iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/13 02:57
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

強制1.5億用戶啟用兩步驟驗證功能後，Google宣布帳號遭駭情形減少50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/reducing-account-hijacking/" target="_blank">Google指出</a>，自從強制用戶Google帳號啟用兩步驟驗證（2-step verification，2SV）或雙因素驗證（2FA）後，Google帳號被入侵的情形減少50%。</p> <p><a href="https://www.ithome.com.tw/news/144240" target="_blank">Google去年5月宣布</a>分階段強制用戶啟用2SV，以防範Google 帳號盜用，用戶可以App或硬體金鑰作為密碼外的第二道驗證方法。Google帳號安全計畫總監Guemmy Kim指出，迄今已成功為超過1.5億Google用戶自動啟動2SV，也要求200多萬YouTube內容創作者使用2SV。這使得用戶帳號被入侵的情形減少50%。</p> <p>為讓2SV/2FA方便使用，Google 2019年還把FIDO 2/WebAuthn技術內建Android 7，使Android 7以上的手機可直接啟動2SV驗證登入Google帳號，<a href="https://www.ithome.com.tw/news/131249" target="_blank">且在同年延伸到Apple裝置</a>，推出iOS版Google Smart Lock App。Google說，這讓幾乎所有行動裝置都能自動支援2SV/2FA。</p> <p>Google表示2022年將會持續部署，最終讓所有Google帳號用戶預設啟用2SV。同時Google也鼓勵用戶以內建於Chrome、Android或Google App的Google Password Manager來管理密碼。</p> </div></div></div>
2022/2/9 13:15作者林妍溱https://www.ithome.com.tw/news/149272
微軟2月Patch Tuesday修補51個安全漏洞，無重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟8日釋出今年2月的Patch Tuesday，總計修補了51個安全漏洞，當中有一個零時差漏洞，罕見的是，微軟此次所修補的，完全沒有重大（Critical）等級的安全漏洞。如果算進微軟本月初跟隨Chromium專案、所修補的19個Microsoft Edge漏洞，那麼2月修補漏洞的總數則是70個。</p> <p>此次所修補的零時差漏洞為<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21989" target="_blank">CVE-2022-21989</a>，它是Windows Kernel中的權限擴張漏洞，它的攻擊複雜性高，雖然先前便已被揭露，但尚未看到攻擊程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21989" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F-CVE-2022-21989.jpg" style="width: 350px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2022/2/8/the-february-2022-security-update-review" target="_blank">趨勢科技旗下的Zero Day Initiative（ZDI）團隊選出了4個相對重要的漏洞</a>，分別是CVE-2022-21984 、CVE-2022-23280、 CVE-2022-21995與CVE-2022-22005。</p> <p>其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21984" target="_blank">CVE-2022-21984</a>為Windows DNS Server的遠端程式攻擊漏洞，該漏洞允許駭客掌控DNS伺服器，並以擴張的權限執行程式碼。雖然該漏洞必須在用戶啟用動態更新之後才會現身，不過這是一個常見的設定，使得ZDI呼籲使用者應將其視為重大漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21984" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F-CVE-2022-21984(1).jpg" style="width: 350px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-23280" target="_blank">CVE-2022-23280</a>則是Microsoft Outlook for Mac的安全功能繞過漏洞，該漏洞將讓圖像自動出現在預覽中，即使已關閉預覽，相關的攻擊只會曝露攻擊目標的IP資訊，但若搭配其它漏洞則可能導致遠端程式執行。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-23280" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F-CVE-2022-23280.jpg" style="width: 350px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21995" target="_blank">CVE-2022-21995</a>為Windows Hyper-V的遠端程式執行漏洞，起因為Guest to Host逃逸，允許駭客穿越虛擬機的安全邊界，並於主機環境執行程式，儘管有些嚴重，但因攻擊難度較高而未被列為重大等級。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21995" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F-CVE-2022-21995.jpg" style="width: 350px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22005" target="_blank">CVE-2022-22005</a>則是SharePoint Server的遠端程式執行漏洞，允許經過身分認證的用戶執行任意的 .NET 程式碼。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22005" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F-CVE-2022-22005.jpg" style="width: 350px;" /></a></p> <p>上述被ZDI點名的漏洞中，CVE-2022-21984與CVE-2022-22005的CVSS風險評分都達到8.8，同登本月之冠。</p> </div></div></div>
2022/2/9 11:21作者陳曉莉https://www.ithome.com.tw/news/149266
蘋果將在今年推出Tap to Pay，兩支iPhone靠近就能收付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/02/apple-unveils-contactless-payments-via-tap-to-pay-on-iphone/" target="_blank">蘋果周二（2/8）宣布</a>，將在今年推出Tap to Pay功能，消費者的iPhone只要具備各種無接觸式付款機制，商家僅需擁有iPhone XS或以上的iPhone手機，將兩支iPhone靠近就能完成付款與收款，商家完全不需要部署額外的硬體或終端設備。</p> <p>蘋果打算在即將推出的iOS測試版中提供相關的軟體開發套件（SDKs），以讓各個支付平臺或程式開發者將Tap to Pay功能整合在服務中，<a href="https://stripe.com/terminal/tap-to-pay-on-iphone" target="_blank">首個合作對象為網路/行動交易支付系統Stripe</a>，相關功能預計春天就會問市，且今年全美的蘋果門市也都將支援Tap to Pay。</p> <p>Tap to Pay可接受非接觸信用卡、簽帳卡、Apple Pay及其它種類的電子錢包，開發者或支付平臺只要於程式或平臺上整合Tap to Pay，就能讓程式或平臺的客戶以Tap to Pay功能收款，所需的硬體只有iPhone XS及之後的機種，非常適合小型商家或個人賣家使用。</p> <p>當消費者要結帳的時候，可以選用Apple Pay、非接觸式信用卡或其它電子錢包付款，之後再把iPhone或Apple Watch靠近商家的iPhone，交易就會透過NFC技術完成。</p> <p>蘋果強調，Tap to Pay採用與Apple Pay一致的隱私與安全政策，所有的交易都是加密的，且是在安全元件（Secure Element）中處理，蘋果亦無從得知是哪個消費者買了什麼東西。</p> </div></div></div>
2022/2/9 11:29作者陳曉莉https://www.ithome.com.tw/news/149267
Nvidia、Arm收購案正式破局，Arm將推動IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過多國政府提出質疑及出手干預後，<a href="https://nvidianews.nvidia.com/news/nvidia-and-softbank-group-announce-termination-of-nvidias-acquisition-of-arm-limited" target="_blank">繪圖晶片大廠Nvidia及英國半導體設計業者Arm母公司軟體銀行（SoftBank）昨日發出共同聲明稿宣布</a>，在龐大的主管機關挑戰阻止下，將取消 Nvidia和Arm的收購計畫。伴隨交易取消Arm原CEO下臺，公司也將規劃上市（IPO）。</p> <p>根據雙方合約，由於合併計畫中止，軟銀將保留Nvidia預先支付的12.5億美元。而Nvidia則將保留Arm授權20年。Nvidia執行長黃仁勳指出，Arm是推動運算演化的中心，雙方雖然無法成功整合成一家公司，但Nvidia將持續與Arm密切合作，未來數十年仍將授權Arm技術。</p> <p>另一方面，Arm母公司軟銀同時宣布，將在Arm會計年度2023（2023年3月31日截止）中籌備Arm的公開股票發行計畫。</p> <p>而伴隨合併案終止，Arm CEO Simon Segars將下臺，由智財部門主管Rene Haas接任。<a href="https://www.arm.com/company/news/2022/02/arm-appoints-rene-haas-as-ceo" target="_blank">軟銀CEO孫正義指</a>出，在Arm啟動重新上市之際，Haas是加速公司成長的最佳領導者人選。</p> <p>Haas自2017年擔任Arm智財產品事業群總裁迄今，帶進客戶包括阿里巴巴、Ampere、AWS、Bosch、Denso、Mobileye及Telechips等。Arm公司也表示在權利金、授權營收及利潤等，都可望於會計年度2022年創造新高。</p> <p><a href="https://www.ithome.com.tw/news/139974" target="_blank">Nvidia於2020年9月宣布400億美元的Arm收購計畫</a>，成為科技業史上金額最大收購案之一。在這樁收購案中，雙方計畫整合Nvidia的AI運算技術及Arm的生態系，推動AI運算到新興市場。</p> <p>然而本收購案遭遇多重阻力，多國政府主管機關也對Nvidia/Arm合併後是否造成市場壟斷表達擔憂。英國另外也擔心Arm的技術外流不利國家安全，<a href="https://www.ithome.com.tw/news/143945" target="_blank">於去年4月出手干預</a>。<a href="https://www.hpcwire.com/2021/10/28/nvidia-arm-deal-hits-european-hurdle/" target="_blank">歐盟於10月展開深度調查</a>。<a href="https://www.ithome.com.tw/news/148159" target="_blank">美國聯邦交易委員會（FTC）於12月提出行政訴訟</a>，以妨礙市場競爭及創新為由，要求美國阻止併購案。就連原本可望核准本案的<a href="https://mlexmarketinsight.com/news/insight/nvidia-arm-merger-filing-in-china-still-awaiting-acceptance-from-samr" target="_blank">中國也將決定由年初推遲到年底</a>。</p> <p><a href="https://www.ithome.com.tw/news/149075" target="_blank">一月初彭博報導</a>，在主管機關的阻撓下，讓Nvidia已有心理準備放棄收購。</p> <p>Nvidia、Arm的合併失敗讓或許可望讓競爭者如高通、或晶片授權者如微軟、Google等鬆一口氣，此外蘋果自製Arm架構晶片Apple Silicon的研發計畫也少了變數。外傳蘋果規畫2022年下半推出M2筆電處理器。</p> </div></div></div>
2022/2/9 10:31作者林妍溱https://www.ithome.com.tw/news/149264
瑞典網站控告Google被判違法後持續不公平行為，求償21億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.pricerunner.com/posts/pressreleases/pricerunner-sues-google-for-21-billion-euros" target="_blank">瑞典比價網站PriceRunner本周宣布</a>向瑞典專利與市場法院控告Google濫用搜尋地位、圖利自家比價服務，且自2017年後仍持續違法行為，求償近21億歐元。</p> <p>這家網站表示，<a href="https://www.ithome.com.tw/news/115162" target="_blank">2017年歐盟法院判決</a>Google操弄搜尋結果以圖利自家比價購物服務違法，Google不但因迫使歐盟消費者付較多錢傷害消費者權益長達14年，也傷害PriceRunner等其他比價購物服務業者。然而歐盟判決後Google的違法行為仍然持續至今，為此這家業者求償近21億歐元。</p> <p>2017年歐盟主管機關針對Google搜尋偏袒自家比價購物服務、排擠競爭者的行為，判決違反托拉斯法規定，並重罰24.2億歐元（約臺幣826億）。</p> <p>PriceRunner執行長Mikael Lindahl指出，提出控訴除了是基於公司獲利損失求償，也是為長年受到傷害的消費者討公道。此外，他說這也是歐洲科技業公司的存亡關鍵，如果美國科技巨擘透過幾近壟斷的市場地位任意操控市場，那麼後果絕不只是今天的比價購物市場，而是更多的歐洲科技業者。</p> <p>PriceRunner求償的金額，是計算Google濫用其搜尋優勢致PriceRunner從2008年及2013年，分別在英國及瑞典、丹麥蒙受的利潤損失，總計220億瑞典克朗或21億歐元。</p> <p>該公司還說，由於Google違法及傷害行動自2017年歐盟判決後未曾停止，因此賠償金從2021年後逐日增加，此外若計算每年8%的利息，賠償金可能還會更高。</p> <p><a href="https://ecommercenews.eu/pricerunner-sues-google-for-e2-1-billion/" target="_blank">Google對此回應</a>，2017年該公司針對購物廣告的變更已很成功運作，也為歐洲超過800家網站的數百家比價購物服務創造成長及工作機會。PriceRunner選擇不使用Google廣告因而無法像其他人一樣成長。Google說該公司也準備好在法庭上捍衛自己的立場。</p> </div></div></div>
2022/2/9 10:48作者林妍溱https://www.ithome.com.tw/news/149265
Google推出VM無代理威脅偵測功能，防止挖礦劫持和勒索軟體等攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其雲端安全指揮中心（Security Command Center，SCC）加入<a href="https://cloud.google.com/blog/products/identity-security/virtual-machine-threat-detection-in-security-command-center">虛擬機器威脅偵測（Virtual Machine Threat Detection，VMTD）</a>功能，可以進行無代理記憶體掃描，協助用戶找出Google雲端虛擬機器中的惡意軟體。</p> <p>隨著企業將工作負載搬上雲端，虛擬機器架構成為企業運作工作負載的重要部分，而Google研究發現，有86％的受感染雲端執行個體，被用於執行加密貨幣開採中。而VMTD是Google新推出可保護雲端平臺，免受挖礦、資料洩漏和勒索軟體等攻擊的安全解決方案。</p> <p>VMTD與一般的端點安全解決方案不同之處在於，傳統端點安全解決方案仰賴在訪客虛擬機器中安裝軟體代理，以收集訊號和遙測資料，在執行時偵測威脅。而在Compute Engine中，Google便能不安裝額外的軟體，從底層就可收集威脅偵測的訊號，官方提到，不在執行個體中安裝代理，對效能影響更小，而且部署和管理代理的負擔也會減少，曝露的攻擊面也更少。</p> <p>Google的VMTD是透過偵測虛擬機器管理程式，這個在底層運作協調用戶虛擬機器的軟體，以達到通用且難以竄改的威脅偵測。官方提到，VMTD不只能夠偵測各種安全威脅，連加密貨幣挖礦攻擊都能夠被發現。</p> <p>另外，VMTD與SCC Premium良好整合，SCC Premium用戶也可獲得虛擬機器威脅偵測保護，Google表示，VMTD與SCC Premium既有的事件威脅偵測和容器威脅偵測服務互補，總共提供三層防禦。</p> <p>目前VMTD正處於預覽階段，官方強調，VMTD會以可信的方式偵測威脅，不會處理機密運算節點的記憶體，而且機密運算不只在記憶體加密，甚至連資料從CPU移動至記憶體時也是加密狀態。接下來Google還會繼續發展VMTD推出新的偵測功能，並且與Google雲端其他部分整合。</p> </div></div></div>
2022/2/9 09:36作者李建興https://www.ithome.com.tw/news/149259
Google雲端語音轉文字API加入視覺化介面，降低AI模型使用障礙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在雲端控制臺中，替<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-clouds-new-visual-interface-for-speech-to-text-api">語音轉文字（Speech to Text，STT）API添加直覺地視覺化使用者介面</a>，透過降低使用障礙，要讓開發人員更容易地應用STT API開發功能和服務。</p> <p>STT API供開發人員使用Google的自動語音辨識和轉錄技術，將語音快速地轉為文字，隨著人工智慧的發展，越來越多的應用程式需要加入語音功能，而STT API便能滿足這項需求。STT API涵蓋廣泛的使用案例，包括聽寫、字幕到簡短的語音命令等。</p> <p>雖然呼叫API已經大幅降低使用機器學習技術的難度，但是要使用STT也並非一項簡單的事，特別是要追求人工智慧達到高準確度，需要經過仔細測試和調整。</p> <p>過去開發人員需要手動仔細試驗STT API，剛開始使用Google雲端的開發者，需要熟悉整合概念，並且建構自己的工具和腳本，閱讀文件才能理解API呼叫方法，官方提到，這些過程繁瑣又耗時，使得模型量測、改進和自定義過程困難重重。</p> <p>而新發布的STT API視覺化介面，可以大幅簡化這些過程，該工具讓開發人員更容易在產品和服務整合STT API，而這次的更新，還能夠讓開發人員，使用模型適應（Model Adaptation）功能，管理並快速迭代自定義的STT模型。</p> <p>模型適應允許開發人員，將需要的單詞列表和權重應用在模型上，針對專門領域用例自定義STT。由於模型適應是可重用和可組合的，因此一旦開發人員在STT雲端控制臺中看到良好的結果，就能夠部署到整個解決方案中。</p> <p>目前STT雲端控制臺和模型適應API，已經可以在所有Google雲端地區和語言使用，並且供所有Google雲端用戶存取，不需對底層API使用支付額外的費用。</p> </div></div></div>
2022/2/9 09:39作者李建興https://www.ithome.com.tw/news/149262
Google Cloud SDK將Node.js 10移至維護模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/application-development/google-cloud-sdk-moves-nodejs-10-to-maintenance-mode">Google Cloud Node.js SDK中的Node.js 10，會在2022年3月進入維護模式</a>，屆時函式庫將根據語義版本控制，增加主要版本號。Google解釋，Node.js LTS版本有30個月的生命周期，在這30個月之間，該版本會收到嚴重錯誤和安全更新，而一旦過了生命周期，Google便難以替Node.js SDK的相依項目，提供重要的修復程式，而使用戶暴露在風險之中。</p> <p>Node.js 10生命周期早在2021年4月就已經結束，目前有幾個Cloud SDK核心相依項目需要Node.js 12以及更高的版本，因此Google將Node.js 10移入維護模式，為不得已的措施，否則將會越來越難以提供安全修復程式。</p> <p>目前只要用戶還不明確地更新相依項目，就不需要將Runtime更新到Node.js 12，在新的主要版本中，Google Cloud Node.js SDK更新Engines Field，需使用Node.js 12以上版本，並標記放棄支援Node.js 10的相依項目。Google提到，他們盡可能減少升級帶來的變化，而部分必要功能更新，將會記載在函式庫的GitHub CHANGELOG中。</p> <p>用戶要將環境從Node.js 10升級到Node.js 12或是更高版本，需要安裝最新版本的客戶端函式庫，並將應用程式部署至當前LTS版本Runtime。官方表示，客戶端函式庫將會繼續支援舊版的Node.js Runtime，但是當需要修復的錯誤位在外部相依項目，而該相依項目不再支援舊的Runtime，則Google便無法提供修復程式。有鑑於此，官方建議用戶應該盡快更新，最好在Node.js 14和Node.js 16上部署應用程式。</p> <p>另外，Node.js 12預計會在2022年4月結束生命周期，如同Node.js 8和10版本，Google承諾，將會在Node.js 12生命周期結束後數個月內，繼續提供支援。目前Google的目標是維持支援6個月，之後才會放棄對該Runtime版本支援，這段時間長短會因重要的安全修復程式而定，但是由於Google想減少更新疲勞，因此Node.js 12的支援時間延長至2023年2月。</p> </div></div></div>
2022/2/9 09:43作者李建興https://www.ithome.com.tw/news/149263
