatchley Hansen kort efter, at de havde deltaget i kvalifikationen til Defcon, det uofficielle verdensmesterskab i it-sikkerhed.
Defcon-konferencen har fundet sted i Las Vegas i over 30 år og strækker sine rødder helt tilbage til hacker-kulturens tidlige barndom.
Turneringen tiltrækker alt fra håbefulde amatører til top-finansierede ingeniørhold fra store udenlandske tech-giganter.
For at komme med til turneringen skal holdene først kvalificere sig.
Kvalifikationen fandt sted over en weekend i maj, hvor Kalmarunionen havde fået lov til at låne IT-fagforeningen PROSAs lokaler i København til formålet.
Kalmarunionen og de andre teams havde 48 timer til at løse opgavesættet – med start fredag klokken 23.00, hvor opgaverne blev offentliggjort på en onlineportal og slut præcis 48 timer senere søndag aften klokken 23.00.
”Herfra er der ingen faste sengetider eller skemaer. Nogle deltagere tager hjem og sover på fornuftige tidspunkter for at møde friske næste morgen, mens andre sidder oppe i 30 timer i træk, drevet af ren stædighed og koffein, dybt begravet i en enkelt opgave. De fleste af de sværeste udfordringer tager mellem 12 og 18 timer for et par personer at løse i fællesskab”, fortæller holdkaptajnen Adam Blatchley Hansen.
Så snart opgaverne var kendt blev holdet spredt ud over to etager i fire-fem forskellige lokaler.
Dem, der arbejdede med binary exploitation (at finde sårbarheder i kompileret maskinkode), sad i ét rum for hurtigt at kunne sparre, mens web-hackerne sad i et andet.
Til trods for, at man næppe kan finde mere digitale og højteknologiske udfordringer, er nogle af holdets vigtigste værktøjer analoge og klassiske undervejs.
”Fysiske tavler og whiteboards er stærkt undervurderet. Det kan altså noget helt særligt”, forklarer Adam.
”Når der er en stor opgave, hvor der måske er ni mennesker involveret, så finder de et breakout-room, hvor de kan stå sammen foran et whiteboard og føre noter og diagrammer op”, fortæller han.
Når en opgave var løst, så blev der ringet på en stor medbragt klokke placeret centralt i bygningen, så alle kunne følge med i slagets gang.
Vi havde en opgave, hvor vi havde fire ph.d.-studerende og postdocs i kryptografi, der arbejdede tæt sammen om én enkelt udfordring. Vi har lige nøjagtigt kunnet løse det, som et af de eneste to hold i hele verden.
Klokken hjalp også til at holde modet oppe hos de andre, som måske var kørt fast i et problem.
Konkurrencen og de andre holds fremskridt kan følges i realtid på et scoreboard.
Det kræver energi og overskud at konkurrere så fokuseret.
Derfor bliver der løbende leveret varm mad, snacks, frugt og rigelige mængder væske og sukker til at holde hjernen kørende.
Men det vigtigste brændstof var og er ifølge Morten og Adam det fællesskab, der opstår på tværs af generationer.
Når Kalmarunionen samler 20–30 mennesker til et fysisk meetup, handler det ikke kun om at maksimere point, men også om at bygge community.
Typisk består holdet af 10–15 meget erfarne profiler og 10–15 studerende eller helt unge juniorer, som måske har energien, men mangler den dybe erfaring.
"En af vores absolut største succeser er, at vi kan tage en rigtig talentfuld 16-årig, sætte dem direkte ved siden af en 28-årig, der har arbejdet i branchen i ti år, og så kan de arbejde på noget sammen", fortæller Adam Blatchley Hansen.
”Mængden af læring, der flyder ned til de unge, er enorm. Vi fungerer som en regulær accelerator for de her unge mennesker, der får lov til at kigge de bedste i Danmark over skulderen og lære undervejs", siger han.
Talentpleje og udvikling af fødekæden til fremtidens kampe betyder meget for holdet.
Derfor får 15-16-årige, som brænder for at lære mere om hacking lov til at sidde ved siden af professionelle it-sikkerhedsfolk på 30–40 år, som har været i branchen i lang tid og kender alle de klassiske systemer ud og ind.
Resultatet bliver et sammenhold på tværs af aldre og erfaring, som man sjældent ser i andre brancher eller faglige miljøer.
I kvalifikationen til Defcon gik det nogenlunde fremad.
I løbet af søndagen lå Kalmarunionen omkring nr. 12 i forhold til at løse opgaver og indsamle point ud af de ca. 700 deltagende hold. De 12 bedste hold kvalificerer sig, så holdet var på vippen men optimistiske.
Men i det sidste hektiske timer gik det dog galt, og holdet landede på en 15 plads.
”Det betyder ikke at alt er tabt. Eller at man ikke er stolt. Det er altid en god team-oplevelse, hvor der er noget at være stolt af og tage med sig. Vi lærer hele tiden. Og man kan ofte heller ikke lade være med at tage problæemstillingferne med hjem og arbejde videre med dem”, fortæller Adam Blatchley Hansen.
Adam Blatcley Hansen er 32 år og blev fanget af det praktiske cybersikkerhedsmiljø i 2020 til en Google CTF-konkurrence på ITU, hvor Morten Eskildsen også deltog.
Adam var dengang bachelorstuderende, og han blev så grebet af konkurrencen, at han derefter blev en del af Kalmarunionens spæde start, hvor syv mand mødtes i et klasselokale på AU under corona-lockdown.
I dag er Adam ved at lægge sidste hånd på sin seksårige ph.d. i kryptografi og har netop fået fuldtidsjob i et sikkerhedsfirma, hvor han udfører sikkerhedsaudits.
