iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

第三款UEFI惡意程式MoonBounce現身，格式化硬碟或重灌系統都拿它沒輒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaspersky.com/about/press-releases/2022_more-elusive-and-more-persistent-the-third-known-firmware-bootkit-shows-major-advancement" target="_blank">資安業者卡巴斯基（Kaspersky）上周揭露</a>了自2018年以來、所出現的第三支UEFI Bootkit：MoonBounce，由於它寄生在UEFI韌體中，因此就算重新格式化硬碟或重新安裝作業系統可能都無法移除它，也透露出UEFI Bootkit可能會愈來愈流行。</p> <p>UEFI的全名為統一可延伸韌體介面（Unified Extensible Firmware Interface），是一個介於平臺韌體與作業系統之間的軟體介面，它負責啟動裝置，再將控制權交給載入作業系統的軟體，至於Bootkit指的是在系統啟動之際就植入的惡意程式。因此，一旦UEFI被植入Bootkit，由於相關的程式碼存放在硬碟之外的SPI快閃記憶體，而且是在載入作業系統之前就執行，使得它不僅很難偵測，就算重新安裝作業系統或重新格式化硬碟，也都無法移除它。</p> <p>資安社群是在2018年9月發現首支<a href="https://www.ithome.com.tw/news/126208" target="_blank">名為LoJax的UEFI Bootkit</a>，當時使用它的是俄羅斯駭客集團APT28；第二支UEFI Bootkit是出現在2020年10月的<a href="https://www.ithome.com.tw/news/140369" target="_blank">MosaicRegressor</a>，與中國駭客有關；卡巴斯基則相信MoonBounce是由中國駭客集團APT41所部署。</p> <p>目前卡巴斯基只發現一個遭到MoonBounce攻擊的對象，尚未確定它的感染途徑，但分析顯示，MoonBounce比它的前輩們更為先進與精細，有別於LoJax與MosaicRegressor都利用額外的DXE驅動程式，MoonBounce選擇竄改既有的韌體元件，把一個先前屬於良性的核心元件變成惡意元件，藉由複雜的手法讓惡意元件進入作業系統，以與遠端的C&C伺服器互動，並下載其它惡意酬載，亦未留下任何的感染足跡。</p> <p>MoonBounce自C&C伺服器所下載的惡意酬載，包括Sidewalk、Microcin與另一個以Golang撰寫且尚未被命名的木馬程式，以及用來竊取憑證或安全資訊的Mimikat_ssp。</p> <p>根據資安社群的分析，迄今UEFI Bootkit攻擊多半是為了於受害組織中橫向移動並竊取資料，再加上它的隱匿特性，猜測駭客的目的為持續性的間諜行動。</p> <p>卡巴斯基建議組織應定期更新UEFI韌體且只使用可靠來源的韌體，於預設啟用安全啟動，以及部署端點防護產品。</p> </div></div></div>
2022/1/24 16:00作者陳曉莉https://www.ithome.com.tw/news/149039
WordPress外掛程式開發者AccessPress遭駭客入侵，93款外掛及主題被植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/" target="_blank">WordPress旗下安全服務Jetpack上周揭露</a>，專門開發WordPress主題與外掛程式的AccessPress疑似遭到駭客入侵，使得該站所有的主題與大多數的外掛程式都被嵌入可疑程式，<a href="https://blog.sucuri.net/2022/01/accesspress-themes-hit-with-targeted-supply-chain-attack.html" target="_blank">隨後專門提供網站安全服務的Sucuri則說</a>，估計有40款主題與53個外掛程式被植入後門程式。</p> <p>不管是Jetpack或Sucuri都表示，只有在AccessPress站上下載與安裝的主題及外掛程式含有後門程式，若是直接自WordPress安裝的AccessPress主題與外掛則是乾淨的版本，因而斷定是AccessPress遭到入侵。</p> <p>Sucuri表示，駭客在AccessPress上的軟體元件中植入以PHP撰寫的後門程式，該程式雖然很簡單，但使用者一旦安裝了之後，駭客就能取得網站的控制權，而且還會刪除自己的足跡以避免被偵測到。</p> <p>目前並不確定有多少WordPress網站受到波及，但Sucuri猜測駭客於黑市中兜售這些受害網站的存取能力，以讓其它人得以在這些網站上遞送垃圾訊息。</p> <p>Jetpack早在去年9月就偵測到AccessPress的其中一個主題含有後門程式，但一直到10月才聯繫到AccessPress，而AccessPress則在今年的1月17日更新絕大多數的外掛程式，惟尚未更新主題。</p> <p>Jetpack亦提醒使用者，單純更新外掛程式或主題並不能移除系統上的後門，必須重新安裝WordPress才能恢復遭到駭客竄改的核心文件。Sucuri則說，若是安裝了安全外掛程式或防火牆的WordPress，則有可能因此逃過一劫。</p> </div></div></div>
2022/1/24 13:34作者陳曉莉https://www.ithome.com.tw/news/149033
McAfee Agent含有可讓用戶以系統權限執行程式碼的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kc.mcafee.com/corporate/index?page=content&id=SB10378" target="_blank">資安業者McAfee在上周修補</a>了兩個位於McAfee Agent的高風險安全漏洞，其中的CVE-2021-31854為一命令注入漏洞，允許本地端用戶注入任意的Shell程式碼，而CVE-2022-0166則為權限擴張漏洞，允許低特權的用戶以系統權限執行任意程式。</p> <p class="rtecenter"><a href="http://kc.mcafee.com/corporate/index?page=content&id=SB10378" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-mcafee%20vuln-600-PNG.png" style="width: 600px;" /></a></p> <p>McAfee Agent為McAfee ePolicy Orchestrator（McAfee ePO）的元件，McAfee ePO可集中並簡化端點、網路、資料安全及法規遵循的管理，而McAfee Agent則是McAfee ePO的客戶端元件。</p> <p>根據McAfee的說明，CVE-2021-31854將讓本地端用戶可將任意的Shell程式碼注入cleanup.exe檔案中，並藉由McAfee Agent的部署功能來執行，進而造成權限擴張並取得最高權限。至於CVE-2022-0166則允許低特權的用戶藉由建立惡意的openssl.cnf檔案，以系統權限執行任意程式。</p> <p>由美國卡內基美隆大學軟體工程研究所負責運作的電腦緊急應變小組（CERT/CC），<a href="https://kb.cert.org/vuls/id/287178" target="_blank">則特別針對CVE-2022-0166提出警告</a>，指出該漏洞因為使用了OPENSSLDIR變數，可用來指定特定檔案的位置，只要使用者以惡意檔案置換了原有的openssl.cnf，就能擴張權限並執行任意程式。</p> <p>相關漏洞之所以重要，是因為包括McAfee Endpoint Security在內的許多McAfee產品都具備McAfee Agent功能，這兩個漏洞都影響McAfee Agent 5.7.5以前的版本。</p> </div></div></div>
2022/1/24 13:45作者陳曉莉https://www.ithome.com.tw/news/149034
金融新創Plaid買下身分認證業者Cognito
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年<a href="https://www.ithome.com.tw/news/142191" target="_blank">差點被Visa併購</a>的金融新創Plaid，<a href="https://plaid.com/blog/cognito-joins-plaid/" target="_blank">上周宣布</a>已買下身分認證業者Cognito，雙方並未公布財務細節，但<a href="https://techcrunch.com/2022/01/20/plaid-buys-cognito-to-bolster-its-feature-set-as-it-moves-beyond-simply-connecting-accounts/" target="_blank">《TechCrunch》</a>報導此一交易價值約2.5億美元，Plaid將以股票及現金支付。</p> <p>2013年創立的Plaid打造的是金融技術平臺，以讓各種金融應用程式可連結使用者的銀行帳戶，迄今該平臺已介接了2,600個金融科技開發者與1.1萬個金融組織；至於Cognito則是在2014年創立，專門提供身分認證服務，目前有超過300家客戶，建立7億個獨立的身分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-plaid.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Plaid</span></p> <p>Cognito所具備的認證能力包括地址認證、年紀認證、Know Your Customer（KYC）客戶認證、政治公眾人物（Politically Exposed Person，PEP）認證，以及反洗錢（AML）監控等。</p> <p class="rtecenter"><img alt="" src="https://cognitohq.com/images/blog/post_images/flow-pic-4-1.jpg" style="width: 537px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Cognito</span></p> <p>Plaid表示，辨識某人的身分幾乎對所有金融服務都是至關重要的，有許多企業同時採用各種不同的解決方案，因而帶來糟糕的使用者經驗，導致潛在客戶放棄註冊流程。</p> <p>此外，引導使用者進入金融新創領域有3個要件，一是帳戶連結，亦即連結金融程式與銀行帳戶，二是將錢從銀行轉至程式，三即是身分認證，Plaid提供了前兩項，而Cognito則補足了最後一項，未來它們將協助各個領域的開發者打造更無縫的金融程式使用經驗。</p> <p>就算Plaid未來可望將Cognito功能整合到自家服務中，但<a href="https://cognitohq.com/blog/plaid-and-cognito" target="_blank">Cognito強調</a>，該公司會持續強化並改善現有的產品，與既有客戶之間的關係並不會改變。</p> </div></div></div>
2022/1/24 14:08作者陳曉莉https://www.ithome.com.tw/news/149035
印尼央行12月遭疑似勒索軟體Conti攻擊，近200GB內部資料被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/world/asia-pacific/indonesia-cbank-attacked-by-ransomware-says-no-impact-services-2022-01-20/" target="_blank">路透社</a>及<a href="https://www.cnnindonesia.com/teknologi/20220120191930-185-749298/ahli-sebut-geng-ransomware-conti-yang-bobol-bi-peretas-berbahaya" target="_blank">CNN印尼</a>報導，印尼央行去年12月遭勒索軟體攻擊，部分員工資料遭到竊取。</p> <p>印尼央行周四證實上個月遭網路攻擊，但稱因採取預防措施，大部分重要服務皆未受影響。至於受影響部分則已展開復原作業。</p> <p>CNN報導攻擊者竊走了「非關鍵」員工資料，且在多臺網路裝置上部署了勒索軟體。</p> <p>專門監控網路惡意活動的安全業者<a href="https://twitter.com/darktracer_int/status/1484517552844079105" target="_blank">DarkTracker指稱</a>犯案的是惡名昭彰的勒索軟體組織Conti，該幫歹徒本周三公開竊取自印尼央行內部檔案的螢幕擷圖。同時先後將印尼央行的內部資料上傳到網上，第一次上傳了487MB，後來增加到44GB。安全廠商估計歹徒手中的印尼央行資料，從原先的16GB調整為175GB。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FJoQsqyaMAI4QQ3?format=jpg&name=small" style="width: 431px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/darktracer_int/status/1484517552844079105" target="_blank"><span style="color:#696969;">DarkTracker</span></a></p> <p>Conti是勒索軟體即服務（ransomware-as-a-service），透過TrickBot、BazarLoader等後門程式散布，專門鎖定大型企業，近年涉及多起知名機構的攻擊，包括研華電腦、愛爾蘭健康服務管理署及衛服部、美國醫療機構與消防警察單位、及<a href="https://www.ithome.com.tw/news/148615" target="_blank">線上相簿Shutterfly</a>等，今年初又透過Log4j漏洞攻擊VMware平臺用戶。安全專家相信Conti和Ryuk背後成員與俄羅斯駭客組織Wizard Spider有關聯。</p> <p><a href="https://www.channelnewsasia.com/business/indonesia-central-bank-says-ransomware-attack-did-not-impact-services-2447861" target="_blank">印尼央行2016年</a>也曾遭到駭客組織Anonymous發動分散式阻斷服務（DDoS）攻擊，造成用戶無法存取其網路。印尼央行當時表示沒有造成重大損失。</p> </div></div></div>
2022/1/24 12:42作者林妍溱https://www.ithome.com.tw/news/149030
紐約市長以加密貨幣領第一筆薪水
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www1.nyc.gov/office-of-the-mayor/news/041-22/mayor-adams-receive-first-paycheck-cryptocurrency" target="_blank">紐約市長Eric Adams上周宣布</a>，按照去年的承諾，他第一份薪水將換算成以太幣（Ethereum）及比特幣（Bitcoin）領取。</p> <p><a href="https://www.ithome.com.tw/news/147677" target="_blank">Adams去年11月初上任時承諾</a>將推動紐約成為使用加密貨幣的城市先驅，當時邁阿密市長Francis Suarez表示第一份薪資將換算成加密貨幣，Adams則進一步說三份薪資將兌換成加密貨幣。</p> <p>Adams表示，紐約是世界的中心，也希望成為加密貨幣和其他金融的創新中心。扮演此類創新的領導者有助於紐約市創造工作機會、提升景氣，並持續吸引全球人才進駐。</p> <p>Adams的第一份薪水將經由Coinbase自動轉換成加密貨幣。紐約市技術長Matt Fraser則指出，Adams此舉也是示範科技如何提供人們更多元的理財工具。</p> <p><a href="https://nypost.com/2022/01/20/eric-adams-converting-first-paycheck-as-nyc-mayor-to-bitcoin-ethereum/" target="_blank">紐約郵報報導</a>，Adams的第一份薪水是雙周5,900美元，年薪為25.8萬美元。不過紐約市並未說明比特幣和以太幣的比例。</p> <p>以近日加密貨幣的價值趨勢來看，紐約市長可能會很心痛。去年11月比特幣漲到了1:68,000美元的天價。但此後一路下跌。上周俄國政府出手管制後，引發比特幣在內的加密貨幣兌美元價急速重挫。截至本周，1比特幣已經跌到3.5萬美元。</p> <p>由於挖礦加速資料中心耗電、大量排放熱能、助長投機行為和非法活動，<a href="https://www.ithome.com.tw/news/149008" target="_blank">俄羅斯央行上周宣布</a>將提議考慮禁止挖礦及使用加密貨幣。中國早已禁止挖礦。科索沃及伊朗等國則因挖礦影響民生用電，<a href="https://www.ithome.com.tw/news/148760" target="_blank">宣布禁止挖礦數個月</a>。</p> </div></div></div>
2022/1/24 12:56作者林妍溱https://www.ithome.com.tw/news/149031
歐盟通過保障數位使用者權益的《數位服務法》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20220114IPR21017/digital-services-act-regulating-platforms-for-a-safer-online-space-for-users" target="_blank">歐洲議會（Members of the European Parliament，MEP）上周以530票對78票通過了《數位服務法》（Digital Services Act）</a>，將藉由要求科技平臺規範有害內容與廣告行為來保障數位使用者的權益，此一法案可望於明年正式實施。</p> <p>《數位服務法》基本上是規範所有的科技及網路平臺，但對於諸如臉書或Google等超大型網路平臺（Very large online platforms，VLOPs）的要求更為嚴格，這些VOLPs必須承擔更多的責任與義務。</p> <p>來自丹麥的議員Christel Schaldemose表示，網路平臺在人們生活中所扮演的角色愈來愈重要，它們帶來新的機會，也造就了新的風險，歐洲議會有責任讓那些在實際世界中的非法內容也在網路上被禁止。</p> <p>該法案要求包括社交媒體與市集等提供各種服務的中介平臺，必須在收到非法內容的投訴後立即採取行動，包括移除有害內容或非法產品，以及確保使用者在網路上購買的是安全產品。</p> <p>此外，《數位服務法》規定這些平臺所採行的目標式廣告，都要讓使用者在退出追蹤時，與同意被追蹤一樣容易，而且就算使用者拒絕被追蹤，也應該要提供服務，並以隨機廣告取代目標式廣告。</p> <p>另也禁止網路平臺利用兒童資料來執行目標式廣告，亦禁止根據諸如性向、宗教或健康狀態等使用者機密資料來遞送目標式廣告。</p> <p>還有一項特別的禁令是要求網路平臺不得以「暗黑模式」（Dark Pattern）來左右使用者的行為，該模式指的是藉由各種技巧來引誘使用者做出違反自由意志的行為，例如申請會員就會自動接受郵件廣告，或者是免費試用期一到卻很難找到取消訂閱的管道等。</p> </div></div></div>
2022/1/24 13:16作者陳曉莉https://www.ithome.com.tw/news/149032
IBM Watson Health賣給了私募基金業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-01-21-Francisco-Partners-to-Acquire-IBMs-Healthcare-Data-and-Analytics-Assets" target="_blank">IBM昨（21）日宣布</a>旗下AI醫療部門Watson Health的資料及分析產品，包括員工及管理團隊出售給私募基金業者San Francisco Partners。</p> <p>透過這項交易，San Francisco Partners將取得Watson Health多項醫療資料集及營運、分析產品線，包括Health Insights、MarketScan、臨床開發、社交計畫管理、Micromedex與醫療影像軟體等。</p> <p>雙方表示，在收購後Watson Health將會持續維持獨立營運，以支援現有生技、醫療影像、保險與政府、醫療機構客戶，管理團隊也將擔任類似角色。新僱主承諾將支援「優異員工和管理團隊」全力實現成長商機。</p> <p>本交易預期今年第2季完成。雙方未公布交易金額。</p> <p>這家私募基金業者之前已收購或投資不少家醫療相關廠商，包括健康保險清算Availity、營收分析方案eSolutions、資料管理方案Capsule、藥價追蹤GoodRx、電子病歷及照護管理平臺Landmark、 QGenda醫師排程軟體、Trellis處方與成藥藥商、遠距醫療預約平臺Zocdoc等。</p> <p>Watson Health是IBM前執行長Ginni Rometty 在位時於2015年成立，希望能藉由醫療AI及大數據分析提振營收，<a href="https://www.ithome.com.tw/news/103996" target="_blank">IBM也曾砸下巨資收購</a>醫療影像廠商Merge Health或醫療資料分析技術商Truven Health Analytics、Explorys和Phytel等。但是2020年接任的Arvind Krishna則把重心放在雲端及混合雲上，獲利不如預期的Watson Health於2020年即已傳數波裁員。<a href="https://www.ithome.com.tw/news/142812" target="_blank">華爾街日報</a>去年初首先報導IBM尋求出售Watson Health。</p> </div></div></div>
2022/1/24 11:37作者林妍溱https://www.ithome.com.tw/news/149027
防範惡意濫用，微軟正式關閉Excel 4.0巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防止駭客用來散布惡意程式，繼去年年中的預告後，<a href="https://techcommunity.microsoft.com/t5/excel-blog/excel-4-0-xlm-macros-now-restricted-by-default-for-customer/ba-p/3057905" target="_blank">微軟上周宣布</a>正式關閉Excel 4.0 XLM巨集。</p> <p>XLM程式碼特性，像是變更字串即可隱藏URL或檔案名稱，使惡意程式容易躲避靜態偵測產品。另一方面，Office 365整合了AMSI防範VBA惡意巨集，迫使攻擊者轉向XLM巨集，用它來呼叫Win32 API執行shell指令，Trickbot、Zloader和Ursnif等惡意程式都曾利用XLM巨集攻擊與散布。</p> <p>去年7月微軟發布新的Excel Trust Center設定選項，讓管理員可手動限制Excel 4.0 XLM 巨集使用。<a href="https://www.ithome.com.tw/news/147188" target="_blank">10月微軟再預告</a>，針對未曾啟用Excel 4.0 XLM巨集設定，或是管理員未於群組政策中設定的Microsoft 365租戶，將預設關閉Excel 4.0巨集。已經啟用或是群組政策啟用這項設定者就不受影響。今天的宣布則是於最新版Excel（Build 16.0.14427.10000）中，預設關閉Excel 4.0 XLM巨集，以防禦安全威脅。</p> <p>想要調整的管理員可以透過Microsoft 365應用程式的政策控制來調整。有2條路徑。一為群組政策，可循「使用者設定」>「管理員範本」>「Microsoft Excel 2016」>「Excel 選項」>「安全」>「信任中心（Trust Center）」下的「巨集通知設定」來開啟或關閉Excel巨集設定。二為機碼。機碼路徑為：Computer\HKEY_CURRENT_USER\SOFTWARE\Policies\<br /> Microsoft\Office\16.0\excel\security。</p> <p>管理員也可以經由Office雲端政策服務（Office cloud policy service）部署雲端原則，或從Microsoft端點管理員（Microsoft Endpoint Manager）設定ADMX原則。最後，管理員還能藉由開啟群組政策編輯程式中的「封鎖Excel執行XLM巨集」選項，完全封鎖所有XML巨集的使用。</p> <p>微軟也提醒，在9月分叉版本Excel 16.0.14527.20000以後版本中即已經預設關閉XLM，它會包含於以下更新釋出：</p> <p>Current Channel builds 2110 以後（2021年10月釋出）、Monthly Enterprise Channel builds 2110 以後（2021年12月釋出）、Semi-Annual Enterprise Channel (Preview) builds 2201 及以後版本（2022年3月釋出）及Semi-Annual Enterprise Channel builds 2201 及以後版本（2022年7月釋出）。</p> </div></div></div>
2022/1/24 11:59作者林妍溱https://www.ithome.com.tw/news/149028
【資安週報】2022年1月17日至22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國外不斷有事故傳出的挾持SIM卡攻擊（SIM Swapping），本週在臺灣疑似傳出首例事故。這起事故值得留意的是，臺灣重新補辦SIM卡理應要臨櫃辦理，而非如國外可直接透過電話完成，這起事故電信業者如何成為整起事故的破口？顯然有待國家通訊傳播委員會（NCC）與相關檢調單位，以及電信業者進一步說明。</p> <p>另一起引起關注的事故，則是台達電在股市公開觀測站證實遭到網路攻擊的情況，但發生原因有待後續調查。</p> <p>廣泛受到許多企業使用的WordPress，在本週不只被發現多個外掛程式存在漏洞，可被用於請求偽造（CSRF）攻擊、網路釣魚，也出現供應這種延伸功能的業者遭到入侵，使得他們提供的佈景主題、外掛程式被植入後門程式。WordPress相關延伸功能存在可被攻擊的漏洞，也有待相關單位重視。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/122653/6046119"><span style="color: rgb(0, 0, 0);"><strong>臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口</strong></span></a></h4> <p>在歐美許多國家橫行的SIM卡挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。至於聯合新聞網報導的裁罰事件，NCC表示這是另一起事件，狀況不同。</p> <h4><strong><a href="https://mops.twse.com.tw/mops/web/t146sb05"><span style="color: rgb(0, 0, 0);">台達電公告部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_台達電.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_%E5%8F%B0%E9%81%94%E9%9B%BB.jpg" style="width: 300px; float: right;" /></a>1月21日早上10時左右，資安社群討論中傳出台達電子公司疑被攻擊，並通知所有員工斷網的消息，我們也密切關於這樣的情況，在今日（1月22日）下午2時05分台達電公告，當中內容指出事件發生在21日，偵測到部分資訊系統遭受駭客網路攻擊，後續已啟動資安相關防禦機制與應變作業，並表示資訊系統陸續回復續作中，台達電目前評估對公司營運無重大影響。外界猜測，該公司疑似遭到勒索軟體攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/cyber-espionage-campaign-targets-renewable-energy-companies/"><span style="color: rgb(0, 0, 0);"><strong>針對可再生能源公司、環境保護組織的網釣攻擊，臺灣也有政府機關遭到鎖定</strong></span></a></h4> <p>環保意識高漲，加上近年來能源短缺，再生能源的生產、研發也備受關注，但這些組織如今也成為駭客的攻擊目標。資安研究員William Thomas揭露一起從2019年出現的網路釣魚攻擊行動，攻擊者鎖定至少15個組織下手，使用Mail Box工具包發動攻擊。這些組織的主要共通點為與再生能源相關，如施耐德電機、Honeywell、碳揭露專案（CDP）等，值得留意的是，臺灣行政院農業委員會林業試驗所也是駭客的攻擊目標。而對於攻擊者的身分，其中有部分攻擊行動是由俄國駭客組織APT28、北韓駭客組織Konni發起。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/new-moonbounce-uefi-malware-used-by-apt41-in-targeted-attacks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Winnti再度針對UEFI韌體下手，打造惡意軟體MoonBounce發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41）鎖定電腦統一可延伸韌體介面（UEFI）韌體發動攻擊的情況，先前曾使用<a href="https://www.ithome.com.tw/news/140369">名為MosaicRegressor的惡意軟體</a>，但這些駭客又故技重施，而且，攻擊手法更加複雜、難以防範，幾乎不會在磁碟留下蹤跡。卡巴斯基揭露一起使用MoonBounce惡意軟體的UEFI韌體攻擊行動，攻擊者將其植入受害電腦主機板上的SPI快閃記憶體，並藉由驅動程式執行環境（DXE）階段啟動，進而載入到Windows核心所使用的記憶體位址運作。根據攻擊者也在受害電腦上植入惡意軟體ScrambleCross，以及C2中繼站所使用的憑證等特徵，研判攻擊者就是中國駭客組織Winnti。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/earth-lusca-sophisticated-infrastructure-varied-tools-and-techni.html"><span style="color: rgb(0, 0, 0);"><strong>Winnti附屬組織鎖定政府機關與加密貨幣公司發動攻擊</strong></span></a></h4> <p>大多APT組織的攻擊行動，目標通常相當單一，但也有駭客組織的攻擊領域甚廣。趨勢科技揭露名為Earth Lusca的中國駭客組織，並指出該組織使用網路釣魚、水坑式攻擊、應用系統的漏洞，鎖定政府單位、教育機構、宗教組織，以及香港的人權組織、武漢肺炎研究機構等。Earth Lusca疑似是Winnti旗下的附屬組織，攻擊目標多半是對於中國政府具有戰略意義的組織。</p> <h4><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/"><span style="color: rgb(0, 0, 0);"><strong>北京冬季奧運App存在資安風險，資料傳輸安全性不足，言論審查功能也惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MY2022-Image-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MY2022-Image-2.png" style="width: 150px; float: right;" /></a>近期2022北京冬季奧運即將在2月4日登場，主辦方為了防疫需求，要求參賽運動員及團隊、觀眾與媒體，需安裝My2022（冬奧通）的App，以記錄個人健康狀況，但加拿大公民實驗室（Citizen Lab）在1月18日發布研究報告中，顯示該App服務有兩大爭議，一是資料傳輸安全性不足，可遭中間人攻擊，另一是App具備允許舉報他人政治敏感言論的功能，並已建立2,442個審查關鍵字詞清單，國外與會者顯然有隱私侵犯問題。研究人員在去年12月3日通報主辦單位，至今未獲回應因此公開研究結果。</p> <h4><a href="https://www.akamai.com/blog/security/mirai-botnet-abusing-log4j-vulnerability"><span style="color: rgb(0, 0, 0);"><strong>Mirai殭屍網路利用Log4Shell漏洞，鎖定Zyxel網路設備下手</strong></span></a></h4> <p>又有殭屍網路打算利用Log4Shell漏洞，企圖控制特定廠牌的網路設備。資安業者Akamai發現可在Arm處理器設備運作的惡意軟體，經分析後得知是Mirai殭屍網路病毒，其攻擊目標是針對Zyxel的網路設備而來。值得留意的是，這個殭屍網路入侵受害裝置的途徑，疑似是利用Log4j重大漏洞CVE-2021-44228（亦稱Log4Shell），但究竟攻擊者針對那些Zyxel設備而來？研究人員沒有進一步說明。</p> <h4><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#CVE-2021-35247"><span style="color: rgb(0, 0, 0);"><strong>FTP伺服器軟體Serv-U遭到Log4Shell漏洞攻擊</strong></span></a></h4> <p>攻擊者利用Log4Shell的現象，最近也出現針對企業內部建置的檔案共享系統的攻擊行動。微軟於1月19日指出，他們近期發現駭客運用零時差漏洞CVE-2021-35247，攻擊FTP伺服器軟體Serv-U。攻擊者使用上述漏洞繞過使用者身分驗證流程後，利用Log4Shell接管Serv-U伺服器。SolarWinds獲報後已發布Serv-U 15.3版予以修補。</p> <h4><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/"><span style="color: rgb(0, 0, 0);"><strong>逾90個WordPress外掛程式、佈景主題驚傳含有後門程式，疑供應商網站遭駭</strong></span></a></h4> <p>提供WordPress網站佈景主題的業者，有可能網站已經遭到入侵，而使得佈景主題已被攻擊者植入後門。專精WordPress資安與效能提升的業者Jetpack指出，他們在使用AccessPress Themes（亦稱Access Keys）所提供佈景主題的WordPress網站裡，發現惡意程式碼，經通報AccessPress Themes與WordPress之後，得知AccessPress Themes佈景主題下載網站於2021年9月上旬遭駭，該網站所提供的93個佈景主題與外掛程式，都被注入了後門程式。研究人員強調，從WordPress網站下載的佈景主題不受影響，但他們還是建議管理者安裝最新版本。</p> <h4><a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/"><span style="color: rgb(0, 0, 0);"><strong>近四分之一網釣攻擊冒用DHL的名義出手</strong></span></a></h4> <p>過往網路釣魚攻擊中，攻擊者較為偏好利用微軟和Google等IT業者的名義，來取得受害者的信任，進而得手對方的帳密等資料，但這個情況近期出現了變化。資安業者Check Point針對2021年第4季，駭客在發動網路釣魚攻擊的行動裡，所假冒的廠牌名稱，調查後發現，全球有23%網路釣魚是利用物流業者DHL的名義發動攻擊，不只比2021年第3季（9%）高出不少，也超越微軟（20%）、WhatsApp（11%）、Google（10％）。</p> <h4><a href="https://www.fortinet.com/blog/threat-research/new-strrat-rat-phishing-campaign"><span style="color: rgb(0, 0, 0);"><strong>木馬程式StrRAT以物流送貨通知的名義散布</strong></span></a></h4> <p>以物流業者送貨通知作為網路釣魚攻擊的幌子，近期成為許多駭客偏好的手法，而最近一起散布木馬程式的攻擊行動，就是以這種釣魚郵件來進行。資安業者Fortinet發現冒名馬士基航運公司（Maersk Shipping）的網路釣魚郵件，並以確認貨物裝載的時程為由，引誘收信人開啟附件，但實際上附件的檔案就是StrRAT木馬程式──攻擊者使用Allatori工具包進行混淆，而成功規避防毒軟體的偵測。StrRAT具備偵察受害電腦環境的功能，並能側錄用戶輸入的按鍵，或是從網頁瀏覽器與收信軟體裡，截取帳密；此外，該木馬程式還能假裝是勒索軟體，宣稱電腦檔案被加密，但實際上，StrRAT正外傳受害電腦的機密資料。</p> <h4><a href="https://www.inky.com/blog/fresh-phish-phishers-lure-victims-with-fake-invites-to-bid-on-nonexistent-federal-projects"><span style="color: rgb(0, 0, 0);"><strong>冒名美國勞動部的網釣攻擊，以標案的名義企圖騙取受害者的Google與微軟帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png" style="width: 300px; float: right;" /></a>網路釣魚的攻擊者為了讓受害者上當，佯稱是公部門的情況不時有事故傳出，甚至還謊稱要受害者參與招標。郵件安全業者Inky揭露自2021年下半出現的攻擊事故，駭客自稱是美國勞動部（DoL）的資深員工，針對政府正在進行的專案，想要邀請收件人參與投標，並附上幾可亂真的PDF說明文件。一旦收件人依照指示操作，就會被帶往冒牌招標網站，以竊取收件人的Google或微軟帳號。研究人員指出，這起攻擊行動中值得留意的是，駭客濫用合法組織的郵件伺服器寄信，且運用新網域的郵件信箱，而不被威脅情報系統察覺。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/red-cross-cyberattack-exposes-data-of-515-000-people-seeking-missing-family/"><span style="color: rgb(0, 0, 0);"><strong>紅十字會遭到網路攻擊，逾51萬失蹤者資料遭竊</strong></span></a></h4> <p>人道救援組織的資料外洩，有可能會使得需要幫助的人士面臨人身安全威脅。紅十字國際委員會（ICRC）於1月19日發出聲明，他們存放在位於瑞士資料中心的文件遭到外洩，這些資料是有關因戰爭、天災、移民而流離失所需要協尋的人們，這些資料來自於超過60紅十字會，至少有515,000人受到影響。一旦這些資料流出，許多人很可能將曝露在危險當中，ICRC希望竊取資料的人士，不要將這些資料公布、出售，抑或是濫用。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/"><span style="color: rgb(0, 0, 0);"><strong>數十個烏克蘭政府網站遭駭，疑似是俄羅斯所為</strong></span></a></h4> <p>烏克蘭與俄國關係緊張的態勢，疑似因近日俄羅斯意圖說服西方國家，阻止烏克蘭加入北大西洋公約組織（NATO）不成，而發動大規模的網路攻擊。根據路透社、彭博社、莫斯科時報、Bleeping Computer等新聞網站報導，1月13日晚間烏克蘭許多政府網站，如外交部、國家安全與國防事務委員會（NSDC）等部門遭到攻擊，14日早上網站出現無法存取的情況，可能有70個政府網站遭到攻擊，這些網站的內容遭到竄改，以烏克蘭語、俄語、波蘭語宣稱，烏克蘭人的個資已經遭到外洩。