iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟揭露攻擊烏克蘭的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/" target="_blank">微軟在13日察覺</a>有駭客針對烏克蘭展開大規模的網路攻擊，分析後將攻擊所使用的惡意程式稱為WhisperGate，並說攻擊行動中雖然出現勒索信件，卻只是掩人耳目，因為它實際上破壞的是電腦主開機紀錄（Master Boot Record，MBR）與特定檔案的內容。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MTIC）把這次的攻擊行動命名為DEV-0586，並未發現這次的攻擊行動與已知的駭客集團有關，也無從評估駭客的意圖。不過，此一攻擊至少擴及烏克蘭的數十個系統，涵蓋政府機構、非營利組織及資訊科技組織，迄今尚無法確定實際的損害規模。</p> <p>根據MTIC針對此一網路攻擊行動的分析，駭客的第一步是竄改MBR並顯示假的勒索信件，有多個跡象顯示駭客並未真正植入勒索軟體，例如它僅竄改MBR但並未具備復原機制；或者是在勒索信中罕見地公布了贖金金額與加密貨幣電子錢包位址；以及它僅提供了一個Tox ID作為聯繫窗口，一般而言，駭客為了方便與受害者交流，都會設立一個支援論壇或是提供電子郵件帳號；再加上駭客並未於勒索信中建立客戶ID，代表駭客根本無從得知要以哪個解密金鑰替受害者解鎖。</p> <p>第二步則是下載了可用來破壞檔案的惡意程式，執行後它會變更特定檔案的副檔名，並覆蓋相關檔案的內容，再變更其檔案名稱。</p> <p>目前微軟已於Microsoft Defender Antivirus及Microsoft Defender for Endpoint中添增了對WhisperGate的偵測與防堵能力，同時公布了WhisperGate的危害指標供外界參考。</p> </div></div></div>
2022/1/17 11:40作者陳曉莉https://www.ithome.com.tw/news/148914
Microsoft Defender漏洞讓惡意程式得以躲避偵測，至少存在1年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">安全研究人員發現</a>微軟Microsoft Defender存在一項漏洞，能讓攻擊者用來躲避偵測植入惡意程式。安全研究人員相信這漏洞至少去年，甚至8年前就存在。</p> <p>日前才<a href="https://www.ithome.com.tw/news/148858" target="_blank">揭露USB over IP軟體漏洞</a>的SentinelOne研究人員Antonio Cocomazzi，上周再揭露存在Defender防毒產品的漏洞。這是因為防毒產品掃瞄會造成系統效能下降、<a href="https://www.ithome.com.tw/news/148112" target="_blank">有時還會誤判</a>而造成運作失常，因此和所有其他防毒軟體一樣，Defender也讓用戶設定系統上的例外位置，使防毒掃瞄略過那些區域。只要找到記錄這些例外位置的清單，攻擊者就能將惡意程式儲存在那些區域，而不會被防毒軟體偵測到。</p> <p>這就是Defender的漏洞所在。Cocomazzi發現只要在Windows搜尋列中搜尋「HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions」及「HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions」可以找到用戶對Defender設定的例外清單，即使是一般權限用戶也可透過GUI工具找到。此外，在PowerShell cmdlet指令中執行GetMpPreference，也可以存取到這資訊，不過這需要具有管理員權限。</p> <p class="rtecenter"><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-defender-600.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">圖片來源_Antonio Cocomazzi</a></p> <p>Cocomazzi指出，這項存取控制清單（access control list，ACL）組態存誤漏洞，影響所有版本Windows 10及Windows Server 2019，但不影響Windows 11。研究人員Nathan McNulty證實至少在去年釋出的Windows 21H1及21H2，已經存在這漏洞。</p> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">代號SecurityAura的研究人員相信</a>這漏洞至少已經存在8年。<a href="https://twitter.com/overtsecrecy/status/1389985295618215938" target="_blank">Paul Bolton去年5月</a>曾向微軟安全研究中心通報這問題，但後者僅視為產品建議而未有動作。</p> <p><a href="https://twitter.com/NathanMcNulty/status/1481137548210556929" target="_blank">McNulty指出</a>PowerShell上很早以前即已限制存取權限，但GUI上的漏洞卻未曾解決。他還說，不記得微軟何時曾經強化過登錄檔（registry）的安全性。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-weakness-lets-hackers-bypass-malware-detection/amp/" target="_blank">媒體測試</a>將勒索軟體樣本儲存在Defender例外清單的資料夾中，Defender果真不會顯示出任何可疑程式的警告。</p> <p>微軟官方目前尚未做出說明。</p> </div></div></div>
2022/1/17 10:10作者林妍溱https://www.ithome.com.tw/news/148905
Meta遭控告濫用4,400萬英國用戶個資，應賠償23億英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theguardian.com/technology/2022/jan/14/meta-sued-for-23bn-over-claim-facebook-users-in-uk-were-exploited" target="_blank">英國衛報</a>、<a href="https://www.bbc.com/news/technology-59964654" target="_blank">BBC</a>報導，Meta（前臉書）上周遭控告以免費使用換取民眾寶貴個資，應為這種剝削行為賠償英國用戶23億英鎊。</p> <p>英國一家消費者權益監督機構顧問Liz Lovdahl Gormsen上周向英國競爭上述審裁處（Competition Appeal Tribunal）控告Meta在2015到2019年間，剝削4,400萬英國臉書服務的用戶，應該對每位英國用戶提供賠償。</p> <p>Gormsen指稱Meta的營運模式，涉及了英國《1998年競爭法》中「不公平定價」（unfair price）行為。她指出，Meta/臉書表面上讓英國用戶免費使用其平臺，實則是有代價的，其代價為取得用戶的個資，並利用這些個資產出鉅大營收。</p> <p>她表示，用戶提供寶貴的個資讓Meta獲得數十億美元利益，卻只換來免費使用平臺的服務，一毛錢也沒拿到，Meta和用戶之間根本存在極大比例的不平等。</p> <p>她要求Meta/臉書為這種不公平定價的剝削行為做出賠償，且英國4,400萬臉書用戶都應該被有權包含在這樁官司中，除了少數選擇退出（opt out）的用戶外。</p> <p>但<a href="https://www.theguardian.com/technology/2022/jan/14/meta-sued-for-23bn-over-claim-facebook-users-in-uk-were-exploited" target="_blank">Meta向媒體表示</a>，Meta平臺免費提供用戶服務，他們使用Meta是因為服務有其價值，而且用戶也有很大權利控制在Meta平臺上分享什麼資訊及分享給何人。Meta也為開發這類工具投資很高成本。</p> <p>英國政府在2018年，也曾因劍橋分析（Cambridge Analytica）洩露8,700萬臉書用戶個資事件、波及100萬名英國用戶，<a href="https://www.theguardian.com/technology/2018/oct/25/facebook-fined-uk-privacy-access-user-data-cambridge-analytica" target="_blank">判罰當時的臉書50萬英鎊</a>。</p> <p>不過2018年一樁代表英國數百萬用戶以追蹤用戶為由，向Google求償的集體控訴，最後<a href="https://www.bbc.com/news/technology-59221037" target="_blank">遭英國最高法院駁回</a>。</p> </div></div></div>
2022/1/17 10:28作者林妍溱https://www.ithome.com.tw/news/148906
英特爾投入開發新一代伺服器浸沒式冷卻技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/beverlyhillschamber/20220112005393/en" target="_blank">英特爾上周宣布</a>將投入開發新一代伺服器浸沒式冷卻技術。</p> <p>為因應諸如人工智慧等愈來愈耗費運算資源的任務，現今伺服器管理員無不希望能在愈來愈小的機器中，同時擴增運算能力及提升用電效率。過去主流的氣冷式技術不但耗電、且需要較大的伺服器空間設計，相較之下，浸沒式液冷式技術方案具有更好的熱傳導率，具有可支援高密集性機櫃及冷卻效率等優點。</p> <p>在英特爾與冷卻方案的Green Revolution Cooling（GRC）公司上周簽定一項多年合作協議中，雙方將設計新一代浸沒式冷卻技術，同時最佳化採用英特爾Xeon Scalable處理器的系統效能。雙方也將和資料中心客戶合作測試這項技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-GRC-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／GRC</span></p> <p>這是自2018年英特爾和<a href="https://wccftech.com/intel-pushes-for-liquid-immersion-cooling-in-their-datacenter-plans/" target="_blank">Submer公司</a>的合作後，第二樁發展浸沒式液冷技術的合作。</p> <p>英特爾和GRC合作將為搭載Xeon Scalable 處理器的資料中心機櫃式伺服器，設計客製的浸沒冷卻方案，以及建立相關認證方案，確保任何同類型機器使用的冷卻液體相容且可安全使用。</p> <p>英特爾院士Mohan Kumar指出，這項合作可讓客戶滿足高運算及冷卻需求，使資料中心以更環保的方式運作。</p> <p>根據<a href="https://wccftech.com/intel-pushes-for-liquid-immersion-cooling-in-their-datacenter-plans/" target="_blank">Wccftech報導</a>，英特爾和兩家浸沒式冷卻方案業者的合作，不僅可加速新式冷卻技術在高運算資料中心的普及，英特爾也會確保搭載Xeon處理器及Xe-HPC加速器的伺服器量產時的硬體供應。</p> </div></div></div>
2022/1/17 10:52作者林妍溱https://www.ithome.com.tw/news/148907
烏克蘭遭大規模網路攻擊，數十個政府網站被迫關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭在上周三（1/13）開始遭到大規模的網路攻擊，駭客入侵眾多政府網站並竄改網頁，使得烏克蘭緊急關閉這些政府網站，<a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/" target="_blank">《Bleeping Computer》表示</a>至少有15個烏克蘭公共組織的網站被駭，而<a href="https://www.bloomberg.com/news/articles/2022-01-14/several-ukraine-ministry-websites-struck-by-likely-cyberattack" target="_blank">《彭博社》（Bloomberg）</a>則說遭駭的政府網站達70個，包括教育部及外交部等。而不管烏克蘭或外界都懷疑此一攻擊行動與俄羅斯政府有關。</p> <p>近來俄羅斯與烏克蘭的關係惡化，最近幾周俄羅斯還在雙方邊界部署了坦克車、砲兵與10萬名士兵，益發使得烏克蘭向美國與歐洲靠攏。</p> <p>駭客在所入侵的烏克蘭政府網站上以烏克蘭語、俄語及波蘭文張貼了訊息，指出烏克蘭民眾的所有個人資料都已經被移除，無法再復原，且所有的個資都會被公諸於世，民眾應該要感到害怕，並期待最壞的狀況。</p> <p>然而，負責烏克蘭通訊及資訊保護的政府官員Viktor Zhora向《彭博社》表示，受駭網站的內容並未被危害，亦無外洩重要資料。</p> <p>根據<a href="https://www.reuters.com/world/europe/exclusive-ukraine-suspects-group-linked-belarus-intelligence-over-cyberattack-2022-01-15/" target="_blank">《路透社》</a>報導，烏克蘭認為執行該攻擊的是由白俄羅斯政府所操縱的UNC1151駭客集團，但背後真正的主使者卻是與白俄羅斯擁有親密戰友關係的俄羅斯。</p> <p>當多數人都把矛頭指向俄羅斯時，該國則說這是毫無根據的指控。</p> </div></div></div>
2022/1/17 11:15作者陳曉莉https://www.ithome.com.tw/news/148908
互動開發環境IPython清掃老舊程式碼發布最新8.0版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jupyter發布IPython 7.0已經是3年前的事，官方現在終於推出<a href="https://blog.jupyter.org/release-of-ipython-8-0-6e034ff122ef">8.0版本</a>，這個版本改進現有的程式碼庫中數個功能，包括可在CLI中使用Black重新格式化程式碼、Ghost建議，以及能夠突出顯示錯誤節點的追蹤（Traceback），該功能使得複雜的表示式更容易除錯。</p> <p>IPython是一個強大的互動式直譯器，在純Python腳本上，提供Tab鍵完成、更好的追蹤以及多行編輯等功能。</p> <p>除了更新功能，官方提到，其實這個版本大部分的改變，都在於刪除該拋棄的程式碼。IPython是在20幾年前，由Fernando Pérez在大學延畢時開發的，20幾年來，IPython中留有許多老舊不適用的程式碼，而官方認為在增加主要版本號的現在，正是刪除這些程式碼的時機。</p> <p>IPython 8.0刪除了大量以棄用，或是未被使用的程式碼，並放棄老舊且未受持續維護的相依項目，像是IPython已經移除Nose改使用pytest。官方擴大IPython的程式碼覆蓋率，透過增加軟體測試的比例，來提升IPython的穩定性和安全性。</p> <p>另外，IPython 8.0還刪除了大部分在IPython 1.0和5.0之間，已經被標記為棄用的函式和參數，並且根據NEP 29，將Python版本最低需求提高到3.8，官方提到，這項改進使得IPython能夠同步使用Python的原生功能，而不需要不停地進行額外修改。</p> <p>整體來說，在新版本中，即便進行許多更新，程式碼庫也從原本的348個檔案37,500行程式碼，下降到了294個檔案36,100行程式碼，官方希望IPython瘦身後，能夠加速CLI啟動，使IPython更易於使用。</p> <p>IPython的建置程序也有更新，現在使用pyproject.toml來宣告建置，但目前仍然會需要setuptools模組和setup.py檔案，但官方正努力簡化這個過程，以及刪除不需要的配置。用戶現在可以使用python -m build指令來建置IPython Wheels和sdist。</p> <p>官方依據NEP 29，會繼續在每個月最後一個星期五，發布小版本更新。儘管IPython 8.0已經發布，但是官方仍然會提供7.x版本重要錯誤的更新，只是現在同時還會看到8.x穩定版本更新。</p> </div></div></div>
2022/1/17 09:42作者李建興https://www.ithome.com.tw/news/148896
Flink ML 2.0改進演算法可用性，還新增Python支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Flink社群發布機器學習函式庫<a href="https://flink.apache.org/news/2022/01/07/release-ml-2.0.0.html">Flink ML 2.0.0</a>，在這個新版本中，開發團隊重構Flink ML早期的函式庫，擴展Flink ML API並更新Runtime主要功能，像是開始支援多輸入和多輸出，和新增串流批次統一函式庫等，另外，這個版本還添加了5個演算法實作。</p> <p>Flink ML是Apache Flink串流處理框架的一部分，提供機器學習API和基礎設施函式庫，能夠簡化機器學習工作管線建置工作。</p> <p>Flink ML和基於Flink的機器學習演算法平臺Alink開發人員合作，一起重新設計API，來提供高效能演算法，現在官方開始在Flink ML添加演算法，目前這個版本官方已經實作了5種演算法，包括對數機率迴歸、k-means、K-近鄰演算法、單純貝氏分類器以及One-hot編碼器，除了加入新的演算法外，官方也會持續進行壓力測試和最佳化，確保演算法的效能。</p> <p>由於機器學習工作流程的各階段，可能需要多個輸入，並回傳多個輸出，例如圖嵌入演算法需要讀取兩個表格，分別獲取圖的邊和節點資料，又或是工作流程可能有一個階段，需要將輸入資料集拆分成為兩個資料集，分別用於訓練和測試。</p> <p>而在Flink ML 2.0.0中，演算法開發人員可以使用多輸入和多輸出功能，將機器學習工作流程，組裝成為預定義階段的有向無環圖（DAG），並可以在不清楚細節的情況下，配置和部署該工作流程，而這大幅擴展了Flink ML的可用性和應用性。</p> <p>Flink ML新版本更好地支援線上學習，使用公開模型資料的API，官方解釋，在原生的線上學習場景中，用戶可能擁有一個長期執行的工作，不斷地處理訓練資料，並更新機器學習模型，用戶能夠在網頁伺服器上，部署多個工作來進行線上推理，而這需要將最新的資料，以接近即時的延遲，從訓練工作傳輸到推理工作。</p> <p>但問題是，傳統的Estimator/Transformer範式，並不提供API以串流的方式暴露模型資料，因此用戶就許要反覆呼叫fit()來更新模型資料，官方表示，用戶雖然可以每隔數分鐘更新一次模型資料，但是這種方法效率非常差。而新版本中提供了getModelData() API，供用戶將資料模型即時傳輸到網頁伺服器，並使用最新的模型資料進行線上推理，這項功能可以明顯強化Flink ML的線上學習應用能力。</p> <p>另外，Flink ML 2.0.0還加入了串流批次統一迭代函式庫，官方表示，為了支援訓練機器學習演算法，並根據預測結果，動態調整模型參數，需要原生支援迭代資料處理，但Flink是使用DAG來描述流程邏輯，因此需要在Flink之上，單獨提供迭代函式庫，而且Flink要能支援離線訓練和線上訓練，迭代函式庫還要同時支援串流和批次處理用例。</p> <p>因此在這個新版本中，官方實作串流批次統一迭代函式庫，提供將紀錄回傳給優先運算子，並在迭代中追蹤進度的功能。用戶可以使用DataStream API和Table API來表達迭代內部的執行邏輯。</p> <p>由於Python廣受歡迎，許多機器學習開發者，已經習慣使用Python開發機器學習工作流程，因此Flink ML現在還提供Python套件，來滿足Python開發者的需求，接下來官方還會強化Python套件，增加與Java函式庫的互通性。</p> </div></div></div>
2022/1/17 09:45作者李建興https://www.ithome.com.tw/news/148898
後疫時代下的疫苗與口罩
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月開始，因為傳染力更強的Omicron變種病毒來襲，再加上先前傳染力也相當強的Delta變種病毒仍在散播，不只全球COVID-19疫情在2021年12月再度拉警報，連臺灣也是，顯然2022疫情仍不容各界太過樂觀，因此，這樣的「變」可能是我們短期之內必須接受的「不變」。</p> <p>然而，臺灣經歷將近半年的軟性自主隔離與封鎖，我們準備好重新迎接下一次類似的狀況嗎？尤其是好不容易挺過上一波長期警戒的企業、商家、個人，若認為先前因應方式做得不夠完備，現在更應加緊改善腳步。</p> <p>就防疫方式而言，在這個過程中，其實民眾的認知已進步不少，雖然先前疫情趨緩之後，許多人開始鬆懈，但至少對於如何做好防疫，已有了清楚認識，不至於無所適從。</p> <p>還記得2021年5月底進入三級警戒，全國開始積極推動疫苗施打，7月網路瘋傳打完疫苗之後，會有吸附金屬器具的超能力，現在大家可能一笑置之，覺得荒謬，但當時傳言講得煞有其事，不少媒體也當做奇聞或趣聞大肆報導，並未發揮公器的力量去制止這樣缺乏實證的消息散播，徒增公衛、醫護人員溝通相關訊息的負擔。</p> <p>國產高端疫苗（Medigen）先前的爭議，如今看來也是很荒唐。</p> <p>在2021年7月中，這款疫苗通過食品藥物管理署的緊急使用許可（EUA）審查，當時有不少人質疑程序，甚至有政客控告政府首長犯了「圖利罪」，有許多民眾也對國產疫苗沒信心，而影響其他人的施打意願。不過，後來陸續傳出多個國家認可高端疫苗，例如，7月有帛琉，9月有印尼，10月有紐西蘭，11月有貝里斯，今年1月則是泰國，澳洲很有可能會是下一個，因為目前正在該國申請疫苗緊急許可。此外，世界衛生組織（WHO）也在去年10月底，將高端列入候選疫苗──他們宣布啟動「團體試驗疫苗（Solidarity Trial Vaccines）計畫」，美國的Inovio Pharmaceuticals與臺灣高端疫苗均列入該計畫的候選疫苗。</p> <p>到了最近，臺灣在這波鼓勵民眾追加劑的施打浪潮中，不少地方政府設立的大型接種站提供莫德納疫苗，但也出現不少人反映想要施打高端疫苗，雖然必須自行尋找衛生所與診所，但顯然支持者也比先前增加一些。</p> <p>關於防疫，另一個在疫苗施打前也曾受到大家關注的醫療物資，就是口罩。在2020年，因為許多廠商的通力合作，使得臺灣民眾這兩年以來都能夠順利取得口罩，不過，隨著Omicron席捲全球，造成確診人數大爆發，1月中出現應戴N95口罩的傳聞，這源於許多外電的報導，他們表示，為了對抗病毒快速傳播，美國疾病管制暨預防中心（CDC）打算建議新做法：配戴N95或KN95口罩，這勢必又要引發一番搶購潮與論戰。然而，身為全球防疫模範生的臺灣，過去在政府不斷溝通相關防護措施之下，大部分民眾都應該了解到口罩當然很重要，但並不是唯一要仰賴的方式，也必須要搭配勤洗手、保持社交距離，以及落實簡訊實聯制，以協助疫情調查、追蹤與匡列可能感染者，當然還有施打疫苗。</p> <p>關於疫苗、口罩，以及各種強化防疫成效的手段，若從資安防護角度來反思，多數的IT人員應該可以明白每個環節都很重要，而不是妄想只用其中一種就能高枕無憂。</p> <p>這就如同單靠防毒軟體、防火牆，以及兩者相加，都無法百分之百杜絕各種資安威脅的侵入，因此，我們需要從端點、網路、伺服器、應用程式、電子郵件、雲端服務等多種層面，具備足夠的偵測與反制能力，以因應惡意軟體與非法存取活動的侵犯，同時，對於系統與網路端的各種活動，也必須清清楚楚掌握，讓那些仍能趁虛而入的資安威脅，就算想要暗中發動相關的攻擊，必須攤在陽光底下進行，以便作為防守端的企業能夠更妥善地主動因應，而非等到系統與服務遭到癱瘓、破壞，客戶資料與智慧財產等機敏資料外流到暗網拍賣，才意識到自己被「駭」了。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E7%96%AB%E8%8B%97">疫苗</a></div><div class="field-item even"><a href="/tags/%E5%8F%A3%E7%BD%A9">口罩</a></div></div></div>
2022/1/17 07:00作者李宗翰https://www.ithome.com.tw/voice/148899
【資安週報】2022年1月10日至14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自12月初延燒至今的Log4Shell漏洞，上週才有資安業者警告災情還會再擴大，本週就有數起攻擊事故。不只有知名企業表明因漏洞受到攻擊而資料外洩，更值得留意的是，隨著Omicron疫情升溫，許多企業可能又要求員工遠端工作（WFH），近期有數起Log4Shell的攻擊行動是針對遠端工作系統VMware Horizon而來。顯然，採用這類系統的組織，已成為許多駭客的頭號攻擊目標。</p> <p>但不只有上述應用系統會成為攻擊者下手的目標，也有駭客是將Log4Shell漏洞視為初期入侵的管道，以便發動進一步的攻擊行動。例如，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）就是利用這項漏洞，結合自己的作案工具，來加快攻擊的腳步。</p> <p>對比Log4Shell造成的影響範圍如此廣泛，普遍於許多企業運用的維護日誌記錄框架Log4j，卻是仰賴無償付出的志工維護，鮮少有企業回饋相關開源社群。在美國喊出開源軟體安全是國家安全議題，他們特別召集大型IT業者，來尋求解決之道。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://therecord.media/uk-nhs-threat-actor-targets-vmware-horizon-servers-using-log4shell-exploits/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Log4Shell漏洞，鎖定尚未修補的遠端工作平臺VMware Horizon下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/attacker-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attacker-diagram.png" style="width: 300px; float: right;" /></a>英國衛生服務部（NHS）提出警告，表明他們偵測到一起鎖定Log4Shell漏洞的攻擊行動，攻擊者鎖定尚未修補的遠端工作平臺VMware Horizon而來，向這些伺服器發送JDNI請求，使其通過LDAP連接到惡意網域，下載PowerShell指令碼安裝Web Shell，並注入於VM Blast Secure Gateway服務當中，以做為接下來攻擊行動的後門。NHS表示這個後門可被用於植入惡意軟體、資料外洩，甚至是進行勒索軟體攻擊。而這是繼去年12月勒索軟體駭客Conti、中國駭客組織Aquatic Panda的攻擊事故後，第3波鎖定VMware Horizon而來的Log4Shell漏洞攻擊行動。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/night-sky-ransomware-uses-log4j-bug-to-hack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Night Sky透過Log4Shell漏洞，鎖定VMware遠端工作平臺發動攻擊</strong></span></a></h4> <p>又是利用Log4Shell漏洞、針對遠端工作平臺VMware Horizon下手的攻擊事故。微軟於1月10日發布警告，中國駭客組織DEV-0401在1月4日發動相關攻擊，進而在受害組織部署勒索軟體Night Sky。這個勒索軟體最早約於2021年12月出現，根據捷克研究人員Jiří Vinopal比對，Night Sky為勒索軟體Rook改造而成。值得留意的是，DEV-0401在發動攻擊的過程裡，所連線的C2中繼站，架設於看似趨勢科技、Sophos、Nvidia等IT業者所屬的冒牌網域，而可能騙過不少網路防護系統。</p> <h4><a href="https://www.channelnewsasia.com/singapore/clarins-data-security-incident-singapore-customers-personal-information-log4j-software-vulnerability-2428066"><span style="color: rgb(0, 0, 0);"><strong>化妝品業者克蘭詩遭到Log4Shell漏洞攻擊，客戶資料恐外洩</strong></span></a></h4> <p>根據新加坡媒體CNA的報導，法國知名化妝品品牌克蘭詩（Clarins）在網站上發布公告，表示該公司出現資料外洩事件，且可能涉及新加坡客戶的個資，包含姓名、地址、電子郵件，以及客戶忠誠度資料等，但不包含密碼、信用卡資料。該公司指出，這次事件疑似與他們在系統中廣泛使用的Log4j有關，儘管在Log4Shell修補程式推出後的數個小時就予以修補，但他們還是在漏洞細節公布後遭到攻擊。</p> <h4><strong><a href="https://research.checkpoint.com/2022/apt35-exploits-log4j-vulnerability-to-distribute-new-modular-powershell-toolkit/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織利用Log4Shell漏洞，在受害組織植入PowerShell攻擊工具，以進行後續攻擊行動</span></a></strong></h4> <p>廣泛存在於眾多系統的Log4Shell漏洞，已成為許多攻擊者入侵受害組織的管道。在Log4Shell漏洞細節公開數日後，資安業者Check Point發現，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）掃描存在相關漏洞的應用系統並入侵，然後從AWS S3儲存桶裡，下載名為CharmPower的PowerShell後門程式。該後門程式可用來檢查網際網路連線狀態、枚舉受害電腦的組態，然後從C2中繼站下載其他功能模組，以執行後續攻擊行動。研究人員認為，CharmPower讓這些駭客能快速結合手上現有的軟體，在得知Log4Shell這種重大漏洞後，用來打造能突破重重資安防護的攻擊工具。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-russian-hackers-targeting-critical-infrastructure/"><span style="color: rgb(0, 0, 0);"><strong>俄羅斯駭客APT29、APT28、Sandworm Team鎖定美國關鍵基礎設施下手</strong></span></a></h4> <p>臺灣在資安即國安的戰略下，關鍵基礎設施（CI）成為重要的一環，而針對這類設施的相關威脅，國外也相當重視。例如，美國網路安全暨基礎架構安全局（CISA）、聯邦調查局（FBI）、國家安全局（NSA）聯合提出警告，APT29、APT28、Sandworm Team等俄羅斯政府資助的駭客組織，連年針對關鍵基礎設施，攻擊全球的工業控制系統（ICS）與操作科技（OT）環境，近期對於美國CI攻擊的情況加劇，他們呼籲相關業者要加強防護，保留各式事件記錄檔案（Log），並在察覺疑似遭駭的事件就進行通報。</p> <h4><a href="https://www.defenseone.com/technology/2022/01/common-office-desk-phone-could-be-leaking-info-chinese-government-report-alleges/360500/"><span style="color: rgb(0, 0, 0);"><strong>億聯IP電話設備疑似會每天向中國伺服器發送訊息</strong></span></a></h4> <p>中國品牌的行動裝置會回傳資料到中國，而引起關注，但該國品牌的IP電話，也可能存在類似的情況。根據美國國防新聞網站Defense One的報導，該國參議員Chris Van Hollen於2021年9月28日，向商務部提及億聯（Yealink）IP電話潛藏的資安威脅，並引用資安業者Chain Security對於該廠牌T54W電話的分析報告，確認商務部是否知情。由於億聯為當地政府IP電話的10大供應商之一，該廠牌IP電話廣受美國政府與企業採用，這名參議員認為，恐會造成國安威脅。</p> <p>資安業者Chain Security在研究報告指出，T54W會每天透過其管理平臺（YDMP）連線到阿里雲，多次交換加密訊息，而且億聯中國的員工可透過YDMP超級管理員身分，來監控網路流量。此外，T54W的韌體沒有使用數位簽章，有可能遭到攻擊者竄改。再者，根據億聯的使用者授權條款，中國政府可基於國家利益考量，要求億聯對使用者進行主動監控。</p> <h4><a href="https://mb.com.ph/2022/01/10/comelec-servers-hacked-downloaded-data-may-include-information-that-could-affect-2022-elections/"><span style="color: rgb(0, 0, 0);"><strong>菲律賓選舉委員會伺服器遭駭，恐波及總統大選</strong></span></a></h4> <p>菲律賓即將於今年5月舉行總統大選，相關的競選活動與籌畫正在如火如荼進行，卻驚傳辦理選務的單位資料外洩。當地媒體馬尼拉公報（Manila Bulletin）發現，有駭客組織於1月8日入侵菲律賓選舉委員會（Comelec）的伺服器，並下載該單位的內部網路資料，包括網域相關資料及選務資料。攻擊者不只下載了網域管理員帳密、特權用戶名單、網域政策，並取得投票區地點與選務人員名冊等細節。馬尼拉公報認為，這起資料外洩事件很可能會影響接下來的總統大選。</p> <h4><a href="https://apnews.com/article/technology-business-poland-hacking-warsaw-8b52e16d1af60f9c324cf9f5099b687e"><span style="color: rgb(0, 0, 0);"><strong>波蘭執政黨坦承購買間諜軟體Pegasus，否認用於監控政敵</strong></span></a></h4> <p>加拿大多倫多大學公民實驗室（Citizen Lab）與美聯社（AP）聯手，於去年12月揭露參議員Krzysztof Brejza等多名波蘭反對黨人士，手機遭到間諜軟體Pegasus監控，疑似是執政黨所為，消息傳出遭到當局否認。直到最近，該國執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski，在接受訪問中坦承，他們確實有採購Pegasus，並認為若是國安組織沒有這種技術「很可悲」，但對於購買該軟體的用途仍交待不清，僅否認是用於監控反對黨。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-about-ongoing-google-voice-authentication-scams/"><span style="color: rgb(0, 0, 0);">在網路上公開電話號碼的人士，恐成為Google Voice身分驗證詐騙的目標</span></a></strong></h4> <p>美國聯邦調查局（FBI）提出警告，網路拍賣的賣家，或是尋找竉物的失主，可能會因為留下了電話號碼以供聯繫，而成為歹徒藉由網路電話服務Google Voice進行詐騙攻擊的目標。FBI指出，一旦歹徒詐騙成功，將會以受害者的名義建立Google帳號，或是挾持他們的Gmail，以便日後用於其他詐騙攻擊。</p> <p>這些歹徒從各類拍賣網站來找尋目標下手，並以簡訊或是電子郵件，表明他們對出售的物品感興趣，但宣稱先前曾被其他賣家騙過，要求對方經由Google驗證為真實的人類。然後，歹徒會要求賣家告知收到簡訊驗證碼，但實際上，歹徒是利用賣家的電話號碼進行驗證，假借賣家的名義建立Google Voice帳號，然後接管賣家的Google帳號。FBI呼籲，網路賣家不要提供他人Google驗證碼，來防範相關詐騙攻擊。</p> <h4><a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/"><span style="color: rgb(0, 0, 0);"><strong>諾頓、Avira防毒在用戶電腦安裝挖礦軟體，且疑似預設啟用惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/avira-vt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/avira-vt.png" style="width: 300px; float: right;" /></a>NortonLifeLock自2021年7月開始，為旗下的Norton 360防毒軟體，提供挖礦服務Norton Crypto，並宣稱在用戶開啟相關功能的情況下才會執行。