iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臉書演算法臭蟲推送錯誤資訊給用戶長達數月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2022/3/31/23004326/facebook-news-feed-downranking-integrity-bug" target="_blank">The Verge取得Meta旗下的臉書一份內部報告報導</a>，臉書動態消息演算法去年曾經出錯，然而臉書卻未能立即解決，導致大量錯誤資訊透過動態消息功能推送給了用戶。</p> <p>這項報告是臉書上周在內部公開而由媒體取得。報告顯示，臉書工程師去年10月首先發現「大規模排序錯誤」的問題，大量重複資訊經由動態消息發布給用戶，其量之大使動態消息讀取量增長了30%。然而臉書卻未能立即阻止這些貼文，理由是找不到問題根源。這也使得動態消息讀取量率低起伏了將近6個月，直到今年3月11日才解決。</p> <p>這些重複資訊中，有大量經過外部審查者檢視判斷為錯誤資訊（misinformation），即有意或無意傳播的未經驗證、以訛傳訛的資訊內容。此外還包括裸露、暴力內容，以及臉書宣稱要封鎖的俄羅斯官媒內容，也都未被降低排序。</p> <p>過去臉書或Google透過排序來確保動態消息呈現的內容品質。臉書也運用排序作為內容審查的手段，像是藉由降低俄羅斯官媒報導、高爭議性內容、或假訊息排序來減少影響的層面。</p> <p>這次事件在臉書內部被列為第1級事件，屬高優先性的技術事件。不過最高為第0級，例如全球性的斷線事件。</p> <p>報導引述臉書官方發言人指出，該平臺偵測到5類不同內容在降低排序上出現不一致的情況。內部文件顯示該事件首先發生於2019年，但直到2021年10月才被發現。臉書後來他們找出問題根源並已修正，但補充說道，這問題並未顯著影響內部量測值，也未影響臉書自動刪除該移除的內容。</p> <p>臉書被懷疑不是沒理由的，因為<a href="https://www.ithome.com.tw/news/147484" target="_blank">該平臺曾遭指控</a>為促進高流量及廣告收益，不惜刻意放任仇恨、暴力內容、假新聞在平臺上流傳。</p> <p>The Verge報導，此次事件應該不是惡意操弄或疏忽的結果，但臉書「公民完整性」團隊成員Sahar Massachi指出，此事突顯網際網路平臺及演算法透明度的重要性，以便在這些有影響力的大型平臺出錯時，外界人士能很快發現，並協助修正。</p> </div></div></div>
2022/4/1 13:59作者林妍溱https://www.ithome.com.tw/news/150228
Google搜尋將新增新聞來源標籤以對抗不實資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個不實資訊漫天飛舞的時代，Google擔起了搜尋引擎的責任，本周宣布將針對熱門的議題提供「最常被引用」（Highly Cited）的標籤，以將使用者導至新聞的源頭，這些源頭可能是某篇媒體或通訊社的報導，可能是一場專訪，可能是一個公告，或者是新聞稿。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/GGLSearch_HighlyCitedLabels_BlogGIF_2.gif" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>身為全球最大的搜尋引擎，Google其實已經替排除不實資訊或推動事實查核做了許多努力，例如透過Google News Initiative贊助許多事實查核機構，設立Google Fact Check Explorer讓使用者直接搜尋已經過查證的主題，<a href="https://www.ithome.com.tw/news/145298" target="_blank">針對缺乏更多可靠來源的搜尋結果跳出提醒</a>，或是<a href="https://www.ithome.com.tw/news/145836" target="_blank">於搜尋中列出產生搜尋結果的依據</a>，以協助使用者判斷所查詢消息的可靠性。</p> <p>迄今Fact Check Explorer已蒐集了來自全球知名出版商、所提供的逾15萬筆事實查核資訊，Google News Initiative也已經贊助了位於美國、拉丁美洲、巴西、法國、澳洲與菲律賓的多個事實查核組織，並在使用者查詢新興主題時，提醒使用者確認消息來源是否可靠。</p> <p>本周Google再度祭出新招，針對每天的Top Stories提供「最常被引用」的新聞來源標籤，例如當絕大多數的媒體都引用來自《衛報》（The Guardian）的獨家報導時，它會率先出現《衛報》的該篇文章，或者當新聞直接引用某個品牌的新聞稿時，它會直接奉上新聞稿，讓使用者可以直接閱讀最原始的新聞來源，而不因只閱讀其它媒體的評論而錯過了事件的真實脈絡。</p> <p>此一標籤近期內就會出現在美國市場的行動版Google搜尋上，並於未來幾周擴充至全球市場。</p> </div></div></div>
2022/4/1 14:12作者陳曉莉https://www.ithome.com.tw/news/150230
蘋果小型企業訂閱服務Apple Business Essentials於美上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/03/apple-business-essentials-now-available-for-small-businesses/" target="_blank">蘋果於3月31日正式於美國推出</a>專為小型企業所設計的裝置管理服務Apple Business Essentials，將協助小型企業管理員工的蘋果裝置，包括iPhone、iPad、Mac及Apple TV 。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Apple-Business-Essentials-3up-hero-960.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p><a href="https://support.apple.com/ar-qa/guide/apple-business-essentials/axmca7e28554/1.0/web/1.0" target="_blank">Apple Business Essentials</a>主要提供裝置管理與iCloud儲存服務，企業還可額外訂閱AppleCare+。裝置管理服務涵蓋可遠端配置、部署與管理蘋果裝置，其中一項名為Collections的功能允許企業遞送程式及Wi-Fi、VPN或FileVault等設定予使用者，還能在裝置遺失時保護裝置上的資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Apple-Business-Essentials-7-collections%E5%8A%9F%E8%83%BD-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>至於iCloud上的儲存空間則視訂閱費用而定，從50GB到2TB不等，以讓員工能夠保存與備份商業資料。也能額外訂閱AppleCare+服務，可派遣技術人員至企業修理裝置。</p> <p>Apple Business Essentials支援企業所提供或員工自己的個人蘋果裝置，只要透過蘋果的User Enrollment 功能便可隔離工作及私人資料。現在已可連動Microsoft Azure Active Directory，未來幾個月將加入Google Workspace身分辨識服務，讓員工只藉由單一的企業帳號及密碼就能登入裝置。</p> <p><a href="https://www.apple.com/business/essentials/" target="_blank">Apple Business Essentials提供3種方案</a>，一是支援每名員工一個裝置及50GB儲存空間，每名員工每月費率為2.99美元，二是支援每名員工3個裝置及200GB儲存空間的方案，每月費率6.99美元，三是支援每名員工3個裝置，但儲存空間加大至2TB的方案，每月費率為12.99美元，若加上AppleCare+服務，上述方案的每月費率則將分別提高到9.99美元、19.99美元與24.99美元。</p> <p>現階段Apple Business Essentials僅於美國市場推出，且提供兩個月的免費試用期，蘋果並未說明是否會將該服務擴大至其它市場。</p> </div></div></div>
2022/4/1 12:29作者陳曉莉https://www.ithome.com.tw/news/150225
合勤修補影響VPN、防火牆產品的韌體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/support/Zyxel-security-advisory-for-authentication-bypass-vulnerability-of-firewalls.shtml" target="_blank">合勤（Zyxel）本周釋出安全公告</a>，修補影響VPN及防火牆產品的重大漏洞。</p> <p>編號CVE-2022-0342的漏洞為驗證繞過漏洞，出在合勤防火牆產品CGI程式存取控管機制不當，使攻擊者得以繞過驗證，取得管理員存取權限。該漏洞風險值高達9.8。</p> <p>受這項漏洞影響的產品包括防火牆USG/ZyWALL、USG FLEX、ATP、VPN及NSG，合勤已釋出更新版韌體ZLD V4.71（USG/ZyWALL）、ZLD V5.21 Patch 1（USG FLEX、ATP）及ZLD V5.21（VPN），該公司呼籲用戶應儘速更新。針對NSG系列，合勤目前釋出Hotfix，預計5月5日釋出標準修補程式V1.33 Patch 5。</p> <p><a href="https://www.zyxel.com/support/forgery-vulnerabilities-of-select-Armor-home-routers.shtml" target="_blank">合勤也在2月底針對Armor家用路由器設備釋出安全公告</a>，以修補兩個安全漏洞CVE-2021-4029及CVE-2021-4030。</p> <p class="rtecenter"><a href="https://www.zyxel.com/support/forgery-vulnerabilities-of-select-Armor-home-routers.shtml" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-zyxel%200222%20release-600.jpg" style="width: 600px;" /></a></p> <p>其中CVE-2021-4029為指令注入漏洞，存在CGI程式中，可讓本地攻擊者透過LAN介面在目標裝置上執行任意OS指令。CVE-2021-4030則是位在HTTP精靈程式的跨站請求偽造（cross-site request forgery）漏洞，攻擊者可誘使本地用戶造訪包含惡意Script的網站，進而執行任意指令。美國NIST漏洞資料庫將兩項漏洞同列為8.8的高風險漏洞。但合勤分別列為8.8及8.0。</p> <p>受影響的機種為Zyxel Armor Z1、Z2產品，合勤已針對Z2釋出更新版韌體修補漏洞。Z1已屆產品生命周期終點（EoL），合勤建議Z1用戶應換成新一代產品。</p> </div></div></div>
2022/4/1 13:00作者林妍溱https://www.ithome.com.tw/news/150226
Meta AI嘗試解決維基百科人物傳記所存在的性別偏見問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/generating-wikipedia-biographies/">Meta</a>研究人員創建人工智慧系統，來編寫出維基百科風格的傳記草稿，使得維基百科編輯能夠以最少的編輯，在維基百科上提供女性人物的傳記，以補充目前維基百科上，男女性人物傳記數量失衡的狀況。</p> <p>維基百科一直是全球存取量前10名的網站，是許多人搜尋歷史人物與領創者資訊的第一站，但這些人的傳記，並不總是被平等的呈現在維基百科上，根據維基媒體自己的研究資料，英文網站上只有大約20％的傳記是關於女性。Meta研究人員提到，交叉性族群像是科學界女性、非洲女性或是亞洲女性的傳記數量可能更少。</p> <p>雖然女性可能更傾向於撰寫其他女性的傳記，但Meta研究人員在維基媒體《2021年社群洞察報告》中發現，維基百科中只有15％的編輯是女性，他們提到，女性在歷史上，對科學、政治、社會甚至是企業家精神，都產生巨大的影響，但是這些女性人物卻被忽視，或是被以不成比例的方式在維基百科上呈現。</p> <p>研究人員舉例，像是加拿大物理學家Donna Strickland，在2018年的時候獲得諾貝爾物理學獎，卻在維基百科上無法找到任何關於他的資訊，一直到Donna Strickland獲得該領域最大的獎項，他的傳記才終於被發布。</p> <p>因此Meta研究人員，開發了一個端到端人工智慧模型，作為解決問題的起點，該模型能夠自動創建現實公眾人物的傳記文章。模型會先在網路上搜尋相關的資訊，並且寫出關於該人物的維基百科式條目，並且附上引用資料。</p> <p>由於該人工智慧系統仍還存在一些限制，因此定位上需要能與維基百科編輯互補，由人工智慧系統產生草稿，接著再由編輯進行事實查證和補充。模型的限制包括，用來創建維基百科條目的網頁內容，可能存在文化偏見，而且在技術上，文字生成系統容易產生幻覺（Hallucination），也就是非事實的內容。</p> <p>以下彩色文字，是由模型替無脊椎動物的研究先驅Libbie Hyman，所生成的簡短傳記，綠色文字來自參照文章，紫色文字則來自網路上的證據，橘色文字則表示幻覺，是由模型腦補，無法被驗證的資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201191%20-%20Using%20AI%20to%20deliver%20more%20inclusive%20biographical%20content%20on%20Wikipedia_%20-%20ai_facebook_com.jpg" style="width: 580px;" /></p> <p>雖然模型所生成的結果無法直接被使用，但是模型檢索了Libbie Hyman相關資料，包括對無脊椎動物的研究、重要出版物和工作等，使得維基百科編輯能根據這項基礎，藉由驗證內容的正確性，並且補充Libbie Hyman的生活和成就，更快速地完成傳記。</p> <p>雖然在技術上還是有不足的地方，但這卻是對維基百科內容的性別平等踏出重要的一步，這項研究接下來還有許多工作要做，研究人員提到，他們目前的工作，僅是解決一個複雜問題的一小部分，其他問題像是在參照網路資料時，女性的傳記通常包含更多額外的生活細節，像是離婚這個詞，出現在女性傳記的頻率是男性傳記的4倍，來自小報的素材，往往更關注女性的生活，而這些細節可能沖淡更應該專注的成就。</p> <p>Meta研究人員提到，目前該模型把重點擺在女性，不過維基百科上還有許多內容存在偏見，根據維基百科對社群文章偏見的研究，發現跨性別和二元性別人物的傳記，往往長度更長，但是大部分章節都是描寫個人生活，而非個人成就，因此要在當前的內容中，辨識不同的偏見形式，也是接下來需要繼續研究的部分。</p> </div></div></div>
2022/4/1 13:14作者李建興https://www.ithome.com.tw/news/150223
研究人員設計出干擾電動車充電的攻擊法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現利用無線訊號干擾，可遠端造成電動車無法充電。<a href="https://www.brokenwire.fail/" target="_blank">英國牛津大學及瑞士國防聯邦採購辦公室（Armasuisse）發展出名為Brokenwire的手法</a>，透過簡單設備，研究人員最遠可在47公尺以外干擾電動車和充電設備間的控制訊息，達到破壞充電的目的。研究人員相信這手法也可用於多種電動設備，包括船和飛機。</p> <p>這項手法是攻擊複合式充電系統（Combined Charging System，CCS），CCS是現今主流的電動車直流電快速充電規格。在此類充電系統的充電過程中，電動車和電動充電設備（Electric Vehicle Supply Equipment，EVSE）會互相交換訊息，包括電量狀態（State of Charge）或最大電流。這類通訊是利用HomePlug Green PHY （HPGP）PLC技術提供的高頻寬IP連線來傳送。目前主要標準DIN 70121及ISO 15118都包含這項技術。</p> <p>研究測試是以市面上多數電動車和充電樁相同的HPGP數據機為攻擊對象。攻擊端則使用具備1瓦無線射頻放大器及自製偶極子天線的無線電底板LimeSDR。LimeSDR是完全開源的軟體定義無線電平臺，可自行開發必要的軟體，或下載並使用由自願者發布的軟體。此外研究人員也針對7個品牌的電動車及18款高壓直流充電樁進行測試。</p> <p>研究人員以安全為由，並未公布詳細的攻擊細節，但根據測試結果，他們相信市售無線電設備就能從10公尺之外進行干擾。在實驗情境下，能使訊號傳送封包損失100%。而從影片來看，一個運作正常的充電樁只要惡意訊號一發出就會立即中斷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Brokenwire%20by%20Systems%20Security%20Lab-960.jpg" style="width: 600px;" /></p> <p><a href="http://www.brokenwire.fail/" target="_blank"><span style="color:#696969;">圖片來源／牛津大學 Systems Security Lab</span></a></p> <p>研究人員表示Brokenwire手法影響北美及歐洲常見的CCS規格充電設備，他們相信影響1,200萬輛電動車，以及電動船、飛機及重機具等。</p> <p>不過本手法不會影響交流電充電設備。家用設備多半使用交流充電，通訊規格也不同（IEC 61851），但隨著家用充電支援ISO 15118，未來可能也會受影響。</p> <p>Brokenwire可以利用簡單設備在遠端破壞，可確保攻擊者不被發現。但目前研究人員尚未見到實際有人使用Brokenwire手法來破壞充電樁。他們也強調沒有證據顯示Brokenwire對電動車本身有長期損害，且說根據開發經驗判斷，相信極可能不會有影響。</p> </div></div></div>
2022/4/1 12:19作者林妍溱https://www.ithome.com.tw/news/150224
俄羅斯航空主管機關遭刪光所有資料，被疑為自導自演
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯聯邦航空運輸管理署（Rosaviatsia）上周遭到強大神祕網路攻擊，刪光所有資料。但是駭客行動團體Anonymous或盟友皆否認涉入事件。</p> <p><a href="https://www.aviation24.be/miscellaneous/russo-ukrainian-war/powerful-cyber-attack-on-russias-civil-aviation-authority-servers-no-more-data-nor-back-up/" target="_blank">Aviation 24報導</a>，這宗攻擊發生在上周六（3/26）早上，導致Rosaviatsia網路暫時斷線，電子文件系統無法使用，迫使Rosaviatsia退回人工作業，並利用緊急訊息頻道及傳統郵件交換資訊。Rosaviatsia官網也斷線。</p> <p>報導指出，攻擊造成Rosaviatsia的所有文件、檔案、飛機註冊資料或郵件等，總計65TB資料全數遭刪除。目前Rosaviatsia正在尋找備份，由於未獲得俄國財政部撥發預算，因此Rosaviatsia並沒有資料備份機制。</p> <p>官方指此事件是駭客藉由攻擊營運IT基礎架構的委外廠商InfAvia，進而駭入Rosaviatsia。</p> <p>但<a href="https://twitter.com/YourAnonTV/status/1509172734378582020" target="_blank">Anonymous本周否認涉案</a>，也沒有證據顯示此事是其盟友組織所為。<a href="https://twitter.com/LatestAnonPress/status/1509195820297506826" target="_blank">Anonymous進一步表示</a>，這不但不是駭客攻擊，反而有很多證據顯示是俄國政府所為。</p> <p class="rtecenter"><a href="https://twitter.com/LatestAnonPress/status/1509195820297506826" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Rosaviatsia%20anonymous-600.jpg" style="width: 587px;" /></a></p> <p>Anonymous並未提供說明。但網友有多種推測，像是俄國歷來向許多西方公司租借數百臺飛機，但在烏俄戰爭開打後，各國政府發動制裁，機場也不允許俄國航線降落，為了報復，俄國政府可能策畫假攻擊把資料全數刪除，就能沒收所有飛機。<a href="https://twitter.com/kravietz_/status/1508739361654902784" target="_blank">也有人認為</a>此次事件和Rosaviatsia涉及的貪污案調查時間點十分巧合。該機構旗下的國營企業發生一起10億盧布（約1,200萬美元）貪污案，有證據顯示和Rosaviatsia主管有關。Rosaviatsia也因多年來事務廢弛、飛安事件頻傳而遭俄國政府撤換高層。</p> <p>另外有人認為俄國政府誣賴Anonymous，即可合理化俄國發動的實體及網路攻擊。</p> <p>此次攻擊和Anonymous「敢做敢當」的作風不同，後者攻擊以公布資料或宣揚訴求為主，在這場烏克蘭戰爭中，每每攻擊俄國國營企業、媒體或政府單位，該組織皆會在網上公告，並將資料上傳網站供外界下載。繼上周的俄羅斯營建公司Rostproekt、俄國國家電視暨無線廣播公司（VGTRK），以及生產鑽油、採礦業專用設備的俄國公司MashOil後，<a href="https://twitter.com/YourAnonNews/status/1509621197419462668" target="_blank">昨日Anonymous又公布</a>駭入俄國富豪Alexander Vinokurov持有的投資公司Marathon Group，外洩6.5萬份文件。</p> </div></div></div>
2022/4/1 10:20作者林妍溱https://www.ithome.com.tw/news/150221
明知含有遠端存取漏洞還不修補，Wyze遭抨擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-wyze-cam-iot-device/" target="_blank">資安業者Bitdefender本周揭露了家用監視器Wyze Cam的3個安全漏洞</a>，其中有一個允許未經身分認證存取SD卡的安全漏洞在2019年就被發現，但其製造商Wyze Labs卻直至今年才修補，而且還遺落了最早的Wyze Cam 1版本，因而遭到批評。</p> <p>Bitdefender所公布的3個漏洞分別是身分認證繞過漏洞CVE-2019-9564、遠端控制執行漏洞CVE-2019-12266，以及沒有漏洞編號、可未經身分認證存取SD卡內容的安全漏洞。</p> <p><a href="https://www.bitdefender.com/files/News/CaseStudies/study/413/Bitdefender-PR-Whitepaper-WCam-creat5991-en-EN.pdf?clickid=SLwxt1R98xyIR60yC-UJcUOpUkGQZhUzAU5HUQ0&irgwc=1&MPid=10078&cid=aff%7Cc%7CIR" target="_blank">根據Bitdefender的Wyze漏洞技術白皮書</a>，該公司是在2019年3月發現上述3個漏洞並通報Wyze，Wyze則陸續於這幾年修補相關漏洞，但一直到今年1月才修補未經身分認證存取SD卡內容的漏洞，而且僅修補Wyze Cam 2與Wyze Cam 3，並未修補Wyze Cam 1。</p> <p>此外，Wyze於今年1月底通知用戶，將不再銷售與支援Wyze Cam 1，包括不再釋出Wyze Cam 1的安全更新，倘若使用者於2月1日之後繼續使用Wyze Cam 1，將自行承擔安全風險。</p> <p>儘管Wyze提供了3美元的優惠券給Wyze Cam 1用戶，鼓勵用戶購買36美元的Wyze Cam 3，不過，本身也是Wyze產品愛用者的《The Verge》編輯Sean Hollister則批評，Wyze修補漏洞的時程太長，而且看起來是因為不想修補漏洞才中止對Wyze Cam 1的支援；可存取監視器SD卡內容代表駭客得以存取或下載該監視器錄下的全部內容，對使用者而言是極大的隱私與安全風險，Wyze卻任由它存在多年，使得他決定丟掉所有Wyze產品。</p> <p>雖然Wyze的智慧家庭產品相對便宜，<a href="https://gizmodo.com/you-should-probably-stop-using-your-wyze-camera-right-n-1848731446?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">但《Gizmodo》也認為</a>Wyze輕忽用戶安全的作法將讓它失去客戶的信任，而對於家用監視器製造商而言，信任就是一切。</p> </div></div></div>
2022/4/1 10:58作者陳曉莉https://www.ithome.com.tw/news/150222
微軟分離Python in VS Code中Linting工具成獨立擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-april-2022-release/">適用於VS Code的Python擴充套件2022年4月版</a>，這個版本分離Linting工具獨立成為Pylint擴充套件，並稍微調整直譯器的資訊顯示位置，還提供開發者一個創建空白Python和Jupyter筆記本檔案的快捷方法。</p> <p>官方提到，VS Code團隊正將Python擴充套件中的工具，分解成獨立的擴充套件，以提升其效能、穩定性，同時也使得在安裝Python環境的時候，不需要立刻安裝這些工具。該工程的第一個擴充套件便是Pylint。</p> <p>這個新的擴充套件，使用語言伺服器協定來提供Linting支援，使用者能配置Pylint中問題的嚴重度層級。現在已經可以在VS Code市集中，下載並安裝這個新的Pylint擴充套件。</p> <p>Python擴充套件的更新還包括狀態列上的直譯器資訊，現在移動到了右邊，官方提到，這是為了使Python擴充套件與VS Code擴充套件更為一致，因此將已選擇的直譯器版本資訊，移動到狀態列右邊，並且僅在Python或是settings.json檔案開啟時顯示，避免狀態列過於混亂。</p> <p>開發者現在可以從命令面板，使用File:Create New指令快速創建空的Python或Jupyter筆記本檔案，或是在VS Code歡迎頁面點擊New File，也同樣能快速開啟兩者空白檔案。</p> <p>微軟在新版本修復了使用conda環境執行和除錯檔案的臭蟲，在2022年2月的版本中，由於微軟調整Anaconda環境的部分使用體驗，這導致之後在啟動conda環境執行檔案時，出現一些問題，而現在這些問題都已經獲得改善。</p> </div></div></div>
2022/4/1 09:25作者李建興https://www.ithome.com.tw/news/150206
AWS開始提供Palo Alto次世代防火牆服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-cloud-ngfw-for-aws/">AWS與資安廠商Palo Alto合作</a>，在AWS Firewall Manager中提供雲端次世代防火牆（NGFW），使得AWS用戶可以使用Firewall Manager，來集中配置和管理雲端NGFW資源，並跨多帳戶和虛擬私有雲，監控不合規定的配置。</p> <p>AWS Firewall Manager能夠集中管理用戶的網頁應用程式，跨多個帳戶和地區，集中控制安全配置和設定檔，而Firewall Manager就如同RDS能夠支援多個資料庫引擎一樣，Firewall Manager支援多種類型的防火牆，諸如AWS Web Application Firewall、AWS Shield Advanced、VPC安全群組、AWS Network Firewall和Amazon Route 53 DNS Resolver DNS Firewall。</p> <p>而現在Firewall Manager用戶還有新選擇，可以使用Palo Alto的雲端NGFW。雲端NGFW能夠解密網路資料封包，藉由查看封包內容，使用簽章、協定解碼、行為分析，以及啟發式方法辨識應用程式。</p> <p>AWS提到，這些功能讓用戶得以實行，以應用程式為中心的高精細度安全管理，相較僅以連接埠、協定和IP的過濾模型更為有效，藉由使用進階的URL過濾，用戶可以創建規則並且使用第三方列表和其他選項，來辨識和處理合法和不合法的網路流量，其內建的威脅防護功能，還可以阻擋已知的漏洞被駭客和惡意軟體攻擊。</p> <p>AWS藉由與Palo Alto合作，讓用戶根據自家的網路架構選擇最佳配置，用戶能以集中式和分散式部署雲端NGFW，保護出站、入站，以及VPC對VPC等各種方向的網路流量。由於AWS Firewall Manager和雲端NGFW皆屬於地區性服務，因此用戶的AWS Firewall Manager政策也將屬於地區性，目前雲端NGFW會先在AWS美東和美西地區提供，並會在之後擴展到其他地區。</p> </div></div></div>
2022/4/1 09:54作者李建興https://www.ithome.com.tw/news/150208
蘋果修補兩個可能已被開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於3月31日釋出了<a href="https://support.apple.com/en-us/HT213220" target="_blank">macOS Monterey 12.3.1</a>、<a href="https://support.apple.com/en-us/HT213219" target="_blank">iOS 15.4.1與iPadOS 15.4.1</a>，這是蘋果的緊急安全更新，修補了兩個可能已被駭客開採的安全漏洞。</p> <p>其中，macOS Monterey 12.3.1修補涉及AppleAVD的CVE-2022-22675漏洞，以及攸關英特爾繪圖驅動程式的CVE-2022-22674漏洞，至於iOS與iPadOS則僅修補CVE-2022-22675。</p> <p>同時波及macOS、iOS與iPadOS的CVE-2022-22675是個越界寫入漏洞，存在於蘋果的聲音及影片解碼框架AppleAVD上，將允許應用程式以核心特權執行任意程式，蘋果已藉由改善邊界檢查解決了此一問題。</p> <p>CVE-2022-22674則僅影響macOS Monterey，它是個越界讀取漏洞，可能揭露核心記憶體，蘋果的解決方式是改善它的輸入驗證。</p> <p>這兩個安全漏洞都是由匿名的研究人員所揭露，而且蘋果說它們可能已被開採。</p> </div></div></div>
2022/4/1 10:01作者陳曉莉https://www.ithome.com.tw/news/150220