</p> <p>根據莫斯科時報的報導，烏克蘭國家安全局（SSU）發出聲明證實確有此事，但強調他們尚未發現民眾資料外洩的跡象，並指控這起攻擊行動很可能就是俄羅斯所為。</p> <p>究竟這些網站是如何被入侵的？Bleeping Computer取得消息來源的說法，這些網站疑似使用存在漏洞的October CMS內容管理平臺（CMS），攻擊者透過CVE-2021-32648身分驗證繞過漏洞，做為侵入這些網站的初始管道。</p> <h4><a href="https://krebsonsecurity.com/2022/01/at-request-of-u-s-russia-rounds-up-14-revil-ransomware-affiliates/"><span style="color: rgb(0, 0, 0);"><strong>俄國逮捕勒索軟體組織REvil成員，疑似是要向美國施壓</strong></span></a></h4> <p>過往俄國政府不太積極追捕駭客，甚至被美國指控是意圖藏匿犯人，而最近一起大動作圍捕參與勒索軟體REvil攻擊行動的駭客，被認為別有用意。俄羅斯聯邦安全局（FSB）在1月14日逮捕14名REvil組織的駭客，並查獲6百萬美元、4.26億盧布、5百萬歐元現金，以及20輛透過網路犯罪所得購買的高級汽車。</p> <p>FSB強調，此舉是因應美國的要求，但外界認為，這起逮捕行動是為了轉移與烏克蘭關係緊張的焦點，並作為要脅美國的籌碼──在13日，烏克蘭數十個政府網站驚傳遭到俄國攻擊，再者，俄國總統普丁也下令，要在烏克蘭邊境部署10萬兵力。</p> <h4><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體WhisperGate鎖定烏克蘭組織趁火打劫，意在破壞而非勒索</strong></span></a></h4> <p>針對烏克蘭和俄國關係緊張的情勢，除了俄國疑似於1月13日攻擊數十個烏克蘭網站之外，微軟也在同一天發現，有來路不明的駭客組織DEV-0586，利用名為WhisperGate惡意軟體，攻擊數十個烏克蘭政府機關、非營利組織、IT業者，該惡意軟體會覆寫受害電腦的主要開機磁區（MBR），索討1萬美元復原電腦，且會損壞電腦裡的檔案。研究人員認為，攻擊者的目的並非贖金，而是要徹底破壞電腦檔案。</p> <h4><a href="https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/"><span style="color: rgb(0, 0, 0);"><strong>北韓Lazarus旗下駭客組織鎖定加密貨幣新創公司，將其貨幣盜領一空</strong></span></a></h4> <p>北韓駭客鎖定加密貨幣來獲利的情況，近期又有相關的攻擊行動出現。卡巴斯基揭露Lazarus旗下的駭客組織BlueNoroff，約在2021年11月發起SnatchCrypto攻擊行動，鎖定專門處理加密貨幣、數位合約、DeFi、區塊鏈的中小型新創公司下手，對於這些企業的員工傳送具備監控功能的後門程式，最終目的是清空受害組織的加密錢包。為了讓受害者上當，該組織偽裝成超過15家風險投資業者。</p> <h4><a href="https://www.nbcnews.com/tech/security/north-korea-stole-record-400-million-cryptocurrency-last-year-research-rcna12080"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客2021年竊得4億美元加密貨幣，較前年多出4成</strong></span></a> </h4> <p><a href="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png" style="width: 300px; float: right;" /></a>美國與其他國家長期對於北韓實施經濟制裁，使得該國長期以來，倚賴APT駭客攻擊全球各地的金融機構，來竊取資金。但最近2到3年，北韓駭客更加關注如何偷取加密貨幣，根據區塊鏈資安業者Chainalysis調查，這些駭客在2021年總共對於加密貨幣平臺發起至少7次攻擊行動，並取得近4億美元的加密貨幣，較2020年要多出40%。其中，被竊的加密貨幣以太幣占超過半數（58%）、比特幣居次（20％）、22%是ERC-20或替代幣（Altcoin）。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/high-severity-vulnerability-in-3.html"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在高風險漏洞，恐波及8.4萬網站</strong></span></a></h4> <p>專注於WordPress網站安全的Wordfence指出，他們發現3個WordPress外掛程式存在請求偽造（CSRF）漏洞CVE-2022-0215，CVSS風險層級為8.8分。這些存在漏洞的外掛程式為Login/Signup Popup、Side Cart Woocommerce、Waitlist Woocommerce，各有超過2萬個、4千個、6萬個網站使用，套件開發者XootiX獲報後已修補上述漏洞。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-flaw-puts-users-of-20-000-sites-at-phishing-risk/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式驚傳漏洞，恐被濫用於大量發送網釣郵件</strong></span></a></h4> <p>網站外掛程式的漏洞不只讓駭客可對網站造成破壞，或是攻擊瀏覽網站的上網用戶，甚至還能被用來大量發送釣魚郵件。資安業者Wordfence發現，WordPress外掛程式WP HTML Mail存在漏洞CVE-2022-0218，攻擊者一旦利用這項漏洞，就能在未經身分驗證的情況下竄改電子報範本，進而向訂戶發送網釣郵件。由於WP HTML Mail可與其他外掛程式搭配使用，如電子商務平臺WooCommerce、表單建置工具Ninja Forms、社群網站建置工具BuddyPress，影響範圍可能相當廣泛。開發人員獲報後已推出WP HTML Mail 3.1版修補漏洞。</p> <h4><a href="https://www.securityweek.com/critical-sap-vulnerability-allows-supply-chain-attacks"><span style="color: rgb(0, 0, 0);"><strong>重大SAP軟體漏洞恐被用於供應鏈攻擊</strong></span></a></h4> <p>甫被公布細節不久的軟體漏洞，很可能因為有其他利用的方式，而使得漏洞潛藏的危害比原本預期的還要嚴重，甚至可能引發類似SolarWinds供應鏈攻擊的事故。例如，專精於SAP安全的資安業者SecurityBridge，針對一項存在於NetWeaver AS ABAP、ABAP平臺的重大漏洞CVE-2021-38178提出警告，表示這項漏洞原先被發現是不正確的授權問題，能讓攻擊者將程式碼跳過檢測程序就發布，但研究人員發現，攻擊者還能竄改發布狀態，允許在正式發布程式碼後將狀態變更為「可修改」，使得攻擊者可以任意加入惡意程式進行供應鏈攻擊。這項漏洞SAP已於2021年10月發布修補程式，研究人員呼籲用戶要儘速安裝相關更新。</p> <h4><a href="https://www.ithome.com.tw/news/148905"><span style="color: rgb(0, 0, 0);"><strong>微軟防毒軟體驚傳漏洞，可讓惡意程式規避偵測</strong></span></a></h4> <p>微軟防毒軟體Microsoft Defender提供的白名單機制，已有數起攻擊行動濫用，而讓攻擊者的惡意軟體不受檢查。研究人員發現，這個白名單本身存在設計瑕疵，可讓攻擊者規避偵測，且這項漏洞存在於多個版本的Windows。SentinelOne研究人員Antonio Cocomazzi指出，攻擊者只要使用命令提示字元搜尋機碼，就能夠得知Microsoft Defender的例外資料夾，一旦將惡意軟體存放於這些資料夾裡，該防毒軟體就不會進行掃描。這項漏洞影響所有版本的Windows 10和Windows Server 2019，但Windows 11不受影響。</p> <p>針對上述揭露，資安研究員Aura表示，8年前從事技術支援時，他就察覺相關漏洞，而另一名研究人員Paul Bolton去年曾向微軟通報卻未獲得修補。</p> <h4><a href="https://www.ithome.com.tw/news/148964"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動</strong></span></a></h4> <p>武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/europol-shuts-down-vpn-service-used-by-ransomware-groups/"><span style="color: rgb(0, 0, 0);"><strong>歐美執法單位聯手，破壞網路罪犯用於藏匿行蹤的VPN基礎設施</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg" style="width: 150px; float: right;" /></a>不只針對是罪犯組織，近期執法單位也對於提供相關工具的業者採取行動。歐洲刑警組織（Europol）於1月18日宣布，在德國漢諾威警察局中央刑事辦公室帶領之下，德國、荷蘭、加拿大等10個國家的執法單位聯手，查封提供網路罪犯VPN服務業者VPNLab的15臺伺服器。烏克蘭警方指出，在德國至少有150起勒索軟體攻擊行動的攻擊者，使用這項VPN服務，而造成6千萬歐元損失。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment"><span style="color: rgb(0, 0, 0);"><strong>半導體資安標準SEMI E187正式發布上架</strong></span></a></h4> <p>在2022年1月17日，全球首個半導體晶圓產線設備資安標準已正式上架於SEMI網站，名稱為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」。特別的是，這也是首次由臺灣主導制定的半導體相關國際標準，此項標準在四大方面提出要求，包括：作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，建立晶圓廠設備資安最低標準。</p> <h4><a href="https://www.ithome.com.tw/news/148980"><span style="color: rgb(0, 0, 0);"><strong>McAfee企業部門與FireEye合併，成立XDR公司Trellix上市</strong></span></a></h4> <p>私募基金業者Symphony Technology Group（STG）於2021年3月、6月，先後<a href="https://www.ithome.com.tw/news/143106">買下McAfee企業部門</a>，以及<a href="https://www.ithome.com.tw/news/144797">FireEye網路、郵件、端點、雲端等領域的安全管理平臺</a>，<a href="https://www.ithome.com.tw/news/147203">STG併購後於同年10月宣布，將上述2家公司整併</a>，而最近這家合併完成的新公司名為Trellix，將提供擴充偵測與回應（Extended Detection and Response，XDR）解決方案。STG亦預告會將McAfee Enterprise Secure Service Edge拆分成獨立業務，提供雲端存取安全中介服務（CASB）、網路安全閘道、零信任網路安全存取（ZTNA）等解決方案。</p> </div></div></div>
2022/1/22 18:13作者周峻佑https://www.ithome.com.tw/news/149023
【資安日報】2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網站內容管理平臺WordPress的外掛程式不時傳出漏洞，而可被駭客用於攻擊行動，但在今天的資安日報裡，出現了針對檔案提供者的供應鏈攻擊。有近百個網站佈景主題、外掛程式被植入惡意程式，研究人員調查後發現，是提供延伸功能套件的網站遭駭所致。</p> <p>物流業者已是網釣攻擊的駭客偏好冒用的對象，根據資安業者統計，在2021年第4季，<a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/">有近四分之一是冒用DHL的網釣郵件</a>。而在今天的資安新聞中，則是有攻擊者以大型航運公司的名義，發送釣魚郵件來散布木馬程式，由於疫情期間塞港、缺櫃情況嚴重，船務人員急切了解航運公司的處理進度，很容易就點選附件而中招。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_台達電.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_%E5%8F%B0%E9%81%94%E9%9B%BB.jpg" style="width: 220px; float: right;" /></a></h4> <h4><strong><a href="https://mops.twse.com.tw/mops/web/t146sb05"><span style="color:#000000;">台達電公告部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p>昨日早上10時左右，資安社群討論中傳出台達電子公司疑被攻擊，並通知所有員工斷網的消息，我們也密切關於這樣的情況，在今日（1月22日）下午2時05分台達電公告，當中內容指出事件發生在21日，偵測到部分資訊系統遭受駭客網路攻擊，後續已啟動資安相關防禦機制與應變作業，並表示資訊系統陸續回復續作中，台達電目前評估對公司營運無重大影響。外界猜測，該公司疑似遭到勒索軟體攻擊。</p> <h4><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/"><span style="color: rgb(0, 0, 0);"><strong>逾90個WordPress外掛程式、佈景主題驚傳含有後門程式，疑供應商網站遭駭</strong></span></a></h4> <p>提供WordPress網站佈景主題的業者，有可能網站已經遭到入侵，而使得佈景主題已被攻擊者植入後門。專精WordPress資安與效能提升的業者Jetpack指出，他們在使用AccessPress Themes（亦稱Access Keys）所提供佈景主題的WordPress網站裡，發現惡意程式碼，經通報AccessPress Themes與WordPress之後，得知AccessPress Themes佈景主題下載網站於2021年9月上旬遭駭，該網站所提供的93個佈景主題與外掛程式，都被注入了後門程式。研究人員強調，從WordPress網站下載的佈景主題不受影響，但他們還是建議管理者安裝最新版本。</p> <h4><a href="https://www.fortinet.com/blog/threat-research/new-strrat-rat-phishing-campaign"><span style="color: rgb(0, 0, 0);"><strong>木馬程式StrRAT以物流送貨通知的名義散布</strong></span></a></h4> <p>以物流業者送貨通知作為網路釣魚攻擊的幌子，近期成為許多駭客偏好的手法，而最近一起散布木馬程式的攻擊行動，就是以這種釣魚郵件來進行。資安業者Fortinet發現冒名馬士基航運公司（Maersk Shipping）的網路釣魚郵件，並以確認貨物裝載的時程為由，引誘收信人開啟附件，但實際上附件的檔案就是StrRAT木馬程式──攻擊者使用Allatori工具包進行混淆，而成功規避防毒軟體的偵測。StrRAT具備偵察受害電腦環境的功能，並能側錄用戶輸入的按鍵，或是從網頁瀏覽器與收信軟體裡，截取帳密；此外，該木馬程式還能假裝是勒索軟體，宣稱電腦檔案被加密，但實際上，StrRAT正外傳受害電腦的機密資料。</p> <h4><a href="https://www.zscaler.com/blogs/security-research/new-espionage-attack-molerats-apt-targeting-users-middle-east"><span style="color: rgb(0, 0, 0);"><strong>駭客組織Molerats鎖定中東發動後門程式攻擊</strong></span></a></h4> <p>攻擊者利用常見的雲端服務來部署攻擊工具，使得網路安全設備將其流量視為合法，而難以察覺其攻擊意圖。例如，資安業者Zscaler揭露一起自2021年7月出現的攻擊行動，APT駭客組織Molerats透過帶有惡意巨集的Office文件，攻擊巴基斯坦政治人物、銀行重要人士，以及土耳其人權鬥士、記者。這些惡意文件以巴勒斯坦和以色列之間的地緣政治衝突為誘餌，引誘受害者開啟，進行植入以.NET編譯而成的Spark後門程式。值得留意的是，與C2中繼站通訊的過程中，Molerats使用Dropbox的API進行，並透過Google Drive等雲端服務存放惡意程式，並透過軟體保護工具ConfuserEx、Themida來為Spark加殼，來規避各式資安系統的偵測。</p> <h4><a href="https://www.welivesecurity.com/2022/01/18/donot-go-do-not-respawn/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織Donot Team鎖定南亞軍事組織和外交單位發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15_-Observed-chain-of-compromise-for-DarkMusical.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15_-Observed-chain-of-compromise-for-DarkMusical.png" style="width: 300px; float: right;" /></a></p> <p>ESET揭露駭客組織Donot Team（亦稱APT-C-35、SectorE02）的攻擊行動，該組織於2020年至2021年之間，鎖定孟加拉、斯里蘭卡、巴基斯坦、尼泊爾，針對當地政府機關、軍事組織、外交部、大使館發動攻擊，向特定目標寄送釣魚郵件來散布惡意軟體DarkMusical、Gedit、Jaca。一旦收信人不慎開啟附件，就會執行惡意軟體框架yty，下載該組織的攻擊工具包、掌控受害電腦。研究人員呼籲用戶要加以防範。</p> <p>研究人員特別提及，這個駭客組織疑似為了讓受害者不易察覺，以每2至4個月的頻率寄送這種釣魚郵件。</p> <h4><a href="https://www.securityweek.com/us-olympians-told-use-burner-phones-china"><span style="color: rgb(0, 0, 0);"><strong>繼英國、荷蘭，美國也要求北京奧運參賽選手使用一次性手機</strong></span></a></h4> <p>北京奧運即將於2月4日開幕，但中國可能會監控選手的傳聞，也是歐美國家擔心的問題。繼英國、荷蘭向選手提出警告，在中國參賽期間不要使用自己的手機、筆電，不久後美國奧委會也宣布，將提供選手拋棄式手機（Burner Phone），並在使用後徹底銷毀這些設備。外界認為，美國此舉與日前主辦方提供的App裡，疑似存在言論審查的字詞名單有關。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/telegram-is-a-hotspot-for-the-sale-of-stolen-financial-accounts/?"><span style="color: rgb(0, 0, 0);"><strong>Telegram成駭客偏好銷贓金融帳號資料的重要管道</strong></span></a></h4> <p>即時通訊軟體Telegram重視用戶隱私的特性，也被駭客看上，用來出售他們偷來的各式金融帳號資料。資安業者Cybersixgill指出，他們看到攻擊者在2020年至2021年，大量使用Telegram來銷售竊得的信用卡資料、加密貨幣錢包等金融帳號資料，雖然在2021年整體在求售的資料量較2020年大幅下降，但主要原因是非接觸式的行動支付興起，以及新核發的信用卡數量減少，該公司認為這種情況仍然值得關注。值得留意的是，買賣最多的外洩金融資料是PayPal帳號，因為駭客會用來購買加密貨幣，目的是為了洗錢。</p> <h4><a href="https://s4.itho.me/sites/default/files/images/2022-01-22_165702_2021高風險賣場165(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_165702_2021%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4165(1).jpg" style="width: 220px; float: right;" /></a></h4> <h4><strong><a href="https://www.facebook.com/165bear/posts/4927888510603943"><span style="color:#000000;">2021年度高風險網購平臺出爐，誠品書店與東森購物均有近千件的民眾報案，明顯比往年嚴重</span></a></strong></h4> <p>根據刑事警察局統計，2021年解除分期詐騙的5大民眾通報高風險賣場，分別是誠品書店（940件）、東森購物（868件）、蝦皮購物（358件）與金石堂（324件），其中誠品書店與東森購物的警方受理案件數，都將近千件，相較於2020年民眾通報最多的Momo是383件，2021年因個資外洩引發的詐騙問題，明顯趨向嚴重。另外，去年還有其他通報對象受關注，例如，王品集團旗下擁有多個平臺，以及多個假冒愛心公會的事件，估計加總報案數量也不少，前日我們已向警方索取資料，後續將有進一步的結果揭露。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/mcafee-agent-bug-lets-hackers-run-code-with-windows-system-privileges/"><span style="color: rgb(0, 0, 0);"><strong>McAfee端點代理程式存在漏洞，攻擊者可取得作業系統最高權限</strong></span></a></h4> <p>甫與FireEye合併到Trellix的McAfee Enterprise，最近針對Windows版的McAfee代理程式發布5.7.5版更新，當中修補本地權限提升（LPE）漏洞CVE-2022-0166，這項漏洞與代理程式內含的OpenSSL元件有關，一旦攻擊者利用這項漏洞，將能以NT AUTHORITY\SYSTEM權限執行任意程式碼，甚至有可能規避防毒軟體的偵測。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/22 15:22作者周峻佑https://www.ithome.com.tw/news/149021
IoT雙周報第107期：工研院打造城市規模的國產自駕車高精地圖，範圍能覆蓋全新竹市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>01/08~/1/22精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">高精地圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國產自駕車 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>工研院機械所打造國產自駕車專用高精地圖，可覆蓋全新竹市道路</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 348px;" /></p> <p>過去國產自駕車專用高精地圖，涵蓋範圍大多僅限於自駕測試路段，地圖範圍並不大，不過，工研院機械所數位長王傑智近日在<a href="https://www.facebook.com/photo?fbid=10159632294079378&set=pcb.10159632299284378">臉書</a>展示他們團隊所打造一個城市規模的自駕車高精地圖，其範圍已經足以涵蓋總面積達104平方公里的新竹市所有道路。</p> <p>高精地圖與一般地圖有很大不同，因為是自駕車專用，除了需達公分級精度，還需要一輛配備光達的圖車繪製地圖，並在地圖上標註路緣、車道限速、路口、交通號誌、人行道等周邊環境資訊，供自駕車道路行駛判斷之用。為了建置全市高精地圖，機械所自駕車團隊結合不少演算法和自動化工具，來縮短地圖繪製所需的人力和時間，才能短短1～2年內建置完成。</p> <p>從已蒐集圖資的路線來看，這個高精地圖幾乎遍及全新竹市道路，西邊遠到南寮漁港，東延伸到新竹科學園區，南至中華大學周邊，往北更涵蓋竹北部分地區。而且不只市區，還有聯外主要幹道、濱海公路，甚至針對一些重要交通匯集地及其周邊，如新竹車站、竹塹城迎曦門等，都已建構完整3D高精地圖圖資。。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧港口 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣港務公司 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣重要航運港口也開始導入Edge AI，結合3千支攝影機，能即時偵測異常事件和危險行為</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 316px;" /></p> <p>身為臺灣重要航運樞紐的監管機構，臺灣港務公司平時負責管理全臺9個重要港口船舶進出，光是北中南9個港口就部署3千支攝影機，所有監控影像全部集中回傳到總公司，由監控中心統一管理和安全監控，但以往多仰賴人力24小時監看，效率不彰。為了解決這個問題，近兩年，臺灣港務公司與大猩猩科技合作，在重要港口導入邊緣AI技術，結合攝影機能主動偵測港區作業，除了提高營運管理效率和降低人力監看成本，還能及時偵測異常事件和危險行為，像是偵測港區違停車輛，或禁止釣漁區域有人員闖入時，監控中心人員從電視螢幕牆就能馬上看到。甚至拍攝影像不需要回傳監控中心，現場就能透過影像分析即時告警，遇遊客失足落海時，能大大縮短救援時間。</p> <p>臺灣港務公司同時還善用IoT蒐集與分析港區環境、車流數據來持續優化與改善港口交通與安全。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雷達感測器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>瞄準消費端IoT應用，Google聯手福特、晶片廠共推開放雷達API新標準Ripple</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 335px;" /></p> <p>在今年CES期間，Google連同福特汽車、三家晶片大廠等宣布將制定新的雷達感測整合API標準Ripple。根據Ripple網頁說明，Ripple是一個開放雷達API標準，可用來實現軟硬間互通，並加快雷達在消費端應用的部署，未來不只能應用於手機，還能廣泛運用於IoT裝置、車用裝置等。</p> <p>負責Ripple API標準制定的聯盟成員包括Google、晶片業者英飛凌（Infeneon）、德儀（TI）、NXP、福特汽車及心肺訊號感測器開發Blumio。Google原本就有開發自己的雷達動作感測技術Soli，先後整合在Pixel 4手機、智慧型手錶及智慧螢幕Nest Hub，可用於手勢指令感測、3D 臉部辨識、睡眠狀態偵測，但因Soli感測不夠精確，加上未找出關鍵使用情境，即未再使用。</p> <p>通過開放的API標準，硬體整合商或開發人員能更容易開發結合雷達感測功能的新產品和服務，用於手勢操控、物體偵測及人體生理監測等，還可跨不同雷達硬體運用到不同行業。</p> <p>第一版Ripple標準將藉由通過明確定義硬體抽像化API、訊號處理函式庫、擴充套件來實現 FMCW （頻率調變連續波）雷達間的互通性。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IoT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 沃爾瑪 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>沃爾瑪運用IoT優化外送到家服務，顧客用IoT溫控箱就能遠端簽收及監控食品溫度</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 322px;" /></p> <p>受疫情影響，美國許多消費者正逐漸改為線上購物、外送到府的消費模式，取代到實體門市購物。美國零售巨頭沃爾瑪也因應這樣模式推出如InHome外送到家服務，將訂購商品直送消費者家中或其冰箱，還計畫2022年底將InHome服務覆蓋範圍從600萬戶家庭擴大至3千萬戶。</p> <p>該公司最近開始利用IoT技術優化外送到家服務，在顧客家門外放置IoT溫控箱，不只能隨時追蹤貨品保存狀況，用戶也能遠端收貨。消費者線上購物完後，送貨員以手持裝置掃描就能打開箱子，將該筆訂單物品放進箱內，並拍照回傳，顧客遠端就能進行簽收，人不用到現場。</p> <p>該溫控箱分三層設計，用於儲放冷凍、冷藏食品和一般物品。消費者用手機App就能監看箱內貨品保存狀況，還能根據環境隨時調整溫度，一旦箱內溫度異常會自動告警。拿取箱內物品時，除了本人親自開箱，也能設定權限，允許家人或鄰居開啟箱子幫忙拿取物品。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧電表 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧家庭 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>NextDrive聯手台電推出家庭能源管理大型試驗計畫，要讓一萬戶家庭都能用Line查看即時用電</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 338px;" /></p> <p>近日，臺灣能源物聯網新創聯齊科技（NextDrive）與台電合推家庭能源管理（HEMS）新服務，將智慧電表用電資訊與Line綁定，民眾用Line就能查看在家每天，甚至每10分鐘用電資料，未來用電記錄還可以精細到一分鐘前的用電都看得到。這也是臺灣智慧電表結合HEMS應用第一起大型試驗計畫。初期以1萬戶家庭或商家為目標。</p> <p>在HEMS服務功能上，NextDrive推出用電報告、節能計畫和節能御守3項基本功能，其中用電報告，可以產出用電報表，讓用戶管理每月、每周、每天用電支出，可提供每10分鐘的用電更新頻率，使用者還可設定每月或每期電費預算，一旦電費超支會自動提醒。該公司未來將推出更多進階服務和功能，例如用電異常偵測、電能管理、智慧家電整合服務、電動車充電管理等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">車聯網 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嵌入式OS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>搶攻車聯網市場，汽車零件巨頭Aptiv併購嵌入式軟體商Wind River</strong></span></strong></p> <p>汽車零件大廠Aptiv日前重砸43億美元大舉收購嵌入式軟體商Wind River。1981年成立的Wind River，以提供嵌入式即時作業系統及開發、部署工具為主，現有1,700多家客戶，其作業系統軟體用於全球20多億臺邊緣裝置，涵括航太、國防、電信及汽車產業。Wind River過去幾經易主，先是由英特爾在2009年以8.84億美元買下，用來發展嵌入式業務，2018年將其分拆後，TPG Capital跟進收購，接著2022年1月時，再由Aptiv自TPG手上買下。</p> <p>Aptiv說明，收購Wind River是因應汽車產業走向連網、軟體定義，需要完整解決方案加速軟體開發及部署，合併後Wind River將維持獨立運作，但改名為進階安全暨使用者體驗（AS&UX）事業群。此收購案2022年中完成。</p> <p><strong> </strong></p> <p><strong>攝影／余至浩　圖片來源／HomeValet、Waymo、CTA、工研院機械所數位長王傑智臉書</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></strong></p> <p><strong><strong>1. 高通發表Snapdragon汽車數位底盤新平臺，推出車對雲、車聯網、ADAS及座艙體驗整合晶片方案</strong></strong></p> <p><strong><strong>2.Waymo與美國運輸物流公司J.B. Hunt擴大合作，將在德州展開自駕卡車送貨</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年1月</strong></strong></p> </div></div></div>
2022/1/22 17:51作者余至浩https://www.ithome.com.tw/news/149022
AI代工是臺灣產業轉型未來10年新方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「明天當AI變成新電力，臺灣若沒有掌握這個能力，所有競爭力都會下滑，這也代表AI會滲透到各個領域，需要各方面的領域知識。」2017年初接任科技部部長的陳良基回憶，當時有一件事，上任後他非做不可。</p> <p>2016年，圍棋AI程式AlphaGo打敗了多次世界冠軍的韓國棋王，以晶片研發享譽國際的陳良基才驚覺，AI時代比人們想像得來得早來臨，這個技術已經走出實驗室，變成了真實世界可以應用的技術。</p> <p>陳良基當時就意識到：「將來誰掌握了數據的科技，在未來的時代就會占有優勢，大家都知道工業革命對每一個國家競爭力的影響，若有一個這麼重要的第四次工業革命正在發生，臺灣當然要搶在浪頭，也要發揮原有優勢，這對國家未來的國力提升，絕對是優勢。」</p> <p>這正是為何，到了2017年時，開始有少數大國，如美國、中國、加拿大公布了國家AI戰略，將AI發展拉高到國家級戰略的高度，全力押寶。</p> <p>時至今日，2022年，全世界超過10個國家，將AI視為國家發展戰略的主軸，不管是美國、中國、法國、英國、加拿大、德國、澳大利亞、日本、韓國、新加坡等，都是要發展頂尖AI技術來維持領先優勢，甚至英國在2021年下半年還加碼宣布了未來10年AI戰略，目標就是要成為世界AI強權之一。</p> <p>「我是做研究的人，長年站在時代浪頭，當時看到AI對臺灣未來的發展，非常重要。」陳良基擅長的研究領域是晶片，他認為：「沒有晶片不用講AI，AI一定會用到半導體技術，臺灣原有的ICT優勢、半導體優勢，可以順著AI浪潮衝上去。」</p> <p>正因如此，當他在2017年成為科技部部長後，就將該年定為臺灣AI元年，要傾臺灣科技研發資源，要來推動臺灣的國家級AI戰略。</p> <p><span style="font-size:28px;"><strong>先承認資源不夠，再選定未來重要目標</strong></span></p> <p>但是，臺灣不是世界大國，許多企業的規模也沒那麼大，「如果什麼AI都做，分散資源，最後可能一點機會都沒有。」2017年時，陳良基到行政院院會報告新AI政策方向時，他這樣強調：「AI戰略應該慎重以對，採取小國大戰略，先承認我們的資源不夠，選定對臺灣未來的重要項目，猛力去攻，才可以打敗第四次工業革命中的世界強國。」大戰略選定了AI，但在戰術執行上，得想辦法聚焦，才能善用有限的資源。</p> <p>為了思考臺灣的AI戰略，陳良基和科技部團隊，拜訪了好幾個國家，遠赴海外到英國、德國、法國到加拿大等，了解他們的AI策略，甚至到英國國會，與英國AI策略規劃團隊請教。</p> <p>當時各國AI策略時，經常用AI論文數，作為衡量一個國家AI研發實力的指標。但是，臺灣人口少，再怎麼比論文數，全世界排名還是處於20名左右，很難名列前茅。</p> <p>學界實力得靠論文，除了論文數量，引用數是學界另一個常見指標，當一篇論文受到高度討論、大量在其他人的論文中討論引用時，也是另一種影響力的展現。</p> <p>陳良基換個角度思考，如何能拿到非常獨特，甚至是全世界都還沒有人知道的題目，「只要我們先解出答案，不論數量多少，每一篇都會受到全世界看重。」</p> <p>但要什麼樣的論文，才可以獲得高度影響力？陳良基組了一個規畫小組，找來產學界專家，共同討論，在小國AI大戰略的方向下如何進行，要找出值得投入的「未來的題目」。</p> <p>以學術機構或研究團隊過去的成果和影響力來考慮是一種尋找未來投資方向的策略，也是學界常見方法之一，但每個AI實驗室各有擅長的題目，每個人覺得自己的題目最重要，規畫小組還是難以抉擇哪些是有潛力的未來題目。</p> <p>陳良基認為：「誰在第一線戰場，敏感度就會最高。」所以，他決定改由業界提需求來找出優先投入的議題，「未來產業要AI化、或是業界需要AI如何加持，最欠缺什麼AI技術，就透過學界研發團隊來補足這個缺口。」</p> <p><span style="font-size:28px;"><strong>業界出題、學界解題模式的誕生</strong></span></p> <p>這個戰術角度的轉換，就催生了「業界出題、學界解題」模式。後來，科技部組成了專家小組進行海選，要找出臺灣得優先推動的AI課題。陳良基對海選小組提出一個要求，最後挑選出來的專案，必須是將來有機會落地。他希望押寶的目標是由產業和學界聯手，能結合臺灣產業優勢，未來有機會發展出產業生態鏈的專案。</p> <p>最後海選出了28個計畫，為了提供行政協助，科技部在大學中，成立四大研究中心，但旗下計畫都採取產學融合的型態來進行。「這個做法，對臺灣研發學界是很大的體制轉變。」陳良基事後指出。</p> <p>從技術面來看，資料、演算法和算力，這是現在眾所皆知的AI發展三的關鍵。透過「業界出題、學界解題」模式，業界不只貢獻了「題目，也提供了自己的「資料」，讓學界可以研發「演算法」，三大關鍵只剩下最後一個環節「算力」。</p> <p>「算力是臺灣的優勢」，陳良基解釋，臺灣擁有半導體產業，也是PC王國，大廠的伺服器都是臺灣製造，「如何運用這些技術，對臺灣來說不難。」所以，在科技部AI計畫中，要投資50億元，來發展AI需要的運算環境。後來，由國網中心與廣達、台灣大、華碩組成AI 硬體國家隊，用了半年多的時間，合力打造出AI超級電腦「台灣杉二號」，在2018年11月，以9PFLOPS的超強計算效能，拿下全球超級電腦排名第20名，再次超越了臺灣歷年排名記錄。</p> <p>「國家幫忙建造運算環境，AI研發團隊專注各種不同的領域知識，用那些領域的資料來建立演算法和平臺。」如此一來，所有需要AI訓練的團隊，就可以有一個能夠快速學習的環境，陳良基強調：「如果沒有好的環境，一個想法要隔兩三個禮拜才能驗證，創新熱度就會消失，若讓想法可以很快證明，就能很快再想另一個點子。」</p> <p>義隆電子和中研院合組團隊的計畫就是小國AI大戰略第一批補助的28個AI計畫之一，也利用了國網中心提供的運算環境，來不斷測試、驗證自己的AI模型。這個團隊，<a href="http://www.ithome.com.tw/article/148305" target="_blank">後來催生了一個世界第一的感測AI技術YOLOv4，成了「業界出題、學界解題」模式的典範</a>，也證明了陳良基這個另類AI發展策略的成功。</p> <p>「越創新，就越能有這個優勢，當以你不是做別人已經解過的題目，而是解別人沒有辦法解的題目，」陳良基剖析，<a href="http://www.ithome.com.tw/article/148305" target="_blank">不只YOLOv4，接班的YOLOR架構</a>也是全新的想法。「修改別人的問題，嘗試創新突破，想的時間可能一樣，訓練的時間可能一樣久，但你設定標竿的目標，就會走在頂尖的方向上。」</p> <p>2017年當時他還不敢大聲喊出，希望臺灣成為AI標準的制訂者。因為大力推動AI時，他多次遭質疑是講大話，甚至遭人批評，科技部將資源過度集中到單一領域中，但是，「不試試看，怎麼知道呢！」他自己這樣打氣的說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-21_%E9%99%B3%E8%89%AF%E5%9F%BA_%E5%9C%8B%E7%AB%8B%E8%87%BA%E7%81%A3%E5%A4%A7%E5%AD%B8_%E9%9B%BB%E6%A9%9F%E7%B3%BB_%E8%AC%9B%E5%BA%A7%E6%95%99%E6%8E%88_20211203.