【資安日報】2022年2月8日，資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對發生在1月中旬烏克蘭政府遭到攻擊的事故，近期有多家資安業者揭露他們的發現，其共通點是俄羅斯駭客組織Gamaredon近期的確對於烏克蘭的政府與企業，發動網路釣魚攻擊。</p> <p>最近微軟宣布即將採取2項較為嚴格的管制措施，原因是相關的機制已被攻擊者大肆濫用，散布Emotet、Trickbot、Dridex等惡意軟體。其一是Windows 10、11市集App透過網頁直接安裝的機制被停用，使用者將必須把完整的MSIX安裝檔案下載到電腦，才能執行安裝作業；另一項則是與從網路上下載的Office文件有關，微軟將於4月直接封鎖這類文件的巨集。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-russian-fsb-hackers-hitting-ukraine-since-october/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Gamaredon鎖定烏克蘭下手，資安業者提出更多發現</span></a></strong></span></p> <p>烏克蘭政府於1月中旬遭到大規模的網路攻擊，該國指控下手的駭客組織是Gamaredon（亦稱Armageddon、Shuckworm、Actinium），且與俄羅斯軍情機構聯邦安全局（FSB）有關。如今有多家資安業者揭露相關調查，例如，微軟表示，該組織早於2021年10月開始，就針對烏克蘭組織發動網路釣魚郵件攻擊，包括政府、軍隊、非營利組織（NGO）等；Palo Alto Networks指出，他們看到駭客企圖於1月19日發動網釣攻擊，但是管道是透過烏克蘭政府提供的就業服務系統進行；賽門鐵克則是在2021年7月，就看到該組織使用網釣攻擊散布含有惡意巨集的Word檔案。</p> <p><span style="font-size:22px;"><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/disabling-the-msix-ms-appinstaller-protocol-handler/ba-p/3119479"><span style="color:#000000;"><strong>要求受害者安裝Windows 10市集App來散布惡意程式的情況時有所聞，</strong>線上<strong>安裝市集App的通訊協定遭禁用</strong></span></a></span></p> <p>從網站上安裝Windows 10、11市集App（MSIX安裝檔案）的機制，遭到攻擊者濫用的情況，2021年已有數起攻擊事故發生，例如，於11月復活的Emotet，<a href="https://www.bleepingcomputer.com/news/security/emotet-now-spreads-via-fake-adobe-windows-app-installer-packages/">就曾以要求受害者安裝Adobe PDF瀏覽器元件的名義</a>，來散布惡意軟體。微軟曾於12月發布修補程式並提出緩解措施，並將其登錄為CVE-2021-43890列管，但現在該公司打算更進一步封鎖這種安裝市集App的管道──他們宣布在Windows電腦上停用ms-appinstaller通訊協定，以防堵相關攻擊行動，並預計導入新的群組政策，讓IT人員能限縮在內部網路環境啟用這種通訊協定。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-plans-to-kill-malware-delivery-via-office-macros/"><span style="color: rgb(0, 0, 0);"><strong>微軟打算針對5款Office應用程式加強巨集的管控，計畫對於自網路下載的文件全面封鎖巨集功能</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Office_macros_security_alert.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Office_macros_security_alert.png" style="width: 301px; float: right;" /></a>攻擊者透過Office文件VBA巨集傳送惡意程式的情況，不時有事故發生，即使預設停用，駭客仍千方百計誘使受害者按下啟用的按鈕。針對這樣的情況，微軟在2月7日宣布，他們將於4月開始，針對Windows版的5款Office軟體，包括Access、Excel、PowerPoint、Visio、Word，會對於從網路下載的文件檔案，直接停用巨集的功能。這樣的配置調整微軟將從Office 365預覽版本開始推送，並擴及到Office 2013至2021，以及Office LTSC。</p> <p><span style="font-size: 22px;"><a href="https://www.zdnet.com/article/blackcat-ransomware-implicated-in-attack-on-german-oil-companies/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Black Cat對德國大型石油運輸業者下手</strong></span></a></span></p> <p>德國大型石油運輸業者Oiltanking、Mabanaft相繼於1月底傳出遭到網路攻擊，導致其裝卸油品的系統癱瘓，石油供應商殼牌（Shell）於2月1日表示，他們因此被迫變更輸送石油的路線。而這起攻擊事故如今有了進一步的揭露──根據德國商報（Handelsblatt）取得聯邦資訊安全辦公室（BSI）的內部報告指出，勒索軟體Black Cat（亦稱Alphv）是本次攻擊事故的幕後黑手，當地至少有233個加油站受到波及。</p> <p>這起攻擊事故的行徑，也讓不少人想起美國大型燃油管道業者Colonial Pipeline於2021年5月，遭到DarkSide攻擊的事故，進而追查Black Cat背後的駭客組織身分。<a href="https://www.bleepingcomputer.com/news/security/blackcat-alphv-ransomware-linked-to-blackmatter-darkside-gangs/">根據資安新聞網站Bleeping Computer的報導指出</a>，駭客組織Black Cat應該是DarkSide、BlackMatter改名繼續運作，原因是原本的組織名稱已被執法單位盯上，對於用戶而言也信譽掃地。資安業者Emsisoft表示，根據勒索軟體的功能和相關組態檔案，使用Black Cat、DarkSide、BlackMatter的駭客組織相同。而該新聞網站也取得經營勒索軟體LockBit的駭客說法，認定Black Cat的前身就是DarkSide、BlackMatter。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-csv-text-files-used-to-install-bazarbackdoor-malware/"><span style="color: rgb(0, 0, 0);"><strong>CSV檔案也遭到濫用！駭客搭配Excel來散布BazarBackdoor惡意軟體</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/malicious-csv-file.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/malicious-csv-file.jpg" style="width: 300px; float: right;" /></a>駭客利用經常透過Office文件、PDF檔案對目標下手，進行網釣攻擊，不過，最近出現一種較為少見的手法。根據資安新聞網站Bleeping Computer的報導，近期研究人員Chris Campbell發現一起網路釣魚攻擊，駭客利用有問題的CSV檔案，搭配Excel的動態資料交換（DDE）功能，來觸發CSV檔案挾帶的指令，於受害電腦植入惡意程式下載器BazarLoader、木馬程式BazarBackdoor。威脅情報業者Advanced Intelligence指出，他們在2天內觀察到有102個企業或政府機關受害。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://openssf.org/press-release/2022/02/01/openssf-announces-the-alpha-omega-project-to-improve-software-supply-chain-security-for-10000-oss-projects/"><span style="color: rgb(0, 0, 0);">Log4Shell漏洞引爆開源軟體安全議題，OpenSSF基金會推動積極修補漏洞的計畫</span></a></strong></span></p> <p>日前美國政府召集大型IT業者商討開源軟體安全議題，但具體而言要如何強化這類軟體的安全？開源軟體安全基金會（OpenSSF）於2月1日宣布成立Alpha-Omega專案，將協助尋找並修補1萬項開源軟體的漏洞。而這項專案，就是上述會議討論的結果，OpenSSF將與軟體專案負責單位合作，運用自動檢測工具來促進開源軟體供應鏈的安全。其中，在專案的第一階段，微軟和Google會投入500萬美元。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/8 16:21作者周峻佑https://www.ithome.com.tw/news/149253
Amazon把企業與科技員工基本年薪上限，從16萬提高到35萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周一（2/7）於內部的企業網站上宣布，將把企業及科技員工的基本年薪上限從原本的16萬美元（約450萬元新臺幣），提高到35萬美元（約980萬元新臺幣），以留住企業內部的人才並向頂級人才招手。</p> <p>Amazon向員工表示，過去一年勞動市場的競爭特別激烈，該公司在針對各種選擇進行全面分析時，權衡了業務的經濟及吸引頂尖人才的競爭力，決定大幅提升員工的薪資水平。有鑑於每名員工的績效、團隊與市場狀況的不同，員工的待遇也會因此而不同。</p> <p>基本年薪只是Amazon員工報酬的一部分，該公司的白領員工還可領取限制性股票與簽約獎金。</p> <p>外界認為這與Amazon員工流動率太高有關。<a href="https://www.businessinsider.com/amazon-executive-exodus-vps-other-senior-people-leaving-2021-4" target="_blank">《Insider》去年曾報導</a>，約莫在15個月的時間內，Amazon就有至少45位副總裁或資深主管離職，約占該公司350名副總裁的10%，對於副總裁或以上高階主管的離職率而言相對罕見。當時《Insider》訪問部分副總裁的離職原因，大抵是想尋求更高的薪水、想要更高的職位，以及Amazon成長已放緩等。</p> <p>在美國的高科技業者中，Amazon高階主管的薪資並不算太高，但可藉由股票拉高報酬，只是這兩年Amazon的股價漲幅已不如以往。<a href="https://www.geekwire.com/2022/amazon-more-than-doubles-max-base-pay-to-350k-for-corporate-and-tech-workers-citing-labor-market/" target="_blank">而《GeekWire》則分析</a>，Amazon大幅調漲基本年薪上限，將讓Amazon的薪資水平可與Google、Meta、蘋果及微軟等業者一較高下。</p> <p><a href="https://s2.q4cdn.com/299287126/files/doc_financials/2021/q4/business_and_financial_update.pdf" target="_blank">Amazon去年第四季的財報顯示</a>，該公司全球員工數為160.8萬人。</p> </div></div></div>
2022/2/8 16:32作者陳曉莉https://www.ithome.com.tw/news/149254
外傳蘋果已買下可根據需求編曲的AI Music
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-02-07/apple-buys-startup-that-makes-music-with-artificial-intelligence" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，蘋果已經買下了2016年於英國創立的AI Music，此一新創業者利用AI技術將無版權的音樂重新編曲或客製化。</p> <p>目前AI Music的官網已經下架，但<a href="https://web.archive.org/web/20220124094812/https://www.aimusic.co.uk/" target="_blank">網際網路檔案館（Internet Archive）所保存的頁面</a>則顯示，該公司的技術可用來協助創作廣告歌曲、背景音樂、遊戲音樂或是健身音樂等。</p> <p>蘋果幾乎不對外公開或說明收購案，但外界揣測蘋果可能會將AI Music技術應用在Apple Music或Apple Fitness+等服務上。</p> </div></div></div>
2022/2/8 16:45作者陳曉莉https://www.ithome.com.tw/news/149255
Deepmind以紅隊模型自動化探索語言模型的有害行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提高語言模型的實際可用性，降低可能產生有害結果的機率，Google旗下人工智慧研究組織Deepmind，發明了以<a href="https://deepmind.com/research/publications/2022/Red-Teaming-Language-Models-with-Language-Models">紅隊（Red Team）語言模型</a>來產生測試使用案例，自動化發現目標語言模型可能出現有害結果，提高模型測試的效率與覆蓋範圍。</p> <p>GPT-3和Gopher等大型語言模型，都具有生成高品質文字的能力，但事實上，這些模型都很難在實際使用案例中部署，研究人員解釋，語言模型具有生成有害文字的可能性，即使是很小的危害風險，在實際應用中都難以被接受。Deepmind利用經過訓練的分類器，來評估語言模型所產生的內容，並從2,800億參數的聊天機器人，發現數以萬計具有攻擊性的回覆。</p> <p>由於有太多的輸入，可能使模型產生有害的文字輸出，因此很難在模型實際部署前，找出所有有害行為的可能性，過去有研究使用人工來手動探索模型失敗案例，Deepmind研究人員提到，這種方法雖然有效果，但成本很高，而且也難以發現所有有害的案例。</p> <p>因此Deepmind想要以自動化方法，來快速探索模型失敗案例，補充手動測試所忽略的部分。研究人員使用語言模型來生成測試使用案例，並使用分類器測試使用案例中的各種有害行為，該方法找出的有害模型行為有4大類，分別是攻擊性語言、資料洩漏、聯絡資訊生成、分配偏誤（Distributional Bias）以及對話危害。</p> <p>攻擊性語言指的是仇恨言論、褻瀆、色情內容以及帶有歧視的回應等，而資料洩漏則是模型可能從訓練資料集中，生成受版權保護或個人隱私資訊，語言模型甚至有時候會生成聯絡資訊，引導用戶不必要地發送電子郵件和打電話給真實存在的人。而且模型也可能存在分配偏誤，以不公平的方式評論特定群體，或是可能在長對話中，出現冒犯性語言。</p> <p>研究人員探索了許多方法來生成多樣化的測試使用案例，部分方法可以產生多樣化的測試使用案例，有一些則可以生成困難的測試使用案例，而Deepmind綜合這些方法，建立高測試覆蓋率的紅隊語言模型，自動發現語言模型的有害行為。</p> <p>Deepmind將發現的有害輸出中，常出現的詞語建立成黑名單，避免模型生成包含高風險詞語的輸出，並且找出攻擊性語言所引用的訓練資料，在之後迭代模型訓練時移除該資料，研究人員也會輸入一些範例，來強化模型的特定行為。</p> <p>研究人員提到，整體而言，以語言模型為基礎的紅隊，可在用戶之前發現和修復各種不良的語言模型行為。而Deepmind將紅隊視為負責任語言模型開發的一部分，加上其他工具共同發現和減輕語言模型存在的危害，未來Deepmind也會將這個方法，用於探索各種機器學習系統更廣泛的有害行為。</p> </div></div></div>
2022/2/8 16:50作者李建興https://www.ithome.com.tw/news/149256
Meta警告可能關閉歐洲的臉書與Instagram服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在上周提交給美國證券交易委員會（SEC）的<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001326801/14039b47-2e2f-4054-9dc5-71bcc7cf01ce.pdf" target="_blank">10-K年度報告中</a>揭露，倘若歐盟不採用新的跨大西洋資料傳輸框架，該公司可能無法在歐洲提供重要的產品及服務，包括Facebook與Instagram。</p> <p>Meta的這項警告源自於歐盟法院在2020年7月，<a href="https://www.ithome.com.tw/news/138915" target="_blank">廢除了與美國之間的《隱私盾》（Privacy Shield）資料傳輸保護協</a>議。這是歐盟與美國在2016年所建立的資料傳輸框架，雙方同意將基於歐盟的隱私法令，簡化美國企業將歐洲民眾資料傳送到美國的流程，推動跨大西洋的貿易。</p> <p>然而，2018年時有一名奧地利的隱私捍衛人士Max Schrems控告臉書侵犯他的隱私，指稱《隱私盾》無法完全保障歐洲民眾的隱私權，促使歐盟法院廢除《隱私盾》。</p> <p>Meta於10-K報告中指出，繼該公司賴以將資料從歐盟傳送到美國的《隱私盾》遭到廢除之後，另一個歐盟與他國之間的資料傳輸框架《標準合約條款》（Standard Contractual Clauses，SCCs）也受到司法審查，2020年8月時，愛爾蘭資料保護委員會初步認為Meta平臺所仰賴的SCCs並不符合《歐盟通用資料保護規則》（GDPR），應暫停將資料從歐盟傳輸到美國。</p> <p>Meta認為，愛爾蘭資料保護委員會的最終決定可能會在今年的上半年發布，倘若沒有新的跨大西洋資料傳輸框架，未來Meta將不能繼續藉由SCCs或其它替代傳輸方式將資料從歐洲傳遞至美國，以致於無法再於歐洲提供重要的產品及服務，包括Facebook與Instagram，而這同時也將對Meta的業務、財務狀況與經營產生重大的不利影響。</p> </div></div></div>
2022/2/8 15:27作者陳曉莉https://www.ithome.com.tw/news/149251
人臉辨識惹議，美國國稅局不玩了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149003" target="_blank">美國國稅局（Internal Revenue Service，IRS）甫於上個月宣布</a>，將在今年夏天與ID.me合作，透過人臉辨識進行身分認證以存取特定的IRS服務，然而，在經歷多名議員的反對之後，<a href="https://www.irs.gov/newsroom/irs-announces-transition-away-from-use-of-third-party-verification-involving-facial-recognition" target="_blank">IRS本周一（2/7）即表示將終止此一計畫</a>。</p> <p><a href="https://www.finance.senate.gov/chairmans-news/wyden-calls-on-irs-to-end-use-of-facial-recognition-for-online-accounts" target="_blank">美國參議院財政委員會主席Ron Wyden指出</a>，IRS並非是使用人臉辨識來報稅或退稅，也不應在納稅人存取其它服務時要求進行人臉辨識。</p> <p>根據IRS原本的規畫，透過ID.me人臉辨識來認證身分的納稅人將可查詢個人帳號資訊、透過網路取得各種申請表格、網路支付協議、兒童稅收減免，以及獲得身分保護PIN碼等。Wyden的言下之意似乎是：連報稅及退稅這麼重要的功能都不必以人臉辨識來認證身分了，更遑論其它服務。</p> <p>Wyden指出，他不認為美國人應該犧牲自己的隱私來換取安全，亦鼓勵IRS應該多加利用美國政府既有的Login.gov身分認證服務，該服務目前已支援28個聯邦機構的200個網站。</p> <p>此外，<a href="https://eshoo.house.gov/sites/eshoo.house.gov/files/LettertotheIRSonFacialRecognition2.4.22.pdf" target="_blank">還有4名美國國會議員連署向美國國稅局局長Charles Rettig表達反對之意</a>。他們首先擔心的是IRS允許私人企業掃描數百萬的美國臉孔，存在潛藏的隱私風險，也可能因為遭受網路攻擊而讓美國民眾的人臉辨識資料庫外洩，再加上人臉辨識系統的準確度有待商榷，以及ID.me本身及與IRS的合約缺乏透明度，批評IRS強迫美國人使用此一人臉辨識身分認證服務是個完全錯誤的決策，並要求IRS提供更多的資訊以供國會審查。</p> <p>這使得國稅局決定終止該計畫，並打算尋求不涉及人臉辨識的其它認證機制。Rettig則在本周的聲明中表示，國稅局非常注重納稅人的隱私與安全，也理解外界的疑慮，每個人都應該對如何保護他們的個人資訊感到滿意。</p> </div></div></div>
2022/2/8 13:45作者陳曉莉https://www.ithome.com.tw/news/149246
Google Stadia傳將改成後臺服務，更名Google Stream
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/google-stadia-stream-plan-partnerships-peloton-bungie-gaming-service-2022-2?r=US&IR=T" target="_blank">Business Insiders報導</a>Google將不再營運遊戲串流平臺Stadia，而改成銷售遊戲串流後臺工具，也將更名為Google Stream。但消息遭Google否認。</p> <p>Business Insiders報導，Google希望把Stadia的後臺重新包裝成遊戲串流工具套件，以賣給遊戲業者。此外，消息人士指出，由於推出後表現不佳，Stadia總經理Phil Harrison原本向Google服務及裝置事業群最高主管Rick Osterloh報告，但後來已改向較低階的訂閱服務副總裁Jason Rosenthal報告，顯示整個部門層級降調。</p> <p> 這是Google Stadia推出後再一次縮減其營運規模。<a href="https://www.ithome.com.tw/news/134288" target="_blank">2019年11月問世</a>的Stadia，一開始就因綁遊戲控制器以及過高定價策略而不受好評。此後該平臺逐漸修改原本路線，<a href="https://www.ithome.com.tw/news/142576" target="_blank">一年後改成</a>串流平臺，不再自製遊戲，同時解散遊戲製作團隊。去年10月AT&T使用Google Stadia後臺提供電玩服務《蝙蝠俠：阿卡漢騎士Batman: Arkham Knight》給用戶，但是已不再掛Stadia的品牌名。</p> <p><a href="https://twitter.com/GoogleStadia/status/1489758125192216579" target="_blank">該報導遭Google Stadia團隊駁斥</a>。Stadia指其團隊仍致力推動Stadia及雲端遊戲的未來，目前平臺上已有50款遊戲提供給Pro付費服務會員，今年預定將新增100多款遊戲，此外還將以免費日活動提供眾多免費遊戲。Stadia也強調平臺本身也規劃了新功能，只是目前不方便透露。</p> <p>Business Insider報導指出，Google Stream將優先支援合作夥伴，如運動健身器材商派樂騰（Peloton），因為Google曾經協助Peloton遞送健身遊戲到其健身器材上，其他還包括日本遊戲製作公司卡普空（Capcom），以及製作《天命Destiny》及《最後一戰Halo》的Bungie。果真如此未來可不太樂觀，因為上周<a href="https://www.wsj.com/articles/peloton-draws-interest-from-potential-suitors-including-amazon-11644012693" target="_blank">華爾街日報</a>報導Amazon、NIKE等巨擘計畫收購派樂騰，而<a href="https://blog.playstation.com/2022/01/31/bungie-is-joining-playstation/" target="_blank">Sony則是於上星期宣布</a>以36億美元買下Bungie，以對抗買下暴雪（Blizzard）的微軟。</p> </div></div></div>
2022/2/8 14:08作者林妍溱https://www.ithome.com.tw/news/149248
