iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 23篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第133期：IDC調查：2021年Q3公有雲基礎架構支出年成長8.6%，已連續8季正成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2022/01/20～2022/01/26）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> </p> <p><strong style="font-size: 22px;">IDC調查：2021年Q3公有雲基礎架構支出年成長8.6%，已連續8季正成長</strong></p> <p>市場調查機構IDC近日發布了一份，最新的全球雲端IT基礎架構季度報告，總結2021年第三季全球雲端基礎架構，涵蓋公有雲和私有雲架構市場的表現。去年第三季，全球雲端環境IT基礎架構市場的規模達186億美元，年成長6.6%，其中，公有雲基礎架構市場規模達130億美元，較2020年同季成長8.6%，延續2019年第四季以來，年成長率皆正成長的趨勢，而私有雲基礎架構支出年成長率達13.4%，市場規模為56億美元。</p> <p>IDC預測，2021年全年雲端基礎架構市場規模，相比2020年成長8.3%，達到718億美元，其中公有雲基礎架構市場規模，預計年成長7.2%，而私有雲基礎架構全年支出則預計成長10.7%。從地理面看，亞太地區（不含日本和中國）2021年第三季的雲端基礎架構支出年成長率最高，達64.3%，而美國的成長幅度最弱，為1.1%。IDC更預期，運算和儲存雲端基礎架構支出將以12.4%的年複合成長率，至2025年達到1,188億美元，氣中工友雲基礎架構支出將占70.9%。<a href="https://www.idc.com/getdoc.jsp?containerId=prUS48776122">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可解釋性AI </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>BigQuery新增可解釋AI功能，企業可驗證ML模型是否符合預期</strong></span></strong></p> <p>Google近日宣布資料倉儲服務BigQuery正式新增可解釋AI（Explainable AI）功能，企業能夠更了解機器學習模型的決策方法。新功能適用多種模型，包括獨立同分布資料（IID Data）的監督式學習模型，和時間序列模型，全面地支援可解釋性AI。針對每一種模型，BigQuery可解釋AI功能都具有不同的可解釋性方法，而每種可解釋性方法都有各自的運算方式，企業能使用單一SQL查詢，並在數秒內獲得數百萬個解釋。</p> <p>可解釋性AI分為兩類，分別是全域可解釋性，還有區域可解釋性。BigQuery可解釋AI透過定義資料列中，每個特徵對預測結果的貢獻，讓企業了解ML模型在分類和迴歸任務生成的結果。Google表示，這個做法是特徵歸因，用來驗證模型的行為是否符合預期，並辨識模型中的偏差，還能獲得改進模型和訓練資料的方法。<a href=" https://cloud.google.com/blog/topics/developers-practitioners/bigquery-explainable-ai-now-ga-help-you-interpret-your-machine-learning-models">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MySQL資料庫 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 稽核功能 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Cloud SQL for MySQL現支援稽核用擴充套件，企業可自定義稽核規則產生所需日誌</strong></span></p> <p>為方便企業管理MySQL資料庫的敏感數據，Google雲端宣布釋出專為Cloud SQL for MySQL設計的稽核擴充套件，提供多種企業及資料庫稽核常用功能，協助企業維持資料庫的合規性，並且處於安全的狀態。企業原能設定MySQL的慢查詢日誌或是通用日誌，來建立資料庫活動的稽核追蹤，但Google表示，這些日誌會明顯影響資料庫效能，且沒有針對稽核建立最佳化格式。現通過稽核擴充套件，企業可以定義稽核規則，來管理和控制需要記錄的資料庫活動。</p> <p>擴充套件會以資料庫稽核日誌的形式，記錄資料庫活動，並在日誌中掩飾敏感資料，像是用戶密碼等，再發送已處理的資料庫稽核日誌到日誌服務Cloud Logging中。企業後續可在Cloud Logging查看所有使用者對資料進行的操作，也能使用自定義的日誌接收器，將日誌路由到Cloud Storage儲存桶或是BigQuery，進行長時間留存，甚至是使用Splunk或其他日誌管理工具，執行即時異常偵測。Cloud SQL for MySQL 5.7和8.0現開始支援資料庫稽核功能。<a href=" https://cloud.google.com/blog/products/databases/cloud-sql-for-mysql-launches-database-auditing">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資料搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式託管服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Azure整合資料搜尋解決方案Elastic，實現雲地混合Spring Boot應用程式統一監控</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Soring%20Cloud%20x%20Elastic_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px; height: 342px;" /></strong></strong></p> <p>微軟宣布Azure整合企業資料搜尋解決方案Elastic，Azure用戶現可以使用Elastic，收集Azure Spring Cloud應用程式託管服務的日誌和指標，並且以儀表板監控Spring Boot應用程式。企業搬遷本地端Spring Boot應用程式上雲時，需要匯總應用程式的日誌和指標，並使用開發人員熟悉的解決方案進行偵測，現在Elastic與Azure原生整合，企業可將Azure Spring Cloud日誌和指標，無縫傳送到Elastic，方便DevOps和SRE團隊監控Spring Boot應用程式。</p> <p>當日誌和指標資料送至Elastic之後，企業可通過Elastic Observability解決方案，使用視覺化功能以及儀表板，監控、分析和搜尋這些日誌資料，確保應用程式正常運作。此外，企業可以使用Elastic應用程式效能監控工具，來分析和搜尋應用程式的效能資料，並在Elastic APM查看Java虛擬機器的指標，了解堆記憶體、系統記憶體和CPU的使用狀況。<a href="https://tanzu.vmware.com/content/blog/tanzu-empowers-superior-secure-developer-experiences">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IT投資預測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端市場 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Gartner預測：2025年，企業雲端軟體投資將是非雲軟體的2倍</strong></span></p> <p>市場研究機構Gartner日前發布全球IT投資預測報告，預期企業雲端軟體的投資規模，至2025年達非雲端軟體的2倍。根據報告內容，2022年全球IT支出預期將達4.5兆美元，相比2021年成長5.1%，其中，以企業軟體項目的成長幅度最高，達22%。Gartner觀察，一路至2025年，企業CIO將提高對外部顧問的依賴，來實現數位化戰略。Gartner研究部門副總裁John-David Lovelock進一步表示，雲端尤其重要，因為雲是實現數位化目標和支持混合工作的關鍵要素，他預期，大多數大型企業將找外部顧問訂定雲戰略。</p> <p>在企業軟體項目上，2020年雲端軟體占比首次超過非雲軟體，一大原因是COVID-19的大流行。隨著企業聚焦採用SaaS，取代傳統本地端軟體，以支持業務的靈活性和敏捷性，因此，Gartner更預測，雲端服務將貢獻2022年企業軟體項目的成長力道，幾乎等同於該項目11%的預測成長幅度。<a href=" https://www.gartner.com/en/newsroom/press-releases/2022-01-18-gartner-forecasts-worldwide-it-spending-to-grow-five-point-1-percent-in-2022">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威脅偵測服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EC2實例 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Amazon GuardDuty現可保護EC2實例，偵測憑證濫用行為</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_GuardDuty_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.jpg" style="width: 600px; height: 476px;" /></strong></span></strong></p> <p>AWS宣布更新智慧威脅偵測服務GuardDuty，增加可辨識用戶EC2執行實例憑證遭濫用的行為。EC2執行實例憑證是通過EC2元數據服務，提供給實例上執行的應用程式的臨時憑證，而一旦EC2實例遭到入侵，攻擊者便有機會擷取憑證，獲得憑證具有的IAM角色權限，進一步啟動或終止EC2實例，甚至建立新的IAM角色。現在，GuardDuty會偵測濫用EC2實例憑證的狀況，當偵測到異常時，會發出警報。</p> <p>GuardDuty不僅會偵測從AWS外部IP地址使用憑證的情況，還會偵測從AWS網路內其他AWS帳號使用憑證的情況，以防堵攻擊者藉使用AWS帳號隱藏攻擊活動的手段。威脅偵測服務會依據威脅的嚴重性，劃分警報為兩個層級，若攻擊者從用戶的附屬帳戶濫用憑證時，會標記為中級警報，而若威脅是來自其他來源，則會發出高級警報。GuardDuty新功能現已在所有AWS地區上線，並免費提供用戶使用。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-guardduty-enhances-detection-of-ec2-instance-credential-exfiltration/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 事件服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 控制臺支援 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google在GCP控制臺加入Eventarc使用者介面，方便用戶管理、編輯觸發器</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Google%20Eventarc_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 378px; height: 600px;" /></strong></span></strong></p> <p>Google更新事件服務Eventarc，在GCP平臺控制臺加入Eventarc使用者介面（UI），用戶可更方便地控制和管理觸發器，且Eventarc事件目的地增加新選擇。所有GCP用戶現都可在控制臺，集中瀏覽、編輯和刪除Eventarc觸發器，掌握觸發器正在監聽的事件、來源，以及路由的目的地。另外，Eventarc事件路由目的地新增Cloud Run for Anthos。Eventarc服務的目的是，連結許多事件來源至許多事件目的地，現雖已有許多事件來源選擇，但只有一個事件目的地，也就是Cloud Run。因此，Google新增Cloud Run for Anthos服務，作為新的事件目的地，供用戶使用。<a href=" https://cloud.google.com/blog/topics/developers-practitioners/introducing-new-eventarc-ui-cloud-run-anthos-destinations">（詳全文）</a></p> <p><strong>圖片來源／IDC、微軟、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.甲骨文宣布將在南非約翰尼斯堡建立旗下非洲第一個雲端區域，今年更計畫在全球增加14個雲區域</strong><a href=" https://blogs.oracle.com/cloud-infrastructure/post/oracle-cloud-comes-to-johannesburg-meeting-compliance-obligations-in-south-africa">（詳全文）</a></p> <p><strong>2.Google宣布免費企業版G-Suite 7月開始收費，自動調整為付費版Workspace </strong><a href=" https://support.google.com/a/answer/2855120">（詳全文）</a></p> <p><strong>3.微軟發布用於K8s的Azure AD工作負載身分識別，不需使用機密情況下可存取受保護資源</strong><a href=" https://cloudblogs.microsoft.com/opensource/2022/01/18/announcing-azure-active-directory-azure-ad-workload-identity-for-kubernetes/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2022年1月</strong></p> </div></div></div>
2022/1/27 12:25作者黃郁芸https://www.ithome.com.tw/news/149106
Google Drive誤將以阿拉伯數字組成的文件標示為侵犯版權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Drive上個月導入新的版權政策後，本周將一份阿拉伯數字組成的檔案標示為侵犯版權而予以封鎖。</p> <p>上個月<a href="https://workspaceupdates.googleblog.com/2021/12/abuse-notification-emails-google-drive.html">Google宣佈一項內容管理政策，當Google Drive判斷用戶上傳的檔案被判斷為違反服務條款</a>，包括侵犯他人版權時，會在檔案名加上旗標，該檔案將無法分享給他人，也不能公開存取，包括已經有此連結的其他使用者。而在檔案封鎖後，上傳檔案者也會收到Google的電子郵件通知，包括申請複查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Google%20Drive-%E8%83%8C%E6%99%AF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FDavid%20Becker%20on%20unsplash.jpg" style="width: 600px;" /></p> <blockquote><p>在2021年12月14日，Google宣布一項<a href="https://workspaceupdates.googleblog.com/2021/12/abuse-notification-emails-google-drive.html">新的內容管理政策</a>，當GoogleDrive上的文件被判斷侵犯版權時，將通知違反服務條款</p> </blockquote> <p>本周美國密西根州立大學<a href="https://twitter.com/emilyldolson/status/1485434187968614411">一名教師Emily Dolson的一個純文字檔遭到Google Drive封鎖</a>。這個純文字檔內以阿拉伯數字1組成的一行內容。</p> <p>這名用戶表示，她被告知該檔案違反了Google Drive的服務條款，因為檔案內容違反了版權侵犯政策，將限制文件的部份功能。而且Google訊息顯示這次封鎖無法申請複查。</p> <p><a href="https://twitter.com/Azumanga/status/1485741718016245760">聖安德魯斯大學另一名學者Chris Jefferson則做了個實驗</a>以複製這項結果。他利用-1000 到1000的數字，建立了2000個檔案並上傳到Google Drive。結果以173、174、186、266、285、302、336、451、500及833組成的檔案都接到了Google判定違反服務條款。</p> <p><a href="https://twitter.com/nixcraft/status/1485870458096726018">一名用戶表示</a>，如果檔案中有以0為組成的一行文字，上傳該檔案的帳號會被Google永久封鎖。因此為防帳號被鎖，Jefferson最後刪除了這項實驗。</p> <p>此事可能和Google 系統一個尚未知的漏洞有關，但Google並未解釋原因，也<a href="https://www.bleepingcomputer.com/news/security/google-drive-flags-nearly-empty-files-for-copyright-infringement/">未回覆媒體詢問</a>。不過<a href="https://twitter.com/googledrive/status/1485842524564606976?ref_src=twsrc%5Etfw">該公司已回覆密西根大學用戶</a>，表示正在解決這項問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Google%20Drive-%E8%83%8C%E6%99%AF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FTwitter(1).jpg" style="width: 600px;" /></p> <blockquote><p>但在1月24日<a href="http://(https://twitter.com/emilyldolson/status/1485434187968614411">美國一名教師發現</a>，她的一個純文字檔output04.txt遭Google Drive封鎖，但檔案內容其實只有單行一個數字"1"。後續並有多位用戶進行實驗，發現更多這樣的狀況。</p> </blockquote> </div></div></div>
2022/1/27 14:27作者林妍溱https://www.ithome.com.tw/news/149110
蘋果釋出macOS Monterey 12.2、iOS 15.3更新，修補會外洩瀏覽器活動的Safari漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222">蘋果於周三（1/26）釋出macOS Monterey 12.2、 iOS 15.3、iPadOS 15.3、tvOS 15.3及watchOS 8.4</a>，以修補安全漏洞，包含日前被揭露的、允許駭客存取瀏覽器機密資訊的Safari 15漏洞CVE-2022-22594。</p> <p>由於蘋果各作業系統的同質性高，因而各平台的安全更新都修補了不少同樣的安全漏洞，例如此次它們一起修補了藏匿在Safari 15中的CVE-2022-22594、CVE-2022-22589、CVE-2022-22592與CVE-2022-22590，以及出現在ColorSync的CVE-2022-22584、Crash Reporter中的CVE-2022-22578、涉及iCloud的CVE-2022-22585，與Kernel中的CVE-2022-22593，總計8個同樣的漏洞。</p> <p>至於macOS Monterey 12.2則額外修補位於AMD Kernel、Intel Graphics Driver、IOMobileFrameBuffer、Model I/O及PackageKit中的安全漏洞，iOS 15.3與iPadOS 15.3額外修補了IOMobileFrameBuffer與Model I/O漏洞，tvOS 15.3亦額外修補Model I/O漏洞。</p> <p>最受外界矚目的是日前被資安業者<a href="https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/">FingerprintJS披露的CVE-2022-22594</a>。</p> <p>根據FingerprintJS的解釋，Safari 15不當地建置IndexedDB API，而讓Safari用戶所造訪的任何網站都能追蹤使用者的行為，甚至得知使用者的真實身分。</p> <p>IndexedDB為一客戶端儲存的瀏覽器API，可用來存放大量資料，它支援所有主要的瀏覽器，也遵循同源政策，然而，應用在蘋果所有平台上的Safari 15瀏覽器中的IndexedDB API卻違反了同源政策，使得使用者所造訪的網站可得知其它其它視窗或分頁的網站，甚至能夠得知Google替使用者建立的User ID，利用此一User ID再去尋找其它的個人資料。</p> <p>其實蘋果此次修補的安全漏洞中，不乏影響更嚴重的遠端程式攻擊漏洞，儘速更新作業系統才是上策。</p> </div></div></div>
2022/1/27 14:29作者陳曉莉https://www.ithome.com.tw/news/149111
Let’s Encrypt將在5天內撤銷約200萬誤發的憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>免費TLS/SSL憑證發行商<a href="https://community.letsencrypt.org/t/2022-01-25-issue-with-tls-alpn-01-validation-method/170450">Let’s Encrypt本周通知</a>，為了修正稍早的作業問題，將在5天內撤銷大約200萬個發出的憑證。</p> <p>Let’s Encrypt周二接獲檢驗其程式碼的外部單位通知，該公司憑證管理（ACME）Boulder「TLS Using ALPN」驗證方法的實作有2處規格不符合標準。在1月26日協調時間凌晨0點48分修正後，問題已經解決。但是修正前利用TLS-ALPN-01驗證方式驗證及發出的所有憑證都被視為是誤發。</p> <p>為符合其憑證政策，Let’s Encrypt預計在5天內撤銷這些已發出的憑證，該公司將從世界協調時間（UTC）1月28日16:00起執行。Let’s Encrypt估計受影響的憑證不到1%。而受影響的用戶也會接獲電子郵件通知。</p> <p>根據<a href="https://letsencrypt.org/stats/#daily-issuance">Let’s Encrypt的資料</a>，目前有效憑證為2.2億張，因此受到影響的用戶憑證大約在200萬左右。</p> <p><a href="https://www.theregister.com/2022/01/26/lets_encrypt_certificates/">The Register</a>引述Let’s Encrypt 公司說法，這次修正不是出於安全問題，而是因為TLS-ALPN-01需使用TLS 1.2以上版本。</p> </div></div></div>
2022/1/27 12:42作者林妍溱https://www.ithome.com.tw/news/149108
微軟即將於Windows 11上公開預覽Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windowsexperience/2022/01/26/a-new-era-of-the-pc/">本周宣布</a>，將在下個月開放Windows 11用戶公開預覽Android程式，同時改善Windows 11上的各種功能，外界則猜測，這很可能是Windows 11自去年10月發表以來首次的重大更新。</p> <p>微軟早在Windows 11尚未正式出爐前就對外公告它將支援Android程式，只是迄今它一直僅於Insiders測試人員計畫中進行測試，而且<a href="https://www.ithome.com.tw/news/147387">只能存取源自Amazon Appstore的特定程式</a>。</p> <p>此外，屆時Windows 11還會推出重新設計的記事本（Notepad）及媒體播放器（Media Player），以及改善工作列（Taskbar）上的功能，包括通話靜音或取消靜音、新增天氣選項，以及強化分享能力等。</p> <p>Windows 11是微軟6年來最大的一次Windows改版，採用極簡的設計，根據微軟的統計，使用者升級到Windows 11的速度是當初升級到Windows 10的兩倍，同時Windows 11也是Windows史上，使用者對其品質及滿意度最高的版本。</p> <p>與Windows 10相較，使用者於Windows 11上花的時間多了40%，另有接近一半的Windows 11用戶使用全新的Snap Layouts佈局功能，以展開多工並提升生產力。</p> </div></div></div>
2022/1/27 12:26作者陳曉莉https://www.ithome.com.tw/news/149107
美國白宮新網路安全戰略正式發布，要求所有聯邦機構採零信任架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>直屬美國總統管轄的行政管理和預算局（Office of Management and Budget，OMB）<a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/">周三（1/26）發布一聯邦策略</a>，指示所有聯邦機構的網路安全策略都應轉移到零信任架構（ Zero Trust Architecture），並必須在2024財年底（2024年9月30日）之前符合特定的資安標準與目標。</p> <p>OMB在<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">發送給各聯邦機構的備忘錄M-22-09</a>中說明，在目前的威脅環境下，聯邦政府不能再依賴傳統的邊界防禦作法來保護重要系統與資料，因而必須作出大膽的改變，轉移到零信任將替這個新的威脅環境提供一個可防禦的架構。</p> <p><a href="https://www.ithome.com.tw/news/147725"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%81%AF%E9%82%A6%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%88%B0%E7%95%A5960x420.jpg" style="width: 600px;" /></a></p> <blockquote><p>在去年9月7日美國行政管理和預算局（OMB）<a href="https://www.ithome.com.tw/news/147725">提出「聯邦零信任戰略」（Federal Zero Trust Strategy）草案</a>，如今這個聯邦策略正式發布。</p> </blockquote> <p>零信任模型的基本原則是沒有任何參與者、系統、網路或服務是可靠的，因而必須驗證任何試圖建立存取權限的事物，在理想的狀態下，政府員工應該擁有大型企業等級的受管帳號，以讓他們得以存取工作上所需的資料，同時提供可靠的資安保護，避免遭到針對性且複雜的網釣攻擊；員工的工作設備也將持續受到追蹤與監控，並在賦予造訪權限時考量這些設備的安全狀態；各個聯邦機構的系統是相互隔離的，彼此間互動的流量則是加密的；應用程式需經內部與外部的測試，並可安全地藉由網路提供給員工；各個資安及資料團隊必須合作以建立資料類別及安全規則，以偵測及封鎖未經授權的機密資訊存取。</p> <p>OMB表示，此一策略特別強調身分與存取控制，包含採用雙因素認證（MFA）機制，若缺乏嚴格控管的身分辨識系統，駭客只要取得使用者帳號就能進入特定機構以竊取資料或執行攻擊。</p> <p>美國總統拜登（Joe Biden）是在去年5月頒布「改善美國網路安全」的14028行政命令，當時便宣布要朝向零信任邁進，OMB則於同年的9月公布此一聯邦策略的草案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-27_%E8%81%AF%E9%82%A6%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%88%B0%E7%95%A5_M-22-09(1).jpg" style="width: 600px;" /></p> <blockquote><p>美國提出的聯邦零信任戰略正式公布，1月26日發布<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>。</p> </blockquote> <h3><strong>相關報導：</strong><a href="https://www.ithome.com.tw/news/147725"><span style="color:#0000CD;"><strong>帶動全美政府組織提升網路安全水準，聯邦零信任戰略草案提出</strong></span></a></h3> </div></div></div>
2022/1/27 11:31作者羅正漢https://www.ithome.com.tw/news/149103
Line CLOVA AI產品中文化落地臺灣，今年新推CLOVA Note，CLOVA Chatbot更推出三種部署版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line臺灣在開發者大會上發布，三大Line CLOVA AI產品正式中文化落地臺灣。一是CLOVA OCR，將推出完整產品功能，主張無論是特定表格或是證件中的文字內容，都能以OCR快速識別；CLOVA Chatbot則是推出雲端SaaS、地端On-Premise與混合雲部署版本，來滿足企業應用需求；今年更新推CLOVA Note服務，不只要將中文語音轉文字，還要區分出不同的發言者，未來除了可作爲個人助理，也要提供Web service串接到視訊會議來做記錄，這項服務預計在今年稍晚推出。</p> <h3 dir="ltr"><span style="color:#FF8C00;">CLOVA OCR：因應不同辨識情境，提供一般與專用文字辨識模型</span></h3> <p dir="ltr">Line CLOVA團隊Aaron Wu首先揭露CLOVA OCR完整產品功能。Line的OCR產品可分為一般情境的文字辨識模型（General Model）與專門情境辨識模型（Specialized Model），除了經過一年的中文化調整與優化，Line今年也在一般情境辨識模型中，推出新功能Table Extractor，讓用戶在掃描文件或圖片上的表格時，能夠用Table Extractor來辨識，透過將JSON File的參數，對應到每個字元在表格上的欄位，來快速擷取圖片上的表格與其欄位中的文字。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%882_26_55.png" style="width: 700px;" /></p> <p dir="ltr">由於在進行拍攝、截圖或掃描時，圖片的角度或光線都會影響OCR辨識的結果，Line因此新增了以AI自動調整角度的功能，能辨識出直式的表格文字為橫式等。Aaron Wu指出，這項功能在日本推出後大獲好評，比如在疫情期間，用戶需要將疫苗預約單的內容輸入系統來進行疫苗預約，透過訓練出OCR辨識模型，並結合自動調整辨識角度的功能，就能加速資訊擷取的效率，甚至連揉成一團的皺巴巴紙張，都能辨識出紙張上的文字資訊，尤其受到銀髮族的歡迎。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_10_07.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">CLOVA OCR能自動調整角度來進行OCR辨識。</p> </blockquote> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_11_30.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">經過模型訓練後，連一團皺巴巴的紙張，都可以進行OCR辨識。</p> </blockquote> <p dir="ltr">另一項專門情境辨識模型，則分為兩種類別，一是證件式的模型辨識，包括身分證、健保卡、護照等，雖然格式較固定，但因背景花紋或表格框線的樣式不同，還是需要透過模型訓練來強化辨識能力。二是非證件式的模型辨識，屬於內容相近但格式呈現不同者，比如名片、收據、信用卡、薪資單等，這類格式位置不固定者，就得透過足量資料來進行模型訓練，才能正確捕捉各種欄位資訊。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_12_40.png" style="width: 700px;" /></p> <p dir="ltr">針對General Model與Specialized Model兩類模型的訓練，CLOVA OCR更提供了Template Builder工具，提供一個易於操作的介面，讓用戶能透過拖拉的方法，選擇需要辨識的區塊、定位並命名，更提供了足量的標註工具，包括複寫框、多重字元框、Check Box等，以供用戶更精準定義表格並擷取資訊。同時，CLOVA OCR也能串接不同工具或技術，比如自動標註功能（Auto Tagging）、知識圖譜或是RPA流程等，來建立端到端自動化流程。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_14_33.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Template Builder工具提供了許多標註工具，包括複寫框、多重字元框、Check Box等，以供用戶更精準定義表格。</p> </blockquote> <h3 dir="ltr"><span style="color:#FF8C00;">CLOVA Chatbot：Chatbot Bulider讓非開發者快速上手，更提供三種部署方式</span></h3> <p dir="ltr">落地臺灣的CLOVA Chatbot也同樣提供了Chatbot Bulider工具，降低訓練人機對話系統的繁複流程，讓用戶只須準備好由機器人回答的問題與答案，以及相應的訓練資料，就可藉由圖形化介面訓練出專屬的Chatbot模型，並應用到Line官方帳號上，連不具程式開發技能的用戶都能上手。</p> <p dir="ltr">為了滿足各種不同用戶的需求，CLOVA Chatbot提供三種部署方式，其一是雲端SaaS解決方案，透過雲端平臺提供所有的Chatbot模型引擎，日本與韓國均有大量應用案例；其二是地端On-Premise版本，主要針對有落地需求、考量資料安全性的企業用戶，可透過SI廠商將服務導入企業本地端來使用；其三則是專為臺灣企業設計的混合雲架構（Hybrid），結合雲端與地端的優勢，讓用戶一方面可維持隱私資料落地的安全性，一方面也可以降低運算資源的硬體成本投入。</p> <p dir="ltr">Aaron Wu分享，Line客服官方帳號也實際應用了CLOVA Chatbot，2021年正式導入後，已經有8成以上的資料交由CLOVA Chatbot處理，平均每日可以接收超過5,000則以上的詢問訊息，更能維持90%以上的模型精準度。在這項Chatbot服務的設計上，Line引進了情境式對話功能，引導使用者逐步釐清問題，找到需要的答案，來提升滿意度。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%884_13_56.png" style="width: 700px;" /></p> <p dir="ltr">而且，透過CLOVA Chatbot的自動回覆與資料搜集，持續分析客服訊息後，Line發現超過兩成以上使用者問題，都跟帳號轉移相關，因此，Line也計畫在今年第一季推出「帳號移動健檢」功能，透過CLOVA Chatbot的進階功能，將Chatbot串接後端帳號系統，在經過用戶同意的情況下，從後臺自動讀取用戶資料，拋轉到Line內部伺服器後，再以Flex Message格式呈現在對話視窗中，來與用戶確認帳戶移轉的相關資訊。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%884_39_09.png" style="width: 700px;" /></p> <p dir="ltr">比如透過Chatbot先跟用戶確認電話號碼、Email以及是否已經設定密碼，也會確認帳號轉移的手機號碼是否一致，並提醒用戶在資料轉移之前，是否已經先備份資料，以此來幫助用戶更精準、快速的解決問題。在與用戶確認資訊的過程中，Line也會使用CLOVA Chatbot的隱藏式遮蔽功能，將敏感性的資料遮蓋。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_18_19.png" style="width: 700px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">CLOVA Note將於今年上線，可將語音轉為文字、更能區別不同發言者</span></h3> <p dir="ltr">另一項Line臺灣將在今年稍晚推出的AI新服務，則是CLOVA Note，來轉錄語音進行各式各樣的記錄。CLOVA Note使用了兩項主要的語音技術，一為語音辨識（Speech Recognition），將語音轉換為文字，二是說話者辨別（Speaker Diarization）技術，來分辨不同的發言者。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_19_30.png" style="width: 700px;" /></p> <p dir="ltr">在語音辨識的技術中，Line採用的並非傳統語音辨識（ASR）模型的訓練方法。Aaron Wu指出，傳統的ASR模型訓練方法，會先透過聲學模型（Acoustic Model），將聲音轉換為最小的聲音單位，再透過Phoneme-to-grapheme模型，將每個聲音的最小單位轉換為字串，最後再透過語言模型（Language Model），將每個字元組合成一個完整的句子。但如此一來，每個模型都得分開訓練，也需要不同的訓練素材與參數調教，「這對ML來說是一個阻礙。」</p> <p dir="ltr">因此，Line選擇透過自家研發出來的NEST引擎，這是一個以神經網絡架構出的端到端語言辨識模型，不需要訓練三個模型將語音轉為文字，而是能直接將語音輸入神經網絡來進行訓練，不僅能突破對Free Conversation的辨識，也強化了抗噪的功能。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_19_38.png" style="width: 700px;" /></p> <p dir="ltr">而在說話者辨識的模型中，則是運用每一個文字的字元字段，進行上下文比對，再透過判斷上下文之間的關係，以辨識出不同的說話者。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-01-26%20%E4%B8%8B%E5%8D%886_19_47.png" style="width: 700px;" /></p> <p dir="ltr">Aaron Wu表示，CLOVA Note除了可以作為個人助理，也能作為Web service服務串接到視訊會議軟體當中，來進行會議記錄，同時區分發言的對象。韓國在上線後，約有9成用戶以此進行會議記錄，臺灣今年也會上線中文服務。</p> </div></div></div>
