iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

歐盟介入調查，博通、VMWare收購案增添變數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如許多大型收購案，<a href="https://www.ft.com/content/efc1e0b7-93a8-4189-a503-368193d3fb20" target="_blank">英國《金融時報》（Financial Times）報導</a>，歐盟也將調查網路設備及晶片業者博通（Broadcom）和虛擬化業者VMWare的610億美元收購案，而歐盟調查造成的延宕可能為這樁收購案投下變數。</p> <p>報導引述消息人士指出，歐盟官員擔心這樁收購案一旦成行將導致「濫用行為」，包括未來產品調漲等。博通也已經和歐盟官員展開初步討論。</p> <p>博通並未對此發表評論。</p> <p>許多大型收購案都會經過歐盟「第一階段」的審查，這通常會耗時幾個月。但消息人士指出，針對本案，歐盟計畫啟動「第二階段」審查，這可能將耗去超過一年，甚至可能迫使交易告吹。</p> <p>報導指出，Nvidia就是因為面臨歐盟曠日廢時的調查，<a href="https://www.ithome.com.tw/news/149264" target="_blank">而在今年初撤銷和英國晶片業者ARM的收購案</a>。這失敗的結局也<a href="https://www.ithome.com.tw/news/149264" target="_blank">導致ARM CEO下臺，並追求自行上市</a>。</p> <p><a href="https://www.ithome.com.tw/news/151167" target="_blank">5月間博通宣布</a>以現金及股票支付總計610億美元買下軟體業者VMware，預計在2023年10月31日以前完成交易。未來博通軟體部門也將直接更名為VMware，整合博通既有的基礎設施與安全軟體解決方案。</p> <p>但消息一出即遭致反對聲浪。除了歐盟反托拉斯法官員外，一些VMWare客戶也基於博通收購CA及賽門鐵克的紀錄，擔憂未來他們可能被迫購買博通產品。</p> <p>除了歐盟外，這項收購還要經過美國的審查，此外英國及中國市場主管機關也正在評估。</p> <p>這樁交易如果成功，將成為科技產業金額第二大收購案，僅次今年一月<a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟買下歐美最大的遊戲業者動視暴雪（Activision Blizzard）的687億美元收購案</a>。</p> </div></div></div>
2022/6/24 16:25作者林妍溱https://www.ithome.com.tw/news/151610
Google發現駭客與ISP聯手以於iPhone上植入間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/" target="_blank">Google本周揭露</a>了由義大利商業駭客公司RCS Labs所支援的駭客行動，鎖定義大利與哈薩克的Android裝置及iPhone用戶展開攻擊，藉由側載手法入侵使用者裝置，在針對iPhone的攻擊中，ISP甚至與駭客聯手，促使受害者下載了<a href="https://googleprojectzero.blogspot.com/2022/06/curious-case-carrier-app.html" target="_blank">由駭客所提供的偽造電信程式</a>。</p> <p>Google的威脅分析小組（Threat Analysis Group，TAG）長期追蹤全球逾30家的商業駭客公司，這些業者主要出售攻擊程式或監控能力予國家支持的駭客集團；在TAG於去年所發現的9個零時差攻擊程式中，就有7個是由這些商業駭客公司所開發。</p> <p>RCS Labs攻擊iPhone用戶的其中一個手法是透過簡訊傳送惡意連結予使用者，且TAG相信ISP參與了某些攻擊，關閉特定受害者的行動資料服務，以讓駭客得以透過簡訊傳送惡意連結，並要求使用者下載一個偽造的電信程式來恢復其行動資料服務。</p> <p>但iPhone用戶所下載的卻是一個含有6款攻擊程式的套件，其中有4個程式開採的是已知漏洞，另有兩個開採零時差漏洞CVE-2021-30883與CVE-2021-30983，且所有的攻擊程式都是由不同的越獄社群所撰寫。</p> <p>此一富含零時差攻擊程式的套件主要功能為擴充權限，成功安裝後將允許駭客存取核心記憶體、安裝程式或建立檔案等。</p> <p>此外，一般而言iOS裝置並不允許使用者自App Store以外的地方下載與安裝程式，因此，RCS Labs利用了蘋果專為大型企業所設計的Apple Developer Enterprise Program，讓組織得以開發及部署供內部使用的行動程式，只要以該計畫的憑證簽署程式，便不會受到下載限制。</p> <p>RCS Labs針對Android裝置的攻擊亦是透過側載以誘導使用者下載惡意程式，其中一個例子是偽裝成三星程式，再伺機安裝由RCS Labs打造的間諜程式Hermit。</p> <p>除了Google之外，<a href="https://www.lookout.com/blog/hermit-spyware-discovery" target="_blank">另一資安業者Lookout也在上周公布</a>了RCS Labs於Android裝置上散布Hermit的行動。</p> <p>根據Lookout的判斷，針對義大利或哈薩克使用者的攻擊行動都是由當地政府主導，或許這便是ISP願意配合的最大原因。</p> <p>Google指出，在某些國家使用監控技術是合法的，但有些國家卻是出於違反民主價值的目的，針對反對者、記者或人權組織發動攻擊，此外，這些商業駭客公司所持有的零時差安全漏洞資訊也對全球網路安全帶來高風險，特別是若這些公司遭到入侵，而使得零時差攻擊程式外洩時。</p> </div></div></div>
2022/6/24 15:59作者陳曉莉https://www.ithome.com.tw/news/151608
AWS預覽ML程式撰寫輔助服務CodeWhisper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發工具如emacs或Visual Studio不斷增加功能來幫助開發人員撰寫程式，<a href="https://aws.amazon.com/blogs/aws/now-in-preview-amazon-codewhisperer-ml-powered-coding-companion/" target="_blank">現在Amazon Web Services（AWS）本周也宣布</a>一項以機器學習技術（machine learning）為底層的程式撰寫輔助服務Amazon CodeWhisper，強調支援多種IDE和Python、Java、JavaScript等開發語言。</p> <p>AWS首席傳教士Jeff Barr指出，Amazon CodeWhisper是以機器學習技術為核心，並以取自開源儲存庫（repositories）、Amazon自有的儲存庫、API文件及論壇的數十億行程式碼訓練而成，可幫助學生、開發新手或資深開發人員加速開發、提高生產力。</p> <p><a href="https://aws.amazon.com/codewhisperer/" target="_blank">CodeWhisper已經以預覽版上線</a>，欲試用者需先安裝AWS IDE Toolkit再開始撰寫。之後，CodeWhisper會持續檢視程式碼及註解，並提供語法正確的建議。它的建議會整合開發人員的程式撰寫風格及變項名稱，而不只是程式片段而已。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-AWS%20CodeWhisper%20for%20python.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p>AWS強調，基於ML技術的CodeWhisper，使用多種環境線索來提供建議，包括原始碼中的游標位置、游標前的程式碼、註解及同一專案中其他檔案的程式碼。它的建議開發人員可以直接套用，或是再加以客製化。</p> <p>預覽版的CodeWhisper支援多種IDE和開發語言包括 Visual Studio、IntelliJ IDEA、PyCharm、WebStorm、AWS Cloud9，以及Python、Java、JavaScript撰寫的程式碼。現在AWS還在努力，不久後會支援AWS Lambda Console。</p> <p><a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub剛剛在本周宣布了</a>AI-based開發輔助服務GitHub Copilot。</p> </div></div></div>
2022/6/24 16:11作者林妍溱https://www.ithome.com.tw/news/151609
美、英、紐政府建議企業不要移除、關閉PowerShell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://media.defense.gov/2022/Jun/22/2003021689/-1/-1/1/CSI_KEEPING_POWERSHELL_SECURITY_MEASURES_TO_USE_AND_EMBRACE_20220622.PDF" target="_blank">美國、英國及紐西蘭安全主管機關本周發布聯合公告</a>，建議企業及政府機關，雖然PowerShell多次涉入惡意程式攻擊，但官方建議應採取適當組態和監控，而不要移除或完全關閉。</p> <p class="rtecenter"><a href="https://media.defense.gov/2022/Jun/22/2003021689/-1/-1/1/CSI_KEEPING_POWERSHELL_SECURITY_MEASURES_TO_USE_AND_EMBRACE_20220622.PDF" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Keeping%20PowerShell%EF%BC%9ASecurity%20Measures%20to%20Use%20and%20Embrace-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8-960.jpg" style="width: 550px;" /></a></p> <p>PowerShell 是由微軟開發的任務自動化和組態管理架構，由.NET Framework和.NET Core構建的命令列介面殼層、指令碼語言組成，最初是在Windows上執行，微軟於2016年開源並提供跨平臺支援，現在PowerShell可於Windows、Linux、macOS和雲端上執行。</p> <p>然而PowerShell作為Windows普及而好用的合法工具，卻多次被駭客用來發動攻擊。例如<a href="https://www.ithome.com.tw/news/148214" target="_blank">攻擊者用它來執行勒索軟體</a>，<a href="https://www.ithome.com.tw/news/149373" target="_blank">繞過防毒軟體軟體偵測</a>、<a href="https://www.ithome.com.tw/news/150991" target="_blank">對SQL Server發動離地攻擊（living-off-the-land，LoL）</a>、或是可結合Office文件開採近日揭露的<a href="http://www.ithome.com.tw/news/151211" target="_blank">Windows Follina漏洞</a>等。</p> <p>不過PowerShell在資安上也相當好用。在Windows上，可讓管理員或資安防護人員，啟用鑑識、強化事件回應及支援一般或重覆性任務的自動化。在Azure雲端上也可管理雲端資源，允許管理員建立自動化工具和安全措施。</p> <p>基於這些好處，美、英、紐的聯合安全公報建議不要移除或關閉PowerShell。完全關閉會讓企業或政府單位無法使用這些功能，也可能使Windows無法正常運作。他們建議透過適當的設定和監控，以便發揮PowerShell好處到最大。</p> <p>首先，官方建議管理員將PowerShell升級到最新的7.2版。7.2版有更好的安全管理功能，且相容於Windows 7、8及10內建的5.1版的設定及適用的指令、模組和script。但太老舊的版本如PowerShell version 2，官方就建議關閉及移除version 2。</p> <p>美、英政府建議的PowerShell設定包括：啟用PowerShell remoting、惡意軟體掃瞄及應用層控制。PowerShell remoting可預設執行Kerberos 或 NT LAN Manager（NTLM）協定，防止憑證外洩到遠端主機，此外以PowerShell remoting連結端點，會啟用Windows Firewall及要求端點權限，確保連結受信任的端點及網路，減少惡意程式橫向移動。它的AMSI（Antimalware Scan Interface）則可啟動Windows防毒軟體掃瞄PowerShell script來防止惡意程式。同時官方建議透過Windows AppLocker或WDAC（Windows Defender Application Control）設定PowerShell只能執行管理員許可的行為。</p> <p>最後，公報還建議管理員啟用PowerShell的偵測功能，如Deep Script Block Logging、Module Logging及Over-the-Shoulder transcription幫助偵測濫用行為。</p> </div></div></div>
2022/6/24 14:59作者林妍溱https://www.ithome.com.tw/news/151607
研究人員破解雲端儲存服務MEGA的加密機制，恢復使用者的RSA私鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘇黎世聯邦理工學院（ETH Zurich）<a href="https://mega-awry.io/" target="_blank">電腦科學系應用密碼組的3 名研究人員在本周，揭露了知名雲端儲存服務MEGA的安全漏洞</a>，只要利用儲存使用者加密金鑰的MEGA伺服器上缺乏完整性保護的瑕疵，就能允許駭客恢復使用者的RSA私鑰，並解密屬於使用者的密文。MEGA在今年3月收到研究人員的通知，<a href="https://blog.mega.io/mega-security-update/" target="_blank">並於本周修補了主要的漏洞</a>。</p> <p>在2013年創立於紐西蘭的MEGA為消費者導向的雲端儲存服務供應商，它標榜端對端的加密服務，也經常對外宣稱此一安全保證是該服務更勝DropBox、Google Drive、 iCloud及OneDrive的原因，並吸引了超過2.5億的註冊用戶。</p> <p>研究人員總計向MEGA提交了5個安全漏洞，並展示5種攻擊場景，包括恢復RSA私鑰，解密使用者的通訊內容及檔案，偽裝成使用者上傳檔案，竄改使用者所存放的檔案，以及解密RSA密文等，不過，最主要的漏洞來源還是允許駭客盜走RSA私鑰。</p> <p>在MEGA的金鑰架構中，使用者建立了密碼之後，便由密碼衍生出一個認證金鑰與一個加密金鑰，前者可讓MEGA辨識使用者身分，後者則是用來加密隨機產生的主金鑰，再由主金鑰負責加密使用者的金鑰內容，包括一組用來與其他使用者分享資料的RSA非對稱金鑰對，一組用來與MEGA聊天功能交換聊天金鑰的Curve25519金鑰對，一組負責簽署其它金鑰的Ed25519金鑰對，且當使用者上傳檔案時，就會產生的非對稱節點金鑰。</p> <p>其中，私有的非對稱金鑰與節點金鑰都是由主金鑰以AES-ECB加密，並存放在MEGA的伺服器上，以支援使用者自不同的裝置存取服務，至於當使用者透過新裝置要存取服務時，只要輸入密碼，取得MEGA的身分認證，就能獲得加密的金鑰內容，並利用自密碼衍生的加密金鑰來解密它。</p> <p>然而，研究人員發現，駭客只要控制了MEGA的API基礎設施，或是發動TLS中間人攻擊，即可因為MEGA伺服器上所存放的加密金鑰缺乏完整性保護，而恢復使用者的RSA金鑰。一旦取得了使用者的RSA金鑰，駭客即可解密使用者的各種資料，上傳或竄改檔案。</p> <p>研究人員解釋，僅僅是使用AES來進行端對端的加密並不能保證安全，整體系統的設計更是關鍵，包括金鑰衍生與管理、對檔案分享或聊天的功能的支援，以及如何使用與結合這些安全機制。</p> <p>其實相關攻擊並不容易，除了上述的前提之外，真的要恢復MEGA用戶的RSA金鑰，受害者必須至少登入512次以上，讓駭客得以藉由金鑰重複使用而讓密文之間產生意外的互動，而汲取必要資訊，此外，MEGA服務的預設值為常置登入，因此應該只有經常登出/登入的少數用戶曝險。</p> <p>雖然MEGA宣稱並未察覺任何開採相關漏洞的攻擊行動，但研究人員則說，其實就算是已經遭到開採應該也不會留下痕跡。</p> </div></div></div>
2022/6/24 10:27作者陳曉莉https://www.ithome.com.tw/news/151601
Windows 8.1 明年1月10日終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Windows 7之後，<a href="https://support.microsoft.com/en-us/windows/windows-8-1-support-will-end-on-january-10-2023-3cfd4cde-f611-496a-8057-923fba401e93" target="_blank">微軟本周提醒</a>，微軟將在2023年1月10日終止對Windows 8.1的支援，也不會再銷售付費支援服務。</p> <p>微軟表示，到明年1月10日，所有技術支援及軟體更新都不再提供，明年大限之後，持續使用Windows 8.1可能會增加企業的安全風險，以及無法滿足法規要求。微軟補充，視Office版本不同，屆時Windows 8.1電腦上的Office使用經驗也會不同，例如Microsoft 365長期會出現穩定性及效能問題。</p> <p>Windows 7在2020年1月14日終止支援時，因應許多企業及政府機關仍然還在用，<a href="https://www.ithome.com.tw/news/133373" target="_blank">微軟曾提供延伸安全更新（Extended Security Update，ESU）</a>，允許企業花錢購買為期3年（到2023年1月終止）的支援服務。不過微軟提醒，並不會針對Windows 8.1提供ESU。</p> <p>微軟建議用戶執行Windows 8.1電腦應升級到受支援的Windows版本，像是Windows 10或11。一般而言，執行Windows 8.1的電腦不太可能滿足Windows 11的最低規格要求。規格不足以執行Windows 11者，微軟建議換新電腦。</p> <p>但如果真的Windows 8.1硬體達到Windows 11的規格要求，又直接升級Windows 11的話，也會有問題。微軟警告原有App得重新安裝，甚至升級新版本，而且由於磁碟內容會被覆寫，檔案、資料及設定都必須搬移。因此微軟建議採階段升級，先升級到Windows 10（包括Home及Pro版），再升級到Windows 11</p> <p>值得注意的是，Windows 10的支援將到2025年10月14日。</p> <p><a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">根據市調公司GlobalStats的統計</a>，截至今年5月，全球桌機電腦中，Windows 8.0及8.1還有1.36%及3.06%的市占，不過還在用Windows 7的電腦比例高達13.03%。</p> </div></div></div>
2022/6/24 10:51作者林妍溱https://www.ithome.com.tw/news/151603
摩根大通今年141億美元科技預算怎麼用？聚焦這四大科技戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根大通集團（JP Morgen）在今年5月的年度投資日說明上揭露，將投入141億美元的科技預算，來支援今年的科技戰略的四大布局。</p> <p>摩根大通集團是美國最大的金融集團，2020年9月時總資產就達到3.2兆美元，將近臺幣97兆元。去年摩根大通展開了資料湖上雲的新戰略，透過公雲上的資料湖，來取代原本的資料倉儲，採用混合雲架構，來支援他們各式各樣的資料利用和分析需求。但這只是摩根大通科技運用的一小部分，</p> <p>摩根大通揭露了一些基本數據，來反映他們所面對的科技挑戰複雜性和規模。目前，摩根大通在全球有超過5000家分行，累計每天處理高達10兆元的付款。各式各樣的數位產品和應用多達6,400個，由一個5萬5千人規模的科技團隊來負責開發和維運。摩根大通全球數位帳號顧客超過了6千萬人，一年登入這些數位產品的登入次數合計高達110億次。每天系統留下的各種日誌紀錄更是多達400億筆，全部資料量超過500PB，所有虛擬機器的核心數，總共超過270萬顆vCPU。</p> <p>摩根大通2022年的科技戰略包括了4大目標，首先要提供業界最好的產品、平臺和體驗。目的是為了創造體驗差異化，也要加速所有業務流程的數位轉型，來快速提供高品質的創新業務和產品，來擴大這些金融服務的經濟規模和效益最大化。其次，今年也很要聚焦軟體開發能力和基礎架構的強化，尤其要將過去大型的單體式應用，逐漸轉換成API驅動的模組化架構，並且要加快運用公有雲和私有雲上的運算資源來提高彈性，也要打造各種一流工具來提高數位名工程師的生產力，並且讓工程團隊更能貼近顧客端來提高效率。</p> <p>第三戰略是要解放資料威力，不只要做到快速提供各種資料來擴大資料實驗廣度和規模，也要建立平臺加速AI/ML模型的提供，提高模型重複利用和強化法遵自動化控制機制。最後一項戰略則是保護企業和消費者，主動防禦和對抗網路威脅，所有金融產品要預設內建隱私機制和資安機制，也要發展可以降低擁抱新科技門檻的資安控制機制。</p> <p>為了支援這幾年的科技戰略和數位轉型，摩根大通集團每年科技預算成長率達約6%，2019年時的科技預算是117億美元，到了2022年科技預算更是高達141億美元，比去年多了16億美元。</p> <p><strong>兩大類科技預算：74億美元銀行運用費用和戰略IT投資67億美元</strong></p> <p>進一步將摩根大通的科技預算分成兩大類來看，第一類是用於銀行運作的費用，包括基礎架構維護費用，軟體授權，應用程式的維護支援費用等，今年有74億美元，比去年成長了3%，是科技預算的大宗。另一類則是戰略性的IT投資，這部分在今年達到67億美元，但是成長服務比去年多了11%，遠高於銀行運作費用的成長率。這類預算用途，41億美元用於各種業務所需的各種平臺費用，另有26億美元則用於IT現代化、軟體開發流程優化、解放資料威力、顧客和企業保護。</p> <p>雖然摩根大通今年用於銀行運作的科技預算高達74億美元，但在2015年到2021年間，摩根大通這筆維運費用的成長幅度不算太高，平均每年只成長了2%，沒有像戰略投資多達11%的成長力道。但是，摩根大通在差不多規模的預算下，在運算和儲存資源的容量卻增加了2.5倍，關鍵就是這幾年大力發展IT現代化的成果。</p> <p>摩根大通這幾年的IT現代化工程，包括了AP現代化和基礎架構現代化。在AP現代化工程上，包括以雲端（包括公雲和私雲）思維，重新架構或打造應用系統，也導入產業指標型SaaS服務，來取代本地部署的AP，並開始打造一套雲端原生的銀行核心系統，也同時盤點和退役功能重複的老舊應用，累計退役了2,200套應用。</p> <p>而在基礎架構現代化工程上，摩根大通則大力擁抱多雲戰略，來避免廠商綁定，也同步要建立一個高度安全性的私雲。目前摩根大通已經採用了1朵公雲，正在導入其他2朵公雲。基礎架構費用中多達3成用於雲端，未來預計要將50%的虛擬機器都放上雲端。目前正在進行全球33座實體資料中心的精簡和整併，希望在2025年時，可以精簡到只剩下17座資料中心。</p> <p>這些IT現代化成果，讓摩根大通硬體調度時間減少了95％，等於快了20倍，也讓基礎架構的費用利用率，提升了15～20％。</p> <p>因為科技團隊多達55,000人，因此摩根大通也非常注重開發團隊的生產力，今年繼續要提供第一流工具來強化開發生產力，他們有一套自動化和軟體派送平臺和流程，可支援4萬名工程師的開發工作，6千多套應用累計每個月的發布次數達到3萬次之多，所有程式碼合計超過了6億行。目前這個軟體派送平臺支援了摩根大通約6成應用程式的發布和開發，今年目標是希望涵蓋到8成的應用系統。</p> <p>摩根大通也開發了一些相關的開發輔助工具，例如他們有一套自己開發的AI輔助程式碼品管工具，或是一些資安自動化和風險品管的機制，也可以預測程式碼部建的成功率來優化測試工作的排程。</p> <p>在解放資料威力的戰略上，摩根大通正在打造一個可以支援1,000名資料科學的AI戰略平臺，來支援AI大規模應用的需求，主要有兩大管理系統，一個是資料生命周期管理平臺，這就是這兩年積極推動的新資料湖上雲戰略，以Data as a product策略來建置雲端資料湖，以快速支援各類資料的消費，也易於整合不同的資料來重複利用，今年目標是，關鍵的企業分析性資料可以做到即時提供。</p> <p>AI戰略平臺的另一個重要子系統是AI模型生命周期管理平臺，要建立一個功能更細緻的訓練資料管理平臺，來減少AI模型開發流程之間的阻力，也可以整合特定目的的法遵政策或資安控制，目標是要讓模型上市速度加快70%。</p> <p>總結來說，摩根大通希望透過這四大戰略，善用科技來創造差異化，打造第一流產品和體驗給顧客，運用科技帶來營收的回報。他們也希望透過IT現代化，基礎架構或開發流程的改造，未來3年能達到15億美元成本優化的效益。</p> </div></div></div>
2022/6/24 08:49作者王宏仁https://www.ithome.com.tw/news/151600
Fintech周報第212期：金管會最快年底公布軟體供應鏈安全相關規範，新北市行動支付8月正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/5/29～2022/6/24 精選金融科技新聞</strong></span></p> <p><span style="color:#0000FF;"><strong>本期重點：金管會年底前將揭露金融業軟體供應鏈安全的相關規範，央行則建議納入金融監理範圍。英國計畫賦予金融監理機構更多公雲監管權限。新北市8月要正式推出行動支付App發行新北幣，第一銀行則公布內部碳定價導入成果，保險存摺正式上線可一站式查詢所有人身投保資料</strong></span></p> <p><strong>#SBOM、#軟體供應鏈安全<br /> 金管會開始聚焦軟體供應鏈安全，年底前公布相關資安管理規範</strong></p> <p>美國去年開始在聯邦政府採購中，要求軟體業者提供軟體材料清單SBOM表，讓政府單位了解所用軟體的組成、內部模組和所有相關的元件，一旦所用元件出現漏洞，可以自行盤查受影響的系統，不用等待業者通知，來降低軟體供應鏈的風險。金管會資訊服務處處長蔡福隆近日透露，計畫參考美國軟體供應鏈的做法，在今年年底前，於金融資安行動方案中，揭露供應鏈相關資安管理規範。</p> <p><strong>#企業內部碳定價、#碳排放<br /> 第一銀行導入內部碳定價，營業單位2年減少132萬元碳排成本</strong></p> <p>第一銀行從2020年開始舉辦國內營業單位碳管理及節電競賽，並且導入了內部碳定價機制，來提升營業單位的減碳意識而降低碳成本。第一銀行先用實際減碳措施及投入減碳的金額，來計算出自己每公噸減碳的成本，再依照各單位碳排放量來計算所對應的減碳成本。從2021年開始，每季會公告各單位節電目標達成情形，第四季結束後計算目標達成率也對外公布結果。針對沒有達到節電與減碳目標的單位，說明對方超額碳排放的總量，以及應額外負擔的成本，以此來要求各單位推動更多減碳改善作為，同時也會獎勵達標單位的有功人員。根據第一銀行的估算，近2年來，營業單位減少的碳排放量達到291公噸，相當於減少了132萬元的碳排成本。</p> <p><strong>#DeFi、#NFT<br /> 央行揭露DeFi及NFT發展觀察與風險，建議DeFi納入金融監理範圍</strong></p> <p>中央銀行在6月15日理監事會後的記者會，公布了對DeFi和NFT發展的觀察和建議。央行指出，DeFi透過區塊鏈上自動執行的智能合約，在沒有中心化中介機構的情況下，在加密資產市場提供類似傳統金融的交易、借貸和投資服務。央行認為，DeFi看似更有效率的提供金融服務，但也去除了傳統中介機構擔任保護投資人與維護市場誠信的守門人角色，已經衍生了不少風險，例如資訊不對稱與詐欺風險、非法活動風險、營運與技術風險、治理風險、市場誠信風險等，因此，央行建議，DeFi宜納入金融監理範圍，沿用類似傳統金融服務的監管規範。而對當前熱門的NFT，央行認為，目前NFT法律定位不明、市場機制不全、消費者與投資人保護不足，交易淺藏風險。NFT是否可以表彰其所代表商品的所有權，也還有疑義。因為NFT數位藝術品、收藏品及遊戲道具無法合理評價，央行認為，不適合一般大眾作為投資標的。</p> <p><strong>#電子支付、＃一卡通<br /> 一卡通獲准公開發行上市，電子支付用戶破500萬戶</strong></p> <p>一卡通電子支付用戶剛超過500萬戶，儲值卡發卡數超過3,500萬張，最近剛獲得櫃買中心核准為公開發行公司。根據該公司去年年報揭露，儲值卡去年12月單日交易筆數達到99.2萬筆，已經開通6萬個小額消費通路，將持續擴大超商周邊、百貨賣場、連鎖加油站標案、數位轉型專案和多元支付設備整合，來擴大通路。電子支付今年則超過了8.8萬個使用場域，支援36萬個通路POS。今年營運重點是強化線上交易場景，建立多元自主備援和發展入口、強化數據變現等。</p> <p><strong>#區塊鏈、#保險存摺<br /> 保險存摺Web版正式上線，民眾可一站式查詢所有人身投保資料</strong></p> <p>壽險公會與產險公會，聯合22家壽險與14家產險，以及中華電信、台灣網路認證公司，在保險科技運用共享平臺上推出了保險存摺服務，讓民眾可以一站式查詢自己所有的人身保險資料，包括以本人為要保人與被保人的投保情形，包括保單總數、有效及兩年內失效的保單。平臺採取使用者付費原則，民眾付費升級到白金會員後，可以查看更完整的保單資料，並且可以不限次數下載投保紀錄PDF檔。非會員下載則採按次計費方案。目前保險存摺為Web版，壽險公會將在11月推出App，搭配保險業身分驗證中心串接，讓白金會員可以Face ID或指紋辨識登入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%9D%E9%9A%AA%E5%AD%98%E6%91%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.png" /></p> <p><strong>＃新北幣、#行動支付App<br /> 新北市行動支付8月正式上線，未來市政活動贈點將送新北幣獎勵</strong></p> <p>新北市研考會最近宣布，8月將正式推出新北行動支付（NewTaiPay）App，可提供全國跨區域性的智慧行動支付工具，目前正在進行系統壓力測試和效能調校，預計7月初在新開幕的五股公有市場試營運，已經與70多家攤商整合，將提供打卡送折價卷活動來測試。新北行動支付將結合區塊鏈發行的新北幣，作為日後市政活動服務推廣的獎勵之用，民眾掃描QRCode就可以獲得新北幣虛擬貨幣的獎勵，也會提供和現金1比1的幣值來抵用現金，例如用於規費繳納折抵或店家消費。新北行動支付App未來還會增加場館入館、公益捐款、點數轉贈等活動。新北市預估，未來可在5千家實體或線上商城使用，支援商家消費折抵、商品兌換與優惠等行銷活動使用。</p> <p><strong>#先買後付、#iOS<br /> 蘋果將推出先買後付功能，網路購物或App內購買都能用</strong></p> <p>日前蘋果宣布在iOS 16新版將推出先買後付（BNPL）功能Apple Pay Later，內建於Apple Wallet中，方便使用者以Apple Wallet管理、追蹤消費狀況，或設定重覆使用Apple Pay Later支付。只要能使用Apple Pay支付都可以用這項服務，包括網路購物或程式內（In-App）購買。此外，結合Apple Pay訂單追蹤（Order Tracking）功能，消費者可在Wallet中接到以Apple Pay向合作店家購物時的詳細收據或訂單追蹤資訊。第一波先在美國提供Apple Pay Later服務，消費者可設定6周期間的4期分期付款，蘋果強調無息且無額外費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-ios_16-wallet_adds_apple_pay_later-960.jpeg" /></p> <p><strong>#公雲監管、#金融業上雲<br /> 英國考慮立法讓金融監管機有權納管公雲，甚至可禁止業者繼續服務銀行</strong></p> <p>英國財政部最近發布一份文件，提出一個的監管框架，可供英格蘭銀行和金融行為監管局，對有關鍵影響的雲端或第三方服務業者進行監管，可對它們向金融公司提供的重要雲端服務，制定規則、蒐集資訊，並採取執法行動，如公開不遵守的服務業者名單或其違反的行為，甚至情節嚴重可以禁止其繼續向企業提供服務作為最後手段。根據數據顯示，截至2020年，超過65%的英國企業所使用雲端基礎設施服務，都來自前4大公雲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Stripe%E8%BD%89%E5%B8%B3.png" style="float: left;" /></p> <p><strong>#快速退款、#跨國支付新創<br /> Stripe推出銀行轉帳功能，內建快速退款還能整合發票或訂閱流程</strong></p> <p>跨國支付平臺Stripe最近推出了銀行轉帳功能，內建快速退款機制，專門鎖定店家轉帳付款模式的需求。Stripe採用了虛擬銀行帳號的做法（Virtual Bank Account number，VBAN），賦予每一個用戶一個VBAN帳號，來對應到用戶手上各自不同的銀行帳號。店家就算不知道匯款者帳號重新進行轉帳，也能快速退款給取消交易的消費者。另外，這個銀行轉帳功能，還能串連其他作業流程，例如整合發票、訂閱機制或營收確認的流程。目前這項功能已經先在英國、歐盟、日本和墨西哥推出，預計很快就會在美國推出。</p> <p><strong>#電子錢包、#數位鑰匙<br /> 三星電子錢包平臺上線，可整合支付、數位鑰匙、登機證和身分證</strong></p> <p>三星電子錢包平臺Samsung Wallet正式上線，整合支付、數位鑰匙、登機證及身份證件等功能。除了信用卡號，還可以儲存數位金鑰、會員卡、顧客忠誠卡等，也內建Samsung Pass應用程式可儲存密碼，來快速登入網站服務或App。它甚至可將用戶在不同加密貨幣交易平臺的資產顯示於單一畫面。今年下半年預計增加官方核發的卡片，如學生證或駕駛執照。不過，這些服務都只支援和三星合作的特定卡片或App、網站。</p> <p><strong>更多Fintech新聞</strong></p> <p>Facebook Pay更名為Meta Pay，未來將發展成元宇宙數位錢包能管理數位物品</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/24 07:51作者王宏仁https://www.ithome.com.tw/news/151599
邊緣運算成為企業IT重要投資項目
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端運算／雲端服務席捲IT領域多年，企業與廠商早年都聚焦在資料中心環境的軟硬體技術革新，許多公司運用分散式架構來進行服務規模的橫向擴充，然而，隨著行動網路的發達、物聯網設備的普及，以及多種領域支援現場作業的數位應用需求日增，邊緣運算（Edge Computing）開始崛起。</p> <p>先前也有人將這股IT應用趨勢稱為霧端運算（Fog Computing），例如，2018年王建興在我們的程式人專欄當中，也發表一篇〈<a href="https://www.ithome.com.tw/voice/124736" target="_blank">霧端計算崛起，騰雲駕霧的新時代</a>〉勾勒出此種新的IT模式，然而，經過幾年來的發展，「邊緣運算」一詞最終仍獲得更多人認可與使用，也成為當代IT的重要議題之一。</p> <p>對於不同位置的人們而言，所看到的邊緣運算應用，可能有相當大的差異。一般而言，邊緣運算是在各種場域負責感測、記錄狀態的設備，再將數據傳送至NoSQL資料庫、大數據儲存系統、資料湖等環境存放，隨後其他的資料分析系統與應用程式再存取這些地方的資料，進行分析。</p> <p>不過，由於所需傳送的資料量過大，有些邊緣運算架構的設計上，可能會先就地進行適當處理，再透過網路傳回資料中心，以節省頻寬。這也使得市面上出現具備強大計算能力的邊緣運算前端裝置，使得採用Arm架構CPU的樹莓派、內建Arm處理器與GPU的Nvidia Jetson等單板電腦，受到不少關注。</p> <p>另一股驅動當前邊緣運算快速發展的力量，則是各產業運用次世代無線網路通訊、物聯網、人工智慧等技術的數位轉型風潮。</p> <p>舉例來說，電信業為了拓展5G網路應用與業務，而進行的自身IT架構數位轉型，除了核心資料中心環境的持續進化、積極支援網路功能虛擬化（NFV）、軟體定義網路（SDN）、虛擬化進化型封包核心（vEPC），持續改良基礎架構，對於無線存取網路（RAN）的建置，也開展出vRAN、O-RAN、C-RAN等應用，有些廠商則投入「多接取邊緣運算（MEC）」的發展。</p> <p>除此之外，一般製造業、高科技製造業、金融業、醫療業、服務業、政府單位，也都出現積極發展邊緣運算的使用案例。</p> <p>從IT預算規畫當中，也可看出整體企業與不同產業對於邊緣運算的重視。根據去年6月發表的《iThome 2021 CIO大調查》，臺灣企業對於邊緣運算的平均投資預算是604萬元，超越雲端與大數據（低於資安、AI、行動應用）；而從不同產業的邊緣運算投資而言，服務業投入的金額最多，達到1,444萬元，相較於排名第二的政府與學校單位，多出62%。</p> <p>若以2021年採用邊緣運算的產業來看，臺灣的醫療業有將近1成的比例（9.3%），其次是高科技業（8.1%）。</p> <p>這個數據可能不能充分反映現狀，再看看另一個較新的全球預測。今年1月，市場調查機構IDC發布相關數據，他們預估2022年全球邊緣運算支出將達到1,760億美元，比2021年增加14.8%，若維持同樣的成長速度，到了2025年將逼近2,740億美元。</p> <p>若以不同產業來區分，IDC預期2022年製造業的支出是336億美元，零售專業服務業則是100億美元，而在未來5年期間，他們定義的19個產業，對於邊緣運算的開銷都會呈現兩位數比例的成長。</p> <p>在關於發展邊緣運算的解決方案上，IDC認為有高達85%支出是耗費在硬體與服務，其餘15%則是用在軟體。就硬體而言，大部分投資會落在低功耗、功能有限的邊緣閘道器（edge gateways），不過，在邊緣位置部署運算與儲存設備方面的投資，將會快速成長，有望在2025年底趕上邊緣閘道器。</p> <p>服務的部分，包含專業服務與建置服務（provisioned services），以5年來看，費用年增率可達到19.6%，預計在2025年可占邊緣運算支出的一半，而這些費用成長的來源主要是建置服務，其範圍包括網路連線與邊緣相關基礎架構、平臺、雲端服務（IaaS、PaaS、SaaS）。</p> <p>至於邊緣運算的軟體開銷，IDC表示，相關的產品包含多種類型，例如：系統基礎架構、資安軟體、資料分析與AI軟體，這些支出的成長速度也有加快的跡象。</p> <p>展望未來，邊緣運算並非只是在任何應用領域的最外圍現場，設置各種硬體強固運算設備，顯然也涉及網路的布建、系統與應用軟體的健全、資訊安全的防護，以及雲端服務的整合運用，不再只是做為核心運算架構的附庸，僅扮演強幹「弱枝」的配合角色，在當前各種去中心化技術持續發展的態勢之下，勢必還會衍生出許多可能性。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E9%82%8A%E7%B7%A3%E9%81%8B%E7%AE%97">邊緣運算</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E8%81%AF%E7%B6%B2">物聯網</a></div><div class="field-item even"><a href="/tags/edge-computing">Edge Computing</a></div></div></div>
