iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第192期：Coursera公布100多國共1億名學習者技能報告，臺灣資料科學熟練度為66%、整體技能排名…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0617～0623)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Coursera </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料科學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技能 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Coursera公布100多國共1億名學習者技能報告，臺灣資料科學熟練度僅66%、整體技能排名全球第53</strong></span></p> <p>由AI大師吳恩達創辦的線上學習網站Coursera，日前公布2022年全球技能報告，統計對象涵蓋100多國、1億名Coursera線上學習者，並將技能分為商務、技術、資料科學等3類。其中，資料科學技能包括機器學習、數學、統計編程、資料視覺化、資料分析、資料管理、機率與統計等6種，技術則指各種開發技能，像是行動裝置程式開發、網頁開發、軟體工程、雲端計算等，商務則是軟實力技能，如溝通、領導與管理、創業、財金等。</p> <p>以亞太區的臺灣來說，今年全球整體技能排名為53，較去年掉了30名，資料科學的熟練度為66%，技術和商務技能熟練度分別是47%和32%。亞太區國家前3名則是印尼（全球第3）、新加坡（全球第5）、日本（全球第6），資料科學的熟練度分別是100%、82%和91%。</p> <p>總體而言，Coursera指出，這份報告顯示了學習者對數位轉型、通貨膨脹和全球不穩定性做出的反應，更多人學習數位技能和軟實力技能，來因應未來新經濟需求。特別是在發達國家，學習變革管理和韌性課程的人越來越多，發展中國家學習者，則透過供應鏈系統、行動資訊架構等課程，來強化數位技能。<a href="https://blog.coursera.org/announcing-the-coursera-global-skills-report-2022/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-21%20at%203_29_53%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Line Today </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ML </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推薦 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line Today臺灣月活躍用戶1,800多萬，解密背後ML推薦平臺工具鏈</strong></span></p> <p>Line從2016年開始在臺推出內容入口平臺Line Today，不只提供文字新聞，後來也提供影音、直播等內容，甚至連天氣、電影介紹和投票都包括在內。這幾年，這個內容平臺還進一步從臺灣擴展到印尼、泰國、香港等市場，目前在臺每月活躍用戶數達1,800多萬人。</p> <p>該平臺所採用的工具鏈，包括將Jupyter Notebook打包的Jutopia開發環境，讓資料科學家，更方便存取收集在內部IU資料倉儲中的使用者瀏覽行為資料，好用來探索資料和開發模型。在模型運算時，團隊採用開源大數據分析工具Spark和Hive，來進行不同資料處理與運算，並利用NSML系統，來調度CPU和GPU資源。當模型準備正式上線時，團隊則採用開源排程管理工具AirFlow，來管理模型周期性訓練或周期性推論。</p> <p>此外，在一般的模型開發階段，他們也利用開源機器學習平臺MLFlow，來管理不同實驗數據和指標。在正式部署階段，團隊則利用開源部署工具BentoML打包成即時工作管線，來與不同服務的介面介接。如果是批次模式，則能透過Jutopia Notebook，將模型與IU資料倉儲離線整合。<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-ML%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line(1).png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> MLOps v2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加速器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開源MLOps v2加速器計畫在7月釋出完整版</strong></span></p> <p>微軟近日推出Beta第2版的MLOps v2加速器，使用者可透過這個統一的解決方案，來簡化MLOps工作流程。可直接從GitHub上取得。</p> <p>微軟表示，好的MLOps可加速模型從測試到正式上線的時間，還能提供跨團隊的ML元件所有權、歷史資訊管理。這款MLOps v2，可讓使用者跨多個工作區域部署端到端、標準化且可擴展的機器學習生命周期。藉由抽象化外層迴圈的基礎架構，使用者可專注開發專案的內層迴圈。在這個v2版，微軟也優化了古典機器學習、自然語言處理、電腦視覺等類型的MLOps工作流程，可更快速處理。MLOps v2完整版預計7月釋出。<a href="https://techcommunity.microsoft.com/t5/ai-machine-learning-blog/machine-learning-operations-v2-unifying-mlops-at-microsoft/ba-p/3494482">（詳全文）</a></p> <p><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/379470iBA658EDEFBCF6335/image-size/large?v=v2&px=999" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> S2ST </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉語音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不必再多一步！Meta最新翻譯模型可直接語音轉語音</strong></span></p> <p>Meta最近揭露語音轉語音翻譯（S2ST）新模型，可直接將輸入語音翻譯為另一種語言的語音，不必再將輸入語音先轉為文字再輸出，等於跳過這個中間步驟。</p> <p>一般來說，傳統S2ST方法是將源語語音轉為目標語語音頻譜，也就是多維度、連續值的頻率頻譜。但用語音頻譜訓練翻譯模型很麻煩，因為模型必須學習2種語言之間的關係，比如2者的聲音特徵比較、如何對齊等。因此，Meta團隊改用從自監督語音表徵中取得的離散語音單元，加上NLP技術，以近14萬對西班牙-英語電話語句來訓練S2ST模型。這個模型以Transformer為基礎，包含一個語音編碼器，以及一個合併附加任務的離散單位解碼器。他們發現，這種方法取得3種突破：模型表現比現有任何傳統方法的模型要好，而且是首個直接用真實S2ST資料訓練多語言的系統，還能用未標註的預訓練資料訓練。<a href="https://ai.facebook.com/blog/advancing-direct-speech-to-speech-modeling-with-discrete-units/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/286987831_402388205159891_404359668041611192_n.png?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=BS5JXyzTgoIAX-rhnyR&_nc_ht=scontent-tpe1-1.xx&oh=00_AT_aDSbseYswDKNyeGk4_aezn_IUtIHSSTFKqOci_5HNUw&oe=62B8D47C" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Coursera </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 非監督式學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>吳恩達新版機器學習入門課程上線了</strong></span></p> <p>吳恩達2012年推出、擁有480萬名學習者的熱門機器學習課程，最近改版並在Coursera發布了！這次，吳恩達創辦的AI新創DeepLearning.AI與史丹佛大學線上學習部聯手，將機器學習入門課程重整為3部分，第1部分聚焦監督式機器學習：迴歸與分類，會教學習者如何用熱門的ML函式庫NumPy和scikit-learn來建ML模型，以及如何訓練模型來進行預測或二元分類任務。</p> <p>第二部分則著重於進階學習演算法，學習者會學習如何用TensorFlow來建立、訓練類神經網路，並用來執行多類別分類任務，該課程也會教學習者如何建立並使用決策樹演算法。最後一部分則聚焦非監督式學習、推薦器和強化學習。<a href="https://www.coursera.org/specializations/machine-learning-introduction">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chrome 103 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網站通知 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>一直跳通知好煩！Chrome 103將用ML封鎖網站請求</strong></span></p> <p>Google日前宣布，新版Chrome將利用機器學習（ML）模型，來預測使用者對網站通知的反應，並悄悄封鎖這些通知。雖然Google並未公布版本別，但從發布時程來看，該功能應該會出現在將6月下旬上線的Chrome 103。</p> <p>Google認為，網頁通知一方面可傳遞網站更新給使用者，但不斷跳出通知也讓使用者不堪其擾。有別於先前將資料傳送至Google分析、判斷是否要阻擋特定通知，新版Chrome將利用ML模型，直接在裝置上預測。未來，新ML模型判斷要忽略後，會直接將通知靜音、封鎖，並在網址列上秀出該資訊，使用者依然可自行開啟通知。Google也預告，未來將讓ML模型依使用者習慣，自動調整Chrome瀏覽器上的工具列順序。<a href="https://blog.google/products/chrome/building-a-more-helpful-browser-with-machine-learning/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Screen_Shot_2022-06-09_at_11.39.00_AM.max-1000x1000.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DataRobot </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google雲端市集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AutoML </span></strong></span></p> <p><span style="font-size:22px;"><strong>DataRobot服務進駐Google軟體雲端市集</strong></span></p> <p>專門提供AutoML和MLOps服務的廠商DataRobot，日前在自家年會上宣布自家服務進駐Google雲端市集，意味著DataRobot顧客也可享用Google雲端服務，來簡化購買流程和部署流程，讓AI建模更容易、直接在Google雲端打造符合自身需求的解決方案。</p> <p>原本採用DataRobot AI Cloud服務的使用者，也能無縫使用Google雲端函式庫的服務，像是BigQuery、Looker、Vertex AI等，來建模、訓練、部署和管理AI模型，不論是地端或雲端都可支援。<a href="https://www.datarobot.com/newsroom/press/datarobot-ai-cloud-launches-on-google-cloud-marketplace/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 吳恩達 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LaMDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 測試基準 </span></strong></span></p> <p><span style="font-size:22px;"><strong>吳恩達回應LaMDA爭議：AI有無意識是哲學問題，除非人類定義出意識和感知的明確基準</strong></span></p> <p>先前Google傳出工程師Blake Lemoine在與AI語言模型LaMDA的對話過程中，認為LaMDA具備人類的感知（Sentience）能力，引起各界譁然。AI意見領袖吳恩達對AI具備感知表示懷疑，他指出，人類要判斷AI是否具備感知能力，是一個哲學問題，而非科學問題。因為，科學問題是可以反證的，比如，AI是否能擊敗人類象棋冠軍、能否精準翻譯、安全駕車，或是能否通過圖靈測試等。這些是可測試的問題。</p> <p>但是，人類目前還沒有完整的系統，來測試AI是否具備意識、感知能力，又或只是通用AI（即GAI）。吳恩達也舉例說明人類世界的哲學問題，比如，人性是善是惡、生命的意義，以及昆蟲是否具備意識等都屬於哲學問題，同理，AI可否具備感知能力或意識、AI能否感受到情緒、能否理解它讀到的或看到的事物，也都是哲學問題。</p> <p>「要打造出公認的AI意識和感知測試系統很難，也許不可能，」他認為，除非未來人類能建立評估AI意識和感知的基準測試（Benchmark），否則很難衡量這些AI發展的里程碑。<a href="https://read.deeplearning.ai/the-batch/issue-149/?utm_campaign=The%20Batch&utm_content=211713629&utm_medium=social&utm_source=twitter&hss_channel=tw-992153930095251456">（詳全文）</a></p> <p><img alt="" src="https://dl-staging-website.ghost.io/content/images/2022/06/Screen-Shot-2022-06-15-at-12--1-.jpg" /></p> <p>圖片來源／Coursera、Line Today、微軟、Meta、Google、吳恩達</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Amazon無人機商品遞送服務終於起飛了</strong></p> <p><strong>2. Spotify收購模擬《捍衛戰士》「冰人」聲音的AI公司</strong></p> <p><strong>3. 特斯拉AI日延期至9月，馬斯克推文暗示人形機器人將出場</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/23 17:55作者王若樸https://www.ithome.com.tw/news/151582
微軟揭露俄羅斯駭客自開戰以來在全球的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE50KOK" target="_blank">微軟本周出版了《捍衛烏克蘭：網路戰爭的早期教訓》（Defending Ukraine: Early Lessons from the Cyber War）</a>，這是由微軟的威脅情報與資料科學團隊自2月24日俄羅斯入侵烏克蘭以來，所蒐集的俄羅斯網路攻擊報告，指出這4個月以來，俄羅斯駭客不僅針對48個烏克蘭政府組織與企業發動攻擊，也企圖滲透全球其它42個國家的128個組織，並提出了五大結論，呼籲全球在共同防禦網路攻擊的合作上必須更加密切。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/06/22/defending-ukraine-early-lessons-from-the-cyber-war/" target="_blank">根據微軟的分析</a>，俄羅斯至少有三大網路攻擊策略，一是在烏克蘭境內發動破壞式的攻擊，二是在烏克蘭境外展開網路滲透與間諜攻擊，三則是針對全球使用者進行影響力行動。</p> <p>然而，當戰爭涉及網路時，由於缺乏疆界或海洋的保護，其影響層面便擴及全球，攻擊如此，防禦也是，促使烏克蘭非常仰賴其它國家、企業及非政府組織的共同防禦能力。</p> <p>微軟根據這4個月以來的觀察，得出了5個結論，一是若要防禦軍事入侵必須培養可將數位操作與資料資產傳送至其它國家的能力。</p> <p>因為俄羅斯的飛彈攻擊一早就瞄準了烏克蘭政府的資料中心，也針對烏克蘭就地部署的電腦網路發動毀滅式（Wiper）攻擊，幸好烏克蘭政府很快地就把其數位基礎設施轉移到於歐洲代管的資料中心上，而這便涉及了整個科技產業的緊急行動，包括微軟在內。</p> <p>其次是先進的網路威脅情報與端點保護，讓烏克蘭得以抵擋俄羅斯的毀滅式攻擊。在針對48個烏克蘭組織的攻擊行動中，俄羅斯駭客企圖先危害數百萬電腦以滲透特定網域，再藉由惡意程式來摧毀各網域中數萬臺電腦上的軟體與資料。</p> <p>然而，輔以人工智慧技術的威脅情報，以及基於網路的端點保護機制讓烏克蘭得以快速部署軟體並辨識及關閉惡意程式。</p> <p>第三是除了攻擊烏克蘭之外，俄羅斯駭客也針對北約國家與其它烏克蘭盟國發動攻擊，約涉及42個國家的128個組織，根據微軟的觀察，俄羅斯的攻擊成功機率為29%，而且這可能低估了。</p> <p>微軟認為，就地部署的各國政府電腦比雲端更危險，<a href="https://www.ithome.com.tw/article/141943" target="_blank">美國可能已在SolarWinds攻擊事件中學到教訓</a>，但歐洲政府的警覺性相對較低，代表依然存在著重大的集體防禦弱點。</p> <p>第四個結論是俄羅斯針對全球發動影響力攻擊以期傳遞該國的理念，包括在俄羅斯境內宣揚攻擊的正當性，企圖削弱烏克蘭民眾對該國抵禦俄羅斯的信心與能力，企圖破壞歐美的團結並轉移對俄羅斯戰事的批評，也在其它未表態的國家尋求支持。根據微軟的估計，自戰爭開始後，俄羅斯在烏克蘭的影響力傳播多出了216%，但美國則多出了82%。</p> <p>該報告的最後一個結論是呼籲全球在面對網路攻擊時應該要更加的團結，也必須擬定全面的策略，才能加強對破壞、間諜與影響力攻擊的防禦，期望各國可藉由提高偵測、防禦、破壞及阻止威脅的能力作為主要防禦策略。</p> </div></div></div>
2022/6/23 16:43作者陳曉莉https://www.ithome.com.tw/news/151580
庫克表明蘋果的AR頭戴裝置正在開發中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.youtube.com/watch?v=WOptP8SRVss" target="_blank">蘋果執行長庫克（Tim Cook）上周在一次訪談中首次證實</a>，蘋果正在開發VR/AR頭戴裝置。</p> <p>庫克上周接受《中國日報China Daily》在線上訪談，在被問及他認為擴增實境（AR）產品，如AR頭戴裝置在消費市場的成功關鍵為何時，他回答，一如大家所知他對AR特別感到興奮，而App Store上也已有1.4萬個基於ARKit的應用程式。庫克說，對包括AR在內的所有科技而言，最重要的是將人性放在最中心的位置，但他相信在AR的發展中，現在業界還處於很早期階段。</p> <p>庫克說，他對AR穿戴領域的商機無比興奮，要大家「密切期待」（stay tuned）蘋果將會端出什麼新產品。</p> <p><a href="https://www.cnbc.com/2022/06/22/tim-cook-gives-clearest-hint-yet-that-apples-building-a-headset.html" target="_blank">CNBC報導</a>，這是庫克最清楚承認蘋果正在開發重要AR產品的一次。</p> <p>在此之前，所有對蘋果AR頭戴裝置的消息，多半是旁敲側擊的資料或消息人士爆料。<a href="https://www.ithome.com.tw/news/151214" target="_blank">5月底媒體發現2份蘋果美國專利文件</a>，顯示執行RealityOS作業系統的「穿戴式電腦」，媒體也猜測可能會在WWDC 2022展出。不過蘋果最終沒有公布相關軟硬體產品。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-05-19/apple-shows-headset-to-board-in-sign-it-s-reached-advanced-stage#xj4y7vzkg?sref=ctSjKj2N" target="_blank">彭博上個月報導</a>，蘋果AR頭戴裝置可能最早在今年底宣布，於2023年上市。</p> </div></div></div>
2022/6/23 16:56作者林妍溱https://www.ithome.com.tw/news/151581
Amazon Alexa正在開發可模擬已逝人士講話的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在拉斯維加斯舉行的開發者大會re:Mars上，Amazon高層透露AI語音助理技術Alexa的研發進度，包括可模擬任何人的聲音，例如用已過世祖母的聲音為小男孩講床邊故事。</p> <p>在實體開發者大會的開幕演說上，<a href="https://www.youtube.com/watch?v=22cb24-sGhg" target="_blank">Alexa資深副總裁暨首席科學家Rohit Prasad展示Alexa的最新開發成果</a>。他展示的一則影片中，一名小男孩在床邊故事時間對Amazon Echo智慧喇叭中的Alexa問能不能讓祖母為他講完《綠野仙蹤》（The Wizard of Oz）。影片中，Alexa即以這位已在天上的祖母聲音，開始講故事。</p> <p>Prasad指出，這是Alexa開發中的技術，號稱可以在聽取不到1分鐘的聲音錄音後，模仿出任何「高品質」的聲音，而不必再像以前花大量時間來後製。他說過去二年許多人的親人在疫情中離世，Amazon這項技術旨在保留對親人的回憶。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/22cb24-sGhg?start=3780" title="YouTube video player" width="560px"></iframe></div> <p>Prasad說Alexa的祕訣在於把它當成語音對話，而非語音合成的任務來解決。Amazon並未進一步提供細節，也不願說明這項技術何時會問世。</p> <p><a href="https://www.youtube.com/watch?v=hEIjCF-KaRY" target="_blank">Amazon同時還展示</a>可清楚與訂餐廳的消費者互動的AI助理。</p> <p>在AWS的部落格文章中，<a href="https://www.amazon.science/blog/alexas-head-scientist-on-conversational-exploration-ambient-ai" target="_blank">Prasad說明</a>在Re:Mars大會上展示的可概括化AI（Generalizable Intelligence，GI），這類AI並非全知全能，而是更實用的AI技術，具有3種特點，包括能完成多種任務、能快速適應多變環境，以及利用很少的人力輸入即可學習新概念和行為，基本上就是人類學習新事物和生存的方法。</p> <p>雖然能讓已逝的親人的聲音或影像再現對親屬很有意義，<a href="https://techcrunch.com/2022/06/22/alexa-will-soon-be-able-to-read-stories-as-your-dead-grandma/" target="_blank">但媒體指出</a>，這類過於擬真的AI技術可能將遭致倫理規範的嚴格檢視。</p> <p><a href="https://www.ithome.com.tw/news/151554" target="_blank">微軟昨日公布更新版負責任AI的指導準則</a>。除了限制臉部辨識API的存取及適用情境，微軟也將模擬人聲的Azure AI自訂神經網路語音（Custom Neural Voice）服務加入控管框架，限制可以使用的客戶、明確定義可使用情境，並且清楚告知聽者，以避免欺騙與之對話的人類。</p> </div></div></div>
2022/6/23 15:49作者林妍溱https://www.ithome.com.tw/news/151579
PChome積極推動系統上雲，訂單管理已經上雲，未來更要全面上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome在6月22日舉行的股東會上透露，經過3季的時間，PChome已經有相當比例的系統和服務搬上雲端，PChome董事長詹宏志說，未來目標是全面上雲，以提供服務穩定性跟可擴充性。其中一項已經完全上雲的服務，就是訂單管理系統。</p> <p>詹宏志表示，疫情之下日用品熱賣，但消費者訂單如果有任一品項缺貨，就會導致整筆訂單無法出貨。然而，PChome系統過去是自行開發的大系統，改變任何環節都是浩大工程，他坦言，從疫情出貨情況學到教訓，「未來一定要讓系統變得更有彈性。」具體做法，就是把大系統拆解成更多小模組，並將系統從地端搬上雲。 </p> <p>從PChome子公司廿一世紀數位科技的雲端工程師徵才說明，也能看到PChome集團需要人才，除了將資料搬上雲，還要把現有架構轉型導入Container Service，並著手建置一個類似於Amazon與 Paypal結合的全新雲端平臺，將電商平臺跟近期積極推動的Fintech服務結合。</p> <p>不只上雲，PChome近一年大動作展開多項數位轉型計畫，除了將更多系統上雲，也積極投資Fintech，將多項金融服務融入電商，包括先買後付、保險服務以及供應鏈金融等，甚至預告要在2022後半年發展CDP，以提供更精準的個人化商品推薦服務。另外，PChome也發展智慧物流，不僅投資智慧物流科技新創，以優化配送流程的「最後一哩路」，10月還將進駐中華郵政A7智慧物流園區，結合AI及自動化倉儲技術，預計每日可多處理1倍以上的包裹。</p> <p> </p> </div></div></div>
2022/6/23 14:15作者郭又華https://www.ithome.com.tw/news/151576
Line Today如何打造撐起月活躍用戶1,800萬人的影音內容平臺？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line Today臺灣開發團隊日前分享自家系統架構和機器學習推薦平臺工具鏈，這套提供各種新聞和影音內容、擁有1,800萬名月活躍用戶的平臺，使用不少熱門開源工具，像是用MongoDB、HBase來處理不同特性的資料和存取頻率，以及用Redis加速處理流程、以Kafka同步不同服務的更新。</p> <p>此外，團隊也自建ML平臺，來執行內容分析和推薦工作。這套ML平臺也採用不少主流開源工具，像是用Spark、Hive處理和運算不同類型資料，並用AirFlow自動化模型訓練和推論工作。他們也用MLFlow，來管理不同實驗數據和指標。這整套Line Today系統，就部署在開源容器管理平臺Kubernetes（簡稱K8s）上。</p> <p><span style="font-size:22px;"><strong>Line Today如何用開源工具打造內容平臺架構</strong></span></p> <p>Line從2016年開始在臺推出內容入口平臺Line Today，不只提供文字新聞，後來也提供影音、直播等內容，甚至連天氣、電影介紹和投票都包括在內。這幾年，這個內容平臺還進一步從臺灣擴展到印尼、泰國、香港等市場，也根據不同地區特性，發展出在地特色內容。目前，Line Today在臺每月活躍用戶數達1,800多萬人。</p> <p>要支援這麼種類型的數位內容的提供，Line Today如何處理？</p> <p>Line Today臺灣團隊成員Rita Yang首先揭露整體系統運作架構，首先，為獲取內容來源，Line Today與許多媒體合作，媒體會先透過類似RSS的訂閱通知機制，將新內容發送至Line Today的專屬伺服器（Feeding server）。此時，Line Today內部編輯會透過內容管理系統（CMS），挑出合適的內容，並發布在Line Today版位上。</p> <p>再來，考量到不同的資料特性和存取頻率，團隊採用開源資料庫MongoDB、高效能的HBase架構來處理，並以開源資料庫Redis來加速處理流程，再以Kafka同步不同服務的訊息更新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B3%BB%E7%B5%B1%E6%9E%B6%E6%A7%8B.png" /></p> <p>在使用者端，Line Today除了透過內容傳遞網路（CDN）來保護系統，也將使用者瀏覽的圖片、影音等內容，存放於物件儲存庫（Object Storage）中，待日後分析使用。</p> <p>在整體資料處理流程中，還有一個關鍵步驟，驅動著後續的ML推薦系統。團隊在使用者同意資料使用條款的前提下，利用前端函式庫，來收集使用者瀏覽行為，統一彙整到內部自建的IU資料倉儲中。</p> <p>這一步很重要，因為，這些資料是團隊用來分析、找出使用者喜好的關鍵資料，更是ML平臺用來訓練推系統不可或缺的資料。</p> <p><span style="font-size:22px;"><strong>AirFlow排程、MLFlow管理數據，ML平臺也藉助不少主流開源工具</strong></span></p> <p>Line Today團隊能用這個ML平臺和自然語言處理（NLP）技術，先萃取出使用者偏好瀏覽的文章內容關鍵字，並比較不同文章的相似度，來推薦使用者可能感興趣的內容。</p> <p>Rita Yang進一步說明平臺所採用的工具鏈，首先，在開發環境上，他們將Jupyter Notebook打包成一個開發環境Jutopia，讓資料科學家，更方便存取收集在內部IU資料倉儲中的使用者瀏覽行為資料，好用來探索、開發模型。在模型運算時，團隊採用開源大數據分析工具Spark和Hive，來處理、運算不同資料，並利用NSML系統調度CPU和GPU資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-ML%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" /></p> <p>在模型開發階段，他們也利用開源機器學習平臺MLFlow，來管理不同實驗數據和指標。當模型準備正式上線，團隊則採用開源排程管理工具AirFlow，來管理模型周期性訓練或周期性推論。</p> <p>在模型正式部署階段，團隊則利用開源部署工具BentoML打包成即時工作管線，來與不同服務的介面介接。如果需要批次處理，團隊則透過Jutopia Notebook，將模型與IU資料倉儲離線整合。</p> <p>而整套Line Today內容平臺，就部署在K8s上。</p> <p><span style="font-size:22px;"><strong>資料團隊負責優化推薦系統，還有4組Scrum團隊來解決4國市場需求</strong></span></p> <p>Line Today臺灣團隊裡面，還有一組資料團隊，專門負責改善平臺服務。</p> <p>他們把改善工作細分為服務、模型和底層平臺。在服務部分，他們把重心放在新聞內容理解，利用自然語言理解（NLU）分析文章、進一步找出相關性，來優化推薦系統。在模型部分，他們鎖定關鍵字抽取、文章分群分類器，來改善模型，進一步優化推薦系統。Rita Yang透露，近期團隊也運用收集的使用者資料，來理解使用者意圖、找出使用者可能感興趣的內容，實現精準內容推薦。在底層平臺部分，團隊則聚焦線上預測和服務流程的穩定性，要進一步開發特徵分布和模型表現監控儀表板，來評估模型有效性和資料適用性。</p> <p>她也表示，Line Today鎖定的受眾是年輕用戶，因此，這些優化措施也以年輕用戶為主。至於推薦系統處理的資料類型，則不限於文章，還包括影片。</p> <p>Line Today是臺灣推出的內容平臺，資料團隊開發的模型不只在臺灣使用，也是香港、泰國、印尼等地市場的參考。當其他市場提出需求後，臺灣還有4組敏捷團隊來進行海外市場的在地化優化。在開發過程中，臺灣的產品負責人（PO）會收集臺灣、香港、泰國和印尼等地提出的需求，統整後，再由上述4組敏捷團隊處理。這種做法很特別，有別於Line臺灣大多支援總部開發工作的模式，Line Today平臺的優化、開發都由臺灣團隊處理，就像是總部開發中心一樣。</p> </div></div></div>
2022/6/23 13:32作者王若樸https://www.ithome.com.tw/news/151556
Amazon展示該公司首款全自動化行動機器人Proteus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2012年3月以7.75億美元併購Kiva Systems，以於履行中心（Fulfillment Center）部署Kiva機器人的Amazon，<a href="https://www.aboutamazon.com/news/operations/10-years-of-amazon-robotics-how-robots-help-sort-packages-move-product-and-improve-safety" target="_blank">十年後發表了該公司首款全自動化的行動機器人Proteus</a>，並準備將它們部署在履行中心與分揀中心（Sort Center）的GoCart購物車處理區域。</p> <p>Proteus（下圖）與Kiva的外型及功能其實很類似，它們都是圓扁型的配送機器人，可扛起購物車並將它們運送到正確的位置。進化後的Proteus體積比Kiva略小，看起來很像一臺掃地機器人，與Kiva最大的差別在於它採用了更先進的安全、感知與導航技術，使得Proteus能夠與人類進行安全的互動，不必像Kiva一樣被侷限在特定的無人區域運作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-Proteus%20Amazon.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon已於2015年將Kiva Systems更名為Amazon Robotics，現為Amazon的子公司。Amazon表示，十年前買下Kiva Systems只是一項有趣的收購，如今卻已壯大成為一個專門的機器人專家團隊，擁有工程師、軟體開發人員、人體工學專家，以及徹底改變Amazon營運的其他專家，現階段Amazon已於全球採用了十多種機器人系統，目的是讓員工與機器人能夠安全及和諧地共事。</p> <p>由Amazon Robotics一手打造的機器人除了Proteus之外，還有負責揀貨的Cardinal（下圖）。它內建人工智慧與電腦視覺技術，也配備機器人手臂，不僅能讀取貨物的標籤並將它們置放在正確的購物車上，還能處理重型貨品，目前Amazon正在測試可舉起最多50磅（約22.7公斤）貨品的Cardinal，預計於明年就會在履行中心部署Cardinal。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-Cardinal-Amazon%20robotic.png" style="width: 425px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p>另也根據員工的需求打造了Amazon Robotics Identification（AR ID）掃描裝置，為了避免出錯，Amazon倉庫中的所有貨品到達每一個工作站的第一件事就是掃描，現在這些掃描與分貨都是手動的，而AR ID則可透過每秒拍攝120張圖片的攝影機來執行掃描任務，減輕員工的負擔並加速流程。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/RKyyfF5-36k" title="YouTube video player" width="560px"></iframe></div> <p>還有一個負責辨識與存取裝箱容器的Containerized Storage System，負責把已經分門別類的箱子放至儲存櫃，還能根據需求取得正確的箱子交給員工。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/c0uhDPgtqc8" title="YouTube video player" width="560px"></iframe></div> <p>Amazon強調，對於Amazon試圖以機器人取代人力的傳聞從未間斷，然而，在這十年來，Amazon雖然增加了52萬個機器人設備，但所新增的員工職缺卻超過100萬個，從買下Kiva Systems的那一天起，Amazon的願景從未是人力與技術之間的二元決策。</p> <p>很難判斷Amazon的Kiva願景之說是否屬實，事實上，根據<a href="https://www.vox.com/recode/23170900/leaked-amazon-memo-warehouses-hiring-shortage" target="_blank">《Recode》近日取得的Amazon內部研究文件</a>，Amazon很可能在2024年就會消耗掉在美國的所有可用勞力，一旦勞力不足，代表Amazon的整個營運規模都會受到影響，因此，就算Amazon曾經想過要以機器人取代人力，似乎也情有可原。</p> <p>該研究是根據某個薪資水平可獲得的人力，再縮小範圍至Amazon履行中心或分揀中心附近區域的人力所得出，其中，亞利桑那州鳳凰城都會區的人力在去年底就已不足，加州Inland Empire附近的人力今年底也會用罄。</p> </div></div></div>
2022/6/23 14:11作者陳曉莉https://www.ithome.com.tw/news/151575
舊版Notes、Domino將在2024年終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0099055" target="_blank">Notes、Domino的現任東家HCL本周宣布</a>，將在今年12月起終止銷售Domino/Notes v9.0.x 和v10.0.x版本，並在2年後終止支援。</p> <p>2018年IBM將旗下Notes/Domino及其他軟體，以18億美元賣給印度公司HCL，<a href="https://www.ithome.com.tw/news/131635" target="_blank">後者於2019年完成</a>這個老牌生產力軟體的收購。</p> <p>根據HCL周三宣布Domino/Notes v9.0.x和v10.0.x版本的生命周期。HCL預定在2022年12月1日終止銷售上述版本，並從HCL授權及下載網站（FlexNet）移除。HCL也會在2024年6月1日起終止支援，不會提供延伸支援。</p> <p>Notes/Domino 9.0.x及10.0.x版分別在2016及2019年釋出，原本9.0.x預計在2021年9月終止支援，<a href="https://support.hcltechsw.com/community?id=community_question&sys_id=5ba958771b945094c1f9759d1e4bcbeb" target="_blank">HCL去年又將之延長</a>。</p> <p>HCL持續維持這老牌軟體，<a href="https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0090451" target="_blank">並於去年推出</a>12.0版，並在上周針對10.0.x版釋出<a href="https://support.hcltechsw.com/community?id=community_blog&sys_id=9f7e130f1b8859d0a67e9759bc4bcb99" target="_blank">修補程式</a>。HCL鼓勵用戶升級到Notes/Domino v12版本，強調新版本功能更多，也加入低程式碼開發、安全語音會議，降低舊版作業系統帶來的安全威脅，還能選擇部署在本地、雲端或混合雲環境。</p> <p>雖然HCL說升級簡單又快速，但<a href="https://www.theregister.com/2022/06/22/hcl_domino_eol_2024/" target="_blank">The Register</a>指出，Notes/Domino最大好處是可以撰寫客製化應用程式和工作流程，但缺點是升級不易。</p> </div></div></div>
2022/6/23 12:33作者林妍溱https://www.ithome.com.tw/news/151573
假冒語音留言通知的網釣郵件再興起，目標竊取美國軍方與大型企業的Office365帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚手法不斷翻新，任何使用者稍一不慎、信以為真，就可能上當，近日雲端安全服務商Zscaler揭露一起網釣攻擊活動，是假冒語音郵件通知的主題，企圖欺騙企業組織員工讀取語音郵件，實際上，則是被引導至釣魚網站，騙取自身所用的微軟帳號。</p> <p>而且，這起活動的攻擊目標相當廣泛，遍及國家軍事單位、醫療、製造業，甚至是資安業者。</p> <h3><strong>網釣郵件偽裝成通知信的案例層出不窮，假借名義也相當多變</strong></h3> <p>假借各式系統通知信名義的網釣攻擊活動，透過魚目混珠的社交工程手法，引誘受害者至釣魚網站，目的是騙取帳密，過去常見的偽裝主題，包括：郵件空間已滿，郵件帳號停用，以及雲端檔案分享，或是服務的異常警告等諸多名義，而這次Zscaler揭露的釣魚郵件活動，是假冒成公司語音留言的通知信。</p> <p>今年5月以來，Zscaler旗下ThreatLabz持續、密切關注這項攻擊活動，對方是以語音郵件通知為主題寄信給企業員工，使其以為是公司內部的語音留言需要聽取。</p> <p>Zscaler指出，由於攻擊者的目標，是竊取Office365與Outlook帳戶的密碼，這兩種帳戶都廣泛用於大型企業，而且，此次攻擊對象範圍很大，包含美國軍方、醫療保健單位、製藥廠，以及製造業的供應鏈，還有軟體安全廠商。因此，這波釣魚攻擊活動格外引發關注。</p> <p>之所以發現這波攻擊，Zscaler表示，因為他們也是受攻擊的目標組織之一，所以，也讓他們有機會了解攻擊者的手法。</p> <h3><strong>會在寄件者名稱顯示收信者公司網域名稱，附件夾帶URL將</strong><strong>分兩階段重導至釣魚網站</strong></h3> <p>具體而言，攻擊者先是發送一封電子郵件，主題為語音郵件的通知信，信中內容顯示「You have a New Voicemail！」，告訴收信者錯過了語音郵件，而郵件中將包含一個副檔名為HTML的附加檔案，信中提示用戶要打開HTML附件。特別的是，從郵件寄件者名稱來看，該處會顯示與目標組織網域相同的字串，像是寄給Zscaler員工的通知信，寄件者名稱的最前面也會顯示Zscaler，這也意味著，攻擊者企圖讓員工以為是公司寄來的通知信。</p> <p>HTML的附件包含1個URL網址，根據Zscaler分析，在每個攻擊活動使用的這類網址，都遵循一致的格式──顯示目標組織的名稱、攻擊者註冊的網域，以及目標個人的電子郵件地址，以混淆用戶。</p> <p>一旦用戶開啟該HTML附件中的URL網址，此時會將會將用戶重新導向到釣魚網站。特別的是，這裡的重新導向可分為兩階段，第一階段是導向到檢查是否為機器人的CAPTCHA網頁，驗證成功後，第二階段會再次導向，導引使用者連至一個與實際Microsoft 365登入頁面相像的釣魚網站，但該頁面根本不屬於微軟網域。</p> <p>根據研究人員的分析，實際上，這些釣魚郵件來自日本的郵件伺服器，特別的是，由於上述URL格式會洩漏攻擊目標的關鍵資訊，因此他們透過蒐集到遙測資料，得以發現那些組織可能是攻擊目標，也就是上述提及的不同產業。Zscaler認為，這種手法若與繞過自動URL分析的規避策略結合，將使攻擊者在網路釣魚攻擊上獲得更多優勢。</p> <p>此外，他們也發現，這次攻擊者採用的攻擊戰術流程（TTP），與之前他們在2020年7月分析的語音郵件攻擊活動，有高度重疊之處。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Zscaler揭露語音留言為主題的釣魚郵件_圖片來源Zscaler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Zscaler%E6%8F%AD%E9%9C%B2%E8%AA%9E%E9%9F%B3%E7%95%99%E8%A8%80%E7%82%BA%E4%B8%BB%E9%A1%8C%E7%9A%84%E9%87%A3%E9%AD%9A%E9%83%B5%E4%BB%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Zscaler.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Zscaler揭露語音留言為主題的釣魚郵件_圖片來源Zscaler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Zscaler%E6%8F%AD%E9%9C%B2%E8%AA%9E%E9%9F%B3%E7%95%99%E8%A8%80%E7%82%BA%E4%B8%BB%E9%A1%8C%E7%9A%84%E9%87%A3%E9%AD%9A%E9%83%B5%E4%BB%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Zscaler.jpg" style="width: 600px;" /></a></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Zscaler解析釣魚郵件副件HTML檔，是一個URL連結重新導向器，而且</span>在每個攻擊實例中，該URL都遵循一致的格式，其中包括目標組織的名稱、目標個人的電子郵件地址。（圖片來源／Zscaler）</p> </blockquote> </div></div></div>
2022/6/23 12:43作者羅正漢https://www.ithome.com.tw/news/151574