2022/1/27 11:53作者翁芊儒https://www.ithome.com.tw/news/149091
萬芳醫院靠微服務大膽改造，更要助北醫體系HIS大轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HIS對多數醫護而言，只是單調的日常工作環境，但對萬芳醫院的醫護來說卻很不一樣。「我們醫療資訊系統（HIS）畫面，到聖誕節時會飄雪，就像Line聊天室一樣，甚至計畫在情人節時秀出愛心，」萬芳醫院資訊室主任許權廣越講，眼睛越發亮了起來，「要讓辛苦工作的同仁感受到溫暖。」</p> <p>甚至他打算，讓一天得用好幾套系統的醫生，打開最後一個HIS系統頁面時跳出「恭喜集滿七個系統～獲得今日最辛苦醫師勳章」的驚喜，利用尋寶集點的遊戲化概念，讓使用者體驗更有趣。</p> <p>這個多幫使用者思考一步的思維，讓HIS不再冷冰冰，使用者用起來就像生活中熟悉的工具一般，就是許權廣的開發風格。勇於打破舊有框架，也跳脫傳統IT開發方式，讓他更能大膽嘗試新方法，這正是為何早在4、5年前，遠在微服務浪潮吹進臺灣之前，萬芳就開使思考這樣技術的可行性。</p> <p><span style="font-size:28px;"><strong>直接嚐鮮微服務，解決舊系統問題</strong></span></p> <p>如同其他歷史悠久的醫院，萬芳仍採用大型主機，這種設計雖然安全，IT卻面臨許多挑戰。光是修改日期欄位，只改一處還不夠，IT得手動一一修改所有牽涉日期的系統才行，這只是萬芳醫院維運大型主機系統常見的麻煩事之一。</p> <p>最讓許權廣頭痛的是，大型主機使用老舊程式語言，例如Delphi，人才越來越難找，「最可怕的是，能用的工具也越來越少！」他指出，大型主機系統遇到維護更新時，還得中斷服務，就算暫停1分鐘，都影響HIS服務的持續性。</p> <p>所以，4、5年前一場會議上，萬芳醫院開始思考，能否用微服務來開發系統。當時，臺灣醫界討論微服務的聲浪甚小，但萬芳醫院評估後就認定，微服務架構可解決老舊系統的問題。</p> <p>而真正推了萬芳醫院一把，讓他們成為北醫體系中，第一家擁抱微服務醫院的關鍵，是一項非做不可的國家政策。當時政府力推醫院無紙化，醫院得在平板、手機等行動裝置上執行HIS，但用老舊程式語言開發的系統，必須事先定義固定的畫面尺寸，難以根據裝置螢幕來縮放大小，無法如新式網頁應用程式那樣，可以動態支援不同裝置的螢幕。</p> <p>在雙重挑戰的推力下，萬芳在2018年初，決定大膽改用微服務來開發系統。</p> <p><span style="font-size:28px;"><strong>挑病摘系統先練兵，正式展開微服務開發之路</strong></span></p> <p>他們首先練兵的對象是病摘系統。</p> <p>這是因為，這套系統不如門診系統龐大，但用途廣泛，記載了病人從入院到出院全流程的病歷摘要，也醫院每天必用的系統。再來，病摘系統主要使用者是年輕住院醫師，這群使用者對系統轉換接受度高，也可以快速提供建議給開發團隊。從醫院整體作業角度來看，優化病摘系統，也能進一步提高無紙化程度，讓醫護更習慣在裝置上記錄病歷。</p> <p>從技術面考量，鎖定病摘系統還有一個關鍵理由，就是更容易符合微服務拆分理念，將不同階段的流程模組化，拆分為一支支的服務，再以API串接。</p> <p>選好改造的目標系統後，萬芳IT團隊找來使用者單位和負責統籌的醫務部，聯手開發新系統，一一從入院病摘、病程記錄、出院病摘等關鍵模組著手，再延伸到其他照護系統，將這些模組都打造成網頁化的服務，能根據行動裝置大小縮放使用，甚至還結合Chatbot工具，來發送會診通知。網頁版病摘系統也以API串接其他仍在大型主機上執行的舊系統。</p> <p>這種用微服務介接大型主機舊系統的方法，就像是「在舊按鈕呼叫新服務。」許權廣認為，明顯效益是大幅縮短資料存取時間，因為原本所用的資料庫架構複雜，資料存取相當費時，但改用微服務介接舊系統後，萬芳會先將資料抓取到微服務專用的快取資料庫Redis，再用NoSQL資料庫MongoDB連結快速存取。</p> <p>這種暫存方式，大大加速資料存取時間，使用者能立即讀取資料，而且，IT服務更新不必停機，團隊不需公告系統何時更換，隨時就能逐一更新不同的模組，使用者也能立即體驗操作順暢度。</p> <p>這套以微服務架構開發的病摘系統，後來成為萬芳醫院One系列系統中的OneRecord，更奠定微服務開發基調。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1062%2B1063-CIO-450.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉<br /><strong>萬芳醫院資訊室主任許權廣表示，微服務開發關鍵在於服務資料分類，以及資料定義，得先找出共用模組、規範資料書寫格式，才能順利動工。</strong></span></p> <p><span style="font-size:28px;"><strong>實作微服務2步驟：服務分類、資料定義</strong></span></p> <p>不過，作為微服務開發新手，萬芳醫院IT如何打造微服務系統？</p> <p>他們的原則很簡單，就2件事。首先，IT團隊得先將服務與資料分類，找出醫療流程中共用的重要模組，像是病人基本資料、實驗室檢測數據等。這一步，就像是「先穿好衣服，」許權廣這樣比喻，衣服穿好後，要搭上配件就很容易了。接著第二項原則是建立資料定義，也就是資料標準化。比如，萬芳醫院遵照Google標準時間格式，來紀錄年、月、日，甚至連秒、毫秒都包括在內。</p> <p>服務分類、資料定義，這兩項就是萬芳醫院每周例行開發會議的重點工作。許權廣指出，每周二下午，醫務部會主導開發會議，找來資訊室開發小組、醫療資訊執行長暨放射腫瘤科專任主治醫師陳俊佑和相關使用單位，共同審視現有流程。他們從中分門別類，找出共用功能，再讓IT人員認領開發。</p> <p>微服務拆分後更容易結合敏捷式開發來分工，不僅精簡快速，也十分彈性，團隊不必像傳統IT開發般，按照順序「從1234開發，而是拆分成模組後，從1或10開始都行。」許權廣點出，老派開發要求一人獨挑大樑，IT人員一接到任務就自認倒楣，但微服務開發方法不只分工，還能提高成就感。</p> <p>先完成共用模組的開發後，團隊就能重新組合不同微服務化的模組，來建立整體操作流程。甚至，他們也能在模組間穿插其他功能，像是大數據分析、AI等。對團隊來說，微服務讓不同系統都能透過API呼叫取用，而且，模組改寫一次就能同步更新到所有套用的流程上，不必一一手動改寫所有相關系統。</p> <p><span style="font-size:28px;"><strong>跳脫傳統IT框架：IT人才非相關科系也能做好微服務</strong></span></p> <p>不只在系統開發上跳脫傳統IT框架，許權廣在人才安排上也打破舊有做法。萬芳醫院資訊室人力不多，特別的是，主力開發人員都不是IT背景，「有英文老師、政治系、航太系畢業的同事，還有一位IT團隊主管是醫師，而我自己是護理背景，」他打趣地一一細數團隊成員背景。這群人來歷不同，但都對系統開發抱持高度熱忱，自行尋找開源工具解決問題，更是必備特質。</p> <p>為何出現這樣奇特的人才組成，得從2017年底，萬芳改變招募方式說起。當時，萬芳醫院面臨老舊程式語言人才難尋、又不得不動起來開發的困境，於是下定決心從零開始，只要會網頁式開發的人才，都納入考量。</p> <p>不像傳統透過人力網站徵才的制式方法，萬芳醫院主動出擊，在PTT、各大論壇上尋找對醫療IT有獨到見解之人，主動邀請面試。萬芳醫院IT主管與這些人對談時，除了記錄人格特質，還看重快速反應能力。甚至在面試後，還會找面試者到開發團隊的辦公室，與其他成員閒聊半小時，分享彼此興趣。「大家語言相同，就會留下來，就會開發出許多新東西，獲得成就，」他說。</p> <p>許權廣強調，這些不同背景的開發人才想像力豐富、富有彈性，再加上平時都是IT系統的使用者，更能從使用者角度看問題。「對我們來說，這是很好的改變！」他說。</p> <p>不只如此，萬芳醫院還自創一套人才轉型做法。開發微服務系統時，必須先梳理出關鍵的共用模組，但醫療資料架構龐雜，容易衍生出各式各樣的子分類，對IT新人來說更難分辨。這時，萬芳醫院換個角度，改找來開發舊系統的資深員工，轉型擔任系統架構師，負責拆解龐大的舊系統，再提供架構設計給新進IT人員來打造微服務系統。如此一來，只熟悉舊系統和舊語言的資深人員，也能在新系統開發中發揮關鍵作用。</p> <p><span style="font-size:28px;"><strong>下一步進駐北醫體系，擴散萬芳微服務經驗</strong></span></p> <p>開啟萬芳醫院為服務開發之路的OneRecord，是承襲萬芳另一套一站式病人資訊入口系統OnePage而來。他們也在之後，陸續打造一系列One系統，像是個案查詢系統OneTeam、急診專用系統OneER、醫療資料庫OneFamily和OneBot等。微服務的延伸，不光是系統，更推展到整個腫瘤治療流程上。許權廣透露，目前北醫體系有意改造腫瘤治療流程，未來要以微服務來開發。</p> <p>這些都是萬芳微服務系統延伸應用的一環。因為，北醫大今年2月將啟動專案辦公室，來推動北醫體系3家醫院的HIS轉型，要用微服務架構來改善大型主機舊系統。這個專案辦公室的目標是，將One系列系統導入體系醫院，讓3家醫院透過單一入口查詢所有資訊，甚至納入周邊合作診所的資訊。</p> <p>專案辦公室會先從3家醫院中挑選人才，一面組隊，一面規畫複製萬芳醫院One系列系統的成功經驗，到其他2家醫院，不只包含系統開發，更著重團隊合作和人才組成。尤其，萬芳醫院力推由醫師領導IT團隊，所開發的系統才更貼近使用者需求，而由不同人格特質組成團隊也是關鍵，才能互補進步。在開發過程中，如何讓醫療團隊了解關鍵模組，也是萬芳經驗分享中的重要一環。</p> <p>許權廣特別強調，萬芳IT還建置系統互動區，來讓使用者截圖、反應系統狀況，這也是他眼中，提高使用者體驗的關鍵做法。</p> <p>接下來，北醫體系還要研究世界主流的開源容器平臺K8s，用來管理3院微服務系統。許權廣期許，未來北醫體系微服務模組要像App市集一樣，隨時可供不同系統呼叫、引用，打造更靈活的智慧醫療環境。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>萬芳醫院資訊室主任許權廣</strong></p> <p>學歷：臺北醫學大學醫學資訊碩士畢業</p> <p>經歷：2010年進入北醫大，擔任卓越癌症計畫研究護士，2013年接任北醫大科技學院專案經理，累積IT開發經驗，2年後進入萬芳醫院資訊室護理小組，2017年升任萬芳醫院資訊室副主任，2年後接下資訊室主任一職，2020年則任命為資訊長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>臺北市立萬芳醫院</strong></p> <p>地址：臺北市文山區興隆路三段111號</p> <p>成立時間：1997年</p> <p>主要業務：與臺北醫學大學附設醫院、衛福部立雙和醫院在臨床教學研究、人力資源、醫療服務及其他資源上相互支援</p> <p>員工數：約2,500人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：萬芳醫院資訊室主任</p> <p>資訊部門主管姓名：許權廣</p> <p>醫療資訊執行長：陳俊佑</p> <p>直屬主管：行政副院長</p> <p>資訊部門人數：31人</p> <p>資訊部門分工：分為系統維運組、程式設計組、資訊發展組、資訊服務組、總機組</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2010年：電子病歷系統上線、建置住院醫師查房資訊系統LazyR</p> <p>●2013年：參與北醫體系醫院醫療資訊系統整合計畫</p> <p>●2016年：建立一頁式醫師小助手OnePage，召集北醫教授李友專、萬芳醫師陳俊佑等成立醫資專家群</p> <p>●2017年：導入癌症診斷輔助系統Watson for Oncology、建置智慧病房；打造雲端文件共享服務平臺及雲端運算資料交換管理系統</p> <p>●2018年：發表臺灣首個AI醫療服務聊天機器人「萬小芳」</p> <p>●2019年：以OnePage為核心，打造萬芳One萬平臺，開始微服務轉型</p> <p>●2020年：打造文山區診所系統資料雙向交換環境，建立臺灣首個光配方樂齡智慧病房</p> <p>●2021年：獲得2020年至2021年國家醫療品質獎（NHQA）智慧醫療類競賽六面向全獲智慧標章</p> <p>●2022年：以One萬平臺微服務建構經驗，推動北醫大下一代HIS開發</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/10621063-cio-960-png.png" width="960" height="420" alt="" title="萬芳醫院資訊室主任許權廣　　（攝影／洪政偉）" /></div></div></div>
2022/1/27 11:53作者王若樸https://www.ithome.com.tw/people/149088
5G趨勢月報第27期：廣達展示5G智慧工廠新成果，以5G攝影機即時偵測產線手臂異常，還結合AR眼鏡指引新手組裝機櫃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>01/01~01/31精選5G趨勢新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">聯發科</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 6G </span></strong></span></p> <p><span style="font-size:22px;"><strong>搶先布局6G標準，聯發科發布6G願景白皮書，首度提出6G設計3大關鍵原則</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%96-%E8%87%B3%E6%B5%A9-%E5%9C%961-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.png" style="width: 600px; height: 432px;" /></p> <p>儘管按ITU-R（國際電信聯盟無線電通信部門）規畫期程，下一代6G標準最快2030年才會展開制定，不過一些大型電信設備商、5G晶片業者早已為布局6G提前展開規畫和投入研究。聯發科是其中一家。該公司近日在新發布一份《6G願景白皮書》中，首度提出6G設計關鍵原則，作為未來 6G標準的可能發展方向。</p> <p>如同現今5G系統設計，以大頻寬（eMBB）、低延遲（URLLC）、多連結（mMTC）發展行動網路關鍵技術，在這份白皮書中，聯發科提出6G系統設計三個關鍵原則，分別是精簡（Simplexity）、優化（Optimization）及融合（Convergence）。像是6G系統應以精簡的設計滿足複雜的新應用場景需求，如不同類型裝置、更廣頻譜範圍、頻譜性質調適、多網融合等。重優化的6G系統需改以使用者為導向進行優化，涵蓋無線網路異質架構整合、通訊網路智慧化及支援個別應用場景的整套設計，滿足新世代的創新應用需求，如全像投影通訊、觸覺通訊、數位分身、親臨實境（telepresence）等。聯發科表示，未來將以三大基本設計原則，建立 6G研究基礎理論，發展核心技術，制定全球統一標準並推動產業生態發展。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G智慧工廠</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣達</span></strong></span></p> <p><span style="font-size:22px;"><strong>廣達展示5G智慧工廠新成果，結合5G攝影機與AR眼鏡提高自動化生產、機櫃組裝作業效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%96-%E8%87%B3%E6%B5%A9-%E5%9C%962-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 372px;" /></p> <p>近期在雲達Q.synergy年會上，廣達有更多5G智慧工廠應用成果展示，將5G大頻寬、低延遲特性，運用在自動化生產線、伺服器機櫃生產組裝作業上，像是為了能偵測多條產線的機械手臂運作安全和周圍環境監控，他們利用5G專網建立一個可以涵蓋長65米、寬55米的通訊範圍，大約8個籃球場大，一次可支援3條生產線共55個720P畫質IP攝影機的影像上傳，而其中一條產線後端搭配一組4K攝影機，拍下每個PCBA板的超高畫質影像，將影像上傳至Edge Cloud儲存，作為後續生產履歷的品質追溯，並透過影像分析，持續改善良率。</p> <p>在機櫃組裝產線也部署5G應用，在長達2公尺的機櫃組裝線進行作業時，作業員可以利用AR眼鏡上的攝影機，結合AI即時追蹤機櫃每個孔位，並將AR虛擬指示快速疊加於眼鏡前方，指引新手組裝，在組裝作業進行的同時，也能將組裝過程的影像結合AI品質檢測。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G SA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 亞太電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>亞太電信完成5G SA結合毫米波雙連線的數據互通測試，傳輸速度可達2Gbps</strong></span></p> <p>過去1年，全球5G技術正迅速從5G NSA朝更大頻寬的5G SA獨立組網架構發展，國內各大電信商也積極投入，像是亞太電信最近與愛立信及高通聯手，結合中高頻段完成5G SA毫米波雙連線（mmWave NR-DC）的數據通話測試，傳輸速度較NSA架構提升不少，最高可提供2Gbps下載速度，上傳速度也可達600 Mbps，網路延遲則縮減為約5毫秒。</p> <p>在這項5G 雙連線測試中，亞太電信使用愛立信5G RAN和雲端原生的5G核網，並於搭載高通Snapdragon X65 5G數據機射頻系統的工程測試裝置上進行，還搭配5G NR雙連線軟體使其連接到2.6GHz中頻和28GHz毫米波高頻頻段，並在SA獨立組網的5G核網上進行測試，藉此實現更高的5G毫米波傳輸速率、更好的覆蓋範圍，以及改進網路延遲。</p> <p>亞太電信表示，透過結合5G SA和毫米波，將推動更多企業5G專網和消費端的創新應用，包含即時自動化、智慧監測遠端操作和機器人控制等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G頻譜</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 飛航安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>5G頻譜引發飛航安全疑慮！美國兩大電信巨頭暫緩部分機場及周邊C頻段5G服務推出</strong></span></p> <p>美國兩大電信業者AT&T和Verizon近期因開通C頻段（C-Band）5G服務被認為可能干擾飛航運作，遭航空業強力阻撓而引起爭端，也讓這兩大電信業者讓步，暫緩決定在美國部分機場周邊地區部署C頻段5G服務，避免影響美國航班。</p> <p>以AT&T而言，C頻段是AT&T支援的3種5G服務之一，但不像低頻段AT&T 5G，以及使用毫米波的5G+服務之前都順利推出，反觀AT&T的C頻段5G服務開通卻一波三折。由於C頻段5G服務，採用3.7GHz到3.98GHz，屬於中頻段頻譜，兼具高傳輸率及高覆蓋區域的優點，但因距離航空高度計使用4.2到4.4GHz頻段較近，恐有影響飛航安全的疑慮，聯邦航空總署FAA和部分航空業者都同聲示警，不只美國、日本航空，就連臺灣飛美航班也因為擔心影響飛航設備，而有部分延後起飛或甚至取消航班。</p> <p>AT&T與Verizon原訂去年12月中開通，後因遭航空業反彈，延至今年1月19日才推出，在開通前夕，再次受到對方阻撓，雖然最後仍按原定計畫，啟動了C頻段5G服務，但排除美國部分機場周邊地區。</p> <p>至於臺灣5G商用頻譜因使用距離較遠的3.3到3.57GHz頻段，並不干擾飛航安全。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">樂天行動 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G開放架構 </span></strong></span></p> <p><span style="font-size:22px;"><strong>日本樂天行動分拆Symphony部門為獨立公司，專注提供雲原生5G電信開放架構和平臺服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%96-%E8%87%B3%E6%B5%A9-%E5%9C%963-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.png" style="width: 600px; height: 372px;" /></p> <p>日本5G電信商樂天行動4日宣布將把旗下Symphony業務分拆出來成獨立公司，名為Rakuten Symphony。</p> <p>Rakuten Symphony將成為樂天行動全資子公司，新公司將由樂天行動技術長Tareq Amin擔任執行長。</p> <p>Symphony是樂天行動去年8月成立新業務部門，負責銷售樂天旗下所有4G、 5G網路產品、服務和解決方案，其中一大主力是2020年推出的樂天通訊平臺（RCP），提供營運商建置行動網路所需一整套Open RAN網路技術，包含虛擬化、容器和微服務等。</p> <p>樂天行動表示，成立獨立公司後，未來將能專注全球市場，提供全球營運商、企業和政府機構使用RCP平臺所需OpenRAN、雲原生產品及服務。該公司還透露了目前已有一家德國電信商1＆1 Drillisch將採用其RCP服務建置行動網路，涵蓋 N、核網、雲端等。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧城市 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G智慧杆 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北市政府將展開5G智慧杆場域驗證計畫，以IoT路燈結合5G毫米波監測交通、環境及淹水情形</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__63889438.jpg" style="width: 600px; height: 446px;" /></p> <p>近日，臺北市政府宣布將在臺北市區展開5G智慧杆場域驗證計畫，更與5G智慧杆標準推動聯盟合作，使用其標準來打造包含一主杆與二副杆的5G智慧杆，該測試場域選在北市府大樓東側廣場的松智路段進行，使用IoT路燈結合5G毫米波通訊及5G基地臺打造5G智慧杆應用場域。</p> <p>臺北市資訊局表示，將會進行為期一年的PoC驗證，除了用來驗證5G智慧杆功能，還將整合電動車充電樁，以及運用於智慧路燈、道路交通監測、環境氣候偵測、道路淹水偵測，並結合AI及邊緣運算控制LED燈號警示、數位看板等智慧城市應用。</p> <p>AT&T與Verizon原訂去年12月中開通，後因遭航空業反彈，延至今年1月19日才推出，在開通前夕，再次受到對方阻撓，雖然最後仍按原定計畫，啟動了C頻段5G服務，但排除美國部分機場周邊地區。至於臺灣5G商用頻譜因使用距離較遠的3.3到3.57GHz頻段，並不干擾飛航安全。</p> <p> </p> <p>攝影／蘇文彬圖片來源／Apple、聯發科、臺北市政府</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多5G動態 </span></strong></span></p> <p><strong>1.傳蘋果將發表平價iPhone SE 5G，最快4月亮相</strong></p> <p><strong>2.微軟Azure for Operators混合雲方案正式整合AT&T 5G網路平臺</strong></p> <p>資料來源：iThome整理，2022年1月</p> </div></div></div>
2022/1/27 11:56作者余至浩https://www.ithome.com.tw/news/149104
臉書在新興國家推的免費上網服務其實要收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta前身臉書在新興國家推出的免費上網服務Internet.org雖然有些爭議，但不失立意良善。不過<a href="https://www.wsj.com/articles/facebook-free-india-data-charges-11643035284">華爾街日報報導</a>，臉書反因這項服務賺進數百萬美元。</p> <p>臉書是在2013年推出名為Internet.org、後來改名為Free Basics的服務，宣稱要幫助頻寬不夠快的新興國家人民也能使用免費網路內容。臉書和當地ISP合作，提供以零費率提供用戶上網服務以及健康或資訊類等內容，以及在臉書上讀取文章、貼文或回覆。</p> <p>但報導指出，在印尼、菲律賓及巴基斯坦等地和行動電信商合作這項服務期間，其實用戶被悄悄收取費用。因為Free Basics免費服務僅限於文字內容，用戶讀取相片或影片都會被收費。但付費及免費服務混雜推出，使用者不小心就會點入付費服務。另一方面，大部份用戶是以預付卡使用這項服務，因此未能於第一時間發覺，直到其額度用完才發現。</p> <p>報導指出，Free Basics服務中，用戶應該只會看到文字版Facebook，但因為發生Meta口中的「技術問題」，而讓影片內容出現在Free Basics的臉書服務。又因為另一項問題，讓應該在用戶點入付費服務前發出的提醒並未出現。</p> <p>用戶因此平白收取數個月的費用，且經營團隊並非不知情。Meta內部文件顯示，多收的費用有83%來自影片。巴基斯坦用戶總共被收取了190萬美元，另有20多國也受到影響。</p> <p><a href="https://www.theverge.com/2022/1/25/22900924/facebooks-free-internet-less-developed-costing-users-wsj">臉書對媒體表示</a>，在用戶註冊時已經明白告訴用戶看相片和影片是需要付費的，也儘可能提醒用戶可能的收費結果。</p> <p> Free Basics原本打算要提供給100個國家地區，但推出以來遭到質疑和抗議，<a href="https://www.ithome.com.tw/news/96047">指其假零費率之名破壞言論自由及蒐集用戶個資</a>。批評者相信這是Meta擴增新營收的計畫，不過Meta執行長<a href="https://www.ithome.com.tw/news/102122">Mark Zuckerberg堅稱這項服務是為了縮短數位落差</a>，並非為了利益。<a href="https://www.ithome.com.tw/news/103856">印度則在隔年禁止Free Basics服務</a>。</p> </div></div></div>
2022/1/27 12:13作者陳曉莉https://www.ithome.com.tw/news/149105
郵局6萬8千坪的智慧物流中心明年全面啟用，結合5G、AIoT打造智慧物流，還要優化郵路系統發展智慧郵務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華郵政終於展開數位轉型，明年還要啟用一座地上8層樓、面積高達6萬8千坪的智慧物流中心。新物流中心不僅是全臺單一座物流中心規模最大，還是該公司轉型的重要發展關鍵，更是郵政智慧物流園區啟用後的重要設施之一。郵政公司還搶先物流服務業規畫在物流倉及園區內<br /> 導入5G專網，結合各種AIoT設備蒐集數據，運用於各項智慧物流應用上，作為園區第一期的重要應用成果。該園區預計2025年啟用，該公司近日揭露更多技術規畫細節。</p> <p>郵政公司未來物流轉型策略有兩大，包括建置智慧物流園區，以及發展智慧郵務服務。</p> <p>郵政公司從去年展開物流園區建置作業，預計花4年分階段完成設置智慧物流中心、北臺灣郵件作業中心、資訊中心、營運中心以及工商服務中心5棟建築。第一期投入258億元，第2期多增加60億元，預計將於2025年完工啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0008805.jpg" style="width: 600px; height: 400px;" /></p> <p>17公頃大的園區內皆導入智慧監控、智慧物業管理、能源管理，管控所有人車進出和環境及能源監控，像是針對監測管理設備結合AIoT技術，能及時偵測異常事件和預警，還會建置5G專網打造智慧基礎聯網設施，蒐集所有人車進出數據、園區內車行數據、園區環境數據、能源監控數據、設備狀態數據等。園區內各棟建築物導入BMS辦公管理系統，再統一集中到監控中心的戰情室儀表板上即時呈現。</p> <p>中華郵政經營策略設計委員會副主任委員蔡文慶表示，該園區除了大量運用數位科技發展智慧物流服務，還將結合智慧營運、智慧安全管理、智慧綠色能源，打造以使用者為中心的智慧園區生態圈，還將整合消費物流、區域轉運物流、國際物流等，服務電商、零售等企業客戶。</p> <h3><strong>上萬坪郵政物流中心與新資訊中心最快明年啟用</strong></h3> <p>按原訂期程規畫，郵政物流中心最快2023年全面啟用，再來是資訊中心，同樣在2023年底正式營運，其次是作業中心和營運中心，陸續將於2025年前啟用。蔡文慶透露，新資訊中心啟用後，除了將把臺北總部資訊機房全部集中到新的資訊中心統一管理，還將保留部分空間，提供網路業者所需機房代管服務。</p> <p>這座郵政物流中心完工啟用後，單是樓高就有8層樓，加上地下1層，總面積達6.8萬坪。從樓層設計來看，整座物流中心地上8樓，4樓層是物流倉，4樓夾層是作為辦公用途，其中物流層採用單元組合式架構設計，一個樓層分4個單元，每個單元面積約2,600坪，4層樓一共16個單元，約4.1萬坪。</p> <p>郵政公司未來將自行經營一個單元，其餘15個單元，由另一家電商業者PChome承租與營運，預計今年上半完工，下半年即可進駐使用，至於郵政物流倉，最快2023年才會全面啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0008810.jpg" style="width: 600px; height: 400px;" /></p> <p>在這間物流中心內，除了規畫導入倉儲管理系統，還建置自動化倉儲，搭配各種自動化設備來提高物品儲存、揀貨、出貨的效率，而且針對貨物搬運會導入AGV無人搬運車，來輔助人員進行揀貨、搬貨，還將結合AI影像識別，追蹤和管理所有郵件或貨物進出。</p> <p>在貨物運輸方面，除了持續優化車隊管理之外，郵政公司也開始評估無人載具用於郵政物流的可行性，未來將於園區內展開試驗，如無人載具應用方案、無人機快遞、無人機園區巡檢等。除了無人機，還規畫配送機器人、自駕車等測試場域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20220119_065212207.jpg" style="width: 600px; height: 302px;" /></p> <p>中華郵政還有另一大轉型策略是智慧郵務，將優化收寄、封發、運輸、投遞等一連串郵路系統的流程，利用數位工具和智慧科技，來實現服務雲端化、行控即時化、處理自動化、配送行動化。</p> <p>像是收寄方面，除了推出多元收寄，郵政公司迄今在全臺更設置2,400座i郵箱，提供包裹寄件、自助取件服務，還推出郵件數位分身服務EZpost，讓民眾用App一鍵匯入郵件資訊，簡化窗口作業流程；再者，在付款上也能支援多元支付。</p> <p>甚至未來所有郵件集中進到處理中心進行分封作業時，將通過自動化處理流程，來有效控管產能和提高作業效率，藉此降低對人力影響和依賴。</p> <p>另外在運輸作業上，中華郵政全臺設置約1,300個服務據點，每天上萬輛車組成的郵務車隊往反全臺各據點配送，該公司之後將持續優化郵件運輸管理系統，確保所有郵件寄送都能準時送達，還要建置郵運整合系統，優化郵運班次。</p> <p>其他還有強化車隊運能管理，能即時追蹤調度和遠端控管，以及結合各種行車安全管理機制等。</p> </div></div></div>
2022/1/27 10:31作者余至浩https://www.ithome.com.tw/news/149095
Linux 12年漏洞可讓駭客以根權限執行程式碼，影響所有發行版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034">Qualys本周揭露一項存在Linux系統管理元件長達12年的漏洞</a>，可讓本地攻擊者以根權限在幾乎所有發行版平台上執行程式碼。研究人員警告該漏洞開採容易，是攻擊者的美夢成真。</p> <p>這個編號CVE-2021-4034的漏洞，存在於Linux的Polkit（前稱PolicyKit），因而漏洞又被稱為PwnKit。Polkit是管理Unix、Linux等OS全系統准許權限的元件，讓一般權限的行程（process）可和高權限行程互動。而Polkit中一項setuid程式pkexec則可讓用戶以root權限執行指令。</p> <p>根據<a href="https://access.redhat.com/security/cve/CVE-2021-4034">Red Hat的說明</a>，現有版本pkexec未正確處理呼叫參數，使其試圖依指令執行環境變項。這讓攻擊者可操弄變項讓pkexec執行任意程式碼，其結果是讓原本沒有特殊權限的本機用戶得以取得在目標機器上的root權限。CVE-2021-4034 CVSS風險值被列為7.8。</p> <p>例如研究人員在環境參數中注入GCONV_PATH即可以root權限執行共享函式庫。</p> <p><a href="https://www.qualys.com/2022/01/25/cve-2021-4034/pwnkit.txt">Qualys強調</a>此弱點是攻擊者的「美夢成真」。一來Qualys驗證後證實這項漏洞影響Ubuntu、Debian、Fedora和CentOS，也可能存在其他Linux發行版或Unix環境，包括Solaris及BSD，除了OpenBSD之外。而且這項漏洞最早可追溯到2009年5月釋出的第一版pkexec，因此所有版本pkexec都受影響。其次，開採該漏洞相當容易，任何無特殊權限的本機用戶都能開採而取得完整root權限。研究人員補充，雖然這項漏洞技術上只是記憶體毁損漏洞，但能產生立即而穩定效果。另外，polkit 精靈程式（daemon）未執行下依然能開採該漏洞。</p> <p>Qualys去年11月通報Linux廠商及社群，後續<a href="https://access.redhat.com/security/vulnerabilities/RHSB-2022-001">Red Hat</a>、<a href="https://www.suse.com/security/cve/CVE-2021-4034.html">SUSE</a>、<a href="https://ubuntu.com/security/notices/USN-5252-2">Ubuntu</a>、<a href="https://ubuntu.com/security/notices/USN-5252-2">Oracle</a>等皆已發布更新版本。</p> <p>研究人員並且警告，由於開採非常容易，且別的研究人員可能會修補程式釋出後發佈攻擊程式。如果用戶的Linux發行版尚未獲得修補，可以移除pkexec中的SUID-bit（例如# chmod 0755 /usr/bin/pkexec）暫時緩解攻擊風險。</p> </div></div></div>