蘋果放寬荷蘭約會程式採用第三方支付規定，開放Reader類別程式將使用者導至原始網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在3月30日更新了兩項開發者政策，一是<a href="https://developer.apple.com/news/?id=jmps5hyj" target="_blank">放寬荷蘭約會程式採用第三方支付的規定</a>，二則是<a href="https://developer.apple.com/news/?id=grjqafts" target="_blank">允許Reader類程式將使用者導至原始網站以建立或管理帳號</a>。</p> <p>其實蘋果今年1月就在荷蘭消費者與市場管理署（Netherlands Authority for Consumers and Market，ACM）的要求下，允許當地的約會程式使用第三方的程式內購買機制，但ACM認為蘋果所設立的門檻太高，再加上蘋果要求開發者只能在採用蘋果支付或第三方支付中擇一選擇，未充分滿足ACM的要求，而<a href="https://www.ithome.com.tw/news/149051" target="_blank">向蘋果祭出每周500萬歐元的罰款</a>，才促使蘋果於本周更新了相關政策。</p> <p>本周蘋果對荷蘭約會程式的政策更新，則允許開發者同時於單一程式中採用蘋果與第三方支付機制，而且針對第三方支付機制提供更具體的標準與條件。</p> <p>不過，蘋果也要求這些使用第三方支付機制開發者必須提供清楚的說明，以讓使用者了解那並非蘋果的支付機制，必須自行承擔風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Distributing%20dating%20apps%20in%20the%20Netherlands-Apple%20%E8%8D%B7%E8%98%AD%20%E7%B4%84%E6%9C%83app%20%E7%AC%AC%E4%B8%89%E6%96%B9%E6%94%AF%E4%BB%98(1).jpg" style="width: 600px;" /></p> <p><a href="https://www.theverge.com/2022/3/30/23003571/apple-app-store-netherlands-acm-alternate-payment-systems-binaries-ios?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《The Verge》分析</a>，蘋果一直抗拒讓開發者使用第三方的支付機制，檯面上的原因是為了使用者的隱私與安全，因為程式一旦採用了第三方的服務，蘋果就失去保護使用者金流的能力，這也使得蘋果設立了很高的門檻，例如<a href="https://developer.apple.com/support/storekit-external-entitlement/" target="_blank">計畫向採用第三方支付系統的開發者收取27%的佣金</a>。</p> <p>雖然蘋果看似已向ACM讓步，但仍表示將針對ACM的裁決提出上訴。</p> <p>另一方面，蘋果允許Reader類別的程式於程式中嵌入開發者自家的網站連結，不過此一連結是為了讓使用者得以建立或管理帳號，並不允許提供程式內支付，也不得提供即時的人類客服服務。</p> <p>所謂的Reader程式涵蓋了以雜誌、報紙、書籍、聲音、音樂或影片等數位內容為主要功能的程式，如Spotify、Netflix或Hulu。</p> </div></div></div>
2022/4/1 09:06作者陳曉莉https://www.ithome.com.tw/news/150218
【資安日報】2022年3月31日，Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者V…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是Java生態系相關的軟體出現漏洞，而引起許多資安人員的關注。研究人員發現Java框架Spring Core存在極為嚴重的漏洞，並認為其嚴重程度很可能與<a href="https://www.ithome.com.tw/news/148337">去年12月公布的Log4Shell</a>不相上下，而將這項尚未取得CVE編號的漏洞稱為SpringShell（或Spring4Shell）。</p> <p>駭客組織Lapsus$甫於上週宣稱入侵微軟、Okta之後，本週又聲稱攻擊IT業者軟體開發承包商Globant，取得許多大型企業的軟體專案資料，Globant也證實他們遭到入侵。但即使已有成員傳出遭到逮捕，Lapsus$仍然不斷公布受害企業的資料。</p> <p>烏克蘭戰爭開戰之後，美國衛星通訊服務業者Viasat隨即傳出遭駭的消息，影響歐洲許多衛星網路的用戶，後來也使得美國政府提出警告。而該公司在事發一個月後公布調查結果，指出駭客是透過VPN設備存取他們衛星網路的管理者網段而得逞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/globant-confirms-hack-after-lapsus-leaks-70gb-of-stolen-data/"><span style="color: rgb(0, 0, 0);">駭客組織Lapsus$入侵IT業者軟體開發承包商Globant，並得到證實</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Globant-customers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Globant-customers.png" style="width: 300px; float: right;" /></a>繼傳出部分成員遭到逮捕而曝露身分後，駭客組織Lapsus$再度外洩新的資料，而且是專門承接大型IT公司開發案的廠商。Lapsus$駭客於3月29日宣稱入侵了IT業者Globant，且公布該公司部分客戶的名稱，包括亞培（Abbott）、DHL、Facebook等都名列其中，駭客亦公布Globant的DevOps平臺相關資料，當中包含了Jira、Confluence、GitHub、Crucible等系統的管理員密碼。</p> <p><a href="https://www.prnewswire.com/news-releases/globant-official-update-301514040.html">Globant於3月30日發布聲明證實遭到入侵</a>，並表示有少部分程式庫遭到未經授權存取，這些資料是極少數客戶的部分原始碼與專案文件，目前沒有證據該公司基礎架構的其他部分受到影響，也沒有客戶遭到波及的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bloomberg.com/news/articles/2022-03-30/apple-meta-gave-user-data-to-hackers-who-forged-legal-requests"><span style="color: rgb(0, 0, 0);">蘋果、Meta傳出不慎將用戶資料交給假的執法單位</span></a></strong></h3> <p>彭博社（Bloomberg）於3月31日引述多名消息人士的說法指出，駭客自2021年起，偽裝成執法人員，以「緊急資料請求」（EDR）的名義，向蘋果、Meta等多個IT業者索取用戶個資，然後加以濫用或是盜賣，駭客疑似先入侵數個國家的執法機關，從電子郵件系統翻出EDR文件範圍，並偽造官員的簽名，來向網路服務供應商（ISP）、電信業者、IT業者或社交平臺請求特定用戶的個資，接著駭客再用來進行社交攻擊或是暴力破解，進而得到受害者的帳密。</p> <p><a href="https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/">資安部落格Krebs on Security指出</a>，最近1個月不斷公布IT業者資料的駭客Lapsus$，ID為WhiteDoxbin的主嫌先前曾參與另一個名為Recursion Team的網路犯罪集團，該集團專門出售執法機關的資料，而可能被用於上述的偽造EDR攻擊，該部落格認為，這很可能是Lapsus$入侵部分受害企業的管道。</p> <h3><strong style="font-size: 22px;"><a href="https://www.viasat.com/about/newsroom/blog/ka-sat-network-cyber-attack-overview/"><span style="color: rgb(0, 0, 0);">烏克蘭戰爭開打即遭駭，美國衛星通訊服務業者Viasat公布調查結果</span></a></strong></h3> <p>美國衛星通訊服務業者Viasat於2月24日遭駭，而導致Ka-Sat衛星網路服務受到影響，波及歐洲數個國家的用戶，此網路攻擊事故發生的時間點，正好就是俄羅斯正式向烏克蘭開始發動戰爭的當日，由於烏克蘭軍方也是該衛星網路的用戶，也使得外界猜測這次事故很可能與戰爭有關。</p> <p>事隔一個月後，Viasat公布了初步的調查結果與處理進度。該公司指出，此起事故導致數千個烏克蘭用戶與數萬歐洲用戶受到影響，他們是原本是Euro Broadband Infrastructure Sàrl被併購前的用戶，並使用Tooway數據機。此次事故沒有波及政府機關與其他直接由Viasat管理的行動用戶，以及其他地區的使用者。根據該公司協同資安業者Mandiant與相關執行機關進行調查的結果，駭客可能是透過不當組態的VPN設備，入侵Ka-Sat網路的管理網段而得逞，進而關閉受害者的數據機，導致這些用戶無法重新連上網際網路。</p> <p>Viasat認為，駭客的目的是中斷服務的運作，目前亦沒有證據顯示有用戶的資料遭到異常存取或是洩露，Ka-Sat網路與基礎設施也沒有遭到破壞，該公司將陸續對於尚未恢復服務的用戶，提供新的數據機設備使他們能夠重新連上網路。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/03/transparent-tribe-new-campaign.html"><span style="color: rgb(0, 0, 0);">駭客以提供進階身分驗證工具的名義，鎖定印度政府員工發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/KavachAuthentication-infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/KavachAuthentication-infection-chain.jpg" style="width: 200px; float: right;" /></a>政府機關遭駭客鎖定發動攻擊的情況時有所聞，但如今攻擊者有可能假借提供公部門軟體的名義下手，讓受害者難以察覺異狀。思科揭露由巴基斯坦駭客APT36（亦稱Transparent Tribe、Mythic Leopard）近期發動的網路間諜攻擊行動，這些駭客長期針對印度政府員工而來，但在最近的攻擊中，引起研究人員注意的是，駭客以散布該國政府開發的身分驗證應用程式Kavach Authentication做為幌子，對這些政府員工下手，一旦受害者執行安裝程式，會同時在電腦上部署前述的驗證工具與CrimsonRAT木馬程式，由於安裝了上述的身分驗證應用程式且能正常使用，受害者不易發現駭客的行徑。</p> <p>而這個木馬程式所具備的功能，包含能從瀏覽器竊取各式帳密、列出電腦正在執行的處理程序等，而研究人員發現，在近期的版本裡，駭客還加入了側錄鍵盤、讀取及刪除檔案、執行任意命令等能力。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/threat-research-mars-stealer"><span style="color: rgb(0, 0, 0);">竊密軟體Mars Stealer透過Google搜尋廣告散布</span></a></strong></h3> <p>利用Google搜尋廣告來散布惡意軟體的作法，近期又有新的攻擊行動出現。資安業者Morphisec揭露名為Mars Stealer的竊密軟體，該惡意程式約自2021年6月開始出現，並於多個地下論壇兜售，此竊密軟體具備截取各種瀏覽器與數款加密貨幣錢包用戶帳密的能力，駭客取得這項工具後，便透過垃圾郵件或是其他社交工程的方式散布。已有逾50個網域使用者的電腦遭感染此竊密程式，進而導致公司網域的密碼外洩，受害者的身分多半是學生、教職員，以及內容創作者，Morphisec亦發現加拿大醫療基礎設施供應商與企業遭駭。</p> <p>值得留意的是，不少使用此竊密程式的駭客，疑似購買了Google搜尋引擎的廣告（Google Ads），並以提供常見應用程式（如開源文書處理軟體OpenOffice）的名義，來散布Mars Stealer，這也與許多受害者是因為上網搜尋應用程式，而導致電腦遭到此惡意軟體感染的情況互相呼應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/c/purple-fox-uses-new-arrival-vector-and-improves-malware-arsenal.html"><span style="color: rgb(0, 0, 0);">使用惡意軟體Purple Fox的駭客正在散布木馬程式FatalRAT</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Purple Fox blog Figure 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Purple%20Fox%20blog%20Figure%201.jpg" style="width: 200px; float: right;" /></a>惡意軟體Purple Fox自2018年首度出現以來，如今已發展成為功能更為強大的惡意軟體載入器，駭客藉此進一步在受害電腦投放更多的攻擊工具。趨勢科技發現，<a href="https://www.ithome.com.tw/news/148719">駭客在1月使用假的Telegram安裝程式散布Purple Fox之後</a>，這些駭客近期以更多的應用程式名義，如Chrome、Adobe Flash Player、WhatsApp等，引誘受害者下載安裝，一旦執行安裝之後，就會從C2中繼站下載第2階段的惡意軟體FatalRAT。</p> <p>研究人員指出，駭客用來規避偵測的手法，包含了盜用合法的簽章簽署Purple Fox的Rootkit武器庫，以及濫用帶有簽章的驅動程式等，而能夠繞過防毒軟體的檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/verblecon-sophisticated-malware-cryptocurrency-mining-discord"><span style="color: rgb(0, 0, 0);">惡意軟體載入器Verblecon被用於投放挖礦軟體</span></a></strong></h3> <p>攻擊者用來投放挖礦軟體的工具，很有可能未來也被用於散布間諜軟體、勒索軟體，而引起研究人員的注意。賽門鐵克揭露他們從今年1月觀察到的惡意軟體Verblecon，駭客主要利用此惡意軟體在受害電腦植入挖礦工具牟利，且似乎打算竊取受害者的即時通訊軟體Discord帳密。研究人員指出，該惡意軟體透過加密和混淆機制，而使得其每次下載的酬載皆有所不同，進而成功逃避防毒軟體的偵測，除此之外，駭客亦加入了偵測是否在虛擬機器執行的能力。研究人員將取得的惡意軟體檔案上傳到惡意軟體分析網站VirusTotal，結果大部分的防毒引擎都視為無害。</p> <p>對於這個惡意軟體採用相當複雜的規避偵測手法，攻擊者卻只是用於挖礦攻擊的現象，研究人員認為，很有可能只是使用它的駭客不甚了解此惡意軟體的能力，若是老練的網路罪犯取得，將能用來發動勒索軟體攻擊，或是從事網路間諜行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/python-ransomware-jupyter-notebook"><span style="color: rgb(0, 0, 0);">以程式語言Python開發的勒索軟體鎖定Jupyter Notebooks而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/jupyter-notebook-ransomware-attack-picture-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/jupyter-notebook-ransomware-attack-picture-1.jpg" style="width: 300px; float: right;" /></a>駭客使用程式語言Python開發勒索軟體，並鎖定特定應用系統下手的現象，<a href="https://ithome.com.tw/news/147136">日前有人針對VMware虛擬化平臺發動攻擊</a>，但近期有駭客針對自動化程式碼執行系統Jupyter Notebook而來。資安業者Aqua Security揭露近期發現的Python勒索軟體攻擊行動，駭客針對組態配置不當的Jupyter Notebook發動攻擊，下載攻擊所需的程式庫與工具，然後加密了所有檔案後再將自己刪除。研究人員指出，駭客沒有留下勒索訊息，研判該勒索軟體很可能還在開發階段，攻擊者的目的只是測試相關功能是否能發揮作用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.databreaches.net/oklahoma-city-indian-clinic-impacted-by-suncrypts-ransomware-attack/"><span style="color: rgb(0, 0, 0);">說好的不攻擊醫療院所破功了！美國俄克拉荷馬州診所遭到Suncrypt勒索軟體攻擊</span></a></strong></h3> <p>美國的醫療機構陸續有攻擊事件傳出，而最近有針對當地原住民提供服務的醫院下手的事故，且疑似是宣稱不對醫療院所下手的駭客所為。資安新聞網站DataBreaches指出，美國俄克拉荷馬市印地安診所（OKCIC）於3月21日遭到網路攻擊，而導致部分電腦系統無法存取，該院隨即進行調查。</p> <p>而針對其攻擊者的身分，勒索軟體Suncrypt聲稱是他們所為，並宣稱取得逾350 GB資料，內含病人的電子健康資料庫，以及該院財務資料等。由於勒索軟體Suncrypt曾於2020年9月宣稱不再攻擊醫療單位，此起攻擊的後續發展可能會引起資安人員的關注。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://teamt5.org/tw/posts/spring-rce-zeroday-vulnerability/"><span style="color: rgb(0, 0, 0);">Java框架Spring驚傳RCE漏洞，危險程度恐直逼Log4Shell</span></a></strong></h3> <p>又是與Java有關的嚴重軟體漏洞，而可能影響相當廣泛。臺灣資安業者TeamT5於3月30日發布資安通告，指出他們於29日得知Java框架Spring Core存在零時差漏洞SpringShell（<a href="https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.html">亦有資安新聞網站稱為Spring4Shell</a>），攻擊者很可能將其用於RCE攻擊，此漏洞存在於同時使用Spring框架與Java開發套件（JDK）9.0以上版本的開發環境，且當中運用了Spring衍生框架spring-beans-*.jar，或是含有CachedIntrospectionResults.class等元件。研究人員認為，這項漏洞的危險程度，很可能與<a href="https://www.ithome.com.tw/news/148337">去年12月公布的Log4Shell</a>相當接近。</p> <p>而對於SpirngShell的危險程度，<a href="https://www.flashpoint-intel.com/blog/what-is-springshell-what-we-know-about-the-springshell-vulnerability/">另一家資安業者Flashpoint指出</a>，此漏洞的CVSS第3版風險層級為9.8分，且<a href="https://www.bleepingcomputer.com/news/security/new-spring-java-framework-zero-day-allows-remote-code-execution/">根據資安新聞網站Bleeping Computer的報導</a>，此漏洞已出現概念性驗證（PoC）攻擊程式，並被攻擊者者積極利用。由於Spring尚未提供修補程式，TeamT5建議用戶先透過網頁應用程式防火牆（WAF）的規則來防範相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-06"><span style="color: rgb(0, 0, 0);">威聯通警告NAS設備恐受到OpenSSL無限迴圈漏洞波及</span></a></strong></h3> <p>加密通訊程式庫OpenSSL於3月15日發布安全性更新，<a href="https://www.ithome.com.tw/news/149962#OpenSSL">修補CVE-2022-0778無限迴圈漏洞</a>，臺灣NAS廠商威聯通（QNAP）於3月29日發布資安通告指出，執行特定版本QTS、QuTS hero，或QuTScloud作業系統的NAS設備，恐受到上述的OpenSSL漏洞波及，攻擊者能發動阻斷服務（DoS）攻擊來癱瘓NAS運作。該公司正在徹底調查，並將會提供安全性更新。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-wyze-cam-iot-device/"><span style="color: rgb(0, 0, 0);">Wyze視訊鏡頭存在漏洞，攻擊者可存取錄下的畫面</span></a></strong></h3> <p>物聯網（IoT）裝置的開發者很有可能只求產品功能正常，而沒有考量資訊安全，使得其產品多年曝露於相關漏洞的風險之中。防毒廠商Bitdefender指出，他們自20219年3月開始，發現Wyze Cam視訊鏡頭產品存在嚴重漏洞，攻擊者可在未經身分驗證的情況下，藉由網頁伺服器監聽網路連接埠80埠，進而存取安裝在視訊鏡頭裡的SD卡資料，且這樣的漏洞存在於此產品線的第1代至第3代機種。Wyze於今年1月29日，針對第2及第3代Wyze Cam發布新版韌體修補相關漏洞。</p> <p>研究人員認為，使用者應重視家用物聯網裝置的安全，最好提供這些設備專用的無線網路SSID，並選用具備資安防護功能的路由器設備。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/31 18:26作者周峻佑https://www.ithome.com.tw/news/150209
首創全智能EC雙溫寄取櫃功能，全家發揮通路優勢瞄準零接觸商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全家今（3/31）全臺第4,000家門市正式開幕，以「社區化購物」為主題，不僅結合麵包店店中店、生鮮食材區等更多元的商品，更利用自身通路優勢，首次推出「EC雙溫寄取櫃」（簡稱寄取櫃），也導入了APP「訂便當」和合作廠商的「餐食智取櫃」等功能，結合科技，將門市變成多項零接觸服務的場域。</p> <p>全家物流運營資深經理林佳梁揭露，根據全家內部統計，門市店員一天8成工作時間待在櫃檯，除了結帳外，最大宗的工作就是處理電商寄取貨。全家希望透過新推的寄取櫃功能，來分擔櫃檯工作量。</p> <p>這套寄取櫃系統，目前主要用於店到店寄取貨需求，可提供常溫櫃和冷凍櫃兩類商品。寄取櫃上有一套互動式主機，民眾依據螢幕說明和語音指示操作，如取貨時先掃描QR code驗證與付款後，會自動開啟對應的櫃位，讓消費者來寄貨或取貨。目前可支援悠遊卡、一卡通，以及全家自身的MyFami Pay等電子支付工具。整套流程不須店員參與，能完全自助完成。</p> <p>這套寄取櫃後端系統串接了全家POS系統，付費和物流資訊會即時同步到全家資料庫中。寄取櫃上主機也內建了門市維護功能，供店員查看櫃位狀態狀態，例如櫃位沒有關門而溫度異常等，並即時做出反應。</p> <p>全家找來老牌倉儲管理商盟立自動化，聯手打造這套寄取櫃服務，盟立聯合事業群課長黃柏銘表示，資料整合上，寄取櫃系統串接了全家金流系統、盟立倉儲管理系統，以及負責店到店配送的日翊物流配送系統。未來，全家全臺4,000家門市，都能藉由同一套系統集中管理所有的寄取櫃，也將結合Google Map服務，讓管理方及消費者即時查詢各門市寄取櫃的剩餘櫃位數，不過，目前還在開發櫃位資訊整合機制。另外，這套寄取櫃不只可以設置在門市內，也有考慮到戶外設置的設計，例如防雨。</p> <p>全家在2014年時，曾引進工研院開發的自助取貨功能，但因成效不佳而沒有繼續採用。林佳梁坦言，全家3年前開始開發這套系統，最大挑戰是，如何找出消費者願意使用的商業模式。因此，這次全家自己主導的寄取櫃服務中，不只取貨，還增加了寄貨功能，聚焦電商店到店服務的模式。他更透露，未來計畫結合更多商流模式，例如預購、團購服務，甚至聯手其他電商平臺，或成為生鮮或熟食外送的寄取處。不過，他沒有揭露何時會開始支援更多商流模式。<br /> 林佳梁強調，不同於其他自助寄取服務，全家寄取櫃不僅是寄取貨，還能導入多樣化商流，來增加消費者的使用意願。林佳梁表示，若能成功串接更多商流，寄取櫃能成為獨立提供消費者零接觸服務的管道，甚至可以將寄取櫃增設到超商門市以外的公共場所，例如大樓內、捷運站，甚至戶外。</p> <p>伴隨著多種商流的導入，倉儲格數的擴充，以及倉儲和物流系統的整合，是勢必面臨的課題。黃柏銘解釋，儘管目前的寄取櫃只有32格，但一臺主機能支援100櫃的倉儲管理，未來可以擴充到更大規模的設置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fami1.jpg" style="width: 600px;" /></p> <blockquote><p>全家首次推出的EC雙溫寄取櫃，使用者可以跟著主機的語音提示，一站式完成寄取件和付款。　圖-郭又華攝</p> </blockquote> <p>新店面也導入了全家App「訂便當」服務。消費者能在全家App上完成訂購和付款，再由合作餐廳把便當送至全家門市，供消費者取餐。目前只有40間全家門市提供此項服務，且只跟特定連鎖餐廳合作。全家數位轉型辦公室的林敬堯表示，未來將推廣到更多門市，且會開放門市方圓三公里的餐廳申請合作。</p> <p>消費者在App上的訂單，會傳送到全家的訂單管理後臺，合作餐廳再登入後臺接單。由於此服務的收單時間較早，會錯開Ubereats等餐點外送服務的高峰期，餐廳也能善用離峰期的時間準備餐點，增加整體產能。</p> <p>林敬堯分析，訂便當服務與目前餐點外送服務的差別，在於門市能提供保溫功能，因此餐點提早送達也不會涼，讓消費者有彈性的取餐時間。此外，餐廳也能透過全家的實體通路，接觸到更多的消費者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/463516.jpeg" style="width: 600px;" /></p> <p>並送至全家的保溫櫃陳列，供消費者取用。同時，消費者也能看到餐廳其他品項的實體產品，增加餐廳曝光率。圖-郭又華攝</p> </div></div></div>
2022/3/31 18:33作者郭又華https://www.ithome.com.tw/news/150210
Google將把新的AI模型MUM應用在個人危機處理的搜尋上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/using-ai-keep-google-search-safe/" target="_blank">Google本周宣布</a>，即將把新的多任務統一模型（Multitask Unified Model，MUM）應用於Google搜尋上，以讓使用者更容易找到有關個人緊急事件的搜尋結果，像是自殺、性侵、藥物成癮或家暴的協助資訊等。</p> <p><a href="https://www.ithome.com.tw/news/144550" target="_blank">MUM是Google於去年5月發表的新AI模型</a>，它建立於Transformer架構上，可理解語言並生成語言，經過75種語言與多種任務的訓練，號稱比BERT模型強大1,000倍，藉由更全面了解資訊與世界知識，提供更精準的搜尋結果。</p> <p>Google搜尋副總裁Pandu Nayak說明，其實當Google察覺到使用者所搜尋的字串與上述緊急事件有關時，即會提供當地的協助熱線或相關訊息，然而，處於這些狀況的使用者可能會以各種型態進行搜尋，相關需求並不總是顯而易見的，如果能夠精確地辨識到使用者的企圖，就能提供更妥善的搜尋結果。</p> <p>因此，Google決定利用新的MUM模型來自動化且更精確地偵測更廣泛的個人危機搜尋，相信它更能理解人們提出問題的意圖，並偵測到使用者的需求，以期能在正確的時間點上提供更可靠的資訊，預計於未來幾周部署。</p> <p>Google不僅打算把MUM應用在改善個人危機的搜尋結果上，也將用它來改善搜尋結果的垃圾訊息保護。</p> <p>目前MUM支持75種語言，當訓練其中一個模型執行某個任務時，將一次嘉惠所有語言，將可快速擴充Google對全球搜尋服務的改善。</p> </div></div></div>
2022/3/31 15:28作者陳曉莉https://www.ithome.com.tw/news/150203
Go的泛型功能可能使程式碼變慢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go 1.18加入了眾所期待的泛型（Generics）功能，社群普遍認為這將使程式碼更乾淨，且更容易重用。而推特、YouTube和Slack等服務都在使用的無伺服器資料庫平臺Planetscale，該公司工程師經過測試，<a href="https://planetscale.com/blog/generics-can-make-your-go-code-slower">發現泛型可能會讓許多Go程式碼執行速度變慢</a>，而這與Go選擇實作泛型的方法有關。</p> <p>Planetscale工程師提到，程式語言實作泛型的常見方法有兩種，分別是裝箱（Boxing）和單態化（Monomorphization），而單態化也是C++、D和Rust等系統語言實作泛型的設計選擇，這是因為這些語言想要以更長的編譯時間，來換取最終程式碼的效能提升。</p> <p>編譯器在執行最佳化之前，開發者能以最終類型替換泛型中的類型占位符號，其所獲得的最佳化效果，是使用裝箱類型（Boxed Type）所無法相比的，至少開發者去虛擬化函式呼叫，也能夠擺脫虛擬表格，在最佳的情境中，開發者可以使用內嵌程式碼（Inline Code），而這又能夠進一步執行最佳化工作。</p> <p>也就是說，單態化可以使泛型程式碼更快，但Planetscale指出，Go的泛型並非完全使用單態化，而是使用一種稱為GCShape Stenciling with Dictionaries的部分單態化技術，雖然這種方法大幅減少生成專有程式碼的數量，但是廣泛的單態化，卻不適合去虛擬化、內嵌或是任何類型的效能最佳化，Planetscale認為，對絕大多數的Go程式碼來說，使用泛型意味著讓程式碼執行速度變慢。</p> <p>由於PlanetScale使用開源資料庫叢集系統Vitess，而Vitess為一個大型且複雜的Go應用程式，因此成為測試新Go語言的絕佳平臺。經過測試，PlanetScale工程師歸納出在Go中使用泛型的幾點訣竅，包括盡量在資料結構中使用泛型，如此不只使資料結構更易於使用且效能更好，同時這也是目前最佳的泛型使用情境。</p> <p>開發者最好也不要使用泛型去虛擬化或是內嵌方法呼叫，在任何情況下都不要將介面傳遞給泛型函式，另外，開發者也不應該重寫以介面為基礎的API來使用泛型，這些做法都會使程式碼變慢。</p> <p>對於使用泛型可能讓Go程式碼變慢的情況，PlanetScale工程師失望地表示，在編譯語言中使用執行時字典，並非正確的技術選擇。工程師們將這個問題指向Go 1.18中，完全單態化提案裡的風險章節，其提到使用字典實現的原因，是因為單態化程式碼很慢，但工程師認為，這是誤導性假設。</p> <p>以Go泛型目前的狀態，限制了在效能敏感的程式碼中的應用，PlanetScale工程師認為，Go官方應該重新評估使用執行時字典來縮短編譯時間的選擇，並在未來的Go版本，能實現更完全的單態化。</p> </div></div></div>
2022/3/31 16:03作者李建興https://www.ithome.com.tw/news/150204
