iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google將於3月啟動強制追蹤Workspace搜尋的設定，用戶想關閉也不行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/106929" target="_blank">Google過去幾年歷次宣傳提供用戶更大的隱私控管權</a>，關閉搜尋、應用程式、定位資訊及網站造訪紀錄。但是Google 近日通知使用者將導入一項變更，啟動了Workspace上網追蹤的預設設定，即使用戶原本已關閉。</p> <p><a href="https://arstechnica.com/gadgets/2022/02/confusing-google-workspace-privacy-change-will-re-enable-tracking-for-users/" target="_blank">一名管理員用戶本周接到Google通知</a>，從2022年3月29日起將有多項管理設定變動。從3月底開始，Gmail、Drive、Docs、Calendar、Chat、Meet及Keep等服務，不再接受Workspace用戶的「上網&應用程式活動」設定的控制，這是因為Google將增加一項新的用戶設定，以「Google Workspace搜尋紀錄（Search History）」取代「上網&應用程式活動」來控制及追蹤這些服務的使用。</p> <p class="rtecenter"><a href="https://news.ycombinator.com/item?id=30171800" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-google%20workspace%20privact%20setting-600.jpg" style="width: 600px;" /></a></p> <p>此外，Google也將移除所有Workspace用戶關閉「上網&應用程式活動」的選項。</p> <p>一名Google產品經理解釋，「上網&應用程式活動」是為了儲存所有Google服務的搜尋活動而設計，但和Workspace的管理用途不符。</p> <p>Google表示，許多Workspace付費用戶的管理員會希望關閉「上網&應用程式活動」的管理員控制功能，因為如果opt-out後，Google Drive或Gmail使用者就無法獲得搜尋提示或過往搜尋關鍵字等協助加速作業的功能。</p> <p>Google另一個理由是，新的調整是將Workspace的資料獨立出來，因為這些資料已由Google提供的嚴格資料處理防護控管。Google希望藉此調整，企業用戶能更輕鬆使用Workspace的搜尋，而不必再選擇加入（opt-in）管理範圍太大的「上網&應用程式活動」上網紀錄。</p> <p>用戶對此反應激烈。一名用戶認為，如果用戶必須或想要再開啟追蹤，在現行設計下就能重新opt-in，而非直接剝奪用戶的權利。用戶認為Google只是希望用戶不要察覺這項變動，讓Google得以重新蒐集用戶活動資料。另一名用戶則指，這變更罔顧已經關閉追蹤設定的用戶，而且也畫蛇添足，因為企業用戶本來就可以開啟。還有人將矛頭轉向出來辯護的產品經理，認為Google 23%年營收成長的追求，已經讓Google從上到下都忘記了以用戶為先初衷，一切向錢看。</p> <p>近日Google修正了外界批評的FLoC廣告投放方案，<a href="https://www.ithome.com.tw/news/149080" target="_blank">再推出新措施Topics</a>。不過<a href="https://www.ithome.com.tw/news/149150" target="_blank">瀏覽器廠商Brave認為</a>這只是換湯不換藥而已，並沒有真正解決隱私問題。</p> </div></div></div>
2022/2/4 12:38作者林妍溱https://www.ithome.com.tw/news/149196
美國參議院司法委員會通過《Open App Markets Act》，將允許開發者使用自己的支付系統與程式側載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/02/03/us_senate_open_app_markets_act/" target="_blank">美國參議院的司法委員會（Senate Judiciary Committee）於本周四（2/3）以20票對兩票通過了《開放程式市場法案》（Open App Markets Act）</a>，將針對蘋果App Store與Google Play等程式市集的作法祭出規範，之後將送交參議院進行全體的表決。</p> <p>《開放程式市場法案》可望解除這些大型程式市集對競爭者、開發者或使用者的限制，例如它將要求蘋果及Google允許使用者自第三方下載行動程式，也許是其它的市集，或者是開發者自己的網站，不得強迫使用者只能自官方網站下載，也必須讓使用者將第三方程式設為預設值，或是移除Android或iOS上的內建程式。</p> <p>此外，該法案亦要求程式市集不得限制開發者所使用的程式內付款系統。</p> <p>Google與蘋果並不贊成《開放程式市場法案》，特別是蘋果。負責政府事務的蘋果總監Tim Powderly向司法委員會表示，允許使用者側載（至其它來源下載程式）將讓不法人士躲過蘋果對隱私及安全的保障，可能造成惡意程式、詐騙或資料外洩等意外增生。</p> <p><a href="https://www.ithome.com.tw/news/149018" target="_blank">上個月司法委員會也通過了</a>讓蘋果及Google同聲反對的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act）。</p> </div></div></div>
2022/2/4 11:25作者陳曉莉https://www.ithome.com.tw/news/149194
Google推出不需綁Gmail的Workspace免費服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google吸引企業用戶再一招。昨（3）日宣布包含基本生產力及協同工具的免費服務<a href="https://cloud.google.com/blog/products/workspace/unlock-collaboration-with-google-workspace-essentials" target="_blank">Google Workspace Essentials Starter版</a>。和現有Workspace唯一差別是不包含Gmail。</p> <p>這項服務是在Workspace Essentials下再闢一個免費等級，提供Google Drive、Docs、Sheets、Slides、Meet和Chat等服務。Google表示，Essentials Starters不需要新的電子郵件、轉檔、新外掛或桌機軟體，協助企業輕鬆相互協同，即使他們仍使用舊式生產力工具。此外Google也強調Essentials Starter提供加密檔案存取，確保隱私及資訊安全。</p> <p>由於不包含Gmail，意謂企業用戶不需強制使用Gmail，可持續使用原有電子郵件服務。使用者要啟用Essentials，員工需以現有工作電子郵件信箱註冊，不需附上信用卡資訊，也沒有試用期限。之後就可建立最多25人的團隊進行文件共享、或以視訊及文字通訊。Essentials Starter每個團隊雖有成員上限規定，但每家企業可申請的團隊則沒有上限。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/BOuhsbzsj5tFHX0Ii8ozdRfqV8hJ9TLwyF2YwI7KYN5xGz0thz-oMkm2RzlohS50CP60pugsFst5LjtttCRZqVXyglYZLmwj7JXFEg=rw-e365-v0-w2712" style="width: 300px;" /><img alt="" src="https://pbs.twimg.com/media/FKr_6t1XEAEOEP-?format=jpg&name=small" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p><a href="https://support.google.com/a/users/answer/7681288" target="_blank">其他功能包括最多100人的視訊會議</a>，每次通話上限60分鐘、Jamboard數位白板、支援100多種檔案類型的Google Drive、行事曆、Keep共用記事。管理員功能則提供新增、移除成員，以及指派管理員等基本功能。這項服務不提供Google Workspace技術支援。至於Google Drive雲端硬碟只有15GB容量，是現有Business Starter的一半。</p> <p>一些用戶或許對Google這項免費服務感到猶豫或懷疑<a href="https://www.ithome.com.tw/news/148976" target="_blank">。Google上周才宣布</a>2006年提供的免費版G-Suite從今年7月1日將開始收費。5月1日這項服務會自動轉為Workspace，若用戶不提供信用卡資訊就會被停用。</p> </div></div></div>
2022/2/4 12:12作者林妍溱https://www.ithome.com.tw/news/149195
Amazon財報亮眼，將再度調漲Prime訂閱費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s2.q4cdn.com/299287126/files/doc_financials/2021/q4/business_and_financial_update.pdf" target="_blank">Aｍazon周四（2/3）公布去年第四季財報</a>，該季Amazon創下1,374億美元的營收，成長9.3%，淨收入為143億美元，成長99%，每股盈餘為27.75美元。同時Amazon也宣布將調漲美國的Amazon Prime訂閱費用，月費從12.99美元漲至14.99美元，年費則由119美元漲至139美元，將於今年的2月18日生效。亮眼的財報讓Amazon當天盤後大漲14%，股價攀上3,173美元。</p> <p>在1,374億美元的營收中，北美電子商務營收占了823.6億美元，成長9%；國際電子商務為372.7億美元，下滑0.5%；AWS則是177.8億美元，成長40%。</p> <p>其實去年第四季Amazon不管是在北美或國際的電子商務都是虧損的，北美市場虧損了2.1億美元，國際市場虧損16.3億美元，但AWS該季的營業利潤為52.9億美元，成長了48.5%。</p> <p>不過，造成Amazon淨收入大增的原因並非為本業，而是Amazon對電動車Rivian Automotive的業外投資，Rivian Automotive在去年11月登上那斯達克股市，讓Amazon取得了118億美元的非營業利潤。</p> <p>此外，Amazon也宣布自今年2月18日起將調漲Amazon Prime的價格，這是Amazon的會員服務，可提供單日或雙日免費快速運送服務、Prime Video、無限音樂串流、無限照片儲存及無限閱讀服務，目前支援全球22個市場。</p> <p>Amazon Prime在2005年上線時的年費為79美元，2014年提高到99美元，2018年再調漲至119美元，將於今年2月18日將再調至139美元，既有用戶的調漲日期為3月25日，現階段全球已有超過2億名的Amazon Prime用戶。</p> </div></div></div>
2022/2/4 10:39作者陳曉莉https://www.ithome.com.tw/news/149193
中國駭客集團以xPack後門鎖定臺灣金融與製造業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/china-apt-antlion-taiwan-financial-attacks" target="_blank">博通旗下的資安部門Symantec於本周揭露</a>，中國駭客集團Antlion自2020年12月開始滲透臺灣的金融組織與製造業組織，迄今已知有3家業者受害，Antlion使用了大量的惡意程式，其中主要為xPack後門程式，藉以執行系統命令、載入更多惡意程式或竊取資訊，應屬間諜行動，且Antlion持續攻擊臺灣金融組織至少長達18個月之久。</p> <p>Symantec發現Antlion攻擊了兩家金融組織與一家製造業組織，潛藏在其中一家金融組織的時間接近250天，也在受害的製造業組織中蟄伏了175天。</p> <p>研究人員目前尚不知駭客的感染途徑，猜測可能是開採了受害組織的網頁應用程式或服務，或者是透過惡意郵件當作進入受害組織的跳板。</p> <p>在此一針對臺灣的攻擊行動中，Antlion採用了大量的客製化與現成工具，主要為客製化的xPack後門程式，它能夠執行系統命令、載入其它惡意程式與工具，還能竊取資料，其它還包括EHAGBPSL、JpgRun與CheckID等下載器，以及SMB期間枚舉工具NetSessionEnum、可用來偽造用戶的Golden Ticket工具。</p> <p>現成的工具則涵蓋PowerShell、WMIC、ProcDump、LSASS與PsExec，同時濫用AnyDesk遠端存取工具，並開採<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2019-1458" target="_blank">CVE-2019-1458</a>權限擴張漏洞，或是藉由開採WinRAR來竊取資料。Antlion所蒐集的資料包括業務聯絡人、投資及智慧卡讀卡機等。</p> <p>Symantec指出，最受矚目的是Antlion待在這些受害網路的時間很長，因而能夠長期地蒐集受害者的機密資料，只是中國駭客選擇臺灣作為攻擊目標並不令人意外。</p> </div></div></div>
2022/2/4 10:00作者陳曉莉https://www.ithome.com.tw/news/149192
紅帽在混合雲平臺OpenShift Platform Plus開始提供永久儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）宣布在其<a href="https://www.redhat.com/en/about/press-releases/red-hat-extends-comprehensive-kubernetes-platform-consistent-and-persistent-storage">混合雲平臺OpenShift Platform Plus，加入混合雲和多雲容器儲存服務OpenShift Data Foundation</a>，因此用戶便可在Kubernetes應用程式，使用軟體定義儲存。</p> <p>OpenShift Platform Plus為一個開箱即用的多雲Kubernetes堆疊，可供DevSecOps和應用程式開發團隊建置容器化應用程式，而OpenShift Data Foundation則為一個資料平臺，提供跨雲和跨基礎設施的持久儲存。</p> <p>官方提到，Kubernetes是一個容器調度標準，擁有強大引擎足以進行大規模調度，但是Kubernetes需要有額外的元件，才能滿足企業建置和執行現代應用程式的需要。除了OpenShift Platform Plus原本就擁有的叢集安全和管理功能，還有容器註冊表等功能之外，現在還加入了容器資料服務。</p> <p>透過結合OpenShift Platform Plus和OpenShift Data Foundation，企業可以獲得跨容器環境的通用資料服務，避免儲存孤島。該儲存解決方案最新版本使用OpenShift Data Foundation 4.9，所擁有的新功能，可讓開發者更高效地開發和部署應用程式。</p> <p>OpenShift Data Foundation 4.9的多雲物件閘道器命名空間儲存桶，滿足不同雲端的資料需求，也解決了資料可用性挑戰，資料可以存在單一位置，並且讓位在其他地方的應用程式取用，而不需要複製資料到應用程式的所在位置。而持久磁碟加密功能，則可以讓使用者在叢集之外，管理和持有加密金鑰，這能夠提供用戶使用自有KMS的靈活性。</p> </div></div></div>
2022/2/3 20:03作者李建興https://www.ithome.com.tw/news/149190
Qt簡化商業授權，且開發者授權過期仍可發布應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GUI框架與工具供應商Qt宣布<a href="https://www.qt.io/blog/simplifying-the-commercial-licensing-portfolio">簡化其商業授權</a>，除了現在將開發者授權產品縮減至四個版本之外，Qt Design Studio也將獨立於開發者授權外提供，另外，與過去不同，在新授權上路後，即便開發者的授權過期，也仍然可以發布應用程式。</p> <p>Qt新的商業授權，主要為四個主要版本，這四個版本授權皆採用洋蔥架構，也就是外層的版本，包含前一層版本的功能，這四個版本由裡到外分別是Qt for Application Development Professional、Qt for Application Development Enterprise、Qt for Device Creation Professional和Qt for Device Creation Enterprise。</p> <p>官方提到，過去獨立出售的附加元件，現在將會整合進主要產品中，這些商業附加元件包括機器對機器（M2M）協議、微控制器用戶介面函式庫，以及用於安全應用程式、汽車功能和應用程式管理的元件。</p> <p>原本的Qt for Application Development訂閱授權，會被轉換為Qt for Application Development Enterprise，而原有的Qt for Device Creation訂閱授權，則會被轉為Qt for Device Creation Professional，新的授權將可免費獲得附加元件，官方提到，新的授權將會在授權條款結束後，自動更新為新的授權版本，並且透過Qt維護工具就能立刻獲取新功能。</p> <p>在Qt即將要發布的Design Studio 3.0，將有兩個商業授權版本，包括Qt Design Studio Professional和Qt Design Studio Enterprise。Qt Design Studio Professional針對用戶介面設計、編輯、動畫和原型開發，設計人員可以單獨購買授權，或是從Qt Creator 6.0以上版本的開發授權中獲取該工具。而Qt Design Studio Enterprise則面向技術美術設計師，和用戶介面設計師的產品，可從Figma和Sketch匯入設計，也能從Adobe XD、Maya和Blender等圖形工具匯入物件。</p> <p>而針對開發者抗議擁有開發者授權才能發布應用程式的限制，官方也做出回應，過去不允許用戶在沒有有效開發者授權發布應用程式的原因，是因為要讓開發者能夠解決安全問題，並且更新應用程式。</p> <p>現在官方解除這項限制，不過官方仍建議，企業最好仍持有一份有效的開發者授權訂閱，以便用於安全修復和軟體維護。</p> </div></div></div>
2022/2/3 20:19作者李建興https://www.ithome.com.tw/news/149191
微軟針對雲端支付推出Azure Payment HSM加密金鑰服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對金融機構雲端支付的需求，微軟推出支付專用的加密金鑰操作服務<a href="https://azure.microsoft.com/zh-tw/blog/announcing-the-public-preview-of-microsoft-azure-payment-hsm-service/">Azure Payment HSM</a>，該服務達到PCI（Payment Card Industry）組織對於安全性、法遵、延遲和效能的要求，可直接連接到用戶的虛擬網路，並且提供多種訂閱選項，支援各種使用案例。</p> <p>不少金融機構逐漸將支付應用搬遷上雲，微軟提到，這需要企業從原本傳統的本地應用程式，和硬體安全模組（Hardware Security Modules，HSM），搬遷至無法直接控制的雲端基礎設施，而這通常也代表著訂閱服務，企業無法擁有實體裝置和軟體。</p> <p>微軟提到，雲端服務存在一些優勢，除了企業可以提高採用效率之外，對於雲端原生企業來說，原本就沒有本地端硬體設施，採用雲端優先的解決方案，是基本的業務模式。基於雲端的支付基礎設施，能夠降低IT複雜性、簡化法遵問題，並且還能隨著業務成長，快速擴展其解決方案。</p> <p>然而雲端HSM解決方案存在待解決的挑戰也不少，微軟列舉像是共同責任問題，企業需要清楚可被接受的損失有哪些？而應用程式和HSM之間，又該如何實現高效能低延遲連接性？以及雲端的安全和法遵程度，能否滿足當前的嚴格要求？</p> <p>微軟所發布的最新Azure Payment HSM服務，目標是滿足金融機構對於HSM服務的各項要求。Azure Payment HSM使用Thales payShield 10K支付HSM提供裸機服務，在Azure雲端中對即時支付交易提供加密金鑰操作。微軟提到，Azure Payment HSM滿足PCI對安全性、法遵、延遲和效能的要求，針對服務供應商和金融機構所開發，能支援組織的數位轉型和公用雲採用策略。</p> <p>Azure Payment HSM被配置於用戶的虛擬網路之中，僅受用戶管理控制，並且可進行高可用性配置，該服務用戶透過Thales payShield Manager對HSM進行遠端存取，有多項訂閱選項，用戶可根據效能和多種應用需求選擇，而且當用戶業務成長也能夠快速升級，Azure Payment HSM最高可提供達2,500 CPS的效能。</p> </div></div></div>
2022/2/3 17:10作者李建興https://www.ithome.com.tw/news/149188
鼓勵使用者贊助開源專案，GitHub推出僅供贊助者使用的儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-02-02-new-sponsors-only-repositories-custom-amounts-and-more/">GitHub更新贊助者功能Sponsors</a>，現在開發者可以針對不同的贊助者層級附加儲存庫，根據不同的贊助金額釋出不同版本的軟體，除此之外，GitHub Sponsors也有其他功能更新，以協助專案開發者推廣和管理贊助。</p> <p>近年開源專案被企業吃豆腐案例頻傳，不少開源專案指控企業白用不回饋，包括原為開源專案的Redis模組、CockroachDB、MongoDB和Elasticsearch等，都紛紛更改授權，避免被雲端廠商濫用。近期的案例，還有在GitHub上的知名套件Faker和Colors，其作者Marak Squires因為不滿多數財星500大企業都有使用他們套件，但是開發團隊都僅收到來自開源社群和GitHub Sponsors微薄的贊助，因此一氣之下清空GitHub儲存庫，決定要對專案開始收費。</p> <p>GitHub上的開源程式碼雖然可供任何人免費使用，但是多數專案維護還是需要有資金贊助，才能穩定地持續下去。GitHub在2019年的時候開始Sponsors計畫，讓贊助者可以直接在GitHub頁面上，贊助開源貢獻者。</p> <p>現在GitHub進一步更新Sponsors贊助功能，或許有望讓GitHub上的開發者，能夠獲取更加公平的收入與回饋。GitHub提供僅有贊助者可以存取的儲存庫，當專案開發者啟用該功能，便可以將私有的儲存庫附加到各個贊助層級，而這授予不同金額贊助者，存取各層級儲存庫的權限，也就是說，專案開發者可以針對貢獻者捐獻的金額，發布不同版本的程式碼。</p> <p>官方提到，專案開發者可以將僅限贊助者使用的儲存庫，應用在各種用途，包括提供僅限贊助者存取的專案，並且和贊助者討論與交流問題，或是在程式碼開源之前，讓贊助者搶先體驗新內容。開發者現在也可以針對每一個贊助層級，編寫一段客製化訊息，當有任何新的贊助出現時，這段訊息可以歡迎贊助者，並且指引他們執行專案的方法。</p> <p>GitHub Sponsors的其他新功能，還有讓專案開發者，對自定義贊助金額擁有更多控制權，能夠設定贊助最低金額，並會在Issues頁面加入贊助訊息，提醒使用者採取行動資助開發者。開發者可以在贊助頁面URL附加後設資料，以便查看贊助來自何方，像是開發者可以在發布關於專案貼文時，於贊助網址加入特殊的後設資料，便可以在交易資料匯出時，查看收集到的後設資料。</p> <p>GitHub提到，他們接下來的工作，將會使企業進一步支援他們所仰賴的開源專案，並且讓可贊助專案更容易被探索。</p> </div></div></div>
2022/2/3 16:30作者李建興https://www.ithome.com.tw/news/149185
遭到北韓駭客入侵的美國資安研究人員，以一己之力癱瘓北韓網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓在今年一月中及一月底，陸續傳出該國網路遭到攻擊且被癱瘓的消息，<a href="https://www.wired.com/story/north-korea-hacker-internet-outage/" target="_blank">而《Wired》則報導</a>，這是由一名代號為P4x的美國資安研究人員單槍匹馬所展開的攻擊行動，原因是他在去年初遭到北韓國家級駭客的攻擊，然而美國政府對此卻無所作為，使得他只好自己展開報復行動。</p> <p><a href="https://www.ithome.com.tw/news/142536" target="_blank">去年初包括Google及微軟都發現</a>一起北韓駭客集團ZINC鎖定資安研究人員的網路攻擊行動，ZINC先透過社交工程與這些受害的資安研究人員建立連結，再傳送惡意的專案或連結，以於資安研究人員的電腦上植入後門或其它惡意程式，藉以竊取機密資訊。而P4x則聲稱自己是這波攻擊行動的受害者之一。</p> <p>P4x向《Wired》透露，當初FBI雖然有聯繫他，但並沒有提供任何實質的幫助，也沒說未來將如何保護他，或是知會他這批駭客可能面臨的後果，甚至沒提及是否會展開正式調查，也未公開指責北韓，這些都讓他覺得自己孤立無援。</p> <p>於是P4x開始研究北韓網路系統的安全漏洞，決定自行展開報復。</p> <p>專門提供北韓新聞與分析的<a href="https://www.nknews.org/2022/01/north-korea-kicked-off-internet-by-suspected-ddos-attack/" target="_blank">《NK News》先是在今年1月中旬發現</a>，北韓的網路似乎遭到分散式服務阻斷攻擊（DDoS），導致該國境內的伺服器無法存取，而且斷斷續續地持續了兩天；<a href="https://www.reuters.com/world/asia-pacific/nkorean-internet-downed-by-suspected-cyber-attacks-researchers-2022-01-26/" target="_blank">《路透社》則是在1月下旬報導</a>，北韓網路遭到第二波的DDoS攻擊行動，該國網路再度被全面癱瘓6個小時。</p> <p>由於北韓網路斷線的時間點恰巧是該國正頻繁進行飛彈試射之際，使得外界原本以為相關攻擊是由特定國家級駭客所主導，而P4x則向《Wired》自白這其實是他的傑作。</p> <p>其實北韓是全球極少數網路非常不發達的國家，整個國家大概只有30個網站左右，這些網站主要作為政令宣導之用，而且取得授權、可存取網路的人口僅有數千人之譜。</p> <p>P4x揭露了他所開採的部分漏洞，包括伺服器軟體NginX的已知漏洞，或是舊有Apache軟體的安全漏洞，以及北韓自行開發、基於Linux的Red Star OS作業系統。而且攻擊北韓伺服器或路由器對他來說，就如同展開一場中小型的滲透測試，他撰寫了自動化的攻擊程式，然後只是定期去電腦上看看它的運作成果。</p> <p>P4x認為，如果這些資安研究人員沒有反抗或毫無作為，北韓政府只會得寸進尺，之前他只是癱瘓北韓網路，但本周他已於暗網中設立FUNK（FU North Korea）專案，廣發英雄帖，希望各方的資安研究人員共同加入以真正駭進北韓的系統，竊取北韓系統的資訊並與其它專家分享。</p> </div></div></div>
2022/2/3 17:04作者陳曉莉https://www.ithome.com.tw/news/149189
微軟Defender for Endpoint漏洞管理功能開始支援Android、iOS裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/announcing-general-availability-of-vulnerability-management/ba-p/3071663" target="_blank">微軟本周宣布</a>，Microsoft Defender for Endpoint的威脅與漏洞管理功能也支援Android及iOS。</p> <p>透過今天的宣布，微軟Defender for Endpoint的端點安全管理支援企業所有主要平臺，包括工作站、伺服器及行動裝置等。</p> <p>Defender for Endpoint威脅及漏洞管理功能可持續監控和找出企業網路上有漏洞的裝置，評估相關風險，並提供優先排序分析、以及整合流程協助企業修補漏洞。</p> <p>現在IT管理員對公司網路中的Android裝置，已經可評估檢查Android OS以及這些裝置上應用程式的漏洞。至於員工個人裝置（BYOD）上的App，如果該裝置安裝了Google的Android Enterprise管理方案，具有公司使用者帳號，只有公司使用者帳號下的App為Defender的漏洞管理支援，其他BYOD模式的Android裝置則預設無法使用App漏洞管理。不過管理員在裝置管理員模式（device administrator）下，可以透過Endpoint Manager取得這臺裝置所有App清單。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/342330i1EAE56A487289B89/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>對於iOS裝置，管理員現在也可以檢視iOS及iPadOS裝置的iOS漏洞。目前Defender for Endpoint還無法做到iOS裝置上應用程式的漏洞管理。但微軟表示之後會再加入這項功能。</p> </div></div></div>
2022/2/3 15:27作者林妍溱https://www.ithome.com.tw/news/149186