2022/6/23 23:11作者李宗翰https://www.ithome.com.tw/voice/151578
Facebook Pay更名為Meta Pay，未來將加入元宇宙功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/zuck/posts/pfbid021Q1ZMJFWcXBvPcaqpLWgp3x5HTMD3vyVNbPB17BcuX6n1UmAKh7Kyv6dUb6oKP7Nl" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）周三（6/22）宣布</a>，已正式將Facebook Pay更名為Meta Pay，除了Facebook Pay既有的功能之外，未來的Meta Pay將成為元宇宙的數位錢包，以讓使用者安全地管理自己的身分、所購買的物品及支付的方式。</p> <p>祖克柏說，未來使用者很可能會想要建立或購買各式各樣的數位物品，不管是衣服、藝術品、影片、音樂或虛擬活動等，證明這些物品的所有權是重要的，特別是想要跨服務攜帶某些物品時。</p> <p>在理想的狀態下，使用者在登入任何元宇宙的服務時，任何所購買的物品應可直接呈現，要實現此一目標還有很長的路，但此一互動性將替人們帶來更佳的體驗，也會替創作者提供更大的機會，因為有更多的地方得以使用這些物品，使用者便會更重視它們，於焉替創作者締造了更大的市場。</p> <p>此外，當交易愈方便，創作者的機會也愈大，Meta期待可建立此一生態體系。</p> <p>臉書是在2019年推出Facebook Pay，以讓臉書、Instagram、Messenger及WhatsApp的用戶可透過它交易或匯款，但因各國法令的關係，它在每個市場所支援的服務不一。儘管Facebook Pay目前尚未站穩腳步，但隨著祖克柏決定將企業名稱從Facebook改為象徵元宇宙（Metaverse）的Meta，也標示了未來每一項服務都將朝向元宇宙邁進。</p> </div></div></div>
2022/6/23 22:54作者陳曉莉https://www.ithome.com.tw/news/151589
大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶，每秒最高近2,600萬次HTTPS請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客不只發動DDoS攻擊，還使用HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻大規模DDoS攻擊行動，此次攻擊規模為每秒發出2千6百萬次請求（RPS），目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>在此之前，該公司也於去年7月，發現每秒產生1,720萬次請求的DDoS攻擊事故，這起事故鎖定該公司金融業客戶，攻擊行動來自於殭屍網路Mirai，全球125個國家、逾2萬個殭屍網路機器人，而在短短30秒裡，總共發出了3.3億次HTTP請求。就此起攻擊行動的流量高峰而言，占該公司於2021年第2季處理的最大流量近7成。</p> <h3><strong>攻擊者利用雲端的VM與伺服器產生大量流量</strong></h3> <p>負責相關業務的Cloudflare產品經理Omer Yoachimik表示，這起攻擊事故的流量，大部分來自雲端服務供應商，而非網路服務供應商（ISP），該公司研判，駭客主要是濫用雲端服環境的虛擬機器（VM），以及伺服器主機來發動攻擊，而非運算資源較為有限的物聯網（IoT）裝置。</p> <p>為何駭客要用雲端環境的VM與伺服器主機發動攻擊？該公司先前發現每秒發出逾百萬次請求的物聯網殭屍網路，該網路控制的連網裝置多達73萬臺，而就每個裝置而言，平均每秒送出1.3次請求。而這次遭到濫用的VM與伺服器，每臺機器能發動攻擊的頻率，是上述連網裝置的4千倍。</p> <p>駭客在短短的30秒之中，總共向受害網站送出了2.12億次HTTPS請求，流量的出處來自全球121個國家、1,500個網路。發出DDoS流量最多的國家依序是印尼、美國、巴西、俄羅斯，此外，約有3%流量來自洋蔥網路（Tor）的節點。</p> <p>值得留意的是，駭客偏好利用雲端VM與伺服器主機，來發動攻擊的現象並非首例，今年4月，該公司曾阻止每秒發出1,530萬次請求的攻擊行動，攻擊時間約為15秒。巧合的是，發出請求流量最多的國家也是印尼，俄羅斯、巴西，以及印度次之。</p> <h3><strong>使用HTTPS加密流量的攻擊行動日益頻繁</strong></h3> <p>這起攻擊行動另一個引起Cloudflare關注的地方，在於駭客運用了HTTPS加密流量。由於利用這種流量的成本，較沒有加密的流量高出許多，此種攻擊手法上的變化，代表駭客很可能為了隱匿攻擊的來源，而選擇使用成本較高的HTTPS加密流量來發動攻擊。</p> <p>針對這種使用加密流量的攻擊手法，該公司指出，駭客會發出大量垃圾請求，耗盡目標伺服器的處理器與記憶體等運算資源。</p> </div></div></div>
2022/6/23 23:02作者周峻佑https://www.ithome.com.tw/news/151590
FIDO聯盟推IoT設備身分識別FDO標準，紅帽RHEL、Fedora開始支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著物聯網（IoT）的迅速擴展，設備安全性已成近年關注焦點，不應再是額外的選項，應是需要成為必備，這些聯網設備的身分驗證亦是重要一環，而這幾年來，隨著新世代網路身分識別FIDO標準崛起，在2019年我們即關注到該技術計畫擴展於IoT領域的應用，如今，這項IoT設備身分識別逐漸成形。</p> <p>近期，我們看到紅帽釋出RHEL 8.6與9.0版，當中強調將聚焦邊緣管理，新增加支援FIDO Device Onboard（FDO）安全標準規範，期望能簡化邊緣安裝程序，減少現場或遠端集中部署的管理負擔，以及提供更好的安全管理方式。顯然，這FDO標準在2022年應用有逐漸擴張的趨勢，值得關注。</p> <p>什麼是FDO？這是FIDO聯盟在2021年4月，針對物聯網設備所公布的IoT開放標準協定，名為FIDO Device Onboard（FDO），裡面定義簡易與安全的身分識別方式，IoT裝置無論連至雲端或企業內部網路的後端管理平臺，均可適用這樣的驗證方式。目前，FDO標準在今年4月19日已發布1.1版。</p> <p>FIDO聯盟期望這樣的協定，能夠支援大規模部署IoT設備的需求，幫助企業因應安全、成本、時間，以及管理複雜度等層面的挑戰。</p> <h3><strong>FDO標準抵定不到一年，已有系統業者開始宣布支援</strong></h3> <p>隨著這項標準成形，近期我們看到產業間已有不少行動。舉例來說，以晶片業者來看，去年國內晶片安全業者熵碼科技（PUFsecurity），運用其PUF解決方案，即宣布提供PUFiot裝置ID，幫助產品業者打造符合FDO標準的產品；以系統業者來看，在今年4月14日，紅帽釋出<a href="https://fedoraproject.org/wiki/Changes/FIDODeviceOnboarding">Fedora Linux 37</a>時，支援FDO是一大主打特色，為物聯網與邊緣裝置提供更好的安全使用方式，5月紅帽也宣布RHEL 8.6與9.0版將支援FDO標準，甚至還在5月底發布影片專門介紹FDO。</p> <p>特別的是，在4月底舉行的漢諾威工業展上，Google與Intel在展示智慧工廠新邊緣運算概念時，也示範使用FDO將電腦加入Anthos平臺。</p> <p>整體來看，FDO的推動，這不僅是IoT裝置安裝流程的自動化，也可視為解決目前企業IT與OT領域物聯網部署安全的第一步。儘管FDO標準推出還不到一年，但從上述廠商紛紛支援的消息來看，也反映整個IT產業對於FDO標準的積極程度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）紅帽介紹FDO標準_擷取自紅帽官方YouTube(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%B4%85%E5%B8%BD%E4%BB%8B%E7%B4%B9FDO%E6%A8%99%E6%BA%96_%E6%93%B7%E5%8F%96%E8%87%AA%E7%B4%85%E5%B8%BD%E5%AE%98%E6%96%B9YouTube(1).jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）紅帽介紹FDO標準_擷取自紅帽官方YouTube.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E7%B4%85%E5%B8%BD%E4%BB%8B%E7%B4%B9FDO%E6%A8%99%E6%BA%96_%E6%93%B7%E5%8F%96%E8%87%AA%E7%B4%85%E5%B8%BD%E5%AE%98%E6%96%B9YouTube.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>今年5月24日，在<a href="https://www.youtube.com/watch?v=_nq5IAVbl2Y&t=102s">Red Hat Enterprise Linux官方YouTube頻道</a>上，特別針對v9.0與v8.6版本所新支援的FIDO Device Onboard（FDO）標準規範做介紹。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Google%2BIntel_FDO標準_圖片來源Google.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Google%2BIntel_FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在今年5月27日<a href="https://cloud.google.com/blog/topics/manufacturing/edge-computing-smart-manufacturing-concept-intel-google-cloud-hannover-messe-2022">Google介紹了與Intel合作展示的智慧工廠新邊緣運算概念</a>，在結合Intel的Edge Insights for Industrial（EII）平臺、Intel NUC、Google Anthos之下，也示範使用FIDO Device Onboard（FDO）實現零接觸裝置註冊。</strong></span></p> <h3><strong>可因應大規模IoT布署需求，讓裝置註冊安全又有效率</strong></h3> <p>關於FDO的運作方式，FIDO聯盟是以原有FIDO網路身分識別標準為基礎，擴展至IoT裝置應用，因此，FDO的驗證方式同樣以硬體裝置為主，使用非對稱公鑰加密技術，特別是採行untrusted installer的方法，解決物聯網裝置註冊（onboarding）所帶來的各種安全問題。</p> <p>畢竟，傳統物聯網設備的部署，除了實體的裝置安裝，還需要密碼憑證的設置，使設備能夠安全連至後端管理平臺，但這樣的流程過去普遍由人工手動操作完成，往往不夠簡便、耗時且不安全。</p> <p>具體而言，所謂的裝置註冊（Device onboarding），指以將包含金鑰的機密資料及配置資料的設定安裝過程，使設備能與物聯網平臺安全地連接與互動。基本上，物聯網平臺就是設備擁有者用來管理裝置的系統，包括修補安全漏洞、安裝或更新軟體、檢視感測器資料，以及與執行器互動。</p> <p>更進一步來看，FDO就是在設備製造過程中即確定裝置的所有權，之後的裝置註冊過程，則可視為裝置所有權的轉移或授予。同時，自動化亦是FDO簡化相關驗證程序的一大關鍵，能讓一個物聯網裝置在不修改本身韌體與組態的情況下，能夠安全連入到不同的IoT平臺。</p> <p>FIDO聯盟指出，2022年FDO有兩大推動目標，一是促進整個產業採用FDO，包括終端用戶、專業設備代工（OEM）、原廠設計代工（ODM），以及晶片合作夥伴來共同推動；二是推出FDO認證計畫，包括功能性的認證與互動測試，以及安全認證測試。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FDO標準_圖片來源FIDO聯盟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">在2022年4月19發布的<a href="https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html#protentity">FIDO Device Onboard Specification 1.1</a>中，</strong><span style="color:#696969;"><strong>完整說明了這項裝置連入標準的規範，並圖解FDO的傳輸介面</strong>。（圖片來源／FIDO聯盟）</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）FDO標準_圖片來源FIDO聯盟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">今年<a href="https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html#protentity">FIDO FDO標準邁入1.1</a>版，規範文件中</strong><span style="color:#696969;"><strong>以圖像化方式說明協定的運作方式。（圖片來源／FIDO聯盟）</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）FDO標準_圖片來源FIDO聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在FIDO聯盟簡介FDO的一場簡報中，說明FDO運作的6大步驟。（圖片來源／FIDO聯盟）</strong></span></p> <h3><strong>從裝置出廠就具備身分驗證安全設計，FDO標準將為諸多產業帶來助益，並解決物聯網、邊緣運算的關鍵需求</strong></h3> <p>整體而言，在FIDO的FDO標準之下，設備製造的初期即安裝軟體並使用安全金鑰，裝置購買者從製造商獲得裝置並取得安全金鑰時，就能安全、快速且簡便地將產品布署到物聯網平臺，完成註冊並確保設備身分。</p> <p>我們可以如何看待FDO標準的發展？在2021年4月20日標準發布之際，FIDO聯盟執行董事兼行銷長（CMO）Andrew Shikiar曾說過，FDO標準的發布，將讓企業更體認到物聯網的巨大潛力，並且可謂製造、零售、醫療保健、運輸、物流等領域，帶來極大助益。</p> <p>對於FDO標準的成形，身為Intel物聯網部門工業控制與自動化總經理，也是FIDO聯盟IoT技術小組聯合主席的Richard Kerslake，他特別以家中買了一臺新的印表機來舉例，這樣的裝置只要透過USB線與電腦相連接，等待幾分鐘後，驅動程式已經自動安裝完成，這種隨插即用的體驗，與大多數IoT裝置的部分有很大的不同。因為這些IoT設備的布署是耗時、昂貴且不安全。如今，他們不僅加入FIDO聯盟，並且一同催生FDO標準，希望透過新的方法，解決這項產業界所共同面對的挑戰，</p> <p>也有人認為FDO將是一項革命性的標準，例如，英國電信集團（BT Group）研究經理與物聯網架構師Mohammad Zoualfaghari提出他的看法，指出FDO零接觸註冊（Zero touch onboarding）將可解決解決物聯網、邊緣運算與5G行業的關鍵需求，幫助擴展安全與自動化，從製造商到消費者安全，以及從設備到邊緣，邊緣到雲端。</p> <p>同時，我們也詢問國內這方面的專家，希望了解更多FDO的發展趨勢。</p> <p>工研院資通所副所長黃維中表示，過去幾年來，其實產業間一直都有在發展這樣的自動安裝布署，簡化裝置出廠到後續啟用的流程，像是前幾年，Intel就有提出Secure Device Onboard（SDO），讓IoT裝置能在目標裝置管理與雲端分析平臺順利上線，只是以往沒有缺乏一個統合的標準，而現在的FDO做到了。事實上，Intel本身也是FIDO聯盟Board Level會員，而現在的FDO標準規範，其實也就是基於Intel SDO技術而發展。</p> <p>除了系統平臺支援FDO，裝置支援FDO也會是關鍵。要讓裝置出廠的內部構件符合FDO，近年新興的物理不可仿製功能（Physically Unclonable Function，PUF），是近年受看好的技術之一。對此，熵碼科技資安技術經理莊愷莘表示，PUF的最大好處，就是可以讓每個裝置的金鑰都是獨一無二，不像傳統作法要將金鑰燒錄到裝置，需要特殊設備與安全環境，相對而言，PUF可以不用這樣的機制，就能建構獨特的金鑰。</p> </div></div></div>
2022/6/23 18:35作者羅正漢https://www.ithome.com.tw/news/151584
Brave搜尋引擎邁入正式版，推出可客製化搜尋結果的Goggles功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/145187" target="_blank">於去年6月開始測試的Brave搜尋引擎</a>在本周三（6/22）<a href="https://brave.com/search-anniversary/" target="_blank">邁入正式版</a>，Brave同一天也開始測試可客製化搜尋結果的Goggles功能。</p> <p>Brave Software是由JavaScript之父Brendan Eich在2015年所創立的公司，該公司在2016年推出基於Chromium專案的Brave隱私瀏覽器，Brave瀏覽器直至2019年才邁入1.0版；繼之於2021年6月開始測試同樣強調隱私的Brave搜尋引擎，同年10月便以Brave取代Google，作為Brave瀏覽器中的預設搜尋引擎。</p> <p>Brave搜尋引擎標榜以使用者為優先，不涉及廣告或資料銷售，也不追蹤使用者的搜尋或點擊；強調所提供的搜尋結果，都是來自於自己自網路上建立的索引；既不審查也不過濾搜尋結果，亦不含偏見；在瀏覽器與搜尋引擎之間幾乎是無縫整合。</p> <p>從去年6月上線以來，使用者透過Brave搜尋引擎所查詢的關鍵字數量，從首月的810萬成長到10月的8,000萬，在成為Brave瀏覽器的預設搜尋引擎之後，每月查詢次數即倍數成長至1.5億次，到了今年5月的單月查詢量為4.1億次，這一年來累積的查詢量則是25億次。</p> <p>為了慶祝Brave搜尋引擎正式版的上線，Brave本周也開始測試新的「護目鏡」（Goggles）功能，讓任何人或任何社群都能建立規則與過濾器，以限制可搜尋的空間或是變更搜尋結果的排序，等於是允許使用者客製化自己的搜尋結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-search-engine-query-no-goggles.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Brave</span></span></p> <p><a href="https://search.brave.com/goggles/discover?nav=site" target="_blank">例如當於Brave上搜尋「搜尋引擎」時</a>，率先出現的通常是來自知名來源（媒體）的結果，但倘若開啟Goggle，並選擇要搜尋來自科技部落格的內容，就可在第一頁找到那些於通用搜尋中也許要第五頁以後才看得到的內容。</p> <p>今年1月時，<a href="https://www.ithome.com.tw/news/148758" target="_blank">Brave曾對外宣布其瀏覽器每月用戶數已超過5,000萬人</a>，而根據<a href="https://kinsta.com/browser-market-share/" target="_blank">Kinsta所公布的2022年桌面瀏覽器市占率排行榜</a>，Brave的市占率為0.05%，名列全球第十。</p> </div></div></div>
2022/6/23 21:55作者陳曉莉https://www.ithome.com.tw/news/151586
發布緩解措施2週後終於迎來修補程式，微軟修補零時差漏洞Follina
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於6月14日發布的每月例行修補（Patch Tuesday），總共處理55個漏洞，其中有個零時差漏洞特別引人關注，那就是5月底揭露的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟也在6月中，針對所有的Windows作業系統版本，發布修補程式，如果這些設備安裝之後，將能夠防堵駭客執行PowerShell注入的攻擊行動。</p> <p>微軟最早於5月30日對此發布通告，登錄為CVE-2022-30190列管，指出與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分，當時微軟提出了停用相關通訊協定的方式，緩解這項漏洞帶來的風險。但在資安通告公布後，也陸續出現相關的漏洞利用攻擊行動。</p> <p>根據微軟發布的更新程式列表，他們總共對36個Windows作業系統版本進行修補，涵蓋了Windows 7以上所有版本，以及所有Windows Server 2008R2以上的伺服器作業系統，當然也包含最新的Windows 11，以及Windows Server 2022。</p> <p>同時，無論是電腦是搭配x86或Arm的處理器、使用32位元或64位元版本的作業系統，也都需要安裝對應的更新修補。即使是無GUI介面（Server Core）的伺服器作業系統，微軟也予以修補。</p> <h3><strong>有可能在不需用戶互動的情況下就觸發漏洞</strong></h3> <p>這項漏洞之所以受高度關注，主要是資安人員在5月下旬，調查MSHTML重大漏洞CVE-2021-40444之際，意外在惡意軟體分析平臺VirusTotal，看到了有問題的Word檔案，使用者一旦開啟檔案，屆時就會使用MSProtocol URI Scheme（ms-msdt）架構，載入程式碼，進而執行PowerShell。</p> <p>而這樣的手法，也經過其他資安專家的進一步確認，確實是未被列管的零時差漏洞攻擊。</p> <p>相較於現行許多Office已知漏洞，而Follina與極為不同的地方，那就是攻擊者如果是利用RTF格式的文件檔案來發動攻擊，由於Windows檔案總管就能預覽內容，過程中，有可能在不需受害者開啟檔案的狀況下，就能觸發漏洞。</p> <p>關於這項漏洞，命名的資安專家Kevin Beaumont指出，微軟在Office軟體當中，加入受保護的檢視（Protected View），而能針對惡意檔案開啟時就逕自執行巨集的狀況進行防堵，不過，可能難以防範上述利用檔案總管預覽功能的情況。</p> <h3><strong>相關漏洞的修補可能需要更加積極因應</strong></h3> <p>事實上，Follina已被用於攻擊行動的情況，在4月上旬，就有研究人員向微軟安全回應中心（MSRC）通報，然而，因為MSRC認為此漏洞與資安沒有關連，且無法完整執行、驗證研究人員提供的檔案，而將其結案不予處理。這樣的情況，使得攻擊者能夠持續利用該零時差漏洞超過一個月。</p> <p>無獨有偶，資安業者Tenable也認為，微軟需要更加積極回應研究人員通報的漏洞──他們在6月15日，公布通報Azure Synapse Analytics漏洞的過程，微軟在獲報後的第89天，才默默修補部分漏洞，但沒有通知用戶，也並未發布CVE編號，使得該雲端資料分析服務的用戶不知已經曝險。</p> </div></div></div>
2022/6/23 21:55作者周峻佑https://www.ithome.com.tw/news/151587
eBay收購藝術品NFT市集KnownOrigin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ebayinc.com/stories/news/ebay-acquires-leading-nft-marketplace-knownorigin/" target="_blank">全球線上拍賣市集eBay於22日宣布</a>，已買下2018年於英國創立的藝術品NFT市集KnownOrigin，惟雙方並未揭露交易金額。</p> <p>KnownOrigin是一個基於以太坊區塊鏈的NFT市集，允許使用者於該平臺上銷售或購買數位藝術品的NFT，定位為藝術家的NFT收藏市集。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-eBay%E6%94%B6%E8%B3%BC%E8%97%9D%E8%A1%93%E5%93%81NFT%E5%B8%82%E9%9B%86KnownOrigin-1.jpeg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／KnownOrigin</span></span></p> <p>至於eBay則在2021年的5月就允許使用者於該平臺上交易NFT，並在今年5月與標榜綠色NFT平臺的OneOf合作，推出Genesis系列的獨家NFT收藏品，若再加上KnownOrigin的收購，顯示eBay企圖競逐未來的NFT交易市場。</p> <p>eBay表示，由技術主導的策略讓eBay在技術、效能與使用者經驗上都有顯著的升級，包括那些讓使用者更容易發現、購買與銷售任何東西的工具，該平臺原本就是全球用戶搜尋獨特收藏品的第一站，藉由收購KnownOrigin將持續保持領先地位，並替社群提供更多的數位收藏品。</p> </div></div></div>
2022/6/23 22:16作者陳曉莉https://www.ithome.com.tw/news/151588
Meta元宇宙VR研發成果首度大公開，祖克柏揭露真實感VR體驗四大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Meta公司Reality Labs部門實驗室中，有一面原型展示牆，陳列了實驗室設立七年來所開發的數十款VR眼鏡原型，有的輕巧如太陽眼鏡，但更多是笨重，大小不一的設備。這是去年改名為Meta的臉書，最重要的元宇宙研發基地，Meta創辦人暨執行長祖克柏強調，我們的目標是打造出通過視覺圖靈測試的次世代VR體驗，這是目前還不存在的未來技術。這是第一次，Meta詳細揭露了打造真實感VR眼鏡的四大挑戰和最新進展。</p> <p>祖克柏去年將臉書改名為Meta，來宣示全力進軍元宇宙的企圖心。VR眼鏡是Meta實現元宇宙大夢的關鍵設備，2015年就發表了所併購子公司Oculus的首款虛擬實境頭盔Rift，而Oculus團隊後來也成了Meta的VR研發部門，也就是Reality Labs。</p> <p>今年2月，Meta公布去年第四季財報時，也首度公布了Reality Labs部門的營收情況，雖然該季Meta的Reality Labs營收高達8.8億美元，但最後還是虧損了33億美元，而且逐季擴大中。最近更傳出Reality Labs部門將重整，要終止或延後部分專案，專注在核心產品開發。這些負面消息也引發外界對Meta元宇宙布局的疑慮。最近，Meta首度公開了Reality Labs部門歷年的研發成果，來消弭外界對發展不順的質疑。</p> <p><strong>Meta元宇宙的戰略目標</strong></p> <p>Meta元宇宙的戰略目標是，打造出媲美真實世界的虛擬世界，祖克柏指出，如果有一天VR眼鏡可以媲美人類視覺的效果，可以實現「存在感」，讓你感覺好像跟另一個人實際待在同一個地方的感覺，可以幫助人們更好的互動，這是非常重要的事。不管是，你遠方家庭成員，或是專案協作的對象，你喜歡的藝術家，都可以讓他們跟你有同在一個物理空間存在的感覺。</p> <p>為何要打造媲美真實的3D感受，Meta旗下Reality Labs首席研究員Michael Abrash指出，真實的3D可以讓我們體驗，今天在虛擬世界體驗不到的感覺，尤其是與其他人的互動體驗，「必須改變感受系統，來趨近真實的情況，才能提供真正的臨場感。」他更比喻，這樣的VR眼鏡更可以創造出協同合作的可能性，能做到項當年打字機或電腦帶來的產業變革一樣。</p> <p>不只如此，「一旦可以打造出真實感的VR顯示器，就可以創造新一代的視覺體驗。」祖克柏補充，文化會適應科技所帶來的深度和豐富性，當新一代科技出現，就會帶來新的藝術和表現形式，每一個人都希望被了解，這個真實感VR顯示器，會成為一種強大的工具，可以用一種近似現實的方法來表達自己。</p> <p>不過，祖克柏也坦言，要讓VR世界跟現實物理世界非常相似，是一件非常困難，但很有趣的問題，「這涉及我們在物理世界如何察覺事情，包括眼睛如何處理訊號，以及大腦如何解讀的挑戰。」尤其，人類視覺是高度整合的結果，不能只是看到一個高度真實的圖像，還需要很多其他的視覺線索，才會有一種很真實的感覺，「這是與只看電腦螢幕或電視螢幕，截然不同的感受。」</p> <p>不只是這些視覺線索的不同，除了提供3D立體影像之外，觀看傳統螢幕時的對焦是固定距離，但真實世界，眼睛移動過程中，會針對不同的物體對焦。另外，顯示器也必須提供更廣大的視野，提供比傳統螢幕高非常多的解析度，甚至，顯示螢幕必須能夠模仿真實世界的亮度和動態範圍，比現在的高清電視還要高10倍，顯示畫面還能夠快速延遲反映的眼球的動作，當使用者轉頭時，可以很快校正畫面的失真。這些功能都需要電力支援，尤其要支援GPU的運算，也要避免晶片發熱帶來的不舒適感。最後，所有這些元件都要安裝到一個大小適合的設備中。</p> <p>「只有一個部分沒有做好，實境感覺就會消失，這種實境破壞感，比2D平面更明顯。」祖克柏坦言，這就是真實感VR眼鏡的嚴峻挑戰，需要軟體、晶圓技術、感應器等各種技術的合作。</p> <p><strong>參考圖靈測試，提出視覺圖靈測試來驗證VR眼鏡體驗</strong></p> <p>為了用來判定VR眼鏡的效果，Michael Abrash指出，Meta內部提出了「視覺圖靈測試」的觀念，「我們的目標就是希望通過視覺圖靈測試。」Meta參考了圖靈測試的做法，以「能不能分辨不出來這是人或電腦」來判定電腦是不是達到像人一樣的程度，視覺圖靈測驗就是，人類看到的VR世界，能不能跟真實世界一樣，分辨不出兩者的差別。而且這個測試要以人類主觀的感受來測試，而不是技術的衡量標準。不過，祖克柏坦言，目前沒有任何VR設備能夠通過這個測試。</p> <p><strong>真實VR眼鏡的第一個挑戰是超高解析度</strong></p> <p>很多人提到VR眼鏡的品質，就會提到解析度，祖克柏表示，解析度是最重要議題，但VR眼鏡的解析度問題跟傳統的解析度挑戰不太一樣。在VR眼鏡中的視野，其實比現在最寬的螢幕還要更大，他預估，要達到1.0視力效果，就得在整個視野都都達到超過8K的解析度，</p> <p>Meta自己設定的目標是，要達到視網膜解析度效果的VR眼鏡，換句話說，每一度視野要提供到60個像素的解析度，若是眼睛全視野都達到這個解析度，就得比現有顯示器還要多好幾倍的解析度才夠。</p> <p>不過，「人類視覺不需要所有像素都存在，所看到的完整視野中，不需要每一樣東西都對焦，只需要對焦的物體有高解析度，而視野邊緣的解析度可以稍低，但是，現在，任何一款顯示器都沒有辦法做到這件事。」祖克柏説。</p> <p>臉書曾有一款原型產品，稱為Butterscotch，可以提供超高解析度，來達到1.0視力的文字辨識效果，這是2015年時的Rift眼鏡或是當前的Quest 2眼鏡就都達不到的效果，可以看清楚視力檢測表上1.0的文字。</p> <p>Butterscotch 是Reality Labs實驗室客製的原型，不是實際的產品，但是可以達到視網膜解析度，是現在Quest 2虛擬實境眼鏡的2.5倍解析度，但這款原型眼鏡的解法是，透過犧牲視野來達到更高的解析度，透過混合鏡片，將視野的寬度縮小到Quest 2視野寬度的一半，才得到比較高的解析度，可以看到非常細節。</p> <p>祖克柏自己也曾測試過這款視網膜解析度的VR眼鏡，他說：「可以看到非常銳利的圖像，體驗很好，但沒辦法賣，因為裝置的重量很重，而且圖像過於銳利，戴久了也會不舒服。」</p> <p>透過這個原型的實測，一方面可以看到超高解析度VR眼鏡的模樣，也讓Meta的Reality Labs團隊意識到，真實的影像需要達到這樣的解析度，祖克柏指出，顯示器科技會一代一代進步，幾年後就會達到。</p> <p>不過，新世代視覺體驗的挑戰不只是解析度而已，甚至還有一些平面顯示裝置不會出現的挑戰。例如，VR眼鏡獨特的挑戰是VR所用的鏡片是曲線鏡，會造成影像變形，就得靠軟體來校正，但是，這個變形還會隨著眼睛移動而改變，長時間配戴看到失真影像，會造成不舒服、疲勞的感覺。另一個挑戰是對焦的挑戰，眼睛會想要對焦物體，但是，顯示器是以固定距離來投影，就得解決不同距離的聚焦問題。</p> <p><strong>動態對焦是第二個挑戰</strong></p> <p>2015年開始銷售第一款VR頭盔Oculus Rift的時候，當時，Meta就發現到對焦距離的挑戰。因為當時是第一次在VR眼鏡的視野中出現了手，就遇到了移動過程的對焦挑戰。因為手會在VR世界中揮動，就會出現對焦距離不固定的問題。</p> <p>現實世界的眼球，會不斷改變形狀來因應我們看的距離和成像，但是，當前的VR光學系統採用的是固定不能彎曲的實體透鏡，焦點固定在約5～6英尺的位置，方便使用者看到比較遠的地方。在真實世界中，人類的眼睛可以捕捉到不同深度和位置的各種微妙線索，但在</p> <p>VR眼鏡中，若眼睛試圖聚焦觀看近處或遠方的物體，卻無法做到時，就會覺得有點模糊也會讓眼睛疲勞，這是3D眼鏡跟2D顯示器的差別，使用者觀看2D顯示器時，不需要真的觀看到很近或很遠的物體。</p> <p>為了解決這個問題，Meta的解法是動態移動鏡片，來改變景深，就像是相機自動對焦的感覺。後來，Meta用了1個月的時間，做出了第一款變焦的VR眼鏡原型，可以提供正確的焦深，尤其是看近的物件，會更清楚。<img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E7%AC%AC%E4%B8%80%E6%AC%BE%E8%AE%8A%E7%84%A6vr-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.png" /></p> <p><strong>Meta在2015年打造出的第一款變焦VR眼鏡原型，裝上馬達來改變顯示器鏡頭位置，非常笨重，但從此確定了變焦是可以更接近真實的未來技術目標。</strong></p> <p>這個VR眼鏡原型裝上了馬達，來調整顯示器的鏡頭位置，雖然這是一款非常笨重的眼鏡，不是可以上市的產品，但卻讓研究團隊大受激勵，讓他們體驗到未來可以達到什麼樣程度的現實程度，所以戴過這款原型的人都同意，可以讓比較近的物體看起來很銳利，隔年，</p> <p>Meta進一步打造了一款可以追蹤眼動，根據眼球運動來進行變焦的原型。透過機械變焦的顯示器，能夠提供適當的景深，搭配眼球追蹤技術，針對使用者在看的區域，即時提供失真校正，補償這個區域的放大效果，只有使用者看到的物體，會比較清楚，就像在真實世界，你聚焦觀看的物體會更清楚一樣。</p> <p>「這個早期原型，讓我們意識到，我們做對事情了，變焦真的可行，可以提供更吸引人的體驗。」Reality Labs Research顯示系統部經理Douglas Lanman回憶。透過原型確定變焦VR眼鏡發展方向，下一步就是要進行使用者研究，透過更有說服力的科學實驗來證明。</p> <p><strong>開發輕巧變焦VR眼鏡原型，展開使用者體驗研究</strong></p> <p>Reality Labs Research FAIR專案經理Marina Zannoli先前在Reality Labs Research顯示系統團隊中擔任視覺科學家，也是負責新世代VR眼鏡第一次使用者研究的負責人。</p> <p>為了了解變焦如何提升VR的體驗，必須要先打造出一款更小更輕的眼鏡裝置，Marina Zannoli解釋，重量和形式必須接近Oculus Rift，但不能有變焦馬達的噪音和震動，後來，就發展出了Half Doom Zero這款變焦VR眼鏡。</p> <p>Half Doom Zero眼鏡比原本變焦眼鏡的原型小了4倍，而且完全跟當時所有Rift遊戲相容，也有非常好的對焦能力。在2017年春天，Meta找了大概60個受試者，來體驗Half Doom Zero眼鏡，讓他們做了兩天的測試，來比較調變焦系統，跟定焦系統的差別。</p> <p>這個研究也準備了特定的VR展示影片，並鼓勵測試者觀察他們周遭很近的東西，因為這是過去VR世界的使用者會避免做的事，來自原有定焦系統VR眼鏡的限制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%AC%AC%E4%B8%80%E6%AC%A1%E5%A4%A7%E8%A6%8F%E6%A8%A1%E4%BD%BF%E7%94%A8%E8%80%85%E6%B8%AC%E8%A9%A6-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.png" /></p> <p><strong>2017年春天Meta找了60個受試者體驗動態變焦的VR眼鏡，Half Doom Zero眼鏡，這是第一次的大規模VR原型使用者體驗測試。</strong></p> <p>經過使用者實驗後發現，使用變焦系統比較不會累，也比較不會出現模糊的視線，使用者更容易跟蹤物件，在VR世界中閱讀文字也更比定焦系統更容易，可以對物件的反應更快速。雖然這款VR眼鏡仍有噪音和震動的問題，不過，這次使用者研究，多數人可以接受噪音和震動下的變焦系統。</p> <p>「大部分的人都喜歡變焦，比較不喜歡定焦。」Marina Zannoli指出，到了2017年夏天時，我們就得到比較確定的證據，變焦不只有助於未來可以通過視覺圖靈測試，而且可以帶給VR眼鏡其他好處，包括性能的幫助（不需要全視野超高解析度）和舒適性。「Half Doom 系列是一個轉淚點，不只發展出了非常先進的變焦技術，也提供了一種通過視覺圖靈測試的原型測試模式。」</p> <p>從此，先做出原型來驗證，再發展輕巧版本進行使用者實驗，來研究如何打造下一個原型，「這就變成了我們的標準流程。」Marina Zannoli表示。Meta的Reality Labs實驗室開始大量運用這個原型實驗的做法，來嘗試解決不同的VR眼鏡挑戰，這也是為何在7年中會開發出近30款原型VR眼鏡的緣故。</p> <p>有這個變焦系統更舒適的發現之後，Meta開始專注於減少設備大小和重量，以及想辦法擴大VR眼鏡的視野，也製作了一系列的原型，後來更使用了液晶透鏡的電子變焦鏡頭，讓鏡片元件的體積縮小了許多，後續也持續改良變焦硬體。</p> <p><strong>第三個挑戰：變焦帶來更複雜的失真校正挑戰</strong></p> <p>解決了變焦鏡頭的問題，還要解決其他問題，另一個問題就是VR光學失真的問題。</p> <p>先前就提到VR眼鏡的鏡片是曲面鏡，原本就會出現影像失真的問題，VR眼鏡大多透過軟體來修正這個影像的失真。可是一但採用了變焦鏡頭，要隨著使用者的眼球來修正聚焦的物體，連動到虛擬影像的失真情況，也會隨著眼睛移動，查看不同方向而發生不同的失真變化。</p> <p>可是，Michael Abrash指出，既有失真修正演算法是相對靜態的做法，遇到眼睛要不斷移動來瀏覽完整場景的時候，無法完美發揮作用，因為靜態軟體校正系統無法產生持續穩定的圖像。「我們要研究的是眼球追蹤的失真校正，必須進行動態校正，隨著眼睛來進行，在不同的變焦技術，在不同景深上發揮作用，而且校正的速度還要快讓人難以察覺，這是很難解決的問題。」</p> <p>要解決失真的問題，需要很長的時間，一方面必須要製造出研究問題需要的鏡片，可能花上好幾個月才能完成，還要製造顯示器和對應的VR系統。為了解決耗時的問題，Meta改用大量眼球運動的紀錄，來設計模擬器，搭配3D電視技術，來模擬研究不同光學設計和失真校正演算法，不用建造真正的頭盔，「透過這種快速原型製作能力，可以在幾分鐘內探索不同動態失真校正的情況。」Michael Abrash表示。</p> <p>他指出，眼球追蹤是被低估的挑戰，一方面要找出使用者對焦的地方，來決定要渲染的圖像重點，另一方面，也要考慮熱量跟功率，如果只需要渲染出使用者需要關注的細節就好，但降低其他部分的圖像解析度，「這或許是一個非常重要的優化做法。」目前在Quest 2的軟體也做了不少失真校正的彌補，但要滿足真實感VR眼鏡需要的失真校正效果，還是不太夠。</p> <p><strong>可以讓3D場景栩栩如生的第4項挑戰：HDR</strong></p> <p>Michael Abrash表示，Meta研發VR眼鏡七年來所遇到的顯示系統挑戰，除了解析度、變焦到失真校正的課題，還有一個很重要的挑戰就是HDR（高動態範圍），這是涉及亮度和對比的問題，亮處夠亮可以感覺到顏色清楚，而暗處夠暗才會讓場景變得栩栩如生。當前的挑戰是，「螢幕生動的程度，跟真實世界相比，有相當大的差異。」目前高階電視的亮度可以達到1萬尼特，電視產業也往HDR的方向前進，但當前Quest VR眼鏡的亮度只有100尼特，要提供HDR的亮度，也需要在電池跟重量之間取得平衡。</p> <p>Meta曾打造出第一款HDR的VR眼鏡Starburst來測試，不管重量和電力，放進高亮度的螢幕，來進行更多研究，了解HDR的體驗會是如何。原型測試的目的是為了找出可以讓視覺更加真實的技術方向。</p> <p>Reality Labs Research研究總監Nathan Matsuda表示，透過Starburst，可以創造出在室內看到的亮度，來研究基本的察覺問題，了解未來目標HDR應該要達到什麼程度。目前發現，若可以產生比較好的焦深，營造真實生動的感覺，就有機會實現一個夠漂亮，夠複雜的VR環境，這還需要很多代的演進，才能達到。「我們正努力將這些技術整合到一個更小巧，更便宜的眼鏡中。」Nathan Matsuda表示，每次建立一個新的原型，不管多不實際，但都可以讓我們理解，人們如何觀察周圍的世界，以及科技可以如何擴大人們的視覺系統。</p> <p>Michael Abrash指出，變焦和視網膜解析度可以打開很多種可能性，但也會帶來開發者的挑戰，越真實的內容，製作難度就越高，如何協助人們創造這樣的環境，能夠炫染出可以保真的程度，AI技術將是實現這個目標的關鍵技術，另一個策略是先在真實世界中架構出場景，再將場景帶進虛擬世界。</p> <p>在Meta的Reality Labs團隊中還有一組人馬，負責整合科技和新的光學元件，他們的挑戰就是要盡可能減少這些光學元件的體積。Reality Labs Research研究員 Andrew Maimone指出，不管是解析度、對焦、失真或HDR的技術，最後都要整合到VR眼鏡中，我們的目標希望更輕薄短小，人們可以使用更長的時間。</p> <p>在VR光學元件中有三個要素，光源、成像的顯示版和曲面鏡片。過去VR眼鏡大部分的空間是消耗在鏡片和顯示版之間，Andrew Maimone指出，後來改用偏光折射可以進行光學對折，技術上稱為餅乾式鏡筒，可以大幅減少厚度，只剩下曲面鏡片本身的厚度。後來，Meta引進了全像投影的餅乾式鏡筒，簡稱HoloCake，同樣採用餅乾光學鏡頭的設計，將鏡頭改為全像鏡片，就可以得到更薄、更平的鏡頭，能夠大大減少VR光學元件的大小，進一步能減少整體眼鏡的重量，不過，「全像鏡片非常特殊，得使用雷射作為光源，才可以描述更多顏色，提供更好視覺體驗。」</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%A4%85%E4%B9%BE%E5%BC%8F%E9%8F%A1%E9%A0%AD%E8%A8%AD%E8%A8%88.png" /><br /><strong>傳統VR眼鏡空間是消耗在鏡片和顯示版間，Meta改用偏光折射進行光學對折，技術上稱為餅乾式鏡筒，大幅減少了厚度，更將鏡頭改為全像鏡片得到更薄更平的鏡頭（圖右）。</strong></p> <p><strong>最新VR原型HoloCake 2採用全像技術和雷射光源</strong></p> <p>Meta也展示了他們目前最先進的VR裝置原型HoloCake 2，可以支援任何電腦來運作，引進了兩個技術，第一是引進了全像技術，可以讓使用者感受到有點像是實際成像的樣子，也能減少距離造成的成像差異效果，不過，要提供全像成像需要特殊光源，HoloCake 2採用了特別的雷射光源，不同於今天VR眼鏡用的LED光源。 Andrew Maimone指出，雷射光源並不神奇，但在消費級產品中，找不到性能和價格能夠兼顧的合適產品，還需要大量工程研究，才能打造出符合需求的消費型雷射光源，能夠安全、有效的裝在輕薄的VR眼鏡上。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-HoloCake-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.png" /><br /><strong>Meta目前最先進的VR裝置原型HoloCake 2，採用餅乾式全像技術，也需要搭配特殊雷射光源來提供全像呈現所需，不同於今天VR眼鏡慣用的LED光源。</strong></p> <p>祖克柏還展示了一款VR眼鏡的原型設計Mirror Lake，集結了Reality Labs部門過去7年的研究成果，採用了HoloCake 2的顯示系統，包括了變焦鏡頭、眼球追蹤、失真校正技術、餅乾鏡頭設計等，要整合到一個小巧、方便穿戴的護目鏡眼鏡設計，來提供混合實境的真實3D顯示方式。不過，Mirror Lake只是一個概念設計，Meta還沒有真正實現這樣的架構。</p> <p>祖克柏坦言，Mirror Lake還需要好幾年才能實現。「因為真實感VR是一個全新的技術，不是改進手機或電視的顯示器，如果可以實現，將會帶來VR體驗非常大的改變。」文⊙王宏仁</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%9C%AA%E4%BE%86%E8%A8%AD%E8%A8%88.png" /></p> <p><strong>祖克柏展示一款VR眼鏡原型概念設計Mirror Lake，集結了過去7年的研究成果，整合到一個小巧、方便穿戴的護目鏡眼鏡設計，來提供混合實境的真實3D顯示方式，但目前還沒實作。</strong></p> </div></div></div>
