iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

MicroStrategy持續收購比特幣作為儲備資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/1050446/000119312522184423/d374401d8k.htm" target="_blank">商業智慧軟體開發商MicroStrategy本周指出</a>，從今年的5月3日到6月28日之間，已以大約1,000萬美元的現金，陸續購入了480個比特幣（Bitcoin），平均每個比特幣的價格為20,817美元，也讓該公司的比特幣儲備資產增加到129,699個。</p> <p>MicroStrategy是在2020年的8月開始以比特幣取代現金，作為該公司主要的儲備資產，當時MicroStrategy已握有21,454個比特幣，投資金額為2.5億美元，到了2021年2月時，MicroStrategy已擁有90,531個比特幣，總成本為21.71億美元，當時平均每個比特幣的價格為23,985美元。</p> <p>這期間MicroStrategy依然陸續伺機購入比特幣，也在今年5月3日至6月28日之間，趁著全球加密貨幣價格不斷下滑之際，再以1,000萬美元買下了480個比特幣。</p> <p>現在的MicroStrategy已收購了129,699個比特幣，成本為39.8億美元，平均每個比特幣的收購價則是30,664美元。</p> <p>全球經濟不振與通貨膨脹不僅影響了全球股市，也波及加密貨幣市場，比特幣在2021年的11月曾創下67,802美元的價格，但本周只剩2萬美元左右，儘管外界曾批評MicroStrategy以比特幣作為公司主要儲備資產的政策，但該公司執行長Michael Saylor曾對外表示，他並不後悔此一決策，亦樂觀看待比特幣的未來。</p> </div></div></div>
2022/6/30 12:29作者陳曉莉https://www.ithome.com.tw/news/151681
iFixit開始提供Google Pixel手機維修套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150354" target="_blank">Google今年4月宣布</a>將加入DIY維修陣營，透過DIY維修教學網站iFixit提供Google Pixel的官方零件與工具供使用者自行維修，本周位於<a href="https://www.ifixit.com/Store/Parts/Google-Phone" target="_blank">iFixit上的Google手機零件商店</a>正式開張。</p> <p>雖然Google表示該DIY維修計畫僅支援Pixel 2至Pixel 6手機，但iFixit網站上所陳列的Pixel型號與相關工具卻溯及第一代的Pixel手機，但同樣未供應今年5月出爐的Pixel 6a零件。</p> <p>以Pixel 6為例，iFixit站上提供了螢幕維修套件，若不含工具的售價為119.99美元，包括工具的售價為126.99美元；電池售價為42.99美元，包含工具的套件為49.99美元；使用者也可自行維修相機，零件售價為199.99美元，納入工具的售價為126.99美元。</p> <p>除了工具之外，使用者亦可自iFixit取得Pixel手機的拆解與維修指南。</p> </div></div></div>
2022/6/30 13:04作者陳曉莉https://www.ithome.com.tw/news/151682
ZuoRAT攻擊SOHO路由器以感染Mac、Windows設備，華碩等產品中標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/" target="_blank">研究人員發現</a>一隻名為ZuoRAT的木馬程式攻擊多款北美及歐洲等地小型企業及家用路由器，以便感染其他連網設備，包括思科、華碩在內等近80款產品曾遭到鎖定。</p> <p>Lumen Technologies的Black Lotus Labs研究人員近日發現一波鎖定中小企業及家用（SOHO）路由器的攻擊，允許攻擊者劫持這些設備後以之為跳板，經由用戶本地網路（LAN）感染其他同網路上的Windows、MacOS及Linux連網設備。研究人員目前發現有思科（Cisco）、華碩、Netgear及居易科技（DrayTek）等品牌的家用路由器產品成為目標。</p> <p>研究人員分析，這波攻擊是一種多階段攻擊，先由ZuoRAT打頭陣。Zuo取自中文的「左」，因它包含一個asdf.a的檔案，是利用鍵盤左手的4個字母組成。ZuoRAT是一個專為SOHO路由器撰寫的MIPS檔案，可能是經由路由器產品漏洞植入。ZuoRAT具有列舉主機及內部LAN、蒐集感染裝置封包，以及進行中間人攻擊（person-in-the-middle）的能力。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig1_ProcessOverview-1.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Black Lotus Labs</span></span></p> <p>一旦進入路由器設備後，攻擊就進入第二階段。在列舉連網裝置及LAN網路，尋找到目標後， ZuoRAT利用兩種方法進行中間人攻擊以存取這些設備，包括以DNS劫持及HTTP劫持。DNS劫持是置換路由器到外部服務網域如Google或Facebook的IP位址，後者則是在裝置對外連線時注入HTTP連線，製造302錯誤訊息。兩者的目的皆是將用戶連線導向惡意IP位址。研究人員指出，這2種劫持法相當難以偵測。</p> <p>在攻擊第3階段ZuoRAT結合一個C++下載器程式，植入後續其他程式，包括CBeacon、GoBeacon及Cobalt Strike。其中CBeacon是針對Windows工作站等環境的C++木馬程式，GoBeacon則是可橫跨Linux及macOS平臺。Cobalt Strike則作為輔助之用，三者都是全功能型木馬程式。可和其他被當成C&C伺服器的裝置建立連線，上傳下載檔案，執行程式碼及在裝置內滲透潛伏。</p> <p>研究人員分析第一階段ZuoRAT活動，顯示感染源自華碩、思科、居易科技及Netgear的設備。不過在研究期間出現開採活動者僅剩一臺中國品牌Techdata的JCG-Q20路由器。研究人員解釋，這是因為攻擊者使用高明的潛伏手法。路由器重開機就能移除ZuoRAT及任何活動痕跡，此外攻擊者也能遠端刪除裝置內的ELF檔，再下載新版C&C程式。</p> <p>而被駭入的路由器產品也可以當成C&C代理伺服器，和其他被感染的路由器相互通訊，例如Black Lotus Labs研究人員觀察到，至少在去年最後3個月期間，北美的多臺路由器連到1臺位於臺灣的Vigor DrayTek路由器，但後來又轉到位於加拿大的路由器。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig3_ZuoRAT_ProxyC2_Diagram-1.png" style="width: 505px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Black Lotus Labs</span></p> <p>研究人員分析，從攻擊感染的路由器年份來看，這波攻擊至少從2020年12月開始，在一年多期間共有約80臺裝置遭到感染。</p> <p>對一般消費者及用戶，研究人員建議應定期重開路由器，並安裝安全更新及修補程式，最好有EDR（endpoint detection and response）方案。至於企業，<a href="https://github.com/blacklotuslabs/IOCs/blob/main/ZuoRAT_IoCs.txt" target="_top">研究人員建議使用廠商提供的IOC辨識可疑檔案</a>，或使用SASE（Secure Access Service Edge）或類似方案。</p> </div></div></div>
2022/6/30 11:51作者林妍溱https://www.ithome.com.tw/news/151678
美國要求聯邦機構限時修補PwnKit安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149096" target="_blank">資安業者Qualys於今年1月揭露</a>一個存在Linux系統管理元件Polkit長達12年的安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-4034" target="_blank">CVE-2021-4034</a>，該漏洞允許駭客以根權限執行程式碼，而且波及所有主要Linux版本，又被稱為PwnKit漏洞。由於已發現針對該漏洞的攻擊行動，使得美國網路安全及基礎設施安全局<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">（CISA）於本月27日將它納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中</a>，要求美國聯邦機構必須在7月18日以前修補。</p> <p>Polkit負責制定與處理在Linux系統上可允許非特權程序及特權程序通訊的政策，其中的Pkexec工具可利用setuid功能代其它使用者執行命令，PwnKit漏洞即允許非特權的本地端駭客擴張權限，繞過任何政策與身分認證，取得管理員權限，從Red Hat、Ubuntu、Debian、Fedora到CentOS等Linux版本都受到影響。</p> <p>當Qualys在1月25日公布PwnKit漏洞之後的幾個小時，相關的概念性驗證程式就問世了。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog" target="_blank">CISA僅說已發現該漏洞遭到開採的證據</a>，並未說明受害者或攻擊內容。</p> <p>值得注意的是，除了PwnKit漏洞之外，CISA當天也將另外7個漏洞納入「已知遭開採漏洞」目錄中，包括Google於去年5月就修補的Chromium漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-30533" target="_blank">CVE-2021-30533</a>，以及蘋果自2018年到2021年間所修補的5個安全漏洞。</p> <p>除了要求聯邦機構限時修補之外，CISA也強烈建議所有組織應該優先修補被列入此一已遭開採目錄的所有安全漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/files/Known%20Exploited%20Vulnerabilities%20Catalog%20_%20CISA-0627.pdf" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 參考資訊 </span></span> CISA在6月27日所新增的「已知遭開採漏洞」名單</strong></a></p> </div></div></div>