支援WSL2的Windows Server 2022更新正式釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼五月底預告後，微軟本周將支援Windows Subsystem for Linux 2（WSL2）的Windows Server 2022更新版經由正式管道釋出。但Server 2019用戶還是無福享用。</p> <p><a href="https://www.ithome.com.tw/news/151175" target="_blank">微軟五月底公布</a>包含WSL2的Windows軟體更新KB5014021（OS Build 20348.740）時，用戶必須主動下載。一如當時預告，微軟本周釋出定期更新。微軟產品經理Craig Loewen表示，現在WSL2已成為Windows Server最新更新的一部份，用戶只需在Windows Server機器上點選「檢查更新」以下載最新版更新即可。透過這次更新，Server 2022可以使用WSL 2 type distro，讓Windows Server也能獲得桌機版SKU相同的現代Windows使用經驗。</p> <p>不過前提是<a href="https://support.microsoft.com/en-us/topic/june-14-2022-kb5014678-os-build-20348-768-3cec11a2-b5d6-40fa-b1f5-636283ccb7c4" target="_blank">機器上必須先具備KB 5014678</a>才能安裝最新更新。下載後，用戶以管理員權限從PowerShell指令視窗執行「wsl-install」即可安裝。</p> <p>微軟說明，與第1版WSL相比，WSL 2提供受控VM內的完整Linux核心、效能更佳、且具備完整的系統呼叫相容性。</p> <p>WSL 2早在2019年即已釋出，但僅提供Windows 10 2004版以後及使用半年通道更新（Semi-Annual Channel，SAC）的Windows Server。<a href="https://petri.com/microsoft-drops-semi-annual-channel-releases-starting-with-windows-server-2022/" target="_blank">去年微軟宣布終止SAC</a>，Windows Server將只留下長期更新通道（Long-Term Servicing Channel，LTSC），使得Windows Server 2019和Server 2022 LTSC用戶被排除在支援名單之外。</p> <p>雖然微軟已對Server 2022提供WSL 2，但Server 2019用戶還是無福享受。<a href="https://github.com/microsoft/WSL/issues/6301#issuecomment-1137740404" target="_blank">上個月微軟回答用戶問題時指出</a>，WSL 2不支援Server 2019 Long-Term Servicing Channel（LTSC）的計畫目前還是沒有改變。</p> </div></div></div>
2022/6/23 10:30作者林妍溱https://www.ithome.com.tw/news/151571
Container周報第151期：K8s叢集成本精準估算有新工具，自駕系統新創揭露部署3千節點EKS叢集的秘訣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/6/9~2022/6/17 精選容器新聞</strong></span></p> <p><span style="color:#0000FF;"><strong>本期重點：自動擴充調度的K8s叢集，如何事前估算成本是一大挑戰，不少公雲都推出了自家的成本估算工具，但如何跨這些業者、自家私雲都能有一套統一的成本估算標準是維運團隊常見的難題。最近引起高度關注的新開源專案OpenCost，就是要建立一套通用K8s成本計算標準。另外，Intel旗下自駕車系統公司Mobileye揭露了如何部署超大規模EKS叢集的經驗，單一叢集可以達到3,200個節點，超過10萬個vCPU的超大規模。值得注意的是，Linux創辦人最近預告，Rust語言明年將整合到Linux核心，這也意味將成為Linux的重要開發語言之一</strong></span></p> <p><strong>#成本管理、#K8s叢集管理<br /> AWS和GCP兩大公雲加入，OpenCost專案要建立估算K8s叢集成本的通用標準</strong></p> <p>K8s成本管理公司Kubecost最近捐給CNCF一項開源專案OpenCost，可以視覺化的方式，列出Kubernetes叢集的資源分配和所花費的成本。成本計算是管理K8s叢集的難題之一，因為高度自動化擴充能力，一開始都是從一個小型K8s叢集，但隨著時間，會動態依據用量，自動增加或減少叢集的節點數，因此，很難準確估算單一個K8s叢集的費用。OpenCost提供了視覺化的圖表，來呈現K8s叢集費用的歷史變化。多家業者也參與了這項專案，來協助K8s叢集成本的估算，包括了AWS、Google、Adobe、SUSE、D2iQ、Armory、Mindcurv和New Relic等。他們試圖透過這個專案，來建立一個標準的K8s成本監控機制，可以用來追蹤各種環境配置下的成本。OpenCost目前可以即時提供K8s服務的成本估算和各類資源分配，也能整合AWS、Azure或GCP帳單API來取得動態的公雲費用，甚至支援本地部署的K8s叢集客製化價格清單，來能將價格資料輸出到Prometheus方便進一步利用。</p> <p><strong>#FinOps、#雲端成本控管<br /> K8s叢集要花多少錢？最新FinOps調查出爐</strong></p> <p>CNCF和推廣雲端成本管理的FinOps基金會最近公布了一份K8s成本調查報告，去年中調查了195家中大型企業使用K8s的費用情況，半數企業規模超過500人，3成是5千人以上的大型企業。超過6成企業的K8s費用過去一年是正成長，甚至有3成的K8s費用更是增加了2成以上。不過，2成企業沒有辦法監控K8s成本，而44%的企業只能用推估，只有1成多的企業可以準確估算成本，另有一成企業建立了費用回溯機制。但是超過4成企業都認為，能夠每個月更精準地事先估算K8s叢集的帳單是一件重要的事。</p> <p>根據這份調查，目前企業K8s叢集的主要成本，8成來自運算，1成是記憶體的費用，再其次才是儲存空間的成本。目前常見用來追蹤K8s成本的工具，除了三大公雲提供的費用計算工具，如AWS支出探索工具、GCP支出工具和Azure成本管理工具之外，還有KubeCost成本估算工具和Apptio公司的Cloudability較多企業採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s%E6%88%90%E6%9C%AC%E5%B7%A5%E5%85%B7.png" /></p> <p> </p> <p><strong>#GitOps、#DevOps<br /> 如何用GitOps打造全自動CI/CD流程，Weaveworks推薦靠這3類工具</strong></p> <p>提出GitOps新CI/CD典範的Weaveworks公司，最近整理了一個用GitOps思維，來設計全自動化CI/CD流程的最佳實務做法，包括了四個重要的自動化關鍵，其中，善用K8s自動化機制是第一步。</p> <p>Weaveworks指出，GitOps是配置檔管理的最新進化的形式，以Git作為程式原始碼的唯一來源，這是將雲端原生應用持續部署，建立標準化作業的關鍵原則。</p> <p>在CI/CD流程中有四個核心階段，原始碼、部建（Build）、測試和部署，每一個階段都可以善用工具軟體來自動化。在原始碼階段，不只是開發者提交的異動要觸發通知，透過webhook機制來通知後續的CI/CD工具，還要留意得包括來自其他流程，或是自動化排程產生的異動都要納入觸發事件。第二個階段的部建自動化，則要用來控制不同釋出版本的變動。測試階段的自動化，則注重正確性和生產力，原則是要「快速部建、快速測試、快速失敗」，盡快找出有問題的地方，盡快通知開發者。最後一項部署階段，只要使用K8s，就可以有自動化CI/CD工具例如Helm charts來協助自動化。</p> <p>K8s叢集自動化是雲端原生工具自動化的第一線，要讓K8s叢集管理能到結合CI/CD流程，例如用k8s Operators來協助重複任務的自動化，也能用於各種部署需求，如擴充，備份和模擬節點失效情況。HPA則可用於控制部署後的Pod節點數量擴充或縮減，Cluster Autoscaler則能用CPU利用率，來擴充一個叢集中的節點數量。其次，從Git拉出程式碼到完成部署的自動化工具，則推薦Flux。這是Weaveworks捐給CNCF的孵化開源專案，能持續比對儲存庫環境的狀態和基礎架構部署環境的狀態，來進行從原始碼到部署的自動化，還可搭配Git版控進行政策遵循。最後一個推薦的GitOps工具是Flagger，這是可以用於主動派送工具，也是Weaveworks開源釋出的專案，可以用於進行藍綠部署、金絲雀發布。不過，Weaveworks沒有推薦測試自動化工具，而是建議得善用宣告式配置檔，就能降低部建與測試間的重工。</p> <p><strong>#函數即服務、#無伺服器框架<br /> 無伺服器框架OpenFunction正式成為CNCF沙箱專案</strong></p> <p>來自KubeSphere社群開源的一項無伺服器框架OpenFunction，最近通過CNCF技術監督委員會的投票，正式成為旗下沙箱專案之一，也代表了CNCF正式接管了這個專案的捐贈。OpenFunction是一個用來打造Function即服務的無伺服器框架，整合了Knative、Tekton、Shipwright、Dapr和KEDA等開源專案，來提供從函數觸發、函數建置到函數服務發布等功能，可以快速建立一個無伺服器平臺服務。目前OpenFunction是0.6.0版。</p> <p><strong>#Rust語言、#作業系統<br /> Linux創辦人預告：Rust語言明年將整合到Linux核心</strong></p> <p>最近Linux創辦人Linus Torvalds在Linux基金會開源大會上透露，熱門的Rust語言將在明年整合到Linux核心，甚至，最快「下一版Linux核心版本發布時就會併入。」也就是最快可在Linux 5.20版就納入。Linus在2年前一次專訪中就透露出採用Rust語言的意圖，當時他提到，雖然Linux核心主要是用C語言開發而成，C語言也是當前的十大熱門程式語言之一，但是，他認為，C語言有一種逐漸變成COBOL語言的風險，越來越難找得到擅長C語言的Linux核心維護者。因此，2年前他就開始考慮，在Linux核心專案開發中採用如Go或Rust等熱門的新興開發語言。他也曾透露過採用Rust的原因，有多項比C語言更進階的功能，例如記憶體安全機制的設計，在安全模式下不會出現沒有定義的行為，另外對於安全和非安全模式有更清楚的定義和區分等。Rust語言是由Mozilla在2009年開始贊助的一項通用程式語言，強調安全、平行運作和記憶體組態管理，主要用於大型網路系統的用戶端和伺服器端任務，於2010年首度公開，2015年釋出第一個1.0穩定版本，目前是1.61版。</p> <p><strong>#分散式資料庫、#NoSQL<br /> NoSQL資料庫Cassandra即將在7月釋出4.1版，最大特色將增加外掛擴充能力</strong></p> <p>去年7月才釋出十年大改版的NoSQL資料庫Cassandra，今年7月又將推出4.1新版，預計會增加一項重要的新功能外掛擴充機制，可以透過外掛方式來擴充Cassandra資料庫的功能，這也讓Cassandra變成了一個資料庫生態圈，來整合第三方供應商的服務。目前隨著4.1版的發布，也提供了多項新的外掛機制，包括了可提供快速記憶體儲存能力的儲存外掛，可用外部金鑰來進行機密管理的網路加密外掛、授權外掛機制、叢集Schema外掛。另外在4.1版還會新增一個配置管理框架，可用來支援Cassandra叢集規模化後的不同部署設定。而4.1版之後，也將進入下一個大版本5.0，預計未來要支援完整的ACID交易能力，這是目前正在討論中的重大功能。</p> <p><strong>#超大規模K8s叢集、#自駕車系統<br /> 單一EKS叢集如何部署10萬個vCPU，自駕車系統公司Mobileye靠6大秘訣</strong></p> <p>開發自駕車系統需要大量仰賴AI運算，來訓練自駕系統在不同模擬環境下的各種反應和操作。最近Intel旗下自駕車系統公司Mobileye的AI工程團隊，揭露了如何運用EKS，來支援超過250項工作流程的經驗。他們使用了4萬EKS的Pod叢集，單一叢集的規模最大甚至達到3,200個節點，超過10萬個vCPU的超大規模。</p> <p>Mobileye揭露了他們可以建立超大規模EKS運算叢集的經驗，第一是要針對工程團隊來進行平臺抽象化，避免工程團隊要處理瑣碎的基礎架構部署工作，其次是要建立一個統一配置平臺，可以支援不同團隊同時所用的各種不同類型工作負載的配置和管理需求。第三是要建置一個自動擴充平臺，Mobileye每小時經常要執行數十項資料處理作業，每個作業可能需要數百到數千個Pod節點來運算，因此需要有一個自動化擴充管理平臺才能勝任這麼龐大的擴充調度和部署需求。</p> <p>第四項則是成本控管需要有一套成本管理平臺，尤其Mobileye的EKS叢集節點高達95%都是用了競標式的Spot執行個體，來降低雲端運算的費用，要能記錄和管理這些價格變動的執行個體的費用，需要靠系統才能管理和精簡成本。</p> <p>另外在網路架構的管理上，也需要有一套解決方案，Mobileye都是在無法對外連網的私有VPC中執行所有運算來符合法遵要求，但需要有一套自己的網路架構管理系統，最後一項是要有能力支援不同運算類型的執行實例的擴充能力，例如他們的自動擴充機制也能夠調度GPU、Habana Gaudi加速器等特殊運算需求的節點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%AA%E9%A7%95%E8%BB%8A%E7%B3%BB%E7%B5%B1%E5%85%AC%E5%8F%B8EKS%E6%9E%B6%E6%A7%8B.jpeg" /></p> <p><strong>#可觀測性、#思科<br /> 思科推出可觀測性平臺服務，能監控AWS的K8s環境，未來會支援其他兩大公雲</strong></p> <p>思科在2022年度大會上發表了新的可觀測性平臺AppDynamics Cloud，來監控K8s上的雲端原生應用的運作狀態，包括Log紀錄，監測矩陣、事件紀錄、追蹤紀錄等，可以支援主流的可觀測性標準OpenTelemetry。這套可觀測平臺可以用來監控跨不同基礎架構、微服務、容器或API之間的互動。AppDynamics原本像是一套應用程式效能管理平臺，現在進一步變成了雲端原生應用可觀測性的管理平臺，不只是應用系統效能，還擴大到各種執行環境的觀測和管理。思考這套新的可觀測性平臺目前只能支援AWS公雲上的K8s環境監控，不過，思科預告，未來一定會支援其他兩朵公雲包括微軟Azure和GCP，甚至也計畫支援更多公雲服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%9D%E7%A7%91appDynamics%20cloud.png" /></p> <p><strong>更多新聞</strong></p> <p>CNCF推出雲端原生安全控制項型錄，盤點出194項主流資安規範的雲端生資安要求</p> <p><strong>@資料來源：iThome整理，2022年6月</strong></p> <p><strong>責任編輯：王宏仁</strong></p> <p><b>圖片來源：思科、Mobileye</b></p> </div></div></div>
2022/6/23 09:37作者王宏仁https://www.ithome.com.tw/news/151569
7-Zip 22出爐，新增對Windows安全功能Zone.Id的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.7-zip.org/history.txt" target="_blank">開源的壓縮工具7-Zip 22在上周出爐了</a>，新版除了能夠解壓縮蘋果的APFS映像檔之外，也新增了對Windows安全功能Zone.Id的支援（下圖），<a href="https://www.7-zip.org/" target="_blank">最新的7-Zip 22</a>支援32/64位元的Windows，也支援基於Arm64的Windows，檔案大小最多只有1.5MB。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-7zip-600V2.png" style="width: 450px;" /></p> <p>Zone.Id的全名為Zone Identifier，<a href="https://devblogs.microsoft.com/oldnewthing/20131104-00/?p=2753" target="_blank">是微軟在2013年替IE所設計的安全功能</a>，它會標記那些使用者自網路上所下載的檔案，並在使用者準備開啟時跳出警告，以避免系統執行惡意程式。其實微軟並未正式替該功能命名，也使得有不少人直接將它稱為「網路標記」（Mark of the Web）。</p> <p>不管是Windows或Office都會在開啟具備Zone.Id標記的內容時跳出警告，且當Office偵測到Zone.Id內容時，它會啟用「受保護的檢視」（Protected View）模式，以在關閉巨集及唯讀的狀態下開啟。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/" target="_blank">根據《BleepingComputer》的報導</a>，就算不斷有安全研究人員提出要求，7-Zip一直以來都沒有支援Zone.Id，程式作者Igor Pavlov曾說他並不喜歡這個功能，宣稱它對7-Zip帶來額外的負擔。</p> <p>這代表就算使用者所下載的ZIP檔案具備Zone.Id標記，但在透過7-Zip解壓縮之後就會失去標記，系統與程式便無從判斷檔案的來歷，也無法提出警告。</p> <p>不過，Pavlov終於在7-Zip 22增添了該功能，它出現在工具的選項中，可看到一個傳播Zone.Id流（Propagate Zone.Id Stream）的功能，只要點選Yes或是For Office files就能啟用它，未來若再藉由7-Zip 22解壓縮自網路下載的檔案時，其Zone.Id標記將會散播到已解壓縮的檔案供系統辨識。</p> </div></div></div>
2022/6/23 10:15作者林妍溱https://www.ithome.com.tw/news/151570
【資安日報】2022年6月22日，駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件系統Exchange Server是不少駭客會鎖定的目標，最近有研究人員發現專門針對該系統下手的駭客組織ToddyCat，該組織攻擊目標遍及歐洲與亞洲，但值得注意的是，臺灣、越南的政府機關是該組織的頭號目標。</p> <p>發動勒索軟體攻擊的駭客，往往針對受害電腦與伺服器加密檔案，不過，即使把檔案存放在雲端的檔案共享服務也不見得安全，因為駭客有可能在挾持用戶的帳號後，竄改系統備份檔案的數量，再依據更動後的配置來多次執行檔案加密，而使得受害者無法恢復原本可用的檔案。</p> <p>俄羅斯駭客針對烏克蘭的攻擊行動裡，有越來越多利用Follina漏洞（CVE-2022-21390）的事故，使得烏克蘭電腦緊急應變小組（CERT-UA）再度發布資安通告，要當地民眾提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/toddycat/106799/"><span style="color: rgb(0, 0, 0);">駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基在6月21日揭露新的國家級駭客組織，該組織專門攻擊亞洲及歐洲的微軟Exchange Server用戶，值得關注的是，臺灣、越南政府機關是其主要攻擊目標。</p> <p>研究人員自2020年底發現其活動，並將這個駭客組織命名為ToddyCat，攻擊目標為Exchange Server歐洲及亞洲用戶，專門鎖定高知名度組織，包括政府、軍事單位，以及軍方外包商。該組織第一波攻擊時間，是在2020年底到2021年2月之間，且臺灣與越南有3個組織的一些Exchange Server遭到攻擊。隨後的2月底到3月初，駭客更是積極開始鎖定ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>這些駭客入侵Exchange Server後，會部署名為中國菜刀（China Chopper）的Web Shell，最後在受害組織的網路上植入後門程式Samurai，以及木馬程式Ninja Trojan，以便進行橫向移動及遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality"><span style="color: rgb(0, 0, 0);">駭客有可能更動Office 365配置讓檔案備份失效，並對OneDrive、SharePoint用戶發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-06-14 at 3_55_33 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-14%20at%203_55_33%20PM.png" style="width: 300px; float: right;" /></a>在防範勒索軟體的威脅態勢裡，不少資安人員會建議透過雲端的檔案共享服務來備份資料，來增加重要資料的可用性，一旦遭到相關攻擊，有機會從這些服務提供的版本控制功能來復原檔案，然而最近有研究人員找到能針對這類系統用戶發動勒索軟體攻擊的手法。</p> <p>資安業者Proofpoint指出，他們針對Office 365（或Microsoft 365）的服務裡，發現了潛藏危險的機制，使得駭客可加密儲存在SharePoint或OneDrive服務裡的檔案，並脅迫受害者在無法透過上述服務復原的情況下，向駭客支付贖金來換取解密金鑰。簡單來說，攻擊者可藉由微軟的API、CLI指令碼，或是PowerShell指令碼，先是挾持組織部分用戶的SharePoint或OneDrive帳號並進行接管，然後竄改系統保留舊版檔案的配置（以OneDrive為例，通常預設是500個版本）為1個，最後攻擊者加密檔案只要超過2次，使得SharePoint或OneDrive用戶無法透過系統備份的檔案復原。</p> <p>該公司指出，上述手法主要影響存放於雲端服務的檔案，若是企業採用混合雲模式部署SharePoint，或是使用者透過用戶端軟體留存OneDrive的檔案，就有機會倖免於難。他們將上述發現進行通報，微軟表示，檔案版本的組態配置功能運作正常，若是用戶無法自行復原檔案，透過該公司客服亦有機會還原14天前的版本。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/06/avoslocker-new-arsenal.html"><span style="color: rgb(0, 0, 0);">勒索軟體AvosLocker利用Log4Shell漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png" style="width: 300px; float: right;" /></a>自Log4Shell漏洞於去年年底被揭露後，不時有駭客鎖定採用Apache Log4j元件的遠距辦公系統VMware Horizon下手，而最近也有勒索軟體駭客跟進而引起研究人員關注。</p> <p>思科在3月7日，接獲客戶遭到勒索軟體AvosLocker攻擊的事故通報，而駭客入侵受害組織的媒介，就是經由VMware Horizon的存取閘道Unified Access Gateways（UAG）元件，存取曝露於網際網路的ESXi伺服器，此UAG存在Log4Shell相關漏洞，包含了CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-44832，使得攻擊者能在沒有取得root權限下執行程式碼，進而運用多種商業軟體發動寄生攻擊（LoLBins）。</p> <p>研究人員調查後發現，駭客至少1個月前（2月7日）就開始入侵受害組織，並於2月11日利用Windows伺服器上的WMI提供者主機（WMI Provider Host，WmiPrvSE.exe）程式，以DownloadString的方法執行加密PowerShell程式碼。直到3月4日，駭客才再度以類似的手法執行PowerShell指令，並於6日投放滲透測試工具Sliver、Cobalt Strike，以及網路盤點工具SoftPerfect Network Scanner，最後駭客於8日投放AvosLocker，並利用軟體部署工具PDQ Deploy來在網路環境散布勒索軟體。</p> <p>該公司指出，他們觀察到AvosLocker駭客正在招兵買馬，相關攻擊行動日後可能會大幅增加，呼籲組織不只要透過靜態檢測機制，也要留意資安系統發出的重要警訊，才能防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/russian-govt-hackers-hit-ukraine-with-cobalt-strike-credomap-malware/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28也使用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-credomap.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-credomap.png" style="width: 300px; float: right;" /></a>俄羅斯駭客利用Follina漏洞（CVE-2022-30190）對烏克蘭發動攻擊的現象，可說是越來越氾濫，先前有駭客組織Sandworm自4月開始利用上述漏洞，但現在有更多有更多攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月20日發布資安通告，指出俄羅斯駭客組織APT28利用戰爭警報的名義，散布名為Nuclear Terrorism A Very Real Threat.rtf的惡意檔案，受害者一旦不慎開啟，電腦將會下載HTML檔案並執行JavaScript指令碼，並觸發Follina漏洞，進而植入惡意程式CredoMap。</p> <p>CERT-UA也發現另一組利用Follina漏洞的駭客UAC-0098，他們假借烏克蘭政府財政部的名義，宣稱對方尚未繳稅，發送Imposition ofpension.docx的檔案，進而於受害電腦投放Cobalt Strike的Beacon。由於烏克蘭戰爭尚未結束，上述的釣魚郵件攻擊可能會不斷發生，CERT-UA呼籲關鍵基礎設施的員工應特別提高警覺。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/"><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip加入MoTW支援，防範從網路下載的的威脅</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/yodel-parcel-company-confirms-cyberattack-is-disrupting-delivery/"><span style="color: rgb(0, 0, 0);">英國快遞業者Yodel遭到網路攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> </div></div></div>
2022/6/22 18:08作者周峻佑https://www.ithome.com.tw/news/151558
非營利組織Khronos Group成立元宇宙標準論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由全球170個組織所組成、專門開發及維護各種互動標準的非營利組織Khronos Group，<a href="https://metaverse-standards.org/news/press-releases/leading-standards-organizations-and-companies-unite-to-drive-open-metaverse-interoperability/" target="_blank">在本周宣布成立元宇宙標準論壇（Metaverse Standards Forum）</a>，以推動元宇宙各種開放標準的開發，創始會員涵蓋Adobe、Autodesk、Meta、IKEA、Nvidia、微軟，與全球資訊網協會（W3C）等數十家企業與標準組織。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0622-Metaverse%20Standards%20Forum-600.png" style="width: 500px;" /></p> <p>該論壇將會探討各種阻礙元宇宙部署的互動性問題，以及如何協定與加速各個標準制定組織的定義及進展，並將免費開放給所有的組織參與，準備專注於各種務實專案，諸如可實踐的原型設計、程式設計馬拉松、互動性測試及開源工具等，以加速元宇宙標準的測試及採用，亦會發展一致的術語及部署指南。</p> <p>元宇宙集結了眾多新穎的元件，如互動3D圖像、擴增與虛擬實境、逼真的內容創作、地理空間系統、數位分身、即時協作、物質模擬、線上經濟或多人遊戲等，且不管是身歷其境或規模都將達到新境界。此外，有許多的產業領導人皆認為，元宇宙必須建立於開放標準的基礎上，才能充分實現它的潛力。</p> <p>可想而知的是，目前尚處孵育階段的元宇宙有太多事項必須統整，最基本的就是讓不同的標準組織與企業建立合作的共識，共同定義及遵守對於元宇宙標準的要求及優先順序。</p> <p>加入元宇宙標準論壇是免費的，而且程序很簡單，<a href="https://powerforms.docusign.net/28588522-d4aa-40d0-95da-497d2d5499c1?env=na4&acct=d8380165-745d-4834-bb6f-e74bf824fb81&accountId=d8380165-745d-4834-bb6f-e74bf824fb81" target="_blank">只要簽署參與協議即可</a>，若想要贊助論壇專案，<a href="https://powerforms.docusign.net/a9b9bd4b-78e9-4806-86b7-71e596f0a618?env=na4&acct=d8380165-745d-4834-bb6f-e74bf824fb81&accountId=d8380165-745d-4834-bb6f-e74bf824fb81" target="_blank">則可選擇成為主要會員（Principal Member）</a>。</p> </div></div></div>
2022/6/22 19:49作者陳曉莉https://www.ithome.com.tw/news/151560
零售IT雙周報第2期：Amazon無人機終於升空，還有自動迴避功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0612~0625)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧物流</span></strong></span></p> <p><strong>Amazon無人機物流服務終於正式起飛，搭載自動迴避障礙物功能</strong></p> <p>2013年Jeff Bezos宣布Amazon將發展無人機送貨服務，卻因為安全疑慮遲遲不能正式升空，<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-prepares-for-drone-deliveries">如今終於宣布開始營運</a>，<a href="https://ithome.com.tw/news/151420">今年將從加州洛克福德</a>（Lockeford）鎮等地方開始，免費送貨給當地居民。消費者於Amazon商城購賣標示為可用無人機遞送的商品後，無人機會飛到消費者後院上空，降低高度後將包裹投放到地上。</p> <p>Amazon強調，自家無人機與其他家不同之處，是他們不用仰賴人工駕駛員觀察，而是透過偵測能力勝過肉眼的安全系統，辨認出煙囪等靜態障礙物及其他飛行器等動態障礙物，並自動改道迴避，也能在投放貨物時確保附近區域沒有人、動物或其他障礙物。</p> <p>Amazon沒有公布未來擴大營運無人機物流的時程，不過表示，規模化發展此服務時，將參考洛克福德鎮消費者的回饋。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#智慧電視</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#電子支付</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#購物廣告</span></strong></p> <p><strong>Walmart聯手Roku推出智慧電視購物功能，用遙控器就能下單結帳</strong></p> <p>美國零售巨頭Walmart和智慧電視公司Roku推出<a href="https://www.businesswire.com/news/home/20220616005602/en/Walmart-and-Roku-Debut-First-of-its-Kind-Partnership-to-Bring-Commerce-to-TV-Ads">新的電視購物功能</a>，將購物步驟簡化到電視遙控器按兩下按鈕，不再需要備妥手機，隨時打電話或掃描QR Code了。</p> <p>新功能中，消費者看到購物廣告時可以拿電視遙控器按下OK按鈕，轉移到到消費者資料已經自動填寫完畢的Walmart結帳頁面，並由Roku自家的電子支付平臺Roku Pay付款。再按一次OK就會下單，並由Walmart發送Email確認訂單細節。</p> <p>廠商可以使用Roku的Branded Studio，製作這類互動式廣告。若是使用Roku的電視廣告購買平臺OneView，廠商還能追蹤並分析這類廣告的成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI自駕</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#送餐機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺</span></span></strong></p> <p><strong>美國外送平臺Grubhub投入AI自駕送餐機器人到校園餐點外送</strong></p> <p>使用者超過3,000萬人的美國外送平臺Grubhub<a href="https://about.grubhub.com/news/grubhub-and-cartken-partner-to-bring-robot-delivery-to-college-campuses/">將投入AI自駕外送機器人到校園內送餐服務</a>。Grubhub表示，校園環境本就不利汽車開進去送餐，由比較小巧的自駕機器人送餐非常適合。</p> <p>這種送餐機器人，會透過內建地圖自動導航，並搭載鏡頭，讓AI對即時路況做出反應。遇到無法用AI排除的障礙時，也能轉為人工操縱，以確保送餐效率。送餐機器人在校園中以每小時4.8公里的速度移動，可以承受下雨和下雪等惡劣天氣。</p> <p>Grubhub本來就與美國超過250所大學合作，將校園伙食方案整合進Grubhub帳號中，讓學生不用只能吃學生餐廳，而是選擇校內外不同餐廳，再由Grubhub外送。今年春天，Grubhub已經在俄亥俄州立大學實驗過此服務，今年秋天將正式商轉，並開放給其他合作大學申請啟用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#POS</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#電子支付</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無密碼認證</span></span></strong></p> <p><strong>Paypal將精簡結帳系統操作流程，並推行無密碼認證</strong></p> <p>電子金流平臺Paypal CEO Dan Schulman宣布，<a href="https://www.retaildive.com/news/paypal-strives-to-improve-checkout/625377/">今年將優化Paypal結帳系統，除了精簡結帳流程，還要推動無密碼認證服務</a>。</p> <p>Paypal希望能改善結帳時間延遲的問題，例如現行Paypal結帳時需要跳出App驗證，導致結帳「延遲時間」拉長。或是另一個拉長結帳時間的原因是，消費者忘記密碼而遲遲無法登入。</p> <p>目前有3500萬家店家、近4億消費者採用Paypal結帳系統，但Dan Schulman坦言，近期市場出現不少新創，以提供快速簡單的結帳流程為產品，例如Bolt，讓他們感到優化結帳流程的急迫性。Paypal年初就宣布，新策略不再聚焦吸引更多客戶，而要強化與現有客戶的關係。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#NFT</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#加密貨幣</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#手錶</span></span></strong></p> <p><strong>智慧手錶上直接秀出NFT圖片，奢侈手錶品牌也要搶進Web 3</strong></p> <p>LVMH旗下奢侈手錶品牌TAG Heuer 於5月接受加密貨幣支付後，又和BAYC、CLONE-X等NFT品牌合作，趕搭Web 3浪潮，<a href="https://magazine.tagheuer.com/en/2022/06/15/tag-heuer-connected-the-perfect-match-for-nfts/">在智慧手錶上顯示NFT圖像</a>。TAG Heuer新款手錶上，將可以連結Ledger Live和Metamask等加密貨幣錢包，不只展示NFT，還能證明錶主確實持有NFT。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙遊戲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#服飾品牌</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛實並行活動</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#體驗行銷</span></span></strong></p> <p><strong>維多利亞的秘密旗下兒童品牌推出虛擬遊戲空間，嘗試元宇宙和線下慈善活動串連</strong></p> <p>將實體產品或店面轉到元宇宙遊戲中，在奢侈服飾業者圈內並非先例，但維多利亞的秘密旗下兒童品牌Happy Nations更進一步，除了建立展演和互動空間，更將元宇宙活動與線下慈善活動結合。</p> <p><a href="https://www.victoriassecretandco.com/news-releases/news-release-details/happy-nation-launches-first-metaverse-experience-starting">Happy Nations在元宇宙遊戲Roblox中推出遊戲空間</a>，除了展示產品、到快照亭拍照留念，還能進行障礙賽跑遊戲。當玩家完成一個賽道，可以獲得遊戲內的虛擬托特包作為獎品；每當有玩家完成三個賽道，除了該玩家名字會在遊戲空間內的一個排行榜上陳列，廠商會捐贈一條內褲給致力於提供貧窮孩童乾淨內衣褲的美國慈善機構。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#體驗行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛實並行活動</span></span></strong></p> <p><strong>Timberland推出元宇宙鞋，讓玩家在遊戲空間體驗3種地形跑酷活動</strong></p> <p>Timberland把<a href="https://www.businesswire.com/news/home/20220609005851/en/Timberland%C2%AE-CONSTRUCT-10061-Enters-the-Metaverse">每年重新設計經典款鞋子的實體活動「Construct: 10061」帶到Fortnite遊戲中，虛實同時進行</a>。遊戲空間中，重現了實體設計活動的實驗室場地，讓玩家可以參觀公司內部設計鞋子的設施和工作流程。玩家還能試穿8款實體鞋子掃描而成的遊戲虛擬鞋，以及4款在這個虛擬設施中設計的「元宇宙鞋」，在遊戲空間內的三種氣候和地形上參與跑酷遊戲。</p> <p>Timberland更將在米蘭設計周期間，於旗艦店內當場示範如何在虛擬實驗室中設計鞋子，並推出第五款「元宇宙鞋」。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬試穿</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR技術</span></span></strong></p> <p><strong>Amazon推出AR試穿鞋子功能，支援各種角度和千款名牌鞋</strong></p> <p><a href="https://www.amazon.com/b?ie=UTF8&node=23595320011">Amazon推出虛擬試穿鞋子的AR技術</a>，使用者可以從Amazon 購物App中挑選鞋款，並將鏡頭對準自己雙腳，就會看到自己穿著該鞋款的樣子，且支援各種角度。此功能可以在上千款知名品牌鞋子中快速切換不同鞋款，並能拍照後上傳到社群媒體或私訊分享給朋友。</p> <p>此功能目前只支援美國和加拿大地區iOS用戶，不過Amazon表示也即將釋出Android版。</p> <p>資料來源：iThome整理，2022年6月</p> <p> </p> </div></div></div>
2022/6/22 10:41作者郭又華https://www.ithome.com.tw/news/151550
南韓區塊鏈業者Terraform Labs員工被限制出境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓區塊鏈業者Terraform Labs所打造的Terra USD（UST）及Luna加密貨幣<a href="https://www.ithome.com.tw/news/150911" target="_blank">在今年5月全面崩盤</a>，促使<a href="https://www.ithome.com.tw/news/151063" target="_blank">南韓政府針對Terraform Labs展開調查</a>，繼之於本周要求Terraform Labs的前任與現任員工皆不得出境。</p> <p>首爾檢察官辦公室向<a href="https://www.ft.com/content/19c27ae1-ae72-4668-b3a9-162adc27dffc" target="_blank">《金融時報》（Financial Times，FT）</a>證實了此事，表示有數十名Terraform Labs員工被限制出境，但並未提供更多細節。</p> <p>有一名<a href="https://twitter.com/unifiedh/status/1538937256504832001" target="_blank">曾任職於Terraform Labs的Daniel Hong透過Twitter表示</a>，他是自願配合調查，但並沒有收到任何被限制出境的通知，此外，檢方的禁令擴及2019年或2020年離職的員工。</p> <p>此外，南韓電視臺YTN則報導，該國已經撤銷了Terraform Labs共同創辦人暨執行長Do Kwon的南韓護照，不過Kwon目前似乎定居於新加坡。</p> <p>除了南韓政府之外，其實美國法院也已在美國證券交易委員會（SEC）的請求下，要求Terraform Labs提供可能涉及未註冊股票交易的相關文件與資料，而SEC對Mirror Protocol的興趣更大於Terra USD的崩盤。</p> <p>Mirror Protocol為Terra生態體系上的交易網路，該協議允許使用者藉由鑄造合成資產（mAssets），以錨定美股的價格來追蹤及交易美國股市與期貨，例如已鑄造出蘋果、特斯拉與微軟等股票代幣。</p> </div></div></div>
2022/6/22 16:51作者陳曉莉https://www.ithome.com.tw/news/151557
Amazon拔擢Doug Herrington擔任全球商店執行長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-announces-doug-herrington-as-ceo-of-worldwide-amazon-stores" target="_blank">Amazon本周宣布</a>，將拔擢於該公司任職17年的Doug Herrington接任Amazon全球商店業務的執行長，該業務的前身為消費者業務，<a href="https://www.ithome.com.tw/news/151289" target="_blank">先前的執行長Dave Clark已於6月遞出辭呈</a>，預計於7月1日離職。</p> <p>Herrington是在2005年進入Amazon，負責建立Amazon的耗材業務，之後在2007年推出Amazon Fresh生鮮服務，並在2015年掌管北美消費者業務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0622-amazon-Doug%20Herrington-CEO%20of%20Worldwide%20Amazon%20Stores.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon執行長Andy Jassy表示，Herrington跟他自2011年就因進入當時的Amazon資深領導團隊（S-team）而共事，Herrington不僅是個優秀的建設者，也擁有豐富的零售、雜貨、需求創造與產品開發經驗，同時具備遠見與好奇心，是個狂熱的學習者。</p> <p>Amazon也宣布將由另一名已於該公司任職18年的John Felton統籌Amazon的營運（Operations），並向Herrington彙報。Felton過去主要負責交付、物流與進出口，將與其它8名高階主管一起成為Herrington的左右手。</p> <p>儘管Amazon已是全球最大的電子商務平臺，但其實其交易金額僅占全球零售市場的1%，全球仍有85%的銷售仰賴實體商店，Jassy相信這個比例將會隨著Amazon提供更好的客戶經驗而改變。</p> <p>至於即將於7月1日離職的原執行長Clark也已找到新去處，<a href="https://www.ithome.com.tw/news/151351" target="_blank">他將在9月成為</a>美國貨運代理及報關服務軟體業者Flexport的執行長。</p> </div></div></div>
2022/6/22 13:23作者陳曉莉https://www.ithome.com.tw/news/151553