2022/6/23 19:07作者王宏仁https://www.ithome.com.tw/news/151585
【資安日報】2022年6月23日，威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有不少與漏洞的修補和公布有關。其中，威聯通針對NAS設備的用戶發布資安通告，相當值得留意。這項漏洞是存在於PHP元件的CVE-2019-11043，可能會影響執行QTS、QuTS hero、QuTScloud作業系統的NAS設備，該公司已針對部分作業系統進行修補。</p> <p>操作科技（OT）的相關系統漏洞，有可能會因為設計過程沒有將資安納入考量，普遍存在於多個廠牌的設備，有資安業者近期公布一組名為OT:Icefall的漏洞，並指出至少有10個廠牌的設備存在相關漏洞，且很可能被駭客用於攻擊工控環境。</p> <p>前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega，最近也修補研究人員通報的漏洞，這些漏洞主要是能竊取並解密用來加密檔案的RSA金鑰，使得用戶的資料可能因此曝光。用戶應儘速更新用戶端程式來緩解相關漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/chinese-actor-takes-aim-armed-with-nim-language-and-bizarro-aes/"><span style="color: rgb(0, 0, 0);">駭客組織Tropic Trooper使用Nimbda惡意程式發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg" style="width: 300px; float: right;" /></a>駭客利用新的程式語言打造惡意程式，進而規避資安系統偵測的情況，最近又有相關攻擊行動出現。資安業者Check Point揭露中國駭客組織Tropic Trooper近期的攻擊行動，駭客假借提供SMS Bomber程式的名義，偷渡名為Nimbda的惡意程式載入工具，此軟體是透過Nim程式語言打造而成。</p> <p>攻擊者利用Nimbda在後臺將Shell Code注入記事本（Notepad.exe）的處理程序，從GitHub儲存庫下載惡意程式Yahoyah的變種，並將其解密後，利用挖空處理程序（Process Hollowing）的注入手法，透過dllhost.exe執行此惡意程式，收集受害電腦鄰近的無線網路SSID，以及特定的電腦資訊。</p> <p>研究人員指出，駭客加密Yahoyah的手法相當特別，該組織透過兩輪的AES演算法倒序作業，而被研究人員稱做AEES。研究人員指出，這種加密手法使得資安人員要解析惡意程式的難度大幅提升。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-20"><span style="color: rgb(0, 0, 0);">威聯通NAS設備恐受到PHP漏洞波及，用戶應儘速更新作業系統</span></a></strong></h3> <p>威聯通於6月22日發布資安通告，指出旗下的NAS設備，可能會受到PHP漏洞CVE-2019-11043影響，若Nginx組態配置不當，可能會受到此漏洞影響，一旦攻擊者利用這項漏洞，就有可能遠端執行程式碼，呼籲用戶更新QTS、QuTS hero來防範相關攻擊。該公司表示，這項漏洞可能會影響QTS 4.5與5.0版、QuTS hero h4.5版與h5.0版，以及QuTScloud c5.0以上的作業系統，他們推出QTS 5.0.1.2034 build 20220515、QuTS hero h5.0.0.2069 build 20220614等版本予以修補。</p> <p>不過，威聯通指出，上述漏洞需要某些元件存在才會形成，這包含了Nginx與php-fpm兩項元件都必須在執行的狀態，才會觸發該漏洞。由於在該廠牌NAS預設的組態中，並未安裝Nginx元件，有可能不會受到上述漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://mega-awry.io/"><span style="color: rgb(0, 0, 0);">檔案共享服務Mega修補加密機制可能遭到破解的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png" style="width: 300px; float: right;" /></a>加密演算法的漏洞，有可能讓標榜資料點對點加密的檔案共享服務，用戶資料遭到洩露。瑞士蘇黎世聯邦理工學院的研究人員於3月24日，向前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega通報有關加密演算法的5個漏洞，近期亦公布5種可能的利用攻擊手法，這些手法多半仰賴竊得並解密RSA金鑰進行。</p> <p>研究人員指出，Mega標榜以用戶端控制的全面加密（User-Controlled End-to-End Encryption，UCE）機制來傳出資料，該公司透過使用者登入Mega的密碼來產生加密金鑰，所有使用者的RSA金鑰都存放在Mega伺服器，該公司卻沒有採取完整性保護的相關措施，使得研究人員能透過中間人攻擊（MitM）的手法，來取得特定用戶的RSA金鑰，甚至有可能逆向工程解密AES-ECB主鑰，以及整個金鑰組。</p> <p>Mega獲報後於6月21日發布新版用戶端程式，修補了其中3個漏洞，並承諾將於後續版本修補另外2個漏洞，該公司亦強調要利用這些漏洞的門檻相當高，但確實突破該公司提供的資料保護機制，使得他們相當重視這些研究人員通報的內容。</p> <h3><strong style="font-size: 22px;"><a href="https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/"><span style="color: rgb(0, 0, 0);">OT:Icefall漏洞恐導致10個廠牌的OT裝置曝險</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png" style="width: 300px; float: right;" /></a>操作科技（OT）環境系統的不安全，很有可能與設計當初並未將資安納入規畫，而使得攻擊者能加以利用。資安業者Forescout揭露名為OT:Icefall的一組漏洞，此漏洞組由56個漏洞組成，漏洞類型涵蓋層面甚廣，可能導致攻擊者能遠端執行程式碼、竊取帳密、竄改韌體或是組態設置，以及繞過身分驗證等，影響Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bently Nevada、Phoenix Contract、ProConOS，以及Yokogawa等廠牌的OT設備。研究人員指出，他們公布的這些漏洞，已經成為針對工控環境發動攻擊的惡意軟體利用的目標，這些惡意軟體包含了俄羅斯駭客針對烏克蘭發電廠所使用的Industroyer 2與CaddyWiper。</p> <p>研究人員指出，有7成4易受到攻擊的系統通過相關安全認證，這也突顯相關檢驗程序涵蓋的資安面向可能有所不足，他們呼籲用戶應參考系統製造商提供的資安通告，了解漏洞的影響範圍，以及相關的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop_21.html"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 103，並修補14個漏洞</span></a></strong></h3> <p>Google於6月22日發布電腦版Chrome 103版，主要加入了HTTP 103狀態代碼來協助瀏覽器預載部分內容，來提升網頁的載入速度，但在此同時，該公司也修補了14個漏洞，其中較為嚴重的是Base元件的記憶體釋放後使用（UAF）漏洞CVE-2022-2156，此外，與UAF有關的漏洞還有CVE-2022-2157、CVE-2022-2161、CVE-2022-2163，分別涉及Interest groups、WebApp Provider、Cast UI and Toolbar等元件。Google宣稱，他們向通報漏洞的研究人員發出了4.4萬美元獎勵。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Data-Center/Third-SGX-Community-Day/post/1393177"><span style="color: rgb(0, 0, 0);">Intel宣布恢復舉辦SGX社群日活動</span></a></strong></h3> <p>為了推廣機密運算與自家公司開發的軟體防護延伸技術（SGX），英特爾實驗室曾於2020年7月中舉辦第二屆SGX Community Day，為期兩天，當時有超過1百位研究人員、工程師參加，他們來自英特爾、其他公司、大學、政府單位，並且展示了6種支援SGX應用的軟體框架，例如：Graphene、Occlum、Enarx、Mage、SCONE，能讓一般Linux應用程式、多種見證框架，以及Rust、WebAssembly執行時期元件無需修改，即可在SGX執行。</p> <p>或許是因為COVID-19的疫情關係，2021年並未舉辦SGX Community Day，但今年6月英特爾實驗室首席工程師Mona Vij在他們公司的社群部落格，宣布英特爾將於7月26日舉辦第三屆SGX Community Day，地點是美國俄勒岡州希爾斯伯勒市，屆時以實體與線上混合的方式進行，大會議程將於6月24日公布。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.minerva-labs.com/does-acrobat-reader-unload-injection-of-security-products"><span style="color: rgb(0, 0, 0);">Adobe Acrobat、Acrobat Reader疑似會干擾防毒軟體掃描PDF檔案</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> </div></div></div>
2022/6/23 18:03作者周峻佑https://www.ithome.com.tw/news/151583
AI趨勢周報第192期：Coursera公布100多國共1億名學習者技能報告，臺灣資料科學熟練度為66%、整體技能排名…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0617～0623)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Coursera </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料科學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技能 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Coursera公布100多國共1億名學習者技能報告，臺灣資料科學熟練度僅66%、整體技能排名全球第53</strong></span></p> <p>由AI大師吳恩達創辦的線上學習網站Coursera，日前公布2022年全球技能報告，統計對象涵蓋100多國、1億名Coursera線上學習者，並將技能分為商務、技術、資料科學等3類。其中，資料科學技能包括機器學習、數學、統計編程、資料視覺化、資料分析、資料管理、機率與統計等6種，技術則指各種開發技能，像是行動裝置程式開發、網頁開發、軟體工程、雲端計算等，商務則是軟實力技能，如溝通、領導與管理、創業、財金等。</p> <p>以亞太區的臺灣來說，今年全球整體技能排名為53，較去年掉了30名，資料科學的熟練度為66%，技術和商務技能熟練度分別是47%和32%。亞太區國家前3名則是印尼（全球第3）、新加坡（全球第5）、日本（全球第6），資料科學的熟練度分別是100%、82%和91%。</p> <p>總體而言，Coursera指出，這份報告顯示了學習者對數位轉型、通貨膨脹和全球不穩定性做出的反應，更多人學習數位技能和軟實力技能，來因應未來新經濟需求。特別是在發達國家，學習變革管理和韌性課程的人越來越多，發展中國家學習者，則透過供應鏈系統、行動資訊架構等課程，來強化數位技能。<a href="https://blog.coursera.org/announcing-the-coursera-global-skills-report-2022/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-21%20at%203_29_53%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Line Today </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ML </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推薦 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line Today臺灣月活躍用戶1,800多萬，解密背後ML推薦平臺工具鏈</strong></span></p> <p>Line從2016年開始在臺推出內容入口平臺Line Today，不只提供文字新聞，後來也提供影音、直播等內容，甚至連天氣、電影介紹和投票都包括在內。這幾年，這個內容平臺還進一步從臺灣擴展到印尼、泰國、香港等市場，目前在臺每月活躍用戶數達1,800多萬人。</p> <p>該平臺所採用的工具鏈，包括將Jupyter Notebook打包的Jutopia開發環境，讓資料科學家，更方便存取收集在內部IU資料倉儲中的使用者瀏覽行為資料，好用來探索資料和開發模型。在模型運算時，團隊採用開源大數據分析工具Spark和Hive，來進行不同資料處理與運算，並利用NSML系統，來調度CPU和GPU資源。當模型準備正式上線時，團隊則採用開源排程管理工具AirFlow，來管理模型周期性訓練或周期性推論。</p> <p>此外，在一般的模型開發階段，他們也利用開源機器學習平臺MLFlow，來管理不同實驗數據和指標。在正式部署階段，團隊則利用開源部署工具BentoML打包成即時工作管線，來與不同服務的介面介接。如果是批次模式，則能透過Jutopia Notebook，將模型與IU資料倉儲離線整合。<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-ML%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line(1).png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> MLOps v2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加速器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開源MLOps v2加速器計畫在7月釋出完整版</strong></span></p> <p>微軟近日推出Beta第2版的MLOps v2加速器，使用者可透過這個統一的解決方案，來簡化MLOps工作流程。可直接從GitHub上取得。</p> <p>微軟表示，好的MLOps可加速模型從測試到正式上線的時間，還能提供跨團隊的ML元件所有權、歷史資訊管理。這款MLOps v2，可讓使用者跨多個工作區域部署端到端、標準化且可擴展的機器學習生命周期。藉由抽象化外層迴圈的基礎架構，使用者可專注開發專案的內層迴圈。在這個v2版，微軟也優化了古典機器學習、自然語言處理、電腦視覺等類型的MLOps工作流程，可更快速處理。MLOps v2完整版預計7月釋出。<a href="https://techcommunity.microsoft.com/t5/ai-machine-learning-blog/machine-learning-operations-v2-unifying-mlops-at-microsoft/ba-p/3494482">（詳全文）</a></p> <p><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/379470iBA658EDEFBCF6335/image-size/large?v=v2&px=999" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> S2ST </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉語音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不必再多一步！Meta最新翻譯模型可直接語音轉語音</strong></span></p> <p>Meta最近揭露語音轉語音翻譯（S2ST）新模型，可直接將輸入語音翻譯為另一種語言的語音，不必再將輸入語音先轉為文字再輸出，等於跳過這個中間步驟。</p> <p>一般來說，傳統S2ST方法是將源語語音轉為目標語語音頻譜，也就是多維度、連續值的頻率頻譜。但用語音頻譜訓練翻譯模型很麻煩，因為模型必須學習2種語言之間的關係，比如2者的聲音特徵比較、如何對齊等。因此，Meta團隊改用從自監督語音表徵中取得的離散語音單元，加上NLP技術，以近14萬對西班牙-英語電話語句來訓練S2ST模型。這個模型以Transformer為基礎，包含一個語音編碼器，以及一個合併附加任務的離散單位解碼器。他們發現，這種方法取得3種突破：模型表現比現有任何傳統方法的模型要好，而且是首個直接用真實S2ST資料訓練多語言的系統，還能用未標註的預訓練資料訓練。<a href="https://ai.facebook.com/blog/advancing-direct-speech-to-speech-modeling-with-discrete-units/">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.2365-6/286987831_402388205159891_404359668041611192_n.png?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=BS5JXyzTgoIAX-rhnyR&_nc_ht=scontent-tpe1-1.xx&oh=00_AT_aDSbseYswDKNyeGk4_aezn_IUtIHSSTFKqOci_5HNUw&oe=62B8D47C" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Coursera </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 非監督式學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>吳恩達新版機器學習入門課程上線了</strong></span></p> <p>吳恩達2012年推出、擁有480萬名學習者的熱門機器學習課程，最近改版並在Coursera發布了！這次，吳恩達創辦的AI新創DeepLearning.AI與史丹佛大學線上學習部聯手，將機器學習入門課程重整為3部分，第1部分聚焦監督式機器學習：迴歸與分類，會教學習者如何用熱門的ML函式庫NumPy和scikit-learn來建ML模型，以及如何訓練模型來進行預測或二元分類任務。</p> <p>第二部分則著重於進階學習演算法，學習者會學習如何用TensorFlow來建立、訓練類神經網路，並用來執行多類別分類任務，該課程也會教學習者如何建立並使用決策樹演算法。最後一部分則聚焦非監督式學習、推薦器和強化學習。<a href="https://www.coursera.org/specializations/machine-learning-introduction">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chrome 103 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網站通知 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>一直跳通知好煩！Chrome 103將用ML封鎖網站請求</strong></span></p> <p>Google日前宣布，新版Chrome將利用機器學習（ML）模型，來預測使用者對網站通知的反應，並悄悄封鎖這些通知。雖然Google並未公布版本別，但從發布時程來看，該功能應該會出現在將6月下旬上線的Chrome 103。</p> <p>Google認為，網頁通知一方面可傳遞網站更新給使用者，但不斷跳出通知也讓使用者不堪其擾。有別於先前將資料傳送至Google分析、判斷是否要阻擋特定通知，新版Chrome將利用ML模型，直接在裝置上預測。未來，新ML模型判斷要忽略後，會直接將通知靜音、封鎖，並在網址列上秀出該資訊，使用者依然可自行開啟通知。Google也預告，未來將讓ML模型依使用者習慣，自動調整Chrome瀏覽器上的工具列順序。<a href="https://blog.google/products/chrome/building-a-more-helpful-browser-with-machine-learning/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Screen_Shot_2022-06-09_at_11.39.00_AM.max-1000x1000.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DataRobot </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google雲端市集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AutoML </span></strong></span></p> <p><span style="font-size:22px;"><strong>DataRobot服務進駐Google軟體雲端市集</strong></span></p> <p>專門提供AutoML和MLOps服務的廠商DataRobot，日前在自家年會上宣布自家服務進駐Google雲端市集，意味著DataRobot顧客也可享用Google雲端服務，來簡化購買流程和部署流程，讓AI建模更容易、直接在Google雲端打造符合自身需求的解決方案。</p> <p>原本採用DataRobot AI Cloud服務的使用者，也能無縫使用Google雲端函式庫的服務，像是BigQuery、Looker、Vertex AI等，來建模、訓練、部署和管理AI模型，不論是地端或雲端都可支援。<a href="https://www.datarobot.com/newsroom/press/datarobot-ai-cloud-launches-on-google-cloud-marketplace/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 吳恩達 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LaMDA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 測試基準 </span></strong></span></p> <p><span style="font-size:22px;"><strong>吳恩達回應LaMDA爭議：AI有無意識是哲學問題，除非人類定義出意識和感知的明確基準</strong></span></p> <p>先前Google傳出工程師Blake Lemoine在與AI語言模型LaMDA的對話過程中，認為LaMDA具備人類的感知（Sentience）能力，引起各界譁然。AI意見領袖吳恩達對AI具備感知表示懷疑，他指出，人類要判斷AI是否具備感知能力，是一個哲學問題，而非科學問題。因為，科學問題是可以反證的，比如，AI是否能擊敗人類象棋冠軍、能否精準翻譯、安全駕車，或是能否通過圖靈測試等。這些是可測試的問題。</p> <p>但是，人類目前還沒有完整的系統，來測試AI是否具備意識、感知能力，又或只是通用AI（即GAI）。吳恩達也舉例說明人類世界的哲學問題，比如，人性是善是惡、生命的意義，以及昆蟲是否具備意識等都屬於哲學問題，同理，AI可否具備感知能力或意識、AI能否感受到情緒、能否理解它讀到的或看到的事物，也都是哲學問題。</p> <p>「要打造出公認的AI意識和感知測試系統很難，也許不可能，」他認為，除非未來人類能建立評估AI意識和感知的基準測試（Benchmark），否則很難衡量這些AI發展的里程碑。<a href="https://read.deeplearning.ai/the-batch/issue-149/?utm_campaign=The%20Batch&utm_content=211713629&utm_medium=social&utm_source=twitter&hss_channel=tw-992153930095251456">（詳全文）</a></p> <p><img alt="" src="https://dl-staging-website.ghost.io/content/images/2022/06/Screen-Shot-2022-06-15-at-12--1-.jpg" /></p> <p>圖片來源／Coursera、Line Today、微軟、Meta、Google、吳恩達</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Amazon無人機商品遞送服務終於起飛了</strong></p> <p><strong>2. Spotify收購模擬《捍衛戰士》「冰人」聲音的AI公司</strong></p> <p><strong>3. 特斯拉AI日延期至9月，馬斯克推文暗示人形機器人將出場</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/23 17:55作者王若樸https://www.ithome.com.tw/news/151582
微軟揭露俄羅斯駭客自開戰以來在全球的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE50KOK" target="_blank">微軟本周出版了《捍衛烏克蘭：網路戰爭的早期教訓》（Defending Ukraine: Early Lessons from the Cyber War）</a>，這是由微軟的威脅情報與資料科學團隊自2月24日俄羅斯入侵烏克蘭以來，所蒐集的俄羅斯網路攻擊報告，指出這4個月以來，俄羅斯駭客不僅針對48個烏克蘭政府組織與企業發動攻擊，也企圖滲透全球其它42個國家的128個組織，並提出了五大結論，呼籲全球在共同防禦網路攻擊的合作上必須更加密切。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/06/22/defending-ukraine-early-lessons-from-the-cyber-war/" target="_blank">根據微軟的分析</a>，俄羅斯至少有三大網路攻擊策略，一是在烏克蘭境內發動破壞式的攻擊，二是在烏克蘭境外展開網路滲透與間諜攻擊，三則是針對全球使用者進行影響力行動。</p> <p>然而，當戰爭涉及網路時，由於缺乏疆界或海洋的保護，其影響層面便擴及全球，攻擊如此，防禦也是，促使烏克蘭非常仰賴其它國家、企業及非政府組織的共同防禦能力。</p> <p>微軟根據這4個月以來的觀察，得出了5個結論，一是若要防禦軍事入侵必須培養可將數位操作與資料資產傳送至其它國家的能力。</p> <p>因為俄羅斯的飛彈攻擊一早就瞄準了烏克蘭政府的資料中心，也針對烏克蘭就地部署的電腦網路發動毀滅式（Wiper）攻擊，幸好烏克蘭政府很快地就把其數位基礎設施轉移到於歐洲代管的資料中心上，而這便涉及了整個科技產業的緊急行動，包括微軟在內。</p> <p>其次是先進的網路威脅情報與端點保護，讓烏克蘭得以抵擋俄羅斯的毀滅式攻擊。在針對48個烏克蘭組織的攻擊行動中，俄羅斯駭客企圖先危害數百萬電腦以滲透特定網域，再藉由惡意程式來摧毀各網域中數萬臺電腦上的軟體與資料。</p> <p>然而，輔以人工智慧技術的威脅情報，以及基於網路的端點保護機制讓烏克蘭得以快速部署軟體並辨識及關閉惡意程式。</p> <p>第三是除了攻擊烏克蘭之外，俄羅斯駭客也針對北約國家與其它烏克蘭盟國發動攻擊，約涉及42個國家的128個組織，根據微軟的觀察，俄羅斯的攻擊成功機率為29%，而且這可能低估了。</p> <p>微軟認為，就地部署的各國政府電腦比雲端更危險，<a href="https://www.ithome.com.tw/article/141943" target="_blank">美國可能已在SolarWinds攻擊事件中學到教訓</a>，但歐洲政府的警覺性相對較低，代表依然存在著重大的集體防禦弱點。</p> <p>第四個結論是俄羅斯針對全球發動影響力攻擊以期傳遞該國的理念，包括在俄羅斯境內宣揚攻擊的正當性，企圖削弱烏克蘭民眾對該國抵禦俄羅斯的信心與能力，企圖破壞歐美的團結並轉移對俄羅斯戰事的批評，也在其它未表態的國家尋求支持。根據微軟的估計，自戰爭開始後，俄羅斯在烏克蘭的影響力傳播多出了216%，但美國則多出了82%。</p> <p>該報告的最後一個結論是呼籲全球在面對網路攻擊時應該要更加的團結，也必須擬定全面的策略，才能加強對破壞、間諜與影響力攻擊的防禦，期望各國可藉由提高偵測、防禦、破壞及阻止威脅的能力作為主要防禦策略。</p> </div></div></div>
2022/6/23 16:43作者陳曉莉https://www.ithome.com.tw/news/151580
庫克表明蘋果的AR頭戴裝置正在開發中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.youtube.com/watch?v=WOptP8SRVss" target="_blank">蘋果執行長庫克（Tim Cook）上周在一次訪談中首次證實</a>，蘋果正在開發VR/AR頭戴裝置。</p> <p>庫克上周接受《中國日報China Daily》在線上訪談，在被問及他認為擴增實境（AR）產品，如AR頭戴裝置在消費市場的成功關鍵為何時，他回答，一如大家所知他對AR特別感到興奮，而App Store上也已有1.4萬個基於ARKit的應用程式。庫克說，對包括AR在內的所有科技而言，最重要的是將人性放在最中心的位置，但他相信在AR的發展中，現在業界還處於很早期階段。</p> <p>庫克說，他對AR穿戴領域的商機無比興奮，要大家「密切期待」（stay tuned）蘋果將會端出什麼新產品。</p> <p><a href="https://www.cnbc.com/2022/06/22/tim-cook-gives-clearest-hint-yet-that-apples-building-a-headset.html" target="_blank">CNBC報導</a>，這是庫克最清楚承認蘋果正在開發重要AR產品的一次。</p> <p>在此之前，所有對蘋果AR頭戴裝置的消息，多半是旁敲側擊的資料或消息人士爆料。<a href="https://www.ithome.com.tw/news/151214" target="_blank">5月底媒體發現2份蘋果美國專利文件</a>，顯示執行RealityOS作業系統的「穿戴式電腦」，媒體也猜測可能會在WWDC 2022展出。不過蘋果最終沒有公布相關軟硬體產品。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-05-19/apple-shows-headset-to-board-in-sign-it-s-reached-advanced-stage#xj4y7vzkg?sref=ctSjKj2N" target="_blank">彭博上個月報導</a>，蘋果AR頭戴裝置可能最早在今年底宣布，於2023年上市。</p> </div></div></div>
2022/6/23 16:56作者林妍溱https://www.ithome.com.tw/news/151581
Amazon Alexa正在開發可模擬已逝人士講話的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在拉斯維加斯舉行的開發者大會re:Mars上，Amazon高層透露AI語音助理技術Alexa的研發進度，包括可模擬任何人的聲音，例如用已過世祖母的聲音為小男孩講床邊故事。</p> <p>在實體開發者大會的開幕演說上，<a href="https://www.youtube.com/watch?v=22cb24-sGhg" target="_blank">Alexa資深副總裁暨首席科學家Rohit Prasad展示Alexa的最新開發成果</a>。他展示的一則影片中，一名小男孩在床邊故事時間對Amazon Echo智慧喇叭中的Alexa問能不能讓祖母為他講完《綠野仙蹤》（The Wizard of Oz）。影片中，Alexa即以這位已在天上的祖母聲音，開始講故事。</p> <p>Prasad指出，這是Alexa開發中的技術，號稱可以在聽取不到1分鐘的聲音錄音後，模仿出任何「高品質」的聲音，而不必再像以前花大量時間來後製。他說過去二年許多人的親人在疫情中離世，Amazon這項技術旨在保留對親人的回憶。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/22cb24-sGhg?start=3780" title="YouTube video player" width="560px"></iframe></div> <p>Prasad說Alexa的祕訣在於把它當成語音對話，而非語音合成的任務來解決。Amazon並未進一步提供細節，也不願說明這項技術何時會問世。</p> <p><a href="https://www.youtube.com/watch?v=hEIjCF-KaRY" target="_blank">Amazon同時還展示</a>可清楚與訂餐廳的消費者互動的AI助理。</p> <p>在AWS的部落格文章中，<a href="https://www.amazon.science/blog/alexas-head-scientist-on-conversational-exploration-ambient-ai" target="_blank">Prasad說明</a>在Re:Mars大會上展示的可概括化AI（Generalizable Intelligence，GI），這類AI並非全知全能，而是更實用的AI技術，具有3種特點，包括能完成多種任務、能快速適應多變環境，以及利用很少的人力輸入即可學習新概念和行為，基本上就是人類學習新事物和生存的方法。</p> <p>雖然能讓已逝的親人的聲音或影像再現對親屬很有意義，<a href="https://techcrunch.com/2022/06/22/alexa-will-soon-be-able-to-read-stories-as-your-dead-grandma/" target="_blank">但媒體指出</a>，這類過於擬真的AI技術可能將遭致倫理規範的嚴格檢視。</p> <p><a href="https://www.ithome.com.tw/news/151554" target="_blank">微軟昨日公布更新版負責任AI的指導準則</a>。除了限制臉部辨識API的存取及適用情境，微軟也將模擬人聲的Azure AI自訂神經網路語音（Custom Neural Voice）服務加入控管框架，限制可以使用的客戶、明確定義可使用情境，並且清楚告知聽者，以避免欺騙與之對話的人類。</p> </div></div></div>