2022/6/30 12:16作者陳曉莉https://www.ithome.com.tw/news/151679
微軟揭露俄烏戰事網路安全態勢，需面對3大網路攻擊策略，並提出從早期戰事得來的5大結論
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_jie_lu_e_luo_si_gong_ji_wu_ke_lan_wang_gong_jiao_xun_960_tu_pian_lai_yuan_wei_ruan_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在6月22日發布網路戰爭報告，名為《捍衛烏克蘭：網路戰爭的早期教訓》（Defending Ukraine:Early Lessons from the Cyber War），這是微軟威脅情報與資料科學團隊所進行的研究，目的是釐清對這場持續性戰爭威脅形勢，並從蒐集與分析的數據，試圖理解在這過程發生的各種網路攻防行動。</p> <p>過去我們已經看過許多烏克蘭戰爭的分析，微軟這份報告相當特別，不僅總結出俄羅斯發動戰爭時所採取的網路攻擊戰略，同時給出面臨現代網路戰爭數項不同的重要觀察。</p> <h3><strong>攻擊並不只針對烏克蘭，也針對北約國家與烏盟國發動攻擊，還有全球網路輿論影響</strong></h3> <p>在此報告中指出，這4個月以來，俄羅斯駭客的攻擊行動，不僅是針對烏克蘭的48個政府組織與企業，同時也企圖滲透全球，計有全球42個盟國的128個組織遭俄羅斯網路攻擊，而且，還會在網路上利用複雜而廣泛的影響外國行動（foreign influence operations），也就是一般稱之內外宣、輿論操弄的攻擊策略，破壞歐美團結與壯大他們的戰爭力量。</p> <p>而且，在這份報告的開場中，微軟公司總裁Brad Smith即指出，每場戰爭的歷史通常記載了第一聲槍響，以及誰目睹了這些槍響。這場烏克蘭戰爭，俄羅斯軍隊在今年2月24日湧入烏克蘭邊境，但事實上，第一槍是在23日先打響，俄羅斯針對烏克蘭電腦，使用了一種名為「Foxblade」狐狸之刃的網路武器。這也反應了當前的戰爭型態，已經結合了軍事攻擊與網路攻擊。</p> <h3><strong>剖析俄軍有三大網路攻擊戰略，提出這場網路戰爭下5大經驗觀察與重點</strong></h3> <p>細讀微軟這份研究報告，有兩大焦點值得關注，一是揭露俄羅斯的三大網路攻擊策略，另一是提出實體與網路戰爭的五大觀察與結論。</p> <p>由於現代軍事戰爭已經與網路戰爭相結合，不像過去長期以來可由疆界、海洋來提供保護，因此要對抗俄羅斯這個網路大國，烏克蘭的網路防禦，有很大程度是依賴於國家、企業與非政府組織的聯盟。</p> <p>根據微軟這4個月來的觀察，俄羅斯在網路攻擊策略上，至少採取三大策略，分別是：（一）在烏克蘭境內發動破壞式的攻擊，（二）在烏克蘭境外展開網路滲透與間諜攻擊，（三）針對全球民眾發起網路輿論影響行動（cyber-influence operations）。</p> <p>而在這場戰事之下，是否有更好應對這類的威脅的方法？微軟提出五大觀察。</p> <h3><span style="color:#0099ff;"><strong>一、要防禦軍事入侵，對大多數國家來說，現在需要有能力將數位業務與資產，跨境轉移到其他國家</strong></span></h3> <p>戰爭發生至今，俄羅斯早期就針對烏克蘭政府資料中心，發動巡弋飛彈攻擊，並針對當地自建的電腦網路環境，發動資料刪除的毀滅式（Wiper）攻擊。而烏克蘭政府應變動作相當快速，將其數位基礎設施轉移到位於</p> <p>歐洲的代管資料中心上，因此得以維持其民事與軍事行動。這就涉及了整個科技產業的緊急行動，微軟也包括在內。</p> <h3><span style="color:#0099ff;"><strong>二，有賴於先進的網路威脅情資與端點保護，讓烏克蘭得以高比例抵抗住俄羅斯的毀滅式攻擊</strong></span></h3> <p>從針對48個烏克蘭組織的攻擊行動來看，俄羅斯駭客滲透特定網域環境後，先破壞數百臺電腦，再散播惡意程式，破壞其他數千臺電腦的軟體與資料。而在威脅情報進步與運用AI技術之下，加上連網端點保護機制的運作，讓烏克蘭得以快速辨識及封鎖惡意程式。</p> <h3><span style="color:#0099ff;"><strong>三、隨著各國聯合起來保衛烏克蘭，俄羅斯情報機構對與烏克蘭同盟國家的政府，逐步擴大進行網路滲透與間諜活動</strong></span></h3> <p>微軟發現俄羅斯對烏克蘭以外的42國、128個組織，發起滲透行動，除了美國、北約成員國是頭號目標，提供軍事與人道主義援助後勤的波蘭也是目標，近兩個月來，鄰近戰場的丹麥、挪威、芬蘭、瑞典與土耳其面臨類似的網路攻擊活動也增加。</p> <p>這些國家的政府機關、人道主義組織、IT公司，以及能源與其他關鍵基礎設施供應商，都成為俄羅斯的攻擊目標。根據微軟觀察，俄羅斯的攻擊成功比例為29％，而這可能還是一個低估的數據。</p> <p>較特別的是，微軟認為各國政府仍將大部分心力放在自建的環境，而非雲端服務，美國可能已在SolarWinds攻擊事件中學到教訓，但歐洲政府的警覺性相對較低。因此，這代表仍存在著重大的集體防禦弱點。</p> <h3><strong><span style="color:#0099ff;">四、透過其他網路活動的串連與指揮，俄羅斯機構對全球民眾展開影響網路輿論的行動，壯大戰爭力量</span></strong></h3> <p>這些行動鎖定四種民眾。第一是俄羅斯人民，目的是宣揚攻擊的正當性；第二是烏克蘭人民，企圖削弱該國抵禦俄羅斯攻擊的意願與信心；第三是美國與歐洲人民，目的是破壞歐美團結，轉移對俄羅斯犯下戰爭罪的批評；第四是其他未與烏克蘭結盟國家的民眾，煽動他們在聯合國與其他地區表態支援俄方的立場。</p> <p>根據微軟的估計，自戰爭開始後，俄羅斯在烏克蘭的影響力傳播增加了216%，在美國也增加了82%。</p> <h3><span style="color:#0099ff;"><strong>五、基於烏克蘭抵禦俄羅斯的經驗，應採取協調與全面進行的戰略，加強防禦以應對各種網路破壞攻擊、間諜活動，以及網路影響活動</strong></span></h3> <p>除了需認知俄羅斯網路威脅是俄羅斯政府內外共同發動，微軟指出，全球應體認這與傳統威脅的差異，網路安全回應必須依賴更廣泛的公私合作，促成政府之間的多邊合作也更形重要，同時，還要在維護言論自由的前提之下，抵禦各種影響網路輿論的行動。</p> <p>微軟呼籲，全球在面對網路攻擊時應該更加團結，並且必須擬定全面的策略，關鍵在於，防禦策略必須考量網路行動與軍事行動的協調，各國可藉由提高偵測、防禦、破壞及阻止威脅的能力，來作為主要防禦策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>對於俄羅斯攻擊烏克蘭的行動，微軟指出俄羅斯採用網路攻擊與軍事攻擊交互攻擊的戰略，並從蒐集與分析的數據，提出從抗戰中面對網路攻擊所觀察到的5個結論。圖片來源／微軟</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）微軟揭露俄羅斯攻擊烏克蘭網攻教訓_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>關於俄羅斯毀滅式攻擊使用的惡意程式家族，包括：●WhisperGate / WhisperKill　●SonicVote, aka HermeticRansom　●DesertBlade　●Lasainraw, aka IssacWiper　●FoxBlade, aka HermeticWiper　●CaddyWiper　●Industroyer2　●FiberLake, aka DoubleZero（</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在俄羅斯軍隊攻擊烏克蘭這四個月來，俄羅斯駭客的網路攻擊的目標，不只是攻擊烏克蘭40多個政府單位與企業，也針對北約國家與其他烏克蘭盟國，根據微軟統計，有42個國家128個組織也成攻擊目標，當中有接近半數是政府機關（49%），其次為IT企業（20%）、關鍵基礎設施(19%)、非營利事業組織（12%）。此外，微軟並估計俄國駭客的攻擊至少有29%以上的成功率。（圖片來源／微軟）</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟指出俄羅斯政府的網路影響行動（Cyber influence operations），由俄羅斯總統辦公廳，以及俄羅斯外交部（MFA）、俄羅斯情報局（GRU）、俄羅斯外國情報局（SVR）、俄羅斯聯邦安全局（FSB），以及俄羅斯國防部（MOD）主導。</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟</strong></p> <p><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>微軟認為，對於阻止俄羅斯網路威脅需抱持四大原則，認知俄羅斯網路威脅是俄羅斯政府內外共同發動，促成更廣泛的公私合作，以及政府之間的多邊合作，同時要在民主社會維護言論自由的前提之下，抵禦各種影響網路輿論的行動，即使需採取新的全面方法來因應這樣的威脅。</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/%E4%BF%84%E7%BE%85%E6%96%AF">俄羅斯</a></div><div class="field-item even"><a href="/tags/%E7%83%8F%E5%85%8B%E8%98%AD">烏克蘭</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E5%AE%B6%E7%B4%9A%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">國家級網路攻擊</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%88%AD">網路戰爭</a></div></div></div>
