iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年2月7日，中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣的農曆新年期間，國際情勢持續升溫，各國之間透過網路攻擊的角力不斷。其中，中國駭客鎖定歐美新聞產業發動攻擊，企圖藉此收集敵國情報的情況再度發生。例如，美國大型新聞媒體集團News Corporation近日疑似遭到中國駭客攻擊，有數量不明的記者電子郵件帳號遭駭，但該公司沒有進一步透露受害的情形。</p> <p>近期北韓網路遭到DDoS攻擊的情況也引起關注。但極具爭議的是，這起行動是去年遭到北韓APT駭客網釣攻擊的資安人員所為，疑似是不滿美國政府沒有保護資安人員，而自行採取報復行動。</p> <p>而中國駭客組織鎖定臺灣企業下手的現象，可說是不時傳出事故，且很有可能長期埋伏，甚至是目的達成後仍未被察覺。研究人員揭露一起自1年半前發起的攻擊行動，其中一家受害組織被監控超過8個月。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.reuters.com/business/media-telecom/news-corp-says-one-its-network-systems-targeted-by-cyberattack-2022-02-04/"><span style="color: rgb(0, 0, 0);">華爾街日報等新聞媒體遭到駭客攻擊，疑似為中國政府蒐集情報</span></a></strong></span></p> <p>在國際情勢日益緊張的態勢下，國家級駭客鎖定新聞媒體來為政府蒐集情資，也有數起事故傳出。根據路透社的報導，美國大型新聞媒體集團News Corporation於2月4日透露，數量不明的記者遭到駭客攻擊，電子郵件信箱帳號與有關資料遭到外洩，該集團已委由資安業者Mandiant協助調查，該資安業者認為，駭客很可能是基於中國政府的利益進行情報收集。路透社取得該集團高層對員工發出的信件內容，指出該集團總部，以及Dow Jones、News UK、紐約郵報等子公司受到本次事故波及。但這並非美國新聞媒體第一次遭到中國駭客攻擊，例如，在2013年紐約時報傳出53臺員工電腦遭駭，原因疑似與他們報導中國時任總理溫家寶親屬財產遭到調查有關。</p> <p><span style="font-size: 22px;"><a href="https://www.wired.com/story/north-korea-hacker-internet-outage/"><span style="color: rgb(0, 0, 0);"><strong>北韓網路遭DDoS攻擊，原因疑似是資安人員不滿美國政府毫無反制作為，逕自挾怨報復</strong></span></a></span></p> <p>北韓於今年一月傳出網路遭到DDoS攻擊而癱瘓的情況，且遇害的時間點與該國頻繁試射飛彈重疊，但攻擊者的身分為何？根據新聞網站Wired的報導指出，使用P4x為ID名稱的美國資安研究人員向他們宣稱，這是他個人對北韓APT駭客的報復行動，原因是他在2021年初<a href="https://www.ithome.com.tw/news/142472">遭到這些駭客的網釣攻擊</a>，在美國政府沒有任何作為的情況下，他決定自行出手。這名研究人員疑似找到該國所使用的Nginx伺服器、Apache軟體，以及該國開發的Red Star OS作業系統漏洞，並使用自動化攻擊程式出手。但這起攻擊事件資安圈看法兩極，資安業者Immunity認為，此舉恐影響其他對北韓秘密進行的情蒐工作。</p> <p><span style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/china-apt-antlion-taiwan-financial-attacks"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織鎖定臺灣金融與製造業，埋伏在受害組織近250天</strong></span></a></span></p> <p>駭客組織透過受害電腦現成的工具作案，而可能躲過相關偵測，長期埋伏並進行監控。例如，賽門鐵克揭露中國APT駭客組織Antlion的攻擊行動，此起攻擊持續至少18個月，已有2家臺灣金融組織、1家製造業者受害。駭客使用寄生攻擊（LoL）手法，大量使用受害電腦上的軟體，並植入xPack後門程式。研究人員提到，該組織在其中1家金融組織花費近250天的時間，並在上述的製造業者埋伏約175天，至於駭客的目的，疑似是為了幫助中國政府收集情資。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.binarly.io/posts/An_In_Depth_Look_at_the_23_High_Impact_Vulnerabilities/index.html"><span style="color: rgb(0, 0, 0);">臺廠系微UEFI韌體程式爆23個漏洞，恐影響Dell、HPE、富士通等廠牌的電腦</span></a></strong></span></p> <p>又是臺灣業者提供的公版軟體出現嚴重漏洞，而可能影響眾多廠牌電腦的情況。資安業者Binarly於2月1日指出，他們在富士通Lifebook筆電的UEFI韌體中察覺異常，經調查後發現，與該公司採用臺灣業者系微（Insyde）所提供的InsydeH2O電腦韌體框架有關，相關漏洞共有23個，CVSS風險層級介於7.5至8.2分，恐影響戴爾、惠普、HPE等9家廠牌的工作站與伺服器，攻擊者一旦利用上述漏洞，不只能繞過防毒軟體和EDR代理程式的監控，UEFI的韌體完整性監控機制也無法察覺漏洞攻擊行為，攻擊者甚至可藉此將惡意酬載傳送到作業系統，並以核心模式執行。對此，<a href="https://www.insyde.com/zh-hant/press_news/press-releases/%E7%B3%BB%E5%BE%AE%E6%84%9F%E8%AC%9Dbinarly%E9%81%8B%E7%94%A8%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E9%9F%8C%E9%AB%94%E5%A8%81%E8%84%85%E5%81%B5%E6%B8%AC%E6%8A%80%E8%A1%93%E7%99%BC%E7%8F%BE%E5%AE%89%E5%85%A8%E9%A2%A8%E9%9A%AA">系微也在2月7日發布新聞稿</a>，表明已修補前述漏洞。</p> <p><span style="font-size: 22px;"><a href="https://www.samba.org/samba/security/CVE-2021-44142.html"><span style="color: rgb(0, 0, 0);"><strong>開源網路檔案共享軟體Samba驚傳重大漏洞，恐被攻擊者取得root權限執行任意程式</strong></span></a></span></p> <p>提供Linux、macOS用戶存取Windows網路共享資料夾的Samba軟體，近期也出現可被用於RCE攻擊的重大漏洞。Samba最近修補重大漏洞CVE-2021-44142，這項漏洞與模組虛擬檔案系統（VFS）有關，該模組的功能提升與蘋果電腦SMB用戶端的相容性，一旦該漏洞遭到利用，將會導致記憶體越界堆積讀寫（out-of-bounds heap read/write）的情況，而讓攻擊者可取得root權限執行任意程式碼，CVSS風險層級為9.9分。該漏洞影響Samba 4.13.17以前的版本，Red Hat、SUSE、Ubuntu等Linux作業系統廠商，以及NAS廠商群暉科技，亦發布相關資安通告。</p> <p><span style="font-size: 22px;"><a href="https://apiiro.com/blog/malicious-kubernetes-helm-charts-can-be-used-to-steal-sensitive-information-from-argo-cd-deployments/"><span style="color: rgb(0, 0, 0);"><strong>持續交付平臺Argo CD驚傳漏洞，攻擊者藉此存取K8s密碼或是API金鑰</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-image.png" style="width: 300px; float: right;" /></a>持續交付平臺（CD）一旦出現漏洞，很可能會洩露相關的機密資訊。例如，支援Kubernetes的GitOps持續交付工具Argo CD，於2月5日修補零時差漏洞CVE-2022-24348，這項漏洞由資安業者Apiiro發現，研究人員指出，攻擊者一旦利用這項漏洞，就可透過Helm Chart套件打造有問題的Kubernetes配置，來存取機密資訊，如API金鑰、密碼等，進而橫向移動或是擴張權限。Argo CD發布2.3.0、2.2.4、2.1.9版修補此漏洞。</p> <p><span style="font-size: 22px;"><a href="https://neosmart.net/blog/2022/xerox-vulnerability-allows-unauthenticated-network-users-to-remotely-brick-printers/"><span style="color: rgb(0, 0, 0);"><strong>耗時超過2年，導致全錄印表機停擺的重大漏洞細節</strong></span></a></span><a href="https://neosmart.net/blog/2022/xerox-vulnerability-allows-unauthenticated-network-users-to-remotely-brick-printers/" style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"><strong>終於公布</strong></span></a></p> <p>軟體開發商NeoSmart於2019年9月，發現一項全錄印表機的漏洞，但通報後直到最近全錄才表明終於完成修補。NeoSmart研究人員於2022年1月24日，公布他們向全錄通報的漏洞CVE-2022-23968，該漏洞影響所有Versalink系列的印表機，一旦攻擊者利用將會造成印表機半永久性的故障，但通報後全錄提供的更新程式並未完全修補漏洞，此後就再也沒有相關的進展。研究人員指出，全錄直到1月28日才回覆他們，在2021年6月推出的韌體xx.61.23版中，已修補上述漏洞。</p> <p><span style="font-size: 22px;"><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/achieve-better-patch-compliance-with-update-connectivity-data/ba-p/3073356"><span style="color: rgb(0, 0, 0);"><strong>為了能讓系統更新機制完整運作，微軟指出Windows電腦應持續連網6小時</strong></span></a></span></p> <p>電腦沒有完整安裝相關的更新，很有可能是連網的時間不足造成。微軟於1月27日指出，根據他們的分析，許多Windows個人電腦與伺服器沒有使用最新版本軟體的因素，疑似是連網時數沒有達到6小時的電腦，就可能無法成功安裝相關更新軟體。對此，該公司建議IT人員，為了讓電腦能正確下載並安裝更新，應要求用戶在沒有使用電腦的時候插上電源並維持網路連線，才能將電腦保持在最新的狀態。這樣的建議一出，有不少用戶反彈並留言表示，這麼做會消耗更多的電力，與節能的潮流背道而馳。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/7 16:57作者周峻佑https://www.ithome.com.tw/news/149234
Argo CD修補涉及所有版本的機密資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>支援Kubernetes的GitOps持續交付工具Argo CD，<a href="https://github.com/argoproj/argo-cd/security/advisories/GHSA-63qx-x74g-jcr7" target="_blank">在2月5日修補了一個零時差漏洞CVE-2022-24348</a>，此一漏洞允許駭客存取諸如密碼或API金鑰等機密資訊。</p> <p>Argo CD為一開源持續交付平臺，得以管理及協調應用程式部署後的執行與監控，估計全球有數千個組織採用Argo CD。</p> <p>發現該漏洞的是專門協助安全及開發團隊在將服務部署至雲端之前、主動解決重要風險的Apiiro，指出此一漏洞將允許駭客載入一個Kubernetes Helm Chart YAML檔案，並自其應用程式生態體系跳至使用範圍之外的其它應用程式資料，進而汲取其它應用程式的秘密、權杖、密碼或API金鑰等機密資訊，再展開權限擴張或橫向移動等行為。</p> <p><a href="https://apiiro.com/blog/malicious-kubernetes-helm-charts-can-be-used-to-steal-sensitive-information-from-argo-cd-deployments/" target="_blank">Apiiro描述了駭客可能的攻擊手法</a>，先建置一個惡意的Kubernetes Helm Chart，這是一個管理Kubernetes應用程式的套件，再以該Helm Chart打造一個Kubernetes配置，以用來開採CVE-2022-24348漏洞並存取受限的機密資訊，再利用所取得的API金鑰或密碼的資訊，展開橫向移動或權限擴張。</p> <p>Argo CD則說這是一個路徑穿越漏洞，允許駭客傳遞任意值的文件供Helm Chart使用，而它也許實際上是個符號連結，指向該儲存庫以外的任何檔案。</p> <p>Apiiro表示，其實Argo CD團隊在2019年時就預見了相關開採行動的可能性，並特別導入了反路徑穿越機制來進行預防，沒想到當中含有一個臭蟲，令該漏洞最終仍能被開採。</p> <p>CVE-2022-24348影響了所有的Argo CD版本，Argo CD團隊上周已釋出v2.3.0、v2.2.4及v2.1.9等新版本，並呼籲所有用戶儘快部署。</p> </div></div></div>
2022/2/7 14:17作者陳曉莉https://www.ithome.com.tw/news/149227
微軟聲稱只有22%的Azure AD用戶採用強大身分認證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/wp-content/uploads/prod/sites/626/2022/02/Cyber-Signals-E-1.pdf" target="_blank">微軟於2月3日出版了《網路訊號》（Cyber Signals）創刊號</a>，這是微軟用來分享各種駭客趨勢、手法與策略的資安季刊，首期的主題為身分（Identity），微軟強調了線上身分對數位生活的重要性，但其Azure Active Directory（Azure AD）用戶中，卻只有22%採用了強大的身分認證保護。</p> <p class="rtecenter"><a href="http://news.microsoft.com/wp-content/uploads/prod/sites/626/2022/02/Cyber-Signals-E-1.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-%E5%BE%AE%E8%BB%9F%20Cyber%20Signals.jpg" style="width: 326px;" /></a></p> <p>《網路訊號》集結了微軟安全研究團隊的分析結果，包括24兆個安全訊號，再加上追蹤與監控逾140個駭客組織及超過40個國家級駭客組織的情報，之所以採用身分為創刊號的主題，源自於微軟在過去一年來眼看著身分成為安全戰場。</p> <p>從去年1月到去年12月，微軟在Azure AD上封鎖了256億次的暴力破解攻擊，也透過Microsoft Defender for Office 365攔截了357億封的網釣郵件，顯示駭客無所不用其極地企圖駭入用戶的帳號，取得用戶身分。</p> <p>過去兩年包括微軟在內的企業不斷呼籲使用者採行更強大的身分認證機制，包括多因素驗證，而<a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟也在去年9月全面擁抱無密碼登入</a>。無密碼登入完全移除了微軟帳號的密碼需求，讓用戶可透過Microsoft Authenticator、Windows Hello、實體安全金鑰，或者傳送驗證碼至手機與電子郵件來登入各種微軟服務。</p> <p>然而，即便如此，微軟Azure AD或雲端身分解決方案（Cloud Identity Solution）在去年仍僅看到22%的用戶採行強大的身分認證保護機制。事實上，在去年的11月26日至12月31日的35天內，針對微軟商用或企業客戶展開的身分攻擊便多達8,300萬次。</p> <p>經常發動憑證攻擊的除了俄羅斯駭客團隊Nobelium之外，還有伊朗駭客團隊Dev 303，研究顯示，Dev 303主要的攻擊對象有49%為美國組織，24%為以色列組織，還有15%為沙烏地阿拉伯組織，首要目標為生產軍用雷達、無人機技術與衛星系統的國防企業。</p> <p>微軟建議各大組織應啟用多因素身分認證，持續稽核帳號權限，檢查與監控所有的管理員帳號，以及建立安全基準來降低風險。</p> </div></div></div>
2022/2/7 14:03作者陳曉莉https://www.ithome.com.tw/news/149225
線上商店StockX擅自銷售Nike球鞋的NFT，被告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.inputmag.com/style/nike-stockx-nft-nfts-lawsuit-virtual-sneakers-shoes-metaverse" target="_blank">知名運動品牌Nike在上周四（2/3）向美國紐約地方法院控告運動服飾線上商店StockX侵犯其商標</a>，原因是StockX推出了基於Nike品牌的非同質化代幣（Non-Fungible Token，NFT）。</p> <p>StockX是在今年1月中發表該平臺的首個NFT專案Vault，銷售各種運動鞋的NFT，使用者可以交易這些NFT，也能用來贖回真正的運動鞋，並售出超過500個基於Nike品牌的NFT。此外，這些NFT的售價通常比運動鞋本身的價格還高，因為藉由購買NFT加入Vault專案之後，買家將可額外獲得參與StockX特惠活動或發表會的機會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-stock%20x%20nft%20nike-2.jpg" style="width: 600px;" /></p> <p>不過，Nike則在訴狀中指出，StockX企圖進入NFT市場，卻不發展自己的品牌，而是公然利用Nike的商標與聲譽搭便車，希望法院要求StockX吐出不法獲利，加上額外的賠償，以及永遠禁止StockX銷售採用Nike商標的NFT。</p> <p>如同其它品牌，Nike也正磨刀霍霍地準備進入NFT市場，去年底開始便動作不斷，<a href="https://www.cnbc.com/2021/11/02/nike-is-quietly-preparing-for-the-metaverse-.html" target="_blank">包括申請適用於虛擬商品的Nike、Just Do It及Air Jordan等多個商標</a>，<a href="https://www.ithome.com.tw/news/148382" target="_blank">也在去年12月收購了NFT工作室RTFKT</a>，可望於今年推出首個NFT專案。</p> <p>已發表NFT專案的品牌則有Adidas、Balmain，與Dolce & Gabbana。</p> <p>NFT、虛擬世界與元宇宙的興起，可能讓品牌或著作權的爭議進入另一個高峰，如同數位音樂及串流影音剛誕生之際，使用者很難確認自己買到的NFT究竟是否為來自官方的正版，<a href="https://www.ithome.com.tw/news/149153" target="_blank">日前全球最大的NFT市集OpenSea才揭露</a>，透過該站免費鑄造服務所打造的NFT中，有超過8成是垃圾、抄襲或仿冒品。</p> </div></div></div>
2022/2/7 12:58作者陳曉莉https://www.ithome.com.tw/news/149224
微軟否認終止HoloLens開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/microsoft-hololens-3-metaverse-mixed-reality-strategy-confusion-rivalries-2022-2?r=US&IR=T" target="_blank">本周Business Insider報導</a>微軟終止HoloLens 3的開發計畫，不過消息遭到微軟否認。</p> <p>Business Insider報導，微軟混合實境裝置HoloLens第三代在2021年中終止開發，微軟已轉向與三星合作，由三星生產硬體，而微軟將專注於軟體開發。而微軟之所以改弦易轍，原因在於由微軟院士Alex Kipman帶領的HoloLens團隊開發策略不明，內部產生消費及企業路線的爭執，造成員工士氣大傷，至少有20多名HoloLens團隊員工跳槽Meta。</p> <p>此外，報導指出，HoloLens開發延宕也影響微軟和美國國防部的合約。<a href="https://www.ithome.com.tw/news/143585" target="_blank">微軟去年4月拿下</a>220億的整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）裝置合約，要在10年內提供軍事訓練及作戰用的HoloLens裝置。然而在HoloLens團隊動盪，也影響了這項計畫的開發品質及進度。</p> <p><a href="https://twitter.com/akipman/status/1489384705757573120" target="_blank">不過Kipman出面否認消息</a>，表示HoloLens進展良好。他還說媒體過去也曾報導HoloLens2計畫取消的消息，但最後事實證明出貨大獲成功。</p> <p class="rtecenter"><a href="http://twitter.com/akipman/status/1489384705757573120" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-hololens-600.png" style="width: 600px;" /></a></p> <p>微軟於2015年推出第一代HoloLens，2019年推出HoloLens 2，售價3,500美元，<a href="https://www.ithome.com.tw/news/139240" target="_blank">也推出多種應用</a>。由於臉書不再開發Oculus，使得HoloLens較主要競爭者起步更早。不過Business Insiders之前，<a href="https://www.wsj.com/articles/microsoft-hit-by-defections-as-tech-giants-battle-for-talent-to-build-the-metaverse-11641819601" target="_blank">上個月華爾街日報</a>也報導微軟面臨被競爭者挖角的危機，已流失超過100人，其中以跳到Meta占最多數。</p> </div></div></div>
2022/2/7 11:20作者林妍溱https://www.ithome.com.tw/news/149215
華盛頓州有25萬個證照資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dol.wa.gov/outage/" target="_blank">華盛頓州監理站（Washington State Department of Licensing）上周五（2/4）指出</a>，它們在1月24日的那一周在專業與職業證照資料庫中發現了可疑行動，於是立即展開調查，並關閉專業線上證照與監管資訊系統（Professional Online Licensing and Regulatory Information System，POLARIS），雖然仍在調查中，但<a href="https://www.seattletimes.com/business/breach-at-state-licensing-agency-may-have-exposed-data-from-1000s-of-professionals/" target="_blank">《西雅圖時報》（ The Seattle Times）報導</a>可能有25萬個證照的資料外洩。</p> <p>華盛頓監理站不僅負責駕照或車牌的核發，也核發39種專業證照，像是美容、美髮、房地產仲介、建築師、私家偵探、刺青師父或計程車司機等，使用者可透過POLARIS申請或換發證照，而此次所偵測到的可疑行動則僅限於POLARIS，並未波及駕照或車牌等該監理站的其它系統。</p> <p>POLARIS系統存放了專業證照的申請人及所有人的資料，涵蓋社會安全碼、生日、駕照號碼，或是其它個人資訊等。</p> <p>目前華盛頓監理站已尋求華盛頓網路安全辦公室的協助，正在釐清受災規模，尚不確定多少證照或資訊遭到存取，也不確定POLARIS系統何時會重新上線，但強調在該系統關閉的期間，不會對已到期的證照採行任何處分。</p> </div></div></div>
2022/2/7 11:34作者陳曉莉https://www.ithome.com.tw/news/149217
元宇宙也怕騷擾，Meta在Horizon Worlds與Horizon Venues設立個人界線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在虛擬空間傳出幾次的騷擾事件之後，<a href="https://www.oculus.com/blog/introducing-a-personal-boundary-for-horizon-worlds-and-venues/" target="_blank">Meta上周五（2/4）宣布</a>，將在Horizon Worlds及Horizon Venues設立個人界線（Personal Boundary），讓每個虛擬化身都得以建立半徑2英尺（約60公分）的圓圈界線，代表與對方的距離至少為4英尺，而且預設值是開啟的。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-2.fna.fbcdn.net/v/t39.2365-6/273352978_317066983696568_614411001715151826_n.png?_nc_cat=103&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=mnZ0GJvO2pUAX9fyfsF&_nc_ht=scontent.ftpe8-2.fna&oh=00_AT-Zy8eXqjN405yth714paNRKRxJP-pIWVw3wksi9e9Fmg&oe=62058631" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>Horizon Worlds及Horizon Venues都是Meta在元宇宙（Metaverse）概念下的產物，前者為一虛擬遊戲空間，允許使用者建立自己的遊戲或與他人的遊戲互動，後者則是專門舉辦各種活動的虛擬空間。Meta在去年10月發表了Horizon Venues，同年12月開放北美18歲以上的用戶測試Horizon Worlds，使用者必須透過Oculus Quest頭戴式虛擬實境裝置存取這兩項服務。</p> <p>不過，去年12月有一名女性用戶投訴她在Horizon Worlds中被觸摸，今年1月又有另一名位於Horizon Venues的女性用戶提出了同樣的控訴。</p> <p>這使得Meta決定替這兩項服務的用戶建立個人界線，讓彼此之間保持一定的距離，避免不必要的互動。</p> <p>Meta說明，個人界線將可預防任何人入侵虛擬化身的個人空間，若有人試圖進入特定使用者的界線內，系統將會在對方觸及界線時阻止他，使用者不會看到自己的界線，也不會在有人企圖進入時得到觸覺回饋。</p> <p>Meta指出，個人界線的預設值是啟用的，以協助建立行為規範，它在類似VR這類的新媒體中特別重要，以讓人們能夠在舒服的狀態下互動。</p> <p>在具備個人界線之後，使用者必須張開雙臂才能於上述兩項服務中與其他用戶擊掌，且即使有了個人界線，還是能夠從其他化身身邊經過，以免遭到圍堵。Meta將會持續改善此一功能，未來可望允許使用者自行設定界線範圍。</p> </div></div></div>
2022/2/7 11:47作者陳曉莉https://www.ithome.com.tw/news/149218
蘋果將對用第三方支付的荷蘭約會App收取27%佣金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過幾個月的爭執，以及荷蘭官方威脅罰款後，<a href="https://developer.apple.com/support/storekit-external-entitlement/" target="_blank">蘋果上周宣</a>布將對採用第三方程式內支付（in-app payment，IAP）的約會App，收取27%的交易手續費。</p> <p class="rtecenter"><a href="http://developer.apple.com/support/storekit-external-entitlement/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-Distributing%20dating%20apps%20in%20the%20Netherlands-PNG.png" style="width: 500px;" /></a></p> <p>由於Match Group的投訴，荷蘭政府的消費者與市場管理署（Authority for Consumers and Market，ACM）在調查後，於去年底命令蘋果必須在2022年1月15日之前，調整約會程式開發商的不合理條款。雖然在一月中，<a href="https://www.ithome.com.tw/news/148939" target="_blank">蘋果宣布</a>允許該國約會程式可使用第三方IAP或是內建連向原廠網站的連結，但荷蘭當局仍然不滿意，<a href="https://www.ithome.com.tw/news/149051" target="_blank">祭出每星期500萬歐元的罰則</a>。於是蘋果在上周明確回應。</p> <p>蘋果表示，為遵循ACM的命令，獲得蘋果許可加入原廠網站連結或第三方IAP的荷蘭約會程式，將支付蘋果每筆交易消費者支付金額27%的佣金，不包含加值稅（VAT）。雖然仍十分高，但蘋果說這已是優惠價，排除了支付處理和相關活動的費用。</p> <p>所有交易稅收如VAT及第三方IAP銷售等資訊蒐集及匯款等，都需由這些App開發商負責。而開發商也必須在每月結束後15天內，向蘋果出具所有經由App Store完成的數位商品交易的銷售月報。</p> <p>蘋果也給出頗繁複的規定。由於只有荷蘭約會App才有這番待遇，因此他們必須另外提供iOS/iPadOS App binary。</p> <p>想使用第三方IAP或加入原廠網址的荷蘭開發商，必須向蘋果申請使用StoreKit外部購買權利或StoreKit外部購買連結。目前蘋果還在開發StoreKit外部購買API，等開發完成後，開發商必須在30天內提交新版本以及相關資料。蘋果也會根據專門條款及《App Store審核指引》、《蘋果開發商程式授權協議》審核其資格。</p> <p>蘋果一月也因法遵要求，<a href="https://www.ithome.com.tw/news/148842" target="_blank">同意開放在南韓App Store上架的iOS App</a>，得使用第三方程式內支付工具，不過蘋果未公布細節，只說支付費率會小於30%。</p> </div></div></div>
