iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

McAfee企業部門、FireEye合併為XDR業者Trellix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220118006116/en/" target="_blank">由McAfee企業安全及FireEye合併的新公司本周宣布以Trellix掛牌</a>，將提供企業擴充偵測與回應（Extended Detection and Response，XDR）方案。</p> <p>私募基金業者Symphony Technology Group（STG）去年3月及6月，先後以40億及12億美元，買下McAfee企業安全部門、以及FireEye網路、郵件、端點、雲端產品及安全管理和協作平臺。<a href="https://www.ithome.com.tw/news/147203" target="_blank">兩家業務去年10月已經整合於一</a>。</p> <p><a href="https://www.trellix.com/en-us/index.html" target="_blank">合併後的安全公司本周宣布以Trellix掛牌</a>，整合雙方產品技術、客戶、合作夥伴與通路，擁有4萬家客戶、5000名員工，以及近20億美元的營收。</p> <p>STG表示，Trellix的名稱取自trellis（網格棚架），意為支持植物生長的強大與安全框架。Trellix將如其品牌名承諾的，提供「活的安全」，即能不斷學習及適應的安全技術，以保護企業營運防禦進階網路威脅。</p> <p>Trellix將整合McAfee Enterprise和FireEye技術，成為XDR（Extended Detection and Response，擴充偵測與回應）方案供應商。執行長Bryan Palma指出，Trellix XDR平臺將利用自動化、機器學習、擴充式架構及威脅情報，將安全整合到企業日常營運作業中。新的整合平臺提供橫跨端點、基礎架構、應用程式及雲端的防護。</p> <p>STG預計本季會再成立一家新公司，名為McAfee Enterprise Secure Service Edge，它定位為SASE（Secure Access Service Edge，安全存取服務邊緣），包含Cloud Access Security Broker（CASB）、Secure Web Gateway （SWG）和Zero Trust Network Access（ZTNA）等服務。</p> </div></div></div>
2022/1/20 11:15作者林妍溱https://www.ithome.com.tw/news/148980
免費企業版G-Suite 7月將調整為收費版Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/a/answer/2855120" target="_blank">Google昨（19）日宣布</a>，企業使用的免費版G-Suite，從今年7月1日將開始收費。5月1日Google會自動幫你升級為Workspace。</p> <p>免費版G-Suite最早名為Google Apps，是2006年針對企業、政府、教育及個人提供的生產力應用。Google於2012年12月終止新客戶申請。2016年這項服務改名為G-Suite，而<a href="https://www.ithome.com.tw/news/140395" target="_blank">在2020年再一次改名為Workspace</a>，包含雲端生產力應用及協同服務（Google Docs、Sheets、Gmail、Google Drive及Google Meet等），並分成基本及進階版本。第一代免費版Google Apps/G-Suite服務則一直持續，直到本周的宣布。</p> <p>自2022年7月1日起，不再提供免費舊版Google Apps/G-Suite服務。這些服務用戶必須升級到付費版Google Workspace才能繼續使用，他們可以依訂閱人數需求選擇Google Workspace Business Starter、Business Standard及Enterprise Standard三種等級服務，用戶在300人以上就必須選擇Enterprise版本。</p> <p><a href="https://support.google.com/a/answer/60217?hl=en" target="_blank">根據英文版說明</a>，5月1日升級到Google Workspace服務，有2個月免費使用時期。遲遲未動作者，其服務會自動在5月1日起升級到Google Workspace。Google表示會依據現有使用的功能升級到新服務。</p> <p>Google 同時也要求現有用戶在7月1日前，設定Google Workspace支付細項。不願提供者，Google Workspace服務會被暫停，直到用戶設定收費帳戶。而在暫停60天後，核心服務包括Gmail、Calendar、Meet等就無法再使用，屆時必須要再重新申請回復帳號。</p> <p>決定不再使用Google Apps/G Suite/Google Workspace的企業用戶，可以<a href="https://support.google.com/a/answer/100458" target="_blank">按Google指示</a>將資料匯出。</p> <p>至於教育機構或非營利機構用戶，目前已經免費使用Google Workspace for Education Fundamentals、Google Workspace for Nonprofits兩種版本者，則尚不會受到影響。</p> <p>Google已漸漸將免費版服務轉為營收來源。去年6月1日起，<a href="https://www.ithome.com.tw/news/144274" target="_blank">Google 整合</a>Photos、Gmail、Google Drive服務於上限15GB的免費額度中，上傳的檔案超過15GB者，用戶就得購買Google One（原名Google Drive）服務。</p> <p>同月，Google再將原本針對企業的生產力及協同平臺服務Workspace，<a href="https://www.ithome.com.tw/news/145035" target="_blank">開放給所有具備Google帳號的用戶</a>，針對個體戶主打小型企業的訂閱服務Workspace Individual。</p> </div></div></div>
2022/1/20 10:07作者林妍溱https://www.ithome.com.tw/news/148976
Google針對零售商推出能精確預測需求的工具Vertex AI Forecast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google大腦所開發的最新技術<a href="https://cloud.google.com/blog/topics/retail/retail-forecasting-ai-real-time-insights-vertex-ai-forecast">Vertex AI Forecast</a>，可讓零售商將機器學習融入到現有的需求預測系統中，精確地預測商品的供需。</p> <p>Vertex AI Forecast能夠從BigQuery或是CSV檔案中，擷取高達1億行的資料集，以涵蓋數千條產品線和多年的歷史資料，並使用強大的建模引擎，自動處理資料，評估數百種不同的模型架構，最後將最好結果打包成易於管理的模型，即便沒有資料科學專業知識的用戶，也能夠簡單使用。</p> <p>Vertex AI Forecast需求預測可以考量多達1,000種不同的需求驅力，包括顏色、品牌和促銷計畫等，並設定預算來創建預測，而且因應市場條件變化快速，用戶可以在短短2個小時內，不需要手動調整模型，使用Vertex AI Forecast來以最高精確度建構需求預測。</p> <p>Google解釋，模型架構搜尋是Vertex AI Forecast的重點，這個功能可以評估數百種不同的模型架構和配置，其所使用的演算法，允許Vertex AI Forecast針對各種條件和資料集，找到效能最佳的模型配置。</p> <p>借助Vertex AI Forecast的分層預測功能，零售商可以生成高精確度的預測，預測能夠分成多個等級，像是將單個品項、商店等級和地區等級等需求捆綁在一起。當歷史資料稀少時，分層模式還能夠提高整體準確性，當單個品項的需求過於隨機無法預測時，該模型仍然可以在產品類別等級找到模式。</p> <p>Vertex AI可以使用大量結構化和非結構化資料，使規畫人員能夠納入許多相關的需求驅力，像是天氣、產品評論、宏觀經濟指標、競爭對手的行動、商品價格和海運承運成本等。Vertex AI Forecast的可解釋性功能，可以顯示這些驅力對預測所做出的貢獻，來協助決策者儘早針對需求，採取必要的措施。</p> <p>需求驅力不僅可用於整體預測，也可以針對單一商品，像是計畫者可能會發現促銷是工作日服裝類別需求的主要驅力，但在假期則不一定，因此計畫者便能夠利用這些分析結果來制定策略。在使用Kaggle資料的基準測試中，Vertex AI Forecast在世界頂尖的預測競賽M5中，獲得最高達3％的準確率表現。</p> </div></div></div>
2022/1/20 08:51作者李建興https://www.ithome.com.tw/news/148975
BigQuery提供Explainable AI功能，可解釋特徵對機器學習模型的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料倉儲BigQuery正式向用戶提供<a href="https://cloud.google.com/blog/topics/developers-practitioners/bigquery-explainable-ai-now-ga-help-you-interpret-your-machine-learning-models">可解釋人工智慧（Explainable AI，XAI）</a>功能，使得用戶能夠更了解機器學習模型做出決策的方法。官方提到，BigQuery針對不同的模型類型，提供各種XAI方法，全面地支援可以解釋性人工智慧，供用戶使用單一SQL查詢，並能在數秒內獲得數百萬個解釋。</p> <p>不少企業在內部導入機器學習技術，但是要使得人工智慧的決策更為可信，人工智慧必需要具有可解釋性，Google提到，在訓練機器學習模型時，與特徵相關有兩類可解釋性，分別是全域可解釋性，以及區域可解釋性。</p> <p>全域可解釋描述了特徵對模型的整體影響，能夠讓用戶了解特定特徵，是否比其他特徵對模型的預測，存在更大的影響力，當模型具有數百或是數千個特徵，用戶想要知道哪些特徵，是模型的主要貢獻者，則全域可解釋就會特別有用，用戶能夠以此來修剪不太重要的特徵，來提高模型的通用性。</p> <p>而區域可解釋性則描述每個特徵對特定預測做出的貢獻，以房價為例，房屋不同的特徵可能會在房價上做出貢獻，像是具有3間臥室的房屋，在房價可能額外貢獻5萬美元，靠近市中心價值增加10萬美元，建造的年份為2010年，可能房價又會上升3萬美元等。Google表示，區域可解釋性的目的，是要用來了解模型每個特徵，之於預測的切確貢獻。</p> <p>BigQuery Explainable AI透過定義資料列中，每個特徵對預測結果的貢獻，使得用戶能夠深入了解機器學習模型，在分類和迴歸任務所生成的結果，Google提到，這被稱作特徵歸因，這項訊息可用來驗證模型的行為是否符合預期，並辨識模型中的偏差，還能獲得改進模型和訓練資料的方法。</p> <p>BigQuery Explainable AI適用於多種模型，包括獨立同分布資料（IID Data）的監督式學習模型，和時間序列模型，針對每種模型，BigQuery Explainable AI都具有不同的可解釋性方法，而每種可解釋性方法都有各自的運算方式。</p> </div></div></div>
2022/1/20 09:04作者李建興https://www.ithome.com.tw/news/148967
模式是語言缺陷？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近重新整理一些關於模式的看法，我想起了看過有不少人認為，模式暗示、代表或者其實就是語言的缺陷，而他們有些人談到的模式，是狹義的Gof設計模式，總會列舉其中一些模式，稱在某語言中根本不需要這些模式。</p> <p><span style="font-size:28px;"><strong>語言缺陷的說法來源？</strong></span></p> <p>關於語言缺陷的說法來源，不乏許多大師級人物，例如，《松本行弘的程式世界》作者，在書中談過：「有些模式在C++、Java這類靜態定型語言中很有效，但在Smalltalk與Ruby這類動態定型語言，沒有多大意義」，甚至Gof的Ralph Johnson在〈<a href="https://bit.ly/3EAzpkk" target="_blank">Design Patterns 15 Years Later</a>〉也談到：「有些語言不需要某些設計模式，這些語言提供了問題的替代方案」！</p> <p>也有不少人會引用Peter Norvig的演講〈<a href="https://bit.ly/32Hwjhp" target="_blank">Design Patterns in Dynamic Programming</a>〉內容，例如，Brendan Eich在《Coder at work》就曾提過：Peter Norvig說模式顯露了語言的某種缺陷，Brendan Eich後續進一步說到，應該尋求語言的演化，加入適當的元素。</p> <p>有的人則指出，函數式語言不需要設計模式，例如，Weblocks創建者Slava Akhmechet曾在〈<a href="https://bit.ly/32vkRpf" target="_blank">Functional Programming For The Rest of Us</a>〉中，直指「函數式語言不需要設計模式，因為語言夠高階，程式設計使用的概念會消除設計模式」。</p> <p>有些人談到模式時，沒有特別說是Gof設計模式，而是指出現類似設計，甚至是某種規律，例如，Paul Graham曾在〈<a href="https://bit.ly/3FRCdLD" target="_blank">Revenge of the Nerds</a>〉最後談到：「在程式中看到模式，他認為是個麻煩的訊號」、「程式碼中任何規律性都是個訊號，至少對他而言，代表著目前使用的抽象元素不給力」。</p> <p><span style="font-size:28px;"><strong>設計權衡與語言限制</strong></span></p> <p>單就Gof的設計模式來說，由於作者們使用靜態定型、物件導向的C++來呈現範例，後續又很大程度地被同為靜態定型、物件導向的Java發揚光大，經常地就會引來動態定型、不愛物件導向、支持函數式語言的人們進行批判，聲稱自己熱愛的定型方式、典範，不需要這些設計模式，進一步宣稱C++/Java需要這些模式，是因為它們有問題！</p> <p>在我看來，這是太過於重視設計模式的名稱、實現形式，而不是去重視設計模式的思考過程了，而且，有些人的論調會讓人覺得：他們只是純粹討厭靜態定型、物件導向，或許是因為身處的領域中，動態定型、函數式可以更愉快地解決他們的問題，卻不去看待其他領域，有些人使用靜態定型、物件導向，其實能適切地解決需求的這個事實。</p> <p>很多人會引用Peter Norvig的演講，然而，因為我找不到影片或逐字稿，單就演講用的投影片來看，並沒有直接提到設計模式是語言缺陷之類的內容，倒是常提到設計的權衡（trade-off）與語言的限制（limitation），像是第四頁談到什麼是模式時，其中的兩個要點就是「用來討論、評估、記錄設計上的權衡」、「避免實作語言的限制」。</p> <p>他也談到，設計模式有著無形（Invisible）、非正式（Informal）、正式（Formal）等不同的封裝層次，由於動態語言的限制較少，Gof的23個設計模式中，有些模式在動態語言會是無形，例如，具有類別封裝概念，然而沒有正式類別語法，有的模式會被簡化，例如物件間的協定，不見得像Java使用interface來定義，鴨子定型就可以了。</p> <p>那麼，我們能說類別、靜態定型限等制、16個模式代表著C++/Java的缺陷嗎？既然如此，為什麼JavaScript後來要加入類別語法？TypeScript基於JavaScript增加了靜態定型？Python的型態提示會需要Protocol呢？</p> <p>請不要因為長期以來，使用的語言一直難以解決你某些需求，看到另一門語言簡單幾行就能解決掉，就開心地擁抱另一門語言，畢竟該語言可能在面對其他需求時，有更多難以施力之處，想一下，是不是因為長期以來的積怨確實獲得宣洩，導致你忘了、沒時間或不想去檢視那些需求罷了？</p> <p><strong><span style="font-size:28px;">程式碼中的規律性</span></strong></p> <p>有人會說JavaScript是有缺陷啊！因為不支援類別，才會產生許多模擬類別的模式，因而ES6以後才制定了類別語法，這不就是模式代表語言缺陷，新特性補上後就不需要那些（模擬類別）模式了啊！</p> <p>這就引發了一個問題！若單純認為模式是語言缺陷，語言的新版本用新語法就是補上缺陷，那麼，總有一天，會出現一門沒有缺陷的完美語言嗎？</p> <p>絕對不會！因為在不斷因模式出現而彌補缺陷的過程中，這語言會逐漸被不斷新增的特性給壓垮，而越來越多的特性，造成學習曲線越來越高、選擇越來越多、程式碼越來越複雜、越來越看不懂、越來越難以維護……，然後越來越多的人遠離該語言……，直到有一日該語言迎來終焉。</p> <p>無論是設計模式或廣義的模式，代表的是一群人在目前語言的抽象上，建立起來的相似性，代表有著越來越多人，試圖解決類似的問題，Paul Graham說，這類規律性，是目前使用的抽象元素不給力的訊號，然而，若因此為語言加入新特性，語言終究會被特性壓垮，這也是越是悠久的語言，面對新特性越是躊躇不前的原因。</p> <p>而且，你知道〈Revenge of the Nerds〉在談什麼呢？談為何現代主流語言有個趨勢，新特性多少有著Lisp的影子，或者更進一步地，朝著函數式設計、lambda演算，甚至是數學層次抽象靠近的趨勢，某些程度上，是在吹捧Lisp的文章，而且，函數式不也是有些模式的存在嗎？</p> <p>另一方面，往數學層次抽象靠得越近，確實就能解決越多的問題，文中談到Lisp一開始不是以語言為出發點來做設計，而是基於數學的抽象來做設計，因而Lisp有些元素是允許你實現方言，來解決某群人面對的類似問題，然而，這也是程式庫或框架在解決的事，只是有些語言可以讓它們，看來像是語言的一部分罷了。</p> <p>模式是程式碼中規律性的表現，然而，規律性來自於某群人面對類似問題時，是怎麼分解問題、衡量限制、思考對策及實現；如果模式代表語言的缺陷，這就好像在說存在一門語言，用它來撰寫的話，每個人寫出來的設計、風格絕對不會構成相似性，有這種語言的可能性嗎？而且，這另一方面也是在說：不會有程式庫或框架的需求了！</p> <p><strong><span style="font-size:28px;">運算本質上就是模式</span></strong></p> <p>某模式不代表語言的某缺陷，而是代表過去一群人面對某些問題到解決的過程，發現某些共通、抽象的概念，只不過你試著用這些概念解決問題時，實現上困難或簡單罷了，例如，C仍能實現物件導向的概念，只是比較麻煩，C有自身應用的領域，不能因為想實現物件導向麻煩，就說那是它的缺陷！</p> <p>許多人會說是缺陷，可能只是實作上覺得麻煩，或是反對不假思索地套用模式，反對過於重視模式的名稱、實現形式，反對將程式碼寫到像某種模式作為終點，而不是將之視為思考過程的參考之一。</p> <p>不要單純地從模式是語言缺陷來思考，畢竟模式構成的過程中，要考量的事情太多了，有時甚至是因為從使用的工具、團隊合作、管理等角度來考量，才會構成某種模式，而且，別忘了，語言的本質就是運算，而運算的本質就是重複，運算本質上就會構成模式，不會構成模式，又何來運算呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%A8%A1%E5%BC%8F">模式</a></div></div></div>
2022/1/20 07:00作者林信良https://www.ithome.com.tw/voice/148900
Target如何提前阻止大規模事故？從POS失效徵兆學到4大SRE教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年，全球疫情爆起的一年，卻也是美國零售巨頭Target營收大爆發的一年，營收足足比前一年成長了20％，數位通路的銷售更是驚人，一口氣爆增了150%。</p> <p>但在2020年3月13日這一天，如果SRE工程師沒有盡責的察覺到監控儀表板上那個異常訊號，恐怕到了周末復活節大特價活動，不只線上商店，Target全美近2千家賣場，都難以順利進行任何一筆結帳，Target年營收就不可能達到20%如此高的成長幅度。</p> <p>那一天，一位SRE工程師發現，有家Target賣場，結帳櫃檯的POS系統掃碼速度慢了，「嗶」聲出現的時間，比慣常的時間還要久。意識到不對勁的工程師主動清查，一查才發現，不只一家，而是有好幾家分店都出現了POS機掃碼速度變慢的徵兆。</p> <p>「店內系統掃碼服務當機，轉移到總部機房內的備援服務接手，才出現了掃碼速度變慢的徵兆。」Target的SRE總監Kathryn Blanchard直到2021年4月自家技術研討會中，也就是事發一年後，才敢對外公開了這起差點造成Target營運全面中斷的事故。</p> <p><span style="font-size:28px;"><strong>SRE主動追查掃碼服務失效異常，先緩解影響再尋找根本原因</strong></span></p> <p>當時，Kathryn Blanchard所率領的SRE團隊才剛成立3個月，後續追查事故問題後發現，那些部署在店內機房提供掃碼功能的服務當機了，系統自動轉移給總部的備援掃碼服務來接手，支援分店內櫃檯的作業，但遠端連線的網路延遲，讓掃碼速度慢了一些，不過，這些店的顧客沒有察覺異常，而是SRE團隊從監測工具上看到掃碼時間的變化，發現了這個結帳服務失效的徵兆。</p> <p>SRE工程師第一時間先啟動暫時性對策，進行系統復原，回到前一個正常運作的系統版本，讓這些店內結帳服務功能恢復運作，不用靠遠端的備援服務，避免繼續發生結帳延遲的情況。第一時間緩解問題後，SRE團隊再展開調查，要找出造成服務當機的事故根源。</p> <p>美國每年3月到4月初，是百貨零售上半年競爭最激烈的復活節折扣月活動，這是每年兒童用品銷量暴衝的關鍵時刻。2020年3月13日是星期五，隔天就是民眾大搶購的周末熱門時段。</p> <p>尤其，美國疫情在3月17日開始大爆發，50州都出現了確診病例，民眾不敢出門，大舉湧向線上電商搶購。發生掃碼問題的這套商店平臺系統，不只支援實體賣場POS，還支援了Target線上電商平臺的購物車作業，如果沒有找出事故根源徹底解決，一旦在周末搶購潮發生延遲，甚至因爆量採購而塞爆系統服務，恐怕會引起大量顧客抱怨和負評聲浪，甚至可能讓Target錯過復活節搶購潮的商機。</p> <p>花了一段時間，SRE工程師才發現，這起失效事故與前一周有次系統更新的異動有關。原來，3月8日有次系統更新後，導致部署在分店的商店平臺系統出現了記憶體資源占用問題，占用情況累積一段時間後，虛擬機器上可用的記憶體越來越少，就會造成部分吃重的服務先當機。因為這不是POS系統的直接問題，而是來自環境資源排擠而造成的問題，得經過一段時間發酵才會出現當機情況，而且是越早用光記憶體的環境，就會越快會出現問題。</p> <p>3月13日少數分店出現掃碼速度變慢，正因為分店機房內邊緣主機上的記憶體即將耗盡，導致掃碼微服務當機，才轉由遠端備援服務接手的情況。</p> <p><span style="font-size:28px;"><strong>不盡快解決，全美2千店和線上商城都會受影響</strong></span></p> <p>若是沒有盡快解決問題，將會有越來越多分店的系統面臨同樣的困境，不只實體賣場，連Target線上商城的結帳交易都可能會受到波及而變慢，甚至中斷。SRE團隊連忙通知開發部門，緊急修復程式錯誤，重新發布系統更新，逐步部署到全美2千家分店內的系統，才順利避開了可能的大災難。</p> <p>這個過程說來簡單幾段話，其實做起來非常複雜。對Target來說，不只要在顧客察覺、災情擴大前及早發現問題是挑戰，在修復系統錯誤後，釋出修補程式，要部署到2千家分店的系統時，還得做到營運不中斷。若對2015年時還沒展開數位轉型的Target而言，幾乎是不可能的任務。為何如此困難？這得從Target企業資訊架構設計說起。</p> <p><span style="font-size:28px;"><strong>徹底分散式架構的複雜考驗，IT得管2千座機房和2大公雲環境</strong></span></p> <p>「複雜性是Target服務穩定性最大的敵人。」Kathryn Blanchard指出。為了就近服務全美各地的1.7億名顧客，Target有一個高達4千人的IT團隊，不論是底層的資訊基礎架構或是上層的應用系統架構，也採取了徹底的分散式架構的IT設計。可是，這個IT架構越是分散，就越複雜，Target維運的考驗也會越大。</p> <p>Target的IT架構有多複雜？Target從2014年開始嘗試上雲，最先使用的是AWS公雲，2015年轉為押寶IBM雲，而且採取雲地混合架構，展開大規模上雲。不只如此，Target也同步重新改造自家應用系統，連核心平臺關鍵功能都重寫。在2016年時，Target更大舉擁抱各項雲原生開源技術、敏捷開發、DevOps等，系統架構也全面轉換成微服務架構。</p> <p>2018年時，Target進一步從單朵公雲混合雲，轉為使用多朵公雲的雲地混合架構，公雲供應商則改用GCP和微軟Azure，前者負責消費者端服務，後者則用於企業端應用的部署。</p> <p>根據2021年4月時揭露的資料，Target除了使用2朵公有雲服務，還擁有2座大型資料中心，更有42個分散各地的小型資料中心，另外他們也在每一家賣場中設置了微型邊緣機房，就近提供落地的運算服務。換句話說，Target要管理的大小實體機房，接近2千個。</p> <p>這麼龐大又複雜的運算環境，帶來了嚴峻的維運考驗，根據Target統計，55%的維運事件來自如此複雜的IT環境，而另外有45%的維運事件，則來自DevOps部署的複雜性挑戰。</p> <p><strong><span style="font-size:28px;">每周3萬次更新，微服務架構部署百萬VM的DevOps難題</span></strong></p> <p>原本Target的應用系統採取大型單體式架構設計，約有30套大型單體系統，在2015年之前，只能每年部署一次新版，每季執行一次小更新，但是，每次更新或部署時，都得停機才行，這就讓賣場營運和線上服務都出現了空窗期。</p> <p>2016年擁抱雲端原生技術後，Target將IT架構轉換成微服務架構，Target三大核心平臺，包括商店平臺、促銷平臺和供應鏈平臺，再加上10個不同即時任務的Runtime引擎，都採取微服務架構，光是商店平臺就有4百隻不同任務的微服務，其中有70隻是共用服務，而整個Target.com網站所用的微服務更是多達1千隻。不論是實體商店系統或是線上電商平臺的維運，都由同一組基礎架構團隊來負責。</p> <p>Target在2018年轉為多雲架構之際，也發展出一套自助式的內部應用平臺TAP（Target Application Platform）。這是一套利用K8s打造的應用系統管理叢集，一方面可以提供一站式的自助應用程式部署服務，讓開發團隊使用一套標準化的部署範本，就能自己將程式碼輕鬆部署到各種不同類型的公雲或機房執行環境中，不用自行針對不同的環境進行配置與設定。</p> <p>另一方面，也可以透過叢集架構，針對2千個機房內的系統，進行輪流更新，來確保全美各分店面對顧客的服務不會因系統更新而中斷。</p> <p>因為在IT基礎架構中，Target擁有多達2千座的機房環境和多朵公雲，凡是分店內的商店系統有一隻微服務的程式碼要更新，就得進行2千次部署作業。TAP這套平臺提供了一套通用的標準化部署作業方式，不論是開發團隊、儲存團隊、網路團隊或SRE團隊都共用這一套簡單容易上手的CI/CD工具。</p> <p>在2020年需求爆量時期，Target幾乎每2到3周，基礎架構的容量需求就會暴增一倍，而且都遠超過壓力測試的模擬規模，但是，「IT仍然可以管理這樣的擴充力，沒有為了大規模成長，忙到滿身大汗，只需按幾個按鈕，就能完成基礎架構的部署。」Target資訊長Mike McNamara這樣形容這套關鍵平臺對IT的效益。「要真正善用多雲架構，得有一套部署多雲的好方法，」他說：「對Target而言，這就是TAP，可以讓我們管理不斷擴充的能力。」</p> <p>2021年時，Target多數微服務會每周部署一次，甚至有些是每天部署新版，正式環境平均一天就會有6千次異動，平均每周需要進行3萬次更新作業。這些發布和部署，全都靠TAP的CI/CD機制自動化部署到上百萬個不同環境上的VM中，更新升級過程完全不需要關機。</p> <p>另外，為了因應線上線下的爆量需求，Target的微服務也啟用了大量副本，一款微服務，可能就得啟用數百個副本服務。Target光是在正式環境中的微服務ID總數，高達76萬個（每一隻微服務，不論正副本都會有各自獨立的ID編號），測試環境中也有16萬支微服務正在執行。</p> <p>這些都是Target擁抱微服務架構後衍生的維運複雜度。</p> <p>過去，要執行一項業務所需的相關系統服務，大約150～200個，但在2016年，Target轉換成微服務架構後，一項業務相關的微服務往往會高達2萬個（包括大量副本服務），要從中分辨出是哪一個微服務發生問題，又是另一個複雜的維運挑戰。</p> <p><strong><span style="font-size:28px;">SRE目標：事故頻率最少化、影響最小化</span></strong></p> <p>為了迎戰這些複雜性，Target在2020年導入了SRE（網站可靠性工程），花了一個月先組成SRE團隊專門，負責監控和因應所有系統和微服務的運作，第一步先開始搜集關鍵系統的Log數據，來累積長期的維運數據。</p> <p>Target基礎架構副總裁Hari Govind表示，希望透過擁抱SRE，讓Target的服務更聚焦關鍵的顧客體驗，例如商店結帳速度、線上數位流程、送貨數位化流程等。「因為各種大大小小的事故就是我們的日常，希望透過SRE來強化大規模架構的分散容錯能力。」他指出，Target SRE的目標是，減少事故發生的頻率，將事故影響最小化，在做中學，盡可能減少當機時間。就在SRE團隊累積了差不多2個月日常維運資料後，就發生了這起掃碼失效事件。</p> <p>Kathryn Blanchard指出，這次事件能夠順利解決，有兩個關鍵，一是事先搜集了系統服務端到端的詳細數據，其次是針對顧客歷程建立了服務基準參考數據。也就是說，若沒有一套持續監控的機制，事先搜集平時不同業務、各種微服務的維運log數據，累積長期資料，來建立一套服務運作數據的基準參考值，就無法知道正常結帳掃瞄商品的時間多久，更是難以判斷掃碼速度是否「變慢」，在問題擴大前採取行動。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148902
新手Target SRE首次重大事件的4個教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年3月13日這一天，如果Target SRE工程師沒有發現監控儀表板上的異常訊號，進而查出好幾家分店POS系統掃碼速度變慢，恐怕到了周末復活節檔期，Target所有線上與實體賣場都難以順利進行任何一筆結帳。「店內系統掃碼服務當機，轉移到總部機房內的備援服務接手，才出現了掃碼速度變慢的徵兆。」Target的SRE總監Kathryn Blanchard直到事發一年後，才敢在2021年自家技術研討會上，公開這起差點造成Target營運全面中斷的事故。</p> <p>Kathryn Blanchard直言，尤其當時Target也是SRE新手，第一次面對如此重大的事件，也從中學到了4個教訓，這些經驗都成為Target的SRE團隊日後要優先強化的4類能力目標。</p> <p>第一個教訓是，因為<span style="color:#B22222;"><strong>系統異動造成的問題，經常會延後發酵</strong></span>。</p> <p>像這次事故根源是系統異動導致記憶體占用問題，但是當下沒有產生影響，反而是部署一周以後，才出現在少數地方，而且不是所部署的2千家分店都同時出現災情。Kathryn Blanchard提醒，因此，調查事故原因時，特別得從歷史紀錄開始著手。</p> <p>第二個教訓是<span style="color:#B22222;"><strong>監控機制必須連同備用系統都監控，才有完整數據</strong></span>。Target導入微服務架構後，在正式環境中建立了一套混合雲的備援架構和故障轉移機制，但是，SRE一開始的監控機制，沒有涵蓋到備用系統，也就沒有在總部機房備援服務接手時，更早一步發現異常，反而是等到顧客結帳櫃檯掃碼速度變慢了，他們才發現，分店掃碼服務已經當機了。</p> <p>不過，這次應變中值得嘉許的一點是，<span style="color:#B22222;"><strong>第一時間先採取緩解對策，而不是先找出問題根源來處理</strong></span>，這也是Kathryn Blanchard學到的第三個教訓。因為SRE工程師決定先將服務退回前個一版本重新啟動，讓分店掃碼服務可以先恢復正常，所以，顧客一點都沒有察覺到系統出錯。</p> <p><span style="font-size:28px;"><strong>優先強化四大SRE能力，將SRE能力擴大到全IT團隊</strong></span></p> <p>「先緩解主要影響，再來修補，將影響顧客的時間最小化，這是Target很大的思維改變。」Kathryn Blanchard強調。而最後一項教訓就是<span style="color:#B22222;"><strong>不要浪費事故教訓的價值</strong></span>，必須從這些事件來累積和學習。後來，Target決定把SRE能力擴大推廣Target整個IT團隊，也發展出四項SRE能力和機制，不只SRE團隊，連網路團隊、儲存團隊等也能共用，也特別重視事後檢討報告的撰寫和分析。</p> <p>第一項能力是將SRE能力整合到開發生命周期管理，對正式環境也要進行程式碼管理。因為Target每一次異動，都得更新2千家分店的系統，等於得重複部署2千次，因此不能採取一次全面部署的高風險作法，尤其很多問題會在幾個禮拜後才發生。因此，Target後來採取了金絲雀部署（Canary Deployment）作法，先在少數店導入新版，搭配全面監控比較導入前後的變化，再決定是否近一步擴大導入到所有分店，這個做法也會用來比較測試環境和正式環境的差異和影響。甚至，Target金絲雀部署的範圍，還可以更細緻區分出，不同程式碼儲存庫或者針對不同使用者範圍來進行局部測試，進一步來降低和管理可能發生的影響。</p> <p>先前提到掃碼失效事故，若能先在少數店家部署，監控服務運作過程，就可以發現記憶體用量比舊版高，一旦出現異常，Target自動化機制會先將這些店家的系統，自動復原到舊版程式，「具備自動復原和標準部署能力的平行金絲雀部署，可以讓Target開發團隊放心部署。」Target運算服務總監John Engelman強調。</p> <p>除了SRE更整合開發之外，SRE自身也要建立更完善的服務級別目標（SLO）和服務水準指標（SLI），Target會考慮實體硬體、應用程式和資料這三者之間的的關係和相依性來訂定指標，並建立一個分層式的視覺化圖表，反映這些相關系統行為的運作狀態。例如顧客在結帳櫃檯掃碼行為，就是一個Target很愛用的SLI指標，利用掃描動作等待多久才發出「嗶」聲的時間作為指標。John Engelman解釋：「這是一個顧客很容易察覺的指標，也是一個很好的顧客體驗指標。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-SRE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Target考慮實體硬體、應用程式和資料這三者之間的關係和相依性來訂定指標，並建立一個分層式的視覺化圖表，來反映相關系統行為的運作狀態。</strong>圖片來源／Target</span></p> <p>Target打造了一個監測SLI指標的UNIMatrix工具，例如監控結帳櫃檯的商品掃描行為，也就是掃碼嗶的時間，甚至可以監控有多少掃描順利完成，多少次掃空重新掃碼的行為，也可以細緻到每一家店內的每一個櫃檯，不管是新款POS或是舊款，連自助式結帳機的掃碼行為都可以監控。換句話說，Target的SRE團隊，可以隨時看到全美近2千家分店，每一道結帳櫃檯的掃碼狀態，哪一道櫃檯慢了，SRE工程師都能知道。在UNIMatrix儀表板上，會立刻標記出哪一個櫃檯服務水準低於要求，用紅色色塊來提醒SRE待命人員，「一旦發現異常，SRE就能主動追蹤，不用等到顧客抱怨、分店通報後才開始採取行動。」John Engelman強調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1060-cover-2-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Target打造了一個監測SLI指標的UNIMatrix工具，哪一個櫃檯服務水準低於要求，就會出現紅色色塊提醒SRE待命人員，不用等到顧客抱怨才採取行動。</strong>圖片來源／Target</span></p> <p>為了更及時排除系統異常，Target強化的第三項SRE能力就是事件應變能力。目標是在SRE主動發現異常之後，如何快速展開應變。John Engelman指出：「要找到對的團隊，讓他們快速介入，快速行動，關鍵是要有一個流暢溝通的機制。」</p> <p>Target打造了一款事件命令列工具（Incident command tool），這是一個一站式工具，可以管理工程回應訊息，也整合待命系統，能夠讓相關人員快速追蹤關鍵訊息、事件時間、缓解路徑，也能與所有應變參與人員直接溝通，還有一個專用對話頻道，可用聊天室、打電話或直接視訊，甚至這個工具還整合了所有的維運腳本或部署腳本資料，能針對歷史資料或最新資料進行整合分析。</p> <p>最後一項SRE強化能力是要善用歷史錯誤來學習。經過3月掃碼失效事件後，Target後來改以「系統一定會出錯」的前提，來建立高可用架構，不只上線服務採取雙活（Active-Active）架構，連備份都會考慮到備份失效的再備援機制。另外在工程文化面，也大力推廣從錯誤中學習文化，不責難文化等，遇到事件時會格外重視事件回顧，撰寫驗屍報告時時，還特別講究問題分析、運用情境來描述根本原因，並且要列出可改善的關鍵處置和提前預防事故的機會點分析，SRE團隊每周二進行可靠性回顧會議，討論大量驗屍報告，每一個與會成員都可以發問。</p> <p><span style="font-size:28px;"><strong>從事故體會到專門SRE團隊真正的價值</strong></span></p> <p>到了2021年初，Target逐漸完善了這四大SRE能力的強化，也才首度對外公開，從一年前那次當時未公開事故中學到的教訓，他們第一個SRE團隊設立一年來，也繳出了漂亮的成績單，讓Target偵測到問題的時間，縮短了82%，更早一步察覺到異常，還能讓異常影響持續的時間，縮短了44%。</p> <p>「2020年那一次未公開的事故，讓Target真的體會到專門SRE團隊的價值。」這位一手催生Target SRE團隊的主管Kathryn Blanchard這樣說。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148958