但近期有部分用戶發現，這項功能約自1月4日開始，改為預設開啟，且可能還關不掉，甚至有些用戶依照廠商的方法停用挖礦功能，竟導致電腦當機。此外，去年被併購的Avira，近期防毒軟體也被發現加入挖礦的模組，但是否也出現類似情形有待觀察。資安專家Chris Vickery指控，NortonLifeLock為獲利犧牲用戶，且挖礦加速全球的能源消耗，此舉令人反感。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織FIN7以感謝函和防疫指引的名義，發動BadUSB惡意隨身碟攻擊</strong></span></a></h4> <p>美國聯邦調查局（FBI）提出警告，駭客組織FIN7約自2021年8月開始，佯稱是AWS或是美國衛生與公共服務部（HHS），藉由感謝函、防疫指引等名義，透過美國郵政服務（USPS）或UPS，寄送含有BadUSB隨身碟的包裹。FBI指出，駭客先是將這類包裹寄給運輸業或保險業者，在11月開始寄給國防公司，一旦有人將包裹裡的隨身碟連接電腦，就會展開一連串的攻擊，最終在受害組織網路部署勒索軟體。</p> <h4><a href="https://www.intezer.com/blog/malware-analysis/new-backdoor-sysjoker/"><span style="color: rgb(0, 0, 0);"><strong>一口氣鎖定Windows、macOS、Linux電腦的後門程式，攻擊者多次更換C2中繼站網址來藏匿行蹤</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/c2-coms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/c2-coms.jpg" style="width: 300px; float: right;" /></a>一般而言，許多惡意軟體的發展過程，往往是從鎖定特定的平臺，後來才延伸開發針對其他作業系統的版本。但資安業者Intezer揭露的後門軟體SysJoker，同時針對Windows、macOS、Linux等多個作業系統，藉由系統更新的名義來散布。攻擊者自2021年12月使用這個後門程式，他們也與伊朗駭客APT35一樣，濫用雲端服務來藏匿行蹤──研究人員看到該後門程式透過在Google Drive上的文件字串，來產生C2中繼站的網址，在調查的過程裡，C2網址更動了3次。而對於攻擊的來源，研究人員認為，有可能是經由受感染的NPM（Node Package Manager）套件而來。</p> <h4><a href="https://www.crowdstrike.com/blog/tellyouthepass-ransomware-analysis-reveals-modern-reinterpretation-using-golang/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦</strong></span></a></h4> <p>有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。</p> <h4><a href="https://www.scmagazine.com/analysis/breach/213k-florida-digestive-health-patients-informed-of-2020-data-compromise"><span style="color: rgb(0, 0, 0);"><strong>美國佛州腸胃醫療機構驚傳資料外洩，21萬病人可能受到影響</strong></span></a></h4> <p>商業郵件詐騙（BEC）橫行，不只導致組織財務損失，還可能洩露客戶的資料。美國佛州消化道照護機構（FDHS）近日向212,509人發出資料外洩通知，表明一年前（2020年12月）數名員工電子郵件帳號遭到入侵的事故，不只該構構有部分資金遭竊，還有可能使得病人的資料外洩。這些資料包含了姓名、財務資料、聯絡方式、醫療診斷，以及保險與補助的資料。FDHS表示，電子病例系統（EMR）並未受到本起事故影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ea-50-high-profile-fifa-22-accounts-taken-over-by-phishing-actors/"><span style="color: rgb(0, 0, 0);"><strong>美商藝電驚傳FIFA玩家帳號遭駭</strong></span></a></h4> <p>社群網站如臉書、Instagram、推特等，名人帳號遭到挾持事件頻傳，但這樣的現象也出現在電玩遊戲上。美商藝電（EA）近期發布公告，指出足球電玩FIFA 22的玩家，有接近50個帳號遭到接管，攻擊者使用網路釣魚與其他社交工程手法，藉由客服人為錯誤來繞過雙因素驗證（2FA），來存取這些玩家的帳號，該公司將加強相關人員的訓練，以及改進身分驗證流程來因應。由於遭駭的玩家包含了直播主，甚至是Valentin Rosier等足球運動員，此事件的後續發展有待觀察。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-arrests-suspect-who-stole-unpublished-books-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);"><strong>義大利駭客鎖定出版業發動網釣攻擊，竊取未上市書籍稿件</strong></span></a></h4> <p>攻擊者利用商務郵件詐騙（BEC）的手法，大多是鎖定財務部門與相關主管，但也有針對出版業剽竊智慧財產的情況。美國於1月5日逮捕29歲的義大利人Fillippo Bernardini，這名男子藉由曾在大型出版商Simon & Schuster工作，但自2016年8月，他涉嫌冒充出版業的人士，使用超過160個假造網域名稱的電子郵件，佯稱是出版社或是文學偵察員（literary scout），要求作者在書籍出版前提供手稿，其中不乏得到普立茲獎肯定的作家。該名男子亦針對紐約市一家文字偵察員公司發動網路釣魚攻擊，進而從中得知即將出版的書籍資訊。一旦被判有罪，Fillippo Bernardini恐面臨20年以上的監禁。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202201110218.aspx"><span style="color: rgb(0, 0, 0);"><strong>虛擬實境內容平臺愛實境遭DDoS攻擊，竟是離職員工所為</strong></span></a></h4> <p>企業遭到網路攻擊，我們很可能會認為是被外部的駭客盯上，但熟悉內部網路環境、甚至握有相關權限的員工或前員工，也可能對公司造成危害。內政部警政署刑事警察局在1月11日宣布，去年10月底接獲虛擬實境內容平臺業者愛實境（iStaging）報案，該公司遭不明人士試圖攻擊伺服器，客戶反應虛擬展間服務出現異常，造成營運成本損失約400至500萬元，該案已破獲。</p> <p>根據中央社報導，警方在破案記者會上說明，經調閱該公司後臺事件記錄檔（Log）分析，攻擊者於2021年10月25日多次變造身分，發動DDoS攻擊讓該公司系統無法正常運作，且透過VPN隱藏原始來源IP位址。另根據TVBS等多家電視臺報導，經追查原始來源IP位址後，<a href="https://news.tvbs.com.tw/local/1687919　https://www.cna.com.tw/news/asoc/202201110218.aspx　">發現愛實境前員工54歲彭男涉有重嫌</a>，該嫌到案後供稱是要展現自己的駭客技術，全案移送臺北地檢署偵辦。</p> <h4><a href="https://udn.com/news/story/7315/6031301"><span style="color: rgb(0, 0, 0);"><strong>電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手</strong></span></a></h4> <p>國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。</p> <h4><a href="https://www.ithome.com.tw/news/148756"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪2021年造成140億美元損失，創下歷年新高，加密貨幣詐騙就超過半數</strong></span></a></h4> <p>區塊鏈分析業者Chainalysis指出，網路犯罪者用來接受非法交易的加密錢包，2021年總共進帳約140億美元，比2020年的78億美元增加近8成，創下歷史新高。值得留意的是，在2021年的非法交易裡，詐騙的金額就高達78億美元，尤其以誘騙投資人進場大量買進，待時機成熟再捲款潛逃的「拉地毯」（Rug Pull）詐騙手法最值得留意。此外，亦有32億美元加密貨幣遭竊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://threatpost.com/microsoft-wormable-critical-rce-bug-zero-day/177564/"><span style="color: rgb(0, 0, 0);">微軟2022年首個Patch Tuesday修補近百個安全漏洞，當中有6個為零時差漏洞</span></a></strong></h4> <p>微軟於1月11日發布2022年第一次每月例行修補（Patch Tuesday），總共修補了96個漏洞，其中有9個為重大漏洞、6個為零時差漏洞，但所幸皆未遭到駭客利用。針對本月微軟修補的情況，趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）表示，今年修補漏洞的數量，為過往一月份的2倍，亦較2021年12月（67個）多出快一半，2022年其他月份是否也會持續這樣的漏洞數量成長，值得觀察。</p> <h4><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></h4> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <h4><strong><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/"><span style="color: rgb(0, 0, 0);">盈碼科技NetUSB驚傳RCE漏洞，恐波及數百萬路由器</span></a></strong></h4> <p>資安業者SentinelOne於1月11日，揭露由臺灣USB共享解決方案業者盈碼科技（KCodes）所推出的NetUSB軟體，存在CVE-2021-45388漏洞，一旦攻擊者利用這項漏洞，能在作業系統核心層級執行程式碼。由於NetUSB廣泛運用於Netgear、TP-Link、D-Link等廠牌的路由器，恐有數百萬臺設備存在相關漏洞。研究人員向盈碼通報後，該公司於11月下旬表明在12月20日前發布修補程式。此外，Netgear也於12月20日，公告有3款產品D7800、R6400v2、R6700v3受此漏洞影響，並提供修補韌體。</p> <h4><strong><a href="https://portswigger.net/daily-swig/latest-wordpress-security-release-fixes-xss-sql-injection-bugs"><span style="color: rgb(0, 0, 0);">WordPress修補存在長達3年的XSS漏洞</span></a></strong></h4> <p>網站內容管理系統WordPress最近推出了5.8.3版，修補數項漏洞，其中較值得留意的是跨網站程式碼（XSS）攻擊漏洞，影響WordPress 3.7至5.8版，一旦攻擊者利用這項漏洞，就能在已經通過身分驗證的情況下，注入惡意的JavaScript指令碼酬載到貼文裡，進而感染管理者的儀表板，甚至有機會挾持管理者帳號。通報該漏洞的資安業者SonarSource表示，這項漏洞他們從3年前就告訴WordPress，如今終於得到修補，他們預計在1月11日揭露有關細節。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148769"><span style="color: rgb(0, 0, 0);">H2資料庫驚傳類似Log4Shell的漏洞</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png" style="width: 300px; float: right;" /></a>資安業者JFrog揭露，以Java程式語言開發、開源的SQL資料庫H2，其主控臺（Console）元件存在類似Log4Shell的RCE漏洞CVE-2021-42392，攻擊者可在未經授權的情況下，用來傳送竄改的參數，或是觸發目標伺服器漏洞，進而遠端於受害裝置上執行任意程式碼。研究人員呼籲用戶應升級H2至2.0.206版。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></h4> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Orcale，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148868"><span style="color: rgb(0, 0, 0);">針對電信業者資料外洩事故，美國擬祭出更嚴格的通報規則</span></a></strong></h4> <p>為了因應電信業者遭到資料外洩事故時，客戶個資可能隨即就面臨威脅，開始有政府打算採取更為嚴格的通報措施。美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel，於1月12日發出聲明，表示將針對境內電信業者客戶專屬網路資訊（CPNI）的外洩事件，祭出更嚴格的通告規定。其中，將取消事故發生後的強制等待期間規定，再者，則是這些電信業者未來也要向FCC通報相關事故。</p> </div></div></div>
2022/1/15 11:34作者周峻佑https://www.ithome.com.tw/news/148901
Cloud周報第131期：聯合航空利用雲服務自動驗證旅客核酸檢驗報告，並大規模搬遷系統上雲依營運量調整IT資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/06～2022/01/12）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯合航空 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 抗疫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 系統上雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>聯合航空搬遷上百個應用上公有雲，利用雲服務</strong></span></strong><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>驗證COVID-19核酸檢驗報告</strong></span></strong></p> <p>聯合航空日前對外分享公有雲服務的使用經驗，不僅建置疫情數位應用，大量採用公雲服務，以應對各國疫情邊境管制措施，並已搬遷超過100個應用程式上雲。疫情爆發後，因應各國不同的入境限制，聯合航空在行動App裡，建置了旅程預先準備服務，來驗證旅客的檢驗報告，先使用S3儲存大量COVID-19檢驗表單，以及使用DynamoDB資料庫分類儲存資料，然後通過Textract機器學習辨識服務，自動擷取資料。截至今日，聯合航空已經自動驗證超過400萬旅客的文件，處理超過75%的COVID-19檢驗表，更是唯一完全使用行動App檢查旅客檢驗報告的航空公司。</p> <p>聯合航空在2019年時，營運170萬架次的航班、服務1.62億名旅客，然而，這一切都在COVID-19疫情爆發後，發生巨大的轉變，旅客載運量大幅下滑，甚至2020年4月時，曾發生旅客數少於全體機師的狀況。聯合航空科技副總裁暨數位長Linda Jojo表示，傳統基礎設施平臺不僅無法擴充，也無法縮小規模。</p> <p>疫情爆發前，聯合航空才剛決定要搬遷系統上雲，因此，建置疫情數位應用的同時，資訊團隊也著手重構工作負載，展開上雲工程，搬遷逾100個應用上雲。Linda Jojo表示，航空公司以可觀的縮減速度營運，需節省現金支出，現上雲系統可隨著旅客需求量的變化，擴充和縮小。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/aws-named-united-airlines-preferred-cloud-provider">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端運算供應商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>英國欲加強監管雲端供應商，收集更多服務營運數據，確保銀行體系正常運作</strong></strong></p> <p>英國央行審慎監管署（PRA）擔心雲端服務故障或遭駭，會影響銀行體系運作，正在研擬加強雲端運算服務商的審查和監管，要獲得更多雲服務商的數據，包含服務營運彈性等資料。根據《金融時報》報導，PRA考慮引進更強力的停電和災難恢復的測試，計畫在今年與英國央行和英國金融行為監管局（FCA），就雲端服務的故障問題，共同發布一份聯合討論文件。</p> <p>英國七大銀行包含匯豐、駿懋等，近年大量採用公有雲服務，來降低IT成本，還有翻新陳舊的基礎設施，儘管，PRA訂定的營運彈性框架涵蓋銀行使用雲端運算的規範，但也越來越擔心若一項或多項雲服務同時發生故障，或受到駭客攻擊，可能導致銀行系統大規模中斷。</p> <p>英國金融政策委員會去年9月份的會議記錄更載明，「關鍵第三方服務供應商提供的服務，越來越重要，且雲服務集中在少數供應商手上，在缺乏更直接的監管和監督的情況下，對金融穩定性構成威脅。」再加上，許多銀行現採用多雲環境，因此金融業期望PRA模擬AWS和Azure同時中斷的情況，監管公有雲業者。<a href=" https://www.ft.com/content/29405a47-586b-4c5a-b641-0f479b4cee1d">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業稽核 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS正式推出稽核和安全目的性資料湖，簡化企業日誌分析工作滿足稽核要求</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Cloudtrail_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 180px;" /></strong></span></p> <p>AWS宣布正式推出稽核和安全目的性資料湖CloudTrail Lake，這是一項受託管的資料湖服務，企業可整合、不可變更地儲存和查詢日誌資料，來滿足稽核、安全調查和操作故障排除的需求。CloudTrail Lake整合收集、儲存、最佳化和查詢的功能，至單一服務的環境中，企業因而不需要跨團隊和產品，逐一建立資料處理工作管線，簡化活動日誌分析工作。</p> <p>CloudTrail Lake提供範例查詢，讓企業能夠快速地編寫查詢，收集像是使用者活動等，來加速安全調查。新服務具有不可變更事件資料儲存功能，和預設7年的資料留存期，以滿足企業對日誌資料的保存要求，而且支援企業從多個AWS地區和帳戶收集事件。企業可以使用AWS SDK或使用AWS CLI，在CloudTrail控制臺中，啟用CloudTrail Lake功能。該服務現已在美東、美西、巴黎、倫敦、東京、大阪、首爾、新加坡、孟買等地區上線。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2022/01/aws-cloudtrail-lake-audit-security/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 固網表現 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路速度 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>臺灣固網上傳速度僅38.42Mbps，大幅落後韓國94.72 Mbps、日本86.11 Mbps</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E9%80%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Speedtest.png" style="width: 600px; height: 297px;" /></strong></strong></p> <p>網路測速服務Speedtest日前針對臺灣固網服務表現，進行研究調查，並公布主要服務業者的表現狀況，以及各縣市固定頻寬的效能數據。綜觀東亞國家的固網上傳速度，韓國達94.72 Mbps，而日本達86.11 Mbps，相較東亞其他國家的固網效能，臺灣明顯落後，只有38.42 Mbps。</p> <p>2021年第三季臺灣主要固網服務供應商的最快下載速度中值表現，中嘉寬頻以93.73 Mbps居冠，超越凱擘的92.72 Mbps和中華電信的89.90Mbps，而台灣大寬頻則以72.53 Mbps居於第四位。上傳速度面，中華電信以39.82 Mbps的中值居冠，接著是中嘉寬頻（31.26 Mbps）、凱擘（27.89 Mbps）和台灣大寬頻（26.65 Mbps）。</p> <p>另外，各縣市固網網速表現狀況，臺北市下載和上傳網速中值都最佳，分別為108.71 Mbps和47.37 Mbps，新北市則是87.18 Mbps、36.97 Mbps居次。在Speedtest調查範圍內，嘉義市是唯一下載速度中值沒有超過65 Mbps的縣市，僅有60.34 Mbps，而彰化市上傳速度中值則是唯一沒高於30 Mbps的縣市，落在29.37 Mbps。<a href="https://www.speedtest.net/insights/blog/taiwan-fixed-broadband-q3-2021/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IBM雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 故障事件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資源配置問題 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>IBM雲全球大規模故障持續逾6小時，導致用戶無法配置雲服務資源</strong></span></p> <p>IBM雲於UTC時間1月6日早上，發生服無故障事件，持續長達逾6小時，且影響範圍遍及全球各地，北美洲、歐洲和亞太地區都有用戶通報無法使用服務。根據IBM服務狀態事件說明的公告，因資源配置的問題，導致用戶在使用IBM雲服務時，可能會遭遇無法配置，或是無法進行其他資源管理操作的狀況。受影響的IBM雲端地區包含了華盛頓特區、達拉斯、聖保羅、倫敦、法蘭克福、東京和雪梨等地。</p> <p>這起事件更是IBM雲1月以來，第三起故障事件，1月3日達拉斯雲端地曾出現基礎設施大規模故障狀況，多個SAN虛擬伺服器變為唯讀，還有VPC程式碼引擎也發生問題，另外，1月4日多處雲端地區VPC出現負載平衡問題，歷時約1小時。<a href=" https://blog.cloudflare.com/popular-domains-year-in-review-2021/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 半結構化資料 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>BigQuery開始支援原生JSON資料類型，企業可儲存半結構化資料</strong></span></strong></p> <p>Google宣布資料倉儲服務BigQuery開始支援原生JSON資料類型，用戶可儲存和分析半結構化資料。企業建置資料工作管線時，需考量許多面向，包括資料擷取來源，以及應用程式使用資料的方式，還有表格設計方式等，所以，一旦工作管線的配置不敷使用，需花費大量作業修改。如今，企業可借助JSON資料格式不要求架構的特性，在BigQuery中，處理半結構化資料，儲存和查詢不一直遵循固定模式與資料類型的資料。</p> <p>以JSON資料類型擷取半結構化資料，BigQuery可獨立編碼和處理JSON欄位，並且透過點記法（Dot Notation）單獨查詢JSON資料欄位的數值，從而減少用戶修改工作管線配置的成本。Google表示，相較從字串欄位擷取JSON元素，企業需處理整個資料區塊，現在可在BigQuery獨立編碼和處理JSON欄位，更具成本效益，而且現有資料表也能應用這項新功能。<a href=" https://cloud.google.com/blog/products/data-analytics/bigquery-now-natively-supports-semi-structured-data">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> K8s服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IPv6網路 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS K8s服務EKS開始支援IPv6，解決IPv4地址不足及採用虛擬IP造成網路延遲等問題</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_eks%20iv6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 424px;" /></strong></span></strong></p> <p>AWS宣布K8s服務EKS增加IPv6網路，企業可在EKS部署使用IPv6地址空間的應用程式。企業使用K8s需大量的IP地址，來滿足K8s平面網路模型要求每個Pod都需一個IP地址的條件，而因部分私有VPC IPv4網路無法處理大量的IP地址需求，企業會在VPC上建立IP地址虛擬層，然而，該架構限制了管理員觀察和排除應用程式故障的能力，對大規模網路效能產生負面影響。</p> <p>企業現於EKS部署叢集，可在Pod中使用IPv6地址，減少延遲，以及簡化路由配置。AWS提到EKS叢集結合IPv6網路，有4個優點，企業可在單個主機和子網上，執行更多的Pod，且不會用盡VPC上所有可用的IPv4地址。第二，能避免額外的NAT跳躍點，本地、AWS和網際網路執行的其他IPv6服務，能進行低延遲通訊。第三，K8s叢集管理員可專注搬遷和擴充應用程式，不需解決IPv4限制，也降低網路工程師維護複雜路由配置的負擔。最後，一旦Pod網路配置完成，Pod便可以在叢集之外，和IPv4應用程式通訊，這讓用戶可以在EKS上獲得IPv6的優勢，但又不需要將組織中部署的所有相關服務搬遷到IPv6。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-elastic-kubernetes-service-adds-ipv6-networking/">（詳全文）</a></p> <p><strong>圖片來源／聯合航空、AWS、Speedtest、Google雲端</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.Google儲存裝置Transfer Appliance正式啟用線上模式，可通過網路傳輸邊緣裝置數據至Cloud Storage儲存桶</strong><a href=" https://cloud.google.com/blog/topics/inside-google-cloud/whats-new-google-cloud">（詳全文）</a></p> <p><strong>2.AWS宣布推出EC2新HPC實例Hpc6a，搭載AMD EPYC處理器與x86同類運算實例相比提升65%性價比</strong><a href=" https://aws.amazon.com/about-aws/whats-new/2022/01/amazon-ec2-hpc6a-instances/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 17:48作者黃郁芸https://www.ithome.com.tw/news/148897
汽車零件大廠Aptiv以43億美元收購Wind River
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>嵌入式系統廠商Wind River再度易主。<a href="https://www.aptiv.com/en/newsroom/article/aptiv-announces-the-acquisition-of-wind-river-a-leading-provider-of-intelligent-edge-software-solutions-from-tpg" target="_blank">汽車零件大廠Aptiv本周宣布</a>以43億美元現金收購Wind River。</p> <p><a href="https://www.ithome.com.tw/news/55359" target="_blank">Wind River曾在2009年為英特爾買下</a>，後者<a href="https://www.electronicdesign.com/technologies/embedded-revolution/article/21806347/intel-divorces-wind-river-subsidiary-a-decade-after-acquisition" target="_blank">於2018年春天將之分拆</a>，同年6月<a href="https://www.windriver.com/news/press/news-21412" target="_blank">由TPG Capital收購</a>。Aptiv本周宣布由TPG手上買下Wind River。</p> <p>Wind River提供嵌入式即時作業系統及開發、部署工具，現有1,700多家客戶，其作業系統軟體用於全球20多億臺邊緣裝置，涵括航太、國防、電信及汽車產業。其中Wind River Studio提供邊緣系統應用從開發、部署、運作到服務的完整生命周期管理平臺。Wind River 2021年營收將近4億美元。</p> <p class="rtecenter"><a href="https://infohub.delltechnologies.com/static/media/9198938f-8c47-5a0e-82d9-6db6a62cd3f7/DAM-814f3197-dcb9-4f0a-b4a9-339cf3e0d3e3/out/fig_7_wind_river_studio_cloud_architecture=GUID-10BBA166-00AA-4C22-9F4D-A7A00F43120A=3=en-us=Low.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://infohub.delltechnologies.com/static/media/9198938f-8c47-5a0e-82d9-6db6a62cd3f7/DAM-814f3197-dcb9-4f0a-b4a9-339cf3e0d3e3/out/fig_7_wind_river_studio_cloud_architecture=GUID-10BBA166-00AA-4C22-9F4D-A7A00F43120A=3=en-us=Low.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">Wind River Studio雲端平臺架構示意（圖片來源／Dell）</span></p> <p>Aptiv說明，收購Wind River是因應汽車產業走向連網、軟體定義，需要完整解決方案加速軟體的開發及部署，以及透過清楚資料分析確保所有環節的最佳化。此外連網、軟體定義化的轉變也在全球多個產業發酵，進而推升對智慧邊緣系統的需求成長。</p> <p>透過這項收購可讓Aptiv藉由Wind River跨入其他產業。<a href="https://www.lightreading.com/the-edge/aptiv-acquires-wind-river-for-$43b/d/d-id/774530?" target="_blank">Light Reading報導</a>，Wind River電信業者客戶包括光纖、網絡及電信設備商Ciena、愛立信、德意志電信子公司T-Systems、Verizon、Vodafone。此外還有包括製造、國防、醫療及能源等業者。</p> <p>Aptiv也計畫整合汽車電子系統開發平臺Smart Vehicle Architect 及Wind River Studio作為汽車業方案。合併後Wind River將維持獨立運作，但改名為進階安全暨使用者體驗（Advanced Safety & User Experience，AS&UX）事業群，而原執行長Kevin Dallas也將繼續領導Wind River。</p> <p>Aptiv預計2022年中完成收購Wind River。</p> </div></div></div>
2022/1/14 15:58作者林妍溱https://www.ithome.com.tw/news/148891
