iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Rust修補可被刪除檔案及目錄的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2022/01/20/cve-2022-21658.html" target="_blank">知名程式語言Rust上周修補</a>了一個允許駭客逕自刪除檔案與目錄的安全漏洞CVE-2022-21658，建議所有用戶升級到Rust 1.58.1，特別是那些預期所開發的程式可於特權環境中執行，或是其它高風險的開發者。</p> <p>該安全漏洞存在於std::fs::remove_dir_all函式中，可能造成Race Condition Enabling Link Following缺陷。此一缺陷意味著程式在存取文件或目錄之前先檢查了它們的狀態，因而產生了競爭條件，讓駭客得以在程式存取之前以連結來取代該文件，最後存取到錯誤的文件。</p> <p>Rust解釋，想像一名駭客擁有存取系統的非特權權限，並企圖刪除一個需要特權才能執行的系統目錄sensitive/，倘若std::fs::remove_dir_all可跟隨符號連結，駭客將能找到一個可移除temp/目錄的特權程式，再建立sensitive/與temp/foo之間的符號連結，並等待特權程式刪除foo/。由於特權程式可跟隨temp/foo到sensitive/之間的連結，使得sensitive/也隨之被刪除。</p> <p>事實上，std::fs::remove_dir_all針對上述現象也部署了保護機制，但因沒有妥善地實施檢查，依舊形成了競爭條件，駭客只要建立一個目錄，並在檢查與實際刪除之間的空檔以符號連結取代它，就能展開攻擊。</p> <p>此一漏洞波及Rust 1.0.0至Rust 1.58.0，Rust呼籲開發者應儘速升級到Rust 1.58.1，此外，有鑑於macOS 10.10以前的版本或REDOX等系統，缺乏可用來緩解相關攻擊的APIs，就算工具鏈已修補也依然存在風險。</p> </div></div></div>
2022/1/25 18:22作者陳曉莉https://www.ithome.com.tw/news/149063
微軟發布用於K8s的Azure AD工作負載身分識別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對外開源一個稱為<a href="https://cloudblogs.microsoft.com/opensource/2022/01/18/announcing-azure-active-directory-azure-ad-workload-identity-for-kubernetes/">Azure AD工作負載身分識別（Workload Identity）</a>的專案，這個專案可讓開發人員，使用Kubernetes原語以及Azure AD中的資源和身分識別，與Pod相關聯，也就是說透過這個專案，開發者可以使用服務帳戶和聯合（Federation）原生Kubernetes的概念，在不需要機密的情況下，存取受Azure AD保護的資源，諸如Azure和Microsoft Graph。</p> <p>目前使用Azure AD Pod身分識別專案也能滿足這一個需求，但是Azure AD工作負載身分識別方法更容易使用和部署，而且克服了Azure AD Pod身分識別中的限制。官方提到，過去的方法存在規模和效能問題，而新的方法效能更好，更能應用在大規模場景中，而且支援託管在任意雲端的Kubernetes叢集，還可用於Linux和Windows工作負載，方法較簡單，能避免叢集角色分配等複雜且容易出錯的安裝步驟。</p> <p>Azure AD工作負載身分識別的運作方式，是讓Kubernetes叢集成為令牌發行者，向Kubernetes服務帳戶發行令牌，這些令牌可以配置在Azure AD應用程式上，使其能夠被信任，接著使用Azure Identity SDK或是MSAL（Microsoft Authentication Library）交換這些令牌為Azure AD存取令牌。</p> <p>適用Kubernetes的Azure AD工作負載身分識別聯合功能，目前僅支援Azure AD應用程式，微軟打算要擴展相同的模型至Azure受控身分識別。微軟提到，在接下來幾個月，他們計畫逐漸將Azure AD Pod身分識別替換成Azure AD工作負載身分識別，會提供用戶以最少的變更，進行搬遷的方法。</p> </div></div></div>
2022/1/25 18:53作者李建興https://www.ithome.com.tw/news/149060
【資安日報】2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到許多企業採用的CentOS作業系統，其中有一款便於管理者以圖形介面來遠端管理伺服器的軟體Control Web Panel（CWP），傳出存在可被串連利用的2個漏洞，而引起關注。</p> <p>而在過往的勒索軟體攻擊中，LockBit 2.0在加密受害電腦後，<a href="https://www.ithome.com.tw/news/146421">以置換桌布的方式，明目張膽向受害者徵求能存取企業的入侵管道</a>。但這樣意圖收買企業員工的做法，如今變得更加肆無忌憚。最近有研究報告指出，在美國的大型企業裡，有6成5的受訪企業表示，有駭客向他們的員工招手，而且是直接透過電子郵件、電話、社群網站聯繫，研究人員認為，這樣的情況可能會日益猖狂。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></h4> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/investigating-apt36-or-earth-karkaddans-attack-chain-and-malware.html"><span style="color: rgb(0, 0, 0);"><strong>駭客組織APT36運用安卓木馬程式，鎖定印度軍事與外交單位下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_Earth Karkaddan APT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_Earth%20Karkaddan%20APT.png" style="width: 300px; float: right;" /></a>駭客組織發動針對性的APT攻擊，也開始盯上使用者的手機下手。例如，鎖定印度軍事與外交單位的駭客組織APT36（亦稱Earth Karkaddan、Operation C-Major、Mythic Leopard），趨勢科技發現該組織於2021年底，開始針對安卓手機用戶，使用網路釣魚手法，來散布RAT木馬程式CapraRAT。一旦使用者依照指示安裝APK檔案，這個木馬程式可開啟相機，並存取麥克風、地理位置資料、通話記錄等資料，還能執行其他安裝程式。研究人員呼籲使用者，要從可信賴的來源取得應用程式。</p> <h4><a href="https://www.tovima.gr/2022/01/21/international/greek-parliament-authorities-probe-hacking-of-60-email-accounts/"><span style="color: rgb(0, 0, 0);"><strong>希臘議會60個電子郵件帳號遭駭，緊急關閉郵件伺服器</strong></span></a></h4> <p>國家議會遭到網路攻擊的情況，又再添一樁。根據希臘新聞網站To BHMA的報導，該國議會約於1月20日中午，偵測到外部IP位址在企圖存取議會的電子郵件帳號，為了保護使用者，該單位隨即停止網路郵件信箱的運作，並通報主管機關。根據消息人士指出，駭客成功入侵約60個電子郵件帳號，這些帳號是國會議員、議會員工，以及記者所擁有。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/android-malware-brata-wipes-your-device-after-stealing-data/"><span style="color: rgb(0, 0, 0);"><strong>安卓惡意軟體Brata鎖定網路銀行用戶，並在竊密後重置手機</strong></span></a></h4> <p>使用手機網路銀行的用戶要注意了！針對安卓手機而來的竊密軟體，不只鎖定多個國家的銀行用戶，發展至今更出現了會清理作案現場的功能。資安業者Cleafy發現，安卓惡意軟體Brata近期針對英國、中國、拉丁美洲等地區而來，駭客為各家網路銀行的用戶製作多種版本的Brata，並加入數項新功能，其中最值得留意的，是能夠在攻擊行動失敗，或是偵測到在沙箱環境的情況，將感染的安卓裝置恢復原廠預設狀態，以清除相關跡證。</p> <h4><a href="https://threatpost.com/donald-trump-packer-malware-infostealers/177887/"><span style="color: rgb(0, 0, 0);"><strong>駭客透過加殼軟體鎖定足球迷，散布多種竊密木馬</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1 .png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20.png" style="width: 300px; float: right;" /></a>為了在受害電腦投放惡意軟體，駭客使用了看似無害的下載器（Downloader）、加殼工具（Packer），將惡意軟體下載到這些電腦裡。例如，資安業者Proofpoint指出，他們約自2021年3月，發現駭客以冒牌的利物浦（Liverpool）足球俱樂部網站，吸引用戶下載名為DTPacker的加殼工具，目的是要在受害電腦植入Agent Telsa、Ave Maria、AsyncRAT等竊密工具。研究人員指出，DTPacker在第2階的攻擊模組，需要透過密碼解密才能執行，駭客先後使用了Trump2020、Trump2026作為密碼。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></h4> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></h4> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/attackers-now-actively-targeting-critical-sonicwall-rce-bug/"><span style="color: rgb(0, 0, 0);">可被未經授權人士存取SonicWall的VPN系統漏洞，已遭到利用</span></a></strong></h4> <p>甫修補不到2個月的重大漏洞，已有攻擊者躍躍欲試的跡象。SonicWall於2021年12月，針對旗下的VPN產品Secure Mobile Access（SMA）修補CVE-2021-20038，一旦攻擊者利用這項漏洞，可透過nobody的帳號執行程式碼，該漏洞沒有安裝修補程式以外的緩解措施。但資安業者NCC Group於1月25日指出，有駭客鎖定尚未修補的SMA 100系列設備，最近幾天利用密碼潑灑的方式進行攻擊，他們呼籲用戶要儘速安裝修補程式。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/25 16:33作者周峻佑https://www.ithome.com.tw/news/149061
GovTech月報第3期：國發會3月將提臺灣淨零碳排路徑圖，疫情指揮中心開放國內使用數位健康證明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0101~0125)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國發會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 淨零碳排 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 發展路徑 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>國發會3月將提出臺灣淨零碳排路徑圖</strong></span></p> <p>迎合國際上節能減碳的趨勢，國發會近期預告今年工作目標，其中短期目標方面，包括擬定整體經濟目標、穩定物價、完成第4期前瞻預算審議、地方創生、國際鏈接，而中長期目標為解決人口及人力問題、淨零碳排。</p> <p>為達成淨零碳排的中長期目標，國發會在短期目標將有相關的做法，主委龔明鑫表示，今年審議第4期前瞻預算，將調整審議主軸，納入淨零碳排作為考慮，審議各項公共建設計畫預算時，傾向支持採用淨零碳排的工法。</p> <p>另外，今年3月將會提出臺灣淨零碳排路徑圖，揭示我國達成淨雲碳排的規畫路徑，同時也預告了4項政策方向，分別是在2030年之前，讓節能、綠能、減碳最大化；其次是推動運具及製造的電動化；以及是投入氫能、CCUS碳捕捉技術研發及國際合作；最後是對企業影響較大的，配合歐盟碳關稅制度，國內將透過修改溫室氣體減量管理法，徵收碳費以基金鼓勵減碳技術研發及推廣電動化。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位健康證明 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>中央流行疫情指揮中心開放國內使用數位新冠病毒健康證明</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0120-%E4%BC%91%E9%96%92%E5%A0%B4%E6%89%80%E5%87%BA%E7%A4%BA%E6%8E%A5%E7%A8%AE%E8%AD%89%E6%98%8E-1(1).jpg" style="width: 600px; height: 425px;" /></p> <p>因應國內COVID-19疫情加遽，為讓國內地方政府、各場所容易識別民眾疫苗接種是否足夠、個人身體健康情形，中央流行疫情指揮中心近期更新數位新冠病毒數位證明簽發平臺，開放國內民眾申請數位健康證明，指揮中心要求除出入醫院、長照機構，需查驗疫苗接種卡（小黃卡）或數位健康證明，出入八大行業的部分娛樂場所也需查驗。</p> <p>民眾現在可至衛福部網站的簽發平臺，通過身分驗證後線上申請數位新冠病毒數位證明，可供申請的數位證明有兩種：疫苗接種數位證明、檢測結果數位證明，可儲存在手機、平板電腦，或是將數位證明列印出來，當前往需要查驗的場所時，即可出示數位證明上的QR Code供查驗，查驗結果分為綠、黃、紅三種顏色，綠色代表查驗疫苗接種、病毒檢測、康復證明通過，黃色代表不確定，紅色代表查驗不通過，如疫苗接種劑數不足、病毒檢測過期等等。</p> <p>指揮中心強調，民眾出入需要查驗的場所，可選擇使用紙本的小黃卡、數位健康證明，或是健保快易通App供查驗。另外，數位健康證明平臺也開放API讓其他具有實名制功能的App介接，讓第三方App也能成為數位健康證明的載具。</p> <p>中央開放數位新冠病毒健康證明後，據了解，新北市為確保校園健康環境，計畫對進出校園的不特人士，要求查驗小黃卡或健康證明，臺北市也準備研擬擴大查驗場所，初期以公有市場及公共場所為主。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MareNostrum5 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>歐盟擬以1.5億歐元打造新超級電腦，可望成為全球第2</strong></span></p> <p>全球超級電腦競爭激烈，歐洲高效能運算協會（Euro HPC JU）近期公開一份招標文件，將採購pre-exascale運算等級超級電腦，這座暫時命名為MareNostrum5的超級電腦，根據招標文件的說明，MareNostrum5至少205Petaflops，並將採用潔淨能源及熱能再而用技術。以2021年11月全球500大超級電腦排名，可望擠下2、3名，僅次於目前全球排名第1位的富士通超級電腦富岳（Fugaku）。</p> <p>未來新的超級電腦將座落於西班牙巴塞隆納的超級運算中心，用於醫藥研發、疫苗開發、病毒擴散模擬，以及AI、大數據分析，同時也會支援傳統HPC應用，例如氣候模擬、工程、材料科學等科學研究用途。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 桃園市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>桃園市政府導入國際公有雲業者的混合雲架構</strong></span></p> <p>桃園市政府近期開始導入混合雲架構，與國際公有雲業者合作採用混合式超融合基礎架構改造機房，未來國際公有雲若落地臺灣後，可連到來國際公有雲，藉此打造現代化的資料倉儲，集中各機關的資料，打造市政儀表板。</p> <p>為推動智慧城市，桃園市政府近年來部署空氣盒子、智慧路燈，或是部署感測器，以偵測道路積水情形，隨著IoT物聯網裝置的大量部署，蒐集大量封市物聯網資料、應用分析變得更為重要，因此桃園市政府期望導入混合雲架構，透過標準化的蒐集整合各方資料，建立資料倉儲，分析數據打造市政儀表板，並開放部分市政資料供民眾使用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大數據中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>臺北市正式啟用大數據中心</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM.jpg" style="width: 600px; height: 450px;" /></p> <p>隨著智慧城市發展，為提升市政效率需要蒐集、分析大量數據，臺北市去年悄悄建立一支大數據分析團隊，針對市政議題需求進行大數據分析、應用，今年1月臺北市政府正式啟用臺北大數據中心，該中心結合臺北市資訊局的數據治理中心團隊，並有一個大型會議室，搭配大型橫幅投影幕，呈現北市數據整合及深度分析結果，供大數據中心團隊和北市府局處合作，進行市政議題的深度數據分析。</p> <p>臺北大數據中心有兩大任務，針對特定市政議題進行深度數據分析，以及綜整跨領域市政資料打造城市運行儀表板。經過一年左右的運作，現已有部分數據分析應用成果，例如在深度數據分析方面，大數據中心和交通局合作，依據民眾叫車、搭乘計程車起迄點及時間，進行數據分析提供計程車招呼點的優化建議。</p> <p>大數據中心也匯整跨領域資料，以整合即時城市運行資訊，打造城市運行儀表板，例如整合確診者資料、防疫旅館數、聯合醫院病床數、北市公共場所人流的疫情儀表板；或是在視覺化的地圖中，整合老舊建築、消防、社會住宅等資料的都市發展相關儀表板。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">美國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國稅局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉部辨識 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>美國國稅局擬要求線上服務使用者需進行人臉辨識</strong></span></p> <p>政府服務走向線上，為確保使用者的身分安全，美國國稅局（Internal Revenue Service, IRS ）準備在今年夏天開始採用一套新做法，要求IRS入口網站的使用者必需建立ID.me帳號，IRS宣稱新措施將讓既有用戶有一新的體驗，今年夏天將不再需要使用IRS的帳號及密碼，取而代之的是使用ID.me帳號。</p> <p>為了建立ID.me帳號，IRS的使用者需要上傳文件資料，例如駕照或護照資料，同時利用電腦或手機上傳一段自拍影片。IRS表示，用戶建立ID.me帳號後，不只能使用IRS的服務，也能使用整合ID.me的其他美國政府機關服務。</p> <p>成立於2010年的ID.me專門提供電商平臺用戶的網路身分認證服務，IRS將與ID.me合作，未來IRS入口網採用ID.me帳號，以讓使用者產生、瀏覽支付紀錄，存取用戶的稅務紀錄。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臺南市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 儀表板 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>臺南市再現確診者足跡，市府重啟COVID-19儀表板</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DASHBOARD.jpg" style="width: 600px; height: 410px;" /></p> <p>臺南市政府去年5月推出臺南COVID-19儀表板，讓市民能快速瞭解臺南市的確診案例、臺南地區確診者足跡、境外確診數，隨著去年疫情稍緩，市府暫時關閉儀表板，由於近期因國內疫情再次升溫，各縣市臺南市相隔4個月再次出現確診者及相關足跡，市府重新啟用臺南COVID-19疫情儀表板，對外公開確診者足跡，以及市府相關的防疫資訊。</p> <p>目前透過該儀表板，民眾可觀察確診案例在臺南的足跡，進一步點擊該足跡點，可以看到確診者在該足跡停留的時間及使用的交通工具，讓相近時間到過該地點的民眾提高警覺。臺南市政府表示，市府團隊持續更新足跡，讓市民藉此對疫情最新發展保持高度警戒。</p> <p> </p> <p>圖片來源／衛福部、臺北市政府、臺南市政府</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1. 臺北市南港、內湖3路段靠智慧車柱自動時段性禁停違規停車</strong></p> <p><strong>2. 美國FCC以142億美元推動低收入家庭連網計畫</strong></p> <p><strong>3. 新北市擴大科技執法，淡水地區採用AI攝影機抓違停</strong></p> <p>資料來源：iThome整理，2022年1月</p> <p> </p> </div></div></div>
2022/1/25 17:57作者蘇文彬https://www.ithome.com.tw/news/149062
俄羅斯封鎖Tor網路，Tor提出上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管俄羅斯通訊、資訊及大眾媒體的Roskomnadzor，在去年12月封鎖了Tor洋蔥網路專案，本周專門保護使用者數位權利的俄羅斯非營利組織<a href="https://roskomsvoboda.org/post/rks-with-tor/" target="_blank">Roskomsvoboda宣布</a>，已與該專案合作，將代替Tor提出上訴。</p> <p>Tor是個自由的開源專案，它透過由志願者組成的網路中繼站來藏匿使用者的真正位址，達到匿名化通訊的目的，目前全球已有超過6,000個中繼站。</p> <p>俄羅斯的網路審查並不若中國嚴重，該國主要禁止兒童色情、毒品或是違反資料保存與監控法令的網站，但俄羅斯不僅要求所有ISP業者必須封鎖這些黑名單網站，也要求VPN業者封鎖相關網站，偶爾也會因為網路服務不服從當地政府存取用戶資料或將內容下架的要求，而祭出封鎖或減速的手段，例如Telegram與Twitter。</p> <p><a href="https://blog.torproject.org/tor-censorship-in-russia/" target="_blank">根據Tor的說明</a>，自從去年12月1日起，俄羅斯境內的某些網路服務提供商就開始封鎖存取Tor的流量，且Roskomnadzor則於12月7日發布命令，正式封鎖了torproject.org，這使得<a href="https://support.torproject.org/censorship/censorship-7/" target="_blank">Tor疾呼用戶加入Tor Bridge的行列</a>，透過類似中繼站的大量配置，以預防Tor網路遭到全面的封殺。</p> <p>本周捍衛使用者數位權利的俄羅斯非營利組織Roskomsvoboda則表示，已於Tor達成協議，將由Roskomsvoboda代表Tor向俄羅斯法院提出上訴，指出Roskomnadzor的命令違反了該國自由提供、接收、傳播訊息以及保護隱私的憲法權利，而且是在缺乏Tor代表參與的情況下就被決定，侵犯了Tor的程序權利。</p> <p>Tor的被禁之所以受到Roskomsvoboda的大力支援，有很大的原因來自於俄羅斯為Tor專案的第二大用戶，平均每天有超過30萬名俄羅斯用戶存取Tor網路，約占Tor總用戶數的15%。</p> </div></div></div>
2022/1/25 14:29作者陳曉莉https://www.ithome.com.tw/news/149056
Control Web Panel漏洞將允許駭客針對Linux伺服器展開遠端程式攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://octagon.net/blog/2022/01/22/cve-2021-45467-cwp-centos-web-panel-preauth-rce/" target="_blank">資安業者Octagon Networks近日公開了</a>兩個Linux開源面板Control Web Panel（原名CentOS Web Panel，CWP）的安全漏洞，駭客若串連這兩個漏洞將可對Linux伺服器執行遠端程式攻擊，不過，<a href="https://control-webpanel.com/changelog" target="_blank">CWP的維護者已於本月中旬修補了相關漏洞</a>。</p> <p>CWP為一採用網頁介面的控制面板，多半用來部署及管理網頁代管環境，支援CentOS、Rocky Linux、Alma Linux及Oracle Linux等平臺，估計全球至少有20萬臺伺服器採用CWP。</p> <p>發現CVE-2021-45467及CVE-2021-45466這兩個CWP漏洞的，為Octagon的研究人員Paulos Yibelo，其中，CVE-2021-45467屬於文件包含漏洞，將允許駭客註冊原本受到限制的API金鑰，CVE-2021-45466則為文件寫入漏洞。</p> <p>Octagon公布了相關漏洞的開採程序，他們先傳送一個空字符（Null Byte）的文件包含酬載以添增惡意的API金鑰，再藉由CVE-2021-45466漏洞以金鑰寫入文件，最後透過CVE-2021-45467漏洞於第一個步驟中包含剛寫入的文件，即可成功執行遠端程式攻擊。</p> <p>Octagon也打算在大多數的伺服器都進行版本更新之後，釋出完整的概念性驗證攻擊程式。</p> </div></div></div>
2022/1/25 14:42作者陳曉莉https://www.ithome.com.tw/news/149058
阻止俄國軍隊過境，駭客加密白俄羅斯鐵路系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群駭客本周加密了白俄羅斯鐵路局的部份伺服器，以防止俄羅斯侵略烏克蘭的軍隊移防行動。</p> <p><a href="https://twitter.com/cpartisans/status/1485615555017117700" target="_blank">名為白俄羅斯網路游擊隊的駭客組織表示</a>，在總統盧卡申科（Lukashenka）的命令下，白俄羅斯鐵路局允許俄羅斯軍隊進入該國境內。為阻止其行動，駭客加密了鐵路局的伺服器、資料庫及工作站。<a href="https://twitter.com/cpartisans/status/1485618881557315588" target="_blank">他們要求</a>當局釋放50名急需醫療協助的政治犯，以及俄羅斯軍隊退出白俄羅斯領土。</p> <p>但為免發生緊急事件，這次加密行動並不影響鐵路局的自動及安全系統。</p> <p>白俄羅斯總統盧卡申科自1994年當選總統後即掌權迄今，被稱為「歐洲最後一個獨裁者」。2020年盧卡申科被懷疑再度作票當選，民眾示威抗議最後遭其強力鎮壓。盧卡申科政權長期在位與俄羅斯政府支持有關。</p> <p>近來俄羅斯與烏克蘭情勢緊張，大戰一觸即發，本月俄羅斯與白俄羅斯聯合軍演中，俄國軍隊獲准進入白俄羅斯境內。外界憂心白俄羅斯將在俄烏衝突中，擔任側翼攻擊的角色。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/" target="_blank">BleepingComputer也貼出</a>這群駭客經由Telegram張貼作為佐證的圖片，包括白俄羅斯鐵路局內部系統，包括Veenam備份系統、Windows網域控制器、儲存系統，以及網路訂票系統錯誤訊息等螢幕擷圖。</p> <p><a href="https://www.rw.by/corporate/press_center/news_of_passengers/2022/01/vnimaniyu-passazhirov_24012022/" target="_blank">白俄羅斯鐵路局網頁公告</a>，由於技術問題，鐵路網頁服務及電子旅行文件發送系統暫時無法使用。鐵路局目前正在搶修以回復系統。</p> <p>去年11月盧卡申科主持的一家管理學苑網路，也遭到駭客入侵加密而斷線。</p> </div></div></div>
2022/1/25 15:02作者林妍溱https://www.ithome.com.tw/news/149059
澳洲總理WeChat帳號被接管後賣給中國公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲媒體<a href="https://www.smh.com.au/politics/federal/liberal-mps-pledge-to-boycott-wechat-after-pm-blocked-from-platform-20220124-p59qqj.html" target="_blank">Sydney Morning Herald</a>、<a href="https://www.abc.net.au/news/2022-01-24/scott-morrison-wechat-account-chinese-businessman/100778812" target="_blank">ABC</a>等報導，澳洲總理Scott Morrison的微信（WeChat）服務帳號遭封鎖接管半年後，賣給了中國一家運動博彩投資的公司。</p> <p>報導指出，Morrison的微信帳號擁有7.5萬人追蹤，原本是用於發布和中國使用者相關的政策及COVID-19消息，但去年7月Morrison突然被拒絕存取，自此就無法再使用。本月稍早澳洲政府接獲微信通知，該帳號遭到改名為「澳洲中國人新生活」（Australian Chinese new life）並移交給新的持有人。</p> <p>消息人士指出，澳洲政府1月曾去信微信公司，及微信公司母公司騰訊執行長馬化騰要求歸還帳號，但皆石沈大海，因此澳洲政府懷疑去年並非被駭，而是背後有中國政府勢力介入。</p> <p>新的持有人是一間中國公司名為福州985（Fuzhou 985 Information Technology）。這家公司主要持股人為廈門銀祥集團，該公司註冊的網站主要經營英超足球及其他運動博奕業務，但在中國屬於非法業務。</p> <p>福州985是在去年10月取得Morrison的微信帳號。該公司執行長黃愛鵬（Huang Aipeng，譯音）否認有政治勢力介入。<a href="https://www.abc.net.au/news/2022-01-24/scott-morrison-wechat-account-chinese-businessman/100778812" target="_blank">他對媒體指出</a>他不知道Morrison是誰，該公司純粹是看中Morrison帳號的大量關注人數而從一位紀姓人士手上買下這個帳號，打算近日將原本內容刪除後，用這個帳號進行宣傳，一切交易都是純商業考量。</p> <p>黃愛鵬不願透露他花了多少錢取得這帳號，但拒絕歸還，因為他表示帳號移轉已經獲得微信確認。</p> <p>由於今年澳洲將舉行國會大選，時機敏感，數名澳洲國會議員揚言將杯葛微信，直到微信解釋何以擅自封鎖Morrison存取帳號。</p> </div></div></div>
2022/1/25 14:08作者林妍溱https://www.ithome.com.tw/news/149054
Meta打造全球最快AI超級電腦，預計年中完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/ai-rsc" target="_blank">Meta昨（24）日宣布正在打造全球最快AI超級電腦</a>，志在用以訓練數兆參數的大型模型，加速實現元宇宙（metaverse）願景。</p> <p>名為AI Research SuperCluster（RSC）的超級電腦預計2022年中打造完成。Meta執行長Mark Zuckerberg表示目前RSC是全球運行中最快AI超級電腦之一，但等建造完成時將成為全球最快。</p> <p>目前Meta研究人員已經用RSC來訓練自然語言處理（NLP）及電腦視覺（computer vision）研究使用的大型模型。他們希望RSC未來可以處理數兆參數的模型。</p> <p>Meta表示由於有些實驗要進行好幾個星期，且涉及數千個GPU，因此RSC架構必須極穩定，此外又必須好操作以支援研究人員進行各種AI模型的訓練。</p> <p>RSC由數個運算節點組成，並以高速網路串連而成。Meta表示RSC目前已包含760個Nvidia DGX A100系統節點，總和達6,080顆GPU。和Meta現有訓練系統相較，早期標竿測試顯示RSC的電腦視覺作業運算速度提升20倍，執行Nvidia Collective Communication Library（NCCL）的速度快9倍有餘，而訓練大型NLP模型的效能則提升3倍。這表示一個擁有數百億參數的模型訓練完成時間，可以從過去的9個星期縮短為3周。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.2365-6/272600494_980161572916475_3328327650672559297_n.jpg?_nc_cat=102&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=iNrIHMF-3TIAX_PoKK0&_nc_ht=scontent.ftpe8-4.fna&oh=00_AT8rmWTkHpN2sLgWa8oWDn4zSVClWKDhbmGgb0dsUPS4qw&oe=61F43D9C" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>其他規格方面，RSC每座DGX節點透過Nvidia Quantum 1600 Gb/s InfiniBand 二層Clos網路架構串連，以減少網路超載（oversubscription）問題。RSC儲存系統將採用175 PB的Pure Storage FlashArray、46 PB的Penguin Altus快取儲存及10 PB Pure Storage FlashBlade。</p> <p>等年中打造完成時，RSC將搭載1.6萬顆GPU，而混合精度運算（mixed precision compute）效能達到將近5 Exaflops，使其成為全球最快超級電腦AI。RSC的快取及儲存系統設計，未來計畫可提供16TB/s頻寬及1 Exabyte儲存容量。</p> <p>目前RSC已經和去年5月美國國家能源研究科學計算中心（National Energy Research Scientific Computing Center，NERSC）揭示的<a href="https://www.ithome.com.tw/news/144750" target="_blank">勞倫斯伯克利國家實驗室的AI超級電腦Perlmutter</a>相當，後者採用了6,159顆Nvidia A100 GPU。</p> <p><a href="https://www.hpcwire.com/2022/01/24/metas-massive-new-ai-supercomputer-will-be-worlds-fastest/" target="_blank">HPCwire估計</a>，據現行<a href="https://www.top500.org/lists/top500/2021/11/highs/" target="_blank">Top500超級電腦排名</a>，Meta RSC第一階段約為第4名，完成後浮點運算速度約為227 petaflop/s，可望躍居全球第2快。</p> </div></div></div>
2022/1/25 12:21作者林妍溱https://www.ithome.com.tw/news/149052
