iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 21:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Coinbase與Mastercard合作，將讓用戶直接刷卡購買NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大的加密貨幣交易平臺Coinbase自去年10月宣布將<a href="https://www.ithome.com.tw/news/147259" target="_blank">推出非同質化代幣（Non-Fungible Token，NFT）交易市集</a>之後，本周二（1/18）再度宣布<a href="https://blog.coinbase.com/coinbase-and-mastercard-partner-to-revolutionize-nft-purchase-experience-8e486a392c55" target="_blank">已與萬事達卡（Mastercard）合作</a>，將讓使用者直接刷卡購買NFT。</p> <p>現階段的NFT絕大多數作為數位商品的所有權憑證，主要是音樂、藝術及影片等，也成為各種品牌推出數位收藏品的媒介。</p> <p>不過，有鑑於NFT源自區塊鏈技術，目前要交易NFT亦以基於區塊鏈的加密貨幣為主，消費者必須先申請一個加密貨幣錢包，繼之購買加密貨幣，再以加密貨幣購買NFT，對一般消費者而言並不友善，這也使得Coinbase與萬事達卡結合，打算讓消費者在Coinbase的NFT交易市集上，直接以萬事達卡刷卡購買NFT，將大幅簡化交易流程，並促進NFT的普及。</p> <p>原本預計於去年底上線的NFT交易市集並未如期上線，但Coinbase宣稱很快就會推出，而萬事達卡則說將會動用所有的安全機制，來確保用戶資料及所購買的NFT安全性。</p> <p><a href="https://www.mastercard.com/news/perspectives/2022/coinbase-nft-creator-economy-prakash-hariramani/" target="_blank">Coinbase資深產品總監Prakash Hariramani認為</a>，NFT推動了經濟自由，舉例來說，當人們在《第二人生》（Second Life）或其它遊戲中購買了虛擬物品時，這些虛擬物品是被集中控制的，也只能在相關的遊戲中使用，但買了NFT之後，這就是屬於使用者的資產，不管是在哪個遊戲或元宇宙中。</p> <p>此外，各大品牌也積極參與NFT，包括可口可樂（Coca-Cola）、金寶湯（Campbell）、NBA及愛迪達（Adidas）都在去年釋出NFT收藏品，而且Hariramani估計將有愈來愈多的品牌加入NFT戰局。</p> <p>Coinbase與萬事達卡之後將會進一步揭露刷卡購買NFT的更多細節。</p> </div></div></div>
2022/1/19 12:01作者陳曉莉https://www.ithome.com.tw/news/148955
微軟Edge 98新增可緩解未知零時差漏洞攻擊的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/deployedge/microsoft-edge-relnote-beta-channel" target="_blank">微軟本周釋出最新Microsoft Edge 98測試版</a>，其中一項新功能宣稱可緩解未知零時差漏洞遭駭客攻擊。</p> <p>Edge 98.0.1108.23目前釋出到Beta版頻道給測試用戶。新版主要增加了二項安全功能。首先是一項新的上網安全功能，在以Edge瀏覽器上網時增添多一層防護。這項功能讓管理員在用戶桌機啟動3項群組政策，包括EnhanceSecurityMode、EnhanceSecurityModeBypassListDomains、EnhanceSecurityModeEnforceListDomains，以防止零時差漏洞攻擊。</p> <p>當啟動這項功能，即啟動硬體強制執行的堆疊防護（Hardware-enforced Stack Protection）、任意程式碼防禦（Arbitrary Code Guard，ACG）及內容流程防禦（Content Flow Guard，CFG）。</p> <p>Edge 98的新功能是去年11月微軟<a href="https://www.ithome.com.tw/news/148004" target="_blank">Edge 96加入「超強安全模式」（Super Duper Secure Mode，SDSM）</a>後的續集。SDSM主要目的在關閉Edge的JavaScript Just-In-Time Compilation（JIT）編譯器，以減少瀏覽器安全威脅，因為JIT所屬的Chromium V8 JavaScript 引擎經常發現漏洞，而且JIT和ACG也不相容。新版Edge 98將可在沒有JIT的環境中部署ACG及CFG，以防範惡意程式活動。</p> <p>微軟表示這項功能可利用歷史紀錄分析，緩解「未預見」的零時差攻擊活動，聲稱是安全防護的「一大進步」。此外這些政策也有助於確保重要網站和商務應用的正常運作。</p> <p>第二項安全功能則是自訂主密碼。和其他瀏覽器一樣，Edge也讓用戶儲存網站密碼，以便日後自動填入登入表單中、加速登入網站。因此為了安全起見，現有的Edge已讓用戶在儲存密碼前加入驗證步驟，防止他人利用儲存的密碼來登入網站。Edge 98新功能則是在此基礎上多一層保護；啟動本功能後，用戶必須先輸入一個主密碼驗證自己身分，再儲存密碼。</p> <p>最新版Edge還另外加入了Overlay scrollbar，用戶可以經由「edge://flags」啟動功能。</p> </div></div></div>
2022/1/19 12:09作者林妍溱https://www.ithome.com.tw/news/148956
Google更新Eventarc使用者介面、新增事件路由目的地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/developers-practitioners/introducing-new-eventarc-ui-cloud-run-anthos-destinations">Google更新事件服務Eventarc</a>，在雲端平臺控制臺加入Eventarc使用者介面，供用戶更方便地控制和管理觸發器，另外，Google還新增事件目的地Cloud Run for Anthos，增加事件路由目的地的選擇。</p> <p>Google從去年12月開始，進行一連串的Eventarc更新，包括早前發布的Cloud Storage觸發器，可將Cloud Storage事件路由到Cloud Run的功能，目前已經正式發布。而官方現在還對所有使用者，公開Eventarc使用者介面預覽，讓用戶可以在雲端控制臺，集中瀏覽、編輯和刪除Eventarc觸發器。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/image2_jdLj2SC.max-700x700.png" style="width: 600px;" /></p> <p>官方表示，Eventarc使用者介面可供用戶一目了然現有觸發器，包括觸發器正在監聽的事件、來源以及路由的目的地，都會清楚地呈現在列表中。只要點擊列表中的觸發器，就能進一步查看細節（下圖），並進行編輯和刪除操作。新的Eventarc使用者介面，也讓用戶能夠方便地創建觸發器，只要點選事件供應者，頁面會清楚地呈現事件可用的頻道，引導用戶正確設定接下來的配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3_PQmr9xS_max-1300x1300.png" style="width: 360px; height: 208px;" /></p> <p>另外，現在Eventarc的事件路由目的地新增Cloud Run for Anthos，Google提到，Eventarc的目標是要能將許多事件來源，連結至許多事件目的地。而雖然Eventarc現在有許多事件來源選擇，但當前只有一個事件目的地，也就是Cloud Run，因此Google新增Cloud Run for Anthos服務，作為新的事件目的地。</p> </div></div></div>
2022/1/19 10:54作者李建興https://www.ithome.com.tw/news/148952
哪個品牌最容易被網釣駭客相中？DHL取代微軟居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣攻擊通常是仿冒知名的品牌，藉由傳遞假冒的訊息以讓使用者在不知情的狀況下輸入自己的機密資訊或部署惡意程式，過去最受駭客青睞的品牌一向是微軟，不過，<a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/" target="_blank">資安業者Check Point本周指出</a>，去年第四季最常遭駭客濫用的品牌是國際知名物流業者DHL，首度超越微軟奪冠，且同屬物流的聯邦快遞FedEx也入榜前十名。</p> <p>在COVID-19疫情開始蔓延以來，全球消費者大規模地轉向網路購物，也使得物流產業在疫情期間一片欣欣向榮，而這也是物流品牌遭到駭客鎖定的主因。</p> <p><a href="https://www.checkpoint.com/press/2021/social-now-among-top-three-sectors-to-be-imitated-in-phishing-attempts-in-q3-2021/" target="_blank">在去年第三季時</a>，最常被駭客濫用的品牌前五名依序是微軟（29%）、Amazon（13%）、DHL（9%）、Bestbuy（8%）與Google（6%），但到了第四季時，名次及比例變更為DHL（23%）、微軟（20%）、WhatsApp（11%）、Google（10%）與LinkedIn（8%）。</p> <p>DHL在第三季時僅排名第三，且全球的網釣攻擊只有9%假冒為DHL，到了第四季便激增至23%。此外，第三季沒有進入前十名的FedEx也在第四季以3%排名第七。</p> <p>網釣駭客多半是藉由採用類似品牌官方的網址或網頁設計來誘騙使用者，在Check Point去年第四季所觀察到的網釣攻擊中，駭客以DHL客戶支援的名義寄出了郵件，並附上假冒為官網的連結，要求使用者輸入於DHL上使用的電子郵件與密碼；在冒牌的Fedex攻擊中，同樣假冒為Fedex的客戶支援，並隨信附上了一個壓縮檔，但它實際上是個鍵盤側錄程式，用以竊取使用者的機密資訊；還有一個偽裝成PayPal的網釣攻擊，要求使用者確認自己的PayPal帳號，並將使用者引導至一個偽造的PayPal登入頁面，騙取PayPal用戶憑證。</p> </div></div></div>
2022/1/18 18:27作者陳曉莉https://www.ithome.com.tw/news/148950
跨平臺應用程式部署工具Waypoint 0.7加入觸發器增強自動化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可簡化容器應用程式部署的工具<a href="https://www.hashicorp.com/blog/waypoint-0-7-reimagines-ui-and-extends-deployment-workflows">Waypoint，推出新版本0.7</a>，開發商Hashicorp重新設計了Waypoint使用者介面、觸發器，以及外部資料擷取的方式，來改善使用者體驗，並且讓Waypoint能夠更好地搭配其他工具使用。</p> <p>Waypoint是HashiCorp在2020年開發的工具，目的是要在Kubernetes、Amazon ECS和其他平臺，提供類似PaaS的體驗。Waypoint抽象了各種平臺底層基礎設施，供開發人員以一致的方式，部署、管理和觀察應用程式，只要使用單一指令，就能夠將應用程式部署到Waypoint所支援的各種平臺上，用戶還能夠使用擴充套件，來擴展建置、部署和發布邏輯。Waypoint本身是一個自託管的軟體，不需要使用HashiCorp的任何服務，就能開始管理用戶基礎設施和平臺上的應用程式。</p> <p>Waypoint 0.7加入了一個稱為觸發器（Trigger）的新核心功能，觸發器會在持續整合環境中運作，預配置來執行Waypoint生命周期操作，用戶可以配置的操作，像是部署最新版本，或是要求專案中所有應用程式回報狀態，甚至是對所有應用程式執行部署操作等。</p> <p>觸發器可直接在環境中透過gRPC請求啟動，該請求會告訴Waypoint執行預配置的動作，由於觸發器是以專案為範圍配置，因此可以對專案中定義的所有應用程式進行操作，但也可以只針對專案中單個應用程式。</p> <p>Waypoint 0.7是加入觸發器的第一個版本，Waypoint伺服器目前僅支援以gRPC啟動觸發器，不過，官方也預告，在接下來發布的版本，將會支援以HTTP請求來啟動觸發器，使得運作在持續整合環境中的Waypoint，比現在的可存取性更高。</p> <p>Hashicorp也改進Waypoint從外部獲取資料的能力，新版本Waypoint讓用戶使用動態函式，在waypoint.hcl中配置獲取和使用外部資料的方法，以存取來自Vault、Terraform Cloud、AWS Secrets Manager等平臺的資料。</p> <p>另外，Waypoint 0.7讓用戶變更工作區，來更改擴充套件的配置。由於從Waypoint 0.1以來，工作區的設計都是作為模擬環境或組織的概念，但隨著發展，官方擴展了工作區的功能，新用法就包括用戶可以根據工作區變更部署Kubernetes的命名空間，並且可以在獨立的工作空間，嘗試不同的擴充套件類型。</p> <p>Waypoint讓使用者，能夠透過網頁瀏覽器中的命令列工具，和使用者介面，來部署、管理和觀察應用程式，在新版本中，官方透過重構使用者介面，添加許多新的工作流程，來強化使用者體驗。新的UX項目包括環境選擇下拉選單、圖標更新，還有已建置、部署和發布資訊相關的時間軸。現在也可以在Waypoint瀏覽器使用者介面中，使用waypoint exec，這將允許用戶在部署中執行命令，有助進行故障排除、執行資料庫搬遷，或是檢查應用程式配置等操作。</p> </div></div></div>
2022/1/18 18:29作者李建興https://www.ithome.com.tw/news/148946
Rust 1.58進一步簡化語言功能降低使用難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2022/01/13/Rust-1.58.0.html">程式語言Rust開發團隊發布最新1.58版本</a>，這個版本有不少編譯器上的更新，同時也強化程式語言功能，目的在使Rust更容易使用。Rust 1.58在格式化字串（Format String）中，加入了可捕捉的識別符號，並且更改Windows上命令搜尋路徑，在標準函式庫中加入更多#[must_use]註解。</p> <p>現在開發者可以在字串中，使用{ident}來捕捉參數，過去格式接受位置參數以及命名參數，而現在命名參數也能夠在周圍範圍被捕捉，而這同樣也可用於格式化參數，格式化字串只能捕捉普通的識別符號，不能捕捉任意路徑或是表示式，對於更複雜的參數，開發者必須對參數指定區域名稱，或是使用較舊的name = expression格式化參數類型。</p> <p>官方提到，這項新功能可以在所有接受格式化字串的巨集中使用，不過，例外則是2015年和2018年版本的panic!巨集，當panic!(“{ident}”)還是被當作為格式化字串時，編譯器會發出警示，告訴開發者該寫法沒有預期效果。由於2021版本，官方更新了panic巨集進而提高了一致性，因此這項新功能可以在2021中的panic!運作。</p> <p>Rust 1.58減少Windows命令搜尋的路徑，在Windows上，std::process::Command將不再於當前工作目錄中搜尋可執行檔案。過去受win32 CreateProcess API的影響，Rust按特定的優先順序執行搜尋，會先搜尋子PATH環境變數中列出的目錄，接著是載入應用程式的目錄、父程序的目錄、32位元的Windows系統目錄、16位元的Windows系統目錄、Windows目錄，最後則是PATH環境變數列出的目錄。</p> <p>官方解釋，由於使用當前工作目錄可能產生預料之外的結果，或是當在處理未受信任目錄時，產生惡意行為，即便是微軟自己的PowerShell文件，也不使用當前目錄，以確保其安全性。而現在沒有當前目錄的情況下，Rust會按照新的優先順序進行搜尋。</p> <p>但因為沒有API可以探索16位元Windows系統目錄，因此Windows上Rust的新命令搜尋順序，將會跳過16位元Windows系統目錄，僅有子PATH環境變數中列出的目錄、載入應用程式的目錄、32位元的Windows系統目錄、Windows目錄以及PATH環境變數列出的目錄。在非Windows上，將仰賴特定平臺的行為，通常只考慮子或父PATH環境變數。</p> <p>另外，在Rust 1.58中的標準函式庫，加入更多的#[must_use]註解，大多數函式都帶有#[must_use]註解，忽略回傳的值將會出現警告。Rust編譯器在這個版本也有不少更新，像是在拋出lint錯誤之後，還是能繼續編譯，以顯示更多有用的錯誤訊息等。</p> <p>Rust的套件管理器Cargo，現在加入一個新的後設資料欄位，以表示最小支援的Rust版本，這對其他工具來說將會是很有用的資訊，另外Cargo在install指令加入—message-format選項，並且在後臺，更新curl至7.80版本，以更好地支援OpenSSL 3。</p> </div></div></div>
2022/1/18 18:31作者李建興https://www.ithome.com.tw/news/148951
鎖定Linux平臺的惡意程式在2021年增加了35%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/linux-targeted-malware-increased-by-35-percent-in-2021/" target="_blank">美國資安業者CrowdStrike本周揭露</a>了2021年的Linux惡意程式狀況，指出去年鎖定Linux平臺的惡意程式數量比2020年增加了35%，其中光是XorDDoS、Mirai與Mozi三大惡意程式家族就占了22%。</p> <p>有鑑於Linux既具彈性又有多元的各種版本，因而適用於不同的硬體設計，例如目前全球大多數的雲端基礎設施與網頁伺服器都採用Linux，且它同時也是行動裝置與物聯網（IoT）裝置的主要平臺，其中，缺乏充分安全保護的行動及物聯網裝置，則替駭客帶來了大量的開採機會，例如採用固定憑證、開放傳輸埠或未修補的安全漏洞等。根據估計，全球的物聯網裝置數量到了2025年，將會超過300億臺。</p> <p>去年三大Linux惡意程式家族之一的XorDDoS為一木馬程式，它鎖定基於Arm、x86與x64等平臺的Linux架構，主要藉由SSH暴力破解攻擊取得物聯網裝置的遠端控制權；有些變種會掃描及搜尋開啟2375傳輸埠的Docker伺服器，因為該傳輸埠提供了未加密的Docker插槽及無需密碼的遠端存取，因而遭到駭客濫用。與2020年相較，XorDDoS去年的樣本數增加了123%。</p> <p>至於Mozi則是一端對端的殭屍網路惡意程式，它藉由分散式雜湊表（DHT）系統來部署自己的擴充DHT，DHT所具備的分散式與去中心化查找功能，讓Mozi得以將C2C流量藏匿在大量的DHT合法流量中，利用DHT也能讓Mozi快速壯大其殭屍網路。Mozi也是透過暴力破解SSH及Telnet傳輸埠來入侵系統，隨後還會封鎖這些傳輸埠以避免被其它惡意程式取代。Mozi去年的樣本數多達前一年的10倍。</p> <p><a href="https://www.ithome.com.tw/news/108775" target="_blank">2016年問世的Mirai在原始碼被公布後</a>就一直流竄迄今，已出現數不清的變種，堪稱是今日各種Linux DDoS惡意程式的共同祖先，也讓它依舊身居主要Linux惡意程式之一。</p> <p>CrowdStrike亦公布了上述三大Linux惡意程式家族的入侵指標供外界參考。</p> </div></div></div>
2022/1/18 17:23作者陳曉莉https://www.ithome.com.tw/news/148948
國發會3月將提我國淨零碳排路徑圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趕上國際社會淨零碳排趨勢，國發會今天(1/18)公布今年工作目標，預告今年3月將會提出臺灣淨零碳排路徑圖，揭示淨零碳排的4大政策方向。</p> <p>國發會主委龔明鑫在年終記者會中表示，國發會今年的目標，短期目標方面包括：擬定整體經濟目標、穩定物價、完成第4期前瞻預算審議、地方創生、強化國際鏈接。而今年將完成規畫及中長期的目標則是：解決人口及人力問題，以及淨零碳排。此外，國發會正在推動的包括重要國家政策管考、資金導入的實質投資、雙語國家等政策等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ppt.jpg" style="width: 600px; height: 356px;" /></p> <p>其中，前瞻建設計畫2.0的第4期預算審議，不同於第3期前瞻預算審議的主軸，偏重數位轉型如5G布建、建置產業園區鼓勵臺商回流、發展地方創生以平衡城鄉差距，在淨零碳排的中長期目標之下，國發會今年將完成的第4期前瞻預算審議，預算審議主軸納入淨零碳排。</p> <p>龔明鑫指出，目前第4期前瞻預算已框列，大致完整計畫也已提出來，在淨零碳排的明確目標之下，第4期前瞻預算審議主軸將作調整，在預算審議的過程中將淨零排碳納入考慮、對審議的計畫提出要求。國發會會重新檢視第3期預算執行狀況，對執行不力計畫收回預算額度，用以支持綠能等相關項目，另外在審議第4期每項計畫預算時考量淨零碳排，在能夠達成同樣目的下，傾向支持採用淨零碳排技術或工法。</p> <p>目前第4期前瞻預算約1,800億元，而2025年的第5期預算約1,000億元。龔明鑫補充說明，除了在淨零的項目加碼之外，普遍性的做法是在淨零的總目標之下，未來每項公共建設都應該納入淨零想法。</p> <p>至於今年3月將提出的臺灣淨零碳排路徑圖，包含4大重要政策方向：2030年前將節能、綠能、減碳最大化；推動運具及製造的電動化；投入氫能與CCUS碳捕捉技術開發及國際合作；配合歐盟碳關稅趨勢，啟動溫室氣體減量管理法修法，將徵收的碳費以基金，投入鼓勵減碳技術開發及推動電動化。</p> <p>為達到淨零碳排，未來國發會是否會訂定強制目標？龔明鑫以交通運具的電動化為例，不會採取哪一年開始禁售燃油車的強制做法，而是以外部成本內部化的方式，以價格或補貼機制產生相對比較利益，例如未來燃油車課碳費，徵收的碳費可能用於補貼電動車，以比較利益鼓勵民間購買電動化運具。</p> <p>龔明鑫認為，儘管目前已發展出一些綠能、減碳的技術，但按照國際組織的預測，以現有技術要在2050年達到淨零的目標可能難以實現，因此需在未來10年投入新技術研發，並在2030年大量採用，才有可能在2050年實現淨零的目標，因此課收碳費，以補助綠能或減碳等新技術研發，或運具的電動化有其必要性。</p> <p>目前政府正推動修法，擬將溫室氣體減量管理法改為氣候變遷因應法，環保署也正進行修法研商，未來修法將徵收碳費，但各界對於碳費如何計算，徵收的對象仍有不同的意見，未來可能課徵多少碳費，成立的基金將如何運用，這些問題的目前仍沒有明確的答案。</p> <p> </p> </div></div></div>
2022/1/18 18:12作者蘇文彬https://www.ithome.com.tw/news/148949
【資安日報】2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣受許多組織使用的網站內容管理系統WordPress，再度傳出有數個外掛程式存在重大的存在請求偽造（CSRF）漏洞，CVSS風險層級高達8.8分，研究人員估計總共有8.4萬個網站受到影響。</p> <p>另外，不少企業採用的SAP，其中一個CVSS風險層級9.1分的重大漏洞，研究人員發現可被用於供應鏈攻擊，讓攻擊者在SAP應用程式植入惡意軟體，呼籲用戶要儘速修補漏洞。</p> <p>除了上述的嚴重漏洞之餘，北韓APT駭客組織去年大肆透過加密貨幣業者竊取資金的現象，也較以往增加4成，而成為北韓在許多國家對其經濟制裁下，用來發展軍事的資金來源。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://sports.ltn.com.tw/news/breakingnews/3804188"><span style="color: rgb(0, 0, 0);"><strong>中華職棒YouTube頻道被盜，直播內容變比特幣演說</strong></span></a></h4> <p>根據國內多家媒體報導，中華職棒YouTube官方頻道在1月17日晚間21時20分被盜用，頻道名稱被更改為MicroStrategy，直播內容則是講解比特幣，狀況在22時30分左右排除，但張貼的影片有被刪除的狀況。不過這起事件並未結束，我們從PTT網友針對此事的回應來看，在1月18日上午5時到9時，被盜狀況仍繼續發生，並指出這樣的直播維持有2千人觀看。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/qlocker-ransomware-returns-to-target-qnap-nas-devices-worldwide/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Qlocker再度鎖定威聯通NAS發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Qlocker Tor site.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qlocker%20Tor%20site.png" style="width: 300px; float: right;" /></a>勒索軟體Qlocker曾於2021年4月下旬，鎖定威聯通（QNAP）的NAS用戶發動攻擊，利用備份資料同步元件HBS 3的漏洞入侵。但最近，該勒索軟體再度出現新一波的攻擊行動而值得留意。根據資安新聞網站Bleeping Computer於1月15日的報導，他們發現Qlocker疑似在1月6日有了新的攻擊行動，一旦NAS遭到威染，檔案被加密後攻擊者會留下勒索訊息，要求支付0.02至0.03個比特幣來恢復檔案，至少有數十臺NAS遭到感染。該新聞網站呼籲用戶，參考威聯通的最佳實務來強化NAS安全。</p> <h4><a href="https://teamt5.org/tw/posts/north-korea-hacker-konni-apt-attack-target-russia/"><span style="color: rgb(0, 0, 0);"><strong>臺資安業者TeamT5揭露鎖定俄羅斯政府的APT入侵攻擊手法</strong></span></a></h4> <p>今年1月初，資安業者Cluster25揭露北韓駭客組織鎖定俄國外交部的攻擊，對於這樣的攻擊行動，臺灣資安業者TeamT5在1月中旬也公開自家分析結果，解析其攻擊手法，是透過惡意魚叉式電子郵件進行，一旦使用者上鉤開啟郵件附檔中的螢幕保護程式поздравление.scr，該程式背地裡將連線中繼站並下載惡意Payload，再透過Base64演算法取得惡意CAB檔案，當中將包含後門程式scrnsvc.dll，經TeamT5分析，該後門程式與北韓駭客組織Konni所慣用的後門程式家族Sanny有關，與Cluster25的研究分析有相同結論。</p> <h4><a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/"><span style="color: rgb(0, 0, 0);"><strong>近四分之一網釣攻擊冒用DHL的名義出手</strong></span></a></h4> <p>過往網路釣魚攻擊中，攻擊者較為偏好利用微軟和Google等IT業者的名義，來取得受害者的信任，進而得手對方的帳密等資料，但這個情況近期出現了變化。資安業者Check Point針對2021年第4季，駭客在發動網路釣魚攻擊的行動裡，所假冒的廠牌名稱，調查後發現，全球有23%網路釣魚是利用物流業者DHL的名義發動攻擊，不只比2021年第3季（9%）高出不少，也超越微軟（20%）、WhatsApp（11%）、Google（10％）。</p> <h4><a href="https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/"><span style="color: rgb(0, 0, 0);"><strong>北韓Lazarus旗下駭客組織鎖定加密貨幣新創公司，將其貨幣盜領一空</strong></span></a></h4> <p>北韓駭客鎖定加密貨幣來獲利的情況，近期又有相關的攻擊行動出現。卡巴斯基揭露Lazarus旗下的駭客組織BlueNoroff，約在2021年11月發起SnatchCrypto攻擊行動，鎖定專門處理加密貨幣、數位合約、DeFi、區塊鏈的中小型新創公司下手，對於這些企業的員工傳送具備監控功能的後門程式，最終目的是清空受害組織的加密錢包。為了讓受害者上當，該組織偽裝成超過15家風險投資業者。</p> <h4><a href="https://www.nbcnews.com/tech/security/north-korea-stole-record-400-million-cryptocurrency-last-year-research-rcna12080"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客2021年竊得4億美元加密貨幣，較前年多出4成</strong></span></a> </h4> <p><a href="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png" style="width: 300px; float: right;" /></a>美國與其他國家長期對於北韓實施經濟制裁，使得該國長期以來，倚賴APT駭客攻擊全球各地的金融機構，來竊取資金。但最近2到3年，北韓駭客更加關注如何偷取加密貨幣，根據區塊鏈資安業者Chainalysis調查，這些駭客在2021年總共對於加密貨幣平臺發起至少7次攻擊行動，並取得近4億美元的加密貨幣，較2020年要多出40%。其中，被竊的加密貨幣以太幣占超過半數（58%）、比特幣居次（20％）、22%是ERC-20或替代幣（Altcoin）。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/linux-malware-sees-35-percent-growth-during-2021/"><span style="color: rgb(0, 0, 0);"><strong>Linux惡意軟體在2021年增加35%，XorDDoS、Mirai、Mozi最為氾濫</strong></span></a></h4> <p>攻擊者鎖定Linux作業系統發動攻擊的現象，去年頻繁傳出攻擊事故，許多勒索軟體駭客開始針對這種環境製作專屬攻擊工具，就連Log4Shell漏洞攻擊，也有不少是針對Linux伺服器而來，但這種情況有多嚴重？根據資安業者CrowdStrike的調查，2021年Linux惡意軟體的數量，較2020年多出35%，其中XorDDoS、Mirai、Mozi家族最為氾濫，占所有惡意軟體的22%，其中又以Mozi攻擊出現爆炸性成長，去年的惡意軟體數量是前年的十倍。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/high-severity-vulnerability-in-3.html"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在高風險漏洞，恐波及8.4萬網站</strong></span></a></h4> <p>專注於WordPress網站安全的Wordfence指出，他們發現3個WordPress外掛程式存在請求偽造（CSRF）漏洞CVE-2022-0215，CVSS風險層級為8.8分。這些存在漏洞的外掛程式為Login/Signup Popup、Side Cart Woocommerce、Waitlist Woocommerce，各有超過2萬個、4千個、6萬個網站使用，套件開發者XootiX獲報後已修補上述漏洞。</p> <h4><a href="https://www.securityweek.com/critical-sap-vulnerability-allows-supply-chain-attacks"><span style="color: rgb(0, 0, 0);"><strong>重大SAP軟體漏洞恐被用於供應鏈攻擊</strong></span></a></h4> <p>甫被公布細節不久的軟體漏洞，很可能因為有其他利用的方式，而使得漏洞潛藏的危害比原本預期的還要嚴重，甚至可能引發類似SolarWinds供應鏈攻擊的事故。例如，專精於SAP安全的資安業者SecurityBridge，針對一項存在於NetWeaver AS ABAP、ABAP平臺的重大漏洞CVE-2021-38178提出警告，表示這項漏洞原先被發現是不正確的授權問題，能讓攻擊者將程式碼跳過檢測程序就發布，但研究人員發現，攻擊者還能竄改發布狀態，允許在正式發布程式碼後將狀態變更為「可修改」，使得攻擊者可以任意加入惡意程式進行供應鏈攻擊。這項漏洞SAP已於2021年10月發布修補程式，研究人員呼籲用戶要儘速安裝相關更新。</p> <h4><a href="https://mashable.com/article/safari-bug-browser-history-security"><span style="color: rgb(0, 0, 0);"><strong>Safari驚傳頁面呈現引擎漏洞，恐曝露瀏覽器記錄與Google帳號細節</strong></span></a></h4> <p>資安業者FingerprintJS揭露Safari 15瀏覽器的WebKit頁面呈現引擎漏洞，這項漏洞與Indexed Database（IndexedDB）的API有關，一旦被攻擊者利用，可透過網站追蹤使用者的網路活動，甚至得知用戶的身分，例如Google帳號的細節，無論是蘋果個人電腦（macOS）或是行動裝置（iOS、iPadOS）用戶都受到影響。這項漏洞自研究人員於1月15日公開後，蘋果已於17日著手於WebKit原始碼加入相關的修補程式，但尚未提供給一般用戶。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment"><span style="color: rgb(0, 0, 0);"><strong>半導體資安標準SEMI E187正式發布上架</strong></span></a></h4> <p>在2022年1月17日，全球首個半導體晶圓產線設備資安標準已正式上架於SEMI網站，名稱為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」。特別的是，這也是首次由臺灣主導制定的半導體相關國際標準，此項標準在四大方面提出要求，包括：作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，建立晶圓廠設備資安最低標準。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/18 14:27作者周峻佑https://www.ithome.com.tw/news/148941