2022/6/30 10:14作者羅正漢https://www.ithome.com.tw/tech/151672
Meta加碼押寶短影音服務，Reels新推更多創作者營利管道和行銷用API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Meta推出多項政策，加大力道推廣短影音功能Reels。短短數周內，一口氣推推出多項新功能，更多創作者營利管道，以開放第三方行銷管理平臺串接的API，來吸引一般使用者、職業創作者及行銷公司三大族群。</p> <p>短影音平臺Tiktok崛起，快速吸引大量高黏著度使用者，讓其他社群媒體產生警覺，為避免流失使用者，Youtube、Meta相繼推出短影音服務，來搶奪短影音市場。Instagram是Meta仿Tiktok功能實驗場，Reels短影音已經占了IG總使用時間的2成。IG近日更開始跟進測試十分神似Tiktok全螢幕影音的介面，不再堅持正方形影音的設計，還掩蓋掉上方限時動態欄位，國外社群更以IG要整型成Tiktok來形容。而Meta押最多寶的仿Tiktok功能，還屬短影音IG Reels，後來也在Facebook推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/instafs.png" style="width: 300px;" /></p> <p>Reels推出後，陸續新增節奏字卡、轉場、綠幕等功能，IG社群也將不少Tiktok的玩法帶到Reels上如法炮製。IG近日又推出Remix for Photos功能，使用者可以將自己及他人的照片混剪成短影音。這是繼混剪Reels跟混剪影片後，又一鼓勵使用者以他人影音內容，作為創作素材的功能。IG也仿效Tiktok不斷鼓勵使用者用創作熱門畫題的衍生內容，來豐富內容、活絡參與的策略。</p> <p>除了提供一般使用者更多生成Reels內容的管道，Meta端出了更多誘因來吸引專業創作者。Meta執行長Mark Zuckerburg近日宣布，原先只適用IG創作者的獎勵計畫Reels Play Bonus，將擴及到Facebook Reels創作者，Facebook也會依照Reels表現，發送獎勵金給創作者。另外，本來只能用來打賞遊戲實況主的Facebook Stars代幣，將能用於打賞Reels創作者。讓創作能從社群端直接賺取收益，透露出Meta除了鼓勵創作者製作短影音，還企圖激勵他們用心經營社群，為平臺留住使用者。</p> <p>Meta也新推出Reels API，能串接第三方行銷管理平臺，並從外部進行內容發布、分析表現數據、管理留言、搜尋關鍵字等操作。Reels API功能將透過Meta既有的行銷用Graphs API發布，6月28日到7月6日期間逐步開放給所有安裝任一Graph API的開發者。開發者在自家App中使用Reels API不需重新送審App，或要求額外使用者權限。</p> </div></div></div>
2022/6/30 10:31作者郭又華https://www.ithome.com.tw/news/151673
【資安日報】2022年6月29日，駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartble…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月有駭客組織聲稱他們從GPU大廠Nvidia取得大量內部資料，而引發軒然大波，本週又有駭客組織宣稱他們從處理器大廠AMD取得大量資料。自去年底出現的新興駭客組織RansomHouse，甫於6月上旬對非洲大型連鎖超市下手，這個組織最近聲稱他們竊得處理器大廠AMD的內部資料，並嘲笑該公司員工使用了弱密碼，使得他們能輕鬆取得450 GB的資料。</p> <p>自2014年出現的加密程式庫OpenSSL重大漏洞Heartbleed引起關注後，最近有研究人員發現嚴重程度能夠與其比擬的新漏洞。不過，這個漏洞必須在特定版本的OpenSSL與作業環境才能觸發，其後續帶來的影響有待觀察。</p> <p>建置在企業資料中心的各種內部伺服器應用，按理來說，應該受到網路防火牆的保護，而不該暴露在網際網路上，但此類具有高風險的組態設定仍層出不窮，而本週出現類似狀況的系統是支撐雲端原生環境的Kubernetes，有資安業者發現曝露於網際網路的Kubernetes執行實體（Instance）數量，竟然超過9萬臺，並呼籲組織要做好相關防護。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/ransomhouse-group-amd-advanced-micro-devices/"><span style="color: rgb(0, 0, 0);">駭客組織RansomHouse宣稱從AMD竊得450 GB內部資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg" style="width: 300px; float: right;" /></a>日前攻擊非洲大型連鎖超市Shoprite的駭客組織RansomHouse，最近聲稱也竊得IT大廠的內部資料。根據資安防護軟體介紹網站Restore Privacy的報導，RansomHouse宣稱於今年1月，成功入侵AMD的網路，並竊得逾450 GB的資料，經研究人員對於駭客公布的部分資料進行比對，很有可能是來自AMD。</p> <p>但這些駭客如何竊得該公司的資料？駭客指出，這家IT巨頭的員工使用弱密碼，像是Password、P@ssw0rd、123456等，使得他們很容易猜到，並成功取得的該公司的機密檔案。對此，AMD表示他們知悉此事，並著手調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/revive-from-spyware-to-android-banking-trojan"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Revive疑似透過攔截簡訊來繞過雙因素驗證</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot 2022-06-27 at 14_11_58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot%202022-06-27%20at%2014_11_58.png" style="width: 300px; float: right;" /></a>駭客使用木馬程式對銀行用戶手機下手的情況，現在也變得更加針對特定銀行而來，甚至有機會突破雙因素驗證機制。資安業者Cleafy近期揭露名為Revive的安卓金融木馬程式，該軟體鎖定西班牙BBVA銀行用戶而來，並宣稱為了提升安全性，用戶必須安裝附加元件來進行強化。</p> <p>駭客為了讓對方相信確有其事，不只為該元件建置了專屬網站，還有教學影片解析整個安裝流程。一旦受害者照做，手機就會被安裝木馬程式Revive，然後要求授予此App存取簡訊與通話的權限，而這個惡意程式平時是在後臺執行的鍵盤側錄工具，記錄受害者輸入的內容，並定期傳送到C2。</p> <p>研究人員指出，駭客透過冒牌的銀行登入網頁來取得帳密，然後再攔截特定簡訊，藉此繞過雙因素驗證（MFA）流程，雖然這個惡意程式處於早期開發階段，但已具備繞過銀行身分驗證措施的能力而不容輕忽。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/22/quantum-software-lnk-file-based-builders-growing-in-popularity/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用Quantum惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png" style="width: 300px; float: right;" /></a>駭客濫用Windows捷徑（LNK）檔案來載入惡意程式的手法，在攻擊事件裡也不時會出現。資安業者Cyble最近揭露惡意軟體Quantum的動態，駭客在地下論壇兜售這款軟體與相關工具，費用為每月189歐元起，並宣稱能透過他們提供的建置工具，打造LNK、ISO、HTA格式的檔案，來包裝Quantum，此外，客戶可透過賣家提供的工具，來指定產生的Quantum能否可繞過使用者存取控制（UAC）、執行的路徑、所需搭配的DLL程式庫檔案等。</p> <p>附帶一提的是，這些駭客還聲稱能利用MSDT漏洞CVE-2022-30190（Follina），來散布惡意程式。</p> <p>研究人員針對近期出現的Quantum惡意程式，與北韓駭客組織Lazarus的手法進行比對後，發現該組織近期疑似使用此惡意程式發動發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/27/exposed-kubernetes-clusters/"><span style="color: rgb(0, 0, 0);">逾9萬個K8s實體曝露在網際網路，恐成為駭客下手的目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png" style="width: 300px; float: right;" /></a>組織的自動化容器管理系統Kubernetes（K8s）若是配置不當，很有可能曝露內部的機敏資訊。資安業者Cyble提出警告，他們近期發現至少有超過9萬個K8s實體（Instance）曝露於網際網路，當中又以位於美國的實體最多，高達6成5（58.5萬個），其次是有14%位於中國、9%於德國。</p> <p>而從這些K8s所使用的連接埠來看，又以443埠最多，約103.8萬個；10250埠其次，有23.1萬個。