iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Analytics被判違反GDPR，Google呼籲歐美建立新的資料傳輸框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟視使用Google Analytics等美國公司技術違反歐洲隱私法GDPR，<a href="https://blog.google/around-the-globe/google-europe/its-time-for-a-new-eu-us-data-transfer-framework/" target="_blank">Google高層本周呼籲</a>應再次建立歐、美之間的資料安全傳輸框架。</p> <p>德國一家出版商網站因使用美國Google Analytics的追蹤技術，本月稍早被<a href="https://www.ithome.com.tw/news/148885" target="_blank">奧地利政府資料保護主管機關判定違反GDPR</a>。這是基於歐盟法院2020年的Schrems II判決，廢除了美國和歐盟之間的隱私盾（Privacy Shield）資訊傳輸保護協議，因為歐盟法院認為美國監控法要求美國包括Google、臉書等供應商必須將用戶個資提供給美國，原本的傳輸協定已經不足以保護歐盟用戶的隱私。</p> <p>本周Alphabet、Google全球事務暨法務長Kent Walker對此做了回應，指出Google提供全球企業Analytics服務15年來，從未發生奧地利政府擔心的情形：接到美國政府要求提供歐盟使用者個資，該公司也不認為未來美國會依據監控法提出這類要求。</p> <p>Walker並提到，2020年歐盟的Schrems II判決，其實也未能阻止歐盟人民資料的全球流程。Google 認為除了法規外，他們提供的廣泛措施才更能提供實務上更有效的防護方法，來保護歐盟民眾資料隱私。</p> <p>Walker指出，雖然奧地利政府的判決只是針對單一一家出版商及特定情境，但影響層面卻很大。欠缺明確法規下，可能的觸法風險將使線上出版商或小型企業怯於資料流通，進一步影響歐美企業的經濟活動。</p> <p>他指出，歐洲地區及美國的企業都期望歐盟及美國儘速確認隱私盾之後的新資料傳輸協定，以便及早恢復歐美之間的線上經濟活動，同時確保雙邊用戶的資訊隱私。</p> <p>歐洲倡議組織Noyb於2020年針對使用Google Analytics的歐盟企業，共提出101項控訴。Noyb榮譽主席Max Schrems預期大部份歐盟會員國將出現類似判決。</p> <p>去年3月美國商務部長Gina Raimondo與歐盟司法委員會主席Didier Reynders聯合宣布，<a href="https://ec.europa.eu/commission/presscorner/detail/en/STATEMENT_21_1443" target="_blank">要共商遵循Schrems II判決的新資訊傳輸協議</a>。但雙方進度緩慢。<a href="https://insidecybersecurity.com/daily-news/european-official-warns-%E2%80%98don%E2%80%99t-hold-your-breath%E2%80%99-privacy-shield-successor" target="_blank">去年歐盟執行副總裁Margrethe Vestager指出</a>，雖然這對雙方而言都是極優先任務，但談判牽涉複雜因素，暗示外界不需屏息以待，因為還沒這麼快有結果。</p> </div></div></div>
2022/1/21 14:31作者林妍溱https://www.ithome.com.tw/news/149001
夏天起美國國稅局將要求使用特定線上服務的民眾進行人臉辨識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.irs.gov/newsroom/new-identity-verification-process-to-access-certain-irs-online-tools-and-services" target="_blank">美國國稅局（Internal Revenue Service，IRS）本周公告</a>，自今年夏天開始，不管是一般使用者或稅務專業人士要於網路上使用特定的國稅局服務時，都必須透過與IRS合作的ID.me進行身分認證，而人臉辨識則是ID.me認證身分的必要元素之一。</p> <p>ID.me為美國私人企業所提供的網路身分認證網路，而IRS則將把特定服務的身分認證交由ID.me負責，包括查詢個人帳號資訊、透過網路取得各種申請表格、網路支付協議、兒童稅收減免，以及獲得身分保護PIN碼等。</p> <p>至於ID.me的身分認證程序，將要求美國民眾提供諸如駕照或護照等身分證件上的照片，也必須利用手機或電腦上的攝影機自拍並上傳。</p> <p>IRS表示，這是國稅局身分、憑證與存取管理計畫（ICAM）的一環，提供更多的管道予納稅人，以進行身分認證及存取IRS的各種服務；此外，通過ID.me身分認證的美國民眾不僅能使用IRS的各種網路服務，亦可存取整合ID.me服務的其它美國政府機關的服務。</p> </div></div></div>
2022/1/21 14:49作者陳曉莉https://www.ithome.com.tw/news/149003
杜克大學研究人員開發出第一個能展示診斷過程的胸腺癌偵測模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techxplore.com/news/2022-01-ai-breast-cancer-sleuth.html">杜克大學</a>針對放射科醫師，開發了一個人工智慧平臺，能夠用於分析乳房X光片，找出潛在的癌變組織，提供醫師額外的資訊，以決定是否要進行侵入性檢驗。這個系統的特別之處在於，其所使用的演算法能夠被解釋，也就是說，醫生能夠知道演算法做出決定的理由，因此也就更能相信人工智慧給出的結果。</p> <p>研究人員提到，電腦要助醫生做出重要的醫療決策，首先醫生必須相信人工智慧所得到的結論，是根據有意義的證據，因此他們開發的演算法不僅可以推理出結論，還可以自我解釋，展示得出結論的過程，如此人工智慧才能夠協助醫生做出更好的決定。</p> <p>即便FDA已經批准了百種以上可用於臨床的演算法，但是不少演算法缺乏可解釋性，一旦醫生使用人工智慧出現失敗案例，人工智慧在高醫療風險決策中的使用便會遭到質疑，研究人員提到，人工智慧模型的確很容易失效，在不同的設備上部署模型，就可能因為設備本身微小的差異，使得模型出現錯誤。</p> <p>因此當模型能夠自己說明結果推論的過程，模型的可信度將會明顯上升。研究人員使用來自484名患者所拍攝的1,136張圖像，訓練人工智慧模型，研究人員提到，他們教人工智慧找到可疑的病變組織，但同時忽略健康的組織與不相關的資料，且聘請放射科醫生，仔細的標記圖像，來教會人工智慧精確地辨識癌變組織的邊緣，並將這些邊緣和圖片中已知癌症和良性腫瘤的邊緣進行比較。</p> <p>放射狀線條以及模糊的邊緣，通常是腫塊的邊緣，也是惡性胸線腫瘤的最佳預測指標，研究人員提到，因為癌細胞複製快速，擴散速度非常快，導致X光片中並非所有擴張中的腫瘤邊緣都容易被發現，該特徵是放射科醫生第一優先尋找的標的。而杜克大學研究人員所開發的人工智慧模型，則能模仿醫生的行為，把焦點放在這些難以發現的邊緣上，並在解釋診斷過程時，把這些邊緣圈選出來。</p> <p>研究人員以訓練真正的放射科醫生一樣的方式，來訓練人工智慧模型，而非讓模型自由發展辨識過程，與其他無法解釋，存在黑盒子的模型相比，這個新的模型由於其可解釋性，因此甚至可以成為訓練平臺，教學生檢視乳房X光片，或是可以在醫療資源稀缺的地區，提供更好的乳房X光檢查。</p> <p>研究人員表示，他們以特別的方式來訓練人工智慧檢視醫學圖像，與其他人工智慧模型的差異在於，其他模型並未嘗試模仿放射科醫生，甚至在特殊情況下，可能會從有缺陷的推理過程獲得結果。這個新的人工智慧模型模型，辨識結果雖然無法超越人類放射科醫師，但是能與其他模型的表現一樣好，並且在出現錯誤時，讓使用者發現模型出現錯誤，並且知道發生錯誤的原因。</p> </div></div></div>
2022/1/21 13:23作者李建興https://www.ithome.com.tw/news/148997
Google在臺、港、韓測試在Windows PC執行Android手遊的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周宣布將在臺灣、香港和南韓地區，<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">測試能讓Android手機版遊戲App在Windows PC執行的App及技術</a>。</p> <p>微軟在Windows 11也讓用戶執行Android App，但是僅限Amazon Appstore。截至去年9月，也只有數十款Android App能在Windows 11執行。雖有用戶成功<a href="https://www.ithome.com.tw/news/147472" target="_blank">在Windows 11上下載Google Play Store</a>，但畢竟是非正式作法，也非一般用戶能力所及。Google Play Games則是Google方面的因應作法。</p> <p>Google Play Games的App是由Google開發，讓Android遊戲開發商撰寫App、發佈到Google Play上，即可在多種平臺執行，而僅需維護單一套程式碼<a href="https://developer.android.com/games/playgames" target="_blank">。Google強調</a>它提供的Android API、函式庫及SDK和Windows PC完全相容，開發商無需重新實作另一套程式內購買或建新的SKU。此外發佈也很容易，透過Google搜尋或桌機端廣告，即可將Windows PC用戶導向遊戲網站。</p> <p>另一方面，Google則向玩家們描述Google Play Games的優點。該App部門產品經理Arjun Dayal指出，玩家可以輕鬆瀏覽、下載遊戲到PC上玩，享受更大的螢幕及滑鼠、鍵盤的便利性，而且在手機或PC之間轉換，都不會喪失遊戲累積的進度或成績。</p> <p>此外玩Android 遊戲獲得Google提供的Play 點數，也會在 Google Play Games提供。但不確定這些點數是否也只能用在PC遊戲上。</p> <p>目前臺灣、香港及南韓用戶可至<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">Google以Beta版上線的網站</a>註冊加入等候名單。</p> </div></div></div>
2022/1/21 13:42作者林妍溱https://www.ithome.com.tw/news/148999
微軟公布25個Windows 10/11應避免使用的群組原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於Windows平臺的迭代，造成許多群組原則（Group Policy）已經失效，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/why-you-shouldn-t-set-these-25-windows-policies/ba-p/3066178" target="_blank">微軟於本周列出了IT管理員在Windows 10/11應避免使用的25個群組原則</a>。</p> <p>群組原則（Group Policy）為一集中管理Windows工作環境的功能，可用來控制使用者在電腦上所能從事的活動，例如強制要求複雜的密碼，或是禁止未經辨識的用戶自遠端存取網路共享，或是限制特定文件夾的存取等。</p> <p>微軟資深專案經理Aria Carley說明，不管是Windows的更新體驗，或者是控制更新的原則，都在過去這幾年有所變動，自微軟發表Windows 10 1511（2015年11月）以來，包括通知、決定下載更新的能力、安裝、重啟或是設定體驗，全都有巨大的變化，例如新增使用時間（Active Hours）功能，以讓裝置能在使用者離開時自動重啟，或者是於通知中包含重啟預估時間。</p> <p>於是微軟不斷地簡化及改善相關的使用經驗，找出無效的原則或是以更好的原則取代舊原則，但這也使得自Windows 10 20H2（2020年10月）及之後Windows版本的更新原則，包含許多失效或無法如常運作的原則。</p> <p>儘管微軟已在Windows 11中，於Windows Update建立了舊有原則的子文件夾，但這些子文件夾只出現在Windows 11的管理樣板集（ADMX）中，然而，其實它們也適用於Windows 10 20H2與之後的Windows 10版本。</p> <p>因此，微軟決定直接公布25個已經不適合Windows 10/11的群組原則，供各組織的IT管理員參考，並建議管理員應避免採用相關原則。</p> <p>至於Carley則說，目前最好的方式是採用預設的原則設定配置，不只因為預設配置可提供最佳體驗，也能有效地讓裝置維持在最新狀態。</p> </div></div></div>
2022/1/21 14:05作者陳曉莉https://www.ithome.com.tw/news/149000
Google以視覺方法StylEx改進神經網路的可解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google最新的模型可解釋性研究，發展出一種稱為StylEx的視覺化分類器解釋方法，StylEx能夠自動探索和視覺化個別特徵對分類器的影響，用戶可以透過單獨操作屬性，在不影響其他特徵的情況，探索個別特徵的影響。</p> <p>StylEx適用的領域廣泛，包括動物、樹葉、臉部，甚至是視網膜圖像，根據Google的研究表示，StylEx所找到的屬性和語義屬性吻合，能夠生成有意義的特定圖像解釋，在研究中被人們解釋。</p> <p>研究人員提到，神經網路可以良好地執行特定任務，但是要了解神經網路做出決定的方法，卻通常是個謎，難以知道像是模型使用哪些訊號來辨識圖像分類。但是解釋神經模型的決策過程，在部分領域是重要的，像是醫療用的圖像分析，或是自動駕駛等，攸關性命的領域，特徵分析有助於指引醫療提供者、揭露模型偏差，並對下游決策者提供支援，甚至有助於科學發現。</p> <p>過去對分類器進行視覺解釋的方法，有像是Grad-CAM，能夠突出顯示圖像中影響分類器的區域，但是沒辦法解釋這些區域中，決定分類結果的屬性有哪些，另一個研究GANalyze，則可以在分類之間平滑切換，藉由轉換圖像來提供解釋，但研究人員表示，這些方法往往會同時改變所有屬性，難以隔離個別屬性的影響。</p> <p>而StylEx可以自動檢測分離的屬性，並視覺化操作每個屬性影響分類器的機率，用戶可以查看這些屬性，並且對這些內容進行語意上的解釋，像是辨識貓和狗的分類器（下圖），StylEx能夠得出多種屬性，像是屬性4狗比貓容易張嘴，屬性5貓的瞳孔更像狹縫，屬性1貓的耳朵傾向不折疊等。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEgWc6df4UKYF_x3saETG3cuo20-p8t_Od-5spIPLeFTurGmc-elPP37Oa6RHNQj0-4Ub9rWWhTk2kQ3nI7DS7rJjgxyUxEeW0bLSMZN_TAq3kJC7AzyUA6vCAkb4f9t1izeziKOKa9eMrs9wn_-fz6DNLPw4GpWQ4y5Vs5NH-nkGd-7cg1l3B1Uae-UVg=w640-h288" style="width: 580px; height: 261px;" /></p> <p>StylEx適用領域廣泛，包括二元和多元分類的分類器，在所有測試領域中，StylEx偵測到的前幾個屬性，與人類所解釋的語意概念一致。研究人員特別強調，StylEx方法解釋的對象是分類器，而非真實的情況，也就是說，該方法揭露分類器從資料中學到的圖像屬性，而這些屬性未必代表在現實中的類別標籤。</p> <p>這些StylEx偵測到的屬性，可能會揭露分類器訓練或是資料集中的偏差，研究人員表示，這是StylEx的重要優點，因為可以用來進一步提高神經網路的公平性，像是增加訓練資料集的範例，來補償StylEx所揭露的偏差。StylEx的貢獻在於提供一種新技術，在分類器上給定圖像或類別，可獲得有意義的解釋，研究人員認為，這個技術有助於緩解分類器和資料集中存在的偏差。</p> </div></div></div>
2022/1/21 13:13作者李建興https://www.ithome.com.tw/news/148995
微軟Azure整合Elastic，供用戶監控雲上Spring Boot應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/elastic-and-microsoft-azure-unified-observability-for-spring-boot-applications/">微軟宣布在Azure整合Elastic企業資料搜尋解決方案</a>，使得用戶可以實現Spring Boot應用程式統一監控。用戶現在可以將微軟Azure Spring Cloud日誌和指標，無縫傳送到Elastic，以完整監控Spring Boot應用程式。</p> <p>Azure Spring Cloud是由微軟和VMware共同建置、營運和支援的Spring Boot應用程式託管服務，透過抽象基礎設施，和消除Spring Cloud中介元件複雜的管理工作，供開發者能夠更專注建構業務邏輯。</p> <p>微軟提到，許多用戶原本在本地端資料中心，運作數千個Spring Boot應用程式，當這些應用程式搬遷到雲端時，會需要匯總應用程式的日誌和指標，並使用開發人員熟悉的解決方案進行偵測，以及監控應用程式效能。此外，用戶還必須確保現有伺服器軟體的連續性，這些軟體可能已經配置傳送日誌和指標，並且預配置使用Elastic等系統進行端到端監控。</p> <p>而透過整合Elastic和Azure Spring Cloud日誌和指標，用戶可以繼續獲得深入的應用程式可見性，減少分析需要的時間，並在網頁和行動應用程式，提供一致的客戶體驗。現在Elastic可以從微軟Azure Spring Cloud中，無縫擷取日誌和指標，方便DevOps和SRE監控Spring Boot應用程式，無論是在雲端、本地端還是混合環境，以消除監控孤島。</p> <p>Elastic與Azure的原生整合，使得日誌能夠傳送到Elastic Observability解決方案，當資料送至Elastic之後，用戶便可以方便地使用視覺化功能以及儀表板，快速進行分析，透過監控、分析和搜尋這些日誌資料，供用戶確保應用程式正常運作。</p> <p>用戶還可以使用Elastic應用程式效能監控（APM）工具，來分析和搜尋應用程式的效能資料，並在Elastic APM查看Java虛擬機器的指標，了解堆記憶體、系統記憶體和CPU的使用狀況。Elastic APM提供分散式追蹤功能，使用戶能夠掌握應用程式效能，了解影響效能最大，以及花費最多時間的交易。</p> <p>Elastic內建機器學習功能，能夠讓用戶簡單地分析來自Azure Spring Cloud的資料，而Elastic Stack還可在擷取資料時處理資料，確保用戶保有辨識根本原因，或是替事件添加上下文等所需要的後設資料。</p> <p>這項新功能也可以用來阻止雲端規模的安全威脅，由於Elastic提供通用架構和單一儲存庫，因此來自Spring應用程式的可觀察性資料和其他資料集，能夠被一起用於偵測和回應安全事件上，來進一步降低偵測時間。Elastic Security則可將安全資訊和事件管理功能，與端點安全解決方案相連結，使用戶能夠從不同來源擷取並留存大量資料，藉由偵測和機器學習功能來強化威脅搜尋能力。</p> </div></div></div>
2022/1/21 13:19作者李建興https://www.ithome.com.tw/news/148996
Fintech周報第208期：金管會推動主題式監理沙盒及業務試辦，首個開立主題為數位身分認證及授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0115～0121</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分認證及授權 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 主題式監理沙盒與業務試辦 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會推動主題式監理沙盒及業務試辦，首個開立主題為數位身分認證及授權</span></strong><br /><span style="vertical-align: top;">金管會在2022年的施政重點之一是推動主題式監理沙盒及業務試辦。近年，金管會總共核准了40件監理沙盒與業務試辦申請案，運作模式採取業者端有任何創新模式或技術，都能向金管會申請監理沙盒或試辦案件來落地應用。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">不過，業界反映近期金融監理沙盒或試辦的案件數量沒有明顯增加。同時，金管會參考了世界銀行在2020年底發布全球推動監理沙盒經驗的研究結果，推動主題式監理沙盒對發展特定類型的技術有所幫助。因此，金管會規畫以金融業者有興趣的金融創新議題，主動開立主題式議題吸引業者參與。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會1月18日宣布首個主題為「數位身分認證及授權」，這是銀行、保險、證券3業別在發展數位金融創新時，需求最高的共通議題。金管會提到，該主題分為4大領域，包括身分確認（Identity proofing）、認識客戶（KYC）、身分驗證（Authentication）與授權（Authorization），希望透過導入具備數位認證及授權便利性、安全性及可靠性的方案，鼓勵金融機構及金融科技業者發展，採用新技術提出應用方案。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會也規畫於今年2月中舉辦說明會，也會對有意願參與的業者進行輔導。此外，金管會將批次進行審查，並對外公布審查通過的業者名單。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 英國 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OBIE </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國OBIE推動開放銀行滿4周年，超過450萬名消費者與中小企業採用</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20OBIE.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由英國競爭及市場管理局（CMA）所設立的開放銀行實施組織（OBIE），在今年1月正式成立滿4周年。OBIE揭露，在英國，超過450萬用戶採用了開放銀行服務，包括390萬名消費者與60萬家中小企業，相較2020年整整多了170萬名用戶，並以每半年增加100萬新活躍用戶的速度持續成長。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">甚至，根據OBIE統計，到了2021年底，已累計執行了2,660萬筆開放銀行支付服務。該組織分析，開放銀行支付服務的使用增長，主因是去年英國稅務海關總署（HM Revenue & Customs）推出了開放銀行支付服務，透過串接銀行帳戶讓消費者與企業主更便利繳稅，該服務推出至今已有24億英鎊的稅收透過此方式進帳。OBIE預測，未來1年英國開放銀行服務的使用將更為提升，更多的政府部門也將加入採用行列。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 將來銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行啟動三階段試營運，預計今年3月正式對外開業</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/31_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_20210413.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣第3家純網銀將來銀行將在1月22日展開試營運，預計3月底正式開業。將來商業銀行總經理許柏林表示，目標是2年內超過100萬用戶、4年內損益兩平。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行試營運將分為3階段進行，許柏林表示，第一階段會有30位專案員工進行各種案例測試，來驗證系統的穩定性。農曆年後，則進入第二階段，將有250名員工加入測試。到了2月14日，將來銀行將找來協力廠商與員工親屬，共1,000人進行系統測試，這是第三階段。待試營運結束後，預計3月底正式對外開業。許柏林也保證，系統經過內部壓力測試，目前1小時內可處理2萬筆交易。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PayPal Coin </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PayPal證實正在探索發行穩定幣PayPal Coin的可能性</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一名iOS開發者Steve Moser近期在支援iOS的PayPal程式中發現了PayPal Coin，PayPal則向《彭博社》證實正在探索發行穩定幣的可能性。根據報導，PayPal Coin源自於該公司內部加密貨幣團隊的黑客松（Hackathon）競賽，是與美元掛鉤的穩定幣。PayPal證實正在探索發行PayPal Coin的可能性，一旦決定執行，定會與監管機關密切合作。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">身為全球主要的線上支付平臺之一，PayPal自2020年底便開放用戶持有及買賣加密貨幣，去年3月開始支援美國用戶以加密貨幣付款，迄今支援的加密貨幣種類包括比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash），以及萊特幣（Litecoin）。<strong><a href="https://www.ithome.com.tw/news/148807">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Line Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一站式商店管理平臺 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Line Pay新推出商店後臺App，提供合作商店一站式管理功能、行銷工具、貸款服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%20Line%20Pay_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line%20Pay.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">行動支付品牌Line Pay近期新推出商店管理後臺App「好夥伴」，首波鎖定合作的實體商店，提供一站式商店管理功能與行銷工具，包括了即時查詢交易撥款記錄、設定不同級別管理者的權限設定、商店宣傳的圖文資訊編輯，以及申請商戶貸款等功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Line Pay表示，該項新服務除了能即時查詢交易撥款記錄，同時提供一周平均交易額、半年份總交易額等營收報表產製，商家能夠透過手機Ａpp一次性掌握付款、撥款、退款等交易資訊。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 上市櫃公司 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 碳盤查 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永續發展 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會3月將發布上市櫃公司永續發展路徑圖，2027年全體上市櫃公司必須完成碳盤查</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會證期局局長張振山近期揭露，為了協助企業及早因應訂定減碳目標，金管會計畫今年2月邀集相關政府單位、上市櫃公司、金控公司、會計師事務所及第三方查證機構召開公聽會，並在3月正式發布「上市櫃公司永續發展路徑圖」。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">張振山表示，上市櫃公司永續發展路徑圖將按照上市櫃公司實收資本額，在2023年開始分階段推動，揭露內容包括溫室氣體直接排放、能源間接排放量。金管會規畫，在2027年，全體上市櫃公司必須完成溫室氣體盤查，且需與公司財務報表範圍一致，到了2029年，則要求全體上市櫃公司完成溫室氣體盤查的查證，需由第三方查證機構進行查證作業。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會針對該路徑圖的核心策略是，落實董事會永續發展責任、與環保署與經濟部等部會建立跨部會合作機制、接軌國際且串聯全球永續生態鏈、建立人才培育與輔導機制來落實溫室氣體盤查及資訊揭露，以及，為了因應市場對ESG資訊揭露需求日增，將督導證交所建置ESG資料庫，建立資訊共享機制，藉此推動上市櫃公司ESG評鑑制度。<a href="https://www.ithome.com.tw/news/148877"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 機器人流程自動化 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐金控 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐金控旗下子公司超過100個流程導入RPA，今年規畫大力推動素人開發</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐金控近期揭露自家導入RPA機器人流程自動化的成果與最新進程。永豐金在2019年展開試行RPA評估與實驗，由金控擬定RPA執行策略方向，並在子公司設置專職團隊，協助RPA開發上線與維運。目前，已有超過100個流程在永豐金旗下銀行、證券、投信等子公司上線。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">比如，永豐金證券在經紀結帳流程導入RPA，每月已節省約255個人力工時，債券交易流程每月也節省72個人力工時。或像是永豐銀行在基金外幣匯出匯款作業導入RPA應用，由機器人自動化完成重複性的作業，此外，運用在防洗錢的交易明細及態樣篩選、徵審等流程，也透過導入RPA來提升效率。下一步，永豐金控計畫導入AI持續優化現有流程與業務體驗。甚至，規畫推動素人開發，作為擴充RPA開發能量的作法之一。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第三方支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> iOS App </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">蘋果配合南韓電信業務法修正案，同意開放iOS App第三方程式內支付機制</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">韓聯社報導，蘋果近期開放在南韓App Store上架的iOS App使用第三方程式內支付（in-app purchase，IAP）工具。蘋果稍早向韓國通訊委員會（KCC）遞交了法規遵循計畫。報導指出，蘋果計畫提供iOS App開發商第三方支付選項，而服務費率（分潤比例）也會比30%來得低。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">但蘋果並未公布實際的費率及詳細時程，表示會再和韓國主管機關商議。蘋果表示，該公司尊重韓國法律，向來也和該國開發商合作順暢，一切作業都會以確保App Store成為安全而值得信賴的應用程式下載平臺為依歸。<a href="https://www.ithome.com.tw/news/148842"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">攝影／洪政偉；<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">圖片來源／</span>OBIE、Line Pay、金管會<br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">1</strong><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </strong><strong>搶攻數位族群，國泰人壽推出個人保險數位平臺能一站式按需求組合保單與試算保費</strong><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2. </strong><strong>美聯社與區塊鏈技術供應商Xooa合作，建立NFT新聞攝影市場來販售自家記者攝影作品<strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </strong></strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/20 18:46作者李靜宜https://www.ithome.com.tw/news/148994