Spring Core出現零時差遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員於3月29日，揭露了一個存在於Spring Core的零時差遠端程式攻擊漏洞，且隔天就出現了概念性驗證攻擊程式，有鑑於Spring Core是個熱門的Java應用程式框架，使得有人把該漏洞與Log4Shell相提並論，並將它稱為SpringShell漏洞，不過，<a href="https://github.com/tweedge/springcore-0day-en" target="_blank">大多數的資安社群認為SpringShell並不如Log4Shell嚴重</a>。</p> <p class="rtecenter"><a href="https://github.com/tweedge/springcore-0day-en#commentaryimpact" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-springcore-0day-3.jpg" style="width: 550px;" /></a></p> <p>Spring是個開源的Java框架，此一受到矚目的安全漏洞尚未被賦予編號，因此暫且以SpringShell稱之，且並非為<a href="https://spring.io/blog/2022/03/29/cve-report-published-for-spring-cloud-function" target="_blank">Spring甫於29日所修補的CVE-2022-22963</a>。</p> <p>釋出SpringShell概念性驗證攻擊程式的研究人員，宣稱該漏洞允許駭客變更應用程式的記錄參數，以恣意寫入內容，使用修改後的記錄器以撰寫含有Webshell的有效JSP檔案，利用該Webshell自遠端執行程式，雖然研究人員很快就將該概念性驗證程式下架，但已遭到資安社群備份，且複製其攻擊行動，證明這是個有效的漏洞。</p> <p>儘管開採SpringShell只需傳遞一個特製的請求至JDK9+，但它僅影響JDK9+，而且必須在特定的配置下才會成功，例如端點必須啟用DataBinder，且重度仰賴應用程式的Servlet容器。</p> <p>資安社群把SpringShell視 CVE-2010-1622的繞過漏洞，迄今Spring尚未釋出修補程式，<a href="https://www.praetorian.com/blog/spring-core-jdk9-rce/" target="_blank">資安業者Praetorian則建議</a>Spring框架用戶應藉由限制危險的DataBinder參數，來減輕SpringShell漏洞可能造成的威脅。</p> </div></div></div>
2022/3/31 13:54作者陳曉莉https://www.ithome.com.tw/news/150201
FedEx將測試無人機在物流中心間送貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.fedex.com/newsroom/elroyair/" target="_blank">聯邦快遞（FedEx）周三（3/30）宣布</a>，將在明年於美國展開以無人機在物流中心之間遞送貨物的測試。</p> <p>FedEx將測試以加州飛機製造商Elroy Air的無人貨機，執行中間哩（middle-mile）運輸任務，即在各個物流中心及分貨點之間運送貨物。這也是美國中間哩無人機貨運的第一宗合作，將使用Elory Air的垂直起降貨機Chaparral C1，後者具備混合動力系統，具長程飛行能力，可載送130到230公斤的貨物飛行高達300英哩（約480公里）。這項測試預計明年展開。</p> <p>FedEx早在2019年底，就完成以無人機測試美國境內最後一哩（last mile）的定期運務，<a href="https://www.ithome.com.tw/news/133198" target="_blank">當時是和Alphabet旗下Wing Aviation合作</a>以無人機測試將包裹運送到住宅區。<a href="https://www.parcelandpostaltechnologyinternational.com/news/technology/fedex-express-completes-first-aerial-drone-delivery-in-ireland.html" target="_blank">去年10月FedEx又在愛爾蘭測試無人機快遞服務</a>。</p> </div></div></div>
2022/3/31 12:31作者林妍溱https://www.ithome.com.tw/news/150200
Lapsus$持續作案，駭入IT廠商Globant並公布70GB客戶專案程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周遭英國警方逮捕疑似特定成員的駭客組織Lapsus$並未因此歇手，本周稍早又再<a href="https://www.bleepingcomputer.com/news/security/globant-confirms-hack-after-lapsus-leaks-70gb-of-stolen-data/" target="_blank">公布Google、Meta、DHL的委外開發商Globant的系統密碼，以及疑似其客戶專案的原始碼超過70GB</a>。</p> <p>創立自阿根廷，總部設於盧森堡的Globant是IT開發廠商，承接知名企業及國際軟體業者的委外開發案，員工超過2.3萬，客戶包括Google、洛克威爾自動化公司（Rockwell Automation）、藝電（Electronic Arts）、西班牙國際銀行（Santander）。</p> <p>本月稍早Lapsus$公布微軟資料後，透過其Teglegram頻道上說要休個假，而本周二Lapsus$又宣布已放完假回來，<a href="https://twitter.com/BillDemirkapi/status/1509004391751245829" target="_blank">並公布宣稱是Globant的檔案目錄螢幕擷圖及多項DevOps平臺的管理員密碼</a>。擷圖顯示國際公司包括亞培（Abbott）、Apple Health App、法國巴黎銀行（BNP Paribas）、DHL、Facebook、Fortune及墨西哥國家銀行（citibanamex）的專案資料夾，遭公布的檔案大約74GB。Lapsus$也公布了宣稱是Globant DevOps平臺，包括Jira、Confluence、GitHub及Crucible等的管理員密碼。</p> <p class="rtecenter"><a href="https://twitter.com/BillDemirkapi/status/1509004391751245829" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-Globant%20leaked-Lapsus%24-image%20by%20Bill%20Demirkapi%20on%20twitter-2.jpg" style="width: 461px;" /></a></p> <p class="rtecenter"><a href="https://twitter.com/BillDemirkapi/status/1509004391751245829" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-Globant%20leaked-Lapsus%24-image%20by%20Bill%20Demirkapi%20on%20twitter-3.jpg" style="width: 425px;" /></a></p> <p><a href="https://twitter.com/BillDemirkapi/status/1509004391751245829" target="_blank">圖片來源／Bill Demirkapi on Twitter</a></p> <p><a href="https://www.prnewswire.com/news-releases/globant-official-update-301514040.html" target="_blank">Globant周三證實遭駭</a>，表示近日偵測到公司小部分程式庫遭未經授權的存取，該公司已經展開調查。Globant說，被存取的資料是「非常少數」的客戶的特定原始碼和專案文件。不過沒有證據顯示公司基礎架構其他部分或客戶環境受影響。Globant強調將採取更嚴格規範防範未來發生類似事件。</p> <p><a href="https://www.ithome.com.tw/news/150099" target="_blank">此事顯示上周英國警方逮捕7名與Lapsus$有關的青少年</a>，並未對這群駭客起恫嚇作用。本周一群駭客駭入美國警方電子郵件系統發送冒名信件，繞過搜索令，對多家ISP、電信業者及社群平臺提出緊急資料調閱要求，並取得了特定用戶的資料。<a href="https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/" target="_blank">資安部落格KrebsonSecurity報導</a>，這起事件背後罪嫌也和Lapsus$有關。</p> </div></div></div>
2022/3/31 11:35作者林妍溱https://www.ithome.com.tw/news/150198
駭客偽造緊急資料請求以向蘋果與Meta等業者索取用戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-03-30/apple-meta-gave-user-data-to-hackers-who-forged-legal-requests" target="_blank">《彭博社》（Bloomberg）引述多名消息來源報導</a>，駭客偽裝成執法人員，以「緊急資料請求」（Emergency Data Request，EDR）的名義向蘋果、Meta與其它業者索取用戶個資，再使用或銷售這些個資，<a href="https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/" target="_blank">資安部落格《Krebs on Security》也在本周揭露了此一趨勢</a>，且它們都認為該手法可能與近來的Lapsus$駭客攻擊有關。</p> <p>執法機關向業者調用使用者個資通常需要取得法院同意，但若涉及緊急生命安全事件，則可藉由EDR程序繞過法院文件，儘管業者皆強調就算是EDR也會進行審核，由於這類的請求涉及人性考驗，多半都會過關。</p> <p>根據報導，此一攻擊手法最早始於2021年初，駭客先是駭進了不同國家的執法機關，從它們的電子郵件系統上找到EDR的範本，再偽造長官的簽名，以向網路服務供應商、電信業者、科技或社交平臺請求特定用戶的個資，包括地址、電話號碼及IP位址等，接著就能利用這些個資再進行社交攻擊或暴力破解，進一步取得受害者的憑證，而且這是個非常可怕又有效率的途徑。</p> <p>業者的回應證實了此類的詐騙事件的確存在。例如Meta就向《彭博社》表示，該公司會封鎖那些已知提出偽造請求的帳號，同時配合執法機關調查相關的詐騙請求。Snap也說該公司具備保護措施，得以偵測來自執法部門的詐騙請求。</p> <p>此外，資安社群也認為這是駭客集團Lapsus$所採用的手法之一。Lapsus$近來接連入侵了Nvidia、Vodafone、Okta與微軟，<a href="https://www.ithome.com.tw/news/150052" target="_blank">根據微軟的分析</a>，Lapsus$主要的入侵管道是公開對外收購各大企業的憑證，再竊取受害組織的機密資料並進行勒索。</p> <p>《Krebs on Security》指出，資安研究人員發現，代號為WhiteDoxbin 的Lapsus$首腦也曾參與另一個網路犯罪集團Recursion Team，該團隊的特色之一就是出售執法機關的資料，包括傳票或搜索票服務，目標對象包括蘋果、Google與Snap，宣稱握有政府的電子郵件帳號，可用來向企業請求個人資料。</p> <p>總之，駭客的攻擊手法防不勝防，也讓個人身分的保護更形重要，過去資安業者也曾奉勸使用者不要於社交網站上揭露過多的個人資訊，以免遭到駭客濫用以進行社交工程攻擊。</p> </div></div></div>
2022/3/31 11:58作者陳曉莉https://www.ithome.com.tw/news/150199
Haskell裡的不純粹
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在一個不是以函數式為主要典範的語言中，若我們想從事函數式設計，可以實施不可變動特性，也就是變數一旦指定值，就不能改變值，如此一來，程式會被迫分為純函式以及具有副作用的函式兩個部份。</p> <p><span style="font-size:28px;"><strong>副作用究竟是？</strong></span></p> <p>因為，副作用本質上難以掌控，函數式的世界中，鼓勵的是純函式越多越好，如此在日後若遇到了副作用的問題，要追蹤處理的話，就只要專心面對有副作用的部份。</p> <p>然而，單純只是實施不可變動，還是有可能實現出不純的函式，例如，可產生隨機數的函式是純函式嗎？</p> <p>如果隨機函式可以指定亂數種子，那麼，它是個純函式；如果隨機函式無法指定亂數種子，那麼，它是個有副作用的函式；如果函式中的x值來自有副作用的隨機函式，就算不再改變x的值，該函式仍是有副作用的函式。</p> <p>所以，開發者應該思考的是：「副作用到底是什麼呢？」為什麼可以執行x=x+1的語言會有副作用？</p> <p>如果我們要簡單用一句話來解釋副作用，那就是：「使用了狀態不歸自己管的東西」，而對於可以做x=x+1的語言來說，因為開發者有可能寫出這類函式：</p> <pre> let x = 0; function foo() { x = x + 1; return x; }</pre><p>你的同事可能在別的地方呼叫foo，你也會在一些地方執行foo，因此，狀態就脫離了你們的管控，也就沒辦法預期foo的執行結果，所以，我們才會說：foo是個副作用的函式；如果語言一開始就不能x=x+1，程式碼本身的世界，就沒有寫出以上這類函式的可能性。</p> <p>當然，應用程式會有接受使用者輸入、儲存資料等需求，若語言不能x=x+1，最後副作用就是來自程式外部的世界了。</p> <p>因為這只是拿來輸入的資料來用，或者將運算結果丟給輸出處理，你其實並不清楚輸入、輸出是怎麼管理外部世界的狀態——它們的狀態不歸你管，而你卻拿來用，也就有了副作用。</p> <p><span style="font-size:28px;"><strong>Haskell的IO</strong></span></p> <p>Haskell不能有x=x+1這類操作，最後副作用的根源，往往就是與現實世界或設備的互動，如果函式中摻雜著這類互動，就是有副作用、非純粹的函式，Haskell規定這類函式一定要傳回IO，函式中若呼叫了會傳回IO的函式，該函式也一定要傳回IO，結果就是非純粹的動作，就必須在非純粹的函式當中進行。</p> <p>簡單來說，Haskell使用IO來告知，這函式使用了狀態不歸自己管的東西！例如putStrLn傳回IO ()，丟給它的值，該怎麼送至標準輸出，你管不到，輸出之後，它也不會將值回傳給你，因此傳回的IO只是個空tuple；getLine的傳回值是IO String，表示IO中包括的字串，先前如何從標準輸入取得，你也一無所知。</p> <p>想呼叫會傳回IO的函式，方式之一是在do區塊執行，如果函式傳回的IO包含了值，可使用<-取出綁定至變數；但別因此誤會了，並不是do與<-令函式被Haskell認定為有副作用的函式，實際上，會傳回IO的函式才是！</p> <p>IO只是因為它是Monad的實例，而Monad的實例可用來連續地將上一個運算情境的結果，傳遞給下個運算情境，而傳遞的方式之一是透過do與<-，在<a href="https://bit.ly/3towDen" target="_blank">〈do區塊與<-綁定〉</a>，我們可以看到：它們相當於逐層地使用>>=及lambda函式，將Monad銜接起來，而就結論而言，do就是銜接Monad的簡便方式，不是只針對IO。</p> <p>例如，以下的函式可以傳入Just String，也可以傳入IO String，這是因為m接受Monad：</p> <pre> doIt m = do v <- m return (v ++ v)</pre><p>那麼，為什麼要IO成為Monad的實例呢？因為需求是想從無法掌握狀態的運算情境取得結果，封裝運算情境正是Monad之目的。</p> <p><span style="font-size:28px;"><strong>Haskell裡的迴圈？</strong></span></p> <p>方才的doIt函式使用了return函式，它接受一個值，包裝為Monad後傳回，例如，可以傳入Just "FOO"，v會是"FOO"，v++v得到"FOOFOO"，然後用return包裝為Maybe String後傳回；類似地，若將getLine結果傳入，return最後會將使用者輸入的值串接，包裝為IO String傳回。</p> <p>玩過純函數設計的開發者都知道，純函數的世界沒有迴圈，想做重複的動作，必須靠遞迴，如果想重複地取得使用者輸入並顯示，也是必須用遞迴來進行，例如，Control.Monad模組提供了一些名稱上模仿迴圈的函式，像是when函式：</p> <pre> echoUntil str = do input <- getLine when (input /= str) $ do putStrLn (">> " ++ input) echoUntil str</pre><p>when函式若接觸cond與value兩個參數，本體實作為do if cond then value else return ()，在echoUntil的實作裡，when右方的do區塊，相當於逐層地使用>>=及lambda函式，將Monad銜接起來，因為惰性的關係，value只會在真正需要時才估值。</p> <p>因此，從效果上看來，這就像是命令式語言當中的while迴圈語法，只不過，在最後我們要記得遞迴呼叫。</p> <p>在命令式的世界裡，迴圈基本上就是具有副作用，因此Control.Monad模組中模仿迴圈名稱的函式，像是when、forever、forM等，多半就是搭配IO使用，既然如此，為什麼不是放在一個Control.IO模組呢？</p> <p>因為只要是Monad就可以適用這些函式，在某些情境下也確實有其作用，例如forM雖然常搭配IO，不過forM [1,2,3] (\x->Just (x+10))是個無副作用運算，結果會是Just [11,12,13]。</p> <p><span style="font-size:28px;"><strong>更好地管理副作用</strong></span></p> <p>對於來自命令式的開發者，接觸Haskell時，通常會花費許多心力在如何寫出純函式，畢竟在命令式的世界中，比較欠缺這類型的思考方式。</p> <p>然而，既然純函數式的世界，最終會分為純粹與非純粹這兩個部份，如果我們想要真正以純函數式的思考，來解決現實的需求，這對於非純粹部份的熟悉與掌控來說，絕對是必要的一環。</p> <p>Haskell中帶有IO的函式就是不純粹，這是事實，不過，除了知道這點之外，我們應該更深入地去認識IO、do、<-的運作原理。</p> <p>這麼一來，就會知道Monad為什麼在Haskell會如此的重要。因為IO就是Monad，只不過它所代表的，是你無法掌握狀態的運算情境，而既然無法掌握狀態，如果使用了它，就是會有副作用。</p> <p>既然IO就是Monad，而Monad是可以組合的，這表示IO也是可以組合的，若能從Haskell中學習如何管理IO（Monad），回到命令式的世界之後，對於哪些是副作用，如何管理副作用，必然會有很大的啟發。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/haskell">Haskell</a></div><div class="field-item even"><a href="/tags/monad">Monad</a></div></div></div>
2022/3/31 07:00作者林信良https://www.ithome.com.tw/voice/150130
Apple Store可能將拒絕維修通報失竊的iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.macrumors.com/2022/03/29/apple-stores-iphones-reported-missing-policy/" target="_blank">MacRumors報導</a>，不久後Apple Store與授權維修中心將會拒絕為通報失竊的iPhone提供維修服務。</p> <p>根據MacRumors取得蘋果一份內部備忘錄顯示，直營的Apple Store和蘋果授權維修商的維修技師，如果從其內部MobileGenius或GSX系統，看到iPhone在GSMA 裝置資料庫（GSMA Device Registry）中顯示失竊狀態，就不得為顧客提供維修服務。</p> <p>GSMA裝置資料庫是GSMA為行動產業建立及營運的資料庫，讓裝置所有人可登記裝置序號及其狀態。若有人向警局通報iPhone遺失或被偷，就會透過官方管道在這個資料庫內顯示為失竊。</p> <p>經由整合GSMA資料庫和蘋果內部系統，一旦失竊的iPhone來到維修中心就會立即為維修技師辨識出來。</p> <p>蘋果尚未證實這點。不過蘋果現在已經有一套防範成為歹徒幫兇的作法。例如持有人若透過Find My App將其iPhone設為失竊模式，則手機螢幕會遭鎖定。因此如果顧客無法關閉Find My App，Apple Store也會拒絕維修。另外，維修時除非顧客能提出購買證明，否則維修技師也不得移除裝置啟動鎖。</p> </div></div></div>
2022/3/31 10:21作者林妍溱https://www.ithome.com.tw/news/150196
最新勒索軟體鎖定Jupyter Notebook Web App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.aquasec.com/python-ransomware-jupyter-notebook" target="_blank">研究人員近日發現</a>，一隻勒索軟體鎖定資料分析用的Jupyter Notebook Web版App以加密受害者檔案。</p> <p>安全廠商Aqua攔截到的勒索軟體，不是使用惡意程式作者常用的GoLang、Dang、Rust及Nim開發，而是以Python撰寫。它利用組態不當的問題存取進Jupyter Notebook環境，加密所有檔案後、再自我刪除以免被發現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-%20Jupyter%20Notebook%20ransomware%20attack-by%20Aqua.png" style="width: 548px;" /></p> <p><a href="http://blog.aquasec.com/python-ransomware-jupyter-notebook" target="_blank"><span style="color:#696969;">圖片來源／Aqua Security</span></a></p> <p>Jupyter Notebook是廣受資料分析專案人員愛用的開源Web應用程式，能撰寫和執行程式並且視覺化呈現開發結果。通常Jupyter Notebook系統環境會以令牌、密碼管制存取，或限制進入流量，但仍有時候專案人員未設好驗證而讓外部人士以瀏覽器直接存取環境。Jupyter Notebook的一項內建功能，還允許用戶開啟shell終端機（terminal）而存取伺服器。</p> <p>根據分析，駭客是利用一個組態不當的應用程式存取系統、下載攻擊用的函式庫和工具（如加密器）到受害者環境中，接著以Python程式碼建立勒索軟體腳本後執行。</p> <p>駭客在實際攻擊前就暫停行動，但研究人員模擬後發現這個Python檔案在執行加密後會自我刪除以隱藏其行動。此外也還沒有顯示勒索訊息。研究人員推論駭客目前可能正在實驗。</p> <p>整體而言，這隻未命名的勒索軟體以手法而言，並不像現行幾隻兇險的勒索軟體包括Locky、Ryuk、WannaCry或勒索軟體即服務GandCrab手法那麼複雜。依其中一個檔案所用字詞，研究人員推測可能是來自俄語系國家，而且也見於過去攻擊Jupyter Notebook及JupyterLab環境的挖礦攻擊。</p> <p>利用Shodan搜尋引擎，目前網路上約有200個對網際網路開放的Jupyter notebook未設驗證控管，顯示它們可能是這波攻擊的目標。</p> <p>為免遭駭客毒手，安全公司建議Jupyter Notebook用戶啟用令牌或其他驗證方式強化防護、使用SSL加密連線傳輸資料，並且封鎖外部網路存取，若有必要則需使用VPN或遵循網路規則才能放行，也應限制向外流量。此外，管理員應掌握Jupyter Notebook使用者的身分，而用戶也最好以一般使用者身分或較低權限來執行應用程式。</p> </div></div></div>
2022/3/31 10:48作者林妍溱https://www.ithome.com.tw/news/150197
React 18完善並行機制，加入自動批次處理、過渡API新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者現在已經可以在Npm，下載最新的開源JavaScript函式庫<a href="https://reactjs.org/blog/2022/03/29/react-v18.html">React 18</a>，這個版本正式加入自動批次處理功能，和諸如startTransition等新API，還支援Suspense串流伺服器渲染。這些新功能，都是建立在React新的並行（Concurrent）渲染器之上，由於這個Concurrent React新機制，將會大幅改變開發者建構應用程式的方法，官方在2021年夏天時候，甚至成立了React 18工作組來收集社群意見，確保React生態系升級順暢。</p> <p>官方解釋，並行本身並非一個新功能，而是一個幕後的機制，讓React能夠同時準備多個UI版本。React在內部以優先佇列和多重緩衝等複雜技術，來建立並行機制，讓React得以實現新功能提升使用者體驗。</p> <p>Concurrent React的重要屬性是能夠中斷交易，在React 18之前版本，或是在React 18中，未啟用任何需要並行機制的功能之前，React都是以單一、不中斷的同步交易運作，簡單來說，用戶還沒在螢幕上看到結果之前，這個過程無法被中斷。</p> <p>而並行渲染則不同，React在渲染更新到一半時，可以暫停再繼續渲染，甚至完全放棄整個渲染工作。React會保證即便是渲染到一半暫停，UI也會保持一致，React會等待DOM突變結束，直到整顆樹被評估完成，這項能力使得React可以在背景準備新的螢幕畫面，而不阻塞主要執行緒，因此應用程式即便處在大型渲染任務的中間，UI也能夠立即回應用戶輸入，進而提供順暢的用戶體驗。</p> <p>官方表示，React 18是他們在這個新基礎建構功能的開端。以技術上來說，並行渲染是一個破壞性變化，因為並行渲染是可以中斷的，所以在啟用這項機制時，元件的行為會略有不同。目前官方已經在React 18上，測試過數千個元件，幾乎所有元件都可在啟用並行渲染時運作，但仍有一些需要小幅度更新的元件，開發者可以按照自己的步調更新支援並行機制，因為React 18的並行渲染，僅會在應用程式使用新功能的時候啟用。</p> <p>React 18新加入自動批次處理功能，React會將多個狀態，更新到單一的重新渲染作業中，以獲得更好的效能，過去沒有自動批次處理，開發者只能在React事件處理程序中批次處理更新，而在預設狀態下，Promise、setTimeout、原生事件處理程序，或任何React內部事件的更新，都不會以批次處理，而在React 18中，這些更新都將可以自動批次處理。</p> <p>另外，React 18還引入了過渡（Transition）的新概念，用來區分緊急和非緊急更新。緊急更新表現在直接互動像是輸入、點擊和按下等操作，非緊急的過渡更新，則是將UI從視圖過渡到另一個視圖。官方表示，之所以打字、點擊和按下等緊急更新需要立即回應，是因為對使用者來說，如果這些行為沒有立刻獲得回應，使用者會覺得應用程式發生問題，但是並非所有過渡都是相同的，因為使用者並不會期望在螢幕上看到每個中間值。</p> <p>因此開發者應該將單一用戶的輸入，區分為緊急更新與非緊急過渡更新，以提供最佳的用戶體驗，開發者可以在輸入事件中，使用startTransition API，來告知React緊急與非緊急過渡更新。</p> <p>官方在React 18中，還添加了對Suspense的支援，並使用並行渲染擴充其功能，開發者現在可以在React 18中結合使用Suspense與過渡API，以獲得最佳的效果。Suspense可以讓還沒準備好渲染的UI，顯示為載入狀態，來解決程式碼分割（Code-splitting）和資料擷取的問題。在這次更新中，React會推延渲染，直到應用程式載入足夠的資料，以非同步操作避免錯誤的載入狀態出現。</p> <p>React 18整體的升級政策，官方希望能讓開發者的應用程式，順利在React 18上運作，因此升級並不會破壞現有程式碼，開發者可以依照自己的開發節奏，逐漸添加並行支援，並使用<StrictMode>在開發過程中發現相關錯誤。</p> </div></div></div>
2022/3/30 23:00作者李建興https://www.ithome.com.tw/news/150186
AWS Lambda現支援最高達10 GB的臨時儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-lambda-now-supports-up-to-10-gb-ephemeral-storage/">AWS宣布在其無伺服器服務Lambda，支援介於512 MB和10,240 MB的臨時儲存（/tmp）</a>，供用戶更靈活地控制函式讀取或是寫入資料的臨時儲存容量，並將Lambda用於ETL作業、機器學習推理或是其他資料密集的工作負載。</p> <p>官方解釋，無伺服器應用是以事件驅動，在Web API、行動後端、串流分析，或是機器學習和高效能應用程式的資料處理階段，提供臨時的運算功能。雖然目前AWS Lambda提供了512 MB臨時檔案系統，但是ETL作業和創建PDF或媒體轉碼等內容生成工作流程，需要快速、可擴充的儲存，來快速處理大量資料，另外，資料密集的應用程式，也需要大量臨時或快取資料，以方便在同一個環境中，以高效能的方式重用資料調用。</p> <p>官方提到，由於之前Lambda臨時儲存有512 MB限制，用戶必須選擇性地從S3和EFS載入資料，或是增加Lambda配置的記憶體，來處理從S3下載的大型物件，不過這同時也會增加成本。由於用戶沒辦法在Lambda執行環境，本地存取較大量的資料，因此使得每個函式叫用必須平行讀取資料，而這增加了橫向擴展的困難度。</p> <p>在AWS增加Lambda的臨時儲存後，用戶可以存取高達10 GB的低延遲臨時檔案系統，用戶仍可以繼續免費使用512 MB的空間，但只需支付函式叫用期間，超過免費空間的儲存使用量。目前有提供AWS Lambda的地區，都已經可以在Lambda函式執行個體配置最多10 GB的臨時儲存，而AWS合作夥伴，諸如Datadog、HashiCorp和Lumigo等，也都開始提供支援。</p> </div></div></div>
2022/3/30 23:02作者李建興https://www.ithome.com.tw/news/150188