而這些曝露於網際網路上的K8s主機，研究人員發現有799個會直接對攻擊者公開（會向存取K8s的用戶端，發出錯誤代號200的回應），甚至有些知名公司所用的K8s主控台、管理儀表板並未啟用密碼保護，使得駭客無需密碼就有可能從從網際網路上存取K8s的重要元件，或是執行相關操作。但為何與上個月ShadowServer發現有38萬臺K8s的資料相差甚遠？研究人員認為，原因很可能與掃描的範圍有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/"><span style="color: rgb(0, 0, 0);">研究人員揭露OpenSSL的漏洞，恐導致記憶體損壞</span></a></strong></h3> <p>開源加密程式庫OpenSSL甫於6月21日發布3.0.4版，但有研究人員發現當中新的弱點，且可能會導致比Heartbleed更嚴重的後果。資安研究人員Guido Vranken揭露OpenSSL 3.0.4版存在的漏洞，一旦攻擊者觸發該漏洞，就有可能遠端執行程式碼，並強調遭到利用的後果可能會非常嚴重，有可能超越Heartbleed。</p> <p>不過，這項漏洞僅存在於特定版本OpenSSL，擁有許多用戶的1.1.1版，以及其他衍生的加密程式庫BoringSSL、LibreSSL都不受影響；再者，則是這項漏洞必須在支援AVX512指令集上的64位元Intel電腦才能觸發。OpenSSL已經著手修補，但尚未發布新版軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/nist-releases-new-macos-security-guidance-organizations"><span style="color: rgb(0, 0, 0);">NIST發布新版macOS資安指引</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/cyberattack-forces-iran-steel-company-halt-production"><span style="color: rgb(0, 0, 0);">伊朗鋼鐵公司遭到網路攻擊被迫停止生產</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theregister.com/2022/06/28/tencent_qq_qr_code_attack/"><span style="color: rgb(0, 0, 0);">騰訊坦承用於登入即時通訊軟體QQ的QR Code遭駭</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> </div></div></div>
2022/6/29 17:52作者周峻佑https://www.ithome.com.tw/news/151669
強化對YouTube、Meta等平臺業者管理及用戶權益保障，NCC公布數位中介服務法草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為加強對網路中介平臺的治理，NCC今天（6/29）公布數位中介服務法草案，該草案參考歐盟制定的數位服務法（Digital Services Act, DSA），以數位中介服務者（如YouTube、Meta等）為規範對象，提出業者的責任、免責及義務，後續公告草案2個月後，NCC將舉辦公開說明會、公聽會蒐集各界意見。</p> <p>去年底NCC即公布數位通訊傳播服務法架構，但為了進一步明定規範的對象，NCC將該法改名為數位中介服務法，以明確規範對象為數位中介服務提供者，包括連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，其中資訊儲存服務者又包括線上平臺業者、指定線上平臺業者。不同業者服務型態，明定其責任及義務。NCC強調，不論業者為境內或境外，只要在臺灣提供服務，經認定具實質關聯者，應遵守相關的義務。</p> <p><strong>數位中介服務提供者類型，包括連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，以及線上平臺業者、指定線上平臺業者兩小類，其中線上平臺業者，NCC暫列包括YouTube、Meta等，指定線上平臺業者則由主管機關依標準公告(圖片來源：NCC)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/W1.jpg" style="width: 600px; height: 453px;" /></p> <p>當中的線上平臺業者，例如YouTube、Dcard、Yahoo!拍賣、Meta等，至於指定線上平臺業者，NCC參考公告歐盟DSA，依我國人口的十分之一為標準，在我國境內有效使用者數量達到230萬人者，由主管機關公告為指定線上平臺業者，但NCC也保留使用者數量的計算標準，例如按照用戶數或使用人次計算。</p> <p>NCC副主委暨發言人翁柏宗表示，數位中介服務法為一般法，先以業者自律、布透明度報告，或是由其他監督團體的他律，業者如仍有違法內容，實際仍介接各個部會的實體作用法，依規定處理，政府主管機關如要對業者提出資訊限制，需取得法院核發的資訊限制令，才能要求業者移除違法內容或限制存取。</p> <p>除了政府主管機關，數位中介服務法草案也參考國際上的聖塔克拉拉原則，要求平臺業者執行程序透明，並提供使用者救濟權利。一般民眾（不限制為受害民眾）也可以危害公共利益或私益，向業者檢舉平臺上的特定內容違法，由業者依平臺服務規範自律或法院判決處理，並回報檢舉民眾處理結果，同時也需向該內容的原po告知處置，例如移除被檢舉內容或是限制接取。</p> <p><strong>任何人，不限制只有受害民眾，可向平臺業者檢舉特定違法內容，由業者依服務使用條例或依法院判決處理內容，並向舉報者告知處理結果，以及向該內容的使用者告知資訊限制措施：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/W2.jpg" style="width: 600px; height: 421px;" /></p> <p><strong>明定不同類型的數位中介業者應負之義務</strong></p> <p>如前所述，數位中介服務法草案將數位中介服務業者分為，連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，資訊儲存服務者再分為線上平臺業者、指定線上平臺業者，不同類型的數位中介服務業者有各自應盡的義務。</p> <p>一般數位中介服務者的義務，包括資訊揭露、境外業者指定代理人、公告服務使用條款、每年公布透明度報告、依法院裁判或行政處分提供特定使用者資料、配合資訊限制令等等。如業者違反應盡的義務，處5萬以上、50萬元以下罰鍰，限期改善，未改善得再罰。</p> <p>資訊儲存服務提供者的義務，包括建立易於使用的通知機制，供檢舉違法內容者通知及回應，並建立資訊限制告知機制，通知使用者被移除或限制存取。如業者違反其義務，主管機關得處罰10萬以上、100萬元以下罰鍰。</p> <p>至於線上平臺業者排除小型業者，應盡的義務包括內部異議機制、訴外爭議解決機制、認證舉報者、服務與機制之濫用防護、賣方資訊揭露等義務，業者未盡義務得罰50萬以上、500萬元以下罰鍰。</p> <p>由主管機關公告的指定線上平臺業者，因這類業者服務較具規模，數位中介服務法規定其義務，要求針對系統性風險（違法內容散布、用戶基本權利負面影響）提出有效管理、要求獨立稽核等義務。其中一項比較特別的義務是，要求業者在服務使用條款提出推薦系統使用的主要參數、可供使用者調整或影響該主要參數的選項及產生的效果。</p> <p>NCC指出，數位中介服務法草案因應網路自由、開放、跨域、多元特性，依據網路治理精神，強調業者自律先行，以多方利害關係人意見訂定自律準則。因網路服務類型及內容快速變化，未來將規劃籌設專責機構，扮演網路議題研商的協商平臺角色。</p> </div></div></div>
2022/6/29 18:48作者蘇文彬https://www.ithome.com.tw/news/151671
央行通用型數位貨幣試驗成果大公開，模擬P2P轉帳、跨境匯款或店家付款情境都可行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣央行數位貨幣（CBDC）第二階段試驗計畫提早3個月達標，央行總裁楊金龍今日（6/29）指出，央行已與財金公司、外部技術團隊打造一套CBDC雛型平臺，並邀請5家銀行（中信、華南銀行、國泰世華、台新銀行和上海商銀）參與設計和模擬，這些銀行透過介接CBDC雛型平臺，可提供多種零售交易服務，像是以CBDC來購物、繳費，或是以CBDC可程式化設計發放數位券，又或是存款帳戶/現金兌換CBDC，以及以CBDC供移工跨境小額匯款等應用。</p> <p>楊金龍表示，央行下一步將繼續與有關機構溝通、精進平臺設計，以及研議法律架構。他坦言，制定法律架構是最花時間的關鍵一步，以上3者完成後，央行才會討論CBDC上路時間表。換言之，目前還未有明確的推行時程。</p> <p><span style="font-size:24px;"><strong>CBDC四大優點，促使央行投入研究</strong></span></p> <p>CBDC有許多潛在益處，是央行投入研究的原因之一。楊金龍解釋，比如，CBDC可讓民眾獲取安全的數位貨幣，猶如現在的現金，是大眾唯一能使用且非常安全的央行貨幣。再加上電子支付比率逐年上升，如從2017年的40%，到今年第一季的60%，因應未來現金數位化需求，民眾也可能希望CBDC出現，由央行發行安全、受信任，且無使用成本、無信用獲流動性風險的數位支付工具。</p> <p>再來，CBDC這種可程式化的貨幣，可滿足未來支付服務需求，像是透過智能合約（Smart Contract），來讓CBDC依程式設計條件，自動執行交易，比如政府發放振興券、福利金這類有特定期限或產業限定消費，若採CBDC發放，就能透過程式設定，在期限內落實專款專用。CBDC可程式化的特性，也能進一步延伸到更多場域。</p> <p>另一個好處是深化普惠金融。楊金龍點出，目前許多金融機構提供數位帳戶開戶服務，以及各類支付、儲蓄和貸款等服務，但這些服務並未涵蓋經濟弱勢的民眾。「CBDC不是銀行存款，只要想取得數位現金支付者，都可開立CBDC錢包，」他表示，如此一來民眾就能取得CBDC相關服務，而非一定要有銀行數位帳戶，才能享有數位金融服務。</p> <p>最後一個好處是改善跨境支付。