Fintech周報第207期：金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0108～0114</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融建言白皮書 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 稽核人員 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力</span></strong><br /><span style="vertical-align: top;">金融總會近期提出2021年金融建言白皮書，囊括23項議題共40項具體作法，金管會也回應將採納3大面向，包括擴大金融產業發展、金融科技創新與強化、支援實體經濟永續發展等，具體措施包括成立專案小組研議證券融通業務的風險總歸戶管理機制、常態化遠距投保、協助銀行業推動稽核人員數位化聯防訓練等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">在金融科技創新與強化面向，首先，金管會將採取常態化遠距投保，以及銀行辦理線上貸款的簽約對保的措施。此外，將由臺灣集中保管結算所規畫打造平臺，讓投信公司與保管銀行傳遞交割指示函等資料，藉此提升效率與降低人工作業風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">另外，為了協助銀行提升稽核人員數位化查核能力，金管會採納金融總會建議，銀行內部稽核工作需進行數位化轉型，以因應科技發展，實際作法像是將數位化查核能力納入銀行內部稽核人員受訓課程中的一環。金管會也在金融科技能力認證制度中，所規畫的數位法遵一職中，納入了智慧化稽核的培訓課程。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位人民幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微信 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付寶 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國境內2大電子支付業者皆支援數位人民幣測試，可觸及10億人</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國人民銀行旗下的數位貨幣研究所，近期釋出了支援Android與iOS的數位人民幣程式，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。<a href="https://www.ithome.com.tw/news/148774">（詳全文</a></span><a href="https://www.ithome.com.tw/news/148774"><span style="font-size: 18.6667px;">）</span></a></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根大通 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 巴林央行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">巴林中央銀行採用摩根大通的數位貨幣JPM Coin進行即時跨境支付試點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E5%B7%B4%E6%9E%97%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Central%20Bank%20of%20Bahrain.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，巴林中央銀行（Central Bank of Bahrain，CBB）宣布完成一項區塊鏈試點，參與方包括阿拉伯銀行公司（Bank ABC）與巴林鋁業公司（Aluminium Bahrain，Alba），採用了摩根大通（J.P. Morgan）區塊鏈部門Onyx所開發的JPM Coin系統，共同完成了跨境支付試點。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由摩根大通推出的JPM Coin，可代表摩根大通帳號所持有美元的數位貨幣，當A客戶透過區塊鏈轉帳到B帳號時，JPM Coin能夠立即轉讓並兌換成等值的美元，目的在於減少傳統的結算時間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此次試點內容由這家位於中東的中央銀行所監督，讓阿拉伯銀行公司能夠使用JPM Coin向巴林鋁業公司在美國的同行進行即時跨境支付。巴林中央銀行行長Rasheed Al Maraj表示，藉由此項區塊鏈試點，希望能解決長久以來傳統跨境支付帶來的效率低落問題。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國OCC </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根史坦利 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 客戶資料外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">摩根史坦利因伺服器報銷未清除客戶資料，遭美國貨幣總稽核辦公室重罰6千萬美元</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">路透社報導，摩根史坦利因未將欲報銷的伺服器上的客戶資料清除就賣給他人，遭到客戶集體控告，近期同意以6,000萬元美元達成和解。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2016年，摩根史坦利關閉美國境內二座財富管理業務部門的資料中心時，未能將伺服器上未加密的客戶資料刪除乾淨、就賣給了第三方業者。當時，多達1,500萬名客戶對摩根史丹利提起集體控訴，雙方近期達成初步和解協議，並請求紐約法院同意。根據報導，受影響的客戶可獲得至少2年的詐欺保險賠償，並可申請最高10,000美元的現金補貼。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">摩根史坦利銀行指出，在資料外洩事件後該公司已經大幅強化其資料安全措施。美國貨幣總稽核辦公室介入調查本案，認為該公司未能有效解決報銷硬體的風險、適當處理客戶資料、評估報銷作業的委外作業風險，以及盡到選擇及監管委外廠商的責任，於2020年10月對摩根史丹利銀行及私人銀行部門，判處6,000萬美元的民事罰金。<a href="https://www.ithome.com.tw/news/148716">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 硬體錢包 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈新創 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">庫幣科技數位資產硬體錢包整合NFT功能，可直接連結全球2大NFT平臺進行買賣</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創庫幣科技近期宣布，其數位資產硬體錢包CoolWallet Pro整合了非同質化代幣（NFT）功能，使用者可在CoolBitX Crypto App中，直接連結全球最大NFT市集OpenSea，以及主打區塊鏈遊戲NFT資產的Rarible這兩個NFT交易平臺，來進行買賣。同時，可在App查看錢包中的NFT資產或將個人NFT收藏在卡片內展示。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣挖礦</span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 哈薩克 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">哈薩克比特幣算力名列全球第2，為鎮壓暴動一度切斷網路而衝擊全球15%比特幣挖礦活動</span></strong><br /><span style="font-size: 18.6667px;">中國政府於去年6月以斷電的強硬手段驅逐境內的比特幣礦場之後，中國礦工便就近轉移到以煤礦發電的哈薩克。哈薩克原本就占據全球比特幣算力的12%左右，但自去年6月開始接受中國礦工以來，所占算力已達全球的21.9%，僅次於美國的42.7%。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">然而，最近哈薩克的燃料大漲，促成當地民眾的抗議行動，再佐以民眾對哈薩克政府長期的不滿，更爆發了嚴重的衝突，在哈薩克政府請求俄羅斯派兵援助的當天，也要求電信業者中斷境內的網路。網路中斷不僅阻止了民眾的通訊，亦使得哈薩克境內的礦工無以為繼，數位資產融資業者Foundry副總裁Kevin Zhang向媒體透露，該國政府的行為讓全球比特幣挖礦算力瞬間減少15%。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">儘管該國的網路已恢復正常，但哈薩克並不鼓勵礦工於該國境內挖礦，已計畫於今年向這些礦場加徵稅賦，使得外界預期位於該國境內的礦工遲早會遷移至其它據點。<a href="https://ithome.com.tw/news/148768">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OpenSea </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全球最大NFT市集OpenSea新一輪增資後市值達133億美元，身價在半年內大漲8倍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">全球最大NFT市集OpenSea近期宣布已完成C輪增資，由Paradigm及Coatue領銜，再加上既有的股東，總計募集了3億美元的資金，而此次增資的OpenSea市值已由去年7月的15億美元，大幅增加至今年1月的133億美元，在短短的半年內身價大漲8倍。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OpenSea創辦人暨執行長Devin Finzer表示，此次所募集的資金有4個目的，包括加速產品開發，改善客戶支援與客戶安全，擴大對NFT及Web3社群的投資，以及擴大經營團隊。Finzer指出，未來OpenSea將聚焦於降低進入NFT領域的門檻，以及讓人們更容易發現、管理與展示NFT。<a href="https://www.ithome.com.tw/news/148738">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">Central Bank of Bahrain</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-size: 14pt;">庫幣科技</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-size: 18.6667px;"> </strong><strong>Mozilla創辦人怒批加密貨幣嚴重危害地球生態後，Mozilla基金會宣布暫停接受加密貨幣捐款</strong><br /><strong>2. 面臨缺電危機，科索沃政府未來2個月禁止高耗能的加密貨幣挖礦活動 </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 16:00作者李靜宜https://www.ithome.com.tw/news/148890
Google提議設立一個維護開源碼的集中市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趁著美國白宮於本周四（1/13）召開開源軟體安全高峰會（White House Open Source Software Security Summit）的時機，<a href="https://blog.google/technology/safety-security/making-open-source-software-safer-and-more-secure/" target="_blank">Google法務長Kent Walker提議</a>應該設立一個組織，作為開源碼的維護市集，負責媒合志願者以及需要支援的重要開源專案。</p> <p>開源碼的安全問題近來日趨受到重視，Linux基金會於2020年便成立了開源安全基金會（Open Source Security Foundation，OpenSSF），以支援關鍵開源專案的安全性，而最近<a href="https://www.ithome.com.tw/news/148753" target="_blank">開源Java套件Log4j所冒出的安全漏洞</a>，進一步向全球揭露開源軟體安全性的重要。</p> <p>Walker說，開源軟體一直以來皆允許外界免費使用、變更或檢查，因而促進了協作創新與新技術的開發，也讓許多關鍵基礎設施或國家安全系統都採用了開源軟體，然而，它卻缺乏官方的資源分配，對於如何維護重要程式碼的安全性，也沒有正式的要求與標準。</p> <p>自從開源碼風行以來，社群都習慣假設這些具備透明化、且獲得眾多關注的開源碼專案是安全的，但事實上只有部分專案受到社群與開發者的青睞，有些則幾乎或完全被忽視。</p> <p>這使得Walker發想了多個提議來維護開源碼的安全性，而不管哪個提議都需要官方與產業之間的合作，其中包括設立一個開源碼維護市集，以媒合重要開源碼專案與負責維護的志工，同時Walker身先士卒地說，Google已準備好貢獻自家資源。</p> <p>Google其它的提議還包括產、官應該共同建立一個關鍵開源專案的列表，此一列表的評估方式為開源專案的重要性與影響力，才能替各種專案分配安全性資源。另一個提議是打造開源碼安全性、維護與測試的標準，相關標準理應是協同開發的，也應定期更新、持續測試及驗證它們的完整性。</p> </div></div></div>
2022/1/14 13:39作者陳曉莉https://www.ithome.com.tw/news/148886
Google允許Android用戶關閉2G功能以防範基地臺模擬攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eff.org/deeplinks/2022/01/victory-google-releases-disable-2g-feature-new-android-smartphones" target="_blank">電子前線基金會（EFF）本周指出</a>，Google去年悄悄地在Android平臺上新增了一項功能，允許用戶手動關閉手機上的2G功能，將可防範基地臺模擬攻擊，同時呼籲蘋果也應跟上Google的作法，以保障用戶的隱私安全。</p> <p>1991年問世的第二代行動通訊技術迄今仍受到Android與iOS等行動平臺的支援，不過，當時該技術並未考量到某些風險，例如流氓基地臺或是強大的加密能力，隨著市場已經進展到5G，許多有關2G的安全漏洞也一一曝光，其中之一為它薄弱的加密能力讓基地臺與手機之間的通訊可能遭到竊聽，其次則是基地臺至手機之間缺乏認證機制，使得任何人都能假冒為2G基地臺，而讓使用者陷入隱私風險，並成為部分政府的監控管道。</p> <p>此外，雖然2G許多安全漏洞到了4G的年代已被修補，但有些先進的基地臺模擬器能將使用者的4G連結降級到2G，進而開採2G漏洞，等同於4G用戶依然承受著2G漏洞的風險。</p> <p>不過，去年Google針對Android所作的變更將得以解決此一問題，使用者可藉由設定中的SIMs功能，手動關閉2G，可惜的是，該功能只適用於包括Pixel或Samsung等較新的Android手機，舊款裝置囿於硬體的限制而依舊無法關閉2G。</p> </div></div></div>
2022/1/14 14:26作者陳曉莉https://www.ithome.com.tw/news/148888
服務條款太複雜不想看？美國提出TLDR法案要求業者提供服務條款摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cassidy.senate.gov/newsroom/press-releases/cassidy-lujan-trahan-introduce-bill-to-inform-consumers-increase-online-transparency" target="_blank">美國3名兩黨議員在13日提出</a>了《服務條款標籤化、設計與可讀性法案》（Terms-of-service Labeling, Design and Readability (TLDR) Act），目的是為了要求商業網站與行動程式必須建立一個簡單且易讀的服務條款協議摘要，以增加網路上的透明度，同時確保消費者知道自己的個資是如何被蒐集及使用。不過，小型商家得以不受此法的約束。</p> <p>議員們援引了一項在2012年所進行的研究，指出平均每個美國人要花76個工作天，才能看完他們所使用的所有科技網站的服務條款協議，再加上許多協議使用法律術語，內容錯綜複雜，篇幅又很長，使得絕大多數的使用者幾乎是在完全沒有閱讀的情況下，便按下了同意。</p> <p>因此，TLDR Act要求業者必須提供服務條款的摘要，摘要內得包含所蒐集的消費者資訊、所蒐集的是否為提供服務的必要資訊、如何與第三方共享消費者資料的圖表、消費者能否或如何刪除自己的資料、消費者使用該服務的法律責任，還必須提供該公司過去3年來曾發生的資料外洩事件列表。</p> <p>這些參議員認為，有太多的公司透過冗長且複雜的服務條款協議，來隱藏其資料政策的關鍵細節，藉此保護自己免於承擔法律責任；長期以來這些廣泛的服務條款協議，更迫使消費者於同意及不同意之間二選一，完全沒有協商的餘地，濫用的可能性是顯而易見的。</p> <p>美國參議員Bill Cassidy則說，使用者不應藉由梳理網站條款中的法律術語，來了解自己的資料將如何被使用，要求業者提供易於理解的條款摘要應該是強制性的，而且早就該這麼做了。</p> </div></div></div>
2022/1/14 14:45作者陳曉莉https://www.ithome.com.tw/news/148889
【資安日報】2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源軟體受到廣泛使用，背後卻可能僅有數名無償付出的志工進行維護，這種現象再度因Log4Shell這樣的漏洞出現時，而引進政府重視。美國國家資安顧問更指出，開源軟體的資安問題，已是國家安全層級的議題。他們為此召集IT大廠、開源社群組織Apache軟體基金會，來探討IT大廠能否提供更多資源，來提升開源軟體的資訊安全，而不是單純仰賴志工的付出。</p> <p>而在Log4Shell引起的後續效應之餘，國內最近陸續有數起前員工引起的內部威脅事件傳出，最近，電子零組件大廠臺灣東電化的員工，打算帶著公司研發機密到新東家使用，而在此之前，虛擬實境內容平臺業者愛實境（iStaging）傳出的資安事故，就是前員工發起的DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/7315/6031301"><span style="color: rgb(0, 0, 0);"><strong>電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手</strong></span></a></h4> <p>國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/magniber-ransomware-using-signed-appx-files-to-infect-systems/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Magniber假借瀏覽器更新名義，鎖定Windows 10電腦發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/edge-prompt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/edge-prompt.png" style="width: 300px; float: right;" /></a>濫用通用視窗應用程式（UWP）的安裝檔案（.APPX），來誘騙使用者在網頁瀏覽器安裝惡意軟體的現象，陸續有這種型態的攻擊事故發生。資安業者AhnLab揭露一起散布勒索軟體Magniber的攻擊行動，駭客以要求Edge和Chrome的使用者手動更新名義，引誘下載APPX更新程式，一旦下載安裝，電腦檔案就會被Magniber加密。</p> <h4><a href="https://www.crowdstrike.com/blog/tellyouthepass-ransomware-analysis-reveals-modern-reinterpretation-using-golang/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦</strong></span></a></h4> <p>有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></h4> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></h4> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Orcale，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148868"><span style="color: rgb(0, 0, 0);">針對電信業者資料外洩事故，美國擬祭出更嚴格的通報規則</span></a></strong></h4> <p>為了因應電信業者遭到資料外洩事故時，客戶個資可能隨即就面臨威脅，開始有政府打算採取更為嚴格的通報措施。美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel，於1月12日發出聲明，表示將針對境內電信業者客戶專屬網路資訊（CPNI）的外洩事件，祭出更嚴格的通告規定。其中，將取消事故發生後的強制等待期間規定，再者，則是這些電信業者未來也要向FCC通報相關事故。</p> <h4><a href="https://www.cna.com.tw/news/aipl/202201130313.aspx"><span style="color: rgb(0, 0, 0);"><strong>為強化資安管理，銓敘部將成立專責單位</strong></span></a></h4> <p>政府機關日益重視資安，並成立專責單位來因應的情況越來越顯著，銓敘部於1月13日表示，為精進資訊安全管理作業，他們將會增列預算，聘請4名專門負責資安業務的人員，並成立資安科，然後評估在現有的人力和物力下，提升資安的策略、管理、以及技術層面。此外，他們也會從現有資訊人力調度，來逐步增加資安可用的人力。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/14 13:05作者周峻佑https://www.ithome.com.tw/news/148884
德國網站使用Google Analytics被奧地利政府判定違反GDPR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國一家出版商網站因使用美國Google Analytics的追蹤技術，本周被奧地利政府資料保護主管機關<a href="https://noyb.eu/sites/default/files/2022-01/E-DSB%20-%20Google%20Analytics_EN_bk.pdf" target="_blank">Datenschutzbehörde（DSB）判定違反歐洲隱私法GDPR</a>。</p> <p>奧地利當局本周針對歐洲隱私倡議組織noyb於2020年提出的告訴做出判決。這也是<a href="https://www.ithome.com.tw/news/138915" target="_blank">歐盟法院2020年一項防止美國公司蒐集歐盟人民資訊的判決</a>後的第一宗判例。</p> <p><a href="https://www.europarl.europa.eu/RegData/etudes/ATAG/2020/652073/EPRS_ATA(2020)652073_EN.pdf" target="_blank">2020年的Schrems II判決</a>中，歐盟法院判定使用美國供應商的追蹤技術也違反GDPR，因為美國監控法要求美國包括Google、臉書等供應商必須將用戶個資提供給美國。在此判決中，歐盟法院也廢除了美國和歐盟之間的隱私盾（Privacy Shield）資訊傳輸保護協議，認為不足以保護歐盟用戶的隱私。</p> <p>歐盟法院的判決也可望透過歐盟資料保護監督機關（EDPB）任務小組，適用於歐盟會員國，包括奧地利。</p> <p>Noyb於2020年同時控告Google以及一家德國出版商，因其網站使用了Google Analytics。這家德國出版商因為收購了奧地利同業而在奧地利挨告。Noyb這家倡議組織在歐盟地區一共提起了101項告訴。</p> <p><a href="https://noyb.eu/en/austrian-dsb-eu-us-data-transfers-google-analytics-illegal" target="_blank">Noyb指出</a>，歐盟主管機關漸漸不允許歐盟境內的公司使用美國的追蹤技術，也要求歐美公司必須使用更安全選項，像是把資料代管在美國以外的地區。Noyb榮譽主席Max Schrems預期大部份歐盟會員國將出現類似判決。</p> <p>不過目前奧地利主管機關尚未做出罰款處份，也不確定是否之後、或之前曾做出懲處。違反GDPR最高可判處2,000萬歐元或全球年營收的4%的罰金。</p> </div></div></div>
2022/1/14 13:17作者林妍溱https://www.ithome.com.tw/news/148885
研究人員可遠端控制25臺Tesla，但說並非出於系統安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名青少年駭客近日發現方法，可暗中遠端控制超過25臺特斯拉(Tesla)，不過強調並非Tesla的系統安全漏洞。</p> <p>青少年駭客David Colombo同時也是安全研究人員，<a href="https://twitter.com/david_colombo_/status/1480852016045903873" target="_blank">本周偶然間發現</a>他可以在多達13國25臺以上的特斯拉上遠端執行指令。他說能做的事很多，像是關閉遇可疑人士自動啟動監控攝影機的哨兵模式（Sentry Mode）、開啟車門車窗、控制車燈、在車上播放YouTube或啟動無鑰匙駕駛(keyless driving)。如果車主在車上的話，他還可以查詢汽車所在位置。</p> <p>他指出，透過控制這些功能可能引發危險，但他表示並無法遠端控制特斯拉方向盤、油門或剎車。</p> <p>這名研究人員表示，這並非特斯拉基礎架構的漏洞，而是車主的錯，因此他本來只想通報車主。在不得其門而入後，他隨後連繫上特斯拉，以便告知受影響的車主，特斯拉也正在調查此事。</p> <p>這問題也分享給了管理攻擊工具及手法知識庫的MITRE，正在等待分派漏洞編號。</p> <p>另一方面，<a href="https://twitter.com/TezLabApp/status/1481180064926547969" target="_blank">第三方Tesla App廠商TesLab發現</a>數千項特斯拉發派的驗證令牌同時到期，他們推測是特斯拉加速其驗證令牌轉換成別的版本。TesLab App利用Tesla API來控制特斯拉車上功能，如防盜攝影機、控制車門車窗等。兩事件是否有直接關聯不得而知。</p> <p>特斯拉去年11月才因軟體瑕疵，引發前方撞擊假警報、或是自動緊急煞車不預期啟動，而<a href="https://techcrunch.com/2021/11/02/tesla-recalls-11704-vehicles-after-identifying-full-self-driving-beta-software-error/" target="_blank">召回.2萬輛特斯拉電動車</a>。</p> </div></div></div>
2022/1/14 14:05作者林妍溱https://www.ithome.com.tw/news/148887
美國眾議院為國會暴動案向Meta、Alphabet、Twitter與Reddit發出傳票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門調查去年1月6日美國國會暴動事件的美國眾議院特別委員會，<a href="https://january6th.house.gov/news/press-releases/select-committee-subpoenas-social-media-companies-records-related-january-6th" target="_blank">周四（1/13）向4家社交平臺發出傳票</a>，要求Alphabet、Meta、Reddit及Twitter提供詳細的資訊以供調查。其實該委員會去年夏天就曾要求相關業者提交資料，但因業者的回應不夠充分，因而祭出傳票。</p> <p>此一由兩黨組成的特別委員會主席Bennie Thompson表示，針對這些社交平臺，他們主要提出兩個關鍵問題，一是它們對不實資訊及暴力極端主義的傳播如何助長美國的暴力攻擊，二是它們是否採取了任何措施，來避免平臺成為激化暴力的溫床。</p> <p>Thompson說，很遺憾的，在經歷數個月的協商之後，相關平臺依舊未提供回答上述問題的必要文件與資訊，為了確保類似的事件不再發生，無法再容忍此一重要任務一再被拖延。</p> <p>法院傳票要求Alphabet揭露如何開發、實施及審查YouTube內容，以及其可能影響暴動事件的演算法推廣或其它政策；也要求Facebook提供解散公民團隊並減少限制暴力內容傳播工具應用的資訊，以及該平臺在2020年選舉中所扮演角色的內部與外部分析，特別委員會曾多次要求Meta提供相關資訊，而Meta卻拒絕承諾找出或製作這些內容的期限。</p> <p>至於率先封鎖美國前任總統川普（Donald Trump）帳號的Twitter，也難逃收到傳票的命運。特別委員會同樣要求Twitter提供該平臺在2020年大選期間，所傳播的不實資訊及惡意資訊的內部分析，以及解釋對川普帳號的處分。Reddit亦被要求提供暴徒如何利用該平臺，進行組織或散播不實資訊的內部分析與相關文件。</p> </div></div></div>
2022/1/14 11:37作者陳曉莉https://www.ithome.com.tw/news/148881
勒索軟體中斷維安系統，美國新墨西哥州某監獄將受刑人全天鎖牢房
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國新墨西哥州因勒索軟體攻擊造成一座監獄網路斷線，導致整座監獄系統及電話運作中斷。而且一個禮拜都還沒修好。</p> <p><a href="https://sourcenm.com/2022/01/07/jails-inability-to-deal-with-cyberattack-could-violate-the-constitutional-rights-of-inmates/" target="_blank">當地媒體報導</a>，墨西哥州Bernalillo郡在1月5日清晨遭勒索軟體攻擊，影響市政府資料庫及網路運作，並波及阿布奎基市的一座看守所，連帶導致監獄對外及對內網路斷線、多項系統無法使用，包括自動門鎖及監控攝影機。</p> <p>報導指出，為了安全及管理起見，獄方要求所有受刑人必須待在牢房內，除非有醫療需求，也取消了所有訪客會見。受刑入出入牢房必須由管理人員手動以鑰匙開、關房門。無法出入也限制了受刑人使用電話及平板的時間。</p> <p>此外，受勒索軟體攻擊影響，獄中電子郵件、無線網路、作為受刑人視訊審訊的Zoom皆無法使用，且由於地處偏遠行動電話訊號不佳，受刑人被迫花錢打限時15分鐘的公共電話接受審訊。獄方也無法存取資料系統，包括受刑人鬥毆等暴力事件的紀錄系統，以及獄內消費等活動帳號管理系統等，一切作業皆被迫以紙本進行。</p> <p>根據<a href="https://www.theregister.com/2022/01/12/ransomware_new_mexico_prison/" target="_blank">The Register</a>1月12日引述獄方發言人報導，至少到本周三之前獄方還在努力修復系統。</p> </div></div></div>
2022/1/14 10:31作者林妍溱https://www.ithome.com.tw/news/148878
美國網戰司令部聲稱駭客集團MuddyWater受伊朗情報暨安全局管轄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cybercom.mil/Media/News/Article/2897570/iranian-intel-cyber-suite-of-malware-uses-open-source-tools/" target="_blank">美國網戰司令部（U.S. Cyber Command）本周揭露</a>，全球最活躍的國家級駭客集團之一的MuddyWater，其實是隸屬於伊朗情報暨安全局（Iranian Ministry of Intelligence and Security，MOIS），而MOIS的其中一項任務便是辨識與監控反政權人士，包括境內與境外。</p> <p>資安業者早就將MuddyWater歸類為伊朗國家級駭客，它既是<a href="https://www.ithome.com.tw/news/127149" target="_blank">全球最活躍的國家級駭客集團之一</a>，也曾<a href="https://www.ithome.com.tw/news/140371" target="_blank">被微軟發現正在開採ZeroLogon（CVE-2020-1472）漏洞</a>，亦曾<a href="https://www.ithome.com.tw/news/148402" target="_blank">借道Slack來攻擊亞洲的某一航空公司</a>，或是<a href="https://www.ithome.com.tw/news/148368" target="_blank">鎖定電信業者展開攻擊</a>。</p> <p>根據資安業者的統計，MuddyWater主要的攻擊目標為中東國家，偶爾也會鎖定歐洲與北美國家，通常採用魚叉式網釣攻擊，於電子郵件中嵌入合法的檔案分享服務，卻在該服務中夾帶惡意套件，目的是於受害者系統上建立後門，尋求長駐受害者系統。</p> <p>美國網戰司令部則說，當網路操作者於同一個網路上發現許多MuddyWater經常使用的開源碼工具時，該網路便可能已被MuddyWater滲透。其中一個最常見的是偽裝成Google更新機制、實則用來解密與執行PowerShell惡意程式下載器的PowGoop，以及具備其它惡意功能的多款PowGoop變種。</p> </div></div></div>
2022/1/14 08:43作者陳曉莉https://www.ithome.com.tw/news/148872
微軟發布Azure Static Web Apps企業級邊緣網路，可加速網站載入、強化可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在其Azure Static Web Apps服務，提供<a href="https://azure.microsoft.com/zh-tw/blog/accelerate-your-websites-with-azure-static-web-apps-enterpriseedge/">企業級邊緣網路（Enterprise-Grade Edge）</a>預覽，該服務是由微軟的全球可擴展進入點Azure Front Door提供支援，不需要用戶額外的配置或是編寫程式碼，就可以加速全球規模的應用程式，改善頁面載入速度、強化安全性，並且提高可靠性。</p> <p>微軟提到，網頁應用程式的載入速度，直接影響用戶體驗、搜尋引擎排名和用戶轉換率，而Azure Static Web Apps提供跨靜態內容和無伺服器API，來提供全端開發和託管功能，進而增加應用程式的生產力，並且提高全球可用性。</p> <p>當用戶在網站採用Azure Static Web Apps，終端使用者存取該網站時，微軟的HTTP負載平衡器會找出距離終端使用者最近的節點，並從該節點提供應用程式服務。另外，當微軟任何的全球地區出現故障，則系統也會自動將終端使用者的請求，重新路由到網路中健康的節點，使得用戶能夠跨地區建立有韌性的應用程式，在故障時立即進行轉移，提供網站服務永遠在線的可用性。</p> <p>微軟在全球100個大城市中，建立了118個POP（Points of Presence），當用戶透過啟用企業級邊緣網路功能，微軟會在這些POP中快取用戶網站的靜態內容，使得應用程式的延遲更低，且提供更高的吞吐量。而加快頁面載入，不只能夠改善用戶體驗，搜尋引擎的排名也將有所改變，最終影響用戶轉換率。</p> <p>此外，在用戶啟用企業級邊緣網路後，網站便會在微軟的全球應用程式和交付網路上運作，官方提到，企業級邊緣網路可以避免惡意攻擊者存取用戶的應用程式，而影響其可用性和效能，微軟全球網路提供大規模和容量，能夠透過流量監控和即時緩解功能，防禦常見的網路層攻擊。</p> <p>企業級邊緣網路是一種零配置的雲端交付服務，包括了CDN和應用程式加速功能，一旦用戶在應用程式啟用企業級邊緣網路，微軟會將網站即時流量搬上全球分散式網路，使得網站服務不會再因為故障而下線。</p> </div></div></div>
2022/1/14 08:51作者李建興https://www.ithome.com.tw/news/148873
事實查核社群發公開信，直指YouTube為主要虛假訊息散播平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>事實查核社群向YouTube執行長遞交，由多國事實查核研究者簽署的<a href="https://www.poynter.org/fact-checking/2022/an-open-letter-to-youtubes-ceo-from-the-worlds-fact-checkers/">公開信</a>，該信直指因為YouTube在虛假訊息上的不積極作為，導致菲律賓、巴西和美國等多國受到虛假訊息的嚴重侵害，公開信也特別提到，YouTube上的虛假訊息影片，更是對臺灣民主選舉造成負面影響。這封公開信敦促YouTube負責任地採取行動，認真打擊平臺上的虛假訊息。</p> <p>公開信指出，COVID-19大流行從開始到現在，已經經歷了快兩年，但是虛假訊息仍然猖狂地傳遞，對社會和諧、民主和公衛造成極大的負面影響，許多人更因此失去生命。而事實查核組織作為打擊虛假訊息的第一線，他們認為，YouTube是全球線上虛假訊息傳遞的主要管道，但他們看到YouTube並沒有在解決假訊息上付出足夠的努力。</p> <p>事實查核社群甚至認為，YouTube允許其平臺被不道德行為者武器化，用以操縱和剝削他人，進行組織並且獲利，事實查核社群希望透過公開信，要求YouTube對虛假訊息採取有效的行動，制定政策且在必要時介入，來積極改善資訊生態系。</p> <p>公開信提及在YouTube上，許多因為虛假訊息所產生的亂象，包括陰謀集團跨國界，在德國、西班牙和拉丁美洲進行有組織的國際運動，同時，還有數百萬瀏覽量的影片以希臘語和阿拉伯語，鼓勵人們抵制疫苗接種，並且散播虛假的COVID-19療法。</p> <p>在巴西，YouTube被用來放大針對弱勢群體的仇恨言論，影響力擴及數萬用戶。事實查核社群特別提到YouTube對選舉所帶來的負面影響事件，包括在菲律賓，超過200萬瀏覽次數的影片，否認該國戒嚴期間侵犯人權和腐敗的行為，並以虛假內容來美化獨裁者後代的聲譽，試圖影響其在2022年的選舉。臺灣也是假新聞的重災戶，選舉候選人受到毫無根據的詐欺指控，甚至是美國，在大選後暴徒襲擊美國國會大廈，而支持選舉造假的言論，被觀看超過3,300萬次。</p> <p>目前大部分這些影片，都還在YouTube平臺上，特別是在非英語國家及南半球，仍持續受到虛假訊息的攻擊，公開信提到，雖然YouTube有試圖採取一些措施解決這些問題，但是並沒有奏效，而且YouTube也沒有提供任何的資料，來證明其措施的有效性。</p> <p>事實查核社群指出，YouTube將虛假訊息的內容，錯誤地僅分類為需要刪除與不需刪除兩類，而根據經驗與研究證據，都認為保留經過事實查核的訊息，比直接刪除內容，對於傳播正確資訊更為有效，另外，公開信還希望YouTube應該確保不向用戶推薦包含虛假訊息，以及不可靠頻道的內容。</p> <p>事實查核社群向YouTube提出4大建議，來改善該平臺上虛假訊息傳播所產生的負面影響，公開信提到，YouTube應該公開必要的虛假訊息資訊，像是揭露虛假訊息活動的來源、影響範圍，以及揭穿假訊息的研究等，同時YouTube也應該公布對於虛假訊息的完整審核政策，包括用來審查的人工智慧和資料類別。</p> <p>除了刪除法律規定的內容之外，事實查核社群認為，YouTube應該提供更完整的背景資訊，在影片上疊加或是以其他方式附加說明內容，如此才能與事實查核社群，建立有意義和結構化的協作關係，並且負責任地承擔解決問題的責任。</p> <p>同時，公開信還提到，YouTube要嚴格打擊重複違規的使用者，特別是利用虛假訊息獲利的帳戶，應避免以演算法推薦相關影片，進而減少錯誤內容的傳播，重要的是，事實查核社群希望YouTube能夠擴大虛假訊息的打擊範圍，積極處理非英語的虛假內容影片。</p> </div></div></div>
