iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臉書提供隱私中心，使用戶簡單控制5大領域隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta宣布在其臉書平臺推出<a href="https://about.fb.com/news/2022/01/introducing-privacy-center/">隱私中心</a>，目的是要讓使用者更了解隱私選項，並且知道平臺以什麼樣的方式收集和使用資訊。在隱私中心裡，用戶可以了解臉書的隱私方法、閱讀資料政策，並了解臉書所提供的隱私和安全控制使用方法。</p> <p>隱私中心目前先開放給部分桌面臉書使用者，在接下來幾個月，該功能會陸續推廣給更多人和應用程式使用，官方提到，他們在應用程式中建立許多隱私和安全控制，而他們想要透過隱私中心，教育使用者使用這些功能的方法。</p> <p>當前的版本的隱私中心有5個模組，每個模組都包含與主題相關的隱私控制和指南，這5個模組分別是安全性、共享、收集、使用和廣告。在安全性模組中，用戶可以查看帳戶安全性配置，設定雙因素驗證的工具，並了解Meta反制資料爬蟲的方法。</p> <p>共享模組則提供用戶管理瀏覽貼文的對象，並且清理舊的貼文。而收集模組能夠讓用戶了解Meta收集的各種資料，並且透過Access Your Information等工具，來存取這些資料的方法。</p> <p>用戶可以從使用模組中，了解Meta使用資料的方式和原因，並探索臉書提供給用戶管理資訊的控制措施，也能夠在廣告模組詳細了解Meta如何使用資料，來決定用戶所看到的廣告，以及廣告偏好設定等廣告控制元件的使用方法。</p> <p>目前已經能夠存取隱私中心的用戶，可以透過臉書桌面版本的配置和隱私，來找到隱私中心，而隨著隱私中心的擴展，臉書可能會在更多存在隱私疑慮的地方，提供用戶存取隱私中心的方式。另外，Meta也會繼續在隱私中心，添加更多模組和控制元件，供用戶更了解隱私保護的方法。</p> </div></div></div>
2022/1/12 08:40作者李建興https://www.ithome.com.tw/news/148839
【資安日報】2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁解析URL的錯誤，很可能會被攻擊者利用，這樣的情況有多嚴重？有2家資安業者最近針對市面上16款URL解析器程式庫，進行分析後發現，這種問題存在於多個程式庫裡。他們至少發現8個漏洞，研究人員通報後已經得到修補。</p> <p>最近半年來，NPM（Node Package Manager）熱門程式庫遭不明人士竄改的現象，也不時有消息傳出，但近期有2個套件，竟是因為作者不滿企業只想坐享其成，而不願意付出，決定寫入影響運作的程式碼，隨後更直接清除程式碼內容。此起事件也突顯，企業過往普遍視開源專案為降低成本、同時兼顧高品質的策略，可能要有所調整。</p> <p>處於灰色地帶的挖礦軟體，因為有人會利用他人電腦挖礦，而不時引起爭議，甚至駭客藉此牟利站穩腳根，進而架設Abcbot殭屍網路──而且，還是操控原本用來挖礦的伺服器，來建置殭屍網路大軍。再者，防毒業者NortonLifeLock將挖礦軟體與防毒軟體結合的爭議，也因近期傳出相關功能被改為預設啟用，再度浮上檯面，並引起防毒軟體社會責任的討論。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/"><span style="color: rgb(0, 0, 0);"><strong>熱門NPM套件疑遭破壞，原因是開發者對大型企業無償使用不滿所為</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/20220111-1407-09760.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/20220111-1407-09760.png" style="width: 200px; float: right;" /></a>近期2個NPM（Node Package Manager）熱門程式庫套件colors、faker，程式碼遭到破壞，導致數千個應用程式面臨可能無法正常運作的窘境。原本Bleeping Computer等新聞網站以為，本次事故是駭客竄改相關程式碼，但追查後發現，其實是作者Marak Squires所為，原因是這名開發人員已在2020年11月指出，他的專案廣受財星500大採用，但這些企業沒有回饋社群，決定不再無償提供這些軟體。Marak Squires此舉引起正反兩極反應，亦傳出NPM停用他的帳號，並將faker復原至之前的版本。</p> <h4><strong><a href="https://thehackernews.com/2022/01/abcbot-botnet-linked-to-operators-of.html"><span style="color: rgb(0, 0, 0);">殭屍網路Abcbot與挖礦惡意軟體Xanthe的攻擊者身分，疑似為同一組駭客</span></a></strong></h4> <p>資安業者Cado Security指出，他們比對殭屍網路Abcbot與挖礦惡意軟體Xanthe特徵，發現背後應為相同的駭客組織發起，且該組織意圖將原本在受害主機的挖礦行為，變成殭屍網路大軍，以進行如分散式阻斷服務（DDoS）等攻擊行動。</p> <h4><a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/"><span style="color: rgb(0, 0, 0);"><strong>諾頓、Avira防毒在用戶電腦安裝挖礦軟體，且疑似預設啟用惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/avira-vt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/avira-vt.png" style="width: 300px; float: right;" /></a>NortonLifeLock自2021年7月開始，為旗下的Norton 360防毒軟體，提供挖礦服務Norton Crypto，並宣稱在用戶開啟相關功能的情況下才會執行。但近期有部分用戶發現，這項功能約自1月4日開始，改為預設開啟，且可能還關不掉，甚至有些用戶依照廠商的方法停用挖礦功能，竟導致電腦當機。此外，去年被併購的Avira，近期防毒軟體也被發現加入挖礦的模組，但是否也出現類似情形有待觀察。資安專家Chris Vickery指控，NortonLifeLock為獲利犧牲用戶，且挖礦加速全球的能源消耗，此舉令人反感。</p> <h4><a href="https://apnews.com/article/technology-business-poland-hacking-warsaw-8b52e16d1af60f9c324cf9f5099b687e"><span style="color: rgb(0, 0, 0);"><strong>波蘭執政黨坦承購買間諜軟體Pegasus，否認用於監控政敵</strong></span></a></h4> <p>加拿大多倫多大學公民實驗室（Citizen Lab）與美聯社（AP）聯手，於去年12月揭露參議員Krzysztof Brejza等多名波蘭反對黨人士，手機遭到間諜軟體Pegasus監控，疑似是執政黨所為，消息傳出遭到當局否認。直到最近，該國執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski，在接受訪問中坦承，他們確實有採購Pegasus，並認為若是國安組織沒有這種技術「很可悲」，但對於購買該軟體的用途仍交待不清，僅否認是用於監控反對黨。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/oops-cyberspies-infect-themselves-with-their-own-malware/"><span style="color: rgb(0, 0, 0);"><strong>印度駭客組織Patchwork冒充巴基斯坦政府，發動RAT木馬攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/PatchWork testing RAT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PatchWork%20testing%20RAT.png" style="width: 250px; float: right;" /></a>資安業者Malwarebytes指出，他們發現印度駭客組織Patchwork（亦稱Dropping Elephant、TG-4410、APT-C-09等）於2021年11月下旬至12月上旬，以巴基斯坦政府的名義發動網釣攻擊，進而在受害組織植入RAT木馬程式Badnews（Ragnatela）。受害組織包含了巴基斯坦國防部、伊斯蘭堡國防大學、化學暨生物科學國際中心（ICCBS）等。比較特別的是，在研究人員調查的過程裡，發現駭客不慎用上述木馬程式感染了自己的開發環境，進而得知攻擊者採用虛擬機器（VM）和VPN服務，來隱藏IP位址。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/trojanized-dnspy-app-drops-malware-cocktail-on-researchers-devs/"><span style="color: rgb(0, 0, 0);"><strong>.NET逆向工程工具dnSpy出現惡意版本，並透過Google搜尋廣告散布</strong></span></a></h4> <p>資安研究團隊MalwareHunterTeam、研究人員0day Enthusiast近期發現，有不明人士竄改.NET逆向工程工具dnSpy，並透過GitHub散布，並成立專屬的下載網站。為了吸引開發人員下載，發布惡意版本dnSpy的人士還對於Google、Bing、Yahoo等多個搜尋引擎進行最佳化（SEO），並購買搜尋引擎廣告。MalwareHunterTeam指出，一旦開發人員執行惡意的dnSpy，該軟體會停用Microsoft Defender防毒軟體、使用者帳號控制（UAC），然後藉由BITS系統管理公用程式（bitsadmin.exe），下載多種惡意酬載並執行。</p> <h4><a href="https://www.bangkokpost.com/thailand/general/2245063/huge-patient-data-leak-from-siriraj-hospital"><span style="color: rgb(0, 0, 0);"><strong>泰國大型醫院Siriraj傳出資料外洩，近4千萬筆病人記錄流入地下論壇</strong></span></a></h4> <p>根據曼谷郵報（Bangkok Post）的報導，泰國最大的Siriraj醫院，驚傳有3,890萬筆病人記錄在網路論壇上求售，想要賣出資料的人士宣稱，這些資料包含姓名、地址、身分證資料、電話號碼、生日等資訊，他只打算與其中1名賣家交易。但這已不是當地醫院資料外洩的首例，2021年10月，有人在網路論壇公布來自11家泰國醫院的資料，影響約10萬人。</p> <h4><a href="https://portswigger.net/daily-swig/city-of-grass-valley-california-suffers-data-breach-employee-and-citizen-information-exposed"><span style="color: rgb(0, 0, 0);"><strong>美國加州草谷市遭駭，市府員工與市民資料外洩</strong></span></a></h4> <p>美國加州草谷市政府於1月7日發布新聞稿，表明他們於2021年4月13日至7月1日，發現未經授權的人士取得部分電腦的存取權限，並將資料傳輸到外部。經過調查後，該市確認市政府的員工、前員工、配偶，以及供應商，或是提供警方資料、申請貸款的市民，部分個資遭到外洩，草谷市將通知這些受到影響的人士，並提供一年的身分保護服務。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/finalsite-no-school-data-stolen-in-ransomware-attack-behind-site-outages/"><span style="color: rgb(0, 0, 0);"><strong>學校網站代管業者FinalSite勒索軟體事故調查結果出爐，宣稱尚未出現客戶資料外洩情事</strong></span></a></h4> <p>學校網站代管業者FinalSite於1月4日遭到勒索軟體攻擊，迫使該公司關閉IT系統，約有5千個學校網站隨之遭到關閉。事隔一週該公司公布初步的調查結果，表明他們已經掌握攻擊者的身分與入侵管道，並確信用戶的資料沒有遭到異常存取，不過，該公司員工的資料是否遭到洩露，FinalSite沒有進一步說明。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://claroty.com/2022/01/10/blog-research-exploiting-url-parsing-confusion/"><span style="color: rgb(0, 0, 0);">數個URL解析器程式庫存在漏洞，波及JavaScript、PHP、Python等程式語言開發的網站應用程式</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/URLparsing3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/URLparsing3.png" style="width: 300px; float: right;" /></a>網路安全業者Claroty和Synk聯手，針對網站應用程式會使用的16款URL解析程式庫進行分析，結果發現，這些程式庫可能存在5種不一致的情況，這些情況包含了格式混淆、斜線混淆、反斜線混淆、URL解碼資料混淆，以及格式混亂等，可被攻擊者用於發動阻斷服務（DoS）攻擊、資料外洩，甚至在部分情形能用於發動RCE攻擊。研究人員總共發現了8個漏洞，開發者獲報後已完成相關修補工作。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017e34185d610421"><span style="color: rgb(0, 0, 0);">針對網路下單安全，證交所邀及券商研議</span></a></strong></h4> <p>2021年11月下旬多家證券遭到攻擊，傳出不明人士利用客戶的網路帳號下單。對此臺灣證券交易所於2022年1月7日，召集所有提供網路下單的券商，商討強化資安的做法，他們要求尚未提供雙因素驗證（2FA）身分驗證機制的業者，在建置相關設施的過程中，仍要透過其他方式來加強帳號安全，例如，強制要求用戶更換密碼，或是透過人工方式提供交易密碼等。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/11 14:04作者周峻佑https://www.ithome.com.tw/news/148827
微軟Azure for Operators已整合AT&T 5G網路平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在收購AT&T 5G核心網路平臺及部門5個月後，<a href="https://azure.microsoft.com/en-us/blog/improving-the-cloud-for-telcos-updates-of-microsoft-s-acquisition-of-att-s-network-cloud/" target="_blank">微軟本周宣布</a>，Network Cloud平臺及其管理功能已整合到微軟電信業混合雲方案Azure for Operators中。</p> <p><a href="https://www.ithome.com.tw/news/145377" target="_blank">去年7月微軟收購AT&T電信級的網路雲端（Network Platform）平臺</a>，整合於其電信混合雲方案Azure for Operators，同時微軟也承擔起維運AT&T 5G網路的責任。本周微軟說明整合進度、預期效益，旨在向電信業喊話招手。</p> <p>這樁收購最核心是AT&T把它的5G核心網路運行底層平臺──Network Cloud賣給微軟。Network Cloud源自AT&T 2013年的軟體定義網路(Software Defined Networks, SDN)及虛擬化計畫，預計2020年前75%網路轉由虛擬化技術運行。微軟收購時，Network Cloud已發展到2.7版。</p> <p>微軟指出雙方收購案是行動核心網路的整合，而非只是行銷面的合作。Azure for Operators混合雲技術現在已能支援AT&T 網路上15家不同廠商，提供超過60個虛擬化網路功能（virtual network function，VNF）及雲端原生網路功能（cloud-native network function，CNF）虛擬網路。</p> <p class="rtecenter"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/d6f2d867-07b3-4f08-94bf-04e32abac5cf.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>此外，原本AT&T Network Cloud可在單一基礎架構供不同家營運商使用，並提供安全及功能更新、管理設定，又允許發展特色服務。收購後，這些功能也整合到微軟Azure Arc混合雲管理平臺，最後透過Azure for Operators平臺提供電信業混合雲，包括AT&T。</p> <p>對AT&T來說，Azure for Operators可以跑在AT&T資料中心，或是Azure公有雲上。而在微軟接手混合雲底層維運後，AT&T仍能如以往提供5G網路服務及執行應用面管理，像是管理網路應用(VNF、CNF)及企業與消費5G服務的組態。此外，微軟強調所有客戶資料都是由AT&T管理、存取，微軟是看不到的。</p> <p>微軟希望以AT&T為例說明，採用Azure for Operators混合雲對電信商具有網路彈性、成本、服務擴充及管理效益。</p> <p>除了AT&T的Network Cloud外，微軟之前也先後收購了雲端原生通訊軟體商Metaswitch Networks及SDN、NFV廠商Affirmed Networks，微軟表示這些也都將整合到Azure for Operators中。</p> </div></div></div>
2022/1/11 15:38作者林妍溱https://www.ithome.com.tw/news/148828
過去一季有22%遭受DDoS攻擊的受害者曾被駭客勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路及阻斷服務攻擊保護服務的Cloudflare，<a href="https://blog.cloudflare.com/ddos-attack-trends-for-2021-q4/" target="_blank">本周公布了去年第四季的分散式阻斷服務攻擊（DDoS Attack）趨勢</a>，指出該季的DDoS勒索攻擊比前一年增加了29%，且有22%遭到DDoS攻擊的受害者曾被駭客勒索，此外，中國已連續4年成為DDoS最大的攻擊流量來源國。</p> <p>Cloudflare是在這兩年開始詢問DDoS受害者是否曾收到駭客的勒索訊息，駭客在攻擊的當下會要求受害者支付贖金，以作為停止攻擊的交換條件，在去年第四季時，有22%的受害者回答曾收到過這類的勒索訊息，比前一年同期增加了29%，比去年第三季增加了175%。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/01/image9.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.cloudflare.com/content/images/2022/01/image9.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Cloudflare</span></p> <p>若是只看去年12月的DDoS攻擊行動，那麼更有高達32%的受害者收到勒索訊息。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/01/unnamed.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.cloudflare.com/content/images/2022/01/unnamed.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Cloudflare</span></p> <p>另一方面，在鎖定應用層的DDoS攻擊行動中，前三大受害領域依序是製造業、遊戲/賭博產業，以及商業服務產業。而攻擊流量的來源國則由中國蟬聯冠軍，這已是中國連續4年成為攻擊流量的最大來源，其它位於排行榜內前五名的國家依序是美國、巴西、印度與印尼。至於應用層DDoS攻擊的前五大受害國，則是美國、加拿大、德國、法國與烏克蘭。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/01/image12.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.cloudflare.com/content/images/2022/01/image12.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Cloudflare</span></p> </div></div></div>
2022/1/11 15:45作者陳曉莉https://www.ithome.com.tw/news/148830
Panasonic規畫提供員工周休三日方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www3.nhk.or.jp/news/html/20220106/k10013418441000.html" target="_blank">日媒NHK</a>、<a href="https://jp.reuters.com/article/idJP2022010601001369" target="_blank">路透社</a>報導，日本家電大廠Panasonic近日宣布將計畫提供員工自選周休三日的方案。</p> <p>Panasonic表示正在評估選擇性的周休三日方案，允許員工根據需求一周工作四天，以實現多樣化的生活方式，讓員工可利用多一天的休假選擇兼職、自我學習。</p> <p>Panasonic社長楠見雄規上周在線上簡報中透露這項計畫。他指出，公司員工個性和能力多樣化，公司有責任確保工作與生活的平衡。</p> <p>不過這項方案的實行時間、涵蓋人數等細節尚未確定，Panasonic將與工會商議這項方案。Panasonic日本國內員工約有9萬人。</p> <p>去年新冠肺炎疫情中，日本企業開始實施周休三日以上的出勤制度，而日本政府也鼓勵企業導入自選式周休三日方案。<a href="https://www.theguardian.com/technology/2019/nov/04/microsoft-japan-four-day-work-week-productivity" target="_blank">微軟日本分公司在 2019年即已測試周休三日</a>，結果顯示員工不但滿意度更高，生產力也可提升40%。</p> <p>周休三日在日本製造業大廠中是很大膽的一步。不過日本媒體報導，Panasonic創始人松下幸之助在半世紀前也率其他日本企業之先，引入周休二日的制度。</p> </div></div></div>
2022/1/11 16:02作者林妍溱https://www.ithome.com.tw/news/148831
AWS推採用AMD EPYC處理器的HPC專用執行個體Hpc6a
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應日益增加的雲端HPC（High Performance Computing）需求，AWS發布了專用於高效能運算的EC2執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-hpc6a-instance-optimized-for-high-performance-computing/">Hpc6a</a>，具有96個第三代AMD EPYC處理器核心，以及384 GB記憶體，並且針對HPC負載進行最佳化，提供專用配置。目前Hpc6a已經先在美東俄亥俄地區，和美西GovCloud上市。</p> <p>AWS新推出的Hpc6a執行個體，除了針對HPC效能進行最佳化之外，成本也較基於x86的可比較執行個體更為便宜，用戶甚至可獲得高達65％的性價比。Hpc6a擁有96個第三代AMD EPYC處理器核心，與384 GiB的記憶體，EFA提供100 Gbps的網路。</p> <p>針對HPC工作負載，Hpc6a啟動可預測執行緒效能和高效能調度功能，並且停用同時多執行緒（Simultaneous multithreading）。AWS提到，由於Hpc6a底層使用AWS Nitro系統，虛擬管理程式不會保留任何核心，因此用戶程式可以使用所有的核心。</p> <p>科學家藉由HPC來解決複雜的計算問題，像是流體力學、天氣預報和基因組學等，HPC應用通常需要高記憶體頻寬、低延遲和高網路頻寬，來連接和平行存取檔案系統。目前已經有許多用戶在AWS上執行HPC工作負載，包括Descartes Labs甚至在AWS上建立全球前500超級電腦。</p> <p>在雲端中執行HPC工作負載，能夠透過擴展來平行化任務執行，大幅提升研究速度，以縮短獲得結果的時間，AWS提到，這樣的要求在大多數的本地環境中都難以實現，而在AWS上，用戶能夠按需取用CPU、GPU和FPGA執行個體，和高吞吐量執行個體網路介面EFA（Elastic Fabric Adapter），還有開源叢集管理工具AWS ParallelCluster，來降低部署和管理HPC叢集的成本。</p> </div></div></div>
2022/1/11 16:05作者李建興https://www.ithome.com.tw/news/148829
歐盟要求Europol刪除與犯罪無關的個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edps.europa.eu/system/files/2022-01/22-01-10-edps-decision-europol_en.pdf" target="_blank">歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）近日向歐洲刑警組織（Europol）祭出一紙命令</a>，要求Europol刪除與犯罪活動無關的個人資料。</p> <p>EDPS指出，Europol蒐集了來自歐盟各國執法機關所提供的大量資料集，然而，《歐洲刑警組織條例》（Europol Regulation）規定Europol只能處理那些與犯罪活動有明顯關聯的個人資料，應避免無關個人資料的曝露，因而必須最小化Europol資料庫的相關風險。</p> <p>然而，由於資料量過於龐大，使得Europol無法立即區分是否牽涉到犯罪活動的個人，而使得這些資料經年累月地存在於Europol的資料庫中，這讓EDPS決定挺身而出，要求只要是超過6個月且未能歸至犯罪類別的個人資料，就必須刪除。</p> <p>因此，自今年的1月4日起，只要是由歐盟會員國提供給Europol的個人資料，都必須在6個月內分類，期限內無法判斷為與犯罪活動相關的個人資料，都必須刪除。對於舊有的資料集，EDPS則要求Europol必須在一年內完成分類。</p> </div></div></div>
2022/1/11 13:02作者陳曉莉https://www.ithome.com.tw/news/148826
歐洲電信業者聯手反對蘋果的Private Relay服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.telegraph.co.uk/business/2022/01/09/apple-fire-iphone-encryption-tech/" target="_blank">英國《每日電訊報》（The Telegraph）本周報導</a>，歐洲四大電信業者正在督促歐盟封鎖<a href="https://www.ithome.com.tw/news/144890" target="_blank">蘋果於去年6月發表的Private Relay加密連線服務</a>，宣稱該服務將侵犯歐洲的數位主權（Digital Sovereignty）。</p> <p><a href="https://support.apple.com/en-us/HT212614" target="_blank">Private Relay</a>為蘋果iCloud Plus付費訂閱雲端服務中的功能之一，當使用者啟用Private Relay時，使用者透過Safari所傳送的資料都會先傳至由蘋果設立的第一個中繼站，它會加密使用者所要造訪的DNS，另有一個由第三方內容供應商所設立的第二個中繼站，它會產生一個暫時的使用者IP位址，再解密DNS並將使用者傳送至所要造訪的網站。</p> <p>蘋果曾對外解釋這並非VPN服務，因為VPN通常只有一個中繼站，而Private Relay則有兩個，更能保障使用者的隱私。</p> <p>杯葛Private Relay服務的四大電信業者，分別是Vodafone、Telefonica、Orange與T-Mobile，其實它們是在去年8月就反對蘋果於歐盟推出Private Relay，所持理由為Private Relay將禁止其它網路或伺服器存取網路資料及元資料，包括負責提供連線的電信業者，將破壞歐盟的數位主權。</p> <p>此外，這四大業者也抱怨Private Relay將影響電信業者有效管理通訊網路的能力，因為無法存取資料將破壞它們用來保護使用者的服務。</p> <p>根據《每日電訊報》的報導，這四大業者希望歐盟執委會（European Commission，EC）加速封鎖Private Relay的腳步，因為它們等不及最快明年才會上線的《數位主權》法令。</p> <p>無獨有偶地，<a href="https://tmo.report/2022/01/t-mobile-blocking-icloud-private-relay-for-some-but-its-not-what-you-think/" target="_blank">美國的T-Mobile也在近日封鎖了Private Relay</a>，原因是Private Relay與T-Mobile的內容過濾服務Web Guard相衝突，因而規定只要啟用Web Guard的用戶就無法使用Private Relay，比較像是技術上的問題而與適法性無關。</p> </div></div></div>
2022/1/11 12:10作者陳曉莉https://www.ithome.com.tw/news/148823
印度駭客中了自己放的RAT致內部系統曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/patchwork-apt-caught-in-its-own-web/" target="_blank">安全廠商Malwarebytes發現</a>印度一個駭客組織Patchwork近日被自己開發的遠端存取木馬(RAT)程式感染，使安全研究人員得以一窺它的基礎架構。</p> <p>2015年底被發現的Patchwork是印度國家駭客組織，經常以使用武裝化的RTF檔案發送精準釣魚信件攻擊巴基斯坦。去年底，Patchwork又透過冒充巴基斯坦政府文件發送釣魚信件，企圖植入RAT程式。Malwarebytes以這個Patchwork組織使用的專案名稱，將該RAT命名為Ragnatela（義大利文中的「蜘蛛網」）。</p> <p>在這波攻擊中，當用戶開啟冒充來自巴國政府單位的惡意RTF檔案後，即遭開採微軟方程式編輯器(Microsoft Equation Editor)中的漏洞，植入RAT程式。它會被以OLE物件形式儲存在RTF文件中。</p> <p>Ragnatela屬於 BADNEWS 木馬程式的變種。在植入受害者電腦後，它會與外部C&C伺服器建立連線。研究人員分析它具有執行遠端指令、擷取螢幕擷圖、紀錄鍵擊、蒐集受害者機器上所有檔案清單、在特定時間執行受害電腦上的應用程式、上傳檔案或下載惡意程式等功能。</p> <p>這波攻擊顯然還是以巴基斯坦的研究機構及大學為目標。不過安全廠商也發現Patchwork自己也感染了Ragnatela。透過這隻RAT，研究人員蒐集到這組織使用的基礎架構，包括跑Virtual Box、VMware作為Web開發及測試環境，其主機有英文及印度文雙鍵盤配置、以及尚未更新Java程式等。此外他們使用VPN Secure及CyberGhost來隱藏其IP位址，並透過VPN登入以RAT竊得的受害者電子郵件及其他帳號。</p> <p>其他受害者包括巴國國防部、生物科學研究機構、以及數家大學的化學及生物科學、藥學系所等。</p> </div></div></div>
2022/1/11 12:49作者林妍溱https://www.ithome.com.tw/news/148825
IT人才月報第23期：iKala執行長分享10年企業經營心法，不只要靠人才形塑文化，更要以OKR框架強化溝通與策略執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1203~1206)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iKala </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業文化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才招募 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">iKala執行長分享企業經營心法，強調要以人才形塑文化，再善用目標成果框架來領導企業</span></strong></p> <p>雲端供應商iKala近期啟動徵才，這家已超過160人的SaaS服務公司，明年將一口氣擴張到200～250人，是國內SaaS服務中少見的企業規模。iKala共同創辦人暨執行長程世嘉，也在徵才說明會上分享10年iKala經營心法。</p> <p>「彼得杜拉克曾經說過一句話，文化會把策略當早餐吃掉。」程世嘉引述這位活躍於19世紀的管理大師名言指出，無論一家企業定下多好的經營策略，若團隊沒能夠與企業文化融合，去執行這些策略，那策略的成效就會大打折扣，凸現出文化之於企業的重要性。他也進一步說明，任何一個組織都有他的文化，「文化就是一個群體展現出來的慣性與行為，」雖然看不見，但文化就像影子一樣，會如影隨形的跟在企業身後，跟著群體的行為而改變，造就了企業文化獨一無二且不易改變的特性。</p> <p>因此，談要如何培養文化，程世嘉點出：「文化源自於人才。」尤其在資訊時代，已不同於工業時代只將人力視為勞動力，更重視人才對公司帶來的影響，「每一個人進來或離開一家公司，都會為整個組織帶來化學變化。」在這個宗旨下，iKala的人才招募哲學是，人才除了得擁有專業，更要符合自家企業的文化，「因為一家成功的公司，不是只靠單打獨鬥建立起來。」</p> <p>他更比喻，招聘人才的重要性，就像是工程師不陌生的「技術債」概念，當你尋求短期解決方案來開發程式時，未來就有很大的機會，必須將原有的程式重構汰換；人才也是如此，在缺工時不設招聘門濫用人力，企業主就會欠下人才債。</p> <p>程世嘉也提出iKala的正在努力形塑的企業文化特質，同時也是看重的人才特質。其一，是自由與責任，比如疫情期間iKala雖然改採遠距工作，但員工的工作成效並無受到遠距工作影響，甚至在9月疫情較趨緩之後，iKala給予員工選擇工作型態的自由，大約有一半員工維持在家工作，但也同時藉由目標導向的責任制度，要求員工應達成的階段性目標，「這就是所謂自由與責任的真諦，也是企業運作的理想狀態。」</p> <p>其二，則是成長心態，程世嘉解釋：「遇到困難想著要克服，而不是先閃避，這就是有沒有成長心態的差別。」這也意味著，人才必須具備企圖心跟學習能力，願意透過學習來成長，而不是只固守現在的能力而原地踏步。其他iKala核心聚焦的價值還包括，顧客至上、擁抱真相、追求公開透明與尊重多元等。</p> <p>除了建立企業文化，iKala也善用目標與關鍵成果OKR（Objectives and Key Results）的框架，來進行組織管理與運作，設定包括個人創新、部門目標、年度目標到企業願景，讓組織能夠有效進行討論、溝通，並建立共識，來達到對齊目標、上下一致的成效，且從策略訂定到執行，也有一套更完整的框架來遵循。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-18%20%E4%B8%8B%E5%8D%882_20_43%E6%8B%B7%E8%B2%9D.png" style="width: 800px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-18%20%E4%B8%8B%E5%8D%882_20_59(1).png" style="width: 800px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 1111 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2022潛力職業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工程師 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">1111盤點2022年10大潛力職業，資安、AI、AR/VR工程師、數據分析師都上榜</span></strong></p> <p>1111人力銀行近期盤點2022年十大前景看好的職務，排行第一就是資安工程師，根據1111的資料，資安工程師入行起薪約4.6萬元，平均起薪比大學畢業生平均起薪3.7萬，高出24%，具有實戰經驗與競賽佳績的求職者，薪資水平還能再提升；第二即為數據分析師，1111認為，疫情下電商大力擁抱Big Data、AI，期待從數據中挖掘出商機，因而催化了對數據分析師的需求，新鮮人起薪也達到4萬元；第三則為數位行銷專家，同樣受到疫情催化影響，使企業更重視OMO的顧客樣態，對於數位行銷專才的需求也為之提升，入行起薪甚至可達4～4.5萬元；第四則為AI工程師，根據國發會的人才調查，未來三年AI應用服務產業對人才的需求最為迫切，工程師年薪約150～200萬元。</p> <p>擠進第9、第10名的職缺則為AR/VR工程師與ESG永續管理師。前者跟上元宇宙浪潮，AR及VR將成為體驗元宇宙的載具，目前活動、展覽、娛樂等產業，都已經開始應用沉浸式體驗，進一步推升AR/VR工程師需求熱度，年薪可達80萬～120萬。另外，跟上企業永續發展浪潮，推升了大型企業對於ESG永續管理師的需求，1111分析，ESG不只是品牌管理的一環，更能成為企業的競爭核心，握有證照的永續管理師入行起薪至少5萬元起跳。（<a href="https://www.1111job.com.tw/news.asp?ano=4983">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2022人才趨勢預測 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">工作市場大洗牌時代來臨！Linkedin公布2022年5大人才預測</span></strong></p> <p>後疫情時代迎來了工作市場的大洗牌時代（<a href="https://www.linkedin.com/posts/ryanroslansky_greatreshuffle-newworldofwork-activity-6812805059101913088-Qcp4/">the Great Reshuffle</a>），員工與雇主紛紛重新思考如何工作、在哪裡工作以及為何工作。在這個大趨勢下，Linkedin發布了5大人才預測，說明人才如何因應大環境的改變而調整自身想法。其一，彈性的工作環境驅動了人才的離開與獲取，81%管理階層正在改變策略，來提供更彈性的工作環境給員工，同時，87%的員工偏好半數以上的工作時間採取遠距工作模式，顯示工作的彈性已經成為吸引人才的重要的因素；其二，聘僱已不再過度看重文憑與學位，從2019年開始，缺乏傳統4年大學學位條件的管理人員，受聘人數已提升了20%。</p> <p>其三，內部流動計畫正在復甦。全球經濟正在經歷劇變，且人力市場緊縮的狀態下，對現有員工的技能提升、再培訓與投資，變得前所未有的重要；其四，工作場所文化將以多元性、公平性與包容性（Diversity, Equity, and Inclusion，DEI）為核心，根據Linkedin的調查更顯示，78% Linkedin求職者期待在應聘企業的Linkedin頁面上，看到DEI的相關資訊，顯示DEI即將也應該成為C Level管理階層形塑公司文化的優先級；最後一項，關懷將成為決策制定的重要考量，根據Glint一份調查數據顯示，感到關懷的員工更容易回報他們在工作時感到快樂，是其他員工的3.2倍，他們也更容易向他人推薦自家公司的工作，是其他員工的3.7倍。（<a href="https://www.linkedin.com/business/talent/blog/talent-strategy/2022-talent-predictions">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 波士頓諮詢公司 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大離職時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">大離職時代來了，全球近萬名數位工作者大調查，超過7成未來3年要換工作</span></strong></p> <p>波士頓諮詢公司（Boston Consulting Group，BCG）調查全球9,900名數位工作者，對於遠距工作、工作轉變、理想的工作環境的想法。這份調查發現，73%受訪者期待能夠在未來2～3年轉換職位，且有40%正在找尋工作，使他們成為「大離職（great resignation）」時代的先鋒，而他們選擇離職的主因，是想找到更好的職涯發展機會或新挑戰，另一個主因，則是在從事現在的工作時，感覺沒有完全發揮自身的價值，或是工作與生活的平衡拿捏不恰當。</p> <p>而且，數位工作者希望能保有工作時間和地點的彈性，有大約95%的受訪者希望一周至少能遠距工作一天，而大多數人想要每週在家工作2～3天。也因為遠距工作的特性，數位工作者也是全球公民，有68%的人願意為不同國家的公司遠距工作，已經高於55%願意出國工作的人，而且，他們的首選的國家是美國，其次是英國，再來是是澳洲、德國，中國與新加坡也榜上有名。（<a href="https://www.bcg.com/publications/2021/what-digital-talent-expect-from-a-job">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89(3).png" style="width: 700px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89%20(1).png" style="width: 800px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT人才缺口 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工技能培訓 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紅帽全球IT領導者報告指出，企業視人才缺口為數位轉型首要挑戰，且更重視人才技能培訓</span></strong></p> <p>紅帽發布2022年全球IT領導者技術目標報告，點出在疫情之下，企業加重數位轉型的投資，但是26%企業將人才缺口視為數位轉型的首要挑戰，從去年第二大挑戰上升到第一；而將資源整合視為阻礙的企業比例減少，從27%下降為23%，成為今年第二大挑戰；第三挑戰則是與去年相同，是必須因應不斷變化的IT管理能力；同時，今年也有另一個並列第三的挑戰，是因企業對變革有所抵觸，或在變革時仍選擇依循組織慣性，將其視為挑戰的企業從19%增加為22%。另外，在IT技術和解決方案外的投資經費優先項目中，人才培訓在今年大幅成長，技術和技能培養、人才和流程技能培訓各自成長了4%，分別來到了37%和32%，顯示企業將人才培訓與技能視為優先考量。（<a href="https://tracks.redhat.com/c/12304-32?x=E2VUlm" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-10%20%E4%B8%8B%E5%8D%883_45_14.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合辦公 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無縫工作體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Dell推出混合辦公概念式解決方案，要透過軟硬整合技術打造無縫工作體驗</span></strong></p> <p>疫情帶動混合工作模式興起後，員工工作可不受限地點限制，發揮最大效率。不過，在移動到不同的工作環境工作時，可能發生電腦設定跑掉、開會時聽不到聲音等問題，為了讓員工個人裝置能在不同地點之間無縫轉換，Dell展示了三項概念性解決方案。比如一項名為Concept Flow的方案，結合裝置、業界標準的無線充電技術、智慧型軟體應用以及Wi-Fi 6E對接（docking）技術，建構出無縫的用戶體驗，讓員工走進一個智慧化工作環境，在還沒就座之前，筆電即可自動連接到螢幕、滑鼠、鍵盤以及受信任的無線網路，以便能無痛銜接至之前工作中斷之處；甚至在放下筆電時，電腦還能自動無線充電；又或是在移動到下一個地點時，能透過近接感測功能自動斷開所有連線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80_Concept%20Flow%20%E7%87%9F%E9%80%A0%E6%99%BA%E6%85%A7%E5%8C%96%E5%B7%A5%E4%BD%9C%E7%92%B0%E5%A2%83%EF%BC%8C%E5%9C%A8%E9%82%84%E6%B2%92%E5%B0%B1%E5%BA%A7%E4%B9%8B%E5%89%8D%EF%BC%8C%E8%A8%AD%E5%82%99%E5%8D%B3%E8%87%AA%E5%8B%95%E9%80%A3%E6%8E%A5%EF%BC%8C%E8%AE%93%E6%82%A8%E7%84%A1%E7%97%9B%E9%8A%9C%E6%8E%A5%E8%87%B3%E4%B9%8B%E5%89%8D%E5%B7%A5%E4%BD%9C%E4%B8%AD%E6%96%B7%E4%B9%8B%E8%99%95.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技巨頭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI人力資源決策 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Meta與IBM等業者成立資料聯盟，要避免AI招聘系統產生偏見</span></strong></p> <p><a href="https://dataandtrustalliance.org/news">包括Meta與IBM等十多家業者，近期宣布成立資料暨信任聯盟（Data & Trust Alliance）</a>，將共同打造一致的標準，來減輕人力資源與勞工決策中存在的資料及演算法偏見，包括招聘、薪資及員工發展等。這是因爲，這些成員企業已經開始利用資料、演算法與人工智慧來尋找人才，但同時，他們認為利用相關技術的最大風險，是可能隱藏著不公平的偏見。</p> <p>因此，Data & Trust Alliance建立了演算法偏差保護措施（Algorithmic Bias Safeguards），首個計畫就是探討如何維持演算法的安全性，以減少勞動力決策的偏見，要讓企業能根據相關標準，來評估招聘服務的供應商，未來也要將該保護措施，整合到企業的程序中。目前Algorithmic Bias Safeguards設計了13種類別的55個問題，以作為評估供應商的標準，涵蓋訓練資料、模型設計、偏差測試方法、偏差矯正、透明化與問責、AI倫理與多元性承諾等。（<a href="https://www.ithome.com.tw/news/148279">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IT人才動態 </span></strong></span></strong></p> <p>1.<a href="https://www.ithome.com.tw/news/148585" target="_blank">簡立峰鼓勵年輕人：只要轉換語言與思維就能走向國際</a></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／iKala、Boston Consulting Group、紅帽、Dell</p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/11 11:07作者翁芊儒https://www.ithome.com.tw/news/148806