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="file:///C:/Users/ithome/Downloads/1061-2425-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-%E8%B1%86%E5%AD%90-%E9%99%B3%E8%89%AF%E5%9F%BA-web-resources/image/21_%E9%99%B3%E8%89%AF%E5%9F%BA_%E5%9C%8B%E7%AB%8B%E8%87%BA%E7%81%A3%E5%A4%A7%E5%AD%B8_%E9%9B%BB%E6%A9%9F%E7%B3%BB_%E8%AC%9B%E5%BA%A7%E6%95%99%E6%8E%88_20211203.png" />攝影／洪政偉</span></p> <p><strong><span style="color: rgb(105, 105, 105);">明天當AI變成新電力，臺灣若沒有掌握這個能力，所有競爭力都會下滑，這也代表AI會滲透到各個領域，需要各方面的領域知識。── 前科技部部長陳良基</span></strong></p> <p><span style="font-size:28px;"><strong>YOLO證明臺灣團隊有能力成為世界第一</strong></span></p> <p>「<a href="https://www.ithome.com.tw/article/148305" target="_blank">YOLO模型的例子</a>，就是證明臺灣可以做得到，可以成為世界標竿，站到最頂端，我們研究人員有這個實力，這對臺灣其他研究者可以帶來信心。」陳良基這樣比喻，就像戴資穎羽球打那麼好，就會覺得臺灣羽球界也可以做得到，就不會不敢參加國際比賽或者參賽時信心不足。</p> <p>陳良基觀察，YOLOv4自己也成了一個世界級平臺，國外很多人透過開源方式，運用這個模型來展示的應用越來越多，「這對國內企業和學界也是一個非常好的標竿。」</p> <p>這樣的指標帶來另一個意義，他補充，企業以前考慮頂尖技術時，都覺得國外團隊比較厲害，臺灣企業跟臺灣團隊合作時，都會秤斤秤兩，有一種給你好處的味道，「<a href="https://www.ithome.com.tw/article/148305" target="_blank">YOLO這個例子</a>可以讓企業知道，最厲害的團隊就在你身邊，不用捨近求遠，反而找國際知名研究團隊。」</p> <p>後來，科技部推出產學研發中心計畫，招募企業挹注學界研究經費，政府也會給提供同額補助的作法，也吸引了不少企業，例如玉山金控等，開始與國內大學有更多研究合作。</p> <p><span style="font-size:28px;"><strong>不只成為世界第一，更要落地產業</strong></span></p> <p>「業界出題、學界解題」模式，是一種「以終為始」的思考策略，「不是單看一家研究機構實力很強就通過計畫，而是以未來的目標，來決定怎麼組合團隊。」陳良基解釋。</p> <p>但陳良基心中的終點，不是一項技術成為世界第一而已，而是要「落地產業」，變成一項產品或是一家新創，才是他期待的最終目標。</p> <p>為何以落地產業作為目標，源自陳良基過往研究時曾遇過的挫折。他早年從事影像研究，在臺大開發出了頂尖技術，不久後，他到美國AT&T進修，這家公司的研發人員看到他來非常驚訝，反而告訴陳良基，我們正將你的論文做成影像電話，後來，這個電話反而賣到臺灣來。「我回臺之後，就下定決心，不要這樣做研究，未來任何研究之前，要先思考能不能在臺灣產業落地。」</p> <p>在陳良基入閣之前，他長年批評政府對於新興產業的扶植力道不夠。臺灣一直不乏有卓越的研究成果，可是，「技術從實驗室離開、落地，得在產業開花結果才算數。」2017年以前，陳良基常在不同場合呼籲，政府對科技投資金額越來越大，但卻沒有明顯反映在產業效益上，尤其他認為，對新興科技的扶植，應該催生出新產業，「從2000年到2017年間，沒有成功看到臺灣出現任何新興產業，可以落地生根壯大。」</p> <p><span style="font-size:28px;"><strong>從技術落地，下一步得發展成AI新創產業聚落</strong></span></p> <p>YOLOv4證明了臺灣技術可以比國際大廠厲害，「若能發展出一家家新創，每一家都有獨門絕活，組成產業聚落，全世界任何品牌要推AI在地服務，臺灣可以成為底層服務的供應者。」這是陳良基對臺灣AI發展另一個有待實現的大夢。要做到這件事，不只需要業界出題學界解題的新模式，「還得建立生態系，讓這些團隊有很好的發展，就像種田一樣。」</p> <p>從小在雲林農家長大的陳良基，用種田來描述他想推動的新創生態系發展策略。要收割稻子，要先翻土，打通水路，還要設立秧苗區，讓秧苗慢慢長大，過程中，不同時間點要給不同的養分，等到秧苗茁壯之後，才能插秧到更大的田地中發展。</p> <p>後來，科技部在2018年時成立的臺灣科技新創基地TTA（Taiwan Tech Arena），就是陳良基眼中的新創秧苗區，可以引進國內外新創加速器資源，像是國際資金和人脈等，也讓這些新創有一個可以展現初步成果的空間。幾年下來，也孵化出幾家知名新創，帶著原本計畫的成果前進產業。</p> <p><span style="font-size:28px;"><strong>將新電力的服務通道，發展成產業生態鏈</strong></span></p> <p>AI是新電力，但不是每一家企業都要自建新電力的發電廠，而是要連結到新電力的源頭，陳良基認為：「這個新電力的服務通道，可以變成一個產業生態鏈，也是政府可著力之處，才能降低現有產業進入AI的門檻。」</p> <p>另一方面，不是現有產業結合AI 就能滿足的需求，就得將新技術發展成新創產業來滿足，其中最重要的條件就是資金，不過，陳良基觀察，每年臺灣AI新創獲得挹注的資金規模還是遠低於國際資金對AI的投入規模。「當秧苗進入稻田的養分不夠大，就會長不好，科技部已經打好臺灣的AI基礎，落地化則是國發會和經濟部必須留意的事。」</p> <p><span style="font-size:28px;"><strong>未來10年，臺灣要從半導體代工轉型成AI代工</strong></span></p> <p>「未來10年，臺灣應該慢慢從半導體代工，轉型到AI代工型態的產業，朝向AI服務業的模式發展。」陳良基這樣建議，單靠臺灣市場不容易培養出全球品牌，但臺灣擅長所有底層服務，也擁有伺服器產業，很有機會成為頂尖AI技術服務公司，可以成為國際品牌商背後的AI供應商，就像臺灣現在的半導體代工產業一樣，成為品牌商背後的供應鏈體系一樣。</p> <p>打群架是臺灣的優勢，不是跟Google對打，而是成為它的夥伴。就像Tesla有七成供應商來自臺灣一樣。「做到這樣，臺灣未來10年的發展就穩了！」他建議：「AI代工轉型可以是臺灣產業轉型的下一個方向。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 前科技部部長陳良基個人小檔案 </span></strong></span></p> <p><span style="color:#696969;"><strong>學經歷：臺灣大學電機系講座教授。一位雲林農家長大的田庄子弟，1986年獲得成大電機博士，也是臺灣第一位CAD領域本土博士。從1998年開始，長年在臺大擔任教職，後來還成為臺大副校長。曾擔任過工研院電子所所長、國家實驗研究院院長，還獲選為國際電機電子工程學會會士。2016年入閣，擔任教育部政務次長，推動了不少技職教育改革，隔年2月8日轉任科技部部長，力推小國AI大戰略，直到2019年5月卸任，才歸建回到臺大重任教職。</strong></span></p> </div></div></div>
2022/1/22 16:35作者王宏仁https://www.ithome.com.tw/news/149014
Google釋出供用戶稽核企業資料庫的Cloud SQL for MySQL擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端釋出針對雲端資料庫服務Cloud SQL for MySQL，可用來<a href="https://cloud.google.com/blog/products/databases/cloud-sql-for-mysql-launches-database-auditing">稽核資料庫的擴充套件</a>。該擴充套件提供多種企業資料庫稽核常用功能，讓用戶資料庫更容易維持在符合法規且安全的狀態。</p> <p>所謂的資料庫稽核，是讓用戶能夠追蹤資料庫中特定用戶的操作，像是資料表更新、讀取查詢和用戶權限授予等。資料庫稽核對於出於安全原因，需要追蹤用戶的活動或是遵守各種財務、政府和ISO法規的組織非常有用。而現在Google釋出擴充套件，在Cloud SQL for MySQL 5.7和8.0，開始支援資料庫稽核功能。</p> <p>官方提到，當用戶在MySQL中管理敏感資料，可能會有義務紀錄和監控用戶資料庫的活動。雖然用戶可以設定MySQL的慢查詢日誌（Slow Query Log），或是通用日誌，來創建用戶活動的稽核追蹤，但這些日誌會明顯影響資料庫效能，而且也沒有針對稽核最佳化格式。</p> <p>雖然也有專用於稽核的開源套件，但Google表示，這些套件缺乏企業用戶需要的進階安全功能，像是基於規則的稽核，或是遮蔽結果等。而Google現在所提供專用於資料庫稽核的擴充套件，針對三類型用戶設計，包括管理員、稽核員和客戶。</p> <p>用戶可以定義稽核規則，來管理紀錄資料庫活動，該活動以資料庫稽核日誌的形式紀錄，該擴充套件能夠將敏感資料包括用戶密碼等，從稽核日誌中遮蔽，並將處理過後的資料庫稽核日誌，發送到雲端日誌服務Cloud Logging中。</p> <p>用戶可以在Cloud Logging查看所有使用者，對資料所進行的任何操作，另外，用戶也能使用自定義的日誌接收器，將這些日誌路由到Cloud Storage儲存桶或是BigQuery，進行長時間留存，甚至是使用Splunk或其他日誌管理工具，執行即時異常偵測。</p> </div></div></div>
2022/1/22 14:54作者李建興https://www.ithome.com.tw/news/149010
美國參議院司法委員會通過反壟斷的《美國創新及選擇網路法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管<a href="https://www.ithome.com.tw/news/148981" target="_blank">Google與蘋果大力反對</a>新的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act），但美國參議院的司法委員會（Senate Judiciary Committee）周四（1/20）依舊以16:6的投票結果通過了該法案，外界預期它也可能順利通過參議院的最終表決。</p> <p>《美國創新及選擇網路法案》將限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。</p> <p>即使蘋果批評相關法案可能危及使用者隱私及安全，Google則扣了更大的帽子，宣稱相關法案將危及美國身為全球技術領先者的地位，並可能威脅美國國家安全，但司法委員會仍然批准了該案。</p> <p>參議院司法委員會總計有22名委員，並由共和黨與民主黨各占一半席位，雖然蘋果與Google正對此進行大規模的遊說行動，企圖勸阻該法案，不過，外界認為已由兩黨取得共識的法案並不容易被攔下。</p> </div></div></div>
2022/1/22 13:24作者陳曉莉https://www.ithome.com.tw/news/149018
Meta開源第一個適用於文字、聲音和影像的高效能自我監督演算法Data2vec
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在自我監督學習技術上，取得最新進展，其所開發的<a href="https://ai.facebook.com/blog/the-first-high-performance-self-supervised-algorithm-that-works-for-speech-vision-and-text/">Data2vec</a>，是第一個適用於多模式的高效能自我監督演算法，可以分別應用於語音、圖像和文字，效能比過去僅針對電腦視覺和語音的演算法更好，並且在NLP任務也具有一定的水準。</p> <p>研究人員提到，現在大多數的人工智慧技術，仍然是以監督學習作為基礎，必須使用標記資料。不過有許多人類希望機器人做的事情，不可能收集到標記資料，像是雖然目前有許多研究人員，在收集英語語音和文字，來創建大規模標記資料集，但對於地球數以千計的語言來說，這種方法並不可行。</p> <p>但自我監督技術，能夠讓電腦自己觀察世界，並且弄清楚圖像、語音和文字的結構，Meta提到，對於不用明確教導分類圖像，或是理解口語的機器，可擴展性高上許多。</p> <p>但現在自我監督學習的研究，幾乎都集中在同一種模態上，Mata舉例，像是文字，研究人員訓練模型來填補句子的空白，語音模型則需要預測語句中缺失的聲音，對電腦視覺任務而言，模型要從多張圖像裡，找到更為相關的照片。</p> <p>演算法在不同的模態使用不同的處理單位，視覺是以像素或是視覺標記為預測單位，文字是單字，而聲音則是音訊波形等。演算法設計會與特定的模態關聯在一起，演算法底層的實作也不相同。</p> <p>而Meta最新開發的Data2vec則簡化了這個麻煩，無論模態為何，能夠對不同的輸入資料，預測各自的表示（Representation）。這些表示為神經網路的分層，而不是單詞或是波形，這消除了學習任務中對特定模態目標的依賴。</p> <p>Meta的方法是使用一個導師網路，計算圖像、文字和聲音中的表示，接著遮蔽部分輸入，要學生模型重複該過程，並且預測導師網路的潛在表示，學生模型必須在只看過部分資訊的情況下，預測完整輸入資料的表示。導師網路和學生模型相同，但權重略為過時。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/271815807_4636921079718503_8613393990345138136_n.gif?_nc_cat=107&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=jXKyTteHwvwAX-hSfSp&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT84Crie8fjeys5d-h-Z0nUsHKikr1TH0HNc-duBzThVnQ&oe=61EE73F1" style="width: 580px;" /></p> <p>Meta使用ImageNet電腦視覺基準來測試Data2vec，在一般的模型大小中，Data2vec比現在所有方法表現都還要好，語音上的效能表現，更勝於wav2vec 2.0或HuBERT，在文字方面，效能與BERT重新實作的版本RoBERTa相同。</p> <p>官方提到，Data2vec代表了一種新的自我監督學習範式，能夠處理多模態，而非僅單一模態，而且Data2vec也不仰賴對照學習（Contrastive Learning）或是重建輸入的範例。</p> <p>因此Data2vec除了能夠加速人工智慧的發展，也更加能夠建構無縫學習周圍環境的各種機器，使得人工智慧更具適應性，並擁有執行更多任務的能力。現在Meta對外開源程式碼以及預訓練模型，讓其他研究人員可以接續Meta的研究。</p> </div></div></div>
2022/1/22 13:27作者李建興https://www.ithome.com.tw/news/149007
Netflix第四季營收成長16%，看淡今年首季讓盤後股價大跌20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2021/q4/FINAL-Q4-21-Shareholder-Letter.pdf" target="_blank">全球最大串流服務Netflix周四（1/20）公布去年第四季財報</a>，顯示該季營收為77.09億美元，比前一年同期成長16%，淨收入為6.07億美元，高於前一年同期的5.42億美元，不過，由於Netflix看淡今年第一季的表現，使得Netflix當天的盤後股價大跌20.22%，股價落在405.5美元。</p> <p>Netflix在去年第四季新增了830萬名付費訂閱用戶，使得該公司的總訂閱用戶數達到2.22億名。相較於2020年同期的表現，Netflix去年第四季不管是在營收、獲利或訂閱用戶數都是成長的，不過，該季新增的付費用戶低於Netflix原本估計的850萬名。</p> <p>此外，Netflix也預測今年第一季只會新增250萬名新用戶，不僅低於去年同期增加的400萬名，也遠低於華爾街分析師所預期的690萬名，而使得Netflix的盤後股價大跌超過100美元。</p> <p>Netflix甫於去年第四季<a href="https://www.ithome.com.tw/news/147646" target="_blank">發表支援行動裝置的遊戲服務</a>，該服務並未額外向使用者收費，迄今已有10款遊戲上架。此外，Netflix日前率先<a href="https://www.ithome.com.tw/news/148921" target="_blank">調高了北美市場的每月訂閱費用</a>，預期將陸續調高其它市場的價格，可望對該公司的營收有所助益。</p> </div></div></div>
2022/1/22 11:51作者陳曉莉https://www.ithome.com.tw/news/149015
Amazon要開時裝店了！Amazon Style今年將在洛杉磯開張
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-reimagines-in-store-shopping-with-amazon-style" target="_blank">Amazon本周宣布</a>，將在今年於洛杉磯的Americana at Brand廣場開設該公司首家實體時裝店Amazon Style，計畫於此一實體店面中整合實體及網路購物的優勢，同時藉由行動程式簡化消費者的購物流程。</p> <p>以線上書店起家的Amazon不斷跨足各種服務，目前它除了已是全球最大的電子商務平臺，以及全球雲端運算服務龍頭之外，也設立<a href="https://www.amazon.com/find-your-store/b/?node=17608448011" target="_blank">各式的實體商店</a>包括書店Amazon books、專門評價四星以上商品的Amazon 4-star、生鮮超市Amazon Fresh、於所併購的Whole Foods連鎖超市內展示各種新品的Amazon Pop-Up快閃店，以及無人超商Amazon Go等。</p> <p>根據Amazon的介紹，Amazon Style看似為一家專門展示與試穿的店面，將根據流行趨勢與電子商務平臺上的消費者經驗，於實體店面提供數百種品牌的服飾與配件，消費者在店內只要透過Amazon Shopping行動程式掃描商品的條碼，就能馬上得知它的尺寸、顏色與評價等詳細資訊，還可點選是否要試穿或直接送到結帳櫃臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-Amazon%20Style-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Amazon</span></p> <p>消費者可於行動程式上選擇所有欲試穿的服飾及尺寸，接著它們就會被送到試穿室，試穿室中還會有一個觸控螢幕，讓使用者繼續瀏覽其它選項，例如要求送來其它尺寸或是Amazon根據消費者喜好所推薦的服飾。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-Amazon%20Style-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></p> <p>所有出現在Amazon Style上的商品都是來自於Amazon線上商店，而且價格也一樣；消費者可以在門市試穿，自網路購買；或者是在試穿之後存放於Amazon Shopping程式上以利之後購買；也能在網路上購買時直接要求送至門市，試穿後若不滿意則可直接退貨，實現了虛實整合的購物經驗。</p> </div></div></div>
2022/1/22 10:41作者陳曉莉https://www.ithome.com.tw/news/149012
微軟釋出新年第一個VS Code Java擴充套件更新，並說明接下來發展路線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了<a href="https://devblogs.microsoft.com/java/java-on-visual-studio-code-update-january-2022/">2022年第一個VS Code Java擴充套件更新</a>，新版本嵌入了JRE，簡化用戶需要操作的配置，另外，微軟也聽取開發者的意見，簡化格式子（Formatter）的配置。發布新版本消息的同時，官方也說明了新的一年，Java擴充套件的發展方向。</p> <p>在Java擴充套件直接嵌入JRE，代表開發者不再需要配置JDK來執行擴充套件，只需要對專案配置JDK就可以了，這可使開發者的日常操作更方便。微軟也更新起始頁面，以及配置Java Runtime的配置頁面，以提供更好的入門體驗，對新用戶來說，只需要安裝Java擴充套件包（Extension Pack for Java），並且針對專案下載Java開發者套件，就能創建Java檔案，開始編寫程式碼。</p> <p>另一項更新則是配置Java格式子的設定，官方提到，過去他們常接到開發人員的反應，表示常需要替Java程式碼配置格式化設定，有時候還找不到格式子設定來預覽其效果。因此微軟加入檢視圖，讓開發者在更改格式子設定的時候，能夠先預覽其效果。</p> <p>開發者除了能直接使用命令開啟預覽功能之外，也可以到Java幫助中心頁面進行設定，用任一方式進入格式子配置檢視圖，開發者都可以更改和預覽VS Code中的格式子設定。</p> <p>在2021年，微軟對VS Code Java擴充套件進行不少改進，其中包括與紅帽合作，加入Java語言支援1.0，而且也添加了Gradle支援。在2022年，官方也列出許多要更新的目標。</p> <p>首先，微軟仍會繼續著重在基礎開發體驗的提升上，像是提供更智慧的程式碼完成建議，或是生成更相關的程式碼片段，並根據用戶的偏好，提供各種快捷操作。</p> <p>微軟也提到，他們會繼續探索Project Loom，來提供虛擬執行緒的支援，提高除錯效能。另外，呈現測試覆蓋率也是微軟希望加入支援的功能，以強化Java的測試體驗，當然，微軟也會繼續支援更新的技術，因此2022年會加入Java 18支援。</p> <p>第二個微軟關注的領域，則是擴充套件的效能和可靠性，官方要先改進Java語言伺服器的可靠性，來減少無回應的情況。對於用戶反應，當有許多相依項目需要下載，在第一次匯入專案需要花費很長的時間，官方將進行研究解決該問題，另外，微軟還要縮短程式碼完成的回應時間，來提升使用者體驗。</p> <p>微軟也承諾將會提供Spring Boot端到端的支援。Spring Boot是目前最流行的Java框架，讓開發者可以簡單地開始建立微服務，或是網頁應用程式。目前Java擴充套件對Spring Boot提供了許多最佳化，接下來微軟還會與VMWare合作，簡化Spring專案、控制器和beans的創建工作流程，並更好地視覺化呈現核心Spring概念，同時改進使用Spring Boot儀表板，管理Spring應用程式生命周期的方式。</p> </div></div></div>
2022/1/22 10:45作者李建興https://www.ithome.com.tw/news/149004
【資安日報】2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自12月初Log4Shell漏洞公布後，許多駭客開始用於實際攻擊行動，而最近有2起攻擊針對特定應用系統，分別是針對FTP伺服器，以及網路設備而來，而駭客攻擊後者的目的，疑似是要散布殭屍網路病毒。</p> <p>近期中國駭客組織Winnti（亦稱APT41）的攻擊行動不斷被發現，在本週的資安日報裡，已有該組織旗下的Earth Lusca發動網路釣魚、水坑式攻擊，但今天又有研究人員發現，Winnti針對電腦的UEFI韌體發動惡意軟體攻擊，而這已經不是第一次該組織運用這種手法，使用者應該要加強相關防護。</p> <p>有許多企業採用的網站內容管理平臺WordPress，其外掛程式出現漏洞的情況不時出現，大多影響的範圍是網站運作，或是瀏覽網站的使用者遭到攻擊，但在這兩種之外，許多網站提供延伸閱讀功能的模組，如WP HTML Mail電子報元件，也可能變成攻擊者利用的對象。在本日的資安日報裡，研究人員揭露此電子報模組的漏洞，可被攻擊者用於網路釣魚郵件攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.akamai.com/blog/security/mirai-botnet-abusing-log4j-vulnerability"><span style="color: rgb(0, 0, 0);"><strong>Mirai殭屍網路利用Log4Shell漏洞，鎖定Zyxel網路設備下手</strong></span></a></h4> <p>又有殭屍網路打算利用Log4Shell漏洞，企圖控制特定廠牌的網路設備。資安業者Akamai發現可在Arm處理器設備運作的惡意軟體，經分析後得知是Mirai殭屍網路病毒，其攻擊目標是針對Zyxel的網路設備而來。值得留意的是，這個殭屍網路入侵受害裝置的途徑，疑似是利用Log4j重大漏洞CVE-2021-44228（亦稱Log4Shell），但究竟攻擊者針對那些Zyxel設備而來？研究人員沒有進一步說明。</p> <h4><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#CVE-2021-35247"><span style="color: rgb(0, 0, 0);"><strong>FTP伺服器軟體Serv-U遭到Log4Shell漏洞攻擊</strong></span></a></h4> <p>攻擊者利用Log4Shell的現象，最近也出現針對企業內部建置的檔案共享系統的攻擊行動。微軟於1月19日指出，他們近期發現駭客運用零時差漏洞CVE-2021-35247，攻擊FTP伺服器軟體Serv-U。攻擊者使用上述漏洞繞過使用者身分驗證流程後，利用Log4Shell接管Serv-U伺服器。SolarWinds獲報後已發布Serv-U 15.3版予以修補。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/new-moonbounce-uefi-malware-used-by-apt41-in-targeted-attacks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Winnti再度針對UEFI韌體下手，打造惡意軟體MoonBounce發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41）鎖定電腦統一可延伸韌體介面（UEFI）韌體發動攻擊的情況，先前曾使用<a href="https://www.ithome.com.tw/news/140369">名為MosaicRegressor的惡意軟體</a>，但這些駭客又故技重施，而且，攻擊手法更加複雜、難以防範，幾乎不會在磁碟留下蹤跡。卡巴斯基揭露一起使用MoonBounce惡意軟體的UEFI韌體攻擊行動，攻擊者將其植入受害電腦主機板上的SPI快閃記憶體，並藉由驅動程式執行環境（DXE）階段啟動，進而載入到Windows核心所使用的記憶體位址運作。根據攻擊者也在受害電腦上植入惡意軟體ScrambleCross，以及C2中繼站所使用的憑證等特徵，研判攻擊者就是中國駭客組織Winnti。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/indonesias-central-bank-confirms-ransomware-attack-conti-leaks-data/"><span style="color: rgb(0, 0, 0);"><strong>印尼央行遭到勒索軟體Conti攻擊，十餘個系統受到波及</strong></span></a></h4> <p>勒索軟體Conti發動攻擊的事故，最近2至3個星期已有數起，而這次的受害者是大型政府機關。印尼銀行（Bank Indonesia）於1月20日表示，他們遭到勒索軟體攻擊，攻擊者竊取了屬於員工所有的非重要資料（non-critical data），並在該銀行十多個系統部署勒索軟體。而對於攻擊者的身分，勒索軟體Conti宣稱從印尼銀行竊得13.88GB資料。而這是繼該國衛生部、石油公司Pertamina遇害後，當地2022年第3起大型網路攻擊行動。</p> <h4><a href="https://www.ithome.com.tw/news/148985"><span style="color: rgb(0, 0, 0);"><strong>新加坡加密貨幣交易所遭入侵，損失3,300萬美元</strong></span></a></h4> <p>加密貨幣平臺遭到攻擊且將大筆資金轉走的事故，又再添一樁。新加坡加密貨幣交易所Crypto.com，於1月17日遭到駭客入侵，而對於受害的情況，區塊鏈研究團隊OXT Research指出，駭客盜走4,600個以太幣、444個比特幣，價值近3,300萬美元。Crypto.com執行長Kris Marszalek在接受彭博電視臺（Bloomberg TV）專訪時透露，約有400名客戶受到影響，但他們將補償這些客戶的損失。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-flaw-puts-users-of-20-000-sites-at-phishing-risk/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式驚傳漏洞，恐被濫用於大量發送網釣郵件</strong></span></a></h4> <p>網站外掛程式的漏洞不只讓駭客可對網站造成破壞，或是攻擊瀏覽網站的上網用戶，甚至還能被用來大量發送釣魚郵件。資安業者Wordfence發現，WordPress外掛程式WP HTML Mail存在漏洞CVE-2022-0218，攻擊者一旦利用這項漏洞，就能在未經身分驗證的情況下竄改電子報範本，進而向訂戶發送網釣郵件。由於WP HTML Mail可與其他外掛程式搭配使用，如電子商務平臺WooCommerce、表單建置工具Ninja Forms、社群網站建置工具BuddyPress，影響範圍可能相當廣泛。開發人員獲報後已推出WP HTML Mail 3.1版修補漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148980"><span style="color: rgb(0, 0, 0);"><strong>McAfee企業部門與FireEye合併，成立XDR公司Trellix上市</strong></span></a></h4> <p>私募基金業者Symphony Technology Group（STG）於2021年3月、6月，先後<a href="https://www.ithome.com.tw/news/143106">買下McAfee企業部門</a>，以及<a href="https://www.ithome.com.tw/news/144797">FireEye網路、郵件、端點、雲端等領域的安全管理平臺</a>，<a href="https://www.ithome.com.tw/news/147203">STG併購後於同年10月宣布，將上述2家公司整併</a>，而最近這家合併完成的新公司名為Trellix，將提供擴充偵測與回應（Extended Detection and Response，XDR）解決方案。STG亦預告會將McAfee Enterprise Secure Service Edge拆分成獨立業務，提供雲端存取安全中介服務（CASB）、網路安全閘道、零信任網路安全存取（ZTNA）等解決方案。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/21 14:41作者周峻佑https://www.ithome.com.tw/news/149002
iOS 15已占7成，蘋果催iOS 14用戶儘速升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釋出iOS、iPadOS 15將近4個月後，<a href="https://support.apple.com/en-us/HT204204" target="_blank">本周蘋果發出舊版本用戶升級提醒</a>，暗示可能即將終止支援iOS/iPadOS 14。</p> <p>根據蘋果公告，如果用戶使用的是iOS及iPadOS 14.5以後版本，上周起將看見裝置上出現升級新版OS的選項。這選項讓用戶可以選擇升級到iOS及iPadOS 15，或是持續留在iOS、iPadOS 14，選擇後者則可接獲安全更新「一段時間」。沒看到自動更新選項的用戶，蘋果提醒可以手動更新。</p> <p>不同於現行Android裝置涵蓋多個舊版本，iPhone上的iOS版本向來組成單純，且用戶一向很快就更新到最新版本。<a href="https://developer.apple.com/support/app-store/" target="_blank">根據蘋果上周公布的資料</a>，在現行開通4年以下的iPhone中，<a href="https://www.ithome.com.tw/news/146814" target="_blank">去年9月才推出的iOS 15</a>已占72%，iOS 14占26%，更早版本只占了2%。在iPad上，iPadOS 15和14的占比各為57%和39%。</p> <p>從<a href="https://www.macrumors.com/2021/01/27/apple-active-devices-worldwide-january-2021/" target="_blank">iPhone已賣出16.5億支</a>來看，這26%仍是不小數目。</p> <p><a href="https://www.zdnet.com/article/still-running-ios-14-on-your-iphone-apple-brings-support-to-an-end/" target="_blank">媒體認為</a>，在iOS 15推出4個月後公布這個訊息，意謂著蘋果已經在催這些用戶快點升級，只是因為蘋果曾經承諾將持續支援iOS/iPadOS 14，因此也不便太明白說要終止支援。</p> <p>雖然iOS/iPadOS 14用戶短期內仍然會接到安全更新，由於針對iOS裝置的惡意程式演進相當快速，媒體建議，為了安全起見，用戶最保險方法還是早日升級到iOS 15為宜。</p> </div></div></div>
2022/1/21 17:27作者林妍溱https://www.ithome.com.tw/news/149009
AT&T、Verizon在爭端中開通C頻段5G服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國兩大電信業者AT&T和Verizon本周三（1/19）按原定計畫，啟動了C頻段（C-Band）5G服務，但排除美國部分機場周邊地區。</p> <p>這項服務原本預計在12月中開通，但因被認為可能干擾飛機升降所需的高度計運作，遭航空業強力阻撓，並形成電信業與航空業之間的僵局。航空業拉攏美國航空總署（FAA）、白宮形成反對陣營，迫使AT&T及Verizon開通日期二度延遲到1月19日。本周二在開通前夕，航空業再度出手阻撓，<a href="https://www.ithome.com.tw/news/148961" target="_blank">兩大電信業者同意</a>再延後美國「部分機場」周邊基地臺的5G服務，但持續推動其他地區的開通計畫。周三延後計畫估計影響各家電信業者約10%的基地臺。</p> <p><a href="https://about.att.com/innovationblog/2022/connectivity.html" target="_blank">AT&T表示</a>，C頻段5G服務一開始將只在美國8座都會開通，之後「謹慎而有效率」向其他地區擴展。AT&T也透過線上和實體商店銷售17款支援該5G服務的裝置。</p> <p><a href="https://about.att.com/pages/5g-plus.html" target="_blank">C頻段是AT&T支援的3種5G服務之一</a>。現有低頻段（low-band）5G服務及使用毫米波的5G+服務，分別在1.6萬座及40多個城市開通。而C頻段頻譜服務則介於兩者之間，採用3.7GHz到3.98GHz，屬於中頻段（midband）頻譜，兼具高傳輸率及高覆蓋區域的優點，也包含在5G+服務項目下。</p> <p>相較於AT&T的局部部署策略，<a href="https://www.verizon.com/about/news/speed-january-19-2022" target="_blank">Verizon周三宣布</a>計畫在全美1,700座城市開通5G Ultra Wideband（5G UWB）網路，預計增加9,000萬用戶，涵括2,000萬家戶及200萬企業用戶。</p> <p>這次調整暫時緩解了美國兩大產業的對峙。在美國航空業及協會的宣傳下，許多外國航空公司，包括阿聯酋及日本航空一度決定要取消飛美航班。</p> </div></div></div>
2022/1/21 16:38作者林妍溱https://www.ithome.com.tw/news/149005