2022/1/27 10:34作者林妍溱https://www.ithome.com.tw/news/149096
系統I/O介面邁向新世代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">這兩年來，隨著越來越多的處理器平臺支援PCIe 4.0，使得晚近推出的個人電腦與伺服器產品陸續具備完整這項規格的能力。</p> <p dir="ltr">以資料中心的伺服器平臺而言，在2019年，AMD第二代EPYC處理器7002系列登場，開出x86領域支援PCIe 4.0第一槍；到了2021年，該公司推出的第三代EPYC處理器7003系列繼續強打這個規格，而英特爾在這年發表的第三代Xeon Scalable系列處理器，也終於支援PCIe 4.0。</p> <p dir="ltr">在這段期間，陸續有多種新款運算加速卡與網路卡，也開始支援PCIe 4.0。例如，因機器學習廣泛應用而走紅的GPU最受矚目，兩大主要廠商已在新上市產品支援PCIe 4.0，像是：Nvidia在2020年上半發表的A100 GPU，以及後續推出的多款Ampere架構GPU；AMD在2020年11月推新款資料中心GPU加速卡Instinct MI100，2021年6月發表的專業繪圖加速卡Radeon PRO W6000，以及11月登場的Instinct MI200系列，都是採用PCIe 4.0。</p> <p dir="ltr">而在FPGA加速卡的部分，也能從多款新產品的問世看到這股趨勢。例如，在2018年11月，賽靈思推出第一款支援PCIe 4.0的產品Alveo U280，隔年8月，亦即AMD發布第2代EPYC系列伺服器級處理器的前一天，他們推出Alveo U50，2021年先後發表Alveo SN1022、Alveo U55C；英特爾則是在2020年10月推出支援PCIe 4.0的產品，例如，Silicom公司的FPGA SmartNIC N5010（基於英特爾FPGA晶片Stratix 10 DX），在2021年9月，Silicom又發表C5010X FPGA IPU NIC（基於英特爾FPGA晶片Stratix 10 DX 1100），11月推出FPGA SmartNIC N6010系列（基於英特爾FPGA晶片Agilex，以及網路控制器晶片e810CAM2）。</p> <p dir="ltr">關於網路卡與資料處理器（DPU）對於PCIe 4.0的支援，英特爾與Nvidia也都在這兩年發表的產品引進這樣的規格。例如，在2019年4月，英特爾宣布將推出提供100GbE網路介面的Ethernet 800系列，2020年6月，我們看到他們揭露更多技術規格，當中提到此產品將同時支援PCIe 3.0與4.0，後續發布的資訊也證實支援。</p> <p dir="ltr">Nvidia旗下的網路卡產品則是得自於2020年併購Mellanox，該公司早在2016年6月推出的ConnectX-5與BlueField，就開始支援PCIe 4.0，在2019年8月發表的ConnectX-6 Dx，以及BlueField-2，也支援PCIe 4.0，到了2021年11月舉行的GTC秋季大會期間，Nvidia推出ConnectX-7與BlueField-3，也採用2019年定案的PCIe 5.0。</p> <p dir="ltr">另一家我們近期也開始關注的相關廠商Marvell，他們在2020年3月發表的資料處理器Octeon TX2，當中的CN92XX、CN96XX、CN98XX，均支援PCIe 4.0；2021年6月推出的另一款資料處理器Octeon 10，當中的CN103XX、CN106XX、CN106XXS、DPU400率先採用了PCIe 5.0。</p> <p dir="ltr">就儲存裝置而言，有更多廠牌的產品支援PCIe 4.0，大部分都是固態硬碟。以三星（Samsung）而言，早在2018年6月就有這類產品NF1，2019年下半推出PM1733與PM1735，2020年5月發表PM9A3，到了2021年12月，發表支援PCIe 5.0的固態硬碟PM1743。</p> <p dir="ltr">Kioxia（前身為東芝記憶體）在2020年2月推出CM6系列與CD6系列，2021年9月發表儲存級記憶體固態硬碟FL6系列，11月推出外形符合EDSFF E1.S標準的固態硬碟XD6系列，以及EDSFF E3.S外形的PCIe 5.0固態硬碟CD7系列。</p> <p dir="ltr">在2021年10月，美光（Micron）也終於發表該公司的首款PCIe 4.0固態硬碟7400 SSD。而過去曾為固態硬碟大廠的英特爾，他們在資料中心等級PCIe 4.0固態硬碟的產品發表上，可追溯至2020年6月推出的SSD D7-P5500與SSD D7-P5600，以及年底發布的SSD D7-P5510、SSD D5-P5316、Optane SSD DC P5800X。不過，2021年底英特爾正式將固態硬碟業務賣給SK海力士公司，僅保留Optane相關產品，上述其他機型的狀態有待釐清。</p> <p dir="ltr">在NAS與儲存陣列這類產品當中，2021年終於陸續出現採用PCIe 4.0介面的新機型，像是HPE Alletra 6000、Pure Storage FlashArray //XL系列、NetApp AFF A900，以及威聯通TDS-h2489FU。</p> <p dir="ltr">基於上述多種產品發布時程來判斷，2021這年確是PCIe 4.0真正開始普及的重要時刻，展望今年，大數據、機器學習、物聯網、邊緣運算的應用熱潮不減，為了因應更大規模的資料傳輸與處理需求，勢必會出現更多支援PCIe 4.0與5.0的裝置問世。</p> <p dir="ltr"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/149045" target="_blank"><span style="color:#FFFFFF;"> 相關報導 </span></a></span></strong><a href="https://www.ithome.com.tw/article/149045" target="_blank"><span style="color:#FFFFFF;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1061-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=oBi2otY7" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pcie-40">PCIe 4.0</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div></div></div>
2022/1/27 07:00作者李宗翰https://www.ithome.com.tw/voice/149013
生命遊戲與狀態模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少開發者喜歡刷題，特別是刷LeetCode，一方面，是因為許多公司在面試過程當中，會對求職者進行演算法之類的能力測試，另一方面，是因為有不少開發者認為，進行刷題不只是為了面試，同時也可以是平常用來訓練運算思維的一種工具。</p> <p>雖然我沒有刷LeetCode的習慣，不過，一直以來，當我學習了一門新語言時，如果想更深入理解其特性，往往就會拿<a href="https://bit.ly/3G2f3C3" target="_blank">〈常見程式演算〉</a>的一系列題目做練習，有時會玩玩語言特性，以便讓程式看來簡潔，有時會隨意重構，讓程式更清楚一些，有時基於物件導向或函數式的典範，而想著題目該怎麼寫。</p> <p>在那些題目當中，當我每次拿<a href="https://bit.ly/3eU0zIv" target="_blank">〈康威生命遊戲〉</a>來練習時，總是會讓我停下思考很久，題目的需求本身要解絕不難，只是每次遇上時我總會思考一遍：以物件導向的寫法來說，生命遊戲中的細胞到底該怎麼定義比較好？理想上，以細胞為單位會是個好主意，不過，總覺得職責上沒有分配得很好。</p> <p>最近我在重新整理模式的文件，進度來到了狀態（State）模式，想著是否有比較不玩具的範例，可以適切地呈現出構成狀態模式前的考量，於是，我想到了生命遊戲的細胞，不就有生與死的狀態，若是從狀態管理來考量與重構，結果有可能是類似狀態模式的設計嗎？</p> <p><strong><span style="font-size:28px;">State？還是Rule？</span></strong></p> <p>就像<a href="https://bit.ly/3eU0zIv" target="_blank">〈康威生命遊戲〉</a>所談到的，遊戲可簡化為三個規則：「鄰居數為0、1、4、5、6、7、8時，細胞下次狀態必為死亡」、「鄰居數為2時，下次狀態不變」、「鄰居數為3時，下次狀態必為生存」。</p> <p>運用結構化的寫法並不難，就是用if/else判斷哪個條件成立，然後做對應的狀態變更處理罷了，若要物件導向點的寫法，就是有個Cell實例，具有nextGen方法，將if/else判斷與細胞生死狀態變更的處理寫在裡頭，這沒什麼問題，畢竟生命遊戲最後只歸結為三個規則。</p> <p>然而，有時候在更複雜的遊戲裡，可能會有更多的規則，並根據這些規則來針對各個角色進行對應的狀態轉移，此時，如果我們單純只用if/else之類的條件判斷來處理，結果就會出現瀑布化流程的判斷清單。</p> <p>單就生命遊戲來說，想避免if/else流程，我們可以定義Rule類別，因為有三種規則，可以定義出三個Rule的次型態：Fatal（致命）、Stable（穩定）、Revivable（可復活），而這些Rule實例有個accept方法，接受Cell實例，根據各自封裝的狀態轉移方式，對Cell進行狀態變更的處理，若對完整的實現有興趣，我們可以參考<a href="https://bit.ly/3JIR7Gf" target="_blank">〈State〉</a>的說明。</p> <p>如果就Gof原書說明所用到的類別圖來說，Cell會是Context的角色，而Rule會是State的角色。嗯？Rule是State？而就Gof書中提出的範例來說，用來封裝狀態轉移的角色，若命名為State，是沒什麼大問題，這是因為，書中舉了TCP連線作為範例，而TCPConnection本身含有State物件，也就是State本身就代表著TCPConnection的狀態，所以，狀態與切換規則正好是一對一對應。</p> <p>不過，生命遊戲的細胞會有生與死兩個狀態，然而，遊戲簡化後的規則還是有三個，這時，我們看著Gof類別圖中的State角色，可能就會產生疑惑：State的次型態，應該是Dead、Alive嗎？如果是以這樣的方式設計，Dead、Alive的accept方法中，勢必要根據那三個規則，寫下不同的判斷式（而不是直接實現狀態轉移），這麼一來，朝此方向進行重構的意義不大啊！</p> <p>就我的觀點來看，Gof類別圖中的State角色，若命名為Rule會更通用，因為可適用於狀態與切換規則不是一對一的情況，而且有時狀態切換，不見得會考慮Context角色的狀態，例如，生命遊戲簡化後的規則，只有考量鄰居數，細胞本身原本是生或死，不在考量之內。</p> <p><span style="font-size:28px;"><strong>提取規則用的狀態？</strong></span></p> <p>在要求不可變動（immutable）的場合，若要朝著狀態模式的方向實現，物件狀態無法改變下，替代方案會是生成新物件來封裝新狀態。</p> <p>例如，在<a href="https://bit.ly/3zwdgml" target="_blank">〈圖靈隨想〉</a>我提到的Brainfuck等多種自動機，基本上，就是狀態機，因為，它們實現了狀態模式的概念，並採取了不可變動的特性。</p> <p>事實上，現代一些前端程式庫或框架，為了處理前端複雜的規則與狀態，也經常隱含了狀態模式的實現，而為了便於管理狀態，也常會採用不可變動特性。</p> <p>若以自動機的定義來說，「規則」包含了「狀態」，反過來說，狀態決定了該提取哪個規則，有時識別這種用來提取規則用的狀態很簡單，例如紅綠燈，目前紅接下來就是綠，綠接下來是黃，黃接下來是紅，紅綠燈的目前狀態就決定了要提取哪個規則。</p> <p>有時，要去識別這個狀態不容易，就生命遊戲來說，提取規則用的狀態，其實是鄰居數量，而不是細胞本身的狀態，因為，套用規則才會改變細胞狀態。然而，最後其實也改變了整個盤面，也就是細胞鄰居數也被改變了，下一代就是根據新的鄰居數作為狀態，來取得對應的規則。</p> <p>在實際的應用程式設計時，若規則與狀態的對應，因需求（增加）而（逐漸）構成瀑布化的流程，有時用來提取規則的狀態，可能與型態對應，而狀態轉移可能是某個流程。例如，你可能用了一串instanceof判斷物件型態，然後做出對應的動作，在物件導向程式語言的入門文件中，應該會解釋這麼做不明智，或許該考慮次型態多型，將各個動作定義在子類別。</p> <p>有時用來提取規則的狀態，並不是那麼明顯，例如，生命遊戲的鄰居數為0、1、4、5、6、7、8，這乍看是一組規則，其實，鄰居數為0、1、4、5、6、7、8的狀態，都是用來提取同一個規則。而有時提取規則用的狀態，會是一組條件的組合，像是投資組合、保險條款組合等，你可能使用了and、or等邏輯運算，將數個條件組合出某個成立狀況，這時，很有可能就是隱含著這些條件組合，構成一個提取某規則的狀態。</p> <p>因為有時提取規則用的狀態不是那麼明顯，開發者就常採用直覺而簡單的做法，也就是不斷地增加新的if/else（或switch），然後流程變成小瀑布，久而久之就構成了大瀑布……，你也許已親眼在程式碼中見過那壯闊的景象吧！</p> <p><span style="font-size:28px;"><strong>面對瀑布化的流程</strong></span></p> <p>狀態模式可能是解決瀑布化流程的一種思考方向，若情況更為簡單，例如，並不是要改變狀態，而是要執行某個動作，用物件封裝動作，以某值對應物件，這時，若是採用字典之類的結構，可以建立對應表，這可能也是個解決的方式。</p> <p>因此，面對瀑布化的流程，你應該想到的是「可以這樣繼續下去嗎？」</p> <p>如果那跟狀態有關，那狀態模式會是個思考的方向，當然，瀑布化的流程也有可能構成深入的巢狀層次，像是先前專欄〈<a href="https://www.ithome.com.tw/voice/108380" target="_blank">避免隨意而重複的if/else</a>〉談過的一些情況，此時，你是要繼續讓流程加深、加長呢？或是思考改進的方式呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E5%91%BD%E9%81%8A%E6%88%B2">生命遊戲</a></div><div class="field-item even"><a href="/tags/state">State</a></div><div class="field-item odd"><a href="/tags/rule">Rule</a></div><div class="field-item even"><a href="/tags/%E7%8B%80%E6%85%8B%E6%A8%A1%E5%BC%8F">狀態模式</a></div></div></div>
2022/1/27 07:00作者林信良https://www.ithome.com.tw/voice/149016
【3.0、4.0、5.0、6.0四世代規格同堂並現】PCIe介面發展邁入新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1061-feng_mian_-p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為個人電腦、伺服器、儲存設備基礎I/O介面的PCIe，也可以稱作「I/O介面的I/O介面」，幾乎所有周邊裝置或其他I/O介面，都是直接或間接透過PCIe的介接，來與運算核心連結。這也意味著，PCIe介面規格的更新，將牽一髮而動全身，在IT架構的發展上，勢必影響與帶動所有周邊裝置與其他I/O介面的發展。</p> <p>自2003年問世以來，迄今PCIe的發展正好經歷了20年時間，然而自2010年代初期以來的10年間，整個PCIe規格的應用長期停滯在3.0，直到過去半年多以來，PCIe介面規格與應用才終於出現重要的新進展。</p> <p>PCIe 4.0終於度過漫長、艱苦的推廣階段，開始進入主流應用。而新一代PCIe 5.0的應用則進入推廣的起步階段，第一波支援PCIe 5.0的產品已陸續問世，另一方面，負責規格制定的PCI-SIG組織（PCI Special Interest Group），也於2022年初，完成下一世代PCIe 6.0規格的制定。而這一系列新發展，將在接下來的幾年中，成為推動高速裝置與I/O介面發展的源頭。</p> <p><span style="font-size:28px;"><strong>PCIe規格的更新週期</strong></span></p> <p>依照過去PCIe介面的發展與應用歷程，我們可以把PCIe介面規格的發展與普及過程，分為4個階段：「新規格發布」、「推廣期」、「進入主流應用」，以及「成熟期」。</p> <p><strong>（1）新規格發布：</strong>每一代PCIe規格應用的起點，是始自PCI-SIG組織完成新一代PCIe規格的制定與發布。在新規格發布前、後，相關的元件廠商，也將陸續推出搭配新PCIe規格的控制元件產品。</p> <p><strong>（2）推廣期：</strong>大約在新PCIe規格制定完成後12至18個月，開始會有廠商推出支援新PCIe規格的周邊裝置產品，如SSD、高速網路卡或GPU加速卡，推廣與帶動新一代PCIe規格的應用。</p> <p><strong>（3）進入主流應用：</strong>在周邊裝置開始支援新PCIe規格過後12至18個月，電腦與伺服器的處理器與晶片組也開始支援新PCIe規格，讓新PCIe規格進入電腦與伺服器，從而開始提供主流核心平臺的應用。</p> <p><strong>（4）成熟期：</strong>當伺服器開始支援新PCIe規格過後12至18個月，儲存陣列等外部儲存設備也開始導入新PCIe規格。一般來說，儲存設備的核心架構更新，要比伺服器慢一個世代，所以當儲存設備也開始採用新PCIe規格的時候，也代表著這一世代PCIe規格進入成熟期，開始全面普及。</p> <p>總體來說，PCIe規格大約每隔3至4年便會更新一代，而每一代PCIe規格大約也需要3至4年時間，才會度過從規格發布到成熟期的4階段歷程，逐步滲透到IT基礎設施的各個環節，而當一個世代的PCIe規格全面普及時，下一世代的PCIe規格也會跟著問世，開始下一輪的PCIe規格更新循環。</p> <p>在典型的PCIe規格更新週期下，市場上通常只會同時存在2個世代的PCIe規格，最多不超過3個世代，當新一代規格發表時，上一代規格正處於主流應用與成熟期階段，而上上一代規格則會淡出市場。</p> <p><span style="font-size:28px;"><strong>四代同堂的PCIe應用特殊現象</strong></span></p> <p>以典型的PCIe規格更新週期來看，2010年問世的PCIe 3.0，應該早就退出市場主流，現在的主流規格理當是PCIe 4.0，而下一代的PCIe 5.0則將開始進入推廣階段。</p> <p>但由於PCIe 4.0的普及速度較預期慢了許多，導致PCIe的主流規格繼續長期停滯在PCIe 3.0，接下來，隨著PCIe 5.0與6.0規格陸續推出，以致在近半年來，形成PCIe 3.0、4.0、5.0、6.0等4個世代PCIe規格並存的異常情況。</p> <p><span style="color:#B22222;"><strong>姍姍來遲的PCIe 4.0</strong></span></p> <p>當前PCIe「四代同堂」異常狀況的形成，是PCIe 4.0推廣過於緩慢所致，而PCIe 4.0的應用之所以如此姍姍來遲，主要可以歸因於這兩點：</p> <p>首先，PCI-SIG制定PCIe 4.0規格的時間，就已經延宕了。依照PCIe 1.0到PCIe 3.0的規格更新節奏來看，相對於2010年發布的PCIe 3.0，PCIe 4.0規格應該要在2014或2015年發布，但實際上，PCI-SIG直到2017年中才發布PCIe 4.0，較預期晚2、3年，這連帶也推遲了應用的時間。</p> <p>其次，是作為處理器平臺龍頭廠商的Intel，未能及時支援PCIe 4.0。當PCIe 4.0於2017年底發布後，在2019年前後進入推廣期，除了獲得一些網路卡與SSD產品的支援之外，在主機與伺服器平臺方面，也有IBM的Power 9，以及AMD的Zen 2架構處理器平臺支援，而後者的支援，也讓PCIe 4.0進入了x86平臺應用領域。</p> <p>然而身為處理器平臺領域領導者的Intel，遲遲不願支援PCIe 4.0，導致PCIe 4.0一直無法真正進入主流應用階段。這個僵局直到2020年後才打開，但Intel平臺對PCIe 4.0的支援，仍要等到2021年中才落實，至此，PCIe 4.0也才算是開始進入主流應用階段。</p> <p>在前述這兩個因素共同作用下，大大延遲了PCIe 4.0普及的速度。依照過去幾代PCIe規格的應用歷程，自新的PCIe規格發布到進入主流應用階段，大約只需2年多。然而在PCIe 4.0上，從規格發表到開始進入主流應用，卻花了將近4年，再加上PCIe 4.0規格發布本身就「遲到」2、3年，導致整個PCIe規格的更新節奏，在4.0這一世代，出現了5、6年以上的遲滯。</p> <p><span style="color:#B22222;"><strong>PCIe規格演進延遲的影響</strong></span></p> <p>PCIe 4.0的「遲到」，造成了兩項重大影響：</p> <p>首先，導致PCIe 3.0的生命週期大幅延長，進而對儲存與網路傳輸架構的發展形成了障礙。</p> <p>歷經10年的發展與應用後，PCIe 3.0依舊是當前的主流規格。最初這沒有帶來太大負面影響，在過去的應用環境中，需要耗用大量PCIe資源的裝置並不多，PCIe 3.0已能因應絕大多數伺服器或儲存設備的應用需求，少數需要大量PCIe通道的裝置（如GPU），也能透過匯聚多條通道的PCIe 3.0 x16來滿足。</p> <p>但問題在於：當SSD也開始使用PCIe通道作為傳輸介面時，便讓主機板的PCIe傳輸通道（lane）資源，頓時陷入緊繃。</p> <p>隨著NVMe介面在SSD應用的普及，使得伺服器或儲存設備的PCIe傳輸通道耗用大幅增加。為了獲得足夠的傳輸頻寬，一臺NVMe SSD便需占用4條PCIe 3.0通道，因此，1臺標準的2U伺服器若插滿24臺NVMe SSD，便須占用多達96條PCIe 3.0傳輸通道，從而耗掉伺服器主機板大多數的PCIe資源。</p> <p>此外，新一代的100GbE、200GbE與400GbE等高速網路連線規格，也需要耗用更多的PCIe傳輸通道資源，才能實現更高的傳輸率。</p> <p>無論如何，隨著電腦、伺服器、儲存設備採用需更多PCIe通道的裝置，也意味著，若單靠PCIe 3.0，勢必將成為制約儲存與網路傳輸架構發展的瓶頸。</p> <p>面對這個情況，除了持續增加伺服器主機板的PCIe通道數量，根本的解決辦法便是引進PCIe 4.0——因為PCIe 4.0擁有兩倍於PCIe 3.0的單一傳輸通道頻寬，因而能透過較少的傳輸通道，來為周邊裝置提供足夠的傳輸頻寬。</p> <p><span style="font-size:28px;"><strong>新舊規格並存的局面，可能將長期維持</strong></span></p> <p>在NVMe與高速網路應用的帶動下，使得伺服器與儲存設備領域的PCIe架構應用，終於在2021年開始進入4.0時代。</p> <p>而在PCIe 4.0緩慢的應用普及過程中，新一代的PCIe 5.0與6.0也接踵而來。</p> <p>歷經PCIe 4.0規格制定的嚴重延宕後，PCI-SIG組織加速制定新規格的腳步，更新節奏縮短到2年。PCIe 4.0規格是2017年6月正式發布，2年後，PCI-SIG組織便在2019年5月正式發布PCIe 5.0規格，接著只隔了1年半多，便又在2022年1月發布PCIe 6.0規格。</p> <p>而在實際應用方面，剛剛發布的PCIe 6.0自然還尚無具體進展，不過PCIe 5.0已經進入初步的推廣期，自2021年底開始，便開始有廠商推出支援PCIe 5.0的高速網路卡與SSD產品。</p> <p>因而，這也讓當前的PCIe應用環境，形成了3.0、4.0、5.0、6.0「四代同堂」的奇特現象。</p> <p>整體而言，PCIe 4.0近期進入主流應用，先後滲透到伺服器與儲存設備，但上一代的PCIe 3.0，多年來累積龐大應用基礎，短期內仍不會退出主流，加上新一代PCIe 5.0與PCIe 6.0崛起，陸續投入應用，因而我們可以預期，當前這種4個PCIe世代並存局面，仍將繼續維持。</p> <p class="rtecenter"><strong><span style="color:#3399ff;"><span style="font-size:36px;">PCIe規格的更新時序</span></span></strong></p> <p><strong>從PCI-SIG組織發布歷代PCIe規格的時間，我們可以明顯看出：PCIe 3.0到PCIe 4.0之間，間隔了特別長的時間。自PCIe 1.0到3.0之間，大約是3至4年更新一代，而從4.0到6.0，縮短到每隔2年便更新一代，但PCIe 3.0到4.0之間相隔將近7年。相較於「正常」的更新節奏，PCIe 4.0的問世時間「遲到」了3年以上。</strong></p> <p><strong>而PCIe 4.0的「遲到」，也導致PCIe規格的應用長期停滯在3.0上。接下來PCI-SIG組織加速制定新規格的腳步，接連在2019年中與2022年初推出PCIe 5.0與6.0等2種新規格，但也形成了PCIe 3.0、4.0、5.0、6.0等4世代規格，同時並存的情況。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歷代PCIe規格發表時間 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>2003年：PCIe 1.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2007年：PCIe 2.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2010年：PCIe 3.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2017年：PCIe 4.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2019年：PCIe 5.0</strong></span></p> <p><span style="color:#3399ff;"><strong>2022年：PCIe 6.0</strong></span></p> <p><span style="color:#696969;">資料來源：iThome整理，2022年1月</span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>4世代PCIe規格應用現況</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P2-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>依照規格普及與產品應用的情況，我們可以將PCIe規格的發展歷程，分成下列4個階段——新規格發布、推廣期、進入主流應用與成熟期。目前，同時並存於市場上的4個世代PCIe規格——PCIe 3.0、4.0、PCIe 5.0與PCIe 6.0，各自處於不同的發展階段。</strong></span></p> <p><span style="color:#696969;"><strong>問世於2010年，應用已超過10年的PCIe 3.0，雖然是早已進入成熟期的上一世代技術，但目前仍然是主流規格之一，仍將繼續留存在市場上一段長時間。</strong></span></p> <p><span style="color:#696969;"><strong>在PCIe 4.0方面，自2017年中發布規格後，雖在2019年便滲透到伺服器應用，但直到Intel平臺於2021年大舉支援PCIe 4.0，才算開始進入主流應用；緊接著，從2021年中，HPE、Pure Storage等儲存廠商開始將PCIe 4.0，用於儲存陣列產品，象徵這項規格終於進入成熟階段初期。</strong></span></p> <p><span style="color:#696969;"><strong>再來是2019年中發布的PCIe 5.0，則於2021年底到2022年初，出現了第1批支援的周邊裝置與電腦平臺產品，代表進入了發展的推廣期。</strong></span></p> <p><span style="color:#696969;"><strong>最後是PCIe 6.0，PCI-SIG自2019年中發布了最初的規格草案，經過2年半的發展，於2022年1月正式發布了規格，讓這個最新世代的PCIe規格進入了應用的起點，預期2年之後，便會有第1批支援的周邊產品問世。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>PCIe的進化</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963-2%20PCI-SIG%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FPCI-SIG.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>PCI/PCIe帶動的傳輸頻寬增長<br /> 從1992年誕生的PCI技術起算，歷經過渡的PCI-X、2003年問世的PCIe，以至甫於2022年初正式發布的PCIe 6.0，電腦I/O技術在30年內提升了200倍的傳輸頻寬，平均每3年提升了2倍。</strong>圖片來源／PCI-SIG</span></p> <p><strong>就應用方式而言，PCIe是一種高速串列匯流排，作為電腦內部各元件與CPU之間傳輸資料的主要幹道。</strong></p> <p><strong>自2003年問世到2022年初為止，PCIe一共推出6個世代，每個新世代的傳輸速率，都比前個世代提高一倍，但2.0到3.0是例外，只提高60%。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P2-600-2.png" style="text-align: center; width: 400px;" /></p> <p><strong>PCIe匯流排的原始傳輸速率，是以GT/s為單位，即Gigatransfer per second。其實際的傳輸速率，會隨著傳輸信號的編碼方式，以及所使用的通道（lane）數量而異。</strong></p> <p><strong>自PCIe 1.0到5.0，都是採用不歸零（Non-Return-to-Zero，NRZ）編碼技術，其中1.0與2.0是使用8b/10b型式的編碼，也就是10位元編碼輸出中含有8位元有效資料； 3.0、4.0與5.0改用較新的128b/130b編碼，130位元的編碼輸出中含有128位元有效資料，有效頻寬更高。所以PCIe 3.0的原始傳輸率雖然只比2.0提高60%，但憑藉編碼的改進，實際有效頻寬提升近一倍。</strong></p> <p><strong>至於PCIe 6.0，則採用了4級脈波振幅調變編碼技術（Pulse-amplitude modulation-4，PAM-4），但為了彌補PAM-4較高的錯誤率，另搭配前向錯誤校正（Forward Error Correction，FEC)），雖然當中略為降低了有效頻寬，但仍實現大約2倍於PCIe 5.0頻寬的設計目的（實際上是1.92倍）。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P2-600-3.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#000000;"><strong>依使用的傳輸通道數量，PCIe有x1、x2、x4、x8、x16等不同的連結傳輸寬度（link width），代表使用1條、2條、4條、8條與16條傳輸通道。</strong></span></p> <p><span style="color:#000000;"><strong>最初的PCIe 1.0，每條傳輸通道可提供2.5 GT/s傳輸率，到了最新的PCIe 6.0則為64 GT/s，在20年內提高了25.6倍的速度。若從PCIe前身的PCI規格起算，1992年誕生的PCI 1.0傳輸率為133 MB/s，相較下，PCIe 6.0的傳輸率足足提升為200倍之多，也就是說30年內提升200倍頻寬，因而PCI-SIG組織宣稱，在PCI/PCIe技術的帶動下，I/O頻寬平均每3年可提升2倍。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/pcie-40">PCIe 4.0</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item even"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/tech/149041