【資安日報】2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過挾持手機SIM卡的手法（SIM Swapping），進而洗劫被害人財物的情況，在最近3至4年歐美陸續有事故發生。但最近，這樣的事故也在臺灣出現，而且是針對長年在國外工作的民眾，等到他發現異狀時，不只銀行帳戶的存款被盜領，信用卡也被補發、盜刷。但與國外不同的是，臺灣SIM卡掛失、補辦，需要臨櫃持雙證件辦理，而非一通電話就能申請，歹徒的手法仍有待釐清。</p> <p>因應遠距工作、上課的需求，視訊會議系統的重要性與日俱增，但這類系統很可能存在可讓攻擊者暗中動手腳的漏洞。在今天的資安日報裡，Zoom就被發現這樣的漏洞，但值得留意的是，研究人員特地購買相關服務才能進行研究，因此他們認為，該系統可能還有更多存在已久的類似漏洞，有待廠商提供資安人員研究的管道，才能早日被挖掘出來修補。</p> <p>駭客意圖騙取使用者的雲端服務帳號，手法越來越細緻，很難透過資安防護系統察覺異狀。例如，最近一起假冒美國勞動部（DoL）的攻擊行動，攻擊者使用來自新網域的電子郵件信箱，而能夠回避資安威脅系統的黑名單，但使用者還是能從釣魚網站的網址察覺異狀。針對這樣的現象，研究人員除呼籲使用者要提高警覺，也建議網管人員要配置適當的郵件管制措施，來防堵這類攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/122653/6046119"><span style="color: rgb(0, 0, 0);"><strong>臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口</strong></span></a></h4> <p>在歐美許多國家橫行的SIM挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。</p> <h4><a href="https://www.inky.com/blog/fresh-phish-phishers-lure-victims-with-fake-invites-to-bid-on-nonexistent-federal-projects"><span style="color: rgb(0, 0, 0);"><strong>冒名美國勞動部的網釣攻擊，以標案的名義企圖騙取受害者的Google與微軟帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png" style="width: 300px; float: right;" /></a>網路釣魚的攻擊者為了讓受害者上當，佯稱是公部門的情況不時有事故傳出，甚至還謊稱要受害者參與招標。郵件安全業者Inky揭露自2021年下半出現的攻擊事故，駭客自稱是美國勞動部（DoL）的資深員工，針對政府正在進行的專案，想要邀請收件人參與投標，並附上幾可亂真的PDF說明文件。一旦收件人依照指示操作，就會被帶往冒牌招標網站，以竊取收件人的Google或微軟帳號。研究人員指出，這起攻擊行動中值得留意的是，駭客濫用合法組織的郵件伺服器寄信，且運用新網域的郵件信箱，而不被威脅情報系統察覺。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/red-cross-cyberattack-exposes-data-of-515-000-people-seeking-missing-family/"><span style="color: rgb(0, 0, 0);"><strong>紅十字會遭到網路攻擊，逾51萬失蹤者資料遭竊</strong></span></a></h4> <p>人道救援組織的資料外洩，有可能會使得需要幫助的人士面臨人身安全威脅。紅十字國際委員會（ICRC）於1月19日發出聲明，他們存放在位於瑞士資料中心的文件遭到外洩，這些資料是有關因戰爭、天災、移民而流離失所需要協尋的人們，這些資料來自於超過60紅十字會，至少有515,000人受到影響。一旦這些資料流出，許多人很可能將曝露在危險當中，ICRC希望竊取資料的人士，不要將這些資料公布、出售，抑或是濫用。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/marketing-giant-rrd-confirms-data-theft-in-conti-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>市場行銷業者唐納利遭到勒索軟體Conti攻擊</strong></span></a></h4> <p>勒索軟體Conti攻擊大型企業的事故又一樁。根據資安新聞網站Bleeping Computer的報導，美國大型市場行銷業者唐納利（RR Donnelley）於2021年12月27日，向美國證券交易委員會（SEC）通報遭到駭客入侵，導致該公司部分IT系統關閉，客戶無法收到用於供應商付款、支付支票、機動車輛所需的文件檔案。勒索軟體駭客Conti於1月15日，宣稱此起事故是他們所為，並洩露竊得的2.5GB資料，但不久後將其移除。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-moncler-confirms-data-breach-after-ransomware-attack"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體BlackCat攻擊義大利服飾業者Moncler，員工、客戶資料遭到外洩</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/moncler-data-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moncler-data-leak-page.jpg" style="width: 300px; float: right;" /></a>自2021年12月出現的勒索軟體BlackCat（亦稱Alphv），已有大型企業成為受害者。義大利服飾業者Moncler於12月24日表明遭到惡意軟體攻擊，近期向資安新聞網站Bleeping Computer透露初步的調查結果，他們的員工、前員工、供應商、業務合作夥伴，以及客戶的部分資料，已經遭到勒索軟體駭客BlackCat外洩，但強調沒有客戶的付款資料受到波及。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/new-ransomware-spotted-white-rabbit-and-its-evasion-tactics.html"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體White Rabbit透過加密保護來規避偵測，已有銀行受害</strong></span></a></h4> <p>新的勒索軟體對於美國一家銀行發動攻擊，引起資安人員的注意。趨勢科技發現名為White Rabbit的勒索軟體，攻擊者運用的規避偵測手法相當少見，是藉由密碼保護方式進行，攻擊者執行時必須先使用命令列輸入密碼，才能讓這款勒索軟體運作。該勒索軟體也同樣運用雙重勒索的手法，要脅受害者不付贖金電腦資料將被公開，研究人員認為，發動攻擊的人士疑似與駭客組織FIN8有關。</p> <h4><a href="https://www.theguardian.com/sport/2022/jan/12/boa-offer-team-gb-athletes-temporary-phones-over-china-spying-fears"><span style="color: rgb(0, 0, 0);"><strong>擔心中國監控，英、荷將提供北京奧運選手臨時手機</strong></span></a></h4> <p>北京奧運即將於2月4日舉行，中國意圖監控與會人員的情況，也引發歐美各國擔憂。根據衛報的報導，英國奧委會（BOA）、荷蘭奧委會（NOC*NSF）已向運動員提出警告，前者建議英國運動員最好不要攜帶自己的電腦和行動裝置，該單位可為運動員提供臨時的裝置；後者則是宣稱將提供運動員手機與筆電，這些裝置將在運動員回國後銷毀。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148964"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動</strong></span></a></h4> <p>武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/20 15:18作者周峻佑https://www.ithome.com.tw/news/148987
1Password募資6.2億美元，身價三級跳達68億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.1password.com/future-of-1password/" target="_blank">密碼管理平臺1Password周三（1/19）宣布</a>已完成6.2億美元的C輪募資，估算該公司的市值約為68億美元，而這已是1Password這3年多以來的第三次募資，將用來加速探索與突破傳統密碼管理的疆界。</p> <p>1Password是由AgileBits在2006年所推出的密碼管理平臺，有趣的是，該公司一直到成立14年之後，於2019年11月才首度進行A輪募資，當時募集了2億美元，市值為10億美元；接著在2021年7月展開B輪募資，募集1億美元，所估算的市值為20億美元；半年後1Password展開C輪募資，募集6.2億美元，而身價則已漲至68億美元。</p> <p>1Password執行長Jeff Shiner表示，對一家持續獲利的公司來說，接受外部資金似乎有些奇怪，然而，這些新的合作夥伴關係將讓1Password能夠替每個人開發及擴張以人為本的安全解決方案。</p> <p>根據統計，全球有85%的企業資料外洩事件與人為因素有關，而1Password的調查亦顯示，當員工身心俱疲時，遵守企業安全準則的可能性減少了1/3，例如受到COVID-19疫情的影響。Shiner認為該公司的任務就是提供一個便利又安全的解決方案，來保障企業及使用者的資料安全。</p> <p>這幾年1Password已於外部資金的挹注下，加速其發展腳步，光是去年就發表密碼分享工具Psst!、Events API、支援Safari的Events API，以及併購了SecretHub，而即將於今年問世的則有1Password 8 for Linux與1Password 8 for Mac。</p> </div></div></div>
2022/1/20 16:52作者陳曉莉https://www.ithome.com.tw/news/148989
數位新冠病毒健康證明1/21起開放國內使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心宣布，1月21日上午8時將開放數位新冠病毒健康證明在國內使用，除了原有的醫院、長照之外，指揮中心要求八大行業等部分休閒娛樂場所，民眾或服務人員都應出示完整接種COVID-19疫苗紀錄，例如疫苗接種卡（小黃卡）、健保快易通App，或是數位新冠病毒健康證明。</p> <p>指揮中心去年底先開放民眾下載數位新冠病毒健康證明，強調可介接歐盟數位健康證明及GDPR個資保護規範，讓需要出國的民眾可下載，在歐盟地區或同樣遵循歐盟規範的其他國家地區旅遊時使用。</p> <p>而1/21早上8點開放下載的數位新冠病毒健康證明，主要是供國內使用，強調三大功能，所有國內接種疫苗的民眾都可使用、使用符合歐盟規範的查驗程式，可驗證EUDCC 60個國家地區的證明、可以具實名制的App作為載具。</p> <p>值得注意的是，為更新數位新冠病毒健康證明功能，數位證明的申辦簽發平臺將在1/20的下午5時至1/21的上午8時暫停申辦，急需出國下載數位證明的民眾，需提前下載。</p> <p>民眾可使用電腦或手機至數位新冠病毒健康證明簽發平臺（<a href="https://dvc.mohw.gov.tw">https://dvc.mohw.gov.tw</a>）申請，先進行身分驗證，可選擇三種身分驗證方式，第一種是以身分證字號+健保卡號+戶口名簿戶號完成驗證，第二種是以FIDO完成驗證，第三則是使用自然人憑證。外籍人士也有三種身分驗證方式可選用，第一種是使用統一證號+健保卡號進行驗證，第二是以統一證號+入出境證號，第三種是統一證號+護照號碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-1-1.jpg" style="width: 600px; height: 425px;" /></p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-2-1.jpg" style="width: 600px; height: 425px;" /></p> <p>完成身分驗證後，可選擇下載「疫苗接種數位證明」、「檢驗結果數位證明」。不論哪種證明，下載的檔案格式為PDF，可儲存在電腦或手機、平板電腦，或是另行列印為紙本證明，或是前往超商列印紙本證明。</p> <p>另外，指揮中心也宣布已準備API，讓其他具有實名制的App介接，在民眾的同意之下取得數位證明，以第三方App作為數位證明的載具，第三方App開發者或管理者需向指揮中心申請，並遵守個資法或GDPR規範、身分驗證不得低於數位證明的申辦平臺，App後臺不能保留數位證明。</p> <p>基於查驗數位證明需要，指揮中心同步開放商家或場所管理者使用數位新冠病毒健康證明的查驗程式，採網頁形式（<a href="https://dvc.mohw.gov.tw/verifier-web">https://dvc.mohw.gov.tw/verifier-web</a>），免安裝，強調使用該網頁查驗不會保留民眾個資，且符合歐盟GDPR規定。需注意的是，使用查驗程式網頁，需同意隱私權聲明、授權相機使用權限才能使用。</p> <p>商家或場所管理者使用查驗程式掃描民眾數位新冠病毒健康證明的QR Code，顯示查驗的結果共有綠、黃、紅三種顏色，綠色代表通過、紅色或打叉代表不通過，黃色或三角驚嘆號則表示待確認，包括施打疫苗不完整、效期不符或使用未符臺灣認可的疫苗或檢驗。指揮中心表示，查驗數位證明僅查驗健康狀態，至於是否本人持有該數位證明，如要嚴格查驗該證明是否為本人所有，建議可搭配其他身分證件。</p> <p><strong>綠色代表通過，包括施打疫苗證明、檢疫證明或康復證明：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-4-1.jpg" style="width: 600px; height: 425px;" /></p> <p><strong>查驗結果為紅色代表不通過，黃色則代表待確定：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-5-1.jpg" style="width: 600px; height: 425px;" /></p> <p><strong>指揮中心強調多元的證明方式，除了數位疫苗證明，民眾也能使用紙本的疫苗接種卡小黃卡，或是數位的健康存摺：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-6-1.jpg" style="width: 600px; height: 425px;" /></p> <p><span style="color:#B22222;"><strong>八大場所需查證數位證明：</strong></span></p> <p>中央流行疫情指揮中心指揮官陳時中表示，查驗並不只有數位新冠病毒健康證明，民眾也可使用小黃卡、健保快易通App等其他方式作為證明。目前要求查驗的場所，除了醫院、長照機構之外，八大行業等部分娛樂場所的服務人員、進出民眾也應出示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0120-%E4%BC%91%E9%96%92%E5%A0%B4%E6%89%80%E5%87%BA%E7%A4%BA%E6%8E%A5%E7%A8%AE%E8%AD%89%E6%98%8E-1.jpg" style="width: 600px; height: 425px;" /></p> <p>至於新北市長候友宜對外表示，為維護學校安全，可查驗進出民眾疫苗施打或病毒檢測證明，對此，陳時中並不反對，尊重各地方政府決定，但為避免造成民眾不便，他認為不宜大規模查驗，不贊成多家業者間的聯合查驗行為，但個別業者可以自行決定是否查驗。</p> <p>除了中央政府要求醫院、長照、八大行業應查驗之外，縣市地方政府可能另行規定需要查驗的行業或特定場所，業者為加強防疫安全，也可能自主要求查驗。</p> </div></div></div>
2022/1/20 16:07作者蘇文彬https://www.ithome.com.tw/news/148988
新加坡加密貨幣平臺Crypto.com遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡的加密貨幣交易平臺Crypto.com於17日傳出遭到駭客入侵，區塊鏈安全專家估計駭客自Crypto.com盜轉了價值3,300萬美元的以太幣與比特幣，而Crypto.com除了已證實此事之外，並說用戶並未遺失所擁有的資產。</p> <p>這起駭客事件一開始是由<a href="https://twitter.com/peckshield/status/1483246262371557378?s=21" target="_blank">區塊鏈安全業者PeckShield所揭露</a>，該公司發現駭客盜走了價值約1,500萬美元的4,600個以太幣，並透過TornadoCash混幣工具來洗錢。同一天專門分析比特幣生態體系的<a href="https://twitter.com/ErgoBTC/status/1483540849434763264" target="_blank">OXT Research則說</a>，除了4,600個以太幣之外，駭客還自Crypto.com盜走了444個比特幣，估計Crypto.com總計損失了近3,300萬美元。</p> <p>在意外被揭露後，<a href="https://twitter.com/cryptocom/status/1483050866894868484" target="_blank">Crypto.com也於Twitter上作出了說明</a>，坦承有少數用戶發現其帳戶有未經授權的活動，因而緊急停止提款功能，同時要求所有的使用者重設雙因素認證，但強調用戶的資產並未受到危害。</p> <p><a href="https://twitter.com/BloombergLive/status/1483841347824099330" target="_blank">Crypto.com執行長Kris Marszalek在接受《Bloomberg TV》專訪時透露</a>，駭客擅自自用戶的帳戶中提款，約有400名用戶受到影響，但Crypto.com已全面補償了這些帳戶，因此用戶的資產並未受到影響。不過，Marszalek並未公布遭到駭客盜走的資產數量，至於意外的發生原因仍在調查中。</p> <p>目前Crypto.com服務已恢復正常，為了避免類似的事件再度發生，<a href="https://twitter.com/Kris_HK/status/1483383030387408897" target="_blank">該平臺祭出了新規定</a>，要求新的錢包在完成白名單註冊後，必須在24小時之後才能進行首次提款。</p> </div></div></div>
2022/1/20 14:26作者陳曉莉https://www.ithome.com.tw/news/148985
Opera也跳入Web3行列，發表加密貨幣瀏覽器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年便推出內建加密貨幣錢包Android瀏覽器的Opera，<a href="https://press.opera.com/2022/01/19/opera-web3-crypto-browser-project/?utm_source=ixbtcom" target="_blank">在本周發表了新的加密貨幣瀏覽器專案（Crypto Browser Project）</a>，推出支援Windows、macOS及Android的加密貨幣瀏覽器測試版，並強調將以Web3為該專案的核心。</p> <p>Web3指的是基於區塊鏈的去中心化網路，被視為新一代的網路架構，支持者認為它將賦予使用者更完整的權力，逃離大型企業的集中管控，然而，<a href="https://www.ithome.com.tw/news/148804" target="_blank">反對者則認為</a>，它終究無法脫離中心化，還可能惡化隱私問題。根據PWC的估計，Web3與元宇宙（Metaverse）的擴張將讓2030年的全球經濟產值增加15兆美元。</p> <p>Opera無疑是Web3的支持者，該公司認為Web3的時代需要一個專用的瀏覽器，新發表的加密貨幣瀏覽器已內建熱門的Web3與加密貨幣網站，它於瀏覽器的側邊欄整合了Twitter、Telegram、WhatsApp，以及Opera的Crypto Wallet電子錢包功能，也能自瀏覽器的快速撥號（speed dial）功能存取Crypto Twitter、Discord、Reddit或DappRadar等服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-Opera%20Crypto%20Browser%20Project-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Opera</span></p> <p>此外，Crypto Browser所配備的Crypto Corner將集結各種Web3資訊，從加密貨幣新聞、加密貨幣價格、空投活動、加密貨幣活動或相關的播客等。</p> <p>負責行動業務的Opera副總裁Jorgen Arnesen表示，市場對Web3的興趣有增無減，卻缺乏一個可體驗去中心化網路的瀏覽器，Crypto Browser將提供一個更簡單、快速及隱私的Web3體驗，以充分發揮去中心化網路的潛力。</p> <p>除了已釋出支援Windows、macOS及Android平臺的Crypto Browser之外，iOS版亦可望於近期出爐。</p> </div></div></div>
2022/1/20 14:56作者陳曉莉https://www.ithome.com.tw/news/148986
K8s維運、直播、CLOVA AI中文化到NFT新平臺，Line臺灣工程團隊要將四大類產品和技術在地化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line臺灣2022年開發者大會昨天展開，Line臺灣回顧了去年多項在地工程團隊的開發成果，從開發流程、技術到產品服務，都有不同程度的變革。比如資安方面取得了ISO 27001及ISO 27701雙項驗證，也強化了三類應用於不同場景的直播服務，加入在地化獨有的直播功能；內部開發工具與文化形塑也有新轉變，甚至自行開發了臺灣可觀測性平臺來維運服務。而在未來一年的技術發展方面，Line臺灣一方面要爭取HyperCLOVA平臺支援中文，更將著力於NFT市場布局，今年Q1要上線全球NFT市集Dosi，未來更要內化技術能量，打造臺灣本地的NFT應用。</p> <h3 dir="ltr"><span style="color:#FF8C00;">花費一年時間，取得本地資安與個資治理雙向認證</span></h3> <p dir="ltr">在資安與隱私保護上，Line臺灣執行長陳立人首先指出，Line臺灣從2020年底就開始導入國際級資安標準，從開發、維運、組織、制度等面向著手，建立資安暨隱私管理委員會，也訂定緊急應變措施，確保資安事件發生時，資安與個資管理作業符合法遵要求，同時透過教育訓練提升員工的風險意識，強化內稽內控。經過一年的導入後，Line臺灣已經在去年底，取得了ISO 27001資訊安全管理系統標準及ISO 27701隱私資訊管理系統雙項驗證。</p> <h3 dir="ltr"><span style="color:#FF8C00;">強化三大直播服務，購物直播服務更新增臺灣獨有的+1功能</span></h3> <p dir="ltr">在產品功能的更新上，Line臺灣著重在影音服務的優化。因為Line臺灣發現，在疫情影響之下，用戶對影音相關應用的需求提升，包括訊息通話、群組視訊、影音訊息、直播、短影音等，視訊通話更大幅成長261%，「不只疫情影響，用戶的使用習慣正在改變。」陳鴻嘉點出，當今用戶更青睞影音內容，而非文字內容的瀏覽。</p> <p dir="ltr">「身為臺灣的工程團隊，我們把這一年觀察到的使用趨勢，實作為負責的服務。」陳鴻嘉指出，Line臺灣的工程團隊從去年開始，對直播內容播放服務進行優化。比如針對大型活動直播播放器，將解析度從720P提升到10080P，並配合高流量的架構設計，讓Line Today在轉播2021年金曲、金鐘、金馬獎時，能夠穩定提供200萬用戶同時在線收看。</p> <p dir="ltr">而針對上千到上萬用戶的Line shopping直播，雖然觀看人數較少、但地理區域更為分散，「與百萬等級Line Today直播相比，系統架構的挑戰很不一樣。」陳鴻嘉指出，除了優化系統架構，Line臺灣也因應臺灣用戶的習慣，設計了「+1」的在地化使用體驗。他更進一步分享，在打造這項功能的過程中，由於服務架構於總部的直播系統，因此在擴充直播功能之前，還得先說服總部同意開發，「我們試著用臺灣夜市叫賣的參與感、熱鬧感，來說明+1為什麼是重要的用戶體驗。」取得總部同意後，Line臺灣花費4個月將這項功能開發完成，去年Q2正式上線，已經在半年內運用於超過1,000場的購物直播中。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%964%E3%80%91LINE%E5%8F%B0%E7%81%A3%E5%B7%A5%E7%A8%8B%E5%9C%98%E9%9A%8A%E4%BE%9D%E7%85%A7%E5%9C%A8%E5%9C%B0%E6%B6%88%E8%B2%BB%E8%80%85%E4%BD%BF%E7%94%A8%E9%AB%94%E9%A9%97%EF%BC%8C%E6%93%B4%E5%85%85%E5%85%A8%E6%96%B0%E3%80%8C%2B1%E3%80%8D%E5%8A%9F%E8%83%BD%EF%BC%8C%E4%B8%8A%E7%B7%9A%E4%B8%8D%E5%88%B0%E5%8D%8A%E5%B9%B4%E5%8D%B3%E8%88%89%E8%A1%8C%E8%B6%85%E9%81%8E1%2C000%E5%A0%B4%E6%AC%A1%E7%9A%84%E8%B3%BC%E7%89%A9%E7%9B%B4%E6%92%AD%EF%BC%8C%E5%B9%B3%E5%9D%87%E8%A7%80%E7%9C%8B%E7%8E%87%E8%88%87%E4%BA%92%E5%8B%95%E7%8E%87%E7%9A%86%E6%9C%89%E9%A1%AF%E8%91%97%E6%8F%90%E5%8D%87.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Line shopping直播加入+1功能後，去年已經累積直播超過1,000場，用戶平均參與互動的比例更高達55%。</p> </blockquote> <p dir="ltr">不只是購物，線下展演活動也轉往線上發展。Line臺灣在2020年底預測到這個趨勢，並於去年上半年開發了Line Music Live Concert系統，並在下半年正式上線。讓展演單位可以在線下表演時，同步進行線上收費直播。而這個系統的用戶定位為數百至數千人、分散地理區域觀看，團隊也以此進行架構設計，並強化直播主與觀眾的即時互動功能設計。</p> <p dir="ltr">另外，Line總部也在2021年11月推出Line Voom貼文串，將原本文字為主的內容創作平臺，改以影音貼文為首頁。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Line臺灣工程團隊從三面向著手優化開發流程</span></h3> <p dir="ltr">隨著用戶行為更傾向於影音及客製化內容，Line臺灣工程團隊的專案開發工作變得更多，陳鴻嘉指出，工程團隊也得持續改進工作方法，來提升工作效率、穩定服務品質。因此，Line臺灣配合總部的技術管理策略，強化資料管理、開發流程管理與文化養成三大面向。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%965%E3%80%91%E7%82%BA%E5%BC%B7%E5%8C%96%E9%96%8B%E7%99%BC%E6%95%88%E7%8E%87%EF%BC%8C%E5%9C%98%E9%9A%8A%E6%AD%B8%E7%B4%8D%E5%87%BA%E4%B8%80%E5%A5%97%E6%9C%89%E6%95%88%E7%9A%84%E5%B7%A5%E4%BD%9C%E6%96%B9%E6%B3%95%E2%80%94%E3%80%8C%E8%B3%87%E6%96%99%E7%AE%A1%E7%90%86%E3%80%8D%E3%80%81%E3%80%8C%E9%96%8B%E7%99%BC%E6%B5%81%E7%A8%8B%E7%AE%A1%E7%90%86%E5%88%B6%E5%BA%A6%E3%80%8D%E5%8F%8A%E3%80%8C%E6%96%87%E5%8C%96%E9%A4%8A%E6%88%90%E3%80%8D.png" style="width: 700px;" /></p> <p dir="ltr">在資料管理面向，由於過去無論是開發人員、分析人員在使用資料前，都需要先進行申請審查，審查過程不僅以個人申請為單位，流程中也需要法務、資安部門共同參與，最後還得全部彙整到CDO辦公室，這些大量審查工作更導致了工作效率的瓶頸。因此，Line臺灣優化了管理系統，改成以專案為單位的權限管理機制，讓審查工作分派到各層級單位，來提升工作效率。另外，各地分公司也必須取得ISO資安認證，並增加資料教育訓練的頻率與次數，讓員工養成資料隱私與資安的觀念。</p> <p dir="ltr">而資料作為應用開發的重要基礎，Line除了運用個別Line服務產生的業務資料，也購買可供各個團隊共用的訓練資料，來擴大資料量；總部更設計了共用資料平臺IU（Information Universe）以及AI訓練共用平臺MLU（ML Universe）等基礎建設，前者要促進資料管理與共用，後者則是提供AI開發生命週期中共用的資源，包括開發工具與技術，甚至從模型訓練到部署上線，都能在平臺中完成。</p> <p dir="ltr">而在開發流程管理的面向，Line臺灣設置專職團隊，以總部策略為基礎，進行在地化調整優化，並透過共用工具加速開發人員的學習。</p> <p dir="ltr">比如說，為了增加開發與維運過程中，對系統問題的解決效率，Line臺灣參考OpenTelemetry組織的規範，由臺灣SRE團隊根據軟體系統可觀測性的三大面向，分別是Metric（指標）、Log（日誌）與Trace（鏈路追蹤），在半年內打造了符合這三大面向的臺灣可觀測性平臺TOP（Taiwan Observability Platform），來提高專案開發團隊的問題解決效率，進而升開發速度。</p> <p dir="ltr">陳鴻嘉指出，TOP與總部的同類平臺相比，雖然使用了大部分相同的開源軟體工具，但TOP最重要的功能，是能提供共通的實例與樣板。尤其，系統執行時會產生龐大資料量，個別團隊要自行開發一個觀測系統會耗時太久，交由SRE團隊統一建置與管理，就能減少重工的情形，讓所有團隊可以利用通用指標，快速了解開發狀況，共享問題解決的經驗；CTO也能快速了解專案維運的全面狀況，來進行資源調度管理。TOP平臺在2021年下半年正式採用後，Line臺灣已經推廣到多數進行中的專案、維運中的專案，更讓整體的系統事件減少了30%。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-19%20%E4%B8%8B%E5%8D%885_22_01.png" style="width: 700px;" /></p> <p dir="ltr">而在文化養成的面向，Line臺灣則透過技術傳教士為團隊規劃教育訓練、技術分享活動，作為文化養成的一環，讓開發者更習慣與外界交流、分享技術知識。</p> <h3 dir="ltr"><span style="color:#FF8C00;">推出大型語言通用模型HyperCLOVA，加快AI開發效率</span></h3> <p dir="ltr">由於雲端技術成熟，在AI技術的發展上，興起打造大型語言通用模型的趨勢，比如OpenAI的GPT-3、Google的T5等，陳鴻嘉指出，Line總部也跟上這股趨勢，打造屬於自己的大型語言通用模型HyperCLOVA，並於去年11月正式發布。相較過往為了不同的終端任務，需個別準備大量的資料，才能訓練出可執行單一任務的AI模型，HyperCLOVA目標則是要整合所有可用資源，包括訓練資料、軟硬體，來打造大型通用語言模型，透過大量參數和數據累積，加上AI專家不斷更新模型，讓開發者得以運用少量資料來訓練模型，滿足不同場景的任務需求。</p> <p dir="ltr">陳鴻嘉說明，Line集團不斷合法取得可公開的資料，置於HyperCLOVA之上，讓開發者能運用這些資料與軟硬體資源，加快模型訓練的效率。HyperCLOVA已經可以訓練包含文章摘要、段落翻譯、產出仿真人對話、產品行銷文案、將語音與文字相互轉換等模型。</p> <p dir="ltr">Line打造了擁有700 petaFLOPS計算能力的GPU叢集，提供強大計算資源，除了先提供內部開發者使用，不久之後也將對外提供服務。目前，這個通用語言模型已完成對日文的支援，擁有390億個參數；目前也正在進行多語系架構調整，以支援韓文，這個支援日、韓多語系的模型也已經擴充到820億個參數；明年更預計將針對日語，將多語系模型擴充到2040億個參數。雖然在中文的支援上，尚未有明確的計畫與支援時間，但陳鴻嘉指出，Line臺灣已經實作了大型通用語言模型的中文版本，目前正在將試驗成果與總部積極交流。</p> <p dir="ltr">除了總部發展HyperCLOVA平臺，Line臺灣也積極將CLOVA AI產品中文化並落地臺灣，今年將正式推出CLOVA Note、CLOVA OCR以及CLOVA Chatbot等AI服務。</p> <p>比如Chatbot服務中，Line臺灣提供了一個Chatbot bulider平臺，讓使用者只須準備好由機器人回答的問題與答案，就可以藉由圖形化介面訓練出聊天機器人模型，並應用到官方帳號上，不須具備程式開發技能也能使用。CLOVA Chatbot也提供三種部署方式，包含雲端SaaS版本與地端（On-Premise）版本，並針對臺灣市場客製化推出混合雲架構（Hybrid）版本，目標要在保有隱私資料安全性的同時，也降低運算資源的成本。</p> <p>另一項Line臺灣今年將推出的AI新服務，則是CLOVA Note，用來轉錄說話資訊，使用了兩項主要的語音技術，一為語音辨識（Speech Recognition）來辨識完整語句，二為說話者辨別（Speaker Diarization）來分辨不同的發言者。這項服務除了可作為個人助理，也能作為Web service串接到視訊會議來做記錄。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%965%E3%80%91CLOVA%20Note%E4%BB%A5%E8%A8%98%E9%8C%84%E8%B3%87%E8%A8%8A%E7%82%BA%E6%A0%B8%E5%BF%83%EF%BC%8C%E5%85%B7%E5%82%99%E5%85%A9%E9%A0%85%E4%B8%BB%E8%A6%81%E7%9A%84%E8%AA%9E%E9%9F%B3%E6%8A%80%E8%A1%93%EF%BC%8C%E5%88%86%E5%88%A5%E7%82%BA%E8%AA%9E%E9%9F%B3%E8%BE%A8%E8%AD%98%E6%8A%80%E8%A1%93%EF%BC%88Speech%20Recognition%EF%BC%89%E5%92%8C%E8%AA%AA%E8%A9%B1%E8%80%85%E8%BE%A8%E5%88%A5%E6%8A%80%E8%A1%93%EF%BC%88Speaker%20Diarization%EF%BC%89.png" style="width: 700px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">躋身NFT市場，今年Q1計畫推出全球NFT市集Dosi</span></h3> <p dir="ltr">另一個作爲明年主力發展的新技術，則是NFT，尤其在NFT與Metaverse幾乎已經成為下一代網路應用代名詞的趨勢下，Line於去年6月也躋身NFT市場，在日本發表NFT Market，讓日本市場的用戶，可以在Line旗下的加密貨幣交易所BITMAX，使用平臺幣LINK購買NFT。</p> <p dir="ltr">不只如此，陳鴻嘉更揭露，Line旗下區塊鏈暨NFT子公司Line Next打造的全球NFT市集Dosi，將於今年第一季正式上線，目前已開始接受企業和客戶的預約註冊。Dosi的命名語源來自韓文的「都市」，象徵全世界創作者、企業和粉絲們皆能自行打造虛擬經濟圈，未來在Dosi平臺上，用戶可以構建自己的品牌商店和全球社群，也能銷售自己品牌的NFT，把業務延伸到虛擬世界。而且，透過NFT專用錢包，用戶更能使用信用卡、數位支付或以太幣、比特幣、LINK等多種加密貨幣，來進行交易以及參加社群活動。</p> <p dir="ltr">Dosi將支援8種語言、於全球180個國家推出。預計推出的服務將包含Dosi Store、Dosi Wallet和Dosi Support。Dosi Store提供企業品牌利用模板或API快速打造自己的NFT品牌市場、自由鑄造NFT；Dosi Wallet則與社群平臺結合，用戶可利用該支付功能參與元宇宙的各項活動，首季將優先支援信用卡支付；Dosi Support則由Line的技術與行銷團隊支援，提供企業主技術及產品面的服務，來優化企業NFT商店的規劃與營運。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%968%E3%80%91LINE%20Global%20NFT%20Market%E2%80%94DOSI%E9%A6%96%E6%B3%A2%E4%B8%8A%E7%B7%9A%E7%9A%84%E6%9C%8D%E5%8B%99%E5%B0%87%E5%8C%85%E5%90%AB%EF%BC%9ADOSI%20Store%E3%80%81DOSI%20Wallet%E5%92%8CDOSI%20Support.png" style="width: 700px;" /></p> <p dir="ltr">如同過去打造智慧生活入口，提供滿足用戶多樣生活需求的服務，Line計畫以Line服務現有的生態系為基礎，打造出NFT應用市集與新一代的元宇宙生態系，在新一代生態系之中，讓交易透過LINK快速完成，用戶也可以直接在自己的Dosi Wallet中，看到購買的所有NFT與數位貨幣。</p> <p dir="ltr">「與Line結合之後，NFT曝光更容易，」陳鴻嘉點出，透過用戶私密社群、公開社群、發表空間、Line Voom等管道，企業更容易提高發行NFT的知名度，交易的機會也會隨之提高，使NFT的價值變得更強大。</p> <p dir="ltr">陳鴻嘉更特別指出，臺灣工程部也主動與總部聯繫，加入Dosi平臺子系統的開發，「雖然我們是協助平臺開發，但目的要在合作過程中，累積對平臺技術、應用的熟悉度，再回來打造臺灣在地化的NFT應用。」而且，由於國內用戶對NFT得認識有限，Line臺灣一方面配合全球進行NFT市集推廣，一方面也要透過在地小型活動與展示，讓用戶更容易了解與使用NFT，來因應這個正在急速發展的新興市場。 </p> <p dir="ltr">最後，在區塊鏈的發展上，陳鴻嘉則揭露，明年將著力於Line區塊鏈如何與公鏈橋接，達到互操作性，並試圖透過新的共識演算法來增加運算效率，減少交易對計算資源的需求，讓區塊鏈平臺應用的成本再降低。 </p> </div></div></div>