微軟公布負責任AI指導準則，將限制部份臉部辨識能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/06/21/microsofts-framework-for-building-ai-systems-responsibly/" target="_blank">微軟昨（21）日更新</a>負責任AI的指導準則，將在本月起開始限制AI臉部辨識的部份能力。</p> <p>隨著AI能力愈來愈強，侵犯隱私及對黑人或少數族群辨別度較低的問題，促使科技業及學界推動負責任AI（Responsible AI）的準則，<a href="https://docs.microsoft.com/zh-tw/learn/modules/responsible-ai-principles/" target="_blank">像是微軟2019年公布的</a>6項AI開發及應用準則，包括公平、可靠性、隱私及安全性、包容性、透明性及權責等。微軟更新版準則則依據新的研究結果再加以改良。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/learn/ai-business-school/responsible-ai-principles/media/3-2-1a.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>新版負責任AI包含三點。首先是語音轉錄（speech-to-text）技術對少數族群的辨識錯誤率偏高，一項2020年3月研究，特別是黑人及非裔人士的語音聽寫錯誤率為白人的近2倍。微軟表示，對此將再擴大訓練樣本的多元性，以提升其技術辨識效能。</p> <p>第二項則是AI聲音模擬及臉部辨識服務。<a href="https://www.ithome.com.tw/news/142623" target="_blank">微軟Azure AI的自訂神經網路語音（Custom Neural Voice）服務</a>可運用AI技術模擬出和原人物幾乎一模一樣的聲音，雖然娛樂性高，但也可能被用作Deepfake影片，欺騙觀者。同樣的問題也發生在AI臉部辨識應用。因應新準則，微軟將為這項服務加入多層控管框架，限制可以使用的客戶、明確定義可接受的使用情境，並且清楚告知聽者。在臉部辨識服務下，微軟將限定可用的客戶，以及限縮到預先定義的使用情境，也將加入技術控制以避免濫用。</p> <p>第三項則是限制Azure Face臉部辨識服務的能力。依循新準則，微軟將拿掉這項服務推論情緒狀態，以及辨識性別、年齡、微笑、臉部毛髮、頭髮及化妝的能力。以情緒狀態為例，科學家對情緒的判定尚未有共識，無法跨各種情境、地區或人口屬性適用，草率適用將帶來刻板印象、歧視或拒絕服務。</p> <p>為了避免臉部辨識AI技術的差錯，微軟的Face API將不再提供一般用途系統介接，讓這些客戶用來掃瞄人們臉部，根據臉部表情或動作推論出情緒。<a href="https://azure.microsoft.com/en-us/blog/responsible-ai-investments-and-safeguards-for-facial-recognition/" target="_blank">微軟說明</a>，從6月21日起，這項功能已經不再提供給新客戶。</p> <p>既有客戶則只能用到2023年6月30日，之後也將關閉。但是一些針對身障人士的受控辨識應用情境，微軟說會持續支援。另外，微軟也承諾將對用來推論人們情緒的所有AI系統謹慎分析，包括使用臉部分析或其他AI科技的系統。</p> </div></div></div>
2022/6/22 14:03作者林妍溱https://www.ithome.com.tw/news/151554
Meta因住宅廣告歧視，同意支付11萬美元和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部於本周宣布，已與Meta就臉書的住宅廣告歧視受眾，違反《公平住宅法案》（Fair Housing Act，FHA）一案達成和解，Meta同意在今年底以前不再透過Special Ad Audience提供住宅廣告，也願意支付115,054美元的民事賠償，而這已是《公平住宅法案》的最高罰款金額。此一協議尚待法院核准。</p> <p>臉書被指控的理由是其住宅廣告系統允許廣告主根據種族、膚色、宗教或性別遞送住宅廣告，形成廣告歧視，也違反了FHA。</p> <p>其實臉書曾在2019年就同一事件與美國公平住宅聯盟（National Fair Housing Alliance，NFHA）、美國公民自由聯盟（American Civil Liberties Union，ACLU）、美國傳播工會（Communication Workers of America，CWA）及其它人權機構<a href="https://www.ithome.com.tw/news/129488" target="_blank">達成和解，當時臉書同意</a>將專門替人力招募、住宅及信貸類別的廣告主另闢一個平臺，以阻止這些廣告主利用臉書的過濾機制從事廣告歧視活動。</p> <p>這次Meta的和解對象則是美國的住宅暨都市發展部（Department of Housing and Urban Development，HUD），HUD指控Meta打造了一個目標式廣告工具Special Ad Audience，該工具透過機器學習替廣告主篩選擁有類似特質的族群，然而，臉書卻允許此一工具的演算法計入受到FHA保護的種族、性別與宗教等特性，以找出真正可看到廣告的受眾。</p> <p>其實臉書在2019年時所使用的目標式廣告工具為Lookalike Audience，因為當時的和解內容而以Special Ad Audience來取代Lookalike Audience，沒想到Special Ad Audience再度被發現含有違反FHA的廣告歧視機制。</p> <p><a href="https://about.fb.com/news/2022/06/expanding-our-work-on-ads-fairness/" target="_blank">負責公民權利的臉書副總裁Roy Austin解釋</a>，這是因為機器學習中的公平是一個動態且不斷發展的領域，Special Ad Audiences 只是一個解決早期問題的方法，現在Meta將發展另一個基於「變異縮減」（Variance Reduction）技術的方法，以確保看到住宅廣告的使用者更接近符合該廣告的目標受眾。</p> <p>新的方法將禁止廣告主利用性別與年紀來過濾廣告受眾，且所設定目標受眾的地理位置的半徑範圍不得小於24公里。此一新的方法將不僅適用於住宅廣告，也將延伸到就業與信貸廣告，且除了美國之外，亦將部署至加拿大及歐洲市場。</p> <p>總之，Meta同意在今年底之前就要禁止廣告主利用Special Ad Audiences來投放住宅廣告，也必須在今年底之前開發一個不歧視的新廣告工具，並將支付115,054美元的罰款。</p> </div></div></div>
2022/6/22 12:39作者陳曉莉https://www.ithome.com.tw/news/151551
Microsoft 365檔案備份功能可能被竄改，讓用戶陷勒索軟體麻煩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality" target="_blank">安全廠商Proofpoint發現</a>Microsoft 365的一項檔案備份功能，可能遭駭客濫用，使原本在勒索軟體攻擊時文件回復的功能失敗而陷入麻煩。</p> <p>Microsoft 365及Office 365有一項名為自動儲存（Auto-save）的功能，可在用戶編輯時同步儲存。它還具備版本控管能力，將同一份線上文件不同編輯結果分版本儲存，之後可以回溯存取，這在用戶檔案毁損、遺失，或是被勒索軟體加密時相當有用。</p> <p>而在Microsoft 365環境下，自動儲存功能需搭配OneDrive或SharePoint Online。Microsoft 365文件會儲存在這兩項服務都有的雲端容器，稱為文件庫（document library）之中作為備份。預設情況下，每份獨立文件可備份500次編輯版本，也就是編輯超過500次後，第一個版本就再也不可回復。</p> <p>Proofpoint發現的攻擊方法需先刼持Microsoft 365帳號，再利用文件庫的設計瑕疵來完成。劫持帳號可透過釣魚信件、暴力破解、透過授權OAuth應用程式存取SharePoint/OneDrive帳號，或是劫持連線或即時API權杖來登入。</p> <p>第二步則是濫用文件庫的設計瑕疵。這有2種作法，一是編輯一份線上文件501次，使最原始版本再也不可回復，再加密後面500份備份。第二個方法更簡單，在文件庫的「設定」中，將可回復版本由預設的500次，改成1次。則攻擊者只要編輯檔案2次，原始版本就不見了。</p> <p>研究人員警告，透過上述方法破壞Microsoft 365的備份功能後，一旦企業桌機遭勒索軟體加密，將使企業無法重新回復文件。</p> <p>但是在涵括端點及雲端的環境，例如有雲端同步資料夾的設計則可減低這種攻擊的災難，因攻擊者無法變更儲存在終端的文件，除非他同時攻擊雲端和終端。</p> <p>為避免這類攻擊，研究人員建議，首先以多因素驗證方式降低用戶Microsoft 365帳號密碼被竊。其次則是以安全工具強化異常的設定變更、以及勒索軟體防禦方法，包括實施災難復原及資料備份政策，減少文件損失的風險。</p> </div></div></div>
2022/6/22 13:06作者林妍溱https://www.ithome.com.tw/news/151552
國家駭客攻擊Exchange Server漏洞，臺灣、越南用戶受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/toddycat/106799/" target="_blank">安全廠商卡巴斯基發現</a>，一個新興國家駭客組織攻擊亞洲及歐洲的微軟Exchange Server用戶超過一年，其中包括臺灣、越南用戶。</p> <p>卡巴斯基旗下的GReAT（Global Research & Analysis Team）研究人員發現2020年底起，該公司命名為ToddyCat的新駭客組織開始攻擊Exchange Server歐洲及亞洲用戶，而且專門鎖定高知名度組織，包括政府、軍事單位和軍方外包商。</p> <p>卡巴斯基掌握ToddyCat的身份的資訊不多，只知和另一個發動FunnyDream後門程式、講中文的駭客組織活動期間相近。他們由其攻擊目標，判斷是進階滲透威脅（APT）的國家駭客。駭客刻意將目標放在政府及軍事組織，藉此達到他們地緣政治利益等目的。</p> <p>這個組織最早活動時期為何，研究人員無法斷定，也不知道他們是利用Exchange Server哪個漏洞。可以確定的是，2020年底到2021年2月之間是攻擊的第一波時期，且受害者都是Exchange Server，臺灣和越南3個組織的少數Exchange Server遭到攻擊。隨後2月底到3月初ToddyCat轉趨積極，開始開採Exchange Server的ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>在調查臺灣及越南的攻擊中，研究人員也發現了2個之前不知道的攻擊工具。ToddyCat先是駭入了Exchange Server，於受害者機器上部署China Chopper webshell程式，開始多階段感染鏈。最後，在受害者網路上植入之前沒被發現的後門程式Samurai及木馬程式Ninja Trojan。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/06/20140554/APT_ToddyCat_01.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／卡巴斯基</span></span></p> <p>Samurai是被動式後門程式，經由port 80和443運作，可遠端執行任意C#程式，配合多種模組讓攻擊者執行遠端程式並在目標網路上橫向移動。Ninja是一個後攻擊（post-exploitation）工具，類似Cobalt Strike，可在受害者機器上建立C&C伺服器以執行遠端控制、還能修改HTTP header及URL 路徑，以偽裝惡意流量，躲避偵測。</p> <p>除了臺灣和越南的政府組織外，卡巴斯基觀測到其他受害者分布地點為阿富汗、印度、印尼、馬來西亞、泰國、巴基斯坦、俄羅斯、英國、烏茲別克等國。</p> <p>事實上，3月以後，Exchange Server 被攻擊的歷史就相當清楚。<a href="http://https//:www.ithome.com.tw/news/143208" target="_blank">安全廠商ESET發現</a>有一個稱為Websiic的駭客組織利用Exchange Server的ProxyLogon漏洞發動攻擊，並且在受害伺服器上部署China Chopper webshell程式。事實上，資安廠商戴夫寇爾及Volexity等安全廠商分別追查到，2020年底及2021年初，ProxyLogon漏洞就已經有駭客開採活動，包括微軟稱為Hafnium的中國國家駭客。惟這些駭客組織是同一個或許多不同組織則不得而知。</p> </div></div></div>
2022/6/22 10:41作者林妍溱https://www.ithome.com.tw/news/151549
請AI幫忙寫程式的GitHub Copilot正式上線，月租費10美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-06-21-github-copilot-is-generally-available-to-all-developers/" target="_blank">GitHub在21日正式推出</a>自去年6月<a href="https://www.ithome.com.tw/news/145340" target="_blank">開始預覽</a>、由AI充當開發者結對工程師的GitHub Copilot服務，每月的訂閱費用為10美元，年費則是100美元，而學生與熱門開源專案的維護者則可免費使用。</p> <p class="rtecenter"><img alt="" src="https://docs.github.com/assets/cb-35566/images/help/copilot/install-copilot-extension-visual-studio-code.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>GitHub Copilot是GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，以讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p>在經歷過一整年及120萬名開發者的預覽之後，現在的GitHub Copilot可整合到Neovim、JetBrains IDEs、Visual Studio與Visual Studio Code 等開發環境，它不僅能提供下一行的程式撰寫建議，也能推薦完整的方法、範例程式碼、整個單元測試，或是複雜的演算法。</p> <p>在開發者啟用GitHub Copilot的檔案中，若是採用諸如Python等熱門的程式語言，那麼有接近40%的程式碼都是來自GitHub Copilot。</p> <p>GitHub表示，他們相信由AI來協助撰寫程式碼將能改變軟體開發的性質，提供開發者一個可更快及更容易撰寫程式碼的工具，並專注在其它更重要的事。</p> <p>即使在正式版上線後，GitHub還是提供60天的GitHub Copilot免費試用期，之後可以每月10美元或每年100美元的價格訂閱，且若是通過身分認證的學生或是熱門開源專案的維護者，存取GitHub Copilot訂閱頁面時，亦會收到免費的訂閱通知。</p> </div></div></div>
2022/6/22 10:04作者陳曉莉https://www.ithome.com.tw/news/151548
【資安日報】2022年6月21日，駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釣魚郵件攻擊的手法中，有些駭客會宣稱對方收到語言訊息，進而讓收信人上當，落入他們的圈套。最近有一起攻擊行動就是如此──駭客針對美國大型企業發動上述攻擊，目的是要竊取使用者的Microsoft 365帳號。比較值得留意的部分，是攻擊者讓收信者誤以為信件來自公司的手法，他們在寄件人的名稱裡使用受害組織的網域，而可能讓收信人不疑有他，依照指示開啟附件檔案。</p> <p>去年有研究人員發現<a href="https://www.ithome.com.tw/news/145919">名為PetitPotam的漏洞</a>，駭客可用於發動NTLM中繼（NTLM Relay）攻擊，進而挾持整個網域，而最近有新的攻擊手法DFSCoerce出現，再度引起研究人員的關注。新舊手法最大的不同，在於所濫用的通訊協定。其後續發展與微軟的回應值得觀察。</p> <p>微軟於上週公布的每月例行修補（Patch Tuesday）中，所推出的更新程式，部分用戶安裝後發生問題，導致有些功能失效。其中，部分執行Arm晶片的Windows電腦，出現應用程式無法存取Azure AD的現象，該公司於昨日（20日）緊急發布額外的修補程式因應。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/resurgence-voicemail-themed-phishing-attacks-targeting-key-industry"><span style="color: rgb(0, 0, 0);">駭客透過語音訊息發動網釣攻擊，意圖竊取美國大型企業的Microsoft 365帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201.png" style="width: 300px; float: right;" /></a>利用語音留言的網路釣魚攻擊，不時有事故傳出，最近又有攻擊行動出現，鎖定美國的大型企業而來。資安業者Zscaler發現利用語音訊息作為幌子的釣魚郵件攻擊，目標包含了美國軍方、安全解決方案供應商、醫療保健與製藥廠，以及製造商的供應鏈等，竊取這些組織用戶的Microsoft帳密。</p> <p>駭客在郵件內容宣稱，對方有尚未讀取的語音郵件，需要開啟附件的HTML檔案，一旦收信人開啟，就有可能被攻擊者引導到人機驗證系統CAPTCHA，通過驗證後再前往假造的Microsoft 365登入頁面，攻擊者進而有機會挾持對方的微軟帳號。</p> <p>由於在寄件者的名稱中，駭客使用了收信人公司的網域名稱，而很容易讓人以為是從公司寄來的通知信件，但根據研究人員的分析，這些釣魚郵件實際上來自日本的郵件伺服器，且上述的登入網頁也不在微軟網域，他們呼籲使用者要提高警覺因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-dfscoerce-ntlm-relay-attack-allows-windows-domain-takeover/"><span style="color: rgb(0, 0, 0);">研究人員揭露新的NTLM中繼攻擊手法DFSCoerce</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png" style="width: 300px; float: right;" /></a>去年7月<a href="https://www.ithome.com.tw/news/145919">研究人員公布名為PetitPotam的漏洞</a>，攻擊者可藉由微軟的加密檔案系統遠端協定（EFSRPC），來發動NTLM中繼（NTLM Relay）攻擊，如今又有新的管道能發動類似的攻擊。</p> <p>研究人員Filip Dragovic近期公布名為DFSCoerce的攻擊手法，並提供概念性驗證（PoC）攻擊指令碼。這個指令碼同樣是透過利用PetitPotam漏洞為基礎打造，但不同的是這次研究人員沒有使用EFSRPC，而是利用了Windows分散式檔案系統（DFS）通訊協定MS-DFSNM，來達到發動NTLM中繼攻擊的目的。</p> <p>關於上述的攻擊指令碼，資安新聞網站Bleeping Computer接到其他研究人員的通報，這些研究人員表示，這個手法確實很容易讓權限不高的使用者成為網域管理員。該新聞網站呼籲，組織應透過微軟先前針對PetitPotam漏洞的緩解措施，來防範類似的NTLM中繼攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://en.lookout.com/blog/hermit-spyware-discovery"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Hermit被用於攻擊敘利亞、哈薩克、義大利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png" style="width: 200px; float: right;" /></a>上個月Google公布<a href="https://www.ithome.com.tw/news/151068#cytrox">網路間諜公司Cytrox利用數個零時差漏洞對安卓手機下手</a>，又有研究人員揭露其他間諜軟體的態勢。資安業者Lookout指出，他們發現義大利網路間諜公司RCS Lab與電信業者Tykelab Srl聯手，開發的間諜程式Hermit，自2019年開始在敘利亞、哈薩克、義大利等國下手，鎖定安卓與iPhone手機發動攻擊。其中，研究人員在今年4月，看到哈薩克政府疑似用來對當地民眾進行監控。</p> <p>此間諜程式散布的管道，很可能是透過簡訊，並引誘使用者點選連結，駭客宣稱提供三星、Oppo，以及Vivo等廠牌推出的應用程式，但實際上若是使用者照做，手機就會被植入Hermit。此惡意軟體的功能，與其他網路間諜公司的產品類似，具備側錄使用者的聲音、收集聯絡人資訊、照片的能力。研究人員呼籲，使用者要對於簡訊連結特別提防。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151536"><span style="color: rgb(0, 0, 0);">Arm電腦在安裝Patch Tuesday更新程式後，衍生Azure AD登入異常現象，微軟緊急發布修補程式</span></a></strong></h3> <p>微軟於6月14日發布例行修補（Patch Tuesday）更新，但傳出不少用戶更新後造成部分功能無法使用，該公司於20日推出緊急更新KB5016138、KB5016139，來解決搭載Arm晶片的Windows電腦無法正常存取Azure AD的問題。微軟指出，上述情況影響需要使用Azure AD帳號存取的應用程式與服務，例如Teams、Outlook，或是VPN連線等，但網頁版本不受影響，若是使用者無法及時安裝相關更新，可暫時使用網頁版本來因應。上述問題並未影響採用Intel與AMD處理器的電腦。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151533"><span style="color: rgb(0, 0, 0);">人機驗證系統CAPTCHA惱人又影響用戶隱私！蘋果計畫在新版作業系統加入自動身分驗證功能，繞過此種機制</span></a></strong></h3> <p>蘋果於6月初的開發者大會WWDC上，表示人機驗證系統CAPTCHA不只會影響使用者體驗，還可能危害用戶隱私，對此，他們宣布將以私有存取令牌（Private Access Tokens，PAT）來取代。而最近有開發人員在測試版iOS 16與iPadOS 16發現，蘋果很可能已經在測試相關功能──他們看到蘋果在Apple ID新增了自動身分驗證（Automatic Verification）的功能，啟用後將會透過iCloud自動檢驗使用者的裝置與帳號，而有可能讓使用者直接繞過應用程式或網頁上的CAPTCHA，上述機制未來也有機會在下一版macOS Ventura出現。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.documentcloud.org/documents/22064071-flagstar-standard-notification-letter-06-17-2022?responsive=1&title=1"><span style="color: rgb(0, 0, 0);">美國大型銀行Flagstar資料外洩，波及150萬客戶</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-rv-overflow-s2r82P9v"><span style="color: rgb(0, 0, 0);">思科RV路由器存在重大漏洞，攻擊者可執行任意指令或造成服務中斷</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> </div></div></div>
2022/6/21 17:36作者周峻佑https://www.ithome.com.tw/news/151540
2022網路報稅支援6種身分驗證，行動電話認證成主流，2成8民眾用手機報稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>民眾網路報稅越來越便捷，政府多年前就開始打造數位化服務，在綜合所得稅的申報作業過程當中，提供扣除額單據電子化及稅額試算服務，解決傳統人工申報方式的不便，近年來，更是主動提供民眾試算結果，同時提供了多元化申報方式，並陸續增加不同身分驗證管道，其中，最受矚目的焦點，就是去年新推的「行動電話認證」，現已成普遍國人使用最多的方式，比例已超過4成，而今年報稅財政部也新推「行動自然人憑證」，以及手機報稅2.0，均讓國人能有更方便的網路報稅方式。</p> <p>隨著報稅旺季來臨，今年個人所得稅申報仍受疫情影響，期限也如同前兩年，延長一個月（至6月30日），目前距離最後期限只剩一周多的時間。</p> <p>今年的網路報稅，民眾可以透過電腦與手機來進行。以電腦報稅而言，在財政部電子申報繳稅服務網上，共有6種身分驗證管道，分別是：<u>行動電話認證</u>、<u>戶口名簿戶號＋查詢碼</u>、<u>行動自然人憑證</u>，以及<u>健保卡＋註冊密碼</u>、<u>自然人憑證</u>、與<u>電子憑證</u>。</p> <p>至於手機報稅，是從2021年起開始提供，到了今年更為強化。簡單而言，手機報稅就是透過手機的瀏覽器來進行申報，當民眾連至財政部電子申報繳稅服務網的網頁，需先點選手機版，這裡驗證身分的管道支援上述6種的其中3種：<u>行動電話認證</u>、<u>戶口名簿戶號＋查詢碼</u>，以及<u>行動自然人憑證</u>。今年報稅流程增強的特色在於：民眾在手機瀏覽器上，可以編修申報內容資料，並可使用「行動支付、電子支付帳戶繳稅方式」，更符合許多民眾目前的手機支付習慣。</p> <p>對於民眾使用手機報稅的現況，財政部北區國稅局表示，至6月17日止，今年有2成8民眾是透過手機報稅，接近三成，比例已不少。而使用電腦網路報稅的民眾，3成4使用離線版，3成8使用線上版。</p> <h3><strong>持續提供多元認證，今年逾4成民眾選用「行動電話認證」</strong></h3> <p>持續提供多元申報方式之餘，政府近期在網路報稅推動更多類型身分認證管道，根據最新數據顯示，確實受到國人青睞。</p> <p>舉例來說，「行動電話認證」是2021年新增的方式，根據統計資料，在2022年至6月17日下午5時為止的352萬申報件數中，有147.4萬件採用行動電話認證，居所有認證方式之冠，佔4成1的比例。</p> <p>事實上，去年行動電話認證的比例就已躍居最高，今年有更多人使用這種方式。以目前來看，有多達147.4萬件，去年同期則為108.1萬件，明顯大幅增長。而在「行動電話認證」推出之前，國人最常使用的認證方式，則是「健保卡＋密碼」，以及「自然人憑證」，以2019年全年為例，使用此兩者方式認證人數均在150萬人上下。</p> <p>為何今年有更多民眾報稅時使用行動電話認證？我們認為，原因在於這種方式不用額外搭配讀卡機或密碼，更為簡便，只要是納稅人親自申辦的月租型門號，就能在報稅時以4G或5G行動網路連線來認證身分，而且無論使用電腦或手機均能適用。</p> <p>另一值得關注的是，今年新推的「行動自然人憑證」，目前有15,178人使用，相較於去年同期稱為「行動身分識別」的10,182人，同樣有大幅成長情形。回顧這類驗證方式的採用，兩年前財政部已提供「行動身分識別」的管道，如今隨著「行動自然人憑證」App的推出，替代原有的「Taiwan FidO」App，並讓兩項機制結合在一套應用。目前看來，此一身分驗證機制應用於報稅比例還少，可能因為註冊此機制前，仍必須先申請過自然人憑證再綁定行動裝置，但在其他應用上，仍有看頭，不只是對外便民服務，政府公務系統的登入與簽核也能應用。</p> <p>至於網路報稅其他認證方式的使用情形，目前使用「健保卡＋密碼」來驗證，仍有81.5萬人，使用「自然人憑證」有61.7萬人，使用戶號＋查詢碼有55.7萬人，至於使用「電子憑證」的人數僅剩4.5萬人。</p> <p>另一較特別的是，今年報稅系統其實還新支援了「醫事人員憑證IC卡」，跟據統計資料，至今已有715名醫護使用此方式登入申報。</p> <p><a href="https://s4.itho.me/sites/default/files/images/手機報稅-00.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%89%8B%E6%A9%9F%E5%A0%B1%E7%A8%85-00.jpg" style="width: 600px;" /></a> </p> <p><strong>除了傳統前往國稅局臨櫃辦理的人工報稅，政府持續推動綜合所得稅申報多元化，包括在家網路報稅、手機報稅，或稅額試算服務作業。其中手機報稅為2021年新推出，讓民眾透過手機上的瀏覽器，在財政部電子申報繳稅服務網網頁上也能完成報繳稅。關於手機報稅情形，我們詢問財政部北區國稅局，根據他們提供的資料顯示，今年綜所稅申報已進行1個半月，目前民眾透過手機報稅的比例已達2成8。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/網路報稅2022-00.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E8%B7%AF%E5%A0%B1%E7%A8%852022-00.jpg" style="width: 600px;" /></a></p> <p><strong>近年來網路報稅上的身分認證管道持續增加，如2016年報稅開放「健保卡＋密碼」申報，2019年新推「行動身分識別」（Taiwan FidO），2021年再新增「行動電話認證」，2022年將「行動自然人憑證」取代既有行動身分識別，同時還新開放「醫事人員憑證IC卡」。</strong></p> <h3><span style="color: rgb(0, 153, 255);"><strong>綜合所得稅網路申報使用版本（至2022/6/17止）</strong></span></h3> <table border="0" cellpadding="0" cellspacing="0" style="width: 304px;" width="304"><tbody><tr height="22"><td height="22" style="height: 22px; width: 64px;"><strong>全國</strong></td> <td style="width: 85px;"><strong>離線版</strong></td> <td style="width: 83px;"><strong>線上版</strong></td> <td style="width: 72px;"><strong>手機報稅</strong></td> </tr><tr height="22"><td height="22" style="height: 22px; width: 64px;">件數</td> <td style="width: 85px;">1,201,236</td> <td style="width: 83px;">1,330,962</td> <td style="width: 72px;">994,515</td> </tr><tr height="22"><td height="22" style="height: 22px; width: 64px;">比率</td> <td style="width: 85px;">34%</td> <td style="width: 83px;">38%</td> <td style="width: 72px;">28%</td> </tr><tr height="22"><td colspan="3" height="22" style="height: 22px;">資料來源：財政部國稅局</td> <td> </td> </tr></tbody></table><h3><span style="color:#0099ff;"><strong>2022綜合所得稅電子結算申報使用憑證統計</strong></span></h3> <table border="0" cellpadding="0" cellspacing="0" style="width:501px;" width="501"><tbody><tr height="22"><td height="22" style="height:22px;"><strong>驗證身分方式</strong></td> <td><strong>2022年件數（暫至6/17止）</strong></td> <td><strong>2021年同期件數</strong></td> </tr><tr height="22"><td height="22" style="height:22px;">行動電話認證</td> <td>1,474,800件</td> <td>1,081,940件</td> </tr><tr height="22"><td height="22" style="height:22px;">健保卡＋註冊密碼</td> <td>815,794</td> <td>867,921</td> </tr><tr height="22"><td height="22" style="height:22px;">自然人憑證</td> <td>617,669</td> <td>732,438</td> </tr><tr height="22"><td height="22" style="height:22px;">戶口名簿戶號＋查詢碼</td> <td>557,513</td> <td>512,634</td> </tr><tr height="22"><td height="22" style="height:22px;">電子憑證</td> <td>45,044</td> <td>59,585</td> </tr><tr height="22"><td height="22" style="height:22px;">行動自然人憑證</td> <td>15,178</td> <td>10,182※</td> </tr><tr height="22"><td height="22" style="height:22px;">醫事人員憑證</td> <td>715</td> <td>無</td> </tr><tr height="22"><td colspan="3" height="22" style="height:22px;">資料來源：財政部國稅局，iThome電腦報週刊，2022年6月</td> </tr><tr height="22"><td colspan="2" height="22" style="height:22px;">※註：2021年為FidO行動身分認證</td> <td> </td> </tr></tbody></table></div></div></div>
2022/6/21 16:46作者羅正漢https://www.ithome.com.tw/news/151539
祖克柏展示多款VR裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周一（6/20）邀請了多家媒體進行線上會議，<a href="https://www.facebook.com/zuck/videos/355247026677540" target="_blank">創辦人暨執行長祖克柏（Mark Zuckerberg）展示了其元宇宙基地Reality Labs正在開發的多款虛擬實境頭戴裝置</a>，似乎是要透過Meta在技術上的投入與進展，消弭該公司近一個月以來的負面消息。</p> <p><a href="https://www.reuters.com/technology/exclusive-facebook-owner-meta-tells-hardware-staffers-prepare-cutbacks-2022-05-11/" target="_blank">上個月Meta才向《路透社》（Reuters）證實</a>，Reality Labs部門將會重整，專注於開發核心產品，並終止或延後部分專案，<a href="https://www.ithome.com.tw/news/151402" target="_blank">本月即傳出</a>Meta終止智慧手錶專案，停止開發消費者版本的Portal智慧顯示器，連原本計畫在2024年才要發表的AR眼鏡都延期。</p> <p>再加上Reality Labs部門每季數十億美元的虧損、Meta股價的持續下滑，以及全球經濟衰退等，都讓Meta本周的展示更像是在向全球宣誓自己的決心。</p> <p>周一祖克柏親自示範了4款AR原型機，其中的Butterscotch主要用來體驗VR環境中的視網膜解析度，其解析度可達Meta Quest 2的2.5倍，將讓使用者可清楚看到6米外的物件；另一款原型機Starburst強調的則是高動態範圍成像（HDR），可用來改善顯示器的對比與亮度，也是全球首個HDR VR系統；Holocake 2則為一實驗性裝置，它非常地輕薄，企圖打造出一款戴起來舒適的VR裝置；看起來像是滑雪鏡的Mirror Lake其實還未真的問世，它的目標是集結上述原型機的優點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Meta-Butterscotch-VR.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Butterscotch原型機，圖片來源／Meta</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Meta-Starburst-VR.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Starburst原型機，圖片來源／Meta</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Meta-Holocake%202-VR(1).png" style="width: 600px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">Holocake 2原型機，圖片來源／Meta</span></span></p> <p>其實這些只是Reality Labs所開發的VR頭戴裝置的一小部分，Reality Labs辦公室有一面牆擺滿了超過20款具備不同造型與功能的原型機，祖克柏表示，上述不同原型機的功能都是VR裝置必須解決的問題，Meta擁有全球最好的團隊，未來將把所有技術融入更輕薄的裝置上。</p> <p>Reality Labs內部所訂定的頭戴裝置終極目標，則是通過「視覺圖靈測試」（Visual Turing Test），亦即讓使用者無法區分自己置身於真實或虛擬世界，現在並沒有任何VR技術可達到此一境界，也是VR顯示器研究的聖杯。</p> </div></div></div>
2022/6/21 14:28作者陳曉莉https://www.ithome.com.tw/news/151537
印度禁止公務員使用VPN、Google Drive等雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度禁VPN服務風波再擴大。<a href="https://telecom.economictimes.indiatimes.com/news/govt-bans-vpn-cloud-services-for-employees/92269107" target="_blank">印度媒體《Economics Times》報導</a>，印度政府近日發布資訊安全指令，公務員將不得使用外部VPN服務，也不得在Google Drive或Dropbox等雲端服務上儲存公務文件或檔案。</p> <p>媒體取得近日印度國家資訊中心（National Informatics Centre，NIC）對公務員發出的內部公告，該公告說明政府為「強化公務員及政府部門約聘及委外員工的資安意識」而制定，公務員可為及不可為行為的安全指引，目的在改善政府資安體質。</p> <p>根據這項公文，印度公務員及約聘、委外人員不得使用如Nord VPN、ExpressVPN等業者提供的VPN服務，以及Tor匿名服務。</p> <p>發文單位的主管機關為電子暨資訊技術部，<a href="https://www.cert-in.org.in/PDF/CERT-In_Directions_70B_28.04.2022.pdf" target="_blank">後者今年四月聯同印度電腦緊急應變小組（CERT-In）發布的一項要求</a>，以打擊網路犯罪為由，要求VPN服務供應商、資料中心與雲端服務供應商都必須蒐集用戶資料，包括姓名、電子郵件帳號、電話號碼與IP位址，並保留5年資料以「清楚了解客戶（Know Your Customer）」。新法規預計在6月27日生效。<a href="https://telecom.economictimes.indiatimes.com/news/govt-bans-vpn-cloud-services-for-employees/92269107" target="_blank">印度官員也稱</a>，不想遵循的公司儘管離開該國。</p> <p>這項法規等於是剝奪所有印度用戶隱私通訊的權利，讓異議人士或擔心被迫害的用戶無所遁形。<a href="https://www.ithome.com.tw/news/151285" target="_blank">外國VPN服務業者ExpressVPN本月初已宣布將退出印度市場</a>，另二家廠商包括Surfshark和 NordVPN也分別宣布跟進，都將在法規升級前關閉在印度伺服器及撤離印度。</p> <p>最新公文同時要求政府僱員及約聘、委外員工任何內文、禁止讀取、或機密資料，皆不得儲存在非政府提供的雲端服務，包括Google Drive或Dropbox。此外，他們也不得對行動裝置執行越獄（jailbreak）或刷機（root），或使用外部文件掃瞄App如CamScanner來掃瞄內部政府文件。</p> <p>印度政府對任何企圖防止監控的科技皆採反對立場。報導指出，<a href="https://economictimes.indiatimes.com/tech/technology/counter-use-of-technology-for-cybercrime-india-tells-un-ad-hoc-group/articleshow/92237908.cms" target="_blank">上周聯合國打擊網路犯罪科技的特設委員會中</a>，印度代表也倡議打擊VPN、全程加密及加密貨幣等區塊鏈技術。<a href="https://fortune.com/2022/02/02/india-crypto-ban-plans-develop-digital-currency-taxes-regulation-bitcoin/" target="_blank">印度政府也嚴禁挖礦</a>。</p> </div></div></div>
2022/6/21 14:43作者林妍溱https://www.ithome.com.tw/news/151538
微軟疑封鎖俄羅斯用戶下載Windows 10、11更新等軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟可能上周開始封鎖俄國境內用戶下載Windows 10及11的軟體更新及工具。</p> <p><a href="https://www.techcentral.ie/microsoft-reportedly-blocks-russian-windows-10-and-windows-11-downloads/" target="_blank">多家媒體</a>及<a href="https://twitter.com/campuscodi/status/1538570733672189955" target="_blank">記者</a>引述俄羅斯官方通訊社本周日報導，現在俄國境內已無法從微軟網站下載Windows 10和11軟體。若用戶想連結微軟網站下載，會出現「404檔案和目錄找不到的錯誤訊息」，但使用VPN則可成功下載。</p> <p class="rtecenter"><a href="https://twitter.com/campuscodi/status/1538570733672189955" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FVoZwRlWUAIECgM?format=png&name=small" style="width: 500px;" /></a></p> <p><a href="https://twitter.com/campuscodi/status/1538570733672189955" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Catalin Cimpanu</span></span></a></p> <p><a href="https://twitter.com/monsterjeep/status/1538574937568469001" target="_blank">另一些使用者則證實</a>，雖然用戶可以連向微軟官網，<a href="https://twitter.com/ttldtor/status/1538572320469655557" target="_blank">但無法下載Windows映像檔或媒體工具</a>。</p> <p class="rtecenter"><a href="https://twitter.com/ttldtor/status/1538572320469655557" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://pbs.twimg.com/media/FVobWSnXsAEyZai?format=jpg&name=medium" style="width: 500px;" /></span></span></a></p> <p><span style="font-size: 14px;"><a href="https://twitter.com/ttldtor/status/1538572320469655557" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／ttldtor</span></a></span></p> <p>此事可能和微軟大幅削減在俄業務有關。受俄烏戰事爆發，美國對俄發動制裁，微軟3月即凍結在俄產品及服務銷售。<a href="https://www.ithome.com.tw/news/151353" target="_blank">本月初微軟也證實彭博報導</a>，正在大幅縮編在俄國業務，但是微軟表示，仍會持續完成和俄國客戶之間的合約義務。</p> <p>微軟尚未對此發表正式回應。</p> <p>這項行動若屬於微軟官方行動，可能將使俄國用戶轉向使用盜版Windows軟體。<a href="https://www.ithome.com.tw/news/149747" target="_blank">3月間俄國通過一項法案修正案</a>，允許企業組織在國家安全利益前提下，有權未經原廠同意使用軟體或其他技術，而且不需付費。</p> </div></div></div>