5款Office程式預設將封鎖網路巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了保障Office用戶的安全，微軟繼於今年1月<a href="https://www.ithome.com.tw/news/149028" target="_blank">關閉Excel 4.0 XLM巨集</a>之後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805" target="_blank">本周一（2/7）再度宣布</a>，準備於Access、Excel、PowerPoint、Visio及Word等5款Office程式的預設值中，封鎖網路巨集，此一改變將部署於Microsoft 365 Version 2203，會率先出現在於今年4月初釋出的目前通道（Current Channel）預覽版中。</p> <p>微軟在Office程式一向藉由主動式內容（Active Content）來提供強大的自動化能力，所謂的主動式內容包括巨集、增益集或是資料連線等，使用者亦可透過信任中心（Trust Center）來封鎖不同類型的主動式內容，一旦文件中含有被封鎖的內容，就會跳出訊息欄，告知相關內容已被封鎖。</p> <p>在這些主動式內容中，最常見的型態就是巨集，除了Excel 5.0以前採用XLM巨集語言之外，之後的Excel與其它的Office程式都是採用VBA巨集。</p> <p>微軟首席專案經理Kellie Eickmeyer表示，儘管微軟提供了通知欄來提醒使用者文件中含有巨集，但使用者只要點擊一個按鍵就能執行巨集，駭客則經常會傳送內含巨集的Office文件予使用者，在不經意啟用巨集之後，系統就會被載入各種惡意酬載，有些是惡意程式、或危害用戶身分、造成資料遺失或允許駭客自遠端存取等。</p> <p>因此，微軟決定變更上述5款Office程式的預設值，直接封鎖來自網路的VBA巨集。未來這些含有網路巨集的文件無法再以一個按鍵就能執行，它會跳出一個訊息欄，並提供一個連結按鍵，以讓使用者得知它的危險性。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0208-VBAMacrosTrustWorkflow-GreyContainer%20(1).png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-VBAMacrosTrustWorkflow-GreyContainer%20(1).png" style="width: 600px;" /></a></p> <p>此一變更只會影響Windows裝置上的5款Office程式，會先於今年4月釋出的目前通道（Current Channel）預覽版中試行，預計部署於Microsoft 365 Version 2203，之後也會支援每月企業通道（Monthly Enterprise Channel）與半年企業通道（Semi-Annual Enterprise Channel），也計畫部署在Office LTSC、Office 2021、Office 2019、Office 2016及Office 2013中。</p> <p>過去當使用者要開啟一個含有VBA巨集的文件時，若是該文件來自非可靠區域、也未取得可靠出版商的數位簽章、未被雲端政策封鎖、未被群組政策封鎖、亦未屬於先前的可靠文件，那麼它就會被送到使用者手上，使用者只要按下一個鍵就能啟用巨集，但未來Access、Excel、PowerPoint、Visio及Word的預設值將會封鎖含巨集的文件，並跳出訊息欄來向使用者說明相關文件的風險，提高安全門檻。</p> <p>若是各大組織原本就啟用了封鎖網路巨集的政策，則不會受到此一變更的影響。</p> </div></div></div>
2022/2/8 11:39作者陳曉莉https://www.ithome.com.tw/news/149245
被批隱匿事實影響Giphy收購調查，Meta被英國罰150萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企圖阻止Meta收購Giphy的英國競爭主管機關，本月初再以Meta隱匿事實為由，<a href="https://www.gov.uk/government/news/cma-fines-meta-a-second-time-for-breaching-enforcement-order" target="_blank">處罰這家社群平臺龍頭150萬英鎊</a>（約5,700萬臺幣）。</p> <p><a href="https://www.ithome.com.tw/news/137664" target="_blank">2020年中當時還叫臉書的Meta宣布欲收購GIF圖庫平臺Giphy</a>，外傳出價4億美元。<a href="https://www.ithome.com.tw/news/146188" target="_blank">英國競爭與市場管理署（Competition and Markets Authority，CMA）於去年啟動調查這樁收購案是否有危害市場競爭之嫌</a>，在去年底做出結論，<a href="https://www.ithome.com.tw/news/148108" target="_blank">並要求Meta出售Giphy</a>。Meta已經展開上訴。</p> <p>CMA指出，在去年啟動調查時即已發布初步強制命令（initial enforcement order，IEO）以確保兩公司不會提早整合。這項命令也要求Meta其業務的重大變更，包括核心員工離職等都必須通知CMA，並取得重新招聘及發派責任的許可。但是CMA發現Meta之前呈報的核心員工有3人離職，卻未獲得Meta通報，而且這也不是頭一遭，2021年就已經發生多次。</p> <p>CMA官員指出，IEO是英國對有疑慮的收購案採取的因應措施，違反IEO將危及英國政府確保用戶權益的能力。</p> <p>英國政府也不是第一次因Giphy對Meta開罰。去年10月CMA就曾因為Meta的法遵報告隱匿資訊，而開出5,050萬英鎊的罰單。</p> <p>對<a href="https://www.ithome.com.tw/news/149180" target="_blank">一季就賺進340億美元的Meta</a>來說，150萬英鎊根本是九牛一毛。<a href="https://www.reuters.com/technology/facebook-owner-meta-says-it-will-pay-new-2-million-uk-fine-2022-02-04/" target="_blank">路透社</a>引述Meta公司發言人指出，願意繳交罰金。但Meta表示，員工離職是其自由，Meta無權阻止。Meta認為CMA此舉直接影響了美國法律保障的美國員工自由。</p> </div></div></div>
2022/2/8 10:38作者林妍溱https://www.ithome.com.tw/news/149242
微軟SIEM平臺Sentinel整合GitHub，可持續監控企業儲存庫安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-sentinel-blog/microsoft-sentinel-continuous-threat-monitoring-for-github/ba-p/3037154">微軟</a>現在讓GitHub企業用戶，可以將儲存庫連接到雲端安全性資訊與事件管理員（SIEM）平臺Microsoft Sentinel工作區，以獲得GitHub稽核日誌，紀錄像是儲存庫創建和刪除、儲存庫複製次數等資訊。</p> <p>Microsoft Sentinel過去稱為Azure Sentinel，利用人工智慧分析大量資料，發現企業網路環境中潛在的威脅者。微軟提到，追蹤企業GitHub儲存庫的各種活動非常重要，因為能夠發現可疑事件，並且使管理者有能力調查環境中的異常。</p> <p>Microsoft Sentinel透過與GitHub整合，接收企業儲存庫日誌，目前該監控解決方案，僅適用於使用GitHub Enterprise授權的用戶，其內建分析規則，可以在特定事件發生時觸發警示，並且在工作簿中視覺化資料。Microsoft Sentinel所提供的開箱即用分析規則，包括儲存庫創建、刪除、支付方法移除，以及OAuth應用程式等。</p> <p>當連接到Microsoft Sentinel的企業GitHub環境中，有新的儲存庫被創建時，警示便會被啟動，並且提供管理者儲存庫名稱和使用者身份，相同的，儲存庫移除時也會觸發警示，供管理員確定移除儲存庫的使用者，擁有適當的權限，而且非惡意攻擊者所為。</p> <p>每次GitHub儲存庫中的支付方法被更動時，Microsoft Sentinel也能即時發出警示，供管理員知道何時付款方式被移除，並驗證執行該動作的使用者身份。另外，當使用者刪除客戶端密碼時，會觸發Microsoft Sentinel中的OAuth應用程式警示，官方提到，這也是屬於值得管理員注意的高優先度警示。</p> <p>工作簿所提供的視覺化資訊，包含GitHub儲存庫新增和刪除的成員，還有創建的儲存庫，以及所有儲存庫被分叉和複製的次數。管理員可以查詢的時窗，最長90天短至24小時，甚至是更小的時窗。</p> </div></div></div>
2022/2/8 09:50作者李建興https://www.ithome.com.tw/news/149233
Google低成本託管訊息服務Pub/Sub Lite加入高可用性地區主題選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其原本的低價託管訊息服務Pub/Sub Lite，提供新的低成本層級<a href="https://cloud.google.com/blog/products/data-analytics/pub-sub-lite-offers-higher-availability-with-regional-topics">地區主題（Regional Topics）</a>，使得用戶在低成本的訊息服務中，也能選擇高可用性選項，價格會在Pub/Sub Lite區域主題（Zonal Topics）和Pub/Sub之間。</p> <p>Pub/Sub Lite是一種便宜的大規模訊息傳遞服務，過去由於要實現超低成本，所有Lite主題都是區域性的，也就是說訊息僅會儲存在單一區域中，但在這個新的Pub/Sub Lite地區主題中，Google提供兩個區域間的非同步備份。</p> <p>而兩個區域的備份，則使得地區主題每月正常執行時間百分比SLO（Service Level Objective）大於等於99.95％，高於區域主題的99.5％。Google提到，Pub/Sub Lite的地區主題，適用於必須要以非常低的成本取得訊息傳遞服務，但是又需要避免區域性故障影響的組織。</p> <p>跨三個區域進行備份的Pub/Sub配置最為強健，而區域主題最便宜，訊息僅儲存在單一區域，而Pub/Sub Lite地區主題則是跨兩個區域備份。地區主題目標是要保護用戶的資料，免受到伺服器和磁碟故障的影響，當用戶的訊息發布至地區主題時，服務會將訊息寫入到主要區域中的磁碟，用戶會在完成之後收到確認訊息，而同時，相同的訊息會被複製到次要區域中。</p> <p>Pub/Sub Lite地區主題的訊息，在主要區域和非主要區域間採取非同步備份，Google解釋，這是因為系統在回應客戶端之前，不會等待次要區域副本驗證結果。而為了避免個別副本故障，磁碟上的資料定期會在主要區域和次要區域間進行協調。</p> <p>額外的資料耐用性並非地區主題的唯一優點，由機器、程式、人為、軟體升級和自然災害引起的部分和全部區域故障，在極少數單一區域不可用的情況下，地區主題便能夠無縫地轉移到次要區域中。</p> <p>Pub/Sub Lite地區主題的價格，介於Pub/Sub和Pub/Sub Lite區域主題價格之間，Pub/Sub Lite地區主題的價格是區域主題的3到4倍，不過仍僅為Pub/Sub的三分之一。</p> </div></div></div>
2022/2/8 09:54作者李建興https://www.ithome.com.tw/news/149237
網頁版VS Code 1.64開始支援簽署GitHub提交
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://code.visualstudio.com/updates/v1_64#_automatic-replies">VS Code 1.64</a>，無論是原生版本還是網頁版本，都有不少更新。這個版本帶來新的側邊面板，能夠同時展示更多的資訊，並且讓開發者針對常見的終端機提示創建自動回應，另外，VS Code 1.64也改進了網頁版本的功能，開始支援GitHub提交簽署。</p> <p>微軟調整VS Code 1.64軟體介面加入了右側面版，因此現在除了左側邊欄和底部面板，又多了一個區域可容納更多檢視資訊。使用右側面版的方法，就跟其他位置的面板一樣，透過拖曳其他面板的檢視列表窗格，就能在右側面板安排要呈現的資訊。</p> <p>微軟提到，他們收到開發者大量的功能要求之一，就是要將Outline檢視窗格從左側邊欄，移動到右側面板上。而VS Code 1.64加入右側面板，便可以滿足這樣的需求，當右側面板沒有自動出現，用戶可以利用像是底部面板一樣，將窗格移動編輯器的邊緣，右側面板便會自動彈開。</p> <p>開發者現在還可以用更快速的方式操作終端機，透過設定在終端機收到特定字元序列時，進行自動化回覆，來加速特定情境下的操作。像是在執行批次腳本時按下Ctrl+C，所顯示的Terminate batch job (Y/N)？訊息，用戶只要在終端機加入自動回覆Y和Enter，便可以在每次開發者按下Ctrl+C自動結束。開發者可以根據需要，在terminal.integrated.autoReplies項目配置自定義回覆。</p> <p>隨著VS Code版本更新，網頁版的功能也越來越完整，從1.64版本開始，在VS Code for Web中創建的提交會經過簽署，並在GitHub UI中顯示為已驗證。此外，維護者現在可以使用VS Code for Web，從分叉提交已經交付的拉取請求，而這個新功能是VS Code 團隊，使用新的GitHub GraphQL createCommitOnBranch API完成。</p> <p>用戶過去需要將GitHub儲存庫複製到本地端或是遠端電腦後，才能創建空的提交，而現在開發者可以使用Repositories:Commit Empty指令，在VS Code for Web直接創建空的提交。VS Code for Web還有另一個新設定，便是能夠自動下載特定大小的儲存庫全部內容，以便進行儲存庫全文檢索和跳轉到參照。</p> <p>在Jupyter擴充套件上，有一個方便的小更新，便是開發者現在使用Jupyter擴充套件，在本地端和遠端Jupyter伺服器間切換時，現在不再需要重新載入VS Code，此外，該擴充套件現在會在核心選擇器中，同時顯示本地端和遠端核心。</p> </div></div></div>
2022/2/8 09:56作者李建興https://www.ithome.com.tw/news/149238
VS Code Python擴充套件添加智慧選取與程式碼折疊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布VS Code上的<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-february-2022-release/">Python擴充套件二月更新</a>，由於Python擴充套件在前些時候，更換語言伺服器為Pylance，而微軟以Pylance為基礎，在新Python擴充套件版本中，提供智慧程式碼選擇功能，用戶只要使用鍵盤，就能以簡單的操作選取想要的Python程式碼。</p> <p>除了智慧選取之外，這個Python擴充套件版本，還利用Pylance提供摺疊功能。過去VS Code程式碼折疊區域僅由縮排定義，但微軟提到，以縮排作為折疊規則，在部分情況並不理想，而新的程式碼摺疊功能，還會適當考慮語義資訊。</p> <p>另外，這個版本在使用Anaconda環境的體驗也有多項改進，像是過去除非在啟動狀態的conda環境中啟用VS Code，否則在使用conda環境除錯檔案和執行工具時，便會出現問題，而現在這些問題獲得解決，因為Python擴充套件會使用conda run指令來執行檔案和工具。</p> <p>開發團隊也提醒，當檔案路徑中有特殊字元的時候，或是在VS Code中使用自定義命令列參數時，會出現一些已知的問題。目前Anaconda開發團隊正在積極地修復這個臭蟲，當開發者遭遇到該問題時，可以檢查是否已經有conda更新釋出，或是可以從外部終端機先啟動conda環境來開啟VS Code。</p> </div></div></div>
2022/2/8 09:58作者李建興https://www.ithome.com.tw/news/149239
遭濫用植入惡意程式，微軟暫時關閉MSIX協定處理元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應Windows AppX安裝程式被用以植入惡意程式，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/disabling-the-msix-ms-appinstaller-protocol-handler/ba-p/3119479" target="_blank">微軟本周表示</a>將暫時關閉MSIX協定處理器（protocol handler）緩解風險，等解決後再開啟。</p> <p>這項行動和<a href="https://www.ithome.com.tw/news/148394" target="_blank">微軟於去年12月的Patch Tuesday修補的一批漏洞</a>中，包含遭到公開開採的漏洞編號 CVE-2021-43890有關。微軟指出，受這個漏洞影響，MSIX ms-appinstaller協定可被攻擊者用來欺騙Windows電腦的App Installer安裝惡意套件。MSIX涵括（Windows預設）的MSI及（Windows 10新增的）APPX的新封裝格式，可用以散布Win32、WPF及Windows Forms App。</p> <p>在去年12月的安全公告中，微軟指出，本漏洞被用來散布Emotet、Trickbot及Bazaloader等惡意程式。攻擊者可利用釣魚信件散布惡意附件、誘使用戶開啟文件以植入惡意程式。雖然本漏洞需要用戶權限來執行程式，但如果用戶帳號具備管理員權限，後果更為嚴重。安全廠商ZDI指出，若結合權限擴張漏洞，則可能導致系統被接管。</p> <p>微軟表示，在解決這項漏洞之前，已暫時關閉ms-appinstaller 協定處理元件。這個元件是讓用戶只要點擊連結就能從網站下載安裝App，無需下載整個MSIX套件，有許多網站管理員愛用。</p> <p>關閉ms-appinstaller協定處理元件意謂著，App Installer無法直接從網頁伺服器安裝App，用戶必須先下載App到裝置上再安裝具有App Installer的套件。這樣會使部份套件下載體積變得很大。</p> <p>微軟建議網站管理員，如果網站用了ms-appinstaller協定，可將App下載連結中的「ms-appinstaller:?source=」移除，方便MSIX套件或App Installer檔可下載到用戶裝置上。</p> <p>至於何時可重新啟動，微軟表示目前正在研究以群組規則，讓IT管理員可以安全重啟這項協定，不過現在還在測試當中。微軟並未說明明確時程。</p> </div></div></div>
2022/2/8 10:11作者林妍溱https://www.ithome.com.tw/news/149240
【資安日報】2022年2月7日，中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣的農曆新年期間，國際情勢持續升溫，各國之間透過網路攻擊的角力不斷。其中，中國駭客鎖定歐美新聞產業發動攻擊，企圖藉此收集敵國情報的情況再度發生。例如，美國大型新聞媒體集團News Corporation近日疑似遭到中國駭客攻擊，有數量不明的記者電子郵件帳號遭駭，但該公司沒有進一步透露受害的情形。</p> <p>近期北韓網路遭到DDoS攻擊的情況也引起關注。但極具爭議的是，這起行動是去年遭到北韓APT駭客網釣攻擊的資安人員所為，疑似是不滿美國政府沒有保護資安人員，而自行採取報復行動。</p> <p>而中國駭客組織鎖定臺灣企業下手的現象，可說是不時傳出事故，且很有可能長期埋伏，甚至是目的達成後仍未被察覺。研究人員揭露一起自1年半前發起的攻擊行動，其中一家受害組織被監控超過8個月。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.reuters.com/business/media-telecom/news-corp-says-one-its-network-systems-targeted-by-cyberattack-2022-02-04/"><span style="color: rgb(0, 0, 0);">華爾街日報等新聞媒體遭到駭客攻擊，疑似為中國政府蒐集情報</span></a></strong></span></p> <p>在國際情勢日益緊張的態勢下，國家級駭客鎖定新聞媒體來為政府蒐集情資，也有數起事故傳出。根據路透社的報導，美國大型新聞媒體集團News Corporation於2月4日透露，數量不明的記者遭到駭客攻擊，電子郵件信箱帳號與有關資料遭到外洩，該集團已委由資安業者Mandiant協助調查，該資安業者認為，駭客很可能是基於中國政府的利益進行情報收集。路透社取得該集團高層對員工發出的信件內容，指出該集團總部，以及Dow Jones、News UK、紐約郵報等子公司受到本次事故波及。但這並非美國新聞媒體第一次遭到中國駭客攻擊，例如，在2013年紐約時報傳出53臺員工電腦遭駭，原因疑似與他們報導中國時任總理溫家寶親屬財產遭到調查有關。</p> <p><span style="font-size: 22px;"><a href="https://www.wired.com/story/north-korea-hacker-internet-outage/"><span style="color: rgb(0, 0, 0);"><strong>北韓網路遭DDoS攻擊，原因疑似是資安人員不滿美國政府毫無反制作為，逕自挾怨報復</strong></span></a></span></p> <p>北韓於今年一月傳出網路遭到DDoS攻擊而癱瘓的情況，且遇害的時間點與該國頻繁試射飛彈重疊，但攻擊者的身分為何？根據新聞網站Wired的報導指出，使用P4x為ID名稱的美國資安研究人員向他們宣稱，這是他個人對北韓APT駭客的報復行動，原因是他在2021年初<a href="https://www.ithome.com.tw/news/142472">遭到這些駭客的網釣攻擊</a>，在美國政府沒有任何作為的情況下，他決定自行出手。這名研究人員疑似找到該國所使用的Nginx伺服器、Apache軟體，以及該國開發的Red Star OS作業系統漏洞，並使用自動化攻擊程式出手。但這起攻擊事件資安圈看法兩極，資安業者Immunity認為，此舉恐影響其他對北韓秘密進行的情蒐工作。</p> <p><span style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/china-apt-antlion-taiwan-financial-attacks"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織鎖定臺灣金融與製造業，埋伏在受害組織近250天</strong></span></a></span></p> <p>駭客組織透過受害電腦現成的工具作案，而可能躲過相關偵測，長期埋伏並進行監控。例如，賽門鐵克揭露中國APT駭客組織Antlion的攻擊行動，此起攻擊持續至少18個月，已有2家臺灣金融組織、1家製造業者受害。駭客使用寄生攻擊（LoL）手法，大量使用受害電腦上的軟體，並植入xPack後門程式。研究人員提到，該組織在其中1家金融組織花費近250天的時間，並在上述的製造業者埋伏約175天，至於駭客的目的，疑似是為了幫助中國政府收集情資。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><span style="font-size: 22px;"><strong><a href="https://www.binarly.io/posts/An_In_Depth_Look_at_the_23_High_Impact_Vulnerabilities/index.html"><span style="color: rgb(0, 0, 0);">臺廠系微UEFI韌體程式爆23個漏洞，恐影響Dell、HPE、富士通等廠牌的電腦</span></a></strong></span></p> <p>又是臺灣業者提供的公版軟體出現嚴重漏洞，而可能影響眾多廠牌電腦的情況。資安業者Binarly於2月1日指出，他們在富士通Lifebook筆電的UEFI韌體中察覺異常，經調查後發現，與該公司採用臺灣業者系微（Insyde）所提供的InsydeH2O電腦韌體框架有關，相關漏洞共有23個，CVSS風險層級介於7.5至8.2分，恐影響戴爾、惠普、HPE等9家廠牌的工作站與伺服器，攻擊者一旦利用上述漏洞，不只能繞過防毒軟體和EDR代理程式的監控，UEFI的韌體完整性監控機制也無法察覺漏洞攻擊行為，攻擊者甚至可藉此將惡意酬載傳送到作業系統，並以核心模式執行。