2022/2/7 10:14作者林妍溱https://www.ithome.com.tw/news/149209
美零售業者Target開源自家網頁側錄偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.target.com/blog/meet-merry-maker" target="_blank">美國零售商Target上周宣布</a>將其自用的網頁防側錄工具Merry Maker 2.0，開源出來供其他企業及開發人員使用。</p> <p class="rtecenter"><a href="https://github.com/target/mmk-ui-api" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-target%20merry%20maker-600-png.png" style="width: 500px;" /></a></p> <p><a href="https://tech.target.com/blog/behind-the-scenes-of-merry-maker" target="_blank">Merry Maker</a>是由Target自家安全開發人員的成果，專門用於偵測數位側錄程式。它運作包含三個過程，先儲存網頁送出的程式碼及測試交易產生的網頁流量，當作現有網頁的基準線，之後就掃瞄網頁程式碼及掃瞄網路流量，以檢視有無惡意指標及攻擊活動。</p> <p>Merry Maker是持續模擬Target.com的訪客，完成多種活動，像是瀏覽網頁、完成交易、購買的過程以進行掃描。掃瞄同時它會蒐集，包括網路呼叫、JavaScript檔案及瀏覽活動等各種資訊，以分析是否有可疑活動。如果它偵測到可疑活動，便會主動向Target安全事件回應團隊發出警告以啟動調查。</p> <p>Merry Maker是為應付像Target.com這種大型網站的掃瞄作業而設計。2018年上線使用以來它已完成超過百萬次網站掃瞄。Target也為Merry Maker申請多項專利。透過開源Merry Maker，Target同時也提供多項偵測規則，以提供其他安全團隊設置網站安全防護。</p> <p>以功能而言，Merry Maker 提供Puppeteer scripts以模擬用戶互動、<a href="https://github.com/malwareinfosec/webskimmers/tree/main/YARA_rules" target="_blank">靜態分析規則Yara</a>、偵測與歸因的Hooks原生JavaScript函式呼叫、幾近即時瀏覽器事件偵測和警示、分散式事件掃瞄（規則引擎），以及角色為基礎的本機與OAuth2驗證。</p> </div></div></div>
2022/2/7 10:30作者林妍溱https://www.ithome.com.tw/news/149210
華爾街日報母公司新聞集團1月遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.newscorp.com/node/11716/html" target="_blank">文件顯示</a>，華爾街日報母公司新聞集團（News Corp）今年一月遭到網路攻擊。安全廠商推測和中國有關。</p> <p>澳洲媒體大亨梅鐸（Rupert Murdoch）及21世紀福斯共同持股的新聞集團，旗下事業包含《華爾街日報》、《紐約郵報》、英國《太陽》、《泰晤士報》、澳洲《每日電訊》、《先鋒太陽報》、電視頻道《福斯新聞》，及澳洲Sky News及道瓊公司（Dow Jones）等。</p> <p>新聞集團本周發佈的財報中提及營收風險時指出，今年一月該公司的內容遞送網路、網路管理系統、雲端系統及第三方供應商提供的科技之中，有一個成為滲透性網路攻擊的目標，新聞集團並偕同外部資安業者調查攻擊事件的本身、範疇、期間和影響。該公司說已經採取行動緩解問題，此後未再發生營運或系統中斷的情形，相信攻擊行動已經被遏止住。</p> <p>新聞集團並未說明何種系統或資料被入侵，只表示儲存客戶及財務資料的系統未受影響。</p> <p><a href="https://www.wsj.com/articles/cyberattack-on-news-corp-believed-linked-to-china-targeted-emails-of-journalists-others-11643979328" target="_blank">華爾街日報則報導</a>自己和道瓊公司、紐約郵報及英國新聞部門、新聞集團總部等都受到影響。</p> <p><a href="https://www.theverge.com/2022/2/4/22917671/wall-street-journal-news-corp-cyberattack-china-fox-news-hackers" target="_blank">The Verge</a>及<a href="https://www.securityweek.com/media-giant-news-corp-targeted-china-linked-cyberattack" target="_blank">SecurityWeek</a>則分別引述新聞集團的資安公司Mandiant事件回應部門副總裁David Wong的說法，指他們推測這樁活動有中國技術在內，也懷疑這起活動是為了蒐集對中國有利的資訊。</p> <p><a href="https://www.ithome.com.tw/news/78662" target="_blank">2013年中國駭客也被控</a>駭入華爾街日報、紐約郵報和彭博系統，以便蒐集三家駐中國記者的資訊，其中紐時所有員工密碼全部遭竊。</p> </div></div></div>
2022/2/7 11:05作者林妍溱https://www.ithome.com.tw/news/149214
Google訓練機器人具有解決未知新任務的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google新的機器人研究，訓練了一個稱為<a href="https://ai.googleblog.com/2022/02/can-robots-follow-instructions-for-new.html">BC-Z</a>的系統，讓機器人可以在經過一連串訓練後，具有解決陌生任務的能力。研究人員以100種任務來訓練BC-Z系統，並且使用28種未出現在訓練中的新任務來考驗BC-Z，結果BC-Z能夠成功完成其中24個任務，研究人員認為簡單的模仿學習，就可使機器人具泛化能力，零樣本解決新任務。</p> <p>研究人員提到，要實際應用在真實世界的機器人，難免需要解決新的用戶指令，或是處理訓練過程沒有看過的狀況，因此機器人除了要能夠在各種情況下執行多項任務外，還要能夠根據人類用戶的要求解決新任務，即便機器人過去沒有針對這些任務，進行明確的訓練。</p> <p>要機器人完成全新的任務指令，目前這方面的研究進展仍很少，研究人員表示，這類問題很困難，因為機器人除了需要理解新指令，還必須要在沒有任何訓練資料的情況下完成任務，而且當機器人需要同時泛化多個軸向的問題時，像是要在不同的場景以及物體位置執行任務，情況變得更加複雜。</p> <p>Google研究人員為此開發了BC-Z系統，期望讓機器人能泛化解決未經訓練的任務，該系統具有兩個重要的部分，分別是涵蓋100種任務的大規模示範資料集，另外則是以語言和影片作為任務指令條件的神經網路政策。</p> <p>要機器人泛化解決一項新任務，比保留部分訓練任務的泛化困難的多，研究人員提到，他們希望機器人具有更多的泛化能力，而這需要使用不同且大量的資料進行訓練。人工操作員透過虛擬實境頭戴裝置，遠端操作機器人收集資料，操作員紀錄每個任務的完整示範，接著一旦機器人學習了初始政策，便會在監督下部署該策略，當機器人犯錯或是卡住，操作員則進行干預，並且示範一次正確的操作。操作員使用這個方法，總共收集了100種任務。</p> <p>這種結合示範和干預的訓練範例收集方式，在實驗中證明，能有效減少錯誤提高效能，與只仰賴人工範例的方法相比，這種新的資料收集策略能獲得2倍效能。</p> <p>在收集完所有100種任務後，研究人員使用這些資料訓練神經網路政策，以便將相機圖像的朝向和方向，對應至機器人手臂和爪子，而且因為要讓這些政策能夠解決100個訓練任務以外的新任務，研究人員還對各任務輸入描述，包括語言命令的形式，以及人工操作任務的影片。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEiEe-2E4O9I719sCyM6cxd_DA4VPMKW6XHCtd0PhzK15HvTihmvLNKfnzj9VXRyp4Oymno5Z7nq783iZBiHIUBxoTY1YOXf2QWPCUc647sd_wxF_tNSd-lTcrCBGa7h3EQA6mOjmujH7il0pmH-aQ9AKZfktC4ryRqTnKb-OCm39ONKRPGWK3BazJJOLw=w640-h406" style="width: 580px;" /></p> <p>藉由在100個任務中訓練政策，並根據描述調整政策，研究人員成功讓BC-Z系統能夠解釋和完成新指令。研究人員提到，語言模型能夠翻譯拿起杯子和推碗這兩個動作，該模型也應該能正確翻譯推杯子，而且語言編碼器的組合泛化能力，也能夠轉移解決機器人的問題。</p> <p>即便在訓練中，只有機器手臂拿起葡萄做其他事，以及將其他物體放進紅色碗中兩種任務，而且在過程，葡萄也未曾和紅色碗出現在同一個場景中，但在解決新任務實驗中，機器人可以正確地將葡萄放進紅色碗裡（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/bcz_bar_plot.png" style="width: 380px;" /></p> <p>研究人員強調，神經網路需要正確解釋指令，並在視覺上辨識該指令相關的物體，還要忽略場景中的其他雜訊，將解釋後的指令和感知，轉化為機器人動作空間，這個過程非常困難。但機器人在經過100個範例任務訓練後，能夠成功完成研究人員所設定的28個新任務中的24個，成果比研究人員預期的還要好，並且證明了自然語言模型，不僅可以提供機器人靈活的輸入介面，預訓練的語言表示，還可以給予下游政策新的泛化能力，將不曾見過的物體組合在一起。</p> </div></div></div>
2022/2/5 18:06作者李建興https://www.ithome.com.tw/news/149205
Flutter應用程式正式登陸Windows桌面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google所開發的跨平臺應用程式開發套件Flutter，推出了<a href="https://medium.com/flutter/whats-new-in-flutter-2-10-5aafb0314b12">最新版本2.10</a>，這個版本有許多新功能，但最重要的是開始正式支援Windows桌面。Flutter從原本的iOS和Android行動裝置出發，後來版圖擴及Linux和網頁，現在Flutter應用程式還可以在Windows上執行。</p> <p>前幾年Flutter開發團隊開始了這項野心勃勃的計畫，要讓Flutter不只可用於行動裝置，還要跨到其他的平臺上，目前已經有將近50萬個應用程式使用Flutter開發。Flutter核心跨平臺元件，包括了可移植且具有硬體加速功能的圖形引擎Skia、Flutter渲染系統、動畫、主題、文字輸出和國際化等數百個小工具。</p> <p>要將Flutter移植到桌面並非一件簡單的工作，開發團隊提到，桌面應用程式不只是更大螢幕的行動應用程式，需要能夠接受鍵盤和滑鼠等不同輸入裝置，還有可調整大小的視窗，以便於在寬螢幕上執行，而在無障礙功能、輸入法編輯器和視覺樣式等，都有不同的設計，桌面應用程式需要支援檔案系統選擇器、裝置硬體，甚至是Windows註冊表資料儲存等各種內容。</p> <p>因此要在Flutter支援Windows，需要特別針對Windows量身定做。而與Android和iOS支援相同的是，Flutter的Windows實作結合了Dart框架和C++引擎，Windows和Flutter間使用嵌入層來進行通訊，該嵌入層代管了Flutter引擎，並且負責翻譯和回應Windows訊息，Flutter會與Windows協調UI繪製，以及改變大小和DPI變更等事件處理，並且會和現有的Windows配合，來實現輸入法編輯器等國際化設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_EokU2CUDhjr6nDpW.png" style="width: 580px;" /><br /><u>以Flutter建置的音樂應用程式Harmonoid</u></p> <p>開發者可以在Windows上，使用所有Flutter框架功能，並且透過Dart和C的互通層，與Win32、COM和Windows Runtime API通訊。Flutter團隊針對Windows特別設計了UI，開發者可以使用fluent_ui和flutter_acrylic等套件，以微軟Fluent設計系統來建構應用程式，並且使用msix工具，將應用程式打包成安裝應用程式，並且上傳到Windows的微軟商店。</p> <p>除了正式支援Windows平臺之外，Flutter 2.10也有不少效能改進，在iOS/Metal上對需要重新繪製的區域（Dirty Region）提供部分重繪功能，這個新功能在部分基準測試中，可將90百分位數和99百分位數光柵化（Rasterization）時間減少一個量級，並將這些基準測試中的GPU利用率，從90％降低到10％以下。之後重繪的功能，會擴及到更多的平臺上。</p> <p>開發團隊在Flutter 2.8時，開始採用自己內部的圖片記錄格式，而在Flutter 2.10中，開發團隊進一步對該格式進行最佳化，成果包括能夠有效率地處理不透明層，即便在最糟的情況，基準測試中的影格光柵化時間也下降到三分之一。</p> <p>另外，在配置檔案和發布模式下，Dart程式碼會預先編譯成為原生機器碼，官方提到，這段高效能和小巧的程式碼，是整個程式類型流（Type Flow）分析的關鍵，能夠進行更多的編譯器最佳化和樹搖（Tree-Shaking）最佳化。但類型流分析必須涵蓋整個應用程式，因此執行成本很高，而在最新的Flutter版本中，類型流分析速度更快，在基準測試中，Flutter應用程式整體建置時間下降約10％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_3bjgNV_6OjBYDj24.png" style="width: 580px;" /><br /><u>Flutter 2.10平均建置時間下降約10％</u></p> <p>Flutter 2.10也對各平臺特有功能進行微調，包括iOS、Android和網頁，同時更新Material 3，支援更多的圖標。VS Code Flutter擴充套件的更新，讓開發者在挑選顏色的時候，在編輯器中預覽顏色。官方也宣布移除Flutter開發者頻道，簡化開發者的選擇，並且移除對iOS 9.3.6支援。</p> </div></div></div>
2022/2/5 18:01作者李建興https://www.ithome.com.tw/news/149204
UEFI韌體程式碼爆23項漏洞，影響微軟、Dell、HPE等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.binarly.io/posts/An_In_Depth_Look_at_the_23_High_Impact_Vulnerabilities/index.html" target="_blank">安全廠商Binarly發現</a>，統一可延伸韌體介面（Unified Extensible Firmware Interface，UEFI）韌體程式碼有多達23項高風險漏洞，影響多家使用UEFI韌體的廠商，包括Dell、HPE/HP、富士通及微軟等公司。</p> <p>Binarly研究人員發現漏洞是存在一家主要獨立BIOS開發商（IBV）所開發的UEFI韌體。</p> <p>研究人員一開始是為一家中型企業客戶檢測安全，發現20多款企業機器出現異常，而且全都指向富士通Lifebook筆電系列的硬體組態。最後他們發現問題出在系微（Insyde）H2O韌體框架的關聯程式碼。</p> <p>這韌體使用者眾，遍及筆電、伺服器、路由器及工控系統廠商。他們已證實受影響的廠商包括富士通、Dell、HPE、HP、微軟、英特爾、西門子及Bull Atos。<a href="https://www.kb.cert.org/vuls/id/796611" target="_blank">電腦網路危機處理暨協調中心（CERT/CC）也發出了公告</a>。</p> <p class="rtecenter"><a href="http://www.kb.cert.org/vuls/id/796611" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-UEFI%20firmware%20vuln-600.jpg" style="width: 600px;" /></a></p> <p>在InsydeH2O韌體中，他們一共辨識出23項漏洞，許多和系統管理模式（System Management Mode，SMM）有關。其中10項是SMM Callout（權限升級）、12項屬於SMM記憶體毁損，1項為DXE記憶體毁損。大部份是漏洞可導致以SMM權限執行程式碼（CVSS風險值在7.5到8.2之間）。這些漏洞可以被串聯後用以執行第2階段攻擊，以躲避安全防護，或是長期滲透於系統中（<a href="https://www.ithome.com.tw/news/149039" target="_blank">例如最近發現的MoonBounce</a>）。開採這些漏洞攻擊者將可安裝即使重開機、也無法消除的惡意軟體，還能逃過端點安全產品（像是端點回應或防毒）、Secure Boot及虛擬化的安全隔離技術。</p> <p>安全廠商強調，由於信任平臺模組（TPM）量測的限制，所有這些漏洞一旦遭到開採，將無法被韌體完整性監控系統偵測到。由於韌體runtime有限的透通性，遠端裝置健康證明（remote device health attestation）方案也無法偵測受影響的系統。</p> <p>CERT/CC建議，應安裝PC廠商或系統經銷商提供的新版韌體。透過自動或代管更新，如果用戶系統支援像是Linux 廠商韌體服務（Linux Vendor Firmware Service，LVFS）等功能的話。Binarly也提供了<a href="https://github.com/binarly-io/FwHunt/tree/main/rules" target="_blank">UEFI軟體偵測規則FwHunt rules</a>，以協助辨識出受影響的軟體。</p> <p class="rtecenter"><a href="http://github.com/binarly-io/FwHunt/tree/main/rules" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-UEFI%20firmware%20FwHunt%20rules(1).jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/2/4 16:30作者林妍溱https://www.ithome.com.tw/news/149203
Google雲端推無伺服器Spark服務，還可在BigQuery編輯程式碼無縫執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端正式推出<a href="https://cloud.google.com/blog/products/data-analytics/simplify-data-processing-and-data-science-jobs-with-spark-on-google-cloud">無伺服器開源叢集運算框架Spark服務（Serverless Spark）</a>，官方提到，這是目前市面上第一個可自動擴展的無伺服器Spark服務，另外，Google還讓雲端資料倉儲BigQuery連接無伺服器Spark運算資源，BigQuery用戶現在可以使用無伺服器Spark，和BigQuery SQL進行資料分析。這些功能更新的目標，都是要讓用戶能更簡單地運作大規模ETL和資料科學等使用案例。</p> <p>由於Apache Spark所提供的速度、簡易性和程式語言靈活性，使得不少企業應用Apache Spark來進行資料工程、資料探勘和機器學習等任務，但Google提到，管理叢集和調整基礎設施的效率很差，針對不同使用案例的整合程序，可能會大幅消耗生產力。</p> <p>而Google提供無伺服器Spark，供用戶專注於程式碼和邏輯設計，不再需要管理叢集和調整基礎設施，透過選擇的介面就能上傳Spark作業，無伺服器Spark會自動處理規模縮放，來符合任務的需要。</p> <p>另外，Google也開始提供BigQuery實現無伺服器Spark功能預覽版，透過提供統一介面，供資料分析師在BigQuery編輯器中，編寫SQL和PySpark程式碼，並且不需要配置基礎設施，就能無縫地使用Spark執行。Google正努力在各種介面，整合無伺服器Spark服務，使得用戶不需要預先配置任何基礎設施，便可以啟用Spark，接下來還要讓用戶在全託管機器學習平臺Vertex AI，也能用到Spark。</p> </div></div></div>
2022/2/4 16:42作者李建興https://www.ithome.com.tw/news/149202
IBM與魁北克政府合作，將量子電腦輸出加拿大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ibm-and-government-of-quebec-launch-groundbreaking-partnership-to-accelerate-discovery-with-first-ibm-quantum-system-in-canada-301475160.html" target="_blank">加拿大魁北克省政府和IBM昨日宣布</a>將合建IBM在加拿大第一座量子電腦，以推動量子運算、人工智慧、半導體及高效能運算的研發。</p> <p>雙方是在魁北克政府創新園區（Innovation Zone）及微電子創新園區（Microelectronics Innovation Zone）的兩個產業計畫下，推動Quebec-IBM Discovery Accelerator的合作計畫。本計畫中IBM 將在微電子創新園區所在的Bromont市，建立以Quantum System One為基礎的Discovery Accelerator。這量子電腦將提供加拿大政府及研發計畫人員，運用AI 模型進行新材料、新藥物及環保永續研究。此外也將結合高效能運算（HPC），以探究整合傳統及量子運算於解決科學問題。</p> <p>雙方表示，這項合作將援引IBM在半導體設計及晶片封裝的知識，推進加拿大的量子運算研究進程。同時IBM也將提供相關AI技術，像是科學用生成建模工具（Generative Modeling Toolkit for Science）、及用於新材料研發的RoboRXN模型。</p> <p>不過IBM並未說明這座量子電腦何時會安裝、及預定啟用時間。</p> <p>和魁北克省的合作也是IBM過去12個月來、最新的量子運算合作案。藍色巨人之前分別和克利夫蘭診所、伊利諾州立大學厄巴那香檳分校及英國哈特里中心（Hartree Centre），以及德國、<a href="https://www.ithome.com.tw/news/145897" target="_blank">日本</a>和<a href="https://newsroom.ibm.com/2021-11-16-IBM-and-Yonsei-University-Unveil-Collaboration-to-Bring-IBM-Quantum-System-One-to-Korea" target="_blank">韓國</a>等有過類似產學合作。</p> </div></div></div>
2022/2/4 15:43作者林妍溱https://www.ithome.com.tw/news/149201
加密貨幣平臺Wormhole遭駭，損失價值3.2億美元的以太幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門橋接各種去中心化金融（DeFi）網路的加密貨幣平臺Wormhole，<a href="https://twitter.com/wormholecrypto/status/1489001949881978883" target="_blank">周四（2/3）對外證實遭到駭客入侵</a>，被盜走12萬個包裝過的以太幣（wETH），市價約3.2億美元。開發Wormhole的Certus One則祭出了1,000萬美元的抓漏獎金，名義上是想要駭客提供攻擊細節，實際上卻是希望駭客歸還加密貨幣。</p> <p>Wormhole為一通用的訊息傳遞協定，總計整合了8個區塊鏈，包含以太坊、Solana、幣安、Terra、Polygon、Avalanche與Oasis，允許使用者介接及轉移不同區塊鏈上的加密貨幣或NFT等資產。</p> <p>Wormhole是在周三傍晚發現合約被開採，在6個小時之後修補了漏洞，隔天旋即回補損失，並讓平臺重新上線，目前仍在撰寫詳細的攻擊報告。</p> <p class="rtecenter"><a href="https://twitter.com/wormholecrypto/status/1489233259808571401?cxt=HHwWkoCy6c3w6KopAAAA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-wormhole-600.png" style="width: 600px;" /></a></p> <p><a href="https://www.theverge.com/2022/2/3/22916111/wormhole-hack-github-error-325-million-theft-ethereum-solana" target="_blank">《The Verge》則發現</a>，駭客很可能是造訪了Wormhole的GitHub儲存庫，開採了一個已被揭露卻尚未被修補的安全漏洞。</p> <p><a href="https://www.elliptic.co/blog/325-million-stolen-from-wormhole-defi-service" target="_blank">專門提供區塊鏈分析服務的Elliptic指出</a>，Wormhole事件成為加密貨幣史上遭竊案件第四慘重的，僅次於Polynetwork的6.11億美元、Coincheck的5.3億美元及Mt Gox的4.7億美元。</p> </div></div></div>
2022/2/4 14:32作者陳曉莉https://www.ithome.com.tw/news/149200
另一家以色列業者QuaDream也利用零點擊攻擊程式自遠端攻陷iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公民實驗室（Citizen Lab）去年9月揭露，以色列資安業者NSO Group開採了蘋果iOS中的零時差漏洞CVE-2021-30860，以Forcedentry零點擊攻擊程式入侵iPhone，<a href="https://www.ithome.com.tw/news/146698" target="_blank">也促使蘋果緊急修補了該漏洞</a>。然而，<a href="https://www.reuters.com/technology/exclusive-iphone-flaw-exploited-by-second-israeli-spy-firm-sources-2022-02-03/" target="_blank">《路透社》本周引述多名消息來源指出</a>，還有另一家以色列監控業者QuaDream使用非常類似Forcedentry的攻擊程式，挾持了受害者的iPhone。</p> <p>CVE-2021-30860現身於蘋果圖像渲染函式庫CoreGraphics，為一整數溢位漏洞，當它處理一個惡意的PDF檔案時，可能允許駭客執行任意程式。</p> <p><a href="https://www.ithome.com.tw/news/148401" target="_blank">Google曾經公開Forcedentry攻擊程式的分析結果</a>，指出Forcedentry是個零點擊攻擊程式，在駭客透過iMessage傳送假GIF檔案時，iMessage在手機顯示這些圖像時就已先行進行解析，而成為駭客的切入點，代表駭客只要知道目標對象的電話號碼或是Apple ID的使用者名稱就能展開攻擊，完全不需要使用者的任何互動。</p> <p>而根據《路透社》的報導，QuaDream與NSO Group所使用的攻擊程式非常地類似，因為它們開採許多同樣的漏洞，也採用類似的手法於裝置上植入惡意程式，且都不需要使用者的互動。此外，QuaDream雖然名不見經傳，但該公司所打造的駭客工具與NSO Group不相上下。</p> <p>該報導企圖突顯數位監控產業正快速成長中，以提醒使用數位裝置的使用者應該注重手機的安全性。</p> <p>持續遭到NSO Group入侵的蘋果，<a href="https://www.ithome.com.tw/news/147998" target="_blank">則於去年11月提出訴訟</a>，向法院申請永久禁制令以禁止NSO Group再使用任何的蘋果軟體、服務或裝置，同時也通知數千名受到Forcedentry程式鎖定的蘋果用戶。</p> </div></div></div>
