Çaylak Penguen, yeni başlayan kişilere deneyim kazandırmak ve teşvik etmek amacıyla kurulmuş çevrim içi bir CTF platformudur. Fikir 2021 yılda yapılan küçük çaplı bir yarışmadan doğmuştur. Sitenin yapımı 2023 Haziran ayında başlanmıştır. İlk başta sadece 2 ortak öğrenci ile başlayan proje şu anda 5 öğrenci 2 öğretmen ile yürütülmektedir. İlk uygulamalar 2024-2025 eğitim-öğretim yılında 1. dönem bilişim hazırlık sınıflarına, 2. dönem siber güvenlik hazırlık sınıflarına yapılmıştır. Bu uygulamaların gelişerek bir okul geleneği olarak devam ettirilmesi hedeflenmektedir.

Projenin temelleri 2021 yılına dayanmaktadır: Liseye yeni başlamış hazırlık öğrencileriydik. Cafer Uluç Hoca'mızın bir öğleden sonra derse girip bize “CTF” yarışması düzenleyeceğimizi söylemesiyle başladı her şey. Hata mesajlarıyla başlayan ve keşfettiğimiz farklı web sitesi linkleriyle renklenen deneyimlerimiz, bireysel çabalarımızı kısa sürede sınıfça bir takım ruhuna dönüştürdü. Bu süreçte ekilen merak tohumu, ilerleyen yıllarda aldığımız CTF yarışmalarını hatırlatırken, “Neden bu alandaki heyecanı diğer yeni başlayanlarla da paylaşmayalım?” sorusunu gündeme getirdi. Yakın dostum Halil ile bu düşünceyi paylaştıktan sonra, teknik ve içerik hazırlığı konusunda ortaklaşa çalışarak “Çaylak Penguen” projesini hayata geçirme kararı aldık.

İlk denememiz Hazırlık A sınıfı ile oldu. Gayet güzel ilerleyen arkadaşlarımız oldu. Biz de arada takılanlara yardım edip onların da yol almalarını sağladık. Hazırlık B ve C sınıflarında da güzel ilerleyen arkadaşlarımız oldu , ama özellikle hazırlık D sınıfından çok etkilendik, en yüksek puan ortalamasına sahiplerdi hatta içlerinden bir arkadaşımız sitede bir güvenlik açığı bile keşfetti! CTF sonrası yaptığımız röportajlarda çok iyi dönüşler aldık. Herkesin CTF'ten önceki halleri ile son halleri arasında belirgin bir fark vardı. CTF öncesi herkes çekingen ve genellikle çok az bilmiyor iken CTFden çıktıklarında kendilerine biraz daha güveniyorlardı ve kesinlikle daha çok şey biliyorlardı.

Siteyi geliştirirken MERN (MongoDB, ExpressJS, ReactJS ve NodeJS) stack kullandık. ReactJS bize hızlıca manipüle edilebilir bir frontend ortamı sunarken, MongoDB ve ExpressJS esnek bir API geliştirme imkânı sağlıyordu. Geliştirme sürecine öncelikle frontend ile başladık, ardından API'yi oluşturmaya geçtik. Ancak, çıkan hatalara daha hızlı müdahale edebilmek için ikisini de aynı anda geliştirmeye karar verdik.

İlk geliştirme ve ileri test süreçlerinde ciddi güvenlik açıklarıyla karşılaştık. Örneğin, kaynak kodundan bazı soruların flaglerine erişilebiliyordu. Ancak muhtemelen en çok uğraştıran sorun, kullanıcıların online olma durumunu tespit etmekti. Bu, hem güvenlik hem de bazı sosyal özellikler için gerekliydi. Çözüm olarak WebSocket yöntemini kullandık: Kullanıcı sayfayı yüklediğinde arkada otomatik olarak bir WebSocket sunucusuna bağlanıyor, token kontrol edilerek online olduğu sisteme kaydediliyor ve sayfayı kapattığında bu durum da sistemde güncelleniyordu.

İlk denememizi Hazırlık A sınıfı ile gerçekleştirdik. Arkadaşlarımızdan güzel ilerleyenler oldu, biz de takılanlara rehberlik ederek yollarına devam etmelerini sağladık. Hazırlık B ve C sınıflarında da başarılı katılımcılar vardı. Ancak özellikle Hazırlık D sınıfı bizi çok etkiledi; en yüksek puan ortalamasına sahiptiler, hatta içlerinden biri sitede bir güvenlik açığı bile keşfetti!

CTF sonrası yaptığımız röportajlarda oldukça olumlu geri dönüşler aldık. Katılımcılar arasında gözle görülür bir değişim vardı. CTF öncesinde çoğu çekingen ve siber güvenlik konusunda az bilgiye sahipken, yarışma sonrası kendilerine daha fazla güvenmeye başlamış ve kesinlikle daha fazla şey öğrenmişlerdi.

Yazanlar: Rüya Melis Ünver & Halil Erdem Gürelli

Peki, etkinliğimiz nasıl geçti?

Videoyu izlemek için tıklayınız!