對此，<a href="https://www.insyde.com/zh-hant/press_news/press-releases/%E7%B3%BB%E5%BE%AE%E6%84%9F%E8%AC%9Dbinarly%E9%81%8B%E7%94%A8%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E9%9F%8C%E9%AB%94%E5%A8%81%E8%84%85%E5%81%B5%E6%B8%AC%E6%8A%80%E8%A1%93%E7%99%BC%E7%8F%BE%E5%AE%89%E5%85%A8%E9%A2%A8%E9%9A%AA">系微也在2月7日發布新聞稿</a>，表明已修補前述漏洞。</p> <p><span style="font-size: 22px;"><a href="https://www.samba.org/samba/security/CVE-2021-44142.html"><span style="color: rgb(0, 0, 0);"><strong>開源網路檔案共享軟體Samba驚傳重大漏洞，恐被攻擊者取得root權限執行任意程式</strong></span></a></span></p> <p>提供Linux、macOS用戶存取Windows網路共享資料夾的Samba軟體，近期也出現可被用於RCE攻擊的重大漏洞。Samba最近修補重大漏洞CVE-2021-44142，這項漏洞與模組虛擬檔案系統（VFS）有關，該模組的功能提升與蘋果電腦SMB用戶端的相容性，一旦該漏洞遭到利用，將會導致記憶體越界堆積讀寫（out-of-bounds heap read/write）的情況，而讓攻擊者可取得root權限執行任意程式碼，CVSS風險層級為9.9分。該漏洞影響Samba 4.13.17以前的版本，Red Hat、SUSE、Ubuntu等Linux作業系統廠商，以及NAS廠商群暉科技，亦發布相關資安通告。</p> <p><span style="font-size: 22px;"><a href="https://apiiro.com/blog/malicious-kubernetes-helm-charts-can-be-used-to-steal-sensitive-information-from-argo-cd-deployments/"><span style="color: rgb(0, 0, 0);"><strong>持續交付平臺Argo CD驚傳漏洞，攻擊者藉此存取K8s密碼或是API金鑰</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-image.png" style="width: 300px; float: right;" /></a>持續交付平臺（CD）一旦出現漏洞，很可能會洩露相關的機密資訊。例如，支援Kubernetes的GitOps持續交付工具Argo CD，於2月5日修補零時差漏洞CVE-2022-24348，這項漏洞由資安業者Apiiro發現，研究人員指出，攻擊者一旦利用這項漏洞，就可透過Helm Chart套件打造有問題的Kubernetes配置，來存取機密資訊，如API金鑰、密碼等，進而橫向移動或是擴張權限。Argo CD發布2.3.0、2.2.4、2.1.9版修補此漏洞。</p> <p><span style="font-size: 22px;"><a href="https://neosmart.net/blog/2022/xerox-vulnerability-allows-unauthenticated-network-users-to-remotely-brick-printers/"><span style="color: rgb(0, 0, 0);"><strong>耗時超過2年，導致全錄印表機停擺的重大漏洞細節</strong></span></a></span><a href="https://neosmart.net/blog/2022/xerox-vulnerability-allows-unauthenticated-network-users-to-remotely-brick-printers/" style="font-size: 22px;"><span style="color: rgb(0, 0, 0);"><strong>終於公布</strong></span></a></p> <p>軟體開發商NeoSmart於2019年9月，發現一項全錄印表機的漏洞，但通報後直到最近全錄才表明終於完成修補。NeoSmart研究人員於2022年1月24日，公布他們向全錄通報的漏洞CVE-2022-23968，該漏洞影響所有Versalink系列的印表機，一旦攻擊者利用將會造成印表機半永久性的故障，但通報後全錄提供的更新程式並未完全修補漏洞，此後就再也沒有相關的進展。研究人員指出，全錄直到1月28日才回覆他們，在2021年6月推出的韌體xx.61.23版中，已修補上述漏洞。</p> <p><span style="font-size: 22px;"><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/achieve-better-patch-compliance-with-update-connectivity-data/ba-p/3073356"><span style="color: rgb(0, 0, 0);"><strong>為了能讓系統更新機制完整運作，微軟指出Windows電腦應持續連網6小時</strong></span></a></span></p> <p>電腦沒有完整安裝相關的更新，很有可能是連網的時間不足造成。微軟於1月27日指出，根據他們的分析，許多Windows個人電腦與伺服器沒有使用最新版本軟體的因素，疑似是連網時數沒有達到6小時的電腦，就可能無法成功安裝相關更新軟體。對此，該公司建議IT人員，為了讓電腦能正確下載並安裝更新，應要求用戶在沒有使用電腦的時候插上電源並維持網路連線，才能將電腦保持在最新的狀態。這樣的建議一出，有不少用戶反彈並留言表示，這麼做會消耗更多的電力，與節能的潮流背道而馳。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/7 16:57作者周峻佑https://www.ithome.com.tw/news/149234
Argo CD修補涉及所有版本的機密資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>支援Kubernetes的GitOps持續交付工具Argo CD，<a href="https://github.com/argoproj/argo-cd/security/advisories/GHSA-63qx-x74g-jcr7" target="_blank">在2月5日修補了一個零時差漏洞CVE-2022-24348</a>，此一漏洞允許駭客存取諸如密碼或API金鑰等機密資訊。</p> <p>Argo CD為一開源持續交付平臺，得以管理及協調應用程式部署後的執行與監控，估計全球有數千個組織採用Argo CD。</p> <p>發現該漏洞的是專門協助安全及開發團隊在將服務部署至雲端之前、主動解決重要風險的Apiiro，指出此一漏洞將允許駭客載入一個Kubernetes Helm Chart YAML檔案，並自其應用程式生態體系跳至使用範圍之外的其它應用程式資料，進而汲取其它應用程式的秘密、權杖、密碼或API金鑰等機密資訊，再展開權限擴張或橫向移動等行為。</p> <p><a href="https://apiiro.com/blog/malicious-kubernetes-helm-charts-can-be-used-to-steal-sensitive-information-from-argo-cd-deployments/" target="_blank">Apiiro描述了駭客可能的攻擊手法</a>，先建置一個惡意的Kubernetes Helm Chart，這是一個管理Kubernetes應用程式的套件，再以該Helm Chart打造一個Kubernetes配置，以用來開採CVE-2022-24348漏洞並存取受限的機密資訊，再利用所取得的API金鑰或密碼的資訊，展開橫向移動或權限擴張。</p> <p>Argo CD則說這是一個路徑穿越漏洞，允許駭客傳遞任意值的文件供Helm Chart使用，而它也許實際上是個符號連結，指向該儲存庫以外的任何檔案。</p> <p>Apiiro表示，其實Argo CD團隊在2019年時就預見了相關開採行動的可能性，並特別導入了反路徑穿越機制來進行預防，沒想到當中含有一個臭蟲，令該漏洞最終仍能被開採。</p> <p>CVE-2022-24348影響了所有的Argo CD版本，Argo CD團隊上周已釋出v2.3.0、v2.2.4及v2.1.9等新版本，並呼籲所有用戶儘快部署。</p> </div></div></div>
2022/2/7 14:17作者陳曉莉https://www.ithome.com.tw/news/149227
微軟聲稱只有22%的Azure AD用戶採用強大身分認證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/wp-content/uploads/prod/sites/626/2022/02/Cyber-Signals-E-1.pdf" target="_blank">微軟於2月3日出版了《網路訊號》（Cyber Signals）創刊號</a>，這是微軟用來分享各種駭客趨勢、手法與策略的資安季刊，首期的主題為身分（Identity），微軟強調了線上身分對數位生活的重要性，但其Azure Active Directory（Azure AD）用戶中，卻只有22%採用了強大的身分認證保護。</p> <p class="rtecenter"><a href="http://news.microsoft.com/wp-content/uploads/prod/sites/626/2022/02/Cyber-Signals-E-1.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-%E5%BE%AE%E8%BB%9F%20Cyber%20Signals.jpg" style="width: 326px;" /></a></p> <p>《網路訊號》集結了微軟安全研究團隊的分析結果，包括24兆個安全訊號，再加上追蹤與監控逾140個駭客組織及超過40個國家級駭客組織的情報，之所以採用身分為創刊號的主題，源自於微軟在過去一年來眼看著身分成為安全戰場。</p> <p>從去年1月到去年12月，微軟在Azure AD上封鎖了256億次的暴力破解攻擊，也透過Microsoft Defender for Office 365攔截了357億封的網釣郵件，顯示駭客無所不用其極地企圖駭入用戶的帳號，取得用戶身分。</p> <p>過去兩年包括微軟在內的企業不斷呼籲使用者採行更強大的身分認證機制，包括多因素驗證，而<a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟也在去年9月全面擁抱無密碼登入</a>。無密碼登入完全移除了微軟帳號的密碼需求，讓用戶可透過Microsoft Authenticator、Windows Hello、實體安全金鑰，或者傳送驗證碼至手機與電子郵件來登入各種微軟服務。</p> <p>然而，即便如此，微軟Azure AD或雲端身分解決方案（Cloud Identity Solution）在去年仍僅看到22%的用戶採行強大的身分認證保護機制。事實上，在去年的11月26日至12月31日的35天內，針對微軟商用或企業客戶展開的身分攻擊便多達8,300萬次。</p> <p>經常發動憑證攻擊的除了俄羅斯駭客團隊Nobelium之外，還有伊朗駭客團隊Dev 303，研究顯示，Dev 303主要的攻擊對象有49%為美國組織，24%為以色列組織，還有15%為沙烏地阿拉伯組織，首要目標為生產軍用雷達、無人機技術與衛星系統的國防企業。</p> <p>微軟建議各大組織應啟用多因素身分認證，持續稽核帳號權限，檢查與監控所有的管理員帳號，以及建立安全基準來降低風險。</p> </div></div></div>
2022/2/7 14:03作者陳曉莉https://www.ithome.com.tw/news/149225
線上商店StockX擅自銷售Nike球鞋的NFT，被告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.inputmag.com/style/nike-stockx-nft-nfts-lawsuit-virtual-sneakers-shoes-metaverse" target="_blank">知名運動品牌Nike在上周四（2/3）向美國紐約地方法院控告運動服飾線上商店StockX侵犯其商標</a>，原因是StockX推出了基於Nike品牌的非同質化代幣（Non-Fungible Token，NFT）。</p> <p>StockX是在今年1月中發表該平臺的首個NFT專案Vault，銷售各種運動鞋的NFT，使用者可以交易這些NFT，也能用來贖回真正的運動鞋，並售出超過500個基於Nike品牌的NFT。此外，這些NFT的售價通常比運動鞋本身的價格還高，因為藉由購買NFT加入Vault專案之後，買家將可額外獲得參與StockX特惠活動或發表會的機會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-stock%20x%20nft%20nike-2.jpg" style="width: 600px;" /></p> <p>不過，Nike則在訴狀中指出，StockX企圖進入NFT市場，卻不發展自己的品牌，而是公然利用Nike的商標與聲譽搭便車，希望法院要求StockX吐出不法獲利，加上額外的賠償，以及永遠禁止StockX銷售採用Nike商標的NFT。</p> <p>如同其它品牌，Nike也正磨刀霍霍地準備進入NFT市場，去年底開始便動作不斷，<a href="https://www.cnbc.com/2021/11/02/nike-is-quietly-preparing-for-the-metaverse-.html" target="_blank">包括申請適用於虛擬商品的Nike、Just Do It及Air Jordan等多個商標</a>，<a href="https://www.ithome.com.tw/news/148382" target="_blank">也在去年12月收購了NFT工作室RTFKT</a>，可望於今年推出首個NFT專案。</p> <p>已發表NFT專案的品牌則有Adidas、Balmain，與Dolce & Gabbana。</p> <p>NFT、虛擬世界與元宇宙的興起，可能讓品牌或著作權的爭議進入另一個高峰，如同數位音樂及串流影音剛誕生之際，使用者很難確認自己買到的NFT究竟是否為來自官方的正版，<a href="https://www.ithome.com.tw/news/149153" target="_blank">日前全球最大的NFT市集OpenSea才揭露</a>，透過該站免費鑄造服務所打造的NFT中，有超過8成是垃圾、抄襲或仿冒品。</p> </div></div></div>
2022/2/7 12:58作者陳曉莉https://www.ithome.com.tw/news/149224
微軟否認終止HoloLens開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/microsoft-hololens-3-metaverse-mixed-reality-strategy-confusion-rivalries-2022-2?r=US&IR=T" target="_blank">本周Business Insider報導</a>微軟終止HoloLens 3的開發計畫，不過消息遭到微軟否認。</p> <p>Business Insider報導，微軟混合實境裝置HoloLens第三代在2021年中終止開發，微軟已轉向與三星合作，由三星生產硬體，而微軟將專注於軟體開發。而微軟之所以改弦易轍，原因在於由微軟院士Alex Kipman帶領的HoloLens團隊開發策略不明，內部產生消費及企業路線的爭執，造成員工士氣大傷，至少有20多名HoloLens團隊員工跳槽Meta。</p> <p>此外，報導指出，HoloLens開發延宕也影響微軟和美國國防部的合約。<a href="https://www.ithome.com.tw/news/143585" target="_blank">微軟去年4月拿下</a>220億的整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）裝置合約，要在10年內提供軍事訓練及作戰用的HoloLens裝置。然而在HoloLens團隊動盪，也影響了這項計畫的開發品質及進度。</p> <p><a href="https://twitter.com/akipman/status/1489384705757573120" target="_blank">不過Kipman出面否認消息</a>，表示HoloLens進展良好。他還說媒體過去也曾報導HoloLens2計畫取消的消息，但最後事實證明出貨大獲成功。</p> <p class="rtecenter"><a href="http://twitter.com/akipman/status/1489384705757573120" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-hololens-600.png" style="width: 600px;" /></a></p> <p>微軟於2015年推出第一代HoloLens，2019年推出HoloLens 2，售價3,500美元，<a href="https://www.ithome.com.tw/news/139240" target="_blank">也推出多種應用</a>。由於臉書不再開發Oculus，使得HoloLens較主要競爭者起步更早。不過Business Insiders之前，<a href="https://www.wsj.com/articles/microsoft-hit-by-defections-as-tech-giants-battle-for-talent-to-build-the-metaverse-11641819601" target="_blank">上個月華爾街日報</a>也報導微軟面臨被競爭者挖角的危機，已流失超過100人，其中以跳到Meta占最多數。</p> </div></div></div>
2022/2/7 11:20作者林妍溱https://www.ithome.com.tw/news/149215
華盛頓州有25萬個證照資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dol.wa.gov/outage/" target="_blank">華盛頓州監理站（Washington State Department of Licensing）上周五（2/4）指出</a>，它們在1月24日的那一周在專業與職業證照資料庫中發現了可疑行動，於是立即展開調查，並關閉專業線上證照與監管資訊系統（Professional Online Licensing and Regulatory Information System，POLARIS），雖然仍在調查中，但<a href="https://www.seattletimes.com/business/breach-at-state-licensing-agency-may-have-exposed-data-from-1000s-of-professionals/" target="_blank">《西雅圖時報》（ The Seattle Times）報導</a>可能有25萬個證照的資料外洩。</p> <p>華盛頓監理站不僅負責駕照或車牌的核發，也核發39種專業證照，像是美容、美髮、房地產仲介、建築師、私家偵探、刺青師父或計程車司機等，使用者可透過POLARIS申請或換發證照，而此次所偵測到的可疑行動則僅限於POLARIS，並未波及駕照或車牌等該監理站的其它系統。</p> <p>POLARIS系統存放了專業證照的申請人及所有人的資料，涵蓋社會安全碼、生日、駕照號碼，或是其它個人資訊等。</p> <p>目前華盛頓監理站已尋求華盛頓網路安全辦公室的協助，正在釐清受災規模，尚不確定多少證照或資訊遭到存取，也不確定POLARIS系統何時會重新上線，但強調在該系統關閉的期間，不會對已到期的證照採行任何處分。</p> </div></div></div>
2022/2/7 11:34作者陳曉莉https://www.ithome.com.tw/news/149217
元宇宙也怕騷擾，Meta在Horizon Worlds與Horizon Venues設立個人界線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在虛擬空間傳出幾次的騷擾事件之後，<a href="https://www.oculus.com/blog/introducing-a-personal-boundary-for-horizon-worlds-and-venues/" target="_blank">Meta上周五（2/4）宣布</a>，將在Horizon Worlds及Horizon Venues設立個人界線（Personal Boundary），讓每個虛擬化身都得以建立半徑2英尺（約60公分）的圓圈界線，代表與對方的距離至少為4英尺，而且預設值是開啟的。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe8-2.fna.fbcdn.net/v/t39.2365-6/273352978_317066983696568_614411001715151826_n.png?_nc_cat=103&ccb=1-5&_nc_sid=ad8a9d&_nc_ohc=mnZ0GJvO2pUAX9fyfsF&_nc_ht=scontent.ftpe8-2.fna&oh=00_AT-Zy8eXqjN405yth714paNRKRxJP-pIWVw3wksi9e9Fmg&oe=62058631" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>Horizon Worlds及Horizon Venues都是Meta在元宇宙（Metaverse）概念下的產物，前者為一虛擬遊戲空間，允許使用者建立自己的遊戲或與他人的遊戲互動，後者則是專門舉辦各種活動的虛擬空間。Meta在去年10月發表了Horizon Venues，同年12月開放北美18歲以上的用戶測試Horizon Worlds，使用者必須透過Oculus Quest頭戴式虛擬實境裝置存取這兩項服務。</p> <p>不過，去年12月有一名女性用戶投訴她在Horizon Worlds中被觸摸，今年1月又有另一名位於Horizon Venues的女性用戶提出了同樣的控訴。</p> <p>這使得Meta決定替這兩項服務的用戶建立個人界線，讓彼此之間保持一定的距離，避免不必要的互動。</p> <p>Meta說明，個人界線將可預防任何人入侵虛擬化身的個人空間，若有人試圖進入特定使用者的界線內，系統將會在對方觸及界線時阻止他，使用者不會看到自己的界線，也不會在有人企圖進入時得到觸覺回饋。</p> <p>Meta指出，個人界線的預設值是啟用的，以協助建立行為規範，它在類似VR這類的新媒體中特別重要，以讓人們能夠在舒服的狀態下互動。</p> <p>在具備個人界線之後，使用者必須張開雙臂才能於上述兩項服務中與其他用戶擊掌，且即使有了個人界線，還是能夠從其他化身身邊經過，以免遭到圍堵。Meta將會持續改善此一功能，未來可望允許使用者自行設定界線範圍。</p> </div></div></div>
2022/2/7 11:47作者陳曉莉https://www.ithome.com.tw/news/149218
蘋果將對用第三方支付的荷蘭約會App收取27%佣金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過幾個月的爭執，以及荷蘭官方威脅罰款後，<a href="https://developer.apple.com/support/storekit-external-entitlement/" target="_blank">蘋果上周宣</a>布將對採用第三方程式內支付（in-app payment，IAP）的約會App，收取27%的交易手續費。</p> <p class="rtecenter"><a href="http://developer.apple.com/support/storekit-external-entitlement/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-Distributing%20dating%20apps%20in%20the%20Netherlands-PNG.png" style="width: 500px;" /></a></p> <p>由於Match Group的投訴，荷蘭政府的消費者與市場管理署（Authority for Consumers and Market，ACM）在調查後，於去年底命令蘋果必須在2022年1月15日之前，調整約會程式開發商的不合理條款。雖然在一月中，<a href="https://www.ithome.com.tw/news/148939" target="_blank">蘋果宣布</a>允許該國約會程式可使用第三方IAP或是內建連向原廠網站的連結，但荷蘭當局仍然不滿意，<a href="https://www.ithome.com.tw/news/149051" target="_blank">祭出每星期500萬歐元的罰則</a>。於是蘋果在上周明確回應。</p> <p>蘋果表示，為遵循ACM的命令，獲得蘋果許可加入原廠網站連結或第三方IAP的荷蘭約會程式，將支付蘋果每筆交易消費者支付金額27%的佣金，不包含加值稅（VAT）。雖然仍十分高，但蘋果說這已是優惠價，排除了支付處理和相關活動的費用。</p> <p>所有交易稅收如VAT及第三方IAP銷售等資訊蒐集及匯款等，都需由這些App開發商負責。而開發商也必須在每月結束後15天內，向蘋果出具所有經由App Store完成的數位商品交易的銷售月報。</p> <p>蘋果也給出頗繁複的規定。由於只有荷蘭約會App才有這番待遇，因此他們必須另外提供iOS/iPadOS App binary。</p> <p>想使用第三方IAP或加入原廠網址的荷蘭開發商，必須向蘋果申請使用StoreKit外部購買權利或StoreKit外部購買連結。目前蘋果還在開發StoreKit外部購買API，等開發完成後，開發商必須在30天內提交新版本以及相關資料。蘋果也會根據專門條款及《App Store審核指引》、《蘋果開發商程式授權協議》審核其資格。</p> <p>蘋果一月也因法遵要求，<a href="https://www.ithome.com.tw/news/148842" target="_blank">同意開放在南韓App Store上架的iOS App</a>，得使用第三方程式內支付工具，不過蘋果未公布細節，只說支付費率會小於30%。</p> </div></div></div>