桃市府導入Azure混合超融合架構，要打造混合雲架構的資料倉儲，集中管理IoT大數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/13～2022/01/19）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 桃園市政府 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure混合雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>桃市府建置混合雲，要打造市政資料治理暨分析平臺集中管理IoT大數據，實現智慧城市建設</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/20220112-DSC_7504.jpg" style="width: 600px; height: 418px;" /></strong></span></strong></p> <p>為進一步實現智慧城市的建設，桃園市政府近日宣布將採用混合式超融合基礎結構方案Azure Stack HCI，先建置以混合雲架構為基礎的機房，待微軟臺灣資料中心啟用後，再連結到Azure公雲，使用上面公有雲服務。桃園市政府希望透過混合雲架構來打造一套現代化的資料倉儲，集中管理分散各機關的資料後，近一步來打造一個市政儀表板，能即時反應市政治理狀況。</p> <p>桃園市政府積極發展智慧城市政策，部署了智慧路燈、空氣盒子等IoT裝置，收集人流、車流、空氣品質等城市治理資料，今年更計畫落地多項5G應用，像是布建配有高畫質監視器的5G智慧桿，來量測雨天道路水面高度，以掌握市裡的積水狀況，而各項應用將會產生大量數據。</p> <p>桃園市政府資訊科技局局長余宛如表示，智慧城市背後的核心是資料治理、資訊應用，她進一步說明，一個城市治理的資料來源非常多，包含交通、醫療、教育、產學等，各個層面的資料非常繁雜，這次雙方合作的重點就是，收攏資料進來，透過資料整治工具，跨平臺彙整資料進資料倉儲。</p> <p>桃市府與微軟的合作分兩階段進行，第一階段，桃市府會先藉由Azure Stack HCI混合雲產品，將現有應用系統虛擬化，來翻新市府現有IT架構為混合雲架構。另外也將導入混合多雲管理解決方案Azure Arc，透過單一平臺來管理不同廠牌的公雲或地端VM環境。第二階段，再進一步建立現代化資料倉儲，將各機關資料處理標準化，也要收集智慧燈桿、上千個空氣盒子等IoT裝置的數據，透過「市政資料治理暨大數據分析平臺」，來分析所搜集的物聯網相關資料，打造市政儀表板，開放市政資料供民眾掌握。<a href=" https://news.microsoft.com/zh-tw/taoyuan-azure/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3M </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 供應鏈追蹤 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>3M搬遷逾2千個應用、45PB數據上雲，利用公雲服務開發生產流程追蹤系統應對供應鏈短缺</strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_3MAWS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%88%AA%E5%9C%96(1).png" style="width: 600px; height: 263px;" /></p> <p>3M公司在2020年初宣布，搬遷資訊基礎設施上公有雲，涵蓋EPR、業務核心應用，日前對外分享上雲成果，以及公有雲服務的使用狀況。生產超過6萬種產品的3M，截至今日，已經搬遷超過2,000個應用、9,000臺VM，其中包括了一套全球規模的SAP應用實例和45PB數據上雲，最後關閉了一座大型資料中心。搬遷腳步相當快，3M在一年內，就完成61%一級應用的搬遷工作。</p> <p>3M在全球37國有超過200處工廠，製造是其關鍵競爭優勢。為了提升對供應鏈的掌握度，3M更花了一年多的時間，不只將關鍵製造系統上雲，也用雲端服務開發和部署了一套生產流程追蹤系統，來追蹤產品原材料的流向，一路到成品形成的生產過程。搭配使用圖形資料庫Neptune和運算服務Lambda，3M數位轉型資深副總裁Shaun Braun表示，為了因應原料短缺狀況，團隊現只需幾秒鐘就可掌握工廠原物料的持有狀況，這是過去得花數天才能做到的事。<a href=" https://www.youtube.com/watch?v=NGixN9rCQy4">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣網路 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式延遲性 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Azure靜態網頁應用服務可以支援企業級邊緣網路，能從全球118處網路點快取網站靜態內容來加速載入</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_static%20web%20apps_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 601px; height: 418px;" /></strong></span></p> <p>微軟Web應用程式建置服務Azure Static Web Apps新增企業級邊緣網路，由自家全球可擴充進入點Front Door支援，企業不需配置或編寫程式碼，就可加快全球性規模的應用程式的頁面載入速度，同時，強化安全性和提高可靠性，現提供預覽版。企業級邊緣網路是一種零配置的雲端服務，包括CDN和應用程式加速功能。當企業啟用新功能，微軟會在遍布全球100個都會建立的118個網路連接點（Points of Presence，POP）中，快取企業網站的靜態內容，降低應用程式的延遲性，並提供更高的吞吐量。</p> <p>此外，企業啟用企業級邊緣網路後，微軟會將網站即時流量搬上全球分散式網路，換句話說，網站會在微軟全球應用程式和交付網路上運作，不會因為故障而下線。微軟表示，如此可避免惡意攻擊者存取應用程式，而影響應用的可用性和效能，再加上全球網路提供大規模容量，能夠監控流量變化，防禦常見的網路層攻擊。<a href=" https://azure.microsoft.com/zh-tw/blog/accelerate-your-websites-with-azure-static-web-apps-enterpriseedge/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 管理控制臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 服務使用費 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS翻新控制臺主頁加入動態內容，企業可客製化8大工具集的配置</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Console_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS%202(3).png" style="width: 600px; height: 467px;" /></p> <p>AWS宣布重新設計管理控制臺的主頁，提供視覺化服務資訊，涵蓋多個AWS地區的動態數據，簡化用戶獲取不同雲服務使用狀況概覽的程序。新的主頁預設畫面由8個工具集（widget）組成，涵蓋3個提供靜態連結的工具集，協助用戶了解如何建構解決方案，以及探索AWS，包含了Welcome to AWS、Build a Solution和Explore AWS。</p> <p>另外8個工具集則提供動態資訊，內容依據用戶應用程式和基礎設施使用的AWS服務呈現，包含了提供重要事件和變動資訊的AWS Health、提供服務使用費用概覽的Cost and Usage，還有羅列已添加書籤之服務的收藏夾、近期訪問之服務的列表，以及提供最佳實踐建議的顧問功能。用戶可以根據需要的內容，移動工具集來客製化主頁，還可以調整各個工具集的大小，甚至刪除部分的工具集。新的控制臺主頁現已在各個AWS地區上線。<a href=" https://aws.amazon.com/blogs/aws/a-new-aws-console-home-experience/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s部署 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>VMware正式推出以K8s為核心雲端原生平臺Tanzu Application Platform，企業可加速開發及部署應用到公有雲</strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_TAP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware(1).png" style="width: 600px; height: 319px;" /></p> <p>VMware在去年9月自家Java開發框架大會SpringOne上，預告將推出的新應用程式派送平臺Tanzu Application Platform（TAP），近日正式上線。TAP是一個以K8s為核心的DevOps平臺，融合Spring Framework技術及微服務平臺Tanzu Application Service（TAS）的應用能力，提供開發工具及流程，加速企業開發及部署應用到公有雲，或是本地端經認證的K8s叢集上。</p> <p>新推出的TAP其實是VMware用K8s發展的第二套雲端原生平臺，原提供開發者使用的雲端原生應用平臺TAS，因底層架構Cloud Foundry開源PaaS平臺未獲各大公雲的普遍支援，所以跨雲流通性不夠。TAP不只可部署K8s服務或容器化應用，也是一個可派送高階服務的派送平臺，像是SQL資料庫服務、快取資料庫服務等。</p> <p>VMware現代化應用程式平臺資深副總裁Ajay Patel在去年亞洲媒體團訪中更透露，正在發展一個新專案，可以將第三方服務打包成TAP可以派送的對象，就能用來調度和派送那些非K8s環境上的服務。針對想轉移到TAP的TAS用戶，VMware則提供移轉和相容工具。<a href="https://tanzu.vmware.com/content/blog/tanzu-empowers-superior-secure-developer-experiences">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務漏洞 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 存取權限 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>AWS Glue服務藏資安漏洞，恐讓攻擊者存取數據整合服務上的企業資料</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_AWS%20Glue_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Orca.gif" style="width: 600px; height: 338px;" /></strong></span></p> <p>資安業者Orca資安研究團隊日前發現，AWS無伺服器資料整合服務Glue藏有資安漏洞，可允許攻擊者獲得具完全管理權限的憑證，存取其他Glue用戶的資料。Orca研究人員發現Glue的一個功能，可獲得特定於服務帳號本身的憑證，從而可惡意地存取服務內部的API。經調查，該漏洞是因Glue服務內部配置錯誤，而造成。</p> <p>AWS接獲通報後，一路追溯服務的日誌最遠至上線之時，進行分析，發現該問題僅存在於Orca研究人員的帳號間的活動。因此，在一份對外聲明中，AWS表示，Glue用戶不需要更新系統，且強調該漏洞不會影響其他用戶的帳號，也不會影響沒有使用Glue的用戶，並已完成此漏洞的修復。Glue服務在用戶帳號中採取的操作，則全面記錄在CloudTrail中，用戶可以隨時查看。<a href=" https://orca.security/resources/blog/aws-glue-vulnerability">（詳全文）</a></p> <p><strong>圖片來源／桃園市政府、微軟</strong><strong>、AWS、VMware、Orca</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.新加坡貿易與工業部預告將更有選擇性地篩選落地境內的資料中心，挑選具有高資源使用效率的機房設施</strong><a href=" https://www.mti.gov.sg/Newsroom/Parliamentary-Replies/2022/01/Written-reply-to-PQ-on-data-centres">（詳全文）</a></p> <p><strong>2.微軟宣布密運算執行實例DCsv2 DCsv3系列降價，使用費最高降低33%</strong><a href=" https://azure.microsoft.com/en-us/updates/announcing-price-reductions-for-azure-confidential-computing/">（詳全文）</a></p> <p><strong>3.微軟預告將在2/1正式推出Microsoft Cloud for Retail，為零售業營運場景整合自家多項雲端服務，打造專屬零售業雲服務</strong><a href=" https://cloudblogs.microsoft.com/industry-blog/retail/2022/01/12/microsoft-cloud-for-retail-is-now-generally-available/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/21 16:46作者黃郁芸https://www.ithome.com.tw/news/149006
俄羅斯央行提議禁止開採及使用加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cbr.ru/eng/press/event/?id=12627" target="_blank">俄羅斯中央銀行本周四（1/20）公布</a>了一份有關<a href="https://www.cbr.ru/Content/Document/File/132242/Consultation_Paper_20012022_eng.pdf" target="_blank">加密貨幣的諮詢報告</a>，詳列了加密貨幣的各種風險，並提議禁止境內的加密貨幣挖礦及使用行為，有鑑於俄羅斯為全球前三大比特幣（Bitcoin）挖礦國家，消息一出又讓比特幣價格下滑超過7%，目前一枚比特幣價格接近3.9萬美元。</p> <p>俄羅斯央行於報告中指出，過去一年來，全球加密貨幣市場飆升，去年12月時總市值達到2.3兆美元，占全球金融資產的1%，儘管加密貨幣的支付交易次數遠不及遠端支付系統，但其交易的匿名性卻讓它被廣泛應用於非法活動上，就算金融機構對加密貨幣的參與有限，與加密貨幣相關的衍生品及ETF的交易量，以及分散式金融（DeFi）生態體系卻持續而長。</p> <p>此外，俄羅斯民眾為線上加密貨幣交易平臺的活躍用戶，每年的交易額高達50億美元，且俄羅斯也是全球加密貨幣挖礦量最大的國家之一。<a href="https://ccaf.io/cbeci/mining_map" target="_blank">根據劍橋比特幣電力消耗指數（Cambridge Bitcoin Electricity Consumption Index）在去年8月的統計</a>，全球的比特幣挖礦活動有超過6成集中在美國（35.4%）、哈薩克（18.1%）與俄羅斯（11.23%）。</p> <p>然而，俄羅斯央行卻認為，長遠來看，以加密貨幣進行結算的潛力有限，其市值的快速成長主要源自於投機需求，市場對其價格進一步上漲的預期刺激，再加上新市場參與者的需求推動，而這導致了市場泡沫的形成，將對俄羅斯的散戶投資人及金融穩定性帶來威脅。</p> <p>現階段全球並無統一的加密貨幣監管規定，可見的相關措施包括警告消費者有關的投資風險，提高對加密貨幣交易中心的管控，而中國、印度或伊朗已禁止或計畫禁止加密貨幣的交易及挖礦行為。</p> <p>俄羅斯央行坦言，已開發國家對加密貨幣的態度較為寬容，卻也逐步擴大對相關服務或應用的監管，而對於包括俄羅斯在內的新興市場而言，加密貨幣將對金融穩定性帶來更高的潛在風險，因此建議俄羅斯應立法控管加密貨幣，防範可能的威脅。</p> <p>該央行所提出的建議包括：對使用加密貨幣的俄羅斯民眾或實體究責，禁止於俄羅斯境內發行或提供加密貨幣交易服務，禁止金融機構投資加密貨幣與相關的金融工具，此外，央行也認為挖礦所使用的電力將威脅境內的電力供應，禁止於俄羅斯挖礦可能是最好的解決方案。</p> <p>此一報告在3月1日以前，將接受外界提供各種意見與評論。</p> </div></div></div>
2022/1/21 17:07作者陳曉莉https://www.ithome.com.tw/news/149008
Google Analytics被判違反GDPR，Google呼籲歐美建立新的資料傳輸框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟視使用Google Analytics等美國公司技術違反歐洲隱私法GDPR，<a href="https://blog.google/around-the-globe/google-europe/its-time-for-a-new-eu-us-data-transfer-framework/" target="_blank">Google高層本周呼籲</a>應再次建立歐、美之間的資料安全傳輸框架。</p> <p>德國一家出版商網站因使用美國Google Analytics的追蹤技術，本月稍早被<a href="https://www.ithome.com.tw/news/148885" target="_blank">奧地利政府資料保護主管機關判定違反GDPR</a>。這是基於歐盟法院2020年的Schrems II判決，廢除了美國和歐盟之間的隱私盾（Privacy Shield）資訊傳輸保護協議，因為歐盟法院認為美國監控法要求美國包括Google、臉書等供應商必須將用戶個資提供給美國，原本的傳輸協定已經不足以保護歐盟用戶的隱私。</p> <p>本周Alphabet、Google全球事務暨法務長Kent Walker對此做了回應，指出Google提供全球企業Analytics服務15年來，從未發生奧地利政府擔心的情形：接到美國政府要求提供歐盟使用者個資，該公司也不認為未來美國會依據監控法提出這類要求。</p> <p>Walker並提到，2020年歐盟的Schrems II判決，其實也未能阻止歐盟人民資料的全球流程。Google 認為除了法規外，他們提供的廣泛措施才更能提供實務上更有效的防護方法，來保護歐盟民眾資料隱私。</p> <p>Walker指出，雖然奧地利政府的判決只是針對單一一家出版商及特定情境，但影響層面卻很大。欠缺明確法規下，可能的觸法風險將使線上出版商或小型企業怯於資料流通，進一步影響歐美企業的經濟活動。</p> <p>他指出，歐洲地區及美國的企業都期望歐盟及美國儘速確認隱私盾之後的新資料傳輸協定，以便及早恢復歐美之間的線上經濟活動，同時確保雙邊用戶的資訊隱私。</p> <p>歐洲倡議組織Noyb於2020年針對使用Google Analytics的歐盟企業，共提出101項控訴。Noyb榮譽主席Max Schrems預期大部份歐盟會員國將出現類似判決。</p> <p>去年3月美國商務部長Gina Raimondo與歐盟司法委員會主席Didier Reynders聯合宣布，<a href="https://ec.europa.eu/commission/presscorner/detail/en/STATEMENT_21_1443" target="_blank">要共商遵循Schrems II判決的新資訊傳輸協議</a>。但雙方進度緩慢。<a href="https://insidecybersecurity.com/daily-news/european-official-warns-%E2%80%98don%E2%80%99t-hold-your-breath%E2%80%99-privacy-shield-successor" target="_blank">去年歐盟執行副總裁Margrethe Vestager指出</a>，雖然這對雙方而言都是極優先任務，但談判牽涉複雜因素，暗示外界不需屏息以待，因為還沒這麼快有結果。</p> </div></div></div>
2022/1/21 14:31作者林妍溱https://www.ithome.com.tw/news/149001
夏天起美國國稅局將要求使用特定線上服務的民眾進行人臉辨識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.irs.gov/newsroom/new-identity-verification-process-to-access-certain-irs-online-tools-and-services" target="_blank">美國國稅局（Internal Revenue Service，IRS）本周公告</a>，自今年夏天開始，不管是一般使用者或稅務專業人士要於網路上使用特定的國稅局服務時，都必須透過與IRS合作的ID.me進行身分認證，而人臉辨識則是ID.me認證身分的必要元素之一。</p> <p>ID.me為美國私人企業所提供的網路身分認證網路，而IRS則將把特定服務的身分認證交由ID.me負責，包括查詢個人帳號資訊、透過網路取得各種申請表格、網路支付協議、兒童稅收減免，以及獲得身分保護PIN碼等。</p> <p>至於ID.me的身分認證程序，將要求美國民眾提供諸如駕照或護照等身分證件上的照片，也必須利用手機或電腦上的攝影機自拍並上傳。</p> <p>IRS表示，這是國稅局身分、憑證與存取管理計畫（ICAM）的一環，提供更多的管道予納稅人，以進行身分認證及存取IRS的各種服務；此外，通過ID.me身分認證的美國民眾不僅能使用IRS的各種網路服務，亦可存取整合ID.me服務的其它美國政府機關的服務。</p> </div></div></div>
2022/1/21 14:49作者陳曉莉https://www.ithome.com.tw/news/149003
杜克大學研究人員開發出第一個能展示診斷過程的胸腺癌偵測模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techxplore.com/news/2022-01-ai-breast-cancer-sleuth.html">杜克大學</a>針對放射科醫師，開發了一個人工智慧平臺，能夠用於分析乳房X光片，找出潛在的癌變組織，提供醫師額外的資訊，以決定是否要進行侵入性檢驗。這個系統的特別之處在於，其所使用的演算法能夠被解釋，也就是說，醫生能夠知道演算法做出決定的理由，因此也就更能相信人工智慧給出的結果。</p> <p>研究人員提到，電腦要助醫生做出重要的醫療決策，首先醫生必須相信人工智慧所得到的結論，是根據有意義的證據，因此他們開發的演算法不僅可以推理出結論，還可以自我解釋，展示得出結論的過程，如此人工智慧才能夠協助醫生做出更好的決定。</p> <p>即便FDA已經批准了百種以上可用於臨床的演算法，但是不少演算法缺乏可解釋性，一旦醫生使用人工智慧出現失敗案例，人工智慧在高醫療風險決策中的使用便會遭到質疑，研究人員提到，人工智慧模型的確很容易失效，在不同的設備上部署模型，就可能因為設備本身微小的差異，使得模型出現錯誤。</p> <p>因此當模型能夠自己說明結果推論的過程，模型的可信度將會明顯上升。研究人員使用來自484名患者所拍攝的1,136張圖像，訓練人工智慧模型，研究人員提到，他們教人工智慧找到可疑的病變組織，但同時忽略健康的組織與不相關的資料，且聘請放射科醫生，仔細的標記圖像，來教會人工智慧精確地辨識癌變組織的邊緣，並將這些邊緣和圖片中已知癌症和良性腫瘤的邊緣進行比較。</p> <p>放射狀線條以及模糊的邊緣，通常是腫塊的邊緣，也是惡性胸線腫瘤的最佳預測指標，研究人員提到，因為癌細胞複製快速，擴散速度非常快，導致X光片中並非所有擴張中的腫瘤邊緣都容易被發現，該特徵是放射科醫生第一優先尋找的標的。而杜克大學研究人員所開發的人工智慧模型，則能模仿醫生的行為，把焦點放在這些難以發現的邊緣上，並在解釋診斷過程時，把這些邊緣圈選出來。</p> <p>研究人員以訓練真正的放射科醫生一樣的方式，來訓練人工智慧模型，而非讓模型自由發展辨識過程，與其他無法解釋，存在黑盒子的模型相比，這個新的模型由於其可解釋性，因此甚至可以成為訓練平臺，教學生檢視乳房X光片，或是可以在醫療資源稀缺的地區，提供更好的乳房X光檢查。</p> <p>研究人員表示，他們以特別的方式來訓練人工智慧檢視醫學圖像，與其他人工智慧模型的差異在於，其他模型並未嘗試模仿放射科醫生，甚至在特殊情況下，可能會從有缺陷的推理過程獲得結果。這個新的人工智慧模型模型，辨識結果雖然無法超越人類放射科醫師，但是能與其他模型的表現一樣好，並且在出現錯誤時，讓使用者發現模型出現錯誤，並且知道發生錯誤的原因。</p> </div></div></div>
2022/1/21 13:23作者李建興https://www.ithome.com.tw/news/148997
Google在臺、港、韓測試在Windows PC執行Android手遊的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周宣布將在臺灣、香港和南韓地區，<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">測試能讓Android手機版遊戲App在Windows PC執行的App及技術</a>。</p> <p>微軟在Windows 11也讓用戶執行Android App，但是僅限Amazon Appstore。截至去年9月，也只有數十款Android App能在Windows 11執行。雖有用戶成功<a href="https://www.ithome.com.tw/news/147472" target="_blank">在Windows 11上下載Google Play Store</a>，但畢竟是非正式作法，也非一般用戶能力所及。Google Play Games則是Google方面的因應作法。</p> <p>Google Play Games的App是由Google開發，讓Android遊戲開發商撰寫App、發佈到Google Play上，即可在多種平臺執行，而僅需維護單一套程式碼<a href="https://developer.android.com/games/playgames" target="_blank">。Google強調</a>它提供的Android API、函式庫及SDK和Windows PC完全相容，開發商無需重新實作另一套程式內購買或建新的SKU。此外發佈也很容易，透過Google搜尋或桌機端廣告，即可將Windows PC用戶導向遊戲網站。</p> <p>另一方面，Google則向玩家們描述Google Play Games的優點。該App部門產品經理Arjun Dayal指出，玩家可以輕鬆瀏覽、下載遊戲到PC上玩，享受更大的螢幕及滑鼠、鍵盤的便利性，而且在手機或PC之間轉換，都不會喪失遊戲累積的進度或成績。</p> <p>此外玩Android 遊戲獲得Google提供的Play 點數，也會在 Google Play Games提供。但不確定這些點數是否也只能用在PC遊戲上。</p> <p>目前臺灣、香港及南韓用戶可至<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">Google以Beta版上線的網站</a>註冊加入等候名單。</p> </div></div></div>
2022/1/21 13:42作者林妍溱https://www.ithome.com.tw/news/148999
微軟公布25個Windows 10/11應避免使用的群組原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於Windows平臺的迭代，造成許多群組原則（Group Policy）已經失效，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/why-you-shouldn-t-set-these-25-windows-policies/ba-p/3066178" target="_blank">微軟於本周列出了IT管理員在Windows 10/11應避免使用的25個群組原則</a>。</p> <p>群組原則（Group Policy）為一集中管理Windows工作環境的功能，可用來控制使用者在電腦上所能從事的活動，例如強制要求複雜的密碼，或是禁止未經辨識的用戶自遠端存取網路共享，或是限制特定文件夾的存取等。</p> <p>微軟資深專案經理Aria Carley說明，不管是Windows的更新體驗，或者是控制更新的原則，都在過去這幾年有所變動，自微軟發表Windows 10 1511（2015年11月）以來，包括通知、決定下載更新的能力、安裝、重啟或是設定體驗，全都有巨大的變化，例如新增使用時間（Active Hours）功能，以讓裝置能在使用者離開時自動重啟，或者是於通知中包含重啟預估時間。</p> <p>於是微軟不斷地簡化及改善相關的使用經驗，找出無效的原則或是以更好的原則取代舊原則，但這也使得自Windows 10 20H2（2020年10月）及之後Windows版本的更新原則，包含許多失效或無法如常運作的原則。</p> <p>儘管微軟已在Windows 11中，於Windows Update建立了舊有原則的子文件夾，但這些子文件夾只出現在Windows 11的管理樣板集（ADMX）中，然而，其實它們也適用於Windows 10 20H2與之後的Windows 10版本。</p> <p>因此，微軟決定直接公布25個已經不適合Windows 10/11的群組原則，供各組織的IT管理員參考，並建議管理員應避免採用相關原則。</p> <p>至於Carley則說，目前最好的方式是採用預設的原則設定配置，不只因為預設配置可提供最佳體驗，也能有效地讓裝置維持在最新狀態。</p> </div></div></div>
2022/1/21 14:05作者陳曉莉https://www.ithome.com.tw/news/149000
Google以視覺方法StylEx改進神經網路的可解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google最新的模型可解釋性研究，發展出一種稱為StylEx的視覺化分類器解釋方法，StylEx能夠自動探索和視覺化個別特徵對分類器的影響，用戶可以透過單獨操作屬性，在不影響其他特徵的情況，探索個別特徵的影響。</p> <p>StylEx適用的領域廣泛，包括動物、樹葉、臉部，甚至是視網膜圖像，根據Google的研究表示，StylEx所找到的屬性和語義屬性吻合，能夠生成有意義的特定圖像解釋，在研究中被人們解釋。</p> <p>研究人員提到，神經網路可以良好地執行特定任務，但是要了解神經網路做出決定的方法，卻通常是個謎，難以知道像是模型使用哪些訊號來辨識圖像分類。但是解釋神經模型的決策過程，在部分領域是重要的，像是醫療用的圖像分析，或是自動駕駛等，攸關性命的領域，特徵分析有助於指引醫療提供者、揭露模型偏差，並對下游決策者提供支援，甚至有助於科學發現。</p> <p>過去對分類器進行視覺解釋的方法，有像是Grad-CAM，能夠突出顯示圖像中影響分類器的區域，但是沒辦法解釋這些區域中，決定分類結果的屬性有哪些，另一個研究GANalyze，則可以在分類之間平滑切換，藉由轉換圖像來提供解釋，但研究人員表示，這些方法往往會同時改變所有屬性，難以隔離個別屬性的影響。</p> <p>而StylEx可以自動檢測分離的屬性，並視覺化操作每個屬性影響分類器的機率，用戶可以查看這些屬性，並且對這些內容進行語意上的解釋，像是辨識貓和狗的分類器（下圖），StylEx能夠得出多種屬性，像是屬性4狗比貓容易張嘴，屬性5貓的瞳孔更像狹縫，屬性1貓的耳朵傾向不折疊等。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEgWc6df4UKYF_x3saETG3cuo20-p8t_Od-5spIPLeFTurGmc-elPP37Oa6RHNQj0-4Ub9rWWhTk2kQ3nI7DS7rJjgxyUxEeW0bLSMZN_TAq3kJC7AzyUA6vCAkb4f9t1izeziKOKa9eMrs9wn_-fz6DNLPw4GpWQ4y5Vs5NH-nkGd-7cg1l3B1Uae-UVg=w640-h288" style="width: 580px; height: 261px;" /></p> <p>StylEx適用領域廣泛，包括二元和多元分類的分類器，在所有測試領域中，StylEx偵測到的前幾個屬性，與人類所解釋的語意概念一致。研究人員特別強調，StylEx方法解釋的對象是分類器，而非真實的情況，也就是說，該方法揭露分類器從資料中學到的圖像屬性，而這些屬性未必代表在現實中的類別標籤。</p> <p>這些StylEx偵測到的屬性，可能會揭露分類器訓練或是資料集中的偏差，研究人員表示，這是StylEx的重要優點，因為可以用來進一步提高神經網路的公平性，像是增加訓練資料集的範例，來補償StylEx所揭露的偏差。StylEx的貢獻在於提供一種新技術，在分類器上給定圖像或類別，可獲得有意義的解釋，研究人員認為，這個技術有助於緩解分類器和資料集中存在的偏差。</p> </div></div></div>
2022/1/21 13:13作者李建興https://www.ithome.com.tw/news/148995
微軟Azure整合Elastic，供用戶監控雲上Spring Boot應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/elastic-and-microsoft-azure-unified-observability-for-spring-boot-applications/">微軟宣布在Azure整合Elastic企業資料搜尋解決方案</a>，使得用戶可以實現Spring Boot應用程式統一監控。用戶現在可以將微軟Azure Spring Cloud日誌和指標，無縫傳送到Elastic，以完整監控Spring Boot應用程式。</p> <p>Azure Spring Cloud是由微軟和VMware共同建置、營運和支援的Spring Boot應用程式託管服務，透過抽象基礎設施，和消除Spring Cloud中介元件複雜的管理工作，供開發者能夠更專注建構業務邏輯。</p> <p>微軟提到，許多用戶原本在本地端資料中心，運作數千個Spring Boot應用程式，當這些應用程式搬遷到雲端時，會需要匯總應用程式的日誌和指標，並使用開發人員熟悉的解決方案進行偵測，以及監控應用程式效能。此外，用戶還必須確保現有伺服器軟體的連續性，這些軟體可能已經配置傳送日誌和指標，並且預配置使用Elastic等系統進行端到端監控。</p> <p>而透過整合Elastic和Azure Spring Cloud日誌和指標，用戶可以繼續獲得深入的應用程式可見性，減少分析需要的時間，並在網頁和行動應用程式，提供一致的客戶體驗。現在Elastic可以從微軟Azure Spring Cloud中，無縫擷取日誌和指標，方便DevOps和SRE監控Spring Boot應用程式，無論是在雲端、本地端還是混合環境，以消除監控孤島。</p> <p>Elastic與Azure的原生整合，使得日誌能夠傳送到Elastic Observability解決方案，當資料送至Elastic之後，用戶便可以方便地使用視覺化功能以及儀表板，快速進行分析，透過監控、分析和搜尋這些日誌資料，供用戶確保應用程式正常運作。</p> <p>用戶還可以使用Elastic應用程式效能監控（APM）工具，來分析和搜尋應用程式的效能資料，並在Elastic APM查看Java虛擬機器的指標，了解堆記憶體、系統記憶體和CPU的使用狀況。Elastic APM提供分散式追蹤功能，使用戶能夠掌握應用程式效能，了解影響效能最大，以及花費最多時間的交易。</p> <p>Elastic內建機器學習功能，能夠讓用戶簡單地分析來自Azure Spring Cloud的資料，而Elastic Stack還可在擷取資料時處理資料，確保用戶保有辨識根本原因，或是替事件添加上下文等所需要的後設資料。</p> <p>這項新功能也可以用來阻止雲端規模的安全威脅，由於Elastic提供通用架構和單一儲存庫，因此來自Spring應用程式的可觀察性資料和其他資料集，能夠被一起用於偵測和回應安全事件上，來進一步降低偵測時間。Elastic Security則可將安全資訊和事件管理功能，與端點安全解決方案相連結，使用戶能夠從不同來源擷取並留存大量資料，藉由偵測和機器學習功能來強化威脅搜尋能力。</p> </div></div></div>
2022/1/21 13:19作者李建興https://www.ithome.com.tw/news/148996
Fintech周報第208期：金管會推動主題式監理沙盒及業務試辦，首個開立主題為數位身分認證及授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0115～0121</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分認證及授權 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 主題式監理沙盒與業務試辦 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會推動主題式監理沙盒及業務試辦，首個開立主題為數位身分認證及授權</span></strong><br /><span style="vertical-align: top;">金管會在2022年的施政重點之一是推動主題式監理沙盒及業務試辦。近年，金管會總共核准了40件監理沙盒與業務試辦申請案，運作模式採取業者端有任何創新模式或技術，都能向金管會申請監理沙盒或試辦案件來落地應用。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">不過，業界反映近期金融監理沙盒或試辦的案件數量沒有明顯增加。同時，金管會參考了世界銀行在2020年底發布全球推動監理沙盒經驗的研究結果，推動主題式監理沙盒對發展特定類型的技術有所幫助。因此，金管會規畫以金融業者有興趣的金融創新議題，主動開立主題式議題吸引業者參與。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會1月18日宣布首個主題為「數位身分認證及授權」，這是銀行、保險、證券3業別在發展數位金融創新時，需求最高的共通議題。金管會提到，該主題分為4大領域，包括身分確認（Identity proofing）、認識客戶（KYC）、身分驗證（Authentication）與授權（Authorization），希望透過導入具備數位認證及授權便利性、安全性及可靠性的方案，鼓勵金融機構及金融科技業者發展，採用新技術提出應用方案。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會也規畫於今年2月中舉辦說明會，也會對有意願參與的業者進行輔導。此外，金管會將批次進行審查，並對外公布審查通過的業者名單。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 英國 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OBIE </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國OBIE推動開放銀行滿4周年，超過450萬名消費者與中小企業採用</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20OBIE.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由英國競爭及市場管理局（CMA）所設立的開放銀行實施組織（OBIE），在今年1月正式成立滿4周年。OBIE揭露，在英國，超過450萬用戶採用了開放銀行服務，包括390萬名消費者與60萬家中小企業，相較2020年整整多了170萬名用戶，並以每半年增加100萬新活躍用戶的速度持續成長。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">甚至，根據OBIE統計，到了2021年底，已累計執行了2,660萬筆開放銀行支付服務。該組織分析，開放銀行支付服務的使用增長，主因是去年英國稅務海關總署（HM Revenue & Customs）推出了開放銀行支付服務，透過串接銀行帳戶讓消費者與企業主更便利繳稅，該服務推出至今已有24億英鎊的稅收透過此方式進帳。OBIE預測，未來1年英國開放銀行服務的使用將更為提升，更多的政府部門也將加入採用行列。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 將來銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行啟動三階段試營運，預計今年3月正式對外開業</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/31_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_20210413.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣第3家純網銀將來銀行將在1月22日展開試營運，預計3月底正式開業。將來商業銀行總經理許柏林表示，目標是2年內超過100萬用戶、4年內損益兩平。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行試營運將分為3階段進行，許柏林表示，第一階段會有30位專案員工進行各種案例測試，來驗證系統的穩定性。農曆年後，則進入第二階段，將有250名員工加入測試。到了2月14日，將來銀行將找來協力廠商與員工親屬，共1,000人進行系統測試，這是第三階段。待試營運結束後，預計3月底正式對外開業。許柏林也保證，系統經過內部壓力測試，目前1小時內可處理2萬筆交易。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PayPal Coin </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PayPal證實正在探索發行穩定幣PayPal Coin的可能性</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一名iOS開發者Steve Moser近期在支援iOS的PayPal程式中發現了PayPal Coin，PayPal則向《彭博社》證實正在探索發行穩定幣的可能性。根據報導，PayPal Coin源自於該公司內部加密貨幣團隊的黑客松（Hackathon）競賽，是與美元掛鉤的穩定幣。PayPal證實正在探索發行PayPal Coin的可能性，一旦決定執行，定會與監管機關密切合作。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">身為全球主要的線上支付平臺之一，PayPal自2020年底便開放用戶持有及買賣加密貨幣，去年3月開始支援美國用戶以加密貨幣付款，迄今支援的加密貨幣種類包括比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash），以及萊特幣（Litecoin）。<strong><a href="https://www.ithome.com.tw/news/148807">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Line Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一站式商店管理平臺 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Line Pay新推出商店後臺App，提供合作商店一站式管理功能、行銷工具、貸款服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%20Line%20Pay_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line%20Pay.