火山爆發導致海底電纜受損，東加對外通訊中斷恐持續二周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.stuff.co.nz/business/127512800/tonga-subsea-communications-cable-may-be-broken-after-all-says-southern-cross" target="_blank">Stuff.nz報導</a>，上周末南太平洋的東加王國因鄰近海底火山大規模噴發，引發海底地震及海嘯，導致東加王國海底光纜受損，對外通訊幾乎中斷。</p> <p>受火山爆發衝擊導致東加對內、對外光纖網路故障。對外光纖由東加首都努瓜婁發（Nuku'alofa）連向斐濟首都蘇瓦（Suva），長達872公里。受到對外纜線運作故障，目前東加對外電話及連網服務幾乎中斷。</p> <p>ZDNet引述持有線纜的東加線纜公司（Tonga Cable）指出，2條光纖都受影響，對外光纖故障發生在距努瓜婁發37公里處，對內光纖則是在距努瓜婁發47公里處。</p> <p>此外當地一家行動電信業者則表示，該公司在東加境內服務部份可用，但海嘯波及的島嶼因基地臺遭破壞也受影響。該公司目前正緊急架設衛星連線，但僅供政府及少數客戶使用。</p> <p>現階段東加僅能利用衛星電話及衛星寬頻維持對外通訊。</p> <p>目前負責營運的南十字星海纜表示已經著手修復，估計回復時間可能長達2周，實際情況需視故障是出於機組失靈、停電或是光纖斷裂。</p> <p>東加南方65公里的Hunga Tonga火山上周大規模噴發，被稱是1990年以來最大火山爆發，火山灰被抬升至30公里的高空，爆炸巨響連6000英哩外的阿拉斯加都聽得到，此外，爆發時的海底地震也在當地引發超過1公尺的海嘯，紐西蘭、日本及美國都發佈了海嘯警報。紐西蘭及澳州政府也派遣偵察機前往視察災情。</p> </div></div></div>
2022/1/18 16:49作者林妍溱https://www.ithome.com.tw/news/148947
微軟緊急修補Windows Server、Windows桌機版 1月安全更新問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows-message-center" target="_blank">微軟昨（1/17）日釋出例外更新（out-of-band，OOB）</a>，以解決上周Windows及Windows Server更新引發的無限重開機、Hyper-V無法啟動以及Windows電腦無法執行VPN連線的問題，連已終止支援的Windows 7、Server 2008也都在修補之列。</p> <p>微軟表示，這波OOB更新將分別解決和Windows網域控制器（Domain Controller）重開、虛擬機器啟動失敗、彈性檔案系統（ReFS）可移除媒體無法啟動相關的問題。</p> <p>上周Patch Tuesday針對Windows Server及Windows釋出的安全更新，<a href="https://www.ithome.com.tw/news/148866" target="_blank">用戶下載安裝後陸續出現上述問題</a>。微軟也分別提供說明。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-server-2022#2775msgdesc" target="_blank">其中當網域控制器</a>在強化安全性系統管理員環境（Enhanced Security Admin Environment，ESAE）環境下使用Shadow Principal物件，或是啟動Privileged Identity Management（PIM）的環境會發生不預期開機，導致許多用戶經歷Windows Server伺服器不斷重開機。</p> <p>針對彈性檔案系統（ReFS）無法啟動，<a href="https://support.microsoft.com/en-us/topic/kb5010691-refs-formatted-removable-media-may-fail-to-mount-or-mounts-as-raw-after-installing-the-january-11-2022-windows-updates-7a959f37-91b6-4baf-a797-829b0ee86c65" target="_blank">微軟解釋</a>，是出於可移除媒體包括USB外部磁碟不支援這個檔案統格式。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-8.1-and-windows-server-2012-r2#2776msgdesc" target="_blank">Hyper-V無法啟動VM的問題</a>則發生在使用UEFI的系統裝置上。</p> <p>至於VPN連線問題，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2#2773msgdesc" target="_blank">微軟指出</a>包含Vender ID的IPSEC連線、或使用第二層隧道協定（Layer 2 Tunneling Protocol，L2TP）及IPSEC網際網路金鑰交換（Internet Key Exchange）的VPN，在Windows PC安裝更新後都可能無法啟動。</p> <p>雖然主要是現今主流的Server 2012R2、Server 2016、Server 2019、Windows Server 10 20H1、Server 20H2、Server 2022、及Windows 10（20H2、20H1、1909、1607、1507）、11（21H1）受影響，不過微軟這波例外更新的發布對象，也涵括微軟已終止支援的Windows 7 SP1、Windows Server 2008 SP2。</p> <p>管理員或用戶可以在Update Catalog手動下載更新。部份版本可經由Windows Update自動下載安裝。</p> </div></div></div>
2022/1/18 13:22作者林妍溱https://www.ithome.com.tw/news/148938
蘋果允許荷蘭約會App使用第三方程式內支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.acm.nl/en/publications/apple-has-adjusted-its-policy-dating-apps-acm-assess-these-adjustments" target="_blank">荷蘭消費者交易主管機關本周宣布</a>，蘋果已通知荷蘭政府將允許該國境內上架App Store 的約會應用程式可使用第三方程式內支付（in-app purchase，IAP）系統，或允許開發商將用戶導向原廠網站付費。</p> <p>這也是繼上周<a href="https://www.ithome.com.tw/news/148842" target="_blank">南韓的例子</a>後，蘋果開放使用第三方程式內支付的國家。</p> <p>荷蘭消費者與市場管理署（Netherlands Authority for Consumers and Market，ACM）2019年接獲旗下擁有Match.com、Tinder、OkCupid和Hinge的Match Group投訴後，即著手調查蘋果App Store強制使用自家IAP一事，<a href="https://www.reuters.com/technology/exclusive-dutch-watchdog-finds-apple-app-store-payment-rules-anti-competitive-2021-10-07/" target="_blank">當局去年10月做出違反競爭法的判決</a>。</p> <p><a href="https://www.acm.nl/en/publications/acm-obliges-apple-adjust-unreasonable-conditions-its-app-store" target="_blank">荷蘭政府去年12月底命令</a>蘋果必須在2022年1月15日之前，調整對約會程式開發商的不合理條款。如果蘋果未能依要求調整，將遭到荷蘭當局每星期500萬到5,000萬歐元的罰款。</p> <p><a href="https://developer.apple.com/support/storekit-external-entitlement/" target="_blank">根據蘋果說明</a>，荷蘭App Store上架的約會應用程式開發商，除了使用蘋果IAP外，也可在程式內加入連結以便將用戶導向原廠網站購買，或是在App中加入第三方支付系統。</p> <p>欲加入原廠網站連結或使用第三方支付的約會App，必須向蘋果申請新的權利。由於這新權利僅限在荷蘭App Store上架及荷蘭境內流通的App，因此開發商必須另外上傳iOS及iPadOS適用的專門函式庫。而這些申請及上傳程式也將經過蘋果審查。</p> <p>不論用戶是連向開發商網站支付，或是使用第三方IAP支付，蘋果都會收取交易手續費。至於收費比例，和在南韓的例子一樣，蘋果將於日後公佈。</p> <p>蘋果稅（Apple Tax）問題讓許多應用程式開發商感到不滿，尤其是知名開發商如Epic Games、Spotify等。在這些業者循法律途徑解決後，蘋果終於有所讓步。<a href="https://www.ithome.com.tw/news/146489" target="_blank">去年9月蘋果允許</a>Reader類別程式開發商在App中提供連結，將用戶導向開發者的網站購買，並設定及管理帳號。</p> </div></div></div>
2022/1/18 13:33作者林妍溱https://www.ithome.com.tw/news/148939
Walmart有意發展加密貨幣與NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大實體零售業者Walmart去年底向美國專利暨商標辦公室（U.S. Patent and Trademark Office，USPTO）<a href="https://alter.com/trademarks/walmart-97197301" target="_blank">提出了新的商標申請</a>，透露出該公司打算從事與加密貨幣相關的業務，或替進入元宇宙（Metaverse）的世界舖路。</p> <p>新的申請內容歸類為保險與金融服務類，準備透過全球的電腦網路提供虛擬貨幣供線上社群使用；於非同質化代幣（Non-Fungible Token，NFT）領域提供虛擬貨幣的交易；提供加密貨幣、NFT與區塊鏈的交易服務；並有意發行數位代幣供全球線上社群使用；或者是發行NFT。</p> <p>這顯示出在電子商務時代被Amazon搶了先機的Walmart，不願再落後於新一代的區塊鏈、加密貨幣與NFT趨勢，同時也可替被視為全球化虛擬世界的元宇宙舖路。</p> <p>在科技社群的推波助瀾下，區塊鏈、加密貨幣或NFT慢慢地滲透到各個領域，而相關技術很可能會在元宇宙的時代充分發揮。不只是Walmart，知名運動服飾品牌Nike也在去年10月<a href="https://uspto.report/TM/97096366" target="_blank">提出類似的申請</a>，將該公司商標所涵蓋的範圍擴大至可下載的虛擬商品，包括透過電腦程式所打造的鞋子、衣服、頭盔、眼鏡、袋子、運動裝備、藝術、玩具或配件等，以讓使用者於線上虛擬世界中使用。</p> <p>對於媒體的詢問，Walmart並未正面表態，而是<a href="https://www.cnbc.com/2022/01/16/walmart-is-quietly-preparing-to-enter-the-metaverse.html" target="_blank">向《CNBC》表示</a>，該公司一直在探索新興技術將如何改變未來的購物經驗，也持續地測試各種新想法，有些想法會落實成產品或服務，若否亦會從中學習。</p> </div></div></div>
2022/1/18 13:44作者陳曉莉https://www.ithome.com.tw/news/148940
英特爾11、12代處理器終止支援SGX，新PC無法播4K藍光光碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/new-intel-chips-wont-play-blu-ray-disks-due-to-sgx-deprecation/" target="_blank">Bleeping Computer報導</a>，英特爾已從第11、12代處理器Core 11000及12000系列移除對SGX（software guard extension）安全技術的支援，這將讓使用最新一代的處理器的桌機及筆電無法播放提供4K解析度的藍光光碟（Ultra HD Blu-ray）。</p> <p><a href="https://edc.intel.com/content/www/tw/zh/design/ipla/software-development-platforms/client/platforms/alder-lake-desktop/12th-generation-intel-core-processors-datasheet-volume-1-of-2/001/deprecated-technologies/" target="_blank">根據去年公布的Intel 12代Core 處理器規格表</a>，未來產品將不再支援Intel SGX及Intel記憶體防護延伸（Intel Memory Protection Extensions, MPX）、以及TSX-NI指令集等技術。</p> <p>由於藍光光碟使用的數位版權管理（digital rights management，DRM）機制需要搭配SGX。因此在11代以後Intel Core處理器移除支援後，搭載這些處理器的裝置將無法執行播放Ultra HD Blu-ray光碟的任務。</p> <p>事實上早在2020年2月<a href="https://arstechnica.com/gadgets/2020/02/intel-promises-full-memory-encryption-in-upcoming-cpus/" target="_blank">即有媒體報導</a>英特爾放棄支援SGX的計畫。當時英特爾高層說明，未來英特爾CPU都將使用新的安全技術，包括全記憶體加密（Total Memory Encryption，TME）及多金鑰全記憶體加密（Multi-Key Total Memory Encryption，MKTME）。</p> <p>英特爾是在2014年宣布Intel SGX，並於2015年的Skylake微架構中首次加入。不過SGX有一些缺點，包括它的加密安全區（enclave）太小只有128MiB，無法完整保護應用程式資料，此外它也會影響處理效能。<a href="https://medium.com/@danny_harnik/impressions-of-intel-sgx-performance-22442093595a" target="_blank">有研究人員測試顯示</a>，啟動SGX安全區可能使CPU效能下降20%-50%。</p> <p>不過最大問題可能在安全。<a href="https://www.ithome.com.tw/news/121615" target="_blank">Bleeping Computer報導</a>，近年有許多攻擊是鎖定Intel SGX而來，包括2018年<a href="https://www.ithome.com.tw/news/121615" target="_blank">新Spectre</a>、2019年<a href="https://www.ithome.com.tw/news/130651" target="_blank">ZombieLoad</a>、2020年的LVI（Load Value Injection）概念驗證攻擊等。</p> <p>而在搭戴新處理器的裝置上，播放Ultra HD藍光光碟的問題就會浮現。對此<a href="https://www.cyberlink.com/support/faq-content.do?id=26690" target="_blank">訊連科技的FAQ網頁</a>指出，受到SGX功能移除，以及SGX和最新版Windows OS及驅動程式不相容等問題，對其持續支援Ultra HD Blu-ray內容播放形成極大挑戰，因此該公司決定在新CPU及新Windows平臺上不再支援Ultra HD Blu-ray。</p> <p>媒體建議，消費者較好的選擇是持續使用Core 7000、8000、9000和10000系列。再早的Skylake不支援HDCP 2.2，無法使用HDMI 2.0轉接頭的裝置。</p> </div></div></div>
2022/1/18 13:04作者林妍溱https://www.ithome.com.tw/news/148936
西班牙祭出新規定，推廣加密貨幣必須明確揭露廣告性質並警告投資風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙國家證券市場委員會（National Securities Market Commission，CNMV）周一（1/17）<a href="https://www.cnmv.es/portal/verDoc.axd?t={1cbaf61c-57c2-4830-bd6a-071f806795e2}" target="_blank">針對境內的加密貨幣廣告祭出新規定</a>，要求舉凡是收受金額以推廣加密貨幣的網紅或名人，都必須事先知會CNMV，對外公開揭露其廣告性質，同時警告相關的投資風險。只要是粉絲人數超過10萬人的網紅都在規範之列。</p> <p>去年底西班牙足球明星Andrés Iniesta去年11月<a href="https://twitter.com/andresiniesta8/status/1463410602509062145?lang=en" target="_blank">於Twitter上展示了加密貨幣交易平臺Binance</a>，還說他將學習如何透過Binance進入加密貨幣的世界，<a href="https://twitter.com/cnmv_medios/status/1463573103943077889" target="_blank">結果隔天就被CNMV點名</a>，要求Iniesta在進行相關投資之前應該充分理解，也應告誡他人。後來Binance證實了Iniesta是收費替該平臺打廣告。</p> <p>外界認為CNMV的新規定與此一事件不無關聯，而Iniesta在Twitter上的粉絲人數超過2,500萬人，遠高於CNMV的10萬人門檻。</p> <p>CNMV要求，從今年2月17日起，只要是向10萬人以上展開加密貨幣相關業務的廣告時，不管是加密貨幣業者或具影響力的網紅與名人，都應於10天前事先通知CNMV，對外公開揭露其廣告性質，並必須附上警告文字：「加密貨幣資產的投資並未受到監管，因而可能不適合散戶投資者，也可能損失全部投資。」否則將會面臨罰款處分。</p> </div></div></div>
2022/1/18 13:14作者陳曉莉https://www.ithome.com.tw/news/148937
Google與加州大學合作，運用神經網路技術加速基因定序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://www.blog.google/technology/health/advancing-genomics-better-understand-and-treat-disease/">公開</a>了幾項他們運用最新機器學習技術，與其他學術單位和基因公司合作的研究結果，除了能夠更快地偵測遺傳性疾病之外，Google也開始投資公平性基因組學研究，要確保各種血統的人類個體，都能在最新技術中，獲得相同的準確度。</p> <p>藉由基因定序，現代醫療能夠更好地了解、診斷和治療疾病，像是利用基因組定序來診斷罕見的遺傳性疾病，找出胸腺癌或是類動脈高壓等高風險人群，據估計，這些疾病影響大概8％的人口。</p> <p>由於遺傳性疾病可能會導致嚴重的疾病，在許多情況下，及時發現存在的潛在風險，醫療能夠更早介入，提高挽回生命的可能性，對新生兒來說更是如此，遺傳性或是先天性疾病影響近6％的新生兒，但過去要辨識這些疾病的定序工作，需要數天到數周才能完成。</p> <p>而現在Google與加州大學合作，運用遞迴神經網路開發一種稱為<a href="https://github.com/kishwarshafin/pepper">PEPPER-Margin-DeepVariant</a>的方法，可以快速分析定序儀資料，成為目前最快的商業定序技術，這項技術已經被用在重症新生兒醫療上，辨識可疑的致病變異。在最快的情況下，不用8小時就能發現可能致病變異，而過去最快的時間需要13.5小時。目前這項技術已經成功反轉了一名嬰兒的神經發育障礙診斷結果，使醫療人員能及時針對疾病執行精確的治療。</p> <p>Google也與基因組定序平臺開發商PacBio合作，將機器學習和演算法開發工具用於定序資料，以獲得更多的資訊，Google開源一種名為DeepConsensus的方法，能夠與PacBio定序平臺結合，更準確地讀取定序資料，而這有助於研究人員將PacBio技術應用在更多元的用例中。</p> <p>另外，與其他健康和醫學領域一樣，研究人員也努力解決基因組學領域中的公平性問題，Google提到，大多數基因組研究參與者，皆具有歐洲血統，如果不解決公平性問題，將會使研究結果出現偏差，也就是說研究成果可能不適用於不同血統的個體。</p> <p>Google在過去一年資助了兩專案，針對代表性不足的人群，改進研究方法和基因組學資源。</p> </div></div></div>
2022/1/18 08:40作者李建興https://www.ithome.com.tw/news/148931
Google讓模型依任務學習路由，有效提高大型語言模型推理效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其最新的人工智慧研究，發表了一種用於加速大型模型推理的方法<a href="https://ai.googleblog.com/2022/01/learning-to-route-by-task-for-efficient.html">TaskMoE（Task-level Mixture-of-Experts）</a>，也就是說，使用該方法，在模型擴大的情況下，推理的成本不會顯著增加，因此能繼續提供有效率的服務。</p> <p>由於擴展大型語言模型，能夠使像是T5、GPT-3和M4這類語言模型的結果，獲得明顯的提升，因此在追求更高品質結果的目標下，研究人員無不盡可能擴展模型。建構更大模型的常用方法，通常是增加層數，或是增加層的維度，使模型更深更寬。</p> <p>這類密集模型採用輸入序列，序列會被切分成更小的元件，稱為令牌（Tokens），這些令牌會傳遞給整個網路，活化每一層和參數。Google提到，雖然這些大型且密集的模型，在多自然語言處理任務上獲得很不錯的結果，但是訓練成本也會隨著模型規模線性增加。</p> <p>因此為了降低成本，研究人員開始採用混合專家（Mixture of Experts，MoE）方法，建構稀疏活化模型。與密集模型方法不同之處，在於傳遞給網路的每個令牌，會藉由跳過部分的模型參數，依循被稱作專家的獨立子網路，藉此減少計算量。</p> <p>而將輸入令牌分配給各子網路的決定，則由一個小型的路由網路決定，混合專家方法讓擴增模型大小所付出的成本，不會成比例地線性增加，進而提升效能。</p> <p>但Google提到，雖然這是一個有效的訓練策略，但是將長序列令牌發送給多個專家，會再次使推理計算成本增加，因為專家會分散在大量的加速器中，像是1.2T參數的GLaM模型，就需要用到256個TPU-v3晶片。因此又會與密集模型遭遇到相同的問題，混合專家模型提供服務所需要的處理器數量，與模型大小成線性關係增加，因而增加計算需求，並導致明顯的通訊開銷和工程複雜度。</p> <p>因此Google發展了一種成為TaskMoE的方法，在模型擴展的同時，仍然能夠有效率地提供服務。Google的方法是訓練一個大型多任務模型，並在推理時，丟棄每個任務未使用的專家，從中萃取出更小、獨立的任務子網路，能夠適用於推理，又不會損失模型品質，並且顯著降低推理延遲，與其他混合專家模型以及使用知識蒸餾壓縮（Distillation）的模型相比，Google證明，他們的方法在多語言神經機器翻譯方面更為有效。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEgkqREeRRMeieObGensmatGJ4I-5aovQT3PcTgjBNBSWoIPPFB58p99uK2NxApXq7RHMIUPdpaEQsK1UhrhXQK58GOaev6gm0KfAe0Zm2miZwRRm_S7qAmVADwOhOAJeqz6cRVdds4yTj5GpvQVf-gRY4CjoOGkwfOGgNPLhpOwwu9Dwx0pLeQNdX2kJw=w640-h365" style="width: 580px;" /></p> <p>Google比較TaskMoE、典型混合專家模型TokenMoE和基準密集模型的吞吐量和每秒解碼令牌數，TaskMoE模型比TokenMoE模型小達7倍，可以直接在單個TPU-v3晶片上運算，不需要像是TokenMoE使用64個TPU-v3晶片，且TaskMoE吞吐量峰值是TokenMoE的2倍，Google提到，TokenMoE模型花了25％的推理時間在裝置間的通訊，而TaskMoE幾乎沒有通訊成本。</p> <p>以結果來看，在多語言翻譯任務中，TaskMoE模型的分數，硬是比經蒸餾的TokenMoE模型平均高了2.1 BLEU。</p> </div></div></div>
2022/1/18 08:38作者李建興https://www.ithome.com.tw/news/148927
本土HR雲端服務靠差異服務打造生態圈，內建福委電商平臺將推出薪水預支消費功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">人資SaaS服務業者Mayo近期宣布今年將推4項新功能，來發展人資生態圈，在HR系統中提供薪水預支消費，企業員工消費抵免軟體授權，引進線上課程推薦AI、AI錄影面試整合Teams等新功能，來創造差異化。目標是3年內客戶達到上萬家，更計畫進軍海外市場如越南、香港與日本。</p> <p dir="ltr"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Mayo</span>執行長簡士評表示，Mayo要仿效Line的商業模式，瞄準每家企業的HR剛性需求，切入企業軟體服務的市場，打造滿足企業員工需求的各類生活服務。尤其，簡士評指出，企業系統服務行動化之後，HR系統更容易觸及所有員工，「我們真正想做的是企業社群軟體，商業模式在於，如何透過滿足企業員工的需求，賺到應有的利潤。」不過，Mayo的服務按用戶數分級計價，而不像Line是免費軟體。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/271818058_507797770630045_8045119599817663116_n.jpg" style="width: 670px;" /></p> <p dir="ltr">在這個目標之下，Mayo計畫盡可能地搶下國內企業雲端HR服務的市場，預計3年內，從現有近千家客戶擴張到上萬家，簡士評估計，臺灣企業只有2％使用雲端HR服務，Mayo大概占了一半，未來希望從2%提升到15%，同時要搶下7～8成的市占率。除了擴張臺灣市場，Mayo也要進軍海外，目前已經跨足中國市場，今年Q4則計畫要進入越南、香港，明年更計畫進軍日本，來觸及更多客戶。</p> <h3 dir="ltr"><span style="color:#FF8C00;">今年新推4大新功能，打造人資生態圈新商模，要靠附加價值來獲利</span></h3> <p dir="ltr">為了擴大市站，Mayo採取差異化的HR服務策略。比如說，Mayo在2018年推出Apollo人資系統，就可提供員工福利整合平臺，提供員工消費、團購服務的電商平臺。目前近一步提供部分銀行薪轉戶整合，提供一鍵開戶的功能，能自動傳送員工資料到銀行，報到當天就能完成線上開戶。</p> <p dir="ltr">Mayo線上商城正在開發，未入帳薪水支付消費的功能，可讓員工預先在商城消費，發薪時自動代扣消費金額後再匯入薪轉戶；另一項同樣正在開發的新商業模式，則將根據企業員工總消費金額，來給予企業一定比例的折扣，比如設定150位員工在線上商城消費超過100萬元，可以退還企業3%費用，也就是3萬元，可用來折抵每年HR系統的年費費用。這兩項功能都預計在今年上線。</p> <p dir="ltr">Mayo也取得了全球課程學習平臺Cornerstone在臺灣、中國與越南的代理權，正逐步整合臺灣在地課程平臺，比如好學校、Ted演講等的學習資源，要透過Cornerstone本身的AI推薦演算法，參考不同職業的使用者的收看行為，來推薦企業員工跨平臺的課程組合，要鎖定HR資源不足的中小企業市場，計劃將在今年Q4推出。</p> <p dir="ltr">目前，Mayo也正在將AI錄影面試系統Lasso AI整合微軟Teams，讓企業直接用Teams與應聘者進行面試，同時可用AI評分輔助，預計在Q2正式上線；下一步還要將Apollo整合到Teams中，「但複雜度高，預計明年之後才會啟動。」不只如此，Mayo也將SaaS服務上架到微軟商業市集，要搶攻微軟的雲端客戶。</p> <p dir="ltr">除了預告未來一年功能，簡士評也揭露了未來3～5年長期目標是，在累積足夠多的客戶數據後，在未來3～5年發展出HR指標儀表板，讓企業有機會跨產業比較自己的HR競爭力。。「一家公司的未來發展，財務報表的好，代表的是現在，HR指標好，才代表未來的發展性。」他點出，包括人員的離職率、關鍵崗位的招聘速度、薪資與同業的比較，這類數據更有機會看出一家公司的未來發展性。</p> </div></div></div>
2022/1/17 18:55作者翁芊儒https://www.ithome.com.tw/news/148930