Men hvad laver man egentlig til en hacker-konkurrence over en hel weekend?
Konceptet hedder som nævnt Capture The Flag efter den klassiske udendørs leg, hvor det gælder om at stjæle modstanderens flag.
Digitalt er flaget dog udskiftet med en unik tekststreng, som er gemt dybt inde i et lukket, sårbart system. Finder du strengen, har du bevist, at du har hacket systemet.
Opgaverne falder typisk inden for en række komplekse kategorier:
• Web-hacking: Find en skjult fejl eller en sårbarhed (bug) i koden på en hjemmeside/server for at bryde ind.
• Kryptografi: Bryd avancerede, matematiske krypteringsmetoder og find svagheder i den måde, data beskyttes på.
• Forensics: Gennemtrevl gigantiske netværkslogs og prøv at finde ud af, hvilken IP-adresse et fiktivt ransomware-angreb kom fra.
• Reverse Engineering: Skil et færdigt program ad for at finde ud af, hvad det gør, og omgå dets interne sikkerhedstjek.
Morten Eskildsen kalder disse opgaver for "legetøjsproblemer, der repræsenterer det, man har i den virkelige verden."
Men når man når op i de helt store konkurrencer, bliver "legetøjet" så kompliceret, at det ofte minder om eller er langt mere indviklet end de problemer, man ser i den rigtige verden.
Samtidig er sikkerhedsforanstaltningerne og -teknikkerne de nyeste – ofte mindst fem år foran, hvad vi ser udrullet i den rigtige verden.
Og både Morten og Adam har i deres hverdag oplevet, at de er stødt på nye problemer, som endnu er ukendte, og som de efterfølgende har gemt på, så de kunne bruges i en konkurrence.
Det er nemlig ofte de enkelte teams, som selv laver opgavesæt og konkurrencer for hold udefra.
”Vi ser på den måde de udfordringer og teknikker, som vil præge IT-sikkerhedsarbejdet i fremtiden. Og vi er nødt til at forstå dem”, fastslår Morten Eskildsen.
Hvis du får AI til at skrive det for dig, så har du stilen – men du har ikke rigtig lært det, man skulle lære.
Men verden forandrer sig i lyntempo i de her år – også med bølgen af stadig bedre AI-værktøjer.
En af de mest bekymrende tendenser – set med Mortens og Adams øjne, handler om kunstig intelligens.
For blot to-tre år siden var spillereglerne til en CTF-konkurrence markant anderledes, forklarer de.
Hvis man mødte et problem eller en teknologi, man aldrig havde set før, krævede det den helt tunge research: søge på nettet, læse tykke manualer, forstå teorien og eksperimentere i timevis, indtil man knækkede nødden.
Det var en hård proces, men det var netop i denne udforskning, at man for alvor lærte faget og rykkede sig.
I dag kan AI-modeller løse de mere indledende opgaver utroligt hurtigt, uden at mennesket bag skærmen overhovedet behøver at forstå, hvordan problemet løser.
Og det er problematisk:
"Det er ligesom på gymnasiet, når du lærer en masse af at skrive en stil. Hvis du får AI til at skrive det for dig, så har du stilen – men du har ikke rigtig lært det, man skulle lære fra at skrive det. Og det er jo det store problem, vi har på rigtig mange områder", siger Adam.
Mellemsvære online-konkurrencer præges i dag af hold, der blot kaster tunge AI-credits efter problemerne for at vinde nemme point.
Det har fået Kalmarunionen til bevidst at fravælge visse af disse begivenheder.
Det er simpelthen ikke sjovt at bruge en weekend på noget, en maskine kan tygge sig igennem. De leder i stedet efter udfordringer, som kunstig intelligens endnu er chanceløse overfor.
Og evnerne fejler ikke noget hos det danske hold.
Selvom Kalmarunionen ofte kun stiller med en mindre gruppe af erfarne folk til en turnering, kan de uden problemer bide skeer med gigantiske udenlandske hold, der tæller op mod 40 eller 80 personer.
ybersikkerhed på absolut elituniveau handler nemlig ikke om kvantitet, men om ekstrem, koncentreret spidskompetence.
Forudsætningen for at vinde kræver nemlig toptunet samarbejde og bedste brug af unikke evner.
"Vi havde en opgave, hvor vi havde fire ph.d.-studerende og postdocs i kryptografi, der arbejdede tæt sammen om én enkelt udfordring. Vi har lige nøjagtigt kunnet løse det, som et af de eneste to hold i hele verden. Der hjælper det ikke at have 50 mennesker på banen, for der er nok ikke 50 mennesker i hele Danmark, der har forudsætningerne for overhovedet at forstå den challenge", fortæller Morten.
Mange turneringer bruger desuden som nævnt såkaldte dynamiske pointsystemer.
Hvis en opgave løses af mange hold, falder den i værdi. Men hvis man er det eneste eller et af de få hold, der knækker koden, udløser det massere af points.
Det er de få, næsten umulige opgaver, der reelt afgør hele konkurrencen.
Den strategi har båret massiv frugt.
Verdensranglisten i CTF fungerer ligesom i professionel tennis: Man optjener point alt efter turneringens sværhedsgrad, hvor de ti bedste resultater på et år tæller med.
Der er "Grand Slams", der vægter tungt, og mindre lokale turneringer.
Og for to år siden præsterede Kalmarunionen at ligge nummer et i hele verden.
Sidste år sluttede de som nummer to på den globale rangliste, efter en tæt og nervepirrende duel mod et top-professionelt kinesisk hold, der først blev afgjort i selve juleferien.