iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 129篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 19:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 129 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

聚和數位轉型先從產線AI做起，下一步靠IT減碳再強化數位行銷
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道嗎？有一家臺灣化工廠自研自製的便利貼品牌──「N次貼」，已經躍居全球市占第二，成為3M最大的競爭對手，而它背後有點黏又不太黏的專利黏貼技術，就是與3M平起平坐的關鍵。不過，這家化工廠還有一款比N次貼更厲害的產品，也就是在藥物、疫苗、試劑製造中，用來穩定製程PH值的「生物緩衝劑」，近年來不僅搶下全球市占第一，更是Covid-19疫苗製造不可或缺的一環，可說是臺灣當之無愧的隱形冠軍！</p> <p>深厚的化工研發實力，是聚和國際的立身之本，更一路引領這一家已經40多歲的傳統化工廠躍上國際舞臺。但是，要坐穩銷售寶座，不只要精進化工技術，產能也得跟上年年增長的訂單需求。如何更即時掌握生產資訊，克服產能瓶頸？這家老牌化工廠，從2017年啟動數位轉型，試圖以IT作為關鍵力量，走出自己的轉型之道。</p> <p><span style="font-size:28px;"><strong>設備聯網、建資料平臺，打下資料科學應用基礎</strong></span></p> <p>「數位轉型不可能一開始就大力投資，我們先從現場的精實改善做起，也進行資料科學的小型試驗，讓老闆覺得可行。」聚和國際總經理室暨資訊中心協理王邦畯回憶，2017年甫入職聚和，就率領IT團隊小規模優化產線，並開始導入AI試驗其有效性，來爭取高層對數位轉型的認同和投資。</p> <p>王邦畯回憶，聚和當時面臨的主要問題是，產線產量與品質不穩定，如生物緩衝劑每批產量，在不明原因下忽然減少超過1成，且持續半年未能有效改善。</p> <p>為此，聚和花費半年時間，分析了近千筆數據，篩除掉不重要的特徵後，利用機器學習找出可能因子，「找到的問題因子，都是容易忽略的次要參數，」王邦畯指出，更重要的是在找到潛在問題後，須與製程工程師進行驗證與確認，才能更嚴謹的設置生產條件，讓產能恢復原有水準。</p> <p>尋找問題的過程中，聚合也發現，內部生產數據不僅搜集不易，更難以善加利用。比如化學事業部生產一批商品，得花上7～14天，過程中須記錄將近3,000筆資料，由於仰賴人工抄寫，除了有抄錯風險，員工也可能刻意只抄寫符合標準值的生產參數數據，導致資料的真實性大打折扣。</p> <p>搜集每一批商品的生產數據後，還得與生產工單結合，將每一批次商品的產能與良率，與其生產條件相對應，才能掌握有問題的生產梯次及其生產條件，進而利用AI分析其中的上千項因子，找出導致問題發生的關鍵因素。</p> <p>因此，經過小規模AI試驗後，聚和決定啟動更大規模的轉型改造，隔年也向工業局申請智慧製造AI計畫，爭取外部資金與專家能量，正式展開數位轉型。</p> <p>為了更有效利用生產數據，聚和將人工抄寫的生產參數，改為電子化記錄，8成欄位運用IoT系統每秒自動擷取，剩下2成則利用AI影像辨識來擷取，來大幅提升資料搜集的真實性與精準度。</p> <p>生產數據蒐集透過IoT數位化後，聚和更導入了資料搜集平臺，利用其支援的通訊協定與系統串接能力，將工廠端的生產數據匯入其中，更串連了ERP與MES的資訊，將生產數據與物料、工單進行整合，並將數據進行視覺化呈現與管理。</p> <p>不只優化產線，聚和也將內部即時蒐集的數據，與供應商的資訊串接，來改善上下游產業鏈的溝通效率，不僅對內清楚呈現供應商的用料交期與品質回饋，對外也提供客戶查詢訂單狀態與品質履歷等，來提高需求回應速度，縮短從接單到出貨的時間。</p> <p><span style="font-size:28px;"><strong>為擁抱AI重整IT編制</strong></span></p> <p>在數位轉型初期，聚和也大刀闊斧的調整了IT組織架構，將原本只有軟硬體兩組的IT團隊，重新劃分為三組。王邦畯解釋，原本的硬體組，是負責機臺維護、網路設備維運等MIS工作，軟體組則是負責維運ERP、人資系統、流程簽核系統等套裝軟體，但在擁抱數位轉型後，為了導入AI，IT編制也得隨之調整。</p> <p>聚和參考了國際自動化協會的國際標準ISA-95，所列出的企業與控制系統整合架構，並重新調整自己的組織編制，將原先的硬體組重新定義為資訊工程組，賦予該組別搜集OT層生產數據的新任務，而原先的軟體組則改為資訊應用組，負責將OT與IT進行有效整合，也就是將製造平臺搜集的生產數據，與MES、ERP等系統串接整合。</p> <p>除了既有團隊的重新賦能，IT編制下也新設置了一個經營分析組，負責開發資料科學相關應用，更向外招聘AI專家來加入團隊。</p> <p>在這個分工架構下，當聚合內部提出一項AI應用需求，依據這項應用所需的資料類型，就會由資訊工程組從產線擷取生產數據，再由資訊應用組將其與工單資訊媒合，最後再由經營分析組來進行資料分析，開發出合適的AI應用。</p> <p>同時，原先的資訊中心也併入總經理室，來提高IT部門的位階，改由總經理室直接管理。隨著數位轉型的力道提升，聚和IT規模也翻倍成長，從原先不到10人，增加到現在的20人。</p> <p><span style="font-size:28px;"><strong>結合AI、機械手臂與AGV，達到包裝與搬運全自動化</strong></span></p> <p>奠定了資料搜集與分析基礎後，2019年，聚和進一步擴大AI應用開發，比如建立AOI瑕疵檢測、人臉辨識差勤應用等，同時更結合了自動化設備，比如導入AGV與機械手臂，來達成從檢驗、封裝到搬運的全自動流程。</p> <p>聚和的產線自動化改造，先從N次貼的廠區開始。當N次貼送達自動包裝線，機械手臂會先將折疊的紙箱打開、封底，接著運用AOI結合瑕疵檢測的技術，檢查每一個N次貼的包裝是否完整，再由機械手臂將其放入紙箱中，最後以塑膠袋封裝完成。後續，機械手臂還會將成品擺放到棧板上，整齊堆放完成後，由AGV自動將重達2頓的棧板運送到倉儲區。</p> <p>目前，聚和已經有兩條產線達到全自動包裝與搬運，能節省原先裝箱、查驗，以及在堆棧與倉儲區的人力配置。</p> <p>不過，正因AOI與自動化導入的目的，取代了部分人工作業，聚和導入這套自動化流程時，也面臨了員工的反彈。「如何讓資深員工了解，這件事情是幫助他們提升工作效率，而非取代原先的工作？」王邦畯指出，聚和大力向員工傳達「人機協作」觀念，強調自動化是為了讓員工改變工作型態，透過機器減輕原本的工作負擔，轉而從事更具價值的工作，比如減少從事堆放或搬運貨物等負重工作，改為學習品管，以利在品質問題發生時，能夠快速協助排查出可能的原因。</p> <p>為了滿足人機協作的需求，在選擇機械手臂時，聚和也並非採用一般設有圍欄的工業型機械手臂，而是選用協作型機器人，只要受到外力碰撞就會立即停止，當員工與機器人協同作業時，可以避免受傷的風險。王邦畯也指出，為了讓廠區人員快速適應新的生產流程，資訊人員也得學習操作這些設備，親赴第一線來教導員工，並協助排解問題，以減輕現場人員的抗拒感。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E7%8E%8B%E9%82%A6%E7%95%AF_%E8%81%9A%E5%92%8C%E5%9C%8B%E9%9A%9B.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>聚和國際總經理室暨資訊中心協理王邦畯表示，數位轉型過程中，一定要先界定組織職能，再優化流程，最後導入系統，才能發揮轉型效益。</strong></span></p> <p><span style="font-size:28px;"><strong>下一步要搜集</strong></span><strong style="font-size: 28px;">碳排</strong><span style="font-size:28px;"><strong>數據、優化生產排程</strong></span></p> <p>延續過去的轉型成果，聚和也逐漸擴大數位應用規模，「數位轉型從剛開始的設備聯網、建立資料平臺，現在走到中段，開始水平展開了。」王邦畯表示，今年，聚和的數位轉型方向將著重客戶端的需求，力求轉型成果能為客戶帶來效益。</p> <p>比如其中一大重點，就是要進行全面性的碳排放盤查，設法達到碳減量的目標。不只是因為臺灣法規明定，公開發行公司得開始揭露溫室氣體的排放數據，聚合國外客戶也為了因應碳關稅的徵收衝擊，開始對供應商提出減碳需求。王邦畯指出，「雖然現在鋼鐵、水泥和石化受到的影響較大，但這是國際趨勢，我們傾向先做好準備。」</p> <p>因此，聚和去年先完成了溫室氣體盤查與產品碳足跡，估算出多項關鍵產品生產過程的碳排放量，並取得國際認證。今年，則是要改變原先一年只進行一次碳盤查的做法，利用設備聯網、資訊串接的能力，建立起碳排放儀表板，來監控每季、每月甚至每天的即時碳排數據，再根據短、中、長期設定的減碳目標，動態調整減碳力道。</p> <p>不只提前因應客戶未來需求，內部轉型工作也會繼續擴大，聚和要進一步優化生產排程。王邦畯指出，在數位轉型計畫前期，聚和已經改善了製程穩定度，下一步，則是要因應接單量的變動，以AI來優化ERP相關模組，做到自動調整生產排程，以維持足夠產能。</p> <p>甚至更近一步，過去圍繞在生產端展開的數位轉型，現在將逐漸延伸到行銷與業務端，尤其，聚和計畫在2022年強化數位行銷，要優化官網的搜尋排序並增加內容含金量，讓網站的能見度再提升，更要導入CRM來優化客戶體驗。</p> <p><span style="font-size:28px;"><strong>不只要培養企業轉型意識，更要導入正確推行方法</strong></span></p> <p>聚和數位轉型過程中，這些技術與系統的革新，也進一步帶動了文化層面的轉型。然而，王邦畯指出，即使總經理與各事業部主管已經凝聚轉型共識，但在實際執行時還是會遭遇瓶頸。比如不諳IT專業的中階主管，「在執行層面，可能會見樹不見林，缺乏周全考量。」最常見的迷思是，誤認為導入系統就能解決所有問題，卻沒有提前思考原先的組織規劃、職能分工、作業流程甚至是資料搜集，是否已經完備。</p> <p>「數位轉型過程中，一定要先界定組織的職能，再優化流程，最後才導入系統，」王邦畯指出，然而，一般企業實際執行時，「往往先找系統，再改流程，最後才思考組織架構。」</p> <p>以聚和自己來看，當初導入知識管理系統時，就曾面臨了這個困境，因為組織本身缺乏知識管理的邏輯與架構，卻期待導入系統來解決問題，導致IT與該部門僵持了近半年的時間，最後才找來外部顧問，先引入正確的知識管理架構與觀念，再由IT挑選合適的系統導入。</p> <p>王邦畯也藉這個經驗點出，在數位轉型的推動上，難免會碰到不同部門間的角力，如何建立正確的推行方式，從組織、流程到系統來展開轉變，是轉型路上的一大考驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>聚和國際總經理室暨資訊中心協理　王邦畯</strong></p> <p>學歷：清華大學工業工程碩士</p> <p>經歷：過去曾任上市櫃光電集團的IE副理，其後也進入了上市櫃工具機集團擔任製造中心協理，後升任董事長特助。其後也進入財團法人顧問業擔任外聘顧問，並於2017年入職上市櫃化工集團聚和國際，在總經理室擔任協理一職，同時也擔任資訊長的角色，率領聚和IT推動數位轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>聚和國際</strong></p> <p>●地址：高雄市大寮區華東路28號</p> <p>●成立時間：1975年2月7日</p> <p>●主要業務：造紙化學品、水處理化學品、生物緩衝劑、鋰電池添加劑、銅箔添加劑、自黏性便條紙</p> <p>●員工數：466人</p> <p>●年營收：2020年合併營業額3,588,701,000元</p> <p>●資本額：1,732,041,000元</p> <p>●董事長：郭聰田</p> <p>●總經理：郭聰田</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：總經理室暨資訊中心</p> <p>●資訊部門人數：20人</p> <p>●直屬主管：總經理郭聰田</p> <p>●IT預算：1,000萬元以上</p> <p>●資訊部門分工：分為資訊工程組、資訊應用組與經營分析組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2012年：聚和官網建置上線、Oracle ERP上線</p> <p>●2013年： BI Analyzer商業智慧系統上線</p> <p>●2016年：MES軟體上線</p> <p>●2017年：全面改用電子發票</p> <p>●2018年：Easyflow改Deltaflow BPM電子流程管理系統上線</p> <p>●2019年：聚和官網重建置上線</p> <p>●2020年：WebISO文件管理系統上線、PI System上線</p> <p>●2021年：Tableau軟體上線、人臉辨識系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wang_bang_jun_ju_he_guo_ji_.png" width="960" height="420" alt="" title="聚和國際總經理室暨資訊中心協理王邦畯　（攝影／洪政偉）" /></div></div></div>
2022/1/13 07:00作者翁芊儒https://www.ithome.com.tw/people/148810
簡便資料載體的tuple
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些程式語言，會提供名為tuple的資料型態，表面上，這看來像是list之類的結構，然而，會有一些list所沒有的限制，但有些開發者面對tuple時，會仍以list角度看待，導致難以理解其作用，因而list與tuple的差別，經常是程式語言討論區的FAQ。</p> <p><span style="font-size:28px;"><strong>Python的tuple</strong></span></p> <p>例如，在Python當中使用的tuple，許多開發者只將它看成是不可變動（immutable）的list，令其形同雞肋，或者僅將其用於需要不可變動的場合，像是作為不可變動的引數傳遞給函式，或者解釋一下因為不可變動，有時建立tuple會比list來得經濟。</p> <p>有時，則會在示範Python中x, y = y, x可以交換變數值時，解釋一下tuple，因為y, x會建立tuple，x, y=這個指定，會對建立的tuple進行解構，因而構成了交換變數值的效果，由於可以對tuple解構，在函式需要傳回多個結果時，不少文件也談到可以使用tuple。</p> <p>其實解構的另一面，代表著tuple有著固定結構，就Python而言，tuple可以表達的結構資訊，包含資料的欄位順序、長度，而不可變動代表一個tuple記錄了唯一的狀態，沒有變動為其他狀態的可能性，也就是不會有隱藏的狀態。</p> <p>什麼樣的資料，會需要記錄欄位順序、長度且不可變動呢？</p> <p>最簡單易懂的例子就是座標點，像是：(10,)代表一維座標，(20,30)代表著二維座標，若是笛卡兒座標系，20代表x座標，30代表y座標；若是極座標系，兩個欄位就分別代表半徑與角度；必要時，我們也可以使用更多的元素來表示更高維度，例如四元數。</p> <p>也就是說，如果我們想要將資料欄位順序、長度組成，視為一種資料集合（例如笛卡兒座標系的點集合），此時，我們可以使用簡單的解構語法就能處理資料，若不想大費周章地定義一個型態時，就可以使用tuple。</p> <p><span style="font-size:28px;"><strong>TypeScript的tuple</strong></span></p> <p>在TypeScript中，也可以建立tuple，方式是宣告型態時，依序宣告各欄位的型態，也就是TypeScript的tuple除了順序、長度，型態也被明確揭露。</p> <p>例如，let org:[number,number]=[0,0]建立了tuple，代表著座標原點，如果試圖將['a','b']指定給org，會引發編譯錯誤，這代表[number,number]，也構成了一種匿名形態。</p> <p>回頭看看Python，雖然身為動態定型語言，然而其tuple也隱含著型態資訊，畢竟面對一個tuple，還是必須知道tuple的各欄位型態是什麼，不然後續處理就可能引發TypeError，也就是說，無論是Python或TypeScript，tuple將元素型態及順序構成了一種新型態，因為型態與順序固定了，同一型態的tuple，就能以可預期的模式解構其中的元素。</p> <p>只不過，在TypeScript當中，為何我們不去使用{x:number,y:number}來標註org，而將特性名稱也納入結構考量呢？如果我們想要揭露的資料，其特性名稱也算是結構一部份的話，當然可以使用物件結構，而不是tuple。</p> <p>就作用而言，這有點像在Python中進一步使用dataclass，而不只是tuple（或是named tuple之類），只不過就TypeScript而言，以物件結構來定義型態會失去欄位的順序資訊，從而在解構物件的語法上會麻煩一些，相較而言，由於Python 3.10有了match-case特性，dataclass的欄位順序也是結構的一部份，可便於進行模式比對（pattern match）。</p> <p>嗯？TypeScript不是可以替tuple標示出名稱嗎？雖然這看來有點像是Python的namedtuple，但是，實際上，那只是為了增加可讀性，不能像Python的namedtuple直接透過特性名稱來取得值。</p> <p>而且，我們還要留意，TypeScript的tuple是可變動的，例如方才的org，可以用org.push(1,1)增加元素，但這就怪了，畢竟型態是[number, number]，元素卻是[0,0,1,1]？若想避免這類問題，我們可以標註org為Readonly<[number, string]>，如此一來，就不能透過org來變動元素內容了。</p> <p><span style="font-size:28px;"><strong>來自函數式的tuple</strong></span></p> <p>不可變動？欄位順序？長度？型態？揭露資料的結構？解構？模式比對？如果對函數式設計稍有涉獵，你看到這邊可能就會觸及敏感神經了，想詢問tuple的概念是否來自函數式設計呢？</p> <p>的確在函數式語言中，tuple是經常使用的資料結構，除了不具備欄位名稱，tuple完全揭露了資料在結構上的相關資訊，因為結構公開，以模式比對來處理tuple是自然而簡單的方式。</p> <p>在函數式語言中，tuple多半會被實作為product型態（可參考先前專欄〈<a href="https://www.ithome.com.tw/voice/91111" target="_blank">重構與代數資料型態</a>〉），具體而言，就是欄位型態的組合，這將會構成一種新型態，在我們需要臨時建個結構代表某個資料，又不想大費周章地正式定義某型態時，這就是很方便的作法。</p> <p>不過，要注意的正是tuple的欄位型態組合為匿名，這表示相同型態組合下，就算是代表不同資料集合，語法上也會過關。</p> <p>例如，方才TypeScript中的org，若意圖上想代表笛卡兒座標，然而，有個(10,30)資料其實代表極座標，當其被指定給org時，此時，在TypeScript中並不會有任何錯誤。</p> <p>然而，就算你使用type為[number,number]定義了別名Cartesian，也只是個別名而已，這就像是在Python中，使用了namedtuple，若有Point與Pt兩個namedtuple，雖然彼此的名稱不同，但本質上還是個tuple，因此，在相等比較時，就只會針對欄位來判斷而已。</p> <p>如果在模式比對時，你需要具體的整體型態名稱，或者更進一步地，需要將欄位名稱納入結構考量，那麼，在Python中需要是dataclass。</p> <p>因為Python 3.10以後的match-case特性，可以針對型態名稱進行比對，若從這個角度來看，tuple這東西的用途就很明確了，那就是作為一種「簡便的資料載體」。</p> <p><span style="font-size:28px;"><strong>簡便的資料載體</strong></span></p> <p>先前專欄〈<a href="https://www.ithome.com.tw/voice/147531" target="_blank">不只是語法糖的記錄類別</a>〉為了介紹Java 16以後的記錄類別新特性及語義，我曾不斷強調「資料載體」這個字眼，並且談到作為一個資料載體，封裝的邊界就是單純地將一組資料聚合在一起，並且揭露資料的一切。</p> <p>若將Java中記錄類別的種種限制，視為實現資料載體時必要的考量，並將之拿到Python、TypeScript等語言，看待其中tuple的特性，我們就會發現：tuple正適合作為一個資料載體。</p> <p>然而，在Java中，並沒有tuple，不過，我們可以看看Haskell，例如，在《HASKELL趣學指南》的〈Type and Typeclasses〉曾經談到，每個tuple都是獨立的型態，而在〈<a href="https://bit.ly/3qeF0Yp" target="_blank">Data Classes and Sealed Types for Java</a>〉當中，就談到Java的記錄類別，就是有名稱的tuple（nominal tuple）。</p> <p>現在你應該知道Python、TypeScript或其他具備tuple的語言中，怎麼使用tuple了吧！如果你有一筆資料，我們會知道tuple可作為簡便的資料載體，用來揭露該資料的結構（雖然沒有名稱），以便客戶端有足夠的彈性，並且可以針對資料增加新的處理函式，搭配模式匹配來處理資料（至於模式比對的優缺點，可參考先前專欄〈<a href="https://www.ithome.com.tw/voice/147830" target="_blank">模式比對與多型</a>〉）！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/tuple">tuple</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%9E%8B%E6%85%8B">資料型態</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/typescript">TypeScript</a></div><div class="field-item odd"><a href="/tags/%E5%87%BD%E6%95%B8%E5%BC%8F">函數式</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%BC%89%E9%AB%94">資料載體</a></div></div></div>
2022/1/13 07:00作者林信良https://www.ithome.com.tw/voice/148811
【資安日報】2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>到了1月的第2週，微軟一如預期於昨天（1月11日）發布例行修補（Patch Tuesday），修補近百個漏洞。值得留意的是，這次修補漏洞的數量，不只比上個月多出快一半，也比過往一月份的平均多出一倍。這樣的情況，也使得漏洞懸賞專案Zero Day Initiative（ZDI）認為，今年的其他月份，也有可能會出現較過往更多漏洞。</p> <p>除了IT廠商發布的漏洞例行修補，Log4Shell漏洞的後續效應仍然相當嚴重，尤其是陸續有數個駭客組織用來攻擊採用VMware遠端工作平臺的組織，但也有APT駭客運用這項漏洞，在受害組織植入後門程式，來進行第2階段的攻擊行動。再者，也有化妝品業者因Log4Shell遭到入侵，而向執法單位通報。</p> <p>在漏洞相關資訊與事故之餘，最近一款名為SysJoker的後門程式，同時鎖定使用Windows、macOS、Linux的使用者而來，且各版本的功能幾乎一致，僅Windows版多了刪除登錄碼與惡意程式本身的功能。這種跨平臺的惡意軟體，也使得使用macOS、Linux等作業系統的用戶同樣受到波及。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/night-sky-ransomware-uses-log4j-bug-to-hack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Night Sky透過Log4Shell漏洞，鎖定VMware遠端工作平臺發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Log4ShellExploit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Log4ShellExploit.jpg" style="width: 300px; float: right;" /></a>又是利用Log4Shell漏洞、針對遠端工作平臺VMware Horizon下手的攻擊事故。微軟於1月10日發布警告，中國駭客組織DEV-0401在1月4日發動相關攻擊，進而在受害組織部署勒索軟體Night Sky。這個勒索軟體最早約於2021年12月出現，根據捷克研究人員Jiří Vinopal比對，Night Sky為勒索軟體Rook改造而成。值得留意的是，DEV-0401在發動攻擊的過程裡，所連線的C2中繼站，架設於看似趨勢科技、Sophos、Nvidia等IT業者所屬的冒牌網域，而可能騙過不少網路防護系統。</p> <h4><a href="https://www.channelnewsasia.com/singapore/clarins-data-security-incident-singapore-customers-personal-information-log4j-software-vulnerability-2428066"><span style="color: rgb(0, 0, 0);"><strong>化妝品業者克蘭詩遭到Log4Shell漏洞攻擊，客戶資料恐外洩</strong></span></a></h4> <p>根據新加坡媒體CNA的報導，法國知名化妝品品牌克蘭詩（Clarins）在網站上發布公告，表示該公司出現資料外洩事件，且可能涉及新加坡客戶的個資，包含姓名、地址、電子郵件，以及客戶忠誠度資料等，但不包含密碼、信用卡資料。該公司指出，這次事件疑似與他們在系統中廣泛使用的Log4j有關，儘管在Log4Shell修補程式推出後的數個小時就予以修補，但他們還是在漏洞細節公布後遭到攻擊。</p> <h4><strong><a href="https://research.checkpoint.com/2022/apt35-exploits-log4j-vulnerability-to-distribute-new-modular-powershell-toolkit/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織利用Log4Shell漏洞，在受害組織植入PowerShell攻擊工具，以進行後續攻擊行動</span></a></strong></h4> <p>廣泛存在於眾多系統的Log4Shell漏洞，已成為許多攻擊者入侵受害組織的管道。在Log4Shell漏洞細節公開數日後，資安業者Check Point發現，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）掃描存在相關漏洞的應用系統並入侵，然後從AWS S3儲存桶裡，下載名為CharmPower的PowerShell後門程式。該後門程式可用來檢查網際網路連線狀態、枚舉受害電腦的組態，然後從C2中繼站下載其他功能模組，以執行後續攻擊行動。研究人員認為，CharmPower讓這些駭客能快速結合手上現有的軟體，在得知Log4Shell這種重大漏洞後，用來打造能突破重重資安防護的攻擊工具。</p> <h4><a href="https://www.intezer.com/blog/malware-analysis/new-backdoor-sysjoker/"><span style="color: rgb(0, 0, 0);"><strong>一口氣鎖定Windows、macOS、Linux電腦的後門程式，攻擊者多次更換C2中繼站網址來藏匿行蹤</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/c2-coms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/c2-coms.jpg" style="width: 300px; float: right;" /></a>一般而言，許多惡意軟體的發展過程，往往是從鎖定特定的平臺，後來才延伸開發針對其他作業系統的版本。但資安業者Intezer揭露的後門軟體SysJoker，同時針對Windows、macOS、Linux等多個作業系統，藉由系統更新的名義來散布。攻擊者自2021年12月使用這個後門程式，他們也與伊朗駭客APT35一樣，濫用雲端服務來藏匿行蹤──研究人員看到該後門程式透過在Google Drive上的文件字串，來產生C2中繼站的網址，在調查的過程裡，C2網址更動了3次。而對於攻擊的來源，研究人員認為，有可能是經由受感染的NPM（Node Package Manager）套件而來。</p> <h4><a href="https://www.fortinet.com/blog/threat-research/omicron-variant-lure-used-to-distribute-redline-stealer"><span style="color: rgb(0, 0, 0);"><strong>竊密軟體RedLine假借Omicron病毒的名義進行散布</strong></span></a></h4> <p>資安業者Fortinet發現，攻擊者散布竊密軟體RedLine又有新的手法，最近利用武漢肺炎變種病毒Omicron的疫情，以提供這種變種病毒感染數據（Omicron Stats.exe）的軟體，透過釣魚郵件挾帶，然後引誘受害者執行。研究人員提到，這個新的RedLine也能為攻擊者收集更多電腦資訊，如顯示卡的名稱、BIOS資訊、硬碟型號等，且能鎖定Opera GX瀏覽器，以及OpenVPN、ProtonVPN等VPN連線軟體。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202201110218.aspx"><span style="color: rgb(0, 0, 0);"><strong>虛擬實境內容平臺愛實境遭DDoS攻擊，竟是離職員工所為</strong></span></a></h4> <p>企業遭到網路攻擊，我們很可能會認為是被外部的駭客盯上，但熟悉內部網路環境、甚至握有相關權限的員工或前員工，也可能對公司造成危害。內政部警政署刑事警察局在1月11日宣布，去年10月底接獲虛擬實境內容平臺業者愛實境（iStaging）報案，該公司遭不明人士試圖攻擊伺服器，客戶反應虛擬展間服務出現異常，造成營運成本損失約400至500萬元，該案已破獲。</p> <p>根據中央社報導，警方在破案記者會上說明，經調閱該公司後臺事件記錄檔（Log）分析，攻擊者於2021年10月25日多次變造身分，發動DDoS攻擊讓該公司系統無法正常運作，且透過VPN隱藏原始來源IP位址。經追查原始來源IP位址後，發現愛實境前員工54歲彭男涉有重嫌，該嫌到案後供稱是要展現自己的駭客技術，全案移送臺北地檢署偵辦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://threatpost.com/microsoft-wormable-critical-rce-bug-zero-day/177564/"><span style="color: rgb(0, 0, 0);">微軟2022年首個Patch Tuesday修補近百個安全漏洞，當中有6個為零時差漏洞</span></a></strong></h4> <p>微軟於1月11日發布2022年第一次每月例行修補（Patch Tuesday），總共修補了96個漏洞，其中有9個為重大漏洞、6個為零時差漏洞，但所幸皆未遭到駭客利用。針對本月微軟修補的情況，趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）表示，今年修補漏洞的數量，為過往一月份的2倍，亦較2021年12月（67個）多出快一半，2022年其他月份是否也會持續這樣的漏洞數量成長，值得觀察。</p> <h4><strong><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/"><span style="color: rgb(0, 0, 0);">盈碼科技NetUSB驚傳RCE漏洞，恐波及數百萬路由器</span></a></strong></h4> <p>資安業者SentinelOne於1月11日，揭露由臺灣USB共享解決方案業者盈碼科技（KCodes）所推出的NetUSB軟體，存在CVE-2021-45388漏洞，一旦攻擊者利用這項漏洞，能在作業系統核心層級執行程式碼。由於NetUSB廣泛運用於Netgear、TP-Link、D-Link等廠牌的路由器，恐有數百萬臺設備存在相關漏洞。研究人員向盈碼通報後，該公司於11月下旬表明在12月20日前發布修補程式。此外，Netgear也於12月20日，公告有3款產品D7800、R6400v2、R6700v3受此漏洞影響，並提供修補韌體。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2022/01/10/new-macos-vulnerability-powerdir-could-lead-to-unauthorized-user-data-access/"><span style="color: rgb(0, 0, 0);">macOS驚傳能讓攻擊者繞過防護機制的漏洞，伸手用戶資料</span></a></strong></h4> <p>微軟發現macOS一項漏洞Powerdir（CVE-2021-30970），攻擊者一旦利用這項漏洞，可繞過該作業系統的Transparency Consent and Control（TCC）防護機制，在未經使用者授權的情況下存取電腦的檔案，蘋果獲報後已於12月13日發布macOS Monterey 12.1及macOS Big Sur 11.6.2，修補相關漏洞。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> <p> </p> </div></div></div>
2022/1/12 16:11作者周峻佑https://www.ithome.com.tw/news/148849
Meta要求回公司上班的員工都必須打完COVID-19疫苗加強針
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2022/01/10/facebook-meta-delays-office-return-to-march-covid-boosters-required.html" target="_blank">根據《CNBC》的報導</a>，臉書、Instagram與WhatsApp的母公司Meta在周一（1/10）對內公告，原本要在1月31日全面開放的辦公室，因應COVID-19疫情的變化，將延後至3月28日，而且屆時要回辦公室的員工都必須打完第三劑的加強針。</p> <p>根據Meta的說法，延後回辦公室的時間是為了讓員工有更多的彈性，因為疫情的不確定性，讓員工很難決定在哪上班。不過，若是選擇回辦公室上班，必須打完第三劑的加強針，若是選擇遠端上班，則必須在3月中旬之前，向主管申請延後回辦公室上班。</p> <p>新興的Omicron變種病毒再度打亂了企業要求員工回去上班的計畫。現在除了Meta已經訂定了3月底回公司上班的政策之外，包括蘋果、微軟及Alphabet仍無限期延後員工回辦公室上班的時間點。</p> </div></div></div>
2022/1/12 17:02作者陳曉莉https://www.ithome.com.tw/news/148850
Linux Mint宣布與Mozilla成為合作夥伴，放棄自定義Firefox版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門Linux發行版<a href="https://blog.linuxmint.com/?p=4244">Linux Mint宣布與Mozilla進行更緊密的合作</a>，放棄自家維護的Firefox版本，採用更接近官方的配置，並且與Mozilla在技術上合作，使Firefox能更好地相容於Mozilla。官方解釋，在這項合作開始後，Firefox會繼續透過Linux Mint官方的儲存庫，以.deb套件的形式發布，但是配置和建構方式將有別以往，目標要讓Linux Mint版本與Mozilla發布的版本更加相近。</p> <p>過去Linux Mint使用自己的預設設定，並以特定的方式配置Firefox，但現在多數這些配置都被放棄，回到Mozilla的預設。這些改變包括預設起始頁面不再指向<a href="https://www.linuxmint.com/start/">https://www.linuxmint.com/start/</a>，搜尋引擎也不再是Linux Mint的搜尋合作夥伴Yahoo、DuckDuckGo等，而是Mozilla的搜尋合作夥伴，包括Google、Amazon、Bing、DuckDuckGo和Ebay，預測配置從Mint預設切換至Mozilla預設。</p> <p>Firefox程式不再包含來自Linux Mint、Debian或Ubuntu的程式碼更改與修補程式，對Mozilla來說，其目標是要讓Firefox在所有平臺上，以相同的方式運作，簡化維護、開發和錯誤修復，而透過與Linux Mint的合作，Firefox能夠在Linux Mint中，提供與其他作業系統相同的體驗。</p> <p>而對Linux Mint來說，這個變化代表著，維護和開發工作獲得簡化，過去Linux Mint使用Ubuntu的版本自己建置Firefox，而現在Linux Mint打包來自Mozilla的版本。而這樣的合作方式，也能夠滿足Mozilla對於其知識產權的要求，像是變更Firefox圖標以符合Mozilla的使用指南。</p> <p>雙方不只是商業合作，同時也在技術上合作，透過與Mozilla交流，使得改進Linux Mint中的Firefox更容易。包括之前Linux Mint增加對XApp視窗進度的支援，當用戶使用Firefox下載檔案時，Cinnamon面板視窗能夠顯示進度條，接下來在Firefox 96，還能夠更好地支援Firefox的視窗圓角裝飾。</p> <p>在2022年，Linux Mint會與Mozilla在軟體更新上合作，讓Firefox和更新管理程式可以協同工作，並讓用戶直接從瀏覽器本身，查看和應用瀏覽器更新。目前這項合作，會在Linux Mint 19.x、20.x和LMDE中的Firefox 96版本上轉換，而在Linux Mint 20.3，轉換則會出現在Firefox 95的Beta版本。</p> <p>在過渡之後，用戶的配置可能受到影響，官方解釋，使用者的配置是以系統的預設配置為基礎，因此在轉換到Mozilla版本的Firefox，未受用戶覆蓋的預設值，所觸發的行為或將發生變化。在搜尋引擎設定上，當原本預設為Google搜尋引擎，則預測引擎繼續為Google，只不過將會被視為系統核心引擎，而非是由用戶添加的引擎。</p> <p>原本使用Yahoo、DuckDuckGo等搜尋引擎，將不會出現在Mozilla的Firefox中，雖然同樣也有DuckDuckGo，但是URL不同。在Firefox中，唯有Google搜尋引擎能為Linux Mint帶來收入。官方提到，在轉換到Mozilla版本的Firefox，能夠獲得稍快的效能提升。</p> </div></div></div>
2022/1/12 17:08作者李建興https://www.ithome.com.tw/news/148847
VMware K8s DevOps平臺Tanzu Application Platform正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware去年9月初在Java開發者大會SpringOne上，<a href="https://www.ithome.com.tw/news/147303" target="_blank">揭露</a>Kubernetes應用開發營運（DevOps）平臺Tanzu Application Platform（TAP）的測試版，<a href="https://tanzu.vmware.com/content/blog/tanzu-empowers-superior-secure-developer-experiences" target="_blank">本周VMWare宣布</a>，Tanzu Application Platform 1.0版正式上線。</p> <p>Tanzu是VMWare因應企業應用轉向容器化，而推出的開發及管理產品線。VMware指出，TAP是以Kubernetes為核心，融合其原有技術Spring Framework及早前的微服務平臺Tanzu Application Service的應用感知能力，提供開發工具及流程，以加速開發應用及服務到公有雲或本地部署經認證的Kubernetes叢集上。</p> <p>VMware表示，Tanzu Application Service和最新的TAP差異在，TAP使用Tanzu及kubectl指令行介面（CLI）工具，而前者則使用VMware Tanzu Operations Manager及Cloud Foundry CLI。針對想轉移到TAP的Tanzu Application Service用戶，VMware也提供移轉和相容工具。</p> <p>本周VMware也同時宣布<a href="https://tanzu.vmware.com/content/blog/application-service-adapter-for-vmware-tanzu-application-platform-2" target="_blank">Application Service Adapter for VMware Tanzu Application Platform的第一個beta版本</a>。首個版本著重應用生命周期及路由（routing）能力，並且讓開發團隊能繼續使用舊工具，例如Cloud Foundry CLI、用戶端及相同workflow （cf push），將應用程式部署到新的TAP及Kubernetes叢集上。</p> <p>Application Service Adapter<a href="https://network.tanzu.vmware.com/products/app-service-adapter" target="_blank">已經由Tanzu網站開放下載測試</a>。此外VMWare也宣布將Application Service Adapter開源作為Cloud Foundry專案。</p> </div></div></div>
2022/1/12 15:34作者林妍溱https://www.ithome.com.tw/news/148845
PCIe 6.0正式規格問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責制定PCIe（PCI Express）電腦匯流排規格的組織PCI-SIG，<a href="https://www.businesswire.com/news/home/20220111005011/en/PCI-SIG%C2%AE-Releases-PCIe%C2%AE-6.0-Specification-Delivering-Record-Performance-to-Power-Big-Data-Applications" target="_blank">本周二（1/11）發表了PCIe 6.0正式規格</a>，可達到64 GT/s的傳輸能力，為PCIe 5.0規格（32 GT/s）的兩倍，同時也帶來更低的延遲並減少頻寬的開銷。</p> <p>PCIe為PC零件連結的標準介面，例如繪圖卡或儲存裝置，也被應用在廣泛的設備上，從嵌入式系統、手持裝置、工業應用、伺服器到超級電腦等，對消費者而言，升級後的PCIe最大的好處在於可支援更快的記憶體。</p> <p>相較於PCIe 5.0，PCIe 6.0不僅有雙倍的頻寬，也更有功率效率；藉由x16配置，單向傳輸能力便達128 Gb/s；而且它相容於從第一代到第五代的PCIe規格。</p> <p>不過，業界採用新一代PCIe規格的腳步並不快，以2019年5月釋出的PCIe 5.0為例，一直到最近幾個月，英特爾的12代處理器Alder Lake才支援PCIe 5.0，而AMD則要在今年才會支援PCIe 5.0，顯示業者才正要開始採用PCIe 5.0，使得外界預期支援PCIe 6.0的消費者裝置，可能要數年後才會出爐。</p> </div></div></div>
2022/1/12 15:48作者陳曉莉https://www.ithome.com.tw/news/148846