FBI建議去中國參加奧運的選手最好使用臨時性的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2022年的冬季奧林匹克運動會（2022 Winter Olympics）與冬季帕拉林匹克運動會（2022 Winter Paralympics），將陸續在今年2月與3月於中國舉行，<a href="https://www.ic3.gov/Media/News/2022/220131.pdf" target="_blank">美國聯邦調查局（FBI）本周發表了私人産業通報（Private Industry Notification，PIN）</a>，警告為了確保資訊安全，要參賽的運動員最好把私人手機留在家中，攜帶臨時性手機與會就好。</p> <p>其實FBI在去年日本於7月舉辦東京奧運之前，<a href="https://www.ic3.gov/Media/News/2021/210719.pdf" target="_blank">也曾提出要運動員防範網路攻擊的警告</a>，只是當時並未建議運動員攜帶暫時性手機。</p> <p>FBI說明，大型的活動或賽事替犯罪組織或國家級駭客帶來了許多攻擊機會，不管是為了獲利、製造混亂、建立名聲、抹黑對手或是推動各種意識型態等，在COVID-19疫情之下，奧運並不允許觀眾入場，全球的觀眾只能依賴串流與社交媒體來參與，駭客則可藉由社交工程或網路釣魚來植入惡意程式，破壞賽事的轉播，例如去年負責東京奧運轉播的NTT，在賽事期間就至少遭遇4.5億次攻擊或滲透行動。</p> <p>其中，最熱門的攻擊手法是使用惡意程式、電子郵件詐騙、網釣或冒牌網站，但新興的數位錢包，或是可用來追蹤疫苗接種狀況的程式，都有可能成為駭客竊取機密資訊或植入惡意程式的管道。</p> <p>此外，中國政府此次要求所有冬奧及冬帕選手，都必須安裝<a href="https://play.google.com/store/apps/details?id=com.systoon.dongaotoon" target="_blank">冬奧通（MY2022）程式</a>，該程式整合了有關這兩項運動會的各種資訊及權限管理，涵蓋奧運服務及城市導遊，並嵌入疫苗接種狀況。FBI則說，MY2022將被用來追蹤運動員的健康與旅遊資料。</p> <p class="rtecenter"><img alt="" src="https://citizenlab.ca/wp-content/uploads/2022/01/image3.png" style="width: 441px;" /></p> <p><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><span style="color:#696969;">圖片來源／Citizen's Lab</span></a></p> <p>由此可見，FBI顯然是擔心運動員在手機中安裝MY2022之後，可能遭到持續的追蹤，或是被植入惡意程式，因而建議美國運動員去參與冬奧及冬帕時不要使用自己的手機，而是攜帶臨時性手機，還說不只是美國，許多西方國家的奧運委員會也都建議選手把私人手機留在家中。</p> </div></div></div>
2022/2/3 15:53作者陳曉莉https://www.ithome.com.tw/news/149187
Google釋出Chrome 98，修補27項安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop.html" target="_blank">Google Chrome團隊本周宣布</a>釋出Chrome 98桌機版到穩定版（stable）通道，修補了27項安全漏洞，包括8項重大漏洞。</p> <p>本周釋出的Chrome 98包括Windows、Mac及Linux版，其中Windows版包括Chrome 98.0.4758.80/81/82，macOS及Linux版則為98.0.4758.80版。此外，Chrome團隊也在新的延伸穩定（extended stable）通道釋出Chrome 98。所有新版本會在未來幾天到幾周內，完成部署到用戶端。</p> <p>最新版Chrome修補的27項安全漏洞中，有8項高風險漏洞，以及中、低風險漏洞各9項和1項。其中CVE-2022-0452及CVE-2022-0453分別位於安全上網（Safe Browsing）及Chrome閱讀器模式（Reader Mode），皆屬使用已釋放記憶體（use after free）漏洞，通報的研究人員各得2萬美元。</p> <p>CVE-2022-0454為ANGLE元件中的堆積記憶體緩衝溢位（heap buffer overflow）漏洞，CVE-2022-0455則為全螢幕模式（Full Screen Mode）的實作不當。Google各為此頒發1.2萬及7,500美元抓蟲獎金。其他還包括網頁搜尋模式、分頁縮圖串（Thumbnail Tab Strip）、及螢幕截圖（Screen Capture）工具的使用已釋放記憶體漏洞CVE-2022-0456、CVE-2022-0458及CVE-2022-0459，以及V8引擎中的型態混淆（Type Confusion）漏洞CVE-2022-0457，Google發出1,000到7,000美元的獎金。</p> <p>此外，Chrome 98修補的9個中度風險漏洞中，6個為使用已釋放記憶體漏洞，位於Windows對話彈出視窗、輔助工具、擴充程式、支付及投放（Cast）功能。3個屬實作不當漏洞，分布於捲軸、擴充程式平臺及游標鎖定（pointer lock）。1個是COOP（Cross-Origin Opener Policy）中的政策繞過漏洞。而唯一一個低風險漏洞位於V8引擎，屬越界記憶體存取（out of bounds memory access）漏洞。</p> </div></div></div>
2022/2/3 14:28作者林妍溱https://www.ithome.com.tw/news/149183
Starlink推出單月要價500美元的超寬頻衛星網路，每秒下載最快500Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=b2Ik8bSQTN2eomFajSqNz1cg2ZChenfZaVUGOiZlzSp5ouFiMSXRs0Agb83waihq71uxvpo09v5QgfGU183NKA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=zvvowkvLINo3sRdDcCmj60HDG2qFCO4PupVROADwGVdSL7NFi_joh2HMTlj-4kOyvMkRoMrZYa6rba5yhf3CFA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><p><a href="https://twitter.com/elonmusk/status/1488746173498212353?s=21" target="_blank">SpaceX創辦人暨執行長Elon Musk周三（2/2）宣布</a>，SpaceX旗下的衛星寬頻服務Starlink將推出高階版Starlink Premium，其下載速率可達150~500Mbps，預計於今年第二季上線。</p> <p class="rtecenter"> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Starlink high performance antenna <a href="https://t.co/83kIQSNV3l">https://t.co/83kIQSNV3l</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1488746173498212353?ref_src=twsrc%5Etfw">February 2, 2022</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>SpaceX是在2020年10月開始測試Starlink，標準版的規格是下載速率為100 Mbps，上傳為20 Mbps，使用者必須先支付499美元來購買終端設備，之後每月支付99美元的月費，迄今Starlink已具備逾1,700個通訊衛星，於全球25個國家提供服務，用戶數已逾14.5萬，但尚未跨出美洲及歐洲市場。</p> <p><a href="https://www.starlink.com/premium" target="_blank">Starlink Premium</a>則是專為高需求用戶所設計，諸如小型辦公室、店面及超級用戶等，可支援更高的使用量，其下載速率可達150~500Mbps，延遲時間介於20~40毫秒，但其硬體費用為2,500美元，衛星天線的押金為500美元，每月的月租費則是500美元。</p> <p>不管是標準版或是高階版的延遲時間都一樣，也都沒有使用額度的限制，最大的差別在於標準版的下載速率介於50~250Mbps，上傳為10~20Mbps，高階版下載則是150~500Mbps，上傳為20~40Mbps，此外，高階版強調更有極端氣候的耐受力。</p> <p><a href="https://www.speedtest.net/insights/blog/starlink-hughesnet-viasat-performance-q3-2021/" target="_blank">網路測速網站Speedtest曾於去年第三季，比較了Starlink、HughesNet與Viasat等衛星寬頻服務及固網的速率</a>，顯示Starlink的下載／上傳速率與延遲雖然仍不及固網，但已大勝HughesNet及Viasat，但Speedtest也警告當用戶數增多時，Starlink的速率即會變慢，不過，最新的Starlink Premium強調可適用於10~20名用戶。</p> </div></div></div>
2022/2/3 15:00作者陳曉莉https://www.ithome.com.tw/news/149184
DeepMind程式設計AI AlphaCode具人類工程師中等水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下AI公司DeepMind又有新進展了。<a href="https://deepmind.com/blog/article/Competitive-programming-with-AlphaCode" target="_blank">DeepMind本周表示</a>該公司設計的AlphaCode AI系統具備能撰寫程式的能力，且在程式競賽中證明已經具備人類中等程式設計師水準。</p> <p>DeepMind發展的AlphaCode系統是機器學習系統，可學習解決問題能力。DeepMind利用過去程式碼及資料集訓練後，AlphaCode的變換器（transformer）語言模型產出極大規模的程式碼後，從中產出特定程式。透過<a href="https://codeforces.com/" target="_blank">程式競賽平臺Codeforces</a>評比，AlphaCode 被認為具「中等參賽者」的水準，也是AI程式撰寫系統首次達到具競爭力的水準。</p> <p class="rtecenter"><a href="https://codeforces.com/blog/entry/99566" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-AlphaCode%20Deepmind-600-2.png" style="width: 540px;" /></a></p> <p>DeepMind指出，程式競賽本質上是程式設計師解決問題的過程。參賽者接到多個問題描述，並被要求在幾小時內撰寫程式解決問題。贏得程式競賽需要的問題解決能力超出現有AI系統能力，而這集結了分析思維、邏輯、演算法、程式撰寫及自然語言理解。為此，DeepMind結合了大規模變化器（transformer）模型大量程式取樣（sampling）及篩選（filtering）試圖開發出能解決未知問題的AI系統。</p> <p>在作法上，DeepMind預先以GitHub上公開程式碼來預訓練模型，並以少量高品質的編程資料集來微調。在評估階段，他們為程式競爭主辦單位給定的問題各建立了該公司歷來最大量C++和Phyton程式，然後開始針對這些程式進行篩選、集合及重新排名，最後完成10支最有希望的程式，並且提交給主辦單位。DeepMind指出，這套自動化系統運作不同於一般競爭者使用的嘗試錯誤（trial and error）過程，即除錯、編譯、測試及提交。</p> <p class="rtecenter"><img alt="" src="https://kstatic.googleusercontent.com/files/744ac5325ebfe5ea78651e3c498643d989125caf53abf31d5ece15691247c5f48bd92c95aa9dd7bfdfe4f4026ac2ad69c51cf728935f7debdf2ee2695a2ad05a" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／DeepMind</span></p> <p>最後，他們在主辦單位同意下，模擬參賽近年10次競賽，每一次AlphaCode都必須開發出新式解決方案。總結而言，AlphaCode能力在所有參賽者中，大約名列前54%的水準，居中等能力。雖然無法贏得大賽，但DeepMind認為AlphaCode已顯示深度學習模型解決分析思維任務的能力進展。</p> <p>DeepMind相信這有助於推進問題解決型AI的研究。<a href="https://github.com/deepmind/code_contests" target="_blank">DeepMind也將AlphaCode使用的資料集公布在GitHub上</a>，包括每一次測試的資料供外界使用。</p> </div></div></div>
2022/2/3 12:27作者林妍溱https://www.ithome.com.tw/news/149181
Google可能為WhatsApp設定Drive備份的上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正逐漸縮減免費雲端服務的備份容量。媒體發現Google可能正在規畫不再讓WhatsApp無限制備份於Google Drive中。</p> <p><a href="https://wabetainfo.com/google-will-offer-a-limited-plan-for-whatsapp-backups/" target="_blank">WABetaInfo三個月前發現</a>，WhatsApp正在開發一項新功能，讓使用者可以管理備份於Google Drive的WhatsApp聊天訊息，像是排除某些訊息類型以節省Google Drive空間。目前WhatsApp備份並不佔用Google Drive儲存限額或帳號限制。媒體因而推斷，這可能預示著Google可能將對WhatsApp取消無上限備份空間，而設下儲存限額。</p> <p>原本Google只將Google Drive及Gmail包含在15GB的免費儲存限額，<a href="https://www.ithome.com.tw/news/144274" target="_blank">去年6月1日開始</a>將Google Photos加入計算，超過15GB用戶不是得刪除檔案，就是花錢購買名為Google One的儲存空間服務。Google One除了Google Drive，另外也提供電話備份以及Android VPN等服務。</p> <p>即便臆測成真，媒體也認為也不意外，畢竟用戶透過WhatsApp傳輸的影音、圖片等檔案也不少。而且去年Google 加速強推收費服務時，不少用戶就利用WhatsApp繞道將影音、圖片檔案備份到Drive。</p> <p>不過Google尚未對其收費政策是否變更做出回覆。</p> </div></div></div>
2022/2/3 12:42作者林妍溱https://www.ithome.com.tw/news/149182
Meta財報出爐，首度公布Reality Labs營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年10月自Facebook更名的Meta，<a href="https://investor.fb.com/investor-news/press-release-details/2022/Meta-Reports-Fourth-Quarter-and-Full-Year-2021-Results/default.aspx" target="_blank">於周三（2/2）公布了去年第四季的財報</a>，這是更名後的首次財報，也首度揭露了Reality Labs的營收，儘管該季Meta創下了337億美元的營收，比2020年同期增加20%，但獲利下滑、用戶數量不符華爾街分析師的期待，再加上對今年第一季的展望不佳，使得Meta當天的盤後股價下挫超過20%，股價徘徊在250美元左右。</p> <p>Meta在新的財報中把公司營收分為兩大部份，一是集結Facebook、WhatsApp、Instagram與Messenger的程式家族（Family of Apps，FoA），二則是專門發展元宇宙（Metaverse）的Reality Labs。</p> <p>該季Meta的程式家族營收為328億美元，Reality Labs為8.8億美元，程式家族的營業收入為159億美元，而Reality Labs則是虧損了33億美元，從財報中可看出，雖然程式家族的營業收入多半呈現逐季成長，但欲打造新一代元宇宙的Reality Labs的營業虧損也逐季擴大。</p> <p>與2020年第四季相較，FoA的用戶數仍在成長當中，但去年第四季臉書的每日用戶數為19.3億，卻低於去年第三季，這也是臉書每日用戶數首度出現衰退的現象。</p> <p>此外，Meta在去年第四季的淨收入及每股盈餘都低於2020年同期，該季的每股盈餘為3.67美元，比2020年下滑了5%。</p> <p>Meta對今年第一季的展望不佳，預期今年第一季的營收會落在270~290億美元之間，成長幅度僅有3~11%。歸納其原因則包括用戶轉移到Reels等新的服務，而這些服務創造營收的能力則不如動態消息或Stories；蘋果iOS的廣告政策也將衝擊廣告營收；通貨膨脹與供應鏈的緊縮影響了業者的廣告預算；美元下跌也讓Meta海外營收縮水。</p> <p>Meta本業營收成長趨緩，再加上打造新一代元宇宙的大量投資，也許都是釀成投資人信心動搖的原因。</p> </div></div></div>
2022/2/3 12:03作者陳曉莉https://www.ithome.com.tw/news/149180
淺談反應擴散系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現今而言，想模擬自然界的外貌形態有許多方式，這在先前專欄〈<a href="https://www.ithome.com.tw/voice/137054" target="_blank">隨機演算之美</a>〉、〈<a href="https://www.ithome.com.tw/voice/137637" target="_blank">自然噪聲與碎形</a>〉與〈<a href="https://www.ithome.com.tw/voice/137795" target="_blank">碎形與L-system</a>〉等，曾談過一些，簡單來說，自然有其規律，在規律未被發掘之前被稱為隨機，在隨機中加入已知的規律，就有了模擬自然的可能性，而那份規律性，可以用數學來描述。</p> <p>這就是我喜歡透過程式來模擬自然的原因之一，因為，程式碼的本質就是用來描述規律，而數學可以用來描述自然規律，所以，只要能找出相應的數學，就能使用程式碼來描述自然；或者更確切地說，程式碼的本質就是數學，用來表達自然規律，是再自然也不過的一件事。</p> <p>那麼，生物方面的現象呢？開發者對神經網路等為出發點的人工智慧應該不陌生，本質上來說，神經網路就是試著將簡單的數學公式予以組合，構成非線性轉換，從而模仿生物複雜的學習行為。</p> <p><span style="font-size:28px;"><strong>圖靈紋</strong></span></p> <p>程式碼的本質就是數學，例如，艾倫圖靈（Alan Turing）早就提出了圖靈機來證明這件事，確切地說，圖靈是想探究「運算」這件事，本質上由哪些規律組成，而且，圖靈熱衷於尋找事物的規律性，甚至是胚胎發育的規律性，也不放過。</p> <p>他的出發點在於：明明一開始就只是一個受精卵，為什麼後來會發展出各種骨骼、血管、器官呢？於是，他試著以數學來觀察、描述這個過程，成果發表於1952年的〈<a href="http://bit.ly/3Kqzf30" target="_blank">形態發生的化學基礎</a>（<a href="https://bit.ly/3Kqzf30" target="_blank">The Chemical Basis of Morphogenesis</a>）〉論文之中，並在計算的手稿上，畫出了與動物身上紋路非常相近的圖案，據說他還到處問人這是否很像乳牛身上的斑紋。</p> <p>在圖靈的論文中，談到型態素（morphogen）、濃度（concentration）、反應（reaction），以及擴散（diffusion）等字眼，而這樣的理論後來被稱為型態發生的反應擴散（reaction-diffusion），因此，基於其理論而形成的圖樣，後來被稱為圖靈紋（Turing pattern）。</p> <p><span style="font-size:28px;"><strong>反應擴散系統</strong></span></p> <p>在論文中，圖靈提出了下列假設。系統中只有X、Y兩種我們感興趣的型態素（忽略其他的型態素），用Xr、Yr代表r細胞的濃度，反應是指X會與Y作用，因此，我們若以f(X,Y)來表示反應會增加X濃度的速度，用g(X,Y)表示反應會增加Y濃度的速度，而型態素會從高濃度往低濃度處擴散；若X擴散系數為μ，而Y擴散係數為v，細胞r的型態素濃度隨著時間的變化，將可用微分方程式來描述（請參考〈<a href="http://bit.ly/3Kqzf30" target="_blank">形態發生的化學基礎</a>〉第47頁公式6-1）。</p> <p>我們可以想像一下X、Y兩種型態素，就像草食動物與肉食動物。當草食動物遇上肉食動物就會被吃掉，而這些動物會因為其他因素而死亡，也會繁殖，這些是公式中f(Xr,Yr)、g(Xr,Yr)的部份，也就是反應的部分；因此，草食動物與肉食動物的數量增加，會往數量少的地方擴大棲息地，而公式中其他的部分，也就是擴散的部分。</p> <p>草食動物與肉食動物間的反應與擴散，有可能發生肉食動物過度捕食的狀況，導致草食動物減少，然而也會因食物減少而使得肉食動物數量降低。因此，在一個生態系的長期演化後，同時存在著草食動物與肉食動物，那麼，兩者必然維持巧妙平衡。</p> <p>如果將X、Y兩種型態素，看成決定細胞顏色的兩種激素，激素會以一定的速率補充（feed）與排除（kill）──激素會進行擴散，彼此碰上之後會反應，而根據不同的擴散係數與反應條件，最後可能達到一種平衡狀態，例如，變成其中一種顏色，或者兩個顏色形成了平衡。</p> <p>自然界中許多生物身上的圖樣，就呈現出了各種平衡下的結果，像是熱帶魚身上花紋、花豹的斑點、乳牛的黑白斑塊等；實際上，不限於生物，乾裂的大地、風吹的沙丘，甚至是化學元素的晶體，都有可能出現反應擴散下的類似紋路。</p> <p><span style="font-size:28px;"><strong>Gray-Scott模型</strong></span></p> <p>在圖靈定出的公式中，擴散比較容易理解，基本上就是擴散系數乘上Laplacian運算，我們可以簡單理解為：擴散系數大就容易擴散，某位置濃度的變化速率大也容易擴散，那麼f(Xr,Yr)、g(Xr,Yr)呢？</p> <p><a href="https://bit.ly/3ryK9LJ" target="_blank">化學家Gray與Scott曾在1983年發表的論文提出一個模型</a>：物質A會以一定速率補充，A與兩個B反應會變成三個B，然後B會以一定速率變成C，而C成惰性，不再參與反應，相當於B被排除，而這個模型成了反應擴散系統最常見的代表。</p> <p>圖靈的f(Xr,Yr)在Gray-Scott模型中，相當於-AB^2+f(1-A)，f是補充率，g(Xr,Yr)相當於AB^2-(k+f)B，k是排除率，我們可以在〈<a href="https://bit.ly/3rCcdOq" target="_blank">Reaction-Diffusion Tutorial</a>〉看到Gray-Scott模型的簡單說明，以及不同的擴散係數、k與f數值下，所產生出來的各式圖靈紋，也有生成過程的動畫展示。</p> <p>其中，比較有趣的部分是，類似Voronoi的圖靈紋。一般而言，Voronoi的基本概念是勢力均衡，然而，我們可以從反應擴散的狀況來看整個過程，例如，細胞一開始會努力擴散，直到與另一個細胞接觸，壓力成了抑制反應，直到均衡為止。</p> <p>另外，在其中一個動畫的展示，則出現了類似細胞有絲分裂的行為，文中解釋了這個現象：兩個元素接觸的邊界，若有其中一個呈現突起，就會有越多反應的機會，從而得到越多擴散的機會，最後將聚在一起的元素看來會是被切分為二，就像是細胞分裂。</p> <p>如果你有興趣玩玩各種圖靈紋，可以看看〈<a href="https://bit.ly/3IkR5TA" target="_blank">生物圖案是如何形成的？</a>〉，作者實作了一個網頁，我們可以在其中選擇不同的f、k組合，或者使用Presets預設的f、k組合，並且隨意地點選畫布，看看各種圖靈紋產生的過程。</p> <p><span style="font-size:28px;"><strong>實作Gray-Scott模型</strong></span></p> <p>若想以程式碼實作Gray-Scott模型，我們可以準備兩個二維陣列，陣列中各元素代表各位置的A、B濃度，一開始A濃度都是1，B濃度都是0，然後在點選位置處設置其他的A、B濃度，接著，在每個離散時間中，針對兩個二維陣列，進行〈<a href="https://bit.ly/3rCcdOq" target="_blank">Reaction-Diffusion Tutorial</a>〉的公式運算（選定適當的擴散濃度、f與k組合），然後將A或B繪製出來。</p> <p>關於方才談到的程式碼實作，原始碼放在GitHub的〈<a href="https://bit.ly/3KqTRbJ" target="_blank">grayscott</a>〉，作者是透過Three.js實現視覺化，至於我，則是運用CadQuery進行3D模型，而模型與原始碼鏈結，可參考〈<a href="https://bit.ly/3rwU9VO" target="_blank">Reaction-Diffusion</a>〉。相關的程式碼實作其實非常簡單，因為需要對二維陣列進行運算，若配合Numpy，在程式碼的撰寫上，只要短短幾行就能解決。</p> <p>若需要詳細的程式碼說明，我們可以參考《<a href="http://books.gotop.com.tw/v_A597" target="_blank">A-Life 使用Python實作人工生命模型</a>》，當中的第二章，一開始就介紹了反應擴充系統與Gray-Scott模型，其中就是使用Numpy實作。</p> <p>該書介紹的自動機等其他系統，也值得一看。因為，單就程式的角度來看那些複雜結果，似乎需要複雜的程式邏輯才能完成；然而，從數學的角度來描述，後續若要透過程式碼來實現，就變得易常簡單，每次在試著以程式模擬自然的過程中發現到這些，總有種窺見了某種祕密的感覺，也正因此才令人樂此不疲！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%9C%96%E9%9D%88%E7%B4%8B">圖靈紋</a></div><div class="field-item odd"><a href="/tags/turing-pattern">Turing pattern</a></div><div class="field-item even"><a href="/tags/%E5%8F%8D%E6%87%89%E6%93%B4%E6%95%A3%E7%B3%BB%E7%B5%B1">反應擴散系統</a></div><div class="field-item odd"><a href="/tags/gray-scott%E6%A8%A1%E5%9E%8B">Gray-Scott模型</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/2/3 07:00作者林信良https://www.ithome.com.tw/voice/149092
Log4j漏洞引爆開源軟體安全議題，OpenSSF基金會扛起重擔，推動修補大量軟體漏洞的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/139191">2020年</a>由Linux基金會成立的<a href="https://openssf.org/">開源軟體安全基金會（Open Software Security Foundation，OpenSSF）</a>本周宣布<a href="https://openssf.org/press-release/2022/02/01/openssf-announces-the-alpha-omega-project-to-improve-software-supply-chain-security-for-10000-oss-projects/">名為Alpha-Omega的計畫</a>，將協助尋找並修補1萬項開源軟體的漏洞。</p> <p>基本上，OpenSSF是以強化開源軟體安全為宗旨的組織，獲得業界大廠，包括微軟、Google、IBM、英特爾等支持。他們推出的最新計畫Alpha-Omega，是在Log4j漏洞公布後，白宮召集美國軟體及資安界人士共商對策後的結果，當中將透過和軟體專案負責單位，自動安全測試工具來促進開源軟體供應鏈的安全性，而在第一階段期間，微軟和Google也將投入500萬美元支持這項計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSSF%20Member-2022-02-02_230004.png" style="width: 600px;" /></p> <p>開源軟體安全基金會總經理Brian Behlendorf指出，開源碼是現代社會關鍵基礎架構的關鍵元素，因此必須儘可能確保軟體供應鏈安全，而Alpha-Omega計畫的推動，可透過發現、修補及預防漏洞，直接改善開源專案的安全性。</p> <p>同時，這項計畫透過開源軟體專案維護單位，找出程式碼中未發現過的新漏洞，並予以修補。</p> <p>它分成兩項專案，一是Alpha，一是Omega。Alpha專案是和最關鍵的開源碼專案維護單位合作找出及修補漏洞。至於最關鍵的專案，將由<a href="https://github.com/ossf/wg-securing-critical-projects">OpenSSF Securing Critical Project工作小組</a>根據專家意見及評分資料來選擇。選定的專案將由Alpha團隊成員提供檢視及修補，包括威脅建模、自動化安全測試、原始碼稽核等，用以修補漏洞。修補工作也可結合OpenSSF資源，包括<a href="https://github.com/ossf/scorecard">OpenSSF 評分表</a>或<a href="https://bestpractices.coreinfrastructure.org/en">最佳典範</a>等。最終，Alpha專案也會公布相關安全及修補措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSSF%20Best%20Practices-2022-02-02_225102.png" style="width: 600px;" /></p> <p>至於Omega專案，將運用自動化方法和工具，找出至少1萬項常用開源碼專案的重大安全漏洞，當中將結合多種方式，包含：利用雲端規模的分析「技術」、負責分類的安全分析「人員」，以及向正確OSS專案人士祕密通報重大漏洞的「流程」。Omega也會有個安全工程師組成的專門團隊，持續調校分析流程，以減少誤判率及找出新漏洞。</p> </div></div></div>
2022/2/2 23:01作者林妍溱https://www.ithome.com.tw/news/149179
Google One增添向iOS平臺用戶招手，VPN服務開始進駐蘋果裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於2020年10月，Google旗下的Google One針對2TB的Android訂閱用戶，提供免費的VPN服務，本周該公司宣布，即日起符合資格的iOS用戶，也能使用VPN服務。</p> <p>Google在2018年5月將Google Drive更名為Google One，同年即於臺灣推出Google One，除了15 GB的免費儲存空間，也能以每月65元的價格訂閱100 GB的網路儲存空間使用，每月支付90元即可訂閱200 GB，以及每月330元訂閱2TB。</p> <p>該公司提供的雲端儲存功能可擴及世界各國使用，也同時支援Android與iOS平臺，不過，2020年10月，Google One開始針對2TB訂閱用戶額外提供免費VPN服務，當時僅限於Android平臺與特定國家的用戶能使用。</p> <p>現在該服務則擴大至iOS平臺，支援VPN的地區也增加至18個國家，而現階段主要服務範圍是歐美國家，臺灣並未入列，Google透露將會持續擴張VPN服務所支援的市場。此外，Google還宣布，2TB方案將可支援最多5個家族成員，讓親友也能共享儲存空間與VPN服務。</p> </div></div></div>