2022/1/20 12:15作者翁芊儒https://www.ithome.com.tw/news/148977
蘋果與Google同聲反對新反壟斷提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議員去年提出了兩項攸關反壟斷規定的提案，包括《美國創新及選擇網路法案》（<a href="https://www.congress.gov/bill/117th-congress/senate-bill/2992?s=1&r=65" target="_blank">American Innovation and Choice Online Act</a>）與《開放App市場法案》（<a href="https://www.congress.gov/bill/117th-congress/senate-bill/2710?s=1&r=83" target="_blank">Open App Markets Act</a>），就在美國參議院司法委員會即將於本周四（1/20）審核《美國創新及選擇網路法案》的前夕，Google及蘋果同聲反對此一法案，反之，有超過40家小型企業連署支持該法案。</p> <p>《美國創新及選擇網路法案》將會限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。該法案明文規定平臺不得限制第三方與該平臺的互動，也不得要求第三方購買該平臺的服務來換取優惠，不得濫用第三方的資料以與之競爭，亦不得於搜尋結果中偏好自家的產品。</p> <p>《開放App市場法案》的宗旨與《美國創新及選擇網路法案》相近，但主要著重在由科技大廠主導的行動程式市集，將禁止這些市集要求開發者使用由市集提供的程式內支付機制，也不得要求開發者於市集上提供更優惠的價格，以及不得針對於其它支付系統提供價格優惠的開發者祭出懲罰。</p> <p>負責政府事務的蘋果總監Timothy Powderly在18日就發了一封信件予司法委員會，根據《<a href="https://www.macrumors.com/2022/01/18/apple-sideloading-bills-consumers-malware/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">MacRumors</a>》的報導，Powderly認為上述法令等於是變相鼓勵那些對於使用者資料不負責任，且針對消費者展開詐騙，或是部署惡意程式與勒索軟體的不良行為者。</p> <p>Powderly聲稱這兩項法令將會帶來隱私與安全的風險，進而對消費者造成危害。</p> <p>Google法務長Kent Walker也在同一天<a href="https://blog.google/outreach-initiatives/public-policy/the-harmful-consequences-of-congresss-anti-tech-bills/" target="_blank">發表了公開聲明</a>，同樣反對這兩項法案的Google卻有不同角度的看法，Walker說，這些法案針對美國企業制定了規則，卻未能規範外國企業，它們將賦予美國聯邦交易委員會（FTC）及其它美國政府機構前所未有的消費者產品設計控制權，因而危及美國身為全球技術領先者的地位，還可能威脅美國的國家安全。</p> <p>Walker指出，這兩項法案也許會讓美國消費者使用更糟的Google搜尋或地圖服務，其中的創新許可更要求企業在發表新功能之後必須取得政府同意，阻礙美國的技術領導者將會威脅其研發支出，恐會影響美國的國家安全。</p> <p>Walker還批評這兩項法案根本是失焦了，相關法案所提及的服務都已調降了價格，卻對通貨膨脹造成的影響隻字未提，Google認為必須更新的技術規範應該圍繞在隱私、人工智慧及對兒童與家庭的保護上，而非破壞業者的產品或削弱美國企業的技術領先地位。</p> <p>不過，有超過40家美國業者連署支援《<a href="https://wesupportsb2992.medium.com/re-s-2992-the-american-innovation-and-choice-online-act-f49cc61abd87" target="_blank">美國創新及選擇網路法案</a>》，包括打造可整合十多款傳訊程式的Beeper，隱私搜尋引擎DuckDuckGo，提供加密郵件與VPN服務的Proton Technologies，提供餐廳評價服務的Yelp，以及Tor專案等。</p> <p>這些業者抱怨市場的主導者經常偏好自家的產品與服務而妨礙了市場競爭，例如採用操縱性的設計以讓使用者遠離競爭服務，或是限制競爭者與平臺的互動，使用未公開的資料來嘉惠自己的產品及服務，令使用者難以變更其預設服務或移除程式。它們批評上述手法危害了競爭，亦損及消費者獲得創新服務的機會，因而呼籲司法委員會應通過《美國創新及選擇網路法案》以恢復美國數位市場的競爭狀態。</p> </div></div></div>
2022/1/20 11:35作者陳曉莉https://www.ithome.com.tw/news/148981
紅十字會遭大規模網路攻擊，51萬弱勢民眾資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際紅十字會（International Committee of Red Cross，ICRC）昨（19）日表示<a href="https://www.icrc.org/en/document/sophisticated-cyber-attack-targets-red-cross-red-crescent-data-500000-people" target="_blank">本周遭大規模網路攻擊</a>，致使51.5萬災民、政治難民及流離失所的孩童的資料外洩，也影響人道救援工作。</p> <p>紅十字國際委員會本周偵測到一樁高明的大規模攻擊。駭客攻擊紅十字會委外儲存資料的一家瑞士資料中心業者，導致至少全球60個紅十字及紅新月會（Red Crescent）國際聯合會在人道救援中救助的民眾隱私資料外洩，總數超過51.5萬。這些人民包括因政治動盪、戰爭、貧困、天災而流離失所、和家人分散的政治、經濟難民與兒童，以及因偷渡被拘留的民眾。</p> <p>受到這起攻擊影響，國際紅十字委員會被迫關關「家庭重聚連線」（Restoring Family Links）行動的底層系統，這也將影響紅十字及紅新月會協助失散家庭的工作，他們正在尋求替代方案。紅十字會也擔心外洩事件使這些弱勢民眾資料曝光，使其處境更加危急。</p> <p>紅十字會已經和其他人道救援組織夥伴合作調查攻擊，目前還無法得知發動攻擊者的身份，也還未掌握外洩資料是否已經被外傳或公開。</p> <p>國際紅十字委員會主席Robert Mardin也呼籲駭客不要分享、販售、外洩或利用這些資料。</p> <p>2016 年澳洲紅十字會血液服務（Australian Red Cross Blood Service）的線上查詢備份資料庫<a href="https://www.ithome.com.tw/news/109318" target="_blank">傳遭駭客入侵</a>，致55萬名捐血人士個資外洩。</p> </div></div></div>
2022/1/20 11:04作者林妍溱https://www.ithome.com.tw/news/148979
McAfee企業部門、FireEye合併為XDR業者Trellix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220118006116/en/" target="_blank">由McAfee企業安全及FireEye合併的新公司本周宣布以Trellix掛牌</a>，將提供企業擴充偵測與回應（Extended Detection and Response，XDR）方案。</p> <p>私募基金業者Symphony Technology Group（STG）去年3月及6月，先後以40億及12億美元，買下McAfee企業安全部門、以及FireEye網路、郵件、端點、雲端產品及安全管理和協作平臺。<a href="https://www.ithome.com.tw/news/147203" target="_blank">兩家業務去年10月已經整合於一</a>。</p> <p><a href="https://www.trellix.com/en-us/index.html" target="_blank">合併後的安全公司本周宣布以Trellix掛牌</a>，整合雙方產品技術、客戶、合作夥伴與通路，擁有4萬家客戶、5000名員工，以及近20億美元的營收。</p> <p>STG表示，Trellix的名稱取自trellis（網格棚架），意為支持植物生長的強大與安全框架。Trellix將如其品牌名承諾的，提供「活的安全」，即能不斷學習及適應的安全技術，以保護企業營運防禦進階網路威脅。</p> <p>Trellix將整合McAfee Enterprise和FireEye技術，成為XDR（Extended Detection and Response，擴充偵測與回應）方案供應商。執行長Bryan Palma指出，Trellix XDR平臺將利用自動化、機器學習、擴充式架構及威脅情報，將安全整合到企業日常營運作業中。新的整合平臺提供橫跨端點、基礎架構、應用程式及雲端的防護。</p> <p>STG預計本季會再成立一家新公司，名為McAfee Enterprise Secure Service Edge，它定位為SASE（Secure Access Service Edge，安全存取服務邊緣），包含Cloud Access Security Broker（CASB）、Secure Web Gateway （SWG）和Zero Trust Network Access（ZTNA）等服務。</p> </div></div></div>
2022/1/20 11:15作者林妍溱https://www.ithome.com.tw/news/148980
免費企業版G-Suite 7月將調整為收費版Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/a/answer/2855120" target="_blank">Google昨（19）日宣布</a>，企業使用的免費版G-Suite，從今年7月1日將開始收費。5月1日Google會自動幫你升級為Workspace。</p> <p>免費版G-Suite最早名為Google Apps，是2006年針對企業、政府、教育及個人提供的生產力應用。Google於2012年12月終止新客戶申請。2016年這項服務改名為G-Suite，而<a href="https://www.ithome.com.tw/news/140395" target="_blank">在2020年再一次改名為Workspace</a>，包含雲端生產力應用及協同服務（Google Docs、Sheets、Gmail、Google Drive及Google Meet等），並分成基本及進階版本。第一代免費版Google Apps/G-Suite服務則一直持續，直到本周的宣布。</p> <p>自2022年7月1日起，不再提供免費舊版Google Apps/G-Suite服務。這些服務用戶必須升級到付費版Google Workspace才能繼續使用，他們可以依訂閱人數需求選擇Google Workspace Business Starter、Business Standard及Enterprise Standard三種等級服務，用戶在300人以上就必須選擇Enterprise版本。</p> <p><a href="https://support.google.com/a/answer/60217?hl=en" target="_blank">根據英文版說明</a>，5月1日升級到Google Workspace服務，有2個月免費使用時期。遲遲未動作者，其服務會自動在5月1日起升級到Google Workspace。Google表示會依據現有使用的功能升級到新服務。</p> <p>Google 同時也要求現有用戶在7月1日前，設定Google Workspace支付細項。不願提供者，Google Workspace服務會被暫停，直到用戶設定收費帳戶。而在暫停60天後，核心服務包括Gmail、Calendar、Meet等就無法再使用，屆時必須要再重新申請回復帳號。</p> <p>決定不再使用Google Apps/G Suite/Google Workspace的企業用戶，可以<a href="https://support.google.com/a/answer/100458" target="_blank">按Google指示</a>將資料匯出。</p> <p>至於教育機構或非營利機構用戶，目前已經免費使用Google Workspace for Education Fundamentals、Google Workspace for Nonprofits兩種版本者，則尚不會受到影響。</p> <p>Google已漸漸將免費版服務轉為營收來源。去年6月1日起，<a href="https://www.ithome.com.tw/news/144274" target="_blank">Google 整合</a>Photos、Gmail、Google Drive服務於上限15GB的免費額度中，上傳的檔案超過15GB者，用戶就得購買Google One（原名Google Drive）服務。</p> <p>同月，Google再將原本針對企業的生產力及協同平臺服務Workspace，<a href="https://www.ithome.com.tw/news/145035" target="_blank">開放給所有具備Google帳號的用戶</a>，針對個體戶主打小型企業的訂閱服務Workspace Individual。</p> </div></div></div>
2022/1/20 10:07作者林妍溱https://www.ithome.com.tw/news/148976
Google針對零售商推出能精確預測需求的工具Vertex AI Forecast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google大腦所開發的最新技術<a href="https://cloud.google.com/blog/topics/retail/retail-forecasting-ai-real-time-insights-vertex-ai-forecast">Vertex AI Forecast</a>，可讓零售商將機器學習融入到現有的需求預測系統中，精確地預測商品的供需。</p> <p>Vertex AI Forecast能夠從BigQuery或是CSV檔案中，擷取高達1億行的資料集，以涵蓋數千條產品線和多年的歷史資料，並使用強大的建模引擎，自動處理資料，評估數百種不同的模型架構，最後將最好結果打包成易於管理的模型，即便沒有資料科學專業知識的用戶，也能夠簡單使用。</p> <p>Vertex AI Forecast需求預測可以考量多達1,000種不同的需求驅力，包括顏色、品牌和促銷計畫等，並設定預算來創建預測，而且因應市場條件變化快速，用戶可以在短短2個小時內，不需要手動調整模型，使用Vertex AI Forecast來以最高精確度建構需求預測。</p> <p>Google解釋，模型架構搜尋是Vertex AI Forecast的重點，這個功能可以評估數百種不同的模型架構和配置，其所使用的演算法，允許Vertex AI Forecast針對各種條件和資料集，找到效能最佳的模型配置。</p> <p>借助Vertex AI Forecast的分層預測功能，零售商可以生成高精確度的預測，預測能夠分成多個等級，像是將單個品項、商店等級和地區等級等需求捆綁在一起。當歷史資料稀少時，分層模式還能夠提高整體準確性，當單個品項的需求過於隨機無法預測時，該模型仍然可以在產品類別等級找到模式。</p> <p>Vertex AI可以使用大量結構化和非結構化資料，使規畫人員能夠納入許多相關的需求驅力，像是天氣、產品評論、宏觀經濟指標、競爭對手的行動、商品價格和海運承運成本等。Vertex AI Forecast的可解釋性功能，可以顯示這些驅力對預測所做出的貢獻，來協助決策者儘早針對需求，採取必要的措施。</p> <p>需求驅力不僅可用於整體預測，也可以針對單一商品，像是計畫者可能會發現促銷是工作日服裝類別需求的主要驅力，但在假期則不一定，因此計畫者便能夠利用這些分析結果來制定策略。在使用Kaggle資料的基準測試中，Vertex AI Forecast在世界頂尖的預測競賽M5中，獲得最高達3％的準確率表現。</p> </div></div></div>
2022/1/20 08:51作者李建興https://www.ithome.com.tw/news/148975
BigQuery提供Explainable AI功能，可解釋特徵對機器學習模型的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料倉儲BigQuery正式向用戶提供<a href="https://cloud.google.com/blog/topics/developers-practitioners/bigquery-explainable-ai-now-ga-help-you-interpret-your-machine-learning-models">可解釋人工智慧（Explainable AI，XAI）</a>功能，使得用戶能夠更了解機器學習模型做出決策的方法。官方提到，BigQuery針對不同的模型類型，提供各種XAI方法，全面地支援可以解釋性人工智慧，供用戶使用單一SQL查詢，並能在數秒內獲得數百萬個解釋。</p> <p>不少企業在內部導入機器學習技術，但是要使得人工智慧的決策更為可信，人工智慧必需要具有可解釋性，Google提到，在訓練機器學習模型時，與特徵相關有兩類可解釋性，分別是全域可解釋性，以及區域可解釋性。</p> <p>全域可解釋描述了特徵對模型的整體影響，能夠讓用戶了解特定特徵，是否比其他特徵對模型的預測，存在更大的影響力，當模型具有數百或是數千個特徵，用戶想要知道哪些特徵，是模型的主要貢獻者，則全域可解釋就會特別有用，用戶能夠以此來修剪不太重要的特徵，來提高模型的通用性。</p> <p>而區域可解釋性則描述每個特徵對特定預測做出的貢獻，以房價為例，房屋不同的特徵可能會在房價上做出貢獻，像是具有3間臥室的房屋，在房價可能額外貢獻5萬美元，靠近市中心價值增加10萬美元，建造的年份為2010年，可能房價又會上升3萬美元等。Google表示，區域可解釋性的目的，是要用來了解模型每個特徵，之於預測的切確貢獻。</p> <p>BigQuery Explainable AI透過定義資料列中，每個特徵對預測結果的貢獻，使得用戶能夠深入了解機器學習模型，在分類和迴歸任務所生成的結果，Google提到，這被稱作特徵歸因，這項訊息可用來驗證模型的行為是否符合預期，並辨識模型中的偏差，還能獲得改進模型和訓練資料的方法。</p> <p>BigQuery Explainable AI適用於多種模型，包括獨立同分布資料（IID Data）的監督式學習模型，和時間序列模型，針對每種模型，BigQuery Explainable AI都具有不同的可解釋性方法，而每種可解釋性方法都有各自的運算方式。</p> </div></div></div>
2022/1/20 09:04作者李建興https://www.ithome.com.tw/news/148967
模式是語言缺陷？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近重新整理一些關於模式的看法，我想起了看過有不少人認為，模式暗示、代表或者其實就是語言的缺陷，而他們有些人談到的模式，是狹義的Gof設計模式，總會列舉其中一些模式，稱在某語言中根本不需要這些模式。</p> <p><span style="font-size:28px;"><strong>語言缺陷的說法來源？</strong></span></p> <p>關於語言缺陷的說法來源，不乏許多大師級人物，例如，《松本行弘的程式世界》作者，在書中談過：「有些模式在C++、Java這類靜態定型語言中很有效，但在Smalltalk與Ruby這類動態定型語言，沒有多大意義」，甚至Gof的Ralph Johnson在〈<a href="https://bit.ly/3EAzpkk" target="_blank">Design Patterns 15 Years Later</a>〉也談到：「有些語言不需要某些設計模式，這些語言提供了問題的替代方案」！</p> <p>也有不少人會引用Peter Norvig的演講〈<a href="https://bit.ly/32Hwjhp" target="_blank">Design Patterns in Dynamic Programming</a>〉內容，例如，Brendan Eich在《Coder at work》就曾提過：Peter Norvig說模式顯露了語言的某種缺陷，Brendan Eich後續進一步說到，應該尋求語言的演化，加入適當的元素。</p> <p>有的人則指出，函數式語言不需要設計模式，例如，Weblocks創建者Slava Akhmechet曾在〈<a href="https://bit.ly/32vkRpf" target="_blank">Functional Programming For The Rest of Us</a>〉中，直指「函數式語言不需要設計模式，因為語言夠高階，程式設計使用的概念會消除設計模式」。</p> <p>有些人談到模式時，沒有特別說是Gof設計模式，而是指出現類似設計，甚至是某種規律，例如，Paul Graham曾在〈<a href="https://bit.ly/3FRCdLD" target="_blank">Revenge of the Nerds</a>〉最後談到：「在程式中看到模式，他認為是個麻煩的訊號」、「程式碼中任何規律性都是個訊號，至少對他而言，代表著目前使用的抽象元素不給力」。</p> <p><span style="font-size:28px;"><strong>設計權衡與語言限制</strong></span></p> <p>單就Gof的設計模式來說，由於作者們使用靜態定型、物件導向的C++來呈現範例，後續又很大程度地被同為靜態定型、物件導向的Java發揚光大，經常地就會引來動態定型、不愛物件導向、支持函數式語言的人們進行批判，聲稱自己熱愛的定型方式、典範，不需要這些設計模式，進一步宣稱C++/Java需要這些模式，是因為它們有問題！</p> <p>在我看來，這是太過於重視設計模式的名稱、實現形式，而不是去重視設計模式的思考過程了，而且，有些人的論調會讓人覺得：他們只是純粹討厭靜態定型、物件導向，或許是因為身處的領域中，動態定型、函數式可以更愉快地解決他們的問題，卻不去看待其他領域，有些人使用靜態定型、物件導向，其實能適切地解決需求的這個事實。</p> <p>很多人會引用Peter Norvig的演講，然而，因為我找不到影片或逐字稿，單就演講用的投影片來看，並沒有直接提到設計模式是語言缺陷之類的內容，倒是常提到設計的權衡（trade-off）與語言的限制（limitation），像是第四頁談到什麼是模式時，其中的兩個要點就是「用來討論、評估、記錄設計上的權衡」、「避免實作語言的限制」。</p> <p>他也談到，設計模式有著無形（Invisible）、非正式（Informal）、正式（Formal）等不同的封裝層次，由於動態語言的限制較少，Gof的23個設計模式中，有些模式在動態語言會是無形，例如，具有類別封裝概念，然而沒有正式類別語法，有的模式會被簡化，例如物件間的協定，不見得像Java使用interface來定義，鴨子定型就可以了。</p> <p>那麼，我們能說類別、靜態定型限等制、16個模式代表著C++/Java的缺陷嗎？既然如此，為什麼JavaScript後來要加入類別語法？TypeScript基於JavaScript增加了靜態定型？Python的型態提示會需要Protocol呢？</p> <p>請不要因為長期以來，使用的語言一直難以解決你某些需求，看到另一門語言簡單幾行就能解決掉，就開心地擁抱另一門語言，畢竟該語言可能在面對其他需求時，有更多難以施力之處，想一下，是不是因為長期以來的積怨確實獲得宣洩，導致你忘了、沒時間或不想去檢視那些需求罷了？</p> <p><strong><span style="font-size:28px;">程式碼中的規律性</span></strong></p> <p>有人會說JavaScript是有缺陷啊！因為不支援類別，才會產生許多模擬類別的模式，因而ES6以後才制定了類別語法，這不就是模式代表語言缺陷，新特性補上後就不需要那些（模擬類別）模式了啊！</p> <p>這就引發了一個問題！若單純認為模式是語言缺陷，語言的新版本用新語法就是補上缺陷，那麼，總有一天，會出現一門沒有缺陷的完美語言嗎？</p> <p>絕對不會！因為在不斷因模式出現而彌補缺陷的過程中，這語言會逐漸被不斷新增的特性給壓垮，而越來越多的特性，造成學習曲線越來越高、選擇越來越多、程式碼越來越複雜、越來越看不懂、越來越難以維護……，然後越來越多的人遠離該語言……，直到有一日該語言迎來終焉。</p> <p>無論是設計模式或廣義的模式，代表的是一群人在目前語言的抽象上，建立起來的相似性，代表有著越來越多人，試圖解決類似的問題，Paul Graham說，這類規律性，是目前使用的抽象元素不給力的訊號，然而，若因此為語言加入新特性，語言終究會被特性壓垮，這也是越是悠久的語言，面對新特性越是躊躇不前的原因。</p> <p>而且，你知道〈Revenge of the Nerds〉在談什麼呢？談為何現代主流語言有個趨勢，新特性多少有著Lisp的影子，或者更進一步地，朝著函數式設計、lambda演算，甚至是數學層次抽象靠近的趨勢，某些程度上，是在吹捧Lisp的文章，而且，函數式不也是有些模式的存在嗎？</p> <p>另一方面，往數學層次抽象靠得越近，確實就能解決越多的問題，文中談到Lisp一開始不是以語言為出發點來做設計，而是基於數學的抽象來做設計，因而Lisp有些元素是允許你實現方言，來解決某群人面對的類似問題，然而，這也是程式庫或框架在解決的事，只是有些語言可以讓它們，看來像是語言的一部分罷了。</p> <p>模式是程式碼中規律性的表現，然而，規律性來自於某群人面對類似問題時，是怎麼分解問題、衡量限制、思考對策及實現；如果模式代表語言的缺陷，這就好像在說存在一門語言，用它來撰寫的話，每個人寫出來的設計、風格絕對不會構成相似性，有這種語言的可能性嗎？而且，這另一方面也是在說：不會有程式庫或框架的需求了！</p> <p><strong><span style="font-size:28px;">運算本質上就是模式</span></strong></p> <p>某模式不代表語言的某缺陷，而是代表過去一群人面對某些問題到解決的過程，發現某些共通、抽象的概念，只不過你試著用這些概念解決問題時，實現上困難或簡單罷了，例如，C仍能實現物件導向的概念，只是比較麻煩，C有自身應用的領域，不能因為想實現物件導向麻煩，就說那是它的缺陷！</p> <p>許多人會說是缺陷，可能只是實作上覺得麻煩，或是反對不假思索地套用模式，反對過於重視模式的名稱、實現形式，反對將程式碼寫到像某種模式作為終點，而不是將之視為思考過程的參考之一。</p> <p>不要單純地從模式是語言缺陷來思考，畢竟模式構成的過程中，要考量的事情太多了，有時甚至是因為從使用的工具、團隊合作、管理等角度來考量，才會構成某種模式，而且，別忘了，語言的本質就是運算，而運算的本質就是重複，運算本質上就會構成模式，不會構成模式，又何來運算呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%A8%A1%E5%BC%8F">模式</a></div></div></div>
2022/1/20 07:00作者林信良https://www.ithome.com.tw/voice/148900
Target如何提前阻止大規模事故？從POS失效徵兆學到4大SRE教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年，全球疫情爆起的一年，卻也是美國零售巨頭Target營收大爆發的一年，營收足足比前一年成長了20％，數位通路的銷售更是驚人，一口氣爆增了150%。</p> <p>但在2020年3月13日這一天，如果SRE工程師沒有盡責的察覺到監控儀表板上那個異常訊號，恐怕到了周末復活節大特價活動，不只線上商店，Target全美近2千家賣場，都難以順利進行任何一筆結帳，Target年營收就不可能達到20%如此高的成長幅度。</p> <p>那一天，一位SRE工程師發現，有家Target賣場，結帳櫃檯的POS系統掃碼速度慢了，「嗶」聲出現的時間，比慣常的時間還要久。意識到不對勁的工程師主動清查，一查才發現，不只一家，而是有好幾家分店都出現了POS機掃碼速度變慢的徵兆。</p> <p>「店內系統掃碼服務當機，轉移到總部機房內的備援服務接手，才出現了掃碼速度變慢的徵兆。」Target的SRE總監Kathryn Blanchard直到2021年4月自家技術研討會中，也就是事發一年後，才敢對外公開了這起差點造成Target營運全面中斷的事故。</p> <p><span style="font-size:28px;"><strong>SRE主動追查掃碼服務失效異常，先緩解影響再尋找根本原因</strong></span></p> <p>當時，Kathryn Blanchard所率領的SRE團隊才剛成立3個月，後續追查事故問題後發現，那些部署在店內機房提供掃碼功能的服務當機了，系統自動轉移給總部的備援掃碼服務來接手，支援分店內櫃檯的作業，但遠端連線的網路延遲，讓掃碼速度慢了一些，不過，這些店的顧客沒有察覺異常，而是SRE團隊從監測工具上看到掃碼時間的變化，發現了這個結帳服務失效的徵兆。</p> <p>SRE工程師第一時間先啟動暫時性對策，進行系統復原，回到前一個正常運作的系統版本，讓這些店內結帳服務功能恢復運作，不用靠遠端的備援服務，避免繼續發生結帳延遲的情況。第一時間緩解問題後，SRE團隊再展開調查，要找出造成服務當機的事故根源。</p> <p>美國每年3月到4月初，是百貨零售上半年競爭最激烈的復活節折扣月活動，這是每年兒童用品銷量暴衝的關鍵時刻。2020年3月13日是星期五，隔天就是民眾大搶購的周末熱門時段。</p> <p>尤其，美國疫情在3月17日開始大爆發，50州都出現了確診病例，民眾不敢出門，大舉湧向線上電商搶購。發生掃碼問題的這套商店平臺系統，不只支援實體賣場POS，還支援了Target線上電商平臺的購物車作業，如果沒有找出事故根源徹底解決，一旦在周末搶購潮發生延遲，甚至因爆量採購而塞爆系統服務，恐怕會引起大量顧客抱怨和負評聲浪，甚至可能讓Target錯過復活節搶購潮的商機。</p> <p>花了一段時間，SRE工程師才發現，這起失效事故與前一周有次系統更新的異動有關。原來，3月8日有次系統更新後，導致部署在分店的商店平臺系統出現了記憶體資源占用問題，占用情況累積一段時間後，虛擬機器上可用的記憶體越來越少，就會造成部分吃重的服務先當機。因為這不是POS系統的直接問題，而是來自環境資源排擠而造成的問題，得經過一段時間發酵才會出現當機情況，而且是越早用光記憶體的環境，就會越快會出現問題。</p> <p>3月13日少數分店出現掃碼速度變慢，正因為分店機房內邊緣主機上的記憶體即將耗盡，導致掃碼微服務當機，才轉由遠端備援服務接手的情況。</p> <p><span style="font-size:28px;"><strong>不盡快解決，全美2千店和線上商城都會受影響</strong></span></p> <p>若是沒有盡快解決問題，將會有越來越多分店的系統面臨同樣的困境，不只實體賣場，連Target線上商城的結帳交易都可能會受到波及而變慢，甚至中斷。SRE團隊連忙通知開發部門，緊急修復程式錯誤，重新發布系統更新，逐步部署到全美2千家分店內的系統，才順利避開了可能的大災難。</p> <p>這個過程說來簡單幾段話，其實做起來非常複雜。對Target來說，不只要在顧客察覺、災情擴大前及早發現問題是挑戰，在修復系統錯誤後，釋出修補程式，要部署到2千家分店的系統時，還得做到營運不中斷。若對2015年時還沒展開數位轉型的Target而言，幾乎是不可能的任務。為何如此困難？這得從Target企業資訊架構設計說起。</p> <p><span style="font-size:28px;"><strong>徹底分散式架構的複雜考驗，IT得管2千座機房和2大公雲環境</strong></span></p> <p>「複雜性是Target服務穩定性最大的敵人。」Kathryn Blanchard指出。為了就近服務全美各地的1.7億名顧客，Target有一個高達4千人的IT團隊，不論是底層的資訊基礎架構或是上層的應用系統架構，也採取了徹底的分散式架構的IT設計。可是，這個IT架構越是分散，就越複雜，Target維運的考驗也會越大。</p> <p>Target的IT架構有多複雜？Target從2014年開始嘗試上雲，最先使用的是AWS公雲，2015年轉為押寶IBM雲，而且採取雲地混合架構，展開大規模上雲。不只如此，Target也同步重新改造自家應用系統，連核心平臺關鍵功能都重寫。在2016年時，Target更大舉擁抱各項雲原生開源技術、敏捷開發、DevOps等，系統架構也全面轉換成微服務架構。</p> <p>2018年時，Target進一步從單朵公雲混合雲，轉為使用多朵公雲的雲地混合架構，公雲供應商則改用GCP和微軟Azure，前者負責消費者端服務，後者則用於企業端應用的部署。</p> <p>根據2021年4月時揭露的資料，Target除了使用2朵公有雲服務，還擁有2座大型資料中心，更有42個分散各地的小型資料中心，另外他們也在每一家賣場中設置了微型邊緣機房，就近提供落地的運算服務。換句話說，Target要管理的大小實體機房，接近2千個。</p> <p>這麼龐大又複雜的運算環境，帶來了嚴峻的維運考驗，根據Target統計，55%的維運事件來自如此複雜的IT環境，而另外有45%的維運事件，則來自DevOps部署的複雜性挑戰。</p> <p><strong><span style="font-size:28px;">每周3萬次更新，微服務架構部署百萬VM的DevOps難題</span></strong></p> <p>原本Target的應用系統採取大型單體式架構設計，約有30套大型單體系統，在2015年之前，只能每年部署一次新版，每季執行一次小更新，但是，每次更新或部署時，都得停機才行，這就讓賣場營運和線上服務都出現了空窗期。</p> <p>2016年擁抱雲端原生技術後，Target將IT架構轉換成微服務架構，Target三大核心平臺，包括商店平臺、促銷平臺和供應鏈平臺，再加上10個不同即時任務的Runtime引擎，都採取微服務架構，光是商店平臺就有4百隻不同任務的微服務，其中有70隻是共用服務，而整個Target.com網站所用的微服務更是多達1千隻。不論是實體商店系統或是線上電商平臺的維運，都由同一組基礎架構團隊來負責。</p> <p>Target在2018年轉為多雲架構之際，也發展出一套自助式的內部應用平臺TAP（Target Application Platform）。這是一套利用K8s打造的應用系統管理叢集，一方面可以提供一站式的自助應用程式部署服務，讓開發團隊使用一套標準化的部署範本，就能自己將程式碼輕鬆部署到各種不同類型的公雲或機房執行環境中，不用自行針對不同的環境進行配置與設定。</p> <p>另一方面，也可以透過叢集架構，針對2千個機房內的系統，進行輪流更新，來確保全美各分店面對顧客的服務不會因系統更新而中斷。</p> <p>因為在IT基礎架構中，Target擁有多達2千座的機房環境和多朵公雲，凡是分店內的商店系統有一隻微服務的程式碼要更新，就得進行2千次部署作業。TAP這套平臺提供了一套通用的標準化部署作業方式，不論是開發團隊、儲存團隊、網路團隊或SRE團隊都共用這一套簡單容易上手的CI/CD工具。</p> <p>在2020年需求爆量時期，Target幾乎每2到3周，基礎架構的容量需求就會暴增一倍，而且都遠超過壓力測試的模擬規模，但是，「IT仍然可以管理這樣的擴充力，沒有為了大規模成長，忙到滿身大汗，只需按幾個按鈕，就能完成基礎架構的部署。」Target資訊長Mike McNamara這樣形容這套關鍵平臺對IT的效益。「要真正善用多雲架構，得有一套部署多雲的好方法，」他說：「對Target而言，這就是TAP，可以讓我們管理不斷擴充的能力。」</p> <p>2021年時，Target多數微服務會每周部署一次，甚至有些是每天部署新版，正式環境平均一天就會有6千次異動，平均每周需要進行3萬次更新作業。這些發布和部署，全都靠TAP的CI/CD機制自動化部署到上百萬個不同環境上的VM中，更新升級過程完全不需要關機。</p> <p>另外，為了因應線上線下的爆量需求，Target的微服務也啟用了大量副本，一款微服務，可能就得啟用數百個副本服務。Target光是在正式環境中的微服務ID總數，高達76萬個（每一隻微服務，不論正副本都會有各自獨立的ID編號），測試環境中也有16萬支微服務正在執行。</p> <p>這些都是Target擁抱微服務架構後衍生的維運複雜度。</p> <p>過去，要執行一項業務所需的相關系統服務，大約150～200個，但在2016年，Target轉換成微服務架構後，一項業務相關的微服務往往會高達2萬個（包括大量副本服務），要從中分辨出是哪一個微服務發生問題，又是另一個複雜的維運挑戰。</p> <p><strong><span style="font-size:28px;">SRE目標：事故頻率最少化、影響最小化</span></strong></p> <p>為了迎戰這些複雜性，Target在2020年導入了SRE（網站可靠性工程），花了一個月先組成SRE團隊專門，負責監控和因應所有系統和微服務的運作，第一步先開始搜集關鍵系統的Log數據，來累積長期的維運數據。</p> <p>Target基礎架構副總裁Hari Govind表示，希望透過擁抱SRE，讓Target的服務更聚焦關鍵的顧客體驗，例如商店結帳速度、線上數位流程、送貨數位化流程等。「因為各種大大小小的事故就是我們的日常，希望透過SRE來強化大規模架構的分散容錯能力。」他指出，Target SRE的目標是，減少事故發生的頻率，將事故影響最小化，在做中學，盡可能減少當機時間。就在SRE團隊累積了差不多2個月日常維運資料後，就發生了這起掃碼失效事件。</p> <p>Kathryn Blanchard指出，這次事件能夠順利解決，有兩個關鍵，一是事先搜集了系統服務端到端的詳細數據，其次是針對顧客歷程建立了服務基準參考數據。也就是說，若沒有一套持續監控的機制，事先搜集平時不同業務、各種微服務的維運log數據，累積長期資料，來建立一套服務運作數據的基準參考值，就無法知道正常結帳掃瞄商品的時間多久，更是難以判斷掃碼速度是否「變慢」，在問題擴大前採取行動。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148902