【資安日報】2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家級駭客的攻擊行動不時有消息傳出，而這些駭客多半是暗中進行監控，或是藉由破壞牟取利益，但這個週末針對烏克蘭的攻擊行動，駭客的目的主要是造成當地的民眾恐慌，甚至是對於政府的不信任。攻擊者入侵了約70個烏克蘭政府的網站，並竄改網頁內容，以數種語言恐嚇「烏克蘭人的個資已經遭到外洩」。從這些網站造成的損害來看，可能影響有限，烏克蘭政府宣稱多數已恢復運作，且沒有網站儲存的資料遭到外洩的情況，但這起事故真正的破壞力在於，有可能造成當地社會民心不安，或是認為政府資料保護不力。</p> <p>另一起重大的資安事件，就是俄國在上述事件發生的隔日，大舉逮捕勒索軟體駭客組織REvil的成員，並特別宣稱是依照美國的意思執法。由於此起逮捕行動極為不尋常，與過往俄國的態度極為不同，外界也在猜測該國此舉背後的動機。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/"><span style="color: rgb(0, 0, 0);"><strong>數十個烏克蘭政府網站遭駭，疑似是俄羅斯所為</strong></span></a></h4> <p>烏克蘭與俄國關係緊張的態勢，疑似因近日俄羅斯意圖說服西方國家，阻止烏克蘭加入北大西洋公約組織（NATO）不成，而發動大規模的網路攻擊。根據路透社、彭博社、莫斯科時報、Bleeping Computer等新聞網站報導，1月13日晚間烏克蘭許多政府網站，如外交部、國家安全與國防事務委員會（NSDC）等部門遭到攻擊，14日早上網站出現無法存取的情況，可能有70個政府網站遭到攻擊，這些網站的內容遭到竄改，以烏克蘭語、俄語、波蘭語宣稱，烏克蘭人的個資已經遭到外洩。</p> <p>根據莫斯科時報的報導，烏克蘭國家安全局（SSU）發出聲明證實確有此事，但強調他們尚未發現民眾資料外洩的跡象，並指控這起攻擊行動很可能就是俄羅斯所為。</p> <p>究竟這些網站是如何被入侵的？Bleeping Computer取得消息來源的說法，這些網站疑似使用存在漏洞的October CMS內容管理平臺（CMS），攻擊者透過CVE-2021-32648身分驗證繞過漏洞，做為侵入這些網站的初始管道。</p> <h4><a href="https://krebsonsecurity.com/2022/01/at-request-of-u-s-russia-rounds-up-14-revil-ransomware-affiliates/"><span style="color: rgb(0, 0, 0);"><strong>俄國逮捕勒索軟體組織REvil成員，疑似是要向美國施壓</strong></span></a></h4> <p>過往俄國政府不太積極追捕駭客，甚至被美國指控是意圖藏匿犯人，而最近一起大動作圍捕參與勒索軟體REvil攻擊行動的駭客，被認為別有用意。俄羅斯聯邦安全局（FSB）在1月14日逮捕14名REvil組織的駭客，並查獲6百萬美元、4.26億盧布、5百萬歐元現金，以及20輛透過網路犯罪所得購買的高級汽車。</p> <p>FSB強調，此舉是因應美國的要求，但外界認為，這起逮捕行動是為了轉移與烏克蘭關係緊張的焦點，並作為要脅美國的籌碼──在13日，烏克蘭數十個政府網站驚傳遭到俄國攻擊，再者，俄國總統普丁也下令，要在烏克蘭邊境部署10萬兵力。</p> <h4><a href="https://www.bbc.com/news/world-europe-59998988"><span style="color: rgb(0, 0, 0);"><strong>烏克蘭政府網站遭到攻擊的事故，美國指控是俄國所為的栽贓攻擊</strong></span></a></h4> <p>烏克蘭數十個政府網站於1月13日晚間遭到攻擊，網站內容被竄改成恐嚇訊息。此舉外界認為可能就是俄國所為，但攻擊的動機是什麼？美國五角大廈的發言人於15日指出，這很有可能是俄國發動的栽贓（False Flag）行動，對於俄國人或在烏克蘭使用俄語的人士，意圖製造他們被烏克蘭敵對的現象，進而讓烏克蘭挑起爭端，而成為俄國能夠出兵的藉口。</p> <h4><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體WhisperGate鎖定烏克蘭組織趁火打劫，意在破壞而非勒索</strong></span></a></h4> <p>針對烏克蘭和俄國關係緊張的情勢，除了俄國疑似於1月13日攻擊數十個烏克蘭網站之外，微軟也在同一天發現，有來路不明的駭客組織DEV-0586，利用名為WhisperGate惡意軟體，攻擊數十個烏克蘭政府機關、非營利組織、IT業者，該惡意軟體會覆寫受害電腦的主要開機磁區（MBR），索討1萬美元復原電腦，且會損壞電腦裡的檔案。研究人員認為，攻擊者的目的並非贖金，而是要徹底破壞電腦檔案。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ukranian-police-arrests-ransomware-gang-that-hit-over-50-firms/"><span style="color: rgb(0, 0, 0);"><strong>烏克蘭逮捕攻擊逾50個企業的勒索軟體駭客組織</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/actor-computer.jpg" style="width: 300px; float: right;" />在烏克蘭政府網站大量遭到攻擊之前，警方於1月13日宣布破獲一個勒索軟體駭客組織，該組織由36歲的基輔居民為首腦，成員包括他的妻子與其他3名熟人。該組織透過垃圾郵件傳遞惡意軟體，但尚不清楚所使用的勒索軟體種類。根據警方調查，超過50家公司受到攻擊，總共損失超過百萬美元。除了勒索軟體攻擊，這個駭客組織亦提供VPN服務給其他網路犯罪人士，以便下載惡意軟體或是進行攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/defense-contractor-hensoldt-confirms-lorenz-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Lorenz攻擊跨國國防承包商Hensoldt</strong></span></a></h4> <p>攻擊者鎖定國防單位的合作廠商，很可能可以從中獲得國防機密，或是入侵國防單位。例如，勒索軟體Lorenz宣稱，他們攻陷了國防感測器承包商Hensoldt，並取得為數不詳的文件，並將其大部分上傳到該組織的公告網站。經資安新聞網站Bleeping Computer向Hensoldt確認，該公司的發言人證實，英國子公司部分行動裝置遭到波及。</p> <h4><a href="https://blog.malwarebytes.com/ransomware/2022/01/ransomware-cyberattack-forces-new-mexico-jail-to-lock-down/"><span style="color: rgb(0, 0, 0);"><strong>美國新墨西哥州監獄受到勒索軟體波及，視訊監控鏡頭與自動門無法使用</strong></span></a></h4> <p>政府機關遭到勒索軟體攻擊，有可能對於特定機構造成嚴重破壞，例如，美國新墨西哥州伯納利歐縣政府驚傳在1月5日午夜到凌晨5時30分，遭到勒索軟體攻擊，其中，當地的監獄大都會拘留中心（MDC）受到波及，導致網路連線中斷，視訊監控鏡頭與自動門皆無法使用，MDC被迫暫停所有的探監。根據該單位的IT人員確認，數個資料庫遭到破壞，而該設施的重要系統，包含事件追蹤系統（ITS）、罪犯管理系統（OMS），都無法存取。由於監獄的建築環境中無法使用行動網路，使得IT人員搶修更加困難。</p> <h4><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017e34185d610421"><span style="color: rgb(0, 0, 0);"><strong>對於雙因子驗證機制未落實的網路下單券商，證交所要求限期改善</strong></span></a></h4> <p>針對券商帳號安全問題，臺灣證券交易所在1月7日曾召集各家券商，研議如何強化網路安全資安防護，在1月17日有工商時報等多家媒體報導，指證交所已下令，全體券商必須限期完成旗下全體電子下單客戶的密碼重新設定修改，並以1月21日為最後期限，對於這樣的報導內容，我們連繫到證券交易所券商輔導部，該單位指出，相關報導過於誇大，這次會議後的內容，主要是針對之前實施雙因子驗證機制並不完善的少部分券商，應在1月24日前完成落實，而強制所有客戶更改登入系統密碼的部分，是關於完成雙因子系統修改前的防範措施。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148905"><span style="color: rgb(0, 0, 0);"><strong>微軟防毒軟體驚傳漏洞，可讓惡意程式規避偵測</strong></span></a></h4> <p>微軟防毒軟體Microsoft Defender提供的白名單機制，已有數起攻擊行動濫用，而讓攻擊者的惡意軟體不受檢查。研究人員發現，這個白名單本身存在設計瑕疵，可讓攻擊者規避偵測，且這項漏洞存在於多個版本的Windows。SentinelOne研究人員Antonio Cocomazzi指出，攻擊者只要使用命令提示字元搜尋機碼，就能夠得知Microsoft Defender的例外資料夾，一旦將惡意軟體存放於這些資料夾裡，該防毒軟體就不會進行掃描。這項漏洞影響所有版本的Windows 10和Windows Server 2019，但Windows 11不受影響。</p> <p>針對上述揭露，資安研究員Aura表示，8年前從事技術支援時，他就察覺相關漏洞，而另一名研究人員Paul Bolton去年曾向微軟通報卻未獲得修補。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/17 18:08作者周峻佑https://www.ithome.com.tw/news/148928
遭作者破壞的Faker套件現由8名社群成員出面維護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在之前遭到作者自己破壞的NPM（Node Package Manager）熱門套件Faker，現在有8名工程師合力，在GitHub上創建了一個<a href="https://fakerjs.dev/update.html">官方Faker專案</a>，並且復原了過去的Faker版本，同時制定了接下來的開發計畫。</p> <p>Faker函式庫能夠創建虛假資料，用於應用程式測試、開發使用。新維護者提到，在事件平息之前，他們會先使用官方的名號，並強調，這是一個由社群維護的專案。</p> <p>資安公司Snyk早前發現NPM線上套件庫上兩個熱門套件colors和Faker，遭到惡意破壞，最後發現兇手原來是開發者本人Marak Squires。由於他不滿大部份財星500大企業使用他的專案，但是卻不願支付費用，花費許多心力的開發團隊，都只獲得開源社群和GitHub贊助商支援，因此決定搞破壞。</p> <p>Marak Squires在1月8日的時候發布新版colors，並在裡面加入了無限迴圈程式碼，這些程式碼會在套件程式碼初始化後立即觸發執行，並對任何Node.js<br /> 伺服器產生DoS攻擊。類似的情況發生在Faker套件上，在1月5日Faker位在GitHub的開源儲存庫，收到了一個強制提交，接著Faker的NPM套件版本便被升級成6.6.6版本，這個不包含任何程式碼的空套件，被發布到了公共註冊表上，Marak Squires隨後發表不再免費維護套件的貼文，並且刪除儲存庫。</p> <p>現在出現8名工程師，替Faker套件創建了一個新的GitHub儲存庫，並且釋出了所有之前的Faker版本，同時也創建了推特帳號和文件網站，來與社群互動。新維護者提到，他們想讓Faker套件有一個新開始，甚至可以比以前的更酷。因此還制定了開發路線計畫，包括要支援ESM、與現有Faker生態系維護者互動，甚至要在文件加入互動式環境，以及支援Node 18。</p> <p>由於在Marak Squires刪除自己的版本後，有許多分叉和私人維護的Faker版本出現，目前這個由8名社群成員維護的版本，自稱為官方版本，新維護者解釋，這是避免用戶將這個社群維護的版本，與其他私人版本混淆，他們會在事件平息之後，拿掉官方的字樣，他們也提到，目前看來，這個由社群維護的版本是最穩定的Faker版本。</p> <p>由於Faker專案的捐款是由Open Source Collective代管，新維護者與該組織達成共識，原本的Faker專案維護者Marak Squires等人，可以保有原本帳戶中的1萬多美元捐款，待資金轉移後，新專案會獲得該專案後續的捐款，作為維護專案的費用。</p> </div></div></div>
2022/1/17 15:59作者李建興https://www.ithome.com.tw/news/148924
Netflix調漲北美訂閱費率，漲幅約10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的串流影片服務業者網飛（Netflix），<a href="https://help.netflix.com/en/node/24926/us" target="_blank">在14日調漲了美國與加拿大等北美市場的訂閱費用</a>，把基本（Basic）方案的每月費用從8.99美元漲至9.99美元，標準（Standard）方案從13.99美元漲至15.49美元，高級（Premium）方案則從17.99美元漲至19.99美元，漲幅約莫是11%，且即日起生效。</p> <p>創立於1997年的Netflix由於所提供的內容愈來愈豐富，也逐步調高其每月訂閱費用，最初串流服務的每月訂閱費用為7.99美元，並在2014年分成3種方案，其基本方案一直是7.99美元，一直到2019年調高至8.99美元，再於今年調至9.99美元；標準方案則從2014年的8.99美元、2015年的9.99美元、2019年的12.99美元、2020年的13.99美元，到今年的15.49美元；高級方案在2014年時為11.99美元，但在2019年增加到15.99美元，2020年為17.99美元，最新的價格則為19.99美元。</p> <p>至於臺灣的訂閱費用則尚未更新，目前基本、標準及高級三種方案的月費分別為270元新臺幣、330元新臺幣及390元新臺幣。不過，依照Netflix的政策，調漲臺灣費率可能只是時間的問題。2020年10月Netflix宣布漲價時，臺灣費率依舊維持在149元、198元及240元新臺幣，但也悄悄漲至現在的水平。</p> </div></div></div>
2022/1/17 13:53作者陳曉莉https://www.ithome.com.tw/news/148921
美10州檢察長揭露Google廣告平臺黑箱作業：一面提高廣告價格、一面壓低網站出版商獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年底美國10個州政府控告Google藉廣告平臺獨大地位不當獲利。本周進一步揭露的文件顯示這家搜尋巨人，如何利用資訊不透明手段來賺取暴利及傷害網站出版業者。</p> <p>2020年12月德州為主的美國10州檢察長，<a href="https://www.ithome.com.tw/news/141736" target="_blank">向紐約地方法院對Google提起告訴</a>，指其在廣告領域身兼投手、打擊手及裁判角色，藉此排擠廣告平臺競爭者、偏私自家客戶。當時的文件有大量資訊經過塗黑、刪節。<a href="https://www.ithome.com.tw/news/143796" target="_blank">去年4月華爾街日報取得法院不慎洩露的文件</a>，報導了Google偏袒自家廣告平臺客戶、名為Project Bernanke的計畫。如今<a href="https://www.wsj.com/articles/google-misled-publishers-and-advertisers-unredacted-lawsuit-alleges-11642176036?mod=djemalertNEWS" target="_blank">華爾街日報報導</a>，上周紐約法院法官裁定將這份文件完整版本解封。</p> <p>2020年底由德州檢察官Ken Paxton代表的10州控告Google案指出，Google在廣告價格操弄手法上，一邊抬高廣告價格，使廣告主將成本轉嫁消費者，一面壓低網站出版商收到的廣告獲利。另一方面則限制網站使用的廣告平臺，藉此打壓平臺競爭者。而在一個星期後，<a href="https://www.ithome.com.tw/news/141776" target="_blank">38州聯合美國司法部又對Google搜尋業務提出反托拉斯控訴</a>。</p> <p>文件解封也將Google廣告業務操控市場秩序的手法公諸於世，包括Project Bernanke、預約價最佳化（Reserve Price Optimization）及動態分潤（Dynamic Revenue Share）。其實Project Bernanke有三種版本。版本一是廣告競標的黑箱作業手法。廣告主及網站出版商以為這個競標是採用第二高出價，即次高價投標拍賣（Second-Price Auction），但Google廣告平臺AdX實則剔除了出價第二高的廣告主，而由第三高出價者得標。</p> <p>這麼一來就壓低了出版商網站的廣告獲利。文件指出，吃了暗虧的網站出版商最多短少40%的營收。</p> <p>同時間它又向廣告主收取第二高的價格。Google利用兩面手法的價差獲取的利益，又用來操控平臺上的廣告競標，抬高其廣告客戶的競標價，以贏得原本可能拿不到版位。</p> <p>第二版手法為Global Bernanke。在此手法下，Google可匯集所有小型廣告主的出價金額來拉抬Google Ad（前名為AdWords）廣告主的出價，以贏得可能拿不到的競標版位。</p> <p>第三版本則為Bell，旨在拉攏加入Google AdX生態圈的網站出版商。如果出版商加入Google AdX生態圈，優先播放其廣告並拒絕其他廣告平臺的話，則可以從名為Dynamic Allocation的計畫獲得導流收益。透過這個計畫也能打壓Google競爭廣告平臺對手。</p> <p>但Google發言人對此表示，Project Bernanke目的在「最佳化廣告主投標」，並提升活化競爭。Google也否認有抬高價格及操弄廣告交易平臺的情形。</p> <p>至於預約價最佳化（Reserve Price Optimization），則是Google利用廣告主出價紀錄來設定底價，藉此抬高該廣告主的廣告價。動態分潤（Dynamic Revenue Share）則是先以上帝視角總覽所有投標競爭對手的出價，再據此變更Google廣告交易平臺AdX的收費，以確保Google投標工具可贏得競標。</p> <p>不過Google很早就否認控訴，稱這樁官司充滿訛誤、欠缺法律依據。</p> </div></div></div>
2022/1/17 14:29作者林妍溱https://www.ithome.com.tw/news/148922
不只用微服務架構改造HIS，北榮還用容器平臺部署醫療AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經5年轉換，臺北榮總終於在2020年底從大型主機走向開放式系統，更緊接著朝新一代Web 3.0微服務和雲原生架構邁進，不只用來優化複雜的癌症資訊系統，也在轉換期間，以世界主流的開源容器平臺K8s、Docker等，來以微服務架構打造藥囑系統。他們除了用微服務開發醫療資訊系統（HIS），還將不少醫療AI應用部署在容器平臺上，像是SMART視覺存活分析、內視鏡病理報告、AI自動訓練平臺等。下一步，也計畫採用FHIR國際醫療資料交換標準，來接軌國際。</p> <p><span style="font-size:24px;"><strong>從大型主機走向開放式系統，更進一步擁抱Web 3.0和微服務架構</strong></span></p> <p>北榮的IT系統轉換藍圖可分為3大階段。首先是大型主機時代，從1982年開始啟用IBM大型主機，「畫面就像PTT，是黑白的，」臺北榮總資訊室高級工程師朱原嘉解釋，這臺主機包含了構成IT系統所需的畫面層、邏輯層、資料存取層和資料來源層，好處是不必顧慮程式是否同步，直接按照排程處理即可。</p> <p>但這套大型主機系統最讓北榮頭痛的是「畫面不好看、維護成本高，」朱原嘉表示，除了黑白畫面屢遭使用者批評外，大型主機採用老舊的PL1程式語言，現在不只人才難尋，各自獨立運作的程式彼此無法共用，難以應付現今快速變化的IT環境。</p> <p>因此，北榮在2016年展開HIS再造，將大型主機轉換為Web 2.0的開放式系統架構，進入IT系統轉換藍圖的第2階段。過程中，北榮先盤點應用系統，利用虛擬機器（VM）來執行這100、200個系統，界定各自的服務範圍。同時，北榮也重寫了資料庫的預存程序（Stored procedure），是這次系統轉換時最費功夫的地方。</p> <p>就架構來說，北榮前端採用Ajax網頁開發技術，提高使用者不中斷的體驗，後端則採用J2EE架構來開發，並以JSON格式檔案來與預存程序溝通。網頁畫面層、邏輯層和資料存取層都在前後端執行，而預存程序則包含了邏輯層、資料存取層和資料來源層。</p> <p>不過，在北榮Web 2.0階段，雖然做到了各程式間可以共用，但仍沒有一套標準的存取介面。</p> <p>後來，北榮更進一步擁抱最新的Web 3.0技術（也就是WebApp），進入IT系統轉換藍圖的第3階段。這時，前後端仍採用Ajax和J2EE，但改用API來介接Redis資料庫、Docker容器平臺和專門處理高負載量的程式代理HAProxy等所需的資源，將畫面層、邏輯層置於此處，而原本的資料存取層則以Restful網頁服務來執行，資料來源層則改為開放式資料庫（檔案格式包括XML、JSON）。</p> <p>到了這個階段，程式不僅可共用，也有了標準存取介面，且程式不必直接存取資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cover(1).jpg" /></p> <p><span style="font-size:24px;"><strong>Web 3.0練兵：藥囑系統</strong></span></p> <p>而藥囑系統，就是北榮用Web 3.0技術發展最成熟的系統。這個系統非常複雜，牽涉到數十個步驟流程，為了能以微服務架構開發，北榮IT團隊也重新梳理了作業流程，分為4大步驟。</p> <p>首先是醫師開藥，其中又可分為綜合處方、全靜脈營養（TPN）注射、緊急治療、化療等類別，最花時間開發的就是綜合處方，共有100項程式，如醫師授權、欄位檢核、缺藥停用警示等。</p> <p>流程第2步則是藥師確認，其中包含的藥物自動配方機、表單列印、藥袋列印和庫存管理等程式，都部署在Docker容器上來處理。第3步是護理簽收，掃過藥袋條碼才能進行計價，並進入第4步的病人取藥。在這最後一步，則包含了帳務計算、電子簽章和統計報表這3類子步驟。</p> <p><strong><span style="font-size:24px;">不只改善畫面，還能記憶關鍵訊息、自動帶入</span></strong></p> <p>利用新架構開發的藥囑系統，不只在畫面上一改黑白作風，以網頁式的彩色頁面和清楚欄位來呈現，系統還能記憶關鍵訊息，並在搜尋欄位自動跳出相關訊息，「有如Google搜尋的自動完成功能！」朱原嘉形容。</p> <p>舉例來說，當使用者在藥囑系統輸入藥名，只輸入NS時，搜尋欄位就會自動跳出與NS相關的藥物，甚至是藥名包含NS的缺藥訊息，方便使用者選擇，進一步查詢資訊。</p> <p>另一個最有感的差異，則是批次檢核。檢核是查看藥物開給是否正確，像是藥物名稱、劑量、單位、途徑等細節，而舊系統進行檢核時，只能逐一進行，但新系統能讓使用者批次檢核，不必一項一項檢核之外，還會自動以紅框標註有問題之處，來提醒醫師。</p> <p>就藥袋列印來說，部署在Docker容器中執行的新系統，不只能應付毫秒級的大量請求，還能儲存列印資訊，方便補印。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%A5%E7%89%A9%E6%90%9C%E5%B0%8B.jpg" /></p> <p><span style="font-size:24px;"><strong>除了用來開發HIS，還用容器平臺來部署醫療AI</strong></span></p> <p>北榮不少智慧醫療應用，也以當紅的開源容器管理平臺K8s、Docker來部署。比如，團隊用程式語言R開發一套存活分析線上平臺，也靠Docker容器來執行，使用者可以透過Shiny Proxy登入、上傳資料後，自動執行資料預處理、存活分析和機器學習模型運算等工作，最後產出報表給使用者參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AD%98%E6%B4%BB%E5%88%86%E6%9E%90.jpg" /></p> <p>另一個例子則是大腸內視鏡AI報告。北榮利用Docker部署ElasticSearch叢集，透過Logstash管道讀取csv格式檔的病理報告或內視鏡報告，將資料寫入叢集。當使用者透過Kibana這個視覺化工具查詢時，系統就會讀取ElasticSearch叢集資料，來產出視覺化的報表，像是在大腸鏡畫面上顯示大腸息肉、癌症病灶位置等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E8%A6%96%E9%8F%A1.jpg" /></p> <p>不只如此，北榮還用K8s來部署IBM模型周期自動化管理平臺AutoAI，成為北榮內部的AI訓練平臺。這個AutoAI能自動進行資料預處理、特徵工程、選擇模型並比較模型表現，省下大量人力與調參數的時間。北榮也實際利用這個平臺，來找出聽力治療後恢復的重要因子。</p> <p>除了IT系統現代化，朱原嘉透露，北榮IT團隊也在去年實作了FHIR疫苗通行證，更要將這個FHIR練兵經驗，進一步擴大到更多醫療應用上。因為，他們看見，全美超過80%的健康照護機構和廠商，都支援FHIR來跨機構互通醫療資料，而且，iPhone也採用FHIR來讓使用者與美國數百家醫療集團互通健康資料，個人還能授權第三方服務單位存取資料。北榮認為，FHIR將成下一代健康照護與AI的關鍵，得即時跟上。</p> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <h3><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);">醫療系統有多複雜？光癌症資訊系統就牽連數十個流程</span></strong></h3> </td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);">朱原嘉以參與開發數十年的癌症資訊系統為例，來說明單一醫療系統與HIS串接的複雜度。癌症資訊系統「就像IBM的AI癌症治療輔助系統（Watson for Oncology），」他比喻，這套系統可輔助醫生問診、管理治療策略和掌握病患狀態，但在北榮，癌症資訊系統不只服務醫生。</span></p> <p><span style="color: rgb(105, 105, 105);">「我們有超多公公、</span><span style="color: rgb(105, 105, 105);">婆婆！」他解釋，這套系統有許多不同類型的服務對象，像是負責病人清單的個管師，以及臨床部內外科、放射科，另外也給提供資料給癌症委員會參考，供他們研議改善策略，甚至還有營養師、癌登師等成員，需利用系統資訊來研討個案最佳處置方式。</span></p> <p><span style="color: rgb(105, 105, 105);">在這過程中，癌症資訊系統也得與不同HIS系統串接，比如掛號系統、門診系統、住院系統和癌症治療系統，甚至是會議系統。進一步拆解癌症資訊系統，可分為3大部分，首先是最底層的基礎架構層（如核心資訊系統如HIS、NIS、LIS、行政管理系統等）、中間的平臺服務層（如身份認證平臺、資料服務交換平臺、網站平臺、跨系統服務平臺），以及最上層的應用服務層，包含癌症診斷、新病症登錄、癌症治療規畫書、癌症病歷審核功能、癌症多專科會議等子系統。</span></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%8C%E7%97%87%E8%B3%87%E8%A8%8A.jpg" /></span></p> <p><span style="color: rgb(105, 105, 105);">為了串聯這些系統，北榮還自建了待辦事項（To do list）工具，就像是會議記錄般，來銜接不同系統的工作。</span></p> <p><span style="color: rgb(105, 105, 105);">這麼複雜的系統，北榮有套作法來解決共容性問題。他們將系統層重新劃分，特別設置共用元件基礎架構，將不同系統間的通用元件，如認證授權、快取處理、安控、資料處理等抽取出來，成為獨立的共用元件架構，如此一來，與其他系統串接時，就不必再各自打造這些元件。</span></p> <p><span style="color: rgb(105, 105, 105);">再來就是應用系統基礎架構層，包含了各應用系統共用的檢核邏輯模組，以及流程模組和與外部系統介接的模組。而與上一層的使用者介面間，就由應用系統服務介面（Restful service）來串聯。</span></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B3%BB%E7%B5%B1%E5%85%B1%E5%AE%B9.jpg" /></span></p> <p><span style="color: rgb(105, 105, 105);">透過這種共用元件、Web化的服務設計，就讓癌症資訊系統架構更靈活。舉例來說，以新架構開發的資料品管功能來說，系統設置不同顏色的燈號，來標註病人的來處（如門診、急診、住院等），一改過去未分類的作業方式。系統除了能自動登錄病人資訊，還能快速查找病人位置，把原本個管師需人工查找的30分鐘縮短為立即就能完成。又或是，該系統能自動將癌症病人資料自動歸戶至電子病歷系統，將過去需要手動歸戶的20至40分鐘，縮短為0分鐘。</span></p> <p><span style="color: rgb(105, 105, 105);">在改善過程中，他們還建立了一套代辦事項平臺，用來管控、追蹤流程，比如提醒醫師治療計畫書還沒撰寫，用這個方式取代原本的紙本作業。甚至，IT團隊還打造了病歷審查服務，將癌症病人以清單式歸類，不只改善病歷品質，也實現醫護間的資料共享。</span></p> </td> </tr></tbody></table><p> </p> </div></div></div>
2022/1/17 04:11作者王若樸https://www.ithome.com.tw/news/148903
俄羅斯逮捕14名REvil駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.fsb.ru/fsb/press/message/single.htm%21id%3D10439388%40fsbMessage.html" target="_blank">俄羅斯聯邦安全局（FSB）在14日宣布</a>，在美國的呼籲下，已搜查並逮捕了14名參與REvil勒索軟體集團的駭客。</p> <p>來自俄羅斯的REvil駭客集團現身於2019年，攻擊與勒索對象都是知名人物或上市企業，包括在2021年3月攻擊宏碁、4月攻擊廣達、5月攻擊全球最大肉品業者JBS美國子公司JBS USA、6月攻擊美國再生能源業者Invenergy，還涉及7月的Kaseya攻擊行動，REvil的行動驚動了白宮，也促使美國總統拜登（Joe Biden）在去年6月與俄羅斯總統普丁（Vladimir Putin）共同設立針對勒索軟體的專家小組，並要求俄羅斯不要包庇境內的駭客。</p> <p>FSB表示，他們是在美國主管機關的呼籲下，與俄羅斯內政部共同展開REvil駭客的掃盪行動，總計搜查了14名REvil成員的25個住處，扣押了包含加密貨幣在內、價值逾4.26億盧布（約550萬美元）的款項，以及60萬美元與50萬歐元的現金，再加上電腦設備、加密貨幣錢包與20輛名貴汽車。</p> <p>雖然FSB宣稱這群犯罪集團成員打造了惡意軟體以竊取外國人的資金，但起訴他們的理由僅為支付工具的非法流通。<a href="https://tass.com/society/1388613" target="_blank">根據俄羅斯通訊社《TASS）的報導</a>，目前只有8名REvil成員真正遭到起訴，此一罪名最高可判罰7年的有期徒刑與100萬盧布（1.3萬美元）的罰金。</p> </div></div></div>
2022/1/17 13:33作者陳曉莉https://www.ithome.com.tw/news/148920
微軟揭露攻擊烏克蘭的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/" target="_blank">微軟在13日察覺</a>有駭客針對烏克蘭展開大規模的網路攻擊，分析後將攻擊所使用的惡意程式稱為WhisperGate，並說攻擊行動中雖然出現勒索信件，卻只是掩人耳目，因為它實際上破壞的是電腦主開機紀錄（Master Boot Record，MBR）與特定檔案的內容。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MTIC）把這次的攻擊行動命名為DEV-0586，並未發現這次的攻擊行動與已知的駭客集團有關，也無從評估駭客的意圖。不過，此一攻擊至少擴及烏克蘭的數十個系統，涵蓋政府機構、非營利組織及資訊科技組織，迄今尚無法確定實際的損害規模。</p> <p>根據MTIC針對此一網路攻擊行動的分析，駭客的第一步是竄改MBR並顯示假的勒索信件，有多個跡象顯示駭客並未真正植入勒索軟體，例如它僅竄改MBR但並未具備復原機制；或者是在勒索信中罕見地公布了贖金金額與加密貨幣電子錢包位址；以及它僅提供了一個Tox ID作為聯繫窗口，一般而言，駭客為了方便與受害者交流，都會設立一個支援論壇或是提供電子郵件帳號；再加上駭客並未於勒索信中建立客戶ID，代表駭客根本無從得知要以哪個解密金鑰替受害者解鎖。</p> <p>第二步則是下載了可用來破壞檔案的惡意程式，執行後它會變更特定檔案的副檔名，並覆蓋相關檔案的內容，再變更其檔案名稱。</p> <p>目前微軟已於Microsoft Defender Antivirus及Microsoft Defender for Endpoint中添增了對WhisperGate的偵測與防堵能力，同時公布了WhisperGate的危害指標供外界參考。</p> </div></div></div>