2022/2/4 13:33作者陳曉莉https://www.ithome.com.tw/news/149197
Google將於3月啟動強制追蹤Workspace搜尋的設定，用戶想關閉也不行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/106929" target="_blank">Google過去幾年歷次宣傳提供用戶更大的隱私控管權</a>，關閉搜尋、應用程式、定位資訊及網站造訪紀錄。但是Google 近日通知使用者將導入一項變更，啟動了Workspace上網追蹤的預設設定，即使用戶原本已關閉。</p> <p><a href="https://arstechnica.com/gadgets/2022/02/confusing-google-workspace-privacy-change-will-re-enable-tracking-for-users/" target="_blank">一名管理員用戶本周接到Google通知</a>，從2022年3月29日起將有多項管理設定變動。從3月底開始，Gmail、Drive、Docs、Calendar、Chat、Meet及Keep等服務，不再接受Workspace用戶的「上網&應用程式活動」設定的控制，這是因為Google將增加一項新的用戶設定，以「Google Workspace搜尋紀錄（Search History）」取代「上網&應用程式活動」來控制及追蹤這些服務的使用。</p> <p class="rtecenter"><a href="https://news.ycombinator.com/item?id=30171800" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-google%20workspace%20privact%20setting-600.jpg" style="width: 600px;" /></a></p> <p>此外，Google也將移除所有Workspace用戶關閉「上網&應用程式活動」的選項。</p> <p>一名Google產品經理解釋，「上網&應用程式活動」是為了儲存所有Google服務的搜尋活動而設計，但和Workspace的管理用途不符。</p> <p>Google表示，許多Workspace付費用戶的管理員會希望關閉「上網&應用程式活動」的管理員控制功能，因為如果opt-out後，Google Drive或Gmail使用者就無法獲得搜尋提示或過往搜尋關鍵字等協助加速作業的功能。</p> <p>Google另一個理由是，新的調整是將Workspace的資料獨立出來，因為這些資料已由Google提供的嚴格資料處理防護控管。Google希望藉此調整，企業用戶能更輕鬆使用Workspace的搜尋，而不必再選擇加入（opt-in）管理範圍太大的「上網&應用程式活動」上網紀錄。</p> <p>用戶對此反應激烈。一名用戶認為，如果用戶必須或想要再開啟追蹤，在現行設計下就能重新opt-in，而非直接剝奪用戶的權利。用戶認為Google只是希望用戶不要察覺這項變動，讓Google得以重新蒐集用戶活動資料。另一名用戶則指，這變更罔顧已經關閉追蹤設定的用戶，而且也畫蛇添足，因為企業用戶本來就可以開啟。還有人將矛頭轉向出來辯護的產品經理，認為Google 23%年營收成長的追求，已經讓Google從上到下都忘記了以用戶為先初衷，一切向錢看。</p> <p>近日Google修正了外界批評的FLoC廣告投放方案，<a href="https://www.ithome.com.tw/news/149080" target="_blank">再推出新措施Topics</a>。不過<a href="https://www.ithome.com.tw/news/149150" target="_blank">瀏覽器廠商Brave認為</a>這只是換湯不換藥而已，並沒有真正解決隱私問題。</p> </div></div></div>
2022/2/4 12:38作者林妍溱https://www.ithome.com.tw/news/149196
美國參議院司法委員會通過《Open App Markets Act》，將允許開發者使用自己的支付系統與程式側載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/02/03/us_senate_open_app_markets_act/" target="_blank">美國參議院的司法委員會（Senate Judiciary Committee）於本周四（2/3）以20票對兩票通過了《開放程式市場法案》（Open App Markets Act）</a>，將針對蘋果App Store與Google Play等程式市集的作法祭出規範，之後將送交參議院進行全體的表決。</p> <p>《開放程式市場法案》可望解除這些大型程式市集對競爭者、開發者或使用者的限制，例如它將要求蘋果及Google允許使用者自第三方下載行動程式，也許是其它的市集，或者是開發者自己的網站，不得強迫使用者只能自官方網站下載，也必須讓使用者將第三方程式設為預設值，或是移除Android或iOS上的內建程式。</p> <p>此外，該法案亦要求程式市集不得限制開發者所使用的程式內付款系統。</p> <p>Google與蘋果並不贊成《開放程式市場法案》，特別是蘋果。負責政府事務的蘋果總監Tim Powderly向司法委員會表示，允許使用者側載（至其它來源下載程式）將讓不法人士躲過蘋果對隱私及安全的保障，可能造成惡意程式、詐騙或資料外洩等意外增生。</p> <p><a href="https://www.ithome.com.tw/news/149018" target="_blank">上個月司法委員會也通過了</a>讓蘋果及Google同聲反對的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act）。</p> </div></div></div>
2022/2/4 11:25作者陳曉莉https://www.ithome.com.tw/news/149194
Google推出不需綁Gmail的Workspace免費服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google吸引企業用戶再一招。昨（3）日宣布包含基本生產力及協同工具的免費服務<a href="https://cloud.google.com/blog/products/workspace/unlock-collaboration-with-google-workspace-essentials" target="_blank">Google Workspace Essentials Starter版</a>。和現有Workspace唯一差別是不包含Gmail。</p> <p>這項服務是在Workspace Essentials下再闢一個免費等級，提供Google Drive、Docs、Sheets、Slides、Meet和Chat等服務。Google表示，Essentials Starters不需要新的電子郵件、轉檔、新外掛或桌機軟體，協助企業輕鬆相互協同，即使他們仍使用舊式生產力工具。此外Google也強調Essentials Starter提供加密檔案存取，確保隱私及資訊安全。</p> <p>由於不包含Gmail，意謂企業用戶不需強制使用Gmail，可持續使用原有電子郵件服務。使用者要啟用Essentials，員工需以現有工作電子郵件信箱註冊，不需附上信用卡資訊，也沒有試用期限。之後就可建立最多25人的團隊進行文件共享、或以視訊及文字通訊。Essentials Starter每個團隊雖有成員上限規定，但每家企業可申請的團隊則沒有上限。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/BOuhsbzsj5tFHX0Ii8ozdRfqV8hJ9TLwyF2YwI7KYN5xGz0thz-oMkm2RzlohS50CP60pugsFst5LjtttCRZqVXyglYZLmwj7JXFEg=rw-e365-v0-w2712" style="width: 300px;" /><img alt="" src="https://pbs.twimg.com/media/FKr_6t1XEAEOEP-?format=jpg&name=small" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p><a href="https://support.google.com/a/users/answer/7681288" target="_blank">其他功能包括最多100人的視訊會議</a>，每次通話上限60分鐘、Jamboard數位白板、支援100多種檔案類型的Google Drive、行事曆、Keep共用記事。管理員功能則提供新增、移除成員，以及指派管理員等基本功能。這項服務不提供Google Workspace技術支援。至於Google Drive雲端硬碟只有15GB容量，是現有Business Starter的一半。</p> <p>一些用戶或許對Google這項免費服務感到猶豫或懷疑<a href="https://www.ithome.com.tw/news/148976" target="_blank">。Google上周才宣布</a>2006年提供的免費版G-Suite從今年7月1日將開始收費。5月1日這項服務會自動轉為Workspace，若用戶不提供信用卡資訊就會被停用。</p> </div></div></div>
2022/2/4 12:12作者林妍溱https://www.ithome.com.tw/news/149195
Amazon財報亮眼，將再度調漲Prime訂閱費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s2.q4cdn.com/299287126/files/doc_financials/2021/q4/business_and_financial_update.pdf" target="_blank">Aｍazon周四（2/3）公布去年第四季財報</a>，該季Amazon創下1,374億美元的營收，成長9.3%，淨收入為143億美元，成長99%，每股盈餘為27.75美元。同時Amazon也宣布將調漲美國的Amazon Prime訂閱費用，月費從12.99美元漲至14.99美元，年費則由119美元漲至139美元，將於今年的2月18日生效。亮眼的財報讓Amazon當天盤後大漲14%，股價攀上3,173美元。</p> <p>在1,374億美元的營收中，北美電子商務營收占了823.6億美元，成長9%；國際電子商務為372.7億美元，下滑0.5%；AWS則是177.8億美元，成長40%。</p> <p>其實去年第四季Amazon不管是在北美或國際的電子商務都是虧損的，北美市場虧損了2.1億美元，國際市場虧損16.3億美元，但AWS該季的營業利潤為52.9億美元，成長了48.5%。</p> <p>不過，造成Amazon淨收入大增的原因並非為本業，而是Amazon對電動車Rivian Automotive的業外投資，Rivian Automotive在去年11月登上那斯達克股市，讓Amazon取得了118億美元的非營業利潤。</p> <p>此外，Amazon也宣布自今年2月18日起將調漲Amazon Prime的價格，這是Amazon的會員服務，可提供單日或雙日免費快速運送服務、Prime Video、無限音樂串流、無限照片儲存及無限閱讀服務，目前支援全球22個市場。</p> <p>Amazon Prime在2005年上線時的年費為79美元，2014年提高到99美元，2018年再調漲至119美元，將於今年2月18日將再調至139美元，既有用戶的調漲日期為3月25日，現階段全球已有超過2億名的Amazon Prime用戶。</p> </div></div></div>
2022/2/4 10:39作者陳曉莉https://www.ithome.com.tw/news/149193
中國駭客集團以xPack後門鎖定臺灣金融與製造業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/china-apt-antlion-taiwan-financial-attacks" target="_blank">博通旗下的資安部門Symantec於本周揭露</a>，中國駭客集團Antlion自2020年12月開始滲透臺灣的金融組織與製造業組織，迄今已知有3家業者受害，Antlion使用了大量的惡意程式，其中主要為xPack後門程式，藉以執行系統命令、載入更多惡意程式或竊取資訊，應屬間諜行動，且Antlion持續攻擊臺灣金融組織至少長達18個月之久。</p> <p>Symantec發現Antlion攻擊了兩家金融組織與一家製造業組織，潛藏在其中一家金融組織的時間接近250天，也在受害的製造業組織中蟄伏了175天。</p> <p>研究人員目前尚不知駭客的感染途徑，猜測可能是開採了受害組織的網頁應用程式或服務，或者是透過惡意郵件當作進入受害組織的跳板。</p> <p>在此一針對臺灣的攻擊行動中，Antlion採用了大量的客製化與現成工具，主要為客製化的xPack後門程式，它能夠執行系統命令、載入其它惡意程式與工具，還能竊取資料，其它還包括EHAGBPSL、JpgRun與CheckID等下載器，以及SMB期間枚舉工具NetSessionEnum、可用來偽造用戶的Golden Ticket工具。</p> <p>現成的工具則涵蓋PowerShell、WMIC、ProcDump、LSASS與PsExec，同時濫用AnyDesk遠端存取工具，並開採<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2019-1458" target="_blank">CVE-2019-1458</a>權限擴張漏洞，或是藉由開採WinRAR來竊取資料。Antlion所蒐集的資料包括業務聯絡人、投資及智慧卡讀卡機等。</p> <p>Symantec指出，最受矚目的是Antlion待在這些受害網路的時間很長，因而能夠長期地蒐集受害者的機密資料，只是中國駭客選擇臺灣作為攻擊目標並不令人意外。</p> </div></div></div>
2022/2/4 10:00作者陳曉莉https://www.ithome.com.tw/news/149192
紅帽在混合雲平臺OpenShift Platform Plus開始提供永久儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）宣布在其<a href="https://www.redhat.com/en/about/press-releases/red-hat-extends-comprehensive-kubernetes-platform-consistent-and-persistent-storage">混合雲平臺OpenShift Platform Plus，加入混合雲和多雲容器儲存服務OpenShift Data Foundation</a>，因此用戶便可在Kubernetes應用程式，使用軟體定義儲存。</p> <p>OpenShift Platform Plus為一個開箱即用的多雲Kubernetes堆疊，可供DevSecOps和應用程式開發團隊建置容器化應用程式，而OpenShift Data Foundation則為一個資料平臺，提供跨雲和跨基礎設施的持久儲存。</p> <p>官方提到，Kubernetes是一個容器調度標準，擁有強大引擎足以進行大規模調度，但是Kubernetes需要有額外的元件，才能滿足企業建置和執行現代應用程式的需要。除了OpenShift Platform Plus原本就擁有的叢集安全和管理功能，還有容器註冊表等功能之外，現在還加入了容器資料服務。</p> <p>透過結合OpenShift Platform Plus和OpenShift Data Foundation，企業可以獲得跨容器環境的通用資料服務，避免儲存孤島。該儲存解決方案最新版本使用OpenShift Data Foundation 4.9，所擁有的新功能，可讓開發者更高效地開發和部署應用程式。</p> <p>OpenShift Data Foundation 4.9的多雲物件閘道器命名空間儲存桶，滿足不同雲端的資料需求，也解決了資料可用性挑戰，資料可以存在單一位置，並且讓位在其他地方的應用程式取用，而不需要複製資料到應用程式的所在位置。而持久磁碟加密功能，則可以讓使用者在叢集之外，管理和持有加密金鑰，這能夠提供用戶使用自有KMS的靈活性。</p> </div></div></div>
2022/2/3 20:03作者李建興https://www.ithome.com.tw/news/149190
Qt簡化商業授權，且開發者授權過期仍可發布應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GUI框架與工具供應商Qt宣布<a href="https://www.qt.io/blog/simplifying-the-commercial-licensing-portfolio">簡化其商業授權</a>，除了現在將開發者授權產品縮減至四個版本之外，Qt Design Studio也將獨立於開發者授權外提供，另外，與過去不同，在新授權上路後，即便開發者的授權過期，也仍然可以發布應用程式。</p> <p>Qt新的商業授權，主要為四個主要版本，這四個版本授權皆採用洋蔥架構，也就是外層的版本，包含前一層版本的功能，這四個版本由裡到外分別是Qt for Application Development Professional、Qt for Application Development Enterprise、Qt for Device Creation Professional和Qt for Device Creation Enterprise。</p> <p>官方提到，過去獨立出售的附加元件，現在將會整合進主要產品中，這些商業附加元件包括機器對機器（M2M）協議、微控制器用戶介面函式庫，以及用於安全應用程式、汽車功能和應用程式管理的元件。</p> <p>原本的Qt for Application Development訂閱授權，會被轉換為Qt for Application Development Enterprise，而原有的Qt for Device Creation訂閱授權，則會被轉為Qt for Device Creation Professional，新的授權將可免費獲得附加元件，官方提到，新的授權將會在授權條款結束後，自動更新為新的授權版本，並且透過Qt維護工具就能立刻獲取新功能。</p> <p>在Qt即將要發布的Design Studio 3.0，將有兩個商業授權版本，包括Qt Design Studio Professional和Qt Design Studio Enterprise。Qt Design Studio Professional針對用戶介面設計、編輯、動畫和原型開發，設計人員可以單獨購買授權，或是從Qt Creator 6.0以上版本的開發授權中獲取該工具。而Qt Design Studio Enterprise則面向技術美術設計師，和用戶介面設計師的產品，可從Figma和Sketch匯入設計，也能從Adobe XD、Maya和Blender等圖形工具匯入物件。</p> <p>而針對開發者抗議擁有開發者授權才能發布應用程式的限制，官方也做出回應，過去不允許用戶在沒有有效開發者授權發布應用程式的原因，是因為要讓開發者能夠解決安全問題，並且更新應用程式。</p> <p>現在官方解除這項限制，不過官方仍建議，企業最好仍持有一份有效的開發者授權訂閱，以便用於安全修復和軟體維護。</p> </div></div></div>
2022/2/3 20:19作者李建興https://www.ithome.com.tw/news/149191
微軟針對雲端支付推出Azure Payment HSM加密金鑰服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對金融機構雲端支付的需求，微軟推出支付專用的加密金鑰操作服務<a href="https://azure.microsoft.com/zh-tw/blog/announcing-the-public-preview-of-microsoft-azure-payment-hsm-service/">Azure Payment HSM</a>，該服務達到PCI（Payment Card Industry）組織對於安全性、法遵、延遲和效能的要求，可直接連接到用戶的虛擬網路，並且提供多種訂閱選項，支援各種使用案例。</p> <p>不少金融機構逐漸將支付應用搬遷上雲，微軟提到，這需要企業從原本傳統的本地應用程式，和硬體安全模組（Hardware Security Modules，HSM），搬遷至無法直接控制的雲端基礎設施，而這通常也代表著訂閱服務，企業無法擁有實體裝置和軟體。</p> <p>微軟提到，雲端服務存在一些優勢，除了企業可以提高採用效率之外，對於雲端原生企業來說，原本就沒有本地端硬體設施，採用雲端優先的解決方案，是基本的業務模式。基於雲端的支付基礎設施，能夠降低IT複雜性、簡化法遵問題，並且還能隨著業務成長，快速擴展其解決方案。</p> <p>然而雲端HSM解決方案存在待解決的挑戰也不少，微軟列舉像是共同責任問題，企業需要清楚可被接受的損失有哪些？而應用程式和HSM之間，又該如何實現高效能低延遲連接性？以及雲端的安全和法遵程度，能否滿足當前的嚴格要求？</p> <p>微軟所發布的最新Azure Payment HSM服務，目標是滿足金融機構對於HSM服務的各項要求。Azure Payment HSM使用Thales payShield 10K支付HSM提供裸機服務，在Azure雲端中對即時支付交易提供加密金鑰操作。微軟提到，Azure Payment HSM滿足PCI對安全性、法遵、延遲和效能的要求，針對服務供應商和金融機構所開發，能支援組織的數位轉型和公用雲採用策略。</p> <p>Azure Payment HSM被配置於用戶的虛擬網路之中，僅受用戶管理控制，並且可進行高可用性配置，該服務用戶透過Thales payShield Manager對HSM進行遠端存取，有多項訂閱選項，用戶可根據效能和多種應用需求選擇，而且當用戶業務成長也能夠快速升級，Azure Payment HSM最高可提供達2,500 CPS的效能。</p> </div></div></div>
2022/2/3 17:10作者李建興https://www.ithome.com.tw/news/149188
鼓勵使用者贊助開源專案，GitHub推出僅供贊助者使用的儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-02-02-new-sponsors-only-repositories-custom-amounts-and-more/">GitHub更新贊助者功能Sponsors</a>，現在開發者可以針對不同的贊助者層級附加儲存庫，根據不同的贊助金額釋出不同版本的軟體，除此之外，GitHub Sponsors也有其他功能更新，以協助專案開發者推廣和管理贊助。</p> <p>近年開源專案被企業吃豆腐案例頻傳，不少開源專案指控企業白用不回饋，包括原為開源專案的Redis模組、CockroachDB、MongoDB和Elasticsearch等，都紛紛更改授權，避免被雲端廠商濫用。近期的案例，還有在GitHub上的知名套件Faker和Colors，其作者Marak Squires因為不滿多數財星500大企業都有使用他們套件，但是開發團隊都僅收到來自開源社群和GitHub Sponsors微薄的贊助，因此一氣之下清空GitHub儲存庫，決定要對專案開始收費。</p> <p>GitHub上的開源程式碼雖然可供任何人免費使用，但是多數專案維護還是需要有資金贊助，才能穩定地持續下去。GitHub在2019年的時候開始Sponsors計畫，讓贊助者可以直接在GitHub頁面上，贊助開源貢獻者。</p> <p>現在GitHub進一步更新Sponsors贊助功能，或許有望讓GitHub上的開發者，能夠獲取更加公平的收入與回饋。GitHub提供僅有贊助者可以存取的儲存庫，當專案開發者啟用該功能，便可以將私有的儲存庫附加到各個贊助層級，而這授予不同金額贊助者，存取各層級儲存庫的權限，也就是說，專案開發者可以針對貢獻者捐獻的金額，發布不同版本的程式碼。</p> <p>官方提到，專案開發者可以將僅限贊助者使用的儲存庫，應用在各種用途，包括提供僅限贊助者存取的專案，並且和贊助者討論與交流問題，或是在程式碼開源之前，讓贊助者搶先體驗新內容。開發者現在也可以針對每一個贊助層級，編寫一段客製化訊息，當有任何新的贊助出現時，這段訊息可以歡迎贊助者，並且指引他們執行專案的方法。</p> <p>GitHub Sponsors的其他新功能，還有讓專案開發者，對自定義贊助金額擁有更多控制權，能夠設定贊助最低金額，並會在Issues頁面加入贊助訊息，提醒使用者採取行動資助開發者。開發者可以在贊助頁面URL附加後設資料，以便查看贊助來自何方，像是開發者可以在發布關於專案貼文時，於贊助網址加入特殊的後設資料，便可以在交易資料匯出時，查看收集到的後設資料。</p> <p>GitHub提到，他們接下來的工作，將會使企業進一步支援他們所仰賴的開源專案，並且讓可贊助專案更容易被探索。</p> </div></div></div>
2022/2/3 16:30作者李建興https://www.ithome.com.tw/news/149185
遭到北韓駭客入侵的美國資安研究人員，以一己之力癱瘓北韓網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓在今年一月中及一月底，陸續傳出該國網路遭到攻擊且被癱瘓的消息，<a href="https://www.wired.com/story/north-korea-hacker-internet-outage/" target="_blank">而《Wired》則報導</a>，這是由一名代號為P4x的美國資安研究人員單槍匹馬所展開的攻擊行動，原因是他在去年初遭到北韓國家級駭客的攻擊，然而美國政府對此卻無所作為，使得他只好自己展開報復行動。</p> <p><a href="https://www.ithome.com.tw/news/142536" target="_blank">去年初包括Google及微軟都發現</a>一起北韓駭客集團ZINC鎖定資安研究人員的網路攻擊行動，ZINC先透過社交工程與這些受害的資安研究人員建立連結，再傳送惡意的專案或連結，以於資安研究人員的電腦上植入後門或其它惡意程式，藉以竊取機密資訊。而P4x則聲稱自己是這波攻擊行動的受害者之一。</p> <p>P4x向《Wired》透露，當初FBI雖然有聯繫他，但並沒有提供任何實質的幫助，也沒說未來將如何保護他，或是知會他這批駭客可能面臨的後果，甚至沒提及是否會展開正式調查，也未公開指責北韓，這些都讓他覺得自己孤立無援。</p> <p>於是P4x開始研究北韓網路系統的安全漏洞，決定自行展開報復。</p> <p>專門提供北韓新聞與分析的<a href="https://www.nknews.org/2022/01/north-korea-kicked-off-internet-by-suspected-ddos-attack/" target="_blank">《NK News》先是在今年1月中旬發現</a>，北韓的網路似乎遭到分散式服務阻斷攻擊（DDoS），導致該國境內的伺服器無法存取，而且斷斷續續地持續了兩天；<a href="https://www.reuters.com/world/asia-pacific/nkorean-internet-downed-by-suspected-cyber-attacks-researchers-2022-01-26/" target="_blank">《路透社》則是在1月下旬報導</a>，北韓網路遭到第二波的DDoS攻擊行動，該國網路再度被全面癱瘓6個小時。</p> <p>由於北韓網路斷線的時間點恰巧是該國正頻繁進行飛彈試射之際，使得外界原本以為相關攻擊是由特定國家級駭客所主導，而P4x則向《Wired》自白這其實是他的傑作。</p> <p>其實北韓是全球極少數網路非常不發達的國家，整個國家大概只有30個網站左右，這些網站主要作為政令宣導之用，而且取得授權、可存取網路的人口僅有數千人之譜。</p> <p>P4x揭露了他所開採的部分漏洞，包括伺服器軟體NginX的已知漏洞，或是舊有Apache軟體的安全漏洞，以及北韓自行開發、基於Linux的Red Star OS作業系統。而且攻擊北韓伺服器或路由器對他來說，就如同展開一場中小型的滲透測試，他撰寫了自動化的攻擊程式，然後只是定期去電腦上看看它的運作成果。</p> <p>P4x認為，如果這些資安研究人員沒有反抗或毫無作為，北韓政府只會得寸進尺，之前他只是癱瘓北韓網路，但本周他已於暗網中設立FUNK（FU North Korea）專案，廣發英雄帖，希望各方的資安研究人員共同加入以真正駭進北韓的系統，竊取北韓系統的資訊並與其它專家分享。</p> </div></div></div>
2022/2/3 17:04作者陳曉莉https://www.ithome.com.tw/news/149189
微軟Defender for Endpoint漏洞管理功能開始支援Android、iOS裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/announcing-general-availability-of-vulnerability-management/ba-p/3071663" target="_blank">微軟本周宣布</a>，Microsoft Defender for Endpoint的威脅與漏洞管理功能也支援Android及iOS。</p> <p>透過今天的宣布，微軟Defender for Endpoint的端點安全管理支援企業所有主要平臺，包括工作站、伺服器及行動裝置等。</p> <p>Defender for Endpoint威脅及漏洞管理功能可持續監控和找出企業網路上有漏洞的裝置，評估相關風險，並提供優先排序分析、以及整合流程協助企業修補漏洞。</p> <p>現在IT管理員對公司網路中的Android裝置，已經可評估檢查Android OS以及這些裝置上應用程式的漏洞。至於員工個人裝置（BYOD）上的App，如果該裝置安裝了Google的Android Enterprise管理方案，具有公司使用者帳號，只有公司使用者帳號下的App為Defender的漏洞管理支援，其他BYOD模式的Android裝置則預設無法使用App漏洞管理。不過管理員在裝置管理員模式（device administrator）下，可以透過Endpoint Manager取得這臺裝置所有App清單。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/342330i1EAE56A487289B89/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>對於iOS裝置，管理員現在也可以檢視iOS及iPadOS裝置的iOS漏洞。目前Defender for Endpoint還無法做到iOS裝置上應用程式的漏洞管理。但微軟表示之後會再加入這項功能。</p> </div></div></div>
2022/2/3 15:27作者林妍溱https://www.ithome.com.tw/news/149186