臺灣淨零路徑規畫出爐! 政府揭露邁向2050淨零轉型4大策略與2大基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國發會今天(3/30)公布我國2050年淨零路徑規畫，將以4大策略、2大基礎，共12項關鍵戰略，使臺灣趕上全球淨零排放的趨勢，並針對電力、建築、運輸、工業等產業提出階段性目標，以達到臺灣邁向2050年淨零轉型的目標。</p> <p>環保署氣候變遷辦公室主任蔡玲儀指出，現今全球已有136個國家宣示淨零排碳目標，臺灣的經濟成長已和溫室氣體排放脫鉤，以2005年為基準，臺灣的GDP成長64%，而透過各種減碳技術，碳排放密集度減少34%，換言之，我國碳排放沒有隨GDP成長而攀升。臺灣在2015年制定溫室氣體減量及管理法(簡稱溫管法)，環保署指出，我國溫室氣體排放的峰值在2007年，隨後排放逐漸下降，2015年制定溫室氣體減量及管理法時，當時全球設定不要超過2度C，臺灣設定2050年排放減量50%目標，然而現在各國積極追求淨零，我國也修改溫管法為氣候變遷因應法，將2050年達到淨零排放目標納入該法。</p> <p>從現在到2050年之間，政府預期我國的能源需求將趨緩，到2030年之前，年均成長約0.7%，正負加減0.1%，但是到了2050年則是負的0.2%，正負加減0.3%；相對地，在電氣化發展下，這段時間的電力需求呈成長之勢，2030年之前為2.6%，正負加減0.1%，到2050年年均成長2%，正負加減0.5%。</p> <p>達到淨零排放的規畫上，我國溫室氣體排放，可分為來自電力的排放，以及來自燃油、天然氣的非電力排放，要達到2050年淨零排放的目標，在電力排放方面，先朝低碳，再朝無碳邁進，至於非電力排放，鼓勵產業將製程改為氫能或生質能，產業住商、運輸一部分發展電氣化，到2050年因電氣化，電力需求預估將增加超過50%，估計到2050年年均成長2%，正負加減0.5%之下，約需4,275億度到5,731億度電，而在低碳、減碳策略下，電力結構產生變化，其中再生能源約佔6到7成，氫氣約9到12%，火力加裝碳補捉封存利用CCUS，約佔20到27%，水力約1%。難以削減的溫室氣體排放則由碳匯抵減。</p> <p>淨零路徑規畫方面，以2030年、2040年、2050年分階段達成里程碑，政府對電力、工業製造、建築、運輸產業，訂定不同階段目標。以電力為例，不再興建新的燃媒電廠，2030年風力光電累積裝置容量達到40GW，2035年智慧電表布建達100%，2040年燃媒燃氣電廠導入CCUS碳捕捉封存，2050年再生能源發電佔比達到6成、智慧變電所布建達100%。</p> <p>運輸業，2025年達到市區電動公車35%，2030年市區公車、公務車全面電動化，而電動車市售比達到30%，電動機車市售比達35%，到了2040年，電動車與電動機車市售比都達到100%。工業製造則推動製程的設備分階段汰換。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>臺灣邁向2050淨零的4大轉型策略、2大基礎</strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%885_32_29.jpg" style="width: 600px; height: 338px;" /></p> <p>為了達到2050年淨零的目標，政府揭示4大轉型策略，以及2大治理基礎。4大轉型策略分別是能源轉型策略、產業轉型、生活轉型、社會轉型，而2大治理基礎則是科技研發基礎，以及氣候法制基礎。</p> <p>第1項的能源轉型策略再分為3項子策略，分別是打造零碳能源系統、提升能源系統的韌性，以及開創綠色成長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%886_18_31.jpg" style="width: 600px; height: 339px;" /></p> <p>首先在打造零碳能源系統方面，包括再生能源最大化，還有發展低碳的火力發電等等，政府訂定到2030年之前，先增產太陽光電、離岸風電等自產再生能源，2030到2050年的長期目標是，極大化自產再生能源，火力發電方面，2030年的短中期目標，推動以燃氣換燃媒，氫氨混燒，2050年長期目標是，天然氣導入CCUS、提高氫氨混燒比例或專燒，將燃媒電廠轉為備用。另發展氫能、生質能等無碳燃料。</p> <p>其次，提升能源系統韌性，以擴充再生能源的基礎電網設施，以及再生能源的儲能資源；最後，開創綠色成長則是扶植建立國產的綠能產業生態，並由國營事業帶頭，參與國際的去碳投資。</p> <p><strong><span style="color:#B22222;"><span style="font-size:20px;">製造、商業、建築與運輸如何實現淨零路徑？</span></span></strong></p> <p>第2項的產業轉型策略，分為製造、商業、建築及運輸四個部門。首先，製造部門將從三個面向著手，包含製程改善、能源轉換及循環經濟，其中製程改善部分，除了現有成熟的技術，製程改善及汰換舊生產設備，還有導入智慧節能管理，新技術例如發展氫氣技術、削減含氟氣體技術，在2030年先建立示範及推導；而能源轉換則推動使用天然氣、生質能與綠電；循環經濟則發展原料替代、廢棄物衍生燃料等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%887_19_30.jpg" style="width: 600px; height: 337px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%887_19_43.jpg" style="width: 600px; height: 335px;" /></p> <p>商業部門由於用電佔全國1成左右，也不容輕忽，政府推動的淨零路徑，鼓勵商業部門汰換舊設備，採用節能的新設備，使用低碳能源，還有改善商業模式朝低碳轉型等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%887_42_46.jpg" style="width: 600px; height: 330px;" /></p> <p>建築部門則設定2050年，100%的新建築及超過85%的既有建築為近零碳建築，在此之前分階段推動，例如建立新建築的能效系統，提升家電能效標準、預留充電設備停車位等。既有的建築，公有建築編預算改善建築能效，民間建築則為都更整建維護補助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%889_59_08.jpg" style="width: 600px; height: 330px;" /></p> <p>運輸部門推動運具電動化，如前面所說的，2040年達到新售電動車與電動機車市售比達到100%、市區公車2030年全面電動化等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%8810_01_08.jpg" style="width: 600px; height: 337px;" /></p> <p>4大轉型策略的第3項生活轉型策略，是要培養民眾在食衣住行各方面減碳生活行為，例如在食方面，減少浪費鼓勵低碳飲食，住方面鼓勵淨零建築，行方面多使用大眾運輸運具等。</p> <p>第4項策略社會轉型，因淨零轉型過程可能引起衝突，如再生能源與土地使用間的衝突或爭議，需要辨識及協調衝突與爭議，需要建立社會支持體系，落實公正轉型與公民參與，降低化解衝突及爭議。</p> <p>考量到從現在到2050年，階段性達到淨零轉型的目標，2大基礎的科技研發部分，2030年之前，各國多為擴大既有技術，但到2050年期間，勢必需要採用新技術，因此投入新技術的研發就相當重要，例如電網儲能、氫能、自然碳匯、碳捕捉封存、低碳資源、資源循環再利用等技術。法制基礎主要為完善氣候法制環境，包括目前正在推動溫室氣體減量及管理法修正為氣候變遷因應法，納入2050淨零排放的長遠目標、碳關稅、碳計價機制等等。其他需完善的法制，還有能源管理法、電業法、再生能源發展條例等。</p> <p>政府也會從綠色金融著手，透過金融的量能引導推動淨零轉型，由金融機構以資金、金融商品等手段，帶動對企業永續產業發展的投資。目前金管會也提出上市櫃公司永續發展路徑圖，即為企業訂定淨零減碳的目標。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>2050淨零排放的12項關鍵戰略</strong></span></span></p> <p>綜整前面的4大策略、2大基礎，政府歸納出臺灣邁向2050淨零轉型的12項關鍵戰略，包括風電光電、氫能、前瞻能源、電力系統與儲能、節能、碳捕捉封存與利用、運具電動化與無碳化、資源循環無廢棄、自然碳匯、淨零綠生活、綠色金融、公正轉型。12項關鍵戰略將由各個主政的部會，進一步擬定更詳細計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%888_28_00.jpg" style="width: 600px; height: 326px;" /></p> <p>政府也預估，到2030年之前，將需要9千億元經費，投入再生能源與氫能、電網及儲能、低碳及負碳技術、森林碳匯、運具電動化、資源循環等8個領域。</p> <p>而推動2050淨零轉型，政府預期4大策略推動下，可使我國的能源轉型，從高度仰賴進口，從2021年97.4%仰賴進口，降到2050年的50%以下，而產業轉型帶動綠色成長，政府的投入也會帶動民間投資，預期2030年可帶動民間4兆元以上的投資。更重要的是，空污量和2019年相比，到2030年可望減少3成。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>產業淨零轉型4面向，2大合作模式</strong></span></span></p> <p>在政府推動淨零轉型下，產業關心如何實現淨零轉型，政府計畫從4面向著手，梳理盤點建構企業碳盤查能力、提升企業的減碳能力、協助企業掌握資訊、提升金融業淨零轉型能力。政府與產業的合作採2大合作模式，1個模式是先大後小、以大帶小，另1個合作模式則是結合產業公協會力量，由國營事業帶頭以身作則。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-03-30%20%E4%B8%8B%E5%8D%888_51_10.jpg" style="width: 600px; height: 332px;" /></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>透過政府部門、公協會輔導降低淨零轉型對企業的衝擊</strong></span></span></p> <p>國發會主委龔明鑫表示，氣候變遷已成為全球的重要議題，不只是環保議題，也演變為國際間重要的經濟、產業發展議題，臺灣為仰賴國際貿易的經濟體，需要呼應國際的趨勢要求，除了歐盟相關的機制設計外，國際大廠也對訂單提出相關的要求，要取得訂單就必需符合要求，政府過去在2016年啟動能源轉型，布建再生能源發展，奠定我國淨零轉型的基礎，同時創造新的投資機會與商機。去年政府啟動排放路徑及策略計畫後，與公協會、公民團體溝通，舉辦57場工作說明，獲得大致雛型後，再與工商團體舉行6場座談會，與公民團體舉行4場說明會，過程中得益於中研院與工研院的專業協助，才形成臺灣的淨零路徑規畫，國發會稍後也將公布80多頁的文件，更詳細說明淨零路徑規畫供外界參考。對於外界關心，政府推動淨零轉型，是否可能導致缺電問題，從路徑規畫中可看到，對2050年電力需求成長預估成長2%，足以因應未來產業發展用電需求。</p> <p>而部分的企業關心會不會被要求配合政府政策購買綠電？龔明鑫也說明，企業不需過度擔心，會先從大型企業開始要求，當評估中小企業能力可承擔後才會開始要求，甚至綠電一定比例讓中小企業採購。另外，政府也會從多個面向，例如透過公協會協助中小企業淨零轉型，瞭解政府推動淨零轉型步驟，由公協會幫助中小企業，至於中小企業如何掌握自己碳排放、碳足跡，對於個別的需要，經濟部與環保署組成輔導團，因應中小企業個別需求進行輔導，待企業對輔導上手後，才會有碳稅費的責任。</p> <p>至於路徑規畫中，2040年電動車、電動機車的市售佔比達到100%，他解釋，政府不會採取禁售燃油車的強制手段，而會以補貼或外部成本內部化的方式，達到此一目標。</p> </div></div></div>
2022/3/30 22:08作者蘇文彬https://www.ithome.com.tw/news/150195
【資安日報】2022年3月30日，NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有加密貨幣平臺遭駭，而導致駭客偷走大筆加密貨幣的情況，但與過往的資安事故有所不同的是，這次受害的加密貨幣平臺，是隸屬於知名NFT網路遊戲Axie Infinity的Ronin Network，且損失金額亦創下加密貨幣平臺攻擊事故的新高。</p> <p>在烏克蘭戰爭中，俄羅斯駭客不斷對於烏克蘭民眾散布假消息，而其中一種方法就是透過大量機器人（Bot）程式與社群網站的帳號來執行。烏克蘭國家安全局（SSU）自開戰以來，已在該國境內查獲5個假消息農場機房，並查扣相關設備。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.coindesk.com/tech/2022/03/29/axie-infinitys-ronin-network-suffers-625m-exploit/"><span style="color: rgb(0, 0, 0);">NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭，損失逾6.25億美元</span></a></strong></h3> <p>區塊鏈網路Ronin Network於3月29日披露，他們的網路遭到駭客入侵，駭客於3月23日自Ronin Bridge盜走了173,600個以太幣，以及2,550萬個USDC。這批被盜走的加密貨幣總值超過6.25億美元，成為去中心化金融（DeFi）史上最大宗的失竊案。由於Ronin Network是針對知名NFT竉物遊戲Axie Infinity設計，能讓玩家兌換以太幣或USDC來購買遊戲道具，這起攻擊事件也引起Axie Infinity玩家關注。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-dismantles-5-disinformation-bot-farms-seizes-10-000-sim-cards/"><span style="color: rgb(0, 0, 0);">烏克蘭拆除散播戰爭假訊息的機器人農場機房，並沒收1萬張SIM卡</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fake-information-center-bot.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-information-center-bot.jpg" style="width: 200px; float: right;" /></a>自烏克蘭戰爭開始之前，俄羅斯駭客就不斷藉由網路攻擊，試圖向烏克蘭民眾散布假訊息，但該國駭客疑似也建置機器人（Bot）農場機房，透過假的社群網路帳號來散播這類訊息。</p> <p>烏克蘭國家安全局（SSU）於3月28日指出，他們自烏克蘭戰爭開始至今，破獲5個握有逾10萬社群網站帳號的機器人農場，這些農場的機房位於該國境內的哈爾可夫、切爾卡瑟、捷爾諾波爾、外喀爾巴阡州等地區，疑似是俄羅的特種部隊所為，目的是針對俄羅斯入侵散布不實資訊。SSU查獲100套GSM閘道、1萬張SIM卡，以及控制機器人的電腦與筆電。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/03/29/horde-of-miner-bots-and-backdoors-leveraged-log4j-to-attack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);">駭客利用Log4Shell漏洞，鎖定VMware遠距工作平臺植入後門、挖礦軟體</span></a></strong></h3> <p>自去年12月爆發的Log4Shell漏洞，陸續有研究人員提出警告，指出駭客用來對VMware Horizon遠距工作平臺下手，而這樣的情況仍舊持續。資安業者Sophos指出，他們自1月發現相關攻擊不斷出現，並在19日偵測到大規模攻擊行動，雖然這波攻擊行動規模有縮小的現象，但攻擊行動仍在持續。</p> <p>研究人員指出，駭客鎖定這個遠距工作平臺的攻擊行徑，主要是藉由其中的Tomcat元件，植入Cobalt Strike的反向Shell工具，這些駭客成功入侵之後，主要使用的攻擊工具為4種挖礦軟體，以及3種「後門程式」。這些挖礦軟體是z0Miner、JavaX miner、Jin、Mimu，都是用於挖取門羅幣的軟體；而在後門程式的部分，駭客則是使用寄生攻擊（LoL）的手法，利用遠端桌面工具Atera與Splashtop Streamer，或是滲透測試工具Sliver，來對受害主機進行監控。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003"><span style="color: rgb(0, 0, 0);">SonicWall防火牆的網頁管理介面存在記憶體溢位漏洞</span></a></strong></h3> <p>資安設備的網頁管理介面一旦出現漏洞，很可能讓攻擊者能夠癱瘓其運作。資安業者SonicWall於3月25日發布資安通告，指出該廠牌防火牆執行的作業系統SonicOS存在漏洞CVE-2022-22274，這項漏洞與記憶體堆疊緩衝溢位有關，一旦攻擊者利用這項漏洞，可對防火牆發動阻斷服務（DoS）攻擊，甚至有可能執行程式碼，CVSS風險層級為9.4分，影響執行SonicOS 7.0.1-505、7.0.1-R579、6.5.4.4-44v-21-1452與舊版作業系統的防火牆，約有30款設備曝露於相關風險，所幸目前尚未出現漏洞攻擊行動或是概念性驗證（PoC）攻擊工具，SonicWall呼籲用戶儘速安裝更新軟體修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/pwning-microsoft-azure-defender-for-iot-multiple-flaws-allow-remote-code-execution-for-all/"><span style="color: rgb(0, 0, 0);">微軟物聯網端點防護系統存在漏洞，攻擊者恐用於執行SQL注入攻擊</span></a></strong></h3> <p>資安業者透過雲端服務，來提供物聯網（IoT）設備的防護機制，然而這類系統一旦出現漏洞，很可能遭到挾持，被用於執行惡意程式碼。資安業者SentinelOne指出，他們在2021年6月，在微軟Azure Defender for IoT系統裡發現了數個嚴重漏洞，其中的CVE-2021-42311和CVE-2021-42313，CVSS風險層級達到10分。</p> <p>研究人員指出，這些漏洞有些能讓攻擊者更新或是執行SQL特殊指令，有的則與Token的驗證相關，亦有部分漏洞能讓攻擊者取得特權使用者cyberx的密碼（此系統源自於2020年微軟併購的CyberX產品）。上述漏洞微軟已於2021年12月完成修補並發布資安通告，目前研究人員尚未發現漏洞遭到利用的跡象，但呼籲用戶應儘速套用修補軟體。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/30 18:45作者周峻佑https://www.ithome.com.tw/news/150194
將來銀行終於正式開業，行動銀行2大首創功能背後IT關鍵大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將來銀行終於正式開業了，加入臺灣純網銀戰場，首創銀行帳號自選、App控管卡片功能等創新機制。開業先以開戶、存款、信貸業務為主，將來銀行總經理許柏林也預告，下半年，第三季推出保險服務，外匯服務擬10月登場，年底前則將推出信託服務。</p> <p>將來銀行以手機行動銀行為主，沒有提供Web版網銀，許柏林在開業記者會中，也揭露自家IT架構的特色，以「小核心大周邊」策略來設計，除了核心帳戶主機之外，其餘45套系統分散部署在436臺VM上，來提高擴充和備援能力，資料庫也採雙活中心的架構，寫入主要資料庫的每一資料，都會即時抄寫到部署在遠地的備援資料庫，可以隨時切換到備援資料庫來接手。前端行動銀行App則全由IT團隊自行開發。</p> <h3><span style="color:#FF8C00;"><strong>帳號自選的技術不難，但得在系統設計之初時規畫才能實現</strong></span></h3> <p>將來銀行首創了銀行帳號自選，民眾可以自選不重複的10碼銀行號碼，再加上4碼特定號碼共14碼。日前開放預約，2周超過4萬人登記。</p> <p>將來銀行資訊長周旺暾指出，早在2年前，就決定讓顧客自選號碼的開戶做法。技術上，流水號碼或自訂號碼，只要號碼不重複，對資料庫來說，這兩種編碼的存取和運作沒有差別。</p> <p>主管機關沒有限定銀行帳號產生方式，但一般銀行大多採取流水號做法，再加上一個檢查碼，來產生銀行號碼。檢查碼是流水號碼經過特定演算法轉換後得到的特定號碼，無法自訂，大多數銀行將檢查碼放在銀行帳號的最後一碼，因此，就算現有銀行要開放自訂，只能開放中間號碼的自訂，最後一碼檢查碼無法自訂，這就局限了自訂彈性。</p> <p>將來銀行的做法是將檢查碼改放到自選號碼前，也考慮要相容手機號碼而決定採10碼自選。將來銀行在帳號編碼中，前四碼由系統產生，第一碼是服務類型，8為存款，接續兩碼是幣別，86是指臺幣，第四碼就是演算法得到的檢查碼。「自選號碼的技術不難，但得在銀行系統設計之初進行規畫，才能實現的創新功能。」周旺暾指出關鍵。</p> <h3><strong><span style="color:#FF8C00;">直接在App即時開關卡片交易功能，靠2大安全關鍵</span></strong></h3> <p>將來銀行在開業日揭露了另一個行動銀行Ａpp少見的創新功能是，能用App設定來控管簽帳卡片功能，可以隨時停用或開啟，已能針對國外交易或國內交易，暫時關閉或開啟。例如，可以預設關鍵卡片的國外刷卡功能，需要刷卡時才臨時打開，用完又可以立即關閉功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20220329_142148.jpg" /></p> <p>「在App提供卡片控管的目的，是為了減少客服人員的負擔。」周旺暾解釋。民眾有時會因看到不明刷卡交易，想要求銀行暫停使用卡片，後來發現誤會而要求恢復，一般銀行多半透過客服來提供這類止付服務，也是客服常見的工作負載。</p> <p>要讓使用者能隨時在App中開關卡片功能，有兩大關鍵，第一是，將來銀行App採取手機裝置綁定，並結合密碼或生物辨識等雙因素驗證機制，以符合法遵要求，另一個關鍵，周旺暾透露：「在App上異動權限，就能即時影響內部帳務主機的作業，資訊架構全面API化是關鍵。」</p> <p>使用者一在App上切換了卡片功能的狀態，App就會立刻送出功能狀態改變的事件，到將來銀行的技術中臺，再透過中臺轉發到內部帳務主機，修改交易的權限。內部帳務主機要執行每一筆交易前，都會先進行權限比對，確認是否可以執行，若使用者已關閉卡片，帳務主機就會在權限比對時拒絕交易，來達到立即停用卡片的效果。若要恢服交易，同樣也只需要在App上切換狀態後就能實現。「這是將卡片管理權力，還給使用者，未來會考慮開放更多功能可以自行開關。」周旺暾透露。</p> <p>將來銀行的資訊架構，所有系統間的呼叫全面API化，但又建立了一套內外隔離的架構，建置了一個技術中臺，外部API呼叫先集中到技術中臺，再由技術中臺來轉發到對應的內部系統。所有內部系統都禁止對外直接連線，甚至也禁止內部系統間的直連，也不能共享目錄，內部系統間的呼叫，也得透過API閘道來中介，來提高控管能力和隔離安全性。</p> <h3><span style="color:#FF8C00;"><strong>優惠券平臺將成為生態圈經營利器</strong></span></h3> <p>從將來銀行祭出的多項獲客優惠措施中，也揭露了將來銀行未來兩大行銷平臺，一個與簽帳刷卡交易結合的點數平臺，另一個則是仿效電商做法的優惠券平臺，稱為N倍券系統，將來銀行客戶經營中心資深副總經理蔡隆裕表示，未來不只用來發行內部活動的各種優惠券，也會提供外部合作夥伴或廠商的優惠券，「這是用來經營生態圈的關鍵系統之一。」</p> <p> </p> <p> </p> </div></div></div>
2022/3/30 16:52作者王宏仁https://www.ithome.com.tw/news/150187
環保團體要求比特幣變更程式碼以減少電力損耗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國環保組織Environmental Working Group、綠色和平組織（Greenpeace USA）以及其它多個環保團隊<a href="https://www.greenpeace.org/usa/news/change-the-code-not-the-climate-greenpeace-usa-ewg-others-launch-campaign-to-push-bitcoin-to-reduce-climate-pollution/" target="_blank">在3月29日發起一項Clean Up Bitcoin活動</a>，藉由在《華爾街日報》、《紐約時報》、《MarketWatch》及《Politico》等媒體及臉書上刊登數位廣告，譴責比特幣讓溫室氣體污染日益嚴重，要求比特幣變更程式碼，同時<a href="https://www-cleanupbitcoin-com.translate.goog/?_x_tr_sl=auto&_x_tr_tl=zh-TW&_x_tr_hl=en&_x_tr_pto=op,wapp" target="_blank">號召全球環保人士加入連</a>署。</p> <p class="rtecenter"><a href="https://www-cleanupbitcoin-com.translate.goog/?_x_tr_sl=auto&_x_tr_tl=zh-TW&_x_tr_hl=en&_x_tr_pto=op,wapp" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0330-cleanup%20bitcoin-600.jpg" style="width: 550px;" /></a></p> <p><a href="https://www-cleanupbitcoin-com.translate.goog/?_x_tr_sl=auto&_x_tr_tl=zh-TW&_x_tr_hl=en&_x_tr_pto=op,wapp" target="_blank"><span style="color:#696969;">圖片來源／Greenpeace USA</span></a></p> <p>比特幣使用工作量證明（Proof of Work，PoW）來驗證交易，而此一模式需要投入大量的運算資源，等同必須使用大量電力，根據劍橋大學的估計，每年開採比特幣所使用的電力是希臘、瑞典或荷蘭等國家一年所需的電力，而《氣候變遷期刊》（Nature Climate Change estimated）則指出，倘若比特幣真的普及，全球氣溫將會升高攝氏兩度。</p> <p>這使得環保組織抗議比特幣的聲量愈來愈大，這些廣告文字寫著：「比特幣證明了鈔票不總是綠的。」「嘿，富達（推出比特幣ETF的投資公司），地球還沒準備好提前退休。」或是向擁護比特幣的Twitter創辦人Jack Dorsey喊話：「Hey Jack Dorsey，你只要發布一則推文就能協助停止比特幣的污染。」</p> <p>綠色和平組織指出，目前大約有50個主要的比特幣礦工、交易平臺與核心開發者握有可變更比特幣程式碼的權力，而他們相信這是可以做到的，因為以太坊便由工作量證明升級到權益證明（Proof of Stake，PoS）模式，而節省了99.95%的電力損耗，此外，該產業也已有許多加密貨幣採用低耗電的程式碼。</p> <p>在中國禁止比特幣挖礦之後，許多礦區轉移到美國，有些正在收購瀕臨破產邊緣且計畫退役的污染煤電廠，而就算是那些燃燒煤炭廢料的工廠，其排放的溫室氣體都比褐煤多出50%，還有人使用同樣會讓地球變熱的壓裂氣體，有些地方因存在著大規模的挖礦業務而使得電力大漲。</p> <p>Clean Up Bitcoin活動的宗旨並非是在對抗比特幣，而只是希望比特幣社群能夠減少相關的污染，此外，它並非為了推動比特幣使用乾淨能源，因為乾淨能源應該被應用在其它更重要的地方，減少所使用的能源才是對環境負責的方式。</p> <p>綠色和平組織專案長Tefere Gebre即說，不管你對比特幣的看法如何，督促那些有能力變更程式碼的人，將可使地球免於氣候變遷的破壞性影響，其解決方案便是變更程式碼而非氣候。</p> <p>變更比特幣的程式碼並非不可能，但也絕不容易，它是個開源碼專案，必須在整個網路與社群達到共識的前提下才得以執行，更何況此事牽涉到那些已投入大量昂貴基礎設施成本的礦工。</p> </div></div></div>
2022/3/30 15:26作者陳曉莉https://www.ithome.com.tw/news/150185
SonicWall修補防火牆重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003" target="_blank">安全廠商SonicWall本周釋出安全公告</a>，以修補可能讓攻擊者執行惡意程式碼的漏洞，多款防火牆產品受到影響。</p> <p>編號CVE-2022-22274的漏洞是存在SonicOS中的堆疊記憶體緩衝溢位（stack-based buffer overflow）漏洞。遠端攻擊者可透過發出HTTP呼叫開採，對防火牆裝置發動阻斷服務（denial of service）攻擊，或是在裝置上執行程式碼。該漏洞被列為CVSS 3.1風險值9.4。</p> <p>受影響的軟體包括7.0.1-505、7.0.1-R579、6.5.4.4-44v-21-1452及之前版本。30多款產品受影響；包括TZ系列的TZ270、TZ270W、TZ370、TZ370W、TZ470、 TZ470W、TZ570、TZ570W、TZ570P、TZ670，NS系列的NSa 2700、NSa 3700、NSa 4700、NSa 5700、NSa 6700、NSsp 10700、NSsp 11700、NSsp 13700、NSv 270、NSv 470、 NSv 870（7.0.1-505版軟體以前版本）。NSsp 15700（7.0.1-R579以前版本）及NSv 10、NSv 25、NSv 50、NSv 100、NSv 200、NSv 300、NSv 400、NSv 800、NSv 1600（6.5.4.4-44v-21-1452以前版本）。</p> <p class="rtecenter"><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0330-CVE-2022-22274-sonicall-sonicos-vulner-secu-600.png" style="width: 569px;" /></a></p> <p>SonicWall表示尚未發現有針對性攻擊、公開的概念驗證程式或惡意開採行動。SonicWall已釋出新版軟體，呼籲用戶儘速升級防火牆軟體到最新版本。若用戶無法立即更新，SonicWall建議管理員修改存取規則，僅允許受信賴人員及程式存取SonicOS。</p> </div></div></div>
2022/3/30 12:36作者林妍溱https://www.ithome.com.tw/news/150179
NFT遊戲Axie Infinity被盜走逾6億美元的加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://roninblockchain.substack.com/p/community-alert-ronin-validators?s=r" target="_blank">專為NFT遊戲Axie Infinity設計的區塊鏈網路Ronin Network周二（3/29）披露</a>，該網路遭到駭客入侵，而讓駭客於3月23日自Ronin Bridge盜走了173,600個以太幣，以及2,550萬個USDC。這批被盜走的加密貨幣總值超過6.25億美元，成為去中心化金融（DeFi）史上最大宗的失竊案。</p> <p>Axie Infinity是由越南遊戲工作室Sky Mavis於2018年3月，所推出的非同質化代幣（Non-Fungible Token，NFT）線上遊戲，為一款以寵物為主軸的數位寵物宇宙，遊戲中的寵物稱為Axie，玩家必須先購買不同品種的Axie，繼之培育Axie，玩家可出售他們在遊戲中所獲得的資源以賺取加密貨幣，並於特定時間後兌現。該款遊戲還以NFT出售虛擬土地及遊戲資源，去年11月曾賣出高達230萬美元的虛擬土地。儘管發跡於越南，但Axie Infinity絕大多數的玩家位於菲律賓。</p> <p>至於Ronin Network則是Sky Mavis專為區塊鏈遊戲設計的區塊鏈分支，它讓玩家以法幣兌換以太幣或USDC，再將這些加密貨幣轉成包裝過後的版本，以於遊戲中執行更便宜也更快速的交易。</p> <p>Ronin Network是由9個驗證者節點所控制，當中有4個由Sky Mavis控制，另有5個為第三方的驗證者，不管是要提款或存款都必須經過5個驗證者同意，而此次遭駭事件的源頭即是4個Sky Mavis驗證者及一個第三方驗證者Axie DAO的權限被駭客接管。</p> <p>Ronin Network解釋，去年11月時，Sky Mavis請求Axie DAO協助提供免費交易來降低使用者負載，當時Axie DAO允許Sky Mavis代表它簽署各種交易，雖然雙方的協議在去年的12月就到期，但Axie DAO並未將Sky Mavis從許可名單中移除，因此，當駭客得以進入Sky Mavis系統時，不僅得以以Sky Mavis的名義簽署交易，也能以Axie DAO的名義簽署交易，滿足了5個驗證者的交易條件。</p> <p>於是，駭客在兩次的交易中就轉走了173,600個以太幣與2,550萬個USDC，而Sky Mavis則是一直到3月29日，當有一名使用者回報無法提領5,000個以太幣時才發現此事。</p> <p>Sky Mavis說，從駭客的加密貨幣錢包中可發現，被盜走的加密貨幣大多數都還保持完整，已聯繫主要的交易平臺以阻止這批加密貨幣的移轉，並與區塊鏈分析業者Chainalysis合作追蹤這批加密貨幣的動向，並將Ronin Network上交易的同意門檻從5名驗證者提高到8名驗證者，也承諾將確保用戶的資金被追回或得到補償。</p> </div></div></div>
