iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 30篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第110期：法拉利要採AWS服務加快車輛設計測試，應用HPC資源同時執行上萬個駕駛模擬情景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/06/24～2021/06/30）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 法拉利 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 車輛性能測試 </span></strong> </p> <p><span style="font-size: 22px;"><strong>法拉利要採AWS服務加快車輛設計測試，應用HPC資源同時執行上萬個駕駛模擬情景</strong></span></p> <p>法拉利近日宣布旗下多部門都將採用AWS服務，涵蓋公路汽車、GT賽事、法拉利挑戰賽和F1車隊Scuderia Ferrari等部門，來簡化車輛設計與測試。在研發公路車方面，將使用AWS大數據分析、ML、運算、儲存和資料庫的服務，獲得車款設計及在道路上的性能分析。以EC2為例，法拉利計畫使用一系列適用於HPC的EC2執行實例VM，執行複雜的模擬情景，且借助HPC資源的擴充性，最多可同時執行上萬個模擬情景，來測試車輛在各種駕駛條件的性能，協助工程師加快測試新設計。</p> <p>當車輛從模擬場景走入原型車組裝階段後，法拉利將應用AWS資料分析服務和SageMaker，快速建立、訓練和部署ML模型，來分析車輛零件和車體在真實情況下，包含不同車速下發動機溫度、不同路面車輛震動模式等表現。為了記錄組裝及模擬情況，法拉利還將使用S3建立資料湖，並透過Lake Formation收集和清洗數百PB的資料，並編排成目錄。<a href="https://www.ferrari.com/en-TW/formula1/articles/aws-becomes-a-partner-of-scuderia-ferrari-mission-winnow">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 印度銀行Axis </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位金融服務 </span></strong></span></p> <p><strong style="font-size: 22px;">服務2億客戶印度第三大民營銀行宣布要搬遷7成地端基礎設施上雲</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/gallery_img9.jpg" style="width: 600px; height: 659px;" /></strong></p> <p>印度第三大民營銀行Axis近日對外分享雲端部署計畫，宣布要在兩年內，搬遷7成地端資料中心的基礎設施上雲。去年起，Axis銀行決定將所有新開發的客戶端應用程式，部署在AWS上，目前總計有超過25個關鍵任務應用程式，相當於15%的銀行應用程式，已完成雲端部署，包含貸款管理系統、帳戶整合系統、影像KYC服務等。此外，Axis銀行計畫使用AWS各項雲端服務，包含容器、資料庫和運算的服務，來建置新的數位金融服務，提供給2億名客戶使用。Axis銀行表示，利用雲端服務，可以加快線上作業，宣稱可供客戶在6分鐘內，完成線上開戶作業，並實現即時數位支付作業。Axis銀行也計畫使用EC2，按需擴充工作負載，來通過印度統一支付介面（UPI）支援每日1千萬筆交易。<a href=" https://press.aboutamazon.in/news-releases/news-release-details/axis-bank-powers-its-digital-banking-transformation-aws/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產品整合 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS和Salesforce將共同推出整合性產品，企業可跨兩平臺即時交換資料</strong></span></p> <p>AWS和Salesforce近日宣布一項新合作，雙方將整合彼此的產品和服務，共同推出整合性產品，加快企業用戶使用雙方產品來建置和部署應用的速度。Salesforce將在新的銷售、服務和產業化應用中，整合AWS語音、影片、AI和ML服務，進而實現AWS和Salesforce兩平臺間，即時資料交換的作業，像是從Salesforce應用獲得AWS RDS、S3裡的資料。此外，雙方也將整合介面，供企業直接可登入雙邊服務，簡化身份驗證、權限許可的作業。</p> <p>藉由雙方的合作，開發人員可以連結Salesforce數據和工作流程到在AWS上執行的解決方案，來建置和啟動客製化應用，相反地，也可以將AWS數據和工作流程與Salesforce應用整合。此外，企業也將可以從彼此介面登入，簡化身份驗證、權限許可，以及共同的資料管理。AWS和Salesforce預計在2022年正式推出整合服務。<a href="https://www.salesforce.com/news/press-releases/2021/06/23/salesforce-aws-partnership-expansion/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 映像檔建置 </span></strong></p> <p><strong style="font-size: 22px;"><strong>微軟推出Azure VM映像檔建置服務，企業不需自行建置、管理工作流</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture.JPG" style="width: 600px; height: 336px;" /></strong></strong></p> <p>微軟正式推出Azure虛擬機器映像檔建置服務Image Builder，企業可簡單地自定義Linux和Windows虛擬機器，並且維持一致的企業安全政策。新服務是以HashiCorp Packer為基礎，企業可以使用新的或是現有配置，在範本中描述自定義映像檔，來立即建置虛擬機器映像檔，不需要設置或是管理自己的映像檔建置工作流。</p> <p>企業不需要重新學習工具，或是自己設置映像檔建構工作流，只要了解組織的需求就可以使用映像檔生成服務，建構Linux或Windows虛擬機器映像檔，不需要擔心不同基礎設施和作業系統間的技術差異，或是其他底層元件配置。新服務供企業透過Azure CLI或是Azure入口頁面，開始使用來建置映像檔，並搭配Azure共享映像檔庫，來建置映像檔工作流，將映像檔發布到各地。<a href=" https://azure.microsoft.com/zh-tw/blog/streamline-your-custom-image-building-process-with-azure-vm-image-builder-service/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 映像檔 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式部署 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Amazon EMR on EKS現支援自定義映像檔，企業可整合現有工作流生成映像檔</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-emr-on-eks-custom-image-2.png" style="width: 600px; height: 300px;" /></strong></strong></p> <p>AWS更新Amazon EMR on EKS服務，支援自定義映像檔，企業可以直接在EKS叢集上，使用自家持續整合工作管流所生成的映像檔，不需再重新建置映像檔。Amazon EMR on EKS是將大資料服務EMR應用程式部署到EKS叢集的服務，企業提交工作時，EMR會使用大資料框架，自動打包應用程式到容器中，提供預建置的連接器，來和其他AWS服務整合，接著由EMR在EKS叢集上部署應用程式，並管理工作執行、日誌記錄和監控，不過這個過程相當耗時，所以，AWS現讓企業可以使用自定義映像檔，直接將服務指向現有映像檔並且開始執行，藉此提高執行效能。</p> <p>透過自定義映像檔，企業可以使用自己持續整合的工作流，以最佳化的EMR Spark Runtime為基礎，建置包含應用程式和相依項目的容器映像檔，減少映像檔建置時間。新功能支援自動化流程，企業可使用現有持續整合工作管線，添加相依項目到映像檔中，並且使用Amazon EMR漏洞掃描功能，或是使用EMR驗證工具來檢查檔案結構和Runtime版本。 <a href="https://aws.amazon.com/tw/blogs/aws/customize-and-package-dependencies-with-your-apache-spark-applications-on-amazon-emr-on-amazon-eks/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IaaS市場調查 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong> </p> <p><strong style="font-size: 22px;">Gartner：2020年IaaS市場規模因疫情年成長逾4成，達到643億美元</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Capture2.JPG" style="width: 600px; height: 353px;" /></strong></p> <p>市場研究機構Gartner日前發布2020年全球基礎設施即服務的市場調查報告，相比2019年，去年該市場的規模年成長了40.7%，達到643億美元。Gartner研究副總裁Sid Nag指出，除了疫情推動了IaaS市場成長外，超大型服務供應商持續擴建分散式雲端與邊緣解決方案，進一步將公有雲觸角延伸到地端，以滿足各組織對於資料主權、工作量可攜性及網路延遲的相關需求。</p> <p>2020年前五大IaaS業者依序是亞馬遜、微軟、阿里巴巴、Google及華為，他們在IaaS市場的占有率高達8成。亞馬遜IaaS公有雲營收達262億美元，市占率為40.8%，不過，亞馬遜是五大業者中成長率最低的，僅28.7%。以19.7%市占率居次的微軟，成長率達59.2%，IaaS營收為127億美元，而排名第三的阿里巴巴以61億美元的IaaS營收，取得9.5%的市占率，成長率為59.2%。Google則名列第四，IaaS營收為39億美元，僅占市場的6.1%，但成長幅度亮眼，達66.1%。排名最後的華為，是成長最快的業者，成長幅度高達202.8%，IaaS營收為27億美元，市占率僅有4.2%。<a href="https://www.gartner.com/en/newsroom/press-releases/2021-06-28-gartner-says-worldwide-iaas-public-cloud-services-market-grew-40-7-percent-in-2020">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 程式碼審查 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></p> <p><strong style="font-size: 22px;"><strong>Amazon CodeGuru現可整合到CI/CD工作流中，由GitHub Actions觸發程式碼安全性分析</strong></strong></p> <p>AWS程式碼自動審查服務Amazon CodeGuru Reviewer加入兩項新功能，除了與GitHub Actions整合外，還提供20種新的Java檢測器，協助開發者找出更多Java程式的安全性漏洞，並且撰寫符合AWS最佳實踐的程式碼。CodeGuru Reviewer新提供的CI/CD功能，可供開發者在推送新程式碼的時候，於開發周期早期就找出安全漏洞。</p> <p>另外，新加入的Java安全檢測器，能夠辨識Java Servlet API，和例如Spring等網頁框架的安全問題，其他新的檢測器還可以協助用戶在使用S3、IAM、Lambda等服務或是公用程式時，能夠建立安全最佳實踐。目前CI/CD整合功能以及Java偵測器都已經上線可以使用，企業不需要付出額外的費用，而使用到S3服務時，則會視儲存的構件以及審查程式碼的頻率來估算費用。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon_codeguru_reviewer_updates_new_java_detectors_and_cicd_integration_with_github_actions/">（詳全文）</a></p> <p>圖片來源／法拉利、AWS、微軟、Gartner</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. 中華開發金控將採用Azure 混合式及多重雲端解決方案，執行跨單位的資料串接<a href=" https://news.microsoft.com/zh-tw/china-development-financial-azure-resolution/">（詳全文）</a></p> <p>2. Flexera調查：企業對本地端外的IT資產可視性有限，僅45.9%對雲端執行實例具準確可視性 <a href="https://www.flexera.com/about-us/press-center/flexera-releases-inaugural-2021-state-of-it-visibility-report.html">（詳全文）</a></p> <p>3. Google雲端CDN和負載平衡服務開始支援HTTP/3，提升網路效能<a href=" https://cloud.google.com/blog/products/networking/cloud-cdn-and-load-balancing-support-http3">（詳全文）</a></p> <p>4. AWS收購加密傳訊業者Wickr ，強化AWS協作服務的安全通訊功能<a href=" https://aws.amazon.com/tw/blogs/security/aws-welcomes-wickr-to-the-team/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年6月</p> </div></div></div>
2021/7/2 13:42作者黃郁芸https://www.ithome.com.tw/news/145403
【從網路卸載處理，邁向資料中心通用運算】進入興盛期的智慧型網路卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1031-cover4-960-v4.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>圖片來源／Nvidia、Broadcom，iThome整理，2021年6月</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於可程式化處理器，提供了彈性運算卸載功能的智慧型網路卡（SmartNIC），其實已經問世了10年以上時間，早在2010年代初期，就已有Accelize、AdvancedIO Systems、BittWare、Fiberblaze、Intilop與Solarflare Communications等新創廠商，推出了結合FPGA的網路卡產品。</p> <p>其中特別值得一提的，是曾在金融高頻交易領域大放異彩的Solarflare Communications，該公司在2012年初推出的AOE（Application Onload Engine）網路卡，結合了10GbE埠、FPGA與16GB記憶體，可以在網路卡上執行金融用戶的交易程式，在網路卡上直接完成資料的運算與傳輸，從而將交易傳輸的延遲降到最低。</p> <p>不過，這些早期的智慧型網路卡，提供的運算卸載功能比較單一，多是專門針對金融交易、高效能運算或電信等特定用途，用途較為局限，而且還採用了非標準的開發應用環境，使用上也相對不易。</p> <p>今日新一代的智慧型網路卡，則具備了更靈活的通用運算能力，並採用易於使用的標準開發作業環境，可因應資料中心多樣化的應用。</p> <p>而將智慧型網路卡從早期特定應用領域的硬體加速裝置，推廣到一般資料中心應用，要歸功於Intel、Broadcom、Mellanox等網路卡大廠的參與。</p> <p>首先是Mellanox在2016年發表了BlueField可程式化網路處理器，並以此為基礎，於2017年推出BlueField智慧型網路卡，接下來Intel與Broadcom則分別在2019年發表N3000系列可程式化加速卡，以及Stingray系列智慧型網路卡。</p> <p>其他重要網路元件供應商如Marvell與Netronome也都投入了這個領域，Marvell透過併購Cavium，取得後者的LiquidIO系列智慧型網路卡產品線，Netronome則在更早的時候便推出獨立開發的Agilio系列。就連FPGA領域的領導廠商Xilinx，也在併購Solarflare Communications的基礎上，進入這個市場，推出了Alveo系列智慧型網路卡。</p> <p>除了這些大廠之外，市面上，後續還湧現了Pensando、Fungible等極具潛力的新創廠商，目前已有10家以上供應商，共數十款產品可選，讓這個領域開始進入興盛期。</p> <p>而為了突顯新一代智慧型網路卡多樣化的運算卸載能力，身為主要供應商之一的Mellanox-Nvidia，也開始改用「資料處理器（DPU）」這個新名稱，意圖讓這種產品與CPU、GPU鼎足而立，共同構成伺服器運算單元的3大要角。</p> <p>而另一些針對儲存應用的智慧型網路卡供應商，如Nebulon，則以「儲存處理器（SPU）」來稱呼，來強調儲存方面的應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-cover4-960-600.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">標準型網路卡與智慧型網路卡之間的關鍵區別，並不在於運算卸載能力的有無或多寡，而是在於可程式化能力。</span></strong></p> <p><strong><span style="color:#696969;">當前基於ASIC的標準型網路卡中，比較高階的款式，其實已能提供相當豐富的卸載功能，涵蓋了網路傳輸卸載、儲存傳輸協定卸載、AES加解密、虛擬化網路功能與I/O處理的卸載等，同時也提供了對應的軟體介面，讓用戶端可以整合與啟用這些卸載功能。但ASIC的功能基本上是固定的，只能運行網路卡廠商預設的應用功能。</span></strong></p> <p><strong><span style="color:#696969;">相較下，智慧型網路卡不僅具備與標準網路卡一樣的網路控制器功能，還搭載了嵌入式可程式化處理器，如Arm多核心處理器或FPGA晶片，搭配DRAM記憶體、Flash記憶體等儲存單元，等同是一臺具體而微的迷你伺服器，除了提供預先設定的加速與卸載功能外，也能視需要載入與運行新的軟體功能，甚至還能在智慧型網路卡上執行Linux作業系統、虛擬化平臺或Container，應用非常靈活。</span></strong></p> <p><span style="color:#696969;"><strong>但另一方面，額外的運算單元與記憶體等元件，也大幅提高了智慧型網路卡的尺寸、成本與功耗。</strong>圖片來源／Nvidia、Broadcom，iThome整理，2021年6月</span></p> <p><span style="font-size:28px;"><strong>提高伺服器的運算效益</strong></span></p> <p>在虛擬化與軟體定義化的潮流下，當前伺服器必須承載的網路、安全與儲存等方面的基礎服務負載，也越來越多，甚至會占用到伺服器CPU運算能力的1/3以上，而且這些負載還在迅速增加中，留給應用程式的運算能力，也越來越少。</p> <p>智慧型網路卡便是因應這個困境的解方，除了像傳統網路卡一樣，提供網路連接與傳輸功能外，更重要的是可利用卡板上搭載的運算單元，幫助卸載伺服器CPU的運算負荷，讓伺服器能將更多的CPU資源，釋放給業務端的應用程式使用，而不是消耗在基礎服務上。</p> <p>Broadcom給了一個例子，一臺典型含有36個處理器核心的雙socket伺服器，扣除虛擬化、儲存與網路虛擬化等基礎服務占用的資源（如AES加密、NVMe-oF傳輸、OVS、VNF等），最後將只剩8～12個處理器核心，可以留給應用程式使用。</p> <p>若換成一臺18個處理器核心的單處理器伺服器，但搭配智慧型網路卡，藉此可將虛擬化、儲存與網路等基礎服務的負載，都卸載到智慧型網路卡上執行，因此可以保留16個以上的處理器核心，供應用程式使用，而且伺服器成本與功耗都可降低將近一半。</p> <p>也就是說，比起藉由升級CPU來獲得更多的運算能力，透過智慧型網路卡的卸載能力，不僅也能達到釋放更多的CPU資源給應用程式使用的目的，還可減少對CPU規格的要求，並藉此節省伺服器功耗，是更具成本效益的選擇。</p> <p><span style="font-size:28px;"><strong>智慧型網路卡的型態與類型</strong></span></p> <p>智慧型網路卡通常由網路埠、運算單元、記憶儲存單元、流量控制單元，以及與主機連結的通訊單元等幾個部分組成，依照運算單元的形式，可分為多核心嵌入式處理器、FPGA與專屬網路處理器等3種主要類型，其中以多核心處理器與FPGA兩種為大宗。</p> <p>如Broadcom、Mellanox、Marvell等廠商產品採用的運算單元，都屬於多核心處理器（前兩者採用Arm架構處理器，後者同時擁有MIPS與Arm架構處理器的產品），Intel與Xilinx則採用FPGA。至於採用專屬網路處理器的廠商則有Netronome與Pensando等。</p> <p>不同類型的處理器架構，在運算特性、整合難易度與便利性方面各有優缺點，在未來可見的時間內，應該會繼續並存下去。</p> <p>儘管處理器架構有所差異，但是在卸載功能方面，目前的智慧型網路卡產品，都主要針對網路與網路安全，以及儲存等2個應用面向，提供卸載應用，前者包括軟體定義網路（Software Defined Network，SDN）、網路功能虛擬化（Network Function Virtualization，NFV）與網路安全相關的卸載功能，例如虛擬交換器、防火牆等；後者則例如NVMe-oF協定的卸載，重複資料刪除、加密等功能的卸載，有些智慧型網路卡還內含了RAID與Erasure Coding卸載功能（如Broadcom的Stingray系列，以及Nvidia剛發表的BlueField-3）。</p> <p>而在用戶端，則須透過廠商提供的工具套件與API，來啟用智慧型網路卡的運算能力與卸載功能，或是載入執行客製化的軟體功能，這方面不同廠商的作法差異較大，如同樣基於多核心處理器的智慧型網路卡中，採用Arm處理器的Broadcom、Mellanox產品，便嵌入了完整的作業系統，用戶端開發人員可以透過標準的通信架構與介面來連結智慧型網路卡，開發難度相對較低。相較下， Marvell較早期基於OCTEON處理器（屬於MIPS架構）的產品，則需要使用更底層的系統呼叫指令，使用難度較高一些。</p> <p>除了結合網路埠與可程式化運算單元的基本型態外，智慧型網路卡還延伸發展出兩種衍生型式。</p> <p>其一為結合了磁碟控制能力，可以直接連接與控制SSD，如Broadcom的Stingray系列中的PS250，便整合了SAS介面，再搭配內含的RAID功能，等同於1套獨立的儲存控制器；其二為結合了繪圖處理器（GPU），可透過GPU擴展運算能力，提供即時分析處理等功能，如Nvidia的BlueField-2 A100，Nvidia把這種產品稱作融合式加速卡，融合了智慧型網路卡與GPU卡的運算能力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1031-cover4-600-big(1).png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1431,height=515'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-cover4-600.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>雲端、大型用戶引領應用</strong></span></p> <p>目前智慧型網路卡推廣的一大障礙，在於較高的成本與功耗。因為智慧型網路卡額外的運算單元，雖然提供了運算能力，但也顯著增加了成本與功耗。</p> <p>與提供同樣傳輸速度網路埠的傳統網路卡相比，智慧型網路卡的價格差距最大可到5倍以上，對於10/25GbE網路卡來說，相當於100至400美元以上的價差，這已經大到企業採購時不能忽略的程度。而在功耗方面，智慧型網路卡可以達到20至80瓦之譜，是傳統網路卡的2至4倍，對於伺服器來說，這樣大的功耗，也已是不可忽視的程度，必須考慮由此帶來的供電與散熱問題。</p> <p>儘管如此，智慧型網路卡的效益，仍足以抵消其缺點。雖然智慧型網路卡要比傳統網路卡昂貴、且消耗更多功率，但藉由運算卸載功能，所減少的CPU資源消耗，可以為用戶省下更多的伺服器成本與電力。</p> <p>因而各界十分看好這個領域的未來發展，如市場研究機構Dell'Oro集團在2020年的報告中便預測，到了2024年時，智慧型網路卡的銷售額，將會占整個乙太網路卡市場的26%。</p> <p>而對不同類型的用戶來說，看待智慧型網路卡需求的方式，以及吸引力也有差異，因為這當中涉及了用戶的資料中心規模、服務取向，以及應用智慧型網路卡所需的軟體整合能力。</p> <p>依照Dell'Oro的市調報告，以埠數計算的話，美國前4大雲端服務商，就占了2019年90%的智慧型網路卡出貨量，是一個以大型雲端服務商為主流的市場。</p> <p>這些大型雲端服務商極為龐大、複雜的資料中心基礎設施，是建立在虛擬化服務架構上，也是智慧型網路卡的網路與儲存卸載功能，可大展身手的環境，能將資源運用效率提高到極致，大幅改善基礎設施的成本效率，這不僅促使他們積極引進智慧型網路卡，還自行打造專屬智慧型網路卡。</p> <p>至於次一級的雲端服務商，雖然未必有足夠資源去自行開發智慧型網路卡，但也能從既有的智慧型網路卡供應商獲得需要的產品。</p> <p>另一個積極引進智慧型網路卡的用戶群體，是電信業者。這些廠商正急切轉型，希望將核心網路服務，轉移到基於x86伺服器的網路虛擬化環境中運行，而智慧型網路卡的網路虛擬化卸載功能，能在這個環境中發揮關鍵的效用。</p> <p>還有一個領域，是智慧型網路卡可以發揮所長的場合，便是興起中的邊緣運算應用（Edge Computing），對於承擔了多重存取任務的邊緣運算節點來說，可以透過智慧型網路卡的運算卸載功能，達到降低存取延遲的要求。</p> <p>至於廣大的企業用戶，由於各自的資料中心規模相對較小，因而缺乏如同雲端服務商那樣高的需求動力，去追求最大限度的資源利用率，對於智慧型網路卡的卸載功能，相對也較不積極。</p> <p>不過，對於企業用戶來說，更大的導入障礙，是缺乏運用智慧型網路卡所需的軟體整合能力。因為，多數企業都習慣依賴供應商提供現成的軟體平臺，自身缺乏足夠的軟體開發整合能力與資源，來使用智慧型網路卡的加速功能。</p> <p>所以，企業用戶目前比較有可能應用智慧型網路卡的情境，或許是作低延遲儲存連接的端點，以因應NVMe-over-Fabrics傳輸的低延遲需求。</p> <p class="rtecenter"><span style="font-size:36px;"><span style="color:#3399ff;"><strong>公有雲服務商的自有智慧型網路卡</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%20Microsoft%20FPGA.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>【微軟的Catapult加速卡】微軟的Catapult加速卡是基於FPGA打造而成，可為深度類神經網路、Bing 搜尋與SDN等應用，提供加速、減少延遲，同時，也釋放CPU資源而用於其他工作。</strong>圖片來源／微軟</span></p> <p>公有雲服務商是當前最主要的智慧型網路卡用戶，占了智慧型網路卡出貨量的8、9成。除了採用既有的智慧型網路卡產品外，為了追求針對自身架構的最佳化，幾家公有雲龍頭也紛紛打造了自身專屬的智慧型網路卡。</p> <p>目前已知三大公有雲服務商——AWS、微軟Azure與阿里雲，都已擁有自身開發的智慧型網路卡類型裝置，如AWS的Nitro卡，阿里雲的MOC卡，以及微軟Azure的Catapult卡。</p> <p>其中AWS的Nitro卡，是專門支援Nitro虛擬化架構的加速卡，以AWS旗下晶片設計部門Annapurna Labs開發的SoC晶片為核心，目前已發展到第3代，可以將Nitro虛擬化架構中的儲存、網路與資安功能，卸載到Nitro卡上運行，藉此可將絕大多數的實體主機資源保留給用戶端使用，並改善VM的延遲與效能。</p> <p>類似的，阿里雲的MOC卡，是專門搭配其X-Dragon裸機服務架構使用，由他們自行設計，已發展到第2代，在這張卡上，直接運行輕量型虛擬化平臺X-Dragon Hypervisor。</p> <p>至於微軟Azure的Catapult加速卡，則起源於2012年啟動的Project Catapult計畫中，基於FPGA技術發展的可程式化硬體加速卡，目前已經推出第3代版本，同時應用在微軟Azure與Bing服務資料中心，用於為AI應用與網路傳輸提供加速。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/azure">Azure</a></div><div class="field-item even"><a href="/tags/%E9%98%BF%E9%87%8C%E9%9B%B2">阿里雲</a></div><div class="field-item odd"><a href="/tags/%E6%99%BA%E6%85%A7%E5%9E%8B%E7%B6%B2%E8%B7%AF%E5%8D%A1">智慧型網路卡</a></div><div class="field-item even"><a href="/tags/smartnic">SmartNIC</a></div></div></div>
2021/6/30 07:00作者張明德https://www.ithome.com.tw/tech/145265
戴爾推開源軟體Omnia，自動化AI和HPC工作負載部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>戴爾（Dell）<a href="https://www.prnewswire.com/news-releases/dell-technologies-drives-convergence-of-high-performance-computing-ai-and-data-analytics-with-omnia-open-source-software-301320872.html">發布</a>Omnia開源軟體包，該工具可以透過創建一個靈活的資料中心基礎設施資源池，來支援自動配置和管理HPC、人工智慧以及資料分析工作負載。Omnia是由戴爾的HPC運算和人工智慧創新實驗室、英特爾和亞利桑那州立大學合作開發。 </p> <p>Omnia開源軟體包是一組開源的Ansible Playbook，官方提到，Omnia可以加快Kubernetes、Slurm，甚至是函式庫框架、服務和應用程式的融合工作負載部署。Omnia會自動將軟體解決方案，諸如HPC模擬、人工智慧的神經網路，或是資料分析用的記憶體圖形處理等，發送到每臺伺服器上，有效縮短部署時間，從原本數周減少到只要數分鐘。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/omnia-k8s.png" style="width: 580px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/omnia-slurm.png" style="width: 580px;" /></p> <p>Ansible最初由紅帽創建，能夠用來管理配置和部署應用程式，而Slurm則是Linux作業調度程式，受許多超級電腦或是電腦叢集所採用。</p> <p>戴爾整合解決方案資深副總裁Peter Manca提到，隨著人工智慧、HPC和資料分析逐漸融合，儲存和網路配置仍然處於孤島，而這使得IT難以針對不斷變化的需求提供資源，Omnia可以簡化進階運算工作負載的管理，加速企業研究和創新。</p> <p>在部署Slurm工作負載管理器方面，Omnia透過組合Ansible Plays，以正確建構RPM檔案並且進行部署，確保所有相依項目都已經安裝，且能夠正常執行，Kubernetes容器調度也能獲得相同的方便性，Omnia使用由社群支援的Linux套件儲存庫，能自動執行創建多節點Kubernetes叢集的所有步驟。Omnia還能用於開發環境的部署上，創建多用戶的Python、R或Julia開發環境，可以替動態或是永久儲存提供配置檔案，還能自動部署機器學習平臺Kubeflow等。</p> <p>除了Omnia，戴爾的新發布還包括藉由擴展HPC按需服務，來支援VMware虛擬環境，透過HPC按需服務和R Systems，用戶可以在需要的時候，取用先進的基礎設施來滿足峰值運算的需求。隨著VMware Cloud Foundation、VMware Cloud Director和VMware vRealize Operations加入服務陣容，用戶能夠使用混合雲模型來處理資源密集工作負載，在需要的時候快速存取HPC資源。另外，戴爾現在也讓用戶在EMC PowerEdge R750、R750xa和R7525伺服器中，可以選用Nvidia A30和A10 Tensor Core GPU。</p> </div></div></div>
2021/6/29 19:11作者李建興https://www.ithome.com.tw/news/145333
勒索軟體REvil盯上Linux平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>威脅情資公司Advanced Intelligence（AdvIntel）的研究主管<a href="https://twitter.com/y_advintel/status/1391450354051653633" target="_blank">Yelisey Boguslavskiy</a>在本周披露，知名勒索軟體REvil已盯上Linux平臺，開始利用Linux加密工具來攻擊與加密VMware ESXi虛擬機器。</p> <p>2019年現身的REvil專門鎖定大型企業展開攻擊，<a href="https://www.coveware.com/blog/ransomware-attack-vectors-shift-as-new-software-vulnerability-exploits-abound" target="_blank">它被Coveware列為</a>今年第一季最活躍的勒索軟體，市占率為14.2%，領先Conti V2的10.2%、Lockbit的7.5%與Clop的7.1%，也<a href="https://www.kaspersky.com/blog/top5-ransomware-groups/39426/" target="_blank">被卡巴斯基視為</a>今年最危險的前五大勒索軟體，與Maze、Conti、Netwalker及DoppelPaymer並列。</p> <p>REvil的攻擊對象橫跨20個領域，從製造業、金融業到電信產業等，今年以來，包括宏碁、日月光孫公司Asteelflash Group、廣達、美國核武外包商Sol Oriens及美國再生能源業者Invenergy的被駭事件，據說都與REvil勒索軟體有關。卡巴斯基則說，迄今REvil向受害者所勒索的最高贖金紀錄，<a href="https://www.ithome.com.tw/news/143355" target="_blank">是在今年3月攻擊宏碁時</a>提出的5,000萬美元。</p> <p>至於被REvil鎖定的VMware ESXi，是VMware所開發的企業級Type 1的Hypervisor，它直接整合重要的作業系統元件，並直接安裝於硬體上。</p> <p>其實Boguslavskiy今年5月便發現，REvil集團已釋出Linux版的加密工具，用來加密NAS裝置，現在則更進一步鎖定ESXi伺服器。另一資安團隊<a href="https://twitter.com/malwrhunterteam/status/1409577829289934851" target="_blank">MalwareHunterTeam也證實了</a>Linux版REvil勒索軟體的存在。</p> <p>值得注意的是，Emsisoft技術長Fabian Wosar向<a href="https://www.bleepingcomputer.com/news/security/revil-ransomwares-new-linux-encryptor-targets-esxi-virtual-machines/" target="_blank">BleepingComputer</a>透露，把觸角伸進VMware ESXi的並不只是REvil，包括Babuk、RansomExx/Defray、Mespinoza、GoGoogle、DarkSide與Hellokitty，也都打造了鎖定ESXi機器的Linux加密工具。</p> </div></div></div>
2021/6/29 12:41作者陳曉莉https://www.ithome.com.tw/news/145324
AWS買下號稱全球最安全的加密通訊平臺Wickr
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/security/aws-welcomes-wickr-to-the-team/" target="_blank">AWS（Amazon Web Services）上周五（6/25）宣布</a>，已買下全球最安全的加密通訊平臺Wickr，將立即透過AWS提供Wickr服務，且Wickr的既有客戶未來也能繼續使用該平臺。雙方並未透露交易金額。</p> <p>總部位於紐約的Wickr是在2012年創立，為一端對端加密的通訊平臺，支援Android、iOS、Windows、macOS及Linux等作業系統，提供傳訊、語音、視訊、檔案分享與協作能力，針對不同的使用環境提供了Wickr Me、Wickr Pro、Wickr RAM與Wickr Enterprise等不同的產品。</p> <p>其中，Wickr Me為鎖定一般使用者的程式，標榜不需要利用手機號碼或電子郵件帳號就能註冊，Wickr RAM則是專供軍方使用，Wickr RAM定位為協作平臺，Wickr Enterprise與Wickr Pro同屬企業產品。</p> <p>迄今Wickr Me最為人所熟知的事蹟，為它在美國國安局<a href="https://media.defense.gov/2020/Aug/14/2002477667/-1/-1/0/CSI_%20SELECTING_AND_USING_COLLABORATION_SERVICES_SECURELY_FULL_20200814.PDF" target="_blank">（NSA）所評測的17款協作服務中</a>，是唯一一款達到NSA所有安全及隱私標準的產品，擊敗了思科的Webex、Google Workspace、Microsoft Teams、Signal、Slack、Zoom，以及Amazon Chime。</p> <p>AWS表示，現階段公共部門的客戶已利用Wickr來執行各種任務，從員工之間到軍人之間的加密通訊，企業也利用Wickr來維持員工與業務合作夥伴之間的私密通訊，同時還能符合法規需求，在此一異質的工作環境中，企業與政府組織都更需要保護來自不同地區的遠端通訊安全，非常歡迎Wickr加入AWS。</p> </div></div></div>
2021/6/28 15:25作者陳曉莉https://www.ithome.com.tw/news/145299