2022/2/7 10:14作者林妍溱https://www.ithome.com.tw/news/149209
美零售業者Target開源自家網頁側錄偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.target.com/blog/meet-merry-maker" target="_blank">美國零售商Target上周宣布</a>將其自用的網頁防側錄工具Merry Maker 2.0，開源出來供其他企業及開發人員使用。</p> <p class="rtecenter"><a href="https://github.com/target/mmk-ui-api" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-target%20merry%20maker-600-png.png" style="width: 500px;" /></a></p> <p><a href="https://tech.target.com/blog/behind-the-scenes-of-merry-maker" target="_blank">Merry Maker</a>是由Target自家安全開發人員的成果，專門用於偵測數位側錄程式。它運作包含三個過程，先儲存網頁送出的程式碼及測試交易產生的網頁流量，當作現有網頁的基準線，之後就掃瞄網頁程式碼及掃瞄網路流量，以檢視有無惡意指標及攻擊活動。</p> <p>Merry Maker是持續模擬Target.com的訪客，完成多種活動，像是瀏覽網頁、完成交易、購買的過程以進行掃描。掃瞄同時它會蒐集，包括網路呼叫、JavaScript檔案及瀏覽活動等各種資訊，以分析是否有可疑活動。如果它偵測到可疑活動，便會主動向Target安全事件回應團隊發出警告以啟動調查。</p> <p>Merry Maker是為應付像Target.com這種大型網站的掃瞄作業而設計。2018年上線使用以來它已完成超過百萬次網站掃瞄。Target也為Merry Maker申請多項專利。透過開源Merry Maker，Target同時也提供多項偵測規則，以提供其他安全團隊設置網站安全防護。</p> <p>以功能而言，Merry Maker 提供Puppeteer scripts以模擬用戶互動、<a href="https://github.com/malwareinfosec/webskimmers/tree/main/YARA_rules" target="_blank">靜態分析規則Yara</a>、偵測與歸因的Hooks原生JavaScript函式呼叫、幾近即時瀏覽器事件偵測和警示、分散式事件掃瞄（規則引擎），以及角色為基礎的本機與OAuth2驗證。</p> </div></div></div>
2022/2/7 10:30作者林妍溱https://www.ithome.com.tw/news/149210
華爾街日報母公司新聞集團1月遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.newscorp.com/node/11716/html" target="_blank">文件顯示</a>，華爾街日報母公司新聞集團（News Corp）今年一月遭到網路攻擊。安全廠商推測和中國有關。</p> <p>澳洲媒體大亨梅鐸（Rupert Murdoch）及21世紀福斯共同持股的新聞集團，旗下事業包含《華爾街日報》、《紐約郵報》、英國《太陽》、《泰晤士報》、澳洲《每日電訊》、《先鋒太陽報》、電視頻道《福斯新聞》，及澳洲Sky News及道瓊公司（Dow Jones）等。</p> <p>新聞集團本周發佈的財報中提及營收風險時指出，今年一月該公司的內容遞送網路、網路管理系統、雲端系統及第三方供應商提供的科技之中，有一個成為滲透性網路攻擊的目標，新聞集團並偕同外部資安業者調查攻擊事件的本身、範疇、期間和影響。該公司說已經採取行動緩解問題，此後未再發生營運或系統中斷的情形，相信攻擊行動已經被遏止住。</p> <p>新聞集團並未說明何種系統或資料被入侵，只表示儲存客戶及財務資料的系統未受影響。</p> <p><a href="https://www.wsj.com/articles/cyberattack-on-news-corp-believed-linked-to-china-targeted-emails-of-journalists-others-11643979328" target="_blank">華爾街日報則報導</a>自己和道瓊公司、紐約郵報及英國新聞部門、新聞集團總部等都受到影響。</p> <p><a href="https://www.theverge.com/2022/2/4/22917671/wall-street-journal-news-corp-cyberattack-china-fox-news-hackers" target="_blank">The Verge</a>及<a href="https://www.securityweek.com/media-giant-news-corp-targeted-china-linked-cyberattack" target="_blank">SecurityWeek</a>則分別引述新聞集團的資安公司Mandiant事件回應部門副總裁David Wong的說法，指他們推測這樁活動有中國技術在內，也懷疑這起活動是為了蒐集對中國有利的資訊。</p> <p><a href="https://www.ithome.com.tw/news/78662" target="_blank">2013年中國駭客也被控</a>駭入華爾街日報、紐約郵報和彭博系統，以便蒐集三家駐中國記者的資訊，其中紐時所有員工密碼全部遭竊。</p> </div></div></div>
2022/2/7 11:05作者林妍溱https://www.ithome.com.tw/news/149214
Google訓練機器人具有解決未知新任務的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google新的機器人研究，訓練了一個稱為<a href="https://ai.googleblog.com/2022/02/can-robots-follow-instructions-for-new.html">BC-Z</a>的系統，讓機器人可以在經過一連串訓練後，具有解決陌生任務的能力。研究人員以100種任務來訓練BC-Z系統，並且使用28種未出現在訓練中的新任務來考驗BC-Z，結果BC-Z能夠成功完成其中24個任務，研究人員認為簡單的模仿學習，就可使機器人具泛化能力，零樣本解決新任務。</p> <p>研究人員提到，要實際應用在真實世界的機器人，難免需要解決新的用戶指令，或是處理訓練過程沒有看過的狀況，因此機器人除了要能夠在各種情況下執行多項任務外，還要能夠根據人類用戶的要求解決新任務，即便機器人過去沒有針對這些任務，進行明確的訓練。</p> <p>要機器人完成全新的任務指令，目前這方面的研究進展仍很少，研究人員表示，這類問題很困難，因為機器人除了需要理解新指令，還必須要在沒有任何訓練資料的情況下完成任務，而且當機器人需要同時泛化多個軸向的問題時，像是要在不同的場景以及物體位置執行任務，情況變得更加複雜。</p> <p>Google研究人員為此開發了BC-Z系統，期望讓機器人能泛化解決未經訓練的任務，該系統具有兩個重要的部分，分別是涵蓋100種任務的大規模示範資料集，另外則是以語言和影片作為任務指令條件的神經網路政策。</p> <p>要機器人泛化解決一項新任務，比保留部分訓練任務的泛化困難的多，研究人員提到，他們希望機器人具有更多的泛化能力，而這需要使用不同且大量的資料進行訓練。人工操作員透過虛擬實境頭戴裝置，遠端操作機器人收集資料，操作員紀錄每個任務的完整示範，接著一旦機器人學習了初始政策，便會在監督下部署該策略，當機器人犯錯或是卡住，操作員則進行干預，並且示範一次正確的操作。操作員使用這個方法，總共收集了100種任務。</p> <p>這種結合示範和干預的訓練範例收集方式，在實驗中證明，能有效減少錯誤提高效能，與只仰賴人工範例的方法相比，這種新的資料收集策略能獲得2倍效能。</p> <p>在收集完所有100種任務後，研究人員使用這些資料訓練神經網路政策，以便將相機圖像的朝向和方向，對應至機器人手臂和爪子，而且因為要讓這些政策能夠解決100個訓練任務以外的新任務，研究人員還對各任務輸入描述，包括語言命令的形式，以及人工操作任務的影片。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEiEe-2E4O9I719sCyM6cxd_DA4VPMKW6XHCtd0PhzK15HvTihmvLNKfnzj9VXRyp4Oymno5Z7nq783iZBiHIUBxoTY1YOXf2QWPCUc647sd_wxF_tNSd-lTcrCBGa7h3EQA6mOjmujH7il0pmH-aQ9AKZfktC4ryRqTnKb-OCm39ONKRPGWK3BazJJOLw=w640-h406" style="width: 580px;" /></p> <p>藉由在100個任務中訓練政策，並根據描述調整政策，研究人員成功讓BC-Z系統能夠解釋和完成新指令。研究人員提到，語言模型能夠翻譯拿起杯子和推碗這兩個動作，該模型也應該能正確翻譯推杯子，而且語言編碼器的組合泛化能力，也能夠轉移解決機器人的問題。</p> <p>即便在訓練中，只有機器手臂拿起葡萄做其他事，以及將其他物體放進紅色碗中兩種任務，而且在過程，葡萄也未曾和紅色碗出現在同一個場景中，但在解決新任務實驗中，機器人可以正確地將葡萄放進紅色碗裡（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/bcz_bar_plot.png" style="width: 380px;" /></p> <p>研究人員強調，神經網路需要正確解釋指令，並在視覺上辨識該指令相關的物體，還要忽略場景中的其他雜訊，將解釋後的指令和感知，轉化為機器人動作空間，這個過程非常困難。但機器人在經過100個範例任務訓練後，能夠成功完成研究人員所設定的28個新任務中的24個，成果比研究人員預期的還要好，並且證明了自然語言模型，不僅可以提供機器人靈活的輸入介面，預訓練的語言表示，還可以給予下游政策新的泛化能力，將不曾見過的物體組合在一起。</p> </div></div></div>
2022/2/5 18:06作者李建興https://www.ithome.com.tw/news/149205
Flutter應用程式正式登陸Windows桌面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google所開發的跨平臺應用程式開發套件Flutter，推出了<a href="https://medium.com/flutter/whats-new-in-flutter-2-10-5aafb0314b12">最新版本2.10</a>，這個版本有許多新功能，但最重要的是開始正式支援Windows桌面。Flutter從原本的iOS和Android行動裝置出發，後來版圖擴及Linux和網頁，現在Flutter應用程式還可以在Windows上執行。</p> <p>前幾年Flutter開發團隊開始了這項野心勃勃的計畫，要讓Flutter不只可用於行動裝置，還要跨到其他的平臺上，目前已經有將近50萬個應用程式使用Flutter開發。Flutter核心跨平臺元件，包括了可移植且具有硬體加速功能的圖形引擎Skia、Flutter渲染系統、動畫、主題、文字輸出和國際化等數百個小工具。</p> <p>要將Flutter移植到桌面並非一件簡單的工作，開發團隊提到，桌面應用程式不只是更大螢幕的行動應用程式，需要能夠接受鍵盤和滑鼠等不同輸入裝置，還有可調整大小的視窗，以便於在寬螢幕上執行，而在無障礙功能、輸入法編輯器和視覺樣式等，都有不同的設計，桌面應用程式需要支援檔案系統選擇器、裝置硬體，甚至是Windows註冊表資料儲存等各種內容。</p> <p>因此要在Flutter支援Windows，需要特別針對Windows量身定做。而與Android和iOS支援相同的是，Flutter的Windows實作結合了Dart框架和C++引擎，Windows和Flutter間使用嵌入層來進行通訊，該嵌入層代管了Flutter引擎，並且負責翻譯和回應Windows訊息，Flutter會與Windows協調UI繪製，以及改變大小和DPI變更等事件處理，並且會和現有的Windows配合，來實現輸入法編輯器等國際化設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_EokU2CUDhjr6nDpW.png" style="width: 580px;" /><br /><u>以Flutter建置的音樂應用程式Harmonoid</u></p> <p>開發者可以在Windows上，使用所有Flutter框架功能，並且透過Dart和C的互通層，與Win32、COM和Windows Runtime API通訊。Flutter團隊針對Windows特別設計了UI，開發者可以使用fluent_ui和flutter_acrylic等套件，以微軟Fluent設計系統來建構應用程式，並且使用msix工具，將應用程式打包成安裝應用程式，並且上傳到Windows的微軟商店。</p> <p>除了正式支援Windows平臺之外，Flutter 2.10也有不少效能改進，在iOS/Metal上對需要重新繪製的區域（Dirty Region）提供部分重繪功能，這個新功能在部分基準測試中，可將90百分位數和99百分位數光柵化（Rasterization）時間減少一個量級，並將這些基準測試中的GPU利用率，從90％降低到10％以下。之後重繪的功能，會擴及到更多的平臺上。</p> <p>開發團隊在Flutter 2.8時，開始採用自己內部的圖片記錄格式，而在Flutter 2.10中，開發團隊進一步對該格式進行最佳化，成果包括能夠有效率地處理不透明層，即便在最糟的情況，基準測試中的影格光柵化時間也下降到三分之一。</p> <p>另外，在配置檔案和發布模式下，Dart程式碼會預先編譯成為原生機器碼，官方提到，這段高效能和小巧的程式碼，是整個程式類型流（Type Flow）分析的關鍵，能夠進行更多的編譯器最佳化和樹搖（Tree-Shaking）最佳化。但類型流分析必須涵蓋整個應用程式，因此執行成本很高，而在最新的Flutter版本中，類型流分析速度更快，在基準測試中，Flutter應用程式整體建置時間下降約10％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_3bjgNV_6OjBYDj24.png" style="width: 580px;" /><br /><u>Flutter 2.10平均建置時間下降約10％</u></p> <p>Flutter 2.10也對各平臺特有功能進行微調，包括iOS、Android和網頁，同時更新Material 3，支援更多的圖標。VS Code Flutter擴充套件的更新，讓開發者在挑選顏色的時候，在編輯器中預覽顏色。官方也宣布移除Flutter開發者頻道，簡化開發者的選擇，並且移除對iOS 9.3.6支援。</p> </div></div></div>
2022/2/5 18:01作者李建興https://www.ithome.com.tw/news/149204
UEFI韌體程式碼爆23項漏洞，影響微軟、Dell、HPE等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.binarly.io/posts/An_In_Depth_Look_at_the_23_High_Impact_Vulnerabilities/index.html" target="_blank">安全廠商Binarly發現</a>，統一可延伸韌體介面（Unified Extensible Firmware Interface，UEFI）韌體程式碼有多達23項高風險漏洞，影響多家使用UEFI韌體的廠商，包括Dell、HPE/HP、富士通及微軟等公司。</p> <p>Binarly研究人員發現漏洞是存在一家主要獨立BIOS開發商（IBV）所開發的UEFI韌體。</p> <p>研究人員一開始是為一家中型企業客戶檢測安全，發現20多款企業機器出現異常，而且全都指向富士通Lifebook筆電系列的硬體組態。最後他們發現問題出在系微（Insyde）H2O韌體框架的關聯程式碼。</p> <p>這韌體使用者眾，遍及筆電、伺服器、路由器及工控系統廠商。他們已證實受影響的廠商包括富士通、Dell、HPE、HP、微軟、英特爾、西門子及Bull Atos。<a href="https://www.kb.cert.org/vuls/id/796611" target="_blank">電腦網路危機處理暨協調中心（CERT/CC）也發出了公告</a>。</p> <p class="rtecenter"><a href="http://www.kb.cert.org/vuls/id/796611" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-UEFI%20firmware%20vuln-600.jpg" style="width: 600px;" /></a></p> <p>在InsydeH2O韌體中，他們一共辨識出23項漏洞，許多和系統管理模式（System Management Mode，SMM）有關。其中10項是SMM Callout（權限升級）、12項屬於SMM記憶體毁損，1項為DXE記憶體毁損。大部份是漏洞可導致以SMM權限執行程式碼（CVSS風險值在7.5到8.2之間）。這些漏洞可以被串聯後用以執行第2階段攻擊，以躲避安全防護，或是長期滲透於系統中（<a href="https://www.ithome.com.tw/news/149039" target="_blank">例如最近發現的MoonBounce</a>）。開採這些漏洞攻擊者將可安裝即使重開機、也無法消除的惡意軟體，還能逃過端點安全產品（像是端點回應或防毒）、Secure Boot及虛擬化的安全隔離技術。</p> <p>安全廠商強調，由於信任平臺模組（TPM）量測的限制，所有這些漏洞一旦遭到開採，將無法被韌體完整性監控系統偵測到。由於韌體runtime有限的透通性，遠端裝置健康證明（remote device health attestation）方案也無法偵測受影響的系統。</p> <p>CERT/CC建議，應安裝PC廠商或系統經銷商提供的新版韌體。透過自動或代管更新，如果用戶系統支援像是Linux 廠商韌體服務（Linux Vendor Firmware Service，LVFS）等功能的話。Binarly也提供了<a href="https://github.com/binarly-io/FwHunt/tree/main/rules" target="_blank">UEFI軟體偵測規則FwHunt rules</a>，以協助辨識出受影響的軟體。</p> <p class="rtecenter"><a href="http://github.com/binarly-io/FwHunt/tree/main/rules" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-UEFI%20firmware%20FwHunt%20rules(1).jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/2/4 16:30作者林妍溱https://www.ithome.com.tw/news/149203
Google雲端推無伺服器Spark服務，還可在BigQuery編輯程式碼無縫執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端正式推出<a href="https://cloud.google.com/blog/products/data-analytics/simplify-data-processing-and-data-science-jobs-with-spark-on-google-cloud">無伺服器開源叢集運算框架Spark服務（Serverless Spark）</a>，官方提到，這是目前市面上第一個可自動擴展的無伺服器Spark服務，另外，Google還讓雲端資料倉儲BigQuery連接無伺服器Spark運算資源，BigQuery用戶現在可以使用無伺服器Spark，和BigQuery SQL進行資料分析。這些功能更新的目標，都是要讓用戶能更簡單地運作大規模ETL和資料科學等使用案例。</p> <p>由於Apache Spark所提供的速度、簡易性和程式語言靈活性，使得不少企業應用Apache Spark來進行資料工程、資料探勘和機器學習等任務，但Google提到，管理叢集和調整基礎設施的效率很差，針對不同使用案例的整合程序，可能會大幅消耗生產力。</p> <p>而Google提供無伺服器Spark，供用戶專注於程式碼和邏輯設計，不再需要管理叢集和調整基礎設施，透過選擇的介面就能上傳Spark作業，無伺服器Spark會自動處理規模縮放，來符合任務的需要。</p> <p>另外，Google也開始提供BigQuery實現無伺服器Spark功能預覽版，透過提供統一介面，供資料分析師在BigQuery編輯器中，編寫SQL和PySpark程式碼，並且不需要配置基礎設施，就能無縫地使用Spark執行。Google正努力在各種介面，整合無伺服器Spark服務，使得用戶不需要預先配置任何基礎設施，便可以啟用Spark，接下來還要讓用戶在全託管機器學習平臺Vertex AI，也能用到Spark。</p> </div></div></div>
2022/2/4 16:42作者李建興https://www.ithome.com.tw/news/149202
IBM與魁北克政府合作，將量子電腦輸出加拿大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ibm-and-government-of-quebec-launch-groundbreaking-partnership-to-accelerate-discovery-with-first-ibm-quantum-system-in-canada-301475160.html" target="_blank">加拿大魁北克省政府和IBM昨日宣布</a>將合建IBM在加拿大第一座量子電腦，以推動量子運算、人工智慧、半導體及高效能運算的研發。</p> <p>雙方是在魁北克政府創新園區（Innovation Zone）及微電子創新園區（Microelectronics Innovation Zone）的兩個產業計畫下，推動Quebec-IBM Discovery Accelerator的合作計畫。本計畫中IBM 將在微電子創新園區所在的Bromont市，建立以Quantum System One為基礎的Discovery Accelerator。這量子電腦將提供加拿大政府及研發計畫人員，運用AI 模型進行新材料、新藥物及環保永續研究。此外也將結合高效能運算（HPC），以探究整合傳統及量子運算於解決科學問題。</p> <p>雙方表示，這項合作將援引IBM在半導體設計及晶片封裝的知識，推進加拿大的量子運算研究進程。同時IBM也將提供相關AI技術，像是科學用生成建模工具（Generative Modeling Toolkit for Science）、及用於新材料研發的RoboRXN模型。</p> <p>不過IBM並未說明這座量子電腦何時會安裝、及預定啟用時間。</p> <p>和魁北克省的合作也是IBM過去12個月來、最新的量子運算合作案。藍色巨人之前分別和克利夫蘭診所、伊利諾州立大學厄巴那香檳分校及英國哈特里中心（Hartree Centre），以及德國、<a href="https://www.ithome.com.tw/news/145897" target="_blank">日本</a>和<a href="https://newsroom.ibm.com/2021-11-16-IBM-and-Yonsei-University-Unveil-Collaboration-to-Bring-IBM-Quantum-System-One-to-Korea" target="_blank">韓國</a>等有過類似產學合作。</p> </div></div></div>