OpenSea有臭蟲，讓駭客以低於市價的金額購入NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名於<a href="https://twitter.com/yakirrotem/status/1485559883890049029" target="_blank">去中心化金融平臺Orbs任職的軟體工程師Rotem Yakir</a>，以及英國的<a href="https://www.elliptic.co/blog/bug-allows-nfts-worth-over-1-million-to-be-stolen" target="_blank">區塊鏈分析業者Elliptic</a>，在本周一（1/24）揭露了全球最大非同質化代幣（Non-Fungible Token，NFT）市集OpenSea含有一個臭蟲，允許駭客透過OpenSea API，以低於市價的價格購入該平臺上所銷售的NFT，目前有3名駭客已成功地以不到15萬美元的價格，購入市值超過100萬美元的NFT。</p> <p>OpenSea現為全球最大的NFT交易市集，目前集結了超過2,400萬個NFT作品，<a href="https://www.ithome.com.tw/news/148738" target="_blank">上個月完成的C輪增資顯示該平臺的市值已達到133億美元</a>，足足是去年7月的8倍。</p> <p>不過，Yakir本周踢爆，OpenSea含有一個毀滅性的漏洞，它允許使用者在更新NFT產品列表及價格時不必刪除舊有的資料，使得這些舊資料依然保留於區塊鏈上，而讓駭客得以透過OpenSea API以舊有價格買下該NFT，並快速轉手，而Elliptic則發現，已有至少3名駭客在24小時內開採此一臭蟲。</p> <p class="rtecenter"><a href="http://twitter.com/yakirrotem/status/1485559883890049029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0125-opensea-600-1-PNG.png" style="width: 600px;" /></a></p> <p>Elliptic則說，其實幾周前就傳出此一OpenSea臭蟲，但一直到本周一才看到實際的開採行動，當天一早就有一名駭客以0.77個以太幣（1,800美元）買下了Bored Ape Yacht Club NFT #9991 ，但Bored Ape Yacht Club家族的NFT售價至少都要19.8萬美元左右，而且該名駭客很快就以84.2個以太幣（19.6萬美元）轉售該NFT，馬上就獲利19.4萬美元。</p> <p class="rtecenter"><img alt="" src="https://www.elliptic.co/hs-fs/hubfs/Screenshot%202022-01-24%20at%2012.53.43.png?width=1376&name=Screenshot%202022-01-24%20at%2012.53.43.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Elliptic</span></p> <p>另外一名駭客也在周一以13.3萬美元買下了7個NFT，並快速以價值93.4萬美元的以太幣將它們拋售，數小時之內就將相關的以太幣透過Tornado Cash服務混幣，以避免遭到追蹤，不到一天就獲利80萬美元。</p> <p>還有一名駭客是以1.06萬美元的價格買下了Mutant Ape Yacht Club NFT，數小時後就將它以3.48萬美元脫手。</p> <p>上述駭客在一天之內，便以不到15萬美元的成本，利用OpenSea的臭蟲獲利近100萬美元。</p> <p>至截稿前OpenSea尚未公開回應此事，而Yakir則建議OpenSea平臺的使用者應儘快將自己擁有的NFT，轉移到沒有任何舊產品列表的新錢包中。</p> </div></div></div>
2022/1/25 13:12作者陳曉莉https://www.ithome.com.tw/news/149053
蘋果程式內購買政策被荷蘭判罰500萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在荷蘭消費者與市場管理署（Netherlands Authority for Consumers and Market，ACM）的要求下，<a href="https://www.ithome.com.tw/news/148939" target="_blank">於今年1月開放</a>荷蘭的約會程式使用第三方的程式內購買（IAP）機制。然而，<a href="https://www.acm.nl/en/publications/apple-fails-satisfy-requirements-set-acm" target="_blank">本周ACM指出</a>，由於蘋果並未充分滿足ACM的要求，代表蘋果必須支付500萬歐元的罰款，而且若一直不符合規定，每周都必須支付500萬歐元的罰款，上限可至5,000萬歐元。</p> <p>ACM去年針對蘋果所提出的要求有兩大重點，一是App Store中的約會程式開發者，必須能夠使用蘋果以外的支付系統，二是開發者必須具備將使用者導至程式外支付系統的能力。</p> <p>儘管蘋果已經在上個月允許相關的開發者採用其它支付系統，但ACM認為，蘋果還是沒能調整相關的情況，目前許多約會程式開發者只能表達它們對採用外部支付系統的「興趣」，而未能真的使用其它的支付系統。此外，ACM也批評蘋果似乎強迫開發者擇一選擇，或在程式內採用第三方支付系統，要不就導至程式外的支付系統，但ACM的態度卻是開發者應該有同時採用兩種的權利。</p> <p>總之，蘋果只是簡單地開放開發者申請使用其它支付系統，顯然未能滿足ACM，可能要改善其流程，大開方便之門才能避免持續遭罰。</p> </div></div></div>
2022/1/25 11:55作者陳曉莉https://www.ithome.com.tw/news/149051
Amazon GuardDuty現能更全面偵測EC2執行個體憑證外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-guardduty-enhances-detection-of-ec2-instance-credential-exfiltration/">AWS更新威脅偵測服務Amazon GuardDuty</a>，現在能夠檢測EC2執行個體憑證被另一個AWS帳戶使用的情況，並且向用戶發出不同等級的警示。目前此一新功能已經在所有AWS地區提供，用戶不需要額外支付費用，當AWS帳戶啟用GuardDuty服務，則預設會啟用此新功能。</p> <p>Amazon GuardDuy可以持續監控惡意活動，或是未經授權的行為，保護用戶的AWS帳戶、工作負載，以及儲存在S3中的資料。GuardDuty能夠分析事件、追蹤趨勢、模式，找出具有潛在問題的各種異常。而EC2執行個體憑證則是透過EC2後設資料服務，提供給執行個體上所執行的應用程式，一個臨時的憑證。</p> <p>攻擊者可能入侵用戶EC2執行個體上運作的應用程式，並設法存取該執行個體的後設資料服務，如此攻擊者便能夠擷取憑證，而這些憑證具有用戶在IAM角色定義，附加到執行個體上的權限，因此根據應用程式功能不同，攻擊者有機會攻擊S3或是DynamoDB來竊取資料，啟動或是終止EC2執行個體，甚至是創建新的IAM用戶或是角色。</p> <p>GuardDuty具備能夠偵測從AWS外部IP，存取這類憑證的情況，但是更聰明的攻擊者，可能會使用另一個AWS帳號，來進一步隱藏活動，以便用GuardDuty偵測範圍之外的方式活動。</p> <p>不過，AWS服務API通訊的來源IP地址，與EC2執行個體IP地址不同，可能有其正當理由，考慮到流量路由到一個或是多個VPC的複雜網路拓墣，像是AWS Transit Gateway或AWS Direct Connect。而且多區域配置或是不使用AWS Organizations，都會使得偵測憑證使用的AWS帳戶，變得非常困難。</p> <p>不少大型企業使用自己的解決方案，來偵測和維護這類安全漏洞，但AWS提到，這類型解決方案不容易建置和維護，僅有少數企業具有這樣的資源。因此AWS現在更新GuardDuy，使其能夠偵測來自AWS網路內，使用其他AWS帳戶使用憑證的情況，簡化解決問題的方法。</p> <p>現在當GuardDuty偵測到EC2執行個體憑證遭濫用時，便會生成警示，當從附屬帳戶使用憑證時，警示會被標記為中等嚴重性，否則將會出現高嚴重性警示，AWS提到，附屬帳戶可能是由同一個GuardDuty管理員帳戶監控的帳戶，這些帳戶可能屬於組織，也可能並非組織的一部分。</p> </div></div></div>
2022/1/25 11:03作者李建興https://www.ithome.com.tw/news/149046
資料調度平臺Apache Hop現成為ASF頂級專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料工程與資料調度平臺<a href="https://blogs.apache.org/foundation/entry/the-apache-software-foundation-announces80">Apache Hop，現在已經發展成熟，離開Apache孵化器</a>，成為Apache軟體基金會（Apache Software Foundation，ASF）頂級專案，供用戶靈活地利用後設資料調度資料，進行資料工程和資料整合工作負載。</p> <p>Apache Hop可以說是歷史悠久的資料工具，該專案起源至20年前ETL（Extract-Transform-Load）平臺Kettle，在經過數年重構後，於2020年進入Apache孵化器。Apache Hop的特別之處，在於能讓非資料專業人員，也能夠簡單地操作資料，不需要編寫程式碼，即可建構可擴展的資料解決方案。</p> <p>而資料專業人員使用Apache Hop，則可以更快速地促進資料使用，以及後設資料調度等工作，並提供更好的測試，支援DevOps最佳實踐。Apache Hop提供以Java為基礎的視覺設計程式、伺服器和配置工具，讓用戶簡單地設定、部署並維護資料工作管線。</p> <p>Apache Hop可用於本地、雲端、裸機、容器和物聯網環境等各種場景，並支援在Windows、Linux和macOS上執行。官方提到，原本使用Kettle的金融、零售等數千家組織，都已經開始往Hop移動，不少甚至已經升級完成。</p> </div></div></div>
2022/1/25 11:08作者李建興https://www.ithome.com.tw/news/149047
合勤指僅一款裝置受Log4j漏洞影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149002" target="_blank">上周傳出</a>合勤網路設備遭到Mirai惡意程式開採Log4j漏洞。<a href="https://www.zyxel.com/us/en/support/Zyxel_security_advisory_for_Apache_Log4j_RCE_vulnerability.shtml" target="_blank">合勤本周說明</a>，僅有一款裝置受到影響。</p> <p>上星期CDN（Content Delivery Network）及安全廠商Akamai<a href="https://www.akamai.com/blog/security/mirai-botnet-abusing-log4j-vulnerability" target="_blank">發現</a>殭屍網路程式Mirai感染合勤的網路設備。在蒐集到的惡意程式樣本中，研究人員發現1隻樣本包含以Zyxel命名的檔案。另一隻樣本則包含專門開採Log4j的功能。</p> <p>研究人員推測Zyxel（合勤）遭到駭客特別鎖定攻擊，理由是隨後<a href="https://www.zyxel.com/us/en/support/Zyxel_security_advisory_for_Apache_Log4j_RCE_vulnerability.shtml" target="_blank">合勤發布全球安全公告</a>，說明自家產品受Log4j漏洞影響。</p> <p>合勤表示得知Apache Log4j的遠端程式碼執行（Remote Code Execution，RCE）漏洞，但該公司調查後，證實所有產品線中僅NetAtlas Element Management System（EMS）受到影響，包含最危險的CVE-2021-44228，以及CVE-2021-45105，分屬於CVSS 10.0及9.8的遠端程式碼執行（RCE）及阻斷服務（DoS）漏洞。</p> <p>合勤已在去年12月20日先釋出Hotfix。合勤也呼籲用戶安裝最新可用的軟體，正式更新V02.02.13(AAVV.221)C0版本預計今年2月底釋出。</p> <p>合勤網路裝置之外，<a href="https://twitter.com/yo_yo_yo_jbo/status/1483950984648806402" target="_blank">上周微軟也發現</a>，2020年底遭俄國駭客Nobelium借道感染上萬家政府及企業用戶的SolarWinds，它的FTP伺服器軟體Serv-U也成為Logj4攻擊的對象。</p> </div></div></div>
2022/1/25 11:20作者林妍溱https://www.ithome.com.tw/news/149048
紅帽正在實驗將OpenShift推向邊緣裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對邊緣使用案例，紅帽（Red Hat）開始了一項探索性專案<a href="https://next.redhat.com/2022/01/19/introducing-microshift/">MicroShift</a>，目的是要建立一個用於現場部署，針對邊緣裝置特別開發的OpenShift版本，提供工作負載的可移植性和一致的管理體驗。</p> <p>OpenShift是針對雲端，或類似資料中心環境所設計的Kubernetes容器應用程式平臺，OpenShift能夠用來部署雲端原生應用程式，以及管理Kubernetes叢集、底層作業系統和基礎設施等生命周期。OpenShift針對雲端的需求和條件進行了最佳化，包括跨Kubernetes、作業系統和機器調度變更等自我管理功能。</p> <p>紅帽提到，部署在遠端邊緣位置的系統，通常需要使用裝置管理軟體，來對系統進行生命周期管理，而他們想要尋求新的邊緣系統管理方法，揉合Kubernetes容器應用程式平臺的方便性，同時使用裝置管理軟體來管理作業系統和底層硬體。</p> <p>現場部署的位置通常非常偏遠，在許多用例中，由於運算和儲存裝置需要更接近用戶，因此安裝在像是車輛中，以執行自動駕駛人工智慧演算法，或是需要遠端監控的石油和天然氣工廠，甚至是遠在太空的人造衛星。</p> <p>MicroShift主要針對具有低功耗CPU和數GB記憶體的嵌入式系統，這些系統會部署在惡劣的環境中，必須適應包括網路連接不穩等情況，因此需要針對網路條件進行最佳化，或是最大程度降低資源使用等。</p> <p>現場部署的裝置通常是效能、耗電和成本較低的單板電腦，具有較低的記憶體和CPU，這些裝置由用戶的中央IT集中配置，並運往遠端站點，像是裝有5G天線的機櫃，或是製造工廠等地。遠端站點工作人員的安裝工作，就僅是將裝置接上電源和網路，這些裝置被要求隨插即用，不需要控制臺、鍵盤或是專業人員，裝置必須要能自動註冊，並且在必要的時候回退更新到先前狀態，自動從故障中恢復。</p> <p>而MicroShift則是紅帽提出的解決方案，他們想讓MicroShift成為一個應用程式，用戶可以選擇將其部署到邊緣裝置上，該裝置將會執行RHEL等針對邊緣最佳化的作業系統，並透過像是OpenShift中的ACM（Advanced Cluster Management），將裝置作為MicroShift叢集管理。</p> <p>簡單來說，MicroShift是一個將OpenShift核心元件重新打包的二進位檔案，在沒有壓縮下，檔案大小只有160 MB，由於可執行檔相對較小，能夠與systemd搭配使用，並且具備數秒鐘的快速啟動能力。同時，MicroShift還能極簡化包括更新和回退等動作，並消除叢集Operator跨元件調度的需要，所以也大幅減少MicroShift的資源需求。</p> <p>MicroShift針對像是汽車、工廠產線和衛星等邊緣運算用例設計，但是因為其占用的資源很少，因此開發人員也可以在筆電上執行，用來編寫、測試和部署雲端原生應用程式。MicroShift現在可以在macOS和Windows 10上執行，支援ARM64以及RISC-V CPU架構。</p> </div></div></div>
2022/1/24 23:33作者李建興https://www.ithome.com.tw/news/149040
SUSE開源端到端容器安全平臺NeuVector
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SUSE宣布將其三個月前併購而來的容器安全平臺<a href="https://www.suse.com/c/neuvector-open-source/">NeuVector</a>開源，目前相關程式碼庫已經可供用戶在GitHub上的儲存庫中取用，官方提到，透過開源原本專有的技術，能夠證明SUSE的開源文化，以及落實SUSE提供開放、可互通和創新解決方案的承諾。</p> <p>NeuVector為安全和法遵解決方案，目前已經被許多大公司採用，官方提到，從他們三個月前併購以來，就一直在考慮開源NeuVector，並且研究技術以及法律相關的問題。開源NeuVector之後，SUSE認為NeuVector將會成為開源社群的首選技術。</p> <p>NeuVector是目前第一個端到端開源容器安全平臺，也是唯一對容器化工作負載，提供企業級零信任安全的解決方案。NeuVector容器映像檔可以安裝在任何Kubernetes叢集上，或是也可以從Kubernetes管理平臺Rancher應用程式目錄中安裝，官方提到，在未來，Rancher和NeuVector會有更高層級的整合。</p> <p>NeuVector將會在Rancher中，提供最新的容器安全支援，官方認為，這個決定將有助於推動Kubernetes安全領域生態系的創新，從原本的閉源解決方案轉向開源。</p> <p>容器安全是建置和執行Kubernetes應用程式的重要需求，NeuVector專案讓Rancher用戶能夠解決應用程式生命周期的主要安全用例，包括提供深度網路可見性、風險分析、威脅偵測和事件回應等功能，並將成為Rancher進階叢集安全功能的一部分。</p> <p>一旦SUSE將NeuVector完全整合到Rancher中，在本地端、雲端和邊緣任何經CNCF認證的Kubernetes版本，都能夠獲得NeuVector在整個應用程式生命周期，對生產基礎設施和工作負載，提供Kubernetes原生安全性。</p> </div></div></div>
2022/1/25 00:15作者李建興https://www.ithome.com.tw/news/149042
影響軟體交付績效三要素
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/10601shu_zhai_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">旗標出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2013年起，Nicole Forsgren、Jez Humble與Gene Kim開始與Puppet公司的團隊合作，一起準備《2014年DevOps境況報告》。陳述如何以可預期的方式，協助科技交付價值給員工、企業乃至於客戶。</p> <p>經年來，他們的研究已經訪查各種不同的技術與精益（Lean）管理實踐對軟體交付效能，還有團隊文化的影響。然而，在本專案的早期，他們尚未直接研究過領導統御對DevOps實踐的種種影響。</p> <p>本文會展示他們的種種發現，包括領導與主管們在技術轉型中所扮演的角色，以及勾勒出一些領導們可以採取的步驟，以改善他們自己團隊的文化。</p> <p><span style="font-size:28px;"><strong>主管的角色</strong></span></p> <p>Nicole等人發現，在任何的技術轉型中，領導們都扮演了至關重要的角色。當這些領導們是主管時，他們可能在影響變革中有著更重大的角色。</p> <p>主管的責任在人，且通常還有預算與資源。最佳狀況下，主管也是領導，並且肩負稍早勾勒出那些轉型的領導統御之種種特徵。</p> <p>在銜接業務的策略目標與其團隊工作之間，主管尤其扮演著關鍵角色。藉由創造一種讓員工感到安全的工作環境、投資於發展人的能力、以及掃除工作上的障礙，主管們在改善其團隊績效上可著墨之處甚多。</p> <p>他們也發現在DevOps的投資與軟體交付績效高度相關。當涉及文化時，藉由在其團隊中付諸特定DevOps實踐，以及藉由高調地投資在DevOps中與其員工的專業發展，主管們是能改善一些情況的。</p> <p>主管們也可藉由採取措施讓部署不是那麼折磨，促成在軟體交付績效中大大的改善。最後但同樣重要的是，主管應該讓指標更顯眼，而且要煞費苦心來將這些指標與組織目標校準，並應該更加授權給員工。知識就是力量，而主管應該賦權給那些具備知識的人。</p> <p>有人可能會捫心自問：挹注DevOps倡議以及投資團隊會是怎麼回事？其實有數種方式讓技術領導可以投資其團隊：</p> <p>●確保組織中的每個人可以取用現有的資源，並創造空間與機會以供學習與改進。</p> <p>●設立專門的訓練預算，且確保大家都知悉；再者，讓員工自由去選擇他們有興趣的訓練。這種訓練預算可能包括白天上班時專用的時間，以利用組織中已有的資源。</p> <p>●鼓勵員工參加技術研討會，至少一年一次，並且為整個團隊總結所學。</p> <p>●設立內部黑客日（hack day，也有稱作創意日的），屆時跨職能團隊（cross-functional team）可以聚在一起合作一個專案。</p> <p>●鼓勵團隊內部的「瞎忙日」（yak day），屆時大家可以聚在一起對付技術債（technical debt）。這些都是很棒的活動，因為技術債鮮少會被排定優先順序。</p> <p>●定期舉行內部DevOps小研討會。在研究中，Nicole等人看過組織運用經典的DevOpsDays格式而獲致成功，這格式結合了預先準備的演說與「開放空間」（open space），於此間參與者可以自行組織以提案並促進自己的議程。</p> <p>●給予員工專用的時間，比如20％或是某發布（release）之後的數天，以實驗新工具與技術，並分配預算與基礎設施給特殊的專案。</p> <p><span style="font-size:28px;"><strong>可以改善文化並支持您團隊的些許指點</strong></span></p> <p>當一個領導的真正價值是反映在他們如何增強其團隊的工作（進程暨成果）時，也許他們所能做到最有價值的工作會是：在他們所服事的實體（就是他們的團隊）之間培育及支持一種穩健的組織文化。這讓與其合作或效力的專家們能夠以最大化效用運作，為組織創造價值。</p> <p>以下會條列一些簡易的方式，讓主管們、團隊領導、甚至積極參與的從業人員能在其團隊中支持這樣的文化。研究顯示，有3件事物與軟體交付績效高度相關，並且促成了一種強健的團隊文化：跨職能協作、學習風氣、以及工具。</p> <p>藉以下幾點可將跨職能協作付諸實踐：</p> <p>●與其他團隊的對應人員建立信任。在團隊間建立信任感是最重要的事，而且一定要慢慢來。信任是建立在重然諾、開放式溝通、和即使處在緊張的情勢下也如預期行動令行禁止。如此一來，團隊將會能更有效地運作，而且這樣的關係會釋放一種訊號給組織：跨職能協作是被重視的。</p> <p>●鼓勵從業人員在部門間輪調。隨著管理員或工程師發展他們的技能時，可能會發現他們對不同部門的職位有興趣。這種橫向調動可能對兩造團隊都極其有價值。從業人員會帶著關於流程與挑戰的寶貴資訊到他們的新團隊，而當舊團隊的成員來接洽協作，就自然會熟悉的合作窗口。</p> <p>●積極地尋求、鼓勵並獎勵促進協作的工作。確保成功是可以複製（再現）的，並留意那些讓協作更順利的潛在因子。</p> <p>藉以下幾點可協助營造一種學習風氣：</p> <p>●創設一種訓練預算並在內部提倡之。藉著在正規教育機會背後置放資源，強調組織有多珍視學習的風氣。</p> <p>●確保團隊有資源積極參與非正規學習，並有空間探索新構想。學習通常發生在正規教育之外。有些公司，如3M與Google，已廣為人知會分一部分時間（各為15％與20％）出來，給目標明確的自由思考與探索業餘專案。</p> <p>●讓試誤是安全的。若失敗會被懲罰，那麼人們就不願嘗試新事物。把失敗當作是學習的契機，並舉行不咎責的事後檢討（blameless postmortem），以搞清楚如何改善流程與系統。這些都會讓人們對冒（合理的）風險感到自在，並幫助創建一種創新文化。</p> <p>●創造機會與空間以分享資訊。無論是創設每週的快閃演講（lightning talk，譯註：亦作閃電秀），還是提供資源給每月一次的午餐交流會（lunch-and-learn，譯註：一種邊吃邊學，氣氛輕鬆的交流會，也許會擦出不一樣的火花，因為這樣的學習沒有壓力），都要設立一個規律的機會節奏（cadence of opportunities，譯註：如跳恰恰或探戈一樣，一開始大家會矜持，有點放不開，需要給他們一些安全感讓他們一直嘗試，最後找到自己的節奏click，重點是全員參與），讓員工分享他們的知識。</p> <p>●藉著演示日（demo days）與論壇來鼓勵分享與創新。這會讓團隊分享彼此的創作，也讓團隊能慶祝他們的工作成果並互相學習。</p> <p>有效運用工具方面：</p> <p>●確保團隊可以選擇他們的工具。除非有好理由不這麼做，否則從業人員應該選擇他們自己的工具。若他們可以任意建造基礎設施與應用，他們會比較投入其工作。這是有資料證實的：工作滿意度的一個重大促成因素，在於員工是否感覺他們有工具與資源去從事他們的工作。在研究資料中也看到持續交付的預示因素：被授權選擇其工具的團隊會驅動軟體交付績效。若組織一定要將工具標準化，請確保採購與財務是根據團隊的利益行動，而非反其道而行。</p> <p>●讓監控成為當務之急。完善基礎設施與應用監控系統，並確保組織在搜集正確的服務資訊，且妥善運用那些資訊。這種由有效監控產生的可見度與透明度是無價的。在Nicole等人的調查中，積極主動的監控與績效及工作滿意度高度相關，並且這也是強健技術基礎的關鍵部分。</p> <p>儘管許多DevOps的成功故事，強調涉及技術團隊那極好的草根（grassroots）工夫，但經驗與研究顯示，技術轉型會從真正積極參與轉型的領導們得益，因為他們可以支持並放大其團隊工作成果。這樣的支持會順利實現為業務（生意）交付價值，因此組織應該放聰明點，將發展領導統御發展看作是對其團隊、其技術與其產品的投資。（摘錄整理自《ACCELERATE：精益軟體與DevOps背後的科學》第11章）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%9C%961_ACCELERATE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%97%97%E6%A8%99%E5%87%BA%E7%89%88.png" style="width: 278px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">ACCELERATE：精益軟體與DevOps背後的科學</span></strong></p> <p>Nicole Forsgren, Jez Humble, Gene Kim／著；江少傑／譯</p> <p>旗標出版</p> <p>售價：499元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <div> <p><strong>Nicole Forsgren</strong></p> <p>Nicole Forsgren博士是DevOps研究與評估公司的CEO與首席科學家。她作為至今最大DevOps研究之領頭調查人員而廣為人知，長久以來是位教授，而且是效能工程師，她的成果也發表在數個同行審議的期刊上。</p> <p><strong>Jez Humble</strong></p> <p>Jez Humble是《The DevOps Handbook》、《精益企業》、與Jolt獎得主《持續交付》等書的共同作者。他目前正在他的新創公司：DevOps研究與評估有限責任公司（LLC），研究如何打造高績效團隊，並在加州大學柏克萊分校講課。</p> <p><strong>Gene Kim</strong></p> <p>Gene Kim是屢屢獲獎的CTO、研究者，而且是《鳳凰專案》、《The DevOps Handbook》與《The Visible Ops Handbook》等書之（共同）作者。他是IT Revolution出版社的創辦人，而且也創辦並主持DevOps企業峰會。</p> </div> </div></div></div>
2022/1/24 17:37未署名https://www.ithome.com.tw/article/149017
後疫時代就用實驗加速技能養成
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960x420.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">遠流出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">一份全職工作等於每年工作兩千小時。但在你踏入新的職業生涯，或者想學習一項新技能時，你沒有兩千個小時可用。你得繳帳單、養家活口。而且萬一經過一萬小時以後，你又對別的事物產生興趣，怎麼辦？你真的打算花上寶貴的十年、甚至二十年去鑽研某件事，再把那項技能束之高閣嗎？</p> <p dir="ltr">現今的職涯早就沒有所謂的「直線」。我們面臨的每一場危機，都為這個世界帶來更多變化。某些職業不復存在，產業消失。工作的本質改變。人們的興趣和熱情也變得不同。</p> <p dir="ltr">那麼，若你想用最快的速度成為同業中位居前百分之一的佼佼者，會是怎樣的情況？</p> <p dir="ltr"><span style="font-size:28px;"><strong>用一萬次實驗法則取代一萬小時練習法則</strong></span></p> <p dir="ltr">我們不談「一萬小時練習法則」—─根據此一法則，只要你認真鑽研某件事達一萬個小時，你就會成為世界一流的高手。</p> <p dir="ltr">就算這個法則在過去行得通，現在也已經不管用了。我的人生經驗一再證明，有能力進行實驗，將各種想法很快試驗一遍，汲取教訓，然後繼續前進，要比「一萬小時法則」更有效。我把它叫做「一萬次實驗法則」。</p> <p dir="ltr">這項法則面對變化和危機的方式是：運用一組工具來幫助人發揮創意，並且有效執行、說服、提高生產力與領導能力—上述能力結合起來能夠讓你在短時間內達到原先想像不到的高度，速度快得驚人！</p> <p dir="ltr">我之所以這麼說，不是因為我在做一項研究專案，而是因為我必須這麼做，而且大多是因為我本身的興趣和熱情改變或結合了。更糟的是，有時是因為我破產了，被迫去新領域找活路，而且我必須很快辦到，以養活家人。</p> <p dir="ltr">科學很重要，但你的人生才是最棒的實驗室，而你是最厲害的科學家。最成功的實驗是你試著去做別人沒做過的試驗。一間研究實驗室就是要做出各種發現；你只會在這裡做出對你有用、且反映出你獨特世界觀的發現。</p> <p dir="ltr">迪克．福斯貝里（Dick Fosbury）是一九六○年代的跳高運動員，那時他實在不怎麼樣。當時流行「剪刀式跳法」，方法是面朝橫杆，筆直跑向前去，跳起來，把你的腿抬得比橫杆更高，跨過去。</p> <p dir="ltr">福斯貝里就是做不到。他的長腿老是撞到橫杆，沒辦法跳到其他人那樣的高度。某天，他做了個實驗，改成往後跳。他背向橫杆，然後再以背朝杆子的姿勢起跳，跟其他人完全相反。</p> <p dir="ltr">他的高中教練請他別再這麼做，說：「這樣行不通，你不能這麼跳。」他不肯讓福斯貝里在正式比賽時用這個招式，但等他看到福斯貝里在一場大一新生比賽中用了這招後空翻（如今大家叫它「福斯貝里式跳高」或「背越式跳高」），便說：「好，就來試試看吧。」</p> <p dir="ltr">福斯貝里讀高中時的表現不怎麼樣，但數年以後，他就在一九六八年的奧運場上奪下金牌。最初大家都在笑，每個人都叫他別這麼做，後來每一名跳高運動員都改用他的跳法。</p> <p dir="ltr">他運用自身對於這項運動的知識，創造出獨到的觀點。他贏得了金牌，而且永遠改變了這項運動。他沒有比別人花更多時間，也沒有苦練一萬個小時，但他辦到了。他之所以成功，並非由於守規矩，而是因為他繞路而行，設法跳過排隊行列，快速致勝。</p> <p dir="ltr"><strong><span style="font-size:28px;">一萬次實驗</span></strong></p> <p dir="ltr">我做了個實驗。</p> <p dir="ltr">我跟朋友J碰面吃早餐，他帶了新女友K來。J和K告訴我，他們已經談過了，打算穩定交往。</p> <p dir="ltr">「對四十幾歲的人來說，『穩定交往』是什麼意思？」我問，「我從高中以後就沒聽過這個詞了。」</p> <p dir="ltr">兩人都拿出手機說：「我們把手機裡的交友軟體都刪了。」K說。但兩人先朝對方的手機瞄一眼，才把手機螢幕轉過來給我確認。</p> <p dir="ltr">嗯！我有個想法！設計一個「穩定交往」的手機軟體，用法是這樣：情侶雙方在這個手機軟體上註冊帳號，之後選定對方為伴侶。一旦雙方皆已選定，這個手機軟體就刪光兩人手機裡的交友軟體。要是其中一方下載了某個交友軟體，或者解除原先的選擇，另一方就會接到電子郵件通知。</p> <p dir="ltr">但接下來要做什麼？也許這是個好點子，也許不是。你得動手試試看，否則永遠不知道它是否管用。</p> <p dir="ltr"><strong><span style="font-size:28px;">好實驗的要件</span></strong></p> <p dir="ltr">那麼，好的實驗要滿足哪些條件呢？</p> <p dir="ltr">■容易設定、執行：這一點很重要，因為你得先做過許多次實驗，才可能有偉大的發現。</p> <p dir="ltr">■幾乎不會有損失：比如說，若你要發明流行性感冒藥物，絕不會想直接服下藥物看它有沒有效—吃了可能致命！這就是為什麼科學家要拿老鼠做實驗，或者先模擬狀況。同樣道理，你也得降低實驗的風險。</p> <p dir="ltr">■有很大的潛在利益：若實驗證明有效，或許帶來上百萬元的商機，也可能造就一本暢銷書、一次升遷，甚至遇見今生的摯愛。誰知道呢？</p> <p dir="ltr">■以前沒有人做過：至少你以前沒做過，否則你何必做實驗？但這項實驗的某個面向很可能沒有人做過。</p> <p dir="ltr">■你學到了某件事：不論成功或「失敗」，這項實驗教會了你某件事。這項實驗可能增長了你本身的知識，也可能擴展這個世界的整體知識，哪怕只是一點點。</p> <p dir="ltr">結果只有兩種可能：你學到了某個道理，或者實驗成功了。沒有失敗這回事。</p> <p dir="ltr"><span style="font-size:28px;"><strong>從無數不可能中找到可能</strong></span></p> <p dir="ltr">我得想出一組實驗來測試這個點子是否可行。要是這些實驗成功了，我可以賺到幾百萬元！</p> <p dir="ltr">隔天我大概花了一小時，約略寫出這套手機軟體的用法：用戶該如何註冊、他們跟打算穩定交往的那個人要怎麼「聯繫」、手機該如何刪光交友軟體，或許還得發出通知給雙方各自的社交圈。</p> <p dir="ltr">然後我便將大膽構思出的軟體「規格」，貼到 Freelancer.com 網站上，這樣全世界的程式設計師都可以看到這份規格，前來投標，為你執行這項專案。這就是逆向拍賣，因為在其他條件相同的情況下，出價最低者是贏家。</p> <p dir="ltr">但我的實驗若想成功，必須聘請最合適的程式設計師。面對每個出價的人—來自世界各地，包括印度、馬來西亞、美國—我問他們一個問題：「有沒有可能讓你手機上的某個軟體看到其他手機軟體？」為什麼這麼問？因為這個穩定交往的軟體必須看到其他交友軟體的存在。一位程式設計師回應道：「在安卓系統上可以，但蘋果手機的 iOS 系統不行。」</p> <p dir="ltr">好了，實驗結束。這個點子行不通。要是這款軟體只能用在安卓系統的手機上，我不打算付錢做。為什麼？因為我還做了個小研究(花五秒上網搜尋)，得知八二％的青少年(我的目標客群)用蘋果手機，所以根本行不通。</p> <p dir="ltr">才做了一個實驗就發現我這個了不起的點子注定失敗。但它是否符合有效實驗的五項標準呢？</p> <p dir="ltr">■容易設定、執行？是。我有了個點子，列出規格細節，把它上傳到專業網站上。</p> <p dir="ltr">■幾乎不會有損失？是。我一塊錢也沒花，大概只花了一小時而已。</p> <p dir="ltr">■有很大的潛在利益？是。如果在專業網站上進行的小實驗行得通，我就會聘請一位程式設計師，做出這個手機軟體，著手進行更多實驗來行銷這款軟體。這款軟體若能運作，我極有可能把它賣給專門收購的公司。</p> <p dir="ltr">■還沒有人做過這種實驗：對，這個實驗我還沒做過，所以可以學到東西。先搜尋一下，看起來別人也都還沒做過這款「穩定交往」的軟體。現在我不妨進一步實驗，看它是否合用。也許我是第一個做出來的人。</p> <p dir="ltr">■你學到了某件事：是的，我學會上 Freelancer.com 這個網站，而且發現這裡有很多程式設計師，日後有專案就可以上來找。我還學會撰寫手機軟體的詳細規格，是以前不曾寫過的。我還學到如何為蘋果手機和安卓系統編寫程式，稍微了解這方面的業務。</p> <p dir="ltr">當然，很可能這個點子本來就很蠢，根本不值得花時間。但話說回來，這個實驗花了我一小時，也沒損失一塊錢。而這個手機軟體實驗的故事，我拿來在「一萬次實驗法則」的收費演說中當成個案分析。從這層意義上來說，這個實驗獲得了回報。</p> <p dir="ltr">我現在說的這個方法，跟你聽過的一萬個小時練習完全不同，而是要找出九千種不適合做某事的方法，也許能夠引領你找到一、兩種足以成功的方法，然後引導你創造出一款最受歡迎的手機軟體，或是成立一家規模極大的公司。（摘錄整理自本書第二、三章，遠流出版提供）</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/250%E5%BF%AB%E9%80%9F%E8%87%B4%E5%8B%9D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%A0%E6%B5%81%E5%87%BA%E7%89%88.png" style="width: 182px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span><span style="background-color:#FFFFFF;"> </span></span><span style="color:#3399ff;">快速致勝：用多元實驗取代一萬小時練習，助你另闢蹊徑，邁向成功，過你想要的人生</span></strong></p> <p dir="ltr">詹姆斯‧阿圖徹（James Altucher）／著；王敏雯／譯</p> <p dir="ltr">遠流出版</p> <p dir="ltr">售價：390元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p dir="ltr"><strong>詹姆斯．阿圖徹（James Altucher）</strong></p> <p dir="ltr">成功的創業家、天使投資人、西洋棋大師、播客主持人、脫口秀演員兼多產作家。他曾開設、經營逾二十家公司，目前投資的公司則超過三十家。著有包括《華爾街日報》暢銷書《當下說不的力量》（The Power of No）等二十本著作。</p> </div></div></div>
2022/1/24 16:22未署名https://www.ithome.com.tw/article/149019