FBI建議去中國參加奧運的選手最好使用臨時性的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2022年的冬季奧林匹克運動會（2022 Winter Olympics）與冬季帕拉林匹克運動會（2022 Winter Paralympics），將陸續在今年2月與3月於中國舉行，<a href="https://www.ic3.gov/Media/News/2022/220131.pdf" target="_blank">美國聯邦調查局（FBI）本周發表了私人産業通報（Private Industry Notification，PIN）</a>，警告為了確保資訊安全，要參賽的運動員最好把私人手機留在家中，攜帶臨時性手機與會就好。</p> <p>其實FBI在去年日本於7月舉辦東京奧運之前，<a href="https://www.ic3.gov/Media/News/2021/210719.pdf" target="_blank">也曾提出要運動員防範網路攻擊的警告</a>，只是當時並未建議運動員攜帶暫時性手機。</p> <p>FBI說明，大型的活動或賽事替犯罪組織或國家級駭客帶來了許多攻擊機會，不管是為了獲利、製造混亂、建立名聲、抹黑對手或是推動各種意識型態等，在COVID-19疫情之下，奧運並不允許觀眾入場，全球的觀眾只能依賴串流與社交媒體來參與，駭客則可藉由社交工程或網路釣魚來植入惡意程式，破壞賽事的轉播，例如去年負責東京奧運轉播的NTT，在賽事期間就至少遭遇4.5億次攻擊或滲透行動。</p> <p>其中，最熱門的攻擊手法是使用惡意程式、電子郵件詐騙、網釣或冒牌網站，但新興的數位錢包，或是可用來追蹤疫苗接種狀況的程式，都有可能成為駭客竊取機密資訊或植入惡意程式的管道。</p> <p>此外，中國政府此次要求所有冬奧及冬帕選手，都必須安裝<a href="https://play.google.com/store/apps/details?id=com.systoon.dongaotoon" target="_blank">冬奧通（MY2022）程式</a>，該程式整合了有關這兩項運動會的各種資訊及權限管理，涵蓋奧運服務及城市導遊，並嵌入疫苗接種狀況。FBI則說，MY2022將被用來追蹤運動員的健康與旅遊資料。</p> <p class="rtecenter"><img alt="" src="https://citizenlab.ca/wp-content/uploads/2022/01/image3.png" style="width: 441px;" /></p> <p><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><span style="color:#696969;">圖片來源／Citizen's Lab</span></a></p> <p>由此可見，FBI顯然是擔心運動員在手機中安裝MY2022之後，可能遭到持續的追蹤，或是被植入惡意程式，因而建議美國運動員去參與冬奧及冬帕時不要使用自己的手機，而是攜帶臨時性手機，還說不只是美國，許多西方國家的奧運委員會也都建議選手把私人手機留在家中。</p> </div></div></div>
2022/2/3 15:53作者陳曉莉https://www.ithome.com.tw/news/149187
Google釋出Chrome 98，修補27項安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop.html" target="_blank">Google Chrome團隊本周宣布</a>釋出Chrome 98桌機版到穩定版（stable）通道，修補了27項安全漏洞，包括8項重大漏洞。</p> <p>本周釋出的Chrome 98包括Windows、Mac及Linux版，其中Windows版包括Chrome 98.0.4758.80/81/82，macOS及Linux版則為98.0.4758.80版。此外，Chrome團隊也在新的延伸穩定（extended stable）通道釋出Chrome 98。所有新版本會在未來幾天到幾周內，完成部署到用戶端。</p> <p>最新版Chrome修補的27項安全漏洞中，有8項高風險漏洞，以及中、低風險漏洞各9項和1項。其中CVE-2022-0452及CVE-2022-0453分別位於安全上網（Safe Browsing）及Chrome閱讀器模式（Reader Mode），皆屬使用已釋放記憶體（use after free）漏洞，通報的研究人員各得2萬美元。</p> <p>CVE-2022-0454為ANGLE元件中的堆積記憶體緩衝溢位（heap buffer overflow）漏洞，CVE-2022-0455則為全螢幕模式（Full Screen Mode）的實作不當。Google各為此頒發1.2萬及7,500美元抓蟲獎金。其他還包括網頁搜尋模式、分頁縮圖串（Thumbnail Tab Strip）、及螢幕截圖（Screen Capture）工具的使用已釋放記憶體漏洞CVE-2022-0456、CVE-2022-0458及CVE-2022-0459，以及V8引擎中的型態混淆（Type Confusion）漏洞CVE-2022-0457，Google發出1,000到7,000美元的獎金。</p> <p>此外，Chrome 98修補的9個中度風險漏洞中，6個為使用已釋放記憶體漏洞，位於Windows對話彈出視窗、輔助工具、擴充程式、支付及投放（Cast）功能。3個屬實作不當漏洞，分布於捲軸、擴充程式平臺及游標鎖定（pointer lock）。1個是COOP（Cross-Origin Opener Policy）中的政策繞過漏洞。而唯一一個低風險漏洞位於V8引擎，屬越界記憶體存取（out of bounds memory access）漏洞。</p> </div></div></div>
2022/2/3 14:28作者林妍溱https://www.ithome.com.tw/news/149183
Starlink推出單月要價500美元的超寬頻衛星網路，每秒下載最快500Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=b2Ik8bSQTN2eomFajSqNz1cg2ZChenfZaVUGOiZlzSp5ouFiMSXRs0Agb83waihq71uxvpo09v5QgfGU183NKA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=zvvowkvLINo3sRdDcCmj60HDG2qFCO4PupVROADwGVdSL7NFi_joh2HMTlj-4kOyvMkRoMrZYa6rba5yhf3CFA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><p><a href="https://twitter.com/elonmusk/status/1488746173498212353?s=21" target="_blank">SpaceX創辦人暨執行長Elon Musk周三（2/2）宣布</a>，SpaceX旗下的衛星寬頻服務Starlink將推出高階版Starlink Premium，其下載速率可達150~500Mbps，預計於今年第二季上線。</p> <p class="rtecenter"> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Starlink high performance antenna <a href="https://t.co/83kIQSNV3l">https://t.co/83kIQSNV3l</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1488746173498212353?ref_src=twsrc%5Etfw">February 2, 2022</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>SpaceX是在2020年10月開始測試Starlink，標準版的規格是下載速率為100 Mbps，上傳為20 Mbps，使用者必須先支付499美元來購買終端設備，之後每月支付99美元的月費，迄今Starlink已具備逾1,700個通訊衛星，於全球25個國家提供服務，用戶數已逾14.5萬，但尚未跨出美洲及歐洲市場。</p> <p><a href="https://www.starlink.com/premium" target="_blank">Starlink Premium</a>則是專為高需求用戶所設計，諸如小型辦公室、店面及超級用戶等，可支援更高的使用量，其下載速率可達150~500Mbps，延遲時間介於20~40毫秒，但其硬體費用為2,500美元，衛星天線的押金為500美元，每月的月租費則是500美元。</p> <p>不管是標準版或是高階版的延遲時間都一樣，也都沒有使用額度的限制，最大的差別在於標準版的下載速率介於50~250Mbps，上傳為10~20Mbps，高階版下載則是150~500Mbps，上傳為20~40Mbps，此外，高階版強調更有極端氣候的耐受力。</p> <p><a href="https://www.speedtest.net/insights/blog/starlink-hughesnet-viasat-performance-q3-2021/" target="_blank">網路測速網站Speedtest曾於去年第三季，比較了Starlink、HughesNet與Viasat等衛星寬頻服務及固網的速率</a>，顯示Starlink的下載／上傳速率與延遲雖然仍不及固網，但已大勝HughesNet及Viasat，但Speedtest也警告當用戶數增多時，Starlink的速率即會變慢，不過，最新的Starlink Premium強調可適用於10~20名用戶。</p> </div></div></div>
2022/2/3 15:00作者陳曉莉https://www.ithome.com.tw/news/149184
DeepMind程式設計AI AlphaCode具人類工程師中等水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下AI公司DeepMind又有新進展了。<a href="https://deepmind.com/blog/article/Competitive-programming-with-AlphaCode" target="_blank">DeepMind本周表示</a>該公司設計的AlphaCode AI系統具備能撰寫程式的能力，且在程式競賽中證明已經具備人類中等程式設計師水準。</p> <p>DeepMind發展的AlphaCode系統是機器學習系統，可學習解決問題能力。DeepMind利用過去程式碼及資料集訓練後，AlphaCode的變換器（transformer）語言模型產出極大規模的程式碼後，從中產出特定程式。透過<a href="https://codeforces.com/" target="_blank">程式競賽平臺Codeforces</a>評比，AlphaCode 被認為具「中等參賽者」的水準，也是AI程式撰寫系統首次達到具競爭力的水準。</p> <p class="rtecenter"><a href="https://codeforces.com/blog/entry/99566" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-AlphaCode%20Deepmind-600-2.png" style="width: 540px;" /></a></p> <p>DeepMind指出，程式競賽本質上是程式設計師解決問題的過程。參賽者接到多個問題描述，並被要求在幾小時內撰寫程式解決問題。贏得程式競賽需要的問題解決能力超出現有AI系統能力，而這集結了分析思維、邏輯、演算法、程式撰寫及自然語言理解。為此，DeepMind結合了大規模變化器（transformer）模型大量程式取樣（sampling）及篩選（filtering）試圖開發出能解決未知問題的AI系統。</p> <p>在作法上，DeepMind預先以GitHub上公開程式碼來預訓練模型，並以少量高品質的編程資料集來微調。在評估階段，他們為程式競爭主辦單位給定的問題各建立了該公司歷來最大量C++和Phyton程式，然後開始針對這些程式進行篩選、集合及重新排名，最後完成10支最有希望的程式，並且提交給主辦單位。DeepMind指出，這套自動化系統運作不同於一般競爭者使用的嘗試錯誤（trial and error）過程，即除錯、編譯、測試及提交。</p> <p class="rtecenter"><img alt="" src="https://kstatic.googleusercontent.com/files/744ac5325ebfe5ea78651e3c498643d989125caf53abf31d5ece15691247c5f48bd92c95aa9dd7bfdfe4f4026ac2ad69c51cf728935f7debdf2ee2695a2ad05a" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／DeepMind</span></p> <p>最後，他們在主辦單位同意下，模擬參賽近年10次競賽，每一次AlphaCode都必須開發出新式解決方案。總結而言，AlphaCode能力在所有參賽者中，大約名列前54%的水準，居中等能力。雖然無法贏得大賽，但DeepMind認為AlphaCode已顯示深度學習模型解決分析思維任務的能力進展。</p> <p>DeepMind相信這有助於推進問題解決型AI的研究。<a href="https://github.com/deepmind/code_contests" target="_blank">DeepMind也將AlphaCode使用的資料集公布在GitHub上</a>，包括每一次測試的資料供外界使用。</p> </div></div></div>
2022/2/3 12:27作者林妍溱https://www.ithome.com.tw/news/149181
Google可能為WhatsApp設定Drive備份的上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正逐漸縮減免費雲端服務的備份容量。媒體發現Google可能正在規畫不再讓WhatsApp無限制備份於Google Drive中。</p> <p><a href="https://wabetainfo.com/google-will-offer-a-limited-plan-for-whatsapp-backups/" target="_blank">WABetaInfo三個月前發現</a>，WhatsApp正在開發一項新功能，讓使用者可以管理備份於Google Drive的WhatsApp聊天訊息，像是排除某些訊息類型以節省Google Drive空間。目前WhatsApp備份並不佔用Google Drive儲存限額或帳號限制。媒體因而推斷，這可能預示著Google可能將對WhatsApp取消無上限備份空間，而設下儲存限額。</p> <p>原本Google只將Google Drive及Gmail包含在15GB的免費儲存限額，<a href="https://www.ithome.com.tw/news/144274" target="_blank">去年6月1日開始</a>將Google Photos加入計算，超過15GB用戶不是得刪除檔案，就是花錢購買名為Google One的儲存空間服務。Google One除了Google Drive，另外也提供電話備份以及Android VPN等服務。</p> <p>即便臆測成真，媒體也認為也不意外，畢竟用戶透過WhatsApp傳輸的影音、圖片等檔案也不少。而且去年Google 加速強推收費服務時，不少用戶就利用WhatsApp繞道將影音、圖片檔案備份到Drive。</p> <p>不過Google尚未對其收費政策是否變更做出回覆。</p> </div></div></div>
2022/2/3 12:42作者林妍溱https://www.ithome.com.tw/news/149182
Meta財報出爐，首度公布Reality Labs營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年10月自Facebook更名的Meta，<a href="https://investor.fb.com/investor-news/press-release-details/2022/Meta-Reports-Fourth-Quarter-and-Full-Year-2021-Results/default.aspx" target="_blank">於周三（2/2）公布了去年第四季的財報</a>，這是更名後的首次財報，也首度揭露了Reality Labs的營收，儘管該季Meta創下了337億美元的營收，比2020年同期增加20%，但獲利下滑、用戶數量不符華爾街分析師的期待，再加上對今年第一季的展望不佳，使得Meta當天的盤後股價下挫超過20%，股價徘徊在250美元左右。</p> <p>Meta在新的財報中把公司營收分為兩大部份，一是集結Facebook、WhatsApp、Instagram與Messenger的程式家族（Family of Apps，FoA），二則是專門發展元宇宙（Metaverse）的Reality Labs。</p> <p>該季Meta的程式家族營收為328億美元，Reality Labs為8.8億美元，程式家族的營業收入為159億美元，而Reality Labs則是虧損了33億美元，從財報中可看出，雖然程式家族的營業收入多半呈現逐季成長，但欲打造新一代元宇宙的Reality Labs的營業虧損也逐季擴大。</p> <p>與2020年第四季相較，FoA的用戶數仍在成長當中，但去年第四季臉書的每日用戶數為19.3億，卻低於去年第三季，這也是臉書每日用戶數首度出現衰退的現象。</p> <p>此外，Meta在去年第四季的淨收入及每股盈餘都低於2020年同期，該季的每股盈餘為3.67美元，比2020年下滑了5%。</p> <p>Meta對今年第一季的展望不佳，預期今年第一季的營收會落在270~290億美元之間，成長幅度僅有3~11%。歸納其原因則包括用戶轉移到Reels等新的服務，而這些服務創造營收的能力則不如動態消息或Stories；蘋果iOS的廣告政策也將衝擊廣告營收；通貨膨脹與供應鏈的緊縮影響了業者的廣告預算；美元下跌也讓Meta海外營收縮水。</p> <p>Meta本業營收成長趨緩，再加上打造新一代元宇宙的大量投資，也許都是釀成投資人信心動搖的原因。</p> </div></div></div>
2022/2/3 12:03作者陳曉莉https://www.ithome.com.tw/news/149180
淺談反應擴散系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現今而言，想模擬自然界的外貌形態有許多方式，這在先前專欄〈<a href="https://www.ithome.com.tw/voice/137054" target="_blank">隨機演算之美</a>〉、〈<a href="https://www.ithome.com.tw/voice/137637" target="_blank">自然噪聲與碎形</a>〉與〈<a href="https://www.ithome.com.tw/voice/137795" target="_blank">碎形與L-system</a>〉等，曾談過一些，簡單來說，自然有其規律，在規律未被發掘之前被稱為隨機，在隨機中加入已知的規律，就有了模擬自然的可能性，而那份規律性，可以用數學來描述。</p> <p>這就是我喜歡透過程式來模擬自然的原因之一，因為，程式碼的本質就是用來描述規律，而數學可以用來描述自然規律，所以，只要能找出相應的數學，就能使用程式碼來描述自然；或者更確切地說，程式碼的本質就是數學，用來表達自然規律，是再自然也不過的一件事。</p> <p>那麼，生物方面的現象呢？開發者對神經網路等為出發點的人工智慧應該不陌生，本質上來說，神經網路就是試著將簡單的數學公式予以組合，構成非線性轉換，從而模仿生物複雜的學習行為。</p> <p><span style="font-size:28px;"><strong>圖靈紋</strong></span></p> <p>程式碼的本質就是數學，例如，艾倫圖靈（Alan Turing）早就提出了圖靈機來證明這件事，確切地說，圖靈是想探究「運算」這件事，本質上由哪些規律組成，而且，圖靈熱衷於尋找事物的規律性，甚至是胚胎發育的規律性，也不放過。</p> <p>他的出發點在於：明明一開始就只是一個受精卵，為什麼後來會發展出各種骨骼、血管、器官呢？於是，他試著以數學來觀察、描述這個過程，成果發表於1952年的〈<a href="http://bit.ly/3Kqzf30" target="_blank">形態發生的化學基礎</a>（<a href="https://bit.ly/3Kqzf30" target="_blank">The Chemical Basis of Morphogenesis</a>）〉論文之中，並在計算的手稿上，畫出了與動物身上紋路非常相近的圖案，據說他還到處問人這是否很像乳牛身上的斑紋。</p> <p>在圖靈的論文中，談到型態素（morphogen）、濃度（concentration）、反應（reaction），以及擴散（diffusion）等字眼，而這樣的理論後來被稱為型態發生的反應擴散（reaction-diffusion），因此，基於其理論而形成的圖樣，後來被稱為圖靈紋（Turing pattern）。</p> <p><span style="font-size:28px;"><strong>反應擴散系統</strong></span></p> <p>在論文中，圖靈提出了下列假設。系統中只有X、Y兩種我們感興趣的型態素（忽略其他的型態素），用Xr、Yr代表r細胞的濃度，反應是指X會與Y作用，因此，我們若以f(X,Y)來表示反應會增加X濃度的速度，用g(X,Y)表示反應會增加Y濃度的速度，而型態素會從高濃度往低濃度處擴散；若X擴散系數為μ，而Y擴散係數為v，細胞r的型態素濃度隨著時間的變化，將可用微分方程式來描述（請參考〈<a href="http://bit.ly/3Kqzf30" target="_blank">形態發生的化學基礎</a>〉第47頁公式6-1）。</p> <p>我們可以想像一下X、Y兩種型態素，就像草食動物與肉食動物。當草食動物遇上肉食動物就會被吃掉，而這些動物會因為其他因素而死亡，也會繁殖，這些是公式中f(Xr,Yr)、g(Xr,Yr)的部份，也就是反應的部分；因此，草食動物與肉食動物的數量增加，會往數量少的地方擴大棲息地，而公式中其他的部分，也就是擴散的部分。</p> <p>草食動物與肉食動物間的反應與擴散，有可能發生肉食動物過度捕食的狀況，導致草食動物減少，然而也會因食物減少而使得肉食動物數量降低。因此，在一個生態系的長期演化後，同時存在著草食動物與肉食動物，那麼，兩者必然維持巧妙平衡。</p> <p>如果將X、Y兩種型態素，看成決定細胞顏色的兩種激素，激素會以一定的速率補充（feed）與排除（kill）──激素會進行擴散，彼此碰上之後會反應，而根據不同的擴散係數與反應條件，最後可能達到一種平衡狀態，例如，變成其中一種顏色，或者兩個顏色形成了平衡。</p> <p>自然界中許多生物身上的圖樣，就呈現出了各種平衡下的結果，像是熱帶魚身上花紋、花豹的斑點、乳牛的黑白斑塊等；實際上，不限於生物，乾裂的大地、風吹的沙丘，甚至是化學元素的晶體，都有可能出現反應擴散下的類似紋路。</p> <p><span style="font-size:28px;"><strong>Gray-Scott模型</strong></span></p> <p>在圖靈定出的公式中，擴散比較容易理解，基本上就是擴散系數乘上Laplacian運算，我們可以簡單理解為：擴散系數大就容易擴散，某位置濃度的變化速率大也容易擴散，那麼f(Xr,Yr)、g(Xr,Yr)呢？</p> <p><a href="https://bit.ly/3ryK9LJ" target="_blank">化學家Gray與Scott曾在1983年發表的論文提出一個模型</a>：物質A會以一定速率補充，A與兩個B反應會變成三個B，然後B會以一定速率變成C，而C成惰性，不再參與反應，相當於B被排除，而這個模型成了反應擴散系統最常見的代表。</p> <p>圖靈的f(Xr,Yr)在Gray-Scott模型中，相當於-AB^2+f(1-A)，f是補充率，g(Xr,Yr)相當於AB^2-(k+f)B，k是排除率，我們可以在〈<a href="https://bit.ly/3rCcdOq" target="_blank">Reaction-Diffusion Tutorial</a>〉看到Gray-Scott模型的簡單說明，以及不同的擴散係數、k與f數值下，所產生出來的各式圖靈紋，也有生成過程的動畫展示。</p> <p>其中，比較有趣的部分是，類似Voronoi的圖靈紋。一般而言，Voronoi的基本概念是勢力均衡，然而，我們可以從反應擴散的狀況來看整個過程，例如，細胞一開始會努力擴散，直到與另一個細胞接觸，壓力成了抑制反應，直到均衡為止。</p> <p>另外，在其中一個動畫的展示，則出現了類似細胞有絲分裂的行為，文中解釋了這個現象：兩個元素接觸的邊界，若有其中一個呈現突起，就會有越多反應的機會，從而得到越多擴散的機會，最後將聚在一起的元素看來會是被切分為二，就像是細胞分裂。</p> <p>如果你有興趣玩玩各種圖靈紋，可以看看〈<a href="https://bit.ly/3IkR5TA" target="_blank">生物圖案是如何形成的？</a>〉，作者實作了一個網頁，我們可以在其中選擇不同的f、k組合，或者使用Presets預設的f、k組合，並且隨意地點選畫布，看看各種圖靈紋產生的過程。</p> <p><span style="font-size:28px;"><strong>實作Gray-Scott模型</strong></span></p> <p>若想以程式碼實作Gray-Scott模型，我們可以準備兩個二維陣列，陣列中各元素代表各位置的A、B濃度，一開始A濃度都是1，B濃度都是0，然後在點選位置處設置其他的A、B濃度，接著，在每個離散時間中，針對兩個二維陣列，進行〈<a href="https://bit.ly/3rCcdOq" target="_blank">Reaction-Diffusion Tutorial</a>〉的公式運算（選定適當的擴散濃度、f與k組合），然後將A或B繪製出來。</p> <p>關於方才談到的程式碼實作，原始碼放在GitHub的〈<a href="https://bit.ly/3KqTRbJ" target="_blank">grayscott</a>〉，作者是透過Three.js實現視覺化，至於我，則是運用CadQuery進行3D模型，而模型與原始碼鏈結，可參考〈<a href="https://bit.ly/3rwU9VO" target="_blank">Reaction-Diffusion</a>〉。相關的程式碼實作其實非常簡單，因為需要對二維陣列進行運算，若配合Numpy，在程式碼的撰寫上，只要短短幾行就能解決。</p> <p>若需要詳細的程式碼說明，我們可以參考《<a href="http://books.gotop.com.tw/v_A597" target="_blank">A-Life 使用Python實作人工生命模型</a>》，當中的第二章，一開始就介紹了反應擴充系統與Gray-Scott模型，其中就是使用Numpy實作。</p> <p>該書介紹的自動機等其他系統，也值得一看。因為，單就程式的角度來看那些複雜結果，似乎需要複雜的程式邏輯才能完成；然而，從數學的角度來描述，後續若要透過程式碼來實現，就變得易常簡單，每次在試著以程式模擬自然的過程中發現到這些，總有種窺見了某種祕密的感覺，也正因此才令人樂此不疲！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%9C%96%E9%9D%88%E7%B4%8B">圖靈紋</a></div><div class="field-item odd"><a href="/tags/turing-pattern">Turing pattern</a></div><div class="field-item even"><a href="/tags/%E5%8F%8D%E6%87%89%E6%93%B4%E6%95%A3%E7%B3%BB%E7%B5%B1">反應擴散系統</a></div><div class="field-item odd"><a href="/tags/gray-scott%E6%A8%A1%E5%9E%8B">Gray-Scott模型</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/2/3 07:00作者林信良https://www.ithome.com.tw/voice/149092
Log4j漏洞引爆開源軟體安全議題，OpenSSF基金會扛起重擔，推動修補大量軟體漏洞的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/139191">2020年</a>由Linux基金會成立的<a href="https://openssf.org/">開源軟體安全基金會（Open Software Security Foundation，OpenSSF）</a>本周宣布<a href="https://openssf.org/press-release/2022/02/01/openssf-announces-the-alpha-omega-project-to-improve-software-supply-chain-security-for-10000-oss-projects/">名為Alpha-Omega的計畫</a>，將協助尋找並修補1萬項開源軟體的漏洞。</p> <p>基本上，OpenSSF是以強化開源軟體安全為宗旨的組織，獲得業界大廠，包括微軟、Google、IBM、英特爾等支持。他們推出的最新計畫Alpha-Omega，是在Log4j漏洞公布後，白宮召集美國軟體及資安界人士共商對策後的結果，當中將透過和軟體專案負責單位，自動安全測試工具來促進開源軟體供應鏈的安全性，而在第一階段期間，微軟和Google也將投入500萬美元支持這項計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSSF%20Member-2022-02-02_230004.png" style="width: 600px;" /></p> <p>開源軟體安全基金會總經理Brian Behlendorf指出，開源碼是現代社會關鍵基礎架構的關鍵元素，因此必須儘可能確保軟體供應鏈安全，而Alpha-Omega計畫的推動，可透過發現、修補及預防漏洞，直接改善開源專案的安全性。</p> <p>同時，這項計畫透過開源軟體專案維護單位，找出程式碼中未發現過的新漏洞，並予以修補。</p> <p>它分成兩項專案，一是Alpha，一是Omega。Alpha專案是和最關鍵的開源碼專案維護單位合作找出及修補漏洞。至於最關鍵的專案，將由<a href="https://github.com/ossf/wg-securing-critical-projects">OpenSSF Securing Critical Project工作小組</a>根據專家意見及評分資料來選擇。選定的專案將由Alpha團隊成員提供檢視及修補，包括威脅建模、自動化安全測試、原始碼稽核等，用以修補漏洞。修補工作也可結合OpenSSF資源，包括<a href="https://github.com/ossf/scorecard">OpenSSF 評分表</a>或<a href="https://bestpractices.coreinfrastructure.org/en">最佳典範</a>等。最終，Alpha專案也會公布相關安全及修補措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSSF%20Best%20Practices-2022-02-02_225102.png" style="width: 600px;" /></p> <p>至於Omega專案，將運用自動化方法和工具，找出至少1萬項常用開源碼專案的重大安全漏洞，當中將結合多種方式，包含：利用雲端規模的分析「技術」、負責分類的安全分析「人員」，以及向正確OSS專案人士祕密通報重大漏洞的「流程」。Omega也會有個安全工程師組成的專門團隊，持續調校分析流程，以減少誤判率及找出新漏洞。</p> </div></div></div>