目前現有的銀行跨境支付，涉及許多中介機構，不只程序多，手續費也高。而CBDC可利用新技術，來簡化這些流程。不過，楊金龍強調，跨境支付還有待國際研擬通用的標準、基礎設施和法律架構才行，像是制定出防範非法活動的監理準則等，才能真正落實。因此，目前世上主流的CBDC應用，都先從境內交易開始，跨境交易得等到系統互通性和法律問題解決後，才能實現。</p> <p><span style="font-size:24px;"><strong>採央行、銀行雙層架構，維持銀行金融中介角色</strong></span></p> <p>不過，CBDC也有不少潛在風險，央行也用一系列做法來因應。像是，CBDC可能影響銀行的金融中介角色，讓銀行存款流失。因此，與國際上發行CBDC的國家一樣，臺灣央行也採用傳統貨幣發行的雙層式架構，來讓銀行扮演中介角色。</p> <p>另一個則是，CBDC有可能造成銀行存款流失，特別是在金融危機期間。為保持金融穩定，央行將CBDC設有交易和持有上限。此外，楊金龍表示，為避免影響貨幣政策，CBDC視為數位現金，初期將不計息。</p> <p>至於金融犯罪風險，由於央行CBDC採雙層架構，可由銀行等中介機構現行的反洗錢、資安和個資保護機制處理，比如保存交易記錄、異常資料通報等。</p> <p>楊金龍點出，央行也考慮了CBDC系統營運的韌性，因此正思考離線支付的可能性，讓民眾在沒有網路的環境下，也能使用CBDC。</p> <p><span style="font-size:24px;"><strong>第二階段試驗：完成中心化CBDC雛型平臺、零售支付應用</strong></span></p> <p>央行自2019年6月展開第一階段批發型CBDC技術研究，但他們發現，分散式帳本技術（DLT）沒辦法滿足大量、高頻且需要即時清算的需求。後來，2020年9月，央行開始第二階段的通用型CBDC試驗計畫。有別於DLT，這次，央行採用中心化作業，再輔以DLT設計，來發展部分功能。第二階段計畫原本預計今年9月完成，但目前已先達標。</p> <p>在第二階段中，央行CBDC工作小組找來財金公司、外部技術團隊，打造一套CBDC雛型平臺，並請來中信、華南銀行、國泰世華、台新銀行和上海商銀5家銀行，在封閉環境中模擬銀行中介業務和零售支付應用。</p> <p>進一步來說，這些業務和零售支付場景可分為5大類，包括開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款。</p> <p>比如，現場中國信託示範用App開立CBDC錢包，一開始就先將CBDC分為小額（單筆交易上限3,000、餘額上限1萬元）和大額（單筆交易上限10萬元、餘額上限50萬元）兩種錢包，民眾可依需求來開立，只需填寫身份證字號等基本資料即可申請，外國人可透過手機快速認證即可，不限定中信存戶。</p> <p>之後，民眾就像使用電子支付App一樣，可用來QR Code掃碼支付、轉帳或是存提款等業務。其中，中信展示的CBDC錢包還搭配票券功能，可讓使用者將政府發放的CBDC數位振興券等轉入帳戶或信用卡，配合央行對CBDC應用的期望。</p> <p>在存提部分，民眾可至實體ATM點選CBDC錢包儲值，再將外幣或臺幣放入ATM中，反之，民眾也可在ATM提取CBDC錢包的臺幣。</p> <p>另一方面，國泰世華也展示了CBDC錢包的P2P個人對個人轉帳功能。他們先是整合央行CBDC平臺和國泰平臺，可讓國泰現有網銀客戶快速註冊CBDC錢包，將帳戶內臺幣與CBDC互相兌換，或進行現鈔存提。再來，當使用者需要P2P轉帳時，可透過錢包中的付款碼QR Code，讓對方掃碼、匯款。</p> <p>現場，上海商銀還展示了跨境匯款功能，當雇主用CBDC錢包發送數位貨幣薪資後，移工可在跨境小額匯款公司的App，選擇匯款對象、金額和扣款銀行後，就能利用上海商銀數位App，從CBDC中繳款。</p> <p>除了金融業務，在零售支付場域，也有不少應用案例。比如，7-11現場示範用CBDC錢包來進行OR Code掃碼支付和NFC手機感應等2種支付方式，其他店家如路易莎咖啡、臺灣大車隊、全聯、寶雅等也示範如何這類支付方式。甚至，CBDC也能運用到捐款上。</p> <p><span style="font-size:24px;"><strong>下一步：溝通、優化平臺、制定法規</strong></span></p> <p>第二階段提早達標，楊金龍透露，央行下一步將持續與金融機構、政府單位、學界、使用者和技術提供者溝通，來取得實用的共識。此外，央行也將繼續精進平臺設計，確保平臺7x24小時不中斷的穩健性，以及能抵抗斷電、斷線的強韌性，還有平臺完整性，如納入強大的資安保護機制、避免未經授權操控的發生。</p> <p>最後，央行也將連同相關部門，研擬法律架構，比如賦予CBDC法償貨幣的法源，制定反洗錢、反資恐、隱私保護和資安防護等規範，來提高市場對CBDC的信任。他也透露，這些工作，至少需要2年來完成。</p> </div></div></div>
2022/6/29 17:55作者王若樸https://www.ithome.com.tw/news/151670
Martech雙周報第25期：打擊廣告科技潛在偏見，IBM推出AI分眾行銷模型校正技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0619~0702)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#演算法歧視</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#機器學習</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI模型偏差導正</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#分眾行銷</span></strong></span></p> <p><strong>科技界與媒體界在坎城國際創意節共同呼籲正視廣告科技演算法歧視</strong></p> <p>全球最大廣告相關產業活動，坎城國際創意節中，美國互動廣告協會及廣告委員會，<a href="https://newsroom.ibm.com/2022-06-20-IBM,-DELTA-AIR-LINES-WPP,-4AS,-IAB,-AD-COUNCIL-AND-OTHER-INDUSTRY-LEADERS-ACT-TO-MITIGATE-BIAS-IN-ADVERTISING-TECHNOLOGY">偕同IBM</a>、媒體公司WPP及Mindshare等知名品牌，共同呼籲關注隱藏於廣告科技的歧視問題，顯示出廣告科技偏見議題近年備受關注。</p> <p>廣告科技偏見意指，因為訓練分眾行銷AI模型的數據夾帶設計者潛在偏見，導致AI針對特定族群進行過多或過少廣告投放。IBM一項長達6個月的個案研究，不僅發現此情況確實存在，更提出警告，廣告科技偏見可能導致許多惡果，例如強化社會不平等、損害品牌形象以及降低行銷效率等。<a href="https://github.com/Trusted-AI/AIF360">IBM更宣布免費發布AI模型校正工具，可以檢測並導正廣告AI模型偏差。</a></p> <p>除了媒體界和科技界，法界也開始重視廣告科技歧視議題。美國法院近期指控Meta鼓勵廣告主利用種族、膚色、宗教、性別、年齡等不當標準投放房屋廣告，違反《公平住房法》，因此起訴Meta。法院與Meta達成和解協議，年底前停用並重新設計房屋廣告分眾標準，並交由法院指定的第三方機構認證不具歧視性，才能啟用。美國法院表示，這是「具歷史性的一個協議」，是Meta第一次在民事訴訟中，同意改善廣告科技系統。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#創作者營利</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#短影音</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#跨平臺訂閱</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#廣告媒合平臺</span></strong></span></p> <p><strong>Meta推出多項創作者營利管道，Reels短影音平臺不抽成 </strong></p> <p>Meta執行長<a href="https://www.facebook.com/zuck/posts/10114534084040871">Mark Zuckerburg宣布</a>，將推出多項創作者營利管道，且承諾2024年前，Facebook和Instagram創作者可以保留所有營利，將原本計畫的抽成實施期限延長一年，希望透過初期免平臺費來吸引創作者。 </p> <p>Meta推出創作者市集，媒合Instagram創作者及廣告主。創作者於此提出創作內容主題及形式，廣告主再根據自己需求挑選合作對象。這之前，Meta已經推出品牌合作管理平臺，用以媒合Facebook上的創作者及廣告主。 </p> <p>除了媒合新合作，Meta也拓展了新的創作營收方式，擴大Facebook Stars代幣的打賞範圍，不只是遊戲實況，現在也可以用來打賞Reels短影音、直播及VOD。此外，過去只限Instagram Reels的創作者獎勵計畫，更擴展到Facebook Reels。</p> <p>近期Meta不斷推出仿Tiktok功能，不論IG或臉書都大力借鏡Tiktok策略，例如力推的短影音Reels服務，新推出Remix for Photos功能，使用者可以將自己及他人的照片混剪成Reels。這是繼混剪Reels跟混剪影片後，又一鼓勵使用者創作衍生內容的功能，仿效Tiktok用社群不斷對熱門主題創作衍生內容的策略，來活絡社群參與。另外，Instagram也開始測試神似Tiktok全螢幕影音的介面，甚至掩蓋掉上方限時動態欄位，顯示Meta相當重視仿Tiktok功能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#第一方數據</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#Unified ID 2.0</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#自行加密數據</span></strong></span></p> <p><strong>AWS推出UID 2.0解決方案，降低未加密資料外洩風險</strong></p> <p><a href="https://aws.amazon.com/tw/blogs/industries/introducing-unified-id-2-0-private-operator-services-on-aws-using-nitro-enclaves/">AWS推出Unified ID 2.0 on AWS解決方案</a>，利用AWS Nitro Enclaves技術提供機密計算環境，進行UID Private Operator的加密工作。