【資安日報】2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1月中旬烏克蘭政府遭到攻擊的事故，駭客組織不只攻陷超過70個網站並放上恐嚇訊息，且運用名為WhisperGate的惡意軟體，破壞政府電腦裡的機密資料。WhisperGate會假冒勒索軟體向受害者要贖金，但實際目的是破壞受害電腦的資料，作案手法與2017年出現的勒索軟體「NotPetya」極為相似。或許我們可能還存在僥倖的心理，認為遇到勒索軟體加密電腦檔案的情況，多半可以付錢恢復原狀，但這種以破壞為目的的攻擊行動，即使受害者雙手奉上贖金，資料還是救不回來。</p> <p>而隨著Omicron疫情不斷蔓延，駭客組織也運用這項全球關切的議題，發動網釣攻擊的情況也急劇上升。有資安業者發現，在2021年1月中旬相關事故的數量，比去年10月初多出5倍。</p> <p>基於防疫考量而日漸廣泛運用的QR Code，先前在去年6月在臺灣就傳出實名制的條碼有可能被竄改，駭客用於引導民眾到惡意網站的疑慮。而最近這樣的情況在美國可能變得相當嚴重，因為，美國聯邦調查局（FBI）在1月19日提出警告，要民眾小心相關手法並加以防範，而這已經是最近3個月來，該國第3度向民眾提出警告。 </p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.cyberscoop.com/whisper-gate-notpetya-ukraine-russia/"><span style="color: rgb(0, 0, 0);">鎖定烏克蘭政府的惡意軟體WhisperGate，與勒索軟體NotPetya攻擊手法雷同</span></a></strong></h4> <p>在1月上旬，假冒勒索軟體、攻擊烏克蘭政府機關的惡意軟體WhisperGate，研究人員揭露更多發現。思科指出，此惡意軟體藉由破壞主要開機磁區（MBR）的方式，讓受害者誤以為電腦資料遭到挾持，但實際上沒有加密電腦的檔案，這樣的攻擊手法，與2017年出現，也同樣主要鎖定烏克蘭的勒索軟體NotPetya類似。研究人員認為，使用WhisperGate的駭客很可能在數個月前就已經埋伏，背後的攻擊者疑似是APT駭客。思科呼籲烏克蘭的相關組織，可以參考美國網路安全暨基礎設施安全局（CISA）提供的建議，來防範有關攻擊行動。</p> <h4><a href="https://blog.barracuda.com/2022/01/20/threat-spotlight-covid-19-test-related-email-scams/"><span style="color: rgb(0, 0, 0);"><strong>Omicron疫情有關的網釣攻擊在3個月裡爆增5倍</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/threat-spotlight_covid-19_11922.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/threat-spotlight_covid-19_11922.jpg" style="width: 300px; float: right;" /></a>武漢肺炎變種病毒Omicron在全球肆虐，相關的檢驗與防疫用品訊息，也成為網路釣魚攻擊者偏好的名義，但這樣的情況有多嚴重？根據網路安全業者Barracuda的調查，在2021年10月初到2021年1月中旬，有關Omicron的網釣攻擊增加521%，其中最值得留意的是，在許多企業恢復在辦公室上班的時候，會要求員工提供疫苗接種的資訊，駭客也可能會佯裝人力資源部門，以上述名義引誘受害者打開惡意連結，進而竊取對方的雲端服務帳號和密碼。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-of-malicious-qr-codes-used-to-steal-your-money/"><span style="color: rgb(0, 0, 0);"><strong>美國警告竄改QR Code的攻擊行動</strong></span></a></h4> <p>因疫情使得QR Code運用更加普及，但變造、置換惡意條碼的手法，也隨之頻頻出現。美國聯邦調查局（FBI）於1月18日提出警告，呼籲民眾留意竄改QR Code的相關手法，攻擊者藉此將受害者導向惡意網站，或是下載惡意軟體、甚至是將錢轉帳給歹徒。FBI公布數種攻擊者可能會使用的手法，其中特別提及一種以付款失敗的電子郵件通知，來引誘消費者掃描QR Code重新付款的情況，該單位呼籲最好打電話給賣家進行確認。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-links-diavol-ransomware-to-the-trickbot-cybercrime-group/"><span style="color: rgb(0, 0, 0);"><strong>美國指控勒索軟體Diavol出自使用TrickBot的駭客組織</strong></span></a></h4> <p>在2021年下半，資安業者發現疑似與經營TrickBot殭屍網路的駭客，正在開發名為Diavol的勒索軟體，而這樣的跡象現在可能有了更多的證據。美國聯邦調查局（FBI）於1月19日指出，他們在2021年10月得知Diavol的動態，並確認該勒索軟體由TrickBot組織旗下的開發者相關。威脅情報業者Advanced Intelligence指出，FBI很可能是在逮捕專門為TrickBot開發惡意軟體的婦女Alla Witte之後，才認定該勒索軟體出自使用TrickBot的駭客組織。</p> <h4><a href="https://www.infosecurity-magazine.com/news/two-fifths-ransomware-victims/"><span style="color: rgb(0, 0, 0);"><strong>4成勒索軟體受害者選擇支付贖金</strong></span></a></h4> <p>為了讓內部網路環境快速恢復運作，許多遭到勒索軟體攻擊的企業會選擇支付贖金，來換取受害系統復原。例如，最近資安業者Anomali針對美國、英國、阿拉伯聯合大公國（UAE）等國家、800個企業的資安決策者，來進行調查，結果顯示，當中有52%曾遭到勒索軟體攻擊，且39%受害組織選擇付錢，其中，有7%支付逾百萬美元。</p> <h4><a href="https://securelist.com/hunt-for-corporate-credentials-on-ics-networks/105545/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者鎖定工控系統下手，企圖竊取企業帳密</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Campaigns_abusing_corporate_trusted_infrastructure_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Campaigns_abusing_corporate_trusted_infrastructure_02.png" style="width: 200px; float: right;" /></a>過往駭客可能從企業員工的電腦下手，進而橫向移動，以便接下來更進一步掌控整個企業網路，但近年來智慧工廠、智慧製造的導入，使得工業控制系統（ICS）與企業內部網路環境的界線更加模糊，攻擊者很可能透過工業控制系統做為跳板，進而入侵受害企業。有資安業者的調查證實，攻擊者確實利用這樣的管道來進入企業網路環境。</p> <p>根據卡巴斯基針對2021年上半的ICS威脅研究報告指出，他們看到一波針對工業控制系統攻擊的行動，駭客在這類環境裡植入Agent Tesla、Masslogger、Azorult等竊密軟體，並藉由傳送電子郵件的SMTP通訊協定，向C2中繼站傳送竊得的資料。研究人員指出，與過往針對工控系統的攻擊有所不同的是，大多數攻擊的時間被控制在25天以內，而非長期埋伏數個月、數年，總共超過2千個電子郵件帳號被當作C2伺服器，以及7千個帳號遭到其他方式濫用。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/24 14:38作者周峻佑https://www.ithome.com.tw/news/149036
春節連假維持二級警戒，指揮中心恢復外出全程配戴口罩規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今日（1/24）宣布，自1月25日至2月7日仍維持全國二級警戒，警戒措施恢復外出都得戴口罩，除少數情況例外，同時不開放醫院探病。</p> <p>指揮中心指揮官陳時中指出，今日COVID-19確診個案為51例，其中15例本土案例、36例境外案例，較前幾天少。為防止疫情升溫，指揮中心宣布維持二級警戒的同時，也提高防疫規則，首先是外出全程都得佩戴口罩，像是運動、唱歌，以及拍照、直播、錄影、主持、報導、致詞、演講、講課等，以及活動拍攝時，都恢復佩戴口罩。</p> <p>不過，民眾要是在空曠處如田間、魚塭、山林等從事農林漁牧工作，或在山林（森林遊樂區）、海濱等地活動，或是在口罩容易潮濕的場所如溫冷泉、烤箱、水療設施等地，則可不必戴口罩，但得隨身攜帶，如無法保持社交距離或本身有相關症狀，就得配戴口罩。民眾外出要是有飲食需求，可免戴口罩。</p> <p>另外，指揮中心也指出，藝文表演、劇組、電視主播或運動競賽進行時，符合指揮中心或主管機關防疫規定，可暫時脫下口罩。</p> <p>陳時中也強調，一般營業場所、公共場所和餐飲場所都得落實實聯制、量體溫、員工健康管理等措施，而高鐵、臺鐵、公路客運、船舶（除餐飲區外）、國內航班等，禁止飲食。他也呼籲賣場、超市等地加強人流管制，並停止試吃。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9-2-0124%E7%B6%AD%E6%8C%81%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E7%82%BA%E7%AC%AC%E4%BA%8C%E7%B4%9A.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10-2-0124-%E9%86%AB%E9%99%A2%E9%99%AA%E7%97%85%E5%8E%9F%E5%89%87_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.png" /></p> </div></div></div>
2022/1/24 14:57作者王若樸https://www.ithome.com.tw/news/149038
第三款UEFI惡意程式MoonBounce現身，格式化硬碟或重灌系統都拿它沒輒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaspersky.com/about/press-releases/2022_more-elusive-and-more-persistent-the-third-known-firmware-bootkit-shows-major-advancement" target="_blank">資安業者卡巴斯基（Kaspersky）上周揭露</a>了自2018年以來、所出現的第三支UEFI Bootkit：MoonBounce，由於它寄生在UEFI韌體中，因此就算重新格式化硬碟或重新安裝作業系統可能都無法移除它，也透露出UEFI Bootkit可能會愈來愈流行。</p> <p>UEFI的全名為統一可延伸韌體介面（Unified Extensible Firmware Interface），是一個介於平臺韌體與作業系統之間的軟體介面，它負責啟動裝置，再將控制權交給載入作業系統的軟體，至於Bootkit指的是在系統啟動之際就植入的惡意程式。因此，一旦UEFI被植入Bootkit，由於相關的程式碼存放在硬碟之外的SPI快閃記憶體，而且是在載入作業系統之前就執行，使得它不僅很難偵測，就算重新安裝作業系統或重新格式化硬碟，也都無法移除它。</p> <p>資安社群是在2018年9月發現首支<a href="https://www.ithome.com.tw/news/126208" target="_blank">名為LoJax的UEFI Bootkit</a>，當時使用它的是俄羅斯駭客集團APT28；第二支UEFI Bootkit是出現在2020年10月的<a href="https://www.ithome.com.tw/news/140369" target="_blank">MosaicRegressor</a>，與中國駭客有關；卡巴斯基則相信MoonBounce是由中國駭客集團APT41所部署。</p> <p>目前卡巴斯基只發現一個遭到MoonBounce攻擊的對象，尚未確定它的感染途徑，但分析顯示，MoonBounce比它的前輩們更為先進與精細，有別於LoJax與MosaicRegressor都利用額外的DXE驅動程式，MoonBounce選擇竄改既有的韌體元件，把一個先前屬於良性的核心元件變成惡意元件，藉由複雜的手法讓惡意元件進入作業系統，以與遠端的C&C伺服器互動，並下載其它惡意酬載，亦未留下任何的感染足跡。</p> <p>MoonBounce自C&C伺服器所下載的惡意酬載，包括Sidewalk、Microcin與另一個以Golang撰寫且尚未被命名的木馬程式，以及用來竊取憑證或安全資訊的Mimikat_ssp。</p> <p>根據資安社群的分析，迄今UEFI Bootkit攻擊多半是為了於受害組織中橫向移動並竊取資料，再加上它的隱匿特性，猜測駭客的目的為持續性的間諜行動。</p> <p>卡巴斯基建議組織應定期更新UEFI韌體且只使用可靠來源的韌體，於預設啟用安全啟動，以及部署端點防護產品。</p> </div></div></div>
2022/1/24 16:00作者陳曉莉https://www.ithome.com.tw/news/149039
WordPress外掛程式開發者AccessPress遭駭客入侵，93款外掛及主題被植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/" target="_blank">WordPress旗下安全服務Jetpack上周揭露</a>，專門開發WordPress主題與外掛程式的AccessPress疑似遭到駭客入侵，使得該站所有的主題與大多數的外掛程式都被嵌入可疑程式，<a href="https://blog.sucuri.net/2022/01/accesspress-themes-hit-with-targeted-supply-chain-attack.html" target="_blank">隨後專門提供網站安全服務的Sucuri則說</a>，估計有40款主題與53個外掛程式被植入後門程式。</p> <p>不管是Jetpack或Sucuri都表示，只有在AccessPress站上下載與安裝的主題及外掛程式含有後門程式，若是直接自WordPress安裝的AccessPress主題與外掛則是乾淨的版本，因而斷定是AccessPress遭到入侵。</p> <p>Sucuri表示，駭客在AccessPress上的軟體元件中植入以PHP撰寫的後門程式，該程式雖然很簡單，但使用者一旦安裝了之後，駭客就能取得網站的控制權，而且還會刪除自己的足跡以避免被偵測到。</p> <p>目前並不確定有多少WordPress網站受到波及，但Sucuri猜測駭客於黑市中兜售這些受害網站的存取能力，以讓其它人得以在這些網站上遞送垃圾訊息。</p> <p>Jetpack早在去年9月就偵測到AccessPress的其中一個主題含有後門程式，但一直到10月才聯繫到AccessPress，而AccessPress則在今年的1月17日更新絕大多數的外掛程式，惟尚未更新主題。</p> <p>Jetpack亦提醒使用者，單純更新外掛程式或主題並不能移除系統上的後門，必須重新安裝WordPress才能恢復遭到駭客竄改的核心文件。Sucuri則說，若是安裝了安全外掛程式或防火牆的WordPress，則有可能因此逃過一劫。</p> </div></div></div>
2022/1/24 13:34作者陳曉莉https://www.ithome.com.tw/news/149033
McAfee Agent含有可讓用戶以系統權限執行程式碼的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kc.mcafee.com/corporate/index?page=content&id=SB10378" target="_blank">資安業者McAfee在上周修補</a>了兩個位於McAfee Agent的高風險安全漏洞，其中的CVE-2021-31854為一命令注入漏洞，允許本地端用戶注入任意的Shell程式碼，而CVE-2022-0166則為權限擴張漏洞，允許低特權的用戶以系統權限執行任意程式。</p> <p class="rtecenter"><a href="http://kc.mcafee.com/corporate/index?page=content&id=SB10378" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-mcafee%20vuln-600-PNG.png" style="width: 600px;" /></a></p> <p>McAfee Agent為McAfee ePolicy Orchestrator（McAfee ePO）的元件，McAfee ePO可集中並簡化端點、網路、資料安全及法規遵循的管理，而McAfee Agent則是McAfee ePO的客戶端元件。</p> <p>根據McAfee的說明，CVE-2021-31854將讓本地端用戶可將任意的Shell程式碼注入cleanup.exe檔案中，並藉由McAfee Agent的部署功能來執行，進而造成權限擴張並取得最高權限。至於CVE-2022-0166則允許低特權的用戶藉由建立惡意的openssl.cnf檔案，以系統權限執行任意程式。</p> <p>由美國卡內基美隆大學軟體工程研究所負責運作的電腦緊急應變小組（CERT/CC），<a href="https://kb.cert.org/vuls/id/287178" target="_blank">則特別針對CVE-2022-0166提出警告</a>，指出該漏洞因為使用了OPENSSLDIR變數，可用來指定特定檔案的位置，只要使用者以惡意檔案置換了原有的openssl.cnf，就能擴張權限並執行任意程式。</p> <p>相關漏洞之所以重要，是因為包括McAfee Endpoint Security在內的許多McAfee產品都具備McAfee Agent功能，這兩個漏洞都影響McAfee Agent 5.7.5以前的版本。</p> </div></div></div>
2022/1/24 13:45作者陳曉莉https://www.ithome.com.tw/news/149034
金融新創Plaid買下身分認證業者Cognito
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年<a href="https://www.ithome.com.tw/news/142191" target="_blank">差點被Visa併購</a>的金融新創Plaid，<a href="https://plaid.com/blog/cognito-joins-plaid/" target="_blank">上周宣布</a>已買下身分認證業者Cognito，雙方並未公布財務細節，但<a href="https://techcrunch.com/2022/01/20/plaid-buys-cognito-to-bolster-its-feature-set-as-it-moves-beyond-simply-connecting-accounts/" target="_blank">《TechCrunch》</a>報導此一交易價值約2.5億美元，Plaid將以股票及現金支付。</p> <p>2013年創立的Plaid打造的是金融技術平臺，以讓各種金融應用程式可連結使用者的銀行帳戶，迄今該平臺已介接了2,600個金融科技開發者與1.1萬個金融組織；至於Cognito則是在2014年創立，專門提供身分認證服務，目前有超過300家客戶，建立7億個獨立的身分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-plaid.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Plaid</span></p> <p>Cognito所具備的認證能力包括地址認證、年紀認證、Know Your Customer（KYC）客戶認證、政治公眾人物（Politically Exposed Person，PEP）認證，以及反洗錢（AML）監控等。</p> <p class="rtecenter"><img alt="" src="https://cognitohq.com/images/blog/post_images/flow-pic-4-1.jpg" style="width: 537px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Cognito</span></p> <p>Plaid表示，辨識某人的身分幾乎對所有金融服務都是至關重要的，有許多企業同時採用各種不同的解決方案，因而帶來糟糕的使用者經驗，導致潛在客戶放棄註冊流程。</p> <p>此外，引導使用者進入金融新創領域有3個要件，一是帳戶連結，亦即連結金融程式與銀行帳戶，二是將錢從銀行轉至程式，三即是身分認證，Plaid提供了前兩項，而Cognito則補足了最後一項，未來它們將協助各個領域的開發者打造更無縫的金融程式使用經驗。</p> <p>就算Plaid未來可望將Cognito功能整合到自家服務中，但<a href="https://cognitohq.com/blog/plaid-and-cognito" target="_blank">Cognito強調</a>，該公司會持續強化並改善現有的產品，與既有客戶之間的關係並不會改變。</p> </div></div></div>
2022/1/24 14:08作者陳曉莉https://www.ithome.com.tw/news/149035
印尼央行12月遭疑似勒索軟體Conti攻擊，近200GB內部資料被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/world/asia-pacific/indonesia-cbank-attacked-by-ransomware-says-no-impact-services-2022-01-20/" target="_blank">路透社</a>及<a href="https://www.cnnindonesia.com/teknologi/20220120191930-185-749298/ahli-sebut-geng-ransomware-conti-yang-bobol-bi-peretas-berbahaya" target="_blank">CNN印尼</a>報導，印尼央行去年12月遭勒索軟體攻擊，部分員工資料遭到竊取。</p> <p>印尼央行周四證實上個月遭網路攻擊，但稱因採取預防措施，大部分重要服務皆未受影響。至於受影響部分則已展開復原作業。</p> <p>CNN報導攻擊者竊走了「非關鍵」員工資料，且在多臺網路裝置上部署了勒索軟體。</p> <p>專門監控網路惡意活動的安全業者<a href="https://twitter.com/darktracer_int/status/1484517552844079105" target="_blank">DarkTracker指稱</a>犯案的是惡名昭彰的勒索軟體組織Conti，該幫歹徒本周三公開竊取自印尼央行內部檔案的螢幕擷圖。同時先後將印尼央行的內部資料上傳到網上，第一次上傳了487MB，後來增加到44GB。安全廠商估計歹徒手中的印尼央行資料，從原先的16GB調整為175GB。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FJoQsqyaMAI4QQ3?format=jpg&name=small" style="width: 431px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/darktracer_int/status/1484517552844079105" target="_blank"><span style="color:#696969;">DarkTracker</span></a></p> <p>Conti是勒索軟體即服務（ransomware-as-a-service），透過TrickBot、BazarLoader等後門程式散布，專門鎖定大型企業，近年涉及多起知名機構的攻擊，包括研華電腦、愛爾蘭健康服務管理署及衛服部、美國醫療機構與消防警察單位、及<a href="https://www.ithome.com.tw/news/148615" target="_blank">線上相簿Shutterfly</a>等，今年初又透過Log4j漏洞攻擊VMware平臺用戶。安全專家相信Conti和Ryuk背後成員與俄羅斯駭客組織Wizard Spider有關聯。</p> <p><a href="https://www.channelnewsasia.com/business/indonesia-central-bank-says-ransomware-attack-did-not-impact-services-2447861" target="_blank">印尼央行2016年</a>也曾遭到駭客組織Anonymous發動分散式阻斷服務（DDoS）攻擊，造成用戶無法存取其網路。印尼央行當時表示沒有造成重大損失。</p> </div></div></div>
2022/1/24 12:42作者林妍溱https://www.ithome.com.tw/news/149030
紐約市長以加密貨幣領第一筆薪水
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www1.nyc.gov/office-of-the-mayor/news/041-22/mayor-adams-receive-first-paycheck-cryptocurrency" target="_blank">紐約市長Eric Adams上周宣布</a>，按照去年的承諾，他第一份薪水將換算成以太幣（Ethereum）及比特幣（Bitcoin）領取。</p> <p><a href="https://www.ithome.com.tw/news/147677" target="_blank">Adams去年11月初上任時承諾</a>將推動紐約成為使用加密貨幣的城市先驅，當時邁阿密市長Francis Suarez表示第一份薪資將換算成加密貨幣，Adams則進一步說三份薪資將兌換成加密貨幣。</p> <p>Adams表示，紐約是世界的中心，也希望成為加密貨幣和其他金融的創新中心。扮演此類創新的領導者有助於紐約市創造工作機會、提升景氣，並持續吸引全球人才進駐。</p> <p>Adams的第一份薪水將經由Coinbase自動轉換成加密貨幣。紐約市技術長Matt Fraser則指出，Adams此舉也是示範科技如何提供人們更多元的理財工具。</p> <p><a href="https://nypost.com/2022/01/20/eric-adams-converting-first-paycheck-as-nyc-mayor-to-bitcoin-ethereum/" target="_blank">紐約郵報報導</a>，Adams的第一份薪水是雙周5,900美元，年薪為25.8萬美元。不過紐約市並未說明比特幣和以太幣的比例。</p> <p>以近日加密貨幣的價值趨勢來看，紐約市長可能會很心痛。去年11月比特幣漲到了1:68,000美元的天價。但此後一路下跌。上周俄國政府出手管制後，引發比特幣在內的加密貨幣兌美元價急速重挫。截至本周，1比特幣已經跌到3.5萬美元。</p> <p>由於挖礦加速資料中心耗電、大量排放熱能、助長投機行為和非法活動，<a href="https://www.ithome.com.tw/news/149008" target="_blank">俄羅斯央行上周宣布</a>將提議考慮禁止挖礦及使用加密貨幣。中國早已禁止挖礦。科索沃及伊朗等國則因挖礦影響民生用電，<a href="https://www.ithome.com.tw/news/148760" target="_blank">宣布禁止挖礦數個月</a>。</p> </div></div></div>
2022/1/24 12:56作者林妍溱https://www.ithome.com.tw/news/149031
歐盟通過保障數位使用者權益的《數位服務法》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20220114IPR21017/digital-services-act-regulating-platforms-for-a-safer-online-space-for-users" target="_blank">歐洲議會（Members of the European Parliament，MEP）上周以530票對78票通過了《數位服務法》（Digital Services Act）</a>，將藉由要求科技平臺規範有害內容與廣告行為來保障數位使用者的權益，此一法案可望於明年正式實施。</p> <p>《數位服務法》基本上是規範所有的科技及網路平臺，但對於諸如臉書或Google等超大型網路平臺（Very large online platforms，VLOPs）的要求更為嚴格，這些VOLPs必須承擔更多的責任與義務。</p> <p>來自丹麥的議員Christel Schaldemose表示，網路平臺在人們生活中所扮演的角色愈來愈重要，它們帶來新的機會，也造就了新的風險，歐洲議會有責任讓那些在實際世界中的非法內容也在網路上被禁止。</p> <p>該法案要求包括社交媒體與市集等提供各種服務的中介平臺，必須在收到非法內容的投訴後立即採取行動，包括移除有害內容或非法產品，以及確保使用者在網路上購買的是安全產品。</p> <p>此外，《數位服務法》規定這些平臺所採行的目標式廣告，都要讓使用者在退出追蹤時，與同意被追蹤一樣容易，而且就算使用者拒絕被追蹤，也應該要提供服務，並以隨機廣告取代目標式廣告。</p> <p>另也禁止網路平臺利用兒童資料來執行目標式廣告，亦禁止根據諸如性向、宗教或健康狀態等使用者機密資料來遞送目標式廣告。</p> <p>還有一項特別的禁令是要求網路平臺不得以「暗黑模式」（Dark Pattern）來左右使用者的行為，該模式指的是藉由各種技巧來引誘使用者做出違反自由意志的行為，例如申請會員就會自動接受郵件廣告，或者是免費試用期一到卻很難找到取消訂閱的管道等。</p> </div></div></div>
2022/1/24 13:16作者陳曉莉https://www.ithome.com.tw/news/149032
IBM Watson Health賣給了私募基金業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-01-21-Francisco-Partners-to-Acquire-IBMs-Healthcare-Data-and-Analytics-Assets" target="_blank">IBM昨（21）日宣布</a>旗下AI醫療部門Watson Health的資料及分析產品，包括員工及管理團隊出售給私募基金業者San Francisco Partners。</p> <p>透過這項交易，San Francisco Partners將取得Watson Health多項醫療資料集及營運、分析產品線，包括Health Insights、MarketScan、臨床開發、社交計畫管理、Micromedex與醫療影像軟體等。</p> <p>雙方表示，在收購後Watson Health將會持續維持獨立營運，以支援現有生技、醫療影像、保險與政府、醫療機構客戶，管理團隊也將擔任類似角色。新僱主承諾將支援「優異員工和管理團隊」全力實現成長商機。</p> <p>本交易預期今年第2季完成。雙方未公布交易金額。</p> <p>這家私募基金業者之前已收購或投資不少家醫療相關廠商，包括健康保險清算Availity、營收分析方案eSolutions、資料管理方案Capsule、藥價追蹤GoodRx、電子病歷及照護管理平臺Landmark、 QGenda醫師排程軟體、Trellis處方與成藥藥商、遠距醫療預約平臺Zocdoc等。</p> <p>Watson Health是IBM前執行長Ginni Rometty 在位時於2015年成立，希望能藉由醫療AI及大數據分析提振營收，<a href="https://www.ithome.com.tw/news/103996" target="_blank">IBM也曾砸下巨資收購</a>醫療影像廠商Merge Health或醫療資料分析技術商Truven Health Analytics、Explorys和Phytel等。但是2020年接任的Arvind Krishna則把重心放在雲端及混合雲上，獲利不如預期的Watson Health於2020年即已傳數波裁員。<a href="https://www.ithome.com.tw/news/142812" target="_blank">華爾街日報</a>去年初首先報導IBM尋求出售Watson Health。</p> </div></div></div>
2022/1/24 11:37作者林妍溱https://www.ithome.com.tw/news/149027
防範惡意濫用，微軟正式關閉Excel 4.0巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防止駭客用來散布惡意程式，繼去年年中的預告後，<a href="https://techcommunity.microsoft.com/t5/excel-blog/excel-4-0-xlm-macros-now-restricted-by-default-for-customer/ba-p/3057905" target="_blank">微軟上周宣布</a>正式關閉Excel 4.0 XLM巨集。</p> <p>XLM程式碼特性，像是變更字串即可隱藏URL或檔案名稱，使惡意程式容易躲避靜態偵測產品。另一方面，Office 365整合了AMSI防範VBA惡意巨集，迫使攻擊者轉向XLM巨集，用它來呼叫Win32 API執行shell指令，Trickbot、Zloader和Ursnif等惡意程式都曾利用XLM巨集攻擊與散布。</p> <p>去年7月微軟發布新的Excel Trust Center設定選項，讓管理員可手動限制Excel 4.0 XLM 巨集使用。<a href="https://www.ithome.com.tw/news/147188" target="_blank">10月微軟再預告</a>，針對未曾啟用Excel 4.0 XLM巨集設定，或是管理員未於群組政策中設定的Microsoft 365租戶，將預設關閉Excel 4.0巨集。已經啟用或是群組政策啟用這項設定者就不受影響。今天的宣布則是於最新版Excel（Build 16.0.14427.10000）中，預設關閉Excel 4.0 XLM巨集，以防禦安全威脅。</p> <p>想要調整的管理員可以透過Microsoft 365應用程式的政策控制來調整。有2條路徑。一為群組政策，可循「使用者設定」>「管理員範本」>「Microsoft Excel 2016」>「Excel 選項」>「安全」>「信任中心（Trust Center）」下的「巨集通知設定」來開啟或關閉Excel巨集設定。二為機碼。機碼路徑為：Computer\HKEY_CURRENT_USER\SOFTWARE\Policies\<br /> Microsoft\Office\16.0\excel\security。</p> <p>管理員也可以經由Office雲端政策服務（Office cloud policy service）部署雲端原則，或從Microsoft端點管理員（Microsoft Endpoint Manager）設定ADMX原則。最後，管理員還能藉由開啟群組政策編輯程式中的「封鎖Excel執行XLM巨集」選項，完全封鎖所有XML巨集的使用。</p> <p>微軟也提醒，在9月分叉版本Excel 16.0.14527.20000以後版本中即已經預設關閉XLM，它會包含於以下更新釋出：</p> <p>Current Channel builds 2110 以後（2021年10月釋出）、Monthly Enterprise Channel builds 2110 以後（2021年12月釋出）、Semi-Annual Enterprise Channel (Preview) builds 2201 及以後版本（2022年3月釋出）及Semi-Annual Enterprise Channel builds 2201 及以後版本（2022年7月釋出）。</p> </div></div></div>
2022/1/24 11:59作者林妍溱https://www.ithome.com.tw/news/149028