管理2千座機房和多雲如何更簡化，Target靠K8s打造一站式自助AP平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去5年大力擁抱開源雲原生技術的Target，在2020年展開了轉型的威力，數位通路銷售業績全年成長了150%，也帶來龐大基礎架構的容量成長需求，爆量時期每2、3周，對基礎架構的容量需求就會暴增一倍，但對Target維運團隊來說，一點都不麻煩，只是多按幾個按鈕，就可以輕鬆擴充需要的容量，背後就是靠了一套用K8s打造的多雲管理平臺。</p> <p>Target擁有2座大型資料中心，使用了2朵公有雲，42個小型資料中心分散全美各地，更在1915家分店中，設置了微型的邊緣機房，合計要管理的大小機房將近2千個。再加上Target重要系統已經全面微服務化，商店平臺有4百隻微服務，70隻共用服務，再加上10個runtime引擎，三大關鍵平臺，分散部署在公私雲地混合環境上的百萬個ＶＭ上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-%E5%9C%961-%E8%A4%87%E9%9B%9C%E6%80%A7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target-960.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Target擁有2座大型資料中心，使用了2朵公雲，42個小型資料中心，更在1915家分店中，設置了微型的邊緣機房，合計要管理的大小機房將近2千個。</strong>圖片來源／Target</span></p> <p>「底層部署越簡單，開發團隊就越能專注在業務優先的任務上。」Target資訊長Mike McNamara強調：「要真正落實多雲架構，得有一套多雲管理工具。」TAP（Target Application Platform）就是他口中的多雲管理工具。</p> <p>過去，Target曾經歷過一段部署黑暗期。4千人的IT，不同專案團隊的工作方法差異很大，各自因應資料中心、公雲環境、分散式機房或分店邊緣主機環境，而有各自有愛用的工具，以及百百款自行定義的配置，當時要進行跨團隊除錯，幾乎是非常困難的挑戰。2015年，Mike McNamara進入Target擔任資訊長，他的任務就是要推動數位轉型，擁抱開源雲原生技術，讓Target變成善用科技的零售公司。他也開始統一IT團隊的工作方法和工具。</p> <p>為了上雲，他要求團隊打造一套通用的多雲部署工作方法，希望建立一個基礎架構的抽象化管理平臺，讓開發者減少處理底層的維運雜事，將心力聚焦在面對顧客的體驗上。這就是為何Target要自己開發TAP平臺的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-TAP%E6%9E%B6%E6%A7%8B-0%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">TAP是一套透過K8s叢集，透過簡單的自助式介面，包括了API、CLI或UI介面，提供了一站式環境，可以涵蓋開發者所需要的一切功能。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／Target</span></p> <p>TAP是一套透過K8s叢集來管理底層基礎架構和上層應用部署的重要平臺，提供了一站式環境，涵蓋開發者所需要的一切功能，透過簡單的自助式介面，包括了API、CLI或UI介面，來提供一套CI/CD整合工具，很容易將程式碼部署到不同公有雲、資料中心、邊緣主機上，也能進行自動化擴充。另外，TAP還提供了一套基礎架構的標準化設定，包括了標準配置設定，通用的機密控管作法和標準監測矩陣的設置方式。</p> <p>TAP提供的不只是共用工具，也包括了一套應用程式工程框架，可提供基礎架構部署在Target的標準做法，讓不同的基礎架構團隊來依循，包括開發團隊、儲存團隊、網通團隊和SRE團隊，都使用同一套工具和框架。</p> <p>對Target內部開發者而言，透過同樣的自助式表單來執行部署工作，填妥這隻AP所需資源，指定不同的部署環境，不用考慮不同公雲環境的配置差異，也不需學習不同的CI/CD工具，或不同平臺上各自的機密管理作法，完全不用申請部署許可，就可以上架到正式環境中執行。部署全程透過TAP來進行，也會套用公司預先訂定的標準作法和規定。</p> <p>這套TAP平臺從2018年開始啟用，2019年1月時，只用來部署和管理數千個VM，但是到了2021年，已經有超過十萬個VM透過TAP來管理。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148959
雲原生如何改變Target
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1060-feng_mian_gu_shi_1_open-960x420_kao_bei_.jpg?itok=TJNg_mKy" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2015年大舉上雲，積極擁抱開源雲原生技術，2016年全面微服務化，2018年從單雲邁向多雲混合雲。4千名IT，維運2千座大小機房，靠K8s管理10萬個VM叢集，2020年新設SRE團隊，隨時監控76萬支微服務，支援1.7億名顧客線上線下消費體驗。從30套大型單體應用，到全面雲原生架構，Target足足走了5年多</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/article/148960
美國FTC與司法部準備嚴加管控非法併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FTC）及司法部（DoJ）周二（1/18）宣布，準備改革併購指南，以期能更確切地預防違反市場競爭的各種合併交易，即日起到3月21日止開放公眾提供意見。</p> <p>FTC與司法部為美國兩大反壟斷的執行單位，從美國總統拜登（Joe Biden）上臺，到指派反壟斷專家Lina Khan擔任FTC主席，便已突顯出拜登政府有意管制境內的反壟斷行為。<a href="https://www.ithome.com.tw/news/146746" target="_blank">FTC於去年9月正式展開行動</a>，著手檢驗美國五大科技業者在過去10年來未提報的併購交易，發現業者利用法規漏洞來逃避反壟斷檢查，<a href="https://www.ftc.gov/news-events/press-releases/2021/09/federal-trade-commission-withdraws-vertical-merger-guidelines" target="_blank">同一天FTC也投票撤銷</a>了2020年實施的垂直併購指南。</p> <p>雖然FTC與司法部對於是否撤銷現行的垂直併購指南並不同調，但雙方皆同意必須訂定更現代化的併購指南。</p> <p><a href="https://www.ftc.gov/news-events/press-releases/2022/01/ftc-and-justice-department-seek-to-strengthen-enforcement-against-illegal-mergers" target="_blank">FTC表示</a>，近來的跡象顯示，許多產業都變得愈來愈集中且競爭愈來愈少，這將危及消費者、工作者、創業家及小型企業的選擇與經濟收益，有鑑於2021年的併購案數量是2020年的兩倍，代表此一現象只會持續或更加惡劣，必須採取行動以改革併購指南。</p> <p>競爭為經濟成功的關鍵，因為它確保消費者及員工有更多的選擇，且當企業面臨競爭時，通常可激勵它們創新、改善產品，或提供更低的價格，而併購則會減少消費者、工作者或其它企業的選擇，使得它們不得不愈來愈仰賴更大型的企業，或是必須屈服大型企業的交易條款。</p> <p><a href="https://www.justice.gov/opa/speech/assistant-attorney-general-jonathan-kanter-delivers-remarks-modernizing-merger-guidelines" target="_blank">司法部則說明</a>，1914年通過的反壟斷法案Clayton Act明文禁止那些可能會大幅減少競爭，或造成壟斷的併購活動，然而，在執法時通常僅著重前者，而忽略了後者。</p> <p>此外，目前的併購指南聚焦於橫向與垂直領域的併購分析，不過，這樣的視野太狹隘，經常有許多交易無法被歸類，而且這些指南誇大了垂直分析的潛在效益，卻無法辨識它們可能造成的重大傷害。</p> <p>司法部指出，與20年前相較，現代的企業以截然不同的方式進行合作、競爭或投資，數位經濟改變了各個產業，企業與市場之間的相互關係愈趨複雜，當查看天氣預報時，不管使用者是否意識到，在短短的數秒內可能已經與十多種不同的服務產生互動；現代的供應鏈不再只是簡單地上、下游關係，而是以複雜且不斷發展的方式相互連結。</p> <p>為了建立現代化的併購指南，FTC與司法部鼓勵不同利益團體提供意見，並於審查及整理後發布併購指南的更新草案，並預計於今年完成指南的修訂。</p> </div></div></div>
2022/1/19 19:59作者陳曉莉https://www.ithome.com.tw/news/148974
臺北市政府啟用大數據中心，強化城市的數據治理決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年臺北市政府成立大數據中心團隊，匯整各方數據進行分析，提供市府在防疫、交通決策上的參考，今天(1/19)臺北市大數據中心正式啟用，象徵臺北市加強城市的數據治理。</p> <p>臺北市政府在2020年底以各局處首長，同時邀請業界的專家，成立資料治理委員會，資料治理委員會主要負責規畫市府資料的蒐集、運用，以及個資保護。2021年初北市資訊局成立一支大數據分析團隊，名為臺北市大數據中心，與各局處、運營中心合作，匯整各項數據，作為市府決策的輔助參考。</p> <p>這支大數據分析團隊為任務編組性質，去年首次在資訊局一間小會議室，以小螢幕對外展示北市數據的分析運用，而今天開始啟用的臺北大數據中心，則位於市府地下一樓，佔地近200坪空間，未來將作為大數據中心團隊、資訊局底下數據治理中心的辦公場所。</p> <p><strong>新啟用的大數據中心內辦公環境：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04695-1.jpg" style="width: 600px; height: 399px;" /></p> <p>臺北大數據中心內還設置一間可容納20至30人的大型會議室，利用大型橫向投影布幕，用以顯示數據分析應用，這間大型會議室也成為大數據中心和各局處合作，針對特定市政議題的數據研析討論場所。</p> <p><strong>大型會議空間內，搭配巨型橫幅投影幕，顯示北市大數據分析應用、城市儀表板：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04693-1.jpg" style="width: 600px; height: 399px;" /></p> <p>臺北市資訊局長呂新科表示，臺北市在城市的數位轉型上有兩大主軸，科技驅動及資料驅動，科技驅動從2016年成立智慧城市辦公室以來，結合Living Lab概念，和民間業在實驗場域測試創新應用，各項創新的背後伴隨而來的數據蒐整、運用議題，衍生出數據治理、個資保護的議題，為強化北市的數據治理，先後成立府級的資料治理委員會，還有臺北大數據中心，透過多層次的資料治理架構，推動城市的數據治理被實現。</p> <p>呂新科指出，大數據中心蒐整的資料，在市府2700多項開放資料的基礎之上，還匯整市府各局處的業務資料、市府底下各個專業的運管中心（IOC）資料，以及分散在城市各地的物聯網平臺資料，在資料治理委員會把關、大數據中心執行，這些資料經過去識別化、清洗、正規化後，匯流到大數據的資料池，大數據中心團隊再根據資料敏感度、性質，針對特定市政議題作深度分析、整合運用。</p> <p>其中深度分析是將資料的地理空間與時間推移套疊，產生新的視野，作為市府決策參考；而整合運用則是以統合儀表板方式，將所有模塊進行儀表板的整合，以快速整合、快速反映，支援城市運行的決策。呂新科表示，透過這樣的方式，讓臺北市朝向循證式，以資料為治理依據的城市。</p> <p><span style="color:#B22222;"><strong>大數據深度分析、城市儀表板的資料整合應用</strong></span></p> <p>經過近一年的運作，目前大數據中心已有幾個深度分析的案例，例如為了解決計程車空車在路上繞行產生空污、交通的問題，大數據中心和北市交通局合作，運用計程車、叫車業者提供的數據進行深度分析，如民眾乘車的起迄點、時間，研析如何優化計程車招呼站。另一項則是運用電信信令的人口流向數據，結合捷運、交通的車流數據，分析民眾通勤行為，提供相關單位根據民眾通勤的決策建議。</p> <p>在資料的整合應用方面，大數據中心整合觀傳局、衛生局、市立聯合醫院的資料，將原本人工蒐集的資料，予以數位化、視覺化，建立北市防疫儀表板，提供市府防疫決策參考。</p> <p>另外，大數據中心也建立跨領域資料整合的城市運行儀表板，城市運行儀表板以視覺化的方式，在臺北市的虛擬地圖上呈現多元的資料，主要供市府內部不同局處主管使用，讓主管可根據自身局處業務需要，勾選想要取得的資料組件，例如交通、社會安全，客製化的城市運行儀表板內容。北市的城市運行儀表板可支援筆電、手機或是平板電腦瀏覽，以方便市府主管瀏覽。</p> <p><strong>臺北市長柯文哲（右）與副市長黃珊珊（左）在視覺化的臺北市虛擬地圖檢視城市資料（圖片來源：資訊局）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2022_1_19_220119_21-1.jpg" style="width: 600px; height: 450px;" /></p> <p>城市運行儀表板現在已有應用實例，例如北市舉行跨年晚會，結合電信信令數據，掌握活動地點的周邊人流聚集、交通情形；另一項則是在視覺化的地圖上，結合臺北市各行政區的老舊房屋資料，以及消防局救援困難點資料，作為北市整體都市更新規畫參考，同時還整合社會住宅建案資料，讓市府能夠掌握各地的社宅建設進度。</p> <p>除了市府內部運用，大數據中心也計畫未來推出網站，以儀表板展示可公開的城市資訊內容，開放一般民眾上網瀏覽。</p> </div></div></div>
2022/1/19 18:13作者蘇文彬https://www.ithome.com.tw/news/148973
【資安日報】2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對關鍵基礎設施（CI）而來的攻擊行動，過往駭客鎖定的對象，不少是石油公司、發電廠、水利設施等能源業者。但在今天的資安新聞中，俄國APT28、北韓Konni等駭客組織針對的是再生能源相關業者，其中，也有臺灣的政府機關受到影響。</p> <p>在許多的應用系統和雲端服務中，雙因素驗證（2FA）被視為保護使用者帳號的重要機制，我們很可能認為有了相關機制就萬無一失，大型雲端服務所導入的驗證流程理應也相當可靠，但其實不盡然。在今天的資安新聞裡，就有知名的雲端檔案共享服務出現相關漏洞，此外，也有生物辨識系統可被繞過的情況。</p> <p>而除了各式的攻擊行動和漏洞揭露，歐美的執法單位為我們帶來今年的第一個好消息，但與過往有所不同的是，這次他們是針對駭客用來匿蹤的VPN服務，封鎖相關的伺服器，而非特定的惡意軟體基礎設施架構。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/cyber-espionage-campaign-targets-renewable-energy-companies/"><span style="color: rgb(0, 0, 0);"><strong>針對可再生能源公司、環境保護組織的網釣攻擊，臺灣也有政府機關遭到鎖定</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mailbox_kit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mailbox_kit.png" style="width: 300px; float: right;" /></a>環保意識高漲，加上近年來能源短缺，再生能源的生產、研發也備受關注，但這些組織如今也成為駭客的攻擊目標。資安研究員William Thomas揭露一起從2019年出現的網路釣魚攻擊行動，攻擊者鎖定至少15個組織下手，使用Mail Box工具包發動攻擊。這些組織的主要共通點為與再生能源相關，如施耐德電機、Honeywell、碳揭露專案（CDP）等，值得留意的是，臺灣行政院農業委員會林業試驗所也是駭客的攻擊目標。而對於攻擊者的身分，其中有部分攻擊行動是由俄國駭客組織APT28、北韓駭客組織Konni發起。</p> <h4><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/"><span style="color: rgb(0, 0, 0);"><strong>北京冬季奧運App存在資安風險，資料傳輸安全性不足，言論審查功能也惹議</strong></span></a></h4> <p>近期2022北京冬季奧運即將在2月4日登場，主辦方為了防疫需求，要求參賽運動員及團隊、觀眾與媒體，需安裝My2022（冬奧通）的App，以記錄個人健康狀況，但加拿大公民實驗室（Citizen Lab）在1月18日發布研究報告中，顯示該App服務有兩大爭議，一是資料傳輸安全性不足，可遭中間人攻擊，另一是App具備允許舉報他人政治敏感言論的功能，並已建立2,400多個審查關鍵字詞清單，國外與會者顯然有隱私侵犯問題。研究人員在去年12月3日通報主辦單位，至今未獲回應因此公開研究結果。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/earth-lusca-sophisticated-infrastructure-varied-tools-and-techni.html"><span style="color: rgb(0, 0, 0);"><strong>Winnti附屬組織鎖定政府機關與加密貨幣公司發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/earth-lusca-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-lusca-1.png" style="width: 300px; float: right;" /></a>大多APT組織的攻擊行動，目標通常相當單一，但也有駭客組織的攻擊領域甚廣。趨勢科技揭露名為Earth Lusca的中國駭客組織，並指出該組織使用網路釣魚、水坑式攻擊、應用系統的漏洞，鎖定政府單位、教育機構、宗教組織，以及香港的人權組織、武漢肺炎研究機構等。Earth Lusca疑似是Winnti旗下的附屬組織，攻擊目標多半是對於中國政府具有戰略意義的組織。</p> <h4><a href="https://www.infosecurity-magazine.com/news/kids-young-nine-launched-ddos/"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪年齡大幅下降，9歲兒童就能發動DDoS攻擊</strong></span></a></h4> <p>英國國家犯罪調查局（NCA）指出，在武漢肺炎疫情大爆發之後，他們發現不少學生會發動網路攻擊，其中年紀最小的只有9歲，這名學生發動了分散式阻斷服務（DDoS）攻擊。根據該單位旗下的網路犯罪部門NCCU統計，從2019年至2020年，警方阻止學生從事網路犯罪的案件增加了107%。對此，近日NCA與Schools Broadband聯手，針對在學校電腦上搜尋網路攻擊有關用語的學生，向他們顯示Cyber Choices網頁以進行勸導。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/researchers-bypass-sms-based-multi.html"><span style="color: rgb(0, 0, 0);"><strong>檔案共享服務Box的簡訊多因素驗證可被繞過</strong></span></a></h4> <p>透過手機簡訊作為雙因素驗證（2FA），而被繞過的情況不時被發現。資安業者Varonis指出，他們發現檔案共享服務Box的身分驗證漏洞，使得攻擊者可在用戶啟用簡訊雙因素驗證的情況下，透過自己向Box以驗證碼產生器取得、具有時效性的一次性驗證碼（TOTP），通過受害者Box帳號的雙因素驗證流程。這項漏洞在研究人員通報後，Box於2021年11月2日予以修補。</p> <h4><a href="https://www.ptsecurity.com/ww-en/about/news/positive-technologies-uncovers-vulnerability-in-idemia-biometric-identification-devices-that-can-unlock-doors-and-turnstiles/"><span style="color: rgb(0, 0, 0);"><strong>Idemia生物特徵辨識系統存在漏洞，攻擊者可發送特定命令開門</strong></span></a></h4> <p>透過生物辨識來驗證身分的方式，也可能因為其他資安實作瑕疵而被繞過。資安業者Positive Technologies發現，多款Idemia的生物特徵辨識系統裡，存在一項CVSS風險層級為9.1分的重大漏洞VU-2021-004，在用戶沒有啟用TLS加密通訊協定的情況下，攻擊者能藉由發送特定的命令，而無須身分驗證就能開啟由這種辨識系統所保護的門鎖。對此，Idemia也規畫在日後推出的新版韌體中，強制啟用TLS來防堵漏洞。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/zoho-plugs-another-critical-security-hole-in-desktop-central/"><span style="color: rgb(0, 0, 0);"><strong>Zoho裝置管理平臺驚傳漏洞，攻擊者可用來上傳任意ZIP檔案</strong></span></a></h4> <p>Zoho近日針對旗下裝置管理平臺ManageEngine Desktop Central，修補重大身分驗證繞過漏洞CVE-2021-44757，並指出一旦攻擊者利用，可在未經授權的情況下讀取該系統的資料，或是上傳任意ZIP到Desktop Central伺服器。該公司呼籲用戶應儘速安裝10.1.2137.9版修補上述漏洞。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/europol-shuts-down-vpn-service-used-by-ransomware-groups/"><span style="color: rgb(0, 0, 0);"><strong>歐美執法單位聯手，破壞網路罪犯用於藏匿行蹤的VPN基礎設施</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg" style="width: 150px; float: right;" /></a>不只針對是罪犯組織，近期執法單位也對於提供相關工具的業者採取行動。歐洲刑警組織（Europol）於1月18日宣布，在德國漢諾威警察局中央刑事辦公室帶領之下，德國、荷蘭、加拿大等10個國家的執法單位聯手，查封提供網路罪犯VPN服務業者VPNLab的15臺伺服器。烏克蘭警方指出，在德國至少有150起勒索軟體攻擊行動的攻擊者，使用這項VPN服務，而造成6千萬歐元損失。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/19 15:28作者周峻佑https://www.ithome.com.tw/news/148963
第一屆後量子密碼論壇登場，2022是因應量子破密關鍵之年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，量子電腦運算技術進入蓬勃發展的階段，其運算特性除了可讓化學反應模擬能有更好的實現，但也使得現有的公鑰密碼系統受到挑戰，而這樣的擔憂如今已成真實威脅，因為近期傳出中國駭客打算收集已加密的高價值資料，等到量子電腦發展突破，就能立即解開他們取得的加密內容，為了抵禦這樣的衝擊，後量子密碼學（Post-Quantum Cryptography，PQC）的發展、標準化，以及如何普及，均受到資安界的熱烈關注。</p> <p>為了讓關心這議題的人士了解PQC的最新狀態，在1月14日，首次舉辦第一屆後量子密碼論壇，現場不只邀集國內密碼學領域專家，就連多位國外的知名密碼學專家學者，也在此公開發表實體與線上演說，他們呼籲各界應充分體認發展PQC的必要性，對於公鑰密碼系統屆時勢必面臨更換的局勢，臺灣應及早做好準備。</p> <p>這場活動原本應該更早舉行，但因為臺灣去年5月爆發疫情而延至今年1月，在近期國際疫情又竄起情形之下，後量子密碼論壇的召開也面臨挑戰，但所幸仍能以實體形式舉辦，相當難得。</p> <p>在臺灣第一次舉辦的後量子密碼論壇，最終吸引了上百位人士參與，雖然活動已經落幕，但隨著與會者對於相關知識有了更深入的了解，也充份體認其重要性之後，相信PQC的發展與推動，未來可以獲得國內更多產業與政府機構的支持。</p> <h3><strong>國內外密碼學專家齊聚一堂，深入淺出解析PQC關鍵</strong></h3> <p>為了讓不同領域的與會者了解後量子密碼的必要性與發展現況，論壇主辦單位在第一場演講中，就準備了入門的內容。身為密碼學家、硬體安全產業人士，也是臺大數學系兼任助理教授的陳君明，他是後量子密碼論壇的主要發起人，並擔任首場演講者，他以淺顯易懂的方式話說從頭，介紹現行加解密的基本原理，以及量子運算、量子破密的影響，希望幫助大家理解基本的PQC觀念與議題，他也呼籲國內各界，現在就應該開始準備相關因應的事宜。</p> <p>這是因為，美國國家標準技術研究院（NIST）自2016年舉辦的PQC密碼標準競賽，已邁向尾聲，在2022年1月，就會有第三輪的結果出爐，針對公開金鑰系統與數位簽章項目這兩大領域，預計公布各自的一位決勝者，也就是標準獲勝者，而後續的第四輪，還將選出其他也能成為標準的另一決勝者。長期來看，關於後量子時代的密碼標準，應該會在2024年之前制定完成，屆時，政府組織與企業都將面臨標準演算法的轉換，以及硬體設備與中介軟體的升級。</p> <p>在本次論壇當中，有多位參與PQC密碼標準競賽的國內外專家發表演說，包括：楊柏因、周彤，以及這兩年留在臺灣進行研究的Daniel J. Bernstein，以及Tanja Lange，他們都針對入選NIST PQC競賽第三輪的金鑰交換與數位簽章，提出說明。</p> <p>儘管他們的演講內容涉及演算法與數學的應用方式，對許多與會者而言，仍無法徹底理解，但難得的是，國人有機會可以目睹這些世界級大學者的風采，親自聽聞他們講解這些研究內容的最新發展，讓國內各界對於資訊安全中最核心的密碼學，且是後量子密碼學領域的最新研究動向，能有最近距離的了解與接觸。</p> <p>為了讓大眾對PQC議題能有廣泛認識，本次論壇也安排中研院資科所專家鐘楷閔，解析量子電腦的發展現況，並希望大家可以正確想像量子電腦的能力；中研院資創中心的專家陳君朋，則從物理面說明旁通道攻擊的威脅，同樣也是PQC會面臨的風險，全球現在至少也有50篇相關論文，他的論文也是其中之一；以及匯智安全科技總經理鄭嘉信，從密碼金鑰管理的產業實務，說明NIST SP 800-57與硬體安全的重要性，以及加密週期Cryptoperiod的影響，並點出轉換到PQC的挑戰。</p> <p>在論壇的最後，也舉行了專家座談，列席的學者與資安業者也彼此交流，提出看法與見解，暢談臺灣頂尖學者參與標準制定、臺灣企業因應新標準的準備工作，以及金融業因應之道等議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>NIST PQC競賽結果將在今年1月公布，對於之前已入選第三輪的金鑰交換與數位簽章，在第一屆量子密碼論壇現場，相當難得，有多位參與競賽的國內外密碼學專家針對這些最新研究內容一一做出闡釋，讓國人能近距離目睹這些世界級大師的演說。圖為Daniel J. Bernstein針對網格密碼學（Lattice-based cryptography）的NTRU、NTRU Prime、SABER、Kyber與Frodo進行說明。</p> </blockquote> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88NEW%E4%B8%BB%E5%9C%96%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87s_%E6%94%9D%E5%BD%B1iThome.JPG" style="width: 600px;" /></h3> <blockquote><p>在第一屆後量子密碼論壇的座談會上，由iThome資安主筆黃彥棻擔任主持人，與陳君明、鄭嘉信、Tanja Lange、Daniel J. Bernstein、楊柏因（由右至左）等多位國內外頂尖密碼學家與硬體安全產業人士，共同探討企業如何因應PQC。</p> </blockquote> <h3><strong>公鑰密碼系統應用非常普遍，更換工程浩大</strong></h3> <p>為了讓外界快速了解公鑰密碼系統即將面臨的危機，在後量子密碼論壇上，陳君明以簡單扼要的方式，解釋PQC的基礎知識，而這方面的內容，其實對於不具學術背景大眾而言，也能輕易理解。</p> <p>簡單來說，以量子破密威脅而言，隨著量子計算出現，以及Shor’s演算法與Grover’s演算法的提出之下，現有的對稱式與非對稱式加密系統，都將受到影響。</p> <p>不過，對稱式加密系統（如AES、DES、Triple DES等加密演算法）受到的影響較小；包含金鑰交換與數位簽章用途的非對稱式加密系統（如RSA、ECC等），受到影響則非常之大，也就是說，現今普遍的公鑰密碼系統，將受嚴重衝擊。</p> <p>這是因為，現有基於質因數分解計算難題的RSA，以及基於離散對數、橢圓離散對數問題的DHKE、DSA、ECDSA等ECC，量子電腦可於多項式時間破解問題。</p> <p>陳君明以現今熱門的加密貨幣應用，說明量子破密的影響性。他表示，現在所有的加密貨幣的交易過程，都是採用橢圓曲線數位簽章演算法（ECDSA）來確保交易安全。事實上，現今公鑰密碼系統的使用已是非常普遍，像是日常上網使用的HTTPS協定，以TLS進行加密，背後的連線階段金鑰（Session Key）的交換演算法，也會使用公鑰密碼系統。</p> <p>而現在關注的後量子密碼學，它是現代密碼學的新領域，專門研究可抵抗量子電腦攻擊的公鑰密碼系統，以取代未來會變得不安全的RSA、ECC等演算法。而上述提到NIST自2016年開始舉辦PQC競賽，也就是因應這樣的趨勢，要選出新一代公鑰密碼系統的標準。</p> <h3><strong>轉換PQC需及早準備，美國摩根大通銀行已提出發展藍圖</strong></h3> <p>近年量子電腦技術雖迭有突破，但實際運算能力還非常小，像是Google在2019年製作的量子電腦，只能處理「53位元的量子資訊」，也就是53個0或1，但為何現在我們就要準備因應？</p> <p>陳君明指出，除了需要關注量子電腦的發展，何時厲害到可以威脅現在的密碼系統，同時，也要考量保密期限或產品生命週期年限，以及新公鑰密碼系統的普及時間。</p> <p>根據量子計算研究所共同創辦人Michele Mosca在2015年的預測，在2026年，量子電腦的發展狀態，可破解現在的公鑰密碼系統機率，約有七分之一；而到了2031年，破解機率將變成二分之一。陳君明表示，美國NIST先前曾大幅引用這樣的預測，雖然現在的說法已經不同，但還是重要參考。</p> <p>特別的是，Michele Mosca還提出了因應時程的理論。他指出，如果X（維護資料安全的時間長度或產品生命週期），加上Y（後量子密碼標準化並且廣泛採用所需時間），大於 Z（量子電腦真正厲害到可以破解公鑰密碼系統的時間），我們就需要擔心量子破密的風險。</p> <p>畢竟，資料加密的保護期限可能只剩6年、15年或25年，再加上全面更換特定密碼系統需花很長的時間，可能長達10年。因此，及早做好準備相當重要。換言之，若是量子電腦真的會在2031年成熟，現在我們就已經需要開始準備。</p> <p>而且，去年就傳言有國家級情報單位大量儲存密文，等到量子電腦成熟，即可大規模破解，若真的如此，各界對於這些已被有心人士刻意儲存的密文，可說是毫無挽救的機會。因此，包括美國與歐洲政府已經開始鼓吹，他們呼籲對於敏感性特別高的資料，要用PQC來保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>PQC轉換不能等標準制定完成才開始！<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">臺大數學系兼任助理教授陳君明表示，之前</span>量子計算研究所共同創辦人Michele Mosca曾提出量子破密威脅因應時程的定律，簡而言之，我們除了關注量子電腦真正厲害到可破解公鑰密碼系統的時間（z），應考慮維護資料安全的時間（y），以及PQC標準與採用所需時間（x），一旦x+y>z，就代表必須立即發展PQC。</p> </blockquote> <p>面對這樣機密性無法繼續確保的局面，全球可以如何做？陳君明提到，美國NIST除了已籌組舉行PQC標準競賽的團隊，旗下國家網路安全卓越中心（NCCoE）也有相應的計畫，幫助各界從現有的公鑰密碼系統，轉換到未來的公鑰密碼系統。因此，那裡會有國內企業組織可參考的資源，而NCCoE也曾在2021年4月發布白皮書，說明轉換到PQC的挑戰。</p> <p>從企業的應用需求來看，近年已有國際金融業者開始準備。例如，美國摩根大通銀行（JPMorgan Chase）兩年前就針對PQC轉換提出發展藍圖，並列出需要進行的工作。</p> <p>基本上，企業一開始先要對內部資料盤點，識別出敏感度高的資料，還要進行供應商技術評估、供應商PQC藍圖調查，而這些工作都是要在2024年PQC標準制定完成之前，就先開始進行的。為何先從上述方式著手？這是因為，全面轉換密碼系統相當困難，因此需要先識別風險，之後就可以先轉換最重要的部分，再依照重要性的順序逐步更換。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）第一屆PQC論壇.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87.jpg" style="width: 600px;" /></a></p> <blockquote><p>由於量子電腦發展已成定局，量子破密隨之而來，新一代公鑰密碼系統轉換到後量子密碼（PQC），已成為政府、企業關注焦點，臺大數學系兼任助理教授陳君明指出，例如，美國JPMorgan集團在兩年前，就已規畫出PQC轉換的藍圖，在 2024年新標準提出之前，他們預計做好高風險資料盤點、評估供應商PQC路線圖等預先準備工作。</p> </blockquote> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>因應量子破密的兩種方法</strong></span></h2> <p>基本上，對於量子破密威脅，全球很早就在關注，如今已發展出兩條因應路線。</p> <p>第一種，是利用量子力學特性的量子密鑰分發（Quantum Key Distribution，QKD），使通訊雙方產生並分享隨機且安全的密鑰，用於訊息加解密。二種則是基於數學的後量子密碼學，也就是PQC，支持這個路線的研究團隊，要發展出無法被量子電腦有效解決的計算難題，成為取代RSA、ECC的新一代公鑰密碼系統。</p> <p>在此兩者中，近期PQC倍受矚目。主要是因為美國國家安全局（NSA）表態支持。事實上，低調的NSA在2020年10月突然發表專文，指出QKD技術應用仍有5種限制，包括身分驗證仍需使用非對稱密碼學，以及架構成本過高等，因此現階段將聚焦於PQC的發展。</p> <p>另一個因素是美國NIST舉辦的PQC密碼標準競賽，歷經5年制定，即將邁向尾聲，標準即將定案。陳君明透露，在2022年1月，就會有第三輪的結果出爐，因此，未來兩年時間，後量子時代的密碼標準就要制定完成，屆時，政府組織與企業都將面臨標準演算法的轉換，以及硬體設備與中介軟體的升級。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>NIST PQC競賽結果今年1月會有初步結果，SPHINCS+有機會成為黑馬</strong></span></h2> <p>對於目前NIST PQC標準競賽的現況，陳君明說明，目前共有7個勝部候選，以及8個敗部候選，這些使用的演算法，背後的數學問題，都是無法被量子電腦破解的，使用的基礎包括：編碼密碼學（Code-based cryptography）、網格密碼學（Lattice-based cryptography）、多變量密碼學（Multivariate cryptography）、雜湊密碼學（Hash-based cryptography）。</p> <p>目前為止，他們看好很有可能被選為標準的，主要是公開金鑰系統項目的Classic McEliece，以及數位簽章項目的SPHINCS+。</p> <p>後者雖然是敗部候選者，但由於勝部三個候選者，最近都被發現問題，因此，NIST會考慮安全性，再考慮效能來選出最終標準。例如Rainbow被發現有攻擊可以降低其安全性，而Dilithium與Falcom則是屬於Lattice密碼學，這類密碼學是基於特別的數學結構，但最近被發現有安全性的疑慮。</p> </div></div></div>
2022/1/19 13:18作者羅正漢https://www.ithome.com.tw/news/148957