2022/2/2 23:01作者林妍溱https://www.ithome.com.tw/news/149179
Google One增添向iOS平臺用戶招手，VPN服務開始進駐蘋果裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於2020年10月，Google旗下的Google One針對2TB的Android訂閱用戶，提供免費的VPN服務，本周該公司宣布，即日起符合資格的iOS用戶，也能使用VPN服務。</p> <p>Google在2018年5月將Google Drive更名為Google One，同年即於臺灣推出Google One，除了15 GB的免費儲存空間，也能以每月65元的價格訂閱100 GB的網路儲存空間使用，每月支付90元即可訂閱200 GB，以及每月330元訂閱2TB。</p> <p>該公司提供的雲端儲存功能可擴及世界各國使用，也同時支援Android與iOS平臺，不過，2020年10月，Google One開始針對2TB訂閱用戶額外提供免費VPN服務，當時僅限於Android平臺與特定國家的用戶能使用。</p> <p>現在該服務則擴大至iOS平臺，支援VPN的地區也增加至18個國家，而現階段主要服務範圍是歐美國家，臺灣並未入列，Google透露將會持續擴張VPN服務所支援的市場。此外，Google還宣布，2TB方案將可支援最多5個家族成員，讓親友也能共享儲存空間與VPN服務。</p> </div></div></div>
2022/2/2 20:51作者陳曉莉https://www.ithome.com.tw/news/149178
數位資產走紅，印度政府提議對加密貨幣及NFT交易抽稅，比例為30%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為<a href="https://www.ithome.com.tw/news/146345">全球第二大加密貨幣採用大國</a>的印度，<a href="https://pib.gov.in/PressReleasePage.aspx?PRID=1794131">在今年2月1日舉行的國家預算會議提案</a>，將針對數位資產的交易徵收30%的稅賦，儘管這對企圖透過加密貨幣或非同質化代幣（Non-Fungible Token，NFT）獲利的使用者來說，也許是壞消息，但從另一個角度而言，卻有人表示這代表印度官方認同加密資產，也推動印度有機會成為Web3時代的領航員。</p> <p>印度財政暨企業事務部長Nirmala Sitharaman表示，有鑑於數位資產交易的頻率與規模明顯增加，任何源自於數位資產交易的營收應該徵收30%的稅賦，除了購入成本之外，在計算相關收入時，不得扣除任何支出；若有損失，也不得與其他收入抵銷，就算是贈予，也建議向接受者徵稅。</p> <p>加密貨幣在印度可說是峰迴路轉，因為，印度央行在2018年曾宣布禁止境內的加密貨幣交易，使得當地的加密貨幣交易中心相繼退出，然而，印度最高法院卻<a href="https://www.ithome.com.tw/news/136181">在2020年擱置此一禁令</a>，認為加密貨幣並未直接或間接對當地銀行造成任何損失。</p> <p>在解禁之後，印度快速成為全球採用加密貨幣的第二大國家，僅次於越南。根據加密貨幣市場分析機構<a href="https://blog.chainalysis.com/reports/2021-global-crypto-adoption-index/">Chainalysis公布的加密貨幣採用指標</a>，在前十名當中，除了位居第八的美國，其餘皆屬新興市場。</p> <p>印度金融服務業者Zerodha的創辦人暨執行長<a href="https://twitter.com/Nithin0dha/status/1488456806544588800">Nithin Kamath認為</a>，這意味著，加密貨幣在印度的角色將成為資產而非貨幣，可能會被當成股票之類的資產對待，屆時官方機構不僅可以提供加密貨幣交易，也將讓它合法化，但值得注意的是，印度政府也可能會將它集中管理，因而失去加密貨幣的分散優勢。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">The good news for crypto is that it was finally acknowledged in the budget. That doesn't mean it's legal—it will only be after the crypto bill.</p> <p>Until then, regulated entities in India can't offer trading in crypto. Here's my reading of crypto post the budget 1/5</p> <p>— Nithin Kamath (@Nithin0dha) <a href="https://twitter.com/Nithin0dha/status/1488456806544588800?ref_src=twsrc%5Etfw">February 1, 2022</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>對此，致力於推動加密貨幣的<a href="https://twitter.com/puneetiitm/status/1488438453692149763">Puneet Kumar說</a>，令他感到興奮的是，此舉很可能讓印度成為未來的Web3創新中心。</p> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2022/2/2 20:34作者陳曉莉https://www.ithome.com.tw/news/149177
Samba 修補高風險漏洞，不讓攻擊者藉此以root權限遠端執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼的網路檔案共用存取系統軟體Samba的維護單位，<a href="https://www.samba.org/samba/security/CVE-2021-44142.html">本周發布安全公告</a>，以修補風險值達9.9分的遠端程式碼執行漏洞（Remote Code Execution，RCE）。之所以這項漏洞會揭露，最初是由臺灣資安業者戴夫寇爾（Devcore）研究人員蔡政達（Orange Tsai）通報。而受此漏洞影響的Samba版本，是4.13.17以前。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Orange%20Tsai-2022-02-02_171455.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ZDI-CVE-2021-441422022-02-02_171528.jpg" style="width: 600px;" /></p> <p>基本上，Samba是讓Unix/Linux作業系統與微軟Windows作業系統之間，透過SMB（Server Message Block）協定進行連結的軟體，可執行在Linux、Solaris、AIX、BSD，以及macOS Server、macOS用戶端（macOS X 10.2以上）等平臺。</p> <p>Samba最新揭露的漏洞位於虛擬檔案系統（Virtual File System，VFS）當中的vfs_fruit模組。而<a href="https://www.samba.org/samba/docs/current/man-html/vfs_fruit.8.html">vfs_fruit的作用</a>是提供Samba和Apple SMB用戶端的相容性，以及和Netatalk 3 AFP（Apple Filing Protocol，AFP）檔案伺服器之間的相互操作性。</p> <p>編號CVE-2021-44142的漏洞，主要是vfs_fruit模組在smbd開啟檔案時解析EA metadata過程當中，會導致越界記憶體堆積讀寫（out-of-bounds heap read/write），而在目標Samba系統上，能以root權限執行任意程式碼。對方需要具備寫入檔案的擴展文件屬性的權限，才能濫用這項漏洞，Samba也提醒，具有這項權限者有可能是訪客或非授權使用者。</p> <p>這項漏洞出在模組的預設組態，亦即fruit:metadata=netatalk 或 fruit:resource=file。若這2個組態並非當前的預設，則不受影響。但因為影響的是組態漏洞，所以故其CVSS 3.1風險值高達9.9。</p> <p>關於漏洞修正的新版本，<a href="https://www.samba.org/samba/security/">Samba維護單位已經發布</a>，使用4.13.17、4.14.12 和 4.15.5的用戶，應儘速安裝更新。<a href="https://access.redhat.com/security/cve/cve-2021-44142">Red Hat</a>、<a href="https://lists.suse.com/pipermail/sle-security-updates/2022-January/010150.html">SUSE</a>、<a href="https://ubuntu.com/security/CVE-2021-44142">Ubuntu</a>、<a href="https://linux.oracle.com/errata/ELSA-2022-0332.html">Oracle</a>等Linux作業系統廠商，以及NAS廠商<a href="https://www.synology.com/en-id/security/advisory/Synology_SA_22_02">群暉科技</a>，也都公布相關資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Red Hat-2022-02-02_172126.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Red%20Hat-2022-02-02_172126.png" style="width: 280px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-44142-Ubuntu-2022-02-02_172147.png" style="width: 280px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Synology-SA-22 02 Samba.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Synology-SA-22%2002%20Samba.png" style="width: 280px;" /></a></p> <p>未能安裝更新版本者，Samba維護單位建議，應開啟Samba組態檔（smb.conf），從VFS物件組態清單中移除「fruit」VFS模組。此外，雖然非預設組態不受影響，但他們也提醒，變更VFS模組設定fruit:metadata 或fruit:resource，可能讓macOS用戶端無法存取已儲存的所有資訊，如此一來，會發生形同整批資訊遺失的狀況。</p> </div></div></div>
2022/2/2 17:40作者林妍溱https://www.ithome.com.tw/news/149175
顧慮自動駕駛的減速通過路口功能違反美國道路法規，特斯拉與當局取得協議，將關閉允許汽車滑行通過停車標誌的FSD功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月起，特斯拉（Tesla）<a href="https://static.nhtsa.gov/odi/rcl/2022/RCLRPT-22V037-4462.PDF">將召回安裝在53,822輛特斯拉汽車</a>上的全自動輔助駕駛（Full Self-Driving，FSD）設置，而被美國政府要求召回的主因是當中的「Rolling Stop」功能，允許汽車在行經設立停車標誌的交叉路口時，以滑行的方式低速通過，而非完全停止。</p> <p><a href="https://www.ithome.com.tw/news/146937">去年9月，特斯拉開放擁有安全駕駛條件的特斯拉車主測試FSD功能</a>，但美國國家公路交通安全管理局（NHTSA）發現，其FSD測試版含有允許駕駛滑行通過具停車讓行標誌的功能，儘管迄今尚未出現因此而發生的車禍，但與該公司討論之後，車商決定自願關閉該功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Tesla%20recall%20report-2022-02-02_155321.jpg" style="width: 600px;" /></p> <p>「Rolling Stop」必須由駕駛主動啟用，而且須在許多條件成立之後，才會讓汽車以時速最高9公里（5.6哩）的滑行狀態通過設立停車標誌的路口，這些條件包括：路口附近未偵測到行人或移動車輛、路口須有足夠的能見度、交叉路口的所有道路限速為時速48公里以下，綜合這些現場狀態，汽車才能夠滑行而不直接停止。</p> <p>根據美國的交通規則要求，車輛行駛時，只要遇到設有停車標誌的路口，都必須先停車，確認無風險之後，才能通過。此一召回影響所有安裝FSD測試版的Model S、Model X、Model 3與Model Y。</p> <p>基本上，FSD中的「Rolling Stop」功能，始於2020年10月釋出的2020.40.4.10韌體版本，特斯拉已準備在最新的2021.44.30.15版本中關閉該功能，並於今年2月起陸續發布通知，同時，該公司也決定，未來上市的新車都將不會具備「Rolling Stop」功能。</p> </div></div></div>
2022/2/2 16:05作者陳曉莉https://www.ithome.com.tw/news/149174
MariaDB今年將在紐約證交所上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月1日，開源資料庫軟體業者MariaDB<a href="https://mariadb.com/newsroom/press-releases/mariadb-corporation-ab-to-become-a-publicly-traded-company-via-combination-with-angel-pond-holdings-corporation/">公布在紐約證交所上市的計畫</a>。他們預計透過與特殊目的收購公司（SPAC）合併之後，到紐約證交所上市。</p> <p>MariaDB總部位於芬蘭赫爾辛基，是在2009年MySQL被甲骨文收購後、由MySQL原本的開發團隊而組成的公司，現在也成為全球成長最快，且最多人使用的開源碼資料庫軟體。以市場採用規模而言，<a href="https://mariadb.com/newsroom/press-releases/mariadb-database-of-the-year-record-setting-fiscal-year-global-presence-at-m17-user-conference/">在2017年，該公司公布其用戶數已經超過1,200萬。</a></p> <p>目前MariaDB提供的解決方案，不只是本地部署的資料庫，也提供雲端上的資料庫即服務（Database as a Service，DBaaS）SkySQL，以及其他資料庫工具，預期今年9月營收將達到4,740萬美元。</p> <p><a href="https://s4.itho.me/sites/default/files/images/skysql_arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/skysql_arch.png" style="width: 600px;" /></a></p> <p>而在MariaDB這次揭露的消息當中，表示他們獲得Series D 1.04億美元的投資，也公布將與已在紐約掛牌的SPAC公司Angel Pond Holdings合併的上市計畫。該項合併交易預計在會計年度2022年下半完成。屆時，新公司的市值將來到6.72億美元，仍稱MariaDB，並由現有執行長Michael Howard繼續執掌。而與其合併的Angel Pond，是由前高盛證券合夥人Theodore Wang及阿里巴巴共同創辦人謝世煌共同創辦。</p> <p>MariaDB表示，在開源碼商業模式之下，使得該公司得以提供專屬企業功能結合混合雲及多雲DBaaS服務。透過增資及上市，該公司得以參與快速擴大的DBaaS市場，他們預期，到了2025年，這類型的軟體應用服務將以27%年複合成長率，而達到330億美元的市場規模。</p> <p><a href="https://mariadb.com/products/skysql/comparison/"><img alt="" src="https://s4.itho.me/sites/default/files/images/SkySQL%20Pricing.png" style="width: 600px;" /></a></p> </div></div></div>
2022/2/2 15:05作者林妍溱https://www.ithome.com.tw/news/149173
因法遵成本過高，Yahoo! Japan 4月將終止歐盟區、英國服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到GDPR等法規遵循造成成本過高，Yahoo! Japan昨（2/1）日公告，<a href="https://privacy.yahoo.co.jp/notice/globalaccess.html">將在今年4月初暫停歐洲經濟區及英國的大部分服務</a>。</p> <p>Yahoo! Japan指出，由於該公司判斷難以持續提供客戶使用環境，從2022年4月6日起，歐洲經濟區（EEA）及英國將無法使用大部份服務，也請兩個地區的Yahoo! Premium服務用戶取消訂閱。</p> <p>不過，Yahoo! Mail、Yahoo! Card及ebookJapan這三項服務將於上述兩地持續提供，但Yahoo! Mail也有部分功能無法使用，包括新增、變更Yahoo! Mail信箱，以及超過6個月未使用的帳號恢復使用等。<a href="https://www.jiji.com/jc/article?k=2022020100915&g=eco)Yahoo">日本媒體引述 Yahoo! Japan高層的說法指出</a>，在這些市場法規遵守的成本過高，導致該公司認為難以持續提供服務。</p> <p>目前來看，歐洲經濟區30國及英國的用戶約占Yahoo! Japan總體用戶的1%。而Yahoo! Japan這項決定並不擴及全球其他地區，但仍會影響前往這些地區旅行的其他國家用戶。</p> <p><a href="https://www.theverge.com/2022/2/1/22911965/yahoo-japan-europe-offline-regulations-compliance-gdpr">根據The Verge報導指出</a>，Yahoo! Japan從歐洲區撤離，是為了將資源用於擴張日本以外的全球市場。事實上，Yahoo! Japan並非過去美國網路巨人雅虎（Yahoo）的日本分公司，而是由雅虎和日本科技巨擘軟銀於1996年合資成立，是日本最大入口網站。Yahoo Japan目前是軟銀透過Z控股母公司持有，而<a href="https://linecorp.com/en/pr/news/en/2021/3646">Z控股去年3月和日本通訊軟體Line合併</a>。</p> </div></div></div>
2022/2/2 11:31作者林妍溱https://www.ithome.com.tw/news/149171
Alphabet財報出爐，Google Cloud營收成長45%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月1日，Alphabet公布<a href="https://abc.xyz/investor/static/pdf/2021Q4_alphabet_earnings_release.pdf">去年第四季財報</a>，顯示該季創下753億美元的營收，比2020年同期成長32%，其中成長最多的是Google Cloud雲端服務，營收為55億美元，成長幅度為45%。當天Alphabet盤後股價上漲了逾9%，使其每股價格超過3,000美元。</p> <p>就753億美元的營收而論，有694億美元來自Google服務，成長了22%，Google Cloud營收為55億美元，成長了45%，另有1.8億美元來自新創事業（Other Bets），衰退7.7%。此外，就在Alphabet營收成長的當下，該公司全球的員工數也達到15.6萬人，比2020年同期的13.5萬人增加15.6%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Alphabet%20Revenues%2C%20%20Traffic%20%20Acquisition%20%20Costs%20.png" style="width: 600px;" /></p> <p>此外，去年第四季Alphabet的淨營收為206億美元，每股盈餘（EPS）達30.69美元，分別成長35.6%與37.6%。</p> <p>整體而言，Google Cloud維持與2020年同期一樣的成長幅度，而Alphabet暨Google執行長Sundar Pichai則強調，即使在全球供應鏈緊縮的狀態下，Pixel手機仍然創下單季銷售紀錄。不過，Alphabet並未揭露Pixel手機的銷售量。</p> <p>資深科技媒體人Jon Erlichman整理Alphabet自2009年以來的財報表現，<a href="https://twitter.com/JonErlichman/status/1488620607487070208">突顯Alphabet仍在加速成長中</a>，他表示，Google在2006年以16.5億美元買下YouTube之後，現<a href="https://twitter.com/JonErlichman/status/1488628159184572420">在YouTube每17天就替Google賺進16.5億美元</a>，堪稱是一筆投資報酬率超高的交易。</p> </div></div></div>
2022/2/2 12:00作者林妍溱https://www.ithome.com.tw/news/149172
簡化用戶大規模TLS與憑證管理，Google Cloud推出憑證管理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在用戶的網站存取憑證應用上，Google Cloud推出憑證管理工具<a href="https://cloud.google.com/blog/products/identity-security/simplify-saas-scale-tls-certificate-management">Certificate Manager</a>，以及整合外部HTTPS負載平衡器的功能，讓用戶在外部HTTPS負載平衡的設置上，搭配更多的憑證和網域。基於這樣的功能，用戶能夠直接使用Google Cloud的TLS全代管型服務，或是在自有的憑證生命周期管理解決方案，使用現有的TLS憑證和金鑰。</p> <p>有了Certificate Manager，用戶能以簡單的方式來管理和使用TLS憑證，自動發行和續訂由Google管理的憑證，而用戶能夠上傳來自第三方CA所生成的憑證。Google表示，Certificate Manager靈活的對應機制，使得用戶可以在Google雲端環境大規模精細地控制憑證和主機名稱的分配。 </p> <p>藉由使用Certificate Manager，用戶能對每個負載平衡器部署多達一百萬個憑證，Google Cloud表示，Certificate Manager搭配具有自動擴展和故障轉移的全球任播（Anycast）負載平衡解決方案之後，用戶便可建構低延遲且高可用性的SaaS和PaaS產品。</p> <p>有哪些情境適合採用Certificate Manager？Google Cloud表示，每臺負載平衡器管理的憑證超過15個，或是想要自動獲取和續訂由Google管理的憑證，也可提前配置憑證，避免從其他供應商搬遷到Google雲端所造成的停機等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Certificate%20Manager-cm-entities.png" style="width: 600px;" /></p> <p>想改用外部HTTPS負載平衡的用戶，現在能夠搭配Certificate Manager，也可以採用網路安全服務Cloud Armor保護SaaS服務，而免受DoS或是其他常見的網頁攻擊。外部HTTPS負載平衡是以代理伺服器為基礎的第7層負載平衡器，讓用戶可以在單個外部IP地址後，執行和擴展服務，外部HTTPS負載平衡可以將HTTPS流量分配到Compute Engine、GKE和Cloud Storage等各種Google雲端服務，也能透過網際網路或是混合方式連接外部後端。</p> <p>另外，新的Certificate Manager也讓用戶能夠使用DNS授權，配置由Google管理的用戶憑證，並且在負載平衡產品環境完全設定完成之前就能夠開始使用，也就是說，Certificate Manager會將憑證安全地儲存和部署在用戶所選擇的代理，讓用戶提前配置憑證，確保搬遷期間零停機。這個基於DNS的網域身分授權功能，還提供用戶Wildcard憑證支援。</p> <p>Google也預告，Certificate Manager將讓用戶透過Cloud Logging的搭配，來監控憑證是否過期，這樣的日誌訊息會於每個小時發送一次，其中會包含即將到期，或是已經到期的憑證樣本。</p> <p>在Certificate Manager的服務計價方式上，目前使用的憑證數量，頭1百個不收取額外費用，若超過1百個，將會按每憑證每月定價收費。</p> </div></div></div>
2022/2/2 10:49作者李建興https://www.ithome.com.tw/news/149165
Google釋出BigQuery整合SAP資料的連接器，能融入其他企業資料集進行綜合分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google對外釋出針對企業內部使用、可將SAP資料複製到雲端倉儲BigQuery的工具，名為<a href="https://cloud.google.com/blog/products/data-analytics/bigquery-connector-for-sap">BigQuery Connector for SAP</a>，該連接器提供快速且低成本的方式，供用戶將SAP資料和BigQuery整合在一起，使用戶得以在BigQuery分析SAP資料，以無伺服器架構、高度延展性來實現多個雲端資料倉儲，提升業務敏捷性。</p> <p>不少SAP用戶想要藉由分析業務資料，來掌握更多的趨勢和市場機會，但是過去這並不容易，原因在於SAP用戶難以將ERP資料結合其他雲端原生資料集、企業資料，進行大規模綜合分析。</p> <p>現在Google Cloud推出的BigQuery Connector for SAP，最大訴求在於提供兼具快速、簡單、高成本效益，以及大規模擴展能力的方法，促使SAP資料能在BigQuery當中存取，此種作法主要是藉由SAP用戶現有的SLT（SAP Landscape Transformation Replication Server）工具和技能，就可將SAP資料複製到BigQuery中。</p> <p>BigQuery Connector for SAP是第一款用於BigQuery的SAP SLT近即時連接器，不需要用戶配置額外基礎設施和第三方中介軟體，就可以使用各種嵌入或是獨立的方式進行部署，Google Cloud提到，多數用戶在1個小時內，即可完成BigQuery Connector for SAP的安裝。同時，這款連接器所適用的對象，不單是Google Cloud環境當中部署的SAP應用程式，還可包括運作於企業內部和任何雲端服務的SAP應用程式，都可透過部署這個連接器來實現進一步的分析。</p> <p>Google Cloud也提到他們開發BigQuery Connector for SAP的種種考量，像是：使用成本與複雜性，因此使得設計出來的連接器能夠以毫秒為單位，即時進行差異資料複製（deltas replicated），且無論部署的位置是雲端或本地端，皆能整合當前所有SAP Netweaver應用程式的資料。在實際應用上，BigQuery Connector for SAP會自動對應資料類型，而且還可以從資料來源直接到BigQuery當中產生目標資料表。</p> <p>同時，BigQuery Connector for SAP也透過應用程式層整合得作法，避免直接存取資料庫的問題，更重要的是，用戶只要憑藉現有的SAP技能，就能完成各種操作，免除額外的學習成本。Google解釋，之所以使用SAP SLT作為連接器的邏輯基礎，是因為SAP用戶通常已經安裝SLT來進行SAP分析資料整合，而且SLA也適用所有非SaaS SAP應用程式環境，同時支援大規模即時複製。</p> <p>就Google本身的實際使用驚艷而言，BigQuery Connector for SAP已用來複製重要的財務和供應鏈資料，他們從超過500個資料表中複製數十億筆資料，並將這些資料放進BigQuery資料湖中，將ERP資料結合其他可能用於即時分析和機器學習應用案例的資料源，提供更深層的策略洞察分析，以支援業務和營運的卓越發展需求。</p> <p>肇因於運用SAP SLT，BigQuery Connector for SAP其實是能夠整合源於任何SAP系統的即時資料流，並且自動處理部分繁重的工作，像是在SAP和BigQuery之間，自動進行複雜且多階段的SAP資料轉換，還能在BigQuery中建立目標資料表綱要來儲存那些經過轉換的資料類型，甚至能夠適應SAP中出現的新資料類型。</p> <p>除了制式功能，BigQuery Connector for SAP提供額外的自定處理能力，來符合企業用於自動推薦情境下的調校需求。無論如何，對於想要簡單複製SAP資料，並且結合其他資料以獲得綜合分析結果的用戶，Google Cloud強調，BigQuery Connector for SAP提供高效能資料整合功能，賦予用戶即時整合企業資料集的能力，更輕鬆地獲得業務分析資訊。</p> </div></div></div>