2022/1/17 11:40作者陳曉莉https://www.ithome.com.tw/news/148914
Microsoft Defender漏洞讓惡意程式得以躲避偵測，至少存在1年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">安全研究人員發現</a>微軟Microsoft Defender存在一項漏洞，能讓攻擊者用來躲避偵測植入惡意程式。安全研究人員相信這漏洞至少去年，甚至8年前就存在。</p> <p>日前才<a href="https://www.ithome.com.tw/news/148858" target="_blank">揭露USB over IP軟體漏洞</a>的SentinelOne研究人員Antonio Cocomazzi，上周再揭露存在Defender防毒產品的漏洞。這是因為防毒產品掃瞄會造成系統效能下降、<a href="https://www.ithome.com.tw/news/148112" target="_blank">有時還會誤判</a>而造成運作失常，因此和所有其他防毒軟體一樣，Defender也讓用戶設定系統上的例外位置，使防毒掃瞄略過那些區域。只要找到記錄這些例外位置的清單，攻擊者就能將惡意程式儲存在那些區域，而不會被防毒軟體偵測到。</p> <p>這就是Defender的漏洞所在。Cocomazzi發現只要在Windows搜尋列中搜尋「HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions」及「HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions」可以找到用戶對Defender設定的例外清單，即使是一般權限用戶也可透過GUI工具找到。此外，在PowerShell cmdlet指令中執行GetMpPreference，也可以存取到這資訊，不過這需要具有管理員權限。</p> <p class="rtecenter"><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-defender-600.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">圖片來源_Antonio Cocomazzi</a></p> <p>Cocomazzi指出，這項存取控制清單（access control list，ACL）組態存誤漏洞，影響所有版本Windows 10及Windows Server 2019，但不影響Windows 11。研究人員Nathan McNulty證實至少在去年釋出的Windows 21H1及21H2，已經存在這漏洞。</p> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">代號SecurityAura的研究人員相信</a>這漏洞至少已經存在8年。<a href="https://twitter.com/overtsecrecy/status/1389985295618215938" target="_blank">Paul Bolton去年5月</a>曾向微軟安全研究中心通報這問題，但後者僅視為產品建議而未有動作。</p> <p><a href="https://twitter.com/NathanMcNulty/status/1481137548210556929" target="_blank">McNulty指出</a>PowerShell上很早以前即已限制存取權限，但GUI上的漏洞卻未曾解決。他還說，不記得微軟何時曾經強化過登錄檔（registry）的安全性。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-weakness-lets-hackers-bypass-malware-detection/amp/" target="_blank">媒體測試</a>將勒索軟體樣本儲存在Defender例外清單的資料夾中，Defender果真不會顯示出任何可疑程式的警告。</p> <p>微軟官方目前尚未做出說明。</p> </div></div></div>
2022/1/17 10:10作者林妍溱https://www.ithome.com.tw/news/148905
Meta遭控告濫用4,400萬英國用戶個資，應賠償23億英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theguardian.com/technology/2022/jan/14/meta-sued-for-23bn-over-claim-facebook-users-in-uk-were-exploited" target="_blank">英國衛報</a>、<a href="https://www.bbc.com/news/technology-59964654" target="_blank">BBC</a>報導，Meta（前臉書）上周遭控告以免費使用換取民眾寶貴個資，應為這種剝削行為賠償英國用戶23億英鎊。</p> <p>英國一家消費者權益監督機構顧問Liz Lovdahl Gormsen上周向英國競爭上述審裁處（Competition Appeal Tribunal）控告Meta在2015到2019年間，剝削4,400萬英國臉書服務的用戶，應該對每位英國用戶提供賠償。</p> <p>Gormsen指稱Meta的營運模式，涉及了英國《1998年競爭法》中「不公平定價」（unfair price）行為。她指出，Meta/臉書表面上讓英國用戶免費使用其平臺，實則是有代價的，其代價為取得用戶的個資，並利用這些個資產出鉅大營收。</p> <p>她表示，用戶提供寶貴的個資讓Meta獲得數十億美元利益，卻只換來免費使用平臺的服務，一毛錢也沒拿到，Meta和用戶之間根本存在極大比例的不平等。</p> <p>她要求Meta/臉書為這種不公平定價的剝削行為做出賠償，且英國4,400萬臉書用戶都應該被有權包含在這樁官司中，除了少數選擇退出（opt out）的用戶外。</p> <p>但<a href="https://www.theguardian.com/technology/2022/jan/14/meta-sued-for-23bn-over-claim-facebook-users-in-uk-were-exploited" target="_blank">Meta向媒體表示</a>，Meta平臺免費提供用戶服務，他們使用Meta是因為服務有其價值，而且用戶也有很大權利控制在Meta平臺上分享什麼資訊及分享給何人。Meta也為開發這類工具投資很高成本。</p> <p>英國政府在2018年，也曾因劍橋分析（Cambridge Analytica）洩露8,700萬臉書用戶個資事件、波及100萬名英國用戶，<a href="https://www.theguardian.com/technology/2018/oct/25/facebook-fined-uk-privacy-access-user-data-cambridge-analytica" target="_blank">判罰當時的臉書50萬英鎊</a>。</p> <p>不過2018年一樁代表英國數百萬用戶以追蹤用戶為由，向Google求償的集體控訴，最後<a href="https://www.bbc.com/news/technology-59221037" target="_blank">遭英國最高法院駁回</a>。</p> </div></div></div>
2022/1/17 10:28作者林妍溱https://www.ithome.com.tw/news/148906
英特爾投入開發新一代伺服器浸沒式冷卻技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/beverlyhillschamber/20220112005393/en" target="_blank">英特爾上周宣布</a>將投入開發新一代伺服器浸沒式冷卻技術。</p> <p>為因應諸如人工智慧等愈來愈耗費運算資源的任務，現今伺服器管理員無不希望能在愈來愈小的機器中，同時擴增運算能力及提升用電效率。過去主流的氣冷式技術不但耗電、且需要較大的伺服器空間設計，相較之下，浸沒式液冷式技術方案具有更好的熱傳導率，具有可支援高密集性機櫃及冷卻效率等優點。</p> <p>在英特爾與冷卻方案的Green Revolution Cooling（GRC）公司上周簽定一項多年合作協議中，雙方將設計新一代浸沒式冷卻技術，同時最佳化採用英特爾Xeon Scalable處理器的系統效能。雙方也將和資料中心客戶合作測試這項技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-GRC-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／GRC</span></p> <p>這是自2018年英特爾和<a href="https://wccftech.com/intel-pushes-for-liquid-immersion-cooling-in-their-datacenter-plans/" target="_blank">Submer公司</a>的合作後，第二樁發展浸沒式液冷技術的合作。</p> <p>英特爾和GRC合作將為搭載Xeon Scalable 處理器的資料中心機櫃式伺服器，設計客製的浸沒冷卻方案，以及建立相關認證方案，確保任何同類型機器使用的冷卻液體相容且可安全使用。</p> <p>英特爾院士Mohan Kumar指出，這項合作可讓客戶滿足高運算及冷卻需求，使資料中心以更環保的方式運作。</p> <p>根據<a href="https://wccftech.com/intel-pushes-for-liquid-immersion-cooling-in-their-datacenter-plans/" target="_blank">Wccftech報導</a>，英特爾和兩家浸沒式冷卻方案業者的合作，不僅可加速新式冷卻技術在高運算資料中心的普及，英特爾也會確保搭載Xeon處理器及Xe-HPC加速器的伺服器量產時的硬體供應。</p> </div></div></div>
2022/1/17 10:52作者林妍溱https://www.ithome.com.tw/news/148907
烏克蘭遭大規模網路攻擊，數十個政府網站被迫關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭在上周三（1/13）開始遭到大規模的網路攻擊，駭客入侵眾多政府網站並竄改網頁，使得烏克蘭緊急關閉這些政府網站，<a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/" target="_blank">《Bleeping Computer》表示</a>至少有15個烏克蘭公共組織的網站被駭，而<a href="https://www.bloomberg.com/news/articles/2022-01-14/several-ukraine-ministry-websites-struck-by-likely-cyberattack" target="_blank">《彭博社》（Bloomberg）</a>則說遭駭的政府網站達70個，包括教育部及外交部等。而不管烏克蘭或外界都懷疑此一攻擊行動與俄羅斯政府有關。</p> <p>近來俄羅斯與烏克蘭的關係惡化，最近幾周俄羅斯還在雙方邊界部署了坦克車、砲兵與10萬名士兵，益發使得烏克蘭向美國與歐洲靠攏。</p> <p>駭客在所入侵的烏克蘭政府網站上以烏克蘭語、俄語及波蘭文張貼了訊息，指出烏克蘭民眾的所有個人資料都已經被移除，無法再復原，且所有的個資都會被公諸於世，民眾應該要感到害怕，並期待最壞的狀況。</p> <p>然而，負責烏克蘭通訊及資訊保護的政府官員Viktor Zhora向《彭博社》表示，受駭網站的內容並未被危害，亦無外洩重要資料。</p> <p>根據<a href="https://www.reuters.com/world/europe/exclusive-ukraine-suspects-group-linked-belarus-intelligence-over-cyberattack-2022-01-15/" target="_blank">《路透社》</a>報導，烏克蘭認為執行該攻擊的是由白俄羅斯政府所操縱的UNC1151駭客集團，但背後真正的主使者卻是與白俄羅斯擁有親密戰友關係的俄羅斯。</p> <p>當多數人都把矛頭指向俄羅斯時，該國則說這是毫無根據的指控。</p> </div></div></div>
2022/1/17 11:15作者陳曉莉https://www.ithome.com.tw/news/148908
互動開發環境IPython清掃老舊程式碼發布最新8.0版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jupyter發布IPython 7.0已經是3年前的事，官方現在終於推出<a href="https://blog.jupyter.org/release-of-ipython-8-0-6e034ff122ef">8.0版本</a>，這個版本改進現有的程式碼庫中數個功能，包括可在CLI中使用Black重新格式化程式碼、Ghost建議，以及能夠突出顯示錯誤節點的追蹤（Traceback），該功能使得複雜的表示式更容易除錯。</p> <p>IPython是一個強大的互動式直譯器，在純Python腳本上，提供Tab鍵完成、更好的追蹤以及多行編輯等功能。</p> <p>除了更新功能，官方提到，其實這個版本大部分的改變，都在於刪除該拋棄的程式碼。IPython是在20幾年前，由Fernando Pérez在大學延畢時開發的，20幾年來，IPython中留有許多老舊不適用的程式碼，而官方認為在增加主要版本號的現在，正是刪除這些程式碼的時機。</p> <p>IPython 8.0刪除了大量以棄用，或是未被使用的程式碼，並放棄老舊且未受持續維護的相依項目，像是IPython已經移除Nose改使用pytest。官方擴大IPython的程式碼覆蓋率，透過增加軟體測試的比例，來提升IPython的穩定性和安全性。</p> <p>另外，IPython 8.0還刪除了大部分在IPython 1.0和5.0之間，已經被標記為棄用的函式和參數，並且根據NEP 29，將Python版本最低需求提高到3.8，官方提到，這項改進使得IPython能夠同步使用Python的原生功能，而不需要不停地進行額外修改。</p> <p>整體來說，在新版本中，即便進行許多更新，程式碼庫也從原本的348個檔案37,500行程式碼，下降到了294個檔案36,100行程式碼，官方希望IPython瘦身後，能夠加速CLI啟動，使IPython更易於使用。</p> <p>IPython的建置程序也有更新，現在使用pyproject.toml來宣告建置，但目前仍然會需要setuptools模組和setup.py檔案，但官方正努力簡化這個過程，以及刪除不需要的配置。用戶現在可以使用python -m build指令來建置IPython Wheels和sdist。</p> <p>官方依據NEP 29，會繼續在每個月最後一個星期五，發布小版本更新。儘管IPython 8.0已經發布，但是官方仍然會提供7.x版本重要錯誤的更新，只是現在同時還會看到8.x穩定版本更新。</p> </div></div></div>
2022/1/17 09:42作者李建興https://www.ithome.com.tw/news/148896
Flink ML 2.0改進演算法可用性，還新增Python支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Flink社群發布機器學習函式庫<a href="https://flink.apache.org/news/2022/01/07/release-ml-2.0.0.html">Flink ML 2.0.0</a>，在這個新版本中，開發團隊重構Flink ML早期的函式庫，擴展Flink ML API並更新Runtime主要功能，像是開始支援多輸入和多輸出，和新增串流批次統一函式庫等，另外，這個版本還添加了5個演算法實作。</p> <p>Flink ML是Apache Flink串流處理框架的一部分，提供機器學習API和基礎設施函式庫，能夠簡化機器學習工作管線建置工作。</p> <p>Flink ML和基於Flink的機器學習演算法平臺Alink開發人員合作，一起重新設計API，來提供高效能演算法，現在官方開始在Flink ML添加演算法，目前這個版本官方已經實作了5種演算法，包括對數機率迴歸、k-means、K-近鄰演算法、單純貝氏分類器以及One-hot編碼器，除了加入新的演算法外，官方也會持續進行壓力測試和最佳化，確保演算法的效能。</p> <p>由於機器學習工作流程的各階段，可能需要多個輸入，並回傳多個輸出，例如圖嵌入演算法需要讀取兩個表格，分別獲取圖的邊和節點資料，又或是工作流程可能有一個階段，需要將輸入資料集拆分成為兩個資料集，分別用於訓練和測試。</p> <p>而在Flink ML 2.0.0中，演算法開發人員可以使用多輸入和多輸出功能，將機器學習工作流程，組裝成為預定義階段的有向無環圖（DAG），並可以在不清楚細節的情況下，配置和部署該工作流程，而這大幅擴展了Flink ML的可用性和應用性。</p> <p>Flink ML新版本更好地支援線上學習，使用公開模型資料的API，官方解釋，在原生的線上學習場景中，用戶可能擁有一個長期執行的工作，不斷地處理訓練資料，並更新機器學習模型，用戶能夠在網頁伺服器上，部署多個工作來進行線上推理，而這需要將最新的資料，以接近即時的延遲，從訓練工作傳輸到推理工作。</p> <p>但問題是，傳統的Estimator/Transformer範式，並不提供API以串流的方式暴露模型資料，因此用戶就許要反覆呼叫fit()來更新模型資料，官方表示，用戶雖然可以每隔數分鐘更新一次模型資料，但是這種方法效率非常差。而新版本中提供了getModelData() API，供用戶將資料模型即時傳輸到網頁伺服器，並使用最新的模型資料進行線上推理，這項功能可以明顯強化Flink ML的線上學習應用能力。</p> <p>另外，Flink ML 2.0.0還加入了串流批次統一迭代函式庫，官方表示，為了支援訓練機器學習演算法，並根據預測結果，動態調整模型參數，需要原生支援迭代資料處理，但Flink是使用DAG來描述流程邏輯，因此需要在Flink之上，單獨提供迭代函式庫，而且Flink要能支援離線訓練和線上訓練，迭代函式庫還要同時支援串流和批次處理用例。</p> <p>因此在這個新版本中，官方實作串流批次統一迭代函式庫，提供將紀錄回傳給優先運算子，並在迭代中追蹤進度的功能。用戶可以使用DataStream API和Table API來表達迭代內部的執行邏輯。</p> <p>由於Python廣受歡迎，許多機器學習開發者，已經習慣使用Python開發機器學習工作流程，因此Flink ML現在還提供Python套件，來滿足Python開發者的需求，接下來官方還會強化Python套件，增加與Java函式庫的互通性。</p> </div></div></div>
2022/1/17 09:45作者李建興https://www.ithome.com.tw/news/148898
後疫時代下的疫苗與口罩
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月開始，因為傳染力更強的Omicron變種病毒來襲，再加上先前傳染力也相當強的Delta變種病毒仍在散播，不只全球COVID-19疫情在2021年12月再度拉警報，連臺灣也是，顯然2022疫情仍不容各界太過樂觀，因此，這樣的「變」可能是我們短期之內必須接受的「不變」。</p> <p>然而，臺灣經歷將近半年的軟性自主隔離與封鎖，我們準備好重新迎接下一次類似的狀況嗎？尤其是好不容易挺過上一波長期警戒的企業、商家、個人，若認為先前因應方式做得不夠完備，現在更應加緊改善腳步。</p> <p>就防疫方式而言，在這個過程中，其實民眾的認知已進步不少，雖然先前疫情趨緩之後，許多人開始鬆懈，但至少對於如何做好防疫，已有了清楚認識，不至於無所適從。</p> <p>還記得2021年5月底進入三級警戒，全國開始積極推動疫苗施打，7月網路瘋傳打完疫苗之後，會有吸附金屬器具的超能力，現在大家可能一笑置之，覺得荒謬，但當時傳言講得煞有其事，不少媒體也當做奇聞或趣聞大肆報導，並未發揮公器的力量去制止這樣缺乏實證的消息散播，徒增公衛、醫護人員溝通相關訊息的負擔。</p> <p>國產高端疫苗（Medigen）先前的爭議，如今看來也是很荒唐。</p> <p>在2021年7月中，這款疫苗通過食品藥物管理署的緊急使用許可（EUA）審查，當時有不少人質疑程序，甚至有政客控告政府首長犯了「圖利罪」，有許多民眾也對國產疫苗沒信心，而影響其他人的施打意願。不過，後來陸續傳出多個國家認可高端疫苗，例如，7月有帛琉，9月有印尼，10月有紐西蘭，11月有貝里斯，今年1月則是泰國，澳洲很有可能會是下一個，因為目前正在該國申請疫苗緊急許可。此外，世界衛生組織（WHO）也在去年10月底，將高端列入候選疫苗──他們宣布啟動「團體試驗疫苗（Solidarity Trial Vaccines）計畫」，美國的Inovio Pharmaceuticals與臺灣高端疫苗均列入該計畫的候選疫苗。</p> <p>到了最近，臺灣在這波鼓勵民眾追加劑的施打浪潮中，不少地方政府設立的大型接種站提供莫德納疫苗，但也出現不少人反映想要施打高端疫苗，雖然必須自行尋找衛生所與診所，但顯然支持者也比先前增加一些。</p> <p>關於防疫，另一個在疫苗施打前也曾受到大家關注的醫療物資，就是口罩。在2020年，因為許多廠商的通力合作，使得臺灣民眾這兩年以來都能夠順利取得口罩，不過，隨著Omicron席捲全球，造成確診人數大爆發，1月中出現應戴N95口罩的傳聞，這源於許多外電的報導，他們表示，為了對抗病毒快速傳播，美國疾病管制暨預防中心（CDC）打算建議新做法：配戴N95或KN95口罩，這勢必又要引發一番搶購潮與論戰。然而，身為全球防疫模範生的臺灣，過去在政府不斷溝通相關防護措施之下，大部分民眾都應該了解到口罩當然很重要，但並不是唯一要仰賴的方式，也必須要搭配勤洗手、保持社交距離，以及落實簡訊實聯制，以協助疫情調查、追蹤與匡列可能感染者，當然還有施打疫苗。</p> <p>關於疫苗、口罩，以及各種強化防疫成效的手段，若從資安防護角度來反思，多數的IT人員應該可以明白每個環節都很重要，而不是妄想只用其中一種就能高枕無憂。</p> <p>這就如同單靠防毒軟體、防火牆，以及兩者相加，都無法百分之百杜絕各種資安威脅的侵入，因此，我們需要從端點、網路、伺服器、應用程式、電子郵件、雲端服務等多種層面，具備足夠的偵測與反制能力，以因應惡意軟體與非法存取活動的侵犯，同時，對於系統與網路端的各種活動，也必須清清楚楚掌握，讓那些仍能趁虛而入的資安威脅，就算想要暗中發動相關的攻擊，必須攤在陽光底下進行，以便作為防守端的企業能夠更妥善地主動因應，而非等到系統與服務遭到癱瘓、破壞，客戶資料與智慧財產等機敏資料外流到暗網拍賣，才意識到自己被「駭」了。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E7%96%AB%E8%8B%97">疫苗</a></div><div class="field-item even"><a href="/tags/%E5%8F%A3%E7%BD%A9">口罩</a></div></div></div>
2022/1/17 07:00作者李宗翰https://www.ithome.com.tw/voice/148899
【資安週報】2022年1月10日至14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自12月初延燒至今的Log4Shell漏洞，上週才有資安業者警告災情還會再擴大，本週就有數起攻擊事故。不只有知名企業表明因漏洞受到攻擊而資料外洩，更值得留意的是，隨著Omicron疫情升溫，許多企業可能又要求員工遠端工作（WFH），近期有數起Log4Shell的攻擊行動是針對遠端工作系統VMware Horizon而來。顯然，採用這類系統的組織，已成為許多駭客的頭號攻擊目標。</p> <p>但不只有上述應用系統會成為攻擊者下手的目標，也有駭客是將Log4Shell漏洞視為初期入侵的管道，以便發動進一步的攻擊行動。例如，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）就是利用這項漏洞，結合自己的作案工具，來加快攻擊的腳步。</p> <p>對比Log4Shell造成的影響範圍如此廣泛，普遍於許多企業運用的維護日誌記錄框架Log4j，卻是仰賴無償付出的志工維護，鮮少有企業回饋相關開源社群。在美國喊出開源軟體安全是國家安全議題，他們特別召集大型IT業者，來尋求解決之道。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://therecord.media/uk-nhs-threat-actor-targets-vmware-horizon-servers-using-log4shell-exploits/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Log4Shell漏洞，鎖定尚未修補的遠端工作平臺VMware Horizon下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/attacker-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attacker-diagram.png" style="width: 300px; float: right;" /></a>英國衛生服務部（NHS）提出警告，表明他們偵測到一起鎖定Log4Shell漏洞的攻擊行動，攻擊者鎖定尚未修補的遠端工作平臺VMware Horizon而來，向這些伺服器發送JDNI請求，使其通過LDAP連接到惡意網域，下載PowerShell指令碼安裝Web Shell，並注入於VM Blast Secure Gateway服務當中，以做為接下來攻擊行動的後門。NHS表示這個後門可被用於植入惡意軟體、資料外洩，甚至是進行勒索軟體攻擊。而這是繼去年12月勒索軟體駭客Conti、中國駭客組織Aquatic Panda的攻擊事故後，第3波鎖定VMware Horizon而來的Log4Shell漏洞攻擊行動。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/night-sky-ransomware-uses-log4j-bug-to-hack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Night Sky透過Log4Shell漏洞，鎖定VMware遠端工作平臺發動攻擊</strong></span></a></h4> <p>又是利用Log4Shell漏洞、針對遠端工作平臺VMware Horizon下手的攻擊事故。微軟於1月10日發布警告，中國駭客組織DEV-0401在1月4日發動相關攻擊，進而在受害組織部署勒索軟體Night Sky。這個勒索軟體最早約於2021年12月出現，根據捷克研究人員Jiří Vinopal比對，Night Sky為勒索軟體Rook改造而成。值得留意的是，DEV-0401在發動攻擊的過程裡，所連線的C2中繼站，架設於看似趨勢科技、Sophos、Nvidia等IT業者所屬的冒牌網域，而可能騙過不少網路防護系統。</p> <h4><a href="https://www.channelnewsasia.com/singapore/clarins-data-security-incident-singapore-customers-personal-information-log4j-software-vulnerability-2428066"><span style="color: rgb(0, 0, 0);"><strong>化妝品業者克蘭詩遭到Log4Shell漏洞攻擊，客戶資料恐外洩</strong></span></a></h4> <p>根據新加坡媒體CNA的報導，法國知名化妝品品牌克蘭詩（Clarins）在網站上發布公告，表示該公司出現資料外洩事件，且可能涉及新加坡客戶的個資，包含姓名、地址、電子郵件，以及客戶忠誠度資料等，但不包含密碼、信用卡資料。該公司指出，這次事件疑似與他們在系統中廣泛使用的Log4j有關，儘管在Log4Shell修補程式推出後的數個小時就予以修補，但他們還是在漏洞細節公布後遭到攻擊。</p> <h4><strong><a href="https://research.checkpoint.com/2022/apt35-exploits-log4j-vulnerability-to-distribute-new-modular-powershell-toolkit/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織利用Log4Shell漏洞，在受害組織植入PowerShell攻擊工具，以進行後續攻擊行動</span></a></strong></h4> <p>廣泛存在於眾多系統的Log4Shell漏洞，已成為許多攻擊者入侵受害組織的管道。在Log4Shell漏洞細節公開數日後，資安業者Check Point發現，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）掃描存在相關漏洞的應用系統並入侵，然後從AWS S3儲存桶裡，下載名為CharmPower的PowerShell後門程式。該後門程式可用來檢查網際網路連線狀態、枚舉受害電腦的組態，然後從C2中繼站下載其他功能模組，以執行後續攻擊行動。研究人員認為，CharmPower讓這些駭客能快速結合手上現有的軟體，在得知Log4Shell這種重大漏洞後，用來打造能突破重重資安防護的攻擊工具。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-russian-hackers-targeting-critical-infrastructure/"><span style="color: rgb(0, 0, 0);"><strong>俄羅斯駭客APT29、APT28、Sandworm Team鎖定美國關鍵基礎設施下手</strong></span></a></h4> <p>臺灣在資安即國安的戰略下，關鍵基礎設施（CI）成為重要的一環，而針對這類設施的相關威脅，國外也相當重視。例如，美國網路安全暨基礎架構安全局（CISA）、聯邦調查局（FBI）、國家安全局（NSA）聯合提出警告，APT29、APT28、Sandworm Team等俄羅斯政府資助的駭客組織，連年針對關鍵基礎設施，攻擊全球的工業控制系統（ICS）與操作科技（OT）環境，近期對於美國CI攻擊的情況加劇，他們呼籲相關業者要加強防護，保留各式事件記錄檔案（Log），並在察覺疑似遭駭的事件就進行通報。</p> <h4><a href="https://www.defenseone.com/technology/2022/01/common-office-desk-phone-could-be-leaking-info-chinese-government-report-alleges/360500/"><span style="color: rgb(0, 0, 0);"><strong>億聯IP電話設備疑似會每天向中國伺服器發送訊息</strong></span></a></h4> <p>中國品牌的行動裝置會回傳資料到中國，而引起關注，但該國品牌的IP電話，也可能存在類似的情況。根據美國國防新聞網站Defense One的報導，該國參議員Chris Van Hollen於2021年9月28日，向商務部提及億聯（Yealink）IP電話潛藏的資安威脅，並引用資安業者Chain Security對於該廠牌T54W電話的分析報告，確認商務部是否知情。由於億聯為當地政府IP電話的10大供應商之一，該廠牌IP電話廣受美國政府與企業採用，這名參議員認為，恐會造成國安威脅。</p> <p>資安業者Chain Security在研究報告指出，T54W會每天透過其管理平臺（YDMP）連線到阿里雲，多次交換加密訊息，而且億聯中國的員工可透過YDMP超級管理員身分，來監控網路流量。此外，T54W的韌體沒有使用數位簽章，有可能遭到攻擊者竄改。再者，根據億聯的使用者授權條款，中國政府可基於國家利益考量，要求億聯對使用者進行主動監控。</p> <h4><a href="https://mb.com.ph/2022/01/10/comelec-servers-hacked-downloaded-data-may-include-information-that-could-affect-2022-elections/"><span style="color: rgb(0, 0, 0);"><strong>菲律賓選舉委員會伺服器遭駭，恐波及總統大選</strong></span></a></h4> <p>菲律賓即將於今年5月舉行總統大選，相關的競選活動與籌畫正在如火如荼進行，卻驚傳辦理選務的單位資料外洩。當地媒體馬尼拉公報（Manila Bulletin）發現，有駭客組織於1月8日入侵菲律賓選舉委員會（Comelec）的伺服器，並下載該單位的內部網路資料，包括網域相關資料及選務資料。攻擊者不只下載了網域管理員帳密、特權用戶名單、網域政策，並取得投票區地點與選務人員名冊等細節。馬尼拉公報認為，這起資料外洩事件很可能會影響接下來的總統大選。