2022/6/21 13:29作者林妍溱https://www.ithome.com.tw/news/151535
微軟緊急修補因Patch Tuesday衍生的Azure Active Directory登入問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151494" target="_blank">微軟今年6月14日的Patch Tuesday</a>似乎造成了<a href="https://www.ithome.com.tw/news/151532" target="_blank">不少問題</a>，也於6月20日釋出緊急更新以解決無法利用Azure Active Directory（Azure AD）登入的問題，此一問題同時涉及Windows 10與Windows 11，但僅影響採用Arm處理器的Windows裝置。</p> <p><a href="https://support.microsoft.com/en-us/topic/june-20-2022-kb5016138-os-build-22000-740-out-of-band-e8d115be-8a12-4010-a0c6-d77e459b4385" target="_blank">根據微軟的說明</a>，舉凡是要利用Azure AD登入的應用程式或服務都受到波及，諸如VPN連線、Microsoft Teams或Microsoft Outlook等。但該問題並未影響採用AMD或英特爾處理器的Windows裝置。</p> <p><a href="https://support.microsoft.com/en-US/topic/june-20-2022-kb5016139-os-builds-19042-1767-19043-1767-and-19044-1767-out-of-band-f23f8abf-fa86-4e9c-8dad-6aadec51d51c" target="_blank">有關Windows 10的緊急更新為KB5016139</a>，<a href="https://support.microsoft.com/en-us/topic/june-20-2022-kb5016138-os-build-22000-740-out-of-band-e8d115be-8a12-4010-a0c6-d77e459b4385" target="_blank">Windows 11則是KB5016138</a>，都可透過Windows Update自動下載與安裝，使用者亦可選擇手動安裝，由於它們屬於累積更新，因此微軟建議Arm裝置用戶直接採用新的安全更新，若已安裝Patch Tuesday的安全更新，則僅有新的更新會被下載與安裝。</p> <p>倘若無法即時更新，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2#azure-active-directory-and-microsoft-365-services-might-be-unable-to-sign-in" target="_blank">微軟建議使用者可改用相關應用的網頁版</a>，如OneDrive、Outlook.com或網頁版的Microsoft Teams。</p> </div></div></div>
2022/6/21 13:46作者陳曉莉https://www.ithome.com.tw/news/151536
Windows多項最新更新引發VPN、RDP、RRAS、Wi-Fi熱點等問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周發布Patch Tuesday安全更新，不過之後陸續傳出多個Windows Server版本更新引發VPN、遠端桌面協定（RDP）、RRAS（Routing and Remote Access Service）故障。而一項針對Windows 11的更新則造成Wi-Fi熱點功能故障，以及無法登入Azure Active Directory等問題。</p> <p>上周的Patch Tuesday發布的伺服器更新涵括Windows Server 2012 R2（KB5014738）、Server 2016（KB5014702）、Server 2019（KB5014692）及Server 2022（KB5014678）。<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/?sa=1#cid23701" target="_blank">用戶發現</a>安裝後RRAS連線失敗，也有人只是RRAS暫時凍結，<a href="https://www.reddit.com/r/sysadmin/comments/vbunt3/patch_tuesday_megathread_20220614/id1u18b/" target="_blank">另一些人則反映</a>RDP及VPN無法使用，或是External IIS無法連線等問題。</p> <p>有人移除更新可解決問題，<a href="https://www.reddit.com/r/sysadmin/comments/vbunt3/patch_tuesday_megathread_20220614/icn8x9d/" target="_blank">但也有人</a>即使移除也無法回復功能。一名用戶關閉NAT（Windows Network Address Translation）可以排解無法使用RRAS的狀況。但許多用戶表示這在其環境下不可行。</p> <p>目前微軟官方尚未對此說明或回應。資安網站<a href="https://www.bleepingcomputer.com/news/microsoft/recent-windows-server-updates-break-vpn-rdp-rras-connections/" target="_blank">Bleeping Computer</a>報導，或許和日前微軟修補NAT中一個DoS漏洞（CVE-2022-30152）的更新有關。</p> <p>但另一項更新引發的問題則獲得微軟回應。上周針對Windows 11釋出的<a href="https://support.microsoft.com/en-gb/topic/june-14-2022-kb5014697-os-build-22000-739-cd3aaa0b-a8da-44a0-a778-dfb6f1d9ea11" target="_blank">KB5014697</a>，它是一個旨在使Windows Update安裝更順暢的品質更新。微軟指出該更新造成3個不良後果，首先，Windows機器無法使用Wi-Fi熱點功能，若機器啟用該功能就會無法連網，另2個則主要影響IT管理員，包括使用.NET Framework 3.5元件如WCF（Windows Communication Foundation）及WWF（Windows Workflow）的App無法開啟，以及Arm-based Windows機器無法登入Azure Active Directory（AAD），進而影響包括VPN、Microsoft Teams、Microsoft OneDrive和 Microsoft Outlook的使用。</p> <p>昨日微軟已緊急釋出例外（Out-of-band）更新<a href="https://support.microsoft.com/en-gb/topic/june-20-2022-kb5016138-os-build-22000-740-out-of-band-e8d115be-8a12-4010-a0c6-d77e459b4385" target="_blank">KB5016138</a>以解決AAD登入的情形。至於另2個問題，微軟建議暫時關閉Wi-Fi熱點來回復連網功能，以及重新啟用.NET Framework和WCF來解決，<a href="https://support.microsoft.com/en-gb/topic/june-14-2022-kb5014697-os-build-22000-739-cd3aaa0b-a8da-44a0-a778-dfb6f1d9ea11" target="_blank">微軟也提供了</a>重啟的指示。</p> </div></div></div>
2022/6/21 10:57作者林妍溱https://www.ithome.com.tw/news/151532
蘋果於各作業系統上添增自動身分認證功能以繞過Captcha圖靈測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者於蘋果釋出的iOS 16與iPadOS 16測試版中發現，蘋果於Apple ID中新增了一項自動身分認證（Automatic Verification）功能，允許使用者繞過程式或網站上的Captcha圖靈測試，改善使用經驗，未來該功能也會進駐macOS Ventura（macOS 13）作業系統。</p> <p><a href="https://developer.apple.com/videos/play/wwdc2022/10077/" target="_blank">其實蘋果在本月初舉行的WWDC開發者大會上便曾介紹此一功能</a>，宣布將以私有存取令牌（Private Access Tokens，PAT）來取代Captcha。蘋果工程師Tommy Pauly解釋，當使用者要登入某個服務時，網站或程式為了避免遭到機器人大隊入侵通常會採用Captcha圖靈測試，以判斷來者是真正的使用者而非機器人，有時只要按下一個鍵就能通過Captcha測試，有時卻必須解題。</p> <p>這不僅影響使用者的瀏覽經驗，可能危害使用者的隱私，也會對視障人士造成不便，使得蘋果決定打造私有存取令牌來取代Captcha，並協助網站或程式認證使用者身分。</p> <p>開發者若要啟用PAT必須先選擇一個可靠的令牌發行商，也許是Captcha供應商、代管服務業者或是CDN網路，需要認證使用者身分時再由伺服器傳送一個HTTP認證挑戰，這是一個名為PrivateToken的新一代HTTP認證方法，並在收到使用者回傳令牌時進行認證。</p> <p>蘋果標榜PAT將可在不危害使用者個人資訊的前提下，認證造訪網站或程式的對象為合法的裝置或使用者。</p> <p>目前iOS 16與iPadOS 16測試版中自動身分認證功能的預設值是啟用的，其功能說明相對簡潔，僅說它將允許iCloud自動驗證使用者的裝置與帳號，以繞過程式及網站上的Captcha測試。</p> </div></div></div>
2022/6/21 11:05作者陳曉莉https://www.ithome.com.tw/news/151533
Solend撤銷接管巨鯨帳戶的提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>建立於Solana區塊鏈上的借貸平臺Solend，在19日時為了減輕該平臺上一個巨鯨帳戶可能帶來的風險，<a href="https://blog.solend.fi/slnd1-mitigate-risk-from-whale-1504285ab4d2" target="_blank">發動社群投票以接管了該帳戶</a>，有鑑於此舉惹來了區塊鏈社群的批評，<a href="https://blog.solend.fi/slnd2-invalidate-slnd1-and-increase-voting-time-cdb3fe5b3293" target="_blank">Solend隔天即撤銷了該提案</a>。</p> <p>借貸為去中心化金融（DeFi）生態體系的關鍵，透過區塊鏈的智慧型合約來從事金融活動，DeFi平臺上的使用者可借出或借入資金或加密貨幣，借出者則可獲得利息，而Solend即是基於Solana區塊鏈的DeFi平臺，也支援Solana區塊鏈上的SOL治理代幣，用戶可以SOL來支付交易費、質押獲得獎勵或是購買NFT。</p> <p>讓Solend繃緊神經的是一個匿名帳戶3oSE9CtGMQeAdtkm2U3ENhEpkFMfvrckJMA8QwVsuRbE，該帳戶質押了價值1.7億美元的570萬個SOL幣，占了Solend主流動池SOL幣總質押數量的95%，借走了近1.08億美元的USDC與USDT，占USDC出借總數的88%，該帳戶的SOL幣清算價格為22.3美元。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FVTnmBFVIAIoA0Z?format=jpg&name=large" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/0xrooter/status/1537108015836385280" target="_blank"><span style="color:#696969;">Solend創辦人Rooter</span></a></span></p> <p><a href="https://twitter.com/0xrooter/status/1537108015836385280" target="_blank">Solend創辦人Rooter在16日時便曾呼籲</a>巨鯨帳戶的主人還清貸款以避免遭到清算，<a href="https://twitter.com/0xrooter/status/1538173608391942144" target="_blank">18日即說明該帳戶可能帶來的風險</a>。</p> <p>倘若SOL價格跌至22.3美元，將會清算該帳戶未償還貸款的20%，大約是價值2,100萬美元的SOL幣，這個規模在場外交易中並不會造成問題，但在Solend上大多數的清算者都是藉由可程式化的機器人來使用DEX（去中心化交易平臺），鯨魚帳戶的清算便會引發這些機器人的銷售動作，促使SOL幣的價格下滑，繼之波及其它帳戶。</p> <p>因此，Rooter認為應該要採取積極的行動來減少巨鯨帳戶的部位，以避免Solend發生系統性的風險，因而提議接管該巨鯨帳戶，並交由Solend用戶進行投票，結果高達99.8%的用戶都投下了贊成票。Solend在19日僅開放6小時的投票時間，在這期間投票系統還當了3小時。</p> <p>標榜去中心化金融的DeFi平臺，竟然要靠中心化的管理與接管來去除風險，立刻引爆了批評聲浪。<a href="https://twitter.com/lex_node/status/1538619072438411264" target="_blank">一名律師說</a>，Solend的行為不僅與DeFi的理念背道而馳，它根本就是違法的。<a href="https://twitter.com/cobie/status/1538530339420790784" target="_blank">另一名使用者則說這太可笑了</a>，總計只擁有不到100萬美元的眾多Solend用戶，竟可投票接管擁有1億美元資產的用戶。</p> <p>這使得Solend隔天便宣布撤銷前一天的提案，宣布未來投票時間將延長為1天，亦正在研擬不涉及接管帳戶的新提案。</p> </div></div></div>
2022/6/21 09:49作者陳曉莉https://www.ithome.com.tw/news/151531
MedTech醫療科技雙周報第9期：美國參議院特別立法監督160億美元的醫療IT現代化工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0601～0615)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">退伍軍人事務部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cerner </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不過是政府換EHR系統，為何美國參議院還要立法監督？</strong></span></p> <p>美國參議院最近一致通過《<a href="https://www.congress.gov/bill/117th-congress/house-bill/4591">VA電子健康記錄透明度2021年法案</a>》，要求美國退伍軍人事務部（VA）定期公開新電子健康記錄（EHR）系統建置狀況，並揭露投入資源、成本、效能指標和部署進展；該法案接下來會交由總統拜登簽署，之後即生效。</p> <p>該法案由數位參議員退伍軍人事務委員會高階成員起草，要求VA更透明地揭露EHR現代化工作進展。這個EHR現代化工作在2018年正式展開，由VA委託電子病歷龍頭廠商Cerner開發，要汰換舊有的VistA系統，預計在2028年正式上線，要讓900萬名退伍軍人及其家屬受益。這套新EHR系統的目的，是要讓醫護人員可查詢患者所有就醫歷史資料，來制定個人化的治療決策，同時讓患者更輕易預約、安排就診。該系統將互通VA旗下醫學中心、醫療診所以及美國國防部和海岸警衛隊資料，同時也支援6萬多家社區照護中心。</p> <p>不過，該工作自展開以來便一路顛簸。比如，初始預算從100億美元增加到160億美元，且分期上線進度一再落後，去年，VA旗下監督長辦公室更公布一系列報告，指出VA不只少估了數十億美元的IT基礎建設預算，人員訓練還不足，且原本要先上線的預約排程系統，還不完整。今年2月和5月，還分別發生了舊系統搬遷資料品質不佳、華盛頓州新系統減速，甚至中斷服務。</p> <p>也因此，參議院決定立法監督，美國史上最大規模的EHR現代化工作進度。「這個現代化工作有著巨大影響，我們必須做對這件事！」法案起草人之一的Jerry Moran指出，該法案將確保VA提供透明公開的進展資訊，來讓委員會成員監督，確保納稅錢得到妥善運用。<a href="https://www.moran.senate.gov/public/index.cfm/2022/5/breaking-senate-passes-bill-to-increase-transparency-of-va-health-record-modernization">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲象 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病理AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>雲象聯手臺大，50億畫素AI模型訓練加速10倍</strong></span></p> <p>數位病理廠商雲象科技聯手臺大資工系教授洪士灝團隊，突破深度神經網路訓練的硬體加速器記憶體限制，將繁複的計算工作流程加速近10倍，就算用50億畫素影像訓練模型也沒問題。雲象科技執行長葉肇元指出，這個技術讓團隊可直接用未經切割且未經標註的高解析度影像來訓練AI模型，省下病理師數百小時的標註時間，讓團隊可在1年內完成研究。</p> <p>這個研究，就是AI輔助病理師判讀胃癌微小轉移病灶。雲象與林口長庚病理科主任陳澤卿、醫師黃士強聯手，用6千個50億畫素淋巴結標註影像來訓練AI模型，同時設計一個AI輔助的數位病理工作流程，來輔助病理科醫師進行胃癌淋巴結轉移診斷工作。團隊發現，在未經AI輔助的人工診斷中，病理科醫師對於小於2mm的胃癌微小轉移病灶的敏感度是82%，對小於0.2mm的單獨性腫瘤細胞病灶，診斷敏感度則是68%。</p> <p>但是，在AI輔助下，醫師對微小轉移和單獨性腫瘤細胞的診斷敏感度，都提高至 96%，而且診斷時間分別縮短了30%和26%。<a href="https://www.nature.com/articles/s41467-022-30746-1?fbclid=IwAR256YFoS5O4aeVxxk6zbh_bYnv7U2PDyfLnY2gIPs2F63Q0VQ6ByeEaZsU">該研究成果最近登上《自然通訊》期刊</a>。<a href="https://www.facebook.com/1213493608/posts/pfbid0Tnb95yCfneLwibV2p1Hj8pexzoSNKa2NrhhbyJrKrprWVrxFqbsMAfqA63T3sYa7l/?d=n">（詳全文）</a></p> <p><img alt="" src="https://media.springernature.com/lw685/springer-static/image/art%3A10.1038%2Fs41467-022-30746-1/MediaObjects/41467_2022_30746_Fig1_HTML.png?as=webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Apple Watch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 心房顫動 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span></p> <p><span style="font-size:22px;"><strong>Apple Watch心房顫動記錄新功能獲美國FDA認可 </strong></span></p> <p>6月初，Apple Watch一項心房顫動記錄（AFib History）新功能獲美國食藥局FDA智慧醫材核准，可用於22歲以上已診斷有心房顫動的使用者。<a href="https://www.apple.com/newsroom/2022/06/watchos-9-delivers-new-ways-to-stay-connected-active-and-healthy/">蘋果表示</a>，該功能可預估配戴者出現不規則、極端快速心律的頻率，每周發送一次心房顫動頻率摘要給使用者。此外，使用者還能在蘋果Health App中，查看睡眠、飲酒和各項活動等因素對心房顫動的影響，也能下載詳細的PDF檔案，來與醫療照護人員溝通。這些功能目前為預覽版，日後將隨watchOS 9正式推出。</p> <p>其他更新還包括，能根據智慧手錶的加速度器、心律感測器和內建機器學習演算法，來偵測使用者是處於快速動眼期、核心睡眠還是深度睡眠。另一個新功能則是藥物追蹤，使用者可在Apple Watch和iPhone設定服藥提醒時間，美國用戶還能收到藥物交互作用的提醒。<a href="https://www.apple.com/newsroom/2022/06/watchos-9-delivers-new-ways-to-stay-connected-active-and-healthy/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/product/os/watchos/standard/Apple-WWDC22-watchOS-9-iPhone13Pro-AFib-History-220606_inline.jpg.large_2x.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿拉伯聯合大公國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EMR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料權 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>阿拉伯聯合大公國改版EMR系統，讓民眾也能擁有就醫資料</strong></span></p> <p>杜拜衛生局（DHA）是監管阿拉伯聯合大公國醫療系統的政府單位，最近改版了現有電子病歷（EMR）系統Salama，讓民眾也能從DHA App中，看到自己的就醫資料，像是處方箋、藥物、預約訊息和臨床診療結果等。</p> <p>進一步來說，Salama目前擁有500多萬人的醫療資料，也與DHA所屬公家醫院、基層醫療診所、專科中心和幾家私立醫院等醫療機構互通資料。這次改版除了讓民眾更容易取得醫療資料，還提供DHA的遠距照護服務。<a href="http://wam.ae/en/details/1395303052549">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 榮家 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G專網 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧長照 </span></strong></span></p> <p><span style="font-size:22px;"><strong>岡山榮家率先導入5G AIoT遠距照護系統，未來要擴大到全臺分院</strong></span></p> <p>岡山榮家日前導入5G AR+AIoT智慧照護系統，要用5G專網和AIoT設備，來強化遠距照護服務。這套系統由許多團隊協力打造，如即時共享長照資料的高雄榮總，以及負責用5G O-RAN技術打造5G長照專網的中華電信，還有負責整合的中華電信子公司中華系統。他們在退輔會支持下，以岡山榮家為示範場域，先利用5G長照專網，來與高雄榮總進行遠距會診。如此一來，住民不必出門，就能得到合適的照護。</p> <p>中華電信指出，未來，團隊計畫將5G智慧長照系統，擴大到全臺16所榮家和國內其他長照機構，甚至推廣至海外市場。<a href="https://www.facebook.com/100069348363890/posts/pfbid02DnwQcX7UiBR8wRqN3uVmHkRCEE4subq8oaLxvWSLqhcQj1Y1ke1hVKpuGmt5tRNEl/?d=n">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.30808-6/285543636_324285629893047_653994996601573531_n.jpg?_nc_cat=108&ccb=1-7&_nc_sid=730e14&_nc_ohc=c_VU0Y_SAFgAX9k7fZv&tn=Ean5VNVQrOu3VTS3&_nc_ht=scontent-tpe1-1.xx&oh=00_AT_tEvxSu55FDFh6rGkwy7W3btguIx9cmL0keFPOEYxRoQ&oe=62B5EDF9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 勒索軟體 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sophos </span></strong></span></p> <p><span style="font-size:22px;"><strong>醫療資安報告：醫院勒索軟體攻擊次數2年翻倍</strong></span></p> <p>近日，一份針對醫療機構的資安報告顯示，2021年66%的醫療機構遭受至少一次勒索軟體攻擊，幾乎是2020年34%的2倍。這份資安報告名為2022年醫療勒索軟體狀態（The State of Ransomware in Healthcare 2022），由資安公司Sophos贊助完成。該調查在今年早些時候，詢問了全球31個國家供5,000名醫療IT專員，結果發現，隨著勒索軟體即服務（Ransomeware as a service）的普及，攻擊門檻降低，醫療機構也遭受越來越多的攻擊。</p> <p>不過，報告也指出，醫療機構有61%的攻擊導致資料加密，比全球的65%要低，這也意味著，醫療機構更能在勒索軟體攻擊時，停止資料加密。報告也點出，越來越多醫院開始購買資安保險契約，意味著醫院必須投入更多資源，來建立資安防護。<a href="https://assets.sophos.com/X24WTUEQ/at/4wxp262kpf84t3bxf32wrctm/sophos-state-of-ransomware-healthcare-2022-wp.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-20%20at%203_02_18%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高雄 </span></strong></span></p> <p><span style="font-size:22px;"><strong>甲骨文完成收購電子病歷龍頭廠商Cerner，要建全國統一資料庫</strong></span></p> <p>甲骨文最近完成收購電子病歷（EMR）軟體龍頭之一的Cerner，還要計畫建立美國全國統一的電子病歷資料庫。甲骨文去年底宣布以283億美元收購Cerner，繼今年1月美國證管會同意後，6月初也獲得歐盟主管機關核准。甲骨文宣布收購案於6月8日完成，取得Cerner 69.2%股權。甲骨文技術長Larry Ellison近日表示，美國病歷紀錄散在各醫院資料庫，難以互通、整合，導致受傷或生病的外地病患無法在急救時取得相關資訊。而分散的醫療資料，也讓美國公衛主管機關無法及時取得24小時內因COVID-19入院的病患人數。</p> <p>為解決這個問題，甲骨文打算建立一個整合性的全國匿名資料庫，來統整數千個分散在各醫院的雲端資料庫，解決醫護人員對電子病歷及醫療紀錄取得問題。<a href="https://www.oracle.com/news/announcement/oracle-completes-acquisition-of-cerner-2022-06-07/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急性腎損傷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NHS </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google面臨英國健保資料濫用的集體訴訟</strong></span></p> <p>5月中，Google傳出將面臨英國健保署集體訴訟，因其子公司DeepMind於2016年時，執行倫敦Royal Free國家健康服務基金信託的急性腎損傷預測App專案，在病患不知情和未同意的情況下，使用了160萬名英國健保署NHS管轄下的患者資料。</p> <p>當時，DeepMind從倫敦Royal Free國家健康服務基金信託接過資料，用來開發一款名為Streams的手機App，可預測患者發生急性腎損傷的風險，Royal Free也以折扣價使用該App。後來，隨著資料隱私意識越趨重要，英國負責資料隱私的部門ICO先判定Royal Free提供的資料不合隱私規範，最近，個人Andrew Prismall則將對Google提起集體訴訟。<a href="https://www.mishcon.com/news/new-claim-against-google-and-deepmind-technologies-for-unauthorised-use-of-confidential-medical-records">（詳全文）</a></p> <p>圖片來源／雲象科技、蘋果、岡山榮家、Sophos</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. HL7 Taiwan獲HL7國際總會授權將舉辦12周基礎課程，範圍涵蓋導論、HL7 V2.X、HL7 CDA R2與FHIR</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/20 15:24作者王若樸https://www.ithome.com.tw/news/151524
【資安日報】2022年6月20日，西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞中，漏洞修補的消息相當值得留意，其中對於西門子工控網路管理系統SINEC的修補，通報相關漏洞的資安人員指出，當中有2個漏洞最為嚴重，因為攻擊者一旦串連加以利用，就有可能取得NT AUTHORITY\SYSTEM權限，進而掌控受管理的工控設備。</p> <p>微軟對於遠端桌面連線（RDP）的漏洞修補，近期出現了修補完成後漏洞仍可被利用的情況。研究人員針對微軟在1月例行修補（Patch Tuesday）處理的漏洞CVE-2022-21893，揭露該漏洞的細節，並指出他們後來發現可繞過修補程式的管道。對此，微軟於4月的例行修補發布更新軟體因應。</p> <p>一般的殭屍網路主要由電腦或伺服器組成，但最近歐美執法單位摧毀殭屍網路基礎設施的行動中，他們摧毀了由各式各樣的連網裝置所組成的Rsocks，組成的裝置類型可說是目不暇給。比較特別的是，經營該殭屍網路的駭客提供了租賃的方式，讓客戶能輕易操縱大量連網裝置發動攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> </div></div></div>
2022/6/20 16:41作者周峻佑https://www.ithome.com.tw/news/151525
Telegram正式推出付費訂閱服務Telegram Premium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://telegram.org/blog/700-million-and-premium/" target="_blank">通訊平臺Telegram周日（6/19）正式發表付費訂閱服務Telegram Premium</a>，將提供各種獨家功能予付費訂閱用戶，每月訂閱費用為4.99美元。此外，Telegram也宣布，在完全沒有購買廣告之下，該程式光靠使用者的口碑行銷就達到了7億的每月用戶數。</p> <p>Telegram表示，Telegram Premium將用來支持該平臺的開發，而既有的服務也將維持免費。</p> <p>訂閱用戶可上傳最高4GB的檔案，可以最快的速度下載檔案，可追蹤1,000個頻道，建立20個聊天文件夾，支援第四個帳號，能夠釘選10個聊天室，儲存400個動畫檔，支援聲音轉文字功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Telegram%20Premium-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Telegram</span></span></p> <p>此外，訂閱用戶還可享有每月更新的獨家貼紙，獨家的表情符號，進階的聊天管理工具，動態的個人檔案照片，以及訂閱用戶專屬的星號標章，專屬的程式圖示，而且完全沒有廣告。</p> <p> </p> </div></div></div>
2022/6/20 13:39作者陳曉莉https://www.ithome.com.tw/news/151522
Meta即將於臉書、IG及Messenger上推出Avatars商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/zuck/posts/10114529132448901" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）18日透過臉書宣布</a>，即將於臉書、Instagram及Messenger上推出Avatars Store，以讓使用者可以替自己的虛擬替身添購新裝，預計下周開始於全球市場陸續上線。</p> <p>祖克柏表示，數位商品將是使用者於元宇由中用來表達自己的重要途徑，也是創意經濟的最大驅動力，他很期待納入更多的品質，以及將Avatars Store帶至VR世界，祖克柏還以自己與妻子的虛擬替身作了換裝的示範。</p> <p>臉書是在2019年推出虛擬替身服務，讓使用者可建立自己的虛擬替身，作為個人檔案中的大頭貼。不過，迄今臉書並未公布建立或採用虛擬替身的用戶比例。</p> <p>如同虛擬替身服務是從澳洲、紐西蘭、歐洲、北美等地依序上線，Avatars Store下周起將率先現身於美國、加拿大、泰國與墨西哥。</p> </div></div></div>
2022/6/20 12:23作者陳曉莉https://www.ithome.com.tw/news/151520
比特幣周末一度跌破1.8萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>比特幣（Bitcoin）在臺北時間19日的凌晨5點一度跌破1.8萬美元，在24小時內，從20,600美元跌至17,786美元，創下了該幣自2020年11月以來的新低。儘管隨後比特幣即開始上揚，但僅回檔至2萬美元左右震盪。</p> <p>在今年1月的高峰時，比特幣還有47,739美元的價格，若以17,786美元來計算，那麼這半年來比特幣跌幅超過62%。若再往前推算，比特幣在2021年11月創下的高峰為67,802美元，那麼跌幅更高達73%，比特幣的市值亦從去年11月的1.27兆美元，下滑至6月19日的3,620億美元。</p> <p>除了比特幣之外，身為全球第二大加密貨幣的以太幣（ETH）也未能倖免於難。它在與比特幣同一時段的24小時內，從1,093美元下挫至902.44美元，現在則已回升到1,069美元。</p> <p>以太幣的高峰也是出現在2021年的11月，當時創下了4,811美元的價格，902.44美元是2021年1月以來的新低，其市值亦從高峰時的5,600億美元，跌至6月19日的1,093億美元。</p> </div></div></div>
2022/6/20 12:54作者陳曉莉https://www.ithome.com.tw/news/151521
馬斯克希望推特用戶成長到10億，將深入參與產品開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151310" target="_blank">多次威脅要退出推特（Twitter）收購案的馬斯克（Elon Musk）</a>上周現身說法，說明他對推特的未來期望，包括成為10億用戶的社交平臺、以及他不在乎頭銜，但會更緊密參與產品開發。</p> <p><a href="https://www.youtube.com/watch?v=FLvTcRrzy20" target="_blank">馬斯克上周接受一個線上平臺的訪談中談及對推特未來願景</a>、以及他認為達成這個願景該怎麼做，同時也針對遠距工作、裁員說明他的想法。馬斯克希望推特能成為一個10億用戶的自由言論平臺。他以微信（WeChat）為例，中國大部份用戶線上所有活動基本上都在微信上，而推特也應該要成為這樣的平臺。另外，他也提及，TikTok的演算法使這個服務變得很有趣，也是可以取法的對象。</p> <p>但是現在推特距離這個目標還很遠，例如許多YouTuber只是利用推特來引導流量到YouTube上，但他們產出的內容不會停留在推特上。馬斯克認為這些內容應該要留在推特上。而為了要吸引更多用戶，馬斯克認為，推特必須從技術及設計面著手，找出其核心競爭力，建立成為包容度高、且讓用戶能自由發言、感到舒適，且用戶信任的平臺，使內容愈多愈好。而查緝假帳號、公開演算法也是為了建立用戶信任。</p> <p><a href="https://www.cnet.com/tech/twitter-earnings-cite-user-growth-as-musk-takeover-looms/" target="_blank">根據推特4月公布的數據</a>，它的經常用戶數為2.3億。</p> <p>馬斯克也針對推特裁員說明，這是維持公司永續經營不得不然。目前推特營收仍不足以應付成本，他說很高興推特已做了「合理」的調整，使營收大於成本，然而馬斯克強調不會大幅改變推特的組織。</p> <p>馬斯克前些日子要求特斯拉員工回公司上班，<a href="https://www.ithome.com.tw/news/151284" target="_blank">引起其他公司向其員工招手</a>。在上周的訪談他也說明對遠距工作的態度。他指出，製造汽車及供應鏈、交付基本上不可能遠端完成，人一定要在工廠。特斯拉也是有些角色如軟體和設計可以在遠端完成，可是人在公司的生產力較高，而且員工至少也必須三不五時見一見同事。但他說，特斯拉仍然允許部門經理列出特別優秀的員工，允許他們遠端作業。</p> <p>在被問及他未來在推特的角色，是否會以CEO角色主導策略時，馬斯克說他不在乎頭銜。作為CEO有很多其他雜務要做，他倒也不會推辭，但是因為他是推特的重度用戶，馬斯克最在乎的是深切參與業務，以及產品功能的設計發展，一如他在特斯拉，和工程和生產部門一起工作。</p> </div></div></div>
2022/6/20 11:22作者林妍溱https://www.ithome.com.tw/news/151517
TikTok將美國流量導向甲骨文以避免爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/delivering-on-our-us-data-governance" target="_blank">TikTok上周宣布</a>，未來美國地區的使用流量將全部導向甲骨文（Oracle），以避免美國用戶資料外流中國的疑慮。</p> <p>這項行動是為了平息稍早美國媒體《BuzzFeed News》一篇報導引發的爭議。<a href="https://www.buzzfeednews.com/article/emilybakerwhite/tiktok-tapes-us-user-data-china-bytedance-access" target="_blank">媒體取得</a>TikTok內部9名員工的會議語音紀錄，顯示至少從2021年9月到2022年1月，中國TikTok的工程師可以存取美國用戶流量。</p> <p>報導取得的紀錄包含TikTok工程人員和公司主管及外部顧問公司的小型會議紀錄。紀錄顯示，美國用戶流量資料要傳到哪，必須問中國員工，美國員工不知道，也無權決定如何存取這些流量。</p> <p>報導指出，TikTok為了美國用戶流量在美、中兩地之間傳送，還由美國技術服務團隊啟動Project Texas負責，並找來外國顧問公司Booz Allen Hamilton協助，負責調查資料如何流向TikTok及母公司字節跳動（ByteDance）的內部工具，包括資料視覺化、內容管制及營利。中國TikTok的工具可以把一切內容「看得一清二楚」。而2021年2月加入Project Texas專案的Booz Allen Hamilton顧問也表示，TikTok可能有存取幾乎所有用戶資料的後門。</p> <p>雖然美國TikTok技術服務負責確保美國用戶資料隱私，也表示中國官方不被允許加入這個計畫，但是這個部門則是向中國字節跳動主管報告。</p> <p>TikTok周五否認有把資料傳到中國。<a href="https://newsroom.tiktok.com/en-us/delivering-on-our-us-data-governance" target="_blank">該公司美國安全公共政策Albert Calamug表示</a>，TikTok向來將美國用戶的資料儲存在美國和新加坡的伺服器，而在維吉尼亞州的資料中心，設有實體及網路安全控管，像是柵門、防火牆及入侵偵測技術。該公司也對備份美國資料用戶的新加坡伺服器善加維護，防止用戶資料遺失等災難情形。</p> <p>2019年前任美國總統川普因為TikTok母公司字節跳動的中國公司背景，要求字節跳動將TikTok美國業務經營權賣給美國企業否則將把它下架。微軟一度有意收購，不過9月間甲骨文半路殺出，<a href="https://www.ithome.com.tw/news/139979" target="_blank">買下TikTok的美國經營權</a>。</p> <p>TikTok指出，一年多來該公司持續和甲骨文規畫防護App、系統和美國用戶資料安全的多種措施，現在他們已做出一項決定，將變更美國用戶資料的預設儲存地點，美國用戶流量將100%傳到Oracle Cloud基礎架構，同時把美國用戶的私人資料由原本維吉尼亞州資料中心刪除。而備份則持續由美國和新加坡資料中心負責。</p> <p>TikTok也將和甲骨文合作開發資料管理協定，由甲骨文稽核和管理。此外，他們的組織也會隨著變動，由最近成立的新部門及美國管理團隊來管理TikTok美國用戶資料，並提供更多防護，以便將資料流向境外的風險降至最低。TikTok承諾未來還會持續強化美國用戶的資料保護。</p> </div></div></div>
2022/6/20 12:01作者林妍溱https://www.ithome.com.tw/news/151518
比爾.蓋茲認為NFT風潮是基於博傻理論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟創辦人比爾.蓋茲（Bill Gates）上周參加由TechCrunch舉辦的TC Sessions: Climate 2022座談會時，被問及對於非同質化代幣（Non-Fungible Token，NFT）的看法，<a href="https://twitter.com/TechCrunch/status/1536827913852465152" target="_blank">結果蓋茲直接說他認為NFT風潮百分之百奠基於博傻理論（Greater Fool Theory）上</a>，相信後來的人願意出比自己還要多的錢買下它。</p> <p>TC Sessions: Climate 2022會議其實主要是在討論各種用來改善氣候變遷的技術，蓋茲則是以Breakthrough Energy創辦人的身分出席，這也是蓋茲近年來主要的活動，透過Breakthrough Energy投資各種開發新能源的新創公司，例如可儲存再生能源的大容量電池，或是來自微生物的生物燃料等。</p> <p>在談到NFT時，蓋茲開了一個玩笑，指稱昂貴的猴子數位圖像將大幅度地改善世界。蓋茲指的明顯是今年已創下逾10億美元銷售金額的無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）。</p> <p>BAYC為Yuga Labs於去年4月發表的以太坊區塊鏈專案，由1萬個無聊猿猴圖像的NFT所組成，每個無聊猿猴都有獨特的造型、表情或特色，當時每個猿猴NFT的售價只有0.08個以太幣（ETH），約190美元，但它們很快就售罄，之後轉售的價格即不斷地飆升，就算是在全球加密貨幣與NFT都風聲鶴唳的現在，<a href="https://opensea.io/collection/boredapeyachtclub" target="_blank">一個無聊猿猴目前在OpenSea上</a>最便宜的價格，也要90個以太幣。</p> <p>對於NFT的玩家而言，BAYC不僅是個收藏品，因為Yuga Labs曾明訂收藏家可自由使用、陳列與複製BAYC，還可進行商業行為，亦著手替BAYC用戶開發各種會員服務。不過，並非所有的NFT產品都具備完整的所有權，有些NFT產品甚至只是個序號，不許重製或出售複製品。</p> <p>總之，蓋茲明白表示，他所投資的都是開發技術或產品的公司，或者是農場，並未涉及任何的加密貨幣或NFT，也認為這些新興的資產可能是為了規避賦稅等各國政府的規定而誕生的。</p> </div></div></div>
2022/6/20 12:14作者陳曉莉https://www.ithome.com.tw/news/151519
Canonical釋出專替IoT與嵌入式裝置設計的Ubuntu Core 22
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu.com/blog/canonical-ubuntu-core-22-is-now-available-optimised-for-iot-and-embedded-devices" target="_blank">Canonical於15日釋出了Ubuntu Core 22</a>，它奠基在今年4月出爐的Ubuntu 22.04長期支援版（LTS）上，針對IoT與嵌入式裝置最佳化的版本，也是第四個Ubuntu Core版本。</p> <p>Canonical指出，IoT裝置製造商目前面臨的難題在於要在預算內按時部署裝置，也必須在擴充裝置的同時確保安全性及大規模的遠端管理能力，而Ubuntu Core 22即可滿足相關需求，並擁有半導體與ODM合作夥伴的支持，同時履行Canonical提供可靠開源碼的承諾。</p> <p>Ubuntu 22.04中對Ubuntu Core 22而言最重要的功能之一，為尚處於測試階段的即時核心（Real-time kernel），它採用搶占式多任務處理，可根據任務的優先順序執行，由作業系統完全決定進程調度方案。這是Canonical替電信網路要轉型至5G的需求而設計，它替關鍵基礎設施帶來了效能、保證超低延遲與安全性，且同樣也適用對延遲敏感的工業自動化及機器人設備。</p> <p>Ubuntu Core提供一個完全容器化的Ubuntu，把Ubuntu映像檔拆分成不同的封包，諸如核心、作業系統與應用程式等，每個封包都有獨立的沙箱，並含有應用程式所需的元件，使得它更可靠亦可攜。</p> <p>此外，每個執行Ubuntu Core的裝置都有專用的IoT App Store，以用來控制裝置上所運作的各種程式，該程式商店提供企業等級的軟體解決方案，包含多項新的就地部署功能，亦能透過網路更新核心、作業系統與應用程式，就算更新除錯了，亦可自動回滾至先前的版本。</p> </div></div></div>