2022/2/2 20:51作者陳曉莉https://www.ithome.com.tw/news/149178
數位資產走紅，印度政府提議對加密貨幣及NFT交易抽稅，比例為30%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為<a href="https://www.ithome.com.tw/news/146345">全球第二大加密貨幣採用大國</a>的印度，<a href="https://pib.gov.in/PressReleasePage.aspx?PRID=1794131">在今年2月1日舉行的國家預算會議提案</a>，將針對數位資產的交易徵收30%的稅賦，儘管這對企圖透過加密貨幣或非同質化代幣（Non-Fungible Token，NFT）獲利的使用者來說，也許是壞消息，但從另一個角度而言，卻有人表示這代表印度官方認同加密資產，也推動印度有機會成為Web3時代的領航員。</p> <p>印度財政暨企業事務部長Nirmala Sitharaman表示，有鑑於數位資產交易的頻率與規模明顯增加，任何源自於數位資產交易的營收應該徵收30%的稅賦，除了購入成本之外，在計算相關收入時，不得扣除任何支出；若有損失，也不得與其他收入抵銷，就算是贈予，也建議向接受者徵稅。</p> <p>加密貨幣在印度可說是峰迴路轉，因為，印度央行在2018年曾宣布禁止境內的加密貨幣交易，使得當地的加密貨幣交易中心相繼退出，然而，印度最高法院卻<a href="https://www.ithome.com.tw/news/136181">在2020年擱置此一禁令</a>，認為加密貨幣並未直接或間接對當地銀行造成任何損失。</p> <p>在解禁之後，印度快速成為全球採用加密貨幣的第二大國家，僅次於越南。根據加密貨幣市場分析機構<a href="https://blog.chainalysis.com/reports/2021-global-crypto-adoption-index/">Chainalysis公布的加密貨幣採用指標</a>，在前十名當中，除了位居第八的美國，其餘皆屬新興市場。</p> <p>印度金融服務業者Zerodha的創辦人暨執行長<a href="https://twitter.com/Nithin0dha/status/1488456806544588800">Nithin Kamath認為</a>，這意味著，加密貨幣在印度的角色將成為資產而非貨幣，可能會被當成股票之類的資產對待，屆時官方機構不僅可以提供加密貨幣交易，也將讓它合法化，但值得注意的是，印度政府也可能會將它集中管理，因而失去加密貨幣的分散優勢。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">The good news for crypto is that it was finally acknowledged in the budget. That doesn't mean it's legal—it will only be after the crypto bill.</p> <p>Until then, regulated entities in India can't offer trading in crypto. Here's my reading of crypto post the budget 1/5</p> <p>— Nithin Kamath (@Nithin0dha) <a href="https://twitter.com/Nithin0dha/status/1488456806544588800?ref_src=twsrc%5Etfw">February 1, 2022</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>對此，致力於推動加密貨幣的<a href="https://twitter.com/puneetiitm/status/1488438453692149763">Puneet Kumar說</a>，令他感到興奮的是，此舉很可能讓印度成為未來的Web3創新中心。</p> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2022/2/2 20:34作者陳曉莉https://www.ithome.com.tw/news/149177
Samba 修補高風險漏洞，不讓攻擊者藉此以root權限遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼的網路檔案共用存取系統軟體Samba的維護單位，<a href="https://www.samba.org/samba/security/CVE-2021-44142.html">本周發布安全公告</a>，以修補風險值達9.9分的遠端程式碼執行漏洞（Remote Code Execution，RCE）。之所以這項漏洞會揭露，最初是由臺灣資安業者戴夫寇爾（Devcore）研究人員蔡政達（Orange Tsai）通報。而受此漏洞影響的Samba版本，是4.13.17以前。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Orange%20Tsai-2022-02-02_171455.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ZDI-CVE-2021-441422022-02-02_171528.jpg" style="width: 600px;" /></p> <p>基本上，Samba是讓Unix/Linux作業系統與微軟Windows作業系統之間，透過SMB（Server Message Block）協定進行連結的軟體，可執行在Linux、Solaris、AIX、BSD，以及macOS Server、macOS用戶端（macOS X 10.2以上）等平臺。</p> <p>Samba最新揭露的漏洞位於虛擬檔案系統（Virtual File System，VFS）當中的vfs_fruit模組。而<a href="https://www.samba.org/samba/docs/current/man-html/vfs_fruit.8.html">vfs_fruit的作用</a>是提供Samba和Apple SMB用戶端的相容性，以及和Netatalk 3 AFP（Apple Filing Protocol，AFP）檔案伺服器之間的相互操作性。</p> <p>編號CVE-2021-44142的漏洞，主要是vfs_fruit模組在smbd開啟檔案時解析EA metadata過程當中，會導致越界記憶體堆積讀寫（out-of-bounds heap read/write），而在目標Samba系統上，能以root權限執行任意程式碼。對方需要具備寫入檔案的擴展文件屬性的權限，才能濫用這項漏洞，Samba也提醒，具有這項權限者有可能是訪客或非授權使用者。</p> <p>這項漏洞出在模組的預設組態，亦即fruit:metadata=netatalk 或 fruit:resource=file。若這2個組態並非當前的預設，則不受影響。但因為影響的是組態漏洞，所以故其CVSS 3.1風險值高達9.9。</p> <p>關於漏洞修正的新版本，<a href="https://www.samba.org/samba/security/">Samba維護單位已經發布</a>，使用4.13.17、4.14.12 和 4.15.5的用戶，應儘速安裝更新。<a href="https://access.redhat.com/security/cve/cve-2021-44142">Red Hat</a>、<a href="https://lists.suse.com/pipermail/sle-security-updates/2022-January/010150.html">SUSE</a>、<a href="https://ubuntu.com/security/CVE-2021-44142">Ubuntu</a>、<a href="https://linux.oracle.com/errata/ELSA-2022-0332.html">Oracle</a>等Linux作業系統廠商，以及NAS廠商<a href="https://www.synology.com/en-id/security/advisory/Synology_SA_22_02">群暉科技</a>，也都公布相關資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Red Hat-2022-02-02_172126.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Red%20Hat-2022-02-02_172126.png" style="width: 280px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Ubuntu-2022-02-02_172147.png" style="width: 280px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Synology-SA-22 02 Samba.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology-SA-22%2002%20Samba.png" style="width: 280px;" /></a></p> <p>未能安裝更新版本者，Samba維護單位建議，應開啟Samba組態檔（smb.conf），從VFS物件組態清單中移除「fruit」VFS模組。此外，雖然非預設組態不受影響，但他們也提醒，變更VFS模組設定fruit:metadata 或fruit:resource，可能讓macOS用戶端無法存取已儲存的所有資訊，如此一來，會發生形同整批資訊遺失的狀況。</p> </div></div></div>
2022/2/2 17:40作者林妍溱https://www.ithome.com.tw/news/149175
顧慮自動駕駛的減速通過路口功能違反美國道路法規，特斯拉與當局取得協議，將關閉允許汽車滑行通過停車標誌的FSD功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月起，特斯拉（Tesla）<a href="https://static.nhtsa.gov/odi/rcl/2022/RCLRPT-22V037-4462.PDF">將召回安裝在53,822輛特斯拉汽車</a>上的全自動輔助駕駛（Full Self-Driving，FSD）設置，而被美國政府要求召回的主因是當中的「Rolling Stop」功能，允許汽車在行經設立停車標誌的交叉路口時，以滑行的方式低速通過，而非完全停止。</p> <p><a href="https://www.ithome.com.tw/news/146937">去年9月，特斯拉開放擁有安全駕駛條件的特斯拉車主測試FSD功能</a>，但美國國家公路交通安全管理局（NHTSA）發現，其FSD測試版含有允許駕駛滑行通過具停車讓行標誌的功能，儘管迄今尚未出現因此而發生的車禍，但與該公司討論之後，車商決定自願關閉該功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tesla%20recall%20report-2022-02-02_155321.jpg" style="width: 600px;" /></p> <p>「Rolling Stop」必須由駕駛主動啟用，而且須在許多條件成立之後，才會讓汽車以時速最高9公里（5.6哩）的滑行狀態通過設立停車標誌的路口，這些條件包括：路口附近未偵測到行人或移動車輛、路口須有足夠的能見度、交叉路口的所有道路限速為時速48公里以下，綜合這些現場狀態，汽車才能夠滑行而不直接停止。</p> <p>根據美國的交通規則要求，車輛行駛時，只要遇到設有停車標誌的路口，都必須先停車，確認無風險之後，才能通過。此一召回影響所有安裝FSD測試版的Model S、Model X、Model 3與Model Y。</p> <p>基本上，FSD中的「Rolling Stop」功能，始於2020年10月釋出的2020.40.4.10韌體版本，特斯拉已準備在最新的2021.44.30.15版本中關閉該功能，並於今年2月起陸續發布通知，同時，該公司也決定，未來上市的新車都將不會具備「Rolling Stop」功能。</p> </div></div></div>
2022/2/2 16:05作者陳曉莉https://www.ithome.com.tw/news/149174
MariaDB今年將在紐約證交所上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月1日，開源資料庫軟體業者MariaDB<a href="https://mariadb.com/newsroom/press-releases/mariadb-corporation-ab-to-become-a-publicly-traded-company-via-combination-with-angel-pond-holdings-corporation/">公布在紐約證交所上市的計畫</a>。他們預計透過與特殊目的收購公司（SPAC）合併之後，到紐約證交所上市。</p> <p>MariaDB總部位於芬蘭赫爾辛基，是在2009年MySQL被甲骨文收購後、由MySQL原本的開發團隊而組成的公司，現在也成為全球成長最快，且最多人使用的開源碼資料庫軟體。以市場採用規模而言，<a href="https://mariadb.com/newsroom/press-releases/mariadb-database-of-the-year-record-setting-fiscal-year-global-presence-at-m17-user-conference/">在2017年，該公司公布其用戶數已經超過1,200萬。</a></p> <p>目前MariaDB提供的解決方案，不只是本地部署的資料庫，也提供雲端上的資料庫即服務（Database as a Service，DBaaS）SkySQL，以及其他資料庫工具，預期今年9月營收將達到4,740萬美元。</p> <p><a href="https://s4.itho.me/sites/default/files/images/skysql_arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/skysql_arch.png" style="width: 600px;" /></a></p> <p>而在MariaDB這次揭露的消息當中，表示他們獲得Series D 1.04億美元的投資，也公布將與已在紐約掛牌的SPAC公司Angel Pond Holdings合併的上市計畫。該項合併交易預計在會計年度2022年下半完成。屆時，新公司的市值將來到6.72億美元，仍稱MariaDB，並由現有執行長Michael Howard繼續執掌。而與其合併的Angel Pond，是由前高盛證券合夥人Theodore Wang及阿里巴巴共同創辦人謝世煌共同創辦。</p> <p>MariaDB表示，在開源碼商業模式之下，使得該公司得以提供專屬企業功能結合混合雲及多雲DBaaS服務。透過增資及上市，該公司得以參與快速擴大的DBaaS市場，他們預期，到了2025年，這類型的軟體應用服務將以27%年複合成長率，而達到330億美元的市場規模。</p> <p><a href="https://mariadb.com/products/skysql/comparison/"><img alt="" src="https://s4.itho.me/sites/default/files/images/SkySQL%20Pricing.png" style="width: 600px;" /></a></p> </div></div></div>
2022/2/2 15:05作者林妍溱https://www.ithome.com.tw/news/149173
因法遵成本過高，Yahoo! Japan 4月將終止歐盟區、英國服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到GDPR等法規遵循造成成本過高，Yahoo! Japan昨（2/1）日公告，<a href="https://privacy.yahoo.co.jp/notice/globalaccess.html">將在今年4月初暫停歐洲經濟區及英國的大部分服務</a>。</p> <p>Yahoo! Japan指出，由於該公司判斷難以持續提供客戶使用環境，從2022年4月6日起，歐洲經濟區（EEA）及英國將無法使用大部份服務，也請兩個地區的Yahoo! Premium服務用戶取消訂閱。</p> <p>不過，Yahoo! Mail、Yahoo! Card及ebookJapan這三項服務將於上述兩地持續提供，但Yahoo! Mail也有部分功能無法使用，包括新增、變更Yahoo! Mail信箱，以及超過6個月未使用的帳號恢復使用等。<a href="https://www.jiji.com/jc/article?k=2022020100915&g=eco)Yahoo">日本媒體引述 Yahoo! Japan高層的說法指出</a>，在這些市場法規遵守的成本過高，導致該公司認為難以持續提供服務。</p> <p>目前來看，歐洲經濟區30國及英國的用戶約占Yahoo! Japan總體用戶的1%。而Yahoo! Japan這項決定並不擴及全球其他地區，但仍會影響前往這些地區旅行的其他國家用戶。</p> <p><a href="https://www.theverge.com/2022/2/1/22911965/yahoo-japan-europe-offline-regulations-compliance-gdpr">根據The Verge報導指出</a>，Yahoo! Japan從歐洲區撤離，是為了將資源用於擴張日本以外的全球市場。事實上，Yahoo! Japan並非過去美國網路巨人雅虎（Yahoo）的日本分公司，而是由雅虎和日本科技巨擘軟銀於1996年合資成立，是日本最大入口網站。Yahoo Japan目前是軟銀透過Z控股母公司持有，而<a href="https://linecorp.com/en/pr/news/en/2021/3646">Z控股去年3月和日本通訊軟體Line合併</a>。</p> </div></div></div>
2022/2/2 11:31作者林妍溱https://www.ithome.com.tw/news/149171
Alphabet財報出爐，Google Cloud營收成長45%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月1日，Alphabet公布<a href="https://abc.xyz/investor/static/pdf/2021Q4_alphabet_earnings_release.pdf">去年第四季財報</a>，顯示該季創下753億美元的營收，比2020年同期成長32%，其中成長最多的是Google Cloud雲端服務，營收為55億美元，成長幅度為45%。當天Alphabet盤後股價上漲了逾9%，使其每股價格超過3,000美元。</p> <p>就753億美元的營收而論，有694億美元來自Google服務，成長了22%，Google Cloud營收為55億美元，成長了45%，另有1.8億美元來自新創事業（Other Bets），衰退7.7%。此外，就在Alphabet營收成長的當下，該公司全球的員工數也達到15.6萬人，比2020年同期的13.5萬人增加15.6%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Alphabet%20Revenues%2C%20%20Traffic%20%20Acquisition%20%20Costs%20.png" style="width: 600px;" /></p> <p>此外，去年第四季Alphabet的淨營收為206億美元，每股盈餘（EPS）達30.69美元，分別成長35.6%與37.6%。</p> <p>整體而言，Google Cloud維持與2020年同期一樣的成長幅度，而Alphabet暨Google執行長Sundar Pichai則強調，即使在全球供應鏈緊縮的狀態下，Pixel手機仍然創下單季銷售紀錄。不過，Alphabet並未揭露Pixel手機的銷售量。</p> <p>資深科技媒體人Jon Erlichman整理Alphabet自2009年以來的財報表現，<a href="https://twitter.com/JonErlichman/status/1488620607487070208">突顯Alphabet仍在加速成長中</a>，他表示，Google在2006年以16.5億美元買下YouTube之後，現<a href="https://twitter.com/JonErlichman/status/1488628159184572420">在YouTube每17天就替Google賺進16.5億美元</a>，堪稱是一筆投資報酬率超高的交易。</p> </div></div></div>
2022/2/2 12:00作者林妍溱https://www.ithome.com.tw/news/149172
簡化用戶大規模TLS與憑證管理，Google Cloud推出憑證管理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在用戶的網站存取憑證應用上，Google Cloud推出憑證管理工具<a href="https://cloud.google.com/blog/products/identity-security/simplify-saas-scale-tls-certificate-management">Certificate Manager</a>，以及整合外部HTTPS負載平衡器的功能，讓用戶在外部HTTPS負載平衡的設置上，搭配更多的憑證和網域。基於這樣的功能，用戶能夠直接使用Google Cloud的TLS全代管型服務，或是在自有的憑證生命周期管理解決方案，使用現有的TLS憑證和金鑰。</p> <p>有了Certificate Manager，用戶能以簡單的方式來管理和使用TLS憑證，自動發行和續訂由Google管理的憑證，而用戶能夠上傳來自第三方CA所生成的憑證。Google表示，Certificate Manager靈活的對應機制，使得用戶可以在Google雲端環境大規模精細地控制憑證和主機名稱的分配。 </p> <p>藉由使用Certificate Manager，用戶能對每個負載平衡器部署多達一百萬個憑證，Google Cloud表示，Certificate Manager搭配具有自動擴展和故障轉移的全球任播（Anycast）負載平衡解決方案之後，用戶便可建構低延遲且高可用性的SaaS和PaaS產品。</p> <p>有哪些情境適合採用Certificate Manager？Google Cloud表示，每臺負載平衡器管理的憑證超過15個，或是想要自動獲取和續訂由Google管理的憑證，也可提前配置憑證，避免從其他供應商搬遷到Google雲端所造成的停機等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Certificate%20Manager-cm-entities.png" style="width: 600px;" /></p> <p>想改用外部HTTPS負載平衡的用戶，現在能夠搭配Certificate Manager，也可以採用網路安全服務Cloud Armor保護SaaS服務，而免受DoS或是其他常見的網頁攻擊。外部HTTPS負載平衡是以代理伺服器為基礎的第7層負載平衡器，讓用戶可以在單個外部IP地址後，執行和擴展服務，外部HTTPS負載平衡可以將HTTPS流量分配到Compute Engine、GKE和Cloud Storage等各種Google雲端服務，也能透過網際網路或是混合方式連接外部後端。</p> <p>另外，新的Certificate Manager也讓用戶能夠使用DNS授權，配置由Google管理的用戶憑證，並且在負載平衡產品環境完全設定完成之前就能夠開始使用，也就是說，Certificate Manager會將憑證安全地儲存和部署在用戶所選擇的代理，讓用戶提前配置憑證，確保搬遷期間零停機。這個基於DNS的網域身分授權功能，還提供用戶Wildcard憑證支援。</p> <p>Google也預告，Certificate Manager將讓用戶透過Cloud Logging的搭配，來監控憑證是否過期，這樣的日誌訊息會於每個小時發送一次，其中會包含即將到期，或是已經到期的憑證樣本。</p> <p>在Certificate Manager的服務計價方式上，目前使用的憑證數量，頭1百個不收取額外費用，若超過1百個，將會按每憑證每月定價收費。</p> </div></div></div>
2022/2/2 10:49作者李建興https://www.ithome.com.tw/news/149165
Google釋出BigQuery整合SAP資料的連接器，能融入其他企業資料集進行綜合分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google對外釋出針對企業內部使用、可將SAP資料複製到雲端倉儲BigQuery的工具，名為<a href="https://cloud.google.com/blog/products/data-analytics/bigquery-connector-for-sap">BigQuery Connector for SAP</a>，該連接器提供快速且低成本的方式，供用戶將SAP資料和BigQuery整合在一起，使用戶得以在BigQuery分析SAP資料，以無伺服器架構、高度延展性來實現多個雲端資料倉儲，提升業務敏捷性。</p> <p>不少SAP用戶想要藉由分析業務資料，來掌握更多的趨勢和市場機會，但是過去這並不容易，原因在於SAP用戶難以將ERP資料結合其他雲端原生資料集、企業資料，進行大規模綜合分析。</p> <p>現在Google Cloud推出的BigQuery Connector for SAP，最大訴求在於提供兼具快速、簡單、高成本效益，以及大規模擴展能力的方法，促使SAP資料能在BigQuery當中存取，此種作法主要是藉由SAP用戶現有的SLT（SAP Landscape Transformation Replication Server）工具和技能，就可將SAP資料複製到BigQuery中。</p> <p>BigQuery Connector for SAP是第一款用於BigQuery的SAP SLT近即時連接器，不需要用戶配置額外基礎設施和第三方中介軟體，就可以使用各種嵌入或是獨立的方式進行部署，Google Cloud提到，多數用戶在1個小時內，即可完成BigQuery Connector for SAP的安裝。同時，這款連接器所適用的對象，不單是Google Cloud環境當中部署的SAP應用程式，還可包括運作於企業內部和任何雲端服務的SAP應用程式，都可透過部署這個連接器來實現進一步的分析。</p> <p>Google Cloud也提到他們開發BigQuery Connector for SAP的種種考量，像是：使用成本與複雜性，因此使得設計出來的連接器能夠以毫秒為單位，即時進行差異資料複製（deltas replicated），且無論部署的位置是雲端或本地端，皆能整合當前所有SAP Netweaver應用程式的資料。在實際應用上，BigQuery Connector for SAP會自動對應資料類型，而且還可以從資料來源直接到BigQuery當中產生目標資料表。</p> <p>同時，BigQuery Connector for SAP也透過應用程式層整合得作法，避免直接存取資料庫的問題，更重要的是，用戶只要憑藉現有的SAP技能，就能完成各種操作，免除額外的學習成本。Google解釋，之所以使用SAP SLT作為連接器的邏輯基礎，是因為SAP用戶通常已經安裝SLT來進行SAP分析資料整合，而且SLA也適用所有非SaaS SAP應用程式環境，同時支援大規模即時複製。</p> <p>就Google本身的實際使用驚艷而言，BigQuery Connector for SAP已用來複製重要的財務和供應鏈資料，他們從超過500個資料表中複製數十億筆資料，並將這些資料放進BigQuery資料湖中，將ERP資料結合其他可能用於即時分析和機器學習應用案例的資料源，提供更深層的策略洞察分析，以支援業務和營運的卓越發展需求。</p> <p>肇因於運用SAP SLT，BigQuery Connector for SAP其實是能夠整合源於任何SAP系統的即時資料流，並且自動處理部分繁重的工作，像是在SAP和BigQuery之間，自動進行複雜且多階段的SAP資料轉換，還能在BigQuery中建立目標資料表綱要來儲存那些經過轉換的資料類型，甚至能夠適應SAP中出現的新資料類型。</p> <p>除了制式功能，BigQuery Connector for SAP提供額外的自定處理能力，來符合企業用於自動推薦情境下的調校需求。無論如何，對於想要簡單複製SAP資料，並且結合其他資料以獲得綜合分析結果的用戶，Google Cloud強調，BigQuery Connector for SAP提供高效能資料整合功能，賦予用戶即時整合企業資料集的能力，更輕鬆地獲得業務分析資訊。</p> </div></div></div>
2022/2/1 22:30作者李建興https://www.ithome.com.tw/news/149168
Meta支持的加密貨幣專案Diem將出售資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在宣布約2年半後，由臉書（現改名Meta）支持的加密貨幣組織D<a href="https://www.prnewswire.com/news-releases/statement-by-diem-ceo-stuart-levey-on-the-sale-of-the-diem-groups-assets-to-silvergate-301471997.html" target="_blank">iem協會昨（1/31）日宣布將把資產出售</a>，並將縮編，使曾經震撼金融界及各國央行的計畫壯志未酬。</p> <p>Diem協會表示，將把經營Diem支付網路的智財及其他資產賣給Silvergate Capital。</p> <p><a href="https://www.ithome.com.tw/news/131332" target="_blank">Diem是源自臉書2019年6月宣布加密貨幣Libra計畫</a>。當時臉書的目標是打造出一個全球性的加密數位貨幣金融基礎架構，以服務無法在銀行借不到錢或完全被隔絕於現有金融系統外的使用者。</p> <p>臉書同時也成立了子公司Calibra來經營Libra支付網路，並和10多家金融及網路公司成立非營利的Libra協會。Libra幣預計在2020年正式上路。然而Libra遭到各國政府及央行的抵制，認為欠缺透明度及不受監管，可能助長洗錢及犯罪交易，以及挑戰現有貨幣制度，連美國政府都出面干預。</p> <p>2020年臉書將Calibra公司改名為Novi持續規畫加密貨幣，<a href="https://www.ithome.com.tw/news/141419" target="_blank">而Libra協會也改名為Diem協會</a>，後者再成立經營支付網路的Diem支付網路（Diem Payment Network）。Meta的<a href="https://www.ithome.com.tw/news/147365" target="_blank">Novi數位錢包終於在去年10月推出</a>，但是長久推動Libra/Novi幣的<a href="https://twitter.com/davidmarcus/status/1465740041339092994" target="_blank">David Marcus卻在一個月後離開Meta</a>，也讓該公司加密貨幣團隊蒙上不確定的陰影。</p> <p>Diem協會執行長Stuart Levey指出，Diem支付網路最重要任務之一是建立了多項控制機制，以確保落入不法人士之手，包括禁止匿名交易以防止洗錢，同時也獲得部份主管機關認同，Diem是美國政府見過設計最好的穩定幣。然而他指出，聯邦主管機關和Diem的對話最終顯示這個專案無法再走下去，因此最好辦法是出售Diem集團的資產。</p> <p>未來Silvergate將持續推動Diem的願景，未來幾周Diem協會及其子公司將展開縮編，但是他表示，他們對以區塊鏈執行穩定幣的潛力仍抱持信心，也期待Diem的理想會發揚光大。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-01-25/zuckerberg-s-stablecoin-ambitions-unravel-with-diem-sale-talks" target="_blank">上周彭博報導</a>Diem要出售的消息，但遭該公司駁斥為諸多事實訛誤。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-01-25/zuckerberg-s-stablecoin-ambitions-unravel-with-diem-sale-talks" target="_blank">彭博上周也報導</a>Meta計畫出售Diem資產以便將資金歸還投資人。</p> </div></div></div>