2022/6/23 15:49作者林妍溱https://www.ithome.com.tw/news/151579
PChome積極推動系統上雲，訂單管理已經上雲，未來更要全面上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome在6月22日舉行的股東會上透露，經過3季的時間，PChome已經有相當比例的系統和服務搬上雲端，PChome董事長詹宏志說，未來目標是全面上雲，以提供服務穩定性跟可擴充性。其中一項已經完全上雲的服務，就是訂單管理系統。</p> <p>詹宏志表示，疫情之下日用品熱賣，但消費者訂單如果有任一品項缺貨，就會導致整筆訂單無法出貨。然而，PChome系統過去是自行開發的大系統，改變任何環節都是浩大工程，他坦言，從疫情出貨情況學到教訓，「未來一定要讓系統變得更有彈性。」具體做法，就是把大系統拆解成更多小模組，並將系統從地端搬上雲。 </p> <p>從PChome子公司廿一世紀數位科技的雲端工程師徵才說明，也能看到PChome集團需要人才，除了將資料搬上雲，還要把現有架構轉型導入Container Service，並著手建置一個類似於Amazon與 Paypal結合的全新雲端平臺，將電商平臺跟近期積極推動的Fintech服務結合。</p> <p>不只上雲，PChome近一年大動作展開多項數位轉型計畫，除了將更多系統上雲，也積極投資Fintech，將多項金融服務融入電商，包括先買後付、保險服務以及供應鏈金融等，甚至預告要在2022後半年發展CDP，以提供更精準的個人化商品推薦服務。另外，PChome也發展智慧物流，不僅投資智慧物流科技新創，以優化配送流程的「最後一哩路」，10月還將進駐中華郵政A7智慧物流園區，結合AI及自動化倉儲技術，預計每日可多處理1倍以上的包裹。</p> <p> </p> </div></div></div>
2022/6/23 14:15作者郭又華https://www.ithome.com.tw/news/151576
Line Today如何打造撐起月活躍用戶1,800萬人的影音內容平臺？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line Today臺灣開發團隊日前分享自家系統架構和機器學習推薦平臺工具鏈，這套提供各種新聞和影音內容、擁有1,800萬名月活躍用戶的平臺，使用不少熱門開源工具，像是用MongoDB、HBase來處理不同特性的資料和存取頻率，以及用Redis加速處理流程、以Kafka同步不同服務的更新。</p> <p>此外，團隊也自建ML平臺，來執行內容分析和推薦工作。這套ML平臺也採用不少主流開源工具，像是用Spark、Hive處理和運算不同類型資料，並用AirFlow自動化模型訓練和推論工作。他們也用MLFlow，來管理不同實驗數據和指標。這整套Line Today系統，就部署在開源容器管理平臺Kubernetes（簡稱K8s）上。</p> <p><span style="font-size:22px;"><strong>Line Today如何用開源工具打造內容平臺架構</strong></span></p> <p>Line從2016年開始在臺推出內容入口平臺Line Today，不只提供文字新聞，後來也提供影音、直播等內容，甚至連天氣、電影介紹和投票都包括在內。這幾年，這個內容平臺還進一步從臺灣擴展到印尼、泰國、香港等市場，也根據不同地區特性，發展出在地特色內容。目前，Line Today在臺每月活躍用戶數達1,800多萬人。</p> <p>要支援這麼種類型的數位內容的提供，Line Today如何處理？</p> <p>Line Today臺灣團隊成員Rita Yang首先揭露整體系統運作架構，首先，為獲取內容來源，Line Today與許多媒體合作，媒體會先透過類似RSS的訂閱通知機制，將新內容發送至Line Today的專屬伺服器（Feeding server）。此時，Line Today內部編輯會透過內容管理系統（CMS），挑出合適的內容，並發布在Line Today版位上。</p> <p>再來，考量到不同的資料特性和存取頻率，團隊採用開源資料庫MongoDB、高效能的HBase架構來處理，並以開源資料庫Redis來加速處理流程，再以Kafka同步不同服務的訊息更新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B3%BB%E7%B5%B1%E6%9E%B6%E6%A7%8B.png" /></p> <p>在使用者端，Line Today除了透過內容傳遞網路（CDN）來保護系統，也將使用者瀏覽的圖片、影音等內容，存放於物件儲存庫（Object Storage）中，待日後分析使用。</p> <p>在整體資料處理流程中，還有一個關鍵步驟，驅動著後續的ML推薦系統。團隊在使用者同意資料使用條款的前提下，利用前端函式庫，來收集使用者瀏覽行為，統一彙整到內部自建的IU資料倉儲中。</p> <p>這一步很重要，因為，這些資料是團隊用來分析、找出使用者喜好的關鍵資料，更是ML平臺用來訓練推系統不可或缺的資料。</p> <p><span style="font-size:22px;"><strong>AirFlow排程、MLFlow管理數據，ML平臺也藉助不少主流開源工具</strong></span></p> <p>Line Today團隊能用這個ML平臺和自然語言處理（NLP）技術，先萃取出使用者偏好瀏覽的文章內容關鍵字，並比較不同文章的相似度，來推薦使用者可能感興趣的內容。</p> <p>Rita Yang進一步說明平臺所採用的工具鏈，首先，在開發環境上，他們將Jupyter Notebook打包成一個開發環境Jutopia，讓資料科學家，更方便存取收集在內部IU資料倉儲中的使用者瀏覽行為資料，好用來探索、開發模型。在模型運算時，團隊採用開源大數據分析工具Spark和Hive，來處理、運算不同資料，並利用NSML系統調度CPU和GPU資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-ML%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" /></p> <p>在模型開發階段，他們也利用開源機器學習平臺MLFlow，來管理不同實驗數據和指標。當模型準備正式上線，團隊則採用開源排程管理工具AirFlow，來管理模型周期性訓練或周期性推論。</p> <p>在模型正式部署階段，團隊則利用開源部署工具BentoML打包成即時工作管線，來與不同服務的介面介接。如果需要批次處理，團隊則透過Jutopia Notebook，將模型與IU資料倉儲離線整合。</p> <p>而整套Line Today內容平臺，就部署在K8s上。</p> <p><span style="font-size:22px;"><strong>資料團隊負責優化推薦系統，還有4組Scrum團隊來解決4國市場需求</strong></span></p> <p>Line Today臺灣團隊裡面，還有一組資料團隊，專門負責改善平臺服務。</p> <p>他們把改善工作細分為服務、模型和底層平臺。在服務部分，他們把重心放在新聞內容理解，利用自然語言理解（NLU）分析文章、進一步找出相關性，來優化推薦系統。在模型部分，他們鎖定關鍵字抽取、文章分群分類器，來改善模型，進一步優化推薦系統。Rita Yang透露，近期團隊也運用收集的使用者資料，來理解使用者意圖、找出使用者可能感興趣的內容，實現精準內容推薦。在底層平臺部分，團隊則聚焦線上預測和服務流程的穩定性，要進一步開發特徵分布和模型表現監控儀表板，來評估模型有效性和資料適用性。</p> <p>她也表示，Line Today鎖定的受眾是年輕用戶，因此，這些優化措施也以年輕用戶為主。至於推薦系統處理的資料類型，則不限於文章，還包括影片。</p> <p>Line Today是臺灣推出的內容平臺，資料團隊開發的模型不只在臺灣使用，也是香港、泰國、印尼等地市場的參考。當其他市場提出需求後，臺灣還有4組敏捷團隊來進行海外市場的在地化優化。在開發過程中，臺灣的產品負責人（PO）會收集臺灣、香港、泰國和印尼等地提出的需求，統整後，再由上述4組敏捷團隊處理。這種做法很特別，有別於Line臺灣大多支援總部開發工作的模式，Line Today平臺的優化、開發都由臺灣團隊處理，就像是總部開發中心一樣。</p> </div></div></div>
2022/6/23 13:32作者王若樸https://www.ithome.com.tw/news/151556
Amazon展示該公司首款全自動化行動機器人Proteus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2012年3月以7.75億美元併購Kiva Systems，以於履行中心（Fulfillment Center）部署Kiva機器人的Amazon，<a href="https://www.aboutamazon.com/news/operations/10-years-of-amazon-robotics-how-robots-help-sort-packages-move-product-and-improve-safety" target="_blank">十年後發表了該公司首款全自動化的行動機器人Proteus</a>，並準備將它們部署在履行中心與分揀中心（Sort Center）的GoCart購物車處理區域。</p> <p>Proteus（下圖）與Kiva的外型及功能其實很類似，它們都是圓扁型的配送機器人，可扛起購物車並將它們運送到正確的位置。進化後的Proteus體積比Kiva略小，看起來很像一臺掃地機器人，與Kiva最大的差別在於它採用了更先進的安全、感知與導航技術，使得Proteus能夠與人類進行安全的互動，不必像Kiva一樣被侷限在特定的無人區域運作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-Proteus%20Amazon.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon已於2015年將Kiva Systems更名為Amazon Robotics，現為Amazon的子公司。Amazon表示，十年前買下Kiva Systems只是一項有趣的收購，如今卻已壯大成為一個專門的機器人專家團隊，擁有工程師、軟體開發人員、人體工學專家，以及徹底改變Amazon營運的其他專家，現階段Amazon已於全球採用了十多種機器人系統，目的是讓員工與機器人能夠安全及和諧地共事。</p> <p>由Amazon Robotics一手打造的機器人除了Proteus之外，還有負責揀貨的Cardinal（下圖）。它內建人工智慧與電腦視覺技術，也配備機器人手臂，不僅能讀取貨物的標籤並將它們置放在正確的購物車上，還能處理重型貨品，目前Amazon正在測試可舉起最多50磅（約22.7公斤）貨品的Cardinal，預計於明年就會在履行中心部署Cardinal。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-Cardinal-Amazon%20robotic.png" style="width: 425px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p>另也根據員工的需求打造了Amazon Robotics Identification（AR ID）掃描裝置，為了避免出錯，Amazon倉庫中的所有貨品到達每一個工作站的第一件事就是掃描，現在這些掃描與分貨都是手動的，而AR ID則可透過每秒拍攝120張圖片的攝影機來執行掃描任務，減輕員工的負擔並加速流程。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/RKyyfF5-36k" title="YouTube video player" width="560px"></iframe></div> <p>還有一個負責辨識與存取裝箱容器的Containerized Storage System，負責把已經分門別類的箱子放至儲存櫃，還能根據需求取得正確的箱子交給員工。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/c0uhDPgtqc8" title="YouTube video player" width="560px"></iframe></div> <p>Amazon強調，對於Amazon試圖以機器人取代人力的傳聞從未間斷，然而，在這十年來，Amazon雖然增加了52萬個機器人設備，但所新增的員工職缺卻超過100萬個，從買下Kiva Systems的那一天起，Amazon的願景從未是人力與技術之間的二元決策。</p> <p>很難判斷Amazon的Kiva願景之說是否屬實，事實上，根據<a href="https://www.vox.com/recode/23170900/leaked-amazon-memo-warehouses-hiring-shortage" target="_blank">《Recode》近日取得的Amazon內部研究文件</a>，Amazon很可能在2024年就會消耗掉在美國的所有可用勞力，一旦勞力不足，代表Amazon的整個營運規模都會受到影響，因此，就算Amazon曾經想過要以機器人取代人力，似乎也情有可原。</p> <p>該研究是根據某個薪資水平可獲得的人力，再縮小範圍至Amazon履行中心或分揀中心附近區域的人力所得出，其中，亞利桑那州鳳凰城都會區的人力在去年底就已不足，加州Inland Empire附近的人力今年底也會用罄。</p> </div></div></div>
2022/6/23 14:11作者陳曉莉https://www.ithome.com.tw/news/151575
舊版Notes、Domino將在2024年終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0099055" target="_blank">Notes、Domino的現任東家HCL本周宣布</a>，將在今年12月起終止銷售Domino/Notes v9.0.x 和v10.0.x版本，並在2年後終止支援。</p> <p>2018年IBM將旗下Notes/Domino及其他軟體，以18億美元賣給印度公司HCL，<a href="https://www.ithome.com.tw/news/131635" target="_blank">後者於2019年完成</a>這個老牌生產力軟體的收購。</p> <p>根據HCL周三宣布Domino/Notes v9.0.x和v10.0.x版本的生命周期。HCL預定在2022年12月1日終止銷售上述版本，並從HCL授權及下載網站（FlexNet）移除。HCL也會在2024年6月1日起終止支援，不會提供延伸支援。</p> <p>Notes/Domino 9.0.x及10.0.x版分別在2016及2019年釋出，原本9.0.x預計在2021年9月終止支援，<a href="https://support.hcltechsw.com/community?id=community_question&sys_id=5ba958771b945094c1f9759d1e4bcbeb" target="_blank">HCL去年又將之延長</a>。</p> <p>HCL持續維持這老牌軟體，<a href="https://support.hcltechsw.com/csm?id=kb_article&sysparm_article=KB0090451" target="_blank">並於去年推出</a>12.0版，並在上周針對10.0.x版釋出<a href="https://support.hcltechsw.com/community?id=community_blog&sys_id=9f7e130f1b8859d0a67e9759bc4bcb99" target="_blank">修補程式</a>。HCL鼓勵用戶升級到Notes/Domino v12版本，強調新版本功能更多，也加入低程式碼開發、安全語音會議，降低舊版作業系統帶來的安全威脅，還能選擇部署在本地、雲端或混合雲環境。</p> <p>雖然HCL說升級簡單又快速，但<a href="https://www.theregister.com/2022/06/22/hcl_domino_eol_2024/" target="_blank">The Register</a>指出，Notes/Domino最大好處是可以撰寫客製化應用程式和工作流程，但缺點是升級不易。</p> </div></div></div>
2022/6/23 12:33作者林妍溱https://www.ithome.com.tw/news/151573
假冒語音留言通知的網釣郵件再興起，目標竊取美國軍方與大型企業的Office365帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚手法不斷翻新，任何使用者稍一不慎、信以為真，就可能上當，近日雲端安全服務商Zscaler揭露一起網釣攻擊活動，是假冒語音郵件通知的主題，企圖欺騙企業組織員工讀取語音郵件，實際上，則是被引導至釣魚網站，騙取自身所用的微軟帳號。</p> <p>而且，這起活動的攻擊目標相當廣泛，遍及國家軍事單位、醫療、製造業，甚至是資安業者。</p> <h3><strong>網釣郵件偽裝成通知信的案例層出不窮，假借名義也相當多變</strong></h3> <p>假借各式系統通知信名義的網釣攻擊活動，透過魚目混珠的社交工程手法，引誘受害者至釣魚網站，目的是騙取帳密，過去常見的偽裝主題，包括：郵件空間已滿，郵件帳號停用，以及雲端檔案分享，或是服務的異常警告等諸多名義，而這次Zscaler揭露的釣魚郵件活動，是假冒成公司語音留言的通知信。</p> <p>今年5月以來，Zscaler旗下ThreatLabz持續、密切關注這項攻擊活動，對方是以語音郵件通知為主題寄信給企業員工，使其以為是公司內部的語音留言需要聽取。</p> <p>Zscaler指出，由於攻擊者的目標，是竊取Office365與Outlook帳戶的密碼，這兩種帳戶都廣泛用於大型企業，而且，此次攻擊對象範圍很大，包含美國軍方、醫療保健單位、製藥廠，以及製造業的供應鏈，還有軟體安全廠商。因此，這波釣魚攻擊活動格外引發關注。</p> <p>之所以發現這波攻擊，Zscaler表示，因為他們也是受攻擊的目標組織之一，所以，也讓他們有機會了解攻擊者的手法。</p> <h3><strong>會在寄件者名稱顯示收信者公司網域名稱，附件夾帶URL將</strong><strong>分兩階段重導至釣魚網站</strong></h3> <p>具體而言，攻擊者先是發送一封電子郵件，主題為語音郵件的通知信，信中內容顯示「You have a New Voicemail！」，告訴收信者錯過了語音郵件，而郵件中將包含一個副檔名為HTML的附加檔案，信中提示用戶要打開HTML附件。特別的是，從郵件寄件者名稱來看，該處會顯示與目標組織網域相同的字串，像是寄給Zscaler員工的通知信，寄件者名稱的最前面也會顯示Zscaler，這也意味著，攻擊者企圖讓員工以為是公司寄來的通知信。</p> <p>HTML的附件包含1個URL網址，根據Zscaler分析，在每個攻擊活動使用的這類網址，都遵循一致的格式──顯示目標組織的名稱、攻擊者註冊的網域，以及目標個人的電子郵件地址，以混淆用戶。</p> <p>一旦用戶開啟該HTML附件中的URL網址，此時會將會將用戶重新導向到釣魚網站。特別的是，這裡的重新導向可分為兩階段，第一階段是導向到檢查是否為機器人的CAPTCHA網頁，驗證成功後，第二階段會再次導向，導引使用者連至一個與實際Microsoft 365登入頁面相像的釣魚網站，但該頁面根本不屬於微軟網域。</p> <p>根據研究人員的分析，實際上，這些釣魚郵件來自日本的郵件伺服器，特別的是，由於上述URL格式會洩漏攻擊目標的關鍵資訊，因此他們透過蒐集到遙測資料，得以發現那些組織可能是攻擊目標，也就是上述提及的不同產業。Zscaler認為，這種手法若與繞過自動URL分析的規避策略結合，將使攻擊者在網路釣魚攻擊上獲得更多優勢。</p> <p>此外，他們也發現，這次攻擊者採用的攻擊戰術流程（TTP），與之前他們在2020年7月分析的語音郵件攻擊活動，有高度重疊之處。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Zscaler揭露語音留言為主題的釣魚郵件_圖片來源Zscaler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Zscaler%E6%8F%AD%E9%9C%B2%E8%AA%9E%E9%9F%B3%E7%95%99%E8%A8%80%E7%82%BA%E4%B8%BB%E9%A1%8C%E7%9A%84%E9%87%A3%E9%AD%9A%E9%83%B5%E4%BB%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Zscaler.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Zscaler揭露語音留言為主題的釣魚郵件_圖片來源Zscaler.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Zscaler%E6%8F%AD%E9%9C%B2%E8%AA%9E%E9%9F%B3%E7%95%99%E8%A8%80%E7%82%BA%E4%B8%BB%E9%A1%8C%E7%9A%84%E9%87%A3%E9%AD%9A%E9%83%B5%E4%BB%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Zscaler.jpg" style="width: 600px;" /></a></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Zscaler解析釣魚郵件副件HTML檔，是一個URL連結重新導向器，而且</span>在每個攻擊實例中，該URL都遵循一致的格式，其中包括目標組織的名稱、目標個人的電子郵件地址。（圖片來源／Zscaler）</p> </blockquote> </div></div></div>
2022/6/23 12:43作者羅正漢https://www.ithome.com.tw/news/151574
支援WSL2的Windows Server 2022更新正式釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼五月底預告後，微軟本周將支援Windows Subsystem for Linux 2（WSL2）的Windows Server 2022更新版經由正式管道釋出。但Server 2019用戶還是無福享用。</p> <p><a href="https://www.ithome.com.tw/news/151175" target="_blank">微軟五月底公布</a>包含WSL2的Windows軟體更新KB5014021（OS Build 20348.740）時，用戶必須主動下載。一如當時預告，微軟本周釋出定期更新。微軟產品經理Craig Loewen表示，現在WSL2已成為Windows Server最新更新的一部份，用戶只需在Windows Server機器上點選「檢查更新」以下載最新版更新即可。透過這次更新，Server 2022可以使用WSL 2 type distro，讓Windows Server也能獲得桌機版SKU相同的現代Windows使用經驗。</p> <p>不過前提是<a href="https://support.microsoft.com/en-us/topic/june-14-2022-kb5014678-os-build-20348-768-3cec11a2-b5d6-40fa-b1f5-636283ccb7c4" target="_blank">機器上必須先具備KB 5014678</a>才能安裝最新更新。下載後，用戶以管理員權限從PowerShell指令視窗執行「wsl-install」即可安裝。</p> <p>微軟說明，與第1版WSL相比，WSL 2提供受控VM內的完整Linux核心、效能更佳、且具備完整的系統呼叫相容性。</p> <p>WSL 2早在2019年即已釋出，但僅提供Windows 10 2004版以後及使用半年通道更新（Semi-Annual Channel，SAC）的Windows Server。<a href="https://petri.com/microsoft-drops-semi-annual-channel-releases-starting-with-windows-server-2022/" target="_blank">去年微軟宣布終止SAC</a>，Windows Server將只留下長期更新通道（Long-Term Servicing Channel，LTSC），使得Windows Server 2019和Server 2022 LTSC用戶被排除在支援名單之外。</p> <p>雖然微軟已對Server 2022提供WSL 2，但Server 2019用戶還是無福享受。<a href="https://github.com/microsoft/WSL/issues/6301#issuecomment-1137740404" target="_blank">上個月微軟回答用戶問題時指出</a>，WSL 2不支援Server 2019 Long-Term Servicing Channel（LTSC）的計畫目前還是沒有改變。</p> </div></div></div>
2022/6/23 10:30作者林妍溱https://www.ithome.com.tw/news/151571
Container周報第151期：K8s叢集成本精準估算有新工具，自駕系統新創揭露部署3千節點EKS叢集的秘訣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/6/9~2022/6/17 精選容器新聞</strong></span></p> <p><span style="color:#0000FF;"><strong>本期重點：自動擴充調度的K8s叢集，如何事前估算成本是一大挑戰，不少公雲都推出了自家的成本估算工具，但如何跨這些業者、自家私雲都能有一套統一的成本估算標準是維運團隊常見的難題。最近引起高度關注的新開源專案OpenCost，就是要建立一套通用K8s成本計算標準。另外，Intel旗下自駕車系統公司Mobileye揭露了如何部署超大規模EKS叢集的經驗，單一叢集可以達到3,200個節點，超過10萬個vCPU的超大規模。值得注意的是，Linux創辦人最近預告，Rust語言明年將整合到Linux核心，這也意味將成為Linux的重要開發語言之一</strong></span></p> <p><strong>#成本管理、#K8s叢集管理<br /> AWS和GCP兩大公雲加入，OpenCost專案要建立估算K8s叢集成本的通用標準</strong></p> <p>K8s成本管理公司Kubecost最近捐給CNCF一項開源專案OpenCost，可以視覺化的方式，列出Kubernetes叢集的資源分配和所花費的成本。成本計算是管理K8s叢集的難題之一，因為高度自動化擴充能力，一開始都是從一個小型K8s叢集，但隨著時間，會動態依據用量，自動增加或減少叢集的節點數，因此，很難準確估算單一個K8s叢集的費用。OpenCost提供了視覺化的圖表，來呈現K8s叢集費用的歷史變化。多家業者也參與了這項專案，來協助K8s叢集成本的估算，包括了AWS、Google、Adobe、SUSE、D2iQ、Armory、Mindcurv和New Relic等。他們試圖透過這個專案，來建立一個標準的K8s成本監控機制，可以用來追蹤各種環境配置下的成本。OpenCost目前可以即時提供K8s服務的成本估算和各類資源分配，也能整合AWS、Azure或GCP帳單API來取得動態的公雲費用，甚至支援本地部署的K8s叢集客製化價格清單，來能將價格資料輸出到Prometheus方便進一步利用。</p> <p><strong>#FinOps、#雲端成本控管<br /> K8s叢集要花多少錢？最新FinOps調查出爐</strong></p> <p>CNCF和推廣雲端成本管理的FinOps基金會最近公布了一份K8s成本調查報告，去年中調查了195家中大型企業使用K8s的費用情況，半數企業規模超過500人，3成是5千人以上的大型企業。超過6成企業的K8s費用過去一年是正成長，甚至有3成的K8s費用更是增加了2成以上。不過，2成企業沒有辦法監控K8s成本，而44%的企業只能用推估，只有1成多的企業可以準確估算成本，另有一成企業建立了費用回溯機制。但是超過4成企業都認為，能夠每個月更精準地事先估算K8s叢集的帳單是一件重要的事。</p> <p>根據這份調查，目前企業K8s叢集的主要成本，8成來自運算，1成是記憶體的費用，再其次才是儲存空間的成本。目前常見用來追蹤K8s成本的工具，除了三大公雲提供的費用計算工具，如AWS支出探索工具、GCP支出工具和Azure成本管理工具之外，還有KubeCost成本估算工具和Apptio公司的Cloudability較多企業採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s%E6%88%90%E6%9C%AC%E5%B7%A5%E5%85%B7.png" /></p> <p> </p> <p><strong>#GitOps、#DevOps<br /> 如何用GitOps打造全自動CI/CD流程，Weaveworks推薦靠這3類工具</strong></p> <p>提出GitOps新CI/CD典範的Weaveworks公司，最近整理了一個用GitOps思維，來設計全自動化CI/CD流程的最佳實務做法，包括了四個重要的自動化關鍵，其中，善用K8s自動化機制是第一步。</p> <p>Weaveworks指出，GitOps是配置檔管理的最新進化的形式，以Git作為程式原始碼的唯一來源，這是將雲端原生應用持續部署，建立標準化作業的關鍵原則。</p> <p>在CI/CD流程中有四個核心階段，原始碼、部建（Build）、測試和部署，每一個階段都可以善用工具軟體來自動化。在原始碼階段，不只是開發者提交的異動要觸發通知，透過webhook機制來通知後續的CI/CD工具，還要留意得包括來自其他流程，或是自動化排程產生的異動都要納入觸發事件。第二個階段的部建自動化，則要用來控制不同釋出版本的變動。測試階段的自動化，則注重正確性和生產力，原則是要「快速部建、快速測試、快速失敗」，盡快找出有問題的地方，盡快通知開發者。最後一項部署階段，只要使用K8s，就可以有自動化CI/CD工具例如Helm charts來協助自動化。</p> <p>K8s叢集自動化是雲端原生工具自動化的第一線，要讓K8s叢集管理能到結合CI/CD流程，例如用k8s Operators來協助重複任務的自動化，也能用於各種部署需求，如擴充，備份和模擬節點失效情況。HPA則可用於控制部署後的Pod節點數量擴充或縮減，Cluster Autoscaler則能用CPU利用率，來擴充一個叢集中的節點數量。其次，從Git拉出程式碼到完成部署的自動化工具，則推薦Flux。這是Weaveworks捐給CNCF的孵化開源專案，能持續比對儲存庫環境的狀態和基礎架構部署環境的狀態，來進行從原始碼到部署的自動化，還可搭配Git版控進行政策遵循。最後一個推薦的GitOps工具是Flagger，這是可以用於主動派送工具，也是Weaveworks開源釋出的專案，可以用於進行藍綠部署、金絲雀發布。不過，Weaveworks沒有推薦測試自動化工具，而是建議得善用宣告式配置檔，就能降低部建與測試間的重工。</p> <p><strong>#函數即服務、#無伺服器框架<br /> 無伺服器框架OpenFunction正式成為CNCF沙箱專案</strong></p> <p>來自KubeSphere社群開源的一項無伺服器框架OpenFunction，最近通過CNCF技術監督委員會的投票，正式成為旗下沙箱專案之一，也代表了CNCF正式接管了這個專案的捐贈。OpenFunction是一個用來打造Function即服務的無伺服器框架，整合了Knative、Tekton、Shipwright、Dapr和KEDA等開源專案，來提供從函數觸發、函數建置到函數服務發布等功能，可以快速建立一個無伺服器平臺服務。目前OpenFunction是0.6.0版。</p> <p><strong>#Rust語言、#作業系統<br /> Linux創辦人預告：Rust語言明年將整合到Linux核心</strong></p> <p>最近Linux創辦人Linus Torvalds在Linux基金會開源大會上透露，熱門的Rust語言將在明年整合到Linux核心，甚至，最快「下一版Linux核心版本發布時就會併入。」也就是最快可在Linux 5.20版就納入。Linus在2年前一次專訪中就透露出採用Rust語言的意圖，當時他提到，雖然Linux核心主要是用C語言開發而成，C語言也是當前的十大熱門程式語言之一，但是，他認為，C語言有一種逐漸變成COBOL語言的風險，越來越難找得到擅長C語言的Linux核心維護者。因此，2年前他就開始考慮，在Linux核心專案開發中採用如Go或Rust等熱門的新興開發語言。他也曾透露過採用Rust的原因，有多項比C語言更進階的功能，例如記憶體安全機制的設計，在安全模式下不會出現沒有定義的行為，另外對於安全和非安全模式有更清楚的定義和區分等。Rust語言是由Mozilla在2009年開始贊助的一項通用程式語言，強調安全、平行運作和記憶體組態管理，主要用於大型網路系統的用戶端和伺服器端任務，於2010年首度公開，2015年釋出第一個1.0穩定版本，目前是1.61版。</p> <p><strong>#分散式資料庫、#NoSQL<br /> NoSQL資料庫Cassandra即將在7月釋出4.1版，最大特色將增加外掛擴充能力</strong></p> <p>去年7月才釋出十年大改版的NoSQL資料庫Cassandra，今年7月又將推出4.1新版，預計會增加一項重要的新功能外掛擴充機制，可以透過外掛方式來擴充Cassandra資料庫的功能，這也讓Cassandra變成了一個資料庫生態圈，來整合第三方供應商的服務。目前隨著4.1版的發布，也提供了多項新的外掛機制，包括了可提供快速記憶體儲存能力的儲存外掛，可用外部金鑰來進行機密管理的網路加密外掛、授權外掛機制、叢集Schema外掛。另外在4.1版還會新增一個配置管理框架，可用來支援Cassandra叢集規模化後的不同部署設定。而4.1版之後，也將進入下一個大版本5.0，預計未來要支援完整的ACID交易能力，這是目前正在討論中的重大功能。</p> <p><strong>#超大規模K8s叢集、#自駕車系統<br /> 單一EKS叢集如何部署10萬個vCPU，自駕車系統公司Mobileye靠6大秘訣</strong></p> <p>開發自駕車系統需要大量仰賴AI運算，來訓練自駕系統在不同模擬環境下的各種反應和操作。最近Intel旗下自駕車系統公司Mobileye的AI工程團隊，揭露了如何運用EKS，來支援超過250項工作流程的經驗。他們使用了4萬EKS的Pod叢集，單一叢集的規模最大甚至達到3,200個節點，超過10萬個vCPU的超大規模。</p> <p>Mobileye揭露了他們可以建立超大規模EKS運算叢集的經驗，第一是要針對工程團隊來進行平臺抽象化，避免工程團隊要處理瑣碎的基礎架構部署工作，其次是要建立一個統一配置平臺，可以支援不同團隊同時所用的各種不同類型工作負載的配置和管理需求。第三是要建置一個自動擴充平臺，Mobileye每小時經常要執行數十項資料處理作業，每個作業可能需要數百到數千個Pod節點來運算，因此需要有一個自動化擴充管理平臺才能勝任這麼龐大的擴充調度和部署需求。</p> <p>第四項則是成本控管需要有一套成本管理平臺，尤其Mobileye的EKS叢集節點高達95%都是用了競標式的Spot執行個體，來降低雲端運算的費用，要能記錄和管理這些價格變動的執行個體的費用，需要靠系統才能管理和精簡成本。</p> <p>另外在網路架構的管理上，也需要有一套解決方案，Mobileye都是在無法對外連網的私有VPC中執行所有運算來符合法遵要求，但需要有一套自己的網路架構管理系統，最後一項是要有能力支援不同運算類型的執行實例的擴充能力，例如他們的自動擴充機制也能夠調度GPU、Habana Gaudi加速器等特殊運算需求的節點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%AA%E9%A7%95%E8%BB%8A%E7%B3%BB%E7%B5%B1%E5%85%AC%E5%8F%B8EKS%E6%9E%B6%E6%A7%8B.jpeg" /></p> <p><strong>#可觀測性、#思科<br /> 思科推出可觀測性平臺服務，能監控AWS的K8s環境，未來會支援其他兩大公雲</strong></p> <p>思科在2022年度大會上發表了新的可觀測性平臺AppDynamics Cloud，來監控K8s上的雲端原生應用的運作狀態，包括Log紀錄，監測矩陣、事件紀錄、追蹤紀錄等，可以支援主流的可觀測性標準OpenTelemetry。這套可觀測平臺可以用來監控跨不同基礎架構、微服務、容器或API之間的互動。AppDynamics原本像是一套應用程式效能管理平臺，現在進一步變成了雲端原生應用可觀測性的管理平臺，不只是應用系統效能，還擴大到各種執行環境的觀測和管理。思考這套新的可觀測性平臺目前只能支援AWS公雲上的K8s環境監控，不過，思科預告，未來一定會支援其他兩朵公雲包括微軟Azure和GCP，甚至也計畫支援更多公雲服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%9D%E7%A7%91appDynamics%20cloud.png" /></p> <p><strong>更多新聞</strong></p> <p>CNCF推出雲端原生安全控制項型錄，盤點出194項主流資安規範的雲端生資安要求</p> <p><strong>@資料來源：iThome整理，2022年6月</strong></p> <p><strong>責任編輯：王宏仁</strong></p> <p><b>圖片來源：思科、Mobileye</b></p> </div></div></div>
2022/6/23 09:37作者王宏仁https://www.ithome.com.tw/news/151569
7-Zip 22出爐，新增對Windows安全功能Zone.Id的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.7-zip.org/history.txt" target="_blank">開源的壓縮工具7-Zip 22在上周出爐了</a>，新版除了能夠解壓縮蘋果的APFS映像檔之外，也新增了對Windows安全功能Zone.Id的支援（下圖），<a href="https://www.7-zip.org/" target="_blank">最新的7-Zip 22</a>支援32/64位元的Windows，也支援基於Arm64的Windows，檔案大小最多只有1.5MB。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-7zip-600V2.png" style="width: 450px;" /></p> <p>Zone.Id的全名為Zone Identifier，<a href="https://devblogs.microsoft.com/oldnewthing/20131104-00/?p=2753" target="_blank">是微軟在2013年替IE所設計的安全功能</a>，它會標記那些使用者自網路上所下載的檔案，並在使用者準備開啟時跳出警告，以避免系統執行惡意程式。其實微軟並未正式替該功能命名，也使得有不少人直接將它稱為「網路標記」（Mark of the Web）。</p> <p>不管是Windows或Office都會在開啟具備Zone.Id標記的內容時跳出警告，且當Office偵測到Zone.Id內容時，它會啟用「受保護的檢視」（Protected View）模式，以在關閉巨集及唯讀的狀態下開啟。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/" target="_blank">根據《BleepingComputer》的報導</a>，就算不斷有安全研究人員提出要求，7-Zip一直以來都沒有支援Zone.Id，程式作者Igor Pavlov曾說他並不喜歡這個功能，宣稱它對7-Zip帶來額外的負擔。</p> <p>這代表就算使用者所下載的ZIP檔案具備Zone.Id標記，但在透過7-Zip解壓縮之後就會失去標記，系統與程式便無從判斷檔案的來歷，也無法提出警告。</p> <p>不過，Pavlov終於在7-Zip 22增添了該功能，它出現在工具的選項中，可看到一個傳播Zone.Id流（Propagate Zone.Id Stream）的功能，只要點選Yes或是For Office files就能啟用它，未來若再藉由7-Zip 22解壓縮自網路下載的檔案時，其Zone.Id標記將會散播到已解壓縮的檔案供系統辨識。</p> </div></div></div>