要求使用者付費！熱門函式庫作者搞破壞殃及數千專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/" target="_blank">Bleeping Computer報導</a>，NPM (Node Package Manager)線上套件庫兩個受歡迎的函式庫遭作者刻意破壞，使數千個使用這些函式庫的應用程式無法使用或出現亂碼。</p> <p>兩個出問題的函式庫為colors及faker。前者可為node.js console定義文字色彩，後者則可用於產生測試時的大量假數據。兩者下載次數各超過2,000萬及280萬，在GitHub上分別有4,500及1,000顆星。此外與之相依的專案各有1.9萬及2,500多個。這兩個函式庫都是由Marak Squires（代號Marak）的開發人員開發維護。</p> <p>但本周使用兩個函式庫的應用程式或系統出現怪事。例如<a href="https://github.com/aws/aws-cdk/issues/18323" target="_blank">使用faker的AWS Cloud Development Kit顯示「LIBERTY、LIBERTY、LIBERTY」的文</a>字，並有一堆亂碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-npm%20error.png" style="width: 400px;" /></p> <p>原本媒體以為是駭客攻擊事件，但追查發現，「兇手」正是函式庫作者Marak本人。一周前他在 colors.js v1.4.44-liberty-2中，在commit的程式碼加入了一無窮迴圈，這個迴圈在啟動程式碼即立即執行，導致使用該函式庫的Node.js伺服器出現阻斷服務(Denial of Service, DoS)情形、或是在使用color函式庫的專案中顯示無意義non-ASCII亂碼（稱為zalgo text）。而在他更新到faker 6.6.6中，這個套件變成空的，裏面沒有原始碼。</p> <p>Marak隨後也將相關的GitHub儲存庫移除，可能導致使用它專案的數千或數萬專案人停止運作。</p> <p>雖然乍看之下很惡意，但Marak<a href="https://web.archive.org/web/20210628030444/https://marak.com/blog/2021-04-25-monetizing-open-source-is-problematic" target="_blank">在去年的一篇部落格談及以開源專案為生的困境</a>。他開發faker已經超過10年，大部份財星500大企業都有使用。但這個大型專案維護很花力氣，但是開發團隊僅獲得開源社群及GitHub贊助商支持，以獲得一些捐贈費用，沒有任何企業付費。他指出，和大多數人一樣，他也有家要養，有帳單要付。他決定要針對faker專案收費以支持未來開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-npm%20marak-1.png" style="width: 600px;" /></p> <p><a href="https://web.archive.org/web/20210704022108/https://github.com/Marak/faker.js/issues/1046" target="_blank">這名開發人員本周表示</a>，不願再無償維護這些函式庫，服務財星500大企業或小型企業。他要求使用者付每年6位數的合約，否則就把這些專案分叉出去請別人來開發。底下留言者也有人表示支持與理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-npm%20marak-2.png" style="width: 600px;" /></p> <p><a href="https://snyk.io/blog/open-source-npm-packages-colors-faker/" target="_blank">媒體snyk報導</a>，Marak另外還參與了約170項NPM專案套件，因此類似的問題可能還會持續發生。</p> </div></div></div>
2022/1/11 11:42作者林妍溱https://www.ithome.com.tw/news/148822
Take-Two以127億美元併購Zynga
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.take2games.com/news-releases/news-release-details/take-two-and-zynga-combine-bringing-together-best-class" target="_blank">美國兩大遊戲業者Take-Two與Zynga在周一（1/10）宣布</a>，雙方已簽署併購協議，將由Take-Two以每股9.86美元的價格買下Zynga，其中的3.5美元以現金支付與6.36美元以Take-Two的股票支付，交易規模達127億美元。而上周五收盤價只有6美元的Zynga，也在此一消息的激勵下，周一股價大漲40.67%，以8.44美元作收。</p> <p>Take-Two成立於1993年，是歐美地區的主要遊戲業者之一，資產規模僅次於動視暴雪（Activision Blizzard）及美商藝電（Electronic Arts）。至於Zynga則成立於2007年，為知名的社交遊戲開發商，曾因身為臉書的獨家第三方平臺、並推出《FarmVille》與《CityVille》等熱門社交遊戲而聲名大噪，之後則將重心轉至行動遊戲，惟近年來聲勢日益下滑。</p> <p>Take-Two表示，此一交易結合了互動娛樂產業的兩大全球業者，雙方皆已建立並擴張了各種遊戲品牌，將使Take-Two成為該產業最大也最多元化的手機遊戲發行商之一。外界則分析，買下Zynga將有助於Take-Two加速行動遊戲的發展。</p> <p>此一交易預計於今年上半年完成，有別於Zynga的股價大漲40.67%，當天Take-Two股價下滑了13.13%，以142.99美元作收。</p> </div></div></div>
2022/1/11 12:11作者陳曉莉https://www.ithome.com.tw/news/148824
dnSpy出現惡意版，瞄準開發者及資安研究人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的dnSpy工具近日出現了惡意版，駭客於該工具中整合了加密貨幣竊取工具、遠端存取木馬及挖礦程式，明顯鎖定了開發者與資安研究人員。</p> <p>dnSpy為一針對.NET程式的逆向工程工具，開發者用它來除錯、變更或反編譯.NET程式，資安人員則用它來分析.NET惡意程式。雖然原始作者已不再維護dnSpy，但仍有其它開發者積極維護它並<a href="https://github.com/dnSpy/dnSpy" target="_blank">透過GitHub對外分享</a>。</p> <p>不過，代號為<a href="https://twitter.com/impost0r_/status/1479600560240222208" target="_blank">0day enthusiast</a>的資安研究人員與<a href="https://twitter.com/malwrhunterteam/status/1479767752885874688" target="_blank">MalwareHunterTeam</a>上周六（10/8）分別警告，駭客已透過不同的管道傳遞被植入惡意程式碼的dnSpy，包括註冊.net的dnSpy網站，甚至買下了Google搜尋的廣告版位，以用來推廣惡意的dnSpy.dll檔案，另也於GitHub上建立了兩個dnSpy專案，企圖散布已染毒的dnSpy。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-dnspy-600-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/malwrhunterteam/status/1479767752885874688" target="_blank"><span style="color:#696969;">MalwareHunterTeam</span></a></p> <p>《<a href="https://www.bleepingcomputer.com/news/security/trojanized-dnspy-app-drops-malware-cocktail-on-researchers-devs/" target="_blank">BleepingComputer</a>》則報導，此一惡意的dnSpy應用程式執行時看起來也很正常，它同樣允許使用者開啟.NET程式，執行除錯或其它合法功能，但它也會執行其它一系列的其它命令，包括關閉Microsoft Defender，關閉Disables User Account Control，以及下載其它的惡意酬載。</p> <p>目前上述已知用來散布惡意dnSpy的網站或GitHub儲存庫皆已被關閉。</p> </div></div></div>
2022/1/11 09:01作者陳曉莉https://www.ithome.com.tw/news/148813
Meta開發能邊聽邊看的語音辨識模型，語音轉文字錯誤率大幅下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布最新語音辨識技術成果，這個被稱為<a href="https://ai.facebook.com/blog/ai-that-understands-speech-by-looking-as-well-as-hearing">AV-HuBERT（Audio-Visual Hidden Unit BERT）</a>的語言模型，是一個先進的自我監督框架，可同時利用視覺和聽覺訊號來理解語音內容。研究人員提到，這是第一個利用未標記資料，連結語音和嘴唇動作建模的系統，且只要使用十分之一的訓練資料，就可有效提升語音辨識準確率。</p> <p>目前人工智慧被廣泛地用於語音辨識和理解任務，開發像是語音助理或是聽障應用，但研究人員提到，這些語言理解系統，常在最需要的情境中無法正常運作，像是多人同時說話，或是有大量背景噪音時，即便是複雜的噪音抑制技術，也難以克服沙灘上的海浪聲，和車水馬龍街頭市場的吵雜聲。</p> <p>而之所以在這些情況下，人們可以比人工智慧更好地理解語音，原因之一便是人類不只使用耳朵，還會同時用上眼睛，像是當有人的嘴巴在動，便會直覺認為聲音來自於那個人。透過這樣的啟發，Meta開發最新的對話式人工智慧系統，使系統能夠在對話中，關聯看到和聽到的內容，就像人類一樣。</p> <p>目前的語音辨識系統，都只採用音訊輸入，因此必須要猜測有幾個說話者，或者是否包含背景噪音等問題，而AV-HuBERT與人類一樣採用多模式學習，透過結合音訊和嘴唇動作提示，來感知和學習語言。研究人員使用公共LRS3和VoxCeleb錄影資料集來訓練模型，而由於多了視覺線索，因此AV-HuBERT可以有效地捕捉輸入串流的細微差別，可大幅減少用於預訓練的資料量。</p> <p>研究人員提到，一旦預訓練模型學習了結構與相關性，便只需要少量標記資料，就可以完成對特定任務或不同語言的模型訓練。實驗證實，AV-HuBERT能夠獲得高品質的語音辨識效果，當語音和背景噪音一樣大聲的情況下，目前最先進的模型AV-ASR，即便在使用433小時的標記資料訓練後，仍然有25.5％的錯誤率，但是AV-HuBERT卻只有3.2％。</p> <p>也就是說，AV-HuBERT每聽到30個單字，僅會犯1個錯誤，研究人員表示，當噪音和要轉錄的語音一樣大聲時，純音訊語音辨識模型不可能知道，哪一個才是轉錄的目標，而相比之下，AV-HuBERT只轉錄可見的說話者語音，因此WER（Word Error Rate）只有3.9％，而純音訊辨識軟體WER則高達37.3％。</p> <p>當標記資料只有30小時的低資源配置，在各種分貝的雜音、語音和音樂等噪音干擾下，AV-HuBERT與沒有預訓練的純語音辨識模型相比，絕對WER減少51.4％。而且當系統可以看到說話者，但無法聽到聲音的情況，過去最先進的模型，在經過31,000小時的轉錄視訊資料訓練後，可以在標準LRS3基準資料集上，達到33.6％的WER，而AV-HuBERT大幅超越了這項成果，僅使用30小時的標記資料，以及少一個量級的未監督影像資料，就可以達到28.6％的WER，而且在使用433小時的標記資料後，可以達到26.9％的WER，刷新目前紀錄。</p> <p>AV-HuBERT不僅能應付棘手轉錄場景的對話式人工智慧系統，由於訓練所需要的監督資料要少得多，因此還可以用來開發少資源的語言模型。另外，AV-HuBERT能夠從語音和嘴唇動作中學習，所以也可用來開發更具包容性，適用於語言障礙者的應用。</p> <p>因為AV-HuBERT能夠捕捉聲音和嘴巴的精細關聯，也有助於偵測深度偽造，和其他被操縱，用來誤導觀眾的內容，從另一方面來看，AV-HuBERT還能夠被用於在虛擬實境中的替身角色，實現逼真的嘴唇動作，提供更真實的感覺。</p> </div></div></div>
2022/1/11 09:05作者李建興https://www.ithome.com.tw/news/148817
Solo.io開源可簡化eBPF程式建置與部署的BumbleBee專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>FaaS服務新創公司Solo.io對外開源了<a href="https://www.solo.io/blog/solo-announces-bumblebee/">BumbleBee</a>專案，有效簡化Linux核心技術eBPF的工具開發工作。BumbleBee自動產生使用者空間程式樣板程式碼，協助使用OCI映像檔建構、執行和發布eBPF程式的用戶，能夠更專注於編寫eBPF程式碼。</p> <p>官方表示，Linux為目前主要作業系統之一，而由於Linux的熱門，使得核心的更新需要經過仔細且漫長的程序，避免上游的更改對下游造成廣泛且意料之外的影響。而eBPF沙盒技術則能填補Linux生態系的創新需求，eBPF是一個核心技術，可以在作業系統核心中執行沙盒程式，讓開發者快速發展網路和安全功能來強化核心，也就是說，eBPF讓用戶不需要將程式碼合併到核心中，就可以自定義核心行為。</p> <p>eBPF在雲端管理和應用網路領域，有許多使用案例，像是eBPF讓用戶執行自定義函式，來監控服務之間的網路通訊、追蹤延遲、過濾和路由資料封包到特定端點，或是收集Pod層級的網路統計資訊等，在核心層級執行這些函式，能夠應用自定義且高效能的網路邏輯，以及事件呼叫等功能。</p> <p>eBPF採用二進位位元組碼格式，以Hooks等方式附加到作業系統中，用戶通常使用高階語言，像是C來建構eBPF程式，並將其編譯成為位元組碼，作業系統載入位元組碼，並對其進行驗證，再經JIT編譯後執行。</p> <p>eBPF程式可以存取核心中的資料結構，但由於格式可能因核心版本而有所不同，這代表eBPF程式必須在執行前，在機器上先進行編譯，考量這個過程過於麻煩，為了避免這個繁瑣的過程，eBPF利用可移植通用類型描述格式BTF，期望在核心版本間通用。</p> <p>但是打包和共享這些二進位程式，並沒有被良好地處理，通常eBPF開發人員負責編寫使用者空間程式碼、eBPF程式碼，並自行決定共享和發布給其他機器和用戶的方法，通常使用者空間程式只是一些包含eBPF映射資料類型細節的樣板程式碼。</p> <p>而BumbleBee便是一個方便的工具，能夠利用提供核心可移植性的BTF類型，來自動生成所有使用者空間程式碼，Solo.io提到，他們已經與eBPF專案合作一年多，並且實作以Istio為基礎的企業網路服務網格，但因為在開發過程中所遭遇的挑戰，促使他們開發出BumbleBee。</p> <p>BumbleBee提供類似Docker的體驗，能夠自動化一些重要的步驟，Bumblebee能夠替任何eBPF應用程式進行打包、發布，並自動生成使用者空間程式。BumbleBee大幅減少建置eBPF程式的障礙，讓用戶建構更強大的網路和可觀察性安全工具。</p> </div></div></div>
2022/1/11 09:10作者李建興https://www.ithome.com.tw/news/148818
Visual Studio 2022在即時協作Live Share加入聊天功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟進一步強化Visual Studio 2022的團隊協作能力，經過評估之後，終於在其程式碼即時共享功能<a href="https://devblogs.microsoft.com/visualstudio/integrated-chat-in-live-share-for-visual-studio-2022/">Live Share，加入聊天功能</a>。Live Share是微軟在2018年Build大會時發布，最初以擴充套件的形式釋出，現在已經內建在Visual Studio中，供開發團隊能夠直覺地即時遠端協作程式碼。</p> <p>開發者可以共享會話連結，來啟動多方即時程式碼共享。該連結可以透過即時通訊軟體傳送，接收方在點擊連結後，Windows上便會啟動Visual Studio，便能直接檢視主機的程式碼，並且進行修改。</p> <p>官方提到，在當前開發團隊緊密協作方式，成員需要不斷審查甚至重寫彼此的程式碼，而Live Share作為協作工具，透過將協作轉變成直覺的工作流程，能良好地支援這樣的工作方法。而微軟透過收集使用者的使用方式，尋找Live Share在協作中還可以提供的價值，決定在Visual Studio 2022的Live Share功能中，內建聊天功能集。</p> <p>Live Share新加入的聊天功能，使得每個Live Share會話，都能擁有具有特定上下文的聊天頻道，無論是長時間的結對程式設計，還是程式碼同儕檢查，或只是短暫的互相幫忙，Live Share聊天功能都可以在會話中添加非同步上下文。</p> <p>要開始使用Live Share聊天，開發者需要使用Visual Studio 2022，在啟動Live Share會話便能看到聊天圖標，點擊圖標後便會彈出聊天視窗，供會話參與者開始文字聊天。</p> <p>微軟在2018年時發布Live Share擴充套件，並在Visual Studio 2019中直接內建該功能，從最一開始單純的程式碼協作，在逐次更新中，加入即時程式碼審查，使訪客能夠瀏覽共享對話前後程式碼的差異，且加入線上評論功能，讓參與者留下程式碼註解，供其他人查看，也加入唯讀模式，還讓訪客能夠啟動除錯會話。</p> </div></div></div>
2022/1/11 09:15作者李建興https://www.ithome.com.tw/news/148819
【資安日報】2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼傳出勒索軟體駭客Conti、中國駭客組織Aquatic Panda，都在Log4Shell漏洞公開後，鎖定尚未修補或採取緩解措施的遠距工作平臺VMware Horizon下手，近期又有類似的情況再度出現──英國衛生服務部（NHS）偵測到一起攻擊行動，駭客向尚未修補漏洞的VMware Horizon發送JDNI請求，進而植入後門，然後發動下一波攻擊，有可能藉此植入勒索軟體或是外洩資料。隨著Omicron疫情持續延燒，許多人採取遠端辦公的方式工作，這類工作平臺也成為攻擊者的首要目標之一。</p> <p>值得留意的攻擊手法，還有歹徒鎖定在網路上公開電話號碼的人士，如拍賣的賣家、找尋物品的失主，藉由Google Voice網路電話服務，來通過身分驗證，進而挾持對方的Google帳號。Google Voice是Google推出的VoIP服務，該公司在2009年併購GrandCentral後推出，並於美加地區提供免費的語音通話及簡訊服務。而這種詐騙手法值得留意的是，歹徒會說服對方這麼做是驗證他們真實賣家、而非Bot機器人，很多人可能會不小心上當。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://therecord.media/uk-nhs-threat-actor-targets-vmware-horizon-servers-using-log4shell-exploits/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Log4Shell漏洞，鎖定尚未修補的遠端工作平臺VMware Horizon下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/attacker-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attacker-diagram.png" style="width: 300px; float: right;" /></a>英國衛生服務部（NHS）提出警告，表明他們偵測到一起鎖定Log4Shell漏洞的攻擊行動，攻擊者鎖定尚未修補的遠端工作平臺VMware Horizon而來，向這些伺服器發送JDNI請求，使其通過LDAP連接到惡意網域，下載PowerShell指令碼安裝Web Shell，並注入於VM Blast Secure Gateway服務當中，以做為接下來攻擊行動的後門。NHS表示這個後門可被用於植入惡意軟體、資料外洩，甚至是進行勒索軟體攻擊。而這是繼去年12月勒索軟體駭客Conti、中國駭客組織Aquatic Panda的攻擊事故後，第3波鎖定VMware Horizon而來的Log4Shell漏洞攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-about-ongoing-google-voice-authentication-scams/"><span style="color: rgb(0, 0, 0);">在網路上公開電話號碼的人士，恐成為Google Voice身分驗證詐騙的目標</span></a></strong></h4> <p>美國聯邦調查局（FBI）提出警告，網路拍賣的賣家，或是尋找竉物的失主，可能會因為留下了電話號碼以供聯繫，而成為歹徒藉由網路電話服務Google Voice進行詐騙攻擊的目標。FBI指出，一旦歹徒詐騙成功，將會以受害者的名義建立Google帳號，或是挾持他們的Gmail，以便日後用於其他詐騙攻擊。</p> <p>這些歹徒從各類拍賣網站來找尋目標下手，並以簡訊或是電子郵件，表明他們對出售的物品感興趣，但宣稱先前曾被其他賣家騙過，要求對方經由Google驗證為真實的人類。然後，歹徒會要求賣家告知收到簡訊驗證碼，但實際上，歹徒是利用賣家的電話號碼進行驗證，假借賣家的名義建立Google Voice帳號，然後接管賣家的Google帳號。FBI呼籲，網路賣家不要提供他人Google驗證碼，來防範相關詐騙攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織FIN7以感謝函和防疫指引的名義，發動BadUSB惡意隨身碟攻擊</strong></span></a></h4> <p>美國聯邦調查局（FBI）提出警告，駭客組織FIN7約自2021年8月開始，佯稱是AWS或是美國衛生與公共服務部（HHS），藉由感謝函、防疫指引等名義，透過美國郵政服務（USPS）或UPS，寄送含有BadUSB隨身碟的包裹。FBI指出，駭客先是將這類包裹寄給運輸業或保險業者，在11月開始寄給國防公司，一旦有人將包裹裡的隨身碟連接電腦，就會展開一連串的攻擊，最終在受害組織網路部署勒索軟體。</p> <h4><a href="https://www.ithome.com.tw/news/148756"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪2021年造成140億美元損失，創下歷年新高，加密貨幣詐騙就超過半數</strong></span></a></h4> <p>區塊鏈分析業者Chainalysis指出，網路犯罪者用來接受非法交易的加密錢包，2021年總共進帳約140億美元，比2020年的78億美元增加近8成，創下歷史新高。值得留意的是，在2021年的非法交易裡，詐騙的金額就高達78億美元，尤其以誘騙投資人進場大量買進，待時機成熟再捲款潛逃的「拉地毯」（Rug Pull）詐騙手法最值得留意。此外，亦有32億美元加密貨幣遭竊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/crypto-platform-arbix-flagged-as-a-rugpull-transfers-10-million/"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易平臺Arbix Finance無預警關閉，騙走投資者千萬美元</strong></span></a></h4> <p>資安業者CertiK於1月4日指出，名為Arbix Finance的加密貨幣平臺，疑似出現「拉地毯」（Rug Pull）詐騙而停止運作，有人將1千萬個Arbix幣傳送到經營者的加密貨幣錢包，並在以太坊傾銷套現。研究人員呼籲，投資人要留意這類詐騙行為。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://portswigger.net/daily-swig/latest-wordpress-security-release-fixes-xss-sql-injection-bugs"><span style="color: rgb(0, 0, 0);">WordPress修補存在長達3年的XSS漏洞</span></a></strong></h4> <p>網站內容管理系統WordPress最近推出了5.8.3版，修補數項漏洞，其中較值得留意的是跨網站程式碼（XSS）攻擊漏洞，影響WordPress 3.7至5.8版，一旦攻擊者利用這項漏洞，就能在已經通過身分驗證的情況下，注入惡意的JavaScript指令碼酬載到貼文裡，進而感染管理者的儀表板，甚至有機會挾持管理者帳號。通報該漏洞的資安業者SonarSource表示，這項漏洞他們從3年前就告訴WordPress，如今終於得到修補，他們預計在1月11日揭露有關細節。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/sonicwall-y2k22-bug-hits-email-security-firewall-products/"><span style="color: rgb(0, 0, 0);">SonicWall防火牆、郵件安全系統受Y2K22漏洞波及</span></a></strong></h4> <p>資安業者SonicWall於1月7日發出公告，表明旗下部分產品受到Y2K22漏洞的影響，已自2022年1月1日開始影響部分用戶。這些受影響的產品主要與郵件安全防護有關，包含了企業內部建置的郵件安全防護系統Email Security Appliance、雲端代管郵件安全防護服務Hosted Email Security，以及防火牆設備的反垃圾郵件模組等。該公司已於2日修補雲端郵件安全服務系統，並推出相關修補程式。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148769"><span style="color: rgb(0, 0, 0);">H2資料庫驚傳類似Log4Shell的漏洞</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png" style="width: 300px; float: right;" /></a>資安業者JFrog揭露，以Java程式語言開發、開源的SQL資料庫H2，其主控臺（Console）元件存在類似Log4Shell的RCE漏洞CVE-2021-42392，攻擊者可在未經授權的情況下，用來傳送竄改的參數，或是觸發目標伺服器漏洞，進而遠端於受害裝置上執行任意程式碼。研究人員呼籲用戶應升級H2至2.0.206版。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/10 16:13作者周峻佑https://www.ithome.com.tw/news/148809
【DBS客座文章】微前端模組–衝突終結者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/148776"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/dbswei_qian_duan_-tu_1.png?itok=AwjzY931" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2 class="rtecenter"><strong>“APPs, together, STRONG!”</strong> </h2> <h2 class="rtecenter"><span style="font-size: 13px;">- Rise of the planet of the APPs(2021)</span></h2> <p>本文為<strong>【星展銀行授權轉載文章】</strong><br /> 譯註：文中所稱之星展銀行或星展皆係指新加坡星展銀行，所提及之金融服務亦為新加坡國內之服務<br /> 原作者：Gordon Feng, iOS Developer／台灣星展銀行資訊暨營運處<br /> 原文出處：<a href="https://medium.com/dbs-tech-blog/micro-front-ends-the-conflict-terminator-5a447f0428a6">Micro Front Ends — The Conflict TERMINATOR</a></p> <h2 data-selectable-paragraph="" id="656c"><strong>前言</strong></h2> <p data-selectable-paragraph="" id="3aa8">星展集團業務橫跨多個國家，包含新加坡、印度、中國…等，每個國家都有該國家所屬的星展銀行 App 和信用卡 App…等, 而開發團隊也橫跨了多個國家，如印度、新加坡…等，在星展集團全球兩萬九千多名員工中，就超過一萬名是資訊科技人員。<br /> 在業務複雜度、開發團隊人數的交互作用下，程式碼的複雜度與規模肯定大幅增加，造成開發效率與時間的成本呈指數型倍增。</p> <p data-selectable-paragraph="" id="09f6">這時候解耦與共用模組化的重要性就不可言喻了，試問若少了模組化，會是怎麼樣的結果？同一個功能以不同的實作方式在不同地方執行下，以修改餘額查詢功能為例，倘若因不明原因導致轉帳功能無法運作、版本控制每推(Push)一次程式碼就跟其他同事所發的程式碼衝突，就不用提後面的單元測試該如何進行了，這絕對會是場災難。</p> <p data-selectable-paragraph="" id="1606">透過模組化、遵守SOLID原則與DRY原則，我們可以避免上面所說一切不幸的發生，若運用得當，可以充分提高工作效率、工作穩定度跟工作愉悅度，並少走很多冤枉路，與避免伴隨而來的工程師職業傷害(不管是心理或生理上)，讓我們工作效率獲得提升。</p> <h2 data-selectable-paragraph="" id="57f1"><strong>關於微前端模組</strong></h2> <p data-selectable-paragraph="" id="7404">模組化與解耦的方式有很多種，而今天我們要介紹的概念，稱之為微前端模組 (Mirco-Front-End)，什麼情況下我們可以做一個微前端模組？且做一個微前端模組要考慮到什麼？並介紹微前端模組的幾項原則提供給大家參考，當然一切請以實際需求和團隊和諧為原則。</p> <h2 data-selectable-paragraph="" id="bd08"><strong>模組化？What? Why？How？</strong></h2> <p data-selectable-paragraph="" id="af8e">一般大型的軟體專案，會使用不少模組化的觀念，來提升共用，減少耦合。</p> <p data-selectable-paragraph="" id="0349">通常來說正確的說法叫做Modularization，將重複的功能、畫面、邏輯，打包成一塊塊可注入共用的模組，如此一來有多種好處。</p> <p data-selectable-paragraph="" id="9710">1. 可以做到功能獨立，符合SOLID設計原則</p> <p data-selectable-paragraph="" id="023a">2. 功能開發可以平行進行，不會互相影響</p> <p data-selectable-paragraph="" id="01c1">3. 模組也能簡單地替換</p> <p data-selectable-paragraph="" id="3cea">4. 測試的包含範圍能更小，更方便測試</p> <p data-selectable-paragraph="" id="c71c">5. 各專案間可以減少重工，並且溝通且轉換上成本較低</p> <p data-selectable-paragraph="" id="03b8">在星展，我們也使用如此的技術，並且通稱這個方法為Micro-Frontend(MFE)。Micro-Frontend一開始是由網頁前端來的，最早在2016年中有提到如此概念，在2018年開始推廣，有一些專門的組織（諸如<a href="https://micro-frontends.org/" rel="noopener ugc nofollow" target="_blank">https://micro-frontends.org/</a>）來宣傳此類的技術。如此的技術在星展中也開始採用，並且不只在網頁端，也應用在手機應用端。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%961.png" /></p> <p data-selectable-paragraph="">由上圖可以感受到，在星展手機應用端的頁面，是由各種不同的微前端模組組成物件(Components)組成的。這些組成物件由不同的開發團隊所維護。一般核心使用者介面(User Interface)稱之為核心(Core)，所有星展的專案皆可使用這些核心使用者介面。接著頁面組成跟邏輯則落在專案小組下的開發人員，由該功能所負責的開發人員開發出該頁面的程式邏輯。</p> <h2 data-selectable-paragraph="" id="4ce4"><strong>依賴反轉原則</strong></h2> <p data-selectable-paragraph="" id="a3a8">各平台間的函式庫匯入(Import)以及參照，都很標準，使用最常用的Maven or Carthage建立私有雲及儲存庫(Repositories)，這部份不加以描述。值得一提的是，當你注入的是非使用者介面類型的共用模組，比如說錯誤處理(Error handling)、邏輯控制(Logic control)。視情況可以用SOLID依賴反轉的方式去保護注入的函式庫，防止某天突然要做修改。</p> <h2 data-selectable-paragraph="" id="edd1"><strong>什麼功能可以做成微前端模組？</strong></h2> <p data-selectable-paragraph="" id="f5dc">並不是所有功能都可以做成微前端模組，在做成微前端模組之前我們會先觀察，這個功能是不是一個單獨完整的功能，且不需要依賴其他功能。舉例來說，會員資料管理功能就很適合做成微前端模組，會員資料管理功能包含：修改帳號、修改密碼、修改基本資料等，這些功能獨立、不干涉其他功能、且應該要有獨立的API端末(Endpoint)，也不需要跟其他功能共享資料。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%962.png" /></p> <h2 data-selectable-paragraph="" id="4304"><strong>什麼功能不適合做成微前端模組？</strong></h2> <p data-selectable-paragraph="" id="32de">購物車功能則不適合做成微前端模組，因為購物車到最後一定會需要結帳功能，而結帳功能並不一定需要購物車功能，在購物車會依賴付款功能的狀況下，就不適合做成微前端模組。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%963.png" /></p> <h2 data-selectable-paragraph="" id="9eac"><strong>一些微前端模組的原則參考</strong></h2> <p data-selectable-paragraph="" id="875e">關於設計模式(Design pattern)的部分，我們選擇MVVM進行開發，每個開發團隊有不同的設計模式選擇，選擇任何模式都可以，但建議以統一模式為主。</p> <p data-selectable-paragraph="" id="30f6">當然微前端模組我們視為一個獨立的小App，你不會想將主應用(Host app)不需要知道的微前端模組細節暴露給主應用，讓其他同事在接手開發時，誤用他不該使用的細節，因此需要完善的存取控制(Access control)，透過實作一個開放(Public) 的介面(Interface)，設計這個微前端模組的使用介面，再加上一些小註解或是使用方式的文件，會使得微前端模組在多人開發上運用得更妥當。</p> <p data-selectable-paragraph="" id="1e1f">我們所做的微前端模組，將不會有發出請求(Request)的責任，若我們將發送請求的責任交由微前端模組，會導致App到處都有不同的地方發出API，不僅增加重複的程式碼，也會增加維護的困難度。微前端模組僅將自身所需的API端末跟請求所需的參數帶給主應用，主應用在接收到來自微前端模組的端末後，統一由主應用發出請求。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%964.png" /></p> <p data-selectable-paragraph="">在某些特例的狀況下，微前端模組會引用到其他的函式庫(Library)，例如為了達到使用者介面同一風格的要求，我們將所有使用者介面元素(UI Component) 製作成一個函式庫，讓主應用與所有微前端模組方便引用。若有這種需求，Account MFE不可包含使用者介面函式庫，只能由主應用匯入使用者介面元素庫(UI Component Library)，再由Account MFE去引用主應用的使用者介面元素庫，呈現一個傘狀的結構。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%965.png" /></p> <p data-selectable-paragraph="">在每一個微前端模組實作簡易的範例，透過簡單的範例呈現，可以讓其他開發者快速了解這個微前端模組的作用，與如何使用這個微前端模組。若因為需求變更而修改微前端模組，透過運行(Build)範例，可以馬上看到變更後的效果，因此，每個範例都需要測試用的假回應(Mock response)模擬API的回應(Response)，呈現完整的功能。</p> <p data-selectable-paragraph="" id="3a7a">最後要提的是，為了達到重複使用的目的，我們會將微前端模組設計成在其他App上也可以用的模組，譬如上面提到的會員管理，若其他App有會員功能，我們也可以將會員管理微前端模組直接使用在其他App上，因此，每個微前端模組會需要自己獨立的儲存庫(Repo)，以便在其他地方使用。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%966.png" /></p> <h2 data-selectable-paragraph="">管理微前端模組</h2> <p data-selectable-paragraph="" id="be1e">在管理微前端模組上，我們會在BitBucket上開一個專案統一管理這些微前端模組，並使用Carthage 安裝與更新這些微前端模組。<br /> 而在每個微前端模組我們會加上腳本(Script)，在這個腳本我們會執行建立新的儲存庫在BitBucket上、推程式碼上BitBucket、檢查專案名稱是否符合規則、匯出框架(Framework)等。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%967(1).png" /></p> <h2 data-selectable-paragraph="" id="e0fe">結論：</h2> <p data-selectable-paragraph="" id="9a80">以上我們說明了實作一個微前端模組所需要的情況、開發原則與後續微前端模組的基本管理，這些並沒有所謂的鐵則，一切依照團隊開發習慣為主。只要建立在模組化與SOLID原則，基本上就不會差太遠了。</p> <p data-selectable-paragraph="" id="be59"><strong>免責聲明和重要通知</strong><br /> 本文章(英文)係由DBS LTD提供並經星展銀行(台灣)(下稱｢本行｣)翻譯為中文，僅供參考，本行及DBS LTD不對使用本文章所引起之任何損失或損害負任何責任。如您有任何疑問或欲參考本文章而為行事之依據，本行建議您諮詢您的專業顧問之意見，以保障您的權益。非經本行之事前書面同意，任何人不得對本文章為複製、轉載、引用、抄襲、修改、散佈或為任何其他方式之使用</p> </div></div></div>