新手Target SRE首次重大事件的4個教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年3月13日這一天，如果Target SRE工程師沒有發現監控儀表板上的異常訊號，進而查出好幾家分店POS系統掃碼速度變慢，恐怕到了周末復活節檔期，Target所有線上與實體賣場都難以順利進行任何一筆結帳。「店內系統掃碼服務當機，轉移到總部機房內的備援服務接手，才出現了掃碼速度變慢的徵兆。」Target的SRE總監Kathryn Blanchard直到事發一年後，才敢在2021年自家技術研討會上，公開這起差點造成Target營運全面中斷的事故。</p> <p>Kathryn Blanchard直言，尤其當時Target也是SRE新手，第一次面對如此重大的事件，也從中學到了4個教訓，這些經驗都成為Target的SRE團隊日後要優先強化的4類能力目標。</p> <p>第一個教訓是，因為<span style="color:#B22222;"><strong>系統異動造成的問題，經常會延後發酵</strong></span>。</p> <p>像這次事故根源是系統異動導致記憶體占用問題，但是當下沒有產生影響，反而是部署一周以後，才出現在少數地方，而且不是所部署的2千家分店都同時出現災情。Kathryn Blanchard提醒，因此，調查事故原因時，特別得從歷史紀錄開始著手。</p> <p>第二個教訓是<span style="color:#B22222;"><strong>監控機制必須連同備用系統都監控，才有完整數據</strong></span>。Target導入微服務架構後，在正式環境中建立了一套混合雲的備援架構和故障轉移機制，但是，SRE一開始的監控機制，沒有涵蓋到備用系統，也就沒有在總部機房備援服務接手時，更早一步發現異常，反而是等到顧客結帳櫃檯掃碼速度變慢了，他們才發現，分店掃碼服務已經當機了。</p> <p>不過，這次應變中值得嘉許的一點是，<span style="color:#B22222;"><strong>第一時間先採取緩解對策，而不是先找出問題根源來處理</strong></span>，這也是Kathryn Blanchard學到的第三個教訓。因為SRE工程師決定先將服務退回前個一版本重新啟動，讓分店掃碼服務可以先恢復正常，所以，顧客一點都沒有察覺到系統出錯。</p> <p><span style="font-size:28px;"><strong>優先強化四大SRE能力，將SRE能力擴大到全IT團隊</strong></span></p> <p>「先緩解主要影響，再來修補，將影響顧客的時間最小化，這是Target很大的思維改變。」Kathryn Blanchard強調。而最後一項教訓就是<span style="color:#B22222;"><strong>不要浪費事故教訓的價值</strong></span>，必須從這些事件來累積和學習。後來，Target決定把SRE能力擴大推廣Target整個IT團隊，也發展出四項SRE能力和機制，不只SRE團隊，連網路團隊、儲存團隊等也能共用，也特別重視事後檢討報告的撰寫和分析。</p> <p>第一項能力是將SRE能力整合到開發生命周期管理，對正式環境也要進行程式碼管理。因為Target每一次異動，都得更新2千家分店的系統，等於得重複部署2千次，因此不能採取一次全面部署的高風險作法，尤其很多問題會在幾個禮拜後才發生。因此，Target後來採取了金絲雀部署（Canary Deployment）作法，先在少數店導入新版，搭配全面監控比較導入前後的變化，再決定是否近一步擴大導入到所有分店，這個做法也會用來比較測試環境和正式環境的差異和影響。甚至，Target金絲雀部署的範圍，還可以更細緻區分出，不同程式碼儲存庫或者針對不同使用者範圍來進行局部測試，進一步來降低和管理可能發生的影響。</p> <p>先前提到掃碼失效事故，若能先在少數店家部署，監控服務運作過程，就可以發現記憶體用量比舊版高，一旦出現異常，Target自動化機制會先將這些店家的系統，自動復原到舊版程式，「具備自動復原和標準部署能力的平行金絲雀部署，可以讓Target開發團隊放心部署。」Target運算服務總監John Engelman強調。</p> <p>除了SRE更整合開發之外，SRE自身也要建立更完善的服務級別目標（SLO）和服務水準指標（SLI），Target會考慮實體硬體、應用程式和資料這三者之間的的關係和相依性來訂定指標，並建立一個分層式的視覺化圖表，反映這些相關系統行為的運作狀態。例如顧客在結帳櫃檯掃碼行為，就是一個Target很愛用的SLI指標，利用掃描動作等待多久才發出「嗶」聲的時間作為指標。John Engelman解釋：「這是一個顧客很容易察覺的指標，也是一個很好的顧客體驗指標。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-SRE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Target考慮實體硬體、應用程式和資料這三者之間的關係和相依性來訂定指標，並建立一個分層式的視覺化圖表，來反映相關系統行為的運作狀態。</strong>圖片來源／Target</span></p> <p>Target打造了一個監測SLI指標的UNIMatrix工具，例如監控結帳櫃檯的商品掃描行為，也就是掃碼嗶的時間，甚至可以監控有多少掃描順利完成，多少次掃空重新掃碼的行為，也可以細緻到每一家店內的每一個櫃檯，不管是新款POS或是舊款，連自助式結帳機的掃碼行為都可以監控。換句話說，Target的SRE團隊，可以隨時看到全美近2千家分店，每一道結帳櫃檯的掃碼狀態，哪一道櫃檯慢了，SRE工程師都能知道。在UNIMatrix儀表板上，會立刻標記出哪一個櫃檯服務水準低於要求，用紅色色塊來提醒SRE待命人員，「一旦發現異常，SRE就能主動追蹤，不用等到顧客抱怨、分店通報後才開始採取行動。」John Engelman強調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1060-cover-2-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Target打造了一個監測SLI指標的UNIMatrix工具，哪一個櫃檯服務水準低於要求，就會出現紅色色塊提醒SRE待命人員，不用等到顧客抱怨才採取行動。</strong>圖片來源／Target</span></p> <p>為了更及時排除系統異常，Target強化的第三項SRE能力就是事件應變能力。目標是在SRE主動發現異常之後，如何快速展開應變。John Engelman指出：「要找到對的團隊，讓他們快速介入，快速行動，關鍵是要有一個流暢溝通的機制。」</p> <p>Target打造了一款事件命令列工具（Incident command tool），這是一個一站式工具，可以管理工程回應訊息，也整合待命系統，能夠讓相關人員快速追蹤關鍵訊息、事件時間、缓解路徑，也能與所有應變參與人員直接溝通，還有一個專用對話頻道，可用聊天室、打電話或直接視訊，甚至這個工具還整合了所有的維運腳本或部署腳本資料，能針對歷史資料或最新資料進行整合分析。</p> <p>最後一項SRE強化能力是要善用歷史錯誤來學習。經過3月掃碼失效事件後，Target後來改以「系統一定會出錯」的前提，來建立高可用架構，不只上線服務採取雙活（Active-Active）架構，連備份都會考慮到備份失效的再備援機制。另外在工程文化面，也大力推廣從錯誤中學習文化，不責難文化等，遇到事件時會格外重視事件回顧，撰寫驗屍報告時時，還特別講究問題分析、運用情境來描述根本原因，並且要列出可改善的關鍵處置和提前預防事故的機會點分析，SRE團隊每周二進行可靠性回顧會議，討論大量驗屍報告，每一個與會成員都可以發問。</p> <p><span style="font-size:28px;"><strong>從事故體會到專門SRE團隊真正的價值</strong></span></p> <p>到了2021年初，Target逐漸完善了這四大SRE能力的強化，也才首度對外公開，從一年前那次當時未公開事故中學到的教訓，他們第一個SRE團隊設立一年來，也繳出了漂亮的成績單，讓Target偵測到問題的時間，縮短了82%，更早一步察覺到異常，還能讓異常影響持續的時間，縮短了44%。</p> <p>「2020年那一次未公開的事故，讓Target真的體會到專門SRE團隊的價值。」這位一手催生Target SRE團隊的主管Kathryn Blanchard這樣說。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148958
管理2千座機房和多雲如何更簡化，Target靠K8s打造一站式自助AP平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去5年大力擁抱開源雲原生技術的Target，在2020年展開了轉型的威力，數位通路銷售業績全年成長了150%，也帶來龐大基礎架構的容量成長需求，爆量時期每2、3周，對基礎架構的容量需求就會暴增一倍，但對Target維運團隊來說，一點都不麻煩，只是多按幾個按鈕，就可以輕鬆擴充需要的容量，背後就是靠了一套用K8s打造的多雲管理平臺。</p> <p>Target擁有2座大型資料中心，使用了2朵公有雲，42個小型資料中心分散全美各地，更在1915家分店中，設置了微型的邊緣機房，合計要管理的大小機房將近2千個。再加上Target重要系統已經全面微服務化，商店平臺有4百隻微服務，70隻共用服務，再加上10個runtime引擎，三大關鍵平臺，分散部署在公私雲地混合環境上的百萬個ＶＭ上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-%E5%9C%961-%E8%A4%87%E9%9B%9C%E6%80%A7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target-960.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Target擁有2座大型資料中心，使用了2朵公雲，42個小型資料中心，更在1915家分店中，設置了微型的邊緣機房，合計要管理的大小機房將近2千個。</strong>圖片來源／Target</span></p> <p>「底層部署越簡單，開發團隊就越能專注在業務優先的任務上。」Target資訊長Mike McNamara強調：「要真正落實多雲架構，得有一套多雲管理工具。」TAP（Target Application Platform）就是他口中的多雲管理工具。</p> <p>過去，Target曾經歷過一段部署黑暗期。4千人的IT，不同專案團隊的工作方法差異很大，各自因應資料中心、公雲環境、分散式機房或分店邊緣主機環境，而有各自有愛用的工具，以及百百款自行定義的配置，當時要進行跨團隊除錯，幾乎是非常困難的挑戰。2015年，Mike McNamara進入Target擔任資訊長，他的任務就是要推動數位轉型，擁抱開源雲原生技術，讓Target變成善用科技的零售公司。他也開始統一IT團隊的工作方法和工具。</p> <p>為了上雲，他要求團隊打造一套通用的多雲部署工作方法，希望建立一個基礎架構的抽象化管理平臺，讓開發者減少處理底層的維運雜事，將心力聚焦在面對顧客的體驗上。這就是為何Target要自己開發TAP平臺的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-TAP%E6%9E%B6%E6%A7%8B-0%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">TAP是一套透過K8s叢集，透過簡單的自助式介面，包括了API、CLI或UI介面，提供了一站式環境，可以涵蓋開發者所需要的一切功能。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／Target</span></p> <p>TAP是一套透過K8s叢集來管理底層基礎架構和上層應用部署的重要平臺，提供了一站式環境，涵蓋開發者所需要的一切功能，透過簡單的自助式介面，包括了API、CLI或UI介面，來提供一套CI/CD整合工具，很容易將程式碼部署到不同公有雲、資料中心、邊緣主機上，也能進行自動化擴充。另外，TAP還提供了一套基礎架構的標準化設定，包括了標準配置設定，通用的機密控管作法和標準監測矩陣的設置方式。</p> <p>TAP提供的不只是共用工具，也包括了一套應用程式工程框架，可提供基礎架構部署在Target的標準做法，讓不同的基礎架構團隊來依循，包括開發團隊、儲存團隊、網通團隊和SRE團隊，都使用同一套工具和框架。</p> <p>對Target內部開發者而言，透過同樣的自助式表單來執行部署工作，填妥這隻AP所需資源，指定不同的部署環境，不用考慮不同公雲環境的配置差異，也不需學習不同的CI/CD工具，或不同平臺上各自的機密管理作法，完全不用申請部署許可，就可以上架到正式環境中執行。部署全程透過TAP來進行，也會套用公司預先訂定的標準作法和規定。</p> <p>這套TAP平臺從2018年開始啟用，2019年1月時，只用來部署和管理數千個VM，但是到了2021年，已經有超過十萬個VM透過TAP來管理。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148959
雲原生如何改變Target
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1060-feng_mian_gu_shi_1_open-960x420_kao_bei_.jpg?itok=TJNg_mKy" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2015年大舉上雲，積極擁抱開源雲原生技術，2016年全面微服務化，2018年從單雲邁向多雲混合雲。4千名IT，維運2千座大小機房，靠K8s管理10萬個VM叢集，2020年新設SRE團隊，隨時監控76萬支微服務，支援1.7億名顧客線上線下消費體驗。從30套大型單體應用，到全面雲原生架構，Target足足走了5年多</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/article/148960
美國FTC與司法部準備嚴加管控非法併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FTC）及司法部（DoJ）周二（1/18）宣布，準備改革併購指南，以期能更確切地預防違反市場競爭的各種合併交易，即日起到3月21日止開放公眾提供意見。</p> <p>FTC與司法部為美國兩大反壟斷的執行單位，從美國總統拜登（Joe Biden）上臺，到指派反壟斷專家Lina Khan擔任FTC主席，便已突顯出拜登政府有意管制境內的反壟斷行為。<a href="https://www.ithome.com.tw/news/146746" target="_blank">FTC於去年9月正式展開行動</a>，著手檢驗美國五大科技業者在過去10年來未提報的併購交易，發現業者利用法規漏洞來逃避反壟斷檢查，<a href="https://www.ftc.gov/news-events/press-releases/2021/09/federal-trade-commission-withdraws-vertical-merger-guidelines" target="_blank">同一天FTC也投票撤銷</a>了2020年實施的垂直併購指南。</p> <p>雖然FTC與司法部對於是否撤銷現行的垂直併購指南並不同調，但雙方皆同意必須訂定更現代化的併購指南。</p> <p><a href="https://www.ftc.gov/news-events/press-releases/2022/01/ftc-and-justice-department-seek-to-strengthen-enforcement-against-illegal-mergers" target="_blank">FTC表示</a>，近來的跡象顯示，許多產業都變得愈來愈集中且競爭愈來愈少，這將危及消費者、工作者、創業家及小型企業的選擇與經濟收益，有鑑於2021年的併購案數量是2020年的兩倍，代表此一現象只會持續或更加惡劣，必須採取行動以改革併購指南。</p> <p>競爭為經濟成功的關鍵，因為它確保消費者及員工有更多的選擇，且當企業面臨競爭時，通常可激勵它們創新、改善產品，或提供更低的價格，而併購則會減少消費者、工作者或其它企業的選擇，使得它們不得不愈來愈仰賴更大型的企業，或是必須屈服大型企業的交易條款。</p> <p><a href="https://www.justice.gov/opa/speech/assistant-attorney-general-jonathan-kanter-delivers-remarks-modernizing-merger-guidelines" target="_blank">司法部則說明</a>，1914年通過的反壟斷法案Clayton Act明文禁止那些可能會大幅減少競爭，或造成壟斷的併購活動，然而，在執法時通常僅著重前者，而忽略了後者。</p> <p>此外，目前的併購指南聚焦於橫向與垂直領域的併購分析，不過，這樣的視野太狹隘，經常有許多交易無法被歸類，而且這些指南誇大了垂直分析的潛在效益，卻無法辨識它們可能造成的重大傷害。</p> <p>司法部指出，與20年前相較，現代的企業以截然不同的方式進行合作、競爭或投資，數位經濟改變了各個產業，企業與市場之間的相互關係愈趨複雜，當查看天氣預報時，不管使用者是否意識到，在短短的數秒內可能已經與十多種不同的服務產生互動；現代的供應鏈不再只是簡單地上、下游關係，而是以複雜且不斷發展的方式相互連結。</p> <p>為了建立現代化的併購指南，FTC與司法部鼓勵不同利益團體提供意見，並於審查及整理後發布併購指南的更新草案，並預計於今年完成指南的修訂。</p> </div></div></div>
2022/1/19 19:59作者陳曉莉https://www.ithome.com.tw/news/148974
臺北市政府啟用大數據中心，強化城市的數據治理決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年臺北市政府成立大數據中心團隊，匯整各方數據進行分析，提供市府在防疫、交通決策上的參考，今天(1/19)臺北市大數據中心正式啟用，象徵臺北市加強城市的數據治理。</p> <p>臺北市政府在2020年底以各局處首長，同時邀請業界的專家，成立資料治理委員會，資料治理委員會主要負責規畫市府資料的蒐集、運用，以及個資保護。2021年初北市資訊局成立一支大數據分析團隊，名為臺北市大數據中心，與各局處、運營中心合作，匯整各項數據，作為市府決策的輔助參考。</p> <p>這支大數據分析團隊為任務編組性質，去年首次在資訊局一間小會議室，以小螢幕對外展示北市數據的分析運用，而今天開始啟用的臺北大數據中心，則位於市府地下一樓，佔地近200坪空間，未來將作為大數據中心團隊、資訊局底下數據治理中心的辦公場所。</p> <p><strong>新啟用的大數據中心內辦公環境：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04695-1.jpg" style="width: 600px; height: 399px;" /></p> <p>臺北大數據中心內還設置一間可容納20至30人的大型會議室，利用大型橫向投影布幕，用以顯示數據分析應用，這間大型會議室也成為大數據中心和各局處合作，針對特定市政議題的數據研析討論場所。</p> <p><strong>大型會議空間內，搭配巨型橫幅投影幕，顯示北市大數據分析應用、城市儀表板：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04693-1.jpg" style="width: 600px; height: 399px;" /></p> <p>臺北市資訊局長呂新科表示，臺北市在城市的數位轉型上有兩大主軸，科技驅動及資料驅動，科技驅動從2016年成立智慧城市辦公室以來，結合Living Lab概念，和民間業在實驗場域測試創新應用，各項創新的背後伴隨而來的數據蒐整、運用議題，衍生出數據治理、個資保護的議題，為強化北市的數據治理，先後成立府級的資料治理委員會，還有臺北大數據中心，透過多層次的資料治理架構，推動城市的數據治理被實現。</p> <p>呂新科指出，大數據中心蒐整的資料，在市府2700多項開放資料的基礎之上，還匯整市府各局處的業務資料、市府底下各個專業的運管中心（IOC）資料，以及分散在城市各地的物聯網平臺資料，在資料治理委員會把關、大數據中心執行，這些資料經過去識別化、清洗、正規化後，匯流到大數據的資料池，大數據中心團隊再根據資料敏感度、性質，針對特定市政議題作深度分析、整合運用。</p> <p>其中深度分析是將資料的地理空間與時間推移套疊，產生新的視野，作為市府決策參考；而整合運用則是以統合儀表板方式，將所有模塊進行儀表板的整合，以快速整合、快速反映，支援城市運行的決策。呂新科表示，透過這樣的方式，讓臺北市朝向循證式，以資料為治理依據的城市。</p> <p><span style="color:#B22222;"><strong>大數據深度分析、城市儀表板的資料整合應用</strong></span></p> <p>經過近一年的運作，目前大數據中心已有幾個深度分析的案例，例如為了解決計程車空車在路上繞行產生空污、交通的問題，大數據中心和北市交通局合作，運用計程車、叫車業者提供的數據進行深度分析，如民眾乘車的起迄點、時間，研析如何優化計程車招呼站。另一項則是運用電信信令的人口流向數據，結合捷運、交通的車流數據，分析民眾通勤行為，提供相關單位根據民眾通勤的決策建議。</p> <p>在資料的整合應用方面，大數據中心整合觀傳局、衛生局、市立聯合醫院的資料，將原本人工蒐集的資料，予以數位化、視覺化，建立北市防疫儀表板，提供市府防疫決策參考。</p> <p>另外，大數據中心也建立跨領域資料整合的城市運行儀表板，城市運行儀表板以視覺化的方式，在臺北市的虛擬地圖上呈現多元的資料，主要供市府內部不同局處主管使用，讓主管可根據自身局處業務需要，勾選想要取得的資料組件，例如交通、社會安全，客製化的城市運行儀表板內容。北市的城市運行儀表板可支援筆電、手機或是平板電腦瀏覽，以方便市府主管瀏覽。</p> <p><strong>臺北市長柯文哲（右）與副市長黃珊珊（左）在視覺化的臺北市虛擬地圖檢視城市資料（圖片來源：資訊局）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2022_1_19_220119_21-1.jpg" style="width: 600px; height: 450px;" /></p> <p>城市運行儀表板現在已有應用實例，例如北市舉行跨年晚會，結合電信信令數據，掌握活動地點的周邊人流聚集、交通情形；另一項則是在視覺化的地圖上，結合臺北市各行政區的老舊房屋資料，以及消防局救援困難點資料，作為北市整體都市更新規畫參考，同時還整合社會住宅建案資料，讓市府能夠掌握各地的社宅建設進度。</p> <p>除了市府內部運用，大數據中心也計畫未來推出網站，以儀表板展示可公開的城市資訊內容，開放一般民眾上網瀏覽。</p> </div></div></div>
2022/1/19 18:13作者蘇文彬https://www.ithome.com.tw/news/148973
【資安日報】2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對關鍵基礎設施（CI）而來的攻擊行動，過往駭客鎖定的對象，不少是石油公司、發電廠、水利設施等能源業者。但在今天的資安新聞中，俄國APT28、北韓Konni等駭客組織針對的是再生能源相關業者，其中，也有臺灣的政府機關受到影響。</p> <p>在許多的應用系統和雲端服務中，雙因素驗證（2FA）被視為保護使用者帳號的重要機制，我們很可能認為有了相關機制就萬無一失，大型雲端服務所導入的驗證流程理應也相當可靠，但其實不盡然。在今天的資安新聞裡，就有知名的雲端檔案共享服務出現相關漏洞，此外，也有生物辨識系統可被繞過的情況。</p> <p>而除了各式的攻擊行動和漏洞揭露，歐美的執法單位為我們帶來今年的第一個好消息，但與過往有所不同的是，這次他們是針對駭客用來匿蹤的VPN服務，封鎖相關的伺服器，而非特定的惡意軟體基礎設施架構。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/cyber-espionage-campaign-targets-renewable-energy-companies/"><span style="color: rgb(0, 0, 0);"><strong>針對可再生能源公司、環境保護組織的網釣攻擊，臺灣也有政府機關遭到鎖定</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mailbox_kit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mailbox_kit.png" style="width: 300px; float: right;" /></a>環保意識高漲，加上近年來能源短缺，再生能源的生產、研發也備受關注，但這些組織如今也成為駭客的攻擊目標。資安研究員William Thomas揭露一起從2019年出現的網路釣魚攻擊行動，攻擊者鎖定至少15個組織下手，使用Mail Box工具包發動攻擊。這些組織的主要共通點為與再生能源相關，如施耐德電機、Honeywell、碳揭露專案（CDP）等，值得留意的是，臺灣行政院農業委員會林業試驗所也是駭客的攻擊目標。而對於攻擊者的身分，其中有部分攻擊行動是由俄國駭客組織APT28、北韓駭客組織Konni發起。</p> <h4><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/"><span style="color: rgb(0, 0, 0);"><strong>北京冬季奧運App存在資安風險，資料傳輸安全性不足，言論審查功能也惹議</strong></span></a></h4> <p>近期2022北京冬季奧運即將在2月4日登場，主辦方為了防疫需求，要求參賽運動員及團隊、觀眾與媒體，需安裝My2022（冬奧通）的App，以記錄個人健康狀況，但加拿大公民實驗室（Citizen Lab）在1月18日發布研究報告中，顯示該App服務有兩大爭議，一是資料傳輸安全性不足，可遭中間人攻擊，另一是App具備允許舉報他人政治敏感言論的功能，並已建立2,400多個審查關鍵字詞清單，國外與會者顯然有隱私侵犯問題。研究人員在去年12月3日通報主辦單位，至今未獲回應因此公開研究結果。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/earth-lusca-sophisticated-infrastructure-varied-tools-and-techni.html"><span style="color: rgb(0, 0, 0);"><strong>Winnti附屬組織鎖定政府機關與加密貨幣公司發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/earth-lusca-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-lusca-1.png" style="width: 300px; float: right;" /></a>大多APT組織的攻擊行動，目標通常相當單一，但也有駭客組織的攻擊領域甚廣。趨勢科技揭露名為Earth Lusca的中國駭客組織，並指出該組織使用網路釣魚、水坑式攻擊、應用系統的漏洞，鎖定政府單位、教育機構、宗教組織，以及香港的人權組織、武漢肺炎研究機構等。Earth Lusca疑似是Winnti旗下的附屬組織，攻擊目標多半是對於中國政府具有戰略意義的組織。</p> <h4><a href="https://www.infosecurity-magazine.com/news/kids-young-nine-launched-ddos/"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪年齡大幅下降，9歲兒童就能發動DDoS攻擊</strong></span></a></h4> <p>英國國家犯罪調查局（NCA）指出，在武漢肺炎疫情大爆發之後，他們發現不少學生會發動網路攻擊，其中年紀最小的只有9歲，這名學生發動了分散式阻斷服務（DDoS）攻擊。根據該單位旗下的網路犯罪部門NCCU統計，從2019年至2020年，警方阻止學生從事網路犯罪的案件增加了107%。對此，近日NCA與Schools Broadband聯手，針對在學校電腦上搜尋網路攻擊有關用語的學生，向他們顯示Cyber Choices網頁以進行勸導。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/researchers-bypass-sms-based-multi.html"><span style="color: rgb(0, 0, 0);"><strong>檔案共享服務Box的簡訊多因素驗證可被繞過</strong></span></a></h4> <p>透過手機簡訊作為雙因素驗證（2FA），而被繞過的情況不時被發現。資安業者Varonis指出，他們發現檔案共享服務Box的身分驗證漏洞，使得攻擊者可在用戶啟用簡訊雙因素驗證的情況下，透過自己向Box以驗證碼產生器取得、具有時效性的一次性驗證碼（TOTP），通過受害者Box帳號的雙因素驗證流程。這項漏洞在研究人員通報後，Box於2021年11月2日予以修補。</p> <h4><a href="https://www.ptsecurity.com/ww-en/about/news/positive-technologies-uncovers-vulnerability-in-idemia-biometric-identification-devices-that-can-unlock-doors-and-turnstiles/"><span style="color: rgb(0, 0, 0);"><strong>Idemia生物特徵辨識系統存在漏洞，攻擊者可發送特定命令開門</strong></span></a></h4> <p>透過生物辨識來驗證身分的方式，也可能因為其他資安實作瑕疵而被繞過。資安業者Positive Technologies發現，多款Idemia的生物特徵辨識系統裡，存在一項CVSS風險層級為9.1分的重大漏洞VU-2021-004，在用戶沒有啟用TLS加密通訊協定的情況下，攻擊者能藉由發送特定的命令，而無須身分驗證就能開啟由這種辨識系統所保護的門鎖。對此，Idemia也規畫在日後推出的新版韌體中，強制啟用TLS來防堵漏洞。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/zoho-plugs-another-critical-security-hole-in-desktop-central/"><span style="color: rgb(0, 0, 0);"><strong>Zoho裝置管理平臺驚傳漏洞，攻擊者可用來上傳任意ZIP檔案</strong></span></a></h4> <p>Zoho近日針對旗下裝置管理平臺ManageEngine Desktop Central，修補重大身分驗證繞過漏洞CVE-2021-44757，並指出一旦攻擊者利用，可在未經授權的情況下讀取該系統的資料，或是上傳任意ZIP到Desktop Central伺服器。該公司呼籲用戶應儘速安裝10.1.2137.9版修補上述漏洞。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/europol-shuts-down-vpn-service-used-by-ransomware-groups/"><span style="color: rgb(0, 0, 0);"><strong>歐美執法單位聯手，破壞網路罪犯用於藏匿行蹤的VPN基礎設施</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg" style="width: 150px; float: right;" /></a>不只針對是罪犯組織，近期執法單位也對於提供相關工具的業者採取行動。歐洲刑警組織（Europol）於1月18日宣布，在德國漢諾威警察局中央刑事辦公室帶領之下，德國、荷蘭、加拿大等10個國家的執法單位聯手，查封提供網路罪犯VPN服務業者VPNLab的15臺伺服器。烏克蘭警方指出，在德國至少有150起勒索軟體攻擊行動的攻擊者，使用這項VPN服務，而造成6千萬歐元損失。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/19 15:28作者周峻佑https://www.ithome.com.tw/news/148963