2022/6/23 10:15作者林妍溱https://www.ithome.com.tw/news/151570
【資安日報】2022年6月22日，駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件系統Exchange Server是不少駭客會鎖定的目標，最近有研究人員發現專門針對該系統下手的駭客組織ToddyCat，該組織攻擊目標遍及歐洲與亞洲，但值得注意的是，臺灣、越南的政府機關是該組織的頭號目標。</p> <p>發動勒索軟體攻擊的駭客，往往針對受害電腦與伺服器加密檔案，不過，即使把檔案存放在雲端的檔案共享服務也不見得安全，因為駭客有可能在挾持用戶的帳號後，竄改系統備份檔案的數量，再依據更動後的配置來多次執行檔案加密，而使得受害者無法恢復原本可用的檔案。</p> <p>俄羅斯駭客針對烏克蘭的攻擊行動裡，有越來越多利用Follina漏洞（CVE-2022-21390）的事故，使得烏克蘭電腦緊急應變小組（CERT-UA）再度發布資安通告，要當地民眾提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/toddycat/106799/"><span style="color: rgb(0, 0, 0);">駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基在6月21日揭露新的國家級駭客組織，該組織專門攻擊亞洲及歐洲的微軟Exchange Server用戶，值得關注的是，臺灣、越南政府機關是其主要攻擊目標。</p> <p>研究人員自2020年底發現其活動，並將這個駭客組織命名為ToddyCat，攻擊目標為Exchange Server歐洲及亞洲用戶，專門鎖定高知名度組織，包括政府、軍事單位，以及軍方外包商。該組織第一波攻擊時間，是在2020年底到2021年2月之間，且臺灣與越南有3個組織的一些Exchange Server遭到攻擊。隨後的2月底到3月初，駭客更是積極開始鎖定ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>這些駭客入侵Exchange Server後，會部署名為中國菜刀（China Chopper）的Web Shell，最後在受害組織的網路上植入後門程式Samurai，以及木馬程式Ninja Trojan，以便進行橫向移動及遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality"><span style="color: rgb(0, 0, 0);">駭客有可能更動Office 365配置讓檔案備份失效，並對OneDrive、SharePoint用戶發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-06-14 at 3_55_33 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-14%20at%203_55_33%20PM.png" style="width: 300px; float: right;" /></a>在防範勒索軟體的威脅態勢裡，不少資安人員會建議透過雲端的檔案共享服務來備份資料，來增加重要資料的可用性，一旦遭到相關攻擊，有機會從這些服務提供的版本控制功能來復原檔案，然而最近有研究人員找到能針對這類系統用戶發動勒索軟體攻擊的手法。</p> <p>資安業者Proofpoint指出，他們針對Office 365（或Microsoft 365）的服務裡，發現了潛藏危險的機制，使得駭客可加密儲存在SharePoint或OneDrive服務裡的檔案，並脅迫受害者在無法透過上述服務復原的情況下，向駭客支付贖金來換取解密金鑰。簡單來說，攻擊者可藉由微軟的API、CLI指令碼，或是PowerShell指令碼，先是挾持組織部分用戶的SharePoint或OneDrive帳號並進行接管，然後竄改系統保留舊版檔案的配置（以OneDrive為例，通常預設是500個版本）為1個，最後攻擊者加密檔案只要超過2次，使得SharePoint或OneDrive用戶無法透過系統備份的檔案復原。</p> <p>該公司指出，上述手法主要影響存放於雲端服務的檔案，若是企業採用混合雲模式部署SharePoint，或是使用者透過用戶端軟體留存OneDrive的檔案，就有機會倖免於難。他們將上述發現進行通報，微軟表示，檔案版本的組態配置功能運作正常，若是用戶無法自行復原檔案，透過該公司客服亦有機會還原14天前的版本。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/06/avoslocker-new-arsenal.html"><span style="color: rgb(0, 0, 0);">勒索軟體AvosLocker利用Log4Shell漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png" style="width: 300px; float: right;" /></a>自Log4Shell漏洞於去年年底被揭露後，不時有駭客鎖定採用Apache Log4j元件的遠距辦公系統VMware Horizon下手，而最近也有勒索軟體駭客跟進而引起研究人員關注。</p> <p>思科在3月7日，接獲客戶遭到勒索軟體AvosLocker攻擊的事故通報，而駭客入侵受害組織的媒介，就是經由VMware Horizon的存取閘道Unified Access Gateways（UAG）元件，存取曝露於網際網路的ESXi伺服器，此UAG存在Log4Shell相關漏洞，包含了CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-44832，使得攻擊者能在沒有取得root權限下執行程式碼，進而運用多種商業軟體發動寄生攻擊（LoLBins）。</p> <p>研究人員調查後發現，駭客至少1個月前（2月7日）就開始入侵受害組織，並於2月11日利用Windows伺服器上的WMI提供者主機（WMI Provider Host，WmiPrvSE.exe）程式，以DownloadString的方法執行加密PowerShell程式碼。直到3月4日，駭客才再度以類似的手法執行PowerShell指令，並於6日投放滲透測試工具Sliver、Cobalt Strike，以及網路盤點工具SoftPerfect Network Scanner，最後駭客於8日投放AvosLocker，並利用軟體部署工具PDQ Deploy來在網路環境散布勒索軟體。</p> <p>該公司指出，他們觀察到AvosLocker駭客正在招兵買馬，相關攻擊行動日後可能會大幅增加，呼籲組織不只要透過靜態檢測機制，也要留意資安系統發出的重要警訊，才能防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/russian-govt-hackers-hit-ukraine-with-cobalt-strike-credomap-malware/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28也使用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-credomap.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-credomap.png" style="width: 300px; float: right;" /></a>俄羅斯駭客利用Follina漏洞（CVE-2022-30190）對烏克蘭發動攻擊的現象，可說是越來越氾濫，先前有駭客組織Sandworm自4月開始利用上述漏洞，但現在有更多有更多攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月20日發布資安通告，指出俄羅斯駭客組織APT28利用戰爭警報的名義，散布名為Nuclear Terrorism A Very Real Threat.rtf的惡意檔案，受害者一旦不慎開啟，電腦將會下載HTML檔案並執行JavaScript指令碼，並觸發Follina漏洞，進而植入惡意程式CredoMap。</p> <p>CERT-UA也發現另一組利用Follina漏洞的駭客UAC-0098，他們假借烏克蘭政府財政部的名義，宣稱對方尚未繳稅，發送Imposition ofpension.docx的檔案，進而於受害電腦投放Cobalt Strike的Beacon。由於烏克蘭戰爭尚未結束，上述的釣魚郵件攻擊可能會不斷發生，CERT-UA呼籲關鍵基礎設施的員工應特別提高警覺。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/"><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip加入MoTW支援，防範從網路下載的的威脅</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/yodel-parcel-company-confirms-cyberattack-is-disrupting-delivery/"><span style="color: rgb(0, 0, 0);">英國快遞業者Yodel遭到網路攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> </div></div></div>
2022/6/22 18:08作者周峻佑https://www.ithome.com.tw/news/151558
非營利組織Khronos Group成立元宇宙標準論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由全球170個組織所組成、專門開發及維護各種互動標準的非營利組織Khronos Group，<a href="https://metaverse-standards.org/news/press-releases/leading-standards-organizations-and-companies-unite-to-drive-open-metaverse-interoperability/" target="_blank">在本周宣布成立元宇宙標準論壇（Metaverse Standards Forum）</a>，以推動元宇宙各種開放標準的開發，創始會員涵蓋Adobe、Autodesk、Meta、IKEA、Nvidia、微軟，與全球資訊網協會（W3C）等數十家企業與標準組織。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0622-Metaverse%20Standards%20Forum-600.png" style="width: 500px;" /></p> <p>該論壇將會探討各種阻礙元宇宙部署的互動性問題，以及如何協定與加速各個標準制定組織的定義及進展，並將免費開放給所有的組織參與，準備專注於各種務實專案，諸如可實踐的原型設計、程式設計馬拉松、互動性測試及開源工具等，以加速元宇宙標準的測試及採用，亦會發展一致的術語及部署指南。</p> <p>元宇宙集結了眾多新穎的元件，如互動3D圖像、擴增與虛擬實境、逼真的內容創作、地理空間系統、數位分身、即時協作、物質模擬、線上經濟或多人遊戲等，且不管是身歷其境或規模都將達到新境界。此外，有許多的產業領導人皆認為，元宇宙必須建立於開放標準的基礎上，才能充分實現它的潛力。</p> <p>可想而知的是，目前尚處孵育階段的元宇宙有太多事項必須統整，最基本的就是讓不同的標準組織與企業建立合作的共識，共同定義及遵守對於元宇宙標準的要求及優先順序。</p> <p>加入元宇宙標準論壇是免費的，而且程序很簡單，<a href="https://powerforms.docusign.net/28588522-d4aa-40d0-95da-497d2d5499c1?env=na4&acct=d8380165-745d-4834-bb6f-e74bf824fb81&accountId=d8380165-745d-4834-bb6f-e74bf824fb81" target="_blank">只要簽署參與協議即可</a>，若想要贊助論壇專案，<a href="https://powerforms.docusign.net/a9b9bd4b-78e9-4806-86b7-71e596f0a618?env=na4&acct=d8380165-745d-4834-bb6f-e74bf824fb81&accountId=d8380165-745d-4834-bb6f-e74bf824fb81" target="_blank">則可選擇成為主要會員（Principal Member）</a>。</p> </div></div></div>
2022/6/22 19:49作者陳曉莉https://www.ithome.com.tw/news/151560
零售IT雙周報第2期：Amazon無人機終於升空，還有自動迴避功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0612~0625)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧物流</span></strong></span></p> <p><strong>Amazon無人機物流服務終於正式起飛，搭載自動迴避障礙物功能</strong></p> <p>2013年Jeff Bezos宣布Amazon將發展無人機送貨服務，卻因為安全疑慮遲遲不能正式升空，<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-prepares-for-drone-deliveries">如今終於宣布開始營運</a>，<a href="https://ithome.com.tw/news/151420">今年將從加州洛克福德</a>（Lockeford）鎮等地方開始，免費送貨給當地居民。消費者於Amazon商城購賣標示為可用無人機遞送的商品後，無人機會飛到消費者後院上空，降低高度後將包裹投放到地上。</p> <p>Amazon強調，自家無人機與其他家不同之處，是他們不用仰賴人工駕駛員觀察，而是透過偵測能力勝過肉眼的安全系統，辨認出煙囪等靜態障礙物及其他飛行器等動態障礙物，並自動改道迴避，也能在投放貨物時確保附近區域沒有人、動物或其他障礙物。</p> <p>Amazon沒有公布未來擴大營運無人機物流的時程，不過表示，規模化發展此服務時，將參考洛克福德鎮消費者的回饋。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#智慧電視</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#電子支付</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#購物廣告</span></strong></p> <p><strong>Walmart聯手Roku推出智慧電視購物功能，用遙控器就能下單結帳</strong></p> <p>美國零售巨頭Walmart和智慧電視公司Roku推出<a href="https://www.businesswire.com/news/home/20220616005602/en/Walmart-and-Roku-Debut-First-of-its-Kind-Partnership-to-Bring-Commerce-to-TV-Ads">新的電視購物功能</a>，將購物步驟簡化到電視遙控器按兩下按鈕，不再需要備妥手機，隨時打電話或掃描QR Code了。</p> <p>新功能中，消費者看到購物廣告時可以拿電視遙控器按下OK按鈕，轉移到到消費者資料已經自動填寫完畢的Walmart結帳頁面，並由Roku自家的電子支付平臺Roku Pay付款。再按一次OK就會下單，並由Walmart發送Email確認訂單細節。</p> <p>廠商可以使用Roku的Branded Studio，製作這類互動式廣告。若是使用Roku的電視廣告購買平臺OneView，廠商還能追蹤並分析這類廣告的成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI自駕</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#送餐機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送平臺</span></span></strong></p> <p><strong>美國外送平臺Grubhub投入AI自駕送餐機器人到校園餐點外送</strong></p> <p>使用者超過3,000萬人的美國外送平臺Grubhub<a href="https://about.grubhub.com/news/grubhub-and-cartken-partner-to-bring-robot-delivery-to-college-campuses/">將投入AI自駕外送機器人到校園內送餐服務</a>。Grubhub表示，校園環境本就不利汽車開進去送餐，由比較小巧的自駕機器人送餐非常適合。</p> <p>這種送餐機器人，會透過內建地圖自動導航，並搭載鏡頭，讓AI對即時路況做出反應。遇到無法用AI排除的障礙時，也能轉為人工操縱，以確保送餐效率。送餐機器人在校園中以每小時4.8公里的速度移動，可以承受下雨和下雪等惡劣天氣。</p> <p>Grubhub本來就與美國超過250所大學合作，將校園伙食方案整合進Grubhub帳號中，讓學生不用只能吃學生餐廳，而是選擇校內外不同餐廳，再由Grubhub外送。今年春天，Grubhub已經在俄亥俄州立大學實驗過此服務，今年秋天將正式商轉，並開放給其他合作大學申請啟用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#POS</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#電子支付</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無密碼認證</span></span></strong></p> <p><strong>Paypal將精簡結帳系統操作流程，並推行無密碼認證</strong></p> <p>電子金流平臺Paypal CEO Dan Schulman宣布，<a href="https://www.retaildive.com/news/paypal-strives-to-improve-checkout/625377/">今年將優化Paypal結帳系統，除了精簡結帳流程，還要推動無密碼認證服務</a>。</p> <p>Paypal希望能改善結帳時間延遲的問題，例如現行Paypal結帳時需要跳出App驗證，導致結帳「延遲時間」拉長。或是另一個拉長結帳時間的原因是，消費者忘記密碼而遲遲無法登入。</p> <p>目前有3500萬家店家、近4億消費者採用Paypal結帳系統，但Dan Schulman坦言，近期市場出現不少新創，以提供快速簡單的結帳流程為產品，例如Bolt，讓他們感到優化結帳流程的急迫性。Paypal年初就宣布，新策略不再聚焦吸引更多客戶，而要強化與現有客戶的關係。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#NFT</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#加密貨幣</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#手錶</span></span></strong></p> <p><strong>智慧手錶上直接秀出NFT圖片，奢侈手錶品牌也要搶進Web 3</strong></p> <p>LVMH旗下奢侈手錶品牌TAG Heuer 於5月接受加密貨幣支付後，又和BAYC、CLONE-X等NFT品牌合作，趕搭Web 3浪潮，<a href="https://magazine.tagheuer.com/en/2022/06/15/tag-heuer-connected-the-perfect-match-for-nfts/">在智慧手錶上顯示NFT圖像</a>。TAG Heuer新款手錶上，將可以連結Ledger Live和Metamask等加密貨幣錢包，不只展示NFT，還能證明錶主確實持有NFT。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙遊戲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#服飾品牌</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛實並行活動</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#體驗行銷</span></span></strong></p> <p><strong>維多利亞的秘密旗下兒童品牌推出虛擬遊戲空間，嘗試元宇宙和線下慈善活動串連</strong></p> <p>將實體產品或店面轉到元宇宙遊戲中，在奢侈服飾業者圈內並非先例，但維多利亞的秘密旗下兒童品牌Happy Nations更進一步，除了建立展演和互動空間，更將元宇宙活動與線下慈善活動結合。</p> <p><a href="https://www.victoriassecretandco.com/news-releases/news-release-details/happy-nation-launches-first-metaverse-experience-starting">Happy Nations在元宇宙遊戲Roblox中推出遊戲空間</a>，除了展示產品、到快照亭拍照留念，還能進行障礙賽跑遊戲。當玩家完成一個賽道，可以獲得遊戲內的虛擬托特包作為獎品；每當有玩家完成三個賽道，除了該玩家名字會在遊戲空間內的一個排行榜上陳列，廠商會捐贈一條內褲給致力於提供貧窮孩童乾淨內衣褲的美國慈善機構。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#體驗行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛實並行活動</span></span></strong></p> <p><strong>Timberland推出元宇宙鞋，讓玩家在遊戲空間體驗3種地形跑酷活動</strong></p> <p>Timberland把<a href="https://www.businesswire.com/news/home/20220609005851/en/Timberland%C2%AE-CONSTRUCT-10061-Enters-the-Metaverse">每年重新設計經典款鞋子的實體活動「Construct: 10061」帶到Fortnite遊戲中，虛實同時進行</a>。遊戲空間中，重現了實體設計活動的實驗室場地，讓玩家可以參觀公司內部設計鞋子的設施和工作流程。玩家還能試穿8款實體鞋子掃描而成的遊戲虛擬鞋，以及4款在這個虛擬設施中設計的「元宇宙鞋」，在遊戲空間內的三種氣候和地形上參與跑酷遊戲。</p> <p>Timberland更將在米蘭設計周期間，於旗艦店內當場示範如何在虛擬實驗室中設計鞋子，並推出第五款「元宇宙鞋」。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬試穿</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR技術</span></span></strong></p> <p><strong>Amazon推出AR試穿鞋子功能，支援各種角度和千款名牌鞋</strong></p> <p><a href="https://www.amazon.com/b?ie=UTF8&node=23595320011">Amazon推出虛擬試穿鞋子的AR技術</a>，使用者可以從Amazon 購物App中挑選鞋款，並將鏡頭對準自己雙腳，就會看到自己穿著該鞋款的樣子，且支援各種角度。此功能可以在上千款知名品牌鞋子中快速切換不同鞋款，並能拍照後上傳到社群媒體或私訊分享給朋友。</p> <p>此功能目前只支援美國和加拿大地區iOS用戶，不過Amazon表示也即將釋出Android版。</p> <p>資料來源：iThome整理，2022年6月</p> <p> </p> </div></div></div>
2022/6/22 10:41作者郭又華https://www.ithome.com.tw/news/151550
南韓區塊鏈業者Terraform Labs員工被限制出境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓區塊鏈業者Terraform Labs所打造的Terra USD（UST）及Luna加密貨幣<a href="https://www.ithome.com.tw/news/150911" target="_blank">在今年5月全面崩盤</a>，促使<a href="https://www.ithome.com.tw/news/151063" target="_blank">南韓政府針對Terraform Labs展開調查</a>，繼之於本周要求Terraform Labs的前任與現任員工皆不得出境。</p> <p>首爾檢察官辦公室向<a href="https://www.ft.com/content/19c27ae1-ae72-4668-b3a9-162adc27dffc" target="_blank">《金融時報》（Financial Times，FT）</a>證實了此事，表示有數十名Terraform Labs員工被限制出境，但並未提供更多細節。</p> <p>有一名<a href="https://twitter.com/unifiedh/status/1538937256504832001" target="_blank">曾任職於Terraform Labs的Daniel Hong透過Twitter表示</a>，他是自願配合調查，但並沒有收到任何被限制出境的通知，此外，檢方的禁令擴及2019年或2020年離職的員工。</p> <p>此外，南韓電視臺YTN則報導，該國已經撤銷了Terraform Labs共同創辦人暨執行長Do Kwon的南韓護照，不過Kwon目前似乎定居於新加坡。</p> <p>除了南韓政府之外，其實美國法院也已在美國證券交易委員會（SEC）的請求下，要求Terraform Labs提供可能涉及未註冊股票交易的相關文件與資料，而SEC對Mirror Protocol的興趣更大於Terra USD的崩盤。</p> <p>Mirror Protocol為Terra生態體系上的交易網路，該協議允許使用者藉由鑄造合成資產（mAssets），以錨定美股的價格來追蹤及交易美國股市與期貨，例如已鑄造出蘋果、特斯拉與微軟等股票代幣。</p> </div></div></div>
2022/6/22 16:51作者陳曉莉https://www.ithome.com.tw/news/151557
Amazon拔擢Doug Herrington擔任全球商店執行長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-announces-doug-herrington-as-ceo-of-worldwide-amazon-stores" target="_blank">Amazon本周宣布</a>，將拔擢於該公司任職17年的Doug Herrington接任Amazon全球商店業務的執行長，該業務的前身為消費者業務，<a href="https://www.ithome.com.tw/news/151289" target="_blank">先前的執行長Dave Clark已於6月遞出辭呈</a>，預計於7月1日離職。</p> <p>Herrington是在2005年進入Amazon，負責建立Amazon的耗材業務，之後在2007年推出Amazon Fresh生鮮服務，並在2015年掌管北美消費者業務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0622-amazon-Doug%20Herrington-CEO%20of%20Worldwide%20Amazon%20Stores.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon執行長Andy Jassy表示，Herrington跟他自2011年就因進入當時的Amazon資深領導團隊（S-team）而共事，Herrington不僅是個優秀的建設者，也擁有豐富的零售、雜貨、需求創造與產品開發經驗，同時具備遠見與好奇心，是個狂熱的學習者。</p> <p>Amazon也宣布將由另一名已於該公司任職18年的John Felton統籌Amazon的營運（Operations），並向Herrington彙報。Felton過去主要負責交付、物流與進出口，將與其它8名高階主管一起成為Herrington的左右手。</p> <p>儘管Amazon已是全球最大的電子商務平臺，但其實其交易金額僅占全球零售市場的1%，全球仍有85%的銷售仰賴實體商店，Jassy相信這個比例將會隨著Amazon提供更好的客戶經驗而改變。</p> <p>至於即將於7月1日離職的原執行長Clark也已找到新去處，<a href="https://www.ithome.com.tw/news/151351" target="_blank">他將在9月成為</a>美國貨運代理及報關服務軟體業者Flexport的執行長。</p> </div></div></div>
2022/6/22 13:23作者陳曉莉https://www.ithome.com.tw/news/151553
微軟公布負責任AI指導準則，將限制部份臉部辨識能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/06/21/microsofts-framework-for-building-ai-systems-responsibly/" target="_blank">微軟昨（21）日更新</a>負責任AI的指導準則，將在本月起開始限制AI臉部辨識的部份能力。</p> <p>隨著AI能力愈來愈強，侵犯隱私及對黑人或少數族群辨別度較低的問題，促使科技業及學界推動負責任AI（Responsible AI）的準則，<a href="https://docs.microsoft.com/zh-tw/learn/modules/responsible-ai-principles/" target="_blank">像是微軟2019年公布的</a>6項AI開發及應用準則，包括公平、可靠性、隱私及安全性、包容性、透明性及權責等。微軟更新版準則則依據新的研究結果再加以改良。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/learn/ai-business-school/responsible-ai-principles/media/3-2-1a.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>新版負責任AI包含三點。首先是語音轉錄（speech-to-text）技術對少數族群的辨識錯誤率偏高，一項2020年3月研究，特別是黑人及非裔人士的語音聽寫錯誤率為白人的近2倍。微軟表示，對此將再擴大訓練樣本的多元性，以提升其技術辨識效能。</p> <p>第二項則是AI聲音模擬及臉部辨識服務。<a href="https://www.ithome.com.tw/news/142623" target="_blank">微軟Azure AI的自訂神經網路語音（Custom Neural Voice）服務</a>可運用AI技術模擬出和原人物幾乎一模一樣的聲音，雖然娛樂性高，但也可能被用作Deepfake影片，欺騙觀者。同樣的問題也發生在AI臉部辨識應用。因應新準則，微軟將為這項服務加入多層控管框架，限制可以使用的客戶、明確定義可接受的使用情境，並且清楚告知聽者。在臉部辨識服務下，微軟將限定可用的客戶，以及限縮到預先定義的使用情境，也將加入技術控制以避免濫用。</p> <p>第三項則是限制Azure Face臉部辨識服務的能力。依循新準則，微軟將拿掉這項服務推論情緒狀態，以及辨識性別、年齡、微笑、臉部毛髮、頭髮及化妝的能力。以情緒狀態為例，科學家對情緒的判定尚未有共識，無法跨各種情境、地區或人口屬性適用，草率適用將帶來刻板印象、歧視或拒絕服務。</p> <p>為了避免臉部辨識AI技術的差錯，微軟的Face API將不再提供一般用途系統介接，讓這些客戶用來掃瞄人們臉部，根據臉部表情或動作推論出情緒。<a href="https://azure.microsoft.com/en-us/blog/responsible-ai-investments-and-safeguards-for-facial-recognition/" target="_blank">微軟說明</a>，從6月21日起，這項功能已經不再提供給新客戶。</p> <p>既有客戶則只能用到2023年6月30日，之後也將關閉。但是一些針對身障人士的受控辨識應用情境，微軟說會持續支援。另外，微軟也承諾將對用來推論人們情緒的所有AI系統謹慎分析，包括使用臉部分析或其他AI科技的系統。</p> </div></div></div>
2022/6/22 14:03作者林妍溱https://www.ithome.com.tw/news/151554
Meta因住宅廣告歧視，同意支付11萬美元和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部於本周宣布，已與Meta就臉書的住宅廣告歧視受眾，違反《公平住宅法案》（Fair Housing Act，FHA）一案達成和解，Meta同意在今年底以前不再透過Special Ad Audience提供住宅廣告，也願意支付115,054美元的民事賠償，而這已是《公平住宅法案》的最高罰款金額。此一協議尚待法院核准。</p> <p>臉書被指控的理由是其住宅廣告系統允許廣告主根據種族、膚色、宗教或性別遞送住宅廣告，形成廣告歧視，也違反了FHA。</p> <p>其實臉書曾在2019年就同一事件與美國公平住宅聯盟（National Fair Housing Alliance，NFHA）、美國公民自由聯盟（American Civil Liberties Union，ACLU）、美國傳播工會（Communication Workers of America，CWA）及其它人權機構<a href="https://www.ithome.com.tw/news/129488" target="_blank">達成和解，當時臉書同意</a>將專門替人力招募、住宅及信貸類別的廣告主另闢一個平臺，以阻止這些廣告主利用臉書的過濾機制從事廣告歧視活動。</p> <p>這次Meta的和解對象則是美國的住宅暨都市發展部（Department of Housing and Urban Development，HUD），HUD指控Meta打造了一個目標式廣告工具Special Ad Audience，該工具透過機器學習替廣告主篩選擁有類似特質的族群，然而，臉書卻允許此一工具的演算法計入受到FHA保護的種族、性別與宗教等特性，以找出真正可看到廣告的受眾。</p> <p>其實臉書在2019年時所使用的目標式廣告工具為Lookalike Audience，因為當時的和解內容而以Special Ad Audience來取代Lookalike Audience，沒想到Special Ad Audience再度被發現含有違反FHA的廣告歧視機制。</p> <p><a href="https://about.fb.com/news/2022/06/expanding-our-work-on-ads-fairness/" target="_blank">負責公民權利的臉書副總裁Roy Austin解釋</a>，這是因為機器學習中的公平是一個動態且不斷發展的領域，Special Ad Audiences 只是一個解決早期問題的方法，現在Meta將發展另一個基於「變異縮減」（Variance Reduction）技術的方法，以確保看到住宅廣告的使用者更接近符合該廣告的目標受眾。</p> <p>新的方法將禁止廣告主利用性別與年紀來過濾廣告受眾，且所設定目標受眾的地理位置的半徑範圍不得小於24公里。此一新的方法將不僅適用於住宅廣告，也將延伸到就業與信貸廣告，且除了美國之外，亦將部署至加拿大及歐洲市場。</p> <p>總之，Meta同意在今年底之前就要禁止廣告主利用Special Ad Audiences來投放住宅廣告，也必須在今年底之前開發一個不歧視的新廣告工具，並將支付115,054美元的罰款。</p> </div></div></div>
2022/6/22 12:39作者陳曉莉https://www.ithome.com.tw/news/151551
Microsoft 365檔案備份功能可能被竄改，讓用戶陷勒索軟體麻煩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality" target="_blank">安全廠商Proofpoint發現</a>Microsoft 365的一項檔案備份功能，可能遭駭客濫用，使原本在勒索軟體攻擊時文件回復的功能失敗而陷入麻煩。</p> <p>Microsoft 365及Office 365有一項名為自動儲存（Auto-save）的功能，可在用戶編輯時同步儲存。它還具備版本控管能力，將同一份線上文件不同編輯結果分版本儲存，之後可以回溯存取，這在用戶檔案毁損、遺失，或是被勒索軟體加密時相當有用。</p> <p>而在Microsoft 365環境下，自動儲存功能需搭配OneDrive或SharePoint Online。Microsoft 365文件會儲存在這兩項服務都有的雲端容器，稱為文件庫（document library）之中作為備份。預設情況下，每份獨立文件可備份500次編輯版本，也就是編輯超過500次後，第一個版本就再也不可回復。</p> <p>Proofpoint發現的攻擊方法需先刼持Microsoft 365帳號，再利用文件庫的設計瑕疵來完成。劫持帳號可透過釣魚信件、暴力破解、透過授權OAuth應用程式存取SharePoint/OneDrive帳號，或是劫持連線或即時API權杖來登入。</p> <p>第二步則是濫用文件庫的設計瑕疵。這有2種作法，一是編輯一份線上文件501次，使最原始版本再也不可回復，再加密後面500份備份。第二個方法更簡單，在文件庫的「設定」中，將可回復版本由預設的500次，改成1次。則攻擊者只要編輯檔案2次，原始版本就不見了。</p> <p>研究人員警告，透過上述方法破壞Microsoft 365的備份功能後，一旦企業桌機遭勒索軟體加密，將使企業無法重新回復文件。</p> <p>但是在涵括端點及雲端的環境，例如有雲端同步資料夾的設計則可減低這種攻擊的災難，因攻擊者無法變更儲存在終端的文件，除非他同時攻擊雲端和終端。</p> <p>為避免這類攻擊，研究人員建議，首先以多因素驗證方式降低用戶Microsoft 365帳號密碼被竊。其次則是以安全工具強化異常的設定變更、以及勒索軟體防禦方法，包括實施災難復原及資料備份政策，減少文件損失的風險。</p> </div></div></div>
2022/6/22 13:06作者林妍溱https://www.ithome.com.tw/news/151552