去年企業網路每周遭到網路攻擊的次數增加50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2022/01/10/check-point-research-cyber-attacks-increased-50-year-over-year/" target="_blank">資安業者Check Point本周指出</a>，企業網路在2021年平均每周遭遇到的網路攻擊數量，已比2020年增加了50%，而去年12月現身的Log4j漏洞更讓此事雪上加霜。</p> <p>從Check Point Research公布的趨勢圖可看出，2020年第一季時，每個組織平均每周遭受到的網路攻擊不到600次，但今年第一季就突破800次，第四季再攀高到925次。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2022/01/2021-1.png" style="width: 521px;" /></p> <p><span style="color:#696969;">圖片來源／Check Point</span></p> <p>從產業別來看，教育及研究機構是駭客最大的目標，2021年相關產業的組織平均每周面臨1,605次的攻擊，比2020年增加了75%；居次的是政府/軍事組織，每周也有1,136次的攻擊，增加47%；通訊產業每個組織平均每周則有1,079次的攻擊，成長51%。</p> <p class="rtecenter"><a href="https://blog.checkpoint.com/wp-content/uploads/2022/01/2021-2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2022/01/2021-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Check Point</span></p> <p>若從地區來看，非洲是最大的受害者，每個組織平均每周遇到1,582次的網路攻擊，亞太地區以1,353次排名第二，拉丁美洲為1,118次，歐洲為670次，北美則是503次。</p> <p>事實上，當去年12月爆出Log4j漏洞之後，全球駭客蜂擁而上，每小時就有數百萬計的攻擊行動是針對Log4j而來。</p> <p>Check Point的建議是「預防勝於治療」，理應把所有的面向都當作駭客的潛在攻擊目標而加以保護，同時保持資安衛生，修補已知漏洞，隔離重要網路，教育員工認識潛在威脅，以及部署先進的安全技術等。</p> </div></div></div>
2022/1/12 15:59作者陳曉莉https://www.ithome.com.tw/news/148848
去年成長最大的專利類別為基於生物模型的電腦系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ificlaims.com/news/view/ifi-claims-2021-rankings.htm" target="_blank">專利資訊供應商IFI CLIAMS本周公布了2021年的美國專利分布狀況</a>，指出取得最多專利的依然是美國的企業，在去年獲得了150,801個新專利，超越日本的47,105個、南韓的21,264個、中國的20,679個及德國的14,663個，而最熱門的專利活動領域與2020年一致，都是基於生物模型的電腦系統。</p> <p>IFI CLIAMS的分析顯示，從2017年到2021年間，基於生物模型之電腦系統的專利數量每年成長率為54%，它受到腦生物科學的帶動，且包括IBM、Google、三星、微軟與Intel都爭相投入。另一個在這5年間年成長率達42%的，則是包括大豆、玉米與蕃茄等開花植物品種的創新。</p> <p>其它擁有高成長率的專利類別，還包括電子煙（40%）、機器學習（39%）、量子運算（36%）、水/天然氣/石油探勘（36%）、電腦輔助設計（31%）、無線網路協定（28%）及顯示器（28%）等。</p> <p>至於2021年獲得最多美國專利的企業則是IBM，以8,682個專利位居冠軍，排名第二的是三星電子的6,366個，Canon以3,021個位居第三，其它進入前十名排行榜的還包括台積電、華為、英特爾、蘋果、LG、微軟與高通。</p> </div></div></div>
2022/1/12 12:21作者陳曉莉https://www.ithome.com.tw/news/148843
微軟揭露能繞過macOS系統防護，存取用戶資料、App的powerdir漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/10/new-macos-vulnerability-powerdir-could-lead-to-unauthorized-user-data-access/" target="_blank">微軟研究人員本周揭露</a>macOS一項可讓攻擊者繞過作業系統防護機制而存取隱私資料，或是控制電腦攝影機、麥克風等App的漏洞。</p> <p>微軟Microsoft 365 Defender研究團隊指出，這項編號CVE-2021-30970、暱稱為powerdir的漏洞，可讓攻擊者繞過macOS的Transparency Consent and Control（TCC）技術，非授權存取使用者的檔案。在微軟通報下，<a href="https://support.apple.com/en-us/HT212978" target="_blank">蘋果已經在去年12月13日發布安全更新</a>，包括macOS Monterey 12.1及macOS Big Sur 11.6.2予以修補。</p> <p>所謂TCC是蘋果於2012年的macOS Mountain Lion加入的防護子系統，它維護了儲存用戶明顯同意的App清單或資料庫。任何macOS App若不在TCC清單中，就會被拒絕存取用戶敏感資訊。TCC目的在讓用戶設定App隱私，包括App是否能存取電腦攝影機、麥克風或定位資訊、行事曆或iCloud帳號等。而為保護TCC，macOS還加入了禁止非授權程式碼執行的功能，並強制執行一項政策，僅允許具有全磁碟存取權限的App可以存取TCC。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/01/Fig1-macOS-TCC-Security-and-Privacy-Pane-1024x893.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>但是微軟新發現的powerdir漏洞，可讓攻擊者寫程式變更目標macOS用戶的個人專屬目錄(home directory)，植入假冒的TCC資料庫。本漏洞一經開採，攻擊者即可發動攻擊以存取用戶受保護的資料，例如劫持mac電腦上安裝的App或是安裝惡意App，再控制電腦上的麥克風錄下用戶錄音，擷取用戶螢幕上的隱私資料電腦擷圖。</p> <p>微軟也設計了概念驗證攻擊，利用Directory Services的指令行工具植入假的TCC.db檔並變更個人專屬目錄。在測試中，研究人員成功以dsexport 及dsimport等工具繞過限制，並且修改、變造目錄服務(Directory Services)下的用戶檔案，即可繞過保護政策而修改TCC。接著它就可以變更所有想要的應用程式設定，包括麥克風和相機程式。</p> <p>微軟於去年7月發現這個漏洞。研究人員Wojciech Reguła 及 Csaba Fitzl等人也曾在BlackHat USA上公布類似的發現，該漏洞被命名為CVE-2020-27937。雖然這項漏洞蘋果已經修補，但由於微軟POC仍然可以開採，因此判斷powerdir是新的漏洞。</p> <p>powerdir也是一年來第四項TCC繞過漏洞。同時這也是微軟三個月以來揭露第2項macOS漏洞。<a href="https://www.ithome.com.tw/news/147652" target="_blank">去年11月微軟也公布Shrootless漏洞</a>（CVE-2021-30892），macOS漏洞Shrootless，一旦攻擊者開採成功，就能繞過該作業系統內建的系統完整性保護機制（System Integrity Protection，SIP），進而在受害電腦上執行任意操作。</p> </div></div></div>
2022/1/12 12:43作者林妍溱https://www.ithome.com.tw/news/148844
從保護消費者資料權益出發，美FTC對無視Log4j漏洞的企業示警，若因此發生個資外洩將採取法律行動提出裁罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期開源軟體Log4j重大漏洞衝擊科技領域，由於無數應用程式曾採用以進行開發，影響甚大，在1月4日，<a href="https://www.ftc.gov/news-events/blogs/techftc/2022/01/ftc-warns-companies-remediate-log4j-security-vulnerability">美國聯邦交易委員會（FTC）呼籲</a>，為保護消費者權益，企業及其合作廠商務必立即採取修補行動。</p> <p>值得關注的是，過往FTC的制裁，多是針對特定廠商或多個漏洞，這次罕見針對單一漏洞發出警示，明確指出若未修補漏洞，而致客戶個資外洩或財務損失，恐遭該單位提告，雖然未說明制裁金額比例，但這份公告警告意味相當濃厚，不論是否身處美國，政府與企業、軟硬體業者都應重視。</p> <h3><strong>企業若因未修補已知漏洞導致資料外洩，FTC提告有前例</strong></h3> <p>Log4j用於記錄服務中各種系統活動，幾乎是一款無處不在的軟體，最近Log4j被發現的CVE-2021-44228等一系列漏洞，對數百萬的消費產品、企業軟體與網頁應用程式，帶來巨大衝擊，並有越來越多攻擊者廣泛利用這個漏洞。</p> <p>對於已知漏洞未修補的嚴重性，FTC提出2017年重大資安事件說明。而這個例子，就是信用報告業者Equifax資料外洩事件，他們在5月至7月間，因漏洞未修補遭駭客入侵，導致1.47億名消費者個資外洩，包括姓名、生日、地址，以及20多萬張金融卡資料。</p> <p>事後調查結果顯示，美國國土安全部同年3月曾向Equifax發出警告，提醒漏洞存在，該公司卻未有效修補，最終導致資料外洩。後續Equifax遭FTC控告，2019年以7億美元和解。</p> <p>FTC表示，當漏洞被發現和利用時，可能會導致個人資訊外洩、經濟層面損失，以及其他不可逆轉的傷害，因此須採取合理措施，緩解已知軟體漏洞，若未妥善處理，將涉及違反法令，如聯邦貿易委員會法案（FTCA），以及金融服務業現代化法案，亦稱為GrammLeach Bliley Act（GLBA）。</p> <p>現在，由於Log4j漏洞影響甚劇，FTC強調，對於依賴Log4j的公司及其供應商而言，需立即採取行動，減少可能對消費者帶來的傷害，避免面臨FTC的法律訴訟。更進一步來看，對於日後任何已知漏洞，企業若不處理，因而造成顧客資料損害，都可能面臨法律裁罰。</p> <p>同時，FTC提供了這次漏洞修補的相關資訊，包括：安裝Log4j最新版2.17.1，將可修補近期發現的4個漏洞，若要檢查是否使用Log4j軟體程式庫，FTC也推薦CISA所釋出的Log4j Scanner工具，企業及其合作廠商應確保採取補救措施，以保證公司的做法能不違反上述法律，並要將這樣的資訊，通知到提供消費產品服務且易受攻擊的第三方子公司。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）美FTC針對log4j修補不力示警.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8EFTC%E9%87%9D%E5%B0%8Dlog4j%E4%BF%AE%E8%A3%9C%E4%B8%8D%E5%8A%9B%E7%A4%BA%E8%AD%A6.jpg" style="width: 600px;" /></a></p> <blockquote><p>Log4j重大漏洞影響甚廣，近期<a href="http://www.ftc.gov/news-events/blogs/techftc/2022/01/ftc-warns-companies-remediate-log4j-security-vulnerability">美國聯邦交易委員會（FTC）也提出警告</a>，要企業與供應商需保障消費者權益，若因未修補漏洞而致客戶個資外洩或財務損失，將可能遭FTC提告，而之前已有前例，美國DHS曾向Equifax警告存在漏洞存在，但該公司卻未有效修補，結果導致資料外洩事件，因而遭FTC提告。</p> </blockquote> <p>對此政府積極介入的態勢，身為國內企業資安通報協處的TWCERT表示，這次美FTC警告將對未修補的企業提告，重點在於擔憂後續資料外洩。</p> <p>關於國內的狀況，TWCERT表示，在CVE-2021-44228揭露之際，他們已通知國內一些資通訊產品製造商，而這些廠商也自行發布相關資安公告，說明是否受影響或修補狀況，例如<a href="https://www.asus.com/content/ASUS-Product-Security-Advisory/">華碩</a>、<a href="https://www.zyxel.com/support/Zyxel_security_advisory_for_Apache_Log4j_RCE_vulnerability.shtml">兆勤</a>、<a href="https://eu.dlink.com/hr/hr/support/support-news/2021/december/16/apache-log4j-vulnerability-d-link-devices-and-services-not-affected">D-Link</a>、<a href="https://www.qnap.com/zh-tw/security-advisory/qsa-21-58">威聯通</a>、<a href="https://www.synology.com/zh-tw/security/advisory/Synology_SA_21_30">群暉</a>等。</p> <p>但令人憂心的是，國內有許多中小型軟硬體產品業者，無法確定他們在產品開發流程中，已經完全掌握使用的軟體套件，同時，企業是否能盤點檢查軟硬體的修補狀況，將考驗企業與合作廠商溯源能力。</p> <p>至於各國政府是否需祭出類似的手段，促使企業與產業重視漏洞修補，以及保障消費者資料權益，也將成為資安界後續關注議題。</p> </div></div></div>
2022/1/12 11:22作者羅正漢https://www.ithome.com.tw/news/148840
微軟2022年首個Patch Tuesday修補96個安全漏洞，當中有6個為零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年的開春，企業IT管理人員可能會忙碌一些了，因為微軟在今年1月的Patch Tuesday總計修補了96個安全漏洞，當中有9個被列為重大（Critical）漏洞，還有6個為零時差漏洞，不過，相關漏洞尚未遭到駭客開採。</p> <p>9個重大漏洞分別是開源專案Curl的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-22947" target="_blank">CVE-2021-22947</a>、Active Directory網域服務的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21857" target="_blank">CVE-2022-21857</a>、兩個DirectX繪圖核心的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21912" target="_blank">CVE-2022-21912</a>與<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21898" target="_blank">CVE-2022-21898</a>、HEVC Video Extensions遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21917" target="_blank">CVE-2022-21917</a>、HTTP協定架構的遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21907" target="_blank">CVE-2022-21907</a>、Exchange Server遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21846" target="_blank">CVE-2022-21846</a>、Office遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a>，以及Virtual Machine IDE Drive權限擴張漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21833" target="_blank">CVE-2022-21833</a>。</p> <p>至於6個零時差漏洞中，除了CVE-2021-22947 與上述重疊之外，其它5個分別是Libarchive遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-36976" target="_blank">CVE-2021-36976</a>、Windows User Profile Service權限擴張漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21919" target="_blank">CVE-2022-21919</a>、Windows Certificate欺騙漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21836" target="_blank">CVE-2022-21836</a>、Windows Event Tracing Discretionary Access Control List服務阻斷漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21839" target="_blank">CVE-2022-21839</a>，以及Windows Security Center API遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21874" target="_blank">CVE-2022-21874</a> 。</p> <p>其中，涉及Curl與Libarchive的安全漏洞先前就已被各自的維護者修補，只是微軟本周才於Windows中修補它們。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/1/11/the-january-2022-security-update-review" target="_blank">Zero Day Initiative（ZDI）特別點名了4個重要漏洞</a>，包括<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21907" target="_blank">CVE-2022-21907</a>、<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21846" target="_blank">CVE-2022-21846</a>、<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a> 與<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21857" target="_blank">CVE-2022-21857</a> 。駭客只要傳送一個特製的封包到一個利用http.sys的系統進行處理，就能開採CVE-2022-21907，取得系統的執行權限，完全不需與使用者互動或事先取得特權，並可演變成蠕蟲漏洞。且除了伺服器之外，Windows客戶端也都能執行http.sys，代表所有的版本都受到該漏洞的影響。</p> <p>微軟與ZDI都將<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21907" target="_blank">CVE-2022-21907</a>列為必須優先修補的漏洞。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-%E5%BE%AE%E8%BB%9F-CVE-2022-21907(1).png" style="width: 475px;" /></a></p> <p>微軟在本月修補了3個Exchange Server漏洞，雖然它們的CVSS風險評分都高達9，但只有<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21846" target="_blank">CVE-2022-21846</a>被列為重大等級，它很可能被開採，並讓駭客取得Exchange Server的控制權，但前提是駭客必須與目標對象共享實體網路，例如藍牙、本地端的IP子網路或其它受限的管理網域等。</p> <p>此外，大多數的Office漏洞都只被列為重大（Important）等級，因為相關漏洞多半需要與使用者互動才能開採，而且會跳出警告視窗，然而，<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a>漏洞卻在使用者開啟特製的檔案時沒有任何的警告。</p> <p>ZDI提醒，此次微軟也釋出其它更新來修補<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a>，應記得一併部署，而Office 2019 for Mac及Microsoft Office LTSC for Mac 2021等版本的修補程式則尚未出爐。</p> </div></div></div>
2022/1/12 11:34作者陳曉莉https://www.ithome.com.tw/news/148841
蘋果同意在南韓開放iOS App第三方程式內支付機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://en.yna.co.kr/view/AEN20220111004700320" target="_blank">韓聯社報導</a>，蘋果本周開放在南韓App Store上架的iOS App使用第三方程式內支付（in-app purchase，IAP）工具。</p> <p>蘋果稍早向韓國通訊委員會（Korean Communication Commission, KCC）遞交了法規遵循計畫。報導指出，蘋果計畫提供iOS App開發商第三方支付選項，而服務費率（分潤比例）也會比30%來得低。</p> <p>但蘋果並未公布實際的費率及詳細時程，表示會再和韓國主管機關商議。蘋果表示，該公司尊重韓國法律，向來也和該國開發商合作順暢，一切作業都會以確保App Store成為安全而值得信賴的應用程式下載平臺為依歸。</p> <p>這是繼去年南韓通過並實行《電信業務法》（Telecommunications Business Act）修正案後，最新一家宣布遵循法律的大廠。這項法令禁止Google Play或蘋果App Store等大型行動程式市集強迫程式開發商採用相關平臺的支付系統，也禁止這類市集無理延後程式審核或是將程式移除，是全球第一個透過立法削弱程式市集權力的國家。</p> <p><a href="https://www.ithome.com.tw/news/147678" target="_blank">Google去年11月率先宣布遵循南韓法令</a>，公布上架Play Store的手機及平板App開發商得以在App內支付機制中，除了Google Play以外再加入第三方支付系統。根據Google的作法，即使用戶使用第三方支付來購買服務，開發商仍需要付費給Google，只是費率較現有為低。例如大部份App需要分潤15%，若消費者使用第三方支付系統結帳，則開發商要付11%。電子書或音樂串流類別App的費率則為6%。</p> <p>兩大平臺龍頭在美國也面臨相同行政壓力，要求它們不得強迫開發商使用第三方支付。媒體報導，<a href="https://www.ithome.com.tw/news/148200" target="_blank">蘋果11月底向美國法院遞交上訴文件指出</a>，如果法院強制它開放第三方支付，蘋果將考慮所有競爭支付系統完成的交易收取佣金，不論是否為程式內購買。</p> </div></div></div>
2022/1/12 11:56作者林妍溱https://www.ithome.com.tw/news/148842
NextDrive聯手台電推出整合智慧電表的家庭能源管理新服務，不只能查看即時用電，未來也將加入異常用電偵測、智慧家庭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣能源物聯網新創聯齊科技（NextDrive）今日（1/11）與台電共同推出家庭能源管理（HEMS）新服務，將家戶智慧電表與家庭能源管理相結合，協助用戶管理自身用電，除了提供家戶更即時的用電資訊、用電可視化，未來還將加入異常偵測、電能管理、智慧家電整合服務等。推廣前期也將開放一萬名家庭用戶申請作為示範，提供免費用電查詢服務等，甚至台電也開始思考將家戶HEMS服務，未來能夠與台電電力調度相結合，能夠發揮到調節或節電作用。</p> <p>台電很早就開始積極布建智慧電表，截至2021年底已安裝150萬具智慧電表，今年預計達200萬具以上。為了跟上全球居家能源管理服務應用趨勢，也因此，台電去年8月公布「推廣家庭能源管理服務合作宣傳辦法」，希望透過與民間合作，來加速臺灣在家庭能源管理應用發展。聯齊科技是台電合作的HEMS業者第一家，從2021年起，開始為期兩年合作。</p> <p>聯齊科技創辦人顏哲淵表示，今年決定把日本HEMS經驗引進臺灣，是看到過去2年臺灣在能源轉型有很大幅度進展，包括輔助服務市場法規、百萬具智慧電表部署完成，以及開放HEMS業者申請家庭應用Route B模組安裝等，正是發展HEMS服務合適時機，也因此決定投入。</p> <p>不過，相較於日本，在臺灣一開始以智慧電表安裝用戶數的1%，大約一萬戶為前期HEMS市場發展目標，儘管數量看似不多，顏哲淵指出，對於NextDrive來說，雖然只是一小步，但卻是臺灣能源轉型一大步。他表示，透過這一萬戶採用，未來將能協助他們描繪出臺灣家庭用戶多元樣貌的用電行為，作為擬定未來推動臺灣HEMS市場發展的重要策略方針。</p> <p>NextDrive即日也開放家庭用戶申請，對這些申請者資格，不一定要是智慧電表家戶，即使是還未安裝用戶也能夠提出申請，而且除了一般家戶，也開放整個社區和一般商家來報名，也不分北中南或離島地區都能申請，提出申請者只要透過NextDrive的Line官方帳號登記，經審核通過後，之後就會由專門團隊協助個人或社區進行硬體安裝和HEMS服務開通。</p> <p>不過，顏哲淵坦言，不像日本電價相對高，民眾對於自身用電管理意識較高，相較之下，臺灣家戶普遍還沒建立用電意識，也因此，在前期推廣階段，為了提高民眾參與意願，他們在許多流程規畫上，採取與日本不一樣的策略，盡可能降低進入門檻，來提高家戶採用意願。像是民眾家中不需要自行安裝任何硬體，就能查看用電資訊，還將智慧電表與常用Line平臺綁定，民眾查看用電只要打開Line就能看到家中用電情形，不需透過專屬App。甚至祭出免費誘因，來吸引家戶來使用其服務。</p> <p>在HEMS服務功能上，初期將提供家戶即時用電資訊查詢為主，讓用戶管理每月、每周、每天用電支出，可提供每10分鐘的用電更新頻率。雖然在用電查詢服務，台電兩年前早就能讓智慧電表用戶可以透過手機App查看一天前、每隔15分鐘用電歷史資訊，但NextDrive推出的即時用電資訊查詢功能，因為是透過連接家庭應用的Route B模組，向智慧電表取得即時用電資訊，甚至可以看到一分鐘前的用電記錄。</p> <p>為了取得家戶更即時用電數據做應用，作法上，除了須安裝台電智慧電表和Route A通訊模組，還需要裝上家庭能源管理服務使用的Route B模組，該模組由NextDrive自行研發完成，負責接收Route A模組記錄的家戶電表用電數據，再透過一個電表數據蒐集閘道器Cube，將電表資料上傳雲，用戶只要將該電表與Line綁定後，就可以在手機上查看自己用電資訊。</p> <p>除了可以透過Line取得用電可視化、報表、住宅用電超標警示等基礎服務，該公司未來也將推出更多進階服務和功能，例如用電異常偵測、電能管理、智慧家電整合服務、電動車充電管理等。但要使用這些加值或進階服務，就需要付費。</p> <p>顏哲淵表示，比臺灣早幾年推行智慧電表的日本，發展迄今已有許多結合HEMS服務的實證應用，像是搭配儲能設備協助家戶進行用電控制與電能自主管理，還有結合多元時間電價方案，幫民眾買到更便宜的用電。這些都是臺灣未來可以採行的HEMS服務作法。</p> <p>甚至考慮到未來HEMS用戶成長到一定規模後，台電也開始思考將家戶HEMS服務，未來能夠與台電電力調度相結合。</p> <p>台電副總經理暨配售電事業部執行者王耀庭就舉例，遇到夜間用電尖峰時，若台電機組發生故障，以往調節作法，就是採分區限電，以後透過智慧電表結合HEMS服務，來取得家戶更即時用電數據後，只要找到這段期間可以調配電力的家戶，由台電或HEMS業者給予節電獎勵，如免費咖啡等，讓他們配合這段時間內不要用電，藉由這樣方式節電，就能幫助台電達到整體電力調節。他表示，未來透過這樣方式，甚至有機會發展出新的商業模式。</p> </div></div></div>
2022/1/11 20:12作者余至浩https://www.ithome.com.tw/news/148838
Google釋出大規模廣告稽核工具，協助用戶檢視違反政策的廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出一個稱為<a href="https://developers.googleblog.com/2022/01/disapproved-ads-auditor-tool.html">Disapproved Ads Auditor</a>的廣告稽核工具，該工具會標記廣告商帳戶中違反政策的廣告，供用戶深入了解不合規定的廣告，並選擇刪除。該工具的目標，是要用戶能夠從輸出中學習，保持廣告始終符合Google廣告政策。</p> <p>Google提到，大規模營運的廣告商，需要能夠全面審查其帳戶中，違反廣告政策的解決方案，使他們能夠更簡單地遵守Google的廣告政策。特別是Google持續增加更多的政策和執行機制，廣告商需要持續檢查他們的帳戶，才能一直遵守Google的廣告政策。</p> <p>而Google現在推出廣告稽核工具Disapproved Ads Auditor，供Google廣告客戶能夠大規模審查Google廣告帳戶中，所有未獲批准的廣告，並提供檢視圖，讓用戶能夠主動審查自己的帳戶，從整體分析廣告遭到拒登的情況中學習，最大程度減少潛在違反政策的廣告提交。</p> <p>這項工具使用Python腳本，供用戶以稽核模式和刪除模式執行。稽核模式能夠匯出帳戶中未被核准的廣告，而刪除模式可以刪除當前未獲批准的廣告，並且記錄詳細資訊，甚至可以將資料匯到BigQuery中，執行進一步的資料分析。</p> </div></div></div>
2022/1/12 08:30作者李建興https://www.ithome.com.tw/news/148832
美聯社建立NFT新聞攝影市場，販售自家記者攝影作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ap.org/press-releases/2022/ap-to-launch-nft-marketplace-built-by-xooa">美聯社宣布</a>，與區塊鏈技術供應商Xooa合作，建立一個用於銷售攝影記者作品的NFT（Non-Fungible Token）市場，買家可以從中購買該新聞社獲獎，或是重要的歷史攝影作品。美聯社預告，市場和第一批NFT，預計會在1月31日星期一公開。</p> <p>官方提到，最初販售的收藏，將包括現任與先前美聯社攝影記者的作品，獲得普立茲的圖片也將會包括在內。每個NFT都包含一組豐富的原始後設資料，讓收藏者可以了解拍攝所使用的時間、日期、地點、裝置和技術設置，而內容將會涵蓋太空、氣候、戰爭等各種圖像。</p> <p>藉由Xooa的技術，美聯社得以將作品代幣化，提供給全球攝影作品愛好者收藏。美聯社的NFT市集，建構在Polygon區塊鏈之上，這是一個強調環保且相容以太坊的第二層解決方案。</p> <p>所有買家都可以從市場中，購得、銷售和交易美聯社釋出的NFT，可使用信用卡支付和加密錢包，進行二級市場交易和購買，同時支援Fortmatic、Binance和Coinbase。美聯社表示，NFT的價格會有所不同，而其作為一家非營利新聞社，販售NFT的收益，將會用於新聞工作中。</p> <p>美聯社並非第一家使用NFT來販售新聞的媒體，紐約時報和Quartz也已經將其文章的副本，以NFT的形式出售，供有興趣的賣家收藏。</p> </div></div></div>
2022/1/12 08:33作者李建興https://www.ithome.com.tw/news/148835
Nvidia買下HPC叢集管理軟體供應商Bright Computing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2022/01/10/bright-computing-hpc/">Nvidia宣布併購HPC軟體開發商Bright Computing</a>，目的是要擴大Nvidia的客戶群，同時擴展Bright的觸及。Bright成立於2009年，從ClusterVision拆分出來，其開發的軟體可以自動建構和管理HPC、Kubernetes，還有在私有雲和公有雲上的OpenStack叢集，波音、NASA、約翰霍普金斯大學和西門子等都是Bright的客戶。</p> <p>在併購之後，Nvidia既有的合作夥伴，能夠協助將Bright的軟體推向更多市場，而Bright的軟體和專業知識，將強化Nvidia DGX和資料中心業務。Bright的軟體可以在邊緣、資料中心和多個公有雲，甚至是混合雲上運作，無論叢集是由少數或是數十萬臺伺服器所組成，Bright的解決方案都可以自動管理叢集，並且支援Arm、x86 CPU，以及Nvidia GPU和Kubernetes容器。</p> <p>Nvidia提到，他們已經與Bright合作十多年，Bright的軟體整合了Nvidia的GPU、網路、CUDA以及近期的DGX系統。而Nvidia現在想透過併購Bright，來更緊密地結合軟硬體，使HPC資料中心更容易購買、建構和營運，來擴大HPC的市場。</p> </div></div></div>
2022/1/12 08:35作者李建興https://www.ithome.com.tw/news/148837
臉書提供隱私中心，使用戶簡單控制5大領域隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta宣布在其臉書平臺推出<a href="https://about.fb.com/news/2022/01/introducing-privacy-center/">隱私中心</a>，目的是要讓使用者更了解隱私選項，並且知道平臺以什麼樣的方式收集和使用資訊。在隱私中心裡，用戶可以了解臉書的隱私方法、閱讀資料政策，並了解臉書所提供的隱私和安全控制使用方法。</p> <p>隱私中心目前先開放給部分桌面臉書使用者，在接下來幾個月，該功能會陸續推廣給更多人和應用程式使用，官方提到，他們在應用程式中建立許多隱私和安全控制，而他們想要透過隱私中心，教育使用者使用這些功能的方法。</p> <p>當前的版本的隱私中心有5個模組，每個模組都包含與主題相關的隱私控制和指南，這5個模組分別是安全性、共享、收集、使用和廣告。在安全性模組中，用戶可以查看帳戶安全性配置，設定雙因素驗證的工具，並了解Meta反制資料爬蟲的方法。</p> <p>共享模組則提供用戶管理瀏覽貼文的對象，並且清理舊的貼文。而收集模組能夠讓用戶了解Meta收集的各種資料，並且透過Access Your Information等工具，來存取這些資料的方法。</p> <p>用戶可以從使用模組中，了解Meta使用資料的方式和原因，並探索臉書提供給用戶管理資訊的控制措施，也能夠在廣告模組詳細了解Meta如何使用資料，來決定用戶所看到的廣告，以及廣告偏好設定等廣告控制元件的使用方法。</p> <p>目前已經能夠存取隱私中心的用戶，可以透過臉書桌面版本的配置和隱私，來找到隱私中心，而隨著隱私中心的擴展，臉書可能會在更多存在隱私疑慮的地方，提供用戶存取隱私中心的方式。另外，Meta也會繼續在隱私中心，添加更多模組和控制元件，供用戶更了解隱私保護的方法。</p> </div></div></div>
2022/1/12 08:40作者李建興https://www.ithome.com.tw/news/148839
【資安日報】2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁解析URL的錯誤，很可能會被攻擊者利用，這樣的情況有多嚴重？有2家資安業者最近針對市面上16款URL解析器程式庫，進行分析後發現，這種問題存在於多個程式庫裡。他們至少發現8個漏洞，研究人員通報後已經得到修補。</p> <p>最近半年來，NPM（Node Package Manager）熱門程式庫遭不明人士竄改的現象，也不時有消息傳出，但近期有2個套件，竟是因為作者不滿企業只想坐享其成，而不願意付出，決定寫入影響運作的程式碼，隨後更直接清除程式碼內容。此起事件也突顯，企業過往普遍視開源專案為降低成本、同時兼顧高品質的策略，可能要有所調整。</p> <p>處於灰色地帶的挖礦軟體，因為有人會利用他人電腦挖礦，而不時引起爭議，甚至駭客藉此牟利站穩腳根，進而架設Abcbot殭屍網路──而且，還是操控原本用來挖礦的伺服器，來建置殭屍網路大軍。再者，防毒業者NortonLifeLock將挖礦軟體與防毒軟體結合的爭議，也因近期傳出相關功能被改為預設啟用，再度浮上檯面，並引起防毒軟體社會責任的討論。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/"><span style="color: rgb(0, 0, 0);"><strong>熱門NPM套件疑遭破壞，原因是開發者對大型企業無償使用不滿所為</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/20220111-1407-09760.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/20220111-1407-09760.png" style="width: 200px; float: right;" /></a>近期2個NPM（Node Package Manager）熱門程式庫套件colors、faker，程式碼遭到破壞，導致數千個應用程式面臨可能無法正常運作的窘境。原本Bleeping Computer等新聞網站以為，本次事故是駭客竄改相關程式碼，但追查後發現，其實是作者Marak Squires所為，原因是這名開發人員已在2020年11月指出，他的專案廣受財星500大採用，但這些企業沒有回饋社群，決定不再無償提供這些軟體。Marak Squires此舉引起正反兩極反應，亦傳出NPM停用他的帳號，並將faker復原至之前的版本。</p> <h4><strong><a href="https://thehackernews.com/2022/01/abcbot-botnet-linked-to-operators-of.html"><span style="color: rgb(0, 0, 0);">殭屍網路Abcbot與挖礦惡意軟體Xanthe的攻擊者身分，疑似為同一組駭客</span></a></strong></h4> <p>資安業者Cado Security指出，他們比對殭屍網路Abcbot與挖礦惡意軟體Xanthe特徵，發現背後應為相同的駭客組織發起，且該組織意圖將原本在受害主機的挖礦行為，變成殭屍網路大軍，以進行如分散式阻斷服務（DDoS）等攻擊行動。</p> <h4><a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/"><span style="color: rgb(0, 0, 0);"><strong>諾頓、Avira防毒在用戶電腦安裝挖礦軟體，且疑似預設啟用惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/avira-vt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/avira-vt.png" style="width: 300px; float: right;" /></a>NortonLifeLock自2021年7月開始，為旗下的Norton 360防毒軟體，提供挖礦服務Norton Crypto，並宣稱在用戶開啟相關功能的情況下才會執行。但近期有部分用戶發現，這項功能約自1月4日開始，改為預設開啟，且可能還關不掉，甚至有些用戶依照廠商的方法停用挖礦功能，竟導致電腦當機。此外，去年被併購的Avira，近期防毒軟體也被發現加入挖礦的模組，但是否也出現類似情形有待觀察。資安專家Chris Vickery指控，NortonLifeLock為獲利犧牲用戶，且挖礦加速全球的能源消耗，此舉令人反感。</p> <h4><a href="https://apnews.com/article/technology-business-poland-hacking-warsaw-8b52e16d1af60f9c324cf9f5099b687e"><span style="color: rgb(0, 0, 0);"><strong>波蘭執政黨坦承購買間諜軟體Pegasus，否認用於監控政敵</strong></span></a></h4> <p>加拿大多倫多大學公民實驗室（Citizen Lab）與美聯社（AP）聯手，於去年12月揭露參議員Krzysztof Brejza等多名波蘭反對黨人士，手機遭到間諜軟體Pegasus監控，疑似是執政黨所為，消息傳出遭到當局否認。直到最近，該國執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski，在接受訪問中坦承，他們確實有採購Pegasus，並認為若是國安組織沒有這種技術「很可悲」，但對於購買該軟體的用途仍交待不清，僅否認是用於監控反對黨。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/oops-cyberspies-infect-themselves-with-their-own-malware/"><span style="color: rgb(0, 0, 0);"><strong>印度駭客組織Patchwork冒充巴基斯坦政府，發動RAT木馬攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/PatchWork testing RAT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PatchWork%20testing%20RAT.png" style="width: 250px; float: right;" /></a>資安業者Malwarebytes指出，他們發現印度駭客組織Patchwork（亦稱Dropping Elephant、TG-4410、APT-C-09等）於2021年11月下旬至12月上旬，以巴基斯坦政府的名義發動網釣攻擊，進而在受害組織植入RAT木馬程式Badnews（Ragnatela）。受害組織包含了巴基斯坦國防部、伊斯蘭堡國防大學、化學暨生物科學國際中心（ICCBS）等。比較特別的是，在研究人員調查的過程裡，發現駭客不慎用上述木馬程式感染了自己的開發環境，進而得知攻擊者採用虛擬機器（VM）和VPN服務，來隱藏IP位址。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/trojanized-dnspy-app-drops-malware-cocktail-on-researchers-devs/"><span style="color: rgb(0, 0, 0);"><strong>.NET逆向工程工具dnSpy出現惡意版本，並透過Google搜尋廣告散布</strong></span></a></h4> <p>資安研究團隊MalwareHunterTeam、研究人員0day Enthusiast近期發現，有不明人士竄改.NET逆向工程工具dnSpy，並透過GitHub散布，並成立專屬的下載網站。為了吸引開發人員下載，發布惡意版本dnSpy的人士還對於Google、Bing、Yahoo等多個搜尋引擎進行最佳化（SEO），並購買搜尋引擎廣告。MalwareHunterTeam指出，一旦開發人員執行惡意的dnSpy，該軟體會停用Microsoft Defender防毒軟體、使用者帳號控制（UAC），然後藉由BITS系統管理公用程式（bitsadmin.exe），下載多種惡意酬載並執行。</p> <h4><a href="https://www.bangkokpost.com/thailand/general/2245063/huge-patient-data-leak-from-siriraj-hospital"><span style="color: rgb(0, 0, 0);"><strong>泰國大型醫院Siriraj傳出資料外洩，近4千萬筆病人記錄流入地下論壇</strong></span></a></h4> <p>根據曼谷郵報（Bangkok Post）的報導，泰國最大的Siriraj醫院，驚傳有3,890萬筆病人記錄在網路論壇上求售，想要賣出資料的人士宣稱，這些資料包含姓名、地址、身分證資料、電話號碼、生日等資訊，他只打算與其中1名賣家交易。但這已不是當地醫院資料外洩的首例，2021年10月，有人在網路論壇公布來自11家泰國醫院的資料，影響約10萬人。</p> <h4><a href="https://portswigger.net/daily-swig/city-of-grass-valley-california-suffers-data-breach-employee-and-citizen-information-exposed"><span style="color: rgb(0, 0, 0);"><strong>美國加州草谷市遭駭，市府員工與市民資料外洩</strong></span></a></h4> <p>美國加州草谷市政府於1月7日發布新聞稿，表明他們於2021年4月13日至7月1日，發現未經授權的人士取得部分電腦的存取權限，並將資料傳輸到外部。經過調查後，該市確認市政府的員工、前員工、配偶，以及供應商，或是提供警方資料、申請貸款的市民，部分個資遭到外洩，草谷市將通知這些受到影響的人士，並提供一年的身分保護服務。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/finalsite-no-school-data-stolen-in-ransomware-attack-behind-site-outages/"><span style="color: rgb(0, 0, 0);"><strong>學校網站代管業者FinalSite勒索軟體事故調查結果出爐，宣稱尚未出現客戶資料外洩情事</strong></span></a></h4> <p>學校網站代管業者FinalSite於1月4日遭到勒索軟體攻擊，迫使該公司關閉IT系統，約有5千個學校網站隨之遭到關閉。事隔一週該公司公布初步的調查結果，表明他們已經掌握攻擊者的身分與入侵管道，並確信用戶的資料沒有遭到異常存取，不過，該公司員工的資料是否遭到洩露，FinalSite沒有進一步說明。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://claroty.com/2022/01/10/blog-research-exploiting-url-parsing-confusion/"><span style="color: rgb(0, 0, 0);">數個URL解析器程式庫存在漏洞，波及JavaScript、PHP、Python等程式語言開發的網站應用程式</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/URLparsing3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/URLparsing3.png" style="width: 300px; float: right;" /></a>網路安全業者Claroty和Synk聯手，針對網站應用程式會使用的16款URL解析程式庫進行分析，結果發現，這些程式庫可能存在5種不一致的情況，這些情況包含了格式混淆、斜線混淆、反斜線混淆、URL解碼資料混淆，以及格式混亂等，可被攻擊者用於發動阻斷服務（DoS）攻擊、資料外洩，甚至在部分情形能用於發動RCE攻擊。研究人員總共發現了8個漏洞，開發者獲報後已完成相關修補工作。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017e34185d610421"><span style="color: rgb(0, 0, 0);">針對網路下單安全，證交所邀及券商研議</span></a></strong></h4> <p>2021年11月下旬多家證券遭到攻擊，傳出不明人士利用客戶的網路帳號下單。對此臺灣證券交易所於2022年1月7日，召集所有提供網路下單的券商，商討強化資安的做法，他們要求尚未提供雙因素驗證（2FA）身分驗證機制的業者，在建置相關設施的過程中，仍要透過其他方式來加強帳號安全，例如，強制要求用戶更換密碼，或是透過人工方式提供交易密碼等。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/11 14:04作者周峻佑https://www.ithome.com.tw/news/148827