2022/1/14 08:56作者李建興https://www.ithome.com.tw/news/148875
NTT發布開發安全解決方案Vantage Prevent，在CI/CD整合DAST改善應用程式安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NTT應用安全部門，推出了WhiteHat Vantage平臺的下一階段解決方案<a href="https://www.prnewswire.com/news-releases/ntt-application-security-releases-vantage-prevent-to-shift-dast-left-and-reignite-devsecops-for-enterprises-301457968.html">Vantage Prevent</a>，該公司提到，Vantage Prevent是一個運用專利技術的解決方案，讓企業可以在每個開發周期階段，進行動態應用程式安全測試（DAST），防止可被開採的漏洞進入生產環境。</p> <p>官方解釋，Vantage Prevent的建置目標是要滿足現代開發的需求，利用開發者功能和品質保證測試，來辨識網頁應用程式和API中，可被開採的安全風險。Vantage Prevent允許DevOps工程師在本地環境，自動化CI/CD工作管線裡進行安全測試，使得安全團隊可在產品部署到生產環境之前，就能先發現存在的漏洞。</p> <p>Vantage Prevent的特性包括，在整個系統開發生命周期中，以數分鐘快速完成動態測試，不再需要數天的時間，而且由開發人員操作的動態應用程式安全測試，無縫整合動態掃描功能和品質保證測試。Vantage Prevent所執行的原生API測試，不需要API規範文件，也與語言和介面無關，能夠對任何API、單頁或是多頁網頁應用程式進行測試。另外，Vantage Prevent可以在本地端，快速地執行增量測試，或是對應用程式進行完整的測試。</p> <p>NTT應用程式安全的產品負責人Chris Leffel提到，許多組織在應用程式安全上之所以處於被動狀態，最大的原因是，這些傳統解決方案都是為應用程式安全團隊所設計的，而Vantage Prevent將動態應用程式安全測試帶進開發人員層級，鼓勵企業將動態應用程式安全，嵌入到整體品質測試過程中。</p> <p>Vantage Prevent是White Hat Vantage平臺產品組合中的第二個解決方案，是建立在雲端SaaS架構之上，提供完整的API，能夠與開發團隊現有的工具無縫整合，簡化工作流程並改進應用程式安全性。</p> <p>官方也預先公開接下來產品發布時程，White Hat Vantage平臺最後一階段的解決方案，將會在2022年稍晚公開，該解決方案將透過模擬對應用程式安全生成攻擊，來找出進入生產前和生產後，環境中可利用的漏洞，並提供安全團隊可以操作的指引，快速防範違規行為。</p> </div></div></div>
2022/1/14 08:59作者李建興https://www.ithome.com.tw/news/148876
微軟工作趨勢報告：2022年，疫情將給前線人員更大工作壓力，也揭露他們想換工作的5大理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨天發佈了2022工作趨勢指數報告（Work Trend Index）的其中一部分，有別於過去聚焦於資訊工作者，這次新增調查了前線工作者（Frontline Worker）對疫情下工作狀態改變的想法。微軟現代化工作部門副總裁Jared Spataro指出，前線工作者的定義，包括了來自各行各業第一線與顧客接觸的人員，比如醫院中的醫生與護士、製造業的客服人員或是製造貨品的人員、零售或餐飲業的人員等，這次調查更搜集了來自8個國家、橫跨8個產業，共9,600位前線工作者的意見。</p> <p>這份報告首先指出，由於共同分擔了疫情帶來的壓力，76%前線工作者認為，與同事的連結更緊密，但超過6成的人認為，領導者沒有將建立工作文化視為優先工作、溝通也沒有傳達到前線人員，這可能也是為什麼，另一項數據指出，過半數非主管級前線人員，認為自己在工作中沒有受到重視（feel Valued）。</p> <p>三年來，疫情對前線人員的來更大的工作壓力，58%受訪者認為，這股壓力在2022年只會持續或更糟，造成壓力的前五大原因，分別是工作負擔、低薪、長工時、管理顧客需求、疫情協議。在針對各國的調查中，高達8成日本前線人員認同這個態勢，為8個國家之冠。若以產業別來看，製造業前線人員對此更為認同，認同比例達到6成5。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-12%20%E4%B8%8A%E5%8D%8810_49_46.png" style="width: 1109px;" /></p> <p>另一項調查則是工作市場的大洗牌時代（the Great Reshuffle），前線人員想換工作的5大原因，依序是想賺更多錢、找到更好的生活與工作平衡、缺乏加薪、找尋更好的利益及要求更多工作的彈性。Jared Spataro認為，這對公司來說是一個重新思考並改變工作環境的機會，透過建立起具吸引力的工作環境與文化，才能在這個極具壓力的時代招聘人才。</p> <p>面對疫情加速企業對於數位科技的採用，員工擁抱科技的態勢又是如何？報告指出，有63%前線工作者對於科技創造的新機會感到興奮，46%更指出，他們更看重科技工具而不是心理健康和福利。同時，科技也在減輕壓力的排行中位列第三，第一、第二分別是薪水及有薪假（PTO，Paid Time Off），顯示前線人員也期待能擁抱新的科技工具。</p> <p>但同時，41%非主管級的前線工作者表示，他們現在沒有具備所需的科技能力。從科技實際導入數據來看也是如此，55%員工表示，他們過去採用科技時沒有經過正規訓練；46%員工擔心他們若沒有採用科技工具，可能會失去工作。這些調查結果反映出，企業在導入科技工具時，對員工的協助仍不足。</p> <p>因此，微軟建議，企業可以採取三項措施來支持前線員工的工作。一是優先考量前線員工的文化、溝通與福利；二是理解前線主管需要哪些幫助，來更好的賦能他們的團隊；三是思考科技可以好的提升前線員工近用科技的機會、改善生產力並減少壓力、消弭文化與溝通的落差、增加受訓的機會等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-13%20%E4%B8%8B%E5%8D%885_29_21.png" style="width: 1000px;" /></p> <h3><span style="color:#FF8C00;">微軟發佈多項協作工具更新，鎖定前線人員科技應用需求</span></h3> <p>微軟也同時參考這次報告的科技需求觀察，發布了多項協作工具更新。其一，Teams內建對講機（Walkie Talkie）功能，並結合Zebra的智慧型終端裝置，讓前線人員改變過去使用傳統對講機來溝通協作的行為，能夠以按壓語音通訊的形式（push-to-talk），來與他人溝通。這項功能也能支援iPhone或iPad。</p> <p>Teams也整合了Zebra工作管理平臺Reflexis中的工作調度規劃功能，要提供一個即時瀏覽、指派與管理Reflexis工作排程，預計在本月釋出。</p> <p>另一項這個月也將釋出虛擬會議預約管理功能。因應實體預約行為轉移到線上，微軟新增預約排隊的功能，讓員工能更全面地看到在特定地點的虛擬預約情形，包含即時更新、等待時間、排隊狀況、錯過或延遲的情形等。微軟還新增了端點管理功能（Microsoft Endpoint Manager），讓IT能透過GPS地圖，來定位前線人員放錯位置的裝置，並快速觸發聲音通知，讓第一線人員可以更輕易地找到錯放的設備。</p> </div></div></div>
2022/1/13 19:40作者翁芊儒https://www.ithome.com.tw/news/148864
金管會發布2022年多項施政重點，保險科技聚焦兩大發展方向，3月發布上市櫃公司永續發展路徑圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委黃天牧親率2位副主委與各局局長，在今天（1/13）舉行新春記者會，共同揭露2022年施政重點，除了發布上市櫃公司永續發展路徑圖之外，更揭露了今年多項金融科技與保險科技發展重點，以及強化資通安全措施等。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>保險科技2</strong><strong>大發展重點：純網路保險、保單存摺平臺</strong></span></h3> <p>金管會在保險科技將有2大發展重點，今年第三季將完成純網路保險公司的法制作業，緊接著在第四季將公布純網保公司申請設立情形。同時，也預計今年第三季擴大遠距投保、保險服務業務範圍，並將保經代納入適用。</p> <p>另一項發展重點是保單存摺平臺，預計在今年第四季正式上線，保險局局長施瓊華表示，這部分將分為人身保險與財產保險。人身保險的保單存摺平臺，由壽險公會以區塊鏈技術建置，保戶經過身分辨識後，就能透過一站式平臺查詢相關投保資料。財產保險如車險等險種，則由保發中心負責建置保單存摺平臺，同樣能在同一平臺總覽相關投保資料。</p> <p>另外，在證券業的金融科技發展上，金管會規畫在今年第四季開放證券商申請設立虛擬據點，或者提升實體營業據點數位化服務程度。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>Q1</strong><strong>推動主題式監理沙盒及業務試辦</strong></span></h3> <p>在發展金融科技面向，今年第一季，金管會將辦理主題式監理沙盒及業務試辦，現行機制是，業者有任何創新模式或技術，都能向金管會申請監理沙盒或試辦案件來落地應用。</p> <p>不過，今年金管會將參考英國作法來推動主題式監理沙盒及業務試辦。黃天牧表示，由於業界反映近期金融監理沙盒或試辦的案件數量沒有明顯增加，因此，金管會將以金融業者有興趣的金融創新議題，主動開立主題式議題來吸引業者。</p> <p>金管會綜合規劃處處長胡則華進一步解釋，要以金融市場的整體金融科技發展趨勢，比如，銀行、保險、證券三業需求最高的數位身分認證議題，來開立主題，將在農曆年前釋出運作模式。</p> <p>在監理科技面向，本國銀行申報報表全面採取API方式辦理，將於今年第一季正式實施。此外，第二季將推動監理科技黑客松第二階段，深入研究與分析導入應用需調整的事項。另外，金管會預計第四季將運用監理科技，導入量化選案AI評分技術，強化監理上市櫃公司效能。</p> <h3><span style="color:#0099ff;"><strong>Q2</strong><strong>輔導金融業者跨業試辦金融FIDO</strong></span></h3> <p>另一項施政重點是，預計今年第二季輔導業者跨業試辦金融行動身分識別標準化機制（金融FIDO）。去年底，金管會曾揭露，金融行動身分識別聯盟已決定採用晶片金融卡作為開通卡片。</p> <p>在開發上，將先採取分散式開發手機身分識別App，比如，金控旗下金融子公司，可建立金融FIDO自有體系，由金控設計同一款金融服務App，讓旗下子公司共用。據了解，目前有7組金融機構有意願建立金融FIDO自有體系。</p> <h3><span style="color:#0099ff;"><strong>金融機構間資料共享項目、內容、期間一致，無需逐次取得客戶同意</strong></span></h3> <p>此外，金管會於2021年末，發布一份金融機構間資料共享指引，訂定出一套金融機構間可執行的資料共享類型及相關辦理原則。</p> <p>金管會副主委邱淑貞表示，由於交易內容不同，金融機構間傳輸的資料也會不一樣，因此，採取客戶逐次同意，客戶可就不同資料來選擇是否共享。不過，邱淑貞進一步解釋，金融機構在資料共享同意書明列的資料共享項目、內容、期間屬於同類型時，就不用逐次取得客戶同意。</p> <p>另外，胡則華表示，金管會預期金融機構間有一定內控機制。因此，未來進一步開放金融機構與非金融機構資料交換時，會將資料軌跡追蹤機制納入參考。</p> <h3><span style="color:#0099ff;"><strong>強化金融資安有4</strong><strong>大措施</strong></span></h3> <p>金管會今年對強化資安面向，訂定出4大措施來分階段執行。首先，第二季將完成規畫重大資安事件應變情境演練，第三季預計辦理金融資安攻防演練，第四季則計畫督導公會增訂或修訂資通安全防護基準、供應鏈風險管理等自律規範，以及，完成金融機構金融資安治理成熟度評估工具。</p> <h3><span style="color:#0099ff;"><strong>今年3</strong><strong>月將發布上市櫃公司永續發展路徑圖</strong></span></h3> <p>此外，證期局局長張振山揭露，為了協助企業及早因應訂定減碳目標，金管會計畫今年2月邀集相關政府單位、上市櫃公司、金控公司、會計師事務所及第三方查證機構召開公聽會，並在3月正式發布「上市櫃公司永續發展路徑圖」。</p> <p>張振山表示，上市櫃公司永續發展路徑圖將按照上市櫃公司實收資本額，在2023年開始分階段推動，揭露內容包括溫室氣體直接排放、能源間接排放量。金管會規畫，在2027年，全體上市櫃公司必須完成溫室氣體盤查，且需與公司財務報表範圍一致，到了2029年，則要求全體上市櫃公司完成溫室氣體盤查的查證，需由第三方查證機構進行查證作業。</p> <p>金管會針對該路徑圖的核心策略是，落實董事會永續發展責任、與環保署與經濟部等部會建立跨部會合作機制、接軌國際且串聯全球永續生態鏈、建立人才培育與輔導機制來落實溫室氣體盤查及資訊揭露，以及，為了因應市場對ESG資訊揭露需求日增，將督導證交所建置ESG資料庫，建立資訊共享機制，藉此推動上市櫃公司ESG評鑑制度。文⊙李靜宜</p> </div></div></div>
2022/1/13 21:53作者李靜宜https://www.ithome.com.tw/news/148877
全聯拓展生鮮電商業務，目標Q1上架350間門市至Foodpanda接單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯今日（1/13）宣布生鮮雜貨外送服務繼與Uber Eats合作，增加外送合作業者Foodpanda，目標第一季350間門市上架Foodpanda接單，而去年底剛開設專做外送訂單生意的24小時店，本月從7家店擴大到10家。</p> <p>為了拓展線上銷售業務，全聯從去年初開始，投入生鮮雜貨外送，先推出自家外送服務「小時達」，隨後擴大電商服務的範圍，與外送平臺Uber Eats合作，消費者可透過Uber Eats訂購全聯的生鮮雜貨，由外送員送到指定地點，如今再添加全臺最大的外送平臺Foodpanda。第一季計畫上架350間門市，散落全臺21縣市，含金門、澎湖等離島。</p> <p>全聯總經理蔡篤昌點出與Foodpanda合作，可獲得3大競爭優勢。第一，借助Foodpanda全臺最大外送平臺的身分，全聯可接觸更多元的消費客層，特別是年輕族群。蔡篤昌更指出，相較其他外送平臺，Foodpanda客層更年輕，與全聯有相當大的互補性。</p> <p>其次，全聯生鮮雜貨外送服務在各大外送平臺的普及率，將達9成；第三大機會則是，配送服務涵蓋的臺灣人口數，將可達2千萬，相當於人口覆蓋率達近9成。</p> <p>今年，全聯還將持續地拓展生鮮電商的版圖，生鮮電商店將達600間，而24小時生鮮專門店則要達到50家，且不僅要增設服務外送訂單的店家數，可提供外送的商品數也將從2,500項增加到3,000項，相比去年，生鮮電商業績今年目標成長2倍。</p> <p>目前全聯門市能在10分鐘內，完成外送訂單的揀貨程序，有賴門市人員手上的智慧揀貨PDA，人員可從PDA螢幕獲悉訂單揀貨內容，而背後資訊流的串接，全聯利用API整合Foodpanda系統，獲取消費者在Foodpanda下訂的商品清單，送達指定門市的揀貨系統，與Uber Eats的合作模式相同。</p> <p>揀貨人員利用PDA接收訂單後，開始穿梭賣場揀貨，從日用品、乾貨、冷凍食品、冷藏食品，依序揀到易碎品，而每揀取一項商品，人員都會掃描商品的條碼，驗證商品項目和實際價格。完成整筆訂單揀貨程序後，系統會向外送員發送取貨通知。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20220113_141746%20web.jpg" style="width: 600px; height: 384px;" /></p> <blockquote><p>全聯外送訂單撿貨人員手持PDA，依據揀貨系統接到的外送訂單資訊，在超市中揀貨，每揀取一項商品，都會掃描商品的條碼，以驗證商品項目。攝影／黃郁芸</p> </blockquote> <p>除了門市上架Foodpanda平臺外，全聯其實從去年10月開始，就已與Foodpanda展開合作，利用Foodpanda快商務即時外送服務Pandago，來外送自家外送服務小時達的訂單。</p> <p>Pandago是Foodpanda在2020年推出的物流服務，以既有外送司機及車隊建立的龐大外送網，提供商家B2C短程快速物流服務。現階段，全聯利用Pandago物流服務支援超過250家生鮮電商門市的外送訂單需求。</p> <p>全聯門市上架Foodpanda，再加上小時達與Pandago服務間的合作，Foodpanda將涵蓋全聯超過75%外送服務門市的範圍。Foodpanda總經理方俊強更表示，雙方合作營收今年上看15億元。</p> </div></div></div>
2022/1/13 20:27作者黃郁芸https://www.ithome.com.tw/news/148874
國泰人壽推出個人保險數位平臺搶攻數位客群，能按需求組合保單試算保費，上線月餘受理超過700件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定數位族群保險需求，國泰人壽今天（1/13）發布個人保險數位平臺「自由配」，將國泰人壽保險商品元件化，讓保戶能依照真實需求與預算，線上瀏覽、即時組合保單與試算保費。藉由數位獲客方式，進一步引導到2大通路進行投保，包括線上商品客服諮詢及國泰人壽200名精選業務員，來提供後續服務。</p> <p>國泰人壽協理廖玉如表示，國泰人壽轉型辦公室去年8月調查數位原生世代對購買保險過程的期待有3項，像是更為自主、更透明、更即時。因此，國泰人壽數位發展部專案經理呂昱德提到，團隊將保險商品元件化，拆分成63支商品並對應保障項目，平臺也針對使用者介面與使用者體驗進行優化。</p> <p>廖玉如解釋，該個人保險數位平臺具體描述保險項目、保障條件，及理賠認定情境。比如，手術險的保障項目為10倍住院手術或2倍門診手術，承保條件為0到54歲民眾可投保，保額為500元到2,000元不等，理賠認定情境則為，因疾病或意外接受手術治療，住院手術給付10倍保險金額、門診手術則給付2倍保險金額。</p> <p>此外，該平臺一站式提供保費即時試算功能與理賠金試算公式。甚至，民眾在進行保單組合時，平臺的購物車會主動提示所缺少的保障項目。不過，平臺有線上與線下2項投保通路，包括傷害險、健康險2種險種，能全程以網路投保方式完成。</p> <p>但，廖玉如表示，因法規規範，網路投保商品採取正面表列開放，目前尚未開放住院日額、手術、重大傷病、癌症等商品類型。因此，針對這類型的保險商品類型，保戶在數位平臺上選擇完保單組合後，仍須仰賴線下業務員執行投保作業流程。</p> <p>另外，平臺上更推出多種生活情境組裝保險套餐，供消費者選擇。根據國泰人壽統計，個人保險數位平臺已上線1個多月，網頁瀏覽人次逾2萬人次，受理件數超過700件，其中，又以重大傷病、癌症、住院治療為前3大投保項目。</p> <p>國泰人壽更進一步揭露傳統通路與數位通路的效益，過去1個月，在20到34歲年輕客群中，透過傳統通路購買既有保障型商品的人數占33%，而透過新個人保險數位平臺購買商品的人數則占45%。</p> <p>未來，國泰人壽也要透過此平臺發展場景金融，特別是與保險有高度連結的場景，像是推薦國泰世華銀行線上定存客戶，可將定存利息用來購買小額保險，或者可與旅遊業等異業合作，透過API串接系統，當民眾購買旅遊行程、機票、高鐵票時，可同時購賣短期保險服務。文⊙李靜宜</p> </div></div></div>
2022/1/13 16:59作者李靜宜https://www.ithome.com.tw/news/148869
蘋果解決造成iPhone無回應的HomeKit doorLock臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT213043" target="_blank">蘋果本周釋出</a>iOS、iPadOS 15.2.1版以解決造成iOS裝置死機、無回應doorLock臭蟲。</p> <p>根據蘋果的描述，這項更新已改善輸入驗證解決HomeKit中一項資源耗盡問題。最新臭蟲會導致iPhone或iPad處理經惡意操弄的HomeKit裝置名稱時，引發阻斷服務（DoS）。</p> <p><a href="https://www.ithome.com.tw/news/148706" target="_blank">這次更新也是</a>回應安全研究人員Trevor Spiniolas上周公佈蘋果修補CVE-2022-22588不力。研究人員指控，他老早就通報蘋果，但蘋果拖了將近半年還沒修補。</p> <p>他發現，在以iPhone的Home App控制連結iCloud的HomeKit裝置中，當HomeKit裝置註冊名稱變更成極大字串（例如50萬字元）時，會引發iOS對所有輸入沒有反應，且iOS的backbardd控制程式被watchdog程式終止又重覆載入，並落入無限循環，而且用戶無法存取裝置上的資料。同時，由於這變更後的HomeKit裝置名稱儲存在iCloud中，因此iOS裝置重置後只要再登入iCloud，就會重演死機情形。研究人員將之稱為doorLock臭蟲。</p> <p>這項臭蟲影響產品包括iPhone 6s、iPad Air 2、iPad 5、iPad mini 4以及之後機種，iPod touch 7，以及所有機種的iPad Pro。蘋果呼籲用戶儘速更新。</p> </div></div></div>
2022/1/13 17:15作者林妍溱https://www.ithome.com.tw/news/148871
【資安日報】2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國際局勢上，俄羅斯APT駭客APT29、APT28、Sandworm Team，不斷針對關鍵基礎設施（CI）發動攻擊，而使得美國政府向相關業者發出警告，呼籲要積極監控工業控制系統（ICS）與操作科技（OT）環境，一旦發現疑似的攻擊跡象，就要進行通報。而類似針對CI的APT駭客，還有隸屬伊朗軍情單位的MuddyWater，他們主要的攻擊目標是電信業者、政府機構，以及石油公司。</p> <p>而中國通訊設備傳出可能會向中國政府回傳資料的跡象，過往集中的焦點多半是在行動裝置，但企業採用的IP電話也出現類似情形。最近有報導指出，美國有參議員向商務部提出，該國政府各級單位大量採用的億聯（Yealink）IP電話，不只設計上存在嚴重的資安問題，還會連線到阿里雲交換加密訊息。這樣的情形商務部會如何因應，相當值得觀察。</p> <p>除了上述的資安通告，以及中國產品的威脅，美國醫療機構資安事故頻傳的現象也引起關注。在我們今天提到的佛州消化道照護機構（FDHS）、美國醫療檢測研究所（MRIoA）的事故之餘，近期還有Ravkoo網路藥局、伊州生育中心、愛達荷州醫療機構Saltzer Health、佛州醫療照護系統Broward Health等組織傳出相關攻擊事件。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-russian-hackers-targeting-critical-infrastructure/"><span style="color: rgb(0, 0, 0);"><strong>俄羅斯駭客APT29、APT28、Sandworm Team鎖定美國關鍵基礎設施下手</strong></span></a></h4> <p>臺灣在資安即國安的戰略下，關鍵基礎設施（CI）成為重要的一環，而針對這類設施的相關威脅，國外也相當重視。例如，美國網路安全暨基礎架構安全局（CISA）、聯邦調查局（FBI）、國家安全局（NSA）聯合提出警告，APT29、APT28、Sandworm Team等俄羅斯政府資助的駭客組織，連年針對關鍵基礎設施，攻擊全球的工業控制系統（ICS）與操作科技（OT）環境，近期對於美國CI攻擊的情況加劇，他們呼籲相關業者要加強防護，保留各式事件記錄檔案（Log），並在察覺疑似遭駭的事件就進行通報。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/us-links-muddywater-hacking-group-to-iranian-intelligence-agency/"><span style="color: rgb(0, 0, 0);">美國指控MuddyWater駭客組織與伊朗軍情機構有關</span></a></strong></h4> <p>伊朗駭客組織MuddyWater（亦稱SeedWorm、TEMP.Zagros）近期動作頻頻，且都是鎖定電信業者、政府機構，甚至是航空公司等關鍵基礎設施下手，這樣的攻擊策略是否與軍事情報的收集有關？美國網站司令部（United States Cyber Command，USCYBERCOM）指出，MuddyWater是伊朗情報暨國家安全部（MOIS）下屬單位，他們也公布該組織於近期攻擊行動所使用的惡意軟體PowGoop情資，並指出這些駭客可能會透過DLL側載（DLL Side-loading）來執行，並混淆PowerShell指令以隱藏攻擊意圖。</p> <h4><a href="https://www.defenseone.com/technology/2022/01/common-office-desk-phone-could-be-leaking-info-chinese-government-report-alleges/360500/"><span style="color: rgb(0, 0, 0);"><strong>億聯IP電話設備疑似會每天向中國伺服器發送訊息</strong></span></a></h4> <p>中國的行動裝置會回傳資料到中國，而引起關注，但該國品牌的IP電話，也可能存在類似的情況。根據美國國防新聞網站Defense One的報導，該國參議員Chris Van Hollen於2021年9月28日，向商務部提及億聯（Yealink）IP電話潛藏的資安威脅，並引用資安業者Chain Security對於該廠牌T54W電話的分析報告，確認商務部是否知情。由於億聯為該國政府IP電話的10大供應商之一，該廠牌IP電話廣受美國政府與企業採用，該名參議員認為，恐會造成國安威脅。</p> <p>資安業者Chain Security在研究報告指出，T54W會每天透過其管理平臺（YDMP）連線到阿里雲，多次交換加密訊息，而且億聯中國的員工可透過YDMP超級管理員身分，來監控網路流量。此外，T54W的韌體沒有使用數位簽章，有可能遭到攻擊者竄改。再者，根據億聯的使用者授權條款，中國政府可基於國家利益考量，要求億聯對使用者進行主動監控。</p> <h4><a href="https://mb.com.ph/2022/01/10/comelec-servers-hacked-downloaded-data-may-include-information-that-could-affect-2022-elections/"><span style="color: rgb(0, 0, 0);"><strong>菲律賓選舉委員會伺服器遭駭，恐波及總統大選</strong></span></a></h4> <p>菲律賓即將於今年5月舉行總統大選，相關的競選活動與籌畫正在如火如荼進行，卻驚傳辦理選務的單位資料外洩。當地媒體馬尼拉公報（Manila Bulletin）發現，有駭客組織於1月8日入侵菲律賓選舉委員會（Comelec）的伺服器，並下載該單位的內部網路資料，包括網域相關資料及選務資料。攻擊者不只下載了網域管理員帳密、特權用戶名單、網域政策，並取得投票區地點與選務人員名冊等細節。馬尼拉公報認為，這起資料外洩事件很可能會影響接下來的總統大選。</p> <h4><a href="https://www.scmagazine.com/analysis/breach/213k-florida-digestive-health-patients-informed-of-2020-data-compromise"><span style="color: rgb(0, 0, 0);"><strong>美國佛州腸胃醫療機構驚傳資料外洩，21萬病人可能受到影響</strong></span></a></h4> <p>美國佛州消化道照護機構（FDHS）近日向212,509人發出資料外洩通知，表明一年前（2020年12月）數名員工電子郵件帳號遭到入侵的事故，不只該構構有部分資金遭竊，還有可能使得病人的資料外洩。這些資料包含了姓名、財務資料、聯絡方式、醫療診斷，以及保險與補助的資料。FDHS表示，電子病例系統（EMR）並未受到本起事故影響。</p> <h4><a href="https://www.securityweek.com/mrioa-discloses-data-breach-affecting-134000-people"><span style="color: rgb(0, 0, 0);"><strong>美國醫療檢測機構MRIoA資料外洩，恐波及逾13萬人</strong></span></a></h4> <p>美國醫療檢測研究所（MRIoA）發出公告指出，他們在2021年11月9日察覺遭到複雜的網路攻擊，並於同月12日出現客戶資料遭到未經授權存取的現象，這些資料包含了個人聯繫方式、社會安全碼、實驗室檢測資料，以及保險資料等。MRIoA強調，尚無證據顯示，外洩的資料導致客戶身分遭到盜用，該單位亦提供受影響的人士免費信用監控與身分保護服務。根據MRIoA繳交給緬因州總檢察長辦公室的文件，超過134,000人受到影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ea-50-high-profile-fifa-22-accounts-taken-over-by-phishing-actors/"><span style="color: rgb(0, 0, 0);"><strong>美商藝電驚傳FIFA玩家帳號遭駭</strong></span></a></h4> <p>美商藝電（EA）發布公告，指出足球電玩FIFA 22的玩家，有接近50個帳號遭到接管，攻擊者使用網路釣魚與其他社交工程手法，藉由客服人為錯誤來繞過雙因素驗證（2FA），來存取這些玩家的帳號，該公司將加強相關人員的訓練，以及改進身分驗證流程來因應。由於遭駭的玩家包含了直播主，甚至是Valentin Rosier等足球運動員，此事件的後續發展有待觀察。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-arrests-suspect-who-stole-unpublished-books-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);"><strong>義大利駭客發動網釣攻擊，竊取書籍稿件</strong></span></a></h4> <p>美國於1月5日逮捕29歲的義大利人Fillippo Bernardini，這名男子藉由曾在大型出版商Simon & Schuster工作，但自2016年8月，他涉嫌冒充出版業的人士，使用超過160個假造網域名稱的電子郵件，佯稱是出版社或是文學偵察員（literary scout），要求作者在書籍出版前提供手稿，其中不乏得到普立茲獎肯定的作家。該名男子亦針對紐約市一家文字偵察員公司發動網路釣魚攻擊，進而從中得知即將出版的書籍資訊。一旦被判有罪，Fillippo Bernardini恐面臨20年以上的監禁。</p> <h4><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-13_145921_165.jpg" style="width: 220px; float: right;" /></h4> <h4><a href="https://165.npa.gov.tw/#/article/risk/289"><span style="color: rgb(0, 0, 0);"><strong>東森購物、誠品書店與王品集團履列高風險賣場名單，到2022年初仍多起民眾通報，單誠品去年就有939件</strong></span></a></h4> <p>針對國內疑似個資外洩造成詐騙的問題，內政部刑事警察具165反詐騙諮詢專線，持續公布解除分期詐騙高風險賣場名單示警，到了2022年第一週，去年傳出客戶個資外洩的東森購物、誠品書店，仍位列名單第一第二，王品集團旗下餐飲品牌陶板屋也持續入榜。</p> <p>日前警方曾針對誠品書店個資外洩事件說明，指出該公司並未找到事件根因，而我們追問後得知，2021全年單是誠品的民眾通報件數，已高達939件，而東森購物與王品集團還在調閱資料中，但也可能有如此多，相較於前兩年，2020年是MOMO購物（383件）最高、2019年是MKUP美咖（421件），去年個資外洩引發詐騙的問題，明顯比往年嚴重。近期，165就會揭露2021年度的前五大高風險賣場。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/13 15:07作者周峻佑https://www.ithome.com.tw/news/148865
前Arm首席CPU架構師Mike Filippo從蘋果跳槽至微軟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-01-12/microsoft-recruits-key-apple-engineer-to-work-on-custom-chips" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，<a href="https://www.ithome.com.tw/news/131512" target="_blank">在2019年從Arm跳槽至蘋果的Arm首席CPU架構師Mike Filippo</a>，已被挖角至微軟，打算協助微軟打造Azure伺服器專用的處理器。此外，微軟向《彭博社》證實已延攬Filippo。</p> <p>Filippo曾在2004年至2009年間擔任英特爾的CPU系統架構師，再於2009年加入Arm，2019年被延攬至蘋果。蘋果在2020年發表了基於Arm架構的M1晶片，準備將所有個人電腦產品的晶片從英特爾置換成自家晶片，並計畫在今年發表M2，然而，今年1月蘋果一名資深晶片設計師Jeff Wilcox才跳槽至微軟，現在又傳出Filippo遭到微軟挖角，蘋果短時間便損失了兩名大將。</p> <p>根據報導，微軟打算藉由Filippo的專長，協助微軟打造Azure伺服器的專用晶片，向Google及Amazon看齊，亦將威脅到英特爾及AMD等微軟既有的晶片供應商。</p> </div></div></div>
2022/1/13 16:26作者陳曉莉https://www.ithome.com.tw/news/148867
FCC主席提出更嚴格的資料外洩通知規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）主席Jessica Rosenworcel，<a href="https://www.fcc.gov/document/chair-rosenworcel-circulates-new-data-breach-reporting-requirements" target="_blank">在本周提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM）</a>，將針對境內電信業者客戶專屬網路資訊（Customer Proprietary Network Information，CPNI）的外洩事件，祭出更嚴格的通知規定。</p> <p>新的規定將在外洩事件發生後，取消通知客戶的7天強制等待期；就算是不經意的外洩也必須通知客戶；此外，除了向聯邦調查局（FBI）與美國特勤局（U.S. Secret Service）通報外，也必須通知FCC。</p> <p>Rosenworcel表示，現行的法令已要求電信業者必須保護客戶資訊的隱私與安全，但FCC必須更新這些規定以充分反映資料外洩事件的進化，以及對受波及客戶所造成的立即威脅，隨著資料外洩事件的頻率、規模與複雜度都日益增加，再加上個人資訊的外洩所帶來的影響可能長達多年，客戶理應受到保護。</p> <p>此一NPRM必須由FCC的委員進行投票表決，才能決定是否施行。</p> </div></div></div>
2022/1/13 16:37作者陳曉莉https://www.ithome.com.tw/news/148868