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">行動支付品牌Line Pay近期新推出商店管理後臺App「好夥伴」，首波鎖定合作的實體商店，提供一站式商店管理功能與行銷工具，包括了即時查詢交易撥款記錄、設定不同級別管理者的權限設定、商店宣傳的圖文資訊編輯，以及申請商戶貸款等功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Line Pay表示，該項新服務除了能即時查詢交易撥款記錄，同時提供一周平均交易額、半年份總交易額等營收報表產製，商家能夠透過手機Ａpp一次性掌握付款、撥款、退款等交易資訊。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 上市櫃公司 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 碳盤查 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永續發展 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會3月將發布上市櫃公司永續發展路徑圖，2027年全體上市櫃公司必須完成碳盤查</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會證期局局長張振山近期揭露，為了協助企業及早因應訂定減碳目標，金管會計畫今年2月邀集相關政府單位、上市櫃公司、金控公司、會計師事務所及第三方查證機構召開公聽會，並在3月正式發布「上市櫃公司永續發展路徑圖」。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">張振山表示，上市櫃公司永續發展路徑圖將按照上市櫃公司實收資本額，在2023年開始分階段推動，揭露內容包括溫室氣體直接排放、能源間接排放量。金管會規畫，在2027年，全體上市櫃公司必須完成溫室氣體盤查，且需與公司財務報表範圍一致，到了2029年，則要求全體上市櫃公司完成溫室氣體盤查的查證，需由第三方查證機構進行查證作業。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會針對該路徑圖的核心策略是，落實董事會永續發展責任、與環保署與經濟部等部會建立跨部會合作機制、接軌國際且串聯全球永續生態鏈、建立人才培育與輔導機制來落實溫室氣體盤查及資訊揭露，以及，為了因應市場對ESG資訊揭露需求日增，將督導證交所建置ESG資料庫，建立資訊共享機制，藉此推動上市櫃公司ESG評鑑制度。<a href="https://www.ithome.com.tw/news/148877"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 機器人流程自動化 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐金控 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐金控旗下子公司超過100個流程導入RPA，今年規畫大力推動素人開發</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐金控近期揭露自家導入RPA機器人流程自動化的成果與最新進程。永豐金在2019年展開試行RPA評估與實驗，由金控擬定RPA執行策略方向，並在子公司設置專職團隊，協助RPA開發上線與維運。目前，已有超過100個流程在永豐金旗下銀行、證券、投信等子公司上線。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">比如，永豐金證券在經紀結帳流程導入RPA，每月已節省約255個人力工時，債券交易流程每月也節省72個人力工時。或像是永豐銀行在基金外幣匯出匯款作業導入RPA應用，由機器人自動化完成重複性的作業，此外，運用在防洗錢的交易明細及態樣篩選、徵審等流程，也透過導入RPA來提升效率。下一步，永豐金控計畫導入AI持續優化現有流程與業務體驗。甚至，規畫推動素人開發，作為擴充RPA開發能量的作法之一。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第三方支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> iOS App </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">蘋果配合南韓電信業務法修正案，同意開放iOS App第三方程式內支付機制</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">韓聯社報導，蘋果近期開放在南韓App Store上架的iOS App使用第三方程式內支付（in-app purchase，IAP）工具。蘋果稍早向韓國通訊委員會（KCC）遞交了法規遵循計畫。報導指出，蘋果計畫提供iOS App開發商第三方支付選項，而服務費率（分潤比例）也會比30%來得低。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">但蘋果並未公布實際的費率及詳細時程，表示會再和韓國主管機關商議。蘋果表示，該公司尊重韓國法律，向來也和該國開發商合作順暢，一切作業都會以確保App Store成為安全而值得信賴的應用程式下載平臺為依歸。<a href="https://www.ithome.com.tw/news/148842"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">攝影／洪政偉；<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">圖片來源／</span>OBIE、Line Pay、金管會<br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">1</strong><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </strong><strong>搶攻數位族群，國泰人壽推出個人保險數位平臺能一站式按需求組合保單與試算保費</strong><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2. </strong><strong>美聯社與區塊鏈技術供應商Xooa合作，建立NFT新聞攝影市場來販售自家記者攝影作品<strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </strong></strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/20 18:46作者李靜宜https://www.ithome.com.tw/news/148994
【資安日報】2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過挾持手機SIM卡的手法（SIM Swapping），進而洗劫被害人財物的情況，在最近3至4年歐美陸續有事故發生。但最近，這樣的事故也在臺灣出現，而且是針對長年在國外工作的民眾，等到他發現異狀時，不只銀行帳戶的存款被盜領，信用卡也被補發、盜刷。但與國外不同的是，臺灣SIM卡掛失、補辦，需要臨櫃持雙證件辦理，而非一通電話就能申請，歹徒的手法仍有待釐清。</p> <p>因應遠距工作、上課的需求，視訊會議系統的重要性與日俱增，但這類系統很可能存在可讓攻擊者暗中動手腳的漏洞。在今天的資安日報裡，Zoom就被發現這樣的漏洞，但值得留意的是，研究人員特地購買相關服務才能進行研究，因此他們認為，該系統可能還有更多存在已久的類似漏洞，有待廠商提供資安人員研究的管道，才能早日被挖掘出來修補。</p> <p>駭客意圖騙取使用者的雲端服務帳號，手法越來越細緻，很難透過資安防護系統察覺異狀。例如，最近一起假冒美國勞動部（DoL）的攻擊行動，攻擊者使用來自新網域的電子郵件信箱，而能夠回避資安威脅系統的黑名單，但使用者還是能從釣魚網站的網址察覺異狀。針對這樣的現象，研究人員除呼籲使用者要提高警覺，也建議網管人員要配置適當的郵件管制措施，來防堵這類攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/122653/6046119"><span style="color: rgb(0, 0, 0);"><strong>臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口</strong></span></a></h4> <p>在歐美許多國家橫行的SIM挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。</p> <h4><a href="https://www.inky.com/blog/fresh-phish-phishers-lure-victims-with-fake-invites-to-bid-on-nonexistent-federal-projects"><span style="color: rgb(0, 0, 0);"><strong>冒名美國勞動部的網釣攻擊，以標案的名義企圖騙取受害者的Google與微軟帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png" style="width: 300px; float: right;" /></a>網路釣魚的攻擊者為了讓受害者上當，佯稱是公部門的情況不時有事故傳出，甚至還謊稱要受害者參與招標。郵件安全業者Inky揭露自2021年下半出現的攻擊事故，駭客自稱是美國勞動部（DoL）的資深員工，針對政府正在進行的專案，想要邀請收件人參與投標，並附上幾可亂真的PDF說明文件。一旦收件人依照指示操作，就會被帶往冒牌招標網站，以竊取收件人的Google或微軟帳號。研究人員指出，這起攻擊行動中值得留意的是，駭客濫用合法組織的郵件伺服器寄信，且運用新網域的郵件信箱，而不被威脅情報系統察覺。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/red-cross-cyberattack-exposes-data-of-515-000-people-seeking-missing-family/"><span style="color: rgb(0, 0, 0);"><strong>紅十字會遭到網路攻擊，逾51萬失蹤者資料遭竊</strong></span></a></h4> <p>人道救援組織的資料外洩，有可能會使得需要幫助的人士面臨人身安全威脅。紅十字國際委員會（ICRC）於1月19日發出聲明，他們存放在位於瑞士資料中心的文件遭到外洩，這些資料是有關因戰爭、天災、移民而流離失所需要協尋的人們，這些資料來自於超過60紅十字會，至少有515,000人受到影響。一旦這些資料流出，許多人很可能將曝露在危險當中，ICRC希望竊取資料的人士，不要將這些資料公布、出售，抑或是濫用。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/marketing-giant-rrd-confirms-data-theft-in-conti-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>市場行銷業者唐納利遭到勒索軟體Conti攻擊</strong></span></a></h4> <p>勒索軟體Conti攻擊大型企業的事故又一樁。根據資安新聞網站Bleeping Computer的報導，美國大型市場行銷業者唐納利（RR Donnelley）於2021年12月27日，向美國證券交易委員會（SEC）通報遭到駭客入侵，導致該公司部分IT系統關閉，客戶無法收到用於供應商付款、支付支票、機動車輛所需的文件檔案。勒索軟體駭客Conti於1月15日，宣稱此起事故是他們所為，並洩露竊得的2.5GB資料，但不久後將其移除。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-moncler-confirms-data-breach-after-ransomware-attack"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體BlackCat攻擊義大利服飾業者Moncler，員工、客戶資料遭到外洩</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/moncler-data-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moncler-data-leak-page.jpg" style="width: 300px; float: right;" /></a>自2021年12月出現的勒索軟體BlackCat（亦稱Alphv），已有大型企業成為受害者。義大利服飾業者Moncler於12月24日表明遭到惡意軟體攻擊，近期向資安新聞網站Bleeping Computer透露初步的調查結果，他們的員工、前員工、供應商、業務合作夥伴，以及客戶的部分資料，已經遭到勒索軟體駭客BlackCat外洩，但強調沒有客戶的付款資料受到波及。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/new-ransomware-spotted-white-rabbit-and-its-evasion-tactics.html"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體White Rabbit透過加密保護來規避偵測，已有銀行受害</strong></span></a></h4> <p>新的勒索軟體對於美國一家銀行發動攻擊，引起資安人員的注意。趨勢科技發現名為White Rabbit的勒索軟體，攻擊者運用的規避偵測手法相當少見，是藉由密碼保護方式進行，攻擊者執行時必須先使用命令列輸入密碼，才能讓這款勒索軟體運作。該勒索軟體也同樣運用雙重勒索的手法，要脅受害者不付贖金電腦資料將被公開，研究人員認為，發動攻擊的人士疑似與駭客組織FIN8有關。</p> <h4><a href="https://www.theguardian.com/sport/2022/jan/12/boa-offer-team-gb-athletes-temporary-phones-over-china-spying-fears"><span style="color: rgb(0, 0, 0);"><strong>擔心中國監控，英、荷將提供北京奧運選手臨時手機</strong></span></a></h4> <p>北京奧運即將於2月4日舉行，中國意圖監控與會人員的情況，也引發歐美各國擔憂。根據衛報的報導，英國奧委會（BOA）、荷蘭奧委會（NOC*NSF）已向運動員提出警告，前者建議英國運動員最好不要攜帶自己的電腦和行動裝置，該單位可為運動員提供臨時的裝置；後者則是宣稱將提供運動員手機與筆電，這些裝置將在運動員回國後銷毀。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148964"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動</strong></span></a></h4> <p>武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/20 15:18作者周峻佑https://www.ithome.com.tw/news/148987
1Password募資6.2億美元，身價三級跳達68億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.1password.com/future-of-1password/" target="_blank">密碼管理平臺1Password周三（1/19）宣布</a>已完成6.2億美元的C輪募資，估算該公司的市值約為68億美元，而這已是1Password這3年多以來的第三次募資，將用來加速探索與突破傳統密碼管理的疆界。</p> <p>1Password是由AgileBits在2006年所推出的密碼管理平臺，有趣的是，該公司一直到成立14年之後，於2019年11月才首度進行A輪募資，當時募集了2億美元，市值為10億美元；接著在2021年7月展開B輪募資，募集1億美元，所估算的市值為20億美元；半年後1Password展開C輪募資，募集6.2億美元，而身價則已漲至68億美元。</p> <p>1Password執行長Jeff Shiner表示，對一家持續獲利的公司來說，接受外部資金似乎有些奇怪，然而，這些新的合作夥伴關係將讓1Password能夠替每個人開發及擴張以人為本的安全解決方案。</p> <p>根據統計，全球有85%的企業資料外洩事件與人為因素有關，而1Password的調查亦顯示，當員工身心俱疲時，遵守企業安全準則的可能性減少了1/3，例如受到COVID-19疫情的影響。Shiner認為該公司的任務就是提供一個便利又安全的解決方案，來保障企業及使用者的資料安全。</p> <p>這幾年1Password已於外部資金的挹注下，加速其發展腳步，光是去年就發表密碼分享工具Psst!、Events API、支援Safari的Events API，以及併購了SecretHub，而即將於今年問世的則有1Password 8 for Linux與1Password 8 for Mac。</p> </div></div></div>
2022/1/20 16:52作者陳曉莉https://www.ithome.com.tw/news/148989
數位新冠病毒健康證明1/21起開放國內使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心宣布，1月21日上午8時將開放數位新冠病毒健康證明在國內使用，除了原有的醫院、長照之外，指揮中心要求八大行業等部分休閒娛樂場所，民眾或服務人員都應出示完整接種COVID-19疫苗紀錄，例如疫苗接種卡（小黃卡）、健保快易通App，或是數位新冠病毒健康證明。</p> <p>指揮中心去年底先開放民眾下載數位新冠病毒健康證明，強調可介接歐盟數位健康證明及GDPR個資保護規範，讓需要出國的民眾可下載，在歐盟地區或同樣遵循歐盟規範的其他國家地區旅遊時使用。</p> <p>而1/21早上8點開放下載的數位新冠病毒健康證明，主要是供國內使用，強調三大功能，所有國內接種疫苗的民眾都可使用、使用符合歐盟規範的查驗程式，可驗證EUDCC 60個國家地區的證明、可以具實名制的App作為載具。</p> <p>值得注意的是，為更新數位新冠病毒健康證明功能，數位證明的申辦簽發平臺將在1/20的下午5時至1/21的上午8時暫停申辦，急需出國下載數位證明的民眾，需提前下載。</p> <p>民眾可使用電腦或手機至數位新冠病毒健康證明簽發平臺（<a href="https://dvc.mohw.gov.tw">https://dvc.mohw.gov.tw</a>）申請，先進行身分驗證，可選擇三種身分驗證方式，第一種是以身分證字號+健保卡號+戶口名簿戶號完成驗證，第二種是以FIDO完成驗證，第三則是使用自然人憑證。外籍人士也有三種身分驗證方式可選用，第一種是使用統一證號+健保卡號進行驗證，第二是以統一證號+入出境證號，第三種是統一證號+護照號碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-1-1.jpg" style="width: 600px; height: 425px;" /></p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-2-1.jpg" style="width: 600px; height: 425px;" /></p> <p>完成身分驗證後，可選擇下載「疫苗接種數位證明」、「檢驗結果數位證明」。不論哪種證明，下載的檔案格式為PDF，可儲存在電腦或手機、平板電腦，或是另行列印為紙本證明，或是前往超商列印紙本證明。</p> <p>另外，指揮中心也宣布已準備API，讓其他具有實名制的App介接，在民眾的同意之下取得數位證明，以第三方App作為數位證明的載具，第三方App開發者或管理者需向指揮中心申請，並遵守個資法或GDPR規範、身分驗證不得低於數位證明的申辦平臺，App後臺不能保留數位證明。</p> <p>基於查驗數位證明需要，指揮中心同步開放商家或場所管理者使用數位新冠病毒健康證明的查驗程式，採網頁形式（<a href="https://dvc.mohw.gov.tw/verifier-web">https://dvc.mohw.gov.tw/verifier-web</a>），免安裝，強調使用該網頁查驗不會保留民眾個資，且符合歐盟GDPR規定。需注意的是，使用查驗程式網頁，需同意隱私權聲明、授權相機使用權限才能使用。</p> <p>商家或場所管理者使用查驗程式掃描民眾數位新冠病毒健康證明的QR Code，顯示查驗的結果共有綠、黃、紅三種顏色，綠色代表通過、紅色或打叉代表不通過，黃色或三角驚嘆號則表示待確認，包括施打疫苗不完整、效期不符或使用未符臺灣認可的疫苗或檢驗。指揮中心表示，查驗數位證明僅查驗健康狀態，至於是否本人持有該數位證明，如要嚴格查驗該證明是否為本人所有，建議可搭配其他身分證件。</p> <p><strong>綠色代表通過，包括施打疫苗證明、檢疫證明或康復證明：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-4-1.jpg" style="width: 600px; height: 425px;" /></p> <p><strong>查驗結果為紅色代表不通過，黃色則代表待確定：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-5-1.jpg" style="width: 600px; height: 425px;" /></p> <p><strong>指揮中心強調多元的證明方式，除了數位疫苗證明，民眾也能使用紙本的疫苗接種卡小黃卡，或是數位的健康存摺：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-6-1.jpg" style="width: 600px; height: 425px;" /></p> <p><span style="color:#B22222;"><strong>八大場所需查證數位證明：</strong></span></p> <p>中央流行疫情指揮中心指揮官陳時中表示，查驗並不只有數位新冠病毒健康證明，民眾也可使用小黃卡、健保快易通App等其他方式作為證明。目前要求查驗的場所，除了醫院、長照機構之外，八大行業等部分娛樂場所的服務人員、進出民眾也應出示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0120-%E4%BC%91%E9%96%92%E5%A0%B4%E6%89%80%E5%87%BA%E7%A4%BA%E6%8E%A5%E7%A8%AE%E8%AD%89%E6%98%8E-1.jpg" style="width: 600px; height: 425px;" /></p> <p>至於新北市長候友宜對外表示，為維護學校安全，可查驗進出民眾疫苗施打或病毒檢測證明，對此，陳時中並不反對，尊重各地方政府決定，但為避免造成民眾不便，他認為不宜大規模查驗，不贊成多家業者間的聯合查驗行為，但個別業者可以自行決定是否查驗。</p> <p>除了中央政府要求醫院、長照、八大行業應查驗之外，縣市地方政府可能另行規定需要查驗的行業或特定場所，業者為加強防疫安全，也可能自主要求查驗。</p> </div></div></div>
2022/1/20 16:07作者蘇文彬https://www.ithome.com.tw/news/148988
新加坡加密貨幣平臺Crypto.com遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡的加密貨幣交易平臺Crypto.com於17日傳出遭到駭客入侵，區塊鏈安全專家估計駭客自Crypto.com盜轉了價值3,300萬美元的以太幣與比特幣，而Crypto.com除了已證實此事之外，並說用戶並未遺失所擁有的資產。</p> <p>這起駭客事件一開始是由<a href="https://twitter.com/peckshield/status/1483246262371557378?s=21" target="_blank">區塊鏈安全業者PeckShield所揭露</a>，該公司發現駭客盜走了價值約1,500萬美元的4,600個以太幣，並透過TornadoCash混幣工具來洗錢。同一天專門分析比特幣生態體系的<a href="https://twitter.com/ErgoBTC/status/1483540849434763264" target="_blank">OXT Research則說</a>，除了4,600個以太幣之外，駭客還自Crypto.com盜走了444個比特幣，估計Crypto.com總計損失了近3,300萬美元。</p> <p>在意外被揭露後，<a href="https://twitter.com/cryptocom/status/1483050866894868484" target="_blank">Crypto.com也於Twitter上作出了說明</a>，坦承有少數用戶發現其帳戶有未經授權的活動，因而緊急停止提款功能，同時要求所有的使用者重設雙因素認證，但強調用戶的資產並未受到危害。</p> <p><a href="https://twitter.com/BloombergLive/status/1483841347824099330" target="_blank">Crypto.com執行長Kris Marszalek在接受《Bloomberg TV》專訪時透露</a>，駭客擅自自用戶的帳戶中提款，約有400名用戶受到影響，但Crypto.com已全面補償了這些帳戶，因此用戶的資產並未受到影響。不過，Marszalek並未公布遭到駭客盜走的資產數量，至於意外的發生原因仍在調查中。</p> <p>目前Crypto.com服務已恢復正常，為了避免類似的事件再度發生，<a href="https://twitter.com/Kris_HK/status/1483383030387408897" target="_blank">該平臺祭出了新規定</a>，要求新的錢包在完成白名單註冊後，必須在24小時之後才能進行首次提款。</p> </div></div></div>
2022/1/20 14:26作者陳曉莉https://www.ithome.com.tw/news/148985
Opera也跳入Web3行列，發表加密貨幣瀏覽器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年便推出內建加密貨幣錢包Android瀏覽器的Opera，<a href="https://press.opera.com/2022/01/19/opera-web3-crypto-browser-project/?utm_source=ixbtcom" target="_blank">在本周發表了新的加密貨幣瀏覽器專案（Crypto Browser Project）</a>，推出支援Windows、macOS及Android的加密貨幣瀏覽器測試版，並強調將以Web3為該專案的核心。</p> <p>Web3指的是基於區塊鏈的去中心化網路，被視為新一代的網路架構，支持者認為它將賦予使用者更完整的權力，逃離大型企業的集中管控，然而，<a href="https://www.ithome.com.tw/news/148804" target="_blank">反對者則認為</a>，它終究無法脫離中心化，還可能惡化隱私問題。根據PWC的估計，Web3與元宇宙（Metaverse）的擴張將讓2030年的全球經濟產值增加15兆美元。</p> <p>Opera無疑是Web3的支持者，該公司認為Web3的時代需要一個專用的瀏覽器，新發表的加密貨幣瀏覽器已內建熱門的Web3與加密貨幣網站，它於瀏覽器的側邊欄整合了Twitter、Telegram、WhatsApp，以及Opera的Crypto Wallet電子錢包功能，也能自瀏覽器的快速撥號（speed dial）功能存取Crypto Twitter、Discord、Reddit或DappRadar等服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-Opera%20Crypto%20Browser%20Project-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Opera</span></p> <p>此外，Crypto Browser所配備的Crypto Corner將集結各種Web3資訊，從加密貨幣新聞、加密貨幣價格、空投活動、加密貨幣活動或相關的播客等。</p> <p>負責行動業務的Opera副總裁Jorgen Arnesen表示，市場對Web3的興趣有增無減，卻缺乏一個可體驗去中心化網路的瀏覽器，Crypto Browser將提供一個更簡單、快速及隱私的Web3體驗，以充分發揮去中心化網路的潛力。</p> <p>除了已釋出支援Windows、macOS及Android平臺的Crypto Browser之外，iOS版亦可望於近期出爐。</p> </div></div></div>
2022/1/20 14:56作者陳曉莉https://www.ithome.com.tw/news/148986
K8s維運、直播、CLOVA AI中文化到NFT新平臺，Line臺灣工程團隊要將四大類產品和技術在地化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line臺灣2022年開發者大會昨天展開，Line臺灣回顧了去年多項在地工程團隊的開發成果，從開發流程、技術到產品服務，都有不同程度的變革。比如資安方面取得了ISO 27001及ISO 27701雙項驗證，也強化了三類應用於不同場景的直播服務，加入在地化獨有的直播功能；內部開發工具與文化形塑也有新轉變，甚至自行開發了臺灣可觀測性平臺來維運服務。而在未來一年的技術發展方面，Line臺灣一方面要爭取HyperCLOVA平臺支援中文，更將著力於NFT市場布局，今年Q1要上線全球NFT市集Dosi，未來更要內化技術能量，打造臺灣本地的NFT應用。</p> <h3 dir="ltr"><span style="color:#FF8C00;">花費一年時間，取得本地資安與個資治理雙向認證</span></h3> <p dir="ltr">在資安與隱私保護上，Line臺灣執行長陳立人首先指出，Line臺灣從2020年底就開始導入國際級資安標準，從開發、維運、組織、制度等面向著手，建立資安暨隱私管理委員會，也訂定緊急應變措施，確保資安事件發生時，資安與個資管理作業符合法遵要求，同時透過教育訓練提升員工的風險意識，強化內稽內控。經過一年的導入後，Line臺灣已經在去年底，取得了ISO 27001資訊安全管理系統標準及ISO 27701隱私資訊管理系統雙項驗證。</p> <h3 dir="ltr"><span style="color:#FF8C00;">強化三大直播服務，購物直播服務更新增臺灣獨有的+1功能</span></h3> <p dir="ltr">在產品功能的更新上，Line臺灣著重在影音服務的優化。因為Line臺灣發現，在疫情影響之下，用戶對影音相關應用的需求提升，包括訊息通話、群組視訊、影音訊息、直播、短影音等，視訊通話更大幅成長261%，「不只疫情影響，用戶的使用習慣正在改變。」陳鴻嘉點出，當今用戶更青睞影音內容，而非文字內容的瀏覽。</p> <p dir="ltr">「身為臺灣的工程團隊，我們把這一年觀察到的使用趨勢，實作為負責的服務。」陳鴻嘉指出，Line臺灣的工程團隊從去年開始，對直播內容播放服務進行優化。比如針對大型活動直播播放器，將解析度從720P提升到10080P，並配合高流量的架構設計，讓Line Today在轉播2021年金曲、金鐘、金馬獎時，能夠穩定提供200萬用戶同時在線收看。</p> <p dir="ltr">而針對上千到上萬用戶的Line shopping直播，雖然觀看人數較少、但地理區域更為分散，「與百萬等級Line Today直播相比，系統架構的挑戰很不一樣。」陳鴻嘉指出，除了優化系統架構，Line臺灣也因應臺灣用戶的習慣，設計了「+1」的在地化使用體驗。他更進一步分享，在打造這項功能的過程中，由於服務架構於總部的直播系統，因此在擴充直播功能之前，還得先說服總部同意開發，「我們試著用臺灣夜市叫賣的參與感、熱鬧感，來說明+1為什麼是重要的用戶體驗。」取得總部同意後，Line臺灣花費4個月將這項功能開發完成，去年Q2正式上線，已經在半年內運用於超過1,000場的購物直播中。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%964%E3%80%91LINE%E5%8F%B0%E7%81%A3%E5%B7%A5%E7%A8%8B%E5%9C%98%E9%9A%8A%E4%BE%9D%E7%85%A7%E5%9C%A8%E5%9C%B0%E6%B6%88%E8%B2%BB%E8%80%85%E4%BD%BF%E7%94%A8%E9%AB%94%E9%A9%97%EF%BC%8C%E6%93%B4%E5%85%85%E5%85%A8%E6%96%B0%E3%80%8C%2B1%E3%80%8D%E5%8A%9F%E8%83%BD%EF%BC%8C%E4%B8%8A%E7%B7%9A%E4%B8%8D%E5%88%B0%E5%8D%8A%E5%B9%B4%E5%8D%B3%E8%88%89%E8%A1%8C%E8%B6%85%E9%81%8E1%2C000%E5%A0%B4%E6%AC%A1%E7%9A%84%E8%B3%BC%E7%89%A9%E7%9B%B4%E6%92%AD%EF%BC%8C%E5%B9%B3%E5%9D%87%E8%A7%80%E7%9C%8B%E7%8E%87%E8%88%87%E4%BA%92%E5%8B%95%E7%8E%87%E7%9A%86%E6%9C%89%E9%A1%AF%E8%91%97%E6%8F%90%E5%8D%87.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Line shopping直播加入+1功能後，去年已經累積直播超過1,000場，用戶平均參與互動的比例更高達55%。</p> </blockquote> <p dir="ltr">不只是購物，線下展演活動也轉往線上發展。Line臺灣在2020年底預測到這個趨勢，並於去年上半年開發了Line Music Live Concert系統，並在下半年正式上線。讓展演單位可以在線下表演時，同步進行線上收費直播。而這個系統的用戶定位為數百至數千人、分散地理區域觀看，團隊也以此進行架構設計，並強化直播主與觀眾的即時互動功能設計。</p> <p dir="ltr">另外，Line總部也在2021年11月推出Line Voom貼文串，將原本文字為主的內容創作平臺，改以影音貼文為首頁。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Line臺灣工程團隊從三面向著手優化開發流程</span></h3> <p dir="ltr">隨著用戶行為更傾向於影音及客製化內容，Line臺灣工程團隊的專案開發工作變得更多，陳鴻嘉指出，工程團隊也得持續改進工作方法，來提升工作效率、穩定服務品質。因此，Line臺灣配合總部的技術管理策略，強化資料管理、開發流程管理與文化養成三大面向。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%965%E3%80%91%E7%82%BA%E5%BC%B7%E5%8C%96%E9%96%8B%E7%99%BC%E6%95%88%E7%8E%87%EF%BC%8C%E5%9C%98%E9%9A%8A%E6%AD%B8%E7%B4%8D%E5%87%BA%E4%B8%80%E5%A5%97%E6%9C%89%E6%95%88%E7%9A%84%E5%B7%A5%E4%BD%9C%E6%96%B9%E6%B3%95%E2%80%94%E3%80%8C%E8%B3%87%E6%96%99%E7%AE%A1%E7%90%86%E3%80%8D%E3%80%81%E3%80%8C%E9%96%8B%E7%99%BC%E6%B5%81%E7%A8%8B%E7%AE%A1%E7%90%86%E5%88%B6%E5%BA%A6%E3%80%8D%E5%8F%8A%E3%80%8C%E6%96%87%E5%8C%96%E9%A4%8A%E6%88%90%E3%80%8D.png" style="width: 700px;" /></p> <p dir="ltr">在資料管理面向，由於過去無論是開發人員、分析人員在使用資料前，都需要先進行申請審查，審查過程不僅以個人申請為單位，流程中也需要法務、資安部門共同參與，最後還得全部彙整到CDO辦公室，這些大量審查工作更導致了工作效率的瓶頸。因此，Line臺灣優化了管理系統，改成以專案為單位的權限管理機制，讓審查工作分派到各層級單位，來提升工作效率。另外，各地分公司也必須取得ISO資安認證，並增加資料教育訓練的頻率與次數，讓員工養成資料隱私與資安的觀念。</p> <p dir="ltr">而資料作為應用開發的重要基礎，Line除了運用個別Line服務產生的業務資料，也購買可供各個團隊共用的訓練資料，來擴大資料量；總部更設計了共用資料平臺IU（Information Universe）以及AI訓練共用平臺MLU（ML Universe）等基礎建設，前者要促進資料管理與共用，後者則是提供AI開發生命週期中共用的資源，包括開發工具與技術，甚至從模型訓練到部署上線，都能在平臺中完成。</p> <p dir="ltr">而在開發流程管理的面向，Line臺灣設置專職團隊，以總部策略為基礎，進行在地化調整優化，並透過共用工具加速開發人員的學習。</p> <p dir="ltr">比如說，為了增加開發與維運過程中，對系統問題的解決效率，Line臺灣參考OpenTelemetry組織的規範，由臺灣SRE團隊根據軟體系統可觀測性的三大面向，分別是Metric（指標）、Log（日誌）與Trace（鏈路追蹤），在半年內打造了符合這三大面向的臺灣可觀測性平臺TOP（Taiwan Observability Platform），來提高專案開發團隊的問題解決效率，進而升開發速度。</p> <p dir="ltr">陳鴻嘉指出，TOP與總部的同類平臺相比，雖然使用了大部分相同的開源軟體工具，但TOP最重要的功能，是能提供共通的實例與樣板。尤其，系統執行時會產生龐大資料量，個別團隊要自行開發一個觀測系統會耗時太久，交由SRE團隊統一建置與管理，就能減少重工的情形，讓所有團隊可以利用通用指標，快速了解開發狀況，共享問題解決的經驗；CTO也能快速了解專案維運的全面狀況，來進行資源調度管理。TOP平臺在2021年下半年正式採用後，Line臺灣已經推廣到多數進行中的專案、維運中的專案，更讓整體的系統事件減少了30%。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-19%20%E4%B8%8B%E5%8D%885_22_01.png" style="width: 700px;" /></p> <p dir="ltr">而在文化養成的面向，Line臺灣則透過技術傳教士為團隊規劃教育訓練、技術分享活動，作為文化養成的一環，讓開發者更習慣與外界交流、分享技術知識。</p> <h3 dir="ltr"><span style="color:#FF8C00;">推出大型語言通用模型HyperCLOVA，加快AI開發效率</span></h3> <p dir="ltr">由於雲端技術成熟，在AI技術的發展上，興起打造大型語言通用模型的趨勢，比如OpenAI的GPT-3、Google的T5等，陳鴻嘉指出，Line總部也跟上這股趨勢，打造屬於自己的大型語言通用模型HyperCLOVA，並於去年11月正式發布。相較過往為了不同的終端任務，需個別準備大量的資料，才能訓練出可執行單一任務的AI模型，HyperCLOVA目標則是要整合所有可用資源，包括訓練資料、軟硬體，來打造大型通用語言模型，透過大量參數和數據累積，加上AI專家不斷更新模型，讓開發者得以運用少量資料來訓練模型，滿足不同場景的任務需求。</p> <p dir="ltr">陳鴻嘉說明，Line集團不斷合法取得可公開的資料，置於HyperCLOVA之上，讓開發者能運用這些資料與軟硬體資源，加快模型訓練的效率。HyperCLOVA已經可以訓練包含文章摘要、段落翻譯、產出仿真人對話、產品行銷文案、將語音與文字相互轉換等模型。</p> <p dir="ltr">Line打造了擁有700 petaFLOPS計算能力的GPU叢集，提供強大計算資源，除了先提供內部開發者使用，不久之後也將對外提供服務。目前，這個通用語言模型已完成對日文的支援，擁有390億個參數；目前也正在進行多語系架構調整，以支援韓文，這個支援日、韓多語系的模型也已經擴充到820億個參數；明年更預計將針對日語，將多語系模型擴充到2040億個參數。雖然在中文的支援上，尚未有明確的計畫與支援時間，但陳鴻嘉指出，Line臺灣已經實作了大型通用語言模型的中文版本，目前正在將試驗成果與總部積極交流。</p> <p dir="ltr">除了總部發展HyperCLOVA平臺，Line臺灣也積極將CLOVA AI產品中文化並落地臺灣，今年將正式推出CLOVA Note、CLOVA OCR以及CLOVA Chatbot等AI服務。</p> <p>比如Chatbot服務中，Line臺灣提供了一個Chatbot bulider平臺，讓使用者只須準備好由機器人回答的問題與答案，就可以藉由圖形化介面訓練出聊天機器人模型，並應用到官方帳號上，不須具備程式開發技能也能使用。CLOVA Chatbot也提供三種部署方式，包含雲端SaaS版本與地端（On-Premise）版本，並針對臺灣市場客製化推出混合雲架構（Hybrid）版本，目標要在保有隱私資料安全性的同時，也降低運算資源的成本。</p> <p>另一項Line臺灣今年將推出的AI新服務，則是CLOVA Note，用來轉錄說話資訊，使用了兩項主要的語音技術，一為語音辨識（Speech Recognition）來辨識完整語句，二為說話者辨別（Speaker Diarization）來分辨不同的發言者。這項服務除了可作為個人助理，也能作為Web service串接到視訊會議來做記錄。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%965%E3%80%91CLOVA%20Note%E4%BB%A5%E8%A8%98%E9%8C%84%E8%B3%87%E8%A8%8A%E7%82%BA%E6%A0%B8%E5%BF%83%EF%BC%8C%E5%85%B7%E5%82%99%E5%85%A9%E9%A0%85%E4%B8%BB%E8%A6%81%E7%9A%84%E8%AA%9E%E9%9F%B3%E6%8A%80%E8%A1%93%EF%BC%8C%E5%88%86%E5%88%A5%E7%82%BA%E8%AA%9E%E9%9F%B3%E8%BE%A8%E8%AD%98%E6%8A%80%E8%A1%93%EF%BC%88Speech%20Recognition%EF%BC%89%E5%92%8C%E8%AA%AA%E8%A9%B1%E8%80%85%E8%BE%A8%E5%88%A5%E6%8A%80%E8%A1%93%EF%BC%88Speaker%20Diarization%EF%BC%89.png" style="width: 700px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">躋身NFT市場，今年Q1計畫推出全球NFT市集Dosi</span></h3> <p dir="ltr">另一個作爲明年主力發展的新技術，則是NFT，尤其在NFT與Metaverse幾乎已經成為下一代網路應用代名詞的趨勢下，Line於去年6月也躋身NFT市場，在日本發表NFT Market，讓日本市場的用戶，可以在Line旗下的加密貨幣交易所BITMAX，使用平臺幣LINK購買NFT。</p> <p dir="ltr">不只如此，陳鴻嘉更揭露，Line旗下區塊鏈暨NFT子公司Line Next打造的全球NFT市集Dosi，將於今年第一季正式上線，目前已開始接受企業和客戶的預約註冊。Dosi的命名語源來自韓文的「都市」，象徵全世界創作者、企業和粉絲們皆能自行打造虛擬經濟圈，未來在Dosi平臺上，用戶可以構建自己的品牌商店和全球社群，也能銷售自己品牌的NFT，把業務延伸到虛擬世界。而且，透過NFT專用錢包，用戶更能使用信用卡、數位支付或以太幣、比特幣、LINK等多種加密貨幣，來進行交易以及參加社群活動。</p> <p dir="ltr">Dosi將支援8種語言、於全球180個國家推出。預計推出的服務將包含Dosi Store、Dosi Wallet和Dosi Support。Dosi Store提供企業品牌利用模板或API快速打造自己的NFT品牌市場、自由鑄造NFT；Dosi Wallet則與社群平臺結合，用戶可利用該支付功能參與元宇宙的各項活動，首季將優先支援信用卡支付；Dosi Support則由Line的技術與行銷團隊支援，提供企業主技術及產品面的服務，來優化企業NFT商店的規劃與營運。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%968%E3%80%91LINE%20Global%20NFT%20Market%E2%80%94DOSI%E9%A6%96%E6%B3%A2%E4%B8%8A%E7%B7%9A%E7%9A%84%E6%9C%8D%E5%8B%99%E5%B0%87%E5%8C%85%E5%90%AB%EF%BC%9ADOSI%20Store%E3%80%81DOSI%20Wallet%E5%92%8CDOSI%20Support.png" style="width: 700px;" /></p> <p dir="ltr">如同過去打造智慧生活入口，提供滿足用戶多樣生活需求的服務，Line計畫以Line服務現有的生態系為基礎，打造出NFT應用市集與新一代的元宇宙生態系，在新一代生態系之中，讓交易透過LINK快速完成，用戶也可以直接在自己的Dosi Wallet中，看到購買的所有NFT與數位貨幣。</p> <p dir="ltr">「與Line結合之後，NFT曝光更容易，」陳鴻嘉點出，透過用戶私密社群、公開社群、發表空間、Line Voom等管道，企業更容易提高發行NFT的知名度，交易的機會也會隨之提高，使NFT的價值變得更強大。</p> <p dir="ltr">陳鴻嘉更特別指出，臺灣工程部也主動與總部聯繫，加入Dosi平臺子系統的開發，「雖然我們是協助平臺開發，但目的要在合作過程中，累積對平臺技術、應用的熟悉度，再回來打造臺灣在地化的NFT應用。」而且，由於國內用戶對NFT得認識有限，Line臺灣一方面配合全球進行NFT市集推廣，一方面也要透過在地小型活動與展示，讓用戶更容易了解與使用NFT，來因應這個正在急速發展的新興市場。 </p> <p dir="ltr">最後，在區塊鏈的發展上，陳鴻嘉則揭露，明年將著力於Line區塊鏈如何與公鏈橋接，達到互操作性，並試圖透過新的共識演算法來增加運算效率，減少交易對計算資源的需求，讓區塊鏈平臺應用的成本再降低。 </p> </div></div></div>
