Organiser un CTF entreprise ou école : le guide du CTF hardware

Organiser un CTF hardware pour une entreprise ou une école, c'est proposer des épreuves de sécurité que l'on résout avec un objet en main : une balise radio à décoder, des badges NFC à lire, une puce mémoire à extraire. Bien préparé, c'est un format de team building et de formation qui fonctionne pour des profils très différents, du développeur au manager. Ce guide donne le déroulé opérationnel : format, logistique, sécurité, conception des épreuves, postes de budget et checklist.

Pourquoi un CTF hardware plutôt qu'un CTF en ligne

Un CTF en ligne (Capture The Flag, où l'on cherche des « drapeaux » cachés dans des systèmes volontairement vulnérables) est simple à organiser : une plateforme, des épreuves, des ordinateurs. Pour un événement en présentiel, il a pourtant un défaut : chacun reste derrière son écran, et l'on pourrait jouer depuis chez soi.

Le CTF hardware change la dynamique de la salle.

• Il crée de l'interaction. Une équipe autour d'une carte électronique se parle, se passe les outils, montre ce qu'elle a trouvé.
• Il est visible. Les observateurs comprennent ce qui se passe, ce qui compte pour un événement interne ou un salon.
• Il nivelle les profils. Un développeur web expert n'a pas d'avance décisive sur un ingénieur réseau face à un signal radio. Les non-techniciens peuvent contribuer aux épreuves d'observation et de logique.
• Il apprend quelque chose de concret. Comprendre qu'un badge peut se lire à distance ou qu'une puce mémoire contient des secrets en clair change durablement le regard sur les objets connectés de l'entreprise.

Il a aussi ses contraintes : du matériel à fabriquer, transporter et tester, et un nombre de participants limité par le nombre de kits. Pour un public très large ou réparti sur plusieurs sites, un format mixte, physique et en ligne, est souvent plus adapté.

Format : durée, équipes, niveaux mixtes

Durée

En dessous d'une heure et demie, les équipes n'ont pas le temps de dépasser les premières épreuves. Au-delà d'une journée, il faut prévoir une vraie logistique de nuit, ce qui n'a de sens que pour des publics déjà passionnés.

Équipes

Des équipes de 3 à 5 personnes fonctionnent bien : assez pour se répartir les tâches, pas trop pour que chacun touche au matériel. Pour un événement d'entreprise, composez les équipes vous-même en mélangeant les services : c'est l'intérêt du team building. Pour une école, laissez plutôt les étudiants choisir, mais imposez un mélange de promotions si le niveau est très hétérogène.

Niveaux mixtes

C'est le point qui fait réussir ou rater l'événement. Chaque famille d'épreuves doit avoir :

1. une porte d'entrée résoluble en 10 à 15 minutes par un débutant, avec un smartphone ou un outil fourni ;
2. une épreuve intermédiaire qui demande de comprendre ce qu'on fait ;
3. une épreuve difficile pour occuper les profils techniques jusqu'à la fin.

Prévoyez aussi un système d'indices, gratuits ou payants en points. Une équipe bloquée depuis 30 minutes décroche, et une équipe qui décroche décourage les autres.

Logistique : salle, matériel, scoring, sécurité

Salle

• Des îlots d'une table par équipe, avec assez de place pour poser le matériel et un ordinateur portable.
• Des prises électriques à chaque îlot : multiprises en nombre, rallonges sécurisées au sol.
• Un bon éclairage : lire une sérigraphie de carte sous un éclairage d'ambiance tamisé est pénible.
• Un grand écran pour le tableau des scores, qui entretient l'émulation.

Matériel

• Un kit par équipe, plus au moins un kit de rechange par tranche de quelques équipes. Le matériel tombe, se débranche, s'use.
• Des ordinateurs : demandez aux participants d'apporter le leur, avec une liste de logiciels à installer à l'avance, ou prévoyez des machines préparées. Les postes d'entreprise verrouillés empêchent souvent d'installer des pilotes USB : vérifiez-le avant.
• Des consommables : câbles USB, piles, fils de test.

Scoring

Une plateforme de score affiche les épreuves, valide les drapeaux et tient le classement. CTFd est la référence : open source, il s'héberge sur un petit serveur avec Docker, ou s'utilise en version hébergée payante. Pour un atelier court, un tableau partagé tenu par un animateur peut suffire.

Sécurité

• Électrique. Uniquement du matériel basse tension, alimenté en USB ou sur pile. Pas de fer à souder en libre-service : choisissez des épreuves sans soudure.
• Informatique. Le serveur de score et les épreuves tournent sur un réseau isolé du système d'information. Aucune épreuve ne cible l'infrastructure réelle, les badges des employés ou les équipements des locaux.
• Radio. Les émetteurs utilisés dans les épreuves doivent être conformes et de faible puissance, sur des bandes autorisées, comme le Bluetooth Low Energy. Aucun brouillage, aucune émission hors cadre réglementaire.
• Éthique. Ouvrez l'événement par trois minutes sur le cadre : on attaque ce qui est fait pour ça, et uniquement pendant l'événement. Rappeler l'article 323-1 du Code pénal fait partie de la sensibilisation.