【資安週報】2022年1月17日至22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國外不斷有事故傳出的挾持SIM卡攻擊（SIM Swapping），本週在臺灣疑似傳出首例事故。這起事故值得留意的是，臺灣重新補辦SIM卡理應要臨櫃辦理，而非如國外可直接透過電話完成，這起事故電信業者如何成為整起事故的破口？顯然有待國家通訊傳播委員會（NCC）與相關檢調單位，以及電信業者進一步說明。</p> <p>另一起引起關注的事故，則是台達電在股市公開觀測站證實遭到網路攻擊的情況，但發生原因有待後續調查。</p> <p>廣泛受到許多企業使用的WordPress，在本週不只被發現多個外掛程式存在漏洞，可被用於請求偽造（CSRF）攻擊、網路釣魚，也出現供應這種延伸功能的業者遭到入侵，使得他們提供的佈景主題、外掛程式被植入後門程式。WordPress相關延伸功能存在可被攻擊的漏洞，也有待相關單位重視。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/122653/6046119"><span style="color: rgb(0, 0, 0);"><strong>臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口</strong></span></a></h4> <p>在歐美許多國家橫行的SIM卡挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。至於聯合新聞網報導的裁罰事件，NCC表示這是另一起事件，狀況不同。</p> <h4><strong><a href="https://mops.twse.com.tw/mops/web/t146sb05"><span style="color: rgb(0, 0, 0);">台達電公告部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_台達電.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_%E5%8F%B0%E9%81%94%E9%9B%BB.jpg" style="width: 300px; float: right;" /></a>1月21日早上10時左右，資安社群討論中傳出台達電子公司疑被攻擊，並通知所有員工斷網的消息，我們也密切關於這樣的情況，在今日（1月22日）下午2時05分台達電公告，當中內容指出事件發生在21日，偵測到部分資訊系統遭受駭客網路攻擊，後續已啟動資安相關防禦機制與應變作業，並表示資訊系統陸續回復續作中，台達電目前評估對公司營運無重大影響。外界猜測，該公司疑似遭到勒索軟體攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/cyber-espionage-campaign-targets-renewable-energy-companies/"><span style="color: rgb(0, 0, 0);"><strong>針對可再生能源公司、環境保護組織的網釣攻擊，臺灣也有政府機關遭到鎖定</strong></span></a></h4> <p>環保意識高漲，加上近年來能源短缺，再生能源的生產、研發也備受關注，但這些組織如今也成為駭客的攻擊目標。資安研究員William Thomas揭露一起從2019年出現的網路釣魚攻擊行動，攻擊者鎖定至少15個組織下手，使用Mail Box工具包發動攻擊。這些組織的主要共通點為與再生能源相關，如施耐德電機、Honeywell、碳揭露專案（CDP）等，值得留意的是，臺灣行政院農業委員會林業試驗所也是駭客的攻擊目標。而對於攻擊者的身分，其中有部分攻擊行動是由俄國駭客組織APT28、北韓駭客組織Konni發起。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/new-moonbounce-uefi-malware-used-by-apt41-in-targeted-attacks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Winnti再度針對UEFI韌體下手，打造惡意軟體MoonBounce發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41）鎖定電腦統一可延伸韌體介面（UEFI）韌體發動攻擊的情況，先前曾使用<a href="https://www.ithome.com.tw/news/140369">名為MosaicRegressor的惡意軟體</a>，但這些駭客又故技重施，而且，攻擊手法更加複雜、難以防範，幾乎不會在磁碟留下蹤跡。卡巴斯基揭露一起使用MoonBounce惡意軟體的UEFI韌體攻擊行動，攻擊者將其植入受害電腦主機板上的SPI快閃記憶體，並藉由驅動程式執行環境（DXE）階段啟動，進而載入到Windows核心所使用的記憶體位址運作。根據攻擊者也在受害電腦上植入惡意軟體ScrambleCross，以及C2中繼站所使用的憑證等特徵，研判攻擊者就是中國駭客組織Winnti。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/earth-lusca-sophisticated-infrastructure-varied-tools-and-techni.html"><span style="color: rgb(0, 0, 0);"><strong>Winnti附屬組織鎖定政府機關與加密貨幣公司發動攻擊</strong></span></a></h4> <p>大多APT組織的攻擊行動，目標通常相當單一，但也有駭客組織的攻擊領域甚廣。趨勢科技揭露名為Earth Lusca的中國駭客組織，並指出該組織使用網路釣魚、水坑式攻擊、應用系統的漏洞，鎖定政府單位、教育機構、宗教組織，以及香港的人權組織、武漢肺炎研究機構等。Earth Lusca疑似是Winnti旗下的附屬組織，攻擊目標多半是對於中國政府具有戰略意義的組織。</p> <h4><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/"><span style="color: rgb(0, 0, 0);"><strong>北京冬季奧運App存在資安風險，資料傳輸安全性不足，言論審查功能也惹議</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MY2022-Image-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MY2022-Image-2.png" style="width: 150px; float: right;" /></a>近期2022北京冬季奧運即將在2月4日登場，主辦方為了防疫需求，要求參賽運動員及團隊、觀眾與媒體，需安裝My2022（冬奧通）的App，以記錄個人健康狀況，但加拿大公民實驗室（Citizen Lab）在1月18日發布研究報告中，顯示該App服務有兩大爭議，一是資料傳輸安全性不足，可遭中間人攻擊，另一是App具備允許舉報他人政治敏感言論的功能，並已建立2,442個審查關鍵字詞清單，國外與會者顯然有隱私侵犯問題。研究人員在去年12月3日通報主辦單位，至今未獲回應因此公開研究結果。</p> <h4><a href="https://www.akamai.com/blog/security/mirai-botnet-abusing-log4j-vulnerability"><span style="color: rgb(0, 0, 0);"><strong>Mirai殭屍網路利用Log4Shell漏洞，鎖定Zyxel網路設備下手</strong></span></a></h4> <p>又有殭屍網路打算利用Log4Shell漏洞，企圖控制特定廠牌的網路設備。資安業者Akamai發現可在Arm處理器設備運作的惡意軟體，經分析後得知是Mirai殭屍網路病毒，其攻擊目標是針對Zyxel的網路設備而來。值得留意的是，這個殭屍網路入侵受害裝置的途徑，疑似是利用Log4j重大漏洞CVE-2021-44228（亦稱Log4Shell），但究竟攻擊者針對那些Zyxel設備而來？研究人員沒有進一步說明。</p> <h4><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#CVE-2021-35247"><span style="color: rgb(0, 0, 0);"><strong>FTP伺服器軟體Serv-U遭到Log4Shell漏洞攻擊</strong></span></a></h4> <p>攻擊者利用Log4Shell的現象，最近也出現針對企業內部建置的檔案共享系統的攻擊行動。微軟於1月19日指出，他們近期發現駭客運用零時差漏洞CVE-2021-35247，攻擊FTP伺服器軟體Serv-U。攻擊者使用上述漏洞繞過使用者身分驗證流程後，利用Log4Shell接管Serv-U伺服器。SolarWinds獲報後已發布Serv-U 15.3版予以修補。</p> <h4><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/"><span style="color: rgb(0, 0, 0);"><strong>逾90個WordPress外掛程式、佈景主題驚傳含有後門程式，疑供應商網站遭駭</strong></span></a></h4> <p>提供WordPress網站佈景主題的業者，有可能網站已經遭到入侵，而使得佈景主題已被攻擊者植入後門。專精WordPress資安與效能提升的業者Jetpack指出，他們在使用AccessPress Themes（亦稱Access Keys）所提供佈景主題的WordPress網站裡，發現惡意程式碼，經通報AccessPress Themes與WordPress之後，得知AccessPress Themes佈景主題下載網站於2021年9月上旬遭駭，該網站所提供的93個佈景主題與外掛程式，都被注入了後門程式。研究人員強調，從WordPress網站下載的佈景主題不受影響，但他們還是建議管理者安裝最新版本。</p> <h4><a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/"><span style="color: rgb(0, 0, 0);"><strong>近四分之一網釣攻擊冒用DHL的名義出手</strong></span></a></h4> <p>過往網路釣魚攻擊中，攻擊者較為偏好利用微軟和Google等IT業者的名義，來取得受害者的信任，進而得手對方的帳密等資料，但這個情況近期出現了變化。資安業者Check Point針對2021年第4季，駭客在發動網路釣魚攻擊的行動裡，所假冒的廠牌名稱，調查後發現，全球有23%網路釣魚是利用物流業者DHL的名義發動攻擊，不只比2021年第3季（9%）高出不少，也超越微軟（20%）、WhatsApp（11%）、Google（10％）。</p> <h4><a href="https://www.fortinet.com/blog/threat-research/new-strrat-rat-phishing-campaign"><span style="color: rgb(0, 0, 0);"><strong>木馬程式StrRAT以物流送貨通知的名義散布</strong></span></a></h4> <p>以物流業者送貨通知作為網路釣魚攻擊的幌子，近期成為許多駭客偏好的手法，而最近一起散布木馬程式的攻擊行動，就是以這種釣魚郵件來進行。資安業者Fortinet發現冒名馬士基航運公司（Maersk Shipping）的網路釣魚郵件，並以確認貨物裝載的時程為由，引誘收信人開啟附件，但實際上附件的檔案就是StrRAT木馬程式──攻擊者使用Allatori工具包進行混淆，而成功規避防毒軟體的偵測。StrRAT具備偵察受害電腦環境的功能，並能側錄用戶輸入的按鍵，或是從網頁瀏覽器與收信軟體裡，截取帳密；此外，該木馬程式還能假裝是勒索軟體，宣稱電腦檔案被加密，但實際上，StrRAT正外傳受害電腦的機密資料。</p> <h4><a href="https://www.inky.com/blog/fresh-phish-phishers-lure-victims-with-fake-invites-to-bid-on-nonexistent-federal-projects"><span style="color: rgb(0, 0, 0);"><strong>冒名美國勞動部的網釣攻擊，以標案的名義企圖騙取受害者的Google與微軟帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png" style="width: 300px; float: right;" /></a>網路釣魚的攻擊者為了讓受害者上當，佯稱是公部門的情況不時有事故傳出，甚至還謊稱要受害者參與招標。郵件安全業者Inky揭露自2021年下半出現的攻擊事故，駭客自稱是美國勞動部（DoL）的資深員工，針對政府正在進行的專案，想要邀請收件人參與投標，並附上幾可亂真的PDF說明文件。一旦收件人依照指示操作，就會被帶往冒牌招標網站，以竊取收件人的Google或微軟帳號。研究人員指出，這起攻擊行動中值得留意的是，駭客濫用合法組織的郵件伺服器寄信，且運用新網域的郵件信箱，而不被威脅情報系統察覺。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/red-cross-cyberattack-exposes-data-of-515-000-people-seeking-missing-family/"><span style="color: rgb(0, 0, 0);"><strong>紅十字會遭到網路攻擊，逾51萬失蹤者資料遭竊</strong></span></a></h4> <p>人道救援組織的資料外洩，有可能會使得需要幫助的人士面臨人身安全威脅。紅十字國際委員會（ICRC）於1月19日發出聲明，他們存放在位於瑞士資料中心的文件遭到外洩，這些資料是有關因戰爭、天災、移民而流離失所需要協尋的人們，這些資料來自於超過60紅十字會，至少有515,000人受到影響。一旦這些資料流出，許多人很可能將曝露在危險當中，ICRC希望竊取資料的人士，不要將這些資料公布、出售，抑或是濫用。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/multiple-ukrainian-government-websites-hacked-and-defaced/"><span style="color: rgb(0, 0, 0);"><strong>數十個烏克蘭政府網站遭駭，疑似是俄羅斯所為</strong></span></a></h4> <p>烏克蘭與俄國關係緊張的態勢，疑似因近日俄羅斯意圖說服西方國家，阻止烏克蘭加入北大西洋公約組織（NATO）不成，而發動大規模的網路攻擊。根據路透社、彭博社、莫斯科時報、Bleeping Computer等新聞網站報導，1月13日晚間烏克蘭許多政府網站，如外交部、國家安全與國防事務委員會（NSDC）等部門遭到攻擊，14日早上網站出現無法存取的情況，可能有70個政府網站遭到攻擊，這些網站的內容遭到竄改，以烏克蘭語、俄語、波蘭語宣稱，烏克蘭人的個資已經遭到外洩。</p> <p>根據莫斯科時報的報導，烏克蘭國家安全局（SSU）發出聲明證實確有此事，但強調他們尚未發現民眾資料外洩的跡象，並指控這起攻擊行動很可能就是俄羅斯所為。</p> <p>究竟這些網站是如何被入侵的？Bleeping Computer取得消息來源的說法，這些網站疑似使用存在漏洞的October CMS內容管理平臺（CMS），攻擊者透過CVE-2021-32648身分驗證繞過漏洞，做為侵入這些網站的初始管道。</p> <h4><a href="https://krebsonsecurity.com/2022/01/at-request-of-u-s-russia-rounds-up-14-revil-ransomware-affiliates/"><span style="color: rgb(0, 0, 0);"><strong>俄國逮捕勒索軟體組織REvil成員，疑似是要向美國施壓</strong></span></a></h4> <p>過往俄國政府不太積極追捕駭客，甚至被美國指控是意圖藏匿犯人，而最近一起大動作圍捕參與勒索軟體REvil攻擊行動的駭客，被認為別有用意。俄羅斯聯邦安全局（FSB）在1月14日逮捕14名REvil組織的駭客，並查獲6百萬美元、4.26億盧布、5百萬歐元現金，以及20輛透過網路犯罪所得購買的高級汽車。</p> <p>FSB強調，此舉是因應美國的要求，但外界認為，這起逮捕行動是為了轉移與烏克蘭關係緊張的焦點，並作為要脅美國的籌碼──在13日，烏克蘭數十個政府網站驚傳遭到俄國攻擊，再者，俄國總統普丁也下令，要在烏克蘭邊境部署10萬兵力。</p> <h4><a href="https://www.microsoft.com/security/blog/2022/01/15/destructive-malware-targeting-ukrainian-organizations/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體WhisperGate鎖定烏克蘭組織趁火打劫，意在破壞而非勒索</strong></span></a></h4> <p>針對烏克蘭和俄國關係緊張的情勢，除了俄國疑似於1月13日攻擊數十個烏克蘭網站之外，微軟也在同一天發現，有來路不明的駭客組織DEV-0586，利用名為WhisperGate惡意軟體，攻擊數十個烏克蘭政府機關、非營利組織、IT業者，該惡意軟體會覆寫受害電腦的主要開機磁區（MBR），索討1萬美元復原電腦，且會損壞電腦裡的檔案。研究人員認為，攻擊者的目的並非贖金，而是要徹底破壞電腦檔案。</p> <h4><a href="https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/"><span style="color: rgb(0, 0, 0);"><strong>北韓Lazarus旗下駭客組織鎖定加密貨幣新創公司，將其貨幣盜領一空</strong></span></a></h4> <p>北韓駭客鎖定加密貨幣來獲利的情況，近期又有相關的攻擊行動出現。卡巴斯基揭露Lazarus旗下的駭客組織BlueNoroff，約在2021年11月發起SnatchCrypto攻擊行動，鎖定專門處理加密貨幣、數位合約、DeFi、區塊鏈的中小型新創公司下手，對於這些企業的員工傳送具備監控功能的後門程式，最終目的是清空受害組織的加密錢包。為了讓受害者上當，該組織偽裝成超過15家風險投資業者。</p> <h4><a href="https://www.nbcnews.com/tech/security/north-korea-stole-record-400-million-cryptocurrency-last-year-research-rcna12080"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客2021年竊得4億美元加密貨幣，較前年多出4成</strong></span></a> </h4> <p><a href="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Artboard-1%402x.png" style="width: 300px; float: right;" /></a>美國與其他國家長期對於北韓實施經濟制裁，使得該國長期以來，倚賴APT駭客攻擊全球各地的金融機構，來竊取資金。但最近2到3年，北韓駭客更加關注如何偷取加密貨幣，根據區塊鏈資安業者Chainalysis調查，這些駭客在2021年總共對於加密貨幣平臺發起至少7次攻擊行動，並取得近4億美元的加密貨幣，較2020年要多出40%。其中，被竊的加密貨幣以太幣占超過半數（58%）、比特幣居次（20％）、22%是ERC-20或替代幣（Altcoin）。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://thehackernews.com/2022/01/high-severity-vulnerability-in-3.html"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式存在高風險漏洞，恐波及8.4萬網站</strong></span></a></h4> <p>專注於WordPress網站安全的Wordfence指出，他們發現3個WordPress外掛程式存在請求偽造（CSRF）漏洞CVE-2022-0215，CVSS風險層級為8.8分。這些存在漏洞的外掛程式為Login/Signup Popup、Side Cart Woocommerce、Waitlist Woocommerce，各有超過2萬個、4千個、6萬個網站使用，套件開發者XootiX獲報後已修補上述漏洞。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-flaw-puts-users-of-20-000-sites-at-phishing-risk/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式驚傳漏洞，恐被濫用於大量發送網釣郵件</strong></span></a></h4> <p>網站外掛程式的漏洞不只讓駭客可對網站造成破壞，或是攻擊瀏覽網站的上網用戶，甚至還能被用來大量發送釣魚郵件。資安業者Wordfence發現，WordPress外掛程式WP HTML Mail存在漏洞CVE-2022-0218，攻擊者一旦利用這項漏洞，就能在未經身分驗證的情況下竄改電子報範本，進而向訂戶發送網釣郵件。由於WP HTML Mail可與其他外掛程式搭配使用，如電子商務平臺WooCommerce、表單建置工具Ninja Forms、社群網站建置工具BuddyPress，影響範圍可能相當廣泛。開發人員獲報後已推出WP HTML Mail 3.1版修補漏洞。</p> <h4><a href="https://www.securityweek.com/critical-sap-vulnerability-allows-supply-chain-attacks"><span style="color: rgb(0, 0, 0);"><strong>重大SAP軟體漏洞恐被用於供應鏈攻擊</strong></span></a></h4> <p>甫被公布細節不久的軟體漏洞，很可能因為有其他利用的方式，而使得漏洞潛藏的危害比原本預期的還要嚴重，甚至可能引發類似SolarWinds供應鏈攻擊的事故。例如，專精於SAP安全的資安業者SecurityBridge，針對一項存在於NetWeaver AS ABAP、ABAP平臺的重大漏洞CVE-2021-38178提出警告，表示這項漏洞原先被發現是不正確的授權問題，能讓攻擊者將程式碼跳過檢測程序就發布，但研究人員發現，攻擊者還能竄改發布狀態，允許在正式發布程式碼後將狀態變更為「可修改」，使得攻擊者可以任意加入惡意程式進行供應鏈攻擊。這項漏洞SAP已於2021年10月發布修補程式，研究人員呼籲用戶要儘速安裝相關更新。</p> <h4><a href="https://www.ithome.com.tw/news/148905"><span style="color: rgb(0, 0, 0);"><strong>微軟防毒軟體驚傳漏洞，可讓惡意程式規避偵測</strong></span></a></h4> <p>微軟防毒軟體Microsoft Defender提供的白名單機制，已有數起攻擊行動濫用，而讓攻擊者的惡意軟體不受檢查。研究人員發現，這個白名單本身存在設計瑕疵，可讓攻擊者規避偵測，且這項漏洞存在於多個版本的Windows。SentinelOne研究人員Antonio Cocomazzi指出，攻擊者只要使用命令提示字元搜尋機碼，就能夠得知Microsoft Defender的例外資料夾，一旦將惡意軟體存放於這些資料夾裡，該防毒軟體就不會進行掃描。這項漏洞影響所有版本的Windows 10和Windows Server 2019，但Windows 11不受影響。</p> <p>針對上述揭露，資安研究員Aura表示，8年前從事技術支援時，他就察覺相關漏洞，而另一名研究人員Paul Bolton去年曾向微軟通報卻未獲得修補。</p> <h4><a href="https://www.ithome.com.tw/news/148964"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動</strong></span></a></h4> <p>武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/europol-shuts-down-vpn-service-used-by-ransomware-groups/"><span style="color: rgb(0, 0, 0);"><strong>歐美執法單位聯手，破壞網路罪犯用於藏匿行蹤的VPN基礎設施</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LabVPN_splash_page.jpg" style="width: 150px; float: right;" /></a>不只針對是罪犯組織，近期執法單位也對於提供相關工具的業者採取行動。歐洲刑警組織（Europol）於1月18日宣布，在德國漢諾威警察局中央刑事辦公室帶領之下，德國、荷蘭、加拿大等10個國家的執法單位聯手，查封提供網路罪犯VPN服務業者VPNLab的15臺伺服器。烏克蘭警方指出，在德國至少有150起勒索軟體攻擊行動的攻擊者，使用這項VPN服務，而造成6千萬歐元損失。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment"><span style="color: rgb(0, 0, 0);"><strong>半導體資安標準SEMI E187正式發布上架</strong></span></a></h4> <p>在2022年1月17日，全球首個半導體晶圓產線設備資安標準已正式上架於SEMI網站，名稱為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」。特別的是，這也是首次由臺灣主導制定的半導體相關國際標準，此項標準在四大方面提出要求，包括：作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，建立晶圓廠設備資安最低標準。</p> <h4><a href="https://www.ithome.com.tw/news/148980"><span style="color: rgb(0, 0, 0);"><strong>McAfee企業部門與FireEye合併，成立XDR公司Trellix上市</strong></span></a></h4> <p>私募基金業者Symphony Technology Group（STG）於2021年3月、6月，先後<a href="https://www.ithome.com.tw/news/143106">買下McAfee企業部門</a>，以及<a href="https://www.ithome.com.tw/news/144797">FireEye網路、郵件、端點、雲端等領域的安全管理平臺</a>，<a href="https://www.ithome.com.tw/news/147203">STG併購後於同年10月宣布，將上述2家公司整併</a>，而最近這家合併完成的新公司名為Trellix，將提供擴充偵測與回應（Extended Detection and Response，XDR）解決方案。STG亦預告會將McAfee Enterprise Secure Service Edge拆分成獨立業務，提供雲端存取安全中介服務（CASB）、網路安全閘道、零信任網路安全存取（ZTNA）等解決方案。</p> </div></div></div>
2022/1/22 18:13作者周峻佑https://www.ithome.com.tw/news/149023
【資安日報】2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網站內容管理平臺WordPress的外掛程式不時傳出漏洞，而可被駭客用於攻擊行動，但在今天的資安日報裡，出現了針對檔案提供者的供應鏈攻擊。有近百個網站佈景主題、外掛程式被植入惡意程式，研究人員調查後發現，是提供延伸功能套件的網站遭駭所致。</p> <p>物流業者已是網釣攻擊的駭客偏好冒用的對象，根據資安業者統計，在2021年第4季，<a href="https://blog.checkpoint.com/2022/01/17/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/">有近四分之一是冒用DHL的網釣郵件</a>。而在今天的資安新聞中，則是有攻擊者以大型航運公司的名義，發送釣魚郵件來散布木馬程式，由於疫情期間塞港、缺櫃情況嚴重，船務人員急切了解航運公司的處理進度，很容易就點選附件而中招。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_台達電.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_%E5%8F%B0%E9%81%94%E9%9B%BB.jpg" style="width: 220px; float: right;" /></a></h4> <h4><strong><a href="https://mops.twse.com.tw/mops/web/t146sb05"><span style="color:#000000;">台達電公告部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p>昨日早上10時左右，資安社群討論中傳出台達電子公司疑被攻擊，並通知所有員工斷網的消息，我們也密切關於這樣的情況，在今日（1月22日）下午2時05分台達電公告，當中內容指出事件發生在21日，偵測到部分資訊系統遭受駭客網路攻擊，後續已啟動資安相關防禦機制與應變作業，並表示資訊系統陸續回復續作中，台達電目前評估對公司營運無重大影響。外界猜測，該公司疑似遭到勒索軟體攻擊。</p> <h4><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/"><span style="color: rgb(0, 0, 0);"><strong>逾90個WordPress外掛程式、佈景主題驚傳含有後門程式，疑供應商網站遭駭</strong></span></a></h4> <p>提供WordPress網站佈景主題的業者，有可能網站已經遭到入侵，而使得佈景主題已被攻擊者植入後門。專精WordPress資安與效能提升的業者Jetpack指出，他們在使用AccessPress Themes（亦稱Access Keys）所提供佈景主題的WordPress網站裡，發現惡意程式碼，經通報AccessPress Themes與WordPress之後，得知AccessPress Themes佈景主題下載網站於2021年9月上旬遭駭，該網站所提供的93個佈景主題與外掛程式，都被注入了後門程式。研究人員強調，從WordPress網站下載的佈景主題不受影響，但他們還是建議管理者安裝最新版本。</p> <h4><a href="https://www.fortinet.com/blog/threat-research/new-strrat-rat-phishing-campaign"><span style="color: rgb(0, 0, 0);"><strong>木馬程式StrRAT以物流送貨通知的名義散布</strong></span></a></h4> <p>以物流業者送貨通知作為網路釣魚攻擊的幌子，近期成為許多駭客偏好的手法，而最近一起散布木馬程式的攻擊行動，就是以這種釣魚郵件來進行。資安業者Fortinet發現冒名馬士基航運公司（Maersk Shipping）的網路釣魚郵件，並以確認貨物裝載的時程為由，引誘收信人開啟附件，但實際上附件的檔案就是StrRAT木馬程式──攻擊者使用Allatori工具包進行混淆，而成功規避防毒軟體的偵測。StrRAT具備偵察受害電腦環境的功能，並能側錄用戶輸入的按鍵，或是從網頁瀏覽器與收信軟體裡，截取帳密；此外，該木馬程式還能假裝是勒索軟體，宣稱電腦檔案被加密，但實際上，StrRAT正外傳受害電腦的機密資料。</p> <h4><a href="https://www.zscaler.com/blogs/security-research/new-espionage-attack-molerats-apt-targeting-users-middle-east"><span style="color: rgb(0, 0, 0);"><strong>駭客組織Molerats鎖定中東發動後門程式攻擊</strong></span></a></h4> <p>攻擊者利用常見的雲端服務來部署攻擊工具，使得網路安全設備將其流量視為合法，而難以察覺其攻擊意圖。例如，資安業者Zscaler揭露一起自2021年7月出現的攻擊行動，APT駭客組織Molerats透過帶有惡意巨集的Office文件，攻擊巴基斯坦政治人物、銀行重要人士，以及土耳其人權鬥士、記者。這些惡意文件以巴勒斯坦和以色列之間的地緣政治衝突為誘餌，引誘受害者開啟，進行植入以.NET編譯而成的Spark後門程式。值得留意的是，與C2中繼站通訊的過程中，Molerats使用Dropbox的API進行，並透過Google Drive等雲端服務存放惡意程式，並透過軟體保護工具ConfuserEx、Themida來為Spark加殼，來規避各式資安系統的偵測。</p> <h4><a href="https://www.welivesecurity.com/2022/01/18/donot-go-do-not-respawn/"><span style="color: rgb(0, 0, 0);"><strong>駭客組織Donot Team鎖定南亞軍事組織和外交單位發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15_-Observed-chain-of-compromise-for-DarkMusical.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15_-Observed-chain-of-compromise-for-DarkMusical.png" style="width: 300px; float: right;" /></a></p> <p>ESET揭露駭客組織Donot Team（亦稱APT-C-35、SectorE02）的攻擊行動，該組織於2020年至2021年之間，鎖定孟加拉、斯里蘭卡、巴基斯坦、尼泊爾，針對當地政府機關、軍事組織、外交部、大使館發動攻擊，向特定目標寄送釣魚郵件來散布惡意軟體DarkMusical、Gedit、Jaca。一旦收信人不慎開啟附件，就會執行惡意軟體框架yty，下載該組織的攻擊工具包、掌控受害電腦。研究人員呼籲用戶要加以防範。</p> <p>研究人員特別提及，這個駭客組織疑似為了讓受害者不易察覺，以每2至4個月的頻率寄送這種釣魚郵件。</p> <h4><a href="https://www.securityweek.com/us-olympians-told-use-burner-phones-china"><span style="color: rgb(0, 0, 0);"><strong>繼英國、荷蘭，美國也要求北京奧運參賽選手使用一次性手機</strong></span></a></h4> <p>北京奧運即將於2月4日開幕，但中國可能會監控選手的傳聞，也是歐美國家擔心的問題。繼英國、荷蘭向選手提出警告，在中國參賽期間不要使用自己的手機、筆電，不久後美國奧委會也宣布，將提供選手拋棄式手機（Burner Phone），並在使用後徹底銷毀這些設備。外界認為，美國此舉與日前主辦方提供的App裡，疑似存在言論審查的字詞名單有關。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/telegram-is-a-hotspot-for-the-sale-of-stolen-financial-accounts/?"><span style="color: rgb(0, 0, 0);"><strong>Telegram成駭客偏好銷贓金融帳號資料的重要管道</strong></span></a></h4> <p>即時通訊軟體Telegram重視用戶隱私的特性，也被駭客看上，用來出售他們偷來的各式金融帳號資料。資安業者Cybersixgill指出，他們看到攻擊者在2020年至2021年，大量使用Telegram來銷售竊得的信用卡資料、加密貨幣錢包等金融帳號資料，雖然在2021年整體在求售的資料量較2020年大幅下降，但主要原因是非接觸式的行動支付興起，以及新核發的信用卡數量減少，該公司認為這種情況仍然值得關注。值得留意的是，買賣最多的外洩金融資料是PayPal帳號，因為駭客會用來購買加密貨幣，目的是為了洗錢。</p> <h4><a href="https://s4.itho.me/sites/default/files/images/2022-01-22_165702_2021高風險賣場165(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_165702_2021%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4165(1).jpg" style="width: 220px; float: right;" /></a></h4> <h4><strong><a href="https://www.facebook.com/165bear/posts/4927888510603943"><span style="color:#000000;">2021年度高風險網購平臺出爐，誠品書店與東森購物均有近千件的民眾報案，明顯比往年嚴重</span></a></strong></h4> <p>根據刑事警察局統計，2021年解除分期詐騙的5大民眾通報高風險賣場，分別是誠品書店（940件）、東森購物（868件）、蝦皮購物（358件）與金石堂（324件），其中誠品書店與東森購物的警方受理案件數，都將近千件，相較於2020年民眾通報最多的Momo是383件，2021年因個資外洩引發的詐騙問題，明顯趨向嚴重。另外，去年還有其他通報對象受關注，例如，王品集團旗下擁有多個平臺，以及多個假冒愛心公會的事件，估計加總報案數量也不少，前日我們已向警方索取資料，後續將有進一步的結果揭露。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/mcafee-agent-bug-lets-hackers-run-code-with-windows-system-privileges/"><span style="color: rgb(0, 0, 0);"><strong>McAfee端點代理程式存在漏洞，攻擊者可取得作業系統最高權限</strong></span></a></h4> <p>甫與FireEye合併到Trellix的McAfee Enterprise，最近針對Windows版的McAfee代理程式發布5.7.5版更新，當中修補本地權限提升（LPE）漏洞CVE-2022-0166，這項漏洞與代理程式內含的OpenSSL元件有關，一旦攻擊者利用這項漏洞，將能以NT AUTHORITY\SYSTEM權限執行任意程式碼，甚至有可能規避防毒軟體的偵測。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/22 15:22作者周峻佑https://www.ithome.com.tw/news/149021