2022/2/1 17:00作者林妍溱https://www.ithome.com.tw/news/149170
微軟擴增Azure Firewall最大吞吐量，還在日誌添加網路規則名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應更高的吞吐量需求，微軟發布<a href="https://azure.microsoft.com/zh-tw/blog/new-performance-and-logging-capabilities-in-azure-firewall/">Azure Firewall更新</a>，將Azure Firewall Premium吞吐量提高至超過3倍以上，並且在日誌記錄支援規則名稱，使得用戶能夠更方便地監控防火牆事件。。</p> <p>隨著企業將越來越多的工作負載搬遷到雲端，公有雲已經應用在各種服務、規模和經濟效益創新上，微軟表示，當應用程式搬遷到雲端，也增加網路吞吐量需求，這些流量對於路徑上的各部分都帶來壓力。</p> <p>目前Azure Firewall可支援到30 Gbps吞吐量，雖然這個吞吐量已經可以滿足大部分的使用案例，但微軟提到，他們看到有一些組織有對吞吐量有更高的需求，隨著更多應用程式搬遷到雲端，網路上的各部分都可能成為效能瓶頸，尤其是作為網路流量必經路線的防火牆。</p> <p>為此，微軟強化Azure Firewall Premium效能，針對雲端部署提供更大的可擴展性。這部份特色主要反映在最大吞吐量的增加，從原本的30 Gbps提升至100 Gbps，幅度高達300％以上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Firewall traffic tstingTopology0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Firewall%20traffic%20tstingTopology0.png" style="width: 600px;" /></a></p> <p>另外，微軟也在網路日誌的處理上，提供規則名稱標示的功能，網路規則的名稱如同應用程式規則，現在也會出現在日誌中。過去在觸及網路規則的事件當中，僅會顯示來源、目標IP位址／連接埠，以及操作，而這項功能，會使網路規則事件日誌顯示政策名稱、規則集合群組、規則集合和規則名稱。</p> <p>若要啟用網路規則名稱功能，用戶也能在Azure PowerShell輸入指令，這作法可在更改規則、更改設定，或是停止和啟動操作之際使用，以便快速使該功能生效，否則防火牆會在數天後才會啟動該功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Firewall network rule name logging.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Firewall%20network%20rule%20name%20logging.jpg" style="width: 483px;" /></a></p> </div></div></div>
2022/2/1 20:54作者李建興https://www.ithome.com.tw/news/149166
Citrix以165億美元出售並下市，將和Tibco合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以虛擬化軟體著稱的業者Citrix，<a href="https://www.citrix.com/news/announcements/jan-2022/takeprivate.html">在1月31日宣布</a>將以165億美元賣給投資公司，並下市成為私有化公司。</p> <p>目前Citrix已和Elliott Management 旗下兩家私募基金公司：Evergreen Coast Capital及Vista Equity Partners，達成收購協議。這兩家公司將以全現金方式，以每股104美元（該公司去年12月20日收盤價的24%溢價），總價165億美元收購Citrix包括其債權。</p> <p>這項消息是在周日<a href="https://www.wsj.com/articles/elliott-and-vista-near-deal-to-buy-citrix-systems-11643567043?mod=djemalertNEWS">華爾街日報引述消息人士報導</a>後，正式對外揭露。當時所報導兩私募資金業者收購價，為130億美元。</p> <p>Citrix收購交易已獲得董事會同意，預定今年年中完成。完成收購後，Citrix將下市，但會持續以原品牌營運，總部也會留在佛州羅德岱堡（Fort Lauderdale）。</p> <p>在該公司的發展上，早期提供企業虛擬桌機（Virtual Desktop）及虛擬化軟體為主，近年因應企業運算型態改變，也提供行動裝置管理及資安雲端服務。不過，根據華爾街日報報導所言，Citrix近年面臨舊式軟體公司如VMware轉型的挑戰，力求將過往銷售軟體授權的營收模式轉為訂閱制，以確保穩定不絕的營收，在這樣的嚴峻態勢之下，去年第三季Citrix仍然繳出成長13%的成績，但股東並不滿意，揚言出售公司。今年10月執行長David Henshall在董事會壓力之下而離開，並退出董事會。</p> <p>在收購Citrix後，兩個新東家計畫將Citrix與企業資料整合軟體業者Tibco合併，而<a href="https://www.tibco.com/press-releases/2014/tibco-be-acquired-vista-equity-partners-2400-share-cash">後者已於2014年賣給Vista Equity</a>。</p> <p>這兩家軟體廠商合併之後，可整合Citrix的數位工作場域（即虛擬桌機）和應用程式派送，以及Tibco的即時智慧資料及分析軟體，這當中也包括Tibco這幾年來併購的多家公司，例如，資料自動化廠商Scribe、商業智慧廠商Information Builders及記憶體內資料平臺SnappyData。</p> <p>基於這樣的合併，Citrix認為，可望形成全球最大軟體供應商，提供企業應用及桌面應用派送、資料管理、商業智慧等方案推動混合雲IT策略。雙方客戶高達40萬家，涵括財星500大企業的98%，以及分佈100多個國家的1億用戶。不過，<a href="https://www.cnbc.com/2021/07/23/vista-equity-considers-sale-of-tibco-sources-say.html)Tibco">根據去年媒體報導，Vista Equity曾考慮出售Tibco</a>。</p> </div></div></div>
2022/2/1 18:01作者林妍溱https://www.ithome.com.tw/news/149169
Python開發者也能導入差分隱私保護，Google擴大開放程式庫原碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2019年9月，<a href="https://developers.googleblog.com/2019/09/enabling-developers-and-organizations.html">Google已先行開放</a>differential privacy基礎程式庫的C++、Java及Go的原始碼。所謂的<a href="https://zh.wikipedia.org/wiki/%E5%B7%AE%E5%88%86%E9%9A%90%E7%A7%81">差分隱私</a>，是一個資料共享方法，僅分享描述資料庫的一些統計特徵，而不公開具體個人資訊，其精神是如果隨機修改資料庫中的一個記錄造成的影響夠小，所求得的統計特徵，就不能被用來反推出單一記錄的內容，即在保留庫統計學特徵的前提之下，能夠去除個體特徵以保護使用者隱私。</p> <p><a href="https://developers.googleblog.com/2022/01/expanding-access-to-differential-privacy.html">Google產品經理Miguel Guevara指出</a>，differential-privacy這項開源專案的目的是希望提供公開透明的方式，讓研究人員可檢查當中程式碼。去年的專案引發迴響，例如開發醫療資料隱私分析工具的開發商Arkhn等，以及希望透過可證實的私有資料來加速科學發現的澳洲開發者。。</p> <p>因此Google進一步和開源界開發商OpenMined合作，經過一年的努力，今年1月28日舉行的資料隱私日，兩家公司共同宣布新的差分隱私工具<a href="https://blog.openmined.org/announcing-pipelinedp-an-api-for-applying-differential-privacy-in-production/">PipelineDP</a>，讓Python開發商可以在差分隱私保護下處理資料。這也讓這家軟體大廠的差分隱私程式庫擴及占全球半數的Python開發族群。</p> <p>目前已有單位利用這套Python程式庫實驗新的應用情境，像是以集結、匿名方式顯示每個網站當中各國造訪次數最高的網頁。這個程式庫可配合大型資料處理最主流的兩個引擎：Spark和Beam框架使用，為使用及實作提供更大的彈性。</p> <p>Google也會持續發展新的差分隱私工具，供開發人員執行數據的圖解呈現，以及調校產生差別隱私資訊的參數。此外他們也會<a href="https://arxiv.org/abs/2201.11603">發布論文</a>，公開將差分隱私擴充到超過1 PB規模的資料集。</p> <p>目前，Google內部也正在訓練開發差分隱私方案的團隊，這當中包括人流報告（Mobility Reports）與Google Maps「最受歡迎次數」功能幕後的基礎架構，他們也將協助OpenMined建立專家團隊，提供差分隱私技術部署的學習資源。Google也鼓勵開發人員加入實驗差分隱私應用情境，像是統計分析、機器學習，並提供回饋意見。</p> </div></div></div>
2022/2/1 16:46作者林妍溱https://www.ithome.com.tw/news/149167
別為了急於省電而犧牲安全性，微軟建議Windows電腦至少要持續連網8小時，否則無法完整安裝更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>系統更新是微軟確保Windows功能與安全性處於最佳狀態的重要作法，但這麼多年以來，總有各式各樣因素使得用戶無法做到。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/achieve-better-patch-compliance-with-update-connectivity-data/ba-p/3073356">微軟端點安全產品經理David Guyer指出</a>，他們耗費很多時間來了解何以Windows裝置無法完全更新到最新版。根據他們的研究，最大關鍵之一是，裝置必須連網、開啟Windows Update連線，才能成功安裝品質及功能更新，若未能到達足夠的連網時間，就無法成功安裝更新。</p> <p>微軟端點安全部門資料顯示，Windows裝置最少必須連續開啟Windows Update連線 2小時，而在更新釋出達到穩定更新後，需再連線6小時，才能確保成功下載更新及背景安裝，並在裝置開啟及連網狀態下重啟電腦。</p> <p>微軟稱此量測項目為更新連網（Update Connectivity），這個指標是指一段時間，涵蓋了裝置啟動及連結到微軟服務，如Windows Update的時間。根據微軟的統計，若是不在Windows 10服務版本當中的電腦，有將近50%未能達到最低更新連網時間。而在Windows 10服務版本當中的電腦，有近25%的安全更新超過60天，比起最少的更新連網時間還要更短少。</p> <p>對此，微軟建議IT管理員向電腦持有者宣導，下班後電腦應插上電源並連網，以便下載及安裝更新，而非將電源關閉。此外微軟也指出，因為企業電源管理及個人使用習慣，使得電腦太快進入深度睡眠或休眠狀態，也會造成更新無法有效安裝，因此IT管理員必須考慮電源管理及安全的平衡，微軟也提供Security Compliance Toolkit，當中提供了Windows安全基準的群組原則設定，可供企業設定電源管理政策時參考。</p> <p>微軟認為更新連網是判斷企業電腦風險，以及採取督促措施的有效工具，也建議管理員應辨識出未達到更新連網時間門檻的裝置，因為未達到「更新健康」狀態的裝置可能無法獲得完整更新，增加企業安全風險。</p> <p>要辨識出更新連網不足的裝置，以微軟本身提供裝置管理工具Microsoft Intune為例，IT人員可以從中找到公司裝置上的細項報告。方法是開啟「裝置管理員」>「監視器」，選擇「功能更新失敗/Feature update failures」或「Windows派送更新失敗/Windows Expedited update failure」，或是查閱Intune中的總結報告，路徑是「報告」>「Windows Update」下選擇「報告」分頁中的「Windows派送更新失敗/Windows Expedited update failure」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HeatherPoulsen_1-1643291738979.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HeatherPoulsen_1-1643291738979.png" style="width: 600px;" /></a></p> </div></div></div>
2022/2/1 14:06作者林妍溱https://www.ithome.com.tw/news/149164
掌握大腦習性讓產品開發事半功倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年夏天，我和我的家人正在享受一段美好的假期。有一天下午，由於我們這段時間外食太多，所以想吃一點便宜的東西，尋找一些比餐館更熟悉的味道，於是我們去了雜貨店。</p> <p>我們到雜貨店的第一件事就是尋找玉米穀片。一如往常，我們的孩子在商店的通道跑來跑去、彼此推擠。身為父母的我們，想要避免在孩子撞上東西之前，趕快做出要買哪個穀片的決定。</p> <p>過了一會兒，我們拿起一包玉米片，抓了一盒類似穀麥脆片的東西，然後轉到下一個賣場通道，不幸的是，我們忘了去拿牛奶和同樣在那個通道上的一些其他東西。</p> <p>後來我們回家了，那一盒類似穀麥脆片的東西超棒的，然而，玉米片卻糟透了。在匆忙之下我們忽視了一個重要的訊號：玉米片包裝上的灰塵。</p> <p>在日常生活中，與此類似的真實故事很多，其實，只要我們用心，皆可以在生活中實踐行為科學。我喜歡從基本的開始，身為人類，我們是受限的，且經常忽視一些細節。光是用想的，我們無法立即知道哪個穀片是最好的，我們必須耗費時間和精力進行分類，透過經驗做出決定。如果我們花太多時間成本，也會衍生出其他問題（例如，我前面所舉的生活例子，我的孩子可能會撞到貨架等等）。同樣地，我們的注意力、意志力和做事能力也很有限，你可以想像得出來。</p> <p>不過這也不完全是壞事，他們只是反應生活中的現實。又如，我也很難想像若這些能力不受限會發生什麼事──同時間注意到所有的事情──這並不是我們被創造出來的目的。</p> <p>我們可以將數十年的行為研究，歸納為以下幾個要點：</p> <p><span style="color:#B22222;"><strong>‧我們在專注力、時間上、意志力等方面皆受到限制。</strong></span></p> <p><span style="color:#B22222;"><strong>‧我們有兩種思想：我們的行動取決於有意識的思想和無意識的思想反應，像是習慣。</strong></span></p> <p><span style="color:#B22222;"><strong>‧在這兩種情況下，我們的思維都因為受到限制，使用捷徑來節省成本並做出快速決策。</strong></span></p> <p><span style="color:#B22222;"><strong>‧我們所處的環境會嚴重影響我們的決策和行為，從而加劇或減輕我們的偏見與意圖行動差距（intention-action gap）。</strong></span></p> <p><span style="color:#B22222;"><strong>‧可以巧妙、周詳地設計環境，以改善人們的決策與縮小意圖行動差距（intention-action gap）。</strong></span></p> <p><span style="font-size:28px;"><strong>我們是受限的</strong></span></p> <p>誰沒有在生活中的某個時刻忘記什麼？健忘是我們人類其中一個弱點。可惜的是，有很多方法使我們的思維受到限制並導致我們做出非最佳選擇，包括注意力有限、認知能力和記憶。</p> <p>這些限制環環相扣。以注意力來說，有太多事情時時刻刻在攫取我們的注意力。例如，我們可能是注意自己的心跳聲，或正在我們附近進行有趣對話的人，或已經逾期但我們還未繳交的報告。不幸的是，研究員一次又一次地說明了我們有意識的大腦一次只能專注一件事情。儘管也有很多媒體報導說明人可以同時做好幾件事，但我認為這始終是一個謎。我們可以轉換注意力，我們可以從專注在一件事情上，移到另一件事情上，並且不斷循環這個過程。但實際上，注意力的轉移很耗費時精力，它會使我們的速度慢下來，然後使我們的思考變得不清晰。有鑑於此，我們只能一次專注在同一件事情上，不過由於可能同時發生許多緊急或有趣的事情，因此，很多時候我們經常無意識的在做事。</p> <p>同樣地，我們的認知能力（coginitive capacity）是受到限制的：我們根本無法同一時間在大腦中容納許多無相關的想法，或同時出現很多訊息。你可能聽過一個故事：美國電話號碼的組成是七個數字再加上區碼，是因為研究人員發現，人們最多可以一次記下七個毫無關聯性的數字，然後加減二個，上至九位數，下至五位數。</p> <p>另外，面對各種各樣的事情，我們可能會變得不知所措或面臨選擇的癱瘓，即使我們有意識地尋找更多的選擇。研究人員將此稱為選擇駁論（paradox of choice）：我們有意識的頭腦，認為擁有更多的選擇項總是比較好，但實際上當我們要做出決定時，卻受限於認知能力和選擇上的困難。</p> <p>最後來討論我們的記憶，很多時候並不完美，而且這是無法改變的。對於大多數的我們，擁有一個不完美的記憶是很正常的。我們的記憶並不像高畫質影片，大多數的時候比較像是影像碎片的重組。</p> <p>所以這些認知限制（cognitive limitation）是什麼？它們對產品工作者很重要是出於以下兩個原因：首先，這些認知限制，意味著有時我們的用戶即使在符合自己的興趣下，也沒能做出最好的選擇。他們可能分心、忘記事情了，或者當下不知所措。我們不應將一些錯誤的選擇解釋為他們不願意做得更好（或使用我們的產品）；相反的，這只是他們的人性弱點在起作用。所以，我們可以設計產品，避免使用者因受限的能力而負擔過重。</p> <p>第二，我們的限制很重要，因為我們聰明的大腦運用兩個獨立的系統，並使用了很多捷徑的方式。在開發產品和溝通時，我們應該了解那些捷徑，並運用捷徑來幫助、協助我們。</p> <p><span style="font-size:28px;"><strong>我們的大腦分成兩部份</strong></span></p> <p>你可以把大腦想像成兩種類型的思考：一種是有經過審慎思考，另一種則是依靠直覺反應來完成。這是一個對於複雜流程很有用的方式。我們的直覺反應（又稱為直覺，或系統一），是快速且自動的。但是我們通常不了解內部運作的方式。這是利用了我們過去的經驗和一套簡單的經驗法則，幾乎可以立即為我們提供對情況的直觀評估──透過我們的情感和周圍的感覺，我們的身體產生一種「直覺」（gut feeling）。在熟悉的情況下，與我們過去的經驗相關的地方，通常非常有效。相反地，在陌生的情況下則表現不佳。</p> <p>我們的審慎思維（又稱為意識，或系統二），是緩慢且專注的，具有自我意識，以及我們大多數的人所認為的思想。我們可以理性地使用系統二，應對不熟悉的情況並處理複雜的問題。很可惜，系統二能處理的資訊量受到一定的限制（人類的短期記憶力，要同時處理七位以上的數字就很困難了！），因此，我們需要依賴系統一負責大部分的思考工作。這兩個系統可以平行獨立運作，而且可以互不同意──所以，有時我們認真思考的結果雖然沒有問題，但還是可能覺得自己的決定「有些地方不對勁」。</p> <p>這意味著我們在行動時通常不會思考，至少不是有意識的選擇。我們大多數日常行為都由我們的直觀模式控制。我們習慣養成和直覺，是根據我們過去的經驗對情況做評估或使用經驗法則（我們的心理機制中內置的認知捷徑或啟發式方法）。研究人員估計大約有一半的日常生活花費在習慣養成，和在無意識的情況下做事。通常只有當我們處於一種新的情況下時，我們的意識才會活躍起來。或者，當我們有意識地將注意力放在某個任務上。</p> <p>很可惜的是，我們有意識的思想認為他們一直在工作。一位哲學家Joathan Haidt在他的書《象與騎象人：全球百大思想家的正向心理學經典》（The Happiness Hypothesis, Cambridge 2006）中，以佛祖提及的騎象人和大象來比喻，並解釋這個想法。想像一下，有一頭巨大的大象，上面有一位騎象人，大象是我們強大的力量，不囉唆又直覺；騎象人是我們的意識自我，試圖指引大象去哪裡。騎象人認為他總是在負責，但這是大象在做動作。也就是說，如果大象不同意騎象人，大象通常會贏。</p> <p>要了解這一點，你可以閱讀左右腦做了分離手術的人，且左右腦從此（生理上）不能交流的有趣研究。左腦會針對右側所做的事，編出有說服力卻是捏造出來的故事。這正是騎象人站在失控的大象背上，高喊著一切都在他的控制下！或者更確切的說，騎象人大吼著大象做的每個動作都是出於騎象人本人的意志 ── 而騎象人還真的相信這點。</p> <p>因此，我們可以做一件事，卻同時在想不同的事情。我們可能正在前往辦公室的路上，但實際上我們在思考所有在到達目的地時所需要做的事情。騎象人正在準備未來的任務，而大象正在做走路的工作。為了要產生行為改變，我們需要騎象人和大象一起合作。<span style="color:#696969;">（摘錄整理自《行為改變科學的實務設計》第一章）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400_%E8%A1%8C%E7%82%BA%E6%94%B9%E8%AE%8A%E7%A7%91%E5%AD%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A-V2.png" style="width: 318px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span></strong> <span style="color:#3399ff;"><strong>行為改變科學的實務設計｜</strong>活用心理學與行為經濟學第二版</span></p> <p>Stephen Wendel／著；林玠里／譯</p> <p>碁峰資訊出版</p> <p>售價：680元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Stephen Wendel現任職於Morningstar，帶領行為科學團隊，負責公司內部的經濟行為研究。是本書第一版《Designing for Behavior Change》作者。Wendel博士同時也是Action Design Network的創辦人，指導如何將行為研究結果應用在產品開發上。</p> </div></div></div>
2022/1/31 15:50未署名https://www.ithome.com.tw/news/149158
Epic Games控告蘋果限制支付方式風波未了，美35州檢察長及微軟都表態支持該公司上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法官Yvonne Rogers在2021年9月針對Epic Games控告蘋果一案<a href="https://www.ithome.com.tw/news/147202">作出裁決</a>，庭上認為是Epic Games擅自於遊戲中夾帶支付機制，違反與蘋果的合約，而蘋果並未觸犯反壟斷法令，Epic Games則在<a href="https://cdn2.unrealengine.com/epics-opening-brief-76331606557a.pdf">今年1月提出上訴</a>，強調蘋果的反壟斷行徑，然而，Epic Games這次的上訴同時獲得了美國35州、美國白宮，以及微軟的支持。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-self-2022-01-30_201732.jpg" style="width: 500px;" /></p> <p>去年的判決被視為是蘋果的一場勝利，因為法官認為蘋果的App Store不算壟斷，但也要求蘋果必須允許開發者於程式中嵌入連至外部網站付款的機制，而因於遊戲中嵌入自家支付機制而遭到蘋果下架的Epic Games，則因擅自破壞與蘋果之間的協議，被判必須支付應與蘋果拆分的利潤。</p> <p>不滿該判決的Epic Games於今年1月提出上訴，指出iOS程式只能透過App Store散布，還被蘋果要求只能使用蘋果付款機制，若不推翻該判決將會破壞健全的反壟斷政策。</p> <p>關於蘋果App Store是否壟斷，美國35個州及微軟都透過法庭之友意見書（Amicus Curiae Brief）來聲援Epic Games。</p> <p>由猶他州為首的美國35個州的檢察長針對地方法院法官對反壟斷法令的解釋，提出<a href="https://www.scribd.com/document/555427906/22-01-27-Utah-Et-Al-Acb-Iso-Epic-Games-Against-Apple">挑戰</a>，微軟也提出<a href="https://regmedia.co.uk/2022/01/29/microsoft_brief.pdf">上訴</a>，指出蘋果在行動作業系統與App Store的控制權，就如同當初被法院認定違反反壟斷法令的AT&T，倘若法官放行蘋果，將會危及市場競爭與創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-BRIEF%20OF%20UTAH%20AND%2034%20OTHER%20STATES%20AS.jpg" style="width: 280px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-MS-2022-01-30_194229.jpg" style="width: 280px;" /></p> <p>美國司法部的反壟斷部門<a href="https://www.scribd.com/document/555445929/22-01-27-United-States-Acb-in-Epic-Games-v-Apple">則認同Epic Games</a>，表明他們的確是受到蘋果因壟斷而帶來的反競爭影響，法院卻認為蘋果對開發者的限制是合理的，沒有考量到蘋果的整體行為是否危害競爭。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-US%20clourt-2022-01-30_194524.jpg" style="width: 280px;" /></p> <p>而根據專利部落格《FOSS Patents》的<a href="http://www.fosspatents.com/2022/01/35-us-states-and-microsoft-support-epic.html">分析</a>，蘋果已經飽受各界壓力，開放只是早晚的問題。</p> <p>自Epic Games於2020年8月與蘋果對簿公堂以來，於去年8月與美國開發者達成協議，同意讓開發者與使用者溝通其他付款方式，<a href="https://www.ithome.com.tw/news/146477">南韓同年9月通過一項法令</a>，規定程式市集不得限制開發者只能採用特定支付管道，<a href="https://www.ithome.com.tw/news/146489">9月蘋果也在日本鬆綁</a>，允許Reader類別的程式至第三方網站付款，蘋果亦於10月<a href="https://www.ithome.com.tw/news/147457">更新App Store審核準則</a>，不再禁止開發者引導使用者以其他方式交易，今年1月允許荷蘭約會程式採用第三方的程式內支付系統，更因動作「不確實」被<a href="https://www.ithome.com.tw/news/149051">荷蘭判定處罰500萬歐元</a>，此外，<a href="https://www.ithome.com.tw/news/148677">印度也正在調查</a>App Store的支付規定。</p> </div></div></div>
2022/1/30 18:35作者陳曉莉https://www.ithome.com.tw/news/149152
協助用戶快速建立混合雲生產環境，微軟發布Azure Arc伺服器登陸區域加速器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其混合雲解決方案中Azure Arc-enabled server，發布<a href="https://azure.microsoft.com/zh-tw/blog/microsoft-launches-landing-zone-accelerator-for-azure-arcenabled-servers/">登陸區域加速器（Landing Zone Accelerator）</a>，並且提供相關的最佳實踐、指南和自動化參照實作，供用戶可快速開始部署，他們強調，有了登陸區域加速器，可協助用戶針對部署在Azure雲端服務之外的伺服器，以更輕鬆的方式，增進安全性、治理程度與政策遵循成效。而在這個加速器的參照實作當中，除了Azure Arc，還包含微軟Defender for Cloud、Azure Sentinel、Azure Monitor、Azure Log Analytics和Azure Policy等服務，能夠擴展到生產環境中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ns-arch-cust-expanded.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ns-arch-cust-expanded.jpg" style="width: 600px;" /></a></p> <p>若導入Azure Arc伺服器登陸區域加速器，微軟認為，企業可以在採用雲端服務的過程當中，獲得需要注意的事項、推薦作法，以及基礎架構模式等協助。</p> <p>為了讓用戶能以最受推薦的方式來部署Azure Arc-enabled servers，微軟建立了7套關鍵設計領域，包括身分和存取管理、網路拓撲與連接、資源組織、治理和安全紀律、管理紀律、成本治理以及自動化紀律。而每個領域當中，都包含了一整組設計考量、推薦作法、架構，以及接下來的步驟。</p> <p>針對多種參考實作的應用，登陸區域加速器運用基於Azure Arc Jumpstart而成的沙箱自動化技術。針對多種參考實作的應用，登陸區域加速器運用基於Azure Arc Jumpstart而成的沙箱自動化技術。而針對Azure Arc-enabled servers登陸區域加速器的應用，微軟已幫IT人員開發出專用的ArcBox，能以沙箱自動化解決方案的方式來執行此類伺服器，以及搭配的眾多服務，像是：Azure Policy、Azure Monitor、Defender for Cloud、 Microsoft Sentinel。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arc ArcBox arch_itpro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arc%20ArcBox%20arch_itpro.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/1/31 01:33作者李建興https://www.ithome.com.tw/news/149151