2022/6/20 10:29作者陳曉莉https://www.ithome.com.tw/news/151515
歐洲第一座Exascale超級電腦2023年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Exascale等級的超級電腦已成為各國追求的目標。<a href="https://digital-strategy.ec.europa.eu/en/news/eu-enters-exascale-era-announcement-new-supercomputing-hosting-sites" target="_blank">歐洲高效能運算聯合任務中心（European High Performance Computing Joint Undertaking，EuroHPC JU）宣布第一座Exascale等級超級電腦明年將在德國上線運行</a>。</p> <p>EuroHPC JU已選定德國利希研究中心（Forschungszentrum Jülich）代管及運行其第一臺超級電腦名為JUPITER，後者將以至少1 exaflops運行，預計2023年上線，並提供學界進行健康、生物、氣象、能源、安全及材料等研究。</p> <p><a href="https://www.fz-juelich.de/en/news/archive/press-release/2022/first-european-exascale-supercomputer-coming-to-julich" target="_blank">JUPITER總造價5億歐元</a>，由EuroHPC JU及德國教育研究部和地方政府各出資一半。完成後將由利希高效能中心負責營運，後者已經擁有兩座超級電腦包括JUWELS（下圖）及JURECA，前者位居全球500大電腦的第11。</p> <p class="rtecenter"><img alt="" src="https://www.fz-juelich.de/de/aktuelles/news/pressemitteilungen/2022/exascale-standort-entscheidung/2022_06_10_jsc_018-1500-c1.jpg/@@images/image" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Copyright: Forschungszentrum Jülich / Sascha Kreklau</span></span></p> <p>如同JUWELS，JUPITER也將採用模組化架構，可整合運行不同模組。利希研究中心表示，這使得複雜的運算模擬可分散到不同模組，確保多種硬體可被最佳化利用，也能用於整合未來技術，像是量子運算或仿神經網路（neumorphic）模組。</p> <p>但在基本設定中，JUPITER包括GPU為基礎的運算加速器，可用於提升大量平行運算應用，以計算氣候模型、開發新材料、模擬細胞及能源系統、推行基礎研究或訓練次世代高運算量的機器學習演算法。</p> <p>作為超級電腦，JUPITER一大挑戰是大量耗電，平均電耗達15百萬瓦。但研究單位是以「綠色超級電腦」為精神打造JUPITER，計畫引用可再生能源，並使用熱水冷卻系統，除能減少散熱，還能回收產出的熱氣。和JUWELS一樣，JUPITER也將連接研究中心的低溫管線網路，提供園區暖氣需求。</p> <p>EuroHPC另外也宣布4座中階包括petascale及pre-exascale高運算效能系統的合作計畫，分別位於希臘、匈牙利、愛沙尼亞及波蘭，將用於精準醫療、新藥開發、新材料、氣候變遷及生物工程等研究。</p> <p>EuroHPC現有超級電腦LUMI屬於前Exascale（pre-exascale）超級電腦（下圖），目前是全球排名第3的超級電腦。<a href="https://www.ithome.com.tw/news/151216" target="_blank">第一名是位於橡樹嶺國家實驗室的Frontier</a>，剛擠下日本理化學研究所的Fugaku。Frontier也是第一座實質標竿測試超越1 ExaFLOPS的超級電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-LUMI%20supercomputer-image%20by%20Pekka%20Agarth-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">image: Pekka Agarth</span></span></p> </div></div></div>
2022/6/20 11:00作者林妍溱https://www.ithome.com.tw/news/151516
多國聯手破獲由數百萬個裝置組成的俄羅斯殭屍網路Rsocks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation" target="_blank">美國司法部在16日宣布</a>，已與德國、荷蘭及英國的執法機構合作，共同摧毀了由俄羅斯駭客入侵全球數百萬個裝置所建立的Rsocks殭屍網路的基礎設施。</p> <p>根據調查，Rsocks殭屍網路主要是由物聯網裝置所組成，但成員非常地多元，涵蓋工業控制系統、打卡鐘、路由器、影音串流裝置、智慧型車庫開啟裝置，之後再擴張至Android手機與電腦，總之就是那些可透過網路通訊，並具備IP位址的設備。</p> <p>Rsocks提供了殭屍網路的租賃服務，允許客戶存取其網路的裝置IP並引導這些裝置的流量，只要透過瀏覽器就能存取Rsocks平臺，每天30美元就能存取2,000個裝置，200美元可存取9萬個裝置，購買後即可下載裝置IP位址名單，並引導這些裝置的流量至目標對象，有大量的Rsocks平臺客戶利用該服務展開密碼填充攻擊，取得受害者的社交網路帳號，或是寄送網釣郵件。</p> <p>分析顯示，Rsocks殭屍網路主要是將受害裝置轉成代理伺服器，以隱藏客戶的惡意行為。</p> <p>其實美國聯邦調查局（FBI）早在2017年就鎖定Rsocks，當時FBI調查員曾偽裝成買家以向Rsocks租賃服務，目的是為了辨識受害裝置與了解Rsocks的基礎設施，發現Rsocks主要的入侵手法為暴力破解攻擊，取得受害裝置的密碼之後便持續與受害裝置維持連結，這些受害裝置分布在大學、醫院、電視臺、電子產品製造商及個人家中等。</p> </div></div></div>
2022/6/20 10:10作者陳曉莉https://www.ithome.com.tw/news/151514
【兼具高擴展性、高效能與高可靠性的分散式儲存平臺】WekaIO WekaFS建立新生代高效能檔案系統的標竿
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wekafszhu_tu_1_tu_pian_lai_yuan_wekaio-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WekaIO，立捷速能</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去3、4年來，WekaIO堪稱最受矚目的新創儲存廠商之一，憑藉在IO500等高效能運算（HPC）排行榜的突出表現，該公司的WekaFS檔案系統，與Intel DAOS、Lustre等老牌分散式檔案系統分庭抗禮，成為重要的HPC儲存平臺之一。</p> <p><span style="font-size:28px;"><strong>高效能儲存系統的後起之秀</strong></span></p> <p>WekaIO成立於2014年，公司總部設於美國加州，研發總部在以色列特拉維夫，3位創辦成員來自另一家以色列新創儲存廠商XIV（2008年為IBM併購）。</p> <p>在2017年7月WekaIO結束隱形營運模式，正式發表了命名為Matrix的高效能平行分散式檔案系統，簡稱MatrixFS，也就是今日WekaFS檔案系統的前身。</p> <p>推出產品之後，從2017年下半年起，WekaIO隨即與聖地牙哥超級電腦中心、HPE、Intel等單位合作，展開了MatrixFS檔案系統的測試，展現這套檔案系統作為高效能儲存平臺的潛力。</p> <p>接著從2018年起，WekaIO在IO500高效能運算系統儲存效能榜單，締造了一連串佳績，在儲存市場聲名大噪。首先是在SC18大會公布的IO500榜單中，於10節點測試項目取得第2名成績，1年後在SC19大會中，WekaFS搭配AWS平臺組成的345節點系統，更一舉在IO500總榜單奪得第1。</p> <p>雖然WekaIO藉由在IO500排行中掄元，達到打響名號的目的之後，便未再進一步升級WekaFS on AWS測試平臺的規格，以致在IO500榜單中的排名逐漸下滑，為新的競爭對手超越。不過，即使過了3年以後，在SC21與ISC22大會發布的最新2份IO500榜單中，WekaFS on AWS當年締造的成績，依然能名列第9與第12，這些都已足以證明這家後起之秀，具備了與眾多老牌儲存平臺抗衡的實力，影響力也不斷擴大。</p> <p>以ISC22大會的最新IO500榜單為例，入榜的83套系統中，採用WekaIO WekaFS的系統便占了6套，在高效能運算領域已占有一席之地。</p> <p>在商業應用領域，WekaIO的影響力逐漸擴大，除了自身品牌的產品，還有許多大廠也將WekaFS引進他們的產品線。</p> <p><span style="font-size:28px;"><strong>WekaFS的基本架構</strong></span></p> <p>WekaFS是誕生於NVMe時代的分散式的平行檔案系統，是基於NVMe SSD來建構儲存層，可橫跨多臺實體或虛擬伺服器，將伺服器所內含的NVMe SSD，以叢集的方式建構成為統一的儲存池，以因應隨機、循序、大資料與小資料等不同存取型態的需求，並透過S3、SMB、NFS等標準的物件與檔案儲存協定，來為前端主機提供存取服務，還具備數千節點等級的大規模橫向擴展（Scale-Out）能力，以及橫跨本地端與雲端的分層儲存架構。</p> <p>基於NVMe SSD的儲存層設計，固然是WekaFS高效能表現不可或缺的關鍵，但僅依靠硬體支撐，還不足以讓WekaFS在高效能運算領域脫穎而出，WekaIO之所以力壓許多老牌分散儲存系統，更重要的還是專屬軟體架構的貢獻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>WekaFS檔案系統的基本架構</strong></span></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統兩大部分組成，一是由儲存端的儲存主機（儲存節點），另一是用戶端的應用伺服器。在儲存端，可橫跨多臺儲存主機組成儲存叢集，將儲存主機內含的NVMe SSD構成單一的全域命名空間，還可搭配本地端或公有雲的S3物件儲存設備，組成分層儲存架構。以儲存叢集的建置組態而言，WekaFS的最基本的儲存叢集規模是以6臺儲存主機組成，最大則可擴展到上千臺以至數千臺儲存主機。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>而在用戶端方面，應用伺服器則可透過標準的NFS、SMB等檔案傳輸協定或S3物件儲存協定，來存取WekaFS的檔案系統空間，也能透過Nvidia的GPUDirect傳輸協定，與基於Nvidia GPU的運算平臺直連。</strong></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>容器化的核心架構</strong></span></span></p> <p>WekaFS是由兩大部分組成：位於後端、負責提供儲存服務的Weka儲存主機（Storage Host）（早先稱為儲存節點），以及位於前端的Weka用戶端（Weka Client）（也稱為應用伺服器Application Server），特別之處在於，WeksFS採用少見的容器化部署架構，並含有自身的獨立作業系統。</p> <p>所有支撐WekaFS架構的核心元件，都是在Linux容器（Linux Container，LXC）的用戶空間，透過自身的即時作業系統（RTOS）來運行。這些在RTOS中執行的元件包括：</p> <p>負責管理多協定存取服務的檔案服務元件（File Service），負責管理資料分布、資料保護與metadata的檔案系統叢集元件（File System Cluster），用於將SSD轉換為網路儲存裝置的SSD Access Agent，提供命令列指令管理、狀態監控的管理節點（Management Node），以及用於存取物件儲存區的物件連接器（Object Connector）。</p> <p>透過整合於Linux容器內的RTOS運作架構，WekaFS可獲得下列兩大效益：</p> <p>第一，藉此實現系統部署的容器化與微服務化，提高應用靈活性與效能。在實體主機中，用戶可部署多個分別用於NFS、SMB、S3等儲存服務的容器，並透過橫跨多個容器的存取架構，讓WekaFS獲得更高的平行處理能力，以及更多的處理器與記憶體資源。</p> <p>第二，藉此實現系統的獨立性與高效能。部署在容器內的WeksFS可與主機上的其他程式與服務隔離，並透過RTOS自行管理與調度硬體資源（儲理器核心、記憶體、網路卡與SSD）、管理記憶體、I/O與網路堆疊，擺脫對於Linux Kernel的依賴。</p> <p>WekaIO宣稱這樣的架構，可以將處理器切換處理不同執行程式的上下文交換（context switch）降到最低，縮短I/O路徑，減少延遲。而且，這種架構也便於跨平臺部署與系統更新，既可移植部署到不同的實體或VM環境，也能獨立於底層的Linux外，更新WekaFS的前端與後端元件。</p> <p>為了改善傳輸效能，WekaFS的網路傳輸介面、應用程式存取介面，以及metadata架構，都有專屬的設計。</p> <p>在網路傳輸方面，WekaFS不用標準的Linux Kernel TCP/IP，而是以DPDK（Data Plane Development Kit）連結網路卡與LXC容器，並透過Weka protocol over UDP來連結用戶端與儲存端，藉此可避開Linux Kernel帶來的效能瓶頸，提高傳輸效能，減少延遲。</p> <p>WekaFS還以專屬的虛擬檔案系統（Virtual File System）核心驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面，既能提供完整的存取功能，又具備更高的效能。</p> <p>在metadata架構方面，WekaFS採用分散式架構，將metadata分散到整個叢集當中，不像許多其他平行檔案系統因採用獨立metadata服務，因而導致了效能瓶頸。</p> <p>同時，WekaFS具有稱作「自適應快取（Adaptive Caching）」的獨特快取加速功能，提供資料快取與metadata快取來減少存取延遲，特別有助於含有大量小型檔案與metadata的應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%962%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的容器化核心架構</strong></span></p> <p><span style="color:#696969;"><strong>有別於一般的檔案系統，WekaFS檔案系統既非裸機部署，也非透過VM部署，而是將核心元件部署在Linux容器（LXC）的用戶空間內，並透過自身的RTOS作業系統來調度硬體資源，擺脫對於Linux Kernel的依賴，有助於提高部署彈性，並提高效能、減少延遲。</strong></span></p> <p><span style="color:#696969;"><strong>為了獲得最佳化的效能，WekaFS的網路堆疊架構也不同於一般檔案系統，核心元件與底層硬體或上層應用程式的連結，都採用專屬的架構，而非一般常見的通用介面，例如WekaFS是透過專屬的SSD Agent與DPDK網路介面，分別用於連結NVMe SSD與網路卡，繞過了Linux Kernel。用戶端與儲存端的連結，也是採用專屬的Weka over UDP協定。</strong></span></p> <p><span style="color:#696969;"><strong>而在用戶端方面，這裡採用專屬的虛擬檔案系統（VFS）驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面。</strong></span>圖片來源／WekaIO，立捷速能</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>單一命名空間下的多檔案系統架構</strong></span></span></p> <p>許多Scale-Out NAS的檔案系統，都只支援單一檔案系統搭配單一命名空間，然後再透過目錄與配額來分派資源，對於不同的獨立用戶群組，必須建立新的獨立檔案系統與命名空間，以致形成不易管理的多個儲存孤島，而且，為了維持效能，還須避免目錄容量過大，導致必須建立更多的目錄，也增加管理的複雜性。</p> <p>相較之下，WekaFS則可在全域命名空間（global namespace），建立多個檔案系統（最多1,024個），每個檔案系統有獨立的用戶群組、存取權限、儲存分層設定與快照策略，還能即時變更容量，可靈活地調整儲存資源配置。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>彈性的部署型態</strong></span></span></p> <p>將WekaFS軟體安裝到基於Intel Xeon Scalable，或是AMD EPYC處理器的標準伺服器上，就能構成用於提供儲存服務的Weka儲存主機，WekaIO建議的最低安裝規格如附表所示，對於儲存裝置與網路介面規格的要求較高。</p> <p>在儲存裝置方面，每臺儲存節點須配備至少4臺NVMe SSD；網路卡方面雖然10GbE就能滿足最低要求，但WekaIO建議採用100GbE以上規格，才能獲得預期效能，WekaFS目前最高可支援200GbE與200Gb的InfiniBand HDR網路。</p> <p>一個WekaFS叢集環境最少需由6臺Weka儲存主機組成，以提供容忍其中2臺主機失效的可用性。最大叢集規模可達上千臺儲存主機，某些OEM廠商的資料甚至聲稱可達8,000臺儲存主機以上。</p> <p>在建置系統時，用戶可以選擇下列3種型式來部署WekaFS</p> <p>● 超融合式部署：將WekaFS安裝到運算節點上，與前端應用程式共享硬體資源，以便節省額外的儲存節點開銷。</p> <p>● 專用儲存伺服器部署：將WekaFS安裝在獨立的儲存伺服器上，不影響既有的運算節點架構，所有硬體資源都為WekaFS使用，也不受應用程式端的故障影響，具備較佳的效能、可靠性與擴展彈性。</p> <p>● 公有雲部署：將WekaFS安裝在公有雲的執行個體或虛擬機器上，如AWS的EC2執行個體，可獲得更彈性的資源配置，以及不受限的擴展能力。</p> <p>值得一提的是，當初WekaIO用於挑戰IO500的WekaFS on AWS測試站，便是標準的WekaFS公有雲部署模式。依據WekaIO的說法，任何用戶都可以仿效他們的做法，基於AWS的EC2執行個體，建構出同樣的高效能儲存平臺。</p> <p><span style="font-size:28px;"><strong>獨特的分層儲存架構</strong></span></p> <p>除了Weka儲存主機內含的NVMe SSD儲存空間，WekaFS也能搭配位於本地端或雲端、基於S3儲存協定的物件儲存設備，構成NVMe SSD加上物件儲存區的雙層儲存架構。</p> <p>而其中物件儲存設備的底層儲存裝置，可以是硬碟，或是硬碟搭配SSD的混合架構。</p> <p>我們只須將S3 Bucket儲存區配置給WekaFS，就可以將命名空間從NVMe SSD層延伸到物件儲存層，如單一命名空間般運作。</p> <p>同時，管理者還可以設定分層儲存政策，讓WekaFS將存取狀態較不活躍的檔案，從NVMe SSD層自動遷移到物件儲存層，藉此實現空間配置的最佳化。</p> <p>比較特別的是，WekaFS的分層儲存架構，是以盡可能讓每個檔案都能獲得高存取效能為優先，即使某個檔案被遷移到物件儲存層，原始檔案也會一直保留在NVMe SSD層上，充當快取使用，用戶仍可快速存取這個檔案，直到為寫入的新檔案覆蓋為止。</p> <p>更進一步來看，即使檔案被降級遷移到物件儲存層，該檔案的metadata始終還是保存在NVMe SSD層，所以，對於前端應用程式來說，所有檔案都是可以立即寫入的，無論檔案本體位於哪個分層上。</p> <p>此外，WekaFS也會透過監控NVMe SSD層的可用容量，當容量消耗到達高水位時，自動將資料遷到物件儲存層，確保NVMe SSD層始終有足夠容量。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料保護架構</strong></span></span></p> <p>如同多數分散式檔案系統，WekaFS也是採用stripe平行分散存取搭配parity的架構，來獲得高效能與資料保護能力。</p> <p>基本上，WekaFS的資料保護是以「故障域（Failure Domain）」為運作單位，1個故障域通常是1臺儲存主機，也可以是1座機架或公有雲服務區域，WekaFS會將寫入的資料分割為4k區塊組成的stripe，並產生parity，然後分散寫入儲存叢集的各個故障域儲存主機上。</p> <p>關於stripe的深度，我們可設為4到16之間的數值，一般而言，規模越大的儲存叢集，可以使用更大的stripe設定值，從而得到更高的效能。</p> <p>至於parity，則可設置為+2或+4，一般環境使用+2即可，若為數百臺規模的大型叢集，則可選用+4的設定，這可提供較常見的3副本架構更高的保護能力。</p> <p>在6臺儲存主機的最小叢集組態下，WekaFS支援4+2的stripe與parity設定，能承受2臺儲存主機或2個故障域失效。</p> <p>1個故障域內無論多少元件故障，WekaFS都視為單一故障域的失效，透過WekaFS的專屬演算法，屬於同一stripe的區塊，不會寫入同一個故障域，而會分散到不同故障域中，因而損失一個故障域的儲存主機時，只會損失stripe的單一區塊。WekaFS可利用parity重建損失的資料區塊，然後分散寫入其餘完好的故障域。同樣的，WekaFS用於因應元件失效的備用容量（spare space），也是均勻分散在所有故障域，所以當叢集出現失效元件時，是由叢集剩餘所有完好故障域一同提供備用容量。</p> <p>這也意味著，WekaFS的資料重建作業，是由所有完好的故障域主機一同參與，不會形成熱點，而且，叢集規模越大，參與重建的儲存主機越多，重建速度也將會越快。</p> <p>這種分散式的虛擬化備用容量架構，與當前許多新一代分散式RAID技術十分相似。然而，WekaFS是檔案系統，並不像RAID是在更底層的區塊層級上運作，因而WekaFS能識別儲存區中檔案實際占用部分，在執行資料重建時，能夠只重建受裝置故障影響的部份檔案，從而節省可觀的時間。</p> <p>相形之下，多數的RAID在執行重建時，由於區塊層級無法識別上層檔案的實際占用狀況，以致必須重建那些受影響設備或裝置上的所有區塊，包括空白區塊，因此，分散式RAID的資料重建速度，理論上要遜於WekaFS。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料服務功能</strong></span></span></p> <p>基於在WekaFS叢集本身的保護機制之餘，用戶也能透過WekaFS內含的快照功能（snapshot），來為個別的檔案系統製作副本，作為資料保護用途。</p> <p>WekaFS的快照是以檔案系統為單位運作，每個檔案系統允許建立最多4,096份快照副本，並可選擇建立唯讀或可讀寫兩種類型的快照（其中唯讀快照可轉換為可讀寫快照）。除了一般的指針式快照外，亦能建立檔案系統完整的Clone副本，但較消耗空間。</p> <p>另外，用戶還能利用WekaFS新提供的Snap-to-Object功能，將指定快照副本的完整資料（含metadata），複製到本地端或雲端的外部物件儲存設備上，作為遠端的備份副本使用，一旦來源端WekaFS叢集發生問題時，我們可以利用副本進行還原，或是將副本掛載到另一個WekaFS叢集上。</p> <p>Snap-to-Object這項功能可視為基於快照的非同步遠端複製，當第一次Snap-to-Object作業完成後，後續快照都是以增量方式傳輸與儲存，可大幅縮短作業時間。另外WekaFS還能以遠端備份功能，將快照傳送到第2座物件儲存設備上，構成3站點保護架構。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>系統管理與安全管理</strong></span></span></p> <p>WekaFS提供了網頁式GUI控制臺、命令列（Command Line Interface）、REST API等3種管理方式，後2者都是以指令方式運作，而GUI控制臺則能以儀表板方式顯示系統狀態，並透過點選方式，執行建立、擴展檔案系統，設定分層儲存政策，以及資料保護、加密、存取路徑與各式資料服務操作。</p> <p>在安全性方面，WekaFS支援3種存取權限管制機制，包括：LDAP、微軟的Active Directory，以及RBAC （Role-Based Access Control）。</p> <p>而在用戶的權限配置上，WekaFS則分為下列5種等級：叢集管理者（擁有管理WekaFS叢集全部權限）、組織管理者（多租戶環境下，可管理所屬租戶範圍的全部權限）、正常使用者（可掛載與存取檔案系統，但不能操作管理控制臺與CLI指令）、唯讀用戶（只能掛載與讀取檔案系統，不能寫入資料），以及S3使用者（只能執行S3物件儲存指令）。</p> <p>WekaFS也提供完整的全面加密功能，如遵循FIPS 140-3等級1標準的密鑰，以及XTS AES 512位元加密，用戶建立檔案系統的時候，可選擇是否啟用加密保護。WekaIO宣稱，啟用加密功能之後，對於WekaFS整體效能的影響很低，幾乎可以忽略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%963%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的控制臺介面</strong></span></p> <p><span style="color:#696969;"><strong>在系統管理介面上，WekaFS提供網頁控制臺與命令列等兩種選擇，上圖為用於參與IO500測試的WekaFS on AWS叢集的圖形介面（GUI），提供直觀的系統狀態儀表板，並能透滑鼠點選來執行組態設定與資料服務功能。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>與容器應用與AI平臺的整合</strong></span></span></p> <p>針對日漸普及的Kubernetes容器應用環境，WekaFS也特別提供專門的CSI（Container Storage Interface）Plug-in程式，作為Kubernetes的持續性儲存區（Persistent Volumes，PVs）連接WekaFS的介面，利用CSI介面還能使用容量配額功能，以此管理容器端應用程式的空間耗用。</p> <p>而針對高效能分散式平臺的一大主要應用情境——AI與機器學習應用，WekaIO也提出了標準的參考架構，幫助用戶的整合。</p> <p>透視WekaIO的AI參考架構，主要是安裝在8臺HPE ProLiant DL325伺服器而成的8節點WekaFS儲存叢集，搭配1至4臺Nvidia的DGX A100運算伺服器，WekaFS儲存叢集以200GbE網路連到2臺Nvidia Spectrum SN3700交換器，再以100GbE網路連接DGX A100，至於多臺DGX A100之間，則利用200Gb InfiniBand HDR網路互連。</p> <p>關於上述AI參考架構的組態，WekaIO已測試與驗證，在實際應用環境中，還可進一步擴充WekaFS儲存叢集的規模，獲得額外效能與容量。</p> <p><span style="color:#000000;"><span style="font-size:28px;"><strong>新世代檔案系統的標竿</strong></span></span></p> <p>與既有的分散式平行檔案系統相比，WekaFS同樣具備高擴展性與高效能，還擁有一系列嶄新的特性，包括基於NVMe SSD最佳化的底層儲存架構設計，容器化與微服務化的部署型態，涵蓋物件儲存的多協定支援與分層儲存，還有基於分散架構的高速資料重建能力等，可說實現了當前對於新一代分散式檔案系統的期望，兼具高效能、高擴展性、靈活的部署型式、彈性的應用環境支援，以及高可靠性與安全性。</p> <p>基於上述理由，WekaFS也獲得眾多一線大廠的青睞，以將WekaFS引入自身產品線，作為提供AI、巨量資料分析應用的儲存平臺，也讓WekaIO的影響力跨出自身品牌之外。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><span style="font-size:48px;"><span style="color:#3399ff;">其他廠商的WekaFS儲存產品</span></span></p> <p> </p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 36px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-WekaFS%E4%B8%BB%E5%9C%964%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO(2).png" style="width: 600px;" /></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hitachi Vantara HCSF </span> </strong></span><strong style="color: rgb(105, 105, 105);">HCSF是由WekaIO的WekaFS檔案系統，結合Hitachi Vantara伺服器而成的分散式儲存系統。</strong><span style="color: rgb(105, 105, 105);">圖片來源／Hitachi Vantara</span></p> <p><strong>憑藉著經過多次實證的高效能表現，WekaIO的WekaFS獲得眾多一線大廠的青睞，成為高效能運算領域最炙手可熱的新興檔案系統。目前已知有Cisco、Dell、Lenovo、HPE、Hitachi Vantara等大廠，都陸續將WekaFS引進自身產品線，將自身的硬體與WekaFS整合，作為支援AI、機器學習等應用的高效能儲存平臺。</strong></p> <p><strong>臺灣企業或組織若有意評估這項解決方案，可洽詢WekaIO代理商立捷速能取得原版WekaFS，也能從Hitachi Vantara取得OEM版的WekaFS產品，稱為Hitachi Content Software for File（HCSF）。</strong></p> <p><strong>HCSF系統的核心同樣也是WekaFS，與WekaIO原廠產品相比，特色是儲存節點的預先整合，以及提供了預設的物件儲存設備搭配方案。</strong></p> <p><strong>透過WekaFS與伺服器預先整合，Hitachi Vantara組成完整的儲存節點套件，可簡化用戶的建置與部署作業。不久之前，Hitachi Vantara更新與擴展HCSF的硬體規格，該公司最初提供的HCSF硬體，主要搭配Advanced Server系列當中的DS120伺服器，採用1U尺寸的機箱，預設搭載Intel Xeon Silver 4214或Xeon Gold 6226R處理器，以及192GB記憶體。</strong></p> <p><strong>現在HCSF則有4U／8槽、1U／10槽、2U／20槽等3種硬體款式，前2者搭載的處理器都是AMD EPYC 7413，後者則為AMD EPYC 7713，記憶體容量分別為每節點128 GB、256 GB、512 GB，儲存裝置組態更為多樣，效能也隨之提升。</strong></p> <p><strong>同時，Hitachi Vantara另一款物件儲存產品Hitachi Object Platform（HCP），也提供與HCSF整合的選項，用戶可省下為HCSF找尋其他的物件儲存設備的麻煩。HCP可提供高擴展性，由SSD與硬碟組成的低成本物件儲存空間，只須將其物件儲存空間，以S3協定掛載給HCSF，便能作為後者WekaFS擴展的物件儲存空間，組成分層儲存架構。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/wekaio">WekaIO</a></div><div class="field-item odd"><a href="/tags/wekafs">WekaFS</a></div><div class="field-item even"><a href="/tags/%E9%AB%98%E6%95%88%E8%83%BD%E9%81%8B%E7%AE%97">高效能運算</a></div><div class="field-item odd"><a href="/tags/hpc">HPC</a></div><div class="field-item even"><a href="/tags/nvme-ssd">NVMe SSD</a></div><div class="field-item odd"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E6%9C%8D%E5%8B%99">微服務</a></div><div class="field-item odd"><a href="/tags/%E5%88%86%E6%95%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">分散式儲存系統</a></div></div></div>
2022/6/20 07:00作者張明德https://www.ithome.com.tw/tech/151471
金融資安重固本與新科技風險，金管會下一步推軟體供應鏈安全
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情不只帶來考驗，也加速了金融創新與變革，零接觸金融進一步走向高峰，「今年底可望達到6兆臺幣！」金管會資訊服務處處長蔡福隆說。這是金管會2021年制定的非現金支付交易金額目標，原本計畫3年達成每年6兆元交易額，在疫情衝擊下，信用卡、ATM、電子支付和儲值卡等付款方式成為首選，有望提早在今年達標。</p> <p>不只零接觸金融，整體金融數位轉型也受到疫情推波助瀾，比如業者們更重視異業結盟，將金融服務帶入客源更廣的生態圈、嵌入民眾生活，而靠IT支援全通路經營的模式更成為主流，這種整合線上線下服務，放在金融場景，等於將實體分行與線上客戶業務需求，收件後統一由一個作業管理中心處理，前臺專注快速回應客戶需求即可。</p> <p>為因應這些多元的數位金融需求，不少金融機構展開核心系統大改造，不論是小核心、大周邊的架構，還是敏前臺、強中臺、穩後臺，又或是借助AI自動化分擔分析工作，都是IT支援轉型創新的手段。</p> <p>這種IT力，在疫情中尤為重要。「金融是資訊高度密集的產業，金流就是資訊流，」蔡福隆指出：「疫情中沒有好的IT，就無法支援業務。」</p> <p>但IT發展創新，也得顧及風險，尤其在數位世界中，資安更是一大風險。他點明，金融資安重點，不外乎固本與新興科技把關，固本是指落實基本功，如流量監控、嚴守第一道防線，事件發生時能迅速因應等。新興科技把關，則是要因應金融科技發展的新技術風險，諸如eKYC、身份驗證、行動應用、雲端和供應鏈等風險。</p> <p>這正是金管會近幾年制定許多資安要求的原因，要將資安這個煞車配套措施做好，金融機構才能放心加速前進。</p> <p><span style="font-size:28px;"><strong>要求設置專責單位和副總層級資安長，先強化全機構資安文化</strong></span></p> <p>其中，設置資安專責單位和副總階級的資安長，就是金管會祭出的重大資安要求之一。金管會在2020年發布的金融資安行動方案中就規畫，先要求30多家金融機構與純網銀設置資安長。</p> <p>設置專責單位和資安長這類強制性監理要求，以及近年來一系列資安規範，就像是宣告金融業者，不得不挪出資源多做一些事。金管會這些高度監管措施背後，其實隱含一個更重要的戰略。</p> <p>這個戰略，就是要推動企業全體重視資安文化，由上而下培養資安意識。蔡福隆指出，設置專責資安單位，「就像是品管一樣，」是機構資安的第二道防線，來把關各第一線部門的資安措施是否合規。再搭配副總層級的資安長，機構就能從更高、更全面的角度，來調度資源、協調不同部門落實資安規範，帶動全機構重視資安議題。「資安不單只是資安單位的任務，也不只是IT單位的工作，」蔡福隆表示，而是全組織動起來才能發揮最大效益。</p> <p>他也指出，設置副總層級資安長的要求，在今年3月正式達標。金控、銀行業者已全數設置了副總層級資安長，營收兆元以上的保險業者也已落實，證券則是分級進行。金管會也將這個成功經驗，進一步推廣到上市櫃公司，在去年宣布，鼓勵上市櫃公司分三級設置專責單位與資安長。</p> <p>金管會要求組織重視資安的力道，不只如此。去年11月，他們推出新政策，要求上市櫃公司（包含金融業者）在後年年報中，開始揭露資安架構、資安政策、投入資源，以及因應資安事件的作法等訊息，作為營運公開資訊之一。</p> <p>這是要求組織重視資安的另一個作法，同時也讓金管會，有能力掌握金融業者資安現況。目前，已有幾家金融業者和上市櫃公司，早一步在今年公開的年報中，自行先揭露了資安策略。</p> <p><span style="font-size:28px;"><strong>不只適用單一組織，由上而下也能推動跨組織聯防</strong></span></p> <p>金管會近年資安推動策略，不少是由上而下來推動資安的策略。蔡福隆去年底有次演講時也直言，金融聯防機制的設計，也採取了由上而下，以資源共享的理念來規劃。比如，不只在銀行、證券等金融機構，各自設置了應變小組，更上一層的金控，也得設置專屬資安應變小組（CERT），當旗下機構發生資安事件時，金控可以有能力共享資源、支援旗下資安能力較弱的機構。</p> <p>這種上下支援和聯防的模式，也延伸到跨產業組織，例如銀行公會、證交所各自設置應變小組，當金控難以支援體系下機構時，就能求助公會或證交所應變小組。再更上一層，當跨產業資安事件發生時，層次更高的金管會F-ISAC和F-CERT，就能提供資源、協助不同產業業者解決問題。這正是由上而下，一層層建立應變能力的策略。</p> <p>金管會所勾勒的資安聯防體系中，除了負責事發後應變的各級資安應變組織之外，還包括了聚焦事前預防的金融資安資訊分享與分析中心（F-ISAC）、事中監控的金融資安監控中心（F-SOC）。這些官方聯防機制，從無到有至今也3、4年了，蔡福隆正是關鍵推手。</p> <p>他回顧，金融資安聯防在這幾年進步許多，早期，金融業者單打獨鬥，獨自攬起所有資安工作。但2017年，金管會成立F-ISAC，提供情資分享、應變協處、監控防護、演練以及教育訓練等服務，聯防概念開始興起，業者們也開始明白，資安也能集眾人之力來強化。</p> <p>比如，2年多前，數家證券期貨業者遭受分散式阻斷服務（DDoS）攻擊，F-ISAC與證交所聯手，扮演情資蒐集、分析角色，並將攻擊流量等分析結果回報給證交所、F-CERT，進行後續處理。F-ISAC也肩負協調角色，協助券商與電信業者、政府其他機關溝通。「那次合作讓人安心，」蔡福隆表示，當時攻擊流量雖然時而增加，但聯防機制讓業者感到放心，他們知道遭遇資安事件不再是單打獨鬥，而是透過F-ISAC聯防機制協調，串聯其他機構一起對抗攻擊。</p> <p><span style="font-size:28px;"><strong>參考行政院GCB設計金融專屬組態基準</strong></span></p> <p>聯防機制不只在攻擊發生時發揮作用，平時還有不少未雨綢繆的預防措施，像是分享其他產業的資安事件情資、定期攻防演練，以及供業者交流經驗的教育訓練課程等。</p> <p>甚至，金融資安監控中心（F-SOC）還參考行政院政府國家資通安全會報技術服務中心制定的政府組態基準（GCB），發展出一套金融業專屬的電腦系統組態基準（FCB），也就是一系列IT系統安全設定，來給金融機構參考。其中，Windows版的FCB已於去年底釋出，Linux版本也隨之公布，近期仍在優化中。</p> <p>除了FCB，F-SOC也時時提供監控組態基準，來給金融業者參考。這類監控組態基準，是針對常見的駭客入侵手法而設置，比如防火牆設定，來強化金融業防禦能力。</p> <p>這種先想一步、設置對應標準的車同軌作法，也是金管會資安聯防的另一成果。對這套聯防體系，「我只有2個期許，」蔡福隆繼續說：「一是做好服務，讓人感到貼心，再來是，F-ISAC成立後，不要再發生重大資安事件。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIO%E6%8A%BD%E8%A8%80.jpg" style="width: 480px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>金管會資訊服務處處長蔡福隆表示，資安文化要由上而下推廣，由專責單位搭配副總層級資安長，來強化第二道防線，並由資安長調度資源、協調部門合作。</strong></span></span></p> <p><span style="font-size:28px;"><strong>持續加強資安韌性，年底將推出供應鏈風險管理相關規範</strong></span></p> <p>不過，金融資安不可能完美，總有需要改進之處。蔡福隆點出，資安韌性尤為重要，總會有新的挑戰，比如因應停電、國際情勢變動（如俄烏戰爭）等災害應變，或是從駭客攻擊、勒索病毒等快速復原。</p> <p>為確保金融機構有足夠的復原力，金管會本來就要求金融機構進行本地備援和異地備援，在本地資料中心執行核心業務、在異地中心執行次要業務，以便遭遇災害時，能彈性切換。</p> <p>但這樣還不夠，金管會希望進一步確保復原能力。蔡福隆點出，金融資安行動方案，也鼓勵金融機構，定期將核心業務改由備援中心執行，一段時間再切回原中心，如此發生問題時，業者才敢快速切換。</p> <p>他也透露，目前已有不少業者採行這種作法。金管會每半年，也會針對證券市場舉行一次會測，要求證券所和券商，將重點業務切換至備援中心執行，一段時間後再切換回來。「只要交易所出問題，業者有把握在40分鐘內切換完成，」他說。</p> <p>除了資安韌性，金管會也聚焦供應鏈資安風險，參考美國軟體供應鏈安全的做法，其中一項就是，美國開始在政府採購中要求軟體業者提供軟體材料清單（SBOM）。進一步來說，SBOM是一份軟體元件組成表，就像是食品營養成分標示一樣，來讓企業了解軟體組成、內部模組和所有相關的元件，進而可以用來降低軟體供應鏈的風險。參考國外經驗，金管會預計在今年年底前，於金融資安行動方案中，揭露供應鏈相關資安管理規範。</p> <p><span style="font-size:28px;"><strong>從金融科技到金融資安統籌者，成敗關鍵是超前部署</strong></span></p> <p>2015年至今，蔡福隆陸續擔任了金融科技辦公室執行秘書，以及金融資安政策的核心推手，他平時就養成觀察、思考問題的習慣，提前規劃各種新點子，口袋中總有好幾個可隨時端出、侃侃而談的新計畫。他深信「超前部署是成敗關鍵，」不少他參與的資安規範，就是為了因應金融轉型採用新興科技的風險把關。</p> <p>不只超前部署，蔡福隆對工作還有另一個堅持：不管做什麼，都要以成為其他產業可參考的最佳示範為目標，他也常告訴同仁：「不只是達標，還要能讓人來借鏡、學習。」</p> <p>例如金管會推動由上而下的資安聯防機制，就是以最佳示範為目標來實作，後來也果真成了醫界參考的聯防作法。從超前部署思維，到成為最佳示範的堅持，都是金管會資訊服務處不斷追求金融革新的動力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#696969;"><strong>金管會資訊服務處處長蔡福隆</strong></span></p> <p>學歷：交通大學經營管理研究所博士畢業</p> <p>經歷：2007年進入行政院主計處，擔任電子處理資料中心組長，後來升任副主任。2011年成為行政院主計處主機資訊處副處長，直至2013年7月，蔡福隆調任至金管會擔任資訊服務處，擔任處長至今，負責金管會IT政策與治理，以及金融資安相關策略</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>金融監督管理委員會</strong></p> <p>地址：新北市板橋區縣民大道二段7號18樓</p> <p>成立時間：2004年7月</p> <p>主要業務：綜理金融市場及金融服務業之發展、監督、管理及檢查業務</p> <p>員工數：894人</p> <p>網址：<a href="http://www.fsc.gov.tw">www.fsc.gov.tw</a></p> <p>主委：黃天牧</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資訊部門檔案 </span></span></strong></p> <p>資訊服務處主管職稱：資訊服務處處長</p> <p>資訊服務處主管姓名：蔡福隆</p> <p>直屬主管：金管會主委及副主委</p> <p>資訊服務處人數：18人</p> <p>資訊服務處分工：分資訊科及資安科二科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記：</span></strong></span></p> <p>2015年：推動金融周邊機構大數據應用分析計畫，提升金融監理資料分析能力</p> <p>2017年：推動成立金融資安資訊分享及分析中心（F-ISAC），建立金融資安聯防機制</p> <p>2018年：推動成立金融電腦緊急應變小組（F-CERT）；建構金管會暨所屬4局資料中心，推動資訊資源向上集中；推動金融資料開放應用，榮獲國發會3大奬</p> <p>2019年：與國發會合推MyData應用，在民眾授權下，金融機構可直接介接MyData平臺，便利申辦各項金融服務；推動成立金融資安監控中心（F-SOC），建立金融資安監控聯防機制；整合本會及所屬四局電子公文線上簽核系統</p> <p>2020年：制定金融資安行動方案</p> <p>2021年：推動監理科技應用，導入AI應用於監理業務</p> <p>2022年：推動金管會數位轉型計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ciozhu_tu_-960.jpg" width="960" height="420" alt="" title="金管會資訊服務處處長蔡福隆" /></div></div></div>
2022/6/20 07:00作者王若樸https://www.ithome.com.tw/people/151481