IoT雙周報第107期：工研院打造城市規模的國產自駕車高精地圖，範圍能覆蓋全新竹市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>01/08~/1/22精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">高精地圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國產自駕車 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>工研院機械所打造國產自駕車專用高精地圖，可覆蓋全新竹市道路</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 348px;" /></p> <p>過去國產自駕車專用高精地圖，涵蓋範圍大多僅限於自駕測試路段，地圖範圍並不大，不過，工研院機械所數位長王傑智近日在<a href="https://www.facebook.com/photo?fbid=10159632294079378&set=pcb.10159632299284378">臉書</a>展示他們團隊所打造一個城市規模的自駕車高精地圖，其範圍已經足以涵蓋總面積達104平方公里的新竹市所有道路。</p> <p>高精地圖與一般地圖有很大不同，因為是自駕車專用，除了需達公分級精度，還需要一輛配備光達的圖車繪製地圖，並在地圖上標註路緣、車道限速、路口、交通號誌、人行道等周邊環境資訊，供自駕車道路行駛判斷之用。為了建置全市高精地圖，機械所自駕車團隊結合不少演算法和自動化工具，來縮短地圖繪製所需的人力和時間，才能短短1～2年內建置完成。</p> <p>從已蒐集圖資的路線來看，這個高精地圖幾乎遍及全新竹市道路，西邊遠到南寮漁港，東延伸到新竹科學園區，南至中華大學周邊，往北更涵蓋竹北部分地區。而且不只市區，還有聯外主要幹道、濱海公路，甚至針對一些重要交通匯集地及其周邊，如新竹車站、竹塹城迎曦門等，都已建構完整3D高精地圖圖資。。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧港口 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣港務公司 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣重要航運港口也開始導入Edge AI，結合3千支攝影機，能即時偵測異常事件和危險行為</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 316px;" /></p> <p>身為臺灣重要航運樞紐的監管機構，臺灣港務公司平時負責管理全臺9個重要港口船舶進出，光是北中南9個港口就部署3千支攝影機，所有監控影像全部集中回傳到總公司，由監控中心統一管理和安全監控，但以往多仰賴人力24小時監看，效率不彰。為了解決這個問題，近兩年，臺灣港務公司與大猩猩科技合作，在重要港口導入邊緣AI技術，結合攝影機能主動偵測港區作業，除了提高營運管理效率和降低人力監看成本，還能及時偵測異常事件和危險行為，像是偵測港區違停車輛，或禁止釣漁區域有人員闖入時，監控中心人員從電視螢幕牆就能馬上看到。甚至拍攝影像不需要回傳監控中心，現場就能透過影像分析即時告警，遇遊客失足落海時，能大大縮短救援時間。</p> <p>臺灣港務公司同時還善用IoT蒐集與分析港區環境、車流數據來持續優化與改善港口交通與安全。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雷達感測器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>瞄準消費端IoT應用，Google聯手福特、晶片廠共推開放雷達API新標準Ripple</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 335px;" /></p> <p>在今年CES期間，Google連同福特汽車、三家晶片大廠等宣布將制定新的雷達感測整合API標準Ripple。根據Ripple網頁說明，Ripple是一個開放雷達API標準，可用來實現軟硬間互通，並加快雷達在消費端應用的部署，未來不只能應用於手機，還能廣泛運用於IoT裝置、車用裝置等。</p> <p>負責Ripple API標準制定的聯盟成員包括Google、晶片業者英飛凌（Infeneon）、德儀（TI）、NXP、福特汽車及心肺訊號感測器開發Blumio。Google原本就有開發自己的雷達動作感測技術Soli，先後整合在Pixel 4手機、智慧型手錶及智慧螢幕Nest Hub，可用於手勢指令感測、3D 臉部辨識、睡眠狀態偵測，但因Soli感測不夠精確，加上未找出關鍵使用情境，即未再使用。</p> <p>通過開放的API標準，硬體整合商或開發人員能更容易開發結合雷達感測功能的新產品和服務，用於手勢操控、物體偵測及人體生理監測等，還可跨不同雷達硬體運用到不同行業。</p> <p>第一版Ripple標準將藉由通過明確定義硬體抽像化API、訊號處理函式庫、擴充套件來實現 FMCW （頻率調變連續波）雷達間的互通性。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IoT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 沃爾瑪 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>沃爾瑪運用IoT優化外送到家服務，顧客用IoT溫控箱就能遠端簽收及監控食品溫度</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 322px;" /></p> <p>受疫情影響，美國許多消費者正逐漸改為線上購物、外送到府的消費模式，取代到實體門市購物。美國零售巨頭沃爾瑪也因應這樣模式推出如InHome外送到家服務，將訂購商品直送消費者家中或其冰箱，還計畫2022年底將InHome服務覆蓋範圍從600萬戶家庭擴大至3千萬戶。</p> <p>該公司最近開始利用IoT技術優化外送到家服務，在顧客家門外放置IoT溫控箱，不只能隨時追蹤貨品保存狀況，用戶也能遠端收貨。消費者線上購物完後，送貨員以手持裝置掃描就能打開箱子，將該筆訂單物品放進箱內，並拍照回傳，顧客遠端就能進行簽收，人不用到現場。</p> <p>該溫控箱分三層設計，用於儲放冷凍、冷藏食品和一般物品。消費者用手機App就能監看箱內貨品保存狀況，還能根據環境隨時調整溫度，一旦箱內溫度異常會自動告警。拿取箱內物品時，除了本人親自開箱，也能設定權限，允許家人或鄰居開啟箱子幫忙拿取物品。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧電表 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧家庭 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>NextDrive聯手台電推出家庭能源管理大型試驗計畫，要讓一萬戶家庭都能用Line查看即時用電</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 338px;" /></p> <p>近日，臺灣能源物聯網新創聯齊科技（NextDrive）與台電合推家庭能源管理（HEMS）新服務，將智慧電表用電資訊與Line綁定，民眾用Line就能查看在家每天，甚至每10分鐘用電資料，未來用電記錄還可以精細到一分鐘前的用電都看得到。這也是臺灣智慧電表結合HEMS應用第一起大型試驗計畫。初期以1萬戶家庭或商家為目標。</p> <p>在HEMS服務功能上，NextDrive推出用電報告、節能計畫和節能御守3項基本功能，其中用電報告，可以產出用電報表，讓用戶管理每月、每周、每天用電支出，可提供每10分鐘的用電更新頻率，使用者還可設定每月或每期電費預算，一旦電費超支會自動提醒。該公司未來將推出更多進階服務和功能，例如用電異常偵測、電能管理、智慧家電整合服務、電動車充電管理等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">車聯網 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嵌入式OS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>搶攻車聯網市場，汽車零件巨頭Aptiv併購嵌入式軟體商Wind River</strong></span></strong></p> <p>汽車零件大廠Aptiv日前重砸43億美元大舉收購嵌入式軟體商Wind River。1981年成立的Wind River，以提供嵌入式即時作業系統及開發、部署工具為主，現有1,700多家客戶，其作業系統軟體用於全球20多億臺邊緣裝置，涵括航太、國防、電信及汽車產業。Wind River過去幾經易主，先是由英特爾在2009年以8.84億美元買下，用來發展嵌入式業務，2018年將其分拆後，TPG Capital跟進收購，接著2022年1月時，再由Aptiv自TPG手上買下。</p> <p>Aptiv說明，收購Wind River是因應汽車產業走向連網、軟體定義，需要完整解決方案加速軟體開發及部署，合併後Wind River將維持獨立運作，但改名為進階安全暨使用者體驗（AS&UX）事業群。此收購案2022年中完成。</p> <p><strong> </strong></p> <p><strong>攝影／余至浩　圖片來源／HomeValet、Waymo、CTA、工研院機械所數位長王傑智臉書</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></strong></p> <p><strong><strong>1. 高通發表Snapdragon汽車數位底盤新平臺，推出車對雲、車聯網、ADAS及座艙體驗整合晶片方案</strong></strong></p> <p><strong><strong>2.Waymo與美國運輸物流公司J.B. Hunt擴大合作，將在德州展開自駕卡車送貨</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年1月</strong></strong></p> </div></div></div>
2022/1/22 17:51作者余至浩https://www.ithome.com.tw/news/149022
AI代工是臺灣產業轉型未來10年新方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「明天當AI變成新電力，臺灣若沒有掌握這個能力，所有競爭力都會下滑，這也代表AI會滲透到各個領域，需要各方面的領域知識。」2017年初接任科技部部長的陳良基回憶，當時有一件事，上任後他非做不可。</p> <p>2016年，圍棋AI程式AlphaGo打敗了多次世界冠軍的韓國棋王，以晶片研發享譽國際的陳良基才驚覺，AI時代比人們想像得來得早來臨，這個技術已經走出實驗室，變成了真實世界可以應用的技術。</p> <p>陳良基當時就意識到：「將來誰掌握了數據的科技，在未來的時代就會占有優勢，大家都知道工業革命對每一個國家競爭力的影響，若有一個這麼重要的第四次工業革命正在發生，臺灣當然要搶在浪頭，也要發揮原有優勢，這對國家未來的國力提升，絕對是優勢。」</p> <p>這正是為何，到了2017年時，開始有少數大國，如美國、中國、加拿大公布了國家AI戰略，將AI發展拉高到國家級戰略的高度，全力押寶。</p> <p>時至今日，2022年，全世界超過10個國家，將AI視為國家發展戰略的主軸，不管是美國、中國、法國、英國、加拿大、德國、澳大利亞、日本、韓國、新加坡等，都是要發展頂尖AI技術來維持領先優勢，甚至英國在2021年下半年還加碼宣布了未來10年AI戰略，目標就是要成為世界AI強權之一。</p> <p>「我是做研究的人，長年站在時代浪頭，當時看到AI對臺灣未來的發展，非常重要。」陳良基擅長的研究領域是晶片，他認為：「沒有晶片不用講AI，AI一定會用到半導體技術，臺灣原有的ICT優勢、半導體優勢，可以順著AI浪潮衝上去。」</p> <p>正因如此，當他在2017年成為科技部部長後，就將該年定為臺灣AI元年，要傾臺灣科技研發資源，要來推動臺灣的國家級AI戰略。</p> <p><span style="font-size:28px;"><strong>先承認資源不夠，再選定未來重要目標</strong></span></p> <p>但是，臺灣不是世界大國，許多企業的規模也沒那麼大，「如果什麼AI都做，分散資源，最後可能一點機會都沒有。」2017年時，陳良基到行政院院會報告新AI政策方向時，他這樣強調：「AI戰略應該慎重以對，採取小國大戰略，先承認我們的資源不夠，選定對臺灣未來的重要項目，猛力去攻，才可以打敗第四次工業革命中的世界強國。」大戰略選定了AI，但在戰術執行上，得想辦法聚焦，才能善用有限的資源。</p> <p>為了思考臺灣的AI戰略，陳良基和科技部團隊，拜訪了好幾個國家，遠赴海外到英國、德國、法國到加拿大等，了解他們的AI策略，甚至到英國國會，與英國AI策略規劃團隊請教。</p> <p>當時各國AI策略時，經常用AI論文數，作為衡量一個國家AI研發實力的指標。但是，臺灣人口少，再怎麼比論文數，全世界排名還是處於20名左右，很難名列前茅。</p> <p>學界實力得靠論文，除了論文數量，引用數是學界另一個常見指標，當一篇論文受到高度討論、大量在其他人的論文中討論引用時，也是另一種影響力的展現。</p> <p>陳良基換個角度思考，如何能拿到非常獨特，甚至是全世界都還沒有人知道的題目，「只要我們先解出答案，不論數量多少，每一篇都會受到全世界看重。」</p> <p>但要什麼樣的論文，才可以獲得高度影響力？陳良基組了一個規畫小組，找來產學界專家，共同討論，在小國AI大戰略的方向下如何進行，要找出值得投入的「未來的題目」。</p> <p>以學術機構或研究團隊過去的成果和影響力來考慮是一種尋找未來投資方向的策略，也是學界常見方法之一，但每個AI實驗室各有擅長的題目，每個人覺得自己的題目最重要，規畫小組還是難以抉擇哪些是有潛力的未來題目。</p> <p>陳良基認為：「誰在第一線戰場，敏感度就會最高。」所以，他決定改由業界提需求來找出優先投入的議題，「未來產業要AI化、或是業界需要AI如何加持，最欠缺什麼AI技術，就透過學界研發團隊來補足這個缺口。」</p> <p><span style="font-size:28px;"><strong>業界出題、學界解題模式的誕生</strong></span></p> <p>這個戰術角度的轉換，就催生了「業界出題、學界解題」模式。後來，科技部組成了專家小組進行海選，要找出臺灣得優先推動的AI課題。陳良基對海選小組提出一個要求，最後挑選出來的專案，必須是將來有機會落地。他希望押寶的目標是由產業和學界聯手，能結合臺灣產業優勢，未來有機會發展出產業生態鏈的專案。</p> <p>最後海選出了28個計畫，為了提供行政協助，科技部在大學中，成立四大研究中心，但旗下計畫都採取產學融合的型態來進行。「這個做法，對臺灣研發學界是很大的體制轉變。」陳良基事後指出。</p> <p>從技術面來看，資料、演算法和算力，這是現在眾所皆知的AI發展三的關鍵。透過「業界出題、學界解題」模式，業界不只貢獻了「題目，也提供了自己的「資料」，讓學界可以研發「演算法」，三大關鍵只剩下最後一個環節「算力」。</p> <p>「算力是臺灣的優勢」，陳良基解釋，臺灣擁有半導體產業，也是PC王國，大廠的伺服器都是臺灣製造，「如何運用這些技術，對臺灣來說不難。」所以，在科技部AI計畫中，要投資50億元，來發展AI需要的運算環境。後來，由國網中心與廣達、台灣大、華碩組成AI 硬體國家隊，用了半年多的時間，合力打造出AI超級電腦「台灣杉二號」，在2018年11月，以9PFLOPS的超強計算效能，拿下全球超級電腦排名第20名，再次超越了臺灣歷年排名記錄。</p> <p>「國家幫忙建造運算環境，AI研發團隊專注各種不同的領域知識，用那些領域的資料來建立演算法和平臺。」如此一來，所有需要AI訓練的團隊，就可以有一個能夠快速學習的環境，陳良基強調：「如果沒有好的環境，一個想法要隔兩三個禮拜才能驗證，創新熱度就會消失，若讓想法可以很快證明，就能很快再想另一個點子。」</p> <p>義隆電子和中研院合組團隊的計畫就是小國AI大戰略第一批補助的28個AI計畫之一，也利用了國網中心提供的運算環境，來不斷測試、驗證自己的AI模型。這個團隊，<a href="http://www.ithome.com.tw/article/148305" target="_blank">後來催生了一個世界第一的感測AI技術YOLOv4，成了「業界出題、學界解題」模式的典範</a>，也證明了陳良基這個另類AI發展策略的成功。</p> <p>「越創新，就越能有這個優勢，當以你不是做別人已經解過的題目，而是解別人沒有辦法解的題目，」陳良基剖析，<a href="http://www.ithome.com.tw/article/148305" target="_blank">不只YOLOv4，接班的YOLOR架構</a>也是全新的想法。「修改別人的問題，嘗試創新突破，想的時間可能一樣，訓練的時間可能一樣久，但你設定標竿的目標，就會走在頂尖的方向上。」</p> <p>2017年當時他還不敢大聲喊出，希望臺灣成為AI標準的制訂者。因為大力推動AI時，他多次遭質疑是講大話，甚至遭人批評，科技部將資源過度集中到單一領域中，但是，「不試試看，怎麼知道呢！」他自己這樣打氣的說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-21_%E9%99%B3%E8%89%AF%E5%9F%BA_%E5%9C%8B%E7%AB%8B%E8%87%BA%E7%81%A3%E5%A4%A7%E5%AD%B8_%E9%9B%BB%E6%A9%9F%E7%B3%BB_%E8%AC%9B%E5%BA%A7%E6%95%99%E6%8E%88_20211203.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><img alt="" src="file:///C:/Users/ithome/Downloads/1061-2425-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-%E8%B1%86%E5%AD%90-%E9%99%B3%E8%89%AF%E5%9F%BA-web-resources/image/21_%E9%99%B3%E8%89%AF%E5%9F%BA_%E5%9C%8B%E7%AB%8B%E8%87%BA%E7%81%A3%E5%A4%A7%E5%AD%B8_%E9%9B%BB%E6%A9%9F%E7%B3%BB_%E8%AC%9B%E5%BA%A7%E6%95%99%E6%8E%88_20211203.png" />攝影／洪政偉</span></p> <p><strong><span style="color: rgb(105, 105, 105);">明天當AI變成新電力，臺灣若沒有掌握這個能力，所有競爭力都會下滑，這也代表AI會滲透到各個領域，需要各方面的領域知識。── 前科技部部長陳良基</span></strong></p> <p><span style="font-size:28px;"><strong>YOLO證明臺灣團隊有能力成為世界第一</strong></span></p> <p>「<a href="https://www.ithome.com.tw/article/148305" target="_blank">YOLO模型的例子</a>，就是證明臺灣可以做得到，可以成為世界標竿，站到最頂端，我們研究人員有這個實力，這對臺灣其他研究者可以帶來信心。」陳良基這樣比喻，就像戴資穎羽球打那麼好，就會覺得臺灣羽球界也可以做得到，就不會不敢參加國際比賽或者參賽時信心不足。</p> <p>陳良基觀察，YOLOv4自己也成了一個世界級平臺，國外很多人透過開源方式，運用這個模型來展示的應用越來越多，「這對國內企業和學界也是一個非常好的標竿。」</p> <p>這樣的指標帶來另一個意義，他補充，企業以前考慮頂尖技術時，都覺得國外團隊比較厲害，臺灣企業跟臺灣團隊合作時，都會秤斤秤兩，有一種給你好處的味道，「<a href="https://www.ithome.com.tw/article/148305" target="_blank">YOLO這個例子</a>可以讓企業知道，最厲害的團隊就在你身邊，不用捨近求遠，反而找國際知名研究團隊。」</p> <p>後來，科技部推出產學研發中心計畫，招募企業挹注學界研究經費，政府也會給提供同額補助的作法，也吸引了不少企業，例如玉山金控等，開始與國內大學有更多研究合作。</p> <p><span style="font-size:28px;"><strong>不只成為世界第一，更要落地產業</strong></span></p> <p>「業界出題、學界解題」模式，是一種「以終為始」的思考策略，「不是單看一家研究機構實力很強就通過計畫，而是以未來的目標，來決定怎麼組合團隊。」陳良基解釋。</p> <p>但陳良基心中的終點，不是一項技術成為世界第一而已，而是要「落地產業」，變成一項產品或是一家新創，才是他期待的最終目標。</p> <p>為何以落地產業作為目標，源自陳良基過往研究時曾遇過的挫折。他早年從事影像研究，在臺大開發出了頂尖技術，不久後，他到美國AT&T進修，這家公司的研發人員看到他來非常驚訝，反而告訴陳良基，我們正將你的論文做成影像電話，後來，這個電話反而賣到臺灣來。「我回臺之後，就下定決心，不要這樣做研究，未來任何研究之前，要先思考能不能在臺灣產業落地。」</p> <p>在陳良基入閣之前，他長年批評政府對於新興產業的扶植力道不夠。臺灣一直不乏有卓越的研究成果，可是，「技術從實驗室離開、落地，得在產業開花結果才算數。」2017年以前，陳良基常在不同場合呼籲，政府對科技投資金額越來越大，但卻沒有明顯反映在產業效益上，尤其他認為，對新興科技的扶植，應該催生出新產業，「從2000年到2017年間，沒有成功看到臺灣出現任何新興產業，可以落地生根壯大。」</p> <p><span style="font-size:28px;"><strong>從技術落地，下一步得發展成AI新創產業聚落</strong></span></p> <p>YOLOv4證明了臺灣技術可以比國際大廠厲害，「若能發展出一家家新創，每一家都有獨門絕活，組成產業聚落，全世界任何品牌要推AI在地服務，臺灣可以成為底層服務的供應者。」這是陳良基對臺灣AI發展另一個有待實現的大夢。要做到這件事，不只需要業界出題學界解題的新模式，「還得建立生態系，讓這些團隊有很好的發展，就像種田一樣。」</p> <p>從小在雲林農家長大的陳良基，用種田來描述他想推動的新創生態系發展策略。要收割稻子，要先翻土，打通水路，還要設立秧苗區，讓秧苗慢慢長大，過程中，不同時間點要給不同的養分，等到秧苗茁壯之後，才能插秧到更大的田地中發展。</p> <p>後來，科技部在2018年時成立的臺灣科技新創基地TTA（Taiwan Tech Arena），就是陳良基眼中的新創秧苗區，可以引進國內外新創加速器資源，像是國際資金和人脈等，也讓這些新創有一個可以展現初步成果的空間。幾年下來，也孵化出幾家知名新創，帶著原本計畫的成果前進產業。</p> <p><span style="font-size:28px;"><strong>將新電力的服務通道，發展成產業生態鏈</strong></span></p> <p>AI是新電力，但不是每一家企業都要自建新電力的發電廠，而是要連結到新電力的源頭，陳良基認為：「這個新電力的服務通道，可以變成一個產業生態鏈，也是政府可著力之處，才能降低現有產業進入AI的門檻。」</p> <p>另一方面，不是現有產業結合AI 就能滿足的需求，就得將新技術發展成新創產業來滿足，其中最重要的條件就是資金，不過，陳良基觀察，每年臺灣AI新創獲得挹注的資金規模還是遠低於國際資金對AI的投入規模。「當秧苗進入稻田的養分不夠大，就會長不好，科技部已經打好臺灣的AI基礎，落地化則是國發會和經濟部必須留意的事。」</p> <p><span style="font-size:28px;"><strong>未來10年，臺灣要從半導體代工轉型成AI代工</strong></span></p> <p>「未來10年，臺灣應該慢慢從半導體代工，轉型到AI代工型態的產業，朝向AI服務業的模式發展。」陳良基這樣建議，單靠臺灣市場不容易培養出全球品牌，但臺灣擅長所有底層服務，也擁有伺服器產業，很有機會成為頂尖AI技術服務公司，可以成為國際品牌商背後的AI供應商，就像臺灣現在的半導體代工產業一樣，成為品牌商背後的供應鏈體系一樣。</p> <p>打群架是臺灣的優勢，不是跟Google對打，而是成為它的夥伴。就像Tesla有七成供應商來自臺灣一樣。「做到這樣，臺灣未來10年的發展就穩了！」他建議：「AI代工轉型可以是臺灣產業轉型的下一個方向。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 前科技部部長陳良基個人小檔案 </span></strong></span></p> <p><span style="color:#696969;"><strong>學經歷：臺灣大學電機系講座教授。一位雲林農家長大的田庄子弟，1986年獲得成大電機博士，也是臺灣第一位CAD領域本土博士。從1998年開始，長年在臺大擔任教職，後來還成為臺大副校長。曾擔任過工研院電子所所長、國家實驗研究院院長，還獲選為國際電機電子工程學會會士。2016年入閣，擔任教育部政務次長，推動了不少技職教育改革，隔年2月8日轉任科技部部長，力推小國AI大戰略，直到2019年5月卸任，才歸建回到臺大重任教職。</strong></span></p> </div></div></div>
2022/1/22 16:35作者王宏仁https://www.ithome.com.tw/news/149014
Google釋出供用戶稽核企業資料庫的Cloud SQL for MySQL擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端釋出針對雲端資料庫服務Cloud SQL for MySQL，可用來<a href="https://cloud.google.com/blog/products/databases/cloud-sql-for-mysql-launches-database-auditing">稽核資料庫的擴充套件</a>。該擴充套件提供多種企業資料庫稽核常用功能，讓用戶資料庫更容易維持在符合法規且安全的狀態。</p> <p>所謂的資料庫稽核，是讓用戶能夠追蹤資料庫中特定用戶的操作，像是資料表更新、讀取查詢和用戶權限授予等。資料庫稽核對於出於安全原因，需要追蹤用戶的活動或是遵守各種財務、政府和ISO法規的組織非常有用。而現在Google釋出擴充套件，在Cloud SQL for MySQL 5.7和8.0，開始支援資料庫稽核功能。</p> <p>官方提到，當用戶在MySQL中管理敏感資料，可能會有義務紀錄和監控用戶資料庫的活動。雖然用戶可以設定MySQL的慢查詢日誌（Slow Query Log），或是通用日誌，來創建用戶活動的稽核追蹤，但這些日誌會明顯影響資料庫效能，而且也沒有針對稽核最佳化格式。</p> <p>雖然也有專用於稽核的開源套件，但Google表示，這些套件缺乏企業用戶需要的進階安全功能，像是基於規則的稽核，或是遮蔽結果等。而Google現在所提供專用於資料庫稽核的擴充套件，針對三類型用戶設計，包括管理員、稽核員和客戶。</p> <p>用戶可以定義稽核規則，來管理紀錄資料庫活動，該活動以資料庫稽核日誌的形式紀錄，該擴充套件能夠將敏感資料包括用戶密碼等，從稽核日誌中遮蔽，並將處理過後的資料庫稽核日誌，發送到雲端日誌服務Cloud Logging中。</p> <p>用戶可以在Cloud Logging查看所有使用者，對資料所進行的任何操作，另外，用戶也能使用自定義的日誌接收器，將這些日誌路由到Cloud Storage儲存桶或是BigQuery，進行長時間留存，甚至是使用Splunk或其他日誌管理工具，執行即時異常偵測。</p> </div></div></div>
2022/1/22 14:54作者李建興https://www.ithome.com.tw/news/149010
美國參議院司法委員會通過反壟斷的《美國創新及選擇網路法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管<a href="https://www.ithome.com.tw/news/148981" target="_blank">Google與蘋果大力反對</a>新的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act），但美國參議院的司法委員會（Senate Judiciary Committee）周四（1/20）依舊以16:6的投票結果通過了該法案，外界預期它也可能順利通過參議院的最終表決。</p> <p>《美國創新及選擇網路法案》將限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。</p> <p>即使蘋果批評相關法案可能危及使用者隱私及安全，Google則扣了更大的帽子，宣稱相關法案將危及美國身為全球技術領先者的地位，並可能威脅美國國家安全，但司法委員會仍然批准了該案。</p> <p>參議院司法委員會總計有22名委員，並由共和黨與民主黨各占一半席位，雖然蘋果與Google正對此進行大規模的遊說行動，企圖勸阻該法案，不過，外界認為已由兩黨取得共識的法案並不容易被攔下。</p> </div></div></div>
2022/1/22 13:24作者陳曉莉https://www.ithome.com.tw/news/149018
Meta開源第一個適用於文字、聲音和影像的高效能自我監督演算法Data2vec
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在自我監督學習技術上，取得最新進展，其所開發的<a href="https://ai.facebook.com/blog/the-first-high-performance-self-supervised-algorithm-that-works-for-speech-vision-and-text/">Data2vec</a>，是第一個適用於多模式的高效能自我監督演算法，可以分別應用於語音、圖像和文字，效能比過去僅針對電腦視覺和語音的演算法更好，並且在NLP任務也具有一定的水準。</p> <p>研究人員提到，現在大多數的人工智慧技術，仍然是以監督學習作為基礎，必須使用標記資料。不過有許多人類希望機器人做的事情，不可能收集到標記資料，像是雖然目前有許多研究人員，在收集英語語音和文字，來創建大規模標記資料集，但對於地球數以千計的語言來說，這種方法並不可行。</p> <p>但自我監督技術，能夠讓電腦自己觀察世界，並且弄清楚圖像、語音和文字的結構，Meta提到，對於不用明確教導分類圖像，或是理解口語的機器，可擴展性高上許多。</p> <p>但現在自我監督學習的研究，幾乎都集中在同一種模態上，Mata舉例，像是文字，研究人員訓練模型來填補句子的空白，語音模型則需要預測語句中缺失的聲音，對電腦視覺任務而言，模型要從多張圖像裡，找到更為相關的照片。</p> <p>演算法在不同的模態使用不同的處理單位，視覺是以像素或是視覺標記為預測單位，文字是單字，而聲音則是音訊波形等。演算法設計會與特定的模態關聯在一起，演算法底層的實作也不相同。</p> <p>而Meta最新開發的Data2vec則簡化了這個麻煩，無論模態為何，能夠對不同的輸入資料，預測各自的表示（Representation）。這些表示為神經網路的分層，而不是單詞或是波形，這消除了學習任務中對特定模態目標的依賴。</p> <p>Meta的方法是使用一個導師網路，計算圖像、文字和聲音中的表示，接著遮蔽部分輸入，要學生模型重複該過程，並且預測導師網路的潛在表示，學生模型必須在只看過部分資訊的情況下，預測完整輸入資料的表示。導師網路和學生模型相同，但權重略為過時。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/271815807_4636921079718503_8613393990345138136_n.gif?_nc_cat=107&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=jXKyTteHwvwAX-hSfSp&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT84Crie8fjeys5d-h-Z0nUsHKikr1TH0HNc-duBzThVnQ&oe=61EE73F1" style="width: 580px;" /></p> <p>Meta使用ImageNet電腦視覺基準來測試Data2vec，在一般的模型大小中，Data2vec比現在所有方法表現都還要好，語音上的效能表現，更勝於wav2vec 2.0或HuBERT，在文字方面，效能與BERT重新實作的版本RoBERTa相同。</p> <p>官方提到，Data2vec代表了一種新的自我監督學習範式，能夠處理多模態，而非僅單一模態，而且Data2vec也不仰賴對照學習（Contrastive Learning）或是重建輸入的範例。</p> <p>因此Data2vec除了能夠加速人工智慧的發展，也更加能夠建構無縫學習周圍環境的各種機器，使得人工智慧更具適應性，並擁有執行更多任務的能力。現在Meta對外開源程式碼以及預訓練模型，讓其他研究人員可以接續Meta的研究。</p> </div></div></div>
2022/1/22 13:27作者李建興https://www.ithome.com.tw/news/149007
Netflix第四季營收成長16%，看淡今年首季讓盤後股價大跌20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2021/q4/FINAL-Q4-21-Shareholder-Letter.pdf" target="_blank">全球最大串流服務Netflix周四（1/20）公布去年第四季財報</a>，顯示該季營收為77.09億美元，比前一年同期成長16%，淨收入為6.07億美元，高於前一年同期的5.42億美元，不過，由於Netflix看淡今年第一季的表現，使得Netflix當天的盤後股價大跌20.22%，股價落在405.5美元。</p> <p>Netflix在去年第四季新增了830萬名付費訂閱用戶，使得該公司的總訂閱用戶數達到2.22億名。相較於2020年同期的表現，Netflix去年第四季不管是在營收、獲利或訂閱用戶數都是成長的，不過，該季新增的付費用戶低於Netflix原本估計的850萬名。</p> <p>此外，Netflix也預測今年第一季只會新增250萬名新用戶，不僅低於去年同期增加的400萬名，也遠低於華爾街分析師所預期的690萬名，而使得Netflix的盤後股價大跌超過100美元。</p> <p>Netflix甫於去年第四季<a href="https://www.ithome.com.tw/news/147646" target="_blank">發表支援行動裝置的遊戲服務</a>，該服務並未額外向使用者收費，迄今已有10款遊戲上架。此外，Netflix日前率先<a href="https://www.ithome.com.tw/news/148921" target="_blank">調高了北美市場的每月訂閱費用</a>，預期將陸續調高其它市場的價格，可望對該公司的營收有所助益。</p> </div></div></div>
2022/1/22 11:51作者陳曉莉https://www.ithome.com.tw/news/149015
Amazon要開時裝店了！Amazon Style今年將在洛杉磯開張
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-reimagines-in-store-shopping-with-amazon-style" target="_blank">Amazon本周宣布</a>，將在今年於洛杉磯的Americana at Brand廣場開設該公司首家實體時裝店Amazon Style，計畫於此一實體店面中整合實體及網路購物的優勢，同時藉由行動程式簡化消費者的購物流程。</p> <p>以線上書店起家的Amazon不斷跨足各種服務，目前它除了已是全球最大的電子商務平臺，以及全球雲端運算服務龍頭之外，也設立<a href="https://www.amazon.com/find-your-store/b/?node=17608448011" target="_blank">各式的實體商店</a>包括書店Amazon books、專門評價四星以上商品的Amazon 4-star、生鮮超市Amazon Fresh、於所併購的Whole Foods連鎖超市內展示各種新品的Amazon Pop-Up快閃店，以及無人超商Amazon Go等。</p> <p>根據Amazon的介紹，Amazon Style看似為一家專門展示與試穿的店面，將根據流行趨勢與電子商務平臺上的消費者經驗，於實體店面提供數百種品牌的服飾與配件，消費者在店內只要透過Amazon Shopping行動程式掃描商品的條碼，就能馬上得知它的尺寸、顏色與評價等詳細資訊，還可點選是否要試穿或直接送到結帳櫃臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-Amazon%20Style-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Amazon</span></p> <p>消費者可於行動程式上選擇所有欲試穿的服飾及尺寸，接著它們就會被送到試穿室，試穿室中還會有一個觸控螢幕，讓使用者繼續瀏覽其它選項，例如要求送來其它尺寸或是Amazon根據消費者喜好所推薦的服飾。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0122-Amazon%20Style-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></p> <p>所有出現在Amazon Style上的商品都是來自於Amazon線上商店，而且價格也一樣；消費者可以在門市試穿，自網路購買；或者是在試穿之後存放於Amazon Shopping程式上以利之後購買；也能在網路上購買時直接要求送至門市，試穿後若不滿意則可直接退貨，實現了虛實整合的購物經驗。</p> </div></div></div>
2022/1/22 10:41作者陳曉莉https://www.ithome.com.tw/news/149012
微軟釋出新年第一個VS Code Java擴充套件更新，並說明接下來發展路線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了<a href="https://devblogs.microsoft.com/java/java-on-visual-studio-code-update-january-2022/">2022年第一個VS Code Java擴充套件更新</a>，新版本嵌入了JRE，簡化用戶需要操作的配置，另外，微軟也聽取開發者的意見，簡化格式子（Formatter）的配置。發布新版本消息的同時，官方也說明了新的一年，Java擴充套件的發展方向。</p> <p>在Java擴充套件直接嵌入JRE，代表開發者不再需要配置JDK來執行擴充套件，只需要對專案配置JDK就可以了，這可使開發者的日常操作更方便。微軟也更新起始頁面，以及配置Java Runtime的配置頁面，以提供更好的入門體驗，對新用戶來說，只需要安裝Java擴充套件包（Extension Pack for Java），並且針對專案下載Java開發者套件，就能創建Java檔案，開始編寫程式碼。</p> <p>另一項更新則是配置Java格式子的設定，官方提到，過去他們常接到開發人員的反應，表示常需要替Java程式碼配置格式化設定，有時候還找不到格式子設定來預覽其效果。因此微軟加入檢視圖，讓開發者在更改格式子設定的時候，能夠先預覽其效果。</p> <p>開發者除了能直接使用命令開啟預覽功能之外，也可以到Java幫助中心頁面進行設定，用任一方式進入格式子配置檢視圖，開發者都可以更改和預覽VS Code中的格式子設定。</p> <p>在2021年，微軟對VS Code Java擴充套件進行不少改進，其中包括與紅帽合作，加入Java語言支援1.0，而且也添加了Gradle支援。在2022年，官方也列出許多要更新的目標。</p> <p>首先，微軟仍會繼續著重在基礎開發體驗的提升上，像是提供更智慧的程式碼完成建議，或是生成更相關的程式碼片段，並根據用戶的偏好，提供各種快捷操作。</p> <p>微軟也提到，他們會繼續探索Project Loom，來提供虛擬執行緒的支援，提高除錯效能。另外，呈現測試覆蓋率也是微軟希望加入支援的功能，以強化Java的測試體驗，當然，微軟也會繼續支援更新的技術，因此2022年會加入Java 18支援。</p> <p>第二個微軟關注的領域，則是擴充套件的效能和可靠性，官方要先改進Java語言伺服器的可靠性，來減少無回應的情況。對於用戶反應，當有許多相依項目需要下載，在第一次匯入專案需要花費很長的時間，官方將進行研究解決該問題，另外，微軟還要縮短程式碼完成的回應時間，來提升使用者體驗。</p> <p>微軟也承諾將會提供Spring Boot端到端的支援。Spring Boot是目前最流行的Java框架，讓開發者可以簡單地開始建立微服務，或是網頁應用程式。目前Java擴充套件對Spring Boot提供了許多最佳化，接下來微軟還會與VMWare合作，簡化Spring專案、控制器和beans的創建工作流程，並更好地視覺化呈現核心Spring概念，同時改進使用Spring Boot儀表板，管理Spring應用程式生命周期的方式。</p> </div></div></div>