Windows更新引發Server無限重開機、Hyper-V無法啟動、桌機無法VPN連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148841" target="_blank">本周微軟釋出的Patch Tuesday</a>，其中一項更新版引發Windows Server機器不斷重開機、Hyper-V無法啟動及檔案系統ReFS無法存取等問題。此外Windows 10及11桌機的VPN服務也無法連線。</p> <p><a href="https://borncity.com/win/2022/01/12/windows-server-januar-2022-sicherheitsupdates-verursachen-boot-schleife/" target="_blank">德國部落格Borncity報導</a> ，本月釋出針對Windows 8.1及Windows Server 2012 R2的KB5009624更新，原本是為了解決Windows Server中、用於修改LDAP參數時的 Active Directory （AD）屬性設計不當引發的安全問題，但卻引發作為網域控制器的Windows Server伺服器不斷重開機的麻煩。</p> <p>安裝這版更新後，Windows Server中的本機安全認證子系統服務（Lsass.exe）觸發違反存取規則（access violation）的錯誤訊息，並進一步導致作為網域控制器（domain controller）的Windows 機器不斷重開機。</p> <p>LSASS是Windows一個執行Windows系統安全政策內部程式，負責在用戶登入時電腦單機或伺服器時驗證用戶身份、管理用戶密碼變更、以及留存紀錄。這項行程終止時會引發系統重新啟動</p> <p><a href="https://www.reddit.com/r/sysadmin/comments/s21ae1/january_updates_causing_unexpected_reboots_on/" target="_blank">根據Reddit論壇用戶討論</a> ，受影響版本可能包括Server 2012R2、Server 2016 、Server 2019。目前唯一方法是移除這3個平臺的更新版。</p> <p>重開機問題外，<a href="https://www.reddit.com/r/sysadmin/comments/s1oqv8/kb5009543_january_11_2022_breaks_l2tp_vpn/" target="_blank">還有不少用戶反映</a>安裝更新後，跑在Hyper-V上的VM就無法啟動。<a href="https://www.reddit.com/r/exchangeserver/comments/s1y5pw/january_updates_refs_became_raw_for_database/" target="_blank">最新更新也造成</a>用戶 Windows Server中的彈性檔案系統ReFS磁碟區內的資料，全部變成無法讀取的原始資料，可能也是所有Server版本都受影響。</p> <p>微軟官方網頁目前尚未提及這些問題。</p> <p>同時間，<a href="https://www.reddit.com/r/sysadmin/comments/s1oqv8/kb5009543_january_11_2022_breaks_l2tp_vpn/" target="_blank">許多桌機版Windows用戶抱怨</a>本月更新安裝後，讓Windows 桌機的VPN無法使用，受影響的包括Windows 10、Windows 11內建L2TP VPN用戶端，以及部份第三方VPN應用程式如Meraki。出問題的更新包括Windows 10的KB5009543 和 KB5008876、以及Window 11的KB5009566。</p> <p class="rtecenter"><a href="http://www.reddit.com/r/sysadmin/comments/s1oqv8/kb5009543_january_11_2022_breaks_l2tp_vpn/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-kb%20problem-%EF%BC%93.png" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/148711" target="_blank">微軟上周才釋出Windows Server例外修補程式</a>，以解決12月中釋出的KB5008218版更新，導致的Windows Server遠端桌面無法連線、登入服務或運作變慢或停止回應的問題。</p> </div></div></div>
2022/1/13 15:34作者林妍溱https://www.ithome.com.tw/news/148866
駭客利用Azure、AWS服務散布RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://blog.talosintelligence.com/2022/01/nanocore-netwire-and-asyncrat-spreading.html" target="_blank">安全研究人員發現</a>，近日有駭客將腦筋動到公有雲頭上，利用微軟Azure及Amazon Web Services （AWS）來散布遠端存取木馬（remote access trojan, RAT）程式。</p> <p>思科旗下Talos Intelligence實驗室去年10月底，發現一個不明組織散布Nanocore、Netwire和AsyncRAT的變種。這些變種包含多種功能，可控制受害者電腦、執行遠端程式碼及竊取受害者資訊。</p> <p>這波感染行動一開始是駭客寄送有惡意ZIP附件的釣魚信件。這些ZIP附件包含ISO映像檔及JavaScript、Windows 批次或Visual Basic script寫成的下載器。當這個script在用戶電腦執行後，這個檔案就會連到外部下載點，以下載次階段的惡意程式。這些下載點可被代管在微軟Azure上的Windows伺服器或是AWS EC2執行個體。而為有效下載次階段的惡意程式，攻擊者還利用免費動態DNS服務DuckDNS註冊惡意子網域。</p> <p class="rtecenter"><a href="https://blogger.googleusercontent.com/img/a/AVvXsEi7xhO2xsatFHYVEgVnEvX1ke9YXqLub1hLgaZlEPW-52zT0KDH60oKDB19_WoEvtFLTVOWIWj3qwDNyGD3tGHaYv61u9Mqpjy9vJwgj2jTS--1pV5Ig4I5nAawApDLw054Dc93oIxvofb2lV41vgyjGA0JTWYV_HCozsetsIQbwslIrBCJpgXNl5RxLA" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEi7xhO2xsatFHYVEgVnEvX1ke9YXqLub1hLgaZlEPW-52zT0KDH60oKDB19_WoEvtFLTVOWIWj3qwDNyGD3tGHaYv61u9Mqpjy9vJwgj2jTS--1pV5Ig4I5nAawApDLw054Dc93oIxvofb2lV41vgyjGA0JTWYV_HCozsetsIQbwslIrBCJpgXNl5RxLA" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／思科</span></p> <p>研究人員分析，最後下載到用戶電腦的惡意程式包括Nanocore、Netwire和AsyncRAT等RAT程式的變種。以其技術能力而言，Nanocore可蒐集受害電腦影音資料及遠端桌面、Netwire則可遠端執行指令以竊取受害者密碼、登入憑證及信用卡資料。AsyncRAT則能藉由紀錄鍵擊、錄製螢幕、及設定系統組態，以便蒐集受害機器的機密資料。</p> <p>依據惡意子網域的DNS呼叫分布來判斷，這波攻擊可能受害者分布在美國、加拿大、義大利及新加坡，此外西班牙及南韓也有零星案例。</p> <p>研究人員建議企業應時常檢查連向雲端服務的對外連線，以偵測可能的惡意活動流量。</p> </div></div></div>
2022/1/13 13:08作者林妍溱https://www.ithome.com.tw/news/148861
Jack Dorsey設立比特幣法律防禦基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter共同創辦人、知名比特幣（Bitcoin）擁護者的<a href="https://lists.linuxfoundation.org/pipermail/bitcoin-dev/2022-January/019741.html" target="_blank">Jack Dorsey在12日宣布</a>，將設立比特幣法律防禦基金（Bitcoin Legal Defense Fund），以協助比特幣社群對抗各式各樣的法律訴訟。</p> <p>Dorsey說，法律訴訟與持續的威脅正對比特幣社群產生預期的效果，個別的被告在缺乏法律支援的情況下紛紛選擇投降，這些經常單獨的開源碼開發者特別容易受到法律壓力，而影響他們發展比特幣或相關專案的意願，因此決定設立非營利的基金來協助捍衛開發者。</p> <p>Bitcoin Legal Defense Fund初期是由一群志願者及兼職律師開始，將協助開發者尋找辯護律師、制定訴訟策略及支付法律費用等，開發者可以自行選擇是否求助該基金，而該基金的董事會也將負責確定要協助哪些訴訟，以及未來是否對外募資。</p> <p>此外，該基金的首波行動將是接管Tulip Trading控訴16名比特幣開發者的訴訟案。Tulip Trading為澳洲企業家Craig Steven Wright所設立的英國公司，<a href="https://www.ithome.com.tw/news/105677" target="_blank">Wright曾對外宣稱</a>他就是發明比特幣的中本聰。</p> <p>根據該訴訟，Wright表示自己有兩個分別存放3.1萬個比特幣及近8萬個比特幣的加密貨幣錢包，並在2020年遭到駭客入侵，駭客盜走了這兩個錢包的金鑰，因而認為Bitcoin Core的開發者負有信託責任，必須將這兩個錢包的存取及控制權交還給他。</p> <p>不管技術上可不可行，Wright在今年2月提出的訴訟，倫敦法院於今年5月批准了訴訟的進行。</p> <p>Dorsey表示，針對此一訴訟，Bitcoin Legal Defense Fund也願意提供資金讓被告尋求外部的律師協助。</p> </div></div></div>
2022/1/13 13:32作者陳曉莉https://www.ithome.com.tw/news/148862
統一向無人化智慧商店再邁進一步，顧客免到櫃檯結帳，一支手機就能在實體店自助結帳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼先前4間無人商店啟用後，超商龍頭7-Eleven最近再推出第5間無人商店X-STORE 5，有別於前4間無人超商，該店最大特色就是將店內購物和結帳流程，都能透過一支手機完成，甚至不用走到自助結帳櫃臺，就能完成所有購物和結帳，提供全新零接觸零售消費體驗。</p> <p>儘管不像美國Amazon Go無人店是利用AI電腦視覺，偵測民眾在店內如何拿取商品來自動結帳，在這間無人超商購物和結帳時，民眾仍需操作自己手機，但已向無人化商店更邁進一步。</p> <h3><strong>手機就能完成購物和結帳，免排隊等待</strong></h3> <p>7-Eleven自2018年推出首間無人商店X-STORE，開始結合無人自助結帳、IoT智慧咖啡機等各種智慧科技設備，來打造智慧零售科技實驗場域，短短3年間陸續在臺北、高雄、臺中啟用4間無人商店，迄今已有超過2,300萬人次使用。截至目前更有高達6,000家門市已導入這項實驗的部分應用成果，例如電子數位看板等。</p> <p>新啟用的5號店落腳在桃園市大園區大成路上，緊鄰桃園高鐵站與大型購物商場，同樣是24小時提供全天營業。整間門市採用複合店經營型態，分為無人自助體驗區和人工結帳的複合服務區，其中自助體驗區坪數約14.6坪，店內空間並不大，僅有兩排貨架，擺放零食、泡麵、生活用品，至於複合服務區較寬敞，有48坪。</p> <p>進到自助體驗區，入口處有兩個進出閘門，一般民眾需持 icash 2.0卡、 Openpoint app會員條碼進行掃描或在平板螢幕輸入會員手機號碼，才能進出商店，每次僅允許一人通行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%942-%E8%87%B3%E6%B5%A9-%E7%84%A1%E4%BA%BA%E5%BA%97%20-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p dir="ltr" id="docs-internal-guid-27e3eb7a-7fff-40e9-5ac4-edcaf41e88f3">就像其他X-STORE無人店，該店入口處設有兩個進出閘門，民眾需持icash 2.0卡、 Openpoint app會員條碼進行掃描，或在平板螢幕輸入會員手機號碼，才能進入商店，每次僅允許一人通行。（攝影／余至浩）</p> </blockquote> <p>店內設置兩個自助結帳櫃臺，消費者選完商品後可將商品放到櫃臺，使用PoS機掃描商品進行結帳。除了設置自助結帳機之外，7-Eleven在這間門市還提供了另一種全新的零接觸購物模式，導入與合作夥伴共同打造一套iscan X ipay無人購物技術，讓民眾用自己手機就能邊刷邊購物，甚至不只商品，消費者也能夠透過手機選購要喝的咖啡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pictures.jpg" style="width: 600px;" /></p> <blockquote><p>店內除了提供自助結帳機付款，顧客還可以自己手機隨刷隨買，用手機掃描貨架商品的電子標籤條碼，自動將商品計入用戶的行動購物車，要結帳時，用個人手機就能完成付款，現支援Open錢包、icash Pay線上支付。（攝影／余至浩）</p> </blockquote> <p>使用這項零接觸無人購物服務時，民眾需以手機掃描店內iscan X ipay立牌上的QR碼，再輸入手機號碼，就會在手機開啟虛擬行動購物車的購物網頁，可利用手機相機來掃描商品進行購物。該會員手機號碼可供之後訂單明細寄送使用。</p> <p>從貨架拿取商品時，消費者得以手機掃描貨架商品的電子標籤條碼，或是商品包裝條碼，透過影像辨識來辨識出該商品，並且計入該用戶帳戶的行動購物車裡，一次購買多件相同商品時，可在購物清單上自行選擇商品數量，不用重覆掃描，遇到小件商品或是擺放位置的照明不明時，也有提供輔助工具，像是可放大螢幕畫面或開啟手機手電筒功能來加強辨識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%944-%E8%87%B3%E6%B5%A9-%E7%84%A1%E4%BA%BA%E5%BA%97%20%E2%80%93%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%207-Eleven.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>使用這項零接觸無人購物服務時，需以手機掃描店內iscan X ipay立牌上的QR碼，再輸入手機號碼，就會開啟虛擬行動購物車的購物網頁，可利用手機相機掃描商品進行購物。該會員手機號碼可供之後訂單明細寄送使用。（圖片來源／7-Eleven）</p> </blockquote> <p>當選購物品完成準備結帳時，消費者可用自己的手機就能進行付款，不需要到櫃臺結帳，目前可支援Open錢包或 icash Pay線上支付，用戶付完款後就能走出店外。除了直接靠手機付款，也能將行動購物車商品清單轉換為QR碼，使用自助結帳機付款。</p> <p>7-Eleven表示，這間無人商店搭配了一套監控機制，可用來追蹤用戶有無按拿取商品來付款，不過，記者實測拿著還未結帳商品靠近出口閘門，門仍會感應自動開啟，似乎還沒建立一套能夠偵測消費者完成付款才能離開的機制。</p> <p>除了用手機就能購物和結帳外，店內也整合了前幾家X-STORE門市的智慧零售應用，在商品貨架皆導入無紙化電子標籤，來管理和更新商品資訊，還設置電子數位看板，配合貨架商品來提供優惠資訊或推薦商品；再者，店內也導入IoT應用可用於電量、溫度監控及故障回報，還能偵測店內設備有無遭竊。智慧咖啡機本身結合IoT遠端管理，能即時監控和管理原物料庫存及銷售情形等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5(21).jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>5號店採用複合店經營型態，分為無人自助體驗區和複合服務區，其中自助體驗區坪數約14.6坪，店內空間並不大，僅有兩排貨架，擺放零食、泡麵及生活用品。店內還設置兩臺自助結帳機與一臺自助咖啡機。（攝影／余至浩）</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6(15).jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>購買咖啡時，以手機取得條碼並完成掃描後，咖啡機就能開始製作咖啡，不需要通過自助結帳機印出QR碼小白單，還結合IoT遠端管理監控和管理原物料庫存及銷售等。（攝影／余至浩）</p> </blockquote> <p> </p> </div></div></div>
2022/1/13 13:50作者余至浩https://www.ithome.com.tw/news/148863
去年全球PC出貨量成長15%，是2012年以來的最高峰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.canalys.com/newsroom/global-pc-market-Q4-2021" target="_blank">Canalys</a>與<a href="https://www.idc.com/getdoc.jsp?containerId=prUS48770422" target="_blank">IDC</a>本周相繼公布2021年的全球PC出貨量報告。其中，Canalys宣稱去年PC出貨量為3.41億臺，比2020年成長15%，儘管兩家業者所估計的出貨數量有些許落差，但皆說這是自2012年以來，全球PC出貨量最高的一年。</p> <p>Canalys表示，自2019年到2021年的兩年間，全球PC出貨量的年平均成長率為13%，突顯COVID-19疫情使得PC的重要性大增，去年筆電與行動工作站（高階筆電）的成長率為16%，而桌上型電腦及桌上型工作站則成長7%。</p> <p>Canalys資深分析師Ishan Dutt認為，2021年已成為PC市場的分水嶺，這一年來PC鞏固了它在工作、學習與休閒的中心地位，而且即便在供應鏈吃緊的狀態下都持續兩位數成長，長期而言，2021年PC領域最重要的意義在於它的普及率與使用率大幅成長。</p> <p>此外，自從疫情爆發後，人們購買PC已不再是換機，有很大的比例是添購多一臺機器，這意味著PC已嵌入人們的日常生活中，也替未來的持續成功奠定了基礎。</p> <p>去年全球PC出貨量冠軍為聯想，市占率為25.5%，其它位於前五名的依序是HP（21.1%）、Dell（17.4%）、蘋果（7.9%）及Acer（6.8%）。</p> </div></div></div>
2022/1/13 12:49作者陳曉莉https://www.ithome.com.tw/news/148860
Firefox Focus跟進桌面版Firefox，加入全Cookie保護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla宣布在<a href="https://blog.mozilla.org/en/mozilla/new-privacy-protection-for-firefox-focus-on-android/">Firefox Focus的Android版本，加入全Cookie保護技術（Total Cookie Protection）</a>，而這也將是第一個擁有全Cookie保護技術的Firefox行動瀏覽器。官方提到，這將能減輕跨站追蹤，用戶資料被搜集的隱私風險。</p> <p>網際網路使用者的個人資料，包括姓名、住址、電子郵件地址、電話號碼甚至是出生年月日，可能在無意間被企業收集，而企業會使用這些資料，來製作針對用戶的廣告，像是重新推播用戶曾經瀏覽過的商品，甚至是在背景收集用戶的瀏覽行為，並在網站跳轉時持續追蹤。</p> <p>去年Mozilla發布全Cookie保護技術，阻止第三方使用Cookie在網路追蹤Firefox使用者，該技術使用了ETP（Enhanced Tracking Protection）隱私保護套件，透過結合全Cookie保護和超級Cookie保護技術，Android上的Firefox Focus用戶將免受遭受企業跨站追蹤。</p> <p>Mozilla解釋全Cookie保護技術的運作原理，是透過對每個網站維護獨立的餅乾罐（Cookie Jar），當網站或是網站嵌入的第三方內容，在瀏覽器中儲存Cookie時，Firefox Focus都會將該Cookie限制在分配給該網站的餅乾罐中，如此，其他網站便儲存不屬於自己的餅乾罐，也就無法收集其他網站對使用者的追蹤。因此可以大幅減少用戶看到煩人的廣告，並減少企業針對用戶在上網時所能夠收集到的資訊量。</p> <p>不過，嚴格限制Cookie，可能導致部分網站無法正常運作，因此官方在去年12月的時候，加入智慧封鎖（SmartBlock）功能以及其他能保持網站穩定運作的修補程式，官方提到，這些功能可以解決網站損壞，智慧封鎖則能修復全Cookie保護以及其他隱私保護措施，所造成的網站錯誤。</p> <p>像是部分網站包含託管在其他伺服器上的地圖，因此當預期的Cookie沒有發送至這些服務的伺服器，地圖功能就無法正常運作，也就是說，全Cookie保護功能啟用狀態，網站功能會被破壞，智慧封鎖則能透過簡單的手法，讓這些網站功能維持正常。</p> <p>另外，對於選擇更嚴格追蹤保護策略的用戶，SmartBlock使用替代腳本來代替第三方腳本，這些替代腳本扮演原始腳本的角色，確保網站運作，而這些替代腳本和Firefox綑綁在一起，因此能在不停用任何隱私保護措施下，無損地載入網站，同時最大程度降低追蹤的風險。</p> </div></div></div>
2022/1/13 11:25作者李建興https://www.ithome.com.tw/news/148852
CircleCI提供全新免費計畫，開放更多DevOps關鍵功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺供應商<a href="https://circleci.com/blog/new-cicd-free-plan-what-devs-get/">CircleCI提供全新的免費計畫</a>，該計畫包含了原本只有付費計畫使用者才能使用的功能。官方提到，免費計畫是向開發者介紹產品，並提供動手試用的好機會，但是免費計畫針對關鍵功能的限制，無法在實際開發情境中發揮產品應有的價值，可能讓用戶體驗不佳，甚至對產品產生負面或是不準確的看法。</p> <p>而CircleCI認為，他們之前所提供的免費計畫，可能無法提供用戶完整理解，CircleCI在持續交付和發布流程中，所帶來的價值與力量，因此決定提供更加全面的免費計畫。在新的免費計畫，CircleCI用戶每月將可獲得3萬信用點數，根據用戶所使用的計算類型，最多可用於6,000分鐘的建置。</p> <p>CircleCI提供給免費計畫用戶更大的資源類別，來最佳化CI/CD工作管線，藉由資源類別的特性，控制工作管線底層計算節點容量。資源類別功能，讓開發團隊可以配置和管理計算節點資源，像是CPU和記憶體的容量，確保工作管線具有足夠的能力來完成工作。</p> <p>官方提到，工作管線資源容量不足，就會導致執行速度明顯下降，較慢的執行速度延長了工作管線的工作完成時間，可能導致發布過程延遲，新的免費計畫提供廣泛的資源類別，使團隊能夠使用足夠的資源，最佳化工作管線效率。</p> <p>在新的免費計畫中，官方還允許同時執行30個工作，讓用戶避免因為執行環境中的資源限制，導致出現等待佇列，大幅增加需要的時間。工作管線內並行性運算，可以在測試中發揮極大的價值，當用戶專案測試的項目越多，單臺機器需要花費更多的時間完成，要減少時間，用戶可以透過配置，指定並行層級來並行執行測試，這些測試便能夠在多個獨立的執行程式上運作，縮短驗證的時程。</p> <p>CircleCI免費計畫現在提供Docker層快取，該功能可以在儲存Docker映像檔個別的映像檔層，來減少Docker重複建置所花費的時間，當用戶下次執行工作流程時，CircleCI會從快取中檢索任何未更改的映像檔層，而非完全從頭開始重建整個映像檔。</p> <p>用戶也能使用私有Orb，所謂的Orb是指可以重複使用的YAML套件，供開發人員更簡單地自動化流程，並在工作管線中採用第三方工具，跨專案共享用戶配置，官方表示，雖然在公共Orb註冊表中，有許多Orb可供用戶選用，但是考量醫療保健、金融和公部門等這些受高度監管的行業，需要更高等級的安全性。</p> <p>因此在免費層級開放給用戶使用私有Orb，能夠使這些需要高隱私和安全性的產業，也能在CircleCI中感受到Orb所帶來的協作和效率優勢，開發團隊可以使用CLI工具創建和發布私有Orb，經過身份驗證的用戶，便能存取這些私有Orb。</p> <p>免費計畫現在更提供CircleCI Insights儀表板，該儀表板可用來追蹤自動測試程式碼的工作，供用戶跨多個工作流程和開發分支，來監控測試效能，以自動辨識緩慢、不穩定和常失敗的測試。Insights使用戶能夠全面掌握測試執行和效能資料，藉由監控關鍵指標，像是成功率和工作管線持續時間等，來了解工作流程的績效。</p> </div></div></div>
2022/1/13 11:29作者李建興https://www.ithome.com.tw/news/148854
Martech雙周報第15期：從廣告媒體代理商角度剖析Martech趨勢，電通集團期許扮演企業Martech整合關鍵角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1217~0113)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電通集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告媒體代理商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Martech趨勢 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">電通集團從廣告媒體代理商角度剖析Martech趨勢，更期許扮演企業整合Martech的關鍵角色</span></strong></p> <p>電通行銷傳播集團數位長邵懿文，日前在一場活動上，從廣告媒體代理商的角度，分享對臺灣Martech應用與發展現況的觀察。由於電通行銷傳播集團旗下有多個媒體、廣告代理品牌、數位行銷以及整合性行銷品牌等，這些深入廣告、行銷領域的觸角，讓邵懿文對臺灣Martech發展格外有感，也期許代理商可以在其中扮演更關鍵的角色。</p> <p>「代理商應該是最早接觸Martech的企業，」邵懿文指出，代理商接觸 Martech，最早從廣告科技開始，大多廠商是提供更具成效的廣告投放技術，後續也接觸到臉書、Google、Line這類關鍵Martech服務業者，一舉一動都影響了市場的運作；隨著Martech的應用面向越來越廣，從行銷延伸到銷售、客服、商務等，市場上的關鍵供應商也越來越多，紛紛從不同角度躋身這個市場。</p> <p>觀察到Martech更蓬勃發展的市場趨勢後，邵懿文認為，「代理商很重要的任務是評估跟整合，」由於市場上的Martech工具更多了，企業需求也更複雜了，她指出，整合不同層次的Martech工具，成為企業的一大痛點。因此，企業找上代理商的其中一大原因，就是要整合現有的Maretch工具，「有效協助客戶評估，進行資料、工作流程、顧客需求的整合，就是代理商最大的價值。」</p> <p>除了為客戶進行Martech整合，代理商更有機會發展自己的Martech工具與服務。邵懿文指出，過去，大多是商業規模達到一定程度的大企業，才會尋求代理商的服務，但現在，代理商也面對來自中小企業的代理需求。這時，「如何運用過去服務大企業客戶累積的know-how，發展自己的SaaS服務，」比如打破既有靠人力提供服務的模式，改由SaaS服務取代，讓中小企業能以更低的成本、更快取得服務，就是代理商發展Martech的一種方向。</p> <p>發展Martech過程中，邵懿文指出，代理商的優勢在於，能第一線接觸企業，深刻了解企業的痛點。但同時，代理商也要懂得挑選合適的技術供應商，「評估什麼樣的技術可以跟我們結合？」才能打造出合適的Martech服務或應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/271018186_5547495698678744_5949560427181111294_n.png" style="width: 800px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Martech導入 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT與行銷協作 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">產業觀察：IT與業務單位更緊密協作，成Martech導入成功關鍵</span></strong></p> <p>企業在進行數位轉型、導入Martech時，大多從資料整合開始，先將資料打通，讓不同部門成員能依據共通的資料來進行協作，「如何讓IT與商業端人員互相了解，看到同樣的資料來討論，包括資料可以如何運用等，」電通行銷傳播集團數位長邵懿文點出，雙方人力必須更密切協作，具備對方的思維，才能更有效的發揮資料價值。</p> <p>比如說，邵懿文指出，許多企業舉辦相關的Workshop、設計思考（Design thinking）課程，都是讓IT更理解顧客思維的做法，讓後端的人往前面走，但同時，前端也要向後面走，理解IT的局限，並共同盤點各項需求的輕重緩急，「一些新的協作方法，讓兩邊人員不斷對齊，再去做修正。」她認為，藉由這些作法，Martech的工具未來進入到企業後，才能發揮更好的效用，「大家抱怨可能是工具不對，但其實可能是協作不足的問題。」</p> <p>AMT亞太行銷數位轉型聯盟協會共同創辦人吳秀倫則指出，從企業導入Martech的觀察來看，她發現有許多半導體和科技大廠，已經把IT打散到各個BU部門，去蹲點了解業務需求，比如將IT打散到研發、會計、行銷、業務部門等，來進行分散管理，同時也成立了新的數位發展部來統合需求，改由IT和數位發展雙軌並行，來執行未來產品創新、服務創新、流程創新等新的任務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Martech趨勢 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Big Ops </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> No Code </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Martech之父發布2022三大Martech創新主題：B2B商業、Big Ops與No Code</span></strong></p> <p>延續去年的觀察，Martech之父Scott Brinker年初發布了今年Martech創新的三大主題。第一，是涵蓋B2B、B2C在內的Martech商業發展更蓬勃，尤其，疫情加速了電商發展之後，帶來了一波B2C行銷科技創新浪潮，包括社群商業（Social Commerce）、超級App等Martech創新加速發展。但現在，B2B領域也有一場少為人知的商業變革，正在加速進行中。</p> <p>Scott Brinker引述麥肯錫對於B2B銷售的趨勢研究報告指出，電子商務現在被視為B2B銷售中最具成效的管道，該份報告中的另一項數據則顯示，數位自助（digital self-serve）的銷售模式，無論在銷售旅程的哪一個階段，都最受B2B買家的歡迎，顯示這個已經在B2C發展已久的D2C（direct-toconsumer）模式，現在也走向B2B企業。Scott Brinker指出，對行銷人員或行銷科技維運人員來說，這打開了一個充滿可能性的新世界，「我期待透過商業賦能的Martech工具，在B2B領域出現更多新實驗。」</p> <p>第二，則是重申去年趨勢預測中談到的Big Ops興起，Big Ops指得是奠基於大數據上的所有數位操作，包括爆炸式成長的應用程式、自動化流程、虛擬助理或分析工具等，走向跨組織的管理與維運。Scott Brinker認為，企業得將DevOps作法，與營運銷售端的RevOps（Revenue Operations）結合，來進行企業內部各種流程的優化。</p> <p>他更點出，Martech與Fintech都造就了RevOps的興起。RevOps是像傘一樣將行銷、銷售、顧客服務、財務等單點連接起來的維運功能，在行銷到營收的端到端流程（lead-to-cash）中，為了優化流程使其更加敏捷、具有適應性，流程中涉及的多個團隊，得遵守從資料定義到服務水平協議（SLA）的標準來協作，發揮RevOps的能力，來提升顧客旅程的端到端管理。</p> <p>第三，也是去年不斷提起的趨勢：Martech將走向No Code工具。Scott Brinker解釋，他將No code翻譯為，讓一般企業用戶（在行銷領域就是行銷人員），將過去需要專家協助的工作自己完成的一種科技，這些工作包括建立網頁、工作流、資料分析流程、創意內容，或是任何內外部使用的應用程式。但他也強調，No-Code並非要消除專家的角色，而是將較高階的技術交給專家，並把初階的應用開發交給行銷人員，以便能隨時、低延遲、無瓶頸、且有限的資源下，完成這些應用程式的開發。（<a href="https://chiefmartec.com/2022/01/3-big-martech-innovation-themes-in-2022/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/martech-innovation-2022.png" style="width: 800px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私控制設定 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">臉書發布了隱私中心功能，讓用戶了解自身隱私設定及臉書使用資料方法</span></strong></p> <p>臉書在月初發佈了隱私中心（Privacy Center）的功能，藉此讓用戶了解自己的隱私選擇，並了解臉書是如何搜集與運用他們的資訊。在隱私中心，用戶能夠得知臉書在應用程式和科技中保護隱私的方法，也能閱讀隱私政策，並了解臉書提供用戶的隱私與安全控制，目前的版本提供了5大模組，包括資料安全、分享、搜集、使用與廣告，每個類別都包含了閱讀指引與隱私選項的控制。而這個功能，現已提供給部分美國地區使用桌機臉書服務的用戶，預計在接下來幾個月內，也會逐漸推及到更多用戶、更多Meta的應用程式，目標將此功能作為控制隱私設定、進行隱私教育的中心。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://about.fb.com/news/2022/01/introducing-privacy-center/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--1901969573" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01_Privacy-Center.jpeg" style="width: 890px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> B2B銷售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位工具 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Adobe針對B2B銷售旅程提出6點建議，呼籲企業提升系統能力並善用數位工具來提升顧客體驗</span></strong></p> <p dir="ltr">B2B電子商務在疫情後更加普及，數位行銷變得比以往更加重要。對於這個趨勢，Adobe數位轉型總監Scott Rigby點出企業可以著力的面向，讓B2B銷售流程更順暢。其一，是在報價方面，由於買家需要先了解全部產品項目的報價，才能在與內部討論後下單完成交易，因此，Scott Rigby建議，賣家企業可以提升相關的系統能力，來鎖定購物車內產品的價格，有助於更多大筆訂單成交。其二，則是在談判與議價方面，由於B2B客戶的交易金額較高，通常具有議價的空間，賣家也可能提供各項折扣優惠，因此，若賣家擁有管理訂單、報價單與匯率的簡易工具，就能提供銷售人員更有力的支援。</p> <p>其三，則是提供多帳戶登入的功能，因為B2B買家通常需要多個登入帳戶以獲得授權、報價更新及產品服務的詳細資訊，提供多帳戶登入功能可以進一步改善採購流程。其四是在庫存管理方面，即時庫存管理和訂單追蹤資訊對整個供應鏈十分重要，企業可以使用自動化的業務工具，來提升客戶體驗，甚至藉此降低物流成本、增加利潤。最後則是在分析層面，買家的購物旅程，可提供企業分析與改善業務，因此，企業應更全面的考慮各種因素，以獲得準確的分析及預測結果。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Shopline </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 社群購物 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Instagram直播 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Shopline社群購物解決方案串接Instagram直播，讓店家一站式管理直播過程中的留言與訂單</span></strong></p> <p dir="ltr">全球累積超過35萬店家用戶的Shopline，近期宣布升級社群購物解決方案（Social Commerce Solution），增加串接Instagram的直播服務（Instagram LIVE），讓用戶能夠快速串接到該服務來進行社群導購與銷售。這項功能也會與已經串接的Instagram Shopping和Instagram Direct等購物功能整合，讓店家只需要透過一個後臺，就能管理Shopline LIVE、Facebook和Instagram上的直播、留言與訂單。</p> <p>對於消費者來說，這項新增的功能，能讓他們只需在直播畫面中留下指定的關鍵字，就可以將商品自動加入購物車，更能在不離開直播畫面的情況下完成付款，後續透過Facebook Messenger或Instagram Direct，還能接收系統自動發送的訂單確認通知，也可藉此發送訊息來聯繫店家。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E8%AA%AA%EF%BC%9A%E7%95%B6%E6%B6%88%E8%B2%BB%E8%80%85%E5%9C%A8%E7%9B%B4%E6%92%AD%E7%95%AB%E9%9D%A2%E7%95%99%E8%A8%80%E7%89%B9%E5%AE%9A%E9%97%9C%E9%8D%B5%E5%AD%97%EF%BC%8C%E5%8D%B3%E6%9C%83%E8%A7%B8%E7%99%BC%E7%B3%BB%E7%B5%B1%E8%87%AA%E5%8B%95%E7%99%BC%E9%80%81%E8%B3%BC%E7%89%A9%E8%BB%8A%E7%B5%90%E5%B8%B3%E9%80%A3%E7%B5%90%E8%87%B3%20Instagram%20%E7%A7%81%E8%A8%8A%E8%81%8A%E5%A4%A9%E5%AE%A4%EF%BC%8C%E6%9B%B4%E8%83%BD%E5%9C%A8%E4%B8%8D%E9%9B%A2%E9%96%8B%E7%9B%B4%E6%92%AD%E7%9A%84%E6%83%85%E6%B3%81%E4%B8%8B%E5%AE%8C%E6%88%90%E4%BB%98%E6%AC%BE.png" style="width: 804px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cookie條款 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google及Meta因未能輕易讓使用者拒絕Cookie，被法國判處高額罰款</span></strong></p> <p>Google近期因Cookie隱私同意設計，遭法國資訊主管機關CNIL（Commission nationale de l’informatique et des libertés）判罰1億歐元。CNIL指出，由於Google.fr、Youtube.com及Facebook.com讓使用者只透過一個按鍵就能接受所有的Cookie，而當使用者要拒絕這些Cookie時，卻需要好幾個按鍵才能拒絕所有的Cookie，此一程序影響了同意自由，違反《法國資料保護法》（French Data Protection Act），因而分別向Google及臉書判處1.5億歐元及6,000萬歐元的罰款，並要求Google及臉書要對使用者同意或拒絕Cookie的動作一視同仁，拒絕得跟同意一樣簡單，以保障用戶的同意自由，而且必須在3個月內履行，每延遲一天就得支付10萬歐元的罰款。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/148783" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--600997384" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/148765" target="_blank">1.特力集團推動零售資訊系統數位轉型，發展數據創新應用新模式</a> </strong></p> <p><a href="https://www.ithome.com.tw/news/148639" target="_blank"><strong>2.疫情帶動企業Martech運用再進化，資料及流程整合成IT新挑戰</strong></a></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／臺灣數位媒體應用暨行銷協會、Scott Brinker、Meta、Shopline</p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/13 11:33作者翁芊儒https://www.ithome.com.tw/news/148853