面對OAuth程式也須驗證真偽！惡意活動OiVaVoii以假冒的OAuth程式鎖定C級高階主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Proofpoint上周揭露名為<a href="https://www.proofpoint.com/us/blog/cloud-security/oivavoii-active-malicious-hybrid-cloud-threats-campaign">OiVaVoii的惡意活動</a>，它利用挾持的Office 365租戶，再加上惡意的OAuth程式來展開網路釣魚攻擊，目前對方已成功接管了許多企業高階主管的帳號，包括執行長、總經理、前董事會成員與董事長等。</p> <p>OAuth是個以權杖來取代帳號與密碼輸入的開放標準，目的是為了減少帳號與密碼的曝光，基於OAuth的程式通常會要求使用者賦予特定權限，包括讀寫檔案、存取行事曆及電子郵件，寄送電子郵件或建立郵件規則等。一般而言，這些OAuth程式，都是由通過驗證的發行者所建立。</p> <p>然而，這樣的印象已經被推翻了！Proofpoint最近發現了5款惡意的OAuth程式，它們的命名很尋常，有兩個名為Upgrade、其餘是Document、Shared與UserInfo，駭客透過所挾持的電子郵件帳號向特定的使用者送出程式授權請求，包括C級高階主管在內，由於其中3款是由兩家通過驗證的發行者所建立，看起來太像真的，使得駭客成功接管許多受害者的帳號。基於這樣的狀況，使得研究人員不得不懷疑駭客已危害了發行者帳號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OiVaVoii%20App1-1.png" style="width: 300px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/OiVaVoii%20App1-2.png" style="width: 180px;" /></p> <p>事實上，愈高層級的用戶被駭，影響就愈大，因為他們通常擁有檢視機密資料的權限，而且，如果駭客透過這些帳號來發送網釣或惡意郵件，收到這些訊息的同事很難不上當。</p> <p>除了竊取機密資料及發送網釣郵件之外，一般帳號如果被接管，還有助於駭客於組織內橫向移動，或是散布其他惡意程式。</p> <p>雖然目前微軟已封鎖其中4款程式，但Proofpoint認為，若發行者帳號已遭入侵，那麼，對方應該會不斷建立及驗證新的OAuth程式，而讓微軟猝不及防，該公司也呼籲組織應立即採取防範措施，包括限制用戶的程式授權，或是採取多層防禦等，倘若已遭波及，則應儘速撤銷及移除惡意程式，並檢查郵件規則、檔案及訊息的完整性。</p> </div></div></div>
2022/1/31 12:08作者陳曉莉https://www.ithome.com.tw/news/149154
預防網路安全威脅嚴重影響金融體系的穩定，歐洲系統風險委員會提議建立泛歐網路事件協調框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲系統風險委員會（European Systemic Risk Board，ESRB）在今年1月底向歐洲3大監管機構（European Supervisory Authorities，ESAs）<a href="https://www.esma.europa.eu/press-news/esma-news/esas-welcome-esrb-recommendation-pan-european-systemic-cyber-incident">提出了建議</a>，呼籲ESAs應著手制定一個框架，以便在發生可能對歐盟金融體系造成系統性影響的重大跨境網路事件時，能夠於泛歐展開有效的協調應對。</p> <p>ESRB為歐盟的獨立機構，主要任務為監督歐盟內部的金融體系，ESAs指的則是歐洲銀行業管理局（EBA）、歐洲證券及市場管理局（ESMA），以及歐洲保險與職業養老金管理局（EIOPA）等3個金融監管機構，他們一同被視為歐洲的金融監管體系（European System of Financial Supervision，ESFS）。</p> <p>而關於本次ESRB的提議，意味著網路事件或資安事件似乎已無可避免地衝擊到歐洲的金融環境。因為，<a href="https://www.esrb.europa.eu/pub/pdf/recommendations/esrb.recommendation220127_on_cyber_incident_coordination~0ebcbf5f69.en.pdf?f2ec57c21993067e9ac1d73ce93a0772">ESRB於建議書中指出</a>，重大的網路事件可能對金融系統造成系統性的風險，也許是破壞重要的金融服務或運作，繼之影響企業對金融系統的信心，波及金融穩定性，造成系統性的網路危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ESRB%20Recommendation-2021-12.png" style="width: 600px;" /></p> <p>不僅如此，ESRB也擔心不斷演變與增加的網路威脅與資安事件，將使歐盟的金融穩定面臨更大風險，因疫情而衍生的遠端工作風潮，也讓金融系統曝露於網路威脅中。事實上，相較於2019年，歐洲央行在2020年所收到的網路事件報告數量增加了54%。</p> <p>因此，ESRB呼籲ESAs應建立一個因應網路事件的協調框架，以讓平常並不為此互動的歐盟各主管部門能夠相互協調，範圍包括歐盟金融機構於全球所設立的據點。</p> <p>ESRB對此所提出的主要建議，即是建立泛歐的系統性網路事件協調框架（ pan-European Systemic Cyber Incident Coordination Framework，EU-SCICF），由歐洲議會、負責金融數位運作的理事會、ESAs、歐洲央行、ESRB及歐盟各國的相關組織，共同著手展開準備，於發生跨境重大網路事件時能夠有效地協調與應對。在收到此一建議之後，<a href="https://www.esma.europa.eu/sites/default/files/library/jc_2022_02_esas_statement_esrb_recommendation_cyberincident.pdf">ESAs即表達了歡迎的態度</a>，只是迄今雙方尚未列出有關EU-SCICF的時程表。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EBA%20statement-2022-01.png" style="width: 600px;" /></p> </div></div></div>
2022/1/31 12:38作者陳曉莉https://www.ithome.com.tw/news/149155
為杜絕免費鑄造的NFT浮濫，OpenSea祭限制令，但又臨時收回成命
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大NFT市集OpenSea宣布，將把原本無限制的免費鑄幣服務改為只能鑄造50個NFT，而引起廣大創作者的不滿，導致業者馬上撤回該政策，同時道出了先前這個決定的原因。</p> <p>一般而言，若把自己的作品變成NTF，通常需要支付費用予礦工，又稱為鑄造費，然而，OpenSea為了推廣NFT，提供了免費鑄幣服務，把鑄幣費用轉嫁到買家身上。</p> <p>OpenSea表示，建立該平臺的初衷，是為了讓更多創作者進入NFT的領域，每個決定都與創作者有關，然而，最近濫用免費鑄幣服務的現象激增，使用其工具免費鑄造的眾多NFT，當中有超過8成是抄襲、仿冒品，或者只是廣告垃圾（Spam）。他們為了解決此一問題，才祭出50個的上限，但也向外界致歉，表示他們在釋出限制之前應該先預覽這樣的要求內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSea%20Twitter%202022-01-28.jpg" style="width: 400px;" /></p> <p>此一規定之所以引起開發者反彈，主要來自於創作者的開發趨勢。目前有不少NFT創作者會定期發表作品，例如一天一個，每周兩個，或者是計畫發行1,000個NFT之類的，50個的限制直接打亂創作者原本的作品規畫。</p> <p>然而，如同所有的開放平臺，只要是免費的，或者是尚未確定完整規則的，就很容易遭到濫用。OpenSea表示，雖然撤銷了50個的限制，但該平臺將藉由其他解決方案來保障創作者，並阻止那些不良人士，且未來所有的變更都會先試行，而不會冒然推出。</p> <p>身為新領域的龍頭，OpenSea近期面臨諸多挑戰，例如先前該平臺上的漏洞讓駭客以不到15萬美元的價格，<a href="https://www.ithome.com.tw/news/149053">購入市值超過100萬美元的NFT</a>，最後OpenSea不僅修補該漏洞，也出面補償受害用戶的損失。為了保障該平臺及用戶的安全，今年1月OpenSea正式透過HackerOne祭出<a href="https://hackerone.com/opensea?type=team">抓漏獎勵專案</a>，亦於內部設立<a href="https://opensea.io/blog/safety-security/introducing-the-nft-security-group/">安全部門</a>。</p> </div></div></div>
2022/1/30 21:30作者陳曉莉https://www.ithome.com.tw/news/149153
隱私瀏覽器Brave抨擊Topics API僅是重新包裝的FLoC，甚至還傷害廣告公平競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>訴求隱私、每月超過5,000萬用戶的瀏覽器Brave，不只<a href="https://www.ithome.com.tw/news/143795">對FLoC（Federated Learning of Cohorts）投反對票</a>，針對Google新提出的廣告追蹤技術Topics API，仍<a href="https://brave.com/web-standards-at-brave/7-googles-topics-api/">持反對立場</a>，並指出，Topics API只是經過稍微修改的FLoC，並沒有真正解決隱私問題，兩者對於用戶的隱私同樣有害。</p> <p>Google去年所提出的廣告追蹤技術FLoC，受到眾多瀏覽器、網站甚至是內容管理系統等，以考量隱私安全為由預設停用，都還未正式上路就受到抵制的FLoC胎死腹中，不過Google並不死心，最近又再次發表新的廣告追蹤技術Topics API。而Brave認為，雖然Google稱Topics API解決了FLoC嚴重的隱私問題，但事實上卻沒有，Topics API僅改善FLoC次要的隱私問題。</p> <p>雖然Google新發表Topics API，要來取代之前的FLoC提案，但Topics事實上與FLoC基本概念相同，都是以用戶的興趣為基礎，根據瀏覽網站的歷史紀錄，來判斷用戶的興趣，將其依照主題分類，並讓用戶的瀏覽器將資訊分享給廣告商、追蹤器和存取的網站，而這些行為的目的，便是要讓廣告商能對用戶推送更具針對性的廣告。</p> <p>Brave解釋，在FLoC中，瀏覽器會向所有詢問的網站，廣播用戶的興趣，而Topics API則是將興趣廣播限制在同一個廣告商，一廣告商同時出現在網站A和網站B上，則廣告商可以在網站A上，了解到用戶在網站B上的興趣。FLoC和Topics API另一項不同點，是FLoC所學習到用戶的興趣是固定的，因此網站能夠很容易地辨識用戶，而Topics API在用戶的興趣中添加少量的隨機性，使得網站更難以指紋辨識用戶。</p> <p>Brave提到，Topics API和Brave這兩項主要差異，的確改善了FLoC部分缺陷，但是真正有害隱私的問題仍然存在，Brave認為，Google不該成為敏感資料的仲裁者，傲慢地決定哪些資料對用戶來說是敏感的。</p> <p>Google在Topics API技術說明中，表示僅會與網站分享非敏感的興趣，不會包含種族、性向和信仰等資料，但Brave表示，並沒有任何資料可以在所有情境，都必然能安全地分享，真正有意義的隱私，應該特定於每個人的情境，因此他們認為真正的敏感內容應該由使用者決定，而非Google。</p> <p>以求職興趣舉例來說，對正在尋找第一份工作的畢業生來說，或許並非敏感資料，但是對於瀏覽自家雇主網站的人，可能敏感程度就不一樣，抑或是對乾酪和葡萄酒的興趣，或許普遍不特別，但是對於特定宗教或是飲食文化的人就不同。</p> <p>對於Google擅自為用戶定義非敏感和敏感資料，並且向第三方分享這些資料，Brave直指，這正是對使用者隱私的侵犯。雖然Google在Topics API中，將讓用戶可以選擇退出特別敏感的類別，但Brave提到，在技術上可行，實踐中並不理想，因為通常軟體的預設值很少被更動，甚至只有少數的用戶知道自己能夠做出選擇。</p> <p>以另一個層面來說，Brave還認為Topics API比FLoC更糟糕，因為Topics API對Google這類大型廣告商更加有利。在FLoC中，所有廣告商都能了解用戶所有的興趣，但是在Topics API中，廣告商僅能了解用戶在其所呈現頁面的興趣和行為。</p> <p>對Google這類大型廣告商來說，觸及廣泛的網站，而小型廣告商，出現在更少的網站上，因此Brave認為，Topics API不會對大型廣告商產生影響，但是會使小型廣告商處於劣勢，Topics API表面上是針對用戶的隱私做修正，但本質上強化了Google的廣告壟斷。</p> <p>至於Topics API是否比FLoC更好？Brave認為兩者同樣都侵害用戶隱私和公平競爭。而之所以Google稱FLoC、Topics API或是隱私沙盒提案可以改善隱私，是指利用這些系統來取代原本的第三方Cookie，但已經有許多注重隱私的瀏覽器，早已預設封鎖第三方Cookie。</p> <p>因此Brave提到，對於目前市場上對隱私危害最大的Chrome瀏覽器使用者來說，Topics API的確能改善隱私，但是只是讓隱私最少的瀏覽器，變得不這麼糟糕的提議，對於其他真正保護隱私的瀏覽器來說，Google所做的努力遠遠不足。</p> </div></div></div>
2022/1/31 11:30作者李建興https://www.ithome.com.tw/news/149150
【資安週報】2022年1月24日至28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，有國內科技廠商資安事故的消息。其中，發生在21日台達電遭網路攻擊的事故，後續本週有國內媒體報導引起國內外關注，該媒體宣稱，攻擊者就是勒索軟體駭客組織Conti，甚至提供疑似是勒索軟體的檔案雜湊值。上述報導遭到台達電嚴正否認，但該公司網站無法運作，很難與該公司聲稱沒有受到影響畫上等號。</p> <p>另一起事故則是與電動機車龍頭Gogoro有關。與上述台達電事故相同的是，該公司也是宣稱營運沒有因網路攻擊受到重大影響，但隨後有車主爆料延遲交車，以及無法預約維修的情況。</p> <p>在國內的資安事故之外，國際上烏克蘭與俄羅斯、白俄羅斯的網路攻擊也引發各界的注目。</p> <p>而在漏洞的方面，我們可以看到駭客鎖定開源軟體的情況也更加明顯，這包含自去年12月開始利用Log4Shell漏洞的攻擊行動，特別是針對遠距工作平臺而來的情況，已經從駭客各自找尋攻擊目標，變成分工有專門的團隊收集資料的現象。再者，本週被揭露的漏洞多半也與Linux作業系統相關，甚至可能影響部署容器的環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞，但網站迄今仍無法運作</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應設備大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://forum.gogoro.com/t/topic/17779?fbclid=IwAR3JW9dp3yxDZDGz_l4-7zxkkSdaRGUouZNImNgWyn-xqbAmJejP2jATeoo"><span style="color: rgb(0, 0, 0);"><strong>電動機車業者Gogoro遭網路攻擊，疑影響交車、無法預約進廠維修時間</strong></span></a></span></p> <p>隨著電動車越來越普遍，針對相關業者發動攻擊，可能導致多種服務受到波及。電動車Gogoro在1月22日晚間9點表示，他們在1月21日週五偵測到部分資訊系統遭受駭客網路攻擊，該公司資訊部門在偵測偵測到網路異常後，已啟動資安事件應變，與外部資安公司協同處理，並通報政府單位。根據他們的說明，目前，受影響的部分資訊系統正陸續回復，對日常營運並無重大影響，電池交換網路、銷售與維修通路、客戶服務系統皆持續運作。</p> <p>巧合的是，最近幾日陸續有民眾指控，已經即將交車的時程被迫延期，也有車主反應無法預約進廠維修的時間，使得這起事件引起外界關注，但這些情況是否與網路攻擊有關？顯然還有待釐清。</p> <p>該公司在公告指出，同時間亦有其他臺灣廠商遭遇類似的狀況，但這些廠商是否為採用Gogoro電池交換系統Powered by Gogoro Network（PBGN）的聯盟成員？該公司沒有進一步說明。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-deadbolt-ransomware-targets-qnap-devices-asks-50-btc-for-master-key/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體DeadBolt攻擊威聯通NAS，意圖向製造商兜售漏洞細節</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/master-key-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/master-key-note.jpg" style="width: 300px; float: right;" /></a>勒索軟體入侵NAS設備的情況，陸續傳出事故，但如今駭客得寸進尺，打算將攻擊事故做為向設備廠商兜售漏洞細節的管道。資安新聞網站Bleeping Computer指出，他們發現勒索軟體DeadBolt約自1月25日開始，攻擊威聯通（QNAP）的NAS設備，並向受害者索討0.03個比特幣，相當於1,100美元，至少有15臺NAS受害，駭客宣稱是透過未揭露的漏洞來下手。值得留意的是，在勒索訊息裡，還包含給威聯通的「重要訊息」，內容是他們打算向該公司以50個比特幣（約185萬美元）的價格，出售上述漏洞的細節，以及可解鎖所有受害設備資料的主鑰（Master Key）。</p> <p><span style="font-size:22px;"><strong><a href="https://www.cyberscoop.com/whisper-gate-notpetya-ukraine-russia/"><span style="color: rgb(0, 0, 0);">鎖定烏克蘭政府的惡意軟體WhisperGate，與勒索軟體NotPetya攻擊手法雷同</span></a></strong></span></p> <p>在1月上旬，假冒勒索軟體、攻擊烏克蘭政府機關的惡意軟體WhisperGate，研究人員揭露更多發現。思科指出，此惡意軟體藉由破壞主要開機磁區（MBR）的方式，讓受害者誤以為電腦資料遭到挾持，但實際上沒有加密電腦的檔案，這樣的攻擊手法，與2017年出現，也同樣主要鎖定烏克蘭的勒索軟體NotPetya類似。研究人員認為，使用WhisperGate的駭客很可能在數個月前就已經埋伏，背後的攻擊者疑似是APT駭客。思科呼籲烏克蘭的相關組織，可以參考美國網路安全暨基礎設施安全局（CISA）提供的建議，來防範有關攻擊行動。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></span></p> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <p><span style="font-size:22px;"><a href="https://thehackernews.com/2022/01/hackers-infect-macos-with-new-dazzlespy.html"><span style="color: rgb(0, 0, 0);"><strong>DazzleSpy後門程式發動水坑式攻擊，鎖定香港macOS用戶下手</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png" style="width: 300px; float: right;" /></a>Google在2021年8月，<a href="https://www.ithome.com.tw/news/147795">發現到駭客鎖定香港的媒體網站，以及社會運動網站展開水坑式攻擊</a>，並運用漏洞CVE-2021-30869於受害者的蘋果電腦、行動裝置上，植入木馬程式，這起攻擊事故的調查最近有了更多進展。資安業者ESET指出，這些駭客分別入侵當地的網路廣播電臺D100，並製作帶有惡意iframe的假社會運動聲援網站，來引誘香港的民主運動人士上當，其中，針對瀏覽廣播電臺網站的Mac電腦使用者，駭客使用名為DazzleSpy的後門程式，來控制受害電腦。研究人員指出，這起攻擊行動與2020年iOS惡意程式LightSpy手法相似，但無法斷定是由同一組駭客出手。</p> <p><span style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Lazarus以航太職缺發動網釣攻擊，並濫用Windows Update元件進駐受害電腦</strong></span></a></span></p> <p>為了藏匿行蹤，駭客將惡意軟體的處理程序，植入合法的元件裡運作，而且常常是選擇作業系統內建的軟體，進行寄生攻擊（LoL）。例如，資安業者Malwarebytes最近揭露一起疑似由北韓駭客組織Lazarus發動的攻擊行動，駭客自2021年12月下旬，以美國航太業者Lockheed Martin的名義，發出徵才的網釣郵件，一旦收信人點選附件的說明文件，就會觸發惡意巨集，然後將攻擊者的程式碼先後注入檔案總管，以及Windows Update元件（wuauclt.exe），以便持續在受害電腦上運作。與過往不同的是，有別於許多駭客藉由檔案共享服務來架設C2中繼站，本次Lazarus濫用的對象是程式碼代管平臺GitHub。</p> <p><span style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/observations-from-the-stellarparticle-campaign/"><span style="color: rgb(0, 0, 0);"><strong>俄國駭客APT29藉由竊取瀏覽器Cookie，繞過雙因素驗證接管Office 365帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-10.png" style="width: 300px; float: right;" /></a>駭客破解雙因素驗證（2FA）有新招，而且埋藏了2年才被發現。資安業者揭露俄羅斯駭客組織APT29（亦稱CozyBear、The Dukes）自2019年中旬發起的StellarParticle攻擊行動，駭客藉由憑證跳躍（Credential Hopping）的手法，挾持受害者的Office 365帳號，而這些受害組織的共通點為皆啟用了雙因素驗證機制。</p> <p>究竟這些駭客如何突破相關身分驗證機制？研究人員指出是竊取使用者瀏覽器的Cookie，藉由重放攻擊，來繞過雙因素驗證的流程。此外，APT29也在這起攻擊行動裡運用名為TrailBlazer的惡意軟體，同時針對Windows和Linux電腦下手，目的疑似是為了長期在受害電腦埋伏。</p> <p><span style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體利用MSHTML漏洞，攻擊西亞政府高官與國防產業人士</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png" style="width: 300px; float: right;" /></a>在2021年9月被揭露的MSHTML重大漏洞，近期再被用於針對性的攻擊行動。甫由McAfee Enterprise和FireEye合併成立的資安業者Trellix，於1月25日公布疑似由俄國APT28（亦稱Fancy Bear、Strontium）發起的網路間諜攻擊行動，駭客於2021年10月至11月，透過釣魚郵件，向監督國家安全政策的西亞政府高層，以及國防產業人士下手。該組織利用MSHTML重大漏洞CVE-2021-40444，在受害電腦的記憶體內執行惡意程式。</p> <p>研究人員強調，為了埋藏攻擊意圖，駭客將攻擊行動細分成6個階段進行，並使用名為Graphite的惡意軟體，且於OneDrive架設C2中繼站，並藉由Graph API通訊，使得攻擊流量難以識別。</p> <p><span style="font-size: 22px;"><a href="https://blog.morphisec.com/asyncrat-new-delivery-technique-new-threat-campaign"><span style="color: rgb(0, 0, 0);"><strong>駭客以ISO映像檔規避防毒軟體偵測，散布AsyncRAT木馬程式</strong></span></a></span></p> <p>過往為了迴避郵件防護系統的偵測，有些駭客會利用ISO、IMG、CDR等光碟映像檔的附件檔案，以此打包作案工具，使得上述防護措施可能因不具掃描光碟映像檔的功能，採取直接放行的策略而達到目的。但這樣的手法如今變得更加複雜──資安業者Morphisec揭露一起自2021年9月12日出現的攻擊事故，駭客以ISO檔案挾帶惡意批次檔或VBScript程式碼，但這個ISO檔實際上是埋藏在HTML檔案的附件裡面，等到收信人打開HTML檔案才「還原」，要求下載到電腦執行，進而從網路上下載AsyncRAT木馬程式。</p> <p>由於駭客以確認訂單的名義寄送釣魚郵件，當中夾帶上述HTML檔案為附件，恐使得收信人降低戒心，依照指示操作。此外，研究人員指出，上述ISO檔案實際上是透過附件的HTML檔案產生，企業的網路安全閘道與防火牆不會察覺異狀。</p> <p><span style="font-size:22px;"><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.trendmicro.com/en_us/research/22/a/analysis-and-Impact-of-lockbit-ransomwares-first-linux-and-vmware-esxi-variant.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定VMware虛擬化平臺而來</span></a></strong></span></p> <p>隨著企業採用虛擬化平臺的情況越來越普遍，約自2021年上旬，許多勒索軟體駭客，如<a href="https://www.ithome.com.tw/news/146432">HelloKitty</a>、<a href="https://www.ithome.com.tw/news/147580">Hive</a>、<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-avoslocker-ransomware-targets-vmware-esxi-servers/">AvosLocker</a>，開始製作Linux版本軟體，鎖定VMware ESXi的環境而來。惡名昭彰的<a href="https://www.ithome.com.tw/news/146421">勒索軟體LockBit</a>，最近幾個月也開始加入針對虛擬化環境下手的行列。趨勢科技於2021年10月，在地下論壇RAMP看到駭客張貼的廣告，宣布開始提供能於VMware ESXi執行的勒索軟體LockBit，同月，研究人員就在網路上發現使用該勒索軟體的攻擊行動。</p> <p>此勒索軟體混合AES與ECC兩種演算法加密檔案，且能夠將虛擬機器（VM）關機或是休眠，以利檔案加密不受中斷。此外，該勒索軟體還能徹底清除可用空間的資料。與Windows版勒索軟體相同的是，駭客在加密完檔案後，同樣於勒索訊息裡，徵求能入侵企業的帳密資料，並宣稱提供者有機會得到數百萬美元的酬庸。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠端工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size: 22px;"><a href="https://blog.zimperium.com/dark-herring-android-scamware-exceeds-100m-installations/"><span style="color: rgb(0, 0, 0);"><strong>安卓騙錢App上億用戶受害，損失數億美元</strong></span></a></span></p> <p>騙錢軟體看似無害，而能上架應用程式市集難被察覺異狀。資安業者Zimperium揭露自2020年3月出現的攻擊行動Dark Herring，駭客鎖定超過70個國家的安卓用戶而來，並在Google Play市集陸續上架近470個應用程式，這些App直接透過電信業者向受害者收費（Direct Carrier Billing，DCB），平均每月為15美元，而使得用戶難以察覺有異，迄今已有1.05億臺設備遇害，研究人員推測，駭客至少騙得數億美元。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-brata-wipes-your-device-after-stealing-data/"><span style="color: rgb(0, 0, 0);"><strong>安卓惡意軟體Brata鎖定網路銀行用戶，並在竊密後重置手機</strong></span></a></span></p> <p>使用手機網路銀行的用戶要注意了！針對安卓手機而來的竊密軟體，不只鎖定多個國家的銀行用戶，發展至今更出現了會清理作案現場的功能。資安業者Cleafy發現，安卓惡意軟體Brata近期針對英國、中國、拉丁美洲等地區而來，駭客為各家網路銀行的用戶製作多種版本的Brata，並加入數項新功能，其中最值得留意的，是能夠在攻擊行動失敗，或是偵測到在沙箱環境的情況，將感染的安卓裝置恢復原廠預設狀態，以清除相關跡證。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chaes-banking-trojan-hijacks-chrome-with-malicious-extensions/"><span style="color: rgb(0, 0, 0);"><strong>駭客利用逾800個WordPress網站，向巴西民眾散布銀行木馬Chaes</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/java(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/java(1).jpg" style="width: 300px; height: 219px; float: right;" /></a>鎖定巴西銀行客戶下手的木馬程式，近期的攻擊行動有升溫的跡象。