【專訪法務部長蔡清祥】司法聯盟鏈是科技化的法務部重要里程碑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>司法改革最重要的關鍵就是「信任」，要扭轉民眾對司法的不信任，也要改革現行司法審查過程中效率延宕的問題，除了從制度面進行種種的改變，法務部部長蔡清祥表示，該部從科技面著手，回應外界對司法改革的決議，最明顯的例子就是6月13日試行、預計於7月13正式對外公布的「司法聯盟鏈」。</p> <p>他指出，司法聯盟鏈是利用區塊鏈去中心化的特性，落實數位證據的監管，從第一線司法警察蒐證，到檢察官偵查，直到法院審判的過程，都可以做到可被信任，在確保數位證據力的同時也可以大幅降低現在法院審判時，因為對數位證據證據力不信任所導致的數位鑑識成本增加和審判效率拖延的現象。</p> <p>「法務部對區塊鏈的應用並不陌生，」蔡清祥表示，在五年前，擔任法務部調查局局長時，就已經將區塊鏈用於刑事司法蒐集數位證據的面向上，先做到將數位鑑識報告上鏈，接著就是做到將儲存在雲端的數位證據上鏈。</p> <p>蔡清祥說，他在繼任法務部部長後，便希望做到「科技化的法務部」，透過科技提高效率並優化作業流程，最新的科技進度應用就是運作區塊鏈科技，推出「司法聯盟鏈」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600)-%E5%B0%81%E9%9D%A2P2-%E8%94%A1%E6%B8%85%E7%A5%A5-%E5%BD%A5%E6%A3%BB-%E7%BE%8E%E7%B7%A8V3(1).png" style="width: 347px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>司法聯盟鏈並非單一機關可以獨力完成的目標，蔡清祥認為，需仰賴整合聯盟鏈成員共同參與，跨域合作，展現部會聯手、公私協力的價值。他對司法聯盟鏈的期許是以「司法、科技、人民」為主軸的「新信任關係」。</strong>資料來源：法務部，2022年6月</span></p> <p><span style="font-size:28px;"><strong>確立五個司法聯盟鏈初始會員，單數才能多數決</strong></span></p> <p>案件處理從司法警察蒐證開始，一直到檢查機關偵查起訴，到法院的審判，這一系列的流程都是環環相扣且有共通性。因此，在確定要成立司法聯盟鏈時，為了避免單一機關成立私有鏈的區塊鏈運用，會帶來管理上有容易竄改資料的質疑，且避免公有鏈應用在成本、效率會有過大波動的情況下，便採用折衷的聯盟鏈。</p> <p>蔡清祥指出，初始會員包括司法院、法務部、高檢署、警政署和調查局等五個單位，除了平常工作司法審判流程彼此都有關連性外，也貫徹區塊鏈分散式帳本、節點多數決的特性，單數才能多數決，成立聯盟鏈去除單一的疑慮。</p> <p>就這五個初始會員而言，第一線處理證物的警政署、調查局負責存證，並協助參與訂立相關的技術指引規範；再來，法務部和高檢署則負責證物管理、證物入庫和使用（點交、記錄）；最後，司法院所屬的各級法院，則負責包含開庭、移交認證等工作內容，並可藉由區塊鏈保持證據同一性、去中心化、信任、公開、透明的特性，對證物進行完整的擔保。</p> <p><span style="font-size:28px;"><strong>推動司法聯盟鏈認證標章，完善鏈下管理機制</strong></span></p> <p>蔡清祥坦言，各界對於選擇公有鏈、私有鏈和聯盟鏈都有不同討論，但重點不在於選擇哪一種區塊鏈的應用類型，而是選擇的類型，能否達到貫徹區塊鏈去中心化、依賴節點進行分散式儲存、獨立節點確保資料公開透明，且沒有單一機關可以單獨竄改記錄在區塊鏈上的資訊才是關鍵。</p> <p>「而要做好司法聯盟鏈的關鍵，除了鏈上技術面外，還有鏈下管理面必須相輔相成才行。」他說，區塊鏈技術成熟，但相關建置及維護成本不算低，若由單一機關出資、建置和維運，就會淪落為受單一機關掌控的質疑，因此，若可以是由不同單位編列預算、各自出資建置司法聯盟鏈的驗證節點並各自維運，可以滿足外界對聯盟鏈的信任；後續加入的會員除了可以自建節點，也能委外由國網中心協助建置委外節點。</p> <p>再者，蔡清祥認為，鏈下的管理面就必須做到資料的完整性及正確性，避免證據不完整局限性。克服的方法就是，與資策會科法所進行合作，做到公私協力，協助司法聯盟鏈建立數位治理的管理規範，確立標準化作業流程及相關的教育訓練內容，更重要的是，會推動司法聯盟鏈認證標章，未來要加入司法聯盟鏈的會員，都必須取得相關標章，確認鏈上資料與鏈下資料真實完整。</p> <p>推動司法聯盟鏈有短、中、長期的目標，短期目標為建置基礎建設規畫，考量數位證據對司法實務驗證的迫切性進行試辦評估，並辦理司法聯盟鏈人員證照、區塊鏈教育訓練；中期目標就勢將數位資料加以應用；長期目標就是做到與實體證物進行結合。</p> <p><span style="font-size:28px;"><strong>司法聯盟鏈先從臺北、桃園和臺中進行試辦</strong></span></p> <p>「成立司法聯盟鏈對於案件偵查、審理都會帶來很大效益，」蔡清祥表示，一開始會先從臺北、桃園和臺中進行試辦，透過實際試辦施行。</p> <p>他認為，司法聯盟鏈立即看到的程序效益就是，加速司法訴訟進行，避免過往法庭針對數位證據真實性，必須邀請專家證人或進行數位鑑識而耗費更多時間與數位鑑識費用，現在有了司法聯盟鏈之後，可以加速訴訟程序的進行。</p> <p>蔡清祥指出，司法聯盟鏈帶來的實體效益則是，做到擔保數位證據同一性，落實公平正義的期待。也就是說，對於數位證據保存可以做到同一性，確保不會出現偽造、變造的弊端，從司法警察蒐證、法務部高檢署的偵查，一直到法院的審判，證據不會遭到變造，法院不會質疑真實性。他表示，這對民事、刑事和行政訴訟的案件都有幫助，甚至未來還可以擴及對於智慧財產權的保護。</p> <p><span style="font-size:28px;"><strong>做到以司法、科技和人民為主軸的新信任關係</strong></span></p> <p>「司法聯盟鏈的成立，代表臺灣司法跨入數位時代的重要里程碑。」蔡清祥表示，司法聯盟鏈做到跨機關共同處理證物監管鏈準則，未來，還可以做到跨部會參與，例如，文化部可以加入司法聯盟鏈確保文創作品的智慧財產權；全國律師公會也可以加入司法聯盟鏈，對於法庭提示數位證據及數位卷證驗證流程的真實性；甚至即將成立的數位發展部和行政院等，都可以協助完善司法聯盟鏈國家隊，持續強化聯盟鏈的基礎建設，有助後續會員加入，也可以獲得更多產官學研的肯定和支持。</p> <p>蔡清祥認為，司法聯盟鏈不是法務部單一機關可以獨力完成的目標，需仰賴聯盟鏈成員共同參與。他對司法聯盟鏈的期許就是以「司法、科技、人民」為主軸的「新信任關係」。</p> <p>「Taiwan Can Lead」是蔡清祥期許，司法聯盟鏈在結合司法和科技，透過建置國家鏈，作為司法永續信任的基礎。</p> <p><a href="https://www.ithome.com.tw/article/151489" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a> <a href="https://www.ithome.com.tw/article/151489" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" style="width: 550px;" /></a></p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/news/151485
【臺灣區塊鏈應用實例：司法聯盟鏈】區塊鏈貫穿司法審判流程，聯盟鏈兼具技術和管理優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣先前在金融業有許多區塊鏈應用實例，司法界的區塊鏈應用則是：法務部調查局先前推動的數位鑑識報告上鏈和雲端證據上鏈。不過，在6月13日試行、預計在7月13日正式對外公開的司法聯盟鏈，則成為臺灣司法界重要科技應用的里程碑。</p> <p>司法聯盟鏈是採用區塊鏈中的聯盟鏈類型，將區塊鏈貫穿司法審判流程，從第一線司法警察蒐證、檢察官的偵查，一直到法官審判過程，都可以利用區塊鏈不易竄改、不可否認性、公開、透明和去中心化的技術特性，確認在法庭審判過程中所取得數位證據的同一性。</p> <p>相較於公有鏈透過全世界的節點進行驗證所帶來的公信力，但伴隨著上鏈手續費會隨著虛擬貨幣波動而暴漲，以及上鏈效率較慢的缺點；相較於私有鏈具有高運作效率、能確保資料正確性，但缺乏公信力的缺點，司法聯盟鏈則採取折衷方式。</p> <p>這個方式主要是透過5個初始會員自建的驗證節點，彰顯司法流程的公信力外，也希望透過鏈下管理機制，制定相關的規章和推動司法聯盟鏈標章，規範未來新加入的後續會員，都必須取得該驗證標章後，遵循規範的標準作業程序（SOP），才能成為司法聯盟鏈驗證節點的一員。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-2)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB(1).png" style="text-align: center; width: 579px;" /></p> <p><span style="font-size:28px;"><strong>確認區塊鏈可以解決數位證據監管問題</strong></span></p> <p>法務部長蔡清祥表示，司法改革決議中，期待可以解決現有制度對保全證據監管和證物保管不足之處，他希望可以導入科技方法藉更有效管理證物，其中，管理的證物類別包括實體證物和數位證據兩類。</p> <p>他指出，在實體證物的管理上，採用RFID（無線射頻辨識）來管理，規畫建置扣押物數位化及科技化贓證物庫管理系統；至於數位證據的監管流程上，採採用區塊鏈技術的公開、透明、信任的特性，來確保數位證據的「同一性」，並規畫司法聯盟鏈藉此完整證據監管和證物保管的整體制度。另外，在證據保管的具體做法上，則包括：層級化管理、加速清理贓證物，和推動毒品提前銷燬等精進作為。</p> <p>蔡清祥續任法務部長後，也提出「科技化的法務部」這樣的施政目標，希望可以結合科技對許多法務工作做更有效率的管理，像是，成立科技查賄中心用科技查查賄選；或者法醫採用電腦斷層（CT）判斷死因；利用人臉辨識技術進行智慧化監獄管理；甚至是在疫情時代利用視訊會議技術，推動收容人的遠距接見，利用科技做到更人性化的管理和效率的提升。</p> <p>不過，他也說，身為法務部長不能只局限在部裡管轄司法警察調查局的業務，應該也要擴大到偵查和審判流程，將整個司法程序應用加以擴大，現在時間正好成熟，成立司法聯盟鏈。</p> <p>法務部從2000年12月啟動評估；2021年1月至2月由各機關共同評估可行性，邀請司法相關的單位進行討論，包括：司法院、內政部警政署、內政部移民署、海洋委員會、海巡署、國防部憲兵指揮部、法務部調查局、法務部廉政署、臺灣高檢署等機關，辦理兩次可行性評估會議。</p> <p>2021年3月至5月院部確認合作方向；同年8月至10月召開7次工作小組會議確認議題；同年10月20日舉辦共識會議，並啟動建置司法聯盟鏈專案；同年12月27日則舉辦「證物鏈與區塊鏈的交響曲第二樂章─司法聯盟鏈驗證討會」，</p> <p>確認司法案件從證物搜查、到檢察官偵查、甚至到法官審判的流程，都可以運用區塊鏈解決數位證據監管面臨到的「證據同一」與「證物保管制度」的議題，並於2022年6月13日試行「司法聯盟鏈」（Blockchain-applied Judicial Alliance for Digital Era，b-JADE），於同年7月13日正式對外公開。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/(600-1-%E8%B6%85%E9%80%A3%E7%B5%90%E5%A4%A7%E5%9C%96)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-V2.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=949,height=380'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-1)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB.png" style="width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>調查局對區塊鏈應用小試水溫</strong></span></p> <p>蔡清祥笑說，他五年前擔任調查局長時，當時調查局便開始嘗試數位證據在區塊鏈的應用。</p> <p>不論是數位鑑識報告上鏈或者是雲端數位證據上鏈，都是希望透過區塊鏈具有「去中心化」、「公開」、「透明」、「不易竄改」特性，可以加深數位證據在法庭的證據力和可信度，也可以提升民眾對司法的信任。</p> <p>法務部調查局資通安全處專門委員周士禎於2021年12月的一場「證物鏈與區塊鏈的交響曲第二樂章─司法聯盟鏈驗證發表研討會」表示，數位證據爭議耗費司法資源，使訴訟效率低落，為了克服這個難題，該局也開始運用區塊鏈特性，改善數位證據驗真程序。</p> <p>周士禎表示，區塊鏈的核心價值就是去中心化，調查局兩個區塊鏈的專案，都是採用以太坊智能合約的應用案例。第一個專案是：運用區塊鏈優勢、強化鑑定報告防偽能力，將數位鑑識的鑑定報告上鏈；第二個專案則是：運用區塊鏈優勢、強化證物監管能力，將雲端取證資料上鏈。</p> <p>她表示，這些上傳區塊鏈公有鏈的資料，其實都是上傳雜湊（Hash Value）而非證據內容，不僅可以降低存證空間及時間，也真正落實偵查不公開原則。</p> <p><span style="font-size:28px;"><strong>鑑識報告上以太坊，面臨手續費暴漲30倍的風險</strong></span></p> <p>鑑定報告上鏈其實就是，當法務部調查局資安鑑識實驗室完成鑑識報告後，會把該鑑識報告所含送件的檔案及鑑識報告紙本電子檔的雜湊值，經由指定人員使用鑑識報告上鏈系統，透過區塊鏈硬體錢包加密簽章的方式，把該鑑識報告檔案的雜湊值，上傳以太坊區塊鏈。</p> <p>一旦法官、檢察官或是辯護人，對於該鑑識報告紙本及電子檔的真偽有爭議時，都可以用手機鑑識報告驗證App，掃描查詢驗證該鑑識報告電子檔的雜湊值，和區塊鏈上鑑識報告電子檔的雜湊值是否相同，可以迅速確認該鑑定報告、來源證物以及鑑識報告結果的電子檔是否未經竄改。</p> <p>不過，後續檢討鑑識報告上鏈的區塊鏈專案時，周士禎表示，最大的挑戰是鑑定報告上鏈手續費成本暴漲。</p> <p>她以2019年，運用以太坊智能合約完成鑑定報告上鏈為例，當年度平均上鏈的手續費只要1.3美元（約新臺幣40元）；但到了2020年，上鏈手續費波動性遽增並屢創新高，一次上鏈手續費超過40美元（約新臺幣1,200元），和前年手續費相差30倍。</p> <p>到2021年上鏈手續費持續攀升成為常態，這對於編列預算支應公務支出的政府部門而言，暴漲的手續會成為鑑識報告上鏈應用的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5%E6%96%B0%E5%A2%9E%E5%9C%96%E7%89%87-%E9%91%91%E5%AE%9A%E5%A0%B1%E5%91%8A%E4%B8%8A%E9%8F%88%E6%89%8B%E7%BA%8C%E8%B2%BB%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E6%B3%95%E5%8B%99%E9%83%A8%E8%AA%BF%E6%9F%A5%E5%B1%80.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>法務部調查局的區塊鏈專案就是將數位鑑識報告電子檔案的雜湊值，上傳以太坊公有鏈，不過，以太幣隨著市場波動而有很大的漲幅，2019年以太坊智能合約每一筆上鏈價格大約新臺幣40元，但到了2020年，每一筆上鏈價格高達新臺幣1,200元，且費用呈現持續攀升狀態。這樣的持續攀升的上鏈成本，對於公務機關會造成很大的成本風險。</strong><span style="font-size:14px;">圖片來源／法務部調查局</span></span></p> <p><span style="font-size:28px;"><strong>用區塊鏈自動化存證程式，避免雲端資料蒐證過程遭竄改</strong></span></p> <p>另外，有越來越多民眾使用各種雲端服務，當第一線司法警察查扣證物時，也需要查扣各種類型的數位證據，例如：電子郵件、臉書、Line、或是存放在Dropbox或Google Drive等網路雲端硬碟的數位資料。</p> <p>不過，這些數位資料在存放過程中，就可能有異動，對法庭要求數位證據的證據力而言，如何確保司法警察蒐證到的數位資料，和存放作為司法偵查有關的數位證據一致，也成為第一線司法警察必須克服的難題。</p> <p>因此，法務部在查扣受搜索人的數位資料時，會採用區塊鏈雲端證據存證應用自動化程式，自動下載雲端資料檔案並同時記錄下載時間。在下載雲端檔案資料的過程中，會自動計算每一個儲存檔案的雜湊值，並將存放雲端檔案連結的網路硬碟的數位資料，自動存放到專屬的隨身碟中。</p> <p>而這個自動化程式會將下載完成的雲端資料的檔案雜湊值，經確認合法蒐證記錄人員身分後，會由該記錄人員將該專屬隨身碟內的雜湊值記錄在以太坊區塊鏈中，運用區塊鏈結合雜湊值、具時序性，以及不可竄改特性，確保數位檔案在蒐證過程中，沒有遭到任何竄改或異動。</p> <p>這樣的作法，對於第一線司法警察而言，也解決大容量數據需要大量時間下載的問題；並克服該如何證明這些大容量的資料是第一線蒐證取得的數位資料的問題。</p> <p><span style="font-size:28px;"><strong>司法聯盟鏈五個初始會員永不退出</strong></span></p> <p>周士禎表示，公有鏈所面臨的問題在於：去中心化程度高，吞吐量低，交易速度緩慢，以及手續費因外界波動及攀升。因此，建置司法聯盟鏈則可望在保有一定程度去中心化的同時，可以提升全鏈同步的效率，並降低手續費波動的影響。</p> <p>所以，司法聯盟鏈在架構初期，便以司法院、法務部、高檢署、調查局及警政署作為司法聯盟鏈的初始成立成員，這5個單位都自行編列公務預算、自建驗證節點；未來，將逐步推展至其他與司法偵查審判有密切關係的機關、機構及團體，並且會以「認許制」作為加入方式。</p> <p>法務部檢查司調部辦事調查專員魯志遠表示，司法聯盟鏈是基於區塊鏈技術，以獲得人民信任為目標，所以5個初始會員之間，則會透過節點共同驗證及利用紀錄；未來可以加入司法聯盟鏈的對象，包括其他行政部會，像是文化部、數位發展部等，或者是司法相關的律師或公證人等等，後續都可以加入該聯盟鏈成為後續會員。</p> <p>但魯志遠表示，為了確保聯盟鏈的永續運作，這五個初始會員自建節點是永不消滅，也就是說，即便其他會員加入或退出，都不會影響這五個初始會員的運作方式；至於後續加入的會員，可以選擇自建驗證節點外，也可以透過國網中心委外建置驗證節點。</p> <p>周士禎也提到，司法聯盟鏈採用統一管理「可驗證實名制」的方式驗證使用者身分，並且會以「共識決演算法」作為資料同步機制的基礎，「畢竟，三個以上成眾，只有單數的數量，才不會出現決議平手的局面。」她說。</p> <p>此外，司法聯盟鏈決定以「Hyperledger Fabric」作為標準，可以做到相容既有的區塊鏈應用，又具備管理上的擴充性。</p> <p>魯志遠指出，數位證據存證、認證及驗證可以適用包括刑事、民事和行政訴訟等各類案件；而司法聯盟鏈目前雖然只用於雲端證據和數位卷證範疇，但未來也可以進一步延伸到數位請票、營業秘密、數位傳票、數位債證，以及數位存證等相關應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-3)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB(1).png" style="width: 409px;" /></p> <p><span style="font-size:28px;"><strong>用區塊鏈完善數位證據監管流程</strong></span></p> <p>魯志遠指出，目前司法審判流程可以分成調查階段、偵查階段和審理階段，但從第一線處理證物存證的警政署、調查局，再到負責證物管理、證物入庫和使用（點交、記錄）的法務部和高檢署，最後，負責包含開庭、移交認證的司法院所屬各級法院，在現階段，證物仍以現行程序歸屬各機關。</p> <p>針對數位證據的保全，可以參考法務部調查局訂定的《法務部調查局現場數位證據保全操作手冊》，明確將數位證據現場蒐證的執行作業程序分成：識別階段、蒐集擷取階段和封緘保管階段。</p> <p>但魯志遠表示，等到司法聯盟鏈正式上線運作後，就可以藉由區塊鏈去中心化、信任、公開、透明的特性，將數位證據上傳司法聯盟鏈平臺，透過比對雜湊值的方式，確認數位證據保持證據同一性，並可對證物進行完整的擔保。</p> <p><span style="font-size:28px;"><strong>鏈下管理才是司法聯盟鏈存續關鍵</strong></span></p> <p>資策會科法所創意智財中心副主任鄒宗萱表示，運用區塊鏈技術確保數位證據的可信度，區塊鏈技術發展本身已經成熟，上鏈過程很單純，但司法聯盟鏈牽涉到司法訴訟的流程，就必須有一套完整的鏈下管理機制。</p> <p>她指出，這套鏈下管理機制，不僅要規範可以儲存在鏈上的內容，上傳資料也必須遵照一定的管理模式才可以進行，像是哪些人可以上傳資料、哪些節點可以驗證資料等，而這個過程會推動司法聯盟鏈認證標章，要符合相關的規範並取得標章認證的對象，經過身分審核才可以參與驗證節點；只有符合流程規範的成員，才可以將資料上傳司法聯盟鏈儲存。</p> <p>舉例而言，光是司法聯盟鏈未來在節點管理上，因為要做到穩定、長久維運和高度信任，鄒宗萱表示，聯盟鏈的參與成員須採用實名制且要做到跨組織，以及事先審核加入節點成員的身分。</p> <p>不過，她也提醒，聯盟鏈的節點成員雖然要事先審核，但節點本身仍須具獨立性，才不會影響到聯盟鏈的公信力。</p> <p>所以，她說，外界有一些金控公司發展私有鏈做內部的區塊鏈應用是可行的，但若是選擇發展聯盟鏈時，節點成員若為同一個集團公司，彼此可以影響或調整內容時，因為該節點成員本身不具獨立性，就不是聯盟鏈的應用類型。</p> <p>再者，蔡清祥認為，鏈下的管理面必須做到資料的完整性及正確性，避免證據不完整局限性。克服的方法就是，司法聯盟鏈與資策會科法所簽訂合作備忘錄，透過公私協力的方式，由科法所協助司法聯盟鏈建立數位治理的管理規範，進一步確立標準化作業流程及規畫後續相關的教育訓練內容。</p> <p>更重要的是，推動司法聯盟鏈認證標章，讓未來要加入司法聯盟鏈的會員，必須先取得相關認證標章後，確保鏈上資料與鏈下資料可以做到真實且完整。</p> <p>蔡清祥也宣示，推動司法聯盟鏈有短、中、長期的目標，短期目標為建置基礎建設規畫，考量數位證據對司法實務驗證的迫切性進行試辦評估，並辦理司法聯盟鏈人員證照、區塊鏈教育訓練；中期目標就勢將數位資料加以應用；長期目標就是做到與實體證物進行結合。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:48px;"><span style="background-color:#3399ff;"> 司法聯盟鏈流程 </span></span></span></p> <p><strong>司法聯盟鏈（Blockchain-applied Judicial Alliance for Digital Era，b-JADE）即將於今年7月13日正式公開，會先選擇在臺北、桃園和臺中進行試辦。b-JADE這個平台，就是希望透過運用區塊鏈技術加值，讓數位資料和數位證據像玉一樣有價值。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 司法聯盟鏈存證上鏈畫面大公開 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-1)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 507px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>根據6月13日試行所公開的測試畫面可以看到，司法聯盟鏈的平臺已經大致抵定，不管是數位證據的存證、上鏈記錄或是驗證證據，檔案上傳該平臺都只計算雜湊值，不會儲存檔案。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-2)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 505px;" /></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">拖拉數位檔案上傳該司法聯盟鏈平臺後，會自動計算雜湊值，每個檔案都有不同數值。</span></span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-3)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 502px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>數位檔案上傳司法聯盟鏈平臺後，每個數位證據檔案會產生不同雜湊值，也會記錄存證人員資訊、存證時間，並提供下載服務。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-4)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 429px;" /></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">提供下載的檔案就是司法聯盟鏈存證證明，該證書也會註明認證單位和證書證明日期以昭公正。</span></span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 司法聯盟鏈驗證證據測試畫面 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-5%2B6%2B7)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 589px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>在司法聯盟鏈平臺上，可以選擇要驗證數位證據的同一性，當中可選擇上傳要驗證數位檔案，也可以選擇輸入雜湊值，一次驗證最多五筆資料，平臺會顯示該檔案是否驗證成功或查無資料，最後也會產出一份檔案驗證結果以茲證明。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／法務部</span></span></p> <p><a href="https://www.ithome.com.tw/article/151489" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a> <a href="https://www.ithome.com.tw/article/151489" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" style="width: 550px;" /></a></p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/news/151487
【專家觀點：資策會科法所創意智財中心副主任鄒宗萱】建構司法聯盟鏈的信任度，鏈上技術與鏈下管理是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>區塊鏈的應用在臺灣又有新的進展！預計於今年7月正式對外公開的「司法聯盟鏈」，便是由5個初始會員，包含法務部、司法院、高檢署、警政署、調查局，共同打造出基於區塊鏈技術所建置而成的司法應用，目的在負責監管臺灣司法流程中的數位證據，當這些資料上鏈之後，不會遭到竄改。</p> <p>對於這項即將登場的政府科技領域新應用，資策會科法所創意智財中心副主任鄒宗萱表示，其他國家在發展存證或驗證相關的服務機制時，大多採用集中管理技術模式，然而，隨著技術演進，包括歐盟、中國等國家，也開始基於區塊鏈的技術優勢，建置與司法相關的區塊鏈應用。</p> <p>對此，鄒宗萱認為，臺灣的司法聯盟鏈若要取得各界的信任，除了區塊鏈本身公開、透明的技術特性，更重要的是，必須建立一套鏈下的資料管理規範或標準，確保資料從上鏈前的生成或取得端，乃至上鏈後驗證端的資料內容，都具有同一性與真實性。</p> <p><span style="font-size:28px;"><strong>存證或驗證服務採用區塊鏈技術，增加可信度</strong></span></p> <p>大約在十幾年前，包括歐、美、日、韓、中等國，陸續發展出各種存證或驗證相關服務機制，大多採用集中管理技術模式；但隨著技術演進，各國也開始基於區塊鏈技術優勢，建置相關基礎環境及發展司法相關應用，例如歐盟、中國等區域或國家。</p> <p>因為集中化儲存管理是目前最常見的資料管理模式，但鄒宗萱也觀察到，在資料便於管理之際，也會因為資料容易新增、刪除、更改等，導致資料管理的信任度遭到質疑。</p> <p>她認為，相對於傳統資料集中儲存的機制，因為區塊鏈技術並沒有一套中心化的機構管理資料庫，便無法像以往中心化系統有最高權限管理者，可以單方面修改或儲存資訊。</p> <p>除此之外，由於區塊鏈的驗證節點採用共識決，利用了分散式節點的特性，一旦資料被記錄到區塊鏈時，就無法單方面回溯修改、刪除區塊鏈中的資訊，「資料不可竄改也讓寫入區塊鏈的資料更被信任。」她說。</p> <p><span style="font-size:28px;"><strong>司法聯盟鏈採實名制、跨組織並事先審核</strong></span></p> <p>區塊鏈依據資訊是否公開程度、誰可以參與、節點參與者是誰，以及治理模式的不同，可以分成公有鏈、私有鏈，以及聯盟鏈等三種類型，鄒宗萱表示，只要是使用區塊鏈、去中心化的方式，不管是採用哪一種類型來實作，其實，這些選擇都不會影響區塊鏈透過節點、確保資料透明度和可信賴的特性。</p> <p>她也觀察到，在發展存證及驗證服務的過程中，一般的資料存放是採用集中管理機制，為了增加可信度，開始在自家引進區塊鏈技術，於是，便有了私有鏈；然而，因為私有鏈的驗證節點都在自家範圍之內，可信度往往會遭到外界質疑，因此，便希望可以透過錨定（下錨鎖定）公有鏈的方式來確保，因為驗證節點是分散在世界各地，可以真正做到單一節點難以竄改資料，這也使得公有鏈比私有鏈更為可信。</p> <p>不過，鄒宗萱也指出，區塊鏈應用如果是錨定公有鏈時，不管是錨定比特幣或是以太坊，因為相關費用的浮動過大，對於傳統公務機關須採用事先編列預算以支應各種公務費用的運作模式，存在極高的不確定性，這也使得採用公有鏈的區塊鏈應用服務，往往會面臨成本難以掌控的風險。</p> <p>所以，臺灣為了確保數位證據從第一線司法警察的蒐證、檢察官的偵查，一路到法院的審判，都可以有效被監管，引進區塊鏈技術達到資料不可否認性、不易被竄改、永久保存。並做到證明存在之外，更希望在管理上，可以兼具公有鏈的可信任度，以及私有鏈的便於管理，於是，這裡便折衷採用了聯盟鏈的類型。</p> <p>她進一步指出，聯盟鏈如果要做到公有鏈的可信度，驗證節點至少要設置到3個以上，而目前的司法聯盟鏈的規畫當中，已有法務部、司法院、高檢署、警政署、調查局等5個初始會員，作為驗證節點；而在節點的管理上，因為要做到穩定、長久維運，以及高度信任，聯盟鏈的參與成員則是採用實名制，做到可以跨組織，以及事先審核加入節點成員的身分。</p> <p>不過，她也提醒，聯盟鏈的節點成員雖然要事先審核通過，但節點本身必須具有獨立性，信任度才不會遭到質疑，所以，有一些金控公司發展私有鏈做內部的應用沒問題，但在發展聯盟鏈時，如果同一個集團公司可以影響或調整內容時，使得節點本身不具獨立性，此時，這就比較偏向私鏈，而非聯盟鏈的應用類型。</p> <p><span style="font-size:28px;"><strong>採用聯盟鏈所面臨到的最主要挑戰並非技術，而是鏈下管理</strong></span></p> <p>「區塊鏈技術本身發展已經很成熟，推動司法聯盟鏈最大的挑戰，反而是在鏈下的管理機制。」鄒宗萱說，尤其是跨組織的對象，必須是能夠被信任的對象才行。</p> <p>也就是說，運用區塊鏈技術確保數位證據的可信度，區塊鏈技術發展本身已經成熟，上鏈過程很單純，但司法聯盟鏈牽涉到司法訴訟的流程，就必須有一套完整的鏈下管理機制，不僅要規範可以儲存在鏈上的內容，上傳資料也必須遵照一定的管理模式才可以進行，像是哪些人可以上傳資料、哪些節點可以驗證資料等。</p> <p>而這個過程會推動司法聯盟鏈認證標章，要符合相關的規範並取得標章認證的對象，經過身分審核的程序，才可以參與驗證節點；符合流程的規範，才可以將資料上傳到司法聯盟鏈儲存。</p> <p>基於目前司法聯盟鏈的初步規範，5個初始會員都不會消滅，所有的資料上鏈都不會收費，鄒宗萱認為，透過這樣的規畫機制，讓司法聯盟鏈可以成為國家基礎設施的一環，也可以成為國家鏈。</p> <p>因為成本低廉且可被控管，她表示，未來司法聯盟鏈應用範圍可以再延伸，不只是能夠邀請其他部會、組織、機關參與聯盟鏈，也可以針對使用者收取費用，或者將聯盟鏈作為其他區塊鏈應用錨定公有鏈的對象，進而發展成為一個區塊鏈的生態體系。</p> <p>鄒宗萱表示，司法聯盟鏈「以終為始」，創建目的就是為了確保數位證據的證據力，整個資料處理過程是嚴謹的，也能作為產業端學習參考的對象。</p> <p>她指出，以往產業對數位證據力的作法是參考司法判例，但判例會有不一致的結果，不過，檢調對證據要求的流程卻是一致的，中間管理流程的標準作業程序，反而可以作為經過司法確認的、對產業有效的管理依據，而且有助於控管產業管理的成本。</p> <p><a href="https://www.ithome.com.tw/article/151489" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a> <a href="https://www.ithome.com.tw/article/151489" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" style="width: 550px;" /></a></p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/news/151488
【法律科技大創新】用區塊鏈貫穿司法流程，打造被民眾信任的司法聯盟鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了回應司法改革決議，落實證物監管和證物保管制度，法務部引進區塊鏈技術，納入第一線的警政署、調查局；負責偵查的高檢署和法務部，以及進行審判的司法院，成為司法聯盟鏈5個不會退出或中斷的初始會員；並藉由嚴謹的鏈下管理，確保司法聯盟鏈的可信度。</p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/article/151489
【資安週報】2022年6月13日至17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自5月底引起許多研究人員關注的Windows診斷支援工具（MSDT）零時差漏洞CVE-2022-30190（亦稱Follina），微軟在6月的例行修補（Patch Tuesday）裡發布相關更新程式，而在上週有不少研究人員揭露相關攻擊事故後，最近烏克蘭電腦緊急應變小組（CERT-UA）指出，這項漏洞俄羅斯駭客組織Sandworm疑似在4月就開始利用。</p> <p>內容管理平臺WordPress的外掛程式弱點，成為攻擊者下手的對象，不時有事故傳出，而在本週有表單外掛程式Ninja Forms，疑似因程式碼注入漏洞已被用於攻擊行動，使得WordPress罕見地再度透過強制更新的手段，推送新版Ninja Forms給WordPress網站。</p> <p>最近幾年駭客大肆針對電商網站發動網站側錄攻擊，過往大多針對Magento電商網站而來，但最近駭客組織Smilodon將目標轉向市占極高的WooCommerce電商平臺，攻擊其後臺而不易被察覺異狀。這樣的情形使得研究人員提出警告，因為針對這類電商平臺的攻擊行動很可能會越來越頻繁。</p> <p>網頁應用程式框架Telerik UI的漏洞攻擊也相當值得留意，研究人員揭露新一波的資安事故，但這次攻擊行動，駭客運用的是3年前的已知漏洞。研究人員指出很多組織的網頁應用程式可能委外架設，後續缺乏維護，而讓攻擊者仍能利用相關漏洞。</p> <p>勒索軟體攻擊的態勢也相當值得留意，本週有資安人員發現，駭客組織BlackCat（亦稱Alphv）採用了新的雙重勒索手法，他們架設了類似<a href="https://haveibeenpwned.com/">Have I Been Pwned</a>（HIBP）外洩密碼查詢網站，疑似是為了讓受害組織的員工、客戶確認自己的個資外洩，進而讓這些人向組織施壓，使得受害組織願意低頭向駭客付錢。</p> <p>而在漏洞揭露的部分，Hertzbleed的處理器旁路攻擊手法相當值得留意，因為Intel全部的處理器產品，以及AMD採用Zen 2與Zen 3微架構的產品都會曝險，但這兩家廠商目前都不打算推出修補程式。</p> <p>本週的資安產業動態裡，有一則消息特別引人注目，那就是美國國防承包商傳出打算買下網路間諜公司NSO Group，且美國政府也知情此事，但此消息一出也引發爭議。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/160530"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm疑在2個月前開始利用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png" style="width: 300px; float: right;" /></a>與Windows診斷支援工具（MSDT）有關的零時差漏洞CVE-2022-30190（亦稱Follina），6月初已傳出被用於攻擊烏克蘭，但實際上在2個月前可能就有相關攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月10日發布資安通告指出，俄羅斯駭客組織Sandworm疑似自4月開始，利用Follina發動攻擊。</p> <p>攻擊者鎖定超過500名廣播電臺與報紙的從業人員，以提供互動式地圖服務的網址名單為由，發送帶有Word檔案為附件的釣魚郵件。收信人一旦開此附件檔案，電腦將會執行檔名為2.txt的JavaScript程式碼，進而載入惡意程式CrescentImp。CERT-UA提供了入侵指標（IoC）供組織偵測相關攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/06/psa-critical-vulnerability-patched-in-ninja-forms-wordpress-plugin/"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Ninja Forms漏洞已遭利用</span></a></strong></h3> <p>提供WordPress網站管理者建置表單的外掛程式存在漏洞，有可能導致網站遭受攻擊。資安業者Wordfence指出，外掛程式Ninja Forms最近推送新的版本，原因很可能是為了修補一項程式碼注入漏洞（尚未取得CVE編號），駭客一旦利用這個弱點，就有可能在未通過身分驗證的情況下，從這個外掛程式的類別（class）呼叫數種方法，包含一種將使用者提供的內容非序列化的方法，從而導致物件注入攻擊。當網站上的屬性導向程式設計（Property Oriented Programming，POP）鏈存在時，攻擊者可藉此能夠執行任意程式碼，或是刪除網站上任意檔案。研究人員指出，他們找到這項漏洞已遭到攻擊者廣泛利用的跡象，呼籲WordPress用戶應儘速安裝已修補的新版套件。</p> <p>資安新聞網站Bleeping Computer指出，自開發商於6月14日發布新版套件以來，已有73萬次下載，有如此數量的網站更新該外掛軟體，原因很可能是WordPress採取了強制更新的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sucuri.net/2022/06/smilodon-credit-card-skimming-malware-shifts-to-wordpress.html"><span style="color: rgb(0, 0, 0);">Smilodon駭客組織鎖定WordPress網站發動側錄攻擊</span></a></strong></h3> <p>最近幾年駭客鎖定電商網站下手，進行網站側錄（Web Skimming）攻擊的情況，尤以針對Magento架設的網站最為氾濫，但如今有人開始將目標轉移到不同的電商網站平臺。</p> <p>資安業者Sucuri指出，他們在追蹤駭客組織Smilodon的Magecart攻擊行動中，發現這些駭客自2021年12月開始，將攻擊目標從原本的Magento平臺，轉向執行WooCommerce電商平臺元件的WordPress網站，且攻擊者的側錄程式在PHP後端運作，而使得用戶端的防毒軟體難以察覺信用卡交易資料遭到側錄的跡象。研究人員指出，由於採用WooCommerce架設的電商網站約有4成，攻擊者勢必會將心力集中於這類網站，他們呼籲網站管理者應儘可能採用最新版元件，並避免管理網域遭到未經授權的存取。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/15/telerik-ui-exploitation-leads-to-cryptominer-cobalt-strike-infections/"><span style="color: rgb(0, 0, 0);">駭客利用Telerik UI網頁應用程式框架漏洞部署惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png" style="width: 300px; float: right;" /></a>網頁應用程式框架的舊漏洞，最近又有駭客拿出來利用，而引起研究人員的關注。資安業者Sophos指出，他們在今年5月初發現有人針對網頁應用程式框架Telerik UI下手，利用3年前被揭露的漏洞CVE-2019-18935（CVSS風險評分為9.8分）發動攻擊，於受害系統上植入Cobalt Strike與挖礦軟體。</p> <p>此漏洞與Telerik UI for ASP.NET AJAX元件有關，攻擊者利用RadAsyncUpload功能的.NET反序列化漏洞，並搭配CVE-2017-11317或CVE-2017-11357漏洞取得加密金鑰，就有機會觸發CVE-2019-18935，進而遠端執行程式。</p> <p>由於CVE-2019-18935已在2020年與2021年，被美國政府列入最常遭到利用的資安漏洞清單，研究人員呼籲組織應儘速修補Telerik UI的相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/26m-rps-ddos/"><span style="color: rgb(0, 0, 0);">大規模HTTPS流量DDoS攻擊鎖定Cloudflare免費用戶下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png" style="width: 300px; float: right;" /></a>駭客不只發動DDoS攻擊，還使用了HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻每秒發出2千6百萬次請求（RPS）的大規模DDoS攻擊行動，目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>該公司研判，駭客濫用雲端服務上的虛擬機器（VM）與伺服器主機來發動攻擊。而他們也曾在今年4月攔截類似的攻擊行動，並指出這種使用HTTPS流量的DDoS攻擊手法，駭客會使用大量的垃圾請求，來耗盡目標伺服器的處理器與記憶體資源。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.confiant.com/how-seaflower-%E8%97%8F%E6%B5%B7%E8%8A%B1-installs-backdoors-in-ios-android-web3-wallets-to-steal-your-seed-phrase-d25f0ccdffce"><span style="color: rgb(0, 0, 0);">行動裝置後門程式SeaFlower竊取加密貨幣錢包的通關密語</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png" style="width: 300px; float: right;" /></a>近期出現鎖定安卓行動裝置偷取加密貨幣資產的惡意程式，但也有駭客對iPhone用戶下手。資安業者Cofiant於2022年3月，發現針對Web3使用者而來的SeaFlower攻擊行動，這些駭客建置冒牌的加密貨幣錢包網站，提供帶有惡意程式碼的加密錢包App，進而從安卓與iPhone手機竊取加密錢包的通關密語（Seed Words），將受害者的Coinbase、MetaMask、TokenPocket，以及imToken的錢包洗劫一空。</p> <p>而駭客如何引誘被害人前往冒牌網站，下載假的加密錢包App？答案是這些駭客購買了百度的搜尋引擎最佳化（SEO）廣告，研究人員在百度搜尋引擎輸入download metamask ios並執行搜尋，結果第一個項目就是SeaFlower駭客所架設的網站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-creates-site-for-employees-to-search-for-their-stolen-data/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat架設個資外洩查詢網站，疑透過員工向受害組織施壓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg" style="width: 300px; float: right;" /></a>為了脅迫受害組織付錢，勒索軟體駭客普遍在加密檔案前竊取機密資料，做為後續索討贖金的籌碼，但現在有人打算藉由與受害組織有關的人士來施壓，給予更大的付款壓力。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）近期攻擊美國俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。但與其他攻擊事件不同的是，駭客不只在洋蔥網路（Tor）的網站上公布資料，還架設了類似於個資外洩查詢「Have I Been Pwned」的網站，讓該飯店員工或是客戶，能透過查詢的方式，確認自己的個資是否受到攻擊事件影響。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金，而該飯店可能為了避免員工與住戶的集體訴訟，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat透過ProxyLogon漏洞入侵受害組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）疑似與之前攻擊美國大型油料輸送業者的另一個駭客Darkside有關，而引起研究人員的關注，最近又有相關的動態揭露。微軟近期公布他們對於BlackCat的發現，這群駭客在部分攻擊行動中，對於Exchange伺服器漏洞ProxyLogon下手，而成功進入受害組織的網路環境，進而掌握網域伺服器、管理員帳號，以及網路裡所有的電腦等相關資訊，過了約兩天半，攻擊者藉由PowerShell程式碼ADRecon，收集AD環境的各式資料，然後使用SMB協定或遠端桌面連線（RDP）存取受害電腦，並竊取組織的內部機密資料，最終使用PsExec散布並執行勒索軟體。