USB over IP產品漏洞讓USB連網裝置曝露於遠端攻擊，波及D-Link、TP-Link、Netgear等廠牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/" target="_blank">安全廠商SentinelOne本周公布</a>一款眾多知名品牌路由器使用的USB over IP技術有一遠端程式碼執行(RCE)漏洞，影響D-Link、TP-Link、Netgear等廠牌設備，讓駭客可攻擊、甚至接管連上這些設備的USB裝置。</p> <p>這項漏洞出在臺灣盈碼科技開發的KCodes NetUSB核心模組。<a href="https://www.kcodes.com/tw/product/8/58" target="_blank">這款模組</a>提供USB over IP或稱USB over Network功能，讓使用者可與連上路由器的遠端USB裝置互動，例如存取遠端印表機、快閃儲存裝置、TV tuner、網路攝影機、或是電腦螢幕，也可以和區域網路上其他人共享USB裝置等。NetUSB模組授權給了多家知名路由器品牌，包括Netgear、TP-Link、Tenda、EDiMAX、D-Link和Western Digital。這個過程需要以電腦安裝其驅動程式經由此模組和路由器通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-CVE-2021-45608-600.png" style="width: 600px;" /></p> <p>SentinelOne研究員Max van Amerongen發現，這項編號CVE-2021-45608的漏洞使NetUSB的SoftwareBus_dispatchNormalEPMsgOut功能，未能適當檢查輸入呼叫指令中的記憶體分配參數值大小，導致整數溢位攻擊，並讓攻擊者得以其控制的網路裝置在連上路由器的USB裝置寫入程式碼。此外也無法排除從WAN介面(TCP port 20005)寫入的可能性。</p> <p>他表示，雖然觸發這項漏洞的攻擊程式很難撰寫，但並非不可能。</p> <p>根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45608" target="_blank">NIST資料庫</a>，這項漏洞風險值被列為9.8。</p> <p>研究人員已在去年11月通知盈碼科技及受影響的路由器業者。目前僅有路由器廠商<a href="https://kb.netgear.com/000064437/Security-Advisory-for-Pre-Authentication-Buffer-Overflow-on-Multiple-Products-PSV-2021-0278" target="_blank">Netgear</a>、<a href="https://www.tp-link.com/de/support/faq/3279/" target="_blank">TP-Link</a>提供受影響的產品型號以及韌體更新。</p> <p>至於尚無法取得更新者，SentinelOne則建議緩解作法，以使用者定義的大小來限制配置記憶體來避免被攻擊寫入程式。</p> <p>這是這項USB over IP產品第二次被發現有安全漏洞。2015年SEC Consult<a href="https://www.ithome.com.tw/news/96042" target="_blank">也發現</a>NetUSB驅動程式含有可能造成阻斷服務攻擊、或遠端程式攻擊的安全漏洞。</p> <h3><strong><span style="color:#B22222;">更新盈碼科技回應</span> </strong></h3> <p>在1月13日早上我們也向盈碼科技了解狀況，對於這次SentinelOne發現的漏洞，他們表示，是在去年9月接獲對方通報漏洞，他們在10月修補完並經由資安業者驗證，後續已將修補程式提供給包括Netgear等所有品牌商。至於各品牌商的修補進度，目前Netgear、TPLINK已揭露受影響產品與提供新版韌體更新修補，用戶須留意這些業者的修補動向，可從這些品牌商的官方網站手動下載新版韌體並更新。文⊙資安主編羅正漢</p> </div></div></div>
2022/1/13 11:50作者林妍溱https://www.ithome.com.tw/news/148858
AI趨勢周報第184期：會聽也會讀唇語！Meta AI研究院開源新模型讓語音辨識更精準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0107～0113)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta AI研究院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 讀唇語 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>會聽也會讀唇語！Meta AI研究院開源新模型讓語音辨識更精準</strong></span></p> <p>Meta AI研究院發表一款新語音辨識預訓練模型AV-HuBERT，不僅能聽人說話，還會讀說話者的唇形，來判斷語句，提高辨識精準度。進一步來說，AV-HuBERT是一款自監督學習框架，也是第一個融合語音分析和唇形判讀的多模態模型，可從非標註資料學習。而且，AV-HuBERT只用十分之一的標註資料，準確率就比現有最好的語音-視覺辨識模型高上75%。</p> <p>所謂多模態是指，能同時處理不同類型資料的模型，如語音、影像或影片等。以AV-HuBERT來說，Meta AI研究院使用了說話者語音和唇形變化的影片資料集來訓練模型，讓模型同時處理語音和影片訊息，這個方法，讓模型甚至只需少量未標註資料（也就是未附上字幕的影片）就能完成預訓練。</p> <p>一旦模型學會其中的結構和相關性，就能以少量的標註資料來學習其他任務，甚至是另一個語言。而AV-HuBERT這種自監督的方法，能幫助開發者打造更多語言的抗噪自動語音辨識（ASR）系統，像是理解力更接近人類的語音助理，可用於手機和AR眼睛，不論周遭環境多吵雜都能理解人類語音。<a href="https://ai.facebook.com/blog/ai-that-understands-speech-by-looking-as-well-as-hearing/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-01-13%20114550.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 百度 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨模態 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ERNIE-ViLG </span></strong></span></p> <p><span style="font-size: 22px;"><strong>百度推出中文界最大跨模態圖文生成預訓練模型</strong></span></p> <p>百度發表一款跨模態圖文生成模型「文心ERNIE-ViLG」，參數量達100億個，號稱是中文最大的多模態模型。團隊指出，近年來，電腦視覺和語言預訓練模型大幅提高了圖生文的表現，但對大規模的文生圖合成任務來說，仍有待加強。</p> <p>於是，他們以Transformer架構為基礎，打造一套統一的雙向預訓練模型ERNIE-ViLG，利用自迴歸演算法和來對圖像生成和文字生成這兩任務統一建模，提高不同模態（即圖、文）的語義對齊關係，進而提升圖文生成的精準度。在表現上，這款模型可根據文字敘述生成單一物件圖像，像是一隻呆萌的哈士奇，也能生成複雜場景，如沿著鐵軌行駛的黃藍相間火車，甚至能產生想像中的場景，如吟遊詩貓。此外，模型也能根據圖片產生圖說，如看圖產生「牆角數枝梅的描述等。</p> <p>這款ERNIE-ViLG模型只是百度文心大模型應用的其中之一，百度在上個月，揭露了自家大模型企業級AI服務藍圖，以EasyDL開發平臺和BML大模型開發平臺，來分別提供入門級開發服務和全功能開發服務，接著由文心大模型作為驅動，包括文心NLP大模型、CV大模型和跨模態大模型，來提供產業專屬的NLP服務（如醫療、金融、對話式）、OCR服務、圖文生成服務。<a href="https://ai.baidu.com/support/news?action=detail&id=2722&hmpl=yunying=1.10">（詳全文）</a></p> <p><img alt="" src="https://ai.bdstatic.com/file/84F201839F454EBDBFD91F67DCCBECD4" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> iPad </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AR資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 室內3D場景 </span></strong></span></p> <p><span style="font-size:22px;"><strong>全用iPad和專業光達掃描儀拍攝！蘋果打造最大的室內3D場景AR資料集</strong></span></p> <p>蘋果ML研究團隊發布一套AR開發資料集ARKitScenes，專門收錄各種真實世界的室內3D場景，使用自家內建光達掃描儀的iPad搭配專用光達掃描儀Faro Focus S70拍攝而成，這是目前最龐大的RGB-D室內場景資料集。</p> <p>蘋果表示，不論是真實還是合成的，目前AR資料集以RGB-D影像為主，但這得仰賴具RGB-D感測器的裝置來拍攝，雖然市面上已有這類工具，但要大規模收集資料、且具基準值（Ground truth）仍然是個挑戰。</p> <p>這款資料集包含5,048個RGB-D序列，涵蓋1,661種不同場景，不僅比現有最大的室內資料集大了3倍，還提供高品質的基準值。這個資料集可用於兩種下游任務，包括3D物件偵測和顏色導向的深度圖像放大（Deep upsampling）。這個資料集，也為3D物件偵測任務提供標註資料，像是17種家具類型的3D物件邊界框。<a href="https://github.com/apple/ARKitScenes">（詳全文）</a></p> <p><img alt="" src="https://user-images.githubusercontent.com/7753049/144108052-6a1d3a67-3948-4ded-bd08-6f1572fdf97a.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 除錯偵測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自監督學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟用自監督AI抓程式碼臭蟲，效能提高3成</strong></span></p> <p>微軟發表自家研究成果，利用自監督學習打造一款AI出錯系統BUGLAB，能揪出程式碼字裡行間的錯誤，還能修復問題。進一步來說，BUGLAB包含兩套模型，一套用來偵測程式碼中的錯誤並修復，另一套用來產生錯誤的程式碼，來訓練模型的偵測力。為測試效果，微軟研究院團隊也自建一套Bug資料集PYPIBugs，累積了2,374個真實錯誤。結果發現，BUGLAB偵測錯誤的表現比現有方法提高了30%，而且還發現了19個先前未知的開源軟體程式碼錯誤。<a href="https://www.microsoft.com/en-us/research/blog/finding-and-fixing-bugs-with-deep-learning/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2021/12/1400x788_Bug_lab_anime_no_logo_new_code.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐盟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Exascale </span></strong></span></p> <p><span style="font-size:22px;"><strong>歐盟計畫砸1.5億歐建超級電腦，可望成全球第2快</strong></span></p> <p>歐洲計畫投1.5億歐元，來打造一座近Exascale等級的超級電腦。這個計畫由歐洲高效能運算聯合協會（EuroHPC JU）發起，他們在去年12月公布一份招標文件，將採購近Exascale（pre-exascale）的高階超級電腦，也就是運算速度超過100 Petaflops、但小於1 Exaflop。</p> <p>這臺超級電腦名為MareNostrum5，旨在強化醫藥研發、疫苗開發、病毒擴散模擬及AI與大數據處理應用，來促進歐洲醫療研究。這座新超級電腦也將支援傳統HPC應用，像是氣候研究、工程、材料科學及地球科學等領域。文件指出，MareNostrum5浮點運算速度至少可達205 petaflops，而且電腦運算將全部採用潔淨能源，並使用熱源再利用技術。打造完成後，MareNostrum5可望擠下2021年11月公布的Top500中第2、3名，也就是美國能源部的2座超級電腦Summit及Sierra。<a href="https://eurohpc-ju.europa.eu/press-releases/new-call-acquire-world-class-supercomputer-spain">（詳全文）</a></p> <p><img alt="" src="https://eurohpc-ju.europa.eu/sites/default/files/inline-images/Picture1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Python </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TIOBE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Python再次奪榜，拿下TIOBE年度程式語言</strong></span></p> <p>Python不只是AI開發的熱門程式語言，也是許多程式開發的愛用語言。Python繼2020年來，再次獲得2021 TIOBE年度程式語言獎，是過去一年中，評分成長最多的程式語言。這次C#差點有史以來第一次拿到這個獎項，但Python得分在上個月超過了C#，成為最終獲獎者。</p> <p>Python在2021年的表現讓人印象深刻，從年初TIOBE Index第3名，一路追趕超過Java和C，成為第1名，而且持續往上，目前比第2名C的評分高超過1％，雖然離Java在2001年的巔峰26.49%還有一段距離，但官方提到，Python在許多領域都已經成為標準程式語言，他們相信Python仍會繼續成長。<a href="https://www.tiobe.com/tiobe-index/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Drive Hyperion 8 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia拓展自駕版圖，由系統駕駛的無人卡車將上路</strong></span></p> <p>Nvidia推出最新的自駕車平臺Drive Hyperion 8，在近期舉辦的全美消費型電子大展CES 2022上，揭露更多合作進展。最新一代的自駕車平臺，擁有12個先進的環繞攝影鏡頭、12個超音波裝置、9個雷達、3個內部感測攝影機，還有一個前置光達。</p> <p>進一步來說，Drive Hyperion 8的冗餘架構設計確保安全性，當一臺電腦或感測器故障時，還有另一個備用可替補，確保自駕車輛能安全抵達目的地。不少中國電動汽車公司已採用該平臺，自駕計程車服務Cruise、Zoox、滴滴出行、Volvo、Navistar和Plus等卡車運輸服務，也都開始採用Drive Hyperion 8。無人卡車運輸公司TuSimple，也宣布將採用Drive Hyperion和DRIVE Orin系統單晶片打造無人卡車車隊，建立自動貨運網路來滿足大量卡車運輸需求。<a href="https://blogs.nvidia.com/blog/2022/01/04/autonomous-era-ces-2022-drive-hyperion/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/6KoscQVKpAQ?controls=0&start=1976" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>圖片來源／Meta AI研究院、百度、蘋果、微軟、IBM、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Coqui釋出零樣本文字轉語音模型YourTTS，較傳統TTS模型使用更少訓練資料集</strong></p> <p><strong>2. 微軟與高通合作開發AR眼鏡專用晶片</strong></p> <p><strong>3. Avalanche發布可加速AI模型訓練的低程式碼工具hAIsten AI</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/13 12:10作者王若樸https://www.ithome.com.tw/news/148859
IoT雙周報第106期：新一代IoT智慧燈泡能提供健康監測功能，內建迷你雷達可追蹤心率、體溫及跌倒偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2021/12/25~2022/1/7精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧零售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 7-Eleven </span></strong></span></p> <p><span style="font-size: 22px;"><strong>7-Eleven朝無人化智慧商店更進一步，顧客用手機就能完成購物和結帳，免排隊等待</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).jpg" style="width: 600px; height: 400px;" /></p> <p>趕在2021年底前，超商龍頭7-Eleven在桃園推出最新一間X-Store智慧超商，有別於前4間超商，新啟用智慧商店最大特色就是將店內購物和結帳流程，都能透過一支手機完成，甚至不用走到自助結帳櫃臺，就能完成所有購物和結帳。</p> <p>儘管不像Amazon Go是以AI電腦視覺來偵測民眾在店內拿了或放回哪些商品並自動結帳，在這間智慧超商購物和結帳時，民眾仍需操作自己手機，但已經向無人化商店更邁進一步。</p> <p>7-Eleven這間5號店同樣為24小時全天候營業，一般民眾需透過icash 2.0、 Oenpoint app、手機號碼才能進出商店，進入店內後，只須以手機掃描iscan X ipay立牌的QRcode再輸入手機號碼就能使用這項無人購物服務。</p> <p>當拿取商品時，消費者僅以手機掃描貨架商品的電子標籤條碼，就能將商品計入該用戶帳戶的行動購物車裡，並可在購物清單上自行選擇商品數量，當購物完準備結帳時，同樣用自己手機就能進行付款，不需要到櫃臺結帳，像是可支援Open錢包或icash Pay線上支付，或是使用自助結帳機以QR碼付款，就可快速完成結帳，走出店外。</p> <p>除了用手機就能購物和結帳外，店內也整合多種智慧零售應用，除了導入電子數位看板、電子標籤，智慧咖啡機結合IoT遠端管理，能即時監控和管理原物料庫存及銷售情形等。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微型機器學習 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Watson AI實驗室團隊展示超低功耗邊緣AI神經網路新架構，資源有限的IoT裝置也能跑複雜的CNN模型</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(3).jpg" style="width: 600px; height: 401px;" /></p> <p>隨著邊緣AI應用越來越火紅，近來有越來越多學術或研究機構投入研究，讓更多AI或ML模型可以在資源有限的IoT或邊緣裝置上來執行，以發展各種超低功耗的邊緣AI 應用。像是美國MIT與IBM共同成立的Watson AI Lab實驗室團隊最近開發出新的神經網路架構MCUNetV2，就是為了因應超低功耗邊緣AI 需求而設計，可將MCU處理器執行CNN算法所使用記憶體用量，減少至現行ML算法的4到8分之一，同時提高辨識準確度。</p> <p>透過MCUNetV2神經網路架構來建立CNN模型，該研究團隊還將該模型部署到裝有攝影鏡頭的低功耗IoT裝置上，這個IoT裝置雖然只有硬幣般大小，卻可以用來檢測人和物體，甚至在ImageNet圖像分類測試中，僅需使用465KB記憶體，就可達到近72%的辨識準確度。</p> <p>通常一臺伺服器組裝完後，至少須經過27道檢測步驟，通過才能出貨，像是需確認所有裝配元件的型號、散熱風扇數量、DRAM插槽裝配有無正確、CPU上探針有無損壞、料鍵盤點與瑕疪檢測等，檢測過程十分繁鎖。</p> <p>不同傳統AOI需要在檢測物件周圍架設多支相機，達明展示新的裝配檢測方式，則是在產線端以AI機器手臂搭配一臺工業電腦來進行檢測。作法上，以機器手臂結合攝影鏡頭，即時取得伺服器內部配置元件的影像畫面，再將擷取影像回傳到工業電腦做處理，利用其AI辨識軟體逐一比對，是否正確吻合，再將比對結果顯示在電腦螢幕上，方便人員確認，例如標示為綠色代表檢測沒問題，紅色代表異常，需要進一步人工檢驗。</p> <p>研究團隊表示，等到技術成熟以後，未來可以運用到智慧家庭應用，結合AI帶來嶄新的物聯網應用。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自駕系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Waymo </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>中國最大汽車製造商吉利推出新款電動車Zeekr，將搭載Waymo自駕系統來提供叫車服務</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).jpg" style="width: 600px; height: 338px;" /></p> <p>Alphabet旗下自駕車子公司Waymo近日宣布將與中國最大汽車製造商吉利汽車合作，負責替該公司代工生產，將其自動駕駛系統Waymo Driver整合到新款Zeekr電動車上，該車款已用於瑞典智慧交通運輸，來提供自動叫車服務。</p> <p>Waymo表示，接下來幾年將協助該車廠將Waymo Driver整合到提供TaaS服務的Zeekr車輛中，該車輛設計上將可以提供乘客和美國Waymo One叫車服務一樣功能，帶來舒適、便利和個化人體驗服務。</p> <p>目前在美國Waymo One自駕車叫車服務推行上，除了已在亞利桑那州、舊金山推出叫車服務，Waymo表示，將會持續擴大現有Waymo One車隊規模，希望未來幾年內可以將自駕車叫車服務範圍遍及全美道路。在自駕技術上將持續精進，Waymo正在發展第5代Waymo Driver自駕系統，可以支援跨區、不同車款的自駕服務。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧燈泡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT健康監測 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Sengled展示具健康監測功能的IoT智慧燈泡，還可利用多燈泡建立虛擬地圖偵測家中有無長者跌倒</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E4%B8%BB%E5%9C%96%EF%BC%9ASengled-%E7%87%88%E6%B3%A1%E5%8E%BB%E8%83%8C%20(1).png" style="width: 600px; height: 406px;" /></p> <p>在今年CES大會上，美國有家智慧燈泡業者Sengled展示了具有健康監測功能的IoT智慧燈泡，可以用來監測使用者睡眠和心率。</p> <p>有別其他智慧燈泡，僅能調整燈光顏色和控制開關，Sengled這款燈泡可以提供健康監測功能，包括可偵測家中人員的心率和體溫等。為了蒐集到心率和體溫等生理資訊，該公司將雷達感測器縮小放進燈泡內，讓燈泡也能具備有雷達感測能力，能將雷達感應蒐集到的環境及人體數據回傳到後端來分析，除了能依環境自動控制燈光明暗，也能追蹤屋內人員目前心率和體溫，甚至睡眠習慣等。</p> <p>該燈泡本身內建Wi-Fi和藍牙功能，能通過藍牙，在多個燈泡間建立網狀通訊網路來打造虛擬地圖，可用來偵測家中有無異常行為，像是獨居者是否跌倒等。該燈泡也支援Matter智慧家庭標準，可與不同智慧家電產品互通。該產品正在開發中，今年第四季上市。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">自動駕駛晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mobileye </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Mobileye全新等級4自動駕駛SoC晶片亮相，運算效能可達到176 TOPS</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 338px;" /></p> <p>英特爾旗下自駕車技術開發商Mobileye在今年CES大會推出全新自動駕駛SoC晶片EyeQ Ultra，強調它是一個端到端自動駕駛專用晶片，可以應付等級4自動駕駛所需任務和應用。</p> <p>從規格來看，EyeQ Ultra晶片採用5奈米製程，搭配EyeQ架構，其運算效能可達到176 TOPS（每秒兆次運算），性能高出先前EyeQ5的10倍，不過仍略低於Nvidia近期發表的DriveOrin自駕晶片算力，有到200 TOPS。</p> <p>EyeQ Ultra還針對不同自駕任務處理提供專用加速器陣列，並與CPU、ISP 和GPU配對使用，包括兩個輸入感測器子系統、攝影機系統、雷達和光達系統以及車輛核心運算系統和高精地圖及駕駛策略軟體等。首款晶片預計2023 年末推出，並將於2025年開始用於量產自駕車上。</p> <p>除此之外，Mobileye還有兩款車用ADAS的SoC晶片EyeQ6L和EyeQ6H推出，皆採7奈米製程，除了使用於碰撞警告、車道偏離警告和盲點檢測，也能用在視覺檢測和駕駛監控等，兩者將於2023年年中和2024年底投產。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AMR搬運機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧物流 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Nvidia發表AMR專用Isaac機器人平臺，加快物流倉儲搬運機器人應用開發及部署</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 319px;" /></p> <p>在2022年CES期間，Nvidia推出了Isaac AMR平臺，它是一個AMR自主搬運機器人平臺，可以用來加速物流業在AMR機器人應用開發及部署。借助Isaac AMR，開發者可以EGX伺服器迅速在倉庫中建立AMR所需應用能力，包括地圖繪製、站點分析和AMR車隊優化等。</p> <p>Isaac AMR的組成核心，有即時機器人地圖DeepMap、機器人移動優化ReOpt SDK和視覺分析平臺Metropolis等，並可以通過Fleet Command 進行任務管理和編排。Isaac AMR平臺也能使用Omniverse模擬平臺建立AMR機器人數位分身在虛擬環境中做訓練，可對多AMR機器人協同任務持續優化行為模式，深化其應用。</p> <p><strong> </strong></p> <p><strong>圖片來源／7-Eleven、MIT、Waymo、英特爾、Nvidia、Sengled</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></strong></p> <p><strong><strong>1. 全家揭全臺已有5百家門市導入IoT設備監測應用，用於電量、溫度監控及故障即時回報</strong></strong></p> <p><strong><strong>2. 美國FCC開放Wi-Fi 6E使用1,200MHz頻譜決定獲法院支持</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年1月</strong></strong></p> </div></div></div>
2022/1/13 09:38作者余至浩https://www.ithome.com.tw/news/148855
聚和數位轉型先從產線AI做起，下一步靠IT減碳再強化數位行銷