國家駭客攻擊Exchange Server漏洞，臺灣、越南用戶受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/toddycat/106799/" target="_blank">安全廠商卡巴斯基發現</a>，一個新興國家駭客組織攻擊亞洲及歐洲的微軟Exchange Server用戶超過一年，其中包括臺灣、越南用戶。</p> <p>卡巴斯基旗下的GReAT（Global Research & Analysis Team）研究人員發現2020年底起，該公司命名為ToddyCat的新駭客組織開始攻擊Exchange Server歐洲及亞洲用戶，而且專門鎖定高知名度組織，包括政府、軍事單位和軍方外包商。</p> <p>卡巴斯基掌握ToddyCat的身份的資訊不多，只知和另一個發動FunnyDream後門程式、講中文的駭客組織活動期間相近。他們由其攻擊目標，判斷是進階滲透威脅（APT）的國家駭客。駭客刻意將目標放在政府及軍事組織，藉此達到他們地緣政治利益等目的。</p> <p>這個組織最早活動時期為何，研究人員無法斷定，也不知道他們是利用Exchange Server哪個漏洞。可以確定的是，2020年底到2021年2月之間是攻擊的第一波時期，且受害者都是Exchange Server，臺灣和越南3個組織的少數Exchange Server遭到攻擊。隨後2月底到3月初ToddyCat轉趨積極，開始開採Exchange Server的ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>在調查臺灣及越南的攻擊中，研究人員也發現了2個之前不知道的攻擊工具。ToddyCat先是駭入了Exchange Server，於受害者機器上部署China Chopper webshell程式，開始多階段感染鏈。最後，在受害者網路上植入之前沒被發現的後門程式Samurai及木馬程式Ninja Trojan。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/06/20140554/APT_ToddyCat_01.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／卡巴斯基</span></span></p> <p>Samurai是被動式後門程式，經由port 80和443運作，可遠端執行任意C#程式，配合多種模組讓攻擊者執行遠端程式並在目標網路上橫向移動。Ninja是一個後攻擊（post-exploitation）工具，類似Cobalt Strike，可在受害者機器上建立C&C伺服器以執行遠端控制、還能修改HTTP header及URL 路徑，以偽裝惡意流量，躲避偵測。</p> <p>除了臺灣和越南的政府組織外，卡巴斯基觀測到其他受害者分布地點為阿富汗、印度、印尼、馬來西亞、泰國、巴基斯坦、俄羅斯、英國、烏茲別克等國。</p> <p>事實上，3月以後，Exchange Server 被攻擊的歷史就相當清楚。<a href="http://https//:www.ithome.com.tw/news/143208" target="_blank">安全廠商ESET發現</a>有一個稱為Websiic的駭客組織利用Exchange Server的ProxyLogon漏洞發動攻擊，並且在受害伺服器上部署China Chopper webshell程式。事實上，資安廠商戴夫寇爾及Volexity等安全廠商分別追查到，2020年底及2021年初，ProxyLogon漏洞就已經有駭客開採活動，包括微軟稱為Hafnium的中國國家駭客。惟這些駭客組織是同一個或許多不同組織則不得而知。</p> </div></div></div>
2022/6/22 10:41作者林妍溱https://www.ithome.com.tw/news/151549
請AI幫忙寫程式的GitHub Copilot正式上線，月租費10美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-06-21-github-copilot-is-generally-available-to-all-developers/" target="_blank">GitHub在21日正式推出</a>自去年6月<a href="https://www.ithome.com.tw/news/145340" target="_blank">開始預覽</a>、由AI充當開發者結對工程師的GitHub Copilot服務，每月的訂閱費用為10美元，年費則是100美元，而學生與熱門開源專案的維護者則可免費使用。</p> <p class="rtecenter"><img alt="" src="https://docs.github.com/assets/cb-35566/images/help/copilot/install-copilot-extension-visual-studio-code.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>GitHub Copilot是GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，以讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p>在經歷過一整年及120萬名開發者的預覽之後，現在的GitHub Copilot可整合到Neovim、JetBrains IDEs、Visual Studio與Visual Studio Code 等開發環境，它不僅能提供下一行的程式撰寫建議，也能推薦完整的方法、範例程式碼、整個單元測試，或是複雜的演算法。</p> <p>在開發者啟用GitHub Copilot的檔案中，若是採用諸如Python等熱門的程式語言，那麼有接近40%的程式碼都是來自GitHub Copilot。</p> <p>GitHub表示，他們相信由AI來協助撰寫程式碼將能改變軟體開發的性質，提供開發者一個可更快及更容易撰寫程式碼的工具，並專注在其它更重要的事。</p> <p>即使在正式版上線後，GitHub還是提供60天的GitHub Copilot免費試用期，之後可以每月10美元或每年100美元的價格訂閱，且若是通過身分認證的學生或是熱門開源專案的維護者，存取GitHub Copilot訂閱頁面時，亦會收到免費的訂閱通知。</p> </div></div></div>
2022/6/22 10:04作者陳曉莉https://www.ithome.com.tw/news/151548
【資安日報】2022年6月21日，駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釣魚郵件攻擊的手法中，有些駭客會宣稱對方收到語言訊息，進而讓收信人上當，落入他們的圈套。最近有一起攻擊行動就是如此──駭客針對美國大型企業發動上述攻擊，目的是要竊取使用者的Microsoft 365帳號。比較值得留意的部分，是攻擊者讓收信者誤以為信件來自公司的手法，他們在寄件人的名稱裡使用受害組織的網域，而可能讓收信人不疑有他，依照指示開啟附件檔案。</p> <p>去年有研究人員發現<a href="https://www.ithome.com.tw/news/145919">名為PetitPotam的漏洞</a>，駭客可用於發動NTLM中繼（NTLM Relay）攻擊，進而挾持整個網域，而最近有新的攻擊手法DFSCoerce出現，再度引起研究人員的關注。新舊手法最大的不同，在於所濫用的通訊協定。其後續發展與微軟的回應值得觀察。</p> <p>微軟於上週公布的每月例行修補（Patch Tuesday）中，所推出的更新程式，部分用戶安裝後發生問題，導致有些功能失效。其中，部分執行Arm晶片的Windows電腦，出現應用程式無法存取Azure AD的現象，該公司於昨日（20日）緊急發布額外的修補程式因應。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/resurgence-voicemail-themed-phishing-attacks-targeting-key-industry"><span style="color: rgb(0, 0, 0);">駭客透過語音訊息發動網釣攻擊，意圖竊取美國大型企業的Microsoft 365帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201.png" style="width: 300px; float: right;" /></a>利用語音留言的網路釣魚攻擊，不時有事故傳出，最近又有攻擊行動出現，鎖定美國的大型企業而來。資安業者Zscaler發現利用語音訊息作為幌子的釣魚郵件攻擊，目標包含了美國軍方、安全解決方案供應商、醫療保健與製藥廠，以及製造商的供應鏈等，竊取這些組織用戶的Microsoft帳密。</p> <p>駭客在郵件內容宣稱，對方有尚未讀取的語音郵件，需要開啟附件的HTML檔案，一旦收信人開啟，就有可能被攻擊者引導到人機驗證系統CAPTCHA，通過驗證後再前往假造的Microsoft 365登入頁面，攻擊者進而有機會挾持對方的微軟帳號。</p> <p>由於在寄件者的名稱中，駭客使用了收信人公司的網域名稱，而很容易讓人以為是從公司寄來的通知信件，但根據研究人員的分析，這些釣魚郵件實際上來自日本的郵件伺服器，且上述的登入網頁也不在微軟網域，他們呼籲使用者要提高警覺因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-dfscoerce-ntlm-relay-attack-allows-windows-domain-takeover/"><span style="color: rgb(0, 0, 0);">研究人員揭露新的NTLM中繼攻擊手法DFSCoerce</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png" style="width: 300px; float: right;" /></a>去年7月<a href="https://www.ithome.com.tw/news/145919">研究人員公布名為PetitPotam的漏洞</a>，攻擊者可藉由微軟的加密檔案系統遠端協定（EFSRPC），來發動NTLM中繼（NTLM Relay）攻擊，如今又有新的管道能發動類似的攻擊。</p> <p>研究人員Filip Dragovic近期公布名為DFSCoerce的攻擊手法，並提供概念性驗證（PoC）攻擊指令碼。這個指令碼同樣是透過利用PetitPotam漏洞為基礎打造，但不同的是這次研究人員沒有使用EFSRPC，而是利用了Windows分散式檔案系統（DFS）通訊協定MS-DFSNM，來達到發動NTLM中繼攻擊的目的。</p> <p>關於上述的攻擊指令碼，資安新聞網站Bleeping Computer接到其他研究人員的通報，這些研究人員表示，這個手法確實很容易讓權限不高的使用者成為網域管理員。該新聞網站呼籲，組織應透過微軟先前針對PetitPotam漏洞的緩解措施，來防範類似的NTLM中繼攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://en.lookout.com/blog/hermit-spyware-discovery"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Hermit被用於攻擊敘利亞、哈薩克、義大利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png" style="width: 200px; float: right;" /></a>上個月Google公布<a href="https://www.ithome.com.tw/news/151068#cytrox">網路間諜公司Cytrox利用數個零時差漏洞對安卓手機下手</a>，又有研究人員揭露其他間諜軟體的態勢。資安業者Lookout指出，他們發現義大利網路間諜公司RCS Lab與電信業者Tykelab Srl聯手，開發的間諜程式Hermit，自2019年開始在敘利亞、哈薩克、義大利等國下手，鎖定安卓與iPhone手機發動攻擊。其中，研究人員在今年4月，看到哈薩克政府疑似用來對當地民眾進行監控。</p> <p>此間諜程式散布的管道，很可能是透過簡訊，並引誘使用者點選連結，駭客宣稱提供三星、Oppo，以及Vivo等廠牌推出的應用程式，但實際上若是使用者照做，手機就會被植入Hermit。此惡意軟體的功能，與其他網路間諜公司的產品類似，具備側錄使用者的聲音、收集聯絡人資訊、照片的能力。研究人員呼籲，使用者要對於簡訊連結特別提防。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151536"><span style="color: rgb(0, 0, 0);">Arm電腦在安裝Patch Tuesday更新程式後，衍生Azure AD登入異常現象，微軟緊急發布修補程式</span></a></strong></h3> <p>微軟於6月14日發布例行修補（Patch Tuesday）更新，但傳出不少用戶更新後造成部分功能無法使用，該公司於20日推出緊急更新KB5016138、KB5016139，來解決搭載Arm晶片的Windows電腦無法正常存取Azure AD的問題。微軟指出，上述情況影響需要使用Azure AD帳號存取的應用程式與服務，例如Teams、Outlook，或是VPN連線等，但網頁版本不受影響，若是使用者無法及時安裝相關更新，可暫時使用網頁版本來因應。上述問題並未影響採用Intel與AMD處理器的電腦。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151533"><span style="color: rgb(0, 0, 0);">人機驗證系統CAPTCHA惱人又影響用戶隱私！蘋果計畫在新版作業系統加入自動身分驗證功能，繞過此種機制</span></a></strong></h3> <p>蘋果於6月初的開發者大會WWDC上，表示人機驗證系統CAPTCHA不只會影響使用者體驗，還可能危害用戶隱私，對此，他們宣布將以私有存取令牌（Private Access Tokens，PAT）來取代。而最近有開發人員在測試版iOS 16與iPadOS 16發現，蘋果很可能已經在測試相關功能──他們看到蘋果在Apple ID新增了自動身分驗證（Automatic Verification）的功能，啟用後將會透過iCloud自動檢驗使用者的裝置與帳號，而有可能讓使用者直接繞過應用程式或網頁上的CAPTCHA，上述機制未來也有機會在下一版macOS Ventura出現。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.documentcloud.org/documents/22064071-flagstar-standard-notification-letter-06-17-2022?responsive=1&title=1"><span style="color: rgb(0, 0, 0);">美國大型銀行Flagstar資料外洩，波及150萬客戶</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-rv-overflow-s2r82P9v"><span style="color: rgb(0, 0, 0);">思科RV路由器存在重大漏洞，攻擊者可執行任意指令或造成服務中斷</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> </div></div></div>
2022/6/21 17:36作者周峻佑https://www.ithome.com.tw/news/151540
2022網路報稅支援6種身分驗證，行動電話認證成主流，2成8民眾用手機報稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>民眾網路報稅越來越便捷，政府多年前就開始打造數位化服務，在綜合所得稅的申報作業過程當中，提供扣除額單據電子化及稅額試算服務，解決傳統人工申報方式的不便，近年來，更是主動提供民眾試算結果，同時提供了多元化申報方式，並陸續增加不同身分驗證管道，其中，最受矚目的焦點，就是去年新推的「行動電話認證」，現已成普遍國人使用最多的方式，比例已超過4成，而今年報稅財政部也新推「行動自然人憑證」，以及手機報稅2.0，均讓國人能有更方便的網路報稅方式。</p> <p>隨著報稅旺季來臨，今年個人所得稅申報仍受疫情影響，期限也如同前兩年，延長一個月（至6月30日），目前距離最後期限只剩一周多的時間。</p> <p>今年的網路報稅，民眾可以透過電腦與手機來進行。以電腦報稅而言，在財政部電子申報繳稅服務網上，共有6種身分驗證管道，分別是：<u>行動電話認證</u>、<u>戶口名簿戶號＋查詢碼</u>、<u>行動自然人憑證</u>，以及<u>健保卡＋註冊密碼</u>、<u>自然人憑證</u>、與<u>電子憑證</u>。</p> <p>至於手機報稅，是從2021年起開始提供，到了今年更為強化。簡單而言，手機報稅就是透過手機的瀏覽器來進行申報，當民眾連至財政部電子申報繳稅服務網的網頁，需先點選手機版，這裡驗證身分的管道支援上述6種的其中3種：<u>行動電話認證</u>、<u>戶口名簿戶號＋查詢碼</u>，以及<u>行動自然人憑證</u>。今年報稅流程增強的特色在於：民眾在手機瀏覽器上，可以編修申報內容資料，並可使用「行動支付、電子支付帳戶繳稅方式」，更符合許多民眾目前的手機支付習慣。</p> <p>對於民眾使用手機報稅的現況，財政部北區國稅局表示，至6月17日止，今年有2成8民眾是透過手機報稅，接近三成，比例已不少。而使用電腦網路報稅的民眾，3成4使用離線版，3成8使用線上版。</p> <h3><strong>持續提供多元認證，今年逾4成民眾選用「行動電話認證」</strong></h3> <p>持續提供多元申報方式之餘，政府近期在網路報稅推動更多類型身分認證管道，根據最新數據顯示，確實受到國人青睞。</p> <p>舉例來說，「行動電話認證」是2021年新增的方式，根據統計資料，在2022年至6月17日下午5時為止的352萬申報件數中，有147.4萬件採用行動電話認證，居所有認證方式之冠，佔4成1的比例。</p> <p>事實上，去年行動電話認證的比例就已躍居最高，今年有更多人使用這種方式。以目前來看，有多達147.4萬件，去年同期則為108.1萬件，明顯大幅增長。而在「行動電話認證」推出之前，國人最常使用的認證方式，則是「健保卡＋密碼」，以及「自然人憑證」，以2019年全年為例，使用此兩者方式認證人數均在150萬人上下。</p> <p>為何今年有更多民眾報稅時使用行動電話認證？我們認為，原因在於這種方式不用額外搭配讀卡機或密碼，更為簡便，只要是納稅人親自申辦的月租型門號，就能在報稅時以4G或5G行動網路連線來認證身分，而且無論使用電腦或手機均能適用。</p> <p>另一值得關注的是，今年新推的「行動自然人憑證」，目前有15,178人使用，相較於去年同期稱為「行動身分識別」的10,182人，同樣有大幅成長情形。回顧這類驗證方式的採用，兩年前財政部已提供「行動身分識別」的管道，如今隨著「行動自然人憑證」App的推出，替代原有的「Taiwan FidO」App，並讓兩項機制結合在一套應用。目前看來，此一身分驗證機制應用於報稅比例還少，可能因為註冊此機制前，仍必須先申請過自然人憑證再綁定行動裝置，但在其他應用上，仍有看頭，不只是對外便民服務，政府公務系統的登入與簽核也能應用。</p> <p>至於網路報稅其他認證方式的使用情形，目前使用「健保卡＋密碼」來驗證，仍有81.5萬人，使用「自然人憑證」有61.7萬人，使用戶號＋查詢碼有55.7萬人，至於使用「電子憑證」的人數僅剩4.5萬人。</p> <p>另一較特別的是，今年報稅系統其實還新支援了「醫事人員憑證IC卡」，跟據統計資料，至今已有715名醫護使用此方式登入申報。</p> <p><a href="https://s4.itho.me/sites/default/files/images/手機報稅-00.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%89%8B%E6%A9%9F%E5%A0%B1%E7%A8%85-00.jpg" style="width: 600px;" /></a> </p> <p><strong>除了傳統前往國稅局臨櫃辦理的人工報稅，政府持續推動綜合所得稅申報多元化，包括在家網路報稅、手機報稅，或稅額試算服務作業。其中手機報稅為2021年新推出，讓民眾透過手機上的瀏覽器，在財政部電子申報繳稅服務網網頁上也能完成報繳稅。關於手機報稅情形，我們詢問財政部北區國稅局，根據他們提供的資料顯示，今年綜所稅申報已進行1個半月，目前民眾透過手機報稅的比例已達2成8。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/網路報稅2022-00.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E8%B7%AF%E5%A0%B1%E7%A8%852022-00.jpg" style="width: 600px;" /></a></p> <p><strong>近年來網路報稅上的身分認證管道持續增加，如2016年報稅開放「健保卡＋密碼」申報，2019年新推「行動身分識別」（Taiwan FidO），2021年再新增「行動電話認證」，2022年將「行動自然人憑證」取代既有行動身分識別，同時還新開放「醫事人員憑證IC卡」。</strong></p> <h3><span style="color: rgb(0, 153, 255);"><strong>綜合所得稅網路申報使用版本（至2022/6/17止）</strong></span></h3> <table border="0" cellpadding="0" cellspacing="0" style="width: 304px;" width="304"><tbody><tr height="22"><td height="22" style="height: 22px; width: 64px;"><strong>全國</strong></td> <td style="width: 85px;"><strong>離線版</strong></td> <td style="width: 83px;"><strong>線上版</strong></td> <td style="width: 72px;"><strong>手機報稅</strong></td> </tr><tr height="22"><td height="22" style="height: 22px; width: 64px;">件數</td> <td style="width: 85px;">1,201,236</td> <td style="width: 83px;">1,330,962</td> <td style="width: 72px;">994,515</td> </tr><tr height="22"><td height="22" style="height: 22px; width: 64px;">比率</td> <td style="width: 85px;">34%</td> <td style="width: 83px;">38%</td> <td style="width: 72px;">28%</td> </tr><tr height="22"><td colspan="3" height="22" style="height: 22px;">資料來源：財政部國稅局</td> <td> </td> </tr></tbody></table><h3><span style="color:#0099ff;"><strong>2022綜合所得稅電子結算申報使用憑證統計</strong></span></h3> <table border="0" cellpadding="0" cellspacing="0" style="width:501px;" width="501"><tbody><tr height="22"><td height="22" style="height:22px;"><strong>驗證身分方式</strong></td> <td><strong>2022年件數（暫至6/17止）</strong></td> <td><strong>2021年同期件數</strong></td> </tr><tr height="22"><td height="22" style="height:22px;">行動電話認證</td> <td>1,474,800件</td> <td>1,081,940件</td> </tr><tr height="22"><td height="22" style="height:22px;">健保卡＋註冊密碼</td> <td>815,794</td> <td>867,921</td> </tr><tr height="22"><td height="22" style="height:22px;">自然人憑證</td> <td>617,669</td> <td>732,438</td> </tr><tr height="22"><td height="22" style="height:22px;">戶口名簿戶號＋查詢碼</td> <td>557,513</td> <td>512,634</td> </tr><tr height="22"><td height="22" style="height:22px;">電子憑證</td> <td>45,044</td> <td>59,585</td> </tr><tr height="22"><td height="22" style="height:22px;">行動自然人憑證</td> <td>15,178</td> <td>10,182※</td> </tr><tr height="22"><td height="22" style="height:22px;">醫事人員憑證</td> <td>715</td> <td>無</td> </tr><tr height="22"><td colspan="3" height="22" style="height:22px;">資料來源：財政部國稅局，iThome電腦報週刊，2022年6月</td> </tr><tr height="22"><td colspan="2" height="22" style="height:22px;">※註：2021年為FidO行動身分認證</td> <td> </td> </tr></tbody></table></div></div></div>
2022/6/21 16:46作者羅正漢https://www.ithome.com.tw/news/151539
祖克柏展示多款VR裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周一（6/20）邀請了多家媒體進行線上會議，<a href="https://www.facebook.com/zuck/videos/355247026677540" target="_blank">創辦人暨執行長祖克柏（Mark Zuckerberg）展示了其元宇宙基地Reality Labs正在開發的多款虛擬實境頭戴裝置</a>，似乎是要透過Meta在技術上的投入與進展，消弭該公司近一個月以來的負面消息。</p> <p><a href="https://www.reuters.com/technology/exclusive-facebook-owner-meta-tells-hardware-staffers-prepare-cutbacks-2022-05-11/" target="_blank">上個月Meta才向《路透社》（Reuters）證實</a>，Reality Labs部門將會重整，專注於開發核心產品，並終止或延後部分專案，<a href="https://www.ithome.com.tw/news/151402" target="_blank">本月即傳出</a>Meta終止智慧手錶專案，停止開發消費者版本的Portal智慧顯示器，連原本計畫在2024年才要發表的AR眼鏡都延期。</p> <p>再加上Reality Labs部門每季數十億美元的虧損、Meta股價的持續下滑，以及全球經濟衰退等，都讓Meta本周的展示更像是在向全球宣誓自己的決心。</p> <p>周一祖克柏親自示範了4款AR原型機，其中的Butterscotch主要用來體驗VR環境中的視網膜解析度，其解析度可達Meta Quest 2的2.5倍，將讓使用者可清楚看到6米外的物件；另一款原型機Starburst強調的則是高動態範圍成像（HDR），可用來改善顯示器的對比與亮度，也是全球首個HDR VR系統；Holocake 2則為一實驗性裝置，它非常地輕薄，企圖打造出一款戴起來舒適的VR裝置；看起來像是滑雪鏡的Mirror Lake其實還未真的問世，它的目標是集結上述原型機的優點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Meta-Butterscotch-VR.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Butterscotch原型機，圖片來源／Meta</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Meta-Starburst-VR.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Starburst原型機，圖片來源／Meta</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Meta-Holocake%202-VR(1).png" style="width: 600px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">Holocake 2原型機，圖片來源／Meta</span></span></p> <p>其實這些只是Reality Labs所開發的VR頭戴裝置的一小部分，Reality Labs辦公室有一面牆擺滿了超過20款具備不同造型與功能的原型機，祖克柏表示，上述不同原型機的功能都是VR裝置必須解決的問題，Meta擁有全球最好的團隊，未來將把所有技術融入更輕薄的裝置上。</p> <p>Reality Labs內部所訂定的頭戴裝置終極目標，則是通過「視覺圖靈測試」（Visual Turing Test），亦即讓使用者無法區分自己置身於真實或虛擬世界，現在並沒有任何VR技術可達到此一境界，也是VR顯示器研究的聖杯。</p> </div></div></div>
2022/6/21 14:28作者陳曉莉https://www.ithome.com.tw/news/151537
印度禁止公務員使用VPN、Google Drive等雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度禁VPN服務風波再擴大。<a href="https://telecom.economictimes.indiatimes.com/news/govt-bans-vpn-cloud-services-for-employees/92269107" target="_blank">印度媒體《Economics Times》報導</a>，印度政府近日發布資訊安全指令，公務員將不得使用外部VPN服務，也不得在Google Drive或Dropbox等雲端服務上儲存公務文件或檔案。</p> <p>媒體取得近日印度國家資訊中心（National Informatics Centre，NIC）對公務員發出的內部公告，該公告說明政府為「強化公務員及政府部門約聘及委外員工的資安意識」而制定，公務員可為及不可為行為的安全指引，目的在改善政府資安體質。</p> <p>根據這項公文，印度公務員及約聘、委外人員不得使用如Nord VPN、ExpressVPN等業者提供的VPN服務，以及Tor匿名服務。</p> <p>發文單位的主管機關為電子暨資訊技術部，<a href="https://www.cert-in.org.in/PDF/CERT-In_Directions_70B_28.04.2022.pdf" target="_blank">後者今年四月聯同印度電腦緊急應變小組（CERT-In）發布的一項要求</a>，以打擊網路犯罪為由，要求VPN服務供應商、資料中心與雲端服務供應商都必須蒐集用戶資料，包括姓名、電子郵件帳號、電話號碼與IP位址，並保留5年資料以「清楚了解客戶（Know Your Customer）」。新法規預計在6月27日生效。<a href="https://telecom.economictimes.indiatimes.com/news/govt-bans-vpn-cloud-services-for-employees/92269107" target="_blank">印度官員也稱</a>，不想遵循的公司儘管離開該國。</p> <p>這項法規等於是剝奪所有印度用戶隱私通訊的權利，讓異議人士或擔心被迫害的用戶無所遁形。<a href="https://www.ithome.com.tw/news/151285" target="_blank">外國VPN服務業者ExpressVPN本月初已宣布將退出印度市場</a>，另二家廠商包括Surfshark和 NordVPN也分別宣布跟進，都將在法規升級前關閉在印度伺服器及撤離印度。</p> <p>最新公文同時要求政府僱員及約聘、委外員工任何內文、禁止讀取、或機密資料，皆不得儲存在非政府提供的雲端服務，包括Google Drive或Dropbox。此外，他們也不得對行動裝置執行越獄（jailbreak）或刷機（root），或使用外部文件掃瞄App如CamScanner來掃瞄內部政府文件。</p> <p>印度政府對任何企圖防止監控的科技皆採反對立場。報導指出，<a href="https://economictimes.indiatimes.com/tech/technology/counter-use-of-technology-for-cybercrime-india-tells-un-ad-hoc-group/articleshow/92237908.cms" target="_blank">上周聯合國打擊網路犯罪科技的特設委員會中</a>，印度代表也倡議打擊VPN、全程加密及加密貨幣等區塊鏈技術。<a href="https://fortune.com/2022/02/02/india-crypto-ban-plans-develop-digital-currency-taxes-regulation-bitcoin/" target="_blank">印度政府也嚴禁挖礦</a>。</p> </div></div></div>
2022/6/21 14:43作者林妍溱https://www.ithome.com.tw/news/151538
微軟疑封鎖俄羅斯用戶下載Windows 10、11更新等軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟可能上周開始封鎖俄國境內用戶下載Windows 10及11的軟體更新及工具。</p> <p><a href="https://www.techcentral.ie/microsoft-reportedly-blocks-russian-windows-10-and-windows-11-downloads/" target="_blank">多家媒體</a>及<a href="https://twitter.com/campuscodi/status/1538570733672189955" target="_blank">記者</a>引述俄羅斯官方通訊社本周日報導，現在俄國境內已無法從微軟網站下載Windows 10和11軟體。若用戶想連結微軟網站下載，會出現「404檔案和目錄找不到的錯誤訊息」，但使用VPN則可成功下載。</p> <p class="rtecenter"><a href="https://twitter.com/campuscodi/status/1538570733672189955" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FVoZwRlWUAIECgM?format=png&name=small" style="width: 500px;" /></a></p> <p><a href="https://twitter.com/campuscodi/status/1538570733672189955" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Catalin Cimpanu</span></span></a></p> <p><a href="https://twitter.com/monsterjeep/status/1538574937568469001" target="_blank">另一些使用者則證實</a>，雖然用戶可以連向微軟官網，<a href="https://twitter.com/ttldtor/status/1538572320469655557" target="_blank">但無法下載Windows映像檔或媒體工具</a>。</p> <p class="rtecenter"><a href="https://twitter.com/ttldtor/status/1538572320469655557" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://pbs.twimg.com/media/FVobWSnXsAEyZai?format=jpg&name=medium" style="width: 500px;" /></span></span></a></p> <p><span style="font-size: 14px;"><a href="https://twitter.com/ttldtor/status/1538572320469655557" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／ttldtor</span></a></span></p> <p>此事可能和微軟大幅削減在俄業務有關。受俄烏戰事爆發，美國對俄發動制裁，微軟3月即凍結在俄產品及服務銷售。<a href="https://www.ithome.com.tw/news/151353" target="_blank">本月初微軟也證實彭博報導</a>，正在大幅縮編在俄國業務，但是微軟表示，仍會持續完成和俄國客戶之間的合約義務。</p> <p>微軟尚未對此發表正式回應。</p> <p>這項行動若屬於微軟官方行動，可能將使俄國用戶轉向使用盜版Windows軟體。<a href="https://www.ithome.com.tw/news/149747" target="_blank">3月間俄國通過一項法案修正案</a>，允許企業組織在國家安全利益前提下，有權未經原廠同意使用軟體或其他技術，而且不需付費。</p> </div></div></div>
2022/6/21 13:29作者林妍溱https://www.ithome.com.tw/news/151535
微軟緊急修補因Patch Tuesday衍生的Azure Active Directory登入問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151494" target="_blank">微軟今年6月14日的Patch Tuesday</a>似乎造成了<a href="https://www.ithome.com.tw/news/151532" target="_blank">不少問題</a>，也於6月20日釋出緊急更新以解決無法利用Azure Active Directory（Azure AD）登入的問題，此一問題同時涉及Windows 10與Windows 11，但僅影響採用Arm處理器的Windows裝置。</p> <p><a href="https://support.microsoft.com/en-us/topic/june-20-2022-kb5016138-os-build-22000-740-out-of-band-e8d115be-8a12-4010-a0c6-d77e459b4385" target="_blank">根據微軟的說明</a>，舉凡是要利用Azure AD登入的應用程式或服務都受到波及，諸如VPN連線、Microsoft Teams或Microsoft Outlook等。但該問題並未影響採用AMD或英特爾處理器的Windows裝置。</p> <p><a href="https://support.microsoft.com/en-US/topic/june-20-2022-kb5016139-os-builds-19042-1767-19043-1767-and-19044-1767-out-of-band-f23f8abf-fa86-4e9c-8dad-6aadec51d51c" target="_blank">有關Windows 10的緊急更新為KB5016139</a>，<a href="https://support.microsoft.com/en-us/topic/june-20-2022-kb5016138-os-build-22000-740-out-of-band-e8d115be-8a12-4010-a0c6-d77e459b4385" target="_blank">Windows 11則是KB5016138</a>，都可透過Windows Update自動下載與安裝，使用者亦可選擇手動安裝，由於它們屬於累積更新，因此微軟建議Arm裝置用戶直接採用新的安全更新，若已安裝Patch Tuesday的安全更新，則僅有新的更新會被下載與安裝。</p> <p>倘若無法即時更新，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2#azure-active-directory-and-microsoft-365-services-might-be-unable-to-sign-in" target="_blank">微軟建議使用者可改用相關應用的網頁版</a>，如OneDrive、Outlook.com或網頁版的Microsoft Teams。</p> </div></div></div>