第一屆後量子密碼論壇登場，2022是因應量子破密關鍵之年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，量子電腦運算技術進入蓬勃發展的階段，其運算特性除了可讓化學反應模擬能有更好的實現，但也使得現有的公鑰密碼系統受到挑戰，而這樣的擔憂如今已成真實威脅，因為近期傳出中國駭客打算收集已加密的高價值資料，等到量子電腦發展突破，就能立即解開他們取得的加密內容，為了抵禦這樣的衝擊，後量子密碼學（Post-Quantum Cryptography，PQC）的發展、標準化，以及如何普及，均受到資安界的熱烈關注。</p> <p>為了讓關心這議題的人士了解PQC的最新狀態，在1月14日，首次舉辦第一屆後量子密碼論壇，現場不只邀集國內密碼學領域專家，就連多位國外的知名密碼學專家學者，也在此公開發表實體與線上演說，他們呼籲各界應充分體認發展PQC的必要性，對於公鑰密碼系統屆時勢必面臨更換的局勢，臺灣應及早做好準備。</p> <p>這場活動原本應該更早舉行，但因為臺灣去年5月爆發疫情而延至今年1月，在近期國際疫情又竄起情形之下，後量子密碼論壇的召開也面臨挑戰，但所幸仍能以實體形式舉辦，相當難得。</p> <p>在臺灣第一次舉辦的後量子密碼論壇，最終吸引了上百位人士參與，雖然活動已經落幕，但隨著與會者對於相關知識有了更深入的了解，也充份體認其重要性之後，相信PQC的發展與推動，未來可以獲得國內更多產業與政府機構的支持。</p> <h3><strong>國內外密碼學專家齊聚一堂，深入淺出解析PQC關鍵</strong></h3> <p>為了讓不同領域的與會者了解後量子密碼的必要性與發展現況，論壇主辦單位在第一場演講中，就準備了入門的內容。身為密碼學家、硬體安全產業人士，也是臺大數學系兼任助理教授的陳君明，他是後量子密碼論壇的主要發起人，並擔任首場演講者，他以淺顯易懂的方式話說從頭，介紹現行加解密的基本原理，以及量子運算、量子破密的影響，希望幫助大家理解基本的PQC觀念與議題，他也呼籲國內各界，現在就應該開始準備相關因應的事宜。</p> <p>這是因為，美國國家標準技術研究院（NIST）自2016年舉辦的PQC密碼標準競賽，已邁向尾聲，在2022年1月，就會有第三輪的結果出爐，針對公開金鑰系統與數位簽章項目這兩大領域，預計公布各自的一位決勝者，也就是標準獲勝者，而後續的第四輪，還將選出其他也能成為標準的另一決勝者。長期來看，關於後量子時代的密碼標準，應該會在2024年之前制定完成，屆時，政府組織與企業都將面臨標準演算法的轉換，以及硬體設備與中介軟體的升級。</p> <p>在本次論壇當中，有多位參與PQC密碼標準競賽的國內外專家發表演說，包括：楊柏因、周彤，以及這兩年留在臺灣進行研究的Daniel J. Bernstein，以及Tanja Lange，他們都針對入選NIST PQC競賽第三輪的金鑰交換與數位簽章，提出說明。</p> <p>儘管他們的演講內容涉及演算法與數學的應用方式，對許多與會者而言，仍無法徹底理解，但難得的是，國人有機會可以目睹這些世界級大學者的風采，親自聽聞他們講解這些研究內容的最新發展，讓國內各界對於資訊安全中最核心的密碼學，且是後量子密碼學領域的最新研究動向，能有最近距離的了解與接觸。</p> <p>為了讓大眾對PQC議題能有廣泛認識，本次論壇也安排中研院資科所專家鐘楷閔，解析量子電腦的發展現況，並希望大家可以正確想像量子電腦的能力；中研院資創中心的專家陳君朋，則從物理面說明旁通道攻擊的威脅，同樣也是PQC會面臨的風險，全球現在至少也有50篇相關論文，他的論文也是其中之一；以及匯智安全科技總經理鄭嘉信，從密碼金鑰管理的產業實務，說明NIST SP 800-57與硬體安全的重要性，以及加密週期Cryptoperiod的影響，並點出轉換到PQC的挑戰。</p> <p>在論壇的最後，也舉行了專家座談，列席的學者與資安業者也彼此交流，提出看法與見解，暢談臺灣頂尖學者參與標準制定、臺灣企業因應新標準的準備工作，以及金融業因應之道等議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>NIST PQC競賽結果將在今年1月公布，對於之前已入選第三輪的金鑰交換與數位簽章，在第一屆量子密碼論壇現場，相當難得，有多位參與競賽的國內外密碼學專家針對這些最新研究內容一一做出闡釋，讓國人能近距離目睹這些世界級大師的演說。圖為Daniel J. Bernstein針對網格密碼學（Lattice-based cryptography）的NTRU、NTRU Prime、SABER、Kyber與Frodo進行說明。</p> </blockquote> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88NEW%E4%B8%BB%E5%9C%96%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87s_%E6%94%9D%E5%BD%B1iThome.JPG" style="width: 600px;" /></h3> <blockquote><p>在第一屆後量子密碼論壇的座談會上，由iThome資安主筆黃彥棻擔任主持人，與陳君明、鄭嘉信、Tanja Lange、Daniel J. Bernstein、楊柏因（由右至左）等多位國內外頂尖密碼學家與硬體安全產業人士，共同探討企業如何因應PQC。</p> </blockquote> <h3><strong>公鑰密碼系統應用非常普遍，更換工程浩大</strong></h3> <p>為了讓外界快速了解公鑰密碼系統即將面臨的危機，在後量子密碼論壇上，陳君明以簡單扼要的方式，解釋PQC的基礎知識，而這方面的內容，其實對於不具學術背景大眾而言，也能輕易理解。</p> <p>簡單來說，以量子破密威脅而言，隨著量子計算出現，以及Shor’s演算法與Grover’s演算法的提出之下，現有的對稱式與非對稱式加密系統，都將受到影響。</p> <p>不過，對稱式加密系統（如AES、DES、Triple DES等加密演算法）受到的影響較小；包含金鑰交換與數位簽章用途的非對稱式加密系統（如RSA、ECC等），受到影響則非常之大，也就是說，現今普遍的公鑰密碼系統，將受嚴重衝擊。</p> <p>這是因為，現有基於質因數分解計算難題的RSA，以及基於離散對數、橢圓離散對數問題的DHKE、DSA、ECDSA等ECC，量子電腦可於多項式時間破解問題。</p> <p>陳君明以現今熱門的加密貨幣應用，說明量子破密的影響性。他表示，現在所有的加密貨幣的交易過程，都是採用橢圓曲線數位簽章演算法（ECDSA）來確保交易安全。事實上，現今公鑰密碼系統的使用已是非常普遍，像是日常上網使用的HTTPS協定，以TLS進行加密，背後的連線階段金鑰（Session Key）的交換演算法，也會使用公鑰密碼系統。</p> <p>而現在關注的後量子密碼學，它是現代密碼學的新領域，專門研究可抵抗量子電腦攻擊的公鑰密碼系統，以取代未來會變得不安全的RSA、ECC等演算法。而上述提到NIST自2016年開始舉辦PQC競賽，也就是因應這樣的趨勢，要選出新一代公鑰密碼系統的標準。</p> <h3><strong>轉換PQC需及早準備，美國摩根大通銀行已提出發展藍圖</strong></h3> <p>近年量子電腦技術雖迭有突破，但實際運算能力還非常小，像是Google在2019年製作的量子電腦，只能處理「53位元的量子資訊」，也就是53個0或1，但為何現在我們就要準備因應？</p> <p>陳君明指出，除了需要關注量子電腦的發展，何時厲害到可以威脅現在的密碼系統，同時，也要考量保密期限或產品生命週期年限，以及新公鑰密碼系統的普及時間。</p> <p>根據量子計算研究所共同創辦人Michele Mosca在2015年的預測，在2026年，量子電腦的發展狀態，可破解現在的公鑰密碼系統機率，約有七分之一；而到了2031年，破解機率將變成二分之一。陳君明表示，美國NIST先前曾大幅引用這樣的預測，雖然現在的說法已經不同，但還是重要參考。</p> <p>特別的是，Michele Mosca還提出了因應時程的理論。他指出，如果X（維護資料安全的時間長度或產品生命週期），加上Y（後量子密碼標準化並且廣泛採用所需時間），大於 Z（量子電腦真正厲害到可以破解公鑰密碼系統的時間），我們就需要擔心量子破密的風險。</p> <p>畢竟，資料加密的保護期限可能只剩6年、15年或25年，再加上全面更換特定密碼系統需花很長的時間，可能長達10年。因此，及早做好準備相當重要。換言之，若是量子電腦真的會在2031年成熟，現在我們就已經需要開始準備。</p> <p>而且，去年就傳言有國家級情報單位大量儲存密文，等到量子電腦成熟，即可大規模破解，若真的如此，各界對於這些已被有心人士刻意儲存的密文，可說是毫無挽救的機會。因此，包括美國與歐洲政府已經開始鼓吹，他們呼籲對於敏感性特別高的資料，要用PQC來保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>PQC轉換不能等標準制定完成才開始！<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">臺大數學系兼任助理教授陳君明表示，之前</span>量子計算研究所共同創辦人Michele Mosca曾提出量子破密威脅因應時程的定律，簡而言之，我們除了關注量子電腦真正厲害到可破解公鑰密碼系統的時間（z），應考慮維護資料安全的時間（y），以及PQC標準與採用所需時間（x），一旦x+y>z，就代表必須立即發展PQC。</p> </blockquote> <p>面對這樣機密性無法繼續確保的局面，全球可以如何做？陳君明提到，美國NIST除了已籌組舉行PQC標準競賽的團隊，旗下國家網路安全卓越中心（NCCoE）也有相應的計畫，幫助各界從現有的公鑰密碼系統，轉換到未來的公鑰密碼系統。因此，那裡會有國內企業組織可參考的資源，而NCCoE也曾在2021年4月發布白皮書，說明轉換到PQC的挑戰。</p> <p>從企業的應用需求來看，近年已有國際金融業者開始準備。例如，美國摩根大通銀行（JPMorgan Chase）兩年前就針對PQC轉換提出發展藍圖，並列出需要進行的工作。</p> <p>基本上，企業一開始先要對內部資料盤點，識別出敏感度高的資料，還要進行供應商技術評估、供應商PQC藍圖調查，而這些工作都是要在2024年PQC標準制定完成之前，就先開始進行的。為何先從上述方式著手？這是因為，全面轉換密碼系統相當困難，因此需要先識別風險，之後就可以先轉換最重要的部分，再依照重要性的順序逐步更換。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）第一屆PQC論壇.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87.jpg" style="width: 600px;" /></a></p> <blockquote><p>由於量子電腦發展已成定局，量子破密隨之而來，新一代公鑰密碼系統轉換到後量子密碼（PQC），已成為政府、企業關注焦點，臺大數學系兼任助理教授陳君明指出，例如，美國JPMorgan集團在兩年前，就已規畫出PQC轉換的藍圖，在 2024年新標準提出之前，他們預計做好高風險資料盤點、評估供應商PQC路線圖等預先準備工作。</p> </blockquote> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>因應量子破密的兩種方法</strong></span></h2> <p>基本上，對於量子破密威脅，全球很早就在關注，如今已發展出兩條因應路線。</p> <p>第一種，是利用量子力學特性的量子密鑰分發（Quantum Key Distribution，QKD），使通訊雙方產生並分享隨機且安全的密鑰，用於訊息加解密。二種則是基於數學的後量子密碼學，也就是PQC，支持這個路線的研究團隊，要發展出無法被量子電腦有效解決的計算難題，成為取代RSA、ECC的新一代公鑰密碼系統。</p> <p>在此兩者中，近期PQC倍受矚目。主要是因為美國國家安全局（NSA）表態支持。事實上，低調的NSA在2020年10月突然發表專文，指出QKD技術應用仍有5種限制，包括身分驗證仍需使用非對稱密碼學，以及架構成本過高等，因此現階段將聚焦於PQC的發展。</p> <p>另一個因素是美國NIST舉辦的PQC密碼標準競賽，歷經5年制定，即將邁向尾聲，標準即將定案。陳君明透露，在2022年1月，就會有第三輪的結果出爐，因此，未來兩年時間，後量子時代的密碼標準就要制定完成，屆時，政府組織與企業都將面臨標準演算法的轉換，以及硬體設備與中介軟體的升級。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>NIST PQC競賽結果今年1月會有初步結果，SPHINCS+有機會成為黑馬</strong></span></h2> <p>對於目前NIST PQC標準競賽的現況，陳君明說明，目前共有7個勝部候選，以及8個敗部候選，這些使用的演算法，背後的數學問題，都是無法被量子電腦破解的，使用的基礎包括：編碼密碼學（Code-based cryptography）、網格密碼學（Lattice-based cryptography）、多變量密碼學（Multivariate cryptography）、雜湊密碼學（Hash-based cryptography）。</p> <p>目前為止，他們看好很有可能被選為標準的，主要是公開金鑰系統項目的Classic McEliece，以及數位簽章項目的SPHINCS+。</p> <p>後者雖然是敗部候選者，但由於勝部三個候選者，最近都被發現問題，因此，NIST會考慮安全性，再考慮效能來選出最終標準。例如Rainbow被發現有攻擊可以降低其安全性，而Dilithium與Falcom則是屬於Lattice密碼學，這類密碼學是基於特別的數學結構，但最近被發現有安全性的疑慮。</p> </div></div></div>
2022/1/19 13:18作者羅正漢https://www.ithome.com.tw/news/148957
Zoom客戶端被發現存在零點擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero揭露<a href="https://googleprojectzero.blogspot.com/2022/01/zooming-in-on-zero-click-exploits.html">視訊會議平臺Zoom，存在零點擊（Zero-Click）漏洞</a>，也就是說在沒有用戶參與的情況下，攻擊者就能夠利用漏洞接管裝置，甚至是破壞Zoom伺服器。Zoom這次被發現的兩個漏洞，分別是客戶端和多媒體路由（MMR）伺服器緩衝區溢位，還有MMR伺服器的資訊洩漏，這兩個漏洞在2021年11月24日，均已被官方修復。</p> <p>Zoom是一個視訊會議平臺，在COVID-19大流行期間廣受歡迎，而這次是由Project Zero研究人員Natalie Silvanovich，對Zoom進行零點擊攻擊分析。Natalie Silvanovich過去在許多通訊平臺，包括Messenger、Signal、FaceTime、iMessage和Duo等，發現過零點擊漏洞和各種臭蟲。</p> <p>Natalie Silvanovich提到，過去他認為針對Zoom的攻擊都需要用戶多次點擊介面，不像是其他視訊會議系統，由一方用戶撥打電話，其他用戶必須立即接受或拒絕，Zoom使用者需要提前安排會議，並透過電子郵件邀請，因此較沒有零點擊攻擊的疑慮。</p> <p>不過最近駭客競賽Pwn2Own揭露了對Windows Zoom客戶端的零點擊攻擊，已經證實Zoom的確具備完全遠端攻擊面，因此Natalie Silvanovich便對Zoom客戶端軟體，進行了詳細的分析，而果真發現了兩個漏洞。</p> <p>Zoom客戶端提供Zoom聯絡人功能，當使用者雙方互成為聯絡人，便可以啟用會議以外的通訊功能，要成為Zoom聯絡人，用戶雙方都必須要明確同意，在之後，就能開始互傳文字訊息，甚至是以類似電話的方式，撥打給其他用戶，讓其他用戶可以透過單擊介面，立刻進行對話。Natalie Silvanovich提到，這些要素代表了Zoom的確具有零點擊攻擊面。</p> <p>不過此攻擊面僅適用於已經說服目標，接受他們成為聯絡人的攻擊者，因為只有Zoom聯絡人才能一鍵加入會議，其他使用者仍需要多次點擊才能進入會議。但Natalie Silvanovich也提到，即便需要多次點擊，說服目標加入Zoom通話其實也不難，尤其是有些組織使用Zoom的方式，可能導致一些特別的攻擊場景。</p> <p>像是許多社群會舉辦公開的Zoom會議，Zoom提供付費網路研討會功能，因此一大群不知名的與會者，可以加入單向視訊會議，攻擊者就可能加入公開會議，並鎖定其他與會者。Zoom還仰賴伺服器來傳輸音訊和視訊串流，並且預設關閉端到端加密，攻擊者可能會破壞Zoom伺服器，並獲取會議資料的存取權限。</p> <p>在這兩個漏洞中，最令Natalie Silvanovich擔憂的是MMR伺服器漏洞，因為該伺服器處理會議音訊和視訊內容，因此攻擊者有能力監控任何未啟用端到端加密的MMR伺服器會議。Natalie Silvanovich表示，雖然他尚未成功利用這些漏洞，但根據目前的調查，他相信只要進行足夠的研究，攻擊者就能夠進一步利用。</p> <p>Natalie Silvanovich還發現MMR程序缺少位址空間組態隨機載入（ASLR）安全技術，而這大幅增加攻擊者破壞的可能性，他表示，整體而言，在Zoom中所發現的臭蟲，和Project Zero在其他視訊會議平臺找到的相去不遠，但伺服器的錯誤令人驚訝，而且還缺少ASLR和允許非端到端操作模式。</p> <p>Natalie Silvanovich在研究Zoom的安全性時，遭遇到了一些障礙，因為Zoom是閉源軟體，不像使用開源軟體的視訊會議平臺容易被檢視，他在研究過程支付了約1,500美元的授權費用，並且因為Zoom使用許多專有的格式和介面，因此研究起來格外花時間，Natalie Silvanovich認為，這些他遭遇到的障礙，可能也代表著Zoom沒有獲得足夠的調查，或許會存在一些簡單但未被發現的錯誤。</p> </div></div></div>
2022/1/19 16:28作者李建興https://www.ithome.com.tw/news/148964
MedTech醫療科技月報第5期：美國最大醫療機構導入公雲API工具，要加速數位醫療應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1216～0115)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">美國退伍軍人事務部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API管理平臺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全美最大醫療機構導入公雲API工具，加速數位醫療服務開發</strong></span></p> <p>美國最大醫療照護機構——美國退伍軍人事務部（VA）1月宣布斥資1,300萬美元，導入Google雲端API管理平臺，來推動更多數位醫療服務的開發。在美國，VA服務了1,900萬名退伍軍人及其家屬，也負責管理全美170家醫學中心和1,000家門診診所，資料整合與服務開發一直是重要領域。</p> <p>在與Google雲端的專案中，VA將採用Google的API管理平臺Apigee，來延伸VA原本的Lighthouse API計畫，讓開發者可以無縫、安全地存取VA的各種API，來開發新工具或新服務。比如，開發者可透過Apigee來使用VA的社福API打造一套應用程式，幫助退伍軍人申請政府福利、追踪結果。又或是，開發者可輕易存取VA的健康API，來開發線上工具，讓退伍軍人根據自己的電子病歷，來管理健康狀態。VA這次要部署的公雲工具，也都符合FHIR國際醫療資料交換標準和美國醫療資安法規HIPAA。<a href="https://www.googlecloudpresscorner.com/2022-01-12-U-S-Department-of-Veterans-Affairs-Partners-with-Google-Cloud-to-Improve-Veteran-Access-to-Benefits-and-Services">（詳全文）</a></p> <p><img alt="" src="https://www.gstatic.com/bricks/image/9e9345060df6752036f80ff26ee9850a2cd5aa8510967e6192d722de5eabf06f.svg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱瑟醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 市集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國最大連鎖醫院加入資料互通聯盟，要打造醫療解決方案市集</strong></span></p> <p>凱瑟醫院（Kaiser Permanente）最近加入Graphite Health醫療資料互通聯盟，成為第4位成員，要共同推動美國醫療資料互通性、加速醫療數位轉型腳步，並打造醫療解決方案市集。凱瑟醫院是美國最大的連鎖醫院，營運35家醫院、700多間診所，會員數達1,200萬，近日加入由大型醫療機構發起的非營利組織Graphite Health，來與其他3家醫療機構推動醫療資料互通性。他們的現階段目標，是要打造一款標準化、資料能互通的醫療App市集，來讓醫療機構使用，提供更現代化的使用者體驗。<a href="https://about.kaiserpermanente.org/our-story/news/announcements/accelerating-health-cares-digital-transformation">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療科學園區 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 沙崙 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全臺第一座醫療創新園區將於沙崙啟動！</strong></span></p> <p>行政院在2021年最後一日，核定成大沙崙醫療服務與創新園區先導計畫，允許成大於臺南沙崙成立醫院和醫療服務創新園區，成為全臺第一個以醫療創新服務和生醫產業為主的科學園區。</p> <p>臺南市長黃偉哲表示，沙崙新設醫院後，能提高新豐區的醫療量能達160%，將每萬人平均的13.68床增加至35.65床，還能擴大周邊區域影響。成大校長蘇慧貞指出，該醫院最快於2022年下半年動工，成大附醫院長沈孟儒指出，除了在沙崙設立醫院，未來還會管理衛福部託付的南臺灣兒童醫療中心，以及因應COVID-19疫情而生的臺灣新南向衛生訓練中心，來協助國際流行病研究和遠距醫療等。</p> <p>這項沙崙醫療創新園區計畫，是成大與臺南市政府共同規畫的「沙崙智慧綠能科學城2.0計畫」之一，其他還包括資安、交通、產業園區和營運辦公室等專案，像是去年12月啟用的沙崙資安與智慧科技大樓。<a href="https://www.tainan.gov.tw/News_Content.aspx?n=13371&s=7864106#">（詳全文）</a></p> <p><img alt="" src="https://www.tainan.gov.tw/News_Content.aspx?n=13371&s=7864106#lg=1&slide=0" /><img alt="" src="https://w3fs.tainan.gov.tw/001/Upload/139/relpic/18321/7864106/[email protected]" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 胸腔X光 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肺癌 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保系統將導入成大胸腔X光AI，要當肺癌快篩揪出病灶</strong></span></p> <p>健保署委託成大團隊開發一套肺癌快篩AI模型，預計今年上半年導入健保系統。署長李伯璋指出，這套胸腔X光片輔助判讀AI能準確揪出肺癌病灶（即肺結節），導入健保署系統後，各醫院可將胸腔影像上傳至健保平臺，再由AI模型判讀，並將判讀結果即時回傳給醫師評估。</p> <p>這套AI模型由成大醫院健康數據資源中心執行長蔣榮先帶領團隊開發，訓練資料來自美國國衛院、日本放射學會、越南VBD以及臺灣健保資料庫，可揪出肺尖、肺門、心臟、橫隔膜後方和血管密集處等較難發現的結節，甚至過去專家難以發現的案例，AI也能清楚標示病灶位置。該模型敏感度達81％，判讀水準已如資深醫師。</p> <p>蔣榮先指出，成大醫院計畫將該系統導入偏鄉行動醫療車，預計在今年第一季啟用，先於嘉義縣偏鄉上路。有了AI輔助系統，就不必如過往般等待數周才能得到判讀結果，而是當下就能得到警示，讓醫師及早介入治療。<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=A4CBA0D7ECC10D67">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 泰國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 華為 </span></strong></span></p> <p><span style="font-size:22px;"><strong>泰國聯手華為打造東協最大5G醫院</strong></span></p> <p>泰國電信主管機關國家廣播及電信委員會辦公室、泰國Siriraj醫院以及華為聯手推動Siriraj 5G醫院計畫，要成為東協最大的5G醫院。該計畫目標是要利用5G、雲端、AI來提供就醫民眾更有效的服務。目前，泰國Siriraj已與華為試做5G醫療手提箱、醫療車、智慧病床等，華為指出，Siriraj醫院也與華為成立5G創新實驗室，來孵育30多個5G醫療應用專案，要在2022年推廣到全泰國。<a href="https://www.huawei.com/en/news/2021/12/smart-hospital-thailand-5g-siriraj">（詳全文）</a></p> <p><img alt="" src="https://www-file.huawei.com/-/media/corporate/images/news4/2021/q4/211216-2.jpg?la=en" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 愛心鏡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 心房顫動 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺大醫院推心律不整App，在家就能自己測</strong></span></p> <p>臺大醫院日前推出心律不整偵測App：愛心鏡，民眾在家就能自行檢測是否心律不整，及早就醫。進一步來說，心律不整最常見的起因是心房顫動，一些患者會出現頭暈、心悸和胸悶等症狀，有些患者也可能毫無症狀。隨著年紀增長，心房顫動的機率也越大，也會增加中風、心臟衰竭和死亡風險。但因早期心房顫動是間歇性發生，到醫院通常得進行長時間的連續心電圖檢測，或植入心電圖記錄器才能確認。</p> <p>為了能更方便地及早發現，臺大醫院找來敦捷光電，利用手機鏡頭和光體積變化描述圖法（PPG），開發出愛心鏡App，透過手機鏡頭和特殊演算法，就能讓民眾自行用手機檢測是否發生心房顫動，且準確率與心電圖相當。民眾也可在App輸入真實資料，系統後臺可視情況聯絡患者至臺大醫院體系醫院，來即早就醫。這款App，也獲得衛福部食藥署許可。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=-1&q_itemCode=10647&agroup=a">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/xkk7d8jUZus?controls=0" title="YouTube video player" width="560px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧病歷平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總委外華碩打造醫療AI，首先瞄準智慧病歷平臺</strong></span></p> <p>臺北榮總日前與華碩電腦簽署MOU，要打造更多醫療AI系統，目前也已規畫開發智慧病歷平臺，來讓就醫流程更順暢。進一步來說，臺北榮總每日平均就診人次為9.000人，單一診次甚至能高達上百人，病人有時因緊張或年紀大，未能清楚描述狀況，進而影響看診體驗。為解決問題，北榮副院長高壽延表示，北榮計畫打造這款智慧病歷平臺，讓就診民眾事前透過App，先以文字或語音輸入來填答相關病況問題，再自動上傳至雲端系統，醫師看診時就能快速了解病人狀況，減少溝通障礙。當醫師診斷時，還能以語音輸入自動產出醫囑，只需再確認即可，大幅優化就醫流程和體驗。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=9055&gcode=A01">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嬌生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位手術 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>嬌生要藉雲服務強化數位手術生態</strong></span></p> <p>嬌生旗下醫療設備供應商JJMDC近日採購雲端服務，要來強化數位手術生態系，像是優化工作流程、加強手術決策系統、提高病人體驗等。他們找上微軟，要藉其多種雲平臺和機器學習技術，像是Azure、Microsoft 365、Dynamics 365等來改善現有系統，比如，JJMDC可用Azure IoT和邊緣運算服務，來提高設備連結性，或利用資料分析工具來改善病人病況，又或者採用Azure服務來提高數位手術系統的創新。<a href="https://news.microsoft.com/transform/johnson-johnson-medical-devices-companies-reimagining-the-patient-journey-in-a-digital-era/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/382/2022/01/MD-Video-Man-On-Tablet-1536x864.jpg" /></p> <p>圖片來源／Google雲端、臺南市政府、華為、敦捷光電、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 行政院會修正生技醫藥產業發展條例，新列數位醫療、精準醫療和再生醫療</strong></p> <p><strong>2. 雙和醫院新院長上任新目標，將力推生醫園區智慧醫療發展</strong></p> <p><strong>3. Avalanche發布可加速AI模型訓練的低程式碼工具hAIsten AI</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/19 15:05作者王若樸https://www.ithome.com.tw/news/148962
開源組織Open Invention Network擴大對Linux的專利授權保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2022/01/18/2368123/0/en/Open-Invention-Network-Expands-its-Patent-Non-Aggression-Coverage.html" target="_blank">開源組織Open Invention Network（OIN）本周宣布</a>再擴大對Linux實施的專利保護內容，新增300多項軟體元件，使在Linux平臺使用這些軟體的用戶不用擔心被告。</p> <p>OIN是由Google、IBM/Red Hat、NEC、Sony、豐田及飛利浦出資支持，會員公司有2,650家，旨在由交互授權以提供Linux專案專利保護，以免遭到侵權告訴。<a href="https://www.ithome.com.tw/news/126366" target="_blank">微軟也在2018年加入OIN</a>。OIN不斷擴充具專利授權保護的軟體元件及函式庫。這次更新Linux系統定義，是OIN成立15年來第9次擴充保護。</p> <p>OIN執行長Keith Bergelt指出，這次更新是因應主要軟體平臺和專案的擴大，也加入硬體設計及嵌入式應用需要的軟體套件。Linux系統的定義更新使OIN得以隨開源碼創新而與時俱進。他表示OIN也將持續加入軟體套件，來保護開源碼生態系。</p> <p>這次新增的軟體套件著重在.Net、AI/ML、嵌入式系統函式庫及容器管理等類別。詳細名單包括.Net、ONNX、tvm、Prometheus、Helm、Notary、Istio、Nix、OpenEmbedded、CoreOS、uClibc-ng、mbed-tls、musl、SPDX、AGL Services、OVN、FuseSoc、Verilator、Flutter、Jasmine、Weex、NodeRED、 Eclipse Paho、Californium、Cyclone和Wakaama等337項，使受保護的套件來到3,730項。</p> </div></div></div>
2022/1/19 15:50作者林妍溱https://www.ithome.com.tw/news/148965
全球10國聯手關閉受駭客青睞的VPN服務VPNLab.net
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織Europol於18日宣布，已與全球10個國家的執法機關合作，聯手扣押及破壞了專門支援網路犯罪活動的VPN服務VPNLab.net，以打擊駭客企圖隱藏足跡的意圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-vpn%20la%20net%20europol-600.jpg" style="width: 600px;" /></p> <p>這起行動是由德國漢諾威警局的中央刑事辦公室主導，基於歐洲對抗犯罪威脅多學科平臺（European Multidisciplinary Platform Against Criminal Threats，EMPACT）專案，藉由打擊駭客的資訊系統來對抗網路犯罪。參與此一行動的國家除了德國之外，還包括荷蘭、加拿大、捷克、法國、匈牙利、拉脫維亞、烏克蘭、英國及美國，並由Europol協調召開逾60次的會議，並提供分析與鑑識支援。</p> <p>VPNLab.net成立於2008年，主要提供奠基於OpenVPN技術的VPN服務，具備2048位元的加密能力，年費為60美元，可替任何人藏匿在網路上的蹤跡。為了強化其隱匿能力，該服務還在不同的國家設置伺服器，提供Double VPN服務，因而成為駭客的熱門選擇。</p> <p>根據調查，駭客利用VPNLab.net服務來散布惡意程式，包括建立勒索軟體活動的基礎設施與通訊架構，或是實際部署勒索軟體，且VPNLab.net還在暗網推廣自家服務。調查也發現有超過100家的企業為駭客攻擊的潛在對象。</p> <p>各國執法機關總計扣押了15臺專門代管VPNLab.net服務的伺服器，迫使VPNLab.net關閉服務。</p> </div></div></div>
2022/1/19 16:10作者陳曉莉https://www.ithome.com.tw/news/148966
AT&T、Verizon三度延後美部份機場周邊C頻段5G部署，拜登政府稱許