</p> <p>而對於攻擊者的身分，研究人員至少確定有兩個駭客組織使用BlackCat，分別是DEV-0237（亦稱FIN12）與DEV-0504，前者是從先前使用的攻擊工具為Hive，轉換成BlackCat的用戶，後者則是往往會利用駭客組織LockBit提供的竊密工具StealBit，在加密檔案前下載受害電腦裡的檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/confluence-servers-hacked-to-deploy-avoslocker-cerber2021-ransomware/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞也被勒索軟體駭客利用</span></a></strong></h3> <p>在6月初獲報並修補的Atlassian Confluence漏洞CVE-2022-26134，之前傳出有多個駭客組織用於挖礦攻擊，現在也被勒索軟體駭客盯上。根據資安業者Prodaft、資安研究團隊MalwareHunterTeam，以及微軟的威脅情報團隊，發現勒索軟體AvosLocker、Cerber2021（亦稱CerberImposter）正在利用上述漏洞發動攻擊。</p> <p>Prodaft指出，AvosLocker鎖定尚未修補的Confluence伺服器，發動大規模攻擊，至少在美國、歐洲、澳洲已出現受害組織；MalwareHunterTeam與微軟則發現Cerber2021的攻擊行動，且駭客疑似同時加密了Confluence伺服器的配置檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/helloxd-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Hello XD不只加密電腦檔案，還會植入後門</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x4k-youtube-channel.png" style="width: 300px; float: right;" />新的勒索軟體不只在攻擊過程裡採取雙重勒索手法，還可能進一步部署其他工具在受害電腦常駐。資安業者Palo Alto Networks指出，他們在2021年11月發現名為Hello XD的勒索軟體，疑似從勒索軟體Babuk發展而來，引起他們關注的是其中一個Hello XD執行的過程中，會下載後門程式MicroBackdoor，從而在受害電腦存取、上傳、下載檔案，甚至執行多種命令。</p> <p>而這個駭客組織向受害者索討贖金的管道，主要是透過即時通訊軟體Tox Chat，或是其他藉由洋蔥網路（Tor）連線的即時通訊服務，但沒有透過特定的網站公布受害組織的名稱。根據上述的後門程式進行調查，研究人員認為攻擊者的身分是名為x4k的駭客組織（亦稱x4kme、unKn0wn、L4ckyguy）。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/new-jersey-school-district-forced-to-cancel-final-exams-amid-ransomware-recovery-effort/"><span style="color: rgb(0, 0, 0);">美國紐澤西州學校因遭勒索軟體攻擊取消期末考</span></a></strong></h3> <p>美國學校因勒索軟體攻擊影響運作的情況頻傳，近期有林肯學院因延誤招生工作而被迫閉校，現在又有學校因攻擊事故而停擺。根據資安新聞網站Recorded Future的報導，位於紐澤西州的公立學區Tenafly Public Schools，於6月2日遭到勒索軟體攻擊，校方正在復原相關系統，並決定取期未考。</p> <p>該校區聯絡經理Christine Corliss表示，他們在發現學校有檔案無法正常存取後，就委由網路安全專家協助調查，進而確認遭到勒索軟體攻擊，這些專家隨後亦聯繫美國聯邦調查局（FBI）、當地執法機關、資安險業者，但沒有透露是遭到何種勒索軟體攻擊。該名經理指出，目前資安人員已復原Google Workspace、Google Classroom、Google Drive的運作，而在此之前，師生則是透過投影機、紙筆進行教學，雖然系統復原狀態良好，但她無法保證完全恢復正常的時間。</p> <p>一名不願具名的學生家長向該新聞網站投訴，Google Classroom、評分系統等都無法使用，但校方行政部門對於此事始終三緘其口，沒有進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shopriteholdings.co.za/articles/Newsroom/2022/possible-data-compromise.html"><span style="color: rgb(0, 0, 0);">非洲大型連鎖超市Shoprite遭駭客勒索</span></a></strong></h3> <p>近年來開發中國家逐步數位化，遭到網路攻擊的情況也有數起事故。非洲大型連鎖超市Shoprite於6月10日證實，該公司疑似遭到駭客入侵，部分客戶姓名與身分證字號外洩，曾在史瓦帝尼、納米比亞，以及尚比亞等國家匯款的客戶受到波及，但外洩資料不含銀行帳號或其他金融資訊。該公司已發送簡訊通知相關客戶，並呼籲不要在電話、簡訊、電子郵件等管道進行溝通時，隨意透露個資。</p> <p>而<a href="https://www.bleepingcomputer.com/news/security/extortion-gang-ransoms-shoprite-largest-supermarket-chain-in-africa/">根據資安新聞網站Bleeping Computer的報導</a>，這起事故疑似勒索軟體駭客組織RansomHouse所為，該組織也在加密通訊軟體Telegram的頻道指出，Shoprite竟使用明文存放客戶資料，該組織與受害公司接洽後，對方只是變更密碼了事。RansomHouse宣稱不只取得對方的客戶資料，亦包含其他內部資料，假若Shoprite沒有做出符合他們期待的回應，駭客將會將竊得的資料出售。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/new-p2p-botnet-panchan"><span style="color: rgb(0, 0, 0);">P2P殭屍網路Panchan鎖定教育單位的Linux伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/admin-panel.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/admin-panel.png" style="width: 300px; float: right;" /></a>駭客鎖定Linux伺服器發動攻擊的現象，近期可說是越來越頻繁，且手法日趨隱密。資安業者Akamai發現了從2022年3月開始行動的殭屍網路Panchan，該殭屍網路主要的攻擊目標是Linux伺服器，駭客使用Go語言打造其殭屍網路病毒，該惡意軟體採用了SSH字典攻擊來入侵受害伺服器，同時也進一步企圖獲取SSH金鑰來進行橫向移動。在成功入侵受害伺服器後，Panchan會開啟可執行檔，向Discord Webhook發起HTTPS POST請求，這麼做的目的很可能是為了進行監控。該殭屍網路病毒為了能持續在受害伺服器上運作，會將自己複製到/bin/systemd-worker，並建立新的systemd服務，同時將自己偽裝成一般的系統服務，且會在伺服器開機後啟動，進而執行挖礦軟體xmrig與nbhash，這些挖礦軟體都在記憶體內執行而難以察覺。</p> <p>研究人員發現有209臺受害伺服器，當中有40臺正在挖礦，大部分受害伺服器都位於教育單位，遍布臺灣、香港，以及西班牙。研究人員認為攻擊者可能來自日本，並呼籲組織應採用雙因素驗證（MFA）、監控虛擬機器（VM）活動，以及限縮SSH存取的管道，來防範此種攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/davidalvarez/linux-threat-hunting-syslogk-a-kernel-rootkit-found-under-development-in-the-wild/"><span style="color: rgb(0, 0, 0);">Linux蠕蟲程式Syslogk於受害主機載入後門程式</span></a></strong></h3> <p>駭客透過開源專案，針對Linux開發攻擊程式的情況，最近已有數起事故。例如，防毒業者Avast揭露名為Syslogk的惡意程式，這是駭客透過開源的Rootkit程式Adore-Ng開發而來的攻擊工具，能將其模組載入Linux核心，從而隱藏特定的檔案資料夾與網路流量，並在受害主機植入後門程式Rekoobe。</p> <p>研究人員指出，該Rootkit程式第一次載入到Linux核心後，便會將自己從已經安裝的軟體模組清單裡刪除，來規避管理人員檢查，而在後續部署後門程式之後，此後門程式會處於休眠狀態而不會有任何行動，直到上述Rootkit收到攻擊者特定的魔術封包（Magic Packet），後門程式才會開始運作，此後Syslogk依照攻擊者指示啟動或暫停後門程式運作，來降低被發現的機會。研究人員呼籲IT人員要提高警覺，來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/pingpull-gallium/"><span style="color: rgb(0, 0, 0);">中國駭客Gallium利用木馬程式PingPull攻擊電信業者、金融與政府單位</span></a></strong></h3> <p>美國日前針對中國駭客攻擊電信業者的行動提出警告，最近又有研究人員發現，駭客使用難以發現的木馬程式，攻擊電信業。資安業者Palo Alto Networks指出，中國駭客組織Gallium（亦稱Softcell），以攻擊東南亞、歐洲、非洲電信業者在網路犯罪者之間闖出名號，但最近一年該組織擴大其攻擊範圍，也開始對於金融機構與政府單位出手，同時駭客運用了名為PingPull的木馬程式，這個木馬程式提供反向Shell的功能，讓駭客能遠端下達命令。</p> <p>研究人員針對其中3個版本的PingPull進行分析，其共通點是木馬程式都是冒統系統服務的方式運作，但攻擊者疑似規避特定的資安防護系統，這些木馬程式與C2連線的過程中，使用了不同的網路通訊協定：ICMP、HTTPS、TCP。研究人員確定該組織在最近一年內，至少鎖定了9個國家下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/lyceum-net-dns-backdoor"><span style="color: rgb(0, 0, 0);">伊朗駭客利用DNS後門程式對能源組織下手</span></a></strong></h3> <p>伊朗駭客去年多次鎖定關鍵基礎設施（CI）下手的情況，引起歐美高度關注，最近又有新的攻擊行動。資安業者Zscaler揭露駭客組織Lycaeum（亦稱Hexane、Spilrin）近期的攻擊行動，該組織以開源軟體DIG.net為基礎，以.NET打造了新的後門程式，進而發動DNS挾持攻擊，鎖定中東能源組織而來。</p> <p>駭客透過含有伊朗軍事新聞報導的Word檔案作為誘餌，吸引受害者開啟，一旦開啟檔案，攻擊者就會在受害電腦植入DNS後門程式，並執行後續的流量追蹤，或是從C2接收發動攻擊的命令。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/security/25-million-free-vpn-user-records-exposed/"><span style="color: rgb(0, 0, 0);">免費VPN服務疑資料庫配置不當，曝露2,500萬筆記錄</span></a></strong></h3> <p>服務業者的資料庫如果未做好防護，很可能會導致資料外洩而使得用戶的身分曝光。資安新聞網站Cybernews的研究人員指出，他們發現公開的Elasticsearch資料庫，內含免費VPN應用程式BeanVPN產生的2,500萬筆記錄，包含用戶設備的ID、VPN服務ID、來源IP位址，以及連線時間等資料，檔案大小為18.5 GB。</p> <p>研究人員指出，這些資料可以讓攻擊者找到用戶所在的地理位置、連線設備，以及電子郵件信箱等資料。他們多次向提供服務的業者Imsoft通報，但沒有得到任何回應，而上述的Elasticsearch資料庫已經下線。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.hertzbleed.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露Intel、AMD處理器旁路攻擊手法Hertzbleed</span></a></strong></h3> <p>最近幾年筆電的續航力顯著成長，當中處理器的功耗管理機制扮演重要的角色，但這類機制也可能成為駭客發動攻擊的管道。德州大學奧斯汀分校、伊利諾大學厄巴納-香檳分校（UIUC）、華盛頓大學的研究人員聯手，發現了名為Hertzbleed的旁路攻擊手法，一旦攻擊者利用這項漏洞，就能藉由觀察Intel與AMD處理器的動態電壓與時脈調整（DVFS）機制中，所控制的處理器頻率，來竊取完整的加密金鑰。</p> <p>DVFS是時下處理器採用的電源管理功能，能在電腦以高負載運作時避免溫度過高而故障，並在低負載運作時降低功耗。</p> <p>對此，Intel證實旗下全部處理器產品確實存在上述漏洞，並以CVE-2022-24436進行列管，AMD則指出旗下採用Zen 2與Zen 3微架構的產品曝險，包含多個系列的Ryzen產品線，以及第1代與第2代EPYC伺服器處理器等，並將該漏洞登錄為CVE-2022-23823。兩家公司皆提供開發人員緩解措施，但研究人員指出，兩家公司都不打算發布相關修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://pacmanattack.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊蘋果M1晶片的手法PACMAN</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pacman-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pacman-overview.png" style="width: 300px; float: right;" /></a>蘋果自行研發的M1晶片，存在可被用於攻擊的管道而引起研究人員關注。麻省理工學院電腦科學與人工智慧實驗室（CSAIL）揭露名為PACMAN的攻擊手法，駭客可藉由電腦軟體的記憶體相關漏洞觸發，繞過M1系統單晶片（SoC）的指標驗證機制（Pointer Authentication，PAC），來攻擊Mac電腦。研究人員指出，PACMAN會將原本的軟體記憶體執行錯誤，利用原語（Primitive，此處即PAC）來放大效應，攻擊者很可能得以執行任意程式碼。</p> <p>研究人員於去年底向蘋果通報，而該公司認為這種攻擊手法還需要搭配其他漏洞，不會對用戶直接造成威脅。雖然這項手法尚未被用於實際攻擊行動，但CSAIL呼籲Mac電腦用戶，應該使用最新版本軟體來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/travis-ci-security"><span style="color: rgb(0, 0, 0);">軟體開發測試平臺Travis CI恐曝露數千個GitHub、AWS、Docker憑證</span></a></strong></h3> <p>持續整合（CI）服務平臺存在的弱點，很可能導致用戶的雲端服務帳號外洩。資安業者Aqua Security指出，他們發現免費版本的Travis CI在防護措施上的缺失，進而使得用戶的事件記錄（Log）檔案曝光，危及GitHub、AWS、Docker Hub等雲端服務的登入帳密或是Token，超過7.7億筆事件記錄曝光。</p> <p>研究人員發現，透過2個Travis CI的API呼叫，並搭配列舉的命令，他們可取得大量明碼的事件記錄，結果他們從2013年至今年5月，總共截取7.74億筆資料，研究人員以其中1%進行分析，挖掘出7.3萬個帳密或是Token，他們也將相關結果通報給前述的雲端業者，對方已立即回應此事並採取因應措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/critical-code-execution-vulnerability-patched-splunk-enterprise?"><span style="color: rgb(0, 0, 0);">Splunk重大漏洞恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>Splunk於6月14日發布資安通告，指出Splunk Enterprise存在漏洞CVE-2022-32158，這項漏洞與Splunk Enterprise的部署伺服器（deployment server）有關，攻擊者一旦加以利用，可入侵其中一個Universal Forwarder端點後，在其他與相同部署伺服器註冊的Universal Forwarder端點上執行任意程式碼，CVSS風險評分為9.0分。Splunk Cloud Platform（SCP）平臺因不使用部署伺服器元件，該平臺的用戶不受影響。該公司呼籲Splunk Enterprise用戶，升級9.0版軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://support.citrix.com/article/CTX460016/citrix-application-delivery-management-security-bulletin-for-cve202227511-and-cve202227512"><span style="color: rgb(0, 0, 0);">Citrix ADM重大漏洞可讓攻擊者重設管理員密碼</span></a></strong></h3> <p>IT業者Citrix近期針對旗下的應用程式交付的管理平臺Application Delivery Management（ADM），修補CVE-2022-27511、CVE-2022-27512兩項漏洞，攻擊者一旦利用，就有可能透過未經身分驗證的使用者，遠端中斷系統的運作，並在管理者重新啟動ADM後，重設管理員的密碼，進而讓攻擊者能透過SSH連線，並使用預設密碼存取管理者帳號存取ADM。這些漏洞同時會影響伺服器與用戶端軟體，該公司發布13.1-21.53版與13.0-85.19版予以修補，呼籲用戶應儘速升級新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-june-2022-improper-access-control-can-compromise-your-systems"><span style="color: rgb(0, 0, 0);">SAP修補嚴重的NetWeaver漏洞</span></a></strong></h3> <p>SAP於6月14日發布6月份例行修補，當中緩解了17個漏洞，其中包含了數個重大漏洞，其中像是針對用戶端軟體SAP Business Client的更新，導入了Chromium 101.0.4951.54，修補之前版本82個弱點，其中包含了CVSS評分達10分的漏洞，亦有部分已出現攻擊行動。</p> <p>再者，本次SAP也修補了SAPRouter存取控制不當的漏洞CVE-2022-27668，該漏洞CVSS風險評分為8.6分，影響NetWeaver與ABAP平臺；另一個與存取控制有關的漏洞，影響NetWeaver AS Java，CVSS評分為8.2分，有可能導致系統損毀。SAP指出，所幸這些漏洞尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-secure-email-bug-can-let-attackers-bypass-authentication/"><span style="color: rgb(0, 0, 0);">思科修補電子郵件防護系統可被用於繞過身分驗證的漏洞</span></a></strong></h3> <p>思科於6月15日發布資安通告，指出旗下的郵件安全設備Email Security Appliance（ESA），以及管控郵件與網路的Secure Email and Web Manager兩款產品，存在漏洞CVE-2022-20798，一旦攻擊者利用這項漏洞，就有可能在登入介面輸入特定內容，進而繞過外部的身分驗證機制，存取受害系統的網頁管理介面，CVSS風險評分為9.8分，該公司發布新版Async軟體元件予以修補。</p> <p>思科指出，僅有啟用外部身分驗證，並搭配LDAP的用戶才會受到波及，採用預設配置而沒有開啟外部身分驗證機制的用戶不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/"><span style="color: rgb(0, 0, 0);">微軟修補MSDT零時差漏洞</span></a></strong></h3> <p>微軟於6月14日發布每月例行修補（Patch Tuesday），當中總共修補了55個漏洞，其中有1個是零時差漏洞，那就是5月底引起許多研究人員關注的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟針對工作站與伺服器版本Windows發布修補程式，電腦安裝相關更新程式後，將會防堵駭客執行PowerShell注入的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/06/14/security_azure_patch/"><span style="color: rgb(0, 0, 0);">資安業者指控微軟對Azure Synapse Analytics漏洞回應不夠積極</span></a></strong></h3> <p>最近有2家資安業者不約而同指出，微軟對於資料分析服務Azure Synapse Analytics的漏洞處理不甚積極。</p> <p>資安業者Orca Security揭露名為SynLapse的漏洞（CVE-2022-29972）攻擊者一旦利用此漏洞，就有可能繞過資料分析服務的租戶分離機制，來控制其他使用者的工作區。但研究人員指出，他們在今年1月就向微軟通報，該公司從3月開始發布修補程式，卻都修補不全，直到5月底才確實完成修補。</p> <p>無獨有偶，漏洞管理解決方案業者Tenable也指出，他們在今年3月向微軟通報了2個漏洞，其中一個允許攻擊者利用Spark VM的脈絡（context），將提升權限為root；另一個則是可讓攻擊者用竄改Spark池裡所有節點的hosts檔案，然而，該公司指控，微軟僅默默在89天後，修補了權限提升漏洞，另一個迄今尚未修補，也並未對客戶告知這些漏洞的嚴重性。Tenable表示，他們並非少數被微軟輕忽的通報者，而此舉將導致Azure Synapse Analytics用戶不知道已經曝險，是相當不負責任的做法。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cybavo.com/zh-tw/blog/announcing-cybavo-to-join-circle/"><span style="color: rgb(0, 0, 0);">美國Fintech業者併購臺灣資安新創Cybavo</span></a></strong></h3> <p>隨著加密貨幣業者對於資安的需求與日俱增，很可能會買下資安公司強化相關防護。發行美元穩定幣（USDC）的Fintech業者Circle，於6月10日宣布，將買下臺灣資安新創業者Cybavo，期望藉此在旗下產品裡，整合Cybavo加密貨幣資產管理解決方案Cybavo Vault，來強化區塊鏈與Web3的安全。Circle將打算與Cybavo共同推動USDC與Web3，並將Cybavo旗下產品納入Circle產品線並繼續開發。Cybavo也發出聲明，現有客戶將不會受到影響，該公司將持續提供相關產品與服務。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/jun/14/nso-group-pegasus-us-l3harris"><span style="color: rgb(0, 0, 0);">美國國防廠商傳出打算買下網路間諜公司NSO Group</span></a></strong></h3> <p>惡名昭彰的以色列網路間諜公司NSO Group，先前因多個國家政府施壓，而打算將間諜軟體Pegasus相關部門出售，近期竟傳出有美國國防業者打算併購該公司的消息。根據新聞網站Intelligence Online、衛報、華盛頓郵報、Haaretz的報導，美國知名國防承包商L3Harris有意買下NSO Group，主要是為了該公司間諜軟體的核心技術。</p> <p>衛報指出，這項併購案需要經過美國與以色列政府同意，前者將NSO Group列為制裁對象，後者由國防部進行監管，要通過這兩關並不容易。Haaretz指出，此事美國聯邦調查局（FBI）與中央情報局（CIA）都知情；對此一名美國白宮官員向衛報透露，此交易很可能對美國政府帶來嚴重的情報收集問題。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/blog/2022/06/14/microsoft-to-acquire-miburo/"><span style="color: rgb(0, 0, 0);">微軟併購外國網路威脅情資業者Miburo</span></a></strong></h3> <p>為了防範國家駭客與激進主義份子的網路威脅，微軟於6月14日宣布買下網路威脅分析及偵測服務業者Miburo，並計畫在完成併購後，將Miburo整合進微軟客戶安全與信賴事業群，並與該公司的威脅情報中心、威脅情境分析團隊，以及資料科學家等部門合作。外界認為，此項併購案也可能有助於微軟爭取美國政府的資安預算。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.se.com/ww/en/about-us/newsroom/news/press-releases/schneider-electric-and-claroty-launch-%27cybersecurity-solutions-for-buildings%27-reducing-cyber-and-asset-risks-for-smart-buildings-62a32e83abbdca1a52279ba4"><span style="color: rgb(0, 0, 0);">施耐德電機與資安業者Claroty聯手，推出智慧建築資安解決方案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.forescout.com/blog/r4iot-when-ransomware-meets-the-internet-of-things/"><span style="color: rgb(0, 0, 0);">研究人員揭露同時針對IT與OT環境的勒索軟體攻擊手法</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客組織8220也利用Atlassian Confluence伺服器挖礦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pypi-package-keep-mistakenly-included-a-password-stealer/"><span style="color: rgb(0, 0, 0);">PyPI套件Keep疑似被植入竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-exposes-an-iranian-phishing-campaign-targeting-former-israeli-foreign-minister-former-us-ambassador-idf-general-and-defense-industry-executives/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定以色列與美國前官員發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sonarsource.com/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra漏洞恐讓攻擊者竊取用戶明文密碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.syss.com/posts/rooting-mitel-desk-phones-through-the-backdoor/"><span style="color: rgb(0, 0, 0);">Mitel旗下IP電話存在漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/06/vuln-spotlight-anker-eufy-homebase.html"><span style="color: rgb(0, 0, 0);">Anker Eufy智慧家庭裝置存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.f5.com/labs/articles/threat-intelligence/f5-labs-investigates-malibot"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MaliBot鎖定義大利和西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/13/hydra-android-malware-distributed-via-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬Hydra鎖定歐洲銀行客戶，偽裝成文件管理App上架Google Play市集</span></a></span></strong></p> </div></div></div>
2022/6/18 10:08作者周峻佑https://www.ithome.com.tw/news/151513
【資安日報】2022年6月17日，WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零時差漏洞在獲得修補前就遭到利用的情況，今天就有兩起，其中又以WordPress網站的表單外掛程式Ninja Forms相當引起關注，其嚴重程度也使得WordPress疑似採取了強制更新的手法，為超過70萬個網站派送更新版套件。</p> <p>另一則我們想要請大家注意的新聞，是有關於勒索軟體駭客的脅迫手法，現今許多駭客會竊取受害組織的資料再行加密，以利後續運用竊得的資料，要脅組織付錢，但現在出現了新的手法，是要資料外洩的員工或是客戶給受害組織施壓，但後續發展如何有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/06/psa-critical-vulnerability-patched-in-ninja-forms-wordpress-plugin/"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Ninja Forms漏洞已遭利用</span></a></strong></h3> <p>提供WordPress網站管理者建置表單的外掛程式存在漏洞，有可能導致網站遭受攻擊。資安業者Wordfence指出，外掛程式Ninja Forms最近推送新的版本，原因很可能是為了修補一項程式碼注入漏洞（尚未取得CVE編號），駭客一旦利用這個弱點，就有可能在未通過身分驗證的情況下，從這個外掛程式的類別（class）呼叫數種方法，包含一種將使用者提供的內容非序列化的方法，從而導致物件注入攻擊。當網站上的屬性導向程式設計（Property Oriented Programming，POP）鏈存在時，攻擊者可藉此能夠執行任意程式碼，或是刪除網站上任意檔案。研究人員指出，他們找到這項漏洞已遭到攻擊者廣泛利用的跡象，呼籲WordPress用戶應儘速安裝已修補的新版套件。</p> <p>資安新聞網站Bleeping Computer指出，自開發商於6月14日發布新版套件以來，已有73萬次下載，有如此數量的網站更新該外掛軟體，原因很可能是WordPress採取了強制更新的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-creates-site-for-employees-to-search-for-their-stolen-data/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat架設個資外洩查詢網站，疑透過員工向受害組織施壓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg" style="width: 300px; float: right;" /></a>為了脅迫受害組織付錢，勒索軟體駭客普遍在加密檔案前竊取機密資料，做為後續索討贖金的籌碼，但現在有人打算藉由與受害組織有關的人士來施壓，給予更大的付款壓力。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）近期攻擊美國俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。但與其他攻擊事件不同的是，駭客不只在洋蔥網路（Tor）的網站上公布資料，還架設了類似於個資外洩查詢「Have I Been Pwned」的網站，讓該飯店員工或是客戶，能透過查詢的方式，確認自己的個資是否受到攻擊事件影響。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金，而該飯店可能為了避免員工與住戶的集體訴訟，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/new-p2p-botnet-panchan"><span style="color: rgb(0, 0, 0);">P2P殭屍網路Panchan鎖定教育單位的Linux伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/admin-panel.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/admin-panel.png" style="width: 300px; float: right;" /></a>駭客鎖定Linux伺服器發動攻擊的現象，近期可說是越來越頻繁，且手法日趨隱密。資安業者Akamai發現了從2022年3月開始行動的殭屍網路Panchan，該殭屍網路主要的攻擊目標是Linux伺服器，駭客使用Go語言打造其殭屍網路病毒，該惡意軟體採用了SSH字典攻擊來入侵受害伺服器，同時也進一步企圖獲取SSH金鑰來進行橫向移動。在成功入侵受害伺服器後，Panchan會開啟可執行檔，向Discord Webhook發起HTTPS POST請求，這麼做的目的很可能是為了進行監控。該殭屍網路病毒為了能持續在受害伺服器上運作，會將自己複製到/bin/systemd-worker，並建立新的systemd服務，同時將自己偽裝成一般的系統服務，且會在伺服器開機後啟動，進而執行挖礦軟體xmrig與nbhash，這些挖礦軟體都在記憶體內執行而難以察覺。</p> <p>研究人員發現有209臺受害伺服器，當中有40臺正在挖礦，大部分受害伺服器都位於教育單位，遍布臺灣、香港，以及西班牙。研究人員認為攻擊者可能來自日本，並呼籲組織應採用雙因素驗證（MFA）、監控虛擬機器（VM）活動，以及限縮SSH存取的管道，來防範此種攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.volexity.com/blog/2022/06/15/driftingcloud-zero-day-sophos-firewall-exploitation-and-an-insidious-breach/"><span style="color: rgb(0, 0, 0);">Sophos防火牆3月底的漏洞修補，傳出中國駭客在此之前就已經著手濫用</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-DriftingCloud-Sophos-0day-Attack-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-DriftingCloud-Sophos-0day-Attack-Flow.png" style="width: 300px; float: right;" /></a>資安業者Sophos於3月底修補旗下防火牆的漏洞CVE-2022-1040，但有研究人員發現駭客在3月初就用於攻擊行動。資安業者Volexity在3月初發現客戶的Sophos防火牆出現異常活動，經過分析後得知防火牆被植入後門程式，駭客入侵的管道就是上述的漏洞CVE-2022-1040，CVSS風險評分為9.8分。</p> <p>攻擊者在防火牆植入後門程式Web Shell，並建立VPN帳號來執行中間人攻擊（MitM），進而竄改DNS回應內容，竊得防火牆的管理員帳號。研究人員指出，駭客使用的Web Shell，是中國駭客常用的惡意框架Behinder，該框架4月也有人用於攻擊協作平臺Atlassian Confluence與SonicWall郵件安全閘道設備。</p> <p>針對攻擊者的身分，研究人員認為是中國駭客組織DriftCloud，該組織專門攻擊可能會動搖中國政權的「五毒（Five Poisons）」相關組織，且手法純熟，他們呼籲相關組織部署網路安全監控機制來加以防範，並提供YARA特徵碼讓組織能識別相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/security/25-million-free-vpn-user-records-exposed/"><span style="color: rgb(0, 0, 0);">免費VPN服務疑資料庫配置不當，曝露2,500萬筆記錄</span></a></strong></h3> <p>服務業者的資料庫如果未做好防護，很可能會導致資料外洩而使得用戶的身分曝光。資安新聞網站Cybernews的研究人員指出，他們發現公開的Elasticsearch資料庫，內含免費VPN應用程式BeanVPN產生的2,500萬筆記錄，包含用戶設備的ID、VPN服務ID、來源IP位址，以及連線時間等資料，檔案大小為18.5 GB。</p> <p>研究人員指出，這些資料可以讓攻擊者找到用戶所在的地理位置、連線設備，以及電子郵件信箱等資料。他們多次向提供服務的業者Imsoft通報，但沒有得到任何回應，而上述的Elasticsearch資料庫已經下線。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-exposes-an-iranian-phishing-campaign-targeting-former-israeli-foreign-minister-former-us-ambassador-idf-general-and-defense-industry-executives/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定以色列與美國前官員發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/06/vuln-spotlight-anker-eufy-homebase.html"><span style="color: rgb(0, 0, 0);">Anker Eufy智慧家庭裝置存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.f5.com/labs/articles/threat-intelligence/f5-labs-investigates-malibot"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MaliBot鎖定義大利和西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/13/hydra-android-malware-distributed-via-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬Hydra鎖定歐洲銀行客戶，偽裝成文件管理App上架Google Play市集</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> </div></div></div>
2022/6/17 18:12作者周峻佑https://www.ithome.com.tw/news/151507
低軌衛星夯，MIC：2021年全球衛星發射數量突破1千顆，估2021年到2030年每年將發射逾1,700顆衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球低軌衛星市場快速成長，資策會MIC指出去年全球衛星單年度發射數量已突破1千萬，而在SpaceX、OneWeb等新興衛星服務業者加速下，預估2021年到2030年每年將發射逾1,700顆衛星，帶動全球衛星產業的發展。</p> <p>MIC資深產業分析師曾巧靈表示，根據美國衛星產業協會(Satallite Industry Association)統計，2020年全球太空經濟規模達3,713億美元，其中包含衛星發射、製造、服務及地面設備的衛星產業即佔74%，預期未來在主要國家如美國投資加大，以及低軌衛星通訊規模商用下，預估到2040年全球太空經濟規模達1兆美元，衛星產業佔比上看88%，達9,252億美元。</p> <p>而從衛星發射數量來看，曾巧靈指出，過去20年全球衛星發射數量在每年200顆以下，這幾年發射數量快速上升，例如2019年低軌衛星布署就有490顆，2020年更是突破1千顆，在衛星業者及新業者規畫下，預期2021年到2030年每年發射將超過1,700顆衛星，大部分為低軌衛星，以2021年為例，低軌衛星(LEO)發射數量已是高軌衛星(GEO)的61.6倍。</p> <p>而低軌衛星的用途，由於距離地面比高軌衛星來得更近，過去主要以地球觀測為主，SpaceX、OneWeb等業者規畫擴大低軌衛星星系，拓展低軌衛星通訊服務之下，2021年通訊應用已佔低軌衛星的8成以上。</p> <p>曾巧靈表示，相較於高軌或中軌衛星用於衛星電視、廣播、導航、衛星電話/窄頻連網，覆蓋較小，需要上百顆衛星建立星系的低軌衛星，多用於衛星寬頻、衛星電視及IoT。目前營運低軌衛星的服務業者以北美為主，除了以提供衛星電腦、IoT衛星通訊服務的GlobalStar、Iridium、Orbcomm，還有以提供衛星寬頻服務為主，已有2.405顆低軌衛星在軌運作的Starlink，加拿大的Telesat，Verizon與Amazon合作的Project Kuiper也相當積極，長遠規畫發射7,824顆低軌衛星，其他如歐洲、亞洲地區，有英國與印度合作成立的OneWeb、中國航天等等。</p> <p>目前較積極的幾家低軌衛星服務商，因為全球疫情、俄烏戰爭國際情勢緊張影響，突顯衛星價值或是導致衛星星系布建計建受阻。</p> <p>以SpaceX底下的Starlink為例，去年才開始商轉，目前已發射2,500多顆衛星，在軌運作2.405顆低軌衛星，並在36個國家地區營運衛星寬頻通訊服務，約有40萬個用戶，未來長遠目標是在全球建立超過1萬顆的低軌衛星星系，擴大其衛星通訊服務涵蓋範圍。由於俄烏戰爭，烏克蘭當地的通訊受到破壞，Starlink啟用當地的衛星通訊服務援助烏克蘭，突顯低軌衛星的價值。</p> <p>已有428顆衛星在軌運作的OneWeb，因衛星發射仰賴俄羅斯，受俄烏戰爭影響，轉委託SpaceX協助發射，長遠目標為建立逾7千顆低軌衛星的星系；受注目的Project Kuiper，儘管是發展最晚的，但展現不小的企圖心，向美國FCC提出的衛星建置計畫，準備建置超過7千顆衛星星系。</p> <p>各方看好低軌衛星的通訊潛力，雖然低軌衛星涵蓋範圍比較小，需要建置一定數量規模的星系才能提供較好的網路涵蓋，但其通訊延遲可達30到50毫秒，和現有4G的延遲時間相當。目前Starlink針對消費、企業提供衛星寬頻網路服務，消費方案月租費為99美元，裝置費599美元，傳輸達100到200Mbps，企業衛星寬頻方案則是月租500美元，裝置費2,500美元，傳輸達150到500Mbps。</p> <p>目前低軌衛星通訊業者也與電信業者合作，以衛星寬頻服務作為偏遠山區或離島的通訊網路，或是與其他公司合作，提供航空器機上寬頻網路服務，或是海上船舶的寬頻網路。</p> <div> <p>值得關注幾個發展中的衛星通訊技術，關係到衛星通訊網路品質、以及營運成本，包括比傳統射頻傳輸速度更快的雷射光通訊、可滿足多應用需求的軟體定義無線電技術、用以追蹤衛星的相位陣列天線技術，以及地面網路託管服務等等。</p> <div> </div> </div> </div></div></div>
2022/6/17 18:53作者蘇文彬https://www.ithome.com.tw/news/151509