2022/3/30 13:11作者陳曉莉https://www.ithome.com.tw/news/150181
Windows 新增可封鎖不安全驅動程式的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於愈來愈多惡意程式借道合法驅動程式在Windows核心執行，<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/microsoft-recommended-driver-block-rules" target="_blank">微軟本周針對較新版Windows及Windows Server釋出一項新功能</a>，可封鎖有漏洞或有惡意行為的第三方驅動程式。</p> <p class="rtecenter"><a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/microsoft-recommended-driver-block-rules" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0330-Microsoft%20recommended%20driver%20block%20rules.png" style="width: 550px;" /></a></p> <p>微軟指出，由於微軟對在Windows執行的程式碼有嚴格要求，因此駭客轉而利用合法及簽章過的驅動程式的漏洞以執行程式碼。為此微軟和硬體夥伴（IHV）及OEM強化合作，要求驅動程式出現漏洞時，能儘快修補且部署到用戶Windows裝置上。微軟現在將把有漏洞的驅動程式版本，加入到封鎖對象中。</p> <p>這項功能是在Windows Defender應用程式控制（Windows Defender Application Control，WDAC）加入不安全驅動程式封鎖清單。WDAC為一層安全防護層，僅允許獲准的軟體在PC上執行，旨在防止惡意程式和其他不明軟體。封鎖清單則會經由IHV及OEM合作隨時更新。</p> <p>最新功能提供給啟動Hypervisor-Protected 程式碼完整性（Hypervisor-Protected Code Integrity，HVCI）的裝置，以及以S mode執行的Windows 10裝置。也僅Windows 10、11及Server 2016以上版本享有這項防護。</p> <p>根據微軟說明，第三方驅動程式若包括已知可被升級Windows核心權限的漏洞、驅動程式有惡意行為或合法憑證被用來簽發惡意程式，以及非惡意行為、但卻迴避Windows安全模型且能讓攻擊者擴張權限的驅動程式，會被加入這個封鎖清單中。此外，<a href="https://www.microsoft.com/en-us/wdsi/driversubmission" target="_blank">用戶也能經由微軟安全情報驅動程式上傳頁來通報不安全驅動程式</a>。</p> <p>微軟建議用戶啟動HVCI或S mode來防止安全威脅。針對無法執行者，微軟建議經由PC上的Defender應用程式控制政策封鎖清單上的驅動程式。但微軟提醒，未經測試而封鎖核心驅動程式可能導致PC或軟體運作異常，甚至可能出現藍色死亡螢幕。</p> </div></div></div>
2022/3/30 11:49作者林妍溱https://www.ithome.com.tw/news/150175
Google Chrome 100出爐了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_29.html" target="_blank">Google於3月29日釋出了Chrome 100</a>，讓Chrome的版本別邁入了3位數，距離2008年推出的Chrome 1.0相隔了13年的時間，Google變更了Chrome 100的商標與圖示，也修補了28個安全漏洞。</p> <p>2008年加入瀏覽器戰局的Chrome，在2016年超越了微軟的IE，成為全球最受歡迎的瀏覽器；另一方面，微軟也在2018年底宣布擁抱Chromium專案，於2020年1月正式發表基於Chromium的Edge瀏覽器。現在的Chrome橫掃全球瀏覽器市場，<a href="https://gs.statcounter.com/browser-market-share" target="_blank">Statcounter的調查顯示</a>，Chrome於全球瀏覽器市場的占有率為62.78%，遠遠領先Safari的19.3%、Firefox的4.2%，與Edge的4.05%。</p> <p>乍看Chrome 100的商標或圖示並沒有太大的更動，但它取消了陰影，也讓顏色的對比更鮮明，且<a href="https://twitter.com/elvin_not_11/status/1489647023410212869" target="_blank">上一次修改Chrome商標是在8年前</a>。此外，<a href="https://developer.chrome.com/100/" target="_blank">Google也製作了歷年來每一個Chrome版本的里程碑列表以慶祝第一百個版本的到來</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0330-chrome%20100-600-photo%20by%20%40elvin_not_11%20on%20twitter.png" style="width: 600px;" /></p> <p><a href="https://twitter.com/elvin_not_11/status/1489647023410212869" target="_blank"><span style="color:#696969;">圖片來源／@elvin_not_11 on Twitter</span></a></p> <p><a href="https://www.ithome.com.tw/news/149433" target="_blank">先前Mozilla與Google曾警告</a>，當瀏覽器邁入100之際，使用者所造訪的網站可能因其使用者代理人（User-Agent，UA）的解析程式庫不支援3位數的版本，而造成網站無法正常運作，而Chrome 100即是首個面臨此一問題的瀏覽器。</p> <p><a href="https://developer.chrome.com/blog/new-in-chrome-100/" target="_blank">Google表示</a>，在Chrome真正邁入100之際，他們即開始測試及實驗可能造成的問題，就算當中許多問題已經被解決，但仍鼓勵網站維護人員測試網站與Chrome 100及Firefox 100的相容性，也呼籲UA解析程式庫的開發者新增測試以解析大於100的版本。</p> <p>在功能上，Chrome 100新增了Multi-Screen Window Placement API，以讓使用者得以在不同的螢幕上展示不同的瀏覽器視窗；還有可供網頁程式管理數位產品及程式內購買的Digital Goods API 。</p> <p>該版本亦修補了28個安全漏洞，當中有9個屬於高風險漏洞。</p> <p>Chrome 100將會在未來幾天或幾周，自動部署至Windows、macOS與Linux平臺上。</p> </div></div></div>
2022/3/30 12:09作者陳曉莉https://www.ithome.com.tw/news/150177
Windows 11終於讓用戶一鍵變更預設瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/march-28-2022-kb5011563-os-build-22000-593-preview-40df54c9-b5a9-42e5-ae1c-9a33ff91ca91" target="_blank">微軟本周針對Windows 11釋出最新版累積更新</a>，讓用戶可一鍵將預設的Microsoft Edge變更成想要的瀏覽器。</p> <p><a href="https://www.ithome.com.tw/news/148191" target="_blank">去年12月微軟經由技術預覽版測試這項功能</a>，現在正式部署到所有用戶。<a href="https://www.ithome.com.tw/news/146271" target="_blank">在去年8月時，有用戶及媒體發現</a>Windows 11做了一項頗為狡猾的變更。它將Windows 10中，以一鍵選擇Mozilla Firefox、Chrome、Opera、Brave或微軟自己的Edge作為預設瀏覽器的功能取消，以致於如果用戶未能在首次啟用Firefox或Chrome等瀏覽器時，按下「永遠使用這個瀏覽器」，其預設瀏覽器就會被設定為Edge。若要修改得在瀏覽器設定中，按連線類型或檔案格式，如HTML、PDF、SVG、SHTML、WEBP、XHT、XHTML、FTP、HTTP和HTTPS等，一個個變更成想要的瀏覽器。</p> <p>去年12月的技術預覽版就把這項功能加了回來，微軟說是「基於用戶意見做的修改」。</p> <p>在本周釋出的KB5011563累積更新中，「設定」>「預設App」下多了一個「設定預設」的新按鍵，讓用戶一次就能將預設瀏覽器由Edge，轉換成Chrome、Firefox、Brave等其他產品。</p> <p>新版更新還修補了一些不穩定或錯誤功能，並新增同時顯示3個優先通知的功能，讓能發送通話、提醒或警告的App更容易被用戶看到。</p> </div></div></div>
2022/3/30 09:31作者林妍溱https://www.ithome.com.tw/news/150172
【防制資料勒索的新思路】走向資安應用的資料唯讀技術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1070-feng_mian_p2-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過病毒入侵、以加密或刪除用戶資料作為勒贖手段的勒索軟體，已經是當前最讓所有人頭痛的資安威脅之一。</p> <p>面對勒索軟體的威脅，常見的防範措施包括：及時修補軟體漏洞、防止病毒透過漏洞入侵，利用防毒軟體或防火牆的偵測與阻擋功能、遏止可疑的資料存取行為，以及藉由定期備份，以便原始資料遭到勒索軟體侵害後，仍能透過備份複本來還原資料等。</p> <p>但這些防範措施各有局限，舉例來說，修補軟體漏洞難以做到萬全，總是會有零時差漏洞出現；面對不斷進化的病毒，防毒軟體或防火牆的偵測與阻擋功能也無法確保總是生效；即使勤於備份，但備份複本本身也有可能遭到勒索病毒的感染，以致無法用於還原資料。</p> <p>面對這種情況，這幾年來出現一種防範新思路，那就是直接從儲存裝置或儲存媒體著手，利用一寫多讀（Write Once Read Many，WORM）或不可變儲存（Immutable storage）技術，提供防止資料竄改的特性，從最根本的儲存層次，來避免資料遭到勒索軟體的侵害。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1070-%E5%B0%81%E9%9D%A2P2-600-1.jpg" style="width: 563px;" /></p> <p><span style="font-size:28px;"><strong>以唯讀技術遏止勒索軟體破壞資料</strong></span></p> <p>一寫多讀或不可變儲存，指的是同樣的資料防竄改技術，基本概念是透過軟體、韌體或硬體手段，確保寫入儲存媒體或指定儲存區的資料維持在唯讀狀態，經授權的用戶仍可讀取WORM保存的資料，但不能覆寫、修改或刪除，藉此滿足資料保存與完整性的要求。</p> <p>WORM技術的歷史非常悠久，相關技術的發展可追溯到1970年代，最初是為了法規遵循應用而誕生，藉由防止資料竄改的能力，在法定要求時間內保存準確的資料複本，以確保法律訴訟方面要求的資料真實性與有效性、保護數位證據，並滿足稽核監管要求。</p> <p>而利用WORM與不可變儲存技術保存資料的特性，在防範勒索軟體方面也能發揮作用。由於WORM能保證寫入後的資料，維持在不可變化的唯讀狀態——允許讀取，但不可刪除與更改，徹底「鎖住」了資料狀態，那麼，勒索軟體自然也無法對資料進行加密或刪除。對於WORM保存的資料來說，即使系統已經感染勒索軟體，但由於WORM機制已經「鎖住」了資料狀態，先天上就阻擋了勒索軟體發作、藉由加密或刪除動作來危害資料的可能性。</p> <p>但另一方面，由於WORM與不可變儲存技術會導致儲存媒體遭到「鎖住」，用戶端無法再更動底層資料的內容，以致會妨礙正常的應用程式運行，並降低儲存裝置的資源利用率，所以，這樣的保護方式，並不適合用在資料內容變動頻繁的線上生產資料。</p> <p>最適合使用WORM技術的場合，其實是備份與歸檔（Archive）這些靜態的資料儲存應用，藉此建立可確保安全性與完整性的資料複本，或是安全的資料保存儲存庫，作為對抗勒索軟體威脅的最終手段。藉由WORM技術的保護，即便線上資料遭到感染，後端仍有安全可靠的複本可供還原。</p> <p><span style="font-size:28px;"><strong>將資料唯讀技術用於資訊安全防護</strong></span></p> <p>除了用於防範勒索軟體外，資料防竄改技術在其他資安應用面向，也能派上用場，例如：</p> <p>防止惡意的內部威脅，避免敏感資料遭到企業人員惡意刪除：避免意外操作，導致資料受損，例如用戶不當的操作，意外更動、覆蓋或刪除資料內容；隔離系統軟、硬體的錯誤，所導致的資料損壞；防止因資料保留策略或刪除還原點，導致備份複本遭到刪除。</p> <p>在資安威脅、特別是勒索軟體威脅日益升高的今日，資料防竄改技術憑藉著保存資料狀態的能力，重要性已更勝以往，應用面向也已走出過去的法規遵循領域，而成為資安防護的關鍵環節。事實上，許多提供WORM技術與相關產品的廠商，也都改以資安作為產品功能應用的重點，許多儲存平臺也都將支援WORM功能列為重點。</p> <p>而這樣的發展趨勢，也讓原本只局限於特定應用領域的資料防竄改技術，成為企業IT不可或缺的一環。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/150129" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> <a href="https://www.ithome.com.tw/article/150129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1070-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=QJTgqmBx" style="width: 550px;" /></a></span></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%94%AF%E8%AE%80%E6%8A%80%E8%A1%93">資料唯讀技術</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/worm">WORM</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E7%AB%84%E6%94%B9%E6%8A%80%E8%A1%93">資料防竄改技術</a></div></div></div>
2022/3/30 07:00作者張明德https://www.ithome.com.tw/tech/150106
【軟、硬體不同機制提供多樣化資料防刪改手段】WORM資料唯讀技術的基本類型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1070-feng_mian_p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>顧名思義，通稱為「一寫多讀」（Write Once Read Many，WORM）的防竄改技術，是只允許對儲存媒體寫入一次資料，然後，儲存媒體便轉為無法執行複寫、修改或刪除資料的狀態，也就是唯讀的屬性。</p> <p>單就唯讀功能來說，實現非常容易，幾乎任何作業系統與檔案系統，都能將檔案或資料夾設定為唯讀屬性、防止更改。但WORM功能所要求的，不僅是唯讀，而是不可逆、無法繞過與解除的唯讀能力，所以我們可以說，WORM技術的本質，是提供具備「強固性」的資料唯讀功能。</p> <p>一般作業系統或檔案系統的唯讀功能，是可逆的、可解除的，也容易被繞過，無法滿足WORM應用所需的強固性。如果要實現具備足夠強固性的資料唯讀功能，我們必須在儲存媒體或儲存系統軟體設計上，搭配專門的防寫機制，而這樣的條件，也讓WORM技術成為專門的領域，通常必須透過專門設計的儲存媒體或軟體功能來實施。</p> <p>依照WORM技術實現資料防寫的機制，我們可以將WORM技術概分為：物理型、韌體型與軟體型，共三大類，分別透過儲存媒體的物理特性、儲存裝置的韌體、儲存系統軟體，來提供WORM能力。</p> <p>而不同的WORM技術機制，搭配各種類型的儲存媒體，便構成了形形色色的WORM產品組合。雖然這些WORM產品都同樣能提供鎖定資料狀態、防止刪改的功能，但隨著採用的技術原理與儲存媒體差異，在保存資料的能力，存取便利性，儲存空間的再利用性等方面，也各有不同的特性。</p> <p>接下來我們便以WORM的運作機制為基礎，結合儲存媒體與儲存裝置的型式，逐一檢視當前主要的WORM技術與產品型式。</p> <p><span style="font-size:28px;"><strong>物理型WORM技術</strong></span></p> <p>這種作法，主要是利用儲存媒體的物理性質，或是物理機構設計等2種手段，來提供防止寫入資料的能力。</p> <p>其中，基於儲存媒體材料物理性質的WORM技術，主要是應用在CD-R、DVD-R等光學儲存媒體。這類技術的優點是極為可靠，其防寫措施是建立在儲存媒體的物理性質上，例如CD-R、DVD-R的防寫機制，大多是透過加熱光碟片染料，使之產生化學變化，帶來光碟片反射率的變化來實現，而這個過程是不可逆的，於是，從根本上完全防止了刪改資料的可能性，唯有使用物理手段破壞媒體，才能銷毀其中的資料，因而堪稱最可靠的WORM技術。</p> <p>而利用物理機構設計來實現的WORM技術，最典型的便是磁帶、軟碟片、SD記憶卡等儲存媒體，所提供的防寫孔或防寫開關，一旦我們將資料寫入後，隨即遮蓋防寫孔，便構成了防寫入保護。不過，這種防寫入機制是可逆、可以繞過的，只要解除防寫孔就能寫入資料，防刪改能力的強固性不足，只能用於一般的防寫保護，而無法滿足法規遵循等更嚴格的防寫要求。但另一方面，由於這類防寫保護是可逆的，因而儲存媒體也得以重複利用。</p> <p><span style="font-size:28px;"><strong>韌體型WORM技術</strong></span></p> <p>利用儲存裝置與儲存媒體內的韌體，來實現儲存媒體的WORM保護，這類WORM技術已被應用在磁帶，以及SD卡、SSD等儲存媒體上。</p> <p>以磁帶類型產品來說，幾乎所有主流磁帶系統都能提供專用的WORM卡匣，藉由磁帶卡匣上的識別微碼，配合磁帶機的微碼控制功能運作。當磁帶機識別出磁帶卡匣是WORM型式時，便會禁止更改與刪除已寫入該磁帶中的資料。</p> <p>當前使用最普遍的LTO磁帶，只要是LTO 3以後的規格，都有對應的WORM磁帶版本。另一種主流磁帶規格IBM的3592，也同樣有WORM版本，其他一些已淡出市場的磁帶規格，如Sony的AIT，SotrageTek T10000等，也都有WORM版本的磁帶可供選購。</p> <p>有少數硬碟、SD卡與SSD產品，也能透過韌體來提供WORM功能。例如，Flexxon便能提供具備WORM能力的SD卡與Micro SD卡產品；而在硬碟儲存裝置方面，GreenTec-USA也曾推出WORM硬碟產品。</p> <p>這些WORM儲存裝置，可以藉由本身內建的微控制器，鎖住儲存區塊的存取功能，當個別區塊被寫入資料後，儲存裝置韌體便會鎖住該區塊，無法再刪除與覆寫，而只能讀取。</p> <p>整體而言，透過韌體實現的WORM功能，雖然並不像透過物理原理實現的光學儲存媒體WORM，是完全不可逆的，但在實務上，卻是難以繞過的，因為，要繞過微控制器韌體識別控管的可能性很低，足以達到法規遵循應用的要求，只有透過物理破壞手段，才能銷毀其中的資料（對於磁帶這類磁性儲存媒體，還有透過外部施加強力磁場、藉由消磁來強制刪除資料的破壞手段。）。</p> <p><span style="font-size:28px;"><strong>軟體型WORM技術</strong></span></p> <p>利用儲存設備內建儲存作業系統的WORM軟體功能，對底層磁碟機上的儲存區或檔案，設定WORM防寫屬性。</p> <p>不同於一般作業系統或檔案系統的唯讀功能，專門針對WORM應用的唯讀防寫功能，是依循相關的官方資料保存與資料完整性監控規範而設計，例如：美國證券交易委員會的SEC 17a-4(f)（針對證券交易業者的電子資料保存規範），或是美國聯邦政府的FDA 21 CFR Part 11（針對醫療業的電子紀錄保存規範）等，若通過相關的驗證程序，這類產品的強固性與可信度，能夠得到更正式的保證。</p> <p>比起物理性質或韌體的WORM技術，軟體型WORM技術被繞過或破解的可能性較高，相對較不可靠，但優點是具備前兩者所沒有的存取便利性，以及使用彈性。</p> <p>首先，若以資料存取的便利性來看，軟體型WORM技術是部分儲存設備內建功能，因而WORM儲存區也能透過CIFS/SMB、NFS等標準協定存取，便於因應快速讀取與檢索的需求。</p> <p>其次，在使用彈性方面，對於軟體型WORM技術的應用上，我們可透過設定保存期限與保存模式，提供有「時效性」與「層次性」的WORM機制。</p> <p>大多數的軟體型WORM技術，都會提供設定保存期限的選項，讓管理者選擇「鎖住」特定檔案或物件的時間，當設定期限到期後，便會解除該檔案或物件的WORM狀態，此後便能將資料刪除，回收儲存空間；如果用戶將WORM功能的保存期設定為無限長，則被鎖定的檔案或物件，就成為與WORM光碟或WORM磁帶一樣的永久性WORM。</p> <p>軟體型WORM技術也能提供不同的強固性等級，以因應用戶端的不同需求，相較下，其他類型的WORM技術便沒有這種靈活性。一般而言，軟體型WORM可提供下列兩種等級的運作模式：</p> <p><strong>● 標準等級：</strong>一般用戶無法刪改資料，只有系統管理員可以刪改資料。</p> <p><strong>● 法規遵循等級：</strong>包括系統管理者在內的任何用戶，都無法在保護期限內刪改資料，只有在特定條件下（如系統管理者加上資安長的雙重授權），才能調整資料保存設定。</p> <p><strong><span style="color:#B22222;">軟體型WORM技術的應用產品類型</span></strong></p> <p>當軟體型WORM技術落實到儲存設備產品上，又可分為3種應用類型：備份歸檔專用儲存設備、通用型儲存設備，以及公有雲儲存服務。</p> <p><strong>● 備份歸檔專用儲存設備</strong></p> <p>專門用於備份、歸檔等長期資料保存為目的的磁碟式儲存設備，這裡又可細分為下列兩種類型：</p> <p>一為針對備份應用、附帶提供WORM功能的產品，如備份儲存伺服器，或是虛擬磁帶櫃（Virtual Tape Library，VTL）等。這類產品是以替代磁帶的備份儲存裝置為目的，但只要啟用內含的WORM功能，也能兼用於法規遵循。</p> <p>最具代表性的便是Dell的PowerProtec/Data Domain備份儲存伺服器中，透過DD OS儲存系統的Retention Lock功能，所提供的WORM應用。基本上，許多高階的虛擬磁帶櫃產品，都能提供軟體形式的WORM功能選項，如IBM TS7700、富士通ETERNUS CS8000，以及CS High End等。</p> <p>另一類是專門以提供符合法規遵循要求的歸檔儲存為目的，WORM防刪改功能是這類產品的核心功能與設計目的，最知名的產品便是Dell EMC的Centera，其他較重要的產品，還有IBM的Total Storage Data Retention 450等。</p> <p><strong>● 通用型儲存設備</strong></p> <p>由NAS、物件儲存系統等通用型儲存設備，所提供的WORM功能。目前許多NAS、物件儲存系統產品，以及公有雲的儲存服務，都內含了WORM功能，只要用戶啟用這項功能，就能鎖定指定的儲存區、檔案或物件。</p> <p>與備份歸檔專用型設備相比，通用型設備提供的WORM資料防刪改能力，其強固性通常較為遜色，但優點是兼有通用儲存服務能力，具備更高的使用彈性。相較下，備份歸檔專用設備的功能單一，無法用於其他儲存應用。</p> <p>過去便有許多中、高階NAS儲存平臺，提供了WORM功能選項，其中最具代表性的例子，便是NetApp在ONTAP儲存系統中，所提供的SnapLock功能。</p> <p>另有一些兼具SAN/NAS功能的通用型儲存設備，也能在NAS功能當中提供WORM功能的選項，例如，Dell的PowerMax與Unity儲存陣列，都在NAS應用功能裡面，提供了稱作File-Level Retention的WORM功能，類似的產品技術搭配，還有HPE 3PAR FilePersona軟體套件中的File Lock功能等。</p> <p><strong>● 雲端儲存服務</strong></p> <p>這是由公有雲儲存服務提供的WORM功能。對應於本地端儲存設備，目前各主要公有雲服務商，大多已經在物件儲存服務中提供了WORM功能。</p> <p>例如，AWS在S3物件儲存服務中，提供的Object Lock，微軟在Azure Blob物件儲存服務中提供的Immutable storage，以及Google Cloud Storage物件儲存服務的Bucket Lock等。</p> <p>這些物件儲存服務的WORM功能，可以配合公有雲的通用型物件儲存服務，以及歸檔型（Archive）物件儲存服務使用，亦或是以混合雲的架構，搭配本地端儲存設備使用，既能作為短期性的資料防寫保護，也用於因應法規遵循的長期資料保存。</p> <p><span style="color:#B22222;"><strong>走向通用資料服務的軟體型WORM技術</strong></span></p> <p>到了今日，市面上也有不少中、低階或入門級NAS的儲存作業系統，也已經提供WORM功能選項，如國產廠商威聯通（QNAP），他們的QES與QuTS hero作業系統，廣盛（QSAN）的XCubeNAS平臺，以及商丞（Proware）的Unified Storage等，可為預算有限的企業，提供低成本的WORM儲存應用。</p> <p>在可見的未來， WORM功能應該還會持續地在各式儲存設備上擴散，進而從最初的特定領域應用，成為通用的資料服務功能之一。</p> <p>就使用面向來說，所有軟體型WORM技術，無論是大型公有雲業者提供的WORM功能，一線大廠在中、高階NAS提供的WORM功能，或二、三線廠商在入門級NAS提供的WORM，基本上是大同小異，主要的差別在於是否通過法規遵循認證。</p> <p>資源豐富的大型公有雲服務商與一線儲存大廠，通常會商請獨立資安評估廠商，為自身的WORM功能進行法規遵循認證，但規模較小的廠商，就缺乏執行這類認證的條件。</p> <p>如果只需要一般的資料防寫保護，那麼，任何一種WORM功能都符合需求；但若有法規遵循等級的資料防寫保護需求，建議大家還是以選擇擁有法規遵循認證的WORM功能較為妥當。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>常見的WORM產品形式</strong></span></span></p> <p><strong>基本WORM技術類型，包含物理型、韌體型與軟體型等3種，以這些技術為基礎結合不同的儲存產品之後，構成了多達7、8種以上的WORM產品型式。</strong></p> <p><strong>其中，基於物理型WORM技術的WORM光學儲存媒體，是歷史最悠久的WORM技術，也擁有最高的WORM防寫強固性，但也有著存取便利性較低、存取速度慢，以及容量相對較小的缺點。</strong></p> <p><strong>WORM磁帶應該是使用較為普遍的WORM應用形式之一，目前的2大主流磁帶系統——LTO與IBM 3592，都有專用的WORM磁帶可供選用。</strong></p> <p><strong>在磁碟儲存設備方面，針對歸檔儲存應用的歸檔儲存系統，以及針對備份儲存應用的備份儲存伺服器，以及虛擬磁帶櫃（VTL），目前也都普遍內含WORM功能。</strong></p> <p><strong>較令人注意的是，許多NAS產品也都開始提供WORM功能，可用於短期性的WORM應用，算是取得與使用最容易的WORM產品。</strong></p> <p><strong>另外，在雲端儲存服務方面，目前主要的公有雲服務商，都在物件儲存服務中提供了WORM功能選項。</strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1070-%E5%B0%81%E9%9D%A2P3-600A.jpg" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1412,height=415'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1070-%E5%B0%81%E9%9D%A2P3-600B.jpg" style="width: 482px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:22px;"><span style="background-color:#3399ff;"> 結合備份、歸檔架構，選擇合適的資料防刪改技術 </span></span></strong></span><br /><span style="color:#3399ff;"><strong><span style="font-size:28px;">WORM技術的部署與選擇策略</span></strong></span></p> <p><strong>有鑑於勒索軟體的威脅防不勝防，我們認為所有的企業用戶，都應導入WORM應用，藉此建構不受惡意刪除、加密資料影響的安全儲存環境。</strong></p> <p><strong>所以，此時的考量關鍵已非是否採用WORM，而是要如何部署相關應用與選擇相關產品。</strong></p> <p><strong>如同我們前面提過的，WORM或不可變儲存這類技術，會鎖住資料的狀態，雖然提供防止刪改資料的安全性，但用戶也不再能修改資料內容，因而不適合用在內容經常需要變動的線上生產資料。這類技術最合適的應用場域，是靜態性的資料複本保存應用，包括短期性的複本，或是備份、歸檔等中、長期資料保存儲存應用。</strong></p> <p><strong>所以，用戶選擇WROM技術的部署形式時，合理方向便是結合複本保存策略一同考量，配合備份、歸檔的形式，選擇相對應的WORM技術類型。</strong></p> <p><strong>WORM部署形式相當多樣，因為WORM技術有物理型、韌體型與軟體型等3大類型，結合不同的儲存媒體與儲存產品，一共構成了多達7、8種解決方案。</strong></p> <p><strong>而用戶端對於WORM技術部署型式的選擇，則須視自身儲存應用形態而定。舉例來說，若用戶採用雲端儲存服務，那麼無論是短期的複本保存，或是中、長期的備份與歸檔，都可直接利用雲端儲存服務內含的WORM功能，來部署資料防刪改應用。</strong></p> <p><strong>而若用戶採用傳統的本地端儲存架構，針對短期性保留的複本，要部署WORM功能的最簡便方式，是使用NAS或物件儲存系統的WORM功能。</strong></p> <p><strong>特別是NAS，以往只有中高階的企業級NAS才擁有WORM功能，但近兩三年以來，ㄧ些入門級的NAS產品也開始提供WORM功能，使得更多用戶可以很方便地藉此部署WORM應用。</strong></p> <p><strong>至於中、長期資料保存的備份與歸檔應用，則可配合用戶的備份儲存裝置類型，選擇對應的WORM技術。</strong></p> <p><strong>例如採用磁帶的用戶，可選擇使用WORM磁帶；如果用戶採行磁碟備份儲存架構，目前已有許多專門針對備份、歸檔儲存應用的備份儲存伺服器產品，以及虛擬磁帶櫃（VTL），可以提供WORM功能。企業或組織只要使用這類產品，作為備份、歸檔儲存裝置，就能執行這些產品內含的WORM功能，建立資料防刪改應用。</strong></p> <p><span style="color:#B22222;"><strong>如何選擇WORM部署形式</strong></span></p> <p><span style="color:#696969;"><strong>WORM技術只適合資料複本保存等靜態儲存應用，所以WORM的部署形式選擇，必須配合用戶的複本應用策略來一同考量。例如，考量用戶的儲存架構型態，屬於本地端或雲端，以及複本應用型態，屬於短期性複本，或備份、歸檔等長期保存複本，而各自有著合適的WORM技術形式選擇。</strong></span></p> <p class="rtecenter"> </p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1070-%E5%B0%81%E9%9D%A2P3-600-BOX.png" style="width: 555px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/150129" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> <a href="https://www.ithome.com.tw/article/150129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1070-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=QJTgqmBx" style="width: 550px;" /></a></span></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%94%AF%E8%AE%80%E6%8A%80%E8%A1%93">資料唯讀技術</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/worm">WORM</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E7%AB%84%E6%94%B9%E6%8A%80%E8%A1%93">資料防竄改技術</a></div></div></div>