2022/2/4 15:43作者林妍溱https://www.ithome.com.tw/news/149201
加密貨幣平臺Wormhole遭駭，損失價值3.2億美元的以太幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門橋接各種去中心化金融（DeFi）網路的加密貨幣平臺Wormhole，<a href="https://twitter.com/wormholecrypto/status/1489001949881978883" target="_blank">周四（2/3）對外證實遭到駭客入侵</a>，被盜走12萬個包裝過的以太幣（wETH），市價約3.2億美元。開發Wormhole的Certus One則祭出了1,000萬美元的抓漏獎金，名義上是想要駭客提供攻擊細節，實際上卻是希望駭客歸還加密貨幣。</p> <p>Wormhole為一通用的訊息傳遞協定，總計整合了8個區塊鏈，包含以太坊、Solana、幣安、Terra、Polygon、Avalanche與Oasis，允許使用者介接及轉移不同區塊鏈上的加密貨幣或NFT等資產。</p> <p>Wormhole是在周三傍晚發現合約被開採，在6個小時之後修補了漏洞，隔天旋即回補損失，並讓平臺重新上線，目前仍在撰寫詳細的攻擊報告。</p> <p class="rtecenter"><a href="https://twitter.com/wormholecrypto/status/1489233259808571401?cxt=HHwWkoCy6c3w6KopAAAA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-wormhole-600.png" style="width: 600px;" /></a></p> <p><a href="https://www.theverge.com/2022/2/3/22916111/wormhole-hack-github-error-325-million-theft-ethereum-solana" target="_blank">《The Verge》則發現</a>，駭客很可能是造訪了Wormhole的GitHub儲存庫，開採了一個已被揭露卻尚未被修補的安全漏洞。</p> <p><a href="https://www.elliptic.co/blog/325-million-stolen-from-wormhole-defi-service" target="_blank">專門提供區塊鏈分析服務的Elliptic指出</a>，Wormhole事件成為加密貨幣史上遭竊案件第四慘重的，僅次於Polynetwork的6.11億美元、Coincheck的5.3億美元及Mt Gox的4.7億美元。</p> </div></div></div>
2022/2/4 14:32作者陳曉莉https://www.ithome.com.tw/news/149200
另一家以色列業者QuaDream也利用零點擊攻擊程式自遠端攻陷iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公民實驗室（Citizen Lab）去年9月揭露，以色列資安業者NSO Group開採了蘋果iOS中的零時差漏洞CVE-2021-30860，以Forcedentry零點擊攻擊程式入侵iPhone，<a href="https://www.ithome.com.tw/news/146698" target="_blank">也促使蘋果緊急修補了該漏洞</a>。然而，<a href="https://www.reuters.com/technology/exclusive-iphone-flaw-exploited-by-second-israeli-spy-firm-sources-2022-02-03/" target="_blank">《路透社》本周引述多名消息來源指出</a>，還有另一家以色列監控業者QuaDream使用非常類似Forcedentry的攻擊程式，挾持了受害者的iPhone。</p> <p>CVE-2021-30860現身於蘋果圖像渲染函式庫CoreGraphics，為一整數溢位漏洞，當它處理一個惡意的PDF檔案時，可能允許駭客執行任意程式。</p> <p><a href="https://www.ithome.com.tw/news/148401" target="_blank">Google曾經公開Forcedentry攻擊程式的分析結果</a>，指出Forcedentry是個零點擊攻擊程式，在駭客透過iMessage傳送假GIF檔案時，iMessage在手機顯示這些圖像時就已先行進行解析，而成為駭客的切入點，代表駭客只要知道目標對象的電話號碼或是Apple ID的使用者名稱就能展開攻擊，完全不需要使用者的任何互動。</p> <p>而根據《路透社》的報導，QuaDream與NSO Group所使用的攻擊程式非常地類似，因為它們開採許多同樣的漏洞，也採用類似的手法於裝置上植入惡意程式，且都不需要使用者的互動。此外，QuaDream雖然名不見經傳，但該公司所打造的駭客工具與NSO Group不相上下。</p> <p>該報導企圖突顯數位監控產業正快速成長中，以提醒使用數位裝置的使用者應該注重手機的安全性。</p> <p>持續遭到NSO Group入侵的蘋果，<a href="https://www.ithome.com.tw/news/147998" target="_blank">則於去年11月提出訴訟</a>，向法院申請永久禁制令以禁止NSO Group再使用任何的蘋果軟體、服務或裝置，同時也通知數千名受到Forcedentry程式鎖定的蘋果用戶。</p> </div></div></div>
2022/2/4 13:33作者陳曉莉https://www.ithome.com.tw/news/149197
Google將於3月啟動強制追蹤Workspace搜尋的設定，用戶想關閉也不行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/106929" target="_blank">Google過去幾年歷次宣傳提供用戶更大的隱私控管權</a>，關閉搜尋、應用程式、定位資訊及網站造訪紀錄。但是Google 近日通知使用者將導入一項變更，啟動了Workspace上網追蹤的預設設定，即使用戶原本已關閉。</p> <p><a href="https://arstechnica.com/gadgets/2022/02/confusing-google-workspace-privacy-change-will-re-enable-tracking-for-users/" target="_blank">一名管理員用戶本周接到Google通知</a>，從2022年3月29日起將有多項管理設定變動。從3月底開始，Gmail、Drive、Docs、Calendar、Chat、Meet及Keep等服務，不再接受Workspace用戶的「上網&應用程式活動」設定的控制，這是因為Google將增加一項新的用戶設定，以「Google Workspace搜尋紀錄（Search History）」取代「上網&應用程式活動」來控制及追蹤這些服務的使用。</p> <p class="rtecenter"><a href="https://news.ycombinator.com/item?id=30171800" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0204-google%20workspace%20privact%20setting-600.jpg" style="width: 600px;" /></a></p> <p>此外，Google也將移除所有Workspace用戶關閉「上網&應用程式活動」的選項。</p> <p>一名Google產品經理解釋，「上網&應用程式活動」是為了儲存所有Google服務的搜尋活動而設計，但和Workspace的管理用途不符。</p> <p>Google表示，許多Workspace付費用戶的管理員會希望關閉「上網&應用程式活動」的管理員控制功能，因為如果opt-out後，Google Drive或Gmail使用者就無法獲得搜尋提示或過往搜尋關鍵字等協助加速作業的功能。</p> <p>Google另一個理由是，新的調整是將Workspace的資料獨立出來，因為這些資料已由Google提供的嚴格資料處理防護控管。Google希望藉此調整，企業用戶能更輕鬆使用Workspace的搜尋，而不必再選擇加入（opt-in）管理範圍太大的「上網&應用程式活動」上網紀錄。</p> <p>用戶對此反應激烈。一名用戶認為，如果用戶必須或想要再開啟追蹤，在現行設計下就能重新opt-in，而非直接剝奪用戶的權利。用戶認為Google只是希望用戶不要察覺這項變動，讓Google得以重新蒐集用戶活動資料。另一名用戶則指，這變更罔顧已經關閉追蹤設定的用戶，而且也畫蛇添足，因為企業用戶本來就可以開啟。還有人將矛頭轉向出來辯護的產品經理，認為Google 23%年營收成長的追求，已經讓Google從上到下都忘記了以用戶為先初衷，一切向錢看。</p> <p>近日Google修正了外界批評的FLoC廣告投放方案，<a href="https://www.ithome.com.tw/news/149080" target="_blank">再推出新措施Topics</a>。不過<a href="https://www.ithome.com.tw/news/149150" target="_blank">瀏覽器廠商Brave認為</a>這只是換湯不換藥而已，並沒有真正解決隱私問題。</p> </div></div></div>
2022/2/4 12:38作者林妍溱https://www.ithome.com.tw/news/149196
美國參議院司法委員會通過《Open App Markets Act》，將允許開發者使用自己的支付系統與程式側載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/02/03/us_senate_open_app_markets_act/" target="_blank">美國參議院的司法委員會（Senate Judiciary Committee）於本周四（2/3）以20票對兩票通過了《開放程式市場法案》（Open App Markets Act）</a>，將針對蘋果App Store與Google Play等程式市集的作法祭出規範，之後將送交參議院進行全體的表決。</p> <p>《開放程式市場法案》可望解除這些大型程式市集對競爭者、開發者或使用者的限制，例如它將要求蘋果及Google允許使用者自第三方下載行動程式，也許是其它的市集，或者是開發者自己的網站，不得強迫使用者只能自官方網站下載，也必須讓使用者將第三方程式設為預設值，或是移除Android或iOS上的內建程式。</p> <p>此外，該法案亦要求程式市集不得限制開發者所使用的程式內付款系統。</p> <p>Google與蘋果並不贊成《開放程式市場法案》，特別是蘋果。負責政府事務的蘋果總監Tim Powderly向司法委員會表示，允許使用者側載（至其它來源下載程式）將讓不法人士躲過蘋果對隱私及安全的保障，可能造成惡意程式、詐騙或資料外洩等意外增生。</p> <p><a href="https://www.ithome.com.tw/news/149018" target="_blank">上個月司法委員會也通過了</a>讓蘋果及Google同聲反對的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act）。</p> </div></div></div>
2022/2/4 11:25作者陳曉莉https://www.ithome.com.tw/news/149194
Google推出不需綁Gmail的Workspace免費服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google吸引企業用戶再一招。昨（3）日宣布包含基本生產力及協同工具的免費服務<a href="https://cloud.google.com/blog/products/workspace/unlock-collaboration-with-google-workspace-essentials" target="_blank">Google Workspace Essentials Starter版</a>。和現有Workspace唯一差別是不包含Gmail。</p> <p>這項服務是在Workspace Essentials下再闢一個免費等級，提供Google Drive、Docs、Sheets、Slides、Meet和Chat等服務。Google表示，Essentials Starters不需要新的電子郵件、轉檔、新外掛或桌機軟體，協助企業輕鬆相互協同，即使他們仍使用舊式生產力工具。此外Google也強調Essentials Starter提供加密檔案存取，確保隱私及資訊安全。</p> <p>由於不包含Gmail，意謂企業用戶不需強制使用Gmail，可持續使用原有電子郵件服務。使用者要啟用Essentials，員工需以現有工作電子郵件信箱註冊，不需附上信用卡資訊，也沒有試用期限。之後就可建立最多25人的團隊進行文件共享、或以視訊及文字通訊。Essentials Starter每個團隊雖有成員上限規定，但每家企業可申請的團隊則沒有上限。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/BOuhsbzsj5tFHX0Ii8ozdRfqV8hJ9TLwyF2YwI7KYN5xGz0thz-oMkm2RzlohS50CP60pugsFst5LjtttCRZqVXyglYZLmwj7JXFEg=rw-e365-v0-w2712" style="width: 300px;" /><img alt="" src="https://pbs.twimg.com/media/FKr_6t1XEAEOEP-?format=jpg&name=small" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p><a href="https://support.google.com/a/users/answer/7681288" target="_blank">其他功能包括最多100人的視訊會議</a>，每次通話上限60分鐘、Jamboard數位白板、支援100多種檔案類型的Google Drive、行事曆、Keep共用記事。管理員功能則提供新增、移除成員，以及指派管理員等基本功能。這項服務不提供Google Workspace技術支援。至於Google Drive雲端硬碟只有15GB容量，是現有Business Starter的一半。</p> <p>一些用戶或許對Google這項免費服務感到猶豫或懷疑<a href="https://www.ithome.com.tw/news/148976" target="_blank">。Google上周才宣布</a>2006年提供的免費版G-Suite從今年7月1日將開始收費。5月1日這項服務會自動轉為Workspace，若用戶不提供信用卡資訊就會被停用。</p> </div></div></div>
2022/2/4 12:12作者林妍溱https://www.ithome.com.tw/news/149195
Amazon財報亮眼，將再度調漲Prime訂閱費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s2.q4cdn.com/299287126/files/doc_financials/2021/q4/business_and_financial_update.pdf" target="_blank">Aｍazon周四（2/3）公布去年第四季財報</a>，該季Amazon創下1,374億美元的營收，成長9.3%，淨收入為143億美元，成長99%，每股盈餘為27.75美元。同時Amazon也宣布將調漲美國的Amazon Prime訂閱費用，月費從12.99美元漲至14.99美元，年費則由119美元漲至139美元，將於今年的2月18日生效。亮眼的財報讓Amazon當天盤後大漲14%，股價攀上3,173美元。</p> <p>在1,374億美元的營收中，北美電子商務營收占了823.6億美元，成長9%；國際電子商務為372.7億美元，下滑0.5%；AWS則是177.8億美元，成長40%。</p> <p>其實去年第四季Amazon不管是在北美或國際的電子商務都是虧損的，北美市場虧損了2.1億美元，國際市場虧損16.3億美元，但AWS該季的營業利潤為52.9億美元，成長了48.5%。</p> <p>不過，造成Amazon淨收入大增的原因並非為本業，而是Amazon對電動車Rivian Automotive的業外投資，Rivian Automotive在去年11月登上那斯達克股市，讓Amazon取得了118億美元的非營業利潤。</p> <p>此外，Amazon也宣布自今年2月18日起將調漲Amazon Prime的價格，這是Amazon的會員服務，可提供單日或雙日免費快速運送服務、Prime Video、無限音樂串流、無限照片儲存及無限閱讀服務，目前支援全球22個市場。</p> <p>Amazon Prime在2005年上線時的年費為79美元，2014年提高到99美元，2018年再調漲至119美元，將於今年2月18日將再調至139美元，既有用戶的調漲日期為3月25日，現階段全球已有超過2億名的Amazon Prime用戶。</p> </div></div></div>
2022/2/4 10:39作者陳曉莉https://www.ithome.com.tw/news/149193
中國駭客集團以xPack後門鎖定臺灣金融與製造業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/china-apt-antlion-taiwan-financial-attacks" target="_blank">博通旗下的資安部門Symantec於本周揭露</a>，中國駭客集團Antlion自2020年12月開始滲透臺灣的金融組織與製造業組織，迄今已知有3家業者受害，Antlion使用了大量的惡意程式，其中主要為xPack後門程式，藉以執行系統命令、載入更多惡意程式或竊取資訊，應屬間諜行動，且Antlion持續攻擊臺灣金融組織至少長達18個月之久。</p> <p>Symantec發現Antlion攻擊了兩家金融組織與一家製造業組織，潛藏在其中一家金融組織的時間接近250天，也在受害的製造業組織中蟄伏了175天。</p> <p>研究人員目前尚不知駭客的感染途徑，猜測可能是開採了受害組織的網頁應用程式或服務，或者是透過惡意郵件當作進入受害組織的跳板。</p> <p>在此一針對臺灣的攻擊行動中，Antlion採用了大量的客製化與現成工具，主要為客製化的xPack後門程式，它能夠執行系統命令、載入其它惡意程式與工具，還能竊取資料，其它還包括EHAGBPSL、JpgRun與CheckID等下載器，以及SMB期間枚舉工具NetSessionEnum、可用來偽造用戶的Golden Ticket工具。</p> <p>現成的工具則涵蓋PowerShell、WMIC、ProcDump、LSASS與PsExec，同時濫用AnyDesk遠端存取工具，並開採<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2019-1458" target="_blank">CVE-2019-1458</a>權限擴張漏洞，或是藉由開採WinRAR來竊取資料。Antlion所蒐集的資料包括業務聯絡人、投資及智慧卡讀卡機等。</p> <p>Symantec指出，最受矚目的是Antlion待在這些受害網路的時間很長，因而能夠長期地蒐集受害者的機密資料，只是中國駭客選擇臺灣作為攻擊目標並不令人意外。</p> </div></div></div>
2022/2/4 10:00作者陳曉莉https://www.ithome.com.tw/news/149192
紅帽在混合雲平臺OpenShift Platform Plus開始提供永久儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）宣布在其<a href="https://www.redhat.com/en/about/press-releases/red-hat-extends-comprehensive-kubernetes-platform-consistent-and-persistent-storage">混合雲平臺OpenShift Platform Plus，加入混合雲和多雲容器儲存服務OpenShift Data Foundation</a>，因此用戶便可在Kubernetes應用程式，使用軟體定義儲存。</p> <p>OpenShift Platform Plus為一個開箱即用的多雲Kubernetes堆疊，可供DevSecOps和應用程式開發團隊建置容器化應用程式，而OpenShift Data Foundation則為一個資料平臺，提供跨雲和跨基礎設施的持久儲存。</p> <p>官方提到，Kubernetes是一個容器調度標準，擁有強大引擎足以進行大規模調度，但是Kubernetes需要有額外的元件，才能滿足企業建置和執行現代應用程式的需要。除了OpenShift Platform Plus原本就擁有的叢集安全和管理功能，還有容器註冊表等功能之外，現在還加入了容器資料服務。</p> <p>透過結合OpenShift Platform Plus和OpenShift Data Foundation，企業可以獲得跨容器環境的通用資料服務，避免儲存孤島。該儲存解決方案最新版本使用OpenShift Data Foundation 4.9，所擁有的新功能，可讓開發者更高效地開發和部署應用程式。</p> <p>OpenShift Data Foundation 4.9的多雲物件閘道器命名空間儲存桶，滿足不同雲端的資料需求，也解決了資料可用性挑戰，資料可以存在單一位置，並且讓位在其他地方的應用程式取用，而不需要複製資料到應用程式的所在位置。而持久磁碟加密功能，則可以讓使用者在叢集之外，管理和持有加密金鑰，這能夠提供用戶使用自有KMS的靈活性。</p> </div></div></div>
2022/2/3 20:03作者李建興https://www.ithome.com.tw/news/149190
Qt簡化商業授權，且開發者授權過期仍可發布應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GUI框架與工具供應商Qt宣布<a href="https://www.qt.io/blog/simplifying-the-commercial-licensing-portfolio">簡化其商業授權</a>，除了現在將開發者授權產品縮減至四個版本之外，Qt Design Studio也將獨立於開發者授權外提供，另外，與過去不同，在新授權上路後，即便開發者的授權過期，也仍然可以發布應用程式。</p> <p>Qt新的商業授權，主要為四個主要版本，這四個版本授權皆採用洋蔥架構，也就是外層的版本，包含前一層版本的功能，這四個版本由裡到外分別是Qt for Application Development Professional、Qt for Application Development Enterprise、Qt for Device Creation Professional和Qt for Device Creation Enterprise。</p> <p>官方提到，過去獨立出售的附加元件，現在將會整合進主要產品中，這些商業附加元件包括機器對機器（M2M）協議、微控制器用戶介面函式庫，以及用於安全應用程式、汽車功能和應用程式管理的元件。</p> <p>原本的Qt for Application Development訂閱授權，會被轉換為Qt for Application Development Enterprise，而原有的Qt for Device Creation訂閱授權，則會被轉為Qt for Device Creation Professional，新的授權將可免費獲得附加元件，官方提到，新的授權將會在授權條款結束後，自動更新為新的授權版本，並且透過Qt維護工具就能立刻獲取新功能。</p> <p>在Qt即將要發布的Design Studio 3.0，將有兩個商業授權版本，包括Qt Design Studio Professional和Qt Design Studio Enterprise。Qt Design Studio Professional針對用戶介面設計、編輯、動畫和原型開發，設計人員可以單獨購買授權，或是從Qt Creator 6.0以上版本的開發授權中獲取該工具。而Qt Design Studio Enterprise則面向技術美術設計師，和用戶介面設計師的產品，可從Figma和Sketch匯入設計，也能從Adobe XD、Maya和Blender等圖形工具匯入物件。</p> <p>而針對開發者抗議擁有開發者授權才能發布應用程式的限制，官方也做出回應，過去不允許用戶在沒有有效開發者授權發布應用程式的原因，是因為要讓開發者能夠解決安全問題，並且更新應用程式。</p> <p>現在官方解除這項限制，不過官方仍建議，企業最好仍持有一份有效的開發者授權訂閱，以便用於安全修復和軟體維護。</p> </div></div></div>