2022/1/10 17:54作者星展銀行https://www.ithome.com.tw/guest-post/148776
勇於承擔奇異轉型考驗的領導者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_qi_yi_ceo_tu_pian_lai_yuan_bao_ding_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">寶鼎出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二〇一七年十月卸下奇異（General Electric）三十五年的工作時，我並沒有把握能寫這本書。沒錯，十六年的執行長生涯讓我有幸坐在前排親炙歷史，也學到不少紮實的教訓，這些必定能嘉惠他人，但是我的任期結束得並不光彩。商業書大多有個不言自明的承諾：「我來教你如何像我一樣成功，貨真價實的成功！」我顯然沒資格這麼說。</p> <p>我所遺留的財產頂多只能說毀譽參半。奇異在市場上是贏家，但在股票市場並不是。我做了成千上萬影響數百萬人的決策，常常是在盲目不確定之下所做，受到無數議論者的批評。我以整個團隊和整體的成就為榮，但是我這個執行長向來才氣跟運氣不相上下，我的意思是，大多時候兩者都付之闕如，或許不要有寫書的念頭比較好。</p> <p>一直到二〇一八年六月，發生了一件事，改變了我的想法。</p> <p>當時我答應到史丹佛商學研究所（Stanford Graduate School of Business）授課，課程名稱很拗口：「數位產業轉型的系統領導」（Systems Leadership for the Digital Industrial Transformation），其實就是如何堅持改革。我沒當過教授，不過有另一個共同講師從旁協助，他名叫羅伯・席格（Rob Siegel），既是創投人也是史丹佛大學資深講師。我們一起找來全球頂尖企業領袖，給班上六十七個學生帶來第一手經驗談，分享自身遭遇過的挑戰，找來的客座講師都非常出色：有愛齊科技（Align Technology）的執行長，他介紹如何用3D列印做出客製化的牙托來矯正牙齒；有強鹿農機（John Deere）的執行長，他解釋為什麼信任是銷售曳引機的關鍵；還有傳奇影業（Legendary Entertainment，《侏儸紀世界》等片的製作公司）前執行長，他說他打算利用人工智慧（AI）來「喚醒」那些不以創新見長的沈睡企業。</p> <p>然後，學期過一半的時候，《財星》雜誌（Fortune）刊出一篇長文，標題是〈奇異到底怎麼了？〉，出自傑夫・柯文（Geoff Colvin）之筆，裡面提到的事實和影射在我看來有很多錯誤。這篇文章暗示我沒有接班計畫（其實有），還把奇異資本（GE Capital，奇異旗下的金融事業）造成的問題全部歸咎於我（其實很多問題是我繼承來的），不過最引人側目的是通篇文字充滿情緒性口吻，說奇異是「邪惡的混亂」，說我「無能」。我猜想這位作者的消息來源有包含被我開除的人，而且不止一個，他們的看法並不完全公允，但是讀者無從得知。</p> <p>沒有任何人能免於批評，我當然也不例外。我離開奇異後，媒體對我的負面報導從來沒少過，我通常皺皺眉頭就過去了，但是這次我看到一個機會。我原本就苦於學生沒耐心，他們對事先準備的授課內容、簡化的方法清單似乎沒有什麼耐心，反倒最愛問「你是怎麼想出來的？」，他們渴望學習如何在一個不確定的世界中生存，而在這方面，我絕對有資格說上幾句。</p> <p><span style="font-size:28px;"><strong>傑夫・伊梅特不插電的商學院講座</strong></span></p> <p>於是我請共同講師發出電子郵件，邀請商學院所有學生來參加一個不在規劃中的講座，名稱是「傑夫・伊梅特不插電」，給學生的功課是：問我問題，葷素不忌。</p> <p>隔週五下午五點，商學院最大的教室擠滿了人，有個學生自動帶來葡萄酒和杯子蛋糕，氣氛頓時莫名多了點歡樂感。「最近有很多關於我和奇異的報導」，我劈頭就說，「我想你們大概有很多問題想問。」</p> <p>接下來一個鐘頭左右，他們問，我答。一開始的提問很有禮貌，譬如：「作為一個領導者，你處理過最困難的事是什麼？」，我提起奇異幾次艱難掙扎：九一一恐怖攻擊之後、二〇〇八到二〇〇九的金融危機、福島核子反應爐熔毀（那些反應爐是出自奇異的設計）。還有一個學生問到我最喜歡的主題之一：全球化；我說明我的團隊如何讓奇異更加靈活，我們在全球各市場建立有能力的團隊，把決策權下放給他們。</p> <p>不過接下來的學生就比較尖銳了。有個人問：「奇異電力（GE Power）到底出了什麼問題？」還有一個緊扣《華爾街日報》的說法，說我在奇異內部製造一種「粉飾」文化，鼓勵員工一味描繪好的一面，不論實情如何。</p> <p>我還記得，太陽開始落到教室窗外樹梢時，一個學生舉起了手，我看到他桌上放了那期《財富》雜誌的影印，他開口問：「你怎麼會讓情況變成這樣？」我只能據實以告：我已經努力避免了。我說：「我對這家公司所遭遇的困難感到難過，我知道有人覺得我讓他們失望，這會成為我下半輩子一塊壓在心上的石頭，但是一味責怪過去對奇異沒有幫助，任由謊言積非成是也於事無補。奇異正在流失客戶和人才，並沒有對症下藥。」</p> <p>我希望那天的學生瞭解，說我不完美我可以接受，但有必要時我也會挺身為自己辯解（而且不至於讓人覺得是我臉皮太薄小題大作），任何領導人都會這麼做。</p> <p>二〇〇一年我當上執行長，接下一家外在觀感與實際狀況大不相符的公司。我從傑克・威爾許（Jack Welch）手中繼承了一個強大企業文化和一批優秀員工，但是我們已經點子用盡。一年前我還在掌管奇異醫療（GE Healthcare）時，試圖收購Acuson這家超音波公司，但是遭到傑克駁回，原因是：Acuson位於加州山景城（Mountain View），「那裡的人很瘋狂」。我並不認同他的看法，Acuson可以讓我們在以創新見長的矽谷取得立足點（後來Acuson被競爭對手西門子買走，也確實讓西門子在矽谷站穩腳跟）。奇異內部有人認為奇異不管怎樣都會有好結果，但是我擔心我們變得太過守舊、好奇心不足。</p> <p>至少有十年之久，奇異是透過奇異資本這個金融大物來推動成長、扶持工業部門，但是我接手的時候，觀察家大多不知道奇異對工業部門的投資其實很少。我們是一個枝繁葉茂的大集團，從飛機引擎到電視台到貓狗保險，無所不包，但是卻被當成科技公司，股價遠高於我們所處的產業價值。</p> <p>所以，身為執行長的我，一心一意要改善公司，重新把資金投入於旗下各產業，改進技術，拓展我們在全世界的據點，而且在這過程中，我對傑克・威爾許從未有任何一句負面言語。</p> <p>這是個有風險的選擇，當你的團隊覺得一切已經很完美的時候，要推動變革是很困難的，但這個選擇在當時感覺是對的。我的前任被譽為史上最優秀執行長，我希望好好維護他的遺產，在還來得及之前把我看到的破洞修補起來。然而在我任內，每當有危機出現危及奇異的成功（甚至危及奇異的生存），我這股想透過成長來保護公司的願望往往淪為次要。</p> <p>領導是一趟了解自己的緊湊旅程。如果你被打趴了晚上還睡得著，隔天早上醒來馬上就能繼續聆聽學習，那我相信你一定有辦法領導。我喜歡引述拳王麥克・泰森（Mike Tyson）的話：「臉上挨拳之前，誰不是說得一口好戰術？」重點是即使被打得眼冒金星也要廣納新想法。你不可能樣樣都對，我當然也不是，如果你凡事只想明哲保身，就不該接下執行長的工作。</p> <p>爆發全球性的困難、混亂不休的時候，領導人往往無力控制，只剩下做決策和堅持下去的意願，目標是生存下去，我所謂的「生存」是求進步，不是求完美。重點是，領導人所做的重大決策必定會受到嚴格檢視，我也不能倖免，我只希望各位從我的視角去看看我在關鍵時刻所見（關鍵時刻大概有上萬個之多），我很好奇你們會怎麼做。</p> <p>這本書記錄了我掌管美國一家最大、最有名望企業所學到的東西，記錄了坐在一個不好坐的位子、為全世界最有意義、最有挑戰性、最受嚴格檢視的工作負全責是什麼情形。我試圖描繪過去二十年商業世界的變化；我細數了我們大力提倡並在奇異取得成功的點子，當然也有一些不成功的點子；我說明了我們如何倖存下來。不會有人在執行長上任第一天給他或她一本手冊，教他或她如何做棘手決策，我希望，透過描述這份孤獨的領導工作，可以鼓勵讀者持續前進。我坦誠敘述我在尋找前進路徑所遭遇的阻礙，甚至也描述了我個人道路上的阻礙，我的故事赤裸裸但誠實，一切要從我當上執行長的第一個星期一開始說起：二〇〇一年九月十號。<span style="color:#696969;"><strong>（摘錄整理自《傑夫．伊梅特》前言，寶鼎出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%A5%87%E7%95%B0CEO_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%AF%B6%E9%BC%8E%E5%87%BA%E7%89%88(1).png" style="width: 265px;" /></p> <p><span style="font-size:14px;">圖片來源_寶鼎出版</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>傑夫．伊梅特：帶領美國百年企業奇異走過16年風雨的剖心自白</strong></span></p> <p>傑夫．伊梅特（Jeff Immelt）、艾米．華樂絲（Amy Wallace）／著；林錦慧／譯</p> <p>寶鼎出版</p> <p>售價：520元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>傑夫．伊梅特（Jeff Immelt）</strong></p> <p>美國企業奇異第九任董事長，並擔任執行長十六年。伊梅特曾三度榮獲《巴隆周刊》（Barron’s）選為「全球最佳執行長」之一，在他任內，奇異被《財星》（Fortune）評為「美國最受推崇企業」。曾擔任歐巴馬政府「就業與競爭力委員會」主席。</p> </div></div></div>
2022/1/10 16:49未署名https://www.ithome.com.tw/article/148812
PayPal有意發行穩定幣PayPal Coin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SteveMoser/status/1479574342329638913" target="_blank">一名iOS開發者Steve Moser近日在支援iOS的PayPal程式中發現了PayPal Coin</a>，PayPal則向<a href="https://www.bloomberg.com/news/articles/2022-01-07/paypal-is-exploring-launch-of-own-stablecoin-in-crypto-push" target="_blank">《彭博社》</a>證實正在探索發行穩定幣的可能性。</p> <p class="rtecenter"><a href="https://twitter.com/SteveMoser/status/1479574342329638913" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-paypal%20coin%20by%20%20%40SteveMoser%20twitter.png" style="width: 577px;" /></a></p> <p>根據報導，PayPal Coin源自於該公司內部加密貨幣團隊的黑客松（Hackathon）競賽，是與美元掛鉤的穩定幣。PayPal坦承正在探索發行PayPal Coin的可能性，一旦決定執行，定會與監管機關密切合作。</p> <p><a href="https://thetapedrive.com/paypal-is-working-a-stable-coin-called-paypal-coin" target="_blank">PayPal Coin的圖騰</a>類似PayPal，並於P字上畫上兩條平行線。</p> <p>身為全球主要的線上支付平臺之一，PayPal自2020年底便開放用戶持有及買賣加密貨幣，去年3月開始支援美國用戶以加密貨幣付款，迄今支援的加密貨幣種類包括比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash），以及萊特幣（Litecoin）。</p> <p>除了PayPal之外，<a href="https://www.ithome.com.tw/news/131332" target="_blank">Meta也早在2019年就發表Libra加密貨幣計畫</a>（後<a href="https://www.ithome.com.tw/news/141419" target="_blank">更名為Diem</a>），但迄今尚未成真。</p> </div></div></div>
2022/1/10 16:00作者陳曉莉https://www.ithome.com.tw/news/148807
量子抵抗不是企業未來式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對許多企業而言，量子電腦是未來科技，那是只有科技巨頭才有能力負擔或善用的科技，我以前也這樣認為，直到最近，一場活動，改變了我的想法。</p> <p>在去年底雲端龍頭AWS年度大會中，有一場回顧AWS十五年網通技術演進的演講上，AWS旗下EC2部門副總裁Dave Brown宣布，所有離開Amazon設施的任何實體連線、VPC加密、KMS金鑰交換都達到了量子安全加密的等級。</p> <p>「未來10年內，如果出現了超強運算能力的量子電腦，企業今天從網路流量被攔截的資料，很有可能到時候就被解密了。」他強調，這是為何得全面採用AES-256加密，就是為了降低20～30年後的風險。</p> <p>這幾年來，量子電腦不斷證明自己能發揮出超乎想像的運算力，不少科技巨頭也紛紛投入研究，這不是什麼新鮮事，AWS還是比較慢搶進的業者，一直到2年前，AWS才跟進IBM、Google、微軟等巨頭，加入量子電腦技術和產品研發的隊伍。</p> <p>科技巨頭們投入量子電腦技術的另一個理由，不只為了搶新機會，而是擔心，量子電腦的超強運算力，可以解開過去難以快速破解的加密技術，為了避免未來資料曝光後的風險，得同步發展量子抵抗技術，或者投入後量子密碼學的研究。</p> <p>像Google早在2016年就開始發表有能力抵抗量子運算的新興演算法，各國政府和學術圈這幾年更是積極投入量子電腦技術和量子加密技術的研發，而臺灣也有學者在這個領域頗有成績，如清大前瞻量子科技研究中心團隊在2019年就成功實現了戶外量子加密通訊測試。科技部從2018年開始積極補助量子技術研究，2020年更組成量子國家隊，計畫在5年內投入80億元建立量子科技共同研究平臺，在業界如鴻海也積極將量子電腦視為重要研究項目。</p> <p>我曾在國外年會中，親眼看過量子電腦展示實機，金黃閃亮的巨大設備，一點都不像是企業機房內不起眼的伺服器主機。對我來說，量子電腦就像是實驗室中的未來科技一樣，那是科技巨頭的世界，不是現在企業手上可用的技術。我帶著獵奇的眼光，來看待這項技術，這應該也是不少企業，尤其是中小企業主的感受。不是量子電腦技術不重要，而是沒有今日的迫切性。</p> <p>但Dave這一席話，提醒了一個關鍵，「今日在網際網路上傳輸的資料，明天可能被解密。」企業的機密，可能在量子電腦真的實現之後，完全曝光。</p> <p>雖然許多機密資訊可能有期限，過了再曝光也不會造成太大的影響，但企業手上總有一些機敏資料，需要10年、20年，甚至最好是一輩子的保護期限，例如像是指紋這類生物特徵資料，一輩子都不會改變，曝光了就可能遭濫用。越晚採取行動，就會越快面臨到被解密的風險。</p> <p>當越來越多應用上雲，各式各樣在雲端流動的資料全靠加密技術來確保，一想到日後都有被解密的可能性，難怪引起AWS等雲端巨頭高度關注，不得不趁早投入量子技術的研發。</p> <p>AWS在2020年會時就宣布開始打造雲端後量子加密技術，當時他們評估，雖然AES、SHA2、SHA3等加密技術都難以徹底杜絕量子運算的破解，但仍舊有一定程度的抵抗能力，不會那麼快遭到破解。</p> <p>因此，AWS先從TLS加密達到AES-256加密技術開始發展，2021年陸續擴大到KMS金鑰服務、SSH、VPN、MACsec等都考慮整合後量子加密的技術。這正是為何經過了一年，在2021年底時，他們終於可以宣布，對外實體連線傳輸，都可以達到具有量子安全加密等級的保護能力。</p> <p>當然，AES-256加密也不是什麼新功能，多數雲端業者已有不少服務或功能，都可以支援或也同樣預設採用到這種等級的加密。</p> <p>但AWS的發布，點出了量子抵抗思維對網路傳輸風險的迫切性，而且要考慮到每一個環節是否都具備了同樣的抵抗水準，就像資安的強度是最弱的那一個環節，量子抵抗技術的風險，也是出現在加密強度最弱的一環，可能是某一隻開放外部存取的AP，或是哪一臺對外連線的網路設備。</p> <p>從這一刻開始，我不再將量子電腦視為未來技術，而是一種現在就需要關注的技術，就算無法非常熟悉它，也要了解其能耐和可能帶來的威嚇能力，才能建立正確的量子抵抗思維，因為，這已經是企業必須認真以對的技術現在進行式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6">量子電腦</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E9%87%8F%E5%AD%90%E5%8A%A0%E5%AF%86">後量子加密</a></div><div class="field-item odd"><a href="/tags/%E9%87%8F%E5%AD%90%E6%8A%B5%E6%8A%97">量子抵抗</a></div><div class="field-item even"><a href="/tags/%E9%87%8F%E5%AD%90%E9%81%8B%E7%AE%97">量子運算</a></div><div class="field-item odd"><a href="/tags/%E5%8A%A0%E5%AF%86%E6%8A%80%E8%A1%93">加密技術</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2022/1/10 16:11作者王宏仁https://www.ithome.com.tw/voice/148808
密碼學家Moxie Marlinspike眼中的Web3：依舊需要仰賴中心化的分散式網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148558" target="_blank">繼Twitter創辦人Jack Dorsey及特斯拉創辦人Elon Musk之後</a>，近日再度出現了另一名懷疑Web3的科技人，他是個密碼學家，也是加密傳訊程式Signal的創辦人Moxie Marlinspike，<a href="https://moxie.org/2022/01/07/web3-first-impressions.html" target="_blank">Marlinspike自行打造了兩款dApp來測試Web3</a>，發現應該將任何事物去中心化的Web3，實際上仍需仰賴中心化的平臺，也許只是個比Web2還缺乏隱私的協定。</p> <p>Marlinspike未曾對外透露過自己的生日，外界僅知他出生於1980年代早期，他在2010年共同創辦了企業行動安全公司 Whisper Systems，並推出端對端加密的兩個傳訊程式，在Twitter於2011年收購Whisper Systems之後，他成為Twitter的資安負責人，之後在2014年創辦了端對端加密傳訊程式Signal，所開發的Signal協定成為Signal、WhatsApp、Facebook Messenger與Skype所使用的端對端加密協定。</p> <p>身為密碼學專家，Marlinspike說自己並沒有特別喜歡加密貨幣，雖然不至於要加密貨幣「滾出自家的草皮」，但對加密貨幣的興趣頂多止於相關的迷因，更遑論近日興起的非同質化代幣（Non-Fungible Token，NFT），儘管他尚未成為Web3的信徒，卻決定展開探索，目的是為了看看自己錯過了什麼。</p> <p>Marlinspike認為現階段Web3的定義仍是模糊的，一般的理論是Web1是去中心化的，Web2是把所有事物都變成中心化的平臺，而Web3則是再度把所有的事物去中心化，因此，Web3理應帶來的是去中心化且更為豐富的Web2。</p> <p>不過，Marlinspike發現，標榜去中心化的Web3依舊仰賴中心化的平臺。</p> <p>Web2興起的原因很簡單，一是人們永遠不會想經營自己的伺服器，所以才會有中心化的平臺現身，二是協定的建立速度通常遠遠落後於平臺的建立，例如已發展超過30年的電子郵件協定仍未加密，但WhatsApp在一年內就從未加密發展至端對端加密。Marlinspike指出，假設某個事物是真正的去中心化，它將會非常難以改變，這對技術帶來了問題，因為該生態體系的其它部份都在快速變遷，唯獨技術無法，於是將這些協定中心化，並快速迭代成為Web2的解方。</p> <p>為了進一步了解去中心化的Web3，Marlinspike打造了Autonomous Art與First Derivative兩款分散式程式（dApp），這兩個程式仍是透過一般的網站與使用者互動，而其分散式指的是它的狀態及更新權限位於區塊鏈上、而非中心化的資料庫。</p> <p>其中，<a href="https://autonomous.graphics/" target="_blank">Autonomous Art</a>讓每個人都能夠藉由變更同一幅圖來鑄造NFT代幣，由於這是一個協作的NFT作品，先前的每個貢獻者都能取得分潤，鑄造的成本也會愈來愈高，上線3天就吸引了逾600名貢獻者，創作費用已超過465個以太幣（146萬美元）。至於<a href="https://firstderivative.market/" target="_blank">First Derivative</a>則是一個用來尋找及蒐集NFT衍生品的工具。</p> <p>Marlinspike表示，對於加密貨幣的世界他一向有個疑惑，亦即缺乏對客戶端/伺服器端介面的關注，人們所討論的區塊鏈網路圖全都圍繞著伺服器之間的信任模式，並無納入行動設備或瀏覽器，於是現在只能透過一個於伺服器上運作的某個節點與區塊鏈互動。</p> <p>由於人們並不想自己運作伺服器，新興的企業應運而生，它們銷售可存取以太坊（Ethereum）節點的API服務，而且這些服務是建置在以太坊預設的各種API上，目前幾乎所有的dApp都是透過 Infura或Alchemy 服務與區塊鏈互動，然而，這些客戶端的API並未使用任何方式來驗證區塊鏈狀態或回應的真實性，這令Marlinspike感到訝異。</p> <p>一般而言，NFT並未把資料存放於區塊鏈上，因為這樣的成本太高，這些NFTs通常只是含有一個指向資料的URL，而且相關的標準並未要求存放在URL上的資料必須雜湊。</p> <p>Marlinspike指出，這意味著只要能夠存取該機器、在未來買下該網域名稱，或者是駭進該機器，任何人都得以變更NFT的圖像、名稱或描述，因為NFT並沒有任何一個可確認該圖像內容，或是讓人們可用來證實那是否為正確圖像的規格。</p> <p>為了驗證自己的看法，Marlinspike打造了一個得以根據用戶IP或User Agent而呈現不同圖像的NFT，它在OpenSea上是一個樣子，在Rarible上又是另一個樣子，不過，當使用者買了它，再於加密貨幣錢包中檢視它時，它永遠呈現一個大型的「大便圖示」，由於這是NFT規格的建置方式，因此不只是Marlinspike所設計的NFT，有許多高價的NFT在錢包中顯示時也只會出現大便圖示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-Moxie%20Marlinspike%20nft.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Moxie Marlinspike</span></p> <p>有趣的是，OpenSea幾天後在毫無預先警告的狀態下，就移除了Marlinspike所上傳的NFT，理由是它違反了該平臺的使用條款，不過Marlinspike並未找到任何有關於禁止變更NFT所見圖像的OpenSea條款；不僅如此，當OpenSea移除了該NFT之後，該NFT也從Marlinspike的加密貨幣錢包中消失。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/nft-removed%5B1%5D.png" style="width: 362px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Moxie Marlinspike</span></p> <p>Marlinspike表示，該NFT應該還是存在於區塊鏈上的某處，只是因為加密貨幣錢包使用了OpenSea API來顯示NFT，因而當OpenSea移除了相關NFT之後，錢包內的NFT也跟著不見。一旦一個分散式系統為了方便而聚集在同一個平臺，那麼它便集結了中心化的控制以及分散式的困境等兩大缺點。</p> <p>對於Web3，Marlinspike不認為它目前的方向能將人們自中心化平臺中解放，也不認為它會改變人們與科技的關係，且相信其隱私已經低於網路低標，但他非常能夠理解為何有許多像他這樣的怪咖會趨之若鶩，Web3所帶來的創意與探索的空間猶如網路時代的早期。</p> <p>儘管Marlinspike探究了現有Web3的不足，還說倘若OpenSea移除了Web3的元素將會變得更快也更便宜，但這股基於加密貨幣的淘金熱可能已無法阻擋，市場的力道將會推動它繼續前進，假設是這樣，那麼最值得思考的事情之一，將是如何避免Web3發展成更不具備隱私能力的Web2。</p> </div></div></div>
2022/1/10 13:11作者陳曉莉https://www.ithome.com.tw/news/148804
Norton 360、Avira在用戶電腦安裝挖礦軟體惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名防毒軟體Norton 360及Avira的用戶分別發現，他們電腦中的防毒軟體會主動安裝挖礦軟體。</p> <p><a href="https://krebsonsecurity.com/2022/01/norton-360-now-comes-with-a-cryptominer/" target="_blank">資安部落格Krebs On Security報導</a>，Norton 360的挖礦功能遭用戶抱怨未經告知、擅自安裝挖礦軟體。</p> <p>2019年博通買下賽門鐵克及企業安全產品後，剩下的家用防毒產品Norton 360及個人身份安全LifeLock部門就改名為NortonLifeLock公司。<a href="https://www.ithome.com.tw/news/144823" target="_blank">去年這家廠商宣布</a>要在防毒產品外，加入開採加密貨幣以太幣的功能。該公司宣稱與其消費者下載來路不明的挖礦軟體，使用他們的挖礦軟體更為安全。用戶可將挖到的以太幣儲存在Norton Crypto電子錢包，而依據消費者挖礦所得，NortonLifeLock將收取15%的費用。</p> <p><a href="https://community.norton.com/en/forums/faq-norton-crypto" target="_blank">根據NortonLifeLock FAQ網頁</a>，這項功能是選擇同意(opt-in)，唯有用戶同意才會啟用，若用戶啟用Norton Crypto後不再使用這功能，也可以將之關閉。</p> <p>但用戶抱怨並非如此，<a href="https://www.digitaltrends.com/computing/no-easy-way-to-uninstall-norton-crypto/" target="_blank">有報導指出用戶根本沒有辦法退出這個選項</a>，使用者必須找到NCrypt.exe加以移除才能防止電腦被用來挖礦。<a href="https://community.norton.com/en/comment/8518793#comment-8518793" target="_blank">另一名用戶則抱怨</a>啟用挖礦功能時電腦可以跑，反而暫停這功能導致整臺電腦當機。</p> <p>事實上，被當成挖礦收益來源還不只Norton 360。<a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/" target="_blank">Krebs on Security報導</a>，NortonLifelock於2020年12月、以3.6億美元收購的德國防毒軟體業者Avira，今年開始也主動在用戶電腦安裝挖礦服務Avira Crypto，這項服務也是挖以太幣(Ethereum)。和Norton360一樣，Avira會主動安裝挖礦軟體在用戶電腦，不過用戶必須選擇加入才會啟用。</p> <p>一如Norton 360，啟用後用戶可以透過防毒軟體Avira Security for Windows介面來管理電子錢包，也可以由Avira帳號將開採到的加密貨幣轉到Coinbase平臺上。NortonLifeLock強調加入Avira的採礦池會比單獨挖礦賺得多，鼓勵用戶加入他們。不過該公司並未說明這裏的分帳比例，也沒說啟用後要怎麼關閉挖礦功能。</p> <p>用戶及業界對NortonLifeLock轉向挖礦的策略顯然不贊同。今天走這旁門左道安裝挖礦軟體，難保日後不會安裝殭屍網路程式。<a href="https://twitter.com/VickerySec/status/1478937736325197824" target="_blank">安全專家Chris Vickery則直指挖礦是加速能源耗用</a>，用戶耗電會大於賺到的利潤，這公司為獲利犠牲用戶，是一種齷齪、令人反感的品牌自殺行為。</p> <p>挖礦已造成某些供電不足的國家發生能源危機，<a href="https://www.ithome.com.tw/news/148760" target="_blank">東歐科索沃、伊朗等國家宣布禁止挖礦</a>。而北歐的瑞典能源部長也在去年11月呼籲應禁止高耗電的挖礦活動。</p> </div></div></div>
2022/1/10 12:37作者陳曉莉https://www.ithome.com.tw/news/148803
可俘虜數十億臺系統與設備！超級資安漏洞風暴正在席捲全球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情的陰影之下，全球好不容易才辛苦度過2021年，然而，在歲末年終、大家準備過節之際，一個被許多資安專家稱為「10年來最嚴重的漏洞」公開揭露，打亂了所有IT人員與資安人員的工作步調。</p> <p><span style="font-size:28px;"><strong>資安界最難熬的12月！Log4j幾乎週週都在發布漏洞與修補版本</strong></span></p> <p>這個震撼全球的資安漏洞稱為Log4Shell，存在一款常用的Java程式庫軟體套件Log4j之中。基本上，Log4j可用於資料的記錄（Logging），目前已有多達數百萬種Java應用系統採行，而在12月7日Apache軟體基金會釋出的2.15.0版中，因為修正並揭露具有高度風險的遠端程式碼執行漏洞，編號是CVE-2021-44228，嚴重等級達到CVSS 10分、屬於高度風險的弱點，引發軒然大波，而這也是當時Log4Shell為人所知的部分。</p> <p>該漏洞影響的Log4j2軟體版本，主要是的2.0-beta9版到2.12.1版，以及2.13.0版到2.15.0版，問題就出在：用於傳遞組態、記錄訊息、參數的JNDI（Java Naming and Directory Interface），因為，這個目錄服務功能API，實際上，無法抵禦攻擊者控制的LDAP端點與其他JNDI端點的存取，只要攻擊者能控制記錄訊息或記錄訊息的參數，當訊息查詢代替機制（message lookup substitution）啟用時，對方就能從LDAP伺服器執行任意的程式碼，而在Log4j2的2.15.0版預設會停用這樣的行為，等到2.16.0版推出之際，會把該功能完全移除。而在Apache Logging Services的專案當中，會受到此弱點影響的部分是log4j-core，也就是Apache Log4j實作本身。</p> <p>時隔兩週，在12月14日這天，Apache軟體基金會發布Log4j2的2.16.0版（適用Java8），以及2.12.2版（適用Java7），當中修正並揭露新的資安漏洞，也就是CVE-2021-45046，嚴重等級達到CVSS 9分的程度，屬於高度風險的弱點，但尷尬的是，此弱點源自推出不久的2.15.0版，因CVE-2021-44228修補不足所致，簡而言之，是指在特定的非預設組態上，未經完整處理──當系統的記錄組態使用非預設模式的呈現，進行$${ctx:loginId}這類前後文查詢方式時，攻擊者可透過執行緒前後文圖解（Thread Context Map）輸入資料的控制，並運用JNDI Lookup查詢的模式來變造惡意輸入資料，導致某些環境允許資訊外洩與遠端程式碼執行，以及所有環境容許就地程式碼執行的狀況，而且，這樣的遠端程式碼執行活動，已在MacOS、Fedora等多種作業系統證明可行。</p> <p>過了三天（12月18日），Apache軟體基金會再度發布Log4j2的2.17.0版（適用Java8）、2.12.3版（適用Java7）、2.3.1版（適用Java6），修正並揭露新的資安漏洞CVE-2021-45105，嚴重等級達到CVSS 5.9分的程度、屬於中度風險的弱點，影響的Log4j2版本涵蓋2.0-alpha1版到2.16.0版（不包含2.12.3），問題在於執行自我參照查詢時，若出現非控制型遞迴處理的狀況，無法提供保護。</p> <p>當系統的記錄組態運用非預設模式的呈現，進行$${ctx:loginId}這類前後文查詢方式時，攻擊者可透過執行緒前後文圖解（Thread Context Map）輸入資料的控制，來變造內含遞迴式查詢請求的惡意輸入資料，結果將導致出現堆疊意外的錯誤狀況（StackOverflowError）而中止整個執行流程，也就是所謂的阻斷式攻擊（DoS）。</p> <p>到了12月29日，Apache軟體基金釋出Log4j2的2.17.1版（適用Java8）、2.12.4版（適用Java7）、2.3.2版（適用Java6），修正並揭露新的資安漏洞CVE-2021- 44832，嚴重等級達到CVSS 6.6分的程度、屬於中度風險的弱點，影響的Log4j2版本涵蓋2.0-alpha7版到2.17.0版（不包含2.12.4版與2.3.2版）。</p> <p>這個漏洞也是與遠端程式碼執行有關的弱點，獲得修改系統記錄的組態檔案許可的攻擊者，可運用JDBC Appender這個能將事件記錄送進資料庫的API，搭配可執行遠端程式碼的JNDI統一資源標識符（URI）的資料來源參考，進而組建出惡意組態。而修正這問題的方式，是到Java協定當中去限制JNDI資料來源名稱，目前Log4j2 2.17.1版、2.12.4版、2.3.2版均支援上述作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-Wiz%20Log4j%20how%20it%20works%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWiz.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Wiz</span><br /><strong>Log4Shell漏洞的嚴重性在於，任何知道濫用手法的人士均可觸發這樣的反應，而且更可怕的是，能夠穿透現行的網路邊界防禦機制，進到內部網路環境，將各種惡意軟體植入多種採用Log4j有漏洞版本的系統設備之中。</strong></span></p> <p><span style="font-size:28px;"><strong>完成修補比例並不理想，很多人至今仍在下載與使用有弱點的版本</strong></span></p> <p>關於Log4Shell漏洞的威脅影響範圍，在2021年12月中與下半，已陸續有多家資安廠商提出他們的觀察。</p> <p>以趨勢科技為例，他們表示，雖然僅有7％的用戶受到影響，但他們分散在不同地區──歐洲占26％，美洲占33％，日本占16％，歐洲中東及非洲占25％；若以國家來區分，該公司在美國受到影響的用戶數量最多，有5,069個，其次是日本，有4,223個用戶；若以產業來區分，趨勢科技受到此漏洞影響的用戶數量，依序為政府機關（1,950個）、零售業（1,537個）、製造業（1,507個）。</p> <p>另一家資安廠商Wiz則與安永會計師事務所合作，他們在Log4Shell漏洞相關消息爆發10天之後（12月20日），分析200個企業雲端環境與數千個雲端帳戶的使用狀況，結果發現：有高達93％的雲端環境都處於有風險狀態，平均而言，僅有45％修補了這個漏洞，</p> <p>而就不同產業的Log4Shell漏洞修補狀況而言，所有人公認的資安模範生：金融業，表現最好，修補率達到50％，其次是醫療照護產業、軟體業，修補率均為46％，接著是媒體與娛樂產業，以及零售業，修補率各為43％與41％，墊底的是製造業，僅有34％完成修補。</p> <p>值得注意的是，這個比例只分析到雲端環境，若再加上內部網路、企業自行管理的環境，未修補Log4Shell漏洞與存在相關資安風險的比例，勢必會更高。</p> <p>另一個Log4Shell影響範圍可參考的數據，則源於掌管開放原始碼軟體元件儲存庫Maven Central Repository的資安廠商Sonatype。根據他們的統計，以Log4j / log4j-core的下載量而言，在2021年8月到11月這4個月期間，合計超過2.86億次，若單看11月，下載量達到710萬，屬於相當受到用戶歡迎的套件。</p> <p>同時，有將近7千個開放原始碼軟體專案存在著Log4j的相依性，這個套件已成為許多應用系統程式碼常見的部分，就連登陸火星的機智號無人探測直升機，都使用它作為系統建構模塊的一部分。</p> <p>而在Log4j有無漏洞版本的下載數量與比例上，截至12月14日為止，下載當時Log4j最新版（log4j-core:2.15.0）的累積數量已超過63.3萬次，然而，相較於下載有漏洞版本的數量，已下載無漏洞版本的數量比例僅達到36.5％。</p> <p>另外，根據Sonatype設立的Log4j下載狀態儀表板來看，全球下載Log4j有漏洞版本（log4j-core:2.15.0之前版本）的比例，從12月10日到1月5日為止，的確呈現開始下降的趨勢，但仍在3到4成之間擺盪。不過，令人擔憂的是，從12月下半到1月初，臺灣持續成為下載Log4j有漏洞版本比例最高的國家地區，雖然12月30日曾降至8成以下，但1月3日竟飆到93.75％，而且，臺灣下載Log4j無漏洞版本（log4j-core:2.15.0之後版本）的比例，至今仍無法突破30％，明顯遠低於世界各國的水準。</p> <p>雖然下載軟體套件的行為，不能完全等同於必定使用，但還是有一定的關聯性，畢竟若不需要使用這樣的套件，自然就不會引發後續下載的動作，因此，臺灣面臨的Log4j資安風險程度，的確有可能遠高於其他國家。</p> <p>為印證臺灣的狀況是否真如Sonatype統計所呈現的凶險，我們找上另一家開放原始碼軟體資安廠商WhiteSource代理商叡揚資訊，他們在12月10日到17日之間，對既有用戶進行了相關調查。</p> <p>結果顯示，他們的用戶絕大部分都在用Log4j，以產業來看，金融業、科技與製造業、電信業，全都是100％，政府機構與財團法人是95％，而未使用的用戶，主要是因為本身採用.NET或非Java的程式語言來進行軟體開發。而這些用戶採行的Log4j版本上，使用1.2.x版的比例超過97％，1.x版與2.x版均使用的也超過六成。</p> <p>值得一提的是，叡揚這份調查也特別針對用戶採行有漏洞Log4j版本的數量，進行了統計，突顯各個產業所面臨的漏洞管理作業規模差異。</p> <p>在政府與法人機構，以及科技與製造等領域與產業的用戶當中，叡揚表示，使用1到3個Log4j有漏洞版本的用戶比例均為86％，使用7到9個有漏洞版本的比例都是14％。</p> <p>若就他們的金融業用戶（包括銀行、證券、保險等公司）而言，目前採行10個以上Log4j有漏洞版本的用戶單位，竟高達一半，使用1到3個有漏洞版本為24％，使用4到6個有漏洞版本與使用7到9個有漏洞版本的比例，均為13％，顯然在因應Log4j的資安風險上，金融業勢必要投入更龐大的資源和心力進行檢整，否則有可能會因此出現更多防護破口，而讓駭客與惡意軟體有機可乘。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-log4j-chart-2022-01-03%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Sonatype.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Sonatype</span><br /><strong>從下載具有漏洞Log4j版本的數量，可推測全球各地面臨Log4Shell漏洞的風險程度，掌管開放原始碼軟體元件儲存庫Maven Central Repository的資安廠商Sonatype也每天持續公布相關數據，希望能夠讓更多人了解全世界下載Log4j有無漏洞版本的最新統計。不幸的是，臺灣這個彈丸之地在下載安全性不足版本的數量比例上，竟然連續好幾週都位居世界第一，在2022年1月3日甚至還超過90％，顯見臺灣對於Log4Shell漏洞危險性的認知，不僅處於嚴重不足的狀態，而且還遠遠落在其他國家之後。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-status-600.png" style="width: 531px;" /></p> <p><span style="font-size:28px;"><strong>濫用漏洞的行為數量激增，駭客與惡意軟體攻擊已經展開實際行動</strong></span></p> <p>在Log4j推出改版，以及接連揭露資安漏洞之後，除了從這個軟體使用方式與普及度來探討其風險與涵蓋範圍，很多人更想知道的是：實際濫用這漏洞的攻擊行動出現了嗎？數量與規模有多大？</p> <p>根據資安廠商Check Point在12月中發布的觀察分析結果來看，已出現大量尋找具有Log4Shell漏洞的系統的存取活動，累積次數超過430萬，而縱觀全球各地的企業內部網路環境當中，已有超過48％的比例，出現試圖濫用這個漏洞的行為。</p> <p>若從各地區細分，他們表示，澳洲與紐西蘭、歐洲的內部網路，受此漏洞影響比例均超過50％，其次是南美洲、非洲，都逼近5成，北美洲與亞洲則低於全球平均（48.3％），但也有44％以上。</p> <p>以產業而言，受此漏洞影響的多種領域內部網路比例，都超過一半，例如，教育與研究機構最高，逼近6成；其次是網路服務與代管服務業者，以及系統整合廠商、加值服務商、經銷商，都是57.4％；接著是金融與銀行，有53％受影響；至於政府與軍事單位，則是50.2％。</p> <p>而在嘗試濫用Log4Shell漏洞的攻擊活動數量上，Check Point也在12月初Log4j 2.15.0推出的幾天後，公布他們所觀察到的暴增現象。</p> <p>起初在12月10日，他們只看到幾千個攻擊，但隔天增至4萬以上，在最初爆發大量攻擊24小時之後（12月11日），濫用漏洞的攻擊暴漲至近20萬個，到了12月13日，也就是攻擊爆發後的72小時，已出現高達83萬個攻擊活動。關於這樣的發展態勢，資安廠商Palo Alto Networks也有類似發現：在12月5日出現濫用Log4Shell漏洞的攻擊，之後幾天攻擊數量緩慢增加，但到了12月10日以後開始暴增，11日突破1萬個，12日達到2萬個以上。</p> <p>除了這類攻擊數量激增，另一個同時期發生的狀況，則是濫用Log4Shell漏洞的方式很快產生了大量變異。Check Point表示，在原始的Log4Shell漏洞濫用方式出現後的24小時之內，已衍生出超過60種的變異濫用方式。</p> <p>而在實際事故的部分，在12月14日，Check Point發現，有5個國家出現加密貨幣挖礦團體嘗試濫用Log4Shell漏洞，而形成了網路攻擊；隔日，他們通報伊朗駭客團體Charming Kitten（APT 35）在過去24小時內曾試圖濫用Log4Shell漏洞，並鎖定以色列政府與商業領域的7個目標發動攻擊。</p> <p>關於試圖濫用Log4Shell漏洞的活動大增，資安廠商Sophos也有相關發現。在12月9日到12日之間，他們偵測到數十萬次利用此弱點從事遠端執行程式碼的活動──它們會進行弱點掃描、弱點濫用測試，並企圖在這些系統安裝加密貨幣挖礦程式，有些會試著從中擷取有價值的資訊，像是AWS公有雲服務的用戶金鑰與私密資料。</p> <p>在此同時，身兼系統、雲服務、資安等多重廠商身分的微軟，也有類似發現。他們表示，此類攻擊不只會趁機安裝挖礦程式，還會運用滲透測試軟體框架Cobalt Strike竊取帳號密碼、進行橫向移動，並且從受害系統中擷取資料。</p> <p>目前還有哪些惡意軟體打算趁火打劫呢？資安業者Lacework發現一些攻擊正利用這個漏洞，來散播殭屍網路程式Mirai與挖礦程式Kinsing。另一家資安廠商Bitdefender也偵測到這類型網路威脅活動的現象，出現多種濫用Log4Shell漏洞的惡意軟體，像是：殭屍網路程式Muhstik、挖礦程式XMRIG、勒索軟體Khonsari、木馬程式Orcus。</p> <p>至於針對內含有漏洞Log4j版本的IT系統所發起的攻擊活動，在12月29日也被揭露。根據資安廠商CrowdStrike的發現，有個專攻產業間諜與情報領域的中國駭客團體Aquatic Panda，攻擊一個大型學術機構，他們研判，之所以能侵入，破口可能是內含有漏洞Log4j版本的VMware Horizon系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-Armis%20Device%20Type%20image-8%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Armis%20-%20%E8%A4%87%E8%A3%BD.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Armis</span><br /><strong>關於Log4Shell漏洞濫用攻擊鎖定的設備類型，根據資安業者Armis在2021年12月26日的統計，有一半都是虛擬機器，其次是伺服器，有38％，合計就占了88％，但許多類型的設備也都被鎖定，像是個人電腦、手機、網路視訊攝影機、印表機、網路電話設備（VoIP），甚至還有影像儲存通訊系統（PACS）、SCADA伺服器、HMI控制面板，雖然比例很低，但由於Log4j普及度高，很難說這些嵌入式設備未使用這個元件，若不幸內含，也難以修補。</strong></span></p> <p class="rtecenter"><span style="font-size:36px;"><span style="color:#3399ff;"><strong>Log4Shell漏洞濫用的運作原理</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fastly%20flow-1%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FFastly.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fastly</span></span></p> <p><strong><span style="color:#696969;">為何Log4Shell會是高風險的漏洞？網路上已有許多相關的圖解，我們特別選了資安廠商Fastly公司繪製的運作流程，比較能看到技術細節，而在臺灣也有人將這部分內容解說，拍成了YouTube影片，有興趣進一步了解相關內容的人，可到「</span><a href="https://www.youtube.com/playlist?list=PLRsxxUOc_D6h9aQx8SnkYvHFtzOlf4f9B" target="_blank"><span style="color:#696969;">育正葛葛的資安遊樂場</span></a><span style="color:#696969;">」這個頻道去看看。</span></strong></p> <p><span style="color:#696969;"><strong>根據Fastly公司的解釋，在執行這類手法時，分成兩個階段：攻擊者在初期先將jndi:字串置入User-Agent HTTP標頭，隨之而來的統一資源標識符（URI）能夠存取次要的酬載，而且，這個酬載能可用來執行各種命令。</strong></span></p> <p><span style="color:#696969;"><strong>具有漏洞的Log4j系統，會去執行包含這段URI的LDAP查詢，在這之後，LDAP伺服器會對這個Log4j系統回應目錄服務的相關資訊，同時，這當中也包含了次要酬載的網址連結，以及javaFactory與javaCodeBase等屬性的數值，可用於建立包含Java類別的物件位置，以便重新呈現最終酬載，接著，Log4j系統會將這個Java類別載入記憶體，並且執行，最終完成整個程式碼執行過程。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導</span></span></a><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color:#3399ff;"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/1/10 10:21作者李宗翰https://www.ithome.com.tw/news/148753