Concevoir les épreuves (ou les confier à un prestataire)

Les familles d'épreuves qui fonctionnent en événement

Ce sont exactement les familles que nous utilisons pour nos puzzles grand public, comme le BLE Beacon Decode Challenge prévu pour l'été 2027 ou le NFC Escape Tag prévu pour Noël 2027 : trois niveaux par épreuve, rien à souder.

Concevoir soi-même

C'est possible si vous avez dans l'équipe des profils qui maîtrisent l'électronique et la sécurité. Prévoyez :

• une fiche par épreuve : objectif pédagogique, drapeau, solution complète, indices gradués, temps de résolution estimé ;
• au moins un test à blanc avec des personnes qui n'ont pas conçu les épreuves. C'est là que l'on découvre qu'une épreuve « facile » prend une heure ;
• une fabrication en série fiable : ce qui marche sur un prototype ne marche pas toujours sur vingt exemplaires ;
• une solution de secours pour chaque épreuve qui dépend d'un matériel fragile.

Confier à un prestataire

C'est l'option la plus sûre pour une première édition ou un public nombreux. Nous concevons et animons des CTF hardware pour les événements d'entreprise et les écoles : épreuves adaptées à votre public, matériel, plateforme de score et animation. Les détails et la demande de devis sont sur notre page offres entreprises.

Pour prolonger l'événement, un volet en ligne permet aux participants de continuer à s'entraîner ensuite. CyberCTF, notre plateforme sœur, propose des labs de pentest réalistes, gratuits et open source, adaptés aux profils techniques qui veulent aller plus loin.

Budget type pour 20, 50 et 100 participants

Les montants dépendent trop du lieu, du nombre d'épreuves et du niveau de personnalisation pour donner des chiffres honnêtes sans connaître votre projet. En revanche, la structure du budget est toujours la même, et elle ne grandit pas de la même façon selon les postes.

Trois remarques pour cadrer votre enveloppe :

• La conception est un coût fixe. Plus vous avez de participants, plus elle s'amortit. Pour 20 personnes, des épreuves existantes adaptées sont souvent plus raisonnables qu'une création intégrale.
• Le matériel peut être réutilisé. Si vous prévoyez un événement récurrent, investir dans des kits robustes est rentable sur plusieurs éditions.
• Le temps des participants est le premier coût. Une demi-journée pour 100 personnes représente bien plus que le budget de l'événement lui-même : raison de plus pour ne pas rater le réglage des niveaux.

Les pièges classiques et la checklist

Les erreurs les plus fréquentes sont prévisibles : des épreuves trop difficiles pour la majorité, des postes de travail incapables d'installer un pilote, un kit qui tombe en panne sans rechange, une plateforme de score qui dépend du Wi-Fi de l'hôtel. La checklist ci-dessous les couvre.

Six à huit semaines avant

• Public, nombre de participants, durée et objectifs définis
• Prestataire choisi ou équipe de conception constituée
• Liste des épreuves validée, avec trois niveaux par famille
• Salle réservée, plan des îlots et des prises

Deux à quatre semaines avant

• Test à blanc complet avec des personnes extérieures à la conception
• Matériel fabriqué ou commandé, rechanges compris
• Plateforme de score installée sur un réseau isolé
• Liste des logiciels envoyée aux participants, compatibilité des postes vérifiée
• Composition des équipes

Le jour J

• Installation et test de chaque îlot une heure avant
• Introduction sur le cadre légal et éthique
• Indices prêts, animateurs briefés sur les solutions
• Tableau des scores visible
• Débriefing final : solutions expliquées en 15 minutes, c'est là que l'on apprend le plus

Après

• Questionnaire de satisfaction court
• Solutions et ressources envoyées aux participants
• Matériel inventorié pour la prochaine édition

Pour votre prochain événement

Un CTF hardware réussi tient à trois choses : des niveaux bien réglés, une logistique matérielle anticipée et un débriefing qui transforme le jeu en apprentissage. Si vous préférez confier la conception et l'animation, découvrez nos offres pour les entreprises et les écoles, et jetez un œil à nos puzzles CTF physiques pour vous faire une idée du type d'épreuves. Pour les bases du format, notre guide c'est quoi un CTF en cybersécurité peut aussi servir de support à partager avec vos participants.

Questions fréquentes

Faut-il des participants experts pour un CTF hardware ?

Non. Un bon CTF hardware d'événement propose des épreuves de niveau débutant accessibles avec un smartphone ou un outil fourni, puis des épreuves plus avancées pour les profils techniques. Les équipes mixtes permettent à chacun de contribuer.

Combien de temps faut-il pour préparer un CTF hardware ?

Comptez plusieurs semaines pour un événement avec des épreuves existantes, et plusieurs mois si toutes les épreuves sont conçues sur mesure, en incluant les tests à blanc et la fabrication du matériel. Plus le nombre de participants est élevé, plus la logistique matérielle demande d'anticipation.

Un CTF hardware est-il risqué pour le réseau de l'entreprise ?

Il ne devrait pas l'être. Les épreuves tournent sur du matériel dédié et, si une plateforme de score est nécessaire, sur un réseau isolé du système d'information. Aucune épreuve ne doit viser l'infrastructure réelle de l'entreprise ni les badges des employés.

Peut-on combiner un CTF hardware et un CTF en ligne ?

Oui, et c'est souvent une bonne idée. Les épreuves matérielles animent l'événement sur place, et un volet en ligne permet de prolonger l'expérience ensuite ou d'inclure des équipes à distance.