微軟Azure for Operators已整合AT&T 5G網路平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在收購AT&T 5G核心網路平臺及部門5個月後，<a href="https://azure.microsoft.com/en-us/blog/improving-the-cloud-for-telcos-updates-of-microsoft-s-acquisition-of-att-s-network-cloud/" target="_blank">微軟本周宣布</a>，Network Cloud平臺及其管理功能已整合到微軟電信業混合雲方案Azure for Operators中。</p> <p><a href="https://www.ithome.com.tw/news/145377" target="_blank">去年7月微軟收購AT&T電信級的網路雲端（Network Platform）平臺</a>，整合於其電信混合雲方案Azure for Operators，同時微軟也承擔起維運AT&T 5G網路的責任。本周微軟說明整合進度、預期效益，旨在向電信業喊話招手。</p> <p>這樁收購最核心是AT&T把它的5G核心網路運行底層平臺──Network Cloud賣給微軟。Network Cloud源自AT&T 2013年的軟體定義網路(Software Defined Networks, SDN)及虛擬化計畫，預計2020年前75%網路轉由虛擬化技術運行。微軟收購時，Network Cloud已發展到2.7版。</p> <p>微軟指出雙方收購案是行動核心網路的整合，而非只是行銷面的合作。Azure for Operators混合雲技術現在已能支援AT&T 網路上15家不同廠商，提供超過60個虛擬化網路功能（virtual network function，VNF）及雲端原生網路功能（cloud-native network function，CNF）虛擬網路。</p> <p class="rtecenter"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/d6f2d867-07b3-4f08-94bf-04e32abac5cf.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>此外，原本AT&T Network Cloud可在單一基礎架構供不同家營運商使用，並提供安全及功能更新、管理設定，又允許發展特色服務。收購後，這些功能也整合到微軟Azure Arc混合雲管理平臺，最後透過Azure for Operators平臺提供電信業混合雲，包括AT&T。</p> <p>對AT&T來說，Azure for Operators可以跑在AT&T資料中心，或是Azure公有雲上。而在微軟接手混合雲底層維運後，AT&T仍能如以往提供5G網路服務及執行應用面管理，像是管理網路應用(VNF、CNF)及企業與消費5G服務的組態。此外，微軟強調所有客戶資料都是由AT&T管理、存取，微軟是看不到的。</p> <p>微軟希望以AT&T為例說明，採用Azure for Operators混合雲對電信商具有網路彈性、成本、服務擴充及管理效益。</p> <p>除了AT&T的Network Cloud外，微軟之前也先後收購了雲端原生通訊軟體商Metaswitch Networks及SDN、NFV廠商Affirmed Networks，微軟表示這些也都將整合到Azure for Operators中。</p> </div></div></div>
2022/1/11 15:38作者林妍溱https://www.ithome.com.tw/news/148828
過去一季有22%遭受DDoS攻擊的受害者曾被駭客勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路及阻斷服務攻擊保護服務的Cloudflare，<a href="https://blog.cloudflare.com/ddos-attack-trends-for-2021-q4/" target="_blank">本周公布了去年第四季的分散式阻斷服務攻擊（DDoS Attack）趨勢</a>，指出該季的DDoS勒索攻擊比前一年增加了29%，且有22%遭到DDoS攻擊的受害者曾被駭客勒索，此外，中國已連續4年成為DDoS最大的攻擊流量來源國。</p> <p>Cloudflare是在這兩年開始詢問DDoS受害者是否曾收到駭客的勒索訊息，駭客在攻擊的當下會要求受害者支付贖金，以作為停止攻擊的交換條件，在去年第四季時，有22%的受害者回答曾收到過這類的勒索訊息，比前一年同期增加了29%，比去年第三季增加了175%。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/01/image9.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.cloudflare.com/content/images/2022/01/image9.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Cloudflare</span></p> <p>若是只看去年12月的DDoS攻擊行動，那麼更有高達32%的受害者收到勒索訊息。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/01/unnamed.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.cloudflare.com/content/images/2022/01/unnamed.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Cloudflare</span></p> <p>另一方面，在鎖定應用層的DDoS攻擊行動中，前三大受害領域依序是製造業、遊戲/賭博產業，以及商業服務產業。而攻擊流量的來源國則由中國蟬聯冠軍，這已是中國連續4年成為攻擊流量的最大來源，其它位於排行榜內前五名的國家依序是美國、巴西、印度與印尼。至於應用層DDoS攻擊的前五大受害國，則是美國、加拿大、德國、法國與烏克蘭。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/01/image12.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.cloudflare.com/content/images/2022/01/image12.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Cloudflare</span></p> </div></div></div>
2022/1/11 15:45作者陳曉莉https://www.ithome.com.tw/news/148830
Panasonic規畫提供員工周休三日方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www3.nhk.or.jp/news/html/20220106/k10013418441000.html" target="_blank">日媒NHK</a>、<a href="https://jp.reuters.com/article/idJP2022010601001369" target="_blank">路透社</a>報導，日本家電大廠Panasonic近日宣布將計畫提供員工自選周休三日的方案。</p> <p>Panasonic表示正在評估選擇性的周休三日方案，允許員工根據需求一周工作四天，以實現多樣化的生活方式，讓員工可利用多一天的休假選擇兼職、自我學習。</p> <p>Panasonic社長楠見雄規上周在線上簡報中透露這項計畫。他指出，公司員工個性和能力多樣化，公司有責任確保工作與生活的平衡。</p> <p>不過這項方案的實行時間、涵蓋人數等細節尚未確定，Panasonic將與工會商議這項方案。Panasonic日本國內員工約有9萬人。</p> <p>去年新冠肺炎疫情中，日本企業開始實施周休三日以上的出勤制度，而日本政府也鼓勵企業導入自選式周休三日方案。<a href="https://www.theguardian.com/technology/2019/nov/04/microsoft-japan-four-day-work-week-productivity" target="_blank">微軟日本分公司在 2019年即已測試周休三日</a>，結果顯示員工不但滿意度更高，生產力也可提升40%。</p> <p>周休三日在日本製造業大廠中是很大膽的一步。不過日本媒體報導，Panasonic創始人松下幸之助在半世紀前也率其他日本企業之先，引入周休二日的制度。</p> </div></div></div>
2022/1/11 16:02作者林妍溱https://www.ithome.com.tw/news/148831
AWS推採用AMD EPYC處理器的HPC專用執行個體Hpc6a
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應日益增加的雲端HPC（High Performance Computing）需求，AWS發布了專用於高效能運算的EC2執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-hpc6a-instance-optimized-for-high-performance-computing/">Hpc6a</a>，具有96個第三代AMD EPYC處理器核心，以及384 GB記憶體，並且針對HPC負載進行最佳化，提供專用配置。目前Hpc6a已經先在美東俄亥俄地區，和美西GovCloud上市。</p> <p>AWS新推出的Hpc6a執行個體，除了針對HPC效能進行最佳化之外，成本也較基於x86的可比較執行個體更為便宜，用戶甚至可獲得高達65％的性價比。Hpc6a擁有96個第三代AMD EPYC處理器核心，與384 GiB的記憶體，EFA提供100 Gbps的網路。</p> <p>針對HPC工作負載，Hpc6a啟動可預測執行緒效能和高效能調度功能，並且停用同時多執行緒（Simultaneous multithreading）。AWS提到，由於Hpc6a底層使用AWS Nitro系統，虛擬管理程式不會保留任何核心，因此用戶程式可以使用所有的核心。</p> <p>科學家藉由HPC來解決複雜的計算問題，像是流體力學、天氣預報和基因組學等，HPC應用通常需要高記憶體頻寬、低延遲和高網路頻寬，來連接和平行存取檔案系統。目前已經有許多用戶在AWS上執行HPC工作負載，包括Descartes Labs甚至在AWS上建立全球前500超級電腦。</p> <p>在雲端中執行HPC工作負載，能夠透過擴展來平行化任務執行，大幅提升研究速度，以縮短獲得結果的時間，AWS提到，這樣的要求在大多數的本地環境中都難以實現，而在AWS上，用戶能夠按需取用CPU、GPU和FPGA執行個體，和高吞吐量執行個體網路介面EFA（Elastic Fabric Adapter），還有開源叢集管理工具AWS ParallelCluster，來降低部署和管理HPC叢集的成本。</p> </div></div></div>
2022/1/11 16:05作者李建興https://www.ithome.com.tw/news/148829
歐盟要求Europol刪除與犯罪無關的個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edps.europa.eu/system/files/2022-01/22-01-10-edps-decision-europol_en.pdf" target="_blank">歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）近日向歐洲刑警組織（Europol）祭出一紙命令</a>，要求Europol刪除與犯罪活動無關的個人資料。</p> <p>EDPS指出，Europol蒐集了來自歐盟各國執法機關所提供的大量資料集，然而，《歐洲刑警組織條例》（Europol Regulation）規定Europol只能處理那些與犯罪活動有明顯關聯的個人資料，應避免無關個人資料的曝露，因而必須最小化Europol資料庫的相關風險。</p> <p>然而，由於資料量過於龐大，使得Europol無法立即區分是否牽涉到犯罪活動的個人，而使得這些資料經年累月地存在於Europol的資料庫中，這讓EDPS決定挺身而出，要求只要是超過6個月且未能歸至犯罪類別的個人資料，就必須刪除。</p> <p>因此，自今年的1月4日起，只要是由歐盟會員國提供給Europol的個人資料，都必須在6個月內分類，期限內無法判斷為與犯罪活動相關的個人資料，都必須刪除。對於舊有的資料集，EDPS則要求Europol必須在一年內完成分類。</p> </div></div></div>
2022/1/11 13:02作者陳曉莉https://www.ithome.com.tw/news/148826
歐洲電信業者聯手反對蘋果的Private Relay服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.telegraph.co.uk/business/2022/01/09/apple-fire-iphone-encryption-tech/" target="_blank">英國《每日電訊報》（The Telegraph）本周報導</a>，歐洲四大電信業者正在督促歐盟封鎖<a href="https://www.ithome.com.tw/news/144890" target="_blank">蘋果於去年6月發表的Private Relay加密連線服務</a>，宣稱該服務將侵犯歐洲的數位主權（Digital Sovereignty）。</p> <p><a href="https://support.apple.com/en-us/HT212614" target="_blank">Private Relay</a>為蘋果iCloud Plus付費訂閱雲端服務中的功能之一，當使用者啟用Private Relay時，使用者透過Safari所傳送的資料都會先傳至由蘋果設立的第一個中繼站，它會加密使用者所要造訪的DNS，另有一個由第三方內容供應商所設立的第二個中繼站，它會產生一個暫時的使用者IP位址，再解密DNS並將使用者傳送至所要造訪的網站。</p> <p>蘋果曾對外解釋這並非VPN服務，因為VPN通常只有一個中繼站，而Private Relay則有兩個，更能保障使用者的隱私。</p> <p>杯葛Private Relay服務的四大電信業者，分別是Vodafone、Telefonica、Orange與T-Mobile，其實它們是在去年8月就反對蘋果於歐盟推出Private Relay，所持理由為Private Relay將禁止其它網路或伺服器存取網路資料及元資料，包括負責提供連線的電信業者，將破壞歐盟的數位主權。</p> <p>此外，這四大業者也抱怨Private Relay將影響電信業者有效管理通訊網路的能力，因為無法存取資料將破壞它們用來保護使用者的服務。</p> <p>根據《每日電訊報》的報導，這四大業者希望歐盟執委會（European Commission，EC）加速封鎖Private Relay的腳步，因為它們等不及最快明年才會上線的《數位主權》法令。</p> <p>無獨有偶地，<a href="https://tmo.report/2022/01/t-mobile-blocking-icloud-private-relay-for-some-but-its-not-what-you-think/" target="_blank">美國的T-Mobile也在近日封鎖了Private Relay</a>，原因是Private Relay與T-Mobile的內容過濾服務Web Guard相衝突，因而規定只要啟用Web Guard的用戶就無法使用Private Relay，比較像是技術上的問題而與適法性無關。</p> </div></div></div>
2022/1/11 12:10作者陳曉莉https://www.ithome.com.tw/news/148823
印度駭客中了自己放的RAT致內部系統曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/patchwork-apt-caught-in-its-own-web/" target="_blank">安全廠商Malwarebytes發現</a>印度一個駭客組織Patchwork近日被自己開發的遠端存取木馬(RAT)程式感染，使安全研究人員得以一窺它的基礎架構。</p> <p>2015年底被發現的Patchwork是印度國家駭客組織，經常以使用武裝化的RTF檔案發送精準釣魚信件攻擊巴基斯坦。去年底，Patchwork又透過冒充巴基斯坦政府文件發送釣魚信件，企圖植入RAT程式。Malwarebytes以這個Patchwork組織使用的專案名稱，將該RAT命名為Ragnatela（義大利文中的「蜘蛛網」）。</p> <p>在這波攻擊中，當用戶開啟冒充來自巴國政府單位的惡意RTF檔案後，即遭開採微軟方程式編輯器(Microsoft Equation Editor)中的漏洞，植入RAT程式。它會被以OLE物件形式儲存在RTF文件中。</p> <p>Ragnatela屬於 BADNEWS 木馬程式的變種。在植入受害者電腦後，它會與外部C&C伺服器建立連線。研究人員分析它具有執行遠端指令、擷取螢幕擷圖、紀錄鍵擊、蒐集受害者機器上所有檔案清單、在特定時間執行受害電腦上的應用程式、上傳檔案或下載惡意程式等功能。</p> <p>這波攻擊顯然還是以巴基斯坦的研究機構及大學為目標。不過安全廠商也發現Patchwork自己也感染了Ragnatela。透過這隻RAT，研究人員蒐集到這組織使用的基礎架構，包括跑Virtual Box、VMware作為Web開發及測試環境，其主機有英文及印度文雙鍵盤配置、以及尚未更新Java程式等。此外他們使用VPN Secure及CyberGhost來隱藏其IP位址，並透過VPN登入以RAT竊得的受害者電子郵件及其他帳號。</p> <p>其他受害者包括巴國國防部、生物科學研究機構、以及數家大學的化學及生物科學、藥學系所等。</p> </div></div></div>
2022/1/11 12:49作者林妍溱https://www.ithome.com.tw/news/148825
IT人才月報第23期：iKala執行長分享10年企業經營心法，不只要靠人才形塑文化，更要以OKR框架強化溝通與策略執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1203~1206)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iKala </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業文化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才招募 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">iKala執行長分享企業經營心法，強調要以人才形塑文化，再善用目標成果框架來領導企業</span></strong></p> <p>雲端供應商iKala近期啟動徵才，這家已超過160人的SaaS服務公司，明年將一口氣擴張到200～250人，是國內SaaS服務中少見的企業規模。iKala共同創辦人暨執行長程世嘉，也在徵才說明會上分享10年iKala經營心法。</p> <p>「彼得杜拉克曾經說過一句話，文化會把策略當早餐吃掉。」程世嘉引述這位活躍於19世紀的管理大師名言指出，無論一家企業定下多好的經營策略，若團隊沒能夠與企業文化融合，去執行這些策略，那策略的成效就會大打折扣，凸現出文化之於企業的重要性。他也進一步說明，任何一個組織都有他的文化，「文化就是一個群體展現出來的慣性與行為，」雖然看不見，但文化就像影子一樣，會如影隨形的跟在企業身後，跟著群體的行為而改變，造就了企業文化獨一無二且不易改變的特性。</p> <p>因此，談要如何培養文化，程世嘉點出：「文化源自於人才。」尤其在資訊時代，已不同於工業時代只將人力視為勞動力，更重視人才對公司帶來的影響，「每一個人進來或離開一家公司，都會為整個組織帶來化學變化。」在這個宗旨下，iKala的人才招募哲學是，人才除了得擁有專業，更要符合自家企業的文化，「因為一家成功的公司，不是只靠單打獨鬥建立起來。」</p> <p>他更比喻，招聘人才的重要性，就像是工程師不陌生的「技術債」概念，當你尋求短期解決方案來開發程式時，未來就有很大的機會，必須將原有的程式重構汰換；人才也是如此，在缺工時不設招聘門濫用人力，企業主就會欠下人才債。</p> <p>程世嘉也提出iKala的正在努力形塑的企業文化特質，同時也是看重的人才特質。其一，是自由與責任，比如疫情期間iKala雖然改採遠距工作，但員工的工作成效並無受到遠距工作影響，甚至在9月疫情較趨緩之後，iKala給予員工選擇工作型態的自由，大約有一半員工維持在家工作，但也同時藉由目標導向的責任制度，要求員工應達成的階段性目標，「這就是所謂自由與責任的真諦，也是企業運作的理想狀態。」</p> <p>其二，則是成長心態，程世嘉解釋：「遇到困難想著要克服，而不是先閃避，這就是有沒有成長心態的差別。」這也意味著，人才必須具備企圖心跟學習能力，願意透過學習來成長，而不是只固守現在的能力而原地踏步。其他iKala核心聚焦的價值還包括，顧客至上、擁抱真相、追求公開透明與尊重多元等。</p> <p>除了建立企業文化，iKala也善用目標與關鍵成果OKR（Objectives and Key Results）的框架，來進行組織管理與運作，設定包括個人創新、部門目標、年度目標到企業願景，讓組織能夠有效進行討論、溝通，並建立共識，來達到對齊目標、上下一致的成效，且從策略訂定到執行，也有一套更完整的框架來遵循。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-18%20%E4%B8%8B%E5%8D%882_20_43%E6%8B%B7%E8%B2%9D.png" style="width: 800px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-18%20%E4%B8%8B%E5%8D%882_20_59(1).png" style="width: 800px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 1111 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2022潛力職業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工程師 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">1111盤點2022年10大潛力職業，資安、AI、AR/VR工程師、數據分析師都上榜</span></strong></p> <p>1111人力銀行近期盤點2022年十大前景看好的職務，排行第一就是資安工程師，根據1111的資料，資安工程師入行起薪約4.6萬元，平均起薪比大學畢業生平均起薪3.7萬，高出24%，具有實戰經驗與競賽佳績的求職者，薪資水平還能再提升；第二即為數據分析師，1111認為，疫情下電商大力擁抱Big Data、AI，期待從數據中挖掘出商機，因而催化了對數據分析師的需求，新鮮人起薪也達到4萬元；第三則為數位行銷專家，同樣受到疫情催化影響，使企業更重視OMO的顧客樣態，對於數位行銷專才的需求也為之提升，入行起薪甚至可達4～4.5萬元；第四則為AI工程師，根據國發會的人才調查，未來三年AI應用服務產業對人才的需求最為迫切，工程師年薪約150～200萬元。</p> <p>擠進第9、第10名的職缺則為AR/VR工程師與ESG永續管理師。前者跟上元宇宙浪潮，AR及VR將成為體驗元宇宙的載具，目前活動、展覽、娛樂等產業，都已經開始應用沉浸式體驗，進一步推升AR/VR工程師需求熱度，年薪可達80萬～120萬。另外，跟上企業永續發展浪潮，推升了大型企業對於ESG永續管理師的需求，1111分析，ESG不只是品牌管理的一環，更能成為企業的競爭核心，握有證照的永續管理師入行起薪至少5萬元起跳。（<a href="https://www.1111job.com.tw/news.asp?ano=4983">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2022人才趨勢預測 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">工作市場大洗牌時代來臨！Linkedin公布2022年5大人才預測</span></strong></p> <p>後疫情時代迎來了工作市場的大洗牌時代（<a href="https://www.linkedin.com/posts/ryanroslansky_greatreshuffle-newworldofwork-activity-6812805059101913088-Qcp4/">the Great Reshuffle</a>），員工與雇主紛紛重新思考如何工作、在哪裡工作以及為何工作。在這個大趨勢下，Linkedin發布了5大人才預測，說明人才如何因應大環境的改變而調整自身想法。其一，彈性的工作環境驅動了人才的離開與獲取，81%管理階層正在改變策略，來提供更彈性的工作環境給員工，同時，87%的員工偏好半數以上的工作時間採取遠距工作模式，顯示工作的彈性已經成為吸引人才的重要的因素；其二，聘僱已不再過度看重文憑與學位，從2019年開始，缺乏傳統4年大學學位條件的管理人員，受聘人數已提升了20%。</p> <p>其三，內部流動計畫正在復甦。全球經濟正在經歷劇變，且人力市場緊縮的狀態下，對現有員工的技能提升、再培訓與投資，變得前所未有的重要；其四，工作場所文化將以多元性、公平性與包容性（Diversity, Equity, and Inclusion，DEI）為核心，根據Linkedin的調查更顯示，78% Linkedin求職者期待在應聘企業的Linkedin頁面上，看到DEI的相關資訊，顯示DEI即將也應該成為C Level管理階層形塑公司文化的優先級；最後一項，關懷將成為決策制定的重要考量，根據Glint一份調查數據顯示，感到關懷的員工更容易回報他們在工作時感到快樂，是其他員工的3.2倍，他們也更容易向他人推薦自家公司的工作，是其他員工的3.7倍。（<a href="https://www.linkedin.com/business/talent/blog/talent-strategy/2022-talent-predictions">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 波士頓諮詢公司 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大離職時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">大離職時代來了，全球近萬名數位工作者大調查，超過7成未來3年要換工作</span></strong></p> <p>波士頓諮詢公司（Boston Consulting Group，BCG）調查全球9,900名數位工作者，對於遠距工作、工作轉變、理想的工作環境的想法。這份調查發現，73%受訪者期待能夠在未來2～3年轉換職位，且有40%正在找尋工作，使他們成為「大離職（great resignation）」時代的先鋒，而他們選擇離職的主因，是想找到更好的職涯發展機會或新挑戰，另一個主因，則是在從事現在的工作時，感覺沒有完全發揮自身的價值，或是工作與生活的平衡拿捏不恰當。</p> <p>而且，數位工作者希望能保有工作時間和地點的彈性，有大約95%的受訪者希望一周至少能遠距工作一天，而大多數人想要每週在家工作2～3天。也因為遠距工作的特性，數位工作者也是全球公民，有68%的人願意為不同國家的公司遠距工作，已經高於55%願意出國工作的人，而且，他們的首選的國家是美國，其次是英國，再來是是澳洲、德國，中國與新加坡也榜上有名。（<a href="https://www.bcg.com/publications/2021/what-digital-talent-expect-from-a-job">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89(3).png" style="width: 700px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8B%E8%BC%89%20(1).png" style="width: 800px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT人才缺口 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工技能培訓 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紅帽全球IT領導者報告指出，企業視人才缺口為數位轉型首要挑戰，且更重視人才技能培訓</span></strong></p> <p>紅帽發布2022年全球IT領導者技術目標報告，點出在疫情之下，企業加重數位轉型的投資，但是26%企業將人才缺口視為數位轉型的首要挑戰，從去年第二大挑戰上升到第一；而將資源整合視為阻礙的企業比例減少，從27%下降為23%，成為今年第二大挑戰；第三挑戰則是與去年相同，是必須因應不斷變化的IT管理能力；同時，今年也有另一個並列第三的挑戰，是因企業對變革有所抵觸，或在變革時仍選擇依循組織慣性，將其視為挑戰的企業從19%增加為22%。另外，在IT技術和解決方案外的投資經費優先項目中，人才培訓在今年大幅成長，技術和技能培養、人才和流程技能培訓各自成長了4%，分別來到了37%和32%，顯示企業將人才培訓與技能視為優先考量。（<a href="https://tracks.redhat.com/c/12304-32?x=E2VUlm" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-10%20%E4%B8%8B%E5%8D%883_45_14.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合辦公 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無縫工作體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Dell推出混合辦公概念式解決方案，要透過軟硬整合技術打造無縫工作體驗</span></strong></p> <p>疫情帶動混合工作模式興起後，員工工作可不受限地點限制，發揮最大效率。不過，在移動到不同的工作環境工作時，可能發生電腦設定跑掉、開會時聽不到聲音等問題，為了讓員工個人裝置能在不同地點之間無縫轉換，Dell展示了三項概念性解決方案。比如一項名為Concept Flow的方案，結合裝置、業界標準的無線充電技術、智慧型軟體應用以及Wi-Fi 6E對接（docking）技術，建構出無縫的用戶體驗，讓員工走進一個智慧化工作環境，在還沒就座之前，筆電即可自動連接到螢幕、滑鼠、鍵盤以及受信任的無線網路，以便能無痛銜接至之前工作中斷之處；甚至在放下筆電時，電腦還能自動無線充電；又或是在移動到下一個地點時，能透過近接感測功能自動斷開所有連線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80_Concept%20Flow%20%E7%87%9F%E9%80%A0%E6%99%BA%E6%85%A7%E5%8C%96%E5%B7%A5%E4%BD%9C%E7%92%B0%E5%A2%83%EF%BC%8C%E5%9C%A8%E9%82%84%E6%B2%92%E5%B0%B1%E5%BA%A7%E4%B9%8B%E5%89%8D%EF%BC%8C%E8%A8%AD%E5%82%99%E5%8D%B3%E8%87%AA%E5%8B%95%E9%80%A3%E6%8E%A5%EF%BC%8C%E8%AE%93%E6%82%A8%E7%84%A1%E7%97%9B%E9%8A%9C%E6%8E%A5%E8%87%B3%E4%B9%8B%E5%89%8D%E5%B7%A5%E4%BD%9C%E4%B8%AD%E6%96%B7%E4%B9%8B%E8%99%95.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技巨頭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI人力資源決策 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Meta與IBM等業者成立資料聯盟，要避免AI招聘系統產生偏見</span></strong></p> <p><a href="https://dataandtrustalliance.org/news">包括Meta與IBM等十多家業者，近期宣布成立資料暨信任聯盟（Data & Trust Alliance）</a>，將共同打造一致的標準，來減輕人力資源與勞工決策中存在的資料及演算法偏見，包括招聘、薪資及員工發展等。這是因爲，這些成員企業已經開始利用資料、演算法與人工智慧來尋找人才，但同時，他們認為利用相關技術的最大風險，是可能隱藏著不公平的偏見。</p> <p>因此，Data & Trust Alliance建立了演算法偏差保護措施（Algorithmic Bias Safeguards），首個計畫就是探討如何維持演算法的安全性，以減少勞動力決策的偏見，要讓企業能根據相關標準，來評估招聘服務的供應商，未來也要將該保護措施，整合到企業的程序中。目前Algorithmic Bias Safeguards設計了13種類別的55個問題，以作為評估供應商的標準，涵蓋訓練資料、模型設計、偏差測試方法、偏差矯正、透明化與問責、AI倫理與多元性承諾等。（<a href="https://www.ithome.com.tw/news/148279">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IT人才動態 </span></strong></span></strong></p> <p>1.<a href="https://www.ithome.com.tw/news/148585" target="_blank">簡立峰鼓勵年輕人：只要轉換語言與思維就能走向國際</a></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／iKala、Boston Consulting Group、紅帽、Dell</p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/11 11:07作者翁芊儒https://www.ithome.com.tw/news/148806
要求使用者付費！熱門函式庫作者搞破壞殃及數千專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/" target="_blank">Bleeping Computer報導</a>，NPM (Node Package Manager)線上套件庫兩個受歡迎的函式庫遭作者刻意破壞，使數千個使用這些函式庫的應用程式無法使用或出現亂碼。</p> <p>兩個出問題的函式庫為colors及faker。前者可為node.js console定義文字色彩，後者則可用於產生測試時的大量假數據。兩者下載次數各超過2,000萬及280萬，在GitHub上分別有4,500及1,000顆星。此外與之相依的專案各有1.9萬及2,500多個。這兩個函式庫都是由Marak Squires（代號Marak）的開發人員開發維護。</p> <p>但本周使用兩個函式庫的應用程式或系統出現怪事。例如<a href="https://github.com/aws/aws-cdk/issues/18323" target="_blank">使用faker的AWS Cloud Development Kit顯示「LIBERTY、LIBERTY、LIBERTY」的文</a>字，並有一堆亂碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-npm%20error.png" style="width: 400px;" /></p> <p>原本媒體以為是駭客攻擊事件，但追查發現，「兇手」正是函式庫作者Marak本人。一周前他在 colors.js v1.4.44-liberty-2中，在commit的程式碼加入了一無窮迴圈，這個迴圈在啟動程式碼即立即執行，導致使用該函式庫的Node.js伺服器出現阻斷服務(Denial of Service, DoS)情形、或是在使用color函式庫的專案中顯示無意義non-ASCII亂碼（稱為zalgo text）。而在他更新到faker 6.6.6中，這個套件變成空的，裏面沒有原始碼。</p> <p>Marak隨後也將相關的GitHub儲存庫移除，可能導致使用它專案的數千或數萬專案人停止運作。</p> <p>雖然乍看之下很惡意，但Marak<a href="https://web.archive.org/web/20210628030444/https://marak.com/blog/2021-04-25-monetizing-open-source-is-problematic" target="_blank">在去年的一篇部落格談及以開源專案為生的困境</a>。他開發faker已經超過10年，大部份財星500大企業都有使用。但這個大型專案維護很花力氣，但是開發團隊僅獲得開源社群及GitHub贊助商支持，以獲得一些捐贈費用，沒有任何企業付費。他指出，和大多數人一樣，他也有家要養，有帳單要付。他決定要針對faker專案收費以支持未來開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-npm%20marak-1.png" style="width: 600px;" /></p> <p><a href="https://web.archive.org/web/20210704022108/https://github.com/Marak/faker.js/issues/1046" target="_blank">這名開發人員本周表示</a>，不願再無償維護這些函式庫，服務財星500大企業或小型企業。他要求使用者付每年6位數的合約，否則就把這些專案分叉出去請別人來開發。底下留言者也有人表示支持與理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-npm%20marak-2.png" style="width: 600px;" /></p> <p><a href="https://snyk.io/blog/open-source-npm-packages-colors-faker/" target="_blank">媒體snyk報導</a>，Marak另外還參與了約170項NPM專案套件，因此類似的問題可能還會持續發生。</p> </div></div></div>
2022/1/11 11:42作者林妍溱https://www.ithome.com.tw/news/148822
Take-Two以127億美元併購Zynga
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.take2games.com/news-releases/news-release-details/take-two-and-zynga-combine-bringing-together-best-class" target="_blank">美國兩大遊戲業者Take-Two與Zynga在周一（1/10）宣布</a>，雙方已簽署併購協議，將由Take-Two以每股9.86美元的價格買下Zynga，其中的3.5美元以現金支付與6.36美元以Take-Two的股票支付，交易規模達127億美元。而上周五收盤價只有6美元的Zynga，也在此一消息的激勵下，周一股價大漲40.67%，以8.44美元作收。</p> <p>Take-Two成立於1993年，是歐美地區的主要遊戲業者之一，資產規模僅次於動視暴雪（Activision Blizzard）及美商藝電（Electronic Arts）。至於Zynga則成立於2007年，為知名的社交遊戲開發商，曾因身為臉書的獨家第三方平臺、並推出《FarmVille》與《CityVille》等熱門社交遊戲而聲名大噪，之後則將重心轉至行動遊戲，惟近年來聲勢日益下滑。</p> <p>Take-Two表示，此一交易結合了互動娛樂產業的兩大全球業者，雙方皆已建立並擴張了各種遊戲品牌，將使Take-Two成為該產業最大也最多元化的手機遊戲發行商之一。外界則分析，買下Zynga將有助於Take-Two加速行動遊戲的發展。</p> <p>此一交易預計於今年上半年完成，有別於Zynga的股價大漲40.67%，當天Take-Two股價下滑了13.13%，以142.99美元作收。</p> </div></div></div>
2022/1/11 12:11作者陳曉莉https://www.ithome.com.tw/news/148824
dnSpy出現惡意版，瞄準開發者及資安研究人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的dnSpy工具近日出現了惡意版，駭客於該工具中整合了加密貨幣竊取工具、遠端存取木馬及挖礦程式，明顯鎖定了開發者與資安研究人員。</p> <p>dnSpy為一針對.NET程式的逆向工程工具，開發者用它來除錯、變更或反編譯.NET程式，資安人員則用它來分析.NET惡意程式。雖然原始作者已不再維護dnSpy，但仍有其它開發者積極維護它並<a href="https://github.com/dnSpy/dnSpy" target="_blank">透過GitHub對外分享</a>。</p> <p>不過，代號為<a href="https://twitter.com/impost0r_/status/1479600560240222208" target="_blank">0day enthusiast</a>的資安研究人員與<a href="https://twitter.com/malwrhunterteam/status/1479767752885874688" target="_blank">MalwareHunterTeam</a>上周六（10/8）分別警告，駭客已透過不同的管道傳遞被植入惡意程式碼的dnSpy，包括註冊.net的dnSpy網站，甚至買下了Google搜尋的廣告版位，以用來推廣惡意的dnSpy.dll檔案，另也於GitHub上建立了兩個dnSpy專案，企圖散布已染毒的dnSpy。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-dnspy-600-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/malwrhunterteam/status/1479767752885874688" target="_blank"><span style="color:#696969;">MalwareHunterTeam</span></a></p> <p>《<a href="https://www.bleepingcomputer.com/news/security/trojanized-dnspy-app-drops-malware-cocktail-on-researchers-devs/" target="_blank">BleepingComputer</a>》則報導，此一惡意的dnSpy應用程式執行時看起來也很正常，它同樣允許使用者開啟.NET程式，執行除錯或其它合法功能，但它也會執行其它一系列的其它命令，包括關閉Microsoft Defender，關閉Disables User Account Control，以及下載其它的惡意酬載。</p> <p>目前上述已知用來散布惡意dnSpy的網站或GitHub儲存庫皆已被關閉。</p> </div></div></div>