收到以感謝函及防疫指引等名義附贈USB的包裹要提高警覺，FBI警告BadUSB攻擊再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有人寄包裹到公司，請提高警覺。<a href="https://edition.cnn.com/2022/01/07/politics/fbi-usb-hackers-warning/index.html" target="_blank">CNN</a>、<a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/" target="_blank">Bleeping Computer</a>上周分別報導，美國聯邦調查局（FBI）上周發出警告，駭客組織近日假藉感謝函寄送USB磁碟給美國企業，以散布木馬、後門及勒索等惡意軟體。</p> <p>報導指出，去年8月起陸續有運輸、保險業及國防工業廠商，接到駭客透過快遞業者UPS或美國郵局寄送內含惡意USB拇指碟的實體包裹。這些包裹宣稱是由美國衛生服務部（US Department of Human Health Services）發出，內有冒充HHS寄發的COVID-19指引文件及「LilyGO」標誌的USB拇指碟。有的包裹則冒充Amazon送上相同的USB拇指碟，並以感謝信函及偽造禮品卡降低用戶戒心。</p> <p>若用戶將這些USB磁碟插入電腦，就會遭到BadUSB攻擊。BadUSB攻擊之下，USB拇指碟會將自己註冊為鍵盤，並在用戶電腦送入預先設置的鍵擊組合。這些鍵擊組合可執行PowerShell指令，在用戶電腦下載安裝後門程式GRIFFON、木馬程式DICELOADER、Carbanak後門、勒索軟體BlackMatter、REvil或Cobalt Strike、Metasploit等程式。</p> <p>FBI指出，發動這樁攻擊的是稍早宣布解散的BlackMatter、Darkside行動背後的FIN7，又稱Carbanak 或Navigator Group。美國警方已經觀察到已有駭客藉此取得企業管理員帳密及在內部網路橫向移動。至於這波攻擊的受害企業數量，FBI並未公布。</p> <p class="rtecenter"><img alt="" src="https://npercoco.typepad.com/.a/6a0133f264aa62970b0240a5124870200b-800wi" style="text-align: center; width: 250px;" /></p> <p>事實上，這是FIN7重施故技。<a href="https://www.fbi.gov/contact-us/field-offices/seattle/news/stories/how-cyber-crime-group-fin7-attacked-and-stole-data-from-hundreds-of-us-companies" target="_blank">2018年8月FBI也曾控告FIN7</a>入侵全美企業包括零售、線上遊戲及醫院，以竊取1500多萬客戶信用卡資料及個資，受害企業多達3,600多家，遍布47州及哥倫比亞特區。據信FIN7也是以寄送USB作為攻擊手段。<a href="https://www.ithome.com.tw/news/136652" target="_blank">2020年安全廠商Trustwave則發現</a>另一個駭客組織偽裝成Best Buy的包裹，以50美元禮券及BadUSB手法攻擊消費用戶（如上圖所示，圖片來源／Trustwave）。</p> </div></div></div>
2022/1/10 11:03作者林妍溱https://www.ithome.com.tw/news/148786
BigQuery現在原生支援半結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布開始在其雲端資料倉儲<a href="https://cloud.google.com/blog/products/data-analytics/bigquery-now-natively-supports-semi-structured-data">BigQuery，支援原生JSON資料類型</a>，而這項新功能讓用戶可以在BigQuery中，儲存和分析半結構化資料。官方提到，透過支援新的JSON儲存類型，以及進階功能，諸如JSON點記法（Dot Notation）、適應性資料類型變更、新的JSON函式，以及半結構化資料，BigQuery用起來更直覺，用戶能以原生格式進行查詢。</p> <p>建構資料工作管線，需要考量許多面向，包括資料擷取來源，或是應用程式要以批次或是串流方式使用資料，以及表格設計的方式等，Google解釋，因為這些配置通常需要在建置資料工作管線之前決定，所以當後來不敷使用時，常需要花費高昂成本，或是繁瑣地過程進行修改。</p> <p>為了處理這類事件，用戶過去需要建構複雜的自動化處理機制，也可能得暫停資料擷取，由人工手動介入，或是將預期之外的資料，寫入到包山包海的字串欄位中，並在後期使用時，對該欄位進行額外解析。但Google提到，這些方法都會增加成本、複雜性，並且降低用戶操作資料的能力。</p> <p>JSON是一種受到廣泛使用的格式，由於不要求架構，因此能夠處理半結構化資料，這使得用戶能獲得更大的靈活度，儲存和查詢非總是遵循固定模式和資料類型的資料。以JSON資料類型擷取半結構化資料，BigQuery可獨立編碼和處理JSON欄位，並且透過點記法單獨查詢JSON資料欄位的數值。</p> <p>因此在BigQuery中，支援半結構化資料，能夠給用戶更大的自由度，並且減少處理相關問題的成本。Google提到，相較於從字串欄位擷取JSON元素，需要處理整個資料區塊，來得有效率許多，更具成本效益，而且即便是現有的資料表，也能應用這項新功能。</p> </div></div></div>
2022/1/10 09:16作者李建興https://www.ithome.com.tw/news/148778
Soli第2？Google、福特、晶片廠商推出雷達手勢控制新標準Ripple
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/132120" target="_blank">2015年推出雷達為基礎的動作感測技術Soli</a>後，Google連同福特汽車、三家晶片大廠等<a href="https://cta.tech/Ripple#hub" target="_blank">宣布新的雷達感測整合API標準Ripple</a>，暗示雷達感測將更整合到手機之外更多裝置。</p> <p>宣布Ripple API標準的聯盟成員包括Google、晶片業者英飛凌（Infeneon）、德儀（TI）、NXP、福特汽車及心肺訊號感測器開發Blumio。<a href="https://github.com/CTA-Ripple" target="_blank">根據Ripple GitHub網頁</a>，Ripple是開放雷達API標準，目的在協助軟、硬體相容及加速通用消費性雷達應用成長。這項技術已經向大眾開源。</p> <p><a href="https://twitter.com/GoogleATAP/status/1479165003076968454" target="_blank">Google先進技術專案事業群（GTAP）工程與技術專案總監Ivan Poupyrev指出</a>，Ripple將釋放造福所有人的科技創新，通用型雷達是以保護隱私實現關鍵使用情境的重要新興技術。</p> <p>雖然宣布Ripple技術的是CTA（Consumer Technology Association, CTA）成員廠商，<a href="https://www.theverge.com/2022/1/7/22872972/google-ripple-radar-standard-api-soli-ford" target="_blank">但媒體認為Google才是主要推手</a>。</p> <p>Ripple也令人聯想起Google 的Soli雷達動作感測技術。Soli原理是在晶片上建立小型雷達，曾整合在2019年的<a href="https://www.ithome.com.tw/news/132120" target="_blank">Pixel 4</a>、<a href="https://www.theverge.com/2016/5/20/11720876/google-soli-smart-watch-radar-atap-io-2016" target="_blank">智慧型手錶</a>及<a href="https://www.ithome.com.tw/news/147763" target="_blank">智慧螢幕Nest Hub</a>，可用於手勢指令感測、3D臉部辨識、睡眠狀態偵測。不過Soli感測不夠精確加上未找出關鍵使用情境，新版Pixel手機即未再使用。</p> <p>如果成員持續增加，新的Ripple則可能意謂雷達將可整合到更多裝置，包括汽車。不過<a href="https://www.theverge.com/2022/1/7/22872972/google-ripple-radar-standard-api-soli-ford" target="_blank">The Verge</a>引述福特研究與進階工程部門總監Jim Buczkowski指出，他們還在研究如何利用車內雷達來輔助現有的車外進階雷達，標準化API及半導體業者的參與，可協助他們開發獨立於硬體的軟體方案，並使其軟體部門開發跨越多種雷達平臺的創新。</p> <p>雷達感測優點在於不牽涉影像，更能保障用戶隱私，<a href="https://www.ithome.com.tw/news/145589" target="_blank">美國聯邦通訊委員會文件顯示Amazon可能正在開發以雷達偵測睡眠的裝置</a>。<a href="https://www.ithome.com.tw/news/142083" target="_blank">Business Insider報導</a>代號布拉姆斯（Brahms）的床邊裝置，可以雷達偵測人呼吸時的身體動作，因此可能用於偵測呼吸及睡眠狀態。</p> </div></div></div>
2022/1/10 09:43作者林妍溱https://www.ithome.com.tw/news/148784
波蘭執政黨承認購買Pegasus，但否認用於監控政敵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://www.dw.com/en/poland-top-leader-admits-government-bought-pegasus-spyware/a-60361211" target="_blank">DW</a>、<a href="https://www.politico.eu/article/kaczynski-poland-has-pegasus-but-didnt-use-it-in-the-election-campaign/" target="_blank">Politico</a>等報導，波蘭執政黨承認的確有採購間諜軟體Pegasus，但否認有用來監控反對黨。</p> <p>波蘭執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski在接受該國媒體訪問中承認，政府的確有向以色列軟體公司NSO Group採購Pegasus，並指出如果該國國安組織沒有這種技術是很可悲的事。</p> <p>波蘭政府顯然是回應<a href="https://www.ithome.com.tw/news/148629" target="_blank">上個月加拿大公民實驗室的研究發現</a>。該實驗室發現波蘭反對黨參議員Krzysztof Brejza的手機在2019年參與國會大選時遭駭30多次，遭植入間諜軟體，使其手機通訊內容外流國營電視臺以抹黑報導。反對陣營的律師及檢察官手機也被發現Pegasus蹤跡。</p> <p>得知此事後，Brejza稱三年前的國會選舉不公。2019年執政黨以些微幅度獲勝。</p> <p>Kaczynski強調，政府沒有用Pegasus來監控反對黨，反對黨口中稱執政黨的「政治動機用途」是胡說八道。</p> <p>不過波蘭應不是唯一採購Pegasus的政府。<a href="https://www.ithome.com.tw/news/146621" target="_blank">去年9月報導指出</a>德國警察機關也傳購買了這間諜軟體。</p> <p>NSO Group開發的Pegasus已被發現和多起記者、工會代表、政治家、人權運動及異議人士、美國務院員工及已故華盛頓郵報記者哈紹吉（Jamal Khashoggi）妻子手機遭監控有關。在遭到美國制裁後，<a href="https://www.ithome.com.tw/news/147654" target="_blank">NSO Group傳出</a>尋求出售或直接關閉Pegasus軟體業務。</p> </div></div></div>
2022/1/10 10:09作者林妍溱https://www.ithome.com.tw/news/148785
瑞士軍方禁用所有外來傳訊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/armee.ch/photos/a.556881021446957/1290770491391336/" target="_blank">瑞士軍方在去年12月29日於臉書官方粉絲頁上</a>，公開鼓勵軍人採用當地開發的Threema傳訊程式，因為該程式不會留下數位足跡。而外電則報導，瑞士軍方將禁止軍人使用所有外來的傳訊程式，且已於今年1月1日生效，只是尚無罰則。</p> <p>Threema為一由瑞士業者所開發的端對端加密傳訊程式，而且每年需要支付3.85歐元（4.35美元）的訂閱費用，不過，瑞士官方表示將會替軍人支付相關的訂閱費用。</p> <p>雖然瑞士軍方內部早就以Threema作為機密資訊的傳訊管道，但仍有不少當地軍人使用於瑞士最受歡迎的WhatsApp，或者是Telegram與Signal等其它傳訊程式。不過，<a href="https://www.vtg.admin.ch/de/service/info_trp/sicherheit/cyber-aktuell.html" target="_blank">軍方也曾建議軍人不要使用WhatsApp</a>，還說已有許多企業將WhatsApp列為黑名單，並警告在任何情況下都不應透過手機傳遞機密資訊。</p> <p>根據外電報導，瑞士軍方擔心機密資訊，會經由這些外來的傳訊程式外洩，包括美國在2018年所通過的雲端法案（Cloud Act），此一法案允許美國執法機構向法院申請存取美國業者境外資料的合法權力，而Threema即不受此法管轄。</p> </div></div></div>
2022/1/10 08:47作者陳曉莉https://www.ithome.com.tw/news/148780
Google及Meta因未能輕易讓使用者拒絕Cookie，被法國判處高額罰款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141608" target="_blank">2020年才因為亂丟Cookie追蹤用戶</a>、而被法國資訊主管機關CNIL（Commission nationale de l’informatique et des libertés）判罰1億歐元的Google，本周再因另一個Cookie事件遭CNIL重罰1.5億歐元。</p> <p>CNIL周四（1/6）指出，由於Google.fr、Youtube.com及Facebook.com讓使用者只透過一個按鍵就能接受所有的Cookie，而當使用者要拒絕這些Cookie時，卻需要好幾個按鍵才能拒絕所有的Cookie，此一程序影響了同意自由，違反《法國資料保護法》（French Data Protection Act），因而分別向Google及臉書判處1.5億歐元及6,000萬歐元的罰款。</p> <p>除了罰款之外，CNIL也要求Google及臉書要對使用者同意或拒絕Cookie的動作一視同仁，拒絕得跟同意一樣簡單，以保障用戶的同意自由，而且必須在3個月內履行，每延遲一天就得支付10萬歐元的罰款。</p> </div></div></div>
2022/1/10 09:05作者陳曉莉https://www.ithome.com.tw/news/148783
Amazon發布專業橋接器Sidewalk Bridge Pro，擴大物聯網共享網路Sidewalk覆蓋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon推出<a href="https://www.aboutamazon.com/news/devices/amazon-sidewalk-bridge-pro-offers-professional-grade-connectivity">Amazon Sidewalk Bridge Pro</a>裝置，進一步擴大物聯網網路共享專案Amazon Sidewalk。Amazon在2019年時發表Amazon Sidewalk，讓取得認證的裝置，能以藍牙進行通訊，並且分享彼此的頻寬，在2021年6月時，更在各種裝置中預設啟用Amazon Sidewalk，而現在官方要利用Ring專業級的橋接器Sidewalk Bridge Pro，將物聯網網路擴展至城市公園、大學和商業空間中。</p> <p>Amazon Sidewalk是一個共享網路，利用網狀網路來向支援的裝置提供網路連接。擁有Sidewalk橋接裝置的用戶，可以貢獻少量的Wi-Fi頻寬給其他用戶，以創建一個大型的共享網路。Sidewalk橋接裝置包括既有的Echo裝置、Ring Floodlight與Ring Spotlight戶外監視器，這些裝置使用900 MHz的藍牙頻段來相互溝通。</p> <p>Sidewalk專案使得用戶，無論是在家中、庭院還是鄰里間，都可以獲得物聯網網路覆蓋，追蹤器製造商Tiles也使用該網路，建立類似Apple的Find My網路。官方提到，當智慧裝置位在網路邊緣時，便會因為網路頻寬不穩，使得裝置難以獲得重要功能或是安全更新，而藉由Amazon Sidewalk，就能夠讓裝置向鄰近裝置分享頻寬，使得處在網路邊緣的裝置，得以維持更新狀態。</p> <p>Amazon Sidewalk Bridge Pro能夠進一步擴展Sidewalk，這是一種適用於企業、政府、大學和公共服務的新型專業橋接器，官方提到，該裝置可以解決網路連接受限的問題。Sidewalk Bridge Pro橋接裝置提供更遠的訊號射程以及更大的容量，具有強健的外殼，能夠安裝於戶外，用戶可以選擇使用室內或室外的天線，涵蓋約8公里範圍內的上百臺裝置。</p> <p>官方提到，Sidewalk Bridge Pro能夠讓Sidewalk應用在更多的情境中，包括安裝在商業中心、公園和荒野等地的陽光感測器、空氣品質指示器，以及濕度感測器等。目前Amazon啟動兩個新的試驗專案，分別與亞利桑那州立大學合作，研究智慧城市應用，以及與Thingy共同研究野火防治。</p> </div></div></div>
2022/1/10 09:09作者李建興https://www.ithome.com.tw/news/148775
AWS K8s服務EKS開始支援IPv6
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布，用戶可以在EKS（Elastic Kubernetes Service）上，部署使用IPv6地址空間的應用程式。</p> <p>用戶可以透過使用Kubernetes，來標準化雲端和本地端應用程式基礎設施平臺，而Kubernetes使用平面的網路模型，該模型要求每個Pod都需要使用一個IP地址，AWS提到，這種方法能夠使應用程式，簡單地從虛擬機器搬遷到容器中，但缺點就是要大量的IP地址。</p> <p>部分私有的VPC IPv4網路無法處理如此大量的IP地址需求，管理員便會透過安裝容器網路擴充套件（CNI），在VPC之上建立一個IP地址虛擬層，但該架構限制了管理員觀察和排除應用程式故障的能力，對大規模網路效能產生負面影響。</p> <p>此外，為了與VPC外的網際網路服務相互通訊，來自IPv4 Pod的流量，在到達目的地之前，會透過多個網路跳躍點進行路由，而這會增加延遲，並給需要維護複雜路由配置的網路工程團隊，帶來更大的維護壓力。</p> <p>AWS表示，要避免IP位置耗盡，最大程度減少延遲，以及簡化路由配置，解決方案便是使用IPv6。將EKS叢集結合IPv6網路，主要具有四個優點，第一，用戶可以在單個主機和子網上，執行更多的Pod，而且不會用盡VPC上所有可用的IPv4地址，第二，則是能避免額外的NAT跳躍點，允許本地、AWS和網際網路上執行的其他IPv6服務，進行低延遲通訊。</p> <p>第三則是能降低網路工程師維護複雜路由配置的負擔，Kubernetes叢集管理員也可以專注於搬遷和擴展應用程式，不需要花費精力解決IPv4限制，最後，一旦Pod網路配置完成，Pod便可以在叢集之外，和IPv4應用程式通訊，這讓用戶可以在EKS上獲得IPv6的優勢，但又不需要將組織中部署的所有相關服務搬遷到IPv6。</p> <p>EKS的IPv6地址，同樣由VPC CNI Kubernetes擴充套件配置，該套件會自動依據用戶在創建叢集時，對Pod所做的選擇進行配置，而且用戶也只能在創建叢集時啟用IPv6，目前還無法將叢集從IPv4直接搬遷使用IPv6，用戶想要搬遷現有叢集使用IPv6，便需要將工作負載重新部署到IPv6叢集中，並且逐漸將流量從IPv4轉移到IPv6上。</p> </div></div></div>
2022/1/10 09:12作者李建興https://www.ithome.com.tw/news/148777
與時間賽跑！Log4Shell修補迫在眉睫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年12月至今，Log4Shell漏洞相關事件持續佔據全球資安新聞的版面，甚至有不少軟體開發人員、資安人員，可能無法安心放年假而持續進行各種修補工作。</p> <p>然而，即便Log4Shell漏洞已經鬧得沸沸揚揚，也陸續出現多種惡意軟體與網路攻擊出手開打的消息，然而，還是有許多人並不知道這件事情的嚴重性，雖然有不少身處火線的資安廠商，持續發布、更新相關動態，但還是必須要加把勁宣導，不斷提醒用戶正視這個漏洞，及早著手開始修補，否則屆時攻擊者將如入無人之境，深入企業網路環境與多種IT系統胡作非為。</p> <p>在相關訊息的通報與溝通上，身為臺灣長期報導資安新聞的我們，目前從電子郵件與即時通訊平臺Line，看到部分廠商針對Log4Shell發布漏洞因應的警訊，以及表明自身產品與服務不受影響，有些則是近期由我們與其主動與其聯繫，而得知他們的確持續向用戶宣導此漏洞的嚴重性。</p> <p>以臺灣資安廠商而言，我們看到曜祥網技、中芯數據、台眾電腦，均透過電子郵件說明概況，軟體廠商的部分，我們最近剛好洽詢網擎資訊與鼎新電腦，他們也表明產品不受影響，在自家網站也提出說明，能做到主動資訊揭露是值得稱許的。</p> <p>在國際資安廠商的部分，透過電子郵件傳達相關資訊的業者，我們看到有代理F-Secure的湛揚科技、Sophos、Palo Alto Networks，發出相關的eDM呼籲大家重視這項資安議題，而我們因Log4j與Log4Shell漏洞而與其洽詢的一些廠商，像是：WhiteSource代理商叡揚資訊、Sonatype代理商群鉅整合資安，也提供他們本身的用戶調查數據，以及原廠的統計資訊。而透過Line來發送相關資訊的業者，則是Fortinet。</p> <p>在大型IT廠商的部分，我們也在另一篇系列文章中，整理出9家主要雲端、系統、軟體業者的公開資訊，以有限的篇幅與版面，列出目前已知受影響的各種企業級軟硬體產品與服務項目，希望讓大家仔細去看看，了解Log4Shell漏洞對於整個IT產業的衝擊有多大，以及他們開誠布公揭露目前的狀態。</p> <p>透過這樣的內容呈現，應該有助於促使用戶了解Log4Shell漏洞的嚴重性，並期盼大家不要漠視自己應有的使用權利與售後服務，要求更多廠商積極去追查、公布相關事宜，將處理狀態透明化，如此一來，才有辦法儘快將此漏洞所能造成的資安風險降至最低。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Forescout%20advisor%202022-01-04_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Forescout.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Forescout</span><br /><strong>關於Log4Shell漏洞處理，主打端點系統資安防護的廠商Forescout列出4個處理階段，企業可透過識別、調查、修補、監控來管控有漏洞的系統或設備。</strong></span></p> <p><span style="font-size:28px;"><strong>踏出第一步：盤點具有Log4Shell漏洞的系統與設備</strong></span></p> <p>由於Log4j廣受許多系統與設備採用，光是要進行完整的盤點作業，可能就是一項相當浩大的工程，所幸，在許多人的努力之下，出現許多可用的資源，可供大家運用。</p> <p>例如，在GitHub這個全球知名的程式碼共享的網站服務上，荷蘭國家網路安全中心（NCSC-NL）設立免費掃描工具的資訊專區，網址是<a href="https://github.com/NCSC-NL/log4shell/tree/main/scanning">https://github.com/NCSC-NL/log4shell/tree/main/scanning</a>，當中提供CVE-2021-44228漏洞偵測工具，以及檢查Java應用程式是否使用Log4j2的偵測工具。</p> <p class="rtecenter"><a href="https://github.com/NCSC-NL/log4shell/tree/main/scanning" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-response-NCSC-NL.png" style="width: 600px;" /></a></p> <p>而在商用軟體的部分，選擇就更多了，許多廠商都紛紛強調他們提供免費掃描工具，像是原本就聚焦在開放原始碼軟體安全領域的WhiteSource，以及Sonatype，都釋出相關的資源。</p> <p>以WhiteSource為例，他們在GitHub設置Log4j版本偵測工具Log4jDetect的專區，網址是：<a href="https://github.com/whitesource/log4j-detect-distribution">https://github.com/whitesource/log4j-detect-distribution</a>，可協助盤點應用系統與設備，檢查這當中是否使用有弱點的Log4j版本，並且針對Windows、Linux、Mac平臺，提供可執行的版本。</p> <p class="rtecenter"><a href="https://github.com/whitesource/log4j-detect-distribution" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-response-whitesource.png" style="width: 600px;" /></a></p> <p>Sonatype則是主打他們原本就提供的免費掃描工具，名為Nexus Vulnerability Scanner，但要輸入自身聯絡資訊才能取得，針對Windows、Unix、Mac平臺，提供可執行的版本。</p> <p>而在商用等級的產品上，上述兩個廠牌也都有功能更完整的解決方案。以WhiteSource而言，提供單一代理程式（Unified Agent），能夠檢測200種以上的程式語言。而在盤點完成後，用戶能更快知道各個應用系統使用到的特定套件，節省人力與時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-Sonatype%20remediation%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSonatype.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Sonatype</span><br /><strong>在漏洞修正上，Sonatype提供了三種解決方案，圖中是Nexus Lifecycle，可橫跨多種應用系統，執行log4j-core套件的弱點辨識與修正。</strong></span></p> <p><span style="font-size:28px;"><strong>持續落實全面而徹底的修補作業</strong></span></p> <p>面對廣泛的各種系統與設備，若順利完成漏洞盤點掃描作業，接下來要面對的難題，挑戰可能更大，那就是實際執行漏洞的修補。</p> <p>關於這部份的工作，難度很大，因為需確保系統與設備能夠在修補漏洞之後，還能繼續正常運作，甚至有些狀況還必須特別排定停機時間，才能著手進行，因此，過去以來，很多人在這個關卡可能就放棄了。</p> <p>而在Log4j免費漏洞修補的工具上，目前較少看到有人或廠商提供這樣的解決方案，但還是有特例。例如，WhiteSource同樣在GitHub設立Log4j矯正工具專區，名為log4j-remediations，網址是<a href="https://github.com/whitesource/log4j-remediations">https://github.com/whitesource/log4j-remediations</a>。</p> <p class="rtecenter"><a href="https://github.com/whitesource/log4j-remediations" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-response-whitesource-2.png" style="width: 600px;" /></a></p> <p>而在商用等級的產品當中，我們看到WhiteSource提供的平臺，能夠彙整數十個弱點資料庫，以及開放原始碼軟體資料庫，而該公司也有專門的研究人員，能在各種弱點剛發布修復方式之後，就會立即更新其資料庫，讓開發人員知道怎麼修復。</p> <p>此外，他們的WhiteSource Remediate也提供更多開發流程的整合運用方式，例如，可結合版本控制軟體服務（GitHub），當程式提交至版本控制服務時，可立即觸發漏洞掃描機制，向用戶提示當中搭配的軟體套件有資安弱點，或是有更新版本可選，之後，還可以自動產生拉取請求（Pull Request），用戶能選擇自動更新或手動更新，以便所搭配的軟體套件能保持在最新、最安全的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-WhiteSource%E6%B8%85%E6%9F%A5log4j%E5%BC%B1%E9%BB%9E%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%A1%E6%8F%9A%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／叡揚資訊</span><br /><strong>若不想成為Log4Shell漏洞濫用攻擊的受害者，企業須盡快清查具有Log4j弱點的系統，目前已有多種工具可協助開發者與資安人員盤查，圖中的WhiteSource平臺就是一例。</strong></span></p> <p>除了專攻開放原始碼軟體安全防護的解決方案，企業也可以考慮導入市面上發展已久的弱點管理系統，像是Qualys和Tenable等廠商，他們也有相當成熟的產品可供採用，而且，這些廠牌的系統，已能涵蓋到物聯網、OT等環境。</p> </div></div></div>
2022/1/10 07:00作者李宗翰https://www.ithome.com.tw/news/148754
Log4Shell影響的企業IT解決方案摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span></span></p> <p class="rtecenter"><a href="https://aws.amazon.com/tw/security/security-bulletins/AWS-2021-006/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-AWS(1).png" style="width: 590px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 公告網址 </span></strong></span> <a href="https://aws.amazon.com/tw/security/security-bulletins/AWS-2021-006/" target="_blank"><strong>https://aws.amazon.com/tw/security/security-bulletins/AWS-2021-006/</strong></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 類型 </span></strong></span> <strong>雲端服務</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 解決方案名稱 </span></strong></span></p> <p><strong>Amazon API Gateway、Amazon AppFlow、AWS AppSync、AWS Certificate Manager、Amazon Chime、Amazon Athena、Amazon Cloud Directory、Amazon CloudFront、AWS CloudHSM、Amazon CloudWatch、AWS CodePipeline、AWS CodeBuild、Amazon Cognito、Amazon Connect、Amazon Corretto、Amazon DocumentDB、Amazon DynamoDB、Amazon EC2、Amazon ECS、Amazon EKS、AWS Elastic Beanstalk、Amazon ElastiCache、AWS Elastic Load Balancing、Amazon EMR、Amazon EventBridge、AWS Fargate、Amazon ECR Public / Amazon ECR、Amazon Fraud Detector、AWS Glue、AWS Greengrass、Amazon Inspector / Inspector Classic、AWS IoT SiteWise Edge、Amazon Kendra、Amazon Keyspaces (適用於Apache Cassandra)、Amazon Kinesis / Kinesis Data Analytics / Kinesis Data Streams、AWS Key Management Service(KMS)、AWS Lake Formation、AWS Lambda、Amazon Lex、Amazon Linux、Amazon Lookout for Equipment、Amazon Macie、Amazon Macie Classic、AMS、Amazon Managed Streaming for Apache Kafka (MSK)、Amazon Managed Workflows for Apache Airflow (MWAA)、Amazon MemoryDB for Redis、Amazon Monitron、Amazon MQ、Amazon Neptune、Amazon OpenSearch Service、Amazon Pinpoint、Amazon Polly、Amazon QuickSight、Amazon Redshift、Amazon Rekognition、AWS Secrets Manager、Amazon Simple Notification Service (SNS)、Amazon Simple Queue Service (SQS)、Amazon Simple Workflow Service (SWF)、Amazon Single Sign-On、AWS Service Catalog、AWS Systems Manager、Amazon Timestream、Amazon VPC、Amazon RDS / RDS Oracle、Amazon Route53、Amazon S3、Amazon SageMaker、AWS SDK、AWS Step Functions、AWS Textract、AWS Web Application Firewall (WAF)、Amazon WorkSpaces/AppStream 2.0、NICE</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Dell </span></strong></p> <p class="rtecenter"><a href="http://www.dell.com/support/kbdoc/zh-tw/000194414/dell-response-to-apache-log4j-remote-code-execution-vulnerability" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-dell.png" style="width: 588px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://www.dell.com/support/kbdoc/zh-tw/000194414/dell-response-to-apache-log4j-remote-code-execution-vulnerability" target="_blank"><strong>https://www.dell.com/support/kbdoc/zh-tw/<br /> 000194414/dell-response-to-apache-log4j-remote-code-execution-vulnerability</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></span></p> <p><strong>Dell EMC Avamar、Dell EMC BSN Controller Node、Dell EMC Cloud Disaster Recovery、Dell EMC Data Protection Advisor、Dell EMC Data Protection Central、Dell EMC Data Protection Search、Dell EMC ECS、Dell EMC Enterprise Storage Analytics for vRealize Operations、Dell EMC Integrated System for Azure Stack HCI、Dell EMC Integrated System for Microsoft Azure Stack Hub、Dell EMC Metro Node、Dell EMC NetWorker、Dell EMC NetWorker VE、Dell EMC Networking Virtual Edge Platform with VersaOS、Dell Open Management Enterprise – Modular、Dell EMC OpenManage Enterprise Services、Dell EMC OpenManage Enterprise、Dell EMC PowerFlex Appliance、Dell EMC PowerFlex Software (Storage Data Server)、Dell EMC PowerFlex Rack、Dell EMC PowerProtect Data Manager、Dell EMC PowerProtect DP Series Appliance (iDPA)、Dell EMC PowerStore、Dell EMC RecoverPoint、Dell EMC Ruckus SmartZone 100 Controller、Dell EMC Ruckus SmartZone 300 Controller、Dell EMC Ruckus Virtual Software、Dell EMC SRM vApp、Dell EMC Streaming Data Platform、Dell EMC VxRail、Dell EMC Unity、Dell EMC XC、APEX Console、APEX Data Storage Services、Cloud IQ、Connectrix (Cisco MDS DCNM)、Connectrix B-Series SANnav、Data Domain OS、Enterprise Hybrid Cloud、Secure Connect Gateway (SCG) Appliance、Secure Connect Gateway (SCG) Policy Manager、SRS Policy Manager、SmartFabric Director、Storage Center - Dell Storage Manager、SupportAssist Enterprise、Unisphere Central、Vblock、VNXe 1600、VNXe 3200、VxBlock、vRealize Orchestrator (vRO) Plug-ins for Dell EMC Storage、vRealize Data Protection Extension Data Management、Wyse Management Suite</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></p> <p class="rtecenter"><a href="https://cloud.google.com/log4j2-security-advisory" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-google.png" style="width: 589px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://cloud.google.com/log4j2-security-advisory" target="_blank"><strong>https://cloud.google.com/log4j2-security-advisory</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>雲端服務</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>Actifio、AppSheet、Cloud Bigtable、Cloud Monitoring、Cloud SDK、Data Catalog、Data Fusion、Dataproc、Dataproc Metastore、Deep Learning Containers、Deep Learning VMs、Google Cloud VMware Engine、Looker、Migrate for Compute Engine (M4CE)、Notebooks、Vertex AI Workbench</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> HPE </span></strong></p> <p class="rtecenter"><a href="https://techhub.hpe.com/eginfolib/securityalerts/Apache%20Software%20Log4j/Apache_Software_Log4j.