【從周邊裝置、伺服器擴展到儲存設備應用】PCIe 4.0開始進入主流應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1061-feng_mian_-p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於前幾個世代的PCIe規格，PCIe 4.0的普及速度異常緩慢。如果我們以典型的PCIe規格應用周期來看，2017年中發布的PCIe 4.0，應該在2019年前後，就會進入主流應用，為電腦與伺服器所普遍支援。</p> <p>實際的發展，卻不如大家意料。到了2019年，固然IBM Power 9與AMD Zen 2架構平臺都已支援PCIe 4.0，但身為電腦與伺服器平臺領導者的Intel，此時還大肆宣稱PCIe 4.0不能帶來顯著效益，反而還會有增加PCH晶片負擔、增大功耗、提高主機板成本等副作用，遲遲不願支援PCIe 4.0。</p> <p>這樣的情況到2020年以後才突破，面對AMD處理器的強勢表現，Intel不得不跟進支援PCIe 4.0，以挽回在規格競爭上的劣勢。Intel於2020年底到2021年上半年推出的幾個處理器平臺，都開始支援PCIe 4.0，這也打開PCIe 4.0進入主流應用的大門，迅速推動PCIe 4.0的普及。</p> <p>到了2021年中，PCIe 4.0的應用進一步擴展到儲存設備領域，HPE、Pure Storage等儲存廠商，陸續在新款儲存陣列產品導入PCIe 4.0，象徵PCIe 4.0終於進入成熟階段的初期。</p> <p><span style="font-size:28px;"><strong>導入PCIe 4.0的效益</strong></span></p> <p>比起上一代的PCIe 3.0，PCIe 4.0每條傳輸通道（lane）的原始傳輸率，提升了一倍，從8 GT/s提高到16 GT/s，而在軟體、時脈架構到介面機械規格方面，則仍相容於前幾代PCIe，並同樣適用於PCIe-SIG定義的3種PCIe裝置基本外型規格（Form Factor）——CEM附加卡，U.2與M.2，其中各自又包含多種衍生與變形規格。</p> <p>例如CEM附加卡的尺寸，便有全長度、半長度、矮板（low profile）等3種基本版本，還有GPU方面常見的雙槽寬度變型版本，並能搭配x1、x2、x4、x8與x16等不同傳輸頻寬的連接頭（插槽），電源方面也有從10瓦起跳，到搭配外接電源的300瓦等多種配置。</p> <p>從協定與編碼技術的角度來看，PCIe 4.0與PCIe 3.0十分相似，共用許多共通的架構，包括128b/130b編碼等，事實上，PCIe 4.0與PCIe 3.0之間的相似程度，還高於PCIe 3.0與PCIe 2.0。</p> <p>然而，即便PCIe 4.0擁有較大的頻寬，僅僅只是將主機的傳輸介面升級為PCIe 4.0，並不能直接帶來顯著的效能提升，還有賴其他條件的配合，才能有效利用PCIe 4.0的頻寬。</p> <p>PCIe 4.0的效益，主要是體現在下列這兩點：</p> <p>首先，提供更大的升級餘裕與擴展彈性，以因應新一代PCIe裝置的需求。舉例來說，對於200 Gb/s以上頻寬的新型網路傳輸介面，唯有搭配PCIe 4.0才能發揮線速。</p> <p>其次，PCIe 4.0能改善主機板PCIe傳輸通道資源配置的平衡性，只需一半的傳輸通道數量，就能提供PCIe 3.0同等頻寬，不致因特定裝置耗用太多傳輸通道，而影響其他裝置可用的資源，以及能連接的裝置數量，在效能與連接裝置數量之間取得較佳的平衡。</p> <p>舉例來說，早在2016年，SSD的存取速度就已能達到10GB/s的程度，但是在PCIe 3.0的時代，必須占用PCIe x16傳輸通道，才能讓SSD發揮這樣的速度，而現在有了PCIe 4.0以後，只需PCIe x8就能滿足需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P3-600-(1).png" style="text-align: center; width: 550px;" /></p> <p><strong><span style="font-size:28px;">PCIe 4.0的普及歷程</span></strong></p> <p>以典型的PCIe規格應用過程來說，PCIe新規格的應用大多是從周邊裝置起步，然後擴展到個人電腦與伺服器，最後再滲透到外部儲存設備。相對於周邊裝置，要讓個人電腦與伺服器主機板支援PCIe 4.0，涉及的問題變得複雜許多，除了CPU或PCH晶片組必須提供PCIe 4.0通道外，也須搭配引進支援PCIe 4.0的時脈產生器（Clock Generator）、插槽、訊號中繼器（Redriver）與PCIe交換器（切換器）等元件，不僅工程較為複雜，如何將因此增加的成本控制在可接受的範圍，也是一大考驗。</p> <p>不過當PCIe 4.0規格於2017年中正式發布之後，率先宣布支援的產品，卻是IBM於2017年12月發表，基於Power 9處理器平臺的Power Systems AC922伺服器。但IBM Power處理器的市場影響力有限，並不能有效推動PCIe 4.0的應用。</p> <p>接下來到了2018年中，Netint與三星則推出了最早支援PCIe 4.0的SSD產品。</p> <p>在2019年初，當AMD宣布新一代Zen 2處理器平臺支援PCIe 4.0後，也帶動了一波PCIe 4.0周邊裝置風潮，多家廠商紛紛推出支援PCIe 4.0的SSD控制器與SSD產品，Mellanox的100GbE與200GbE網路卡也支援了PCIe 4.0。</p> <p>但即使如此，仍然還不足以推動PCIe 4.0成為主流規格，直到Intel處理器平臺於2021年正式開始支援PCIe 4.0，這才打開了PCIe 4.0進入主流應用的大門。</p> <p>繼AMD與Intel的桌上型與伺服器處理器都先後支援PCIe 4.0，儲存設備領域也開始導入PCIe 4.0。</p> <p>自2020年中起，HPE與Dell就陸續推出採用AMD EPYC處理器平臺的超融合伺服器產品，從而也具備了PCIe 4.0支援能力。但是，超融合伺服器還不算是「正統」的儲存設備，而是兼具伺服器與儲存設備特性的「融合式」裝置。</p> <p>事實上，首款支援PCIe 4.0的「正統」儲存陣列，是HPE於2021年中推出的Alletra 6000，接著NetApp、Pure Storage與威聯通（QNAP）也跟進，在2021年底推出採用PCIe 4.0的儲存陣列與NAS產品，從而帶動了PCIe 4.0在儲存設備領域的第一波應用。</p> <p>而隨著PCIe 4.0的應用，從SSD、網路卡等周邊裝置領域，逐步滲透到桌上型電腦與伺服器，再進入儲存設備，也象徵著PCIe 4.0的應用逐漸進入成熟期。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1061-%E5%B0%81%E9%9D%A2-P3-600-(2).png" style="text-align: center; width: 558px;" /></p> <p><span style="font-size:28px;"><strong>當前PCIe 4.0的支援情況</strong></span></p> <p>雖然PCIe 4.0的普及程度還遠不及PCIe 3.0，但涵蓋的產品領域已相當完整，包含了網路卡、GPU卡、SSD等周邊裝置，到個人電腦、伺服器，以致儲存設備等產品。</p> <p>在網路卡方面，目前100GbE以上規格的網路卡，大都支援了PCIe 4.0。在GPU卡與NVMe SSD方面，2019年下半年以後推出的新產品，也大都有PCIe 4.0的選項。</p> <p>在個人電腦與伺服器平臺方面，除了最早支援PCIe 4.0的IBM Power 9平臺外，AMD與Intel的新一代主力處理器平臺，也都已支援PCIe 4.0，在個人電腦端，包括：AMD的Ryzen 3000與5000系列處理器，以及Intel的第11代Core i系列（Rocket Lake平臺），兩者必須分別搭配X570晶片組與Z590晶片組；在伺服器端則有AMD的EPYC 7002（Rome平臺）與EPYC 7003（Milan平臺）系列，以及Intel第3代Xeon Scalable（IceLake SP平臺）。</p> <p>另外值得一提的是，屬於Arm架構的Ampere Altra處理器系列，也支援了PCIe 4.0介面。</p> <p>最後是儲存設備領域，目前對於PCIe 4.0的支援仍處於起步階段，第一波支援的產品，包括HPE的Alletra 6000，NetApp的AFF A900，Pure Storage的FlashArray//XL，以及威聯通的TDS-h2489FU，正好涵蓋了高階、中階與入門級儲存產品範圍。預期今年下半以後推出的新款儲存設備，將會開始普遍支援PCIe 4.0。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/pcie-40">PCIe 4.0</a></div><div class="field-item odd"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/tech/149043
【邁向次世代的PCIe介面規格】PCIe 5.0與PCIe 6.0來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1061-feng_mian_-p4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當PCI-SIG於2017年中發布PCIe 4.0規格時，曾表示他們接下來會加速制定規格的腳步，以彌補先前延宕的時光。該小組確實兌現承諾，在PCIe 4.0問世後不過4年半時間，便接連發布PCIe 5.0與6.0等2個世代的新規格。</p> <p>目前PCIe 5.0正以超乎尋常的速度進入市場，正式規格發布不過2年時間，應用環境便已初步就緒，於2021年底到2022年初，湧現了第1批支援PCIe 5.0的電腦平臺與周邊裝置產品。</p> <p>至於2周前剛剛發布正式規格的PCIe 6.0，則是自PCIe 3.0以來，PCIe發展歷程中最大的一次技術變革，引進新的編碼技術，以實現提高傳輸速率的目標。</p> <p><span style="font-size:28px;"><strong>迅速推進的PCIe 5.0產品</strong></span></p> <p>PCIe 5.0的架構與PCIe 4.0相似，同樣採用128b/130b編碼技術，但每通道（lane）的傳輸速率提高到32 GT/s，是PCIe 4.0的2倍，更是PCIe 3.0的4倍，同時仍保有向下相容性。</p> <p>在匯聚16條通道的x16組態下，PCIe 5.0可提供128Gb/s的總頻寬，足以支撐新一代400GbE資料中心骨幹網路的需求，也能為不同周邊裝置的傳輸應用，在成本與頻寬之間取得更佳的平衡。</p> <p>一開始，PCIe 5.0的應用進度也和前幾代PCIe相近，自PCI-SIG於2019年5月發布規格後，Rambus、Microchip等元件廠商，便於2019年底到2020年初陸續推出相關的控制元件。如同PCIe 4.0剛發布時的情況，IBM也是第一波應用PCIe 5.0的大廠，在2020年8月宣布Power 10處理器平臺將納入PCIe 5.0，接著在一年後的2021年9月，推出基於Power 10的Power E1080伺服器，成為最早支援PCIe 5.0的主機產品。但Power 10這種專屬平臺，不足以成為推動PCIe 5.0應用的力量。</p> <p>到此時為止，PCIe 5.0的應用進程，都和先前歷代PCIe相似，依照過去的經驗，下一步的應用進程，應該是在2021年底到2022年初之間，出現第一批採用PCIe 5.0的SSD等周邊裝置產品，然後在2022年下半年到2023年初左右，開始進入主流的x86平臺電腦與伺服器應用。</p> <p>如同預期，第一批支援PCIe 5.0的SSD產品在2022年初的CES大會中湧現，除此之外，PCIe 5.0的應用也擴展到高階網路卡領域，例如Nvida的400Gb高階網路卡與資料處理器卡（DPU），都是基於PCIe 5.0介面。</p> <p>但出人意料的是，或許是記取了先前在PCIe 4.0時期，落後於競爭對手AMD的教訓，在前述PCIe 5.0周邊裝置發表之前，Intel搶先在2021年10月宣布，第12代Core處理器將支援PCIe 5.0，並協同多家主機板廠商發表了第一批產品。這也讓PCIe 5.0進入主流處理器平臺的時間，比原先的預期提早一年以上，使得PCIe 5.0的應用環境初步成形。</p> <p>PCIe 5.0從規格發布，到應用於x86平臺、構成初步應用環境，只花了短短2年，在PCIe規格發展史上，可說是異乎尋常迅速，比PCIe 4.0快一倍以上。</p> <p><span style="font-size:28px;"><strong>當前PCIe 5.0支援現況</strong></span></p> <p>雖然PCIe 5.0的應用仍處於起步階段，但已能涵蓋周邊裝置與主機領域，初步構成完整的應用環境。</p> <p>在周邊裝置方面，ADATA、FADU、Kioxia與三星等廠商，都在2022年初的CES大會中，推出了支援PCIe 5.0的SSD新產品。在網路卡方面，Nvida的400Gb網路卡如ConnectX-7與BlueField-3，也都是採用PCIe 5.0介面。</p> <p>在電腦與伺服器平臺方面，除了IBM Power 10平臺外，x86平臺方面目前只有Intel的第12代Core處理器（Alder Lake架構）支援PCIe 5.0，搭配Z690晶片組，各主要的主機板廠商也都已有相關產品上市。接下來，Intel預訂於2022年初推出的H670、B660與H610晶片組，也都會支援PCIe 5.0。在伺服器處理器方面，Intel預訂於2022年發表的下一世代Xeon處理器平臺Sapphire Rapids，也會有PCIe 5.0。</p> <p>在AMD方面，則預訂於2022年推出的Zen 4處理器平臺上，引進PCIe 5.0。</p> <p><span style="font-size:28px;"><strong>PCIe 6.0的技術變革</strong></span></p> <p>在第一波PCIe 5.0產品陸續問世的同時，PCI-SIG也於2022年1月正式發表了下一代的PCIe 6.0規格。</p> <p>PCIe 6.0可說是自從10多年前的PCIe 3.0以來，PCIe發展最重大的一次變革。如同過去幾個世代的升級，PCIe 6.0再次將傳輸速率翻倍，從PCIe 5.0的32GT/s提高到64GT/s，但採用了不同的信號編碼技術。</p> <p>自PCIe 3.0延用到4.0與5.0的128b/130b NRZ編碼，隨著傳輸率的不斷提高，也給信號傳輸帶來越來越嚴苛的需求，導致線路長度上限越來越短，給元件設計帶來很大困難，要在同樣的技術路線下繼續提高傳輸速率，勢必會遭遇許多難以解決的問題，於是PCI-SIG在PCIe 6.0上改用PAM編碼。</p> <p>PAM並不是新技術，普遍被應用於200Gb以上的超高速網路中，相較於只有0或1兩種信號狀態的NRZ編碼，PAM編碼有4個信號狀態，因而可在相同頻率內承載兩倍資料，但錯誤率也比NRZ高出許多，故 PCIe 6.0另外結合了前向糾錯技術（FEC）來確保資料完整性。至於這種新架構的代價，是PAM編碼的應用成本較NRZ高出許多，額外糾錯功能也會略為降低有效資料頻寬。</p> <p><span style="font-size:28px;"><strong>多頭並進的PCIe規格應用</strong></span></p> <p>彷彿是像追趕失去的時間一般，PCIe 規格正以異乎尋常的速度演進中。透過PCIe 5.0與6.0這兩種新規格，有助於將個人電腦與伺服器的I/O效能提升到新高度，但迅速演進的新規格，也造成不同世代規格同時並存的局面。</p> <p>當前PCIe 4.0仍未充分普及，PCIe 5.0便已進入市場，接著又誕生了PCIe 6.0，這也讓PCIe的升級路線出現分歧。整體而言，PCIe 6.0規格才剛問世，預期最快兩年後才會有實際產品，可暫時不論，主要問題將出在PCIe 4.0與5.0之間。</p> <p>固然目前PCIe 4.0的產品應用要比5.0成熟許多，但到了2022年下半與2023年初以後，PCIe 5.0的產品選擇將比現在豐富許多，成本也將下降，屆時對於既有的PCIe 3.0用戶來說，便有升級到PCIe 4.0，或直接跳到5.0的兩種選擇。</p> <p>短期來看，可能會形成PCIe 4.0與5.0高低規混合應用的形勢，通用型主機與周邊裝置使用成本較低的PCIe 4.0，高效能型主機與周邊則用PCIe 5.0。但長期來看，若PCIe 5.0元件與周邊的成本下降得夠快，那麼直接跳到5.0世代或許更具吸引力。PCIe 5.0平臺可視情況使用5.0、4.0或3.0的周邊裝置，但PCIe 4.0平臺則無法發揮5.0裝置的效能，因而直接升級使用5.0平臺，將是更具靈活性的選擇。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/tech/149044
2022 PCIe世代交替來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1061-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=oBi2otY7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為IT應用基礎I/O介面的PCIe，過去半年多歷經一系列重大發展，4.0規格終於出現普及應用跡象，基於5.0規格的首批產品陸續問世，6.0規格亦正式發布，而PCIe的演進，也將帶動其他I/O介面的進一步發展。</p> </div></div></div>
2022/1/27 07:00作者張明德https://www.ithome.com.tw/article/149045
Google Pixel手機只支援3年安全更新遭批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為資安媒體Motherboard資深作者、同時也是Pixel 3手機用戶的Aaron Gordon，<a href="https://www.vice.com/en/article/dypxpx/google-is-forcing-me-to-dump-a-perfectly-good-phone" target="_blank">在本周刊出一篇文章</a>，指出他因為Google終止了對Pixel 3的支援，迫使他將投入蘋果iPhone的懷抱，而Gordon的抱怨亦引起了其它媒體的共鳴。</p> <p>Gordon說，他是在3年前買了Pixel 3，它喜歡沒那麼大的Pixel 3，就算經常摔到也不會壞，而且3年以來並沒有看到電池壽命明顯下滑；他對手機的看法跟對冰箱一樣，就是一個設備，只要還符合需求便不必更換，然而，由於Google不再支援Pixel 3的安全更新，讓他被迫丟棄它，因為安全更新是每個人為了保護自己數位安全的基本需求，缺乏了安全更新，手機就會承受每一個新安全漏洞的風險。</p> <p>於是，就算Gordon很想留在Android生態體系，但依然決定要投入蘋果陣營，因為至少蘋果在這部分表現得比Google好太多。</p> <p>Google是在2018年10月發表Pixel 3/3 XL，根據Google的安全更新政策，每款Pixel手機都至少可取得3年的安全更新，<a href="https://web.archive.org/web/20210401163640/https://support.google.com/pixelphone/answer/4457705#zippy=%2Cpixel-phones" target="_blank">而Google對Pixel 3/3 XL的安全更新支援即止於2021年10月</a>，從去年10月起，Pixel 3/3 XL就不再收到安全更新。</p> <p>有比較才有傷害。<a href="https://support.apple.com/zh-tw/HT213043" target="_blank">蘋果今年1月釋出的iOS 15.2.1安全更新</a> ，還持續支援蘋果於2015年9月發表的iPhone 6s，儘管蘋果並未明訂安全支援期限，但算起來已經超過6年。</p> <p>Gordon表示，安全或功能更新一直是Android生態體系存在已久的問題，例如很久才取得更新，過去Google都把問題丟給Android手機製造商或銷售Android手機的電信業者，但當Google自行推出Pixel手機之後，問題並沒有得到解決。</p> <p>Gordon的心聲引起《<a href="https://phandroid.com/2022/01/25/its-time-for-google-to-be-better-about-software-updates/" target="_blank">Phandroid</a>》、《<a href="https://9to5google.com/2022/01/25/android-updates-security-problem-not-features/" target="_blank">9to5Google</a>》及《<a href="https://www.androidheadlines.com/2022/01/google-is-still-happy-with-3-years-of-software-updates.html" target="_blank">Android Headlines</a>》等媒體的共鳴。</p> <p>其中，《9to5Google》指出，整個Android生態體系所支援的更新時間都不夠久，包括Google與三星在內，諷刺的是，三星的表現似乎優於Google，於去年2月便宣布只要是2019年及之後推出的Galaxy裝置，都能獲得3年的主要更新及4年的安全更新，至於Google則僅針對去年10月發表的Pixel 6採用新的更新政策，提供3年的主要更新與5年的安全更新。</p> </div></div></div>
2022/1/26 22:56作者陳曉莉https://www.ithome.com.tw/news/149094
微軟發布2021下半年DDoS攻擊趨勢，UDP協定攻擊成主流、遊戲業為重災戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142686">從COVID-19疫情以來</a>，DDoS攻擊持續在全球肆虐，而根據微軟Azure DDoS保護團隊的<a href="https://azure.microsoft.com/zh-tw/blog/azure-ddos-protection-2021-q3-and-q4-ddos-attack-trends/">最新趨勢報告</a>，DDoS攻擊在2021下半年，無論是攻擊頻率還是規模，都達到前所未有的高峰，遊戲產業災情嚴重，以地區來看，印度的DDoS攻擊大幅增加，東亞仍受攻擊者青睞。</p> <p>微軟發表2021下半年的DDoS攻擊趨勢，每天緩解1,955次攻擊，而這個數字是2021上半年的140％，最大量的紀錄發生在2021年8月10日，那天微軟總共偵測到4,296次攻擊，而下半年微軟全球基礎設施，總共緩解359,713次以上不重複攻擊。</p> <p>微軟提到，過去DDoS攻擊往往在年底假期達到高峰，但2021年下半年的趨勢則顯示，攻擊者的攻擊模式發生轉變，2021年第3季的攻擊比第4季多，高峰發生在8月。</p> <p>DDoS攻擊的力道也逐漸加強，微軟光在2021下半年，就緩解了3次每秒數TB等級的攻擊。在11月，微軟偵測到史上最大規模的DDoS攻擊，這個針對亞洲Azure用戶的攻擊，每秒鐘攻擊流量達到3.47 TB，每秒封包量則達到3.4億個。微軟提到，該次為分散式攻擊，來自1萬個來源，分散於美國、中國、俄羅斯、泰國、印度和臺灣等多個國家。</p> <p>該次攻擊向量使用SSDP（Simple Service Discovery Protocol）、CLDAP（Connection-less Lightweight Directory Access Protocol）、DNS（Domain Name System）和NTP（Network Time Protocol），總體攻擊時間長達15分鐘。</p> <p>而在2021年12月，微軟又分別偵測到2次超過2.5 Tbps的攻擊，而且地區同樣發生在亞洲，一次是針對80和443連接埠所發動的3.25 Tbps UDP攻擊，持續時間超過15分鐘，另一次則是針對443連接埠的2.55 Tbps UDP流量攻擊，這次攻擊時間較短，僅約5分鐘。</p> <p>微軟分析，2021下半年與上半年一樣，大多數攻擊都是短暫的，但在下半年，30分鐘或是更短時間的攻擊，比例從74％下降到57％，時間超過1小時的攻擊則增加了一倍多，從13％上升到27％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fd74cc89-bfa7-443e-bc18-a046777fed12.png" style="width: 580px;" /></p> <p>在各種DDoS攻擊種類中，UDP欺騙洪水型攻擊（UDP Spoof Flood）為主流，UDP攻擊占所有攻擊比例達55％，比2021上半年增加16％；而TCP攻擊從54％下降至19％，TCP ACK洪水型攻擊則為14％；DNS放大攻擊為6％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/d0367af8-5437-40f1-8936-194e808744de.png" style="width: 580px;" /></p> <p>目前遊戲業仍是DDoS攻擊災情最嚴重的產業，微軟提到，由於不少遊戲為延遲敏感的工作負載，像是多人遊戲伺服器，便無法容忍短突發的UDP攻擊，因為只要短短數秒鐘中斷，就會影響競賽公平性，持續超過10秒的中斷，通常就會結束一場比賽。UDP常被用於遊戲和串流媒體應用程式，因此通常對遊戲產業的攻擊，都是Mirai殭屍網路的變形，和UDP協定攻擊。</p> <p>至於攻擊的熱區，美國仍是最大的攻擊目標占54％，但是微軟也觀察到，針對印度的攻擊急劇增加，從2021上半年的2％上升到23％，香港也持續受攻擊者青睞占8％，而歐洲地區的DDoS活動熱度消退，從上半年19％下降到6％。</p> <p>之所以DDoS攻擊者偏好亞洲，微軟認為，跟遊戲普及有關，特別是中國、日本、韓國、香港和印度的手機與行動遊戲興起，而在印度，也可能與數位印度政策有關，使該地區整體網路風險增加。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/d9e9a85f-6e93-4c0e-a6f1-b58ee3ec6eaf.png" style="width: 580px;" /></p> </div></div></div>
2022/1/26 23:07作者李建興https://www.ithome.com.tw/news/149093
Visual Studio 2022 for Mac開始原生支援M1晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-for-mac-preview-5/">Visual Studio 2022 for Mac第5預覽版</a>，這是第一個在.NET 6上運作，並且原生支援Apple M1晶片的版本，另外，這個版本，開發團隊也繼續將用戶常使用的功能，移植到原生的macOS UI上。</p> <p>在.NET 6 CLR上執行Visual Studio for Mac，是微軟一項重要的計畫，如此便能夠使Visual Studio for Mac用到最新的.NET功能。微軟提到，從Mono移植到.NET 6的第一個好處，就是開發者可以感受到新I/O實作，在各種場景種帶來的效能提升。</p> <p>但微軟也提醒，目前這項功能還在初期階段，用戶可能獲得略有不同的結果，他們還會繼續最佳化M1處理器上的Visual Studio for Mac。</p> <p>另外，現在有更多Visual Studio for Mac功能，移植到原生的macOS UI上，過去IDE是使用原生UI，以及非原生控制元件庫自定義繪製UI的組合，而現在Visual Studio for Mac整個IDE體驗，則建立在原生的macOS UI實作上。</p> <p>到目前為止，微軟已經在新的Visual Studio 2022 for Mac中，移植將近95％的用戶體驗，包括編輯器、常用工具視窗、大多數偏好設定和專案配置，在第5預覽版中，微軟還移植了Document Switcher和Document Outline視窗，向前推進移植的進度。</p> </div></div></div>
2022/1/26 17:44作者李建興https://www.ithome.com.tw/news/149089
Google開源App Engine標準Java Runtime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布<a href="https://cloud.google.com/blog/topics/developers-practitioners/open-sourcing-app-engine-standard-java-runtime">開源應用服務引擎App Engine的Java Runtime</a>，目前用戶可以在GitHub上的儲存庫取用。透過開源Java Runtime，Google想要讓用戶能夠更靈活地在其他地方建置App Engine環境，包括本地開發環境、資料中心或是Cloud Run等平臺執行Java工作負載。</p> <p>Java是App Engine第二個支援的程式語言，在App Engine上，Java開發人員可以不需要管理基礎設施，就能輕鬆地部署和擴展基於servlet的網頁應用程式。而且也並非只能執行Java，其他JVM語言包括Apache Groovy和Kotlin也沒問題。</p> <p>Google這次開源的部分，包括Java標準環境、生產用的Runtime、API，和本地端SDK。開發者可以在儲存庫各個目錄中，找到com.google.appengine.api套件中的API，可用於存取App Engine服務，像是儲存資料的Datastore，或是用於保存二進位大型物件的Blobstore，還有佇列計算服務Taskqueue等。</p> <p>官方提到，App Engine的方便之處，在於提供本地開發環境，讓開發者可以在本地端開發機器執行應用程式。因此上述的服務都有本地端實作，讓開發者可以在自己的機器上啟動應用程式，而不需要每次進行更新，都要在雲中部署。</p> <p>而要使用雲端中的服務，開發者可以使用Google內建的遠端API，從任何Java應用程式存取App Engine服務，像是用戶可以使用遠端API，從本地電腦上執行的應用程式，存取生產用的Datastore；甚至可以使用遠端API，從App Engine應用程式存取另一個應用程式的Datastore。</p> <p>Google沒有開源App Engine與底層Borg叢集管理系統捆綁的專有中介層，官方提到，專有中介層位在Google基礎設施內部，由於開發人員沒有辦法在自己的環境中，簡單地複製出整個Google後端，因此這次並沒有開源這些中介層。</p> <p>至於Google開源這些App Engine標準Java Runtime的原因，官方解釋，Google遵循開放雲端（Open Cloud）方法，讓用戶不被特定工具、環境和供應商綁住，使用戶的工作負載可以自由地在任何地方執行。</p> <p>過去Google已經開源了許多相關技術，包括Kubernetes以及gVisor沙盒。gVisor是容器應用核心，可以提供縱深防禦的應用程式執行環境，而App Engine就是應用gVisor沙盒所實作的應用環境。</p> </div></div></div>
2022/1/26 15:53作者李建興https://www.ithome.com.tw/news/149079
美國商務部公布全球半導體供需報告：全球晶片短缺現象在6個月內仍無法緩解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（US Department of Commerce，DoC）去年9月向全球的半導體製造商與用戶發出了「資訊請求書」（Request for Information，RFI），以理解半導體產業的供需狀態，總計收到了164家業者的回應，並於<a href="https://www.commerce.gov/news/blog/2022/01/results-semiconductor-supply-chain-request-information">周二（1/25）公布</a>根據這些資料所彙整的結論，指出全球晶片短缺現象在6個月內仍無法緩解，供需最不平衡的半導體類別為傳統邏輯晶片（Legacy Logic Chips）、類比晶片（Analog Chips ），以及光電晶片（Optoelectronics Chips），而這很可能是迄今最完整也最接近真實的全球半導體市場報告。</p> <p>DoC形容這波全球半導體的供需失衡是一場「完美風暴」（perfect storm），在2020年以前，半導體投產就存在著某些難題，包括取得製造舊款晶片的設備，或是用於電子組裝的二極管、電容器與基板等，而當時因為電動車與5G的興起，市場需求已逐漸升溫。</p> <p>繼之而來的COVID-19疫情則強化了市場對半導體的需求，然而一系列的黑天鵝事件卻讓形勢更為惡化，從工廠的火災、風雪的襲擊、能源短缺到疫情造成工廠停擺等。</p> <p>回應RFI的164家業者中，有44家屬於半導體及相關產品的供應商，55家為中介或終端用戶，以及21家的材料與設備供應商。在分析了業者與用戶所提供的資訊之後，DoC發現，2021年買家對晶片的需求中位數比2019年增加了17%，有鑑於半導體業者的擴大生產量能趕不上市場需求，使得買家的半導體庫存量也從2019年的40天，縮短到2021年的5天。</p> <p>至於半導體用戶中，汽車產業就占了42%，居次的是健康照護產業（18%），行動裝置及網路基礎設施占了16%，製造業占了13%，消費者產品則占6%。</p> <p>DoC指出，半導體有許多不同的種類，一個半導體節點代表一個特定的設計與生產流程，也會有不同的供應鏈，而用戶可能需要許多不同的晶片，因而產生極其複雜的供應鏈，半導體製造商並不一定清楚地知道市場需求，而用戶也不總是了解它們所需的晶片從何而來，此一現象令業界更難找出半導體短缺的解決方案，但藉由RFI則能透明化市場的供需狀況。</p> <p>該報告便發現，市場供需最失衡的3類晶片為傳統邏輯晶片、類比晶片與光電晶片，其中，傳統邏輯晶片多被應用在醫療裝置、汽車與其它產品上，如40、90、150、180及250奈米節點；類比晶片則多應用於電力管理、影像感應器及無線射頻上，採用40、130、160、180與800奈米節點；用於感應器及開關上的光電晶片則需65、110及180奈米節點。</p> <p>對美國而言，這份報告最關鍵的發現在於，當半導體用戶的庫存量剩下5天時，一旦海外的供應斷了炊，或者是生產中斷兩、三周，將會直接癱瘓美國的用戶或工廠，迫使員工放假。其實從去年初開始，美國政府便持續祭出各種政策與預算，大力支持當地的半導體發展。</p> </div></div></div>
2022/1/26 17:24作者陳曉莉https://www.ithome.com.tw/news/149086
科技部今年改制新國科會，吳政忠：跨部會協調科技計畫將更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管臺灣科研政策的科技部將改制為國家科學及技術委員會（新國科會），最快今年3月掛牌，科技部今天（1/26）舉行新春記者會，面對外界關心新國科會定位，推動科技部轉型為新國科會的部長吳政忠強調，新國科會將扮演各部會科技計畫的協調角色，且運作將會更有效率。</p> <p>在改制為新國科會前的最後一次以科技部名義舉辦的新春記者會上，科技部回顧2021年4大任務，包括擘劃科技政策、支援基礎研究、完善科學園區、推動創新創業，其中在擘劃科技政策方面，科技部力推太空發展法子法、發展低軌衛星、整合4個AI研究中心，建立臺灣對外的AI卓越中心Taiwan AICoE及防疫科學研究中心等等。科技部並推動女性科研、人文社會，透過和科技會報辦公室緊密合作，協調各部會科技計畫工作。</p> <p>科技部的前身原是行政院國家科學委員會（國科會），成立運作逾50年，2014年才改制為科技部，未來科技部將改制為新國科會，按行政院規畫，新國科會的主委將由行政院政務委員兼任，整合現行科技部業務外，負責國家科技發展的整體規畫，預算分配研訂科研整合應用，並仍管理原本科技部底下的科學園區管理局、國家災害防救科技中心等。</p> <p>科技部表示，新國科會將繼續扮演科技創新推動引擎的角色，在4大任務上，發揮跨部會跨領域的協調角色，協調的部會涵蓋中研院、數發部、經濟部、衛福部、交通部、教育部、農委會，相關部會推動的科技計畫，並串聯上中下游產業。</p> <p><span style="color:#FF0000;"><strong>新國科會將整合行政院科技會報辦公室，效率更好</strong></span></p> <p>然而，從業務上來看，未來科技部改制新國科會，仍整合科技部原有業務，將來改制之後，新國科會將扮演什麼角色？究竟和過去的國科會有何不同？引起外界的關心。</p> <p>吳政忠表示，從國外的角度來看，臺灣的科技應是科技部加上其他部會，過去臺灣的科技布局，是由行政院科技會報辦公室和科技部一起合作，因科技部前身為國科會，過去科技部確實偏向上游科技專案，但從去年開始科技部及法人已認知到當前進國際時，不論是科技部或未來的國科會都應代表臺灣的科技，在這個前提之下，臺灣的科技布局一定要攜手其他部會，在有限的資源之下，一起分工分配走向國際。因此科技部、科技會報辦公室需要變成一個單位，科技會報辦公室未來將納進新國科會。</p> <p>對於未來臺灣的科技布局，吳政忠認為，臺灣的強項是半導體，也就是晶片，臺灣剛好掌握全世界未來20年的科技重點，全世界各國都需要晶片，但是，晶片並不是全部，人們的食、衣、住、行、育、樂，如電動車、低軌通訊衛星，這幾個項目是臺灣在2030年必需，且有機會躍上國際的重要產業。</p> <p>他以目前相當熱門的低軌通訊衛星商機為例，臺灣在發射火箭、低軌衛星、地面接收設備已有一定的產值，但臺灣在地面的應用服務則較無經驗，科技部正努力補強這部分，將來補強之後，臺灣有機會搶佔第一個應用服務的商機。利用臺灣在半導體產業優勢，讓晶片產業的優勢外溢至其他產業，臺灣在其他的產業並非沒有成績，只是沒有發揮很好的加乘效果。未來的產業，愈貼近人們生活食、衣、住、行、育、樂，產業所創造的價值愈高。</p> <p>至於科技部何時改制為新國科會掛牌運作，吳政忠表示，科技部已準備好，但是新國科會何時掛牌需由行政院決定，在行政院組改策略之下，他現在的任務是將科技部轉型、精進為新國科會。</p> <p>對於科技部從舊國科會（國家科學委員會），改制為新國科會（國家科學及技術委員會）有何不同？</p> <p>吳政忠指出，舊國科會偏向科學基礎研究布局及人才培育，而新國科會將負責整體國家未來科技政策，包括前瞻科技計畫，推動協調各部會協作達成，未來科技會報辦公室和科技部整合後，政策執行將更為無縫接軌，加上由行政院政務委員擔任新國科會主委，以行政院的高度進行整合，執行及協調的效率會更好。儘管未來數位發展部將掌管臺灣的數位科技政策，但新國科會也會掌握部分政策，數位科技不會單獨存在，而是和各產業都有連結，未來新國科會將以新的高度，對科技政策的執行，分工分配，協調數位發展部如何和首其他部會的產業介接。</p> <p>在行政院這波組織改造中，吳政忠表示，新國科會及未來將協調與科技相關的部會，此一系統已和行政院長、總統報告，因此他根據院長與總統的想法推動，期許未來科技與社會、經濟、環境、國際政治環境接軌，科技不會單獨發展，必需要普惠社會，若大家都聽不懂科技在做什麼，就代表科技脫離民眾生活。</p> </div></div></div>
2022/1/26 17:41作者蘇文彬https://www.ithome.com.tw/news/149087
英國國家網路安全中心釋出漏洞掃描專案，首波鎖定21Nails漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家網路安全中心（National Cyber Security Centre，NCSC）及Industry 100專家團隊（i100）合作，在<a href="https://www.ncsc.gov.uk/blog-post/introducing-scanning-made-easy">本周發表了基於Nmap腳本引擎的Scanning Made Easy（SME）專案</a>，以協助各組織掃描自家系統上是否含有已知的安全漏洞，<a href="https://github.com/nccgroup/nmap-nse-vulnerability-scripts/blob/master/smtp-vuln-cve2020-28017-through-28026-21nails.nse">首個釋出的腳本程式</a>可用來掃描涉及Exim Message Transfer Agent（MTA）的21個安全漏洞（21Nails）。</p> <p>NCSC表示，當一個軟體漏洞被揭露時，要找到它的概念性攻擊程式比找到它的防禦工具還容易，讓形勢更惡劣的是，就算坊間已存在相關的掃描腳本程式，但使用者卻不知道它是否安全，或是其掃描結果有否正確，而這便是NCSC打造SME的原因。</p> <p>SME專案奠基於發展已經超過20年的Nmap腳本引擎（Nmap Scripting Engine，NSE），<a href="https://www.ncsc.gov.uk/information/industry-100">相關的腳本程式都是由來自產、官、學界的i100專家團隊</a>，依照NCSC公布的SME開發者準則所撰寫，每個腳本程式都含有用來說明漏洞驗證途徑的摘錄，並提供直覺及簡單的介面，正確地說，SME是個NSE腳本程式的集合。</p> <p>NCSC並不打算替每個漏洞撰寫掃描程式，而是僅會針對重大或持續造成災難的安全漏洞作出回應，像是21Nails，NCSC還說，就算IT管理人員不認為自家網路安裝了Exim MTA，也值得利用該腳本程式掃描一下，或許會有意外的收穫。</p> </div></div></div>