Zoom客戶端被發現存在零點擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero揭露<a href="https://googleprojectzero.blogspot.com/2022/01/zooming-in-on-zero-click-exploits.html">視訊會議平臺Zoom，存在零點擊（Zero-Click）漏洞</a>，也就是說在沒有用戶參與的情況下，攻擊者就能夠利用漏洞接管裝置，甚至是破壞Zoom伺服器。Zoom這次被發現的兩個漏洞，分別是客戶端和多媒體路由（MMR）伺服器緩衝區溢位，還有MMR伺服器的資訊洩漏，這兩個漏洞在2021年11月24日，均已被官方修復。</p> <p>Zoom是一個視訊會議平臺，在COVID-19大流行期間廣受歡迎，而這次是由Project Zero研究人員Natalie Silvanovich，對Zoom進行零點擊攻擊分析。Natalie Silvanovich過去在許多通訊平臺，包括Messenger、Signal、FaceTime、iMessage和Duo等，發現過零點擊漏洞和各種臭蟲。</p> <p>Natalie Silvanovich提到，過去他認為針對Zoom的攻擊都需要用戶多次點擊介面，不像是其他視訊會議系統，由一方用戶撥打電話，其他用戶必須立即接受或拒絕，Zoom使用者需要提前安排會議，並透過電子郵件邀請，因此較沒有零點擊攻擊的疑慮。</p> <p>不過最近駭客競賽Pwn2Own揭露了對Windows Zoom客戶端的零點擊攻擊，已經證實Zoom的確具備完全遠端攻擊面，因此Natalie Silvanovich便對Zoom客戶端軟體，進行了詳細的分析，而果真發現了兩個漏洞。</p> <p>Zoom客戶端提供Zoom聯絡人功能，當使用者雙方互成為聯絡人，便可以啟用會議以外的通訊功能，要成為Zoom聯絡人，用戶雙方都必須要明確同意，在之後，就能開始互傳文字訊息，甚至是以類似電話的方式，撥打給其他用戶，讓其他用戶可以透過單擊介面，立刻進行對話。Natalie Silvanovich提到，這些要素代表了Zoom的確具有零點擊攻擊面。</p> <p>不過此攻擊面僅適用於已經說服目標，接受他們成為聯絡人的攻擊者，因為只有Zoom聯絡人才能一鍵加入會議，其他使用者仍需要多次點擊才能進入會議。但Natalie Silvanovich也提到，即便需要多次點擊，說服目標加入Zoom通話其實也不難，尤其是有些組織使用Zoom的方式，可能導致一些特別的攻擊場景。</p> <p>像是許多社群會舉辦公開的Zoom會議，Zoom提供付費網路研討會功能，因此一大群不知名的與會者，可以加入單向視訊會議，攻擊者就可能加入公開會議，並鎖定其他與會者。Zoom還仰賴伺服器來傳輸音訊和視訊串流，並且預設關閉端到端加密，攻擊者可能會破壞Zoom伺服器，並獲取會議資料的存取權限。</p> <p>在這兩個漏洞中，最令Natalie Silvanovich擔憂的是MMR伺服器漏洞，因為該伺服器處理會議音訊和視訊內容，因此攻擊者有能力監控任何未啟用端到端加密的MMR伺服器會議。Natalie Silvanovich表示，雖然他尚未成功利用這些漏洞，但根據目前的調查，他相信只要進行足夠的研究，攻擊者就能夠進一步利用。</p> <p>Natalie Silvanovich還發現MMR程序缺少位址空間組態隨機載入（ASLR）安全技術，而這大幅增加攻擊者破壞的可能性，他表示，整體而言，在Zoom中所發現的臭蟲，和Project Zero在其他視訊會議平臺找到的相去不遠，但伺服器的錯誤令人驚訝，而且還缺少ASLR和允許非端到端操作模式。</p> <p>Natalie Silvanovich在研究Zoom的安全性時，遭遇到了一些障礙，因為Zoom是閉源軟體，不像使用開源軟體的視訊會議平臺容易被檢視，他在研究過程支付了約1,500美元的授權費用，並且因為Zoom使用許多專有的格式和介面，因此研究起來格外花時間，Natalie Silvanovich認為，這些他遭遇到的障礙，可能也代表著Zoom沒有獲得足夠的調查，或許會存在一些簡單但未被發現的錯誤。</p> </div></div></div>
2022/1/19 16:28作者李建興https://www.ithome.com.tw/news/148964
MedTech醫療科技月報第5期：美國最大醫療機構導入公雲API工具，要加速數位醫療應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1216～0115)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">美國退伍軍人事務部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API管理平臺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全美最大醫療機構導入公雲API工具，加速數位醫療服務開發</strong></span></p> <p>美國最大醫療照護機構——美國退伍軍人事務部（VA）1月宣布斥資1,300萬美元，導入Google雲端API管理平臺，來推動更多數位醫療服務的開發。在美國，VA服務了1,900萬名退伍軍人及其家屬，也負責管理全美170家醫學中心和1,000家門診診所，資料整合與服務開發一直是重要領域。</p> <p>在與Google雲端的專案中，VA將採用Google的API管理平臺Apigee，來延伸VA原本的Lighthouse API計畫，讓開發者可以無縫、安全地存取VA的各種API，來開發新工具或新服務。比如，開發者可透過Apigee來使用VA的社福API打造一套應用程式，幫助退伍軍人申請政府福利、追踪結果。又或是，開發者可輕易存取VA的健康API，來開發線上工具，讓退伍軍人根據自己的電子病歷，來管理健康狀態。VA這次要部署的公雲工具，也都符合FHIR國際醫療資料交換標準和美國醫療資安法規HIPAA。<a href="https://www.googlecloudpresscorner.com/2022-01-12-U-S-Department-of-Veterans-Affairs-Partners-with-Google-Cloud-to-Improve-Veteran-Access-to-Benefits-and-Services">（詳全文）</a></p> <p><img alt="" src="https://www.gstatic.com/bricks/image/9e9345060df6752036f80ff26ee9850a2cd5aa8510967e6192d722de5eabf06f.svg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱瑟醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 市集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國最大連鎖醫院加入資料互通聯盟，要打造醫療解決方案市集</strong></span></p> <p>凱瑟醫院（Kaiser Permanente）最近加入Graphite Health醫療資料互通聯盟，成為第4位成員，要共同推動美國醫療資料互通性、加速醫療數位轉型腳步，並打造醫療解決方案市集。凱瑟醫院是美國最大的連鎖醫院，營運35家醫院、700多間診所，會員數達1,200萬，近日加入由大型醫療機構發起的非營利組織Graphite Health，來與其他3家醫療機構推動醫療資料互通性。他們的現階段目標，是要打造一款標準化、資料能互通的醫療App市集，來讓醫療機構使用，提供更現代化的使用者體驗。<a href="https://about.kaiserpermanente.org/our-story/news/announcements/accelerating-health-cares-digital-transformation">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療科學園區 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 沙崙 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全臺第一座醫療創新園區將於沙崙啟動！</strong></span></p> <p>行政院在2021年最後一日，核定成大沙崙醫療服務與創新園區先導計畫，允許成大於臺南沙崙成立醫院和醫療服務創新園區，成為全臺第一個以醫療創新服務和生醫產業為主的科學園區。</p> <p>臺南市長黃偉哲表示，沙崙新設醫院後，能提高新豐區的醫療量能達160%，將每萬人平均的13.68床增加至35.65床，還能擴大周邊區域影響。成大校長蘇慧貞指出，該醫院最快於2022年下半年動工，成大附醫院長沈孟儒指出，除了在沙崙設立醫院，未來還會管理衛福部託付的南臺灣兒童醫療中心，以及因應COVID-19疫情而生的臺灣新南向衛生訓練中心，來協助國際流行病研究和遠距醫療等。</p> <p>這項沙崙醫療創新園區計畫，是成大與臺南市政府共同規畫的「沙崙智慧綠能科學城2.0計畫」之一，其他還包括資安、交通、產業園區和營運辦公室等專案，像是去年12月啟用的沙崙資安與智慧科技大樓。<a href="https://www.tainan.gov.tw/News_Content.aspx?n=13371&s=7864106#">（詳全文）</a></p> <p><img alt="" src="https://www.tainan.gov.tw/News_Content.aspx?n=13371&s=7864106#lg=1&slide=0" /><img alt="" src="https://w3fs.tainan.gov.tw/001/Upload/139/relpic/18321/7864106/[email protected]" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 胸腔X光 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肺癌 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保系統將導入成大胸腔X光AI，要當肺癌快篩揪出病灶</strong></span></p> <p>健保署委託成大團隊開發一套肺癌快篩AI模型，預計今年上半年導入健保系統。署長李伯璋指出，這套胸腔X光片輔助判讀AI能準確揪出肺癌病灶（即肺結節），導入健保署系統後，各醫院可將胸腔影像上傳至健保平臺，再由AI模型判讀，並將判讀結果即時回傳給醫師評估。</p> <p>這套AI模型由成大醫院健康數據資源中心執行長蔣榮先帶領團隊開發，訓練資料來自美國國衛院、日本放射學會、越南VBD以及臺灣健保資料庫，可揪出肺尖、肺門、心臟、橫隔膜後方和血管密集處等較難發現的結節，甚至過去專家難以發現的案例，AI也能清楚標示病灶位置。該模型敏感度達81％，判讀水準已如資深醫師。</p> <p>蔣榮先指出，成大醫院計畫將該系統導入偏鄉行動醫療車，預計在今年第一季啟用，先於嘉義縣偏鄉上路。有了AI輔助系統，就不必如過往般等待數周才能得到判讀結果，而是當下就能得到警示，讓醫師及早介入治療。<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=A4CBA0D7ECC10D67">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 泰國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 華為 </span></strong></span></p> <p><span style="font-size:22px;"><strong>泰國聯手華為打造東協最大5G醫院</strong></span></p> <p>泰國電信主管機關國家廣播及電信委員會辦公室、泰國Siriraj醫院以及華為聯手推動Siriraj 5G醫院計畫，要成為東協最大的5G醫院。該計畫目標是要利用5G、雲端、AI來提供就醫民眾更有效的服務。目前，泰國Siriraj已與華為試做5G醫療手提箱、醫療車、智慧病床等，華為指出，Siriraj醫院也與華為成立5G創新實驗室，來孵育30多個5G醫療應用專案，要在2022年推廣到全泰國。<a href="https://www.huawei.com/en/news/2021/12/smart-hospital-thailand-5g-siriraj">（詳全文）</a></p> <p><img alt="" src="https://www-file.huawei.com/-/media/corporate/images/news4/2021/q4/211216-2.jpg?la=en" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 愛心鏡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 心房顫動 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺大醫院推心律不整App，在家就能自己測</strong></span></p> <p>臺大醫院日前推出心律不整偵測App：愛心鏡，民眾在家就能自行檢測是否心律不整，及早就醫。進一步來說，心律不整最常見的起因是心房顫動，一些患者會出現頭暈、心悸和胸悶等症狀，有些患者也可能毫無症狀。隨著年紀增長，心房顫動的機率也越大，也會增加中風、心臟衰竭和死亡風險。但因早期心房顫動是間歇性發生，到醫院通常得進行長時間的連續心電圖檢測，或植入心電圖記錄器才能確認。</p> <p>為了能更方便地及早發現，臺大醫院找來敦捷光電，利用手機鏡頭和光體積變化描述圖法（PPG），開發出愛心鏡App，透過手機鏡頭和特殊演算法，就能讓民眾自行用手機檢測是否發生心房顫動，且準確率與心電圖相當。民眾也可在App輸入真實資料，系統後臺可視情況聯絡患者至臺大醫院體系醫院，來即早就醫。這款App，也獲得衛福部食藥署許可。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=-1&q_itemCode=10647&agroup=a">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/xkk7d8jUZus?controls=0" title="YouTube video player" width="560px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧病歷平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總委外華碩打造醫療AI，首先瞄準智慧病歷平臺</strong></span></p> <p>臺北榮總日前與華碩電腦簽署MOU，要打造更多醫療AI系統，目前也已規畫開發智慧病歷平臺，來讓就醫流程更順暢。進一步來說，臺北榮總每日平均就診人次為9.000人，單一診次甚至能高達上百人，病人有時因緊張或年紀大，未能清楚描述狀況，進而影響看診體驗。為解決問題，北榮副院長高壽延表示，北榮計畫打造這款智慧病歷平臺，讓就診民眾事前透過App，先以文字或語音輸入來填答相關病況問題，再自動上傳至雲端系統，醫師看診時就能快速了解病人狀況，減少溝通障礙。當醫師診斷時，還能以語音輸入自動產出醫囑，只需再確認即可，大幅優化就醫流程和體驗。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=9055&gcode=A01">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嬌生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位手術 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>嬌生要藉雲服務強化數位手術生態</strong></span></p> <p>嬌生旗下醫療設備供應商JJMDC近日採購雲端服務，要來強化數位手術生態系，像是優化工作流程、加強手術決策系統、提高病人體驗等。他們找上微軟，要藉其多種雲平臺和機器學習技術，像是Azure、Microsoft 365、Dynamics 365等來改善現有系統，比如，JJMDC可用Azure IoT和邊緣運算服務，來提高設備連結性，或利用資料分析工具來改善病人病況，又或者採用Azure服務來提高數位手術系統的創新。<a href="https://news.microsoft.com/transform/johnson-johnson-medical-devices-companies-reimagining-the-patient-journey-in-a-digital-era/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/382/2022/01/MD-Video-Man-On-Tablet-1536x864.jpg" /></p> <p>圖片來源／Google雲端、臺南市政府、華為、敦捷光電、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 行政院會修正生技醫藥產業發展條例，新列數位醫療、精準醫療和再生醫療</strong></p> <p><strong>2. 雙和醫院新院長上任新目標，將力推生醫園區智慧醫療發展</strong></p> <p><strong>3. Avalanche發布可加速AI模型訓練的低程式碼工具hAIsten AI</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/19 15:05作者王若樸https://www.ithome.com.tw/news/148962
開源組織Open Invention Network擴大對Linux的專利授權保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2022/01/18/2368123/0/en/Open-Invention-Network-Expands-its-Patent-Non-Aggression-Coverage.html" target="_blank">開源組織Open Invention Network（OIN）本周宣布</a>再擴大對Linux實施的專利保護內容，新增300多項軟體元件，使在Linux平臺使用這些軟體的用戶不用擔心被告。</p> <p>OIN是由Google、IBM/Red Hat、NEC、Sony、豐田及飛利浦出資支持，會員公司有2,650家，旨在由交互授權以提供Linux專案專利保護，以免遭到侵權告訴。<a href="https://www.ithome.com.tw/news/126366" target="_blank">微軟也在2018年加入OIN</a>。OIN不斷擴充具專利授權保護的軟體元件及函式庫。這次更新Linux系統定義，是OIN成立15年來第9次擴充保護。</p> <p>OIN執行長Keith Bergelt指出，這次更新是因應主要軟體平臺和專案的擴大，也加入硬體設計及嵌入式應用需要的軟體套件。Linux系統的定義更新使OIN得以隨開源碼創新而與時俱進。他表示OIN也將持續加入軟體套件，來保護開源碼生態系。</p> <p>這次新增的軟體套件著重在.Net、AI/ML、嵌入式系統函式庫及容器管理等類別。詳細名單包括.Net、ONNX、tvm、Prometheus、Helm、Notary、Istio、Nix、OpenEmbedded、CoreOS、uClibc-ng、mbed-tls、musl、SPDX、AGL Services、OVN、FuseSoc、Verilator、Flutter、Jasmine、Weex、NodeRED、 Eclipse Paho、Californium、Cyclone和Wakaama等337項，使受保護的套件來到3,730項。</p> </div></div></div>
2022/1/19 15:50作者林妍溱https://www.ithome.com.tw/news/148965
全球10國聯手關閉受駭客青睞的VPN服務VPNLab.net
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織Europol於18日宣布，已與全球10個國家的執法機關合作，聯手扣押及破壞了專門支援網路犯罪活動的VPN服務VPNLab.net，以打擊駭客企圖隱藏足跡的意圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-vpn%20la%20net%20europol-600.jpg" style="width: 600px;" /></p> <p>這起行動是由德國漢諾威警局的中央刑事辦公室主導，基於歐洲對抗犯罪威脅多學科平臺（European Multidisciplinary Platform Against Criminal Threats，EMPACT）專案，藉由打擊駭客的資訊系統來對抗網路犯罪。參與此一行動的國家除了德國之外，還包括荷蘭、加拿大、捷克、法國、匈牙利、拉脫維亞、烏克蘭、英國及美國，並由Europol協調召開逾60次的會議，並提供分析與鑑識支援。</p> <p>VPNLab.net成立於2008年，主要提供奠基於OpenVPN技術的VPN服務，具備2048位元的加密能力，年費為60美元，可替任何人藏匿在網路上的蹤跡。為了強化其隱匿能力，該服務還在不同的國家設置伺服器，提供Double VPN服務，因而成為駭客的熱門選擇。</p> <p>根據調查，駭客利用VPNLab.net服務來散布惡意程式，包括建立勒索軟體活動的基礎設施與通訊架構，或是實際部署勒索軟體，且VPNLab.net還在暗網推廣自家服務。調查也發現有超過100家的企業為駭客攻擊的潛在對象。</p> <p>各國執法機關總計扣押了15臺專門代管VPNLab.net服務的伺服器，迫使VPNLab.net關閉服務。</p> </div></div></div>
2022/1/19 16:10作者陳曉莉https://www.ithome.com.tw/news/148966
AT&T、Verizon三度延後美部份機場周邊C頻段5G部署，拜登政府稱許
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在航空業持續阻撓下，兩大電信龍頭AT&T、Verizon在啟動C頻段的5G服務前夕，同意再次延後美國部份機場周邊的服務，讓美國總統拜登發文稱許。</p> <p>AT&T、Verizon周二分別發出聲明，表示同意延後美國部份機場跑道附近的5G基地臺啟動服務。這是兩家電信業者在航空業巨頭的強力反對下，又一次同意延後服務。</p> <p>AT&T表示，在慎重考慮下，公司同意暫時推遲特定機場跑道基地臺的特定服務，以便持續和和航空業及美國聯邦航空總署（Federal Aviation Agency，FAA）合作，提供5G部署的進一步資訊。Verizon則稱除了特定基地臺暫時延遲外，將依計畫啟動5G服務。</p> <p>不過兩家公司並未說明有多少基地臺或哪些機場的5G服務會延後，以及延後到何時。</p> <p>以AT&T、Verizon為主的陣營、所主導的3.7GHz C頻段5G服務引起航空業強力反對。包括空中巴士、波音、FedEx等航空業者等反對派認為，3.7GHz的無線電訊號會干擾飛機電達高度計，特別是在接近地面時，這將影響飛安，並造成航班延遲、繞道或取消。</p> <p>兩家電信公司去年11月延後開通C頻段的5G服務到2022年1月5日，並承諾將美國46座機場及其他重要地點附近的基地臺功率降低6個月。航空業及電信業雖然宣稱要研議解決方案，但顯然航空業並無意改變，且持續拉攏美國運輸部長及白宮向電信業施壓。今年1月4日，<a href="https://www.ithome.com.tw/news/148708" target="_blank">兩家電信業者再次同意將開通時間推遲到1月19日</a>。</p> <p>兩公司對美國政府強力阻止感到不滿，表示全球近40國已實際證明5G服務的安全性，也對FAA的無能感到挫折。</p> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/01/18/statement-by-president-biden-on-5g-agreement/" target="_blank">美國總統拜登周三也發出聲明</a>，對兩電信業者的決定表達感謝，表示這項決定可避免對民航、貨運及經濟復甦造成可能的重大災害，且允許90%以上無線基地臺按時程部署。拜登表示行政部門將持續和電信、航空業及飛航設備製造業者合作，以規畫可在主要機場使5G服務和飛安共存的可行解決方案。</p> <p><a href="https://www.cnbc.com/2022/01/18/5g-deployment-delays-at-airports-on-cancellation-threats.html" target="_blank">CNBC報導</a>，阿聯酋航空及日本航空之前表示，基於可能的訊號干擾，兩公司會取消部分美國航班。</p> </div></div></div>
2022/1/19 14:59作者林妍溱https://www.ithome.com.tw/news/148961
北京冬奧App遭批安全不足、檢肅內容，奧委會駁斥
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年冬奧即將在2月4日到20日於北京舉行，但<a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank">一項加拿大研究顯示</a>北京冬奧專用App有多項安全隱私問題，還內建言論審查技術。不過國際奧委會駁斥這項研究發現。</p> <p>多倫多大學公共事務學院下的公民實驗室（Citizen's Lab）針對北京冬奧開發的My2022 App的資料安全及隱私進行研究，並由<a href="https://www.dw.com/en/dw-exclusive-cybersecurity-flaws-leave-olympians-at-risk-with-beijing-2022-app/a-60449271" target="_blank">德國之聲（DW）</a>首先引述報導。研究人員指稱這款App資料傳輸安全性不足，蒐集許多資料卻也分享給許多單位，還有一個關鍵字詞審查清單。</p> <p class="rtecenter"><a href="http://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%E5%86%AC%E5%A5%A7APP-600-1.jpg" style="width: 600px;" /></a></p> <p>My2022由中國國營北京金融控股集團所有，具多項功能，首先是COVID-19相關的健康監控。今年冬奧期間時值全球COVID-19風暴再起，北京當局為疫情管控，要求所有國內外選手及與會者在抵達北京前14天以前需下載My2022 App，每日以App回報健康狀況，也蒐集疫苗接種紀錄、以及COVID-19病毒檢測結果等。此外這個App還提供觀光導覽、GPS導航，以及各項設施服務的使用把關等。</p> <p>根據My2022公開資訊，除了健康狀態，它會蒐集大量個人資料。針對外國使用者，這款App蒐集用戶人口學屬性（性別、年齡等）、護照資訊（發照日及到期日等）。此外它還會蒐集裝置識別碼、電信服務商並分享給該裝置業者，如華為、Oppo、Vivo，並且額外蒐集裝置上App資訊分享給騰訊、微博、地圖業者高德（AutoNavi）、語音辨識業者科大訊飛（iFlytek），理由是協助用戶使用它們提供的服務。</p> <p>但研究人員發現My2022並未說明會將用戶健康紀錄分享給誰。另一方面，它又說明會在（且不僅只於）涉及國家安全、公衛事件及犯罪調查等情況下，不經用戶同意揭露個人資訊。</p> <p>除了資訊隱私之外，加拿大研究人員另外也發現My2022的安全問題。例如北京冬奧伺服器，如tmail.beijing2022.cn部分內容傳輸連線未以SSL加密。另一些伺服器，如health.customsapp.com、my2022.beijing2022.cn等雖然採取SSL傳輸，但並未驗證SSL憑證，這可能讓攻擊者發動中間人攻擊，冒充合法網站以攔截用戶輸入的資訊，或是從惡意主機傳送假造內容到App。研究人員也發現數個和北京冬奧的伺服器SSL連線可能曝險。</p> <p>另一方面，My2022還可能扮演言論審查者的角色。研究人員發現My2022提供了舉報他人的政治敏感言論的功能。此外，Android版My2022包含一個「illegalwords.txt」檔，內有2400多個審查關鍵字詞，大部份是簡體中文，少部份為繁體中文、藏文及維吾爾語。字詞類別涵括罵人三字經、色情、非法物質（如製作爆裂物的成份），以及大量政治敏感用語，法輪功、天安門（如「捌玖陸肆紀念」）、習近平等。但研究人員表示這些關鍵詞並未用於實際的言論過濾。</p> <p>研究人員相信，蒐集敏感資訊卻防護不足的My2022，已違反了Google Play及蘋果App Store審查規範，</p> <p>研究人員於去年年底完成調查後，於12月3日將報告發現分享給了北京冬奧及帕奧主辦單位。截至45日後的1月18日未獲得回應，於是向媒體公布研究發現。</p> <p><a href="https://www.dw.com/en/ioc-reacts-to-cybersecurity-concern-over-beijing-my-2022-phone-app/a-60466680" target="_blank">國際奧委會（International Olympic Games，IOC）昨日對媒體反駁這項指控</a>，表示My2022是防範COVID-19的重要工具，其功能首要任務是支持健康監控。</p> <p>在對<a href="https://www.zdnet.com/article/ioc-disputes-citizen-lab-assessment-of-security-concerns-around-chinese-olympics-app/" target="_blank">ZDNet</a>的聲明中，IOC也強調，為了防疫，My2022 App必須採取特別措施以確保冬奧及帕奧與會者、以及中國民眾的安全。IOC並指這款App都已經通過Google Play Store及蘋果App Store的審查。</p> </div></div></div>
2022/1/19 11:20作者林妍溱https://www.ithome.com.tw/news/148953
微軟準備以687億美元買下遊戲業者視動暴雪，將成微軟史上最大併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2022/01/18/microsoft-to-acquire-activision-blizzard-to-bring-the-joy-and-community-of-gaming-to-everyone-across-every-device/" target="_blank">微軟周二（1/18）宣布</a>，將以每股95美元的現金、總價約687億美元的金額，買下歐美最大的遊戲業者動視暴雪（Activision Blizzard），預計於2023財年（2022年7月至2023年6月）完成交易，若交易順利，它將成為微軟史上最大的併購案，加速橫跨行動、PC、遊戲機及雲端等微軟遊戲業務的成長，並成為元宇宙（Metaverse）的建置區塊。</p> <p>成立於2008年的動視暴雪為歐美最大的遊戲業者，旗下擁有5個業務單位，包括動視發行（Activision Publishing）、暴雪娛樂（Blizzard Entertainment）、King、Major League Gaming與動視暴雪影業（Activision Blizzard Studios），曾發行的知名遊戲包括《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）與《Candy Crush Saga》等。</p> <p>根據遊戲產業分析機構<a href="https://newzoo.com/insights/rankings/top-25-companies-game-revenues/" target="_blank">Newzoo去年第二季的統計</a>，動視暴雪的遊戲營收為全球第七大，落後騰訊、Sony、蘋果、微軟、Google及網易。微軟則說，買下動視暴雪將讓該公司成為全球遊戲營收第三大的企業，僅次於騰訊及Sony。</p> <p>消息曝光後，動視暴雪的股價大漲了25.88%，以82.31美元作收，創下641億美元的市值。不過，微軟表示，687億美元的併購金額，也包含了動視暴雪所握有的淨現金。</p> <p>在併購案完成以前，仍由Bobby Kotick擔任動視暴雪執行長，而為了迎接動視暴雪的到來，微軟已指派現今負責Xbox及微軟遊戲業務的Phil Spencer擔任Microsoft Gaming執行長，且即日起生效，將於併購結束後主管動視暴雪的業務。</p> <p>其實微軟自1975年成立以來，一直對遊戲領域很感興趣，光是<a href="https://en.wikipedia.org/wiki/List_of_mergers_and_acquisitions_by_Microsoft" target="_blank">檯面上與遊戲相關的併購案就接近30家</a>，自2018年迄今，加上動視暴雪的併購數量為10家。此外，687億美元的併購金額更刷新了微軟有史以來的併購紀錄，先前的紀錄為2016年12月以262億美元買下LinkedIn。</p> <p><a href="https://news.microsoft.com/2022/01/18/satya-nadella-email-to-employees-bringing-the-joy-and-community-of-gaming-to-everyone/" target="_blank">微軟執行長Satya Nadella指出</a>，遊戲一直是微軟的關鍵業務，也是成長最快也最大的娛樂形態，隨著數位與實體世界即將合而為一，遊戲勢必會在各種元宇宙的平臺上扮演重要的角色。此外，微軟也強調，行動為目前遊戲領域最大的類別，全球的遊戲玩家中，接近95%都會在行動裝置上執行遊戲。</p> <p>市場則分析，微軟買下動視暴雪定會受到美國聯邦交易委員會（FTC）的反托拉斯關切，推測微軟可能會以其Xbox業務仍小於Sony Playstation，以及以行動裝置為主的遊戲業務仍有諸如蘋果及Google等競爭對手為由來抗辯。</p> </div></div></div>
2022/1/19 11:35作者陳曉莉https://www.ithome.com.tw/news/148954
Coinbase與Mastercard合作，將讓用戶直接刷卡購買NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大的加密貨幣交易平臺Coinbase自去年10月宣布將<a href="https://www.ithome.com.tw/news/147259" target="_blank">推出非同質化代幣（Non-Fungible Token，NFT）交易市集</a>之後，本周二（1/18）再度宣布<a href="https://blog.coinbase.com/coinbase-and-mastercard-partner-to-revolutionize-nft-purchase-experience-8e486a392c55" target="_blank">已與萬事達卡（Mastercard）合作</a>，將讓使用者直接刷卡購買NFT。</p> <p>現階段的NFT絕大多數作為數位商品的所有權憑證，主要是音樂、藝術及影片等，也成為各種品牌推出數位收藏品的媒介。</p> <p>不過，有鑑於NFT源自區塊鏈技術，目前要交易NFT亦以基於區塊鏈的加密貨幣為主，消費者必須先申請一個加密貨幣錢包，繼之購買加密貨幣，再以加密貨幣購買NFT，對一般消費者而言並不友善，這也使得Coinbase與萬事達卡結合，打算讓消費者在Coinbase的NFT交易市集上，直接以萬事達卡刷卡購買NFT，將大幅簡化交易流程，並促進NFT的普及。</p> <p>原本預計於去年底上線的NFT交易市集並未如期上線，但Coinbase宣稱很快就會推出，而萬事達卡則說將會動用所有的安全機制，來確保用戶資料及所購買的NFT安全性。</p> <p><a href="https://www.mastercard.com/news/perspectives/2022/coinbase-nft-creator-economy-prakash-hariramani/" target="_blank">Coinbase資深產品總監Prakash Hariramani認為</a>，NFT推動了經濟自由，舉例來說，當人們在《第二人生》（Second Life）或其它遊戲中購買了虛擬物品時，這些虛擬物品是被集中控制的，也只能在相關的遊戲中使用，但買了NFT之後，這就是屬於使用者的資產，不管是在哪個遊戲或元宇宙中。</p> <p>此外，各大品牌也積極參與NFT，包括可口可樂（Coca-Cola）、金寶湯（Campbell）、NBA及愛迪達（Adidas）都在去年釋出NFT收藏品，而且Hariramani估計將有愈來愈多的品牌加入NFT戰局。</p> <p>Coinbase與萬事達卡之後將會進一步揭露刷卡購買NFT的更多細節。</p> </div></div></div>
2022/1/19 12:01作者陳曉莉https://www.ithome.com.tw/news/148955
微軟Edge 98新增可緩解未知零時差漏洞攻擊的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/deployedge/microsoft-edge-relnote-beta-channel" target="_blank">微軟本周釋出最新Microsoft Edge 98測試版</a>，其中一項新功能宣稱可緩解未知零時差漏洞遭駭客攻擊。</p> <p>Edge 98.0.1108.23目前釋出到Beta版頻道給測試用戶。新版主要增加了二項安全功能。首先是一項新的上網安全功能，在以Edge瀏覽器上網時增添多一層防護。這項功能讓管理員在用戶桌機啟動3項群組政策，包括EnhanceSecurityMode、EnhanceSecurityModeBypassListDomains、EnhanceSecurityModeEnforceListDomains，以防止零時差漏洞攻擊。</p> <p>當啟動這項功能，即啟動硬體強制執行的堆疊防護（Hardware-enforced Stack Protection）、任意程式碼防禦（Arbitrary Code Guard，ACG）及內容流程防禦（Content Flow Guard，CFG）。</p> <p>Edge 98的新功能是去年11月微軟<a href="https://www.ithome.com.tw/news/148004" target="_blank">Edge 96加入「超強安全模式」（Super Duper Secure Mode，SDSM）</a>後的續集。SDSM主要目的在關閉Edge的JavaScript Just-In-Time Compilation（JIT）編譯器，以減少瀏覽器安全威脅，因為JIT所屬的Chromium V8 JavaScript 引擎經常發現漏洞，而且JIT和ACG也不相容。新版Edge 98將可在沒有JIT的環境中部署ACG及CFG，以防範惡意程式活動。</p> <p>微軟表示這項功能可利用歷史紀錄分析，緩解「未預見」的零時差攻擊活動，聲稱是安全防護的「一大進步」。此外這些政策也有助於確保重要網站和商務應用的正常運作。</p> <p>第二項安全功能則是自訂主密碼。和其他瀏覽器一樣，Edge也讓用戶儲存網站密碼，以便日後自動填入登入表單中、加速登入網站。因此為了安全起見，現有的Edge已讓用戶在儲存密碼前加入驗證步驟，防止他人利用儲存的密碼來登入網站。Edge 98新功能則是在此基礎上多一層保護；啟動本功能後，用戶必須先輸入一個主密碼驗證自己身分，再儲存密碼。</p> <p>最新版Edge還另外加入了Overlay scrollbar，用戶可以經由「edge://flags」啟動功能。</p> </div></div></div>