Martech雙周報第24期：遊戲內廣告成效追蹤標準13年來最大更新，與平面廣告標準統一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告成效追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#13年來政策大更新</span></span></strong></p> <p><strong>13年來最大更新，IAB跟MRC大幅更新遊戲內廣告成效追蹤標準</strong></p> <p>隨著疫情推動遊戲產業蓬勃發展，且3D、XR、元宇宙等技術逐漸熱門，遊戲內廣告的成效測量標準終於也睽違13年，迎來了一次大更新。負責單位<a href="https://www.iab.com/wp-content/uploads/2022/06/In-Game-Advertising-Measurment-Guidelines_Public-Comment-June-2022-2.pdf">美國互動廣告局（IAB）及美國媒體評議會（MRC）在本次修訂中</a>，不僅將遊戲內廣告的曝光定義跟其他平面廣告形式統一，更針對3D或虛擬環境遊戲廣告曝光，給出了使用者視角等相關定義。</p> <p>IAB對平面廣告的曝光標準定義是，靜態廣告必須於螢幕中有至少50%像素顯示1秒以上，動態廣告則是至少50%像素在螢幕中播放至少2秒以上。這些標準，現今也適用於遊戲內廣告。2009版本中，遊戲內廣告至少要顯示超過10秒以上才能算做一次曝光。</p> <p>若是3D或VR環境廣告，此標準規定要落在視覺中心向外展開55度角以內的廣告，才算曝光。此外，若超過50%廣告內容被其他遊戲內容擋住，也不算曝光。</p> <p>IAB消費者體驗中心副總裁Zoe Soon補充，2009版本的遊戲內廣告標準太過時，連MRC都不再使用該標準來評議遊戲內廣告，說明新版遊戲廣告測量標準早該推出。現在，新標準統一了遊戲與其他平面廣告的測量標準，將更利於行銷業者就追蹤並測量跨平臺廣告投放成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#防金融詐騙</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#廣告業者驗證</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Google Ads</span></strong></span></p> <p><strong>為防金融詐騙，上Google刊登金融商品廣告的業主得取得金管會授權，臺灣8月底開始實施</strong></p> <p>Google為了避免金融廣告詐騙，8月30日起，<a href="https://blog.google/technology/ads/expanding-our-efforts-to-combat-financial-fraud-in-ads/">要在臺灣、澳洲及新加坡地區投放Google Ads金融廣告</a>，必須先通過兩層驗證機制。首先，投放業者要證明自己有獲得相關政府單位授權，驗證Google廣告客戶驗證，提供資訊包括商業活動細節，包括基本資料、廣告出資者、商品、執業地點及流程等。此驗證程序將從6月底開始接受申請，不過相關驗證程序相對複雜，且30天內未完成相關驗證就會被凍結帳號。</p> <p>Google部落格中寫道，此驗證機制2021年先於英國實行後，相關詐騙回報單數顯著下降。接下來將分階段在各地區相繼推出此驗證機制。 </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片勘誤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片流量</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#流量轉換</span></span></strong></p> <p><strong>勘誤不需重新上傳讓流量數據歸零，Youtube新增原影片勘誤功能</strong></p> <p>Youtub<a href="https://www.socialmediatoday.com/news/youtube-adds-new-corrections-feature-to-add-relevant-update-notes-to-your/625524/">e新增影片勘誤功能</a>，當影片播放到有勘誤內容處時，右上角會出現資訊卡提示，點擊後會打開說明文字和可點擊跳轉的時間戳。</p> <p>過去，若Youtube創作者想要修改影片中錯誤資訊或更新最新資訊，必須重新剪輯影片後上傳新版影片。這種做法，會讓前一部影片累積的觸及數與互動數全都作廢，不利於頻道流量和創作者收入。有了勘誤功能，創作者就能在原影片中更新正確資訊，並保留影片流量數據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#使用者介面</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群平臺趨勢分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#分眾行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告轉換追蹤</span></span></strong></p> <p><strong>Tiktok推出趨勢追蹤工具，視覺化分析將熱門主題、歌曲、創作者及影片趨勢及受眾</strong></p> <p>Tiktok推出了<a href="https://ads.tiktok.com/business/creativecenter/inspiration/popular/music/pc/en?from=001115">趨勢追蹤工具</a>，能視覺化呈現平臺上Hashtags、歌曲、創作者及影片的表現分析。Hashtags篩選條件有產業類別、時間區間和最新入榜；歌曲分為最熱門和熱度竄升最快兩類，再分別依時間區間和最新入榜篩選；創作者可以分地域和追蹤者數量區間；影片也能依時間區間篩選。</p> <p>Hashtags跟歌曲還提供進階數據分析，如持續熱門時間、7天內流量、受眾年齡、興趣、地域、相關熱門創作者資料及作品等多種資料。Tiktok近期不斷嘗試增加自己對廣告商吸引力，上個月財推出的互動式市場分析平臺，都提供官方統計數計，給廣告商和創作者。</p> <p>不過，有使用者發現Tiktok正在測試「乾淨模式」，大幅減化短影音觀看介面，隱藏了讚數、Hashtag、使用者名稱、留言、分享等按鈕，避免這些選項過度遮住影片內容。僅管這增進了使用者體驗，但隱藏按讚、留言、分享等互動選項，等於提高了使用者互動門檻，隱藏Hashtag也可能降低使用者對特定議題印象，恐影響廣告流量的轉換。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Podcast廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準投放聲音廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SoundOn串接Spotify數據</span></span></strong></p> <p><strong>SoundOn推出可精準投放第三方聲音廣告的創作者分潤模式</strong></p> <p>臺灣Podcast公司SoundOn（聲浪）推出<a href="https://support.soundon.fm/zh-TW/articles/6306266-%E5%8B%95%E6%85%8B%E5%BB%A3%E5%91%8A%E7%BD%AE%E5%85%A5%E5%8A%9F%E8%83%BD%E6%AD%A3%E5%BC%8F%E4%B8%8A%E7%B7%9A">動態廣告置入服務</a>，可以像Youtube廣告一樣，在Podcast節目中間插入15到30秒的第三方聲音廣告。</p> <p>Podcast廣告的一大益處，是因為難以跳過，所以聽眾通常會完整聽取整段廣告。不過，過去Podcast廣告運作模式問題也不少，通常是廠商聯絡創作者，並由創作者錄製到節目中。對廠商而言，需要人工評估該節目受眾與自家產品受眾重疊程度，且與創作者接洽後還有可能遭拒；對創作者而言，自身節目需有一定聲量才有機會接觸這種合作，且直接錄製廣告到節目中代表著直接背書產品及該廠商，有後續公關風險。</p> <p>SoundOn新動態廣告運作模式，是有參與SoundOn Hosting創作者營利方案的創作者，以個別集數為單位，授權SoundOn置入指定類別的第三方廣告，並依廣告聆聽次數獲得分潤。這些第三方廣告，由廠商預先錄製，因此創作者不用承擔背書責任。SoundOn會根據廠商指定受眾分類與廣告主題，媒合適當的創作者，精準投放廣告，因此廠商既不用怕主動找創作者會找錯受眾，也不存在合作遭拒的問題。</p> <p>另外，SoundOn Hosting也和Spotify收聽數據串接，讓跨平臺聽眾分析更容易。創作者可以匯入Spotify節目收聽數據和Spotify用戶輪廓數據，與SoundOn節目數據結合，作為統一分析依據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上體驗行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#汽車業</span></span></strong></p> <p><strong>不做視訊線上賞車，臺灣福斯汽車如何用3D建模和AR數位環境建立</strong></p> <p>臺灣福斯汽車市場行銷總監陳冠宇在一場活動中，揭露福斯如何透過汽車3D建模及Web AR技術，將體驗行銷帶到線上。</p> <p>2021年，福斯新車款上市前一個月，剛好遇到疫情升溫，多項宣傳活動被迫取消，消費者出門賞車意願也大幅降低。不同於用視訊通話帶消費者線上看車的常見做法，福斯建立了汽車3D模型，在官網提供消費者線上賞車，更能提供給電視臺業配節目使用。福斯也設計了一個Web AR數位環境體驗，透過圖像識別技術，消費者可以用手機掃描雜誌、電腦螢幕或路上看到的新車款，來觸發解說動畫，並進入線上賞車體驗，累計觀看數超過200萬次，高達5成消費者進一步造訪官網。（<a href="https://ithome.com.tw/news/151470">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#產品發布提醒功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搶購功能</span></span></strong></p> <p><strong>Twitter將推出產品發布提醒功能，讓平臺上商家能透過手機提醒推播產品發布</strong></p> <p>Twitter表示，有些商家會透過自家平臺發布新產品，但過去一直沒有相關技術支援，因此只是單純以推文形式發布。現在，<a href="https://blog.twitter.com/en_us/topics/product/2022/be-part-of-the-hype--introducing-product-drops">Twitter新增Products Drop功能</a>，使用者看到產品預告推文時，可於推文中點擊提醒按鈕，Twitter就會在產品正式發布時推播提醒。</p> <p>此功能也與其他Twitter購物功能結合，例如設定提醒時也可以從程式內打開產品資訊頁，並點擊相關Hashtag以快速瀏覽相關產品在Twitter上的討論。點擊提醒時，也會跳出外部連結，直接帶消費者到商家網頁。提醒跟購買頁面中間沒有其他頁面跳轉或額外操作，就不會因為開啟Twitter而錯過搶購時機，尤其有益於限時或限量商品發布。</p> <p>聲明中，Twitter也提到Dior、HomeDepot、樂高等知名品牌，將於下次產品發布時使用此功能。</p> <p> <br /><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>1. <a href="https://ads-developers.googleblog.com/2022/06/announcing-v11-of-google-ads-api.html">Google AD推出V11版 API，包含支援更多Performance Max等功能</a></p> <p>2. <a href="https://www.socialmediatoday.com/news/linkedin-launches-new-business-manager-platform-new-b2b-aligned-marketin/625245/">LinkedIn推出免費版Business Dashboard，有基本的行銷專案管理功能</a><br /> </p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/17 14:57作者郭又華https://www.ithome.com.tw/news/151491
中國駭客攻擊Sophos防火牆漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月間Sophos防火牆發生攻擊活動，<a href="https://www.volexity.com/blog/2022/06/15/driftingcloud-zero-day-sophos-firewall-exploitation-and-an-insidious-breach/" target="_blank">安全廠商Volexity指出</a>，是中國一個專門攻擊獨立運動的國家駭客所為。</p> <p>Volexity 3月初偵測其客戶的Sophos防火牆有異常活動的訊號，分析後發現防火牆遭植入後門程式，且研判是從3月5日開採漏洞進入。攻擊發生將近3周後，即3月25日，<a href="https://www.ithome.com.tw/news/150147" target="_blank">Sophos公布安全公告</a>，公告描述防火牆中的一個編號CVE-2022-1040的驗證繞過漏洞，它位於防火牆軟體用戶入口網站和Web管理介面，可讓攻擊者遠端執行程式碼。漏洞CVSS 3.1風險達9.8。Volexity相信Sophos安全公告指涉的是該公司調查發現的同一漏洞。</p> <p>根據Volexity就被駭客戶的資料分析，駭客是先在Sophos防火牆軟體植入後門webshell，在防火牆上建立起VPN帳號及以此為據點執行中間人攻擊（man-in-the-middle，MITM）。研究人員指出，這個階段攻擊者使用的Behinder框架是中國國家駭客常用，僅不到1KB，4月也被用於開採協同系統<a href="https://www.ithome.com.tw/news/151286" target="_blank">Confluence的漏洞CVE-2022-26134</a>以及<a href="https://www.ithome.com.tw/news/143987" target="_blank">SonicWall的郵件安全閘道漏洞</a>。研究人員指出，駭客手法高明，若非log中很小的值及回應狀態碼，很難發現攻擊者植入的後門。</p> <p>利用Sophos防火牆的MITM攻擊中，駭客修改DNS response以攔截客戶的主機及內容管理網站管理員憑證及session cookie等資料。在第3階段，攻擊者得以利用前階段取得的登入憑證，存取受害者Wordpress管理員頁面，安裝竊取檔案的外掛程式。最後則將該外掛關閉。</p> <p>研究人員研判，這樁攻擊是由一個名為DriftCloud的中國國家駭客集團所為。DriftCloud專門攻擊「五毒/獨」（即臺、藏、疆、蒙、港獨）相關目標，且具有十分完備的攻擊技術及工具。</p> <p>研究人員建議可能被DriftCloud鎖定的目標組織應做好防範，包括部署網路安全監控工具監控流量、確認周界安全硬體（如防火牆）廠商防範攻擊能力、Unix-based網頁伺服器則啟用auditd daemon、確保事件發生時可以事後調查。資安分析人員並可使用YARA rules，以定義並撰寫惡意程式特徵規則。</p> </div></div></div>
2022/6/17 15:49作者林妍溱https://www.ithome.com.tw/news/151493
微軟在6月的Patch Tuesday修補了Follina漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（6/14）展開的Patch Tuesday修補了55個安全漏洞，其中包含<a href="https://www.ithome.com.tw/news/151238" target="_blank">微軟於5月底揭露、已遭到駭客開採的Follina（CVE-2022-30190）漏洞</a>。</p> <p>Follina存在於微軟支援診斷工具（Microsoft Support Diagnostic Tool，MSDT）中，當有應用程式透過URL協定呼叫MSDT進行支援時，就會出現遠端程式攻擊漏洞，成功的開採將允許駭客基於所執行應用程式的權限，來執行任意程式。</p> <p>除了此一零時差攻擊漏洞之外，微軟6月所修補的漏洞中，只有3個被列為重大（Critical）漏洞，它們分別是CVE-2022-30136、CVE-2022-30163與CVE-2022-30139，其CVSS風險評分依序是9.8、8.5與7.5，皆允許駭客執行遠端程式攻擊。</p> <p>其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30136" target="_blank">CVE-2022-30136存在於Windows網路檔案系統</a>，駭客只要透過網路向網路檔案系統（Network File System，NFS）服務執行一個未經身分認證且特製的呼叫，就能觸發遠端程式攻擊漏洞。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30163" target="_blank">CVE-2022-30163則是出現在Windows Hyper-V中</a>，駭客只需在Hyper-V Guest上執行一個特製的應用程式，就能讓Hyper-V Host執行任意程式。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30139" target="_blank">CVE-2022-30139則是出現在Windows輕量級目錄存取協定（Lightweight Directory Access Protocol，LDAP）</a>，雖然它也是一個遠端程式攻擊漏洞，但只有在使用者變更MaxReceiveBuffer LDAP政策預設值之後才會被開採。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/6/14/the-june-2022-security-update-review" target="_blank">趨勢科技ZDI團隊則特別提醒</a>使用者要注意<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30148" target="_blank">CVE-2022-30148漏洞</a>，這是一個位於Windows預期狀態配置（Desired State Configuration，DSC）中的資訊揭露漏洞。ZDI解釋，絕大多數的資訊揭露漏洞都只是簡單地外洩未指定的記憶體內容，但此一漏洞並非如此，駭客將可藉由該漏洞、自日誌文件中恢復明文的使用者名稱與密碼。</p> <p>有鑑於系統管理員經常利用DSC來維護大型企業中的機器配置，很可能會讓駭客取得某些使用者名稱與密碼的組合，對於準備於企業網路中進行橫向移動的駭客而言有莫大的幫助。因此，ZDI團隊呼籲使用DSC的用戶記得修補CVE-2022-30148。</p> </div></div></div>
2022/6/17 16:15作者陳曉莉https://www.ithome.com.tw/news/151494
歐盟加強不實資訊執行準則，納入假帳號、機器人與Deepfake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_3664）" target="_blank">歐盟執委會（European Commission，EC）於16日出版了更嚴格的「不實資訊執行準則」（Code of Practice on Disinformation）</a>，此一準則是基於2018年的版本強化而來，主要是在歷經了COVID-19與俄羅斯入侵烏克蘭等事件之後，決定擴大所規範的行為，額外納入了以假帳號、機器人或Deepfake來散布不實資訊的惡意行為，並已獲得34個平臺、科技業者與公民組織的遵守承諾。</p> <p>負責價值與透明度的EC委員Věra Jourová表示，此一對抗不實資訊的新準則出現在俄羅斯入侵烏克蘭，並將不實資訊當作武器之際，未來使用者將會有更好的工具來標示這些不實資訊，進而理解他們所看到的內容。</p> <p>先前只有十多個大型平臺或科技業者承諾將遵守不實資訊執行準則，現在EC則鼓勵更多的業者參與，新的準則內容包括將確保不實資訊的散播者不會自廣告中獲利，也將規範以假帳號、機器人或Deepfake來散布不實資訊的行為，提供使用者更好的工具來辨識、理解或標註不實資訊，擴大歐盟的事實查核能力，提供更透明的政治廣告，並將設立透明度中心與工作小組。</p> <p>EC表示，此一強化的準則旨在解決前一版準則的缺點，而且它將成為《數位服務法》（Digital Services Act，DSA）的行為準則，意味著它將從業者主動遵循的準則成為法規的一部分，當大型平臺重複破壞該準則且未能採取適當的緩解措施時，可能會被處以其全球營收最高6%的罰款。</p> <p>簽署新準則的業者包括Google、Meta、Twitter、TikTok及微軟等，這些業者將有6個月的時間來實現其承諾，於明年初提供首份的執行報告。</p> </div></div></div>
2022/6/17 15:11作者陳曉莉https://www.ithome.com.tw/news/151492
全美前一百大醫院中有33家安裝Meta Pixel，把使用者資訊傳給Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://themarkup.org/pixel-hunt/2022/06/16/facebook-is-receiving-sensitive-medical-information-from-hospital-websites" target="_blank">非營利的媒體組織《The Markup》本周揭露</a>，在美國《新聞周刊》（Newsweek）所公布的美國前100大醫院中，有33家的醫院網站安裝了Meta Pixel，並在使用者按下「預約」按鍵之後，把使用者資料傳送給Meta，包括按鍵的文字、醫生的姓名、使用者所查詢的關鍵字，以及使用者的IP位址等。</p> <p><a href="https://www.facebook.com/business/help/742478679120153?id=1205376682832142" target="_blank">Meta Pixel其實是一個供廣告主於自家網站上追蹤Facebook或Instagram廣告效果的分析工具</a>，先前稱為Facebook Pixel，網站只要安裝了Meta Pixel就能辨識造訪者是否為Facebook或Instagram用戶，並追蹤這些使用者在網站上的行為，例如瀏覽哪些網頁或產品，把哪些產品加入購物車，或是購買行為等。</p> <p>不過，《The Markup》發現，Meta Pixel同樣能把使用者於這些網站上的活動資料傳送給Meta，包括使用者的IP在內。</p> <p>根據《The Markup》在2020年的調查，全球熱門網站中，有30%安裝了Meta Pixel，同樣的，在全美一百大醫院的網站上，也有33個網站安裝了Meta Pixel，當中還有7家醫院是把Meta Pixel安裝在受到防火牆保護的病患入口網站上。</p> <p>《The Markup》引用了資料安全專家及前監管人員的看法指出，這些醫院可能已違反《美國健康保險可攜性及責任法案》（Health Insurance Portability and Accountability Act，HIPAA），該法案禁止醫療機構與第三方分享個人健康資訊，除非獲得個人的明確同意。但看起來不管是Meta或相關醫院都未取得使用者的同意。</p> <p>根據《The Markup》的統計，這33家醫院在2020年就有超過2,600萬名病患上門求診，在收到《The Markup》的詢問之後，有12家醫院從預約系統上刪除了Meta Pixel。</p> <p>Meta發言人Dale Hogan則引用該公司的機密健康資料政策，表示當Meta的訊號過濾系統偵測到企業透過Meta的商業工具傳送敏感的健康資料時，當它們被儲存至廣告系統前就會被移除。</p> <p>不過，Meta並未明白表示相關資料是否被移除，但《The Markup》亦無從確認Meta是否利用該資料來執行目標式廣告或訓練推薦演算法。</p> </div></div></div>
2022/6/17 14:20作者陳曉莉https://www.ithome.com.tw/news/151490
贏錯賽局比競爭失敗更快被淘汰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960x420_1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天，柯達已成為在面對變化時無能的典型代表，並警告大家不要自滿。柯達失敗了，但並非出於你可能認為的原因。它的故事是數位時代最容易被提起的故事之一，也是被人說錯的故事。從面對改變卻失敗的案例中，人們常見的經驗啟示是：要更大膽、擁抱創新、冒更多風險，以贏得賽局；然而，這些啟示可能弊大於利。如果我們能夠理解柯達的失敗會被人們誤解的根本原因，將打開一扇新途徑的大門，制定策略和推動有效的轉型；否則，我們可能走上同樣痛苦的道路。</p> <p>真正的柯達故事，顯示公司成功克服了早期困境，並根據過去應對傳統顛覆的舊規則，做了所有正確的事情：柯達管理技術的轉變，改造了組織，實現了目標，並成為數位沖印領域的領導者；但它掌握數位沖印業務之時，也是沖印業務即將被數位瀏覽取代之際。螢幕取代相紙，智慧手機取代紙本相簿，社群媒體貼文取代沖印相片，然後柯達的世界開始走下坡。</p> <p>那時，柯達向管理者提出的當務之急應該是什麼？不是「你們要如何推動更快的轉型？」而是「你們如何確保轉型方向是正確的？」</p> <p>柯達沒有領會到的，是現代顛覆的新規則，而現代的顛覆是生態系的顛覆。</p> <p>傳統上，與產業相關的顛覆威脅，來自隱形的新進者變得「足夠好」，並且瓜分你核心市場的市佔率，從你那裡分得一杯羹。生態系顛覆的威脅，來自提供幫忙的合作夥伴變得「太好了」，進而破壞你創造價值的基礎，市場大餅整個崩解。</p> <p>柯達真正的啟示：最大的危險在於為了贏而竭盡全力，卻發現自己贏錯賽局。舊的規則仍然重要，但不再是充分的指南，因為二維策略對於三維世界是不夠的。如果你不擴展觀念，對於機會和威脅、對手和夥伴、價值創造的建立和時機的掌握有更宏觀的看法，那麼就會招致失敗。</p> <p><span style="font-size:28px;"><strong>朋友如何變成敵人？趨動生態系顛覆的關鍵</strong></span></p> <p>柯達的故事既震撼，又具有啟發性。它之所以震撼，是因為擊敗柯達的，不是傳統對手，富士沒有在底片上超越柯達；也不是柯達無法掌握的新技術；更不是對顧客洞察力的失敗。柯達的故事之所以具有啟發性，因為顯示採用框框內技術為主的觀點，是如何讓組織忽視關鍵的轉變，而盲點會引發後果。</p> <p>當新技術或活動模式以直接替代的方式，替代另一種技術或活動模式時，就會發生傳統經典的顛覆，所以數位相機取代光學相機，數位印表機取代使用化學藥劑的相片沖印店。這時的變化發生在單一框框裡，並保持在該框框中：相機仍然是相機，印表機仍然是印表機。</p> <p>生態系的顛覆就是截然不同的變化類型。在這裡，一個地方的變化會影響另一個地方：相機開始承擔紙張的角色，因而消除對印表機的需求。這種顛覆不光是替代，而且重新定義價值。我們怎樣才能提高我們預見這種事情即將發生的能力？</p> <p>要了解生態系顛覆的動態，我們的思維必須固定在價值元素的角度上。這讓我們明確地思考一個元素中出現的變化，如何對整個價值結構中的其他元素產生巨大的影響。無論你自己的組織是否參與引起變化的元素，若該元素是你結構的一部分，你都需要積極考慮它對你的潛在影響。</p> <p>當你觀察到的變化是會影響每一個元素時，你必須提問更大的問題：它是如何影響每一個元素的？這對你的計畫有什麼影響？</p> <p>如果這聽起來比你平常的分析更複雜，沒錯，確實如此。但是，你只需思考柯達的倒閉，這可是由表面上「未知的已知」（unknown knowns）驅動的，就能理解若不進行這種分析，付出的悲慘代價是原本可避免的。英特爾的傳奇執行長葛洛夫（Andy Grove）有句名言：「唯偏執狂得以生存」（Only the paranoid survive.）。深入研究你的價值結構，就是把這種偏執轉化為生產力的方法。</p> <p>傳統顛覆和生態系顛覆之間的主要區別在於，威脅的來源不是從對手開始，而是從價值的良性共同創造者開始。要理解這一點，我們需要重新檢討導致價值創造和價值破壞的相互作用。</p> <p>基礎經濟學區分與焦點組織、也就是與你相關的三種參與者：對手、替代者和互補者。</p> <p>● 傳統對手試圖以基本相同的方式贏得同一場賽局。如果你是索尼的PlayStation，微軟的Xbox就是遊戲機市場上你的直接競爭對手。隨著競爭對手的成效提高，你的附加價值就會降低，你的情況會變得更糟。</p> <p>● 傳統替代者也試圖與你在同一場賽局中獲勝，但方式不同。如果你是索尼的PlayStation，潛在的替代品包括智慧型手機和線上遊戲平台，如Steam線上遊戲平台或Google的雲端遊戲串流平台Stadia，他們讓使用者在不需要專門硬體的情況下就能玩電玩遊戲。隨著你的替代對手的成效提高，你的情況會變得更糟。</p> <p>● 相比之下，傳統互補者會提升你的價值。互補者提供自己獨特的產品，這些產品提高你的重點產品的價值。如果你是Sony PlayStation，則互補者包括為你的遊戲機開發的遊戲，以及讓遊戲玩家聚集在一起的線上討論社群。隨著你的互補者進步，他們增加你的產品創造的價值，並使你得到更好的發展。實際上，這就是互補性的正式經濟學定義。</p> <p><span style="color:#800000;"><strong>互補者</strong></span>可以透過三種不同的模式顛覆核心企業。第一種，<strong>他們採取使核心市場商品化的方式</strong>，例如微軟與英特爾聯手締造的「Wintel」聯盟，即微軟Windows作業系統加上英特爾（Intel）處理器的個人電腦標準，促使IBM等組裝電腦商品化。第二種，<strong>他們透過垂直或水平整合進入核心市場，成為直接競爭對手</strong>，例如網飛Netflix進入影片製作的市場。然而，我們在此主要關注的是第三種模式，<strong>即價值反轉</strong>。前兩種模式表現出利潤和市佔率的下降，而第三種模式破壞相關性，這是一種更具殺傷力的威脅，因為失去市場比利潤流失還要慘。</p> <p>要理解生態系的顛覆，我們需要對互補者的看法進行重要的修訂：雖然根據定義，所有互補者的最初貢獻都必定是正面的，但他們持續的發展可能會產生非常不同的道路。有些互補者會隨著改進而繼續提高焦點產品的價值，這代表持續的綜效；其他人則達到一個地步，他們的持續改進不再對焦點產品有所影響，這代表成熟度。對於理解生態系的顛覆，最關鍵是第三個發展過程，這代表<strong>價值反轉，指的是互補者的持續改進超過一定程度後，努力的效果會反轉，並開始破壞焦點產品的價值。</strong>這是你的互補者轉變為替代者的動態過程，此時你的合作夥伴成為你的威脅。</p> <p>對此深刻的發現是，互補者可能變得「太好了」，並開始破壞你的價值創造。此外，這可能在互補者完全沒有改變方向或意圖的情況下發生。在傳統的顛覆中，變得夠好的替代者可能會威脅到你創造價值的技術，讓你的技術被淘汰。在生態系的顛覆中，變得太好的互補者有可能使你創造的價值被淘汰。這是一種截然不同的挑戰。（本文摘錄整理自《生態系競爭策略》前言、第一章，天下雜誌出版提供）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">生態系競爭策略：重新定義價值結構，在轉型中辨識正確的賽局，掌握策略工具，贏得先機</span></strong></p> <p class="rtecenter"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98.jpg" style="width: 340px;" /></span></strong></p> <p>隆．艾德納（Ron Adner）／著；黃庭敏／譯</p> <p>天下雜誌出版</p> <p>定價：450元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%94%9F%E6%85%8B%E7%B3%BB%E7%AB%B6%E7%88%AD%E7%AD%96%E7%95%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%94%E7%89%B9%E8%8C%85%E6%96%AF%E5%A1%94%E5%85%8B%E5%95%86%E5%AD%B8%E9%99%A2(1).jpg" style="width: 100px;" /></p> <p><a href="https://faculty.tuck.dartmouth.edu/ron-adner/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／達特茅斯塔克商學院</span></span></a></p> <p>隆．艾德納（Ron Adner）</p> <p>達特茅斯塔克商學院（Tuck School of Business at Dartmouth）策略與創業教授，他的研究與教學屢獲殊榮，文章常刊登於《華爾街日報》、《金融時報》、《富比士》雜誌與《哈佛商業評論》，著有《創新拼圖下一步：把靈感變現的關鍵步驟》。他到世界各地巡迴演講，並擔任多家企業顧問，也是策略見解集團（Strategy Insight Group）的創辦人。</p> </div></div></div>
2022/6/17 11:27未署名https://www.ithome.com.tw/article/151474
從升降梯隱喻談軟體架構師職責
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu__0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>架構師扮演著連結與轉譯的關鍵角色，特別是在一個各部門講著不同語言、有不同的觀點，甚至是往不同目標努力的大型組織中，架構師尤為重要。許多管理層級只會透過電話往上或向下溝通，無疑加劇了公司層級間的隔閤。最糟的情況是掌握資訊或專業的人沒辦法被賦予做決策的權限，而有權做決策的人卻無法掌握相關資訊。這對企業的IT部門而言，並不是好事，特別是科技已成為大多數企業重要驅動力之一的現今。</p> <p><span style="font-size:28px;"><strong>架構師升降梯</strong></span></p> <p>架構師能填補大型企業裡的這個重要間隙：他們密切地與負責專案的技術人員合作與溝通，也能將技術議題傳達給上層的管理圈，而不漏失訊息的本質。從相反的方向來看也一樣，他們瞭解公司的業務策略，也能將之轉化成技術決策並提供有力的支持。</p> <p>若將組織的層級想像成是建物中的樓層，架構師就能運用我稱之為架構師升降梯的無形結構：他們搭著升降梯上下，在大型企業的決策辦公室與實際打造軟體的引擎室間來回穿梭。</p> <p>把這個類比延伸一下，放到大型船艦的情境下來看，若艦橋的指揮官發現有障礙物，油輪需要轉向迴避的話，他們會讓引擎逆轉，把船舵轉向右舷。但若當時的引擎正以最高速前進，則將發生一場大災難。這也就是為什麼即便是一艘老式的蒸氣船，也會有一條用來複頌船長命令之通訊管線的原因。在大型企業中，架構師扮演的就是這樣的角色！</p> <p><span style="font-size:28px;"><strong>某些機構的樓層特別多</strong></span></p> <p>回到建物的隱喻上，架構師要搭升降梯過去的樓層數量取決於組織的類型。扁平型組織也許完全不需要升降梯——爬段樓梯就夠了。這也意味著在這類組織中，架構師的這種連結上下樓層的角色，其重要性也許小一些：若管理是能敏銳地在細節的需求層次上覺查到技術上的現實，而技術人員也能直接參與高層管理工作的話，則少一點「企業」架構師是有必要的。我們可以說，這種數位公司是開在平房裡頭的，因此不需要升降梯。</p> <p>不過，駐紮在大型組織中的典型IT團隊，似乎有許多樓層蓋在他們的頭上。他們在摩天大樓裡頭工作。樓是如此之高，以致於單一個架構師升降梯可能無法涉及於所有樓層的事務中。在這種情況之下，若一位技術架構師與一位企業架構師互相搭配，並各自負責自己在「那一半」建物中的責任區，還是可行的。在這種情境下，架構師的價值不應該由他們能上到多「高」來衡量，而應該由他們能涉足於多少樓層而定。在大型的組織中，位居頂樓中的那些人可能會犯只看到並評價上半建物中之架構師的錯誤。相對地，許多開發者或技術架構師會將這類「企業」架構師視為是比較沒有用處的，因為他們不寫程式。某些情況下，這可能是真的——這類架構師通常喜歡待在建物上層，他們不太會再熱衷於搭升降梯下來。不過，一位願意下到建物下半層來與技術架構師們分享策略看法的「企業」架構師，就能產生顯著的價值。</p> <p><span style="font-size:28px;"><strong>不是一條單行道</strong></span></p> <p>你總是會遇到一些搭升降梯但一到了樓頂就不會再下來的人。他們太享受頂樓上的好景緻，從而覺得他們不用再努力工作，到髒髒的引擎室來。通常，你只要聽到像「我以前是搞技術」這樣的一句話，就能認出他們。無論如何，升降梯是用來搭著上下跑的。地下室被水淹時，待在頂樓裡吃魚子醬並無法轉變企業IT。</p> <p>搭乘升降梯在組織裡上下跑，對架構師而言，也是一種重要的機制。如此可以取得對決策的各種看法，也能瞭解其在實行階段的各種可能結果。時間長的專案實踐循環無法產生一種好的學習循環，可能還會導致一種「架構師的夢，開發者的夢魘」狀況。在其中，架構師能達成其抽象的理想，但其實作則不切實際。只讓架構師享受往上看的樂趣，總是會變成可怕的只講權威不講責任的反模式。這個模式唯有在架構師必須去面對，或至少觀察到，其決策之結果時，才能打破。要能這樣做，他們必須持續地搭著升降梯上下跑才行。</p> <p><span style="font-size:28px;"><strong>高速升降梯</strong></span></p> <p>現今，即使是傳統企業，企業目標與選用技術間的連結已更為直接。舉例而言，想把上市時間弄得再快些的這種期望，其所形成的競爭壓力已轉化成對彈性雲計算的需求，也就是說，應用需要能橫向擴展，所以需要將之設計成無狀態（stateless）的形式。客戶管道上的目標內容，需要分析性的模型，這需要透過Hadoop叢集（cluster），去攪動大量的數據才能調整，而這反而又傾向於運用本地端硬碟式的存儲，超過共享網路式的存儲。企業所需要的，已轉化成應用或基建（infrastructure）的設計，而這就強調了架構師得要去搭這升降梯。而且，他們愈來愈需要搭高速的升降梯，以跟上企業與IT交織融合的步伐。</p> <p>在傳統的IT公司裡頭，建物中的低樓層可能擠滿了外部顧問，這可讓企業架構師不用動手去處理事情。不過，這樣一來，因為只著重在效率上，而忽略了速度經濟。在技術快速演化的時代中，這樣子的配置，成效必定不佳。以往習於待這類環境中的架構師，必須要擴展其角色，由供應商技術的純消費者，轉化成能主動定義技術的角色。要這樣做，他們需要發展自己的IT世界觀。</p> <p><span style="font-size:28px;"><strong>乘客群像</strong></span></p> <p>若你正如一位成功的架構師，搭著升降梯上上下下，你也許會在升降梯裡遇到一些人。也許你會，比方說，遇到一些業務或非技術的人，這些人已更深地瞭解到IT就業務而言是很重要的。善待這些人，把他們帶上，帶他們到處看看。</p> <p>加入他們的對話——這能讓你更瞭解業務需求目標。也許，他們甚至能帶你到從未去過的更高樓層。</p> <p>你也許也會遇上從頂樓搭電梯下來，只想要用一些行話來推銷自己想法的人。我們不管這些人叫架構師。只搭電梯但不出去的人，通常被稱為梯弟（lift boys）。他們從頂樓的忽視中獲益，所追求的是一種不用與實際技術接觸的「技術」職涯。透過讓他們對引擎室所發生的事感興趣，你也許能夠改變其中的一些人。若你沒成功，則大家最好就維持電梯裡的那種心照不宣的沈默，看看每一塊天花板磚的細節，以避免眼神的接觸。把你的「升降梯高論（elevator pitch）」留給與資深高管共乘一部升降梯時發表，而不用說給僅是傳訊息的人聽。</p> <p><span style="font-size:28px;"><strong>搭升降梯的危險</strong></span></p> <p>你可能會認為雇主會很感謝架構師搭著升降梯上上下下。畢竟他們為著企業的IT轉型，使其在數位世界中更有競爭力而提供了顯著的價值。令人訝異地，這樣的架構師也會遭遇到阻礙。實際上，頂樓與引擎室間可能已相當習慣於斷開彼此的連結：公司領導者會覺得數位化轉型進行得很好，而引擎室的人卻享受著在沒有許多監督下，嘗試新技術的自由。頂樓與引擎室這樣地斷開連結，就像一艘巡航艦，全速往冰山撞去：等到公司領導人瞭解到底發生了什麼事時，為時已晚。（摘錄整理自《軟體架構師全方位提升指南》第一章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(1).jpg" style="width: 340px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源 / 碁峰資訊出版</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>軟體架構師全方位提升指南：數位轉型企業中架構師角色的新定義</strong></span></p> <p>Gregor Hohpe／著；陳健文／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B%E5%B8%AB_.jpg" style="width: 200px;" /></p> <p><a href="https://www.enterpriseintegrationpatterns.com/gregor.html" target="_blank"><span style="color:#696969;"><span style="font-size: 14px;">圖片來源／Gregor Hohpe</span></span></a></p> <p><strong>Gregor Hohpe</strong></p> <p>Gregor Hohpe憑藉著自身在企業IT、企業架構與雲端服務的豐富經驗，為技術主管們提供組織與技術平台方面的諮詢服務。他曾擔任過新加坡政府的顧問、Allianz SE的首席架構師以及Google Cloud CTO辦公室的技術主管。Gregor是《Enterprise Integration Patterns》一書的共同作者。</p> </div></div></div>
2022/6/17 11:34未署名https://www.ithome.com.tw/article/151482
三星電子錢包上線，還可儲存數位鑰匙、身份證件、登機證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/introducing-samsung-wallet-an-easy-to-use-secure-platform-that-holds-everything-your-digital-life-needs" target="_blank">三星昨（16）日宣布電子錢包平臺Samsung Wallet上線</a>，整合支付、數位鑰匙、登機證及身份證件等功能，讓用戶以Galaxy手機即可完成生活中所有大小事。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-Samsung%20Wallet_US_Menu-600.png" style="text-align: center; width: 447px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／三星</span></p> <p>如同蘋果Apple Wallet、<a href="https://www.ithome.com.tw/news/150881" target="_blank">Google Wallet</a>，Samsung Wallet也強調不只是支付用的工具，除了信用卡號，它還允許儲存數位金鑰、會員卡、顧客忠誠卡。Wallet內建Samsung Pass應用程式可儲存密碼，讓使用者快速登入網站服務或App，無需輸入密碼。它甚至可將用戶在不同加密貨幣交易平臺的資產顯示於單一畫面。今年下半Samsung Wallet也預計會再增加官方核發的卡片，如學生證或駕駛執照。上述服務僅支援和三星合作的特定卡片或App、網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0616-Samsung%20Wallet_US_Digital-Asset-500.png" style="width: 334px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p>此外，Samsung Wallet也可儲存門卡、汽車金鑰或登機證。透過整合三星物聯網軟、硬體SmartThings以及支援的安全門鎖，用戶利用Galaxy手機即可進出大門。汽車方面，三星取得BMW、Genesis和現代汽車合作，可讓Samsung Wallet開啟特定車款車門或發動引擎。此外，現在用戶也可將大韓航空的登機證存在Samsung Wallet中，以加速登機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0616-Samsung%20Wallet_US_Boarding-Pass-500.jpg" style="width: 297px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／三星</span></p> <p>為確保儲存在Galaxy手機中的證件及資料，Wallet將結合三星手機的加密晶片Samsung Knox提供指紋辨識驗證和加密。配合Knox安全晶片，重要資料皆會以嵌入式Secure Element加密儲存在資料隔離區。</p> <p>Samsung Wallet周四已在英、美、法、德、義大利及西班牙等6個市場推出，這些地區的Galaxy手機用戶開啟Samsung Pay或Samsung Pass App，按照提示更新即可開啟Wallet服務。用戶Galaxy手機需執行Android 9以上版本，並啟動Samsung Pay。</p> </div></div></div>
2022/6/17 10:50作者林妍溱https://www.ithome.com.tw/news/151484
微軟駁斥Patch Tuesday將因Autopatch而截止的謠言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周澄清，Patch Tuesday並不會因Autopatch推出而終止。</p> <p><a href="https://www.ithome.com.tw/news/150352" target="_blank">微軟4月宣布</a>針對大型企業客戶，推出Windows及Office軟體的Autopatch服務。Autopatch主要是為了簡化大型企業眾多裝置軟體更新的繁重工作，啟動Autopatch後，它會自動管理Windows 10和Windows 11的驅動程式、App和安全更新，使人力設定工作降至最低。微軟稱，Autopatch目的在讓IT人力和時間用於更有價值的工作，使「每月第2個星期二成為變成普通的星期二。」另一個可能引發人誤解的是Autopatch自己有一個預設更新部署時程，遇到有重大漏洞時則會加速部署，這些時程都是由微軟決定，目前企業也不能調整日期。</p> <p>當時<a href="https://www.bankinfosecurity.com/patch-tuesday-to-end-microsoft-announces-windows-autopatch-a-18885" target="_blank">部份媒體報導</a>，<a href="https://techmonitor.ai/technology/software/microsoft-autopatch-patch-tuesday" target="_blank">這意謂著將不再會有Patch Tuesday</a>。</p> <p><a href="https://www.securityweek.com/microsoft-dismisses-false-reports-about-end-patch-tuesday" target="_blank">SecurityWeek昨（16）日引述微軟報導</a>，這項服務只是作為部份企業客戶的選擇加入（opt-in）服務，不會影響其他人。</p> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-autopatch-faq/ba-p/3272081" target="_blank">根據微軟4月底更新的Autopatch FAQ</a>，每月安全及品質更新，將持續於每月第2個星期二（即Update Tuesday或俗稱的Patch Tuesday）提供。企業或組織可以像過去一樣，使用Endpoint Manager、Windows Update for Business和Windows Server Update Services（WSUS）來管理與部署更新。</p> <p>微軟指出，Autopatch也是使用同樣的工具，但運用微軟掛保證的最佳典範（best practices）為想要更自動化部署的企業提供另類選擇。</p> <p>Windows Autopatch將以免費工具方式提供給Windows Enterprise E3及以上的用戶，預計7月正式上線，<a href="https://www.ithome.com.tw/news/151290" target="_blank">微軟已在本月初釋出公開預覽測試版</a>。</p> </div></div></div>
2022/6/17 09:30作者林妍溱https://www.ithome.com.tw/news/151479