UID 2.0是DSP業者The Trade Desk推出的使用者追蹤標準，將使用者登入資料去識別化後，作為廣告ID使用。加密工作由Operator進行，又分為Public Operator跟Private Operator，後者只會經手特定資料來源UID。</p> <p>過去，企業若想將自家顧客資料加密為UID，需要將這些資料拋轉給其他Operator。若顧客資料較為敏感，拋轉過程的資訊安全會成為疑慮。AWS的UID解決方案，則是讓企業在機密環境中自行加密顧客數據，成為自己的Private Operator，降低資料外洩風險。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#行銷預測</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#成效追蹤</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#使用者互動</span></strong> </span></p> <p><strong>Twitter推出廣告專案規畫工具，可事先預估行銷計畫的成效</strong></p> <p>經過半年測試後，<a href="https://twitter.com/TwitterComms/status/1539596642525003779?s=20&t=coItm4WlEW_Tmb6s0F7huQ">Twitter推出廣告專案規畫工具</a>，能根據行銷人員設定的受眾、預算、頻率跟期限等前置條件，來估算行銷計畫的觸及範圍、曝光規模、CPM等成效指標，若滿意預測結果，也能直接從此工具中建立專案。Twitter表示，此工具目前僅開放給英國、美國及日本特定業者試用，幾個月內將逐步開放給更多業者使用，也將添增更多行銷指標選項。Twitter也預告推出廣告帳號管理平臺、新廣告格式、更強大的互動測量工具以及自動分眾行銷工具，不過沒有提供更多細節。</p> <p>Twitter也發表了品牌行銷的新機制Branded Like功能，按讚時會出現特別的小動畫，希望能增加使用者的互動度，不過，目前沒有機制可以測量使用者為了看動畫而重複按讚。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#精準行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#中小型企業</span></strong></span></p> <p><strong>中小企業行銷最愛FB和IG，但Tiktok來勢洶洶成為中小企業行銷新選擇</strong></p> <p>美國中小企業解決方案公司Hello Alice，<a href="https://helloalice.com/wp-content/uploads/2022/06/TikTok_HelloAlice-Digital-Marketing-Report-Designed-Version-5.31.pdf">最近做了一項調查7,000家中小企業的研究</a>，發現Facebook跟Instagram仍然是中小企業最常用行銷平臺，分別有87%和75%企業已經在使用。近7成企業認為，這兩個平臺上能獲得有機流量，而非單純付費買廣告，與第3名的Tiktok（52%）間距相當大。</p> <p>不過報告指出，Tiktok越來越受到中小企業的青睞，有43%中小企業因為同業成效，考慮開始投放Tiktok廣告，3成中小企業未來最想在Tiktok行銷，這兩項的企業比例都比其他社群媒體平臺高。已用Tiktok行銷的中小企業，有78%考慮增加廣告預算，也比其他平臺來得高。</p> <p>Hello Alice在報告中分析Tiktok吸引力增強的原因，首先是入門容易，81%企業表示在Tiktok投放廣告的操作簡單。行銷內容方面，67%中小企業認為，Tiktok最有助於企業進行創意行銷，此數據同樣高於其他平臺。另外，企業票選的Tiktok行銷的前三大優點是「觸及新受眾」、「容易被消費者發現」以及「觸及正確受眾」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#行銷歸因</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者互動</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者隱私</span></strong></span></p> <p><strong>Tiktok新增行銷歸因工具，更細緻設定不同使用者互動事件各自的追蹤時效</strong></p> <p><a href="https://www.tiktok.com/business/en-US/blog/flexible-attribution-windows-campaign-measurement">Tiktok於自家廣告管理平臺新增行銷歸因工具</a>，行銷人員能依據專案活動和產品特性，為搜尋、訂閱、點擊、購物、新增付款資訊等多種互動事件，分別設定彈性的CTA和VTA追蹤時效。</p> <p>Tiktok近期不斷嘗試增加自家平臺對廣告主吸引力，<a href="https://www.ithome.com.tw/news/151518">日前更完成使用者資料遷移，以避免美國用戶資料外流中國的疑慮</a>。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#AR顯示技術</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#NFT</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#Instagram限時動態</span></strong></span></p> <p><strong>Instagram測試AR貼圖和文字功能，更能把NFT圖像放進限動</strong></p> <p>Instagram正在測試AR貼圖和文字功能，能加入與環境互動的3D物件到限時動態影像。另外，<a href="https://sparkar-partners.fb.com/">Meta AR技術商Spark AR表示</a>，今年夏天將能用AR技術，在限時動態顯示2D NFT圖像，並能顯示NFT作者等資訊。Spark AR預告，未來將製作能呈現3D NFT的功能，可顯示家具、衣服、飾品等物件，也指出未來這些技術可成為新創作者營利管道，如利用此功能製作商品原生廣告。 </p> <p> <br /> 資料來源：iThome整理，2022年6月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/6/29 16:45作者郭又華https://www.ithome.com.tw/news/151668
WFH風險？FBI發現有人用盜來的個資與Deepfake技術求職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情蔓延後，有不少企業允許員工採用「在家工作」（Work From Home，WFH）模式，有些企業甚至讓它成為工作常態，不過，<a href="https://www.ic3.gov/Media/Y2022/PSA220628" target="_blank">美國聯邦調查局（FBI）的犯罪投訴中心（IC3）本周警告</a>，有愈來愈多的雇主投訴，許多爭取在家工作或遠端工作職缺的求職者盜用他人的資訊，同時利用Deepfake技術來面試。</p> <p>提出投訴的許多職缺涉及資訊技術、電腦程式、資料庫與軟體相關領域，有些職缺甚至可以存取客戶的身分資料、金融資料、企業資料庫或私有資訊。因為是在家工作，因此只要過了面試這一關，就能避免被識破。</p> <p>有些求職者企圖利用他人的背景與專長來獲取工作，包括藉由Deepfake技術來偽造影片。有雇主發現，當與求職者進行線上面試時，求職者的動作或嘴唇的開合，與其說話的聲音並不一致，例如當出現打噴嚏或咳嗽的聲音時，視覺上卻非如此。</p> <p>當雇主隨後針對這些求職者進行背景調查時，才發現某些求職者根本就是利用他人的身分來謀職。</p> </div></div></div>
2022/6/29 14:23作者陳曉莉https://www.ithome.com.tw/news/151666