2022/1/19 12:09作者林妍溱https://www.ithome.com.tw/news/148956
Google更新Eventarc使用者介面、新增事件路由目的地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/developers-practitioners/introducing-new-eventarc-ui-cloud-run-anthos-destinations">Google更新事件服務Eventarc</a>，在雲端平臺控制臺加入Eventarc使用者介面，供用戶更方便地控制和管理觸發器，另外，Google還新增事件目的地Cloud Run for Anthos，增加事件路由目的地的選擇。</p> <p>Google從去年12月開始，進行一連串的Eventarc更新，包括早前發布的Cloud Storage觸發器，可將Cloud Storage事件路由到Cloud Run的功能，目前已經正式發布。而官方現在還對所有使用者，公開Eventarc使用者介面預覽，讓用戶可以在雲端控制臺，集中瀏覽、編輯和刪除Eventarc觸發器。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/image2_jdLj2SC.max-700x700.png" style="width: 600px;" /></p> <p>官方表示，Eventarc使用者介面可供用戶一目了然現有觸發器，包括觸發器正在監聽的事件、來源以及路由的目的地，都會清楚地呈現在列表中。只要點擊列表中的觸發器，就能進一步查看細節（下圖），並進行編輯和刪除操作。新的Eventarc使用者介面，也讓用戶能夠方便地創建觸發器，只要點選事件供應者，頁面會清楚地呈現事件可用的頻道，引導用戶正確設定接下來的配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3_PQmr9xS_max-1300x1300.png" style="width: 360px; height: 208px;" /></p> <p>另外，現在Eventarc的事件路由目的地新增Cloud Run for Anthos，Google提到，Eventarc的目標是要能將許多事件來源，連結至許多事件目的地。而雖然Eventarc現在有許多事件來源選擇，但當前只有一個事件目的地，也就是Cloud Run，因此Google新增Cloud Run for Anthos服務，作為新的事件目的地。</p> </div></div></div>
2022/1/19 10:54作者李建興https://www.ithome.com.tw/news/148952
哪個品牌最容易被網釣駭客相中？DHL取代微軟居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣攻擊通常是仿冒知名的品牌，藉由傳遞假冒的訊息以讓使用者在不知情的狀況下輸入自己的機密資訊或部署惡意程式，過去最受駭客青睞的品牌一向是微軟，不過，<a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/" target="_blank">資安業者Check Point本周指出</a>，去年第四季最常遭駭客濫用的品牌是國際知名物流業者DHL，首度超越微軟奪冠，且同屬物流的聯邦快遞FedEx也入榜前十名。</p> <p>在COVID-19疫情開始蔓延以來，全球消費者大規模地轉向網路購物，也使得物流產業在疫情期間一片欣欣向榮，而這也是物流品牌遭到駭客鎖定的主因。</p> <p><a href="https://www.checkpoint.com/press/2021/social-now-among-top-three-sectors-to-be-imitated-in-phishing-attempts-in-q3-2021/" target="_blank">在去年第三季時</a>，最常被駭客濫用的品牌前五名依序是微軟（29%）、Amazon（13%）、DHL（9%）、Bestbuy（8%）與Google（6%），但到了第四季時，名次及比例變更為DHL（23%）、微軟（20%）、WhatsApp（11%）、Google（10%）與LinkedIn（8%）。</p> <p>DHL在第三季時僅排名第三，且全球的網釣攻擊只有9%假冒為DHL，到了第四季便激增至23%。此外，第三季沒有進入前十名的FedEx也在第四季以3%排名第七。</p> <p>網釣駭客多半是藉由採用類似品牌官方的網址或網頁設計來誘騙使用者，在Check Point去年第四季所觀察到的網釣攻擊中，駭客以DHL客戶支援的名義寄出了郵件，並附上假冒為官網的連結，要求使用者輸入於DHL上使用的電子郵件與密碼；在冒牌的Fedex攻擊中，同樣假冒為Fedex的客戶支援，並隨信附上了一個壓縮檔，但它實際上是個鍵盤側錄程式，用以竊取使用者的機密資訊；還有一個偽裝成PayPal的網釣攻擊，要求使用者確認自己的PayPal帳號，並將使用者引導至一個偽造的PayPal登入頁面，騙取PayPal用戶憑證。</p> </div></div></div>
2022/1/18 18:27作者陳曉莉https://www.ithome.com.tw/news/148950
跨平臺應用程式部署工具Waypoint 0.7加入觸發器增強自動化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可簡化容器應用程式部署的工具<a href="https://www.hashicorp.com/blog/waypoint-0-7-reimagines-ui-and-extends-deployment-workflows">Waypoint，推出新版本0.7</a>，開發商Hashicorp重新設計了Waypoint使用者介面、觸發器，以及外部資料擷取的方式，來改善使用者體驗，並且讓Waypoint能夠更好地搭配其他工具使用。</p> <p>Waypoint是HashiCorp在2020年開發的工具，目的是要在Kubernetes、Amazon ECS和其他平臺，提供類似PaaS的體驗。Waypoint抽象了各種平臺底層基礎設施，供開發人員以一致的方式，部署、管理和觀察應用程式，只要使用單一指令，就能夠將應用程式部署到Waypoint所支援的各種平臺上，用戶還能夠使用擴充套件，來擴展建置、部署和發布邏輯。Waypoint本身是一個自託管的軟體，不需要使用HashiCorp的任何服務，就能開始管理用戶基礎設施和平臺上的應用程式。</p> <p>Waypoint 0.7加入了一個稱為觸發器（Trigger）的新核心功能，觸發器會在持續整合環境中運作，預配置來執行Waypoint生命周期操作，用戶可以配置的操作，像是部署最新版本，或是要求專案中所有應用程式回報狀態，甚至是對所有應用程式執行部署操作等。</p> <p>觸發器可直接在環境中透過gRPC請求啟動，該請求會告訴Waypoint執行預配置的動作，由於觸發器是以專案為範圍配置，因此可以對專案中定義的所有應用程式進行操作，但也可以只針對專案中單個應用程式。</p> <p>Waypoint 0.7是加入觸發器的第一個版本，Waypoint伺服器目前僅支援以gRPC啟動觸發器，不過，官方也預告，在接下來發布的版本，將會支援以HTTP請求來啟動觸發器，使得運作在持續整合環境中的Waypoint，比現在的可存取性更高。</p> <p>Hashicorp也改進Waypoint從外部獲取資料的能力，新版本Waypoint讓用戶使用動態函式，在waypoint.hcl中配置獲取和使用外部資料的方法，以存取來自Vault、Terraform Cloud、AWS Secrets Manager等平臺的資料。</p> <p>另外，Waypoint 0.7讓用戶變更工作區，來更改擴充套件的配置。由於從Waypoint 0.1以來，工作區的設計都是作為模擬環境或組織的概念，但隨著發展，官方擴展了工作區的功能，新用法就包括用戶可以根據工作區變更部署Kubernetes的命名空間，並且可以在獨立的工作空間，嘗試不同的擴充套件類型。</p> <p>Waypoint讓使用者，能夠透過網頁瀏覽器中的命令列工具，和使用者介面，來部署、管理和觀察應用程式，在新版本中，官方透過重構使用者介面，添加許多新的工作流程，來強化使用者體驗。新的UX項目包括環境選擇下拉選單、圖標更新，還有已建置、部署和發布資訊相關的時間軸。現在也可以在Waypoint瀏覽器使用者介面中，使用waypoint exec，這將允許用戶在部署中執行命令，有助進行故障排除、執行資料庫搬遷，或是檢查應用程式配置等操作。</p> </div></div></div>
2022/1/18 18:29作者李建興https://www.ithome.com.tw/news/148946
Rust 1.58進一步簡化語言功能降低使用難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2022/01/13/Rust-1.58.0.html">程式語言Rust開發團隊發布最新1.58版本</a>，這個版本有不少編譯器上的更新，同時也強化程式語言功能，目的在使Rust更容易使用。Rust 1.58在格式化字串（Format String）中，加入了可捕捉的識別符號，並且更改Windows上命令搜尋路徑，在標準函式庫中加入更多#[must_use]註解。</p> <p>現在開發者可以在字串中，使用{ident}來捕捉參數，過去格式接受位置參數以及命名參數，而現在命名參數也能夠在周圍範圍被捕捉，而這同樣也可用於格式化參數，格式化字串只能捕捉普通的識別符號，不能捕捉任意路徑或是表示式，對於更複雜的參數，開發者必須對參數指定區域名稱，或是使用較舊的name = expression格式化參數類型。</p> <p>官方提到，這項新功能可以在所有接受格式化字串的巨集中使用，不過，例外則是2015年和2018年版本的panic!巨集，當panic!(“{ident}”)還是被當作為格式化字串時，編譯器會發出警示，告訴開發者該寫法沒有預期效果。由於2021版本，官方更新了panic巨集進而提高了一致性，因此這項新功能可以在2021中的panic!運作。</p> <p>Rust 1.58減少Windows命令搜尋的路徑，在Windows上，std::process::Command將不再於當前工作目錄中搜尋可執行檔案。過去受win32 CreateProcess API的影響，Rust按特定的優先順序執行搜尋，會先搜尋子PATH環境變數中列出的目錄，接著是載入應用程式的目錄、父程序的目錄、32位元的Windows系統目錄、16位元的Windows系統目錄、Windows目錄，最後則是PATH環境變數列出的目錄。</p> <p>官方解釋，由於使用當前工作目錄可能產生預料之外的結果，或是當在處理未受信任目錄時，產生惡意行為，即便是微軟自己的PowerShell文件，也不使用當前目錄，以確保其安全性。而現在沒有當前目錄的情況下，Rust會按照新的優先順序進行搜尋。</p> <p>但因為沒有API可以探索16位元Windows系統目錄，因此Windows上Rust的新命令搜尋順序，將會跳過16位元Windows系統目錄，僅有子PATH環境變數中列出的目錄、載入應用程式的目錄、32位元的Windows系統目錄、Windows目錄以及PATH環境變數列出的目錄。在非Windows上，將仰賴特定平臺的行為，通常只考慮子或父PATH環境變數。</p> <p>另外，在Rust 1.58中的標準函式庫，加入更多的#[must_use]註解，大多數函式都帶有#[must_use]註解，忽略回傳的值將會出現警告。Rust編譯器在這個版本也有不少更新，像是在拋出lint錯誤之後，還是能繼續編譯，以顯示更多有用的錯誤訊息等。</p> <p>Rust的套件管理器Cargo，現在加入一個新的後設資料欄位，以表示最小支援的Rust版本，這對其他工具來說將會是很有用的資訊，另外Cargo在install指令加入—message-format選項，並且在後臺，更新curl至7.80版本，以更好地支援OpenSSL 3。</p> </div></div></div>
2022/1/18 18:31作者李建興https://www.ithome.com.tw/news/148951
鎖定Linux平臺的惡意程式在2021年增加了35%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/linux-targeted-malware-increased-by-35-percent-in-2021/" target="_blank">美國資安業者CrowdStrike本周揭露</a>了2021年的Linux惡意程式狀況，指出去年鎖定Linux平臺的惡意程式數量比2020年增加了35%，其中光是XorDDoS、Mirai與Mozi三大惡意程式家族就占了22%。</p> <p>有鑑於Linux既具彈性又有多元的各種版本，因而適用於不同的硬體設計，例如目前全球大多數的雲端基礎設施與網頁伺服器都採用Linux，且它同時也是行動裝置與物聯網（IoT）裝置的主要平臺，其中，缺乏充分安全保護的行動及物聯網裝置，則替駭客帶來了大量的開採機會，例如採用固定憑證、開放傳輸埠或未修補的安全漏洞等。根據估計，全球的物聯網裝置數量到了2025年，將會超過300億臺。</p> <p>去年三大Linux惡意程式家族之一的XorDDoS為一木馬程式，它鎖定基於Arm、x86與x64等平臺的Linux架構，主要藉由SSH暴力破解攻擊取得物聯網裝置的遠端控制權；有些變種會掃描及搜尋開啟2375傳輸埠的Docker伺服器，因為該傳輸埠提供了未加密的Docker插槽及無需密碼的遠端存取，因而遭到駭客濫用。與2020年相較，XorDDoS去年的樣本數增加了123%。</p> <p>至於Mozi則是一端對端的殭屍網路惡意程式，它藉由分散式雜湊表（DHT）系統來部署自己的擴充DHT，DHT所具備的分散式與去中心化查找功能，讓Mozi得以將C2C流量藏匿在大量的DHT合法流量中，利用DHT也能讓Mozi快速壯大其殭屍網路。Mozi也是透過暴力破解SSH及Telnet傳輸埠來入侵系統，隨後還會封鎖這些傳輸埠以避免被其它惡意程式取代。Mozi去年的樣本數多達前一年的10倍。</p> <p><a href="https://www.ithome.com.tw/news/108775" target="_blank">2016年問世的Mirai在原始碼被公布後</a>就一直流竄迄今，已出現數不清的變種，堪稱是今日各種Linux DDoS惡意程式的共同祖先，也讓它依舊身居主要Linux惡意程式之一。</p> <p>CrowdStrike亦公布了上述三大Linux惡意程式家族的入侵指標供外界參考。</p> </div></div></div>
2022/1/18 17:23作者陳曉莉https://www.ithome.com.tw/news/148948
國發會3月將提我國淨零碳排路徑圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趕上國際社會淨零碳排趨勢，國發會今天(1/18)公布今年工作目標，預告今年3月將會提出臺灣淨零碳排路徑圖，揭示淨零碳排的4大政策方向。</p> <p>國發會主委龔明鑫在年終記者會中表示，國發會今年的目標，短期目標方面包括：擬定整體經濟目標、穩定物價、完成第4期前瞻預算審議、地方創生、強化國際鏈接。而今年將完成規畫及中長期的目標則是：解決人口及人力問題，以及淨零碳排。此外，國發會正在推動的包括重要國家政策管考、資金導入的實質投資、雙語國家等政策等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ppt.jpg" style="width: 600px; height: 356px;" /></p> <p>其中，前瞻建設計畫2.0的第4期預算審議，不同於第3期前瞻預算審議的主軸，偏重數位轉型如5G布建、建置產業園區鼓勵臺商回流、發展地方創生以平衡城鄉差距，在淨零碳排的中長期目標之下，國發會今年將完成的第4期前瞻預算審議，預算審議主軸納入淨零碳排。</p> <p>龔明鑫指出，目前第4期前瞻預算已框列，大致完整計畫也已提出來，在淨零碳排的明確目標之下，第4期前瞻預算審議主軸將作調整，在預算審議的過程中將淨零排碳納入考慮、對審議的計畫提出要求。國發會會重新檢視第3期預算執行狀況，對執行不力計畫收回預算額度，用以支持綠能等相關項目，另外在審議第4期每項計畫預算時考量淨零碳排，在能夠達成同樣目的下，傾向支持採用淨零碳排技術或工法。</p> <p>目前第4期前瞻預算約1,800億元，而2025年的第5期預算約1,000億元。龔明鑫補充說明，除了在淨零的項目加碼之外，普遍性的做法是在淨零的總目標之下，未來每項公共建設都應該納入淨零想法。</p> <p>至於今年3月將提出的臺灣淨零碳排路徑圖，包含4大重要政策方向：2030年前將節能、綠能、減碳最大化；推動運具及製造的電動化；投入氫能與CCUS碳捕捉技術開發及國際合作；配合歐盟碳關稅趨勢，啟動溫室氣體減量管理法修法，將徵收的碳費以基金，投入鼓勵減碳技術開發及推動電動化。</p> <p>為達到淨零碳排，未來國發會是否會訂定強制目標？龔明鑫以交通運具的電動化為例，不會採取哪一年開始禁售燃油車的強制做法，而是以外部成本內部化的方式，以價格或補貼機制產生相對比較利益，例如未來燃油車課碳費，徵收的碳費可能用於補貼電動車，以比較利益鼓勵民間購買電動化運具。</p> <p>龔明鑫認為，儘管目前已發展出一些綠能、減碳的技術，但按照國際組織的預測，以現有技術要在2050年達到淨零的目標可能難以實現，因此需在未來10年投入新技術研發，並在2030年大量採用，才有可能在2050年實現淨零的目標，因此課收碳費，以補助綠能或減碳等新技術研發，或運具的電動化有其必要性。</p> <p>目前政府正推動修法，擬將溫室氣體減量管理法改為氣候變遷因應法，環保署也正進行修法研商，未來修法將徵收碳費，但各界對於碳費如何計算，徵收的對象仍有不同的意見，未來可能課徵多少碳費，成立的基金將如何運用，這些問題的目前仍沒有明確的答案。</p> <p> </p> </div></div></div>
2022/1/18 18:12作者蘇文彬https://www.ithome.com.tw/news/148949
【資安日報】2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣受許多組織使用的網站內容管理系統WordPress，再度傳出有數個外掛程式存在重大的存在請求偽造（CSRF）漏洞，CVSS風險層級高達8.8分，研究人員估計總共有8.4萬個網站受到影響。</p> <p>另外，不少企業採用的SAP，其中一個CVSS風險層級9.1分的重大漏洞，研究人員發現可被用於供應鏈攻擊，讓攻擊者在SAP應用程式植入惡意軟體，呼籲用戶要儘速修補漏洞。</p> <p>除了上述的嚴重漏洞之餘，北韓APT駭客組織去年大肆透過加密貨幣業者竊取資金的現象，也較以往增加4成，而成為北韓在許多國家對其經濟制裁下，用來發展軍事的資金來源。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://sports.ltn.com.tw/news/breakingnews/3804188"><span style="color: rgb(0, 0, 0);"><strong>中華職棒YouTube頻道被盜，直播內容變比特幣演說</strong></span></a></h4> <p>根據國內多家媒體報導，中華職棒YouTube官方頻道在1月17日晚間21時20分被盜用，頻道名稱被更改為MicroStrategy，直播內容則是講解比特幣，狀況在22時30分左右排除，但張貼的影片有被刪除的狀況。不過這起事件並未結束，我們從PTT網友針對此事的回應來看，在1月18日上午5時到9時，被盜狀況仍繼續發生，並指出這樣的直播維持有2千人觀看。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/qlocker-ransomware-returns-to-target-qnap-nas-devices-worldwide/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Qlocker再度鎖定威聯通NAS發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Qlocker Tor site.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qlocker%20Tor%20site.png" style="width: 300px; float: right;" /></a>勒索軟體Qlocker曾於2021年4月下旬，鎖定威聯通（QNAP）的NAS用戶發動攻擊，利用備份資料同步元件HBS 3的漏洞入侵。但最近，該勒索軟體再度出現新一波的攻擊行動而值得留意。根據資安新聞網站Bleeping Computer於1月15日的報導，他們發現Qlocker疑似在1月6日有了新的攻擊行動，一旦NAS遭到威染，檔案被加密後攻擊者會留下勒索訊息，要求支付0.02至0.03個比特幣來恢復檔案，至少有數十臺NAS遭到感染。該新聞網站呼籲用戶，參考威聯通的最佳實務來強化NAS安全。</p> <h4><a href="https://teamt5.org/tw/posts/north-korea-hacker-konni-apt-attack-target-russia/"><span style="color: rgb(0, 0, 0);"><strong>臺資安業者TeamT5揭露鎖定俄羅斯政府的APT入侵攻擊手法</strong></span></a></h4> <p>今年1月初，資安業者Cluster25揭露北韓駭客組織鎖定俄國外交部的攻擊，對於這樣的攻擊行動，臺灣資安業者TeamT5在1月中旬也公開自家分析結果，解析其攻擊手法，是透過惡意魚叉式電子郵件進行，一旦使用者上鉤開啟郵件附檔中的螢幕保護程式поздравление.scr，該程式背地裡將連線中繼站並下載惡意Payload，再透過Base64演算法取得惡意CAB檔案，當中將包含後門程式scrnsvc.dll，經TeamT5分析，該後門程式與北韓駭客組織Konni所慣用的後門程式家族Sanny有關，與Cluster25的研究分析有相同結論。</p> <h4><a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/"><span style="color: rgb(0, 0, 0);"><strong>近四分之一網釣攻擊冒用DHL的名義出手</strong></span></a></h4> <p>過往網路釣魚攻擊中，攻擊者較為偏好利用微軟和Google等IT業者的名義，來取得受害者的信任，進而得手對方的帳密等資料，但這個情況近期出現了變化。資安業者Check Point針對2021年第4季，駭客在發動網路釣魚攻擊的行動裡，所假冒的廠牌名稱，調查後發現，全球有23%網路釣魚是利用物流業者DHL的名義發動攻擊，不只比2021年第3季（9%）高出不少，也超越微軟（20%）、WhatsApp（11%）、Google（10％）。</p> <h4><a href="https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/"><span style="color: rgb(0, 0, 0);"><strong>北韓Lazarus旗下駭客組織鎖定加密貨幣新創公司，將其貨幣盜領一空</strong></span></a></h4> <p>北韓駭客鎖定加密貨幣來獲利的情況，近期又有相關的攻擊行動出現。卡巴斯基揭露Lazarus旗下的駭客組織BlueNoroff，約在2021年11月發起SnatchCrypto攻擊行動，鎖定專門處理加密貨幣、數位合約、DeFi、區塊鏈的中小型新創公司下手，對於這些企業的員工傳送具備監控功能的後門程式，最終目的是清空受害組織的加密錢包。為了讓受害者上當，該組織偽裝成超過15家風險投資業者。</p> <h4><a href="https://www.nbcnews.com/tech/security/north-korea-stole-record-400-million-cryptocurrency-last-year-research-rcna12080"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客2021年竊得4億美元加密貨幣，較前年多出4成</strong></span></a> </h4> <p><a href="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png" style="width: 300px; float: right;" /></a>美國與其他國家長期對於北韓實施經濟制裁，使得該國長期以來，倚賴APT駭客攻擊全球各地的金融機構，來竊取資金。但最近2到3年，北韓駭客更加關注如何偷取加密貨幣，根據區塊鏈資安業者Chainalysis調查，這些駭客在2021年總共對於加密貨幣平臺發起至少7次攻擊行動，並取得近4億美元的加密貨幣，較2020年要多出40%。其中，被竊的加密貨幣以太幣占超過半數（58%）、比特幣居次（20％）、22%是ERC-20或替代幣（Altcoin）。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/linux-malware-sees-35-percent-growth-during-2021/"><span style="color: rgb(0, 0, 0);"><strong>Linux惡意軟體在2021年增加35%，XorDDoS、Mirai、Mozi最為氾濫</strong></span></a></h4> <p>攻擊者鎖定Linux作業系統發動攻擊的現象，去年頻繁傳出攻擊事故，許多勒索軟體駭客開始針對這種環境製作專屬攻擊工具，就連Log4Shell漏洞攻擊，也有不少是針對Linux伺服器而來，但這種情況有多嚴重？根據資安業者CrowdStrike的調查，2021年Linux惡意軟體的數量，較2020年多出35%，其中XorDDoS、Mirai、Mozi家族最為氾濫，占所有惡意軟體的22%，其中又以Mozi攻擊出現爆炸性成長，去年的惡意軟體數量是前年的十倍。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/high-severity-vulnerability-in-3.html"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在高風險漏洞，恐波及8.4萬網站</strong></span></a></h4> <p>專注於WordPress網站安全的Wordfence指出，他們發現3個WordPress外掛程式存在請求偽造（CSRF）漏洞CVE-2022-0215，CVSS風險層級為8.8分。這些存在漏洞的外掛程式為Login/Signup Popup、Side Cart Woocommerce、Waitlist Woocommerce，各有超過2萬個、4千個、6萬個網站使用，套件開發者XootiX獲報後已修補上述漏洞。</p> <h4><a href="https://www.securityweek.com/critical-sap-vulnerability-allows-supply-chain-attacks"><span style="color: rgb(0, 0, 0);"><strong>重大SAP軟體漏洞恐被用於供應鏈攻擊</strong></span></a></h4> <p>甫被公布細節不久的軟體漏洞，很可能因為有其他利用的方式，而使得漏洞潛藏的危害比原本預期的還要嚴重，甚至可能引發類似SolarWinds供應鏈攻擊的事故。例如，專精於SAP安全的資安業者SecurityBridge，針對一項存在於NetWeaver AS ABAP、ABAP平臺的重大漏洞CVE-2021-38178提出警告，表示這項漏洞原先被發現是不正確的授權問題，能讓攻擊者將程式碼跳過檢測程序就發布，但研究人員發現，攻擊者還能竄改發布狀態，允許在正式發布程式碼後將狀態變更為「可修改」，使得攻擊者可以任意加入惡意程式進行供應鏈攻擊。這項漏洞SAP已於2021年10月發布修補程式，研究人員呼籲用戶要儘速安裝相關更新。</p> <h4><a href="https://mashable.com/article/safari-bug-browser-history-security"><span style="color: rgb(0, 0, 0);"><strong>Safari驚傳頁面呈現引擎漏洞，恐曝露瀏覽器記錄與Google帳號細節</strong></span></a></h4> <p>資安業者FingerprintJS揭露Safari 15瀏覽器的WebKit頁面呈現引擎漏洞，這項漏洞與Indexed Database（IndexedDB）的API有關，一旦被攻擊者利用，可透過網站追蹤使用者的網路活動，甚至得知用戶的身分，例如Google帳號的細節，無論是蘋果個人電腦（macOS）或是行動裝置（iOS、iPadOS）用戶都受到影響。這項漏洞自研究人員於1月15日公開後，蘋果已於17日著手於WebKit原始碼加入相關的修補程式，但尚未提供給一般用戶。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment"><span style="color: rgb(0, 0, 0);"><strong>半導體資安標準SEMI E187正式發布上架</strong></span></a></h4> <p>在2022年1月17日，全球首個半導體晶圓產線設備資安標準已正式上架於SEMI網站，名稱為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」。特別的是，這也是首次由臺灣主導制定的半導體相關國際標準，此項標準在四大方面提出要求，包括：作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，建立晶圓廠設備資安最低標準。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/18 14:27作者周峻佑https://www.ithome.com.tw/news/148941
火山爆發導致海底電纜受損，東加對外通訊中斷恐持續二周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.stuff.co.nz/business/127512800/tonga-subsea-communications-cable-may-be-broken-after-all-says-southern-cross" target="_blank">Stuff.nz報導</a>，上周末南太平洋的東加王國因鄰近海底火山大規模噴發，引發海底地震及海嘯，導致東加王國海底光纜受損，對外通訊幾乎中斷。</p> <p>受火山爆發衝擊導致東加對內、對外光纖網路故障。對外光纖由東加首都努瓜婁發（Nuku'alofa）連向斐濟首都蘇瓦（Suva），長達872公里。受到對外纜線運作故障，目前東加對外電話及連網服務幾乎中斷。</p> <p>ZDNet引述持有線纜的東加線纜公司（Tonga Cable）指出，2條光纖都受影響，對外光纖故障發生在距努瓜婁發37公里處，對內光纖則是在距努瓜婁發47公里處。</p> <p>此外當地一家行動電信業者則表示，該公司在東加境內服務部份可用，但海嘯波及的島嶼因基地臺遭破壞也受影響。該公司目前正緊急架設衛星連線，但僅供政府及少數客戶使用。</p> <p>現階段東加僅能利用衛星電話及衛星寬頻維持對外通訊。</p> <p>目前負責營運的南十字星海纜表示已經著手修復，估計回復時間可能長達2周，實際情況需視故障是出於機組失靈、停電或是光纖斷裂。</p> <p>東加南方65公里的Hunga Tonga火山上周大規模噴發，被稱是1990年以來最大火山爆發，火山灰被抬升至30公里的高空，爆炸巨響連6000英哩外的阿拉斯加都聽得到，此外，爆發時的海底地震也在當地引發超過1公尺的海嘯，紐西蘭、日本及美國都發佈了海嘯警報。紐西蘭及澳州政府也派遣偵察機前往視察災情。</p> </div></div></div>
2022/1/18 16:49作者林妍溱https://www.ithome.com.tw/news/148947
微軟緊急修補Windows Server、Windows桌機版 1月安全更新問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows-message-center" target="_blank">微軟昨（1/17）日釋出例外更新（out-of-band，OOB）</a>，以解決上周Windows及Windows Server更新引發的無限重開機、Hyper-V無法啟動以及Windows電腦無法執行VPN連線的問題，連已終止支援的Windows 7、Server 2008也都在修補之列。</p> <p>微軟表示，這波OOB更新將分別解決和Windows網域控制器（Domain Controller）重開、虛擬機器啟動失敗、彈性檔案系統（ReFS）可移除媒體無法啟動相關的問題。</p> <p>上周Patch Tuesday針對Windows Server及Windows釋出的安全更新，<a href="https://www.ithome.com.tw/news/148866" target="_blank">用戶下載安裝後陸續出現上述問題</a>。微軟也分別提供說明。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-server-2022#2775msgdesc" target="_blank">其中當網域控制器</a>在強化安全性系統管理員環境（Enhanced Security Admin Environment，ESAE）環境下使用Shadow Principal物件，或是啟動Privileged Identity Management（PIM）的環境會發生不預期開機，導致許多用戶經歷Windows Server伺服器不斷重開機。</p> <p>針對彈性檔案系統（ReFS）無法啟動，<a href="https://support.microsoft.com/en-us/topic/kb5010691-refs-formatted-removable-media-may-fail-to-mount-or-mounts-as-raw-after-installing-the-january-11-2022-windows-updates-7a959f37-91b6-4baf-a797-829b0ee86c65" target="_blank">微軟解釋</a>，是出於可移除媒體包括USB外部磁碟不支援這個檔案統格式。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-8.1-and-windows-server-2012-r2#2776msgdesc" target="_blank">Hyper-V無法啟動VM的問題</a>則發生在使用UEFI的系統裝置上。</p> <p>至於VPN連線問題，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2#2773msgdesc" target="_blank">微軟指出</a>包含Vender ID的IPSEC連線、或使用第二層隧道協定（Layer 2 Tunneling Protocol，L2TP）及IPSEC網際網路金鑰交換（Internet Key Exchange）的VPN，在Windows PC安裝更新後都可能無法啟動。</p> <p>雖然主要是現今主流的Server 2012R2、Server 2016、Server 2019、Windows Server 10 20H1、Server 20H2、Server 2022、及Windows 10（20H2、20H1、1909、1607、1507）、11（21H1）受影響，不過微軟這波例外更新的發布對象，也涵括微軟已終止支援的Windows 7 SP1、Windows Server 2008 SP2。</p> <p>管理員或用戶可以在Update Catalog手動下載更新。部份版本可經由Windows Update自動下載安裝。</p> </div></div></div>
2022/1/18 13:22作者林妍溱https://www.ithome.com.tw/news/148938