例如，在2020年底首度被發現的木馬程式Chaes，防毒軟體業者Avast近日提出警告，在2021年第4季有超過6.6萬名客戶的電腦，疑似遭到這個木馬程式企圖入侵。該公司調查後發現，Chaes經由逾800個WordPress網站傳播，目標是在巴西銀行用戶的Chrome瀏覽器上，以惡意外掛程式來竊取交易資料，研究人員指出，此起攻擊行動仍然持續，用戶應避免安裝來路不明的應用程式。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></span></p> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-system-service-bug-gives-root-on-all-major-distros-exploit-released/"><span style="color: rgb(0, 0, 0);">Linux系統元件漏洞PwnKit可被用於取得root權限，恐波及所有發行版</span></a></strong></span></p> <p>Linux系統元件所存在的漏洞，很可能影響各種版本的作業系統。資安業者Qualys揭露名為PwnKit的漏洞（CVE-2021-4034），這項漏洞存在於控制系統層級的元件Polkit（舊稱PolicyKit）裡，一旦攻擊者利用該漏洞，就能以不具特權身分的使用者，在Linux主機上取得root權限，影響自2009年5月以來所有版本的Polkit。研究人員在預設組態部署的Ubuntu、Debian、Fedora、CentOS上，透過PwnKit於本機取得root權限，研判該漏洞存在於多數版本的Linux作業系統，紅帽已發布修補程式。資安新聞網站Bleeping Computer於上述漏洞細節公布後不久，就在網路上看到概念性驗證（PoC）攻擊工具。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/"><span style="color: rgb(0, 0, 0);">Linux核心存在漏洞，恐被用於逃脫K8s容器並攻擊主機</span></a></strong></span></p> <p>Linux核心的嚴重漏洞，有可能危及容器平臺Kubernetes（K8s）。搶旗賽（CTF）團隊Crusaders of Rust發現，記憶體緩衝區溢位漏洞CVE-2022-0185，存在於Linux核心5.1-rc1以上版本的檔案系統框架（File System Context）元件，一旦駭客利用這個漏洞，將有機會發動越界寫入、阻斷服務（DoS）、任意程式碼執行攻擊，而使得駭客能夠逃脫容器，進而存取K8s伺服器的資源。該漏洞已於Linux 5.16.2版修補，IT人員也可以針對沒有具備特殊權限的使用者，停用命名空間（Namespace）的相關功能，來緩解這項漏洞。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></span></p> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/"><span style="color: rgb(0, 0, 0);">美國要求政府機關採用零信任的資安防護戰略，於1月26日正式實施</span></a></strong></span></p> <p>美國行政管理和預算局（OMB）在2022年1月26日，正式發布新網路安全策略與<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>，要求政府機關都應轉移到零信任架構（Zero Trust Architecture），並在2024財年底（9月30日）之前，符合指定的資安標準要求。這樣的策略，是基於去年5月的14028行政命令，於是OMB在<a href="https://www.ithome.com.tw/news/147725">去年9月提出聯邦零信任戰略草案</a>，歷經近半年時間徵詢意見與討論，現在終於上路。聯邦資安長Chris DeRusha表示，這個戰略將成為聯邦網路安全典範轉移的基礎，並將會成為其他人仿效的模式。</p> <p>在這份備忘錄裡，OMB要求各聯邦機關要在60日內，提出轉移架構的時程規畫，以及2023、2024年度的預算編列，並依據身分驗證、裝置、網路、應用系統與工作負載，以及資料等5個領域，執行相關的盤點與部署工作。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/uk-govt-releasing-nmap-scripts-to-find-unpatched-vulnerabilities/"><span style="color: rgb(0, 0, 0);">英國政府以Nmap程式碼打造檢測工具，供IT人員掃描特定的重大漏洞</span></a></strong></span></p> <p>工業控制系統（ICS）安全日益受到重視，政府亦提供相關的工具給企業，以便儘速因應重大漏洞。英國國家網路安全中心（NCSC）於1月25日，發布針對網路安全工具Nmap編寫的指令碼，以協助企業掃描Exim訊息傳輸代理（MTA）設備裡，合稱為21Nails的RCE漏洞。NCSC表示，即使企業沒有部署Exim MTA，IT人員還是可以試著運用這個指令碼來掃描網路環境。</p> </div></div></div>
2022/1/29 00:03作者周峻佑https://www.ithome.com.tw/news/149148
萬芳醫院揭露打造人性化HIS關鍵，未來還要自建FHIR閘道器加速資料互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「使用者友善」看似簡單，卻不容易做到。醫療資訊系統（HIS）是一家醫院中最重要的IT系統，舉凡掛號、門診、醫囑都包括在內，但它給人的印象，大多是單調、冰冷的。</p> <p>萬芳醫院恰好相反，他們由一群活潑、背景各異的人才組成IT團隊，站在使用者角度多思考一步，來扭轉HIS冰冷的刻板印象。比如，萬芳醫療系統頁面會蹦出一隻兔子，這是一個系統小助手，可以告訴使用者新功能或操作流程，就像是日常生活中熟悉的網頁操作體驗。萬芳醫院資訊室主任許權廣謙虛的說：「這是我們開發系統的一些小創意，」但這個小創意，卻大大減少了醫院IT許多支援工作，不用每年定期舉辦新系統教學會議或大量錄製操作流程的例行工作。</p> <p>萬芳IT的貼心不只是如此，到處可見他們的細膩考量，例如在病歷系統中，開發了類似Word英文縮寫檢查等一系列自動化輔助工具來協助醫生。或是在不同節慶期間，打開萬芳醫療系統頁面時，會秀出不同的背景，例如聖誕節間的系統頁面會飄雪，就像是大家常用的Line聊天背景。甚至，他們也在思考，要讓一天得用好幾套系統的醫師，打開最後一個系統時，跳出「恭喜集滿七個系統～獲得今日最辛苦醫師勳章」的驚喜，利用尋寶集點的遊戲化概念，讓使用者體驗更有趣。</p> <p>打造這些功能並不難，但能多想一步，就成了常見HIS中難得一見的小創意。「在醫療環境中工作，最怕的就是冷冰冰，」許權廣繼續說：「我們希望帶來一點好玩的溫度，回到人性化的初衷。」他比喻，iPad、iPhone這類智慧型行動裝置都有使用教學，但很少人會翻閱，因為它們的設計符合大眾操作習慣，自然而然就上手。這種人性化設計，就是萬芳IT的理念。</p> <p><span style="font-size:22px;"><strong>不同人才組隊激盪創意，用微服務架構改善老舊系統</strong></span></p> <p>這些巧思，都是萬芳IT團隊腦力激蕩的成果。身為帶頭跑的IT指揮官，許權廣和萬芳醫院醫療資訊執行長陳俊佑都不是IT出身，「我是護理人，執行長陳俊佑則是醫師，」許權廣說。也因此，這些IT主管們並不設限人才來歷，更在2017年底改變招人方式，主動出擊從PTT、各大論壇上網羅對HIS抱有獨到見解的人選，面談時除了記錄人格特質，也會帶進辦公室與同事閒聊，比如平時興趣、如何獲得新知識等。許權廣指出，只要語言相同，就會留下來與大家一起開發有趣的系統，獲得成就。</p> <p>這種開放思維，促成了萬芳IT團隊的多元，他們有英文老師、航太系、政治系畢業的同事，再加上護理、醫師背景的資深主管們，碰撞出各種創意火花。</p> <p>這一批新血的成軍，也解決萬芳醫院當時面臨的HIS開發難關。</p> <p>萬芳醫院多年來一直採用大型主機，也侷限了能用的程式語言和開發工具，不僅得用老舊的Delphi語言，開發工具資源越來越少，還有許多過時的限制，例如必須預先定義螢幕尺寸，就難以因應裝置螢幕大小動態縮放，不利於行動化應用的開發。更根本的是，老舊語言人才更難找，於是萬芳下定決心，改找來一批新人，以他們熟悉的網頁開發工具，直接改造HIS。</p> <p>他們先是將周邊系統網頁化，首先是記錄病人從入院、診斷再到出院完整流程的病歷摘要系統，再將這套系統，進一步以微服務架構來優化。許權廣指出，改用微服務架構，能讓系統中的功能拆分為一支支服務，透過API讓其他系統來呼叫、使用，增加共用性外，還有其他好處，如更新不停機、資料存取更快速。</p> <p>萬芳醫院開發微服務時，會連同資訊室開發組、使用單位和負責統籌的醫務部，來每周開會討論，先將服務與資料分類，找出可共用的關鍵模組，再定義資料，規範出資料書寫的格式。不過，在龐大的醫療系統中分類出關鍵服務和資料並不容易，對IT新人來說更是如此。</p> <p>因此，萬芳醫院借鏡同儕經驗，自行發展一個系統架構師新角色，由資深IT人員擔任，來梳理複雜的HIS程式，從中找出共用模組，再交給微服務開發者來打造。這也是萬芳醫院HIS轉型中，催生出的人才轉型做法。</p> <p>這套微服務架構打造的病摘系統，就是後來萬芳醫院One平臺上的一站式病人資訊系統OneRecord。多年前，陳俊佑醫師利用工作閒暇之時，親手開發出的一站式病人資訊查詢系統LazyR。萬芳IT後來也將LazyR改以微服務優化後，才發展出了OnePage。而OneRecord的成功，也催生一系列One系統，像是個案管理系統OneTeam、急診專用系統OneER、醫學資料庫OneFamily、聊天機器人OneBot等。萬芳醫院更打出「OnePage, only one touch」的口號，成為後來系統開發的核心理念。</p> <p><span style="font-size:22px;"><strong>微服務如何特別？一臺1萬元的小型電腦就能支撐全院病摘系統</strong></span></p> <p>對萬芳醫院來說，利用微服務介接大型主機舊系統，讓開發速度更快、使用者立即就能讀取資料。因為，他們利用NoSQL資料庫MongoDB來連接快取資料庫Redis，大幅縮短資料讀取時間，使用者在操作系統時，不必等待，立即就能得到所需的資訊。</p> <p>而且，許權廣點出，微服務因拆分模組，每個模組的程式碼量不多，因此修改程式碼時，並不會影響其他作業，更新也就不必停機。</p> <p>但最令許權廣印象深刻的是，維運成本大幅降低。</p> <p>「過去醫院系統主機體積很大、所用伺服器也很貴，」他說，在OneRecord出現後，他們買了3臺如手掌般大小的小型電腦，只要1臺就能撐起整家醫院病摘服務的運作，另外2臺作為備援，也能互相移動所需資源。而且，這些小型電腦，「1臺只要1萬元左右，」比過去使用的傳統大型機器便宜許多。</p> <p>這些都是萬芳IT的微服務成就。</p> <p><span style="font-size:22px;"><strong>北醫體系9年前第一波轉型，今年2月3家體系醫院將再度大轉型</strong></span></p> <p>他們的成功經驗，也將在2月進入北醫體系HIS轉型專案辦公室，作為北醫體系第二次大轉型的關鍵做法。</p> <p>早在2013年，北醫體系就先進行一次HIS轉型，不僅統一旗下3家醫院（北醫、雙和、萬芳）的資料庫架構，還將外包與自建比例調整為1比9，重新掌握核心系統開發權。當時，北醫體系成立一個管發中心，分為12個功能小組，如護理小組、醫事小組，來推動整合工作。這些小組採取了跨院混合編組，比如，護理系統功能小組來自3院資訊室成員、管發中心人員，負責支援各院護理師代表組成的護理小組的需求。</p> <p>「那是一個大工程，」許權廣指出，當時轉型，是先由12個功能小組各自統整需求再提案，但這次採取微服務架構，每一個功能小組可以逐一針對不同的模組一一調整，大大簡化了開發的整體複雜度，「未來，每一個模組都會越來越成熟，其他系統只要呼叫就能引用，」他說。</p> <p>北醫體系將在2月啟動這個辦公室，他們會先找來3家醫院的人才，並請萬芳IT分享人才和微服務系統開發經驗。他們的目標是，將萬芳One平臺導入另外2家醫院，未來要3家醫院透過單一入口，就能讀取所需資訊，甚至，還要納入各家醫院與周邊合作診所的資訊，如此就能清楚知道，就醫病人的看診歷史，也能給出更精準的治療。</p> <p>許權廣透露，從萬芳微服務的經驗中發現，必須特別重視文件標準化的重要性。因為這樣，才能讓其他人知道版本進展、如何引用程式等細節。萬芳自己已有一套版本記錄做法，透過微服務事件驅動（Event driver）和自行在系統架構中埋下的記錄關鍵點，不僅能記載版本演進和事件，除錯時也能快速找到錯誤。</p> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong>萬芳微服務用Node.js開發利於上雲，還將自建FHIR閘道器因應衛福部政策</strong></span></span></p> </td> </tr><tr><td> <p>談到衛福部力推的電子病歷上雲政策，萬芳醫院一點都不擔心日後上雲轉移的挑戰。許權廣指出，因為萬芳微服務架構中，後端採用了網站應用常見的伺服器端JavaScript框架Node.js來開發，因此要將HIS微服務上雲也很容易，只要改到雲端建立主機，將HIS的微服務部署在雲端主機執行就可以運作。「這麼做的好處是服務不中斷、資料不會遺失，但就是得擔心價格。」</p> <p>「醫院擔心被套牢，一旦過了優惠期、廠商開始收費，就得考量是否能承擔上雲費用。」許權廣以最近熱門探討的議題來比喻，企業養得起AI，卻養不起AI落地的費用，醫院上雲的情境也雷同。他建議，政府相關單位可思考這類議題。</p> <p>除了推動電子病歷上雲政策，衛福部也陸續提倡，將原本電子病歷交換中心（EEC）改為FHIR交換架構。許權廣透露，未來，萬芳醫院將自建FHIR閘道器，將自家資料，透過閘道器轉換，產出符合FHIR格式的資料給特定機構。</p> </td> </tr></tbody></table><p> </p> </div></div></div>
2022/1/28 18:29作者王若樸https://www.ithome.com.tw/news/149146
北市祭出最新餐飲防疫指引，接種足夠疫苗者可內用，呼籲未施打足夠疫苗者改外帶、外送或使用包廂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央公布今天(1/28)本士確診者為27例，境外為44例，其中臺北市本土有5例、境外有6例，臺北市今天下午召開防疫記者會，針對於即將迎接農曆春節連假到來，為降低餐軟業內用染疫風險，北市祭出餐飲防疫指引，將餐<i>飲</i>的防疫措施升至2.5級，呼籲疫苗證明為為綠燈者可內用，而未施打2劑或尚未接種疫苗的黃燈或紅燈者，建議外帶、外送或使用包廂。</p> <p>柯文哲認為，昨天臺北市7家醫院篩檢1,740人，沒有發現陽性，代表北市社區尚未有擴散傳染發生，但針對確診案例，花費相當大的力氣去匡列，隔離接觸者，甚至是接觸者的接觸者，並進行篩檢，耗費相當大的成本。預估到除夕夜，全臺居家隔離將超過1萬名，這些人無法回家過年，有需要檢討策略。既然社區有很多傳播鏈，趁尚未散開來，思考在2級到3級之間該如何做。</p> <p>有鑑於若從2級升級至3級，相關防疫措施的強制性，對民眾生活帶來較大的衝擊，柯文哲認為，去年臺灣防疫上的成功並無使用強制手段，而是以引導產生效果。因此，對於容易造成感染的餐廳內用，將餐飲的防疫升至2.5級，採取引導而非強制措施。呼籲餐飲業者應提供安全的用餐環境，同時顧客也應符合綠燈的標準。</p> <p>北市訂定的2.5級餐飲防疫指引，柯文哲強調並非強制，而是指引措施，若北市發生社區傳染，就需要強硬的措施。</p> <p>根據北市府公布的指引，綠燈代表已接種疫苗2劑，且滿14天，而滿三個月施打第3劑者，由於比較不容易被感染，也較不容易傳染他人，可以在餐廳內用餐，至於黃燈代表僅接種1劑者，紅燈則是尚未接種疫苗的人，風險較高，可改為外帶或外送，如果一定要在餐廳內用，可選擇包廂內用餐。</p> <p>根據市府公布的餐飲指引措施，12歲以下孩童，可選疫苗護照為綠燈的使用者進入餐廳內用餐，而未能出示證明者則視同紅燈。有條件的開放餐廳內用。</p> <p>臺北市政府也會透過加強稽查餐飲業者，督促業者改善防疫措施，包括員工是否量測體溫、消毒紀錄，入口處是否量測體溫，落實實聯制等等。</p> <p>另外，北市加強防疫，已在1/24公布，對超市、賣場、市場加強人流管制，依室內1人要2.25平方公尺、室外為1人1平方公尺，此一規範適用市府舉辦的燈會等活動。</p> </div></div></div>
2022/1/28 19:04作者蘇文彬https://www.ithome.com.tw/news/149147
【資安日報】2022年1月28日，台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期台達電遭到網路攻擊的事故，外界傳聞就是遭到勒索軟體攻擊，而昨天有不具名的資安業者向國內媒體透露，攻擊者就是Conti，且提及受害規模、勒索軟體病毒檔雜湊值等細節。雖然台達電發出聲明嚴正駁斥，但外界找到<a href="https://www.bleepingcomputer.com/news/security/taiwanese-apple-and-tesla-contractor-hit-by-conti-ransomware/">疑似駭客留下的勒索訊息</a>，甚至有人宣稱取得攻擊該公司的勒索軟體病毒，並上傳至VirusTotal，事故的真相顯然有待進一步分析。</p> <p>而在疫情蔓延使得許多人再度遠距辦公之際，相關應用系統的漏洞也被駭客盯上。其中，又以VMware Horizon遠端工作系統，因存在Log4Shell漏洞，已有數起攻擊事故出現。其中最近一起攻擊行動，則是專門提供駭客初步入侵管道的掮客集團（Initial Access Broker，IAB），開始對於上述遠端工作系統出手，顯示這類存在相關漏洞的系統是許多駭客偏好的攻擊目標。</p> <p>在今日資安新聞中，有近半數（3起）是APT駭客組織發動的攻擊行動，值得留意的是，駭客採用了過往較少見的手法，來隱藏攻擊意圖。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞，但網站迄今仍無法運作</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應器大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠端工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Lazarus以航太職缺發動網釣攻擊，並濫用Windows Update元件進駐受害電腦</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2022-01-25-at-9_56_22-PM-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2022-01-25-at-9_56_22-PM-1.jpg" style="width: 300px; float: right;" /></a>為了藏匿行蹤，駭客將惡意軟體的處理程序，植入合法的元件裡運作，而且常常是選擇作業系統內建的軟體，進行寄生攻擊（LoL）。例如，資安業者Malwarebytes最近揭露一起疑似由北韓駭客組織Lazarus發動的攻擊行動，駭客自2021年12月下旬，以美國航太業者Lockheed Martin的名義，發出徵才的網釣郵件，一旦收信人點選附件的說明文件，就會觸發惡意巨集，然後將攻擊者的程式碼先後注入檔案總管，以及Windows Update元件（wuauclt.exe），以便持續在受害電腦上運作。與過往不同的是，有別於許多駭客藉由檔案共享服務來架設C2中繼站，本次Lazarus濫用的對象是程式碼代管平臺GitHub。</p> <p><span style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/observations-from-the-stellarparticle-campaign/"><span style="color: rgb(0, 0, 0);"><strong>俄國駭客APT29藉由竊取瀏覽器Cookie，繞過雙因素驗證接管Office 365帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-10.png" style="width: 300px; float: right;" /></a>駭客破解雙因素驗證（2FA）有新招，而且埋藏了2年才被發現。資安業者揭露俄羅斯駭客組織APT29（亦稱CozyBear、The Dukes）自2019年中旬發起的StellarParticle攻擊行動，駭客藉由憑證跳躍（Credential Hopping）的手法，挾持受害者的Office 365帳號，而這些受害組織的共通點為皆啟用了雙因素驗證機制。</p> <p>究竟這些駭客如何突破相關身分驗證機制？研究人員指出是竊取使用者瀏覽器的Cookie，藉由重放攻擊，來繞過雙因素驗證的流程。此外，APT29也在這起攻擊行動裡運用名為TrailBlazer的惡意軟體，同時針對Windows和Linux電腦下手，目的疑似是為了長期在受害電腦埋伏。</p> <p><span style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體利用MSHTML漏洞，攻擊西亞政府高官與國防產業人士</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png" style="width: 300px; float: right;" /></a>在2021年9月被揭露的MSHTML重大漏洞，近期再被用於針對性的攻擊行動。甫由McAfee Enterprise和FireEye合併成立的資安業者Trellix，於1月25日公布疑似由俄國APT28（亦稱Fancy Bear、Strontium）發起的網路間諜攻擊行動，駭客於2021年10月至11月，透過釣魚郵件，向監督國家安全政策的西亞政府高層，以及國防產業人士下手。該組織利用MSHTML重大漏洞CVE-2021-40444，在受害電腦的記憶體內執行惡意程式。</p> <p>研究人員強調，為了埋藏攻擊意圖，駭客將攻擊行動細分成6個階段進行，並使用名為Graphite的惡意軟體，且於OneDrive架設C2中繼站，並藉由Graph API通訊，使得攻擊流量難以識別。</p> <p><span style="font-size: 22px;"><a href="https://blog.zimperium.com/dark-herring-android-scamware-exceeds-100m-installations/"><span style="color: rgb(0, 0, 0);"><strong>安卓騙錢App上億用戶受害，損失數億美元</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/image4(3).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(3).jpg" style="width: 100px; float: right;" /></a>騙錢軟體看似無害，而能上架應用程式市集難被察覺異狀。資安業者Zimperium揭露自2020年3月出現的攻擊行動Dark Herring，駭客鎖定超過70個國家的安卓用戶而來，並在Google Play市集陸續上架近470個應用程式，這些App直接透過電信業者向受害者收費（Direct Carrier Billing，DCB），平均每月為15美元，而使得用戶難以察覺有異，迄今已有1.05億臺設備遇害，研究人員推測，駭客至少騙得數億美元。</p> <p><span style="font-size: 22px;"><a href="https://azure.microsoft.com/en-us/blog/azure-ddos-protection-2021-q3-and-q4-ddos-attack-trends/"><span style="color: rgb(0, 0, 0);"><strong>Azure用戶遭到大規模DDoS攻擊，3.47 Tbps流量再創新高</strong></span></a></span></p> <p>大規模分散式阻斷服務（DDoS）攻擊的流量，再度創下新紀錄。微軟對於Azure用戶的DDoS防護情況，近日公布他們在2021年第3、第4季觀察到的態勢，當中提及他們於2021年11月，緩解了流量高達3.47 Tbps的攻擊事故，其封包傳送的速率為每秒3.4億個，這些流量從1萬個來源發出，分布於臺灣、美國、中國等10個國家。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/28 15:21作者周峻佑https://www.ithome.com.tw/news/149136
小心社交媒體詐騙！美國人去年被騙了7.7億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/blogs/data-spotlight/2022/01/social-media-gold-mine-scammers-2021" target="_blank">美國聯邦交易委員會（FTC）本周警告</a>，去年在美國發生的詐騙案中，有高達25%始於社交媒體，相關的受害者總計損失了7.7億美元。以損失的金額計算，排名第一的是投資詐騙，第二名為愛情詐騙，若是論及詐騙數量，購物詐騙當仁不讓。</p> <p>FTC表示，對於詐騙者而言，社交媒體有許多好處，包括透過低成本就能觸及全球數十億人口，也很容易偽造身分，或是駭進既有使用者的帳號，也能根據使用者於社交媒體上所分享的資訊來調整詐騙手法，或是利用社交媒體上的廣告工具，以虛假的廣告來鎖定特定族群的受害者，像是年紀、興趣或是曾經購買的產品。</p> <p>不意外地，藉由社交媒體展開的詐騙數量與金額年年增加，在2017年時，相關詐騙的受害者人數為5,000人，詐騙金額為4,200萬美元；但到了2021年，受害者數量增加到9.5萬人，詐騙金額更達到7.7億美元，是2017年的18倍。</p> <p>值得注意的是，社交媒體是投資詐騙的首選。雖然社交媒體僅占所有詐騙的25%，但在所有的投資詐騙中，就有超過一半始於社交媒體，詐騙者利用社交媒體來推廣各種投資機會，甚至偽裝成朋友來說服受害者投資，例如聲稱投資加密貨幣可帶來龐大的報酬，但最終卻落空。</p> <p>在美國去年7.7億美元的社交媒體詐騙損失中，光是投資詐騙就占了37%，居次的是占了24%的愛情詐騙。而去年遭到愛情詐騙的受害者中，就有超過1/3來自臉書或Instagram，詐騙者利用社交媒體結識了受害者，繼之甜言蜜語，接著就以各種花招要錢。</p> <p>雖然投資詐騙及愛情詐騙所造成的損失最多，但它們分別僅占社交媒體詐騙案件數量的18%與9%，社交媒體真正數量最多的詐騙案為購物，所占比例高達45%。這些購物詐騙的受害者通常是看到商品廣告，有接近70%在付款之後沒有拿到商品，且相關廣告十之八九出現在臉書或Instagram。</p> <p>FTC奉勸社交媒體用戶應該透過隱私設定，限制可看到所張貼資訊的對象；而且當於社交媒體上看到來自朋友請求匯款的訊息時，最好打個電話給他；也不要太輕信來自網路的愛情，特別是不要匯錢給未曾謀面的陌生人。</p> </div></div></div>
2022/1/28 17:21作者陳曉莉https://www.ithome.com.tw/news/149143
久沒使用Xbox會員服務卻依然在付費？微軟將主動聯繫英國玩家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/cma-cases/online-console-video-gaming" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）自2019年4月針對遊戲業者啟動調查</a>，檢查它們線上會員訂閱服務是否合法，特別是與自動續約及退款有關的事項，調查對象包括任天堂（Nintendo）的Switch、Sony Playstation及微軟Xbox等，<a href="https://www.gov.uk/government/news/cma-secures-changes-to-xbox-subscription-practices" target="_blank">並在本周宣布與微軟達成協議</a>，微軟已同意要改善其Xbox的自動續約政策。</p> <p>CMA表示，遊戲業者所提供的線上會員訂閱服務通常會自動續約，卻造成不少消費者的困擾，這使得當局展開了調查，包括業者是否清楚說明了自動續約政策、消費者能否輕易取消自動續約，以及消費者是否沒意識到自己仍在為未使用的服務持續付費等。</p> <p>目前CMA已與微軟取得協議，微軟同意在與消費者簽約時提供更透明的資訊，以協助消費者清楚理解Xbox的會員資格，包括是否自動續約、如何取消、如何退款，以及價格等。</p> <p>此外，微軟也同意要主動聯繫那些訂閱12個月的會員，提供終止合約的選項並取得合理比例的退款；亦將主動聯繫那些已經許久沒有登入或使用會員服務、卻持續付款的客戶，並提醒他們如何終止付款，若這些人一直沒有使用服務，微軟將不再接受相關款項。</p> <p>CMA亦要求微軟在漲價時必須通知客戶，以讓客戶決定是否續約或如何關閉自動續約功能。</p> <p>除了微軟，以及仍在調查的任天堂與Sony之外，CMA執行主任Michael Grenfell提醒，其它提供自動續約會員或訂閱服務的業者也應採取行動，檢查自家的作法以確保符合英國的消費者保護法令。</p> </div></div></div>
2022/1/28 16:22作者陳曉莉https://www.ithome.com.tw/news/149139
IBM下一代大型主機將於今年上半上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/01/25/ibm_q4_2021/" target="_blank">The Register</a>及<a href="https://global.techradar.com/en-ae/news/ibm-teases-next-generation-z-series-mainframe" target="_blank">Tech Radar</a>報導，IBM高層證實下一代大型主機Z16將在今年上半正式上市。</p> <p>IBM財務長James Kavanaugh在本周財報分析師會議上指出，Z16在今年上半年底，最遲下半年初推出。他強調新上市的大型主機，將為藍色巨人注入新的成長動力。</p> <p>在去年11月<a href="https://www.ithome.com.tw/news/147680" target="_blank">分拆科技基礎構服務為Kyndryl</a>後，<a href="https://newsroom.ibm.com/2022-1-24-IBM-RELEASES-FOURTH-QUARTER-RESULTS" target="_blank">IBM本周公布去年第4季營收</a>。 IBM上季營收由前一年的159億成長為167億美元，成長6.5%。年營收則達573.5億美元。</p> <p>上一季大型主機部份則下滑4%，現行的Z15是在2019年下半推出，Kavanaugh解釋，按照銷售周期11季後銷售下滑是正常現象。但他指出Z16的推出，將有助於推升IBM今年業績。</p> <p>去年8月宣布的Z16搭載三星生產代號Telum的晶片。這款晶片採用7奈米製程，具有225億顆電晶體，可有效支援AI推論等高運算量的作業。</p> <p>IBM計畫援引Z系列平臺吸引建立混合雲推動業務轉型，以及執行AI、機器學習等應用的企業。推動混合雲是現任執行長Arvind Krishna 2020年初上任以來的主要方針，IBM也在此方向下將不相關的業務相繼出脫。除了分拆出去的科技基礎架構服務外，IBM也在本周將AI醫療業務<a href="https://www.ithome.com.tw/news/149027" target="_blank">Watson Health賣給了私募基金業者</a>。</p> </div></div></div>