2022/1/26 17:46作者陳曉莉https://www.ithome.com.tw/news/149090
全託管檔案系統Amazon EFS開始內建備份功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布其可用於EC2執行個體，以及AWS Lambda函式與容器的完全託管檔案系統Amazon EFS，現在開始提供<a href="https://aws.amazon.com/tw/blogs/aws/new-replication-for-amazon-elastic-file-system-efs/">備份功能</a>，供用戶能夠以輕鬆的方式，備份檔案來符合法規，或是用於災難復原。</p> <p>官方提到，用戶在數分鐘內，就可以替新的或是現有的EFS檔案系統配置備份，在同一AWS分區（Partition）中，無論是在單個AWS地區（Region），或是兩個AWS地區，都能進行備份。</p> <p>配置完成後，備份作業便會立即開始，所有備份流量都會在AWS全球主幹網路中傳輸，大多數更新的備份，都會在1分鐘內完成，AWS提到，對大多數檔案系統而言，RPO（Recovery Point Objective）的目標為15分鐘。</p> <p>備份不會消耗爆量點數（Burst Credit），而且也不計入檔案系統的預配置吞吐量。目前這項功能已經上線，在AWS美東、美西、加拿大、歐州和南美地區的用戶都已經可以使用，而亞洲則在孟買、大阪、首爾、新加坡、雪梨和東京地區提供。</p> </div></div></div>
2022/1/26 18:10作者李建興https://www.ithome.com.tw/news/149084
【資安日報】2022年1月26日，電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電動車提供許多智慧功能，一旦相關業者遭到網路攻擊，就有可能導致各式的服務被迫中斷。臺灣電動機車大廠Gogoro在上週末於使用者論壇發出公告，證實他們遭到網路攻擊，但強調對營運沒有造成重大影響。這起事故在公告數日後，受到各家媒體報導，原因是即將交車的客戶指控，疑似因此被迫延後取得機車，但Gogoro卻沒有主動通知，讓這名民眾只能空等。但交車延期是否與這起網路攻擊有關？顯然有待釐清。</p> <p>近期勒索軟體駭客鎖定NAS下手的情況，已經不是新鮮事，但最近一起攻擊行動中，出現與過往不同的情況，駭客不只要NAS用戶付錢換回檔案，還囂張地打算將他們用於攻擊的零時差漏洞，賣給NAS廠商，頗有挖苦NAS廠商的意味。</p> <p>對於Linux作業系統上的漏洞，最近陸續有資安研究人員公布他們的發現，而在今天的資安日報裡，出現了2個影響相當廣泛的漏洞，一個存在於系統元件，可能影響幾乎所有的Linux發行版；而另一個漏洞則是可被用於攻擊Kubernetes環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://forum.gogoro.com/t/topic/17779?fbclid=IwAR3JW9dp3yxDZDGz_l4-7zxkkSdaRGUouZNImNgWyn-xqbAmJejP2jATeoo"><span style="color: rgb(0, 0, 0);">電動機車業者Gogoro遭網路攻擊，疑影響交車、無法預約進廠維修時間</span></a></strong></h4> <p>隨著電動車越來越普遍，針對相關業者發動攻擊，可能導致多種服務受到波及。電動車Gogoro在1月22日晚間9點表示，他們在1月21日週五偵測到部分資訊系統遭受駭客網路攻擊，該公司資訊部門在偵測偵測到網路異常後，已啟動資安事件應變，與外部資安公司協同處理，並通報政府單位。根據他們的說明，目前，受影響的部分資訊系統正陸續回復，對日常營運並無重大影響，電池交換網路、銷售與維修通路、客戶服務系統皆持續運作。</p> <p>巧合的是，最近幾日陸續有民眾指控，<a href="https://www.cna.com.tw/news/afe/202201260096.aspx">已經即將交車的時程被迫延期</a>，也有<a href="https://www.mirrormedia.mg/story/20220126fin001/">車主反應無法預約進廠維修的時間</a>，使得這起事件引起外界關注，但這些情況是否與網路攻擊有關？顯然還有待釐清。</p> <p>該公司在公告指出，同時間亦有其他臺灣廠商遭遇類似的狀況，但這些廠商是否為採用Gogoro電池交換系統Powered by Gogoro Network（PBGN）的聯盟成員？該公司沒有進一步說明。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/new-deadbolt-ransomware-targets-qnap-devices-asks-50-btc-for-master-key/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體DeadBolt攻擊威聯通NAS，意圖向製造商兜售漏洞細節</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/master-key-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/master-key-note.jpg" style="width: 300px; float: right;" /></a>勒索軟體入侵NAS設備的情況，陸續傳出事故，但如今駭客得寸進尺，打算將攻擊事故做為向設備廠商兜售漏洞細節的管道。資安新聞網站Bleeping Computer指出，他們發現勒索軟體DeadBolt約自1月25日開始，攻擊威聯通（QNAP）的NAS設備，並向受害者索討0.03個比特幣，相當於1,100美元，至少有15臺NAS受害，駭客宣稱是透過未揭露的漏洞來下手。值得留意的是，在勒索訊息裡，還包含給威聯通的「重要訊息」，內容是他們打算向該公司以50個比特幣（約185萬美元）的價格，出售上述漏洞的細節，以及可解鎖所有受害設備資料的主鑰（Master Key）。</p> <h4><a href="https://nationalpost.com/news/politics/canadas-foreign-affairs-department-targetted-in-significant-cyber-attack"><span style="color: rgb(0, 0, 0);"><strong>加拿大外交部遭網路攻擊，部分服務中斷</strong></span></a></h4> <p>外交單位屢屢成為國家級駭客的攻擊目標，而這次事故發生的原因，疑似與俄羅斯和烏克蘭的政治局勢有關。加拿大於1月19日證實，該國外交機構加拿大全球事務部（Global Affairs Canada）遭到網路攻擊，部分網路服務將無法使用。加拿大政府強調，尚無跡象指出其他政府機關遭到波及。雖然該國政府沒有透露攻擊者的身分，但意有所指地要求公部門，加強對於俄羅斯網路威脅的防護。</p> <h4><a href="https://thehackernews.com/2022/01/hackers-infect-macos-with-new-dazzlespy.html"><span style="color: rgb(0, 0, 0);"><strong>DazzleSpy後門程式發動水坑式攻擊，鎖定香港macOS用戶下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png" style="width: 300px; float: right;" /></a>Google在2021年8月，<a href="https://www.ithome.com.tw/news/147795">發現到駭客鎖定香港的媒體網站，以及社會運動網站展開水坑式攻擊</a>，並運用漏洞CVE-2021-30869於受害者的蘋果電腦、行動裝置上，植入木馬程式，這起攻擊事故的調查最近有了更多進展。資安業者ESET指出，這些駭客分別入侵當地的網路廣播電臺D100，並製作帶有惡意iframe的假社會運動聲援網站，來引誘香港的民主運動人士上當，其中，針對瀏覽廣播電臺網站的Mac電腦使用者，駭客使用名為DazzleSpy的後門程式，來控制受害電腦。研究人員指出，這起攻擊行動與2020年iOS惡意程式LightSpy手法相似，但無法斷定是由同一組駭客出手。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/segway-store-hacked-to-steal-customers-credit-cards/"><span style="color: rgb(0, 0, 0);"><strong>平衡車業者Segway網路商店遭Magecart攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-5.png" style="width: 300px; float: right;" /></a>網路商店遭到Magecart交易資料側錄攻擊（Card Skimming）的現象，不時有業者受害。資安業者Malwarebytes指出，他們發現Magecart Group 12約自2021年1月6日開始，攻擊銷售平衡車、電動滑步車的中國業者Segway，駭客疑似利用Magento漏洞入侵，並將側錄交易資料的程式碼，藏匿於其購物網站的圖示（favicon.ico）。資安新聞網站Bleeping Computer指出，迄今相關程式碼尚未移除。</p> <h4><a href="https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament/"><span style="color: rgb(0, 0, 0);"><strong>安道爾候國網路遭DDoS攻擊，原因疑似與Minecraft魷魚遊戲錦標賽有關</strong></span></a></h4> <p>又是針對電玩產業而來的攻擊行動。由電玩影片串流平臺Twitch舉辦的Minecraft 錦標賽「Squidcraft Games」，從1月20日開始舉行，鎖定使用西班牙語Minecraft玩家而來，但過程中傳出，來自安道爾候國（Andorra）的十多名直播主，因當地的ISP業者遭到DDoS攻擊，而被迫中斷比賽。消息人士向Recorded Future透露，DDoS攻擊的流量一度高達100 Gbps。</p> <h4><a href="https://www.theverge.com/2022/1/22/22896785/dark-souls-3-remote-execution-exploit-rce-exploit-online-hack"><span style="color: rgb(0, 0, 0);"><strong>電玩遊戲黑暗靈魂驚傳RCE漏洞</strong></span></a></h4> <p>電玩遊戲一旦連接到網際網路，很有可能成為攻擊者入侵電腦的管道。根據電玩新聞網站Dexerto的報導，一名SkeleMann玩家提出警告，他發現電腦版的黑暗靈魂3（Dark Souls 3），存在嚴重的RCE漏洞，有可能對電腦造成損害，並呼籲其他玩家暫時不要執行網路對戰模式，以免遭到攻擊。後來，有其他玩家通報，即將上市的遊戲艾爾登法環（Elden Ring），可能也存在相同的漏洞。遊戲業者萬代南夢宮娛樂（Bandai Namco）於1月23日發出公告，為調查網路服務所出現的問題，提供電腦玩家的PVP伺服器將暫時停止運作。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/linux-system-service-bug-gives-root-on-all-major-distros-exploit-released/"><span style="color: rgb(0, 0, 0);">Linux系統元件漏洞PwnKit可被用於取得root權限，恐波及所有發行版</span></a></strong></h4> <p>Linux系統元件所存在的漏洞，很可能影響各種版本的作業系統。資安業者Qualys揭露名為PwnKit的漏洞（CVE-2021-4034），這項漏洞存在於控制系統層級的元件Polkit（舊稱PolicyKit）裡，一旦攻擊者利用該漏洞，就能以不具特權身分的使用者，在Linux主機上取得root權限，影響自2009年5月以來所有版本的Polkit。研究人員在預設組態部署的Ubuntu、Debian、Fedora、CentOS上，透過PwnKit於本機取得root權限，研判該漏洞存在於多數版本的Linux作業系統，紅帽已發布修補程式。資安新聞網站Bleeping Computer於上述漏洞細節公布後不久，就在網路上看到概念性驗證（PoC）攻擊工具。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/"><span style="color: rgb(0, 0, 0);">Linux核心存在漏洞，恐被用於逃脫K8s容器並攻擊主機</span></a></strong></h4> <p>Linux核心的嚴重漏洞，有可能危及容器平臺Kubernetes（K8s）。搶旗賽（CTF）團隊Crusaders of Rust發現，記憶體緩衝區溢位漏洞CVE-2022-0185，存在於Linux核心5.1-rc1以上版本的檔案系統框架（File System Context）元件，一旦駭客利用這個漏洞，將有機會發動越界寫入、阻斷服務（DoS）、任意程式碼執行攻擊，而使得駭客能夠逃脫容器，進而存取K8s伺服器的資源。該漏洞已於Linux 5.16.2版修補，IT人員也可以針對沒有具備特殊權限的使用者，停用命名空間（Namespace）的相關功能，來緩解這項漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/uk-govt-releasing-nmap-scripts-to-find-unpatched-vulnerabilities/"><span style="color: rgb(0, 0, 0);">英國政府以Nmap程式碼打造檢測工具，供IT人員掃描OT環境漏洞</span></a></strong></h4> <p>工業控制系統（ICS）安全日益受到重視，政府亦提供相關的工具給企業，以便儘速因應重大漏洞。英國國家網路安全中心（NCSC）於1月25日，發布針對網路安全工具Nmap編寫的指令碼，以協助企業掃描Exim訊息傳輸代理（MTA）設備裡，合稱為21Nails的RCE漏洞。NCSC表示，即使企業沒有部署Exim MTA，IT人員還是可以試著運用這個指令碼來掃描網路環境。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149061">2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/26 15:06作者周峻佑https://www.ithome.com.tw/news/149077
Google以新廣告追蹤技術Topics，取代遭到大家唾棄的FLoC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142445">Google去年初發表並開始測試的「群組聯合學習」（Federated Learning of Cohorts，FLoC）</a>目標式廣告技術，由於遭到各方的唾棄，使得Google在去年7月底終止了對FLoC的實驗，<a href="https://blog.google/products/chrome/get-know-new-topics-api-privacy-sandbox/" target="_blank">繼之於本周發表用來取代FLoC的Topics</a>。</p> <p>不管是FLoC或Topics API都是Google用來置換Cookie，以讓廣告主可以在兼顧使用者隱私的前提下，提供目標式廣告。然而，FLoC一現身就受到各界的抨擊，從<a href="https://www.ithome.com.tw/news/143067">電子前線基金會（EFF）</a>、<a href="https://www.ithome.com.tw/news/143795">隱私瀏覽器Brave</a>到<a href="https://www.ithome.com.tw/news/144975">Mozilla</a>都批評FLoC存在嚴重隱私問題、<a href="https://www.ithome.com.tw/news/143829">DuckDuckGo及Vivaldi也決定封鎖FLoC</a>，<a href="https://www.ithome.com.tw/news/143922">Wordpress指責FLoC可能助長歧視</a>，GitHub關閉該平臺的FLoC功能，而且不管是Microsoft Edge或Opera等基於Chromium的瀏覽器也都不支援FLoC。</p> <p>至於Google新推出的Topics與FLoC一樣，皆為基於使用者興趣的目標式廣告技術，由瀏覽器的歷史紀錄來判斷使用者有興趣的內容，並將它們依主題分門別類，像是旅遊或健身等，而這些主題都只會在使用者的裝置上保留3周，並不會傳送至任何伺服器上。</p> <p>此外，當使用者造訪一個參與Topics技術的網站上，Topics則會從裝置上過去3周的主題紀錄中挑選3個主題與網站及廣告主分享。同時Google也預計在Chrome瀏覽器中提供使用者控制機制，以讓使用者能夠查詢所被記錄的主題，還能移除特定的主題或直接關閉Topics功能。且為了避免使用者的敏感資料被歸類，Topics會忽略性別或種族等資訊。</p> <p>目前Google已透過<a href="https://github.com/jkarlin/topics">GitHub分享Topics技術</a>，並解釋Topics與FLoC的差別，明確地承認了FLoC的不足，包括FLoC加入了太多可用來辨識使用者身分的指紋，對使用者的透明度太差，缺乏足夠的使用者控制，以及將使用者敏感資料歸類等。而Google則強調，Topics已經改善了上述FLoC遭到質疑的元素。</p> </div></div></div>
2022/1/26 16:23作者陳曉莉https://www.ithome.com.tw/news/149080
微軟財報出爐，營收成長20%，雲端業務成長最強
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.microsoft.com/en-us/investor/earnings/fy-2022-q2/press-release-webcast">周二（1/25）公布</a>了截至去年12月31日的2022財年第二季財報，該季微軟締造了517億美元的營收，比前一年同期成長20%，淨收入為188億美元，成長21%，穩定的成長及符合分析師的預期，讓微軟在美股持續下挫之際，當天的盤後股價上揚了1.2%，每股價格為291.94美元。</p> <p>該季微軟生產力與業務流程（Productivity and Business Processes）營收為159億美元，成長19%；智慧雲端（Intelligent Cloud）為183億美元，成長26%；更多個人運算（More Personal Computing）營收為175億美元，成長15%。</p> <p>在個別的產品類別或服務上，成長最快的是Azure與其它雲端服務，總計成長了46%，其次是成長45%的Dynamics 365，LinkedIn營收成長了37%，廣告服務營收亦成長32%。</p> <p><a href="https://www.theverge.com/22901252/microsoft-q2-2022-earnings-revenue-cloud-services-surface-gaming-xbox?scrolla=5eb6d68b7fedc32c19ef33b4">《The Verge》則報導</a>，微軟執行長Satya Nadella也在財報會議上提出了他對元宇宙（Metaverse）的願景，指出未來的網路將是一個更開放的世界，允許任何人打造自己的元宇宙世界，而微軟非常有機會抓住這波浪潮。</p> </div></div></div>
2022/1/26 16:29作者陳曉莉https://www.ithome.com.tw/news/149081
Minecraft遊戲競賽導致歐洲小國網路斷線4天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周一場跨國Minecraft電玩賽事引發的分散式阻斷服務（DDoS）攻擊，致使安道爾（Principat d'Andorra）這個歐洲小國，全國網路斷線4天。</p> <p>上周Twitch舉辧了一場模仿Netflix熱門影集《魷魚遊戲》（Squid Games）的Minecraft對抗賽事，名為Squidcraft Games。這場賽事僅開放歐洲及南美的西語系玩家組隊參賽，由1月21日一連舉行5天，贏家獎金高達10萬美元。</p> <p>不過比賽進行到第2天時，位於西班牙及法國交界的小國安道爾唯一一家<a href="https://twitter.com/AndorraTelecom/status/1484632485879234567">電信業者Andorra Telecom貼出</a>公告遭到旨在傷害部份Youtubers的DDoS攻擊，影響部份用戶的網際網路和4G服務。電信公司公告一連持續4天。</p> <p><a href="https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament/">The Record報導指出</a>，斷線迫使10多名知名玩家退賽。</p> <p>攻擊可能是出於比賽恩怨。<a href="https://twitter.com/auronplay/status/1484981375308791811">Auron宣佈退賽</a>時指出，希望他的退賽能使攻擊者放過他的隊友。</p> <p>消息人士指出這場DDoS攻擊可能是使用了DDoS for hire服務，即攻擊者租用了DDoS殭屍網路基礎架構發動攻擊，流量最高達到100Gbps。</p> <p>安道爾是僅有不到8萬人口的小國，安道爾電信的中小型資料中心自然耐不住這場攻擊斷線，連帶波及當地家庭、企業及政府。根據<a href="https://www.datacenterdynamics.com/en/news/andorras-internet-brought-down-by-ddos-attack-aiming-to-disrupt-minecraft-competition/">Data Center Dynamics報導</a>，攻擊導致該國流量掉了37.5%。</p> <p>雖然安道爾用戶無法參賽，但Squidcraft Games仍成為Twitch最多人觀看的對抗賽，吸引上百萬人觀戰。</p> <p> </p> <p> </p> </div></div></div>
2022/1/26 16:44作者羅正漢https://www.ithome.com.tw/news/149083
Crypto.com證實因2FA被破而遭駭，將提升成MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡的加密貨幣交易平臺<a href="https://www.ithome.com.tw/news/148985">Crypto.com上周傳出被駭客入侵盜轉</a>，該公司證實是雙因素驗證（2-factor authentication, 2FA）遭到突破而引發這次事件，Crypto.com未來也將提升到多因素驗證防護以避免事件重演。</p> <p>1月17日Crypto.com發生平台用戶的加密貨幣，包括以太幣、比特幣等加密貨幣帳號被不明人士盜轉。經過媒體報導及該公司高層以推特說明後，<a href="https://crypto.com/product-news/crypto-com-security-report-next-steps">Crypto.com稍後也提出說明災情及原因</a>。</p> <p>10天前事件中，有483名用戶帳號遭非授權提領，總共有4,836.26個以太幣（ETH）及443.93個比特幣（BTC），以及其他加密貨幣約66,200 美元遭轉出。這些用戶的損失已全數獲得補償。</p> <p>Crypto.com解釋，事件發生在世界協調時間（UTC）1月17日凌晨12:46，該公司風險控管系統偵測到部份用戶帳號的轉帳交易在未經用戶2FA驗證獲得許可執行。系統立即通知相關團隊評估事件，並導致該公司暫停交易，同時撤銷所有用戶2FA密碼。同時該公司也要求所有用戶重新登入並重設2FA密碼。</p> <p>Crypto.com約14小時後回復提領基礎架構，並在1月18日下午5:46重新開放提領服務。</p> <p>為了強化日後平台安全性，除了請來外部團隊對平臺進行安全稽核，Crypto.com接下來也將實施全球帳號防護方案，強化Crypto.com App及Crypto.com Exchange交易平台的防護。</p> <p>全球帳號防護方案措施包括換掉2FA系統，換成真正的多因素驗證（multi-factor authentication, MFA），將於近日內部署到所有交易服務。Crypto.com用戶未來所有交易服務都需啟用MFA、設定防釣魚碼（anti-phishing code）、不得使用被越獄（jailbreak）過的裝置。此外，用戶若發生盜轉必須報警備查及填寫問卷以協助調查。</p> </div></div></div>
2022/1/26 15:34作者林妍溱https://www.ithome.com.tw/news/149078
Nvidia可能放棄Arm收購案，這樁400億美元併購恐告吹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU晶片大廠Nvidia在2020年9月宣布，將以400億美元向日本軟體銀行（Soft Bank）買下Arm，並預計於18個月內（至2022年3月）完成交易，然而，<a href="https://www.bloomberg.com/news/articles/2022-01-25/nvidia-is-said-to-quietly-prepare-to-abandon-takeover-of-arm">彭博社（Bloomberg）本周引述消息來源報導</a>，由於各國遲遲未能批准此一交易，已讓Nvidia準備放棄。</p> <p>根據Nvidia最初的規畫，此一併購案將可結合Nvidia的AI運算平臺與龐大的Arm生態體系，企圖於人工智慧時代建立一家一流的運算企業，加速創新並擴大市場。</p> <p>然而，除了諸如高通、Google與微軟等Nvidia既有及潛在競爭對手<a href="https://www.ithome.com.tw/news/142755">向監管機關投訴此案</a>之外，<a href="https://www.ithome.com.tw/news/148159">美國</a>與<a href="https://www.ithome.com.tw/news/143945">英國</a>也相繼出手阻止該併購案。此外，就算美、英等國通過Nvidia與Arm的交易，在中國也會面臨阻礙。</p> <p>根據報導，Nvidia已向合作夥伴透露，雙方可能無法完成此一交易，另一方面，在該交易可能告吹之際，軟體銀行則計畫推動Arm的上市。</p> </div></div></div>
2022/1/26 14:13作者陳曉莉https://www.ithome.com.tw/news/149075
Linux核心臭蟲可讓攻擊者執行Kunbernetes容器突破攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.aquasec.com/cve-2022-0185-linux-kernel-container-escape-in-kubernetes">安全廠商Aqua Security發現Linux核心存在一項漏洞</a>，讓攻擊者可突破Kubernetes容器而在主機系統執行程式碼。</p> <p>編號CVE-2022-0185的漏洞是一項堆積型記憶體緩衝溢位漏洞，出在Linux核心的Filesystem Context功能中的legacy_parse_param函式對輸入指令參數未能妥善驗證，讓沒有管理員權限的使用者在特定Kubernetes環境下可擴充其權限到root權限以執行程式碼，即所謂容器突破（container breakout）攻擊。</p> <p>發現本項漏洞的Aqua Security公司指出，要執行這項攻擊，攻擊者必須為本地用戶，且須具備CAP_SYS_ADMIN權限。CAP_SYS_ADMIN並非Docker或其他容器環境的預設功能，必須在啟動容器時特別開啟。不過攻擊者只需利用unshare(CLONE_NEWNS|CLONE_NEWUSER)即可以CAP_SYS_ADMIN許可進入命名空間。</p> <p>而在標準Docker提供的另一項保護下，unshare指令會被Docker seccomp filter封鎖而無法執行。但是研究人員指出一項例外情況：在Kubernetes叢集下的Docker或其他容器平台上，這filter是預設關閉的，意謂未能封鎖unshare指令,而讓研究人員在Linux系統得以行使完整的shell指令。</p> <p>目前安全公司尚未發現這項漏洞的實際開採程式碼，然而一名研究人員已公佈(<a href="https://github.com/Crusaders-of-Rust/CVE-2022-0185">https://github.com/Crusaders-of-Rust/CVE-2022-0185</a>)在Google強化的COS（Container-Optimized OS）上的概念驗證程式。安全廠商預期真正的開採程式可能也很快會發佈。</p> <p>本項漏洞風險被列為7.8。在研究人員通報下，主要Linux發行版如<a href="https://access.redhat.com/security/cve/CVE-2022-0185">Red Hat</a>、<a href="https://ubuntu.com/security/notices/USN-5240-1">Ubuntu</a>、<a href="https://www.suse.com/security/cve/CVE-2022-0185.html">SUSE</a>、<a href="https://linux.oracle.com/errata/ELSA-2022-0188.html">Oracle Linux</a>等已釋出更新版本。</p> </div></div></div>
2022/1/26 14:50作者羅正漢https://www.ithome.com.tw/news/149076
Android銀行木馬BRATA再度現身，先騙走錢財再重置受害者手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://www.cleafy.com/cleafy-labs/how-brata-is-monitoring-your-bank-account#5">Cleafy近日發現，一隻名為BRATA的Android木馬程式</a>，除了會騙取用戶銀行帳戶存款外，還會藉由重置用戶手機來躲避偵查。</p> <p>BRATA為Brazilian RAT Android最初是2019年卡巴斯基發現，因流竄於巴西，針對Android用戶的RAT（remote access trojan）程式而得名。但之後它擴大到美國及西班牙等地。Cleafy研究人員去年11月起再度偵測到BRATA活動，除了拉丁美洲、義大利等原有區域，並新增英國、波蘭，此外西班牙及中國也有零星個案。</p> <p>這波感染中，BRATA是透過簡訊誘使用戶下載防護垃圾郵件軟體，而安裝到用戶手機上。這波BRATA活動有3個變種。分析BRATA，研究人員發現在最常見的變種中，惡意程式作者新增了多項新功能，包括回復手機出廠設定、GPS定位、和C&C伺服器之間使用多重傳輸通道（HTTP、TCP），以及透過VNC（Virtual Network Computing，具遠端操作及螢幕分享）及鍵盤側錄功能擷取用戶銀行帳戶密碼等資訊。</p> <p>為了突破手機既有安全防護，例如限制App存取權限，因此在安裝時，BRATA誘使用戶同意數項權限，包括取得手機輔助服務（Accessibility Services）以啟動VNC、蒐集GPS定位紀錄及回復手機出廠設定並刪除裝置所有資料。研究人員指出，回復出廠設定是這隻惡意程式的kill switch功能；當駭客完成匯款，或是發現防毒軟體偵測時，攻擊者即可遠端執行，目的在刪除所有資料以消滅跡證。</p> <p>事實上已有兩起受害者手機遭到重置，在資料被刪除後受害者即使發現戶頭短少也完全無從追查原因。</p> <p>最後，BRATA的多重傳輸通道功能則讓它先以HTTP協定和C&C伺服器建立連線、驗證並刪除裝置上的防毒App，再轉換到更有效的WebSocket協定，以便持續從C&C伺服器接收檔案或將蒐集到的手機資訊傳給攻擊者。</p> </div></div></div>
2022/1/26 13:23作者林妍溱https://www.ithome.com.tw/news/149071
GitLab 14.7加入稽核事件串流、群組存取令牌功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺GitLab開發團隊，發布了該專案<a href="https://about.gitlab.com/releases/2022/01/22/gitlab-14-7-released/">14.7版本</a>，這個版本主要有三項更新，除了GitLab Runner開始遵守美國聯邦資訊處理標準（Federal Information Processing Standards，FIPS）之外，也加入串流稽核事件，以及群組存取令牌（Group Access Tokens）功能。</p> <p>開發者在這個版本，可以選擇將稽核事件串流傳輸至特定目的地，官方提到，這是將GitLab稽核事件，與用戶所擁有的其他資料串流相關聯、維護稽核事件備份，或是建構自有自動化功能的好方法，尤其是自建構的自動化功能，能夠在特定稽核事件發生時，迅速採取行動。</p> <p>用戶可以藉由使用GitLab新的GraphQL API來指定HTTPS端點，並且將事件以Webhook進行發送，這些訊息與Audit Events UI的資訊相同，包括發生的時間、參與的人員，以及額外的後設資料等。在收到這些訊息後，開發人員可以根據人員、類型進行過濾，或是將資料注入到第三方工具，官方提到，像是當新用戶被創建，或是更改關鍵設定的時候，便能夠以該方法觸發用戶自定義自動化功能。</p> <p>GitLab 14.7也開始提供群組存取令牌，該功能可讓用戶使用單個令牌執行群組存取操作、管理群組專案，以及在GitLab 14.2或是更新版本，利用HTTPS以Git進行身分驗證。</p> <p>過去群組存取令牌僅在自管理的執行個體提供，並且只能使用Rails控制臺產生，而現在官方擴展群組存取令牌支援，開發者可以使用UI和API來創建群組存取令牌，並自定義名稱、到期日期，甚至是撤銷現有群組存取令牌。</p> <p>另外，對於部分被要求使用的軟體，必須符合FIPS的用戶，官方表示，現在GitLab Runner已經符合FIPS 140-2，適用於AMD64計算架構和RHEL發布版本。</p> </div></div></div>
2022/1/26 11:31作者李建興https://www.ithome.com.tw/news/149065
Google揭露Pixel 6人像模式可計算精確景深效果的秘密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2022/01/accurate-alpha-matting-for-portrait.html">Google</a>在Pixel 6中，使用一種全新的技術，來計算自拍人像精確的Alpha遮罩，目的是要改善人像模式的拍攝效果，在合成景深效果的時候，能夠利用精確的Alpha遮罩，來擷取拍攝對象的輪廓，並且分離前景和背景。官方提到，這個技術讓擁有各種髮型的用戶，使用人像模式自拍時，都能取得漂亮的照片。</p> <p>影像去背（Image Matting）是一種擷取精確Alpha遮罩的程序，該遮罩可以將前景和背景物體分開，被廣泛地應用在電影或是圖像編輯中，以達成替換背景或是合成景深效果等視覺效果。在傳統的影像分割技術中，圖像會以二元的方法進行分割，每個像素皆屬於前景或是背景。</p> <p>研究人員解釋，影像分割技術無法處理細緻的場景，像是頭髮或是毛皮，除非替前景物體，估算每個像素透明值。而與分割遮罩不同，具有透明資訊的Alpha遮罩，可以保留髮絲等級的細節，並且精確地標記出前景邊界。</p> <p>雖然目前深度學習技術，在影像去背方面有了明顯的進展，但Google提到，這項技術仍然存在許多挑戰，像是生成準確基準真相Alpha遮罩的方法，或是提高野外圖像的泛化能力，甚至是在行動裝置上，使用模型對高解析度圖像進行推理的障礙等。</p> <p>Pixel 6人像模式所使用的人像去背技術，則克服了這些挑戰，Google訓練了一個由序列編碼器和解碼器模塊，所組成的全卷積神經網路，來估計高品質的Alpha遮罩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(9).png" style="width: 580px;" /></p> <p>研究人員使用MobileNetV3模型作為骨幹，加上淺層解碼器，將RGB圖像以及粗糙的Alpha遮罩作為輸入，取得初步低解析度經改善過的Alpha遮罩。</p> <p>接著則是通過序列淺層編碼器和解碼器模塊，來處理高解析度圖像，以及上一步經改善過的Alpha遮罩，研究人員解釋，淺層編碼器和解碼器比MobileNetV3，更仰賴低階的特徵，能夠利用高解析度的結構特徵，來預測每個像素最終的透明度數值。</p> <p>全卷積神經網路能夠細化初始前景Alpha遮罩，並擷取像是髮絲等非常精細的細節，該神經網路架構，皆使用Tensorflow Lite，並可在Pixel 6上高效能地運作。</p> <p>當前多數的影像去背深度學習研究，都仰賴人工註解每個像素以產生Alpha遮罩，以分開前景和背景，這些遮罩由圖像編輯工具或是綠幕生成，Google提到，這個過程很無聊，也難以產生大型資料集，而且Alpha遮罩也容易出現錯誤。</p> <p>Google則是使用容積擷取系統Light Stage，來生成高品質的訓練資料集，跟過去的資料集相比更加真實，另外，Google還透過合成野外圖像的Alpha遮罩，來提高模型的泛化能力。</p> </div></div></div>