2022/1/22 10:45作者李建興https://www.ithome.com.tw/news/149004
【資安日報】2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自12月初Log4Shell漏洞公布後，許多駭客開始用於實際攻擊行動，而最近有2起攻擊針對特定應用系統，分別是針對FTP伺服器，以及網路設備而來，而駭客攻擊後者的目的，疑似是要散布殭屍網路病毒。</p> <p>近期中國駭客組織Winnti（亦稱APT41）的攻擊行動不斷被發現，在本週的資安日報裡，已有該組織旗下的Earth Lusca發動網路釣魚、水坑式攻擊，但今天又有研究人員發現，Winnti針對電腦的UEFI韌體發動惡意軟體攻擊，而這已經不是第一次該組織運用這種手法，使用者應該要加強相關防護。</p> <p>有許多企業採用的網站內容管理平臺WordPress，其外掛程式出現漏洞的情況不時出現，大多影響的範圍是網站運作，或是瀏覽網站的使用者遭到攻擊，但在這兩種之外，許多網站提供延伸閱讀功能的模組，如WP HTML Mail電子報元件，也可能變成攻擊者利用的對象。在本日的資安日報裡，研究人員揭露此電子報模組的漏洞，可被攻擊者用於網路釣魚郵件攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.akamai.com/blog/security/mirai-botnet-abusing-log4j-vulnerability"><span style="color: rgb(0, 0, 0);"><strong>Mirai殭屍網路利用Log4Shell漏洞，鎖定Zyxel網路設備下手</strong></span></a></h4> <p>又有殭屍網路打算利用Log4Shell漏洞，企圖控制特定廠牌的網路設備。資安業者Akamai發現可在Arm處理器設備運作的惡意軟體，經分析後得知是Mirai殭屍網路病毒，其攻擊目標是針對Zyxel的網路設備而來。值得留意的是，這個殭屍網路入侵受害裝置的途徑，疑似是利用Log4j重大漏洞CVE-2021-44228（亦稱Log4Shell），但究竟攻擊者針對那些Zyxel設備而來？研究人員沒有進一步說明。</p> <h4><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#CVE-2021-35247"><span style="color: rgb(0, 0, 0);"><strong>FTP伺服器軟體Serv-U遭到Log4Shell漏洞攻擊</strong></span></a></h4> <p>攻擊者利用Log4Shell的現象，最近也出現針對企業內部建置的檔案共享系統的攻擊行動。微軟於1月19日指出，他們近期發現駭客運用零時差漏洞CVE-2021-35247，攻擊FTP伺服器軟體Serv-U。攻擊者使用上述漏洞繞過使用者身分驗證流程後，利用Log4Shell接管Serv-U伺服器。SolarWinds獲報後已發布Serv-U 15.3版予以修補。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/new-moonbounce-uefi-malware-used-by-apt41-in-targeted-attacks/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織Winnti再度針對UEFI韌體下手，打造惡意軟體MoonBounce發動攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MoonBounce_the_dark_side_of_UEFI_firmware_01.png" style="width: 300px; float: right;" /></a>中國駭客組織Winnti（亦稱APT41）鎖定電腦統一可延伸韌體介面（UEFI）韌體發動攻擊的情況，先前曾使用<a href="https://www.ithome.com.tw/news/140369">名為MosaicRegressor的惡意軟體</a>，但這些駭客又故技重施，而且，攻擊手法更加複雜、難以防範，幾乎不會在磁碟留下蹤跡。卡巴斯基揭露一起使用MoonBounce惡意軟體的UEFI韌體攻擊行動，攻擊者將其植入受害電腦主機板上的SPI快閃記憶體，並藉由驅動程式執行環境（DXE）階段啟動，進而載入到Windows核心所使用的記憶體位址運作。根據攻擊者也在受害電腦上植入惡意軟體ScrambleCross，以及C2中繼站所使用的憑證等特徵，研判攻擊者就是中國駭客組織Winnti。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/indonesias-central-bank-confirms-ransomware-attack-conti-leaks-data/"><span style="color: rgb(0, 0, 0);"><strong>印尼央行遭到勒索軟體Conti攻擊，十餘個系統受到波及</strong></span></a></h4> <p>勒索軟體Conti發動攻擊的事故，最近2至3個星期已有數起，而這次的受害者是大型政府機關。印尼銀行（Bank Indonesia）於1月20日表示，他們遭到勒索軟體攻擊，攻擊者竊取了屬於員工所有的非重要資料（non-critical data），並在該銀行十多個系統部署勒索軟體。而對於攻擊者的身分，勒索軟體Conti宣稱從印尼銀行竊得13.88GB資料。而這是繼該國衛生部、石油公司Pertamina遇害後，當地2022年第3起大型網路攻擊行動。</p> <h4><a href="https://www.ithome.com.tw/news/148985"><span style="color: rgb(0, 0, 0);"><strong>新加坡加密貨幣交易所遭入侵，損失3,300萬美元</strong></span></a></h4> <p>加密貨幣平臺遭到攻擊且將大筆資金轉走的事故，又再添一樁。新加坡加密貨幣交易所Crypto.com，於1月17日遭到駭客入侵，而對於受害的情況，區塊鏈研究團隊OXT Research指出，駭客盜走4,600個以太幣、444個比特幣，價值近3,300萬美元。Crypto.com執行長Kris Marszalek在接受彭博電視臺（Bloomberg TV）專訪時透露，約有400名客戶受到影響，但他們將補償這些客戶的損失。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-flaw-puts-users-of-20-000-sites-at-phishing-risk/"><span style="color: rgb(0, 0, 0);"><strong>WordPress外掛程式驚傳漏洞，恐被濫用於大量發送網釣郵件</strong></span></a></h4> <p>網站外掛程式的漏洞不只讓駭客可對網站造成破壞，或是攻擊瀏覽網站的上網用戶，甚至還能被用來大量發送釣魚郵件。資安業者Wordfence發現，WordPress外掛程式WP HTML Mail存在漏洞CVE-2022-0218，攻擊者一旦利用這項漏洞，就能在未經身分驗證的情況下竄改電子報範本，進而向訂戶發送網釣郵件。由於WP HTML Mail可與其他外掛程式搭配使用，如電子商務平臺WooCommerce、表單建置工具Ninja Forms、社群網站建置工具BuddyPress，影響範圍可能相當廣泛。開發人員獲報後已推出WP HTML Mail 3.1版修補漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148980"><span style="color: rgb(0, 0, 0);"><strong>McAfee企業部門與FireEye合併，成立XDR公司Trellix上市</strong></span></a></h4> <p>私募基金業者Symphony Technology Group（STG）於2021年3月、6月，先後<a href="https://www.ithome.com.tw/news/143106">買下McAfee企業部門</a>，以及<a href="https://www.ithome.com.tw/news/144797">FireEye網路、郵件、端點、雲端等領域的安全管理平臺</a>，<a href="https://www.ithome.com.tw/news/147203">STG併購後於同年10月宣布，將上述2家公司整併</a>，而最近這家合併完成的新公司名為Trellix，將提供擴充偵測與回應（Extended Detection and Response，XDR）解決方案。STG亦預告會將McAfee Enterprise Secure Service Edge拆分成獨立業務，提供雲端存取安全中介服務（CASB）、網路安全閘道、零信任網路安全存取（ZTNA）等解決方案。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/21 14:41作者周峻佑https://www.ithome.com.tw/news/149002
iOS 15已占7成，蘋果催iOS 14用戶儘速升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釋出iOS、iPadOS 15將近4個月後，<a href="https://support.apple.com/en-us/HT204204" target="_blank">本周蘋果發出舊版本用戶升級提醒</a>，暗示可能即將終止支援iOS/iPadOS 14。</p> <p>根據蘋果公告，如果用戶使用的是iOS及iPadOS 14.5以後版本，上周起將看見裝置上出現升級新版OS的選項。這選項讓用戶可以選擇升級到iOS及iPadOS 15，或是持續留在iOS、iPadOS 14，選擇後者則可接獲安全更新「一段時間」。沒看到自動更新選項的用戶，蘋果提醒可以手動更新。</p> <p>不同於現行Android裝置涵蓋多個舊版本，iPhone上的iOS版本向來組成單純，且用戶一向很快就更新到最新版本。<a href="https://developer.apple.com/support/app-store/" target="_blank">根據蘋果上周公布的資料</a>，在現行開通4年以下的iPhone中，<a href="https://www.ithome.com.tw/news/146814" target="_blank">去年9月才推出的iOS 15</a>已占72%，iOS 14占26%，更早版本只占了2%。在iPad上，iPadOS 15和14的占比各為57%和39%。</p> <p>從<a href="https://www.macrumors.com/2021/01/27/apple-active-devices-worldwide-january-2021/" target="_blank">iPhone已賣出16.5億支</a>來看，這26%仍是不小數目。</p> <p><a href="https://www.zdnet.com/article/still-running-ios-14-on-your-iphone-apple-brings-support-to-an-end/" target="_blank">媒體認為</a>，在iOS 15推出4個月後公布這個訊息，意謂著蘋果已經在催這些用戶快點升級，只是因為蘋果曾經承諾將持續支援iOS/iPadOS 14，因此也不便太明白說要終止支援。</p> <p>雖然iOS/iPadOS 14用戶短期內仍然會接到安全更新，由於針對iOS裝置的惡意程式演進相當快速，媒體建議，為了安全起見，用戶最保險方法還是早日升級到iOS 15為宜。</p> </div></div></div>
2022/1/21 17:27作者林妍溱https://www.ithome.com.tw/news/149009
AT&T、Verizon在爭端中開通C頻段5G服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國兩大電信業者AT&T和Verizon本周三（1/19）按原定計畫，啟動了C頻段（C-Band）5G服務，但排除美國部分機場周邊地區。</p> <p>這項服務原本預計在12月中開通，但因被認為可能干擾飛機升降所需的高度計運作，遭航空業強力阻撓，並形成電信業與航空業之間的僵局。航空業拉攏美國航空總署（FAA）、白宮形成反對陣營，迫使AT&T及Verizon開通日期二度延遲到1月19日。本周二在開通前夕，航空業再度出手阻撓，<a href="https://www.ithome.com.tw/news/148961" target="_blank">兩大電信業者同意</a>再延後美國「部分機場」周邊基地臺的5G服務，但持續推動其他地區的開通計畫。周三延後計畫估計影響各家電信業者約10%的基地臺。</p> <p><a href="https://about.att.com/innovationblog/2022/connectivity.html" target="_blank">AT&T表示</a>，C頻段5G服務一開始將只在美國8座都會開通，之後「謹慎而有效率」向其他地區擴展。AT&T也透過線上和實體商店銷售17款支援該5G服務的裝置。</p> <p><a href="https://about.att.com/pages/5g-plus.html" target="_blank">C頻段是AT&T支援的3種5G服務之一</a>。現有低頻段（low-band）5G服務及使用毫米波的5G+服務，分別在1.6萬座及40多個城市開通。而C頻段頻譜服務則介於兩者之間，採用3.7GHz到3.98GHz，屬於中頻段（midband）頻譜，兼具高傳輸率及高覆蓋區域的優點，也包含在5G+服務項目下。</p> <p>相較於AT&T的局部部署策略，<a href="https://www.verizon.com/about/news/speed-january-19-2022" target="_blank">Verizon周三宣布</a>計畫在全美1,700座城市開通5G Ultra Wideband（5G UWB）網路，預計增加9,000萬用戶，涵括2,000萬家戶及200萬企業用戶。</p> <p>這次調整暫時緩解了美國兩大產業的對峙。在美國航空業及協會的宣傳下，許多外國航空公司，包括阿聯酋及日本航空一度決定要取消飛美航班。</p> </div></div></div>
2022/1/21 16:38作者林妍溱https://www.ithome.com.tw/news/149005
桃市府導入Azure混合超融合架構，要打造混合雲架構的資料倉儲，集中管理IoT大數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/13～2022/01/19）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 桃園市政府 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure混合雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>桃市府建置混合雲，要打造市政資料治理暨分析平臺集中管理IoT大數據，實現智慧城市建設</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/20220112-DSC_7504.jpg" style="width: 600px; height: 418px;" /></strong></span></strong></p> <p>為進一步實現智慧城市的建設，桃園市政府近日宣布將採用混合式超融合基礎結構方案Azure Stack HCI，先建置以混合雲架構為基礎的機房，待微軟臺灣資料中心啟用後，再連結到Azure公雲，使用上面公有雲服務。桃園市政府希望透過混合雲架構來打造一套現代化的資料倉儲，集中管理分散各機關的資料後，近一步來打造一個市政儀表板，能即時反應市政治理狀況。</p> <p>桃園市政府積極發展智慧城市政策，部署了智慧路燈、空氣盒子等IoT裝置，收集人流、車流、空氣品質等城市治理資料，今年更計畫落地多項5G應用，像是布建配有高畫質監視器的5G智慧桿，來量測雨天道路水面高度，以掌握市裡的積水狀況，而各項應用將會產生大量數據。</p> <p>桃園市政府資訊科技局局長余宛如表示，智慧城市背後的核心是資料治理、資訊應用，她進一步說明，一個城市治理的資料來源非常多，包含交通、醫療、教育、產學等，各個層面的資料非常繁雜，這次雙方合作的重點就是，收攏資料進來，透過資料整治工具，跨平臺彙整資料進資料倉儲。</p> <p>桃市府與微軟的合作分兩階段進行，第一階段，桃市府會先藉由Azure Stack HCI混合雲產品，將現有應用系統虛擬化，來翻新市府現有IT架構為混合雲架構。另外也將導入混合多雲管理解決方案Azure Arc，透過單一平臺來管理不同廠牌的公雲或地端VM環境。第二階段，再進一步建立現代化資料倉儲，將各機關資料處理標準化，也要收集智慧燈桿、上千個空氣盒子等IoT裝置的數據，透過「市政資料治理暨大數據分析平臺」，來分析所搜集的物聯網相關資料，打造市政儀表板，開放市政資料供民眾掌握。<a href=" https://news.microsoft.com/zh-tw/taoyuan-azure/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3M </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 供應鏈追蹤 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>3M搬遷逾2千個應用、45PB數據上雲，利用公雲服務開發生產流程追蹤系統應對供應鏈短缺</strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_3MAWS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%88%AA%E5%9C%96(1).png" style="width: 600px; height: 263px;" /></p> <p>3M公司在2020年初宣布，搬遷資訊基礎設施上公有雲，涵蓋EPR、業務核心應用，日前對外分享上雲成果，以及公有雲服務的使用狀況。生產超過6萬種產品的3M，截至今日，已經搬遷超過2,000個應用、9,000臺VM，其中包括了一套全球規模的SAP應用實例和45PB數據上雲，最後關閉了一座大型資料中心。搬遷腳步相當快，3M在一年內，就完成61%一級應用的搬遷工作。</p> <p>3M在全球37國有超過200處工廠，製造是其關鍵競爭優勢。為了提升對供應鏈的掌握度，3M更花了一年多的時間，不只將關鍵製造系統上雲，也用雲端服務開發和部署了一套生產流程追蹤系統，來追蹤產品原材料的流向，一路到成品形成的生產過程。搭配使用圖形資料庫Neptune和運算服務Lambda，3M數位轉型資深副總裁Shaun Braun表示，為了因應原料短缺狀況，團隊現只需幾秒鐘就可掌握工廠原物料的持有狀況，這是過去得花數天才能做到的事。<a href=" https://www.youtube.com/watch?v=NGixN9rCQy4">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣網路 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式延遲性 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Azure靜態網頁應用服務可以支援企業級邊緣網路，能從全球118處網路點快取網站靜態內容來加速載入</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_static%20web%20apps_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 601px; height: 418px;" /></strong></span></p> <p>微軟Web應用程式建置服務Azure Static Web Apps新增企業級邊緣網路，由自家全球可擴充進入點Front Door支援，企業不需配置或編寫程式碼，就可加快全球性規模的應用程式的頁面載入速度，同時，強化安全性和提高可靠性，現提供預覽版。企業級邊緣網路是一種零配置的雲端服務，包括CDN和應用程式加速功能。當企業啟用新功能，微軟會在遍布全球100個都會建立的118個網路連接點（Points of Presence，POP）中，快取企業網站的靜態內容，降低應用程式的延遲性，並提供更高的吞吐量。</p> <p>此外，企業啟用企業級邊緣網路後，微軟會將網站即時流量搬上全球分散式網路，換句話說，網站會在微軟全球應用程式和交付網路上運作，不會因為故障而下線。微軟表示，如此可避免惡意攻擊者存取應用程式，而影響應用的可用性和效能，再加上全球網路提供大規模容量，能夠監控流量變化，防禦常見的網路層攻擊。<a href=" https://azure.microsoft.com/zh-tw/blog/accelerate-your-websites-with-azure-static-web-apps-enterpriseedge/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 管理控制臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 服務使用費 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS翻新控制臺主頁加入動態內容，企業可客製化8大工具集的配置</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Console_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS%202(3).png" style="width: 600px; height: 467px;" /></p> <p>AWS宣布重新設計管理控制臺的主頁，提供視覺化服務資訊，涵蓋多個AWS地區的動態數據，簡化用戶獲取不同雲服務使用狀況概覽的程序。新的主頁預設畫面由8個工具集（widget）組成，涵蓋3個提供靜態連結的工具集，協助用戶了解如何建構解決方案，以及探索AWS，包含了Welcome to AWS、Build a Solution和Explore AWS。</p> <p>另外8個工具集則提供動態資訊，內容依據用戶應用程式和基礎設施使用的AWS服務呈現，包含了提供重要事件和變動資訊的AWS Health、提供服務使用費用概覽的Cost and Usage，還有羅列已添加書籤之服務的收藏夾、近期訪問之服務的列表，以及提供最佳實踐建議的顧問功能。用戶可以根據需要的內容，移動工具集來客製化主頁，還可以調整各個工具集的大小，甚至刪除部分的工具集。新的控制臺主頁現已在各個AWS地區上線。<a href=" https://aws.amazon.com/blogs/aws/a-new-aws-console-home-experience/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s部署 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>VMware正式推出以K8s為核心雲端原生平臺Tanzu Application Platform，企業可加速開發及部署應用到公有雲</strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_TAP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware(1).png" style="width: 600px; height: 319px;" /></p> <p>VMware在去年9月自家Java開發框架大會SpringOne上，預告將推出的新應用程式派送平臺Tanzu Application Platform（TAP），近日正式上線。TAP是一個以K8s為核心的DevOps平臺，融合Spring Framework技術及微服務平臺Tanzu Application Service（TAS）的應用能力，提供開發工具及流程，加速企業開發及部署應用到公有雲，或是本地端經認證的K8s叢集上。</p> <p>新推出的TAP其實是VMware用K8s發展的第二套雲端原生平臺，原提供開發者使用的雲端原生應用平臺TAS，因底層架構Cloud Foundry開源PaaS平臺未獲各大公雲的普遍支援，所以跨雲流通性不夠。TAP不只可部署K8s服務或容器化應用，也是一個可派送高階服務的派送平臺，像是SQL資料庫服務、快取資料庫服務等。</p> <p>VMware現代化應用程式平臺資深副總裁Ajay Patel在去年亞洲媒體團訪中更透露，正在發展一個新專案，可以將第三方服務打包成TAP可以派送的對象，就能用來調度和派送那些非K8s環境上的服務。針對想轉移到TAP的TAS用戶，VMware則提供移轉和相容工具。<a href="https://tanzu.vmware.com/content/blog/tanzu-empowers-superior-secure-developer-experiences">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務漏洞 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 存取權限 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>AWS Glue服務藏資安漏洞，恐讓攻擊者存取數據整合服務上的企業資料</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_AWS%20Glue_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Orca.gif" style="width: 600px; height: 338px;" /></strong></span></p> <p>資安業者Orca資安研究團隊日前發現，AWS無伺服器資料整合服務Glue藏有資安漏洞，可允許攻擊者獲得具完全管理權限的憑證，存取其他Glue用戶的資料。Orca研究人員發現Glue的一個功能，可獲得特定於服務帳號本身的憑證，從而可惡意地存取服務內部的API。經調查，該漏洞是因Glue服務內部配置錯誤，而造成。</p> <p>AWS接獲通報後，一路追溯服務的日誌最遠至上線之時，進行分析，發現該問題僅存在於Orca研究人員的帳號間的活動。因此，在一份對外聲明中，AWS表示，Glue用戶不需要更新系統，且強調該漏洞不會影響其他用戶的帳號，也不會影響沒有使用Glue的用戶，並已完成此漏洞的修復。Glue服務在用戶帳號中採取的操作，則全面記錄在CloudTrail中，用戶可以隨時查看。<a href=" https://orca.security/resources/blog/aws-glue-vulnerability">（詳全文）</a></p> <p><strong>圖片來源／桃園市政府、微軟</strong><strong>、AWS、VMware、Orca</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.新加坡貿易與工業部預告將更有選擇性地篩選落地境內的資料中心，挑選具有高資源使用效率的機房設施</strong><a href=" https://www.mti.gov.sg/Newsroom/Parliamentary-Replies/2022/01/Written-reply-to-PQ-on-data-centres">（詳全文）</a></p> <p><strong>2.微軟宣布密運算執行實例DCsv2 DCsv3系列降價，使用費最高降低33%</strong><a href=" https://azure.microsoft.com/en-us/updates/announcing-price-reductions-for-azure-confidential-computing/">（詳全文）</a></p> <p><strong>3.微軟預告將在2/1正式推出Microsoft Cloud for Retail，為零售業營運場景整合自家多項雲端服務，打造專屬零售業雲服務</strong><a href=" https://cloudblogs.microsoft.com/industry-blog/retail/2022/01/12/microsoft-cloud-for-retail-is-now-generally-available/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/21 16:46作者黃郁芸https://www.ithome.com.tw/news/149006
俄羅斯央行提議禁止開採及使用加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cbr.ru/eng/press/event/?id=12627" target="_blank">俄羅斯中央銀行本周四（1/20）公布</a>了一份有關<a href="https://www.cbr.ru/Content/Document/File/132242/Consultation_Paper_20012022_eng.pdf" target="_blank">加密貨幣的諮詢報告</a>，詳列了加密貨幣的各種風險，並提議禁止境內的加密貨幣挖礦及使用行為，有鑑於俄羅斯為全球前三大比特幣（Bitcoin）挖礦國家，消息一出又讓比特幣價格下滑超過7%，目前一枚比特幣價格接近3.9萬美元。</p> <p>俄羅斯央行於報告中指出，過去一年來，全球加密貨幣市場飆升，去年12月時總市值達到2.3兆美元，占全球金融資產的1%，儘管加密貨幣的支付交易次數遠不及遠端支付系統，但其交易的匿名性卻讓它被廣泛應用於非法活動上，就算金融機構對加密貨幣的參與有限，與加密貨幣相關的衍生品及ETF的交易量，以及分散式金融（DeFi）生態體系卻持續而長。</p> <p>此外，俄羅斯民眾為線上加密貨幣交易平臺的活躍用戶，每年的交易額高達50億美元，且俄羅斯也是全球加密貨幣挖礦量最大的國家之一。<a href="https://ccaf.io/cbeci/mining_map" target="_blank">根據劍橋比特幣電力消耗指數（Cambridge Bitcoin Electricity Consumption Index）在去年8月的統計</a>，全球的比特幣挖礦活動有超過6成集中在美國（35.4%）、哈薩克（18.1%）與俄羅斯（11.23%）。</p> <p>然而，俄羅斯央行卻認為，長遠來看，以加密貨幣進行結算的潛力有限，其市值的快速成長主要源自於投機需求，市場對其價格進一步上漲的預期刺激，再加上新市場參與者的需求推動，而這導致了市場泡沫的形成，將對俄羅斯的散戶投資人及金融穩定性帶來威脅。</p> <p>現階段全球並無統一的加密貨幣監管規定，可見的相關措施包括警告消費者有關的投資風險，提高對加密貨幣交易中心的管控，而中國、印度或伊朗已禁止或計畫禁止加密貨幣的交易及挖礦行為。</p> <p>俄羅斯央行坦言，已開發國家對加密貨幣的態度較為寬容，卻也逐步擴大對相關服務或應用的監管，而對於包括俄羅斯在內的新興市場而言，加密貨幣將對金融穩定性帶來更高的潛在風險，因此建議俄羅斯應立法控管加密貨幣，防範可能的威脅。</p> <p>該央行所提出的建議包括：對使用加密貨幣的俄羅斯民眾或實體究責，禁止於俄羅斯境內發行或提供加密貨幣交易服務，禁止金融機構投資加密貨幣與相關的金融工具，此外，央行也認為挖礦所使用的電力將威脅境內的電力供應，禁止於俄羅斯挖礦可能是最好的解決方案。</p> <p>此一報告在3月1日以前，將接受外界提供各種意見與評論。</p> </div></div></div>
2022/1/21 17:07作者陳曉莉https://www.ithome.com.tw/news/149008
Google Analytics被判違反GDPR，Google呼籲歐美建立新的資料傳輸框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟視使用Google Analytics等美國公司技術違反歐洲隱私法GDPR，<a href="https://blog.google/around-the-globe/google-europe/its-time-for-a-new-eu-us-data-transfer-framework/" target="_blank">Google高層本周呼籲</a>應再次建立歐、美之間的資料安全傳輸框架。</p> <p>德國一家出版商網站因使用美國Google Analytics的追蹤技術，本月稍早被<a href="https://www.ithome.com.tw/news/148885" target="_blank">奧地利政府資料保護主管機關判定違反GDPR</a>。這是基於歐盟法院2020年的Schrems II判決，廢除了美國和歐盟之間的隱私盾（Privacy Shield）資訊傳輸保護協議，因為歐盟法院認為美國監控法要求美國包括Google、臉書等供應商必須將用戶個資提供給美國，原本的傳輸協定已經不足以保護歐盟用戶的隱私。</p> <p>本周Alphabet、Google全球事務暨法務長Kent Walker對此做了回應，指出Google提供全球企業Analytics服務15年來，從未發生奧地利政府擔心的情形：接到美國政府要求提供歐盟使用者個資，該公司也不認為未來美國會依據監控法提出這類要求。</p> <p>Walker並提到，2020年歐盟的Schrems II判決，其實也未能阻止歐盟人民資料的全球流程。Google 認為除了法規外，他們提供的廣泛措施才更能提供實務上更有效的防護方法，來保護歐盟民眾資料隱私。</p> <p>Walker指出，雖然奧地利政府的判決只是針對單一一家出版商及特定情境，但影響層面卻很大。欠缺明確法規下，可能的觸法風險將使線上出版商或小型企業怯於資料流通，進一步影響歐美企業的經濟活動。</p> <p>他指出，歐洲地區及美國的企業都期望歐盟及美國儘速確認隱私盾之後的新資料傳輸協定，以便及早恢復歐美之間的線上經濟活動，同時確保雙邊用戶的資訊隱私。</p> <p>歐洲倡議組織Noyb於2020年針對使用Google Analytics的歐盟企業，共提出101項控訴。Noyb榮譽主席Max Schrems預期大部份歐盟會員國將出現類似判決。</p> <p>去年3月美國商務部長Gina Raimondo與歐盟司法委員會主席Didier Reynders聯合宣布，<a href="https://ec.europa.eu/commission/presscorner/detail/en/STATEMENT_21_1443" target="_blank">要共商遵循Schrems II判決的新資訊傳輸協議</a>。但雙方進度緩慢。<a href="https://insidecybersecurity.com/daily-news/european-official-warns-%E2%80%98don%E2%80%99t-hold-your-breath%E2%80%99-privacy-shield-successor" target="_blank">去年歐盟執行副總裁Margrethe Vestager指出</a>，雖然這對雙方而言都是極優先任務，但談判牽涉複雜因素，暗示外界不需屏息以待，因為還沒這麼快有結果。</p> </div></div></div>
2022/1/21 14:31作者林妍溱https://www.ithome.com.tw/news/149001
夏天起美國國稅局將要求使用特定線上服務的民眾進行人臉辨識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.irs.gov/newsroom/new-identity-verification-process-to-access-certain-irs-online-tools-and-services" target="_blank">美國國稅局（Internal Revenue Service，IRS）本周公告</a>，自今年夏天開始，不管是一般使用者或稅務專業人士要於網路上使用特定的國稅局服務時，都必須透過與IRS合作的ID.me進行身分認證，而人臉辨識則是ID.me認證身分的必要元素之一。</p> <p>ID.me為美國私人企業所提供的網路身分認證網路，而IRS則將把特定服務的身分認證交由ID.me負責，包括查詢個人帳號資訊、透過網路取得各種申請表格、網路支付協議、兒童稅收減免，以及獲得身分保護PIN碼等。</p> <p>至於ID.me的身分認證程序，將要求美國民眾提供諸如駕照或護照等身分證件上的照片，也必須利用手機或電腦上的攝影機自拍並上傳。</p> <p>IRS表示，這是國稅局身分、憑證與存取管理計畫（ICAM）的一環，提供更多的管道予納稅人，以進行身分認證及存取IRS的各種服務；此外，通過ID.me身分認證的美國民眾不僅能使用IRS的各種網路服務，亦可存取整合ID.me服務的其它美國政府機關的服務。</p> </div></div></div>
2022/1/21 14:49作者陳曉莉https://www.ithome.com.tw/news/149003