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在航空業持續阻撓下，兩大電信龍頭AT&T、Verizon在啟動C頻段的5G服務前夕，同意再次延後美國部份機場周邊的服務，讓美國總統拜登發文稱許。</p> <p>AT&T、Verizon周二分別發出聲明，表示同意延後美國部份機場跑道附近的5G基地臺啟動服務。這是兩家電信業者在航空業巨頭的強力反對下，又一次同意延後服務。</p> <p>AT&T表示，在慎重考慮下，公司同意暫時推遲特定機場跑道基地臺的特定服務，以便持續和和航空業及美國聯邦航空總署（Federal Aviation Agency，FAA）合作，提供5G部署的進一步資訊。Verizon則稱除了特定基地臺暫時延遲外，將依計畫啟動5G服務。</p> <p>不過兩家公司並未說明有多少基地臺或哪些機場的5G服務會延後，以及延後到何時。</p> <p>以AT&T、Verizon為主的陣營、所主導的3.7GHz C頻段5G服務引起航空業強力反對。包括空中巴士、波音、FedEx等航空業者等反對派認為，3.7GHz的無線電訊號會干擾飛機電達高度計，特別是在接近地面時，這將影響飛安，並造成航班延遲、繞道或取消。</p> <p>兩家電信公司去年11月延後開通C頻段的5G服務到2022年1月5日，並承諾將美國46座機場及其他重要地點附近的基地臺功率降低6個月。航空業及電信業雖然宣稱要研議解決方案，但顯然航空業並無意改變，且持續拉攏美國運輸部長及白宮向電信業施壓。今年1月4日，<a href="https://www.ithome.com.tw/news/148708" target="_blank">兩家電信業者再次同意將開通時間推遲到1月19日</a>。</p> <p>兩公司對美國政府強力阻止感到不滿，表示全球近40國已實際證明5G服務的安全性，也對FAA的無能感到挫折。</p> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/01/18/statement-by-president-biden-on-5g-agreement/" target="_blank">美國總統拜登周三也發出聲明</a>，對兩電信業者的決定表達感謝，表示這項決定可避免對民航、貨運及經濟復甦造成可能的重大災害，且允許90%以上無線基地臺按時程部署。拜登表示行政部門將持續和電信、航空業及飛航設備製造業者合作，以規畫可在主要機場使5G服務和飛安共存的可行解決方案。</p> <p><a href="https://www.cnbc.com/2022/01/18/5g-deployment-delays-at-airports-on-cancellation-threats.html" target="_blank">CNBC報導</a>，阿聯酋航空及日本航空之前表示，基於可能的訊號干擾，兩公司會取消部分美國航班。</p> </div></div></div>
2022/1/19 14:59作者林妍溱https://www.ithome.com.tw/news/148961
北京冬奧App遭批安全不足、檢肅內容，奧委會駁斥
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年冬奧即將在2月4日到20日於北京舉行，但<a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank">一項加拿大研究顯示</a>北京冬奧專用App有多項安全隱私問題，還內建言論審查技術。不過國際奧委會駁斥這項研究發現。</p> <p>多倫多大學公共事務學院下的公民實驗室（Citizen's Lab）針對北京冬奧開發的My2022 App的資料安全及隱私進行研究，並由<a href="https://www.dw.com/en/dw-exclusive-cybersecurity-flaws-leave-olympians-at-risk-with-beijing-2022-app/a-60449271" target="_blank">德國之聲（DW）</a>首先引述報導。研究人員指稱這款App資料傳輸安全性不足，蒐集許多資料卻也分享給許多單位，還有一個關鍵字詞審查清單。</p> <p class="rtecenter"><a href="http://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%E5%86%AC%E5%A5%A7APP-600-1.jpg" style="width: 600px;" /></a></p> <p>My2022由中國國營北京金融控股集團所有，具多項功能，首先是COVID-19相關的健康監控。今年冬奧期間時值全球COVID-19風暴再起，北京當局為疫情管控，要求所有國內外選手及與會者在抵達北京前14天以前需下載My2022 App，每日以App回報健康狀況，也蒐集疫苗接種紀錄、以及COVID-19病毒檢測結果等。此外這個App還提供觀光導覽、GPS導航，以及各項設施服務的使用把關等。</p> <p>根據My2022公開資訊，除了健康狀態，它會蒐集大量個人資料。針對外國使用者，這款App蒐集用戶人口學屬性（性別、年齡等）、護照資訊（發照日及到期日等）。此外它還會蒐集裝置識別碼、電信服務商並分享給該裝置業者，如華為、Oppo、Vivo，並且額外蒐集裝置上App資訊分享給騰訊、微博、地圖業者高德（AutoNavi）、語音辨識業者科大訊飛（iFlytek），理由是協助用戶使用它們提供的服務。</p> <p>但研究人員發現My2022並未說明會將用戶健康紀錄分享給誰。另一方面，它又說明會在（且不僅只於）涉及國家安全、公衛事件及犯罪調查等情況下，不經用戶同意揭露個人資訊。</p> <p>除了資訊隱私之外，加拿大研究人員另外也發現My2022的安全問題。例如北京冬奧伺服器，如tmail.beijing2022.cn部分內容傳輸連線未以SSL加密。另一些伺服器，如health.customsapp.com、my2022.beijing2022.cn等雖然採取SSL傳輸，但並未驗證SSL憑證，這可能讓攻擊者發動中間人攻擊，冒充合法網站以攔截用戶輸入的資訊，或是從惡意主機傳送假造內容到App。研究人員也發現數個和北京冬奧的伺服器SSL連線可能曝險。</p> <p>另一方面，My2022還可能扮演言論審查者的角色。研究人員發現My2022提供了舉報他人的政治敏感言論的功能。此外，Android版My2022包含一個「illegalwords.txt」檔，內有2400多個審查關鍵字詞，大部份是簡體中文，少部份為繁體中文、藏文及維吾爾語。字詞類別涵括罵人三字經、色情、非法物質（如製作爆裂物的成份），以及大量政治敏感用語，法輪功、天安門（如「捌玖陸肆紀念」）、習近平等。但研究人員表示這些關鍵詞並未用於實際的言論過濾。</p> <p>研究人員相信，蒐集敏感資訊卻防護不足的My2022，已違反了Google Play及蘋果App Store審查規範，</p> <p>研究人員於去年年底完成調查後，於12月3日將報告發現分享給了北京冬奧及帕奧主辦單位。截至45日後的1月18日未獲得回應，於是向媒體公布研究發現。</p> <p><a href="https://www.dw.com/en/ioc-reacts-to-cybersecurity-concern-over-beijing-my-2022-phone-app/a-60466680" target="_blank">國際奧委會（International Olympic Games，IOC）昨日對媒體反駁這項指控</a>，表示My2022是防範COVID-19的重要工具，其功能首要任務是支持健康監控。</p> <p>在對<a href="https://www.zdnet.com/article/ioc-disputes-citizen-lab-assessment-of-security-concerns-around-chinese-olympics-app/" target="_blank">ZDNet</a>的聲明中，IOC也強調，為了防疫，My2022 App必須採取特別措施以確保冬奧及帕奧與會者、以及中國民眾的安全。IOC並指這款App都已經通過Google Play Store及蘋果App Store的審查。</p> </div></div></div>
2022/1/19 11:20作者林妍溱https://www.ithome.com.tw/news/148953
微軟準備以687億美元買下遊戲業者視動暴雪，將成微軟史上最大併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2022/01/18/microsoft-to-acquire-activision-blizzard-to-bring-the-joy-and-community-of-gaming-to-everyone-across-every-device/" target="_blank">微軟周二（1/18）宣布</a>，將以每股95美元的現金、總價約687億美元的金額，買下歐美最大的遊戲業者動視暴雪（Activision Blizzard），預計於2023財年（2022年7月至2023年6月）完成交易，若交易順利，它將成為微軟史上最大的併購案，加速橫跨行動、PC、遊戲機及雲端等微軟遊戲業務的成長，並成為元宇宙（Metaverse）的建置區塊。</p> <p>成立於2008年的動視暴雪為歐美最大的遊戲業者，旗下擁有5個業務單位，包括動視發行（Activision Publishing）、暴雪娛樂（Blizzard Entertainment）、King、Major League Gaming與動視暴雪影業（Activision Blizzard Studios），曾發行的知名遊戲包括《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）與《Candy Crush Saga》等。</p> <p>根據遊戲產業分析機構<a href="https://newzoo.com/insights/rankings/top-25-companies-game-revenues/" target="_blank">Newzoo去年第二季的統計</a>，動視暴雪的遊戲營收為全球第七大，落後騰訊、Sony、蘋果、微軟、Google及網易。微軟則說，買下動視暴雪將讓該公司成為全球遊戲營收第三大的企業，僅次於騰訊及Sony。</p> <p>消息曝光後，動視暴雪的股價大漲了25.88%，以82.31美元作收，創下641億美元的市值。不過，微軟表示，687億美元的併購金額，也包含了動視暴雪所握有的淨現金。</p> <p>在併購案完成以前，仍由Bobby Kotick擔任動視暴雪執行長，而為了迎接動視暴雪的到來，微軟已指派現今負責Xbox及微軟遊戲業務的Phil Spencer擔任Microsoft Gaming執行長，且即日起生效，將於併購結束後主管動視暴雪的業務。</p> <p>其實微軟自1975年成立以來，一直對遊戲領域很感興趣，光是<a href="https://en.wikipedia.org/wiki/List_of_mergers_and_acquisitions_by_Microsoft" target="_blank">檯面上與遊戲相關的併購案就接近30家</a>，自2018年迄今，加上動視暴雪的併購數量為10家。此外，687億美元的併購金額更刷新了微軟有史以來的併購紀錄，先前的紀錄為2016年12月以262億美元買下LinkedIn。</p> <p><a href="https://news.microsoft.com/2022/01/18/satya-nadella-email-to-employees-bringing-the-joy-and-community-of-gaming-to-everyone/" target="_blank">微軟執行長Satya Nadella指出</a>，遊戲一直是微軟的關鍵業務，也是成長最快也最大的娛樂形態，隨著數位與實體世界即將合而為一，遊戲勢必會在各種元宇宙的平臺上扮演重要的角色。此外，微軟也強調，行動為目前遊戲領域最大的類別，全球的遊戲玩家中，接近95%都會在行動裝置上執行遊戲。</p> <p>市場則分析，微軟買下動視暴雪定會受到美國聯邦交易委員會（FTC）的反托拉斯關切，推測微軟可能會以其Xbox業務仍小於Sony Playstation，以及以行動裝置為主的遊戲業務仍有諸如蘋果及Google等競爭對手為由來抗辯。</p> </div></div></div>
2022/1/19 11:35作者陳曉莉https://www.ithome.com.tw/news/148954
Coinbase與Mastercard合作，將讓用戶直接刷卡購買NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大的加密貨幣交易平臺Coinbase自去年10月宣布將<a href="https://www.ithome.com.tw/news/147259" target="_blank">推出非同質化代幣（Non-Fungible Token，NFT）交易市集</a>之後，本周二（1/18）再度宣布<a href="https://blog.coinbase.com/coinbase-and-mastercard-partner-to-revolutionize-nft-purchase-experience-8e486a392c55" target="_blank">已與萬事達卡（Mastercard）合作</a>，將讓使用者直接刷卡購買NFT。</p> <p>現階段的NFT絕大多數作為數位商品的所有權憑證，主要是音樂、藝術及影片等，也成為各種品牌推出數位收藏品的媒介。</p> <p>不過，有鑑於NFT源自區塊鏈技術，目前要交易NFT亦以基於區塊鏈的加密貨幣為主，消費者必須先申請一個加密貨幣錢包，繼之購買加密貨幣，再以加密貨幣購買NFT，對一般消費者而言並不友善，這也使得Coinbase與萬事達卡結合，打算讓消費者在Coinbase的NFT交易市集上，直接以萬事達卡刷卡購買NFT，將大幅簡化交易流程，並促進NFT的普及。</p> <p>原本預計於去年底上線的NFT交易市集並未如期上線，但Coinbase宣稱很快就會推出，而萬事達卡則說將會動用所有的安全機制，來確保用戶資料及所購買的NFT安全性。</p> <p><a href="https://www.mastercard.com/news/perspectives/2022/coinbase-nft-creator-economy-prakash-hariramani/" target="_blank">Coinbase資深產品總監Prakash Hariramani認為</a>，NFT推動了經濟自由，舉例來說，當人們在《第二人生》（Second Life）或其它遊戲中購買了虛擬物品時，這些虛擬物品是被集中控制的，也只能在相關的遊戲中使用，但買了NFT之後，這就是屬於使用者的資產，不管是在哪個遊戲或元宇宙中。</p> <p>此外，各大品牌也積極參與NFT，包括可口可樂（Coca-Cola）、金寶湯（Campbell）、NBA及愛迪達（Adidas）都在去年釋出NFT收藏品，而且Hariramani估計將有愈來愈多的品牌加入NFT戰局。</p> <p>Coinbase與萬事達卡之後將會進一步揭露刷卡購買NFT的更多細節。</p> </div></div></div>
2022/1/19 12:01作者陳曉莉https://www.ithome.com.tw/news/148955
微軟Edge 98新增可緩解未知零時差漏洞攻擊的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/deployedge/microsoft-edge-relnote-beta-channel" target="_blank">微軟本周釋出最新Microsoft Edge 98測試版</a>，其中一項新功能宣稱可緩解未知零時差漏洞遭駭客攻擊。</p> <p>Edge 98.0.1108.23目前釋出到Beta版頻道給測試用戶。新版主要增加了二項安全功能。首先是一項新的上網安全功能，在以Edge瀏覽器上網時增添多一層防護。這項功能讓管理員在用戶桌機啟動3項群組政策，包括EnhanceSecurityMode、EnhanceSecurityModeBypassListDomains、EnhanceSecurityModeEnforceListDomains，以防止零時差漏洞攻擊。</p> <p>當啟動這項功能，即啟動硬體強制執行的堆疊防護（Hardware-enforced Stack Protection）、任意程式碼防禦（Arbitrary Code Guard，ACG）及內容流程防禦（Content Flow Guard，CFG）。</p> <p>Edge 98的新功能是去年11月微軟<a href="https://www.ithome.com.tw/news/148004" target="_blank">Edge 96加入「超強安全模式」（Super Duper Secure Mode，SDSM）</a>後的續集。SDSM主要目的在關閉Edge的JavaScript Just-In-Time Compilation（JIT）編譯器，以減少瀏覽器安全威脅，因為JIT所屬的Chromium V8 JavaScript 引擎經常發現漏洞，而且JIT和ACG也不相容。新版Edge 98將可在沒有JIT的環境中部署ACG及CFG，以防範惡意程式活動。</p> <p>微軟表示這項功能可利用歷史紀錄分析，緩解「未預見」的零時差攻擊活動，聲稱是安全防護的「一大進步」。此外這些政策也有助於確保重要網站和商務應用的正常運作。</p> <p>第二項安全功能則是自訂主密碼。和其他瀏覽器一樣，Edge也讓用戶儲存網站密碼，以便日後自動填入登入表單中、加速登入網站。因此為了安全起見，現有的Edge已讓用戶在儲存密碼前加入驗證步驟，防止他人利用儲存的密碼來登入網站。Edge 98新功能則是在此基礎上多一層保護；啟動本功能後，用戶必須先輸入一個主密碼驗證自己身分，再儲存密碼。</p> <p>最新版Edge還另外加入了Overlay scrollbar，用戶可以經由「edge://flags」啟動功能。</p> </div></div></div>
2022/1/19 12:09作者林妍溱https://www.ithome.com.tw/news/148956
Google更新Eventarc使用者介面、新增事件路由目的地
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/developers-practitioners/introducing-new-eventarc-ui-cloud-run-anthos-destinations">Google更新事件服務Eventarc</a>，在雲端平臺控制臺加入Eventarc使用者介面，供用戶更方便地控制和管理觸發器，另外，Google還新增事件目的地Cloud Run for Anthos，增加事件路由目的地的選擇。</p> <p>Google從去年12月開始，進行一連串的Eventarc更新，包括早前發布的Cloud Storage觸發器，可將Cloud Storage事件路由到Cloud Run的功能，目前已經正式發布。而官方現在還對所有使用者，公開Eventarc使用者介面預覽，讓用戶可以在雲端控制臺，集中瀏覽、編輯和刪除Eventarc觸發器。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/image2_jdLj2SC.max-700x700.png" style="width: 600px;" /></p> <p>官方表示，Eventarc使用者介面可供用戶一目了然現有觸發器，包括觸發器正在監聽的事件、來源以及路由的目的地，都會清楚地呈現在列表中。只要點擊列表中的觸發器，就能進一步查看細節（下圖），並進行編輯和刪除操作。新的Eventarc使用者介面，也讓用戶能夠方便地創建觸發器，只要點選事件供應者，頁面會清楚地呈現事件可用的頻道，引導用戶正確設定接下來的配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3_PQmr9xS_max-1300x1300.png" style="width: 360px; height: 208px;" /></p> <p>另外，現在Eventarc的事件路由目的地新增Cloud Run for Anthos，Google提到，Eventarc的目標是要能將許多事件來源，連結至許多事件目的地。而雖然Eventarc現在有許多事件來源選擇，但當前只有一個事件目的地，也就是Cloud Run，因此Google新增Cloud Run for Anthos服務，作為新的事件目的地。</p> </div></div></div>
2022/1/19 10:54作者李建興https://www.ithome.com.tw/news/148952
哪個品牌最容易被網釣駭客相中？DHL取代微軟居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣攻擊通常是仿冒知名的品牌，藉由傳遞假冒的訊息以讓使用者在不知情的狀況下輸入自己的機密資訊或部署惡意程式，過去最受駭客青睞的品牌一向是微軟，不過，<a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/" target="_blank">資安業者Check Point本周指出</a>，去年第四季最常遭駭客濫用的品牌是國際知名物流業者DHL，首度超越微軟奪冠，且同屬物流的聯邦快遞FedEx也入榜前十名。</p> <p>在COVID-19疫情開始蔓延以來，全球消費者大規模地轉向網路購物，也使得物流產業在疫情期間一片欣欣向榮，而這也是物流品牌遭到駭客鎖定的主因。</p> <p><a href="https://www.checkpoint.com/press/2021/social-now-among-top-three-sectors-to-be-imitated-in-phishing-attempts-in-q3-2021/" target="_blank">在去年第三季時</a>，最常被駭客濫用的品牌前五名依序是微軟（29%）、Amazon（13%）、DHL（9%）、Bestbuy（8%）與Google（6%），但到了第四季時，名次及比例變更為DHL（23%）、微軟（20%）、WhatsApp（11%）、Google（10%）與LinkedIn（8%）。</p> <p>DHL在第三季時僅排名第三，且全球的網釣攻擊只有9%假冒為DHL，到了第四季便激增至23%。此外，第三季沒有進入前十名的FedEx也在第四季以3%排名第七。</p> <p>網釣駭客多半是藉由採用類似品牌官方的網址或網頁設計來誘騙使用者，在Check Point去年第四季所觀察到的網釣攻擊中，駭客以DHL客戶支援的名義寄出了郵件，並附上假冒為官網的連結，要求使用者輸入於DHL上使用的電子郵件與密碼；在冒牌的Fedex攻擊中，同樣假冒為Fedex的客戶支援，並隨信附上了一個壓縮檔，但它實際上是個鍵盤側錄程式，用以竊取使用者的機密資訊；還有一個偽裝成PayPal的網釣攻擊，要求使用者確認自己的PayPal帳號，並將使用者引導至一個偽造的PayPal登入頁面，騙取PayPal用戶憑證。</p> </div></div></div>
2022/1/18 18:27作者陳曉莉https://www.ithome.com.tw/news/148950
跨平臺應用程式部署工具Waypoint 0.7加入觸發器增強自動化能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可簡化容器應用程式部署的工具<a href="https://www.hashicorp.com/blog/waypoint-0-7-reimagines-ui-and-extends-deployment-workflows">Waypoint，推出新版本0.7</a>，開發商Hashicorp重新設計了Waypoint使用者介面、觸發器，以及外部資料擷取的方式，來改善使用者體驗，並且讓Waypoint能夠更好地搭配其他工具使用。</p> <p>Waypoint是HashiCorp在2020年開發的工具，目的是要在Kubernetes、Amazon ECS和其他平臺，提供類似PaaS的體驗。Waypoint抽象了各種平臺底層基礎設施，供開發人員以一致的方式，部署、管理和觀察應用程式，只要使用單一指令，就能夠將應用程式部署到Waypoint所支援的各種平臺上，用戶還能夠使用擴充套件，來擴展建置、部署和發布邏輯。Waypoint本身是一個自託管的軟體，不需要使用HashiCorp的任何服務，就能開始管理用戶基礎設施和平臺上的應用程式。</p> <p>Waypoint 0.7加入了一個稱為觸發器（Trigger）的新核心功能，觸發器會在持續整合環境中運作，預配置來執行Waypoint生命周期操作，用戶可以配置的操作，像是部署最新版本，或是要求專案中所有應用程式回報狀態，甚至是對所有應用程式執行部署操作等。</p> <p>觸發器可直接在環境中透過gRPC請求啟動，該請求會告訴Waypoint執行預配置的動作，由於觸發器是以專案為範圍配置，因此可以對專案中定義的所有應用程式進行操作，但也可以只針對專案中單個應用程式。</p> <p>Waypoint 0.7是加入觸發器的第一個版本，Waypoint伺服器目前僅支援以gRPC啟動觸發器，不過，官方也預告，在接下來發布的版本，將會支援以HTTP請求來啟動觸發器，使得運作在持續整合環境中的Waypoint，比現在的可存取性更高。</p> <p>Hashicorp也改進Waypoint從外部獲取資料的能力，新版本Waypoint讓用戶使用動態函式，在waypoint.hcl中配置獲取和使用外部資料的方法，以存取來自Vault、Terraform Cloud、AWS Secrets Manager等平臺的資料。</p> <p>另外，Waypoint 0.7讓用戶變更工作區，來更改擴充套件的配置。由於從Waypoint 0.1以來，工作區的設計都是作為模擬環境或組織的概念，但隨著發展，官方擴展了工作區的功能，新用法就包括用戶可以根據工作區變更部署Kubernetes的命名空間，並且可以在獨立的工作空間，嘗試不同的擴充套件類型。</p> <p>Waypoint讓使用者，能夠透過網頁瀏覽器中的命令列工具，和使用者介面，來部署、管理和觀察應用程式，在新版本中，官方透過重構使用者介面，添加許多新的工作流程，來強化使用者體驗。新的UX項目包括環境選擇下拉選單、圖標更新，還有已建置、部署和發布資訊相關的時間軸。現在也可以在Waypoint瀏覽器使用者介面中，使用waypoint exec，這將允許用戶在部署中執行命令，有助進行故障排除、執行資料庫搬遷，或是檢查應用程式配置等操作。</p> </div></div></div>
2022/1/18 18:29作者李建興https://www.ithome.com.tw/news/148946
Rust 1.58進一步簡化語言功能降低使用難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2022/01/13/Rust-1.58.0.html">程式語言Rust開發團隊發布最新1.58版本</a>，這個版本有不少編譯器上的更新，同時也強化程式語言功能，目的在使Rust更容易使用。Rust 1.58在格式化字串（Format String）中，加入了可捕捉的識別符號，並且更改Windows上命令搜尋路徑，在標準函式庫中加入更多#[must_use]註解。</p> <p>現在開發者可以在字串中，使用{ident}來捕捉參數，過去格式接受位置參數以及命名參數，而現在命名參數也能夠在周圍範圍被捕捉，而這同樣也可用於格式化參數，格式化字串只能捕捉普通的識別符號，不能捕捉任意路徑或是表示式，對於更複雜的參數，開發者必須對參數指定區域名稱，或是使用較舊的name = expression格式化參數類型。</p> <p>官方提到，這項新功能可以在所有接受格式化字串的巨集中使用，不過，例外則是2015年和2018年版本的panic!巨集，當panic!(“{ident}”)還是被當作為格式化字串時，編譯器會發出警示，告訴開發者該寫法沒有預期效果。由於2021版本，官方更新了panic巨集進而提高了一致性，因此這項新功能可以在2021中的panic!運作。</p> <p>Rust 1.58減少Windows命令搜尋的路徑，在Windows上，std::process::Command將不再於當前工作目錄中搜尋可執行檔案。過去受win32 CreateProcess API的影響，Rust按特定的優先順序執行搜尋，會先搜尋子PATH環境變數中列出的目錄，接著是載入應用程式的目錄、父程序的目錄、32位元的Windows系統目錄、16位元的Windows系統目錄、Windows目錄，最後則是PATH環境變數列出的目錄。</p> <p>官方解釋，由於使用當前工作目錄可能產生預料之外的結果，或是當在處理未受信任目錄時，產生惡意行為，即便是微軟自己的PowerShell文件，也不使用當前目錄，以確保其安全性。而現在沒有當前目錄的情況下，Rust會按照新的優先順序進行搜尋。</p> <p>但因為沒有API可以探索16位元Windows系統目錄，因此Windows上Rust的新命令搜尋順序，將會跳過16位元Windows系統目錄，僅有子PATH環境變數中列出的目錄、載入應用程式的目錄、32位元的Windows系統目錄、Windows目錄以及PATH環境變數列出的目錄。在非Windows上，將仰賴特定平臺的行為，通常只考慮子或父PATH環境變數。</p> <p>另外，在Rust 1.58中的標準函式庫，加入更多的#[must_use]註解，大多數函式都帶有#[must_use]註解，忽略回傳的值將會出現警告。Rust編譯器在這個版本也有不少更新，像是在拋出lint錯誤之後，還是能繼續編譯，以顯示更多有用的錯誤訊息等。</p> <p>Rust的套件管理器Cargo，現在加入一個新的後設資料欄位，以表示最小支援的Rust版本，這對其他工具來說將會是很有用的資訊，另外Cargo在install指令加入—message-format選項，並且在後臺，更新curl至7.80版本，以更好地支援OpenSSL 3。</p> </div></div></div>
2022/1/18 18:31作者李建興https://www.ithome.com.tw/news/148951
鎖定Linux平臺的惡意程式在2021年增加了35%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/linux-targeted-malware-increased-by-35-percent-in-2021/" target="_blank">美國資安業者CrowdStrike本周揭露</a>了2021年的Linux惡意程式狀況，指出去年鎖定Linux平臺的惡意程式數量比2020年增加了35%，其中光是XorDDoS、Mirai與Mozi三大惡意程式家族就占了22%。</p> <p>有鑑於Linux既具彈性又有多元的各種版本，因而適用於不同的硬體設計，例如目前全球大多數的雲端基礎設施與網頁伺服器都採用Linux，且它同時也是行動裝置與物聯網（IoT）裝置的主要平臺，其中，缺乏充分安全保護的行動及物聯網裝置，則替駭客帶來了大量的開採機會，例如採用固定憑證、開放傳輸埠或未修補的安全漏洞等。根據估計，全球的物聯網裝置數量到了2025年，將會超過300億臺。</p> <p>去年三大Linux惡意程式家族之一的XorDDoS為一木馬程式，它鎖定基於Arm、x86與x64等平臺的Linux架構，主要藉由SSH暴力破解攻擊取得物聯網裝置的遠端控制權；有些變種會掃描及搜尋開啟2375傳輸埠的Docker伺服器，因為該傳輸埠提供了未加密的Docker插槽及無需密碼的遠端存取，因而遭到駭客濫用。與2020年相較，XorDDoS去年的樣本數增加了123%。</p> <p>至於Mozi則是一端對端的殭屍網路惡意程式，它藉由分散式雜湊表（DHT）系統來部署自己的擴充DHT，DHT所具備的分散式與去中心化查找功能，讓Mozi得以將C2C流量藏匿在大量的DHT合法流量中，利用DHT也能讓Mozi快速壯大其殭屍網路。Mozi也是透過暴力破解SSH及Telnet傳輸埠來入侵系統，隨後還會封鎖這些傳輸埠以避免被其它惡意程式取代。Mozi去年的樣本數多達前一年的10倍。</p> <p><a href="https://www.ithome.com.tw/news/108775" target="_blank">2016年問世的Mirai在原始碼被公布後</a>就一直流竄迄今，已出現數不清的變種，堪稱是今日各種Linux DDoS惡意程式的共同祖先，也讓它依舊身居主要Linux惡意程式之一。</p> <p>CrowdStrike亦公布了上述三大Linux惡意程式家族的入侵指標供外界參考。</p> </div></div></div>
2022/1/18 17:23作者陳曉莉https://www.ithome.com.tw/news/148948
國發會3月將提我國淨零碳排路徑圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趕上國際社會淨零碳排趨勢，國發會今天(1/18)公布今年工作目標，預告今年3月將會提出臺灣淨零碳排路徑圖，揭示淨零碳排的4大政策方向。</p> <p>國發會主委龔明鑫在年終記者會中表示，國發會今年的目標，短期目標方面包括：擬定整體經濟目標、穩定物價、完成第4期前瞻預算審議、地方創生、強化國際鏈接。而今年將完成規畫及中長期的目標則是：解決人口及人力問題，以及淨零碳排。此外，國發會正在推動的包括重要國家政策管考、資金導入的實質投資、雙語國家等政策等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ppt.jpg" style="width: 600px; height: 356px;" /></p> <p>其中，前瞻建設計畫2.0的第4期預算審議，不同於第3期前瞻預算審議的主軸，偏重數位轉型如5G布建、建置產業園區鼓勵臺商回流、發展地方創生以平衡城鄉差距，在淨零碳排的中長期目標之下，國發會今年將完成的第4期前瞻預算審議，預算審議主軸納入淨零碳排。</p> <p>龔明鑫指出，目前第4期前瞻預算已框列，大致完整計畫也已提出來，在淨零碳排的明確目標之下，第4期前瞻預算審議主軸將作調整，在預算審議的過程中將淨零排碳納入考慮、對審議的計畫提出要求。國發會會重新檢視第3期預算執行狀況，對執行不力計畫收回預算額度，用以支持綠能等相關項目，另外在審議第4期每項計畫預算時考量淨零碳排，在能夠達成同樣目的下，傾向支持採用淨零碳排技術或工法。</p> <p>目前第4期前瞻預算約1,800億元，而2025年的第5期預算約1,000億元。龔明鑫補充說明，除了在淨零的項目加碼之外，普遍性的做法是在淨零的總目標之下，未來每項公共建設都應該納入淨零想法。</p> <p>至於今年3月將提出的臺灣淨零碳排路徑圖，包含4大重要政策方向：2030年前將節能、綠能、減碳最大化；推動運具及製造的電動化；投入氫能與CCUS碳捕捉技術開發及國際合作；配合歐盟碳關稅趨勢，啟動溫室氣體減量管理法修法，將徵收的碳費以基金，投入鼓勵減碳技術開發及推動電動化。</p> <p>為達到淨零碳排，未來國發會是否會訂定強制目標？龔明鑫以交通運具的電動化為例，不會採取哪一年開始禁售燃油車的強制做法，而是以外部成本內部化的方式，以價格或補貼機制產生相對比較利益，例如未來燃油車課碳費，徵收的碳費可能用於補貼電動車，以比較利益鼓勵民間購買電動化運具。</p> <p>龔明鑫認為，儘管目前已發展出一些綠能、減碳的技術，但按照國際組織的預測，以現有技術要在2050年達到淨零的目標可能難以實現，因此需在未來10年投入新技術研發，並在2030年大量採用，才有可能在2050年實現淨零的目標，因此課收碳費，以補助綠能或減碳等新技術研發，或運具的電動化有其必要性。</p> <p>目前政府正推動修法，擬將溫室氣體減量管理法改為氣候變遷因應法，環保署也正進行修法研商，未來修法將徵收碳費，但各界對於碳費如何計算，徵收的對象仍有不同的意見，未來可能課徵多少碳費，成立的基金將如何運用，這些問題的目前仍沒有明確的答案。</p> <p> </p> </div></div></div>
2022/1/18 18:12作者蘇文彬https://www.ithome.com.tw/news/148949