2022/1/11 09:01作者陳曉莉https://www.ithome.com.tw/news/148813
Meta開發能邊聽邊看的語音辨識模型，語音轉文字錯誤率大幅下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布最新語音辨識技術成果，這個被稱為<a href="https://ai.facebook.com/blog/ai-that-understands-speech-by-looking-as-well-as-hearing">AV-HuBERT（Audio-Visual Hidden Unit BERT）</a>的語言模型，是一個先進的自我監督框架，可同時利用視覺和聽覺訊號來理解語音內容。研究人員提到，這是第一個利用未標記資料，連結語音和嘴唇動作建模的系統，且只要使用十分之一的訓練資料，就可有效提升語音辨識準確率。</p> <p>目前人工智慧被廣泛地用於語音辨識和理解任務，開發像是語音助理或是聽障應用，但研究人員提到，這些語言理解系統，常在最需要的情境中無法正常運作，像是多人同時說話，或是有大量背景噪音時，即便是複雜的噪音抑制技術，也難以克服沙灘上的海浪聲，和車水馬龍街頭市場的吵雜聲。</p> <p>而之所以在這些情況下，人們可以比人工智慧更好地理解語音，原因之一便是人類不只使用耳朵，還會同時用上眼睛，像是當有人的嘴巴在動，便會直覺認為聲音來自於那個人。透過這樣的啟發，Meta開發最新的對話式人工智慧系統，使系統能夠在對話中，關聯看到和聽到的內容，就像人類一樣。</p> <p>目前的語音辨識系統，都只採用音訊輸入，因此必須要猜測有幾個說話者，或者是否包含背景噪音等問題，而AV-HuBERT與人類一樣採用多模式學習，透過結合音訊和嘴唇動作提示，來感知和學習語言。研究人員使用公共LRS3和VoxCeleb錄影資料集來訓練模型，而由於多了視覺線索，因此AV-HuBERT可以有效地捕捉輸入串流的細微差別，可大幅減少用於預訓練的資料量。</p> <p>研究人員提到，一旦預訓練模型學習了結構與相關性，便只需要少量標記資料，就可以完成對特定任務或不同語言的模型訓練。實驗證實，AV-HuBERT能夠獲得高品質的語音辨識效果，當語音和背景噪音一樣大聲的情況下，目前最先進的模型AV-ASR，即便在使用433小時的標記資料訓練後，仍然有25.5％的錯誤率，但是AV-HuBERT卻只有3.2％。</p> <p>也就是說，AV-HuBERT每聽到30個單字，僅會犯1個錯誤，研究人員表示，當噪音和要轉錄的語音一樣大聲時，純音訊語音辨識模型不可能知道，哪一個才是轉錄的目標，而相比之下，AV-HuBERT只轉錄可見的說話者語音，因此WER（Word Error Rate）只有3.9％，而純音訊辨識軟體WER則高達37.3％。</p> <p>當標記資料只有30小時的低資源配置，在各種分貝的雜音、語音和音樂等噪音干擾下，AV-HuBERT與沒有預訓練的純語音辨識模型相比，絕對WER減少51.4％。而且當系統可以看到說話者，但無法聽到聲音的情況，過去最先進的模型，在經過31,000小時的轉錄視訊資料訓練後，可以在標準LRS3基準資料集上，達到33.6％的WER，而AV-HuBERT大幅超越了這項成果，僅使用30小時的標記資料，以及少一個量級的未監督影像資料，就可以達到28.6％的WER，而且在使用433小時的標記資料後，可以達到26.9％的WER，刷新目前紀錄。</p> <p>AV-HuBERT不僅能應付棘手轉錄場景的對話式人工智慧系統，由於訓練所需要的監督資料要少得多，因此還可以用來開發少資源的語言模型。另外，AV-HuBERT能夠從語音和嘴唇動作中學習，所以也可用來開發更具包容性，適用於語言障礙者的應用。</p> <p>因為AV-HuBERT能夠捕捉聲音和嘴巴的精細關聯，也有助於偵測深度偽造，和其他被操縱，用來誤導觀眾的內容，從另一方面來看，AV-HuBERT還能夠被用於在虛擬實境中的替身角色，實現逼真的嘴唇動作，提供更真實的感覺。</p> </div></div></div>
2022/1/11 09:05作者李建興https://www.ithome.com.tw/news/148817
Solo.io開源可簡化eBPF程式建置與部署的BumbleBee專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>FaaS服務新創公司Solo.io對外開源了<a href="https://www.solo.io/blog/solo-announces-bumblebee/">BumbleBee</a>專案，有效簡化Linux核心技術eBPF的工具開發工作。BumbleBee自動產生使用者空間程式樣板程式碼，協助使用OCI映像檔建構、執行和發布eBPF程式的用戶，能夠更專注於編寫eBPF程式碼。</p> <p>官方表示，Linux為目前主要作業系統之一，而由於Linux的熱門，使得核心的更新需要經過仔細且漫長的程序，避免上游的更改對下游造成廣泛且意料之外的影響。而eBPF沙盒技術則能填補Linux生態系的創新需求，eBPF是一個核心技術，可以在作業系統核心中執行沙盒程式，讓開發者快速發展網路和安全功能來強化核心，也就是說，eBPF讓用戶不需要將程式碼合併到核心中，就可以自定義核心行為。</p> <p>eBPF在雲端管理和應用網路領域，有許多使用案例，像是eBPF讓用戶執行自定義函式，來監控服務之間的網路通訊、追蹤延遲、過濾和路由資料封包到特定端點，或是收集Pod層級的網路統計資訊等，在核心層級執行這些函式，能夠應用自定義且高效能的網路邏輯，以及事件呼叫等功能。</p> <p>eBPF採用二進位位元組碼格式，以Hooks等方式附加到作業系統中，用戶通常使用高階語言，像是C來建構eBPF程式，並將其編譯成為位元組碼，作業系統載入位元組碼，並對其進行驗證，再經JIT編譯後執行。</p> <p>eBPF程式可以存取核心中的資料結構，但由於格式可能因核心版本而有所不同，這代表eBPF程式必須在執行前，在機器上先進行編譯，考量這個過程過於麻煩，為了避免這個繁瑣的過程，eBPF利用可移植通用類型描述格式BTF，期望在核心版本間通用。</p> <p>但是打包和共享這些二進位程式，並沒有被良好地處理，通常eBPF開發人員負責編寫使用者空間程式碼、eBPF程式碼，並自行決定共享和發布給其他機器和用戶的方法，通常使用者空間程式只是一些包含eBPF映射資料類型細節的樣板程式碼。</p> <p>而BumbleBee便是一個方便的工具，能夠利用提供核心可移植性的BTF類型，來自動生成所有使用者空間程式碼，Solo.io提到，他們已經與eBPF專案合作一年多，並且實作以Istio為基礎的企業網路服務網格，但因為在開發過程中所遭遇的挑戰，促使他們開發出BumbleBee。</p> <p>BumbleBee提供類似Docker的體驗，能夠自動化一些重要的步驟，Bumblebee能夠替任何eBPF應用程式進行打包、發布，並自動生成使用者空間程式。BumbleBee大幅減少建置eBPF程式的障礙，讓用戶建構更強大的網路和可觀察性安全工具。</p> </div></div></div>
2022/1/11 09:10作者李建興https://www.ithome.com.tw/news/148818
Visual Studio 2022在即時協作Live Share加入聊天功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟進一步強化Visual Studio 2022的團隊協作能力，經過評估之後，終於在其程式碼即時共享功能<a href="https://devblogs.microsoft.com/visualstudio/integrated-chat-in-live-share-for-visual-studio-2022/">Live Share，加入聊天功能</a>。Live Share是微軟在2018年Build大會時發布，最初以擴充套件的形式釋出，現在已經內建在Visual Studio中，供開發團隊能夠直覺地即時遠端協作程式碼。</p> <p>開發者可以共享會話連結，來啟動多方即時程式碼共享。該連結可以透過即時通訊軟體傳送，接收方在點擊連結後，Windows上便會啟動Visual Studio，便能直接檢視主機的程式碼，並且進行修改。</p> <p>官方提到，在當前開發團隊緊密協作方式，成員需要不斷審查甚至重寫彼此的程式碼，而Live Share作為協作工具，透過將協作轉變成直覺的工作流程，能良好地支援這樣的工作方法。而微軟透過收集使用者的使用方式，尋找Live Share在協作中還可以提供的價值，決定在Visual Studio 2022的Live Share功能中，內建聊天功能集。</p> <p>Live Share新加入的聊天功能，使得每個Live Share會話，都能擁有具有特定上下文的聊天頻道，無論是長時間的結對程式設計，還是程式碼同儕檢查，或只是短暫的互相幫忙，Live Share聊天功能都可以在會話中添加非同步上下文。</p> <p>要開始使用Live Share聊天，開發者需要使用Visual Studio 2022，在啟動Live Share會話便能看到聊天圖標，點擊圖標後便會彈出聊天視窗，供會話參與者開始文字聊天。</p> <p>微軟在2018年時發布Live Share擴充套件，並在Visual Studio 2019中直接內建該功能，從最一開始單純的程式碼協作，在逐次更新中，加入即時程式碼審查，使訪客能夠瀏覽共享對話前後程式碼的差異，且加入線上評論功能，讓參與者留下程式碼註解，供其他人查看，也加入唯讀模式，還讓訪客能夠啟動除錯會話。</p> </div></div></div>
2022/1/11 09:15作者李建興https://www.ithome.com.tw/news/148819
【資安日報】2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼傳出勒索軟體駭客Conti、中國駭客組織Aquatic Panda，都在Log4Shell漏洞公開後，鎖定尚未修補或採取緩解措施的遠距工作平臺VMware Horizon下手，近期又有類似的情況再度出現──英國衛生服務部（NHS）偵測到一起攻擊行動，駭客向尚未修補漏洞的VMware Horizon發送JDNI請求，進而植入後門，然後發動下一波攻擊，有可能藉此植入勒索軟體或是外洩資料。隨著Omicron疫情持續延燒，許多人採取遠端辦公的方式工作，這類工作平臺也成為攻擊者的首要目標之一。</p> <p>值得留意的攻擊手法，還有歹徒鎖定在網路上公開電話號碼的人士，如拍賣的賣家、找尋物品的失主，藉由Google Voice網路電話服務，來通過身分驗證，進而挾持對方的Google帳號。Google Voice是Google推出的VoIP服務，該公司在2009年併購GrandCentral後推出，並於美加地區提供免費的語音通話及簡訊服務。而這種詐騙手法值得留意的是，歹徒會說服對方這麼做是驗證他們真實賣家、而非Bot機器人，很多人可能會不小心上當。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://therecord.media/uk-nhs-threat-actor-targets-vmware-horizon-servers-using-log4shell-exploits/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Log4Shell漏洞，鎖定尚未修補的遠端工作平臺VMware Horizon下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/attacker-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attacker-diagram.png" style="width: 300px; float: right;" /></a>英國衛生服務部（NHS）提出警告，表明他們偵測到一起鎖定Log4Shell漏洞的攻擊行動，攻擊者鎖定尚未修補的遠端工作平臺VMware Horizon而來，向這些伺服器發送JDNI請求，使其通過LDAP連接到惡意網域，下載PowerShell指令碼安裝Web Shell，並注入於VM Blast Secure Gateway服務當中，以做為接下來攻擊行動的後門。NHS表示這個後門可被用於植入惡意軟體、資料外洩，甚至是進行勒索軟體攻擊。而這是繼去年12月勒索軟體駭客Conti、中國駭客組織Aquatic Panda的攻擊事故後，第3波鎖定VMware Horizon而來的Log4Shell漏洞攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-about-ongoing-google-voice-authentication-scams/"><span style="color: rgb(0, 0, 0);">在網路上公開電話號碼的人士，恐成為Google Voice身分驗證詐騙的目標</span></a></strong></h4> <p>美國聯邦調查局（FBI）提出警告，網路拍賣的賣家，或是尋找竉物的失主，可能會因為留下了電話號碼以供聯繫，而成為歹徒藉由網路電話服務Google Voice進行詐騙攻擊的目標。FBI指出，一旦歹徒詐騙成功，將會以受害者的名義建立Google帳號，或是挾持他們的Gmail，以便日後用於其他詐騙攻擊。</p> <p>這些歹徒從各類拍賣網站來找尋目標下手，並以簡訊或是電子郵件，表明他們對出售的物品感興趣，但宣稱先前曾被其他賣家騙過，要求對方經由Google驗證為真實的人類。然後，歹徒會要求賣家告知收到簡訊驗證碼，但實際上，歹徒是利用賣家的電話號碼進行驗證，假借賣家的名義建立Google Voice帳號，然後接管賣家的Google帳號。FBI呼籲，網路賣家不要提供他人Google驗證碼，來防範相關詐騙攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織FIN7以感謝函和防疫指引的名義，發動BadUSB惡意隨身碟攻擊</strong></span></a></h4> <p>美國聯邦調查局（FBI）提出警告，駭客組織FIN7約自2021年8月開始，佯稱是AWS或是美國衛生與公共服務部（HHS），藉由感謝函、防疫指引等名義，透過美國郵政服務（USPS）或UPS，寄送含有BadUSB隨身碟的包裹。FBI指出，駭客先是將這類包裹寄給運輸業或保險業者，在11月開始寄給國防公司，一旦有人將包裹裡的隨身碟連接電腦，就會展開一連串的攻擊，最終在受害組織網路部署勒索軟體。</p> <h4><a href="https://www.ithome.com.tw/news/148756"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪2021年造成140億美元損失，創下歷年新高，加密貨幣詐騙就超過半數</strong></span></a></h4> <p>區塊鏈分析業者Chainalysis指出，網路犯罪者用來接受非法交易的加密錢包，2021年總共進帳約140億美元，比2020年的78億美元增加近8成，創下歷史新高。值得留意的是，在2021年的非法交易裡，詐騙的金額就高達78億美元，尤其以誘騙投資人進場大量買進，待時機成熟再捲款潛逃的「拉地毯」（Rug Pull）詐騙手法最值得留意。此外，亦有32億美元加密貨幣遭竊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/crypto-platform-arbix-flagged-as-a-rugpull-transfers-10-million/"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易平臺Arbix Finance無預警關閉，騙走投資者千萬美元</strong></span></a></h4> <p>資安業者CertiK於1月4日指出，名為Arbix Finance的加密貨幣平臺，疑似出現「拉地毯」（Rug Pull）詐騙而停止運作，有人將1千萬個Arbix幣傳送到經營者的加密貨幣錢包，並在以太坊傾銷套現。研究人員呼籲，投資人要留意這類詐騙行為。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://portswigger.net/daily-swig/latest-wordpress-security-release-fixes-xss-sql-injection-bugs"><span style="color: rgb(0, 0, 0);">WordPress修補存在長達3年的XSS漏洞</span></a></strong></h4> <p>網站內容管理系統WordPress最近推出了5.8.3版，修補數項漏洞，其中較值得留意的是跨網站程式碼（XSS）攻擊漏洞，影響WordPress 3.7至5.8版，一旦攻擊者利用這項漏洞，就能在已經通過身分驗證的情況下，注入惡意的JavaScript指令碼酬載到貼文裡，進而感染管理者的儀表板，甚至有機會挾持管理者帳號。通報該漏洞的資安業者SonarSource表示，這項漏洞他們從3年前就告訴WordPress，如今終於得到修補，他們預計在1月11日揭露有關細節。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/sonicwall-y2k22-bug-hits-email-security-firewall-products/"><span style="color: rgb(0, 0, 0);">SonicWall防火牆、郵件安全系統受Y2K22漏洞波及</span></a></strong></h4> <p>資安業者SonicWall於1月7日發出公告，表明旗下部分產品受到Y2K22漏洞的影響，已自2022年1月1日開始影響部分用戶。這些受影響的產品主要與郵件安全防護有關，包含了企業內部建置的郵件安全防護系統Email Security Appliance、雲端代管郵件安全防護服務Hosted Email Security，以及防火牆設備的反垃圾郵件模組等。該公司已於2日修補雲端郵件安全服務系統，並推出相關修補程式。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148769"><span style="color: rgb(0, 0, 0);">H2資料庫驚傳類似Log4Shell的漏洞</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png" style="width: 300px; float: right;" /></a>資安業者JFrog揭露，以Java程式語言開發、開源的SQL資料庫H2，其主控臺（Console）元件存在類似Log4Shell的RCE漏洞CVE-2021-42392，攻擊者可在未經授權的情況下，用來傳送竄改的參數，或是觸發目標伺服器漏洞，進而遠端於受害裝置上執行任意程式碼。研究人員呼籲用戶應升級H2至2.0.206版。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/10 16:13作者周峻佑https://www.ithome.com.tw/news/148809
【DBS客座文章】微前端模組–衝突終結者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/148776"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/dbswei_qian_duan_-tu_1.png?itok=AwjzY931" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2 class="rtecenter"><strong>“APPs, together, STRONG!”</strong> </h2> <h2 class="rtecenter"><span style="font-size: 13px;">- Rise of the planet of the APPs(2021)</span></h2> <p>本文為<strong>【星展銀行授權轉載文章】</strong><br /> 譯註：文中所稱之星展銀行或星展皆係指新加坡星展銀行，所提及之金融服務亦為新加坡國內之服務<br /> 原作者：Gordon Feng, iOS Developer／台灣星展銀行資訊暨營運處<br /> 原文出處：<a href="https://medium.com/dbs-tech-blog/micro-front-ends-the-conflict-terminator-5a447f0428a6">Micro Front Ends — The Conflict TERMINATOR</a></p> <h2 data-selectable-paragraph="" id="656c"><strong>前言</strong></h2> <p data-selectable-paragraph="" id="3aa8">星展集團業務橫跨多個國家，包含新加坡、印度、中國…等，每個國家都有該國家所屬的星展銀行 App 和信用卡 App…等, 而開發團隊也橫跨了多個國家，如印度、新加坡…等，在星展集團全球兩萬九千多名員工中，就超過一萬名是資訊科技人員。<br /> 在業務複雜度、開發團隊人數的交互作用下，程式碼的複雜度與規模肯定大幅增加，造成開發效率與時間的成本呈指數型倍增。</p> <p data-selectable-paragraph="" id="09f6">這時候解耦與共用模組化的重要性就不可言喻了，試問若少了模組化，會是怎麼樣的結果？同一個功能以不同的實作方式在不同地方執行下，以修改餘額查詢功能為例，倘若因不明原因導致轉帳功能無法運作、版本控制每推(Push)一次程式碼就跟其他同事所發的程式碼衝突，就不用提後面的單元測試該如何進行了，這絕對會是場災難。</p> <p data-selectable-paragraph="" id="1606">透過模組化、遵守SOLID原則與DRY原則，我們可以避免上面所說一切不幸的發生，若運用得當，可以充分提高工作效率、工作穩定度跟工作愉悅度，並少走很多冤枉路，與避免伴隨而來的工程師職業傷害(不管是心理或生理上)，讓我們工作效率獲得提升。</p> <h2 data-selectable-paragraph="" id="57f1"><strong>關於微前端模組</strong></h2> <p data-selectable-paragraph="" id="7404">模組化與解耦的方式有很多種，而今天我們要介紹的概念，稱之為微前端模組 (Mirco-Front-End)，什麼情況下我們可以做一個微前端模組？且做一個微前端模組要考慮到什麼？並介紹微前端模組的幾項原則提供給大家參考，當然一切請以實際需求和團隊和諧為原則。</p> <h2 data-selectable-paragraph="" id="bd08"><strong>模組化？What? Why？How？</strong></h2> <p data-selectable-paragraph="" id="af8e">一般大型的軟體專案，會使用不少模組化的觀念，來提升共用，減少耦合。</p> <p data-selectable-paragraph="" id="0349">通常來說正確的說法叫做Modularization，將重複的功能、畫面、邏輯，打包成一塊塊可注入共用的模組，如此一來有多種好處。</p> <p data-selectable-paragraph="" id="9710">1. 可以做到功能獨立，符合SOLID設計原則</p> <p data-selectable-paragraph="" id="023a">2. 功能開發可以平行進行，不會互相影響</p> <p data-selectable-paragraph="" id="01c1">3. 模組也能簡單地替換</p> <p data-selectable-paragraph="" id="3cea">4. 測試的包含範圍能更小，更方便測試</p> <p data-selectable-paragraph="" id="c71c">5. 各專案間可以減少重工，並且溝通且轉換上成本較低</p> <p data-selectable-paragraph="" id="03b8">在星展，我們也使用如此的技術，並且通稱這個方法為Micro-Frontend(MFE)。Micro-Frontend一開始是由網頁前端來的，最早在2016年中有提到如此概念，在2018年開始推廣，有一些專門的組織（諸如<a href="https://micro-frontends.org/" rel="noopener ugc nofollow" target="_blank">https://micro-frontends.org/</a>）來宣傳此類的技術。如此的技術在星展中也開始採用，並且不只在網頁端，也應用在手機應用端。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%961.png" /></p> <p data-selectable-paragraph="">由上圖可以感受到，在星展手機應用端的頁面，是由各種不同的微前端模組組成物件(Components)組成的。這些組成物件由不同的開發團隊所維護。一般核心使用者介面(User Interface)稱之為核心(Core)，所有星展的專案皆可使用這些核心使用者介面。接著頁面組成跟邏輯則落在專案小組下的開發人員，由該功能所負責的開發人員開發出該頁面的程式邏輯。</p> <h2 data-selectable-paragraph="" id="4ce4"><strong>依賴反轉原則</strong></h2> <p data-selectable-paragraph="" id="a3a8">各平台間的函式庫匯入(Import)以及參照，都很標準，使用最常用的Maven or Carthage建立私有雲及儲存庫(Repositories)，這部份不加以描述。值得一提的是，當你注入的是非使用者介面類型的共用模組，比如說錯誤處理(Error handling)、邏輯控制(Logic control)。視情況可以用SOLID依賴反轉的方式去保護注入的函式庫，防止某天突然要做修改。</p> <h2 data-selectable-paragraph="" id="edd1"><strong>什麼功能可以做成微前端模組？</strong></h2> <p data-selectable-paragraph="" id="f5dc">並不是所有功能都可以做成微前端模組，在做成微前端模組之前我們會先觀察，這個功能是不是一個單獨完整的功能，且不需要依賴其他功能。舉例來說，會員資料管理功能就很適合做成微前端模組，會員資料管理功能包含：修改帳號、修改密碼、修改基本資料等，這些功能獨立、不干涉其他功能、且應該要有獨立的API端末(Endpoint)，也不需要跟其他功能共享資料。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%962.png" /></p> <h2 data-selectable-paragraph="" id="4304"><strong>什麼功能不適合做成微前端模組？</strong></h2> <p data-selectable-paragraph="" id="32de">購物車功能則不適合做成微前端模組，因為購物車到最後一定會需要結帳功能，而結帳功能並不一定需要購物車功能，在購物車會依賴付款功能的狀況下，就不適合做成微前端模組。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%963.png" /></p> <h2 data-selectable-paragraph="" id="9eac"><strong>一些微前端模組的原則參考</strong></h2> <p data-selectable-paragraph="" id="875e">關於設計模式(Design pattern)的部分，我們選擇MVVM進行開發，每個開發團隊有不同的設計模式選擇，選擇任何模式都可以，但建議以統一模式為主。</p> <p data-selectable-paragraph="" id="30f6">當然微前端模組我們視為一個獨立的小App，你不會想將主應用(Host app)不需要知道的微前端模組細節暴露給主應用，讓其他同事在接手開發時，誤用他不該使用的細節，因此需要完善的存取控制(Access control)，透過實作一個開放(Public) 的介面(Interface)，設計這個微前端模組的使用介面，再加上一些小註解或是使用方式的文件，會使得微前端模組在多人開發上運用得更妥當。</p> <p data-selectable-paragraph="" id="1e1f">我們所做的微前端模組，將不會有發出請求(Request)的責任，若我們將發送請求的責任交由微前端模組，會導致App到處都有不同的地方發出API，不僅增加重複的程式碼，也會增加維護的困難度。微前端模組僅將自身所需的API端末跟請求所需的參數帶給主應用，主應用在接收到來自微前端模組的端末後，統一由主應用發出請求。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%964.png" /></p> <p data-selectable-paragraph="">在某些特例的狀況下，微前端模組會引用到其他的函式庫(Library)，例如為了達到使用者介面同一風格的要求，我們將所有使用者介面元素(UI Component) 製作成一個函式庫，讓主應用與所有微前端模組方便引用。若有這種需求，Account MFE不可包含使用者介面函式庫，只能由主應用匯入使用者介面元素庫(UI Component Library)，再由Account MFE去引用主應用的使用者介面元素庫，呈現一個傘狀的結構。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%965.png" /></p> <p data-selectable-paragraph="">在每一個微前端模組實作簡易的範例，透過簡單的範例呈現，可以讓其他開發者快速了解這個微前端模組的作用，與如何使用這個微前端模組。若因為需求變更而修改微前端模組，透過運行(Build)範例，可以馬上看到變更後的效果，因此，每個範例都需要測試用的假回應(Mock response)模擬API的回應(Response)，呈現完整的功能。</p> <p data-selectable-paragraph="" id="3a7a">最後要提的是，為了達到重複使用的目的，我們會將微前端模組設計成在其他App上也可以用的模組，譬如上面提到的會員管理，若其他App有會員功能，我們也可以將會員管理微前端模組直接使用在其他App上，因此，每個微前端模組會需要自己獨立的儲存庫(Repo)，以便在其他地方使用。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%966.png" /></p> <h2 data-selectable-paragraph="">管理微前端模組</h2> <p data-selectable-paragraph="" id="be1e">在管理微前端模組上，我們會在BitBucket上開一個專案統一管理這些微前端模組，並使用Carthage 安裝與更新這些微前端模組。<br /> 而在每個微前端模組我們會加上腳本(Script)，在這個腳本我們會執行建立新的儲存庫在BitBucket上、推程式碼上BitBucket、檢查專案名稱是否符合規則、匯出框架(Framework)等。</p> <p data-selectable-paragraph=""><img alt="" src="https://s4.itho.me/sites/default/files/images/DBS%E5%BE%AE%E5%89%8D%E7%AB%AF-%E5%9C%967(1).png" /></p> <h2 data-selectable-paragraph="" id="e0fe">結論：</h2> <p data-selectable-paragraph="" id="9a80">以上我們說明了實作一個微前端模組所需要的情況、開發原則與後續微前端模組的基本管理，這些並沒有所謂的鐵則，一切依照團隊開發習慣為主。只要建立在模組化與SOLID原則，基本上就不會差太遠了。</p> <p data-selectable-paragraph="" id="be59"><strong>免責聲明和重要通知</strong><br /> 本文章(英文)係由DBS LTD提供並經星展銀行(台灣)(下稱｢本行｣)翻譯為中文，僅供參考，本行及DBS LTD不對使用本文章所引起之任何損失或損害負任何責任。如您有任何疑問或欲參考本文章而為行事之依據，本行建議您諮詢您的專業顧問之意見，以保障您的權益。非經本行之事前書面同意，任何人不得對本文章為複製、轉載、引用、抄襲、修改、散佈或為任何其他方式之使用</p> </div></div></div>
2022/1/10 17:54作者星展銀行https://www.ithome.com.tw/guest-post/148776
勇於承擔奇異轉型考驗的領導者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_qi_yi_ceo_tu_pian_lai_yuan_bao_ding_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">寶鼎出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二〇一七年十月卸下奇異（General Electric）三十五年的工作時，我並沒有把握能寫這本書。沒錯，十六年的執行長生涯讓我有幸坐在前排親炙歷史，也學到不少紮實的教訓，這些必定能嘉惠他人，但是我的任期結束得並不光彩。商業書大多有個不言自明的承諾：「我來教你如何像我一樣成功，貨真價實的成功！」我顯然沒資格這麼說。</p> <p>我所遺留的財產頂多只能說毀譽參半。奇異在市場上是贏家，但在股票市場並不是。我做了成千上萬影響數百萬人的決策，常常是在盲目不確定之下所做，受到無數議論者的批評。我以整個團隊和整體的成就為榮，但是我這個執行長向來才氣跟運氣不相上下，我的意思是，大多時候兩者都付之闕如，或許不要有寫書的念頭比較好。</p> <p>一直到二〇一八年六月，發生了一件事，改變了我的想法。</p> <p>當時我答應到史丹佛商學研究所（Stanford Graduate School of Business）授課，課程名稱很拗口：「數位產業轉型的系統領導」（Systems Leadership for the Digital Industrial Transformation），其實就是如何堅持改革。我沒當過教授，不過有另一個共同講師從旁協助，他名叫羅伯・席格（Rob Siegel），既是創投人也是史丹佛大學資深講師。我們一起找來全球頂尖企業領袖，給班上六十七個學生帶來第一手經驗談，分享自身遭遇過的挑戰，找來的客座講師都非常出色：有愛齊科技（Align Technology）的執行長，他介紹如何用3D列印做出客製化的牙托來矯正牙齒；有強鹿農機（John Deere）的執行長，他解釋為什麼信任是銷售曳引機的關鍵；還有傳奇影業（Legendary Entertainment，《侏儸紀世界》等片的製作公司）前執行長，他說他打算利用人工智慧（AI）來「喚醒」那些不以創新見長的沈睡企業。</p> <p>然後，學期過一半的時候，《財星》雜誌（Fortune）刊出一篇長文，標題是〈奇異到底怎麼了？〉，出自傑夫・柯文（Geoff Colvin）之筆，裡面提到的事實和影射在我看來有很多錯誤。這篇文章暗示我沒有接班計畫（其實有），還把奇異資本（GE Capital，奇異旗下的金融事業）造成的問題全部歸咎於我（其實很多問題是我繼承來的），不過最引人側目的是通篇文字充滿情緒性口吻，說奇異是「邪惡的混亂」，說我「無能」。我猜想這位作者的消息來源有包含被我開除的人，而且不止一個，他們的看法並不完全公允，但是讀者無從得知。</p> <p>沒有任何人能免於批評，我當然也不例外。我離開奇異後，媒體對我的負面報導從來沒少過，我通常皺皺眉頭就過去了，但是這次我看到一個機會。我原本就苦於學生沒耐心，他們對事先準備的授課內容、簡化的方法清單似乎沒有什麼耐心，反倒最愛問「你是怎麼想出來的？」，他們渴望學習如何在一個不確定的世界中生存，而在這方面，我絕對有資格說上幾句。</p> <p><span style="font-size:28px;"><strong>傑夫・伊梅特不插電的商學院講座</strong></span></p> <p>於是我請共同講師發出電子郵件，邀請商學院所有學生來參加一個不在規劃中的講座，名稱是「傑夫・伊梅特不插電」，給學生的功課是：問我問題，葷素不忌。</p> <p>隔週五下午五點，商學院最大的教室擠滿了人，有個學生自動帶來葡萄酒和杯子蛋糕，氣氛頓時莫名多了點歡樂感。「最近有很多關於我和奇異的報導」，我劈頭就說，「我想你們大概有很多問題想問。」</p> <p>接下來一個鐘頭左右，他們問，我答。一開始的提問很有禮貌，譬如：「作為一個領導者，你處理過最困難的事是什麼？」，我提起奇異幾次艱難掙扎：九一一恐怖攻擊之後、二〇〇八到二〇〇九的金融危機、福島核子反應爐熔毀（那些反應爐是出自奇異的設計）。還有一個學生問到我最喜歡的主題之一：全球化；我說明我的團隊如何讓奇異更加靈活，我們在全球各市場建立有能力的團隊，把決策權下放給他們。</p> <p>不過接下來的學生就比較尖銳了。有個人問：「奇異電力（GE Power）到底出了什麼問題？」還有一個緊扣《華爾街日報》的說法，說我在奇異內部製造一種「粉飾」文化，鼓勵員工一味描繪好的一面，不論實情如何。</p> <p>我還記得，太陽開始落到教室窗外樹梢時，一個學生舉起了手，我看到他桌上放了那期《財富》雜誌的影印，他開口問：「你怎麼會讓情況變成這樣？」我只能據實以告：我已經努力避免了。我說：「我對這家公司所遭遇的困難感到難過，我知道有人覺得我讓他們失望，這會成為我下半輩子一塊壓在心上的石頭，但是一味責怪過去對奇異沒有幫助，任由謊言積非成是也於事無補。奇異正在流失客戶和人才，並沒有對症下藥。」</p> <p>我希望那天的學生瞭解，說我不完美我可以接受，但有必要時我也會挺身為自己辯解（而且不至於讓人覺得是我臉皮太薄小題大作），任何領導人都會這麼做。</p> <p>二〇〇一年我當上執行長，接下一家外在觀感與實際狀況大不相符的公司。我從傑克・威爾許（Jack Welch）手中繼承了一個強大企業文化和一批優秀員工，但是我們已經點子用盡。一年前我還在掌管奇異醫療（GE Healthcare）時，試圖收購Acuson這家超音波公司，但是遭到傑克駁回，原因是：Acuson位於加州山景城（Mountain View），「那裡的人很瘋狂」。我並不認同他的看法，Acuson可以讓我們在以創新見長的矽谷取得立足點（後來Acuson被競爭對手西門子買走，也確實讓西門子在矽谷站穩腳跟）。奇異內部有人認為奇異不管怎樣都會有好結果，但是我擔心我們變得太過守舊、好奇心不足。</p> <p>至少有十年之久，奇異是透過奇異資本這個金融大物來推動成長、扶持工業部門，但是我接手的時候，觀察家大多不知道奇異對工業部門的投資其實很少。我們是一個枝繁葉茂的大集團，從飛機引擎到電視台到貓狗保險，無所不包，但是卻被當成科技公司，股價遠高於我們所處的產業價值。</p> <p>所以，身為執行長的我，一心一意要改善公司，重新把資金投入於旗下各產業，改進技術，拓展我們在全世界的據點，而且在這過程中，我對傑克・威爾許從未有任何一句負面言語。</p> <p>這是個有風險的選擇，當你的團隊覺得一切已經很完美的時候，要推動變革是很困難的，但這個選擇在當時感覺是對的。我的前任被譽為史上最優秀執行長，我希望好好維護他的遺產，在還來得及之前把我看到的破洞修補起來。然而在我任內，每當有危機出現危及奇異的成功（甚至危及奇異的生存），我這股想透過成長來保護公司的願望往往淪為次要。</p> <p>領導是一趟了解自己的緊湊旅程。如果你被打趴了晚上還睡得著，隔天早上醒來馬上就能繼續聆聽學習，那我相信你一定有辦法領導。我喜歡引述拳王麥克・泰森（Mike Tyson）的話：「臉上挨拳之前，誰不是說得一口好戰術？」重點是即使被打得眼冒金星也要廣納新想法。你不可能樣樣都對，我當然也不是，如果你凡事只想明哲保身，就不該接下執行長的工作。</p> <p>爆發全球性的困難、混亂不休的時候，領導人往往無力控制，只剩下做決策和堅持下去的意願，目標是生存下去，我所謂的「生存」是求進步，不是求完美。重點是，領導人所做的重大決策必定會受到嚴格檢視，我也不能倖免，我只希望各位從我的視角去看看我在關鍵時刻所見（關鍵時刻大概有上萬個之多），我很好奇你們會怎麼做。</p> <p>這本書記錄了我掌管美國一家最大、最有名望企業所學到的東西，記錄了坐在一個不好坐的位子、為全世界最有意義、最有挑戰性、最受嚴格檢視的工作負全責是什麼情形。我試圖描繪過去二十年商業世界的變化；我細數了我們大力提倡並在奇異取得成功的點子，當然也有一些不成功的點子；我說明了我們如何倖存下來。不會有人在執行長上任第一天給他或她一本手冊，教他或她如何做棘手決策，我希望，透過描述這份孤獨的領導工作，可以鼓勵讀者持續前進。我坦誠敘述我在尋找前進路徑所遭遇的阻礙，甚至也描述了我個人道路上的阻礙，我的故事赤裸裸但誠實，一切要從我當上執行長的第一個星期一開始說起：二〇〇一年九月十號。<span style="color:#696969;"><strong>（摘錄整理自《傑夫．伊梅特》前言，寶鼎出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%A5%87%E7%95%B0CEO_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%AF%B6%E9%BC%8E%E5%87%BA%E7%89%88(1).png" style="width: 265px;" /></p> <p><span style="font-size:14px;">圖片來源_寶鼎出版</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>傑夫．伊梅特：帶領美國百年企業奇異走過16年風雨的剖心自白</strong></span></p> <p>傑夫．伊梅特（Jeff Immelt）、艾米．華樂絲（Amy Wallace）／著；林錦慧／譯</p> <p>寶鼎出版</p> <p>售價：520元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>傑夫．伊梅特（Jeff Immelt）</strong></p> <p>美國企業奇異第九任董事長，並擔任執行長十六年。伊梅特曾三度榮獲《巴隆周刊》（Barron’s）選為「全球最佳執行長」之一，在他任內，奇異被《財星》（Fortune）評為「美國最受推崇企業」。曾擔任歐巴馬政府「就業與競爭力委員會」主席。</p> </div></div></div>
2022/1/10 16:49未署名https://www.ithome.com.tw/article/148812
PayPal有意發行穩定幣PayPal Coin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SteveMoser/status/1479574342329638913" target="_blank">一名iOS開發者Steve Moser近日在支援iOS的PayPal程式中發現了PayPal Coin</a>，PayPal則向<a href="https://www.bloomberg.com/news/articles/2022-01-07/paypal-is-exploring-launch-of-own-stablecoin-in-crypto-push" target="_blank">《彭博社》</a>證實正在探索發行穩定幣的可能性。</p> <p class="rtecenter"><a href="https://twitter.com/SteveMoser/status/1479574342329638913" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-paypal%20coin%20by%20%20%40SteveMoser%20twitter.png" style="width: 577px;" /></a></p> <p>根據報導，PayPal Coin源自於該公司內部加密貨幣團隊的黑客松（Hackathon）競賽，是與美元掛鉤的穩定幣。PayPal坦承正在探索發行PayPal Coin的可能性，一旦決定執行，定會與監管機關密切合作。</p> <p><a href="https://thetapedrive.com/paypal-is-working-a-stable-coin-called-paypal-coin" target="_blank">PayPal Coin的圖騰</a>類似PayPal，並於P字上畫上兩條平行線。</p> <p>身為全球主要的線上支付平臺之一，PayPal自2020年底便開放用戶持有及買賣加密貨幣，去年3月開始支援美國用戶以加密貨幣付款，迄今支援的加密貨幣種類包括比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash），以及萊特幣（Litecoin）。</p> <p>除了PayPal之外，<a href="https://www.ithome.com.tw/news/131332" target="_blank">Meta也早在2019年就發表Libra加密貨幣計畫</a>（後<a href="https://www.ithome.com.tw/news/141419" target="_blank">更名為Diem</a>），但迄今尚未成真。</p> </div></div></div>
2022/1/10 16:00作者陳曉莉https://www.ithome.com.tw/news/148807