杜克大學研究人員開發出第一個能展示診斷過程的胸腺癌偵測模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techxplore.com/news/2022-01-ai-breast-cancer-sleuth.html">杜克大學</a>針對放射科醫師，開發了一個人工智慧平臺，能夠用於分析乳房X光片，找出潛在的癌變組織，提供醫師額外的資訊，以決定是否要進行侵入性檢驗。這個系統的特別之處在於，其所使用的演算法能夠被解釋，也就是說，醫生能夠知道演算法做出決定的理由，因此也就更能相信人工智慧給出的結果。</p> <p>研究人員提到，電腦要助醫生做出重要的醫療決策，首先醫生必須相信人工智慧所得到的結論，是根據有意義的證據，因此他們開發的演算法不僅可以推理出結論，還可以自我解釋，展示得出結論的過程，如此人工智慧才能夠協助醫生做出更好的決定。</p> <p>即便FDA已經批准了百種以上可用於臨床的演算法，但是不少演算法缺乏可解釋性，一旦醫生使用人工智慧出現失敗案例，人工智慧在高醫療風險決策中的使用便會遭到質疑，研究人員提到，人工智慧模型的確很容易失效，在不同的設備上部署模型，就可能因為設備本身微小的差異，使得模型出現錯誤。</p> <p>因此當模型能夠自己說明結果推論的過程，模型的可信度將會明顯上升。研究人員使用來自484名患者所拍攝的1,136張圖像，訓練人工智慧模型，研究人員提到，他們教人工智慧找到可疑的病變組織，但同時忽略健康的組織與不相關的資料，且聘請放射科醫生，仔細的標記圖像，來教會人工智慧精確地辨識癌變組織的邊緣，並將這些邊緣和圖片中已知癌症和良性腫瘤的邊緣進行比較。</p> <p>放射狀線條以及模糊的邊緣，通常是腫塊的邊緣，也是惡性胸線腫瘤的最佳預測指標，研究人員提到，因為癌細胞複製快速，擴散速度非常快，導致X光片中並非所有擴張中的腫瘤邊緣都容易被發現，該特徵是放射科醫生第一優先尋找的標的。而杜克大學研究人員所開發的人工智慧模型，則能模仿醫生的行為，把焦點放在這些難以發現的邊緣上，並在解釋診斷過程時，把這些邊緣圈選出來。</p> <p>研究人員以訓練真正的放射科醫生一樣的方式，來訓練人工智慧模型，而非讓模型自由發展辨識過程，與其他無法解釋，存在黑盒子的模型相比，這個新的模型由於其可解釋性，因此甚至可以成為訓練平臺，教學生檢視乳房X光片，或是可以在醫療資源稀缺的地區，提供更好的乳房X光檢查。</p> <p>研究人員表示，他們以特別的方式來訓練人工智慧檢視醫學圖像，與其他人工智慧模型的差異在於，其他模型並未嘗試模仿放射科醫生，甚至在特殊情況下，可能會從有缺陷的推理過程獲得結果。這個新的人工智慧模型模型，辨識結果雖然無法超越人類放射科醫師，但是能與其他模型的表現一樣好，並且在出現錯誤時，讓使用者發現模型出現錯誤，並且知道發生錯誤的原因。</p> </div></div></div>
2022/1/21 13:23作者李建興https://www.ithome.com.tw/news/148997
Google在臺、港、韓測試在Windows PC執行Android手遊的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周宣布將在臺灣、香港和南韓地區，<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">測試能讓Android手機版遊戲App在Windows PC執行的App及技術</a>。</p> <p>微軟在Windows 11也讓用戶執行Android App，但是僅限Amazon Appstore。截至去年9月，也只有數十款Android App能在Windows 11執行。雖有用戶成功<a href="https://www.ithome.com.tw/news/147472" target="_blank">在Windows 11上下載Google Play Store</a>，但畢竟是非正式作法，也非一般用戶能力所及。Google Play Games則是Google方面的因應作法。</p> <p>Google Play Games的App是由Google開發，讓Android遊戲開發商撰寫App、發佈到Google Play上，即可在多種平臺執行，而僅需維護單一套程式碼<a href="https://developer.android.com/games/playgames" target="_blank">。Google強調</a>它提供的Android API、函式庫及SDK和Windows PC完全相容，開發商無需重新實作另一套程式內購買或建新的SKU。此外發佈也很容易，透過Google搜尋或桌機端廣告，即可將Windows PC用戶導向遊戲網站。</p> <p>另一方面，Google則向玩家們描述Google Play Games的優點。該App部門產品經理Arjun Dayal指出，玩家可以輕鬆瀏覽、下載遊戲到PC上玩，享受更大的螢幕及滑鼠、鍵盤的便利性，而且在手機或PC之間轉換，都不會喪失遊戲累積的進度或成績。</p> <p>此外玩Android 遊戲獲得Google提供的Play 點數，也會在 Google Play Games提供。但不確定這些點數是否也只能用在PC遊戲上。</p> <p>目前臺灣、香港及南韓用戶可至<a href="https://play.google.com/googleplaygames?pcampaignid=PR-Global-oo-gpgbeta-DevBlog" target="_blank">Google以Beta版上線的網站</a>註冊加入等候名單。</p> </div></div></div>
2022/1/21 13:42作者林妍溱https://www.ithome.com.tw/news/148999
微軟公布25個Windows 10/11應避免使用的群組原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於Windows平臺的迭代，造成許多群組原則（Group Policy）已經失效，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/why-you-shouldn-t-set-these-25-windows-policies/ba-p/3066178" target="_blank">微軟於本周列出了IT管理員在Windows 10/11應避免使用的25個群組原則</a>。</p> <p>群組原則（Group Policy）為一集中管理Windows工作環境的功能，可用來控制使用者在電腦上所能從事的活動，例如強制要求複雜的密碼，或是禁止未經辨識的用戶自遠端存取網路共享，或是限制特定文件夾的存取等。</p> <p>微軟資深專案經理Aria Carley說明，不管是Windows的更新體驗，或者是控制更新的原則，都在過去這幾年有所變動，自微軟發表Windows 10 1511（2015年11月）以來，包括通知、決定下載更新的能力、安裝、重啟或是設定體驗，全都有巨大的變化，例如新增使用時間（Active Hours）功能，以讓裝置能在使用者離開時自動重啟，或者是於通知中包含重啟預估時間。</p> <p>於是微軟不斷地簡化及改善相關的使用經驗，找出無效的原則或是以更好的原則取代舊原則，但這也使得自Windows 10 20H2（2020年10月）及之後Windows版本的更新原則，包含許多失效或無法如常運作的原則。</p> <p>儘管微軟已在Windows 11中，於Windows Update建立了舊有原則的子文件夾，但這些子文件夾只出現在Windows 11的管理樣板集（ADMX）中，然而，其實它們也適用於Windows 10 20H2與之後的Windows 10版本。</p> <p>因此，微軟決定直接公布25個已經不適合Windows 10/11的群組原則，供各組織的IT管理員參考，並建議管理員應避免採用相關原則。</p> <p>至於Carley則說，目前最好的方式是採用預設的原則設定配置，不只因為預設配置可提供最佳體驗，也能有效地讓裝置維持在最新狀態。</p> </div></div></div>
2022/1/21 14:05作者陳曉莉https://www.ithome.com.tw/news/149000
Google以視覺方法StylEx改進神經網路的可解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google最新的模型可解釋性研究，發展出一種稱為StylEx的視覺化分類器解釋方法，StylEx能夠自動探索和視覺化個別特徵對分類器的影響，用戶可以透過單獨操作屬性，在不影響其他特徵的情況，探索個別特徵的影響。</p> <p>StylEx適用的領域廣泛，包括動物、樹葉、臉部，甚至是視網膜圖像，根據Google的研究表示，StylEx所找到的屬性和語義屬性吻合，能夠生成有意義的特定圖像解釋，在研究中被人們解釋。</p> <p>研究人員提到，神經網路可以良好地執行特定任務，但是要了解神經網路做出決定的方法，卻通常是個謎，難以知道像是模型使用哪些訊號來辨識圖像分類。但是解釋神經模型的決策過程，在部分領域是重要的，像是醫療用的圖像分析，或是自動駕駛等，攸關性命的領域，特徵分析有助於指引醫療提供者、揭露模型偏差，並對下游決策者提供支援，甚至有助於科學發現。</p> <p>過去對分類器進行視覺解釋的方法，有像是Grad-CAM，能夠突出顯示圖像中影響分類器的區域，但是沒辦法解釋這些區域中，決定分類結果的屬性有哪些，另一個研究GANalyze，則可以在分類之間平滑切換，藉由轉換圖像來提供解釋，但研究人員表示，這些方法往往會同時改變所有屬性，難以隔離個別屬性的影響。</p> <p>而StylEx可以自動檢測分離的屬性，並視覺化操作每個屬性影響分類器的機率，用戶可以查看這些屬性，並且對這些內容進行語意上的解釋，像是辨識貓和狗的分類器（下圖），StylEx能夠得出多種屬性，像是屬性4狗比貓容易張嘴，屬性5貓的瞳孔更像狹縫，屬性1貓的耳朵傾向不折疊等。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEgWc6df4UKYF_x3saETG3cuo20-p8t_Od-5spIPLeFTurGmc-elPP37Oa6RHNQj0-4Ub9rWWhTk2kQ3nI7DS7rJjgxyUxEeW0bLSMZN_TAq3kJC7AzyUA6vCAkb4f9t1izeziKOKa9eMrs9wn_-fz6DNLPw4GpWQ4y5Vs5NH-nkGd-7cg1l3B1Uae-UVg=w640-h288" style="width: 580px; height: 261px;" /></p> <p>StylEx適用領域廣泛，包括二元和多元分類的分類器，在所有測試領域中，StylEx偵測到的前幾個屬性，與人類所解釋的語意概念一致。研究人員特別強調，StylEx方法解釋的對象是分類器，而非真實的情況，也就是說，該方法揭露分類器從資料中學到的圖像屬性，而這些屬性未必代表在現實中的類別標籤。</p> <p>這些StylEx偵測到的屬性，可能會揭露分類器訓練或是資料集中的偏差，研究人員表示，這是StylEx的重要優點，因為可以用來進一步提高神經網路的公平性，像是增加訓練資料集的範例，來補償StylEx所揭露的偏差。StylEx的貢獻在於提供一種新技術，在分類器上給定圖像或類別，可獲得有意義的解釋，研究人員認為，這個技術有助於緩解分類器和資料集中存在的偏差。</p> </div></div></div>
2022/1/21 13:13作者李建興https://www.ithome.com.tw/news/148995
微軟Azure整合Elastic，供用戶監控雲上Spring Boot應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/elastic-and-microsoft-azure-unified-observability-for-spring-boot-applications/">微軟宣布在Azure整合Elastic企業資料搜尋解決方案</a>，使得用戶可以實現Spring Boot應用程式統一監控。用戶現在可以將微軟Azure Spring Cloud日誌和指標，無縫傳送到Elastic，以完整監控Spring Boot應用程式。</p> <p>Azure Spring Cloud是由微軟和VMware共同建置、營運和支援的Spring Boot應用程式託管服務，透過抽象基礎設施，和消除Spring Cloud中介元件複雜的管理工作，供開發者能夠更專注建構業務邏輯。</p> <p>微軟提到，許多用戶原本在本地端資料中心，運作數千個Spring Boot應用程式，當這些應用程式搬遷到雲端時，會需要匯總應用程式的日誌和指標，並使用開發人員熟悉的解決方案進行偵測，以及監控應用程式效能。此外，用戶還必須確保現有伺服器軟體的連續性，這些軟體可能已經配置傳送日誌和指標，並且預配置使用Elastic等系統進行端到端監控。</p> <p>而透過整合Elastic和Azure Spring Cloud日誌和指標，用戶可以繼續獲得深入的應用程式可見性，減少分析需要的時間，並在網頁和行動應用程式，提供一致的客戶體驗。現在Elastic可以從微軟Azure Spring Cloud中，無縫擷取日誌和指標，方便DevOps和SRE監控Spring Boot應用程式，無論是在雲端、本地端還是混合環境，以消除監控孤島。</p> <p>Elastic與Azure的原生整合，使得日誌能夠傳送到Elastic Observability解決方案，當資料送至Elastic之後，用戶便可以方便地使用視覺化功能以及儀表板，快速進行分析，透過監控、分析和搜尋這些日誌資料，供用戶確保應用程式正常運作。</p> <p>用戶還可以使用Elastic應用程式效能監控（APM）工具，來分析和搜尋應用程式的效能資料，並在Elastic APM查看Java虛擬機器的指標，了解堆記憶體、系統記憶體和CPU的使用狀況。Elastic APM提供分散式追蹤功能，使用戶能夠掌握應用程式效能，了解影響效能最大，以及花費最多時間的交易。</p> <p>Elastic內建機器學習功能，能夠讓用戶簡單地分析來自Azure Spring Cloud的資料，而Elastic Stack還可在擷取資料時處理資料，確保用戶保有辨識根本原因，或是替事件添加上下文等所需要的後設資料。</p> <p>這項新功能也可以用來阻止雲端規模的安全威脅，由於Elastic提供通用架構和單一儲存庫，因此來自Spring應用程式的可觀察性資料和其他資料集，能夠被一起用於偵測和回應安全事件上，來進一步降低偵測時間。Elastic Security則可將安全資訊和事件管理功能，與端點安全解決方案相連結，使用戶能夠從不同來源擷取並留存大量資料，藉由偵測和機器學習功能來強化威脅搜尋能力。</p> </div></div></div>
2022/1/21 13:19作者李建興https://www.ithome.com.tw/news/148996
Fintech周報第208期：金管會推動主題式監理沙盒及業務試辦，首個開立主題為數位身分認證及授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0115～0121</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分認證及授權 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 主題式監理沙盒與業務試辦 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會推動主題式監理沙盒及業務試辦，首個開立主題為數位身分認證及授權</span></strong><br /><span style="vertical-align: top;">金管會在2022年的施政重點之一是推動主題式監理沙盒及業務試辦。近年，金管會總共核准了40件監理沙盒與業務試辦申請案，運作模式採取業者端有任何創新模式或技術，都能向金管會申請監理沙盒或試辦案件來落地應用。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">不過，業界反映近期金融監理沙盒或試辦的案件數量沒有明顯增加。同時，金管會參考了世界銀行在2020年底發布全球推動監理沙盒經驗的研究結果，推動主題式監理沙盒對發展特定類型的技術有所幫助。因此，金管會規畫以金融業者有興趣的金融創新議題，主動開立主題式議題吸引業者參與。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會1月18日宣布首個主題為「數位身分認證及授權」，這是銀行、保險、證券3業別在發展數位金融創新時，需求最高的共通議題。金管會提到，該主題分為4大領域，包括身分確認（Identity proofing）、認識客戶（KYC）、身分驗證（Authentication）與授權（Authorization），希望透過導入具備數位認證及授權便利性、安全性及可靠性的方案，鼓勵金融機構及金融科技業者發展，採用新技術提出應用方案。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會也規畫於今年2月中舉辦說明會，也會對有意願參與的業者進行輔導。此外，金管會將批次進行審查，並對外公布審查通過的業者名單。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 英國 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OBIE </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國OBIE推動開放銀行滿4周年，超過450萬名消費者與中小企業採用</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20OBIE.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由英國競爭及市場管理局（CMA）所設立的開放銀行實施組織（OBIE），在今年1月正式成立滿4周年。OBIE揭露，在英國，超過450萬用戶採用了開放銀行服務，包括390萬名消費者與60萬家中小企業，相較2020年整整多了170萬名用戶，並以每半年增加100萬新活躍用戶的速度持續成長。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">甚至，根據OBIE統計，到了2021年底，已累計執行了2,660萬筆開放銀行支付服務。該組織分析，開放銀行支付服務的使用增長，主因是去年英國稅務海關總署（HM Revenue & Customs）推出了開放銀行支付服務，透過串接銀行帳戶讓消費者與企業主更便利繳稅，該服務推出至今已有24億英鎊的稅收透過此方式進帳。OBIE預測，未來1年英國開放銀行服務的使用將更為提升，更多的政府部門也將加入採用行列。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 將來銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行啟動三階段試營運，預計今年3月正式對外開業</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/31_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_20210413.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣第3家純網銀將來銀行將在1月22日展開試營運，預計3月底正式開業。將來商業銀行總經理許柏林表示，目標是2年內超過100萬用戶、4年內損益兩平。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行試營運將分為3階段進行，許柏林表示，第一階段會有30位專案員工進行各種案例測試，來驗證系統的穩定性。農曆年後，則進入第二階段，將有250名員工加入測試。到了2月14日，將來銀行將找來協力廠商與員工親屬，共1,000人進行系統測試，這是第三階段。待試營運結束後，預計3月底正式對外開業。許柏林也保證，系統經過內部壓力測試，目前1小時內可處理2萬筆交易。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PayPal Coin </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PayPal證實正在探索發行穩定幣PayPal Coin的可能性</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一名iOS開發者Steve Moser近期在支援iOS的PayPal程式中發現了PayPal Coin，PayPal則向《彭博社》證實正在探索發行穩定幣的可能性。根據報導，PayPal Coin源自於該公司內部加密貨幣團隊的黑客松（Hackathon）競賽，是與美元掛鉤的穩定幣。PayPal證實正在探索發行PayPal Coin的可能性，一旦決定執行，定會與監管機關密切合作。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">身為全球主要的線上支付平臺之一，PayPal自2020年底便開放用戶持有及買賣加密貨幣，去年3月開始支援美國用戶以加密貨幣付款，迄今支援的加密貨幣種類包括比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash），以及萊特幣（Litecoin）。<strong><a href="https://www.ithome.com.tw/news/148807">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Line Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一站式商店管理平臺 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Line Pay新推出商店後臺App，提供合作商店一站式管理功能、行銷工具、貸款服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%20Line%20Pay_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line%20Pay.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">行動支付品牌Line Pay近期新推出商店管理後臺App「好夥伴」，首波鎖定合作的實體商店，提供一站式商店管理功能與行銷工具，包括了即時查詢交易撥款記錄、設定不同級別管理者的權限設定、商店宣傳的圖文資訊編輯，以及申請商戶貸款等功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Line Pay表示，該項新服務除了能即時查詢交易撥款記錄，同時提供一周平均交易額、半年份總交易額等營收報表產製，商家能夠透過手機Ａpp一次性掌握付款、撥款、退款等交易資訊。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 上市櫃公司 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 碳盤查 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永續發展 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會3月將發布上市櫃公司永續發展路徑圖，2027年全體上市櫃公司必須完成碳盤查</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會證期局局長張振山近期揭露，為了協助企業及早因應訂定減碳目標，金管會計畫今年2月邀集相關政府單位、上市櫃公司、金控公司、會計師事務所及第三方查證機構召開公聽會，並在3月正式發布「上市櫃公司永續發展路徑圖」。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">張振山表示，上市櫃公司永續發展路徑圖將按照上市櫃公司實收資本額，在2023年開始分階段推動，揭露內容包括溫室氣體直接排放、能源間接排放量。金管會規畫，在2027年，全體上市櫃公司必須完成溫室氣體盤查，且需與公司財務報表範圍一致，到了2029年，則要求全體上市櫃公司完成溫室氣體盤查的查證，需由第三方查證機構進行查證作業。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會針對該路徑圖的核心策略是，落實董事會永續發展責任、與環保署與經濟部等部會建立跨部會合作機制、接軌國際且串聯全球永續生態鏈、建立人才培育與輔導機制來落實溫室氣體盤查及資訊揭露，以及，為了因應市場對ESG資訊揭露需求日增，將督導證交所建置ESG資料庫，建立資訊共享機制，藉此推動上市櫃公司ESG評鑑制度。<a href="https://www.ithome.com.tw/news/148877"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 機器人流程自動化 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐金控 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐金控旗下子公司超過100個流程導入RPA，今年規畫大力推動素人開發</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐金控近期揭露自家導入RPA機器人流程自動化的成果與最新進程。永豐金在2019年展開試行RPA評估與實驗，由金控擬定RPA執行策略方向，並在子公司設置專職團隊，協助RPA開發上線與維運。目前，已有超過100個流程在永豐金旗下銀行、證券、投信等子公司上線。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">比如，永豐金證券在經紀結帳流程導入RPA，每月已節省約255個人力工時，債券交易流程每月也節省72個人力工時。或像是永豐銀行在基金外幣匯出匯款作業導入RPA應用，由機器人自動化完成重複性的作業，此外，運用在防洗錢的交易明細及態樣篩選、徵審等流程，也透過導入RPA來提升效率。下一步，永豐金控計畫導入AI持續優化現有流程與業務體驗。甚至，規畫推動素人開發，作為擴充RPA開發能量的作法之一。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第三方支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> iOS App </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">蘋果配合南韓電信業務法修正案，同意開放iOS App第三方程式內支付機制</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">韓聯社報導，蘋果近期開放在南韓App Store上架的iOS App使用第三方程式內支付（in-app purchase，IAP）工具。蘋果稍早向韓國通訊委員會（KCC）遞交了法規遵循計畫。報導指出，蘋果計畫提供iOS App開發商第三方支付選項，而服務費率（分潤比例）也會比30%來得低。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">但蘋果並未公布實際的費率及詳細時程，表示會再和韓國主管機關商議。蘋果表示，該公司尊重韓國法律，向來也和該國開發商合作順暢，一切作業都會以確保App Store成為安全而值得信賴的應用程式下載平臺為依歸。<a href="https://www.ithome.com.tw/news/148842"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">攝影／洪政偉；<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">圖片來源／</span>OBIE、Line Pay、金管會<br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">1</strong><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">.</strong><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </strong><strong>搶攻數位族群，國泰人壽推出個人保險數位平臺能一站式按需求組合保單與試算保費</strong><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">2. </strong><strong>美聯社與區塊鏈技術供應商Xooa合作，建立NFT新聞攝影市場來販售自家記者攝影作品<strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </strong></strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/20 18:46作者李靜宜https://www.ithome.com.tw/news/148994
【資安日報】2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過挾持手機SIM卡的手法（SIM Swapping），進而洗劫被害人財物的情況，在最近3至4年歐美陸續有事故發生。但最近，這樣的事故也在臺灣出現，而且是針對長年在國外工作的民眾，等到他發現異狀時，不只銀行帳戶的存款被盜領，信用卡也被補發、盜刷。但與國外不同的是，臺灣SIM卡掛失、補辦，需要臨櫃持雙證件辦理，而非一通電話就能申請，歹徒的手法仍有待釐清。</p> <p>因應遠距工作、上課的需求，視訊會議系統的重要性與日俱增，但這類系統很可能存在可讓攻擊者暗中動手腳的漏洞。在今天的資安日報裡，Zoom就被發現這樣的漏洞，但值得留意的是，研究人員特地購買相關服務才能進行研究，因此他們認為，該系統可能還有更多存在已久的類似漏洞，有待廠商提供資安人員研究的管道，才能早日被挖掘出來修補。</p> <p>駭客意圖騙取使用者的雲端服務帳號，手法越來越細緻，很難透過資安防護系統察覺異狀。例如，最近一起假冒美國勞動部（DoL）的攻擊行動，攻擊者使用來自新網域的電子郵件信箱，而能夠回避資安威脅系統的黑名單，但使用者還是能從釣魚網站的網址察覺異狀。針對這樣的現象，研究人員除呼籲使用者要提高警覺，也建議網管人員要配置適當的郵件管制措施，來防堵這類攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://udn.com/news/story/122653/6046119"><span style="color: rgb(0, 0, 0);"><strong>臺灣疑首宗SIM Swapping攻擊出現！有民眾手機號碼遭詐騙集團掛失補辦，存款被盜，電信公司客戶身分查驗有破口</strong></span></a></h4> <p>在歐美許多國家橫行的SIM挾持（SIM Swapping）攻擊事件，如今在臺灣也有民眾遭到相關攻擊，導致財產損失的情況。根據國內聯合新聞網報導，近日有受害者的手機SIM卡遭詐騙集團冒名掛失補辦，受害人表示長期派駐中國，期間詐騙集團取得SIM卡後，網路銀行存款被盜領一空，另信用卡也被掛失與補發。由於電信門號已具備類實名角色，許多線上服務也都會利用門號簡訊認證，為釐清事件狀況，我們詢問到國家通訊傳播委員會（NCC），他們表示，目前國內SIM卡掛失補辦仍是需要臨櫃雙證件辦理，或是代辦需附上委託書，究竟詐騙集團如何騙過電信業者身分審查得手，目前仍在調查中。</p> <h4><a href="https://www.inky.com/blog/fresh-phish-phishers-lure-victims-with-fake-invites-to-bid-on-nonexistent-federal-projects"><span style="color: rgb(0, 0, 0);"><strong>冒名美國勞動部的網釣攻擊，以標案的名義企圖騙取受害者的Google與微軟帳號</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_PDF_Page2.png" style="width: 300px; float: right;" /></a>網路釣魚的攻擊者為了讓受害者上當，佯稱是公部門的情況不時有事故傳出，甚至還謊稱要受害者參與招標。郵件安全業者Inky揭露自2021年下半出現的攻擊事故，駭客自稱是美國勞動部（DoL）的資深員工，針對政府正在進行的專案，想要邀請收件人參與投標，並附上幾可亂真的PDF說明文件。一旦收件人依照指示操作，就會被帶往冒牌招標網站，以竊取收件人的Google或微軟帳號。研究人員指出，這起攻擊行動中值得留意的是，駭客濫用合法組織的郵件伺服器寄信，且運用新網域的郵件信箱，而不被威脅情報系統察覺。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/red-cross-cyberattack-exposes-data-of-515-000-people-seeking-missing-family/"><span style="color: rgb(0, 0, 0);"><strong>紅十字會遭到網路攻擊，逾51萬失蹤者資料遭竊</strong></span></a></h4> <p>人道救援組織的資料外洩，有可能會使得需要幫助的人士面臨人身安全威脅。紅十字國際委員會（ICRC）於1月19日發出聲明，他們存放在位於瑞士資料中心的文件遭到外洩，這些資料是有關因戰爭、天災、移民而流離失所需要協尋的人們，這些資料來自於超過60紅十字會，至少有515,000人受到影響。一旦這些資料流出，許多人很可能將曝露在危險當中，ICRC希望竊取資料的人士，不要將這些資料公布、出售，抑或是濫用。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/marketing-giant-rrd-confirms-data-theft-in-conti-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>市場行銷業者唐納利遭到勒索軟體Conti攻擊</strong></span></a></h4> <p>勒索軟體Conti攻擊大型企業的事故又一樁。根據資安新聞網站Bleeping Computer的報導，美國大型市場行銷業者唐納利（RR Donnelley）於2021年12月27日，向美國證券交易委員會（SEC）通報遭到駭客入侵，導致該公司部分IT系統關閉，客戶無法收到用於供應商付款、支付支票、機動車輛所需的文件檔案。勒索軟體駭客Conti於1月15日，宣稱此起事故是他們所為，並洩露竊得的2.5GB資料，但不久後將其移除。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fashion-giant-moncler-confirms-data-breach-after-ransomware-attack"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體BlackCat攻擊義大利服飾業者Moncler，員工、客戶資料遭到外洩</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/moncler-data-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moncler-data-leak-page.jpg" style="width: 300px; float: right;" /></a>自2021年12月出現的勒索軟體BlackCat（亦稱Alphv），已有大型企業成為受害者。義大利服飾業者Moncler於12月24日表明遭到惡意軟體攻擊，近期向資安新聞網站Bleeping Computer透露初步的調查結果，他們的員工、前員工、供應商、業務合作夥伴，以及客戶的部分資料，已經遭到勒索軟體駭客BlackCat外洩，但強調沒有客戶的付款資料受到波及。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/new-ransomware-spotted-white-rabbit-and-its-evasion-tactics.html"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體White Rabbit透過加密保護來規避偵測，已有銀行受害</strong></span></a></h4> <p>新的勒索軟體對於美國一家銀行發動攻擊，引起資安人員的注意。趨勢科技發現名為White Rabbit的勒索軟體，攻擊者運用的規避偵測手法相當少見，是藉由密碼保護方式進行，攻擊者執行時必須先使用命令列輸入密碼，才能讓這款勒索軟體運作。該勒索軟體也同樣運用雙重勒索的手法，要脅受害者不付贖金電腦資料將被公開，研究人員認為，發動攻擊的人士疑似與駭客組織FIN8有關。</p> <h4><a href="https://www.theguardian.com/sport/2022/jan/12/boa-offer-team-gb-athletes-temporary-phones-over-china-spying-fears"><span style="color: rgb(0, 0, 0);"><strong>擔心中國監控，英、荷將提供北京奧運選手臨時手機</strong></span></a></h4> <p>北京奧運即將於2月4日舉行，中國意圖監控與會人員的情況，也引發歐美各國擔憂。根據衛報的報導，英國奧委會（BOA）、荷蘭奧委會（NOC*NSF）已向運動員提出警告，前者建議英國運動員最好不要攜帶自己的電腦和行動裝置，該單位可為運動員提供臨時的裝置；後者則是宣稱將提供運動員手機與筆電，這些裝置將在運動員回國後銷毀。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><a href="https://www.ithome.com.tw/news/148964"><span style="color: rgb(0, 0, 0);"><strong>Zoom驚傳能讓攻擊者接管裝置的漏洞，且無須使用者互動</strong></span></a></h4> <p>武漢肺炎疫情蔓延，使得許多人仍需遠端工作或是學習，他們所使用的視訊會議平臺若是出現漏洞，影響可能相當廣泛。Google近期揭露視訊會議平臺Zoom上的2個漏洞，且都是與多媒體路由（MMR）伺服器有關、無須使用者互動的零點擊（Zero-Click）漏洞，Zoom獲報後在2021年11月24日予以修復。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/20 15:18作者周峻佑https://www.ithome.com.tw/news/148987