WD證實駭客濫用My Book Live系列NAS漏洞，用戶資料遭到刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>West Digital（WD）儲存裝置一項存在近3年的漏洞遭到駭客開採，導致部份用戶資料全數被清空。</p> <p>West Digital（WD）儲存裝置<a href="https://shop.westerndigital.com/zh-tw/products/external-drives/wd-my-book-usb-3-0-hdd#WDBBGB0030HBK-SESN" target="_blank">WD My Book Live、My Book Live Duo</a>為WD推出可置於桌上的小型NAS設備。它讓使用者可透過App或Web介面存取檔案。</p> <p>但<a href="https://community.wd.com/t/help-all-data-in-mybook-live-gone-and-owner-password-unknown/268111/34" target="_blank">上周有WD用戶反映</a>，他的WD My Book Live裝置儲存多年的資料都沒了，雖然還留有目錄，但全部都是空的。2TB儲存空間顯示全滿。此外他也無法以預設admin或變更過的密碼登入控制UI，僅能在某個登入頁面輸入「owner password」</p> <p>另一名用戶更發現，有人可不經任何許可，而能遠端將裝置回復到出廠設定，相信是資料被清空的原因。</p> <p><a href="https://www.westerndigital.com/support/productsecurity/wdc-21008-recommended-security-measures-wd-mybooklive-wd-mybookliveduo" target="_blank">WD隨後說明</a>，經過研究，該公司判斷My Book Live、My Book Live Duo裝置一個遠端程式碼執行漏洞（RCE）漏洞CVE-2018-18472遭到開採，在某些情況下，攻擊者可觸發回復出廠設定，可能是所有資料被抹除的主因。</p> <p>WD檢視一些客戶的登入檔，發現攻擊者在不同國家多個不同IP位址連上My Book Live，顯示它們是可由網際網路直接存取，可能是直接連線，或是透過UPnP手動或自動傳輸埠轉發（port forwarding）功能而連結。登錄檔顯示有些裝置甚至遭植入木馬程式.nttpd,1-ppc-be-t1-z，這是專為My Book Live及Live Duo的PowerPC處理器架構而組譯的Linux ELF二進位檔。這隻惡意程式也被上傳到了VirusTotal。</p> <p>受影響的產品包括2010年出售的My Book Live系列，這些裝置自2015年起就未再接獲韌體更新。他們呼籲My Book Live和My Book Live Duo客戶儘速從網路拉下線，以免資料受害。</p> <p>根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2018-18472" target="_blank">CVE-2018-18472的漏洞描述</a>，該RCE漏洞位於/api/1.0/rest/language_configuration的語言參數的shell metacharacter中，可被知道裝置IP的人開採，以發送回覆出廠設定指令。</p> <p>另有用戶通報，一些資料回復工具可以恢復受影響裝置的資料，WD也正在研究之中。</p> <p>WD強調尚未發現WD雲端服務、韌體更新伺服器或客戶登入密碼等被開採的證據。其中許多用戶擔心的My Cloud OS 5 和 My Cloud Home裝置系列，因為採取更新的安全架構，並不受影響。WD也呼籲My Cloud OS 3用戶升級到OS 5。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 參考資料 </span></strong></span></p> <p><a href="http://www.westerndigital.com/support/productsecurity/wdc-21008-recommended-security-measures-wd-mybooklive-wd-mybookliveduo" target="_blank">Recommended Security Measures for WD My Book Live and WD My Book Live Duo (2021/06/24發布，06/25更新）</a></p> <p><a href="https://support-en.wd.com/app/answers/detail/a_id/31607" target="_blank">How to Access a My Book Live When Connected Directly to a Computer(2021/06/25發布，06/26更新）</a></p> </div></div></div>
2021/6/28 10:58作者林妍溱https://www.ithome.com.tw/news/145285
微軟發布Azure VM映像檔建置服務簡化自定義映像檔建置工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布正式推出<a href="https://azure.microsoft.com/zh-tw/blog/streamline-your-custom-image-building-process-with-azure-vm-image-builder-service/">Azure虛擬機器映像檔建置服務（Image Builder）</a>，這項託管服務可以供用戶簡單地自定義Linux和Windows虛擬機器，並且維持一致的企業安全政策。</p> <p>Azure虛擬機器映像檔建置服務是以HashiCorp Packer為基礎，用戶可以使用新的或是現有配置，在範本中描述自定義映像檔，並且立即建置虛擬機器映像檔，且不需要設置或是管理自己的映像檔建置工作管線。</p> <p>微軟提到，映像檔建置是一個複雜的過程，除了要收集組織各團隊的需求，建構映像檔配置工具之外，還要使用正確的基礎設施設定，以產生自定義基礎映像檔，甚至可能需要進行自動化配置，來一次建構多個映像檔，而且當用戶有建置不同作業系統映像檔的需求，並要將這些映像檔部署到多個雲端平臺上時，問題就會變得更加複雜。</p> <p>Azure虛擬機器映像檔建置服務，讓用戶可以使用單個範本描述自定義映像檔，用戶不需要重新學習工具，或是自己設置映像檔建構工作管線，只要了解組織的需求，就可以使用映像檔生成服務，建構Linux或Windows虛擬機器映像檔，用戶不需要擔心不同基礎設施和作業系統間的技術差異，或是其他底層元件配置。</p> <p>只樣透過Azure CLI或是Azure入口頁面，用戶就能夠開始使用Azure虛擬機器映像檔建置服務，開始建構映像檔，藉由Azure共享映像檔庫，就能夠建置映像檔工作管線，將映像檔發布到各地。</p> </div></div></div>
2021/6/28 10:01作者李建興https://www.ithome.com.tw/news/145264
【臺灣資安大會直擊番外篇】臺灣資安人才超搶手，政府民間紛紛出招培育人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安人才有多搶手？<a href="https://www.ithome.com.tw/article/144260" target="_blank">根據iThome最新發布的2021年資安大調查</a>，企業對資安人才的需求力度連年提升，今年有3成1的企業都要招募資安人才，每10家企業就有3家開出相關職缺。</p> <p>目前平均一家企業已經有3.5位資安人力，但根據我們年初的調查，每家大型企業今年平均還要招募2.3人，希望能將資安團隊擴編到5.8人的規模，隨著企業數位化越深，資安挑戰和風險日益增加，企業現有資安人力明顯不足，得要多補6成人手才夠用。</p> <p>從個別產業別來看，最缺資安人才的依舊是金融業，僅管現有資安人力是整體產業平均值的3倍之高，位居各產業之冠，但金融業打算今年平均還要多招募3.8人，而經常遭遇海外攻擊的政府與學校，也還要多找3.2人。特別的是，一般製造業今年要招募的資安人力也來到2.3人，甚至多於現有的2.1人，等於是要翻倍加碼資安人手，不僅因為去年製造業資安災情頻傳，疫情下的遠距工作型態也提升了資安風險，使製造業資安投資意願大幅提高。</p> <p>企業不只要徵才，更要找技術精熟的資安人才。企業CIO們自評，企業難以阻擋駭客的原因中，缺乏熟練人員的企業占比來到3成，比起去年2成2高出許多，企業向來重視資安熟手，今年更是迫切需要。這也讓優秀資安人才的培育與招募，成為今年各界都更重視與關注的焦點。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/144248" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover06-600-2.png" style="width: 541px;" /></a></p> <p><strong><span style="color: rgb(105, 105, 105);">根據iThome今年資安大調查，各產業今年資安人才需求力度提升，金融業平均要多招募3.8人，政府與學校也要多找3.2人，一般製造業今年則要招募2.3人，甚至多於現有的2.1人。</span></strong></p> <p><span style="font-size:28px;"><strong>104最新統計：臺灣每3～4家企業搶一個資安人才</strong></span></p> <p>從這項超過400家臺灣2千大規模企業的調查，不難發現，企業對資安人才有迫切需求，但是，資安人才的供給量能滿足得了企業需求嗎？</p> <p>日前在臺灣資安大會上，104人力銀行根據自家涵蓋臺灣7成工作人口的職缺統計數據，揭露了最新的資安人才需求趨勢。104獵才招聘事業群資深經理劉俊鴻就直言，資安人才供應遠不及需求，以網路安全系統分析師來看，光是今年第一季，平均每3家企業要搶1個求職者。</p> <p>實際從104彙整的數據來看，針對「網路安全系統分析師」的職務，過去3年來，企業需求為人才供應量的3～4倍。比如2年前這項職缺需求就高達4,193人，今年第一季更成長到4,529人，但有興趣從事這項工作的人才供給量，2年前是1,075人，統計到今年第一季卻只有1,533人，大幅低於市場需求。</p> <p>劉俊鴻點明，由於供應量不足，資安工程師在市場上屬於待價而沽的狀態，薪水更有商議空間；但對企業來說，平均3～4家公司要搶一個人，容易面臨找不到人才的處境。</p> <p>而且，從這項數據也可以發現，企業開出的資安人才職缺數近兩年來持續增加，劉俊鴻認為，COVID-19疫情可能也起了部分推波助瀾之效，因為疫情帶來更多遠距、線上服務的需求，讓更多企業面臨了資安與風險管控的問題，而需要招募這類資安工程師。</p> <p>進一步分析，若以資安人才就業的各產業分布狀況，前3大就業產業分布，最大宗是軟體及網路相關業，有54.3%資安人員都落點該行業，金融機構及其相關的產業則有7.6%，接下來則是教育服務業有4.3%。劉俊鴻解釋，金融業需求較大的原因，可能與金管會要強化金融資安的政策相關，而教育服務類產業的需求，則自於資安相關科系，也會需要資安人才來提升教育能量。</p> <p>除了產業分布，另一項資安人才關注的重點，則是薪資條件的差異。針對年資3年以下的資安新鮮人，104統計，新人起薪最高的產業，是顧問與研發設計類產業，可達45K，再來則是半導體產業，起薪可達43K，不過，其他產業的資安類工作，起薪則大多低於35K，比如金融業與會計服務業約為34K，電腦及消費性電子製造業、電信及通訊相關業起薪最低，約為31K。</p> <p><span style="font-size:28px;"><strong>為彌補資安人才供需落差，政府從教育面推動人才培育</strong></span></p> <p>資安人才企業搶破頭，不只是因為企業數位轉型潮的內部需求，政府這幾年也積極扶植資安產業成為國家重要產業，且為了彌補資安人才的供需落差，政府早在5、6年前就從教育著手，透過系統性養成資安人才的方法，來穩定增加資安人才的數量。</p> <p>從2015年起，教育部推動「資訊安全人才培育計畫」，目標提升大專院校資安教學能量，建立完整的資安人才培訓體系，同時也要透過產學合作，來培訓國際資安競賽選手，以及強調實務能力、能與產業接軌的資安人才。</p> <p>幾年計畫執行下來，臺灣資安教育體系已然成形。高階資安人才上，教育部在2019年，就鼓勵4所大專院校，成立5個資安碩士學程。而今年已經邁入第七屆的新型態資安暑期課程（AIS3），則是鎖定大學學生，以期培養更多企業資安中堅人手。</p> <p>AIS3透過暑期連續7天訓練營的形式，至今累計培育了近千位資安人才，主要以大學生為主。近兩年來，課程也從原先聚焦純攻擊技術結合Final CTF競賽的形式，逐漸與產業接軌，轉為與企業緊密合作，以專題競賽的方式培育更多企業所需的資安人才。</p> <p>除了興辦AIS3課程，政府也與產業聯手，在2016年推行「臺灣好厲駭」課程，透過資安實務導師（Mentor）制度，以師徒制的方式來教學，在一年內請到不同業界與學界導師，來培育具有資安實務技術的學生。課程的目標栽培的對象，是具有一定技術能力與社群經驗的資安人才，比如參加過AIS3課程的學員，目標要培育學用合一的高階資安人才。</p> <p>雖然臺灣好厲駭屬於高階培訓課程，但只要技術實力符合條件，不只大學、高中生，就連國中生仍有機會被錄取。其中，少部分表現優異的學員，更有機會獲得導師一對一的進階指導，若受到業界導師青睞，也有機會直接獲得實習或是正職的工作機會，接軌企業來學以致用。</p> <p>不只中短期鎖定大學生來培養產業所需資安人才，資安人才培育計畫這幾年更是往下扎根，向國高中，甚至是小學邁進，要讓更多學子從小養成對資安的興趣。</p> <p>AIS3專案計畫主持人鄭欣明指出，為了引起更多學生對資安的興趣，主辦方去年成立了AIS3 Club，來輔導全國各高中職、大專院要資安社團的運作，不只提供補助、輔導、協辦活動等支援，也整合各校資安社團，成立北中南跨校社群，讓更多學生有機會藉由社團來接觸資安，希望未來可以帶來源源不絕的資安新血。</p> <p>在臺灣好厲駭接受培訓的學生，同樣將資安教育能量，回饋給國高中小學，2017年到2020年間，已經辦理了上百場高中職生的資安培訓課程，也已經將課程推動到國中與國小5、6年級。同時，主辦方也將高中職資安授課課程，設計成教材，提供6個課程模組給教師使用，讓老師在經過培訓與研習後，也能教授初階資安課程，持續擴大體制內的資安教育能量。</p> <p><span style="font-size:28px;"><strong>從學習到求職，臺灣資安人才也要接軌國際</strong></span></p> <p>資安是全球火熱的技術，資安培育計畫也不只在地深耕，也開始接軌國際，讓臺灣學子可以接觸到國外頂尖技術和趨勢。比如AIS3從2017年開始，攜手其他7個亞太資安社群，催生出AIS3的國際版，協同日本、韓國、新加坡、泰國、馬來西亞、澳洲、越南等國，輪流舉辦全球資安營活動（Globe Cybersecurity Camp，GCC）。臺灣AIS3計畫每年都會挑選表現優異的學生出國參加，增廣他們的國際視野。</p> <p>AIS3培訓的學生，也有機會被選入CTF戰隊，向戰隊前輩學習，還能與前輩共同參與世界級CTF來傳承經驗。比如臺灣HITCON x BFKinesiS聯隊，就在2019年美國DEF CON CTF奪得第二名的成績，HITCON x Balsn聯隊則在2020年獲得同比賽第三名的成績，其中，BFKinesiS與Balsn隊伍的主要參賽成員，大都來自AIS3課程的培訓，這也意味著資安人才培育計畫，在推動不到5年的時間，就擁有培育全球頂尖資安競賽人才的能力。</p> <p>臺灣資安人才接軌國際的管道越來越多元，也開始有非政府組織協助臺灣資安人才出海發展。比如Amazon資訊安全部總監陳浩維，就在2018年創辦臺灣未來基金會，要連結在海外工作的臺灣資安人才，來與國內人才交流。</p> <p>臺灣未來基金會從去年底開始，與臺灣駭客協會、資安解壓所，共同發起了資安職涯讀書會，讓現役與未來留學生、資安前輩、有資安人才需求的企業能申請加入，在此交流經驗與技術，組成資安人脈網。同時，對於有意到海外就業的學生，海外資安工作者也共同貢獻過去經驗，建立起系統性的求職知識庫，降低海外就業的門檻，也能讓初出茅廬的資安人才，藉此規劃未來的職涯發展。</p> <p>陳浩維指出，臺灣人具有勤奮、認真、負責的特質，且具有世界級的技術能量，加上長年受到中國駭客攻擊，對於攻擊手法也有一定程度的了解，這些條件都是臺灣資安人才的優勢，也具備成為國際級資安人才的潛力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-cover%E4%B8%BB%E6%96%87-500(2).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>臺灣資安教育有5大目標，一是跨域教學以培育跨領域資安人才，二是培訓國際資安競賽選手，三是培育產業所需人才，四是向下扎根並發掘資安潛力學子，五是培養學生成為國際級資安人才。</strong>圖片來源／ISIP</span></p> <p><span style="font-size:28px;"><strong>社群助結交同好、吸收新知，更能汲取前輩經驗</strong></span></p> <p>除了政府和民間都紛紛動起來培育資安人才，過去十多年，還有一個重要的人才培育基地，就是臺灣資安社群，讓學生、資安新鮮人與資安工作者，都能透過不同管道來吸收資安新知、結交同好。這些社群包括學校、區域限定的類型，如UCCU、TDOH、BambooFox，也有全臺社群盛會HITCON，甚至全球性的社群OWASP，都能參加。</p> <p>臺灣駭客協會也在2015年成立，以推廣資安為己任，積極推動資安相關社群活動的發展。</p> <p>iThome舉辦的臺灣資安大會，同樣也是社群同好聚集的資安盛會。今年剛結束的活動中，也特別規劃了資安人才專區，讓不同工作職務、學習環境、成長背景的各類資安人才齊聚一堂，向資安新鮮人傳授職涯經驗，讓更多對資安懷抱憧憬的新血，能一窺行業專家的成長歷程，開拓他們對資安工作的想像。</p> <p>比如戴夫寇爾執行長翁浩正，就分享了資安技能樹的重要性，鼓勵資安新鮮人要找到自己擅長的技能並深入學習，作為自己立足的資本。台灣大哥大資安長陳啓昌則強調，資安人才不能只會用技術專有名詞來溝通，要學會「講人話」！才能取得他人、尤其是管理階層的信任。</p> <p>其他還有聞名全球的頂尖駭客Orange Tsai，分享了自己一路拿下世界冠軍的成長歷程；永豐金證券資訊安全部協理謝佳龍，則分享了自己跨國、跨產業的工作經驗；安永會計師事務所諮詢服務執行副總曾韵，更歸納出自己6個職涯轉捩點，分享曾有過的掙扎與體悟。</p> <p>還有紅隊隊長許復凱、數聯資安資深IR技術顧問周哲賢、Panasonic IoT資安研究員賴婕芳，都分享了從事不同資安工作的職場實戰經驗；臺灣駭客協會首任秘書長李尚韋與學生計算機年會創辦人黃一晉，則是分享了社群經驗如何對現在的工作帶來助益。這些寶貴經驗，雖然無法完全複製，卻能帶給資安新手更多職涯規劃的啟發。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>與企業接軌，AIS3資安人才培育從狂派轉為博派</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1030-cover%E4%B8%BB%E6%96%87-500(1).jpg" style="width: 500px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>AIS3專案計畫主持人鄭欣明指出，要長期培育人才，得先建立資安教育的典範，並深植到學生心中，當他們有所成就，就會願意承接前輩們的教育精神，回頭推廣資安。</strong></span></p> <p>在教育部資安人才培育計畫的推動下，臺灣唯一一個長期資安實務暑期營隊活動AIS3，已經走過6年，累計招收了近千名學生。AIS3專案計畫主持人，同時是臺科大資工系的副教授鄭欣明指出，AIS3屬於資安中階課程，較適合對資安有興趣，且已經一定資安能力的學生參加。</p> <p>鄭欣明表示，AIS3主要有兩大目標，其一，是培訓國際資安競賽選手，也就是攻擊導向的「狂派」人才，尤其在AIS3開辦的前4年，更是以此目標來規劃課程，不只舉辦資安攻防賽，也安排學生與國際資安教育社群、CTF戰隊接軌。其二，則是要逐年培育能接軌企業的「博派」資安人才，來解決業界資安人才不足與人才的學用落差問題。對此，主辦方也在這兩年改變課程規劃，且開始與企業更緊密合作。</p> <p>回顧了AIS3幾年來辦理營隊的成果，鄭欣明指出，剛開始舉辦AIS3時，課程規劃以資安實務技術為主，並邀請國內外知名CTF戰隊成員來授課，甚至有美國PPP戰隊成員、韓國BoB戰隊成員來臺授課，藉此來吸引學生目光。學生報名後，篩選方式以線上pre-exam進行，入選的學生除了上課之外，還能參加主辦方舉辦的Final CTF競賽，表現優異者更有機會獲得參加DEF CON CTF的資格。</p> <p>2016年，AIS3規模擴展到北中南三地。隔年，主辦方也在Final CTF中，導入日本NICT（情報通信研究機構）的視覺化特效技術，讓參加者能體驗國際級CTF 競賽的氛圍。</p> <p>邁入2018年時，講師陣容更開始納入了過去曾參與AIS3活動的學員，顯示過去培育的資安人才已經有獨當一面的能力，當年由AIS3校友組成的BFS戰隊，更打入DEF CON CTF，榮獲第12名的成績。這一年，優秀隊伍更能獲得參加日本最大規模駭客比賽SECCON CTF的資格。</p> <p>培育了許多狂派資安人才後，主辦方也逐漸發現，產業界也存在了龐大的資安人才缺口，「所以我們做了重大改變，決定在2019年取消舉辦Final CTF。」鄭欣明指出，大約三年前，主辦方為了讓學生了解，資安不僅限於CTF，更有企業防禦的面向，因此改以專題競賽的形式，來取代Final CTF的舉辦。原先分散北中南三地的課程，也改在同一地點舉行。</p> <p>近兩年來，AIS3課程也延續了專題競賽的形式，去年的課程中，主辦方與企業更緊密合作，來推出更具產業經驗的題目，更提供相應的課程與專題指導。今年，也決定改變徵選的方法，將過去透過pre-exam來篩選報名者的辦法，改為一半pre-exam、一半甄試的方式，也限制AIS3的參加次數以兩次為限，讓更多專長與特質的資安新血參與。今年也預計招收150位學生來參與培訓。</p> <p>除了辦理暑期課程之外，AIS3主辦團隊也辦理了初階CTF比賽「My First CTF」，在每年5、6月舉行，針對讓高中職生與資安初學者來推廣，期許學生能燃起對資安的學習熱忱，4年來更已經累積了超過500位學生參加。表現優異者更能獲得參加全球資安營隊（Globe Cybersecurity Camp，GCC）的機會。</p> <p>針對資安技術更加純熟的學生，AIS3主辦方也辦理了高階EOF CTF競賽，要透過建立資安實戰演練平臺，讓學生互切磋資安實務能力，更要藉由這項競賽，提供高階CTF實戰技術訓練，選拔優秀參賽者成為戰隊選手，讓學生有機會躍上世界級的競賽舞臺。4年來已經有共計154人參加。</p> <p><strong style="color: rgb(51, 153, 255); font-size: 36px;">強調實作與自學，臺灣好厲駭以師徒制培育菁英人才</strong></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1L3A7666.JPG" style="width: 500px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>臺灣好厲駭實務導師制度負責人曾龍指出，沒有產學界的師資，就不會有師徒制的課程誕生，當前資安人才豐沛的教育能量，來自於各界導師的無私奉獻。</strong></span></p> <p dir="ltr">為了進一步提拔高階資安技術人才，教育部資安人才培育計畫，從2016年開始，推動高階資安人才培訓課程「臺灣好厲駭」。與AIS3不同，臺灣好厲駭目標培育的是更高階的資安技術人才，因此在師資上，不只集合國內產學界頂尖師資，更透過資安實務導師（Mentor）制度，以師徒制的方式來教學，目標要培育具有資安實務技術能力的學生，以及國際級資安競賽的種子選手。</p> <p dir="ltr">崑山科技大學資工系副教授曾龍，同時也是實務導師制度與資安扎根計畫負責人指出，這項課程僅限定學生報名，且因課程內容較為精深，主辦方會對學員進行篩選，第一階段會依據報名者是否參加過資安活動、相關資安培訓課程，以及報名者的專長、能力、興趣等條件來進行評選，通過會進入與導師面試的階段，最終篩選出每一年的培訓學員。</p> <p dir="ltr">根據歷年的錄取人數統計，從2016年44位報名錄取33人，完成結訓有23人，到去年98人報名錄取了66人，加上61位舊生，參與課程的人數已經有顯著成長。曾龍指出，在這些錄取者之中，少部分的學生更能獲得導師一對一的進階指導，但進階指導的資格，取決於學生是否積極自學、能否了解自己想要精進的方向及其技術程度，並非有意願就能參加。</p> <p dir="ltr">在為期一年的課程中，授課教師的師資陣容堅強，過去曾參與的業界教師包括戴夫寇爾Allen Own、Orange Tsai、奧義智慧的Birdman、HITCON創辦人Tim Hsu，以及Team T5、趨勢科技、資策會、中華電信等企業的資安技術人員等；學界教師則有臺科大、臺大、交大資訊相關科技的教授，曾龍也在其中，各自負責不同技術課程的指導。</p> <p dir="ltr">課程主要可以分為三大類型，分別是核心課程如滲透測試、惡意程式分析、威脅獵捕與數位鑑識，跨域課程如金融資安與區塊鏈安全，以及關鍵課程如雲端安全、AI與資訊安全、資安產品與工具研發等。</p> <p dir="ltr">曾龍也列舉出過去曾舉辦的課程內容，比如從CTF戰隊成員解難題的過程中，學習惡意程式分析、漏洞測試等技術的實戰運用，更曾舉辦過攻防訓練課程，將學生分為兩隊，並給予對方的漏洞，使其互相攻擊與防禦，更請到CTF戰隊成員來教學。</p> <p dir="ltr">其他可以學到的技術如Advanced Binary Exploitation、Linux與Docker安全、Fuzzing、Symbolic Execution、Memory Forensics，還有數位鑑識軟體Encase的實務應用，主辦方也與資策會資安所的實驗場域合作，來進行資安測試的實務操作。</p> <p dir="ltr">曾龍指出，在指導學生技術時，除了豐富的課程內容，更重要的是教學方法，不是只操作給學生看，還得讓學生實作與提問，這些實務教戰的環節，更是教科書上看不到的內容。老師們也鼓勵學生積極參與各種研討會，並在研討會後，試著實作聽過的內容，來精進資安實力。</p> <p dir="ltr">儘管已經將許多資安實戰技術納入課程，但曾龍也坦言，還有些議題尚未列入其中，比如AI資安、零信任網路、MITRE ATT&CK、車聯網、eHealth、5G、雲端、量子電腦等，未來也將逐步設計到課程中，「我們正在努力。」</p> <p dir="ltr">推動培訓課程後，主辦方2020年初也調查了學員的就業、實習與升學狀況，畢業後的學生，14位已經在國內知名資安廠商或企業就業，比如資策會、中華資安國際、Team T5、奧義智慧、可利可資安、趨勢科技、Line及戴夫寇爾等，也有20位學員進入企業實習、81位繼續升學。</p> </div></div></div>
2021/6/25 07:00作者翁芊儒https://www.ithome.com.tw/news/145081
IoT雙周報第94期：蘋果新版iOS 15正式支援Matter互通標準，讓用戶也能控制非HomeKit平臺的智慧家庭連…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>05/28~06/11精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧家庭</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Matter標準 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果新一代iOS 15將正式支援智慧家庭連網標準Matter，讓用戶也能控制非HomeKit平臺的居家設備</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-06-09%20%E4%B8%8A%E5%8D%8811_22_57%202.png" style="width: 600px; height: 303px;" /></p> <p>在今年WWDC 2021會上，蘋果宣布新一代iOS 15將正式支援智慧家庭連網標準Matter，這也意謂著，用戶使用iPhone上的Home App，未來不僅能控制如HomePod等蘋果HomeKit設備，即使是非HomeKit的第三方家庭連網設備，只要支援Matter標準，也都能控制，例如門鈴、電燈等。除了手機，蘋果表示，此一標準也將通過更新支援各種Apple設備，包括Apple Watch上的Home app，舉例來說，通過Matter標準，使用者可以將其他廠商提供的門鈴資訊顯示在Apple Watch手錶上，就能知道誰在你家門口，準備出來迎接。除了蘋果，Matter標準目前主要採用者，還包括Google和Amazon兩大智慧家庭大廠，透過Matter標準，未來彼此裝置和服務也都可互通。</p> <p>除了大力支援Matter標準，蘋果還宣布將在第三方HomeKit設備上，開放提供Siri語音助理功能，讓設備製造商可以將Siri整合到他們自己的HomeKit產品中，不過蘋果強調，用戶向Siri發送的對話內容，並不會流向第三方業者，而是會通過蘋果自己的HomePod裝置轉發請求，以確保用戶的隱私。首波整合Siri的HomeKit設備，將於今年稍晚推出上市。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Eclipse基金會 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Edge調查 </span></strong></span></p> <p><span style="font-size:22px;"><strong>2021年物聯網與邊緣商業採用調查報告出爐，半數企業正在部署IoT及邊緣運算應用</strong></span></p> <p>Eclipse基金會近日發布2021年物聯網與邊緣商業採用調查報告，這份報告是他們年初花兩個月訪查全球超過300家中大型企業及新創所做出最新調查報告，從這份報告，也可反映出，目前物聯網和邊緣運算在全球商用及應用部署情況。</p> <p>根據該報告指出，全球企業IoT採用率出現加速式的成長，接近半數受訪企業表示目前正在部署IoT，另有39%的受訪者計畫未來1到2年內部署。不僅如此，企業在邊緣運算採用比例也持續增長，過半受訪企業現在不是已經在採用階段，不然就是一年內計畫要用，也因此，今年在兩者投資規模都呈現上升的趨勢，與2019年相比，3成企業投資金額更翻倍成長，達到10萬～ 100萬美元，要用來大力發展物聯網與邊緣運算，而投資破百萬美元的企業，更有近2成比例。</p> <p>另外，在技術選擇上，也有高達7成採用開源技術，他們使用開源主因，包括了滿足客製化的需求，以及能夠影響開源專案發展方向，還有較省成本，以及較具靈活性和敏捷性。另外這兩個應用採用混合式雲的比例，也有所增加，從2年前的22%，提升到44％。</p> <p>該調查也提出企業在物聯網和邊緣運算維運的三大挑戰，分別是端到端物聯網監控和管理、設備管理，以及網路、設備與數據的安全性。</p> <p class="p2" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; font-size: 14px; line-height: normal; font-family: "PingFang TC"; color: rgb(0, 0, 0); min-height: 20px;"> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> StarlingX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開源邊緣雲專案StarlingX釋出新版本，正式支援Nvidia GPU，可用於邊緣AI運算加速</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-06-10%20%E4%B8%8A%E5%8D%889_27_51.png" style="width: 600px; height: 318px;" /></p> <p>近日，由開源基礎設施基金會（OpenInfra Foundation）發起的開源邊緣雲專案StarlingX釋出新版，除了能以更自動化的方式管理及認證邊緣裝置，也支援Nvidia GPU運算，可加速提供機器學習或圖像處理。</p> <p>StarlingX是一個開源的邊緣運算與物聯網雲平臺，整合了Ceph儲存、OpenStack雲端軟體、Kubernetes、KVM虛擬化軟體，以及Linux核心元件等，提供更易於部署的雲端到邊緣的軟體堆疊。至今獲得不少大型企業及電信營運商採用，例如美國電信巨頭 Verizon之前就利用它打造自己的商用5G服務。</p> <p>在最新 R5.0 版本中，StarlingX首先引進了新的Edgeworker節點功能，該節點主要可部署在靠近邊緣裝置的地方，就近管理這些裝置的登入及認證程序，如I/O設備、攝影機、邊緣伺服器及感測器等，藉此來提高工業IoT及工廠自動化。</p> <p>其次，新版本也開始加入硬體加速的功能，新增對Nvidia GPU運算的支援，因應有較高運算處理的邊緣運算應用需求，使得企業現在也能為邊緣裝置上的機器學習或圖像處理等，提供加速運算，除了GPU，在FPGA硬體方面，該版本也提供了完整FPGA容器映像檔自動化調度的能力。此外，在安全性方面也所有強化，整合用於管理機密資訊的開源專案Vault ，來提高平臺的安全和加密功能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>高通推出一系列全新IoT處理器平臺，瞄準邊緣運算及物聯網裝置市場</strong></span></p> <p>日前，高通專為邊緣運算及物聯網設備推出一系列處理器平臺，未來可提供運輸、物流、零售和醫療等產業來使用。這幾款處理器平臺分別是Qualcomm QCS8250、Qualcomm QCS6490/ QCM6490、Qualcomm QCS4290/ QCM4290和Qualcomm QCS2290/ QCM2290。其中高通QCS8250系列處理器平臺，鎖定的是智慧醫療、數位看板、數位零售及視訊協作等應用，該平臺整合Kryo 585 CPU，還配備高通的AI引擎與圖像處理器，可支援多達7個攝影機拍攝，並可錄製4K影像畫面。而QCS6490/QCM6490處理器，則可作為物流管理、零售、運輸和倉儲的使用，並也支援了Sub-6 GHz與mmWave的5G網路和Wi-Fi 6E連網能力。另一款QCS4290/QCM4290系列處理器，則可供工業手持設備做使用，其內建Kryo260 CPU和LTE及Wi-Fi 6功能。另外還有一款入門的QCS2290/QCM2290處理器，同樣可用於工業手持設備，則配備Cortex A53 CPU與LTE連接能力。目前這幾款高通處理器平臺多數已推出，只有QCS6490/QCM6490將於2021年下半年上市。</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT韌體安全 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>強化邊緣及物聯網裝置的韌體安全，微軟收購資安新創ReFirm Labs</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-06-10%20%E4%B8%8A%E5%8D%8811_08_40.png" style="width: 600px; height: 314px;" /></p> <p>微軟近日宣布收購美國一家資安新創ReFirm Labs，以增強物聯網裝置的韌體安全，但並未揭露本次收購金額。</p> <p>2017年成立的ReFirm Labs，以提供企業級設備漏洞管理解決方案為主，過去ReFirm Labs團隊曾開發出開源韌體安全分析工具Binwalk，該工具後來被全球5萬家企業組織採用，用於分析數千個物聯網及嵌入式設備，以評估該裝置韌體的安全性。</p> <p>微軟表示，ReFirm Labs的加入，將可以豐富他們在跨設備的韌體分析與安全功能，涵蓋伺服器到結合物聯網的智慧邊緣裝置，並也能和自家物聯網安全產品做結合，像是能支援 Azure Defender for IoT檢測服務，讓設備製造商以後可以通過上傳韌體在Azure雲上進行分析，找出未修補的常見漏洞和潛在安全風險。</p> <p>ReFirm Labs也在自己的官網上宣布被微軟併購的消息，並表示其Binwalk套件未來將加入微軟戰略的產品線，協助這家公司解決企業用戶在物聯網安全的挑戰。</p> <div>圖片來源／StarlingX、ReFirm Labs</div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong><strong><strong>1.無線廠商Aruba推出首款支援6GHz頻段的企業級Wi-Fi 6E無線產品，速度可達3.9Gbps</strong></strong></strong></p> <p><strong>2.特斯拉下一代全自駕系統軟體，將全面改用攝影機視覺偵測，來取代雷達</strong></p> <p><strong>3.Google地圖新增Waymo自駕車叫車服務功能</strong></p> <p><strong><strong><strong>4.搶先Waymo一步！Cruise獲准在美國加州提供免真人司機的自駕車載客服務</strong></strong></strong></p> <p><strong><strong><strong><strong><strong>資料來源：iThome整理，2021年6月</strong></strong></strong></strong></strong></p> </div></div></div>
2021/6/10 12:40作者余至浩https://www.ithome.com.tw/news/144912
Qt多媒體模組將在Qt 6.2回歸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌開發工具Qt的技術長兼專案主要維護者Lars Knoll，在專案開發的郵件列表中<a href="https://lists.qt-project.org/pipermail/development/2021-May/041458.html">提到</a>，Qt多媒體（Multimedia）模組新的API和實作，將會合併回開發分支中。這項消息代表該模組有望將會如官方在去年底承諾的一樣，於Qt 6.2版本進入該框架。</p> <p>Qt多媒體模組是Qt從第5版本更新到第6主要更新版本時，被跳過的一個重要模組，多媒體模組提供了一組功能豐富的QML（Qt Markup Language）類型以及C++類別，讓開發者能夠方便地處理多媒體內容，並且也提供必要的API，供開發者存取攝影機和無線電功能，其內含Qt音訊引擎，能夠處理3D音效播放和內容管理。官方提到，多媒體模組大概是Qt 5到Qt 6變化最大的模組，他們在Qt 5生命周期維護多媒體模組遇到很大的問題，而且也無法真正的在所有平臺提供一致的功能。</p> <p>官方希望在Qt 6中情況得以改變，為了實現此一目標，他們更改了部分公共API，並且重新改造了內部架構，尤其在多媒體連接到特定平臺的後端，做了許多改善，除了清理後端API和進行簡化之外，現在開發者會在編譯的時候選擇後端，每個平臺也只支援一個後端。架構清理工作簡化了程式碼庫，該模組從Qt 5.15版本的14萬行程式碼，現在降低到7.3萬行。</p> <p>新的Qt多媒體模組具有一個稱為QMediaDevices的API，可以用來發現輸入和輸出裝置，並且取得有關上下文變更通知，另一個新添加的QMediaFormat API，則能夠用來查詢支援的編碼器和檔案格式。</p> <p>Lars Knoll提到，這個模組仍然有許多需要修復的問題，但程式碼現在處於良好的狀態，其他工作會在合併回開發分支後繼續進行。而在Qt 6.2後，多媒體模組將進入功能凍結狀態，模組還有一個例外需要處理，特別是在攝影機和媒體捕捉功能，Windows和Android後端仍需要改善。而Linux的gstreamer後端，以及iOS與macOS的AVFoundation，則處在良好的狀態。</p> <p>Qt在去年底的時候，發布了最新的主要更新版本Qt 6.0，該版本加入了許多新功能，包括更新的C++語言結構，並且採用全新圖形架構，使得2D與3D開發體驗更加一致。</p> <p>但是這個版本遭到許多開發者抱怨，因為Qt 5.15的許多附加模組，並沒有跟著移植到Qt 6.0，並且在1月的時候，官方突然宣布Qt 5.15 LTS進入商用階段，使得許多免費用戶卡在無法使用Qt 5.15 LTS版本，但是Qt 6.0模組不足的尷尬情況。直到最近釋出的Qt 6.1，官方才補上許多好用的模組，並預計在6.2繼續補上重要的多媒體模組。</p> </div></div></div>
2021/6/4 16:13作者李建興https://www.ithome.com.tw/news/144828