2022/6/21 13:46作者陳曉莉https://www.ithome.com.tw/news/151536
Windows多項最新更新引發VPN、RDP、RRAS、Wi-Fi熱點等問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周發布Patch Tuesday安全更新，不過之後陸續傳出多個Windows Server版本更新引發VPN、遠端桌面協定（RDP）、RRAS（Routing and Remote Access Service）故障。而一項針對Windows 11的更新則造成Wi-Fi熱點功能故障，以及無法登入Azure Active Directory等問題。</p> <p>上周的Patch Tuesday發布的伺服器更新涵括Windows Server 2012 R2（KB5014738）、Server 2016（KB5014702）、Server 2019（KB5014692）及Server 2022（KB5014678）。<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/?sa=1#cid23701" target="_blank">用戶發現</a>安裝後RRAS連線失敗，也有人只是RRAS暫時凍結，<a href="https://www.reddit.com/r/sysadmin/comments/vbunt3/patch_tuesday_megathread_20220614/id1u18b/" target="_blank">另一些人則反映</a>RDP及VPN無法使用，或是External IIS無法連線等問題。</p> <p>有人移除更新可解決問題，<a href="https://www.reddit.com/r/sysadmin/comments/vbunt3/patch_tuesday_megathread_20220614/icn8x9d/" target="_blank">但也有人</a>即使移除也無法回復功能。一名用戶關閉NAT（Windows Network Address Translation）可以排解無法使用RRAS的狀況。但許多用戶表示這在其環境下不可行。</p> <p>目前微軟官方尚未對此說明或回應。資安網站<a href="https://www.bleepingcomputer.com/news/microsoft/recent-windows-server-updates-break-vpn-rdp-rras-connections/" target="_blank">Bleeping Computer</a>報導，或許和日前微軟修補NAT中一個DoS漏洞（CVE-2022-30152）的更新有關。</p> <p>但另一項更新引發的問題則獲得微軟回應。上周針對Windows 11釋出的<a href="https://support.microsoft.com/en-gb/topic/june-14-2022-kb5014697-os-build-22000-739-cd3aaa0b-a8da-44a0-a778-dfb6f1d9ea11" target="_blank">KB5014697</a>，它是一個旨在使Windows Update安裝更順暢的品質更新。微軟指出該更新造成3個不良後果，首先，Windows機器無法使用Wi-Fi熱點功能，若機器啟用該功能就會無法連網，另2個則主要影響IT管理員，包括使用.NET Framework 3.5元件如WCF（Windows Communication Foundation）及WWF（Windows Workflow）的App無法開啟，以及Arm-based Windows機器無法登入Azure Active Directory（AAD），進而影響包括VPN、Microsoft Teams、Microsoft OneDrive和 Microsoft Outlook的使用。</p> <p>昨日微軟已緊急釋出例外（Out-of-band）更新<a href="https://support.microsoft.com/en-gb/topic/june-20-2022-kb5016138-os-build-22000-740-out-of-band-e8d115be-8a12-4010-a0c6-d77e459b4385" target="_blank">KB5016138</a>以解決AAD登入的情形。至於另2個問題，微軟建議暫時關閉Wi-Fi熱點來回復連網功能，以及重新啟用.NET Framework和WCF來解決，<a href="https://support.microsoft.com/en-gb/topic/june-14-2022-kb5014697-os-build-22000-739-cd3aaa0b-a8da-44a0-a778-dfb6f1d9ea11" target="_blank">微軟也提供了</a>重啟的指示。</p> </div></div></div>
2022/6/21 10:57作者林妍溱https://www.ithome.com.tw/news/151532
蘋果於各作業系統上添增自動身分認證功能以繞過Captcha圖靈測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者於蘋果釋出的iOS 16與iPadOS 16測試版中發現，蘋果於Apple ID中新增了一項自動身分認證（Automatic Verification）功能，允許使用者繞過程式或網站上的Captcha圖靈測試，改善使用經驗，未來該功能也會進駐macOS Ventura（macOS 13）作業系統。</p> <p><a href="https://developer.apple.com/videos/play/wwdc2022/10077/" target="_blank">其實蘋果在本月初舉行的WWDC開發者大會上便曾介紹此一功能</a>，宣布將以私有存取令牌（Private Access Tokens，PAT）來取代Captcha。蘋果工程師Tommy Pauly解釋，當使用者要登入某個服務時，網站或程式為了避免遭到機器人大隊入侵通常會採用Captcha圖靈測試，以判斷來者是真正的使用者而非機器人，有時只要按下一個鍵就能通過Captcha測試，有時卻必須解題。</p> <p>這不僅影響使用者的瀏覽經驗，可能危害使用者的隱私，也會對視障人士造成不便，使得蘋果決定打造私有存取令牌來取代Captcha，並協助網站或程式認證使用者身分。</p> <p>開發者若要啟用PAT必須先選擇一個可靠的令牌發行商，也許是Captcha供應商、代管服務業者或是CDN網路，需要認證使用者身分時再由伺服器傳送一個HTTP認證挑戰，這是一個名為PrivateToken的新一代HTTP認證方法，並在收到使用者回傳令牌時進行認證。</p> <p>蘋果標榜PAT將可在不危害使用者個人資訊的前提下，認證造訪網站或程式的對象為合法的裝置或使用者。</p> <p>目前iOS 16與iPadOS 16測試版中自動身分認證功能的預設值是啟用的，其功能說明相對簡潔，僅說它將允許iCloud自動驗證使用者的裝置與帳號，以繞過程式及網站上的Captcha測試。</p> </div></div></div>
2022/6/21 11:05作者陳曉莉https://www.ithome.com.tw/news/151533
Solend撤銷接管巨鯨帳戶的提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>建立於Solana區塊鏈上的借貸平臺Solend，在19日時為了減輕該平臺上一個巨鯨帳戶可能帶來的風險，<a href="https://blog.solend.fi/slnd1-mitigate-risk-from-whale-1504285ab4d2" target="_blank">發動社群投票以接管了該帳戶</a>，有鑑於此舉惹來了區塊鏈社群的批評，<a href="https://blog.solend.fi/slnd2-invalidate-slnd1-and-increase-voting-time-cdb3fe5b3293" target="_blank">Solend隔天即撤銷了該提案</a>。</p> <p>借貸為去中心化金融（DeFi）生態體系的關鍵，透過區塊鏈的智慧型合約來從事金融活動，DeFi平臺上的使用者可借出或借入資金或加密貨幣，借出者則可獲得利息，而Solend即是基於Solana區塊鏈的DeFi平臺，也支援Solana區塊鏈上的SOL治理代幣，用戶可以SOL來支付交易費、質押獲得獎勵或是購買NFT。</p> <p>讓Solend繃緊神經的是一個匿名帳戶3oSE9CtGMQeAdtkm2U3ENhEpkFMfvrckJMA8QwVsuRbE，該帳戶質押了價值1.7億美元的570萬個SOL幣，占了Solend主流動池SOL幣總質押數量的95%，借走了近1.08億美元的USDC與USDT，占USDC出借總數的88%，該帳戶的SOL幣清算價格為22.3美元。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FVTnmBFVIAIoA0Z?format=jpg&name=large" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/0xrooter/status/1537108015836385280" target="_blank"><span style="color:#696969;">Solend創辦人Rooter</span></a></span></p> <p><a href="https://twitter.com/0xrooter/status/1537108015836385280" target="_blank">Solend創辦人Rooter在16日時便曾呼籲</a>巨鯨帳戶的主人還清貸款以避免遭到清算，<a href="https://twitter.com/0xrooter/status/1538173608391942144" target="_blank">18日即說明該帳戶可能帶來的風險</a>。</p> <p>倘若SOL價格跌至22.3美元，將會清算該帳戶未償還貸款的20%，大約是價值2,100萬美元的SOL幣，這個規模在場外交易中並不會造成問題，但在Solend上大多數的清算者都是藉由可程式化的機器人來使用DEX（去中心化交易平臺），鯨魚帳戶的清算便會引發這些機器人的銷售動作，促使SOL幣的價格下滑，繼之波及其它帳戶。</p> <p>因此，Rooter認為應該要採取積極的行動來減少巨鯨帳戶的部位，以避免Solend發生系統性的風險，因而提議接管該巨鯨帳戶，並交由Solend用戶進行投票，結果高達99.8%的用戶都投下了贊成票。Solend在19日僅開放6小時的投票時間，在這期間投票系統還當了3小時。</p> <p>標榜去中心化金融的DeFi平臺，竟然要靠中心化的管理與接管來去除風險，立刻引爆了批評聲浪。<a href="https://twitter.com/lex_node/status/1538619072438411264" target="_blank">一名律師說</a>，Solend的行為不僅與DeFi的理念背道而馳，它根本就是違法的。<a href="https://twitter.com/cobie/status/1538530339420790784" target="_blank">另一名使用者則說這太可笑了</a>，總計只擁有不到100萬美元的眾多Solend用戶，竟可投票接管擁有1億美元資產的用戶。</p> <p>這使得Solend隔天便宣布撤銷前一天的提案，宣布未來投票時間將延長為1天，亦正在研擬不涉及接管帳戶的新提案。</p> </div></div></div>
2022/6/21 09:49作者陳曉莉https://www.ithome.com.tw/news/151531
MedTech醫療科技雙周報第9期：美國參議院特別立法監督160億美元的醫療IT現代化工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0601～0615)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">退伍軍人事務部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cerner </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不過是政府換EHR系統，為何美國參議院還要立法監督？</strong></span></p> <p>美國參議院最近一致通過《<a href="https://www.congress.gov/bill/117th-congress/house-bill/4591">VA電子健康記錄透明度2021年法案</a>》，要求美國退伍軍人事務部（VA）定期公開新電子健康記錄（EHR）系統建置狀況，並揭露投入資源、成本、效能指標和部署進展；該法案接下來會交由總統拜登簽署，之後即生效。</p> <p>該法案由數位參議員退伍軍人事務委員會高階成員起草，要求VA更透明地揭露EHR現代化工作進展。這個EHR現代化工作在2018年正式展開，由VA委託電子病歷龍頭廠商Cerner開發，要汰換舊有的VistA系統，預計在2028年正式上線，要讓900萬名退伍軍人及其家屬受益。這套新EHR系統的目的，是要讓醫護人員可查詢患者所有就醫歷史資料，來制定個人化的治療決策，同時讓患者更輕易預約、安排就診。該系統將互通VA旗下醫學中心、醫療診所以及美國國防部和海岸警衛隊資料，同時也支援6萬多家社區照護中心。</p> <p>不過，該工作自展開以來便一路顛簸。比如，初始預算從100億美元增加到160億美元，且分期上線進度一再落後，去年，VA旗下監督長辦公室更公布一系列報告，指出VA不只少估了數十億美元的IT基礎建設預算，人員訓練還不足，且原本要先上線的預約排程系統，還不完整。今年2月和5月，還分別發生了舊系統搬遷資料品質不佳、華盛頓州新系統減速，甚至中斷服務。</p> <p>也因此，參議院決定立法監督，美國史上最大規模的EHR現代化工作進度。「這個現代化工作有著巨大影響，我們必須做對這件事！」法案起草人之一的Jerry Moran指出，該法案將確保VA提供透明公開的進展資訊，來讓委員會成員監督，確保納稅錢得到妥善運用。<a href="https://www.moran.senate.gov/public/index.cfm/2022/5/breaking-senate-passes-bill-to-increase-transparency-of-va-health-record-modernization">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲象 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病理AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>雲象聯手臺大，50億畫素AI模型訓練加速10倍</strong></span></p> <p>數位病理廠商雲象科技聯手臺大資工系教授洪士灝團隊，突破深度神經網路訓練的硬體加速器記憶體限制，將繁複的計算工作流程加速近10倍，就算用50億畫素影像訓練模型也沒問題。雲象科技執行長葉肇元指出，這個技術讓團隊可直接用未經切割且未經標註的高解析度影像來訓練AI模型，省下病理師數百小時的標註時間，讓團隊可在1年內完成研究。</p> <p>這個研究，就是AI輔助病理師判讀胃癌微小轉移病灶。雲象與林口長庚病理科主任陳澤卿、醫師黃士強聯手，用6千個50億畫素淋巴結標註影像來訓練AI模型，同時設計一個AI輔助的數位病理工作流程，來輔助病理科醫師進行胃癌淋巴結轉移診斷工作。團隊發現，在未經AI輔助的人工診斷中，病理科醫師對於小於2mm的胃癌微小轉移病灶的敏感度是82%，對小於0.2mm的單獨性腫瘤細胞病灶，診斷敏感度則是68%。</p> <p>但是，在AI輔助下，醫師對微小轉移和單獨性腫瘤細胞的診斷敏感度，都提高至 96%，而且診斷時間分別縮短了30%和26%。<a href="https://www.nature.com/articles/s41467-022-30746-1?fbclid=IwAR256YFoS5O4aeVxxk6zbh_bYnv7U2PDyfLnY2gIPs2F63Q0VQ6ByeEaZsU">該研究成果最近登上《自然通訊》期刊</a>。<a href="https://www.facebook.com/1213493608/posts/pfbid0Tnb95yCfneLwibV2p1Hj8pexzoSNKa2NrhhbyJrKrprWVrxFqbsMAfqA63T3sYa7l/?d=n">（詳全文）</a></p> <p><img alt="" src="https://media.springernature.com/lw685/springer-static/image/art%3A10.1038%2Fs41467-022-30746-1/MediaObjects/41467_2022_30746_Fig1_HTML.png?as=webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Apple Watch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 心房顫動 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span></p> <p><span style="font-size:22px;"><strong>Apple Watch心房顫動記錄新功能獲美國FDA認可 </strong></span></p> <p>6月初，Apple Watch一項心房顫動記錄（AFib History）新功能獲美國食藥局FDA智慧醫材核准，可用於22歲以上已診斷有心房顫動的使用者。<a href="https://www.apple.com/newsroom/2022/06/watchos-9-delivers-new-ways-to-stay-connected-active-and-healthy/">蘋果表示</a>，該功能可預估配戴者出現不規則、極端快速心律的頻率，每周發送一次心房顫動頻率摘要給使用者。此外，使用者還能在蘋果Health App中，查看睡眠、飲酒和各項活動等因素對心房顫動的影響，也能下載詳細的PDF檔案，來與醫療照護人員溝通。這些功能目前為預覽版，日後將隨watchOS 9正式推出。</p> <p>其他更新還包括，能根據智慧手錶的加速度器、心律感測器和內建機器學習演算法，來偵測使用者是處於快速動眼期、核心睡眠還是深度睡眠。另一個新功能則是藥物追蹤，使用者可在Apple Watch和iPhone設定服藥提醒時間，美國用戶還能收到藥物交互作用的提醒。<a href="https://www.apple.com/newsroom/2022/06/watchos-9-delivers-new-ways-to-stay-connected-active-and-healthy/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/product/os/watchos/standard/Apple-WWDC22-watchOS-9-iPhone13Pro-AFib-History-220606_inline.jpg.large_2x.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿拉伯聯合大公國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EMR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料權 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>阿拉伯聯合大公國改版EMR系統，讓民眾也能擁有就醫資料</strong></span></p> <p>杜拜衛生局（DHA）是監管阿拉伯聯合大公國醫療系統的政府單位，最近改版了現有電子病歷（EMR）系統Salama，讓民眾也能從DHA App中，看到自己的就醫資料，像是處方箋、藥物、預約訊息和臨床診療結果等。</p> <p>進一步來說，Salama目前擁有500多萬人的醫療資料，也與DHA所屬公家醫院、基層醫療診所、專科中心和幾家私立醫院等醫療機構互通資料。這次改版除了讓民眾更容易取得醫療資料，還提供DHA的遠距照護服務。<a href="http://wam.ae/en/details/1395303052549">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 榮家 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G專網 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧長照 </span></strong></span></p> <p><span style="font-size:22px;"><strong>岡山榮家率先導入5G AIoT遠距照護系統，未來要擴大到全臺分院</strong></span></p> <p>岡山榮家日前導入5G AR+AIoT智慧照護系統，要用5G專網和AIoT設備，來強化遠距照護服務。這套系統由許多團隊協力打造，如即時共享長照資料的高雄榮總，以及負責用5G O-RAN技術打造5G長照專網的中華電信，還有負責整合的中華電信子公司中華系統。他們在退輔會支持下，以岡山榮家為示範場域，先利用5G長照專網，來與高雄榮總進行遠距會診。如此一來，住民不必出門，就能得到合適的照護。</p> <p>中華電信指出，未來，團隊計畫將5G智慧長照系統，擴大到全臺16所榮家和國內其他長照機構，甚至推廣至海外市場。<a href="https://www.facebook.com/100069348363890/posts/pfbid02DnwQcX7UiBR8wRqN3uVmHkRCEE4subq8oaLxvWSLqhcQj1Y1ke1hVKpuGmt5tRNEl/?d=n">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.30808-6/285543636_324285629893047_653994996601573531_n.jpg?_nc_cat=108&ccb=1-7&_nc_sid=730e14&_nc_ohc=c_VU0Y_SAFgAX9k7fZv&tn=Ean5VNVQrOu3VTS3&_nc_ht=scontent-tpe1-1.xx&oh=00_AT_tEvxSu55FDFh6rGkwy7W3btguIx9cmL0keFPOEYxRoQ&oe=62B5EDF9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 勒索軟體 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sophos </span></strong></span></p> <p><span style="font-size:22px;"><strong>醫療資安報告：醫院勒索軟體攻擊次數2年翻倍</strong></span></p> <p>近日，一份針對醫療機構的資安報告顯示，2021年66%的醫療機構遭受至少一次勒索軟體攻擊，幾乎是2020年34%的2倍。這份資安報告名為2022年醫療勒索軟體狀態（The State of Ransomware in Healthcare 2022），由資安公司Sophos贊助完成。該調查在今年早些時候，詢問了全球31個國家供5,000名醫療IT專員，結果發現，隨著勒索軟體即服務（Ransomeware as a service）的普及，攻擊門檻降低，醫療機構也遭受越來越多的攻擊。</p> <p>不過，報告也指出，醫療機構有61%的攻擊導致資料加密，比全球的65%要低，這也意味著，醫療機構更能在勒索軟體攻擊時，停止資料加密。報告也點出，越來越多醫院開始購買資安保險契約，意味著醫院必須投入更多資源，來建立資安防護。<a href="https://assets.sophos.com/X24WTUEQ/at/4wxp262kpf84t3bxf32wrctm/sophos-state-of-ransomware-healthcare-2022-wp.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-20%20at%203_02_18%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高雄 </span></strong></span></p> <p><span style="font-size:22px;"><strong>甲骨文完成收購電子病歷龍頭廠商Cerner，要建全國統一資料庫</strong></span></p> <p>甲骨文最近完成收購電子病歷（EMR）軟體龍頭之一的Cerner，還要計畫建立美國全國統一的電子病歷資料庫。甲骨文去年底宣布以283億美元收購Cerner，繼今年1月美國證管會同意後，6月初也獲得歐盟主管機關核准。甲骨文宣布收購案於6月8日完成，取得Cerner 69.2%股權。甲骨文技術長Larry Ellison近日表示，美國病歷紀錄散在各醫院資料庫，難以互通、整合，導致受傷或生病的外地病患無法在急救時取得相關資訊。而分散的醫療資料，也讓美國公衛主管機關無法及時取得24小時內因COVID-19入院的病患人數。</p> <p>為解決這個問題，甲骨文打算建立一個整合性的全國匿名資料庫，來統整數千個分散在各醫院的雲端資料庫，解決醫護人員對電子病歷及醫療紀錄取得問題。<a href="https://www.oracle.com/news/announcement/oracle-completes-acquisition-of-cerner-2022-06-07/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急性腎損傷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NHS </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google面臨英國健保資料濫用的集體訴訟</strong></span></p> <p>5月中，Google傳出將面臨英國健保署集體訴訟，因其子公司DeepMind於2016年時，執行倫敦Royal Free國家健康服務基金信託的急性腎損傷預測App專案，在病患不知情和未同意的情況下，使用了160萬名英國健保署NHS管轄下的患者資料。</p> <p>當時，DeepMind從倫敦Royal Free國家健康服務基金信託接過資料，用來開發一款名為Streams的手機App，可預測患者發生急性腎損傷的風險，Royal Free也以折扣價使用該App。後來，隨著資料隱私意識越趨重要，英國負責資料隱私的部門ICO先判定Royal Free提供的資料不合隱私規範，最近，個人Andrew Prismall則將對Google提起集體訴訟。<a href="https://www.mishcon.com/news/new-claim-against-google-and-deepmind-technologies-for-unauthorised-use-of-confidential-medical-records">（詳全文）</a></p> <p>圖片來源／雲象科技、蘋果、岡山榮家、Sophos</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. HL7 Taiwan獲HL7國際總會授權將舉辦12周基礎課程，範圍涵蓋導論、HL7 V2.X、HL7 CDA R2與FHIR</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/20 15:24作者王若樸https://www.ithome.com.tw/news/151524
【資安日報】2022年6月20日，西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞中，漏洞修補的消息相當值得留意，其中對於西門子工控網路管理系統SINEC的修補，通報相關漏洞的資安人員指出，當中有2個漏洞最為嚴重，因為攻擊者一旦串連加以利用，就有可能取得NT AUTHORITY\SYSTEM權限，進而掌控受管理的工控設備。</p> <p>微軟對於遠端桌面連線（RDP）的漏洞修補，近期出現了修補完成後漏洞仍可被利用的情況。研究人員針對微軟在1月例行修補（Patch Tuesday）處理的漏洞CVE-2022-21893，揭露該漏洞的細節，並指出他們後來發現可繞過修補程式的管道。對此，微軟於4月的例行修補發布更新軟體因應。</p> <p>一般的殭屍網路主要由電腦或伺服器組成，但最近歐美執法單位摧毀殭屍網路基礎設施的行動中，他們摧毀了由各式各樣的連網裝置所組成的Rsocks，組成的裝置類型可說是目不暇給。比較特別的是，經營該殭屍網路的駭客提供了租賃的方式，讓客戶能輕易操縱大量連網裝置發動攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> </div></div></div>
2022/6/20 16:41作者周峻佑https://www.ithome.com.tw/news/151525
Telegram正式推出付費訂閱服務Telegram Premium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://telegram.org/blog/700-million-and-premium/" target="_blank">通訊平臺Telegram周日（6/19）正式發表付費訂閱服務Telegram Premium</a>，將提供各種獨家功能予付費訂閱用戶，每月訂閱費用為4.99美元。此外，Telegram也宣布，在完全沒有購買廣告之下，該程式光靠使用者的口碑行銷就達到了7億的每月用戶數。</p> <p>Telegram表示，Telegram Premium將用來支持該平臺的開發，而既有的服務也將維持免費。</p> <p>訂閱用戶可上傳最高4GB的檔案，可以最快的速度下載檔案，可追蹤1,000個頻道，建立20個聊天文件夾，支援第四個帳號，能夠釘選10個聊天室，儲存400個動畫檔，支援聲音轉文字功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Telegram%20Premium-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Telegram</span></span></p> <p>此外，訂閱用戶還可享有每月更新的獨家貼紙，獨家的表情符號，進階的聊天管理工具，動態的個人檔案照片，以及訂閱用戶專屬的星號標章，專屬的程式圖示，而且完全沒有廣告。</p> <p> </p> </div></div></div>
2022/6/20 13:39作者陳曉莉https://www.ithome.com.tw/news/151522
Meta即將於臉書、IG及Messenger上推出Avatars商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/zuck/posts/10114529132448901" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）18日透過臉書宣布</a>，即將於臉書、Instagram及Messenger上推出Avatars Store，以讓使用者可以替自己的虛擬替身添購新裝，預計下周開始於全球市場陸續上線。</p> <p>祖克柏表示，數位商品將是使用者於元宇由中用來表達自己的重要途徑，也是創意經濟的最大驅動力，他很期待納入更多的品質，以及將Avatars Store帶至VR世界，祖克柏還以自己與妻子的虛擬替身作了換裝的示範。</p> <p>臉書是在2019年推出虛擬替身服務，讓使用者可建立自己的虛擬替身，作為個人檔案中的大頭貼。不過，迄今臉書並未公布建立或採用虛擬替身的用戶比例。</p> <p>如同虛擬替身服務是從澳洲、紐西蘭、歐洲、北美等地依序上線，Avatars Store下周起將率先現身於美國、加拿大、泰國與墨西哥。</p> </div></div></div>
2022/6/20 12:23作者陳曉莉https://www.ithome.com.tw/news/151520
比特幣周末一度跌破1.8萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>比特幣（Bitcoin）在臺北時間19日的凌晨5點一度跌破1.8萬美元，在24小時內，從20,600美元跌至17,786美元，創下了該幣自2020年11月以來的新低。儘管隨後比特幣即開始上揚，但僅回檔至2萬美元左右震盪。</p> <p>在今年1月的高峰時，比特幣還有47,739美元的價格，若以17,786美元來計算，那麼這半年來比特幣跌幅超過62%。若再往前推算，比特幣在2021年11月創下的高峰為67,802美元，那麼跌幅更高達73%，比特幣的市值亦從去年11月的1.27兆美元，下滑至6月19日的3,620億美元。</p> <p>除了比特幣之外，身為全球第二大加密貨幣的以太幣（ETH）也未能倖免於難。它在與比特幣同一時段的24小時內，從1,093美元下挫至902.44美元，現在則已回升到1,069美元。</p> <p>以太幣的高峰也是出現在2021年的11月，當時創下了4,811美元的價格，902.44美元是2021年1月以來的新低，其市值亦從高峰時的5,600億美元，跌至6月19日的1,093億美元。</p> </div></div></div>
2022/6/20 12:54作者陳曉莉https://www.ithome.com.tw/news/151521
馬斯克希望推特用戶成長到10億，將深入參與產品開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151310" target="_blank">多次威脅要退出推特（Twitter）收購案的馬斯克（Elon Musk）</a>上周現身說法，說明他對推特的未來期望，包括成為10億用戶的社交平臺、以及他不在乎頭銜，但會更緊密參與產品開發。</p> <p><a href="https://www.youtube.com/watch?v=FLvTcRrzy20" target="_blank">馬斯克上周接受一個線上平臺的訪談中談及對推特未來願景</a>、以及他認為達成這個願景該怎麼做，同時也針對遠距工作、裁員說明他的想法。馬斯克希望推特能成為一個10億用戶的自由言論平臺。他以微信（WeChat）為例，中國大部份用戶線上所有活動基本上都在微信上，而推特也應該要成為這樣的平臺。另外，他也提及，TikTok的演算法使這個服務變得很有趣，也是可以取法的對象。</p> <p>但是現在推特距離這個目標還很遠，例如許多YouTuber只是利用推特來引導流量到YouTube上，但他們產出的內容不會停留在推特上。馬斯克認為這些內容應該要留在推特上。而為了要吸引更多用戶，馬斯克認為，推特必須從技術及設計面著手，找出其核心競爭力，建立成為包容度高、且讓用戶能自由發言、感到舒適，且用戶信任的平臺，使內容愈多愈好。而查緝假帳號、公開演算法也是為了建立用戶信任。</p> <p><a href="https://www.cnet.com/tech/twitter-earnings-cite-user-growth-as-musk-takeover-looms/" target="_blank">根據推特4月公布的數據</a>，它的經常用戶數為2.3億。</p> <p>馬斯克也針對推特裁員說明，這是維持公司永續經營不得不然。目前推特營收仍不足以應付成本，他說很高興推特已做了「合理」的調整，使營收大於成本，然而馬斯克強調不會大幅改變推特的組織。</p> <p>馬斯克前些日子要求特斯拉員工回公司上班，<a href="https://www.ithome.com.tw/news/151284" target="_blank">引起其他公司向其員工招手</a>。在上周的訪談他也說明對遠距工作的態度。他指出，製造汽車及供應鏈、交付基本上不可能遠端完成，人一定要在工廠。特斯拉也是有些角色如軟體和設計可以在遠端完成，可是人在公司的生產力較高，而且員工至少也必須三不五時見一見同事。但他說，特斯拉仍然允許部門經理列出特別優秀的員工，允許他們遠端作業。</p> <p>在被問及他未來在推特的角色，是否會以CEO角色主導策略時，馬斯克說他不在乎頭銜。作為CEO有很多其他雜務要做，他倒也不會推辭，但是因為他是推特的重度用戶，馬斯克最在乎的是深切參與業務，以及產品功能的設計發展，一如他在特斯拉，和工程和生產部門一起工作。</p> </div></div></div>
2022/6/20 11:22作者林妍溱https://www.ithome.com.tw/news/151517
TikTok將美國流量導向甲骨文以避免爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/delivering-on-our-us-data-governance" target="_blank">TikTok上周宣布</a>，未來美國地區的使用流量將全部導向甲骨文（Oracle），以避免美國用戶資料外流中國的疑慮。</p> <p>這項行動是為了平息稍早美國媒體《BuzzFeed News》一篇報導引發的爭議。<a href="https://www.buzzfeednews.com/article/emilybakerwhite/tiktok-tapes-us-user-data-china-bytedance-access" target="_blank">媒體取得</a>TikTok內部9名員工的會議語音紀錄，顯示至少從2021年9月到2022年1月，中國TikTok的工程師可以存取美國用戶流量。</p> <p>報導取得的紀錄包含TikTok工程人員和公司主管及外部顧問公司的小型會議紀錄。紀錄顯示，美國用戶流量資料要傳到哪，必須問中國員工，美國員工不知道，也無權決定如何存取這些流量。</p> <p>報導指出，TikTok為了美國用戶流量在美、中兩地之間傳送，還由美國技術服務團隊啟動Project Texas負責，並找來外國顧問公司Booz Allen Hamilton協助，負責調查資料如何流向TikTok及母公司字節跳動（ByteDance）的內部工具，包括資料視覺化、內容管制及營利。中國TikTok的工具可以把一切內容「看得一清二楚」。而2021年2月加入Project Texas專案的Booz Allen Hamilton顧問也表示，TikTok可能有存取幾乎所有用戶資料的後門。</p> <p>雖然美國TikTok技術服務負責確保美國用戶資料隱私，也表示中國官方不被允許加入這個計畫，但是這個部門則是向中國字節跳動主管報告。</p> <p>TikTok周五否認有把資料傳到中國。<a href="https://newsroom.tiktok.com/en-us/delivering-on-our-us-data-governance" target="_blank">該公司美國安全公共政策Albert Calamug表示</a>，TikTok向來將美國用戶的資料儲存在美國和新加坡的伺服器，而在維吉尼亞州的資料中心，設有實體及網路安全控管，像是柵門、防火牆及入侵偵測技術。該公司也對備份美國資料用戶的新加坡伺服器善加維護，防止用戶資料遺失等災難情形。</p> <p>2019年前任美國總統川普因為TikTok母公司字節跳動的中國公司背景，要求字節跳動將TikTok美國業務經營權賣給美國企業否則將把它下架。微軟一度有意收購，不過9月間甲骨文半路殺出，<a href="https://www.ithome.com.tw/news/139979" target="_blank">買下TikTok的美國經營權</a>。</p> <p>TikTok指出，一年多來該公司持續和甲骨文規畫防護App、系統和美國用戶資料安全的多種措施，現在他們已做出一項決定，將變更美國用戶資料的預設儲存地點，美國用戶流量將100%傳到Oracle Cloud基礎架構，同時把美國用戶的私人資料由原本維吉尼亞州資料中心刪除。而備份則持續由美國和新加坡資料中心負責。</p> <p>TikTok也將和甲骨文合作開發資料管理協定，由甲骨文稽核和管理。此外，他們的組織也會隨著變動，由最近成立的新部門及美國管理團隊來管理TikTok美國用戶資料，並提供更多防護，以便將資料流向境外的風險降至最低。TikTok承諾未來還會持續強化美國用戶的資料保護。</p> </div></div></div>