</p> <h4><a href="https://apnews.com/article/technology-business-poland-hacking-warsaw-8b52e16d1af60f9c324cf9f5099b687e"><span style="color: rgb(0, 0, 0);"><strong>波蘭執政黨坦承購買間諜軟體Pegasus，否認用於監控政敵</strong></span></a></h4> <p>加拿大多倫多大學公民實驗室（Citizen Lab）與美聯社（AP）聯手，於去年12月揭露參議員Krzysztof Brejza等多名波蘭反對黨人士，手機遭到間諜軟體Pegasus監控，疑似是執政黨所為，消息傳出遭到當局否認。直到最近，該國執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski，在接受訪問中坦承，他們確實有採購Pegasus，並認為若是國安組織沒有這種技術「很可悲」，但對於購買該軟體的用途仍交待不清，僅否認是用於監控反對黨。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-about-ongoing-google-voice-authentication-scams/"><span style="color: rgb(0, 0, 0);">在網路上公開電話號碼的人士，恐成為Google Voice身分驗證詐騙的目標</span></a></strong></h4> <p>美國聯邦調查局（FBI）提出警告，網路拍賣的賣家，或是尋找竉物的失主，可能會因為留下了電話號碼以供聯繫，而成為歹徒藉由網路電話服務Google Voice進行詐騙攻擊的目標。FBI指出，一旦歹徒詐騙成功，將會以受害者的名義建立Google帳號，或是挾持他們的Gmail，以便日後用於其他詐騙攻擊。</p> <p>這些歹徒從各類拍賣網站來找尋目標下手，並以簡訊或是電子郵件，表明他們對出售的物品感興趣，但宣稱先前曾被其他賣家騙過，要求對方經由Google驗證為真實的人類。然後，歹徒會要求賣家告知收到簡訊驗證碼，但實際上，歹徒是利用賣家的電話號碼進行驗證，假借賣家的名義建立Google Voice帳號，然後接管賣家的Google帳號。FBI呼籲，網路賣家不要提供他人Google驗證碼，來防範相關詐騙攻擊。</p> <h4><a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/"><span style="color: rgb(0, 0, 0);"><strong>諾頓、Avira防毒在用戶電腦安裝挖礦軟體，且疑似預設啟用惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/avira-vt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/avira-vt.png" style="width: 300px; float: right;" /></a>NortonLifeLock自2021年7月開始，為旗下的Norton 360防毒軟體，提供挖礦服務Norton Crypto，並宣稱在用戶開啟相關功能的情況下才會執行。但近期有部分用戶發現，這項功能約自1月4日開始，改為預設開啟，且可能還關不掉，甚至有些用戶依照廠商的方法停用挖礦功能，竟導致電腦當機。此外，去年被併購的Avira，近期防毒軟體也被發現加入挖礦的模組，但是否也出現類似情形有待觀察。資安專家Chris Vickery指控，NortonLifeLock為獲利犧牲用戶，且挖礦加速全球的能源消耗，此舉令人反感。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織FIN7以感謝函和防疫指引的名義，發動BadUSB惡意隨身碟攻擊</strong></span></a></h4> <p>美國聯邦調查局（FBI）提出警告，駭客組織FIN7約自2021年8月開始，佯稱是AWS或是美國衛生與公共服務部（HHS），藉由感謝函、防疫指引等名義，透過美國郵政服務（USPS）或UPS，寄送含有BadUSB隨身碟的包裹。FBI指出，駭客先是將這類包裹寄給運輸業或保險業者，在11月開始寄給國防公司，一旦有人將包裹裡的隨身碟連接電腦，就會展開一連串的攻擊，最終在受害組織網路部署勒索軟體。</p> <h4><a href="https://www.intezer.com/blog/malware-analysis/new-backdoor-sysjoker/"><span style="color: rgb(0, 0, 0);"><strong>一口氣鎖定Windows、macOS、Linux電腦的後門程式，攻擊者多次更換C2中繼站網址來藏匿行蹤</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/c2-coms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/c2-coms.jpg" style="width: 300px; float: right;" /></a>一般而言，許多惡意軟體的發展過程，往往是從鎖定特定的平臺，後來才延伸開發針對其他作業系統的版本。但資安業者Intezer揭露的後門軟體SysJoker，同時針對Windows、macOS、Linux等多個作業系統，藉由系統更新的名義來散布。攻擊者自2021年12月使用這個後門程式，他們也與伊朗駭客APT35一樣，濫用雲端服務來藏匿行蹤──研究人員看到該後門程式透過在Google Drive上的文件字串，來產生C2中繼站的網址，在調查的過程裡，C2網址更動了3次。而對於攻擊的來源，研究人員認為，有可能是經由受感染的NPM（Node Package Manager）套件而來。</p> <h4><a href="https://www.crowdstrike.com/blog/tellyouthepass-ransomware-analysis-reveals-modern-reinterpretation-using-golang/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦</strong></span></a></h4> <p>有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。</p> <h4><a href="https://www.scmagazine.com/analysis/breach/213k-florida-digestive-health-patients-informed-of-2020-data-compromise"><span style="color: rgb(0, 0, 0);"><strong>美國佛州腸胃醫療機構驚傳資料外洩，21萬病人可能受到影響</strong></span></a></h4> <p>商業郵件詐騙（BEC）橫行，不只導致組織財務損失，還可能洩露客戶的資料。美國佛州消化道照護機構（FDHS）近日向212,509人發出資料外洩通知，表明一年前（2020年12月）數名員工電子郵件帳號遭到入侵的事故，不只該構構有部分資金遭竊，還有可能使得病人的資料外洩。這些資料包含了姓名、財務資料、聯絡方式、醫療診斷，以及保險與補助的資料。FDHS表示，電子病例系統（EMR）並未受到本起事故影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ea-50-high-profile-fifa-22-accounts-taken-over-by-phishing-actors/"><span style="color: rgb(0, 0, 0);"><strong>美商藝電驚傳FIFA玩家帳號遭駭</strong></span></a></h4> <p>社群網站如臉書、Instagram、推特等，名人帳號遭到挾持事件頻傳，但這樣的現象也出現在電玩遊戲上。美商藝電（EA）近期發布公告，指出足球電玩FIFA 22的玩家，有接近50個帳號遭到接管，攻擊者使用網路釣魚與其他社交工程手法，藉由客服人為錯誤來繞過雙因素驗證（2FA），來存取這些玩家的帳號，該公司將加強相關人員的訓練，以及改進身分驗證流程來因應。由於遭駭的玩家包含了直播主，甚至是Valentin Rosier等足球運動員，此事件的後續發展有待觀察。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-arrests-suspect-who-stole-unpublished-books-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);"><strong>義大利駭客鎖定出版業發動網釣攻擊，竊取未上市書籍稿件</strong></span></a></h4> <p>攻擊者利用商務郵件詐騙（BEC）的手法，大多是鎖定財務部門與相關主管，但也有針對出版業剽竊智慧財產的情況。美國於1月5日逮捕29歲的義大利人Fillippo Bernardini，這名男子藉由曾在大型出版商Simon & Schuster工作，但自2016年8月，他涉嫌冒充出版業的人士，使用超過160個假造網域名稱的電子郵件，佯稱是出版社或是文學偵察員（literary scout），要求作者在書籍出版前提供手稿，其中不乏得到普立茲獎肯定的作家。該名男子亦針對紐約市一家文字偵察員公司發動網路釣魚攻擊，進而從中得知即將出版的書籍資訊。一旦被判有罪，Fillippo Bernardini恐面臨20年以上的監禁。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202201110218.aspx"><span style="color: rgb(0, 0, 0);"><strong>虛擬實境內容平臺愛實境遭DDoS攻擊，竟是離職員工所為</strong></span></a></h4> <p>企業遭到網路攻擊，我們很可能會認為是被外部的駭客盯上，但熟悉內部網路環境、甚至握有相關權限的員工或前員工，也可能對公司造成危害。內政部警政署刑事警察局在1月11日宣布，去年10月底接獲虛擬實境內容平臺業者愛實境（iStaging）報案，該公司遭不明人士試圖攻擊伺服器，客戶反應虛擬展間服務出現異常，造成營運成本損失約400至500萬元，該案已破獲。</p> <p>根據中央社報導，警方在破案記者會上說明，經調閱該公司後臺事件記錄檔（Log）分析，攻擊者於2021年10月25日多次變造身分，發動DDoS攻擊讓該公司系統無法正常運作，且透過VPN隱藏原始來源IP位址。另根據TVBS等多家電視臺報導，經追查原始來源IP位址後，<a href="https://news.tvbs.com.tw/local/1687919　https://www.cna.com.tw/news/asoc/202201110218.aspx　">發現愛實境前員工54歲彭男涉有重嫌</a>，該嫌到案後供稱是要展現自己的駭客技術，全案移送臺北地檢署偵辦。</p> <h4><a href="https://udn.com/news/story/7315/6031301"><span style="color: rgb(0, 0, 0);"><strong>電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手</strong></span></a></h4> <p>國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。</p> <h4><a href="https://www.ithome.com.tw/news/148756"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪2021年造成140億美元損失，創下歷年新高，加密貨幣詐騙就超過半數</strong></span></a></h4> <p>區塊鏈分析業者Chainalysis指出，網路犯罪者用來接受非法交易的加密錢包，2021年總共進帳約140億美元，比2020年的78億美元增加近8成，創下歷史新高。值得留意的是，在2021年的非法交易裡，詐騙的金額就高達78億美元，尤其以誘騙投資人進場大量買進，待時機成熟再捲款潛逃的「拉地毯」（Rug Pull）詐騙手法最值得留意。此外，亦有32億美元加密貨幣遭竊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://threatpost.com/microsoft-wormable-critical-rce-bug-zero-day/177564/"><span style="color: rgb(0, 0, 0);">微軟2022年首個Patch Tuesday修補近百個安全漏洞，當中有6個為零時差漏洞</span></a></strong></h4> <p>微軟於1月11日發布2022年第一次每月例行修補（Patch Tuesday），總共修補了96個漏洞，其中有9個為重大漏洞、6個為零時差漏洞，但所幸皆未遭到駭客利用。針對本月微軟修補的情況，趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）表示，今年修補漏洞的數量，為過往一月份的2倍，亦較2021年12月（67個）多出快一半，2022年其他月份是否也會持續這樣的漏洞數量成長，值得觀察。</p> <h4><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></h4> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <h4><strong><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/"><span style="color: rgb(0, 0, 0);">盈碼科技NetUSB驚傳RCE漏洞，恐波及數百萬路由器</span></a></strong></h4> <p>資安業者SentinelOne於1月11日，揭露由臺灣USB共享解決方案業者盈碼科技（KCodes）所推出的NetUSB軟體，存在CVE-2021-45388漏洞，一旦攻擊者利用這項漏洞，能在作業系統核心層級執行程式碼。由於NetUSB廣泛運用於Netgear、TP-Link、D-Link等廠牌的路由器，恐有數百萬臺設備存在相關漏洞。研究人員向盈碼通報後，該公司於11月下旬表明在12月20日前發布修補程式。此外，Netgear也於12月20日，公告有3款產品D7800、R6400v2、R6700v3受此漏洞影響，並提供修補韌體。</p> <h4><strong><a href="https://portswigger.net/daily-swig/latest-wordpress-security-release-fixes-xss-sql-injection-bugs"><span style="color: rgb(0, 0, 0);">WordPress修補存在長達3年的XSS漏洞</span></a></strong></h4> <p>網站內容管理系統WordPress最近推出了5.8.3版，修補數項漏洞，其中較值得留意的是跨網站程式碼（XSS）攻擊漏洞，影響WordPress 3.7至5.8版，一旦攻擊者利用這項漏洞，就能在已經通過身分驗證的情況下，注入惡意的JavaScript指令碼酬載到貼文裡，進而感染管理者的儀表板，甚至有機會挾持管理者帳號。通報該漏洞的資安業者SonarSource表示，這項漏洞他們從3年前就告訴WordPress，如今終於得到修補，他們預計在1月11日揭露有關細節。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148769"><span style="color: rgb(0, 0, 0);">H2資料庫驚傳類似Log4Shell的漏洞</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png" style="width: 300px; float: right;" /></a>資安業者JFrog揭露，以Java程式語言開發、開源的SQL資料庫H2，其主控臺（Console）元件存在類似Log4Shell的RCE漏洞CVE-2021-42392，攻擊者可在未經授權的情況下，用來傳送竄改的參數，或是觸發目標伺服器漏洞，進而遠端於受害裝置上執行任意程式碼。研究人員呼籲用戶應升級H2至2.0.206版。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></h4> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Orcale，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148868"><span style="color: rgb(0, 0, 0);">針對電信業者資料外洩事故，美國擬祭出更嚴格的通報規則</span></a></strong></h4> <p>為了因應電信業者遭到資料外洩事故時，客戶個資可能隨即就面臨威脅，開始有政府打算採取更為嚴格的通報措施。美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel，於1月12日發出聲明，表示將針對境內電信業者客戶專屬網路資訊（CPNI）的外洩事件，祭出更嚴格的通告規定。其中，將取消事故發生後的強制等待期間規定，再者，則是這些電信業者未來也要向FCC通報相關事故。</p> </div></div></div>
2022/1/15 11:34作者周峻佑https://www.ithome.com.tw/news/148901
Cloud周報第131期：聯合航空利用雲服務自動驗證旅客核酸檢驗報告，並大規模搬遷系統上雲依營運量調整IT資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/06～2022/01/12）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯合航空 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 抗疫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 系統上雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>聯合航空搬遷上百個應用上公有雲，利用雲服務</strong></span></strong><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>驗證COVID-19核酸檢驗報告</strong></span></strong></p> <p>聯合航空日前對外分享公有雲服務的使用經驗，不僅建置疫情數位應用，大量採用公雲服務，以應對各國疫情邊境管制措施，並已搬遷超過100個應用程式上雲。疫情爆發後，因應各國不同的入境限制，聯合航空在行動App裡，建置了旅程預先準備服務，來驗證旅客的檢驗報告，先使用S3儲存大量COVID-19檢驗表單，以及使用DynamoDB資料庫分類儲存資料，然後通過Textract機器學習辨識服務，自動擷取資料。截至今日，聯合航空已經自動驗證超過400萬旅客的文件，處理超過75%的COVID-19檢驗表，更是唯一完全使用行動App檢查旅客檢驗報告的航空公司。</p> <p>聯合航空在2019年時，營運170萬架次的航班、服務1.62億名旅客，然而，這一切都在COVID-19疫情爆發後，發生巨大的轉變，旅客載運量大幅下滑，甚至2020年4月時，曾發生旅客數少於全體機師的狀況。聯合航空科技副總裁暨數位長Linda Jojo表示，傳統基礎設施平臺不僅無法擴充，也無法縮小規模。</p> <p>疫情爆發前，聯合航空才剛決定要搬遷系統上雲，因此，建置疫情數位應用的同時，資訊團隊也著手重構工作負載，展開上雲工程，搬遷逾100個應用上雲。Linda Jojo表示，航空公司以可觀的縮減速度營運，需節省現金支出，現上雲系統可隨著旅客需求量的變化，擴充和縮小。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/aws-named-united-airlines-preferred-cloud-provider">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端運算供應商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>英國欲加強監管雲端供應商，收集更多服務營運數據，確保銀行體系正常運作</strong></strong></p> <p>英國央行審慎監管署（PRA）擔心雲端服務故障或遭駭，會影響銀行體系運作，正在研擬加強雲端運算服務商的審查和監管，要獲得更多雲服務商的數據，包含服務營運彈性等資料。根據《金融時報》報導，PRA考慮引進更強力的停電和災難恢復的測試，計畫在今年與英國央行和英國金融行為監管局（FCA），就雲端服務的故障問題，共同發布一份聯合討論文件。</p> <p>英國七大銀行包含匯豐、駿懋等，近年大量採用公有雲服務，來降低IT成本，還有翻新陳舊的基礎設施，儘管，PRA訂定的營運彈性框架涵蓋銀行使用雲端運算的規範，但也越來越擔心若一項或多項雲服務同時發生故障，或受到駭客攻擊，可能導致銀行系統大規模中斷。</p> <p>英國金融政策委員會去年9月份的會議記錄更載明，「關鍵第三方服務供應商提供的服務，越來越重要，且雲服務集中在少數供應商手上，在缺乏更直接的監管和監督的情況下，對金融穩定性構成威脅。」再加上，許多銀行現採用多雲環境，因此金融業期望PRA模擬AWS和Azure同時中斷的情況，監管公有雲業者。<a href=" https://www.ft.com/content/29405a47-586b-4c5a-b641-0f479b4cee1d">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業稽核 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS正式推出稽核和安全目的性資料湖，簡化企業日誌分析工作滿足稽核要求</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Cloudtrail_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 180px;" /></strong></span></p> <p>AWS宣布正式推出稽核和安全目的性資料湖CloudTrail Lake，這是一項受託管的資料湖服務，企業可整合、不可變更地儲存和查詢日誌資料，來滿足稽核、安全調查和操作故障排除的需求。CloudTrail Lake整合收集、儲存、最佳化和查詢的功能，至單一服務的環境中，企業因而不需要跨團隊和產品，逐一建立資料處理工作管線，簡化活動日誌分析工作。</p> <p>CloudTrail Lake提供範例查詢，讓企業能夠快速地編寫查詢，收集像是使用者活動等，來加速安全調查。新服務具有不可變更事件資料儲存功能，和預設7年的資料留存期，以滿足企業對日誌資料的保存要求，而且支援企業從多個AWS地區和帳戶收集事件。企業可以使用AWS SDK或使用AWS CLI，在CloudTrail控制臺中，啟用CloudTrail Lake功能。該服務現已在美東、美西、巴黎、倫敦、東京、大阪、首爾、新加坡、孟買等地區上線。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2022/01/aws-cloudtrail-lake-audit-security/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 固網表現 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路速度 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>臺灣固網上傳速度僅38.42Mbps，大幅落後韓國94.72 Mbps、日本86.11 Mbps</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E9%80%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Speedtest.png" style="width: 600px; height: 297px;" /></strong></strong></p> <p>網路測速服務Speedtest日前針對臺灣固網服務表現，進行研究調查，並公布主要服務業者的表現狀況，以及各縣市固定頻寬的效能數據。綜觀東亞國家的固網上傳速度，韓國達94.72 Mbps，而日本達86.11 Mbps，相較東亞其他國家的固網效能，臺灣明顯落後，只有38.42 Mbps。</p> <p>2021年第三季臺灣主要固網服務供應商的最快下載速度中值表現，中嘉寬頻以93.73 Mbps居冠，超越凱擘的92.72 Mbps和中華電信的89.90Mbps，而台灣大寬頻則以72.53 Mbps居於第四位。上傳速度面，中華電信以39.82 Mbps的中值居冠，接著是中嘉寬頻（31.26 Mbps）、凱擘（27.89 Mbps）和台灣大寬頻（26.65 Mbps）。</p> <p>另外，各縣市固網網速表現狀況，臺北市下載和上傳網速中值都最佳，分別為108.71 Mbps和47.37 Mbps，新北市則是87.18 Mbps、36.97 Mbps居次。在Speedtest調查範圍內，嘉義市是唯一下載速度中值沒有超過65 Mbps的縣市，僅有60.34 Mbps，而彰化市上傳速度中值則是唯一沒高於30 Mbps的縣市，落在29.37 Mbps。<a href="https://www.speedtest.net/insights/blog/taiwan-fixed-broadband-q3-2021/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IBM雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 故障事件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資源配置問題 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>IBM雲全球大規模故障持續逾6小時，導致用戶無法配置雲服務資源</strong></span></p> <p>IBM雲於UTC時間1月6日早上，發生服無故障事件，持續長達逾6小時，且影響範圍遍及全球各地，北美洲、歐洲和亞太地區都有用戶通報無法使用服務。根據IBM服務狀態事件說明的公告，因資源配置的問題，導致用戶在使用IBM雲服務時，可能會遭遇無法配置，或是無法進行其他資源管理操作的狀況。受影響的IBM雲端地區包含了華盛頓特區、達拉斯、聖保羅、倫敦、法蘭克福、東京和雪梨等地。</p> <p>這起事件更是IBM雲1月以來，第三起故障事件，1月3日達拉斯雲端地曾出現基礎設施大規模故障狀況，多個SAN虛擬伺服器變為唯讀，還有VPC程式碼引擎也發生問題，另外，1月4日多處雲端地區VPC出現負載平衡問題，歷時約1小時。<a href=" https://blog.cloudflare.com/popular-domains-year-in-review-2021/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 半結構化資料 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>BigQuery開始支援原生JSON資料類型，企業可儲存半結構化資料</strong></span></strong></p> <p>Google宣布資料倉儲服務BigQuery開始支援原生JSON資料類型，用戶可儲存和分析半結構化資料。企業建置資料工作管線時，需考量許多面向，包括資料擷取來源，以及應用程式使用資料的方式，還有表格設計方式等，所以，一旦工作管線的配置不敷使用，需花費大量作業修改。如今，企業可借助JSON資料格式不要求架構的特性，在BigQuery中，處理半結構化資料，儲存和查詢不一直遵循固定模式與資料類型的資料。</p> <p>以JSON資料類型擷取半結構化資料，BigQuery可獨立編碼和處理JSON欄位，並且透過點記法（Dot Notation）單獨查詢JSON資料欄位的數值，從而減少用戶修改工作管線配置的成本。Google表示，相較從字串欄位擷取JSON元素，企業需處理整個資料區塊，現在可在BigQuery獨立編碼和處理JSON欄位，更具成本效益，而且現有資料表也能應用這項新功能。<a href=" https://cloud.google.com/blog/products/data-analytics/bigquery-now-natively-supports-semi-structured-data">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> K8s服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IPv6網路 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS K8s服務EKS開始支援IPv6，解決IPv4地址不足及採用虛擬IP造成網路延遲等問題</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_eks%20iv6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 424px;" /></strong></span></strong></p> <p>AWS宣布K8s服務EKS增加IPv6網路，企業可在EKS部署使用IPv6地址空間的應用程式。企業使用K8s需大量的IP地址，來滿足K8s平面網路模型要求每個Pod都需一個IP地址的條件，而因部分私有VPC IPv4網路無法處理大量的IP地址需求，企業會在VPC上建立IP地址虛擬層，然而，該架構限制了管理員觀察和排除應用程式故障的能力，對大規模網路效能產生負面影響。</p> <p>企業現於EKS部署叢集，可在Pod中使用IPv6地址，減少延遲，以及簡化路由配置。AWS提到EKS叢集結合IPv6網路，有4個優點，企業可在單個主機和子網上，執行更多的Pod，且不會用盡VPC上所有可用的IPv4地址。第二，能避免額外的NAT跳躍點，本地、AWS和網際網路執行的其他IPv6服務，能進行低延遲通訊。第三，K8s叢集管理員可專注搬遷和擴充應用程式，不需解決IPv4限制，也降低網路工程師維護複雜路由配置的負擔。最後，一旦Pod網路配置完成，Pod便可以在叢集之外，和IPv4應用程式通訊，這讓用戶可以在EKS上獲得IPv6的優勢，但又不需要將組織中部署的所有相關服務搬遷到IPv6。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-elastic-kubernetes-service-adds-ipv6-networking/">（詳全文）</a></p> <p><strong>圖片來源／聯合航空、AWS、Speedtest、Google雲端</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.Google儲存裝置Transfer Appliance正式啟用線上模式，可通過網路傳輸邊緣裝置數據至Cloud Storage儲存桶</strong><a href=" https://cloud.google.com/blog/topics/inside-google-cloud/whats-new-google-cloud">（詳全文）</a></p> <p><strong>2.AWS宣布推出EC2新HPC實例Hpc6a，搭載AMD EPYC處理器與x86同類運算實例相比提升65%性價比</strong><a href=" https://aws.amazon.com/about-aws/whats-new/2022/01/amazon-ec2-hpc6a-instances/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 17:48作者黃郁芸https://www.ithome.com.tw/news/148897
汽車零件大廠Aptiv以43億美元收購Wind River