2022/1/20 12:15作者翁芊儒https://www.ithome.com.tw/news/148977
蘋果與Google同聲反對新反壟斷提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議員去年提出了兩項攸關反壟斷規定的提案，包括《美國創新及選擇網路法案》（<a href="https://www.congress.gov/bill/117th-congress/senate-bill/2992?s=1&r=65" target="_blank">American Innovation and Choice Online Act</a>）與《開放App市場法案》（<a href="https://www.congress.gov/bill/117th-congress/senate-bill/2710?s=1&r=83" target="_blank">Open App Markets Act</a>），就在美國參議院司法委員會即將於本周四（1/20）審核《美國創新及選擇網路法案》的前夕，Google及蘋果同聲反對此一法案，反之，有超過40家小型企業連署支持該法案。</p> <p>《美國創新及選擇網路法案》將會限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。該法案明文規定平臺不得限制第三方與該平臺的互動，也不得要求第三方購買該平臺的服務來換取優惠，不得濫用第三方的資料以與之競爭，亦不得於搜尋結果中偏好自家的產品。</p> <p>《開放App市場法案》的宗旨與《美國創新及選擇網路法案》相近，但主要著重在由科技大廠主導的行動程式市集，將禁止這些市集要求開發者使用由市集提供的程式內支付機制，也不得要求開發者於市集上提供更優惠的價格，以及不得針對於其它支付系統提供價格優惠的開發者祭出懲罰。</p> <p>負責政府事務的蘋果總監Timothy Powderly在18日就發了一封信件予司法委員會，根據《<a href="https://www.macrumors.com/2022/01/18/apple-sideloading-bills-consumers-malware/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">MacRumors</a>》的報導，Powderly認為上述法令等於是變相鼓勵那些對於使用者資料不負責任，且針對消費者展開詐騙，或是部署惡意程式與勒索軟體的不良行為者。</p> <p>Powderly聲稱這兩項法令將會帶來隱私與安全的風險，進而對消費者造成危害。</p> <p>Google法務長Kent Walker也在同一天<a href="https://blog.google/outreach-initiatives/public-policy/the-harmful-consequences-of-congresss-anti-tech-bills/" target="_blank">發表了公開聲明</a>，同樣反對這兩項法案的Google卻有不同角度的看法，Walker說，這些法案針對美國企業制定了規則，卻未能規範外國企業，它們將賦予美國聯邦交易委員會（FTC）及其它美國政府機構前所未有的消費者產品設計控制權，因而危及美國身為全球技術領先者的地位，還可能威脅美國的國家安全。</p> <p>Walker指出，這兩項法案也許會讓美國消費者使用更糟的Google搜尋或地圖服務，其中的創新許可更要求企業在發表新功能之後必須取得政府同意，阻礙美國的技術領導者將會威脅其研發支出，恐會影響美國的國家安全。</p> <p>Walker還批評這兩項法案根本是失焦了，相關法案所提及的服務都已調降了價格，卻對通貨膨脹造成的影響隻字未提，Google認為必須更新的技術規範應該圍繞在隱私、人工智慧及對兒童與家庭的保護上，而非破壞業者的產品或削弱美國企業的技術領先地位。</p> <p>不過，有超過40家美國業者連署支援《<a href="https://wesupportsb2992.medium.com/re-s-2992-the-american-innovation-and-choice-online-act-f49cc61abd87" target="_blank">美國創新及選擇網路法案</a>》，包括打造可整合十多款傳訊程式的Beeper，隱私搜尋引擎DuckDuckGo，提供加密郵件與VPN服務的Proton Technologies，提供餐廳評價服務的Yelp，以及Tor專案等。</p> <p>這些業者抱怨市場的主導者經常偏好自家的產品與服務而妨礙了市場競爭，例如採用操縱性的設計以讓使用者遠離競爭服務，或是限制競爭者與平臺的互動，使用未公開的資料來嘉惠自己的產品及服務，令使用者難以變更其預設服務或移除程式。它們批評上述手法危害了競爭，亦損及消費者獲得創新服務的機會，因而呼籲司法委員會應通過《美國創新及選擇網路法案》以恢復美國數位市場的競爭狀態。</p> </div></div></div>
2022/1/20 11:35作者陳曉莉https://www.ithome.com.tw/news/148981
紅十字會遭大規模網路攻擊，51萬弱勢民眾資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際紅十字會（International Committee of Red Cross，ICRC）昨（19）日表示<a href="https://www.icrc.org/en/document/sophisticated-cyber-attack-targets-red-cross-red-crescent-data-500000-people" target="_blank">本周遭大規模網路攻擊</a>，致使51.5萬災民、政治難民及流離失所的孩童的資料外洩，也影響人道救援工作。</p> <p>紅十字國際委員會本周偵測到一樁高明的大規模攻擊。駭客攻擊紅十字會委外儲存資料的一家瑞士資料中心業者，導致至少全球60個紅十字及紅新月會（Red Crescent）國際聯合會在人道救援中救助的民眾隱私資料外洩，總數超過51.5萬。這些人民包括因政治動盪、戰爭、貧困、天災而流離失所、和家人分散的政治、經濟難民與兒童，以及因偷渡被拘留的民眾。</p> <p>受到這起攻擊影響，國際紅十字委員會被迫關關「家庭重聚連線」（Restoring Family Links）行動的底層系統，這也將影響紅十字及紅新月會協助失散家庭的工作，他們正在尋求替代方案。紅十字會也擔心外洩事件使這些弱勢民眾資料曝光，使其處境更加危急。</p> <p>紅十字會已經和其他人道救援組織夥伴合作調查攻擊，目前還無法得知發動攻擊者的身份，也還未掌握外洩資料是否已經被外傳或公開。</p> <p>國際紅十字委員會主席Robert Mardin也呼籲駭客不要分享、販售、外洩或利用這些資料。</p> <p>2016 年澳洲紅十字會血液服務（Australian Red Cross Blood Service）的線上查詢備份資料庫<a href="https://www.ithome.com.tw/news/109318" target="_blank">傳遭駭客入侵</a>，致55萬名捐血人士個資外洩。</p> </div></div></div>
2022/1/20 11:04作者林妍溱https://www.ithome.com.tw/news/148979
McAfee企業部門、FireEye合併為XDR業者Trellix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220118006116/en/" target="_blank">由McAfee企業安全及FireEye合併的新公司本周宣布以Trellix掛牌</a>，將提供企業擴充偵測與回應（Extended Detection and Response，XDR）方案。</p> <p>私募基金業者Symphony Technology Group（STG）去年3月及6月，先後以40億及12億美元，買下McAfee企業安全部門、以及FireEye網路、郵件、端點、雲端產品及安全管理和協作平臺。<a href="https://www.ithome.com.tw/news/147203" target="_blank">兩家業務去年10月已經整合於一</a>。</p> <p><a href="https://www.trellix.com/en-us/index.html" target="_blank">合併後的安全公司本周宣布以Trellix掛牌</a>，整合雙方產品技術、客戶、合作夥伴與通路，擁有4萬家客戶、5000名員工，以及近20億美元的營收。</p> <p>STG表示，Trellix的名稱取自trellis（網格棚架），意為支持植物生長的強大與安全框架。Trellix將如其品牌名承諾的，提供「活的安全」，即能不斷學習及適應的安全技術，以保護企業營運防禦進階網路威脅。</p> <p>Trellix將整合McAfee Enterprise和FireEye技術，成為XDR（Extended Detection and Response，擴充偵測與回應）方案供應商。執行長Bryan Palma指出，Trellix XDR平臺將利用自動化、機器學習、擴充式架構及威脅情報，將安全整合到企業日常營運作業中。新的整合平臺提供橫跨端點、基礎架構、應用程式及雲端的防護。</p> <p>STG預計本季會再成立一家新公司，名為McAfee Enterprise Secure Service Edge，它定位為SASE（Secure Access Service Edge，安全存取服務邊緣），包含Cloud Access Security Broker（CASB）、Secure Web Gateway （SWG）和Zero Trust Network Access（ZTNA）等服務。</p> </div></div></div>
2022/1/20 11:15作者林妍溱https://www.ithome.com.tw/news/148980
免費企業版G-Suite 7月將調整為收費版Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/a/answer/2855120" target="_blank">Google昨（19）日宣布</a>，企業使用的免費版G-Suite，從今年7月1日將開始收費。5月1日Google會自動幫你升級為Workspace。</p> <p>免費版G-Suite最早名為Google Apps，是2006年針對企業、政府、教育及個人提供的生產力應用。Google於2012年12月終止新客戶申請。2016年這項服務改名為G-Suite，而<a href="https://www.ithome.com.tw/news/140395" target="_blank">在2020年再一次改名為Workspace</a>，包含雲端生產力應用及協同服務（Google Docs、Sheets、Gmail、Google Drive及Google Meet等），並分成基本及進階版本。第一代免費版Google Apps/G-Suite服務則一直持續，直到本周的宣布。</p> <p>自2022年7月1日起，不再提供免費舊版Google Apps/G-Suite服務。這些服務用戶必須升級到付費版Google Workspace才能繼續使用，他們可以依訂閱人數需求選擇Google Workspace Business Starter、Business Standard及Enterprise Standard三種等級服務，用戶在300人以上就必須選擇Enterprise版本。</p> <p><a href="https://support.google.com/a/answer/60217?hl=en" target="_blank">根據英文版說明</a>，5月1日升級到Google Workspace服務，有2個月免費使用時期。遲遲未動作者，其服務會自動在5月1日起升級到Google Workspace。Google表示會依據現有使用的功能升級到新服務。</p> <p>Google 同時也要求現有用戶在7月1日前，設定Google Workspace支付細項。不願提供者，Google Workspace服務會被暫停，直到用戶設定收費帳戶。而在暫停60天後，核心服務包括Gmail、Calendar、Meet等就無法再使用，屆時必須要再重新申請回復帳號。</p> <p>決定不再使用Google Apps/G Suite/Google Workspace的企業用戶，可以<a href="https://support.google.com/a/answer/100458" target="_blank">按Google指示</a>將資料匯出。</p> <p>至於教育機構或非營利機構用戶，目前已經免費使用Google Workspace for Education Fundamentals、Google Workspace for Nonprofits兩種版本者，則尚不會受到影響。</p> <p>Google已漸漸將免費版服務轉為營收來源。去年6月1日起，<a href="https://www.ithome.com.tw/news/144274" target="_blank">Google 整合</a>Photos、Gmail、Google Drive服務於上限15GB的免費額度中，上傳的檔案超過15GB者，用戶就得購買Google One（原名Google Drive）服務。</p> <p>同月，Google再將原本針對企業的生產力及協同平臺服務Workspace，<a href="https://www.ithome.com.tw/news/145035" target="_blank">開放給所有具備Google帳號的用戶</a>，針對個體戶主打小型企業的訂閱服務Workspace Individual。</p> </div></div></div>
2022/1/20 10:07作者林妍溱https://www.ithome.com.tw/news/148976
Google針對零售商推出能精確預測需求的工具Vertex AI Forecast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google大腦所開發的最新技術<a href="https://cloud.google.com/blog/topics/retail/retail-forecasting-ai-real-time-insights-vertex-ai-forecast">Vertex AI Forecast</a>，可讓零售商將機器學習融入到現有的需求預測系統中，精確地預測商品的供需。</p> <p>Vertex AI Forecast能夠從BigQuery或是CSV檔案中，擷取高達1億行的資料集，以涵蓋數千條產品線和多年的歷史資料，並使用強大的建模引擎，自動處理資料，評估數百種不同的模型架構，最後將最好結果打包成易於管理的模型，即便沒有資料科學專業知識的用戶，也能夠簡單使用。</p> <p>Vertex AI Forecast需求預測可以考量多達1,000種不同的需求驅力，包括顏色、品牌和促銷計畫等，並設定預算來創建預測，而且因應市場條件變化快速，用戶可以在短短2個小時內，不需要手動調整模型，使用Vertex AI Forecast來以最高精確度建構需求預測。</p> <p>Google解釋，模型架構搜尋是Vertex AI Forecast的重點，這個功能可以評估數百種不同的模型架構和配置，其所使用的演算法，允許Vertex AI Forecast針對各種條件和資料集，找到效能最佳的模型配置。</p> <p>借助Vertex AI Forecast的分層預測功能，零售商可以生成高精確度的預測，預測能夠分成多個等級，像是將單個品項、商店等級和地區等級等需求捆綁在一起。當歷史資料稀少時，分層模式還能夠提高整體準確性，當單個品項的需求過於隨機無法預測時，該模型仍然可以在產品類別等級找到模式。</p> <p>Vertex AI可以使用大量結構化和非結構化資料，使規畫人員能夠納入許多相關的需求驅力，像是天氣、產品評論、宏觀經濟指標、競爭對手的行動、商品價格和海運承運成本等。Vertex AI Forecast的可解釋性功能，可以顯示這些驅力對預測所做出的貢獻，來協助決策者儘早針對需求，採取必要的措施。</p> <p>需求驅力不僅可用於整體預測，也可以針對單一商品，像是計畫者可能會發現促銷是工作日服裝類別需求的主要驅力，但在假期則不一定，因此計畫者便能夠利用這些分析結果來制定策略。在使用Kaggle資料的基準測試中，Vertex AI Forecast在世界頂尖的預測競賽M5中，獲得最高達3％的準確率表現。</p> </div></div></div>
2022/1/20 08:51作者李建興https://www.ithome.com.tw/news/148975
BigQuery提供Explainable AI功能，可解釋特徵對機器學習模型的影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料倉儲BigQuery正式向用戶提供<a href="https://cloud.google.com/blog/topics/developers-practitioners/bigquery-explainable-ai-now-ga-help-you-interpret-your-machine-learning-models">可解釋人工智慧（Explainable AI，XAI）</a>功能，使得用戶能夠更了解機器學習模型做出決策的方法。官方提到，BigQuery針對不同的模型類型，提供各種XAI方法，全面地支援可以解釋性人工智慧，供用戶使用單一SQL查詢，並能在數秒內獲得數百萬個解釋。</p> <p>不少企業在內部導入機器學習技術，但是要使得人工智慧的決策更為可信，人工智慧必需要具有可解釋性，Google提到，在訓練機器學習模型時，與特徵相關有兩類可解釋性，分別是全域可解釋性，以及區域可解釋性。</p> <p>全域可解釋描述了特徵對模型的整體影響，能夠讓用戶了解特定特徵，是否比其他特徵對模型的預測，存在更大的影響力，當模型具有數百或是數千個特徵，用戶想要知道哪些特徵，是模型的主要貢獻者，則全域可解釋就會特別有用，用戶能夠以此來修剪不太重要的特徵，來提高模型的通用性。</p> <p>而區域可解釋性則描述每個特徵對特定預測做出的貢獻，以房價為例，房屋不同的特徵可能會在房價上做出貢獻，像是具有3間臥室的房屋，在房價可能額外貢獻5萬美元，靠近市中心價值增加10萬美元，建造的年份為2010年，可能房價又會上升3萬美元等。Google表示，區域可解釋性的目的，是要用來了解模型每個特徵，之於預測的切確貢獻。</p> <p>BigQuery Explainable AI透過定義資料列中，每個特徵對預測結果的貢獻，使得用戶能夠深入了解機器學習模型，在分類和迴歸任務所生成的結果，Google提到，這被稱作特徵歸因，這項訊息可用來驗證模型的行為是否符合預期，並辨識模型中的偏差，還能獲得改進模型和訓練資料的方法。</p> <p>BigQuery Explainable AI適用於多種模型，包括獨立同分布資料（IID Data）的監督式學習模型，和時間序列模型，針對每種模型，BigQuery Explainable AI都具有不同的可解釋性方法，而每種可解釋性方法都有各自的運算方式。</p> </div></div></div>
2022/1/20 09:04作者李建興https://www.ithome.com.tw/news/148967
模式是語言缺陷？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近重新整理一些關於模式的看法，我想起了看過有不少人認為，模式暗示、代表或者其實就是語言的缺陷，而他們有些人談到的模式，是狹義的Gof設計模式，總會列舉其中一些模式，稱在某語言中根本不需要這些模式。</p> <p><span style="font-size:28px;"><strong>語言缺陷的說法來源？</strong></span></p> <p>關於語言缺陷的說法來源，不乏許多大師級人物，例如，《松本行弘的程式世界》作者，在書中談過：「有些模式在C++、Java這類靜態定型語言中很有效，但在Smalltalk與Ruby這類動態定型語言，沒有多大意義」，甚至Gof的Ralph Johnson在〈<a href="https://bit.ly/3EAzpkk" target="_blank">Design Patterns 15 Years Later</a>〉也談到：「有些語言不需要某些設計模式，這些語言提供了問題的替代方案」！</p> <p>也有不少人會引用Peter Norvig的演講〈<a href="https://bit.ly/32Hwjhp" target="_blank">Design Patterns in Dynamic Programming</a>〉內容，例如，Brendan Eich在《Coder at work》就曾提過：Peter Norvig說模式顯露了語言的某種缺陷，Brendan Eich後續進一步說到，應該尋求語言的演化，加入適當的元素。</p> <p>有的人則指出，函數式語言不需要設計模式，例如，Weblocks創建者Slava Akhmechet曾在〈<a href="https://bit.ly/32vkRpf" target="_blank">Functional Programming For The Rest of Us</a>〉中，直指「函數式語言不需要設計模式，因為語言夠高階，程式設計使用的概念會消除設計模式」。</p> <p>有些人談到模式時，沒有特別說是Gof設計模式，而是指出現類似設計，甚至是某種規律，例如，Paul Graham曾在〈<a href="https://bit.ly/3FRCdLD" target="_blank">Revenge of the Nerds</a>〉最後談到：「在程式中看到模式，他認為是個麻煩的訊號」、「程式碼中任何規律性都是個訊號，至少對他而言，代表著目前使用的抽象元素不給力」。</p> <p><span style="font-size:28px;"><strong>設計權衡與語言限制</strong></span></p> <p>單就Gof的設計模式來說，由於作者們使用靜態定型、物件導向的C++來呈現範例，後續又很大程度地被同為靜態定型、物件導向的Java發揚光大，經常地就會引來動態定型、不愛物件導向、支持函數式語言的人們進行批判，聲稱自己熱愛的定型方式、典範，不需要這些設計模式，進一步宣稱C++/Java需要這些模式，是因為它們有問題！</p> <p>在我看來，這是太過於重視設計模式的名稱、實現形式，而不是去重視設計模式的思考過程了，而且，有些人的論調會讓人覺得：他們只是純粹討厭靜態定型、物件導向，或許是因為身處的領域中，動態定型、函數式可以更愉快地解決他們的問題，卻不去看待其他領域，有些人使用靜態定型、物件導向，其實能適切地解決需求的這個事實。</p> <p>很多人會引用Peter Norvig的演講，然而，因為我找不到影片或逐字稿，單就演講用的投影片來看，並沒有直接提到設計模式是語言缺陷之類的內容，倒是常提到設計的權衡（trade-off）與語言的限制（limitation），像是第四頁談到什麼是模式時，其中的兩個要點就是「用來討論、評估、記錄設計上的權衡」、「避免實作語言的限制」。</p> <p>他也談到，設計模式有著無形（Invisible）、非正式（Informal）、正式（Formal）等不同的封裝層次，由於動態語言的限制較少，Gof的23個設計模式中，有些模式在動態語言會是無形，例如，具有類別封裝概念，然而沒有正式類別語法，有的模式會被簡化，例如物件間的協定，不見得像Java使用interface來定義，鴨子定型就可以了。</p> <p>那麼，我們能說類別、靜態定型限等制、16個模式代表著C++/Java的缺陷嗎？既然如此，為什麼JavaScript後來要加入類別語法？TypeScript基於JavaScript增加了靜態定型？Python的型態提示會需要Protocol呢？</p> <p>請不要因為長期以來，使用的語言一直難以解決你某些需求，看到另一門語言簡單幾行就能解決掉，就開心地擁抱另一門語言，畢竟該語言可能在面對其他需求時，有更多難以施力之處，想一下，是不是因為長期以來的積怨確實獲得宣洩，導致你忘了、沒時間或不想去檢視那些需求罷了？</p> <p><strong><span style="font-size:28px;">程式碼中的規律性</span></strong></p> <p>有人會說JavaScript是有缺陷啊！因為不支援類別，才會產生許多模擬類別的模式，因而ES6以後才制定了類別語法，這不就是模式代表語言缺陷，新特性補上後就不需要那些（模擬類別）模式了啊！</p> <p>這就引發了一個問題！若單純認為模式是語言缺陷，語言的新版本用新語法就是補上缺陷，那麼，總有一天，會出現一門沒有缺陷的完美語言嗎？</p> <p>絕對不會！因為在不斷因模式出現而彌補缺陷的過程中，這語言會逐漸被不斷新增的特性給壓垮，而越來越多的特性，造成學習曲線越來越高、選擇越來越多、程式碼越來越複雜、越來越看不懂、越來越難以維護……，然後越來越多的人遠離該語言……，直到有一日該語言迎來終焉。</p> <p>無論是設計模式或廣義的模式，代表的是一群人在目前語言的抽象上，建立起來的相似性，代表有著越來越多人，試圖解決類似的問題，Paul Graham說，這類規律性，是目前使用的抽象元素不給力的訊號，然而，若因此為語言加入新特性，語言終究會被特性壓垮，這也是越是悠久的語言，面對新特性越是躊躇不前的原因。</p> <p>而且，你知道〈Revenge of the Nerds〉在談什麼呢？談為何現代主流語言有個趨勢，新特性多少有著Lisp的影子，或者更進一步地，朝著函數式設計、lambda演算，甚至是數學層次抽象靠近的趨勢，某些程度上，是在吹捧Lisp的文章，而且，函數式不也是有些模式的存在嗎？</p> <p>另一方面，往數學層次抽象靠得越近，確實就能解決越多的問題，文中談到Lisp一開始不是以語言為出發點來做設計，而是基於數學的抽象來做設計，因而Lisp有些元素是允許你實現方言，來解決某群人面對的類似問題，然而，這也是程式庫或框架在解決的事，只是有些語言可以讓它們，看來像是語言的一部分罷了。</p> <p>模式是程式碼中規律性的表現，然而，規律性來自於某群人面對類似問題時，是怎麼分解問題、衡量限制、思考對策及實現；如果模式代表語言的缺陷，這就好像在說存在一門語言，用它來撰寫的話，每個人寫出來的設計、風格絕對不會構成相似性，有這種語言的可能性嗎？而且，這另一方面也是在說：不會有程式庫或框架的需求了！</p> <p><strong><span style="font-size:28px;">運算本質上就是模式</span></strong></p> <p>某模式不代表語言的某缺陷，而是代表過去一群人面對某些問題到解決的過程，發現某些共通、抽象的概念，只不過你試著用這些概念解決問題時，實現上困難或簡單罷了，例如，C仍能實現物件導向的概念，只是比較麻煩，C有自身應用的領域，不能因為想實現物件導向麻煩，就說那是它的缺陷！</p> <p>許多人會說是缺陷，可能只是實作上覺得麻煩，或是反對不假思索地套用模式，反對過於重視模式的名稱、實現形式，反對將程式碼寫到像某種模式作為終點，而不是將之視為思考過程的參考之一。</p> <p>不要單純地從模式是語言缺陷來思考，畢竟模式構成的過程中，要考量的事情太多了，有時甚至是因為從使用的工具、團隊合作、管理等角度來考量，才會構成某種模式，而且，別忘了，語言的本質就是運算，而運算的本質就是重複，運算本質上就會構成模式，不會構成模式，又何來運算呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%A8%A1%E5%BC%8F">模式</a></div></div></div>
2022/1/20 07:00作者林信良https://www.ithome.com.tw/voice/148900
Target如何提前阻止大規模事故？從POS失效徵兆學到4大SRE教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年，全球疫情爆起的一年，卻也是美國零售巨頭Target營收大爆發的一年，營收足足比前一年成長了20％，數位通路的銷售更是驚人，一口氣爆增了150%。</p> <p>但在2020年3月13日這一天，如果SRE工程師沒有盡責的察覺到監控儀表板上那個異常訊號，恐怕到了周末復活節大特價活動，不只線上商店，Target全美近2千家賣場，都難以順利進行任何一筆結帳，Target年營收就不可能達到20%如此高的成長幅度。</p> <p>那一天，一位SRE工程師發現，有家Target賣場，結帳櫃檯的POS系統掃碼速度慢了，「嗶」聲出現的時間，比慣常的時間還要久。意識到不對勁的工程師主動清查，一查才發現，不只一家，而是有好幾家分店都出現了POS機掃碼速度變慢的徵兆。</p> <p>「店內系統掃碼服務當機，轉移到總部機房內的備援服務接手，才出現了掃碼速度變慢的徵兆。」Target的SRE總監Kathryn Blanchard直到2021年4月自家技術研討會中，也就是事發一年後，才敢對外公開了這起差點造成Target營運全面中斷的事故。</p> <p><span style="font-size:28px;"><strong>SRE主動追查掃碼服務失效異常，先緩解影響再尋找根本原因</strong></span></p> <p>當時，Kathryn Blanchard所率領的SRE團隊才剛成立3個月，後續追查事故問題後發現，那些部署在店內機房提供掃碼功能的服務當機了，系統自動轉移給總部的備援掃碼服務來接手，支援分店內櫃檯的作業，但遠端連線的網路延遲，讓掃碼速度慢了一些，不過，這些店的顧客沒有察覺異常，而是SRE團隊從監測工具上看到掃碼時間的變化，發現了這個結帳服務失效的徵兆。</p> <p>SRE工程師第一時間先啟動暫時性對策，進行系統復原，回到前一個正常運作的系統版本，讓這些店內結帳服務功能恢復運作，不用靠遠端的備援服務，避免繼續發生結帳延遲的情況。第一時間緩解問題後，SRE團隊再展開調查，要找出造成服務當機的事故根源。</p> <p>美國每年3月到4月初，是百貨零售上半年競爭最激烈的復活節折扣月活動，這是每年兒童用品銷量暴衝的關鍵時刻。2020年3月13日是星期五，隔天就是民眾大搶購的周末熱門時段。</p> <p>尤其，美國疫情在3月17日開始大爆發，50州都出現了確診病例，民眾不敢出門，大舉湧向線上電商搶購。發生掃碼問題的這套商店平臺系統，不只支援實體賣場POS，還支援了Target線上電商平臺的購物車作業，如果沒有找出事故根源徹底解決，一旦在周末搶購潮發生延遲，甚至因爆量採購而塞爆系統服務，恐怕會引起大量顧客抱怨和負評聲浪，甚至可能讓Target錯過復活節搶購潮的商機。</p> <p>花了一段時間，SRE工程師才發現，這起失效事故與前一周有次系統更新的異動有關。原來，3月8日有次系統更新後，導致部署在分店的商店平臺系統出現了記憶體資源占用問題，占用情況累積一段時間後，虛擬機器上可用的記憶體越來越少，就會造成部分吃重的服務先當機。因為這不是POS系統的直接問題，而是來自環境資源排擠而造成的問題，得經過一段時間發酵才會出現當機情況，而且是越早用光記憶體的環境，就會越快會出現問題。</p> <p>3月13日少數分店出現掃碼速度變慢，正因為分店機房內邊緣主機上的記憶體即將耗盡，導致掃碼微服務當機，才轉由遠端備援服務接手的情況。</p> <p><span style="font-size:28px;"><strong>不盡快解決，全美2千店和線上商城都會受影響</strong></span></p> <p>若是沒有盡快解決問題，將會有越來越多分店的系統面臨同樣的困境，不只實體賣場，連Target線上商城的結帳交易都可能會受到波及而變慢，甚至中斷。SRE團隊連忙通知開發部門，緊急修復程式錯誤，重新發布系統更新，逐步部署到全美2千家分店內的系統，才順利避開了可能的大災難。</p> <p>這個過程說來簡單幾段話，其實做起來非常複雜。對Target來說，不只要在顧客察覺、災情擴大前及早發現問題是挑戰，在修復系統錯誤後，釋出修補程式，要部署到2千家分店的系統時，還得做到營運不中斷。若對2015年時還沒展開數位轉型的Target而言，幾乎是不可能的任務。為何如此困難？這得從Target企業資訊架構設計說起。</p> <p><span style="font-size:28px;"><strong>徹底分散式架構的複雜考驗，IT得管2千座機房和2大公雲環境</strong></span></p> <p>「複雜性是Target服務穩定性最大的敵人。」Kathryn Blanchard指出。為了就近服務全美各地的1.7億名顧客，Target有一個高達4千人的IT團隊，不論是底層的資訊基礎架構或是上層的應用系統架構，也採取了徹底的分散式架構的IT設計。可是，這個IT架構越是分散，就越複雜，Target維運的考驗也會越大。</p> <p>Target的IT架構有多複雜？Target從2014年開始嘗試上雲，最先使用的是AWS公雲，2015年轉為押寶IBM雲，而且採取雲地混合架構，展開大規模上雲。不只如此，Target也同步重新改造自家應用系統，連核心平臺關鍵功能都重寫。在2016年時，Target更大舉擁抱各項雲原生開源技術、敏捷開發、DevOps等，系統架構也全面轉換成微服務架構。</p> <p>2018年時，Target進一步從單朵公雲混合雲，轉為使用多朵公雲的雲地混合架構，公雲供應商則改用GCP和微軟Azure，前者負責消費者端服務，後者則用於企業端應用的部署。</p> <p>根據2021年4月時揭露的資料，Target除了使用2朵公有雲服務，還擁有2座大型資料中心，更有42個分散各地的小型資料中心，另外他們也在每一家賣場中設置了微型邊緣機房，就近提供落地的運算服務。換句話說，Target要管理的大小實體機房，接近2千個。</p> <p>這麼龐大又複雜的運算環境，帶來了嚴峻的維運考驗，根據Target統計，55%的維運事件來自如此複雜的IT環境，而另外有45%的維運事件，則來自DevOps部署的複雜性挑戰。</p> <p><strong><span style="font-size:28px;">每周3萬次更新，微服務架構部署百萬VM的DevOps難題</span></strong></p> <p>原本Target的應用系統採取大型單體式架構設計，約有30套大型單體系統，在2015年之前，只能每年部署一次新版，每季執行一次小更新，但是，每次更新或部署時，都得停機才行，這就讓賣場營運和線上服務都出現了空窗期。</p> <p>2016年擁抱雲端原生技術後，Target將IT架構轉換成微服務架構，Target三大核心平臺，包括商店平臺、促銷平臺和供應鏈平臺，再加上10個不同即時任務的Runtime引擎，都採取微服務架構，光是商店平臺就有4百隻不同任務的微服務，其中有70隻是共用服務，而整個Target.com網站所用的微服務更是多達1千隻。不論是實體商店系統或是線上電商平臺的維運，都由同一組基礎架構團隊來負責。</p> <p>Target在2018年轉為多雲架構之際，也發展出一套自助式的內部應用平臺TAP（Target Application Platform）。這是一套利用K8s打造的應用系統管理叢集，一方面可以提供一站式的自助應用程式部署服務，讓開發團隊使用一套標準化的部署範本，就能自己將程式碼輕鬆部署到各種不同類型的公雲或機房執行環境中，不用自行針對不同的環境進行配置與設定。</p> <p>另一方面，也可以透過叢集架構，針對2千個機房內的系統，進行輪流更新，來確保全美各分店面對顧客的服務不會因系統更新而中斷。</p> <p>因為在IT基礎架構中，Target擁有多達2千座的機房環境和多朵公雲，凡是分店內的商店系統有一隻微服務的程式碼要更新，就得進行2千次部署作業。TAP這套平臺提供了一套通用的標準化部署作業方式，不論是開發團隊、儲存團隊、網路團隊或SRE團隊都共用這一套簡單容易上手的CI/CD工具。</p> <p>在2020年需求爆量時期，Target幾乎每2到3周，基礎架構的容量需求就會暴增一倍，而且都遠超過壓力測試的模擬規模，但是，「IT仍然可以管理這樣的擴充力，沒有為了大規模成長，忙到滿身大汗，只需按幾個按鈕，就能完成基礎架構的部署。」Target資訊長Mike McNamara這樣形容這套關鍵平臺對IT的效益。「要真正善用多雲架構，得有一套部署多雲的好方法，」他說：「對Target而言，這就是TAP，可以讓我們管理不斷擴充的能力。」</p> <p>2021年時，Target多數微服務會每周部署一次，甚至有些是每天部署新版，正式環境平均一天就會有6千次異動，平均每周需要進行3萬次更新作業。這些發布和部署，全都靠TAP的CI/CD機制自動化部署到上百萬個不同環境上的VM中，更新升級過程完全不需要關機。</p> <p>另外，為了因應線上線下的爆量需求，Target的微服務也啟用了大量副本，一款微服務，可能就得啟用數百個副本服務。Target光是在正式環境中的微服務ID總數，高達76萬個（每一隻微服務，不論正副本都會有各自獨立的ID編號），測試環境中也有16萬支微服務正在執行。</p> <p>這些都是Target擁抱微服務架構後衍生的維運複雜度。</p> <p>過去，要執行一項業務所需的相關系統服務，大約150～200個，但在2016年，Target轉換成微服務架構後，一項業務相關的微服務往往會高達2萬個（包括大量副本服務），要從中分辨出是哪一個微服務發生問題，又是另一個複雜的維運挑戰。</p> <p><strong><span style="font-size:28px;">SRE目標：事故頻率最少化、影響最小化</span></strong></p> <p>為了迎戰這些複雜性，Target在2020年導入了SRE（網站可靠性工程），花了一個月先組成SRE團隊專門，負責監控和因應所有系統和微服務的運作，第一步先開始搜集關鍵系統的Log數據，來累積長期的維運數據。</p> <p>Target基礎架構副總裁Hari Govind表示，希望透過擁抱SRE，讓Target的服務更聚焦關鍵的顧客體驗，例如商店結帳速度、線上數位流程、送貨數位化流程等。「因為各種大大小小的事故就是我們的日常，希望透過SRE來強化大規模架構的分散容錯能力。」他指出，Target SRE的目標是，減少事故發生的頻率，將事故影響最小化，在做中學，盡可能減少當機時間。就在SRE團隊累積了差不多2個月日常維運資料後，就發生了這起掃碼失效事件。</p> <p>Kathryn Blanchard指出，這次事件能夠順利解決，有兩個關鍵，一是事先搜集了系統服務端到端的詳細數據，其次是針對顧客歷程建立了服務基準參考數據。也就是說，若沒有一套持續監控的機制，事先搜集平時不同業務、各種微服務的維運log數據，累積長期資料，來建立一套服務運作數據的基準參考值，就無法知道正常結帳掃瞄商品的時間多久，更是難以判斷掃碼速度是否「變慢」，在問題擴大前採取行動。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148902