蘋果允許荷蘭約會App使用第三方程式內支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.acm.nl/en/publications/apple-has-adjusted-its-policy-dating-apps-acm-assess-these-adjustments" target="_blank">荷蘭消費者交易主管機關本周宣布</a>，蘋果已通知荷蘭政府將允許該國境內上架App Store 的約會應用程式可使用第三方程式內支付（in-app purchase，IAP）系統，或允許開發商將用戶導向原廠網站付費。</p> <p>這也是繼上周<a href="https://www.ithome.com.tw/news/148842" target="_blank">南韓的例子</a>後，蘋果開放使用第三方程式內支付的國家。</p> <p>荷蘭消費者與市場管理署（Netherlands Authority for Consumers and Market，ACM）2019年接獲旗下擁有Match.com、Tinder、OkCupid和Hinge的Match Group投訴後，即著手調查蘋果App Store強制使用自家IAP一事，<a href="https://www.reuters.com/technology/exclusive-dutch-watchdog-finds-apple-app-store-payment-rules-anti-competitive-2021-10-07/" target="_blank">當局去年10月做出違反競爭法的判決</a>。</p> <p><a href="https://www.acm.nl/en/publications/acm-obliges-apple-adjust-unreasonable-conditions-its-app-store" target="_blank">荷蘭政府去年12月底命令</a>蘋果必須在2022年1月15日之前，調整對約會程式開發商的不合理條款。如果蘋果未能依要求調整，將遭到荷蘭當局每星期500萬到5,000萬歐元的罰款。</p> <p><a href="https://developer.apple.com/support/storekit-external-entitlement/" target="_blank">根據蘋果說明</a>，荷蘭App Store上架的約會應用程式開發商，除了使用蘋果IAP外，也可在程式內加入連結以便將用戶導向原廠網站購買，或是在App中加入第三方支付系統。</p> <p>欲加入原廠網站連結或使用第三方支付的約會App，必須向蘋果申請新的權利。由於這新權利僅限在荷蘭App Store上架及荷蘭境內流通的App，因此開發商必須另外上傳iOS及iPadOS適用的專門函式庫。而這些申請及上傳程式也將經過蘋果審查。</p> <p>不論用戶是連向開發商網站支付，或是使用第三方IAP支付，蘋果都會收取交易手續費。至於收費比例，和在南韓的例子一樣，蘋果將於日後公佈。</p> <p>蘋果稅（Apple Tax）問題讓許多應用程式開發商感到不滿，尤其是知名開發商如Epic Games、Spotify等。在這些業者循法律途徑解決後，蘋果終於有所讓步。<a href="https://www.ithome.com.tw/news/146489" target="_blank">去年9月蘋果允許</a>Reader類別程式開發商在App中提供連結，將用戶導向開發者的網站購買，並設定及管理帳號。</p> </div></div></div>
2022/1/18 13:33作者林妍溱https://www.ithome.com.tw/news/148939
Walmart有意發展加密貨幣與NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大實體零售業者Walmart去年底向美國專利暨商標辦公室（U.S. Patent and Trademark Office，USPTO）<a href="https://alter.com/trademarks/walmart-97197301" target="_blank">提出了新的商標申請</a>，透露出該公司打算從事與加密貨幣相關的業務，或替進入元宇宙（Metaverse）的世界舖路。</p> <p>新的申請內容歸類為保險與金融服務類，準備透過全球的電腦網路提供虛擬貨幣供線上社群使用；於非同質化代幣（Non-Fungible Token，NFT）領域提供虛擬貨幣的交易；提供加密貨幣、NFT與區塊鏈的交易服務；並有意發行數位代幣供全球線上社群使用；或者是發行NFT。</p> <p>這顯示出在電子商務時代被Amazon搶了先機的Walmart，不願再落後於新一代的區塊鏈、加密貨幣與NFT趨勢，同時也可替被視為全球化虛擬世界的元宇宙舖路。</p> <p>在科技社群的推波助瀾下，區塊鏈、加密貨幣或NFT慢慢地滲透到各個領域，而相關技術很可能會在元宇宙的時代充分發揮。不只是Walmart，知名運動服飾品牌Nike也在去年10月<a href="https://uspto.report/TM/97096366" target="_blank">提出類似的申請</a>，將該公司商標所涵蓋的範圍擴大至可下載的虛擬商品，包括透過電腦程式所打造的鞋子、衣服、頭盔、眼鏡、袋子、運動裝備、藝術、玩具或配件等，以讓使用者於線上虛擬世界中使用。</p> <p>對於媒體的詢問，Walmart並未正面表態，而是<a href="https://www.cnbc.com/2022/01/16/walmart-is-quietly-preparing-to-enter-the-metaverse.html" target="_blank">向《CNBC》表示</a>，該公司一直在探索新興技術將如何改變未來的購物經驗，也持續地測試各種新想法，有些想法會落實成產品或服務，若否亦會從中學習。</p> </div></div></div>
2022/1/18 13:44作者陳曉莉https://www.ithome.com.tw/news/148940
英特爾11、12代處理器終止支援SGX，新PC無法播4K藍光光碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/new-intel-chips-wont-play-blu-ray-disks-due-to-sgx-deprecation/" target="_blank">Bleeping Computer報導</a>，英特爾已從第11、12代處理器Core 11000及12000系列移除對SGX（software guard extension）安全技術的支援，這將讓使用最新一代的處理器的桌機及筆電無法播放提供4K解析度的藍光光碟（Ultra HD Blu-ray）。</p> <p><a href="https://edc.intel.com/content/www/tw/zh/design/ipla/software-development-platforms/client/platforms/alder-lake-desktop/12th-generation-intel-core-processors-datasheet-volume-1-of-2/001/deprecated-technologies/" target="_blank">根據去年公布的Intel 12代Core 處理器規格表</a>，未來產品將不再支援Intel SGX及Intel記憶體防護延伸（Intel Memory Protection Extensions, MPX）、以及TSX-NI指令集等技術。</p> <p>由於藍光光碟使用的數位版權管理（digital rights management，DRM）機制需要搭配SGX。因此在11代以後Intel Core處理器移除支援後，搭載這些處理器的裝置將無法執行播放Ultra HD Blu-ray光碟的任務。</p> <p>事實上早在2020年2月<a href="https://arstechnica.com/gadgets/2020/02/intel-promises-full-memory-encryption-in-upcoming-cpus/" target="_blank">即有媒體報導</a>英特爾放棄支援SGX的計畫。當時英特爾高層說明，未來英特爾CPU都將使用新的安全技術，包括全記憶體加密（Total Memory Encryption，TME）及多金鑰全記憶體加密（Multi-Key Total Memory Encryption，MKTME）。</p> <p>英特爾是在2014年宣布Intel SGX，並於2015年的Skylake微架構中首次加入。不過SGX有一些缺點，包括它的加密安全區（enclave）太小只有128MiB，無法完整保護應用程式資料，此外它也會影響處理效能。<a href="https://medium.com/@danny_harnik/impressions-of-intel-sgx-performance-22442093595a" target="_blank">有研究人員測試顯示</a>，啟動SGX安全區可能使CPU效能下降20%-50%。</p> <p>不過最大問題可能在安全。<a href="https://www.ithome.com.tw/news/121615" target="_blank">Bleeping Computer報導</a>，近年有許多攻擊是鎖定Intel SGX而來，包括2018年<a href="https://www.ithome.com.tw/news/121615" target="_blank">新Spectre</a>、2019年<a href="https://www.ithome.com.tw/news/130651" target="_blank">ZombieLoad</a>、2020年的LVI（Load Value Injection）概念驗證攻擊等。</p> <p>而在搭戴新處理器的裝置上，播放Ultra HD藍光光碟的問題就會浮現。對此<a href="https://www.cyberlink.com/support/faq-content.do?id=26690" target="_blank">訊連科技的FAQ網頁</a>指出，受到SGX功能移除，以及SGX和最新版Windows OS及驅動程式不相容等問題，對其持續支援Ultra HD Blu-ray內容播放形成極大挑戰，因此該公司決定在新CPU及新Windows平臺上不再支援Ultra HD Blu-ray。</p> <p>媒體建議，消費者較好的選擇是持續使用Core 7000、8000、9000和10000系列。再早的Skylake不支援HDCP 2.2，無法使用HDMI 2.0轉接頭的裝置。</p> </div></div></div>
2022/1/18 13:04作者林妍溱https://www.ithome.com.tw/news/148936
西班牙祭出新規定，推廣加密貨幣必須明確揭露廣告性質並警告投資風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙國家證券市場委員會（National Securities Market Commission，CNMV）周一（1/17）<a href="https://www.cnmv.es/portal/verDoc.axd?t={1cbaf61c-57c2-4830-bd6a-071f806795e2}" target="_blank">針對境內的加密貨幣廣告祭出新規定</a>，要求舉凡是收受金額以推廣加密貨幣的網紅或名人，都必須事先知會CNMV，對外公開揭露其廣告性質，同時警告相關的投資風險。只要是粉絲人數超過10萬人的網紅都在規範之列。</p> <p>去年底西班牙足球明星Andrés Iniesta去年11月<a href="https://twitter.com/andresiniesta8/status/1463410602509062145?lang=en" target="_blank">於Twitter上展示了加密貨幣交易平臺Binance</a>，還說他將學習如何透過Binance進入加密貨幣的世界，<a href="https://twitter.com/cnmv_medios/status/1463573103943077889" target="_blank">結果隔天就被CNMV點名</a>，要求Iniesta在進行相關投資之前應該充分理解，也應告誡他人。後來Binance證實了Iniesta是收費替該平臺打廣告。</p> <p>外界認為CNMV的新規定與此一事件不無關聯，而Iniesta在Twitter上的粉絲人數超過2,500萬人，遠高於CNMV的10萬人門檻。</p> <p>CNMV要求，從今年2月17日起，只要是向10萬人以上展開加密貨幣相關業務的廣告時，不管是加密貨幣業者或具影響力的網紅與名人，都應於10天前事先通知CNMV，對外公開揭露其廣告性質，並必須附上警告文字：「加密貨幣資產的投資並未受到監管，因而可能不適合散戶投資者，也可能損失全部投資。」否則將會面臨罰款處分。</p> </div></div></div>
2022/1/18 13:14作者陳曉莉https://www.ithome.com.tw/news/148937
Google與加州大學合作，運用神經網路技術加速基因定序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://www.blog.google/technology/health/advancing-genomics-better-understand-and-treat-disease/">公開</a>了幾項他們運用最新機器學習技術，與其他學術單位和基因公司合作的研究結果，除了能夠更快地偵測遺傳性疾病之外，Google也開始投資公平性基因組學研究，要確保各種血統的人類個體，都能在最新技術中，獲得相同的準確度。</p> <p>藉由基因定序，現代醫療能夠更好地了解、診斷和治療疾病，像是利用基因組定序來診斷罕見的遺傳性疾病，找出胸腺癌或是類動脈高壓等高風險人群，據估計，這些疾病影響大概8％的人口。</p> <p>由於遺傳性疾病可能會導致嚴重的疾病，在許多情況下，及時發現存在的潛在風險，醫療能夠更早介入，提高挽回生命的可能性，對新生兒來說更是如此，遺傳性或是先天性疾病影響近6％的新生兒，但過去要辨識這些疾病的定序工作，需要數天到數周才能完成。</p> <p>而現在Google與加州大學合作，運用遞迴神經網路開發一種稱為<a href="https://github.com/kishwarshafin/pepper">PEPPER-Margin-DeepVariant</a>的方法，可以快速分析定序儀資料，成為目前最快的商業定序技術，這項技術已經被用在重症新生兒醫療上，辨識可疑的致病變異。在最快的情況下，不用8小時就能發現可能致病變異，而過去最快的時間需要13.5小時。目前這項技術已經成功反轉了一名嬰兒的神經發育障礙診斷結果，使醫療人員能及時針對疾病執行精確的治療。</p> <p>Google也與基因組定序平臺開發商PacBio合作，將機器學習和演算法開發工具用於定序資料，以獲得更多的資訊，Google開源一種名為DeepConsensus的方法，能夠與PacBio定序平臺結合，更準確地讀取定序資料，而這有助於研究人員將PacBio技術應用在更多元的用例中。</p> <p>另外，與其他健康和醫學領域一樣，研究人員也努力解決基因組學領域中的公平性問題，Google提到，大多數基因組研究參與者，皆具有歐洲血統，如果不解決公平性問題，將會使研究結果出現偏差，也就是說研究成果可能不適用於不同血統的個體。</p> <p>Google在過去一年資助了兩專案，針對代表性不足的人群，改進研究方法和基因組學資源。</p> </div></div></div>
2022/1/18 08:40作者李建興https://www.ithome.com.tw/news/148931
Google讓模型依任務學習路由，有效提高大型語言模型推理效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其最新的人工智慧研究，發表了一種用於加速大型模型推理的方法<a href="https://ai.googleblog.com/2022/01/learning-to-route-by-task-for-efficient.html">TaskMoE（Task-level Mixture-of-Experts）</a>，也就是說，使用該方法，在模型擴大的情況下，推理的成本不會顯著增加，因此能繼續提供有效率的服務。</p> <p>由於擴展大型語言模型，能夠使像是T5、GPT-3和M4這類語言模型的結果，獲得明顯的提升，因此在追求更高品質結果的目標下，研究人員無不盡可能擴展模型。建構更大模型的常用方法，通常是增加層數，或是增加層的維度，使模型更深更寬。</p> <p>這類密集模型採用輸入序列，序列會被切分成更小的元件，稱為令牌（Tokens），這些令牌會傳遞給整個網路，活化每一層和參數。Google提到，雖然這些大型且密集的模型，在多自然語言處理任務上獲得很不錯的結果，但是訓練成本也會隨著模型規模線性增加。</p> <p>因此為了降低成本，研究人員開始採用混合專家（Mixture of Experts，MoE）方法，建構稀疏活化模型。與密集模型方法不同之處，在於傳遞給網路的每個令牌，會藉由跳過部分的模型參數，依循被稱作專家的獨立子網路，藉此減少計算量。</p> <p>而將輸入令牌分配給各子網路的決定，則由一個小型的路由網路決定，混合專家方法讓擴增模型大小所付出的成本，不會成比例地線性增加，進而提升效能。</p> <p>但Google提到，雖然這是一個有效的訓練策略，但是將長序列令牌發送給多個專家，會再次使推理計算成本增加，因為專家會分散在大量的加速器中，像是1.2T參數的GLaM模型，就需要用到256個TPU-v3晶片。因此又會與密集模型遭遇到相同的問題，混合專家模型提供服務所需要的處理器數量，與模型大小成線性關係增加，因而增加計算需求，並導致明顯的通訊開銷和工程複雜度。</p> <p>因此Google發展了一種成為TaskMoE的方法，在模型擴展的同時，仍然能夠有效率地提供服務。Google的方法是訓練一個大型多任務模型，並在推理時，丟棄每個任務未使用的專家，從中萃取出更小、獨立的任務子網路，能夠適用於推理，又不會損失模型品質，並且顯著降低推理延遲，與其他混合專家模型以及使用知識蒸餾壓縮（Distillation）的模型相比，Google證明，他們的方法在多語言神經機器翻譯方面更為有效。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEgkqREeRRMeieObGensmatGJ4I-5aovQT3PcTgjBNBSWoIPPFB58p99uK2NxApXq7RHMIUPdpaEQsK1UhrhXQK58GOaev6gm0KfAe0Zm2miZwRRm_S7qAmVADwOhOAJeqz6cRVdds4yTj5GpvQVf-gRY4CjoOGkwfOGgNPLhpOwwu9Dwx0pLeQNdX2kJw=w640-h365" style="width: 580px;" /></p> <p>Google比較TaskMoE、典型混合專家模型TokenMoE和基準密集模型的吞吐量和每秒解碼令牌數，TaskMoE模型比TokenMoE模型小達7倍，可以直接在單個TPU-v3晶片上運算，不需要像是TokenMoE使用64個TPU-v3晶片，且TaskMoE吞吐量峰值是TokenMoE的2倍，Google提到，TokenMoE模型花了25％的推理時間在裝置間的通訊，而TaskMoE幾乎沒有通訊成本。</p> <p>以結果來看，在多語言翻譯任務中，TaskMoE模型的分數，硬是比經蒸餾的TokenMoE模型平均高了2.1 BLEU。</p> </div></div></div>
2022/1/18 08:38作者李建興https://www.ithome.com.tw/news/148927
本土HR雲端服務靠差異服務打造生態圈，內建福委電商平臺將推出薪水預支消費功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">人資SaaS服務業者Mayo近期宣布今年將推4項新功能，來發展人資生態圈，在HR系統中提供薪水預支消費，企業員工消費抵免軟體授權，引進線上課程推薦AI、AI錄影面試整合Teams等新功能，來創造差異化。目標是3年內客戶達到上萬家，更計畫進軍海外市場如越南、香港與日本。</p> <p dir="ltr"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Mayo</span>執行長簡士評表示，Mayo要仿效Line的商業模式，瞄準每家企業的HR剛性需求，切入企業軟體服務的市場，打造滿足企業員工需求的各類生活服務。尤其，簡士評指出，企業系統服務行動化之後，HR系統更容易觸及所有員工，「我們真正想做的是企業社群軟體，商業模式在於，如何透過滿足企業員工的需求，賺到應有的利潤。」不過，Mayo的服務按用戶數分級計價，而不像Line是免費軟體。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/271818058_507797770630045_8045119599817663116_n.jpg" style="width: 670px;" /></p> <p dir="ltr">在這個目標之下，Mayo計畫盡可能地搶下國內企業雲端HR服務的市場，預計3年內，從現有近千家客戶擴張到上萬家，簡士評估計，臺灣企業只有2％使用雲端HR服務，Mayo大概占了一半，未來希望從2%提升到15%，同時要搶下7～8成的市占率。除了擴張臺灣市場，Mayo也要進軍海外，目前已經跨足中國市場，今年Q4則計畫要進入越南、香港，明年更計畫進軍日本，來觸及更多客戶。</p> <h3 dir="ltr"><span style="color:#FF8C00;">今年新推4大新功能，打造人資生態圈新商模，要靠附加價值來獲利</span></h3> <p dir="ltr">為了擴大市站，Mayo採取差異化的HR服務策略。比如說，Mayo在2018年推出Apollo人資系統，就可提供員工福利整合平臺，提供員工消費、團購服務的電商平臺。目前近一步提供部分銀行薪轉戶整合，提供一鍵開戶的功能，能自動傳送員工資料到銀行，報到當天就能完成線上開戶。</p> <p dir="ltr">Mayo線上商城正在開發，未入帳薪水支付消費的功能，可讓員工預先在商城消費，發薪時自動代扣消費金額後再匯入薪轉戶；另一項同樣正在開發的新商業模式，則將根據企業員工總消費金額，來給予企業一定比例的折扣，比如設定150位員工在線上商城消費超過100萬元，可以退還企業3%費用，也就是3萬元，可用來折抵每年HR系統的年費費用。這兩項功能都預計在今年上線。</p> <p dir="ltr">Mayo也取得了全球課程學習平臺Cornerstone在臺灣、中國與越南的代理權，正逐步整合臺灣在地課程平臺，比如好學校、Ted演講等的學習資源，要透過Cornerstone本身的AI推薦演算法，參考不同職業的使用者的收看行為，來推薦企業員工跨平臺的課程組合，要鎖定HR資源不足的中小企業市場，計劃將在今年Q4推出。</p> <p dir="ltr">目前，Mayo也正在將AI錄影面試系統Lasso AI整合微軟Teams，讓企業直接用Teams與應聘者進行面試，同時可用AI評分輔助，預計在Q2正式上線；下一步還要將Apollo整合到Teams中，「但複雜度高，預計明年之後才會啟動。」不只如此，Mayo也將SaaS服務上架到微軟商業市集，要搶攻微軟的雲端客戶。</p> <p dir="ltr">除了預告未來一年功能，簡士評也揭露了未來3～5年長期目標是，在累積足夠多的客戶數據後，在未來3～5年發展出HR指標儀表板，讓企業有機會跨產業比較自己的HR競爭力。。「一家公司的未來發展，財務報表的好，代表的是現在，HR指標好，才代表未來的發展性。」他點出，包括人員的離職率、關鍵崗位的招聘速度、薪資與同業的比較，這類數據更有機會看出一家公司的未來發展性。</p> </div></div></div>
2022/1/17 18:55作者翁芊儒https://www.ithome.com.tw/news/148930
【資安日報】2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家級駭客的攻擊行動不時有消息傳出，而這些駭客多半是暗中進行監控，或是藉由破壞牟取利益，但這個週末針對烏克蘭的攻擊行動，駭客的目的主要是造成當地的民眾恐慌，甚至是對於政府的不信任。攻擊者入侵了約70個烏克蘭政府的網站，並竄改網頁內容，以數種語言恐嚇「烏克蘭人的個資已經遭到外洩」。從這些網站造成的損害來看，可能影響有限，烏克蘭政府宣稱多數已恢復運作，且沒有網站儲存的資料遭到外洩的情況，但這起事故真正的破壞力在於，有可能造成當地社會民心不安，或是認為政府資料保護不力。</p> <p>另一起重大的資安事件，就是俄國在上述事件發生的隔日，大舉逮捕勒索軟體駭客組織REvil的成員，並特別宣稱是依照美國的意思執法。由於此起逮捕行動極為不尋常，與過往俄國的態度極為不同，外界也在猜測該國此舉背後的動機。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/"><span style="color: rgb(0, 0, 0);"><strong>數十個烏克蘭政府網站遭駭，疑似是俄羅斯所為</strong></span></a></h4> <p>烏克蘭與俄國關係緊張的態勢，疑似因近日俄羅斯意圖說服西方國家，阻止烏克蘭加入北大西洋公約組織（NATO）不成，而發動大規模的網路攻擊。根據路透社、彭博社、莫斯科時報、Bleeping Computer等新聞網站報導，1月13日晚間烏克蘭許多政府網站，如外交部、國家安全與國防事務委員會（NSDC）等部門遭到攻擊，14日早上網站出現無法存取的情況，可能有70個政府網站遭到攻擊，這些網站的內容遭到竄改，以烏克蘭語、俄語、波蘭語宣稱，烏克蘭人的個資已經遭到外洩。</p> <p>根據莫斯科時報的報導，烏克蘭國家安全局（SSU）發出聲明證實確有此事，但強調他們尚未發現民眾資料外洩的跡象，並指控這起攻擊行動很可能就是俄羅斯所為。</p> <p>究竟這些網站是如何被入侵的？Bleeping Computer取得消息來源的說法，這些網站疑似使用存在漏洞的October CMS內容管理平臺（CMS），攻擊者透過CVE-2021-32648身分驗證繞過漏洞，做為侵入這些網站的初始管道。</p> <h4><a href="https://krebsonsecurity.com/2022/01/at-request-of-u-s-russia-rounds-up-14-revil-ransomware-affiliates/"><span style="color: rgb(0, 0, 0);"><strong>俄國逮捕勒索軟體組織REvil成員，疑似是要向美國施壓</strong></span></a></h4> <p>過往俄國政府不太積極追捕駭客，甚至被美國指控是意圖藏匿犯人，而最近一起大動作圍捕參與勒索軟體REvil攻擊行動的駭客，被認為別有用意。俄羅斯聯邦安全局（FSB）在1月14日逮捕14名REvil組織的駭客，並查獲6百萬美元、4.26億盧布、5百萬歐元現金，以及20輛透過網路犯罪所得購買的高級汽車。</p> <p>FSB強調，此舉是因應美國的要求，但外界認為，這起逮捕行動是為了轉移與烏克蘭關係緊張的焦點，並作為要脅美國的籌碼──在13日，烏克蘭數十個政府網站驚傳遭到俄國攻擊，再者，俄國總統普丁也下令，要在烏克蘭邊境部署10萬兵力。</p> <h4><a href="https://www.bbc.com/news/world-europe-59998988"><span style="color: rgb(0, 0, 0);"><strong>烏克蘭政府網站遭到攻擊的事故，美國指控是俄國所為的栽贓攻擊</strong></span></a></h4> <p>烏克蘭數十個政府網站於1月13日晚間遭到攻擊，網站內容被竄改成恐嚇訊息。此舉外界認為可能就是俄國所為，但攻擊的動機是什麼？美國五角大廈的發言人於15日指出，這很有可能是俄國發動的栽贓（False Flag）行動，對於俄國人或在烏克蘭使用俄語的人士，意圖製造他們被烏克蘭敵對的現象，進而讓烏克蘭挑起爭端，而成為俄國能夠出兵的藉口。</p> <h4><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體WhisperGate鎖定烏克蘭組織趁火打劫，意在破壞而非勒索</strong></span></a></h4> <p>針對烏克蘭和俄國關係緊張的情勢，除了俄國疑似於1月13日攻擊數十個烏克蘭網站之外，微軟也在同一天發現，有來路不明的駭客組織DEV-0586，利用名為WhisperGate惡意軟體，攻擊數十個烏克蘭政府機關、非營利組織、IT業者，該惡意軟體會覆寫受害電腦的主要開機磁區（MBR），索討1萬美元復原電腦，且會損壞電腦裡的檔案。研究人員認為，攻擊者的目的並非贖金，而是要徹底破壞電腦檔案。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ukranian-police-arrests-ransomware-gang-that-hit-over-50-firms/"><span style="color: rgb(0, 0, 0);"><strong>烏克蘭逮捕攻擊逾50個企業的勒索軟體駭客組織</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/actor-computer.jpg" style="width: 300px; float: right;" />在烏克蘭政府網站大量遭到攻擊之前，警方於1月13日宣布破獲一個勒索軟體駭客組織，該組織由36歲的基輔居民為首腦，成員包括他的妻子與其他3名熟人。該組織透過垃圾郵件傳遞惡意軟體，但尚不清楚所使用的勒索軟體種類。根據警方調查，超過50家公司受到攻擊，總共損失超過百萬美元。除了勒索軟體攻擊，這個駭客組織亦提供VPN服務給其他網路犯罪人士，以便下載惡意軟體或是進行攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/defense-contractor-hensoldt-confirms-lorenz-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Lorenz攻擊跨國國防承包商Hensoldt</strong></span></a></h4> <p>攻擊者鎖定國防單位的合作廠商，很可能可以從中獲得國防機密，或是入侵國防單位。例如，勒索軟體Lorenz宣稱，他們攻陷了國防感測器承包商Hensoldt，並取得為數不詳的文件，並將其大部分上傳到該組織的公告網站。經資安新聞網站Bleeping Computer向Hensoldt確認，該公司的發言人證實，英國子公司部分行動裝置遭到波及。</p> <h4><a href="https://blog.malwarebytes.com/ransomware/2022/01/ransomware-cyberattack-forces-new-mexico-jail-to-lock-down/"><span style="color: rgb(0, 0, 0);"><strong>美國新墨西哥州監獄受到勒索軟體波及，視訊監控鏡頭與自動門無法使用</strong></span></a></h4> <p>政府機關遭到勒索軟體攻擊，有可能對於特定機構造成嚴重破壞，例如，美國新墨西哥州伯納利歐縣政府驚傳在1月5日午夜到凌晨5時30分，遭到勒索軟體攻擊，其中，當地的監獄大都會拘留中心（MDC）受到波及，導致網路連線中斷，視訊監控鏡頭與自動門皆無法使用，MDC被迫暫停所有的探監。根據該單位的IT人員確認，數個資料庫遭到破壞，而該設施的重要系統，包含事件追蹤系統（ITS）、罪犯管理系統（OMS），都無法存取。由於監獄的建築環境中無法使用行動網路，使得IT人員搶修更加困難。</p> <h4><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017e34185d610421"><span style="color: rgb(0, 0, 0);"><strong>對於雙因子驗證機制未落實的網路下單券商，證交所要求限期改善</strong></span></a></h4> <p>針對券商帳號安全問題，臺灣證券交易所在1月7日曾召集各家券商，研議如何強化網路安全資安防護，在1月17日有工商時報等多家媒體報導，指證交所已下令，全體券商必須限期完成旗下全體電子下單客戶的密碼重新設定修改，並以1月21日為最後期限，對於這樣的報導內容，我們連繫到證券交易所券商輔導部，該單位指出，相關報導過於誇大，這次會議後的內容，主要是針對之前實施雙因子驗證機制並不完善的少部分券商，應在1月24日前完成落實，而強制所有客戶更改登入系統密碼的部分，是關於完成雙因子系統修改前的防範措施。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148905"><span style="color: rgb(0, 0, 0);"><strong>微軟防毒軟體驚傳漏洞，可讓惡意程式規避偵測</strong></span></a></h4> <p>微軟防毒軟體Microsoft Defender提供的白名單機制，已有數起攻擊行動濫用，而讓攻擊者的惡意軟體不受檢查。研究人員發現，這個白名單本身存在設計瑕疵，可讓攻擊者規避偵測，且這項漏洞存在於多個版本的Windows。SentinelOne研究人員Antonio Cocomazzi指出，攻擊者只要使用命令提示字元搜尋機碼，就能夠得知Microsoft Defender的例外資料夾，一旦將惡意軟體存放於這些資料夾裡，該防毒軟體就不會進行掃描。這項漏洞影響所有版本的Windows 10和Windows Server 2019，但Windows 11不受影響。</p> <p>針對上述揭露，資安研究員Aura表示，8年前從事技術支援時，他就察覺相關漏洞，而另一名研究人員Paul Bolton去年曾向微軟通報卻未獲得修補。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/17 18:08作者周峻佑https://www.ithome.com.tw/news/148928
遭作者破壞的Faker套件現由8名社群成員出面維護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在之前遭到作者自己破壞的NPM（Node Package Manager）熱門套件Faker，現在有8名工程師合力，在GitHub上創建了一個<a href="https://fakerjs.dev/update.html">官方Faker專案</a>，並且復原了過去的Faker版本，同時制定了接下來的開發計畫。</p> <p>Faker函式庫能夠創建虛假資料，用於應用程式測試、開發使用。新維護者提到，在事件平息之前，他們會先使用官方的名號，並強調，這是一個由社群維護的專案。</p> <p>資安公司Snyk早前發現NPM線上套件庫上兩個熱門套件colors和Faker，遭到惡意破壞，最後發現兇手原來是開發者本人Marak Squires。由於他不滿大部份財星500大企業使用他的專案，但是卻不願支付費用，花費許多心力的開發團隊，都只獲得開源社群和GitHub贊助商支援，因此決定搞破壞。</p> <p>Marak Squires在1月8日的時候發布新版colors，並在裡面加入了無限迴圈程式碼，這些程式碼會在套件程式碼初始化後立即觸發執行，並對任何Node.js<br /> 伺服器產生DoS攻擊。類似的情況發生在Faker套件上，在1月5日Faker位在GitHub的開源儲存庫，收到了一個強制提交，接著Faker的NPM套件版本便被升級成6.6.6版本，這個不包含任何程式碼的空套件，被發布到了公共註冊表上，Marak Squires隨後發表不再免費維護套件的貼文，並且刪除儲存庫。</p> <p>現在出現8名工程師，替Faker套件創建了一個新的GitHub儲存庫，並且釋出了所有之前的Faker版本，同時也創建了推特帳號和文件網站，來與社群互動。新維護者提到，他們想讓Faker套件有一個新開始，甚至可以比以前的更酷。因此還制定了開發路線計畫，包括要支援ESM、與現有Faker生態系維護者互動，甚至要在文件加入互動式環境，以及支援Node 18。</p> <p>由於在Marak Squires刪除自己的版本後，有許多分叉和私人維護的Faker版本出現，目前這個由8名社群成員維護的版本，自稱為官方版本，新維護者解釋，這是避免用戶將這個社群維護的版本，與其他私人版本混淆，他們會在事件平息之後，拿掉官方的字樣，他們也提到，目前看來，這個由社群維護的版本是最穩定的Faker版本。</p> <p>由於Faker專案的捐款是由Open Source Collective代管，新維護者與該組織達成共識，原本的Faker專案維護者Marak Squires等人，可以保有原本帳戶中的1萬多美元捐款，待資金轉移後，新專案會獲得該專案後續的捐款，作為維護專案的費用。</p> </div></div></div>
2022/1/17 15:59作者李建興https://www.ithome.com.tw/news/148924
Netflix調漲北美訂閱費率，漲幅約10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的串流影片服務業者網飛（Netflix），<a href="https://help.netflix.com/en/node/24926/us" target="_blank">在14日調漲了美國與加拿大等北美市場的訂閱費用</a>，把基本（Basic）方案的每月費用從8.99美元漲至9.99美元，標準（Standard）方案從13.99美元漲至15.49美元，高級（Premium）方案則從17.99美元漲至19.99美元，漲幅約莫是11%，且即日起生效。</p> <p>創立於1997年的Netflix由於所提供的內容愈來愈豐富，也逐步調高其每月訂閱費用，最初串流服務的每月訂閱費用為7.99美元，並在2014年分成3種方案，其基本方案一直是7.99美元，一直到2019年調高至8.99美元，再於今年調至9.99美元；標準方案則從2014年的8.99美元、2015年的9.99美元、2019年的12.99美元、2020年的13.99美元，到今年的15.49美元；高級方案在2014年時為11.99美元，但在2019年增加到15.99美元，2020年為17.99美元，最新的價格則為19.99美元。</p> <p>至於臺灣的訂閱費用則尚未更新，目前基本、標準及高級三種方案的月費分別為270元新臺幣、330元新臺幣及390元新臺幣。不過，依照Netflix的政策，調漲臺灣費率可能只是時間的問題。2020年10月Netflix宣布漲價時，臺灣費率依舊維持在149元、198元及240元新臺幣，但也悄悄漲至現在的水平。</p> </div></div></div>
2022/1/17 13:53作者陳曉莉https://www.ithome.com.tw/news/148921