Elastic 7.13強化對開源主機檢測框架Osquery的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic發布了最新軟體堆疊<a href="https://www.elastic.co/blog/whats-new-elastic-7-13-0?elektra=home&storm=announcement">Elastic 7.13</a>版本，這個新版本在企業搜尋、可觀察性和安全解決方案，都加入新功能。除了提供正式的凍結層儲存服務外，還加入執行時欄位（Runtime Fields）功能，強化分析能力，並且改善開源主機檢測框架Osquery整合，提供用戶進行更強大的安全分析。</p> <p>現在Elastic凍結層（Frozen Tier）資料儲存服務已經正式上線，用戶不需要取捨要留下或是刪除的資料，能夠以凍結層低成本儲存PB級資料，並且以更具成本效益的方式，對儲存在物件儲存中的資料進行大規模搜尋。</p> <p>官方解釋，雖然物件儲存極具成本效益，但是這種儲存方式會影響搜尋效能，而Elastic則是會根據需要，從物件儲存中擷取必要的內容，並根據需要在本地端快取，以高效率低成本的方式完成資料查詢。無論用戶的使用情境是建構儀表板，還是針對龐大資料集進行查詢，官方強調，凍結層都能提供良好的搜尋體驗。</p> <p>Elastic 7.13強化了可觀察性功能，讓資料分析師可以運用Discover和Kibana Lens，在執行時額外加入資料欄位參與分析。這項功能適用的情境，官方舉例，當用戶有一個問題想要進行研究，而手中剛好沒有可使用的資料，則Discover和Kibana Lens的執行時欄位功能，就可以讓資料分析師快速產生需要的資料。</p> <p>執行時欄位供分析師探索和強化所使用的資料，透過執行時欄位編輯器，在Discover和Kibana Lens動態創建欄位，並且進行格式化、修改和轉換資料，以方便彈性的方式進行資料分析，而且不需要切換到其他畫面進行額外操作。這個靈活的資料分析功能，讓分析師獨立執行資料探索工作，並且在工作流程中直接修改使用的資料，當場查看結果。</p> <p>在安全性上，Elastic 7.13擴大支援開源主機檢測框架Osquery，供Elastic Agent能使用新的主機管理整合，透過結合Osquery主機資料來進行統一分析。Osquery主機管理整合讓企業安全團隊，可以用Osquery來解決網路威脅，用戶只需要點擊介面，就可以在Windows、macOS和Linux主機上安裝與調度Osquery。</p> <p>Osquery資料會儲存在Elasticsearch中，並且在Kibana中顯示，用戶可以使用一個或多個代理來執行即時查詢，並且定義排程查詢，以掌握組織系統的安全狀態，Osquery資料可與其他事件、威脅和異常資料進行綜合分析，提高主機可見性，增強企業安全分析和監控能力。</p> </div></div></div>
2021/6/1 21:05作者李建興https://www.ithome.com.tw/news/144754
【臺灣資安大會直擊】增進外界對APT攻擊族群認識，TeamT5出奇招，將抽象的駭客組織化身展覽作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於駭客組織的認識，大家可能常常在資安新聞或報告中，看到某些攻擊事件是由哪個駭客組織所為，然而，大家對於這些駭客組織的印象，可能多半不夠深刻，是否有更平易近人的方式，增進大眾對於一些駭客組織的認識呢？</p> <p>畢竟，網路攻擊日益複雜，這些有組織的駭客團體，花了很多心力了解企業，但是我們對這些駭客組織有概括性的了解嗎？長期進行駭客追蹤研究的TeamT5杜浦數位安全，在本月舉行的2021臺灣資安大會展區上，特別用上類似藝術展覽的形式，讓參觀的人能從不一樣的視角，認識APT族群的特性。</p> <p>在這樣的展區中，TeamT5打造出有如現代藝術博物館（MOMA）的布置場景，擺放著4座藝術品，將原本抽象的攻擊族群，具象化成為一座座藝術品來展現，同時，一旁牆面也有著對於APT族群一詞的中英文介紹，說明每個APT族群都有自己的地域性與慣用的攻擊手法，以及經常鎖定的國家與產業。</p> <p>在現場擺設的這些創作中，連結的APT攻擊族群共有4個，包括：Lazarus、HUAPI、AMOEBA與Nian。</p> <h2><span style="color:#0000FF;"><strong>駭客組織：Lazarus</strong></span></h2> <h3><span style="color:#B22222;">也被稱為APT38、HiddenCobra</span></h3> <p>舉例來說，以Lazarus駭客組織所具象成為的作品來看，呈現了多個保險箱被打開，鈔票散落在外的場景，同時還有一塊虎紋毛毯批在保險箱上。</p> <p>或許，國內對於這個Lazarus駭客組織都有點印象，因為它就是2017年臺灣遠東商銀SWIFT系統入侵盜轉攻擊事件的幕後黑手，是北韓的駭客組織，又名APT38，或是HiddenCobra。</p> <p>Lazarus駭客組織有何特性？根據現場一旁導覽小卡的介紹，他們的攻擊目標全世界都有，受害產業以金融、媒體、航空為主。最受關注的是，Lazarus具有多次攻擊金融產業的記錄，尤其是針對SWIFT跨國轉帳交易系統，以及ATM自動櫃員機系統進行攻擊。</p> <p>由於他們的攻擊不只是選擇金融產業，還包括與具有關鍵技術的私人企業，推測是為了替北韓政權措資金，好發展武器與實驗。而且，在他們過往的攻擊行動中，會在惡意程式內參雜俄文，企圖混淆分析人員。</p> <p>對於此作品的意象，TeamT5提出說明，讓我們對Lazarus有更深刻的印象。他們表示，此作品以保險箱來象徵各大銀行的概念，如同北方猛虎化身的虎皮肆無忌憚的入侵了各大銀行，而保險箱的各國貨幣也傳達了Lazarus鎖定全世界攻擊。此外，由於Lazarus為北韓的駭客組織，因此他們保險箱使用了藍紅藍配色，這其實也與北韓國旗有呼應。</p> <p>另外值得注意的是，在TeamT5於本月揭露的2020年臺灣APT網路攻擊態勢的報告中，當中也有提到上述駭客組織的相關活動。</p> <p>例如，他們在去年曾在國內發現Lazarus使用的Linux後門工具，雖然沒有進一步的資訊，可以確認受害者身份資訊，但他們也提醒，偵測到此樣本，可能是該組織在臺灣又有活動跡象的警訊。</p> <h2><span style="color: rgb(0, 0, 255);"><strong>駭客組織：</strong></span><strong><span style="color:#0000FF;">AMOEBA</span></strong></h2> <h3><span style="color:#B22222;">也被稱為Winnti、APT41、BARIUM</span></h3> <p>接下來的作品是象徵著AMOEBA駭客組織，主體以黑色為意象，透明箱子裝著許多黑色盒子與黑色吊牌。</p> <p>乍聽之下，AMOEBA似乎有點陌生，他們有另一廣為人知的名稱是「Winnti」，此一命名與他們知名的後門程式有關，另也被稱作APT41、BARIUM。</p> <p>值得我們關注的是，AMOEBA是經常鎖定臺灣的中國駭客族群。例如：在2019年，華碩遭遇的ShadowHammer Operation供應鏈攻擊事件，以及在2020年，臺灣能源業者遭入侵加密攻擊事件，都是AMOEBA所為。</p> <p>在作品展示小卡中，對於AMOEBA的特性有更多介紹。基本上，這個駭客組織在過去已經展現強大的攻擊破壞力，近年該組織並不斷擴大攻擊範圍，從博弈產業擴及電信、化學能源及科技產業。特別的是，AMOEBA具備精準的供應鏈攻擊能量，這是與其他駭客最大的不同之處。</p> <p>基本上，HUAPI主要攻擊國家臺灣、日本、美國與南韓，在攻擊鎖定的產業方面，除了博弈之外，還有化學、航太、能源、媒體與電信等。</p> <p>關於此作品所代表的含意，TeamT5解釋，阿米巴本身是一種不太具有形體的生物，所以用試管將其保存起來，就像是抓到了阿米巴並好好觀察與研究一番。而垂墜下來黑色牌子上的程式碼，則代表用以辨識出阿米巴的重要元素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <blockquote><p>幫助外界了解駭客組織，將抽象的APT攻擊族群化為一個個作品，並透過導覽與桌上小卡來增進大家對於這幾個駭客組織的背景與特性。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>駭客組織HUAPI</strong></span></h2> <h3><span style="color:#B22222;">也被稱為PLEAD、BlackTech與黑风梨</span></h3> <p>另一個命名為畫皮的作品，是以駭客組織HUAPI所描繪的具象，作品以一張白色面具為主體，面具上並有著豔麗的裝扮。根據TeamT5的說明，畫皮一詞來自聊齋誌異，內容描述女鬼以披在身上的人皮，偽裝成絕世美女。比喻掩蓋猙獰面目或醜陋本質的美麗外表。</p> <p>同樣地，臺灣對於HUAPI應要有所認知，因為，近十年來，這個中國駭客族群不斷針對臺灣發動入侵攻擊行動。</p> <p>HUAPI有哪些特性與危害？在作品展示簡介中，說明了該組織也被稱為PLEAD、BlackTech與黑风梨，其中Plead是他們常使用的惡意程式。他們的厲害之處，在於擅長利用各式的軟體加殼技術，用以隱蔽惡意程式，並藉此躲避防毒軟體的偵測。</p> <p>關於HUAPI近年重大攻擊事件中，以臺灣受害企業而言，2019年華碩網路硬碟服務WebStorage遭中間人攻擊散布後門程式，就是一例。最近幾年，他們也開始攻擊與臺灣鄰近或關係相對友好的國家，像是2020年三菱電機發生200MB機密資料遭竊事件，也是他們所為。</p> <p>至於他們經常鎖定的國家與產業上，HUAPI與AMOEBA同樣是針對日本、臺灣、南韓與美國，但目標產業有明顯差異，尤其是他們會特別針對政府、軍方、高科技攻擊，相當值得注意，此外還有電信與研究單位。</p> <h2><span style="color:#0000FF;"><strong>駭客組織：Nian</strong></span></h2> <h3><span style="color:#B22222;">也被稱為Tick Group、Bronze Butler、RedBald Knight</span></h3> <p>最後一個展示作品，是以中國傳統故事中的年獸為主題，這是因為Nian是一個經常利用新年賀卡，進行魚叉式社交攻擊的中國駭客組織。而他們也被稱為Tick Group、Bronze Butler或RedBald Knight。</p> <p>關於Nian的特性，與上述3個這個駭客組織不同，從他們攻擊鎖定的國家與產業來看，主要是針對日本與韓國的航太、重工業與電信產業，而軍方與國防也是他們有興趣的目標。</p> <p>而在慣用的攻擊手法上，Nian具備了優於其他駭客組織的社交工程能力，時常會發現他們的攻擊中，出現了變種的後門，顯示他們會持續將現有武器提升進化。</p> <p>綜合來看，全球被發現與已識別出的駭客組織並不少，還有不少屬於國家級駭客組織，若以近年當紅的MITRE ATT&CK攻防知識庫來看，我們可以看到現已歸納出122個駭客組織（至2021年5月）。在此次會場中，TeamT5雖只展示介紹了4個攻擊族群，但這種藝廊呈現方式相當新穎，可用較不同與輕鬆的角度，讓一般的人，對駭客組織不瞭解的人，至少對某些與臺灣相關的APT攻擊族群，能有多些瞭解與認識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89TeamT5%20MOMA.jpg" style="width: 600px;" /></p> <blockquote><p>長期進行駭客追蹤研究的TeamT5杜浦數位安全，在本月舉行的臺灣資安大會的展場上，特別布置了類似現代藝術博物館（MOMA）的場景，並將攻擊族群用具體形式呈現，並藉由這樣的展覽，增進外界對一些APT族群，能瞭解其經常鎖定的國家、產業與其特性。</p> </blockquote> </div></div></div>
2021/5/31 12:30作者羅正漢https://www.ithome.com.tw/news/144717
微軟釋出自家OpenJDK建置版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了<a href="https://devblogs.microsoft.com/java/announcing-general-availability-of-microsoft-build-of-openjdk/">自家OpenJDK建置版本</a>，該OpenJDK為開放原始碼版本，可供使用者免費部署。微軟提到，他們大量使用Java，內部執行超過500,000個JVM，因此微軟的Java工程小組便發展自家OpenJDK版本。這個微軟自建OpenJDK版本的特別之處，在於加入了他們認為對內部或是用戶，很重要的修補程式和增強功能，並且向後移植了部分更新。</p> <p>這項發布包含了基於OpenJDK 11.0.11+9 x64伺服器和桌面環境的Java 11二元檔，支援macOS、 Linux和Windows，另外，微軟也對在Arm上執行的Linux和Windows環境，發布了OpenJDK 16.0.1+9早期存取版本，官方提到，這個新的Java 16版本，已經被用於遊戲當個創世神（Minecraft）上，Java版本Minecraft Snapshot 21W19A，就已經綑綁了微軟OpenJDK建置版本的Java 16 Runtime。</p> <p>同時，微軟也將發布OpenJDK建置版本Docker映像檔和相對應的Dockerfile，可提供任何Java應用程式和Java元件用於包括Azure等各處。官方提到，現在釋出的這個OpenJDK 11版本將獲得長期支援，用戶會收到免費的季更新。</p> </div></div></div>
2021/5/27 21:03作者李建興https://www.ithome.com.tw/news/144651
微軟與Accenture共創綠色軟體基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟、Accenture、GitHub及ThoughtWorks周二（5/25）宣布成立<a href="https://blogs.microsoft.com/blog/2021/05/25/accenture-github-microsoft-and-thoughtworks-launch-the-green-software-foundation-with-the-linux-foundation-to-put-sustainability-at-the-core-of-software-engineering/" target="_blank">綠色軟體基金會</a>（Green Software Foundation），將與Linux基金會（Linux Foundation）及共同發展基金會專案（Joint Development Foundation Projects）合作，打造一個可靠的生態體系，訂出綠色軟體的標準，提供工具與最佳實作，以協助軟體產業也能跟上全球對保護環境的腳步，於2030年減少45%的溫室氣體排放。</p> <p>該基金會將致力於打造綠色軟體開發標準（Green Software Development Standard），以及支援綠色開源碼生態體系。微軟表示，倘若他們希望全球的企業都能打造綠色應用，這些企業便需要了解如何打造相關應用的開發者，因此，最重要的基礎即是訓練開發者建置綠色軟體及管理綠色專案。</p> <p>GitHub營運長Erica Brescia則說，當實現無碳軟體時，開發者在打造、部署或使用軟體時，無需是專家就能替全球環境保護貢獻一己之力。</p> <p>目前全球資料中心的耗電量約占全球所需電力的1%，而且在未來10年將成長到3~8%，該基金會的首要之務就是建立與公布各種運算及技術領域的綠色軟體標準與實作，同時培育支援綠色軟體應用的開源碼與開放資料專案，進而推動與倡導綠色軟體。</p> </div></div></div>
2021/5/26 19:38作者陳曉莉https://www.ithome.com.tw/news/144641
在Windows 10及Linux上執行Chrome會當掉？Google修補了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近這幾天相繼<a href="https://support.google.com/chrome/thread/110605125/chrome-crashing-unable-to-access-anything-not-even-settings?hl=en" target="_blank">有Chrome用戶抱怨</a>，在Windows 10與Linux上啟用chrome時，不但網頁當掉了、分頁當了，甚至無法載入設定或書籤，而且不管是重新安裝Chrome或重新啟動電腦也無效，不過，Google已快速更新Chrome，修補了相關臭蟲。</p> <p>在短短的2天內，總計有超過100個用戶回應遇到類似的問題，還有使用者表示，他與太太使用同樣的Chrome版本，但他的Chrome無法使用，太太的Chrome卻能正常運作，顯示並非每個Chrome用戶都受到影響。</p> <p>Chrome支援經理Rebecca Resnick則回應，他們是自5月21日陸續收到使用者的舉報，發現Windows版與Linux版的Chrome會無預警地當掉，已經找到原因並發布更新。</p> <p>不過，Windows用戶必須關閉並重新開啟Chrome視窗，開啟後仍會看到破碎的Chrome，讓它停留5分鐘，再結束Chrome並重新啟用Chrome，繼之就會恢復正常。Linux用戶的重新啟用程序則稍微複雜，但Resnick也列出了詳細的步驟。</p> </div></div></div>
2021/5/24 16:55作者陳曉莉https://www.ithome.com.tw/news/144598
1Password公測首個Linux App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年10月<a href="https://blog.1password.com/1password-for-linux-beta-is-now-open/" target="_blank">釋出beta版</a>後，密碼管理器<a href="https://www.prnewswire.com/news-releases/1password-unveils-Application-to-protect-linux-users-and-developers-301293641.html" target="_blank">1Password本周宣布</a>公測首個完整功能的Linux版桌機App。</p> <p>1Password創辦人<a href="https://releases.1password.com/linux/0.9/" target="_blank">Dave Teare指出</a>，這款Linux App是以Rust撰寫而成，Rust是受Linux社群信賴的程式語言，使用ring crypto函式庫加密資料。</p> <p>1Password Linux版保留了Windows或Mac版本的功能，包括允許用戶管理、儲存和他人共享密碼、信用卡號碼、網址等資訊，於瀏覽器內自動填入這些資訊、以不同密碼解封1Password、以及匯出資料、搜尋、衡量安全性的儀表板等。此外也有專門整合桌機Linux OS的功能，包括以apt、dnf套件管理員安裝、根據GTK主題的自動深色模式、以Linux帳號及指紋解鎖、支援FTP/SSH/SMB協定、整合X11剪貼簿及鍵盤捷徑等。</p> <p>目前Linux版1Password支援Firefox、Chrome、Chromium-based IE、以及Brave。1Password Linux 0.9（0.9.33）版<a href="https://support.1password.com/getting-started-linux/" target="_blank">已可在此網頁下載</a>。</p> <p>其他知名密碼管理器如<a href="https://www.keepersecurity.com/blog/2018/04/26/keeper-launches-new-linux-desktop-App/" target="_blank">Keeper</a>、<a href="https://lastpass.com/lplinux.php" target="_blank">LastPass</a>，也分別提供了Linux版本App。</p> </div></div></div>
2021/5/20 12:19作者林妍溱https://www.ithome.com.tw/news/144515
4大瀏覽器皆存在方案洪水漏洞，可讓第三方跨瀏覽器追蹤用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路詐騙偵測解決方案開發商Fingerprintjs揭露了瀏覽器最新的<a href="https://fingerprintjs.com/blog/external-protocol-flooding/">方案洪水（Scheme Flooding）漏洞</a>，研究人員發現4大主要瀏覽器都受該漏洞影響，可讓有心人士跨瀏覽器追蹤用戶，即便用戶使用匿名瀏覽也沒有用，方案洪水漏洞允許第三方跨不同瀏覽器進行追蹤，侵犯用戶的隱私。</p> <p>在Fingerprintjs研究反詐欺技術的過程，意外發現這個方案洪水漏洞，該漏洞讓網站能夠可靠地跨不同桌面瀏覽器辨識用戶，即便用戶使用無痕模式或是VPN，網站仍可利用該漏洞，對用戶分配一個永久且唯一的辨識符號。Tor瀏覽器、Safari、Chrome和Firefox桌面版本無一倖免，研究人員解釋，之所以稱為方案洪水漏洞，是因為其使用自定義URL方案（URL Scheme）作為攻擊媒介。</p> <p>方案洪水漏洞讓網站偵測裝置所安裝的應用程式，來對用戶產生唯一的識別碼，Fingerprintjs實作了漏洞概念性驗證，檢查用戶常用的32個流行應用程式列表，確認用戶是否安裝其中應用程式，來產生32位元跨瀏覽器裝置識別碼，整個辨識過程需要數秒鐘，可以在桌面Windows、Mac和Linux作業系統上執行。</p> <p>網站為了要檢查是否安裝應用程式，會使用瀏覽器內建的URL方案處理程式，像是在瀏覽器網址列中輸入skype://，就可查看功能運作狀況，當用戶安裝了Skype，瀏覽器便會開啟確認對話框，詢問用戶是否要啟動應用程式。這個功能稱為深度連結，在行動裝置中被廣泛使用，而桌面瀏覽器也擁有此功能，裝置中所安裝的應用程式都可以註冊自己的方案（Scheme），並允許其他應用程式呼叫開啟。</p> <p>方案洪水漏洞讓網站在未經用戶同意的情況下，進行針對性廣告和用戶配置檔案，網站只要使用腳本，檢測列表中的每個應用程式，並利用安裝應用程式的組合，就能對用戶產生永久跨瀏覽器識別碼，接著便能使用機器學習演算法等技術，來猜測用戶的職業、興趣和年齡。</p> <p>根據裝置上安裝的應用程式，可以顯示用戶的個人資訊，像是當用戶安裝Python IDE或PostgreSQL伺服器，則代表用戶可能是後端開發人員，這個漏洞也能被用於更加危險的辨識個人目的，像是網站可以針對所安裝的應用程式，來找出網路上的政府和軍事官員，並且關聯其匿名歷史紀錄。</p> <p>該漏洞在各瀏覽器的實作方法不同，但是基本概念大同小異，都是要求瀏覽器在彈出視窗中顯示確認對話框，並利用JavaScript程式碼來偵測彈出視窗，確認要偵測的應用程式是否存在。</p> <p>Fingerprintjs針對4大瀏覽器進行研究，研究人員提到，在這4大瀏覽器中，只有Chrome開發者知道方案洪水漏洞的存在，並且已經在Chromium錯誤追蹤器上討論並計畫修復。雖然Chrome本身就有方案洪水漏洞保護機制，但是卻可以被繞開，因此這個方案洪水漏洞仍對Chrome有效。</p> <p>Firefox在處理已知的自定義URL方案時，會開啟about:blank頁面，並且當前網站可以存取來源，攻擊者透過自定義URL方案打開彈出視窗，並且以JavaScript程式碼檢查文件是否可用，網站就能夠偵測裝置，是否有安裝特定應用程式，因此網站可藉由方案洪水漏洞，在Firefox上辨識使用者。</p> <p>Safari方面，研究人員表示，盡管隱私是Safari瀏覽器的開發重點，但是事實卻證明，Safari沒有任何方案洪水保護機制，是其中最容易被攻擊的瀏覽器。</p> <p>而被公認更為安全的Tor瀏覽器，由於其隱私政策，因此確認對話框功能被預設禁用，諷刺地，這項政策反而暴露更加嚴重的漏洞，使得網站在使用JavaScript程式碼檢查應用程式時，Tor瀏覽器完全沒有顯示任何內容，相較其他瀏覽器會不斷有彈出視窗出現，Tor瀏覽器使用者難以意識自己正受到方案洪水漏洞攻擊。即便因為Tor瀏覽器的政策，使得每個應用程式需要花費10秒鐘來檢測，但是因為漏洞開採程式，可以在後臺執行，只要用戶開啟視窗4分鐘，就足以暴露身分。</p> <p>方案洪水漏洞讓網站可跨瀏覽器追蹤用戶，研究人員提到，這個漏洞已經存在5年以上，真正的影響還不清楚，並且也尚未找到積極利用該漏洞的網站。在這個漏洞修復之前，想要不讓私密瀏覽對話和主要裝置關聯，使用其他裝置是唯一的辦法。</p> </div></div></div>
2021/5/14 16:12作者李建興https://www.ithome.com.tw/news/144424
開源API閘道器KrakenD框架現進入Linux基金會接受託管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>API閘道器KrakenD與Linux基金會共同<a href="https://www.linuxfoundation.org/en/press-release/open-source-api-gateway-krakend-becomes-linux-foundation-project/">宣布</a>，KrakenD將其核心引擎貢獻給Linux基金會，並稱作Lura專案。Lura專案的目的，是要提供雲端原生和本地部署，一個可擴展、簡單且無狀態的高效能API閘道器框架，能夠良好支援新興雲端應用程式與微服務。</p> <p>Linux基金會託管的Lura專案，前身為KrakenD開源專案，官方提到，Lura是一個適用建置API閘道器的框架，其不僅是提供簡單反向代理的功能，還可充當許多微服務的聚合器，還是可用來創建端點的宣告式工具。Lura並非用來解決特定的使用案例，而是提供一個元件函式庫，像是能夠組合成自定義客製化API閘道器系統的積木組合。</p> <p>KrakenD執行長提到，在Linux基金會中託管Lura專案，將可擴展KrakenD開源框架，以更好地資源，來支援每月超過百萬臺伺服器的大規模使用，而借助Linux基金會的開放治理模型，將可加速對開發和社群的支援。</p> <p>API閘道器逐漸成為雲端應用程式和微服務的必要結構，KrakenD創立於2016年，原本是給工程師快速建立API閘道器的函式庫，但是經過一段時間的發展，KrakenD已經被使用在一些大型網際網路應用中。</p> <p>Lura專案為一個無狀態、分散式的高效能API閘道器，能夠良好地支援微服務，Lura引擎著名API實作便是KrakenD社群版和企業版，KrakenD也會使用Lura作為KrakenD 2.0的新引擎。KrakenD官方提到，KrakenD API閘道器將會繼續提供，無論是社群版還是企業版都沒有任何變更，使用者不需採取任何的措施。</p> <p>而KrakenD框架進入Linux基金會旗下，影響的是KrakenD執行專案的方式，KrakenD團隊將會是最初的技術指導委員會，負責所有開源專案的技術監督，但是因為採用開放的治理模型，也帶進工程師改善框架。官方提到，KrakenD框架成為Lura專案進入Linux基金會，將是目前唯一一個由中立開放組織，所託管的企業級API閘道器。</p> </div></div></div>
2021/5/13 10:48作者李建興https://www.ithome.com.tw/news/144364
VS Code的Python擴充套件現預設啟用Pylance語言支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-may-2021-release/">最新適用VS Code的Python擴充套件</a>已經發布，微軟在這個版本預設Pylance為Python的預設語言伺服器，並且與核心Python擴充套件綑綁在一起，另外，微軟也加速了擴充套件啟動時間，並且加入新的除錯器功能。</p> <p>Python擴充套件預設語言支援現在由Pylance提供，微軟認為，這次升級是有史以來，他們所提供最高效能且用戶友好的Python編輯體驗。從2021年5月新版開始，Pylance成為Python擴充套件的核心，開發者不需要額外安裝，就可以立即獲得開箱即用的語言支援。</p> <p>開發團隊持續改進Python擴充套件的穩定性和效能，在這個新版本，開發團隊更是對Python環境做出重大改進，Python擴充套件載入速度更快更可靠。Windows和macOS用戶載入擴充套件的時間減少10％，而在Linux更是快了20％，Python擴充套件無回應的次數，還減少15％。</p> <p>開發團隊也在新版Python擴充套件加入新的除錯功能，開發者可以即時重新載入Python腳本，也就是說，開發者對程式碼的更新，可在除錯器開始執行並到達中斷點後自動應用，開發者不需要重新啟動除錯器。</p> </div></div></div>
2021/5/12 09:42作者李建興https://www.ithome.com.tw/news/144341
一周大事：臺灣企業資安曝險大調查出爐。嬌生揭露AI擴大應用關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>蔡英文總統出席臺灣資安大會，首度揭櫫「資安即國安2.0」戰略</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83-450.png" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源／iThome</span></p> <p>今年，全球第一場實體舉辦的資安活動「CyberSec 2021 臺灣資安大會」於今年5月4日～5月6日假南港展覽館二館舉辦，總統蔡英文亦第三度蒞臨臺灣資安大會致詞，並首度在公開場合揭櫫「資安即國安2.0」國安戰略內容，而美國在台協會處長酈英傑（William Brent Christensen）也首度蒞臨臺灣資安大會致詞。</p> <p>臺灣資安大會在去年，是全球暨美國RSA資安會議後，第二場可以實體舉辦的資安會議，因為臺灣民眾防疫有成，今年臺灣資安大會更是全球第一個可以實體舉辦的資安會議。今年，超過一萬名會眾報名三天議程與展覽，議程內容超過200軌，參與業者超過200家，展覽規模更是去年的1.5倍，場邊活動除了連續第四年舉辦的臺灣資安館外，更首度新增資安人才專區「Cyber Talent」、資安品牌日、US-Taiwan AIT Day等活動，「CyberSec Playgroung資安體驗區」的體驗活動，更從去年資安桌遊和知識問答外，擴增到7個體驗活動。<a href="https://www.ithome.com.tw/article/144263" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>KPMG企業曝險報告揭露臺灣產業資安危機</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-960.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／KPMG</span></p> <p>高科技製造業是臺灣重要關鍵產業，近期卻發生宏碁電腦、廣達電腦遭到勒索軟體的威脅，以宏碁電腦為例，雖然拒絕支付駭客集團高額贖金，但從該公司系統遭植入勒索軟體看來，企業系統岌岌可危，才讓駭客如入無人之境。</p> <p>根據全球第一份針對臺灣企業的資安曝險大調查來看，KPMG安侯數位智能風險董事總經理謝昀澤便直言：「電腦及周邊設備製造業平均網路分數墊底，更有高達80%屬於該產業的企業，落在整體排名的最後15名。」該份調查顯示，通稱高科技業的「護國群山」們，於本次調查中的網路防護安全性分數，平均只有68分，遠低於50家大企業全體平均分數78分，除少數公司躋身領先群外，多數高科技業網路安全防護，都落後於臺灣其他產業。<a href="https://www.ithome.com.tw/news/144099" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>嬌生資訊長揭露AI擴大應用關鍵</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BF%81%E8%8A%8A%E5%84%92-%E5%AC%8C%E7%94%9F%E8%B3%87%E8%A8%8A%E9%95%B7%20-%E5%9C%961%20%E2%80%93%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20Johnson%20%26%20Johnson.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／嬌生</span></p> <p>醫藥產品大廠嬌生（Johnson & Johnson），近期釋出了全球首支只需施打一劑、且冷藏保存即可的COVID-19疫苗。嬌生資訊長Jim Swanson在今年Nvidia全球GPU技術大會（GTC）中表示，疫苗在短短一年半就研發成功的一大關鍵，正是AI結合數位分身的運用，先透過虛擬軟體模擬分子架構，再透過AI驗證模擬結果，大幅將疫苗生產效率提升4倍。<a href="https://www.ithome.com.tw/news/143953" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>Line啟用海外最大的臺灣新辦公室，年底將招募逾百位技術人員</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-line.png" style="width: 400px;" /></p> <p>隨著在臺灣的業務擴展，Line在臺灣啟用全新辦公室，將原本分開的Line、Line Bank團隊集中在一起，同時將在5月下旬舉辦Line Developers Recruitment Day，年底將招募逾百名技術人員，涵蓋AI、資料科學、前端、後端等。<a href="https://www.ithome.com.tw/news/144209" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>花慈App整合兩大核心系統和AI，靠行動裝置也能一手掌握病歷和就醫紀錄</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%B5%81%E7%A8%8B%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%95%86%E4%B9%8B%E5%99%A8.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／商之器</span></p> <p>日前花蓮慈濟醫院揭露行動AI應用成果，他們將醫師專用的MobiHIS行動巡房App，整合醫院兩大核心系統，也就是醫療資訊系統（HIS）和醫療影像儲傳系統（PACS），來即時調閱患者病歷、就醫紀錄和醫學影像，同時也導入醫療AI開發框架Clara上的AI模型，讓醫師直接用行動裝置快速判讀疾病，像是肝臟腫瘤、COVID-19肺炎病灶等。接下來，花蓮慈濟還要用App上的標註系統，來訓練更多醫療AI，讓醫師用單一App掌握更多病況、及時診斷。<a href="https://www.ithome.com.tw/news/144151" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10用戶數破13億</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Windows%2010_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p>圖片來源／微軟</p> <p>微軟公布財報，過去一季營收成長19%，淨收入成長44%。Windows 10每月用戶數突破13億，Teams每日用戶數超過1.45億。<a href="https://www.ithome.com.tw/news/144078" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>木馬程式RotaJakiro潛伏在Linux系統長達3年</strong></span></p> <p>根據網路安全研究實驗室Netlab的分析，RotaJakiro為一針對Linux x64系統的木馬程式，它使用輪替加密，而且在執行後對於Root或非Root帳戶有不同的行為，猶如Dota遊戲中的雙頭龍（Jakiro），使得該團隊將它命名為RotaJakiro。在Netlab團隊取得的4個RotaJakiro惡意程式樣本之中，最早的一個是在3年前所創立，而其C&C伺服器最早建立的日期，卻能夠追溯到6年前。<a href="https://www.ithome.com.tw/news/144127" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>AWS開源迷你賽車DeepRacer裝置軟體</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_DeepRacer_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 300px;" /></p> <p>圖片來源／AWS</p> <p>DeepRacer是一個基於雲端的虛擬賽車模擬器，最近AWS宣布開源DeepRacer裝置軟體，讓開發者可以進一步擴展DeepRacer的功能，使車輛能夠執行更多的行為，或是產生新的跑法。<a href="https://www.ithome.com.tw/news/144126" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>MIT新AI工具可以只靠照片就算出材料承受的壓力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_MIT%20AI%E7%A0%94%E7%A9%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_MIT.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／MIT</span></p> <p>為了讓設計中的橋樑，能承載一定車輛重量、抵擋強風，過去工程師得耗時計算材料的內力如應力（Stress）與應變（Strain）等。即便現在有電腦的幫忙，部分模擬依然需耗時數天甚至是數個月的時間。為此麻省理工學院（MIT）開發出一種人工智慧技術，可以根據材料內部結構的圖片，快速計算出材料的部份特性，可望消除繁瑣的物理計算，改以電腦視覺和機器學習即時生成估算值，加快設計雛形和檢查材料的速度。<a href="https://www.ithome.com.tw/news/144140" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>紅帽混合雲新策略聚焦邊緣</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94-%E8%87%B3%E6%B5%A9-%20OpenShift-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 500px;" /></p> <p>圖片來源／紅帽</p> <p>在4月底一場線上紅帽用戶大會上，紅帽一改以往聚焦雲端產品的策略，反倒是轉向大力的布局邊緣端功能及應用，甚至更宣布了一項Red Hat Edge啟動計畫，要將紅帽開放式混合雲產品進一步延伸到邊緣端，來支援完整邊緣軟體堆疊架構。而作為進軍邊緣運算兩大關鍵，就是企業級Linux作業系統RHEL與混合雲平臺OpenShift這兩大雲端主力產品，甚至在會後一場全球媒體線上會議中，紅帽執行長Paul Cormier也說：「OpenShift現在已經是一個邊緣運算平臺了」。<a href="https://www.ithome.com.tw/news/144133" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google GKE能讓多執行個體共享單一GPU</strong></span></p> <p>Google更新其Kubernetes服務GKE，提供多執行個體可共用單一Nvidia GPU的功能，透過在功能強大的GPU上，劃分出多個執行個體，讓用戶依照容器需求取用適當的運算資源。<a href="https://www.ithome.com.tw/news/144090" target="_blank">更多內容</a></p> </div></div></div>
2021/5/9 07:00未署名https://www.ithome.com.tw/news/144220