2022/6/20 12:01作者林妍溱https://www.ithome.com.tw/news/151518
比爾.蓋茲認為NFT風潮是基於博傻理論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟創辦人比爾.蓋茲（Bill Gates）上周參加由TechCrunch舉辦的TC Sessions: Climate 2022座談會時，被問及對於非同質化代幣（Non-Fungible Token，NFT）的看法，<a href="https://twitter.com/TechCrunch/status/1536827913852465152" target="_blank">結果蓋茲直接說他認為NFT風潮百分之百奠基於博傻理論（Greater Fool Theory）上</a>，相信後來的人願意出比自己還要多的錢買下它。</p> <p>TC Sessions: Climate 2022會議其實主要是在討論各種用來改善氣候變遷的技術，蓋茲則是以Breakthrough Energy創辦人的身分出席，這也是蓋茲近年來主要的活動，透過Breakthrough Energy投資各種開發新能源的新創公司，例如可儲存再生能源的大容量電池，或是來自微生物的生物燃料等。</p> <p>在談到NFT時，蓋茲開了一個玩笑，指稱昂貴的猴子數位圖像將大幅度地改善世界。蓋茲指的明顯是今年已創下逾10億美元銷售金額的無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）。</p> <p>BAYC為Yuga Labs於去年4月發表的以太坊區塊鏈專案，由1萬個無聊猿猴圖像的NFT所組成，每個無聊猿猴都有獨特的造型、表情或特色，當時每個猿猴NFT的售價只有0.08個以太幣（ETH），約190美元，但它們很快就售罄，之後轉售的價格即不斷地飆升，就算是在全球加密貨幣與NFT都風聲鶴唳的現在，<a href="https://opensea.io/collection/boredapeyachtclub" target="_blank">一個無聊猿猴目前在OpenSea上</a>最便宜的價格，也要90個以太幣。</p> <p>對於NFT的玩家而言，BAYC不僅是個收藏品，因為Yuga Labs曾明訂收藏家可自由使用、陳列與複製BAYC，還可進行商業行為，亦著手替BAYC用戶開發各種會員服務。不過，並非所有的NFT產品都具備完整的所有權，有些NFT產品甚至只是個序號，不許重製或出售複製品。</p> <p>總之，蓋茲明白表示，他所投資的都是開發技術或產品的公司，或者是農場，並未涉及任何的加密貨幣或NFT，也認為這些新興的資產可能是為了規避賦稅等各國政府的規定而誕生的。</p> </div></div></div>
2022/6/20 12:14作者陳曉莉https://www.ithome.com.tw/news/151519
Canonical釋出專替IoT與嵌入式裝置設計的Ubuntu Core 22
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu.com/blog/canonical-ubuntu-core-22-is-now-available-optimised-for-iot-and-embedded-devices" target="_blank">Canonical於15日釋出了Ubuntu Core 22</a>，它奠基在今年4月出爐的Ubuntu 22.04長期支援版（LTS）上，針對IoT與嵌入式裝置最佳化的版本，也是第四個Ubuntu Core版本。</p> <p>Canonical指出，IoT裝置製造商目前面臨的難題在於要在預算內按時部署裝置，也必須在擴充裝置的同時確保安全性及大規模的遠端管理能力，而Ubuntu Core 22即可滿足相關需求，並擁有半導體與ODM合作夥伴的支持，同時履行Canonical提供可靠開源碼的承諾。</p> <p>Ubuntu 22.04中對Ubuntu Core 22而言最重要的功能之一，為尚處於測試階段的即時核心（Real-time kernel），它採用搶占式多任務處理，可根據任務的優先順序執行，由作業系統完全決定進程調度方案。這是Canonical替電信網路要轉型至5G的需求而設計，它替關鍵基礎設施帶來了效能、保證超低延遲與安全性，且同樣也適用對延遲敏感的工業自動化及機器人設備。</p> <p>Ubuntu Core提供一個完全容器化的Ubuntu，把Ubuntu映像檔拆分成不同的封包，諸如核心、作業系統與應用程式等，每個封包都有獨立的沙箱，並含有應用程式所需的元件，使得它更可靠亦可攜。</p> <p>此外，每個執行Ubuntu Core的裝置都有專用的IoT App Store，以用來控制裝置上所運作的各種程式，該程式商店提供企業等級的軟體解決方案，包含多項新的就地部署功能，亦能透過網路更新核心、作業系統與應用程式，就算更新除錯了，亦可自動回滾至先前的版本。</p> </div></div></div>
2022/6/20 10:29作者陳曉莉https://www.ithome.com.tw/news/151515
歐洲第一座Exascale超級電腦2023年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Exascale等級的超級電腦已成為各國追求的目標。<a href="https://digital-strategy.ec.europa.eu/en/news/eu-enters-exascale-era-announcement-new-supercomputing-hosting-sites" target="_blank">歐洲高效能運算聯合任務中心（European High Performance Computing Joint Undertaking，EuroHPC JU）宣布第一座Exascale等級超級電腦明年將在德國上線運行</a>。</p> <p>EuroHPC JU已選定德國利希研究中心（Forschungszentrum Jülich）代管及運行其第一臺超級電腦名為JUPITER，後者將以至少1 exaflops運行，預計2023年上線，並提供學界進行健康、生物、氣象、能源、安全及材料等研究。</p> <p><a href="https://www.fz-juelich.de/en/news/archive/press-release/2022/first-european-exascale-supercomputer-coming-to-julich" target="_blank">JUPITER總造價5億歐元</a>，由EuroHPC JU及德國教育研究部和地方政府各出資一半。完成後將由利希高效能中心負責營運，後者已經擁有兩座超級電腦包括JUWELS（下圖）及JURECA，前者位居全球500大電腦的第11。</p> <p class="rtecenter"><img alt="" src="https://www.fz-juelich.de/de/aktuelles/news/pressemitteilungen/2022/exascale-standort-entscheidung/2022_06_10_jsc_018-1500-c1.jpg/@@images/image" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Copyright: Forschungszentrum Jülich / Sascha Kreklau</span></span></p> <p>如同JUWELS，JUPITER也將採用模組化架構，可整合運行不同模組。利希研究中心表示，這使得複雜的運算模擬可分散到不同模組，確保多種硬體可被最佳化利用，也能用於整合未來技術，像是量子運算或仿神經網路（neumorphic）模組。</p> <p>但在基本設定中，JUPITER包括GPU為基礎的運算加速器，可用於提升大量平行運算應用，以計算氣候模型、開發新材料、模擬細胞及能源系統、推行基礎研究或訓練次世代高運算量的機器學習演算法。</p> <p>作為超級電腦，JUPITER一大挑戰是大量耗電，平均電耗達15百萬瓦。但研究單位是以「綠色超級電腦」為精神打造JUPITER，計畫引用可再生能源，並使用熱水冷卻系統，除能減少散熱，還能回收產出的熱氣。和JUWELS一樣，JUPITER也將連接研究中心的低溫管線網路，提供園區暖氣需求。</p> <p>EuroHPC另外也宣布4座中階包括petascale及pre-exascale高運算效能系統的合作計畫，分別位於希臘、匈牙利、愛沙尼亞及波蘭，將用於精準醫療、新藥開發、新材料、氣候變遷及生物工程等研究。</p> <p>EuroHPC現有超級電腦LUMI屬於前Exascale（pre-exascale）超級電腦（下圖），目前是全球排名第3的超級電腦。<a href="https://www.ithome.com.tw/news/151216" target="_blank">第一名是位於橡樹嶺國家實驗室的Frontier</a>，剛擠下日本理化學研究所的Fugaku。Frontier也是第一座實質標竿測試超越1 ExaFLOPS的超級電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-LUMI%20supercomputer-image%20by%20Pekka%20Agarth-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">image: Pekka Agarth</span></span></p> </div></div></div>
2022/6/20 11:00作者林妍溱https://www.ithome.com.tw/news/151516
多國聯手破獲由數百萬個裝置組成的俄羅斯殭屍網路Rsocks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation" target="_blank">美國司法部在16日宣布</a>，已與德國、荷蘭及英國的執法機構合作，共同摧毀了由俄羅斯駭客入侵全球數百萬個裝置所建立的Rsocks殭屍網路的基礎設施。</p> <p>根據調查，Rsocks殭屍網路主要是由物聯網裝置所組成，但成員非常地多元，涵蓋工業控制系統、打卡鐘、路由器、影音串流裝置、智慧型車庫開啟裝置，之後再擴張至Android手機與電腦，總之就是那些可透過網路通訊，並具備IP位址的設備。</p> <p>Rsocks提供了殭屍網路的租賃服務，允許客戶存取其網路的裝置IP並引導這些裝置的流量，只要透過瀏覽器就能存取Rsocks平臺，每天30美元就能存取2,000個裝置，200美元可存取9萬個裝置，購買後即可下載裝置IP位址名單，並引導這些裝置的流量至目標對象，有大量的Rsocks平臺客戶利用該服務展開密碼填充攻擊，取得受害者的社交網路帳號，或是寄送網釣郵件。</p> <p>分析顯示，Rsocks殭屍網路主要是將受害裝置轉成代理伺服器，以隱藏客戶的惡意行為。</p> <p>其實美國聯邦調查局（FBI）早在2017年就鎖定Rsocks，當時FBI調查員曾偽裝成買家以向Rsocks租賃服務，目的是為了辨識受害裝置與了解Rsocks的基礎設施，發現Rsocks主要的入侵手法為暴力破解攻擊，取得受害裝置的密碼之後便持續與受害裝置維持連結，這些受害裝置分布在大學、醫院、電視臺、電子產品製造商及個人家中等。</p> </div></div></div>
2022/6/20 10:10作者陳曉莉https://www.ithome.com.tw/news/151514
【兼具高擴展性、高效能與高可靠性的分散式儲存平臺】WekaIO WekaFS建立新生代高效能檔案系統的標竿
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wekafszhu_tu_1_tu_pian_lai_yuan_wekaio-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WekaIO，立捷速能</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去3、4年來，WekaIO堪稱最受矚目的新創儲存廠商之一，憑藉在IO500等高效能運算（HPC）排行榜的突出表現，該公司的WekaFS檔案系統，與Intel DAOS、Lustre等老牌分散式檔案系統分庭抗禮，成為重要的HPC儲存平臺之一。</p> <p><span style="font-size:28px;"><strong>高效能儲存系統的後起之秀</strong></span></p> <p>WekaIO成立於2014年，公司總部設於美國加州，研發總部在以色列特拉維夫，3位創辦成員來自另一家以色列新創儲存廠商XIV（2008年為IBM併購）。</p> <p>在2017年7月WekaIO結束隱形營運模式，正式發表了命名為Matrix的高效能平行分散式檔案系統，簡稱MatrixFS，也就是今日WekaFS檔案系統的前身。</p> <p>推出產品之後，從2017年下半年起，WekaIO隨即與聖地牙哥超級電腦中心、HPE、Intel等單位合作，展開了MatrixFS檔案系統的測試，展現這套檔案系統作為高效能儲存平臺的潛力。</p> <p>接著從2018年起，WekaIO在IO500高效能運算系統儲存效能榜單，締造了一連串佳績，在儲存市場聲名大噪。首先是在SC18大會公布的IO500榜單中，於10節點測試項目取得第2名成績，1年後在SC19大會中，WekaFS搭配AWS平臺組成的345節點系統，更一舉在IO500總榜單奪得第1。</p> <p>雖然WekaIO藉由在IO500排行中掄元，達到打響名號的目的之後，便未再進一步升級WekaFS on AWS測試平臺的規格，以致在IO500榜單中的排名逐漸下滑，為新的競爭對手超越。不過，即使過了3年以後，在SC21與ISC22大會發布的最新2份IO500榜單中，WekaFS on AWS當年締造的成績，依然能名列第9與第12，這些都已足以證明這家後起之秀，具備了與眾多老牌儲存平臺抗衡的實力，影響力也不斷擴大。</p> <p>以ISC22大會的最新IO500榜單為例，入榜的83套系統中，採用WekaIO WekaFS的系統便占了6套，在高效能運算領域已占有一席之地。</p> <p>在商業應用領域，WekaIO的影響力逐漸擴大，除了自身品牌的產品，還有許多大廠也將WekaFS引進他們的產品線。</p> <p><span style="font-size:28px;"><strong>WekaFS的基本架構</strong></span></p> <p>WekaFS是誕生於NVMe時代的分散式的平行檔案系統，是基於NVMe SSD來建構儲存層，可橫跨多臺實體或虛擬伺服器，將伺服器所內含的NVMe SSD，以叢集的方式建構成為統一的儲存池，以因應隨機、循序、大資料與小資料等不同存取型態的需求，並透過S3、SMB、NFS等標準的物件與檔案儲存協定，來為前端主機提供存取服務，還具備數千節點等級的大規模橫向擴展（Scale-Out）能力，以及橫跨本地端與雲端的分層儲存架構。</p> <p>基於NVMe SSD的儲存層設計，固然是WekaFS高效能表現不可或缺的關鍵，但僅依靠硬體支撐，還不足以讓WekaFS在高效能運算領域脫穎而出，WekaIO之所以力壓許多老牌分散儲存系統，更重要的還是專屬軟體架構的貢獻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>WekaFS檔案系統的基本架構</strong></span></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統兩大部分組成，一是由儲存端的儲存主機（儲存節點），另一是用戶端的應用伺服器。在儲存端，可橫跨多臺儲存主機組成儲存叢集，將儲存主機內含的NVMe SSD構成單一的全域命名空間，還可搭配本地端或公有雲的S3物件儲存設備，組成分層儲存架構。以儲存叢集的建置組態而言，WekaFS的最基本的儲存叢集規模是以6臺儲存主機組成，最大則可擴展到上千臺以至數千臺儲存主機。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>而在用戶端方面，應用伺服器則可透過標準的NFS、SMB等檔案傳輸協定或S3物件儲存協定，來存取WekaFS的檔案系統空間，也能透過Nvidia的GPUDirect傳輸協定，與基於Nvidia GPU的運算平臺直連。</strong></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>容器化的核心架構</strong></span></span></p> <p>WekaFS是由兩大部分組成：位於後端、負責提供儲存服務的Weka儲存主機（Storage Host）（早先稱為儲存節點），以及位於前端的Weka用戶端（Weka Client）（也稱為應用伺服器Application Server），特別之處在於，WeksFS採用少見的容器化部署架構，並含有自身的獨立作業系統。</p> <p>所有支撐WekaFS架構的核心元件，都是在Linux容器（Linux Container，LXC）的用戶空間，透過自身的即時作業系統（RTOS）來運行。這些在RTOS中執行的元件包括：</p> <p>負責管理多協定存取服務的檔案服務元件（File Service），負責管理資料分布、資料保護與metadata的檔案系統叢集元件（File System Cluster），用於將SSD轉換為網路儲存裝置的SSD Access Agent，提供命令列指令管理、狀態監控的管理節點（Management Node），以及用於存取物件儲存區的物件連接器（Object Connector）。</p> <p>透過整合於Linux容器內的RTOS運作架構，WekaFS可獲得下列兩大效益：</p> <p>第一，藉此實現系統部署的容器化與微服務化，提高應用靈活性與效能。在實體主機中，用戶可部署多個分別用於NFS、SMB、S3等儲存服務的容器，並透過橫跨多個容器的存取架構，讓WekaFS獲得更高的平行處理能力，以及更多的處理器與記憶體資源。</p> <p>第二，藉此實現系統的獨立性與高效能。部署在容器內的WeksFS可與主機上的其他程式與服務隔離，並透過RTOS自行管理與調度硬體資源（儲理器核心、記憶體、網路卡與SSD）、管理記憶體、I/O與網路堆疊，擺脫對於Linux Kernel的依賴。</p> <p>WekaIO宣稱這樣的架構，可以將處理器切換處理不同執行程式的上下文交換（context switch）降到最低，縮短I/O路徑，減少延遲。而且，這種架構也便於跨平臺部署與系統更新，既可移植部署到不同的實體或VM環境，也能獨立於底層的Linux外，更新WekaFS的前端與後端元件。</p> <p>為了改善傳輸效能，WekaFS的網路傳輸介面、應用程式存取介面，以及metadata架構，都有專屬的設計。</p> <p>在網路傳輸方面，WekaFS不用標準的Linux Kernel TCP/IP，而是以DPDK（Data Plane Development Kit）連結網路卡與LXC容器，並透過Weka protocol over UDP來連結用戶端與儲存端，藉此可避開Linux Kernel帶來的效能瓶頸，提高傳輸效能，減少延遲。</p> <p>WekaFS還以專屬的虛擬檔案系統（Virtual File System）核心驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面，既能提供完整的存取功能，又具備更高的效能。</p> <p>在metadata架構方面，WekaFS採用分散式架構，將metadata分散到整個叢集當中，不像許多其他平行檔案系統因採用獨立metadata服務，因而導致了效能瓶頸。</p> <p>同時，WekaFS具有稱作「自適應快取（Adaptive Caching）」的獨特快取加速功能，提供資料快取與metadata快取來減少存取延遲，特別有助於含有大量小型檔案與metadata的應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%962%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的容器化核心架構</strong></span></p> <p><span style="color:#696969;"><strong>有別於一般的檔案系統，WekaFS檔案系統既非裸機部署，也非透過VM部署，而是將核心元件部署在Linux容器（LXC）的用戶空間內，並透過自身的RTOS作業系統來調度硬體資源，擺脫對於Linux Kernel的依賴，有助於提高部署彈性，並提高效能、減少延遲。</strong></span></p> <p><span style="color:#696969;"><strong>為了獲得最佳化的效能，WekaFS的網路堆疊架構也不同於一般檔案系統，核心元件與底層硬體或上層應用程式的連結，都採用專屬的架構，而非一般常見的通用介面，例如WekaFS是透過專屬的SSD Agent與DPDK網路介面，分別用於連結NVMe SSD與網路卡，繞過了Linux Kernel。用戶端與儲存端的連結，也是採用專屬的Weka over UDP協定。</strong></span></p> <p><span style="color:#696969;"><strong>而在用戶端方面，這裡採用專屬的虛擬檔案系統（VFS）驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面。</strong></span>圖片來源／WekaIO，立捷速能</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>單一命名空間下的多檔案系統架構</strong></span></span></p> <p>許多Scale-Out NAS的檔案系統，都只支援單一檔案系統搭配單一命名空間，然後再透過目錄與配額來分派資源，對於不同的獨立用戶群組，必須建立新的獨立檔案系統與命名空間，以致形成不易管理的多個儲存孤島，而且，為了維持效能，還須避免目錄容量過大，導致必須建立更多的目錄，也增加管理的複雜性。</p> <p>相較之下，WekaFS則可在全域命名空間（global namespace），建立多個檔案系統（最多1,024個），每個檔案系統有獨立的用戶群組、存取權限、儲存分層設定與快照策略，還能即時變更容量，可靈活地調整儲存資源配置。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>彈性的部署型態</strong></span></span></p> <p>將WekaFS軟體安裝到基於Intel Xeon Scalable，或是AMD EPYC處理器的標準伺服器上，就能構成用於提供儲存服務的Weka儲存主機，WekaIO建議的最低安裝規格如附表所示，對於儲存裝置與網路介面規格的要求較高。</p> <p>在儲存裝置方面，每臺儲存節點須配備至少4臺NVMe SSD；網路卡方面雖然10GbE就能滿足最低要求，但WekaIO建議採用100GbE以上規格，才能獲得預期效能，WekaFS目前最高可支援200GbE與200Gb的InfiniBand HDR網路。</p> <p>一個WekaFS叢集環境最少需由6臺Weka儲存主機組成，以提供容忍其中2臺主機失效的可用性。最大叢集規模可達上千臺儲存主機，某些OEM廠商的資料甚至聲稱可達8,000臺儲存主機以上。</p> <p>在建置系統時，用戶可以選擇下列3種型式來部署WekaFS</p> <p>● 超融合式部署：將WekaFS安裝到運算節點上，與前端應用程式共享硬體資源，以便節省額外的儲存節點開銷。</p> <p>● 專用儲存伺服器部署：將WekaFS安裝在獨立的儲存伺服器上，不影響既有的運算節點架構，所有硬體資源都為WekaFS使用，也不受應用程式端的故障影響，具備較佳的效能、可靠性與擴展彈性。</p> <p>● 公有雲部署：將WekaFS安裝在公有雲的執行個體或虛擬機器上，如AWS的EC2執行個體，可獲得更彈性的資源配置，以及不受限的擴展能力。</p> <p>值得一提的是，當初WekaIO用於挑戰IO500的WekaFS on AWS測試站，便是標準的WekaFS公有雲部署模式。依據WekaIO的說法，任何用戶都可以仿效他們的做法，基於AWS的EC2執行個體，建構出同樣的高效能儲存平臺。</p> <p><span style="font-size:28px;"><strong>獨特的分層儲存架構</strong></span></p> <p>除了Weka儲存主機內含的NVMe SSD儲存空間，WekaFS也能搭配位於本地端或雲端、基於S3儲存協定的物件儲存設備，構成NVMe SSD加上物件儲存區的雙層儲存架構。</p> <p>而其中物件儲存設備的底層儲存裝置，可以是硬碟，或是硬碟搭配SSD的混合架構。</p> <p>我們只須將S3 Bucket儲存區配置給WekaFS，就可以將命名空間從NVMe SSD層延伸到物件儲存層，如單一命名空間般運作。</p> <p>同時，管理者還可以設定分層儲存政策，讓WekaFS將存取狀態較不活躍的檔案，從NVMe SSD層自動遷移到物件儲存層，藉此實現空間配置的最佳化。</p> <p>比較特別的是，WekaFS的分層儲存架構，是以盡可能讓每個檔案都能獲得高存取效能為優先，即使某個檔案被遷移到物件儲存層，原始檔案也會一直保留在NVMe SSD層上，充當快取使用，用戶仍可快速存取這個檔案，直到為寫入的新檔案覆蓋為止。</p> <p>更進一步來看，即使檔案被降級遷移到物件儲存層，該檔案的metadata始終還是保存在NVMe SSD層，所以，對於前端應用程式來說，所有檔案都是可以立即寫入的，無論檔案本體位於哪個分層上。</p> <p>此外，WekaFS也會透過監控NVMe SSD層的可用容量，當容量消耗到達高水位時，自動將資料遷到物件儲存層，確保NVMe SSD層始終有足夠容量。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料保護架構</strong></span></span></p> <p>如同多數分散式檔案系統，WekaFS也是採用stripe平行分散存取搭配parity的架構，來獲得高效能與資料保護能力。</p> <p>基本上，WekaFS的資料保護是以「故障域（Failure Domain）」為運作單位，1個故障域通常是1臺儲存主機，也可以是1座機架或公有雲服務區域，WekaFS會將寫入的資料分割為4k區塊組成的stripe，並產生parity，然後分散寫入儲存叢集的各個故障域儲存主機上。</p> <p>關於stripe的深度，我們可設為4到16之間的數值，一般而言，規模越大的儲存叢集，可以使用更大的stripe設定值，從而得到更高的效能。</p> <p>至於parity，則可設置為+2或+4，一般環境使用+2即可，若為數百臺規模的大型叢集，則可選用+4的設定，這可提供較常見的3副本架構更高的保護能力。</p> <p>在6臺儲存主機的最小叢集組態下，WekaFS支援4+2的stripe與parity設定，能承受2臺儲存主機或2個故障域失效。</p> <p>1個故障域內無論多少元件故障，WekaFS都視為單一故障域的失效，透過WekaFS的專屬演算法，屬於同一stripe的區塊，不會寫入同一個故障域，而會分散到不同故障域中，因而損失一個故障域的儲存主機時，只會損失stripe的單一區塊。WekaFS可利用parity重建損失的資料區塊，然後分散寫入其餘完好的故障域。同樣的，WekaFS用於因應元件失效的備用容量（spare space），也是均勻分散在所有故障域，所以當叢集出現失效元件時，是由叢集剩餘所有完好故障域一同提供備用容量。</p> <p>這也意味著，WekaFS的資料重建作業，是由所有完好的故障域主機一同參與，不會形成熱點，而且，叢集規模越大，參與重建的儲存主機越多，重建速度也將會越快。</p> <p>這種分散式的虛擬化備用容量架構，與當前許多新一代分散式RAID技術十分相似。然而，WekaFS是檔案系統，並不像RAID是在更底層的區塊層級上運作，因而WekaFS能識別儲存區中檔案實際占用部分，在執行資料重建時，能夠只重建受裝置故障影響的部份檔案，從而節省可觀的時間。</p> <p>相形之下，多數的RAID在執行重建時，由於區塊層級無法識別上層檔案的實際占用狀況，以致必須重建那些受影響設備或裝置上的所有區塊，包括空白區塊，因此，分散式RAID的資料重建速度，理論上要遜於WekaFS。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料服務功能</strong></span></span></p> <p>基於在WekaFS叢集本身的保護機制之餘，用戶也能透過WekaFS內含的快照功能（snapshot），來為個別的檔案系統製作副本，作為資料保護用途。</p> <p>WekaFS的快照是以檔案系統為單位運作，每個檔案系統允許建立最多4,096份快照副本，並可選擇建立唯讀或可讀寫兩種類型的快照（其中唯讀快照可轉換為可讀寫快照）。除了一般的指針式快照外，亦能建立檔案系統完整的Clone副本，但較消耗空間。</p> <p>另外，用戶還能利用WekaFS新提供的Snap-to-Object功能，將指定快照副本的完整資料（含metadata），複製到本地端或雲端的外部物件儲存設備上，作為遠端的備份副本使用，一旦來源端WekaFS叢集發生問題時，我們可以利用副本進行還原，或是將副本掛載到另一個WekaFS叢集上。</p> <p>Snap-to-Object這項功能可視為基於快照的非同步遠端複製，當第一次Snap-to-Object作業完成後，後續快照都是以增量方式傳輸與儲存，可大幅縮短作業時間。另外WekaFS還能以遠端備份功能，將快照傳送到第2座物件儲存設備上，構成3站點保護架構。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>系統管理與安全管理</strong></span></span></p> <p>WekaFS提供了網頁式GUI控制臺、命令列（Command Line Interface）、REST API等3種管理方式，後2者都是以指令方式運作，而GUI控制臺則能以儀表板方式顯示系統狀態，並透過點選方式，執行建立、擴展檔案系統，設定分層儲存政策，以及資料保護、加密、存取路徑與各式資料服務操作。</p> <p>在安全性方面，WekaFS支援3種存取權限管制機制，包括：LDAP、微軟的Active Directory，以及RBAC （Role-Based Access Control）。</p> <p>而在用戶的權限配置上，WekaFS則分為下列5種等級：叢集管理者（擁有管理WekaFS叢集全部權限）、組織管理者（多租戶環境下，可管理所屬租戶範圍的全部權限）、正常使用者（可掛載與存取檔案系統，但不能操作管理控制臺與CLI指令）、唯讀用戶（只能掛載與讀取檔案系統，不能寫入資料），以及S3使用者（只能執行S3物件儲存指令）。</p> <p>WekaFS也提供完整的全面加密功能，如遵循FIPS 140-3等級1標準的密鑰，以及XTS AES 512位元加密，用戶建立檔案系統的時候，可選擇是否啟用加密保護。WekaIO宣稱，啟用加密功能之後，對於WekaFS整體效能的影響很低，幾乎可以忽略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%963%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的控制臺介面</strong></span></p> <p><span style="color:#696969;"><strong>在系統管理介面上，WekaFS提供網頁控制臺與命令列等兩種選擇，上圖為用於參與IO500測試的WekaFS on AWS叢集的圖形介面（GUI），提供直觀的系統狀態儀表板，並能透滑鼠點選來執行組態設定與資料服務功能。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>與容器應用與AI平臺的整合</strong></span></span></p> <p>針對日漸普及的Kubernetes容器應用環境，WekaFS也特別提供專門的CSI（Container Storage Interface）Plug-in程式，作為Kubernetes的持續性儲存區（Persistent Volumes，PVs）連接WekaFS的介面，利用CSI介面還能使用容量配額功能，以此管理容器端應用程式的空間耗用。</p> <p>而針對高效能分散式平臺的一大主要應用情境——AI與機器學習應用，WekaIO也提出了標準的參考架構，幫助用戶的整合。</p> <p>透視WekaIO的AI參考架構，主要是安裝在8臺HPE ProLiant DL325伺服器而成的8節點WekaFS儲存叢集，搭配1至4臺Nvidia的DGX A100運算伺服器，WekaFS儲存叢集以200GbE網路連到2臺Nvidia Spectrum SN3700交換器，再以100GbE網路連接DGX A100，至於多臺DGX A100之間，則利用200Gb InfiniBand HDR網路互連。</p> <p>關於上述AI參考架構的組態，WekaIO已測試與驗證，在實際應用環境中，還可進一步擴充WekaFS儲存叢集的規模，獲得額外效能與容量。</p> <p><span style="color:#000000;"><span style="font-size:28px;"><strong>新世代檔案系統的標竿</strong></span></span></p> <p>與既有的分散式平行檔案系統相比，WekaFS同樣具備高擴展性與高效能，還擁有一系列嶄新的特性，包括基於NVMe SSD最佳化的底層儲存架構設計，容器化與微服務化的部署型態，涵蓋物件儲存的多協定支援與分層儲存，還有基於分散架構的高速資料重建能力等，可說實現了當前對於新一代分散式檔案系統的期望，兼具高效能、高擴展性、靈活的部署型式、彈性的應用環境支援，以及高可靠性與安全性。</p> <p>基於上述理由，WekaFS也獲得眾多一線大廠的青睞，以將WekaFS引入自身產品線，作為提供AI、巨量資料分析應用的儲存平臺，也讓WekaIO的影響力跨出自身品牌之外。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><span style="font-size:48px;"><span style="color:#3399ff;">其他廠商的WekaFS儲存產品</span></span></p> <p> </p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 36px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-WekaFS%E4%B8%BB%E5%9C%964%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO(2).png" style="width: 600px;" /></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hitachi Vantara HCSF </span> </strong></span><strong style="color: rgb(105, 105, 105);">HCSF是由WekaIO的WekaFS檔案系統，結合Hitachi Vantara伺服器而成的分散式儲存系統。</strong><span style="color: rgb(105, 105, 105);">圖片來源／Hitachi Vantara</span></p> <p><strong>憑藉著經過多次實證的高效能表現，WekaIO的WekaFS獲得眾多一線大廠的青睞，成為高效能運算領域最炙手可熱的新興檔案系統。目前已知有Cisco、Dell、Lenovo、HPE、Hitachi Vantara等大廠，都陸續將WekaFS引進自身產品線，將自身的硬體與WekaFS整合，作為支援AI、機器學習等應用的高效能儲存平臺。</strong></p> <p><strong>臺灣企業或組織若有意評估這項解決方案，可洽詢WekaIO代理商立捷速能取得原版WekaFS，也能從Hitachi Vantara取得OEM版的WekaFS產品，稱為Hitachi Content Software for File（HCSF）。</strong></p> <p><strong>HCSF系統的核心同樣也是WekaFS，與WekaIO原廠產品相比，特色是儲存節點的預先整合，以及提供了預設的物件儲存設備搭配方案。</strong></p> <p><strong>透過WekaFS與伺服器預先整合，Hitachi Vantara組成完整的儲存節點套件，可簡化用戶的建置與部署作業。不久之前，Hitachi Vantara更新與擴展HCSF的硬體規格，該公司最初提供的HCSF硬體，主要搭配Advanced Server系列當中的DS120伺服器，採用1U尺寸的機箱，預設搭載Intel Xeon Silver 4214或Xeon Gold 6226R處理器，以及192GB記憶體。</strong></p> <p><strong>現在HCSF則有4U／8槽、1U／10槽、2U／20槽等3種硬體款式，前2者搭載的處理器都是AMD EPYC 7413，後者則為AMD EPYC 7713，記憶體容量分別為每節點128 GB、256 GB、512 GB，儲存裝置組態更為多樣，效能也隨之提升。</strong></p> <p><strong>同時，Hitachi Vantara另一款物件儲存產品Hitachi Object Platform（HCP），也提供與HCSF整合的選項，用戶可省下為HCSF找尋其他的物件儲存設備的麻煩。HCP可提供高擴展性，由SSD與硬碟組成的低成本物件儲存空間，只須將其物件儲存空間，以S3協定掛載給HCSF，便能作為後者WekaFS擴展的物件儲存空間，組成分層儲存架構。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/wekaio">WekaIO</a></div><div class="field-item odd"><a href="/tags/wekafs">WekaFS</a></div><div class="field-item even"><a href="/tags/%E9%AB%98%E6%95%88%E8%83%BD%E9%81%8B%E7%AE%97">高效能運算</a></div><div class="field-item odd"><a href="/tags/hpc">HPC</a></div><div class="field-item even"><a href="/tags/nvme-ssd">NVMe SSD</a></div><div class="field-item odd"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E6%9C%8D%E5%8B%99">微服務</a></div><div class="field-item odd"><a href="/tags/%E5%88%86%E6%95%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">分散式儲存系統</a></div></div></div>
2022/6/20 07:00作者張明德https://www.ithome.com.tw/tech/151471