美10州檢察長揭露Google廣告平臺黑箱作業：一面提高廣告價格、一面壓低網站出版商獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年底美國10個州政府控告Google藉廣告平臺獨大地位不當獲利。本周進一步揭露的文件顯示這家搜尋巨人，如何利用資訊不透明手段來賺取暴利及傷害網站出版業者。</p> <p>2020年12月德州為主的美國10州檢察長，<a href="https://www.ithome.com.tw/news/141736" target="_blank">向紐約地方法院對Google提起告訴</a>，指其在廣告領域身兼投手、打擊手及裁判角色，藉此排擠廣告平臺競爭者、偏私自家客戶。當時的文件有大量資訊經過塗黑、刪節。<a href="https://www.ithome.com.tw/news/143796" target="_blank">去年4月華爾街日報取得法院不慎洩露的文件</a>，報導了Google偏袒自家廣告平臺客戶、名為Project Bernanke的計畫。如今<a href="https://www.wsj.com/articles/google-misled-publishers-and-advertisers-unredacted-lawsuit-alleges-11642176036?mod=djemalertNEWS" target="_blank">華爾街日報報導</a>，上周紐約法院法官裁定將這份文件完整版本解封。</p> <p>2020年底由德州檢察官Ken Paxton代表的10州控告Google案指出，Google在廣告價格操弄手法上，一邊抬高廣告價格，使廣告主將成本轉嫁消費者，一面壓低網站出版商收到的廣告獲利。另一方面則限制網站使用的廣告平臺，藉此打壓平臺競爭者。而在一個星期後，<a href="https://www.ithome.com.tw/news/141776" target="_blank">38州聯合美國司法部又對Google搜尋業務提出反托拉斯控訴</a>。</p> <p>文件解封也將Google廣告業務操控市場秩序的手法公諸於世，包括Project Bernanke、預約價最佳化（Reserve Price Optimization）及動態分潤（Dynamic Revenue Share）。其實Project Bernanke有三種版本。版本一是廣告競標的黑箱作業手法。廣告主及網站出版商以為這個競標是採用第二高出價，即次高價投標拍賣（Second-Price Auction），但Google廣告平臺AdX實則剔除了出價第二高的廣告主，而由第三高出價者得標。</p> <p>這麼一來就壓低了出版商網站的廣告獲利。文件指出，吃了暗虧的網站出版商最多短少40%的營收。</p> <p>同時間它又向廣告主收取第二高的價格。Google利用兩面手法的價差獲取的利益，又用來操控平臺上的廣告競標，抬高其廣告客戶的競標價，以贏得原本可能拿不到版位。</p> <p>第二版手法為Global Bernanke。在此手法下，Google可匯集所有小型廣告主的出價金額來拉抬Google Ad（前名為AdWords）廣告主的出價，以贏得可能拿不到的競標版位。</p> <p>第三版本則為Bell，旨在拉攏加入Google AdX生態圈的網站出版商。如果出版商加入Google AdX生態圈，優先播放其廣告並拒絕其他廣告平臺的話，則可以從名為Dynamic Allocation的計畫獲得導流收益。透過這個計畫也能打壓Google競爭廣告平臺對手。</p> <p>但Google發言人對此表示，Project Bernanke目的在「最佳化廣告主投標」，並提升活化競爭。Google也否認有抬高價格及操弄廣告交易平臺的情形。</p> <p>至於預約價最佳化（Reserve Price Optimization），則是Google利用廣告主出價紀錄來設定底價，藉此抬高該廣告主的廣告價。動態分潤（Dynamic Revenue Share）則是先以上帝視角總覽所有投標競爭對手的出價，再據此變更Google廣告交易平臺AdX的收費，以確保Google投標工具可贏得競標。</p> <p>不過Google很早就否認控訴，稱這樁官司充滿訛誤、欠缺法律依據。</p> </div></div></div>
2022/1/17 14:29作者林妍溱https://www.ithome.com.tw/news/148922
不只用微服務架構改造HIS，北榮還用容器平臺部署醫療AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經5年轉換，臺北榮總終於在2020年底從大型主機走向開放式系統，更緊接著朝新一代Web 3.0微服務和雲原生架構邁進，不只用來優化複雜的癌症資訊系統，也在轉換期間，以世界主流的開源容器平臺K8s、Docker等，來以微服務架構打造藥囑系統。他們除了用微服務開發醫療資訊系統（HIS），還將不少醫療AI應用部署在容器平臺上，像是SMART視覺存活分析、內視鏡病理報告、AI自動訓練平臺等。下一步，也計畫採用FHIR國際醫療資料交換標準，來接軌國際。</p> <p><span style="font-size:24px;"><strong>從大型主機走向開放式系統，更進一步擁抱Web 3.0和微服務架構</strong></span></p> <p>北榮的IT系統轉換藍圖可分為3大階段。首先是大型主機時代，從1982年開始啟用IBM大型主機，「畫面就像PTT，是黑白的，」臺北榮總資訊室高級工程師朱原嘉解釋，這臺主機包含了構成IT系統所需的畫面層、邏輯層、資料存取層和資料來源層，好處是不必顧慮程式是否同步，直接按照排程處理即可。</p> <p>但這套大型主機系統最讓北榮頭痛的是「畫面不好看、維護成本高，」朱原嘉表示，除了黑白畫面屢遭使用者批評外，大型主機採用老舊的PL1程式語言，現在不只人才難尋，各自獨立運作的程式彼此無法共用，難以應付現今快速變化的IT環境。</p> <p>因此，北榮在2016年展開HIS再造，將大型主機轉換為Web 2.0的開放式系統架構，進入IT系統轉換藍圖的第2階段。過程中，北榮先盤點應用系統，利用虛擬機器（VM）來執行這100、200個系統，界定各自的服務範圍。同時，北榮也重寫了資料庫的預存程序（Stored procedure），是這次系統轉換時最費功夫的地方。</p> <p>就架構來說，北榮前端採用Ajax網頁開發技術，提高使用者不中斷的體驗，後端則採用J2EE架構來開發，並以JSON格式檔案來與預存程序溝通。網頁畫面層、邏輯層和資料存取層都在前後端執行，而預存程序則包含了邏輯層、資料存取層和資料來源層。</p> <p>不過，在北榮Web 2.0階段，雖然做到了各程式間可以共用，但仍沒有一套標準的存取介面。</p> <p>後來，北榮更進一步擁抱最新的Web 3.0技術（也就是WebApp），進入IT系統轉換藍圖的第3階段。這時，前後端仍採用Ajax和J2EE，但改用API來介接Redis資料庫、Docker容器平臺和專門處理高負載量的程式代理HAProxy等所需的資源，將畫面層、邏輯層置於此處，而原本的資料存取層則以Restful網頁服務來執行，資料來源層則改為開放式資料庫（檔案格式包括XML、JSON）。</p> <p>到了這個階段，程式不僅可共用，也有了標準存取介面，且程式不必直接存取資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cover(1).jpg" /></p> <p><span style="font-size:24px;"><strong>Web 3.0練兵：藥囑系統</strong></span></p> <p>而藥囑系統，就是北榮用Web 3.0技術發展最成熟的系統。這個系統非常複雜，牽涉到數十個步驟流程，為了能以微服務架構開發，北榮IT團隊也重新梳理了作業流程，分為4大步驟。</p> <p>首先是醫師開藥，其中又可分為綜合處方、全靜脈營養（TPN）注射、緊急治療、化療等類別，最花時間開發的就是綜合處方，共有100項程式，如醫師授權、欄位檢核、缺藥停用警示等。</p> <p>流程第2步則是藥師確認，其中包含的藥物自動配方機、表單列印、藥袋列印和庫存管理等程式，都部署在Docker容器上來處理。第3步是護理簽收，掃過藥袋條碼才能進行計價，並進入第4步的病人取藥。在這最後一步，則包含了帳務計算、電子簽章和統計報表這3類子步驟。</p> <p><strong><span style="font-size:24px;">不只改善畫面，還能記憶關鍵訊息、自動帶入</span></strong></p> <p>利用新架構開發的藥囑系統，不只在畫面上一改黑白作風，以網頁式的彩色頁面和清楚欄位來呈現，系統還能記憶關鍵訊息，並在搜尋欄位自動跳出相關訊息，「有如Google搜尋的自動完成功能！」朱原嘉形容。</p> <p>舉例來說，當使用者在藥囑系統輸入藥名，只輸入NS時，搜尋欄位就會自動跳出與NS相關的藥物，甚至是藥名包含NS的缺藥訊息，方便使用者選擇，進一步查詢資訊。</p> <p>另一個最有感的差異，則是批次檢核。檢核是查看藥物開給是否正確，像是藥物名稱、劑量、單位、途徑等細節，而舊系統進行檢核時，只能逐一進行，但新系統能讓使用者批次檢核，不必一項一項檢核之外，還會自動以紅框標註有問題之處，來提醒醫師。</p> <p>就藥袋列印來說，部署在Docker容器中執行的新系統，不只能應付毫秒級的大量請求，還能儲存列印資訊，方便補印。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%A5%E7%89%A9%E6%90%9C%E5%B0%8B.jpg" /></p> <p><span style="font-size:24px;"><strong>除了用來開發HIS，還用容器平臺來部署醫療AI</strong></span></p> <p>北榮不少智慧醫療應用，也以當紅的開源容器管理平臺K8s、Docker來部署。比如，團隊用程式語言R開發一套存活分析線上平臺，也靠Docker容器來執行，使用者可以透過Shiny Proxy登入、上傳資料後，自動執行資料預處理、存活分析和機器學習模型運算等工作，最後產出報表給使用者參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AD%98%E6%B4%BB%E5%88%86%E6%9E%90.jpg" /></p> <p>另一個例子則是大腸內視鏡AI報告。北榮利用Docker部署ElasticSearch叢集，透過Logstash管道讀取csv格式檔的病理報告或內視鏡報告，將資料寫入叢集。當使用者透過Kibana這個視覺化工具查詢時，系統就會讀取ElasticSearch叢集資料，來產出視覺化的報表，像是在大腸鏡畫面上顯示大腸息肉、癌症病灶位置等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E8%A6%96%E9%8F%A1.jpg" /></p> <p>不只如此，北榮還用K8s來部署IBM模型周期自動化管理平臺AutoAI，成為北榮內部的AI訓練平臺。這個AutoAI能自動進行資料預處理、特徵工程、選擇模型並比較模型表現，省下大量人力與調參數的時間。北榮也實際利用這個平臺，來找出聽力治療後恢復的重要因子。</p> <p>除了IT系統現代化，朱原嘉透露，北榮IT團隊也在去年實作了FHIR疫苗通行證，更要將這個FHIR練兵經驗，進一步擴大到更多醫療應用上。因為，他們看見，全美超過80%的健康照護機構和廠商，都支援FHIR來跨機構互通醫療資料，而且，iPhone也採用FHIR來讓使用者與美國數百家醫療集團互通健康資料，個人還能授權第三方服務單位存取資料。北榮認為，FHIR將成下一代健康照護與AI的關鍵，得即時跟上。</p> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <h3><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);">醫療系統有多複雜？光癌症資訊系統就牽連數十個流程</span></strong></h3> </td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);">朱原嘉以參與開發數十年的癌症資訊系統為例，來說明單一醫療系統與HIS串接的複雜度。癌症資訊系統「就像IBM的AI癌症治療輔助系統（Watson for Oncology），」他比喻，這套系統可輔助醫生問診、管理治療策略和掌握病患狀態，但在北榮，癌症資訊系統不只服務醫生。</span></p> <p><span style="color: rgb(105, 105, 105);">「我們有超多公公、</span><span style="color: rgb(105, 105, 105);">婆婆！」他解釋，這套系統有許多不同類型的服務對象，像是負責病人清單的個管師，以及臨床部內外科、放射科，另外也給提供資料給癌症委員會參考，供他們研議改善策略，甚至還有營養師、癌登師等成員，需利用系統資訊來研討個案最佳處置方式。</span></p> <p><span style="color: rgb(105, 105, 105);">在這過程中，癌症資訊系統也得與不同HIS系統串接，比如掛號系統、門診系統、住院系統和癌症治療系統，甚至是會議系統。進一步拆解癌症資訊系統，可分為3大部分，首先是最底層的基礎架構層（如核心資訊系統如HIS、NIS、LIS、行政管理系統等）、中間的平臺服務層（如身份認證平臺、資料服務交換平臺、網站平臺、跨系統服務平臺），以及最上層的應用服務層，包含癌症診斷、新病症登錄、癌症治療規畫書、癌症病歷審核功能、癌症多專科會議等子系統。</span></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%8C%E7%97%87%E8%B3%87%E8%A8%8A.jpg" /></span></p> <p><span style="color: rgb(105, 105, 105);">為了串聯這些系統，北榮還自建了待辦事項（To do list）工具，就像是會議記錄般，來銜接不同系統的工作。</span></p> <p><span style="color: rgb(105, 105, 105);">這麼複雜的系統，北榮有套作法來解決共容性問題。他們將系統層重新劃分，特別設置共用元件基礎架構，將不同系統間的通用元件，如認證授權、快取處理、安控、資料處理等抽取出來，成為獨立的共用元件架構，如此一來，與其他系統串接時，就不必再各自打造這些元件。</span></p> <p><span style="color: rgb(105, 105, 105);">再來就是應用系統基礎架構層，包含了各應用系統共用的檢核邏輯模組，以及流程模組和與外部系統介接的模組。而與上一層的使用者介面間，就由應用系統服務介面（Restful service）來串聯。</span></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B3%BB%E7%B5%B1%E5%85%B1%E5%AE%B9.jpg" /></span></p> <p><span style="color: rgb(105, 105, 105);">透過這種共用元件、Web化的服務設計，就讓癌症資訊系統架構更靈活。舉例來說，以新架構開發的資料品管功能來說，系統設置不同顏色的燈號，來標註病人的來處（如門診、急診、住院等），一改過去未分類的作業方式。系統除了能自動登錄病人資訊，還能快速查找病人位置，把原本個管師需人工查找的30分鐘縮短為立即就能完成。又或是，該系統能自動將癌症病人資料自動歸戶至電子病歷系統，將過去需要手動歸戶的20至40分鐘，縮短為0分鐘。</span></p> <p><span style="color: rgb(105, 105, 105);">在改善過程中，他們還建立了一套代辦事項平臺，用來管控、追蹤流程，比如提醒醫師治療計畫書還沒撰寫，用這個方式取代原本的紙本作業。甚至，IT團隊還打造了病歷審查服務，將癌症病人以清單式歸類，不只改善病歷品質，也實現醫護間的資料共享。</span></p> </td> </tr></tbody></table><p> </p> </div></div></div>
2022/1/17 04:11作者王若樸https://www.ithome.com.tw/news/148903
俄羅斯逮捕14名REvil駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.fsb.ru/fsb/press/message/single.htm%21id%3D10439388%40fsbMessage.html" target="_blank">俄羅斯聯邦安全局（FSB）在14日宣布</a>，在美國的呼籲下，已搜查並逮捕了14名參與REvil勒索軟體集團的駭客。</p> <p>來自俄羅斯的REvil駭客集團現身於2019年，攻擊與勒索對象都是知名人物或上市企業，包括在2021年3月攻擊宏碁、4月攻擊廣達、5月攻擊全球最大肉品業者JBS美國子公司JBS USA、6月攻擊美國再生能源業者Invenergy，還涉及7月的Kaseya攻擊行動，REvil的行動驚動了白宮，也促使美國總統拜登（Joe Biden）在去年6月與俄羅斯總統普丁（Vladimir Putin）共同設立針對勒索軟體的專家小組，並要求俄羅斯不要包庇境內的駭客。</p> <p>FSB表示，他們是在美國主管機關的呼籲下，與俄羅斯內政部共同展開REvil駭客的掃盪行動，總計搜查了14名REvil成員的25個住處，扣押了包含加密貨幣在內、價值逾4.26億盧布（約550萬美元）的款項，以及60萬美元與50萬歐元的現金，再加上電腦設備、加密貨幣錢包與20輛名貴汽車。</p> <p>雖然FSB宣稱這群犯罪集團成員打造了惡意軟體以竊取外國人的資金，但起訴他們的理由僅為支付工具的非法流通。<a href="https://tass.com/society/1388613" target="_blank">根據俄羅斯通訊社《TASS）的報導</a>，目前只有8名REvil成員真正遭到起訴，此一罪名最高可判罰7年的有期徒刑與100萬盧布（1.3萬美元）的罰金。</p> </div></div></div>
2022/1/17 13:33作者陳曉莉https://www.ithome.com.tw/news/148920
微軟揭露攻擊烏克蘭的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/" target="_blank">微軟在13日察覺</a>有駭客針對烏克蘭展開大規模的網路攻擊，分析後將攻擊所使用的惡意程式稱為WhisperGate，並說攻擊行動中雖然出現勒索信件，卻只是掩人耳目，因為它實際上破壞的是電腦主開機紀錄（Master Boot Record，MBR）與特定檔案的內容。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MTIC）把這次的攻擊行動命名為DEV-0586，並未發現這次的攻擊行動與已知的駭客集團有關，也無從評估駭客的意圖。不過，此一攻擊至少擴及烏克蘭的數十個系統，涵蓋政府機構、非營利組織及資訊科技組織，迄今尚無法確定實際的損害規模。</p> <p>根據MTIC針對此一網路攻擊行動的分析，駭客的第一步是竄改MBR並顯示假的勒索信件，有多個跡象顯示駭客並未真正植入勒索軟體，例如它僅竄改MBR但並未具備復原機制；或者是在勒索信中罕見地公布了贖金金額與加密貨幣電子錢包位址；以及它僅提供了一個Tox ID作為聯繫窗口，一般而言，駭客為了方便與受害者交流，都會設立一個支援論壇或是提供電子郵件帳號；再加上駭客並未於勒索信中建立客戶ID，代表駭客根本無從得知要以哪個解密金鑰替受害者解鎖。</p> <p>第二步則是下載了可用來破壞檔案的惡意程式，執行後它會變更特定檔案的副檔名，並覆蓋相關檔案的內容，再變更其檔案名稱。</p> <p>目前微軟已於Microsoft Defender Antivirus及Microsoft Defender for Endpoint中添增了對WhisperGate的偵測與防堵能力，同時公布了WhisperGate的危害指標供外界參考。</p> </div></div></div>
2022/1/17 11:40作者陳曉莉https://www.ithome.com.tw/news/148914
Microsoft Defender漏洞讓惡意程式得以躲避偵測，至少存在1年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">安全研究人員發現</a>微軟Microsoft Defender存在一項漏洞，能讓攻擊者用來躲避偵測植入惡意程式。安全研究人員相信這漏洞至少去年，甚至8年前就存在。</p> <p>日前才<a href="https://www.ithome.com.tw/news/148858" target="_blank">揭露USB over IP軟體漏洞</a>的SentinelOne研究人員Antonio Cocomazzi，上周再揭露存在Defender防毒產品的漏洞。這是因為防毒產品掃瞄會造成系統效能下降、<a href="https://www.ithome.com.tw/news/148112" target="_blank">有時還會誤判</a>而造成運作失常，因此和所有其他防毒軟體一樣，Defender也讓用戶設定系統上的例外位置，使防毒掃瞄略過那些區域。只要找到記錄這些例外位置的清單，攻擊者就能將惡意程式儲存在那些區域，而不會被防毒軟體偵測到。</p> <p>這就是Defender的漏洞所在。Cocomazzi發現只要在Windows搜尋列中搜尋「HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions」及「HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions」可以找到用戶對Defender設定的例外清單，即使是一般權限用戶也可透過GUI工具找到。此外，在PowerShell cmdlet指令中執行GetMpPreference，也可以存取到這資訊，不過這需要具有管理員權限。</p> <p class="rtecenter"><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-defender-600.png" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">圖片來源_Antonio Cocomazzi</a></p> <p>Cocomazzi指出，這項存取控制清單（access control list，ACL）組態存誤漏洞，影響所有版本Windows 10及Windows Server 2019，但不影響Windows 11。研究人員Nathan McNulty證實至少在去年釋出的Windows 21H1及21H2，已經存在這漏洞。</p> <p><a href="https://twitter.com/splinter_code/status/1481073265380581381" target="_blank">代號SecurityAura的研究人員相信</a>這漏洞至少已經存在8年。<a href="https://twitter.com/overtsecrecy/status/1389985295618215938" target="_blank">Paul Bolton去年5月</a>曾向微軟安全研究中心通報這問題，但後者僅視為產品建議而未有動作。</p> <p><a href="https://twitter.com/NathanMcNulty/status/1481137548210556929" target="_blank">McNulty指出</a>PowerShell上很早以前即已限制存取權限，但GUI上的漏洞卻未曾解決。他還說，不記得微軟何時曾經強化過登錄檔（registry）的安全性。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-weakness-lets-hackers-bypass-malware-detection/amp/" target="_blank">媒體測試</a>將勒索軟體樣本儲存在Defender例外清單的資料夾中，Defender果真不會顯示出任何可疑程式的警告。</p> <p>微軟官方目前尚未做出說明。</p> </div></div></div>
2022/1/17 10:10作者林妍溱https://www.ithome.com.tw/news/148905
Meta遭控告濫用4,400萬英國用戶個資，應賠償23億英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theguardian.com/technology/2022/jan/14/meta-sued-for-23bn-over-claim-facebook-users-in-uk-were-exploited" target="_blank">英國衛報</a>、<a href="https://www.bbc.com/news/technology-59964654" target="_blank">BBC</a>報導，Meta（前臉書）上周遭控告以免費使用換取民眾寶貴個資，應為這種剝削行為賠償英國用戶23億英鎊。</p> <p>英國一家消費者權益監督機構顧問Liz Lovdahl Gormsen上周向英國競爭上述審裁處（Competition Appeal Tribunal）控告Meta在2015到2019年間，剝削4,400萬英國臉書服務的用戶，應該對每位英國用戶提供賠償。</p> <p>Gormsen指稱Meta的營運模式，涉及了英國《1998年競爭法》中「不公平定價」（unfair price）行為。她指出，Meta/臉書表面上讓英國用戶免費使用其平臺，實則是有代價的，其代價為取得用戶的個資，並利用這些個資產出鉅大營收。</p> <p>她表示，用戶提供寶貴的個資讓Meta獲得數十億美元利益，卻只換來免費使用平臺的服務，一毛錢也沒拿到，Meta和用戶之間根本存在極大比例的不平等。</p> <p>她要求Meta/臉書為這種不公平定價的剝削行為做出賠償，且英國4,400萬臉書用戶都應該被有權包含在這樁官司中，除了少數選擇退出（opt out）的用戶外。</p> <p>但<a href="https://www.theguardian.com/technology/2022/jan/14/meta-sued-for-23bn-over-claim-facebook-users-in-uk-were-exploited" target="_blank">Meta向媒體表示</a>，Meta平臺免費提供用戶服務，他們使用Meta是因為服務有其價值，而且用戶也有很大權利控制在Meta平臺上分享什麼資訊及分享給何人。Meta也為開發這類工具投資很高成本。</p> <p>英國政府在2018年，也曾因劍橋分析（Cambridge Analytica）洩露8,700萬臉書用戶個資事件、波及100萬名英國用戶，<a href="https://www.theguardian.com/technology/2018/oct/25/facebook-fined-uk-privacy-access-user-data-cambridge-analytica" target="_blank">判罰當時的臉書50萬英鎊</a>。</p> <p>不過2018年一樁代表英國數百萬用戶以追蹤用戶為由，向Google求償的集體控訴，最後<a href="https://www.bbc.com/news/technology-59221037" target="_blank">遭英國最高法院駁回</a>。</p> </div></div></div>
2022/1/17 10:28作者林妍溱https://www.ithome.com.tw/news/148906
英特爾投入開發新一代伺服器浸沒式冷卻技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/beverlyhillschamber/20220112005393/en" target="_blank">英特爾上周宣布</a>將投入開發新一代伺服器浸沒式冷卻技術。</p> <p>為因應諸如人工智慧等愈來愈耗費運算資源的任務，現今伺服器管理員無不希望能在愈來愈小的機器中，同時擴增運算能力及提升用電效率。過去主流的氣冷式技術不但耗電、且需要較大的伺服器空間設計，相較之下，浸沒式液冷式技術方案具有更好的熱傳導率，具有可支援高密集性機櫃及冷卻效率等優點。</p> <p>在英特爾與冷卻方案的Green Revolution Cooling（GRC）公司上周簽定一項多年合作協議中，雙方將設計新一代浸沒式冷卻技術，同時最佳化採用英特爾Xeon Scalable處理器的系統效能。雙方也將和資料中心客戶合作測試這項技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-GRC-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／GRC</span></p> <p>這是自2018年英特爾和<a href="https://wccftech.com/intel-pushes-for-liquid-immersion-cooling-in-their-datacenter-plans/" target="_blank">Submer公司</a>的合作後，第二樁發展浸沒式液冷技術的合作。</p> <p>英特爾和GRC合作將為搭載Xeon Scalable 處理器的資料中心機櫃式伺服器，設計客製的浸沒冷卻方案，以及建立相關認證方案，確保任何同類型機器使用的冷卻液體相容且可安全使用。</p> <p>英特爾院士Mohan Kumar指出，這項合作可讓客戶滿足高運算及冷卻需求，使資料中心以更環保的方式運作。</p> <p>根據<a href="https://wccftech.com/intel-pushes-for-liquid-immersion-cooling-in-their-datacenter-plans/" target="_blank">Wccftech報導</a>，英特爾和兩家浸沒式冷卻方案業者的合作，不僅可加速新式冷卻技術在高運算資料中心的普及，英特爾也會確保搭載Xeon處理器及Xe-HPC加速器的伺服器量產時的硬體供應。</p> </div></div></div>
2022/1/17 10:52作者林妍溱https://www.ithome.com.tw/news/148907
烏克蘭遭大規模網路攻擊，數十個政府網站被迫關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭在上周三（1/13）開始遭到大規模的網路攻擊，駭客入侵眾多政府網站並竄改網頁，使得烏克蘭緊急關閉這些政府網站，<a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/" target="_blank">《Bleeping Computer》表示</a>至少有15個烏克蘭公共組織的網站被駭，而<a href="https://www.bloomberg.com/news/articles/2022-01-14/several-ukraine-ministry-websites-struck-by-likely-cyberattack" target="_blank">《彭博社》（Bloomberg）</a>則說遭駭的政府網站達70個，包括教育部及外交部等。而不管烏克蘭或外界都懷疑此一攻擊行動與俄羅斯政府有關。</p> <p>近來俄羅斯與烏克蘭的關係惡化，最近幾周俄羅斯還在雙方邊界部署了坦克車、砲兵與10萬名士兵，益發使得烏克蘭向美國與歐洲靠攏。</p> <p>駭客在所入侵的烏克蘭政府網站上以烏克蘭語、俄語及波蘭文張貼了訊息，指出烏克蘭民眾的所有個人資料都已經被移除，無法再復原，且所有的個資都會被公諸於世，民眾應該要感到害怕，並期待最壞的狀況。</p> <p>然而，負責烏克蘭通訊及資訊保護的政府官員Viktor Zhora向《彭博社》表示，受駭網站的內容並未被危害，亦無外洩重要資料。</p> <p>根據<a href="https://www.reuters.com/world/europe/exclusive-ukraine-suspects-group-linked-belarus-intelligence-over-cyberattack-2022-01-15/" target="_blank">《路透社》</a>報導，烏克蘭認為執行該攻擊的是由白俄羅斯政府所操縱的UNC1151駭客集團，但背後真正的主使者卻是與白俄羅斯擁有親密戰友關係的俄羅斯。</p> <p>當多數人都把矛頭指向俄羅斯時，該國則說這是毫無根據的指控。</p> </div></div></div>
2022/1/17 11:15作者陳曉莉https://www.ithome.com.tw/news/148908
互動開發環境IPython清掃老舊程式碼發布最新8.0版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jupyter發布IPython 7.0已經是3年前的事，官方現在終於推出<a href="https://blog.jupyter.org/release-of-ipython-8-0-6e034ff122ef">8.0版本</a>，這個版本改進現有的程式碼庫中數個功能，包括可在CLI中使用Black重新格式化程式碼、Ghost建議，以及能夠突出顯示錯誤節點的追蹤（Traceback），該功能使得複雜的表示式更容易除錯。</p> <p>IPython是一個強大的互動式直譯器，在純Python腳本上，提供Tab鍵完成、更好的追蹤以及多行編輯等功能。</p> <p>除了更新功能，官方提到，其實這個版本大部分的改變，都在於刪除該拋棄的程式碼。IPython是在20幾年前，由Fernando Pérez在大學延畢時開發的，20幾年來，IPython中留有許多老舊不適用的程式碼，而官方認為在增加主要版本號的現在，正是刪除這些程式碼的時機。</p> <p>IPython 8.0刪除了大量以棄用，或是未被使用的程式碼，並放棄老舊且未受持續維護的相依項目，像是IPython已經移除Nose改使用pytest。官方擴大IPython的程式碼覆蓋率，透過增加軟體測試的比例，來提升IPython的穩定性和安全性。</p> <p>另外，IPython 8.0還刪除了大部分在IPython 1.0和5.0之間，已經被標記為棄用的函式和參數，並且根據NEP 29，將Python版本最低需求提高到3.8，官方提到，這項改進使得IPython能夠同步使用Python的原生功能，而不需要不停地進行額外修改。</p> <p>整體來說，在新版本中，即便進行許多更新，程式碼庫也從原本的348個檔案37,500行程式碼，下降到了294個檔案36,100行程式碼，官方希望IPython瘦身後，能夠加速CLI啟動，使IPython更易於使用。</p> <p>IPython的建置程序也有更新，現在使用pyproject.toml來宣告建置，但目前仍然會需要setuptools模組和setup.py檔案，但官方正努力簡化這個過程，以及刪除不需要的配置。用戶現在可以使用python -m build指令來建置IPython Wheels和sdist。</p> <p>官方依據NEP 29，會繼續在每個月最後一個星期五，發布小版本更新。儘管IPython 8.0已經發布，但是官方仍然會提供7.x版本重要錯誤的更新，只是現在同時還會看到8.x穩定版本更新。</p> </div></div></div>
2022/1/17 09:42作者李建興https://www.ithome.com.tw/news/148896
Flink ML 2.0改進演算法可用性，還新增Python支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Flink社群發布機器學習函式庫<a href="https://flink.apache.org/news/2022/01/07/release-ml-2.0.0.html">Flink ML 2.0.0</a>，在這個新版本中，開發團隊重構Flink ML早期的函式庫，擴展Flink ML API並更新Runtime主要功能，像是開始支援多輸入和多輸出，和新增串流批次統一函式庫等，另外，這個版本還添加了5個演算法實作。</p> <p>Flink ML是Apache Flink串流處理框架的一部分，提供機器學習API和基礎設施函式庫，能夠簡化機器學習工作管線建置工作。</p> <p>Flink ML和基於Flink的機器學習演算法平臺Alink開發人員合作，一起重新設計API，來提供高效能演算法，現在官方開始在Flink ML添加演算法，目前這個版本官方已經實作了5種演算法，包括對數機率迴歸、k-means、K-近鄰演算法、單純貝氏分類器以及One-hot編碼器，除了加入新的演算法外，官方也會持續進行壓力測試和最佳化，確保演算法的效能。</p> <p>由於機器學習工作流程的各階段，可能需要多個輸入，並回傳多個輸出，例如圖嵌入演算法需要讀取兩個表格，分別獲取圖的邊和節點資料，又或是工作流程可能有一個階段，需要將輸入資料集拆分成為兩個資料集，分別用於訓練和測試。</p> <p>而在Flink ML 2.0.0中，演算法開發人員可以使用多輸入和多輸出功能，將機器學習工作流程，組裝成為預定義階段的有向無環圖（DAG），並可以在不清楚細節的情況下，配置和部署該工作流程，而這大幅擴展了Flink ML的可用性和應用性。</p> <p>Flink ML新版本更好地支援線上學習，使用公開模型資料的API，官方解釋，在原生的線上學習場景中，用戶可能擁有一個長期執行的工作，不斷地處理訓練資料，並更新機器學習模型，用戶能夠在網頁伺服器上，部署多個工作來進行線上推理，而這需要將最新的資料，以接近即時的延遲，從訓練工作傳輸到推理工作。</p> <p>但問題是，傳統的Estimator/Transformer範式，並不提供API以串流的方式暴露模型資料，因此用戶就許要反覆呼叫fit()來更新模型資料，官方表示，用戶雖然可以每隔數分鐘更新一次模型資料，但是這種方法效率非常差。而新版本中提供了getModelData() API，供用戶將資料模型即時傳輸到網頁伺服器，並使用最新的模型資料進行線上推理，這項功能可以明顯強化Flink ML的線上學習應用能力。</p> <p>另外，Flink ML 2.0.0還加入了串流批次統一迭代函式庫，官方表示，為了支援訓練機器學習演算法，並根據預測結果，動態調整模型參數，需要原生支援迭代資料處理，但Flink是使用DAG來描述流程邏輯，因此需要在Flink之上，單獨提供迭代函式庫，而且Flink要能支援離線訓練和線上訓練，迭代函式庫還要同時支援串流和批次處理用例。</p> <p>因此在這個新版本中，官方實作串流批次統一迭代函式庫，提供將紀錄回傳給優先運算子，並在迭代中追蹤進度的功能。用戶可以使用DataStream API和Table API來表達迭代內部的執行邏輯。</p> <p>由於Python廣受歡迎，許多機器學習開發者，已經習慣使用Python開發機器學習工作流程，因此Flink ML現在還提供Python套件，來滿足Python開發者的需求，接下來官方還會強化Python套件，增加與Java函式庫的互通性。</p> </div></div></div>
2022/1/17 09:45作者李建興https://www.ithome.com.tw/news/148898
後疫時代下的疫苗與口罩