1Password募資6.2億美元，身價三級跳達68億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.1password.com/future-of-1password/" target="_blank">密碼管理平臺1Password周三（1/19）宣布</a>已完成6.2億美元的C輪募資，估算該公司的市值約為68億美元，而這已是1Password這3年多以來的第三次募資，將用來加速探索與突破傳統密碼管理的疆界。</p> <p>1Password是由AgileBits在2006年所推出的密碼管理平臺，有趣的是，該公司一直到成立14年之後，於2019年11月才首度進行A輪募資，當時募集了2億美元，市值為10億美元；接著在2021年7月展開B輪募資，募集1億美元，所估算的市值為20億美元；半年後1Password展開C輪募資，募集6.2億美元，而身價則已漲至68億美元。</p> <p>1Password執行長Jeff Shiner表示，對一家持續獲利的公司來說，接受外部資金似乎有些奇怪，然而，這些新的合作夥伴關係將讓1Password能夠替每個人開發及擴張以人為本的安全解決方案。</p> <p>根據統計，全球有85%的企業資料外洩事件與人為因素有關，而1Password的調查亦顯示，當員工身心俱疲時，遵守企業安全準則的可能性減少了1/3，例如受到COVID-19疫情的影響。Shiner認為該公司的任務就是提供一個便利又安全的解決方案，來保障企業及使用者的資料安全。</p> <p>這幾年1Password已於外部資金的挹注下，加速其發展腳步，光是去年就發表密碼分享工具Psst!、Events API、支援Safari的Events API，以及併購了SecretHub，而即將於今年問世的則有1Password 8 for Linux與1Password 8 for Mac。</p> </div></div></div>
2022/1/20 16:52作者陳曉莉https://www.ithome.com.tw/news/148989
數位新冠病毒健康證明1/21起開放國內使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心宣布，1月21日上午8時將開放數位新冠病毒健康證明在國內使用，除了原有的醫院、長照之外，指揮中心要求八大行業等部分休閒娛樂場所，民眾或服務人員都應出示完整接種COVID-19疫苗紀錄，例如疫苗接種卡（小黃卡）、健保快易通App，或是數位新冠病毒健康證明。</p> <p>指揮中心去年底先開放民眾下載數位新冠病毒健康證明，強調可介接歐盟數位健康證明及GDPR個資保護規範，讓需要出國的民眾可下載，在歐盟地區或同樣遵循歐盟規範的其他國家地區旅遊時使用。</p> <p>而1/21早上8點開放下載的數位新冠病毒健康證明，主要是供國內使用，強調三大功能，所有國內接種疫苗的民眾都可使用、使用符合歐盟規範的查驗程式，可驗證EUDCC 60個國家地區的證明、可以具實名制的App作為載具。</p> <p>值得注意的是，為更新數位新冠病毒健康證明功能，數位證明的申辦簽發平臺將在1/20的下午5時至1/21的上午8時暫停申辦，急需出國下載數位證明的民眾，需提前下載。</p> <p>民眾可使用電腦或手機至數位新冠病毒健康證明簽發平臺（<a href="https://dvc.mohw.gov.tw">https://dvc.mohw.gov.tw</a>）申請，先進行身分驗證，可選擇三種身分驗證方式，第一種是以身分證字號+健保卡號+戶口名簿戶號完成驗證，第二種是以FIDO完成驗證，第三則是使用自然人憑證。外籍人士也有三種身分驗證方式可選用，第一種是使用統一證號+健保卡號進行驗證，第二是以統一證號+入出境證號，第三種是統一證號+護照號碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-1-1.jpg" style="width: 600px; height: 425px;" /></p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-2-1.jpg" style="width: 600px; height: 425px;" /></p> <p>完成身分驗證後，可選擇下載「疫苗接種數位證明」、「檢驗結果數位證明」。不論哪種證明，下載的檔案格式為PDF，可儲存在電腦或手機、平板電腦，或是另行列印為紙本證明，或是前往超商列印紙本證明。</p> <p>另外，指揮中心也宣布已準備API，讓其他具有實名制的App介接，在民眾的同意之下取得數位證明，以第三方App作為數位證明的載具，第三方App開發者或管理者需向指揮中心申請，並遵守個資法或GDPR規範、身分驗證不得低於數位證明的申辦平臺，App後臺不能保留數位證明。</p> <p>基於查驗數位證明需要，指揮中心同步開放商家或場所管理者使用數位新冠病毒健康證明的查驗程式，採網頁形式（<a href="https://dvc.mohw.gov.tw/verifier-web">https://dvc.mohw.gov.tw/verifier-web</a>），免安裝，強調使用該網頁查驗不會保留民眾個資，且符合歐盟GDPR規定。需注意的是，使用查驗程式網頁，需同意隱私權聲明、授權相機使用權限才能使用。</p> <p>商家或場所管理者使用查驗程式掃描民眾數位新冠病毒健康證明的QR Code，顯示查驗的結果共有綠、黃、紅三種顏色，綠色代表通過、紅色或打叉代表不通過，黃色或三角驚嘆號則表示待確認，包括施打疫苗不完整、效期不符或使用未符臺灣認可的疫苗或檢驗。指揮中心表示，查驗數位證明僅查驗健康狀態，至於是否本人持有該數位證明，如要嚴格查驗該證明是否為本人所有，建議可搭配其他身分證件。</p> <p><strong>綠色代表通過，包括施打疫苗證明、檢疫證明或康復證明：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-4-1.jpg" style="width: 600px; height: 425px;" /></p> <p><strong>查驗結果為紅色代表不通過，黃色則代表待確定：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-5-1.jpg" style="width: 600px; height: 425px;" /></p> <p><strong>指揮中心強調多元的證明方式，除了數位疫苗證明，民眾也能使用紙本的疫苗接種卡小黃卡，或是數位的健康存摺：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-6-1.jpg" style="width: 600px; height: 425px;" /></p> <p><span style="color:#B22222;"><strong>八大場所需查證數位證明：</strong></span></p> <p>中央流行疫情指揮中心指揮官陳時中表示，查驗並不只有數位新冠病毒健康證明，民眾也可使用小黃卡、健保快易通App等其他方式作為證明。目前要求查驗的場所，除了醫院、長照機構之外，八大行業等部分娛樂場所的服務人員、進出民眾也應出示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0120-%E4%BC%91%E9%96%92%E5%A0%B4%E6%89%80%E5%87%BA%E7%A4%BA%E6%8E%A5%E7%A8%AE%E8%AD%89%E6%98%8E-1.jpg" style="width: 600px; height: 425px;" /></p> <p>至於新北市長候友宜對外表示，為維護學校安全，可查驗進出民眾疫苗施打或病毒檢測證明，對此，陳時中並不反對，尊重各地方政府決定，但為避免造成民眾不便，他認為不宜大規模查驗，不贊成多家業者間的聯合查驗行為，但個別業者可以自行決定是否查驗。</p> <p>除了中央政府要求醫院、長照、八大行業應查驗之外，縣市地方政府可能另行規定需要查驗的行業或特定場所，業者為加強防疫安全，也可能自主要求查驗。</p> </div></div></div>
2022/1/20 16:07作者蘇文彬https://www.ithome.com.tw/news/148988
新加坡加密貨幣平臺Crypto.com遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡的加密貨幣交易平臺Crypto.com於17日傳出遭到駭客入侵，區塊鏈安全專家估計駭客自Crypto.com盜轉了價值3,300萬美元的以太幣與比特幣，而Crypto.com除了已證實此事之外，並說用戶並未遺失所擁有的資產。</p> <p>這起駭客事件一開始是由<a href="https://twitter.com/peckshield/status/1483246262371557378?s=21" target="_blank">區塊鏈安全業者PeckShield所揭露</a>，該公司發現駭客盜走了價值約1,500萬美元的4,600個以太幣，並透過TornadoCash混幣工具來洗錢。同一天專門分析比特幣生態體系的<a href="https://twitter.com/ErgoBTC/status/1483540849434763264" target="_blank">OXT Research則說</a>，除了4,600個以太幣之外，駭客還自Crypto.com盜走了444個比特幣，估計Crypto.com總計損失了近3,300萬美元。</p> <p>在意外被揭露後，<a href="https://twitter.com/cryptocom/status/1483050866894868484" target="_blank">Crypto.com也於Twitter上作出了說明</a>，坦承有少數用戶發現其帳戶有未經授權的活動，因而緊急停止提款功能，同時要求所有的使用者重設雙因素認證，但強調用戶的資產並未受到危害。</p> <p><a href="https://twitter.com/BloombergLive/status/1483841347824099330" target="_blank">Crypto.com執行長Kris Marszalek在接受《Bloomberg TV》專訪時透露</a>，駭客擅自自用戶的帳戶中提款，約有400名用戶受到影響，但Crypto.com已全面補償了這些帳戶，因此用戶的資產並未受到影響。不過，Marszalek並未公布遭到駭客盜走的資產數量，至於意外的發生原因仍在調查中。</p> <p>目前Crypto.com服務已恢復正常，為了避免類似的事件再度發生，<a href="https://twitter.com/Kris_HK/status/1483383030387408897" target="_blank">該平臺祭出了新規定</a>，要求新的錢包在完成白名單註冊後，必須在24小時之後才能進行首次提款。</p> </div></div></div>
2022/1/20 14:26作者陳曉莉https://www.ithome.com.tw/news/148985
Opera也跳入Web3行列，發表加密貨幣瀏覽器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年便推出內建加密貨幣錢包Android瀏覽器的Opera，<a href="https://press.opera.com/2022/01/19/opera-web3-crypto-browser-project/?utm_source=ixbtcom" target="_blank">在本周發表了新的加密貨幣瀏覽器專案（Crypto Browser Project）</a>，推出支援Windows、macOS及Android的加密貨幣瀏覽器測試版，並強調將以Web3為該專案的核心。</p> <p>Web3指的是基於區塊鏈的去中心化網路，被視為新一代的網路架構，支持者認為它將賦予使用者更完整的權力，逃離大型企業的集中管控，然而，<a href="https://www.ithome.com.tw/news/148804" target="_blank">反對者則認為</a>，它終究無法脫離中心化，還可能惡化隱私問題。根據PWC的估計，Web3與元宇宙（Metaverse）的擴張將讓2030年的全球經濟產值增加15兆美元。</p> <p>Opera無疑是Web3的支持者，該公司認為Web3的時代需要一個專用的瀏覽器，新發表的加密貨幣瀏覽器已內建熱門的Web3與加密貨幣網站，它於瀏覽器的側邊欄整合了Twitter、Telegram、WhatsApp，以及Opera的Crypto Wallet電子錢包功能，也能自瀏覽器的快速撥號（speed dial）功能存取Crypto Twitter、Discord、Reddit或DappRadar等服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-Opera%20Crypto%20Browser%20Project-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Opera</span></p> <p>此外，Crypto Browser所配備的Crypto Corner將集結各種Web3資訊，從加密貨幣新聞、加密貨幣價格、空投活動、加密貨幣活動或相關的播客等。</p> <p>負責行動業務的Opera副總裁Jorgen Arnesen表示，市場對Web3的興趣有增無減，卻缺乏一個可體驗去中心化網路的瀏覽器，Crypto Browser將提供一個更簡單、快速及隱私的Web3體驗，以充分發揮去中心化網路的潛力。</p> <p>除了已釋出支援Windows、macOS及Android平臺的Crypto Browser之外，iOS版亦可望於近期出爐。</p> </div></div></div>
2022/1/20 14:56作者陳曉莉https://www.ithome.com.tw/news/148986
K8s維運、直播、CLOVA AI中文化到NFT新平臺，Line臺灣工程團隊要將四大類產品和技術在地化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line臺灣2022年開發者大會昨天展開，Line臺灣回顧了去年多項在地工程團隊的開發成果，從開發流程、技術到產品服務，都有不同程度的變革。比如資安方面取得了ISO 27001及ISO 27701雙項驗證，也強化了三類應用於不同場景的直播服務，加入在地化獨有的直播功能；內部開發工具與文化形塑也有新轉變，甚至自行開發了臺灣可觀測性平臺來維運服務。而在未來一年的技術發展方面，Line臺灣一方面要爭取HyperCLOVA平臺支援中文，更將著力於NFT市場布局，今年Q1要上線全球NFT市集Dosi，未來更要內化技術能量，打造臺灣本地的NFT應用。</p> <h3 dir="ltr"><span style="color:#FF8C00;">花費一年時間，取得本地資安與個資治理雙向認證</span></h3> <p dir="ltr">在資安與隱私保護上，Line臺灣執行長陳立人首先指出，Line臺灣從2020年底就開始導入國際級資安標準，從開發、維運、組織、制度等面向著手，建立資安暨隱私管理委員會，也訂定緊急應變措施，確保資安事件發生時，資安與個資管理作業符合法遵要求，同時透過教育訓練提升員工的風險意識，強化內稽內控。經過一年的導入後，Line臺灣已經在去年底，取得了ISO 27001資訊安全管理系統標準及ISO 27701隱私資訊管理系統雙項驗證。</p> <h3 dir="ltr"><span style="color:#FF8C00;">強化三大直播服務，購物直播服務更新增臺灣獨有的+1功能</span></h3> <p dir="ltr">在產品功能的更新上，Line臺灣著重在影音服務的優化。因為Line臺灣發現，在疫情影響之下，用戶對影音相關應用的需求提升，包括訊息通話、群組視訊、影音訊息、直播、短影音等，視訊通話更大幅成長261%，「不只疫情影響，用戶的使用習慣正在改變。」陳鴻嘉點出，當今用戶更青睞影音內容，而非文字內容的瀏覽。</p> <p dir="ltr">「身為臺灣的工程團隊，我們把這一年觀察到的使用趨勢，實作為負責的服務。」陳鴻嘉指出，Line臺灣的工程團隊從去年開始，對直播內容播放服務進行優化。比如針對大型活動直播播放器，將解析度從720P提升到10080P，並配合高流量的架構設計，讓Line Today在轉播2021年金曲、金鐘、金馬獎時，能夠穩定提供200萬用戶同時在線收看。</p> <p dir="ltr">而針對上千到上萬用戶的Line shopping直播，雖然觀看人數較少、但地理區域更為分散，「與百萬等級Line Today直播相比，系統架構的挑戰很不一樣。」陳鴻嘉指出，除了優化系統架構，Line臺灣也因應臺灣用戶的習慣，設計了「+1」的在地化使用體驗。他更進一步分享，在打造這項功能的過程中，由於服務架構於總部的直播系統，因此在擴充直播功能之前，還得先說服總部同意開發，「我們試著用臺灣夜市叫賣的參與感、熱鬧感，來說明+1為什麼是重要的用戶體驗。」取得總部同意後，Line臺灣花費4個月將這項功能開發完成，去年Q2正式上線，已經在半年內運用於超過1,000場的購物直播中。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%964%E3%80%91LINE%E5%8F%B0%E7%81%A3%E5%B7%A5%E7%A8%8B%E5%9C%98%E9%9A%8A%E4%BE%9D%E7%85%A7%E5%9C%A8%E5%9C%B0%E6%B6%88%E8%B2%BB%E8%80%85%E4%BD%BF%E7%94%A8%E9%AB%94%E9%A9%97%EF%BC%8C%E6%93%B4%E5%85%85%E5%85%A8%E6%96%B0%E3%80%8C%2B1%E3%80%8D%E5%8A%9F%E8%83%BD%EF%BC%8C%E4%B8%8A%E7%B7%9A%E4%B8%8D%E5%88%B0%E5%8D%8A%E5%B9%B4%E5%8D%B3%E8%88%89%E8%A1%8C%E8%B6%85%E9%81%8E1%2C000%E5%A0%B4%E6%AC%A1%E7%9A%84%E8%B3%BC%E7%89%A9%E7%9B%B4%E6%92%AD%EF%BC%8C%E5%B9%B3%E5%9D%87%E8%A7%80%E7%9C%8B%E7%8E%87%E8%88%87%E4%BA%92%E5%8B%95%E7%8E%87%E7%9A%86%E6%9C%89%E9%A1%AF%E8%91%97%E6%8F%90%E5%8D%87.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Line shopping直播加入+1功能後，去年已經累積直播超過1,000場，用戶平均參與互動的比例更高達55%。</p> </blockquote> <p dir="ltr">不只是購物，線下展演活動也轉往線上發展。Line臺灣在2020年底預測到這個趨勢，並於去年上半年開發了Line Music Live Concert系統，並在下半年正式上線。讓展演單位可以在線下表演時，同步進行線上收費直播。而這個系統的用戶定位為數百至數千人、分散地理區域觀看，團隊也以此進行架構設計，並強化直播主與觀眾的即時互動功能設計。</p> <p dir="ltr">另外，Line總部也在2021年11月推出Line Voom貼文串，將原本文字為主的內容創作平臺，改以影音貼文為首頁。</p> <h3 dir="ltr"><span style="color:#FF8C00;">Line臺灣工程團隊從三面向著手優化開發流程</span></h3> <p dir="ltr">隨著用戶行為更傾向於影音及客製化內容，Line臺灣工程團隊的專案開發工作變得更多，陳鴻嘉指出，工程團隊也得持續改進工作方法，來提升工作效率、穩定服務品質。因此，Line臺灣配合總部的技術管理策略，強化資料管理、開發流程管理與文化養成三大面向。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%965%E3%80%91%E7%82%BA%E5%BC%B7%E5%8C%96%E9%96%8B%E7%99%BC%E6%95%88%E7%8E%87%EF%BC%8C%E5%9C%98%E9%9A%8A%E6%AD%B8%E7%B4%8D%E5%87%BA%E4%B8%80%E5%A5%97%E6%9C%89%E6%95%88%E7%9A%84%E5%B7%A5%E4%BD%9C%E6%96%B9%E6%B3%95%E2%80%94%E3%80%8C%E8%B3%87%E6%96%99%E7%AE%A1%E7%90%86%E3%80%8D%E3%80%81%E3%80%8C%E9%96%8B%E7%99%BC%E6%B5%81%E7%A8%8B%E7%AE%A1%E7%90%86%E5%88%B6%E5%BA%A6%E3%80%8D%E5%8F%8A%E3%80%8C%E6%96%87%E5%8C%96%E9%A4%8A%E6%88%90%E3%80%8D.png" style="width: 700px;" /></p> <p dir="ltr">在資料管理面向，由於過去無論是開發人員、分析人員在使用資料前，都需要先進行申請審查，審查過程不僅以個人申請為單位，流程中也需要法務、資安部門共同參與，最後還得全部彙整到CDO辦公室，這些大量審查工作更導致了工作效率的瓶頸。因此，Line臺灣優化了管理系統，改成以專案為單位的權限管理機制，讓審查工作分派到各層級單位，來提升工作效率。另外，各地分公司也必須取得ISO資安認證，並增加資料教育訓練的頻率與次數，讓員工養成資料隱私與資安的觀念。</p> <p dir="ltr">而資料作為應用開發的重要基礎，Line除了運用個別Line服務產生的業務資料，也購買可供各個團隊共用的訓練資料，來擴大資料量；總部更設計了共用資料平臺IU（Information Universe）以及AI訓練共用平臺MLU（ML Universe）等基礎建設，前者要促進資料管理與共用，後者則是提供AI開發生命週期中共用的資源，包括開發工具與技術，甚至從模型訓練到部署上線，都能在平臺中完成。</p> <p dir="ltr">而在開發流程管理的面向，Line臺灣設置專職團隊，以總部策略為基礎，進行在地化調整優化，並透過共用工具加速開發人員的學習。</p> <p dir="ltr">比如說，為了增加開發與維運過程中，對系統問題的解決效率，Line臺灣參考OpenTelemetry組織的規範，由臺灣SRE團隊根據軟體系統可觀測性的三大面向，分別是Metric（指標）、Log（日誌）與Trace（鏈路追蹤），在半年內打造了符合這三大面向的臺灣可觀測性平臺TOP（Taiwan Observability Platform），來提高專案開發團隊的問題解決效率，進而升開發速度。</p> <p dir="ltr">陳鴻嘉指出，TOP與總部的同類平臺相比，雖然使用了大部分相同的開源軟體工具，但TOP最重要的功能，是能提供共通的實例與樣板。尤其，系統執行時會產生龐大資料量，個別團隊要自行開發一個觀測系統會耗時太久，交由SRE團隊統一建置與管理，就能減少重工的情形，讓所有團隊可以利用通用指標，快速了解開發狀況，共享問題解決的經驗；CTO也能快速了解專案維運的全面狀況，來進行資源調度管理。TOP平臺在2021年下半年正式採用後，Line臺灣已經推廣到多數進行中的專案、維運中的專案，更讓整體的系統事件減少了30%。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-19%20%E4%B8%8B%E5%8D%885_22_01.png" style="width: 700px;" /></p> <p dir="ltr">而在文化養成的面向，Line臺灣則透過技術傳教士為團隊規劃教育訓練、技術分享活動，作為文化養成的一環，讓開發者更習慣與外界交流、分享技術知識。</p> <h3 dir="ltr"><span style="color:#FF8C00;">推出大型語言通用模型HyperCLOVA，加快AI開發效率</span></h3> <p dir="ltr">由於雲端技術成熟，在AI技術的發展上，興起打造大型語言通用模型的趨勢，比如OpenAI的GPT-3、Google的T5等，陳鴻嘉指出，Line總部也跟上這股趨勢，打造屬於自己的大型語言通用模型HyperCLOVA，並於去年11月正式發布。相較過往為了不同的終端任務，需個別準備大量的資料，才能訓練出可執行單一任務的AI模型，HyperCLOVA目標則是要整合所有可用資源，包括訓練資料、軟硬體，來打造大型通用語言模型，透過大量參數和數據累積，加上AI專家不斷更新模型，讓開發者得以運用少量資料來訓練模型，滿足不同場景的任務需求。</p> <p dir="ltr">陳鴻嘉說明，Line集團不斷合法取得可公開的資料，置於HyperCLOVA之上，讓開發者能運用這些資料與軟硬體資源，加快模型訓練的效率。HyperCLOVA已經可以訓練包含文章摘要、段落翻譯、產出仿真人對話、產品行銷文案、將語音與文字相互轉換等模型。</p> <p dir="ltr">Line打造了擁有700 petaFLOPS計算能力的GPU叢集，提供強大計算資源，除了先提供內部開發者使用，不久之後也將對外提供服務。目前，這個通用語言模型已完成對日文的支援，擁有390億個參數；目前也正在進行多語系架構調整，以支援韓文，這個支援日、韓多語系的模型也已經擴充到820億個參數；明年更預計將針對日語，將多語系模型擴充到2040億個參數。雖然在中文的支援上，尚未有明確的計畫與支援時間，但陳鴻嘉指出，Line臺灣已經實作了大型通用語言模型的中文版本，目前正在將試驗成果與總部積極交流。</p> <p dir="ltr">除了總部發展HyperCLOVA平臺，Line臺灣也積極將CLOVA AI產品中文化並落地臺灣，今年將正式推出CLOVA Note、CLOVA OCR以及CLOVA Chatbot等AI服務。</p> <p>比如Chatbot服務中，Line臺灣提供了一個Chatbot bulider平臺，讓使用者只須準備好由機器人回答的問題與答案，就可以藉由圖形化介面訓練出聊天機器人模型，並應用到官方帳號上，不須具備程式開發技能也能使用。CLOVA Chatbot也提供三種部署方式，包含雲端SaaS版本與地端（On-Premise）版本，並針對臺灣市場客製化推出混合雲架構（Hybrid）版本，目標要在保有隱私資料安全性的同時，也降低運算資源的成本。</p> <p>另一項Line臺灣今年將推出的AI新服務，則是CLOVA Note，用來轉錄說話資訊，使用了兩項主要的語音技術，一為語音辨識（Speech Recognition）來辨識完整語句，二為說話者辨別（Speaker Diarization）來分辨不同的發言者。這項服務除了可作為個人助理，也能作為Web service串接到視訊會議來做記錄。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%965%E3%80%91CLOVA%20Note%E4%BB%A5%E8%A8%98%E9%8C%84%E8%B3%87%E8%A8%8A%E7%82%BA%E6%A0%B8%E5%BF%83%EF%BC%8C%E5%85%B7%E5%82%99%E5%85%A9%E9%A0%85%E4%B8%BB%E8%A6%81%E7%9A%84%E8%AA%9E%E9%9F%B3%E6%8A%80%E8%A1%93%EF%BC%8C%E5%88%86%E5%88%A5%E7%82%BA%E8%AA%9E%E9%9F%B3%E8%BE%A8%E8%AD%98%E6%8A%80%E8%A1%93%EF%BC%88Speech%20Recognition%EF%BC%89%E5%92%8C%E8%AA%AA%E8%A9%B1%E8%80%85%E8%BE%A8%E5%88%A5%E6%8A%80%E8%A1%93%EF%BC%88Speaker%20Diarization%EF%BC%89.png" style="width: 700px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">躋身NFT市場，今年Q1計畫推出全球NFT市集Dosi</span></h3> <p dir="ltr">另一個作爲明年主力發展的新技術，則是NFT，尤其在NFT與Metaverse幾乎已經成為下一代網路應用代名詞的趨勢下，Line於去年6月也躋身NFT市場，在日本發表NFT Market，讓日本市場的用戶，可以在Line旗下的加密貨幣交易所BITMAX，使用平臺幣LINK購買NFT。</p> <p dir="ltr">不只如此，陳鴻嘉更揭露，Line旗下區塊鏈暨NFT子公司Line Next打造的全球NFT市集Dosi，將於今年第一季正式上線，目前已開始接受企業和客戶的預約註冊。Dosi的命名語源來自韓文的「都市」，象徵全世界創作者、企業和粉絲們皆能自行打造虛擬經濟圈，未來在Dosi平臺上，用戶可以構建自己的品牌商店和全球社群，也能銷售自己品牌的NFT，把業務延伸到虛擬世界。而且，透過NFT專用錢包，用戶更能使用信用卡、數位支付或以太幣、比特幣、LINK等多種加密貨幣，來進行交易以及參加社群活動。</p> <p dir="ltr">Dosi將支援8種語言、於全球180個國家推出。預計推出的服務將包含Dosi Store、Dosi Wallet和Dosi Support。Dosi Store提供企業品牌利用模板或API快速打造自己的NFT品牌市場、自由鑄造NFT；Dosi Wallet則與社群平臺結合，用戶可利用該支付功能參與元宇宙的各項活動，首季將優先支援信用卡支付；Dosi Support則由Line的技術與行銷團隊支援，提供企業主技術及產品面的服務，來優化企業NFT商店的規劃與營運。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%9C%968%E3%80%91LINE%20Global%20NFT%20Market%E2%80%94DOSI%E9%A6%96%E6%B3%A2%E4%B8%8A%E7%B7%9A%E7%9A%84%E6%9C%8D%E5%8B%99%E5%B0%87%E5%8C%85%E5%90%AB%EF%BC%9ADOSI%20Store%E3%80%81DOSI%20Wallet%E5%92%8CDOSI%20Support.png" style="width: 700px;" /></p> <p dir="ltr">如同過去打造智慧生活入口，提供滿足用戶多樣生活需求的服務，Line計畫以Line服務現有的生態系為基礎，打造出NFT應用市集與新一代的元宇宙生態系，在新一代生態系之中，讓交易透過LINK快速完成，用戶也可以直接在自己的Dosi Wallet中，看到購買的所有NFT與數位貨幣。</p> <p dir="ltr">「與Line結合之後，NFT曝光更容易，」陳鴻嘉點出，透過用戶私密社群、公開社群、發表空間、Line Voom等管道，企業更容易提高發行NFT的知名度，交易的機會也會隨之提高，使NFT的價值變得更強大。</p> <p dir="ltr">陳鴻嘉更特別指出，臺灣工程部也主動與總部聯繫，加入Dosi平臺子系統的開發，「雖然我們是協助平臺開發，但目的要在合作過程中，累積對平臺技術、應用的熟悉度，再回來打造臺灣在地化的NFT應用。」而且，由於國內用戶對NFT得認識有限，Line臺灣一方面配合全球進行NFT市集推廣，一方面也要透過在地小型活動與展示，讓用戶更容易了解與使用NFT，來因應這個正在急速發展的新興市場。 </p> <p dir="ltr">最後，在區塊鏈的發展上，陳鴻嘉則揭露，明年將著力於Line區塊鏈如何與公鏈橋接，達到互操作性，並試圖透過新的共識演算法來增加運算效率，減少交易對計算資源的需求，讓區塊鏈平臺應用的成本再降低。 </p> </div></div></div>
2022/1/20 12:15作者翁芊儒https://www.ithome.com.tw/news/148977
蘋果與Google同聲反對新反壟斷提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議員去年提出了兩項攸關反壟斷規定的提案，包括《美國創新及選擇網路法案》（<a href="https://www.congress.gov/bill/117th-congress/senate-bill/2992?s=1&r=65" target="_blank">American Innovation and Choice Online Act</a>）與《開放App市場法案》（<a href="https://www.congress.gov/bill/117th-congress/senate-bill/2710?s=1&r=83" target="_blank">Open App Markets Act</a>），就在美國參議院司法委員會即將於本周四（1/20）審核《美國創新及選擇網路法案》的前夕，Google及蘋果同聲反對此一法案，反之，有超過40家小型企業連署支持該法案。</p> <p>《美國創新及選擇網路法案》將會限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。該法案明文規定平臺不得限制第三方與該平臺的互動，也不得要求第三方購買該平臺的服務來換取優惠，不得濫用第三方的資料以與之競爭，亦不得於搜尋結果中偏好自家的產品。</p> <p>《開放App市場法案》的宗旨與《美國創新及選擇網路法案》相近，但主要著重在由科技大廠主導的行動程式市集，將禁止這些市集要求開發者使用由市集提供的程式內支付機制，也不得要求開發者於市集上提供更優惠的價格，以及不得針對於其它支付系統提供價格優惠的開發者祭出懲罰。</p> <p>負責政府事務的蘋果總監Timothy Powderly在18日就發了一封信件予司法委員會，根據《<a href="https://www.macrumors.com/2022/01/18/apple-sideloading-bills-consumers-malware/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">MacRumors</a>》的報導，Powderly認為上述法令等於是變相鼓勵那些對於使用者資料不負責任，且針對消費者展開詐騙，或是部署惡意程式與勒索軟體的不良行為者。</p> <p>Powderly聲稱這兩項法令將會帶來隱私與安全的風險，進而對消費者造成危害。</p> <p>Google法務長Kent Walker也在同一天<a href="https://blog.google/outreach-initiatives/public-policy/the-harmful-consequences-of-congresss-anti-tech-bills/" target="_blank">發表了公開聲明</a>，同樣反對這兩項法案的Google卻有不同角度的看法，Walker說，這些法案針對美國企業制定了規則，卻未能規範外國企業，它們將賦予美國聯邦交易委員會（FTC）及其它美國政府機構前所未有的消費者產品設計控制權，因而危及美國身為全球技術領先者的地位，還可能威脅美國的國家安全。</p> <p>Walker指出，這兩項法案也許會讓美國消費者使用更糟的Google搜尋或地圖服務，其中的創新許可更要求企業在發表新功能之後必須取得政府同意，阻礙美國的技術領導者將會威脅其研發支出，恐會影響美國的國家安全。</p> <p>Walker還批評這兩項法案根本是失焦了，相關法案所提及的服務都已調降了價格，卻對通貨膨脹造成的影響隻字未提，Google認為必須更新的技術規範應該圍繞在隱私、人工智慧及對兒童與家庭的保護上，而非破壞業者的產品或削弱美國企業的技術領先地位。</p> <p>不過，有超過40家美國業者連署支援《<a href="https://wesupportsb2992.medium.com/re-s-2992-the-american-innovation-and-choice-online-act-f49cc61abd87" target="_blank">美國創新及選擇網路法案</a>》，包括打造可整合十多款傳訊程式的Beeper，隱私搜尋引擎DuckDuckGo，提供加密郵件與VPN服務的Proton Technologies，提供餐廳評價服務的Yelp，以及Tor專案等。</p> <p>這些業者抱怨市場的主導者經常偏好自家的產品與服務而妨礙了市場競爭，例如採用操縱性的設計以讓使用者遠離競爭服務，或是限制競爭者與平臺的互動，使用未公開的資料來嘉惠自己的產品及服務，令使用者難以變更其預設服務或移除程式。它們批評上述手法危害了競爭，亦損及消費者獲得創新服務的機會，因而呼籲司法委員會應通過《美國創新及選擇網路法案》以恢復美國數位市場的競爭狀態。</p> </div></div></div>
2022/1/20 11:35作者陳曉莉https://www.ithome.com.tw/news/148981
紅十字會遭大規模網路攻擊，51萬弱勢民眾資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際紅十字會（International Committee of Red Cross，ICRC）昨（19）日表示<a href="https://www.icrc.org/en/document/sophisticated-cyber-attack-targets-red-cross-red-crescent-data-500000-people" target="_blank">本周遭大規模網路攻擊</a>，致使51.5萬災民、政治難民及流離失所的孩童的資料外洩，也影響人道救援工作。</p> <p>紅十字國際委員會本周偵測到一樁高明的大規模攻擊。駭客攻擊紅十字會委外儲存資料的一家瑞士資料中心業者，導致至少全球60個紅十字及紅新月會（Red Crescent）國際聯合會在人道救援中救助的民眾隱私資料外洩，總數超過51.5萬。這些人民包括因政治動盪、戰爭、貧困、天災而流離失所、和家人分散的政治、經濟難民與兒童，以及因偷渡被拘留的民眾。</p> <p>受到這起攻擊影響，國際紅十字委員會被迫關關「家庭重聚連線」（Restoring Family Links）行動的底層系統，這也將影響紅十字及紅新月會協助失散家庭的工作，他們正在尋求替代方案。紅十字會也擔心外洩事件使這些弱勢民眾資料曝光，使其處境更加危急。</p> <p>紅十字會已經和其他人道救援組織夥伴合作調查攻擊，目前還無法得知發動攻擊者的身份，也還未掌握外洩資料是否已經被外傳或公開。</p> <p>國際紅十字委員會主席Robert Mardin也呼籲駭客不要分享、販售、外洩或利用這些資料。</p> <p>2016 年澳洲紅十字會血液服務（Australian Red Cross Blood Service）的線上查詢備份資料庫<a href="https://www.ithome.com.tw/news/109318" target="_blank">傳遭駭客入侵</a>，致55萬名捐血人士個資外洩。</p> </div></div></div>
2022/1/20 11:04作者林妍溱https://www.ithome.com.tw/news/148979