【資安日報】2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣受許多組織使用的網站內容管理系統WordPress，再度傳出有數個外掛程式存在重大的存在請求偽造（CSRF）漏洞，CVSS風險層級高達8.8分，研究人員估計總共有8.4萬個網站受到影響。</p> <p>另外，不少企業採用的SAP，其中一個CVSS風險層級9.1分的重大漏洞，研究人員發現可被用於供應鏈攻擊，讓攻擊者在SAP應用程式植入惡意軟體，呼籲用戶要儘速修補漏洞。</p> <p>除了上述的嚴重漏洞之餘，北韓APT駭客組織去年大肆透過加密貨幣業者竊取資金的現象，也較以往增加4成，而成為北韓在許多國家對其經濟制裁下，用來發展軍事的資金來源。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://sports.ltn.com.tw/news/breakingnews/3804188"><span style="color: rgb(0, 0, 0);"><strong>中華職棒YouTube頻道被盜，直播內容變比特幣演說</strong></span></a></h4> <p>根據國內多家媒體報導，中華職棒YouTube官方頻道在1月17日晚間21時20分被盜用，頻道名稱被更改為MicroStrategy，直播內容則是講解比特幣，狀況在22時30分左右排除，但張貼的影片有被刪除的狀況。不過這起事件並未結束，我們從PTT網友針對此事的回應來看，在1月18日上午5時到9時，被盜狀況仍繼續發生，並指出這樣的直播維持有2千人觀看。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/qlocker-ransomware-returns-to-target-qnap-nas-devices-worldwide/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Qlocker再度鎖定威聯通NAS發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Qlocker Tor site.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qlocker%20Tor%20site.png" style="width: 300px; float: right;" /></a>勒索軟體Qlocker曾於2021年4月下旬，鎖定威聯通（QNAP）的NAS用戶發動攻擊，利用備份資料同步元件HBS 3的漏洞入侵。但最近，該勒索軟體再度出現新一波的攻擊行動而值得留意。根據資安新聞網站Bleeping Computer於1月15日的報導，他們發現Qlocker疑似在1月6日有了新的攻擊行動，一旦NAS遭到威染，檔案被加密後攻擊者會留下勒索訊息，要求支付0.02至0.03個比特幣來恢復檔案，至少有數十臺NAS遭到感染。該新聞網站呼籲用戶，參考威聯通的最佳實務來強化NAS安全。</p> <h4><a href="https://teamt5.org/tw/posts/north-korea-hacker-konni-apt-attack-target-russia/"><span style="color: rgb(0, 0, 0);"><strong>臺資安業者TeamT5揭露鎖定俄羅斯政府的APT入侵攻擊手法</strong></span></a></h4> <p>今年1月初，資安業者Cluster25揭露北韓駭客組織鎖定俄國外交部的攻擊，對於這樣的攻擊行動，臺灣資安業者TeamT5在1月中旬也公開自家分析結果，解析其攻擊手法，是透過惡意魚叉式電子郵件進行，一旦使用者上鉤開啟郵件附檔中的螢幕保護程式поздравление.scr，該程式背地裡將連線中繼站並下載惡意Payload，再透過Base64演算法取得惡意CAB檔案，當中將包含後門程式scrnsvc.dll，經TeamT5分析，該後門程式與北韓駭客組織Konni所慣用的後門程式家族Sanny有關，與Cluster25的研究分析有相同結論。</p> <h4><a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/"><span style="color: rgb(0, 0, 0);"><strong>近四分之一網釣攻擊冒用DHL的名義出手</strong></span></a></h4> <p>過往網路釣魚攻擊中，攻擊者較為偏好利用微軟和Google等IT業者的名義，來取得受害者的信任，進而得手對方的帳密等資料，但這個情況近期出現了變化。資安業者Check Point針對2021年第4季，駭客在發動網路釣魚攻擊的行動裡，所假冒的廠牌名稱，調查後發現，全球有23%網路釣魚是利用物流業者DHL的名義發動攻擊，不只比2021年第3季（9%）高出不少，也超越微軟（20%）、WhatsApp（11%）、Google（10％）。</p> <h4><a href="https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/"><span style="color: rgb(0, 0, 0);"><strong>北韓Lazarus旗下駭客組織鎖定加密貨幣新創公司，將其貨幣盜領一空</strong></span></a></h4> <p>北韓駭客鎖定加密貨幣來獲利的情況，近期又有相關的攻擊行動出現。卡巴斯基揭露Lazarus旗下的駭客組織BlueNoroff，約在2021年11月發起SnatchCrypto攻擊行動，鎖定專門處理加密貨幣、數位合約、DeFi、區塊鏈的中小型新創公司下手，對於這些企業的員工傳送具備監控功能的後門程式，最終目的是清空受害組織的加密錢包。為了讓受害者上當，該組織偽裝成超過15家風險投資業者。</p> <h4><a href="https://www.nbcnews.com/tech/security/north-korea-stole-record-400-million-cryptocurrency-last-year-research-rcna12080"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客2021年竊得4億美元加密貨幣，較前年多出4成</strong></span></a> </h4> <p><a href="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png" style="width: 300px; float: right;" /></a>美國與其他國家長期對於北韓實施經濟制裁，使得該國長期以來，倚賴APT駭客攻擊全球各地的金融機構，來竊取資金。但最近2到3年，北韓駭客更加關注如何偷取加密貨幣，根據區塊鏈資安業者Chainalysis調查，這些駭客在2021年總共對於加密貨幣平臺發起至少7次攻擊行動，並取得近4億美元的加密貨幣，較2020年要多出40%。其中，被竊的加密貨幣以太幣占超過半數（58%）、比特幣居次（20％）、22%是ERC-20或替代幣（Altcoin）。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/linux-malware-sees-35-percent-growth-during-2021/"><span style="color: rgb(0, 0, 0);"><strong>Linux惡意軟體在2021年增加35%，XorDDoS、Mirai、Mozi最為氾濫</strong></span></a></h4> <p>攻擊者鎖定Linux作業系統發動攻擊的現象，去年頻繁傳出攻擊事故，許多勒索軟體駭客開始針對這種環境製作專屬攻擊工具，就連Log4Shell漏洞攻擊，也有不少是針對Linux伺服器而來，但這種情況有多嚴重？根據資安業者CrowdStrike的調查，2021年Linux惡意軟體的數量，較2020年多出35%，其中XorDDoS、Mirai、Mozi家族最為氾濫，占所有惡意軟體的22%，其中又以Mozi攻擊出現爆炸性成長，去年的惡意軟體數量是前年的十倍。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/high-severity-vulnerability-in-3.html"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在高風險漏洞，恐波及8.4萬網站</strong></span></a></h4> <p>專注於WordPress網站安全的Wordfence指出，他們發現3個WordPress外掛程式存在請求偽造（CSRF）漏洞CVE-2022-0215，CVSS風險層級為8.8分。這些存在漏洞的外掛程式為Login/Signup Popup、Side Cart Woocommerce、Waitlist Woocommerce，各有超過2萬個、4千個、6萬個網站使用，套件開發者XootiX獲報後已修補上述漏洞。</p> <h4><a href="https://www.securityweek.com/critical-sap-vulnerability-allows-supply-chain-attacks"><span style="color: rgb(0, 0, 0);"><strong>重大SAP軟體漏洞恐被用於供應鏈攻擊</strong></span></a></h4> <p>甫被公布細節不久的軟體漏洞，很可能因為有其他利用的方式，而使得漏洞潛藏的危害比原本預期的還要嚴重，甚至可能引發類似SolarWinds供應鏈攻擊的事故。例如，專精於SAP安全的資安業者SecurityBridge，針對一項存在於NetWeaver AS ABAP、ABAP平臺的重大漏洞CVE-2021-38178提出警告，表示這項漏洞原先被發現是不正確的授權問題，能讓攻擊者將程式碼跳過檢測程序就發布，但研究人員發現，攻擊者還能竄改發布狀態，允許在正式發布程式碼後將狀態變更為「可修改」，使得攻擊者可以任意加入惡意程式進行供應鏈攻擊。這項漏洞SAP已於2021年10月發布修補程式，研究人員呼籲用戶要儘速安裝相關更新。</p> <h4><a href="https://mashable.com/article/safari-bug-browser-history-security"><span style="color: rgb(0, 0, 0);"><strong>Safari驚傳頁面呈現引擎漏洞，恐曝露瀏覽器記錄與Google帳號細節</strong></span></a></h4> <p>資安業者FingerprintJS揭露Safari 15瀏覽器的WebKit頁面呈現引擎漏洞，這項漏洞與Indexed Database（IndexedDB）的API有關，一旦被攻擊者利用，可透過網站追蹤使用者的網路活動，甚至得知用戶的身分，例如Google帳號的細節，無論是蘋果個人電腦（macOS）或是行動裝置（iOS、iPadOS）用戶都受到影響。這項漏洞自研究人員於1月15日公開後，蘋果已於17日著手於WebKit原始碼加入相關的修補程式，但尚未提供給一般用戶。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment"><span style="color: rgb(0, 0, 0);"><strong>半導體資安標準SEMI E187正式發布上架</strong></span></a></h4> <p>在2022年1月17日，全球首個半導體晶圓產線設備資安標準已正式上架於SEMI網站，名稱為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」。特別的是，這也是首次由臺灣主導制定的半導體相關國際標準，此項標準在四大方面提出要求，包括：作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，建立晶圓廠設備資安最低標準。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/18 14:27作者周峻佑https://www.ithome.com.tw/news/148941
火山爆發導致海底電纜受損，東加對外通訊中斷恐持續二周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.stuff.co.nz/business/127512800/tonga-subsea-communications-cable-may-be-broken-after-all-says-southern-cross" target="_blank">Stuff.nz報導</a>，上周末南太平洋的東加王國因鄰近海底火山大規模噴發，引發海底地震及海嘯，導致東加王國海底光纜受損，對外通訊幾乎中斷。</p> <p>受火山爆發衝擊導致東加對內、對外光纖網路故障。對外光纖由東加首都努瓜婁發（Nuku'alofa）連向斐濟首都蘇瓦（Suva），長達872公里。受到對外纜線運作故障，目前東加對外電話及連網服務幾乎中斷。</p> <p>ZDNet引述持有線纜的東加線纜公司（Tonga Cable）指出，2條光纖都受影響，對外光纖故障發生在距努瓜婁發37公里處，對內光纖則是在距努瓜婁發47公里處。</p> <p>此外當地一家行動電信業者則表示，該公司在東加境內服務部份可用，但海嘯波及的島嶼因基地臺遭破壞也受影響。該公司目前正緊急架設衛星連線，但僅供政府及少數客戶使用。</p> <p>現階段東加僅能利用衛星電話及衛星寬頻維持對外通訊。</p> <p>目前負責營運的南十字星海纜表示已經著手修復，估計回復時間可能長達2周，實際情況需視故障是出於機組失靈、停電或是光纖斷裂。</p> <p>東加南方65公里的Hunga Tonga火山上周大規模噴發，被稱是1990年以來最大火山爆發，火山灰被抬升至30公里的高空，爆炸巨響連6000英哩外的阿拉斯加都聽得到，此外，爆發時的海底地震也在當地引發超過1公尺的海嘯，紐西蘭、日本及美國都發佈了海嘯警報。紐西蘭及澳州政府也派遣偵察機前往視察災情。</p> </div></div></div>
2022/1/18 16:49作者林妍溱https://www.ithome.com.tw/news/148947
微軟緊急修補Windows Server、Windows桌機版 1月安全更新問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows-message-center" target="_blank">微軟昨（1/17）日釋出例外更新（out-of-band，OOB）</a>，以解決上周Windows及Windows Server更新引發的無限重開機、Hyper-V無法啟動以及Windows電腦無法執行VPN連線的問題，連已終止支援的Windows 7、Server 2008也都在修補之列。</p> <p>微軟表示，這波OOB更新將分別解決和Windows網域控制器（Domain Controller）重開、虛擬機器啟動失敗、彈性檔案系統（ReFS）可移除媒體無法啟動相關的問題。</p> <p>上周Patch Tuesday針對Windows Server及Windows釋出的安全更新，<a href="https://www.ithome.com.tw/news/148866" target="_blank">用戶下載安裝後陸續出現上述問題</a>。微軟也分別提供說明。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-server-2022#2775msgdesc" target="_blank">其中當網域控制器</a>在強化安全性系統管理員環境（Enhanced Security Admin Environment，ESAE）環境下使用Shadow Principal物件，或是啟動Privileged Identity Management（PIM）的環境會發生不預期開機，導致許多用戶經歷Windows Server伺服器不斷重開機。</p> <p>針對彈性檔案系統（ReFS）無法啟動，<a href="https://support.microsoft.com/en-us/topic/kb5010691-refs-formatted-removable-media-may-fail-to-mount-or-mounts-as-raw-after-installing-the-january-11-2022-windows-updates-7a959f37-91b6-4baf-a797-829b0ee86c65" target="_blank">微軟解釋</a>，是出於可移除媒體包括USB外部磁碟不支援這個檔案統格式。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-8.1-and-windows-server-2012-r2#2776msgdesc" target="_blank">Hyper-V無法啟動VM的問題</a>則發生在使用UEFI的系統裝置上。</p> <p>至於VPN連線問題，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2#2773msgdesc" target="_blank">微軟指出</a>包含Vender ID的IPSEC連線、或使用第二層隧道協定（Layer 2 Tunneling Protocol，L2TP）及IPSEC網際網路金鑰交換（Internet Key Exchange）的VPN，在Windows PC安裝更新後都可能無法啟動。</p> <p>雖然主要是現今主流的Server 2012R2、Server 2016、Server 2019、Windows Server 10 20H1、Server 20H2、Server 2022、及Windows 10（20H2、20H1、1909、1607、1507）、11（21H1）受影響，不過微軟這波例外更新的發布對象，也涵括微軟已終止支援的Windows 7 SP1、Windows Server 2008 SP2。</p> <p>管理員或用戶可以在Update Catalog手動下載更新。部份版本可經由Windows Update自動下載安裝。</p> </div></div></div>
2022/1/18 13:22作者林妍溱https://www.ithome.com.tw/news/148938
蘋果允許荷蘭約會App使用第三方程式內支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.acm.nl/en/publications/apple-has-adjusted-its-policy-dating-apps-acm-assess-these-adjustments" target="_blank">荷蘭消費者交易主管機關本周宣布</a>，蘋果已通知荷蘭政府將允許該國境內上架App Store 的約會應用程式可使用第三方程式內支付（in-app purchase，IAP）系統，或允許開發商將用戶導向原廠網站付費。</p> <p>這也是繼上周<a href="https://www.ithome.com.tw/news/148842" target="_blank">南韓的例子</a>後，蘋果開放使用第三方程式內支付的國家。</p> <p>荷蘭消費者與市場管理署（Netherlands Authority for Consumers and Market，ACM）2019年接獲旗下擁有Match.com、Tinder、OkCupid和Hinge的Match Group投訴後，即著手調查蘋果App Store強制使用自家IAP一事，<a href="https://www.reuters.com/technology/exclusive-dutch-watchdog-finds-apple-app-store-payment-rules-anti-competitive-2021-10-07/" target="_blank">當局去年10月做出違反競爭法的判決</a>。</p> <p><a href="https://www.acm.nl/en/publications/acm-obliges-apple-adjust-unreasonable-conditions-its-app-store" target="_blank">荷蘭政府去年12月底命令</a>蘋果必須在2022年1月15日之前，調整對約會程式開發商的不合理條款。如果蘋果未能依要求調整，將遭到荷蘭當局每星期500萬到5,000萬歐元的罰款。</p> <p><a href="https://developer.apple.com/support/storekit-external-entitlement/" target="_blank">根據蘋果說明</a>，荷蘭App Store上架的約會應用程式開發商，除了使用蘋果IAP外，也可在程式內加入連結以便將用戶導向原廠網站購買，或是在App中加入第三方支付系統。</p> <p>欲加入原廠網站連結或使用第三方支付的約會App，必須向蘋果申請新的權利。由於這新權利僅限在荷蘭App Store上架及荷蘭境內流通的App，因此開發商必須另外上傳iOS及iPadOS適用的專門函式庫。而這些申請及上傳程式也將經過蘋果審查。</p> <p>不論用戶是連向開發商網站支付，或是使用第三方IAP支付，蘋果都會收取交易手續費。至於收費比例，和在南韓的例子一樣，蘋果將於日後公佈。</p> <p>蘋果稅（Apple Tax）問題讓許多應用程式開發商感到不滿，尤其是知名開發商如Epic Games、Spotify等。在這些業者循法律途徑解決後，蘋果終於有所讓步。<a href="https://www.ithome.com.tw/news/146489" target="_blank">去年9月蘋果允許</a>Reader類別程式開發商在App中提供連結，將用戶導向開發者的網站購買，並設定及管理帳號。</p> </div></div></div>
2022/1/18 13:33作者林妍溱https://www.ithome.com.tw/news/148939
Walmart有意發展加密貨幣與NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大實體零售業者Walmart去年底向美國專利暨商標辦公室（U.S. Patent and Trademark Office，USPTO）<a href="https://alter.com/trademarks/walmart-97197301" target="_blank">提出了新的商標申請</a>，透露出該公司打算從事與加密貨幣相關的業務，或替進入元宇宙（Metaverse）的世界舖路。</p> <p>新的申請內容歸類為保險與金融服務類，準備透過全球的電腦網路提供虛擬貨幣供線上社群使用；於非同質化代幣（Non-Fungible Token，NFT）領域提供虛擬貨幣的交易；提供加密貨幣、NFT與區塊鏈的交易服務；並有意發行數位代幣供全球線上社群使用；或者是發行NFT。</p> <p>這顯示出在電子商務時代被Amazon搶了先機的Walmart，不願再落後於新一代的區塊鏈、加密貨幣與NFT趨勢，同時也可替被視為全球化虛擬世界的元宇宙舖路。</p> <p>在科技社群的推波助瀾下，區塊鏈、加密貨幣或NFT慢慢地滲透到各個領域，而相關技術很可能會在元宇宙的時代充分發揮。不只是Walmart，知名運動服飾品牌Nike也在去年10月<a href="https://uspto.report/TM/97096366" target="_blank">提出類似的申請</a>，將該公司商標所涵蓋的範圍擴大至可下載的虛擬商品，包括透過電腦程式所打造的鞋子、衣服、頭盔、眼鏡、袋子、運動裝備、藝術、玩具或配件等，以讓使用者於線上虛擬世界中使用。</p> <p>對於媒體的詢問，Walmart並未正面表態，而是<a href="https://www.cnbc.com/2022/01/16/walmart-is-quietly-preparing-to-enter-the-metaverse.html" target="_blank">向《CNBC》表示</a>，該公司一直在探索新興技術將如何改變未來的購物經驗，也持續地測試各種新想法，有些想法會落實成產品或服務，若否亦會從中學習。</p> </div></div></div>
2022/1/18 13:44作者陳曉莉https://www.ithome.com.tw/news/148940
英特爾11、12代處理器終止支援SGX，新PC無法播4K藍光光碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/new-intel-chips-wont-play-blu-ray-disks-due-to-sgx-deprecation/" target="_blank">Bleeping Computer報導</a>，英特爾已從第11、12代處理器Core 11000及12000系列移除對SGX（software guard extension）安全技術的支援，這將讓使用最新一代的處理器的桌機及筆電無法播放提供4K解析度的藍光光碟（Ultra HD Blu-ray）。</p> <p><a href="https://edc.intel.com/content/www/tw/zh/design/ipla/software-development-platforms/client/platforms/alder-lake-desktop/12th-generation-intel-core-processors-datasheet-volume-1-of-2/001/deprecated-technologies/" target="_blank">根據去年公布的Intel 12代Core 處理器規格表</a>，未來產品將不再支援Intel SGX及Intel記憶體防護延伸（Intel Memory Protection Extensions, MPX）、以及TSX-NI指令集等技術。</p> <p>由於藍光光碟使用的數位版權管理（digital rights management，DRM）機制需要搭配SGX。因此在11代以後Intel Core處理器移除支援後，搭載這些處理器的裝置將無法執行播放Ultra HD Blu-ray光碟的任務。</p> <p>事實上早在2020年2月<a href="https://arstechnica.com/gadgets/2020/02/intel-promises-full-memory-encryption-in-upcoming-cpus/" target="_blank">即有媒體報導</a>英特爾放棄支援SGX的計畫。當時英特爾高層說明，未來英特爾CPU都將使用新的安全技術，包括全記憶體加密（Total Memory Encryption，TME）及多金鑰全記憶體加密（Multi-Key Total Memory Encryption，MKTME）。</p> <p>英特爾是在2014年宣布Intel SGX，並於2015年的Skylake微架構中首次加入。不過SGX有一些缺點，包括它的加密安全區（enclave）太小只有128MiB，無法完整保護應用程式資料，此外它也會影響處理效能。<a href="https://medium.com/@danny_harnik/impressions-of-intel-sgx-performance-22442093595a" target="_blank">有研究人員測試顯示</a>，啟動SGX安全區可能使CPU效能下降20%-50%。</p> <p>不過最大問題可能在安全。<a href="https://www.ithome.com.tw/news/121615" target="_blank">Bleeping Computer報導</a>，近年有許多攻擊是鎖定Intel SGX而來，包括2018年<a href="https://www.ithome.com.tw/news/121615" target="_blank">新Spectre</a>、2019年<a href="https://www.ithome.com.tw/news/130651" target="_blank">ZombieLoad</a>、2020年的LVI（Load Value Injection）概念驗證攻擊等。</p> <p>而在搭戴新處理器的裝置上，播放Ultra HD藍光光碟的問題就會浮現。對此<a href="https://www.cyberlink.com/support/faq-content.do?id=26690" target="_blank">訊連科技的FAQ網頁</a>指出，受到SGX功能移除，以及SGX和最新版Windows OS及驅動程式不相容等問題，對其持續支援Ultra HD Blu-ray內容播放形成極大挑戰，因此該公司決定在新CPU及新Windows平臺上不再支援Ultra HD Blu-ray。</p> <p>媒體建議，消費者較好的選擇是持續使用Core 7000、8000、9000和10000系列。再早的Skylake不支援HDCP 2.2，無法使用HDMI 2.0轉接頭的裝置。</p> </div></div></div>
2022/1/18 13:04作者林妍溱https://www.ithome.com.tw/news/148936
西班牙祭出新規定，推廣加密貨幣必須明確揭露廣告性質並警告投資風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙國家證券市場委員會（National Securities Market Commission，CNMV）周一（1/17）<a href="https://www.cnmv.es/portal/verDoc.axd?t={1cbaf61c-57c2-4830-bd6a-071f806795e2}" target="_blank">針對境內的加密貨幣廣告祭出新規定</a>，要求舉凡是收受金額以推廣加密貨幣的網紅或名人，都必須事先知會CNMV，對外公開揭露其廣告性質，同時警告相關的投資風險。只要是粉絲人數超過10萬人的網紅都在規範之列。</p> <p>去年底西班牙足球明星Andrés Iniesta去年11月<a href="https://twitter.com/andresiniesta8/status/1463410602509062145?lang=en" target="_blank">於Twitter上展示了加密貨幣交易平臺Binance</a>，還說他將學習如何透過Binance進入加密貨幣的世界，<a href="https://twitter.com/cnmv_medios/status/1463573103943077889" target="_blank">結果隔天就被CNMV點名</a>，要求Iniesta在進行相關投資之前應該充分理解，也應告誡他人。後來Binance證實了Iniesta是收費替該平臺打廣告。</p> <p>外界認為CNMV的新規定與此一事件不無關聯，而Iniesta在Twitter上的粉絲人數超過2,500萬人，遠高於CNMV的10萬人門檻。</p> <p>CNMV要求，從今年2月17日起，只要是向10萬人以上展開加密貨幣相關業務的廣告時，不管是加密貨幣業者或具影響力的網紅與名人，都應於10天前事先通知CNMV，對外公開揭露其廣告性質，並必須附上警告文字：「加密貨幣資產的投資並未受到監管，因而可能不適合散戶投資者，也可能損失全部投資。」否則將會面臨罰款處分。</p> </div></div></div>
2022/1/18 13:14作者陳曉莉https://www.ithome.com.tw/news/148937
Google與加州大學合作，運用神經網路技術加速基因定序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://www.blog.google/technology/health/advancing-genomics-better-understand-and-treat-disease/">公開</a>了幾項他們運用最新機器學習技術，與其他學術單位和基因公司合作的研究結果，除了能夠更快地偵測遺傳性疾病之外，Google也開始投資公平性基因組學研究，要確保各種血統的人類個體，都能在最新技術中，獲得相同的準確度。</p> <p>藉由基因定序，現代醫療能夠更好地了解、診斷和治療疾病，像是利用基因組定序來診斷罕見的遺傳性疾病，找出胸腺癌或是類動脈高壓等高風險人群，據估計，這些疾病影響大概8％的人口。</p> <p>由於遺傳性疾病可能會導致嚴重的疾病，在許多情況下，及時發現存在的潛在風險，醫療能夠更早介入，提高挽回生命的可能性，對新生兒來說更是如此，遺傳性或是先天性疾病影響近6％的新生兒，但過去要辨識這些疾病的定序工作，需要數天到數周才能完成。</p> <p>而現在Google與加州大學合作，運用遞迴神經網路開發一種稱為<a href="https://github.com/kishwarshafin/pepper">PEPPER-Margin-DeepVariant</a>的方法，可以快速分析定序儀資料，成為目前最快的商業定序技術，這項技術已經被用在重症新生兒醫療上，辨識可疑的致病變異。在最快的情況下，不用8小時就能發現可能致病變異，而過去最快的時間需要13.5小時。目前這項技術已經成功反轉了一名嬰兒的神經發育障礙診斷結果，使醫療人員能及時針對疾病執行精確的治療。</p> <p>Google也與基因組定序平臺開發商PacBio合作，將機器學習和演算法開發工具用於定序資料，以獲得更多的資訊，Google開源一種名為DeepConsensus的方法，能夠與PacBio定序平臺結合，更準確地讀取定序資料，而這有助於研究人員將PacBio技術應用在更多元的用例中。</p> <p>另外，與其他健康和醫學領域一樣，研究人員也努力解決基因組學領域中的公平性問題，Google提到，大多數基因組研究參與者，皆具有歐洲血統，如果不解決公平性問題，將會使研究結果出現偏差，也就是說研究成果可能不適用於不同血統的個體。</p> <p>Google在過去一年資助了兩專案，針對代表性不足的人群，改進研究方法和基因組學資源。</p> </div></div></div>
2022/1/18 08:40作者李建興https://www.ithome.com.tw/news/148931
Google讓模型依任務學習路由，有效提高大型語言模型推理效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其最新的人工智慧研究，發表了一種用於加速大型模型推理的方法<a href="https://ai.googleblog.com/2022/01/learning-to-route-by-task-for-efficient.html">TaskMoE（Task-level Mixture-of-Experts）</a>，也就是說，使用該方法，在模型擴大的情況下，推理的成本不會顯著增加，因此能繼續提供有效率的服務。</p> <p>由於擴展大型語言模型，能夠使像是T5、GPT-3和M4這類語言模型的結果，獲得明顯的提升，因此在追求更高品質結果的目標下，研究人員無不盡可能擴展模型。建構更大模型的常用方法，通常是增加層數，或是增加層的維度，使模型更深更寬。</p> <p>這類密集模型採用輸入序列，序列會被切分成更小的元件，稱為令牌（Tokens），這些令牌會傳遞給整個網路，活化每一層和參數。Google提到，雖然這些大型且密集的模型，在多自然語言處理任務上獲得很不錯的結果，但是訓練成本也會隨著模型規模線性增加。</p> <p>因此為了降低成本，研究人員開始採用混合專家（Mixture of Experts，MoE）方法，建構稀疏活化模型。與密集模型方法不同之處，在於傳遞給網路的每個令牌，會藉由跳過部分的模型參數，依循被稱作專家的獨立子網路，藉此減少計算量。</p> <p>而將輸入令牌分配給各子網路的決定，則由一個小型的路由網路決定，混合專家方法讓擴增模型大小所付出的成本，不會成比例地線性增加，進而提升效能。</p> <p>但Google提到，雖然這是一個有效的訓練策略，但是將長序列令牌發送給多個專家，會再次使推理計算成本增加，因為專家會分散在大量的加速器中，像是1.2T參數的GLaM模型，就需要用到256個TPU-v3晶片。因此又會與密集模型遭遇到相同的問題，混合專家模型提供服務所需要的處理器數量，與模型大小成線性關係增加，因而增加計算需求，並導致明顯的通訊開銷和工程複雜度。</p> <p>因此Google發展了一種成為TaskMoE的方法，在模型擴展的同時，仍然能夠有效率地提供服務。Google的方法是訓練一個大型多任務模型，並在推理時，丟棄每個任務未使用的專家，從中萃取出更小、獨立的任務子網路，能夠適用於推理，又不會損失模型品質，並且顯著降低推理延遲，與其他混合專家模型以及使用知識蒸餾壓縮（Distillation）的模型相比，Google證明，他們的方法在多語言神經機器翻譯方面更為有效。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEgkqREeRRMeieObGensmatGJ4I-5aovQT3PcTgjBNBSWoIPPFB58p99uK2NxApXq7RHMIUPdpaEQsK1UhrhXQK58GOaev6gm0KfAe0Zm2miZwRRm_S7qAmVADwOhOAJeqz6cRVdds4yTj5GpvQVf-gRY4CjoOGkwfOGgNPLhpOwwu9Dwx0pLeQNdX2kJw=w640-h365" style="width: 580px;" /></p> <p>Google比較TaskMoE、典型混合專家模型TokenMoE和基準密集模型的吞吐量和每秒解碼令牌數，TaskMoE模型比TokenMoE模型小達7倍，可以直接在單個TPU-v3晶片上運算，不需要像是TokenMoE使用64個TPU-v3晶片，且TaskMoE吞吐量峰值是TokenMoE的2倍，Google提到，TokenMoE模型花了25％的推理時間在裝置間的通訊，而TaskMoE幾乎沒有通訊成本。</p> <p>以結果來看，在多語言翻譯任務中，TaskMoE模型的分數，硬是比經蒸餾的TokenMoE模型平均高了2.1 BLEU。</p> </div></div></div>
2022/1/18 08:38作者李建興https://www.ithome.com.tw/news/148927