2022/2/1 22:30作者李建興https://www.ithome.com.tw/news/149168
Meta支持的加密貨幣專案Diem將出售資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在宣布約2年半後，由臉書（現改名Meta）支持的加密貨幣組織D<a href="https://www.prnewswire.com/news-releases/statement-by-diem-ceo-stuart-levey-on-the-sale-of-the-diem-groups-assets-to-silvergate-301471997.html" target="_blank">iem協會昨（1/31）日宣布將把資產出售</a>，並將縮編，使曾經震撼金融界及各國央行的計畫壯志未酬。</p> <p>Diem協會表示，將把經營Diem支付網路的智財及其他資產賣給Silvergate Capital。</p> <p><a href="https://www.ithome.com.tw/news/131332" target="_blank">Diem是源自臉書2019年6月宣布加密貨幣Libra計畫</a>。當時臉書的目標是打造出一個全球性的加密數位貨幣金融基礎架構，以服務無法在銀行借不到錢或完全被隔絕於現有金融系統外的使用者。</p> <p>臉書同時也成立了子公司Calibra來經營Libra支付網路，並和10多家金融及網路公司成立非營利的Libra協會。Libra幣預計在2020年正式上路。然而Libra遭到各國政府及央行的抵制，認為欠缺透明度及不受監管，可能助長洗錢及犯罪交易，以及挑戰現有貨幣制度，連美國政府都出面干預。</p> <p>2020年臉書將Calibra公司改名為Novi持續規畫加密貨幣，<a href="https://www.ithome.com.tw/news/141419" target="_blank">而Libra協會也改名為Diem協會</a>，後者再成立經營支付網路的Diem支付網路（Diem Payment Network）。Meta的<a href="https://www.ithome.com.tw/news/147365" target="_blank">Novi數位錢包終於在去年10月推出</a>，但是長久推動Libra/Novi幣的<a href="https://twitter.com/davidmarcus/status/1465740041339092994" target="_blank">David Marcus卻在一個月後離開Meta</a>，也讓該公司加密貨幣團隊蒙上不確定的陰影。</p> <p>Diem協會執行長Stuart Levey指出，Diem支付網路最重要任務之一是建立了多項控制機制，以確保落入不法人士之手，包括禁止匿名交易以防止洗錢，同時也獲得部份主管機關認同，Diem是美國政府見過設計最好的穩定幣。然而他指出，聯邦主管機關和Diem的對話最終顯示這個專案無法再走下去，因此最好辦法是出售Diem集團的資產。</p> <p>未來Silvergate將持續推動Diem的願景，未來幾周Diem協會及其子公司將展開縮編，但是他表示，他們對以區塊鏈執行穩定幣的潛力仍抱持信心，也期待Diem的理想會發揚光大。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-01-25/zuckerberg-s-stablecoin-ambitions-unravel-with-diem-sale-talks" target="_blank">上周彭博報導</a>Diem要出售的消息，但遭該公司駁斥為諸多事實訛誤。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-01-25/zuckerberg-s-stablecoin-ambitions-unravel-with-diem-sale-talks" target="_blank">彭博上周也報導</a>Meta計畫出售Diem資產以便將資金歸還投資人。</p> </div></div></div>
2022/2/1 17:00作者林妍溱https://www.ithome.com.tw/news/149170
微軟擴增Azure Firewall最大吞吐量，還在日誌添加網路規則名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應更高的吞吐量需求，微軟發布<a href="https://azure.microsoft.com/zh-tw/blog/new-performance-and-logging-capabilities-in-azure-firewall/">Azure Firewall更新</a>，將Azure Firewall Premium吞吐量提高至超過3倍以上，並且在日誌記錄支援規則名稱，使得用戶能夠更方便地監控防火牆事件。。</p> <p>隨著企業將越來越多的工作負載搬遷到雲端，公有雲已經應用在各種服務、規模和經濟效益創新上，微軟表示，當應用程式搬遷到雲端，也增加網路吞吐量需求，這些流量對於路徑上的各部分都帶來壓力。</p> <p>目前Azure Firewall可支援到30 Gbps吞吐量，雖然這個吞吐量已經可以滿足大部分的使用案例，但微軟提到，他們看到有一些組織有對吞吐量有更高的需求，隨著更多應用程式搬遷到雲端，網路上的各部分都可能成為效能瓶頸，尤其是作為網路流量必經路線的防火牆。</p> <p>為此，微軟強化Azure Firewall Premium效能，針對雲端部署提供更大的可擴展性。這部份特色主要反映在最大吞吐量的增加，從原本的30 Gbps提升至100 Gbps，幅度高達300％以上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Firewall traffic tstingTopology0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Firewall%20traffic%20tstingTopology0.png" style="width: 600px;" /></a></p> <p>另外，微軟也在網路日誌的處理上，提供規則名稱標示的功能，網路規則的名稱如同應用程式規則，現在也會出現在日誌中。過去在觸及網路規則的事件當中，僅會顯示來源、目標IP位址／連接埠，以及操作，而這項功能，會使網路規則事件日誌顯示政策名稱、規則集合群組、規則集合和規則名稱。</p> <p>若要啟用網路規則名稱功能，用戶也能在Azure PowerShell輸入指令，這作法可在更改規則、更改設定，或是停止和啟動操作之際使用，以便快速使該功能生效，否則防火牆會在數天後才會啟動該功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Firewall network rule name logging.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Firewall%20network%20rule%20name%20logging.jpg" style="width: 483px;" /></a></p> </div></div></div>
2022/2/1 20:54作者李建興https://www.ithome.com.tw/news/149166
Citrix以165億美元出售並下市，將和Tibco合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以虛擬化軟體著稱的業者Citrix，<a href="https://www.citrix.com/news/announcements/jan-2022/takeprivate.html">在1月31日宣布</a>將以165億美元賣給投資公司，並下市成為私有化公司。</p> <p>目前Citrix已和Elliott Management 旗下兩家私募基金公司：Evergreen Coast Capital及Vista Equity Partners，達成收購協議。這兩家公司將以全現金方式，以每股104美元（該公司去年12月20日收盤價的24%溢價），總價165億美元收購Citrix包括其債權。</p> <p>這項消息是在周日<a href="https://www.wsj.com/articles/elliott-and-vista-near-deal-to-buy-citrix-systems-11643567043?mod=djemalertNEWS">華爾街日報引述消息人士報導</a>後，正式對外揭露。當時所報導兩私募資金業者收購價，為130億美元。</p> <p>Citrix收購交易已獲得董事會同意，預定今年年中完成。完成收購後，Citrix將下市，但會持續以原品牌營運，總部也會留在佛州羅德岱堡（Fort Lauderdale）。</p> <p>在該公司的發展上，早期提供企業虛擬桌機（Virtual Desktop）及虛擬化軟體為主，近年因應企業運算型態改變，也提供行動裝置管理及資安雲端服務。不過，根據華爾街日報報導所言，Citrix近年面臨舊式軟體公司如VMware轉型的挑戰，力求將過往銷售軟體授權的營收模式轉為訂閱制，以確保穩定不絕的營收，在這樣的嚴峻態勢之下，去年第三季Citrix仍然繳出成長13%的成績，但股東並不滿意，揚言出售公司。今年10月執行長David Henshall在董事會壓力之下而離開，並退出董事會。</p> <p>在收購Citrix後，兩個新東家計畫將Citrix與企業資料整合軟體業者Tibco合併，而<a href="https://www.tibco.com/press-releases/2014/tibco-be-acquired-vista-equity-partners-2400-share-cash">後者已於2014年賣給Vista Equity</a>。</p> <p>這兩家軟體廠商合併之後，可整合Citrix的數位工作場域（即虛擬桌機）和應用程式派送，以及Tibco的即時智慧資料及分析軟體，這當中也包括Tibco這幾年來併購的多家公司，例如，資料自動化廠商Scribe、商業智慧廠商Information Builders及記憶體內資料平臺SnappyData。</p> <p>基於這樣的合併，Citrix認為，可望形成全球最大軟體供應商，提供企業應用及桌面應用派送、資料管理、商業智慧等方案推動混合雲IT策略。雙方客戶高達40萬家，涵括財星500大企業的98%，以及分佈100多個國家的1億用戶。不過，<a href="https://www.cnbc.com/2021/07/23/vista-equity-considers-sale-of-tibco-sources-say.html)Tibco">根據去年媒體報導，Vista Equity曾考慮出售Tibco</a>。</p> </div></div></div>
2022/2/1 18:01作者林妍溱https://www.ithome.com.tw/news/149169
Python開發者也能導入差分隱私保護，Google擴大開放程式庫原碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2019年9月，<a href="https://developers.googleblog.com/2019/09/enabling-developers-and-organizations.html">Google已先行開放</a>differential privacy基礎程式庫的C++、Java及Go的原始碼。所謂的<a href="https://zh.wikipedia.org/wiki/%E5%B7%AE%E5%88%86%E9%9A%90%E7%A7%81">差分隱私</a>，是一個資料共享方法，僅分享描述資料庫的一些統計特徵，而不公開具體個人資訊，其精神是如果隨機修改資料庫中的一個記錄造成的影響夠小，所求得的統計特徵，就不能被用來反推出單一記錄的內容，即在保留庫統計學特徵的前提之下，能夠去除個體特徵以保護使用者隱私。</p> <p><a href="https://developers.googleblog.com/2022/01/expanding-access-to-differential-privacy.html">Google產品經理Miguel Guevara指出</a>，differential-privacy這項開源專案的目的是希望提供公開透明的方式，讓研究人員可檢查當中程式碼。去年的專案引發迴響，例如開發醫療資料隱私分析工具的開發商Arkhn等，以及希望透過可證實的私有資料來加速科學發現的澳洲開發者。。</p> <p>因此Google進一步和開源界開發商OpenMined合作，經過一年的努力，今年1月28日舉行的資料隱私日，兩家公司共同宣布新的差分隱私工具<a href="https://blog.openmined.org/announcing-pipelinedp-an-api-for-applying-differential-privacy-in-production/">PipelineDP</a>，讓Python開發商可以在差分隱私保護下處理資料。這也讓這家軟體大廠的差分隱私程式庫擴及占全球半數的Python開發族群。</p> <p>目前已有單位利用這套Python程式庫實驗新的應用情境，像是以集結、匿名方式顯示每個網站當中各國造訪次數最高的網頁。這個程式庫可配合大型資料處理最主流的兩個引擎：Spark和Beam框架使用，為使用及實作提供更大的彈性。</p> <p>Google也會持續發展新的差分隱私工具，供開發人員執行數據的圖解呈現，以及調校產生差別隱私資訊的參數。此外他們也會<a href="https://arxiv.org/abs/2201.11603">發布論文</a>，公開將差分隱私擴充到超過1 PB規模的資料集。</p> <p>目前，Google內部也正在訓練開發差分隱私方案的團隊，這當中包括人流報告（Mobility Reports）與Google Maps「最受歡迎次數」功能幕後的基礎架構，他們也將協助OpenMined建立專家團隊，提供差分隱私技術部署的學習資源。Google也鼓勵開發人員加入實驗差分隱私應用情境，像是統計分析、機器學習，並提供回饋意見。</p> </div></div></div>
2022/2/1 16:46作者林妍溱https://www.ithome.com.tw/news/149167
別為了急於省電而犧牲安全性，微軟建議Windows電腦至少要持續連網8小時，否則無法完整安裝更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>系統更新是微軟確保Windows功能與安全性處於最佳狀態的重要作法，但這麼多年以來，總有各式各樣因素使得用戶無法做到。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/achieve-better-patch-compliance-with-update-connectivity-data/ba-p/3073356">微軟端點安全產品經理David Guyer指出</a>，他們耗費很多時間來了解何以Windows裝置無法完全更新到最新版。根據他們的研究，最大關鍵之一是，裝置必須連網、開啟Windows Update連線，才能成功安裝品質及功能更新，若未能到達足夠的連網時間，就無法成功安裝更新。</p> <p>微軟端點安全部門資料顯示，Windows裝置最少必須連續開啟Windows Update連線 2小時，而在更新釋出達到穩定更新後，需再連線6小時，才能確保成功下載更新及背景安裝，並在裝置開啟及連網狀態下重啟電腦。</p> <p>微軟稱此量測項目為更新連網（Update Connectivity），這個指標是指一段時間，涵蓋了裝置啟動及連結到微軟服務，如Windows Update的時間。根據微軟的統計，若是不在Windows 10服務版本當中的電腦，有將近50%未能達到最低更新連網時間。而在Windows 10服務版本當中的電腦，有近25%的安全更新超過60天，比起最少的更新連網時間還要更短少。</p> <p>對此，微軟建議IT管理員向電腦持有者宣導，下班後電腦應插上電源並連網，以便下載及安裝更新，而非將電源關閉。此外微軟也指出，因為企業電源管理及個人使用習慣，使得電腦太快進入深度睡眠或休眠狀態，也會造成更新無法有效安裝，因此IT管理員必須考慮電源管理及安全的平衡，微軟也提供Security Compliance Toolkit，當中提供了Windows安全基準的群組原則設定，可供企業設定電源管理政策時參考。</p> <p>微軟認為更新連網是判斷企業電腦風險，以及採取督促措施的有效工具，也建議管理員應辨識出未達到更新連網時間門檻的裝置，因為未達到「更新健康」狀態的裝置可能無法獲得完整更新，增加企業安全風險。</p> <p>要辨識出更新連網不足的裝置，以微軟本身提供裝置管理工具Microsoft Intune為例，IT人員可以從中找到公司裝置上的細項報告。方法是開啟「裝置管理員」>「監視器」，選擇「功能更新失敗/Feature update failures」或「Windows派送更新失敗/Windows Expedited update failure」，或是查閱Intune中的總結報告，路徑是「報告」>「Windows Update」下選擇「報告」分頁中的「Windows派送更新失敗/Windows Expedited update failure」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HeatherPoulsen_1-1643291738979.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HeatherPoulsen_1-1643291738979.png" style="width: 600px;" /></a></p> </div></div></div>
2022/2/1 14:06作者林妍溱https://www.ithome.com.tw/news/149164
掌握大腦習性讓產品開發事半功倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年夏天，我和我的家人正在享受一段美好的假期。有一天下午，由於我們這段時間外食太多，所以想吃一點便宜的東西，尋找一些比餐館更熟悉的味道，於是我們去了雜貨店。</p> <p>我們到雜貨店的第一件事就是尋找玉米穀片。一如往常，我們的孩子在商店的通道跑來跑去、彼此推擠。身為父母的我們，想要避免在孩子撞上東西之前，趕快做出要買哪個穀片的決定。</p> <p>過了一會兒，我們拿起一包玉米片，抓了一盒類似穀麥脆片的東西，然後轉到下一個賣場通道，不幸的是，我們忘了去拿牛奶和同樣在那個通道上的一些其他東西。</p> <p>後來我們回家了，那一盒類似穀麥脆片的東西超棒的，然而，玉米片卻糟透了。在匆忙之下我們忽視了一個重要的訊號：玉米片包裝上的灰塵。</p> <p>在日常生活中，與此類似的真實故事很多，其實，只要我們用心，皆可以在生活中實踐行為科學。我喜歡從基本的開始，身為人類，我們是受限的，且經常忽視一些細節。光是用想的，我們無法立即知道哪個穀片是最好的，我們必須耗費時間和精力進行分類，透過經驗做出決定。如果我們花太多時間成本，也會衍生出其他問題（例如，我前面所舉的生活例子，我的孩子可能會撞到貨架等等）。同樣地，我們的注意力、意志力和做事能力也很有限，你可以想像得出來。</p> <p>不過這也不完全是壞事，他們只是反應生活中的現實。又如，我也很難想像若這些能力不受限會發生什麼事──同時間注意到所有的事情──這並不是我們被創造出來的目的。</p> <p>我們可以將數十年的行為研究，歸納為以下幾個要點：</p> <p><span style="color:#B22222;"><strong>‧我們在專注力、時間上、意志力等方面皆受到限制。</strong></span></p> <p><span style="color:#B22222;"><strong>‧我們有兩種思想：我們的行動取決於有意識的思想和無意識的思想反應，像是習慣。</strong></span></p> <p><span style="color:#B22222;"><strong>‧在這兩種情況下，我們的思維都因為受到限制，使用捷徑來節省成本並做出快速決策。</strong></span></p> <p><span style="color:#B22222;"><strong>‧我們所處的環境會嚴重影響我們的決策和行為，從而加劇或減輕我們的偏見與意圖行動差距（intention-action gap）。</strong></span></p> <p><span style="color:#B22222;"><strong>‧可以巧妙、周詳地設計環境，以改善人們的決策與縮小意圖行動差距（intention-action gap）。</strong></span></p> <p><span style="font-size:28px;"><strong>我們是受限的</strong></span></p> <p>誰沒有在生活中的某個時刻忘記什麼？健忘是我們人類其中一個弱點。可惜的是，有很多方法使我們的思維受到限制並導致我們做出非最佳選擇，包括注意力有限、認知能力和記憶。</p> <p>這些限制環環相扣。以注意力來說，有太多事情時時刻刻在攫取我們的注意力。例如，我們可能是注意自己的心跳聲，或正在我們附近進行有趣對話的人，或已經逾期但我們還未繳交的報告。不幸的是，研究員一次又一次地說明了我們有意識的大腦一次只能專注一件事情。儘管也有很多媒體報導說明人可以同時做好幾件事，但我認為這始終是一個謎。我們可以轉換注意力，我們可以從專注在一件事情上，移到另一件事情上，並且不斷循環這個過程。但實際上，注意力的轉移很耗費時精力，它會使我們的速度慢下來，然後使我們的思考變得不清晰。有鑑於此，我們只能一次專注在同一件事情上，不過由於可能同時發生許多緊急或有趣的事情，因此，很多時候我們經常無意識的在做事。</p> <p>同樣地，我們的認知能力（coginitive capacity）是受到限制的：我們根本無法同一時間在大腦中容納許多無相關的想法，或同時出現很多訊息。你可能聽過一個故事：美國電話號碼的組成是七個數字再加上區碼，是因為研究人員發現，人們最多可以一次記下七個毫無關聯性的數字，然後加減二個，上至九位數，下至五位數。</p> <p>另外，面對各種各樣的事情，我們可能會變得不知所措或面臨選擇的癱瘓，即使我們有意識地尋找更多的選擇。研究人員將此稱為選擇駁論（paradox of choice）：我們有意識的頭腦，認為擁有更多的選擇項總是比較好，但實際上當我們要做出決定時，卻受限於認知能力和選擇上的困難。</p> <p>最後來討論我們的記憶，很多時候並不完美，而且這是無法改變的。對於大多數的我們，擁有一個不完美的記憶是很正常的。我們的記憶並不像高畫質影片，大多數的時候比較像是影像碎片的重組。</p> <p>所以這些認知限制（cognitive limitation）是什麼？它們對產品工作者很重要是出於以下兩個原因：首先，這些認知限制，意味著有時我們的用戶即使在符合自己的興趣下，也沒能做出最好的選擇。他們可能分心、忘記事情了，或者當下不知所措。我們不應將一些錯誤的選擇解釋為他們不願意做得更好（或使用我們的產品）；相反的，這只是他們的人性弱點在起作用。所以，我們可以設計產品，避免使用者因受限的能力而負擔過重。</p> <p>第二，我們的限制很重要，因為我們聰明的大腦運用兩個獨立的系統，並使用了很多捷徑的方式。在開發產品和溝通時，我們應該了解那些捷徑，並運用捷徑來幫助、協助我們。</p> <p><span style="font-size:28px;"><strong>我們的大腦分成兩部份</strong></span></p> <p>你可以把大腦想像成兩種類型的思考：一種是有經過審慎思考，另一種則是依靠直覺反應來完成。這是一個對於複雜流程很有用的方式。我們的直覺反應（又稱為直覺，或系統一），是快速且自動的。但是我們通常不了解內部運作的方式。這是利用了我們過去的經驗和一套簡單的經驗法則，幾乎可以立即為我們提供對情況的直觀評估──透過我們的情感和周圍的感覺，我們的身體產生一種「直覺」（gut feeling）。在熟悉的情況下，與我們過去的經驗相關的地方，通常非常有效。相反地，在陌生的情況下則表現不佳。</p> <p>我們的審慎思維（又稱為意識，或系統二），是緩慢且專注的，具有自我意識，以及我們大多數的人所認為的思想。我們可以理性地使用系統二，應對不熟悉的情況並處理複雜的問題。很可惜，系統二能處理的資訊量受到一定的限制（人類的短期記憶力，要同時處理七位以上的數字就很困難了！），因此，我們需要依賴系統一負責大部分的思考工作。這兩個系統可以平行獨立運作，而且可以互不同意──所以，有時我們認真思考的結果雖然沒有問題，但還是可能覺得自己的決定「有些地方不對勁」。</p> <p>這意味著我們在行動時通常不會思考，至少不是有意識的選擇。我們大多數日常行為都由我們的直觀模式控制。我們習慣養成和直覺，是根據我們過去的經驗對情況做評估或使用經驗法則（我們的心理機制中內置的認知捷徑或啟發式方法）。研究人員估計大約有一半的日常生活花費在習慣養成，和在無意識的情況下做事。通常只有當我們處於一種新的情況下時，我們的意識才會活躍起來。或者，當我們有意識地將注意力放在某個任務上。</p> <p>很可惜的是，我們有意識的思想認為他們一直在工作。一位哲學家Joathan Haidt在他的書《象與騎象人：全球百大思想家的正向心理學經典》（The Happiness Hypothesis, Cambridge 2006）中，以佛祖提及的騎象人和大象來比喻，並解釋這個想法。想像一下，有一頭巨大的大象，上面有一位騎象人，大象是我們強大的力量，不囉唆又直覺；騎象人是我們的意識自我，試圖指引大象去哪裡。騎象人認為他總是在負責，但這是大象在做動作。也就是說，如果大象不同意騎象人，大象通常會贏。</p> <p>要了解這一點，你可以閱讀左右腦做了分離手術的人，且左右腦從此（生理上）不能交流的有趣研究。左腦會針對右側所做的事，編出有說服力卻是捏造出來的故事。這正是騎象人站在失控的大象背上，高喊著一切都在他的控制下！或者更確切的說，騎象人大吼著大象做的每個動作都是出於騎象人本人的意志 ── 而騎象人還真的相信這點。</p> <p>因此，我們可以做一件事，卻同時在想不同的事情。我們可能正在前往辦公室的路上，但實際上我們在思考所有在到達目的地時所需要做的事情。騎象人正在準備未來的任務，而大象正在做走路的工作。為了要產生行為改變，我們需要騎象人和大象一起合作。<span style="color:#696969;">（摘錄整理自《行為改變科學的實務設計》第一章）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400_%E8%A1%8C%E7%82%BA%E6%94%B9%E8%AE%8A%E7%A7%91%E5%AD%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A-V2.png" style="width: 318px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span></strong> <span style="color:#3399ff;"><strong>行為改變科學的實務設計｜</strong>活用心理學與行為經濟學第二版</span></p> <p>Stephen Wendel／著；林玠里／譯</p> <p>碁峰資訊出版</p> <p>售價：680元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Stephen Wendel現任職於Morningstar，帶領行為科學團隊，負責公司內部的經濟行為研究。是本書第一版《Designing for Behavior Change》作者。Wendel博士同時也是Action Design Network的創辦人，指導如何將行為研究結果應用在產品開發上。</p> </div></div></div>
2022/1/31 15:50未署名https://www.ithome.com.tw/news/149158
Epic Games控告蘋果限制支付方式風波未了，美35州檢察長及微軟都表態支持該公司上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法官Yvonne Rogers在2021年9月針對Epic Games控告蘋果一案<a href="https://www.ithome.com.tw/news/147202">作出裁決</a>，庭上認為是Epic Games擅自於遊戲中夾帶支付機制，違反與蘋果的合約，而蘋果並未觸犯反壟斷法令，Epic Games則在<a href="https://cdn2.unrealengine.com/epics-opening-brief-76331606557a.pdf">今年1月提出上訴</a>，強調蘋果的反壟斷行徑，然而，Epic Games這次的上訴同時獲得了美國35州、美國白宮，以及微軟的支持。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-self-2022-01-30_201732.jpg" style="width: 500px;" /></p> <p>去年的判決被視為是蘋果的一場勝利，因為法官認為蘋果的App Store不算壟斷，但也要求蘋果必須允許開發者於程式中嵌入連至外部網站付款的機制，而因於遊戲中嵌入自家支付機制而遭到蘋果下架的Epic Games，則因擅自破壞與蘋果之間的協議，被判必須支付應與蘋果拆分的利潤。</p> <p>不滿該判決的Epic Games於今年1月提出上訴，指出iOS程式只能透過App Store散布，還被蘋果要求只能使用蘋果付款機制，若不推翻該判決將會破壞健全的反壟斷政策。</p> <p>關於蘋果App Store是否壟斷，美國35個州及微軟都透過法庭之友意見書（Amicus Curiae Brief）來聲援Epic Games。</p> <p>由猶他州為首的美國35個州的檢察長針對地方法院法官對反壟斷法令的解釋，提出<a href="https://www.scribd.com/document/555427906/22-01-27-Utah-Et-Al-Acb-Iso-Epic-Games-Against-Apple">挑戰</a>，微軟也提出<a href="https://regmedia.co.uk/2022/01/29/microsoft_brief.pdf">上訴</a>，指出蘋果在行動作業系統與App Store的控制權，就如同當初被法院認定違反反壟斷法令的AT&T，倘若法官放行蘋果，將會危及市場競爭與創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-BRIEF%20OF%20UTAH%20AND%2034%20OTHER%20STATES%20AS.jpg" style="width: 280px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-MS-2022-01-30_194229.jpg" style="width: 280px;" /></p> <p>美國司法部的反壟斷部門<a href="https://www.scribd.com/document/555445929/22-01-27-United-States-Acb-in-Epic-Games-v-Apple">則認同Epic Games</a>，表明他們的確是受到蘋果因壟斷而帶來的反競爭影響，法院卻認為蘋果對開發者的限制是合理的，沒有考量到蘋果的整體行為是否危害競爭。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/epic%20games-US%20clourt-2022-01-30_194524.jpg" style="width: 280px;" /></p> <p>而根據專利部落格《FOSS Patents》的<a href="http://www.fosspatents.com/2022/01/35-us-states-and-microsoft-support-epic.html">分析</a>，蘋果已經飽受各界壓力，開放只是早晚的問題。</p> <p>自Epic Games於2020年8月與蘋果對簿公堂以來，於去年8月與美國開發者達成協議，同意讓開發者與使用者溝通其他付款方式，<a href="https://www.ithome.com.tw/news/146477">南韓同年9月通過一項法令</a>，規定程式市集不得限制開發者只能採用特定支付管道，<a href="https://www.ithome.com.tw/news/146489">9月蘋果也在日本鬆綁</a>，允許Reader類別的程式至第三方網站付款，蘋果亦於10月<a href="https://www.ithome.com.tw/news/147457">更新App Store審核準則</a>，不再禁止開發者引導使用者以其他方式交易，今年1月允許荷蘭約會程式採用第三方的程式內支付系統，更因動作「不確實」被<a href="https://www.ithome.com.tw/news/149051">荷蘭判定處罰500萬歐元</a>，此外，<a href="https://www.ithome.com.tw/news/148677">印度也正在調查</a>App Store的支付規定。</p> </div></div></div>