開源農業基礎設施AgStack基金會成立，要借助開源之力提升農業效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利組織Linux基金會宣布啟動<a href="https://www.linuxfoundation.org/en/press-release/linux-foundation-launches-open-source-digital-infrastructure-project-for-agriculture-enables-global-collaboration-among-industry-government-and-academia/">AgStack基金會</a>，AgStack是針對全球農業生態系的開源數位基礎設施專案，將會創建、維護和強化用於農業資料和應用程式的開放數位基礎設施，來提高全球農業效率。</p> <p>AgStack基金會的創始成員來自各領域，除了科技公司之外，也有許多來自農業的企業，成員和合作夥伴包括Agralogics、Call for Code、Digital Green、Farm基金會、farmOS、HPE、IBM和NIAB等，另外還有來自加州大學農業與自然資源學院，和普渡大學農業資訊實驗室等學術單位。</p> <p>AgStack執行董事Sumer Johal提到，全球農業生態系統迫切需要數位化，因為缺乏可重複使用的工具和資料，因而損失許多生產力與創新力。官方提到，有三分之一的食物被浪費，但是全世界卻還有9％人飢餓和營養不良，導致這樣結果的原因之一，是太過緩慢且沒有效率的老舊技術系統，無法適應不斷成長且複雜化的農業供應鏈，AgStack會使用協作和開源軟體，來建立21世紀的農業數位基礎設施，這將會推動應用、效率和規模的創新。</p> <p>現在AgStack建立了公開儲存庫，能夠用來創建和發布模型，提供免費的公共資料，以及可互通的框架，還有可供跨專案使用，和特定目的的擴充套件和工具箱，這些會建構在現有的技術與基礎之上，包括AgGateway、UN-FAO和CAFA等農業基礎，Sentinel、NOAA和Soilgrids等公共資料，以及Hyperledger、Kubernetes、Open Horizon等開源專案。</p> </div></div></div>
2021/5/7 12:02作者李建興https://www.ithome.com.tw/news/144232
AI趨勢周報第167期：臉書新模型融合自監督和Transformer，不需標註資料還能揪出複製圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0430～0506)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自監督學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臉書新模型融合自監督和Transformer，不需標註資料還能揪出複製圖</strong></span></p> <p>臉書聯手法國國家電腦科學研究院Inria，共同設計一套新訓練方法DINO，融合了自監督學習（Self-supervised learning）和Transformer的注意力機制優點，來訓練電腦視覺模型Vision Transformer（ViT），不需要標註資料就能完成訓練。用這個方法訓練出來的模型，能準確辨識圖片和影片中的物件，也能進行語意分割，完全不需標註資料。</p> <p>臉書指出，近幾年AI突破性的成就來自兩大技術，也就是自監督學習和Transformer。自監督學習的好處是，AI模型能從未標註的資料中學習，省下標註所需的人力和時間成本。而Transformer的優點是，AI模型可從輸入值中，將注意力聚焦於所選的區域，來更有效率地推論。</p> <p>於是，臉書結合這兩大技術，設計出DINO演算法。他們將自監督學習的兩大優點：老師網路（Momentum teacher）和多剪裁訓練（Multicrop training）整合到DINO框架中，來搭配ViT的自我注意力優勢。團隊發現，融合自監督學習和Transformer的DINO，對視覺世界的理解和人類很像，能辨識出物件的部分組成和圖片中的共同特徵；他們以ImageNet不同類別的影像來測試，發現DINO會以人能理解的方式，來分類影像，將相似的類別擺在一起。</p> <p>這個方法，能讓模型快速執行k-NN分類任務，且不需要繁瑣的微調或學習分類器。在ImageNet的測試中，團隊也發現DINO比其他自監督學習模型還要好，而且，DINO還有能力識破複製圖和本尊的差異，未來可用於版權保護的偵測器上。<a href="https://ai.facebook.com/blog/dino-paws-computer-vision-with-self-supervised-transformers-and-10x-more-efficient-training/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/10000000_208749027394474_3359566853088796337_n.gif?_nc_cat=105&ccb=1-3&_nc_sid=ad8a9d&_nc_ohc=7mxnycNTONgAX_EkDT2&_nc_ht=scontent.ftpe7-4.fna&oh=413cb22a14cbf481abde7e55fb91ea6e&oe=60B6DBC7" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepRacer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 迷你賽車 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>擴大推廣AI賽車活動，AWS決定開源迷你賽車DeepRacer模擬器</strong></span></p> <p>AWS宣布要開源迷你賽車DeepRacer的裝置軟體，開發者可進一步擴展DeepRacer功能，讓賽車裝置可執行更多行為。DeepRacer是一個雲端虛擬賽車模擬器，開發者可在雲端上訓練、調校ML模型，並載入到1/18大小的迷你自駕車，讓它在設計好的軌道中行駛，克服各種轉彎與直線道路組合。</p> <p>DeepRacer所使用的機器作業系統ROS是用Ubuntu開發，而開源DeepRacer程式碼，可讓有Linux程式開發能力的開發者，創造出新的車輛用途，實現更多創意。開發者也可在社群媒體中，用#deepracerproject標籤分享自己的開發專案，AWS會將這些專案收集到DeepRacer GitHub Organization中，並在之後的部落格介紹。<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-deepracer-device-software-now-open-source/">（詳全文）</a></p> <div class="media_embed" height="281px" width="500px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="281px" src="https://www.youtube.com/embed/8U9pSWYJt1E" title="YouTube video player" width="500px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MIT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 材料壓力 </span></strong></span></p> <p><span style="font-size:22px;"><strong>MIT新材料分析AI工具，靠一張外觀照片就能估算出材料壓力</strong></span></p> <p>麻省理工學院（MIT）開發一套AI，可用電腦視覺辨識材料內部結構圖，來快速計算材料部份特性，像是應力（Stress）與應變（Strain）值，省下繁瑣的物理計算。</p> <p>MIT指出，一般來說，工程師需耗費大量時間來計算材料內力，就算有電腦輔助，還是會遇到長達數天甚至數月的模擬問題。為解決問題，研究團隊看上生成對抗網路（GAN），先使用上萬組圖像訓練網路，這些圖組由兩張圖組成，一張描繪材料內部在機械作用下的微觀結構，另一張則以顏色編碼標示該材料的應力和應變數值，讓AI網路反覆迭代，算出材料的幾何形狀和其所產生應力之間的關係。這個方法，讓AI只要看一張圖片，就能預測材質的內力，解決過去需要撰寫程式碼，求解偏微分方程式的麻煩。<a href="https://advances.sciencemag.org/content/7/15/eabd7416">（詳全文）</a></p> <p><img alt="" src="https://advances.sciencemag.org/content/advances/7/15/eabd7416/F2.large.jpg?width=800&height=600&carousel=1" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國衛生部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI策略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國衛生部揭露未來醫療AI布局</strong></span></p> <p>美國衛生部AI長Oki Mek日前揭露美國衛生部未來醫療AI佈局，要執行今年1月提出的AI策略，共有4大目標，包括成立AI委員會和AI實踐社群、做好AI治理和法遵，以及建立沙盒，來衡量AI成效和成本。</p> <p>進一步來說，美國衛生部一年有1.3兆美金預算，若以GDP排名來看，相當於全球第13大國。這個資金雄厚的衛生部，還有8萬多名職員來維持運作。在4大目標中，成立AI委員會的用意是做好AI發展所需的團隊合作。」再來，建立AI實踐社群是要交換AI實作心得、制定醫療AI規則，還要以此克服醫療AI的兩大難題，也就是資料取得和資料準備。</p> <p>而第3個目標是要確保醫療AI不違背法規，比如資料隱私、資安、程式碼偏差等。最後一個目標則是建立研發能力R&D，除了要建立沙盒實驗環境，還要藉機集中化管理一些作業，比如AI工作管線（Pipeline）和框架，並將一些該去中心化的作業去中心化。Oki Mek更強調，衛生部也想藉AI策略，來改變人們不想分享資料的心態。「沒有資料，就沒有AI，」衛生部希望在合法的前提下，來與相關組織共享資料。<a href="https://gtc21.event.nvidia.com/media/Presenting%20US%20HHS%20Artificial%20Intelligence%20Strategy%202021%3A%20AI%20Mission%20and%20Ambition%20Commentary%20by%20the%20CAIO%20%5BS33249%5D/1_wd8gsyz1/204678483">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-05-01%20at%205_23_12%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 商之器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UDE App </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>商之器UDE App讓iPad Pro化身行動醫療影像伺服器，離線也能判讀影像</strong></span></p> <p>國內從事醫療影像儲存與傳輸及雲端醫療平臺開發的商之器，近期展示一款UDE App，能將iPad Pro平板電腦當成行動醫療影像伺服器，可在離線狀態下檢視乳房攝影影像，並由AI模型來輔助揪出乳房腫瘤。這個做法，可將原本需要2周以上的篩檢流程縮短為1周左右，目前已有一家北部醫學中心準備採用。</p> <p>這套UDE App不僅獲得美國FDA第二級認證，也通過臺灣TFDA認證。商之器解釋，這款乳癌判讀AI是去年與資策會聯手開發，結合iPad Pro內建的CoreML技術，即使不連網，也能即時進行AI判讀，商之器表示，今年不只在國內落地UDE App，還要推廣到國外。<a href="https://www.ithome.com.tw/news/144087">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/udeapp.jpg?itok=NHChxpPe" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">甲骨文</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 分析雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>甲骨文推出分析雲，強化ML可解釋性和自然語言搜尋資料特色</strong></span></p> <p>甲骨文日前推出分析雲服務（ Oracle Analytics Cloud），強化了機器學習（ML）模型的可解釋性，使用者可查看影響模型決策的原因說明，比如，銀行拒絕給特定對象申請貸款，使用者可查看占比最重的原因。此外，使用者也能手動微調模型，來查看產出結果和變化。</p> <p>而且，甲骨文分析雲也採用自然語言處理（NLP）技術，讓使用者用說的或打字就能查找所需的資訊，分析雲也會以自然語言方式回答。這是因為，甲骨文自建一套自然語言生成（NLG）引擎，可根據問題來掃描資料、圖表等，再組成答案給使用者。目前，該功能支援28種語言。</p> <p>除此之外，甲骨文分析雲還有其他特點，包括自動化資料前處理、文本分析、關聯分析、圖表分析和客製化的地圖分析。其中，自動化資料前處理的意思是，由內建的資料分析引擎來對使用者資料掃描、取樣，找出潛在的資料質量問題，並主動通知使用者，比如對信用卡資訊等敏感訊息進行混淆處理等。除了這些特點，甲骨文分析雲也推出行動版應用程式，使用者也能在行動版上使用這些功能。<a href="https://blogs.oracle.com/analytics/announcing-new-oracle-analytics-cloud-innovations">（詳全文）</a></p> <p><img alt="" src="https://cdn.app.compendium.com/uploads/user/e7c690e8-6ff9-102a-ac6d-e4aebca50425/6a206fcb-afad-45e5-b430-01d4d1919cc6/Image/40d75ed9091174d61115eddbc2951687/ol_blog_image_3.png" /></p> <p>攝影／蘇文彬</p> <p>圖片來源／MIT、AW、臉書、Nvidia、商之器、甲骨文</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 疫情升溫！AI Labs社交距離App告訴你防疫最佳距離</strong></p> <p><strong>2. 臉書發表半監督式學習新模型，影像辨識表現再突破</strong></p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/5 17:59作者王若樸https://www.ithome.com.tw/news/144208
Dell修補存在12年的驅動程式高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dell.com/support/kbdoc/zh-tw/000186019/dsa-2021-088-dell-client-platform-security-update-for-dell-driver-insufficient-access-control-vulnerability" target="_blank">Dell周二發布安全公告</a>，修補一個存在長達12年的驅動程式漏洞，可能讓駭客在Dell裝置上執行惡意程式碼。該漏洞估計影響上千萬臺Dell筆電或桌機等產品。</p> <p>這項漏洞是<a href="https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/" target="_blank">由安全業者Sentinel揭露</a>並通報Dell。實際通報的瑕疵有5項，皆位於Dell驅動程式DBUtil（dbutil_2_3.sys）之中，但Dell將之統稱為CVE-2021-21551，歸屬於存取控管不足漏洞。</p> <p>5項瑕疵可讓具本機非管理員權限的攻擊者取得核心模式執行權限，以執行惡意程式碼。細分來看，4項會造成權限擴張，1項可引發阻斷服務（Denial of Service，DoS）攻擊。研究人員Kasif Dekel指出，該漏洞「很容易被開採」，也可能結合其他手法擴大傷害，像是在網路上橫向移動。由於需要本機權限，本漏洞風險層級被列為8.8。</p> <p>CVE-2021-21551的衝擊在於它從2009年就已存在DBUtil中，並透過Dell的程式發布給Dell消費及企業終端，包括筆電、桌機、平板等，估計可能數量達千萬甚至上億臺。可能散布問題驅動程式，並將之安裝在Dell用戶裝置上的程式包括韌體更新公用程式套件、Dell Command Update、Dell Update、Alienware Update、Dell System Inventory Agent或Dell Platform Tags等。</p> <p>受漏洞影響的軟體包括BIOS更新、Thunderbolt韌體、TPM韌體更新、dock韌體更新等。</p> <p>所幸SentinelOne研究人員未發現有開採漏洞的行為。Dell呼籲用戶儘速安裝更新版韌體，<a href="https://www.dell.com/support/kbdoc/zh-tw/000186020/additional-information-regarding-dsa-2021-088-dell-driver-insufficient-access-control-vulnerability" target="_blank">但也說明該漏洞只影響Windows裝置</a>，Linux平臺不受影響。</p> </div></div></div>
2021/5/5 12:50作者林妍溱https://www.ithome.com.tw/news/144199
紅帽祭出新混合雲戰略，擴大將RHEL與OpenShift混合雲平臺延伸到邊緣，還發布Red Hat Edge計畫方案，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月底舉行的紅帽用戶大會上，紅帽一改以往聚焦雲端產品策略，反倒是轉向大力的布局邊緣端應用，甚至更宣布了一項Red Hat Edge啟動計畫，要將紅帽開放式混合雲產品進一步延伸到邊緣端，來支援完整邊緣軟體堆疊架構。而作為進軍邊緣兩大關鍵，就是企業級Linux作業系統RHEL與混合雲平臺OpenShift這兩大雲端主力產品，甚至在會後一場全球媒體線上會議中，紅帽執行長Paul Cormier也說：「OpenShift現在已經是一個邊緣運算平臺了」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-04-28%20%E4%B8%8B%E5%8D%8812_59_06.png" style="width: 600px; height: 317px;" /></p> <p>其實，早在兩年前，紅帽就已經為擴大混合雲戰地在積極布局，搶進邊緣運算。而且不同雲端巨頭，該公司一開始便從Kubernetes層管理需求角度切入，要把混合雲的容器管理與調度能力，更進一步延伸到邊緣端，經過兩年的投入發展，如今，邊緣更成為了這家公司開放混合雲策略重要一環，希望透過雲端技術，將各種容器化應用移轉到靠近資料源的邊緣平臺來部署，要通吃實體伺服器、VM、混合雲，以及邊緣應用市場。</p> <p>紅帽提供邊緣運算服務，其涵蓋範圍也相當廣，從核心資料中心到最遙遠的邊緣位置都是其服務範疇，一共分成三個邊緣運算層，分別是Operations edge層（包括裝置邊緣層（如邊緣伺服器或閘道器）、用戶端邊緣層（如邊緣基礎架構））、Provider edge 層（含far edge、acess edge以及aggregation edge)，以及Enterprise edge 層 (含核心或區域級資料中心)。</p> <p>而作為進軍邊緣兩大關鍵，就是紅帽兩大雲端主力產品RHEL 與OpenShift。以企業級Linux OS來說，早在去年底前一版RHEL釋出時，就已經開始支緣邊緣運算功能，包括遠端裝置安裝、部署及無線更新等，在新版RHEL 8.4中，該公司增強了許多對於邊緣的支援。</p> <p>像是針對Red Hat通用基礎映像檔（UBI)推出了瘦身的版本，使得UBI現在可以輕量級映像提供，讓即使運算有限的邊緣設備，也能夠執行它。企業只須將雲端Linux程式碼與執行環境打包成一個容器映像檔後，再送到邊緣端設備來執行，有助於加速雲端到邊緣應用的部署。</p> <p>紅帽還宣布了對於開源容器引擎Podman的更新，該更新使RHEL用戶現在可以用單一控制介面，就能管所有部署的Linux容器，不只是核心資料中心，還包括了遠端邊緣位置上的容器，並也提供如自動容器更新等功能，讓企業在處理跨不同位置的工作負載的構建、部署和維護變得更容易。</p> <p>不僅如此，即使是在無網路環境下，現在企業也能透過新版RHEL 8.4裡的Image Builder工具，來快速提供邊緣架構包含裸機在內的作業系統映像的安裝與部署，來因應各種邊緣運算任務的需求。新版RHEL 預計未來幾周內推出。</p> <p>另外在OpenShift平臺方面，雖然這次並未釋出新版本，不過早在去年OpenShift 4.6平臺推出時，該公司也持續提高該平臺對於容器化Edge應用部署和管理能力，甚至在最新版OpenShift 中，用於邊緣部署時，已經可以支援多達三節點叢集，讓Kubernetes平臺也能在不同網路Edge位置上執行，並且也能透過遠端工作節點擴大邊緣架構。企業現在也能用跟雲端一樣的Kubernetes管理方式來管容器化Edge應用。</p> <p>不只是邊緣應用部署，還要能做到自動化維運。紅帽開始透過自動化平臺Ansible將邊緣軟體堆疊作業流程自動化，用於Edge的自動化維運，另外也將透過Red Hat Data Services服務，來提供跨核心資料中心與邊緣的數據儲存、分析和數據分散處理。</p> <p>不僅如此，紅帽還宣布了Red Hat Edge計畫，該計畫旨在將紅帽混合雲產品進一步延伸到邊緣端，涵蓋電信、運輸、智慧汽車以及企業邊緣設備等，來支援完整邊緣技術的堆疊，Red Hat Edge計劃的骨幹，便是紅帽雲端主力產品，包括企業級Linux OS、OpenShift 、Ansible自動化平臺等產品，以滿足企業混合雲、裸機伺服器到邊緣不同應用需求。</p> <p>紅帽表示，目前已和企業客戶及生態系就Red Hat Edge計畫持續展開合作，以推出適合不同產業的邊緣解決方案。舉例來說，目前已有韓國ICT業者Posco IC、瑞士聯邦鐵路以及英國電信業者Vodafone等業者採用其邊緣產品方案。另外該公司近日正式加入Linux基金會旗下的開源專案ELISA，共同推動發展基於Linux的安全關鍵應用程式和系統，使企業更容易打造安全的關鍵系統，例如使用Linux的機器人設備、醫療設備、智慧工廠、運輸系統和自動駕駛等。除了紅帽之外，其他加入該專案的新公司，還包括Nvidia、華為等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-04-28%20%E4%B8%8B%E5%8D%8812_46_20.png" style="width: 600px; height: 330px;" /></p> <p>另外在企業OpenShift混合雲產品方面，紅帽也特別強化資安防護能力，除了現有的OpenShift Kubernetes引擎、OpenShift容器平臺之外，該公司還推出了融合DevSecOps資訊安全的OpenShift Platform Plus平臺產品，該平臺主要是建立在OpenShift容器平臺的基礎上，增強了安全性，整合了更進階資安防護能力，包括加入TDR（威脅偵測與反應）功能，以及將聲明式安全整合到開發人員工具和工作流中，並通過DevSecOps方法論，將資安融入到開發流程，藉此來強化軟體堆疊乃至原生雲應用在內整體生命週期的安全性。</p> <p>新OpenShift Plus平臺還加入了名為 Red Hat Advanced Cluster Security for Kubernetes的K8s原生叢集管理安全功能，該技術是來自該公司先前買下的容器安全平臺商StackRox，可以提供內建Kubernetes原生安全功能，來確保應用任務的安全性。</p> </div></div></div>
2021/5/1 09:14作者余至浩https://www.ithome.com.tw/news/144133
AWS開源迷你賽車DeepRacer裝置軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布要<a href="https://aws.amazon.com/tw/blogs/machine-learning/aws-deepracer-device-software-now-open-source/">開源DeepRacer裝置軟體</a>，讓開發者可以進一步擴展DeepRacer的功能，使車輛能夠執行更多的行為或是產生新的跑法。DeepRacer是一個基於雲端的虛擬賽車模擬器，開發者可以在雲端上訓練並且調校機器學習模型，並載入到1/18大小的自動駕駛車上，讓迷你自動駕駛車可以在設計的軌道中行駛，克服各種轉彎與直線道路組合，而AWS以及大專院校也會定期舉辦DeepRacer競賽，讓隊伍互相較量增加趣味性。</p> <p>DeepRacer其實是一臺有輪子的電腦，其所使用的機器作業系統ROS是以Ubuntu為基礎開發，AWS提到，透過開源DeepRacer程式碼，可以讓具有Linux程式開發能力的開發人員，創造出新的或是更有趣的車輛用途，讓開發人員將腦中汽車的點子，能夠在DeepRacer中實現。</p> <p>AWS從DeepRacer團隊和社群成員收集到6個示範專案，包括由AWS所創建的Follow the leader、Mapping和Off Road，由開源社群創建的專案則有RoboCat、DeepBlaster和DeepDriver，供開發者能夠更簡單地開始探索新的車輛可能性，開發者可以嘗試使用DeepBlaster專案，在DeepRacer上安裝Nerf大炮，或是使用Mapping專案創建房屋或辦公室的視覺化圖像，也能以DeepDriver專案創造出新的賽車跑法。</p> <p>AWS建議開發者可以從Follow the leader開始，這個專案可以訓練汽車來偵測並跟隨物體，這是最能快速建立並且開始執行的專案。</p> <p>透過改寫DeepRacer裝置原始碼，開發者可以更改當前以追蹤為主的賽車行為，部署自己的演算法，在跑道上採取策略阻擋其他汽車超車，或是透過特殊的演算法，在特定的路況組合採用獨家的跑法。開發者現在就能取用這些開源程式碼以及文件，並且在DeepRacer Slack頻道中與其他社群成員交流。</p> <p>當開發者在社交媒體中，使用#deepracerproject標籤分享自己開發的專案，AWS會將這些專案收集到DeepRacer GitHub Organization中，並在之後的部落格文章加以介紹。搭配軟體開源的消息，AWS現在提供25％的DeepRacer折扣，相當於AWS DeepRacer降價100美元，AWS DeepRacer Evo降價150美元，這個折扣活動到5月27日為止。</p> </div></div></div>
2021/4/30 12:09作者李建興https://www.ithome.com.tw/news/144126
研究人員揪出潛伏在Linux系統中長達3年的木馬程式RotaJakiro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者360旗下的網路安全研究實驗室Netlab在本周指出，有一木馬程式RotaJakiro潛伏在Linux系統中至少長達3年。</p> <p>根據Netlab的分析，RotaJakiro為一針對Linux x64系統的木馬程式，它使用輪替加密，而且在執行後對於Root或非Root帳戶有不同的行為，猶如Dota遊戲中的雙頭龍（Jakiro），使得該團隊將它命名為RotaJakiro。</p> <p>RotaJakiro不僅以AES來加密惡意程式內的資訊，其與命令&控制（C&C）伺服器的通訊，更採用了AES、XOR、ROTATE與ZLIB壓縮等加密演算法，此外，RotaJakiro支援12種指令，其中有3種是執行特定的外掛程式，Netlab團隊目前尚未得知RotaJakiro的目的，推測其指令可能具備回報裝置資訊、竊取機密資訊、查詢/下載/刪除檔案，以及執行特定外掛程式等功能。</p> <p>Netlab團隊追蹤到RotaJakiro的C&C伺服器，發現這些伺服器存在的年代更久，在他們取得的4個RotaJakiro樣本中，最早的一個是在2018年創立，而其C&C伺服器最早建立的日期，卻是在2015年。</p> <p class="rtecenter"><a href="https://blog.netlab.360.com/stealth_rotajakiro_backdoor_cn/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-RotaJakiro%E6%A8%A3%E6%9C%AC.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Netlab</span></p> <p>此外，該團隊也相信RotaJakiro與Torii傀儡網路有關，因為它們使用了很多一樣的命令，建構的方式也非常的類似，同樣利用各種加密演算法來掩飾行蹤與來源，也都採用老派的長駐與結構化的流量手法。</p> <p>資安業者<a href="https://blog.avast.com/new-torii-botnet-threat-research" target="_blank">Avast曾在2018年揭露Torii的存在</a>，指稱它是個複雜的IoT傀儡網路，可入侵包括MIPS、Arm、x86、x64、PowerPC與SuperH等架構的裝置，且相信它至少自2017年便開始活動。</p> </div></div></div>
2021/4/29 18:43作者陳曉莉https://www.ithome.com.tw/news/144127
AWS推出Amazon FSx File Gateway服務，供用戶快速存取雲端檔案伺服器資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/get-started-using-amazon-fsx-file-gateway-for-fast-cached-access-to-file-server-data-in-the-cloud/">了Amazon FSx File Gateway</a>服務，這是一種新型態的AWS Storage Gateway，供用戶取用儲存在適用於Windows檔案伺服器的Amazon FSx（Amazon FSx for Windows File Server）中的資料，AWS提到，因為Amazon FSx File Gateway經過網路最佳化且使用快取技術，因此用戶和應用程式能夠像是在本地端共享資料一樣使用這個新服務。</p> <p>Amazon FSx for Windows File Server本身是一個全託管且高度可靠的檔案系統，能夠讓用戶方便地配置和操作檔案伺服器、儲存磁碟和備份。Amazon FSx for Windows File Server在雲端完整地提供Windows檔案系統，並且支援SMB協定，可以由雲端或是本地端的Windows、Linux和macOS系統存取，Amazon FSx for Windows File Server運作在Windows Server之上，提供豐富的管理功能，包括檔案還原、重複資料刪除、Active Directory整合和ACL存取控制。</p> <p>AWS提到，傳統工作負載逐漸上雲，部分的用戶無法使用原生雲端服務，託管企業就地部署檔案系統中的資料，原因可能像是企業本地端和雲端間，存在的延遲和頻寬的限制，因此團隊專案文件和內容系統共享的資料，都需要留在本地端。</p> <p>而AWS新推出的Amazon FSx File Gateway服務，就是要來解決這個問題，讓企業可以快速地從雲端檔案伺服器存取資料，其提供低延遲存取功能，讓企業可以將該服務用於需要低延遲的本地端應用程式，而且其快取機制可以節省企業和雲端之間的共享頻寬，這對於有許多用戶要直接存取共享資料的情境尤為重要。</p> <p>用戶可以附加Amazon FSx檔案系統，只要在同一個AD（Active Directory）網域的成員，就可以透過閘道器將資料提供給應用程式和用戶使用，而且AD基礎設施還可以被託管在AWS Directory Service或是本地端部署。</p> <p>AWS說明了Amazon S3 File Gateway和新的Amazon FSx File Gateway服務選用時機，Amazon S3 File Gateway讓用戶能以檔案的形式，存取儲存在S3中的資料，也能作為將檔案放進S3中的解決方案，執行諸如物件工作負載、分析，以及處理位在本地端檔案中的資料。</p> <p>而Amazon FSx File Gateway則是另一種儲存解決方案，相當於把NAS（Network-Attached Storage）移動到了雲端，但同時又可提供本地用戶低延遲的無縫存取，能夠支援終端使用者家目錄以及團隊檔案共享等，這兩個主要使用SMB檔案協定的通用NAS使用情境。</p> <p>Amazon FSx File Gateway的功能包括多用戶共享檔案，還有進階資料管理功能，像是存取控制、資料保護快照和整合備份等。AWS提到，Amazon FSx File Gateway與備份整合是該服務的一項特點，整合備份包括在Amazon FSx內進行的備份以及由AWS Backup協調的備份。在開始備份之前，Amazon FSx for Windows File Server會與每一個附加的閘道器通訊，以確保所有的資料都已提交，這有助於減少用戶在管理上的麻煩，使得雲端檔案共享更可靠。</p> </div></div></div>
2021/4/29 10:22作者李建興https://www.ithome.com.tw/news/144101
華盛頓特區警局遭勒索軟體入侵，駭客以公布線人身分作為要脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年才現身的勒索軟體集團Babuk周一（4/26）對外公告，已成功入侵華盛頓哥倫比亞特區的大都會警察局（Metropolitan Police Department，MPD），除了加密MPD的系統之外，也下載了逾250GB的資料，宣稱MPD若不在3天內針對贖金作出回應，就會聯繫地方上的幫派，提供他們警方的線人資訊。而MPD也已對外證實遭到勒索軟體攻擊。</p> <p>MPD不僅是哥倫比亞華盛頓特區主要的執法機構，也是全美前十大地方警局，號稱使用最先進的證據分析與資訊技術，來對抗當地的抗罪行為。</p> <p>根據<a href="https://therecord.media/ransomware-gang-threatens-to-expose-police-informants-if-ransom-is-not-paid/" target="_blank">The Record</a>的報導，Babuk集團在藏身暗網中的官網上，揭露了MPD的內部文件與伺服器，顯示駭客已取得MPD的調查報告、警察的紀律檔案、與當地犯罪組織有關的文件、犯人的入監照，以及行政檔案。</p> <p>此外，Babuk還要求MPD要在3天內回應，否則便會向當地幫派提供線人資訊。MPD則坦承該警察的伺服器遭到未經授權的存取，但仍在調查受害規模。</p> <p>今年相繼有資安業者針對Babuk勒索軟體集團提出警告。<a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/babuk-ransomware/" target="_blank">McAfee</a>指出，Babuk是個於今年初才現身的勒索軟體家族，通常是在俄文論壇更新勒索軟體訊息並招募會員，而在英文駭客論壇公布攻擊成果，儘管是在今年初才被注意到，但截至1月15日，就至少有5家企業成為受害者。</p> <p>至於<a href="https://blog.emsisoft.com/en/38378/psa-severe-bug-in-babuk-ransomware-decryptor-leads-to-data-loss/" target="_blank">Emsisoft</a>則說，Babuk最初的攻擊目標原本是Windows，但很快就轉向Linux平臺，特別是VMware所開發的ESXi企業等級虛擬平臺，然而，Babuk的ESXi版本在加密與解密功能都含有許多設計漏洞，很可能造成資料永遠遺失。</p> </div></div></div>
2021/4/28 09:50作者陳曉莉https://www.ithome.com.tw/news/144077