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月開始，因為傳染力更強的Omicron變種病毒來襲，再加上先前傳染力也相當強的Delta變種病毒仍在散播，不只全球COVID-19疫情在2021年12月再度拉警報，連臺灣也是，顯然2022疫情仍不容各界太過樂觀，因此，這樣的「變」可能是我們短期之內必須接受的「不變」。</p> <p>然而，臺灣經歷將近半年的軟性自主隔離與封鎖，我們準備好重新迎接下一次類似的狀況嗎？尤其是好不容易挺過上一波長期警戒的企業、商家、個人，若認為先前因應方式做得不夠完備，現在更應加緊改善腳步。</p> <p>就防疫方式而言，在這個過程中，其實民眾的認知已進步不少，雖然先前疫情趨緩之後，許多人開始鬆懈，但至少對於如何做好防疫，已有了清楚認識，不至於無所適從。</p> <p>還記得2021年5月底進入三級警戒，全國開始積極推動疫苗施打，7月網路瘋傳打完疫苗之後，會有吸附金屬器具的超能力，現在大家可能一笑置之，覺得荒謬，但當時傳言講得煞有其事，不少媒體也當做奇聞或趣聞大肆報導，並未發揮公器的力量去制止這樣缺乏實證的消息散播，徒增公衛、醫護人員溝通相關訊息的負擔。</p> <p>國產高端疫苗（Medigen）先前的爭議，如今看來也是很荒唐。</p> <p>在2021年7月中，這款疫苗通過食品藥物管理署的緊急使用許可（EUA）審查，當時有不少人質疑程序，甚至有政客控告政府首長犯了「圖利罪」，有許多民眾也對國產疫苗沒信心，而影響其他人的施打意願。不過，後來陸續傳出多個國家認可高端疫苗，例如，7月有帛琉，9月有印尼，10月有紐西蘭，11月有貝里斯，今年1月則是泰國，澳洲很有可能會是下一個，因為目前正在該國申請疫苗緊急許可。此外，世界衛生組織（WHO）也在去年10月底，將高端列入候選疫苗──他們宣布啟動「團體試驗疫苗（Solidarity Trial Vaccines）計畫」，美國的Inovio Pharmaceuticals與臺灣高端疫苗均列入該計畫的候選疫苗。</p> <p>到了最近，臺灣在這波鼓勵民眾追加劑的施打浪潮中，不少地方政府設立的大型接種站提供莫德納疫苗，但也出現不少人反映想要施打高端疫苗，雖然必須自行尋找衛生所與診所，但顯然支持者也比先前增加一些。</p> <p>關於防疫，另一個在疫苗施打前也曾受到大家關注的醫療物資，就是口罩。在2020年，因為許多廠商的通力合作，使得臺灣民眾這兩年以來都能夠順利取得口罩，不過，隨著Omicron席捲全球，造成確診人數大爆發，1月中出現應戴N95口罩的傳聞，這源於許多外電的報導，他們表示，為了對抗病毒快速傳播，美國疾病管制暨預防中心（CDC）打算建議新做法：配戴N95或KN95口罩，這勢必又要引發一番搶購潮與論戰。然而，身為全球防疫模範生的臺灣，過去在政府不斷溝通相關防護措施之下，大部分民眾都應該了解到口罩當然很重要，但並不是唯一要仰賴的方式，也必須要搭配勤洗手、保持社交距離，以及落實簡訊實聯制，以協助疫情調查、追蹤與匡列可能感染者，當然還有施打疫苗。</p> <p>關於疫苗、口罩，以及各種強化防疫成效的手段，若從資安防護角度來反思，多數的IT人員應該可以明白每個環節都很重要，而不是妄想只用其中一種就能高枕無憂。</p> <p>這就如同單靠防毒軟體、防火牆，以及兩者相加，都無法百分之百杜絕各種資安威脅的侵入，因此，我們需要從端點、網路、伺服器、應用程式、電子郵件、雲端服務等多種層面，具備足夠的偵測與反制能力，以因應惡意軟體與非法存取活動的侵犯，同時，對於系統與網路端的各種活動，也必須清清楚楚掌握，讓那些仍能趁虛而入的資安威脅，就算想要暗中發動相關的攻擊，必須攤在陽光底下進行，以便作為防守端的企業能夠更妥善地主動因應，而非等到系統與服務遭到癱瘓、破壞，客戶資料與智慧財產等機敏資料外流到暗網拍賣，才意識到自己被「駭」了。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E7%96%AB%E8%8B%97">疫苗</a></div><div class="field-item even"><a href="/tags/%E5%8F%A3%E7%BD%A9">口罩</a></div></div></div>
2022/1/17 07:00作者李宗翰https://www.ithome.com.tw/voice/148899
【資安週報】2022年1月10日至14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自12月初延燒至今的Log4Shell漏洞，上週才有資安業者警告災情還會再擴大，本週就有數起攻擊事故。不只有知名企業表明因漏洞受到攻擊而資料外洩，更值得留意的是，隨著Omicron疫情升溫，許多企業可能又要求員工遠端工作（WFH），近期有數起Log4Shell的攻擊行動是針對遠端工作系統VMware Horizon而來。顯然，採用這類系統的組織，已成為許多駭客的頭號攻擊目標。</p> <p>但不只有上述應用系統會成為攻擊者下手的目標，也有駭客是將Log4Shell漏洞視為初期入侵的管道，以便發動進一步的攻擊行動。例如，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）就是利用這項漏洞，結合自己的作案工具，來加快攻擊的腳步。</p> <p>對比Log4Shell造成的影響範圍如此廣泛，普遍於許多企業運用的維護日誌記錄框架Log4j，卻是仰賴無償付出的志工維護，鮮少有企業回饋相關開源社群。在美國喊出開源軟體安全是國家安全議題，他們特別召集大型IT業者，來尋求解決之道。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://therecord.media/uk-nhs-threat-actor-targets-vmware-horizon-servers-using-log4shell-exploits/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用Log4Shell漏洞，鎖定尚未修補的遠端工作平臺VMware Horizon下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/attacker-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attacker-diagram.png" style="width: 300px; float: right;" /></a>英國衛生服務部（NHS）提出警告，表明他們偵測到一起鎖定Log4Shell漏洞的攻擊行動，攻擊者鎖定尚未修補的遠端工作平臺VMware Horizon而來，向這些伺服器發送JDNI請求，使其通過LDAP連接到惡意網域，下載PowerShell指令碼安裝Web Shell，並注入於VM Blast Secure Gateway服務當中，以做為接下來攻擊行動的後門。NHS表示這個後門可被用於植入惡意軟體、資料外洩，甚至是進行勒索軟體攻擊。而這是繼去年12月勒索軟體駭客Conti、中國駭客組織Aquatic Panda的攻擊事故後，第3波鎖定VMware Horizon而來的Log4Shell漏洞攻擊行動。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/night-sky-ransomware-uses-log4j-bug-to-hack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Night Sky透過Log4Shell漏洞，鎖定VMware遠端工作平臺發動攻擊</strong></span></a></h4> <p>又是利用Log4Shell漏洞、針對遠端工作平臺VMware Horizon下手的攻擊事故。微軟於1月10日發布警告，中國駭客組織DEV-0401在1月4日發動相關攻擊，進而在受害組織部署勒索軟體Night Sky。這個勒索軟體最早約於2021年12月出現，根據捷克研究人員Jiří Vinopal比對，Night Sky為勒索軟體Rook改造而成。值得留意的是，DEV-0401在發動攻擊的過程裡，所連線的C2中繼站，架設於看似趨勢科技、Sophos、Nvidia等IT業者所屬的冒牌網域，而可能騙過不少網路防護系統。</p> <h4><a href="https://www.channelnewsasia.com/singapore/clarins-data-security-incident-singapore-customers-personal-information-log4j-software-vulnerability-2428066"><span style="color: rgb(0, 0, 0);"><strong>化妝品業者克蘭詩遭到Log4Shell漏洞攻擊，客戶資料恐外洩</strong></span></a></h4> <p>根據新加坡媒體CNA的報導，法國知名化妝品品牌克蘭詩（Clarins）在網站上發布公告，表示該公司出現資料外洩事件，且可能涉及新加坡客戶的個資，包含姓名、地址、電子郵件，以及客戶忠誠度資料等，但不包含密碼、信用卡資料。該公司指出，這次事件疑似與他們在系統中廣泛使用的Log4j有關，儘管在Log4Shell修補程式推出後的數個小時就予以修補，但他們還是在漏洞細節公布後遭到攻擊。</p> <h4><strong><a href="https://research.checkpoint.com/2022/apt35-exploits-log4j-vulnerability-to-distribute-new-modular-powershell-toolkit/"><span style="color: rgb(0, 0, 0);">伊朗駭客組織利用Log4Shell漏洞，在受害組織植入PowerShell攻擊工具，以進行後續攻擊行動</span></a></strong></h4> <p>廣泛存在於眾多系統的Log4Shell漏洞，已成為許多攻擊者入侵受害組織的管道。在Log4Shell漏洞細節公開數日後，資安業者Check Point發現，伊朗駭客組織APT35（亦稱Charming Kitten、Phosphorus）掃描存在相關漏洞的應用系統並入侵，然後從AWS S3儲存桶裡，下載名為CharmPower的PowerShell後門程式。該後門程式可用來檢查網際網路連線狀態、枚舉受害電腦的組態，然後從C2中繼站下載其他功能模組，以執行後續攻擊行動。研究人員認為，CharmPower讓這些駭客能快速結合手上現有的軟體，在得知Log4Shell這種重大漏洞後，用來打造能突破重重資安防護的攻擊工具。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-govt-warns-of-russian-hackers-targeting-critical-infrastructure/"><span style="color: rgb(0, 0, 0);"><strong>俄羅斯駭客APT29、APT28、Sandworm Team鎖定美國關鍵基礎設施下手</strong></span></a></h4> <p>臺灣在資安即國安的戰略下，關鍵基礎設施（CI）成為重要的一環，而針對這類設施的相關威脅，國外也相當重視。例如，美國網路安全暨基礎架構安全局（CISA）、聯邦調查局（FBI）、國家安全局（NSA）聯合提出警告，APT29、APT28、Sandworm Team等俄羅斯政府資助的駭客組織，連年針對關鍵基礎設施，攻擊全球的工業控制系統（ICS）與操作科技（OT）環境，近期對於美國CI攻擊的情況加劇，他們呼籲相關業者要加強防護，保留各式事件記錄檔案（Log），並在察覺疑似遭駭的事件就進行通報。</p> <h4><a href="https://www.defenseone.com/technology/2022/01/common-office-desk-phone-could-be-leaking-info-chinese-government-report-alleges/360500/"><span style="color: rgb(0, 0, 0);"><strong>億聯IP電話設備疑似會每天向中國伺服器發送訊息</strong></span></a></h4> <p>中國品牌的行動裝置會回傳資料到中國，而引起關注，但該國品牌的IP電話，也可能存在類似的情況。根據美國國防新聞網站Defense One的報導，該國參議員Chris Van Hollen於2021年9月28日，向商務部提及億聯（Yealink）IP電話潛藏的資安威脅，並引用資安業者Chain Security對於該廠牌T54W電話的分析報告，確認商務部是否知情。由於億聯為當地政府IP電話的10大供應商之一，該廠牌IP電話廣受美國政府與企業採用，這名參議員認為，恐會造成國安威脅。</p> <p>資安業者Chain Security在研究報告指出，T54W會每天透過其管理平臺（YDMP）連線到阿里雲，多次交換加密訊息，而且億聯中國的員工可透過YDMP超級管理員身分，來監控網路流量。此外，T54W的韌體沒有使用數位簽章，有可能遭到攻擊者竄改。再者，根據億聯的使用者授權條款，中國政府可基於國家利益考量，要求億聯對使用者進行主動監控。</p> <h4><a href="https://mb.com.ph/2022/01/10/comelec-servers-hacked-downloaded-data-may-include-information-that-could-affect-2022-elections/"><span style="color: rgb(0, 0, 0);"><strong>菲律賓選舉委員會伺服器遭駭，恐波及總統大選</strong></span></a></h4> <p>菲律賓即將於今年5月舉行總統大選，相關的競選活動與籌畫正在如火如荼進行，卻驚傳辦理選務的單位資料外洩。當地媒體馬尼拉公報（Manila Bulletin）發現，有駭客組織於1月8日入侵菲律賓選舉委員會（Comelec）的伺服器，並下載該單位的內部網路資料，包括網域相關資料及選務資料。攻擊者不只下載了網域管理員帳密、特權用戶名單、網域政策，並取得投票區地點與選務人員名冊等細節。馬尼拉公報認為，這起資料外洩事件很可能會影響接下來的總統大選。</p> <h4><a href="https://apnews.com/article/technology-business-poland-hacking-warsaw-8b52e16d1af60f9c324cf9f5099b687e"><span style="color: rgb(0, 0, 0);"><strong>波蘭執政黨坦承購買間諜軟體Pegasus，否認用於監控政敵</strong></span></a></h4> <p>加拿大多倫多大學公民實驗室（Citizen Lab）與美聯社（AP）聯手，於去年12月揭露參議員Krzysztof Brejza等多名波蘭反對黨人士，手機遭到間諜軟體Pegasus監控，疑似是執政黨所為，消息傳出遭到當局否認。直到最近，該國執政黨法律與正義黨（PiS）領袖暨副首相Jaroslaw Kaczynski，在接受訪問中坦承，他們確實有採購Pegasus，並認為若是國安組織沒有這種技術「很可悲」，但對於購買該軟體的用途仍交待不清，僅否認是用於監控反對黨。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-about-ongoing-google-voice-authentication-scams/"><span style="color: rgb(0, 0, 0);">在網路上公開電話號碼的人士，恐成為Google Voice身分驗證詐騙的目標</span></a></strong></h4> <p>美國聯邦調查局（FBI）提出警告，網路拍賣的賣家，或是尋找竉物的失主，可能會因為留下了電話號碼以供聯繫，而成為歹徒藉由網路電話服務Google Voice進行詐騙攻擊的目標。FBI指出，一旦歹徒詐騙成功，將會以受害者的名義建立Google帳號，或是挾持他們的Gmail，以便日後用於其他詐騙攻擊。</p> <p>這些歹徒從各類拍賣網站來找尋目標下手，並以簡訊或是電子郵件，表明他們對出售的物品感興趣，但宣稱先前曾被其他賣家騙過，要求對方經由Google驗證為真實的人類。然後，歹徒會要求賣家告知收到簡訊驗證碼，但實際上，歹徒是利用賣家的電話號碼進行驗證，假借賣家的名義建立Google Voice帳號，然後接管賣家的Google帳號。FBI呼籲，網路賣家不要提供他人Google驗證碼，來防範相關詐騙攻擊。</p> <h4><a href="https://krebsonsecurity.com/2022/01/500m-avira-antivirus-users-introduced-to-cryptomining/"><span style="color: rgb(0, 0, 0);"><strong>諾頓、Avira防毒在用戶電腦安裝挖礦軟體，且疑似預設啟用惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/avira-vt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/avira-vt.png" style="width: 300px; float: right;" /></a>NortonLifeLock自2021年7月開始，為旗下的Norton 360防毒軟體，提供挖礦服務Norton Crypto，並宣稱在用戶開啟相關功能的情況下才會執行。但近期有部分用戶發現，這項功能約自1月4日開始，改為預設開啟，且可能還關不掉，甚至有些用戶依照廠商的方法停用挖礦功能，竟導致電腦當機。此外，去年被併購的Avira，近期防毒軟體也被發現加入挖礦的模組，但是否也出現類似情形有待觀察。資安專家Chris Vickery指控，NortonLifeLock為獲利犧牲用戶，且挖礦加速全球的能源消耗，此舉令人反感。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-hackers-use-badusb-to-target-defense-firms-with-ransomware/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織FIN7以感謝函和防疫指引的名義，發動BadUSB惡意隨身碟攻擊</strong></span></a></h4> <p>美國聯邦調查局（FBI）提出警告，駭客組織FIN7約自2021年8月開始，佯稱是AWS或是美國衛生與公共服務部（HHS），藉由感謝函、防疫指引等名義，透過美國郵政服務（USPS）或UPS，寄送含有BadUSB隨身碟的包裹。FBI指出，駭客先是將這類包裹寄給運輸業或保險業者，在11月開始寄給國防公司，一旦有人將包裹裡的隨身碟連接電腦，就會展開一連串的攻擊，最終在受害組織網路部署勒索軟體。</p> <h4><a href="https://www.intezer.com/blog/malware-analysis/new-backdoor-sysjoker/"><span style="color: rgb(0, 0, 0);"><strong>一口氣鎖定Windows、macOS、Linux電腦的後門程式，攻擊者多次更換C2中繼站網址來藏匿行蹤</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/c2-coms.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/c2-coms.jpg" style="width: 300px; float: right;" /></a>一般而言，許多惡意軟體的發展過程，往往是從鎖定特定的平臺，後來才延伸開發針對其他作業系統的版本。但資安業者Intezer揭露的後門軟體SysJoker，同時針對Windows、macOS、Linux等多個作業系統，藉由系統更新的名義來散布。攻擊者自2021年12月使用這個後門程式，他們也與伊朗駭客APT35一樣，濫用雲端服務來藏匿行蹤──研究人員看到該後門程式透過在Google Drive上的文件字串，來產生C2中繼站的網址，在調查的過程裡，C2網址更動了3次。而對於攻擊的來源，研究人員認為，有可能是經由受感染的NPM（Node Package Manager）套件而來。</p> <h4><a href="https://www.crowdstrike.com/blog/tellyouthepass-ransomware-analysis-reveals-modern-reinterpretation-using-golang/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦</strong></span></a></h4> <p>有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。</p> <h4><a href="https://www.scmagazine.com/analysis/breach/213k-florida-digestive-health-patients-informed-of-2020-data-compromise"><span style="color: rgb(0, 0, 0);"><strong>美國佛州腸胃醫療機構驚傳資料外洩，21萬病人可能受到影響</strong></span></a></h4> <p>商業郵件詐騙（BEC）橫行，不只導致組織財務損失，還可能洩露客戶的資料。美國佛州消化道照護機構（FDHS）近日向212,509人發出資料外洩通知，表明一年前（2020年12月）數名員工電子郵件帳號遭到入侵的事故，不只該構構有部分資金遭竊，還有可能使得病人的資料外洩。這些資料包含了姓名、財務資料、聯絡方式、醫療診斷，以及保險與補助的資料。FDHS表示，電子病例系統（EMR）並未受到本起事故影響。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ea-50-high-profile-fifa-22-accounts-taken-over-by-phishing-actors/"><span style="color: rgb(0, 0, 0);"><strong>美商藝電驚傳FIFA玩家帳號遭駭</strong></span></a></h4> <p>社群網站如臉書、Instagram、推特等，名人帳號遭到挾持事件頻傳，但這樣的現象也出現在電玩遊戲上。美商藝電（EA）近期發布公告，指出足球電玩FIFA 22的玩家，有接近50個帳號遭到接管，攻擊者使用網路釣魚與其他社交工程手法，藉由客服人為錯誤來繞過雙因素驗證（2FA），來存取這些玩家的帳號，該公司將加強相關人員的訓練，以及改進身分驗證流程來因應。由於遭駭的玩家包含了直播主，甚至是Valentin Rosier等足球運動員，此事件的後續發展有待觀察。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/us-arrests-suspect-who-stole-unpublished-books-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);"><strong>義大利駭客鎖定出版業發動網釣攻擊，竊取未上市書籍稿件</strong></span></a></h4> <p>攻擊者利用商務郵件詐騙（BEC）的手法，大多是鎖定財務部門與相關主管，但也有針對出版業剽竊智慧財產的情況。美國於1月5日逮捕29歲的義大利人Fillippo Bernardini，這名男子藉由曾在大型出版商Simon & Schuster工作，但自2016年8月，他涉嫌冒充出版業的人士，使用超過160個假造網域名稱的電子郵件，佯稱是出版社或是文學偵察員（literary scout），要求作者在書籍出版前提供手稿，其中不乏得到普立茲獎肯定的作家。該名男子亦針對紐約市一家文字偵察員公司發動網路釣魚攻擊，進而從中得知即將出版的書籍資訊。一旦被判有罪，Fillippo Bernardini恐面臨20年以上的監禁。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202201110218.aspx"><span style="color: rgb(0, 0, 0);"><strong>虛擬實境內容平臺愛實境遭DDoS攻擊，竟是離職員工所為</strong></span></a></h4> <p>企業遭到網路攻擊，我們很可能會認為是被外部的駭客盯上，但熟悉內部網路環境、甚至握有相關權限的員工或前員工，也可能對公司造成危害。內政部警政署刑事警察局在1月11日宣布，去年10月底接獲虛擬實境內容平臺業者愛實境（iStaging）報案，該公司遭不明人士試圖攻擊伺服器，客戶反應虛擬展間服務出現異常，造成營運成本損失約400至500萬元，該案已破獲。</p> <p>根據中央社報導，警方在破案記者會上說明，經調閱該公司後臺事件記錄檔（Log）分析，攻擊者於2021年10月25日多次變造身分，發動DDoS攻擊讓該公司系統無法正常運作，且透過VPN隱藏原始來源IP位址。另根據TVBS等多家電視臺報導，經追查原始來源IP位址後，<a href="https://news.tvbs.com.tw/local/1687919　https://www.cna.com.tw/news/asoc/202201110218.aspx　">發現愛實境前員工54歲彭男涉有重嫌</a>，該嫌到案後供稱是要展現自己的駭客技術，全案移送臺北地檢署偵辦。</p> <h4><a href="https://udn.com/news/story/7315/6031301"><span style="color: rgb(0, 0, 0);"><strong>電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手</strong></span></a></h4> <p>國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。</p> <h4><a href="https://www.ithome.com.tw/news/148756"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪2021年造成140億美元損失，創下歷年新高，加密貨幣詐騙就超過半數</strong></span></a></h4> <p>區塊鏈分析業者Chainalysis指出，網路犯罪者用來接受非法交易的加密錢包，2021年總共進帳約140億美元，比2020年的78億美元增加近8成，創下歷史新高。值得留意的是，在2021年的非法交易裡，詐騙的金額就高達78億美元，尤其以誘騙投資人進場大量買進，待時機成熟再捲款潛逃的「拉地毯」（Rug Pull）詐騙手法最值得留意。此外，亦有32億美元加密貨幣遭竊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://threatpost.com/microsoft-wormable-critical-rce-bug-zero-day/177564/"><span style="color: rgb(0, 0, 0);">微軟2022年首個Patch Tuesday修補近百個安全漏洞，當中有6個為零時差漏洞</span></a></strong></h4> <p>微軟於1月11日發布2022年第一次每月例行修補（Patch Tuesday），總共修補了96個漏洞，其中有9個為重大漏洞、6個為零時差漏洞，但所幸皆未遭到駭客利用。針對本月微軟修補的情況，趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）表示，今年修補漏洞的數量，為過往一月份的2倍，亦較2021年12月（67個）多出快一半，2022年其他月份是否也會持續這樣的漏洞數量成長，值得觀察。</p> <h4><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></h4> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <h4><strong><a href="https://www.sentinelone.com/labs/cve-2021-45608-netusb-rce-flaw-in-millions-of-end-user-routers/"><span style="color: rgb(0, 0, 0);">盈碼科技NetUSB驚傳RCE漏洞，恐波及數百萬路由器</span></a></strong></h4> <p>資安業者SentinelOne於1月11日，揭露由臺灣USB共享解決方案業者盈碼科技（KCodes）所推出的NetUSB軟體，存在CVE-2021-45388漏洞，一旦攻擊者利用這項漏洞，能在作業系統核心層級執行程式碼。由於NetUSB廣泛運用於Netgear、TP-Link、D-Link等廠牌的路由器，恐有數百萬臺設備存在相關漏洞。研究人員向盈碼通報後，該公司於11月下旬表明在12月20日前發布修補程式。此外，Netgear也於12月20日，公告有3款產品D7800、R6400v2、R6700v3受此漏洞影響，並提供修補韌體。</p> <h4><strong><a href="https://portswigger.net/daily-swig/latest-wordpress-security-release-fixes-xss-sql-injection-bugs"><span style="color: rgb(0, 0, 0);">WordPress修補存在長達3年的XSS漏洞</span></a></strong></h4> <p>網站內容管理系統WordPress最近推出了5.8.3版，修補數項漏洞，其中較值得留意的是跨網站程式碼（XSS）攻擊漏洞，影響WordPress 3.7至5.8版，一旦攻擊者利用這項漏洞，就能在已經通過身分驗證的情況下，注入惡意的JavaScript指令碼酬載到貼文裡，進而感染管理者的儀表板，甚至有機會挾持管理者帳號。通報該漏洞的資安業者SonarSource表示，這項漏洞他們從3年前就告訴WordPress，如今終於得到修補，他們預計在1月11日揭露有關細節。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148769"><span style="color: rgb(0, 0, 0);">H2資料庫驚傳類似Log4Shell的漏洞</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mxw_1125f_auto.png" style="width: 300px; float: right;" /></a>資安業者JFrog揭露，以Java程式語言開發、開源的SQL資料庫H2，其主控臺（Console）元件存在類似Log4Shell的RCE漏洞CVE-2021-42392，攻擊者可在未經授權的情況下，用來傳送竄改的參數，或是觸發目標伺服器漏洞，進而遠端於受害裝置上執行任意程式碼。研究人員呼籲用戶應升級H2至2.0.206版。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></h4> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Orcale，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148868"><span style="color: rgb(0, 0, 0);">針對電信業者資料外洩事故，美國擬祭出更嚴格的通報規則</span></a></strong></h4> <p>為了因應電信業者遭到資料外洩事故時，客戶個資可能隨即就面臨威脅，開始有政府打算採取更為嚴格的通報措施。美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel，於1月12日發出聲明，表示將針對境內電信業者客戶專屬網路資訊（CPNI）的外洩事件，祭出更嚴格的通告規定。其中，將取消事故發生後的強制等待期間規定，再者，則是這些電信業者未來也要向FCC通報相關事故。</p> </div></div></div>
2022/1/15 11:34作者周峻佑https://www.ithome.com.tw/news/148901
Cloud周報第131期：聯合航空利用雲服務自動驗證旅客核酸檢驗報告，並大規模搬遷系統上雲依營運量調整IT資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/06～2022/01/12）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯合航空 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 抗疫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 系統上雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>聯合航空搬遷上百個應用上公有雲，利用雲服務</strong></span></strong><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>驗證COVID-19核酸檢驗報告</strong></span></strong></p> <p>聯合航空日前對外分享公有雲服務的使用經驗，不僅建置疫情數位應用，大量採用公雲服務，以應對各國疫情邊境管制措施，並已搬遷超過100個應用程式上雲。疫情爆發後，因應各國不同的入境限制，聯合航空在行動App裡，建置了旅程預先準備服務，來驗證旅客的檢驗報告，先使用S3儲存大量COVID-19檢驗表單，以及使用DynamoDB資料庫分類儲存資料，然後通過Textract機器學習辨識服務，自動擷取資料。截至今日，聯合航空已經自動驗證超過400萬旅客的文件，處理超過75%的COVID-19檢驗表，更是唯一完全使用行動App檢查旅客檢驗報告的航空公司。</p> <p>聯合航空在2019年時，營運170萬架次的航班、服務1.62億名旅客，然而，這一切都在COVID-19疫情爆發後，發生巨大的轉變，旅客載運量大幅下滑，甚至2020年4月時，曾發生旅客數少於全體機師的狀況。聯合航空科技副總裁暨數位長Linda Jojo表示，傳統基礎設施平臺不僅無法擴充，也無法縮小規模。</p> <p>疫情爆發前，聯合航空才剛決定要搬遷系統上雲，因此，建置疫情數位應用的同時，資訊團隊也著手重構工作負載，展開上雲工程，搬遷逾100個應用上雲。Linda Jojo表示，航空公司以可觀的縮減速度營運，需節省現金支出，現上雲系統可隨著旅客需求量的變化，擴充和縮小。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/aws-named-united-airlines-preferred-cloud-provider">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端運算供應商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>英國欲加強監管雲端供應商，收集更多服務營運數據，確保銀行體系正常運作</strong></strong></p> <p>英國央行審慎監管署（PRA）擔心雲端服務故障或遭駭，會影響銀行體系運作，正在研擬加強雲端運算服務商的審查和監管，要獲得更多雲服務商的數據，包含服務營運彈性等資料。根據《金融時報》報導，PRA考慮引進更強力的停電和災難恢復的測試，計畫在今年與英國央行和英國金融行為監管局（FCA），就雲端服務的故障問題，共同發布一份聯合討論文件。</p> <p>英國七大銀行包含匯豐、駿懋等，近年大量採用公有雲服務，來降低IT成本，還有翻新陳舊的基礎設施，儘管，PRA訂定的營運彈性框架涵蓋銀行使用雲端運算的規範，但也越來越擔心若一項或多項雲服務同時發生故障，或受到駭客攻擊，可能導致銀行系統大規模中斷。</p> <p>英國金融政策委員會去年9月份的會議記錄更載明，「關鍵第三方服務供應商提供的服務，越來越重要，且雲服務集中在少數供應商手上，在缺乏更直接的監管和監督的情況下，對金融穩定性構成威脅。」再加上，許多銀行現採用多雲環境，因此金融業期望PRA模擬AWS和Azure同時中斷的情況，監管公有雲業者。<a href=" https://www.ft.com/content/29405a47-586b-4c5a-b641-0f479b4cee1d">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業稽核 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS正式推出稽核和安全目的性資料湖，簡化企業日誌分析工作滿足稽核要求</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Cloudtrail_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 180px;" /></strong></span></p> <p>AWS宣布正式推出稽核和安全目的性資料湖CloudTrail Lake，這是一項受託管的資料湖服務，企業可整合、不可變更地儲存和查詢日誌資料，來滿足稽核、安全調查和操作故障排除的需求。CloudTrail Lake整合收集、儲存、最佳化和查詢的功能，至單一服務的環境中，企業因而不需要跨團隊和產品，逐一建立資料處理工作管線，簡化活動日誌分析工作。</p> <p>CloudTrail Lake提供範例查詢，讓企業能夠快速地編寫查詢，收集像是使用者活動等，來加速安全調查。新服務具有不可變更事件資料儲存功能，和預設7年的資料留存期，以滿足企業對日誌資料的保存要求，而且支援企業從多個AWS地區和帳戶收集事件。企業可以使用AWS SDK或使用AWS CLI，在CloudTrail控制臺中，啟用CloudTrail Lake功能。該服務現已在美東、美西、巴黎、倫敦、東京、大阪、首爾、新加坡、孟買等地區上線。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2022/01/aws-cloudtrail-lake-audit-security/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 固網表現 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路速度 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>臺灣固網上傳速度僅38.42Mbps，大幅落後韓國94.72 Mbps、日本86.11 Mbps</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E9%80%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Speedtest.png" style="width: 600px; height: 297px;" /></strong></strong></p> <p>網路測速服務Speedtest日前針對臺灣固網服務表現，進行研究調查，並公布主要服務業者的表現狀況，以及各縣市固定頻寬的效能數據。綜觀東亞國家的固網上傳速度，韓國達94.72 Mbps，而日本達86.11 Mbps，相較東亞其他國家的固網效能，臺灣明顯落後，只有38.42 Mbps。</p> <p>2021年第三季臺灣主要固網服務供應商的最快下載速度中值表現，中嘉寬頻以93.73 Mbps居冠，超越凱擘的92.72 Mbps和中華電信的89.90Mbps，而台灣大寬頻則以72.53 Mbps居於第四位。上傳速度面，中華電信以39.82 Mbps的中值居冠，接著是中嘉寬頻（31.26 Mbps）、凱擘（27.89 Mbps）和台灣大寬頻（26.65 Mbps）。</p> <p>另外，各縣市固網網速表現狀況，臺北市下載和上傳網速中值都最佳，分別為108.71 Mbps和47.37 Mbps，新北市則是87.18 Mbps、36.97 Mbps居次。在Speedtest調查範圍內，嘉義市是唯一下載速度中值沒有超過65 Mbps的縣市，僅有60.34 Mbps，而彰化市上傳速度中值則是唯一沒高於30 Mbps的縣市，落在29.37 Mbps。