歐洲火星探測太空船剛剛更新了它的Windows 98應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在地球上多數電腦用戶開始進入Windows 11的今天，用於探測火星的太空船火星快車號（Mars Express）在升空19年後，最近剛更新了機上Windows 98電腦的應用程式。</p> <p><a href="https://www.esa.int/Enabling_Support/Operations/Software_upgrade_for_19-year-old_martian_water-spotter" target="_blank">歐洲太空總署（European Space Agency，ESA）本周指出</a>，火星快車號上的瑪西斯雷達（MARSIS）近日將接收重大軟體更新，使其得以更高解析度探索火星及其月球Phobos地表下物質組成，包括液態水。</p> <p>火星快車號是歐洲太空總署火星研究的首個探測任務，它運行在火星軌道的飛行器，於2003年6月2日起執行任務。火星快車號上的瑪西斯雷達全稱「火星地下和電離層探測高新雷達」（Mars Advanced Radar for Subsurface and Ionospheric Sounding，MARSIS），是一臺低頻脈衝的雷達測深儀和高度計，協助探測紅色行星液態水訊息，包括火星南極1.5公里冰層下方一個疑似20x30公里的鹹水湖。</p> <p>瑪西斯雷達探測儀以其40公尺長的天線向地底發射低脈衝電波。大部份電波會被火星地表反射，但有一部份會穿越火星地殼，並在地表下冰、土壤、岩層和含水層的交界處反射。藉由分析這些反射電波訊號，科學家就能判斷火星地表下數公里的組成及特性，如厚度和兩極冰帽成份、火山及沈積岩層的特性。</p> <p>這次軟體更新任務經費來自義大利太空總署，而由義大利國家天文物理研究所（INAF）的工程師執行。負責此次任務的INAF操作管理員Andrea Cicchetti指出，他們計畫將火星快車號機上電腦上的瑪西斯雷達軟體升級，以提升其效能，是在它19年出發後的第一次。</p> <p>新版軟體是由INAF和Enginium公司MARSIS機上軟體工程師Carlo Nenna共同開發。Nenna說明，火星快車的探勘任務有不少挑戰，其中之一是MARSIS軟體是20年前設計的，這可是用Windows 98的開發環境開發的。以前工程人員必須使用複雜方法來儲存火星及Phobos月球的高解析度影像，這也產生大量資料，一下子就把機上電腦記憶體占滿。更新版軟體改良了訊號接收及機上電腦的資訊處理能力，以便能以更高解析度呈現，且傳送更多資料量回地球分析。</p> <p>Nenna指出，在去掉不需要的資料後，新軟體可使MARSIS執行時間比以前多5倍，一次任務也能蒐集更大火星地表面積。</p> <p>ESA科學家指出，以前在較低解析度時代，他們已經在火星南極多個地區偵測到液態水的訊號。在新軟體協助高解析度影像傳送後，將可更快驗證其假設，加速火星探測任務。ESA表示，現年19歲的火星快車號仍然是該中心飛行成本最低的探索任務。</p> <p>至於機上電腦的硬體規格ESA沒有說明。<a href="https://www.tomshardware.com/news/mars-probe-gets-windows-98-update" target="_blank">Tom’s Hardware網站判斷</a>這臺Windows 98電腦上可能用的是Intel Pentium 90處理器，那麼可能還能跑一些經典遊戲像是《毁滅戰士Doom》、《銀河飛將 Wing Commander Prophecy》、《創世紀7 Ultima VII》等。</p> <p>目前地球上還有多少電腦執行Windows 98不得而知。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據市調業者GlobalStats的統計</a>，目前最早追溯得到的獨立Windows 版本是XP，在桌上電腦占比為0.39%。</p> </div></div></div>
2022/6/29 14:46作者林妍溱https://www.ithome.com.tw/news/151667
印度暫緩實施VPN資料蒐集法令3個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度政府周二（6/28）宣布，原訂本周生效的VPN資料蒐集法令，將延後到今年9月25日實施。</p> <p>印度電子暨資訊技術部今年4月聯同該國電腦緊急應變小組（CERT-in）發布一項命令，要求印度境內VPN服務供應商、資料中心與雲端服務供應商都必須儲存用戶資訊，包括姓名、電子郵件帳號、電話號碼與IP位址，而且要保留5年，以建立「開放、安全、信任及負責的網際網路」，業者也必須在得知資安問題的6個小時內就向印度CERT回報。印度政府同時要求微型、小型到中型企業必須強化安全，以符合該國網路安全指引（Cyber Security Direction）。</p> <p>這項命令預計在6月27日正式上路。印度電子暨資訊技術部表示，在接到多方要求後，印度政府決定給中小企業完成遵法，並且讓VPN、資料中心與雲端服務業者有更多時間實作訂閱戶資料驗證的機制。兩者的期間都延後到2022年9月25日。</p> <p>這項規定遭到廠商及資安業者的反彈。<a href="https://www.accessnow.org/india-cert-in-directions-experts/" target="_blank">本周一20多位資安專家聯同隱私倡議組織</a>向CERT-In發出公開信，要求延後實施並舉行公開諮詢會議。</p> <p>該聲明指出，新法令將對網路安全及線上隱私產生負面後果。新法包含的安全事件回報作業時間僅6小時，以及要求保留用戶過於廣泛的資料，實務上難以達成而可能影響實施效果，並且斲傷線上隱私及安全性。</p> <p>此外一些外國VPN業者包括ExpressVPN本月初已宣布將退出印度市場，另二家廠商包括Surfshark和NordVPN也分別宣布跟進，都將在法規生效前關閉在印度伺服器及撤離印度。</p> <p>至於印度政府3個月後是否會撤回決定不得而知。印度電子暨資訊技術部次長Rajeev Chandrasekhar曾說不會對這些規定舉行公開諮詢會議。他並放話，不想蒐集用戶資料的廠商儘管可以離開印度市場。</p> <p>上周該部會還頒布<a href="https://www.ithome.com.tw/news/151538" target="_blank">新法規</a>，要求印度政府公務員或約聘、委外員工不得使用Nord VPN、ExpressVPN等業者提供的VPN服務以及Tor匿名服務，以及以Google Drive、Dropbox等雲端服務儲存公務檔案和文件。</p> </div></div></div>
2022/6/29 14:05作者林妍溱https://www.ithome.com.tw/news/151665
駭客宣稱取得450Gb的AMD資料，AMD展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體集團RansomHouse日前宣稱已成功入侵了AMD，並取得450Gb的AMD資料，而AMD則對外表示，正在針對此一事件展開調查。</p> <p>RansomHouse為去年底現身的新興勒索軟體集團，有別於傳統的勒索軟體，它的攻擊行動並未包含加密受害者系統上的檔案，而只是入侵受害組織，竊取機密資料，再以外洩資料向受害者勒索，<a href="https://www.ithome.com.tw/news/151465" target="_blank">非洲最大連鎖超市Shoprite Group亦於本月出現在RansomHouse的受害名單上</a>。</p> <p><a href="https://www.bleepingcomputer.com/news/security/amd-investigates-ransomhouse-hack-claims-theft-of-450gb-data/" target="_blank">RansomHouse向《BleepingComputer》透露</a>，該集團的合作夥伴是在一年前就入侵了AMD，但它們並未主動聯繫AMD，因為直接將資料出售給有興趣的對象，可能比等待AMD做出回應還有價值。</p> <p>即使今年初確實傳出AMD遭到勒索軟體攻擊，但AMD從未證實此事，且目前並無明確的證據顯示RansomHouse真的駭進了AMD。</p> </div></div></div>
2022/6/29 12:26作者陳曉莉https://www.ithome.com.tw/news/151664
Firefox 102出爐了，修補19個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/firefox/102.0/releasenotes/" target="_blank">Mozilla於28日釋出了支援Windows、macOS與Linux的Firefox 102</a>，此一版本允許使用者關閉下載時自動開啟的下載面板，進一步改善隱私功能，且其Linux版新增對GeoClue的支援，另也修補了19個安全漏洞。</p> <p>當使用者利用瀏覽器下載檔案時，瀏覽器總會自動跳出一個面板，顯示正在下載的檔案與進度，但Firefox 102允許使用者關閉面板自動跳出功能。</p> <p>新的隱私功能則存在於增強追蹤保護（Enhanced Tracking Protection，ETP）模式中，當使用者以ETP模式瀏覽網站時，Firefox 102將會去除那些用來追蹤使用者的URL參數。這是因為包括臉書等業者都會利用客製化的URL查詢參數來追蹤使用者的連結點擊，ETP模式中的Firefox 102即會剝離URL中的追蹤參數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-19-firfox%20102_ETP_Enhanced%20Tracking%20Protection_strict%20mode-android-V2.png" style="width: 360px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mozilla</span></span></p> <p>Linux版的Firefox 102主要是新增了對GeoClue地理位置的支援，它隸屬於D-Bus服務，可依據特定網站的需求提供位置功能。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-24/" target="_blank">Firefox 102亦修補了19個安全漏洞</a>，當中有4個被列為高度風險漏洞。</p> <p>根據StatCounter的統計，全球桌面瀏覽器市場仍由Chrome以66.16%的市占率居冠，Edge為10.12%，Safari為9.14%，Firefox以7.66%位居第四。</p> </div></div></div>
2022/6/29 11:38作者陳曉莉https://www.ithome.com.tw/news/151662