2022/3/30 07:00作者張明德https://www.ithome.com.tw/tech/150110
【為雲端儲存提供強固的防寫保護】雲端儲存服務的WORM功能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1070-feng_mian_p4-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當前的公有雲儲存服務，幾乎可以提供對應於本地端儲存設備的每一種服務與功能，發展已久的一寫多讀（WORM）功能自然也不例外。</p> <p>由於WORM最初是搭配長期資料保存下的法規遵循應用，而出現的強固性防寫功能，所以目前提供WORM功能的網路儲存設備，大多是針對備份、歸檔，以及非結構化資料儲存等二線儲存應用的產品，像是NAS、物件儲存系統、備份儲存伺服器，以及虛擬磁帶櫃（VTL）。而在公有雲方面，業者也在針對大資料量與長期資料保存應用的物件儲存服務上，來提供WORM功能。</p> <p>事實上，目前主要的公有雲服務商，都已在物件儲存服務中提供了WORM功能選項，如AWS S3的Object Lock、Azure Blob的Immutable storage、Google Cloud Storage的Bucket Lock等，均可讓用戶在物件儲存環境中，建立WORM防寫架構。</p> <p><span style="font-size:28px;"><strong>評估雲端WORM功能的要點</strong></span></p> <p>相比於光碟、磁帶之類的物理型或韌體型WORM技術，只需選擇具備WORM功能的儲存媒體即可運作，公有雲物件服務的WORM功能，是透過軟體功能來實現，並藉由政策來設定與驅動，評估時要考慮的面向也更多，包括：資料保留功能適用的資料層級，資料保留模式的類型，資料保留的強固性選項，另外，對於有法規遵循需求的用戶，還須注意WORM功能是否能達到應有的效果。</p> <p><span style="color:#B22222;"><strong>WORM功能適用的資料層級</strong></span></p> <p>分為帳戶、物件容器與物件等3個層級，分別適用於整個帳戶、個別物件容器與個別物件，多數公有雲WORM功能都是支援物件儲存容器或物件層級的資料保留，可以就個別儲存容器或物件，來設定保留政策或屬性；少數公有雲的WORM功能，還能支援帳戶層級的資料保留政策（如Azure的Immutable storage），可建立適用於整個帳戶的WORM政策。</p> <p>不同適用層級的區別，會影響WORM功能的使用便利性與精細度。物件層級的WORM功能，可提供個別檔案物件等級的精細度，便於用戶視個別資料的保存需求，設定不同的WORM保留期限，但如果用戶有大量的資料需要WORM功能，逐一設定個別物件WORM參數的工作將變得十分繁瑣。</p> <p>關於Bucket儲存區層級的WORM功能，可為整個儲存區內的所有物件套用相同的WORM保存政策，但缺乏為個別物件設定不同WORM政策的精細度，若用戶需要不同保存期限，就必須建立多個各自套用不同政策的WORM儲存區。</p> <p>最理想的架構，是同時兼有物件層級與儲存區層級的WORM設定功能，例如微軟Azure、Google Cloud與IBM Cloud的物件儲存WORM功能，便具備同時提供物件層級與儲存區層級的設定能力。</p> <p><span style="color:#B22222;"><strong>資料保留模式</strong></span></p> <p>多數公有雲WORM功能，都能提供2種保留政策的模式：一為基於時間的時限型模式，另一為基於屬性的無時限型模式。首先，以基於時間的模式而言，是透過指定到期時間或保留天數來設定資料保留期限：不基於時間的模式則無期限，依靠是否啟用資料保留屬性來運作，當啟用後，便無法刪改資料，直到移除或關閉資料保留屬性設定為止。</p> <p><span style="color:#B22222;"><strong>資料保留的強固性</strong></span></p> <p>公有雲WORM功能的強固性可分為2種層級：在一般控管模式下，有特殊許可的用戶或管理者，仍能刪除資料或調整保留期限設定；而在法規遵循模式下，資料保留政策將被強制「鎖定」，包括管理者在內的任何使用者都無法刪除資料，或修改資料保留設定，直到保留期限到期。</p> <p><span style="color:#B22222;"><strong>法規遵循的認證</strong></span></p> <p>為了確保WORM功能的法規遵循能力，許多公有雲服務商都會商請獨立評估公司（如Cohasset Associates），來驗證自身的WORM功能，是否符合特定監管法規的資料保存要求，並將通過驗證的法規遵循能力，列在WORM功能的規格當中，以便有法規遵循需求的用戶能夠確認。</p> <p>儘管軟體型WORM技術彼此間大同小異，是否擁有法規遵循的認證，其實並不影響WORM功能的實際使用。但是對於有法規遵循需求的用戶來說，選擇通過獨立評估公司認證過的WORM功能，相對較有保障。</p> <p>而在相關監管法規中，最常被用來作為WORM功能合規性基準的參考項目，通常是下列三項：</p> <p>一、美國證券交易委員會（SEC）針對證券交易業者的電子資料保存的規範17a-4(f)；二、美國政府金融監管局（FINRA）規則4511；三、美國政府期貨交易委員會（CFTC）針對記錄保存的1.31規則。</p> <p>基本上，多數公有雲服務商的WORM功能，都可以符合這三項法規的要求，其中，有些公有雲服務商（如Oracle Cloud），還會加上符合歐盟金管理事會MiFID II規則的認證。</p> <p><span style="font-size:28px;"><strong>主要公有雲服務商的WORM功能</strong></span></p> <p>接下來，我們逐一檢視主要公有雲的作法，如AWS、微軟Azure、Google Cloud、IBM Cloud、Oracle Cloud、阿里雲，針對旗下物件儲存服務所提供的WORM功能，比較彼此之間的異同。</p> <p><span style="color:#B22222;"><strong>AWS S3</strong></span></p> <p>在S3物件儲存服務中，AWS提供了稱作Object Lock的WORM功能，適用於物件儲存容器與物件的保留，也能透過批次指令同時設定大量物件的WORM保留功能。用戶可以利用指定到期日、或保留天數等2種方式，來設定物件的保留期限，也能利用法務保存（Legal holds）功能，為物件設定沒有期限限制的WORM屬性。</p> <p>在保留模式方面，Object Lock提供2種，分別是：控管模式（Governance mode）、合規模式（Compliance mode）。在控管模式下，只有具備特殊許可的用戶，才能刪除資料或修改資料保留設定；若處於合規模式，任何用戶都無法刪除資料或修改資料保留設定。</p> <p>AWS宣稱，Object Lock已通過獨立顧問公司Cohasset Associates的評估，可符合多種法規的資料保存要求，像是：SEC 17a-4(f)、FINRA 4511、CFTC 1.31等。</p> <p><span style="color:#B22222;"><strong>Azure</strong></span></p> <p>在目前營運的Blob物件儲存服務當中，微軟Azure提供稱為Immutable storage的WORM功能，適用於帳戶、儲存容器與物件等3種層級。</p> <p>用戶可以選擇使用2種資料保留模式：基於時間的保留政策（Time-based retention policies），以及合規保留政策（Legal hold policies）。前者可以設定保留期限，後者則無期限，直到合規保存標記被移除為止。</p> <p>當用戶完成資料保留政策設定後，可選擇是否鎖定（Lock）該政策，藉此獲得不同強度的保護。</p> <p>例如，針對強固性要求較高的法規遵循環境，可選擇鎖定政策，如此一來，在保留期限到達之前，任何用戶均無法移除資料或修改政策設定；若未鎖定保留政策，則用戶仍可修改資料保存政策或寫入附加物件。</p> <p>Azure Blob的Immutable storage功能，亦通過Cohasset Associates的評估認證，可符合SEC 17a-4(f)、FINRA 4511、CFTC 1.31等法規的資料保存要求。</p> <p><span style="color:#B22222;"><strong>Google Cloud</strong></span></p> <p>Google Cloud物件儲存服務提供2個功能：Bucket Lock、Object Hold，分別用於設定儲存容器層級與物件層級的WORM功能。</p> <p>其中儲存容器層級的Bucket Lock，採用基於時間的保留政策設定，並透過是否鎖定（Lock）保留政策來調整強固性，鎖定後便無法移除政策或縮短保留期限。</p> <p>另一個Object Hold，則是用於搭配Bucket Lock，為個別物件設定進一步的保留屬性，當儲存容器的Bucket Lock保留期限到期後，若其中的物件擁有Object Hold屬性，能繼續維持WORM狀態。Object Hold提供基於事件（Event-based），以及臨時性（Temporary）等2種資料保留屬性，前者會將物件在儲存容器的保留時間歸零，重新計算保留期限，後者則不影響物件的時間屬性。</p> <p><span style="color:#B22222;"><strong>IBM Cloud</strong></span></p> <p>在物件儲存服務中，IBM Cloud提供專門的Immutable Object Storage儲存體，來因應WORM功能的需求。</p> <p>在儲存區層級中，他們提供了基於時間（限期或無限期）資料保留模式，而在物件層級當中，則提供法規保留（Legal hold），以及無期限保留等功能，可以為個別物件設定獨立於儲存區的保留政策。有法規遵循需求的用戶另將個別物件設定為永久保留（Permanent retention）模式，藉此可確保物件不會為任何人所刪除。</p> <p><span style="color:#B22222;"><strong>Oracle Cloud</strong></span></p> <p>在Oracle Cloud的物件儲存服務中，是透過資料保留規則（Retention Rule）來設定WORM功能，適用於儲存容器層級，可套用到容器中所有物件，並提供2種資料保留模式，一為有時限的保留政策（time-bound rules），另一為無時限的保留政策（indefinite rule）。</p> <p>針對有時限的保留政策，用戶還能鎖定政策來獲得更高的強固性，防止任何人刪改資料或修改政策（此時唯一能作的，就只有延常保留時間）。</p> <p><span style="color:#B22222;"><strong>阿里雲</strong></span></p> <p>在物件儲存服務中，阿里雲提供儲存容器層級的WORM功能，並擁有2種資料保留政策類型，一為基於時間（Tine-based）的保留模式，另一為沒有期限的法規保存（LegalHold）模式，並可選擇鎖定資料保留政策，來提供法規遵循所需的強固性。</p> <p>整體來說，雖然在設定與運作方式方面有所差異，前述各主要公有雲服務商所提供的WORM功能，都能達到相似的資料保留效果，並且都通過獨立評估公司的法規遵循能力認證，可用於一般的資料防寫控管，以及法規遵循等級的資料保存。</p> <p><span style="color:#B22222;"><strong>其他公有雲服務商的WORM功能</strong></span></p> <p>除了我們前面介紹的6大公有雲服務商以外，其他一些規模較小的公有雲服務商，也可以提供WORM功能。</p> <p>例如Backblaze在其B2 Cloud Storage物件儲存服務中，便提供了稱作Object Lock的WORM功能，最初此項技術是搭配Veeam備份軟體使用，可以針對指定的備份儲存區，啟用不可變的屬性（immutability），並指定資料保留的天數。Backblaze的這項功能主要用於Veeam備份複本的防寫保護，可防止備份複本遭到手動刪除，或是預設複本保留策略、生命週期策略的刪除。</p> <p>相較於AWS S3、Azure這類雲服務商的WORM功能，都是屬於廣泛型應用，並未綑綁特定的應用程式，Backblaze的Object Lock應用面向相對較為狹窄，屬於特定應用形式的WORM。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/150129" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> <a href="https://www.ithome.com.tw/article/150129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1070-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=QJTgqmBx" style="width: 550px;" /></a></span></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%94%AF%E8%AE%80%E6%8A%80%E8%A1%93">資料唯讀技術</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/worm">WORM</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E7%AB%84%E6%94%B9%E6%8A%80%E8%A1%93">資料防竄改技術</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲儲存服務</a></div></div></div>
2022/3/30 07:00作者張明德https://www.ithome.com.tw/tech/150111
【提供短期性與長期性的資料唯讀保護】企業儲存設備的WORM功能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1070-feng_mian_p6-960-v3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過長時間發展、技術上相當成熟的一寫多讀（WORM），這幾年以來，正逐漸走出法規遵循應用與特定儲存設備領域，成為各類型儲存設備普遍提供的進階資料服務之一。</p> <p>WORM的應用部署，最初始自光碟與磁帶，這些都是基於物理型與韌體型WORM技術的儲存設備，2000年代初期開始，有廠商試圖在磁碟儲存設備上，以軟體方式來提供WORM功能，並出現兩種路線。其中一種是專門以法規遵循應用為目的，透過專屬演算法來建構具備WORM特性的歸檔儲存平臺，這類產品最知名的便是EMC的Centera。</p> <p>另一種路線則是利用存取控制技術，在NAS這類通用型儲存設備上，建立具備WORM能力的儲存區。早期最具代表性的此類產品，便是NetApp ONTAP平臺的SnapLock功能。</p> <p>在這兩種路線中，WORM專用設備由於應用領域狹窄，產品規模一直十分有限。而以通用儲存設備為基礎，提供WORM附屬功能的路線，則獲得更進一步的發展，成為日後的主流產品形式。</p> <p>另一些以替代磁帶為目的的磁碟式備份儲存系統，包括備份儲存伺服器與虛擬磁帶櫃（VTL）等，也跟進提供了WORM功能，擁有等同於實體磁帶設備的法規遵循應用能力。</p> <p>到了2020年代前後，隨著勒索軟體的肆虐，WORM功能被視為打造安全儲存環境的手段，成為資安應用的關鍵環節，也吸引了更多的產品支援，許多新興的物件儲存平臺與NAS平臺，都能提供WORM功能。</p> <p><span style="font-size:28px;"><strong>支援WORM的主要產品類型</strong></span></p> <p>以產品形式區分，目前提供WORM功能的本地端通用型儲存設備，大致以這NAS、備份/歸檔儲存設備，以及物件儲存系統等3種類型為主。</p> <p><strong>● NAS型產品</strong></p> <p>許多儲存系統大廠的主力NAS平臺都支援WORM功能。例如，上述NetApp ONTAP平臺的SnapLock、Dell Isilon/PowerScale系列NAS的SmartLock，華為OceanStor平臺的HyperLok等。有些新興檔案儲存平臺，如Cohesity的Span FS，也支援WORM功能。</p> <p>在臺灣本土儲存廠商中，也有不少能提供具備WORM功能的NAS平臺，例如，普安（Infortrend）早期的EonNAS系列，以及目前的EonStor CS系列NAS，還有威聯通（QNAP）的QES與QuTS hero平臺，廣盛科技（QSAN）的XCubeNAS，商丞（Proware）的Unified Storage等。</p> <p>有些兼具SAN與NAS的通用儲存設備，也能在NAS功能提供WORM選項，如Dell的PowerMax與Unity儲存陣列NAS，具有File-Level Retention，另一例是普安，他們EonStor GS/GSe/GSe Pro系列提供File-Level服務。</p> <p><strong>● 備份、歸檔儲存設備</strong></p> <p>包括備份儲存伺服器，以及虛擬磁帶櫃（VTL），共2大類，前者最具代表性的產品，是Dell的Data Domain/PowerProtect，可透過Retention Lock功能，來支援WORM應用。市面上類似的產品，還有Veritas的Flex等。</p> <p>在VTL產品方面，許多高階產品都能提供軟體形式的WORM功能選項，如IBM TS7700、富士通Eternus CS8000與CS High End等。</p> <p><strong>● 物件儲存系統</strong></p> <p>許多針對大容量、二線儲存應用的新興物件儲存平臺，都內含WORM功能。例如：Scality的RING儲存平臺，Hammerspace的Global Data Environment等。另外，Nutanix在AOS超融合平臺延伸提供的物件儲存服務Nutanix Object，近期也新增WORM功能，亦屬於物件儲存平臺類型的WORM功能。</p> <p><span style="color:#B22222;"><strong>嶄新的快照型WORM應用</strong></span></p> <p>前述3大類型產品雖然形式有別，但WORM功能的應用型態都是相同的，均建構具備WORM能力的儲存區，可供前端應用程式寫入資料。</p> <p>但過去一年多，又出現專門搭配儲存陣列自身快照使用的WORM應用，例如：IBM搭配FlashSystem儲存陣列的Safeguarded，Infinidat搭配InfiniBox陣列的InfiniGuard CyberRecovery，Pure Storage在FlashArray陣列提供的SafeMode等，都是屬於這種類型。基本上，此類產品可以建立具備WORM特性的快照複本，以作為不受勒索軟體侵害威脅的安全複本。</p> <p>整體來說，各類型設備的WORM功能，都同樣能達到保存資料的目的，然而，適用的情境可能並不相同，例如，NAS的WORM功能較適合短期性的複本資料保存，至於備份、歸檔設備的WORM，則能用於長期複本資料保存。</p> <p>至於快照型WORM技術，則是比較特別的一種類型，是搭配SAN儲存陣列運作。相較於NAS、備份歸檔設備與物件系統，這些基於檔案系統與物件系統的快照型WORM產品，是在更底層的部分運作，也較適合短期性複本保存。</p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:24px;"><span style="background-color:#3399ff;"> 軟體型WORM功能的標竿 </span></span></strong></span><br /><span style="color:#3399ff;"><strong><span style="font-size:36px;">NetApp的SnapLock</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1070-%E5%B0%81%E9%9D%A2P6-600-1.png" style="width: 521px;" /></p> <p><strong>在各式各樣的企業儲存設備WORM功能中，NetApp公司產品提供的SnapLock堪稱是標竿，發表迄今已有近20年歷史，是最老牌、功能也最完整的軟體型WORM功能之ㄧ，可以作為評估其他同類WORM功能的參考範本。</strong></p> <p><strong>評估這類儲存設備附帶的軟體WORM功能，有4個要點：（1）運作的層級；（2）提供的防刪改作業模式；（3）防刪改作業的運作型式；（4）與儲存平臺其他資料服務功能之間的相容性，以及搭配運作能力。</strong></p> <p><strong>SnapLock是ONTAP儲存作業系統的選購功能，只適用ONTAP的Volume儲存區與其中的檔案，而不支援LUN儲存區，這意味著SnapLock是搭配NAS模式應用，而非區塊類型的LUN，用戶可透過標準的CIFS、NFS協定，將資料存放到SnapLock的Volume。</strong></p> <p><strong>SnapLock提供2種作業模式：</strong></p> <p><strong><span style="color:#B22222;">● SnapLock Compliance（SLC）：</span>可符合SEC 17a-4等法規遵循要求，提供Volume儲存區層級的WORM，任何用戶都無法刪改設定為SLC的Volume，到達保留期限後也只能刪除，而無法修改。</strong></p> <p><strong><span style="color:#B22222;">● SnspLock Enterprise（SLE）：</span>提供Volume儲存區上個別檔案的WORM，但擁有根權限管理者仍可刪改資料，並執行磁碟初始化、重新命名與銷毀等管理指令，因而SLE模式不能用於法規遵循要求，主要用於一般資料防寫控管。</strong></p> <p><strong>SnapLock是藉由設定保留期限來運作，而保留期限則是以ONTAP系統內ComplianceClockService防竄改時鐘軟體，來提供時間計算基準。而ComplianceClock時鐘只允許由管理員執行ㄧ次初始化，之後就依照系統硬體的時間刻度運行，並禁止調整時間，以免影響WORM保留期限的計算。</strong></p> <p><strong>在日常使用上，SnapLock可搭配ONTAP平臺的其他功能運作，例如結合SnapVault備份功能，並能利用SnapLock for SnapVault來保護儲存設備的快照複本。它也能搭配SnapMirror非同步遠端複製，以及MetroCluster同步遠端複製等功能，將SnapLock的WORM資料複製到遠端站點（但MetroCluster只適用於SLE模式的SnapLock功能）。</strong></p> <p><strong>而從ONTAP 9.1.1版起，SnapLock也能相容於ONTAP的資料縮減功能，如重複資料刪除等，可藉此減少WORM資料占用的容量。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> </span></strong></span><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/150129" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a></span></strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> <a href="https://www.ithome.com.tw/article/150129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1070-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=QJTgqmBx" style="width: 550px;" /></a></span></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%94%AF%E8%AE%80%E6%8A%80%E8%A1%93">資料唯讀技術</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80">一寫多讀</a></div><div class="field-item odd"><a href="/tags/worm">WORM</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E9%98%B2%E7%AB%84%E6%94%B9%E6%8A%80%E8%A1%93">資料防竄改技術</a></div><div class="field-item odd"><a href="/tags/netapp">NetApp</a></div><div class="field-item even"><a href="/tags/snaplock">SnapLock</a></div></div></div>
2022/3/30 07:00作者張明德https://www.ithome.com.tw/tech/150116
儲存防寫應用重新崛起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1070-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=QJTgqmBx" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資料勒索危害日益高漲的今日，一寫多讀（Write Once Read Many，WORM）、不可變儲存（Immutable storage）等資料防竄改技術，也走出過去以法規遵循為主的應用環境，成為打造企業安全儲存環境的關鍵環節</p> </div></div></div>
2022/3/30 07:00作者張明德https://www.ithome.com.tw/article/150129
零接觸商機成長超出預期，Momo今年將擴大發展短鏈綠色物流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Momo富邦媒今（3/29）宣布2022年新發展策略，將導入SBTi（科學基礎減量目標倡議）做法，要成為ESG綠色電商，也揭露積極布局短鏈物流、建置自動化物流中心來因應。</p> <p><span style="font-size:28px;"><strong>擴大布局倉儲，優化物流效率和資安</strong></span></p> <p>總經理谷元宏坦言，疫情帶起零接觸商務成長的幅度超乎預期，截至2021年底，Momo已經有1座北部的自動化物流中心、13座主倉以及30座衛星倉，但在2021年第四季時，仍然感受到倉儲不足的壓力。2022年，Momo預計將擴增5座主倉、20座衛星倉，並計畫在2023、2025年分別啟用南部和中部的自動化物流中心。同時，將在其他倉儲基地中逐步加入AGV等自動化設施，以彌平人力跟不上倉儲擴張的缺口。</p> <p>谷元宏指出，布局短鏈物流的另一項優勢，就是可以跳過物流節點，減少運送趟次，進而提升配送速度。Momo今年目標，是將大都會區到貨的時間，從5小時壓低到3小時。</p> <p>Momo也用科技輔助減少配送流程中消費者暴露個資的風險。包裹只會揭露收件者的部分個資，不只地址和姓名都會部分馬賽克，連電話號碼都不會寫。物流士不需要知道收件者電話號碼，改透過IVR系統，撥打給消費者。而Momo自家物流的物流士，則可以透過內部系統選單，直接打通收件者電話，不須自行播號。谷元宏說，因為Momo與多家物流公司合作，此項隱私政策落實不易，但目前執行率已經超過九成。</p> <p>作為物流布局，同時也是推行綠色運輸的一環，Momo也打算添購電動車，擴大自家車隊，目標是將自有物流比重，從2021年的17%提升到20%。</p> <p>面對近期蝦皮大舉布局店到店門市，谷元宏則認為，Momo九成訂單都是宅配，僅有8%至9%的訂單是超商取貨，因此他們將專心優化宅配方面的物流。</p> <p><span style="font-size:28px;"><strong>IT整合困難、業務種類不適，Momo幣生態圈擴張緩慢</strong></span></p> <p>Momo年初將Momo幣使用情境擴大到租購片折抵和電信帳單折抵，來擴張生態圈，谷元宏坦言，這些功能只獲得舊用戶青睞，沒有吸引到太多新用戶。他表示，導致Momo幣生態圈擴張緩慢的原因，除了跨出集團的資安疑慮外，合作對象POS等IT系統上的整合困難，也是碰壁原因。他也說，長期合作對象將鎖定與Momo購物網的業務互補的對象。目前Momo幣與其他商家合作的案例，多為一次性活動。</p> </div></div></div>
2022/3/29 20:54作者郭又華https://www.ithome.com.tw/news/150171