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-hpe.png" style="width: 588px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://techhub.hpe.com/eginfolib/securityalerts/Apache%20Software%20Log4j/Apache_Software_Log4j.html" target="_blank"><strong>https://techhub.hpe.com/eginfolib/securityalerts/<br /> Apache%20Software%20Log4j/Apache_Software_Log4j.html</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046、CVE-2021-4104、CVE-2021-45105</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>HPE 3PAR Service Processor、HPE 5G Core Stack(5GCS) 、HPE Authentication Server Function、HPE ConvergedSystem 700、HPE ConvergedSystem 700 for Virtualization Components and Blocks、HPE ConvergedSystem 700x、HPE ConvergedSystem 700x for Cloud、HPE ConvergedSystem 750 for Virtualization、HPE ConvergedSystem 750 for Virtualization Components and Blocks、HPE Cray EX System Monitoring Application、HPE Cray System Management、HPE Data Center Fabric Manager (DCNM)、HPE Data Management Framework 7、HPE Device Entitlement Gateway (DEG)、HPE Dragon、HPE Dynamic SIM Provisioning (DSP)、HPE Edge Infrastructure Automation、HPE Ezmeral Container Platform、HPE Ezmeral Data Fabric、HPE Ezmeral Ecosystem PackElastic Search、HPE Enhanced Interactive Unified Mediation (eIUM)、HPE Hyper Converged 250 System、HPE Hyper Converged 380、HPE Integrated Home Subscriber Server Software系列、HPE Intelligent Management Center (iMC)、HPE Infosight for Storage、HPE Intelligent Assurance、HPE Media Workflow Master (MWM)、HPE Network Function Virtualization Director、HPE Parallel File System Storage、HPE Performance Cluster Manager、HPE Real Time Management System (RTMS) 、HPE Remote SIM Provisioning Manager (RSPM)、 HPE Service Director (SD)、HPE Revenue Intelligence Software系列、HPE SANnav Management Software、HPE SimpliVity 325 Gen10、HPE SimpliVity 380 Gen9、HPE SimpliVity 380 Gen10、HPE SimpliVity 2600 Gen10、HPE StoreServ Management Console (SSMC) 、HPE Telecom Analytics Smart Profile Server、HPE Telecom Management Information Platform Software 系列、HPE Trueview Inventory Software系列、HPE Unified Data Management、HPE Universal IoT (UioT) Platform、HPE User Data Repository(UDR)、HPE Unstructured Data Storage Function(UDSF) 、HPE Virtual Headend Manager、HPE XP7 Automation Director Software、HPE XP7 Intelligent Storage Manager、HPE XP Plugin -vCenter Storage Plugin、HPE XP Plugin - Redhat Ansible, Terraform, OLVM、HPE XP Performance Advisor Software、HP XP Command View Advanced Edition Software、Atlas Data Orchestrator、Cray ClusterStor Data Services、Cray View for ClusterStor、Silver Peak Orchestrator、SimpliVity OmniCube</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></p> <p class="rtecenter"><a href="http://www.ibm.com/blogs/psirt/an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-IBM.png" style="width: 588px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://www.ibm.com/blogs/psirt/an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/" target="_blank"><strong>https://www.ibm.com/blogs/psirt/<br /> an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>雲端服務與企業內部建置產品</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>● 雲端服務</strong></p> <p><strong>IBM Account Group Insights、IBM Benefits Mentor with Watson、IBM Client Data Gateway for Health、IBM Cloud Foundry Public、IBM DataProbe、IBM Digital Health Pass、IBM Explorys Platform with EPM、IBM Explorys Therapeutic Datasets Delivered、IBM Health Insights Dashboards、IBM Health Insights Explorer、IBM Health Insights Watson Change Detection、IBM Health Interoperability、IBM MarketScan Inpatient View and Outpatient View、IBM Micromedex Pharmaceutical Knowledge、IBM Micromedex with Watson、IBM Phytel Atmosphere、IBM Return-to-Workplace Advisor、IBM Security Verify、IBM Supply Chain Business Network、IBM Watson Care Manager、Analytics Engine、API Connect for IBM Cloud、App ID、Certificate Manager、Cloud Object Storage、Cloud Object Storage、Cloudant、Container Registry、Container Security Services、Continuous Delivery、DataStage SaaS、DB2 on Cloud、DB2 Warehouse on Cloud、DynaMed & Micromedex with Watson、Hyper Protect DBaaS for MongoDB、Hyper Protect DBaaS for PostgreSQL、Hyper Protect Virtual Server、Internet Services、J-SURS、Knowledge Studio、Managed VMware Service、Match 360 with Watson、Natural Language Understanding、Watson Assistant、Watson Discovery、Watson Knowledge Catalog、Watson Machine Learning、Watson Openscale、Watson Query、Watson Speech to Text、Watson Studio、Watson Text to Speech、Watson Tone Analyzer</strong></p> <p><strong>● 企業內部建置產品</strong></p> <p><strong>IBM API Connect、IBM App Connect Enterprise Certified Container、IBM App Connect Enterprise、IBM Application Navigator、IBM Business Automation Workflow、IBM Business Automation Workflow、IBM Business Process Manager、IBM Case Manager、IBM Cloud APM、IBM Cloud Application Business Insights、IBM Cloud Foundry Migration Runtime、IBM Cloud Object Storage File Access、IBM Cloud Object Storage Systems、IBM Cloud Pak for Applications、IBM Cloud Pak for Business Automation、IBM Cloud Pak for Watson AIOps、IBM Cloud Private、IBM Cloud Transformation Advisor、IBM Cognos Analytics、IBM Cognos Controller、IBM Content Navigator、IBM Control Center、IBM Cúram Social Program Management、IBM Data Risk Manager、IBM Data Virtualization on Cloud Pak for Data、IBM Db2、IBM Db2 Big SQL、IBM Db2 On Openshift, IBM Db2 and Db2 Warehouse on Cloud Pak for Data、IBM DB2 Warehouse、IBM Db2 Web Query for i、IBM Disconnected Log Collector、IBM Edge Application Manager、IBM Elastic Storage System、IBM Engineering Lifecycle Optimization、IBM Engineering Requirements Management DOORS、IBM Engineering Systems Design Rhapsody、IBM Event Streams、IBM Financial Transaction Manager、IBM i2 Analyze / Connect / Analyst’s Notebook Premium、IBM Informix Dynamic Server in Cloud Pak for Data、IBM InfoSphere Global Name Management、IBM Integrated Analytics System in the Db2 warehouse container、IBM Jazz for Service Management、IBM Jazz Team Server based applications、IBM License Metric Tool、IBM LKS Administration And Reporting Tool and IBM LKS Administration Agent、IBM MaaS360 Enterprise Gateway Module、IBM MQ blockchain bridge component of IBM MQ、IBM Netcool Agile Service Manager、IBM Observability with Instana、IBM OpenPages for IBM Cloud Pak for Data、IBM OpenPages with Watson、IBM Operations Analytics – Log Analysis、IBM Operations Analytics Predictive Insights、IBM Planning Analytics Workspace component within IBM Planning Analytics、IBM Power Hardware Management Console、IBM QRadar Risk Manager、IBM QRadar User Behavior Analytics、IBM Resilient SOAR、IBM Secure External Authentication Server、IBM Secure Proxy、IBM Security Access Manager Appliance and IBM Security Verify Access、IBM Security Access Manager for Enterprise Single-Sign On、IBM Security Guardium、IBM Security Guardium Data Encryption、IBM Security Guardium Insights、IBM Spectrum Archive Enterprise Edition、IBM Spectrum Conductor、IBM Spectrum Control、IBM Spectrum Copy Data Management、IBM Spectrum LSF、IBM Spectrum LSF Explorer and IBM Spectrum LSF Application Center、IBM Spectrum LSF Suite and IBM Spectrum LSF Suite for HPA、IBM Spectrum Protect Client Web GUI and IBM Spectrum Protect for Virtual Environments、IBM Spectrum Protect for Space Management、IBM Spectrum Protect Operations Center、IBM Spectrum Protect Plus、IBM Spectrum Protect Plus Container Backup and Restore、IBM Spectrum Protect Snapshot for VMware、IBM Spectrum Protect Snapshot for Windows、IBM Spectrum Protect Snapshot on Windows、IBM Spectrum Scale、IBM Spectrum Scale for IBM Elastic Storage Server、IBM Spectrum Symphony、IBM SPSS Analytic Server、IBM SPSS Modeler、IBM SPSS Statistics、IBM SPSS Statistics Desktop、IBM SPSS Statistics Server、IBM SPSS Statistics Subscription、IBM Sterling Configure, Price, Quote、IBM Sterling Connect:Direct、IBM Sterling Partner Engagement Manager、IBM Telco Network Cloud Manager、IBM Telco Network Cloud Manager – Performance、IBM Tivoli Netcool Impact、IBM Tivoli Netcool/OMNIbus Common Integration、IBM Tivoli Network Manager IP Edition、IBM UrbanCode Velocity、IBM Watson Discovery for IBM Cloud Pak for Data、IBM Watson Explorer、IBM Watson Studio Premium Add On in Cloud Pak for Data、IBM WebSphere Application Server、IBM WebSphere Application Server Patterns、IBM WebSphere Automation for IBM Cloud Pak for Watson AIOps、IBM WebSphere Hybrid Edition、IBM WebSphere Remote Server、IBM Workload Scheduler、Atlas eDiscovery Process Management、Automation Assets in IBM Cloud Pak for Integration、Brocade SANnav、Cloud Pak for Business Automation、Cloud Pak for Data、Cloud Pak for Security、Collaboration and Deployment Services、Content Collector for Email、Content Collector for File Systems、Content Collector for IBM Connections、Content Collector for Microsoft SharePoint、Content Collector for Microsoft SharePoint、Decision Optimization for Cloud Pak for Data、DS8000 Hardware Management Console、Netcool Operation Insight、Netcool/Omnibus、NovaLink、Operations Dashboard in IBM Cloud Pak for Integration、Tivoli Composite Application Manager for Application Diagnostics、Watson Knowledge Catalog InstaScan、Watson Machine Learning in Cloud Pak for Data、Watson Studio in Cloud Pak for Data</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></p> <p class="rtecenter"><a href="https://msrc-blog.microsoft.com/2021/12/11/ microsofts-response-to-cve-2021-44228-apache-log4j2/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-%E5%BE%AE%E8%BB%9F.png" style="width: 570px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://msrc-blog.microsoft.com/2021/12/11/microsofts-response-to-cve-2021-44228-apache-log4j2/" target="_blank"><strong>https://msrc-blog.microsoft.com/2021/12/11/<br /> microsofts-response-to-cve-2021-44228-apache-log4j2/</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>雲端服務與軟體</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>Azure Arc-enabled Data Services / SQL Arc-enabled data services、Azure HDInsight、Minecraft: Java Edition、SQL Server 2019 Big Data Clusters</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></p> <p class="rtecenter"><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5294" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-%E8%BC%9D%E7%91%9E.png" style="width: 585px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5294" target="_blank"><strong>https://nvidia.custhelp.com/app/answers/detail/a_id/5294</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046、CVE-2021-45105</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>軟體開發套件、系統軟體</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>CUDA Toolkit 11.5之前版本：Visual Profiler、CUDA Toolkit 11.0之前版本：Nsight Eclipse Edition、DGX-1/ DGX-2 /DGX A100 / DGX Station / DGX Station A100：DGX OS 4與5版、NetQ 2.x至4.0.x版、vGPU軟體授權伺服器2021.07與2020.05 Update 1</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Red Hat </span></strong></p> <p class="rtecenter"><a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-009" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-%E7%B4%85%E5%B8%BD.png" style="width: 570px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-009" target="_blank"><strong>https://access.redhat.com/security/vulnerabilities/RHSB-2021-009</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>Red Hat AMQ Streams 1、Red Hat CodeReady Studio 12、Red Hat Data Grid 8、Red Hat Enterprise Application Platform 7、Red Hat Fuse 7、Red Hat Integration Camel K、Red Hat Integration Camel Quarkus、Red Hat OpenShift 3.11、Red Hat OpenShift 4(4.6 / 4.7/ 4.8)、Red Hat OpenShift Application Runtimes Vert.X 4 / 1.0、Red Hat OpenShift Logging(5.0 / 5.1 / 5.2 / 5.3)、Red Hat OpenStack Platform 13(Queens)、Red Hat Process Automation Manager 7</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></p> <p class="rtecenter"><a href="https://www.vmware.com/security/advisories/VMSA-2021-0028.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-vmware.png" style="width: 580px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://www.vmware.com/security/advisories/VMSA-2021-0028.html" target="_blank"><strong>https://www.vmware.com/security/advisories/VMSA-2021-0028.html</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品與雲端服務</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>VMware AppDefense Appliance、VMware Carbon Black Cloud Workload Appliance、VMware Carbon Black EDR Server、VMware Cloud Foundation、VMware Cloud Director Object Storage Extension、VMware Cloud Provider Lifecycle Manager、VMware Harbor Container Registry for VMware Tanzu Kubernetes Grid Integrated Edition、VMware HCX、VMware Horizon、VMware Horizon Agents Installer、VMware Horizon Cloud Connector、VMware Horizon DaaS、VMware Identity Manager、VMware Integrated OpenStack、VMware NSX Data Center for vSphere、VMware NSX-T Data Center、VMware NSX-T Intelligence Appliance、VMware SD-WAN VeloCloud Orchestrator(VCO)、VMware Smart Assurance M&R、VMware Smart Assurance Network Configuration Manager (NCM)、VMware Smart Assurance Service Assurance Manager (SAM)、VMware Site Recovery Manager, vSphere Replication、VMware Tanzu GemFire、VMware Tanzu GemFire for VMs、VMware Tanzu Greenplum Platform Extension Framework、VMware Tanzu Operations Manager、VMware Tanzu Application Service for VMs、VMware Tanzu Kubernetes Grid Integrated Edition、VMware Tanzu Observability by Wavefront Nozzle、VMware Tanzu Observability Proxy、VMware Tanzu Scheduler、VMware Telco Cloud Operations、VMware Unified Access Gateway、VMware vCenter Server、VMware vCenter Cloud Gateway、VMware vRealize Automation、VMware vRealize Business for Cloud、VMware vRealize Lifecycle Manager、VMware vRealize Log Insight、VMware vRealize Network Insight、VMware vRealize Operations、VMware vRealize Operations Cloud (Cloud Proxy)、VMware vRealize Operations Tenant App for VMware Cloud Director VMware vRealize Orchestrator、VMware WorkspaceOne Access、VMware Workspace ONE Access Connector、API Portal for VMware Tanzu、App Metrics、Greenplum Text、Healthwatch for Tanzu Application Service、Single Sign-On for VMware Tanzu Application Service、Spring Cloud Gateway for Kubernetes、Spring Cloud Gateway for VMware Tanzu、Spring Cloud Services for VMware Tanzu</strong></p> </div></div></div>
2022/1/10 07:00作者李宗翰https://www.ithome.com.tw/news/148755
十年來最嚴重的資安漏洞！Log4Shell來襲
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年進入尾聲之際，Java應用程式記錄程式庫Log4j的資安漏洞Log4Shell浮上檯面，因允許遠端執行任意程式碼，而被公認具有高度風險，再加上許多系統、雲服務與軟硬體系統都可能正在使用未修補的Log4j版本，以及濫用漏洞的網路攻擊活動相繼出現，使得全球IT與OT環境再度因通用軟體元件的漏洞而陷入重大危機。</p> </div></div></div>
2022/1/10 07:00作者李宗翰https://www.ithome.com.tw/article/148766
【資安週報】2022年1月3日至7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年12月延燒至今的Log4Shell漏洞影響程度究竟有多大？除了五眼聯盟聯合發出警告，也有國家特別召集企業探討此事，我們還可以從本週美國聯邦貿易委員會（FTC）下達的公告，來看出端倪。這份公告特別向企業施壓，做好對於Log4Shell漏洞的因應，並警告一旦因這項漏洞導致客戶的資料外洩，他們將會採取法律行動。有別於過往FTC都是點名特定的企業祭出處罰，這次他們發出的公告，也突顯出此漏洞極為險峻，不惜以法律行動要求企業趕快處理。</p> <p>不只上述的公告特別引起各界關注，<a href="https://www.ithome.com.tw/news/148739">也有資安業者特別提到企業要準備長期抗戰</a>，該公司提到他們已經看到各式各樣的攻擊，且這樣的態勢仍在延續，加上Log4j存在許多應用系統裡，企業一時半刻往往難以修補完成，研判該漏洞的危害可能還會擴大。</p> <p>另一方面，過往較少出現的攻擊手法也值得我們留意。例如，美國警方發現停車計費器被貼上QR Code，攻擊者意圖對於想要使用行動支付的車主下手，藉著這種二維碼引導被害人到假的付款網站，來騙取信用卡資料。這種利用QR Code進行詐騙的情況，已有前例，例如，國內張貼商家和各式場所的實名制二維碼，過往也曾經傳出部分遭到竄改的情事，由於光是檢視QR Code很難察覺有異，民眾掃描這種條碼還是要小心。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/ftc-warns-companies-to-secure-consumer-data-from-log4j-attacks/"><span style="color: rgb(0, 0, 0);">美國政府要求企業力求客戶資料免於Log4Shell威脅，否則將採取法律行動</span></a></strong></h4> <p>美國聯邦貿易委員會（FTC）於1月4日發布公告，要求企業要防範Log4Shell漏洞的相關攻擊，以免客戶資料因此外洩。該單位揚言若是企業沒有採取適當的保護措施，他們可能會採取法律行動。FTC亦建議企業遵循美國網路安全暨基礎架構安全局（CISA）的指引，來緩解Log4Shell漏洞帶來的威脅。</p> <h4><a href="https://www.cyberscoop.com/chinese-hackers-use-log4j-exploit-to-go-after-academic-institution/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織利用Log4Shell攻擊學術機構</strong></span></a></h4> <p>資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。</p> <h4><strong><a href="https://portswigger.net/daily-swig/java-rmi-services-often-vulnerable-to-ssrf-attacks-research"><span style="color: rgb(0, 0, 0);">Java的RMI機制恐被用於伺服器端請求偽造攻擊</span></a></strong></h4> <p>日前駭客鎖定Log4Shell發動攻擊時，有部分攻擊行動駭客改以遠端方法呼叫（RMI）下手。但資安人員認為，駭客在其他針對Java程式語言開發的系統的攻擊過程裡，利用RMI的情況可能也相當嚴重。研究人員Tobias Neitzel指出，他發現能利用RMI來發動伺服器端請求偽造（SSRF）攻擊手法，原因可能是IT人員難以設置能夠保護RMI的組態，其中最常用的RMI服務JMX，很可能成為攻擊者優先鎖定的目標。這名研究人員也提供相關緩解措施。</p> <h4><a href="https://www.ithome.com.tw/news/148747"><span style="color: rgb(0, 0, 0);"><strong>NCC警告小米Mi 10T 5G手機存在過濾中國敏感政治詞彙的功能，恐有回傳資訊疑慮</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png" style="width: 300px; float: right;" /></a>國家通訊傳播委員會（NCC）於1月6日表示，在臺灣販售的小米Mi 10T 5G手機，經檢測發現手機內建的應用軟體，會對中國敏感政治詞彙進行比對，甚至可能進一步回傳資訊，提醒民眾重視手機的個人隱私保護意識。NCC調查的動機，起因是<a href="https://www.ithome.com.tw/news/146838">2021年9月立陶宛政府發現，Xiaomi Mi 10T 5G含有資安風險</a>，NCC隨後委託電信技術中心（TTC）檢測在臺灣銷售的同款手機，發現多款內建的App，會從伺服器下載中國敏感政治關鍵字的比對檔案「MiAdBlacklistConfig」，過濾如「自由西藏」、「臺灣獨立」等關鍵字詞，由於製造商能隨時遠端更新過濾規則，加上中國法規規定企業有配合國家情報的義務，恐導致使用者隱私曝露的隱憂。</p> <h4><a href="https://www.cw.com.tw/article/5119624"><span style="color:#000000;"><strong>愛心協會服務商網軟遭駭事件有後續消息，警方指出資料庫均未加密，也沒有PCI DSS認證</strong></span></a></h4> <p><a href="https://www.ithome.com.tw/news/146376">2021年7月底到8月，國內爆發假冒多個愛心捐款協會的詐騙案，當時iThome首先追查到是背後的資訊服務商網軟遭駭</a>，該公司在8月3日向客戶（愛心協會）表示遭駭，<a href="https://www.intersoft.com.tw/RWD01/list_1.aspx?id=595">相隔一段時間後，他們也已發布資安公告</a>，特別的是，最近這起事件有了後續消息，根據天下雜誌的報導，警方指出外洩的資料包括：捐款人姓名、住址、Email、電話、捐款方案、財務狀況，且資料庫並未加密，甚至，該公司有接受紙本信用卡扣款授權書，並會登打到系統，但公司卻沒有遵循PCI DSS及認證，同時，公益團體使用該公司服務卻也不曾注意。目前，網軟已決定不儲.存卡號與處理紙本刷卡授權書，但被駭範圍仍無法確定，已外洩的個資可能達6萬筆。附帶一提的是，此事件也突顯非營利組織（NGO）本身特性，可能與企業不同的狀況，政府、科技大廠如何提供幫助也將成為議題。</p> <h4><a href="https://www.zacks.com/stock/news/1846666/morgan-stanley-ms-to-pay-60m-penalty-over-data-breach-suit"><span style="color: rgb(0, 0, 0);"><strong>針對用戶資料外洩事故，摩根史坦利同意支付6千萬美元和解</strong></span></a></h4> <p>根據路透社報導，財務管理公司摩根史坦利（Morgan Stanley）於2016年，因關閉美國境內2座財富管理業務部門的資料中心，出售要報廢的伺服器，卻沒有完全清除這些主機上的客戶資料，而遭到近1,500萬名客戶提出集體訴訟，最近該公司同意以6千萬美元和解，受影響的客戶可獲得至少2年的詐欺保險，並可申請最高一萬美元的現金賠償。此案美國貨幣監理局（OCC）也介入調查，並於2020年10月判處摩根史坦利民事罰金6千萬美元。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ny-oag-hackers-stole-11-million-customer-accounts-from-17-companies/"><span style="color: rgb(0, 0, 0);"><strong>駭客針對17家公司進行撞庫攻擊，竊得110萬名客戶帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Accounts compromised in credential stuffing shared online.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Accounts%20compromised%20in%20credential%20stuffing%20shared%20online.png" style="width: 300px; float: right;" /></a>美國紐約州總檢察長辦公室（NY OAG）近日向17家公司提出警告，這些公司約有110萬客戶的帳號，在撞庫（Credential Stuffing）攻擊事件中遭駭。