2022/1/28 17:00作者林妍溱https://www.ithome.com.tw/news/149141
台達電上周遭駭，昨傳出該事件造成上萬電腦與伺服器被Conti勒索加密，該公司今日澄清非事實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內上市電源供應器大廠台達電遭駭客攻擊持續受關注，這是今年（2022年）第一起上市櫃公司資安事件重大訊息，在1月27日又傳出新消息指出技該公司是遭受Conti勒索軟體攻擊，並有1千5百臺伺服器與1萬2千臺電腦被加密，並被勒索1,500萬美元，大約4.12億元。對此，台達電在今日（1月28日）下午1時16分新發布公告，指出該報導並非實情。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-21_095123_%E5%8F%B0%E9%81%94.jpg" style="width: 260px; float: right;" /></p> <p>關於<a href="https://www.ithome.com.tw/news/149021">這次攻擊事件，在本月21日周五早上10時左右</a>，資安社群已有相關討論，指出台達電子公司疑被攻擊，並通知所有員工斷網的消息，我們也密切關於這樣的情況，隔日（22日）週六下午2時，台達電公告發生資安事件，他們在證交所發布重大訊息，說明偵測到部分資訊系統遭受駭客網路攻擊，已啟動資安相關防禦機制與應變作業，並通知政府執法機構協助後續調查，目前評估對公司營運無重大影響，且資訊系統陸續回復運作中。</p> <p>由於過往這類資安事件重大訊息，只要提到系統陸續回復運作，多半是勒索軟體攻擊後的復原狀況，因此當時我們猜測，台達電應該也是受到勒索軟體攻擊，只是相關細節揭露有限，也沒有提及子公司受影響。</p> <p>而在事發發生之後，<a href="http://www.deltaww.com/">台達電的官網（https://www.deltaww.com/）</a>就已停止服務出現網站系統維護公告，後續1月25日，在社群媒體上有關心台達電事件的網友，發現該公司有新的網域及網站，<span class="d2edcug0 hpfvmrgz qv66sw1b c1et5uql lr9zc1uh a8c37x1j fe6kdd0r mau55g9w c8b282yb keod5gw0 nxhoafnm aigsh9s9 d3f4x2em iv3no6db jq4qci2q a3bd9o3v b1v8xokw oo9gr5id hzawbc8m" dir="auto">因而引發討論，有網友回應表示，這個新網站</span><a href="http://www.deltapowersolutions.com/">（https://www.deltapowersolutions.com/</a>）其實台達電很早就註冊，應是為了暫時取代原有的官網。而當時我們也推測，該公司可能希望繼續調查入侵過程，而未立刻將網站恢復營運。</p> <p>到了1月27日下午，國內媒體<a href="https://www.ctwant.com/article/165246">周刊王（CTWANT）報導了這起事件的</a>狀況。在周刊王的報導中，提及26日國外1間資安公司發布報告與台達電事件有關，但是並未透露這家資安公司的名稱。</p> <p>關於台達電遭駭的狀況，周刊王引用這一間沒有透露名稱的國外資安業者的資料，指出台達電遭遇的是勒索軟體Conti，並公布可能攻擊台達電的Conti勒索軟體樣本雜湊值，並揭露事件影響範圍，在其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密，並提及趨勢與微軟資安團隊正在協助事件調查。</p> <p>而這起事件同樣受到國際媒體的關注，在今日（1月28日），國外資安媒體The Record、Bleeping Computer也報導這則消息，他們引用了週刊王的報導內容，並且提供了其他資訊。</p> <p>例如，在<a href="https://therecord.media/conti-ransomware-hits-apple-tesla-supplier/">The Record的報導</a>中另指出，在暗網中的Conti資料外洩網站上，目前台達電的公司名稱尚未被列於其上，可能台達電與該駭客組織仍持續在談判支付贖金的問題。</p> <p>而在<a href="https://www.bleepingcomputer.com/news/security/taiwanese-apple-and-tesla-contractor-hit-by-conti-ransomware/">Bleeping Computer的報導</a>中，他們表示獲得相關資訊，並公布了一張螢幕截圖，內容是Conti勒索軟體駭客組織留給台達電一個README.txt的勒索訊息。</p> <p>另外，網路上也有網友將CTWANT公布的Conti勒索軟體的樣本Hash（5ace33358a8b11ae52050d02d2d6705f04bd47a27c6c6e28ef65028bbfaf5da9），輸入到Virus Total平臺檢測。就目前（1月28日中午）結果來看，在59家資安業者的防毒引擎中，有37家判定為惡意程式。</p> <p>對於國內媒體紛紛報導此事，在今日（1月28日）下午1時左右，台達電再度於證交所發布發布重大訊息，針對周刊王等媒體報導內容做出澄清，指出該報導並非實情，強調實際情形依該公司公告為準，並表示公司營運相關系統皆已恢復正常，並且已經評估對公司營運無重大影響。至於公司網站未恢復的問題，台達電表示，目前他們正針對所有網域與網頁及相關檔案，進行全面的掃描檢測，待檢測完後即可恢復運作。</p> <p>不過，在這次台達電新的公告中，該公司並未揭露初步調查結果，對於感染病毒名稱與入侵管道，以及影響範圍，仍然沒有更進一步的說明，相關遇害狀況仍有待釐清。</p> <h2><strong>2022-01-21 台達電資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width:547px;" width="547"><colgroup><col /><br /></colgroup><colgroup><col /><br /></colgroup><tbody><tr height="48"><td height="48" style="height:48px;width:170px;"><u>網路攻擊事件類型</u></td> <td style="width:378px;">公告中表示部分資訊系統受駭客網路攻擊。</td> </tr><tr height="24"><td height="24" style="height:24px;width:170px;"><u>事中應變措施</u></td> <td style="width:378px;">啟動防禦機制與復原作業，已通報政府單位。</td> </tr><tr height="48"><td height="48" style="height:48px;"><u>初步調查結果</u></td> <td style="width:378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。<span style="color:#FF0000;">疑勒索軟體Conti造成</span><span style="color: rgb(255, 0, 0);">。</span></td> </tr><tr height="24"><td height="24" style="height:24px;width:170px;"><u>事件影響範圍</u></td> <td style="width:378px;">僅提及部分資訊系統</td> </tr><tr height="24"><td height="24" style="height:24px;width:170px;"><u>事件對營運的影響</u></td> <td style="width:378px;">對公司營運無重大影響</td> </tr><tr height="48"><td height="48" style="height:48px;width:170px;"><u>事後復原與檢討</u></td> <td style="width:378px;">公司受影響資訊系統陸續回復運作中，將持續提升網路與資訊基礎架構之安全管控。</td> </tr><tr height="48"><td height="48" style="height:48px;width:170px;"><u>對外公告資安事件</u></td> <td style="width:378px;">在1月22日發布於臺灣證券交易所重大訊息，並說明事件發生在1月21日。</td> </tr><tr height="24"><td colspan="2" height="24" style="height:24px;"> 資料來源：iThome整理，2021年11月 (紅字部分為其他管道傳出的資訊)</td> </tr></tbody></table><p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-22_143331_%E5%8F%B0%E9%81%94%E9%9B%BB(1).jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在1月22日，</span>台達電公告部分資訊系統遭受駭客網路攻擊。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-01-28_142257.jpg" style="width: 600px;" /></p> <blockquote><p>在1月28日，台達電對於周刊王等媒體報導發布補充澄清公告，指出報導並非實情，並表示營運相關系統皆已恢復正常。</p> </blockquote> </div></div></div>
2022/1/28 12:16作者羅正漢https://www.ithome.com.tw/news/149129
iOS 15.4測試版出爐，就算戴口罩也能人臉辨識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（1/27）釋出iOS 15.4測試版予開發人員，<a href="https://twitter.com/brandonbutch/status/1486773540577812490?s=21" target="_blank">於人臉辨識（Face ID）功能中新增了一個選項</a>，讓Face ID也可辨識戴口罩的使用者。</p> <p class="rtecenter"><a href="twitter.com/BrandonButch" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0128-ios15%20beta%20face%20id%20mask.jpg" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/BrandonButch/status/1486773540577812490?cxt=HHwWlIC5uY2qiqIpAAAA" target="_blank"><span style="color:#696969;">圖片來源／Brandon Butch</span></a></p> <p>蘋果是在2017年發表iPhone X時，以Face ID取代了指紋辨識（Touch ID）功能，使用者可透過Face ID來認證使用者身分，以解鎖手機、付款或存取機密資料。</p> <p>Face ID會辨識使用者全臉的各個特徵，但當COVID-19疫情在2020年升溫，全球使用者都戴上口罩之際，iPhone用戶就無法再輕鬆地使用Face ID來解鎖或付款，必須拉下口罩或是搭配Apple Watch使用。</p> <p>蘋果於iOS 15.4測試版中說明，Face ID只有在執行全臉辨識時最準確，若要在戴口罩時使用，iPhone僅能藉由眼睛周遭的區域來辨識，戴口罩的使用者要使用Face ID時，眼睛必須注視著iPhone。</p> <p>此外，該功能還有一個附加選項，允許使用者新增眼鏡，建議戴口罩的使用者最好讓系統能夠辨識每一副不同的眼鏡，惟不支援太陽眼鏡。不過，可辨識戴口罩人臉的Face ID功能，似乎僅支援iPhone 12或iPhone 13，並不適用於更早的機種。</p> </div></div></div>
2022/1/28 15:24作者陳曉莉https://www.ithome.com.tw/news/149137
安全為由，美國政府也撤銷中國聯通營運許可，60天內應終止業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國再度對中國電信公司下驅逐令。繼中國電信後，美國聯邦通訊委員會（Federal Communication Commission，FCC）以國家安全為由，<a href="https://www.fcc.gov/document/fcc-revokes-china-unicom-americas-telecom-services-authority" target="_blank">昨（27）日宣布</a>，撤銷中國聯通（China Unicom）在美的營運許可。</p> <p>去年3月FCC撤銷中國聯通美洲分公司、太平洋網絡公司（Pacific Networks Corp）及其全資子公司ComNet的營運許可。而本周則是在FCC委員4:0表決下通過這項命令案。該項命令要求中國聯通美洲分公司在60天內，停止在美國提供的國內及國際電信服務。</p> <p>FCC稱，在依據行政部門建議，並審核中國聯通對FCC調查提交的報告、公開紀錄及公眾利益考慮下，FCC相信這項行動有助於確保美國電信基礎架構免於安全威脅。</p> <p>中國聯通美洲分公司是中國聯通的美國分公司，提供虛擬行動網路服務、國際虛擬專線（international private leased circuit）、乙太網路專線（Ethernet Private Line）、網際網路接取服務（IP transit）、雲端服務等業務。</p> <p>FCC理由是中國聯通美洲分公司母公司是中國國營企業，受中國政府控制及影響，也受命中國政府，而由於安全環境變遷，使該公司和中國政府的關係引發美國國家安全風險，因中國政府可能存取、儲存、干擾和導引美國通訊流量，藉此進行間諜行動或其他不利美國的活動。此外，FCC稱中國聯通的行為和提交FCC的文件「欠缺坦白、信任及可信度」，違反FCC對電信業者的要求，而中國聯通方面所做的努力，不足以消除美國的國安疑慮。</p> <p>中國聯通是遭美國政府驅逐的第二家中國電信公司。<a href="https://www.ithome.com.tw/news/147494" target="_blank">去年10月美方撤銷了</a>中國電信美洲子公司（China Telecom Americas）的經營許可。<a href="https://www.ithome.com.tw/news/148216" target="_blank">中國電信今年1月3日已結束在美國的電信服務</a>。</p> </div></div></div>
2022/1/28 15:48作者林妍溱https://www.ithome.com.tw/news/149138
蘋果財報出爐，今年供應鏈問題將減緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/01/apple-reports-first-quarter-results/" target="_blank">蘋果周四（1/27）公布</a>截至去年12月25日的2022財年第一季營收，該季蘋果創下1,239億美元的營收，比前一年同期增加11%，每股盈餘為2.10美元，亦高於前一年同期的1.68美元。<a href="https://www.engadget.com/apple-earnings-q1-2022-iphone-revenue-record-222905681.html" target="_blank">根據《Engadget》的報導</a>，蘋果執行長Tim Cook於財報會議中透露，新一季所面臨的供應鏈緊縮問題將比上一季減緩一些，在美股跌跌不休的當下，蘋果當天盤後股價上漲了5.03%，為167.23美元。</p> <p><a href="https://www.apple.com/newsroom/pdfs/FY22_Q1_Consolidated_Financial_Statements.pdf" target="_blank">從產品類別來看</a>，在1,239億美元的營收中，有716.3億美元來自iPhone的貢獻，占蘋果總營收的57.8%；居次的是195億美元的服務營收（15.7%）；穿戴/家用/配件占了147億美元（11.9%）；Mac營收為109億美元（8.8%）；iPad為72億美元（5.8%）。</p> <p>其中，不管是iPhone、服務、穿戴裝置或Mac所締造的營收都高於前一年，唯iPad營收下滑。</p> <p>在銷售版圖上，蘋果於美洲市場的營收為515億美元，歐洲為297億美元，大中華區為258億美元，日本為71億美元，其它亞太地區則是98億美元。當中唯一營收下滑的市場為日本。</p> <p>蘋果財務長Luca Maestri表示，消費者對蘋果最新發表的產品與服務反應熱烈，使得蘋果不管是在營收或獲利上都有兩位數的成長，也讓活躍的蘋果裝置數量創下歷史新高。</p> </div></div></div>
2022/1/28 14:34作者陳曉莉https://www.ithome.com.tw/news/149135
SUSE發布K8s與容器管理工具Rancher Desktop 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux發行版開發商SUSE發布容器管理工具<a href="https://www.suse.com/c/rancher_blog/rancher-desktop-1-0-0-has-arrived/">Rancher Desktop 1.0</a>，Rancher Desktop是一個開放原始碼應用程式，可供用戶在Mac、Windows和Linux桌面管理Kubernetes和容器。Rancher Desktop可以簡化用戶在桌面上操作Kubernetes的體驗，在桌面提供易於使用的本地端環境，方便地將應用程式打包成Kubernetes應用程式執行。</p> <p>官方提到，過去用戶要在桌面執行Kubernetes，需要使用開源命令列工具，而這些工具又相依於其他外部工具，Rancher Desktop能夠解決工具使用的複雜性，提供簡單且直覺的桌面應用程式操作體驗。而且用戶在生產環境，可能使用各種Kubernetes版本，由於Kubernetes版本間可能存在細微差異，版本間的API也有所不同，Rancher Desktop讓用戶在本地測試與生產環境中，簡單地使用一致的Kubernetes版本。</p> <p>Rancher Desktop內建k3s發行版，並讓用戶能夠自由選擇版本號，因此無論在生產環境和本地Kubernetes環境，都能使用相同版本，官方還提到，Rancher Desktop還能方便地用來測試工作負載，觀察其升級Kubernetes版本後的行為。</p> <p>Rancher Desktop的底層使用containerd或dockerd做為容器引擎，可供用戶自由選擇，並且以nerdctl或Docker CLI來建置、推送和拉取容器映像檔和執行容器，這些工具所建置的映像檔，可以直接在Kubernetes中執行，而不需要再從註冊表推送或是拉取。</p> </div></div></div>
2022/1/28 13:26作者李建興https://www.ithome.com.tw/news/149121
北韓駭客Lazarus利用Windows Update躲避偵測、還以GitHub遠端控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/" target="_blank">資安廠商Malwarebytes發現</a>，北韓駭客Lazarus又開始活動，近日攻擊更發展出以Windows Update用戶端執行惡意程式以避免偵測，以及將GitHub當成外部控制伺服器等新式手法。</p> <p><a href="https://www.ithome.com.tw/news/104147" target="_blank">Lazarus最初是在2014年攻擊索尼影業</a>（Sony Pictures）為人所知，而後以發動WannyCry蠕蟲軟體攻擊，癱瘓全世界多個國家機場、企業及或關鍵設施聞名。</p> <p>安全廠商Malwarebytes發現Lazarus兩起手法新穎的釣魚信件攻擊。兩起攻擊分別是發生於去年12月及今年初，都是透過冒名提供洛克希德馬丁（Lockheed Martin）工作機會的Word檔案以誘使用戶下載開啟，作為攻擊第一步。</p> <p class="rtecenter"><img alt="" src="https://blog.malwarebytes.com/wp-content/uploads/2022/01/Screenshot-2022-01-25-at-9.56.22-PM-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Malwarebytes</span></p> <p>這些檔案內含惡意巨集，經用戶開啟後即展開攻擊過程，包括下載惡意DLL檔及注入合法行程。其中攻擊者在exeplorer.exe載入drop_lnk.dll執行，以便在啟動資料夾下載WindowsUpdateConf.lnk，並檢視是否有wuaueng.dll，如果沒有就再下載其他檔案來完成下載這個dll。研究人員指出，WindowsUpdateConf.lnk執行C:\Windows\system32\wuauclt.exe這個手法相當特殊，因為攻擊者可利用Windows Update用戶端執行惡意程式碼，在其掩護下避免被安全軟體偵測到。</p> <p>若駭客檢視沒有wuaueng.dll，即額外下載runtimebroker.dll，在C:\Wíndows\system32\建立惡意目錄再下載這個.dll檔，這個手法也有助於隱匿蹤跡。透過下載wuaueng.dll這整個攻擊鏈最重要的.dll檔，讓受害者機器中的惡意程式得以和外部C&C伺服器建立連線。</p> <p>利用GitHub作為C&C伺服器的手法，也是安全廠商第一次發現Lazarus駭客使用。研究人員認為用它來進行短期的精準攻擊相當聰明，因為安全軟體很難分辨惡意和合法連線。</p> <p class="rtecenter"><img alt="" src="https://blog.malwarebytes.com/wp-content/uploads/2022/01/Screenshot-2022-01-25-at-4.44.58-PM-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Malwarebytes</span></p> <p>至於Lazarus駭客究竟在受害者電腦植入了何種核心模組，研究人員還不清楚，因為駭客已經從受害者電腦中將之清除。目前僅知該模組並不會接觸到磁碟，防毒軟體不容易偵測到其存在。此外，它會蒐集用戶使用者名稱、電腦名稱、執行中的行程清單，並將資訊傳給C&C伺服器。</p> </div></div></div>
2022/1/28 13:41作者林妍溱https://www.ithome.com.tw/news/149130
IMF呼籲薩爾瓦多放棄以比特幣為法定貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日比特幣狂跌，<a href="https://www.imf.org/en/News/Articles/2022/01/25/pr2213-el-salvador-imf-executive-board-concludes-2021-article-iv-consultation" target="_blank">國際貨幣基金（IMF）本周呼籲</a>中美洲國家薩爾瓦多放棄以比特幣（Bitcoin）作為法定貨幣。</p> <p>近期IMF和薩爾瓦多官員就該國推動比特幣經濟政策舉行雙邊會談，並在本周一會談結束後公布這項報告。<a href="https://www.ithome.com.tw/news/146598" target="_blank">去年9月薩爾瓦多宣布</a>正式接納比特幣為法定貨幣，並釋出官方的Chivo Wallet比特幣錢包（如下圖所示），成為全球第一個將比特幣視為法定貨幣的國家。同年11月該國又宣布<a href="https://www.ithome.com.tw/news/147966" target="_blank">將打造一座比特幣城（Bitcoin City）</a>，發行10億美元的比特幣債券作為建城資金，建立挖礦用的電廠，將免除比特幣城內所有稅收。</p> <p class="rtecenter"><img alt="" src="https://www.presidencia.gob.sv/wp-content/uploads/2021/10/photo_2021-10-07_12-48-17-1280x635.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／薩爾瓦多政府網站</span></p> <p>其中IMF對薩國接受以比特幣為法定貨幣感到不妥。鑒於比特幣高度波動性，IMF理事強調，使用比特幣對經濟穩定性、完整性及消費者有很大風險及可能衍生的財政責任，IMF呼籲薩國應縮小比特幣的實施範疇，尤其是應去除比特幣作為法定貨幣的地位，另外部份IMF理事也對比特幣債券的風險表達憂慮。</p> <p>薩國總統Nayib Bukele去年以每枚5萬美元，買入6,600萬美元的比特幣，本月稍早還宣布再購入1,500萬美元的比特幣，稱此時「相當便宜」。不過他的比特幣政策引發薩國民眾多次抗議。<a href="https://www.bloomberg.com/news/articles/2022-01-25/imf-board-urges-el-salvador-to-ditch-bitcoin-as-legal-tender" target="_blank">彭博估計</a>薩國去年的投資已蒙受2,000萬美元損失。</p> <p>去年11月比特幣兌美元漲到6.8萬美元的天價後即轉而下滑，原因在多國政府或央行的出手干預。上周在俄羅斯宣布將考慮禁止挖礦及使用加密貨幣後，比特幣價格再下跌到3.2萬美元。昨日比特幣又回漲到3.7萬美元。</p> <p>雖然財經界對比特幣感到不安，但不少行政首長以擁抱加密貨幣為政績。為宣示支持加密貨幣，<a href="https://www.ithome.com.tw/news/149031" target="_blank">紐約市長Eric Adams上周宣布</a>第一份薪水將換算成以太幣（Ethereum）及比特幣領取。佛州邁阿密市長Francis Suarez也有此打算。</p> </div></div></div>
2022/1/28 14:03作者林妍溱https://www.ithome.com.tw/news/149131
微軟發現新一波多階段釣魚攻擊，多因素身分驗證成為組織防禦關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/01/26/evolved-phishing-device-registration-trick-adds-to-phishers-toolbox-for-victims-without-mfa/">微軟揭露最近所發現的複雜釣魚活動</a>，攻擊者藉由將自己的裝置加入企業網路中，以執行進一步的傳播活動。這與傳統網路釣魚策略相比，這個多階段的大規模釣魚攻擊，運用了更新的技術，微軟提到，一旦組織沒有啟用多因素身分驗證，攻擊者只要竊取憑證，就能透過自帶裝置（BYOD）註冊自己的裝置。</p> <p>這波釣魚攻擊的第一階段的目標，主要是竊取組織的憑證，標的橫跨澳洲、新加坡、印尼和泰國各國，而釣魚攻擊的第二波，則是使用盜來的憑證，寄發組織內釣魚信件擴展立足點，甚至還會發送外網郵件。</p> <p>在這個案例中，裝置註冊被用於進一步的網路釣魚攻擊中，而根據微軟的觀察，在其他案例也有裝置註冊用於攻擊的情形。多因素身分驗證可以有效防止攻擊者在竊取憑證後，用於存取組織裝置或是網路，但未啟用多因素驗證的組織中，攻擊則會無阻礙地在組織網路中進行。</p> <p>微軟提到，網路釣魚目前仍然是獲得初始進入企業內網的最主要攻擊手段，而這最新一波的釣魚攻擊代表著，託管裝置可見性和保護能力的改進，迫使攻擊者開始探尋替代途徑。企業在家工作的員工增加，擴大了潛在攻擊面，這同時也改變公司內部和外部的網路界限。</p> <p>攻擊者部署各種策略，來針對混合工作、人為錯誤、影子IT，或是未受管理的應用程式、服務、裝置，和其他在標準政策外運作的基礎設施。微軟表示，這些不受管理的裝置，在加入時容易被安全團隊遺漏，因此成為可被利用的攻擊目標。微軟研究人員還指出在這個案例中，最令人擔憂的點，是攻擊者不只成功連接裝置，而且掌握對該裝置完全的操作以及控制能力。</p> <p>微軟所公開的這個最新釣魚攻擊，攻擊者在第一階段攻擊，入侵多個組織的電子郵件信箱，藉由實作收件信箱規則來逃避偵測，並在第二階段攻擊，針對缺乏實作多因素身分驗證協定的組織，註冊攻擊者的非託管裝置，寄發橫向、內部和出站垃圾郵件，進一步傳播惡意訊息。該攻擊顯示，當憑證被盜且零信任政策未到位，攻擊者的非託管裝置，就可能成為組織網路的一部分。</p> </div></div></div>
2022/1/28 12:47作者李建興https://www.ithome.com.tw/news/149119
微軟以索引技術進一步加速Visual Studio程式碼搜尋速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在最新的Visual Studio 2022 17.1的預覽版中，加入<a href="https://devblogs.microsoft.com/visualstudio/code-search-in-visual-studio-is-about-to-get-much-faster/">新的檔案中搜尋（Find in Files）功能</a>，以提供開發者更好的搜尋體驗，Visual Studio 2022與Visual Studio 2019相比，95％的檔案中搜尋速度已經大幅提升達到2倍速，而在17.1版本中，搜尋速度將再次提升。</p> <p>將各版本的搜尋時間相比（下圖），Visual Studio 2019 16.4版本速度最慢，搜尋查詢平均需要長達21.65秒才能完成，在Visual Studio 2019 16.11版已經縮短到10.05秒，Visual Studio 2022正式版再次縮短一半的時間，而最新的Visual Studio 2022 17.1版本的搜尋速度又更快了，現在執行一個搜尋查詢，僅需花費1秒多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FiF-Graph.png" style="width: 580px;" /></p> <p>由於目前該功能還在預覽階段，因此開發者要用到最新的檔案中搜尋功能，可以到工具裡的預覽功能選項，啟用索引來加速搜尋體驗。一旦啟用該功能，當解決方案載入或是資料夾開啟時，Visual Studio便會啟動附屬程序ServiceHub.IndexingService.exe，並將檔案列表傳輸給該程序以建構索引。該索引程序在Visual Studio主程序外，以低於一般作業系統優先等級執行，會避免影響解決方案載入、建置和用戶活動。</p> </div></div></div>
2022/1/28 13:13作者李建興https://www.ithome.com.tw/news/149120
台積IT新關鍵能力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/tsmc-906x420.jpg?itok=5lmZqMvC" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">跑在程式碼上的晶圓廠，這是台積電維持競爭優勢鮮為人知的秘訣，但是晶圓廠越蓋越多，台積IT架構、產品設計，如何從單一廠，可以支援到10座、20座，甚至更多座的可能性？這正是台積IT最大的挑戰，也是台積數位轉型的新課題</p> </div></div></div>
2022/1/28 06:37作者王宏仁https://www.ithome.com.tw/article/149122