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道嗎？有一家臺灣化工廠自研自製的便利貼品牌──「N次貼」，已經躍居全球市占第二，成為3M最大的競爭對手，而它背後有點黏又不太黏的專利黏貼技術，就是與3M平起平坐的關鍵。不過，這家化工廠還有一款比N次貼更厲害的產品，也就是在藥物、疫苗、試劑製造中，用來穩定製程PH值的「生物緩衝劑」，近年來不僅搶下全球市占第一，更是Covid-19疫苗製造不可或缺的一環，可說是臺灣當之無愧的隱形冠軍！</p> <p>深厚的化工研發實力，是聚和國際的立身之本，更一路引領這一家已經40多歲的傳統化工廠躍上國際舞臺。但是，要坐穩銷售寶座，不只要精進化工技術，產能也得跟上年年增長的訂單需求。如何更即時掌握生產資訊，克服產能瓶頸？這家老牌化工廠，從2017年啟動數位轉型，試圖以IT作為關鍵力量，走出自己的轉型之道。</p> <p><span style="font-size:28px;"><strong>設備聯網、建資料平臺，打下資料科學應用基礎</strong></span></p> <p>「數位轉型不可能一開始就大力投資，我們先從現場的精實改善做起，也進行資料科學的小型試驗，讓老闆覺得可行。」聚和國際總經理室暨資訊中心協理王邦畯回憶，2017年甫入職聚和，就率領IT團隊小規模優化產線，並開始導入AI試驗其有效性，來爭取高層對數位轉型的認同和投資。</p> <p>王邦畯回憶，聚和當時面臨的主要問題是，產線產量與品質不穩定，如生物緩衝劑每批產量，在不明原因下忽然減少超過1成，且持續半年未能有效改善。</p> <p>為此，聚和花費半年時間，分析了近千筆數據，篩除掉不重要的特徵後，利用機器學習找出可能因子，「找到的問題因子，都是容易忽略的次要參數，」王邦畯指出，更重要的是在找到潛在問題後，須與製程工程師進行驗證與確認，才能更嚴謹的設置生產條件，讓產能恢復原有水準。</p> <p>尋找問題的過程中，聚合也發現，內部生產數據不僅搜集不易，更難以善加利用。比如化學事業部生產一批商品，得花上7～14天，過程中須記錄將近3,000筆資料，由於仰賴人工抄寫，除了有抄錯風險，員工也可能刻意只抄寫符合標準值的生產參數數據，導致資料的真實性大打折扣。</p> <p>搜集每一批商品的生產數據後，還得與生產工單結合，將每一批次商品的產能與良率，與其生產條件相對應，才能掌握有問題的生產梯次及其生產條件，進而利用AI分析其中的上千項因子，找出導致問題發生的關鍵因素。</p> <p>因此，經過小規模AI試驗後，聚和決定啟動更大規模的轉型改造，隔年也向工業局申請智慧製造AI計畫，爭取外部資金與專家能量，正式展開數位轉型。</p> <p>為了更有效利用生產數據，聚和將人工抄寫的生產參數，改為電子化記錄，8成欄位運用IoT系統每秒自動擷取，剩下2成則利用AI影像辨識來擷取，來大幅提升資料搜集的真實性與精準度。</p> <p>生產數據蒐集透過IoT數位化後，聚和更導入了資料搜集平臺，利用其支援的通訊協定與系統串接能力，將工廠端的生產數據匯入其中，更串連了ERP與MES的資訊，將生產數據與物料、工單進行整合，並將數據進行視覺化呈現與管理。</p> <p>不只優化產線，聚和也將內部即時蒐集的數據，與供應商的資訊串接，來改善上下游產業鏈的溝通效率，不僅對內清楚呈現供應商的用料交期與品質回饋，對外也提供客戶查詢訂單狀態與品質履歷等，來提高需求回應速度，縮短從接單到出貨的時間。</p> <p><span style="font-size:28px;"><strong>為擁抱AI重整IT編制</strong></span></p> <p>在數位轉型初期，聚和也大刀闊斧的調整了IT組織架構，將原本只有軟硬體兩組的IT團隊，重新劃分為三組。王邦畯解釋，原本的硬體組，是負責機臺維護、網路設備維運等MIS工作，軟體組則是負責維運ERP、人資系統、流程簽核系統等套裝軟體，但在擁抱數位轉型後，為了導入AI，IT編制也得隨之調整。</p> <p>聚和參考了國際自動化協會的國際標準ISA-95，所列出的企業與控制系統整合架構，並重新調整自己的組織編制，將原先的硬體組重新定義為資訊工程組，賦予該組別搜集OT層生產數據的新任務，而原先的軟體組則改為資訊應用組，負責將OT與IT進行有效整合，也就是將製造平臺搜集的生產數據，與MES、ERP等系統串接整合。</p> <p>除了既有團隊的重新賦能，IT編制下也新設置了一個經營分析組，負責開發資料科學相關應用，更向外招聘AI專家來加入團隊。</p> <p>在這個分工架構下，當聚合內部提出一項AI應用需求，依據這項應用所需的資料類型，就會由資訊工程組從產線擷取生產數據，再由資訊應用組將其與工單資訊媒合，最後再由經營分析組來進行資料分析，開發出合適的AI應用。</p> <p>同時，原先的資訊中心也併入總經理室，來提高IT部門的位階，改由總經理室直接管理。隨著數位轉型的力道提升，聚和IT規模也翻倍成長，從原先不到10人，增加到現在的20人。</p> <p><span style="font-size:28px;"><strong>結合AI、機械手臂與AGV，達到包裝與搬運全自動化</strong></span></p> <p>奠定了資料搜集與分析基礎後，2019年，聚和進一步擴大AI應用開發，比如建立AOI瑕疵檢測、人臉辨識差勤應用等，同時更結合了自動化設備，比如導入AGV與機械手臂，來達成從檢驗、封裝到搬運的全自動流程。</p> <p>聚和的產線自動化改造，先從N次貼的廠區開始。當N次貼送達自動包裝線，機械手臂會先將折疊的紙箱打開、封底，接著運用AOI結合瑕疵檢測的技術，檢查每一個N次貼的包裝是否完整，再由機械手臂將其放入紙箱中，最後以塑膠袋封裝完成。後續，機械手臂還會將成品擺放到棧板上，整齊堆放完成後，由AGV自動將重達2頓的棧板運送到倉儲區。</p> <p>目前，聚和已經有兩條產線達到全自動包裝與搬運，能節省原先裝箱、查驗，以及在堆棧與倉儲區的人力配置。</p> <p>不過，正因AOI與自動化導入的目的，取代了部分人工作業，聚和導入這套自動化流程時，也面臨了員工的反彈。「如何讓資深員工了解，這件事情是幫助他們提升工作效率，而非取代原先的工作？」王邦畯指出，聚和大力向員工傳達「人機協作」觀念，強調自動化是為了讓員工改變工作型態，透過機器減輕原本的工作負擔，轉而從事更具價值的工作，比如減少從事堆放或搬運貨物等負重工作，改為學習品管，以利在品質問題發生時，能夠快速協助排查出可能的原因。</p> <p>為了滿足人機協作的需求，在選擇機械手臂時，聚和也並非採用一般設有圍欄的工業型機械手臂，而是選用協作型機器人，只要受到外力碰撞就會立即停止，當員工與機器人協同作業時，可以避免受傷的風險。王邦畯也指出，為了讓廠區人員快速適應新的生產流程，資訊人員也得學習操作這些設備，親赴第一線來教導員工，並協助排解問題，以減輕現場人員的抗拒感。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E7%8E%8B%E9%82%A6%E7%95%AF_%E8%81%9A%E5%92%8C%E5%9C%8B%E9%9A%9B.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>聚和國際總經理室暨資訊中心協理王邦畯表示，數位轉型過程中，一定要先界定組織職能，再優化流程，最後導入系統，才能發揮轉型效益。</strong></span></p> <p><span style="font-size:28px;"><strong>下一步要搜集</strong></span><strong style="font-size: 28px;">碳排</strong><span style="font-size:28px;"><strong>數據、優化生產排程</strong></span></p> <p>延續過去的轉型成果，聚和也逐漸擴大數位應用規模，「數位轉型從剛開始的設備聯網、建立資料平臺，現在走到中段，開始水平展開了。」王邦畯表示，今年，聚和的數位轉型方向將著重客戶端的需求，力求轉型成果能為客戶帶來效益。</p> <p>比如其中一大重點，就是要進行全面性的碳排放盤查，設法達到碳減量的目標。不只是因為臺灣法規明定，公開發行公司得開始揭露溫室氣體的排放數據，聚合國外客戶也為了因應碳關稅的徵收衝擊，開始對供應商提出減碳需求。王邦畯指出，「雖然現在鋼鐵、水泥和石化受到的影響較大，但這是國際趨勢，我們傾向先做好準備。」</p> <p>因此，聚和去年先完成了溫室氣體盤查與產品碳足跡，估算出多項關鍵產品生產過程的碳排放量，並取得國際認證。今年，則是要改變原先一年只進行一次碳盤查的做法，利用設備聯網、資訊串接的能力，建立起碳排放儀表板，來監控每季、每月甚至每天的即時碳排數據，再根據短、中、長期設定的減碳目標，動態調整減碳力道。</p> <p>不只提前因應客戶未來需求，內部轉型工作也會繼續擴大，聚和要進一步優化生產排程。王邦畯指出，在數位轉型計畫前期，聚和已經改善了製程穩定度，下一步，則是要因應接單量的變動，以AI來優化ERP相關模組，做到自動調整生產排程，以維持足夠產能。</p> <p>甚至更近一步，過去圍繞在生產端展開的數位轉型，現在將逐漸延伸到行銷與業務端，尤其，聚和計畫在2022年強化數位行銷，要優化官網的搜尋排序並增加內容含金量，讓網站的能見度再提升，更要導入CRM來優化客戶體驗。</p> <p><span style="font-size:28px;"><strong>不只要培養企業轉型意識，更要導入正確推行方法</strong></span></p> <p>聚和數位轉型過程中，這些技術與系統的革新，也進一步帶動了文化層面的轉型。然而，王邦畯指出，即使總經理與各事業部主管已經凝聚轉型共識，但在實際執行時還是會遭遇瓶頸。比如不諳IT專業的中階主管，「在執行層面，可能會見樹不見林，缺乏周全考量。」最常見的迷思是，誤認為導入系統就能解決所有問題，卻沒有提前思考原先的組織規劃、職能分工、作業流程甚至是資料搜集，是否已經完備。</p> <p>「數位轉型過程中，一定要先界定組織的職能，再優化流程，最後才導入系統，」王邦畯指出，然而，一般企業實際執行時，「往往先找系統，再改流程，最後才思考組織架構。」</p> <p>以聚和自己來看，當初導入知識管理系統時，就曾面臨了這個困境，因為組織本身缺乏知識管理的邏輯與架構，卻期待導入系統來解決問題，導致IT與該部門僵持了近半年的時間，最後才找來外部顧問，先引入正確的知識管理架構與觀念，再由IT挑選合適的系統導入。</p> <p>王邦畯也藉這個經驗點出，在數位轉型的推動上，難免會碰到不同部門間的角力，如何建立正確的推行方式，從組織、流程到系統來展開轉變，是轉型路上的一大考驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>聚和國際總經理室暨資訊中心協理　王邦畯</strong></p> <p>學歷：清華大學工業工程碩士</p> <p>經歷：過去曾任上市櫃光電集團的IE副理，其後也進入了上市櫃工具機集團擔任製造中心協理，後升任董事長特助。其後也進入財團法人顧問業擔任外聘顧問，並於2017年入職上市櫃化工集團聚和國際，在總經理室擔任協理一職，同時也擔任資訊長的角色，率領聚和IT推動數位轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>聚和國際</strong></p> <p>●地址：高雄市大寮區華東路28號</p> <p>●成立時間：1975年2月7日</p> <p>●主要業務：造紙化學品、水處理化學品、生物緩衝劑、鋰電池添加劑、銅箔添加劑、自黏性便條紙</p> <p>●員工數：466人</p> <p>●年營收：2020年合併營業額3,588,701,000元</p> <p>●資本額：1,732,041,000元</p> <p>●董事長：郭聰田</p> <p>●總經理：郭聰田</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：總經理室暨資訊中心</p> <p>●資訊部門人數：20人</p> <p>●直屬主管：總經理郭聰田</p> <p>●IT預算：1,000萬元以上</p> <p>●資訊部門分工：分為資訊工程組、資訊應用組與經營分析組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2012年：聚和官網建置上線、Oracle ERP上線</p> <p>●2013年： BI Analyzer商業智慧系統上線</p> <p>●2016年：MES軟體上線</p> <p>●2017年：全面改用電子發票</p> <p>●2018年：Easyflow改Deltaflow BPM電子流程管理系統上線</p> <p>●2019年：聚和官網重建置上線</p> <p>●2020年：WebISO文件管理系統上線、PI System上線</p> <p>●2021年：Tableau軟體上線、人臉辨識系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wang_bang_jun_ju_he_guo_ji_.png" width="960" height="420" alt="" title="聚和國際總經理室暨資訊中心協理王邦畯　（攝影／洪政偉）" /></div></div></div>
2022/1/13 07:00作者翁芊儒https://www.ithome.com.tw/people/148810
簡便資料載體的tuple
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些程式語言，會提供名為tuple的資料型態，表面上，這看來像是list之類的結構，然而，會有一些list所沒有的限制，但有些開發者面對tuple時，會仍以list角度看待，導致難以理解其作用，因而list與tuple的差別，經常是程式語言討論區的FAQ。</p> <p><span style="font-size:28px;"><strong>Python的tuple</strong></span></p> <p>例如，在Python當中使用的tuple，許多開發者只將它看成是不可變動（immutable）的list，令其形同雞肋，或者僅將其用於需要不可變動的場合，像是作為不可變動的引數傳遞給函式，或者解釋一下因為不可變動，有時建立tuple會比list來得經濟。</p> <p>有時，則會在示範Python中x, y = y, x可以交換變數值時，解釋一下tuple，因為y, x會建立tuple，x, y=這個指定，會對建立的tuple進行解構，因而構成了交換變數值的效果，由於可以對tuple解構，在函式需要傳回多個結果時，不少文件也談到可以使用tuple。</p> <p>其實解構的另一面，代表著tuple有著固定結構，就Python而言，tuple可以表達的結構資訊，包含資料的欄位順序、長度，而不可變動代表一個tuple記錄了唯一的狀態，沒有變動為其他狀態的可能性，也就是不會有隱藏的狀態。</p> <p>什麼樣的資料，會需要記錄欄位順序、長度且不可變動呢？</p> <p>最簡單易懂的例子就是座標點，像是：(10,)代表一維座標，(20,30)代表著二維座標，若是笛卡兒座標系，20代表x座標，30代表y座標；若是極座標系，兩個欄位就分別代表半徑與角度；必要時，我們也可以使用更多的元素來表示更高維度，例如四元數。</p> <p>也就是說，如果我們想要將資料欄位順序、長度組成，視為一種資料集合（例如笛卡兒座標系的點集合），此時，我們可以使用簡單的解構語法就能處理資料，若不想大費周章地定義一個型態時，就可以使用tuple。</p> <p><span style="font-size:28px;"><strong>TypeScript的tuple</strong></span></p> <p>在TypeScript中，也可以建立tuple，方式是宣告型態時，依序宣告各欄位的型態，也就是TypeScript的tuple除了順序、長度，型態也被明確揭露。</p> <p>例如，let org:[number,number]=[0,0]建立了tuple，代表著座標原點，如果試圖將['a','b']指定給org，會引發編譯錯誤，這代表[number,number]，也構成了一種匿名形態。</p> <p>回頭看看Python，雖然身為動態定型語言，然而其tuple也隱含著型態資訊，畢竟面對一個tuple，還是必須知道tuple的各欄位型態是什麼，不然後續處理就可能引發TypeError，也就是說，無論是Python或TypeScript，tuple將元素型態及順序構成了一種新型態，因為型態與順序固定了，同一型態的tuple，就能以可預期的模式解構其中的元素。</p> <p>只不過，在TypeScript當中，為何我們不去使用{x:number,y:number}來標註org，而將特性名稱也納入結構考量呢？如果我們想要揭露的資料，其特性名稱也算是結構一部份的話，當然可以使用物件結構，而不是tuple。</p> <p>就作用而言，這有點像在Python中進一步使用dataclass，而不只是tuple（或是named tuple之類），只不過就TypeScript而言，以物件結構來定義型態會失去欄位的順序資訊，從而在解構物件的語法上會麻煩一些，相較而言，由於Python 3.10有了match-case特性，dataclass的欄位順序也是結構的一部份，可便於進行模式比對（pattern match）。</p> <p>嗯？TypeScript不是可以替tuple標示出名稱嗎？雖然這看來有點像是Python的namedtuple，但是，實際上，那只是為了增加可讀性，不能像Python的namedtuple直接透過特性名稱來取得值。</p> <p>而且，我們還要留意，TypeScript的tuple是可變動的，例如方才的org，可以用org.push(1,1)增加元素，但這就怪了，畢竟型態是[number, number]，元素卻是[0,0,1,1]？若想避免這類問題，我們可以標註org為Readonly<[number, string]>，如此一來，就不能透過org來變動元素內容了。</p> <p><span style="font-size:28px;"><strong>來自函數式的tuple</strong></span></p> <p>不可變動？欄位順序？長度？型態？揭露資料的結構？解構？模式比對？如果對函數式設計稍有涉獵，你看到這邊可能就會觸及敏感神經了，想詢問tuple的概念是否來自函數式設計呢？</p> <p>的確在函數式語言中，tuple是經常使用的資料結構，除了不具備欄位名稱，tuple完全揭露了資料在結構上的相關資訊，因為結構公開，以模式比對來處理tuple是自然而簡單的方式。</p> <p>在函數式語言中，tuple多半會被實作為product型態（可參考先前專欄〈<a href="https://www.ithome.com.tw/voice/91111" target="_blank">重構與代數資料型態</a>〉），具體而言，就是欄位型態的組合，這將會構成一種新型態，在我們需要臨時建個結構代表某個資料，又不想大費周章地正式定義某型態時，這就是很方便的作法。</p> <p>不過，要注意的正是tuple的欄位型態組合為匿名，這表示相同型態組合下，就算是代表不同資料集合，語法上也會過關。</p> <p>例如，方才TypeScript中的org，若意圖上想代表笛卡兒座標，然而，有個(10,30)資料其實代表極座標，當其被指定給org時，此時，在TypeScript中並不會有任何錯誤。</p> <p>然而，就算你使用type為[number,number]定義了別名Cartesian，也只是個別名而已，這就像是在Python中，使用了namedtuple，若有Point與Pt兩個namedtuple，雖然彼此的名稱不同，但本質上還是個tuple，因此，在相等比較時，就只會針對欄位來判斷而已。</p> <p>如果在模式比對時，你需要具體的整體型態名稱，或者更進一步地，需要將欄位名稱納入結構考量，那麼，在Python中需要是dataclass。</p> <p>因為Python 3.10以後的match-case特性，可以針對型態名稱進行比對，若從這個角度來看，tuple這東西的用途就很明確了，那就是作為一種「簡便的資料載體」。</p> <p><span style="font-size:28px;"><strong>簡便的資料載體</strong></span></p> <p>先前專欄〈<a href="https://www.ithome.com.tw/voice/147531" target="_blank">不只是語法糖的記錄類別</a>〉為了介紹Java 16以後的記錄類別新特性及語義，我曾不斷強調「資料載體」這個字眼，並且談到作為一個資料載體，封裝的邊界就是單純地將一組資料聚合在一起，並且揭露資料的一切。</p> <p>若將Java中記錄類別的種種限制，視為實現資料載體時必要的考量，並將之拿到Python、TypeScript等語言，看待其中tuple的特性，我們就會發現：tuple正適合作為一個資料載體。</p> <p>然而，在Java中，並沒有tuple，不過，我們可以看看Haskell，例如，在《HASKELL趣學指南》的〈Type and Typeclasses〉曾經談到，每個tuple都是獨立的型態，而在〈<a href="https://bit.ly/3qeF0Yp" target="_blank">Data Classes and Sealed Types for Java</a>〉當中，就談到Java的記錄類別，就是有名稱的tuple（nominal tuple）。</p> <p>現在你應該知道Python、TypeScript或其他具備tuple的語言中，怎麼使用tuple了吧！如果你有一筆資料，我們會知道tuple可作為簡便的資料載體，用來揭露該資料的結構（雖然沒有名稱），以便客戶端有足夠的彈性，並且可以針對資料增加新的處理函式，搭配模式匹配來處理資料（至於模式比對的優缺點，可參考先前專欄〈<a href="https://www.ithome.com.tw/voice/147830" target="_blank">模式比對與多型</a>〉）！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/tuple">tuple</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%9E%8B%E6%85%8B">資料型態</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/typescript">TypeScript</a></div><div class="field-item odd"><a href="/tags/%E5%87%BD%E6%95%B8%E5%BC%8F">函數式</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%BC%89%E9%AB%94">資料載體</a></div></div></div>
2022/1/13 07:00作者林信良https://www.ithome.com.tw/voice/148811
【資安日報】2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>到了1月的第2週，微軟一如預期於昨天（1月11日）發布例行修補（Patch Tuesday），修補近百個漏洞。值得留意的是，這次修補漏洞的數量，不只比上個月多出快一半，也比過往一月份的平均多出一倍。這樣的情況，也使得漏洞懸賞專案Zero Day Initiative（ZDI）認為，今年的其他月份，也有可能會出現較過往更多漏洞。</p> <p>除了IT廠商發布的漏洞例行修補，Log4Shell漏洞的後續效應仍然相當嚴重，尤其是陸續有數個駭客組織用來攻擊採用VMware遠端工作平臺的組織，但也有APT駭客運用這項漏洞，在受害組織植入後門程式，來進行第2階段的攻擊行動。再者，也有化妝品業者因Log4Shell遭到入侵，而向執法單位通報。</p> <p>在漏洞相關資訊與事故之餘，最近一款名為SysJoker的後門程式，同時鎖定使用Windows、macOS、Linux的使用者而來，且各版本的功能幾乎一致，僅Windows版多了刪除登錄碼與惡意程式本身的功能。這種跨平臺的惡意軟體，也使得使用macOS、Linux等作業系統的用戶同樣受到波及。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/night-sky-ransomware-uses-log4j-bug-to-hack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Night Sky透過Log4Shell漏洞，鎖定VMware遠端工作平臺發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Log4ShellExploit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Log4ShellExploit.jpg" style="width: 300px; float: right;" /></a>又是利用Log4Shell漏洞、針對遠端工作平臺VMware Horizon下手的攻擊事故。微軟於1月10日發布警告，中國駭客組織DEV-0401在1月4日發動相關攻擊，進而在受害組織部署勒索軟體Night Sky。這個勒索軟體最早約於2021年12月出現，根據捷克研究人員Jiří Vinopal比對，Night Sky為勒索軟體Rook改造而成。值得留意的是，DEV-0401在發動攻擊的過程裡，所連線的C2中繼站，架設於看似趨勢科技、Sophos、Nvidia等IT業者所屬的冒牌網域，而可能騙過不少網路防護系統。</p> <h4><a href="https://www.channelnewsasia.com/singapore/clarins-data-security-incident-singapore-customers-personal-information-log4j-software-vulnerability-2428066"><span style="color: rgb(0, 0, 0);"><strong>化妝品業者克蘭詩遭到Log4Shell漏洞攻擊，客戶資料恐外洩</strong></span></a></h4> <p>根據新加坡媒體CNA的報導，法國知名化妝品品牌克蘭詩（Clarins）在網站上發布公告，表示該公司出現資料外洩事件，且可能涉及新加坡客戶的個資，包含姓名、地址、電子郵件，以及客戶忠誠度資料等，但不包含密碼、信用卡資料。該公司指出，這次事件疑似與他們在系統中廣泛使用的Log4j有關，儘管在Log4Shell修補程式推出後的數個小時就予以修補，但他們還是在漏洞細節公布後遭到攻擊。</p> <h4><strong><a href="https://research.checkpoint.com/2022/apt35-exploits-log4j-vulnerability-to-distribute-new-modular-powershell-toolkit/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織利用Log4Shell漏洞，在受害組織植入PowerShell攻擊工具，以進行後續攻擊行動</span></a></strong></h4> <p>廣泛存在於眾多系統的Log4Shell漏洞，已成為許多攻擊者入侵受害組織的管道。在Log4Shell漏洞細節公開數日後，資安業者Check Point發現，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）掃描存在相關漏洞的應用系統並入侵，然後從AWS S3儲存桶裡，下載名為CharmPower的PowerShell後門程式。該後門程式可用來檢查網際網路連線狀態、枚舉受害電腦的組態，然後從C2中繼站下載其他功能模組，以執行後續攻擊行動。研究人員認為，CharmPower讓這些駭客能快速結合手上現有的軟體，在得知Log4Shell這種重大漏洞後，用來打造能突破重重資安防護的攻擊工具。</p> <h4><a href="https://www.intezer.com/blog/malware-analysis/new-backdoor-sysjoker/"><span style="color: rgb(0, 0, 0);"><strong>一口氣鎖定Windows、macOS、Linux電腦的後門程式，攻擊者多次更換C2中繼站網址來藏匿行蹤</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/c2-coms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/c2-coms.jpg" style="width: 300px; float: right;" /></a>一般而言，許多惡意軟體的發展過程，往往是從鎖定特定的平臺，後來才延伸開發針對其他作業系統的版本。但資安業者Intezer揭露的後門軟體SysJoker，同時針對Windows、macOS、Linux等多個作業系統，藉由系統更新的名義來散布。攻擊者自2021年12月使用這個後門程式，他們也與伊朗駭客APT35一樣，濫用雲端服務來藏匿行蹤──研究人員看到該後門程式透過在Google Drive上的文件字串，來產生C2中繼站的網址，在調查的過程裡，C2網址更動了3次。而對於攻擊的來源，研究人員認為，有可能是經由受感染的NPM（Node Package Manager）套件而來。</p> <h4><a href="https://www.fortinet.com/blog/threat-research/omicron-variant-lure-used-to-distribute-redline-stealer"><span style="color: rgb(0, 0, 0);"><strong>竊密軟體RedLine假借Omicron病毒的名義進行散布</strong></span></a></h4> <p>資安業者Fortinet發現，攻擊者散布竊密軟體RedLine又有新的手法，最近利用武漢肺炎變種病毒Omicron的疫情，以提供這種變種病毒感染數據（Omicron Stats.exe）的軟體，透過釣魚郵件挾帶，然後引誘受害者執行。研究人員提到，這個新的RedLine也能為攻擊者收集更多電腦資訊，如顯示卡的名稱、BIOS資訊、硬碟型號等，且能鎖定Opera GX瀏覽器，以及OpenVPN、ProtonVPN等VPN連線軟體。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202201110218.aspx"><span style="color: rgb(0, 0, 0);"><strong>虛擬實境內容平臺愛實境遭DDoS攻擊，竟是離職員工所為</strong></span></a></h4> <p>企業遭到網路攻擊，我們很可能會認為是被外部的駭客盯上，但熟悉內部網路環境、甚至握有相關權限的員工或前員工，也可能對公司造成危害。內政部警政署刑事警察局在1月11日宣布，去年10月底接獲虛擬實境內容平臺業者愛實境（iStaging）報案，該公司遭不明人士試圖攻擊伺服器，客戶反應虛擬展間服務出現異常，造成營運成本損失約400至500萬元，該案已破獲。</p> <p>根據中央社報導，警方在破案記者會上說明，經調閱該公司後臺事件記錄檔（Log）分析，攻擊者於2021年10月25日多次變造身分，發動DDoS攻擊讓該公司系統無法正常運作，且透過VPN隱藏原始來源IP位址。經追查原始來源IP位址後，發現愛實境前員工54歲彭男涉有重嫌，該嫌到案後供稱是要展現自己的駭客技術，全案移送臺北地檢署偵辦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://threatpost.com/microsoft-wormable-critical-rce-bug-zero-day/177564/"><span style="color: rgb(0, 0, 0);">微軟2022年首個Patch Tuesday修補近百個安全漏洞，當中有6個為零時差漏洞</span></a></strong></h4> <p>微軟於1月11日發布2022年第一次每月例行修補（Patch Tuesday），總共修補了96個漏洞，其中有9個為重大漏洞、6個為零時差漏洞，但所幸皆未遭到駭客利用。針對本月微軟修補的情況，趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）表示，今年修補漏洞的數量，為過往一月份的2倍，亦較2021年12月（67個）多出快一半，2022年其他月份是否也會持續這樣的漏洞數量成長，值得觀察。</p> <h4><strong><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/"><span style="color: rgb(0, 0, 0);">盈碼科技NetUSB驚傳RCE漏洞，恐波及數百萬路由器</span></a></strong></h4> <p>資安業者SentinelOne於1月11日，揭露由臺灣USB共享解決方案業者盈碼科技（KCodes）所推出的NetUSB軟體，存在CVE-2021-45388漏洞，一旦攻擊者利用這項漏洞，能在作業系統核心層級執行程式碼。由於NetUSB廣泛運用於Netgear、TP-Link、D-Link等廠牌的路由器，恐有數百萬臺設備存在相關漏洞。研究人員向盈碼通報後，該公司於11月下旬表明在12月20日前發布修補程式。此外，Netgear也於12月20日，公告有3款產品D7800、R6400v2、R6700v3受此漏洞影響，並提供修補韌體。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2022/01/10/new-macos-vulnerability-powerdir-could-lead-to-unauthorized-user-data-access/"><span style="color: rgb(0, 0, 0);">macOS驚傳能讓攻擊者繞過防護機制的漏洞，伸手用戶資料</span></a></strong></h4> <p>微軟發現macOS一項漏洞Powerdir（CVE-2021-30970），攻擊者一旦利用這項漏洞，可繞過該作業系統的Transparency Consent and Control（TCC）防護機制，在未經使用者授權的情況下存取電腦的檔案，蘋果獲報後已於12月13日發布macOS Monterey 12.1及macOS Big Sur 11.6.2，修補相關漏洞。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> <p> </p> </div></div></div>
2022/1/12 16:11作者周峻佑https://www.ithome.com.tw/news/148849
Meta要求回公司上班的員工都必須打完COVID-19疫苗加強針
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2022/01/10/facebook-meta-delays-office-return-to-march-covid-boosters-required.html" target="_blank">根據《CNBC》的報導</a>，臉書、Instagram與WhatsApp的母公司Meta在周一（1/10）對內公告，原本要在1月31日全面開放的辦公室，因應COVID-19疫情的變化，將延後至3月28日，而且屆時要回辦公室的員工都必須打完第三劑的加強針。</p> <p>根據Meta的說法，延後回辦公室的時間是為了讓員工有更多的彈性，因為疫情的不確定性，讓員工很難決定在哪上班。不過，若是選擇回辦公室上班，必須打完第三劑的加強針，若是選擇遠端上班，則必須在3月中旬之前，向主管申請延後回辦公室上班。</p> <p>新興的Omicron變種病毒再度打亂了企業要求員工回去上班的計畫。現在除了Meta已經訂定了3月底回公司上班的政策之外，包括蘋果、微軟及Alphabet仍無限期延後員工回辦公室上班的時間點。</p> </div></div></div>
2022/1/12 17:02作者陳曉莉https://www.ithome.com.tw/news/148850
Linux Mint宣布與Mozilla成為合作夥伴，放棄自定義Firefox版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門Linux發行版<a href="https://blog.linuxmint.com/?p=4244">Linux Mint宣布與Mozilla進行更緊密的合作</a>，放棄自家維護的Firefox版本，採用更接近官方的配置，並且與Mozilla在技術上合作，使Firefox能更好地相容於Mozilla。官方解釋，在這項合作開始後，Firefox會繼續透過Linux Mint官方的儲存庫，以.deb套件的形式發布，但是配置和建構方式將有別以往，目標要讓Linux Mint版本與Mozilla發布的版本更加相近。</p> <p>過去Linux Mint使用自己的預設設定，並以特定的方式配置Firefox，但現在多數這些配置都被放棄，回到Mozilla的預設。這些改變包括預設起始頁面不再指向<a href="https://www.linuxmint.com/start/">https://www.linuxmint.com/start/</a>，搜尋引擎也不再是Linux Mint的搜尋合作夥伴Yahoo、DuckDuckGo等，而是Mozilla的搜尋合作夥伴，包括Google、Amazon、Bing、DuckDuckGo和Ebay，預測配置從Mint預設切換至Mozilla預設。</p> <p>Firefox程式不再包含來自Linux Mint、Debian或Ubuntu的程式碼更改與修補程式，對Mozilla來說，其目標是要讓Firefox在所有平臺上，以相同的方式運作，簡化維護、開發和錯誤修復，而透過與Linux Mint的合作，Firefox能夠在Linux Mint中，提供與其他作業系統相同的體驗。</p> <p>而對Linux Mint來說，這個變化代表著，維護和開發工作獲得簡化，過去Linux Mint使用Ubuntu的版本自己建置Firefox，而現在Linux Mint打包來自Mozilla的版本。而這樣的合作方式，也能夠滿足Mozilla對於其知識產權的要求，像是變更Firefox圖標以符合Mozilla的使用指南。</p> <p>雙方不只是商業合作，同時也在技術上合作，透過與Mozilla交流，使得改進Linux Mint中的Firefox更容易。包括之前Linux Mint增加對XApp視窗進度的支援，當用戶使用Firefox下載檔案時，Cinnamon面板視窗能夠顯示進度條，接下來在Firefox 96，還能夠更好地支援Firefox的視窗圓角裝飾。</p> <p>在2022年，Linux Mint會與Mozilla在軟體更新上合作，讓Firefox和更新管理程式可以協同工作，並讓用戶直接從瀏覽器本身，查看和應用瀏覽器更新。目前這項合作，會在Linux Mint 19.x、20.x和LMDE中的Firefox 96版本上轉換，而在Linux Mint 20.3，轉換則會出現在Firefox 95的Beta版本。</p> <p>在過渡之後，用戶的配置可能受到影響，官方解釋，使用者的配置是以系統的預設配置為基礎，因此在轉換到Mozilla版本的Firefox，未受用戶覆蓋的預設值，所觸發的行為或將發生變化。在搜尋引擎設定上，當原本預設為Google搜尋引擎，則預測引擎繼續為Google，只不過將會被視為系統核心引擎，而非是由用戶添加的引擎。</p> <p>原本使用Yahoo、DuckDuckGo等搜尋引擎，將不會出現在Mozilla的Firefox中，雖然同樣也有DuckDuckGo，但是URL不同。在Firefox中，唯有Google搜尋引擎能為Linux Mint帶來收入。官方提到，在轉換到Mozilla版本的Firefox，能夠獲得稍快的效能提升。</p> </div></div></div>
2022/1/12 17:08作者李建興https://www.ithome.com.tw/news/148847
VMware K8s DevOps平臺Tanzu Application Platform正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware去年9月初在Java開發者大會SpringOne上，<a href="https://www.ithome.com.tw/news/147303" target="_blank">揭露</a>Kubernetes應用開發營運（DevOps）平臺Tanzu Application Platform（TAP）的測試版，<a href="https://tanzu.vmware.com/content/blog/tanzu-empowers-superior-secure-developer-experiences" target="_blank">本周VMWare宣布</a>，Tanzu Application Platform 1.0版正式上線。</p> <p>Tanzu是VMWare因應企業應用轉向容器化，而推出的開發及管理產品線。VMware指出，TAP是以Kubernetes為核心，融合其原有技術Spring Framework及早前的微服務平臺Tanzu Application Service的應用感知能力，提供開發工具及流程，以加速開發應用及服務到公有雲或本地部署經認證的Kubernetes叢集上。</p> <p>VMware表示，Tanzu Application Service和最新的TAP差異在，TAP使用Tanzu及kubectl指令行介面（CLI）工具，而前者則使用VMware Tanzu Operations Manager及Cloud Foundry CLI。針對想轉移到TAP的Tanzu Application Service用戶，VMware也提供移轉和相容工具。</p> <p>本周VMware也同時宣布<a href="https://tanzu.vmware.com/content/blog/application-service-adapter-for-vmware-tanzu-application-platform-2" target="_blank">Application Service Adapter for VMware Tanzu Application Platform的第一個beta版本</a>。首個版本著重應用生命周期及路由（routing）能力，並且讓開發團隊能繼續使用舊工具，例如Cloud Foundry CLI、用戶端及相同workflow （cf push），將應用程式部署到新的TAP及Kubernetes叢集上。</p> <p>Application Service Adapter<a href="https://network.tanzu.vmware.com/products/app-service-adapter" target="_blank">已經由Tanzu網站開放下載測試</a>。此外VMWare也宣布將Application Service Adapter開源作為Cloud Foundry專案。</p> </div></div></div>