資安一周第143期：廣達傳遭勒索軟體REvil攻擊。明尼蘇達大學將漏洞導入Linux核心惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">4/22-4/28 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃高科技產業</strong></span></h3> <h2><strong style="vertical-align: top;">廣達傳遭勒索軟體REvil攻擊，歹徒要脅蘋果購回外洩產品資料</strong></h2> <p>蘋果剛於4月21發布春季新品之際，傳出為其代工的廣達遭到勒索軟體REvil攻擊，<a href="http://www.ithome.com.tw/news/143958">駭客在勒索廣達不成轉向蘋果</a>，揚言不付錢就要公開旗下產品資料，並宣稱他們已經和買家洽談出售事宜。</p> <p>而對於此事，廣達發表聲明表示，確實有少部分伺服器遭到網路攻擊，他們於第一時間啟動防禦機制並清查，少數被波及的內部服務均恢復運作，公司營運沒有受到影響，並表示他們會全面提升網路安全等級。<strong><a href="https://www.ithome.com.tw/news/143979">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃開放源始碼＃漏洞濫用＃開發安全</strong></span></h3> <h2><strong style="vertical-align: top;">明尼蘇達大學將漏洞導入Linux核心惹議，所有貢獻程式碼遭封殺</strong></h2> <p>來自明尼蘇達大學（UMN）的研究人員，多次藉由貢獻修補程式至Linux核心的名義，利用修補程式導入臭蟲或漏洞，以觀察社群的反應。直到近日於2月再度故技重施時，遭到知名Linux核心開發者Greg Kroah-Hartman斥責，並表明從今以後封鎖所有來自該大學的貢獻，以及移除過去該大學曾經貢獻的程式碼。<strong><a href="https://www.ithome.com.tw/news/143992">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/143-1-Linux-kernel-UMN.png" style="width: 400px; height: 146px;" /></p> <p><span style="color:#808080;">圖片來源：Greg Kroah-Hartman</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃防毒軟體 </strong></h3> <h2><strong style="vertical-align: top;">趨勢科技軟體舊漏洞遭駭客攻擊</strong></h2> <p>趨勢科技於4月21日發出警告，他們在2020年11月修補端點安全產品ApexOne與OfficeScan XG的5個漏洞，如今發現一起利用相關漏洞的攻擊活動，再度提醒還沒採取行動的企業應儘速修補。</p> <p>至於攻擊者的身分為何？新聞媒體The Record取得可信來源說法指出，攻擊者應該是APT駭客組織，意謂著很有可能背後有國家撐腰。<strong><a href="https://www.ithome.com.tw/news/144011">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/143-2-CVE-2020-24557.png" style="width: 400px; height: 198px;" /></p> <p><span style="color:#808080;">圖片來源：趨勢科技</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃漏洞攻擊＃NAS</strong></span></h3> <h2><strong style="vertical-align: top;">威聯通NAS遭勒索軟體Qlocker攻擊，疑似甫修補的重大漏洞惹禍</strong></h2> <p>臺灣NAS製造商威聯通科技（QNAP）再傳出用戶遭到勒索軟體攻擊！根據資安新聞網站Bleeping Computer的報導，自4月19日開始，有許多該廠牌用戶的NAS設備遭到勒索軟體Qlocker攻擊，檔案全變成具有密碼保護的7-Zip壓縮檔案。</p> <p>對此威聯通表示，攻擊者入侵的管道很可能與他們最近發布資安通告的2個重大漏洞有關。這2個漏洞分別是CVE-2020-2509，以及CVE-2020-36195，該公司強烈建議用戶更新QTS、多媒體主控臺，以及影音串流附加元件，來防範攻擊者濫用相關漏洞。<strong><a href="https://www.ithome.com.tw/news/144004">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/143-3-Qlocker-payment.png" style="width: 400px; height: 193px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Bleeping Computer</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃RDP</strong></h3> <h2><strong style="vertical-align: top;">130萬個遠端桌面連線帳密流入黑市</strong></h2> <p>使用遠端桌面連線（RDP）是存取企業內部環境相當常見的做法，但也很容易成為攻擊者入侵的管道。最近威脅情資業者Advanced Intelligence指出，從2018年迄今，駭客透過地下市集兜售企業RDP帳密130萬個，並可能已被用於這兩年的勒索軟體攻擊。值得注意的是，不少外洩RDP帳密的組織過去兩年內曾遭遇勒索軟體攻擊，意謂著這些RDP帳密很可能成為駭客滲透企業的破口。對此他們再次提醒企業與組織，在RDP的使用上，應該只能允許特定IP位址連線，並切勿使用弱密碼。<strong><a href="https://www.ithome.com.tw/news/144025">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃SSL VPN </strong></span></h3> <h2><strong style="vertical-align: top;">中國駭客利用VPN裝置漏洞鎖定美國國防產業展開攻擊</strong></h2> <p>US-CERT、美國網路安全暨基礎架構安全署（CISA）、資安業者FireEye，以及VPN裝置製造商Pulse Secure，在4月20日揭露了數起濫用Pulse Connect Secure漏洞的攻擊行動，並表明是鎖定美國國防產業與全球政府機關而來。研究人員認為，攻擊者很可能自2020年8月就展開攻擊，且背後有中國政府資助。</p> <p>值得留意的是，攻擊者濫用的4個漏洞當中，有一個是尚未有修補程式的CVE-2021-22893，僅有暫時的緩解方法能夠因應。<strong><a href="https://www.ithome.com.tw/news/143971">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃漏洞攻擊</strong></span></h3> <h2><strong>SonicWall電子郵件安全產品存在3項零時差漏洞</strong></h2> <p>繼SSL VPN設備漏洞遭到濫用後，SonicWall再傳出旗下郵件安全系統存在重大漏洞的情況，於4月19日提出警告要用戶儘速更新。這次修補的3個漏洞可被串連發動攻擊，其中最嚴重者的CVSS風險評分達到9.8分。發現這些漏洞的資安公司FireEye指出，他們已看到相關攻擊行動，駭客在其中1臺受害伺服器濫用上述漏洞後，植入網頁殼層Behinder。<strong><a href="https://www.ithome.com.tw/news/143943">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Juniper裝置重大漏洞恐引發斷線或劫持</strong></h2> <p>資安設備商Juniper Networks於4月20日發布安全公告，修補作業系統Junos OS重大漏洞CVE-2021-0254，此漏洞恐引發設備斷線或執行任意程式碼的漏洞，CVSS風險評分達9.8分。</p> <p>這項漏洞與Overlayd服務有關，該服務於Juniper MX、ACX，以及QFX系列設備上預設執行，是主要受影響的產品，再者，其他設備若設定了Virtual Extensible LAN，也將曝險。<strong><a href="https://www.ithome.com.tw/news/143943">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">密碼管理軟體Passwordstate升級模組遭破壞，密碼恐全外洩</strong></h2> <p>澳洲軟體開發商Click Studios近日指出，該公司所開發的密碼管理軟體Passwordstate的升級模組日前遭到駭客入侵，就地升級的路徑被竄改成駭客控制的內容傳遞網路（CDN），導致部分用戶收到含有惡意程式的版本，將允許駭客盜走密碼。</p> <p>而對於駭客發動攻擊的時間，該公司表示，約於臺灣時間4月21日4時33分至22日8時，僅有這段期間執行升級的用戶受到影響，他們亦强調自己的CDN並未遭到入侵。<strong><a href="https://www.ithome.com.tw/news/144040">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃ATP攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">北韓駭客Lazarus濫用BMP圖檔及內嵌壓縮檔案，並搭配圖檔格式轉換等多重手法，來藏匿木馬程式</strong></h2> <p>北韓APT駭客組織Lazarus近期的動作頻頻，最近，該組織針對南韓使用者出手發動網路釣魚攻擊，以南韓某個城市舉辦的博覽會申請表單的名義，寄送帶有惡意巨集的Word文件，散布木馬程式攻擊來竊密，但和過往有所不同的是，為了迴避資安系統的偵測，他們將惡意程式碼藏在BMP圖片檔案裡偷渡。<strong><a href="https://www.ithome.com.tw/news/143981">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144037">AirDrop漏洞可能使蘋果用戶郵件、電話曝光</a><br /> ●<a href="https://www.ithome.com.tw/news/143993">Google軟體市集出現惡意App，鎖定西南亞和阿拉伯半島</a><br /> ●<a href="https://www.ithome.com.tw/news/143991">加密即時通訊業者Signal破解Cellebrite駭客工具</a><br /> ●<a href="https://www.ithome.com.tw/news/143986">駭客組織冒用線上服務網站，鎖定南美洲民眾意圖竊取資料</a></h3> </div></div></div>
2021/4/27 16:03作者周峻佑https://www.ithome.com.tw/news/144064
HashiCorp成Codecov供應鏈攻擊最新受災戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上星期程式開發測試服務業者<a href="https://www.ithome.com.tw/news/143917" target="_blank">Codecove爆出被駭</a>，可能導致供應鏈攻擊影響客戶。DevOps基礎架構工具廠商<a href="https://discuss.hashicorp.com/t/hcsec-2021-12-codecov-security-event-and-hashicorp-gpg-key-exposure/23512" target="_blank">HashiCorp自曝的確受到影響</a>，導致加密金鑰外流。</p> <p>Codecov於4月1日發現該公司的Bash Uploader script遭非授權存取及修改，可能危及客戶。Bash Uploader是供客戶上傳軟體開發專案的覆蓋率報告到Codecov的工具。駭客利用該公司Docker映像檔建立過程中一項瑕疵取得密碼，進而將Bash Uploader script中的IP位址，由Codecov改為駭客控制的伺服器，藉此悄悄蒐集客戶的重要憑證，包括API金鑰、令符及任何儲存在CI（continuous integration）環境中的資訊等，可能危及客戶網路上的服務或資料庫、應用程式碼。</p> <p><a href="https://www.ithome.com.tw/news/143917" target="_blank">路透社報導</a>，Codecov擁有P&G、GoDaddy、IBM等2.9萬家客戶，駭客可能已藉由Codecov存取其他開發工具軟體業者及服務廠商的公司網路。</p> <p>雖然其他客戶都宣稱未發現程式碼被駭客修改的現象，但HashiCorp坦承自己用於訊息加密、驗證程式的GPG私密金鑰已經曝露外流，這影響任何手動或自動以SHA256SUM檔案及相關簽章來下載該公司軟體的客戶。</p> <p>經過調查，未發現外流的GPG金鑰有非法使用的情形，不過為防萬一，HashiCorp已經輪換金鑰，發布新的GPG金鑰對，並廢止已曝光的GPG金鑰。現有HashiCorp軟體版本都經過檢查及重新簽發。</p> <p>HashiCorp表示，駭入事件僅影響SHA256SUM簽章機制。HashiCorp軟體在macOS公證（notarization）及Windows AuthentiCode的程式碼簽章都不受影響，而從releases.hashicorp.com 網站下載Linux（Debian和RPM）套件的簽發也安全無虞。</p> <p>但HashiCorp說明，該公司基礎架構即程式碼（infrastructure as a code）工具Terraform還未解決問題。Terraform為提供基礎架構開發、變更及版本控管的工具，也是使用GPG金鑰。它會在terraform init執行過程中自動下載供應商的二進位檔時執行簽章驗證。HashiCorp表示會再發布Terraform及相關工具的修補程式，以便在未來自動驗證程式碼時使用新的GPG金鑰。</p> <p>但在此之前，HashiCorp建議開發人員，init執行時最好以TLS連線保護下載官方Terraform供應商二進位檔，並以新金鑰和簽章手動驗證Terraform及其供應商。</p> <p>此外HashiCorp表示將持續調查是否有其他資訊外洩，會持續採取事件回應措施，有新進展也會持續通知用戶。</p> </div></div></div>
2021/4/27 13:34作者林妍溱https://www.ithome.com.tw/news/144058
開源智慧手錶韌體InfiniTime達1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源智慧手錶軟體有越來越多選擇，設計和製造單板電腦、筆電和Linux手機的組織Pine64，正式宣布其開源智慧手錶韌體<a href="https://www.pine64.org/2021/04/22/its-time-infinitime-1-0/">InfiniTime</a>，已經達到1.0里程碑，可以提供更穩定完整的功能，即使不具有軟體開發經驗的使用者也能使用。</p> <p>InfiniTime的歷史要從PineTime專案講起，PineTime是在2019年10月起始的一個智慧手錶專案，完全由社群驅動，其定位是要作為PinePhone的補充裝置。而當時Pine64選擇了InfiniTime作為PineTimes密封和開發套件的預設韌體，而經過18個月的發展，現在Pine64正式發布了InfiniTime 1.0。</p> <p>InfiniTime原本的功能是要作為家庭自動化系統，結合硬體和嵌入式軟體來控制家裡的物聯網裝置，而這項原本是個人專案的韌體，卻在PineTime社群中流行起來，獲得了來自用戶與開發人員，在新功能和錯誤修正上的貢獻，之後又有幾個分別在Android和Linux智慧型手機上運作的專案，包括Gadgetbridge、Amazfish和Siglo都加入InfiniTime，提供更好的功能支援。</p> <p>InfiniTime主要的功能與常見的智慧手錶像是，可以提供數位與類比2種錶面，也有支援各種應用，像是碼錶、音樂控制、導航和心律等，用戶甚至可以在上面玩2048遊戲。還提供最基本的用戶設定，像是時間格式和喚醒條件等，也能透過基於MCUBoot的FOSS引導載入程序進行OTA升級，整體PineTime的電力可維持3到5天。</p> <p>官方提到，InfiniTime 1.0的意思不代表完全沒有錯誤，也無法與當前主流商業產品競爭，但是對於喜歡新事物和FOSS的用戶，可在不需要軟體開發經驗下，開始在日常中使用InfiniTime。InfiniTime 1.0也是Pine64將PineTimes銷售給終端用戶的第一個隨付韌體版本。</p> </div></div></div>
2021/4/26 20:57作者李建興https://www.ithome.com.tw/news/144045
與微軟合作，Ubuntu 21.04整合Active Directory還支援SQL Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical發布了一個<a href="https://ubuntu.com/blog/ubuntu-21-04-is-here" target="_blank">Ubuntu重要更新版本21.04</a>，這個版本整合了一些關鍵企業功能，像是微軟Active Directory，並且在預設情況，使用Wayland顯示通訊協定，能夠順暢地執行Flutter應用程式，同時還加入了Flutter應用程式開發SDK。另外，Canonical和微軟還共同宣布，在Ubuntu上對SQL Server提供效能最佳化和聯合支援。</p> <p>官方提到，現在SQL Server資料庫管理系統和其命令列工具，已經可於Azure上的Ubuntu映像檔中用到，用戶還能夠獲得長達10年的安全性維護。Ubuntu 21.04所新增的這項企業級效能和可擴展性改進工作，往後移植到了Ubuntu 20.04.2 LTS，更全面向用戶提供微軟SQL Server支援。</p> <p>Canonical和微軟將會對企業本地端，或是透過Azure市集部署的SQL Server，提供整合性支援服務，在企業關鍵工作負載中提供可靠的基礎。官方提到，這個聯合解決方案，具有效能強化功能，像是XFS檔案系統上的FUA（Force Unit Access）能夠強化資料持久性，而永久性記憶體（Persistent Memory，PMEM）則不需要任何配置，就可以提供高效能資料儲存。還有，在可靠性叢集軟體Corosync和Pacemaker的加持下，整個平臺都能具有高可用性並且確保韌性。</p> <p>另外，現在Ubuntu機器在安裝的時候，還可以選擇加入Active Directory（AD）網域，AD管理員現在也可以管理工作站，進而簡化法遵工作。Ubuntu 21.04新增了可以從AD網域控制器，配置系統設定的能力，使用群組政策客戶端，系統管理員可以對所有連線的客戶端指定安全政策，包括密碼政策、用戶存取控制，還有桌面環境設定，諸如登入螢幕、背景和我的最愛應用程式等。</p> <p>Ubuntu 21.04開始預設使用顯示通訊協定Wayland，官方提到，這是重大的安全性提昇，Firefox、OBS Studio和許多由Electron和Flutter建構的應用程式，都能夠自動使用Wayland，讓用戶能夠獲得更加流暢的圖形和縮放能力。而Ubuntu中的Flutter SDK快照建置整合功能，讓開發者可以簡單地在多平臺發布Flutter應用程式，供數百萬Linux桌面使用者一鍵安裝。</p> </div></div></div>
2021/4/23 14:50作者李建興https://www.ithome.com.tw/news/144018
WSL也可以執行Linux GUI應用程式了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續改進WSL（Windows Subsystem for Linux）的功能，除了前些時日開始支援GPU運算之外，現在用戶還可以在<a href="https://devblogs.microsoft.com/commandline/the-initial-preview-of-gui-app-support-is-now-available-for-the-windows-subsystem-for-linux-2/" target="_blank">WSL上執行，Linux專用的GUI應用程式</a>，或是在Linux環境中測試自己開發的程式，微軟提到，這項功能可有效改善跨平臺應用程式的開發工作流程。</p> <p>微軟在一年前，於BUILD 2020大會預告WSL將會支援Linux GUI應用程式的消息，現在這項微軟稱之為WSLg的功能終於釋出預覽版。WSL可以讓使用者在Windows上執行Linux環境，而過去WSL主要還是在於支援命令列程式，但有了WSLg功能，用戶也就能夠執行GUI應用程式。</p> <p>用戶在WSL執行會Linux GUI應用程式時，WSL會自動啟動伴隨系統，其中包括了Wayland、X Server、Pulse Audio Server，以及所有Linux GUI應用程式與Windows溝通所需要的元件，伴隨系統會在用戶結束Linux GUI應用程式，自動終止並且結束連線對話。</p> <p>WSLg這項功能對開發者來說，有一項直接的好處，便是可以使用自己熟悉的IDE開發專案，像是使用Visual Studio Code，在Windows機器上用到完整的Linux IDE，開發者可以方便地跨Windows和Linux取用相同的擴充套件和設定，另外，WSLg也讓開發者可以執行其他IDE，像是gedit、gvim或是其他基於JetBrains的編輯器，以高效的方式建置、測試和除錯Linux應用程式。</p> <p>開發者可以選擇利用WSLg執行可能只能在Linux中運作的GUI應用程式，或是在Linux中執行、測試自己開發的應用程式，這些程式可以直接在Windows 10上運作，不需要變更電腦或是管理虛擬機器，就能夠在Linux內運作。</p> <p>由於WSLg帶有開箱即用的音響與麥克風支援，也就是說開發者在WSL上執行的Linux GUI應用程式，可以播放聲音提示或是使用麥克風，微軟提到，這非常適合用來建構和測試像是電影播放器或是各種電信應用。</p> <p>作為WSLg功能的一部分，微軟還提供了GPU對3D圖形加速的支援，現在所有複雜的Linux 3D渲染應用程式，都可以利用OpenGL在Windows 10電腦上獲得GPU加速，微軟提到，這項支援可以讓一些複雜應用程式執行的更順暢，像是機器人模擬工具Gazebo等。在預設情況下，用戶使用不同的WSL發布版本都可以獲得這項體驗。</p> </div></div></div>
2021/4/22 23:19作者李建興https://www.ithome.com.tw/news/143994
把漏洞導入Linux核心來作實驗，Linux大佬封殺明尼蘇達大學所有貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有一群來自明尼蘇達大學（University of Minnesota，UMN）的研究人員，藉由貢獻修補程式至Linux核心的名義，實則利用修補程式導入臭蟲或漏洞，以觀察Linux核心社群的反應，近日再度故技重施時，遭到Linux大佬Greg Kroah-Hartman斥責，Greg Kroah-Hartman不僅封鎖了所有來自該大學的貢獻，還移除了過去該大學曾經貢獻的程式碼。</p> <p class="rtecenter"><a href="https://twitter.com/gregkh/status/1384785747874656257" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-Greg%20Kroah-Hartman.png" style="width: 500px;" /></a></p> <p><a href="https://lore.kernel.org/linux-nfs/YH%2FfM%[email protected]/" target="_blank">Kroah-Hartman寫了一封</a>措辭嚴厲的電子郵件予該群研究人員，指出他們過去即曾公開坦承送出含有許多臭蟲的修補程式至Linux核心社群，以測試社群的反應，還以此發表了論文，這次他們再度提交了一系列明顯錯誤的修補程式，這些程式並沒有修補任何東西，使得他假設Linux社群再度淪為實驗對象。</p> <p>Kroah-Hartman指出，該群研究人員並未要求社群的協助，反而是在知道這是個實驗的狀態下，宣稱該修補是合法的，然而，Linux核心社群的任務並非是成為別人的測試對象，他們歡迎開發人員協助強化Linux，但這些研究人員的所作所為並非如此。</p> <p>惹毛Kroah-Hartman的研究，應是明尼蘇達大學在今年2月所出版的「開源碼的不安全性：偽君子偷偷導入了漏洞」（<a href="https://github.com/QiushiWu/QiushiWu.github.io/blob/main/papers/OpenSourceInsecurity.pdf" target="_blank">Open Source Insecurity: Stealthily Introducing Vulnerabilities via Hypocrite Commits</a>）報告，這群研究人員利用貢獻程式碼（修補程式）至Linux核心社群的機會，在程式碼中夾帶了臭蟲與潛在的安全漏洞，成功於Linux核心中引進了釋放後使用（Use After Free）漏洞，並提出了緩解相關問題的解決方案。</p> <p>Kroah-Hartman說，Linux核心社群並不歡迎這種實驗，也不願接受提交無用修補程式的測試，決定從今以後封鎖所有來自明尼蘇達大學的貢獻，也會移除該大學過去的貢獻。</p> <p>在遭到Kroah-Hartman猛烈的批評之後，明尼蘇達大學電腦科學暨工程學院的負責人Mats Heimdahl很快就<a href="https://cse.umn.edu/cs/statement-cse-linux-kernel-research-april-21-2021" target="_blank">發表了聲明</a>，表示他們非常重視此一事件，也立即停止這類的研究，將進一步調查此一研究方法，以及該研究方法被核准的過程，以期採取適當的補救措施，也會在調查結果出爐後，儘快將報告提交給Linux核心社群。</p> </div></div></div>
2021/4/22 17:11作者林妍溱https://www.ithome.com.tw/news/143992
Google Chrome再緊急修補已有攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop_20.html" target="_blank">Google本周釋出</a>Windows、Linux、Mac平臺最新Chrome 90.0.4430.85版本，以修補7項漏洞，包括一個已經發生開採攻擊的漏洞。</p> <p>遭到開採的是編號CVE-2021-21224的類型混淆（Type Confusion）漏洞，存在JavaScript V8引擎。它是由VerSprite研究人員Jose Martinez通報。</p> <p>Google以必須等大部份用戶更新為由，昨日並未公佈漏洞細節。類型混淆可能導致記憶體越界存取，使程式當掉或讓駭客執行任意程式。不過Google指出，已接獲CVE-2021-21224開採程式在網路上公開流傳。呼籲用戶應儘速安裝最新版Chrome。</p> <p>這個版本另也修補了其他4項高風險漏洞，包括另二個V8漏洞，分別是緩衝溢位漏洞CVE-2021-21222及頻外記憶體存取（out of bands memory access）CVE-2021-21225。其他二個則是Mojo元件的整數溢位漏洞CVE-2021-21223，及Navigation元件的使用已釋放記憶體（use after free）漏洞CVE-2021-21226。</p> <p>這是Chrome今年以來第四次為修補已開採漏洞而釋出新版本，之前已為此在<a href="https://www.ithome.com.tw/news/142645" target="_blank">2月</a>、<a href="https://www.ithome.com.tw/news/143023" target="_blank">3月</a>及<a href="https://www.ithome.com.tw/news/143851" target="_blank">上周</a>發布新版本Chrome。</p> </div></div></div>
2021/4/22 13:39作者林妍溱https://www.ithome.com.tw/news/143989
GitHub頒發徽章給協助NASA獨創號開發的貢獻者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NASA的火星無人直升機獨創號（Ingenuity）成功在4月19日於火星上首次試飛，獨創號的重要性在於，這是人類歷史上第一架在其他星球上的動力可控飛行器，而促使這項計畫成功的要素，除了NASA與JPL（Jet Propulsion Lab）科學家之外，還有包括許多來自世界各地的開源人。</p> <p>將近12,000名GitHub上的開發者，會在自己的個人資料上看到<a href="https://github.blog/2021-04-19-open-source-goes-to-mars/">新的表揚徽章</a>，GitHub提到，在平臺上有將近12,000名開發人員貢獻獨創號的軟體，不過這之中有許多人，並不知道自己幫助了火星直升機首航。</p> <p>為了彰顯這些貢獻，GitHub與JPL合作，針對獨創號所使用的開源專案和函式庫，給予特定版本貢獻人員Mars 2020 Helicopter Mission徽章，該徽章會出現在開發人員的GitHub個人資料上。JPL所使用的專案包括SciPy、Linux以及F Prime等。</p> <p>隨著GitHub新增的各種徽章，官方也趁這次機會在GitHub上引入成就系統，目前的成就除了包括Mars 2020 Helicopter Mission徽章外，還有之前GitHub封存開源專案至北極圈，所頒發給相關開發者的Arctic Code Vault徽章，還有透過GitHub Sponsors資助開源工作的徽章。</p> </div></div></div>
2021/4/21 09:49作者李建興https://www.ithome.com.tw/news/143944
一周大事：Nvidia終於進軍CPU市場。微軟收購Nuance搶攻數位醫療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>擴大運算戰地搶進AI資料中心，Nvidia要推自己的CPU產品</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-GTC2021-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Nvidia</span></p> <p>不同於英特爾為重返晶圓代工戰場而備戰，無獨有偶，另一家GPU大廠Nvidia，也正在為了擴大資料中心戰地而積極布局，除了自己的GPU、DPU（資料處理器）產品之外，甚至接下來還將推出自己的伺服器CPU產品，來與老大哥互別苗頭。</p> <p>在GTC大會第一天主題演講，執行長黃仁勳的話題，始終圍繞在如何重新架構資料中心，提高推進AI的能力，他認為，這需要3種晶片的能力，分別是GPU、DPU，以及CPU。去年Nvidia也開始加入DPU產品線，但至今還沒有屬於自己的CPU產品。<a href="https://www.ithome.com.tw/news/143791" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>強化數位醫療，微軟重金收購語音辨識技術Nuance</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%94%B6%E8%B3%BCNuance_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>近期微軟宣布收購語音辨識技術業者Nuance Communications，將其整合到醫療及其他產業雲方案。這起價值197億美元的併購，也是微軟繼2016年以260億美元買下LinkedIn後，規模第二大的收購案。Nuance專門發展醫療業專用的口語AI及雲端環境臨床智慧方案，是架構在Azure上的SaaS。藉由這起收購，微軟將可取得Nuance的醫療AI語音方案及和EHR廠商的合作關係，擴大微軟在醫療界的潛在市占。<a href="https://www.ithome.com.tw/news/143790" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>MyData擴大政府個人化資料下載，用銀行晶片金融卡也能進行身分驗證</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-mydata-600.jpg" style="width: 600px;" /></p> <p>本周正式營運的MyData，民眾可下載的政府個人化資料，從試營運階段的31項一舉擴大為105項資料，涵蓋戶役政、勞保、地政、健保等12大類。國發會承諾未來將釋出更多個人化資料至MyData。目前MyData不論是下載資料，或是授權第三方使用，都需要民眾同意，因此需要先通過身分驗證，確認使用者的身分。除了可使用自然人憑證、健保卡、TW FidO、雙證件驗證之外，現在更讓民眾使用晶片金融卡，取代自然人憑證或健保卡通過身分驗證，取得個人化資料或申請第三方服務。<a href="https://www.ithome.com.tw/news/143860" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>戴夫寇爾勇奪Pwn2Own冠軍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pwn2own%E6%88%90%E7%B8%BE%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FZero%20Day%20Initiative.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Zero Day Initiative</span></p> <p>漏洞通報計畫Zero Day Initiative（ZDI）是測試白帽駭客挖漏洞實力的最高殿堂，今年有三隊隊伍報名微軟Exchange伺服器漏洞挖掘比賽，只有戴夫寇爾得到完整分數，並且以單一參賽項目（Exchange伺服器），獲得滿分積分及20萬美元獎金，同時獲得破解大師（Master of Pwn）的桂冠，這也是首度有臺灣隊伍獲得Pwn2Own冠軍殊榮。<a href="https://www.ithome.com.tw/news/143753" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>蘋果Find My功能正式支援第三方產品</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Find%20My_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.png" style="width: 281px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>日前蘋果宣布，Find My功能正式開放支援其他廠商推出的硬體產品，讓非蘋果產品用戶也可利用iPhone的Find My App，找到遺落的裝置。</p> <p>Find My網路配件方案是Made for iPhone（MFi）方案的一部份。加入這項方案的產品必須遵守Find My的隱私保護規定。核准加入的產品可列入Find My的新產品清單，並含有「Works with Apple Find My」的標識。<a href="https://www.ithome.com.tw/news/143696" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟開始提供Visual Studio管理員更新</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Visual%20Studio_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>近期微軟正式發送Visual Studio管理員更新，透過Windows Server Update Services（WSUS）和微軟Update Catalog，向Visual Studio 2017和2019推送管理員更新，企業可以使用微軟Endpoint Configuration Manager等標準部署工具，在組織中部署這些更新。<a href="https://www.ithome.com.tw/news/143784" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>IBM推COBOL上雲端</strong></span></p> <p>作為最早的高階程式語言，同時也是世界上早期標準化的語言之一的COBOL，在COVID-19疫情發生時，重新受到世人矚目，因為美國政府需要處理大量失業給付，而使得以COBOL編寫的老舊系統頻頻故障，甚至需要召回已經退休的COBOL程式設計師來幫忙修復系統。現在IBM發布COBOL for Linux on x86版本，包含COBOL編譯器和Runtime函式庫，代表IBM COBOL雲端化的里程碑，可用來建構現代化COBOL應用程式。<a href="https://www.ithome.com.tw/news/143709" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10 1909版將於5月終止支援</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Windows%2010_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>才不過4個月前Windows 10 1903因終止支援，而被迫升級到1909，現在1909版也即將在今年5月，進入支援的生命周期終點。根據微軟排定的時程，除了Education及Enterprise版以外，所有1909版本Windows 10，以及Windows Server 1909將在5月11日支援到期，此外1809版Windows 10 Enterprise、Education版，以及Windows 10 1803的電腦與Server版，也會於同一天終止技術支援。<a href="https://www.ithome.com.tw/news/143793" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>阿里巴巴因壟斷遭中國重罰</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4(1).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／阿里巴巴</span></p> <p>中國市場監管總局在4月10日依《反壟斷法》，向阿里巴巴開罰了182.28億元人民幣。該局指出，阿里巴巴自2015年以來便濫用其市場支配地位，對平臺內的商家提出「二選一」要求，禁止商家在其它競爭性平臺開店，還借助其市場力量、平臺規則與數據、演算法等技術手段，取得不正當的競爭優勢。<a href="https://www.ithome.com.tw/news/143774" target="_blank">更多內容</a></p> <p><strong><span style="font-size:28px;">微軟C#開源計畫延伸到語言標準制定工作</span></strong></p> <p>微軟不只開放C#編譯器和程式語言功能開發，連C#制定標準的部分，也要一併開源。現在C#語言創新和功能設計，包括實作以及標準化工作，都是以公開的形式進行。社群能與語言設計團隊、編譯器實作者和標準委員會進行對話。<a href="https://www.ithome.com.tw/news/143722" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟釋出AI網路攻防模擬工具原始碼</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_CyberBattleSim_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>微軟於GitHub平臺開源CyberBattleSim的Python原始碼。這套工具提供Python寫成的OpenAI Gym介面，讓企業或安全研究人員可用強化學習演算法，來訓練自動代理程式。CyberBattleSim和電玩一樣也有設定情境，能模擬網路攻擊中，攻擊者入侵網路後的橫向移動階段。並以攻、防兩方達成目的所採取的模擬步驟，以及在訓練階段模擬步驟的累積得分，來評估各陣營的績效。<a href="https://www.ithome.com.tw/news/143755" target="_blank">更多內容</a></p> <p><span style="color:#FFFFFF;"><span style="font-size:26px;"><strong><span style="background-color:#3399ff;"> 更多重要新聞 </span></strong></span></span></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143772" target="_blank">遠傳首度公開展示網頁版5G專網用戶管理平臺</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143841" target="_blank">Line全球斷線50分鐘原因出爐：竟是資料中心維運商不小心關掉了電源</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143840" target="_blank">整合Amazon物流和資訊流，Cyberbiz要讓臺灣品牌快速線上開店打入北美市場</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143814" target="_blank">遠距照護夯，WHO推薦臺灣2套國家級數位醫療指引</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143843" target="_blank">臺灣第一家AI獨角獸正式在日本股市掛牌</a></span></strong></p> </div></div></div>
2021/4/18 17:00未署名https://www.ithome.com.tw/news/143908
Parallels釋出支援蘋果M1的新版本，可於M1裝置上安裝Windows 10 on ARM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對Mac電腦提供硬體虛擬化軟體的Parallels，<a href="https://www.parallels.com/blogs/parallels-desktop-m1/" target="_blank">在本周發表了</a>新一代的Parallels Desktop 16.5 for Mac，它除了支援基於英特爾處理器的Mac電腦之外，也支援M1處理器的Mac電腦，讓使用者可於M1版Mac上，執行Windows 10 on ARM Insider Preview與許多熱門的Linux版本。</p> <p>迄今已有超過10萬名M1版Mac用戶測試過Parallels Desktop 16.5 for Mac，而根據Parallels的測試，受益於M1的效能，執行Parallels Desktop 16.5 for Mac的表現也有跳躍式的成長，例如相較於去年採用英特爾處理器的MacBook Air，Parallels Desktop所使用的電力只有1/4；與搭載Radeon Pro 555X GPU的MacBook Pro相較，執行better DirectX 11的效能提高了60%；與採用 Intel Core i9 處理器的MacBook Pro相比，執行Windows 10 on ARM Insider Preview虛擬機器的效能亦增加了30%。</p> <p>此外，Parallels Desktop 16.5 for Mac不僅可於M1版Mac的虛擬機器上執行Windows 10 on ARM Insider Preview ，也能執行Ubuntu 20.04、Kali Linux 2021.1、Debian 10.7與Fedora Workstation 33-1.2。</p> <p>既有的Parallels Desktop 16 for Mac用戶可免費升級到16.5版，新用戶則有免費14天的試用期，購買新授權的價格為79.99美元，其它版本的升級價則是49.99美元。</p> </div></div></div>