NY OAG經過數個月監看網路社群後，發現上述遭到外洩的用戶帳密，來自網路零售業者、連鎖餐廳，以及食品配送服務業者，他們通知相關業者，以便能夠讓消費者儘速重設密碼。NY OAG也呼籲企業應採取相關防禦措施，包含監控網站是否遭到Bot機器人攻擊、採用雙因素驗證（MFA）等。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/dont-copy-paste-commands-from-webpages-you-can-get-hacked/"><span style="color: rgb(0, 0, 0);"><strong>小心，從網頁複製、貼上文字內容不再100%安全！資安業者警告有可能從中置換其他內容，執行攻擊者的命令</strong></span></a></h4> <p>從教學網站上複製命令，然後貼上命令提示字元視窗、終端機的畫面執行，可說是相當常見的做法。但資安教育訓練業者Wizer透過攻擊手法示範，攻擊者可以置換使用者複製的程式碼，而且在貼上之後立刻執行惡意指令。研究人員製作概念性驗證的攻擊文字，表面上使用者是看到普通的Linux軟體更新指令，但在複製的過程中，攻擊者透過網站的程式碼，將剪貼簿的內容替換成惡意指令，使用者貼上命令列時，便會直接執行攻擊者替換的指令，即使後來察覺貼上的命令與本來看到的不同，也為時已晚。</p> <p>Wizer呼籲IT人員，可以考慮在貼上之前先加上”#”，讓命令變成註釋以避免貼上就立刻執行的情況，或是調整終端機的配置，指定在貼上”\n”（換行指令）時不會自動執行。</p> <h4><strong><a href="https://www.bitdefender.com/blog/hotforsecurity/us-police-parking-meters-phishing-qr-codes/"><span style="color: rgb(0, 0, 0);">美國警方警告，停車繳費的QR Code可能會被用於網釣攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg" style="width: 150px; float: right;" /></a>資安業者Bitdefender指出，近日美國德州首府奧斯汀的警方提出警告，表示他們發現有人在停車計費器上，張貼QR Code，意圖引誘想要透過手機付款的車主，在冒牌的付款網站上付錢，進而騙取車主的信用卡資料。奧斯汀市在接獲通報後進行調查，發現超過100個計費器被貼上此種QR Code，呼籲民眾要加以留意。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/google-docs-commenting-feature-exploited-for-spear-phishing/"><span style="color: rgb(0, 0, 0);">駭客在網釣攻擊中運用Google Docs的評論功能</span></a></strong></h4> <p>郵件安全業者Avanan指出，他們自2021年6月開始提出警告，攻擊者可透過Google Docs或其他同廠牌的網頁應用程式，將用戶引導到惡意網站，隨後在12月他們發現實際的攻擊行動中出現新的手法，攻擊者利用Google Docs的評論功能，透過Google分享通知信件的機制，來散布惡意軟體。由於這種手法信件是以Google的名義寄出，受害者難以察覺異狀而容易上當。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/"><span style="color: rgb(0, 0, 0);">五分之一老舊網域存在資安風險，恐被用於攻擊行動</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們自2021年9月開始觀察數萬個網域，結果發現近期駭客來發動攻擊的網域，往往使用已經註冊一段時間的網域名稱，原因是資安業者往往優先檢查新註冊的網域（NRD）。這種被先註冊的網域名稱，攻擊者的目的是要維持其無害的記錄，而不致被資安系統識別為有害，研究人員發現，這種網域通常會先暫停使用2年，之後的DNS流量會爆增約165倍。而他們會調查這些網域的原因，主要與近期發現的Pegasus間諜軟體攻擊行動有關。</p> <h4><strong><a href="https://nakedsecurity.sophos.com/2021/12/30/instagram-copyright-infringment-scams-dont-get-sucked-in/"><span style="color: rgb(0, 0, 0);">攻擊者佯稱Instagram用戶版權爭議，意圖騙取帳密</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/ccn-page1-640.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ccn-page1-640.png" style="width: 200px; float: right;" /></a>資安業者Sophos針對攻擊者假借Instagram侵權的名義，進行網路釣魚攻擊的行為進行解析，並指出攻擊者已經使用更為幾可亂真的釣魚信，宣稱用戶的貼文遭到舉報有版權爭議，Instagram帳號將會被刪除。一旦使用者根據指示填寫申訴表格，將會被帶往專屬的詐騙網頁，當中含有疑似侵權的Instagram貼文，並要求用戶輸入2次密碼，最終在騙得密碼後，將用戶重新導向Instagram的版權說明網頁。研究人員提醒，要留意這類詐騙與真實侵權通知的不同之處，並使用多因素驗證（2FA）來保護自己的Instagram帳號。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-use-video-player-to-steal-credit-cards-from-over-100-sites/"><span style="color: rgb(0, 0, 0);">駭客透過網路影音串流服務，針對上百個房地產網站發動攻擊，竊取用戶信用卡資料</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們發現一起網站側錄攻擊（Web Skimming）行動，鎖定房仲業者而來，攻擊者利用雲端影音代管服務，將惡意程式碼注入網站的影片播放器，一旦網站載入播放器便會遭到感染，超過100個房地產網站受害。研究人員指出，這個雲端影音代管服務提供用戶透過JavaScript指令集，來自訂播放器組態，他們認為攻擊者可能獲得上游JavaScript指令集的存取權限，從而注入惡意指令。</p> <h4><strong><a href="https://therecord.media/north-korean-hackers-attack-russian-diplomats-using-new-year-greetings/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Konni鎖定俄國外交官發動攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg" style="width: 300px; float: right;" /></a>資安業者Cluster25指出，他們自2021年8月，追蹤北韓駭客組織Konni的動態，結果發現，近期他們鎖定俄羅斯駐印尼大使館，以祝賀2022年新年到來的名義，發動釣魚郵件攻擊，郵件挾帶具有俄文問候的螢幕保護程式檔案，一旦執行會在安裝螢幕保護程式的同時，植入RAT木馬程式，攻擊者進而控制受害電腦。此外，攻擊者亦假冒俄羅斯駐塞爾維亞大使館，而讓釣魚郵件更難被識破。</p> <h4><strong><a href="https://www.dailymail.co.uk/news/article-10365137/MoD-training-academy-targeted-sophisticated-cyber-attack-hostile-state.html"><span style="color: rgb(0, 0, 0);">英國國防培訓學院遭到攻擊，駭客意圖獲得軍事機密</span></a></strong></h4> <p>甫於去年8月離開英國軍隊的空軍元帥Edward Stringer，向當地媒體Sky News透露，國防培訓學院曾於2021年3月發現遭到網路攻擊，而被迫重新建置網路環境，迄今尚未完全復原。這名軍官表示，攻擊者瞄準國防培訓學院的目的，很可能是做為存取國防部（MoD）其他系統的跳板，但除了學校本身之外的單位並未受到影響。國防部發言人亦證實此事，並表示沒有影響該學院學生的學習。</p> <h4><strong><a href="https://www.jpost.com/israel-news/article-691342"><span style="color: rgb(0, 0, 0);">以色列新聞網站遭駭，疑與伊朗將領遇刺2週年有關</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/492842.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/492842.png" style="width: 300px; float: right;" /></a>耶路撒冷郵報（Jerusalem Post）指出，他們的網站在1月3日凌晨，疑似遭到親伊朗的駭客攻擊，在網站上植入一張圖片，內容是迪莫納核能設施遭到炸毀，並以英文和希伯來文寫下警語，表明攻擊者就在他們身邊，但是是在他們無法發現的地方。而這張圖片的左側還有一枚飛彈從戒指飛出，而這個戒指可能就是伊朗革命護衛警察（IRGC）指揮官Qasem Soleimani所有，意指該人在2020年前1月2日遭美國暗殺的事件。該媒體表示，目前攻擊來源尚不明朗，但這些駭客有可能受到國家支持。</p> <h4><a href="https://therecord.media/lapsus-ransomware-gang-hits-sic-portugals-largest-tv-channel/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Lapsus$攻擊葡萄牙大型媒體集團</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Impresa-ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Impresa-ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客Lapsus$於2022年新年期間，攻擊葡萄牙最大的媒體集團Impresa，該集團旗下的電視臺SIC、新聞週刊Expresso的網站，皆被迫離線。SIC的有線頻道仍正常播放，但網路串流直播無法運作。資安新聞網站Record Media指出，駭客除加密檔案，亦聲稱能控制該公司AWS的帳號。Impersa員工一度取回上述帳號的控制權，但駭客隨即以Expresso的名義在推特發文，表明他們仍能存取Impresa的資源。</p> <h4><strong><a href="https://www.zdnet.com/article/rhode-island-attorney-general-opening-investigation-into-transit-authority-after-data-breach/"><span style="color: rgb(0, 0, 0);">美羅德島州公共交通管理局資料外洩，當局介入調查</span></a></strong></h4> <p>美國羅德島州公共交通管理局（RIPTA）於2021年12月21日發布公告，表明該單位於8月3日至5日，有資料遭到不明人士存取，這些資料疑似是與RIPTA提供的保健計畫有關，包含了參與者的社會安全號碼、生日、地址、醫療保險號碼，以及理賠資訊等，根據美國衛生及公共服務部（HHS）的資料，約有5,015人受到影響。但美國公民自由聯盟（ACLU）羅德島州分會指出，有不少人並非RIPTA的員工，亦沒有搭乘大眾運輸工具，卻也成為本次事故的受害者，認為RIPTA對此事件的處理不透明，而向他們投訴。羅德島州總檢察長辦公室也因收到大量相關投訴，針對此事展開調查。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148666"><span style="color: rgb(0, 0, 0);">遊戲大廠Sega歐洲雲端系統防護不足，致用戶資料及公司資產曝險</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg" style="width: 300px; float: right;" /></a>VPN服務評測網站VPN Overview指出，他們發現遊戲大廠Sega的歐洲AWS S3儲存桶防護不足，影響該公司26個網域或遊戲服務。研究人員指出，這些防護不足的現象，讓他們可以上傳或修改網站的檔案、執行程式碼、變造網頁及網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄（Bayonetta）及全軍破敵（Total War）等遊戲服務。Sega獲報後於去年10月底修正上述防護不足的情形。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/popular-qanda-app-curious-cat-loses-domain-posts-bizarre-tweets/"><span style="color: rgb(0, 0, 0);">社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文</span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://portswigger.net/daily-swig/researcher-discovers-70-web-cache-poisoning-vulnerabilities-nets-40k-in-bug-bounty-rewards"><span style="color: rgb(0, 0, 0);">研究人員發現70個網站快取中毒漏洞，恐被攻擊者用於DoS或XSS攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/gram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gram.png" style="width: 300px; float: right;" /></a>資安研究人員Iustin Ladunca公布針對網站快取中毒（Web Cache Poisoning）的漏洞研究，這些漏洞存在於GitHub、GitLab、HackerOne、Cloudflare，以及採用Apache Traffic Server的伺服器。該名研究人員指出，由於現代網站嚴重依賴JavaScript和CSS樣式表，暫存伺服器設置又往往只支援靜態檔案，而使得這些暫存資料成為攻擊者下手的目標，可用於發動阻斷服務（DoS）攻擊，或是跨網站程式碼（XSS）攻擊。他總共因相關研究挖掘70個漏洞，獲得4萬美元獎金。</p> <h4><strong><a href="https://blog.assetnote.io/2021/12/26/chained-ssrf-websphere/"><span style="color: rgb(0, 0, 0);">HCL修補網站管理系統Websphere Portal的SSRF漏洞</span></a></strong></h4> <p><a href="https://www.ithome.com.tw/news/131635">在2019年從IBM買下Websphere Portal</a>，並更名為數位體驗（Digital Experience，DX）的印度IT業者HCL，在2021年12月30日發布資安通報，修補旗下DX系統的多項漏洞，其中1個攻擊者可用於發送惡意伺服器端偽造請求（SSRF）攻擊，CVSS風險層級為8.0分，影響Websphere Portal 9.0版及新版軟體的產品。DX是用於建置與管理網站的平臺，美國紐約州參議院、密西根州醫療系統MidMichigan Health、加拿大銀行都是其用戶，根據通報漏洞的資安業者Assetnote，全球網際網路上約有3千個DX系統，他們呼籲用戶要儘速修補。</p> <h4><strong><a href="https://trevorspiniolas.com/doorlock/doorlock.html"><span style="color: rgb(0, 0, 0);">研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone</span></a></strong></h4> <p>研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ios-malware-can-fake-iphone-shut-downs-to-snoop-on-camera-microphone/"><span style="color: rgb(0, 0, 0);"><strong>iOS惡意軟體可讓裝置假裝關機，然後進行偷窺、竊聽</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hijack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hijack.jpg" style="width: 300px; float: right;" /></a>在過往許多iOS的惡意軟體攻擊中，受害者往往可透過重新啟動裝置，就有機會阻止惡意軟體在記憶體內運作，但這樣的方式可能已經不管用。資安業者ZecOps公布名為NoReboot的攻擊手法，這種方式可讓受害者以為iPhone已經關機，但實際上惡意軟體藉由挾持關機命令，而使得受害手機實際上維持開機的狀態，惡意軟體仍能繼續執行，並從麥克風與鏡頭，進行竊聽甚至是偷窺的行為。研究人員指出，由於這並非iOS作業系統的缺陷，蘋果很可能不會進行修補。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/firmware-attack-can-drop-persistent-malware-in-hidden-ssd-area/"><span style="color: rgb(0, 0, 0);">美光固態硬碟存在可濫用的隱藏磁區，恐被攻擊者用於藏匿惡意軟體</span></a></strong></h4> <p>高麗大學的研究人員發現，美光（Micron）為增加固態硬碟（SSD）運作效率，所加入的彈性容量機制，可能會被攻擊者濫用。研究人員表示，由於這種機制的保留空間無法透過作業系統直接存取，連帶防毒軟體也難以檢測，再加上SSD廠商基於效能考量，而實際上往往長達數個月才清除寫入的檔案，使得攻擊者能在這個磁碟區埋藏惡意軟體。研究人員呼籲固態硬碟業者，應提供相關的防禦措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.scmagazine.com/analysis/iot/new-guidance-tackles-role-of-manufacturers-in-medical-device-security-patient-safety"><span style="color: rgb(0, 0, 0);">美醫療設備採購組織發布供應商的資安評估指南</span></a></strong></h4> <p>由美國14個醫療設備採購組織所成立的醫療照護供應鏈協會（HSCA），近期提供相關設備的業者或服務商，發布新的網路安全指引，提及透過MITRE建立醫療設備的威脅模型劇本，以及這類設備的生命安全週期的管理等。他們提及醫療機構與設備製造商簽訂合約時，所需要留意的細節，而且最好要有資安團隊參與採購流程，以確保所有接到醫療機構網路上的設備，從設計之初就將資安納入考量。</p> <h4><strong><a href="https://thehackernews.com/2022/01/detecting-evasive-malware-on-iot.html"><span style="color: rgb(0, 0, 0);">檢測物聯網設備攻擊有新方法！研究人員透過電磁波進行偵測</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hardware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hardware.jpg" style="width: 300px; float: right;" /></a>物聯網（IoT）設備相當多元，許多資安業者透過防入侵偵測系統（IDS）、端點偵測與回應（EDR）、網路偵測與回應（NDR），從流量檢查是否有遭到攻擊的跡象，但最近有了新的突破。電腦科學暨隨機系統研究所（IRISA）在2021年12月舉行的年度電腦安全應用會議（ACSAC）上，揭露他們藉由偵測物聯網裝置的電磁波，來確認是否遭到惡意軟體入侵的跡象。研究人員指出，這種透過硬體下手的做法，使得惡意軟體的規避手段無法發揮作用，且IT人員無須修改物聯網設備的情況下就能達到保護的效果，他們製作的檢測框架，還能識別不同類型的惡意軟體，如勒索軟體、殭屍網路病毒、RootKit等。</p> <h4><strong><a href="https://www.cna.com.tw/news/ait/202201030309.aspx"><span style="color: rgb(0, 0, 0);">深化臺印資安技術交流與研究，國網中心與印度堪坡理工學院簽屬合作備忘錄</span></a></strong></h4> <p>在12月3日，科技部駐印科技組表示，科技部轄下國家實驗研究院國家高速網路與計算中心與印度堪坡理工學院（IIT Kanpur）簽署合作備忘錄，將針對資安技術與研究，建立進一步的交流與合作，目前已有初步規畫，主要聚焦惡意程式行為分析及雲端資安攻防等議題，雙方將建立資安威脅模型，並配合OT安全與Cyber-Physical Systems（CPS）的需求，建立跨國資安研究平臺，主要提供雲端虛擬化的架構，讓雙方建置場域環境及資安應用情境。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/first-microsoft-pluton-powered-windows-11-pcs-unveiled-at-ces/"><span style="color: rgb(0, 0, 0);">搭載微軟安全處理器Pluton的個人電腦首度於CES亮相</span></a></strong></h4> <p>聯想在國際消費性電子產品展CES 2022中，發表了ThinkPad Z13和Z16筆記型電腦，這系列產品配置了AMD Ryzen 6000系列處理器，是首款具備Microsoft Pluton安全處理器的個人電腦。</p> </div></div></div>
2022/1/8 09:58作者周峻佑https://www.ithome.com.tw/news/148779
特力集團推動零售資訊系統數位轉型，自建營運中臺與數據中臺，更進一步發展數據創新應用新模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以貿易業務起家的特力集團，經過40多年的發展，已成為臺灣最大專業貿易商，合作的海外供應商逾4千家，更為多家跨國零售通路提供各式貨品。同時，特力集團另一大核心業務是零售，旗下擁有特力屋、HOLA特力和樂等大型零售通路，是國內最大家居家飾通路業者。</p> <p>近年，特力集團大力擁抱微服務，先從零售端試水溫，作為嘗試新技術的落地場景。特力集團資訊長黃淑華表示，零售端面臨大量即時性資訊及市場變化，必須不斷的調整，因此，IT團隊選擇採用了新興的微服務架構，在短短100天內開發了行動數位會員卡App服務與API管理平臺。</p> <p>這個API管理平臺已註冊了數百支API來串接不同的服務。黃淑華進一步提到，因為零售需要查詢的項目相當細緻，拆解服務的過程中得拿捏顆粒度的大小，比如，點數查詢就是需要拆解出來成獨立的服務。特力IT團隊也會透過這些已提供的終端服務項目，來檢視服務顆粒度的切割是否適當。</p> <p>不只採用微服務架構打造行動數位會員卡App，特力集團這2年多更開始大力發展數據。「特力集團坐在一座資料的金山、銀山上，只要挖掘資料的好處，就可以發掘出另一座金山與銀山。」特力集團總裁何湯雄這番話，讓黃淑華尤為深刻。</p> <p>特力在2018年率先推動了零售資訊系統數位轉型，建立營運中臺架構機制，逐步建立服務的概念與架構，黃淑華表示：「將零售中後臺的資訊系統重新妥善安排後，後續產出的數據才會正確。」不過，當時特力並未直接建置數據中臺，而選擇先延用既有的資料倉儲、資料市集與資料分析平臺，結合CRM來進行推薦。</p> <p>目前，特力的零售端已透過CRM系統來了解客戶對品牌或商品屬性的偏好，並透過App進行精準行銷。不過，黃淑華坦言，零售的客戶忠誠度較低，所以得更了解客戶的偏好，搭配開放資料統整參考，讓商品推薦能更精準。</p> <p>特力正在嘗試用數據化、科學化方式來推薦如枕頭、床墊等寢具商品，一方面利用CRM系統彙整客戶偏好，再結合類似喜好、年齡層的族群資訊，以及過往推薦資料。甚至，特力還與專業醫生合作，設計問卷來蒐集如睡姿、脖子與肩膀的距離等消費者資料，來訓練機器學習模型以提供產品的推薦。</p> <p>不只分析數據來推薦商品，特力在零售端與貿易端，都大量利用銷售資訊，像是庫存狀況、銷售族群資訊，彙整這些數據來分析，在經過去識別化處理後，也提供給供應商參考，作為調整自家產品生產之用。像是零售端的供應商管理平臺，除了即時揭露供應商自家的資訊外，還能檢視大盤的整體狀況。</p> <p>黃淑華表示，最常使用數據分析的是特力集團的商品開發與採購（MD）單位，由於特力旗下零售通路成立了許多自由品牌，透過數據的分析，就能了解臺灣、美國、歐洲等地區的消費者偏好，進而設計產品。</p> <p>甚至，特力透過合作通路在海外零售實體店蒐集的當地消費者偏好資訊，也能回饋給MD，用來管控不同地區的貨量分配、花色設計等。特力在貿易端也同樣運用了數據分析，為海外大型零售企業客戶進行代理或採購時，也會分析當季流行的元素，再來尋找有能力生產的供應商來開發新產品。這正是特力運用數據加值後，發展出的新商業模式。</p> <p>直到去年，零售端的營運中臺架構趨於完整後，特力才開始發展零售數據中臺，黃淑華表示，目的是結合線上數位軌跡與線下交易記錄，將客戶360度資訊彙整到數據中臺。</p> <p>在特力零售數據中臺上，今年上線的第一個試行應用是熟客經營與管理，透過實體門店顧問以Line或電話外撥給忠誠會員或VIP會員，來進行熟客關懷與熟客銷售，再結合數據分析推薦熟客偏好的商品，以提升客戶黏著度與銷售績效，這是特力另一個正在嘗試的數據創新。文⊙李靜宜</p> </div></div></div>
2022/1/7 19:16作者李靜宜https://www.ithome.com.tw/news/148765
【資安日報】2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>立陶宛政府在去年9月，指出華為P40 5G、小米Mi 10T 5G等中國製手機存在資安風險，而後者在臺灣也有上市，是否也有類似的問題？國家通訊傳播委員會（NCC）於1月6日公布了他們的調查結果，指出該手機存在箝制言論自由的功能，會特別比對讓中國感冒的政治關鍵字，而有可能將用戶資料回傳到中國的疑慮。</p> <p>日前的Log4Shell漏洞攻擊中，資安業者發現有部分攻擊者透過遠端方法呼叫（RMI）協定來觸發漏洞，最近也有資安人員警告，RMI很可能因為IT人員的配置不當，而被駭客用於發動伺服器端請求偽造（SSRF）攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148747"><span style="color: rgb(0, 0, 0);"><strong>NCC警告小米Mi 10T 5G手機存在過濾中國敏感政治詞彙的功能，恐有回傳資訊疑慮</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png" style="width: 300px; float: right;" /></a>國家通訊傳播委員會（NCC）於1月6日表示，在臺灣販售的小米Mi 10T 5G手機，經檢測發現手機內建的應用軟體，會對中國敏感政治詞彙進行比對，甚至可能進一步回傳資訊，提醒民眾重視手機的個人隱私保護意識。NCC調查的動機，起因是<a href="https://www.ithome.com.tw/news/146838">2021年9月立陶宛政府發現，Xiaomi Mi 10T 5G含有資安風險</a>，NCC隨後委託電信技術中心（TTC）檢測在臺灣銷售的同款手機，發現多款內建的App，會從伺服器下載中國敏感政治關鍵字的比對檔案「MiAdBlacklistConfig」，過濾如「自由西藏」、「臺灣獨立」等關鍵字詞，由於製造商能隨時遠端更新過濾規則，加上中國法規規定企業有配合國家情報的義務，恐導致使用者隱私曝露的隱憂。</p> <h4><strong><a href="https://portswigger.net/daily-swig/java-rmi-services-often-vulnerable-to-ssrf-attacks-research"><span style="color: rgb(0, 0, 0);">Java的RMI機制恐被用於伺服器端請求偽造攻擊</span></a></strong></h4> <p>日前駭客鎖定Log4Shell發動攻擊時，有部分攻擊行動駭客改以遠端方法呼叫（RMI）下手。但資安人員認為，駭客在其他針對Java程式語言開發的系統的攻擊過程裡，利用RMI的情況可能也相當嚴重。研究人員Tobias Neitzel指出，他發現能利用RMI來發動伺服器端請求偽造（SSRF）攻擊手法，原因可能是IT人員難以設置能夠保護RMI的組態，其中最常用的RMI服務JMX，很可能成為攻擊者優先鎖定的目標。這名研究人員也提供相關緩解措施。</p> <h4><strong><a href="https://www.bitdefender.com/blog/hotforsecurity/us-police-parking-meters-phishing-qr-codes/"><span style="color: rgb(0, 0, 0);">美國警方警告，停車繳費的QR Code可能會被用於網釣攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg" style="width: 150px; float: right;" /></a>資安業者Bitdefender指出，近日美國德州首府奧斯汀的警方提出警告，表示他們發現有人在停車計費器上，張貼QR Code，意圖引誘想要透過手機付款的車主，在冒牌的付款網站上付錢，進而騙取車主的信用卡資料。奧斯汀市在接獲通報後進行調查，發現超過100個計費器被貼上此種QR Code，呼籲民眾要加以留意。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/google-docs-commenting-feature-exploited-for-spear-phishing/"><span style="color: rgb(0, 0, 0);">駭客在網釣攻擊中運用Google Docs的評論功能</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/email_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/email_1.jpg" style="width: 300px; float: right;" /></a>郵件安全業者Avanan指出，他們自2021年6月開始提出警告，攻擊者可透過Google Docs或其他同廠牌的網頁應用程式，將用戶引導到惡意網站，隨後在12月他們發現實際的攻擊行動中出現新的手法，攻擊者利用Google Docs的評論功能，透過Google分享通知信件的機制，來散布惡意軟體。由於這種手法信件是以Google的名義寄出，受害者難以察覺異狀而容易上當。</p> <h4><a href="https://therecord.media/albuquerque-impacted-by-ransomware-attack-on-bernalillo-county-government/"><span style="color: rgb(0, 0, 0);"><strong>美國縣政府驚傳遭到勒索軟體攻擊，辦公大樓被迫關閉</strong></span></a></h4> <p>美國地方政府因遭到勒索軟體攻擊影響運作，再度出現事故。美國墨西哥州伯納利歐縣政府在1月5日發布新聞稿，表明他們遭到勒索軟體攻擊，導致當地多個市政府的大樓約自當日的午夜，被迫關閉至今。根據該縣網頁公告，6日、7日這些大樓仍尚未恢復運作。縣政府表示，本次攻擊影響到縣府員工存取政府資料庫的權限，但多數公共安全服務如：911、警長辦公室、消防隊不受影響，可以正常接聽電話及因應緊急事故。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/finalsite-ransomware-attack-shuts-down-thousands-of-school-websites/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體攻擊學校網站服務業者FinalSite，數千個學校網站關閉</strong></span></a></h4> <p>為115個國家、逾8,000所各級學校提供網站代管服務的業者FinalSite，自1月4日起，開始有學校的網站無法使用，該公司當時宣稱，主要是名為Composer的內容管理系統出錯，直到1月6日才證實是遭到勒索軟體攻擊。許多學校抱怨，該公司提供的緊急通知系統無法使用，使得他們無法提供師生有關氣候或是武漢肺炎的訊息。</p> <h4><a href="https://securityweek.com/chemicals-company-element-solutions-discloses-cybersecurity-incident"><span style="color: rgb(0, 0, 0);"><strong>化學材料業者Element Solutions疑似遭到勒索軟體攻擊</strong></span></a></h4> <p>美國佛羅里達州化學公司Element Solutions於1月5日，表示他們遭到網路攻擊，不明人士入侵某些IT系統，該公司察覺後已阻止入侵行為，並進行系統的復原。至於攻擊事故的細節，資安新聞網站Security Week指出，可能是勒索軟體攻擊，但目前沒有駭客組織表明是他們所為。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-online-pharmacy-ravkoo-links-data-breach-to-aws-portal-incident/"><span style="color: rgb(0, 0, 0);"><strong>美國網路藥局Ravkoo遭駭，建置於AWS的處方入口網站資料外洩</strong></span></a></h4> <p>美國網路藥局Ravkoo於1月3日發出公告，表示他們架設在AWS的處方入口網站，疑似在2021年9月27日遭到異常存取，部分處方箋和個人健康資料可能被洩露，可能有10.5萬人受到影響。他們也將此起事故向美國聯邦調查局（FBI）通報，但強調目前尚未發現相關資料遭到濫用的情形。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/flexbooker-discloses-data-breach-over-37-million-accounts-impacted/"><span style="color: rgb(0, 0, 0);"><strong>預約管理服務FlexBooker資料外洩，近400萬用戶受到波及</strong></span></a></h4> <p>駭客組織Uawrongteam近日宣稱，他們在2021年聖誕節假期前，入侵了美國預約管理平臺FlexBooker，並竊走含有上千萬行客戶資料的表單。而FlexBooker也向用戶發出資料外洩通知，表明攻擊者存取了他們存放在AWS伺服器上的資料，但信用卡或支付卡資料沒有受到影響。根據密碼外洩查詢網站Have I Been Pwned取得的資料，共有3,756,794筆資料外洩。</p> <h4><a href="https://www.theregister.com/2022/01/04/slimpay_breach_fine/"><span style="color: rgb(0, 0, 0);"><strong>網路服務訂閱支付管理公司SlimPay曝露1,200萬客戶金融資料，遭罰18萬歐元</strong></span></a></h4> <p>網路定期支付服務業者SlimPay遭到法國監管機構CNIL處罰，原因是該公司將敏感的客戶資料，存放在可公開存取的伺服器長達5年。這些資料原本是用於內部研究，但該公司為了讓反詐欺的系統能運作更符合期待，使用了客戶資料庫裡的真實資料，而在2016年7月專案結束時，將相關資料遺留在公開的伺服器，直到2020年2月才察覺此事並補救。根據SlimPay的資安通報裡，上述資料波及1,200萬人，包含了住址、電子郵件信箱、電話，以及銀行相關資料。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&cate=0&keyword=&is_history=0&pages=0&sn_f=47017"><span style="color: rgb(0, 0, 0);">NCC公布110年智慧型手機內建軟體的資安檢測初步結果</span></a></strong></h4> <p>針對行動裝置業者是否積極強化手機內部軟體安全，國家通訊傳播委員會（NCC）近日公布110年度的檢測結果，他們分別在上半年與下半年，挑選109年下半5款熱銷中國手機，以及110年上半熱銷的10款手機，根據《智慧型手機系統內建軟體資安測試規範》進行測試。結果發現，5款熱銷中國手機在完成改善程序後通過檢測，而110年上半熱銷的手機裡，僅有iPhone 12通過檢測，其餘9款手機尚待廠商改善後進行複測。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/7 15:30作者周峻佑https://www.ithome.com.tw/news/148767