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>嵌入式系統廠商Wind River再度易主。<a href="https://www.aptiv.com/en/newsroom/article/aptiv-announces-the-acquisition-of-wind-river-a-leading-provider-of-intelligent-edge-software-solutions-from-tpg" target="_blank">汽車零件大廠Aptiv本周宣布</a>以43億美元現金收購Wind River。</p> <p><a href="https://www.ithome.com.tw/news/55359" target="_blank">Wind River曾在2009年為英特爾買下</a>，後者<a href="https://www.electronicdesign.com/technologies/embedded-revolution/article/21806347/intel-divorces-wind-river-subsidiary-a-decade-after-acquisition" target="_blank">於2018年春天將之分拆</a>，同年6月<a href="https://www.windriver.com/news/press/news-21412" target="_blank">由TPG Capital收購</a>。Aptiv本周宣布由TPG手上買下Wind River。</p> <p>Wind River提供嵌入式即時作業系統及開發、部署工具，現有1,700多家客戶，其作業系統軟體用於全球20多億臺邊緣裝置，涵括航太、國防、電信及汽車產業。其中Wind River Studio提供邊緣系統應用從開發、部署、運作到服務的完整生命周期管理平臺。Wind River 2021年營收將近4億美元。</p> <p class="rtecenter"><a href="https://infohub.delltechnologies.com/static/media/9198938f-8c47-5a0e-82d9-6db6a62cd3f7/DAM-814f3197-dcb9-4f0a-b4a9-339cf3e0d3e3/out/fig_7_wind_river_studio_cloud_architecture=GUID-10BBA166-00AA-4C22-9F4D-A7A00F43120A=3=en-us=Low.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://infohub.delltechnologies.com/static/media/9198938f-8c47-5a0e-82d9-6db6a62cd3f7/DAM-814f3197-dcb9-4f0a-b4a9-339cf3e0d3e3/out/fig_7_wind_river_studio_cloud_architecture=GUID-10BBA166-00AA-4C22-9F4D-A7A00F43120A=3=en-us=Low.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">Wind River Studio雲端平臺架構示意（圖片來源／Dell）</span></p> <p>Aptiv說明，收購Wind River是因應汽車產業走向連網、軟體定義，需要完整解決方案加速軟體的開發及部署，以及透過清楚資料分析確保所有環節的最佳化。此外連網、軟體定義化的轉變也在全球多個產業發酵，進而推升對智慧邊緣系統的需求成長。</p> <p>透過這項收購可讓Aptiv藉由Wind River跨入其他產業。<a href="https://www.lightreading.com/the-edge/aptiv-acquires-wind-river-for-$43b/d/d-id/774530?" target="_blank">Light Reading報導</a>，Wind River電信業者客戶包括光纖、網絡及電信設備商Ciena、愛立信、德意志電信子公司T-Systems、Verizon、Vodafone。此外還有包括製造、國防、醫療及能源等業者。</p> <p>Aptiv也計畫整合汽車電子系統開發平臺Smart Vehicle Architect 及Wind River Studio作為汽車業方案。合併後Wind River將維持獨立運作，但改名為進階安全暨使用者體驗（Advanced Safety & User Experience，AS&UX）事業群，而原執行長Kevin Dallas也將繼續領導Wind River。</p> <p>Aptiv預計2022年中完成收購Wind River。</p> </div></div></div>
2022/1/14 15:58作者林妍溱https://www.ithome.com.tw/news/148891
Fintech周報第207期：金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0108～0114</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融建言白皮書 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 稽核人員 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力</span></strong><br /><span style="vertical-align: top;">金融總會近期提出2021年金融建言白皮書，囊括23項議題共40項具體作法，金管會也回應將採納3大面向，包括擴大金融產業發展、金融科技創新與強化、支援實體經濟永續發展等，具體措施包括成立專案小組研議證券融通業務的風險總歸戶管理機制、常態化遠距投保、協助銀行業推動稽核人員數位化聯防訓練等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">在金融科技創新與強化面向，首先，金管會將採取常態化遠距投保，以及銀行辦理線上貸款的簽約對保的措施。此外，將由臺灣集中保管結算所規畫打造平臺，讓投信公司與保管銀行傳遞交割指示函等資料，藉此提升效率與降低人工作業風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">另外，為了協助銀行提升稽核人員數位化查核能力，金管會採納金融總會建議，銀行內部稽核工作需進行數位化轉型，以因應科技發展，實際作法像是將數位化查核能力納入銀行內部稽核人員受訓課程中的一環。金管會也在金融科技能力認證制度中，所規畫的數位法遵一職中，納入了智慧化稽核的培訓課程。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位人民幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微信 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付寶 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國境內2大電子支付業者皆支援數位人民幣測試，可觸及10億人</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國人民銀行旗下的數位貨幣研究所，近期釋出了支援Android與iOS的數位人民幣程式，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。<a href="https://www.ithome.com.tw/news/148774">（詳全文</a></span><a href="https://www.ithome.com.tw/news/148774"><span style="font-size: 18.6667px;">）</span></a></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根大通 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 巴林央行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">巴林中央銀行採用摩根大通的數位貨幣JPM Coin進行即時跨境支付試點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E5%B7%B4%E6%9E%97%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Central%20Bank%20of%20Bahrain.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，巴林中央銀行（Central Bank of Bahrain，CBB）宣布完成一項區塊鏈試點，參與方包括阿拉伯銀行公司（Bank ABC）與巴林鋁業公司（Aluminium Bahrain，Alba），採用了摩根大通（J.P. Morgan）區塊鏈部門Onyx所開發的JPM Coin系統，共同完成了跨境支付試點。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由摩根大通推出的JPM Coin，可代表摩根大通帳號所持有美元的數位貨幣，當A客戶透過區塊鏈轉帳到B帳號時，JPM Coin能夠立即轉讓並兌換成等值的美元，目的在於減少傳統的結算時間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此次試點內容由這家位於中東的中央銀行所監督，讓阿拉伯銀行公司能夠使用JPM Coin向巴林鋁業公司在美國的同行進行即時跨境支付。巴林中央銀行行長Rasheed Al Maraj表示，藉由此項區塊鏈試點，希望能解決長久以來傳統跨境支付帶來的效率低落問題。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國OCC </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根史坦利 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 客戶資料外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">摩根史坦利因伺服器報銷未清除客戶資料，遭美國貨幣總稽核辦公室重罰6千萬美元</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">路透社報導，摩根史坦利因未將欲報銷的伺服器上的客戶資料清除就賣給他人，遭到客戶集體控告，近期同意以6,000萬元美元達成和解。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2016年，摩根史坦利關閉美國境內二座財富管理業務部門的資料中心時，未能將伺服器上未加密的客戶資料刪除乾淨、就賣給了第三方業者。當時，多達1,500萬名客戶對摩根史丹利提起集體控訴，雙方近期達成初步和解協議，並請求紐約法院同意。根據報導，受影響的客戶可獲得至少2年的詐欺保險賠償，並可申請最高10,000美元的現金補貼。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">摩根史坦利銀行指出，在資料外洩事件後該公司已經大幅強化其資料安全措施。美國貨幣總稽核辦公室介入調查本案，認為該公司未能有效解決報銷硬體的風險、適當處理客戶資料、評估報銷作業的委外作業風險，以及盡到選擇及監管委外廠商的責任，於2020年10月對摩根史丹利銀行及私人銀行部門，判處6,000萬美元的民事罰金。<a href="https://www.ithome.com.tw/news/148716">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 硬體錢包 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈新創 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">庫幣科技數位資產硬體錢包整合NFT功能，可直接連結全球2大NFT平臺進行買賣</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創庫幣科技近期宣布，其數位資產硬體錢包CoolWallet Pro整合了非同質化代幣（NFT）功能，使用者可在CoolBitX Crypto App中，直接連結全球最大NFT市集OpenSea，以及主打區塊鏈遊戲NFT資產的Rarible這兩個NFT交易平臺，來進行買賣。同時，可在App查看錢包中的NFT資產或將個人NFT收藏在卡片內展示。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣挖礦</span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 哈薩克 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">哈薩克比特幣算力名列全球第2，為鎮壓暴動一度切斷網路而衝擊全球15%比特幣挖礦活動</span></strong><br /><span style="font-size: 18.6667px;">中國政府於去年6月以斷電的強硬手段驅逐境內的比特幣礦場之後，中國礦工便就近轉移到以煤礦發電的哈薩克。哈薩克原本就占據全球比特幣算力的12%左右，但自去年6月開始接受中國礦工以來，所占算力已達全球的21.9%，僅次於美國的42.7%。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">然而，最近哈薩克的燃料大漲，促成當地民眾的抗議行動，再佐以民眾對哈薩克政府長期的不滿，更爆發了嚴重的衝突，在哈薩克政府請求俄羅斯派兵援助的當天，也要求電信業者中斷境內的網路。網路中斷不僅阻止了民眾的通訊，亦使得哈薩克境內的礦工無以為繼，數位資產融資業者Foundry副總裁Kevin Zhang向媒體透露，該國政府的行為讓全球比特幣挖礦算力瞬間減少15%。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">儘管該國的網路已恢復正常，但哈薩克並不鼓勵礦工於該國境內挖礦，已計畫於今年向這些礦場加徵稅賦，使得外界預期位於該國境內的礦工遲早會遷移至其它據點。<a href="https://ithome.com.tw/news/148768">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OpenSea </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全球最大NFT市集OpenSea新一輪增資後市值達133億美元，身價在半年內大漲8倍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">全球最大NFT市集OpenSea近期宣布已完成C輪增資，由Paradigm及Coatue領銜，再加上既有的股東，總計募集了3億美元的資金，而此次增資的OpenSea市值已由去年7月的15億美元，大幅增加至今年1月的133億美元，在短短的半年內身價大漲8倍。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OpenSea創辦人暨執行長Devin Finzer表示，此次所募集的資金有4個目的，包括加速產品開發，改善客戶支援與客戶安全，擴大對NFT及Web3社群的投資，以及擴大經營團隊。Finzer指出，未來OpenSea將聚焦於降低進入NFT領域的門檻，以及讓人們更容易發現、管理與展示NFT。<a href="https://www.ithome.com.tw/news/148738">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">Central Bank of Bahrain</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-size: 14pt;">庫幣科技</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-size: 18.6667px;"> </strong><strong>Mozilla創辦人怒批加密貨幣嚴重危害地球生態後，Mozilla基金會宣布暫停接受加密貨幣捐款</strong><br /><strong>2. 面臨缺電危機，科索沃政府未來2個月禁止高耗能的加密貨幣挖礦活動 </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 16:00作者李靜宜https://www.ithome.com.tw/news/148890
Google提議設立一個維護開源碼的集中市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趁著美國白宮於本周四（1/13）召開開源軟體安全高峰會（White House Open Source Software Security Summit）的時機，<a href="https://blog.google/technology/safety-security/making-open-source-software-safer-and-more-secure/" target="_blank">Google法務長Kent Walker提議</a>應該設立一個組織，作為開源碼的維護市集，負責媒合志願者以及需要支援的重要開源專案。</p> <p>開源碼的安全問題近來日趨受到重視，Linux基金會於2020年便成立了開源安全基金會（Open Source Security Foundation，OpenSSF），以支援關鍵開源專案的安全性，而最近<a href="https://www.ithome.com.tw/news/148753" target="_blank">開源Java套件Log4j所冒出的安全漏洞</a>，進一步向全球揭露開源軟體安全性的重要。</p> <p>Walker說，開源軟體一直以來皆允許外界免費使用、變更或檢查，因而促進了協作創新與新技術的開發，也讓許多關鍵基礎設施或國家安全系統都採用了開源軟體，然而，它卻缺乏官方的資源分配，對於如何維護重要程式碼的安全性，也沒有正式的要求與標準。</p> <p>自從開源碼風行以來，社群都習慣假設這些具備透明化、且獲得眾多關注的開源碼專案是安全的，但事實上只有部分專案受到社群與開發者的青睞，有些則幾乎或完全被忽視。</p> <p>這使得Walker發想了多個提議來維護開源碼的安全性，而不管哪個提議都需要官方與產業之間的合作，其中包括設立一個開源碼維護市集，以媒合重要開源碼專案與負責維護的志工，同時Walker身先士卒地說，Google已準備好貢獻自家資源。</p> <p>Google其它的提議還包括產、官應該共同建立一個關鍵開源專案的列表，此一列表的評估方式為開源專案的重要性與影響力，才能替各種專案分配安全性資源。另一個提議是打造開源碼安全性、維護與測試的標準，相關標準理應是協同開發的，也應定期更新、持續測試及驗證它們的完整性。</p> </div></div></div>
2022/1/14 13:39作者陳曉莉https://www.ithome.com.tw/news/148886
Google允許Android用戶關閉2G功能以防範基地臺模擬攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eff.org/deeplinks/2022/01/victory-google-releases-disable-2g-feature-new-android-smartphones" target="_blank">電子前線基金會（EFF）本周指出</a>，Google去年悄悄地在Android平臺上新增了一項功能，允許用戶手動關閉手機上的2G功能，將可防範基地臺模擬攻擊，同時呼籲蘋果也應跟上Google的作法，以保障用戶的隱私安全。</p> <p>1991年問世的第二代行動通訊技術迄今仍受到Android與iOS等行動平臺的支援，不過，當時該技術並未考量到某些風險，例如流氓基地臺或是強大的加密能力，隨著市場已經進展到5G，許多有關2G的安全漏洞也一一曝光，其中之一為它薄弱的加密能力讓基地臺與手機之間的通訊可能遭到竊聽，其次則是基地臺至手機之間缺乏認證機制，使得任何人都能假冒為2G基地臺，而讓使用者陷入隱私風險，並成為部分政府的監控管道。</p> <p>此外，雖然2G許多安全漏洞到了4G的年代已被修補，但有些先進的基地臺模擬器能將使用者的4G連結降級到2G，進而開採2G漏洞，等同於4G用戶依然承受著2G漏洞的風險。</p> <p>不過，去年Google針對Android所作的變更將得以解決此一問題，使用者可藉由設定中的SIMs功能，手動關閉2G，可惜的是，該功能只適用於包括Pixel或Samsung等較新的Android手機，舊款裝置囿於硬體的限制而依舊無法關閉2G。</p> </div></div></div>
2022/1/14 14:26作者陳曉莉https://www.ithome.com.tw/news/148888
服務條款太複雜不想看？美國提出TLDR法案要求業者提供服務條款摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cassidy.senate.gov/newsroom/press-releases/cassidy-lujan-trahan-introduce-bill-to-inform-consumers-increase-online-transparency" target="_blank">美國3名兩黨議員在13日提出</a>了《服務條款標籤化、設計與可讀性法案》（Terms-of-service Labeling, Design and Readability (TLDR) Act），目的是為了要求商業網站與行動程式必須建立一個簡單且易讀的服務條款協議摘要，以增加網路上的透明度，同時確保消費者知道自己的個資是如何被蒐集及使用。不過，小型商家得以不受此法的約束。</p> <p>議員們援引了一項在2012年所進行的研究，指出平均每個美國人要花76個工作天，才能看完他們所使用的所有科技網站的服務條款協議，再加上許多協議使用法律術語，內容錯綜複雜，篇幅又很長，使得絕大多數的使用者幾乎是在完全沒有閱讀的情況下，便按下了同意。</p> <p>因此，TLDR Act要求業者必須提供服務條款的摘要，摘要內得包含所蒐集的消費者資訊、所蒐集的是否為提供服務的必要資訊、如何與第三方共享消費者資料的圖表、消費者能否或如何刪除自己的資料、消費者使用該服務的法律責任，還必須提供該公司過去3年來曾發生的資料外洩事件列表。</p> <p>這些參議員認為，有太多的公司透過冗長且複雜的服務條款協議，來隱藏其資料政策的關鍵細節，藉此保護自己免於承擔法律責任；長期以來這些廣泛的服務條款協議，更迫使消費者於同意及不同意之間二選一，完全沒有協商的餘地，濫用的可能性是顯而易見的。</p> <p>美國參議員Bill Cassidy則說，使用者不應藉由梳理網站條款中的法律術語，來了解自己的資料將如何被使用，要求業者提供易於理解的條款摘要應該是強制性的，而且早就該這麼做了。</p> </div></div></div>
2022/1/14 14:45作者陳曉莉https://www.ithome.com.tw/news/148889
【資安日報】2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源軟體受到廣泛使用，背後卻可能僅有數名無償付出的志工進行維護，這種現象再度因Log4Shell這樣的漏洞出現時，而引進政府重視。美國國家資安顧問更指出，開源軟體的資安問題，已是國家安全層級的議題。他們為此召集IT大廠、開源社群組織Apache軟體基金會，來探討IT大廠能否提供更多資源，來提升開源軟體的資訊安全，而不是單純仰賴志工的付出。</p> <p>而在Log4Shell引起的後續效應之餘，國內最近陸續有數起前員工引起的內部威脅事件傳出，最近，電子零組件大廠臺灣東電化的員工，打算帶著公司研發機密到新東家使用，而在此之前，虛擬實境內容平臺業者愛實境（iStaging）傳出的資安事故，就是前員工發起的DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/7315/6031301"><span style="color: rgb(0, 0, 0);"><strong>電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手</strong></span></a></h4> <p>國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/magniber-ransomware-using-signed-appx-files-to-infect-systems/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Magniber假借瀏覽器更新名義，鎖定Windows 10電腦發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/edge-prompt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/edge-prompt.png" style="width: 300px; float: right;" /></a>濫用通用視窗應用程式（UWP）的安裝檔案（.APPX），來誘騙使用者在網頁瀏覽器安裝惡意軟體的現象，陸續有這種型態的攻擊事故發生。資安業者AhnLab揭露一起散布勒索軟體Magniber的攻擊行動，駭客以要求Edge和Chrome的使用者手動更新名義，引誘下載APPX更新程式，一旦下載安裝，電腦檔案就會被Magniber加密。</p> <h4><a href="https://www.crowdstrike.com/blog/tellyouthepass-ransomware-analysis-reveals-modern-reinterpretation-using-golang/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦</strong></span></a></h4> <p>有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></h4> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></h4> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Orcale，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148868"><span style="color: rgb(0, 0, 0);">針對電信業者資料外洩事故，美國擬祭出更嚴格的通報規則</span></a></strong></h4> <p>為了因應電信業者遭到資料外洩事故時，客戶個資可能隨即就面臨威脅，開始有政府打算採取更為嚴格的通報措施。美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel，於1月12日發出聲明，表示將針對境內電信業者客戶專屬網路資訊（CPNI）的外洩事件，祭出更嚴格的通告規定。其中，將取消事故發生後的強制等待期間規定，再者，則是這些電信業者未來也要向FCC通報相關事故。</p> <h4><a href="https://www.cna.com.tw/news/aipl/202201130313.aspx"><span style="color: rgb(0, 0, 0);"><strong>為強化資安管理，銓敘部將成立專責單位</strong></span></a></h4> <p>政府機關日益重視資安，並成立專責單位來因應的情況越來越顯著，銓敘部於1月13日表示，為精進資訊安全管理作業，他們將會增列預算，聘請4名專門負責資安業務的人員，並成立資安科，然後評估在現有的人力和物力下，提升資安的策略、管理、以及技術層面。此外，他們也會從現有資訊人力調度，來逐步增加資安可用的人力。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/14 13:05作者周峻佑https://www.ithome.com.tw/news/148884
德國網站使用Google Analytics被奧地利政府判定違反GDPR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國一家出版商網站因使用美國Google Analytics的追蹤技術，本周被奧地利政府資料保護主管機關<a href="https://noyb.eu/sites/default/files/2022-01/E-DSB%20-%20Google%20Analytics_EN_bk.pdf" target="_blank">Datenschutzbehörde（DSB）判定違反歐洲隱私法GDPR</a>。</p> <p>奧地利當局本周針對歐洲隱私倡議組織noyb於2020年提出的告訴做出判決。這也是<a href="https://www.ithome.com.tw/news/138915" target="_blank">歐盟法院2020年一項防止美國公司蒐集歐盟人民資訊的判決</a>後的第一宗判例。</p> <p><a href="https://www.europarl.europa.eu/RegData/etudes/ATAG/2020/652073/EPRS_ATA(2020)652073_EN.pdf" target="_blank">2020年的Schrems II判決</a>中，歐盟法院判定使用美國供應商的追蹤技術也違反GDPR，因為美國監控法要求美國包括Google、臉書等供應商必須將用戶個資提供給美國。在此判決中，歐盟法院也廢除了美國和歐盟之間的隱私盾（Privacy Shield）資訊傳輸保護協議，認為不足以保護歐盟用戶的隱私。</p> <p>歐盟法院的判決也可望透過歐盟資料保護監督機關（EDPB）任務小組，適用於歐盟會員國，包括奧地利。</p> <p>Noyb於2020年同時控告Google以及一家德國出版商，因其網站使用了Google Analytics。這家德國出版商因為收購了奧地利同業而在奧地利挨告。Noyb這家倡議組織在歐盟地區一共提起了101項告訴。</p> <p><a href="https://noyb.eu/en/austrian-dsb-eu-us-data-transfers-google-analytics-illegal" target="_blank">Noyb指出</a>，歐盟主管機關漸漸不允許歐盟境內的公司使用美國的追蹤技術，也要求歐美公司必須使用更安全選項，像是把資料代管在美國以外的地區。Noyb榮譽主席Max Schrems預期大部份歐盟會員國將出現類似判決。</p> <p>不過目前奧地利主管機關尚未做出罰款處份，也不確定是否之後、或之前曾做出懲處。違反GDPR最高可判處2,000萬歐元或全球年營收的4%的罰金。</p> </div></div></div>
2022/1/14 13:17作者林妍溱https://www.ithome.com.tw/news/148885
研究人員可遠端控制25臺Tesla，但說並非出於系統安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名青少年駭客近日發現方法，可暗中遠端控制超過25臺特斯拉(Tesla)，不過強調並非Tesla的系統安全漏洞。</p> <p>青少年駭客David Colombo同時也是安全研究人員，<a href="https://twitter.com/david_colombo_/status/1480852016045903873" target="_blank">本周偶然間發現</a>他可以在多達13國25臺以上的特斯拉上遠端執行指令。他說能做的事很多，像是關閉遇可疑人士自動啟動監控攝影機的哨兵模式（Sentry Mode）、開啟車門車窗、控制車燈、在車上播放YouTube或啟動無鑰匙駕駛(keyless driving)。如果車主在車上的話，他還可以查詢汽車所在位置。</p> <p>他指出，透過控制這些功能可能引發危險，但他表示並無法遠端控制特斯拉方向盤、油門或剎車。</p> <p>這名研究人員表示，這並非特斯拉基礎架構的漏洞，而是車主的錯，因此他本來只想通報車主。在不得其門而入後，他隨後連繫上特斯拉，以便告知受影響的車主，特斯拉也正在調查此事。</p> <p>這問題也分享給了管理攻擊工具及手法知識庫的MITRE，正在等待分派漏洞編號。</p> <p>另一方面，<a href="https://twitter.com/TezLabApp/status/1481180064926547969" target="_blank">第三方Tesla App廠商TesLab發現</a>數千項特斯拉發派的驗證令牌同時到期，他們推測是特斯拉加速其驗證令牌轉換成別的版本。TesLab App利用Tesla API來控制特斯拉車上功能，如防盜攝影機、控制車門車窗等。兩事件是否有直接關聯不得而知。</p> <p>特斯拉去年11月才因軟體瑕疵，引發前方撞擊假警報、或是自動緊急煞車不預期啟動，而<a href="https://techcrunch.com/2021/11/02/tesla-recalls-11704-vehicles-after-identifying-full-self-driving-beta-software-error/" target="_blank">召回.2萬輛特斯拉電動車</a>。</p> </div></div></div>
2022/1/14 14:05作者林妍溱https://www.ithome.com.tw/news/148887