2022/1/12 15:34作者林妍溱https://www.ithome.com.tw/news/148845
PCIe 6.0正式規格問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責制定PCIe（PCI Express）電腦匯流排規格的組織PCI-SIG，<a href="https://www.businesswire.com/news/home/20220111005011/en/PCI-SIG%C2%AE-Releases-PCIe%C2%AE-6.0-Specification-Delivering-Record-Performance-to-Power-Big-Data-Applications" target="_blank">本周二（1/11）發表了PCIe 6.0正式規格</a>，可達到64 GT/s的傳輸能力，為PCIe 5.0規格（32 GT/s）的兩倍，同時也帶來更低的延遲並減少頻寬的開銷。</p> <p>PCIe為PC零件連結的標準介面，例如繪圖卡或儲存裝置，也被應用在廣泛的設備上，從嵌入式系統、手持裝置、工業應用、伺服器到超級電腦等，對消費者而言，升級後的PCIe最大的好處在於可支援更快的記憶體。</p> <p>相較於PCIe 5.0，PCIe 6.0不僅有雙倍的頻寬，也更有功率效率；藉由x16配置，單向傳輸能力便達128 Gb/s；而且它相容於從第一代到第五代的PCIe規格。</p> <p>不過，業界採用新一代PCIe規格的腳步並不快，以2019年5月釋出的PCIe 5.0為例，一直到最近幾個月，英特爾的12代處理器Alder Lake才支援PCIe 5.0，而AMD則要在今年才會支援PCIe 5.0，顯示業者才正要開始採用PCIe 5.0，使得外界預期支援PCIe 6.0的消費者裝置，可能要數年後才會出爐。</p> </div></div></div>
2022/1/12 15:48作者陳曉莉https://www.ithome.com.tw/news/148846
去年企業網路每周遭到網路攻擊的次數增加50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2022/01/10/check-point-research-cyber-attacks-increased-50-year-over-year/" target="_blank">資安業者Check Point本周指出</a>，企業網路在2021年平均每周遭遇到的網路攻擊數量，已比2020年增加了50%，而去年12月現身的Log4j漏洞更讓此事雪上加霜。</p> <p>從Check Point Research公布的趨勢圖可看出，2020年第一季時，每個組織平均每周遭受到的網路攻擊不到600次，但今年第一季就突破800次，第四季再攀高到925次。</p> <p class="rtecenter"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2022/01/2021-1.png" style="width: 521px;" /></p> <p><span style="color:#696969;">圖片來源／Check Point</span></p> <p>從產業別來看，教育及研究機構是駭客最大的目標，2021年相關產業的組織平均每周面臨1,605次的攻擊，比2020年增加了75%；居次的是政府/軍事組織，每周也有1,136次的攻擊，增加47%；通訊產業每個組織平均每周則有1,079次的攻擊，成長51%。</p> <p class="rtecenter"><a href="https://blog.checkpoint.com/wp-content/uploads/2022/01/2021-2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blog.checkpoint.com/wp-content/uploads/2022/01/2021-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Check Point</span></p> <p>若從地區來看，非洲是最大的受害者，每個組織平均每周遇到1,582次的網路攻擊，亞太地區以1,353次排名第二，拉丁美洲為1,118次，歐洲為670次，北美則是503次。</p> <p>事實上，當去年12月爆出Log4j漏洞之後，全球駭客蜂擁而上，每小時就有數百萬計的攻擊行動是針對Log4j而來。</p> <p>Check Point的建議是「預防勝於治療」，理應把所有的面向都當作駭客的潛在攻擊目標而加以保護，同時保持資安衛生，修補已知漏洞，隔離重要網路，教育員工認識潛在威脅，以及部署先進的安全技術等。</p> </div></div></div>
2022/1/12 15:59作者陳曉莉https://www.ithome.com.tw/news/148848
去年成長最大的專利類別為基於生物模型的電腦系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ificlaims.com/news/view/ifi-claims-2021-rankings.htm" target="_blank">專利資訊供應商IFI CLIAMS本周公布了2021年的美國專利分布狀況</a>，指出取得最多專利的依然是美國的企業，在去年獲得了150,801個新專利，超越日本的47,105個、南韓的21,264個、中國的20,679個及德國的14,663個，而最熱門的專利活動領域與2020年一致，都是基於生物模型的電腦系統。</p> <p>IFI CLIAMS的分析顯示，從2017年到2021年間，基於生物模型之電腦系統的專利數量每年成長率為54%，它受到腦生物科學的帶動，且包括IBM、Google、三星、微軟與Intel都爭相投入。另一個在這5年間年成長率達42%的，則是包括大豆、玉米與蕃茄等開花植物品種的創新。</p> <p>其它擁有高成長率的專利類別，還包括電子煙（40%）、機器學習（39%）、量子運算（36%）、水/天然氣/石油探勘（36%）、電腦輔助設計（31%）、無線網路協定（28%）及顯示器（28%）等。</p> <p>至於2021年獲得最多美國專利的企業則是IBM，以8,682個專利位居冠軍，排名第二的是三星電子的6,366個，Canon以3,021個位居第三，其它進入前十名排行榜的還包括台積電、華為、英特爾、蘋果、LG、微軟與高通。</p> </div></div></div>
2022/1/12 12:21作者陳曉莉https://www.ithome.com.tw/news/148843
微軟揭露能繞過macOS系統防護，存取用戶資料、App的powerdir漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/10/new-macos-vulnerability-powerdir-could-lead-to-unauthorized-user-data-access/" target="_blank">微軟研究人員本周揭露</a>macOS一項可讓攻擊者繞過作業系統防護機制而存取隱私資料，或是控制電腦攝影機、麥克風等App的漏洞。</p> <p>微軟Microsoft 365 Defender研究團隊指出，這項編號CVE-2021-30970、暱稱為powerdir的漏洞，可讓攻擊者繞過macOS的Transparency Consent and Control（TCC）技術，非授權存取使用者的檔案。在微軟通報下，<a href="https://support.apple.com/en-us/HT212978" target="_blank">蘋果已經在去年12月13日發布安全更新</a>，包括macOS Monterey 12.1及macOS Big Sur 11.6.2予以修補。</p> <p>所謂TCC是蘋果於2012年的macOS Mountain Lion加入的防護子系統，它維護了儲存用戶明顯同意的App清單或資料庫。任何macOS App若不在TCC清單中，就會被拒絕存取用戶敏感資訊。TCC目的在讓用戶設定App隱私，包括App是否能存取電腦攝影機、麥克風或定位資訊、行事曆或iCloud帳號等。而為保護TCC，macOS還加入了禁止非授權程式碼執行的功能，並強制執行一項政策，僅允許具有全磁碟存取權限的App可以存取TCC。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/01/Fig1-macOS-TCC-Security-and-Privacy-Pane-1024x893.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>但是微軟新發現的powerdir漏洞，可讓攻擊者寫程式變更目標macOS用戶的個人專屬目錄(home directory)，植入假冒的TCC資料庫。本漏洞一經開採，攻擊者即可發動攻擊以存取用戶受保護的資料，例如劫持mac電腦上安裝的App或是安裝惡意App，再控制電腦上的麥克風錄下用戶錄音，擷取用戶螢幕上的隱私資料電腦擷圖。</p> <p>微軟也設計了概念驗證攻擊，利用Directory Services的指令行工具植入假的TCC.db檔並變更個人專屬目錄。在測試中，研究人員成功以dsexport 及dsimport等工具繞過限制，並且修改、變造目錄服務(Directory Services)下的用戶檔案，即可繞過保護政策而修改TCC。接著它就可以變更所有想要的應用程式設定，包括麥克風和相機程式。</p> <p>微軟於去年7月發現這個漏洞。研究人員Wojciech Reguła 及 Csaba Fitzl等人也曾在BlackHat USA上公布類似的發現，該漏洞被命名為CVE-2020-27937。雖然這項漏洞蘋果已經修補，但由於微軟POC仍然可以開採，因此判斷powerdir是新的漏洞。</p> <p>powerdir也是一年來第四項TCC繞過漏洞。同時這也是微軟三個月以來揭露第2項macOS漏洞。<a href="https://www.ithome.com.tw/news/147652" target="_blank">去年11月微軟也公布Shrootless漏洞</a>（CVE-2021-30892），macOS漏洞Shrootless，一旦攻擊者開採成功，就能繞過該作業系統內建的系統完整性保護機制（System Integrity Protection，SIP），進而在受害電腦上執行任意操作。</p> </div></div></div>
2022/1/12 12:43作者林妍溱https://www.ithome.com.tw/news/148844
從保護消費者資料權益出發，美FTC對無視Log4j漏洞的企業示警，若因此發生個資外洩將採取法律行動提出裁罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期開源軟體Log4j重大漏洞衝擊科技領域，由於無數應用程式曾採用以進行開發，影響甚大，在1月4日，<a href="https://www.ftc.gov/news-events/blogs/techftc/2022/01/ftc-warns-companies-remediate-log4j-security-vulnerability">美國聯邦交易委員會（FTC）呼籲</a>，為保護消費者權益，企業及其合作廠商務必立即採取修補行動。</p> <p>值得關注的是，過往FTC的制裁，多是針對特定廠商或多個漏洞，這次罕見針對單一漏洞發出警示，明確指出若未修補漏洞，而致客戶個資外洩或財務損失，恐遭該單位提告，雖然未說明制裁金額比例，但這份公告警告意味相當濃厚，不論是否身處美國，政府與企業、軟硬體業者都應重視。</p> <h3><strong>企業若因未修補已知漏洞導致資料外洩，FTC提告有前例</strong></h3> <p>Log4j用於記錄服務中各種系統活動，幾乎是一款無處不在的軟體，最近Log4j被發現的CVE-2021-44228等一系列漏洞，對數百萬的消費產品、企業軟體與網頁應用程式，帶來巨大衝擊，並有越來越多攻擊者廣泛利用這個漏洞。</p> <p>對於已知漏洞未修補的嚴重性，FTC提出2017年重大資安事件說明。而這個例子，就是信用報告業者Equifax資料外洩事件，他們在5月至7月間，因漏洞未修補遭駭客入侵，導致1.47億名消費者個資外洩，包括姓名、生日、地址，以及20多萬張金融卡資料。</p> <p>事後調查結果顯示，美國國土安全部同年3月曾向Equifax發出警告，提醒漏洞存在，該公司卻未有效修補，最終導致資料外洩。後續Equifax遭FTC控告，2019年以7億美元和解。</p> <p>FTC表示，當漏洞被發現和利用時，可能會導致個人資訊外洩、經濟層面損失，以及其他不可逆轉的傷害，因此須採取合理措施，緩解已知軟體漏洞，若未妥善處理，將涉及違反法令，如聯邦貿易委員會法案（FTCA），以及金融服務業現代化法案，亦稱為GrammLeach Bliley Act（GLBA）。</p> <p>現在，由於Log4j漏洞影響甚劇，FTC強調，對於依賴Log4j的公司及其供應商而言，需立即採取行動，減少可能對消費者帶來的傷害，避免面臨FTC的法律訴訟。更進一步來看，對於日後任何已知漏洞，企業若不處理，因而造成顧客資料損害，都可能面臨法律裁罰。</p> <p>同時，FTC提供了這次漏洞修補的相關資訊，包括：安裝Log4j最新版2.17.1，將可修補近期發現的4個漏洞，若要檢查是否使用Log4j軟體程式庫，FTC也推薦CISA所釋出的Log4j Scanner工具，企業及其合作廠商應確保採取補救措施，以保證公司的做法能不違反上述法律，並要將這樣的資訊，通知到提供消費產品服務且易受攻擊的第三方子公司。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）美FTC針對log4j修補不力示警.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8EFTC%E9%87%9D%E5%B0%8Dlog4j%E4%BF%AE%E8%A3%9C%E4%B8%8D%E5%8A%9B%E7%A4%BA%E8%AD%A6.jpg" style="width: 600px;" /></a></p> <blockquote><p>Log4j重大漏洞影響甚廣，近期<a href="http://www.ftc.gov/news-events/blogs/techftc/2022/01/ftc-warns-companies-remediate-log4j-security-vulnerability">美國聯邦交易委員會（FTC）也提出警告</a>，要企業與供應商需保障消費者權益，若因未修補漏洞而致客戶個資外洩或財務損失，將可能遭FTC提告，而之前已有前例，美國DHS曾向Equifax警告存在漏洞存在，但該公司卻未有效修補，結果導致資料外洩事件，因而遭FTC提告。</p> </blockquote> <p>對此政府積極介入的態勢，身為國內企業資安通報協處的TWCERT表示，這次美FTC警告將對未修補的企業提告，重點在於擔憂後續資料外洩。</p> <p>關於國內的狀況，TWCERT表示，在CVE-2021-44228揭露之際，他們已通知國內一些資通訊產品製造商，而這些廠商也自行發布相關資安公告，說明是否受影響或修補狀況，例如<a href="https://www.asus.com/content/ASUS-Product-Security-Advisory/">華碩</a>、<a href="https://www.zyxel.com/support/Zyxel_security_advisory_for_Apache_Log4j_RCE_vulnerability.shtml">兆勤</a>、<a href="https://eu.dlink.com/hr/hr/support/support-news/2021/december/16/apache-log4j-vulnerability-d-link-devices-and-services-not-affected">D-Link</a>、<a href="https://www.qnap.com/zh-tw/security-advisory/qsa-21-58">威聯通</a>、<a href="https://www.synology.com/zh-tw/security/advisory/Synology_SA_21_30">群暉</a>等。</p> <p>但令人憂心的是，國內有許多中小型軟硬體產品業者，無法確定他們在產品開發流程中，已經完全掌握使用的軟體套件，同時，企業是否能盤點檢查軟硬體的修補狀況，將考驗企業與合作廠商溯源能力。</p> <p>至於各國政府是否需祭出類似的手段，促使企業與產業重視漏洞修補，以及保障消費者資料權益，也將成為資安界後續關注議題。</p> </div></div></div>
2022/1/12 11:22作者羅正漢https://www.ithome.com.tw/news/148840
微軟2022年首個Patch Tuesday修補96個安全漏洞，當中有6個為零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年的開春，企業IT管理人員可能會忙碌一些了，因為微軟在今年1月的Patch Tuesday總計修補了96個安全漏洞，當中有9個被列為重大（Critical）漏洞，還有6個為零時差漏洞，不過，相關漏洞尚未遭到駭客開採。</p> <p>9個重大漏洞分別是開源專案Curl的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-22947" target="_blank">CVE-2021-22947</a>、Active Directory網域服務的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21857" target="_blank">CVE-2022-21857</a>、兩個DirectX繪圖核心的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21912" target="_blank">CVE-2022-21912</a>與<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21898" target="_blank">CVE-2022-21898</a>、HEVC Video Extensions遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21917" target="_blank">CVE-2022-21917</a>、HTTP協定架構的遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21907" target="_blank">CVE-2022-21907</a>、Exchange Server遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21846" target="_blank">CVE-2022-21846</a>、Office遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a>，以及Virtual Machine IDE Drive權限擴張漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21833" target="_blank">CVE-2022-21833</a>。</p> <p>至於6個零時差漏洞中，除了CVE-2021-22947 與上述重疊之外，其它5個分別是Libarchive遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-36976" target="_blank">CVE-2021-36976</a>、Windows User Profile Service權限擴張漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21919" target="_blank">CVE-2022-21919</a>、Windows Certificate欺騙漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21836" target="_blank">CVE-2022-21836</a>、Windows Event Tracing Discretionary Access Control List服務阻斷漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21839" target="_blank">CVE-2022-21839</a>，以及Windows Security Center API遠端程式攻擊漏洞<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21874" target="_blank">CVE-2022-21874</a> 。</p> <p>其中，涉及Curl與Libarchive的安全漏洞先前就已被各自的維護者修補，只是微軟本周才於Windows中修補它們。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/1/11/the-january-2022-security-update-review" target="_blank">Zero Day Initiative（ZDI）特別點名了4個重要漏洞</a>，包括<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21907" target="_blank">CVE-2022-21907</a>、<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21846" target="_blank">CVE-2022-21846</a>、<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a> 與<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21857" target="_blank">CVE-2022-21857</a> 。駭客只要傳送一個特製的封包到一個利用http.sys的系統進行處理，就能開採CVE-2022-21907，取得系統的執行權限，完全不需與使用者互動或事先取得特權，並可演變成蠕蟲漏洞。且除了伺服器之外，Windows客戶端也都能執行http.sys，代表所有的版本都受到該漏洞的影響。</p> <p>微軟與ZDI都將<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21907" target="_blank">CVE-2022-21907</a>列為必須優先修補的漏洞。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-%E5%BE%AE%E8%BB%9F-CVE-2022-21907(1).png" style="width: 475px;" /></a></p> <p>微軟在本月修補了3個Exchange Server漏洞，雖然它們的CVSS風險評分都高達9，但只有<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21846" target="_blank">CVE-2022-21846</a>被列為重大等級，它很可能被開採，並讓駭客取得Exchange Server的控制權，但前提是駭客必須與目標對象共享實體網路，例如藍牙、本地端的IP子網路或其它受限的管理網域等。</p> <p>此外，大多數的Office漏洞都只被列為重大（Important）等級，因為相關漏洞多半需要與使用者互動才能開採，而且會跳出警告視窗，然而，<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a>漏洞卻在使用者開啟特製的檔案時沒有任何的警告。</p> <p>ZDI提醒，此次微軟也釋出其它更新來修補<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21840" target="_blank">CVE-2022-21840</a>，應記得一併部署，而Office 2019 for Mac及Microsoft Office LTSC for Mac 2021等版本的修補程式則尚未出爐。</p> </div></div></div>
2022/1/12 11:34作者陳曉莉https://www.ithome.com.tw/news/148841
蘋果同意在南韓開放iOS App第三方程式內支付機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://en.yna.co.kr/view/AEN20220111004700320" target="_blank">韓聯社報導</a>，蘋果本周開放在南韓App Store上架的iOS App使用第三方程式內支付（in-app purchase，IAP）工具。</p> <p>蘋果稍早向韓國通訊委員會（Korean Communication Commission, KCC）遞交了法規遵循計畫。報導指出，蘋果計畫提供iOS App開發商第三方支付選項，而服務費率（分潤比例）也會比30%來得低。</p> <p>但蘋果並未公布實際的費率及詳細時程，表示會再和韓國主管機關商議。蘋果表示，該公司尊重韓國法律，向來也和該國開發商合作順暢，一切作業都會以確保App Store成為安全而值得信賴的應用程式下載平臺為依歸。</p> <p>這是繼去年南韓通過並實行《電信業務法》（Telecommunications Business Act）修正案後，最新一家宣布遵循法律的大廠。這項法令禁止Google Play或蘋果App Store等大型行動程式市集強迫程式開發商採用相關平臺的支付系統，也禁止這類市集無理延後程式審核或是將程式移除，是全球第一個透過立法削弱程式市集權力的國家。</p> <p><a href="https://www.ithome.com.tw/news/147678" target="_blank">Google去年11月率先宣布遵循南韓法令</a>，公布上架Play Store的手機及平板App開發商得以在App內支付機制中，除了Google Play以外再加入第三方支付系統。根據Google的作法，即使用戶使用第三方支付來購買服務，開發商仍需要付費給Google，只是費率較現有為低。例如大部份App需要分潤15%，若消費者使用第三方支付系統結帳，則開發商要付11%。電子書或音樂串流類別App的費率則為6%。</p> <p>兩大平臺龍頭在美國也面臨相同行政壓力，要求它們不得強迫開發商使用第三方支付。媒體報導，<a href="https://www.ithome.com.tw/news/148200" target="_blank">蘋果11月底向美國法院遞交上訴文件指出</a>，如果法院強制它開放第三方支付，蘋果將考慮所有競爭支付系統完成的交易收取佣金，不論是否為程式內購買。</p> </div></div></div>
2022/1/12 11:56作者林妍溱https://www.ithome.com.tw/news/148842
NextDrive聯手台電推出整合智慧電表的家庭能源管理新服務，不只能查看即時用電，未來也將加入異常用電偵測、智慧家庭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣能源物聯網新創聯齊科技（NextDrive）今日（1/11）與台電共同推出家庭能源管理（HEMS）新服務，將家戶智慧電表與家庭能源管理相結合，協助用戶管理自身用電，除了提供家戶更即時的用電資訊、用電可視化，未來還將加入異常偵測、電能管理、智慧家電整合服務等。推廣前期也將開放一萬名家庭用戶申請作為示範，提供免費用電查詢服務等，甚至台電也開始思考將家戶HEMS服務，未來能夠與台電電力調度相結合，能夠發揮到調節或節電作用。</p> <p>台電很早就開始積極布建智慧電表，截至2021年底已安裝150萬具智慧電表，今年預計達200萬具以上。為了跟上全球居家能源管理服務應用趨勢，也因此，台電去年8月公布「推廣家庭能源管理服務合作宣傳辦法」，希望透過與民間合作，來加速臺灣在家庭能源管理應用發展。聯齊科技是台電合作的HEMS業者第一家，從2021年起，開始為期兩年合作。</p> <p>聯齊科技創辦人顏哲淵表示，今年決定把日本HEMS經驗引進臺灣，是看到過去2年臺灣在能源轉型有很大幅度進展，包括輔助服務市場法規、百萬具智慧電表部署完成，以及開放HEMS業者申請家庭應用Route B模組安裝等，正是發展HEMS服務合適時機，也因此決定投入。</p> <p>不過，相較於日本，在臺灣一開始以智慧電表安裝用戶數的1%，大約一萬戶為前期HEMS市場發展目標，儘管數量看似不多，顏哲淵指出，對於NextDrive來說，雖然只是一小步，但卻是臺灣能源轉型一大步。他表示，透過這一萬戶採用，未來將能協助他們描繪出臺灣家庭用戶多元樣貌的用電行為，作為擬定未來推動臺灣HEMS市場發展的重要策略方針。</p> <p>NextDrive即日也開放家庭用戶申請，對這些申請者資格，不一定要是智慧電表家戶，即使是還未安裝用戶也能夠提出申請，而且除了一般家戶，也開放整個社區和一般商家來報名，也不分北中南或離島地區都能申請，提出申請者只要透過NextDrive的Line官方帳號登記，經審核通過後，之後就會由專門團隊協助個人或社區進行硬體安裝和HEMS服務開通。</p> <p>不過，顏哲淵坦言，不像日本電價相對高，民眾對於自身用電管理意識較高，相較之下，臺灣家戶普遍還沒建立用電意識，也因此，在前期推廣階段，為了提高民眾參與意願，他們在許多流程規畫上，採取與日本不一樣的策略，盡可能降低進入門檻，來提高家戶採用意願。像是民眾家中不需要自行安裝任何硬體，就能查看用電資訊，還將智慧電表與常用Line平臺綁定，民眾查看用電只要打開Line就能看到家中用電情形，不需透過專屬App。甚至祭出免費誘因，來吸引家戶來使用其服務。</p> <p>在HEMS服務功能上，初期將提供家戶即時用電資訊查詢為主，讓用戶管理每月、每周、每天用電支出，可提供每10分鐘的用電更新頻率。雖然在用電查詢服務，台電兩年前早就能讓智慧電表用戶可以透過手機App查看一天前、每隔15分鐘用電歷史資訊，但NextDrive推出的即時用電資訊查詢功能，因為是透過連接家庭應用的Route B模組，向智慧電表取得即時用電資訊，甚至可以看到一分鐘前的用電記錄。</p> <p>為了取得家戶更即時用電數據做應用，作法上，除了須安裝台電智慧電表和Route A通訊模組，還需要裝上家庭能源管理服務使用的Route B模組，該模組由NextDrive自行研發完成，負責接收Route A模組記錄的家戶電表用電數據，再透過一個電表數據蒐集閘道器Cube，將電表資料上傳雲，用戶只要將該電表與Line綁定後，就可以在手機上查看自己用電資訊。</p> <p>除了可以透過Line取得用電可視化、報表、住宅用電超標警示等基礎服務，該公司未來也將推出更多進階服務和功能，例如用電異常偵測、電能管理、智慧家電整合服務、電動車充電管理等。但要使用這些加值或進階服務，就需要付費。</p> <p>顏哲淵表示，比臺灣早幾年推行智慧電表的日本，發展迄今已有許多結合HEMS服務的實證應用，像是搭配儲能設備協助家戶進行用電控制與電能自主管理，還有結合多元時間電價方案，幫民眾買到更便宜的用電。這些都是臺灣未來可以採行的HEMS服務作法。</p> <p>甚至考慮到未來HEMS用戶成長到一定規模後，台電也開始思考將家戶HEMS服務，未來能夠與台電電力調度相結合。</p> <p>台電副總經理暨配售電事業部執行者王耀庭就舉例，遇到夜間用電尖峰時，若台電機組發生故障，以往調節作法，就是採分區限電，以後透過智慧電表結合HEMS服務，來取得家戶更即時用電數據後，只要找到這段期間可以調配電力的家戶，由台電或HEMS業者給予節電獎勵，如免費咖啡等，讓他們配合這段時間內不要用電，藉由這樣方式節電，就能幫助台電達到整體電力調節。他表示，未來透過這樣方式，甚至有機會發展出新的商業模式。</p> </div></div></div>
2022/1/11 20:12作者余至浩https://www.ithome.com.tw/news/148838
Google釋出大規模廣告稽核工具，協助用戶檢視違反政策的廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出一個稱為<a href="https://developers.googleblog.com/2022/01/disapproved-ads-auditor-tool.html">Disapproved Ads Auditor</a>的廣告稽核工具，該工具會標記廣告商帳戶中違反政策的廣告，供用戶深入了解不合規定的廣告，並選擇刪除。該工具的目標，是要用戶能夠從輸出中學習，保持廣告始終符合Google廣告政策。</p> <p>Google提到，大規模營運的廣告商，需要能夠全面審查其帳戶中，違反廣告政策的解決方案，使他們能夠更簡單地遵守Google的廣告政策。特別是Google持續增加更多的政策和執行機制，廣告商需要持續檢查他們的帳戶，才能一直遵守Google的廣告政策。</p> <p>而Google現在推出廣告稽核工具Disapproved Ads Auditor，供Google廣告客戶能夠大規模審查Google廣告帳戶中，所有未獲批准的廣告，並提供檢視圖，讓用戶能夠主動審查自己的帳戶，從整體分析廣告遭到拒登的情況中學習，最大程度減少潛在違反政策的廣告提交。</p> <p>這項工具使用Python腳本，供用戶以稽核模式和刪除模式執行。稽核模式能夠匯出帳戶中未被核准的廣告，而刪除模式可以刪除當前未獲批准的廣告，並且記錄詳細資訊，甚至可以將資料匯到BigQuery中，執行進一步的資料分析。</p> </div></div></div>
2022/1/12 08:30作者李建興https://www.ithome.com.tw/news/148832
美聯社建立NFT新聞攝影市場，販售自家記者攝影作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ap.org/press-releases/2022/ap-to-launch-nft-marketplace-built-by-xooa">美聯社宣布</a>，與區塊鏈技術供應商Xooa合作，建立一個用於銷售攝影記者作品的NFT（Non-Fungible Token）市場，買家可以從中購買該新聞社獲獎，或是重要的歷史攝影作品。美聯社預告，市場和第一批NFT，預計會在1月31日星期一公開。</p> <p>官方提到，最初販售的收藏，將包括現任與先前美聯社攝影記者的作品，獲得普立茲的圖片也將會包括在內。每個NFT都包含一組豐富的原始後設資料，讓收藏者可以了解拍攝所使用的時間、日期、地點、裝置和技術設置，而內容將會涵蓋太空、氣候、戰爭等各種圖像。</p> <p>藉由Xooa的技術，美聯社得以將作品代幣化，提供給全球攝影作品愛好者收藏。美聯社的NFT市集，建構在Polygon區塊鏈之上，這是一個強調環保且相容以太坊的第二層解決方案。</p> <p>所有買家都可以從市場中，購得、銷售和交易美聯社釋出的NFT，可使用信用卡支付和加密錢包，進行二級市場交易和購買，同時支援Fortmatic、Binance和Coinbase。美聯社表示，NFT的價格會有所不同，而其作為一家非營利新聞社，販售NFT的收益，將會用於新聞工作中。</p> <p>美聯社並非第一家使用NFT來販售新聞的媒體，紐約時報和Quartz也已經將其文章的副本，以NFT的形式出售，供有興趣的賣家收藏。</p> </div></div></div>
2022/1/12 08:33作者李建興https://www.ithome.com.tw/news/148835
Nvidia買下HPC叢集管理軟體供應商Bright Computing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2022/01/10/bright-computing-hpc/">Nvidia宣布併購HPC軟體開發商Bright Computing</a>，目的是要擴大Nvidia的客戶群，同時擴展Bright的觸及。Bright成立於2009年，從ClusterVision拆分出來，其開發的軟體可以自動建構和管理HPC、Kubernetes，還有在私有雲和公有雲上的OpenStack叢集，波音、NASA、約翰霍普金斯大學和西門子等都是Bright的客戶。</p> <p>在併購之後，Nvidia既有的合作夥伴，能夠協助將Bright的軟體推向更多市場，而Bright的軟體和專業知識，將強化Nvidia DGX和資料中心業務。Bright的軟體可以在邊緣、資料中心和多個公有雲，甚至是混合雲上運作，無論叢集是由少數或是數十萬臺伺服器所組成，Bright的解決方案都可以自動管理叢集，並且支援Arm、x86 CPU，以及Nvidia GPU和Kubernetes容器。</p> <p>Nvidia提到，他們已經與Bright合作十多年，Bright的軟體整合了Nvidia的GPU、網路、CUDA以及近期的DGX系統。而Nvidia現在想透過併購Bright，來更緊密地結合軟硬體，使HPC資料中心更容易購買、建構和營運，來擴大HPC的市場。</p> </div></div></div>
2022/1/12 08:35作者李建興https://www.ithome.com.tw/news/148837