量子抵抗不是企業未來式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對許多企業而言，量子電腦是未來科技，那是只有科技巨頭才有能力負擔或善用的科技，我以前也這樣認為，直到最近，一場活動，改變了我的想法。</p> <p>在去年底雲端龍頭AWS年度大會中，有一場回顧AWS十五年網通技術演進的演講上，AWS旗下EC2部門副總裁Dave Brown宣布，所有離開Amazon設施的任何實體連線、VPC加密、KMS金鑰交換都達到了量子安全加密的等級。</p> <p>「未來10年內，如果出現了超強運算能力的量子電腦，企業今天從網路流量被攔截的資料，很有可能到時候就被解密了。」他強調，這是為何得全面採用AES-256加密，就是為了降低20～30年後的風險。</p> <p>這幾年來，量子電腦不斷證明自己能發揮出超乎想像的運算力，不少科技巨頭也紛紛投入研究，這不是什麼新鮮事，AWS還是比較慢搶進的業者，一直到2年前，AWS才跟進IBM、Google、微軟等巨頭，加入量子電腦技術和產品研發的隊伍。</p> <p>科技巨頭們投入量子電腦技術的另一個理由，不只為了搶新機會，而是擔心，量子電腦的超強運算力，可以解開過去難以快速破解的加密技術，為了避免未來資料曝光後的風險，得同步發展量子抵抗技術，或者投入後量子密碼學的研究。</p> <p>像Google早在2016年就開始發表有能力抵抗量子運算的新興演算法，各國政府和學術圈這幾年更是積極投入量子電腦技術和量子加密技術的研發，而臺灣也有學者在這個領域頗有成績，如清大前瞻量子科技研究中心團隊在2019年就成功實現了戶外量子加密通訊測試。科技部從2018年開始積極補助量子技術研究，2020年更組成量子國家隊，計畫在5年內投入80億元建立量子科技共同研究平臺，在業界如鴻海也積極將量子電腦視為重要研究項目。</p> <p>我曾在國外年會中，親眼看過量子電腦展示實機，金黃閃亮的巨大設備，一點都不像是企業機房內不起眼的伺服器主機。對我來說，量子電腦就像是實驗室中的未來科技一樣，那是科技巨頭的世界，不是現在企業手上可用的技術。我帶著獵奇的眼光，來看待這項技術，這應該也是不少企業，尤其是中小企業主的感受。不是量子電腦技術不重要，而是沒有今日的迫切性。</p> <p>但Dave這一席話，提醒了一個關鍵，「今日在網際網路上傳輸的資料，明天可能被解密。」企業的機密，可能在量子電腦真的實現之後，完全曝光。</p> <p>雖然許多機密資訊可能有期限，過了再曝光也不會造成太大的影響，但企業手上總有一些機敏資料，需要10年、20年，甚至最好是一輩子的保護期限，例如像是指紋這類生物特徵資料，一輩子都不會改變，曝光了就可能遭濫用。越晚採取行動，就會越快面臨到被解密的風險。</p> <p>當越來越多應用上雲，各式各樣在雲端流動的資料全靠加密技術來確保，一想到日後都有被解密的可能性，難怪引起AWS等雲端巨頭高度關注，不得不趁早投入量子技術的研發。</p> <p>AWS在2020年會時就宣布開始打造雲端後量子加密技術，當時他們評估，雖然AES、SHA2、SHA3等加密技術都難以徹底杜絕量子運算的破解，但仍舊有一定程度的抵抗能力，不會那麼快遭到破解。</p> <p>因此，AWS先從TLS加密達到AES-256加密技術開始發展，2021年陸續擴大到KMS金鑰服務、SSH、VPN、MACsec等都考慮整合後量子加密的技術。這正是為何經過了一年，在2021年底時，他們終於可以宣布，對外實體連線傳輸，都可以達到具有量子安全加密等級的保護能力。</p> <p>當然，AES-256加密也不是什麼新功能，多數雲端業者已有不少服務或功能，都可以支援或也同樣預設採用到這種等級的加密。</p> <p>但AWS的發布，點出了量子抵抗思維對網路傳輸風險的迫切性，而且要考慮到每一個環節是否都具備了同樣的抵抗水準，就像資安的強度是最弱的那一個環節，量子抵抗技術的風險，也是出現在加密強度最弱的一環，可能是某一隻開放外部存取的AP，或是哪一臺對外連線的網路設備。</p> <p>從這一刻開始，我不再將量子電腦視為未來技術，而是一種現在就需要關注的技術，就算無法非常熟悉它，也要了解其能耐和可能帶來的威嚇能力，才能建立正確的量子抵抗思維，因為，這已經是企業必須認真以對的技術現在進行式。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6">量子電腦</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E9%87%8F%E5%AD%90%E5%8A%A0%E5%AF%86">後量子加密</a></div><div class="field-item odd"><a href="/tags/%E9%87%8F%E5%AD%90%E6%8A%B5%E6%8A%97">量子抵抗</a></div><div class="field-item even"><a href="/tags/%E9%87%8F%E5%AD%90%E9%81%8B%E7%AE%97">量子運算</a></div><div class="field-item odd"><a href="/tags/%E5%8A%A0%E5%AF%86%E6%8A%80%E8%A1%93">加密技術</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2022/1/10 16:11作者王宏仁https://www.ithome.com.tw/voice/148808
密碼學家Moxie Marlinspike眼中的Web3：依舊需要仰賴中心化的分散式網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148558" target="_blank">繼Twitter創辦人Jack Dorsey及特斯拉創辦人Elon Musk之後</a>，近日再度出現了另一名懷疑Web3的科技人，他是個密碼學家，也是加密傳訊程式Signal的創辦人Moxie Marlinspike，<a href="https://moxie.org/2022/01/07/web3-first-impressions.html" target="_blank">Marlinspike自行打造了兩款dApp來測試Web3</a>，發現應該將任何事物去中心化的Web3，實際上仍需仰賴中心化的平臺，也許只是個比Web2還缺乏隱私的協定。</p> <p>Marlinspike未曾對外透露過自己的生日，外界僅知他出生於1980年代早期，他在2010年共同創辦了企業行動安全公司 Whisper Systems，並推出端對端加密的兩個傳訊程式，在Twitter於2011年收購Whisper Systems之後，他成為Twitter的資安負責人，之後在2014年創辦了端對端加密傳訊程式Signal，所開發的Signal協定成為Signal、WhatsApp、Facebook Messenger與Skype所使用的端對端加密協定。</p> <p>身為密碼學專家，Marlinspike說自己並沒有特別喜歡加密貨幣，雖然不至於要加密貨幣「滾出自家的草皮」，但對加密貨幣的興趣頂多止於相關的迷因，更遑論近日興起的非同質化代幣（Non-Fungible Token，NFT），儘管他尚未成為Web3的信徒，卻決定展開探索，目的是為了看看自己錯過了什麼。</p> <p>Marlinspike認為現階段Web3的定義仍是模糊的，一般的理論是Web1是去中心化的，Web2是把所有事物都變成中心化的平臺，而Web3則是再度把所有的事物去中心化，因此，Web3理應帶來的是去中心化且更為豐富的Web2。</p> <p>不過，Marlinspike發現，標榜去中心化的Web3依舊仰賴中心化的平臺。</p> <p>Web2興起的原因很簡單，一是人們永遠不會想經營自己的伺服器，所以才會有中心化的平臺現身，二是協定的建立速度通常遠遠落後於平臺的建立，例如已發展超過30年的電子郵件協定仍未加密，但WhatsApp在一年內就從未加密發展至端對端加密。Marlinspike指出，假設某個事物是真正的去中心化，它將會非常難以改變，這對技術帶來了問題，因為該生態體系的其它部份都在快速變遷，唯獨技術無法，於是將這些協定中心化，並快速迭代成為Web2的解方。</p> <p>為了進一步了解去中心化的Web3，Marlinspike打造了Autonomous Art與First Derivative兩款分散式程式（dApp），這兩個程式仍是透過一般的網站與使用者互動，而其分散式指的是它的狀態及更新權限位於區塊鏈上、而非中心化的資料庫。</p> <p>其中，<a href="https://autonomous.graphics/" target="_blank">Autonomous Art</a>讓每個人都能夠藉由變更同一幅圖來鑄造NFT代幣，由於這是一個協作的NFT作品，先前的每個貢獻者都能取得分潤，鑄造的成本也會愈來愈高，上線3天就吸引了逾600名貢獻者，創作費用已超過465個以太幣（146萬美元）。至於<a href="https://firstderivative.market/" target="_blank">First Derivative</a>則是一個用來尋找及蒐集NFT衍生品的工具。</p> <p>Marlinspike表示，對於加密貨幣的世界他一向有個疑惑，亦即缺乏對客戶端/伺服器端介面的關注，人們所討論的區塊鏈網路圖全都圍繞著伺服器之間的信任模式，並無納入行動設備或瀏覽器，於是現在只能透過一個於伺服器上運作的某個節點與區塊鏈互動。</p> <p>由於人們並不想自己運作伺服器，新興的企業應運而生，它們銷售可存取以太坊（Ethereum）節點的API服務，而且這些服務是建置在以太坊預設的各種API上，目前幾乎所有的dApp都是透過 Infura或Alchemy 服務與區塊鏈互動，然而，這些客戶端的API並未使用任何方式來驗證區塊鏈狀態或回應的真實性，這令Marlinspike感到訝異。</p> <p>一般而言，NFT並未把資料存放於區塊鏈上，因為這樣的成本太高，這些NFTs通常只是含有一個指向資料的URL，而且相關的標準並未要求存放在URL上的資料必須雜湊。</p> <p>Marlinspike指出，這意味著只要能夠存取該機器、在未來買下該網域名稱，或者是駭進該機器，任何人都得以變更NFT的圖像、名稱或描述，因為NFT並沒有任何一個可確認該圖像內容，或是讓人們可用來證實那是否為正確圖像的規格。</p> <p>為了驗證自己的看法，Marlinspike打造了一個得以根據用戶IP或User Agent而呈現不同圖像的NFT，它在OpenSea上是一個樣子，在Rarible上又是另一個樣子，不過，當使用者買了它，再於加密貨幣錢包中檢視它時，它永遠呈現一個大型的「大便圖示」，由於這是NFT規格的建置方式，因此不只是Marlinspike所設計的NFT，有許多高價的NFT在錢包中顯示時也只會出現大便圖示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-Moxie%20Marlinspike%20nft.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Moxie Marlinspike</span></p> <p>有趣的是，OpenSea幾天後在毫無預先警告的狀態下，就移除了Marlinspike所上傳的NFT，理由是它違反了該平臺的使用條款，不過Marlinspike並未找到任何有關於禁止變更NFT所見圖像的OpenSea條款；不僅如此，當OpenSea移除了該NFT之後，該NFT也從Marlinspike的加密貨幣錢包中消失。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/nft-removed%5B1%5D.png" style="width: 362px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Moxie Marlinspike</span></p> <p>Marlinspike表示，該NFT應該還是存在於區塊鏈上的某處，只是因為加密貨幣錢包使用了OpenSea API來顯示NFT，因而當OpenSea移除了相關NFT之後，錢包內的NFT也跟著不見。一旦一個分散式系統為了方便而聚集在同一個平臺，那麼它便集結了中心化的控制以及分散式的困境等兩大缺點。</p> <p>對於Web3，Marlinspike不認為它目前的方向能將人們自中心化平臺中解放，也不認為它會改變人們與科技的關係，且相信其隱私已經低於網路低標，但他非常能夠理解為何有許多像他這樣的怪咖會趨之若鶩，Web3所帶來的創意與探索的空間猶如網路時代的早期。</p> <p>儘管Marlinspike探究了現有Web3的不足，還說倘若OpenSea移除了Web3的元素將會變得更快也更便宜，但這股基於加密貨幣的淘金熱可能已無法阻擋，市場的力道將會推動它繼續前進，假設是這樣，那麼最值得思考的事情之一，將是如何避免Web3發展成更不具備隱私能力的Web2。</p> </div></div></div>
2022/1/10 13:11作者陳曉莉https://www.ithome.com.tw/news/148804
Norton 360、Avira在用戶電腦安裝挖礦軟體惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名防毒軟體Norton 360及Avira的用戶分別發現，他們電腦中的防毒軟體會主動安裝挖礦軟體。</p> <p><a href="https://krebsonsecurity.com/2022/01/norton-360-now-comes-with-a-cryptominer/" target="_blank">資安部落格Krebs On Security報導</a>，Norton 360的挖礦功能遭用戶抱怨未經告知、擅自安裝挖礦軟體。</p> <p>2019年博通買下賽門鐵克及企業安全產品後，剩下的家用防毒產品Norton 360及個人身份安全LifeLock部門就改名為NortonLifeLock公司。<a href="https://www.ithome.com.tw/news/144823" target="_blank">去年這家廠商宣布</a>要在防毒產品外，加入開採加密貨幣以太幣的功能。該公司宣稱與其消費者下載來路不明的挖礦軟體，使用他們的挖礦軟體更為安全。用戶可將挖到的以太幣儲存在Norton Crypto電子錢包，而依據消費者挖礦所得，NortonLifeLock將收取15%的費用。</p> <p><a href="https://community.norton.com/en/forums/faq-norton-crypto" target="_blank">根據NortonLifeLock FAQ網頁</a>，這項功能是選擇同意(opt-in)，唯有用戶同意才會啟用，若用戶啟用Norton Crypto後不再使用這功能，也可以將之關閉。</p> <p>但用戶抱怨並非如此，<a href="https://www.digitaltrends.com/computing/no-easy-way-to-uninstall-norton-crypto/" target="_blank">有報導指出用戶根本沒有辦法退出這個選項</a>，使用者必須找到NCrypt.exe加以移除才能防止電腦被用來挖礦。<a href="https://community.norton.com/en/comment/8518793#comment-8518793" target="_blank">另一名用戶則抱怨</a>啟用挖礦功能時電腦可以跑，反而暫停這功能導致整臺電腦當機。</p> <p>事實上，被當成挖礦收益來源還不只Norton 360。<a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/" target="_blank">Krebs on Security報導</a>，NortonLifelock於2020年12月、以3.6億美元收購的德國防毒軟體業者Avira，今年開始也主動在用戶電腦安裝挖礦服務Avira Crypto，這項服務也是挖以太幣(Ethereum)。和Norton360一樣，Avira會主動安裝挖礦軟體在用戶電腦，不過用戶必須選擇加入才會啟用。</p> <p>一如Norton 360，啟用後用戶可以透過防毒軟體Avira Security for Windows介面來管理電子錢包，也可以由Avira帳號將開採到的加密貨幣轉到Coinbase平臺上。NortonLifeLock強調加入Avira的採礦池會比單獨挖礦賺得多，鼓勵用戶加入他們。不過該公司並未說明這裏的分帳比例，也沒說啟用後要怎麼關閉挖礦功能。</p> <p>用戶及業界對NortonLifeLock轉向挖礦的策略顯然不贊同。今天走這旁門左道安裝挖礦軟體，難保日後不會安裝殭屍網路程式。<a href="https://twitter.com/VickerySec/status/1478937736325197824" target="_blank">安全專家Chris Vickery則直指挖礦是加速能源耗用</a>，用戶耗電會大於賺到的利潤，這公司為獲利犠牲用戶，是一種齷齪、令人反感的品牌自殺行為。</p> <p>挖礦已造成某些供電不足的國家發生能源危機，<a href="https://www.ithome.com.tw/news/148760" target="_blank">東歐科索沃、伊朗等國家宣布禁止挖礦</a>。而北歐的瑞典能源部長也在去年11月呼籲應禁止高耗電的挖礦活動。</p> </div></div></div>
2022/1/10 12:37作者陳曉莉https://www.ithome.com.tw/news/148803
可俘虜數十億臺系統與設備！超級資安漏洞風暴正在席捲全球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情的陰影之下，全球好不容易才辛苦度過2021年，然而，在歲末年終、大家準備過節之際，一個被許多資安專家稱為「10年來最嚴重的漏洞」公開揭露，打亂了所有IT人員與資安人員的工作步調。</p> <p><span style="font-size:28px;"><strong>資安界最難熬的12月！Log4j幾乎週週都在發布漏洞與修補版本</strong></span></p> <p>這個震撼全球的資安漏洞稱為Log4Shell，存在一款常用的Java程式庫軟體套件Log4j之中。基本上，Log4j可用於資料的記錄（Logging），目前已有多達數百萬種Java應用系統採行，而在12月7日Apache軟體基金會釋出的2.15.0版中，因為修正並揭露具有高度風險的遠端程式碼執行漏洞，編號是CVE-2021-44228，嚴重等級達到CVSS 10分、屬於高度風險的弱點，引發軒然大波，而這也是當時Log4Shell為人所知的部分。</p> <p>該漏洞影響的Log4j2軟體版本，主要是的2.0-beta9版到2.12.1版，以及2.13.0版到2.15.0版，問題就出在：用於傳遞組態、記錄訊息、參數的JNDI（Java Naming and Directory Interface），因為，這個目錄服務功能API，實際上，無法抵禦攻擊者控制的LDAP端點與其他JNDI端點的存取，只要攻擊者能控制記錄訊息或記錄訊息的參數，當訊息查詢代替機制（message lookup substitution）啟用時，對方就能從LDAP伺服器執行任意的程式碼，而在Log4j2的2.15.0版預設會停用這樣的行為，等到2.16.0版推出之際，會把該功能完全移除。而在Apache Logging Services的專案當中，會受到此弱點影響的部分是log4j-core，也就是Apache Log4j實作本身。</p> <p>時隔兩週，在12月14日這天，Apache軟體基金會發布Log4j2的2.16.0版（適用Java8），以及2.12.2版（適用Java7），當中修正並揭露新的資安漏洞，也就是CVE-2021-45046，嚴重等級達到CVSS 9分的程度，屬於高度風險的弱點，但尷尬的是，此弱點源自推出不久的2.15.0版，因CVE-2021-44228修補不足所致，簡而言之，是指在特定的非預設組態上，未經完整處理──當系統的記錄組態使用非預設模式的呈現，進行$${ctx:loginId}這類前後文查詢方式時，攻擊者可透過執行緒前後文圖解（Thread Context Map）輸入資料的控制，並運用JNDI Lookup查詢的模式來變造惡意輸入資料，導致某些環境允許資訊外洩與遠端程式碼執行，以及所有環境容許就地程式碼執行的狀況，而且，這樣的遠端程式碼執行活動，已在MacOS、Fedora等多種作業系統證明可行。</p> <p>過了三天（12月18日），Apache軟體基金會再度發布Log4j2的2.17.0版（適用Java8）、2.12.3版（適用Java7）、2.3.1版（適用Java6），修正並揭露新的資安漏洞CVE-2021-45105，嚴重等級達到CVSS 5.9分的程度、屬於中度風險的弱點，影響的Log4j2版本涵蓋2.0-alpha1版到2.16.0版（不包含2.12.3），問題在於執行自我參照查詢時，若出現非控制型遞迴處理的狀況，無法提供保護。</p> <p>當系統的記錄組態運用非預設模式的呈現，進行$${ctx:loginId}這類前後文查詢方式時，攻擊者可透過執行緒前後文圖解（Thread Context Map）輸入資料的控制，來變造內含遞迴式查詢請求的惡意輸入資料，結果將導致出現堆疊意外的錯誤狀況（StackOverflowError）而中止整個執行流程，也就是所謂的阻斷式攻擊（DoS）。</p> <p>到了12月29日，Apache軟體基金釋出Log4j2的2.17.1版（適用Java8）、2.12.4版（適用Java7）、2.3.2版（適用Java6），修正並揭露新的資安漏洞CVE-2021- 44832，嚴重等級達到CVSS 6.6分的程度、屬於中度風險的弱點，影響的Log4j2版本涵蓋2.0-alpha7版到2.17.0版（不包含2.12.4版與2.3.2版）。</p> <p>這個漏洞也是與遠端程式碼執行有關的弱點，獲得修改系統記錄的組態檔案許可的攻擊者，可運用JDBC Appender這個能將事件記錄送進資料庫的API，搭配可執行遠端程式碼的JNDI統一資源標識符（URI）的資料來源參考，進而組建出惡意組態。而修正這問題的方式，是到Java協定當中去限制JNDI資料來源名稱，目前Log4j2 2.17.1版、2.12.4版、2.3.2版均支援上述作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-Wiz%20Log4j%20how%20it%20works%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWiz.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Wiz</span><br /><strong>Log4Shell漏洞的嚴重性在於，任何知道濫用手法的人士均可觸發這樣的反應，而且更可怕的是，能夠穿透現行的網路邊界防禦機制，進到內部網路環境，將各種惡意軟體植入多種採用Log4j有漏洞版本的系統設備之中。</strong></span></p> <p><span style="font-size:28px;"><strong>完成修補比例並不理想，很多人至今仍在下載與使用有弱點的版本</strong></span></p> <p>關於Log4Shell漏洞的威脅影響範圍，在2021年12月中與下半，已陸續有多家資安廠商提出他們的觀察。</p> <p>以趨勢科技為例，他們表示，雖然僅有7％的用戶受到影響，但他們分散在不同地區──歐洲占26％，美洲占33％，日本占16％，歐洲中東及非洲占25％；若以國家來區分，該公司在美國受到影響的用戶數量最多，有5,069個，其次是日本，有4,223個用戶；若以產業來區分，趨勢科技受到此漏洞影響的用戶數量，依序為政府機關（1,950個）、零售業（1,537個）、製造業（1,507個）。</p> <p>另一家資安廠商Wiz則與安永會計師事務所合作，他們在Log4Shell漏洞相關消息爆發10天之後（12月20日），分析200個企業雲端環境與數千個雲端帳戶的使用狀況，結果發現：有高達93％的雲端環境都處於有風險狀態，平均而言，僅有45％修補了這個漏洞，</p> <p>而就不同產業的Log4Shell漏洞修補狀況而言，所有人公認的資安模範生：金融業，表現最好，修補率達到50％，其次是醫療照護產業、軟體業，修補率均為46％，接著是媒體與娛樂產業，以及零售業，修補率各為43％與41％，墊底的是製造業，僅有34％完成修補。</p> <p>值得注意的是，這個比例只分析到雲端環境，若再加上內部網路、企業自行管理的環境，未修補Log4Shell漏洞與存在相關資安風險的比例，勢必會更高。</p> <p>另一個Log4Shell影響範圍可參考的數據，則源於掌管開放原始碼軟體元件儲存庫Maven Central Repository的資安廠商Sonatype。根據他們的統計，以Log4j / log4j-core的下載量而言，在2021年8月到11月這4個月期間，合計超過2.86億次，若單看11月，下載量達到710萬，屬於相當受到用戶歡迎的套件。</p> <p>同時，有將近7千個開放原始碼軟體專案存在著Log4j的相依性，這個套件已成為許多應用系統程式碼常見的部分，就連登陸火星的機智號無人探測直升機，都使用它作為系統建構模塊的一部分。</p> <p>而在Log4j有無漏洞版本的下載數量與比例上，截至12月14日為止，下載當時Log4j最新版（log4j-core:2.15.0）的累積數量已超過63.3萬次，然而，相較於下載有漏洞版本的數量，已下載無漏洞版本的數量比例僅達到36.5％。</p> <p>另外，根據Sonatype設立的Log4j下載狀態儀表板來看，全球下載Log4j有漏洞版本（log4j-core:2.15.0之前版本）的比例，從12月10日到1月5日為止，的確呈現開始下降的趨勢，但仍在3到4成之間擺盪。不過，令人擔憂的是，從12月下半到1月初，臺灣持續成為下載Log4j有漏洞版本比例最高的國家地區，雖然12月30日曾降至8成以下，但1月3日竟飆到93.75％，而且，臺灣下載Log4j無漏洞版本（log4j-core:2.15.0之後版本）的比例，至今仍無法突破30％，明顯遠低於世界各國的水準。</p> <p>雖然下載軟體套件的行為，不能完全等同於必定使用，但還是有一定的關聯性，畢竟若不需要使用這樣的套件，自然就不會引發後續下載的動作，因此，臺灣面臨的Log4j資安風險程度，的確有可能遠高於其他國家。</p> <p>為印證臺灣的狀況是否真如Sonatype統計所呈現的凶險，我們找上另一家開放原始碼軟體資安廠商WhiteSource代理商叡揚資訊，他們在12月10日到17日之間，對既有用戶進行了相關調查。</p> <p>結果顯示，他們的用戶絕大部分都在用Log4j，以產業來看，金融業、科技與製造業、電信業，全都是100％，政府機構與財團法人是95％，而未使用的用戶，主要是因為本身採用.NET或非Java的程式語言來進行軟體開發。而這些用戶採行的Log4j版本上，使用1.2.x版的比例超過97％，1.x版與2.x版均使用的也超過六成。</p> <p>值得一提的是，叡揚這份調查也特別針對用戶採行有漏洞Log4j版本的數量，進行了統計，突顯各個產業所面臨的漏洞管理作業規模差異。</p> <p>在政府與法人機構，以及科技與製造等領域與產業的用戶當中，叡揚表示，使用1到3個Log4j有漏洞版本的用戶比例均為86％，使用7到9個有漏洞版本的比例都是14％。</p> <p>若就他們的金融業用戶（包括銀行、證券、保險等公司）而言，目前採行10個以上Log4j有漏洞版本的用戶單位，竟高達一半，使用1到3個有漏洞版本為24％，使用4到6個有漏洞版本與使用7到9個有漏洞版本的比例，均為13％，顯然在因應Log4j的資安風險上，金融業勢必要投入更龐大的資源和心力進行檢整，否則有可能會因此出現更多防護破口，而讓駭客與惡意軟體有機可乘。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-log4j-chart-2022-01-03%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Sonatype.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Sonatype</span><br /><strong>從下載具有漏洞Log4j版本的數量，可推測全球各地面臨Log4Shell漏洞的風險程度，掌管開放原始碼軟體元件儲存庫Maven Central Repository的資安廠商Sonatype也每天持續公布相關數據，希望能夠讓更多人了解全世界下載Log4j有無漏洞版本的最新統計。不幸的是，臺灣這個彈丸之地在下載安全性不足版本的數量比例上，竟然連續好幾週都位居世界第一，在2022年1月3日甚至還超過90％，顯見臺灣對於Log4Shell漏洞危險性的認知，不僅處於嚴重不足的狀態，而且還遠遠落在其他國家之後。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-status-600.png" style="width: 531px;" /></p> <p><span style="font-size:28px;"><strong>濫用漏洞的行為數量激增，駭客與惡意軟體攻擊已經展開實際行動</strong></span></p> <p>在Log4j推出改版，以及接連揭露資安漏洞之後，除了從這個軟體使用方式與普及度來探討其風險與涵蓋範圍，很多人更想知道的是：實際濫用這漏洞的攻擊行動出現了嗎？數量與規模有多大？</p> <p>根據資安廠商Check Point在12月中發布的觀察分析結果來看，已出現大量尋找具有Log4Shell漏洞的系統的存取活動，累積次數超過430萬，而縱觀全球各地的企業內部網路環境當中，已有超過48％的比例，出現試圖濫用這個漏洞的行為。</p> <p>若從各地區細分，他們表示，澳洲與紐西蘭、歐洲的內部網路，受此漏洞影響比例均超過50％，其次是南美洲、非洲，都逼近5成，北美洲與亞洲則低於全球平均（48.3％），但也有44％以上。</p> <p>以產業而言，受此漏洞影響的多種領域內部網路比例，都超過一半，例如，教育與研究機構最高，逼近6成；其次是網路服務與代管服務業者，以及系統整合廠商、加值服務商、經銷商，都是57.4％；接著是金融與銀行，有53％受影響；至於政府與軍事單位，則是50.2％。</p> <p>而在嘗試濫用Log4Shell漏洞的攻擊活動數量上，Check Point也在12月初Log4j 2.15.0推出的幾天後，公布他們所觀察到的暴增現象。</p> <p>起初在12月10日，他們只看到幾千個攻擊，但隔天增至4萬以上，在最初爆發大量攻擊24小時之後（12月11日），濫用漏洞的攻擊暴漲至近20萬個，到了12月13日，也就是攻擊爆發後的72小時，已出現高達83萬個攻擊活動。關於這樣的發展態勢，資安廠商Palo Alto Networks也有類似發現：在12月5日出現濫用Log4Shell漏洞的攻擊，之後幾天攻擊數量緩慢增加，但到了12月10日以後開始暴增，11日突破1萬個，12日達到2萬個以上。</p> <p>除了這類攻擊數量激增，另一個同時期發生的狀況，則是濫用Log4Shell漏洞的方式很快產生了大量變異。Check Point表示，在原始的Log4Shell漏洞濫用方式出現後的24小時之內，已衍生出超過60種的變異濫用方式。</p> <p>而在實際事故的部分，在12月14日，Check Point發現，有5個國家出現加密貨幣挖礦團體嘗試濫用Log4Shell漏洞，而形成了網路攻擊；隔日，他們通報伊朗駭客團體Charming Kitten（APT 35）在過去24小時內曾試圖濫用Log4Shell漏洞，並鎖定以色列政府與商業領域的7個目標發動攻擊。</p> <p>關於試圖濫用Log4Shell漏洞的活動大增，資安廠商Sophos也有相關發現。在12月9日到12日之間，他們偵測到數十萬次利用此弱點從事遠端執行程式碼的活動──它們會進行弱點掃描、弱點濫用測試，並企圖在這些系統安裝加密貨幣挖礦程式，有些會試著從中擷取有價值的資訊，像是AWS公有雲服務的用戶金鑰與私密資料。</p> <p>在此同時，身兼系統、雲服務、資安等多重廠商身分的微軟，也有類似發現。他們表示，此類攻擊不只會趁機安裝挖礦程式，還會運用滲透測試軟體框架Cobalt Strike竊取帳號密碼、進行橫向移動，並且從受害系統中擷取資料。</p> <p>目前還有哪些惡意軟體打算趁火打劫呢？資安業者Lacework發現一些攻擊正利用這個漏洞，來散播殭屍網路程式Mirai與挖礦程式Kinsing。另一家資安廠商Bitdefender也偵測到這類型網路威脅活動的現象，出現多種濫用Log4Shell漏洞的惡意軟體，像是：殭屍網路程式Muhstik、挖礦程式XMRIG、勒索軟體Khonsari、木馬程式Orcus。</p> <p>至於針對內含有漏洞Log4j版本的IT系統所發起的攻擊活動，在12月29日也被揭露。根據資安廠商CrowdStrike的發現，有個專攻產業間諜與情報領域的中國駭客團體Aquatic Panda，攻擊一個大型學術機構，他們研判，之所以能侵入，破口可能是內含有漏洞Log4j版本的VMware Horizon系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-Armis%20Device%20Type%20image-8%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Armis%20-%20%E8%A4%87%E8%A3%BD.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Armis</span><br /><strong>關於Log4Shell漏洞濫用攻擊鎖定的設備類型，根據資安業者Armis在2021年12月26日的統計，有一半都是虛擬機器，其次是伺服器，有38％，合計就占了88％，但許多類型的設備也都被鎖定，像是個人電腦、手機、網路視訊攝影機、印表機、網路電話設備（VoIP），甚至還有影像儲存通訊系統（PACS）、SCADA伺服器、HMI控制面板，雖然比例很低，但由於Log4j普及度高，很難說這些嵌入式設備未使用這個元件，若不幸內含，也難以修補。</strong></span></p> <p class="rtecenter"><span style="font-size:36px;"><span style="color:#3399ff;"><strong>Log4Shell漏洞濫用的運作原理</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fastly%20flow-1%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FFastly.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fastly</span></span></p> <p><strong><span style="color:#696969;">為何Log4Shell會是高風險的漏洞？網路上已有許多相關的圖解，我們特別選了資安廠商Fastly公司繪製的運作流程，比較能看到技術細節，而在臺灣也有人將這部分內容解說，拍成了YouTube影片，有興趣進一步了解相關內容的人，可到「</span><a href="https://www.youtube.com/playlist?list=PLRsxxUOc_D6h9aQx8SnkYvHFtzOlf4f9B" target="_blank"><span style="color:#696969;">育正葛葛的資安遊樂場</span></a><span style="color:#696969;">」這個頻道去看看。</span></strong></p> <p><span style="color:#696969;"><strong>根據Fastly公司的解釋，在執行這類手法時，分成兩個階段：攻擊者在初期先將jndi:字串置入User-Agent HTTP標頭，隨之而來的統一資源標識符（URI）能夠存取次要的酬載，而且，這個酬載能可用來執行各種命令。</strong></span></p> <p><span style="color:#696969;"><strong>具有漏洞的Log4j系統，會去執行包含這段URI的LDAP查詢，在這之後，LDAP伺服器會對這個Log4j系統回應目錄服務的相關資訊，同時，這當中也包含了次要酬載的網址連結，以及javaFactory與javaCodeBase等屬性的數值，可用於建立包含Java類別的物件位置，以便重新呈現最終酬載，接著，Log4j系統會將這個Java類別載入記憶體，並且執行，最終完成整個程式碼執行過程。</strong></span></p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導</span></span></a><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color:#3399ff;"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/1/10 10:21作者李宗翰https://www.ithome.com.tw/news/148753
收到以感謝函及防疫指引等名義附贈USB的包裹要提高警覺，FBI警告BadUSB攻擊再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有人寄包裹到公司，請提高警覺。<a href="https://edition.cnn.com/2022/01/07/politics/fbi-usb-hackers-warning/index.html" target="_blank">CNN</a>、<a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/" target="_blank">Bleeping Computer</a>上周分別報導，美國聯邦調查局（FBI）上周發出警告，駭客組織近日假藉感謝函寄送USB磁碟給美國企業，以散布木馬、後門及勒索等惡意軟體。</p> <p>報導指出，去年8月起陸續有運輸、保險業及國防工業廠商，接到駭客透過快遞業者UPS或美國郵局寄送內含惡意USB拇指碟的實體包裹。這些包裹宣稱是由美國衛生服務部（US Department of Human Health Services）發出，內有冒充HHS寄發的COVID-19指引文件及「LilyGO」標誌的USB拇指碟。有的包裹則冒充Amazon送上相同的USB拇指碟，並以感謝信函及偽造禮品卡降低用戶戒心。</p> <p>若用戶將這些USB磁碟插入電腦，就會遭到BadUSB攻擊。BadUSB攻擊之下，USB拇指碟會將自己註冊為鍵盤，並在用戶電腦送入預先設置的鍵擊組合。這些鍵擊組合可執行PowerShell指令，在用戶電腦下載安裝後門程式GRIFFON、木馬程式DICELOADER、Carbanak後門、勒索軟體BlackMatter、REvil或Cobalt Strike、Metasploit等程式。</p> <p>FBI指出，發動這樁攻擊的是稍早宣布解散的BlackMatter、Darkside行動背後的FIN7，又稱Carbanak 或Navigator Group。美國警方已經觀察到已有駭客藉此取得企業管理員帳密及在內部網路橫向移動。至於這波攻擊的受害企業數量，FBI並未公布。</p> <p class="rtecenter"><img alt="" src="https://npercoco.typepad.com/.a/6a0133f264aa62970b0240a5124870200b-800wi" style="text-align: center; width: 250px;" /></p> <p>事實上，這是FIN7重施故技。<a href="https://www.fbi.gov/contact-us/field-offices/seattle/news/stories/how-cyber-crime-group-fin7-attacked-and-stole-data-from-hundreds-of-us-companies" target="_blank">2018年8月FBI也曾控告FIN7</a>入侵全美企業包括零售、線上遊戲及醫院，以竊取1500多萬客戶信用卡資料及個資，受害企業多達3,600多家，遍布47州及哥倫比亞特區。據信FIN7也是以寄送USB作為攻擊手段。<a href="https://www.ithome.com.tw/news/136652" target="_blank">2020年安全廠商Trustwave則發現</a>另一個駭客組織偽裝成Best Buy的包裹，以50美元禮券及BadUSB手法攻擊消費用戶（如上圖所示，圖片來源／Trustwave）。</p> </div></div></div>
2022/1/10 11:03作者林妍溱https://www.ithome.com.tw/news/148786
BigQuery現在原生支援半結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布開始在其雲端資料倉儲<a href="https://cloud.google.com/blog/products/data-analytics/bigquery-now-natively-supports-semi-structured-data">BigQuery，支援原生JSON資料類型</a>，而這項新功能讓用戶可以在BigQuery中，儲存和分析半結構化資料。官方提到，透過支援新的JSON儲存類型，以及進階功能，諸如JSON點記法（Dot Notation）、適應性資料類型變更、新的JSON函式，以及半結構化資料，BigQuery用起來更直覺，用戶能以原生格式進行查詢。</p> <p>建構資料工作管線，需要考量許多面向，包括資料擷取來源，或是應用程式要以批次或是串流方式使用資料，以及表格設計的方式等，Google解釋，因為這些配置通常需要在建置資料工作管線之前決定，所以當後來不敷使用時，常需要花費高昂成本，或是繁瑣地過程進行修改。</p> <p>為了處理這類事件，用戶過去需要建構複雜的自動化處理機制，也可能得暫停資料擷取，由人工手動介入，或是將預期之外的資料，寫入到包山包海的字串欄位中，並在後期使用時，對該欄位進行額外解析。但Google提到，這些方法都會增加成本、複雜性，並且降低用戶操作資料的能力。</p> <p>JSON是一種受到廣泛使用的格式，由於不要求架構，因此能夠處理半結構化資料，這使得用戶能獲得更大的靈活度，儲存和查詢非總是遵循固定模式和資料類型的資料。以JSON資料類型擷取半結構化資料，BigQuery可獨立編碼和處理JSON欄位，並且透過點記法單獨查詢JSON資料欄位的數值。</p> <p>因此在BigQuery中，支援半結構化資料，能夠給用戶更大的自由度，並且減少處理相關問題的成本。Google提到，相較於從字串欄位擷取JSON元素，需要處理整個資料區塊，來得有效率許多，更具成本效益，而且即便是現有的資料表，也能應用這項新功能。</p> </div></div></div>
2022/1/10 09:16作者李建興https://www.ithome.com.tw/news/148778
Soli第2？Google、福特、晶片廠商推出雷達手勢控制新標準Ripple
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/132120" target="_blank">2015年推出雷達為基礎的動作感測技術Soli</a>後，Google連同福特汽車、三家晶片大廠等<a href="https://cta.tech/Ripple#hub" target="_blank">宣布新的雷達感測整合API標準Ripple</a>，暗示雷達感測將更整合到手機之外更多裝置。</p> <p>宣布Ripple API標準的聯盟成員包括Google、晶片業者英飛凌（Infeneon）、德儀（TI）、NXP、福特汽車及心肺訊號感測器開發Blumio。<a href="https://github.com/CTA-Ripple" target="_blank">根據Ripple GitHub網頁</a>，Ripple是開放雷達API標準，目的在協助軟、硬體相容及加速通用消費性雷達應用成長。這項技術已經向大眾開源。</p> <p><a href="https://twitter.com/GoogleATAP/status/1479165003076968454" target="_blank">Google先進技術專案事業群（GTAP）工程與技術專案總監Ivan Poupyrev指出</a>，Ripple將釋放造福所有人的科技創新，通用型雷達是以保護隱私實現關鍵使用情境的重要新興技術。</p> <p>雖然宣布Ripple技術的是CTA（Consumer Technology Association, CTA）成員廠商，<a href="https://www.theverge.com/2022/1/7/22872972/google-ripple-radar-standard-api-soli-ford" target="_blank">但媒體認為Google才是主要推手</a>。</p> <p>Ripple也令人聯想起Google 的Soli雷達動作感測技術。Soli原理是在晶片上建立小型雷達，曾整合在2019年的<a href="https://www.ithome.com.tw/news/132120" target="_blank">Pixel 4</a>、<a href="https://www.theverge.com/2016/5/20/11720876/google-soli-smart-watch-radar-atap-io-2016" target="_blank">智慧型手錶</a>及<a href="https://www.ithome.com.tw/news/147763" target="_blank">智慧螢幕Nest Hub</a>，可用於手勢指令感測、3D臉部辨識、睡眠狀態偵測。不過Soli感測不夠精確加上未找出關鍵使用情境，新版Pixel手機即未再使用。</p> <p>如果成員持續增加，新的Ripple則可能意謂雷達將可整合到更多裝置，包括汽車。不過<a href="https://www.theverge.com/2022/1/7/22872972/google-ripple-radar-standard-api-soli-ford" target="_blank">The Verge</a>引述福特研究與進階工程部門總監Jim Buczkowski指出，他們還在研究如何利用車內雷達來輔助現有的車外進階雷達，標準化API及半導體業者的參與，可協助他們開發獨立於硬體的軟體方案，並使其軟體部門開發跨越多種雷達平臺的創新。</p> <p>雷達感測優點在於不牽涉影像，更能保障用戶隱私，<a href="https://www.ithome.com.tw/news/145589" target="_blank">美國聯邦通訊委員會文件顯示Amazon可能正在開發以雷達偵測睡眠的裝置</a>。<a href="https://www.ithome.com.tw/news/142083" target="_blank">Business Insider報導</a>代號布拉姆斯（Brahms）的床邊裝置，可以雷達偵測人呼吸時的身體動作，因此可能用於偵測呼吸及睡眠狀態。</p> </div></div></div>