GovTech月報第2期：立院三讀通過數位發展部組織草案，數發部今年6、7月可望掛牌上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1201~1230)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位發展部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 政府組織改造 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技部 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">立院三讀通過數位發展部組織草案，最快2022年6月掛牌</span></strong></p> <p>趕在2021年底，立法院終於三讀通過數位發展部組織草案，由於數位發展部將移轉並整合來自NCC、經濟部、交通部、國發會、行政院資安處的部分業務，涵蓋資訊、電信、傳播、網路、資安五大領域，因此相關機關組織與人力調整，約需半年籌備時間，數位發展部最快在2022年6、7月正式掛牌上路。</p> <p>未來數位發展部相當重要的工作，包括確保國家資通安全、促進我國的數位經濟發展、加速國家數位轉型。未來將設立資通安全署、數位產業署，資通安全署統籌政府整體資安架構、資安業務推動，而數位產業署原先並不在行政院的規畫中，應立委要求設立，將推動數位經濟產業政策規畫。數位發展部還將新設法人單位，國家資通安全研究院，扮演國安資通安全的智庫角色。數位發展部並將管理原有法人包括資策會、電信技術中心、台灣網路資訊中心。</p> <p>立法院也通過科技部組改草案，科技部將在今年改制為國家科學及技術委員會（簡稱國科會），繼續掌管國家科技發展的規畫、預算，由部改為委員會，更著重於跨部會、跨領域協商，以及協調各部會與科技相關的資源。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位證明 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">歐盟頒布9個月接受期的COVID疫苗數位證明新規則</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/P051292-798143-1.jpg" style="width: 600px; height: 399px;" /></span></strong></p> <p>為了讓歐盟成員間防疫措施一致性的規畫，歐盟委員會近期頒布歐盟數位COVID證明規則，接受歐盟內旅行9個月（270天）接受期的疫苗接種證明，歐盟表示，數位疫苗接種證明接受期的統一規範，有助於各國持續協調旅行防疫措施，且新的規則能確保種種限制措施是基於科學、客觀條件施行，作為歐盟公民行使自動移動權利的依據。</p> <p>歐盟表示，歐盟現已發出8.9億分的數位證明，歐盟數位COVID證明已成為全球的標準之一，迄今為止，全球已有60個國家地區加入該系統。新規則統一各國間的不同規則，有效期的制定參考了歐洲疾病預防控制中心指導，在第一劑疫苗後六個月內施打加強劑，而數位證明容許額外的三個月寬限期內保持有效。</p> <p>此外，歐盟委員會也通過新的數位證明編碼規則，以區分施打初次疫苗接種發給的證明，以及完成加強劑量後發給的證明。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">行政院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子科技 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技政策 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">政府組量子國家隊，將投入80億元在5年內打造國產量子電腦</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/quantum-1(1).jpg" style="width: 600px; height: 337px;" /></span></strong></p> <p>行政院啟動我國量子運算新戰略，由科技部、經濟部、中研院組成量子國家隊，從2022年開始，5年投入80億元，加速臺灣在量子運算技術研究、人才培育，也將在臺南沙崙科學園區成立中研院量子科研基地。</p> <p>科技部指出，臺灣在發展量子科技有兩大優勢，其中之一是量子電腦一部分製程與半導體製程重疊，而臺在半導體製程、封裝、IC設計居領先地位，使臺灣在發展量子科技具有優勢，其次是量子電腦中量子位元與控制的基礎研究，臺灣長期培育數學、物理、電機、資訊及材料等基礎人才，有助於量子技術的研發。</p> <p>根據政府的計畫，未來將發展量子運算軟硬體技術，包括量子電腦硬體技術的半導體、超導體量子位元技術，結合量子科技軟體技術，目標在5年內研發出國產自製可真實運算的量子電腦，同時也要發展出國產的量子通訊網路系統。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位健康證明 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">衛福部推可介接歐盟的數位健康證明</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/health.jpg" style="width: 600px; height: 420px;" /></span></strong></p> <p>衛福部發表數位健康證明服務，讓本國民眾或外籍人士，以身分證、護照號碼、健保卡號碼、自然人憑證或是TW FIDO通過身分驗證，下載個人的數位健康證明，該證明採用歐盟的資料格式、符合GDPR最小資料揭露、資料可攜、可被遺忘等個資保護原則。</p> <p>民眾下載數位健康證明後，可以儲存至個人的手機或平板電腦，或是列印為紙本文件，未來出入歐盟地區，可出示健康證明上的QR Code供歐盟國家的檢查人員掃描，就能驗證最新的疫苗施打效期、是否施打合格的劑量。值得注意的是，數位健康證明採離線驗證方式，而非線上驗證，因此不需連接國外當地網路，衛福部並強調可避免曝露隱私的風險。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄市</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">高雄明年將首次舉辦智慧城市展，擬大秀5G IoT應用成果</span></strong></p> <p>2022年智慧城市展將在臺北、高雄兩地展出，也是高雄首次舉辦智慧城市展，高雄市長陳其邁預告，智慧城市展將具有高雄特色，也是高雄推動智慧城市一年多以來的成果展現。</p> <p>目前高雄市推動的智慧城市應用已有一部分的成果。例如高雄市水利局推動的高雄智慧水利監測密網計畫，針對高雄容易淹水地區，以NB-IoT通訊與感測器建立雲端的水情物聯網，監測區域排水系統、雨水下水道的水位變化，強化防災應變對策。</p> <p>另外，針對高雄輕軌容易因車輛、行人闖入導致事故發生，高雄市捷運局擬以AI輔助解決問題，像是以AI影像分析，為軌道建立電子圍籬，當輕軌列車即將進站時，偵測到人或動物、障礙物闖入警戒範圍，及時廣播驅離，並利用月台的攝影機，結合AI分析乘客上下車人流情形，作為列車班次調整參考。</p> <p>而在政府大力支持下，高雄近年來推動亞灣區5G AIoT創新園區，積極招商促成更多創新應用落地高雄，目前已吸引中華電信、中油、中鋼等大廠進駐，更在2021年底高雄舉辦亞灣創新展會，由進駐業者與合作夥伴展示5G AIoT應用，例如5G數位手術房方案、AR眼鏡的智慧製造應用等等。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧道路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">市區道路也要智慧化，臺南展示智慧道路成果</span></strong></p> <p>交通載具朝智慧化發展，道路也要趕上此一趨勢。臺南市政府在交通部補助之下，已在沙侖、南科兩園區打造智慧道路，以實現車輛與道相互溝通為目標，並鼓勵研發智慧駕駛系統的業者到臺南實驗場域進行測試。</p> <p>臺南市政府指出，隨著資通訊技術發展，車與路的整合不再只是理想，車與車（V2V）通訊、車與路通訊（V2I）、路與路(I2I)通訊愈來愈成熟，透過車輛與道路相互溝通，將即時的道路資訊送到車輛，提升行車應變，改善交通安全預警。</p> <p>臺南市建置的智慧道路基礎設施，包括盲點偵測系統、即時號誌介接，為了建立通訊，採用快速穩定光纖網路及無線電通訊設備，讓行駛的智慧車輛能和路側基礎設施溝通傳輸資料，同時將車輛的即時位置、行車畫面、行車數據送到臺南智慧交通中心。臺南市交通局透露，未來擬以開放API，讓智慧路側設施與各種智慧車輛介接。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺北市</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技執法 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">臺北市擴大交通科技執法，在易發生事故路口靠AI偵測交通違規</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%95%E8%A6%8F-1.jpg" style="width: 600px; height: 467px;" /></p> <p>臺北市擴大交通的科技執法應用，要讓違規駕駛不再心存僥倖。臺北市警局宣布已在鄭州路與西寧北路口建置「路口多功能交通違規科技執法設備」，2022年1月3日起正式啟用，以取締違規事件。</p> <p>北市的鄭州路與西寧北路口銜接東西向重要幹道，因交通車流量大，違規駕駛容易發生事故，因此北市府在該路口建置偵測設備，以AI辨識車種、行駛位置與時間，自動判斷違規行為與路徑，提升違規辨識率，再由員警審查確認後再舉發。目前科技執法取締的違規事件，包括未依規定轉彎、跨越雙黃線、闖紅燈、佔用機車停等區、車輛未停讓行人等等。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">消防署</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">消防署規劃以5G、AI打造智慧搜救平臺</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%9A%E8%A8%8A%E7%84%A1%E4%BA%BA%E6%A9%9F.jpg" style="width: 600px; height: 405px;" /></span></strong></p> <p>內政部消防署推動消防5G場域計畫，其中之一是建立智慧搜救平臺，結合5G、AR、AI、無人機等技術，強化搜救作業的資訊化管理，平時作為訓練之用，當災害發生時，透過智慧搜救平臺對搜救人員、設備進行管理。</p> <p>行動指揮車進入災區現場，未來能以基地臺在災區架構臨時的5G專網，並以無人機空拍影像回傳即時災情，或用以建立災區的3D模型，讓指揮中心檢視、縮放、評估災區範圍，還能透過搜救人員穿戴的AR頭盔，將現場即時影像回傳至指揮中心，並定位每位搜救人員位置，作為搜救指揮決策參考。</p> <p>無人機除了可以空拍影像、3D建模外，還可以無人機隊在空中建立無線通訊網路，將網路擴大到更大的距離。消防署也計畫導入AI影像辨識技術，以辨識無人機空拍影像、AR頭盔拍攝即時影像或熱顯像，提高搜救作業的效率。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊建設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">提升公路安全，美國將投入2.6億美元助各州推動交通安全計畫及相關資訊系統</span></strong></p> <p>美國聯邦政府投入2.6億美元，用以提升公路行車安全，包括投入1.33億美元支持50個州以數據驅動的交通安全計畫，以及投入1.23億美元鼓勵發展交通安全資訊系統。美國公路每年發生許多事故奪走人命，已被美國政府視為全國性的重要議題，因此聯邦政府準備投入2.6億美元，協助各州強化交通執法、交通安全教育宣導，也將協助各州建置交通安全相關的資訊系統，包括車輛碰撞、預防駕駛分心、行人及自行車安全相關的資料庫。</p> <p> </p> <p>圖片來源／歐盟、衛福部、富鴻網、臺北市政府、科技部</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1. 衛福部預告電子病歷上雲草案，兩大方向法規細節終於公布</strong></p> <p><strong>2.北捷將測試以AI影像辨識，確保旅客入站遵守防疫規定及車廂安全</strong></p> <p><strong>3.桃園、臺中、高雄三縣市明年測試5G新應用</strong></p> <p>資料來源：iThome整理，2021年12月</p> <p> </p> </div></div></div>
2022/1/7 17:58作者蘇文彬https://www.ithome.com.tw/news/148771
微信開始支援數位人民幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人民銀行旗下的數位貨幣研究所，<a href="https://apps.apple.com/cn/app/%E6%95%B0%E5%AD%97%E4%BA%BA%E6%B0%91%E5%B8%81-%E8%AF%95%E7%82%B9%E7%89%88/id1571652872" target="_blank">在本周釋出了支援Android與iOS的數位人民幣程式</a>，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</p> <p>此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</p> <p>螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶在去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。</p> <p>當微信用戶在數位人民幣程式上完成身分認證後，就能在微信內建的微信支付中，選擇收取數位人民幣或是以數位人民幣支付。</p> <p><a href="https://www.ithome.com.tw/news/145739" target="_blank">根據人民銀行去年上半年的統計</a>，中國已有十多個城市、132萬個場景成為數位人民幣的測試區域，超過1,000萬名用戶參與數位人民幣的測試，所交易的金額達到345億元人民幣，也將在今年2月於北京舉行的冬奧運動會，開放國際人士參與數位人民幣的測試。</p> </div></div></div>
2022/1/7 16:52作者陳曉莉https://www.ithome.com.tw/news/148774
Ruby類型檢查工具Sorbet於VS Code商店上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上支付服務Stripe發布適用於<a href="https://sorbet.org/blog/2022/01/06/open-sourcing-sorbet-vscode">VS Code的擴充套件Sorbet</a>，Sorbet可透過語言伺服器協定，提供Ruby開發環境編輯器功能。在這個開源的版本中，開發者於VS Code中使用Sorbet時，可以簡單地使用語言伺服器協定功能，簡化Sorbet使用上的麻煩。</p> <p>由於Stripe有一大部分的程式，都以Ruby撰寫而成，因此致力開發各種Ruby工具，並且也持續將這些成果貢獻給社群。該公司在2019年的時候，開源了Ruby類型檢查工具Sorbet，這個類型檢查工具能夠檢測程式碼中存在的類型不一致，所產生的安全性風險。</p> <p>開發者在撰寫程式碼的時候，有時候會不小心寫出不連貫的程式碼，像是在字串變數使用Map方法，而這會使程式出現錯誤。在動態類型程式語言中，這類錯誤必須要等到執行期間，才會引發問題，而使用類型檢查工具則能夠分析程式碼，更早地發現錯誤。</p> <p>Stripe提到，因為Ruby鬆散的語法和猴子修補（Monkey Patch）的特性，能夠讓開發者很快地拼湊出功能強大的應用程式，但是程式碼容易出現疑義，Sorbet能夠降低程式碼混亂的問題，增加Ruby程式碼的穩定性和清晰度。</p> <p>Sorbet為多執行緒設計，能夠利用CPU核心線性擴展，在數秒內檢查完程式碼中的類型。Sorbet能夠讓開發者的Ruby開發環境，擁有類似IDE的功能，包括自動完成、編輯器內文件和跳轉到定義等，而這項功能是利用語言伺服器協定來實作，能夠與開發者熟悉的編譯器搭配使用。</p> <p>而現在Stripe發布適用於VS Code的Sorbet擴充套件，便能夠讓VS Code使用者，更方便地配置，並且開始使用Sorbet。過去Sorbet透過公開—lsp旗標，供開發者以語言伺服器協定來啟動Sorbet，回應各種語言伺服器協定請求，像是跳轉到定義、查詢所有參照，以及自動完成等功能。</p> <p>而現在有了VS Code的Sorbet擴充套件，降低了開發者在VS Code配置和使用語言伺服器協定模式的門檻。這次Stripe的發布，包括VS Code商店中的預建置擴充套件，以及GitHub上的Sorbet儲存庫，同時官方也提供完整的Sorbet安裝和使用指南。</p> </div></div></div>
2022/1/7 16:59作者李建興https://www.ithome.com.tw/news/148773
哈薩克的網路斷線，衝擊全球15%的比特幣挖礦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位居中亞、身為中國鄰居的哈薩克，為了鎮壓境內的暴動，在周三（1/5）宣布進入緊急狀態，並切斷全國網路，造成全球比特幣算力下滑15%。</p> <p>哈薩克（Kazakh）為中亞最大的經濟體，還有豐富的天然資源，包括石油、天然氣與煤礦，<a href="https://www.ithome.com.tw/news/145150" target="_blank">在中國政府於去年6月以斷電的強硬手段</a>驅逐境內的比特幣礦場之後，中國礦工便就近轉移到以煤礦發電的哈薩克。</p> <p>哈薩克原本就占據全球比特幣算力的12%左右，但自去年6月開始接受中國礦工以來，<a href="https://ccaf.io/cbeci/mining_map" target="_blank">所占算力已達全球的21.9%</a>，僅次於美國的42.7%。</p> <p>然而，最近哈薩克的燃料大漲，促成當地民眾的抗議行動，再佐以民眾對哈薩克政府長期的不滿，更爆發了嚴重的衝突，在哈薩克政府請求俄羅斯派兵援助的當天，也要求電信業者中斷境內的網路。</p> <p>網路中斷不僅阻止了民眾的通訊，亦使得哈薩克境內的礦工無以為繼，<a href="https://www.cnbc.com/2022/01/06/kazakhstan-bitcoin-mining-shuts-down-amid-fatal-protests.html" target="_blank">數位資產融資業者Foundry副總裁Kevin Zhang向《CNBC》透露</a>，該國政府的行為讓全球比特幣挖礦算力瞬間減少15%。</p> <p>儘管該國的網路已恢復正常，但哈薩克並不鼓勵礦工於該國境內挖礦，已計畫於今年向這些礦場加徵稅賦，使得外界預期位於該國境內的礦工遲早會遷移至其它據點。</p> </div></div></div>
2022/1/7 15:36作者陳曉莉https://www.ithome.com.tw/news/148768
H2資料庫發現類似Log4Shell的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底爆發的Apache Log4j軟體漏洞，讓全球資安及伺服器管理員至今仍忙得不可開交，<a href="https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/" target="_blank">安全廠商JFrog又發現另一個常用軟體H2資料庫</a>，也有類似Log4Shell的遠端程式碼執行（RCE）漏洞，呼籲用戶立即升級到最新的2.0.206版本。</p> <p>這家安全廠商去年12月在H2資料庫控制臺（console）發現到的漏洞（編號CVE-2021-42392），和Log4Shell（JNDI remote class loading）根本原因相同。使未經授權的攻擊者可傳送經改造的參數、觸發目標伺服器的漏洞，而在受害機器上遠端執行程式碼。CVE-2021-42392的風險值尚未給定，研究人員解釋，是因為最新漏洞被開採風險尚難確認。</p> <p>H2是開源Java SQL資料庫，以其輕巧、執行於記憶體內，不需資料儲存在磁碟內而受許多開發人員歡迎，也廣泛用於多種專案中，像是Web平臺專案Spring Boot或是IoT專案ThingWorks。com.h2database:h2並以將700項成品（artifact）相依，而名列Maven套件庫中前5大套件之林。</p> <p>CVE-2021-42392漏洞出在H2資料庫框架裏多條程式碼路徑，在未經過濾下將攻擊者控制、變造的URL，傳送到控制臺上的javax.naming.Context.lookup函式，允許載入遠端程式，即Java程式碼注入或RCE。</p> <p>研究人員進一步解釋，org.h2.util.JdbcUtils.getConnection方法可加入驅動程式類別(driver class)及資料庫URL。如果驅動程式類別可被指派為javax.naming.Context類，則攻擊者可建立物件實例（inisantiate）及呼叫查詢方法。此時若提供的驅動程式類別是javax.naming.InitialContext及URL: ldap://attacker.com/Exploit，則可導致RCE、甚至接管系統。</p> <p>不過它和Log4Shell風險還是一段差距。研究人員說明，首先，處理惡意呼叫的目標機器必須是跑H2控制臺（console）的伺服器。許多廠商和企業可能有H2資料庫，但不見得有H2控制臺。這就縮減了潛在受害者的廣度。另外，香草（vanilla）版H2資料庫中，H2控制臺預設只聽取本地主機連線，不會受遠端攻擊，但是它也可變更為聽取遠端連線。</p> <p>研究人員指出，如果本地區域網路（LAN）、甚至廣域網路（WAN）上跑H2控制臺軟體的伺服器有這漏洞的話，後果相當嚴重。<a href="http://www.h2database.com/html/download.html" target="_blank">研究人員也呼籲用戶立即升級到已解決漏洞的最新2.0.206版本</a>，原因在於有其他攻擊管道，同時遭開採風險尚難確認。</p> <p>在Log4Shell漏洞方面，Log4j修補版本公布一個月後，駭客攻擊活動仍然猛烈。<a href="https://www.ithome.com.tw/news/148739" target="_blank">微軟本周指出</a>，12月幾個星期間試圖開採漏洞的活動仍然頻繁，他們觀察到攻擊者涵括中國、伊朗、北韓、土耳其及俄羅斯等國家支持的駭客組織，及以獲利為目的犯罪組織。美國聯邦交易委員會（FTC）警告，若因未修補漏洞而致客戶個資外洩或財務損失，可能遭FTC提告。</p> </div></div></div>
2022/1/7 16:13作者林妍溱https://www.ithome.com.tw/news/148769
歐盟計畫投入1.5億歐元打造超級電腦，可望成為全球第2快
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為免IT運算發展落後美國及亞洲，歐洲近日計畫投入1.5億歐元，以打造一座將近Exascale等級的超級電腦。</p> <p>由歐盟、歐洲會員國及民間企業合組、以推進歐洲超級電腦生態體系的非營利組織：歐洲高效能運算聯合協會(European High Performance Computing Joint Undertaking，簡稱<a href="https://eurohpc-ju.europa.eu/press-releases/new-call-acquire-world-class-supercomputer-spain" target="_blank">EuroHPC JU)去年12月公布一份招標文件</a>，將採購「前Exascale」(pre-exascale)的高階超級電腦。所謂前Exascale是指運算速度超過100 Petaflops、但小於1 Exaflop。</p> <p>EuroHPC JU指出這座預定名為MareNostrum5的超級電腦，旨在強化醫藥研發、疫苗開發、病毒擴散模擬及人工智慧與大數據處理應用，以推升歐洲醫療研究。此外這座新超級電腦也將支援傳統HPC應用，像是氣候研究、工程、材料科學及地球科學等領域研究。</p> <p>根據這份文件，MareNostrum5浮點運算速度將可達至少205 petaflops，或每秒2.05億次運算。EuroHPC JU表示MareNorstrum5將推進歐洲Exascale等級運算能力，此外最新超級電腦將全部採用潔淨能源，並且使用熱源再利用技術。</p> <p><a href="https://www.top500.org/lists/top500/2021/11/highs/" target="_blank">打造完成後MareNostrum5，可望擠下2021年11月公布的Top500中第2、3名</a>，分別是隷屬於美國能源部的2座超級電腦Summit及Sierra，僅次於現今世界第一的日本理研電腦科學中心的富士通超級電腦Fugaku。</p> <p>目前全球前10大超級電腦中，各有一座位於德國及義大利，分占8、9名。</p> <p>打造MareNostrum5估計花費為1.5億歐元。其中一半由EuroHPC JU出資，另一半則由三家會員國，包括西班牙、葡萄牙及土耳其負擔。這座超級電腦預定將座落並代管於西班牙巴塞隆納超級運算中心。</p> <p>在此之前EuroHPC JU已經採購7座「前exascale」等級的超級電腦，分別位於斯洛維尼亞、波蘭、保加利亞、捷克、盧森堡，其中2座將可協助芬蘭及義大利的petascale等級超級電腦。</p> </div></div></div>
2022/1/7 14:05作者林妍溱https://www.ithome.com.tw/news/148761
Google被判侵犯Sonos的聲音專利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.usitc.gov/system/files/secretary/fed_reg_notices/337/337_1191_notice01062022sgl.pdf" target="_blank">美國國際貿易委員會（International Trade Commission, ITC）周四（1/6）裁決</a>，Google侵犯了美國音響設備業者Sonos的5項聲音專利，將禁止Google進口及銷售侵犯專利的相關產品。</p> <p>ITC是自2020年2月開始調查此案，去年8月初步判決Google侵犯Sonos專利，本周祭出的則是最終判決，除了要求Google不得再侵犯Sonos專利之外，也將禁止Google進口及於美國銷售侵權產品，預計於60天後生效。</p> <p><a href="https://www.androidpolice.com/google-pixel-chromecast-and-smart-speakers-may-be-banned-from-us-sale-following-sonos-lawsuit-loss/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">根據《Android Police》所取得的Sonos聲明</a>，Google所侵犯的專利涉及家中音響系統的設定、多個喇叭之間的同步、不同喇叭的音量控制，以及喇叭的立體聲配對等。</p> <p>判決書中並未列出被封鎖的明確產品名稱，僅說它涉及特定的聲音播放器、聲音控制器與元件，而媒體則報導這可能涉及Google Nest智慧家庭產品、Pixel手機、Chromebook與Chromecast。</p> <p>在得知ITC的判決之後，<a href="https://www.googlenestcommunity.com/t5/Blog/Upcoming-Speaker-Group-changes/ba-p/77811" target="_blank">Google Nest團隊貼出了公告</a>，指出使用者設定裝置的方式與喇叭群組的功能將有所更動，包括無法再一次調整所有喇叭的音樂，涉及第三方品牌的喇叭群組功能將受限，並將有少數使用者被迫要透過Device Utility程式來完成產品的安裝與更新。</p> <p>而這只是Sonos與Google之間的其中一項訴訟案，Sonos也分別向洛杉磯及舊金山法院控告Google侵權，並仍在審理當中。</p> <p>事實上，Sonos似乎已猜到了Google對此一判決結果的反應，指出Google很可能會透過弱化或移除特定的產品功能來繞過ITC的要求，等於是犧牲了消費者的使用經驗，即便如此，Google依然侵犯Sonos的多項專利，奉勸Google最好還是付費使用專利才是上策。</p> </div></div></div>
2022/1/7 14:22作者陳曉莉https://www.ithome.com.tw/news/148762
隱私瀏覽器Brave宣布每月用戶超過5000萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brave.com/2021-recap/" target="_blank">強調保護用戶隱私的Brave瀏覽器本周宣布</a>，去年底每月用戶已經超過5,000萬人，比前一年成長2倍有餘。</p> <p>該公司指出，Brave推出以來連續第5年成長。截至2021年12月31日，Brave月經常平均用戶數超過5,020萬，較2020年的2,410萬成長220%。同時期Brave每日平均用戶數超過1,550萬。</p> <p>Brave也引用市調業者AppFigures的調查，強調其手機版下載次數在2020到2021年間來到2000萬次，在所有瀏覽器間排名第3位，成長率則是所有瀏覽器之冠。<a href="https://www.digitalinformationworld.com/2021/11/chrome-opera-brave-data-figures-reveal.html" target="_blank">根據AppFigures的數據</a>，同時期下載次數前2名分別是Google Chrome的6,000萬及Opera的2,500萬次。</p> <p>Brave公司共同創辦人及執行長Brendan Eich指出，這證明了使用者尋求監控經濟替代方案已帶動的全球運動。</p> <p>Brave從隱私瀏覽器出發，推出廣告合作、<a href="https://www.ithome.com.tw/news/123994" target="_blank">用戶看廣告賺BAT幣（Brave Rewards）</a>等營收模式，<a href="https://www.ithome.com.tw/news/145187" target="_blank">去年則推出自有搜尋引擎</a>、視訊會議功能Brave Talk、以及電子錢包Brave Wallet，並與加密貨幣業者如Solana、Gemini強化合作。</p> <p>Brave表示，不到半年來，Brave搜尋用戶查詢已超過23億次，而用戶點選分潤的合作驗證創作者（verified creators）的內容網站，則涵括YouTube、Twitch、推特等超過130萬，年成長30%。此外，過去12個月中，已經有超過800萬用戶賺BAT代幣，Brave Ads營收則成長4倍，合作廣告客戶近900家，包括福特、豐田、百威啤酒、沃爾瑪、Amazon、BMW等品牌、遊戲開發商Epic Games、Gala Games或是Binance、Coinbase、Crypto.com等加密貨幣平台，進行了超過5000次行銷活動。</p> <p>另一個主打隱私的獨立軟體開發商DuckduckGo則反過來從搜尋引擎出發，<a href="https://www.ithome.com.tw/news/148580" target="_blank">於去年底推出自有桌機版瀏覽器</a>，並主打整合搜尋、郵件與App防追蹤隱私工具。</p> </div></div></div>
2022/1/7 13:05作者林妍溱https://www.ithome.com.tw/news/148758
環保爭議讓Mozilla暫停接受加密貨幣捐款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mozilla/status/1479143340159422468" target="_blank">Mozilla基金會今日宣布</a>，為了氣候變遷的因素，即日起將暫停接受外界以加密貨幣捐款。</p> <p>Mozilla基金會的態度是在一周內改變的。<a href="https://twitter.com/mozilla/status/1476951030638260225" target="_blank">該基金會才在今年的1月1日鼓勵</a>手上持有加密貨幣的使用者，透過BitPay捐贈給該基金會，結果惹到了Mozilla創辦人Jamie Zawinski。</p> <p>Zawinski在1998年創辦Mozilla.org之後，隔年就辭職了，而Mozilla.org即為Mozilla基金會的前身。<a href="https://twitter.com/jwz/status/1478022085737803776" target="_blank">Zawinski在Mozilla該則推文的下方留言</a>，怒罵這些號召使用者捐贈加密貨幣的團隊成員都應該感到羞恥，批評此一決定等同是與焚燒地球的龐式騙子同流合污。</p> <p>雖然Mozilla基金會自2014年就開始接受外界以加密貨幣捐款，但再度推廣卻受到Zawinski的無情抨擊，這使得該基金會重新思考了加密貨幣對環境可能帶來的衝擊，且在評估之際決定暫停接受基於加密貨幣的捐款。</p> <p>Mozilla表示，對該基金會而言，分散式網頁技術仍然會是一個重要的領域，只是沒意識到該領域從2014年以來的許多變化，因此將重新檢視接受加密貨幣捐款是否與其氣候目標相抵觸，基於開放源碼的精神，將把相關過程透明化，也會定期與外界分享有關的決策。</p> </div></div></div>
2022/1/7 13:24作者陳曉莉https://www.ithome.com.tw/news/148759
因應能源危機，科索沃禁止加密貨幣挖礦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如其他面臨能源供給不足的歐洲國家，<a href="https://me.rks-gov.net/sq/lajmet/ministria-e-ekonomise-nenshkruan-marreveshje-per-mbeshtetje-financiare-prej-148-milion-per-trepcen-dhe-telekomin-si-dhe-merr-vendim-per-masa-emergjente#.YdRxz2jP2Um" target="_blank">東歐國家科索沃本周宣布緊急措施</a>，包括禁止高耗電的挖礦活動。</p> <p>為解決近日的缺電問題，科索沃經濟部在該國能源部緊急措施技術委員會建議下，由部長Artane Rizvanolli宣布一系列措施，包括60天緊急狀態，期間禁止境內所有加密貨幣生產。在此措施下，所有相關部門都必須找出挖礦活動的地點並加以遏阻。</p> <p>歐洲長期自足供電不足，仰賴俄羅斯供應低價天然氣。今年COVID-19疫情趨緩、經濟復甦，然俄羅斯與烏克蘭問題引發俄國切斷天然氣供給，導致歐洲國家陷入能源危機。</p> <p><a href="https://www.bbc.com/news/world-europe-59879760" target="_blank">BBC報導</a>，科索沃的民生用電40%仰賴進口。上個月該國境內的燃煤發電廠發生技術問題故障，迫使該國政府以高價向外國購電。缺電問題也引發科國民眾示威要求Rizvanolli下臺。</p> <p>科國之外，<a href="https://www.bnnbloomberg.ca/iran-orders-crypto-mining-ban-to-save-power-during-winter-crunch-1.1701012" target="_blank">伊朗也在12月宣布為期3個月的挖礦禁令</a>。伊朗去年多個城市發生大規模停電，當局歸咎挖礦用電飆升是缺電元兇之一，在禁令期間大舉查緝私人及無照業者的非法挖礦活動。</p> <p><a href="https://www.zdnet.com/article/cryptocurrency-should-bitcoin-mining-be-curbed-in-europe-swedish-authorities-say-yes/" target="_blank">瑞典能源部也在去年11月呼籲應禁止高耗電的挖礦活動</a>，因為挖礦不只瓜分了電力供給，挖礦產生的大量散熱也有害緩和地球暖化的努力。</p> </div></div></div>
2022/1/7 13:47作者林妍溱https://www.ithome.com.tw/news/148760
犯罪集團的虛擬貨幣錢包今年進帳140億美元，創紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chainalysis.com/reports/2022-crypto-crime-report-introduction/" target="_blank">區塊鏈分析業者Chainalysis本周公布了加密貨幣犯罪趨勢研究報告</a>，指出犯罪集團用來接受非法交易的加密錢包在2021年總計進帳了140億美元，創下歷史紀錄，比2020年的78億美元增加了79%。</p> <p>然而，加密貨幣並不僅受到犯罪集團的青睞，去年全球加密貨幣的交易量達到15.8兆美元，比2020年成長了567%，大勝犯罪集團的成長率。</p> <p>事實上，在2019年時，非法加密貨幣交易的規模占所有加密貨幣交易的3.37%，2020年則降至0.62%，去年再減少至0.15%，代表加密貨幣絕大多數都是合法且正常的交易。</p> <p>值得注意的是，在去年犯罪集團的非法交易中，有高達78億美元是來自詐騙，特別是所謂的「拉地毯」（Rug Pull）詐騙，意指專案開發者向大眾強力推廣，吸引投資者大量買進後，再宣布放棄專案並直接捲款潛逃，去年最有名的當屬Thodex詐騙案。</p> <p>Thodex為一土耳其的加密貨幣交易中心，在去年3月以發放免費狗狗幣予新註冊用戶為噱頭，吸引了龐大數量的新用戶，然而，該公司執行長卻在4月宣布暫停交易，且執行長人間蒸發。<a href="https://twitter.com/whitestream5/status/1387710491867353091" target="_blank">根據區塊鏈情報業者Whitestream的統計</a>，Thodex從2020年8月到2021年2月間，匯出了5,000個比特幣，價值約1.25億美元，疑似該平臺的套現操作。隨後更有媒體報導，Thodex總計盜走的投資人款項約為20億美元。</p> <p>除了78億美元屬於詐騙收入之外，去年還有32億美元的加密貨幣遭竊。</p> <p>Chainalysis建議，為了強化加密貨幣領域的安全，除了需要執法機關持續追查與扣押非法加密貨幣之外，也應協力對抗勒索軟體的威脅，打擊基於加密貨幣的洗錢行為，關注國家級駭客於加密貨幣犯罪行動中所扮演的角色，以及小心新興的非同質化代幣（NFT）詐騙案。</p> </div></div></div>
2022/1/7 12:21作者陳曉莉https://www.ithome.com.tw/news/148756
開源加密貨幣生態體系由以太坊拔得頭籌，比特幣名列第五
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/electric-capital/electric-capital-developer-report-2021-f37874efea6d" target="_blank">加密貨幣資產管理業者Electric Capital本周公布了2021年的Web3開發者報告</a>，指出去年有超過3.4萬名的新進開發者提交了開源碼加密貨幣或Web3專案的程式碼，且每月的活躍開發者人數已達1.8萬人，而最受歡迎的專案為以太坊（Ethereum），其它依序是Polkadot、Cosmos、Solana，而比特幣（Bitcoin）則名列第五。</p> <p>Web3指的是基於區塊鏈的去中心化網路，雖被視為全球網路的趨勢之一，但目前最主要的應用仍為加密貨幣。</p> <p>研究顯示，以太坊為全球最吸引開發者的區塊鏈專案，在去年12月時，以太坊每月活躍開發者人數為4,011人，一年來成長42%，當中有2,081人屬於兼職開發者，全職開發者則接近1,400人。</p> <p>至於比特幣儘管仍為全球市值最高的加密貨幣，但去年首度從第二名的位置滑落至第五，其開發者人數不僅落後以太坊，也不如Polkadot、Cosmos與Solana等專案，比特幣去年12月的開發者人數為673人，一年僅成長9%，包含347名兼職開發者與接近250名的全職開發者。</p> <p>此外，以太坊也是最能留住開發者的專案，有30%的全職開發者是從2017年投入迄今。</p> </div></div></div>
2022/1/7 12:42作者陳曉莉https://www.ithome.com.tw/news/148757
.NET MAUI開始支援Fluent設計系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-maui-preview-11/">.NET MAUI（Multi-platform App UI）最新預覽版11</a>，在這個版本，微軟加入了第一批Fluent UI控制樣式，並且提供多視窗實作，和各種控制功能，除此之外，微軟統一了iOS、macOS和tvOS類型，使Apple裝置應用程式開發者編寫程式碼更方便。</p> <p>微軟在Windows 11中，透過更新流暢設計系統（Fluent Design System），加入新的UI樣式，現在.NET MAUI所有控制元件，都會使用最新的版本，後續的預覽版也會以此為基礎，添加更多控制元件和主題支援，在預覽版11中，開發者會先看到按鈕、編輯器和輸入欄的變化。</p> <p>.NET MAUI本身預設使用特定於各平臺的設計和體驗，因此開發者的應用程式其實不需要進行額外的配置，就可以使單個程式碼庫適用於各平臺，並且獲得正確的外觀和感覺。</p> <p>和Xamarin.Forms比起來，.NET MAUI的額外更新是新增多視窗實作，由Application.Current.Windows管理所有視窗參照，而現在要新增視窗，只要簡單的幾行程式碼就能夠完成。另外，微軟在這個版本，使用C# 10模式更新了模板，官方提到，.NET MAUI存在的主要目標，就是要簡化開發工作，讓開發者能輕鬆建構應用程式，這個版本的模板更新，包括隱式using，當開發者選擇使用ImplicitUsings，便會看到更乾淨的專案檔案，所有using語句會被動態收集起來。</p> <p>Apple相關的SDK，也是微軟持續在更新的部分，在Xamarin SDK與.NET 6統一工作中，.NET 6原使用原生nint和nuint類型，而非System.nint和System.nuint，但這會影響現有針對iOS、macOS和tvOS，所使用.NET 6建構的函式庫，而透過讓類型更加一致，能夠改善開發體驗。不過，要使用這項更改，開發者必須要針對.NET 6重新編譯程式碼，並且要明確使用這些類型時，開發者應該更新.NET 6程式碼，來使用C#類型。</p> <p>微軟建議開發者在安裝最新Visual Studio 2022預覽版之前，應該先卸載之前所安裝的所有.NET 6預覽版和Visual Studio 2022預覽版，在新的Visual Studio 2022 17.1第二預覽版中，選擇以.NET行動開發，並勾選.NET MAUI預覽版，便可以使用最新的.NET MAUI進行開發。</p> </div></div></div>
2022/1/6 20:16作者李建興https://www.ithome.com.tw/news/148748
Visual Studio 17.1加入自動清理程式碼和自動儲存功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續更新Visual Studio，在最新的<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-17-1-preview-2-is-now-available/">17.1預覽版</a>，微軟在Git、搜尋和導覽，以及C++和.NET開發體驗上，加入許多新功能，除此之外，官方也提到，他們收集用戶的回饋來改進IDE的效能，目前C++專案中的Find All參照搜尋，效能提高了22％，而他們會繼續對IDE效能提升投入更多資源。</p> <p>Visual Studio 17.1讓開發者可以更容易地進行Git日常操作，現在能夠輕鬆地比較當前分支，和儲存庫中其他分支的差異，微軟提到，這在用戶準備拉取請求，或是在刪除分支的時候，會特別有用。這個版本還強化斷頭（Detached Head）支援，加入了簽出（Checkout）提交，以及簽出遠端分支的提示，現在用戶可以簽出任何提交，並回到儲存庫歷史紀錄上的任何一點，執行和測試程式碼，並且也能透過查看任何遠端分支的提示，來查看拉取和請求，以評估團隊的更新。</p> <p>微軟在這個版本加入了兩個好用的自動化功能，第一個是能自動清理用戶的程式碼，用戶可以配置自定義程式碼清理檔案，當用戶在儲存檔案時，這些配置檔案便會自動運作，執行像是移除不可見的變數、移除用不到的usings或是排序usings等動作，來最大程度減少拉取請求的風格違規，減少開發者花費在修復不符合標準程式碼的時間。</p> <p>另一個自動化功能，則是Visual Studio會自動儲存檔案，以維持檔案在最新的狀態。不少開發者都會使用Ctrl+S來持續儲存檔案，而Visual Studio自動儲存新功能，能夠替開發者省去儲存的麻煩，而且即便應用程式失去焦點，也會自動儲存檔案，當用戶切換到其他Windows應用程式時，Visual Studio自動將提交儲存到磁碟中。</p> <p>目前自動儲存仍然是一個預覽功能，除了在失去焦點時持續儲存之外，微軟正在考慮其功能，官方希望開發者可以提供回饋，協助他們改善功能。用戶只要按Ctrl+Q搜尋Autosave，便可以進入預覽功能頁面，啟用該功能，不過，當用戶同時啟用自動清理程式碼和自動儲存功能時，自動儲存並不會觸發程式碼清理。</p> </div></div></div>
2022/1/7 11:53作者李建興https://www.ithome.com.tw/news/148746
AWS推出CloudTrail Lake服務簡化企業稽核工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布正式推出<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/01/aws-cloudtrail-lake-audit-security/">AWS CloudTrail Lake</a>，這是一個受託管，用於稽核和安全目的的資料湖，供用戶聚合、不可變更地儲存和查詢日誌資料，並用於稽核、安全調查和操作故障排除。</p> <p>官方提到，CloudTrail Lake在同一個產品中，整合、儲存、最佳化和查詢功能，來簡化活動日誌分析工作。透過將這些功能整合到同個環境中，企業便不需要跨團隊和產品，逐一建立資料處理工作管線。CloudTrail Lake提供範例查詢，讓用戶能夠快速地編寫查詢，像是收集用戶活動等，來加速安全調查。</p> <p>由於CloudTrail Lake具有不可變事件資料儲存功能，和預設7年的資料留存期，能夠滿足大多數企業要求，而且CloudTrail Lake還能夠從多個AWS地區和帳戶中收集事件。用戶可以使用AWS SDK或使用AWS CLI，在CloudTrail控制臺中，啟用CloudTrail Lake功能。</p> <p>目前該服務在美東、美西、加拿大、歐洲、南美、中東和南非等地區提供，而亞洲則已經在東京、大阪、首爾、新加坡、孟買和雪梨地區上線。</p> </div></div></div>
2022/1/7 12:01作者李建興https://www.ithome.com.tw/news/148749
NumPy 1.22開始支援Windows/Arm64，並且完成主要註解工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科學家愛用的科學運算函式庫NumPy，其開發團隊發布了最新<a href="https://numpy.org/doc/1.22/release/1.22.0-notes.html">1.22版本</a>，這是一個大型更新，由153位貢獻者，提供了609個拉取請求完成。 NumPy 1.22要能正確運作，該函式庫要求用戶安裝Python 3.8或更高版本，因為NumPy不再支援Python 3.7。</p> <p>這個版本有許多功能更新，新增新的API和方法，其中NumPy 1.22也是第一個支援Windows on Arm的版本。新版本允許開發人員透過bit_count函式，計算整數1位元的數字，並且使用註解區塊還能生成C/C++ API參照文件。</p> <p>NumPy是Python科學運算的基礎套件，為一個函式庫提供多維度陣列物件、各種衍生物件，以及對陣列快速運算的各種例程，包括數學、邏輯、形狀操作、排序、離散傅立葉轉換和基本線性代數等。NumPy的核心是Ndarray物件，該物件封裝了同構資料類型的n維陣列，許多操作在編譯程式碼時，能夠有效提升效能。</p> <p>主要NumPy命名空間註解功能基本上在這個版本已經完成，由於上游不斷地變化，因此接下來還是可能會有一些變動，但是主要工作都已經完成了，而這項工作會是用戶感受最明顯的變化。這項工作從NumPy 1.20版本就已經開始，當時類型註解已經成為NumPy函式庫的一部分，但註解剩餘的功能尚在進行，到了1.22，主要NumPy命名空間的部分也已經全註解完成。</p> <p>除了主要命名空間之外，還有其他帶有註解的子套件，包括numpy.testing、numpy.linalg和numpy.random。根據提議，NumPy 1.22加入了Array API的初始版本，這是如同CuPy和JAX，收集了可以用來創建跨應用程式的標準函式。</p> <p>Quantile和Percentile則加入新方法，兩者現在擁有新的關鍵字參數method=，支援13種不同的方法，用來取代過去的關鍵字參數interpolation=。官方提到，這些新方法提供了一組在文獻中常見的方法組合。</p> </div></div></div>
2022/1/7 12:05作者李建興https://www.ithome.com.tw/news/148752