美國眾議院為國會暴動案向Meta、Alphabet、Twitter與Reddit發出傳票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門調查去年1月6日美國國會暴動事件的美國眾議院特別委員會，<a href="https://january6th.house.gov/news/press-releases/select-committee-subpoenas-social-media-companies-records-related-january-6th" target="_blank">周四（1/13）向4家社交平臺發出傳票</a>，要求Alphabet、Meta、Reddit及Twitter提供詳細的資訊以供調查。其實該委員會去年夏天就曾要求相關業者提交資料，但因業者的回應不夠充分，因而祭出傳票。</p> <p>此一由兩黨組成的特別委員會主席Bennie Thompson表示，針對這些社交平臺，他們主要提出兩個關鍵問題，一是它們對不實資訊及暴力極端主義的傳播如何助長美國的暴力攻擊，二是它們是否採取了任何措施，來避免平臺成為激化暴力的溫床。</p> <p>Thompson說，很遺憾的，在經歷數個月的協商之後，相關平臺依舊未提供回答上述問題的必要文件與資訊，為了確保類似的事件不再發生，無法再容忍此一重要任務一再被拖延。</p> <p>法院傳票要求Alphabet揭露如何開發、實施及審查YouTube內容，以及其可能影響暴動事件的演算法推廣或其它政策；也要求Facebook提供解散公民團隊並減少限制暴力內容傳播工具應用的資訊，以及該平臺在2020年選舉中所扮演角色的內部與外部分析，特別委員會曾多次要求Meta提供相關資訊，而Meta卻拒絕承諾找出或製作這些內容的期限。</p> <p>至於率先封鎖美國前任總統川普（Donald Trump）帳號的Twitter，也難逃收到傳票的命運。特別委員會同樣要求Twitter提供該平臺在2020年大選期間，所傳播的不實資訊及惡意資訊的內部分析，以及解釋對川普帳號的處分。Reddit亦被要求提供暴徒如何利用該平臺，進行組織或散播不實資訊的內部分析與相關文件。</p> </div></div></div>
2022/1/14 11:37作者陳曉莉https://www.ithome.com.tw/news/148881
勒索軟體中斷維安系統，美國新墨西哥州某監獄將受刑人全天鎖牢房
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國新墨西哥州因勒索軟體攻擊造成一座監獄網路斷線，導致整座監獄系統及電話運作中斷。而且一個禮拜都還沒修好。</p> <p><a href="https://sourcenm.com/2022/01/07/jails-inability-to-deal-with-cyberattack-could-violate-the-constitutional-rights-of-inmates/" target="_blank">當地媒體報導</a>，墨西哥州Bernalillo郡在1月5日清晨遭勒索軟體攻擊，影響市政府資料庫及網路運作，並波及阿布奎基市的一座看守所，連帶導致監獄對外及對內網路斷線、多項系統無法使用，包括自動門鎖及監控攝影機。</p> <p>報導指出，為了安全及管理起見，獄方要求所有受刑人必須待在牢房內，除非有醫療需求，也取消了所有訪客會見。受刑入出入牢房必須由管理人員手動以鑰匙開、關房門。無法出入也限制了受刑人使用電話及平板的時間。</p> <p>此外，受勒索軟體攻擊影響，獄中電子郵件、無線網路、作為受刑人視訊審訊的Zoom皆無法使用，且由於地處偏遠行動電話訊號不佳，受刑人被迫花錢打限時15分鐘的公共電話接受審訊。獄方也無法存取資料系統，包括受刑人鬥毆等暴力事件的紀錄系統，以及獄內消費等活動帳號管理系統等，一切作業皆被迫以紙本進行。</p> <p>根據<a href="https://www.theregister.com/2022/01/12/ransomware_new_mexico_prison/" target="_blank">The Register</a>1月12日引述獄方發言人報導，至少到本周三之前獄方還在努力修復系統。</p> </div></div></div>
2022/1/14 10:31作者林妍溱https://www.ithome.com.tw/news/148878
美國網戰司令部聲稱駭客集團MuddyWater受伊朗情報暨安全局管轄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cybercom.mil/Media/News/Article/2897570/iranian-intel-cyber-suite-of-malware-uses-open-source-tools/" target="_blank">美國網戰司令部（U.S. Cyber Command）本周揭露</a>，全球最活躍的國家級駭客集團之一的MuddyWater，其實是隸屬於伊朗情報暨安全局（Iranian Ministry of Intelligence and Security，MOIS），而MOIS的其中一項任務便是辨識與監控反政權人士，包括境內與境外。</p> <p>資安業者早就將MuddyWater歸類為伊朗國家級駭客，它既是<a href="https://www.ithome.com.tw/news/127149" target="_blank">全球最活躍的國家級駭客集團之一</a>，也曾<a href="https://www.ithome.com.tw/news/140371" target="_blank">被微軟發現正在開採ZeroLogon（CVE-2020-1472）漏洞</a>，亦曾<a href="https://www.ithome.com.tw/news/148402" target="_blank">借道Slack來攻擊亞洲的某一航空公司</a>，或是<a href="https://www.ithome.com.tw/news/148368" target="_blank">鎖定電信業者展開攻擊</a>。</p> <p>根據資安業者的統計，MuddyWater主要的攻擊目標為中東國家，偶爾也會鎖定歐洲與北美國家，通常採用魚叉式網釣攻擊，於電子郵件中嵌入合法的檔案分享服務，卻在該服務中夾帶惡意套件，目的是於受害者系統上建立後門，尋求長駐受害者系統。</p> <p>美國網戰司令部則說，當網路操作者於同一個網路上發現許多MuddyWater經常使用的開源碼工具時，該網路便可能已被MuddyWater滲透。其中一個最常見的是偽裝成Google更新機制、實則用來解密與執行PowerShell惡意程式下載器的PowGoop，以及具備其它惡意功能的多款PowGoop變種。</p> </div></div></div>
2022/1/14 08:43作者陳曉莉https://www.ithome.com.tw/news/148872
微軟發布Azure Static Web Apps企業級邊緣網路，可加速網站載入、強化可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在其Azure Static Web Apps服務，提供<a href="https://azure.microsoft.com/zh-tw/blog/accelerate-your-websites-with-azure-static-web-apps-enterpriseedge/">企業級邊緣網路（Enterprise-Grade Edge）</a>預覽，該服務是由微軟的全球可擴展進入點Azure Front Door提供支援，不需要用戶額外的配置或是編寫程式碼，就可以加速全球規模的應用程式，改善頁面載入速度、強化安全性，並且提高可靠性。</p> <p>微軟提到，網頁應用程式的載入速度，直接影響用戶體驗、搜尋引擎排名和用戶轉換率，而Azure Static Web Apps提供跨靜態內容和無伺服器API，來提供全端開發和託管功能，進而增加應用程式的生產力，並且提高全球可用性。</p> <p>當用戶在網站採用Azure Static Web Apps，終端使用者存取該網站時，微軟的HTTP負載平衡器會找出距離終端使用者最近的節點，並從該節點提供應用程式服務。另外，當微軟任何的全球地區出現故障，則系統也會自動將終端使用者的請求，重新路由到網路中健康的節點，使得用戶能夠跨地區建立有韌性的應用程式，在故障時立即進行轉移，提供網站服務永遠在線的可用性。</p> <p>微軟在全球100個大城市中，建立了118個POP（Points of Presence），當用戶透過啟用企業級邊緣網路功能，微軟會在這些POP中快取用戶網站的靜態內容，使得應用程式的延遲更低，且提供更高的吞吐量。而加快頁面載入，不只能夠改善用戶體驗，搜尋引擎的排名也將有所改變，最終影響用戶轉換率。</p> <p>此外，在用戶啟用企業級邊緣網路後，網站便會在微軟的全球應用程式和交付網路上運作，官方提到，企業級邊緣網路可以避免惡意攻擊者存取用戶的應用程式，而影響其可用性和效能，微軟全球網路提供大規模和容量，能夠透過流量監控和即時緩解功能，防禦常見的網路層攻擊。</p> <p>企業級邊緣網路是一種零配置的雲端交付服務，包括了CDN和應用程式加速功能，一旦用戶在應用程式啟用企業級邊緣網路，微軟會將網站即時流量搬上全球分散式網路，使得網站服務不會再因為故障而下線。</p> </div></div></div>
2022/1/14 08:51作者李建興https://www.ithome.com.tw/news/148873
事實查核社群發公開信，直指YouTube為主要虛假訊息散播平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>事實查核社群向YouTube執行長遞交，由多國事實查核研究者簽署的<a href="https://www.poynter.org/fact-checking/2022/an-open-letter-to-youtubes-ceo-from-the-worlds-fact-checkers/">公開信</a>，該信直指因為YouTube在虛假訊息上的不積極作為，導致菲律賓、巴西和美國等多國受到虛假訊息的嚴重侵害，公開信也特別提到，YouTube上的虛假訊息影片，更是對臺灣民主選舉造成負面影響。這封公開信敦促YouTube負責任地採取行動，認真打擊平臺上的虛假訊息。</p> <p>公開信指出，COVID-19大流行從開始到現在，已經經歷了快兩年，但是虛假訊息仍然猖狂地傳遞，對社會和諧、民主和公衛造成極大的負面影響，許多人更因此失去生命。而事實查核組織作為打擊虛假訊息的第一線，他們認為，YouTube是全球線上虛假訊息傳遞的主要管道，但他們看到YouTube並沒有在解決假訊息上付出足夠的努力。</p> <p>事實查核社群甚至認為，YouTube允許其平臺被不道德行為者武器化，用以操縱和剝削他人，進行組織並且獲利，事實查核社群希望透過公開信，要求YouTube對虛假訊息採取有效的行動，制定政策且在必要時介入，來積極改善資訊生態系。</p> <p>公開信提及在YouTube上，許多因為虛假訊息所產生的亂象，包括陰謀集團跨國界，在德國、西班牙和拉丁美洲進行有組織的國際運動，同時，還有數百萬瀏覽量的影片以希臘語和阿拉伯語，鼓勵人們抵制疫苗接種，並且散播虛假的COVID-19療法。</p> <p>在巴西，YouTube被用來放大針對弱勢群體的仇恨言論，影響力擴及數萬用戶。事實查核社群特別提到YouTube對選舉所帶來的負面影響事件，包括在菲律賓，超過200萬瀏覽次數的影片，否認該國戒嚴期間侵犯人權和腐敗的行為，並以虛假內容來美化獨裁者後代的聲譽，試圖影響其在2022年的選舉。臺灣也是假新聞的重災戶，選舉候選人受到毫無根據的詐欺指控，甚至是美國，在大選後暴徒襲擊美國國會大廈，而支持選舉造假的言論，被觀看超過3,300萬次。</p> <p>目前大部分這些影片，都還在YouTube平臺上，特別是在非英語國家及南半球，仍持續受到虛假訊息的攻擊，公開信提到，雖然YouTube有試圖採取一些措施解決這些問題，但是並沒有奏效，而且YouTube也沒有提供任何的資料，來證明其措施的有效性。</p> <p>事實查核社群指出，YouTube將虛假訊息的內容，錯誤地僅分類為需要刪除與不需刪除兩類，而根據經驗與研究證據，都認為保留經過事實查核的訊息，比直接刪除內容，對於傳播正確資訊更為有效，另外，公開信還希望YouTube應該確保不向用戶推薦包含虛假訊息，以及不可靠頻道的內容。</p> <p>事實查核社群向YouTube提出4大建議，來改善該平臺上虛假訊息傳播所產生的負面影響，公開信提到，YouTube應該公開必要的虛假訊息資訊，像是揭露虛假訊息活動的來源、影響範圍，以及揭穿假訊息的研究等，同時YouTube也應該公布對於虛假訊息的完整審核政策，包括用來審查的人工智慧和資料類別。</p> <p>除了刪除法律規定的內容之外，事實查核社群認為，YouTube應該提供更完整的背景資訊，在影片上疊加或是以其他方式附加說明內容，如此才能與事實查核社群，建立有意義和結構化的協作關係，並且負責任地承擔解決問題的責任。</p> <p>同時，公開信還提到，YouTube要嚴格打擊重複違規的使用者，特別是利用虛假訊息獲利的帳戶，應避免以演算法推薦相關影片，進而減少錯誤內容的傳播，重要的是，事實查核社群希望YouTube能夠擴大虛假訊息的打擊範圍，積極處理非英語的虛假內容影片。</p> </div></div></div>
2022/1/14 08:56作者李建興https://www.ithome.com.tw/news/148875
NTT發布開發安全解決方案Vantage Prevent，在CI/CD整合DAST改善應用程式安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NTT應用安全部門，推出了WhiteHat Vantage平臺的下一階段解決方案<a href="https://www.prnewswire.com/news-releases/ntt-application-security-releases-vantage-prevent-to-shift-dast-left-and-reignite-devsecops-for-enterprises-301457968.html">Vantage Prevent</a>，該公司提到，Vantage Prevent是一個運用專利技術的解決方案，讓企業可以在每個開發周期階段，進行動態應用程式安全測試（DAST），防止可被開採的漏洞進入生產環境。</p> <p>官方解釋，Vantage Prevent的建置目標是要滿足現代開發的需求，利用開發者功能和品質保證測試，來辨識網頁應用程式和API中，可被開採的安全風險。Vantage Prevent允許DevOps工程師在本地環境，自動化CI/CD工作管線裡進行安全測試，使得安全團隊可在產品部署到生產環境之前，就能先發現存在的漏洞。</p> <p>Vantage Prevent的特性包括，在整個系統開發生命周期中，以數分鐘快速完成動態測試，不再需要數天的時間，而且由開發人員操作的動態應用程式安全測試，無縫整合動態掃描功能和品質保證測試。Vantage Prevent所執行的原生API測試，不需要API規範文件，也與語言和介面無關，能夠對任何API、單頁或是多頁網頁應用程式進行測試。另外，Vantage Prevent可以在本地端，快速地執行增量測試，或是對應用程式進行完整的測試。</p> <p>NTT應用程式安全的產品負責人Chris Leffel提到，許多組織在應用程式安全上之所以處於被動狀態，最大的原因是，這些傳統解決方案都是為應用程式安全團隊所設計的，而Vantage Prevent將動態應用程式安全測試帶進開發人員層級，鼓勵企業將動態應用程式安全，嵌入到整體品質測試過程中。</p> <p>Vantage Prevent是White Hat Vantage平臺產品組合中的第二個解決方案，是建立在雲端SaaS架構之上，提供完整的API，能夠與開發團隊現有的工具無縫整合，簡化工作流程並改進應用程式安全性。</p> <p>官方也預先公開接下來產品發布時程，White Hat Vantage平臺最後一階段的解決方案，將會在2022年稍晚公開，該解決方案將透過模擬對應用程式安全生成攻擊，來找出進入生產前和生產後，環境中可利用的漏洞，並提供安全團隊可以操作的指引，快速防範違規行為。</p> </div></div></div>
2022/1/14 08:59作者李建興https://www.ithome.com.tw/news/148876
微軟工作趨勢報告：2022年，疫情將給前線人員更大工作壓力，也揭露他們想換工作的5大理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨天發佈了2022工作趨勢指數報告（Work Trend Index）的其中一部分，有別於過去聚焦於資訊工作者，這次新增調查了前線工作者（Frontline Worker）對疫情下工作狀態改變的想法。微軟現代化工作部門副總裁Jared Spataro指出，前線工作者的定義，包括了來自各行各業第一線與顧客接觸的人員，比如醫院中的醫生與護士、製造業的客服人員或是製造貨品的人員、零售或餐飲業的人員等，這次調查更搜集了來自8個國家、橫跨8個產業，共9,600位前線工作者的意見。</p> <p>這份報告首先指出，由於共同分擔了疫情帶來的壓力，76%前線工作者認為，與同事的連結更緊密，但超過6成的人認為，領導者沒有將建立工作文化視為優先工作、溝通也沒有傳達到前線人員，這可能也是為什麼，另一項數據指出，過半數非主管級前線人員，認為自己在工作中沒有受到重視（feel Valued）。</p> <p>三年來，疫情對前線人員的來更大的工作壓力，58%受訪者認為，這股壓力在2022年只會持續或更糟，造成壓力的前五大原因，分別是工作負擔、低薪、長工時、管理顧客需求、疫情協議。在針對各國的調查中，高達8成日本前線人員認同這個態勢，為8個國家之冠。若以產業別來看，製造業前線人員對此更為認同，認同比例達到6成5。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-12%20%E4%B8%8A%E5%8D%8810_49_46.png" style="width: 1109px;" /></p> <p>另一項調查則是工作市場的大洗牌時代（the Great Reshuffle），前線人員想換工作的5大原因，依序是想賺更多錢、找到更好的生活與工作平衡、缺乏加薪、找尋更好的利益及要求更多工作的彈性。Jared Spataro認為，這對公司來說是一個重新思考並改變工作環境的機會，透過建立起具吸引力的工作環境與文化，才能在這個極具壓力的時代招聘人才。</p> <p>面對疫情加速企業對於數位科技的採用，員工擁抱科技的態勢又是如何？報告指出，有63%前線工作者對於科技創造的新機會感到興奮，46%更指出，他們更看重科技工具而不是心理健康和福利。同時，科技也在減輕壓力的排行中位列第三，第一、第二分別是薪水及有薪假（PTO，Paid Time Off），顯示前線人員也期待能擁抱新的科技工具。</p> <p>但同時，41%非主管級的前線工作者表示，他們現在沒有具備所需的科技能力。從科技實際導入數據來看也是如此，55%員工表示，他們過去採用科技時沒有經過正規訓練；46%員工擔心他們若沒有採用科技工具，可能會失去工作。這些調查結果反映出，企業在導入科技工具時，對員工的協助仍不足。</p> <p>因此，微軟建議，企業可以採取三項措施來支持前線員工的工作。一是優先考量前線員工的文化、溝通與福利；二是理解前線主管需要哪些幫助，來更好的賦能他們的團隊；三是思考科技可以好的提升前線員工近用科技的機會、改善生產力並減少壓力、消弭文化與溝通的落差、增加受訓的機會等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-13%20%E4%B8%8B%E5%8D%885_29_21.png" style="width: 1000px;" /></p> <h3><span style="color:#FF8C00;">微軟發佈多項協作工具更新，鎖定前線人員科技應用需求</span></h3> <p>微軟也同時參考這次報告的科技需求觀察，發布了多項協作工具更新。其一，Teams內建對講機（Walkie Talkie）功能，並結合Zebra的智慧型終端裝置，讓前線人員改變過去使用傳統對講機來溝通協作的行為，能夠以按壓語音通訊的形式（push-to-talk），來與他人溝通。這項功能也能支援iPhone或iPad。</p> <p>Teams也整合了Zebra工作管理平臺Reflexis中的工作調度規劃功能，要提供一個即時瀏覽、指派與管理Reflexis工作排程，預計在本月釋出。</p> <p>另一項這個月也將釋出虛擬會議預約管理功能。因應實體預約行為轉移到線上，微軟新增預約排隊的功能，讓員工能更全面地看到在特定地點的虛擬預約情形，包含即時更新、等待時間、排隊狀況、錯過或延遲的情形等。微軟還新增了端點管理功能（Microsoft Endpoint Manager），讓IT能透過GPS地圖，來定位前線人員放錯位置的裝置，並快速觸發聲音通知，讓第一線人員可以更輕易地找到錯放的設備。</p> </div></div></div>
2022/1/13 19:40作者翁芊儒https://www.ithome.com.tw/news/148864
金管會發布2022年多項施政重點，保險科技聚焦兩大發展方向，3月發布上市櫃公司永續發展路徑圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委黃天牧親率2位副主委與各局局長，在今天（1/13）舉行新春記者會，共同揭露2022年施政重點，除了發布上市櫃公司永續發展路徑圖之外，更揭露了今年多項金融科技與保險科技發展重點，以及強化資通安全措施等。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>保險科技2</strong><strong>大發展重點：純網路保險、保單存摺平臺</strong></span></h3> <p>金管會在保險科技將有2大發展重點，今年第三季將完成純網路保險公司的法制作業，緊接著在第四季將公布純網保公司申請設立情形。同時，也預計今年第三季擴大遠距投保、保險服務業務範圍，並將保經代納入適用。</p> <p>另一項發展重點是保單存摺平臺，預計在今年第四季正式上線，保險局局長施瓊華表示，這部分將分為人身保險與財產保險。人身保險的保單存摺平臺，由壽險公會以區塊鏈技術建置，保戶經過身分辨識後，就能透過一站式平臺查詢相關投保資料。財產保險如車險等險種，則由保發中心負責建置保單存摺平臺，同樣能在同一平臺總覽相關投保資料。</p> <p>另外，在證券業的金融科技發展上，金管會規畫在今年第四季開放證券商申請設立虛擬據點，或者提升實體營業據點數位化服務程度。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>Q1</strong><strong>推動主題式監理沙盒及業務試辦</strong></span></h3> <p>在發展金融科技面向，今年第一季，金管會將辦理主題式監理沙盒及業務試辦，現行機制是，業者有任何創新模式或技術，都能向金管會申請監理沙盒或試辦案件來落地應用。</p> <p>不過，今年金管會將參考英國作法來推動主題式監理沙盒及業務試辦。黃天牧表示，由於業界反映近期金融監理沙盒或試辦的案件數量沒有明顯增加，因此，金管會將以金融業者有興趣的金融創新議題，主動開立主題式議題來吸引業者。</p> <p>金管會綜合規劃處處長胡則華進一步解釋，要以金融市場的整體金融科技發展趨勢，比如，銀行、保險、證券三業需求最高的數位身分認證議題，來開立主題，將在農曆年前釋出運作模式。</p> <p>在監理科技面向，本國銀行申報報表全面採取API方式辦理，將於今年第一季正式實施。此外，第二季將推動監理科技黑客松第二階段，深入研究與分析導入應用需調整的事項。另外，金管會預計第四季將運用監理科技，導入量化選案AI評分技術，強化監理上市櫃公司效能。</p> <h3><span style="color:#0099ff;"><strong>Q2</strong><strong>輔導金融業者跨業試辦金融FIDO</strong></span></h3> <p>另一項施政重點是，預計今年第二季輔導業者跨業試辦金融行動身分識別標準化機制（金融FIDO）。去年底，金管會曾揭露，金融行動身分識別聯盟已決定採用晶片金融卡作為開通卡片。</p> <p>在開發上，將先採取分散式開發手機身分識別App，比如，金控旗下金融子公司，可建立金融FIDO自有體系，由金控設計同一款金融服務App，讓旗下子公司共用。據了解，目前有7組金融機構有意願建立金融FIDO自有體系。</p> <h3><span style="color:#0099ff;"><strong>金融機構間資料共享項目、內容、期間一致，無需逐次取得客戶同意</strong></span></h3> <p>此外，金管會於2021年末，發布一份金融機構間資料共享指引，訂定出一套金融機構間可執行的資料共享類型及相關辦理原則。</p> <p>金管會副主委邱淑貞表示，由於交易內容不同，金融機構間傳輸的資料也會不一樣，因此，採取客戶逐次同意，客戶可就不同資料來選擇是否共享。不過，邱淑貞進一步解釋，金融機構在資料共享同意書明列的資料共享項目、內容、期間屬於同類型時，就不用逐次取得客戶同意。</p> <p>另外，胡則華表示，金管會預期金融機構間有一定內控機制。因此，未來進一步開放金融機構與非金融機構資料交換時，會將資料軌跡追蹤機制納入參考。</p> <h3><span style="color:#0099ff;"><strong>強化金融資安有4</strong><strong>大措施</strong></span></h3> <p>金管會今年對強化資安面向，訂定出4大措施來分階段執行。首先，第二季將完成規畫重大資安事件應變情境演練，第三季預計辦理金融資安攻防演練，第四季則計畫督導公會增訂或修訂資通安全防護基準、供應鏈風險管理等自律規範，以及，完成金融機構金融資安治理成熟度評估工具。</p> <h3><span style="color:#0099ff;"><strong>今年3</strong><strong>月將發布上市櫃公司永續發展路徑圖</strong></span></h3> <p>此外，證期局局長張振山揭露，為了協助企業及早因應訂定減碳目標，金管會計畫今年2月邀集相關政府單位、上市櫃公司、金控公司、會計師事務所及第三方查證機構召開公聽會，並在3月正式發布「上市櫃公司永續發展路徑圖」。</p> <p>張振山表示，上市櫃公司永續發展路徑圖將按照上市櫃公司實收資本額，在2023年開始分階段推動，揭露內容包括溫室氣體直接排放、能源間接排放量。金管會規畫，在2027年，全體上市櫃公司必須完成溫室氣體盤查，且需與公司財務報表範圍一致，到了2029年，則要求全體上市櫃公司完成溫室氣體盤查的查證，需由第三方查證機構進行查證作業。</p> <p>金管會針對該路徑圖的核心策略是，落實董事會永續發展責任、與環保署與經濟部等部會建立跨部會合作機制、接軌國際且串聯全球永續生態鏈、建立人才培育與輔導機制來落實溫室氣體盤查及資訊揭露，以及，為了因應市場對ESG資訊揭露需求日增，將督導證交所建置ESG資料庫，建立資訊共享機制，藉此推動上市櫃公司ESG評鑑制度。文⊙李靜宜</p> </div></div></div>
2022/1/13 21:53作者李靜宜https://www.ithome.com.tw/news/148877
全聯拓展生鮮電商業務，目標Q1上架350間門市至Foodpanda接單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯今日（1/13）宣布生鮮雜貨外送服務繼與Uber Eats合作，增加外送合作業者Foodpanda，目標第一季350間門市上架Foodpanda接單，而去年底剛開設專做外送訂單生意的24小時店，本月從7家店擴大到10家。</p> <p>為了拓展線上銷售業務，全聯從去年初開始，投入生鮮雜貨外送，先推出自家外送服務「小時達」，隨後擴大電商服務的範圍，與外送平臺Uber Eats合作，消費者可透過Uber Eats訂購全聯的生鮮雜貨，由外送員送到指定地點，如今再添加全臺最大的外送平臺Foodpanda。第一季計畫上架350間門市，散落全臺21縣市，含金門、澎湖等離島。</p> <p>全聯總經理蔡篤昌點出與Foodpanda合作，可獲得3大競爭優勢。第一，借助Foodpanda全臺最大外送平臺的身分，全聯可接觸更多元的消費客層，特別是年輕族群。蔡篤昌更指出，相較其他外送平臺，Foodpanda客層更年輕，與全聯有相當大的互補性。</p> <p>其次，全聯生鮮雜貨外送服務在各大外送平臺的普及率，將達9成；第三大機會則是，配送服務涵蓋的臺灣人口數，將可達2千萬，相當於人口覆蓋率達近9成。</p> <p>今年，全聯還將持續地拓展生鮮電商的版圖，生鮮電商店將達600間，而24小時生鮮專門店則要達到50家，且不僅要增設服務外送訂單的店家數，可提供外送的商品數也將從2,500項增加到3,000項，相比去年，生鮮電商業績今年目標成長2倍。</p> <p>目前全聯門市能在10分鐘內，完成外送訂單的揀貨程序，有賴門市人員手上的智慧揀貨PDA，人員可從PDA螢幕獲悉訂單揀貨內容，而背後資訊流的串接，全聯利用API整合Foodpanda系統，獲取消費者在Foodpanda下訂的商品清單，送達指定門市的揀貨系統，與Uber Eats的合作模式相同。</p> <p>揀貨人員利用PDA接收訂單後，開始穿梭賣場揀貨，從日用品、乾貨、冷凍食品、冷藏食品，依序揀到易碎品，而每揀取一項商品，人員都會掃描商品的條碼，驗證商品項目和實際價格。完成整筆訂單揀貨程序後，系統會向外送員發送取貨通知。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20220113_141746%20web.jpg" style="width: 600px; height: 384px;" /></p> <blockquote><p>全聯外送訂單撿貨人員手持PDA，依據揀貨系統接到的外送訂單資訊，在超市中揀貨，每揀取一項商品，都會掃描商品的條碼，以驗證商品項目。攝影／黃郁芸</p> </blockquote> <p>除了門市上架Foodpanda平臺外，全聯其實從去年10月開始，就已與Foodpanda展開合作，利用Foodpanda快商務即時外送服務Pandago，來外送自家外送服務小時達的訂單。</p> <p>Pandago是Foodpanda在2020年推出的物流服務，以既有外送司機及車隊建立的龐大外送網，提供商家B2C短程快速物流服務。現階段，全聯利用Pandago物流服務支援超過250家生鮮電商門市的外送訂單需求。</p> <p>全聯門市上架Foodpanda，再加上小時達與Pandago服務間的合作，Foodpanda將涵蓋全聯超過75%外送服務門市的範圍。Foodpanda總經理方俊強更表示，雙方合作營收今年上看15億元。</p> </div></div></div>
2022/1/13 20:27作者黃郁芸https://www.ithome.com.tw/news/148874
國泰人壽推出個人保險數位平臺搶攻數位客群，能按需求組合保單試算保費，上線月餘受理超過700件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定數位族群保險需求，國泰人壽今天（1/13）發布個人保險數位平臺「自由配」，將國泰人壽保險商品元件化，讓保戶能依照真實需求與預算，線上瀏覽、即時組合保單與試算保費。藉由數位獲客方式，進一步引導到2大通路進行投保，包括線上商品客服諮詢及國泰人壽200名精選業務員，來提供後續服務。</p> <p>國泰人壽協理廖玉如表示，國泰人壽轉型辦公室去年8月調查數位原生世代對購買保險過程的期待有3項，像是更為自主、更透明、更即時。因此，國泰人壽數位發展部專案經理呂昱德提到，團隊將保險商品元件化，拆分成63支商品並對應保障項目，平臺也針對使用者介面與使用者體驗進行優化。</p> <p>廖玉如解釋，該個人保險數位平臺具體描述保險項目、保障條件，及理賠認定情境。比如，手術險的保障項目為10倍住院手術或2倍門診手術，承保條件為0到54歲民眾可投保，保額為500元到2,000元不等，理賠認定情境則為，因疾病或意外接受手術治療，住院手術給付10倍保險金額、門診手術則給付2倍保險金額。</p> <p>此外，該平臺一站式提供保費即時試算功能與理賠金試算公式。甚至，民眾在進行保單組合時，平臺的購物車會主動提示所缺少的保障項目。不過，平臺有線上與線下2項投保通路，包括傷害險、健康險2種險種，能全程以網路投保方式完成。</p> <p>但，廖玉如表示，因法規規範，網路投保商品採取正面表列開放，目前尚未開放住院日額、手術、重大傷病、癌症等商品類型。因此，針對這類型的保險商品類型，保戶在數位平臺上選擇完保單組合後，仍須仰賴線下業務員執行投保作業流程。</p> <p>另外，平臺上更推出多種生活情境組裝保險套餐，供消費者選擇。根據國泰人壽統計，個人保險數位平臺已上線1個多月，網頁瀏覽人次逾2萬人次，受理件數超過700件，其中，又以重大傷病、癌症、住院治療為前3大投保項目。</p> <p>國泰人壽更進一步揭露傳統通路與數位通路的效益，過去1個月，在20到34歲年輕客群中，透過傳統通路購買既有保障型商品的人數占33%，而透過新個人保險數位平臺購買商品的人數則占45%。</p> <p>未來，國泰人壽也要透過此平臺發展場景金融，特別是與保險有高度連結的場景，像是推薦國泰世華銀行線上定存客戶，可將定存利息用來購買小額保險，或者可與旅遊業等異業合作，透過API串接系統，當民眾購買旅遊行程、機票、高鐵票時，可同時購賣短期保險服務。文⊙李靜宜</p> </div></div></div>
2022/1/13 16:59作者李靜宜https://www.ithome.com.tw/news/148869
蘋果解決造成iPhone無回應的HomeKit doorLock臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT213043" target="_blank">蘋果本周釋出</a>iOS、iPadOS 15.2.1版以解決造成iOS裝置死機、無回應doorLock臭蟲。</p> <p>根據蘋果的描述，這項更新已改善輸入驗證解決HomeKit中一項資源耗盡問題。最新臭蟲會導致iPhone或iPad處理經惡意操弄的HomeKit裝置名稱時，引發阻斷服務（DoS）。</p> <p><a href="https://www.ithome.com.tw/news/148706" target="_blank">這次更新也是</a>回應安全研究人員Trevor Spiniolas上周公佈蘋果修補CVE-2022-22588不力。研究人員指控，他老早就通報蘋果，但蘋果拖了將近半年還沒修補。</p> <p>他發現，在以iPhone的Home App控制連結iCloud的HomeKit裝置中，當HomeKit裝置註冊名稱變更成極大字串（例如50萬字元）時，會引發iOS對所有輸入沒有反應，且iOS的backbardd控制程式被watchdog程式終止又重覆載入，並落入無限循環，而且用戶無法存取裝置上的資料。同時，由於這變更後的HomeKit裝置名稱儲存在iCloud中，因此iOS裝置重置後只要再登入iCloud，就會重演死機情形。研究人員將之稱為doorLock臭蟲。</p> <p>這項臭蟲影響產品包括iPhone 6s、iPad Air 2、iPad 5、iPad mini 4以及之後機種，iPod touch 7，以及所有機種的iPad Pro。蘋果呼籲用戶儘速更新。</p> </div></div></div>