2022/1/10 09:43作者林妍溱https://www.ithome.com.tw/news/148784
波蘭執政黨承認購買Pegasus，但否認用於監控政敵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://www.dw.com/en/poland-top-leader-admits-government-bought-pegasus-spyware/a-60361211" target="_blank">DW</a>、<a href="https://www.politico.eu/article/kaczynski-poland-has-pegasus-but-didnt-use-it-in-the-election-campaign/" target="_blank">Politico</a>等報導，波蘭執政黨承認的確有採購間諜軟體Pegasus，但否認有用來監控反對黨。</p> <p>波蘭執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski在接受該國媒體訪問中承認，政府的確有向以色列軟體公司NSO Group採購Pegasus，並指出如果該國國安組織沒有這種技術是很可悲的事。</p> <p>波蘭政府顯然是回應<a href="https://www.ithome.com.tw/news/148629" target="_blank">上個月加拿大公民實驗室的研究發現</a>。該實驗室發現波蘭反對黨參議員Krzysztof Brejza的手機在2019年參與國會大選時遭駭30多次，遭植入間諜軟體，使其手機通訊內容外流國營電視臺以抹黑報導。反對陣營的律師及檢察官手機也被發現Pegasus蹤跡。</p> <p>得知此事後，Brejza稱三年前的國會選舉不公。2019年執政黨以些微幅度獲勝。</p> <p>Kaczynski強調，政府沒有用Pegasus來監控反對黨，反對黨口中稱執政黨的「政治動機用途」是胡說八道。</p> <p>不過波蘭應不是唯一採購Pegasus的政府。<a href="https://www.ithome.com.tw/news/146621" target="_blank">去年9月報導指出</a>德國警察機關也傳購買了這間諜軟體。</p> <p>NSO Group開發的Pegasus已被發現和多起記者、工會代表、政治家、人權運動及異議人士、美國務院員工及已故華盛頓郵報記者哈紹吉（Jamal Khashoggi）妻子手機遭監控有關。在遭到美國制裁後，<a href="https://www.ithome.com.tw/news/147654" target="_blank">NSO Group傳出</a>尋求出售或直接關閉Pegasus軟體業務。</p> </div></div></div>
2022/1/10 10:09作者林妍溱https://www.ithome.com.tw/news/148785
瑞士軍方禁用所有外來傳訊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/armee.ch/photos/a.556881021446957/1290770491391336/" target="_blank">瑞士軍方在去年12月29日於臉書官方粉絲頁上</a>，公開鼓勵軍人採用當地開發的Threema傳訊程式，因為該程式不會留下數位足跡。而外電則報導，瑞士軍方將禁止軍人使用所有外來的傳訊程式，且已於今年1月1日生效，只是尚無罰則。</p> <p>Threema為一由瑞士業者所開發的端對端加密傳訊程式，而且每年需要支付3.85歐元（4.35美元）的訂閱費用，不過，瑞士官方表示將會替軍人支付相關的訂閱費用。</p> <p>雖然瑞士軍方內部早就以Threema作為機密資訊的傳訊管道，但仍有不少當地軍人使用於瑞士最受歡迎的WhatsApp，或者是Telegram與Signal等其它傳訊程式。不過，<a href="https://www.vtg.admin.ch/de/service/info_trp/sicherheit/cyber-aktuell.html" target="_blank">軍方也曾建議軍人不要使用WhatsApp</a>，還說已有許多企業將WhatsApp列為黑名單，並警告在任何情況下都不應透過手機傳遞機密資訊。</p> <p>根據外電報導，瑞士軍方擔心機密資訊，會經由這些外來的傳訊程式外洩，包括美國在2018年所通過的雲端法案（Cloud Act），此一法案允許美國執法機構向法院申請存取美國業者境外資料的合法權力，而Threema即不受此法管轄。</p> </div></div></div>
2022/1/10 08:47作者陳曉莉https://www.ithome.com.tw/news/148780
Google及Meta因未能輕易讓使用者拒絕Cookie，被法國判處高額罰款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141608" target="_blank">2020年才因為亂丟Cookie追蹤用戶</a>、而被法國資訊主管機關CNIL（Commission nationale de l’informatique et des libertés）判罰1億歐元的Google，本周再因另一個Cookie事件遭CNIL重罰1.5億歐元。</p> <p>CNIL周四（1/6）指出，由於Google.fr、Youtube.com及Facebook.com讓使用者只透過一個按鍵就能接受所有的Cookie，而當使用者要拒絕這些Cookie時，卻需要好幾個按鍵才能拒絕所有的Cookie，此一程序影響了同意自由，違反《法國資料保護法》（French Data Protection Act），因而分別向Google及臉書判處1.5億歐元及6,000萬歐元的罰款。</p> <p>除了罰款之外，CNIL也要求Google及臉書要對使用者同意或拒絕Cookie的動作一視同仁，拒絕得跟同意一樣簡單，以保障用戶的同意自由，而且必須在3個月內履行，每延遲一天就得支付10萬歐元的罰款。</p> </div></div></div>
2022/1/10 09:05作者陳曉莉https://www.ithome.com.tw/news/148783
Amazon發布專業橋接器Sidewalk Bridge Pro，擴大物聯網共享網路Sidewalk覆蓋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon推出<a href="https://www.aboutamazon.com/news/devices/amazon-sidewalk-bridge-pro-offers-professional-grade-connectivity">Amazon Sidewalk Bridge Pro</a>裝置，進一步擴大物聯網網路共享專案Amazon Sidewalk。Amazon在2019年時發表Amazon Sidewalk，讓取得認證的裝置，能以藍牙進行通訊，並且分享彼此的頻寬，在2021年6月時，更在各種裝置中預設啟用Amazon Sidewalk，而現在官方要利用Ring專業級的橋接器Sidewalk Bridge Pro，將物聯網網路擴展至城市公園、大學和商業空間中。</p> <p>Amazon Sidewalk是一個共享網路，利用網狀網路來向支援的裝置提供網路連接。擁有Sidewalk橋接裝置的用戶，可以貢獻少量的Wi-Fi頻寬給其他用戶，以創建一個大型的共享網路。Sidewalk橋接裝置包括既有的Echo裝置、Ring Floodlight與Ring Spotlight戶外監視器，這些裝置使用900 MHz的藍牙頻段來相互溝通。</p> <p>Sidewalk專案使得用戶，無論是在家中、庭院還是鄰里間，都可以獲得物聯網網路覆蓋，追蹤器製造商Tiles也使用該網路，建立類似Apple的Find My網路。官方提到，當智慧裝置位在網路邊緣時，便會因為網路頻寬不穩，使得裝置難以獲得重要功能或是安全更新，而藉由Amazon Sidewalk，就能夠讓裝置向鄰近裝置分享頻寬，使得處在網路邊緣的裝置，得以維持更新狀態。</p> <p>Amazon Sidewalk Bridge Pro能夠進一步擴展Sidewalk，這是一種適用於企業、政府、大學和公共服務的新型專業橋接器，官方提到，該裝置可以解決網路連接受限的問題。Sidewalk Bridge Pro橋接裝置提供更遠的訊號射程以及更大的容量，具有強健的外殼，能夠安裝於戶外，用戶可以選擇使用室內或室外的天線，涵蓋約8公里範圍內的上百臺裝置。</p> <p>官方提到，Sidewalk Bridge Pro能夠讓Sidewalk應用在更多的情境中，包括安裝在商業中心、公園和荒野等地的陽光感測器、空氣品質指示器，以及濕度感測器等。目前Amazon啟動兩個新的試驗專案，分別與亞利桑那州立大學合作，研究智慧城市應用，以及與Thingy共同研究野火防治。</p> </div></div></div>
2022/1/10 09:09作者李建興https://www.ithome.com.tw/news/148775
AWS K8s服務EKS開始支援IPv6
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布，用戶可以在EKS（Elastic Kubernetes Service）上，部署使用IPv6地址空間的應用程式。</p> <p>用戶可以透過使用Kubernetes，來標準化雲端和本地端應用程式基礎設施平臺，而Kubernetes使用平面的網路模型，該模型要求每個Pod都需要使用一個IP地址，AWS提到，這種方法能夠使應用程式，簡單地從虛擬機器搬遷到容器中，但缺點就是要大量的IP地址。</p> <p>部分私有的VPC IPv4網路無法處理如此大量的IP地址需求，管理員便會透過安裝容器網路擴充套件（CNI），在VPC之上建立一個IP地址虛擬層，但該架構限制了管理員觀察和排除應用程式故障的能力，對大規模網路效能產生負面影響。</p> <p>此外，為了與VPC外的網際網路服務相互通訊，來自IPv4 Pod的流量，在到達目的地之前，會透過多個網路跳躍點進行路由，而這會增加延遲，並給需要維護複雜路由配置的網路工程團隊，帶來更大的維護壓力。</p> <p>AWS表示，要避免IP位置耗盡，最大程度減少延遲，以及簡化路由配置，解決方案便是使用IPv6。將EKS叢集結合IPv6網路，主要具有四個優點，第一，用戶可以在單個主機和子網上，執行更多的Pod，而且不會用盡VPC上所有可用的IPv4地址，第二，則是能避免額外的NAT跳躍點，允許本地、AWS和網際網路上執行的其他IPv6服務，進行低延遲通訊。</p> <p>第三則是能降低網路工程師維護複雜路由配置的負擔，Kubernetes叢集管理員也可以專注於搬遷和擴展應用程式，不需要花費精力解決IPv4限制，最後，一旦Pod網路配置完成，Pod便可以在叢集之外，和IPv4應用程式通訊，這讓用戶可以在EKS上獲得IPv6的優勢，但又不需要將組織中部署的所有相關服務搬遷到IPv6。</p> <p>EKS的IPv6地址，同樣由VPC CNI Kubernetes擴充套件配置，該套件會自動依據用戶在創建叢集時，對Pod所做的選擇進行配置，而且用戶也只能在創建叢集時啟用IPv6，目前還無法將叢集從IPv4直接搬遷使用IPv6，用戶想要搬遷現有叢集使用IPv6，便需要將工作負載重新部署到IPv6叢集中，並且逐漸將流量從IPv4轉移到IPv6上。</p> </div></div></div>
2022/1/10 09:12作者李建興https://www.ithome.com.tw/news/148777
與時間賽跑！Log4Shell修補迫在眉睫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年12月至今，Log4Shell漏洞相關事件持續佔據全球資安新聞的版面，甚至有不少軟體開發人員、資安人員，可能無法安心放年假而持續進行各種修補工作。</p> <p>然而，即便Log4Shell漏洞已經鬧得沸沸揚揚，也陸續出現多種惡意軟體與網路攻擊出手開打的消息，然而，還是有許多人並不知道這件事情的嚴重性，雖然有不少身處火線的資安廠商，持續發布、更新相關動態，但還是必須要加把勁宣導，不斷提醒用戶正視這個漏洞，及早著手開始修補，否則屆時攻擊者將如入無人之境，深入企業網路環境與多種IT系統胡作非為。</p> <p>在相關訊息的通報與溝通上，身為臺灣長期報導資安新聞的我們，目前從電子郵件與即時通訊平臺Line，看到部分廠商針對Log4Shell發布漏洞因應的警訊，以及表明自身產品與服務不受影響，有些則是近期由我們與其主動與其聯繫，而得知他們的確持續向用戶宣導此漏洞的嚴重性。</p> <p>以臺灣資安廠商而言，我們看到曜祥網技、中芯數據、台眾電腦，均透過電子郵件說明概況，軟體廠商的部分，我們最近剛好洽詢網擎資訊與鼎新電腦，他們也表明產品不受影響，在自家網站也提出說明，能做到主動資訊揭露是值得稱許的。</p> <p>在國際資安廠商的部分，透過電子郵件傳達相關資訊的業者，我們看到有代理F-Secure的湛揚科技、Sophos、Palo Alto Networks，發出相關的eDM呼籲大家重視這項資安議題，而我們因Log4j與Log4Shell漏洞而與其洽詢的一些廠商，像是：WhiteSource代理商叡揚資訊、Sonatype代理商群鉅整合資安，也提供他們本身的用戶調查數據，以及原廠的統計資訊。而透過Line來發送相關資訊的業者，則是Fortinet。</p> <p>在大型IT廠商的部分，我們也在另一篇系列文章中，整理出9家主要雲端、系統、軟體業者的公開資訊，以有限的篇幅與版面，列出目前已知受影響的各種企業級軟硬體產品與服務項目，希望讓大家仔細去看看，了解Log4Shell漏洞對於整個IT產業的衝擊有多大，以及他們開誠布公揭露目前的狀態。</p> <p>透過這樣的內容呈現，應該有助於促使用戶了解Log4Shell漏洞的嚴重性，並期盼大家不要漠視自己應有的使用權利與售後服務，要求更多廠商積極去追查、公布相關事宜，將處理狀態透明化，如此一來，才有辦法儘快將此漏洞所能造成的資安風險降至最低。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Forescout%20advisor%202022-01-04_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Forescout.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Forescout</span><br /><strong>關於Log4Shell漏洞處理，主打端點系統資安防護的廠商Forescout列出4個處理階段，企業可透過識別、調查、修補、監控來管控有漏洞的系統或設備。</strong></span></p> <p><span style="font-size:28px;"><strong>踏出第一步：盤點具有Log4Shell漏洞的系統與設備</strong></span></p> <p>由於Log4j廣受許多系統與設備採用，光是要進行完整的盤點作業，可能就是一項相當浩大的工程，所幸，在許多人的努力之下，出現許多可用的資源，可供大家運用。</p> <p>例如，在GitHub這個全球知名的程式碼共享的網站服務上，荷蘭國家網路安全中心（NCSC-NL）設立免費掃描工具的資訊專區，網址是<a href="https://github.com/NCSC-NL/log4shell/tree/main/scanning">https://github.com/NCSC-NL/log4shell/tree/main/scanning</a>，當中提供CVE-2021-44228漏洞偵測工具，以及檢查Java應用程式是否使用Log4j2的偵測工具。</p> <p class="rtecenter"><a href="https://github.com/NCSC-NL/log4shell/tree/main/scanning" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-response-NCSC-NL.png" style="width: 600px;" /></a></p> <p>而在商用軟體的部分，選擇就更多了，許多廠商都紛紛強調他們提供免費掃描工具，像是原本就聚焦在開放原始碼軟體安全領域的WhiteSource，以及Sonatype，都釋出相關的資源。</p> <p>以WhiteSource為例，他們在GitHub設置Log4j版本偵測工具Log4jDetect的專區，網址是：<a href="https://github.com/whitesource/log4j-detect-distribution">https://github.com/whitesource/log4j-detect-distribution</a>，可協助盤點應用系統與設備，檢查這當中是否使用有弱點的Log4j版本，並且針對Windows、Linux、Mac平臺，提供可執行的版本。</p> <p class="rtecenter"><a href="https://github.com/whitesource/log4j-detect-distribution" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-response-whitesource.png" style="width: 600px;" /></a></p> <p>Sonatype則是主打他們原本就提供的免費掃描工具，名為Nexus Vulnerability Scanner，但要輸入自身聯絡資訊才能取得，針對Windows、Unix、Mac平臺，提供可執行的版本。</p> <p>而在商用等級的產品上，上述兩個廠牌也都有功能更完整的解決方案。以WhiteSource而言，提供單一代理程式（Unified Agent），能夠檢測200種以上的程式語言。而在盤點完成後，用戶能更快知道各個應用系統使用到的特定套件，節省人力與時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-Sonatype%20remediation%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSonatype.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Sonatype</span><br /><strong>在漏洞修正上，Sonatype提供了三種解決方案，圖中是Nexus Lifecycle，可橫跨多種應用系統，執行log4j-core套件的弱點辨識與修正。</strong></span></p> <p><span style="font-size:28px;"><strong>持續落實全面而徹底的修補作業</strong></span></p> <p>面對廣泛的各種系統與設備，若順利完成漏洞盤點掃描作業，接下來要面對的難題，挑戰可能更大，那就是實際執行漏洞的修補。</p> <p>關於這部份的工作，難度很大，因為需確保系統與設備能夠在修補漏洞之後，還能繼續正常運作，甚至有些狀況還必須特別排定停機時間，才能著手進行，因此，過去以來，很多人在這個關卡可能就放棄了。</p> <p>而在Log4j免費漏洞修補的工具上，目前較少看到有人或廠商提供這樣的解決方案，但還是有特例。例如，WhiteSource同樣在GitHub設立Log4j矯正工具專區，名為log4j-remediations，網址是<a href="https://github.com/whitesource/log4j-remediations">https://github.com/whitesource/log4j-remediations</a>。</p> <p class="rtecenter"><a href="https://github.com/whitesource/log4j-remediations" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A22P-%E5%AE%97%E7%BF%B0-response-whitesource-2.png" style="width: 600px;" /></a></p> <p>而在商用等級的產品當中，我們看到WhiteSource提供的平臺，能夠彙整數十個弱點資料庫，以及開放原始碼軟體資料庫，而該公司也有專門的研究人員，能在各種弱點剛發布修復方式之後，就會立即更新其資料庫，讓開發人員知道怎麼修復。</p> <p>此外，他們的WhiteSource Remediate也提供更多開發流程的整合運用方式，例如，可結合版本控制軟體服務（GitHub），當程式提交至版本控制服務時，可立即觸發漏洞掃描機制，向用戶提示當中搭配的軟體套件有資安弱點，或是有更新版本可選，之後，還可以自動產生拉取請求（Pull Request），用戶能選擇自動更新或手動更新，以便所搭配的軟體套件能保持在最新、最安全的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-WhiteSource%E6%B8%85%E6%9F%A5log4j%E5%BC%B1%E9%BB%9E%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%A1%E6%8F%9A%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／叡揚資訊</span><br /><strong>若不想成為Log4Shell漏洞濫用攻擊的受害者，企業須盡快清查具有Log4j弱點的系統，目前已有多種工具可協助開發者與資安人員盤查，圖中的WhiteSource平臺就是一例。</strong></span></p> <p>除了專攻開放原始碼軟體安全防護的解決方案，企業也可以考慮導入市面上發展已久的弱點管理系統，像是Qualys和Tenable等廠商，他們也有相當成熟的產品可供採用，而且，這些廠牌的系統，已能涵蓋到物聯網、OT等環境。</p> </div></div></div>
2022/1/10 07:00作者李宗翰https://www.ithome.com.tw/news/148754
Log4Shell影響的企業IT解決方案摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span></span></p> <p class="rtecenter"><a href="https://aws.amazon.com/tw/security/security-bulletins/AWS-2021-006/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-AWS(1).png" style="width: 590px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 公告網址 </span></strong></span> <a href="https://aws.amazon.com/tw/security/security-bulletins/AWS-2021-006/" target="_blank"><strong>https://aws.amazon.com/tw/security/security-bulletins/AWS-2021-006/</strong></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 類型 </span></strong></span> <strong>雲端服務</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 解決方案名稱 </span></strong></span></p> <p><strong>Amazon API Gateway、Amazon AppFlow、AWS AppSync、AWS Certificate Manager、Amazon Chime、Amazon Athena、Amazon Cloud Directory、Amazon CloudFront、AWS CloudHSM、Amazon CloudWatch、AWS CodePipeline、AWS CodeBuild、Amazon Cognito、Amazon Connect、Amazon Corretto、Amazon DocumentDB、Amazon DynamoDB、Amazon EC2、Amazon ECS、Amazon EKS、AWS Elastic Beanstalk、Amazon ElastiCache、AWS Elastic Load Balancing、Amazon EMR、Amazon EventBridge、AWS Fargate、Amazon ECR Public / Amazon ECR、Amazon Fraud Detector、AWS Glue、AWS Greengrass、Amazon Inspector / Inspector Classic、AWS IoT SiteWise Edge、Amazon Kendra、Amazon Keyspaces (適用於Apache Cassandra)、Amazon Kinesis / Kinesis Data Analytics / Kinesis Data Streams、AWS Key Management Service(KMS)、AWS Lake Formation、AWS Lambda、Amazon Lex、Amazon Linux、Amazon Lookout for Equipment、Amazon Macie、Amazon Macie Classic、AMS、Amazon Managed Streaming for Apache Kafka (MSK)、Amazon Managed Workflows for Apache Airflow (MWAA)、Amazon MemoryDB for Redis、Amazon Monitron、Amazon MQ、Amazon Neptune、Amazon OpenSearch Service、Amazon Pinpoint、Amazon Polly、Amazon QuickSight、Amazon Redshift、Amazon Rekognition、AWS Secrets Manager、Amazon Simple Notification Service (SNS)、Amazon Simple Queue Service (SQS)、Amazon Simple Workflow Service (SWF)、Amazon Single Sign-On、AWS Service Catalog、AWS Systems Manager、Amazon Timestream、Amazon VPC、Amazon RDS / RDS Oracle、Amazon Route53、Amazon S3、Amazon SageMaker、AWS SDK、AWS Step Functions、AWS Textract、AWS Web Application Firewall (WAF)、Amazon WorkSpaces/AppStream 2.0、NICE</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Dell </span></strong></p> <p class="rtecenter"><a href="http://www.dell.com/support/kbdoc/zh-tw/000194414/dell-response-to-apache-log4j-remote-code-execution-vulnerability" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-dell.png" style="width: 588px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://www.dell.com/support/kbdoc/zh-tw/000194414/dell-response-to-apache-log4j-remote-code-execution-vulnerability" target="_blank"><strong>https://www.dell.com/support/kbdoc/zh-tw/<br /> 000194414/dell-response-to-apache-log4j-remote-code-execution-vulnerability</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></span></p> <p><strong>Dell EMC Avamar、Dell EMC BSN Controller Node、Dell EMC Cloud Disaster Recovery、Dell EMC Data Protection Advisor、Dell EMC Data Protection Central、Dell EMC Data Protection Search、Dell EMC ECS、Dell EMC Enterprise Storage Analytics for vRealize Operations、Dell EMC Integrated System for Azure Stack HCI、Dell EMC Integrated System for Microsoft Azure Stack Hub、Dell EMC Metro Node、Dell EMC NetWorker、Dell EMC NetWorker VE、Dell EMC Networking Virtual Edge Platform with VersaOS、Dell Open Management Enterprise – Modular、Dell EMC OpenManage Enterprise Services、Dell EMC OpenManage Enterprise、Dell EMC PowerFlex Appliance、Dell EMC PowerFlex Software (Storage Data Server)、Dell EMC PowerFlex Rack、Dell EMC PowerProtect Data Manager、Dell EMC PowerProtect DP Series Appliance (iDPA)、Dell EMC PowerStore、Dell EMC RecoverPoint、Dell EMC Ruckus SmartZone 100 Controller、Dell EMC Ruckus SmartZone 300 Controller、Dell EMC Ruckus Virtual Software、Dell EMC SRM vApp、Dell EMC Streaming Data Platform、Dell EMC VxRail、Dell EMC Unity、Dell EMC XC、APEX Console、APEX Data Storage Services、Cloud IQ、Connectrix (Cisco MDS DCNM)、Connectrix B-Series SANnav、Data Domain OS、Enterprise Hybrid Cloud、Secure Connect Gateway (SCG) Appliance、Secure Connect Gateway (SCG) Policy Manager、SRS Policy Manager、SmartFabric Director、Storage Center - Dell Storage Manager、SupportAssist Enterprise、Unisphere Central、Vblock、VNXe 1600、VNXe 3200、VxBlock、vRealize Orchestrator (vRO) Plug-ins for Dell EMC Storage、vRealize Data Protection Extension Data Management、Wyse Management Suite</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></p> <p class="rtecenter"><a href="https://cloud.google.com/log4j2-security-advisory" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-google.png" style="width: 589px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://cloud.google.com/log4j2-security-advisory" target="_blank"><strong>https://cloud.google.com/log4j2-security-advisory</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>雲端服務</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>Actifio、AppSheet、Cloud Bigtable、Cloud Monitoring、Cloud SDK、Data Catalog、Data Fusion、Dataproc、Dataproc Metastore、Deep Learning Containers、Deep Learning VMs、Google Cloud VMware Engine、Looker、Migrate for Compute Engine (M4CE)、Notebooks、Vertex AI Workbench</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> HPE </span></strong></p> <p class="rtecenter"><a href="https://techhub.hpe.com/eginfolib/securityalerts/Apache%20Software%20Log4j/Apache_Software_Log4j.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-hpe.png" style="width: 588px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://techhub.hpe.com/eginfolib/securityalerts/Apache%20Software%20Log4j/Apache_Software_Log4j.html" target="_blank"><strong>https://techhub.hpe.com/eginfolib/securityalerts/<br /> Apache%20Software%20Log4j/Apache_Software_Log4j.html</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046、CVE-2021-4104、CVE-2021-45105</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>HPE 3PAR Service Processor、HPE 5G Core Stack(5GCS) 、HPE Authentication Server Function、HPE ConvergedSystem 700、HPE ConvergedSystem 700 for Virtualization Components and Blocks、HPE ConvergedSystem 700x、HPE ConvergedSystem 700x for Cloud、HPE ConvergedSystem 750 for Virtualization、HPE ConvergedSystem 750 for Virtualization Components and Blocks、HPE Cray EX System Monitoring Application、HPE Cray System Management、HPE Data Center Fabric Manager (DCNM)、HPE Data Management Framework 7、HPE Device Entitlement Gateway (DEG)、HPE Dragon、HPE Dynamic SIM Provisioning (DSP)、HPE Edge Infrastructure Automation、HPE Ezmeral Container Platform、HPE Ezmeral Data Fabric、HPE Ezmeral Ecosystem PackElastic Search、HPE Enhanced Interactive Unified Mediation (eIUM)、HPE Hyper Converged 250 System、HPE Hyper Converged 380、HPE Integrated Home Subscriber Server Software系列、HPE Intelligent Management Center (iMC)、HPE Infosight for Storage、HPE Intelligent Assurance、HPE Media Workflow Master (MWM)、HPE Network Function Virtualization Director、HPE Parallel File System Storage、HPE Performance Cluster Manager、HPE Real Time Management System (RTMS) 、HPE Remote SIM Provisioning Manager (RSPM)、 HPE Service Director (SD)、HPE Revenue Intelligence Software系列、HPE SANnav Management Software、HPE SimpliVity 325 Gen10、HPE SimpliVity 380 Gen9、HPE SimpliVity 380 Gen10、HPE SimpliVity 2600 Gen10、HPE StoreServ Management Console (SSMC) 、HPE Telecom Analytics Smart Profile Server、HPE Telecom Management Information Platform Software 系列、HPE Trueview Inventory Software系列、HPE Unified Data Management、HPE Universal IoT (UioT) Platform、HPE User Data Repository(UDR)、HPE Unstructured Data Storage Function(UDSF) 、HPE Virtual Headend Manager、HPE XP7 Automation Director Software、HPE XP7 Intelligent Storage Manager、HPE XP Plugin -vCenter Storage Plugin、HPE XP Plugin - Redhat Ansible, Terraform, OLVM、HPE XP Performance Advisor Software、HP XP Command View Advanced Edition Software、Atlas Data Orchestrator、Cray ClusterStor Data Services、Cray View for ClusterStor、Silver Peak Orchestrator、SimpliVity OmniCube</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></p> <p class="rtecenter"><a href="http://www.ibm.com/blogs/psirt/an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-IBM.png" style="width: 588px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://www.ibm.com/blogs/psirt/an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/" target="_blank"><strong>https://www.ibm.com/blogs/psirt/<br /> an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>雲端服務與企業內部建置產品</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>● 雲端服務</strong></p> <p><strong>IBM Account Group Insights、IBM Benefits Mentor with Watson、IBM Client Data Gateway for Health、IBM Cloud Foundry Public、IBM DataProbe、IBM Digital Health Pass、IBM Explorys Platform with EPM、IBM Explorys Therapeutic Datasets Delivered、IBM Health Insights Dashboards、IBM Health Insights Explorer、IBM Health Insights Watson Change Detection、IBM Health Interoperability、IBM MarketScan Inpatient View and Outpatient View、IBM Micromedex Pharmaceutical Knowledge、IBM Micromedex with Watson、IBM Phytel Atmosphere、IBM Return-to-Workplace Advisor、IBM Security Verify、IBM Supply Chain Business Network、IBM Watson Care Manager、Analytics Engine、API Connect for IBM Cloud、App ID、Certificate Manager、Cloud Object Storage、Cloud Object Storage、Cloudant、Container Registry、Container Security Services、Continuous Delivery、DataStage SaaS、DB2 on Cloud、DB2 Warehouse on Cloud、DynaMed & Micromedex with Watson、Hyper Protect DBaaS for MongoDB、Hyper Protect DBaaS for PostgreSQL、Hyper Protect Virtual Server、Internet Services、J-SURS、Knowledge Studio、Managed VMware Service、Match 360 with Watson、Natural Language Understanding、Watson Assistant、Watson Discovery、Watson Knowledge Catalog、Watson Machine Learning、Watson Openscale、Watson Query、Watson Speech to Text、Watson Studio、Watson Text to Speech、Watson Tone Analyzer</strong></p> <p><strong>● 企業內部建置產品</strong></p> <p><strong>IBM API Connect、IBM App Connect Enterprise Certified Container、IBM App Connect Enterprise、IBM Application Navigator、IBM Business Automation Workflow、IBM Business Automation Workflow、IBM Business Process Manager、IBM Case Manager、IBM Cloud APM、IBM Cloud Application Business Insights、IBM Cloud Foundry Migration Runtime、IBM Cloud Object Storage File Access、IBM Cloud Object Storage Systems、IBM Cloud Pak for Applications、IBM Cloud Pak for Business Automation、IBM Cloud Pak for Watson AIOps、IBM Cloud Private、IBM Cloud Transformation Advisor、IBM Cognos Analytics、IBM Cognos Controller、IBM Content Navigator、IBM Control Center、IBM Cúram Social Program Management、IBM Data Risk Manager、IBM Data Virtualization