2022/1/30 18:35作者陳曉莉https://www.ithome.com.tw/news/149152
協助用戶快速建立混合雲生產環境，微軟發布Azure Arc伺服器登陸區域加速器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其混合雲解決方案中Azure Arc-enabled server，發布<a href="https://azure.microsoft.com/zh-tw/blog/microsoft-launches-landing-zone-accelerator-for-azure-arcenabled-servers/">登陸區域加速器（Landing Zone Accelerator）</a>，並且提供相關的最佳實踐、指南和自動化參照實作，供用戶可快速開始部署，他們強調，有了登陸區域加速器，可協助用戶針對部署在Azure雲端服務之外的伺服器，以更輕鬆的方式，增進安全性、治理程度與政策遵循成效。而在這個加速器的參照實作當中，除了Azure Arc，還包含微軟Defender for Cloud、Azure Sentinel、Azure Monitor、Azure Log Analytics和Azure Policy等服務，能夠擴展到生產環境中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ns-arch-cust-expanded.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ns-arch-cust-expanded.jpg" style="width: 600px;" /></a></p> <p>若導入Azure Arc伺服器登陸區域加速器，微軟認為，企業可以在採用雲端服務的過程當中，獲得需要注意的事項、推薦作法，以及基礎架構模式等協助。</p> <p>為了讓用戶能以最受推薦的方式來部署Azure Arc-enabled servers，微軟建立了7套關鍵設計領域，包括身分和存取管理、網路拓撲與連接、資源組織、治理和安全紀律、管理紀律、成本治理以及自動化紀律。而每個領域當中，都包含了一整組設計考量、推薦作法、架構，以及接下來的步驟。</p> <p>針對多種參考實作的應用，登陸區域加速器運用基於Azure Arc Jumpstart而成的沙箱自動化技術。針對多種參考實作的應用，登陸區域加速器運用基於Azure Arc Jumpstart而成的沙箱自動化技術。而針對Azure Arc-enabled servers登陸區域加速器的應用，微軟已幫IT人員開發出專用的ArcBox，能以沙箱自動化解決方案的方式來執行此類伺服器，以及搭配的眾多服務，像是：Azure Policy、Azure Monitor、Defender for Cloud、 Microsoft Sentinel。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arc ArcBox arch_itpro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arc%20ArcBox%20arch_itpro.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/1/31 01:33作者李建興https://www.ithome.com.tw/news/149151
面對OAuth程式也須驗證真偽！惡意活動OiVaVoii以假冒的OAuth程式鎖定C級高階主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Proofpoint上周揭露名為<a href="https://www.proofpoint.com/us/blog/cloud-security/oivavoii-active-malicious-hybrid-cloud-threats-campaign">OiVaVoii的惡意活動</a>，它利用挾持的Office 365租戶，再加上惡意的OAuth程式來展開網路釣魚攻擊，目前對方已成功接管了許多企業高階主管的帳號，包括執行長、總經理、前董事會成員與董事長等。</p> <p>OAuth是個以權杖來取代帳號與密碼輸入的開放標準，目的是為了減少帳號與密碼的曝光，基於OAuth的程式通常會要求使用者賦予特定權限，包括讀寫檔案、存取行事曆及電子郵件，寄送電子郵件或建立郵件規則等。一般而言，這些OAuth程式，都是由通過驗證的發行者所建立。</p> <p>然而，這樣的印象已經被推翻了！Proofpoint最近發現了5款惡意的OAuth程式，它們的命名很尋常，有兩個名為Upgrade、其餘是Document、Shared與UserInfo，駭客透過所挾持的電子郵件帳號向特定的使用者送出程式授權請求，包括C級高階主管在內，由於其中3款是由兩家通過驗證的發行者所建立，看起來太像真的，使得駭客成功接管許多受害者的帳號。基於這樣的狀況，使得研究人員不得不懷疑駭客已危害了發行者帳號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OiVaVoii%20App1-1.png" style="width: 300px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/OiVaVoii%20App1-2.png" style="width: 180px;" /></p> <p>事實上，愈高層級的用戶被駭，影響就愈大，因為他們通常擁有檢視機密資料的權限，而且，如果駭客透過這些帳號來發送網釣或惡意郵件，收到這些訊息的同事很難不上當。</p> <p>除了竊取機密資料及發送網釣郵件之外，一般帳號如果被接管，還有助於駭客於組織內橫向移動，或是散布其他惡意程式。</p> <p>雖然目前微軟已封鎖其中4款程式，但Proofpoint認為，若發行者帳號已遭入侵，那麼，對方應該會不斷建立及驗證新的OAuth程式，而讓微軟猝不及防，該公司也呼籲組織應立即採取防範措施，包括限制用戶的程式授權，或是採取多層防禦等，倘若已遭波及，則應儘速撤銷及移除惡意程式，並檢查郵件規則、檔案及訊息的完整性。</p> </div></div></div>
2022/1/31 12:08作者陳曉莉https://www.ithome.com.tw/news/149154
預防網路安全威脅嚴重影響金融體系的穩定，歐洲系統風險委員會提議建立泛歐網路事件協調框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲系統風險委員會（European Systemic Risk Board，ESRB）在今年1月底向歐洲3大監管機構（European Supervisory Authorities，ESAs）<a href="https://www.esma.europa.eu/press-news/esma-news/esas-welcome-esrb-recommendation-pan-european-systemic-cyber-incident">提出了建議</a>，呼籲ESAs應著手制定一個框架，以便在發生可能對歐盟金融體系造成系統性影響的重大跨境網路事件時，能夠於泛歐展開有效的協調應對。</p> <p>ESRB為歐盟的獨立機構，主要任務為監督歐盟內部的金融體系，ESAs指的則是歐洲銀行業管理局（EBA）、歐洲證券及市場管理局（ESMA），以及歐洲保險與職業養老金管理局（EIOPA）等3個金融監管機構，他們一同被視為歐洲的金融監管體系（European System of Financial Supervision，ESFS）。</p> <p>而關於本次ESRB的提議，意味著網路事件或資安事件似乎已無可避免地衝擊到歐洲的金融環境。因為，<a href="https://www.esrb.europa.eu/pub/pdf/recommendations/esrb.recommendation220127_on_cyber_incident_coordination~0ebcbf5f69.en.pdf?f2ec57c21993067e9ac1d73ce93a0772">ESRB於建議書中指出</a>，重大的網路事件可能對金融系統造成系統性的風險，也許是破壞重要的金融服務或運作，繼之影響企業對金融系統的信心，波及金融穩定性，造成系統性的網路危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ESRB%20Recommendation-2021-12.png" style="width: 600px;" /></p> <p>不僅如此，ESRB也擔心不斷演變與增加的網路威脅與資安事件，將使歐盟的金融穩定面臨更大風險，因疫情而衍生的遠端工作風潮，也讓金融系統曝露於網路威脅中。事實上，相較於2019年，歐洲央行在2020年所收到的網路事件報告數量增加了54%。</p> <p>因此，ESRB呼籲ESAs應建立一個因應網路事件的協調框架，以讓平常並不為此互動的歐盟各主管部門能夠相互協調，範圍包括歐盟金融機構於全球所設立的據點。</p> <p>ESRB對此所提出的主要建議，即是建立泛歐的系統性網路事件協調框架（ pan-European Systemic Cyber Incident Coordination Framework，EU-SCICF），由歐洲議會、負責金融數位運作的理事會、ESAs、歐洲央行、ESRB及歐盟各國的相關組織，共同著手展開準備，於發生跨境重大網路事件時能夠有效地協調與應對。在收到此一建議之後，<a href="https://www.esma.europa.eu/sites/default/files/library/jc_2022_02_esas_statement_esrb_recommendation_cyberincident.pdf">ESAs即表達了歡迎的態度</a>，只是迄今雙方尚未列出有關EU-SCICF的時程表。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EBA%20statement-2022-01.png" style="width: 600px;" /></p> </div></div></div>
2022/1/31 12:38作者陳曉莉https://www.ithome.com.tw/news/149155
為杜絕免費鑄造的NFT浮濫，OpenSea祭限制令，但又臨時收回成命
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大NFT市集OpenSea宣布，將把原本無限制的免費鑄幣服務改為只能鑄造50個NFT，而引起廣大創作者的不滿，導致業者馬上撤回該政策，同時道出了先前這個決定的原因。</p> <p>一般而言，若把自己的作品變成NTF，通常需要支付費用予礦工，又稱為鑄造費，然而，OpenSea為了推廣NFT，提供了免費鑄幣服務，把鑄幣費用轉嫁到買家身上。</p> <p>OpenSea表示，建立該平臺的初衷，是為了讓更多創作者進入NFT的領域，每個決定都與創作者有關，然而，最近濫用免費鑄幣服務的現象激增，使用其工具免費鑄造的眾多NFT，當中有超過8成是抄襲、仿冒品，或者只是廣告垃圾（Spam）。他們為了解決此一問題，才祭出50個的上限，但也向外界致歉，表示他們在釋出限制之前應該先預覽這樣的要求內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSea%20Twitter%202022-01-28.jpg" style="width: 400px;" /></p> <p>此一規定之所以引起開發者反彈，主要來自於創作者的開發趨勢。目前有不少NFT創作者會定期發表作品，例如一天一個，每周兩個，或者是計畫發行1,000個NFT之類的，50個的限制直接打亂創作者原本的作品規畫。</p> <p>然而，如同所有的開放平臺，只要是免費的，或者是尚未確定完整規則的，就很容易遭到濫用。OpenSea表示，雖然撤銷了50個的限制，但該平臺將藉由其他解決方案來保障創作者，並阻止那些不良人士，且未來所有的變更都會先試行，而不會冒然推出。</p> <p>身為新領域的龍頭，OpenSea近期面臨諸多挑戰，例如先前該平臺上的漏洞讓駭客以不到15萬美元的價格，<a href="https://www.ithome.com.tw/news/149053">購入市值超過100萬美元的NFT</a>，最後OpenSea不僅修補該漏洞，也出面補償受害用戶的損失。為了保障該平臺及用戶的安全，今年1月OpenSea正式透過HackerOne祭出<a href="https://hackerone.com/opensea?type=team">抓漏獎勵專案</a>，亦於內部設立<a href="https://opensea.io/blog/safety-security/introducing-the-nft-security-group/">安全部門</a>。</p> </div></div></div>
2022/1/30 21:30作者陳曉莉https://www.ithome.com.tw/news/149153
隱私瀏覽器Brave抨擊Topics API僅是重新包裝的FLoC，甚至還傷害廣告公平競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>訴求隱私、每月超過5,000萬用戶的瀏覽器Brave，不只<a href="https://www.ithome.com.tw/news/143795">對FLoC（Federated Learning of Cohorts）投反對票</a>，針對Google新提出的廣告追蹤技術Topics API，仍<a href="https://brave.com/web-standards-at-brave/7-googles-topics-api/">持反對立場</a>，並指出，Topics API只是經過稍微修改的FLoC，並沒有真正解決隱私問題，兩者對於用戶的隱私同樣有害。</p> <p>Google去年所提出的廣告追蹤技術FLoC，受到眾多瀏覽器、網站甚至是內容管理系統等，以考量隱私安全為由預設停用，都還未正式上路就受到抵制的FLoC胎死腹中，不過Google並不死心，最近又再次發表新的廣告追蹤技術Topics API。而Brave認為，雖然Google稱Topics API解決了FLoC嚴重的隱私問題，但事實上卻沒有，Topics API僅改善FLoC次要的隱私問題。</p> <p>雖然Google新發表Topics API，要來取代之前的FLoC提案，但Topics事實上與FLoC基本概念相同，都是以用戶的興趣為基礎，根據瀏覽網站的歷史紀錄，來判斷用戶的興趣，將其依照主題分類，並讓用戶的瀏覽器將資訊分享給廣告商、追蹤器和存取的網站，而這些行為的目的，便是要讓廣告商能對用戶推送更具針對性的廣告。</p> <p>Brave解釋，在FLoC中，瀏覽器會向所有詢問的網站，廣播用戶的興趣，而Topics API則是將興趣廣播限制在同一個廣告商，一廣告商同時出現在網站A和網站B上，則廣告商可以在網站A上，了解到用戶在網站B上的興趣。FLoC和Topics API另一項不同點，是FLoC所學習到用戶的興趣是固定的，因此網站能夠很容易地辨識用戶，而Topics API在用戶的興趣中添加少量的隨機性，使得網站更難以指紋辨識用戶。</p> <p>Brave提到，Topics API和Brave這兩項主要差異，的確改善了FLoC部分缺陷，但是真正有害隱私的問題仍然存在，Brave認為，Google不該成為敏感資料的仲裁者，傲慢地決定哪些資料對用戶來說是敏感的。</p> <p>Google在Topics API技術說明中，表示僅會與網站分享非敏感的興趣，不會包含種族、性向和信仰等資料，但Brave表示，並沒有任何資料可以在所有情境，都必然能安全地分享，真正有意義的隱私，應該特定於每個人的情境，因此他們認為真正的敏感內容應該由使用者決定，而非Google。</p> <p>以求職興趣舉例來說，對正在尋找第一份工作的畢業生來說，或許並非敏感資料，但是對於瀏覽自家雇主網站的人，可能敏感程度就不一樣，抑或是對乾酪和葡萄酒的興趣，或許普遍不特別，但是對於特定宗教或是飲食文化的人就不同。</p> <p>對於Google擅自為用戶定義非敏感和敏感資料，並且向第三方分享這些資料，Brave直指，這正是對使用者隱私的侵犯。雖然Google在Topics API中，將讓用戶可以選擇退出特別敏感的類別，但Brave提到，在技術上可行，實踐中並不理想，因為通常軟體的預設值很少被更動，甚至只有少數的用戶知道自己能夠做出選擇。</p> <p>以另一個層面來說，Brave還認為Topics API比FLoC更糟糕，因為Topics API對Google這類大型廣告商更加有利。在FLoC中，所有廣告商都能了解用戶所有的興趣，但是在Topics API中，廣告商僅能了解用戶在其所呈現頁面的興趣和行為。</p> <p>對Google這類大型廣告商來說，觸及廣泛的網站，而小型廣告商，出現在更少的網站上，因此Brave認為，Topics API不會對大型廣告商產生影響，但是會使小型廣告商處於劣勢，Topics API表面上是針對用戶的隱私做修正，但本質上強化了Google的廣告壟斷。</p> <p>至於Topics API是否比FLoC更好？Brave認為兩者同樣都侵害用戶隱私和公平競爭。而之所以Google稱FLoC、Topics API或是隱私沙盒提案可以改善隱私，是指利用這些系統來取代原本的第三方Cookie，但已經有許多注重隱私的瀏覽器，早已預設封鎖第三方Cookie。</p> <p>因此Brave提到，對於目前市場上對隱私危害最大的Chrome瀏覽器使用者來說，Topics API的確能改善隱私，但是只是讓隱私最少的瀏覽器，變得不這麼糟糕的提議，對於其他真正保護隱私的瀏覽器來說，Google所做的努力遠遠不足。</p> </div></div></div>
2022/1/31 11:30作者李建興https://www.ithome.com.tw/news/149150
【資安週報】2022年1月24日至28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，有國內科技廠商資安事故的消息。其中，發生在21日台達電遭網路攻擊的事故，後續本週有國內媒體報導引起國內外關注，該媒體宣稱，攻擊者就是勒索軟體駭客組織Conti，甚至提供疑似是勒索軟體的檔案雜湊值。上述報導遭到台達電嚴正否認，但該公司網站無法運作，很難與該公司聲稱沒有受到影響畫上等號。</p> <p>另一起事故則是與電動機車龍頭Gogoro有關。與上述台達電事故相同的是，該公司也是宣稱營運沒有因網路攻擊受到重大影響，但隨後有車主爆料延遲交車，以及無法預約維修的情況。</p> <p>在國內的資安事故之外，國際上烏克蘭與俄羅斯、白俄羅斯的網路攻擊也引發各界的注目。</p> <p>而在漏洞的方面，我們可以看到駭客鎖定開源軟體的情況也更加明顯，這包含自去年12月開始利用Log4Shell漏洞的攻擊行動，特別是針對遠距工作平臺而來的情況，已經從駭客各自找尋攻擊目標，變成分工有專門的團隊收集資料的現象。再者，本週被揭露的漏洞多半也與Linux作業系統相關，甚至可能影響部署容器的環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.ctwant.com/article/165246"><span style="color: rgb(0, 0, 0);">台達電駁斥大量電腦與伺服器被Conti勒索加密的傳聞，但網站迄今仍無法運作</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Delta-Electronics_20220128-1714-26685.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/149021">國內電源供應設備大廠台達電在21日，於股市公開觀測站證實遭駭</a>，當時各界懷疑是遭勒索軟體攻擊，<a href="https://www.ithome.com.tw/news/149129">此事於1月27日傳出新的消息</a>──根據國內媒體周刊王（CTWANT）報導，有國外資安公司的分析報告透露，對台達電下手的是勒索軟體Conti，其內部網路的6萬5千臺電腦中，有1千5百臺伺服器與1萬2千臺電腦被加密。</p> <p>該報導中也提及，台達電委託趨勢科技與微軟資安團隊協助事件的調查。</p> <p>針對上述的報導內容，台達電在28日再度於證交所發布發布重大訊息駁斥，指出該報導並非實情，並強調該公司營運相關系統皆已恢復正常。但截至1月28日下午5時，該公司網站仍無法運作，顯示網站系統維護中的訊息。</p> <p><span style="font-size: 22px;"><a href="https://forum.gogoro.com/t/topic/17779?fbclid=IwAR3JW9dp3yxDZDGz_l4-7zxkkSdaRGUouZNImNgWyn-xqbAmJejP2jATeoo"><span style="color: rgb(0, 0, 0);"><strong>電動機車業者Gogoro遭網路攻擊，疑影響交車、無法預約進廠維修時間</strong></span></a></span></p> <p>隨著電動車越來越普遍，針對相關業者發動攻擊，可能導致多種服務受到波及。電動車Gogoro在1月22日晚間9點表示，他們在1月21日週五偵測到部分資訊系統遭受駭客網路攻擊，該公司資訊部門在偵測偵測到網路異常後，已啟動資安事件應變，與外部資安公司協同處理，並通報政府單位。根據他們的說明，目前，受影響的部分資訊系統正陸續回復，對日常營運並無重大影響，電池交換網路、銷售與維修通路、客戶服務系統皆持續運作。</p> <p>巧合的是，最近幾日陸續有民眾指控，已經即將交車的時程被迫延期，也有車主反應無法預約進廠維修的時間，使得這起事件引起外界關注，但這些情況是否與網路攻擊有關？顯然還有待釐清。</p> <p>該公司在公告指出，同時間亦有其他臺灣廠商遭遇類似的狀況，但這些廠商是否為採用Gogoro電池交換系統Powered by Gogoro Network（PBGN）的聯盟成員？該公司沒有進一步說明。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-deadbolt-ransomware-targets-qnap-devices-asks-50-btc-for-master-key/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體DeadBolt攻擊威聯通NAS，意圖向製造商兜售漏洞細節</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/master-key-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/master-key-note.jpg" style="width: 300px; float: right;" /></a>勒索軟體入侵NAS設備的情況，陸續傳出事故，但如今駭客得寸進尺，打算將攻擊事故做為向設備廠商兜售漏洞細節的管道。資安新聞網站Bleeping Computer指出，他們發現勒索軟體DeadBolt約自1月25日開始，攻擊威聯通（QNAP）的NAS設備，並向受害者索討0.03個比特幣，相當於1,100美元，至少有15臺NAS受害，駭客宣稱是透過未揭露的漏洞來下手。值得留意的是，在勒索訊息裡，還包含給威聯通的「重要訊息」，內容是他們打算向該公司以50個比特幣（約185萬美元）的價格，出售上述漏洞的細節，以及可解鎖所有受害設備資料的主鑰（Master Key）。</p> <p><span style="font-size:22px;"><strong><a href="https://www.cyberscoop.com/whisper-gate-notpetya-ukraine-russia/"><span style="color: rgb(0, 0, 0);">鎖定烏克蘭政府的惡意軟體WhisperGate，與勒索軟體NotPetya攻擊手法雷同</span></a></strong></span></p> <p>在1月上旬，假冒勒索軟體、攻擊烏克蘭政府機關的惡意軟體WhisperGate，研究人員揭露更多發現。思科指出，此惡意軟體藉由破壞主要開機磁區（MBR）的方式，讓受害者誤以為電腦資料遭到挾持，但實際上沒有加密電腦的檔案，這樣的攻擊手法，與2017年出現，也同樣主要鎖定烏克蘭的勒索軟體NotPetya類似。研究人員認為，使用WhisperGate的駭客很可能在數個月前就已經埋伏，背後的攻擊者疑似是APT駭客。思科呼籲烏克蘭的相關組織，可以參考美國網路安全暨基礎設施安全局（CISA）提供的建議，來防範有關攻擊行動。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/hackers-say-they-encrypted-belarusian-railway-servers-in-protest/"><span style="color: rgb(0, 0, 0);">白俄羅斯鐵路公司遭到加密軟體攻擊，駭客要求釋放50名政治犯</span></a></strong></span></p> <p>駭客發動攻擊的目的，也有可能為了政治訴求。例如，名為白俄羅斯網路游擊隊（Belarus Cyber Partisans）的駭客組織，於1月24日宣稱，他們入侵了白俄羅斯國營鐵路公司（BR），對部分伺服器、資料庫、工作站電腦加密檔案，來中斷營運，目的是要求當局釋放50名需要醫療救助的政治犯，且希望俄羅斯軍隊撤離白俄羅斯。BR也發出公告指出，該公司線上的電子旅行文件核發作業暫時無法使用，旅客要直接向售票處進行申請。</p> <p><span style="font-size:22px;"><a href="https://thehackernews.com/2022/01/hackers-infect-macos-with-new-dazzlespy.html"><span style="color: rgb(0, 0, 0);"><strong>DazzleSpy後門程式發動水坑式攻擊，鎖定香港macOS用戶下手</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-fightforhk_com-as-archived-by-the-Wayback-Machine-on-November-13th.png" style="width: 300px; float: right;" /></a>Google在2021年8月，<a href="https://www.ithome.com.tw/news/147795">發現到駭客鎖定香港的媒體網站，以及社會運動網站展開水坑式攻擊</a>，並運用漏洞CVE-2021-30869於受害者的蘋果電腦、行動裝置上，植入木馬程式，這起攻擊事故的調查最近有了更多進展。資安業者ESET指出，這些駭客分別入侵當地的網路廣播電臺D100，並製作帶有惡意iframe的假社會運動聲援網站，來引誘香港的民主運動人士上當，其中，針對瀏覽廣播電臺網站的Mac電腦使用者，駭客使用名為DazzleSpy的後門程式，來控制受害電腦。研究人員指出，這起攻擊行動與2020年iOS惡意程式LightSpy手法相似，但無法斷定是由同一組駭客出手。</p> <p><span style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/01/north-koreas-lazarus-apt-leverages-windows-update-client-github-in-latest-campaign/"><span style="color: rgb(0, 0, 0);"><strong>北韓駭客Lazarus以航太職缺發動網釣攻擊，並濫用Windows Update元件進駐受害電腦</strong></span></a></span></p> <p>為了藏匿行蹤，駭客將惡意軟體的處理程序，植入合法的元件裡運作，而且常常是選擇作業系統內建的軟體，進行寄生攻擊（LoL）。例如，資安業者Malwarebytes最近揭露一起疑似由北韓駭客組織Lazarus發動的攻擊行動，駭客自2021年12月下旬，以美國航太業者Lockheed Martin的名義，發出徵才的網釣郵件，一旦收信人點選附件的說明文件，就會觸發惡意巨集，然後將攻擊者的程式碼先後注入檔案總管，以及Windows Update元件（wuauclt.exe），以便持續在受害電腦上運作。與過往不同的是，有別於許多駭客藉由檔案共享服務來架設C2中繼站，本次Lazarus濫用的對象是程式碼代管平臺GitHub。</p> <p><span style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/observations-from-the-stellarparticle-campaign/"><span style="color: rgb(0, 0, 0);"><strong>俄國駭客APT29藉由竊取瀏覽器Cookie，繞過雙因素驗證接管Office 365帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-10.png" style="width: 300px; float: right;" /></a>駭客破解雙因素驗證（2FA）有新招，而且埋藏了2年才被發現。