2021/4/15 17:30作者陳曉莉https://www.ithome.com.tw/news/143861
資安一周第141期：臉書、LinkedIn、Clubhouse用戶資料出現於駭客論壇，但都強調非系統遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">4/8-4/14 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃社群網站</strong></span></h3> <h2><strong style="vertical-align: top;">臉書宣稱逾5億用戶個資外洩是因為遭到網頁抓取攻擊</strong></h2> <p>針對5.3億筆用戶資料外洩事件，臉書於4月6日正式發表相關說法，表示用戶資料流出的原因是遭到網頁抓取（Web Scraping），並強調不是自家社群網站遭駭。上述的說法顯然讓資安專家無法接受，揭露此事的Hudson Rock技術長Alon Gal認為，這代表臉書對用戶個資的絕對輕忽（Absolute Negligence）。</p> <p>此起事件已經引起歐盟隱私主管機關高度重視，<a href="https://www.ithome.com.tw/news/143664">宣布將介入調查</a>，確認是否含有GDPR上路後外洩的資料。<strong><a href="https://www.ithome.com.tw/news/143702">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃社群網站</strong></span></h3> <h2><strong style="vertical-align: top;">駭客兜售逾8億LinkedIn用戶資料，業者宣稱是搜括會員公開資料而來</strong></h2> <p>繼臉書傳出5.3億用戶資料外洩後，接著又有大量的社群網站個資出現在駭客論壇。根據資安新聞網站CyberNews於4月6日報導，有人在駭客論壇銷售5億個LinkedIn用戶資料，並以大約2美元的價格，提供200萬筆資料樣本。對此，LinkedIn於4月8日發表聲明，表示這些都是公開的會員資料，搜刮自不同網站或是企業，而非LinkedIn資料外洩。</p> <p>但實際上，可能還有更多資料在駭客論壇流傳。在4月9日，上述駭客論壇的另一名使用者，以7千美元的價碼，求售8.27億個LinkedIn用戶資料，宣稱內容包含前述的5億筆個資。但這些資料的筆數已超過LinkedIn用戶（7.4億人）規模，資安人員研判，當中應該存在重複或是過時的資料。<strong><a href="https://www.ithome.com.tw/news/143817">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/141-1-linkedin-leakage-827m.png" style="width: 400px; height: 200px;" /></p> <p><span style="color:#808080;">圖片來源：CyberNews</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃即時通訊軟體</strong></h3> <h2><strong style="vertical-align: top;">含有逾百萬Clubhouse用戶個資的資料庫，在駭客論壇上流通</strong></h2> <p>根據資安新聞網站CyberNews於4月10日報導，駭客論壇上出現免費的SQL資料庫，發文者宣稱內有130萬Clubhouse用戶的資料，而且不用花錢就能取得。針對此事，Clubhouse於11日發表聲明，這些資料只是透過程式或API蒐集公開資料而來。</p> <p>但對於Clubhouse的說法，有用戶指出這是該平臺內部使用的API，並在3月時曝光，使用此API有可能違反Clubhouse政策而遭到停權。<strong><a href="https://www.ithome.com.tw/news/143783">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃協作平臺＃CDN</strong></span></h3> <h2><strong style="vertical-align: top;">Discord與Slack成駭客散布惡意程式管道</strong></h2> <p>隨著遠距辦公成為當態，即時通訊軟體與協作平臺使用的比例大大提升，駭客濫用來發動攻擊的情況，也有日益嚴重的跡象！近日思科提出警告，運用Discord和Slack的攻擊不斷出現，由於駭客能將惡意工具存放於這類平臺的內容傳遞網路（CDN）架構上，以規避資安系統偵測，思科呼籲企業，若是不使用上述提及的即時通訊軟體或是協作平臺服務，應該要封鎖相關的CDN。<strong><a href="https://www.ithome.com.tw/news/143756">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊</strong></h3> <h2><strong style="vertical-align: top;">SAP警告駭客正在攻擊已知漏洞</strong></h2> <p>德國企業軟體業者SAP與資安公司Onapsis，於4月6日發出警告指出，6項SAP已知漏洞近日出現攻擊行動，其中包含濫用2010年被修補的漏洞。這2家公司觀察到超過300個自動化工具，以及至少100起人為操作的連線活動。這起攻擊行動亦受到美國國土安全部、網路安全暨基礎架構安全署（CISA）、德國聯邦網路安全管理署的重視。</p> <p>根據Onapsis發現的證據顯示，駭客具備高階的領域知識，甚至會在攻擊成功後安裝修補程式來防堵漏洞，此外，該公司看到尚未修補的SAP雲端應用，上線不到3小時就被入侵的情況。<strong><a href="https://www.ithome.com.tw/news/143685">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃殭屍網路病毒＃挖礦攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">殭屍網路病毒Sysrv發動挖礦攻擊，鎖定多項應用系統漏洞下手</strong></h2> <p>安廠商Juniper揭露殭屍網路病毒Sysrv的攻擊行動，這個病毒專門鎖定Mongo、Drupal、SaltStack等應用系統RCE漏洞，並且能在Windows與Linux作業系統運作。Juniper自2020年12月首度發現Sysrv後，近期再度看到相關的攻擊行動，並警告Sysrv這次鎖定的應用系統、濫用的漏洞都比上次更為廣泛。</p> <p>該公司亦指出，雖然Sysrv挖礦獲利並不高，但背後隱含其他風險，像是駭客能用它來植入其他的惡意程式進行攻擊。<strong><a href="https://www.ithome.com.tw/news/143776">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/141-2-Sysrv-exploit.png" style="width: 400px; height: 137px;" /></p> <p><span style="color:#808080;">圖片來源：Juniper</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃勒索軟體攻擊＃SSL VPN</strong></span></h3> <h2><strong>Cring勒索軟體駭客鎖定Fortinet SSL VPN漏洞，攻擊歐洲工業</strong></h2> <p>在2020年底資安專家在駭客論壇看到，<a href="https://www.ithome.com.tw/news/141261">有人求售未修補漏洞CVE-2018-13379的Fortinet SSL VPN設備的IP位址名單</a>，專家認為日後會出現濫用情事。果不其然，繼近期美國政府指出有APT駭客濫用相關漏洞，防毒廠商卡巴斯基也於4月7日發布研究報告指出，他們發現Cring勒索軟體駭客組織，在2021年第1季發動攻擊時濫用這個SSL VPN設備的漏洞，且已有數家歐洲工業廠商受害，其中至少一家因控制生產流程的伺服器遭到加密，導致產線停擺。<strong><a href="https://www.ithome.com.tw/news/143701">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/141-3-Cring-CVE-2018-13379.png" style="width: 400px; height: 205px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：卡巴斯基</span></p> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃高科技產業＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">封測大廠日月光孫公司遭REvil勒索軟體攻擊</strong></h2> <p>四個月前才正式併入日月光投控旗下環旭電子、歐洲第二大EMS公司Asteelflash，該公司在4月2日於自家網站發布資安公告，說明3月下旬遭REvil勒索軟體攻擊，已進行資安事件應變與處理。到了4月5日與6日，日月光投控與環旭電子，也分別於臺灣與上海證交所發布相關公告，指出環旭電子與Asteelflash的網路系統是各自運作，本次事件不會波及環旭電子日常營運。<strong><a href="https://www.ithome.com.tw/news/143692">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞挖掘競賽＃Pwn2Own ＃Exchange</strong></span></h3> <h2><strong style="vertical-align: top;">戴夫寇爾挖掘Exchange漏洞，拿下Pwn2Own冠軍</strong></h2> <p>今年於4月6日至8日舉辦的Pwn2Own 2021漏洞挖掘競賽，臺灣資安研究團隊戴夫寇爾（Devcore）針對Exchange漏洞下手，組合認證繞過漏洞和本地權限提升漏洞，成功在無需驗證的情況下，進行遠端程式碼執行（RCE）攻擊，並得到滿分20分積分，獲得20萬美元獎金，與「OV」和「Daan Keuper and Thijs Alkemade From Computest」並列冠軍，是首度獲得Pwn2Own冠軍殊榮的臺灣隊伍。<strong><a href="https://www.ithome.com.tw/news/143753">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃視訊會議軟體＃Pwn2Own</strong></span></h3> <h2><strong style="vertical-align: top;">Pwn2Own 2021揭露Zoom重大RCE漏洞</strong></h2> <p>在4月6日至8日，趨勢科技ZDI舉辦的Pwn2Own 2021競賽中，有參賽隊伍針對視訊會議系統Zoom進行漏洞挖掘，找出3項漏洞串聯利用，在無需用戶任何互動下就能成功執行任意程式，該隊伍獲得20萬美元獎金。Zoom對此回應指出，其中至少1個漏洞與群組通訊軟體Zoom Chat有關，該公司尚在著手緩解相關漏洞。<strong><a href="https://www.ithome.com.tw/news/143777">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/143751">北韓駭客Lazarus使用新後門程式攻擊南非貨運業者</a><br /> ●<a href="https://www.ithome.com.tw/news/143719">網釣攻擊新趨勢：Telegram機器人崛起</a><br /> ●<a href="https://www.ithome.com.tw/news/143755">微軟釋出AI網路攻防模擬工具</a><br /> ●<a href="https://www.ithome.com.tw/news/143708">思科修補SD-WAN vManage的RCE漏洞</a></h3> </div></div></div>
2021/4/14 11:34作者周峻佑https://www.ithome.com.tw/news/143821
Sysrv殭屍網路程式感染Windows、Linux機器挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Juniper旗下安全研究單位近日發現一隻兼具蠕蟲及挖礦能力的殭屍網路程式，藉由開採Mongo、Drupal、Saltstack等軟體的遠端程式碼執行（RCE）漏洞，以感染Windows及Linux機器挖礦。</p> <p>Juniper的ThreatLab實驗室去年12月間首先發現名為Sysrv的殭屍網路病毒，它在Windows裝置上安裝sysrv.exe而得名。經過一陣子沈寂，最近又開始活動，無論開採的漏洞、使用的挖礦程式都更擴增。</p> <p><a href="https://blogs.juniper.net/en-us/threat-research/sysrv-botnet-expands-and-gains-persistence" target="_blank">根據Juniper分析</a>，Sysrv利用軟體漏洞自我複製散佈到未修補漏洞的系統，再下載一個惡意程式。研究人員偵測到Sysrv目前積極開採6種軟體漏洞，包括Mongo Express的 RCE (CVE-2019-10758)、Linux伺服器管理平台Saltstack RCE (CVE-2020-16846)、XXL-JOB 的Unauth RCE、開發框架ThinkPHP RCE、XML-RPC (CVE-2017-11610)及架站軟體Drupal Ajax 的RCE漏洞 <a href="https://www.ithome.com.tw/news/123757" target="_blank">(CVE-2018-7600)</a>。</p> <p>Sysrv利用上述軟體漏洞，自我複製到一組隨機公開IP以感染連網電腦。之後它在受害系統下載一個loader script，再從外部IP下載二進位檔案，為一個64-bit Go程式，內有開原碼UPX（Ultimate Packer for eXecutives，可執行檔加殼器），當中內含一個蠕蟲程式及挖礦程式，前者負責感染散佈，後者則利用這些受感染系統來挖Monero（門羅）幣。</p> <p>分析這個二進位檔，研究人員發現，Sysrv其實不只感染6個漏洞，事實上曾經感染10多個軟體漏洞，包括Jenkis、Juypter Notebook Server、Tomcat Manager、WordPress、Oracle WebLogic、Lavavel、Atlassian Confluence Server、JBoss Application Server、Apahce Solr、Apache Hodoop等都曾被盯上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-Sysrv%20Botnet%20by%20juniper.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Juniper</span></p> <p>研究人員也發現它使用了Monero 4個主要礦池中的3個，集結了將近50%的網路算力。研究人員計算，Sysrv從3月1日起一整個月已挖了18個Monero（XMR）幣，約3,700美元。</p> <p>雖然產出的金錢收益不多，但<a href="https://arstechnica.com/gadgets/2021/04/windows-and-linux-devices-are-under-attack-by-a-new-cryptomining-worm/" target="_blank">Ars Technica指出</a>，這隻殭屍網路程式對用戶的威脅不只是竊取受害裝置的運算資源和增加耗電而已，也能植入勒索軟體以及其他惡意程式。</p> </div></div></div>
2021/4/12 13:40作者林妍溱https://www.ithome.com.tw/news/143776
IBM推COBOL上雲端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM發布了可<a href="https://www-01.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/9/872/ENUSAP21-0019/index.html&request_locale=en">在x86的Linux環境運作的COBOL（COBOL for Linux on x86）</a>版本，其包含COBOL編譯器和Runtime函式庫，因此現在IBM COBOL家族除了支援COBOL在z/OS和AIX環境運作外，開發者還多了在x86的Linux環境執行COBOL應用程式的選擇，而這項發布有代表著IBM COBOL雲端化的里程碑。</p> <p>作為最早的高階程式語言，同時也是世界上早期標準化的語言之一，COBOL（Common Business Oriented Language）發展可以追溯到1959年，經過數十年的改進，已經發展出多種版本，主要應用在財務、會計和人事等資料管理和商業資料處理領域。</p> <p>這個有歷史的語言，在COVID-19疫情發生時，重新受到世人矚目，因為美國政府需要處理大量失業給付，而使得以COBOL編寫的老舊系統頻頻故障，甚至需要召回已經退休的COBOL程式設計師來幫忙修復系統。</p> <p>而現在IBM在COBOL編譯器家族加入Linux on x86新成員，用於x86上Linux的COBOL，是一個高效能且強大的開發環境，可用來建構現代化COBOL應用程式，其包含了一個經最佳化的COBOL編譯器和COBOL Runtime函式庫，供開發者可以在x86系統替Linux系統，開發COBOL應用程式。IBM表示，這個新的版本，主要是用來支援COBOL雲端應用，讓用戶可以策略性地將重要業務的COBOL應用程式，部署到混合雲或是其他執行平臺上。</p> <p>Linux on x86版本、z/OS和AIX版本COBOL皆相容，因此開發者能夠更容易地將COBOL程式，在各種IBM COBOL編譯器和平臺間移植。IBM也在其適用於雲端的混合語言應用程式伺服器IBM CICS TX on Cloud 11中支援這個新版COBOL，供用戶可以在雲端環境創建、維護和部署CICS COBOL應用程式。</p> <p>Linux on x86版本COBOL可以讓用戶方便地現代化、整合和管理現有應用程式、資料以及技能集，使得業務更加靈活，用這個版本開發、部署與執行COBOL應用程式的平臺，都需要安裝COBOL for Linux on x86 1.1，而該軟體也支援虛擬處理核心（VPC）概念，以VPC作為計價單位。</p> </div></div></div>
2021/4/9 12:24作者李建興https://www.ithome.com.tw/news/143709
Cloud周報第103期：微軟Azure、D365中斷原因找到了，因暴增查詢湧入DNS曝程式碼缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/04/01～2021/04/07）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DNS故障 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務中斷 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>微軟DNS因暴增查詢量湧入故障，導致Azure、D365等中斷1小時</strong></span></p> <p>微軟旗下多項服務，包含Azure、Dynamics 365、Teams與Xbox Live等，在UTC時間4月1日晚上9點半，因Azure DNS發生故障，導致服務中斷，影響範圍遍及全球。服務發生故障前，DNS伺服器面對來自全球異常的激增查詢量，觸發快取層投入緩解激增的流量，然而，一個特定事件序列暴露了DNS服務中的程式碼缺陷，降低了DNS Edge快取的效率，造成DNS服務的可用性下降。DNS發生故障後，用戶無法為他們使用的服務進行域名解析，導致存取或管理Azure和微軟服務時，出現間歇性失敗的狀況。</p> <p>微軟工程師收到服務監控系統的異常通知後，立即採取緩解措施來處理激增的DNS流量，而各個受影響的微軟服務約在1小時後，恢復正常。對於此次故障事件，微軟更新了容量峰值緩解系統的邏輯，以確保DNS不會接到過量的重試請求，還有修復程式碼的缺陷，確保DNS快取可有效地處理所有的請求，並改善異常檢測自動化和異常流量緩解的機制。<a href="https://status.azure.com/en-us/status/history/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>2020年全球資料中心軟硬體市場達1,650億美元</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_2020%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E5%B8%82%E5%A0%B4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Synergy.jpg" style="width: 600px; height: 378px;" /></strong></span></p> <p>市場研究機構Synergy Research近日發布了一份，2020年全球資料中心基礎設施市場的調查報告。由於公有雲基礎設施市場規模大幅成長22%，去年整體資料中心軟硬體市場相較2019年，成長4%，達1,650億美元。Synergy表示，雲端業者持續加碼投資資料中心，以滿足企業對雲服務的成長需求，使公有雲基礎設施市場規模占整體資料中心市場達43%。企業積極擁抱雲端服務的態勢，也連帶影響對自營資料中心的投資，相比2019年，企業資料中心基礎設施市場規模在2020年下滑了6%，且每季度規模都比上年度大幅下降。</p> <p>從市占率來看軟硬體供應商於公有雲市場的表現，ODM居冠，浪潮、華為和Dell並列第二，再來是微軟。Synergy Research首席分析師John Dinsdale預測，未來5年內，整體資料中心設備市場將繼續穩定成長，而投資額會持續向公有雲資料中心市場轉移，目前伺服器大廠出貨給公有雲業者的伺服器數量，已超過了企業。<a href=" https://www.srgresearch.com/articles/inspur-huawei-and-odms-winners-market-data-center-gear-shifts-cloud">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 沉浸式冷卻技術 </span></strong></span> </p> <p><strong style="font-size: 22px;">微軟Azure資料中心開始測試伺服器沉浸式冷卻技術</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E6%B2%89%E6%B5%B8%E5%BC%8F%E4%BC%BA%E6%9C%8D%E5%99%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px; height: 338px;" /></strong></p> <p>微軟近日宣布將在華盛頓州的一座Azure資料中心，開始測試伺服器沉浸式冷卻技術。微軟使用的沉浸式冷卻技術屬於液態冷卻技術的一種，會浸泡伺服器在裝滿無導電性氟素液的封閉槽池中。它的運作原理是，伺服器運轉產生的熱度會使碳氟液沸騰，產生蒸氣，從而帶走熱能降低伺服器溫度，接著，上升的蒸氣接觸到槽池頂部的冷卻冷凝器後，會再降溫液化成液體，滴在浸泡中的伺服器上，產生循環式的封閉冷卻系統。</p> <p>和傳統主動式冷卻技術相比，沉浸式冷卻屬於被動冷卻，不需額外風扇、導熱銅管等散熱設備，也不需大量的水來冷卻，更為節能。微軟表示，這個技術能讓每臺伺服器節省5%到15%的耗電量。此外，沉浸式冷卻減少了巨大的噪音量，所以不需加厚樓地板，並省去散熱空間需求，可更緊密地放置伺服器。未來幾個月，微軟將在華盛頓州昆西市，負責代管內部員工電子郵件伺服器的資料中心，進行一系列沉浸式冷卻技術的測試。<a href=" https://news.microsoft.com/innovation-stories/datacenter-liquid-cooling/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁應用程式防火牆 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人流量阻擋 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS網頁應用防火牆新增機器人流量辨識力，可阻擋不必要的請求流量</strong></strong></p> <p>AWS為網頁應用程式防火牆（WAF）加入機器人控制功能，能辨識常見的機器人流量，並採取行動阻擋這些流量。機器人控制功能透過分析請求的中繼資料，包含TLS交握、HTTP屬性和IP地址，來辨識機器人的意圖和來源，再依照機器人的類型進行分類，像是爬蟲、搜尋引擎最佳化或是網站監控。一旦新功能辨識出機器人，企業除了可採預設操作作為防火牆配置，也可以自行客製配置，來阻擋來自有害機器人的流量。</p> <p>此外，新功能使用了AWS WAF託管規則群組的標記能力來運作，透過比對規則語句，添加中繼資料到請求中，來發射各種與機器人相關的信號，讓企業可以自行定義想要辨識的行為。AWS已經在所有提供WAF服務的雲端地區，開放機器人控制功能，而新功能的收費方式是每新增功能至網頁ACL上一次，就會收取每月10美元的費用，另外，企業若使用超過免費層級提供的每月1千萬次請求，每百萬請求需支付1美元。<a href=" https://aws.amazon.com/tw/blogs/aws/reduce-unwanted-traffic-on-your-web-site-with-aws-bot-control/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫搬遷 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Google終於正式推出無伺服器資料庫搬遷服務</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_DMS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 600px; height: 338px;" /></strong></span></p> <p>相較競爭對手AWS與Azure已早一步推出資料庫搬遷服務，Google雲端日前終於正式推出自家相似服務Database Migration Service（簡稱DMS）。企業可以利用DMS搬遷部署在本地端或託管於其他雲端環境的MySQL、PostgreSQL資料庫，複製資料庫的所有資料、架構與配置到GCP平臺資料庫服務Cloud SQL上，並可與其他Google雲端服務整合使用。DMS是一項無伺服器服務，透過傳送日誌將資料從來源資料庫複製到Cloud SQL上，降低搬遷過程中的企業停機時間。</p> <p>Google雲端強調，新服務使用的是MySQL和PostgreSQL的原生複製工具，可確保安全性、穩定性及精確性的最大化。DMS會先串流資料庫的初始快照，後續會持續快速地複製來源中新增的資料，並提供企業搬遷作業的狀態報告。Google表示，使用資料庫原生複製功能，是維持來源與目標資料同步的關鍵。也就是說，企業只要設定Cloud SQL成應用程式的主要資料庫，能隨時開始使用新資料庫。Google預告DMS不久後會支援微軟SQL Server資料庫的搬遷。<a href=" https://cloud.google.com/blog/topics/developers-practitioners/preparing-postgresql-migration-database-migration-service?hl=zh-tw">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 執行實例 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 序列控制 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS新增EC2序列控制臺，供企業排除執行實例啟動問題</strong></strong></p> <p>AWS推出EC2序列控制臺，透過建立與EC2執行實例連接的序列連接，來排除執行實例啟動和網路連接上的問題，像是錯誤的檔案系統配置、無效的網路配置或錯誤的權限等。新功能支援的是基於AWS Nitro系統的EC2執行實例，包含支援所有主要的Linux版本，還有FreeBSD、NetBSD、Windows和VMWare。企業不需進行網路配置，就可在沒有網路連線的情況下，使用AWS管理控制臺中基於瀏覽器的殼層，或是託管控制臺伺服器SSH連接，來連接執行實例。</p> <p>之後，企業開始輸入命令，在Linux上，觸發Magic SysRq命令，來產生毀損傾印或是執行終止等操作，而在Windows，企業可以中斷啟動程序，並且使用緊急管理服務和特殊管理控制臺，來在安全模式中啟動系統。不過，企業在預設情況無法存取序列控制臺，AWS解釋，因新功能是一項特許操作，必須經過嚴格控管，所以企業需先授權帳戶存取序列控制臺。這項功能目前已經在北維吉尼亞、法蘭克福、東京、雪梨、新加坡等地區開放使用。<a href="https://aws.amazon.com/tw/blogs/aws/troubleshoot-boot-and-networking-issues-with-new-ec2-serial-console/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨多雲授權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訂閱服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>VMware推出跨多雲授權新訂閱服務，供可用於所有VCF環境的單一種授權點數</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%91(1).png" style="width: 600px; height: 306px;" /></strong></span></strong></p> <p>鎖定企業跨多雲與邊緣部署的態勢，VMware發布VMware Cloud多雲解決方案，整合旗下兩大應用程式管理服務，包含容器應用平臺Tanzu，和混合雲平臺VMware Cloud Foundation（簡稱VCF）。介面看起來像是VMware自營的雲端環境，其實VMware Cloud是整合多種可執行VMware應用程式管理服務的環境，包含了VMware Cloud on AWS和VMware Cloud on Dell EMC，還有執行VCF基礎架構的本地端資料中心，以及各個執行VCF基礎架構的公有雲環境，包括Azure、GCP和IBM雲等。</p> <p>為了將VMware Cloud解決方案涉及的授權整合到同一個機制中，VMware也推出新的訂閱服務Cloud Universal，讓企業購買單一種VMware基礎架構與服務的點數，就可依自身需求將點數應用在VMware Cloud解決方案的本地端、雲端或是邊緣環境。Cloud Universal會先支援VCF的本地端部署，還有VMware Cloud on AWS和VMware Cloud on Dell EMC。<a href=" https://www.vmware.com/company/news/releases/vmw-newsfeed.VMware-Cloud-Accelerates-App-Modernization-through-Modular-Multi-Cloud-Services.8269da95-5c87-41d0-8102-39142868e4bc.html">（詳全文）</a></p> <p><strong>圖片來源／Downdetector、微軟、Synergy Resource Group、AWS、VMware</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 甲骨文推出免費的搬遷服務Cloud Lift，供企業搬遷工作負載到OCI中</strong><a href=" https://www.oracle.com/news/announcement/oracle-speeds-cloud-migration-with-new-oracle-cloud-lift-services-033121.html">（詳全文）</a></p> <p><strong>2. 臉書宣布參與兩條連結新加坡、印尼至北美的海底電纜建置，預計於2023年啟用</strong><a href=" https://engineering.fb.com/2021/03/28/connectivity/echo-bifrost/">（詳全文）</a></p> <p><strong>3. Google雲端找來前SAP執行副總掌管資料庫、資料分析和Looker單位，要開發產業專用數據工作流</strong><a href=" https://www.zdnet.com/article/google-cloud-hires-sap-alum-kazmaier-unifies-database-data-analytics-looker-units/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年4月</strong></p> </div></div></div>
2021/4/8 18:51作者黃郁芸https://www.ithome.com.tw/news/143717
Google開源低位元率音訊編解碼器Lyra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2月的時候，發表最新的音訊編解碼技術研究，其新開發的Lyra是一款極低位元率的音訊編解碼器，可讓低頻寬網路用戶也能享有良好的通訊品質，而現在Google宣布以Apache授權許可<a href="https://opensource.googleblog.com/2021/04/lyra-enabling-voice-calls-for-next-billion-users.html">開源Lyra</a>，讓更多開發者可以在自己的通訊專案中使用Lyra，或是發展其他應用。</p> <p>由於COVID-19疫情的關係，通訊服務的重要性大幅提高，而Google新發展的音訊編解碼技術，能夠應用在遠端工作或是低頻寬的環境，改善語音通話品質。Google表示，Lyra是一個革命性的音訊編解碼器，其使用機器學習技術來提供高品質的語音通話。</p> <p>Lyra的架構分為編碼器和解碼器兩部分，當使用者對著電話講話時，編碼器會從語音中擷取特殊的屬性特徵，並在壓縮後經過網路傳輸，而解碼器的功能則是將收到的屬性特徵，轉換成人類可以聽懂的聲音，也就是另一端電話播放的音訊波形。</p> <p>Lyra解碼器使用生成模型將特徵解碼回音訊波形，Google解釋，生成模型是一種特殊類型的機器學習模型，非常適合從有限的特徵，重新創建出完整的音訊波形。Lyra的架構與傳統音訊編解碼器非常相似，傳統音訊編解碼器已經有數十年歷史，是支撐網際網路通話的主要方法，而有別於傳統的編解碼器使用數位訊號處理（DSP）技術，Lyra的優勢則是使用生成模型來重建高品質語音訊號。</p> <p>Google提到，在過去數十年間，雖然行動網路技術與建設穩定成長，但是裝置上運算能力的提升，遠遠超過高速無線網路基礎設施的發展，而這種反差在發展中國家更是嚴重，接下來還有數十億的用戶需要連接網路，但是基礎設施可能遠無法應付這龐大的網路需求。另外，即便是行動網路連接高可靠度的地區，語音通訊品質也還是受到行動資料傳輸的限制。</p> <p>由於這些使用情境，Lyra有了發揮功能的空間，因為Lyra可以將原始音訊壓縮至3kbps位元率，而且音訊品質仍比其他諸如Opus編解碼器的效果還要好，因此在低頻寬，或是頻寬受到限制的情況，Lyra成為了良好的解決方案，Google強調，Lyra的目標不是要成為一個完整的替代方案，而是在特定情境中，有意義地節省頻寬使用。</p> <p>除了考量頻寬因素外，Lyra還可支援一些獨特的應用，像是能夠用來封存大量的語音，或是利用Lyra輕省的運算，達到節省電池的目的，或者在多人同時撥打電話時，可以最大程度減輕網路壅塞的情況。</p> <p>Google現在開源Lyra專案，使用C++開發以實現高效能和互通性，並且使用Bazel建置框架，和用於全單元測試的GoogleTest框架。這個釋出的版本同時提供開發人員使用Lyra編碼和解碼音訊所需要的工具，包括檔案和封包層級的解碼和編碼API介面，以及各種濾波器和轉換器等訊號處理工具鏈，並針對在Linux上，開發64位元ARM Android平臺應用程式最佳化。所有Lyra執行程式碼皆以Apache授權許可開源，唯有數學核心除外。</p> </div></div></div>
2021/4/8 10:40作者李建興https://www.ithome.com.tw/news/143690
AWS現提供EC2序列控制臺，可用於排除執行個體啟動與網路故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/troubleshoot-boot-and-networking-issues-with-new-ec2-serial-console/">EC2序列控制臺</a>，這是一種透過建立與EC2執行個體的序列連接，讓用戶解決執行個體啟動和網路連接的安全方法。使用者可以透過EC2控制臺或是AWS CLI來取用EC2序列控制臺。</p> <p>由於作業系統越來越複雜，使得管理員必須熟悉大量的配置文件和設定，AWS提到，雖然基礎設施即程式碼，以及自動化技術，已經大幅改進伺服器配置和管理的複雜度，但是仍然存在不少系統錯誤和故障的機會，可能導致系統無法正確啟動。</p> <p>這些錯誤和故障，可能包括錯誤配置的檔案系統、無效的網路配置，或是錯誤的權限等，更糟糕的是，這些問題還有機會把管理員鎖在系統之外，使得管理員無法登入，難以進一步診斷和修復問題。</p> <p>過去唯一的選擇是使用帶外連接（Out-Of-Band Connection）到伺服器，但即便用戶可以瀏覽EC2執行個體的控制臺輸出，但也無法直接進行操作。為了解決這個問題，AWS發布了EC2序列控制臺，讓用戶能存取AWS Nitro系統EC2執行個體的序列埠，目前支援所有主要的Linux發布版本，還有FreeBSD、NetBSD、Windows和VMWare。</p> <p>執行個體不需要進行任何網路配置，可在沒有任何網路連線功能的情況下，讓用戶在AWS管理控制臺中使用瀏覽器殼層，或是託管控制臺伺服器的SSH連接來連接執行個體。AWS提到，要使用EC2序列控制臺，用戶不需要在執行個體上執行sshd伺服器，唯一的要求是設定用來登入的根帳號密碼。</p> <p>之後，用戶就可以開始輸入命令，就像是直接在執行個體的連接埠，連接鍵盤和螢幕操作一樣，在Linux上，用戶可以觸發Magic SysRq命令，來產生毀損傾印或是執行終止程序等操作，而在Windows，用戶可以中斷啟動程序，並且使用緊急管理服務和特殊管理控制臺，在安全模式中啟動系統。</p> <p>不過，用戶在預設情況無法存取序列控制臺，AWS解釋，因為存取序列控制臺是一項特權操作，必須經過嚴格控管，一旦用戶授權帳戶存取序列控制臺，就會應用到帳戶中所有執行個體。因此必須先由組織授與帳戶存取序列控制臺的權限，並且配置IAM政策，進一步來同意用戶存取序列控制臺，而管理員可以透過執行個體ID或是資源標籤等IAM手段，來配置序列控制臺的控制精細度。</p> <p>EC2序列控制臺讓用戶能夠更簡單地，在EC2執行個體上進行除錯或是修復問題，目前這項功能已經在美東、美西和歐洲等地區開放，亞洲則是在東京、雪梨和新加坡提供。</p> </div></div></div>
2021/4/2 14:31作者李建興https://www.ithome.com.tw/news/143605