本土HR雲端服務靠差異服務打造生態圈，內建福委電商平臺將推出薪水預支消費功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">人資SaaS服務業者Mayo近期宣布今年將推4項新功能，來發展人資生態圈，在HR系統中提供薪水預支消費，企業員工消費抵免軟體授權，引進線上課程推薦AI、AI錄影面試整合Teams等新功能，來創造差異化。目標是3年內客戶達到上萬家，更計畫進軍海外市場如越南、香港與日本。</p> <p dir="ltr"><span class="s1" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">Mayo</span>執行長簡士評表示，Mayo要仿效Line的商業模式，瞄準每家企業的HR剛性需求，切入企業軟體服務的市場，打造滿足企業員工需求的各類生活服務。尤其，簡士評指出，企業系統服務行動化之後，HR系統更容易觸及所有員工，「我們真正想做的是企業社群軟體，商業模式在於，如何透過滿足企業員工的需求，賺到應有的利潤。」不過，Mayo的服務按用戶數分級計價，而不像Line是免費軟體。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/271818058_507797770630045_8045119599817663116_n.jpg" style="width: 670px;" /></p> <p dir="ltr">在這個目標之下，Mayo計畫盡可能地搶下國內企業雲端HR服務的市場，預計3年內，從現有近千家客戶擴張到上萬家，簡士評估計，臺灣企業只有2％使用雲端HR服務，Mayo大概占了一半，未來希望從2%提升到15%，同時要搶下7～8成的市占率。除了擴張臺灣市場，Mayo也要進軍海外，目前已經跨足中國市場，今年Q4則計畫要進入越南、香港，明年更計畫進軍日本，來觸及更多客戶。</p> <h3 dir="ltr"><span style="color:#FF8C00;">今年新推4大新功能，打造人資生態圈新商模，要靠附加價值來獲利</span></h3> <p dir="ltr">為了擴大市站，Mayo採取差異化的HR服務策略。比如說，Mayo在2018年推出Apollo人資系統，就可提供員工福利整合平臺，提供員工消費、團購服務的電商平臺。目前近一步提供部分銀行薪轉戶整合，提供一鍵開戶的功能，能自動傳送員工資料到銀行，報到當天就能完成線上開戶。</p> <p dir="ltr">Mayo線上商城正在開發，未入帳薪水支付消費的功能，可讓員工預先在商城消費，發薪時自動代扣消費金額後再匯入薪轉戶；另一項同樣正在開發的新商業模式，則將根據企業員工總消費金額，來給予企業一定比例的折扣，比如設定150位員工在線上商城消費超過100萬元，可以退還企業3%費用，也就是3萬元，可用來折抵每年HR系統的年費費用。這兩項功能都預計在今年上線。</p> <p dir="ltr">Mayo也取得了全球課程學習平臺Cornerstone在臺灣、中國與越南的代理權，正逐步整合臺灣在地課程平臺，比如好學校、Ted演講等的學習資源，要透過Cornerstone本身的AI推薦演算法，參考不同職業的使用者的收看行為，來推薦企業員工跨平臺的課程組合，要鎖定HR資源不足的中小企業市場，計劃將在今年Q4推出。</p> <p dir="ltr">目前，Mayo也正在將AI錄影面試系統Lasso AI整合微軟Teams，讓企業直接用Teams與應聘者進行面試，同時可用AI評分輔助，預計在Q2正式上線；下一步還要將Apollo整合到Teams中，「但複雜度高，預計明年之後才會啟動。」不只如此，Mayo也將SaaS服務上架到微軟商業市集，要搶攻微軟的雲端客戶。</p> <p dir="ltr">除了預告未來一年功能，簡士評也揭露了未來3～5年長期目標是，在累積足夠多的客戶數據後，在未來3～5年發展出HR指標儀表板，讓企業有機會跨產業比較自己的HR競爭力。。「一家公司的未來發展，財務報表的好，代表的是現在，HR指標好，才代表未來的發展性。」他點出，包括人員的離職率、關鍵崗位的招聘速度、薪資與同業的比較，這類數據更有機會看出一家公司的未來發展性。</p> </div></div></div>
2022/1/17 18:55作者翁芊儒https://www.ithome.com.tw/news/148930
【資安日報】2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家級駭客的攻擊行動不時有消息傳出，而這些駭客多半是暗中進行監控，或是藉由破壞牟取利益，但這個週末針對烏克蘭的攻擊行動，駭客的目的主要是造成當地的民眾恐慌，甚至是對於政府的不信任。攻擊者入侵了約70個烏克蘭政府的網站，並竄改網頁內容，以數種語言恐嚇「烏克蘭人的個資已經遭到外洩」。從這些網站造成的損害來看，可能影響有限，烏克蘭政府宣稱多數已恢復運作，且沒有網站儲存的資料遭到外洩的情況，但這起事故真正的破壞力在於，有可能造成當地社會民心不安，或是認為政府資料保護不力。</p> <p>另一起重大的資安事件，就是俄國在上述事件發生的隔日，大舉逮捕勒索軟體駭客組織REvil的成員，並特別宣稱是依照美國的意思執法。由於此起逮捕行動極為不尋常，與過往俄國的態度極為不同，外界也在猜測該國此舉背後的動機。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/"><span style="color: rgb(0, 0, 0);"><strong>數十個烏克蘭政府網站遭駭，疑似是俄羅斯所為</strong></span></a></h4> <p>烏克蘭與俄國關係緊張的態勢，疑似因近日俄羅斯意圖說服西方國家，阻止烏克蘭加入北大西洋公約組織（NATO）不成，而發動大規模的網路攻擊。根據路透社、彭博社、莫斯科時報、Bleeping Computer等新聞網站報導，1月13日晚間烏克蘭許多政府網站，如外交部、國家安全與國防事務委員會（NSDC）等部門遭到攻擊，14日早上網站出現無法存取的情況，可能有70個政府網站遭到攻擊，這些網站的內容遭到竄改，以烏克蘭語、俄語、波蘭語宣稱，烏克蘭人的個資已經遭到外洩。</p> <p>根據莫斯科時報的報導，烏克蘭國家安全局（SSU）發出聲明證實確有此事，但強調他們尚未發現民眾資料外洩的跡象，並指控這起攻擊行動很可能就是俄羅斯所為。</p> <p>究竟這些網站是如何被入侵的？Bleeping Computer取得消息來源的說法，這些網站疑似使用存在漏洞的October CMS內容管理平臺（CMS），攻擊者透過CVE-2021-32648身分驗證繞過漏洞，做為侵入這些網站的初始管道。</p> <h4><a href="https://krebsonsecurity.com/2022/01/at-request-of-u-s-russia-rounds-up-14-revil-ransomware-affiliates/"><span style="color: rgb(0, 0, 0);"><strong>俄國逮捕勒索軟體組織REvil成員，疑似是要向美國施壓</strong></span></a></h4> <p>過往俄國政府不太積極追捕駭客，甚至被美國指控是意圖藏匿犯人，而最近一起大動作圍捕參與勒索軟體REvil攻擊行動的駭客，被認為別有用意。俄羅斯聯邦安全局（FSB）在1月14日逮捕14名REvil組織的駭客，並查獲6百萬美元、4.26億盧布、5百萬歐元現金，以及20輛透過網路犯罪所得購買的高級汽車。</p> <p>FSB強調，此舉是因應美國的要求，但外界認為，這起逮捕行動是為了轉移與烏克蘭關係緊張的焦點，並作為要脅美國的籌碼──在13日，烏克蘭數十個政府網站驚傳遭到俄國攻擊，再者，俄國總統普丁也下令，要在烏克蘭邊境部署10萬兵力。</p> <h4><a href="https://www.bbc.com/news/world-europe-59998988"><span style="color: rgb(0, 0, 0);"><strong>烏克蘭政府網站遭到攻擊的事故，美國指控是俄國所為的栽贓攻擊</strong></span></a></h4> <p>烏克蘭數十個政府網站於1月13日晚間遭到攻擊，網站內容被竄改成恐嚇訊息。此舉外界認為可能就是俄國所為，但攻擊的動機是什麼？美國五角大廈的發言人於15日指出，這很有可能是俄國發動的栽贓（False Flag）行動，對於俄國人或在烏克蘭使用俄語的人士，意圖製造他們被烏克蘭敵對的現象，進而讓烏克蘭挑起爭端，而成為俄國能夠出兵的藉口。</p> <h4><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體WhisperGate鎖定烏克蘭組織趁火打劫，意在破壞而非勒索</strong></span></a></h4> <p>針對烏克蘭和俄國關係緊張的情勢，除了俄國疑似於1月13日攻擊數十個烏克蘭網站之外，微軟也在同一天發現，有來路不明的駭客組織DEV-0586，利用名為WhisperGate惡意軟體，攻擊數十個烏克蘭政府機關、非營利組織、IT業者，該惡意軟體會覆寫受害電腦的主要開機磁區（MBR），索討1萬美元復原電腦，且會損壞電腦裡的檔案。研究人員認為，攻擊者的目的並非贖金，而是要徹底破壞電腦檔案。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ukranian-police-arrests-ransomware-gang-that-hit-over-50-firms/"><span style="color: rgb(0, 0, 0);"><strong>烏克蘭逮捕攻擊逾50個企業的勒索軟體駭客組織</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/actor-computer.jpg" style="width: 300px; float: right;" />在烏克蘭政府網站大量遭到攻擊之前，警方於1月13日宣布破獲一個勒索軟體駭客組織，該組織由36歲的基輔居民為首腦，成員包括他的妻子與其他3名熟人。該組織透過垃圾郵件傳遞惡意軟體，但尚不清楚所使用的勒索軟體種類。根據警方調查，超過50家公司受到攻擊，總共損失超過百萬美元。除了勒索軟體攻擊，這個駭客組織亦提供VPN服務給其他網路犯罪人士，以便下載惡意軟體或是進行攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/defense-contractor-hensoldt-confirms-lorenz-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Lorenz攻擊跨國國防承包商Hensoldt</strong></span></a></h4> <p>攻擊者鎖定國防單位的合作廠商，很可能可以從中獲得國防機密，或是入侵國防單位。例如，勒索軟體Lorenz宣稱，他們攻陷了國防感測器承包商Hensoldt，並取得為數不詳的文件，並將其大部分上傳到該組織的公告網站。經資安新聞網站Bleeping Computer向Hensoldt確認，該公司的發言人證實，英國子公司部分行動裝置遭到波及。</p> <h4><a href="https://blog.malwarebytes.com/ransomware/2022/01/ransomware-cyberattack-forces-new-mexico-jail-to-lock-down/"><span style="color: rgb(0, 0, 0);"><strong>美國新墨西哥州監獄受到勒索軟體波及，視訊監控鏡頭與自動門無法使用</strong></span></a></h4> <p>政府機關遭到勒索軟體攻擊，有可能對於特定機構造成嚴重破壞，例如，美國新墨西哥州伯納利歐縣政府驚傳在1月5日午夜到凌晨5時30分，遭到勒索軟體攻擊，其中，當地的監獄大都會拘留中心（MDC）受到波及，導致網路連線中斷，視訊監控鏡頭與自動門皆無法使用，MDC被迫暫停所有的探監。根據該單位的IT人員確認，數個資料庫遭到破壞，而該設施的重要系統，包含事件追蹤系統（ITS）、罪犯管理系統（OMS），都無法存取。由於監獄的建築環境中無法使用行動網路，使得IT人員搶修更加困難。</p> <h4><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017e34185d610421"><span style="color: rgb(0, 0, 0);"><strong>對於雙因子驗證機制未落實的網路下單券商，證交所要求限期改善</strong></span></a></h4> <p>針對券商帳號安全問題，臺灣證券交易所在1月7日曾召集各家券商，研議如何強化網路安全資安防護，在1月17日有工商時報等多家媒體報導，指證交所已下令，全體券商必須限期完成旗下全體電子下單客戶的密碼重新設定修改，並以1月21日為最後期限，對於這樣的報導內容，我們連繫到證券交易所券商輔導部，該單位指出，相關報導過於誇大，這次會議後的內容，主要是針對之前實施雙因子驗證機制並不完善的少部分券商，應在1月24日前完成落實，而強制所有客戶更改登入系統密碼的部分，是關於完成雙因子系統修改前的防範措施。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148905"><span style="color: rgb(0, 0, 0);"><strong>微軟防毒軟體驚傳漏洞，可讓惡意程式規避偵測</strong></span></a></h4> <p>微軟防毒軟體Microsoft Defender提供的白名單機制，已有數起攻擊行動濫用，而讓攻擊者的惡意軟體不受檢查。研究人員發現，這個白名單本身存在設計瑕疵，可讓攻擊者規避偵測，且這項漏洞存在於多個版本的Windows。SentinelOne研究人員Antonio Cocomazzi指出，攻擊者只要使用命令提示字元搜尋機碼，就能夠得知Microsoft Defender的例外資料夾，一旦將惡意軟體存放於這些資料夾裡，該防毒軟體就不會進行掃描。這項漏洞影響所有版本的Windows 10和Windows Server 2019，但Windows 11不受影響。</p> <p>針對上述揭露，資安研究員Aura表示，8年前從事技術支援時，他就察覺相關漏洞，而另一名研究人員Paul Bolton去年曾向微軟通報卻未獲得修補。</p> <h4> </h4> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/17 18:08作者周峻佑https://www.ithome.com.tw/news/148928
遭作者破壞的Faker套件現由8名社群成員出面維護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在之前遭到作者自己破壞的NPM（Node Package Manager）熱門套件Faker，現在有8名工程師合力，在GitHub上創建了一個<a href="https://fakerjs.dev/update.html">官方Faker專案</a>，並且復原了過去的Faker版本，同時制定了接下來的開發計畫。</p> <p>Faker函式庫能夠創建虛假資料，用於應用程式測試、開發使用。新維護者提到，在事件平息之前，他們會先使用官方的名號，並強調，這是一個由社群維護的專案。</p> <p>資安公司Snyk早前發現NPM線上套件庫上兩個熱門套件colors和Faker，遭到惡意破壞，最後發現兇手原來是開發者本人Marak Squires。由於他不滿大部份財星500大企業使用他的專案，但是卻不願支付費用，花費許多心力的開發團隊，都只獲得開源社群和GitHub贊助商支援，因此決定搞破壞。</p> <p>Marak Squires在1月8日的時候發布新版colors，並在裡面加入了無限迴圈程式碼，這些程式碼會在套件程式碼初始化後立即觸發執行，並對任何Node.js<br /> 伺服器產生DoS攻擊。類似的情況發生在Faker套件上，在1月5日Faker位在GitHub的開源儲存庫，收到了一個強制提交，接著Faker的NPM套件版本便被升級成6.6.6版本，這個不包含任何程式碼的空套件，被發布到了公共註冊表上，Marak Squires隨後發表不再免費維護套件的貼文，並且刪除儲存庫。</p> <p>現在出現8名工程師，替Faker套件創建了一個新的GitHub儲存庫，並且釋出了所有之前的Faker版本，同時也創建了推特帳號和文件網站，來與社群互動。新維護者提到，他們想讓Faker套件有一個新開始，甚至可以比以前的更酷。因此還制定了開發路線計畫，包括要支援ESM、與現有Faker生態系維護者互動，甚至要在文件加入互動式環境，以及支援Node 18。</p> <p>由於在Marak Squires刪除自己的版本後，有許多分叉和私人維護的Faker版本出現，目前這個由8名社群成員維護的版本，自稱為官方版本，新維護者解釋，這是避免用戶將這個社群維護的版本，與其他私人版本混淆，他們會在事件平息之後，拿掉官方的字樣，他們也提到，目前看來，這個由社群維護的版本是最穩定的Faker版本。</p> <p>由於Faker專案的捐款是由Open Source Collective代管，新維護者與該組織達成共識，原本的Faker專案維護者Marak Squires等人，可以保有原本帳戶中的1萬多美元捐款，待資金轉移後，新專案會獲得該專案後續的捐款，作為維護專案的費用。</p> </div></div></div>
2022/1/17 15:59作者李建興https://www.ithome.com.tw/news/148924
Netflix調漲北美訂閱費率，漲幅約10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的串流影片服務業者網飛（Netflix），<a href="https://help.netflix.com/en/node/24926/us" target="_blank">在14日調漲了美國與加拿大等北美市場的訂閱費用</a>，把基本（Basic）方案的每月費用從8.99美元漲至9.99美元，標準（Standard）方案從13.99美元漲至15.49美元，高級（Premium）方案則從17.99美元漲至19.99美元，漲幅約莫是11%，且即日起生效。</p> <p>創立於1997年的Netflix由於所提供的內容愈來愈豐富，也逐步調高其每月訂閱費用，最初串流服務的每月訂閱費用為7.99美元，並在2014年分成3種方案，其基本方案一直是7.99美元，一直到2019年調高至8.99美元，再於今年調至9.99美元；標準方案則從2014年的8.99美元、2015年的9.99美元、2019年的12.99美元、2020年的13.99美元，到今年的15.49美元；高級方案在2014年時為11.99美元，但在2019年增加到15.99美元，2020年為17.99美元，最新的價格則為19.99美元。</p> <p>至於臺灣的訂閱費用則尚未更新，目前基本、標準及高級三種方案的月費分別為270元新臺幣、330元新臺幣及390元新臺幣。不過，依照Netflix的政策，調漲臺灣費率可能只是時間的問題。2020年10月Netflix宣布漲價時，臺灣費率依舊維持在149元、198元及240元新臺幣，但也悄悄漲至現在的水平。</p> </div></div></div>
2022/1/17 13:53作者陳曉莉https://www.ithome.com.tw/news/148921
美10州檢察長揭露Google廣告平臺黑箱作業：一面提高廣告價格、一面壓低網站出版商獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年底美國10個州政府控告Google藉廣告平臺獨大地位不當獲利。本周進一步揭露的文件顯示這家搜尋巨人，如何利用資訊不透明手段來賺取暴利及傷害網站出版業者。</p> <p>2020年12月德州為主的美國10州檢察長，<a href="https://www.ithome.com.tw/news/141736" target="_blank">向紐約地方法院對Google提起告訴</a>，指其在廣告領域身兼投手、打擊手及裁判角色，藉此排擠廣告平臺競爭者、偏私自家客戶。當時的文件有大量資訊經過塗黑、刪節。<a href="https://www.ithome.com.tw/news/143796" target="_blank">去年4月華爾街日報取得法院不慎洩露的文件</a>，報導了Google偏袒自家廣告平臺客戶、名為Project Bernanke的計畫。如今<a href="https://www.wsj.com/articles/google-misled-publishers-and-advertisers-unredacted-lawsuit-alleges-11642176036?mod=djemalertNEWS" target="_blank">華爾街日報報導</a>，上周紐約法院法官裁定將這份文件完整版本解封。</p> <p>2020年底由德州檢察官Ken Paxton代表的10州控告Google案指出，Google在廣告價格操弄手法上，一邊抬高廣告價格，使廣告主將成本轉嫁消費者，一面壓低網站出版商收到的廣告獲利。另一方面則限制網站使用的廣告平臺，藉此打壓平臺競爭者。而在一個星期後，<a href="https://www.ithome.com.tw/news/141776" target="_blank">38州聯合美國司法部又對Google搜尋業務提出反托拉斯控訴</a>。</p> <p>文件解封也將Google廣告業務操控市場秩序的手法公諸於世，包括Project Bernanke、預約價最佳化（Reserve Price Optimization）及動態分潤（Dynamic Revenue Share）。其實Project Bernanke有三種版本。版本一是廣告競標的黑箱作業手法。廣告主及網站出版商以為這個競標是採用第二高出價，即次高價投標拍賣（Second-Price Auction），但Google廣告平臺AdX實則剔除了出價第二高的廣告主，而由第三高出價者得標。</p> <p>這麼一來就壓低了出版商網站的廣告獲利。文件指出，吃了暗虧的網站出版商最多短少40%的營收。</p> <p>同時間它又向廣告主收取第二高的價格。Google利用兩面手法的價差獲取的利益，又用來操控平臺上的廣告競標，抬高其廣告客戶的競標價，以贏得原本可能拿不到版位。</p> <p>第二版手法為Global Bernanke。在此手法下，Google可匯集所有小型廣告主的出價金額來拉抬Google Ad（前名為AdWords）廣告主的出價，以贏得可能拿不到的競標版位。</p> <p>第三版本則為Bell，旨在拉攏加入Google AdX生態圈的網站出版商。如果出版商加入Google AdX生態圈，優先播放其廣告並拒絕其他廣告平臺的話，則可以從名為Dynamic Allocation的計畫獲得導流收益。透過這個計畫也能打壓Google競爭廣告平臺對手。</p> <p>但Google發言人對此表示，Project Bernanke目的在「最佳化廣告主投標」，並提升活化競爭。Google也否認有抬高價格及操弄廣告交易平臺的情形。</p> <p>至於預約價最佳化（Reserve Price Optimization），則是Google利用廣告主出價紀錄來設定底價，藉此抬高該廣告主的廣告價。動態分潤（Dynamic Revenue Share）則是先以上帝視角總覽所有投標競爭對手的出價，再據此變更Google廣告交易平臺AdX的收費，以確保Google投標工具可贏得競標。</p> <p>不過Google很早就否認控訴，稱這樁官司充滿訛誤、欠缺法律依據。</p> </div></div></div>
2022/1/17 14:29作者林妍溱https://www.ithome.com.tw/news/148922
不只用微服務架構改造HIS，北榮還用容器平臺部署醫療AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經5年轉換，臺北榮總終於在2020年底從大型主機走向開放式系統，更緊接著朝新一代Web 3.0微服務和雲原生架構邁進，不只用來優化複雜的癌症資訊系統，也在轉換期間，以世界主流的開源容器平臺K8s、Docker等，來以微服務架構打造藥囑系統。他們除了用微服務開發醫療資訊系統（HIS），還將不少醫療AI應用部署在容器平臺上，像是SMART視覺存活分析、內視鏡病理報告、AI自動訓練平臺等。下一步，也計畫採用FHIR國際醫療資料交換標準，來接軌國際。</p> <p><span style="font-size:24px;"><strong>從大型主機走向開放式系統，更進一步擁抱Web 3.0和微服務架構</strong></span></p> <p>北榮的IT系統轉換藍圖可分為3大階段。首先是大型主機時代，從1982年開始啟用IBM大型主機，「畫面就像PTT，是黑白的，」臺北榮總資訊室高級工程師朱原嘉解釋，這臺主機包含了構成IT系統所需的畫面層、邏輯層、資料存取層和資料來源層，好處是不必顧慮程式是否同步，直接按照排程處理即可。</p> <p>但這套大型主機系統最讓北榮頭痛的是「畫面不好看、維護成本高，」朱原嘉表示，除了黑白畫面屢遭使用者批評外，大型主機採用老舊的PL1程式語言，現在不只人才難尋，各自獨立運作的程式彼此無法共用，難以應付現今快速變化的IT環境。</p> <p>因此，北榮在2016年展開HIS再造，將大型主機轉換為Web 2.0的開放式系統架構，進入IT系統轉換藍圖的第2階段。過程中，北榮先盤點應用系統，利用虛擬機器（VM）來執行這100、200個系統，界定各自的服務範圍。同時，北榮也重寫了資料庫的預存程序（Stored procedure），是這次系統轉換時最費功夫的地方。</p> <p>就架構來說，北榮前端採用Ajax網頁開發技術，提高使用者不中斷的體驗，後端則採用J2EE架構來開發，並以JSON格式檔案來與預存程序溝通。網頁畫面層、邏輯層和資料存取層都在前後端執行，而預存程序則包含了邏輯層、資料存取層和資料來源層。</p> <p>不過，在北榮Web 2.0階段，雖然做到了各程式間可以共用，但仍沒有一套標準的存取介面。</p> <p>後來，北榮更進一步擁抱最新的Web 3.0技術（也就是WebApp），進入IT系統轉換藍圖的第3階段。這時，前後端仍採用Ajax和J2EE，但改用API來介接Redis資料庫、Docker容器平臺和專門處理高負載量的程式代理HAProxy等所需的資源，將畫面層、邏輯層置於此處，而原本的資料存取層則以Restful網頁服務來執行，資料來源層則改為開放式資料庫（檔案格式包括XML、JSON）。</p> <p>到了這個階段，程式不僅可共用，也有了標準存取介面，且程式不必直接存取資料庫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cover(1).jpg" /></p> <p><span style="font-size:24px;"><strong>Web 3.0練兵：藥囑系統</strong></span></p> <p>而藥囑系統，就是北榮用Web 3.0技術發展最成熟的系統。這個系統非常複雜，牽涉到數十個步驟流程，為了能以微服務架構開發，北榮IT團隊也重新梳理了作業流程，分為4大步驟。</p> <p>首先是醫師開藥，其中又可分為綜合處方、全靜脈營養（TPN）注射、緊急治療、化療等類別，最花時間開發的就是綜合處方，共有100項程式，如醫師授權、欄位檢核、缺藥停用警示等。</p> <p>流程第2步則是藥師確認，其中包含的藥物自動配方機、表單列印、藥袋列印和庫存管理等程式，都部署在Docker容器上來處理。第3步是護理簽收，掃過藥袋條碼才能進行計價，並進入第4步的病人取藥。在這最後一步，則包含了帳務計算、電子簽章和統計報表這3類子步驟。</p> <p><strong><span style="font-size:24px;">不只改善畫面，還能記憶關鍵訊息、自動帶入</span></strong></p> <p>利用新架構開發的藥囑系統，不只在畫面上一改黑白作風，以網頁式的彩色頁面和清楚欄位來呈現，系統還能記憶關鍵訊息，並在搜尋欄位自動跳出相關訊息，「有如Google搜尋的自動完成功能！」朱原嘉形容。</p> <p>舉例來說，當使用者在藥囑系統輸入藥名，只輸入NS時，搜尋欄位就會自動跳出與NS相關的藥物，甚至是藥名包含NS的缺藥訊息，方便使用者選擇，進一步查詢資訊。</p> <p>另一個最有感的差異，則是批次檢核。檢核是查看藥物開給是否正確，像是藥物名稱、劑量、單位、途徑等細節，而舊系統進行檢核時，只能逐一進行，但新系統能讓使用者批次檢核，不必一項一項檢核之外，還會自動以紅框標註有問題之處，來提醒醫師。</p> <p>就藥袋列印來說，部署在Docker容器中執行的新系統，不只能應付毫秒級的大量請求，還能儲存列印資訊，方便補印。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%A5%E7%89%A9%E6%90%9C%E5%B0%8B.jpg" /></p> <p><span style="font-size:24px;"><strong>除了用來開發HIS，還用容器平臺來部署醫療AI</strong></span></p> <p>北榮不少智慧醫療應用，也以當紅的開源容器管理平臺K8s、Docker來部署。比如，團隊用程式語言R開發一套存活分析線上平臺，也靠Docker容器來執行，使用者可以透過Shiny Proxy登入、上傳資料後，自動執行資料預處理、存活分析和機器學習模型運算等工作，最後產出報表給使用者參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AD%98%E6%B4%BB%E5%88%86%E6%9E%90.jpg" /></p> <p>另一個例子則是大腸內視鏡AI報告。北榮利用Docker部署ElasticSearch叢集，透過Logstash管道讀取csv格式檔的病理報告或內視鏡報告，將資料寫入叢集。當使用者透過Kibana這個視覺化工具查詢時，系統就會讀取ElasticSearch叢集資料，來產出視覺化的報表，像是在大腸鏡畫面上顯示大腸息肉、癌症病灶位置等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E8%A6%96%E9%8F%A1.jpg" /></p> <p>不只如此，北榮還用K8s來部署IBM模型周期自動化管理平臺AutoAI，成為北榮內部的AI訓練平臺。這個AutoAI能自動進行資料預處理、特徵工程、選擇模型並比較模型表現，省下大量人力與調參數的時間。北榮也實際利用這個平臺，來找出聽力治療後恢復的重要因子。</p> <p>除了IT系統現代化，朱原嘉透露，北榮IT團隊也在去年實作了FHIR疫苗通行證，更要將這個FHIR練兵經驗，進一步擴大到更多醫療應用上。因為，他們看見，全美超過80%的健康照護機構和廠商，都支援FHIR來跨機構互通醫療資料，而且，iPhone也採用FHIR來讓使用者與美國數百家醫療集團互通健康資料，個人還能授權第三方服務單位存取資料。北榮認為，FHIR將成下一代健康照護與AI的關鍵，得即時跟上。</p> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <h3><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);">醫療系統有多複雜？光癌症資訊系統就牽連數十個流程</span></strong></h3> </td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);">朱原嘉以參與開發數十年的癌症資訊系統為例，來說明單一醫療系統與HIS串接的複雜度。癌症資訊系統「就像IBM的AI癌症治療輔助系統（Watson for Oncology），」他比喻，這套系統可輔助醫生問診、管理治療策略和掌握病患狀態，但在北榮，癌症資訊系統不只服務醫生。</span></p> <p><span style="color: rgb(105, 105, 105);">「我們有超多公公、</span><span style="color: rgb(105, 105, 105);">婆婆！」他解釋，這套系統有許多不同類型的服務對象，像是負責病人清單的個管師，以及臨床部內外科、放射科，另外也給提供資料給癌症委員會參考，供他們研議改善策略，甚至還有營養師、癌登師等成員，需利用系統資訊來研討個案最佳處置方式。</span></p> <p><span style="color: rgb(105, 105, 105);">在這過程中，癌症資訊系統也得與不同HIS系統串接，比如掛號系統、門診系統、住院系統和癌症治療系統，甚至是會議系統。進一步拆解癌症資訊系統，可分為3大部分，首先是最底層的基礎架構層（如核心資訊系統如HIS、NIS、LIS、行政管理系統等）、中間的平臺服務層（如身份認證平臺、資料服務交換平臺、網站平臺、跨系統服務平臺），以及最上層的應用服務層，包含癌症診斷、新病症登錄、癌症治療規畫書、癌症病歷審核功能、癌症多專科會議等子系統。</span></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%8C%E7%97%87%E8%B3%87%E8%A8%8A.jpg" /></span></p> <p><span style="color: rgb(105, 105, 105);">為了串聯這些系統，北榮還自建了待辦事項（To do list）工具，就像是會議記錄般，來銜接不同系統的工作。</span></p> <p><span style="color: rgb(105, 105, 105);">這麼複雜的系統，北榮有套作法來解決共容性問題。他們將系統層重新劃分，特別設置共用元件基礎架構，將不同系統間的通用元件，如認證授權、快取處理、安控、資料處理等抽取出來，成為獨立的共用元件架構，如此一來，與其他系統串接時，就不必再各自打造這些元件。</span></p> <p><span style="color: rgb(105, 105, 105);">再來就是應用系統基礎架構層，包含了各應用系統共用的檢核邏輯模組，以及流程模組和與外部系統介接的模組。而與上一層的使用者介面間，就由應用系統服務介面（Restful service）來串聯。</span></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B3%BB%E7%B5%B1%E5%85%B1%E5%AE%B9.jpg" /></span></p> <p><span style="color: rgb(105, 105, 105);">透過這種共用元件、Web化的服務設計，就讓癌症資訊系統架構更靈活。舉例來說，以新架構開發的資料品管功能來說，系統設置不同顏色的燈號，來標註病人的來處（如門診、急診、住院等），一改過去未分類的作業方式。系統除了能自動登錄病人資訊，還能快速查找病人位置，把原本個管師需人工查找的30分鐘縮短為立即就能完成。又或是，該系統能自動將癌症病人資料自動歸戶至電子病歷系統，將過去需要手動歸戶的20至40分鐘，縮短為0分鐘。</span></p> <p><span style="color: rgb(105, 105, 105);">在改善過程中，他們還建立了一套代辦事項平臺，用來管控、追蹤流程，比如提醒醫師治療計畫書還沒撰寫，用這個方式取代原本的紙本作業。甚至，IT團隊還打造了病歷審查服務，將癌症病人以清單式歸類，不只改善病歷品質，也實現醫護間的資料共享。</span></p> </td> </tr></tbody></table><p> </p> </div></div></div>
2022/1/17 04:11作者王若樸https://www.ithome.com.tw/news/148903
俄羅斯逮捕14名REvil駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.fsb.ru/fsb/press/message/single.htm%21id%3D10439388%40fsbMessage.html" target="_blank">俄羅斯聯邦安全局（FSB）在14日宣布</a>，在美國的呼籲下，已搜查並逮捕了14名參與REvil勒索軟體集團的駭客。</p> <p>來自俄羅斯的REvil駭客集團現身於2019年，攻擊與勒索對象都是知名人物或上市企業，包括在2021年3月攻擊宏碁、4月攻擊廣達、5月攻擊全球最大肉品業者JBS美國子公司JBS USA、6月攻擊美國再生能源業者Invenergy，還涉及7月的Kaseya攻擊行動，REvil的行動驚動了白宮，也促使美國總統拜登（Joe Biden）在去年6月與俄羅斯總統普丁（Vladimir Putin）共同設立針對勒索軟體的專家小組，並要求俄羅斯不要包庇境內的駭客。</p> <p>FSB表示，他們是在美國主管機關的呼籲下，與俄羅斯內政部共同展開REvil駭客的掃盪行動，總計搜查了14名REvil成員的25個住處，扣押了包含加密貨幣在內、價值逾4.26億盧布（約550萬美元）的款項，以及60萬美元與50萬歐元的現金，再加上電腦設備、加密貨幣錢包與20輛名貴汽車。</p> <p>雖然FSB宣稱這群犯罪集團成員打造了惡意軟體以竊取外國人的資金，但起訴他們的理由僅為支付工具的非法流通。<a href="https://tass.com/society/1388613" target="_blank">根據俄羅斯通訊社《TASS）的報導</a>，目前只有8名REvil成員真正遭到起訴，此一罪名最高可判罰7年的有期徒刑與100萬盧布（1.3萬美元）的罰金。</p> </div></div></div>
2022/1/17 13:33作者陳曉莉https://www.ithome.com.tw/news/148920