on Cloud Pak for Data、IBM Db2、IBM Db2 Big SQL、IBM Db2 On Openshift, IBM Db2 and Db2 Warehouse on Cloud Pak for Data、IBM DB2 Warehouse、IBM Db2 Web Query for i、IBM Disconnected Log Collector、IBM Edge Application Manager、IBM Elastic Storage System、IBM Engineering Lifecycle Optimization、IBM Engineering Requirements Management DOORS、IBM Engineering Systems Design Rhapsody、IBM Event Streams、IBM Financial Transaction Manager、IBM i2 Analyze / Connect / Analyst’s Notebook Premium、IBM Informix Dynamic Server in Cloud Pak for Data、IBM InfoSphere Global Name Management、IBM Integrated Analytics System in the Db2 warehouse container、IBM Jazz for Service Management、IBM Jazz Team Server based applications、IBM License Metric Tool、IBM LKS Administration And Reporting Tool and IBM LKS Administration Agent、IBM MaaS360 Enterprise Gateway Module、IBM MQ blockchain bridge component of IBM MQ、IBM Netcool Agile Service Manager、IBM Observability with Instana、IBM OpenPages for IBM Cloud Pak for Data、IBM OpenPages with Watson、IBM Operations Analytics – Log Analysis、IBM Operations Analytics Predictive Insights、IBM Planning Analytics Workspace component within IBM Planning Analytics、IBM Power Hardware Management Console、IBM QRadar Risk Manager、IBM QRadar User Behavior Analytics、IBM Resilient SOAR、IBM Secure External Authentication Server、IBM Secure Proxy、IBM Security Access Manager Appliance and IBM Security Verify Access、IBM Security Access Manager for Enterprise Single-Sign On、IBM Security Guardium、IBM Security Guardium Data Encryption、IBM Security Guardium Insights、IBM Spectrum Archive Enterprise Edition、IBM Spectrum Conductor、IBM Spectrum Control、IBM Spectrum Copy Data Management、IBM Spectrum LSF、IBM Spectrum LSF Explorer and IBM Spectrum LSF Application Center、IBM Spectrum LSF Suite and IBM Spectrum LSF Suite for HPA、IBM Spectrum Protect Client Web GUI and IBM Spectrum Protect for Virtual Environments、IBM Spectrum Protect for Space Management、IBM Spectrum Protect Operations Center、IBM Spectrum Protect Plus、IBM Spectrum Protect Plus Container Backup and Restore、IBM Spectrum Protect Snapshot for VMware、IBM Spectrum Protect Snapshot for Windows、IBM Spectrum Protect Snapshot on Windows、IBM Spectrum Scale、IBM Spectrum Scale for IBM Elastic Storage Server、IBM Spectrum Symphony、IBM SPSS Analytic Server、IBM SPSS Modeler、IBM SPSS Statistics、IBM SPSS Statistics Desktop、IBM SPSS Statistics Server、IBM SPSS Statistics Subscription、IBM Sterling Configure, Price, Quote、IBM Sterling Connect:Direct、IBM Sterling Partner Engagement Manager、IBM Telco Network Cloud Manager、IBM Telco Network Cloud Manager – Performance、IBM Tivoli Netcool Impact、IBM Tivoli Netcool/OMNIbus Common Integration、IBM Tivoli Network Manager IP Edition、IBM UrbanCode Velocity、IBM Watson Discovery for IBM Cloud Pak for Data、IBM Watson Explorer、IBM Watson Studio Premium Add On in Cloud Pak for Data、IBM WebSphere Application Server、IBM WebSphere Application Server Patterns、IBM WebSphere Automation for IBM Cloud Pak for Watson AIOps、IBM WebSphere Hybrid Edition、IBM WebSphere Remote Server、IBM Workload Scheduler、Atlas eDiscovery Process Management、Automation Assets in IBM Cloud Pak for Integration、Brocade SANnav、Cloud Pak for Business Automation、Cloud Pak for Data、Cloud Pak for Security、Collaboration and Deployment Services、Content Collector for Email、Content Collector for File Systems、Content Collector for IBM Connections、Content Collector for Microsoft SharePoint、Content Collector for Microsoft SharePoint、Decision Optimization for Cloud Pak for Data、DS8000 Hardware Management Console、Netcool Operation Insight、Netcool/Omnibus、NovaLink、Operations Dashboard in IBM Cloud Pak for Integration、Tivoli Composite Application Manager for Application Diagnostics、Watson Knowledge Catalog InstaScan、Watson Machine Learning in Cloud Pak for Data、Watson Studio in Cloud Pak for Data</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></p> <p class="rtecenter"><a href="https://msrc-blog.microsoft.com/2021/12/11/ microsofts-response-to-cve-2021-44228-apache-log4j2/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-%E5%BE%AE%E8%BB%9F.png" style="width: 570px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://msrc-blog.microsoft.com/2021/12/11/microsofts-response-to-cve-2021-44228-apache-log4j2/" target="_blank"><strong>https://msrc-blog.microsoft.com/2021/12/11/<br /> microsofts-response-to-cve-2021-44228-apache-log4j2/</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>雲端服務與軟體</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>Azure Arc-enabled Data Services / SQL Arc-enabled data services、Azure HDInsight、Minecraft: Java Edition、SQL Server 2019 Big Data Clusters</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></p> <p class="rtecenter"><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5294" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-%E8%BC%9D%E7%91%9E.png" style="width: 585px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5294" target="_blank"><strong>https://nvidia.custhelp.com/app/answers/detail/a_id/5294</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046、CVE-2021-45105</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>軟體開發套件、系統軟體</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>CUDA Toolkit 11.5之前版本：Visual Profiler、CUDA Toolkit 11.0之前版本：Nsight Eclipse Edition、DGX-1/ DGX-2 /DGX A100 / DGX Station / DGX Station A100：DGX OS 4與5版、NetQ 2.x至4.0.x版、vGPU軟體授權伺服器2021.07與2020.05 Update 1</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Red Hat </span></strong></p> <p class="rtecenter"><a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-009" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-%E7%B4%85%E5%B8%BD.png" style="width: 570px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-009" target="_blank"><strong>https://access.redhat.com/security/vulnerabilities/RHSB-2021-009</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>Red Hat AMQ Streams 1、Red Hat CodeReady Studio 12、Red Hat Data Grid 8、Red Hat Enterprise Application Platform 7、Red Hat Fuse 7、Red Hat Integration Camel K、Red Hat Integration Camel Quarkus、Red Hat OpenShift 3.11、Red Hat OpenShift 4(4.6 / 4.7/ 4.8)、Red Hat OpenShift Application Runtimes Vert.X 4 / 1.0、Red Hat OpenShift Logging(5.0 / 5.1 / 5.2 / 5.3)、Red Hat OpenStack Platform 13(Queens)、Red Hat Process Automation Manager 7</strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></p> <p class="rtecenter"><a href="https://www.vmware.com/security/advisories/VMSA-2021-0028.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1059-%E5%B0%81%E9%9D%A2-%E5%AE%97%E7%BF%B0-list-vmware.png" style="width: 580px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 公告網址 </span></strong></span> <a href="https://www.vmware.com/security/advisories/VMSA-2021-0028.html" target="_blank"><strong>https://www.vmware.com/security/advisories/VMSA-2021-0028.html</strong></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 資安弱點 </span></strong></span> <strong>CVE-2021-44228、CVE-2021-45046</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 類型 </span></strong></span> <strong>企業內部建置產品與雲端服務</strong></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 解決方案名稱 </span></strong></p> <p><strong>VMware AppDefense Appliance、VMware Carbon Black Cloud Workload Appliance、VMware Carbon Black EDR Server、VMware Cloud Foundation、VMware Cloud Director Object Storage Extension、VMware Cloud Provider Lifecycle Manager、VMware Harbor Container Registry for VMware Tanzu Kubernetes Grid Integrated Edition、VMware HCX、VMware Horizon、VMware Horizon Agents Installer、VMware Horizon Cloud Connector、VMware Horizon DaaS、VMware Identity Manager、VMware Integrated OpenStack、VMware NSX Data Center for vSphere、VMware NSX-T Data Center、VMware NSX-T Intelligence Appliance、VMware SD-WAN VeloCloud Orchestrator(VCO)、VMware Smart Assurance M&R、VMware Smart Assurance Network Configuration Manager (NCM)、VMware Smart Assurance Service Assurance Manager (SAM)、VMware Site Recovery Manager, vSphere Replication、VMware Tanzu GemFire、VMware Tanzu GemFire for VMs、VMware Tanzu Greenplum Platform Extension Framework、VMware Tanzu Operations Manager、VMware Tanzu Application Service for VMs、VMware Tanzu Kubernetes Grid Integrated Edition、VMware Tanzu Observability by Wavefront Nozzle、VMware Tanzu Observability Proxy、VMware Tanzu Scheduler、VMware Telco Cloud Operations、VMware Unified Access Gateway、VMware vCenter Server、VMware vCenter Cloud Gateway、VMware vRealize Automation、VMware vRealize Business for Cloud、VMware vRealize Lifecycle Manager、VMware vRealize Log Insight、VMware vRealize Network Insight、VMware vRealize Operations、VMware vRealize Operations Cloud (Cloud Proxy)、VMware vRealize Operations Tenant App for VMware Cloud Director VMware vRealize Orchestrator、VMware WorkspaceOne Access、VMware Workspace ONE Access Connector、API Portal for VMware Tanzu、App Metrics、Greenplum Text、Healthwatch for Tanzu Application Service、Single Sign-On for VMware Tanzu Application Service、Spring Cloud Gateway for Kubernetes、Spring Cloud Gateway for VMware Tanzu、Spring Cloud Services for VMware Tanzu</strong></p> </div></div></div>
2022/1/10 07:00作者李宗翰https://www.ithome.com.tw/news/148755
十年來最嚴重的資安漏洞！Log4Shell來襲
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年進入尾聲之際，Java應用程式記錄程式庫Log4j的資安漏洞Log4Shell浮上檯面，因允許遠端執行任意程式碼，而被公認具有高度風險，再加上許多系統、雲服務與軟硬體系統都可能正在使用未修補的Log4j版本，以及濫用漏洞的網路攻擊活動相繼出現，使得全球IT與OT環境再度因通用軟體元件的漏洞而陷入重大危機。</p> </div></div></div>
2022/1/10 07:00作者李宗翰https://www.ithome.com.tw/article/148766
【資安週報】2022年1月3日至7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年12月延燒至今的Log4Shell漏洞影響程度究竟有多大？除了五眼聯盟聯合發出警告，也有國家特別召集企業探討此事，我們還可以從本週美國聯邦貿易委員會（FTC）下達的公告，來看出端倪。這份公告特別向企業施壓，做好對於Log4Shell漏洞的因應，並警告一旦因這項漏洞導致客戶的資料外洩，他們將會採取法律行動。有別於過往FTC都是點名特定的企業祭出處罰，這次他們發出的公告，也突顯出此漏洞極為險峻，不惜以法律行動要求企業趕快處理。</p> <p>不只上述的公告特別引起各界關注，<a href="https://www.ithome.com.tw/news/148739">也有資安業者特別提到企業要準備長期抗戰</a>，該公司提到他們已經看到各式各樣的攻擊，且這樣的態勢仍在延續，加上Log4j存在許多應用系統裡，企業一時半刻往往難以修補完成，研判該漏洞的危害可能還會擴大。</p> <p>另一方面，過往較少出現的攻擊手法也值得我們留意。例如，美國警方發現停車計費器被貼上QR Code，攻擊者意圖對於想要使用行動支付的車主下手，藉著這種二維碼引導被害人到假的付款網站，來騙取信用卡資料。這種利用QR Code進行詐騙的情況，已有前例，例如，國內張貼商家和各式場所的實名制二維碼，過往也曾經傳出部分遭到竄改的情事，由於光是檢視QR Code很難察覺有異，民眾掃描這種條碼還是要小心。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/ftc-warns-companies-to-secure-consumer-data-from-log4j-attacks/"><span style="color: rgb(0, 0, 0);">美國政府要求企業力求客戶資料免於Log4Shell威脅，否則將採取法律行動</span></a></strong></h4> <p>美國聯邦貿易委員會（FTC）於1月4日發布公告，要求企業要防範Log4Shell漏洞的相關攻擊，以免客戶資料因此外洩。該單位揚言若是企業沒有採取適當的保護措施，他們可能會採取法律行動。FTC亦建議企業遵循美國網路安全暨基礎架構安全局（CISA）的指引，來緩解Log4Shell漏洞帶來的威脅。</p> <h4><a href="https://www.cyberscoop.com/chinese-hackers-use-log4j-exploit-to-go-after-academic-institution/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織利用Log4Shell攻擊學術機構</strong></span></a></h4> <p>資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。</p> <h4><strong><a href="https://portswigger.net/daily-swig/java-rmi-services-often-vulnerable-to-ssrf-attacks-research"><span style="color: rgb(0, 0, 0);">Java的RMI機制恐被用於伺服器端請求偽造攻擊</span></a></strong></h4> <p>日前駭客鎖定Log4Shell發動攻擊時，有部分攻擊行動駭客改以遠端方法呼叫（RMI）下手。但資安人員認為，駭客在其他針對Java程式語言開發的系統的攻擊過程裡，利用RMI的情況可能也相當嚴重。研究人員Tobias Neitzel指出，他發現能利用RMI來發動伺服器端請求偽造（SSRF）攻擊手法，原因可能是IT人員難以設置能夠保護RMI的組態，其中最常用的RMI服務JMX，很可能成為攻擊者優先鎖定的目標。這名研究人員也提供相關緩解措施。</p> <h4><a href="https://www.ithome.com.tw/news/148747"><span style="color: rgb(0, 0, 0);"><strong>NCC警告小米Mi 10T 5G手機存在過濾中國敏感政治詞彙的功能，恐有回傳資訊疑慮</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png" style="width: 300px; float: right;" /></a>國家通訊傳播委員會（NCC）於1月6日表示，在臺灣販售的小米Mi 10T 5G手機，經檢測發現手機內建的應用軟體，會對中國敏感政治詞彙進行比對，甚至可能進一步回傳資訊，提醒民眾重視手機的個人隱私保護意識。NCC調查的動機，起因是<a href="https://www.ithome.com.tw/news/146838">2021年9月立陶宛政府發現，Xiaomi Mi 10T 5G含有資安風險</a>，NCC隨後委託電信技術中心（TTC）檢測在臺灣銷售的同款手機，發現多款內建的App，會從伺服器下載中國敏感政治關鍵字的比對檔案「MiAdBlacklistConfig」，過濾如「自由西藏」、「臺灣獨立」等關鍵字詞，由於製造商能隨時遠端更新過濾規則，加上中國法規規定企業有配合國家情報的義務，恐導致使用者隱私曝露的隱憂。</p> <h4><a href="https://www.cw.com.tw/article/5119624"><span style="color:#000000;"><strong>愛心協會服務商網軟遭駭事件有後續消息，警方指出資料庫均未加密，也沒有PCI DSS認證</strong></span></a></h4> <p><a href="https://www.ithome.com.tw/news/146376">2021年7月底到8月，國內爆發假冒多個愛心捐款協會的詐騙案，當時iThome首先追查到是背後的資訊服務商網軟遭駭</a>，該公司在8月3日向客戶（愛心協會）表示遭駭，<a href="https://www.intersoft.com.tw/RWD01/list_1.aspx?id=595">相隔一段時間後，他們也已發布資安公告</a>，特別的是，最近這起事件有了後續消息，根據天下雜誌的報導，警方指出外洩的資料包括：捐款人姓名、住址、Email、電話、捐款方案、財務狀況，且資料庫並未加密，甚至，該公司有接受紙本信用卡扣款授權書，並會登打到系統，但公司卻沒有遵循PCI DSS及認證，同時，公益團體使用該公司服務卻也不曾注意。目前，網軟已決定不儲.存卡號與處理紙本刷卡授權書，但被駭範圍仍無法確定，已外洩的個資可能達6萬筆。附帶一提的是，此事件也突顯非營利組織（NGO）本身特性，可能與企業不同的狀況，政府、科技大廠如何提供幫助也將成為議題。</p> <h4><a href="https://www.zacks.com/stock/news/1846666/morgan-stanley-ms-to-pay-60m-penalty-over-data-breach-suit"><span style="color: rgb(0, 0, 0);"><strong>針對用戶資料外洩事故，摩根史坦利同意支付6千萬美元和解</strong></span></a></h4> <p>根據路透社報導，財務管理公司摩根史坦利（Morgan Stanley）於2016年，因關閉美國境內2座財富管理業務部門的資料中心，出售要報廢的伺服器，卻沒有完全清除這些主機上的客戶資料，而遭到近1,500萬名客戶提出集體訴訟，最近該公司同意以6千萬美元和解，受影響的客戶可獲得至少2年的詐欺保險，並可申請最高一萬美元的現金賠償。此案美國貨幣監理局（OCC）也介入調查，並於2020年10月判處摩根史坦利民事罰金6千萬美元。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ny-oag-hackers-stole-11-million-customer-accounts-from-17-companies/"><span style="color: rgb(0, 0, 0);"><strong>駭客針對17家公司進行撞庫攻擊，竊得110萬名客戶帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Accounts compromised in credential stuffing shared online.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Accounts%20compromised%20in%20credential%20stuffing%20shared%20online.png" style="width: 300px; float: right;" /></a>美國紐約州總檢察長辦公室（NY OAG）近日向17家公司提出警告，這些公司約有110萬客戶的帳號，在撞庫（Credential Stuffing）攻擊事件中遭駭。NY OAG經過數個月監看網路社群後，發現上述遭到外洩的用戶帳密，來自網路零售業者、連鎖餐廳，以及食品配送服務業者，他們通知相關業者，以便能夠讓消費者儘速重設密碼。NY OAG也呼籲企業應採取相關防禦措施，包含監控網站是否遭到Bot機器人攻擊、採用雙因素驗證（MFA）等。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/dont-copy-paste-commands-from-webpages-you-can-get-hacked/"><span style="color: rgb(0, 0, 0);"><strong>小心，從網頁複製、貼上文字內容不再100%安全！資安業者警告有可能從中置換其他內容，執行攻擊者的命令</strong></span></a></h4> <p>從教學網站上複製命令，然後貼上命令提示字元視窗、終端機的畫面執行，可說是相當常見的做法。但資安教育訓練業者Wizer透過攻擊手法示範，攻擊者可以置換使用者複製的程式碼，而且在貼上之後立刻執行惡意指令。研究人員製作概念性驗證的攻擊文字，表面上使用者是看到普通的Linux軟體更新指令，但在複製的過程中，攻擊者透過網站的程式碼，將剪貼簿的內容替換成惡意指令，使用者貼上命令列時，便會直接執行攻擊者替換的指令，即使後來察覺貼上的命令與本來看到的不同，也為時已晚。</p> <p>Wizer呼籲IT人員，可以考慮在貼上之前先加上”#”，讓命令變成註釋以避免貼上就立刻執行的情況，或是調整終端機的配置，指定在貼上”\n”（換行指令）時不會自動執行。</p> <h4><strong><a href="https://www.bitdefender.com/blog/hotforsecurity/us-police-parking-meters-phishing-qr-codes/"><span style="color: rgb(0, 0, 0);">美國警方警告，停車繳費的QR Code可能會被用於網釣攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg" style="width: 150px; float: right;" /></a>資安業者Bitdefender指出，近日美國德州首府奧斯汀的警方提出警告，表示他們發現有人在停車計費器上，張貼QR Code，意圖引誘想要透過手機付款的車主，在冒牌的付款網站上付錢，進而騙取車主的信用卡資料。奧斯汀市在接獲通報後進行調查，發現超過100個計費器被貼上此種QR Code，呼籲民眾要加以留意。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/google-docs-commenting-feature-exploited-for-spear-phishing/"><span style="color: rgb(0, 0, 0);">駭客在網釣攻擊中運用Google Docs的評論功能</span></a></strong></h4> <p>郵件安全業者Avanan指出，他們自2021年6月開始提出警告，攻擊者可透過Google Docs或其他同廠牌的網頁應用程式，將用戶引導到惡意網站，隨後在12月他們發現實際的攻擊行動中出現新的手法，攻擊者利用Google Docs的評論功能，透過Google分享通知信件的機制，來散布惡意軟體。由於這種手法信件是以Google的名義寄出，受害者難以察覺異狀而容易上當。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/"><span style="color: rgb(0, 0, 0);">五分之一老舊網域存在資安風險，恐被用於攻擊行動</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們自2021年9月開始觀察數萬個網域，結果發現近期駭客來發動攻擊的網域，往往使用已經註冊一段時間的網域名稱，原因是資安業者往往優先檢查新註冊的網域（NRD）。這種被先註冊的網域名稱，攻擊者的目的是要維持其無害的記錄，而不致被資安系統識別為有害，研究人員發現，這種網域通常會先暫停使用2年，之後的DNS流量會爆增約165倍。而他們會調查這些網域的原因，主要與近期發現的Pegasus間諜軟體攻擊行動有關。</p> <h4><strong><a href="https://nakedsecurity.sophos.com/2021/12/30/instagram-copyright-infringment-scams-dont-get-sucked-in/"><span style="color: rgb(0, 0, 0);">攻擊者佯稱Instagram用戶版權爭議，意圖騙取帳密</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/ccn-page1-640.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ccn-page1-640.png" style="width: 200px; float: right;" /></a>資安業者Sophos針對攻擊者假借Instagram侵權的名義，進行網路釣魚攻擊的行為進行解析，並指出攻擊者已經使用更為幾可亂真的釣魚信，宣稱用戶的貼文遭到舉報有版權爭議，Instagram帳號將會被刪除。一旦使用者根據指示填寫申訴表格，將會被帶往專屬的詐騙網頁，當中含有疑似侵權的Instagram貼文，並要求用戶輸入2次密碼，最終在騙得密碼後，將用戶重新導向Instagram的版權說明網頁。研究人員提醒，要留意這類詐騙與真實侵權通知的不同之處，並使用多因素驗證（2FA）來保護自己的Instagram帳號。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-use-video-player-to-steal-credit-cards-from-over-100-sites/"><span style="color: rgb(0, 0, 0);">駭客透過網路影音串流服務，針對上百個房地產網站發動攻擊，竊取用戶信用卡資料</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們發現一起網站側錄攻擊（Web Skimming）行動，鎖定房仲業者而來，攻擊者利用雲端影音代管服務，將惡意程式碼注入網站的影片播放器，一旦網站載入播放器便會遭到感染，超過100個房地產網站受害。研究人員指出，這個雲端影音代管服務提供用戶透過JavaScript指令集，來自訂播放器組態，他們認為攻擊者可能獲得上游JavaScript指令集的存取權限，從而注入惡意指令。</p> <h4><strong><a href="https://therecord.media/north-korean-hackers-attack-russian-diplomats-using-new-year-greetings/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Konni鎖定俄國外交官發動攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Happy-Holidays-Konni.jpg" style="width: 300px; float: right;" /></a>資安業者Cluster25指出，他們自2021年8月，追蹤北韓駭客組織Konni的動態，結果發現，近期他們鎖定俄羅斯駐印尼大使館，以祝賀2022年新年到來的名義，發動釣魚郵件攻擊，郵件挾帶具有俄文問候的螢幕保護程式檔案，一旦執行會在安裝螢幕保護程式的同時，植入RAT木馬程式，攻擊者進而控制受害電腦。此外，攻擊者亦假冒俄羅斯駐塞爾維亞大使館，而讓釣魚郵件更難被識破。</p> <h4><strong><a href="https://www.dailymail.co.uk/news/article-10365137/MoD-training-academy-targeted-sophisticated-cyber-attack-hostile-state.html"><span style="color: rgb(0, 0, 0);">英國國防培訓學院遭到攻擊，駭客意圖獲得軍事機密</span></a></strong></h4> <p>甫於去年8月離開英國軍隊的空軍元帥Edward Stringer，向當地媒體Sky News透露，國防培訓學院曾於2021年3月發現遭到網路攻擊，而被迫重新建置網路環境，迄今尚未完全復原。這名軍官表示，攻擊者瞄準國防培訓學院的目的，很可能是做為存取國防部（MoD）其他系統的跳板，但除了學校本身之外的單位並未受到影響。國防部發言人亦證實此事，並表示沒有影響該學院學生的學習。</p> <h4><strong><a href="https://www.jpost.com/israel-news/article-691342"><span style="color: rgb(0, 0, 0);">以色列新聞網站遭駭，疑與伊朗將領遇刺2週年有關</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/492842.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/492842.png" style="width: 300px; float: right;" /></a>耶路撒冷郵報（Jerusalem Post）指出，他們的網站在1月3日凌晨，疑似遭到親伊朗的駭客攻擊，在網站上植入一張圖片，內容是迪莫納核能設施遭到炸毀，並以英文和希伯來文寫下警語，表明攻擊者就在他們身邊，但是是在他們無法發現的地方。而這張圖片的左側還有一枚飛彈從戒指飛出，而這個戒指可能就是伊朗革命護衛警察（IRGC）指揮官Qasem Soleimani所有，意指該人在2020年前1月2日遭美國暗殺的事件。該媒體表示，目前攻擊來源尚不明朗，但這些駭客有可能受到國家支持。</p> <h4><a href="https://therecord.media/lapsus-ransomware-gang-hits-sic-portugals-largest-tv-channel/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Lapsus$攻擊葡萄牙大型媒體集團</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Impresa-ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Impresa-ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客Lapsus$於2022年新年期間，攻擊葡萄牙最大的媒體集團Impresa，該集團旗下的電視臺SIC、新聞週刊Expresso的網站，皆被迫離線。SIC的有線頻道仍正常播放，但網路串流直播無法運作。資安新聞網站Record Media指出，駭客除加密檔案，亦聲稱能控制該公司AWS的帳號。Impersa員工一度取回上述帳號的控制權，但駭客隨即以Expresso的名義在推特發文，表明他們仍能存取Impresa的資源。</p> <h4><strong><a href="https://www.zdnet.com/article/rhode-island-attorney-general-opening-investigation-into-transit-authority-after-data-breach/"><span style="color: rgb(0, 0, 0);">美羅德島州公共交通管理局資料外洩，當局介入調查</span></a></strong></h4> <p>美國羅德島州公共交通管理局（RIPTA）於2021年12月21日發布公告，表明該單位於8月3日至5日，有資料遭到不明人士存取，這些資料疑似是與RIPTA提供的保健計畫有關，包含了參與者的社會安全號碼、生日、地址、醫療保險號碼，以及理賠資訊等，根據美國衛生及公共服務部（HHS）的資料，約有5,015人受到影響。但美國公民自由聯盟（ACLU）羅德島州分會指出，有不少人並非RIPTA的員工，亦沒有搭乘大眾運輸工具，卻也成為本次事故的受害者，認為RIPTA對此事件的處理不透明，而向他們投訴。羅德島州總檢察長辦公室也因收到大量相關投訴，針對此事展開調查。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148666"><span style="color: rgb(0, 0, 0);">遊戲大廠Sega歐洲雲端系統防護不足，致用戶資料及公司資產曝險</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg" style="width: 300px; float: right;" /></a>VPN服務評測網站VPN Overview指出，他們發現遊戲大廠Sega的歐洲AWS S3儲存桶防護不足，影響該公司26個網域或遊戲服務。研究人員指出，這些防護不足的現象，讓他們可以上傳或修改網站的檔案、執行程式碼、變造網頁及網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄（Bayonetta）及全軍破敵（Total War）等遊戲服務。Sega獲報後於去年10月底修正上述防護不足的情形。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/popular-qanda-app-curious-cat-loses-domain-posts-bizarre-tweets/"><span style="color: rgb(0, 0, 0);">社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文</span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://portswigger.net/daily-swig/researcher-discovers-70-web-cache-poisoning-vulnerabilities-nets-40k-in-bug-bounty-rewards"><span style="color: rgb(0, 0, 0);">研究人員發現70個網站快取中毒漏洞，恐被攻擊者用於DoS或XSS攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/gram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gram.png" style="width: 300px; float: right;" /></a>資安研究人員Iustin Ladunca公布針對網站快取中毒（Web Cache Poisoning）的漏洞研究，這些漏洞存在於GitHub、GitLab、HackerOne、Cloudflare，以及採用Apache Traffic Server的伺服器。該名研究人員指出，由於現代網站嚴重依賴JavaScript和CSS樣式表，暫存伺服器設置又往往只支援靜態檔案，而使得這些暫存資料成為攻擊者下手的目標，可用於發動阻斷服務（DoS）攻擊，或是跨網站程式碼（XSS）攻擊。他總共因相關研究挖掘70個漏洞，獲得4萬美元獎金。</p> <h4><strong><a href="https://blog.assetnote.io/2021/12/26/chained-ssrf-websphere/"><span style="color: rgb(0, 0, 0);">HCL修補網站管理系統Websphere Portal的SSRF漏洞</span></a></strong></h4> <p><a href="https://www.ithome.com.tw/news/131635">在2019年從IBM買下Websphere Portal</a>，並更名為數位體驗（Digital Experience，DX）的印度IT業者HCL，在2021年12月30日發布資安通報，修補旗下DX系統的多項漏洞，其中1個攻擊者可用於發送惡意伺服器端偽造請求（SSRF）攻擊，CVSS風險層級為8.0分，影響Websphere Portal 9.0版及新版軟體的產品。DX是用於建置與管理網站的平臺，美國紐約州參議院、密西根州醫療系統MidMichigan Health、加拿大銀行都是其用戶，根據通報漏洞的資安業者Assetnote，全球網際網路上約有3千個DX系統，他們呼籲用戶要儘速修補。</p> <h4><strong><a href="https://trevorspiniolas.com/doorlock/doorlock.html"><span style="color: rgb(0, 0, 0);">研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone</span></a></strong></h4> <p>研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ios-malware-can-fake-iphone-shut-downs-to-snoop-on-camera-microphone/"><span style="color: rgb(0, 0, 0);"><strong>iOS惡意軟體可讓裝置假裝關機，然後進行偷窺、竊聽</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hijack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hijack.jpg" style="width: 300px; float: right;" /></a>在過往許多iOS的惡意軟體攻擊中，受害者往往可透過重新啟動裝置，就有機會阻止惡意軟體在記憶體內運作，但這樣的方式可能已經不管用。資安業者ZecOps公布名為NoReboot的攻擊手法，這種方式可讓受害者以為iPhone已經關機，但實際上惡意軟體藉由挾持關機命令，而使得受害手機實際上維持開機的狀態，惡意軟體仍能繼續執行，並從麥克風與鏡頭，進行竊聽甚至是偷窺的行為。研究人員指出，由於這並非iOS作業系統的缺陷，蘋果很可能不會進行修補。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/firmware-attack-can-drop-persistent-malware-in-hidden-ssd-area/"><span style="color: rgb(0, 0, 0);">美光固態硬碟存在可濫用的隱藏磁區，恐被攻擊者用於藏匿惡意軟體</span></a></strong></h4> <p>高麗大學的研究人員發現，美光（Micron）為增加固態硬碟（SSD）運作效率，所加入的彈性容量機制，可能會被攻擊者濫用。研究人員表示，由於這種機制的保留空間無法透過作業系統直接存取，連帶防毒軟體也難以檢測，再加上SSD廠商基於效能考量，而實際上往往長達數個月才清除寫入的檔案，使得攻擊者能在這個磁碟區埋藏惡意軟體。研究人員呼籲固態硬碟業者，應提供相關的防禦措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.scmagazine.com/analysis/iot/new-guidance-tackles-role-of-manufacturers-in-medical-device-security-patient-safety"><span style="color: rgb(0, 0, 0);">美醫療設備採購組織發布供應商的資安評估指南</span></a></strong></h4> <p>由美國14個醫療設備採購組織所成立的醫療照護供應鏈協會（HSCA），近期提供相關設備的業者或服務商，發布新的網路安全指引，提及透過MITRE建立醫療設備的威脅模型劇本，以及這類設備的生命安全週期的管理等。他們提及醫療機構與設備製造商簽訂合約時，所需要留意的細節，而且最好要有資安團隊參與採購流程，以確保所有接到醫療機構網路上的設備，從設計之初就將資安納入考量。</p> <h4><strong><a href="https://thehackernews.com/2022/01/detecting-evasive-malware-on-iot.html"><span style="color: rgb(0, 0, 0);">檢測物聯網設備攻擊有新方法！研究人員透過電磁波進行偵測</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/hardware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hardware.jpg" style="width: 300px; float: right;" /></a>物聯網（IoT）設備相當多元，許多資安業者透過防入侵偵測系統（IDS）、端點偵測與回應（EDR）、網路偵測與回應（NDR），從流量檢查是否有遭到攻擊的跡象，但最近有了新的突破。電腦科學暨隨機系統研究所（IRISA）在2021年12月舉行的年度電腦安全應用會議（ACSAC）上，揭露他們藉由偵測物聯網裝置的電磁波，來確認是否遭到惡意軟體入侵的跡象。研究人員指出，這種透過硬體下手的做法，使得惡意軟體的規避手段無法發揮作用，且IT人員無須修改物聯網設備的情況下就能達到保護的效果，他們製作的檢測框架，還能識別不同類型的惡意軟體，如勒索軟體、殭屍網路病毒、RootKit等。</p> <h4><strong><a href="https://www.cna.com.tw/news/ait/202201030309.aspx"><span style="color: rgb(0, 0, 0);">深化臺印資安技術交流與研究，國網中心與印度堪坡理工學院簽屬合作備忘錄</span></a></strong></h4> <p>在12月3日，科技部駐印科技組表示，科技部轄下國家實驗研究院國家高速網路與計算中心與印度堪坡理工學院（IIT Kanpur）簽署合作備忘錄，將針對資安技術與研究，建立進一步的交流與合作，目前已有初步規畫，主要聚焦惡意程式行為分析及雲端資安攻防等議題，雙方將建立資安威脅模型，並配合OT安全與Cyber-Physical Systems（CPS）的需求，建立跨國資安研究平臺，主要提供雲端虛擬化的架構，讓雙方建置場域環境及資安應用情境。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/first-microsoft-pluton-powered-windows-11-pcs-unveiled-at-ces/"><span style="color: rgb(0, 0, 0);">搭載微軟安全處理器Pluton的個人電腦首度於CES亮相</span></a></strong></h4> <p>聯想在國際消費性電子產品展CES 2022中，發表了ThinkPad Z13和Z16筆記型電腦，這系列產品配置了AMD Ryzen 6000系列處理器，是首款具備Microsoft Pluton安全處理器的個人電腦。</p> </div></div></div>