新手Target SRE首次重大事件的4個教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年3月13日這一天，如果Target SRE工程師沒有發現監控儀表板上的異常訊號，進而查出好幾家分店POS系統掃碼速度變慢，恐怕到了周末復活節檔期，Target所有線上與實體賣場都難以順利進行任何一筆結帳。「店內系統掃碼服務當機，轉移到總部機房內的備援服務接手，才出現了掃碼速度變慢的徵兆。」Target的SRE總監Kathryn Blanchard直到事發一年後，才敢在2021年自家技術研討會上，公開這起差點造成Target營運全面中斷的事故。</p> <p>Kathryn Blanchard直言，尤其當時Target也是SRE新手，第一次面對如此重大的事件，也從中學到了4個教訓，這些經驗都成為Target的SRE團隊日後要優先強化的4類能力目標。</p> <p>第一個教訓是，因為<span style="color:#B22222;"><strong>系統異動造成的問題，經常會延後發酵</strong></span>。</p> <p>像這次事故根源是系統異動導致記憶體占用問題，但是當下沒有產生影響，反而是部署一周以後，才出現在少數地方，而且不是所部署的2千家分店都同時出現災情。Kathryn Blanchard提醒，因此，調查事故原因時，特別得從歷史紀錄開始著手。</p> <p>第二個教訓是<span style="color:#B22222;"><strong>監控機制必須連同備用系統都監控，才有完整數據</strong></span>。Target導入微服務架構後，在正式環境中建立了一套混合雲的備援架構和故障轉移機制，但是，SRE一開始的監控機制，沒有涵蓋到備用系統，也就沒有在總部機房備援服務接手時，更早一步發現異常，反而是等到顧客結帳櫃檯掃碼速度變慢了，他們才發現，分店掃碼服務已經當機了。</p> <p>不過，這次應變中值得嘉許的一點是，<span style="color:#B22222;"><strong>第一時間先採取緩解對策，而不是先找出問題根源來處理</strong></span>，這也是Kathryn Blanchard學到的第三個教訓。因為SRE工程師決定先將服務退回前個一版本重新啟動，讓分店掃碼服務可以先恢復正常，所以，顧客一點都沒有察覺到系統出錯。</p> <p><span style="font-size:28px;"><strong>優先強化四大SRE能力，將SRE能力擴大到全IT團隊</strong></span></p> <p>「先緩解主要影響，再來修補，將影響顧客的時間最小化，這是Target很大的思維改變。」Kathryn Blanchard強調。而最後一項教訓就是<span style="color:#B22222;"><strong>不要浪費事故教訓的價值</strong></span>，必須從這些事件來累積和學習。後來，Target決定把SRE能力擴大推廣Target整個IT團隊，也發展出四項SRE能力和機制，不只SRE團隊，連網路團隊、儲存團隊等也能共用，也特別重視事後檢討報告的撰寫和分析。</p> <p>第一項能力是將SRE能力整合到開發生命周期管理，對正式環境也要進行程式碼管理。因為Target每一次異動，都得更新2千家分店的系統，等於得重複部署2千次，因此不能採取一次全面部署的高風險作法，尤其很多問題會在幾個禮拜後才發生。因此，Target後來採取了金絲雀部署（Canary Deployment）作法，先在少數店導入新版，搭配全面監控比較導入前後的變化，再決定是否近一步擴大導入到所有分店，這個做法也會用來比較測試環境和正式環境的差異和影響。甚至，Target金絲雀部署的範圍，還可以更細緻區分出，不同程式碼儲存庫或者針對不同使用者範圍來進行局部測試，進一步來降低和管理可能發生的影響。</p> <p>先前提到掃碼失效事故，若能先在少數店家部署，監控服務運作過程，就可以發現記憶體用量比舊版高，一旦出現異常，Target自動化機制會先將這些店家的系統，自動復原到舊版程式，「具備自動復原和標準部署能力的平行金絲雀部署，可以讓Target開發團隊放心部署。」Target運算服務總監John Engelman強調。</p> <p>除了SRE更整合開發之外，SRE自身也要建立更完善的服務級別目標（SLO）和服務水準指標（SLI），Target會考慮實體硬體、應用程式和資料這三者之間的的關係和相依性來訂定指標，並建立一個分層式的視覺化圖表，反映這些相關系統行為的運作狀態。例如顧客在結帳櫃檯掃碼行為，就是一個Target很愛用的SLI指標，利用掃描動作等待多久才發出「嗶」聲的時間作為指標。John Engelman解釋：「這是一個顧客很容易察覺的指標，也是一個很好的顧客體驗指標。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-SRE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Target考慮實體硬體、應用程式和資料這三者之間的關係和相依性來訂定指標，並建立一個分層式的視覺化圖表，來反映相關系統行為的運作狀態。</strong>圖片來源／Target</span></p> <p>Target打造了一個監測SLI指標的UNIMatrix工具，例如監控結帳櫃檯的商品掃描行為，也就是掃碼嗶的時間，甚至可以監控有多少掃描順利完成，多少次掃空重新掃碼的行為，也可以細緻到每一家店內的每一個櫃檯，不管是新款POS或是舊款，連自助式結帳機的掃碼行為都可以監控。換句話說，Target的SRE團隊，可以隨時看到全美近2千家分店，每一道結帳櫃檯的掃碼狀態，哪一道櫃檯慢了，SRE工程師都能知道。在UNIMatrix儀表板上，會立刻標記出哪一個櫃檯服務水準低於要求，用紅色色塊來提醒SRE待命人員，「一旦發現異常，SRE就能主動追蹤，不用等到顧客抱怨、分店通報後才開始採取行動。」John Engelman強調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1060-cover-2-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Target打造了一個監測SLI指標的UNIMatrix工具，哪一個櫃檯服務水準低於要求，就會出現紅色色塊提醒SRE待命人員，不用等到顧客抱怨才採取行動。</strong>圖片來源／Target</span></p> <p>為了更及時排除系統異常，Target強化的第三項SRE能力就是事件應變能力。目標是在SRE主動發現異常之後，如何快速展開應變。John Engelman指出：「要找到對的團隊，讓他們快速介入，快速行動，關鍵是要有一個流暢溝通的機制。」</p> <p>Target打造了一款事件命令列工具（Incident command tool），這是一個一站式工具，可以管理工程回應訊息，也整合待命系統，能夠讓相關人員快速追蹤關鍵訊息、事件時間、缓解路徑，也能與所有應變參與人員直接溝通，還有一個專用對話頻道，可用聊天室、打電話或直接視訊，甚至這個工具還整合了所有的維運腳本或部署腳本資料，能針對歷史資料或最新資料進行整合分析。</p> <p>最後一項SRE強化能力是要善用歷史錯誤來學習。經過3月掃碼失效事件後，Target後來改以「系統一定會出錯」的前提，來建立高可用架構，不只上線服務採取雙活（Active-Active）架構，連備份都會考慮到備份失效的再備援機制。另外在工程文化面，也大力推廣從錯誤中學習文化，不責難文化等，遇到事件時會格外重視事件回顧，撰寫驗屍報告時時，還特別講究問題分析、運用情境來描述根本原因，並且要列出可改善的關鍵處置和提前預防事故的機會點分析，SRE團隊每周二進行可靠性回顧會議，討論大量驗屍報告，每一個與會成員都可以發問。</p> <p><span style="font-size:28px;"><strong>從事故體會到專門SRE團隊真正的價值</strong></span></p> <p>到了2021年初，Target逐漸完善了這四大SRE能力的強化，也才首度對外公開，從一年前那次當時未公開事故中學到的教訓，他們第一個SRE團隊設立一年來，也繳出了漂亮的成績單，讓Target偵測到問題的時間，縮短了82%，更早一步察覺到異常，還能讓異常影響持續的時間，縮短了44%。</p> <p>「2020年那一次未公開的事故，讓Target真的體會到專門SRE團隊的價值。」這位一手催生Target SRE團隊的主管Kathryn Blanchard這樣說。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148958
管理2千座機房和多雲如何更簡化，Target靠K8s打造一站式自助AP平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去5年大力擁抱開源雲原生技術的Target，在2020年展開了轉型的威力，數位通路銷售業績全年成長了150%，也帶來龐大基礎架構的容量成長需求，爆量時期每2、3周，對基礎架構的容量需求就會暴增一倍，但對Target維運團隊來說，一點都不麻煩，只是多按幾個按鈕，就可以輕鬆擴充需要的容量，背後就是靠了一套用K8s打造的多雲管理平臺。</p> <p>Target擁有2座大型資料中心，使用了2朵公有雲，42個小型資料中心分散全美各地，更在1915家分店中，設置了微型的邊緣機房，合計要管理的大小機房將近2千個。再加上Target重要系統已經全面微服務化，商店平臺有4百隻微服務，70隻共用服務，再加上10個runtime引擎，三大關鍵平臺，分散部署在公私雲地混合環境上的百萬個ＶＭ上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-%E5%9C%961-%E8%A4%87%E9%9B%9C%E6%80%A7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target-960.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Target擁有2座大型資料中心，使用了2朵公雲，42個小型資料中心，更在1915家分店中，設置了微型的邊緣機房，合計要管理的大小機房將近2千個。</strong>圖片來源／Target</span></p> <p>「底層部署越簡單，開發團隊就越能專注在業務優先的任務上。」Target資訊長Mike McNamara強調：「要真正落實多雲架構，得有一套多雲管理工具。」TAP（Target Application Platform）就是他口中的多雲管理工具。</p> <p>過去，Target曾經歷過一段部署黑暗期。4千人的IT，不同專案團隊的工作方法差異很大，各自因應資料中心、公雲環境、分散式機房或分店邊緣主機環境，而有各自有愛用的工具，以及百百款自行定義的配置，當時要進行跨團隊除錯，幾乎是非常困難的挑戰。2015年，Mike McNamara進入Target擔任資訊長，他的任務就是要推動數位轉型，擁抱開源雲原生技術，讓Target變成善用科技的零售公司。他也開始統一IT團隊的工作方法和工具。</p> <p>為了上雲，他要求團隊打造一套通用的多雲部署工作方法，希望建立一個基礎架構的抽象化管理平臺，讓開發者減少處理底層的維運雜事，將心力聚焦在面對顧客的體驗上。這就是為何Target要自己開發TAP平臺的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-TAP%E6%9E%B6%E6%A7%8B-0%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Target.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">TAP是一套透過K8s叢集，透過簡單的自助式介面，包括了API、CLI或UI介面，提供了一站式環境，可以涵蓋開發者所需要的一切功能。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／Target</span></p> <p>TAP是一套透過K8s叢集來管理底層基礎架構和上層應用部署的重要平臺，提供了一站式環境，涵蓋開發者所需要的一切功能，透過簡單的自助式介面，包括了API、CLI或UI介面，來提供一套CI/CD整合工具，很容易將程式碼部署到不同公有雲、資料中心、邊緣主機上，也能進行自動化擴充。另外，TAP還提供了一套基礎架構的標準化設定，包括了標準配置設定，通用的機密控管作法和標準監測矩陣的設置方式。</p> <p>TAP提供的不只是共用工具，也包括了一套應用程式工程框架，可提供基礎架構部署在Target的標準做法，讓不同的基礎架構團隊來依循，包括開發團隊、儲存團隊、網通團隊和SRE團隊，都使用同一套工具和框架。</p> <p>對Target內部開發者而言，透過同樣的自助式表單來執行部署工作，填妥這隻AP所需資源，指定不同的部署環境，不用考慮不同公雲環境的配置差異，也不需學習不同的CI/CD工具，或不同平臺上各自的機密管理作法，完全不用申請部署許可，就可以上架到正式環境中執行。部署全程透過TAP來進行，也會套用公司預先訂定的標準作法和規定。</p> <p>這套TAP平臺從2018年開始啟用，2019年1月時，只用來部署和管理數千個VM，但是到了2021年，已經有超過十萬個VM透過TAP來管理。</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/news/148959
雲原生如何改變Target
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1060-feng_mian_gu_shi_1_open-960x420_kao_bei_.jpg?itok=TJNg_mKy" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2015年大舉上雲，積極擁抱開源雲原生技術，2016年全面微服務化，2018年從單雲邁向多雲混合雲。4千名IT，維運2千座大小機房，靠K8s管理10萬個VM叢集，2020年新設SRE團隊，隨時監控76萬支微服務，支援1.7億名顧客線上線下消費體驗。從30套大型單體應用，到全面雲原生架構，Target足足走了5年多</p> </div></div></div>
2022/1/20 07:00作者王宏仁https://www.ithome.com.tw/article/148960
美國FTC與司法部準備嚴加管控非法併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FTC）及司法部（DoJ）周二（1/18）宣布，準備改革併購指南，以期能更確切地預防違反市場競爭的各種合併交易，即日起到3月21日止開放公眾提供意見。</p> <p>FTC與司法部為美國兩大反壟斷的執行單位，從美國總統拜登（Joe Biden）上臺，到指派反壟斷專家Lina Khan擔任FTC主席，便已突顯出拜登政府有意管制境內的反壟斷行為。<a href="https://www.ithome.com.tw/news/146746" target="_blank">FTC於去年9月正式展開行動</a>，著手檢驗美國五大科技業者在過去10年來未提報的併購交易，發現業者利用法規漏洞來逃避反壟斷檢查，<a href="https://www.ftc.gov/news-events/press-releases/2021/09/federal-trade-commission-withdraws-vertical-merger-guidelines" target="_blank">同一天FTC也投票撤銷</a>了2020年實施的垂直併購指南。</p> <p>雖然FTC與司法部對於是否撤銷現行的垂直併購指南並不同調，但雙方皆同意必須訂定更現代化的併購指南。</p> <p><a href="https://www.ftc.gov/news-events/press-releases/2022/01/ftc-and-justice-department-seek-to-strengthen-enforcement-against-illegal-mergers" target="_blank">FTC表示</a>，近來的跡象顯示，許多產業都變得愈來愈集中且競爭愈來愈少，這將危及消費者、工作者、創業家及小型企業的選擇與經濟收益，有鑑於2021年的併購案數量是2020年的兩倍，代表此一現象只會持續或更加惡劣，必須採取行動以改革併購指南。</p> <p>競爭為經濟成功的關鍵，因為它確保消費者及員工有更多的選擇，且當企業面臨競爭時，通常可激勵它們創新、改善產品，或提供更低的價格，而併購則會減少消費者、工作者或其它企業的選擇，使得它們不得不愈來愈仰賴更大型的企業，或是必須屈服大型企業的交易條款。</p> <p><a href="https://www.justice.gov/opa/speech/assistant-attorney-general-jonathan-kanter-delivers-remarks-modernizing-merger-guidelines" target="_blank">司法部則說明</a>，1914年通過的反壟斷法案Clayton Act明文禁止那些可能會大幅減少競爭，或造成壟斷的併購活動，然而，在執法時通常僅著重前者，而忽略了後者。</p> <p>此外，目前的併購指南聚焦於橫向與垂直領域的併購分析，不過，這樣的視野太狹隘，經常有許多交易無法被歸類，而且這些指南誇大了垂直分析的潛在效益，卻無法辨識它們可能造成的重大傷害。</p> <p>司法部指出，與20年前相較，現代的企業以截然不同的方式進行合作、競爭或投資，數位經濟改變了各個產業，企業與市場之間的相互關係愈趨複雜，當查看天氣預報時，不管使用者是否意識到，在短短的數秒內可能已經與十多種不同的服務產生互動；現代的供應鏈不再只是簡單地上、下游關係，而是以複雜且不斷發展的方式相互連結。</p> <p>為了建立現代化的併購指南，FTC與司法部鼓勵不同利益團體提供意見，並於審查及整理後發布併購指南的更新草案，並預計於今年完成指南的修訂。</p> </div></div></div>
2022/1/19 19:59作者陳曉莉https://www.ithome.com.tw/news/148974
臺北市政府啟用大數據中心，強化城市的數據治理決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年臺北市政府成立大數據中心團隊，匯整各方數據進行分析，提供市府在防疫、交通決策上的參考，今天(1/19)臺北市大數據中心正式啟用，象徵臺北市加強城市的數據治理。</p> <p>臺北市政府在2020年底以各局處首長，同時邀請業界的專家，成立資料治理委員會，資料治理委員會主要負責規畫市府資料的蒐集、運用，以及個資保護。2021年初北市資訊局成立一支大數據分析團隊，名為臺北市大數據中心，與各局處、運營中心合作，匯整各項數據，作為市府決策的輔助參考。</p> <p>這支大數據分析團隊為任務編組性質，去年首次在資訊局一間小會議室，以小螢幕對外展示北市數據的分析運用，而今天開始啟用的臺北大數據中心，則位於市府地下一樓，佔地近200坪空間，未來將作為大數據中心團隊、資訊局底下數據治理中心的辦公場所。</p> <p><strong>新啟用的大數據中心內辦公環境：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04695-1.jpg" style="width: 600px; height: 399px;" /></p> <p>臺北大數據中心內還設置一間可容納20至30人的大型會議室，利用大型橫向投影布幕，用以顯示數據分析應用，這間大型會議室也成為大數據中心和各局處合作，針對特定市政議題的數據研析討論場所。</p> <p><strong>大型會議空間內，搭配巨型橫幅投影幕，顯示北市大數據分析應用、城市儀表板：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04693-1.jpg" style="width: 600px; height: 399px;" /></p> <p>臺北市資訊局長呂新科表示，臺北市在城市的數位轉型上有兩大主軸，科技驅動及資料驅動，科技驅動從2016年成立智慧城市辦公室以來，結合Living Lab概念，和民間業在實驗場域測試創新應用，各項創新的背後伴隨而來的數據蒐整、運用議題，衍生出數據治理、個資保護的議題，為強化北市的數據治理，先後成立府級的資料治理委員會，還有臺北大數據中心，透過多層次的資料治理架構，推動城市的數據治理被實現。</p> <p>呂新科指出，大數據中心蒐整的資料，在市府2700多項開放資料的基礎之上，還匯整市府各局處的業務資料、市府底下各個專業的運管中心（IOC）資料，以及分散在城市各地的物聯網平臺資料，在資料治理委員會把關、大數據中心執行，這些資料經過去識別化、清洗、正規化後，匯流到大數據的資料池，大數據中心團隊再根據資料敏感度、性質，針對特定市政議題作深度分析、整合運用。</p> <p>其中深度分析是將資料的地理空間與時間推移套疊，產生新的視野，作為市府決策參考；而整合運用則是以統合儀表板方式，將所有模塊進行儀表板的整合，以快速整合、快速反映，支援城市運行的決策。呂新科表示，透過這樣的方式，讓臺北市朝向循證式，以資料為治理依據的城市。</p> <p><span style="color:#B22222;"><strong>大數據深度分析、城市儀表板的資料整合應用</strong></span></p> <p>經過近一年的運作，目前大數據中心已有幾個深度分析的案例，例如為了解決計程車空車在路上繞行產生空污、交通的問題，大數據中心和北市交通局合作，運用計程車、叫車業者提供的數據進行深度分析，如民眾乘車的起迄點、時間，研析如何優化計程車招呼站。另一項則是運用電信信令的人口流向數據，結合捷運、交通的車流數據，分析民眾通勤行為，提供相關單位根據民眾通勤的決策建議。</p> <p>在資料的整合應用方面，大數據中心整合觀傳局、衛生局、市立聯合醫院的資料，將原本人工蒐集的資料，予以數位化、視覺化，建立北市防疫儀表板，提供市府防疫決策參考。</p> <p>另外，大數據中心也建立跨領域資料整合的城市運行儀表板，城市運行儀表板以視覺化的方式，在臺北市的虛擬地圖上呈現多元的資料，主要供市府內部不同局處主管使用，讓主管可根據自身局處業務需要，勾選想要取得的資料組件，例如交通、社會安全，客製化的城市運行儀表板內容。北市的城市運行儀表板可支援筆電、手機或是平板電腦瀏覽，以方便市府主管瀏覽。</p> <p><strong>臺北市長柯文哲（右）與副市長黃珊珊（左）在視覺化的臺北市虛擬地圖檢視城市資料（圖片來源：資訊局）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2022_1_19_220119_21-1.jpg" style="width: 600px; height: 450px;" /></p> <p>城市運行儀表板現在已有應用實例，例如北市舉行跨年晚會，結合電信信令數據，掌握活動地點的周邊人流聚集、交通情形；另一項則是在視覺化的地圖上，結合臺北市各行政區的老舊房屋資料，以及消防局救援困難點資料，作為北市整體都市更新規畫參考，同時還整合社會住宅建案資料，讓市府能夠掌握各地的社宅建設進度。</p> <p>除了市府內部運用，大數據中心也計畫未來推出網站，以儀表板展示可公開的城市資訊內容，開放一般民眾上網瀏覽。</p> </div></div></div>
2022/1/19 18:13作者蘇文彬https://www.ithome.com.tw/news/148973
【資安日報】2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對關鍵基礎設施（CI）而來的攻擊行動，過往駭客鎖定的對象，不少是石油公司、發電廠、水利設施等能源業者。但在今天的資安新聞中，俄國APT28、北韓Konni等駭客組織針對的是再生能源相關業者，其中，也有臺灣的政府機關受到影響。</p> <p>在許多的應用系統和雲端服務中，雙因素驗證（2FA）被視為保護使用者帳號的重要機制，我們很可能認為有了相關機制就萬無一失，大型雲端服務所導入的驗證流程理應也相當可靠，但其實不盡然。在今天的資安新聞裡，就有知名的雲端檔案共享服務出現相關漏洞，此外，也有生物辨識系統可被繞過的情況。</p> <p>而除了各式的攻擊行動和漏洞揭露，歐美的執法單位為我們帶來今年的第一個好消息，但與過往有所不同的是，這次他們是針對駭客用來匿蹤的VPN服務，封鎖相關的伺服器，而非特定的惡意軟體基礎設施架構。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/cyber-espionage-campaign-targets-renewable-energy-companies/"><span style="color: rgb(0, 0, 0);"><strong>針對可再生能源公司、環境保護組織的網釣攻擊，臺灣也有政府機關遭到鎖定</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/mailbox_kit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mailbox_kit.png" style="width: 300px; float: right;" /></a>環保意識高漲，加上近年來能源短缺，再生能源的生產、研發也備受關注，但這些組織如今也成為駭客的攻擊目標。資安研究員William Thomas揭露一起從2019年出現的網路釣魚攻擊行動，攻擊者鎖定至少15個組織下手，使用Mail Box工具包發動攻擊。這些組織的主要共通點為與再生能源相關，如施耐德電機、Honeywell、碳揭露專案（CDP）等，值得留意的是，臺灣行政院農業委員會林業試驗所也是駭客的攻擊目標。而對於攻擊者的身分，其中有部分攻擊行動是由俄國駭客組織APT28、北韓駭客組織Konni發起。</p> <h4><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/"><span style="color: rgb(0, 0, 0);"><strong>北京冬季奧運App存在資安風險，資料傳輸安全性不足，言論審查功能也惹議</strong></span></a></h4> <p>近期2022北京冬季奧運即將在2月4日登場，主辦方為了防疫需求，要求參賽運動員及團隊、觀眾與媒體，需安裝My2022（冬奧通）的App，以記錄個人健康狀況，但加拿大公民實驗室（Citizen Lab）在1月18日發布研究報告中，顯示該App服務有兩大爭議，一是資料傳輸安全性不足，可遭中間人攻擊，另一是App具備允許舉報他人政治敏感言論的功能，並已建立2,400多個審查關鍵字詞清單，國外與會者顯然有隱私侵犯問題。研究人員在去年12月3日通報主辦單位，至今未獲回應因此公開研究結果。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/earth-lusca-sophisticated-infrastructure-varied-tools-and-techni.html"><span style="color: rgb(0, 0, 0);"><strong>Winnti附屬組織鎖定政府機關與加密貨幣公司發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/earth-lusca-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-lusca-1.png" style="width: 300px; float: right;" /></a>大多APT組織的攻擊行動，目標通常相當單一，但也有駭客組織的攻擊領域甚廣。趨勢科技揭露名為Earth Lusca的中國駭客組織，並指出該組織使用網路釣魚、水坑式攻擊、應用系統的漏洞，鎖定政府單位、教育機構、宗教組織，以及香港的人權組織、武漢肺炎研究機構等。Earth Lusca疑似是Winnti旗下的附屬組織，攻擊目標多半是對於中國政府具有戰略意義的組織。</p> <h4><a href="https://www.infosecurity-magazine.com/news/kids-young-nine-launched-ddos/"><span style="color: rgb(0, 0, 0);"><strong>網路犯罪年齡大幅下降，9歲兒童就能發動DDoS攻擊</strong></span></a></h4> <p>英國國家犯罪調查局（NCA）指出，在武漢肺炎疫情大爆發之後，他們發現不少學生會發動網路攻擊，其中年紀最小的只有9歲，這名學生發動了分散式阻斷服務（DDoS）攻擊。根據該單位旗下的網路犯罪部門NCCU統計，從2019年至2020年，警方阻止學生從事網路犯罪的案件增加了107%。對此，近日NCA與Schools Broadband聯手，針對在學校電腦上搜尋網路攻擊有關用語的學生，向他們顯示Cyber Choices網頁以進行勸導。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/researchers-bypass-sms-based-multi.html"><span style="color: rgb(0, 0, 0);"><strong>檔案共享服務Box的簡訊多因素驗證可被繞過</strong></span></a></h4> <p>透過手機簡訊作為雙因素驗證（2FA），而被繞過的情況不時被發現。資安業者Varonis指出，他們發現檔案共享服務Box的身分驗證漏洞，使得攻擊者可在用戶啟用簡訊雙因素驗證的情況下，透過自己向Box以驗證碼產生器取得、具有時效性的一次性驗證碼（TOTP），通過受害者Box帳號的雙因素驗證流程。這項漏洞在研究人員通報後，Box於2021年11月2日予以修補。</p> <h4><a href="https://www.ptsecurity.com/ww-en/about/news/positive-technologies-uncovers-vulnerability-in-idemia-biometric-identification-devices-that-can-unlock-doors-and-turnstiles/"><span style="color: rgb(0, 0, 0);"><strong>Idemia生物特徵辨識系統存在漏洞，攻擊者可發送特定命令開門</strong></span></a></h4> <p>透過生物辨識來驗證身分的方式，也可能因為其他資安實作瑕疵而被繞過。資安業者Positive Technologies發現，多款Idemia的生物特徵辨識系統裡，存在一項CVSS風險層級為9.1分的重大漏洞VU-2021-004，在用戶沒有啟用TLS加密通訊協定的情況下，攻擊者能藉由發送特定的命令，而無須身分驗證就能開啟由這種辨識系統所保護的門鎖。對此，Idemia也規畫在日後推出的新版韌體中，強制啟用TLS來防堵漏洞。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/zoho-plugs-another-critical-security-hole-in-desktop-central/"><span style="color: rgb(0, 0, 0);"><strong>Zoho裝置管理平臺驚傳漏洞，攻擊者可用來上傳任意ZIP檔案</strong></span></a></h4> <p>Zoho近日針對旗下裝置管理平臺ManageEngine Desktop Central，修補重大身分驗證繞過漏洞CVE-2021-44757，並指出一旦攻擊者利用，可在未經授權的情況下讀取該系統的資料，或是上傳任意ZIP到Desktop Central伺服器。該公司呼籲用戶應儘速安裝10.1.2137.9版修補上述漏洞。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/europol-shuts-down-vpn-service-used-by-ransomware-groups/"><span style="color: rgb(0, 0, 0);"><strong>歐美執法單位聯手，破壞網路罪犯用於藏匿行蹤的VPN基礎設施</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg" style="width: 150px; float: right;" /></a>不只針對是罪犯組織，近期執法單位也對於提供相關工具的業者採取行動。歐洲刑警組織（Europol）於1月18日宣布，在德國漢諾威警察局中央刑事辦公室帶領之下，德國、荷蘭、加拿大等10個國家的執法單位聯手，查封提供網路罪犯VPN服務業者VPNLab的15臺伺服器。烏克蘭警方指出，在德國至少有150起勒索軟體攻擊行動的攻擊者，使用這項VPN服務，而造成6千萬歐元損失。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/19 15:28作者周峻佑https://www.ithome.com.tw/news/148963
第一屆後量子密碼論壇登場，2022是因應量子破密關鍵之年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，量子電腦運算技術進入蓬勃發展的階段，其運算特性除了可讓化學反應模擬能有更好的實現，但也使得現有的公鑰密碼系統受到挑戰，而這樣的擔憂如今已成真實威脅，因為近期傳出中國駭客打算收集已加密的高價值資料，等到量子電腦發展突破，就能立即解開他們取得的加密內容，為了抵禦這樣的衝擊，後量子密碼學（Post-Quantum Cryptography，PQC）的發展、標準化，以及如何普及，均受到資安界的熱烈關注。</p> <p>為了讓關心這議題的人士了解PQC的最新狀態，在1月14日，首次舉辦第一屆後量子密碼論壇，現場不只邀集國內密碼學領域專家，就連多位國外的知名密碼學專家學者，也在此公開發表實體與線上演說，他們呼籲各界應充分體認發展PQC的必要性，對於公鑰密碼系統屆時勢必面臨更換的局勢，臺灣應及早做好準備。</p> <p>這場活動原本應該更早舉行，但因為臺灣去年5月爆發疫情而延至今年1月，在近期國際疫情又竄起情形之下，後量子密碼論壇的召開也面臨挑戰，但所幸仍能以實體形式舉辦，相當難得。</p> <p>在臺灣第一次舉辦的後量子密碼論壇，最終吸引了上百位人士參與，雖然活動已經落幕，但隨著與會者對於相關知識有了更深入的了解，也充份體認其重要性之後，相信PQC的發展與推動，未來可以獲得國內更多產業與政府機構的支持。</p> <h3><strong>國內外密碼學專家齊聚一堂，深入淺出解析PQC關鍵</strong></h3> <p>為了讓不同領域的與會者了解後量子密碼的必要性與發展現況，論壇主辦單位在第一場演講中，就準備了入門的內容。身為密碼學家、硬體安全產業人士，也是臺大數學系兼任助理教授的陳君明，他是後量子密碼論壇的主要發起人，並擔任首場演講者，他以淺顯易懂的方式話說從頭，介紹現行加解密的基本原理，以及量子運算、量子破密的影響，希望幫助大家理解基本的PQC觀念與議題，他也呼籲國內各界，現在就應該開始準備相關因應的事宜。</p> <p>這是因為，美國國家標準技術研究院（NIST）自2016年舉辦的PQC密碼標準競賽，已邁向尾聲，在2022年1月，就會有第三輪的結果出爐，針對公開金鑰系統與數位簽章項目這兩大領域，預計公布各自的一位決勝者，也就是標準獲勝者，而後續的第四輪，還將選出其他也能成為標準的另一決勝者。長期來看，關於後量子時代的密碼標準，應該會在2024年之前制定完成，屆時，政府組織與企業都將面臨標準演算法的轉換，以及硬體設備與中介軟體的升級。</p> <p>在本次論壇當中，有多位參與PQC密碼標準競賽的國內外專家發表演說，包括：楊柏因、周彤，以及這兩年留在臺灣進行研究的Daniel J. Bernstein，以及Tanja Lange，他們都針對入選NIST PQC競賽第三輪的金鑰交換與數位簽章，提出說明。</p> <p>儘管他們的演講內容涉及演算法與數學的應用方式，對許多與會者而言，仍無法徹底理解，但難得的是，國人有機會可以目睹這些世界級大學者的風采，親自聽聞他們講解這些研究內容的最新發展，讓國內各界對於資訊安全中最核心的密碼學，且是後量子密碼學領域的最新研究動向，能有最近距離的了解與接觸。</p> <p>為了讓大眾對PQC議題能有廣泛認識，本次論壇也安排中研院資科所專家鐘楷閔，解析量子電腦的發展現況，並希望大家可以正確想像量子電腦的能力；中研院資創中心的專家陳君朋，則從物理面說明旁通道攻擊的威脅，同樣也是PQC會面臨的風險，全球現在至少也有50篇相關論文，他的論文也是其中之一；以及匯智安全科技總經理鄭嘉信，從密碼金鑰管理的產業實務，說明NIST SP 800-57與硬體安全的重要性，以及加密週期Cryptoperiod的影響，並點出轉換到PQC的挑戰。</p> <p>在論壇的最後，也舉行了專家座談，列席的學者與資安業者也彼此交流，提出看法與見解，暢談臺灣頂尖學者參與標準制定、臺灣企業因應新標準的準備工作，以及金融業因應之道等議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>NIST PQC競賽結果將在今年1月公布，對於之前已入選第三輪的金鑰交換與數位簽章，在第一屆量子密碼論壇現場，相當難得，有多位參與競賽的國內外密碼學專家針對這些最新研究內容一一做出闡釋，讓國人能近距離目睹這些世界級大師的演說。圖為Daniel J. Bernstein針對網格密碼學（Lattice-based cryptography）的NTRU、NTRU Prime、SABER、Kyber與Frodo進行說明。</p> </blockquote> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88NEW%E4%B8%BB%E5%9C%96%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87s_%E6%94%9D%E5%BD%B1iThome.JPG" style="width: 600px;" /></h3> <blockquote><p>在第一屆後量子密碼論壇的座談會上，由iThome資安主筆黃彥棻擔任主持人，與陳君明、鄭嘉信、Tanja Lange、Daniel J. Bernstein、楊柏因（由右至左）等多位國內外頂尖密碼學家與硬體安全產業人士，共同探討企業如何因應PQC。</p> </blockquote> <h3><strong>公鑰密碼系統應用非常普遍，更換工程浩大</strong></h3> <p>為了讓外界快速了解公鑰密碼系統即將面臨的危機，在後量子密碼論壇上，陳君明以簡單扼要的方式，解釋PQC的基礎知識，而這方面的內容，其實對於不具學術背景大眾而言，也能輕易理解。</p> <p>簡單來說，以量子破密威脅而言，隨著量子計算出現，以及Shor’s演算法與Grover’s演算法的提出之下，現有的對稱式與非對稱式加密系統，都將受到影響。</p> <p>不過，對稱式加密系統（如AES、DES、Triple DES等加密演算法）受到的影響較小；包含金鑰交換與數位簽章用途的非對稱式加密系統（如RSA、ECC等），受到影響則非常之大，也就是說，現今普遍的公鑰密碼系統，將受嚴重衝擊。</p> <p>這是因為，現有基於質因數分解計算難題的RSA，以及基於離散對數、橢圓離散對數問題的DHKE、DSA、ECDSA等ECC，量子電腦可於多項式時間破解問題。</p> <p>陳君明以現今熱門的加密貨幣應用，說明量子破密的影響性。他表示，現在所有的加密貨幣的交易過程，都是採用橢圓曲線數位簽章演算法（ECDSA）來確保交易安全。事實上，現今公鑰密碼系統的使用已是非常普遍，像是日常上網使用的HTTPS協定，以TLS進行加密，背後的連線階段金鑰（Session Key）的交換演算法，也會使用公鑰密碼系統。</p> <p>而現在關注的後量子密碼學，它是現代密碼學的新領域，專門研究可抵抗量子電腦攻擊的公鑰密碼系統，以取代未來會變得不安全的RSA、ECC等演算法。