2022/2/3 20:19作者李建興https://www.ithome.com.tw/news/149191
微軟針對雲端支付推出Azure Payment HSM加密金鑰服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對金融機構雲端支付的需求，微軟推出支付專用的加密金鑰操作服務<a href="https://azure.microsoft.com/zh-tw/blog/announcing-the-public-preview-of-microsoft-azure-payment-hsm-service/">Azure Payment HSM</a>，該服務達到PCI（Payment Card Industry）組織對於安全性、法遵、延遲和效能的要求，可直接連接到用戶的虛擬網路，並且提供多種訂閱選項，支援各種使用案例。</p> <p>不少金融機構逐漸將支付應用搬遷上雲，微軟提到，這需要企業從原本傳統的本地應用程式，和硬體安全模組（Hardware Security Modules，HSM），搬遷至無法直接控制的雲端基礎設施，而這通常也代表著訂閱服務，企業無法擁有實體裝置和軟體。</p> <p>微軟提到，雲端服務存在一些優勢，除了企業可以提高採用效率之外，對於雲端原生企業來說，原本就沒有本地端硬體設施，採用雲端優先的解決方案，是基本的業務模式。基於雲端的支付基礎設施，能夠降低IT複雜性、簡化法遵問題，並且還能隨著業務成長，快速擴展其解決方案。</p> <p>然而雲端HSM解決方案存在待解決的挑戰也不少，微軟列舉像是共同責任問題，企業需要清楚可被接受的損失有哪些？而應用程式和HSM之間，又該如何實現高效能低延遲連接性？以及雲端的安全和法遵程度，能否滿足當前的嚴格要求？</p> <p>微軟所發布的最新Azure Payment HSM服務，目標是滿足金融機構對於HSM服務的各項要求。Azure Payment HSM使用Thales payShield 10K支付HSM提供裸機服務，在Azure雲端中對即時支付交易提供加密金鑰操作。微軟提到，Azure Payment HSM滿足PCI對安全性、法遵、延遲和效能的要求，針對服務供應商和金融機構所開發，能支援組織的數位轉型和公用雲採用策略。</p> <p>Azure Payment HSM被配置於用戶的虛擬網路之中，僅受用戶管理控制，並且可進行高可用性配置，該服務用戶透過Thales payShield Manager對HSM進行遠端存取，有多項訂閱選項，用戶可根據效能和多種應用需求選擇，而且當用戶業務成長也能夠快速升級，Azure Payment HSM最高可提供達2,500 CPS的效能。</p> </div></div></div>
2022/2/3 17:10作者李建興https://www.ithome.com.tw/news/149188
鼓勵使用者贊助開源專案，GitHub推出僅供贊助者使用的儲存庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-02-02-new-sponsors-only-repositories-custom-amounts-and-more/">GitHub更新贊助者功能Sponsors</a>，現在開發者可以針對不同的贊助者層級附加儲存庫，根據不同的贊助金額釋出不同版本的軟體，除此之外，GitHub Sponsors也有其他功能更新，以協助專案開發者推廣和管理贊助。</p> <p>近年開源專案被企業吃豆腐案例頻傳，不少開源專案指控企業白用不回饋，包括原為開源專案的Redis模組、CockroachDB、MongoDB和Elasticsearch等，都紛紛更改授權，避免被雲端廠商濫用。近期的案例，還有在GitHub上的知名套件Faker和Colors，其作者Marak Squires因為不滿多數財星500大企業都有使用他們套件，但是開發團隊都僅收到來自開源社群和GitHub Sponsors微薄的贊助，因此一氣之下清空GitHub儲存庫，決定要對專案開始收費。</p> <p>GitHub上的開源程式碼雖然可供任何人免費使用，但是多數專案維護還是需要有資金贊助，才能穩定地持續下去。GitHub在2019年的時候開始Sponsors計畫，讓贊助者可以直接在GitHub頁面上，贊助開源貢獻者。</p> <p>現在GitHub進一步更新Sponsors贊助功能，或許有望讓GitHub上的開發者，能夠獲取更加公平的收入與回饋。GitHub提供僅有贊助者可以存取的儲存庫，當專案開發者啟用該功能，便可以將私有的儲存庫附加到各個贊助層級，而這授予不同金額贊助者，存取各層級儲存庫的權限，也就是說，專案開發者可以針對貢獻者捐獻的金額，發布不同版本的程式碼。</p> <p>官方提到，專案開發者可以將僅限贊助者使用的儲存庫，應用在各種用途，包括提供僅限贊助者存取的專案，並且和贊助者討論與交流問題，或是在程式碼開源之前，讓贊助者搶先體驗新內容。開發者現在也可以針對每一個贊助層級，編寫一段客製化訊息，當有任何新的贊助出現時，這段訊息可以歡迎贊助者，並且指引他們執行專案的方法。</p> <p>GitHub Sponsors的其他新功能，還有讓專案開發者，對自定義贊助金額擁有更多控制權，能夠設定贊助最低金額，並會在Issues頁面加入贊助訊息，提醒使用者採取行動資助開發者。開發者可以在贊助頁面URL附加後設資料，以便查看贊助來自何方，像是開發者可以在發布關於專案貼文時，於贊助網址加入特殊的後設資料，便可以在交易資料匯出時，查看收集到的後設資料。</p> <p>GitHub提到，他們接下來的工作，將會使企業進一步支援他們所仰賴的開源專案，並且讓可贊助專案更容易被探索。</p> </div></div></div>
2022/2/3 16:30作者李建興https://www.ithome.com.tw/news/149185
遭到北韓駭客入侵的美國資安研究人員，以一己之力癱瘓北韓網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓在今年一月中及一月底，陸續傳出該國網路遭到攻擊且被癱瘓的消息，<a href="https://www.wired.com/story/north-korea-hacker-internet-outage/" target="_blank">而《Wired》則報導</a>，這是由一名代號為P4x的美國資安研究人員單槍匹馬所展開的攻擊行動，原因是他在去年初遭到北韓國家級駭客的攻擊，然而美國政府對此卻無所作為，使得他只好自己展開報復行動。</p> <p><a href="https://www.ithome.com.tw/news/142536" target="_blank">去年初包括Google及微軟都發現</a>一起北韓駭客集團ZINC鎖定資安研究人員的網路攻擊行動，ZINC先透過社交工程與這些受害的資安研究人員建立連結，再傳送惡意的專案或連結，以於資安研究人員的電腦上植入後門或其它惡意程式，藉以竊取機密資訊。而P4x則聲稱自己是這波攻擊行動的受害者之一。</p> <p>P4x向《Wired》透露，當初FBI雖然有聯繫他，但並沒有提供任何實質的幫助，也沒說未來將如何保護他，或是知會他這批駭客可能面臨的後果，甚至沒提及是否會展開正式調查，也未公開指責北韓，這些都讓他覺得自己孤立無援。</p> <p>於是P4x開始研究北韓網路系統的安全漏洞，決定自行展開報復。</p> <p>專門提供北韓新聞與分析的<a href="https://www.nknews.org/2022/01/north-korea-kicked-off-internet-by-suspected-ddos-attack/" target="_blank">《NK News》先是在今年1月中旬發現</a>，北韓的網路似乎遭到分散式服務阻斷攻擊（DDoS），導致該國境內的伺服器無法存取，而且斷斷續續地持續了兩天；<a href="https://www.reuters.com/world/asia-pacific/nkorean-internet-downed-by-suspected-cyber-attacks-researchers-2022-01-26/" target="_blank">《路透社》則是在1月下旬報導</a>，北韓網路遭到第二波的DDoS攻擊行動，該國網路再度被全面癱瘓6個小時。</p> <p>由於北韓網路斷線的時間點恰巧是該國正頻繁進行飛彈試射之際，使得外界原本以為相關攻擊是由特定國家級駭客所主導，而P4x則向《Wired》自白這其實是他的傑作。</p> <p>其實北韓是全球極少數網路非常不發達的國家，整個國家大概只有30個網站左右，這些網站主要作為政令宣導之用，而且取得授權、可存取網路的人口僅有數千人之譜。</p> <p>P4x揭露了他所開採的部分漏洞，包括伺服器軟體NginX的已知漏洞，或是舊有Apache軟體的安全漏洞，以及北韓自行開發、基於Linux的Red Star OS作業系統。而且攻擊北韓伺服器或路由器對他來說，就如同展開一場中小型的滲透測試，他撰寫了自動化的攻擊程式，然後只是定期去電腦上看看它的運作成果。</p> <p>P4x認為，如果這些資安研究人員沒有反抗或毫無作為，北韓政府只會得寸進尺，之前他只是癱瘓北韓網路，但本周他已於暗網中設立FUNK（FU North Korea）專案，廣發英雄帖，希望各方的資安研究人員共同加入以真正駭進北韓的系統，竊取北韓系統的資訊並與其它專家分享。</p> </div></div></div>
2022/2/3 17:04作者陳曉莉https://www.ithome.com.tw/news/149189
微軟Defender for Endpoint漏洞管理功能開始支援Android、iOS裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/announcing-general-availability-of-vulnerability-management/ba-p/3071663" target="_blank">微軟本周宣布</a>，Microsoft Defender for Endpoint的威脅與漏洞管理功能也支援Android及iOS。</p> <p>透過今天的宣布，微軟Defender for Endpoint的端點安全管理支援企業所有主要平臺，包括工作站、伺服器及行動裝置等。</p> <p>Defender for Endpoint威脅及漏洞管理功能可持續監控和找出企業網路上有漏洞的裝置，評估相關風險，並提供優先排序分析、以及整合流程協助企業修補漏洞。</p> <p>現在IT管理員對公司網路中的Android裝置，已經可評估檢查Android OS以及這些裝置上應用程式的漏洞。至於員工個人裝置（BYOD）上的App，如果該裝置安裝了Google的Android Enterprise管理方案，具有公司使用者帳號，只有公司使用者帳號下的App為Defender的漏洞管理支援，其他BYOD模式的Android裝置則預設無法使用App漏洞管理。不過管理員在裝置管理員模式（device administrator）下，可以透過Endpoint Manager取得這臺裝置所有App清單。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/342330i1EAE56A487289B89/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>對於iOS裝置，管理員現在也可以檢視iOS及iPadOS裝置的iOS漏洞。目前Defender for Endpoint還無法做到iOS裝置上應用程式的漏洞管理。但微軟表示之後會再加入這項功能。</p> </div></div></div>
2022/2/3 15:27作者林妍溱https://www.ithome.com.tw/news/149186
FBI建議去中國參加奧運的選手最好使用臨時性的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2022年的冬季奧林匹克運動會（2022 Winter Olympics）與冬季帕拉林匹克運動會（2022 Winter Paralympics），將陸續在今年2月與3月於中國舉行，<a href="https://www.ic3.gov/Media/News/2022/220131.pdf" target="_blank">美國聯邦調查局（FBI）本周發表了私人産業通報（Private Industry Notification，PIN）</a>，警告為了確保資訊安全，要參賽的運動員最好把私人手機留在家中，攜帶臨時性手機與會就好。</p> <p>其實FBI在去年日本於7月舉辦東京奧運之前，<a href="https://www.ic3.gov/Media/News/2021/210719.pdf" target="_blank">也曾提出要運動員防範網路攻擊的警告</a>，只是當時並未建議運動員攜帶暫時性手機。</p> <p>FBI說明，大型的活動或賽事替犯罪組織或國家級駭客帶來了許多攻擊機會，不管是為了獲利、製造混亂、建立名聲、抹黑對手或是推動各種意識型態等，在COVID-19疫情之下，奧運並不允許觀眾入場，全球的觀眾只能依賴串流與社交媒體來參與，駭客則可藉由社交工程或網路釣魚來植入惡意程式，破壞賽事的轉播，例如去年負責東京奧運轉播的NTT，在賽事期間就至少遭遇4.5億次攻擊或滲透行動。</p> <p>其中，最熱門的攻擊手法是使用惡意程式、電子郵件詐騙、網釣或冒牌網站，但新興的數位錢包，或是可用來追蹤疫苗接種狀況的程式，都有可能成為駭客竊取機密資訊或植入惡意程式的管道。</p> <p>此外，中國政府此次要求所有冬奧及冬帕選手，都必須安裝<a href="https://play.google.com/store/apps/details?id=com.systoon.dongaotoon" target="_blank">冬奧通（MY2022）程式</a>，該程式整合了有關這兩項運動會的各種資訊及權限管理，涵蓋奧運服務及城市導遊，並嵌入疫苗接種狀況。FBI則說，MY2022將被用來追蹤運動員的健康與旅遊資料。</p> <p class="rtecenter"><img alt="" src="https://citizenlab.ca/wp-content/uploads/2022/01/image3.png" style="width: 441px;" /></p> <p><a href="https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/" target="_blank"><span style="color:#696969;">圖片來源／Citizen's Lab</span></a></p> <p>由此可見，FBI顯然是擔心運動員在手機中安裝MY2022之後，可能遭到持續的追蹤，或是被植入惡意程式，因而建議美國運動員去參與冬奧及冬帕時不要使用自己的手機，而是攜帶臨時性手機，還說不只是美國，許多西方國家的奧運委員會也都建議選手把私人手機留在家中。</p> </div></div></div>
2022/2/3 15:53作者陳曉莉https://www.ithome.com.tw/news/149187
Google釋出Chrome 98，修補27項安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop.html" target="_blank">Google Chrome團隊本周宣布</a>釋出Chrome 98桌機版到穩定版（stable）通道，修補了27項安全漏洞，包括8項重大漏洞。</p> <p>本周釋出的Chrome 98包括Windows、Mac及Linux版，其中Windows版包括Chrome 98.0.4758.80/81/82，macOS及Linux版則為98.0.4758.80版。此外，Chrome團隊也在新的延伸穩定（extended stable）通道釋出Chrome 98。所有新版本會在未來幾天到幾周內，完成部署到用戶端。</p> <p>最新版Chrome修補的27項安全漏洞中，有8項高風險漏洞，以及中、低風險漏洞各9項和1項。其中CVE-2022-0452及CVE-2022-0453分別位於安全上網（Safe Browsing）及Chrome閱讀器模式（Reader Mode），皆屬使用已釋放記憶體（use after free）漏洞，通報的研究人員各得2萬美元。</p> <p>CVE-2022-0454為ANGLE元件中的堆積記憶體緩衝溢位（heap buffer overflow）漏洞，CVE-2022-0455則為全螢幕模式（Full Screen Mode）的實作不當。Google各為此頒發1.2萬及7,500美元抓蟲獎金。其他還包括網頁搜尋模式、分頁縮圖串（Thumbnail Tab Strip）、及螢幕截圖（Screen Capture）工具的使用已釋放記憶體漏洞CVE-2022-0456、CVE-2022-0458及CVE-2022-0459，以及V8引擎中的型態混淆（Type Confusion）漏洞CVE-2022-0457，Google發出1,000到7,000美元的獎金。</p> <p>此外，Chrome 98修補的9個中度風險漏洞中，6個為使用已釋放記憶體漏洞，位於Windows對話彈出視窗、輔助工具、擴充程式、支付及投放（Cast）功能。3個屬實作不當漏洞，分布於捲軸、擴充程式平臺及游標鎖定（pointer lock）。1個是COOP（Cross-Origin Opener Policy）中的政策繞過漏洞。而唯一一個低風險漏洞位於V8引擎，屬越界記憶體存取（out of bounds memory access）漏洞。</p> </div></div></div>
2022/2/3 14:28作者林妍溱https://www.ithome.com.tw/news/149183
Starlink推出單月要價500美元的超寬頻衛星網路，每秒下載最快500Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=b2Ik8bSQTN2eomFajSqNz1cg2ZChenfZaVUGOiZlzSp5ouFiMSXRs0Agb83waihq71uxvpo09v5QgfGU183NKA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><script type="text/javascript" src="https://gc.kis.v2.scr.kaspersky-labs.com/FD126C42-EBFA-4E12-B309-BB3FDD723AC1/main.js?attr=zvvowkvLINo3sRdDcCmj60HDG2qFCO4PupVROADwGVdSL7NFi_joh2HMTlj-4kOyvMkRoMrZYa6rba5yhf3CFA" charset="UTF-8"></script><link crossorigin="anonymous" href="https://gc.kis.v2.scr.kaspersky-labs.com/E3E8934C-235A-4B0E-825A-35A08381A191/abn/main.css?attr=aHR0cHM6Ly93d3cuaXRob21lLmNvbS50dy9ja2VkaXRvci94c3M" rel="stylesheet" /><p><a href="https://twitter.com/elonmusk/status/1488746173498212353?s=21" target="_blank">SpaceX創辦人暨執行長Elon Musk周三（2/2）宣布</a>，SpaceX旗下的衛星寬頻服務Starlink將推出高階版Starlink Premium，其下載速率可達150~500Mbps，預計於今年第二季上線。</p> <p class="rtecenter"> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Starlink high performance antenna <a href="https://t.co/83kIQSNV3l">https://t.co/83kIQSNV3l</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1488746173498212353?ref_src=twsrc%5Etfw">February 2, 2022</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>SpaceX是在2020年10月開始測試Starlink，標準版的規格是下載速率為100 Mbps，上傳為20 Mbps，使用者必須先支付499美元來購買終端設備，之後每月支付99美元的月費，迄今Starlink已具備逾1,700個通訊衛星，於全球25個國家提供服務，用戶數已逾14.5萬，但尚未跨出美洲及歐洲市場。</p> <p><a href="https://www.starlink.com/premium" target="_blank">Starlink Premium</a>則是專為高需求用戶所設計，諸如小型辦公室、店面及超級用戶等，可支援更高的使用量，其下載速率可達150~500Mbps，延遲時間介於20~40毫秒，但其硬體費用為2,500美元，衛星天線的押金為500美元，每月的月租費則是500美元。</p> <p>不管是標準版或是高階版的延遲時間都一樣，也都沒有使用額度的限制，最大的差別在於標準版的下載速率介於50~250Mbps，上傳為10~20Mbps，高階版下載則是150~500Mbps，上傳為20~40Mbps，此外，高階版強調更有極端氣候的耐受力。</p> <p><a href="https://www.speedtest.net/insights/blog/starlink-hughesnet-viasat-performance-q3-2021/" target="_blank">網路測速網站Speedtest曾於去年第三季，比較了Starlink、HughesNet與Viasat等衛星寬頻服務及固網的速率</a>，顯示Starlink的下載／上傳速率與延遲雖然仍不及固網，但已大勝HughesNet及Viasat，但Speedtest也警告當用戶數增多時，Starlink的速率即會變慢，不過，最新的Starlink Premium強調可適用於10~20名用戶。</p> </div></div></div>
2022/2/3 15:00作者陳曉莉https://www.ithome.com.tw/news/149184
DeepMind程式設計AI AlphaCode具人類工程師中等水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下AI公司DeepMind又有新進展了。<a href="https://deepmind.com/blog/article/Competitive-programming-with-AlphaCode" target="_blank">DeepMind本周表示</a>該公司設計的AlphaCode AI系統具備能撰寫程式的能力，且在程式競賽中證明已經具備人類中等程式設計師水準。</p> <p>DeepMind發展的AlphaCode系統是機器學習系統，可學習解決問題能力。DeepMind利用過去程式碼及資料集訓練後，AlphaCode的變換器（transformer）語言模型產出極大規模的程式碼後，從中產出特定程式。透過<a href="https://codeforces.com/" target="_blank">程式競賽平臺Codeforces</a>評比，AlphaCode 被認為具「中等參賽者」的水準，也是AI程式撰寫系統首次達到具競爭力的水準。</p> <p class="rtecenter"><a href="https://codeforces.com/blog/entry/99566" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-AlphaCode%20Deepmind-600-2.png" style="width: 540px;" /></a></p> <p>DeepMind指出，程式競賽本質上是程式設計師解決問題的過程。參賽者接到多個問題描述，並被要求在幾小時內撰寫程式解決問題。贏得程式競賽需要的問題解決能力超出現有AI系統能力，而這集結了分析思維、邏輯、演算法、程式撰寫及自然語言理解。為此，DeepMind結合了大規模變化器（transformer）模型大量程式取樣（sampling）及篩選（filtering）試圖開發出能解決未知問題的AI系統。</p> <p>在作法上，DeepMind預先以GitHub上公開程式碼來預訓練模型，並以少量高品質的編程資料集來微調。在評估階段，他們為程式競爭主辦單位給定的問題各建立了該公司歷來最大量C++和Phyton程式，然後開始針對這些程式進行篩選、集合及重新排名，最後完成10支最有希望的程式，並且提交給主辦單位。DeepMind指出，這套自動化系統運作不同於一般競爭者使用的嘗試錯誤（trial and error）過程，即除錯、編譯、測試及提交。</p> <p class="rtecenter"><img alt="" src="https://kstatic.googleusercontent.com/files/744ac5325ebfe5ea78651e3c498643d989125caf53abf31d5ece15691247c5f48bd92c95aa9dd7bfdfe4f4026ac2ad69c51cf728935f7debdf2ee2695a2ad05a" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／DeepMind</span></p> <p>最後，他們在主辦單位同意下，模擬參賽近年10次競賽，每一次AlphaCode都必須開發出新式解決方案。總結而言，AlphaCode能力在所有參賽者中，大約名列前54%的水準，居中等能力。雖然無法贏得大賽，但DeepMind認為AlphaCode已顯示深度學習模型解決分析思維任務的能力進展。</p> <p>DeepMind相信這有助於推進問題解決型AI的研究。<a href="https://github.com/deepmind/code_contests" target="_blank">DeepMind也將AlphaCode使用的資料集公布在GitHub上</a>，包括每一次測試的資料供外界使用。</p> </div></div></div>