【資安日報】2022年3月29日，惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DD…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客使用與熱門NPM套件相似的名稱，在NPM市集上架惡意套件的情況，最近幾個月不時有事故傳出，但最近一個星期內，陸續有三家資安業者針對新的惡意NPM套件自動化攻擊提出警告，並指出每個套件駭客都透過不同的NPM開發者帳號上傳，而不像過往使用單一帳號上傳大量的惡意套件。再者，比較特別的是，這次駭客鎖定特定領域的開發人員下手，但攻擊目的仍不明朗。</p> <p>在烏克蘭戰爭中，雙方駭客向敵方國家發動網路攻擊的情況接連出現，但今天出現利用網站使用者的電腦，向特定網站發動DDoS攻擊的事故。駭客入侵數百個WordPress網站植入惡意程式碼，讓瀏覽遇害網站的使用者電腦向10個烏克蘭網站暗中發動攻擊，而且，使用者除了感覺上網速度可能會變慢之外，不易察覺有異。</p> <p>針對3月24日資安日報報導<a href="https://www.ithome.com.tw/news/150088#WPS">Avast揭露WPS Office漏洞CVE-2022-24934</a>，<a href="https://tw.wpsoffice.com/article/564?b=page%2Fwps-office%2Fnews%2Flatest">臺灣代理商無敵科技也於25日做出說明</a>，指出此漏洞僅影響國際版，臺灣版本不受影響。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/a-beautiful-factory-for-malicious-packages/"><span style="color: rgb(0, 0, 0);">惡意NPM套件鎖定Azure、Uber、Airbnb的開發者竊密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/NPM-user-account-1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NPM-user-account-1-1.png" style="width: 300px; float: right;" /></a>駭客上傳名稱相仿的惡意NPM套件，來對開發人員下手的情況，不時傳出攻擊行動，但現在駭客已發展出自動大量產生這類套件的做法，而引起研究人員關注。<a href="https://jfrog.com/blog/large-scale-npm-attack-targets-azure-developers-with-malicious-packages/">資安業者JFrog於3月22日揭露鎖定Azure開發者的惡意NPM套件攻擊</a>，駭客假冒@azure、@azure-rest、@azure-tests、@azure-tools、@cadl-lang領域的套件，在數天之內從約50個增加至218個（截至3月21日），一旦開發者不慎就有可能安裝到惡意套件，這些套件內含的惡意酬載，功能主要是能竊取受害電腦裡存放的個資，並對受害電腦進行偵察。與過往的攻擊行動不同之處在於，駭客很可能透過指令碼自動上傳這些惡意套件，雖然開發者的帳號都不相同，但背後發起攻擊的駭客身分相同。</p> <p><a href="https://blog.sonatype.com/this-week-in-malware-400-npm-packages-target-azure-uber-airbnb-developers">另一個資安業者Sonatype於3月25日表示</a>，這組駭客不只鎖定Azure開發者下手，還針對Uber與Airbnb的開發人員，他們看到有超過400個惡意套件。資安業者Checkmarx於3月28日表示，他們約自2月23日察覺這組駭客Red-Lili的攻擊行動，迄今駭客約產生逾800個惡意NPM套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hacked-wordpress-sites-force-visitors-to-ddos-ukrainian-targets/"><span style="color: rgb(0, 0, 0);">駭客利用WordPress網站散布攻擊工具，利用瀏覽網站的用戶電腦向烏克蘭發動DDoS攻擊</span></a></strong></h3> <p>資安研究團隊MalwareHunterTeam發現，有WordPress網站被植入惡意程式碼，鎖定瀏覽網站的使用者下手，利用這些電腦，在使用者不知情的情況下，於背景執行分散式阻斷服務（DDoS）攻擊，目標是10個烏克蘭網站，包含該國政府機構、招募國際士兵的網站、金融網站等。研究人員Andrii Savchenko指出，約有數百個WordPress網站遭到竄改而被植入相關程式碼，但許多管理者並不知情。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/chinese-threat-actor-scarab-targeting-ukraine/"><span style="color: rgb(0, 0, 0);">以收集戰爭犯罪證據為幌子，中國駭客Scarab鎖定烏克蘭發動網釣攻擊</span></a></strong></h3> <p>烏克蘭電腦緊急應變因應小組（CERT-UA）於3月22日發布資安通告，指出駭客組織UAC-0026以俄羅斯軍隊犯罪的記錄影片為誘餌，發動網路釣魚攻擊，並提及駭客投放的惡意DLL檔案HeaderTip，且類似的攻擊行為曾在2020年9月出現，而最近有研究人員找到與中國駭客相關的跡象。資安業者SentinelOne揭露，從惡意文件與相關檔案進行分析，駭客使用中文的Windows作業系統製作作案相關工具，其身分可能就是中國駭客組織Scarab，而這個組織相當會利用執法機關的名義，並搭配時事發動網路釣魚攻擊，以上述2020年9月的攻擊行動而言，這些駭客就是利用歐洲安全與合作組織（OSCE）的名義，以反恐會議的文件為誘餌向菲律賓人下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.intezer.com/blog/research/conversation-hijacking-campaign-delivering-icedid/"><span style="color: rgb(0, 0, 0);">木馬程式IcedID鎖定Exchange Server下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IcedID-image-0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IcedID-image-0.png" style="width: 300px; float: right;" /></a>為了讓釣魚郵件更難以被識破，駭客很可能先入侵郵件伺服器，挾持部分使用者的帳號來發送郵件，進而在受害電腦上植入惡意軟體。資安業者Intezer指出，使用木馬程式IcedID的駭客，近期鎖定受感染的Exchange Server，並竊取當中部分電子郵件帳號，以回信的方式來發送釣魚郵件，挾帶Windows捷徑（LNK檔案）與DLL檔案來散布IcedID。駭客鎖定能源、醫療、法律、製藥廠等產業下手。</p> <p>研究人員認為，駭客使用了LNK檔案做為附件，並透過遭駭Exchange Server的電子郵件帳號寄信，而使得攻擊行動更難被察覺，他們也呼籲郵件伺服器管理員，要儘速修補Exchange Server重大漏洞，以免成為駭客的攻擊對象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/us-says-kaspersky-poses-unacceptable-risk-to-national-security/"><span style="color: rgb(0, 0, 0);">美國將卡巴斯基列入可能造成國安威脅的名單</span></a></strong></h3> <p>自烏克蘭戰爭開戰以來，德國、義大利針對卡巴斯基下手，打算減少使用該廠牌的防毒軟體，來防範可能會遭到俄羅斯監控的情況，如今美國亦認為該廠商可能會帶來國安威脅。美國聯邦通訊委員會（FCC）於3月25日，將卡巴斯基列入可能對國家安全造成威脅的設備或服務提供者名單。這份名單目前總共有8家廠商，除卡巴斯基之外其餘皆為中國業者。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150123"><span style="color: rgb(0, 0, 0);">歐盟與美國達成跨大西洋資料隱私框架初步協議</span></a></strong></h3> <p>為減化美國企業將歐洲使用者資料傳送到美國的流程，他們與歐盟達成協議，於3月25日宣布即將推動新的跨大西洋資料隱私框架（Trans-Atlantic Data Privacy Framework），美國亦承諾強化對歐盟使用者資料的保護。事實上，美國曾依循歐盟隱私法令，與歐盟曾於2016年達成《隱私盾》（Privacy Shield）資料傳輸保護協議，但歐盟法院認為美國情報機構可能會窺探歐盟民資個資，於2020年7月廢除。而這次雙方打算推出的新隱私框架，主要便是界定美國的監控活動範圍與比例，以及不當收集或使用歐盟民眾個資時，所需採取的緊急因應措施。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/29 18:30作者周峻佑https://www.ithome.com.tw/news/150170
微軟呼籲各界重視元宇宙的身分安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才從Amazon跳槽到微軟，負責安全、合規、身分及管理的微軟執行副總裁Charlie Bell，<a href="https://blogs.microsoft.com/blog/2022/03/28/the-metaverse-is-coming-here-are-the-cornerstones-for-securing-it/" target="_blank">本周呼籲各界有意進入元宇宙（Metaverse）應該開始考慮元宇宙的安全性</a>，強調透明度與互動不僅將推動元宇宙的採用，也會加速安全的學習過程，而共同合作更是元宇宙最強大的防禦能力。</p> <p>Bell指出，過去的安全威脅將是未來的借鏡。現在網路世界所發生的社交工程、詐騙或網釣攻擊未來都可能在元宇宙的世界發生，駭客原本是採用類似的網域名稱或是電子郵件帳號，在元宇宙的世界裡，駭客很可能假冒成同事的虛擬化身，倘若現在不採取行動，這些類似的威脅可能就會成為未來的破壞者。</p> <p>因此，最好的機會就是在邁進此一新時代之際，便建立具體且核心的安全原則，以促進對元宇宙體驗的信任與安心，若錯過將會阻礙此一新技術的巨大潛力。</p> <p>即便是在元宇宙的世界，Bell認為身分依然是駭客入侵組織的首選，它不再是一個偽裝成銀行所發出的網釣郵件，也許是虛擬銀行大廳一個出納員的化身，要求使用者提供個人資訊，或者假冒為組織的執行長，邀請使用者進入一個惡意的虛擬會議，因此，解決身分認證也是元宇宙最受關注的問題。</p> <p>此外，未來的元宇宙也會是由不同的平臺與經驗供應商組成，能夠真正的互通才能消除彼此間的差距，也能更安全，並創造全新的場景，例如在不同的平臺上虛擬展示PowerPoint簡報。Bell指出，元宇宙的各個參與者，都必須在服務條款與安全功能上有著清楚的且標準的交流，包括如何使用加密技術，或是如何舉報與更新漏洞等。</p> <p>當業者得以合作共同抵抗安全威脅時，安全研究人員、各組織的安全長或是相關產業都將與對手（駭客）一樣，得以洞悉並利用元宇宙的形勢，未來各種元宇宙平臺，可能會帶來並產生全新的資料流，改善身分認證，找出可疑或惡意活動，甚至是重新視覺化網路安全，以協助人類分析師即時作出決策。</p> </div></div></div>
2022/3/29 16:31作者陳曉莉https://www.ithome.com.tw/news/150160
HP宣布以17億美元買下視訊會議裝置製造商Poly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2022/03/28/2410884/0/en/HP-Inc-to-Acquire-Poly.html" target="_blank">HP於周一（3/28）宣布</a>將以每股40美元、總價33億美元的價格買下視訊會議裝置製造商Poly。此一消息讓Poly周一股價上漲了52.63%，以39.99美元作收。</p> <p>Poly原名Polycom，成立於1990年，在2018年被另一家開發音訊通訊的Plantronics收購，合併後的公司於2019年更名為Poly，主要產品包括電話、耳機與視訊會議架構。</p> <p>此次收購Poly的是專門銷售個人電腦與印表機的HP，而非鎖定雲端與伺服器等企業應用的HPE。HP表示，此一交易將強化該公司於混合工作解決方案的市場機會，並將奠定HP的長期成長基礎。疫情帶動了混合工作趨勢，也推升了於家中及辦公室中無縫切換作業的需求，已有75%的辦公室工作者投資家中設備以支援新型態的混合工作模式，就算是辦公室空間也已重新配置會議解決方案，以支援混合工作與協作。</p> <p>根據Frost & Sullivan的調查，全球的9,000萬個會議室中，只有不到10%具備視訊能力，相關解決方案的產值到2024年將達3倍。</p> <p>此一交易尚待Poly股東同意，預計於今年底前完成。有別於Poly股價上漲超過50%，消息曝光當天HP股價下滑了2.74%，收在38.75美元。</p> </div></div></div>
2022/3/29 16:40作者陳曉莉https://www.ithome.com.tw/news/150161
蘋果《樂動心旋律》成為串流影片平臺首個獲得奧斯卡最佳影片的電影
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/03/apples-coda-wins-historic-oscar-for-best-picture-at-the-academy-awards/" target="_blank">正在 Apple TV+上映的《樂動心旋律》（CODA）本周日（3/27）奪下了第94屆奧斯卡（Academy Awards）最佳影片獎</a>，成為第一個奪下該獎項的串流影片平臺。</p> <p>《樂動心旋律》是第一部以聽障人士為主要演員的電影，其英文名稱的全名為Child Of Deaf Adults，亦即聽障人士的孩子，17歲的Ruby是聽障家庭中唯一擁有聽力的成員，她必須替家人擔任翻譯之外，也意外發現自己有唱歌的天份，卻在為家人負責及追夢之間左右為難。</p> <p>《樂動心旋律》獲得了6項提名，搬回了最佳影片、最佳男配角及最佳改編劇本等3項大獎。</p> <p>不只是蘋果的Apple TV+，Netflix的《犬山記》（The Power of the Dog）也獲得奧斯卡12項提名，但只抱走了最佳導演獎。</p> <p>即使蘋果Apple TV+於第94屆奧斯卡金像獎上大放異彩，但調查顯示，Apple TV+全球的訂閱用戶數仍遠低於Netflix、Amazon Prime Video、Disney+ 與Hulu，市占率僅有個位數。</p> </div></div></div>
2022/3/29 16:52作者陳曉莉https://www.ithome.com.tw/news/150162
美國測試下一代超級電腦搶先版Crusher，已可登上全球前十大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.olcf.ornl.gov/2022/03/28/forging-ahead-with-frontier-ready-to-crush-science/" target="_blank">美國橡樹嶺國家實驗室領先運算機構（Oak Ridge Leadership Computing Facility，OLCF）本周公布下一代超級電腦測試機</a>，供研究人員先睹為快並為未來測試做好準備。</p> <p>OLCF今天公布的是美國能源部未來上線的超級電腦Frontier的縮小版，名為Crusher，採用和Frontier相同架構，但體積是Frontier 的 1/100。</p> <p>Frontier預計要2022年底問世，2023年初開放使用，但Crusher現在已經可作為多家機構的早期測試機器。目前已有美國加速應用整備中心、Exascale運算專案及美國國家運算科學中心（National Center for Computational Sciences，NCCS）及合作廠商使用，為日後在Frontier上的實驗開發程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Frontier-System-large1-by%20OLCF-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／OLCF</span></p> <p>Crusher將採用HPE Cray伺服器及HPE Slignshot互連技術，共有192個運算節點，分成2個機櫃，各有128個和64個運算節點。每個Crusher節點包含1顆 64核 AMD EPYC 7A53 第3代EPYC CPU、512 GB DDR4記憶體以及4顆AMD MI250X，故每座Crusher有768顆AMD MI250X。根據資料，Crusher將在建模及模擬運算中，具備53TFLOPS雙精度浮點運算速度。<a href="https://www.tomshardware.com/news/from-opteron-to-milan-crusher-supercomputer-comes-online-with-amd-cpus-and-gpus" target="_blank">Tom's Hardware報導</a>，理論上運算峰值將接近40 PetaFLOPS。<a href="https://www.ithome.com.tw/news/145552" target="_blank">按照去年公布的五百大超級電腦排名</a>，Crusher已經相當於第8位。</p> <p>興建中的Frontier也是採用HPE Cray硬體，具備64顆AMD EPYC Trento 7A53 CPU 及4顆 AMD Aldebaran MI250X GPUs。<a href="https://www.nextplatform.com/2021/10/04/first-look-at-oak-ridges-frontier-exascaler-contrasted-to-argonnes-aurora/" target="_blank">根據報導</a>，預期Frontier浮點運算速度至少超過1.5 exaflops，將可輕鬆重登超級電腦龍頭之位，目前現任盟主為日本的富岳（Fugaku），運算速度為442petaflops。</p> <p><a href="https://www.nextplatform.com/2021/10/26/china-has-already-reached-exascale-on-two-separate-systems/" target="_blank">The Next Platform報導</a>，中國也正在研發2座下一代超級電腦，據傳可能達1.3 exaflops。</p> </div></div></div>
2022/3/29 15:56作者林妍溱https://www.ithome.com.tw/news/150159
研究人員發現LinkedIn上有超過1,000張偽造的大頭照與個人身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.npr.org/2022/03/27/1088140809/fake-linkedin-profiles" target="_blank">美國公共廣播電台（NPR）本周指出</a>，兩名史丹佛大學的研究人員無意間發現LinkedIn上有人使用AI合成的照片來建立個人檔案，進一步調查後，至少發現了超過1,000張偽造的照片，利用這些假冒的LinkedIn帳號來替企業行銷。</p> <p>率先發現此事的是Renée DiResta，她是史丹佛大學網路觀測計畫的研究人員，先前曾研究過俄羅斯的不實資訊及反疫苗陰謀活動，對於虛假的事物特別敏銳。</p> <p>引起DiResta懷疑的是她收到一個來自LinkedIn用戶Keenan Ramsey的訊息，Ramsey宣稱自己是LinkedIn一個企業家社團的成員，詢問DiResta對於可以在任何裝置上統一存取訊息、影片或電話的軟體有無興趣。</p> <p>DiResta雖然對這個資訊沒有興趣，但她去察看了Ramsey的個人檔案，發現Ramsey耳環只戴了一邊，髮絲時有時無，而且眼睛完全處於圖片的中心線，她立即通知了網路觀測計畫的同事Josh Goldstein，結果發現LinkedIn上有超過1,000個帳號所使用的照片是由AI軟體生成的。</p> <p>這兩名研究人員辨識AI生成照片的重要指標之一便是眼睛的位置，再加上完全看不出是什麼的模糊背景，以及奇怪的打扮（少了一邊的耳環）。此外，她們也去調查了Ramsey的背景，發現不管是Ramsey現在或曾任職的公司，或者是她所列出的學校，都沒有這號人物。</p> <p>接著DiResta與Goldstein就開始研究LinkedIn上可疑的大頭照，與它們的個人檔案，發現至少有超過1,000個個人檔案採用AI生成的照片，偽造個人資歷，而且它們宣稱自己隸屬於逾70家公司。</p> <p>研究人員相信這是行銷業者的傑作，行銷業者負責替客戶推銷商品，卻透過成立假帳號來進行，相較於聘請真正的行銷人員，以AI生成的偽造身分進行行銷似乎成本更低，而且有不少客戶完全不知道行銷公司採取此等手法。</p> <p>至於LinkedIn則在收到研究人員的通知，並進行確認之後，刪除了這些假帳號。</p> </div></div></div>
2022/3/29 15:18作者陳曉莉https://www.ithome.com.tw/news/150158
疑公布太多機密文件，推特封鎖Anonymous相關4個帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來頻繁駭入俄羅斯企業及國營機構網站的Anonymous及其聯盟帳號，本周遭推特（Twitter）封鎖部分聯盟帳號。</p> <p>Anonymous的聯盟昨日（3/28）透過推特公告，Anonymous有4個和平抗爭的帳號，包括@OpsAn0n、@Technotna、@ivyanonymiss001、和@anonymousspart0在24小時內被推特封鎖，質疑推特言論審查。而為號召使用者抗議，Anonymous盟友發起#StopCensureTwitter 活動，在貼文中加上這個標籤，即可用於抗議推特無理言論審查。</p> <p>Anonymous宣稱推特封鎖這些帳號，是為了阻止公布竊自俄國央行等企業組織的敏感文件。<a href="http://pic.twitter.com/70yNgMKnXE" target="_blank">Anonymous指控</a>推特助紂為虐，允許造成孩童喪命及無辜平民被屠殺的普丁「殺人機器」帳號持續活動。</p> <p>上周Anonymous也駭入了俄國央行後，宣稱取得3.5萬份檔案。而在這個組織預告將公開資料後，周日也公開了俄國央行28GB資料。</p> <p>上周特斯拉CEO Elon Musk也同樣指控推特不再維護言論自由。<a href="https://twitter.com/elonmusk/status/1507777913042571267" target="_blank">他根據自己近8千萬粉絲的調查指出</a>，推特作為現代公共論壇，未能恪遵自由言論精神，已經根本顛覆了民主。<a href="https://twitter.com/elonmusk/status/1507777913042571267" target="_blank">他認為有必要思考</a>另建新的社群平臺。</p> <p>過去發言經常遭推特封鎖的川普，很早就指控推特言論審查，去年也推出自己的社群平臺<a href="https://www.ithome.com.tw/news/147430" target="_blank">Truth Social</a>。</p> </div></div></div>
2022/3/29 12:58作者林妍溱https://www.ithome.com.tw/news/150156
Anonymous大量傾倒數家俄國企業資料，號稱規模歷來之最
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anonymous周一（3/28）在一項名為代號「俄羅斯行動」（Operation Russia）的攻擊中，接連釋出俄國多家企業的資料，並稱此波攻擊為歷來規模最大的行動之一。</p> <p>昨日Anonymous公告已偕同同盟的駭客組織，駭入俄羅斯營建公司Rostproekt、俄國最大媒體──國家電視暨無線廣播公司（VGTRK），以及生產鑽油、採礦業專用設備的俄國公司MashOil，並預告將會把巨量資料公諸網路，要讓「俄羅斯嚇一大跳」（Brow Russia Away）。而在周二，Anoymous陸續將<a href="https://twitter.com/cyber_etc/status/1508572196784029706" target="_blank">MashOil 包含14萬封電子郵件的資料110GB</a>、<a href="https://twitter.com/xxNB65/status/1507748987461419011" target="_blank">VGTRK資料870GB</a>，以及<a href="http://pic.twitter.com/NoPRPmy18S" target="_blank">Rostproekt資料2.4GB</a>，並公布於DDoSecret[.]com網站上。</p> <p>Anoymous表示，這波對俄羅企業的駭入行動，是他們發動過規模最大的攻擊之一，會持續到俄羅斯停止攻擊烏克蘭為止。他們預計未來幾周還會釋出1.22 TB的資料。</p> <p>這波資料外洩之前，上周Anonymous也駭入了俄國央行後，宣稱取得3.5萬份檔案。而在這個組織預告將公開資料後，<a href="https://www.hackread.com/anonymous-hack-russian-industrial-firms-data-leak/" target="_blank">Hackread報導</a>，周日Anonymous 果然公布了俄國央行28GB資料。</p> </div></div></div>
2022/3/29 13:11作者林妍溱https://www.ithome.com.tw/news/150157
紐時揭露Nokia為俄羅斯監控活動的關鍵供應商，Nokia否認
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nokia於本月宣布不再銷售電信設備至俄羅斯，同時譴責俄羅斯入侵烏克蘭的行為，不過，<a href="https://www.nytimes.com/2022/03/28/technology/nokia-russia-surveillance-system-sorm.html" target="_blank">《紐約時報》本周（New York Times）引用Nokia的內部文件指出</a>，Nokia的設備依然是俄羅斯網路監控系統SORM的關鍵元件，而且一直協助當地的國營企業建置SORM。<a href="https://www.nokia.com/about-us/newsroom/statements/nokia-statement-on-new-york-times/" target="_blank">Nokia則馬上發表了長篇聲明否認此</a>事。</p> <p>SORM的全名為「執行調查行動的系統」（System for Operative Investigative Activities），可讓俄羅斯聯邦安全局（Federal Security Service，FSB）合法地攔截俄羅斯境內的通訊網路，自1995年便存在迄今。</p> <p>紐時所引用的文件現身於2008年至2017年，顯示Nokia與俄羅斯的國營企業共同規畫SORM，包括提供設備與軟體服務，以讓SROM系統可以連結至該國最大的電信服務供應商MTS。</p> <p>紐時表示，從文件內容可看出，Nokia知道自己正在替俄羅斯打造監控系統，而這也是Nokia於俄羅斯市場生存的重要因素，讓Nokia成為當地主要的電信設備與服務供應商，每年替Nokia賺進數億美元的營收。</p> <p><a href="https://www.ithome.com.tw/news/133162" target="_blank">其實澳洲資安業者UpGuard早在2019年</a>，就發現Nokia與SORM系統有關，因為當時有一名Nokia員工不小心外洩了SORM的部署文件。</p> <p>不過，在紐時的報導曝光後，Nokia立即發表了聲明，指出Nokia並未製造、安裝或服務SORM系統與設備，認為該文章容易使人誤解。</p> <p class="rtecenter"><a href="http://www.nokia.com/about-us/newsroom/statements/nokia-statement-on-new-york-times/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Nokia%20responds%20to%20New%20York%20Times%20article.png" style="width: 550px;" /></a></p> <p>Nokia解釋，合法的攔截能力幾乎是每個國家的每一個網路所存在的標準功能，它讓適當的執法機關得以追蹤及檢視於特定電信網路上的資料及通訊，以用來打擊犯罪，Nokia則是俄羅斯眾多的網路基礎設施供應商之一。</p> <p>Nokia批評紐時的文章宣稱、該公司於SORM系統中扮演積極角色一事是錯誤的，該公司只是跟其它供應商一樣，被要求其網路產品必須擁有能被執法機構合法攔截的被動能力，甚至未被允許存取位於俄羅斯境內的SORM設備或系統，只是符合合法攔截要求的第三方業者。</p> <p>Nokia強調，該公司譴責任何濫用合法攔截來侵犯人權的行為，亦譴責俄羅斯對烏克蘭的入侵行動，支持任何的制裁與限制，也已暫停所有應交付至俄羅斯的軟體及硬體。</p> </div></div></div>
2022/3/29 11:35作者陳曉莉https://www.ithome.com.tw/news/150154
傳甲骨文開始嚴查Java授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/03/22/oracle_starts_to_include_java/?td=rt-3a" target="_blank">The Register報導</a>，甲骨文稽查企業用戶，近期開始將把過去看管較鬆散的Java授權加入。</p> <p>甲骨文針對標準版Java（Java SE）有2種商業授權。<a href="https://www.clearedgepartners.com/post/unravelling-oracle-java" target="_blank">2019年4月甲骨文宣布</a>Java SE用戶需要付費訂閱，才能取得授權及更新，包括Java SE 7、8或11、12。但到同年9月<a href="https://blogs.oracle.com/java/post/free-java-license" target="_blank">該公司又宣布了免費Java授權方案</a>，針對Java 17版本提供每季更新，並在2021年的新版本提供多1年免費支援，但這項方案並不溯及既往，舊版Java用戶即使安裝修補程式也是需要付費。</p> <p>報導指出，最近一些美國企業收到甲骨文授權管理部門的訊息，詢問Java授權數量。此外甲骨文也從資料庫、中介軟體或應用授權，來推敲用戶的Java授權是否為虛報。例如企業回報Oracle資料庫授權為5,000顆CPU，但和其回報的Java授權不符。</p> <p>一家專門從事Oracle平臺開發的廠商解釋，這是因為資料庫、中介軟體等產品為永久授權，拿出合約稽核起來有憑有據，但Java的估算就得仰賴其他IT資產。</p> <p>根據甲骨文的方案，Java SE為每顆CPU每月25美元，或每人每月2.5美元，提供Java授權、功能及安全更新、管理服務、GraalVM Enterprise及24x7支援服務。</p> <p>報導引述Gartner分析機構指出，Java SE不提供虛擬機器（VM）或邏輯處理器授權，只提供實體處理器及叢集為授權單位，迫使企業必須多買超過實際用量的授權，許多大型企業每年支出超過千萬美元。</p> <p>部分企業已經開始尋求開源方案。由於甲骨文仍然根據GPL提供Oracle OpenJDK，因此有的企業已經汰除Oracle Java，而改用Open JDK或其他方案。</p> </div></div></div>
2022/3/29 10:56作者林妍溱https://www.ithome.com.tw/news/150152