2022/1/26 11:35作者李建興https://www.ithome.com.tw/news/149066
國內個資外洩詐騙案頻傳，2021年報案件數劇增，誠品書店、東森購物與王品集團最嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因個資外洩造成的社會詐騙層出不窮，為了因應此一問題，刑事警察局持續藉由公布高風險名單，包括網購平臺、商家或組織，通知業者疑個資外洩情事發生，並提醒民眾注意相關詐騙，但仍有許多人上當，在1月22日刑事警察局發布的最新公告中，揭露了2021年全年前5大高風險賣場名單，前五名分別是：誠品書店、東森購物、蝦皮購物、婕洛妮絲、金石堂，而且，光是警方受理這些商家的件數，就逼近3千。</p> <p>對此，大家須再提高警覺，因為自2021下半年開始，警方接獲民眾報案件數，開始出現大幅增加情形，而且，臺灣社會資料外洩嚴重的問題，不只發生在網路購物平臺，還包括實體通路餐飲業王品集團，以及多個公益慈善機構，他們本身都擁有大量的會員資料，以及捐款者資料。</p> <h2><strong>2021個資外洩情形比往年嚴重許多，報案件數大幅增加</strong></h2> <p>根據刑事警察局統計，2021年解除分期詐騙的5大民眾通報高風險賣場中，誠品書店有940件、東森購物有868件、蝦皮購物有500件，三者的情況最嚴重，民眾通報件數都在5百件以上，前兩名更是都將近1千件，超越警方歷年公布的年度統計資料，相關個資外洩及詐騙風險達到前所未見的程度。</p> <p>回顧2020年，當時刑事警察局統計出來的高風險賣場，第一名為383件，第二到第五名都是2百多件，對比之下，2021年通報件數的確處於暴增狀態。</p> <p>不僅誠品網路書店、東森購物等網路購物平臺屢屢上榜，以實體店面為主要經營環境的王品集團也值得關注。而在長期追蹤之下，我們發現這樣的狀況，根據警方每週公布解除分期詐騙案的結果，該集團旗下持續有多個餐飲品牌入榜，這段時間通報案件應該不少，對此，我們向警方徵詢更多資訊，這當中涵蓋的餐廳有：西堤牛排、王品牛排、陶板屋，以及夏慕尼、品田牧場、原燒、聚北海道鍋物與和牛刷等等，總共有587件。</p> <p>若以此數量來看，該集團僅低於誠品書店與東森購物，堪稱全年度通報件數第三多。</p> <p>對於詐騙件數暴增的主要原因，刑事警察局預防科偵查員林奕辰表示，主要是2021年疫情關係，網路購物興盛，以及外洩資料太多而導致，儘管警方長期不斷提醒小心這樣的詐騙手法，宣導ATM並不提供解除分期功能，希望民眾接獲相關電話應主動求證，但至今仍有民眾上當。由於詐騙集團使用的話術會不斷轉變，因此民眾須具備資安與防詐意識。</p> <h3><a href="https://s4.itho.me/sites/default/files/images/（圖）刑事警察局2021年年度前5大高風險賣場.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 600px;" /></a></h3> <blockquote><p>內政部警政署刑事警察局165反詐騙於1月22日，公布<a href="https://www.facebook.com/165bear/posts/4927888510603943">2021年全年前5大高風險賣場名單</a>，分別是：誠品書店、東森購物、蝦皮購物、婕洛妮絲，以及金石堂。其中誠品書店、東森購物兩者快要千件最為嚴重。警方呼籲民眾要避免被騙，也督促電商強化資安。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/（圖4）刑事警察局2021年年度前5大高風險賣場.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖5）刑事警察局2021年年度前5大高風險賣場.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 295px;" /></a></h3> <blockquote><p>在2021年警方每周公布的高風險賣場中，王品集團旗下多個餐飲品牌出現在榜上的次數不少，雖然品牌多呈現也很分散，但同一集團同時入榜的狀況，也引發關注。舉例來說，在2021年5月的一周，陶板屋、聚北海道鍋物與夏慕尼入榜，在11月的一周，有西堤牛排、王品牛排與陶板屋入榜。我們向警方取得相關統計資訊，王品集團旗下餐飲品牌的加總件數為587件。</p></blockquote> <h3><strong>警方持續公布高風險賣場揭露疑個資外洩商家，業者是否找出根因受關注</strong></h3> <p>究竟這些業者的個資外洩是何種狀況？從2021年最嚴重的三家業者來看出端倪。</p> <p>以誠品書店而言，警方是在2021年4月間，接獲多位受害者遭詐騙報案，許多網友當時也都在網路上發文指出，對方不僅假冒為誠品的客服人員，而且相當清楚客戶的訂單內容、日期、金額與住址等資訊，甚至，詐騙集團還會再假冒金融機關人員來電。對此誠品雖然發布防詐騙電子郵件與公告，但遲遲並未針對個資外洩事件詳細說明他們調查的結果。</p> <p>後來，這樣的情形還是持續發生。在2022年1月6日，立法委員劉世芳因接獲相關陳情，而<a href="https://www.facebook.com/2016newpower/posts/4991939290869585">召開「誠品資安有漏洞，消費者權益誰來顧？」記者會</a>，列席的刑事局科技研發科科長林建隆指出，誠品書店的會員民眾遭受詐騙後，向警方報案，集中在4月、6月、8月到12月，但該公司並未有效找出這個資安事件個資外洩的根因，因此，他建議業者需要假設某一天會被入侵的思維，才能解決問題。</p> <p>面對這些廠商無法改善的狀況，政府是否該採取更積極的行動？經濟部商業司專委蕭旭東表示，他們將依照個人資料保護法第22條規定，先啟動行政檢查，若該公司仍無法達到個資法或主管機關的要求，再依個資法第48條規定，令業者限期改善，若無法達成保護消費者個資的要求，將可執行行政裁罰。</p> <p>另一家民眾通報件數僅次於誠品書店的東森購物，他們是從2021下半年，開始被傳出資料外洩事件，但民眾通報件數竟迅速升到全國全年度第二。警方是在2021年8月後密集接獲民眾報案，<a href="https://ptt-politics.com/e-shopping/l/POLITICS.M.1631258048.A.3EF">9月曾有網友發文表示</a>，他們曾接獲冒名東森購物客服人員的電話，對方竟能與其核對姓名、購買日期及購買內容等，可見業者個資洩漏的欄位並不少。更受關注的是，單看第四季而言，就有453件民眾通報，以這段期間而言，狀況可能比誠品書店更為嚴重。</p> <p>至於王品集團，<a href="https://www.facebook.com/wangsteak1993/posts/3920602447982585">在2021年3月，公告王品牛排所屬的「電子菁英會員」系統的顧客資料被盜</a>，並持續向會員發布防詐騙簡訊與公告。</p> <p>然而，王品集團旗下多個品牌的餐飲事業，也都出現客戶個資外洩問題，似乎未能解決，許多受害者報案，也有人曾接到詐騙電話。在11月底，桃園市前議員王浩宇也於臉書發文，指控王品集團旗下品田牧場發生個資外洩狀況，詐騙集團清楚知道他的用餐時間、餐點與金額。</p> <p>就目前的狀況來看，警方已公開指出，誠品書店仍未找到資安事件根因，須設法改善，但王品集團與東森購物是否也出現同樣狀況，將是大眾另一個持續關注的焦點，而且，這些問題若不徹底解決，商家個資外洩引發的詐騙事件，仍可能會一再發生。</p> <p>諷刺的是，這三家業者雖然都發布防詐騙公告，通知會員與消費者提高警覺，但僅有王品牛排坦承顧客資料遭盜竊，其他業者卻並未主動對外表達他們是否受害與處理狀況，有欺騙消費者的嫌疑。</p> <p>面對這些事件的發生，各界都很關注來龍去脈。就結果而言，由於詐騙者清楚知道訂單明細與個資，但個資外洩究竟如何發生？問題出在消費者端，還是商家與其合作夥伴？商家真的進行調查了嗎？若是業者遲遲找不出原因，也還是必須對外說明，同時，民眾期望政府能為他們的權益把關，而能加強督導，勢必會加強監管企業的力道。</p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>2021每季解除分期詐騙前5大高風險賣場名單</strong></span></h2> <p><span style="color: rgb(0, 153, 255);"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1）刑事警察局2021年年度前5大高風險賣場9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B49.jpg" style="width: 600px;" /></a></strong></span></p> <blockquote><p>這幾年，刑事警察局每週公布高風險賣場名單與件數，並提醒民眾注意相關詐騙，根據2021年每季公布的資料來看，第一季與往年相差不大，但自第二季開始，解除分期詐騙的報案件數開始大增，甚至第四季光是東森購物的案件數，就逼近第一季前五名總和。</p> </blockquote> <h3><strong>出現因大量捐款資料外洩引發的詐騙事件</strong></h3> <p>除了上述業者遭遇個資外洩的資安事件，2021年還有個特殊現象，那就是：公益慈善募款機構的資料庫，也不幸被詐騙集團取得，並用於詐騙。</p> <p>關於這類型通報案件，警方指出，自2021年7月27日至今，也就是大約半年的時間，詐騙集團假冒公益慈善機構進行解除分期付款詐騙，其報案諮詢加總為370件，並有多達數十家公益慈善機構都遇駭，因詐騙方掌握捐款人姓名、電話、捐款金額等資料，藉此取信被害人，再利用解除分期詐騙手法重新包裝話術，致使善心民眾上當。</p> <p>這起事件的發生，讓多個慈善機構意識個資保護重要性，須關注系統委外合作的資安防護。因為這源於多個公益機構協會使用的資訊服務商網軟遭駭，後續<a href="https://www.intersoft.com.tw/RWD01/list_1.aspx?id=595">網軟公司也已在自家網站發布了資安公告</a>。</p> <p>在此同時，非營利組織資安該如何做的議題，也因此受到外界更大的關注，畢竟在經濟能力與行政作業的完備度上，非營利組織仍與商業組織很大的差異，政府該如何協助與輔導也成議題。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>違反個資法有公開判例可參考</strong></span></h2> <p>關於電商業者因違反個人資料法遭法院判決或提起上訴，近期是否有相關公開判例，可供外界參考，對此，刑事警察局預防科提供了三個公開判例：</p> <p class="rtecenter">●<a href="https://fyjud.lawbank.com.tw/list.aspx">臺灣士林地方法院 109 年度湖簡字第 1959 號判決</a><br /> ●<a href="https://fyjud.lawbank.com.tw/list.aspx">臺灣新竹地方法院 108 年度竹小字第 68 號判決</a><br /> ●<a href="https://fyjud.lawbank.com.tw/list.aspx">臺灣臺北地方法院 110 年度北小字第 1949 號判決</a></p> <p> </p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>解除分期詐騙手法不再只是針對網路購物平臺，「高風險賣場」一詞可能也要適時調整</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 320px; float: right;" /></p> <p>刑事警察局每週公布高風險賣場名單已有多年，但隨著解除分期詐騙手法，現在已經不只針對網路購物平臺，還有包括擁有客戶資料庫的餐飲與服務業，甚至是擁有捐款者資料的公益慈善機構，這也讓使得「高風險賣場」一詞的適用性，可能有需要適時調整。</p> <p>但要如何調整，這不僅考驗著執法單位，也反映了現實的局勢。雖然，過去資料外洩問題主要發生在線上購物平臺，不過現在的商家多朝向線上與線下整合發展。</p> <p>舉例來說，以網購平臺而言，像是誠品網路書店有實體門市，也有線上購物；而非網購平臺而言，像是王品集團也發展線上會員，除了旗下個別品牌有會員系統，像是王品牛排的電子菁英會員，而集團本身也有像是「王品瘋美食」App的會員系統。再者，以2021年8月2日到8月8日的每週高風險賣場為例，當時詐騙集團非法取得捐款資料，運用解除分期詐騙手法，假冒公益慈善機構致電捐款者，由於使用手法相同，因此，遭民眾通報的公益慈善機構，也被列為高風險賣場。</p> <p>如此看來，儘管「高風險賣場」一詞沿用多年，未來是否有需要調整，才不會讓民眾搞混，以為這些機構也在網路賣東西，是執法單位可以探討的面向。</p> </div></div></div>
2022/1/25 14:36作者羅正漢https://www.ithome.com.tw/news/149057
Rust修補可被刪除檔案及目錄的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2022/01/20/cve-2022-21658.html" target="_blank">知名程式語言Rust上周修補</a>了一個允許駭客逕自刪除檔案與目錄的安全漏洞CVE-2022-21658，建議所有用戶升級到Rust 1.58.1，特別是那些預期所開發的程式可於特權環境中執行，或是其它高風險的開發者。</p> <p>該安全漏洞存在於std::fs::remove_dir_all函式中，可能造成Race Condition Enabling Link Following缺陷。此一缺陷意味著程式在存取文件或目錄之前先檢查了它們的狀態，因而產生了競爭條件，讓駭客得以在程式存取之前以連結來取代該文件，最後存取到錯誤的文件。</p> <p>Rust解釋，想像一名駭客擁有存取系統的非特權權限，並企圖刪除一個需要特權才能執行的系統目錄sensitive/，倘若std::fs::remove_dir_all可跟隨符號連結，駭客將能找到一個可移除temp/目錄的特權程式，再建立sensitive/與temp/foo之間的符號連結，並等待特權程式刪除foo/。由於特權程式可跟隨temp/foo到sensitive/之間的連結，使得sensitive/也隨之被刪除。</p> <p>事實上，std::fs::remove_dir_all針對上述現象也部署了保護機制，但因沒有妥善地實施檢查，依舊形成了競爭條件，駭客只要建立一個目錄，並在檢查與實際刪除之間的空檔以符號連結取代它，就能展開攻擊。</p> <p>此一漏洞波及Rust 1.0.0至Rust 1.58.0，Rust呼籲開發者應儘速升級到Rust 1.58.1，此外，有鑑於macOS 10.10以前的版本或REDOX等系統，缺乏可用來緩解相關攻擊的APIs，就算工具鏈已修補也依然存在風險。</p> </div></div></div>
2022/1/25 18:22作者陳曉莉https://www.ithome.com.tw/news/149063
微軟發布用於K8s的Azure AD工作負載身分識別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對外開源一個稱為<a href="https://cloudblogs.microsoft.com/opensource/2022/01/18/announcing-azure-active-directory-azure-ad-workload-identity-for-kubernetes/">Azure AD工作負載身分識別（Workload Identity）</a>的專案，這個專案可讓開發人員，使用Kubernetes原語以及Azure AD中的資源和身分識別，與Pod相關聯，也就是說透過這個專案，開發者可以使用服務帳戶和聯合（Federation）原生Kubernetes的概念，在不需要機密的情況下，存取受Azure AD保護的資源，諸如Azure和Microsoft Graph。</p> <p>目前使用Azure AD Pod身分識別專案也能滿足這一個需求，但是Azure AD工作負載身分識別方法更容易使用和部署，而且克服了Azure AD Pod身分識別中的限制。官方提到，過去的方法存在規模和效能問題，而新的方法效能更好，更能應用在大規模場景中，而且支援託管在任意雲端的Kubernetes叢集，還可用於Linux和Windows工作負載，方法較簡單，能避免叢集角色分配等複雜且容易出錯的安裝步驟。</p> <p>Azure AD工作負載身分識別的運作方式，是讓Kubernetes叢集成為令牌發行者，向Kubernetes服務帳戶發行令牌，這些令牌可以配置在Azure AD應用程式上，使其能夠被信任，接著使用Azure Identity SDK或是MSAL（Microsoft Authentication Library）交換這些令牌為Azure AD存取令牌。</p> <p>適用Kubernetes的Azure AD工作負載身分識別聯合功能，目前僅支援Azure AD應用程式，微軟打算要擴展相同的模型至Azure受控身分識別。微軟提到，在接下來幾個月，他們計畫逐漸將Azure AD Pod身分識別替換成Azure AD工作負載身分識別，會提供用戶以最少的變更，進行搬遷的方法。</p> </div></div></div>
2022/1/25 18:53作者李建興https://www.ithome.com.tw/news/149060
【資安日報】2022年1月25日，CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到許多企業採用的CentOS作業系統，其中有一款便於管理者以圖形介面來遠端管理伺服器的軟體Control Web Panel（CWP），傳出存在可被串連利用的2個漏洞，而引起關注。</p> <p>而在過往的勒索軟體攻擊中，LockBit 2.0在加密受害電腦後，<a href="https://www.ithome.com.tw/news/146421">以置換桌布的方式，明目張膽向受害者徵求能存取企業的入侵管道</a>。但這樣意圖收買企業員工的做法，如今變得更加肆無忌憚。最近有研究報告指出，在美國的大型企業裡，有6成5的受訪企業表示，有駭客向他們的員工招手，而且是直接透過電子郵件、電話、社群網站聯繫，研究人員認為，這樣的情況可能會日益猖狂。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></h4> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/investigating-apt36-or-earth-karkaddans-attack-chain-and-malware.html"><span style="color: rgb(0, 0, 0);"><strong>駭客組織APT36運用安卓木馬程式，鎖定印度軍事與外交單位下手</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_Earth Karkaddan APT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_Earth%20Karkaddan%20APT.png" style="width: 300px; float: right;" /></a>駭客組織發動針對性的APT攻擊，也開始盯上使用者的手機下手。例如，鎖定印度軍事與外交單位的駭客組織APT36（亦稱Earth Karkaddan、Operation C-Major、Mythic Leopard），趨勢科技發現該組織於2021年底，開始針對安卓手機用戶，使用網路釣魚手法，來散布RAT木馬程式CapraRAT。一旦使用者依照指示安裝APK檔案，這個木馬程式可開啟相機，並存取麥克風、地理位置資料、通話記錄等資料，還能執行其他安裝程式。研究人員呼籲使用者，要從可信賴的來源取得應用程式。</p> <h4><a href="https://www.tovima.gr/2022/01/21/international/greek-parliament-authorities-probe-hacking-of-60-email-accounts/"><span style="color: rgb(0, 0, 0);"><strong>希臘議會60個電子郵件帳號遭駭，緊急關閉郵件伺服器</strong></span></a></h4> <p>國家議會遭到網路攻擊的情況，又再添一樁。根據希臘新聞網站To BHMA的報導，該國議會約於1月20日中午，偵測到外部IP位址在企圖存取議會的電子郵件帳號，為了保護使用者，該單位隨即停止網路郵件信箱的運作，並通報主管機關。根據消息人士指出，駭客成功入侵約60個電子郵件帳號，這些帳號是國會議員、議會員工，以及記者所擁有。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/android-malware-brata-wipes-your-device-after-stealing-data/"><span style="color: rgb(0, 0, 0);"><strong>安卓惡意軟體Brata鎖定網路銀行用戶，並在竊密後重置手機</strong></span></a></h4> <p>使用手機網路銀行的用戶要注意了！針對安卓手機而來的竊密軟體，不只鎖定多個國家的銀行用戶，發展至今更出現了會清理作案現場的功能。資安業者Cleafy發現，安卓惡意軟體Brata近期針對英國、中國、拉丁美洲等地區而來，駭客為各家網路銀行的用戶製作多種版本的Brata，並加入數項新功能，其中最值得留意的，是能夠在攻擊行動失敗，或是偵測到在沙箱環境的情況，將感染的安卓裝置恢復原廠預設狀態，以清除相關跡證。</p> <h4><a href="https://threatpost.com/donald-trump-packer-malware-infostealers/177887/"><span style="color: rgb(0, 0, 0);"><strong>駭客透過加殼軟體鎖定足球迷，散布多種竊密木馬</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1 .png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201%20.png" style="width: 300px; float: right;" /></a>為了在受害電腦投放惡意軟體，駭客使用了看似無害的下載器（Downloader）、加殼工具（Packer），將惡意軟體下載到這些電腦裡。例如，資安業者Proofpoint指出，他們約自2021年3月，發現駭客以冒牌的利物浦（Liverpool）足球俱樂部網站，吸引用戶下載名為DTPacker的加殼工具，目的是要在受害電腦植入Agent Telsa、Ave Maria、AsyncRAT等竊密工具。研究人員指出，DTPacker在第2階的攻擊模組，需要透過密碼解密才能執行，駭客先後使用了Trump2020、Trump2026作為密碼。</p> <h4><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></h4> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></h4> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/attackers-now-actively-targeting-critical-sonicwall-rce-bug/"><span style="color: rgb(0, 0, 0);">可被未經授權人士存取SonicWall的VPN系統漏洞，已遭到利用</span></a></strong></h4> <p>甫修補不到2個月的重大漏洞，已有攻擊者躍躍欲試的跡象。SonicWall於2021年12月，針對旗下的VPN產品Secure Mobile Access（SMA）修補CVE-2021-20038，一旦攻擊者利用這項漏洞，可透過nobody的帳號執行程式碼，該漏洞沒有安裝修補程式以外的緩解措施。但資安業者NCC Group於1月25日指出，有駭客鎖定尚未修補的SMA 100系列設備，最近幾天利用密碼潑灑的方式進行攻擊，他們呼籲用戶要儘速安裝修補程式。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149036">2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/25 16:33作者周峻佑https://www.ithome.com.tw/news/149061
GovTech月報第3期：國發會3月將提臺灣淨零碳排路徑圖，疫情指揮中心開放國內使用數位健康證明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0101~0125)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國發會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 淨零碳排 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 發展路徑 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>國發會3月將提出臺灣淨零碳排路徑圖</strong></span></p> <p>迎合國際上節能減碳的趨勢，國發會近期預告今年工作目標，其中短期目標方面，包括擬定整體經濟目標、穩定物價、完成第4期前瞻預算審議、地方創生、國際鏈接，而中長期目標為解決人口及人力問題、淨零碳排。</p> <p>為達成淨零碳排的中長期目標，國發會在短期目標將有相關的做法，主委龔明鑫表示，今年審議第4期前瞻預算，將調整審議主軸，納入淨零碳排作為考慮，審議各項公共建設計畫預算時，傾向支持採用淨零碳排的工法。</p> <p>另外，今年3月將會提出臺灣淨零碳排路徑圖，揭示我國達成淨雲碳排的規畫路徑，同時也預告了4項政策方向，分別是在2030年之前，讓節能、綠能、減碳最大化；其次是推動運具及製造的電動化；以及是投入氫能、CCUS碳捕捉技術研發及國際合作；最後是對企業影響較大的，配合歐盟碳關稅制度，國內將透過修改溫室氣體減量管理法，徵收碳費以基金鼓勵減碳技術研發及推廣電動化。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位健康證明 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>中央流行疫情指揮中心開放國內使用數位新冠病毒健康證明</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0120-%E4%BC%91%E9%96%92%E5%A0%B4%E6%89%80%E5%87%BA%E7%A4%BA%E6%8E%A5%E7%A8%AE%E8%AD%89%E6%98%8E-1(1).jpg" style="width: 600px; height: 425px;" /></p> <p>因應國內COVID-19疫情加遽，為讓國內地方政府、各場所容易識別民眾疫苗接種是否足夠、個人身體健康情形，中央流行疫情指揮中心近期更新數位新冠病毒數位證明簽發平臺，開放國內民眾申請數位健康證明，指揮中心要求除出入醫院、長照機構，需查驗疫苗接種卡（小黃卡）或數位健康證明，出入八大行業的部分娛樂場所也需查驗。</p> <p>民眾現在可至衛福部網站的簽發平臺，通過身分驗證後線上申請數位新冠病毒數位證明，可供申請的數位證明有兩種：疫苗接種數位證明、檢測結果數位證明，可儲存在手機、平板電腦，或是將數位證明列印出來，當前往需要查驗的場所時，即可出示數位證明上的QR Code供查驗，查驗結果分為綠、黃、紅三種顏色，綠色代表查驗疫苗接種、病毒檢測、康復證明通過，黃色代表不確定，紅色代表查驗不通過，如疫苗接種劑數不足、病毒檢測過期等等。</p> <p>指揮中心強調，民眾出入需要查驗的場所，可選擇使用紙本的小黃卡、數位健康證明，或是健保快易通App供查驗。另外，數位健康證明平臺也開放API讓其他具有實名制功能的App介接，讓第三方App也能成為數位健康證明的載具。</p> <p>中央開放數位新冠病毒健康證明後，據了解，新北市為確保校園健康環境，計畫對進出校園的不特人士，要求查驗小黃卡或健康證明，臺北市也準備研擬擴大查驗場所，初期以公有市場及公共場所為主。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MareNostrum5 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>歐盟擬以1.5億歐元打造新超級電腦，可望成為全球第2</strong></span></p> <p>全球超級電腦競爭激烈，歐洲高效能運算協會（Euro HPC JU）近期公開一份招標文件，將採購pre-exascale運算等級超級電腦，這座暫時命名為MareNostrum5的超級電腦，根據招標文件的說明，MareNostrum5至少205Petaflops，並將採用潔淨能源及熱能再而用技術。以2021年11月全球500大超級電腦排名，可望擠下2、3名，僅次於目前全球排名第1位的富士通超級電腦富岳（Fugaku）。</p> <p>未來新的超級電腦將座落於西班牙巴塞隆納的超級運算中心，用於醫藥研發、疫苗開發、病毒擴散模擬，以及AI、大數據分析，同時也會支援傳統HPC應用，例如氣候模擬、工程、材料科學等科學研究用途。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 桃園市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>桃園市政府導入國際公有雲業者的混合雲架構</strong></span></p> <p>桃園市政府近期開始導入混合雲架構，與國際公有雲業者合作採用混合式超融合基礎架構改造機房，未來國際公有雲若落地臺灣後，可連到來國際公有雲，藉此打造現代化的資料倉儲，集中各機關的資料，打造市政儀表板。</p> <p>為推動智慧城市，桃園市政府近年來部署空氣盒子、智慧路燈，或是部署感測器，以偵測道路積水情形，隨著IoT物聯網裝置的大量部署，蒐集大量封市物聯網資料、應用分析變得更為重要，因此桃園市政府期望導入混合雲架構，透過標準化的蒐集整合各方資料，建立資料倉儲，分析數據打造市政儀表板，並開放部分市政資料供民眾使用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大數據中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧城市 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>臺北市正式啟用大數據中心</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM.jpg" style="width: 600px; height: 450px;" /></p> <p>隨著智慧城市發展，為提升市政效率需要蒐集、分析大量數據，臺北市去年悄悄建立一支大數據分析團隊，針對市政議題需求進行大數據分析、應用，今年1月臺北市政府正式啟用臺北大數據中心，該中心結合臺北市資訊局的數據治理中心團隊，並有一個大型會議室，搭配大型橫幅投影幕，呈現北市數據整合及深度分析結果，供大數據中心團隊和北市府局處合作，進行市政議題的深度數據分析。</p> <p>臺北大數據中心有兩大任務，針對特定市政議題進行深度數據分析，以及綜整跨領域市政資料打造城市運行儀表板。經過一年左右的運作，現已有部分數據分析應用成果，例如在深度數據分析方面，大數據中心和交通局合作，依據民眾叫車、搭乘計程車起迄點及時間，進行數據分析提供計程車招呼點的優化建議。</p> <p>大數據中心也匯整跨領域資料，以整合即時城市運行資訊，打造城市運行儀表板，例如整合確診者資料、防疫旅館數、聯合醫院病床數、北市公共場所人流的疫情儀表板；或是在視覺化的地圖中，整合老舊建築、消防、社會住宅等資料的都市發展相關儀表板。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">美國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國稅局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉部辨識 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>美國國稅局擬要求線上服務使用者需進行人臉辨識</strong></span></p> <p>政府服務走向線上，為確保使用者的身分安全，美國國稅局（Internal Revenue Service, IRS ）準備在今年夏天開始採用一套新做法，要求IRS入口網站的使用者必需建立ID.me帳號，IRS宣稱新措施將讓既有用戶有一新的體驗，今年夏天將不再需要使用IRS的帳號及密碼，取而代之的是使用ID.me帳號。</p> <p>為了建立ID.me帳號，IRS的使用者需要上傳文件資料，例如駕照或護照資料，同時利用電腦或手機上傳一段自拍影片。IRS表示，用戶建立ID.me帳號後，不只能使用IRS的服務，也能使用整合ID.me的其他美國政府機關服務。</p> <p>成立於2010年的ID.me專門提供電商平臺用戶的網路身分認證服務，IRS將與ID.me合作，未來IRS入口網採用ID.me帳號，以讓使用者產生、瀏覽支付紀錄，存取用戶的稅務紀錄。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臺南市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 儀表板 </span></strong></span></strong></p> <p><span style="font-size:22px;"><strong>臺南市再現確診者足跡，市府重啟COVID-19儀表板</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DASHBOARD.jpg" style="width: 600px; height: 410px;" /></p> <p>臺南市政府去年5月推出臺南COVID-19儀表板，讓市民能快速瞭解臺南市的確診案例、臺南地區確診者足跡、境外確診數，隨著去年疫情稍緩，市府暫時關閉儀表板，由於近期因國內疫情再次升溫，各縣市臺南市相隔4個月再次出現確診者及相關足跡，市府重新啟用臺南COVID-19疫情儀表板，對外公開確診者足跡，以及市府相關的防疫資訊。</p> <p>目前透過該儀表板，民眾可觀察確診案例在臺南的足跡，進一步點擊該足跡點，可以看到確診者在該足跡停留的時間及使用的交通工具，讓相近時間到過該地點的民眾提高警覺。臺南市政府表示，市府團隊持續更新足跡，讓市民藉此對疫情最新發展保持高度警戒。</p> <p> </p> <p>圖片來源／衛福部、臺北市政府、臺南市政府</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1. 臺北市南港、內湖3路段靠智慧車柱自動時段性禁停違規停車</strong></p> <p><strong>2. 美國FCC以142億美元推動低收入家庭連網計畫</strong></p> <p><strong>3. 新北市擴大科技執法，淡水地區採用AI攝影機抓違停</strong></p> <p>資料來源：iThome整理，2022年1月</p> <p> </p> </div></div></div>
2022/1/25 17:57作者蘇文彬https://www.ithome.com.tw/news/149062