2022/1/13 17:15作者林妍溱https://www.ithome.com.tw/news/148871
【資安日報】2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國際局勢上，俄羅斯APT駭客APT29、APT28、Sandworm Team，不斷針對關鍵基礎設施（CI）發動攻擊，而使得美國政府向相關業者發出警告，呼籲要積極監控工業控制系統（ICS）與操作科技（OT）環境，一旦發現疑似的攻擊跡象，就要進行通報。而類似針對CI的APT駭客，還有隸屬伊朗軍情單位的MuddyWater，他們主要的攻擊目標是電信業者、政府機構，以及石油公司。</p> <p>而中國通訊設備傳出可能會向中國政府回傳資料的跡象，過往集中的焦點多半是在行動裝置，但企業採用的IP電話也出現類似情形。最近有報導指出，美國有參議員向商務部提出，該國政府各級單位大量採用的億聯（Yealink）IP電話，不只設計上存在嚴重的資安問題，還會連線到阿里雲交換加密訊息。這樣的情形商務部會如何因應，相當值得觀察。</p> <p>除了上述的資安通告，以及中國產品的威脅，美國醫療機構資安事故頻傳的現象也引起關注。在我們今天提到的佛州消化道照護機構（FDHS）、美國醫療檢測研究所（MRIoA）的事故之餘，近期還有Ravkoo網路藥局、伊州生育中心、愛達荷州醫療機構Saltzer Health、佛州醫療照護系統Broward Health等組織傳出相關攻擊事件。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-russian-hackers-targeting-critical-infrastructure/"><span style="color: rgb(0, 0, 0);"><strong>俄羅斯駭客APT29、APT28、Sandworm Team鎖定美國關鍵基礎設施下手</strong></span></a></h4> <p>臺灣在資安即國安的戰略下，關鍵基礎設施（CI）成為重要的一環，而針對這類設施的相關威脅，國外也相當重視。例如，美國網路安全暨基礎架構安全局（CISA）、聯邦調查局（FBI）、國家安全局（NSA）聯合提出警告，APT29、APT28、Sandworm Team等俄羅斯政府資助的駭客組織，連年針對關鍵基礎設施，攻擊全球的工業控制系統（ICS）與操作科技（OT）環境，近期對於美國CI攻擊的情況加劇，他們呼籲相關業者要加強防護，保留各式事件記錄檔案（Log），並在察覺疑似遭駭的事件就進行通報。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/us-links-muddywater-hacking-group-to-iranian-intelligence-agency/"><span style="color: rgb(0, 0, 0);">美國指控MuddyWater駭客組織與伊朗軍情機構有關</span></a></strong></h4> <p>伊朗駭客組織MuddyWater（亦稱SeedWorm、TEMP.Zagros）近期動作頻頻，且都是鎖定電信業者、政府機構，甚至是航空公司等關鍵基礎設施下手，這樣的攻擊策略是否與軍事情報的收集有關？美國網站司令部（United States Cyber Command，USCYBERCOM）指出，MuddyWater是伊朗情報暨國家安全部（MOIS）下屬單位，他們也公布該組織於近期攻擊行動所使用的惡意軟體PowGoop情資，並指出這些駭客可能會透過DLL側載（DLL Side-loading）來執行，並混淆PowerShell指令以隱藏攻擊意圖。</p> <h4><a href="https://www.defenseone.com/technology/2022/01/common-office-desk-phone-could-be-leaking-info-chinese-government-report-alleges/360500/"><span style="color: rgb(0, 0, 0);"><strong>億聯IP電話設備疑似會每天向中國伺服器發送訊息</strong></span></a></h4> <p>中國的行動裝置會回傳資料到中國，而引起關注，但該國品牌的IP電話，也可能存在類似的情況。根據美國國防新聞網站Defense One的報導，該國參議員Chris Van Hollen於2021年9月28日，向商務部提及億聯（Yealink）IP電話潛藏的資安威脅，並引用資安業者Chain Security對於該廠牌T54W電話的分析報告，確認商務部是否知情。由於億聯為該國政府IP電話的10大供應商之一，該廠牌IP電話廣受美國政府與企業採用，該名參議員認為，恐會造成國安威脅。</p> <p>資安業者Chain Security在研究報告指出，T54W會每天透過其管理平臺（YDMP）連線到阿里雲，多次交換加密訊息，而且億聯中國的員工可透過YDMP超級管理員身分，來監控網路流量。此外，T54W的韌體沒有使用數位簽章，有可能遭到攻擊者竄改。再者，根據億聯的使用者授權條款，中國政府可基於國家利益考量，要求億聯對使用者進行主動監控。</p> <h4><a href="https://mb.com.ph/2022/01/10/comelec-servers-hacked-downloaded-data-may-include-information-that-could-affect-2022-elections/"><span style="color: rgb(0, 0, 0);"><strong>菲律賓選舉委員會伺服器遭駭，恐波及總統大選</strong></span></a></h4> <p>菲律賓即將於今年5月舉行總統大選，相關的競選活動與籌畫正在如火如荼進行，卻驚傳辦理選務的單位資料外洩。當地媒體馬尼拉公報（Manila Bulletin）發現，有駭客組織於1月8日入侵菲律賓選舉委員會（Comelec）的伺服器，並下載該單位的內部網路資料，包括網域相關資料及選務資料。攻擊者不只下載了網域管理員帳密、特權用戶名單、網域政策，並取得投票區地點與選務人員名冊等細節。馬尼拉公報認為，這起資料外洩事件很可能會影響接下來的總統大選。</p> <h4><a href="https://www.scmagazine.com/analysis/breach/213k-florida-digestive-health-patients-informed-of-2020-data-compromise"><span style="color: rgb(0, 0, 0);"><strong>美國佛州腸胃醫療機構驚傳資料外洩，21萬病人可能受到影響</strong></span></a></h4> <p>美國佛州消化道照護機構（FDHS）近日向212,509人發出資料外洩通知，表明一年前（2020年12月）數名員工電子郵件帳號遭到入侵的事故，不只該構構有部分資金遭竊，還有可能使得病人的資料外洩。這些資料包含了姓名、財務資料、聯絡方式、醫療診斷，以及保險與補助的資料。FDHS表示，電子病例系統（EMR）並未受到本起事故影響。</p> <h4><a href="https://www.securityweek.com/mrioa-discloses-data-breach-affecting-134000-people"><span style="color: rgb(0, 0, 0);"><strong>美國醫療檢測機構MRIoA資料外洩，恐波及逾13萬人</strong></span></a></h4> <p>美國醫療檢測研究所（MRIoA）發出公告指出，他們在2021年11月9日察覺遭到複雜的網路攻擊，並於同月12日出現客戶資料遭到未經授權存取的現象，這些資料包含了個人聯繫方式、社會安全碼、實驗室檢測資料，以及保險資料等。MRIoA強調，尚無證據顯示，外洩的資料導致客戶身分遭到盜用，該單位亦提供受影響的人士免費信用監控與身分保護服務。根據MRIoA繳交給緬因州總檢察長辦公室的文件，超過134,000人受到影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ea-50-high-profile-fifa-22-accounts-taken-over-by-phishing-actors/"><span style="color: rgb(0, 0, 0);"><strong>美商藝電驚傳FIFA玩家帳號遭駭</strong></span></a></h4> <p>美商藝電（EA）發布公告，指出足球電玩FIFA 22的玩家，有接近50個帳號遭到接管，攻擊者使用網路釣魚與其他社交工程手法，藉由客服人為錯誤來繞過雙因素驗證（2FA），來存取這些玩家的帳號，該公司將加強相關人員的訓練，以及改進身分驗證流程來因應。由於遭駭的玩家包含了直播主，甚至是Valentin Rosier等足球運動員，此事件的後續發展有待觀察。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-arrests-suspect-who-stole-unpublished-books-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);"><strong>義大利駭客發動網釣攻擊，竊取書籍稿件</strong></span></a></h4> <p>美國於1月5日逮捕29歲的義大利人Fillippo Bernardini，這名男子藉由曾在大型出版商Simon & Schuster工作，但自2016年8月，他涉嫌冒充出版業的人士，使用超過160個假造網域名稱的電子郵件，佯稱是出版社或是文學偵察員（literary scout），要求作者在書籍出版前提供手稿，其中不乏得到普立茲獎肯定的作家。該名男子亦針對紐約市一家文字偵察員公司發動網路釣魚攻擊，進而從中得知即將出版的書籍資訊。一旦被判有罪，Fillippo Bernardini恐面臨20年以上的監禁。</p> <h4><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-13_145921_165.jpg" style="width: 220px; float: right;" /></h4> <h4><a href="https://165.npa.gov.tw/#/article/risk/289"><span style="color: rgb(0, 0, 0);"><strong>東森購物、誠品書店與王品集團履列高風險賣場名單，到2022年初仍多起民眾通報，單誠品去年就有939件</strong></span></a></h4> <p>針對國內疑似個資外洩造成詐騙的問題，內政部刑事警察具165反詐騙諮詢專線，持續公布解除分期詐騙高風險賣場名單示警，到了2022年第一週，去年傳出客戶個資外洩的東森購物、誠品書店，仍位列名單第一第二，王品集團旗下餐飲品牌陶板屋也持續入榜。</p> <p>日前警方曾針對誠品書店個資外洩事件說明，指出該公司並未找到事件根因，而我們追問後得知，2021全年單是誠品的民眾通報件數，已高達939件，而東森購物與王品集團還在調閱資料中，但也可能有如此多，相較於前兩年，2020年是MOMO購物（383件）最高、2019年是MKUP美咖（421件），去年個資外洩引發詐騙的問題，明顯比往年嚴重。近期，165就會揭露2021年度的前五大高風險賣場。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/13 15:07作者周峻佑https://www.ithome.com.tw/news/148865
前Arm首席CPU架構師Mike Filippo從蘋果跳槽至微軟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-01-12/microsoft-recruits-key-apple-engineer-to-work-on-custom-chips" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，<a href="https://www.ithome.com.tw/news/131512" target="_blank">在2019年從Arm跳槽至蘋果的Arm首席CPU架構師Mike Filippo</a>，已被挖角至微軟，打算協助微軟打造Azure伺服器專用的處理器。此外，微軟向《彭博社》證實已延攬Filippo。</p> <p>Filippo曾在2004年至2009年間擔任英特爾的CPU系統架構師，再於2009年加入Arm，2019年被延攬至蘋果。蘋果在2020年發表了基於Arm架構的M1晶片，準備將所有個人電腦產品的晶片從英特爾置換成自家晶片，並計畫在今年發表M2，然而，今年1月蘋果一名資深晶片設計師Jeff Wilcox才跳槽至微軟，現在又傳出Filippo遭到微軟挖角，蘋果短時間便損失了兩名大將。</p> <p>根據報導，微軟打算藉由Filippo的專長，協助微軟打造Azure伺服器的專用晶片，向Google及Amazon看齊，亦將威脅到英特爾及AMD等微軟既有的晶片供應商。</p> </div></div></div>
2022/1/13 16:26作者陳曉莉https://www.ithome.com.tw/news/148867
FCC主席提出更嚴格的資料外洩通知規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）主席Jessica Rosenworcel，<a href="https://www.fcc.gov/document/chair-rosenworcel-circulates-new-data-breach-reporting-requirements" target="_blank">在本周提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM）</a>，將針對境內電信業者客戶專屬網路資訊（Customer Proprietary Network Information，CPNI）的外洩事件，祭出更嚴格的通知規定。</p> <p>新的規定將在外洩事件發生後，取消通知客戶的7天強制等待期；就算是不經意的外洩也必須通知客戶；此外，除了向聯邦調查局（FBI）與美國特勤局（U.S. Secret Service）通報外，也必須通知FCC。</p> <p>Rosenworcel表示，現行的法令已要求電信業者必須保護客戶資訊的隱私與安全，但FCC必須更新這些規定以充分反映資料外洩事件的進化，以及對受波及客戶所造成的立即威脅，隨著資料外洩事件的頻率、規模與複雜度都日益增加，再加上個人資訊的外洩所帶來的影響可能長達多年，客戶理應受到保護。</p> <p>此一NPRM必須由FCC的委員進行投票表決，才能決定是否施行。</p> </div></div></div>
2022/1/13 16:37作者陳曉莉https://www.ithome.com.tw/news/148868
Windows更新引發Server無限重開機、Hyper-V無法啟動、桌機無法VPN連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148841" target="_blank">本周微軟釋出的Patch Tuesday</a>，其中一項更新版引發Windows Server機器不斷重開機、Hyper-V無法啟動及檔案系統ReFS無法存取等問題。此外Windows 10及11桌機的VPN服務也無法連線。</p> <p><a href="https://borncity.com/win/2022/01/12/windows-server-januar-2022-sicherheitsupdates-verursachen-boot-schleife/" target="_blank">德國部落格Borncity報導</a> ，本月釋出針對Windows 8.1及Windows Server 2012 R2的KB5009624更新，原本是為了解決Windows Server中、用於修改LDAP參數時的 Active Directory （AD）屬性設計不當引發的安全問題，但卻引發作為網域控制器的Windows Server伺服器不斷重開機的麻煩。</p> <p>安裝這版更新後，Windows Server中的本機安全認證子系統服務（Lsass.exe）觸發違反存取規則（access violation）的錯誤訊息，並進一步導致作為網域控制器（domain controller）的Windows 機器不斷重開機。</p> <p>LSASS是Windows一個執行Windows系統安全政策內部程式，負責在用戶登入時電腦單機或伺服器時驗證用戶身份、管理用戶密碼變更、以及留存紀錄。這項行程終止時會引發系統重新啟動</p> <p><a href="https://www.reddit.com/r/sysadmin/comments/s21ae1/january_updates_causing_unexpected_reboots_on/" target="_blank">根據Reddit論壇用戶討論</a> ，受影響版本可能包括Server 2012R2、Server 2016 、Server 2019。目前唯一方法是移除這3個平臺的更新版。</p> <p>重開機問題外，<a href="https://www.reddit.com/r/sysadmin/comments/s1oqv8/kb5009543_january_11_2022_breaks_l2tp_vpn/" target="_blank">還有不少用戶反映</a>安裝更新後，跑在Hyper-V上的VM就無法啟動。<a href="https://www.reddit.com/r/exchangeserver/comments/s1y5pw/january_updates_refs_became_raw_for_database/" target="_blank">最新更新也造成</a>用戶 Windows Server中的彈性檔案系統ReFS磁碟區內的資料，全部變成無法讀取的原始資料，可能也是所有Server版本都受影響。</p> <p>微軟官方網頁目前尚未提及這些問題。</p> <p>同時間，<a href="https://www.reddit.com/r/sysadmin/comments/s1oqv8/kb5009543_january_11_2022_breaks_l2tp_vpn/" target="_blank">許多桌機版Windows用戶抱怨</a>本月更新安裝後，讓Windows 桌機的VPN無法使用，受影響的包括Windows 10、Windows 11內建L2TP VPN用戶端，以及部份第三方VPN應用程式如Meraki。出問題的更新包括Windows 10的KB5009543 和 KB5008876、以及Window 11的KB5009566。</p> <p class="rtecenter"><a href="http://www.reddit.com/r/sysadmin/comments/s1oqv8/kb5009543_january_11_2022_breaks_l2tp_vpn/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-kb%20problem-%EF%BC%93.png" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/148711" target="_blank">微軟上周才釋出Windows Server例外修補程式</a>，以解決12月中釋出的KB5008218版更新，導致的Windows Server遠端桌面無法連線、登入服務或運作變慢或停止回應的問題。</p> </div></div></div>
2022/1/13 15:34作者林妍溱https://www.ithome.com.tw/news/148866
駭客利用Azure、AWS服務散布RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://blog.talosintelligence.com/2022/01/nanocore-netwire-and-asyncrat-spreading.html" target="_blank">安全研究人員發現</a>，近日有駭客將腦筋動到公有雲頭上，利用微軟Azure及Amazon Web Services （AWS）來散布遠端存取木馬（remote access trojan, RAT）程式。</p> <p>思科旗下Talos Intelligence實驗室去年10月底，發現一個不明組織散布Nanocore、Netwire和AsyncRAT的變種。這些變種包含多種功能，可控制受害者電腦、執行遠端程式碼及竊取受害者資訊。</p> <p>這波感染行動一開始是駭客寄送有惡意ZIP附件的釣魚信件。這些ZIP附件包含ISO映像檔及JavaScript、Windows 批次或Visual Basic script寫成的下載器。當這個script在用戶電腦執行後，這個檔案就會連到外部下載點，以下載次階段的惡意程式。這些下載點可被代管在微軟Azure上的Windows伺服器或是AWS EC2執行個體。而為有效下載次階段的惡意程式，攻擊者還利用免費動態DNS服務DuckDNS註冊惡意子網域。</p> <p class="rtecenter"><a href="https://blogger.googleusercontent.com/img/a/AVvXsEi7xhO2xsatFHYVEgVnEvX1ke9YXqLub1hLgaZlEPW-52zT0KDH60oKDB19_WoEvtFLTVOWIWj3qwDNyGD3tGHaYv61u9Mqpjy9vJwgj2jTS--1pV5Ig4I5nAawApDLw054Dc93oIxvofb2lV41vgyjGA0JTWYV_HCozsetsIQbwslIrBCJpgXNl5RxLA" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEi7xhO2xsatFHYVEgVnEvX1ke9YXqLub1hLgaZlEPW-52zT0KDH60oKDB19_WoEvtFLTVOWIWj3qwDNyGD3tGHaYv61u9Mqpjy9vJwgj2jTS--1pV5Ig4I5nAawApDLw054Dc93oIxvofb2lV41vgyjGA0JTWYV_HCozsetsIQbwslIrBCJpgXNl5RxLA" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／思科</span></p> <p>研究人員分析，最後下載到用戶電腦的惡意程式包括Nanocore、Netwire和AsyncRAT等RAT程式的變種。以其技術能力而言，Nanocore可蒐集受害電腦影音資料及遠端桌面、Netwire則可遠端執行指令以竊取受害者密碼、登入憑證及信用卡資料。AsyncRAT則能藉由紀錄鍵擊、錄製螢幕、及設定系統組態，以便蒐集受害機器的機密資料。</p> <p>依據惡意子網域的DNS呼叫分布來判斷，這波攻擊可能受害者分布在美國、加拿大、義大利及新加坡，此外西班牙及南韓也有零星案例。</p> <p>研究人員建議企業應時常檢查連向雲端服務的對外連線，以偵測可能的惡意活動流量。</p> </div></div></div>
2022/1/13 13:08作者林妍溱https://www.ithome.com.tw/news/148861
Jack Dorsey設立比特幣法律防禦基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter共同創辦人、知名比特幣（Bitcoin）擁護者的<a href="https://lists.linuxfoundation.org/pipermail/bitcoin-dev/2022-January/019741.html" target="_blank">Jack Dorsey在12日宣布</a>，將設立比特幣法律防禦基金（Bitcoin Legal Defense Fund），以協助比特幣社群對抗各式各樣的法律訴訟。</p> <p>Dorsey說，法律訴訟與持續的威脅正對比特幣社群產生預期的效果，個別的被告在缺乏法律支援的情況下紛紛選擇投降，這些經常單獨的開源碼開發者特別容易受到法律壓力，而影響他們發展比特幣或相關專案的意願，因此決定設立非營利的基金來協助捍衛開發者。</p> <p>Bitcoin Legal Defense Fund初期是由一群志願者及兼職律師開始，將協助開發者尋找辯護律師、制定訴訟策略及支付法律費用等，開發者可以自行選擇是否求助該基金，而該基金的董事會也將負責確定要協助哪些訴訟，以及未來是否對外募資。</p> <p>此外，該基金的首波行動將是接管Tulip Trading控訴16名比特幣開發者的訴訟案。Tulip Trading為澳洲企業家Craig Steven Wright所設立的英國公司，<a href="https://www.ithome.com.tw/news/105677" target="_blank">Wright曾對外宣稱</a>他就是發明比特幣的中本聰。</p> <p>根據該訴訟，Wright表示自己有兩個分別存放3.1萬個比特幣及近8萬個比特幣的加密貨幣錢包，並在2020年遭到駭客入侵，駭客盜走了這兩個錢包的金鑰，因而認為Bitcoin Core的開發者負有信託責任，必須將這兩個錢包的存取及控制權交還給他。</p> <p>不管技術上可不可行，Wright在今年2月提出的訴訟，倫敦法院於今年5月批准了訴訟的進行。</p> <p>Dorsey表示，針對此一訴訟，Bitcoin Legal Defense Fund也願意提供資金讓被告尋求外部的律師協助。</p> </div></div></div>
2022/1/13 13:32作者陳曉莉https://www.ithome.com.tw/news/148862
統一向無人化智慧商店再邁進一步，顧客免到櫃檯結帳，一支手機就能在實體店自助結帳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼先前4間無人商店啟用後，超商龍頭7-Eleven最近再推出第5間無人商店X-STORE 5，有別於前4間無人超商，該店最大特色就是將店內購物和結帳流程，都能透過一支手機完成，甚至不用走到自助結帳櫃臺，就能完成所有購物和結帳，提供全新零接觸零售消費體驗。</p> <p>儘管不像美國Amazon Go無人店是利用AI電腦視覺，偵測民眾在店內如何拿取商品來自動結帳，在這間無人超商購物和結帳時，民眾仍需操作自己手機，但已向無人化商店更邁進一步。</p> <h3><strong>手機就能完成購物和結帳，免排隊等待</strong></h3> <p>7-Eleven自2018年推出首間無人商店X-STORE，開始結合無人自助結帳、IoT智慧咖啡機等各種智慧科技設備，來打造智慧零售科技實驗場域，短短3年間陸續在臺北、高雄、臺中啟用4間無人商店，迄今已有超過2,300萬人次使用。截至目前更有高達6,000家門市已導入這項實驗的部分應用成果，例如電子數位看板等。</p> <p>新啟用的5號店落腳在桃園市大園區大成路上，緊鄰桃園高鐵站與大型購物商場，同樣是24小時提供全天營業。整間門市採用複合店經營型態，分為無人自助體驗區和人工結帳的複合服務區，其中自助體驗區坪數約14.6坪，店內空間並不大，僅有兩排貨架，擺放零食、泡麵、生活用品，至於複合服務區較寬敞，有48坪。</p> <p>進到自助體驗區，入口處有兩個進出閘門，一般民眾需持 icash 2.0卡、 Openpoint app會員條碼進行掃描或在平板螢幕輸入會員手機號碼，才能進出商店，每次僅允許一人通行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%942-%E8%87%B3%E6%B5%A9-%E7%84%A1%E4%BA%BA%E5%BA%97%20-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p dir="ltr" id="docs-internal-guid-27e3eb7a-7fff-40e9-5ac4-edcaf41e88f3">就像其他X-STORE無人店，該店入口處設有兩個進出閘門，民眾需持icash 2.0卡、 Openpoint app會員條碼進行掃描，或在平板螢幕輸入會員手機號碼，才能進入商店，每次僅允許一人通行。（攝影／余至浩）</p> </blockquote> <p>店內設置兩個自助結帳櫃臺，消費者選完商品後可將商品放到櫃臺，使用PoS機掃描商品進行結帳。除了設置自助結帳機之外，7-Eleven在這間門市還提供了另一種全新的零接觸購物模式，導入與合作夥伴共同打造一套iscan X ipay無人購物技術，讓民眾用自己手機就能邊刷邊購物，甚至不只商品，消費者也能夠透過手機選購要喝的咖啡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pictures.jpg" style="width: 600px;" /></p> <blockquote><p>店內除了提供自助結帳機付款，顧客還可以自己手機隨刷隨買，用手機掃描貨架商品的電子標籤條碼，自動將商品計入用戶的行動購物車，要結帳時，用個人手機就能完成付款，現支援Open錢包、icash Pay線上支付。（攝影／余至浩）</p> </blockquote> <p>使用這項零接觸無人購物服務時，民眾需以手機掃描店內iscan X ipay立牌上的QR碼，再輸入手機號碼，就會在手機開啟虛擬行動購物車的購物網頁，可利用手機相機來掃描商品進行購物。該會員手機號碼可供之後訂單明細寄送使用。</p> <p>從貨架拿取商品時，消費者得以手機掃描貨架商品的電子標籤條碼，或是商品包裝條碼，透過影像辨識來辨識出該商品，並且計入該用戶帳戶的行動購物車裡，一次購買多件相同商品時，可在購物清單上自行選擇商品數量，不用重覆掃描，遇到小件商品或是擺放位置的照明不明時，也有提供輔助工具，像是可放大螢幕畫面或開啟手機手電筒功能來加強辨識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%944-%E8%87%B3%E6%B5%A9-%E7%84%A1%E4%BA%BA%E5%BA%97%20%E2%80%93%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%207-Eleven.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>使用這項零接觸無人購物服務時，需以手機掃描店內iscan X ipay立牌上的QR碼，再輸入手機號碼，就會開啟虛擬行動購物車的購物網頁，可利用手機相機掃描商品進行購物。該會員手機號碼可供之後訂單明細寄送使用。（圖片來源／7-Eleven）</p> </blockquote> <p>當選購物品完成準備結帳時，消費者可用自己的手機就能進行付款，不需要到櫃臺結帳，目前可支援Open錢包或 icash Pay線上支付，用戶付完款後就能走出店外。除了直接靠手機付款，也能將行動購物車商品清單轉換為QR碼，使用自助結帳機付款。</p> <p>7-Eleven表示，這間無人商店搭配了一套監控機制，可用來追蹤用戶有無按拿取商品來付款，不過，記者實測拿著還未結帳商品靠近出口閘門，門仍會感應自動開啟，似乎還沒建立一套能夠偵測消費者完成付款才能離開的機制。</p> <p>除了用手機就能購物和結帳外，店內也整合了前幾家X-STORE門市的智慧零售應用，在商品貨架皆導入無紙化電子標籤，來管理和更新商品資訊，還設置電子數位看板，配合貨架商品來提供優惠資訊或推薦商品；再者，店內也導入IoT應用可用於電量、溫度監控及故障回報，還能偵測店內設備有無遭竊。智慧咖啡機本身結合IoT遠端管理，能即時監控和管理原物料庫存及銷售情形等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5(21).jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>5號店採用複合店經營型態，分為無人自助體驗區和複合服務區，其中自助體驗區坪數約14.6坪，店內空間並不大，僅有兩排貨架，擺放零食、泡麵及生活用品。店內還設置兩臺自助結帳機與一臺自助咖啡機。（攝影／余至浩）</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/6(15).jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>購買咖啡時，以手機取得條碼並完成掃描後，咖啡機就能開始製作咖啡，不需要通過自助結帳機印出QR碼小白單，還結合IoT遠端管理監控和管理原物料庫存及銷售等。（攝影／余至浩）</p> </blockquote> <p> </p> </div></div></div>
2022/1/13 13:50作者余至浩https://www.ithome.com.tw/news/148863