Discord發表Stage Channels，加入Clubhouse戰局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聚集眾多遊戲玩家的VoIP聊天平臺Discord，在本周發表了<a href="https://blog.discord.com/captivate-your-community-with-stage-channels-46bbb756e89b" target="_blank">Stage Channels</a>，成為繼<a href="https://www.ithome.com.tw/news/143388" target="_blank">Telegram</a>之後，另一家加入由Clubhouse開創的語音聊天戰場的業者。</p> <p>Stage Channels現已成為Discord社群伺服器中的新型態頻道，它是一個只有語音的頻道，設有舞臺主持人，絕大多數的聽眾都是處於被動的聆聽模式，聽眾也可舉手發言，主講者、主持人或被點名的聽眾會被列在舞臺上，以清楚呈現發言人，在測試階段，使用者利用該頻道來進行Ask Me Anything（AMA）活動、廣播形式的爐邊談話（Fireside Chats）、市民大會（Townhalls）與讀書會。</p> <p>主持人的權限包括可新增或移除講者，也能關閉既有講者的聲音，負責維護舞臺與發言秩序。</p> <p>不管是Clubhouse、Telegram的語音聊天頻道，或者是Discord的Stage Channels，它們的共同特色皆是以廣播及語音形式進行。</p> <p>Stage Channels支援Windows、macOS、Linux、iOS及Android等Discord版本，前提是必須先啟用社群伺服器。</p> </div></div></div>
2021/4/1 15:11作者陳曉莉https://www.ithome.com.tw/news/143588
開源AsyncAPI專案現在受Linux基金會託管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源<a href="https://www.linuxfoundation.org/en/press-release/linux-foundation-will-host-asyncapi-to-support-growth-and-collaboration-for-industrys-fastest-growing-api-spec/">AsyncAPI</a>也成為Linux基金會底下的專案之一，AsyncAPI是一套用於非同步API，和事件驅動基礎架構的工具以及規範，也是目前成長最快速的API規範，根據調查，光從2019年到2020年AsyncAPI的使用量就成長了2倍，創建者認為AsyncAPI需要進入Linux基金會，以確保未來穩定發展。</p> <p>AsyncAPI是一個開源計畫，目的是改善當前事件驅動基礎架構（EDA）的狀態，長期目標是要讓EDA的使用過程，無論是程式碼生成還是事件管理，都和使用REST API一樣簡單容易，使原本用於REST API的程序，也可適用於事件驅動API。AsyncAPI除了有助於統一文件自動化和程式碼生成之外，還可以用來管理、測試和監控非同步API，其提供用來描述事件驅動系統介面的語言，支援事件驅動基礎架構整個開發周期。</p> <p>AsyncAPI創建了一個規範，供開發人員、架構師和產品經理，能夠定義非同步API介面，就像是OpenAPI之於REST API的關係一樣，因此AsyncAPI也被視為OpenAPI的姐妹專案，現在同樣都由Linux基金會託管。AsyncAPI適合想要自動化，或是規範微服務文件和程式碼產生的企業，透過使用AsyncAPI來建立可靠標準，改善非同步API管理。</p> <p>AsyncAPI專案創建者Fran Méndez提到，由於AsyncAPI的猛烈成長，毫無疑問地需要替AsyncAPI專案，找一個中立且值得信任的組織依附。Fran Méndez選擇了Linux基金會，並且為該專案設定了下一階段的目標，便是要提高AsyncAPI成熟度，借助Linux基金會的開放治理模型，繼續讓AsyncAPI專案蓬勃發展。</p> </div></div></div>
2021/3/31 15:33作者李建興https://www.ithome.com.tw/news/143559
微軟公布Microsoft Teams抓漏獎勵專案，最高獎金3萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc-blog.microsoft.com/2021/03/24/introducing-bounty-awards-for-teams-desktop-client-security-research/" target="_blank">微軟本周揭露</a>了全新的應用程式抓漏專案（<a href="https://www.microsoft.com/en-us/msrc/bounty-applications" target="_blank">Applications Bounty Program</a>），準備針對微軟的各種應用程式祭出抓漏獎勵，獎金從500美元到3萬美元不等，第一個上線的是Microsoft Teams。</p> <p>雖然Teams具備支援Windows、macOS與Linux的桌機版，也提供支援Android及iOS的行動版，但本周微軟揭露的抓漏專案僅適用於桌機版，至於Teams Online線上版的漏洞，則被隸屬於線上服務抓漏專案（Online Services Bounty Program）。</p> <p>Teams抓漏方案主要分為高影響力的情境獎勵（Scenario Awards）與一般獎勵（General Awards），情境獎勵的獎金從6千美元到3萬美元不等，漏洞範圍包括：發現XSS或其它的程式注入途徑，而得以執行任意腳本程式（需或不需要使用者互動）、可穿越作業系統使用者邊界的權限擴張漏洞、非利用網釣而能取得其他使用者憑證的漏洞，以及不需使用者互動就能執行遠端程式攻擊。</p> <p>至於一般獎勵則涵蓋竄改、欺騙、資訊揭露、權限擴張到遠端程式攻擊等漏洞，獎勵金額則視漏洞嚴重程度，從500美元到1.5萬美元不等。</p> <p>微軟表示，上述為既定的獎金標準，但該公司也可根據漏洞的嚴重性、影響力，甚至是研究人員所提交的研究品質，授予更高的獎金。</p> </div></div></div>
2021/3/26 21:07作者陳曉莉https://www.ithome.com.tw/news/143506
【儲存輔助運算架構產品巡禮3】儲存裝置端的輔助處理器產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-feng_mian_gu_shi_-chu_cun_fu_zhu_yun_suan_jia_gou_-6.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【DPU、SPU提供嶄新儲存加速應用】DPU與SPU不僅具備可程式化硬體加速能力，還兼具網路卡、HBA卡與儲存控制器等角色。左為Fungible以DPU打造而成的FS1600儲存伺服器，右為Nebulon的SPU卡。（圖片來源／Fungible、Nebulon）</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儲存裝置端的輔助運算架構，基本概念就是在SSD或Flash儲存裝置上嵌入運算晶片，從而提供額外的運算能力，可用於執行不同的運算作業，從而為主機處理器卸載運算負擔。</p> <p>依照儲存模組的型式，儲存裝置端的輔助運算產品，可以分為專屬規格與通用規格兩大類。</p> <p><span style="font-size:28px;"><strong>專屬規格的儲存端硬體加速單元</strong></span></p> <p>Hitachi Vantara VSP系列儲存陣列的專屬FMD（Flash Module Drives）快閃儲存模組，是專屬規格儲存裝置端硬體加速架構的典型代表。</p> <p>目前FMD模組已發展到第3代的FMD HD模組，含有1顆ASIC晶片（內含1顆32位元4核心處理器），2顆負責壓縮功能的協同處理器、8GB DDR3 DRAM記憶體，以及64或128顆128GB NAND MLC晶片，每張模組可提供14TB最大容量，還能提供垃圾回收、寫入均衡，卸載即時壓縮作業、加密與優先負載存取等一系列功能，可幫助VSP控制器減輕負擔。</p> <p>不過由於FMD是一種專屬規格裝置，採用特殊的3.5吋規格，也只能搭配Hitachi Vantara VSP系列儲存陣列使用。</p> <p><span style="font-size:28px;"><strong>通用規格的儲存端硬體加速單元</strong></span></p> <p>近2、3年來，也有另一些廠商，發展了基於標準SSD的硬體加速架構，最具代表性的，便是三星與Xilinx合作的SmartSSD，以及NGD Systems的運算型儲存裝置（Computational Storage Device）。</p> <p>SmartSSD是SSD一線大廠三星，與FPGA晶片龍頭廠商Xilinx合作的產品，基本概念就是一種內嵌了Xilinx FPGA加速晶片的2.5吋NVMe SSD。和一般的SSD一樣，含有4TB容量的三星V-NAND快閃記憶體、標準的SSD控制器，並透過標準的U.2介面來連接主機。SmartSSD的特別之處，在於內嵌了Xilinx的Kintex Ultrascale+ KU15P FPGA晶片，以及額外的內部記憶體，可用於各式各樣的運算工作，用戶端可以透過Xilinx的軟體開發平臺，來讓自身的平臺取用SmartSSD的硬體加速功能。</p> <p>類似的，NGD Systems的運算型儲存裝置，也是在標準的2.5吋SSD與PCIe SSD卡上，嵌入由Arm處理器、Xilinx FPGA晶片與額外記憶體構成的運算單元，用戶端可透過NGD Systems的API與程式庫，讓自身平臺使用運算型儲存裝置的硬體加速功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E5%84%B2%E5%AD%98%E8%BC%94%E5%8A%A9%E9%81%8B%E7%AE%97%E6%9E%B6%E6%A7%8B-6.png" style="width: 600px; height: 340px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>三星的SmartSSD</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>SmartSSD是一種「智慧型」SSD，和一般SSD同樣搭載了NAND快閃記憶體與SSD控制器，還內嵌了Xilinx FPGA晶片與額外記憶體，可用於執行各式各樣的運算工作。</strong>（圖片來源／Samsung）</span></p> <p><span style="font-size:28px;"><strong>硬體加速模組新勢力—SmartNIC</strong></span></p> <p>前面介紹的硬體加速模組，都是專屬類型，也就是專門搭配特定特定廠商的儲存平臺運作。不過這2年來，市場上興起了一類通用類型的硬體加速卡——SmartNIC，可以透過API或專屬軟體套件的中介，讓各式各樣的應用平臺，使用SmartNIC的硬體加速功能。</p> <p>顧名思義，SmartNIC是由網路卡（NIC）延伸發展而來，是一種「智慧型」（Smart）的網路卡。一般網路卡是基於ASIC晶片，只支援特定處理工作，如乙太網路的傳輸與控制。而SmartNIC則能載入執行額外的多樣化軟體功能。也就是說，網路卡像以前的老式功能手機，只能執行固定的電話通信功能；SmartNIC則像智慧型手機，可透過安裝App軟體執行各式各樣不同的功能。</p> <p>相較於基於ASIC的一般網路卡，SmartNIC則是基於可程式化的運算晶片，例如多顆Arm處理器構成的叢集、客製化的網路處理器，或是FPGA晶片等，通常還會搭配用於系統控制的Arm處理器與記憶體，有些還嵌入了修改的Linux核心。用戶端系統必須透過SmartNIC的API或程式開發套件，來存取SmartNIC的處理功能。</p> <p>目前SmartNIC的主要供應商包括Intel、Xilinx、Broadcom，以及Nvidia-Mellanox等大廠，以及Pensando、Fungible等新創廠商。</p> <p>雖然架構有所差異，不過各廠商的SmartNIC基本精神都是一致的，就是利用SmartNIC提供的運算硬體，視用戶端需要執行不同的軟體功能，從而為主機處理器卸載運算負擔，所以Intel又將這類產品稱為「可程式化加速卡」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E5%84%B2%E5%AD%98%E8%BC%94%E5%8A%A9%E9%81%8B%E7%AE%97%E6%9E%B6%E6%A7%8B-6(1).png" style="width: 600px; height: 406px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>SmartNIC是第3方廠商提供的通用硬體加速裝置，用戶端可透過API或專屬軟體的中介，來使用SmartNIC上的運算硬體資源。照片為當前常見的幾種SmartNIC產品，分別為Intel N3000（左上），Xilinx Alveo U25（右上），以及Mellanox的BlueField（中下）。</strong>（圖片來源／Intel、Xilinx、Mellanox）</span></p> <p><span style="font-size:28px;"><strong>從SmartNIC到DPU與SPU</strong></span></p> <p>理論上，儲存廠商也能透過導入SmartNIC，讓儲存產品獲得硬體加速功能。事實上，一些SmartNIC相關新創廠商便是以儲存應用為目的，如Fungible、Nebulon、SoftIron與Pliops等，這些廠商往往將自身的加速硬體稱為資料處理器（DPU）或儲存處理器（SPU），強調儲存方面的應用。</p> <p>DPU、SPU與SmartNIC相比，其中SmartNIC算是網路卡的延伸，是額外嵌入運算晶片的智慧型網路卡，但SmartNIC本身只提供了運算晶片與前端I/O介面，還需要另外結合其他控制器與後端I/O介面，才能構成完整的儲存系統；DPU與SPU則是在SmartNIC的基礎上，再結合RAID卡與HBA卡的功能而成，和SmartNIC一樣內嵌運算晶片，另外還具備連結與控制後端磁碟裝置的能力。理論上，廠商可以直接以DPU與SPU為核心，打造出完整的儲存設備。</p> <p>例如，Nebulon的儲存處理器（SPU）介面卡，就搭載了雙Arm處理器、卸載引擎，用於資料傳輸與系統管理的10/25GbE網路卡，以及用於連接伺服器內接SSD的SAS與NVMe埠。Nebulon的SPU介面卡與標準伺服器結合後，就能將這臺伺服器化身為高效能儲存陣列，由SPU卡來扮演傳統儲存陣列的RAID卡與HBA卡角色，並透過卸載引擎的幫助，提供高效能的存取服務。</p> <p>類似的，SoftIron也是以Arm處理器結合FPGA加速晶片的運算硬體核心，打造出基於Ceph軟體平臺的HyperDrive儲存系統。另一家新創廠商Pliops的SPU。也是以提供儲存加速為目的。</p> <p>而Fungible則在不久前的2020年底，正式推出第一款基於DPU的完整儲存陣列產品FS1600。FS1600採用2U機箱，含有24臺NVMe SSD，核心是2張Fungible的DPU加速卡，每張DPU卡含有Fungible的F1 DPU與6組100Gb乙太網路埠，用於提供運算與I/O處理功能。</p> <p>憑藉全面支援NVMe架構與DPU加速能力，FS1600的單一2U機箱即可提供驚人的1500萬IOPS的效能，而且延遲只有110μs，相較下，多數2U/24Bay組態的儲存陣列，大多只有200萬、300萬IOPS效能，顯示出DPU、SPU這種硬體加速架構的效能潛力。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8A%A0%E9%80%9F%E9%81%8B%E7%AE%97%E6%8A%80%E8%A1%93">加速運算技術</a></div><div class="field-item odd"><a href="/tags/fpga">FPGA</a></div><div class="field-item even"><a href="/tags/dpuspu">DPU/SPU</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/%E8%BB%9F%E9%AB%94%E5%AE%9A%E7%BE%A9%E6%8A%80%E8%A1%93">軟體定義技術</a></div><div class="field-item odd"><a href="/tags/sdn">SDN</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%8A%9F%E8%83%BD%E8%99%9B%E6%93%AC%E5%8C%96">網路功能虛擬化</a></div><div class="field-item odd"><a href="/tags/nfv">NFV</a></div><div class="field-item even"><a href="/tags/smartnic">SmartNIC</a></div></div></div>
2021/3/25 07:00作者張明德https://www.ithome.com.tw/tech/143333
資安一周第138期：勒索軟體REvil攻擊宏碁。日本Line宣布將召開資料治理委員會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">3/18-3/24 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃ProxyLogon ＃勒索軟體攻擊＃高科技產業</strong></span></h3> <h2><strong style="vertical-align: top;">宏碁傳出遭勒索軟體REvil攻擊，駭客索討5千萬美元贖金</strong></h2> <p>勒索軟體REvil驚傳攻擊臺灣電腦大廠宏碁，駭客透露部分財務報表與銀行往來文件的螢幕截圖，並開出5千萬美元的天價贖金。</p> <p>但更值得留意的是，威脅情報公司Advanced Intelligence執行長暨董事長Vitali Kremez指出，他們發現駭客先鎖定宏碁的Exchange伺服器下手，很有可能濫用這套郵件系統的重大漏洞ProxyLogon入侵，若是情況確實如資安專家判斷，很有可能是首度濫用ProxyLogon的大型勒索軟體攻擊行動。</p> <p>針對遭到勒索軟體攻擊的傳聞，宏碁並未否認，僅表示他們已將近期的異常事件，向多國執法與資料保護機關通報。<strong><a href="https://www.ithome.com.tw/news/143355">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/138-1-acert-leak-site.png" style="width: 400px; height: 330px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Bleeping Computer</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">日本Line宣布將召開資料治理委員會，疑與外包中國業者不當存取資料有關</strong></h2> <p>根據<a href="https://www.asahi.com/articles/ASP3J7K5DP3JUHBI03T.html">朝日新聞</a>、<a href="https://www3.nhk.or.jp/news/html/20210317/k10012918871000.html">NHK</a>等日本媒體於3月17日報導，日本Line因為將系統管理業務外包給中國企業，承包商得以觸及存放用戶資料的伺服器，至少有4名中國工程師偷看資料32次。這起事故亦引起日本當局高度關切。對此，<a href="https://linecorp.com/ja/pr/news/ja/2021/3675">Line先是發出公告坦承此事</a>，並強調全球用戶資料都存放在日本和韓國，且未提供資料給中國政府。</p> <p>而到了3月19日，Line的母公司<a href="https://www.z-holdings.co.jp/en/pr/press-release/2021/0319/">Z Holdings發出公告</a>，表明他們對於用戶資料管理的立場。該公司將於23日首度召開全球資料治理委員會，由外部的資安專家來協助改善資料的處理方式。<strong><a href="https://www.ithome.com.tw/news/143395">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/138-2-Line-Japan-dataleakage.png" /></p> <p><span style="color:#808080;">圖片來源：Z Holdings</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露</strong></h3> <h2><strong style="vertical-align: top;">Google揭露駭客組織濫用11個未知漏洞攻擊，Windows、Android、iOS用戶皆受害</strong></h2> <p>駭客串連多個漏洞，針對不同作業系統連網裝置下手的事件頻傳。1月，Google曾發出警示，他們發現有駭客組織在2020年2月串連4個未知漏洞，並對於Windows與Android使用者發動水坑攻擊，而該公司於3月18日揭露後續發展──該組織於2020年10月，再度濫用另外7個未知漏洞發動攻擊，同時鎖定Windows、Android，以及iOS用戶下手。不過，對於駭客的身分，Google並未透露相關資訊。</p> <p>在此次攻擊中，駭客於數十個合法網站上植入惡意程式，將使用者導向攻擊伺服器，這些伺服器會根據裝置的瀏覽器資訊，濫用相關的零時差漏洞。<strong><a href="https://www.ithome.com.tw/news/143396">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/138-3-google-11vul-chain.png" style="width: 400px; height: 157px;" /></p> <p><span style="color:#808080;">圖片來源：Google</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃物聯網安全</strong></span></h3> <h2><strong style="vertical-align: top;">殭屍網路病毒Mirai鎖定企業網路資安設備發動攻擊</strong></h2> <p>曾在2016爆發的Mirai殭屍網路病毒，這2到3年將目標轉移到企業的物聯網設備上，並濫用設備漏洞入侵。本月Palo Alto Networks發現新的Mirai攻擊行動，同樣鎖定企業下手，但與過往的攻擊策略卻有相當明顯的差異，那就是一口氣鎖定至少6種不同型態的網路設備與應用系統，但每一種類型僅對於其中一個廠牌、甚至是特定型號的設備出手，而不若過往，可能會同時針對2至3種品牌的同類設備發動攻擊。<strong><a href="https://www.ithome.com.tw/news/143288">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃APT攻擊＃電信業者＃5G資安</strong></h3> <h2><strong style="vertical-align: top;">中國駭客鎖定全球電信業者展開攻擊，目標為5G機密</strong></h2> <p>隨著歐美許多國家以國安為由，封鎖中國5G設備，也出現中國駭客向他國電信業者下手的現象。McAfee近日揭露中國駭客組織RedDelta，偽造華為的徵才頁面，吸引全球多國的電信產業員工查看，一旦瀏覽之後，該網頁會要求安裝Flash，並引導至偽冒的Flash網站，不知情的用戶有可能會誤信而下載惡意程式，而McAfee發現，攻擊者的目標是5G相關資訊。<strong><a href="https://www.ithome.com.tw/news/143300">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃APT攻擊＃勒索軟體攻擊＃學術機構</strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體Pysa惡意活動增加，教育機構是主要目標</strong></h2> <p>近日FBI公告勒索軟體Pysa的攻擊手法，先是透過破解RDP與網釣郵件的管道入侵，之後還會使用SFTP工具WinSCP，甚至是擅自下載Mega應用程式，並將竊取檔案上傳到雲端硬碟。至於該勒索軟體發動攻擊的目標，FBI也提出警告，近期主要是針對高等教育、K12學校，以及神學院等。<strong><a href="https://www.ithome.com.tw/news/143317">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃網域劫持</strong></span></h3> <h2><strong>已被FBI扣押的憑證兜售網站WeLeakInfo，用戶資料外洩</strong></h2> <p>專門販售外洩資料庫的WeLeakInfo網站日前遭到FBI扣押，但有人疑似發現漏網之魚，趁著部分網域租約到期之際，搶下該網域進而偷得該網站的資料，當中包含約2.4萬WeLeakInfo用戶資料，並轉手在網路論壇上叫賣。這些資料無論是駭客或是執行單位取得，可能都會對用戶帶來麻煩。<strong><a href="https://www.ithome.com.tw/news/143265">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊＃木馬程式＃資料側錄攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">駭客鎖定美國報稅季發動網釣攻擊，竊取納稅人電腦機密資料</strong></h2> <p>駭客以時事為誘餌發動惡意程式攻擊的現象，可說是時有所聞，資安廠商Cybereason近日指出，他們看到濫用NetWire和Remcos兩款木馬程式的攻擊行動，針對美國納稅人而來。研究人員指出，這一波攻擊引起他們關注之處，在於駭客採用的各式迴避偵測手法。其中一種方式是釣魚郵件裡夾帶容量相當大的惡意文件檔案，約有7MB，防毒軟體很可能會略過而不掃描。<strong><a href="https://www.ithome.com.tw/news/143347">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意廣告＃間諜軟體</strong></span></h3> <h2><strong style="vertical-align: top;">有駭客投放惡意廣告，散布冒牌Telegram安裝程式，藉此竊取用戶個資</strong></h2> <p>駭客利用Google搜尋來誤導使用者的情況，先前有攻擊者濫用搜尋最佳化機制（SEO），讓使用者下載惡意程式，但最近資安漏洞研究團隊Suid Vulnerability Research發現更直接的做法，攻擊者藉由惡意廣告（Malvertising），散布冒牌的電腦版Telegram應用程式，而且，這是會竊取電腦多種上網應用程式個人資訊的間諜軟體。<a href="https://www.ithome.com.tw/news/143326">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃金融業＃法規遵循＃密碼管理</strong></span></h3> <h2><strong style="vertical-align: top;">針對三商美邦人壽資安制度缺失，金管會開罰120萬</strong></h2> <p>因資安管理流程不夠嚴謹，也可能導致受到處罰。<a href="https://www.cna.com.tw/news/afe/202103220279.aspx">根據中央社3月22日的報導</a>，金融監督管理委員會保險局對三商美邦人壽祭出120萬元罰款，並予以糾正，原因是三商美邦人壽對於Linux作業系統、AD網域的管理流程，密碼的變更作業與所訂內部規定不相符。</p> <p>再者，三商美邦人壽在辦理資安作業時，尚未建立伺服器的檔案定期清理機制、主機目錄的檔案存取權限沒有定期評估機制，以及未訂定資安情資或是警訊通報處理標準程序等缺失。</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/143350">針對SolarWinds供應鏈攻擊，CISA釋出事故調查工具</a><br /> ●<a href="https://www.ithome.com.tw/news/143302">美國2020年網路犯罪逾79萬件，損失42億美元</a><br /> ●<a href="https://www.ithome.com.tw/news/143291">名人推特帳號詐騙案判決出爐，嫌犯被判刑3年</a><br /> ●<a href="https://www.ithome.com.tw/news/143207">GitHub下架ProxyLogon概念驗證工具引發爭議</a></h3> </div></div></div>
2021/3/24 10:48作者周峻佑https://www.ithome.com.tw/news/143414
有駭客濫用Google搜尋，投放惡意廣告散布冒牌Telegram安裝程式，藉此竊取加密貨幣錢包與上網應用程式帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用Google搜尋來誤導使用者的情況，先前有<a href="http://www.ithome.com.tw/news/142987">攻擊者濫用搜尋最佳化機制（Search Engine Optimization，SEO）</a>，讓使用者下載惡意程式下載工具Gootloader，進而在受害電腦植入惡意軟體。但最近有資安研究人員發現更為直接的做法：<a href="https://suid.ch/research/Telegram_Malware_Analysis.html">有人藉著惡意廣告散布冒牌的電腦版Telegram應用程式</a>，但實際上，這是會竊取電腦多種上網應用程式個人資訊的間諜軟體。</p> <p>資安漏洞研究團隊Suid Vulnerability Research於3月14日，公布一起藉由投放Google廣告的惡意廣告攻擊事件。研究人員在Google搜尋「電腦版Telegram（Telegram Desktop）」時發現，搜尋結果裡的第2個廣告很不尋常，但從相關的網站敘述與網址（telegramdesktop[.]net）來看，看起來很像真的由Telegram投放的下載廣告。經過他們著手調查後發現，這實際上是冒牌的Telegram應用程式下載網站，使用者一旦沒有留意，就可能以為是官方網站而受騙。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/google_seo-fake-telegram-ad.png" style="width: 580px; height: 427px;" /></p> <p>研究人員表示，除了上述的網域，攻擊者還濫用另外2個類似的網域名稱，包含了telegramdesktop[.]com，以及telegramdesktop[.]org。而其中的telegramdesktop[.]com，已經遭到Google安全瀏覽（Safe Browsing）標示為不安全的網站，他們也將另外2個網站通報Google。但究竟有多少人上當？研究人員表示，他們至少看到冒牌Telegram應用程式被下載了2,746次，其中的129個受害者還下載了第2階段惡意程式。</p> <p>而上述的這3個冒牌網站，其實都是複製合法的Telegram網站而來。研究人員指出，網頁裡大部分的連結也是連向Telegram合法網域（desktop.telegram.com），只是駭客將其中的Windows版本，置換成惡意程式。研究人員發現，攻擊者把惡意軟體與相關的工具，<a href="https://www.ithome.com.tw/news/135676">存放於程式碼代管平臺Bitbucket</a>，他們亦循線找到駭客所使用的暱稱和電子郵件信箱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/telegramdesktop_links.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telegramdesktop_links.png" style="width: 580px; height: 340px;" /></a></p> <blockquote><p>駭客建置的冒牌Telegram下載網站telegramdesktop[.]net中，總共提供了4種電腦版本的下載按鈕，其中有問題的是Windows版本，下載網址（紅字）是在Bitbucket網域；macOS與Linux版本則是Telegram官方提供的專屬網址。而Windows版的官方下載連結是<a href="https://telegram.org/dl/desktop/win">https://telegram.org/dl/desktop/win</a>。</p> </blockquote> <p>一旦使用者下載冒牌Telegram安裝程式並安裝，這個惡意程式便會開始連到C&C中繼站，載入第2階段的工具AZORult，這是一款間諜程式，<a href="https://www.ithome.com.tw/news/136339">2020年3月有駭客以提供武漢肺炎疫情儀表板為由散布</a>。研究人員指出，這款間諜程式不只會偷取加密錢包，還會用戶的地理位置資訊。此外，AZORult會竊取受害電腦的多款上網應用程式的資訊，包含了Chrome與Firefox瀏覽器存放的密碼、FileZilla的帳號及密碼、Telegram的記錄、VPN連線軟體NordVPN與OpenVPN的帳號與密碼等。而針對Chrome瀏覽器，AZORult還會偷取瀏覽器的其他資訊，包含了Cookie、自動填入的資料，以及信用卡資料。</p> <p>值得留意的是，由於駭客在第1、第2階段的惡意軟體中，針對Windows內建防惡意程式機制Antimalware Scan Interface（AMSI），加入了能繞過相關偵測的功能。換言之，這些攻擊工具可能可以迴避防毒軟體偵測，而不被攔截。</p> </div></div></div>
2021/3/19 15:16作者周峻佑https://www.ithome.com.tw/news/143326
擴大支持開源軟體發展，臺灣網通廠商D-Link加入全球最大OIN開源社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣網通廠商友訊（D-Link），近日宣布正式加入全球最大的開放專利保護聯盟OIN（Open Invention Network），來擴大支持開源軟體的發展。也是第4家加入該聯盟的臺灣業者。</p> <p>在加入OIN社群以前，D-Link自家推出網路、通訊產品及相關解方案，其中已有高達7成比例以開源軟體實作，在成為該社群一員後，友訊科技總經理陳瑋駿表示，未來除了將繼續推廣<span class="aCOpRe"><span>開源軟體</span></span>與不侵犯專利（patent non-aggression），也將為OIN社群做出貢獻，以鼓勵創新。</p> <p>OIN是以IBM、Red Hat 、NEC、Sony等公司為首，在2005年成立的一個開放發明網路聯盟，旨在讓聯盟社群會員之間在免權利金的基礎之上進行Linux技術專利交叉授權，來降低公司發展Linux相關軟體的侵權風險，包括Android裝置等。</p> <p>OIN成立迄今已有3,200多位會員加入，其中不乏有許多大型科技與軟體公司加入，如Google、Oracle、SAP、微軟等，儘管，成立初期，OIN會員多以歐美企業為主，但這幾年，亞洲企業比例也逐步增加，如中國的華為、百度，日本的KDDI 、Honda等，臺灣也有3家業者加入，成為其一員，分別是Asus、HTC、智邦科技。D-Link則成為最新一家加入OIN社群的臺灣業者。</p> <p> </p> </div></div></div>
2021/3/18 17:36作者余至浩https://www.ithome.com.tw/news/143303