Google新深度學習模型可利用眼睛外部照片，偵測糖尿病患血糖、血脂狀況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2022/03/detecting-signs-of-disease-from.html">Google研發</a>了一個能從眼睛外部偵測疾病跡象的深度學習模型，該模型從眼睛外部照片，擷取有用的生物標記，偵測糖尿病患者視網膜病變、糖化血色素（HbA1c）升高以及血脂升高等現象，研究人員提到，使用眼睛外部照片作為模型輸入，優勢是減少專業設備的需求，進而增加健康篩檢的各種可能性。</p> <p>在之前，Google也有進行過類似的研究，不過當時是使用深度學習技術，從眼底（Fundus）照片預測心血管的危險因子，並找出像是慢性腎臟病和糖尿病標記物，也能利用血紅蛋白多寡來偵測貧血。研究人員表示，這類型的工作，都是希望發展出以更小的侵入性，並且更精確也更便宜的方法，來監測和監控疾病。</p> <p>而Google這項新研究，則是利用更易於取得的眼睛外部照片，對血糖和血脂狀況作出判斷。Google使用遠端糖尿病視網膜病變篩檢計畫145,000多名患者的去識別化資料，訓練一個卷積神經網路，能判斷罹患糖尿病視網膜疾病、糖化血色素（HbA1c）升高以及血脂升高3種症狀。</p> <p>研究人員以AUC（Area Under Curve）來衡量模型效能，完美模型得分為100％，而隨機猜測得分為50％，目前該模型的預測能力，在模型檢測糖尿病視網膜病變上，AUC為71-82％，糖化血色素升高為67-70％，而血脂升高則為57-68％，研究人員表示，雖然模型還不完美，但成果已經可以協助偵測和量化系統性健康的各項參數。</p> <p>該模型的應用場景，可以像是糖尿病前期篩檢問卷一樣，利用眼睛外部照片預先篩檢出需要進一步檢測的人們。Google針對這項研究，也進行了偏差評估，包括可解釋性分析，找出對演算法影響最大圖片部分，並且收集美國境內不同地點和人種的資料，以減少演算法存在的偏差。</p> <p>研究人員提到，由於只要從眼睛外部的照片，就能夠擷取健康相關的訊號，因此對大量的糖尿病以及其他慢性病患者來說，存在許多潛在影響，不過這項研究在通用性還有很長的路要走，像是繼續研究所需要的圖像品質，並且將應用推廣至已知與未知的慢性疾病患者。</p> </div></div></div>
2022/3/29 09:38作者李建興https://www.ithome.com.tw/news/150141
Sophos修補防火牆軟體遠端程式碼執行漏洞，已有用戶遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220325-sfos-rce" target="_blank">安全廠商Sophos本周釋出安全更新</a>，修補其防火牆軟體一個風險值9.8的遠端程式碼執行（RCE）漏洞，並有部分用戶遭到攻擊者瞄準。</p> <p>最新修補的是編號CVE-2022-1040的驗證繞過漏洞，它位於Sophos Firewall軟體的用戶入口網站和Web管理介面，能讓攻擊者遠端執行程式碼。本漏洞CVSS 3.1風險值達9.8。</p> <p>最新漏洞影響Sophos Firewall v18.5 MR3（即18.5.3版本）以前，Sophos已經於3月23日針對v17.0 MR10 EAL4、v17.5 MR16及MR17、v18.0 MR5(-1)及MR6、 v18.5 MR1 和MR2、v19.0 EAP發布hotfix。防火牆開啟「允許自動安裝hotfix」設定的用戶無需動作，這項設定也是預設開啟。</p> <p>Sophos發現部分用戶遭駭客鎖定本漏洞，主要位於南亞地區，該公司也對這些用戶發出通知，同時啟動調查。</p> <p>Sophos也分別針對產品生命周期終止（EOL）的版本，包括v17.5 MR12 到MR15，以及v18.0 MR3及MR4、以及v18.5 GA、v18.5 MR3釋出hotfix。此外v19.0 GA、v18.5 M$4 (18.5.4)則已包含修補程式。Sophos建議用戶儘速更新Sophos Firewall。</p> <p>未能安裝更新者，Sophos建議用戶關閉使用者入口網站和Web管理員的WAN存取介面，並改以VPN連線或Sophos Central統一控制臺介面執行遠端存取及管理作業。</p> </div></div></div>
2022/3/29 09:47作者林妍溱https://www.ithome.com.tw/news/150147
【資安日報】2022年3月28日，Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週勒索軟體駭客組織Lapsus$接連聲稱入侵了微軟、Okta兩家公司，並聲稱取得後者的超級使用者（Super User）權限，可用來更動用戶的密碼。在Okta坦承確有此事並揭露事故可能發生的原因後，在這個週末又有新的進展。該公司表示，他們約於2個月前就發現相關帳號遭到入侵的情況，但僅是通報受害者所屬的公司，沒有進一步追查而導致其他用戶受害。</p> <p>駭客規避偵測的手法千奇百怪，近年來因為新興程式語言的成熟，也有攻擊者開始透過這種程式語言打造惡意軟體，而使得資安系統難以識別。在今天的資安新聞中，使用勒索軟體Hive的駭客，開始改用Rust程式語言開發Linux版勒索軟體。</p> <p>在汽車的資訊安全中，控制車門開關的遙控器，其發送到車輛的訊號若是固定、可被預測，有可能會被攻擊者複製再利用。有研究人員揭露本田（Honda）汽車的相關漏洞，並指出該廠牌大部分車款都可能受到影響。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/okta-we-made-a-mistake-delaying-the-lapsus-hack-disclosure/"><span style="color: rgb(0, 0, 0);">針對遭到駭客組織Lapsus$攻擊，Okta坦承延遲揭露逾2個月，影響處理時效</span></a></strong></h3> <p>身分驗證管理解決方案業者Okta於1月遭到Lapsus$駭客組織入侵，駭客於2個月後公布入侵成功的螢幕截圖，並得到該公司證實確有此事，有366個客戶（約占該公司客戶總數2.5%）受到波及。Okta於3月25日再度對於這起攻擊事故進行說明，表示他們早於1月20日就得知，他們委外的客服公司Sitel，有客服工程師Okta帳號的密碼疑遭竄改，他們當下即重設該帳號的密碼並通報Sitel。</p> <p>雖然宣稱客戶沒有遭駭，但Okta坦承處理方式有所疏忽，當時僅預防相關帳號遭到接管，沒有考慮到對其他Okta用戶的影響，並未更積極主導相關的調查。而在Lapsus$公布相關資料後，Okta股價一路從170美元跌到138美元，跌幅達20%。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-ports-its-linux-vmware-esxi-encryptor-to-rust/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive改以Rust程式語言開發Linux版本，意圖規避資安系統檢測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hive-ver5-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive-ver5-virustotal.png" style="width: 300px; float: right;" /></a>勒索軟體駭客Hive自去年10月開始，將攻擊範圍延伸到Linux與FreeBSD主機上，如今他們模仿其他組織的做法，更換開發勒索軟體的程式語言，而使得資安系統更難察覺異狀。資安業者Group-IB研究員Rivitna指出，他們看到新的Linux版Hive勒索軟體，駭客使用Rust進行開發，而非像過往使用Go語言（Golang），鎖定VMware ESXi而來。</p> <p>研究人員指出，駭客這麼做是參考另一個組織Black Cat（亦稱Alphv）的手法，理由是使用Rust開發的軟體執行效率更好，且對於研究人員而言，反組譯變得更為困難。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.juniper.net/en-us/security/muhstik-gang-targets-redis-servers"><span style="color: rgb(0, 0, 0);">中國駭客組織Muhstik利用Redis漏洞，投放惡意軟體組成殭屍網路</span></a></strong></h3> <p>繼先前的Log4Shell漏洞後，駭客看上Linux伺服器應用程式漏洞，來組織殭屍網路的情況，最近開始鎖定記憶體資料庫Redis下手。資安業者Juniper指出，他們發現中國駭客組織Muhstik，約自3月11日鎖定甫被修補的Redis漏洞CVE-2022-0543，鎖定執行Debian與Ubuntu作業系統的Linux主機下手，攻擊者利用這項漏洞，可遠端執行任意的Lua程式碼，進而在受害主機上進行沙箱逃逸，並植入殭屍網路機器人（Bot）。</p> <p>對此，Debian和Canonical都發布了資安通告，後者指出該漏洞的CVSS風險層級達10分。</p> <p> </p> <h3><strong>【漏洞與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_25.html"><span style="color: rgb(0, 0, 0);">Chrome零時差漏洞疑遭濫用，Google緊急修補</span></a></strong></h3> <p>又有Chrome的零時差漏洞疑似出現於攻擊行動的情況。Google於3月25日發布電腦版Chrome 99.0.4844.84，該公司強調此版本更新的內容是修補CVE-2022-1096，該漏洞涉及此瀏覽器的網頁渲染引擎V8，為類型混淆漏洞，影響Windows、macOS、Linux等三大電腦作業系統的Chrome，且其他採用Chromium為基礎開發的瀏覽器，如Edge、Brave、Vivaldi、Opera，也可能會受到影響，Google指出他們得知該漏洞已經出現攻擊行動。微軟、Brave已於3月26日發布新版瀏覽器修補上述漏洞。而這是Google今年對該瀏覽器修補的第2個零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/honda-bug-lets-a-hacker-unlock-and-start-your-car-via-replay-attack/"><span style="color: rgb(0, 0, 0);">Honda汽車遙控鎖存在漏洞，駭客恐利用重放攻擊啟動引擎</span></a></strong></h3> <p>汽車的遙控器雖然方便，然而其訊號很可能極為容易遭到複製，而能讓攻擊者來打開車門。研究人員Blake Berry與Ayyappan Rajesh聯手，揭露他們在本田（Honda）旗下的汽車發現的漏洞CVE-2022-27254，這項漏洞可被在車輛附近的駭客用來發動中間人攻擊（MitM），攔截從鑰匙遙控器發出的訊號並予以複製，之後再發送訊號開啟車門，攻擊者甚至藉此能發動引擎。研究人員指出，經過他們的驗證，這項漏洞至少影響該公司旗下2016年式至2020年式的Civic，他們研判很可能影響大部分本田旗下車款，並擴及該公司的豪華品牌Acura產品線。研究人員對該公司提出呼籲，應透過發送不斷更新的通關密語（Rolling Code，亦稱Hopping Code）來防範相關攻擊。針對上述的研究成果，本田向資安新聞網站Bleeping Computer表示，這樣的手法目前沒有遭到利用的跡象，他們尚未對於漏洞進行驗證，亦不打算針對已售出車輛召回。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/url-rendering-trick-enabled-whatsapp-signal-imessage-phishing/"><span style="color: rgb(0, 0, 0);">多款手機即時通訊軟體存在控制字元RTLO漏洞，恐遭駭客用於網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ios-imessage-rtlo-preview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ios-imessage-rtlo-preview.jpg" style="width: 300px; float: right;" /></a>又是標記文字排列方向的Unicode字元所衍生的漏洞，而且波及Meta旗下多款手機版即時通訊App，以及蘋果iOS內建的iMessage。資安研究團隊Sick.Codes指出，他們發現一組能濫用特定Unicode字元的漏洞（CVE-2020-20093 至CVE-2020-20096），攻擊者可利用這些漏洞搭配由右向左書寫（Right To Left Override，RTLO）的控制字元，進而欺騙使用者網址的內容，這項漏洞影響iOS與Android行動裝置上的多款即時通訊軟體，包含Instagram、iMessage、WhatsApp、Signal、Facebook Messenger等。</p> <p>研究人員指出，類似的RTLO漏洞，很有可能也存在於其他即時通訊軟體和收信軟體，美國國家標準暨技術研究院（NIST）正在調查相關漏洞的影響範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-sophos-firewall-vulnerability-allows-remote-code-execution/"><span style="color: rgb(0, 0, 0);">Sophos防火牆設備存在身分驗證繞過漏洞，恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>網頁管理介面的漏洞，很可能被用於攻擊防火牆等資安系統。資安業者Sophos最近修補旗下防火牆設備的漏洞CVE-2022-1040，攻擊者可用於繞過使用者入口網站與網頁管理介面，進而遠端執行任意程式碼（RCE），該漏洞存在於Sophos Firewall 18.5 MR3（18.5.3）以前的版本，CVSS風險層級為9.8分。該業者已修補相關漏洞，並呼籲用戶應避免使用者入口網站與網頁管理介面暴露於WAN，並採用VPN或是雲端管理平臺Sophos Central進行管理。</p> <p>針對此事Sophos也指出，在該品牌防火牆預設的WAN，無法存取上述的網頁管理介面，此外，他們也建議用戶啟用雙因素驗證（MFA），來增加安全性。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/28 18:06作者周峻佑https://www.ithome.com.tw/news/150139
Okta坦承延遲公布第三方廠商被駭事件有疏失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.okta.com/help/s/article/Frequently-Asked-Questions-Regarding-January-2022-Compromise?language=en_US" target="_blank">身分驗證及存取管理雲端方案商Okta上周五（3/25）坦承</a>，1月間得知第三方廠商被駭事件，但沒有繼續追查，決策上確有疏失。</p> <p>Lapsus$集團在接連公布了多家知名廠商包括Nvidia、三星、Vodafone、Ubisoft後，上周也公布微軟及Okta的資料。根據駭客張貼的系統擷圖，顯示這是一個「Super User」應用。Okta說明起因在第三方業者Sitel服務工程師筆電被駭，可是後果並不如駭客說的那麼嚴重，<a href="https://www.ithome.com.tw/news/150050" target="_blank">即使客戶資料被存取</a>，也僅限於該名工程師能存取的客戶資料，駭客無法新增或刪除使用者，或下載客戶資料庫。不過Okta也遭媒體批評未在1月通報。</p> <p>Okta上周五說明事件發生經過。今年1月20日該公司安全團隊發現Sitel的客戶服務工程師的Okta帳號被加入一項密碼，顯示可能遭變更密碼。該公司宣稱，雖然該工程師帳號未成功被駭入，但為謹慎起見，他們仍然重設了這個帳號，並通知Sitel。之後Sitel請來外部鑑識廠商調查分析。Okta於3月17日接獲最終簡報，但5天後Lapsus$就公布了系統擷圖。Okta事發後於上周二（3/22）取得Sitel的完整調查報告，並對外界說明案情，強調該公司系統沒有被駭，客戶也無需採取任何行動。</p> <p>但Okta仍坦承自己做了錯誤決策，Sitel是其服務供應商，Okta應負起最終責任。1月間他們並不知道Sitel的問題那麼大，Okta僅預防帳號被接管，並讓Sitel自己去找第三方鑑識廠商來調查，而未想到對Okta和客戶的風險。該公司坦承自己應該更主動，並要求Sitel提交更多資料。而從上周取得的證據來看，如果他們早點取得資料，應該會做出不同決定。</p> <p>針對這起事件，Okta強調Lapsus$公布擷圖中的Super User應用程式只是內部Okta支援工具，僅供服務工程師基本的資訊存取，像是Jira工單或他負責的客戶清單。Super User並不等同「superadmin」，無法存取所有用戶資料，也無法新增或刪除用戶帳號、下戴客戶資料庫。</p> <p>Sitel的工程師有權限重設客戶密碼或多因素驗證，但無法選擇或取得密碼。若攻擊者要使用這個管道來攻擊目標用戶，他必須另外取得該用戶的電子郵件。</p> <p>上周Okta證實有2.5%、即366家客戶受到Lapsus$事件影響。該公司說已聯絡所有可能受影響的客戶，未受影響的用戶也接獲通知。</p> <p>Okta表示Sitel公司證實已解決問題，不過Okta仍持續調查，也使用Log及其他資料源來判斷資料是否遭存取或外洩。</p> <p>從Lapsus$ 3月22日公布資料以來，Okta股價已從170美元跌到138美元，跌幅達20%。</p> </div></div></div>
2022/3/28 12:45作者林妍溱https://www.ithome.com.tw/news/150128
4月1日起，印度將向加密貨幣交易的資本利得徵收30%稅賦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coindesk.com/policy/2022/03/25/indias-stiff-crypto-tax-legislation-becomes-law/" target="_blank">印度議會的下議院於上周五（3/25）通過了加密貨幣徵稅法案</a>，自今年4月1日起，將向加密貨幣交易的資本利得徵收30%的稅賦，且自7月1日起，還會額外徵收相關交易1%的源頭扣稅（Tax Deducted at Source，TDS），而引起當地加密貨幣社群的騷動。</p> <p>印度央行曾在2018年的4月宣布禁止境內的加密貨幣交易，造成許多加密貨幣交易中心退出印度市場，不過，印度最高法院在2020年3月推翻了此一禁令，而讓印度快速成為僅次於越南、全球採用加密貨幣的第二大國家。</p> <p>有鑑於數位資產交易的頻率與規模增加，印度在今年2月首度提出將向加密貨幣交易徵稅的議案，上周則獲得下議院的首肯。</p> <p>即使有人認為印度開始向加密貨幣徵稅，是官方認同加密資產的重要里程碑，但30%的高稅賦也引來不少批評，指出它的利大於弊，將影響投資人的交易意願，造成交易量的下滑，而1%的源頭扣稅也將阻礙加密貨幣產業執行業務的方式，警告若真的實施，可能會迫使相關交易移至黑市或其它國家進行。</p> </div></div></div>
2022/3/28 11:27作者陳曉莉https://www.ithome.com.tw/news/150126
非官方Windows授權啟動軟體藏有BitRAT惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想使用盜版Windows的用戶要小心了，<a href="https://asec.ahnlab.com/en/32781/" target="_blank">安全廠商發現</a>非官方的Windows授權啟動軟體內有遠端木馬程式（RAT）。</p> <p>安全廠商ASEC近日發現，韓國最大檔案分享平臺Webhard上一個可供公開下載的程式W10 Digital Activation，宣稱是Windows 10 Pro授權啟動器（activator）。但用戶若下載用來驗證Webhard或其他網站下載的（即盜版）Windows軟體的授權，就會被植入BitRAT木馬程式。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/asec.ahnlab.com/wp-content/uploads/2022/03/image-47.png?w=913&ssl=1" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／ASEC</span></p> <p>研究人員指出，整個過程惡意程式都偽裝成Windows 10驗證工具。用戶下載W10 Digital Activation後先會獲得Program.zip的壓縮檔，以1234解鎖後即得到W10DigitalActivation.exe，這是一個7z SFX自解壓縮檔，內有真正的驗證工具W10DigitalActivation.msi，以及W10DigitalActivation_Temp.mis，後者則是惡意程式，兩者會同時安裝及啟動，藉由驗證Windows來掩藏真實意圖。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/asec.ahnlab.com/wp-content/uploads/2022/03/image-34.png?w=632&ssl=1" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／ASEC</span></p> <p>W10DigitalActivation_Temp.mis啟動會和外部C&C伺服器建立連線，再下載木馬程式BitRAT，以Software_Reporter_Tool.exe為檔名儲存到%TEMP%的路徑下。研究人員表示它能力頗高超，能利用powershell指令將Windows啟動程式夾加入Windows Defender的例外路徑清單，並把Software_Reporter_Tool.exe的行程加入Defender的例外行程清單中，目的在規避Defender防毒引擎的掃瞄。</p> <p>BitRAT從2020年即在駭客論壇中販售，且一直為駭客愛用。它不僅提供攻擊者簡單的控制權，像是執行程式、服務、檔案和遠端指令，還提供進階功能，如竊取資訊、隱藏式虛擬網路運算（hidden virtual network computing，HVNC，即讓攻擊者取得感染裝置的用戶存取權）、遠端桌面、挖礦和執行代理伺服器、以及執行DDoS攻擊、繞過UAC（User Access Control）等。</p> <p>研究人員表示，降低這波感染機率的有效方法之一，便是不要使用盜版Windows。</p> </div></div></div>
2022/3/28 11:46作者林妍溱https://www.ithome.com.tw/news/150127
歐盟《數位市場法》引發隱私與安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會、歐盟高峰會（European Council）與歐盟執委會等三大歐盟立法與執法機構<a href="https://www.ithome.com.tw/news/150100" target="_blank">上周公布《數位市場法》（Digital Markets Act，DMA）的部分細節</a>，將要求大型傳訊服務與小型傳訊平臺互動，但外界則擔心，該法令將會對使用者的隱私與安全帶來負面影響。</p> <p>《數位市場法》主要規範扮演守門人角色的大型網路平臺，如Google、Meta或蘋果等，目的是為了避免壟斷，並推動市場競爭。然而，<a href="https://twitter.com/benedictevans/status/1507344026944561152" target="_blank">獨立產業分析師Benedict Evans認為</a>，科技規定幾乎通常是隱私、競爭與產品三者間的權衡，但只能選擇其中兩項，也許是一個具備競爭及隱私卻無法使用的產品，或者是具備隱私且容易使用，卻不利於競爭，無法一應俱全。</p> <p><a href="https://techxplore.com/news/2022-03-critics-privacy-eu-message-app.html?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Tech Xplore》引用傳訊程式Element共同創辦人Amandine Le Pape的看法指出</a>，傳訊服務與郵件或行動電話不同，使用者無法從某個服務傳訊給競爭對手，於是使用者就會黏著在最大的幾個平臺上，而讓使用者數量不夠多的小型平臺無從競爭。然而，反對該法令的人認為，跨平臺的傳訊服務是無法執行端對端加密的，勢必危害使用者的隱私。</p> <p>不管是蘋果或Google都反對這項法令。<a href="https://www.ft.com/content/0bc9378b-3e27-45e2-92d8-7c462427f876" target="_blank">根據《金融時報》的報導</a>，蘋果認為該法令將帶來不必要的隱私與安全漏洞，亦將阻止蘋果收取智慧財產權費用。Google則擔心該法令中的某些規定不只會抑制創新，還會讓使用者的選擇變少。</p> <p>其實《數位市場法》不僅牽涉到傳訊平臺的互通，<a href="https://www.theverge.com/2022/3/25/22996248/apple-sideloading-apps-store-third-party-eu-dma-requirement?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">歐盟執委會向《The Verge》證實</a>，，該法令也將要求手機用戶有權選擇安裝第三方的程式市集，或是自第三方來源安裝行動程式。意謂著蘋果將被迫開放第三方程式市集進駐，或是允許使用者自其它網站下載程式。</p> <p>此一新的法令必須經由歐洲議會投票通過才能成為正式法令，最快會在今年10月生效。</p> </div></div></div>
2022/3/28 10:35作者陳曉莉https://www.ithome.com.tw/news/150124
美國將卡巴斯基、中國電信與中國移動列入國家安全威脅名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/supplychain/coveredlist" target="_blank">美國聯邦通訊委員會（Federal Communications Commission，FCC）上周五（3/25）</a>將卡巴斯基（Kaspersky）、中國電信與中國移動，納入可能對美國國家安全造成威脅的設備或服務名單中。</p> <p>這是FCC基於《2019安全及可靠通訊網路法案》（Secure and Trusted Communications Networks Act of 2019）所擬定的清單，此一法案禁止以特定的聯邦補助金來購買可能造成國家安全威脅的通訊設備及服務，並提供補償計畫，以用來更換含有風險的設備或服務。</p> <p>首批清單出現在去年3月12日，有5家業者上榜，包括華為、中興、海能達、海康威視，以及大華技術，再加上上周新增的卡巴斯基、中國電信與中國移動，總計有8家業者上榜，其中7家為中國業者，只有卡巴斯基為俄羅斯的資安業者。</p> <p>其實，<a href="https://www.ithome.com.tw/news/116840" target="_blank">美國國土安全部早在2017年9月</a>，便要求所有聯邦機構全面移除卡巴斯基產品，<a href="https://www.ithome.com.tw/news/130552" target="_blank">FCC則在2019年5月拒絕中國移動進入美國市</a>場，並於<a href="https://www.ithome.com.tw/news/147494" target="_blank">去年10月撤銷中國電信在美國的經營許</a>可，因此這些業者被列入美國國家安全黑名單並不令人意外。</p> <p>FCC委員 Brendan Carr表示，FCC在保護美國通訊網路上扮演著關鍵的角色，適時更新黑名單則是其中一項重要的工具，其中，中國移動與中國電信已經達到了進入黑名單的門檻，若再加上卡巴斯基則有助於美國捍衛自家網路，以避免受到來自中國與俄羅斯政權支持的實體所構成的威脅，這些實體可能藉由間諜活動或其它方式來損害美國的利益。</p> </div></div></div>
2022/3/28 10:59作者陳曉莉https://www.ithome.com.tw/news/150125
Google緊急修補Chrome桌機版零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周緊急針對Windows、Mac及Linux平臺<a href="https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_25.html" target="_blank">釋出最新版Chrome 99.0.4844.84</a>，以修補一個已經存在攻擊程式的漏洞。</p> <p>最新更新僅修補一個漏洞，編號CVE-2022-1096。Google並未透露太多資訊，只表示它是Chrome V8 JavaScript引擎中的類型混淆（Type Confusion）漏洞，屬於高風險漏洞。Google並警告，得知已經存在針對本漏洞的攻擊程式。</p> <p>所有以Chromium為基礎的瀏覽器，包括Microsoft Edge、Brave、Opera、Vivaldi皆受影響。微軟已於周六（3/26）<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-1096" target="_blank">釋出Edge 99.0.1150.55版本修補漏洞</a>。微軟及Google皆呼籲用戶應儘速升級到最新版本。</p> </div></div></div>
2022/3/28 09:04作者林妍溱https://www.ithome.com.tw/news/150121
烏克蘭以俄國入侵歷史發行NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/FedorovMykhailo/status/1507337161045168135" target="_blank">烏克蘭上周宣布成立一項NFT計畫</a>，將以俄國入侵的歷史發行NFT，成為第一個政府支持的NFT計畫。</p> <p>在NFT平臺Fair.xyz協助下，<a href="https://t.co/6iCMdBvIyw" target="_blank">烏國成立名為Meta History: Museum of War的NFT博物館</a>，以籌措未來重建所需的財源。該部門IT產業開發副部長Alex Bornyakov指出，重建國家需要現代解決方案，而IT、區塊鏈與NFT已成為保存烏克蘭國家及歷史的工具。</p> <p>這個網站紀錄了俄羅斯2月24日入侵烏克蘭以來的時間表，包括第一則為早上5:45俄國對烏東頓巴斯（Donbas）地區宣布特別軍事行動。</p> <p><a href="https://twitter.com/FedorovMykhailo/status/1507337161045168135" target="_blank">烏國數位轉型部長Mykhailo Fedorov 指出</a>，俄羅斯利用坦克摧毁烏克蘭，烏克蘭就靠革命性的科技，Meta History UA NFT博物館是保存戰爭記憶，以及頌揚烏克蘭認同和歷史的集結。烏國表示，消費者從這裏的交易都是100%良善且穩當的，因為他們使用智慧合約協定，所有所得都會直接匯入烏克蘭數位轉型部，用於幫助烏國人民和軍隊。而其智慧合約也都經過頂級加密技術專家的稽核。</p> <p class="rtecenter"><a href="https://twitter.com/FedorovMykhailo/status/1507337161045168135" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-Mykhailo%20Fedorov-%20Meta_History_UA-600-1.png" style="width: 550px;" /></a></p> <p>為了抵抗俄國，烏克蘭想方設法籌措財源。例如戰爭初期烏國發行戰爭債，也透過加密貨幣獲得外國匯款。從2月24日截至3月初，<a href="https://www.ithome.com.tw/news/149701" target="_blank">加密貨幣社群已經捐了</a>價值5,570萬美元的加密貨幣給烏克蘭政府。這個數字到3月10日<a href="https://twitter.com/gokhshteinmedia/status/1501718296441335811" target="_blank">已突破1億美元</a>。</p> </div></div></div>
2022/3/28 09:30作者林妍溱https://www.ithome.com.tw/news/150122