【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一個台積IT新人，報到後的第一件事，就是要接受長達3個月的新手訓練，其中2個月更是要集中到特定部門，接受同一套專門技術的培訓，然後才回到原單位進行在職訓練。這套共同的專門技術，就是雲端原生技術的基礎訓練。</p> <p>早在2019年時，台積電就定調IT軟體開發策略，聚焦在雲端應用及手機App的開發，軟體開發流程更從瀑布開發模式，轉為DevOps和Agile開發模式。</p> <p>「IT工程師對台積越來越重要，因此，提升IT工程師的生產力也是一件很重要的事。」台積電IT主管Jenny Hu特別強調。</p> <p>尤其，台積從2021年底新一波校園IT招募時，不只鎖定資工、資管科系背景的學生，還要招募電機，機械，控制，工工，工管，數學，統計科系等理工科系的學生，對於非資工管科系背景的學生，進入台積後更需要提供一套標準化的技術培訓，才能讓IT部門新人能具備同樣的技術基礎，也能熟悉台積IT所用的開發流程和方法。</p> <p>因此，台積IT在2021年設立了一個「新技術應用專案課」（NTAP），除了負責新產品開發，也要負責要用現代化架構來重構廠區的老舊系統，另外還有一項重要任務就是負責新手訓練營，「將台積IT未來要用的一套雲原生技術，教給新進IT，以減少新人技能和日後實際所用技術的落差。」台積電NTAP新技術應用專案課工程師Jack Lo這一席話，點出了這個新手訓練營最重要的目的，讓新手IT人人都具備同一套台積IT未來必備的技術。</p> <p>2020年底時，台積首度公開了自家開發團隊內部所用的開發平臺，稱為TSMC One Platform，可以涵蓋從產品規劃、開發、組建、測試，發布到部署的流程，也都遵循DevOps流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-Plarform-One(1).png" /></p> <p>在TSMC One Platform平臺上，有一套完善的DevOps和CI/CD工具鏈，「透過這些DevOps工具鏈，可以讓台積的工程師，做好生命周期管理，把關軟體品質，也能提升生產力。」Jenny Hu補充。</p> <p>但是，有了一套完善的DevOps工具鏈還不夠，還需要搭配對應的開發方法論和開發流程，才能真正發揮作用。在台積IT新手訓練營中，培訓內容就涵蓋了這套台積內部所用的工具鏈和最佳開發實務。</p> <h3><strong><span style="color:#FF0000;">打開台積IT新手訓練營課程清單，都是雲端原生技術和工具</span></strong></h3> <p>打開台積IT新手訓練營的課程清單，從DevOps開發流程中，最基本的開源版本控管系統GIT開始介紹，像是最常用的「Pull Request操作」，另外也包括了系統設計與需求溝通必備的「User Story撰寫」。新手課程還提供了針對Web應用開發主流開源技術架構MERN的介紹，例如「MERN後端概論」、「MERN前端React」。還有與測試有關的「TDD與Jest」，其他課程還包括了Mirage.js函式庫、Next.js框架、Functional Programming（FP-TS），Pattern Matching、Azure DevOps Workitem、API文件工具Docusaurus等偏重技術性的課程，除此之外，還包括了「從MERN到CI/CD」、「Quarkus和Kotlin」、「Quarkus和CI/CD」、Temporal.io框架和F#語言。</p> <p>MERN（包括MongoDB、Express、React.js和Node.js）是目前台積電力推的開發框架，而Kotlin則是網頁後端開發所用的技術，而Quarkus則是搭配的框架。培訓內容也包括了管理產品開發上線過程的DevOps實務，從程式碼管理，版本控管、CI/CD自動化到Workitem管理等。台積電還會使用一些開發模式，包括測試驅動開發（TDD），行為驅動開發（BDD）和領域驅動設計（DDD）等模式，這些都是新手培訓範圍。</p> <p>不只是上課學習，台積IT新手訓練營也相當重視實作，報到後的主管啟動日中，就會說明教學內容和專案實作，再展開新手課程，包括TSMC基礎介紹、雲端原生技術和專案實作。前2個月，新手集中訓練期間，聚焦技術深化、溝通技巧、執行和協作。最後1個月，則進行部門實作訓練，新人歸建到原部門進行就職訓練（On-Job Training）</p> <p>前2個月的主要學習地點就是新技術應用專案課，除了接受一系列課程，台積也會安排資深工程師擔任導師，跟新手進行Pair Programming（結對程式設計），兩個人一起用同一個螢幕、同一組鍵盤一起開發來學習。</p> <p>Jack Lo指出：「為了開發一支Cloud Native的App，需要用到上述這些技術，這也都是為了近一兩年來，台積碰到的全球化挑戰，要朝向雲端邁進。」這正點出了新手訓練營背後的戰略意義，同樣為了瞄準台積電全球化挑戰而做的IT準備。</p> <p><span style="color: rgb(0, 0, 255);"><strong>【台積IT新關鍵能力】封面故事</strong></span></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> </div></div></div>
2022/1/28 09:53作者王宏仁https://www.ithome.com.tw/news/149127
【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">去年3月底，台積電官網人才招募網頁上，突然發布了一類新職缺，要招募網站可靠性工程師（Site Reliability Engineering，簡稱SRE），到了去年11月，台積電對這類人才的招募活動不僅沒有滿足，甚至還進一步擴大，要開始招募起SRE團隊的管理幹部。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">SRE是2016年開始崛起的新IT人才類型，當時Google把自家維運10億人規模的搜尋引擎或Email服務背後的那一套維運心法公開，打造成一套可以確保全球性服務高可靠度的作法，也就是SRE維運方法論，大力推廣，不少大型網路公司或科技公司也開始仿效導入，例如Netflix、LinkedIn，SRE成了維運全球性架構網路服務的指標性作法，甚至Netflix的SRE經驗更被許多企業視為學習的典範。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">近幾年，各種產業都相繼展開數位轉型，許多大型企業開始提供跨國性網路服務，也開始擁抱SRE，來確保自家服務不中斷，例如2019年，金融業如新加坡星展銀行，或是零售巨頭美國Target，都開始成立自己的SRE團隊。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">台積電是臺灣半導體業擁抱SRE的先行者</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">但是，SRE這個在國外科技圈火紅的新人才，在臺灣大多只在網路圈內流行，只有少數網路公司或雲端原生新創導入，直到2020年底、2021年初，才陸續出現幾家大型金控或大型製造業開始接觸SRE維運理念，展開嘗試，也開始出現這類人才的職缺需求。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">到了2021年下半年，在臺灣的人力銀行網站上的SRE職缺數量竟然翻了一倍。後疫新常態暴增的數位通路需求，讓越來越多企業想要強化自己的網站維運能力，從網路設備商、儲存產品商、房仲集團、保險公司、證券商、物流、媒體、實體百貨、超市賣場到線上電商，都要招募SRE人才。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">台積電正是2021年初，臺灣第一批招募SRE的高科技製造業者之一，甚至是半導體業者中，率先嘗試SRE的先行者之一。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">可是，上述積極擁抱SRE的臺灣企業，大多是為了因應零接觸經濟需求而招募，而台積電並非是提供大規模B2C服務的企業，而是半導體製造代工服務業，為何台積電突然開始大舉招募SRE？</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">從台積SRE招募公告中，初步可以看出，與台積IT這兩年數位轉型的新戰略方向，大有關係。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">台積早在兩年前，就開始大舉招募IT人力，2020年底時更打破例行性招募作法，首度舉辦線上徵才活動，要突破地域限制，想辦法吸引更多臺灣北、中、南部，甚至是海外的IT人才。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">當時，台積電不只開出大量的AI職缺，例如資料科學家、ML軟體工程師、ML平臺工程師、ML領域執行經理等，來持續支援從2016年大力推動的生產製造智慧化戰略，另一方面，台積電當時還積極招募3大類IT人才，包括了雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">去年，iThome獨家披露了台積電大舉招募AI和IT人才的關鍵布局，就是為了展開大規模數位轉型所需，尤其要招募的那3類IT職缺，都是基礎架構轉型所需的關鍵人力。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">當時有位台積IT招募主管就直言，台積IT在2020年的三大工作重點，一是要運用各種基礎架構新服務，來支援台積電的數位轉型，二是要運用軟體定義技術，將傳統資料中心轉型為真正的私有雲架構，最後一點則是揭露台積電正持續投入新世代IT基礎架構的研發，包括如5G、IoT、AIOps等新興技術，來支援台積電未來的成長。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">到了2021年，台積電絲毫沒有停下IT人才招募的腳步，甚至還更主動，深入更多場合、透過更多元的管道來招募。這些舉動反映出台積 IT急需更多新戰力的渴望。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">但是，台積IT在2021年需要的新人才，和展開數位轉型前期，也就是和2020年時的需求，不盡相同。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">在2021年下半年台積第二度IT大徵才活動中，進一步要擴大招募5大類人才，除了負責開發的軟體工程師、製造智慧化發展的AI/ML工程師，以及基礎架構工程師之外，2021年新出現的重點職缺，就是 SRE工程師和DevOps工程師，後兩者是2020年第一次IT大舉徵才中，沒有特別著墨的角色。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">邁向雲端原生環境，開始積極招募DevOps和SRE</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">在2021年10月有次校園徵才活動中，台積電難得透露了IT人才需求改變的關鍵原因。台積電IT主管Jenny Hu指出：「台積要開始邁向雲端原生的環境，DevOps跟SRE是2021年開始的重點新職缺。」</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">她進一步解釋：「台積一方面建立自己的K8s，發展雲端原生架構，完善DevOps工具鏈，也開始推動轉型，將老舊系統轉移到雲原生架構上，也讓我們IT開發的產品轉型，透過這些工具鏈，將產品做得更好。」</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">從台積賦予DevOps和SRE職務的工作重點中，更詳細的點出了這兩類人才在台積電打造雲端原生架構中所扮演的關鍵角色。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">這兩年，台積電一直持續招募大量軟體工程師，來負責內部軟體產品，也要瞄準未來全球營運的挑戰。但在2021年新增加的DevOps工程師的工作內容，不只也需要負責設計、開發和維運TSMC IT的軟體產品，更要使用雲原生技術，來開發全球營運製造的新平臺。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">台積電從2020年就開始積極發展容器化，後來開始發展自己的K8s私有雲環境，也預告未來會將所有服務都會轉移到K8s上。台積DevOps被賦予的工作內容，就是要運用雲端環境開發自動化工具，來建置K8s上的流程，包括CI/CD流程、自動化測試流程、自動化部署流程等，也要搭配，如Prometheus、Kibana等雲端開源工具，來監控軟體產品品質和監控K8s平臺的資源，以確保產品維運的可靠性，還要負責待命任務。也就是說，台積電未來軟體產品所部署的K8s雲端原生環境上，各種流程自動化都是台積DevOps的任務，這些任務也正是國外科技巨頭打造全球網路服務時，為了支援全球性規模所需要的自動化管理能力。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">而從台積SRE工作重點說明中可以看到，SRE要負責實現台積實現基礎架構程式碼化（Infrastructure as code，簡稱IoC），也要運用軟體方法來管理台積電的全球資料中心，包括基礎架構硬體設計、建設和維運。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">而SRE的工作內容則包括了，從裸機、VM、容器到K8s私雲的部署與基礎架構維護工作，以及要負責定義和管理SLO、SLI和錯誤預算（Error Budgets），另外，還要負責定義監控機制和預警機制。當然，IT緊急應變是SRE角色的重要任務，他們得輪班待命處理緊急事件與事後檢討。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">為了優化這些維運和管理工作，台積電的SRE也得具備各項雲端原生技術的開發能力，自己來發展相關的工具和所需的自動化流程。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">從台積賦予這兩類角色的工作內容來看，DevOps和SRE是高度互補的角色，DevOps聚焦AP應用系統層級的大規模管理挑戰，而SRE則更進一步涵蓋到資料中心層級的全球維運和管理，但不論是SRE或是DevOps，都是為了雲端原生架構的大規模管理和維運，這正是台積用來因應全球化營運挑戰的IT新能力。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-SRE%E8%81%B7%E7%BC%BA.jpg" /></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><img alt="" src="https://s4.itho.me/sites/default/files/images/TSMC-DevOps%E8%81%B7%E7%BC%BA(1).jpg" /></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong style="color: rgb(0, 0, 255); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 13px;">【台積IT新關鍵能力】封面故事</strong></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> </div></div></div>
2022/1/28 09:54作者王宏仁https://www.ithome.com.tw/news/149126
【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3>2020年是台積數位轉型的關鍵第一年，不只推動IT基礎架構三大重心、AI四大應用布局，更開始邁向五大轉型方向。2021年，台積數位轉型進入全新的階段，不只找來矽谷大將擔任CIO，IT組織也大改組，2022年，台積IT更將展開2大關鍵變革，這一切，都是為了發展全球化的營運能力。(可參考另一篇長文：</h3> <h3><strong><span style="color:#FF0000;">自動化製造時期：從半自動邁向生產自動化</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2000～2010年：2000年是自動化元年，開始發展機台自動化、物料傳送自動化、晶圓派工自動化。2006年報揭露，超大晶圓廠達到近百分之百的全自動化生產。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">智能化製造時期：發展整合平臺和大數據到全面AI化</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2011年：智能化元年，開始發展晶圓大數據，率先進入智慧化生產流程，<strong><span style="color:#0000FF;">將人工智慧導入晶圓製造</span></strong></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2013～2016年以跨界培育人才為主，打造資料整合平臺和高效能計算環境，來發展機器學習平臺。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2017年開始強化智能系統，找來專家參與智能模型開發，建立專家知識庫（分析標的、製程特性、跨站相依性、資料預處理）來精進智能化製造。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2018年，擁有1,000位IT人員和300位機器學習專家</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2018年10月，首度宣布在開放創新平臺（OIP）提供「<strong><span style="color:#0000FF;">虛擬設計環境</span></strong>」VDE，讓客戶透過雲端進行晶片設計，也啟動第5個開放創新平台聯盟「雲端聯盟」，將雲端業者納入晶片設計製造生態系</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2019年開始發展知識智慧化，利用AI來發展智慧排程與精準派工、提升人員生產力、優化機臺生產力、製程與機臺控制、品質監控。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2019年，IT軟體開發策略著重在<span style="color:#0000FF;"><strong>雲端應用</strong></span>以及<span style="color:#0000FF;"><strong>手機App</strong></span>開發，軟體開發流程更從瀑布開發模式，轉為<strong><span style="color:#0000FF;">DevOps</span></strong>和<strong><span style="color:#0000FF;">Agile</span></strong>開發模式。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">數位轉型時期：加速數位轉型、發展全球化營運能力</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年：因為疫情，加速數位轉型腳步，開始發展<strong><span style="color:#0000FF;">AR/MR跨廠遠端協同合作</span></strong>、<strong><span style="color:#0000FF;">強化廠際技術移轉能力，推動數位工廠（Digitized Fab）的製造流程改造計畫</span></strong>，以及<strong><span style="color:#0000FF;">打造遠距辦公系統</span></strong>等</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年5月，台積宣布將在美國亞利桑那州設立先進晶圓廠，將於2021年動工，於2024年開始量產。2021年至2029年預計將投資約120億美元。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年中，展開<span style="color:#0000FF;"><strong>5G企業內網規畫與部建</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年12月，<strong><span style="color:#0000FF;">台積電IT首次線上大規模徵才</span></strong>，招募海內外IT業界人才，主要招募3大類人才：雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">● 2020年底成果：</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#0000FF;">【TSMC內部雲端軟體開發平臺】</span></strong>，整合DevOps流程和工具，支援上千名工程師開發。多數應用程式已轉移到Kubernetes環境，也採用微服務架構來設計軟體系統。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#0000FF;">【2020台積IT基礎架構團隊三大工作重心】</span></strong>：運用各種基礎架構新技術（完整行動應用、導入協同合作和線上會議服務、雲端服務整合利用）協助企業數位轉型，資料中心透過軟體定義（虛擬化、容器化、基礎架構程式化）轉型成真正的私有雲、基礎架構持續創新（導入新世代5G、IoT製造、AIOps技術）</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#0000FF;">【2020台積AI和ML四大應用布局】</span></strong>：製程研發面：用AI協助理解高複雜高維度的製程開發挑戰。Fab量產面：用AI和ML分析感測資料和檢測影像，來進行品質檢驗、缺陷檢查，協助快速產生高品質的晶圓。業務面：市場動態分析大量使用AI，也用來分析顧客行為模式。IT維運：利用AI協助IT內部複雜系統的維運，異常偵測等。下一代智慧工廠發展策略，要結合行動應用、MR、IoT、大數據和AI來發展下一代AI工廠。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2020年底，公布<strong><span style="color:#0000FF;">【台積數位轉型五大方向】</span></strong>：用AI、大數據及尖端數位科技來打造<strong><span style="color:#0000FF;">智慧製造</span></strong>（如智能調機及機臺邊緣運算）、<strong><span style="color:#0000FF;">數位供應鏈管理</span></strong>、<strong><span style="color:#0000FF;">高效能混合雲端運算及服務</span></strong>（將適合業務上雲，如雲端CRM和雲端HCM）、<strong><span style="color:#0000FF;">工作場所現代化</span></strong>（如內部行動App、RPA、智能會議室等）、<strong><span style="color:#0000FF;">團隊協作</span></strong>（如AR/MR遠端協作、使用者為中心的團隊協作合作平臺）。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年2月，找來曾任臉書企業平臺架構處長、Mozilla資訊技術副總的林宏達博士，擔任<strong><span style="color:#0000FF;">台積電資訊長</span></strong>。負責範圍涵蓋台積公司資訊技術相關業務，包括智能製造服務、高效能運算、數位化供應鏈、電子商務、團隊協同合作、現代化辦公室及資訊技術基礎架構等。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年5月，<strong><span style="color:#0000FF;">台積IT組織重組</span></strong>。台積IT目前規模超過上千人，分為四大處，人數最多的是技術系統整合處（Technology System Integration Division，簡稱TSID），負責智慧製造相關的系統，和工程技術的系統整合工作，主要任務是打造智慧製造工廠，機台自動化生產力和12吋廠自動化。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">第二大部門是負責基礎架構的資訊建構既通訊服務處（Infrastructure & Communication Services Division，簡稱ICSD），主要任務是負責IT基礎建設和管理，雲端運算服務和網路資訊安全。只要設立新的廠區，ICSD就需要支援新設立的資料中心。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">第三個部門是負責AI 相關的智慧應用整合處（AI Application Integration Division，簡稱AAID），主要任務包括了人工智慧易用、設計研發平臺、工程資料分析和8吋廠自動化。另外還要負責一些分析任務和8吋廠自動化工作。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">最後一個處是企業系統整合處（Business System Integration Division，簡稱BSID），主要任務包括了電子商務系統、企業資源規劃（ERP）、供應鏈管理（SCM）、人力資源管理HCM等系統。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年，IT開發邁向Product模式：過去是開發和維運分開，每設立新廠，就設立資料中心和新維運團隊。現在改為Product模式，按照IT軟體產品來規劃，而不是依照工廠建廠來規劃。隨著相關自動化工具越來越完整後，也要將DevOps落實到台積IT各項流程。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年10月，再次大規模招募五大類IT人才，首度開始招募<strong>SRE工程師和DevOps工程師</strong>，另外還有軟體工程師、AI/ML工程師和資訊基礎架構工程師，其中以軟體工程師和DevOps工程師招募需求最大。2021年更開始舉辦3個月的新手訓練營，先用2個月集中訓練，學習各項台積IT所需的Cloud Native技術和DevOps工具鏈，再回到原單位進行一個月的就職訓練。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● 2021年，開始招募SRE團隊，大力發展基礎架構程式碼化（Infrastructure as code），使用軟體的方法管理TSMC全球資料中心、基礎架構硬體設計、建設和維運。</p> <h3 style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;"><strong><span style="color:#FF0000;">【2022年台積IT發展重點】</span></strong></h3> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● <strong><span style="color:#0000FF;">台積IT主要軟體產品都改為產品開發模式</span></strong>，也會使用DevOps來管理。包括MES、機台自動化、機台控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM和人資管理HCM</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">● <strong><span style="color:#0000FF;">從Scale up（垂直擴充）邁向Scale out（水平擴充）</span></strong>：<br /> 台積IT已經運用開源技術打造了台積私有的K8s環境（自建K8s而非商用K8s），將會逐漸將各項容器化的應用，轉移到這個TSMC K8s環境上。<span style="color:#0000FF;"><strong>未來台積所有服務都會轉移到K8s上，更要大力發展全球資料中心維運能力，目標是要強化應用程式可靠性和快速回復能力</strong></span>，以公雲全球資料中心營運方式，作為學習的標竿。</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">圖片來源／台灣積體電路製造股份有限公司</p> <p style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: medium;">資料來源：台積電官網和台積電IT校園徵才活動紀錄、iThome整理，2022年1月</p> <p><span style="color: rgb(0, 0, 255);"><strong>【台積IT新關鍵能力】封面故事</strong></span></p> <p><a href="https://www.ithome.com.tw/news/149123">【獨家披露】2022台積IT發展重點(上)：從自動化製造到智能化製造，全球化營運是台積IT新挑戰</a><br /><a href="https://www.ithome.com.tw/news/149124">【獨家披露】2022台積IT發展重點(下)：新任CIO帶頭，台積IT展開2大變革支援全球營運</a><br /><a href="https://www.ithome.com.tw/news/149125">【獨家披露】台積數位轉型發展史：從AI全面轉型到全球化營運能力（完整圖表下載）</a><br /><a href="https://www.ithome.com.tw/news/149126">【獨家披露：台積IT關鍵新能力1】為何台積電大舉招募SRE和DevOps？</a><br /><a href="https://www.ithome.com.tw/news/149127">【獨家披露：台積IT關鍵新能力2】靠新手訓練營統一專業技能，台積電將雲端原生技術變成IT必備基礎</a></p> <h2 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 31.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: rgb(255, 0, 0);">一張圖表，了解台積電數位轉型發展史</span></h2> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><a href="https://r.itho.me/tsdx22">下載連結 https://r.itho.me/tsdx22</a><br /> （以<span style="vertical-align: top; color: rgb(0, 0, 255);">CC-BY-NC-ND-4.0</span>釋出，需標示作者<span class="cc-license-title" property="dc:title dct:title" style="vertical-align: top; box-sizing: inherit; display: inline;">姓名，非商業性使用、禁止改作</span>)</p> </div></div></div>
2022/1/28 09:55作者王宏仁https://www.ithome.com.tw/news/149125