2022/2/3 12:27作者林妍溱https://www.ithome.com.tw/news/149181
Google可能為WhatsApp設定Drive備份的上限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正逐漸縮減免費雲端服務的備份容量。媒體發現Google可能正在規畫不再讓WhatsApp無限制備份於Google Drive中。</p> <p><a href="https://wabetainfo.com/google-will-offer-a-limited-plan-for-whatsapp-backups/" target="_blank">WABetaInfo三個月前發現</a>，WhatsApp正在開發一項新功能，讓使用者可以管理備份於Google Drive的WhatsApp聊天訊息，像是排除某些訊息類型以節省Google Drive空間。目前WhatsApp備份並不佔用Google Drive儲存限額或帳號限制。媒體因而推斷，這可能預示著Google可能將對WhatsApp取消無上限備份空間，而設下儲存限額。</p> <p>原本Google只將Google Drive及Gmail包含在15GB的免費儲存限額，<a href="https://www.ithome.com.tw/news/144274" target="_blank">去年6月1日開始</a>將Google Photos加入計算，超過15GB用戶不是得刪除檔案，就是花錢購買名為Google One的儲存空間服務。Google One除了Google Drive，另外也提供電話備份以及Android VPN等服務。</p> <p>即便臆測成真，媒體也認為也不意外，畢竟用戶透過WhatsApp傳輸的影音、圖片等檔案也不少。而且去年Google 加速強推收費服務時，不少用戶就利用WhatsApp繞道將影音、圖片檔案備份到Drive。</p> <p>不過Google尚未對其收費政策是否變更做出回覆。</p> </div></div></div>
2022/2/3 12:42作者林妍溱https://www.ithome.com.tw/news/149182
Meta財報出爐，首度公布Reality Labs營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年10月自Facebook更名的Meta，<a href="https://investor.fb.com/investor-news/press-release-details/2022/Meta-Reports-Fourth-Quarter-and-Full-Year-2021-Results/default.aspx" target="_blank">於周三（2/2）公布了去年第四季的財報</a>，這是更名後的首次財報，也首度揭露了Reality Labs的營收，儘管該季Meta創下了337億美元的營收，比2020年同期增加20%，但獲利下滑、用戶數量不符華爾街分析師的期待，再加上對今年第一季的展望不佳，使得Meta當天的盤後股價下挫超過20%，股價徘徊在250美元左右。</p> <p>Meta在新的財報中把公司營收分為兩大部份，一是集結Facebook、WhatsApp、Instagram與Messenger的程式家族（Family of Apps，FoA），二則是專門發展元宇宙（Metaverse）的Reality Labs。</p> <p>該季Meta的程式家族營收為328億美元，Reality Labs為8.8億美元，程式家族的營業收入為159億美元，而Reality Labs則是虧損了33億美元，從財報中可看出，雖然程式家族的營業收入多半呈現逐季成長，但欲打造新一代元宇宙的Reality Labs的營業虧損也逐季擴大。</p> <p>與2020年第四季相較，FoA的用戶數仍在成長當中，但去年第四季臉書的每日用戶數為19.3億，卻低於去年第三季，這也是臉書每日用戶數首度出現衰退的現象。</p> <p>此外，Meta在去年第四季的淨收入及每股盈餘都低於2020年同期，該季的每股盈餘為3.67美元，比2020年下滑了5%。</p> <p>Meta對今年第一季的展望不佳，預期今年第一季的營收會落在270~290億美元之間，成長幅度僅有3~11%。歸納其原因則包括用戶轉移到Reels等新的服務，而這些服務創造營收的能力則不如動態消息或Stories；蘋果iOS的廣告政策也將衝擊廣告營收；通貨膨脹與供應鏈的緊縮影響了業者的廣告預算；美元下跌也讓Meta海外營收縮水。</p> <p>Meta本業營收成長趨緩，再加上打造新一代元宇宙的大量投資，也許都是釀成投資人信心動搖的原因。</p> </div></div></div>
2022/2/3 12:03作者陳曉莉https://www.ithome.com.tw/news/149180
淺談反應擴散系統
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現今而言，想模擬自然界的外貌形態有許多方式，這在先前專欄〈<a href="https://www.ithome.com.tw/voice/137054" target="_blank">隨機演算之美</a>〉、〈<a href="https://www.ithome.com.tw/voice/137637" target="_blank">自然噪聲與碎形</a>〉與〈<a href="https://www.ithome.com.tw/voice/137795" target="_blank">碎形與L-system</a>〉等，曾談過一些，簡單來說，自然有其規律，在規律未被發掘之前被稱為隨機，在隨機中加入已知的規律，就有了模擬自然的可能性，而那份規律性，可以用數學來描述。</p> <p>這就是我喜歡透過程式來模擬自然的原因之一，因為，程式碼的本質就是用來描述規律，而數學可以用來描述自然規律，所以，只要能找出相應的數學，就能使用程式碼來描述自然；或者更確切地說，程式碼的本質就是數學，用來表達自然規律，是再自然也不過的一件事。</p> <p>那麼，生物方面的現象呢？開發者對神經網路等為出發點的人工智慧應該不陌生，本質上來說，神經網路就是試著將簡單的數學公式予以組合，構成非線性轉換，從而模仿生物複雜的學習行為。</p> <p><span style="font-size:28px;"><strong>圖靈紋</strong></span></p> <p>程式碼的本質就是數學，例如，艾倫圖靈（Alan Turing）早就提出了圖靈機來證明這件事，確切地說，圖靈是想探究「運算」這件事，本質上由哪些規律組成，而且，圖靈熱衷於尋找事物的規律性，甚至是胚胎發育的規律性，也不放過。</p> <p>他的出發點在於：明明一開始就只是一個受精卵，為什麼後來會發展出各種骨骼、血管、器官呢？於是，他試著以數學來觀察、描述這個過程，成果發表於1952年的〈<a href="http://bit.ly/3Kqzf30" target="_blank">形態發生的化學基礎</a>（<a href="https://bit.ly/3Kqzf30" target="_blank">The Chemical Basis of Morphogenesis</a>）〉論文之中，並在計算的手稿上，畫出了與動物身上紋路非常相近的圖案，據說他還到處問人這是否很像乳牛身上的斑紋。</p> <p>在圖靈的論文中，談到型態素（morphogen）、濃度（concentration）、反應（reaction），以及擴散（diffusion）等字眼，而這樣的理論後來被稱為型態發生的反應擴散（reaction-diffusion），因此，基於其理論而形成的圖樣，後來被稱為圖靈紋（Turing pattern）。</p> <p><span style="font-size:28px;"><strong>反應擴散系統</strong></span></p> <p>在論文中，圖靈提出了下列假設。系統中只有X、Y兩種我們感興趣的型態素（忽略其他的型態素），用Xr、Yr代表r細胞的濃度，反應是指X會與Y作用，因此，我們若以f(X,Y)來表示反應會增加X濃度的速度，用g(X,Y)表示反應會增加Y濃度的速度，而型態素會從高濃度往低濃度處擴散；若X擴散系數為μ，而Y擴散係數為v，細胞r的型態素濃度隨著時間的變化，將可用微分方程式來描述（請參考〈<a href="http://bit.ly/3Kqzf30" target="_blank">形態發生的化學基礎</a>〉第47頁公式6-1）。</p> <p>我們可以想像一下X、Y兩種型態素，就像草食動物與肉食動物。當草食動物遇上肉食動物就會被吃掉，而這些動物會因為其他因素而死亡，也會繁殖，這些是公式中f(Xr,Yr)、g(Xr,Yr)的部份，也就是反應的部分；因此，草食動物與肉食動物的數量增加，會往數量少的地方擴大棲息地，而公式中其他的部分，也就是擴散的部分。</p> <p>草食動物與肉食動物間的反應與擴散，有可能發生肉食動物過度捕食的狀況，導致草食動物減少，然而也會因食物減少而使得肉食動物數量降低。因此，在一個生態系的長期演化後，同時存在著草食動物與肉食動物，那麼，兩者必然維持巧妙平衡。</p> <p>如果將X、Y兩種型態素，看成決定細胞顏色的兩種激素，激素會以一定的速率補充（feed）與排除（kill）──激素會進行擴散，彼此碰上之後會反應，而根據不同的擴散係數與反應條件，最後可能達到一種平衡狀態，例如，變成其中一種顏色，或者兩個顏色形成了平衡。</p> <p>自然界中許多生物身上的圖樣，就呈現出了各種平衡下的結果，像是熱帶魚身上花紋、花豹的斑點、乳牛的黑白斑塊等；實際上，不限於生物，乾裂的大地、風吹的沙丘，甚至是化學元素的晶體，都有可能出現反應擴散下的類似紋路。</p> <p><span style="font-size:28px;"><strong>Gray-Scott模型</strong></span></p> <p>在圖靈定出的公式中，擴散比較容易理解，基本上就是擴散系數乘上Laplacian運算，我們可以簡單理解為：擴散系數大就容易擴散，某位置濃度的變化速率大也容易擴散，那麼f(Xr,Yr)、g(Xr,Yr)呢？</p> <p><a href="https://bit.ly/3ryK9LJ" target="_blank">化學家Gray與Scott曾在1983年發表的論文提出一個模型</a>：物質A會以一定速率補充，A與兩個B反應會變成三個B，然後B會以一定速率變成C，而C成惰性，不再參與反應，相當於B被排除，而這個模型成了反應擴散系統最常見的代表。</p> <p>圖靈的f(Xr,Yr)在Gray-Scott模型中，相當於-AB^2+f(1-A)，f是補充率，g(Xr,Yr)相當於AB^2-(k+f)B，k是排除率，我們可以在〈<a href="https://bit.ly/3rCcdOq" target="_blank">Reaction-Diffusion Tutorial</a>〉看到Gray-Scott模型的簡單說明，以及不同的擴散係數、k與f數值下，所產生出來的各式圖靈紋，也有生成過程的動畫展示。</p> <p>其中，比較有趣的部分是，類似Voronoi的圖靈紋。一般而言，Voronoi的基本概念是勢力均衡，然而，我們可以從反應擴散的狀況來看整個過程，例如，細胞一開始會努力擴散，直到與另一個細胞接觸，壓力成了抑制反應，直到均衡為止。</p> <p>另外，在其中一個動畫的展示，則出現了類似細胞有絲分裂的行為，文中解釋了這個現象：兩個元素接觸的邊界，若有其中一個呈現突起，就會有越多反應的機會，從而得到越多擴散的機會，最後將聚在一起的元素看來會是被切分為二，就像是細胞分裂。</p> <p>如果你有興趣玩玩各種圖靈紋，可以看看〈<a href="https://bit.ly/3IkR5TA" target="_blank">生物圖案是如何形成的？</a>〉，作者實作了一個網頁，我們可以在其中選擇不同的f、k組合，或者使用Presets預設的f、k組合，並且隨意地點選畫布，看看各種圖靈紋產生的過程。</p> <p><span style="font-size:28px;"><strong>實作Gray-Scott模型</strong></span></p> <p>若想以程式碼實作Gray-Scott模型，我們可以準備兩個二維陣列，陣列中各元素代表各位置的A、B濃度，一開始A濃度都是1，B濃度都是0，然後在點選位置處設置其他的A、B濃度，接著，在每個離散時間中，針對兩個二維陣列，進行〈<a href="https://bit.ly/3rCcdOq" target="_blank">Reaction-Diffusion Tutorial</a>〉的公式運算（選定適當的擴散濃度、f與k組合），然後將A或B繪製出來。</p> <p>關於方才談到的程式碼實作，原始碼放在GitHub的〈<a href="https://bit.ly/3KqTRbJ" target="_blank">grayscott</a>〉，作者是透過Three.js實現視覺化，至於我，則是運用CadQuery進行3D模型，而模型與原始碼鏈結，可參考〈<a href="https://bit.ly/3rwU9VO" target="_blank">Reaction-Diffusion</a>〉。相關的程式碼實作其實非常簡單，因為需要對二維陣列進行運算，若配合Numpy，在程式碼的撰寫上，只要短短幾行就能解決。</p> <p>若需要詳細的程式碼說明，我們可以參考《<a href="http://books.gotop.com.tw/v_A597" target="_blank">A-Life 使用Python實作人工生命模型</a>》，當中的第二章，一開始就介紹了反應擴充系統與Gray-Scott模型，其中就是使用Numpy實作。</p> <p>該書介紹的自動機等其他系統，也值得一看。因為，單就程式的角度來看那些複雜結果，似乎需要複雜的程式邏輯才能完成；然而，從數學的角度來描述，後續若要透過程式碼來實現，就變得易常簡單，每次在試著以程式模擬自然的過程中發現到這些，總有種窺見了某種祕密的感覺，也正因此才令人樂此不疲！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%9C%96%E9%9D%88%E7%B4%8B">圖靈紋</a></div><div class="field-item odd"><a href="/tags/turing-pattern">Turing pattern</a></div><div class="field-item even"><a href="/tags/%E5%8F%8D%E6%87%89%E6%93%B4%E6%95%A3%E7%B3%BB%E7%B5%B1">反應擴散系統</a></div><div class="field-item odd"><a href="/tags/gray-scott%E6%A8%A1%E5%9E%8B">Gray-Scott模型</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/2/3 07:00作者林信良https://www.ithome.com.tw/voice/149092
Log4j漏洞引爆開源軟體安全議題，OpenSSF基金會扛起重擔，推動修補大量軟體漏洞的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/139191">2020年</a>由Linux基金會成立的<a href="https://openssf.org/">開源軟體安全基金會（Open Software Security Foundation，OpenSSF）</a>本周宣布<a href="https://openssf.org/press-release/2022/02/01/openssf-announces-the-alpha-omega-project-to-improve-software-supply-chain-security-for-10000-oss-projects/">名為Alpha-Omega的計畫</a>，將協助尋找並修補1萬項開源軟體的漏洞。</p> <p>基本上，OpenSSF是以強化開源軟體安全為宗旨的組織，獲得業界大廠，包括微軟、Google、IBM、英特爾等支持。他們推出的最新計畫Alpha-Omega，是在Log4j漏洞公布後，白宮召集美國軟體及資安界人士共商對策後的結果，當中將透過和軟體專案負責單位，自動安全測試工具來促進開源軟體供應鏈的安全性，而在第一階段期間，微軟和Google也將投入500萬美元支持這項計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSSF%20Member-2022-02-02_230004.png" style="width: 600px;" /></p> <p>開源軟體安全基金會總經理Brian Behlendorf指出，開源碼是現代社會關鍵基礎架構的關鍵元素，因此必須儘可能確保軟體供應鏈安全，而Alpha-Omega計畫的推動，可透過發現、修補及預防漏洞，直接改善開源專案的安全性。</p> <p>同時，這項計畫透過開源軟體專案維護單位，找出程式碼中未發現過的新漏洞，並予以修補。</p> <p>它分成兩項專案，一是Alpha，一是Omega。Alpha專案是和最關鍵的開源碼專案維護單位合作找出及修補漏洞。至於最關鍵的專案，將由<a href="https://github.com/ossf/wg-securing-critical-projects">OpenSSF Securing Critical Project工作小組</a>根據專家意見及評分資料來選擇。選定的專案將由Alpha團隊成員提供檢視及修補，包括威脅建模、自動化安全測試、原始碼稽核等，用以修補漏洞。修補工作也可結合OpenSSF資源，包括<a href="https://github.com/ossf/scorecard">OpenSSF 評分表</a>或<a href="https://bestpractices.coreinfrastructure.org/en">最佳典範</a>等。最終，Alpha專案也會公布相關安全及修補措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenSSF%20Best%20Practices-2022-02-02_225102.png" style="width: 600px;" /></p> <p>至於Omega專案，將運用自動化方法和工具，找出至少1萬項常用開源碼專案的重大安全漏洞，當中將結合多種方式，包含：利用雲端規模的分析「技術」、負責分類的安全分析「人員」，以及向正確OSS專案人士祕密通報重大漏洞的「流程」。Omega也會有個安全工程師組成的專門團隊，持續調校分析流程，以減少誤判率及找出新漏洞。</p> </div></div></div>
2022/2/2 23:01作者林妍溱https://www.ithome.com.tw/news/149179
Google One增添向iOS平臺用戶招手，VPN服務開始進駐蘋果裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於2020年10月，Google旗下的Google One針對2TB的Android訂閱用戶，提供免費的VPN服務，本周該公司宣布，即日起符合資格的iOS用戶，也能使用VPN服務。</p> <p>Google在2018年5月將Google Drive更名為Google One，同年即於臺灣推出Google One，除了15 GB的免費儲存空間，也能以每月65元的價格訂閱100 GB的網路儲存空間使用，每月支付90元即可訂閱200 GB，以及每月330元訂閱2TB。</p> <p>該公司提供的雲端儲存功能可擴及世界各國使用，也同時支援Android與iOS平臺，不過，2020年10月，Google One開始針對2TB訂閱用戶額外提供免費VPN服務，當時僅限於Android平臺與特定國家的用戶能使用。</p> <p>現在該服務則擴大至iOS平臺，支援VPN的地區也增加至18個國家，而現階段主要服務範圍是歐美國家，臺灣並未入列，Google透露將會持續擴張VPN服務所支援的市場。此外，Google還宣布，2TB方案將可支援最多5個家族成員，讓親友也能共享儲存空間與VPN服務。</p> </div></div></div>
2022/2/2 20:51作者陳曉莉https://www.ithome.com.tw/news/149178
數位資產走紅，印度政府提議對加密貨幣及NFT交易抽稅，比例為30%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為<a href="https://www.ithome.com.tw/news/146345">全球第二大加密貨幣採用大國</a>的印度，<a href="https://pib.gov.in/PressReleasePage.aspx?PRID=1794131">在今年2月1日舉行的國家預算會議提案</a>，將針對數位資產的交易徵收30%的稅賦，儘管這對企圖透過加密貨幣或非同質化代幣（Non-Fungible Token，NFT）獲利的使用者來說，也許是壞消息，但從另一個角度而言，卻有人表示這代表印度官方認同加密資產，也推動印度有機會成為Web3時代的領航員。</p> <p>印度財政暨企業事務部長Nirmala Sitharaman表示，有鑑於數位資產交易的頻率與規模明顯增加，任何源自於數位資產交易的營收應該徵收30%的稅賦，除了購入成本之外，在計算相關收入時，不得扣除任何支出；若有損失，也不得與其他收入抵銷，就算是贈予，也建議向接受者徵稅。</p> <p>加密貨幣在印度可說是峰迴路轉，因為，印度央行在2018年曾宣布禁止境內的加密貨幣交易，使得當地的加密貨幣交易中心相繼退出，然而，印度最高法院卻<a href="https://www.ithome.com.tw/news/136181">在2020年擱置此一禁令</a>，認為加密貨幣並未直接或間接對當地銀行造成任何損失。</p> <p>在解禁之後，印度快速成為全球採用加密貨幣的第二大國家，僅次於越南。根據加密貨幣市場分析機構<a href="https://blog.chainalysis.com/reports/2021-global-crypto-adoption-index/">Chainalysis公布的加密貨幣採用指標</a>，在前十名當中，除了位居第八的美國，其餘皆屬新興市場。</p> <p>印度金融服務業者Zerodha的創辦人暨執行長<a href="https://twitter.com/Nithin0dha/status/1488456806544588800">Nithin Kamath認為</a>，這意味著，加密貨幣在印度的角色將成為資產而非貨幣，可能會被當成股票之類的資產對待，屆時官方機構不僅可以提供加密貨幣交易，也將讓它合法化，但值得注意的是，印度政府也可能會將它集中管理，因而失去加密貨幣的分散優勢。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">The good news for crypto is that it was finally acknowledged in the budget. That doesn't mean it's legal—it will only be after the crypto bill.</p> <p>Until then, regulated entities in India can't offer trading in crypto. Here's my reading of crypto post the budget 1/5</p> <p>— Nithin Kamath (@Nithin0dha) <a href="https://twitter.com/Nithin0dha/status/1488456806544588800?ref_src=twsrc%5Etfw">February 1, 2022</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>對此，致力於推動加密貨幣的<a href="https://twitter.com/puneetiitm/status/1488438453692149763">Puneet Kumar說</a>，令他感到興奮的是，此舉很可能讓印度成為未來的Web3創新中心。</p> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2022/2/2 20:34作者陳曉莉https://www.ithome.com.tw/news/149177