俄羅斯封鎖Tor網路，Tor提出上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管俄羅斯通訊、資訊及大眾媒體的Roskomnadzor，在去年12月封鎖了Tor洋蔥網路專案，本周專門保護使用者數位權利的俄羅斯非營利組織<a href="https://roskomsvoboda.org/post/rks-with-tor/" target="_blank">Roskomsvoboda宣布</a>，已與該專案合作，將代替Tor提出上訴。</p> <p>Tor是個自由的開源專案，它透過由志願者組成的網路中繼站來藏匿使用者的真正位址，達到匿名化通訊的目的，目前全球已有超過6,000個中繼站。</p> <p>俄羅斯的網路審查並不若中國嚴重，該國主要禁止兒童色情、毒品或是違反資料保存與監控法令的網站，但俄羅斯不僅要求所有ISP業者必須封鎖這些黑名單網站，也要求VPN業者封鎖相關網站，偶爾也會因為網路服務不服從當地政府存取用戶資料或將內容下架的要求，而祭出封鎖或減速的手段，例如Telegram與Twitter。</p> <p><a href="https://blog.torproject.org/tor-censorship-in-russia/" target="_blank">根據Tor的說明</a>，自從去年12月1日起，俄羅斯境內的某些網路服務提供商就開始封鎖存取Tor的流量，且Roskomnadzor則於12月7日發布命令，正式封鎖了torproject.org，這使得<a href="https://support.torproject.org/censorship/censorship-7/" target="_blank">Tor疾呼用戶加入Tor Bridge的行列</a>，透過類似中繼站的大量配置，以預防Tor網路遭到全面的封殺。</p> <p>本周捍衛使用者數位權利的俄羅斯非營利組織Roskomsvoboda則表示，已於Tor達成協議，將由Roskomsvoboda代表Tor向俄羅斯法院提出上訴，指出Roskomnadzor的命令違反了該國自由提供、接收、傳播訊息以及保護隱私的憲法權利，而且是在缺乏Tor代表參與的情況下就被決定，侵犯了Tor的程序權利。</p> <p>Tor的被禁之所以受到Roskomsvoboda的大力支援，有很大的原因來自於俄羅斯為Tor專案的第二大用戶，平均每天有超過30萬名俄羅斯用戶存取Tor網路，約占Tor總用戶數的15%。</p> </div></div></div>
2022/1/25 14:29作者陳曉莉https://www.ithome.com.tw/news/149056
Control Web Panel漏洞將允許駭客針對Linux伺服器展開遠端程式攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://octagon.net/blog/2022/01/22/cve-2021-45467-cwp-centos-web-panel-preauth-rce/" target="_blank">資安業者Octagon Networks近日公開了</a>兩個Linux開源面板Control Web Panel（原名CentOS Web Panel，CWP）的安全漏洞，駭客若串連這兩個漏洞將可對Linux伺服器執行遠端程式攻擊，不過，<a href="https://control-webpanel.com/changelog" target="_blank">CWP的維護者已於本月中旬修補了相關漏洞</a>。</p> <p>CWP為一採用網頁介面的控制面板，多半用來部署及管理網頁代管環境，支援CentOS、Rocky Linux、Alma Linux及Oracle Linux等平臺，估計全球至少有20萬臺伺服器採用CWP。</p> <p>發現CVE-2021-45467及CVE-2021-45466這兩個CWP漏洞的，為Octagon的研究人員Paulos Yibelo，其中，CVE-2021-45467屬於文件包含漏洞，將允許駭客註冊原本受到限制的API金鑰，CVE-2021-45466則為文件寫入漏洞。</p> <p>Octagon公布了相關漏洞的開採程序，他們先傳送一個空字符（Null Byte）的文件包含酬載以添增惡意的API金鑰，再藉由CVE-2021-45466漏洞以金鑰寫入文件，最後透過CVE-2021-45467漏洞於第一個步驟中包含剛寫入的文件，即可成功執行遠端程式攻擊。</p> <p>Octagon也打算在大多數的伺服器都進行版本更新之後，釋出完整的概念性驗證攻擊程式。</p> </div></div></div>
2022/1/25 14:42作者陳曉莉https://www.ithome.com.tw/news/149058
阻止俄國軍隊過境，駭客加密白俄羅斯鐵路系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群駭客本周加密了白俄羅斯鐵路局的部份伺服器，以防止俄羅斯侵略烏克蘭的軍隊移防行動。</p> <p><a href="https://twitter.com/cpartisans/status/1485615555017117700" target="_blank">名為白俄羅斯網路游擊隊的駭客組織表示</a>，在總統盧卡申科（Lukashenka）的命令下，白俄羅斯鐵路局允許俄羅斯軍隊進入該國境內。為阻止其行動，駭客加密了鐵路局的伺服器、資料庫及工作站。<a href="https://twitter.com/cpartisans/status/1485618881557315588" target="_blank">他們要求</a>當局釋放50名急需醫療協助的政治犯，以及俄羅斯軍隊退出白俄羅斯領土。</p> <p>但為免發生緊急事件，這次加密行動並不影響鐵路局的自動及安全系統。</p> <p>白俄羅斯總統盧卡申科自1994年當選總統後即掌權迄今，被稱為「歐洲最後一個獨裁者」。2020年盧卡申科被懷疑再度作票當選，民眾示威抗議最後遭其強力鎮壓。盧卡申科政權長期在位與俄羅斯政府支持有關。</p> <p>近來俄羅斯與烏克蘭情勢緊張，大戰一觸即發，本月俄羅斯與白俄羅斯聯合軍演中，俄國軍隊獲准進入白俄羅斯境內。外界憂心白俄羅斯將在俄烏衝突中，擔任側翼攻擊的角色。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/" target="_blank">BleepingComputer也貼出</a>這群駭客經由Telegram張貼作為佐證的圖片，包括白俄羅斯鐵路局內部系統，包括Veenam備份系統、Windows網域控制器、儲存系統，以及網路訂票系統錯誤訊息等螢幕擷圖。</p> <p><a href="https://www.rw.by/corporate/press_center/news_of_passengers/2022/01/vnimaniyu-passazhirov_24012022/" target="_blank">白俄羅斯鐵路局網頁公告</a>，由於技術問題，鐵路網頁服務及電子旅行文件發送系統暫時無法使用。鐵路局目前正在搶修以回復系統。</p> <p>去年11月盧卡申科主持的一家管理學苑網路，也遭到駭客入侵加密而斷線。</p> </div></div></div>
2022/1/25 15:02作者林妍溱https://www.ithome.com.tw/news/149059
澳洲總理WeChat帳號被接管後賣給中國公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲媒體<a href="https://www.smh.com.au/politics/federal/liberal-mps-pledge-to-boycott-wechat-after-pm-blocked-from-platform-20220124-p59qqj.html" target="_blank">Sydney Morning Herald</a>、<a href="https://www.abc.net.au/news/2022-01-24/scott-morrison-wechat-account-chinese-businessman/100778812" target="_blank">ABC</a>等報導，澳洲總理Scott Morrison的微信（WeChat）服務帳號遭封鎖接管半年後，賣給了中國一家運動博彩投資的公司。</p> <p>報導指出，Morrison的微信帳號擁有7.5萬人追蹤，原本是用於發布和中國使用者相關的政策及COVID-19消息，但去年7月Morrison突然被拒絕存取，自此就無法再使用。本月稍早澳洲政府接獲微信通知，該帳號遭到改名為「澳洲中國人新生活」（Australian Chinese new life）並移交給新的持有人。</p> <p>消息人士指出，澳洲政府1月曾去信微信公司，及微信公司母公司騰訊執行長馬化騰要求歸還帳號，但皆石沈大海，因此澳洲政府懷疑去年並非被駭，而是背後有中國政府勢力介入。</p> <p>新的持有人是一間中國公司名為福州985（Fuzhou 985 Information Technology）。這家公司主要持股人為廈門銀祥集團，該公司註冊的網站主要經營英超足球及其他運動博奕業務，但在中國屬於非法業務。</p> <p>福州985是在去年10月取得Morrison的微信帳號。該公司執行長黃愛鵬（Huang Aipeng，譯音）否認有政治勢力介入。<a href="https://www.abc.net.au/news/2022-01-24/scott-morrison-wechat-account-chinese-businessman/100778812" target="_blank">他對媒體指出</a>他不知道Morrison是誰，該公司純粹是看中Morrison帳號的大量關注人數而從一位紀姓人士手上買下這個帳號，打算近日將原本內容刪除後，用這個帳號進行宣傳，一切交易都是純商業考量。</p> <p>黃愛鵬不願透露他花了多少錢取得這帳號，但拒絕歸還，因為他表示帳號移轉已經獲得微信確認。</p> <p>由於今年澳洲將舉行國會大選，時機敏感，數名澳洲國會議員揚言將杯葛微信，直到微信解釋何以擅自封鎖Morrison存取帳號。</p> </div></div></div>
2022/1/25 14:08作者林妍溱https://www.ithome.com.tw/news/149054
Meta打造全球最快AI超級電腦，預計年中完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/ai-rsc" target="_blank">Meta昨（24）日宣布正在打造全球最快AI超級電腦</a>，志在用以訓練數兆參數的大型模型，加速實現元宇宙（metaverse）願景。</p> <p>名為AI Research SuperCluster（RSC）的超級電腦預計2022年中打造完成。Meta執行長Mark Zuckerberg表示目前RSC是全球運行中最快AI超級電腦之一，但等建造完成時將成為全球最快。</p> <p>目前Meta研究人員已經用RSC來訓練自然語言處理（NLP）及電腦視覺（computer vision）研究使用的大型模型。他們希望RSC未來可以處理數兆參數的模型。</p> <p>Meta表示由於有些實驗要進行好幾個星期，且涉及數千個GPU，因此RSC架構必須極穩定，此外又必須好操作以支援研究人員進行各種AI模型的訓練。</p> <p>RSC由數個運算節點組成，並以高速網路串連而成。Meta表示RSC目前已包含760個Nvidia DGX A100系統節點，總和達6,080顆GPU。和Meta現有訓練系統相較，早期標竿測試顯示RSC的電腦視覺作業運算速度提升20倍，執行Nvidia Collective Communication Library（NCCL）的速度快9倍有餘，而訓練大型NLP模型的效能則提升3倍。這表示一個擁有數百億參數的模型訓練完成時間，可以從過去的9個星期縮短為3周。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.2365-6/272600494_980161572916475_3328327650672559297_n.jpg?_nc_cat=102&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=iNrIHMF-3TIAX_PoKK0&_nc_ht=scontent.ftpe8-4.fna&oh=00_AT8rmWTkHpN2sLgWa8oWDn4zSVClWKDhbmGgb0dsUPS4qw&oe=61F43D9C" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>其他規格方面，RSC每座DGX節點透過Nvidia Quantum 1600 Gb/s InfiniBand 二層Clos網路架構串連，以減少網路超載（oversubscription）問題。RSC儲存系統將採用175 PB的Pure Storage FlashArray、46 PB的Penguin Altus快取儲存及10 PB Pure Storage FlashBlade。</p> <p>等年中打造完成時，RSC將搭載1.6萬顆GPU，而混合精度運算（mixed precision compute）效能達到將近5 Exaflops，使其成為全球最快超級電腦AI。RSC的快取及儲存系統設計，未來計畫可提供16TB/s頻寬及1 Exabyte儲存容量。</p> <p>目前RSC已經和去年5月美國國家能源研究科學計算中心（National Energy Research Scientific Computing Center，NERSC）揭示的<a href="https://www.ithome.com.tw/news/144750" target="_blank">勞倫斯伯克利國家實驗室的AI超級電腦Perlmutter</a>相當，後者採用了6,159顆Nvidia A100 GPU。</p> <p><a href="https://www.hpcwire.com/2022/01/24/metas-massive-new-ai-supercomputer-will-be-worlds-fastest/" target="_blank">HPCwire估計</a>，據現行<a href="https://www.top500.org/lists/top500/2021/11/highs/" target="_blank">Top500超級電腦排名</a>，Meta RSC第一階段約為第4名，完成後浮點運算速度約為227 petaflop/s，可望躍居全球第2快。</p> </div></div></div>
2022/1/25 12:21作者林妍溱https://www.ithome.com.tw/news/149052
OpenSea有臭蟲，讓駭客以低於市價的金額購入NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名於<a href="https://twitter.com/yakirrotem/status/1485559883890049029" target="_blank">去中心化金融平臺Orbs任職的軟體工程師Rotem Yakir</a>，以及英國的<a href="https://www.elliptic.co/blog/bug-allows-nfts-worth-over-1-million-to-be-stolen" target="_blank">區塊鏈分析業者Elliptic</a>，在本周一（1/24）揭露了全球最大非同質化代幣（Non-Fungible Token，NFT）市集OpenSea含有一個臭蟲，允許駭客透過OpenSea API，以低於市價的價格購入該平臺上所銷售的NFT，目前有3名駭客已成功地以不到15萬美元的價格，購入市值超過100萬美元的NFT。</p> <p>OpenSea現為全球最大的NFT交易市集，目前集結了超過2,400萬個NFT作品，<a href="https://www.ithome.com.tw/news/148738" target="_blank">上個月完成的C輪增資顯示該平臺的市值已達到133億美元</a>，足足是去年7月的8倍。</p> <p>不過，Yakir本周踢爆，OpenSea含有一個毀滅性的漏洞，它允許使用者在更新NFT產品列表及價格時不必刪除舊有的資料，使得這些舊資料依然保留於區塊鏈上，而讓駭客得以透過OpenSea API以舊有價格買下該NFT，並快速轉手，而Elliptic則發現，已有至少3名駭客在24小時內開採此一臭蟲。</p> <p class="rtecenter"><a href="http://twitter.com/yakirrotem/status/1485559883890049029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0125-opensea-600-1-PNG.png" style="width: 600px;" /></a></p> <p>Elliptic則說，其實幾周前就傳出此一OpenSea臭蟲，但一直到本周一才看到實際的開採行動，當天一早就有一名駭客以0.77個以太幣（1,800美元）買下了Bored Ape Yacht Club NFT #9991 ，但Bored Ape Yacht Club家族的NFT售價至少都要19.8萬美元左右，而且該名駭客很快就以84.2個以太幣（19.6萬美元）轉售該NFT，馬上就獲利19.4萬美元。</p> <p class="rtecenter"><img alt="" src="https://www.elliptic.co/hs-fs/hubfs/Screenshot%202022-01-24%20at%2012.53.43.png?width=1376&name=Screenshot%202022-01-24%20at%2012.53.43.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Elliptic</span></p> <p>另外一名駭客也在周一以13.3萬美元買下了7個NFT，並快速以價值93.4萬美元的以太幣將它們拋售，數小時之內就將相關的以太幣透過Tornado Cash服務混幣，以避免遭到追蹤，不到一天就獲利80萬美元。</p> <p>還有一名駭客是以1.06萬美元的價格買下了Mutant Ape Yacht Club NFT，數小時後就將它以3.48萬美元脫手。</p> <p>上述駭客在一天之內，便以不到15萬美元的成本，利用OpenSea的臭蟲獲利近100萬美元。</p> <p>至截稿前OpenSea尚未公開回應此事，而Yakir則建議OpenSea平臺的使用者應儘快將自己擁有的NFT，轉移到沒有任何舊產品列表的新錢包中。</p> </div></div></div>
2022/1/25 13:12作者陳曉莉https://www.ithome.com.tw/news/149053
蘋果程式內購買政策被荷蘭判罰500萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在荷蘭消費者與市場管理署（Netherlands Authority for Consumers and Market，ACM）的要求下，<a href="https://www.ithome.com.tw/news/148939" target="_blank">於今年1月開放</a>荷蘭的約會程式使用第三方的程式內購買（IAP）機制。然而，<a href="https://www.acm.nl/en/publications/apple-fails-satisfy-requirements-set-acm" target="_blank">本周ACM指出</a>，由於蘋果並未充分滿足ACM的要求，代表蘋果必須支付500萬歐元的罰款，而且若一直不符合規定，每周都必須支付500萬歐元的罰款，上限可至5,000萬歐元。</p> <p>ACM去年針對蘋果所提出的要求有兩大重點，一是App Store中的約會程式開發者，必須能夠使用蘋果以外的支付系統，二是開發者必須具備將使用者導至程式外支付系統的能力。</p> <p>儘管蘋果已經在上個月允許相關的開發者採用其它支付系統，但ACM認為，蘋果還是沒能調整相關的情況，目前許多約會程式開發者只能表達它們對採用外部支付系統的「興趣」，而未能真的使用其它的支付系統。此外，ACM也批評蘋果似乎強迫開發者擇一選擇，或在程式內採用第三方支付系統，要不就導至程式外的支付系統，但ACM的態度卻是開發者應該有同時採用兩種的權利。</p> <p>總之，蘋果只是簡單地開放開發者申請使用其它支付系統，顯然未能滿足ACM，可能要改善其流程，大開方便之門才能避免持續遭罰。</p> </div></div></div>
2022/1/25 11:55作者陳曉莉https://www.ithome.com.tw/news/149051
Amazon GuardDuty現能更全面偵測EC2執行個體憑證外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-guardduty-enhances-detection-of-ec2-instance-credential-exfiltration/">AWS更新威脅偵測服務Amazon GuardDuty</a>，現在能夠檢測EC2執行個體憑證被另一個AWS帳戶使用的情況，並且向用戶發出不同等級的警示。目前此一新功能已經在所有AWS地區提供，用戶不需要額外支付費用，當AWS帳戶啟用GuardDuty服務，則預設會啟用此新功能。</p> <p>Amazon GuardDuy可以持續監控惡意活動，或是未經授權的行為，保護用戶的AWS帳戶、工作負載，以及儲存在S3中的資料。GuardDuty能夠分析事件、追蹤趨勢、模式，找出具有潛在問題的各種異常。而EC2執行個體憑證則是透過EC2後設資料服務，提供給執行個體上所執行的應用程式，一個臨時的憑證。</p> <p>攻擊者可能入侵用戶EC2執行個體上運作的應用程式，並設法存取該執行個體的後設資料服務，如此攻擊者便能夠擷取憑證，而這些憑證具有用戶在IAM角色定義，附加到執行個體上的權限，因此根據應用程式功能不同，攻擊者有機會攻擊S3或是DynamoDB來竊取資料，啟動或是終止EC2執行個體，甚至是創建新的IAM用戶或是角色。</p> <p>GuardDuty具備能夠偵測從AWS外部IP，存取這類憑證的情況，但是更聰明的攻擊者，可能會使用另一個AWS帳號，來進一步隱藏活動，以便用GuardDuty偵測範圍之外的方式活動。</p> <p>不過，AWS服務API通訊的來源IP地址，與EC2執行個體IP地址不同，可能有其正當理由，考慮到流量路由到一個或是多個VPC的複雜網路拓墣，像是AWS Transit Gateway或AWS Direct Connect。而且多區域配置或是不使用AWS Organizations，都會使得偵測憑證使用的AWS帳戶，變得非常困難。</p> <p>不少大型企業使用自己的解決方案，來偵測和維護這類安全漏洞，但AWS提到，這類型解決方案不容易建置和維護，僅有少數企業具有這樣的資源。因此AWS現在更新GuardDuy，使其能夠偵測來自AWS網路內，使用其他AWS帳戶使用憑證的情況，簡化解決問題的方法。</p> <p>現在當GuardDuty偵測到EC2執行個體憑證遭濫用時，便會生成警示，當從附屬帳戶使用憑證時，警示會被標記為中等嚴重性，否則將會出現高嚴重性警示，AWS提到，附屬帳戶可能是由同一個GuardDuty管理員帳戶監控的帳戶，這些帳戶可能屬於組織，也可能並非組織的一部分。</p> </div></div></div>
2022/1/25 11:03作者李建興https://www.ithome.com.tw/news/149046
資料調度平臺Apache Hop現成為ASF頂級專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料工程與資料調度平臺<a href="https://blogs.apache.org/foundation/entry/the-apache-software-foundation-announces80">Apache Hop，現在已經發展成熟，離開Apache孵化器</a>，成為Apache軟體基金會（Apache Software Foundation，ASF）頂級專案，供用戶靈活地利用後設資料調度資料，進行資料工程和資料整合工作負載。</p> <p>Apache Hop可以說是歷史悠久的資料工具，該專案起源至20年前ETL（Extract-Transform-Load）平臺Kettle，在經過數年重構後，於2020年進入Apache孵化器。Apache Hop的特別之處，在於能讓非資料專業人員，也能夠簡單地操作資料，不需要編寫程式碼，即可建構可擴展的資料解決方案。</p> <p>而資料專業人員使用Apache Hop，則可以更快速地促進資料使用，以及後設資料調度等工作，並提供更好的測試，支援DevOps最佳實踐。Apache Hop提供以Java為基礎的視覺設計程式、伺服器和配置工具，讓用戶簡單地設定、部署並維護資料工作管線。</p> <p>Apache Hop可用於本地、雲端、裸機、容器和物聯網環境等各種場景，並支援在Windows、Linux和macOS上執行。官方提到，原本使用Kettle的金融、零售等數千家組織，都已經開始往Hop移動，不少甚至已經升級完成。</p> </div></div></div>
2022/1/25 11:08作者李建興https://www.ithome.com.tw/news/149047
合勤指僅一款裝置受Log4j漏洞影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149002" target="_blank">上周傳出</a>合勤網路設備遭到Mirai惡意程式開採Log4j漏洞。<a href="https://www.zyxel.com/us/en/support/Zyxel_security_advisory_for_Apache_Log4j_RCE_vulnerability.shtml" target="_blank">合勤本周說明</a>，僅有一款裝置受到影響。</p> <p>上星期CDN（Content Delivery Network）及安全廠商Akamai<a href="https://www.akamai.com/blog/security/mirai-botnet-abusing-log4j-vulnerability" target="_blank">發現</a>殭屍網路程式Mirai感染合勤的網路設備。在蒐集到的惡意程式樣本中，研究人員發現1隻樣本包含以Zyxel命名的檔案。另一隻樣本則包含專門開採Log4j的功能。</p> <p>研究人員推測Zyxel（合勤）遭到駭客特別鎖定攻擊，理由是隨後<a href="https://www.zyxel.com/us/en/support/Zyxel_security_advisory_for_Apache_Log4j_RCE_vulnerability.shtml" target="_blank">合勤發布全球安全公告</a>，說明自家產品受Log4j漏洞影響。</p> <p>合勤表示得知Apache Log4j的遠端程式碼執行（Remote Code Execution，RCE）漏洞，但該公司調查後，證實所有產品線中僅NetAtlas Element Management System（EMS）受到影響，包含最危險的CVE-2021-44228，以及CVE-2021-45105，分屬於CVSS 10.0及9.8的遠端程式碼執行（RCE）及阻斷服務（DoS）漏洞。</p> <p>合勤已在去年12月20日先釋出Hotfix。合勤也呼籲用戶安裝最新可用的軟體，正式更新V02.02.13(AAVV.221)C0版本預計今年2月底釋出。</p> <p>合勤網路裝置之外，<a href="https://twitter.com/yo_yo_yo_jbo/status/1483950984648806402" target="_blank">上周微軟也發現</a>，2020年底遭俄國駭客Nobelium借道感染上萬家政府及企業用戶的SolarWinds，它的FTP伺服器軟體Serv-U也成為Logj4攻擊的對象。</p> </div></div></div>
2022/1/25 11:20作者林妍溱https://www.ithome.com.tw/news/149048
紅帽正在實驗將OpenShift推向邊緣裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對邊緣使用案例，紅帽（Red Hat）開始了一項探索性專案<a href="https://next.redhat.com/2022/01/19/introducing-microshift/">MicroShift</a>，目的是要建立一個用於現場部署，針對邊緣裝置特別開發的OpenShift版本，提供工作負載的可移植性和一致的管理體驗。</p> <p>OpenShift是針對雲端，或類似資料中心環境所設計的Kubernetes容器應用程式平臺，OpenShift能夠用來部署雲端原生應用程式，以及管理Kubernetes叢集、底層作業系統和基礎設施等生命周期。OpenShift針對雲端的需求和條件進行了最佳化，包括跨Kubernetes、作業系統和機器調度變更等自我管理功能。</p> <p>紅帽提到，部署在遠端邊緣位置的系統，通常需要使用裝置管理軟體，來對系統進行生命周期管理，而他們想要尋求新的邊緣系統管理方法，揉合Kubernetes容器應用程式平臺的方便性，同時使用裝置管理軟體來管理作業系統和底層硬體。</p> <p>現場部署的位置通常非常偏遠，在許多用例中，由於運算和儲存裝置需要更接近用戶，因此安裝在像是車輛中，以執行自動駕駛人工智慧演算法，或是需要遠端監控的石油和天然氣工廠，甚至是遠在太空的人造衛星。</p> <p>MicroShift主要針對具有低功耗CPU和數GB記憶體的嵌入式系統，這些系統會部署在惡劣的環境中，必須適應包括網路連接不穩等情況，因此需要針對網路條件進行最佳化，或是最大程度降低資源使用等。</p> <p>現場部署的裝置通常是效能、耗電和成本較低的單板電腦，具有較低的記憶體和CPU，這些裝置由用戶的中央IT集中配置，並運往遠端站點，像是裝有5G天線的機櫃，或是製造工廠等地。遠端站點工作人員的安裝工作，就僅是將裝置接上電源和網路，這些裝置被要求隨插即用，不需要控制臺、鍵盤或是專業人員，裝置必須要能自動註冊，並且在必要的時候回退更新到先前狀態，自動從故障中恢復。</p> <p>而MicroShift則是紅帽提出的解決方案，他們想讓MicroShift成為一個應用程式，用戶可以選擇將其部署到邊緣裝置上，該裝置將會執行RHEL等針對邊緣最佳化的作業系統，並透過像是OpenShift中的ACM（Advanced Cluster Management），將裝置作為MicroShift叢集管理。</p> <p>簡單來說，MicroShift是一個將OpenShift核心元件重新打包的二進位檔案，在沒有壓縮下，檔案大小只有160 MB，由於可執行檔相對較小，能夠與systemd搭配使用，並且具備數秒鐘的快速啟動能力。同時，MicroShift還能極簡化包括更新和回退等動作，並消除叢集Operator跨元件調度的需要，所以也大幅減少MicroShift的資源需求。</p> <p>MicroShift針對像是汽車、工廠產線和衛星等邊緣運算用例設計，但是因為其占用的資源很少，因此開發人員也可以在筆電上執行，用來編寫、測試和部署雲端原生應用程式。MicroShift現在可以在macOS和Windows 10上執行，支援ARM64以及RISC-V CPU架構。</p> </div></div></div>
2022/1/24 23:33作者李建興https://www.ithome.com.tw/news/149040
SUSE開源端到端容器安全平臺NeuVector
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SUSE宣布將其三個月前併購而來的容器安全平臺<a href="https://www.suse.com/c/neuvector-open-source/">NeuVector</a>開源，目前相關程式碼庫已經可供用戶在GitHub上的儲存庫中取用，官方提到，透過開源原本專有的技術，能夠證明SUSE的開源文化，以及落實SUSE提供開放、可互通和創新解決方案的承諾。</p> <p>NeuVector為安全和法遵解決方案，目前已經被許多大公司採用，官方提到，從他們三個月前併購以來，就一直在考慮開源NeuVector，並且研究技術以及法律相關的問題。開源NeuVector之後，SUSE認為NeuVector將會成為開源社群的首選技術。</p> <p>NeuVector是目前第一個端到端開源容器安全平臺，也是唯一對容器化工作負載，提供企業級零信任安全的解決方案。NeuVector容器映像檔可以安裝在任何Kubernetes叢集上，或是也可以從Kubernetes管理平臺Rancher應用程式目錄中安裝，官方提到，在未來，Rancher和NeuVector會有更高層級的整合。</p> <p>NeuVector將會在Rancher中，提供最新的容器安全支援，官方認為，這個決定將有助於推動Kubernetes安全領域生態系的創新，從原本的閉源解決方案轉向開源。</p> <p>容器安全是建置和執行Kubernetes應用程式的重要需求，NeuVector專案讓Rancher用戶能夠解決應用程式生命周期的主要安全用例，包括提供深度網路可見性、風險分析、威脅偵測和事件回應等功能，並將成為Rancher進階叢集安全功能的一部分。</p> <p>一旦SUSE將NeuVector完全整合到Rancher中，在本地端、雲端和邊緣任何經CNCF認證的Kubernetes版本，都能夠獲得NeuVector在整個應用程式生命周期，對生產基礎設施和工作負載，提供Kubernetes原生安全性。</p> </div></div></div>
2022/1/25 00:15作者李建興https://www.ithome.com.tw/news/149042
影響軟體交付績效三要素