資安業者揭露俄羅斯駭客組織APT29（亦稱CozyBear、The Dukes）自2019年中旬發起的StellarParticle攻擊行動，駭客藉由憑證跳躍（Credential Hopping）的手法，挾持受害者的Office 365帳號，而這些受害組織的共通點為皆啟用了雙因素驗證機制。</p> <p>究竟這些駭客如何突破相關身分驗證機制？研究人員指出是竊取使用者瀏覽器的Cookie，藉由重放攻擊，來繞過雙因素驗證的流程。此外，APT29也在這起攻擊行動裡運用名為TrailBlazer的惡意軟體，同時針對Windows和Linux電腦下手，目的疑似是為了長期在受害電腦埋伏。</p> <p><span style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/prime-ministers-office-compromised.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體利用MSHTML漏洞，攻擊西亞政府高官與國防產業人士</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pm-office-compromised1.png" style="width: 300px; float: right;" /></a>在2021年9月被揭露的MSHTML重大漏洞，近期再被用於針對性的攻擊行動。甫由McAfee Enterprise和FireEye合併成立的資安業者Trellix，於1月25日公布疑似由俄國APT28（亦稱Fancy Bear、Strontium）發起的網路間諜攻擊行動，駭客於2021年10月至11月，透過釣魚郵件，向監督國家安全政策的西亞政府高層，以及國防產業人士下手。該組織利用MSHTML重大漏洞CVE-2021-40444，在受害電腦的記憶體內執行惡意程式。</p> <p>研究人員強調，為了埋藏攻擊意圖，駭客將攻擊行動細分成6個階段進行，並使用名為Graphite的惡意軟體，且於OneDrive架設C2中繼站，並藉由Graph API通訊，使得攻擊流量難以識別。</p> <p><span style="font-size: 22px;"><a href="https://blog.morphisec.com/asyncrat-new-delivery-technique-new-threat-campaign"><span style="color: rgb(0, 0, 0);"><strong>駭客以ISO映像檔規避防毒軟體偵測，散布AsyncRAT木馬程式</strong></span></a></span></p> <p>過往為了迴避郵件防護系統的偵測，有些駭客會利用ISO、IMG、CDR等光碟映像檔的附件檔案，以此打包作案工具，使得上述防護措施可能因不具掃描光碟映像檔的功能，採取直接放行的策略而達到目的。但這樣的手法如今變得更加複雜──資安業者Morphisec揭露一起自2021年9月12日出現的攻擊事故，駭客以ISO檔案挾帶惡意批次檔或VBScript程式碼，但這個ISO檔實際上是埋藏在HTML檔案的附件裡面，等到收信人打開HTML檔案才「還原」，要求下載到電腦執行，進而從網路上下載AsyncRAT木馬程式。</p> <p>由於駭客以確認訂單的名義寄送釣魚郵件，當中夾帶上述HTML檔案為附件，恐使得收信人降低戒心，依照指示操作。此外，研究人員指出，上述ISO檔案實際上是透過附件的HTML檔案產生，企業的網路安全閘道與防火牆不會察覺異狀。</p> <p><span style="font-size:22px;"><a href="https://www.trendmicro.com/en_us/research/22/a/emotet-spam-abuses-unconventional-ip-address-formats-spread-malware.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過十六進位、八進位的IP位址來散布</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure2-emotet-spam-using-unconventional-octal-hexadecimal-IP-addresses-evasion-technique.png" style="width: 301px; float: right;" /></a>駭客為了規避資安系統的偵測，刻意使用一些手法來隱藏攻擊行動的IP位址。例如，趨勢科技在近期偵測到Emotet的垃圾郵件攻擊行動中，駭客在郵件裡的惡意Office文件裡，分別使用十六進位、八進位的方法，來存放遠端伺服器的IP位址，進而讓 Emotet下載第2階段的惡意程式。研究人員指出，駭客使用這種方式取代2021年11月至12月時，投放Cobalt Strike的Beacon，或是使用TrickBot的手法，現行的資安防護系統很可能無法察覺異狀。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.trendmicro.com/en_us/research/22/a/analysis-and-Impact-of-lockbit-ransomwares-first-linux-and-vmware-esxi-variant.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit鎖定VMware虛擬化平臺而來</span></a></strong></span></p> <p>隨著企業採用虛擬化平臺的情況越來越普遍，約自2021年上旬，許多勒索軟體駭客，如<a href="https://www.ithome.com.tw/news/146432">HelloKitty</a>、<a href="https://www.ithome.com.tw/news/147580">Hive</a>、<a href="https://www.bleepingcomputer.com/news/security/linux-version-of-avoslocker-ransomware-targets-vmware-esxi-servers/">AvosLocker</a>，開始製作Linux版本軟體，鎖定VMware ESXi的環境而來。惡名昭彰的<a href="https://www.ithome.com.tw/news/146421">勒索軟體LockBit</a>，最近幾個月也開始加入針對虛擬化環境下手的行列。趨勢科技於2021年10月，在地下論壇RAMP看到駭客張貼的廣告，宣布開始提供能於VMware ESXi執行的勒索軟體LockBit，同月，研究人員就在網路上發現使用該勒索軟體的攻擊行動。</p> <p>此勒索軟體混合AES與ECC兩種演算法加密檔案，且能夠將虛擬機器（VM）關機或是休眠，以利檔案加密不受中斷。此外，該勒索軟體還能徹底清除可用空間的資料。與Windows版勒索軟體相同的是，駭客在加密完檔案後，同樣於勒索訊息裡，徵求能入侵企業的帳密資料，並宣稱提供者有機會得到數百萬美元的酬庸。</p> <p><span style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/01/log4u-shell4me"><span style="color: rgb(0, 0, 0);"><strong>駭客大肆收集存在Log4Shell漏洞的VMware遠端工作平臺名單，用戶應加速修補的腳步</strong></span></a></span></p> <p>攻擊者鎖定遠端工作平臺VMware Horizon，並找尋存在Log4Shell漏洞的系統下手的情況，已有數起事故，如今有人疑似專門收集此種型態的攻擊目標名單，再轉售給其他駭客牟利。IT業者BlackBerry的威脅情報團隊指出，以提供攻擊者入侵受害組織管道的掮客（Initial Access Broker，IAB）組織Prophet Spider，近期針對存在上述弱點的VMware Horizon發動攻擊，鎖定其中存在漏洞的Tomcat元件下手，再藉由PowerShell或命令提示字元，植入挖礦軟體，或是植入Cobalt Strike的Beacon進行控制。研究人員認為，當IAB盯上存在某項漏洞的特定系統，代表有許多駭客組織也偏好朝向這類目標下手。</p> <p><span style="font-size: 22px;"><a href="https://blog.zimperium.com/dark-herring-android-scamware-exceeds-100m-installations/"><span style="color: rgb(0, 0, 0);"><strong>安卓騙錢App上億用戶受害，損失數億美元</strong></span></a></span></p> <p>騙錢軟體看似無害，而能上架應用程式市集難被察覺異狀。資安業者Zimperium揭露自2020年3月出現的攻擊行動Dark Herring，駭客鎖定超過70個國家的安卓用戶而來，並在Google Play市集陸續上架近470個應用程式，這些App直接透過電信業者向受害者收費（Direct Carrier Billing，DCB），平均每月為15美元，而使得用戶難以察覺有異，迄今已有1.05億臺設備遇害，研究人員推測，駭客至少騙得數億美元。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-brata-wipes-your-device-after-stealing-data/"><span style="color: rgb(0, 0, 0);"><strong>安卓惡意軟體Brata鎖定網路銀行用戶，並在竊密後重置手機</strong></span></a></span></p> <p>使用手機網路銀行的用戶要注意了！針對安卓手機而來的竊密軟體，不只鎖定多個國家的銀行用戶，發展至今更出現了會清理作案現場的功能。資安業者Cleafy發現，安卓惡意軟體Brata近期針對英國、中國、拉丁美洲等地區而來，駭客為各家網路銀行的用戶製作多種版本的Brata，並加入數項新功能，其中最值得留意的，是能夠在攻擊行動失敗，或是偵測到在沙箱環境的情況，將感染的安卓裝置恢復原廠預設狀態，以清除相關跡證。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chaes-banking-trojan-hijacks-chrome-with-malicious-extensions/"><span style="color: rgb(0, 0, 0);"><strong>駭客利用逾800個WordPress網站，向巴西民眾散布銀行木馬Chaes</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/java(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/java(1).jpg" style="width: 300px; height: 219px; float: right;" /></a>鎖定巴西銀行客戶下手的木馬程式，近期的攻擊行動有升溫的跡象。例如，在2020年底首度被發現的木馬程式Chaes，防毒軟體業者Avast近日提出警告，在2021年第4季有超過6.6萬名客戶的電腦，疑似遭到這個木馬程式企圖入侵。該公司調查後發現，Chaes經由逾800個WordPress網站傳播，目標是在巴西銀行用戶的Chrome瀏覽器上，以惡意外掛程式來竊取交易資料，研究人員指出，此起攻擊行動仍然持續，用戶應避免安裝來路不明的應用程式。</p> <p><span style="font-size:22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-increase-efforts-to-enlist-insiders-for-attacks/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體駭客意圖收買目標組織的內部員工，以利進行攻擊</strong></span></a></span></p> <p>駭客發動勒索軟體攻擊，除了向初始入侵管道掮客（IAB）購買存取受害組織內部網路的帳密，還可能會串通的內部員工，以利攻擊進行。根據身分驗證解決方案業者Hitachi ID在2022年1月，針對北美100家擁有超過5千名員工的大型企業進行調查，結果發現，在2021年12月7日至今年1月4日的期間內，有65%受訪者表示，駭客意圖收買他們或公司員工，要求建立初始存取的管道，這樣的比例，相較於2021年11月公布的48%高出許多。在北美員工面臨與公司共體時艱而大幅減薪，而引發大辭職（Grand Resignation、亦稱Big Quit）勞工運動的情勢下，很可能讓員工鋌而走險，選擇被駭客收買。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-system-service-bug-gives-root-on-all-major-distros-exploit-released/"><span style="color: rgb(0, 0, 0);">Linux系統元件漏洞PwnKit可被用於取得root權限，恐波及所有發行版</span></a></strong></span></p> <p>Linux系統元件所存在的漏洞，很可能影響各種版本的作業系統。資安業者Qualys揭露名為PwnKit的漏洞（CVE-2021-4034），這項漏洞存在於控制系統層級的元件Polkit（舊稱PolicyKit）裡，一旦攻擊者利用該漏洞，就能以不具特權身分的使用者，在Linux主機上取得root權限，影響自2009年5月以來所有版本的Polkit。研究人員在預設組態部署的Ubuntu、Debian、Fedora、CentOS上，透過PwnKit於本機取得root權限，研判該漏洞存在於多數版本的Linux作業系統，紅帽已發布修補程式。資安新聞網站Bleeping Computer於上述漏洞細節公布後不久，就在網路上看到概念性驗證（PoC）攻擊工具。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/linux-kernel-bug-can-let-hackers-escape-kubernetes-containers/"><span style="color: rgb(0, 0, 0);">Linux核心存在漏洞，恐被用於逃脫K8s容器並攻擊主機</span></a></strong></span></p> <p>Linux核心的嚴重漏洞，有可能危及容器平臺Kubernetes（K8s）。搶旗賽（CTF）團隊Crusaders of Rust發現，記憶體緩衝區溢位漏洞CVE-2022-0185，存在於Linux核心5.1-rc1以上版本的檔案系統框架（File System Context）元件，一旦駭客利用這個漏洞，將有機會發動越界寫入、阻斷服務（DoS）、任意程式碼執行攻擊，而使得駭客能夠逃脫容器，進而存取K8s伺服器的資源。該漏洞已於Linux 5.16.2版修補，IT人員也可以針對沒有具備特殊權限的使用者，停用命名空間（Namespace）的相關功能，來緩解這項漏洞。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/cwp-bugs-allow-code-execution-as-root-on-linux-servers-patch-now/"><span style="color: rgb(0, 0, 0);">CentOS伺服器遠端管理介面軟體存在漏洞，攻擊者可用於RCE攻擊</span></a></strong></span></p> <p>許多企業用於架設伺服器的CentOS作業系統，針對其開發的遠端管理介面軟體出現漏洞，有不少企業會曝露在相關風險之中。資安業者Octagon Networks發現，Linux伺服器網頁管理介面軟體Control Web Panel（CWP，原名CentOS Web Panel），存在檔案包含漏洞CVE-2021-45467，以及檔案寫入漏洞CVE-2021-45466，該業者指出，攻擊者一旦串連這2個漏洞，可在未經身分驗證的情況下，以root權限遠端執行命令。研究人員指出，從物聯網搜尋引擎Shodan和Censys執行搜尋，至少有10萬個CWP可透過網際網路存取。雖然CWP獲報後已修補上述漏洞，但研究人員指出，他們看到有人繞過漏洞並入侵一些伺服器。</p> <p>即使紅帽改變CentOS的發布規畫，<a href="https://www.ithome.com.tw/news/141582">終止CentOS 8的支援，未來以提供測試版本CentOS Stream為主</a>，但仍有不少企業使用CentOS，或是開始移轉到其他的衍生版本，上述漏洞帶來的影響可能相當廣泛。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.whitehouse.gov/omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/"><span style="color: rgb(0, 0, 0);">美國要求政府機關採用零信任的資安防護戰略，於1月26日正式實施</span></a></strong></span></p> <p>美國行政管理和預算局（OMB）在2022年1月26日，正式發布新網路安全策略與<a href="https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf">M-22-09備忘錄</a>，要求政府機關都應轉移到零信任架構（Zero Trust Architecture），並在2024財年底（9月30日）之前，符合指定的資安標準要求。這樣的策略，是基於去年5月的14028行政命令，於是OMB在<a href="https://www.ithome.com.tw/news/147725">去年9月提出聯邦零信任戰略草案</a>，歷經近半年時間徵詢意見與討論，現在終於上路。聯邦資安長Chris DeRusha表示，這個戰略將成為聯邦網路安全典範轉移的基礎，並將會成為其他人仿效的模式。</p> <p>在這份備忘錄裡，OMB要求各聯邦機關要在60日內，提出轉移架構的時程規畫，以及2023、2024年度的預算編列，並依據身分驗證、裝置、網路、應用系統與工作負載，以及資料等5個領域，執行相關的盤點與部署工作。</p> <p><span style="font-size:22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/uk-govt-releasing-nmap-scripts-to-find-unpatched-vulnerabilities/"><span style="color: rgb(0, 0, 0);">英國政府以Nmap程式碼打造檢測工具，供IT人員掃描特定的重大漏洞</span></a></strong></span></p> <p>工業控制系統（ICS）安全日益受到重視，政府亦提供相關的工具給企業，以便儘速因應重大漏洞。英國國家網路安全中心（NCSC）於1月25日，發布針對網路安全工具Nmap編寫的指令碼，以協助企業掃描Exim訊息傳輸代理（MTA）設備裡，合稱為21Nails的RCE漏洞。NCSC表示，即使企業沒有部署Exim MTA，IT人員還是可以試著運用這個指令碼來掃描網路環境。</p> </div></div></div>
2022/1/29 00:03作者周峻佑https://www.ithome.com.tw/news/149148
萬芳醫院揭露打造人性化HIS關鍵，未來還要自建FHIR閘道器加速資料互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「使用者友善」看似簡單，卻不容易做到。醫療資訊系統（HIS）是一家醫院中最重要的IT系統，舉凡掛號、門診、醫囑都包括在內，但它給人的印象，大多是單調、冰冷的。</p> <p>萬芳醫院恰好相反，他們由一群活潑、背景各異的人才組成IT團隊，站在使用者角度多思考一步，來扭轉HIS冰冷的刻板印象。比如，萬芳醫療系統頁面會蹦出一隻兔子，這是一個系統小助手，可以告訴使用者新功能或操作流程，就像是日常生活中熟悉的網頁操作體驗。萬芳醫院資訊室主任許權廣謙虛的說：「這是我們開發系統的一些小創意，」但這個小創意，卻大大減少了醫院IT許多支援工作，不用每年定期舉辦新系統教學會議或大量錄製操作流程的例行工作。</p> <p>萬芳IT的貼心不只是如此，到處可見他們的細膩考量，例如在病歷系統中，開發了類似Word英文縮寫檢查等一系列自動化輔助工具來協助醫生。或是在不同節慶期間，打開萬芳醫療系統頁面時，會秀出不同的背景，例如聖誕節間的系統頁面會飄雪，就像是大家常用的Line聊天背景。甚至，他們也在思考，要讓一天得用好幾套系統的醫師，打開最後一個系統時，跳出「恭喜集滿七個系統～獲得今日最辛苦醫師勳章」的驚喜，利用尋寶集點的遊戲化概念，讓使用者體驗更有趣。</p> <p>打造這些功能並不難，但能多想一步，就成了常見HIS中難得一見的小創意。「在醫療環境中工作，最怕的就是冷冰冰，」許權廣繼續說：「我們希望帶來一點好玩的溫度，回到人性化的初衷。」他比喻，iPad、iPhone這類智慧型行動裝置都有使用教學，但很少人會翻閱，因為它們的設計符合大眾操作習慣，自然而然就上手。這種人性化設計，就是萬芳IT的理念。</p> <p><span style="font-size:22px;"><strong>不同人才組隊激盪創意，用微服務架構改善老舊系統</strong></span></p> <p>這些巧思，都是萬芳IT團隊腦力激蕩的成果。身為帶頭跑的IT指揮官，許權廣和萬芳醫院醫療資訊執行長陳俊佑都不是IT出身，「我是護理人，執行長陳俊佑則是醫師，」許權廣說。也因此，這些IT主管們並不設限人才來歷，更在2017年底改變招人方式，主動出擊從PTT、各大論壇上網羅對HIS抱有獨到見解的人選，面談時除了記錄人格特質，也會帶進辦公室與同事閒聊，比如平時興趣、如何獲得新知識等。許權廣指出，只要語言相同，就會留下來與大家一起開發有趣的系統，獲得成就。</p> <p>這種開放思維，促成了萬芳IT團隊的多元，他們有英文老師、航太系、政治系畢業的同事，再加上護理、醫師背景的資深主管們，碰撞出各種創意火花。</p> <p>這一批新血的成軍，也解決萬芳醫院當時面臨的HIS開發難關。</p> <p>萬芳醫院多年來一直採用大型主機，也侷限了能用的程式語言和開發工具，不僅得用老舊的Delphi語言，開發工具資源越來越少，還有許多過時的限制，例如必須預先定義螢幕尺寸，就難以因應裝置螢幕大小動態縮放，不利於行動化應用的開發。更根本的是，老舊語言人才更難找，於是萬芳下定決心，改找來一批新人，以他們熟悉的網頁開發工具，直接改造HIS。</p> <p>他們先是將周邊系統網頁化，首先是記錄病人從入院、診斷再到出院完整流程的病歷摘要系統，再將這套系統，進一步以微服務架構來優化。許權廣指出，改用微服務架構，能讓系統中的功能拆分為一支支服務，透過API讓其他系統來呼叫、使用，增加共用性外，還有其他好處，如更新不停機、資料存取更快速。</p> <p>萬芳醫院開發微服務時，會連同資訊室開發組、使用單位和負責統籌的醫務部，來每周開會討論，先將服務與資料分類，找出可共用的關鍵模組，再定義資料，規範出資料書寫的格式。不過，在龐大的醫療系統中分類出關鍵服務和資料並不容易，對IT新人來說更是如此。</p> <p>因此，萬芳醫院借鏡同儕經驗，自行發展一個系統架構師新角色，由資深IT人員擔任，來梳理複雜的HIS程式，從中找出共用模組，再交給微服務開發者來打造。這也是萬芳醫院HIS轉型中，催生出的人才轉型做法。</p> <p>這套微服務架構打造的病摘系統，就是後來萬芳醫院One平臺上的一站式病人資訊系統OneRecord。多年前，陳俊佑醫師利用工作閒暇之時，親手開發出的一站式病人資訊查詢系統LazyR。萬芳IT後來也將LazyR改以微服務優化後，才發展出了OnePage。而OneRecord的成功，也催生一系列One系統，像是個案管理系統OneTeam、急診專用系統OneER、醫學資料庫OneFamily、聊天機器人OneBot等。萬芳醫院更打出「OnePage, only one touch」的口號，成為後來系統開發的核心理念。</p> <p><span style="font-size:22px;"><strong>微服務如何特別？一臺1萬元的小型電腦就能支撐全院病摘系統</strong></span></p> <p>對萬芳醫院來說，利用微服務介接大型主機舊系統，讓開發速度更快、使用者立即就能讀取資料。因為，他們利用NoSQL資料庫MongoDB來連接快取資料庫Redis，大幅縮短資料讀取時間，使用者在操作系統時，不必等待，立即就能得到所需的資訊。</p> <p>而且，許權廣點出，微服務因拆分模組，每個模組的程式碼量不多，因此修改程式碼時，並不會影響其他作業，更新也就不必停機。</p> <p>但最令許權廣印象深刻的是，維運成本大幅降低。</p> <p>「過去醫院系統主機體積很大、所用伺服器也很貴，」他說，在OneRecord出現後，他們買了3臺如手掌般大小的小型電腦，只要1臺就能撐起整家醫院病摘服務的運作，另外2臺作為備援，也能互相移動所需資源。而且，這些小型電腦，「1臺只要1萬元左右，」比過去使用的傳統大型機器便宜許多。</p> <p>這些都是萬芳IT的微服務成就。</p> <p><span style="font-size:22px;"><strong>北醫體系9年前第一波轉型，今年2月3家體系醫院將再度大轉型</strong></span></p> <p>他們的成功經驗，也將在2月進入北醫體系HIS轉型專案辦公室，作為北醫體系第二次大轉型的關鍵做法。</p> <p>早在2013年，北醫體系就先進行一次HIS轉型，不僅統一旗下3家醫院（北醫、雙和、萬芳）的資料庫架構，還將外包與自建比例調整為1比9，重新掌握核心系統開發權。當時，北醫體系成立一個管發中心，分為12個功能小組，如護理小組、醫事小組，來推動整合工作。這些小組採取了跨院混合編組，比如，護理系統功能小組來自3院資訊室成員、管發中心人員，負責支援各院護理師代表組成的護理小組的需求。</p> <p>「那是一個大工程，」許權廣指出，當時轉型，是先由12個功能小組各自統整需求再提案，但這次採取微服務架構，每一個功能小組可以逐一針對不同的模組一一調整，大大簡化了開發的整體複雜度，「未來，每一個模組都會越來越成熟，其他系統只要呼叫就能引用，」他說。</p> <p>北醫體系將在2月啟動這個辦公室，他們會先找來3家醫院的人才，並請萬芳IT分享人才和微服務系統開發經驗。他們的目標是，將萬芳One平臺導入另外2家醫院，未來要3家醫院透過單一入口，就能讀取所需資訊，甚至，還要納入各家醫院與周邊合作診所的資訊，如此就能清楚知道，就醫病人的看診歷史，也能給出更精準的治療。</p> <p>許權廣透露，從萬芳微服務的經驗中發現，必須特別重視文件標準化的重要性。因為這樣，才能讓其他人知道版本進展、如何引用程式等細節。萬芳自己已有一套版本記錄做法，透過微服務事件驅動（Event driver）和自行在系統架構中埋下的記錄關鍵點，不僅能記載版本演進和事件，除錯時也能快速找到錯誤。</p> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong>萬芳微服務用Node.js開發利於上雲，還將自建FHIR閘道器因應衛福部政策</strong></span></span></p> </td> </tr><tr><td> <p>談到衛福部力推的電子病歷上雲政策，萬芳醫院一點都不擔心日後上雲轉移的挑戰。許權廣指出，因為萬芳微服務架構中，後端採用了網站應用常見的伺服器端JavaScript框架Node.js來開發，因此要將HIS微服務上雲也很容易，只要改到雲端建立主機，將HIS的微服務部署在雲端主機執行就可以運作。「這麼做的好處是服務不中斷、資料不會遺失，但就是得擔心價格。」</p> <p>「醫院擔心被套牢，一旦過了優惠期、廠商開始收費，就得考量是否能承擔上雲費用。」許權廣以最近熱門探討的議題來比喻，企業養得起AI，卻養不起AI落地的費用，醫院上雲的情境也雷同。他建議，政府相關單位可思考這類議題。</p> <p>除了推動電子病歷上雲政策，衛福部也陸續提倡，將原本電子病歷交換中心（EEC）改為FHIR交換架構。許權廣透露，未來，萬芳醫院將自建FHIR閘道器，將自家資料，透過閘道器轉換，產出符合FHIR格式的資料給特定機構。</p> </td> </tr></tbody></table><p> </p> </div></div></div>
2022/1/28 18:29作者王若樸https://www.ithome.com.tw/news/149146
北市祭出最新餐飲防疫指引，接種足夠疫苗者可內用，呼籲未施打足夠疫苗者改外帶、外送或使用包廂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央公布今天(1/28)本士確診者為27例，境外為44例，其中臺北市本土有5例、境外有6例，臺北市今天下午召開防疫記者會，針對於即將迎接農曆春節連假到來，為降低餐軟業內用染疫風險，北市祭出餐飲防疫指引，將餐<i>飲</i>的防疫措施升至2.5級，呼籲疫苗證明為為綠燈者可內用，而未施打2劑或尚未接種疫苗的黃燈或紅燈者，建議外帶、外送或使用包廂。</p> <p>柯文哲認為，昨天臺北市7家醫院篩檢1,740人，沒有發現陽性，代表北市社區尚未有擴散傳染發生，但針對確診案例，花費相當大的力氣去匡列，隔離接觸者，甚至是接觸者的接觸者，並進行篩檢，耗費相當大的成本。預估到除夕夜，全臺居家隔離將超過1萬名，這些人無法回家過年，有需要檢討策略。既然社區有很多傳播鏈，趁尚未散開來，思考在2級到3級之間該如何做。</p> <p>有鑑於若從2級升級至3級，相關防疫措施的強制性，對民眾生活帶來較大的衝擊，柯文哲認為，去年臺灣防疫上的成功並無使用強制手段，而是以引導產生效果。因此，對於容易造成感染的餐廳內用，將餐飲的防疫升至2.5級，採取引導而非強制措施。呼籲餐飲業者應提供安全的用餐環境，同時顧客也應符合綠燈的標準。</p> <p>北市訂定的2.5級餐飲防疫指引，柯文哲強調並非強制，而是指引措施，若北市發生社區傳染，就需要強硬的措施。</p> <p>根據北市府公布的指引，綠燈代表已接種疫苗2劑，且滿14天，而滿三個月施打第3劑者，由於比較不容易被感染，也較不容易傳染他人，可以在餐廳內用餐，至於黃燈代表僅接種1劑者，紅燈則是尚未接種疫苗的人，風險較高，可改為外帶或外送，如果一定要在餐廳內用，可選擇包廂內用餐。</p> <p>根據市府公布的餐飲指引措施，12歲以下孩童，可選疫苗護照為綠燈的使用者進入餐廳內用餐，而未能出示證明者則視同紅燈。有條件的開放餐廳內用。</p> <p>臺北市政府也會透過加強稽查餐飲業者，督促業者改善防疫措施，包括員工是否量測體溫、消毒紀錄，入口處是否量測體溫，落實實聯制等等。</p> <p>另外，北市加強防疫，已在1/24公布，對超市、賣場、市場加強人流管制，依室內1人要2.25平方公尺、室外為1人1平方公尺，此一規範適用市府舉辦的燈會等活動。</p> </div></div></div>
2022/1/28 19:04作者蘇文彬https://www.ithome.com.tw/news/149147