2022/1/8 09:58作者周峻佑https://www.ithome.com.tw/news/148779
特力集團推動零售資訊系統數位轉型，自建營運中臺與數據中臺，更進一步發展數據創新應用新模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以貿易業務起家的特力集團，經過40多年的發展，已成為臺灣最大專業貿易商，合作的海外供應商逾4千家，更為多家跨國零售通路提供各式貨品。同時，特力集團另一大核心業務是零售，旗下擁有特力屋、HOLA特力和樂等大型零售通路，是國內最大家居家飾通路業者。</p> <p>近年，特力集團大力擁抱微服務，先從零售端試水溫，作為嘗試新技術的落地場景。特力集團資訊長黃淑華表示，零售端面臨大量即時性資訊及市場變化，必須不斷的調整，因此，IT團隊選擇採用了新興的微服務架構，在短短100天內開發了行動數位會員卡App服務與API管理平臺。</p> <p>這個API管理平臺已註冊了數百支API來串接不同的服務。黃淑華進一步提到，因為零售需要查詢的項目相當細緻，拆解服務的過程中得拿捏顆粒度的大小，比如，點數查詢就是需要拆解出來成獨立的服務。特力IT團隊也會透過這些已提供的終端服務項目，來檢視服務顆粒度的切割是否適當。</p> <p>不只採用微服務架構打造行動數位會員卡App，特力集團這2年多更開始大力發展數據。「特力集團坐在一座資料的金山、銀山上，只要挖掘資料的好處，就可以發掘出另一座金山與銀山。」特力集團總裁何湯雄這番話，讓黃淑華尤為深刻。</p> <p>特力在2018年率先推動了零售資訊系統數位轉型，建立營運中臺架構機制，逐步建立服務的概念與架構，黃淑華表示：「將零售中後臺的資訊系統重新妥善安排後，後續產出的數據才會正確。」不過，當時特力並未直接建置數據中臺，而選擇先延用既有的資料倉儲、資料市集與資料分析平臺，結合CRM來進行推薦。</p> <p>目前，特力的零售端已透過CRM系統來了解客戶對品牌或商品屬性的偏好，並透過App進行精準行銷。不過，黃淑華坦言，零售的客戶忠誠度較低，所以得更了解客戶的偏好，搭配開放資料統整參考，讓商品推薦能更精準。</p> <p>特力正在嘗試用數據化、科學化方式來推薦如枕頭、床墊等寢具商品，一方面利用CRM系統彙整客戶偏好，再結合類似喜好、年齡層的族群資訊，以及過往推薦資料。甚至，特力還與專業醫生合作，設計問卷來蒐集如睡姿、脖子與肩膀的距離等消費者資料，來訓練機器學習模型以提供產品的推薦。</p> <p>不只分析數據來推薦商品，特力在零售端與貿易端，都大量利用銷售資訊，像是庫存狀況、銷售族群資訊，彙整這些數據來分析，在經過去識別化處理後，也提供給供應商參考，作為調整自家產品生產之用。像是零售端的供應商管理平臺，除了即時揭露供應商自家的資訊外，還能檢視大盤的整體狀況。</p> <p>黃淑華表示，最常使用數據分析的是特力集團的商品開發與採購（MD）單位，由於特力旗下零售通路成立了許多自由品牌，透過數據的分析，就能了解臺灣、美國、歐洲等地區的消費者偏好，進而設計產品。</p> <p>甚至，特力透過合作通路在海外零售實體店蒐集的當地消費者偏好資訊，也能回饋給MD，用來管控不同地區的貨量分配、花色設計等。特力在貿易端也同樣運用了數據分析，為海外大型零售企業客戶進行代理或採購時，也會分析當季流行的元素，再來尋找有能力生產的供應商來開發新產品。這正是特力運用數據加值後，發展出的新商業模式。</p> <p>直到去年，零售端的營運中臺架構趨於完整後，特力才開始發展零售數據中臺，黃淑華表示，目的是結合線上數位軌跡與線下交易記錄，將客戶360度資訊彙整到數據中臺。</p> <p>在特力零售數據中臺上，今年上線的第一個試行應用是熟客經營與管理，透過實體門店顧問以Line或電話外撥給忠誠會員或VIP會員，來進行熟客關懷與熟客銷售，再結合數據分析推薦熟客偏好的商品，以提升客戶黏著度與銷售績效，這是特力另一個正在嘗試的數據創新。文⊙李靜宜</p> </div></div></div>
2022/1/7 19:16作者李靜宜https://www.ithome.com.tw/news/148765
【資安日報】2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>立陶宛政府在去年9月，指出華為P40 5G、小米Mi 10T 5G等中國製手機存在資安風險，而後者在臺灣也有上市，是否也有類似的問題？國家通訊傳播委員會（NCC）於1月6日公布了他們的調查結果，指出該手機存在箝制言論自由的功能，會特別比對讓中國感冒的政治關鍵字，而有可能將用戶資料回傳到中國的疑慮。</p> <p>日前的Log4Shell漏洞攻擊中，資安業者發現有部分攻擊者透過遠端方法呼叫（RMI）協定來觸發漏洞，最近也有資安人員警告，RMI很可能因為IT人員的配置不當，而被駭客用於發動伺服器端請求偽造（SSRF）攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148747"><span style="color: rgb(0, 0, 0);"><strong>NCC警告小米Mi 10T 5G手機存在過濾中國敏感政治詞彙的功能，恐有回傳資訊疑慮</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MiAdBlacklistConfig.png" style="width: 300px; float: right;" /></a>國家通訊傳播委員會（NCC）於1月6日表示，在臺灣販售的小米Mi 10T 5G手機，經檢測發現手機內建的應用軟體，會對中國敏感政治詞彙進行比對，甚至可能進一步回傳資訊，提醒民眾重視手機的個人隱私保護意識。NCC調查的動機，起因是<a href="https://www.ithome.com.tw/news/146838">2021年9月立陶宛政府發現，Xiaomi Mi 10T 5G含有資安風險</a>，NCC隨後委託電信技術中心（TTC）檢測在臺灣銷售的同款手機，發現多款內建的App，會從伺服器下載中國敏感政治關鍵字的比對檔案「MiAdBlacklistConfig」，過濾如「自由西藏」、「臺灣獨立」等關鍵字詞，由於製造商能隨時遠端更新過濾規則，加上中國法規規定企業有配合國家情報的義務，恐導致使用者隱私曝露的隱憂。</p> <h4><strong><a href="https://portswigger.net/daily-swig/java-rmi-services-often-vulnerable-to-ssrf-attacks-research"><span style="color: rgb(0, 0, 0);">Java的RMI機制恐被用於伺服器端請求偽造攻擊</span></a></strong></h4> <p>日前駭客鎖定Log4Shell發動攻擊時，有部分攻擊行動駭客改以遠端方法呼叫（RMI）下手。但資安人員認為，駭客在其他針對Java程式語言開發的系統的攻擊過程裡，利用RMI的情況可能也相當嚴重。研究人員Tobias Neitzel指出，他發現能利用RMI來發動伺服器端請求偽造（SSRF）攻擊手法，原因可能是IT人員難以設置能夠保護RMI的組態，其中最常用的RMI服務JMX，很可能成為攻擊者優先鎖定的目標。這名研究人員也提供相關緩解措施。</p> <h4><strong><a href="https://www.bitdefender.com/blog/hotforsecurity/us-police-parking-meters-phishing-qr-codes/"><span style="color: rgb(0, 0, 0);">美國警方警告，停車繳費的QR Code可能會被用於網釣攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/police-tweet.jpeg" style="width: 150px; float: right;" /></a>資安業者Bitdefender指出，近日美國德州首府奧斯汀的警方提出警告，表示他們發現有人在停車計費器上，張貼QR Code，意圖引誘想要透過手機付款的車主，在冒牌的付款網站上付錢，進而騙取車主的信用卡資料。奧斯汀市在接獲通報後進行調查，發現超過100個計費器被貼上此種QR Code，呼籲民眾要加以留意。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/google-docs-commenting-feature-exploited-for-spear-phishing/"><span style="color: rgb(0, 0, 0);">駭客在網釣攻擊中運用Google Docs的評論功能</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/email_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/email_1.jpg" style="width: 300px; float: right;" /></a>郵件安全業者Avanan指出，他們自2021年6月開始提出警告，攻擊者可透過Google Docs或其他同廠牌的網頁應用程式，將用戶引導到惡意網站，隨後在12月他們發現實際的攻擊行動中出現新的手法，攻擊者利用Google Docs的評論功能，透過Google分享通知信件的機制，來散布惡意軟體。由於這種手法信件是以Google的名義寄出，受害者難以察覺異狀而容易上當。</p> <h4><a href="https://therecord.media/albuquerque-impacted-by-ransomware-attack-on-bernalillo-county-government/"><span style="color: rgb(0, 0, 0);"><strong>美國縣政府驚傳遭到勒索軟體攻擊，辦公大樓被迫關閉</strong></span></a></h4> <p>美國地方政府因遭到勒索軟體攻擊影響運作，再度出現事故。美國墨西哥州伯納利歐縣政府在1月5日發布新聞稿，表明他們遭到勒索軟體攻擊，導致當地多個市政府的大樓約自當日的午夜，被迫關閉至今。根據該縣網頁公告，6日、7日這些大樓仍尚未恢復運作。縣政府表示，本次攻擊影響到縣府員工存取政府資料庫的權限，但多數公共安全服務如：911、警長辦公室、消防隊不受影響，可以正常接聽電話及因應緊急事故。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/finalsite-ransomware-attack-shuts-down-thousands-of-school-websites/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體攻擊學校網站服務業者FinalSite，數千個學校網站關閉</strong></span></a></h4> <p>為115個國家、逾8,000所各級學校提供網站代管服務的業者FinalSite，自1月4日起，開始有學校的網站無法使用，該公司當時宣稱，主要是名為Composer的內容管理系統出錯，直到1月6日才證實是遭到勒索軟體攻擊。許多學校抱怨，該公司提供的緊急通知系統無法使用，使得他們無法提供師生有關氣候或是武漢肺炎的訊息。</p> <h4><a href="https://securityweek.com/chemicals-company-element-solutions-discloses-cybersecurity-incident"><span style="color: rgb(0, 0, 0);"><strong>化學材料業者Element Solutions疑似遭到勒索軟體攻擊</strong></span></a></h4> <p>美國佛羅里達州化學公司Element Solutions於1月5日，表示他們遭到網路攻擊，不明人士入侵某些IT系統，該公司察覺後已阻止入侵行為，並進行系統的復原。至於攻擊事故的細節，資安新聞網站Security Week指出，可能是勒索軟體攻擊，但目前沒有駭客組織表明是他們所為。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-online-pharmacy-ravkoo-links-data-breach-to-aws-portal-incident/"><span style="color: rgb(0, 0, 0);"><strong>美國網路藥局Ravkoo遭駭，建置於AWS的處方入口網站資料外洩</strong></span></a></h4> <p>美國網路藥局Ravkoo於1月3日發出公告，表示他們架設在AWS的處方入口網站，疑似在2021年9月27日遭到異常存取，部分處方箋和個人健康資料可能被洩露，可能有10.5萬人受到影響。他們也將此起事故向美國聯邦調查局（FBI）通報，但強調目前尚未發現相關資料遭到濫用的情形。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/flexbooker-discloses-data-breach-over-37-million-accounts-impacted/"><span style="color: rgb(0, 0, 0);"><strong>預約管理服務FlexBooker資料外洩，近400萬用戶受到波及</strong></span></a></h4> <p>駭客組織Uawrongteam近日宣稱，他們在2021年聖誕節假期前，入侵了美國預約管理平臺FlexBooker，並竊走含有上千萬行客戶資料的表單。而FlexBooker也向用戶發出資料外洩通知，表明攻擊者存取了他們存放在AWS伺服器上的資料，但信用卡或支付卡資料沒有受到影響。根據密碼外洩查詢網站Have I Been Pwned取得的資料，共有3,756,794筆資料外洩。</p> <h4><a href="https://www.theregister.com/2022/01/04/slimpay_breach_fine/"><span style="color: rgb(0, 0, 0);"><strong>網路服務訂閱支付管理公司SlimPay曝露1,200萬客戶金融資料，遭罰18萬歐元</strong></span></a></h4> <p>網路定期支付服務業者SlimPay遭到法國監管機構CNIL處罰，原因是該公司將敏感的客戶資料，存放在可公開存取的伺服器長達5年。這些資料原本是用於內部研究，但該公司為了讓反詐欺的系統能運作更符合期待，使用了客戶資料庫裡的真實資料，而在2016年7月專案結束時，將相關資料遺留在公開的伺服器，直到2020年2月才察覺此事並補救。根據SlimPay的資安通報裡，上述資料波及1,200萬人，包含了住址、電子郵件信箱、電話，以及銀行相關資料。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&cate=0&keyword=&is_history=0&pages=0&sn_f=47017"><span style="color: rgb(0, 0, 0);">NCC公布110年智慧型手機內建軟體的資安檢測初步結果</span></a></strong></h4> <p>針對行動裝置業者是否積極強化手機內部軟體安全，國家通訊傳播委員會（NCC）近日公布110年度的檢測結果，他們分別在上半年與下半年，挑選109年下半5款熱銷中國手機，以及110年上半熱銷的10款手機，根據《智慧型手機系統內建軟體資安測試規範》進行測試。結果發現，5款熱銷中國手機在完成改善程序後通過檢測，而110年上半熱銷的手機裡，僅有iPhone 12通過檢測，其餘9款手機尚待廠商改善後進行複測。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/7 15:30作者周峻佑https://www.ithome.com.tw/news/148767
GovTech月報第2期：立院三讀通過數位發展部組織草案，數發部今年6、7月可望掛牌上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1201~1230)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位發展部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 政府組織改造 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技部 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">立院三讀通過數位發展部組織草案，最快2022年6月掛牌</span></strong></p> <p>趕在2021年底，立法院終於三讀通過數位發展部組織草案，由於數位發展部將移轉並整合來自NCC、經濟部、交通部、國發會、行政院資安處的部分業務，涵蓋資訊、電信、傳播、網路、資安五大領域，因此相關機關組織與人力調整，約需半年籌備時間，數位發展部最快在2022年6、7月正式掛牌上路。</p> <p>未來數位發展部相當重要的工作，包括確保國家資通安全、促進我國的數位經濟發展、加速國家數位轉型。未來將設立資通安全署、數位產業署，資通安全署統籌政府整體資安架構、資安業務推動，而數位產業署原先並不在行政院的規畫中，應立委要求設立，將推動數位經濟產業政策規畫。數位發展部還將新設法人單位，國家資通安全研究院，扮演國安資通安全的智庫角色。數位發展部並將管理原有法人包括資策會、電信技術中心、台灣網路資訊中心。</p> <p>立法院也通過科技部組改草案，科技部將在今年改制為國家科學及技術委員會（簡稱國科會），繼續掌管國家科技發展的規畫、預算，由部改為委員會，更著重於跨部會、跨領域協商，以及協調各部會與科技相關的資源。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位證明 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">歐盟頒布9個月接受期的COVID疫苗數位證明新規則</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/P051292-798143-1.jpg" style="width: 600px; height: 399px;" /></span></strong></p> <p>為了讓歐盟成員間防疫措施一致性的規畫，歐盟委員會近期頒布歐盟數位COVID證明規則，接受歐盟內旅行9個月（270天）接受期的疫苗接種證明，歐盟表示，數位疫苗接種證明接受期的統一規範，有助於各國持續協調旅行防疫措施，且新的規則能確保種種限制措施是基於科學、客觀條件施行，作為歐盟公民行使自動移動權利的依據。</p> <p>歐盟表示，歐盟現已發出8.9億分的數位證明，歐盟數位COVID證明已成為全球的標準之一，迄今為止，全球已有60個國家地區加入該系統。新規則統一各國間的不同規則，有效期的制定參考了歐洲疾病預防控制中心指導，在第一劑疫苗後六個月內施打加強劑，而數位證明容許額外的三個月寬限期內保持有效。</p> <p>此外，歐盟委員會也通過新的數位證明編碼規則，以區分施打初次疫苗接種發給的證明，以及完成加強劑量後發給的證明。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">行政院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子科技 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技政策 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">政府組量子國家隊，將投入80億元在5年內打造國產量子電腦</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/quantum-1(1).jpg" style="width: 600px; height: 337px;" /></span></strong></p> <p>行政院啟動我國量子運算新戰略，由科技部、經濟部、中研院組成量子國家隊，從2022年開始，5年投入80億元，加速臺灣在量子運算技術研究、人才培育，也將在臺南沙崙科學園區成立中研院量子科研基地。</p> <p>科技部指出，臺灣在發展量子科技有兩大優勢，其中之一是量子電腦一部分製程與半導體製程重疊，而臺在半導體製程、封裝、IC設計居領先地位，使臺灣在發展量子科技具有優勢，其次是量子電腦中量子位元與控制的基礎研究，臺灣長期培育數學、物理、電機、資訊及材料等基礎人才，有助於量子技術的研發。</p> <p>根據政府的計畫，未來將發展量子運算軟硬體技術，包括量子電腦硬體技術的半導體、超導體量子位元技術，結合量子科技軟體技術，目標在5年內研發出國產自製可真實運算的量子電腦，同時也要發展出國產的量子通訊網路系統。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位健康證明 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">衛福部推可介接歐盟的數位健康證明</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/health.jpg" style="width: 600px; height: 420px;" /></span></strong></p> <p>衛福部發表數位健康證明服務，讓本國民眾或外籍人士，以身分證、護照號碼、健保卡號碼、自然人憑證或是TW FIDO通過身分驗證，下載個人的數位健康證明，該證明採用歐盟的資料格式、符合GDPR最小資料揭露、資料可攜、可被遺忘等個資保護原則。</p> <p>民眾下載數位健康證明後，可以儲存至個人的手機或平板電腦，或是列印為紙本文件，未來出入歐盟地區，可出示健康證明上的QR Code供歐盟國家的檢查人員掃描，就能驗證最新的疫苗施打效期、是否施打合格的劑量。值得注意的是，數位健康證明採離線驗證方式，而非線上驗證，因此不需連接國外當地網路，衛福部並強調可避免曝露隱私的風險。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄市</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">高雄明年將首次舉辦智慧城市展，擬大秀5G IoT應用成果</span></strong></p> <p>2022年智慧城市展將在臺北、高雄兩地展出，也是高雄首次舉辦智慧城市展，高雄市長陳其邁預告，智慧城市展將具有高雄特色，也是高雄推動智慧城市一年多以來的成果展現。</p> <p>目前高雄市推動的智慧城市應用已有一部分的成果。例如高雄市水利局推動的高雄智慧水利監測密網計畫，針對高雄容易淹水地區，以NB-IoT通訊與感測器建立雲端的水情物聯網，監測區域排水系統、雨水下水道的水位變化，強化防災應變對策。</p> <p>另外，針對高雄輕軌容易因車輛、行人闖入導致事故發生，高雄市捷運局擬以AI輔助解決問題，像是以AI影像分析，為軌道建立電子圍籬，當輕軌列車即將進站時，偵測到人或動物、障礙物闖入警戒範圍，及時廣播驅離，並利用月台的攝影機，結合AI分析乘客上下車人流情形，作為列車班次調整參考。</p> <p>而在政府大力支持下，高雄近年來推動亞灣區5G AIoT創新園區，積極招商促成更多創新應用落地高雄，目前已吸引中華電信、中油、中鋼等大廠進駐，更在2021年底高雄舉辦亞灣創新展會，由進駐業者與合作夥伴展示5G AIoT應用，例如5G數位手術房方案、AR眼鏡的智慧製造應用等等。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧道路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">市區道路也要智慧化，臺南展示智慧道路成果</span></strong></p> <p>交通載具朝智慧化發展，道路也要趕上此一趨勢。臺南市政府在交通部補助之下，已在沙侖、南科兩園區打造智慧道路，以實現車輛與道相互溝通為目標，並鼓勵研發智慧駕駛系統的業者到臺南實驗場域進行測試。</p> <p>臺南市政府指出，隨著資通訊技術發展，車與路的整合不再只是理想，車與車（V2V）通訊、車與路通訊（V2I）、路與路(I2I)通訊愈來愈成熟，透過車輛與道路相互溝通，將即時的道路資訊送到車輛，提升行車應變，改善交通安全預警。</p> <p>臺南市建置的智慧道路基礎設施，包括盲點偵測系統、即時號誌介接，為了建立通訊，採用快速穩定光纖網路及無線電通訊設備，讓行駛的智慧車輛能和路側基礎設施溝通傳輸資料，同時將車輛的即時位置、行車畫面、行車數據送到臺南智慧交通中心。臺南市交通局透露，未來擬以開放API，讓智慧路側設施與各種智慧車輛介接。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺北市</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技執法 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">臺北市擴大交通科技執法，在易發生事故路口靠AI偵測交通違規</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%95%E8%A6%8F-1.jpg" style="width: 600px; height: 467px;" /></p> <p>臺北市擴大交通的科技執法應用，要讓違規駕駛不再心存僥倖。臺北市警局宣布已在鄭州路與西寧北路口建置「路口多功能交通違規科技執法設備」，2022年1月3日起正式啟用，以取締違規事件。</p> <p>北市的鄭州路與西寧北路口銜接東西向重要幹道，因交通車流量大，違規駕駛容易發生事故，因此北市府在該路口建置偵測設備，以AI辨識車種、行駛位置與時間，自動判斷違規行為與路徑，提升違規辨識率，再由員警審查確認後再舉發。目前科技執法取締的違規事件，包括未依規定轉彎、跨越雙黃線、闖紅燈、佔用機車停等區、車輛未停讓行人等等。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">消防署</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">消防署規劃以5G、AI打造智慧搜救平臺</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%9A%E8%A8%8A%E7%84%A1%E4%BA%BA%E6%A9%9F.jpg" style="width: 600px; height: 405px;" /></span></strong></p> <p>內政部消防署推動消防5G場域計畫，其中之一是建立智慧搜救平臺，結合5G、AR、AI、無人機等技術，強化搜救作業的資訊化管理，平時作為訓練之用，當災害發生時，透過智慧搜救平臺對搜救人員、設備進行管理。</p> <p>行動指揮車進入災區現場，未來能以基地臺在災區架構臨時的5G專網，並以無人機空拍影像回傳即時災情，或用以建立災區的3D模型，讓指揮中心檢視、縮放、評估災區範圍，還能透過搜救人員穿戴的AR頭盔，將現場即時影像回傳至指揮中心，並定位每位搜救人員位置，作為搜救指揮決策參考。</p> <p>無人機除了可以空拍影像、3D建模外，還可以無人機隊在空中建立無線通訊網路，將網路擴大到更大的距離。消防署也計畫導入AI影像辨識技術，以辨識無人機空拍影像、AR頭盔拍攝即時影像或熱顯像，提高搜救作業的效率。</p> <p> </p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資訊建設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交通 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;">提升公路安全，美國將投入2.6億美元助各州推動交通安全計畫及相關資訊系統</span></strong></p> <p>美國聯邦政府投入2.6億美元，用以提升公路行車安全，包括投入1.33億美元支持50個州以數據驅動的交通安全計畫，以及投入1.23億美元鼓勵發展交通安全資訊系統。美國公路每年發生許多事故奪走人命，已被美國政府視為全國性的重要議題，因此聯邦政府準備投入2.6億美元，協助各州強化交通執法、交通安全教育宣導，也將協助各州建置交通安全相關的資訊系統，包括車輛碰撞、預防駕駛分心、行人及自行車安全相關的資料庫。</p> <p> </p> <p>圖片來源／歐盟、衛福部、富鴻網、臺北市政府、科技部</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1. 衛福部預告電子病歷上雲草案，兩大方向法規細節終於公布</strong></p> <p><strong>2.北捷將測試以AI影像辨識，確保旅客入站遵守防疫規定及車廂安全</strong></p> <p><strong>3.桃園、臺中、高雄三縣市明年測試5G新應用</strong></p> <p>資料來源：iThome整理，2021年12月</p> <p> </p> </div></div></div>
2022/1/7 17:58作者蘇文彬https://www.ithome.com.tw/news/148771
微信開始支援數位人民幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人民銀行旗下的數位貨幣研究所，<a href="https://apps.apple.com/cn/app/%E6%95%B0%E5%AD%97%E4%BA%BA%E6%B0%91%E5%B8%81-%E8%AF%95%E7%82%B9%E7%89%88/id1571652872" target="_blank">在本周釋出了支援Android與iOS的數位人民幣程式</a>，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</p> <p>此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</p> <p>螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶在去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。</p> <p>當微信用戶在數位人民幣程式上完成身分認證後，就能在微信內建的微信支付中，選擇收取數位人民幣或是以數位人民幣支付。</p> <p><a href="https://www.ithome.com.tw/news/145739" target="_blank">根據人民銀行去年上半年的統計</a>，中國已有十多個城市、132萬個場景成為數位人民幣的測試區域，超過1,000萬名用戶參與數位人民幣的測試，所交易的金額達到345億元人民幣，也將在今年2月於北京舉行的冬奧運動會，開放國際人士參與數位人民幣的測試。</p> </div></div></div>
2022/1/7 16:52作者陳曉莉https://www.ithome.com.tw/news/148774
Ruby類型檢查工具Sorbet於VS Code商店上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上支付服務Stripe發布適用於<a href="https://sorbet.org/blog/2022/01/06/open-sourcing-sorbet-vscode">VS Code的擴充套件Sorbet</a>，Sorbet可透過語言伺服器協定，提供Ruby開發環境編輯器功能。在這個開源的版本中，開發者於VS Code中使用Sorbet時，可以簡單地使用語言伺服器協定功能，簡化Sorbet使用上的麻煩。</p> <p>由於Stripe有一大部分的程式，都以Ruby撰寫而成，因此致力開發各種Ruby工具，並且也持續將這些成果貢獻給社群。該公司在2019年的時候，開源了Ruby類型檢查工具Sorbet，這個類型檢查工具能夠檢測程式碼中存在的類型不一致，所產生的安全性風險。</p> <p>開發者在撰寫程式碼的時候，有時候會不小心寫出不連貫的程式碼，像是在字串變數使用Map方法，而這會使程式出現錯誤。在動態類型程式語言中，這類錯誤必須要等到執行期間，才會引發問題，而使用類型檢查工具則能夠分析程式碼，更早地發現錯誤。</p> <p>Stripe提到，因為Ruby鬆散的語法和猴子修補（Monkey Patch）的特性，能夠讓開發者很快地拼湊出功能強大的應用程式，但是程式碼容易出現疑義，Sorbet能夠降低程式碼混亂的問題，增加Ruby程式碼的穩定性和清晰度。</p> <p>Sorbet為多執行緒設計，能夠利用CPU核心線性擴展，在數秒內檢查完程式碼中的類型。Sorbet能夠讓開發者的Ruby開發環境，擁有類似IDE的功能，包括自動完成、編輯器內文件和跳轉到定義等，而這項功能是利用語言伺服器協定來實作，能夠與開發者熟悉的編譯器搭配使用。</p> <p>而現在Stripe發布適用於VS Code的Sorbet擴充套件，便能夠讓VS Code使用者，更方便地配置，並且開始使用Sorbet。過去Sorbet透過公開—lsp旗標，供開發者以語言伺服器協定來啟動Sorbet，回應各種語言伺服器協定請求，像是跳轉到定義、查詢所有參照，以及自動完成等功能。</p> <p>而現在有了VS Code的Sorbet擴充套件，降低了開發者在VS Code配置和使用語言伺服器協定模式的門檻。這次Stripe的發布，包括VS Code商店中的預建置擴充套件，以及GitHub上的Sorbet儲存庫，同時官方也提供完整的Sorbet安裝和使用指南。</p> </div></div></div>
2022/1/7 16:59作者李建興https://www.ithome.com.tw/news/148773
哈薩克的網路斷線，衝擊全球15%的比特幣挖礦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位居中亞、身為中國鄰居的哈薩克，為了鎮壓境內的暴動，在周三（1/5）宣布進入緊急狀態，並切斷全國網路，造成全球比特幣算力下滑15%。</p> <p>哈薩克（Kazakh）為中亞最大的經濟體，還有豐富的天然資源，包括石油、天然氣與煤礦，<a href="https://www.ithome.com.tw/news/145150" target="_blank">在中國政府於去年6月以斷電的強硬手段</a>驅逐境內的比特幣礦場之後，中國礦工便就近轉移到以煤礦發電的哈薩克。</p> <p>哈薩克原本就占據全球比特幣算力的12%左右，但自去年6月開始接受中國礦工以來，<a href="https://ccaf.io/cbeci/mining_map" target="_blank">所占算力已達全球的21.9%</a>，僅次於美國的42.7%。</p> <p>然而，最近哈薩克的燃料大漲，促成當地民眾的抗議行動，再佐以民眾對哈薩克政府長期的不滿，更爆發了嚴重的衝突，在哈薩克政府請求俄羅斯派兵援助的當天，也要求電信業者中斷境內的網路。</p> <p>網路中斷不僅阻止了民眾的通訊，亦使得哈薩克境內的礦工無以為繼，<a href="https://www.cnbc.com/2022/01/06/kazakhstan-bitcoin-mining-shuts-down-amid-fatal-protests.html" target="_blank">數位資產融資業者Foundry副總裁Kevin Zhang向《CNBC》透露</a>，該國政府的行為讓全球比特幣挖礦算力瞬間減少15%。</p> <p>儘管該國的網路已恢復正常，但哈薩克並不鼓勵礦工於該國境內挖礦，已計畫於今年向這些礦場加徵稅賦，使得外界預期位於該國境內的礦工遲早會遷移至其它據點。</p> </div></div></div>
2022/1/7 15:36作者陳曉莉https://www.ithome.com.tw/news/148768
H2資料庫發現類似Log4Shell的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底爆發的Apache Log4j軟體漏洞，讓全球資安及伺服器管理員至今仍忙得不可開交，<a href="https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/" target="_blank">安全廠商JFrog又發現另一個常用軟體H2資料庫</a>，也有類似Log4Shell的遠端程式碼執行（RCE）漏洞，呼籲用戶立即升級到最新的2.0.206版本。</p> <p>這家安全廠商去年12月在H2資料庫控制臺（console）發現到的漏洞（編號CVE-2021-42392），和Log4Shell（JNDI remote class loading）根本原因相同。使未經授權的攻擊者可傳送經改造的參數、觸發目標伺服器的漏洞，而在受害機器上遠端執行程式碼。CVE-2021-42392的風險值尚未給定，研究人員解釋，是因為最新漏洞被開採風險尚難確認。</p> <p>H2是開源Java SQL資料庫，以其輕巧、執行於記憶體內，不需資料儲存在磁碟內而受許多開發人員歡迎，也廣泛用於多種專案中，像是Web平臺專案Spring Boot或是IoT專案ThingWorks。com.h2database:h2並以將700項成品（artifact）相依，而名列Maven套件庫中前5大套件之林。</p> <p>CVE-2021-42392漏洞出在H2資料庫框架裏多條程式碼路徑，在未經過濾下將攻擊者控制、變造的URL，傳送到控制臺上的javax.naming.Context.lookup函式，允許載入遠端程式，即Java程式碼注入或RCE。</p> <p>研究人員進一步解釋，org.h2.util.JdbcUtils.getConnection方法可加入驅動程式類別(driver class)及資料庫URL。如果驅動程式類別可被指派為javax.naming.Context類，則攻擊者可建立物件實例（inisantiate）及呼叫查詢方法。此時若提供的驅動程式類別是javax.naming.InitialContext及URL: ldap://attacker.com/Exploit，則可導致RCE、甚至接管系統。</p> <p>不過它和Log4Shell風險還是一段差距。研究人員說明，首先，處理惡意呼叫的目標機器必須是跑H2控制臺（console）的伺服器。許多廠商和企業可能有H2資料庫，但不見得有H2控制臺。這就縮減了潛在受害者的廣度。另外，香草（vanilla）版H2資料庫中，H2控制臺預設只聽取本地主機連線，不會受遠端攻擊，但是它也可變更為聽取遠端連線。</p> <p>研究人員指出，如果本地區域網路（LAN）、甚至廣域網路（WAN）上跑H2控制臺軟體的伺服器有這漏洞的話，後果相當嚴重。<a href="http://www.h2database.com/html/download.html" target="_blank">研究人員也呼籲用戶立即升級到已解決漏洞的最新2.0.206版本</a>，原因在於有其他攻擊管道，同時遭開採風險尚難確認。</p> <p>在Log4Shell漏洞方面，Log4j修補版本公布一個月後，駭客攻擊活動仍然猛烈。<a href="https://www.ithome.com.tw/news/148739" target="_blank">微軟本周指出</a>，12月幾個星期間試圖開採漏洞的活動仍然頻繁，他們觀察到攻擊者涵括中國、伊朗、北韓、土耳其及俄羅斯等國家支持的駭客組織，及以獲利為目的犯罪組織。美國聯邦交易委員會（FTC）警告，若因未修補漏洞而致客戶個資外洩或財務損失，可能遭FTC提告。</p> </div></div></div>
2022/1/7 16:13作者林妍溱https://www.ithome.com.tw/news/148769