而上述提到NIST自2016年開始舉辦PQC競賽，也就是因應這樣的趨勢，要選出新一代公鑰密碼系統的標準。</p> <h3><strong>轉換PQC需及早準備，美國摩根大通銀行已提出發展藍圖</strong></h3> <p>近年量子電腦技術雖迭有突破，但實際運算能力還非常小，像是Google在2019年製作的量子電腦，只能處理「53位元的量子資訊」，也就是53個0或1，但為何現在我們就要準備因應？</p> <p>陳君明指出，除了需要關注量子電腦的發展，何時厲害到可以威脅現在的密碼系統，同時，也要考量保密期限或產品生命週期年限，以及新公鑰密碼系統的普及時間。</p> <p>根據量子計算研究所共同創辦人Michele Mosca在2015年的預測，在2026年，量子電腦的發展狀態，可破解現在的公鑰密碼系統機率，約有七分之一；而到了2031年，破解機率將變成二分之一。陳君明表示，美國NIST先前曾大幅引用這樣的預測，雖然現在的說法已經不同，但還是重要參考。</p> <p>特別的是，Michele Mosca還提出了因應時程的理論。他指出，如果X（維護資料安全的時間長度或產品生命週期），加上Y（後量子密碼標準化並且廣泛採用所需時間），大於 Z（量子電腦真正厲害到可以破解公鑰密碼系統的時間），我們就需要擔心量子破密的風險。</p> <p>畢竟，資料加密的保護期限可能只剩6年、15年或25年，再加上全面更換特定密碼系統需花很長的時間，可能長達10年。因此，及早做好準備相當重要。換言之，若是量子電腦真的會在2031年成熟，現在我們就已經需要開始準備。</p> <p>而且，去年就傳言有國家級情報單位大量儲存密文，等到量子電腦成熟，即可大規模破解，若真的如此，各界對於這些已被有心人士刻意儲存的密文，可說是毫無挽救的機會。因此，包括美國與歐洲政府已經開始鼓吹，他們呼籲對於敏感性特別高的資料，要用PQC來保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>PQC轉換不能等標準制定完成才開始！<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">臺大數學系兼任助理教授陳君明表示，之前</span>量子計算研究所共同創辦人Michele Mosca曾提出量子破密威脅因應時程的定律，簡而言之，我們除了關注量子電腦真正厲害到可破解公鑰密碼系統的時間（z），應考慮維護資料安全的時間（y），以及PQC標準與採用所需時間（x），一旦x+y>z，就代表必須立即發展PQC。</p> </blockquote> <p>面對這樣機密性無法繼續確保的局面，全球可以如何做？陳君明提到，美國NIST除了已籌組舉行PQC標準競賽的團隊，旗下國家網路安全卓越中心（NCCoE）也有相應的計畫，幫助各界從現有的公鑰密碼系統，轉換到未來的公鑰密碼系統。因此，那裡會有國內企業組織可參考的資源，而NCCoE也曾在2021年4月發布白皮書，說明轉換到PQC的挑戰。</p> <p>從企業的應用需求來看，近年已有國際金融業者開始準備。例如，美國摩根大通銀行（JPMorgan Chase）兩年前就針對PQC轉換提出發展藍圖，並列出需要進行的工作。</p> <p>基本上，企業一開始先要對內部資料盤點，識別出敏感度高的資料，還要進行供應商技術評估、供應商PQC藍圖調查，而這些工作都是要在2024年PQC標準制定完成之前，就先開始進行的。為何先從上述方式著手？這是因為，全面轉換密碼系統相當困難，因此需要先識別風險，之後就可以先轉換最重要的部分，再依照重要性的順序逐步更換。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）第一屆PQC論壇.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AC%AC%E4%B8%80%E5%B1%86PQC%E8%AB%96%E5%A3%87.jpg" style="width: 600px;" /></a></p> <blockquote><p>由於量子電腦發展已成定局，量子破密隨之而來，新一代公鑰密碼系統轉換到後量子密碼（PQC），已成為政府、企業關注焦點，臺大數學系兼任助理教授陳君明指出，例如，美國JPMorgan集團在兩年前，就已規畫出PQC轉換的藍圖，在 2024年新標準提出之前，他們預計做好高風險資料盤點、評估供應商PQC路線圖等預先準備工作。</p> </blockquote> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>因應量子破密的兩種方法</strong></span></h2> <p>基本上，對於量子破密威脅，全球很早就在關注，如今已發展出兩條因應路線。</p> <p>第一種，是利用量子力學特性的量子密鑰分發（Quantum Key Distribution，QKD），使通訊雙方產生並分享隨機且安全的密鑰，用於訊息加解密。二種則是基於數學的後量子密碼學，也就是PQC，支持這個路線的研究團隊，要發展出無法被量子電腦有效解決的計算難題，成為取代RSA、ECC的新一代公鑰密碼系統。</p> <p>在此兩者中，近期PQC倍受矚目。主要是因為美國國家安全局（NSA）表態支持。事實上，低調的NSA在2020年10月突然發表專文，指出QKD技術應用仍有5種限制，包括身分驗證仍需使用非對稱密碼學，以及架構成本過高等，因此現階段將聚焦於PQC的發展。</p> <p>另一個因素是美國NIST舉辦的PQC密碼標準競賽，歷經5年制定，即將邁向尾聲，標準即將定案。陳君明透露，在2022年1月，就會有第三輪的結果出爐，因此，未來兩年時間，後量子時代的密碼標準就要制定完成，屆時，政府組織與企業都將面臨標準演算法的轉換，以及硬體設備與中介軟體的升級。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>NIST PQC競賽結果今年1月會有初步結果，SPHINCS+有機會成為黑馬</strong></span></h2> <p>對於目前NIST PQC標準競賽的現況，陳君明說明，目前共有7個勝部候選，以及8個敗部候選，這些使用的演算法，背後的數學問題，都是無法被量子電腦破解的，使用的基礎包括：編碼密碼學（Code-based cryptography）、網格密碼學（Lattice-based cryptography）、多變量密碼學（Multivariate cryptography）、雜湊密碼學（Hash-based cryptography）。</p> <p>目前為止，他們看好很有可能被選為標準的，主要是公開金鑰系統項目的Classic McEliece，以及數位簽章項目的SPHINCS+。</p> <p>後者雖然是敗部候選者，但由於勝部三個候選者，最近都被發現問題，因此，NIST會考慮安全性，再考慮效能來選出最終標準。例如Rainbow被發現有攻擊可以降低其安全性，而Dilithium與Falcom則是屬於Lattice密碼學，這類密碼學是基於特別的數學結構，但最近被發現有安全性的疑慮。</p> </div></div></div>
2022/1/19 13:18作者羅正漢https://www.ithome.com.tw/news/148957
Zoom客戶端被發現存在零點擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero揭露<a href="https://googleprojectzero.blogspot.com/2022/01/zooming-in-on-zero-click-exploits.html">視訊會議平臺Zoom，存在零點擊（Zero-Click）漏洞</a>，也就是說在沒有用戶參與的情況下，攻擊者就能夠利用漏洞接管裝置，甚至是破壞Zoom伺服器。Zoom這次被發現的兩個漏洞，分別是客戶端和多媒體路由（MMR）伺服器緩衝區溢位，還有MMR伺服器的資訊洩漏，這兩個漏洞在2021年11月24日，均已被官方修復。</p> <p>Zoom是一個視訊會議平臺，在COVID-19大流行期間廣受歡迎，而這次是由Project Zero研究人員Natalie Silvanovich，對Zoom進行零點擊攻擊分析。Natalie Silvanovich過去在許多通訊平臺，包括Messenger、Signal、FaceTime、iMessage和Duo等，發現過零點擊漏洞和各種臭蟲。</p> <p>Natalie Silvanovich提到，過去他認為針對Zoom的攻擊都需要用戶多次點擊介面，不像是其他視訊會議系統，由一方用戶撥打電話，其他用戶必須立即接受或拒絕，Zoom使用者需要提前安排會議，並透過電子郵件邀請，因此較沒有零點擊攻擊的疑慮。</p> <p>不過最近駭客競賽Pwn2Own揭露了對Windows Zoom客戶端的零點擊攻擊，已經證實Zoom的確具備完全遠端攻擊面，因此Natalie Silvanovich便對Zoom客戶端軟體，進行了詳細的分析，而果真發現了兩個漏洞。</p> <p>Zoom客戶端提供Zoom聯絡人功能，當使用者雙方互成為聯絡人，便可以啟用會議以外的通訊功能，要成為Zoom聯絡人，用戶雙方都必須要明確同意，在之後，就能開始互傳文字訊息，甚至是以類似電話的方式，撥打給其他用戶，讓其他用戶可以透過單擊介面，立刻進行對話。Natalie Silvanovich提到，這些要素代表了Zoom的確具有零點擊攻擊面。</p> <p>不過此攻擊面僅適用於已經說服目標，接受他們成為聯絡人的攻擊者，因為只有Zoom聯絡人才能一鍵加入會議，其他使用者仍需要多次點擊才能進入會議。但Natalie Silvanovich也提到，即便需要多次點擊，說服目標加入Zoom通話其實也不難，尤其是有些組織使用Zoom的方式，可能導致一些特別的攻擊場景。</p> <p>像是許多社群會舉辦公開的Zoom會議，Zoom提供付費網路研討會功能，因此一大群不知名的與會者，可以加入單向視訊會議，攻擊者就可能加入公開會議，並鎖定其他與會者。Zoom還仰賴伺服器來傳輸音訊和視訊串流，並且預設關閉端到端加密，攻擊者可能會破壞Zoom伺服器，並獲取會議資料的存取權限。</p> <p>在這兩個漏洞中，最令Natalie Silvanovich擔憂的是MMR伺服器漏洞，因為該伺服器處理會議音訊和視訊內容，因此攻擊者有能力監控任何未啟用端到端加密的MMR伺服器會議。Natalie Silvanovich表示，雖然他尚未成功利用這些漏洞，但根據目前的調查，他相信只要進行足夠的研究，攻擊者就能夠進一步利用。</p> <p>Natalie Silvanovich還發現MMR程序缺少位址空間組態隨機載入（ASLR）安全技術，而這大幅增加攻擊者破壞的可能性，他表示，整體而言，在Zoom中所發現的臭蟲，和Project Zero在其他視訊會議平臺找到的相去不遠，但伺服器的錯誤令人驚訝，而且還缺少ASLR和允許非端到端操作模式。</p> <p>Natalie Silvanovich在研究Zoom的安全性時，遭遇到了一些障礙，因為Zoom是閉源軟體，不像使用開源軟體的視訊會議平臺容易被檢視，他在研究過程支付了約1,500美元的授權費用，並且因為Zoom使用許多專有的格式和介面，因此研究起來格外花時間，Natalie Silvanovich認為，這些他遭遇到的障礙，可能也代表著Zoom沒有獲得足夠的調查，或許會存在一些簡單但未被發現的錯誤。</p> </div></div></div>
2022/1/19 16:28作者李建興https://www.ithome.com.tw/news/148964
MedTech醫療科技月報第5期：美國最大醫療機構導入公雲API工具，要加速數位醫療應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1216～0115)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">美國退伍軍人事務部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API管理平臺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全美最大醫療機構導入公雲API工具，加速數位醫療服務開發</strong></span></p> <p>美國最大醫療照護機構——美國退伍軍人事務部（VA）1月宣布斥資1,300萬美元，導入Google雲端API管理平臺，來推動更多數位醫療服務的開發。在美國，VA服務了1,900萬名退伍軍人及其家屬，也負責管理全美170家醫學中心和1,000家門診診所，資料整合與服務開發一直是重要領域。</p> <p>在與Google雲端的專案中，VA將採用Google的API管理平臺Apigee，來延伸VA原本的Lighthouse API計畫，讓開發者可以無縫、安全地存取VA的各種API，來開發新工具或新服務。比如，開發者可透過Apigee來使用VA的社福API打造一套應用程式，幫助退伍軍人申請政府福利、追踪結果。又或是，開發者可輕易存取VA的健康API，來開發線上工具，讓退伍軍人根據自己的電子病歷，來管理健康狀態。VA這次要部署的公雲工具，也都符合FHIR國際醫療資料交換標準和美國醫療資安法規HIPAA。<a href="https://www.googlecloudpresscorner.com/2022-01-12-U-S-Department-of-Veterans-Affairs-Partners-with-Google-Cloud-to-Improve-Veteran-Access-to-Benefits-and-Services">（詳全文）</a></p> <p><img alt="" src="https://www.gstatic.com/bricks/image/9e9345060df6752036f80ff26ee9850a2cd5aa8510967e6192d722de5eabf06f.svg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱瑟醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 市集 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國最大連鎖醫院加入資料互通聯盟，要打造醫療解決方案市集</strong></span></p> <p>凱瑟醫院（Kaiser Permanente）最近加入Graphite Health醫療資料互通聯盟，成為第4位成員，要共同推動美國醫療資料互通性、加速醫療數位轉型腳步，並打造醫療解決方案市集。凱瑟醫院是美國最大的連鎖醫院，營運35家醫院、700多間診所，會員數達1,200萬，近日加入由大型醫療機構發起的非營利組織Graphite Health，來與其他3家醫療機構推動醫療資料互通性。他們的現階段目標，是要打造一款標準化、資料能互通的醫療App市集，來讓醫療機構使用，提供更現代化的使用者體驗。<a href="https://about.kaiserpermanente.org/our-story/news/announcements/accelerating-health-cares-digital-transformation">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療科學園區 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 沙崙 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全臺第一座醫療創新園區將於沙崙啟動！</strong></span></p> <p>行政院在2021年最後一日，核定成大沙崙醫療服務與創新園區先導計畫，允許成大於臺南沙崙成立醫院和醫療服務創新園區，成為全臺第一個以醫療創新服務和生醫產業為主的科學園區。</p> <p>臺南市長黃偉哲表示，沙崙新設醫院後，能提高新豐區的醫療量能達160%，將每萬人平均的13.68床增加至35.65床，還能擴大周邊區域影響。成大校長蘇慧貞指出，該醫院最快於2022年下半年動工，成大附醫院長沈孟儒指出，除了在沙崙設立醫院，未來還會管理衛福部託付的南臺灣兒童醫療中心，以及因應COVID-19疫情而生的臺灣新南向衛生訓練中心，來協助國際流行病研究和遠距醫療等。</p> <p>這項沙崙醫療創新園區計畫，是成大與臺南市政府共同規畫的「沙崙智慧綠能科學城2.0計畫」之一，其他還包括資安、交通、產業園區和營運辦公室等專案，像是去年12月啟用的沙崙資安與智慧科技大樓。<a href="https://www.tainan.gov.tw/News_Content.aspx?n=13371&s=7864106#">（詳全文）</a></p> <p><img alt="" src="https://www.tainan.gov.tw/News_Content.aspx?n=13371&s=7864106#lg=1&slide=0" /><img alt="" src="https://w3fs.tainan.gov.tw/001/Upload/139/relpic/18321/7864106/[email protected]" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 胸腔X光 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肺癌 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保系統將導入成大胸腔X光AI，要當肺癌快篩揪出病灶</strong></span></p> <p>健保署委託成大團隊開發一套肺癌快篩AI模型，預計今年上半年導入健保系統。署長李伯璋指出，這套胸腔X光片輔助判讀AI能準確揪出肺癌病灶（即肺結節），導入健保署系統後，各醫院可將胸腔影像上傳至健保平臺，再由AI模型判讀，並將判讀結果即時回傳給醫師評估。</p> <p>這套AI模型由成大醫院健康數據資源中心執行長蔣榮先帶領團隊開發，訓練資料來自美國國衛院、日本放射學會、越南VBD以及臺灣健保資料庫，可揪出肺尖、肺門、心臟、橫隔膜後方和血管密集處等較難發現的結節，甚至過去專家難以發現的案例，AI也能清楚標示病灶位置。該模型敏感度達81％，判讀水準已如資深醫師。</p> <p>蔣榮先指出，成大醫院計畫將該系統導入偏鄉行動醫療車，預計在今年第一季啟用，先於嘉義縣偏鄉上路。有了AI輔助系統，就不必如過往般等待數周才能得到判讀結果，而是當下就能得到警示，讓醫師及早介入治療。<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=A4CBA0D7ECC10D67">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 泰國 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 華為 </span></strong></span></p> <p><span style="font-size:22px;"><strong>泰國聯手華為打造東協最大5G醫院</strong></span></p> <p>泰國電信主管機關國家廣播及電信委員會辦公室、泰國Siriraj醫院以及華為聯手推動Siriraj 5G醫院計畫，要成為東協最大的5G醫院。該計畫目標是要利用5G、雲端、AI來提供就醫民眾更有效的服務。目前，泰國Siriraj已與華為試做5G醫療手提箱、醫療車、智慧病床等，華為指出，Siriraj醫院也與華為成立5G創新實驗室，來孵育30多個5G醫療應用專案，要在2022年推廣到全泰國。<a href="https://www.huawei.com/en/news/2021/12/smart-hospital-thailand-5g-siriraj">（詳全文）</a></p> <p><img alt="" src="https://www-file.huawei.com/-/media/corporate/images/news4/2021/q4/211216-2.jpg?la=en" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 愛心鏡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 心房顫動 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺大醫院推心律不整App，在家就能自己測</strong></span></p> <p>臺大醫院日前推出心律不整偵測App：愛心鏡，民眾在家就能自行檢測是否心律不整，及早就醫。進一步來說，心律不整最常見的起因是心房顫動，一些患者會出現頭暈、心悸和胸悶等症狀，有些患者也可能毫無症狀。隨著年紀增長，心房顫動的機率也越大，也會增加中風、心臟衰竭和死亡風險。但因早期心房顫動是間歇性發生，到醫院通常得進行長時間的連續心電圖檢測，或植入心電圖記錄器才能確認。</p> <p>為了能更方便地及早發現，臺大醫院找來敦捷光電，利用手機鏡頭和光體積變化描述圖法（PPG），開發出愛心鏡App，透過手機鏡頭和特殊演算法，就能讓民眾自行用手機檢測是否發生心房顫動，且準確率與心電圖相當。民眾也可在App輸入真實資料，系統後臺可視情況聯絡患者至臺大醫院體系醫院，來即早就醫。這款App，也獲得衛福部食藥署許可。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=-1&q_itemCode=10647&agroup=a">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/xkk7d8jUZus?controls=0" title="YouTube video player" width="560px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧病歷平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總委外華碩打造醫療AI，首先瞄準智慧病歷平臺</strong></span></p> <p>臺北榮總日前與華碩電腦簽署MOU，要打造更多醫療AI系統，目前也已規畫開發智慧病歷平臺，來讓就醫流程更順暢。進一步來說，臺北榮總每日平均就診人次為9.000人，單一診次甚至能高達上百人，病人有時因緊張或年紀大，未能清楚描述狀況，進而影響看診體驗。為解決問題，北榮副院長高壽延表示，北榮計畫打造這款智慧病歷平臺，讓就診民眾事前透過App，先以文字或語音輸入來填答相關病況問題，再自動上傳至雲端系統，醫師看診時就能快速了解病人狀況，減少溝通障礙。當醫師診斷時，還能以語音輸入自動產出醫囑，只需再確認即可，大幅優化就醫流程和體驗。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=9055&gcode=A01">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嬌生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位手術 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>嬌生要藉雲服務強化數位手術生態</strong></span></p> <p>嬌生旗下醫療設備供應商JJMDC近日採購雲端服務，要來強化數位手術生態系，像是優化工作流程、加強手術決策系統、提高病人體驗等。他們找上微軟，要藉其多種雲平臺和機器學習技術，像是Azure、Microsoft 365、Dynamics 365等來改善現有系統，比如，JJMDC可用Azure IoT和邊緣運算服務，來提高設備連結性，或利用資料分析工具來改善病人病況，又或者採用Azure服務來提高數位手術系統的創新。<a href="https://news.microsoft.com/transform/johnson-johnson-medical-devices-companies-reimagining-the-patient-journey-in-a-digital-era/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/382/2022/01/MD-Video-Man-On-Tablet-1536x864.jpg" /></p> <p>圖片來源／Google雲端、臺南市政府、華為、敦捷光電、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 行政院會修正生技醫藥產業發展條例，新列數位醫療、精準醫療和再生醫療</strong></p> <p><strong>2. 雙和醫院新院長上任新目標，將力推生醫園區智慧醫療發展</strong></p> <p><strong>3. Avalanche發布可加速AI模型訓練的低程式碼工具hAIsten AI</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/19 15:05作者王若樸https://www.ithome.com.tw/news/148962
開源組織Open Invention Network擴大對Linux的專利授權保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2022/01/18/2368123/0/en/Open-Invention-Network-Expands-its-Patent-Non-Aggression-Coverage.html" target="_blank">開源組織Open Invention Network（OIN）本周宣布</a>再擴大對Linux實施的專利保護內容，新增300多項軟體元件，使在Linux平臺使用這些軟體的用戶不用擔心被告。</p> <p>OIN是由Google、IBM/Red Hat、NEC、Sony、豐田及飛利浦出資支持，會員公司有2,650家，旨在由交互授權以提供Linux專案專利保護，以免遭到侵權告訴。<a href="https://www.ithome.com.tw/news/126366" target="_blank">微軟也在2018年加入OIN</a>。OIN不斷擴充具專利授權保護的軟體元件及函式庫。這次更新Linux系統定義，是OIN成立15年來第9次擴充保護。</p> <p>OIN執行長Keith Bergelt指出，這次更新是因應主要軟體平臺和專案的擴大，也加入硬體設計及嵌入式應用需要的軟體套件。Linux系統的定義更新使OIN得以隨開源碼創新而與時俱進。他表示OIN也將持續加入軟體套件，來保護開源碼生態系。</p> <p>這次新增的軟體套件著重在.Net、AI/ML、嵌入式系統函式庫及容器管理等類別。詳細名單包括.Net、ONNX、tvm、Prometheus、Helm、Notary、Istio、Nix、OpenEmbedded、CoreOS、uClibc-ng、mbed-tls、musl、SPDX、AGL Services、OVN、FuseSoc、Verilator、Flutter、Jasmine、Weex、NodeRED、 Eclipse Paho、Californium、Cyclone和Wakaama等337項，使受保護的套件來到3,730項。</p> </div></div></div>
2022/1/19 15:50作者林妍溱https://www.ithome.com.tw/news/148965
全球10國聯手關閉受駭客青睞的VPN服務VPNLab.net
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織Europol於18日宣布，已與全球10個國家的執法機關合作，聯手扣押及破壞了專門支援網路犯罪活動的VPN服務VPNLab.net，以打擊駭客企圖隱藏足跡的意圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-vpn%20la%20net%20europol-600.jpg" style="width: 600px;" /></p> <p>這起行動是由德國漢諾威警局的中央刑事辦公室主導，基於歐洲對抗犯罪威脅多學科平臺（European Multidisciplinary Platform Against Criminal Threats，EMPACT）專案，藉由打擊駭客的資訊系統來對抗網路犯罪。參與此一行動的國家除了德國之外，還包括荷蘭、加拿大、捷克、法國、匈牙利、拉脫維亞、烏克蘭、英國及美國，並由Europol協調召開逾60次的會議，並提供分析與鑑識支援。</p> <p>VPNLab.net成立於2008年，主要提供奠基於OpenVPN技術的VPN服務，具備2048位元的加密能力，年費為60美元，可替任何人藏匿在網路上的蹤跡。為了強化其隱匿能力，該服務還在不同的國家設置伺服器，提供Double VPN服務，因而成為駭客的熱門選擇。</p> <p>根據調查，駭客利用VPNLab.net服務來散布惡意程式，包括建立勒索軟體活動的基礎設施與通訊架構，或是實際部署勒索軟體，且VPNLab.net還在暗網推廣自家服務。調查也發現有超過100家的企業為駭客攻擊的潛在對象。</p> <p>各國執法機關總計扣押了15臺專門代管VPNLab.net服務的伺服器，迫使VPNLab.net關閉服務。</p> </div></div></div>
2022/1/19 16:10作者陳曉莉https://www.ithome.com.tw/news/148966
AT&T、Verizon三度延後美部份機場周邊C頻段5G部署，拜登政府稱許
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在航空業持續阻撓下，兩大電信龍頭AT&T、Verizon在啟動C頻段的5G服務前夕，同意再次延後美國部份機場周邊的服務，讓美國總統拜登發文稱許。</p> <p>AT&T、Verizon周二分別發出聲明，表示同意延後美國部份機場跑道附近的5G基地臺啟動服務。這是兩家電信業者在航空業巨頭的強力反對下，又一次同意延後服務。</p> <p>AT&T表示，在慎重考慮下，公司同意暫時推遲特定機場跑道基地臺的特定服務，以便持續和和航空業及美國聯邦航空總署（Federal Aviation Agency，FAA）合作，提供5G部署的進一步資訊。Verizon則稱除了特定基地臺暫時延遲外，將依計畫啟動5G服務。</p> <p>不過兩家公司並未說明有多少基地臺或哪些機場的5G服務會延後，以及延後到何時。</p> <p>以AT&T、Verizon為主的陣營、所主導的3.7GHz C頻段5G服務引起航空業強力反對。包括空中巴士、波音、FedEx等航空業者等反對派認為，3.7GHz的無線電訊號會干擾飛機電達高度計，特別是在接近地面時，這將影響飛安，並造成航班延遲、繞道或取消。</p> <p>兩家電信公司去年11月延後開通C頻段的5G服務到2022年1月5日，並承諾將美國46座機場及其他重要地點附近的基地臺功率降低6個月。航空業及電信業雖然宣稱要研議解決方案，但顯然航空業並無意改變，且持續拉攏美國運輸部長及白宮向電信業施壓。今年1月4日，<a href="https://www.ithome.com.tw/news/148708" target="_blank">兩家電信業者再次同意將開通時間推遲到1月19日</a>。</p> <p>兩公司對美國政府強力阻止感到不滿，表示全球近40國已實際證明5G服務的安全性，也對FAA的無能感到挫折。</p> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/01/18/statement-by-president-biden-on-5g-agreement/" target="_blank">美國總統拜登周三也發出聲明</a>，對兩電信業者的決定表達感謝，表示這項決定可避免對民航、貨運及經濟復甦造成可能的重大災害，且允許90%以上無線基地臺按時程部署。拜登表示行政部門將持續和電信、航空業及飛航設備製造業者合作，以規畫可在主要機場使5G服務和飛安共存的可行解決方案。</p> <p><a href="https://www.cnbc.com/2022/01/18/5g-deployment-delays-at-airports-on-cancellation-threats.html" target="_blank">CNBC報導</a>，阿聯酋航空及日本航空之前表示，基於可能的訊號干擾，兩公司會取消部分美國航班。</p> </div></div></div>
2022/1/19 14:59作者林妍溱https://www.ithome.com.tw/news/148961
北京冬奧App遭批安全不足、檢肅內容，奧委會駁斥
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年冬奧即將在2月4日到20日於北京舉行，但<a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank">一項加拿大研究顯示</a>北京冬奧專用App有多項安全隱私問題，還內建言論審查技術。不過國際奧委會駁斥這項研究發現。</p> <p>多倫多大學公共事務學院下的公民實驗室（Citizen's Lab）針對北京冬奧開發的My2022 App的資料安全及隱私進行研究，並由<a href="https://www.dw.com/en/dw-exclusive-cybersecurity-flaws-leave-olympians-at-risk-with-beijing-2022-app/a-60449271" target="_blank">德國之聲（DW）</a>首先引述報導。研究人員指稱這款App資料傳輸安全性不足，蒐集許多資料卻也分享給許多單位，還有一個關鍵字詞審查清單。</p> <p class="rtecenter"><a href="http://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-%E5%86%AC%E5%A5%A7APP-600-1.jpg" style="width: 600px;" /></a></p> <p>My2022由中國國營北京金融控股集團所有，具多項功能，首先是COVID-19相關的健康監控。今年冬奧期間時值全球COVID-19風暴再起，北京當局為疫情管控，要求所有國內外選手及與會者在抵達北京前14天以前需下載My2022 App，每日以App回報健康狀況，也蒐集疫苗接種紀錄、以及COVID-19病毒檢測結果等。此外這個App還提供觀光導覽、GPS導航，以及各項設施服務的使用把關等。</p> <p>根據My2022公開資訊，除了健康狀態，它會蒐集大量個人資料。針對外國使用者，這款App蒐集用戶人口學屬性（性別、年齡等）、護照資訊（發照日及到期日等）。此外它還會蒐集裝置識別碼、電信服務商並分享給該裝置業者，如華為、Oppo、Vivo，並且額外蒐集裝置上App資訊分享給騰訊、微博、地圖業者高德（AutoNavi）、語音辨識業者科大訊飛（iFlytek），理由是協助用戶使用它們提供的服務。</p> <p>但研究人員發現My2022並未說明會將用戶健康紀錄分享給誰。另一方面，它又說明會在（且不僅只於）涉及國家安全、公衛事件及犯罪調查等情況下，不經用戶同意揭露個人資訊。</p> <p>除了資訊隱私之外，加拿大研究人員另外也發現My2022的安全問題。例如北京冬奧伺服器，如tmail.beijing2022.cn部分內容傳輸連線未以SSL加密。另一些伺服器，如health.customsapp.com、my2022.beijing2022.cn等雖然採取SSL傳輸，但並未驗證SSL憑證，這可能讓攻擊者發動中間人攻擊，冒充合法網站以攔截用戶輸入的資訊，或是從惡意主機傳送假造內容到App。研究人員也發現數個和北京冬奧的伺服器SSL連線可能曝險。</p> <p>另一方面，My2022還可能扮演言論審查者的角色。研究人員發現My2022提供了舉報他人的政治敏感言論的功能。此外，Android版My2022包含一個「illegalwords.txt」檔，內有2400多個審查關鍵字詞，大部份是簡體中文，少部份為繁體中文、藏文及維吾爾語。字詞類別涵括罵人三字經、色情、非法物質（如製作爆裂物的成份），以及大量政治敏感用語，法輪功、天安門（如「捌玖陸肆紀念」）、習近平等。但研究人員表示這些關鍵詞並未用於實際的言論過濾。</p> <p>研究人員相信，蒐集敏感資訊卻防護不足的My2022，已違反了Google Play及蘋果App Store審查規範，</p> <p>研究人員於去年年底完成調查後，於12月3日將報告發現分享給了北京冬奧及帕奧主辦單位。截至45日後的1月18日未獲得回應，於是向媒體公布研究發現。</p> <p><a href="https://www.dw.com/en/ioc-reacts-to-cybersecurity-concern-over-beijing-my-2022-phone-app/a-60466680" target="_blank">國際奧委會（International Olympic Games，IOC）昨日對媒體反駁這項指控</a>，表示My2022是防範COVID-19的重要工具，其功能首要任務是支持健康監控。</p> <p>在對<a href="https://www.zdnet.com/article/ioc-disputes-citizen-lab-assessment-of-security-concerns-around-chinese-olympics-app/" target="_blank">ZDNet</a>的聲明中，IOC也強調，為了防疫，My2022 App必須採取特別措施以確保冬奧及帕奧與會者、以及中國民眾的安全。IOC並指這款App都已經通過Google Play Store及蘋果App Store的審查。</p> </div></div></div>
2022/1/19 11:20作者林妍溱https://www.ithome.com.tw/news/148953
微軟準備以687億美元買下遊戲業者視動暴雪，將成微軟史上最大併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2022/01/18/microsoft-to-acquire-activision-blizzard-to-bring-the-joy-and-community-of-gaming-to-everyone-across-every-device/" target="_blank">微軟周二（1/18）宣布</a>，將以每股95美元的現金、總價約687億美元的金額，買下歐美最大的遊戲業者動視暴雪（Activision Blizzard），預計於2023財年（2022年7月至2023年6月）完成交易，若交易順利，它將成為微軟史上最大的併購案，加速橫跨行動、PC、遊戲機及雲端等微軟遊戲業務的成長，並成為元宇宙（Metaverse）的建置區塊。</p> <p>成立於2008年的動視暴雪為歐美最大的遊戲業者，旗下擁有5個業務單位，包括動視發行（Activision Publishing）、暴雪娛樂（Blizzard Entertainment）、King、Major League Gaming與動視暴雪影業（Activision Blizzard Studios），曾發行的知名遊戲包括《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）與《Candy Crush Saga》等。</p> <p>根據遊戲產業分析機構<a href="https://newzoo.com/insights/rankings/top-25-companies-game-revenues/" target="_blank">Newzoo去年第二季的統計</a>，動視暴雪的遊戲營收為全球第七大，落後騰訊、Sony、蘋果、微軟、Google及網易。微軟則說，買下動視暴雪將讓該公司成為全球遊戲營收第三大的企業，僅次於騰訊及Sony。</p> <p>消息曝光後，動視暴雪的股價大漲了25.88%，以82.31美元作收，創下641億美元的市值。不過，微軟表示，687億美元的併購金額，也包含了動視暴雪所握有的淨現金。</p> <p>在併購案完成以前，仍由Bobby Kotick擔任動視暴雪執行長，而為了迎接動視暴雪的到來，微軟已指派現今負責Xbox及微軟遊戲業務的Phil Spencer擔任Microsoft Gaming執行長，且即日起生效，將於併購結束後主管動視暴雪的業務。</p> <p>其實微軟自1975年成立以來，一直對遊戲領域很感興趣，光是<a href="https://en.wikipedia.org/wiki/List_of_mergers_and_acquisitions_by_Microsoft" target="_blank">檯面上與遊戲相關的併購案就接近30家</a>，自2018年迄今，加上動視暴雪的併購數量為10家。此外，687億美元的併購金額更刷新了微軟有史以來的併購紀錄，先前的紀錄為2016年12月以262億美元買下LinkedIn。</p> <p><a href="https://news.microsoft.com/2022/01/18/satya-nadella-email-to-employees-bringing-the-joy-and-community-of-gaming-to-everyone/" target="_blank">微軟執行長Satya Nadella指出</a>，遊戲一直是微軟的關鍵業務，也是成長最快也最大的娛樂形態，隨著數位與實體世界即將合而為一，遊戲勢必會在各種元宇宙的平臺上扮演重要的角色。此外，微軟也強調，行動為目前遊戲領域最大的類別，全球的遊戲玩家中，接近95%都會在行動裝置上執行遊戲。</p> <p>市場則分析，微軟買下動視暴雪定會受到美國聯邦交易委員會（FTC）的反托拉斯關切，推測微軟可能會以其Xbox業務仍小於Sony Playstation，以及以行動裝置為主的遊戲業務仍有諸如蘋果及Google等競爭對手為由來抗辯。</p> </div></div></div>
2022/1/19 11:35作者陳曉莉https://www.ithome.com.tw/news/148954