AI趨勢周報第183期：斷詞等好久？Google開源新工具加速8倍工作時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1231～0106)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 斷詞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>斷詞等好久？Google開源新工具加速8倍斷詞時間</strong></span></p> <p>Google日前發表一套新英文斷詞工具Fast WordPiece Tokenization，能提高斷詞工作速度達8倍。一般來說，要打造自然語言處理（NLP）應用，得先將文章斷詞（Tokenization），也就是把文章切分為字或更小的單位，將非結構化的資訊轉化為ML模型可消化的序列型資料。在深度學習模型中（如BERT），每個切分過的字（Token）會映射為嵌入式向量，作為模型輸入值。</p> <p>但，傳統斷詞方法，會將不存在於詞彙表中的生字歸類為未知。為改善問題，現代NLP專家開發出WordPiece系統，可將字切分為更小的子字（Subword）單位，來讓模型有足夠的資訊，推敲出字的意思。</p> <p>而Google開發一套改良的WordPiece系統，不僅能縮短斷詞時間、降低模型延遲，還能節省算力成本。這個工具有兩大特色，一是單字WordPiece斷詞，Google利用自行設計的LinMaxMatch演算法來加速，讓運算時間隨輸入字串長度而線性成長，有別於傳統方法的次方成長。另一是全流程WordPiece斷詞，不像傳統方法先預斷詞再呼叫WordPiece來進一步斷詞，Google將這兩個流程合而為一，且所需時間也是線性成長。經測試，Google的工具比熱門的HuggingFace工具快上8.2倍，比TensorFlow Text快上5倍多。Google也將這個工具用於自家業務，後來也在TensorFlow Text正式釋出。<a href="https://ai.googleblog.com/2021/12/a-fast-wordpiece-tokenization-system.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEh44VqfUTWJqYATv-iy0ZqA7G0F8gXd-KiSF7OqV9YvmL7yYzusm-doYZ615JB93xvpwp-CXIEOvHQBNbLmimehdgay98PA0IKjbi6lmKsRAAL0yJ6Lro63E53k5KtD9xeI9lUFexyetXqdnIKAsx01T8ZfPmGJiZ0QCNP1HuNmZlcGl8wxE6JSnJzQvA=w640-h438" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> oneAPI 2022 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>英特爾免費釋出跨架構工具包，主打AI效能最佳化</strong></span></p> <p>英特爾日前推出跨架構工具包oneAPI 2022，一口氣涵蓋900多項技術更新，主打跨架構程式設計、AI效能最佳化和生產力優化工具，內含自編譯器、函式庫、預先最佳化框架、分析器、除錯器等工具。就跨架構程式設計來說，oneAPI 2022有個統一的編譯器，可實作C++、Python在CPU和GPU的資料平行處理、SYCL和Fortran，以及建模與微調的進階加速器，還有AI工作流程加速器。此外，該工具包搭配新一代Optimization for TensorFlow與Optimozation for PyTorch，執行深度學習框架的速度快了10倍。<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-empowers-developers-oneapi-2022-toolkits.html#gs.li2fus">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 對抗攻擊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>ML模型如何抵抗惡意的干擾攻擊？IBM揭露心法</strong></span></p> <p>在機器學習模型預測越來越精準的同時，也有一種技術誕生，專門誘導模型給出錯誤的預測，這就是對抗攻擊（Adversarial attacks）。為提高模型抵抗力，IBM團隊展開研究，要找出模型脆弱之處和新風險。</p> <p>IBM發現，業界抵抗這種攻擊的方法，是用一套垂直聯合學習（VFL）框架，以多種來源的資料訓練模型，並只分享參數和梯度，來保護資料隱私。但這麼做的風險是，可從梯度中被推導出原始訓練資料。IBM也發展出一套攻擊手法CAFE3來驗證，不只能從梯度中還原資料，資料品質還比之前的攻擊手法好。於是，他們建議更好的做法是，利用合成梯度來訓練模型，而且，合成梯度的學習表現不會比真實梯度差。</p> <p>若是遇到資料污染問題，他們也提出2種解法，首先是依序淘汰不合格的機率，再來是降低獨特數據中，信賴區間的重疊。針對常見的對比學習方法，IBM也提出2個強化韌性的作法，一是讓模型專注於高頻率的訓練資料部分，二是利用特徵分群產生偽標籤。<a href="https://www.youtube.com/watch?v=9B2jKXGUZtc&t=3s">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/9B2jKXGUZtc?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型不確定性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Bean Machine </span></strong></span></p> <p><span style="font-size:22px;"><strong>如何測量模型不確定性？Meta開源Bean Machine函式庫可解題</strong></span></p> <p>Meta發布一款基於PyTorch的機率程式開發系統Bean Machine，可用來表達和了解日常ML模型中的不確定性。Bean Machine供使用者開發特定領域的機率模型，並用自動、不確定性學習演算法，來學習模型未觀察到的屬性。</p> <p>Bean Machine有三大好處，首先是不確定性估計，分析師能更全面掌握預測系統的行為，再來是表現性，Bean Machine能更好地表達結果意義，直接在原始程式碼中編碼模型，讓用戶能將模型的結構對應到問題的結果。最後是可解釋性，因為模型與領域相對應，所以可查詢模型中的中間學習屬性，這代表用戶不僅可使用模型「黑盒子」，還可以對特定預測的結果做出解釋，對於模型開發過程有很大的幫助。<a href="https://research.facebook.com/blog/2021/12/introducing-bean-machine-a-probabilistic-programming-platform-built-on-pytorch/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe12-2.fna.fbcdn.net/v/t39.8562-6/265629948_654943022167480_3395372637565397858_n.png?_nc_cat=111&ccb=1-5&_nc_sid=6825c5&_nc_ohc=02OQRnj_k3QAX9hlcvM&_nc_ht=scontent.ftpe12-2.fna&oh=00_AT-vQjl6vDpqbshZx5TlhOqhHXC15dnLdm5uBzokMs_WRA&oe=61DBE56C" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客製化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI API服務開放客製，GPT-3可自行微調來優化</strong></span></p> <p>開發人員可用自己的資料來微調語言模型GPT-3了！OpenAI指出，使用者可用來開發適合其應用程式的自定義版本，讓模型能用於更多使用案例中，執行成本更低、速度也更快</p> <p>OpenAI進一步表示，透過微調，模型輸出的正確率可從83％提升到95％。而要自定義模型也非常簡單，用戶只需要提供資料集檔案，並在OpenAI命令列工具執行單個指令，系統便會自動開始自定義版本訓練，並且在OpenAI API中提供服務。<a href="https://openai.com/blog/customized-gpt3/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/post-customized-gpt3-viable.png?v=2" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ONNX Runtime </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Xamarin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動App </span></strong></span></p> <p><span style="font-size:22px;"><strong>ONNX Runtime 1.10支援Xamarin，開發者可用來打造AI行動App了</strong></span></p> <p>機器學習推理引擎ONNX Runtime 1.10版開始支援.NET框架專屬的行動App開發平臺Xamarin，讓開發者用C#程式語言來開發AI行動應用程式。ONNX Runtime 1.10版本的NuGet套件中，包含了對Android和iOS的支援，賦予開發者打造跨行動裝置AI應用程式的能力。</p> <p>除了對Android和iOS的支援，ONNX Runtime 1.10的新功能還包括加入X64和ARM64上的新量化核心，提升運算效能。在硬體的靈活度方面，新版本更新了TensorRT、DirectML、OpenVINO和DNNL Execution Providers，在Nvidia GPU上，Python GPU套件同時支援CUDA和TensorRT Provider，讓用戶更容易測試和使用。<a href="https://cloudblogs.microsoft.com/opensource/2021/12/14/add-ai-to-mobile-applications-with-xamarin-and-onnx-runtime/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 商湯科技 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 獨角獸 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>7年12輪融資，AI獨角獸商湯科技終於上市了</strong></span></p> <p>掛牌上市是不少AI新創的成長目標，2021年進入尾聲的倒數第二天，歷經7年多12輪融資和被美國列入黑名單的幾番波折，中國AI新創商湯科技終於在港交所掛牌上市，市值破256億美元。</p> <p>商湯科技專門打造智慧商務、智慧城市、智慧生活和智慧汽車等4大領域的AI軟體，專攻深度學習和電腦視覺等技術。7年多來累計開發了22,000個商用AI模型，就算力來說，他們擁有23個超級電腦叢集、2萬多張GPU，總算力達1.17百萬兆次浮點運算。研發人力約3,500多名，其中三分之二正攻讀碩博士，由40位教授帶帶領專案研究。</p> <p>商湯科技2020年總營收達5億多美元，歷年累積的融資金額高達52億美元。他們將資金大舉投入研究，光2021上半年的研發資金就高達27.8億美元。雖然，2018年至2021上半年營收將近15.7億美元，但同期間累計虧損約38億美元。盈利是商湯科技上市後，面對傳統網路公司和一般企業跨入AI領域競爭外的另一課題。<a href="https://www.sensetime.com/cn/news-detail/41164548?categoryId=72">（詳全文）</a></p> <p>圖片來源／Google、IBM、Meta、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Meta AI公布照片修改偵測大賽結果</strong></p> <p><strong>2. Amazon用深度強化學習打造NLU排名新工具</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/6 17:20作者王若樸https://www.ithome.com.tw/news/148745
NCC警告小米Mi 10T 5G手機有敏感政治詞彙檢查功能，恐有回傳資訊疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC今天(1/6)發稿指出，在臺灣販售的小米Mi 10T 5G手機，經檢測發現手機內建應用軟體會對敏感政治詞彙進行比對，甚至可能進一步回傳資訊，提醒民眾重視手機的個人隱私保護意識。</p> <p><a href="https://www.ithome.com.tw/news/146838" target="_blank">去年9月立陶宛政府發表調查報告</a>，在華為Huawei P40 5G與小米的Xiaomi Mi 10T 5G發現含有安全風險，其中在小米手機上發現的風險之一是，在手機內建的小米瀏覽器，使用蒐集用戶活動資料的Chinese Sensor Data，最多可蒐集61種資料，且傳送資訊至該國認為未提供妥善個資保護的第三地，因此視為安全風險。此外，也在該款手機內發現內容檢查機制，自動封鎖被列為黑名單的關鍵字，例如「自由西藏」、「民主臺灣萬歲」等等。</p> <p>NCC在獲知這項消息後，去年10月主動委託電信技術中心（TTC）檢測在臺灣銷售的同款手機，在該手機內建的7款App，包括個性主題、音樂、套裝軟體安裝程式、手機管家、垃圾清理、下載管理、小米視頻，發現會從globalapi.ad.xiaomi.com伺服器，下載敏感政治關鍵字，內含「自由中國」、「臺灣人權促進會」、「新疆」、「自由西藏」、「臺灣獨立」、「蔡英文」、「李登輝」、「近平」、「六四事件」、「中國國民黨」、「民進黨」等進行比對的檔案（MiAdBlacklistConfig，如上圖所示），該比對檔案涵蓋政治團體、宗教團體、政府、社會運動、政治人物的簡繁體中文與英文詞彙，總計2千多筆。NCC認為具有阻絕連網或回傳瀏覽行為的疑慮。</p> <p>NCC表示，該款手機並未提供消費者關閉此一功能的選項，雖然目前詞彙過濾檔案也已被清空，但製造商仍能隨時由遠端更新檢查或過濾功能，恐有曝露使用者隱私的風險，加之中國政府法規規定有配合國家情報的義務，敏感詞彙的檢查或過濾功能恐造成使用者個資、隱私曝露的隱憂，因此公布檢測結果，提醒民眾使用手機的風險。</p> <p>而在立陶宛發布中國手機調查報告後，NCC曾向臺灣小米關切此事，得到的回應是，臺灣販售的10T 5G手機與歐洲銷售的國際版不同，臺灣版的手機不會審查用戶通訊內容，或是限制用戶搜尋、打電話、瀏覽等手機行為，臺灣小米公司否認審查用戶通訊內容的行為。經此次檢查，NCC表示，未來將會持續檢測臺灣小米是否損害消費者權益，若有損害消費者權益時，報請相關主管機關依法處理。</p> <p>NCC也提醒，手機製造商或App業者基於對時調校、版本更新確認、大數據分析等，並遍有回傳資料的情形，但依個資法規定，裝置應提供使用者停用資料蒐集回傳功能，至於下載使用App時，也可注意是否提供關閉資料蒐集的功能。</p> <p>事實上，這並非小米手機首次有安全風險，<a href="https://www.ithome.com.tw/news/89991" target="_blank">iThome委託資安專家檢測小米手機</a>，不論是全新手機或使用中的手機，曾發現未經用戶同意下，擅自傳送資料回到中國的情形。而在2020年，<a href="https://www.ithome.com.tw/news/137364" target="_blank">安全研究人員檢測小米手機後發現</a>，追蹤蒐集用戶瀏覽行為，即使用戶開啟無痕模式，仍會追蹤用戶行為，並回傳資料至第三地。</p> </div></div></div>
2022/1/6 19:54作者蘇文彬https://www.ithome.com.tw/news/148747
Fintech周報第206期：SWIFT聯手區塊鏈金融平臺SETL與多家市場參與者，今年Q1將展開資產代幣化試點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0101～0107</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位資產 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 代幣化 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">SWIFT聯手區塊鏈金融平臺SETL與多家市場參與者，今年Q1將展開資產代幣化試點</span></strong><br /><span style="vertical-align: top;">環球金融電信協會（SWIFT）近期宣布，將與國際保管結算機構Clearstream、北方信託銀行（Northern Trust）、英國區塊鏈服務提供商SETL等市場參與者合作，展開一項創新試點，探索如何支持代幣化資產市場發展的互操作性。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">SWIFT表示，相較於加密貨幣與穩定幣，目前代幣化資產的市值很小，但，未來幾年將加速成長，預計到2027年交易量可達到24兆美元。SWIFT提到，代幣化技術能應用在股票與債券，以及商品、藝術品等非流動性資產。為了支持代幣化資產市場的增長，SWIFT計畫在2022年第一季進行一系列的實驗。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">SWIFT創新長Thomas Zschach表示，SWIFT作為一個中立的合作機構，提供的服務涵蓋全球200多個國家或地區11,000家機構，同時，受到全球中央銀行的監督。因此，將利用中立平臺的角色，來研究代幣化資產從發行、交付與支付到贖回的流程。Thomas Zschach提到，該實驗也將使用既定的支付形式與央行數位貨幣（CBDC）來進行。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">不過，SWIFT的目的並不是成為加密貨幣託管人，也不會作為結算代幣化資產的平臺，而是要作為中介平臺，讓傳統資產與代幣化資產能互相流通。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">在今年的實驗中，SWIFT規畫，由Clearstream與Northern Trust與其他市場參與者，扮演串連起代幣化和傳統資產生態系統的關鍵角色，比如提供證券市場基礎設施、作為本地託管人與全球託管人。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">SETL和Northern Trust則將支持SWIFT和參與者，在各種分散式帳本技術（Distributed Ledger Technology，DLT）環境間進行整合，包括Corda、Hyperledger Besu、Hyperledger Fabric、Daml，以及SETL自家的分散式帳本技術等，並使用各自的功能進行交易管理。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 萬事達卡 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 個人化服務 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">萬事達卡收購麥當勞個人化平臺Dynamic Yield，將用於提供更多個人化服務給客戶與合作夥伴</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">萬事達卡公司（Mastercard）與麥當勞（McDonald's）近期共同宣布，麥當勞已同意將於2019年收購的個人化平臺Dynamic Yield出售給萬事達卡公司，預計於明年上半年完成交易。雖然雙方並未公布財務細節，但外傳此一交易的規模超過3億美元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Dynamic Yield為一個人化的消費者經驗平臺，透過機器學習技術並根據消費者的購買紀錄、瀏覽記錄或其它特性，來提供個人化的推薦服務，全球有超過400個品牌為該平臺的客戶，包括零售、金融、旅遊及餐館等。萬事達卡公司表示，未來將利用Dynamic Yield技術提供更多的個人化服務予客戶及合作夥伴，不管是在消費者的購物上，或是協助企業發展業務，建立一個統一的消費者互動及忠誠度中心將進一步擴展萬事達卡網路的價值。<a href="https://www.ithome.com.tw/news/148521">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Nationwide </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國最大房屋抵押貸款協會Nationwide將自家網站搬上公有雲</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20Nationwide_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Nationwide.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">擁有1,600萬會員數的全英房屋抵押貸款協會（Nationwide Building Society），也是英國最大的</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">房屋抵押貸款協會，</span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期已將自家會員網站搬上Microsoft Azure。此舉是由這家英國大型互助金融機構的雲端團隊，與委外顧問廠商共同設計、建置與發布，為的是讓網站更具可靠性與穩定性，來因應會員在尖峰時段的使用需求。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了確保順利遷移到Azure上，Nationwide的內部工程師、架構師、交付團隊，使用混沌工程（Chaos Engineering）的原則執行了一系列測試場景，以確保網站在公有雲平臺上有效且可靠地執行。成功將首個應用搬上公有雲後，下一步，Nationwide計畫將更多工作負載轉移到Azure。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新核心系統 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微服務架構 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山銀行重新整編架構師團隊讓職責更分明，藉此找出能滿足新核心系統的架構</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山銀行以雲端原生技術、微服務架構，自行打造的新核心系統，創下國內金融業自建銀行核心的首例。玉山銀行副資訊長劉帥君在一場活動揭露，建置新一代核心系統架構前，玉山內部重新整編了架構師團隊，將企業架構師、部門架構師、技術架構師等成員獨立組成一個團隊，讓架構師的職責更為清楚，來思考相關解決方案，經過論辯、論證後，才找出真正能滿足未來核心系統的架構。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">完成架構師團隊整編，也制定出相關原則與準則後，玉山開始發展新一版的資訊藍圖，以顧客為中心的思考模式，訂出從通路、顧客管理、產品管理、財務會計、風險管理到管理資訊的業務發展模型。接著，玉山團隊開始發想IT架構藍圖，先從顧客觀點與企業觀點2面向來設計。從顧客觀點設計的部分，包括通路平臺層、跨通路整合層。從企業觀點設計的部分，則分為產品與交易層、應用整合層與分析應用層。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">建構出完整的資訊藍圖，玉山選擇嘗試導入微服務的設計架構。甚至，內部訂出一套微服務設計訓練3大準則，包含高內聚力的設計、鬆散耦合與單一功能，來讓團隊遵循。此外，在導入容器技術上，玉山的要求是必須做到標準化、一致性管理，並能到處部署。採用微服務架構與容器技術打造核心系統的策略底定後，團隊就開始往前衝，一路開發新核心系統直到上線。<a href="https://www.ithome.com.tw/news/148584">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 西門子 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">西門子採用摩根大通區塊鏈技術開發支付系統，用於管理自家帳戶間大量支付</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_Siemens_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Siemens.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據英國《金融時報》（Financial Times）報導，摩根大通（JPMorgan Chase）近期正與西門子（Siemens）合作開發基於區塊鏈技術的支付系統，該系統將用於管理西門子自家帳戶間的支付，不過，目前僅限於美元間的支付，規畫今年將增加歐元間的支付。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">該區塊鏈支付系統是由摩根大通的Onyx區塊鏈部門所開發。西門子表示，採用區塊鏈支付系統的原因是，他們需要更好的自動化方式來處理大量支付需求，特別是西門子採取了新商業模式如按次使用付費的模式。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 證券期貨業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> SF-CERT </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣證券期貨業正式成立SF-CERT，將從3面向著手協助業者應變資安事件</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會轄下證券期貨相關機構在2021年11月底成立證券暨期貨市場電腦緊急應變支援小組（SF-CERT），並已開始辦理資安演練及訓練。從目前SF-CERT規畫服務內容來看，主要聚焦事前、事中的面向，協助提升業者資安體質，這是長期性的工作，事後也將檢討改善。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在事前的部分，將提供資安事件應變處理參考指引，來告訴業者如何應變常見類型的事件。另外，也將提供日誌留存參考指引，讓業者可以有相關依循建議。同時，SF-CERT還將規畫資安演練與事件應變訓練，例如，針對全體證券期貨業者進行資安通報的演練，需在30分鐘內要有初步通報，而每年也將針對10多家業者，進行資安事件應變桌面演練，以及DDoS防護演練。另外，也會舉辦事件應變的教育訓練。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在事中的面向，國內已建立證券期貨市場資通安全通報系統，而SF-CERT也將提供事中應變方面的支援，一旦資安事件發生，將提供協助與顧問諮詢，協助加速現場事件應變與鑑識調查，並分享產業攻擊資訊，研擬產業對應策略、協調外部資源，以及擔任事件回應管道。至於事後方面，SF-CERT也將針對上述參考指引進型檢討修訂，並納入演練及教育訓練素材。<a href="https://www.ithome.com.tw/news/148555">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 上市櫃大型企業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資安長 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會要求臺灣上市櫃大型企業需設置資安長與資安專責單位，多個產業龍頭均受規範</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">去年12月底，金管會正式發布施行新版「公開發行公司建立內部控制制度處理準則」，當中規範國內資本額破100億、前50大市值的上市櫃公司，同時，將電子商務與人力銀行產業納入，都需設置資安長。換言之，光是國內資本額破百億的上市櫃公司就有100多間，加上其他條件不重複的公司，大致將有100多家符合金管會訂定第一級的標準，需要在2022年以前，完成資安長與資安專責單位的設置。在這樣的要求之下，意味著國內不論食品、電機、海運等傳產大廠，以及半導體、光電等電子龍頭業者，在今年底前需及早做好設置資安長的準備。<a href="https://www.ithome.com.tw/news/148662">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">Nationwide Building Society</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">Siemens</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top; font-size: 18.6667px;">. </strong><a href="https://www.ithome.com.tw/news/148697"><strong>三星宣布3款支援NFT Platform應用程式的電視，讓使用者能瀏覽、購買或交易不可替代代幣（NFT）</strong></a><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/6 18:39作者李靜宜https://www.ithome.com.tw/news/148744
【資安日報】2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，美國針對17家企業提出警告，已有110萬名客戶遭到撞庫（Credential Stuffing）攻擊而受害，這樣的情況相當值得留意，這些企業包含了網路零售業者、連鎖餐廳，以及食品配送服務業者等，而這些客戶的資料已流入地下論壇。由於在撞庫攻擊中，駭客會透過取得的帳密，嘗試存取多種網路服務帳號，若是使用者都設置相同的帳密，這些網路服務的帳號就有可能遭到駭客挾持。該政府單位也呼籲企業也要針對網站加強防護。</p> <p>而除了針對購物網站的撞庫攻擊，惡意軟體透過網管工具散布的現象，近期也有數起攻擊事件。而最近，有駭客組織使用了名為Atera的遠端監控與管理軟體（RMM），在受害電腦植入ZLoader，攻擊者使用IT管理軟體入侵受害電腦，主要原因是能夠取得高權限，以便後續攻擊階段可持續控制受害電腦。</p> <p>操作科技（OT）的設備安全，也開始逐漸受到重視。<a href="https://www.ithome.com.tw/news/148631">臺灣主導半導體產業的產線設備資安標準SEMI E187，近期正式上路</a>，美國也有由醫療機構所組成的醫療照護供應鏈協會（HSCA），近期特別針對醫療設備的資訊安全，發布新的指引，讓醫療機構能在添購設備或是服務的過程中，就選用從產品設計就將資安納入的產品。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/ny-oag-hackers-stole-11-million-customer-accounts-from-17-companies/"><span style="color: rgb(0, 0, 0);"><strong>駭客針對17家公司進行撞庫攻擊，竊得110萬名客戶帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Accounts compromised in credential stuffing shared online.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Accounts%20compromised%20in%20credential%20stuffing%20shared%20online.png" style="width: 300px; float: right;" /></a>美國紐約州總檢察長辦公室（NY OAG）近日向17家公司提出警告，這些公司約有110萬客戶的帳號，在撞庫（Credential Stuffing）攻擊事件中遭駭。NY OAG經過數個月監看網路社群後，發現上述遭到外洩的用戶帳密，來自網路零售業者、連鎖餐廳，以及食品配送服務業者，他們通知相關業者，以便能夠讓消費者儘速重設密碼。NY OAG也呼籲企業應採取相關防禦措施，包含監控網站是否遭到Bot機器人攻擊、採用雙因素驗證（MFA）等。</p> <h4><strong><a href="https://research.checkpoint.com/2022/can-you-trust-a-files-digital-signature-new-zloader-campaign-exploits-microsofts-signature-verification-putting-users-at-risk/"><span style="color: rgb(0, 0, 0);">惡意軟體ZLoader帶有微軟簽章，並透過網管軟體遠端「部署」</span></a></strong></h4> <p>資安業者Check Point指出，駭客組織MalSmoke自2021年11月開始，使用名為<a href="https://www.ithome.com.tw/news/146775">ZLoader的金融木馬（亦稱Terdot、DELoader）</a>，從111個國家或地區，竊取數千名受害者的帳密資料。研究人員指出，駭客散布該金融木馬的管道，疑似是利用名為Atera的遠端監控與管理軟體（RMM）試用版本，來控制受害電腦，最終植入具有微軟簽章的ZLoader。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/elephant-beetle-spends-months-in-victim-networks-to-divert-transactions/"><span style="color: rgb(0, 0, 0);">駭客組織Elephant Beetle花費數個月，在拉丁美洲金融機構進行詐欺交易，竊得數百萬美元</span></a></strong></h4> <p>資安業者Sygnza發現名為Elephant Beetle（亦稱TG2003）的駭客組織，該組織使用超過80種工具，鎖定全球各地的組織，迄今已竊得數百萬美元。研究人員指出，這群駭客擅長針對Linux作業系統上的Java應用程式出手，且非常有耐心，會願意花費數個月偵察受害組織環境，並研究金融交易流程，最終才利用操作流程的缺陷發動攻擊。他們看到駭客運用Primetek Primefaces、IBM WebSphere Application Server、SAP NetWeaver Application Server等應用系統的漏洞，而能夠遠端執行任意程式碼。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ios-malware-can-fake-iphone-shut-downs-to-snoop-on-camera-microphone/"><span style="color: rgb(0, 0, 0);"><strong>iOS惡意軟體可讓裝置假裝關機，然後進行偷窺、竊聽</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hijack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hijack.jpg" style="width: 300px; float: right;" /></a>在過往許多iOS的惡意軟體攻擊中，受害者往往可透過重新啟動裝置，就有機會阻止惡意軟體在記憶體內運作，但這樣的方式可能已經不管用。資安業者ZecOps公布名為NoReboot的攻擊手法，這種方式可讓受害者以為iPhone已經關機，但實際上惡意軟體藉由挾持關機命令，而使得受害手機實際上維持開機的狀態，惡意軟體仍能繼續執行，並從麥克風與鏡頭，進行竊聽甚至是偷窺的行為。研究人員指出，由於這並非iOS作業系統的缺陷，蘋果很可能不會進行修補。</p> <h4><strong><a href="https://www.theverge.com/2021/12/31/22861188/missouri-governor-mike-parson-hack-website-source-code"><span style="color: rgb(0, 0, 0);">記者通報中小學教育網站曝露教職員個資，竟被指控入侵網站</span></a></strong></h4> <p>聖路易斯郵報（St. Louis Post-Dispatch）記者Josh Renaud，在10月中旬向密蘇里州政府通報，該州的中小學教育部網站DESE，網站的程式碼曝露了逾10萬名教職員的社會安全碼，並在相關單位處理完成後進行報導。但密蘇里州州長Mike Parson顯然不買帳，不只在10月13日指控該名記者是駭客，12月底還召開記者會，打算起訴這名記者，認為他入侵了DESE。</p> <p>基本上，網站的程式碼只需透過網頁瀏覽器就能檢視。美國聯邦調查局（FBI）指出，此起事件為DESE網站的配置錯誤，Josh Renaud的行為並非真正的入侵；而新聞網站The Verge認為，Mike Parson顯然不了解網站的運作方式。</p> <h4><a href="https://www.cw.com.tw/article/5119624"><strong>愛心協會服務商網軟遭駭事件有後續消息，警方指出資料庫均未加密，也沒有PCI DSS認證</strong></a></h4> <p>去年7月底到8月，國內爆發假冒多個愛心捐款協會的詐騙案，當時iThome首先追查到是背後的資訊服務商網軟遭駭，該公司在8月3日向客戶（愛心協會）表示遭駭，相隔一段時間後，他們也已發布資安公告，特別的是，最近這起事件有了後續消息，根據天下雜誌的報導，警方指出外洩的資料包括：捐款人姓名、住址、電子郵件、聯繫電話、捐款方案、財務狀況，且資料庫並未加密，甚至，該公司有接受紙本信用卡扣款授權書，並會登打到系統，但公司卻沒有遵循PCI DSS及認證，同時，公益團體使用該公司服務卻也不曾注意。目前，網軟已決定不儲存卡號與處理紙本刷卡授權書，但被駭範圍仍無法確定，已外洩的個資可能達6萬筆。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.scmagazine.com/analysis/iot/new-guidance-tackles-role-of-manufacturers-in-medical-device-security-patient-safety"><span style="color: rgb(0, 0, 0);">美醫療設備採購組織發布供應商的資安評估指南</span></a></strong></h4> <p>由美國14個醫療設備採購組織所成立的醫療照護供應鏈協會（HSCA），近期提供相關設備的業者或服務商，發布新的網路安全指引，提及透過MITRE建立醫療設備的威脅模型劇本，以及這類設備的生命安全週期的管理等。他們提及醫療機構與設備製造商簽訂合約時，所需要留意的細節，而且最好要有資安團隊參與採購流程，以確保所有接到醫療機構網路上的設備，從設計之初就將資安納入考量。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/6 14:36作者周峻佑https://www.ithome.com.tw/news/148740
Google、蘋果遭控合作以壟斷搜尋市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/class-action-lawsuit-filed-in-california-alleging-google-is-paying-apple-to-stay-out-of-the-search-engine-business-301453098.html" target="_blank">本周數家律師事務所聯合提出的集體訴訟</a>控告Google、蘋果兩家科技巨擘互惠合作，包括Google付給蘋果數十億美元，以便共享Google壟斷市場獲得的利益</p> <p>文件指出雙方之間有6大非競爭協議，使蘋果同意不涉足搜尋業務和Google競爭。兩家公司使用的手段包括Google將搜尋利潤分享給蘋果，蘋果則在所有蘋果裝置上給Google優惠待遇。此外Google每年要支付數十億美元給蘋果，請它不要投入搜尋市場，兩家大廠並協議聯手排擠較小的競爭搜尋業者，甚至收購潛在競爭者。而為了保持合作雙方高層經常定期密會。由於這些利益輸送行為，使Google廣告費用高於競爭者收費。</p> <p>他們希望能將Google付給蘋果的錢吐出來，因而要求法院禁止Google和蘋果聯合行為、簽定利益共享、蘋果裝置優待Google、以及Google付錢給蘋果等協議。他們甚至要求法院能將Google、蘋果各自分割成數間獨立公司，一如石油業及汽車業巨擘如埃克森(Exxon)、美孚(Mobile)、康菲(Conoco)、Amoco、俄亥俄標準石油(Sohio)、雪佛龍(Chevron)等。</p> <p>兩家大廠同時也面臨美國、歐盟、英國等政府的反托拉斯案調查。外界相信Google為了維持搜尋龍頭地位在蘋果身上花了巨額費用。<a href="https://www.ithome.com.tw/news/128751" target="_blank">華爾街分析師曾指出</a>，2018年Google就付給蘋果95億美元，以換取成為Safari瀏覽器預設搜尋引擎。這個數字也不斷增加。<a href="https://www.ithome.com.tw/news/146417" target="_blank">另一家分析機構估計2021年Google支付蘋果的金額增加到150億美元</a>，且預估因為微軟的競爭，可能還會再增加。</p> <p><a href="https://www.ithome.com.tw/news/138549" target="_blank">英國政府一項研究報告指出</a>，去年Google以15億美元為代價，換取成為蘋果Safari的預設搜尋引擎。</p> </div></div></div>
2022/1/6 14:43作者林妍溱https://www.ithome.com.tw/news/148741
開源的盜版影片串流服務Popcorn Time宣布退隱江湖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2014年問世的開源盜版影片串流服務「爆米花時間」（Popcorn Time），<a href="https://popcorn-time.tw/" target="_blank">近日於官網上宣布退隱江湖</a>，現有版本的作者除了於官網貼上R.I.P（Rest In Peace）之外，也向媒體證實他已關閉該專案。</p> <p>Popcorn Time透過BitTorrent技術，向使用者提供全球存放特定影片之不同電腦的連結，提供串流影片搜尋與播放服務，由於它蒐集了眾多的院線片，不僅免費提供，還有各種語言的字幕可供選擇，並支援Windows、macOS、Android與iOS平臺，剛上線就吸引了大量的使用者，<a href="https://s22.q4cdn.com/959853165/files/doc_financials/quarterly_reports/2014/q4/Q4_14_Letter_to_shareholders.pdf" target="_blank">更被2014年的Netflix視為最大的競爭對手之一</a>。</p> <p>而今，Popcorn Time官網上的爆米花圖示，已從開心的笑臉換成死掉的表情，更列出從2015年以來，大眾對Popcorn Time的興趣不斷下滑，暗示這是作者關閉該服務的主因。</p> <p>然而，這並不是Popcorn Time第一次消失，就在Popcorn Time剛上線的第一年，原始作者就受到執法機關的壓力而關閉該服務，但由於這是個開源專案，陸續有其他開發者接手維護它，2015年再因美國電影協會（MPAA）的施壓而關閉，而從2014年迄今，已數不清有多少開發者曾接手Popcorn Time。</p> <p>這使得外界推測，或許有朝一日Popcorn Time會再度復活。</p> </div></div></div>
2022/1/6 14:56作者陳曉莉https://www.ithome.com.tw/news/148742