資安一周第137期：超過10組駭客濫用Exchange重大漏洞發動攻擊。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">3/11-3/17 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃Exchange</strong></span></h3> <h2><strong style="vertical-align: top;">Exchange重大漏洞已有超過10組駭客用於發動攻擊</strong></h2> <p>傳出自1月初遭中國駭客組織Hafnium濫用的Exchange漏洞，資安廠商ESET發現在微軟即將發布修補程式前夕，<a href="https://www.ithome.com.tw/news/143208">開始有其他攻擊者也利用相關漏洞來發動攻擊</a>！該公司至少發現了11組駭客，他們將這些漏洞搭配不同的作案工具發動攻擊。</p> <p>除了ESET的發現之外，也有其他資安人員看到不同的攻擊行動也濫用相關漏洞。像是資安研究人員發現名為<a href="http://www.ithome.com.tw/news/143218">DearCry的勒索軟體</a>、<a href="http://www.ithome.com.tw/news/143247">殭屍網路程式Lemon Duck</a>，近期也藉由這些漏洞入侵Exchange伺服器。<strong><a href="https://www.ithome.com.tw/news/143210">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/137-1-CVE-2021-26855-timeline.png" style="width: 400px; height: 185px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：ESET</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃視訊監控</strong></span></h3> <h2><strong style="vertical-align: top;">視訊監控系統服務業者Verkada遭駭，15萬臺監視器畫面外流</strong></h2> <p>提供視訊監控服務的業者一旦遭到入侵，很有可能曝露用戶的一舉一動。矽谷專門提供視訊監控系統的Verkada，近日傳出遭到入侵，使得駭客取得15萬臺監視器的即時影像，受害者包含電動車大廠特斯拉、DNS服務業者Cloudflare，以及警察局、醫院、監獄等。而其中發動攻擊的始作俑者之一，疑似就是瑞士開發人員Tillie Kottmann，他曾在GitHub公布50家企業的軟體原始碼，與公布Intel被外洩的資料而引發爭議。<strong><a href="https://www.ithome.com.tw/news/143131">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露</strong></h3> <h2><strong style="vertical-align: top;">應用交付網路設備業者F5修補BIG-IP與BIG-IQ重大漏洞</strong></h2> <p>應用交付網路設備業者F5近日發布漏洞公告，受影響的系統為BIG-IP與BIG-IQ軟體平臺，共7個漏洞，而其中4個關鍵漏洞的CVSS風險評分，分數高達9.0分至9.9分，分別是CVE-2021-22986、CVE-2021-22987、CVE-2021-22991、CVE-2021-22992，主要都是RCE漏洞，同時，CVE-2021-22986、CVE-2021-22987也與身分驗證有關。美國網路安全暨基礎架構安全署（CISA）也於同日，呼籲用戶儘速修補上述漏洞。<strong><a href="https://www.ithome.com.tw/news/143171">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃Accellion</strong></span></h3> <h2><strong style="vertical-align: top;">針對延燒3個月的漏洞攻擊事故，Accellion公布調查結果</strong></h2> <p>駭客近日針對Accellion檔案傳輸系統FTA進行攻擊的事故，該公司於2月初委託FireEye旗下的Mandiant進行調查，並於近日公布最終的調查結果，攻擊者於去年12月和今年1月，濫用不同的漏洞向這套系統的用戶下手。Mandiant指出，駭客對於FTA極為熟悉，使得他們能串連漏洞來發動不需身分驗證的RCE攻擊。<strong><a href="https://www.ithome.com.tw/news/143178">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃APT攻擊＃Linux ＃Winnti Group</strong></h3> <h2><strong style="vertical-align: top;">中國駭客瞄準Linux系統植入後門程式RedXOR，臺灣與印度出現受害者</strong></h2> <p>網頁應用程式資安業者Intezer近日揭露，鎖定Linux伺服器的惡意程式RedXOR，背後疑似是中國駭客組織Winnti Group（APT41）出手，相關的攻擊事故已在臺灣和印度出現。而這個惡意程式的名稱由來，與該惡意軟體會使用XOR演算法加密網路流量有關。</p> <p>研究人員提到，他們看到受害者上傳至VirusTotal的RedXOR，在3月10日，60多款防毒引擎僅有1家判別為有害。<strong><a href="https://www.ithome.com.tw/news/143239">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/137-2-RedXOR-virustotal.png" style="width: 400px; height: 154px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Intezer</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體駭客組織REvil推出DDoS攻擊服務，號召企業購買以向媒體施壓</strong></h2> <p>勒索軟體組織越來越猖狂，根據資安研究人員3xp0rt的揭露，發現REvil竟揚言提供DDoS攻擊服務，讓企業買來向媒體恐嚇。而勒索軟體駭客組織濫用DDoS攻擊手法已非首例，有資安業者發現，於2020年下旬，就有駭客藉由這種方法迫使勒索軟體受害者付贖金。<strong><a href="https://www.ithome.com.tw/news/143183">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/137-3-REvil-DDoS-as-a-Service.png" /></p> <p><span style="color:#808080;">圖片來源：3xp0rt</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃網頁瀏覽器</strong></span></h3> <h2><strong>Google瀏覽器再傳出漏洞已遭濫用於攻擊行動</strong></h2> <p>Google再度針對Chrome發布新版本89.0.4389.90，而值得留意的是，本次已是他們於3月的第2個、今年第3度針對已遭濫用的漏洞進行修補。這項已出現攻擊行動的漏洞為CVE-2021-21193，與該瀏覽器的排版引擎Blink有關，一旦遭濫用，將引發使用已釋放記憶體（Use-After-Free）的情況，攻擊者進而能在受害電腦執行任意指令。<strong><a href="https://www.ithome.com.tw/news/143244">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊＃圖靈驗證機制</strong></span></h3> <h2><strong style="vertical-align: top;">釣魚郵件攻擊者濫用reCAPTCHA讓受害者更容易上當</strong></h2> <p>網站為了驗證上網用戶是人類的工具，竟然也被駭客用來做為取信受害者的手法！資安廠商Zscaler的研究人員揭露，他們發現有釣魚郵件攻擊的駭客自2020年12月，開始仿造Google驗證真人與機器人的機制reCAPTCHA，而且同時針對多個產業類型的高階員工而來。</p> <p>該公司指出，一旦受害者開啟附件，就會被引導到假的reCAPTCHA網站，再騙取受害者的微軟帳號資訊。<strong><a href="https://www.ithome.com.tw/news/143127">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃開發安全＃軟體供應鏈安全</strong></span></h3> <h2><strong style="vertical-align: top;">Google、紅帽與Linux基金會啟動Sigstore開源軟體認證專案</strong></h2> <p>為改善軟體供應鏈的安全問題，最近一項名為Sigstore的專案正式發起，這是由Linux基金會與Google、紅帽等大廠，所共同推動的計畫。</p> <p>在過去，很少開源專案會透過密碼簽署軟體版本，原因在於金鑰管理的難題，而Sigstore計畫將提供可安全簽署軟體憑證的服務，將免費提供開發者與軟體供應商。對所有開發者而言，Sigstore專案的發展相當值得關注。<a href="https://www.ithome.com.tw/news/143161">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙＃金融業</strong></span></h3> <h2><strong style="vertical-align: top;">為遏止詐騙與盜刷歪風，銀行公會擬修改安控基準，增加3道關卡防範</strong></h2> <p>在農曆新年期間，歹徒鎖定國泰、台新等銀行用戶，以冒名網路銀行的簡訊騙取帳號與密碼，並將帳戶裡的錢轉走。<a href="https://tw.appledaily.com/finance/20210314/ROQMAG3G6VEXPIFHZK3GBKYSSY/">根據蘋果日報的報導</a>，金融監督管理委員會為了防堵這種情況持續惡化，要求銀行公會研擬對策，銀行公會理監事會於3月初，通過修改「電子銀行業務安控基準」，藉由新增3大措施來因應這類情況。</p> <p>這些措施涉及數位帳戶、手機支付與ATM轉帳，以及簡訊重設轉帳密碼等情境。首先，民眾以手機門號開立數位帳戶時，必須加入視訊機制查核帳戶所有者；再者，對於手機支付5千元、ATM轉帳1萬元以上，銀行必須通知用戶；第3項新規定，則是針對採用固定密碼轉帳的用戶，銀行需增加防護措施，以防範駭客在民眾重設密碼時下手。</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/143237">美司法部查獲假冒生技公司的網站及域名</a><br /> ●<a href="https://www.ithome.com.tw/news/143113">英特爾、微軟參與美國軍方DARPA的全同態加密專案</a><br /> ●<a href="https://www.ithome.com.tw/news/143107">資安業者揭露Supernova攻擊者身分為中國駭客組織</a><br /> ●<a href="https://www.ithome.com.tw/news/143074">5個駭客論壇於近2個月內傳出遭到入侵</a></h3> </div></div></div>
2021/3/17 15:31作者周峻佑https://www.ithome.com.tw/news/143280
Amazon Go有意在臺籌設研發團隊，低調展開徵才，預計最快Q3就會上工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近Amazon Go西雅圖研發團隊一位硬體工程師翁子麟，在臉書上發布了一份<a href="https://www.facebook.com/henry.ong.73/posts/10159041373776217" target="_blank">徵才消息</a>，透露Amazon Go有意在臺成立一個新的工程團隊，鎖定IoT或嵌入式系統研發工程師來招募。研發團隊將設置在臺北或新竹，最快今年第三季就會開工。</p> <p>Amazon Go自2018年開幕以來，已經在美國設立26間無人超商（目前有兩家暫時關閉），以及兩家更大規模的大型無人超商Amazon Go Grocery，今年3月更首度拓展分店到英國。這些無人超商，都運用了Amazon開發的核心技術「拿了就走（Just Walk Out）」，去年開始，Amazon更將它作為解決方案來販售，目前已經有國外零售業者著手導入。</p> <p>為了持續精進這套科技，Amazon Go也打算在臺灣成立研發團隊。根據Amazon釋出的徵才文件可以了解到，Amazon要找能跨領域、跨科目與他人協作的人才，也要能與內外部相關人員合作，來共同定義、執行與驗證技術端解決方案；也因為產品全生命週期開發經驗都相當重要，Amazon要找的人，要能兼顧不同開發階段的專案同時進行，除了要了解目前營運及產品的運作方式，還需要具備設計與驗證技術，並且要能在開放、協作的環境中工作，具備靈活反應、彈性調整等特質。</p> <p>Amazon也提出了更具體的工作內容，比如要能與技術領袖共同開發嵌入式系統的整個產品生命週期，從初期產品規劃、設計到開發實現都要參與，也要為多種嵌入式裝置，設計並實作堅固韌體的解決方案；除了要能開發IoT韌體架構，過程中也要能除錯、執行複雜的設計驗證測試，並推動韌體進入產品化階段。而且，受聘者也不只是待在臺灣工作，也會需要到世界各地的供應商或製造商據點，與合作夥伴協作來開發產品。</p> <p>Amazon也不只是徵求4年、6年經驗以上資深工程師，就算只有一年經驗的資淺工程師，也有機會成為團隊一員，職缺包括軟體／韌體開發工程師及工程經理。從Amazon列出徵選條件中的開發經驗，可以了解到，團隊成員未來從事的開發工作，可能與下列技術的開發經驗相關，包括IoT、FW/BSP、作業系統／驅動器、感測器、裝置安全、AWS公有雲、嵌入式系統設計、無線（藍芽、Zigbee、802.15.4）、低耗能開發、ARM架構、Unix/Linux、RTOS、製造技術工程師（MTE）、網路等。</p> <p>這一波招聘已經低調展開，預計在近期招攬到所需的員工後，臺灣Amazon Go團隊在今年Q3或Q4，就會於臺北或新竹正式開工。Amazon來臺找人才不是第一次，早從2019年開始，就陸續多次來臺招聘不同產品或專案的軟硬體工程師，最近一次是兩個月前，Amazon展開了新一波無線網路分享技術Sidewalk在臺灣的招聘，當時鎖定了軟體工程師、系統工程師等。</p> </div></div></div>
2021/3/16 16:49作者翁芊儒https://www.ithome.com.tw/news/143241
殭屍網路程式也用Exchange漏洞發動挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Exchange Server漏洞未補後患無窮。繼國家駭客、勒索軟體後，安全廠商發現，一款名為Lemon Duck（黃色小鴨）的殭屍網路程式，現在也開始鎖定攻擊Exchange Server的漏洞。</p> <p>Lemon Duck是一款以挖門羅幣（Monero）為目的殭屍網路程式。卡巴斯基全球研究與分析小組主任<a href="https://twitter.com/craiu/status/1370331555575574528" target="_blank">Costin Raiu指出</a>，Lemon Duck背後的駭客正在大規模開採Exchange Server的ProxyLogon漏洞，以散佈這個挖礦程式。</p> <p>Lemon Duck背後的運作組織並非Hafnium，目的在利用受害裝置挖礦，至少2018年底即已出現。去年底，<a href="https://cisomag.eccouncil.org/lemon-duck-quacks-again-with-its-cryptocurrency-mining-botnet/" target="_blank">思科研究人員發現</a>它開採Windows BlueKeep漏洞以感染Windows 10系統。<a href="https://twitter.com/kaspersky/status/1225860074503122945" target="_blank">卡巴斯基去年2月也偵測到</a>Lemon Duck攻擊連結Windows 7系統的印表機、智慧電視或自駕車車上系統，串聯挖礦殭屍網路。</p> <p>Lemon Duck這個程式會透過許多途徑，包括電子郵件、psexec、WMI及SMB開採程式（如Eternal Blue、SMB Ghost）等散佈，但除了Windows系統外，它也能感染Linux機器、MS SQL伺服器、Redis及Hadoop叢集伺服器。此外它還能利用Windows安全測試工具Mimikatz來竊取系統密碼以利擴大感染範圍。<a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-exploits-now-used-by-cryptomining-malware/" target="_blank">Bleeping Computer</a>引述安全廠商Sophos研究人員的話指出，Lemon Duck屬於技術最高明的挖礦軟體之一。</p> <p>針對Lemon Duck，卡巴斯基提供了攻擊指標p.estonine[.]com、cdn.chatcdn[.]net及<a href="https://twitter.com/craiu/status/1370373495176192000" target="_blank">雜湊</a>供企業IT管理員檢查內部系統安全。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">More <a href="https://twitter.com/hashtag/LemonDuck?src=hash&ref_src=twsrc%5Etfw">#LemonDuck</a> Exchange attack IOCs - xx.bat 2f907f2da760bbadc713d710166a68e73895a75cb695b4890c63aea453e838c0 + further comms to t.zer9g[.]com</p> <p>— Costin Raiu (@craiu) <a href="https://twitter.com/craiu/status/1370373495176192000?ref_src=twsrc%5Etfw">March 12, 2021</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p>不過這並非第一波搭上Exchange Server漏洞攻擊列車的挖礦軟體。上周ESET發現在微軟公布漏洞後幾天內，就有DLTMiner已經升高活動。</p> <p>上周安全研究人員<a href="https://www.ithome.com.tw/news/143218" target="_blank">Michael Gillespie另外也揭露</a>一個不明駭客組織，正在藉由開採ProxyLogon漏洞植入勒索軟體DearCry。</p> </div></div></div>
2021/3/16 14:50作者林妍溱https://www.ithome.com.tw/news/143247
Google Chrome修補今年第三個遭開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/142645" target="_blank">二月</a>及<a href="https://www.ithome.com.tw/news/143023" target="_blank">本月初</a>後，Google本周再釋出<a href="https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop_12.html" target="_blank">Chrome桌機版更新</a>，以修補3個程式碼執行漏洞，包括一個已遭開採的零時差漏洞。</p> <p>Windows、Mac及Linux 版本的89.0.4389.90 版，已透過穩定（Stable）通道釋出。最新更新包含5項安全修補程式，其中3個為高度風險，包括CVE-2021-21191、CVE-2021-21192及CVE-2021-21193。</p> <p>Google以安全為由，在大多數用戶升級前不公開漏洞資訊，不過捷克安全廠商<a href="https://www.cybersecurity-help.cz/vdb/SB2021031301" target="_blank">Cybersecurity Help</a>仍提供了部份說明。</p> <p>其中CVE-2021-21191存在WebRTC元件中，攻擊者若能誘使用戶點選開啟惡意網站，即能觸發使用已釋放記憶體（Use-After-Free）錯誤，並在受害系統上執行任意程式碼。CVE-2021-21192是微軟瀏覽器安全研究中心通報，出現在Chrome分頁群組功能中，若使用者連上遠端攻擊者設立的惡意網站，將可觸發堆積緩衝溢位（heap buffer overflow），讓攻擊者在其電腦上執行任意程式碼。</p> <p>第三項漏洞CVE-2021-21193則位於Chrome的Blink算圖引擎，也是透過誘使用戶造訪惡意網站，來觸發使用已釋放記憶體錯誤，進而執行任意程式碼。和前面兩者不同的是，CVE-2021-21193已經有不明開採活動。這是本月第二起，也是今年第三個遭到開採的零時差漏洞。</p> <p>3項漏洞影響Google Chrome 86到89版，Google也呼籲用戶儘速安裝更新版。</p> </div></div></div>
2021/3/16 12:28作者林妍溱https://www.ithome.com.tw/news/143244
駭客瞄準Linux系統植入後門程式，臺灣也在受害之列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/" target="_blank">安全研究人員近日發現</a>，中國駭客疑似發展出一種相當複雜的後門程式，正鎖定Linux伺服器及終端發動攻擊，臺灣也成為攻擊目標之一。</p> <p>安全廠商Intezer近日發現一隻全新後門程式，冒充Linux平臺的Policykit精靈程式，專門攻擊Linux伺服器和電腦。由於它使用XOR作為網路資料的加密演算法，研究人員將之稱為RedXOR。同時，根據RedXOR攻擊的策略、手法和程序，研究人員研判它是由一個高調的中國駭客組織Winnti所開發。</p> <p>研究人員最早是在掃瞄平臺VirusTotal平臺，發現由受害者上傳的RedXOR樣本。這些樣本的來源包括臺灣和印度，兩者向來是中國駭客攻擊的目標。雖然VirusTotal上有超過五、六十種掃毒引擎，但在3月10日時對這些樣本卻只有很低的偵測率，62個引擎只有1個偵測到異狀。</p> <p>RedXOR是以GCC組譯工具在舊版Red Hat Enterprise Linux上組譯而成，顯示RedXOR是為攻擊舊版Linux系統而設計，而且此時仍然持續活動中。</p> <p>分析樣本Intezer研究人員發現，RedXOR和名為Winnti的中國駭客組織使用過的惡意程式，包括PWNLNX後門以及殭屍網路病毒XOR.DDOS及Groudhog有許多重疊之處，包括都使用舊的開源核心rootkit 程式Adore-ng、功能命令方式、建立的攻擊架構、運作及檔案結構很類似，也都使用XOR演算法為網路流量編碼加密。他們相信，RedROX可能是Winnti發展出的最新攻擊工具。</p> <p>Winnti是受中國政府支持的駭客組織，它有很多別名，也被稱為APT41、Blackfly、Barium。<a href="https://securelist.com/winnti-more-than-just-a-game/37029/" target="_blank">2011年起卡巴斯基就發現</a>Winnti多次攻擊臺灣、美國及東南亞的遊戲業者以竊取遊戲程式碼，也會對軟體、硬體廠商發動供應鏈攻擊，<a href="https://www.ithome.com.tw/news/129590" target="_blank">華碩電腦2019年即被它駭入</a>更新伺服器以下載到用戶電腦中。此外，<a href="https://www.ithome.com.tw/news/132106" target="_blank">德國媒體也指控</a>，德國公司如西門子、Teamviewer等都曾遭到Winnti的毒手。</p> <p>研究人員指出，RedROX具有隱匿行蹤、在受害者系統內蒐集用戶ID、密碼及系統資訊，並與外部C&C伺服器建立加密連線傳送資料，還能執行C&C伺服器傳送的指令，以及遠端更新自我功能。</p> <p>針對RedXOR，研究人員提醒，為防止企業網路遭到感染，應僅從信賴的雲端服務下載可信賴的程式碼。</p> <p>但Intezer進一步指出，過去10年以來，Linux系統已成為大型APT（進階滲透威脅）活動，以及以間諜為目的惡意程式的目標，有些高端的國家駭客也已針對Linux發展出攻擊武器，未來Linux系統將面臨更複雜且更頻繁的威脅。</p> <p>除Linux系統外，本月初微軟公布Exchange Server的ProxyLogon漏洞後，<a href="https://www.ithome.com.tw/news/143208" target="_blank">ESET發現</a>Winnti也是駭進Exchange Server的駭客組織之一。</p> </div></div></div>
2021/3/15 22:30作者林妍溱https://www.ithome.com.tw/news/143239
一周大事：美國對Exchange漏洞災情發布緊急指令。鴻海成立新能源車產業資安聯盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>Exchange漏洞災情升溫，美方發布緊急指令</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Exchange.png" style="width: 500px;" /></p> <p>根據部落格KrebsonSecurity的報導，近期爆發的Exchange攻擊行動，美國至少有3萬臺伺服器被駭，全球更有數十萬臺遭感染。</p> <p>微軟於3月2日發出安全公告，指出中國駭客組織利用Exchange的4項零時差漏洞，駭入本地部署郵件系統的組織，目的在竊取私密郵件，微軟已針對受影響的Exchange版本，釋出更新。</p> <p>美國網路安全暨基礎架構安全署（CISA）評估這次Exchange漏洞風險層級、實際發生的攻擊災情，以及政府單位使用Exchange的普及程度之後，也發出第2號緊急指令，要求聯邦政府單位立即清查本地部署的Exchange伺服器環境，檢視是否有入侵指標或異常情形。</p> <p>相關漏洞揭露，根據臺灣資安業者戴夫寇爾說明，去年12月他們發現上述Exchange兩個漏洞，於1月5日向微軟示警。<a href="https://www.ithome.com.tw/news/143079" target="_blank">更多內容</a></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/143111" target="_blank"><span style="color:#3399ff;">微軟能發現存在逾10年的Exchange重大漏洞，臺灣研究人員的通報是關鍵</span></a></strong></span></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/143141" target="_blank"><span style="color:#3399ff;">歐洲銀行業管理局坦承因Exchange漏洞被駭</span></a></strong></span></p> <p><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/news/143109" target="_blank"><span style="color:#3399ff;">微軟針對Exchanger漏洞釋出惡意程式偵測工具</span></a></strong></span></p> <p><span style="font-size:28px;"><strong>鴻海成立新能源車產業資安聯盟，聚集臺資安業者看自駕車安全議題</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%96%B0%E8%83%BD%E6%BA%90%E9%9B%BB%E5%8B%95%E8%BB%8A%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影_羅正漢</span></p> <p>隨著Tesla這些年來的發展與帶動，電動自駕車正顛覆傳統汽車產業，現在Apple也看重此一市場，而臺灣產業也開始發力，例如，鴻海在去年10月宣布組成MIH電動車平臺聯盟，期盼藉此促進國內外產業的機會，近日，他們更攜手多家資安業者，舉辦電動車資安挑戰的論壇，同時，也宣布新能源電動車產業資安聯盟正式成軍。</p> <p>汽車大廠將目標放在電動自駕車，朝向軟體定義發展是大勢所趨，而MIH聯盟更強調開放平臺，期望加速E-vehicle產業的創新與發展。</p> <p>這樣的態勢有如過去iPhone顛覆傳統手機，以及Android平臺的崛起，正因蘋果開放SDK與開發者平臺，Android出現後甚至開放軟硬體，讓每個公司都能發展智慧型手機。</p> <p>但當前汽車產業幾乎還是採用封閉系統，因此，鴻海集團董事長劉揚偉表示，MIH聯盟的企圖，就是透過開放的技術規格，結合各界來共同建構電動車軟硬體，以及零組件的生態系。<a href="https://www.ithome.com.tw/news/143102" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>打造語音應用更簡單，Alexa新技能開發工具來了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Alexa%20Conversations_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Amazon</span></p> <p>旨在簡化Alexa技能開發工作的Alexa Skills Kit對話管理器Alexa Conversations，現在釋出正式版本。根據Amazon的說明，Alexa Conversations是以深度學習為基礎的語音應用開發工具，對於熟悉基礎機器學習架構，以及Node.js和Python程式語言的開發者特別好用，只要存取控制臺中的創作工具，就能夠開始建構語音應用。<a href="https://www.ithome.com.tw/news/142988" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>版本快過期的Windows裝置將收到強制更新通知</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%BC%B7%E5%88%B6%E6%9B%B4%E6%96%B0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>Windows 10 20H2釋出5個月後，微軟宣布被系統判斷可以安裝20H2（或任何最新更新）的Windows 10電腦，即日起將透過Windows Update釋出給用戶。還沒安裝20H2的用戶，可能這一陣子就會接到強迫更新的通知。<a href="https://www.ithome.com.tw/news/143081" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10將內建微軟自家RPA軟體</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-powerautomate.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>在3月Ignite大會上，微軟宣布機器人流程自動化（RPA）技術Power Automate桌機版，將整合進Windows 10，即日起用戶可以下載Power Automate桌機版，這款工具也將包含在Windows Insider預覽版。Power Automate桌機版強調預建400項「action」可串聯SharePoint、Excel、Outlook、第三方系統如SAP、其他網站、舊式終端及大型主機。用戶可在單一介面以拖拉方式整合預錄的桌機及網頁actions，不需撰寫程式碼。<a href="https://www.ithome.com.tw/news/143003" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟Teams將對網路通話提供端對端加密</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Teams%E9%80%9A%E8%A9%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>為了解決客戶的安全及法遵等問題，Teams將在通話中提供端對端加密服務，以利用戶執行機密性的網路通話，企業的IT人員得以評估及決定哪些人可以使用E2EE服務，但初期將只支援一對一的非排程VoIP通話，例如當網管人員要提供密碼予員工時便能使用。<a href="https://www.ithome.com.tw/news/143002" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>McAfee出售企業安全資產，專注消費業務</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_McAfee_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20McAfee.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／McAfee</span></p> <p>老牌安全廠商McAfee宣布出售企業安全業務，把發展重心放在消費端產品。McAfee將企業安全業務包括部門員工及資產，以40億美元現金出售給Symphony Technology Group率領的投資團隊。買主Symphony Technology Group去年也買下認證及加密方案業務RSA。TechCrunch認為McAfee企業安全及RSA或可有某種程度的搭配，因為他們都是技術優異的公司，只是趕不上技術更新的競爭者。<a href="https://www.ithome.com.tw/news/143106" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Flutter 2終於可發布5大平臺原生應用</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Flutter%202_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p>日前Google發布跨平臺UI框架Flutter主要版本更新Flutter 2，跨平臺共用程式碼支援範圍除了iOS、Android，更新增Windows、macOS和Linux作業系統，還針對Chrome、Firefox、Safari和Edge瀏覽器最佳化網頁體驗，Flutter甚至可以被嵌入到汽車、電視和智慧家電中。<a href="https://www.ithome.com.tw/news/143031" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>FireEye、微軟揭露能迴避SolarWinds事故調查的惡意軟體</strong></span></p> <p>SolarWinds供應鏈攻擊仍有謎團未解開，多家資安廠商為此持續調查，近期新進展包括FireEye與微軟各自揭露了最新發現的惡意軟體，其主要特點是具備藏匿惡意流量的能力。<a href="https://www.ithome.com.tw/news/143059" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>線上交易盜刷攻擊已能破解3DS驗證</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%B3%BB%E4%BD%91-3DS_img2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Gemini%20Advisory.png" style="width: 350px;" /></p> <p><span style="color:#696969;">圖片來源_Gemini Advisory</span></p> <p>為了盜刷受害者的信用卡牟利，駭客鎖定日漸普及的3D Secure機制（3DS），破解在線上交易中的身分驗證流程，並在暗網裡探討相關手法，恐使得相關攻擊更加氾濫。<a href="https://www.ithome.com.tw/news/143030" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>AdGuard公開6千款瀏覽器擋不掉的網頁追蹤器</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_cname-trackers_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AdGuard.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／AdGuard</span></p> <p>AdGuard釋出逾6千款秘密追蹤器的名單，協助第三方阻止這批濫用CNAME（Canonical Name）紀錄的秘密追蹤器。AdGuard表示，瀏覽器無法避免CNAME偽裝追蹤，但內容封鎖器卻可以，然而這類擴充程式無法動態解析主機名稱並刪除追蹤器，於是AdGuard承諾持續更新這批秘密追蹤器資訊，讓第三方封鎖程式得以將它們嵌入過濾名單中。<a href="https://www.ithome.com.tw/news/143090" target="_blank">更多內容</a></p> </div></div></div>
2021/3/14 07:00未署名https://www.ithome.com.tw/news/143184
首個支援Linux的官方版7-Zip 問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造開源檔案壓縮軟體7-Zip的Igor Pavlov，在本周釋出了7-Zip 21.01 alpha，它同時支援Windows與Linux，也成為首個支援Linux的官方版7-Zip。</p> <p>Pavlov是在1999年釋出7-Zip，其預設的壓縮格式為自創的7z，副檔名就是.7z，但它同時也支援眾多的其它格式，包括ZIP、CAB、RAR及ARJ等，也被視為市場上最普及的開源碼壓縮軟體。</p> <p>不過，Pavlov一直都只提供Windows版的7-Zip，Linux版的稱為p7zip，是由另一名開發人員建立及維護，然而，由於p7zip開發者已有超過4年的時間沒有維護該專案，使得Pavlov決定親自出馬，發表了支援Linux的7-Zip。</p> <p><a href="https://sourceforge.net/p/sevenzip/discussion/45797/thread/cec5e63147/" target="_blank">Pavlov表示</a>，Linux版7-Zip類似p7zip，但並不完全相同，它支援64位元的Linux x86-64與Linux Arm64，也支援32位元的Linux x86及Linux armhf。</p> <p>與Windows版可選用命令列或圖像介面相較，Linux版的7-Zip只有命令列介面，Pavlov亦鼓勵使用者回報該版本的臭蟲及問題。</p> </div></div></div>
2021/3/12 14:52作者陳曉莉https://www.ithome.com.tw/news/143176
Google、紅帽與Linux基金會共同啟動免費的Sigstore開源軟體認證專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/en/press-release/linux-foundation-announces-free-sigstore-signing-service-to-confirm-origin-and-authenticity-of-software/" target="_blank">Linux基金會</a>、<a href="https://security.googleblog.com/2021/03/introducing-sigstore-easy-code-signing.html" target="_blank">Google</a>、紅帽及美國普渡大學在本周二（3/9）宣布啟動Sigstore專案，以確保軟體維護者、分發者或是消費者都能信賴開放原始碼的程式、產出或工具，改善軟體供應鏈的安全性。</p> <p>現代要安裝大多數的開源軟體時，通常是拿一個隨身碟就把它插到電腦上，不太會在意它的出處、來源或是否遭到竄改。Linux基金會指出，目前只有極少數的開源專案以密碼簽署軟體版本產品，大多數是因為這些軟體維護者在金鑰管理、金鑰外洩/撤銷，以及公鑰與產出摘要分發上遇見了難題，於是使用者就必須自行尋找可靠的金鑰並學習如何驗證簽章；此外，現在的摘要與公鑰的分發也存在著問題，它們可能被置放在不安全的網站上，或是直接曝露於Git儲存庫的「讀我」（Readme）檔案上。</p> <p>然而，如同Let's Encrypt執行總監Josh Aas所說：「安全進行軟體部署的第一步，就是確定所安裝的軟體是我們以為的軟體。」而Sigstore即是為了驗證開放原始碼的真實性而誕生。</p> <p>根據Sigstore專案的規畫，該服務將允許所有的軟體開發者都能安全地簽署軟體產出，像是所釋出的檔案、容器映像檔或是二進位文件，並把這些簽署的材料存放在不可竄改的公開日誌中。於是，所有開源社群都能簽署他們的軟體，同時結合了出處、完整性與發現能力，以建立一個透明且可供稽核的軟體供應鏈。</p> <p>上述組織將共同開發Sigstore程式碼及操作工具，且Sigstore將免費供所有的開發者及軟體供應商使用，不過，現階段該專案仍屬早期發展階段，可能要一段時日才能完成。</p> </div></div></div>
2021/3/12 00:12作者陳曉莉https://www.ithome.com.tw/news/143161
微軟更新多項Azure基礎設施功能，加入Msv2中階記憶體VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/en-us/blog/improving-agility-performance-and-resilience-with-new-azure-infrastructure-capabilities/">更新</a>Azure基礎設施產品組合，以滿足更多元的用戶需求，透過提供更多選擇和靈活性，讓企業能夠快速應付業務需求。在虛擬機器類型方面，Azure現在提供新的Msv2中階記憶體虛擬機器，適用記憶體密集的工作負載，用戶可多獲得20％的CPU效能，且最多用到192 vCPU以及4 TiB記憶體。Azure專用主機庫存單位（SKU）也將推出預覽，讓用戶可以在單租戶，硬體隔離的環境中，執行記憶體密集工作負載。</p> <p>微軟也簡化使用折扣運算能力的方法，新的Azure競價型虛擬機器，能透過試著重新部署先前退出的競價型虛擬機器，使其成為虛擬機器規模集（VMSS）的一部分，改進橫向擴展應用程式的執行狀況，而且用戶還可以模擬驅逐虛擬機器，以測試應用程式行為，確保對中斷的忍受程度。</p> <p>而在去年秋天微軟推出的Azure Automanage服務，能夠大幅簡化Azure中Windows虛擬機器的管理工作，而現在，這個自動化管理功能擴展到了Linux虛擬機器，用戶可以透過同一個控制平面，方便地同時管理Windows和Linux虛擬機器，而且Azure與Elastic的原生整合，用戶可以在Azure上使用Elastic服務，並統一計價。</p> <p>不少用戶透過將應用程式搬遷到雲端上，大規模執行工作負載，以達到更高的效率和效能，微軟透過改進服務，讓用戶更容易擴展工作負載的規模和效能，現在Azure提供新的負載平衡選擇工具，該工具可以根據不同的工作負載和需求，指引用戶選用正確的服務，同時Azure負載平衡器也開始能夠跨IP位置，提供負載平衡服務。</p> <p>微軟讓用戶可以按需求保留運算容量，用戶可以選擇以任意長度的時間，在Azure地區或是可用區域中，保留一種或是多種虛擬機器大小的運算容量，而且用戶還可以結合保留的虛擬機器執行個體使用，以大幅節省成本。</p> <p>而現在所有Azure虛擬機器，都能啟用Trusted Launch來保護工作負載不受惡意攻擊，另外，微軟還開始提供SQL Always Encrypted安全區域預覽功能，可用來保護Azure中的敏感資料，並且允許用戶在AKS（Azure Kubernetes Service）上調度機密容器。</p> <p>微軟提供搬遷服務Azure Migrate，來加速用戶將工作負載移往雲端的過程，新的Azure Migrate功能讓用戶能夠更方便地把自有的SQL Server搬遷到Azure SQL上，同時也支援使用PowerShell搬遷VMware虛擬機器，而新的容器化應用程式，能讓用戶將.NET和網頁應用程式，簡單地搬遷到AKS上。</p> </div></div></div>
2021/3/5 11:30作者李建興https://www.ithome.com.tw/news/143052