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/10601shu_zhai_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">旗標出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2013年起，Nicole Forsgren、Jez Humble與Gene Kim開始與Puppet公司的團隊合作，一起準備《2014年DevOps境況報告》。陳述如何以可預期的方式，協助科技交付價值給員工、企業乃至於客戶。</p> <p>經年來，他們的研究已經訪查各種不同的技術與精益（Lean）管理實踐對軟體交付效能，還有團隊文化的影響。然而，在本專案的早期，他們尚未直接研究過領導統御對DevOps實踐的種種影響。</p> <p>本文會展示他們的種種發現，包括領導與主管們在技術轉型中所扮演的角色，以及勾勒出一些領導們可以採取的步驟，以改善他們自己團隊的文化。</p> <p><span style="font-size:28px;"><strong>主管的角色</strong></span></p> <p>Nicole等人發現，在任何的技術轉型中，領導們都扮演了至關重要的角色。當這些領導們是主管時，他們可能在影響變革中有著更重大的角色。</p> <p>主管的責任在人，且通常還有預算與資源。最佳狀況下，主管也是領導，並且肩負稍早勾勒出那些轉型的領導統御之種種特徵。</p> <p>在銜接業務的策略目標與其團隊工作之間，主管尤其扮演著關鍵角色。藉由創造一種讓員工感到安全的工作環境、投資於發展人的能力、以及掃除工作上的障礙，主管們在改善其團隊績效上可著墨之處甚多。</p> <p>他們也發現在DevOps的投資與軟體交付績效高度相關。當涉及文化時，藉由在其團隊中付諸特定DevOps實踐，以及藉由高調地投資在DevOps中與其員工的專業發展，主管們是能改善一些情況的。</p> <p>主管們也可藉由採取措施讓部署不是那麼折磨，促成在軟體交付績效中大大的改善。最後但同樣重要的是，主管應該讓指標更顯眼，而且要煞費苦心來將這些指標與組織目標校準，並應該更加授權給員工。知識就是力量，而主管應該賦權給那些具備知識的人。</p> <p>有人可能會捫心自問：挹注DevOps倡議以及投資團隊會是怎麼回事？其實有數種方式讓技術領導可以投資其團隊：</p> <p>●確保組織中的每個人可以取用現有的資源，並創造空間與機會以供學習與改進。</p> <p>●設立專門的訓練預算，且確保大家都知悉；再者，讓員工自由去選擇他們有興趣的訓練。這種訓練預算可能包括白天上班時專用的時間，以利用組織中已有的資源。</p> <p>●鼓勵員工參加技術研討會，至少一年一次，並且為整個團隊總結所學。</p> <p>●設立內部黑客日（hack day，也有稱作創意日的），屆時跨職能團隊（cross-functional team）可以聚在一起合作一個專案。</p> <p>●鼓勵團隊內部的「瞎忙日」（yak day），屆時大家可以聚在一起對付技術債（technical debt）。這些都是很棒的活動，因為技術債鮮少會被排定優先順序。</p> <p>●定期舉行內部DevOps小研討會。在研究中，Nicole等人看過組織運用經典的DevOpsDays格式而獲致成功，這格式結合了預先準備的演說與「開放空間」（open space），於此間參與者可以自行組織以提案並促進自己的議程。</p> <p>●給予員工專用的時間，比如20％或是某發布（release）之後的數天，以實驗新工具與技術，並分配預算與基礎設施給特殊的專案。</p> <p><span style="font-size:28px;"><strong>可以改善文化並支持您團隊的些許指點</strong></span></p> <p>當一個領導的真正價值是反映在他們如何增強其團隊的工作（進程暨成果）時，也許他們所能做到最有價值的工作會是：在他們所服事的實體（就是他們的團隊）之間培育及支持一種穩健的組織文化。這讓與其合作或效力的專家們能夠以最大化效用運作，為組織創造價值。</p> <p>以下會條列一些簡易的方式，讓主管們、團隊領導、甚至積極參與的從業人員能在其團隊中支持這樣的文化。研究顯示，有3件事物與軟體交付績效高度相關，並且促成了一種強健的團隊文化：跨職能協作、學習風氣、以及工具。</p> <p>藉以下幾點可將跨職能協作付諸實踐：</p> <p>●與其他團隊的對應人員建立信任。在團隊間建立信任感是最重要的事，而且一定要慢慢來。信任是建立在重然諾、開放式溝通、和即使處在緊張的情勢下也如預期行動令行禁止。如此一來，團隊將會能更有效地運作，而且這樣的關係會釋放一種訊號給組織：跨職能協作是被重視的。</p> <p>●鼓勵從業人員在部門間輪調。隨著管理員或工程師發展他們的技能時，可能會發現他們對不同部門的職位有興趣。這種橫向調動可能對兩造團隊都極其有價值。從業人員會帶著關於流程與挑戰的寶貴資訊到他們的新團隊，而當舊團隊的成員來接洽協作，就自然會熟悉的合作窗口。</p> <p>●積極地尋求、鼓勵並獎勵促進協作的工作。確保成功是可以複製（再現）的，並留意那些讓協作更順利的潛在因子。</p> <p>藉以下幾點可協助營造一種學習風氣：</p> <p>●創設一種訓練預算並在內部提倡之。藉著在正規教育機會背後置放資源，強調組織有多珍視學習的風氣。</p> <p>●確保團隊有資源積極參與非正規學習，並有空間探索新構想。學習通常發生在正規教育之外。有些公司，如3M與Google，已廣為人知會分一部分時間（各為15％與20％）出來，給目標明確的自由思考與探索業餘專案。</p> <p>●讓試誤是安全的。若失敗會被懲罰，那麼人們就不願嘗試新事物。把失敗當作是學習的契機，並舉行不咎責的事後檢討（blameless postmortem），以搞清楚如何改善流程與系統。這些都會讓人們對冒（合理的）風險感到自在，並幫助創建一種創新文化。</p> <p>●創造機會與空間以分享資訊。無論是創設每週的快閃演講（lightning talk，譯註：亦作閃電秀），還是提供資源給每月一次的午餐交流會（lunch-and-learn，譯註：一種邊吃邊學，氣氛輕鬆的交流會，也許會擦出不一樣的火花，因為這樣的學習沒有壓力），都要設立一個規律的機會節奏（cadence of opportunities，譯註：如跳恰恰或探戈一樣，一開始大家會矜持，有點放不開，需要給他們一些安全感讓他們一直嘗試，最後找到自己的節奏click，重點是全員參與），讓員工分享他們的知識。</p> <p>●藉著演示日（demo days）與論壇來鼓勵分享與創新。這會讓團隊分享彼此的創作，也讓團隊能慶祝他們的工作成果並互相學習。</p> <p>有效運用工具方面：</p> <p>●確保團隊可以選擇他們的工具。除非有好理由不這麼做，否則從業人員應該選擇他們自己的工具。若他們可以任意建造基礎設施與應用，他們會比較投入其工作。這是有資料證實的：工作滿意度的一個重大促成因素，在於員工是否感覺他們有工具與資源去從事他們的工作。在研究資料中也看到持續交付的預示因素：被授權選擇其工具的團隊會驅動軟體交付績效。若組織一定要將工具標準化，請確保採購與財務是根據團隊的利益行動，而非反其道而行。</p> <p>●讓監控成為當務之急。完善基礎設施與應用監控系統，並確保組織在搜集正確的服務資訊，且妥善運用那些資訊。這種由有效監控產生的可見度與透明度是無價的。在Nicole等人的調查中，積極主動的監控與績效及工作滿意度高度相關，並且這也是強健技術基礎的關鍵部分。</p> <p>儘管許多DevOps的成功故事，強調涉及技術團隊那極好的草根（grassroots）工夫，但經驗與研究顯示，技術轉型會從真正積極參與轉型的領導們得益，因為他們可以支持並放大其團隊工作成果。這樣的支持會順利實現為業務（生意）交付價值，因此組織應該放聰明點，將發展領導統御發展看作是對其團隊、其技術與其產品的投資。（摘錄整理自《ACCELERATE：精益軟體與DevOps背後的科學》第11章）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%9C%961_ACCELERATE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%97%97%E6%A8%99%E5%87%BA%E7%89%88.png" style="width: 278px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">ACCELERATE：精益軟體與DevOps背後的科學</span></strong></p> <p>Nicole Forsgren, Jez Humble, Gene Kim／著；江少傑／譯</p> <p>旗標出版</p> <p>售價：499元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <div> <p><strong>Nicole Forsgren</strong></p> <p>Nicole Forsgren博士是DevOps研究與評估公司的CEO與首席科學家。她作為至今最大DevOps研究之領頭調查人員而廣為人知，長久以來是位教授，而且是效能工程師，她的成果也發表在數個同行審議的期刊上。</p> <p><strong>Jez Humble</strong></p> <p>Jez Humble是《The DevOps Handbook》、《精益企業》、與Jolt獎得主《持續交付》等書的共同作者。他目前正在他的新創公司：DevOps研究與評估有限責任公司（LLC），研究如何打造高績效團隊，並在加州大學柏克萊分校講課。</p> <p><strong>Gene Kim</strong></p> <p>Gene Kim是屢屢獲獎的CTO、研究者，而且是《鳳凰專案》、《The DevOps Handbook》與《The Visible Ops Handbook》等書之（共同）作者。他是IT Revolution出版社的創辦人，而且也創辦並主持DevOps企業峰會。</p> </div> </div></div></div>
2022/1/24 17:37未署名https://www.ithome.com.tw/article/149017
後疫時代就用實驗加速技能養成
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960x420.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">遠流出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">一份全職工作等於每年工作兩千小時。但在你踏入新的職業生涯，或者想學習一項新技能時，你沒有兩千個小時可用。你得繳帳單、養家活口。而且萬一經過一萬小時以後，你又對別的事物產生興趣，怎麼辦？你真的打算花上寶貴的十年、甚至二十年去鑽研某件事，再把那項技能束之高閣嗎？</p> <p dir="ltr">現今的職涯早就沒有所謂的「直線」。我們面臨的每一場危機，都為這個世界帶來更多變化。某些職業不復存在，產業消失。工作的本質改變。人們的興趣和熱情也變得不同。</p> <p dir="ltr">那麼，若你想用最快的速度成為同業中位居前百分之一的佼佼者，會是怎樣的情況？</p> <p dir="ltr"><span style="font-size:28px;"><strong>用一萬次實驗法則取代一萬小時練習法則</strong></span></p> <p dir="ltr">我們不談「一萬小時練習法則」—─根據此一法則，只要你認真鑽研某件事達一萬個小時，你就會成為世界一流的高手。</p> <p dir="ltr">就算這個法則在過去行得通，現在也已經不管用了。我的人生經驗一再證明，有能力進行實驗，將各種想法很快試驗一遍，汲取教訓，然後繼續前進，要比「一萬小時法則」更有效。我把它叫做「一萬次實驗法則」。</p> <p dir="ltr">這項法則面對變化和危機的方式是：運用一組工具來幫助人發揮創意，並且有效執行、說服、提高生產力與領導能力—上述能力結合起來能夠讓你在短時間內達到原先想像不到的高度，速度快得驚人！</p> <p dir="ltr">我之所以這麼說，不是因為我在做一項研究專案，而是因為我必須這麼做，而且大多是因為我本身的興趣和熱情改變或結合了。更糟的是，有時是因為我破產了，被迫去新領域找活路，而且我必須很快辦到，以養活家人。</p> <p dir="ltr">科學很重要，但你的人生才是最棒的實驗室，而你是最厲害的科學家。最成功的實驗是你試著去做別人沒做過的試驗。一間研究實驗室就是要做出各種發現；你只會在這裡做出對你有用、且反映出你獨特世界觀的發現。</p> <p dir="ltr">迪克．福斯貝里（Dick Fosbury）是一九六○年代的跳高運動員，那時他實在不怎麼樣。當時流行「剪刀式跳法」，方法是面朝橫杆，筆直跑向前去，跳起來，把你的腿抬得比橫杆更高，跨過去。</p> <p dir="ltr">福斯貝里就是做不到。他的長腿老是撞到橫杆，沒辦法跳到其他人那樣的高度。某天，他做了個實驗，改成往後跳。他背向橫杆，然後再以背朝杆子的姿勢起跳，跟其他人完全相反。</p> <p dir="ltr">他的高中教練請他別再這麼做，說：「這樣行不通，你不能這麼跳。」他不肯讓福斯貝里在正式比賽時用這個招式，但等他看到福斯貝里在一場大一新生比賽中用了這招後空翻（如今大家叫它「福斯貝里式跳高」或「背越式跳高」），便說：「好，就來試試看吧。」</p> <p dir="ltr">福斯貝里讀高中時的表現不怎麼樣，但數年以後，他就在一九六八年的奧運場上奪下金牌。最初大家都在笑，每個人都叫他別這麼做，後來每一名跳高運動員都改用他的跳法。</p> <p dir="ltr">他運用自身對於這項運動的知識，創造出獨到的觀點。他贏得了金牌，而且永遠改變了這項運動。他沒有比別人花更多時間，也沒有苦練一萬個小時，但他辦到了。他之所以成功，並非由於守規矩，而是因為他繞路而行，設法跳過排隊行列，快速致勝。</p> <p dir="ltr"><strong><span style="font-size:28px;">一萬次實驗</span></strong></p> <p dir="ltr">我做了個實驗。</p> <p dir="ltr">我跟朋友J碰面吃早餐，他帶了新女友K來。J和K告訴我，他們已經談過了，打算穩定交往。</p> <p dir="ltr">「對四十幾歲的人來說，『穩定交往』是什麼意思？」我問，「我從高中以後就沒聽過這個詞了。」</p> <p dir="ltr">兩人都拿出手機說：「我們把手機裡的交友軟體都刪了。」K說。但兩人先朝對方的手機瞄一眼，才把手機螢幕轉過來給我確認。</p> <p dir="ltr">嗯！我有個想法！設計一個「穩定交往」的手機軟體，用法是這樣：情侶雙方在這個手機軟體上註冊帳號，之後選定對方為伴侶。一旦雙方皆已選定，這個手機軟體就刪光兩人手機裡的交友軟體。要是其中一方下載了某個交友軟體，或者解除原先的選擇，另一方就會接到電子郵件通知。</p> <p dir="ltr">但接下來要做什麼？也許這是個好點子，也許不是。你得動手試試看，否則永遠不知道它是否管用。</p> <p dir="ltr"><strong><span style="font-size:28px;">好實驗的要件</span></strong></p> <p dir="ltr">那麼，好的實驗要滿足哪些條件呢？</p> <p dir="ltr">■容易設定、執行：這一點很重要，因為你得先做過許多次實驗，才可能有偉大的發現。</p> <p dir="ltr">■幾乎不會有損失：比如說，若你要發明流行性感冒藥物，絕不會想直接服下藥物看它有沒有效—吃了可能致命！這就是為什麼科學家要拿老鼠做實驗，或者先模擬狀況。同樣道理，你也得降低實驗的風險。</p> <p dir="ltr">■有很大的潛在利益：若實驗證明有效，或許帶來上百萬元的商機，也可能造就一本暢銷書、一次升遷，甚至遇見今生的摯愛。誰知道呢？</p> <p dir="ltr">■以前沒有人做過：至少你以前沒做過，否則你何必做實驗？但這項實驗的某個面向很可能沒有人做過。</p> <p dir="ltr">■你學到了某件事：不論成功或「失敗」，這項實驗教會了你某件事。這項實驗可能增長了你本身的知識，也可能擴展這個世界的整體知識，哪怕只是一點點。</p> <p dir="ltr">結果只有兩種可能：你學到了某個道理，或者實驗成功了。沒有失敗這回事。</p> <p dir="ltr"><span style="font-size:28px;"><strong>從無數不可能中找到可能</strong></span></p> <p dir="ltr">我得想出一組實驗來測試這個點子是否可行。要是這些實驗成功了，我可以賺到幾百萬元！</p> <p dir="ltr">隔天我大概花了一小時，約略寫出這套手機軟體的用法：用戶該如何註冊、他們跟打算穩定交往的那個人要怎麼「聯繫」、手機該如何刪光交友軟體，或許還得發出通知給雙方各自的社交圈。</p> <p dir="ltr">然後我便將大膽構思出的軟體「規格」，貼到 Freelancer.com 網站上，這樣全世界的程式設計師都可以看到這份規格，前來投標，為你執行這項專案。這就是逆向拍賣，因為在其他條件相同的情況下，出價最低者是贏家。</p> <p dir="ltr">但我的實驗若想成功，必須聘請最合適的程式設計師。面對每個出價的人—來自世界各地，包括印度、馬來西亞、美國—我問他們一個問題：「有沒有可能讓你手機上的某個軟體看到其他手機軟體？」為什麼這麼問？因為這個穩定交往的軟體必須看到其他交友軟體的存在。一位程式設計師回應道：「在安卓系統上可以，但蘋果手機的 iOS 系統不行。」</p> <p dir="ltr">好了，實驗結束。這個點子行不通。要是這款軟體只能用在安卓系統的手機上，我不打算付錢做。為什麼？因為我還做了個小研究(花五秒上網搜尋)，得知八二％的青少年(我的目標客群)用蘋果手機，所以根本行不通。</p> <p dir="ltr">才做了一個實驗就發現我這個了不起的點子注定失敗。但它是否符合有效實驗的五項標準呢？</p> <p dir="ltr">■容易設定、執行？是。我有了個點子，列出規格細節，把它上傳到專業網站上。</p> <p dir="ltr">■幾乎不會有損失？是。我一塊錢也沒花，大概只花了一小時而已。</p> <p dir="ltr">■有很大的潛在利益？是。如果在專業網站上進行的小實驗行得通，我就會聘請一位程式設計師，做出這個手機軟體，著手進行更多實驗來行銷這款軟體。這款軟體若能運作，我極有可能把它賣給專門收購的公司。</p> <p dir="ltr">■還沒有人做過這種實驗：對，這個實驗我還沒做過，所以可以學到東西。先搜尋一下，看起來別人也都還沒做過這款「穩定交往」的軟體。現在我不妨進一步實驗，看它是否合用。也許我是第一個做出來的人。</p> <p dir="ltr">■你學到了某件事：是的，我學會上 Freelancer.com 這個網站，而且發現這裡有很多程式設計師，日後有專案就可以上來找。我還學會撰寫手機軟體的詳細規格，是以前不曾寫過的。我還學到如何為蘋果手機和安卓系統編寫程式，稍微了解這方面的業務。</p> <p dir="ltr">當然，很可能這個點子本來就很蠢，根本不值得花時間。但話說回來，這個實驗花了我一小時，也沒損失一塊錢。而這個手機軟體實驗的故事，我拿來在「一萬次實驗法則」的收費演說中當成個案分析。從這層意義上來說，這個實驗獲得了回報。</p> <p dir="ltr">我現在說的這個方法，跟你聽過的一萬個小時練習完全不同，而是要找出九千種不適合做某事的方法，也許能夠引領你找到一、兩種足以成功的方法，然後引導你創造出一款最受歡迎的手機軟體，或是成立一家規模極大的公司。（摘錄整理自本書第二、三章，遠流出版提供）</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/250%E5%BF%AB%E9%80%9F%E8%87%B4%E5%8B%9D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%A0%E6%B5%81%E5%87%BA%E7%89%88.png" style="width: 182px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span><span style="background-color:#FFFFFF;"> </span></span><span style="color:#3399ff;">快速致勝：用多元實驗取代一萬小時練習，助你另闢蹊徑，邁向成功，過你想要的人生</span></strong></p> <p dir="ltr">詹姆斯‧阿圖徹（James Altucher）／著；王敏雯／譯</p> <p dir="ltr">遠流出版</p> <p dir="ltr">售價：390元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p dir="ltr"><strong>詹姆斯．阿圖徹（James Altucher）</strong></p> <p dir="ltr">成功的創業家、天使投資人、西洋棋大師、播客主持人、脫口秀演員兼多產作家。他曾開設、經營逾二十家公司，目前投資的公司則超過三十家。著有包括《華爾街日報》暢銷書《當下說不的力量》（The Power of No）等二十本著作。</p> </div></div></div>
2022/1/24 16:22未署名https://www.ithome.com.tw/article/149019
【資安日報】2022年1月24日，鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1月中旬烏克蘭政府遭到攻擊的事故，駭客組織不只攻陷超過70個網站並放上恐嚇訊息，且運用名為WhisperGate的惡意軟體，破壞政府電腦裡的機密資料。WhisperGate會假冒勒索軟體向受害者要贖金，但實際目的是破壞受害電腦的資料，作案手法與2017年出現的勒索軟體「NotPetya」極為相似。或許我們可能還存在僥倖的心理，認為遇到勒索軟體加密電腦檔案的情況，多半可以付錢恢復原狀，但這種以破壞為目的的攻擊行動，即使受害者雙手奉上贖金，資料還是救不回來。</p> <p>而隨著Omicron疫情不斷蔓延，駭客組織也運用這項全球關切的議題，發動網釣攻擊的情況也急劇上升。有資安業者發現，在2021年1月中旬相關事故的數量，比去年10月初多出5倍。</p> <p>基於防疫考量而日漸廣泛運用的QR Code，先前在去年6月在臺灣就傳出實名制的條碼有可能被竄改，駭客用於引導民眾到惡意網站的疑慮。而最近這樣的情況在美國可能變得相當嚴重，因為，美國聯邦調查局（FBI）在1月19日提出警告，要民眾小心相關手法並加以防範，而這已經是最近3個月來，該國第3度向民眾提出警告。 </p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.cyberscoop.com/whisper-gate-notpetya-ukraine-russia/"><span style="color: rgb(0, 0, 0);">鎖定烏克蘭政府的惡意軟體WhisperGate，與勒索軟體NotPetya攻擊手法雷同</span></a></strong></h4> <p>在1月上旬，假冒勒索軟體、攻擊烏克蘭政府機關的惡意軟體WhisperGate，研究人員揭露更多發現。思科指出，此惡意軟體藉由破壞主要開機磁區（MBR）的方式，讓受害者誤以為電腦資料遭到挾持，但實際上沒有加密電腦的檔案，這樣的攻擊手法，與2017年出現，也同樣主要鎖定烏克蘭的勒索軟體NotPetya類似。研究人員認為，使用WhisperGate的駭客很可能在數個月前就已經埋伏，背後的攻擊者疑似是APT駭客。思科呼籲烏克蘭的相關組織，可以參考美國網路安全暨基礎設施安全局（CISA）提供的建議，來防範有關攻擊行動。</p> <h4><a href="https://blog.barracuda.com/2022/01/20/threat-spotlight-covid-19-test-related-email-scams/"><span style="color: rgb(0, 0, 0);"><strong>Omicron疫情有關的網釣攻擊在3個月裡爆增5倍</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/threat-spotlight_covid-19_11922.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/threat-spotlight_covid-19_11922.jpg" style="width: 300px; float: right;" /></a>武漢肺炎變種病毒Omicron在全球肆虐，相關的檢驗與防疫用品訊息，也成為網路釣魚攻擊者偏好的名義，但這樣的情況有多嚴重？根據網路安全業者Barracuda的調查，在2021年10月初到2021年1月中旬，有關Omicron的網釣攻擊增加521%，其中最值得留意的是，在許多企業恢復在辦公室上班的時候，會要求員工提供疫苗接種的資訊，駭客也可能會佯裝人力資源部門，以上述名義引誘受害者打開惡意連結，進而竊取對方的雲端服務帳號和密碼。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-warns-of-malicious-qr-codes-used-to-steal-your-money/"><span style="color: rgb(0, 0, 0);"><strong>美國警告竄改QR Code的攻擊行動</strong></span></a></h4> <p>因疫情使得QR Code運用更加普及，但變造、置換惡意條碼的手法，也隨之頻頻出現。美國聯邦調查局（FBI）於1月18日提出警告，呼籲民眾留意竄改QR Code的相關手法，攻擊者藉此將受害者導向惡意網站，或是下載惡意軟體、甚至是將錢轉帳給歹徒。FBI公布數種攻擊者可能會使用的手法，其中特別提及一種以付款失敗的電子郵件通知，來引誘消費者掃描QR Code重新付款的情況，該單位呼籲最好打電話給賣家進行確認。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/fbi-links-diavol-ransomware-to-the-trickbot-cybercrime-group/"><span style="color: rgb(0, 0, 0);"><strong>美國指控勒索軟體Diavol出自使用TrickBot的駭客組織</strong></span></a></h4> <p>在2021年下半，資安業者發現疑似與經營TrickBot殭屍網路的駭客，正在開發名為Diavol的勒索軟體，而這樣的跡象現在可能有了更多的證據。美國聯邦調查局（FBI）於1月19日指出，他們在2021年10月得知Diavol的動態，並確認該勒索軟體由TrickBot組織旗下的開發者相關。威脅情報業者Advanced Intelligence指出，FBI很可能是在逮捕專門為TrickBot開發惡意軟體的婦女Alla Witte之後，才認定該勒索軟體出自使用TrickBot的駭客組織。</p> <h4><a href="https://www.infosecurity-magazine.com/news/two-fifths-ransomware-victims/"><span style="color: rgb(0, 0, 0);"><strong>4成勒索軟體受害者選擇支付贖金</strong></span></a></h4> <p>為了讓內部網路環境快速恢復運作，許多遭到勒索軟體攻擊的企業會選擇支付贖金，來換取受害系統復原。例如，最近資安業者Anomali針對美國、英國、阿拉伯聯合大公國（UAE）等國家、800個企業的資安決策者，來進行調查，結果顯示，當中有52%曾遭到勒索軟體攻擊，且39%受害組織選擇付錢，其中，有7%支付逾百萬美元。</p> <h4><a href="https://securelist.com/hunt-for-corporate-credentials-on-ics-networks/105545/"><span style="color: rgb(0, 0, 0);"><strong>攻擊者鎖定工控系統下手，企圖竊取企業帳密</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/Campaigns_abusing_corporate_trusted_infrastructure_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Campaigns_abusing_corporate_trusted_infrastructure_02.png" style="width: 200px; float: right;" /></a>過往駭客可能從企業員工的電腦下手，進而橫向移動，以便接下來更進一步掌控整個企業網路，但近年來智慧工廠、智慧製造的導入，使得工業控制系統（ICS）與企業內部網路環境的界線更加模糊，攻擊者很可能透過工業控制系統做為跳板，進而入侵受害企業。有資安業者的調查證實，攻擊者確實利用這樣的管道來進入企業網路環境。</p> <p>根據卡巴斯基針對2021年上半的ICS威脅研究報告指出，他們看到一波針對工業控制系統攻擊的行動，駭客在這類環境裡植入Agent Tesla、Masslogger、Azorult等竊密軟體，並藉由傳送電子郵件的SMTP通訊協定，向C2中繼站傳送竊得的資料。研究人員指出，與過往針對工控系統的攻擊有所不同的是，大多數攻擊的時間被控制在25天以內，而非長期埋伏數個月、數年，總共超過2千個電子郵件帳號被當作C2伺服器，以及7千個帳號遭到其他方式濫用。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/149021">2022年1月22日，WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">2022年1月21日，Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">2022年1月20日，臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">2022年1月19日，再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">2022年1月18日，數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">2022年1月17日，俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">2022年1月14日，美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">2022年1月13日，俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">2022年1月12日，微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">2022年1月11日，網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">2022年1月10日，Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">2022年1月7日，NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">2022年1月6日，駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">2022年1月5日，研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">2022年1月4日，從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/24 14:38作者周峻佑https://www.ithome.com.tw/news/149036
春節連假維持二級警戒，指揮中心恢復外出全程配戴口罩規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今日（1/24）宣布，自1月25日至2月7日仍維持全國二級警戒，警戒措施恢復外出都得戴口罩，除少數情況例外，同時不開放醫院探病。</p> <p>指揮中心指揮官陳時中指出，今日COVID-19確診個案為51例，其中15例本土案例、36例境外案例，較前幾天少。為防止疫情升溫，指揮中心宣布維持二級警戒的同時，也提高防疫規則，首先是外出全程都得佩戴口罩，像是運動、唱歌，以及拍照、直播、錄影、主持、報導、致詞、演講、講課等，以及活動拍攝時，都恢復佩戴口罩。</p> <p>不過，民眾要是在空曠處如田間、魚塭、山林等從事農林漁牧工作，或在山林（森林遊樂區）、海濱等地活動，或是在口罩容易潮濕的場所如溫冷泉、烤箱、水療設施等地，則可不必戴口罩，但得隨身攜帶，如無法保持社交距離或本身有相關症狀，就得配戴口罩。民眾外出要是有飲食需求，可免戴口罩。</p> <p>另外，指揮中心也指出，藝文表演、劇組、電視主播或運動競賽進行時，符合指揮中心或主管機關防疫規定，可暫時脫下口罩。</p> <p>陳時中也強調，一般營業場所、公共場所和餐飲場所都得落實實聯制、量體溫、員工健康管理等措施，而高鐵、臺鐵、公路客運、船舶（除餐飲區外）、國內航班等，禁止飲食。他也呼籲賣場、超市等地加強人流管制，並停止試吃。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9-2-0124%E7%B6%AD%E6%8C%81%E7%96%AB%E6%83%85%E8%AD%A6%E6%88%92%E6%A8%99%E6%BA%96%E7%82%BA%E7%AC%AC%E4%BA%8C%E7%B4%9A.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10-2-0124-%E9%86%AB%E9%99%A2%E9%99%AA%E7%97%85%E5%8E%9F%E5%89%87_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.png" /></p> </div></div></div>
2022/1/24 14:57作者王若樸https://www.ithome.com.tw/news/149038
第三款UEFI惡意程式MoonBounce現身，格式化硬碟或重灌系統都拿它沒輒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaspersky.com/about/press-releases/2022_more-elusive-and-more-persistent-the-third-known-firmware-bootkit-shows-major-advancement" target="_blank">資安業者卡巴斯基（Kaspersky）上周揭露</a>了自2018年以來、所出現的第三支UEFI Bootkit：MoonBounce，由於它寄生在UEFI韌體中，因此就算重新格式化硬碟或重新安裝作業系統可能都無法移除它，也透露出UEFI Bootkit可能會愈來愈流行。</p> <p>UEFI的全名為統一可延伸韌體介面（Unified Extensible Firmware Interface），是一個介於平臺韌體與作業系統之間的軟體介面，它負責啟動裝置，再將控制權交給載入作業系統的軟體，至於Bootkit指的是在系統啟動之際就植入的惡意程式。因此，一旦UEFI被植入Bootkit，由於相關的程式碼存放在硬碟之外的SPI快閃記憶體，而且是在載入作業系統之前就執行，使得它不僅很難偵測，就算重新安裝作業系統或重新格式化硬碟，也都無法移除它。</p> <p>資安社群是在2018年9月發現首支<a href="https://www.ithome.com.tw/news/126208" target="_blank">名為LoJax的UEFI Bootkit</a>，當時使用它的是俄羅斯駭客集團APT28；第二支UEFI Bootkit是出現在2020年10月的<a href="https://www.ithome.com.tw/news/140369" target="_blank">MosaicRegressor</a>，與中國駭客有關；卡巴斯基則相信MoonBounce是由中國駭客集團APT41所部署。</p> <p>目前卡巴斯基只發現一個遭到MoonBounce攻擊的對象，尚未確定它的感染途徑，但分析顯示，MoonBounce比它的前輩們更為先進與精細，有別於LoJax與MosaicRegressor都利用額外的DXE驅動程式，MoonBounce選擇竄改既有的韌體元件，把一個先前屬於良性的核心元件變成惡意元件，藉由複雜的手法讓惡意元件進入作業系統，以與遠端的C&C伺服器互動，並下載其它惡意酬載，亦未留下任何的感染足跡。</p> <p>MoonBounce自C&C伺服器所下載的惡意酬載，包括Sidewalk、Microcin與另一個以Golang撰寫且尚未被命名的木馬程式，以及用來竊取憑證或安全資訊的Mimikat_ssp。</p> <p>根據資安社群的分析，迄今UEFI Bootkit攻擊多半是為了於受害組織中橫向移動並竊取資料，再加上它的隱匿特性，猜測駭客的目的為持續性的間諜行動。</p> <p>卡巴斯基建議組織應定期更新UEFI韌體且只使用可靠來源的韌體，於預設啟用安全啟動，以及部署端點防護產品。</p> </div></div></div>
2022/1/24 16:00作者陳曉莉https://www.ithome.com.tw/news/149039
WordPress外掛程式開發者AccessPress遭駭客入侵，93款外掛及主題被植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://jetpack.com/2022/01/18/backdoor-found-in-themes-and-plugins-from-accesspress-themes/" target="_blank">WordPress旗下安全服務Jetpack上周揭露</a>，專門開發WordPress主題與外掛程式的AccessPress疑似遭到駭客入侵，使得該站所有的主題與大多數的外掛程式都被嵌入可疑程式，<a href="https://blog.sucuri.net/2022/01/accesspress-themes-hit-with-targeted-supply-chain-attack.html" target="_blank">隨後專門提供網站安全服務的Sucuri則說</a>，估計有40款主題與53個外掛程式被植入後門程式。</p> <p>不管是Jetpack或Sucuri都表示，只有在AccessPress站上下載與安裝的主題及外掛程式含有後門程式，若是直接自WordPress安裝的AccessPress主題與外掛則是乾淨的版本，因而斷定是AccessPress遭到入侵。</p> <p>Sucuri表示，駭客在AccessPress上的軟體元件中植入以PHP撰寫的後門程式，該程式雖然很簡單，但使用者一旦安裝了之後，駭客就能取得網站的控制權，而且還會刪除自己的足跡以避免被偵測到。</p> <p>目前並不確定有多少WordPress網站受到波及，但Sucuri猜測駭客於黑市中兜售這些受害網站的存取能力，以讓其它人得以在這些網站上遞送垃圾訊息。</p> <p>Jetpack早在去年9月就偵測到AccessPress的其中一個主題含有後門程式，但一直到10月才聯繫到AccessPress，而AccessPress則在今年的1月17日更新絕大多數的外掛程式，惟尚未更新主題。</p> <p>Jetpack亦提醒使用者，單純更新外掛程式或主題並不能移除系統上的後門，必須重新安裝WordPress才能恢復遭到駭客竄改的核心文件。Sucuri則說，若是安裝了安全外掛程式或防火牆的WordPress，則有可能因此逃過一劫。</p> </div></div></div>
2022/1/24 13:34作者陳曉莉https://www.ithome.com.tw/news/149033
McAfee Agent含有可讓用戶以系統權限執行程式碼的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kc.mcafee.com/corporate/index?page=content&id=SB10378" target="_blank">資安業者McAfee在上周修補</a>了兩個位於McAfee Agent的高風險安全漏洞，其中的CVE-2021-31854為一命令注入漏洞，允許本地端用戶注入任意的Shell程式碼，而CVE-2022-0166則為權限擴張漏洞，允許低特權的用戶以系統權限執行任意程式。</p> <p class="rtecenter"><a href="http://kc.mcafee.com/corporate/index?page=content&id=SB10378" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-mcafee%20vuln-600-PNG.png" style="width: 600px;" /></a></p> <p>McAfee Agent為McAfee ePolicy Orchestrator（McAfee ePO）的元件，McAfee ePO可集中並簡化端點、網路、資料安全及法規遵循的管理，而McAfee Agent則是McAfee ePO的客戶端元件。</p> <p>根據McAfee的說明，CVE-2021-31854將讓本地端用戶可將任意的Shell程式碼注入cleanup.exe檔案中，並藉由McAfee Agent的部署功能來執行，進而造成權限擴張並取得最高權限。至於CVE-2022-0166則允許低特權的用戶藉由建立惡意的openssl.cnf檔案，以系統權限執行任意程式。</p> <p>由美國卡內基美隆大學軟體工程研究所負責運作的電腦緊急應變小組（CERT/CC），<a href="https://kb.cert.org/vuls/id/287178" target="_blank">則特別針對CVE-2022-0166提出警告</a>，指出該漏洞因為使用了OPENSSLDIR變數，可用來指定特定檔案的位置，只要使用者以惡意檔案置換了原有的openssl.cnf，就能擴張權限並執行任意程式。</p> <p>相關漏洞之所以重要，是因為包括McAfee Endpoint Security在內的許多McAfee產品都具備McAfee Agent功能，這兩個漏洞都影響McAfee Agent 5.7.5以前的版本。</p> </div></div></div>
2022/1/24 13:45作者陳曉莉https://www.ithome.com.tw/news/149034