<a href="https://www.speedtest.net/insights/blog/taiwan-fixed-broadband-q3-2021/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IBM雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 故障事件 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資源配置問題 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>IBM雲全球大規模故障持續逾6小時，導致用戶無法配置雲服務資源</strong></span></p> <p>IBM雲於UTC時間1月6日早上，發生服無故障事件，持續長達逾6小時，且影響範圍遍及全球各地，北美洲、歐洲和亞太地區都有用戶通報無法使用服務。根據IBM服務狀態事件說明的公告，因資源配置的問題，導致用戶在使用IBM雲服務時，可能會遭遇無法配置，或是無法進行其他資源管理操作的狀況。受影響的IBM雲端地區包含了華盛頓特區、達拉斯、聖保羅、倫敦、法蘭克福、東京和雪梨等地。</p> <p>這起事件更是IBM雲1月以來，第三起故障事件，1月3日達拉斯雲端地曾出現基礎設施大規模故障狀況，多個SAN虛擬伺服器變為唯讀，還有VPC程式碼引擎也發生問題，另外，1月4日多處雲端地區VPC出現負載平衡問題，歷時約1小時。<a href=" https://blog.cloudflare.com/popular-domains-year-in-review-2021/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 半結構化資料 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>BigQuery開始支援原生JSON資料類型，企業可儲存半結構化資料</strong></span></strong></p> <p>Google宣布資料倉儲服務BigQuery開始支援原生JSON資料類型，用戶可儲存和分析半結構化資料。企業建置資料工作管線時，需考量許多面向，包括資料擷取來源，以及應用程式使用資料的方式，還有表格設計方式等，所以，一旦工作管線的配置不敷使用，需花費大量作業修改。如今，企業可借助JSON資料格式不要求架構的特性，在BigQuery中，處理半結構化資料，儲存和查詢不一直遵循固定模式與資料類型的資料。</p> <p>以JSON資料類型擷取半結構化資料，BigQuery可獨立編碼和處理JSON欄位，並且透過點記法（Dot Notation）單獨查詢JSON資料欄位的數值，從而減少用戶修改工作管線配置的成本。Google表示，相較從字串欄位擷取JSON元素，企業需處理整個資料區塊，現在可在BigQuery獨立編碼和處理JSON欄位，更具成本效益，而且現有資料表也能應用這項新功能。<a href=" https://cloud.google.com/blog/products/data-analytics/bigquery-now-natively-supports-semi-structured-data">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> K8s服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IPv6網路 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS K8s服務EKS開始支援IPv6，解決IPv4地址不足及採用虛擬IP造成網路延遲等問題</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_eks%20iv6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 424px;" /></strong></span></strong></p> <p>AWS宣布K8s服務EKS增加IPv6網路，企業可在EKS部署使用IPv6地址空間的應用程式。企業使用K8s需大量的IP地址，來滿足K8s平面網路模型要求每個Pod都需一個IP地址的條件，而因部分私有VPC IPv4網路無法處理大量的IP地址需求，企業會在VPC上建立IP地址虛擬層，然而，該架構限制了管理員觀察和排除應用程式故障的能力，對大規模網路效能產生負面影響。</p> <p>企業現於EKS部署叢集，可在Pod中使用IPv6地址，減少延遲，以及簡化路由配置。AWS提到EKS叢集結合IPv6網路，有4個優點，企業可在單個主機和子網上，執行更多的Pod，且不會用盡VPC上所有可用的IPv4地址。第二，能避免額外的NAT跳躍點，本地、AWS和網際網路執行的其他IPv6服務，能進行低延遲通訊。第三，K8s叢集管理員可專注搬遷和擴充應用程式，不需解決IPv4限制，也降低網路工程師維護複雜路由配置的負擔。最後，一旦Pod網路配置完成，Pod便可以在叢集之外，和IPv4應用程式通訊，這讓用戶可以在EKS上獲得IPv6的優勢，但又不需要將組織中部署的所有相關服務搬遷到IPv6。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-elastic-kubernetes-service-adds-ipv6-networking/">（詳全文）</a></p> <p><strong>圖片來源／聯合航空、AWS、Speedtest、Google雲端</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.Google儲存裝置Transfer Appliance正式啟用線上模式，可通過網路傳輸邊緣裝置數據至Cloud Storage儲存桶</strong><a href=" https://cloud.google.com/blog/topics/inside-google-cloud/whats-new-google-cloud">（詳全文）</a></p> <p><strong>2.AWS宣布推出EC2新HPC實例Hpc6a，搭載AMD EPYC處理器與x86同類運算實例相比提升65%性價比</strong><a href=" https://aws.amazon.com/about-aws/whats-new/2022/01/amazon-ec2-hpc6a-instances/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 17:48作者黃郁芸https://www.ithome.com.tw/news/148897
汽車零件大廠Aptiv以43億美元收購Wind River
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>嵌入式系統廠商Wind River再度易主。<a href="https://www.aptiv.com/en/newsroom/article/aptiv-announces-the-acquisition-of-wind-river-a-leading-provider-of-intelligent-edge-software-solutions-from-tpg" target="_blank">汽車零件大廠Aptiv本周宣布</a>以43億美元現金收購Wind River。</p> <p><a href="https://www.ithome.com.tw/news/55359" target="_blank">Wind River曾在2009年為英特爾買下</a>，後者<a href="https://www.electronicdesign.com/technologies/embedded-revolution/article/21806347/intel-divorces-wind-river-subsidiary-a-decade-after-acquisition" target="_blank">於2018年春天將之分拆</a>，同年6月<a href="https://www.windriver.com/news/press/news-21412" target="_blank">由TPG Capital收購</a>。Aptiv本周宣布由TPG手上買下Wind River。</p> <p>Wind River提供嵌入式即時作業系統及開發、部署工具，現有1,700多家客戶，其作業系統軟體用於全球20多億臺邊緣裝置，涵括航太、國防、電信及汽車產業。其中Wind River Studio提供邊緣系統應用從開發、部署、運作到服務的完整生命周期管理平臺。Wind River 2021年營收將近4億美元。</p> <p class="rtecenter"><a href="https://infohub.delltechnologies.com/static/media/9198938f-8c47-5a0e-82d9-6db6a62cd3f7/DAM-814f3197-dcb9-4f0a-b4a9-339cf3e0d3e3/out/fig_7_wind_river_studio_cloud_architecture=GUID-10BBA166-00AA-4C22-9F4D-A7A00F43120A=3=en-us=Low.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://infohub.delltechnologies.com/static/media/9198938f-8c47-5a0e-82d9-6db6a62cd3f7/DAM-814f3197-dcb9-4f0a-b4a9-339cf3e0d3e3/out/fig_7_wind_river_studio_cloud_architecture=GUID-10BBA166-00AA-4C22-9F4D-A7A00F43120A=3=en-us=Low.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">Wind River Studio雲端平臺架構示意（圖片來源／Dell）</span></p> <p>Aptiv說明，收購Wind River是因應汽車產業走向連網、軟體定義，需要完整解決方案加速軟體的開發及部署，以及透過清楚資料分析確保所有環節的最佳化。此外連網、軟體定義化的轉變也在全球多個產業發酵，進而推升對智慧邊緣系統的需求成長。</p> <p>透過這項收購可讓Aptiv藉由Wind River跨入其他產業。<a href="https://www.lightreading.com/the-edge/aptiv-acquires-wind-river-for-$43b/d/d-id/774530?" target="_blank">Light Reading報導</a>，Wind River電信業者客戶包括光纖、網絡及電信設備商Ciena、愛立信、德意志電信子公司T-Systems、Verizon、Vodafone。此外還有包括製造、國防、醫療及能源等業者。</p> <p>Aptiv也計畫整合汽車電子系統開發平臺Smart Vehicle Architect 及Wind River Studio作為汽車業方案。合併後Wind River將維持獨立運作，但改名為進階安全暨使用者體驗（Advanced Safety & User Experience，AS&UX）事業群，而原執行長Kevin Dallas也將繼續領導Wind River。</p> <p>Aptiv預計2022年中完成收購Wind River。</p> </div></div></div>
2022/1/14 15:58作者林妍溱https://www.ithome.com.tw/news/148891
Fintech周報第207期：金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0108～0114</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融建言白皮書 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 稽核人員 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會採納金融建言白皮書3大類建議，要求銀行稽核人員需提升數位化查核能力</span></strong><br /><span style="vertical-align: top;">金融總會近期提出2021年金融建言白皮書，囊括23項議題共40項具體作法，金管會也回應將採納3大面向，包括擴大金融產業發展、金融科技創新與強化、支援實體經濟永續發展等，具體措施包括成立專案小組研議證券融通業務的風險總歸戶管理機制、常態化遠距投保、協助銀行業推動稽核人員數位化聯防訓練等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">在金融科技創新與強化面向，首先，金管會將採取常態化遠距投保，以及銀行辦理線上貸款的簽約對保的措施。此外，將由臺灣集中保管結算所規畫打造平臺，讓投信公司與保管銀行傳遞交割指示函等資料，藉此提升效率與降低人工作業風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">另外，為了協助銀行提升稽核人員數位化查核能力，金管會採納金融總會建議，銀行內部稽核工作需進行數位化轉型，以因應科技發展，實際作法像是將數位化查核能力納入銀行內部稽核人員受訓課程中的一環。金管會也在金融科技能力認證制度中，所規畫的數位法遵一職中，納入了智慧化稽核的培訓課程。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位人民幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微信 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 支付寶 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國境內2大電子支付業者皆支援數位人民幣測試，可觸及10億人</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國人民銀行旗下的數位貨幣研究所，近期釋出了支援Android與iOS的數位人民幣程式，顯示出除了多家中國官方銀行，以及去年就開始測試數位人民幣的支付寶之外，騰訊旗下的微信也將加入支援數位人民幣的行列。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">此一數位人民幣程式仍為測試版，提供民眾數位人民幣個人錢包的開通與管理、數位人民幣的兌換與流通服務，目前仍僅供測試區域的民眾註冊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">螞蟻集團旗下的支付寶與騰訊的微信支付是中國前二大支付工具，而支付寶去年就參與了數位人民幣的測試，微信支付的加入將有助於推動數位人民幣的普及，中國境內兩大支付工具便觸及當地逾10億用戶。<a href="https://www.ithome.com.tw/news/148774">（詳全文</a></span><a href="https://www.ithome.com.tw/news/148774"><span style="font-size: 18.6667px;">）</span></a></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根大通 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 巴林央行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">巴林中央銀行採用摩根大通的數位貨幣JPM Coin進行即時跨境支付試點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E5%B7%B4%E6%9E%97%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Central%20Bank%20of%20Bahrain.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，巴林中央銀行（Central Bank of Bahrain，CBB）宣布完成一項區塊鏈試點，參與方包括阿拉伯銀行公司（Bank ABC）與巴林鋁業公司（Aluminium Bahrain，Alba），採用了摩根大通（J.P. Morgan）區塊鏈部門Onyx所開發的JPM Coin系統，共同完成了跨境支付試點。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由摩根大通推出的JPM Coin，可代表摩根大通帳號所持有美元的數位貨幣，當A客戶透過區塊鏈轉帳到B帳號時，JPM Coin能夠立即轉讓並兌換成等值的美元，目的在於減少傳統的結算時間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此次試點內容由這家位於中東的中央銀行所監督，讓阿拉伯銀行公司能夠使用JPM Coin向巴林鋁業公司在美國的同行進行即時跨境支付。巴林中央銀行行長Rasheed Al Maraj表示，藉由此項區塊鏈試點，希望能解決長久以來傳統跨境支付帶來的效率低落問題。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國OCC </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 摩根史坦利 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 客戶資料外洩 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">摩根史坦利因伺服器報銷未清除客戶資料，遭美國貨幣總稽核辦公室重罰6千萬美元</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">路透社報導，摩根史坦利因未將欲報銷的伺服器上的客戶資料清除就賣給他人，遭到客戶集體控告，近期同意以6,000萬元美元達成和解。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2016年，摩根史坦利關閉美國境內二座財富管理業務部門的資料中心時，未能將伺服器上未加密的客戶資料刪除乾淨、就賣給了第三方業者。當時，多達1,500萬名客戶對摩根史丹利提起集體控訴，雙方近期達成初步和解協議，並請求紐約法院同意。根據報導，受影響的客戶可獲得至少2年的詐欺保險賠償，並可申請最高10,000美元的現金補貼。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">摩根史坦利銀行指出，在資料外洩事件後該公司已經大幅強化其資料安全措施。美國貨幣總稽核辦公室介入調查本案，認為該公司未能有效解決報銷硬體的風險、適當處理客戶資料、評估報銷作業的委外作業風險，以及盡到選擇及監管委外廠商的責任，於2020年10月對摩根史丹利銀行及私人銀行部門，判處6,000萬美元的民事罰金。<a href="https://www.ithome.com.tw/news/148716">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 硬體錢包 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈新創 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">庫幣科技數位資產硬體錢包整合NFT功能，可直接連結全球2大NFT平臺進行買賣</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BA%AB%E5%B9%A3%E7%A7%91%E6%8A%80.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣區塊鏈新創庫幣科技近期宣布，其數位資產硬體錢包CoolWallet Pro整合了非同質化代幣（NFT）功能，使用者可在CoolBitX Crypto App中，直接連結全球最大NFT市集OpenSea，以及主打區塊鏈遊戲NFT資產的Rarible這兩個NFT交易平臺，來進行買賣。同時，可在App查看錢包中的NFT資產或將個人NFT收藏在卡片內展示。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣挖礦</span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 哈薩克 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">哈薩克比特幣算力名列全球第2，為鎮壓暴動一度切斷網路而衝擊全球15%比特幣挖礦活動</span></strong><br /><span style="font-size: 18.6667px;">中國政府於去年6月以斷電的強硬手段驅逐境內的比特幣礦場之後，中國礦工便就近轉移到以煤礦發電的哈薩克。哈薩克原本就占據全球比特幣算力的12%左右，但自去年6月開始接受中國礦工以來，所占算力已達全球的21.9%，僅次於美國的42.7%。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">然而，最近哈薩克的燃料大漲，促成當地民眾的抗議行動，再佐以民眾對哈薩克政府長期的不滿，更爆發了嚴重的衝突，在哈薩克政府請求俄羅斯派兵援助的當天，也要求電信業者中斷境內的網路。網路中斷不僅阻止了民眾的通訊，亦使得哈薩克境內的礦工無以為繼，數位資產融資業者Foundry副總裁Kevin Zhang向媒體透露，該國政府的行為讓全球比特幣挖礦算力瞬間減少15%。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">儘管該國的網路已恢復正常，但哈薩克並不鼓勵礦工於該國境內挖礦，已計畫於今年向這些礦場加徵稅賦，使得外界預期位於該國境內的礦工遲早會遷移至其它據點。<a href="https://ithome.com.tw/news/148768">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OpenSea </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT市集 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全球最大NFT市集OpenSea新一輪增資後市值達133億美元，身價在半年內大漲8倍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">全球最大NFT市集OpenSea近期宣布已完成C輪增資，由Paradigm及Coatue領銜，再加上既有的股東，總計募集了3億美元的資金，而此次增資的OpenSea市值已由去年7月的15億美元，大幅增加至今年1月的133億美元，在短短的半年內身價大漲8倍。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OpenSea創辦人暨執行長Devin Finzer表示，此次所募集的資金有4個目的，包括加速產品開發，改善客戶支援與客戶安全，擴大對NFT及Web3社群的投資，以及擴大經營團隊。Finzer指出，未來OpenSea將聚焦於降低進入NFT領域的門檻，以及讓人們更容易發現、管理與展示NFT。<a href="https://www.ithome.com.tw/news/148738">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">Central Bank of Bahrain</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-size: 14pt;">庫幣科技</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-size: 18.6667px;"> </strong><strong>Mozilla創辦人怒批加密貨幣嚴重危害地球生態後，Mozilla基金會宣布暫停接受加密貨幣捐款</strong><br /><strong>2. 面臨缺電危機，科索沃政府未來2個月禁止高耗能的加密貨幣挖礦活動 </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/14 16:00作者李靜宜https://www.ithome.com.tw/news/148890
Google提議設立一個維護開源碼的集中市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趁著美國白宮於本周四（1/13）召開開源軟體安全高峰會（White House Open Source Software Security Summit）的時機，<a href="https://blog.google/technology/safety-security/making-open-source-software-safer-and-more-secure/" target="_blank">Google法務長Kent Walker提議</a>應該設立一個組織，作為開源碼的維護市集，負責媒合志願者以及需要支援的重要開源專案。</p> <p>開源碼的安全問題近來日趨受到重視，Linux基金會於2020年便成立了開源安全基金會（Open Source Security Foundation，OpenSSF），以支援關鍵開源專案的安全性，而最近<a href="https://www.ithome.com.tw/news/148753" target="_blank">開源Java套件Log4j所冒出的安全漏洞</a>，進一步向全球揭露開源軟體安全性的重要。</p> <p>Walker說，開源軟體一直以來皆允許外界免費使用、變更或檢查，因而促進了協作創新與新技術的開發，也讓許多關鍵基礎設施或國家安全系統都採用了開源軟體，然而，它卻缺乏官方的資源分配，對於如何維護重要程式碼的安全性，也沒有正式的要求與標準。</p> <p>自從開源碼風行以來，社群都習慣假設這些具備透明化、且獲得眾多關注的開源碼專案是安全的，但事實上只有部分專案受到社群與開發者的青睞，有些則幾乎或完全被忽視。</p> <p>這使得Walker發想了多個提議來維護開源碼的安全性，而不管哪個提議都需要官方與產業之間的合作，其中包括設立一個開源碼維護市集，以媒合重要開源碼專案與負責維護的志工，同時Walker身先士卒地說，Google已準備好貢獻自家資源。</p> <p>Google其它的提議還包括產、官應該共同建立一個關鍵開源專案的列表，此一列表的評估方式為開源專案的重要性與影響力，才能替各種專案分配安全性資源。另一個提議是打造開源碼安全性、維護與測試的標準，相關標準理應是協同開發的，也應定期更新、持續測試及驗證它們的完整性。</p> </div></div></div>
2022/1/14 13:39作者陳曉莉https://www.ithome.com.tw/news/148886
Google允許Android用戶關閉2G功能以防範基地臺模擬攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eff.org/deeplinks/2022/01/victory-google-releases-disable-2g-feature-new-android-smartphones" target="_blank">電子前線基金會（EFF）本周指出</a>，Google去年悄悄地在Android平臺上新增了一項功能，允許用戶手動關閉手機上的2G功能，將可防範基地臺模擬攻擊，同時呼籲蘋果也應跟上Google的作法，以保障用戶的隱私安全。</p> <p>1991年問世的第二代行動通訊技術迄今仍受到Android與iOS等行動平臺的支援，不過，當時該技術並未考量到某些風險，例如流氓基地臺或是強大的加密能力，隨著市場已經進展到5G，許多有關2G的安全漏洞也一一曝光，其中之一為它薄弱的加密能力讓基地臺與手機之間的通訊可能遭到竊聽，其次則是基地臺至手機之間缺乏認證機制，使得任何人都能假冒為2G基地臺，而讓使用者陷入隱私風險，並成為部分政府的監控管道。</p> <p>此外，雖然2G許多安全漏洞到了4G的年代已被修補，但有些先進的基地臺模擬器能將使用者的4G連結降級到2G，進而開採2G漏洞，等同於4G用戶依然承受著2G漏洞的風險。</p> <p>不過，去年Google針對Android所作的變更將得以解決此一問題，使用者可藉由設定中的SIMs功能，手動關閉2G，可惜的是，該功能只適用於包括Pixel或Samsung等較新的Android手機，舊款裝置囿於硬體的限制而依舊無法關閉2G。</p> </div></div></div>
2022/1/14 14:26作者陳曉莉https://www.ithome.com.tw/news/148888
服務條款太複雜不想看？美國提出TLDR法案要求業者提供服務條款摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cassidy.senate.gov/newsroom/press-releases/cassidy-lujan-trahan-introduce-bill-to-inform-consumers-increase-online-transparency" target="_blank">美國3名兩黨議員在13日提出</a>了《服務條款標籤化、設計與可讀性法案》（Terms-of-service Labeling, Design and Readability (TLDR) Act），目的是為了要求商業網站與行動程式必須建立一個簡單且易讀的服務條款協議摘要，以增加網路上的透明度，同時確保消費者知道自己的個資是如何被蒐集及使用。不過，小型商家得以不受此法的約束。</p> <p>議員們援引了一項在2012年所進行的研究，指出平均每個美國人要花76個工作天，才能看完他們所使用的所有科技網站的服務條款協議，再加上許多協議使用法律術語，內容錯綜複雜，篇幅又很長，使得絕大多數的使用者幾乎是在完全沒有閱讀的情況下，便按下了同意。</p> <p>因此，TLDR Act要求業者必須提供服務條款的摘要，摘要內得包含所蒐集的消費者資訊、所蒐集的是否為提供服務的必要資訊、如何與第三方共享消費者資料的圖表、消費者能否或如何刪除自己的資料、消費者使用該服務的法律責任，還必須提供該公司過去3年來曾發生的資料外洩事件列表。</p> <p>這些參議員認為，有太多的公司透過冗長且複雜的服務條款協議，來隱藏其資料政策的關鍵細節，藉此保護自己免於承擔法律責任；長期以來這些廣泛的服務條款協議，更迫使消費者於同意及不同意之間二選一，完全沒有協商的餘地，濫用的可能性是顯而易見的。</p> <p>美國參議員Bill Cassidy則說，使用者不應藉由梳理網站條款中的法律術語，來了解自己的資料將如何被使用，要求業者提供易於理解的條款摘要應該是強制性的，而且早就該這麼做了。</p> </div></div></div>
2022/1/14 14:45作者陳曉莉https://www.ithome.com.tw/news/148889
【資安日報】2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源軟體受到廣泛使用，背後卻可能僅有數名無償付出的志工進行維護，這種現象再度因Log4Shell這樣的漏洞出現時，而引進政府重視。美國國家資安顧問更指出，開源軟體的資安問題，已是國家安全層級的議題。他們為此召集IT大廠、開源社群組織Apache軟體基金會，來探討IT大廠能否提供更多資源，來提升開源軟體的資訊安全，而不是單純仰賴志工的付出。</p> <p>而在Log4Shell引起的後續效應之餘，國內最近陸續有數起前員工引起的內部威脅事件傳出，最近，電子零組件大廠臺灣東電化的員工，打算帶著公司研發機密到新東家使用，而在此之前，虛擬實境內容平臺業者愛實境（iStaging）傳出的資安事故，就是前員工發起的DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/7315/6031301"><span style="color: rgb(0, 0, 0);"><strong>電子零組件大廠臺灣東電化爆研發機密外洩，前員工意圖投靠競爭對手</strong></span></a></h4> <p>國內最大綜合性電子零組件供應商臺灣東電化公司爆發違反營業秘密案，張姓等4名前工程師擅自下載有關手機鏡頭防震馬達（微致動器）的研發資料，其中2人打算跳槽到香港競爭對手新科公司（SAE），並宣稱目的是為了在即將到職的新公司運用，檢方偵結依營業秘密法起訴4人。這些工程師下載的資料，包含內部的數據分析、設計變更、提升耐衝製程參數等文件，粗估產值至少120億元。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/magniber-ransomware-using-signed-appx-files-to-infect-systems/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Magniber假借瀏覽器更新名義，鎖定Windows 10電腦發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/edge-prompt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/edge-prompt.png" style="width: 300px; float: right;" /></a>濫用通用視窗應用程式（UWP）的安裝檔案（.APPX），來誘騙使用者在網頁瀏覽器安裝惡意軟體的現象，陸續有這種型態的攻擊事故發生。資安業者AhnLab揭露一起散布勒索軟體Magniber的攻擊行動，駭客以要求Edge和Chrome的使用者手動更新名義，引誘下載APPX更新程式，一旦下載安裝，電腦檔案就會被Magniber加密。</p> <h4><a href="https://www.crowdstrike.com/blog/tellyouthepass-ransomware-analysis-reveals-modern-reinterpretation-using-golang/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者使用Golang編譯勒索軟體TellYouThePass，鎖定Windows和Linux電腦</strong></span></a></h4> <p>有越來越多的攻擊者使用Go語言（Golang）開發惡意軟體，以便在少許修改的情況下，就能跨平臺攻擊多種作業系統的電腦。例如，資安業者CrowdStrike表明，他們針對利用Log4Shell漏洞的勒索軟體TellYouThePass進行研究，結果發現，該勒索軟體Windows和Linux版本，85%程式碼幾乎相同。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://nypost.com/2022/01/12/teen-claims-he-hacked-into-over-25-teslas-in-13-countries/"><span style="color: rgb(0, 0, 0);"><strong>研究人員宣稱透過第三方管理軟體漏洞，控制位於十多個國家的25臺特斯拉汽車</strong></span></a></h4> <p>電動車往往被視為能夠移動的電腦，相關的資安議題也引進關注，而電動車大廠特斯拉近期傳出能遠端控制車輛的漏洞，但原因不完全與該廠商的系統有關，而是部分車主所使用的第三方軟體造成。一名年僅19歲的德國資安人員David Colombo宣稱，他透過名為Teslamate的車輛事件記錄軟體，藉由其漏洞，控制位於13個國家的25輛特斯拉汽車，可遠端開啟車門，並使用車內的攝影鏡頭監控司機，甚至可停用防盜機制「哨兵模式（Sentry Mode）」。David Colombo表示，他已經接獲特斯拉的通知，將提供該軟體的漏洞細節，並強調這並非特斯拉基礎設施本身的問題。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.theverge.com/2022/1/13/22881813/white-house-tech-summit-apple-google-meta-amazon-open-source-security"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞背後存在的開源軟體維護議題，美國召集IT業者討論</strong></span></a></h4> <p>企業廣泛使用的開源軟體，多半倚賴志工免費維護，一旦出現類似Log4Shell的重大漏洞，卻往往只有志工著手處理，美國國家安全顧問Jake Sullivan更指出，開源軟體安全是主要的國家安全議題。</p> <p>針對這種現象，美國白宮於1月13日召集Amazon、Google、IBM等大型IT公司，以及維護日誌記錄框架Log4j的Apache軟體基金會、維護Java程式語言的Orcale，希望能透過IT業界來促進開源軟體的安全。而Log4Shell也不是這種情況的首例——在2014年發現、存在於OpenSSL加密程式庫的Heartbleed漏洞，也有類似的情形，OpenSSL被用於全球三分之二的網路伺服器上，同樣仰賴志工維護。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148868"><span style="color: rgb(0, 0, 0);">針對電信業者資料外洩事故，美國擬祭出更嚴格的通報規則</span></a></strong></h4> <p>為了因應電信業者遭到資料外洩事故時，客戶個資可能隨即就面臨威脅，開始有政府打算採取更為嚴格的通報措施。美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel，於1月12日發出聲明，表示將針對境內電信業者客戶專屬網路資訊（CPNI）的外洩事件，祭出更嚴格的通告規定。其中，將取消事故發生後的強制等待期間規定，再者，則是這些電信業者未來也要向FCC通報相關事故。</p> <h4><a href="https://www.cna.com.tw/news/aipl/202201130313.aspx"><span style="color: rgb(0, 0, 0);"><strong>為強化資安管理，銓敘部將成立專責單位</strong></span></a></h4> <p>政府機關日益重視資安，並成立專責單位來因應的情況越來越顯著，銓敘部於1月13日表示，為精進資訊安全管理作業，他們將會增列預算，聘請4名專門負責資安業務的人員，並成立資安科，然後評估在現有的人力和物力下，提升資安的策略、管理、以及技術層面。此外，他們也會從現有資訊人力調度，來逐步增加資安可用的人力。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/14 13:05作者周峻佑https://www.ithome.com.tw/news/148884