最新版OpenSSL出現Intel AVX512指令集相關記憶體毁損臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/" target="_blank">研究人員發現</a>，上周才釋出的最新版OpenSSL 3.0.4版出現一個遠端記憶體毁損的臭蟲。研究人員稱某些情境下比Heartbleed更嚴重。該臭蟲雖然已經修正，但解決該問題的OpenSSL版本尚未釋出。</p> <p><a href="https://www.openssl.org/news/changelog.html" target="_blank">OpenSSL 3.0.4</a>是為了解決一個指令注入漏洞CVE-2022-2068，才剛在6月21日釋出。OpenSSL是提供TLS協定實作的開源函式庫。2014年OpenSSL成為資安界的關注焦點，因為當年Heartbleed漏洞可使系統記憶體內的機密資料被讀取，<a href="https://www.ithome.com.tw/news/86593" target="_blank">這個漏洞也號稱網路史上最嚴重的漏洞</a>。</p> <p>最新漏洞是由研究人員Guido Vranken發現位於OpenSSL加密演算法之中，屬堆積緩衝溢位漏洞，可被攻擊者輕易觸發造成記憶體毁損。他聲稱，一旦被觸發讓遠端攻擊者執行程式碼，可能比Heartbleed更為嚴重。</p> <p>所幸有許多因素限制了該漏洞的嚴重後果。一來本漏洞僅影響剛釋出1周的最新版OpenSSL函式庫，許多用戶還在用1.1.1分支，而非3這個分支，也不影響已經分叉出去的BoringSSL、LibreSSL。更重要的是，受害者的機器必須是支援Intel x86 Advanced Vector Extensions 512（AVX512）指令集CPU的x64系統。</p> <p><a href="https://github.com/openssl/openssl/issues/18625" target="_blank">GitHub討論區一名研究人員指出</a>，這不只是sanitizer相關臭蟲，而會影響所有支援AVX512的CPU。除了Intel CPU外，謠傳AMD CPU也將支援AVX 512指令集。</p> <p>有人認為這只是讓使用AVX512 CPU的機器上無法執行OpenSSL 3.0.4的臭蟲，但不是安全漏洞。<a href="https://boringssl.googlesource.com/boringssl/+/13c9d5c69d04485a7a8840c12185c832026c8315" target="_blank">Google工程師David Benjamin 也相信</a>，只是會造成運算不正確執行，不是漏洞。不過也有人認為是一個漏洞。專家Alex Gaynor相信，該漏洞可為在遠端存取時使用RSA簽章等情境觸發緩衝溢位。</p> <p><a href="https://github.com/openssl/openssl/pull/18626/commits/71ad6a8da3e39bd4caf5c6c767287ddd9bce8bae" target="_blank">現在OpenSSL 已經修正了這項問題</a>，但尚未有正式軟體更新。</p> <p>許多開發人員都認為，不管是單純臭蟲，或是一個重大安全漏洞，現在必須等OpenSSL維護單位釋出更新的3.0.5版來解決CVE-2022-2068漏洞。</p> </div></div></div>
2022/6/29 12:09作者林妍溱https://www.ithome.com.tw/news/151663
Google設立專門推動政府服務的新部門Google Public Sector
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/announcing-google-public-sector" target="_blank">Google於6月29日宣布</a>設立了新的Google Public Sector部門，專門協助美國的公共部門進行數位轉型，包括聯邦、各州或各地方政府，也納入了教育機構。新的部門將暫由Google Cloud的CTO辦公室主管Will Grannis負責帶領，Google也打算替該部門尋找新的執行長。</p> <p>Google Cloud執行長Thomas Kurian表示，Google原本就提供專門解決公共部門需求的產品，有專門的銷售團隊、合作夥伴生態體系及服務組織，新的Google Public Sector部門則是擴大了原本的編制，它將直屬Google，致力將包括Google Cloud Platform 與Google Workspace等Google Cloud技術帶給美國的公共部門客戶。</p> <p>其實Google Public Sector將具備所有Google在商業領域的服務與能力，只是它具備了公共部門所需的認證，也專門服務政府及教育機構客戶，而且將有單獨的董事會，此一董事會的任務在確保Google Public Sector的產品與服務符合客戶的需求，預測未來該領域的需求，以及創造美國公共部門市場的差異化。</p> <p>過去幾年Google早就有與美國政府合作的經驗，包括協助美國空軍維護飛機或執行飛行員訓練，或是提供人工智慧與機器學習工具予海軍以減少船隻的碰撞，也支援國防部的雲端管理解決方案，協助退伍軍人事務部改善軍人存取福利與服務的途徑，並與美國能源部簽署5年的合作協議，以人工智慧技術協助美國專利暨商標辦公室進行專利檢索等。</p> <p>今年初Google Workspace已經取得了美國聯邦風險與授權管理計畫（Federal Risk and Authorization Management Program，FedRAMP）高安全等級，迄今Google Cloud則有超過100項產品通過FedRAMP的中度或高度安全等級的認證，這是美國政府用來評估雲端產品與服務的計畫，讓政府機構得以根據認證等級部署相關產品。</p> <p>此外，Google也有多項雲端產品取得了可存取與管理受管制之非機密資訊的Impact Level 4（IL4）認證，讓美國的政府機構得以將資料存放於Google Cloud上。</p> </div></div></div>
2022/6/29 10:13作者陳曉莉https://www.ithome.com.tw/news/151660
【資安日報】2022年6月28日，勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最具威脅的勒索軟體LockBit的動態相當引起研究人員關注，在昨天的資安新聞就有2起攻擊事故，而今天有資安研究團隊發現新的動態，那就是這些駭客在推出新版勒索軟體的同時，竟祭出漏洞懸賞計畫（Bug Bounty），範圍包含了LockBit勒索軟體、該組織網站，以及加密開源加密通訊軟體TOX、洋蔥（Tor）網路等。</p> <p>駭客藉由去年3月公布的Exchange重大漏洞ProxyLogon，攻擊受害組織的大樓管理系統（BAS），超過半年才有研究人員發現！這些駭客的目標是亞洲的電信業、製造業、運輸業者，但入侵的管道過往可說是相當罕見。</p> <p>委外廠商對於使用者的資料處理不當，甚至隨意存放在隨身碟，有可能造成資料外洩的疑慮，而且還是發生在做事極為謹慎的日本。最近在日本尼崎市就發生這樣的一起事故，協助比對符合請領補助民眾的IT業者，經手的員工竟將民眾個資存放在隨身碟攜帶在身上，不慎遺失後東窗事發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/vxunderground/status/1541156954214727685"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit推出3.0版，駭客也興起漏洞懸賞專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg" style="width: 300px; float: right;" /></a>為了找尋系統可能存在的漏洞，不少IT廠商祭出漏洞懸賞計畫（Bug Bounty），卻有許多廠商處理相當消極，或是削減研究人員的獎金。但這樣的做法竟被駭客發揚光大，模仿這樣的做法來為惡意程式除錯。</p> <p>資安研究團隊VX-Underground於6月27日，揭露勒索軟體LockBit的新態勢，駭客不只製作了3.0版LockBit，還同時推出漏洞懸賞計畫而引起資安人員關注。</p> <p>這些駭客懸賞的範圍也相當廣泛，不只包含勒索軟體的漏洞，還涵蓋了該組織網站，以及開源加密通訊軟體TOX、洋蔥（Tor）網路，獎金從1,000美元起跳。此外，若是有人能找出LockBit組織首腦身分，便能得到百萬美元的獎金。若是日後其他駭客也相繼跟進，強化作案工具，很有可能讓攻守雙方更加不對等。</p> <h3><strong style="font-size: 22px;"><a href="https://usa.kaspersky.com/about/press-releases/2022_apt-uses-shadowpad-backdoor-and-ms-exchange-vulnerability-to-attack-building-automation-systems"><span style="color: rgb(0, 0, 0);">駭客組織利用後門程式ShadowPad與Exchange漏洞攻擊大樓管理系統</span></a></strong></h3> <p>中國駭客使用Exchange Server漏發動攻擊的情況，最近又有事故傳出，而且是針對大樓的管理系統而來。卡巴斯基在去年10月發現不為人知的駭客組織，針對數個亞洲國家的電信業、製造業，以及運輸機構下手，而這些駭客入侵受害組織的方式，竟然是利用微軟Exchange Server的重大漏洞CVE-2021-26855（ProxyLogon），攻擊大樓自動化系統（Building Automation System，BAS），然後在這種管理系統中部署惡意軟體ShadowPad。</p> <p>研究人員進一步追查後發現，這起攻擊行動始於2021年3月，也就是漏洞ProxyLogon公布的時間點，且駭客使用中文進行溝通，再加上他們使用惡意程式如ShadowsPad、PlugX都是中國駭客常用的工具，很有可能是中國駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www3.nhk.or.jp/nhkworld/en/news/20220624_27/#:~:text=A%20city%20in%20western%20Japan,said%20the%20USB%20was%20lost."><span style="color: rgb(0, 0, 0);">日本承包商員工隨意將尼崎市46萬民眾個資存放在隨身碟，隨身碟遺失才東窗事發</span></a></strong></h3> <p>承包政府機關業務的業者，很有可能接觸到大量民眾個資，一旦保管不慎很有可能有洩露的疑慮，但這樣的事故還是發生在以謹慎著稱的日本。根據日本NHK的報導，日本兵庫縣尼崎市政府為了要發送COVID-19疫情經困金，委託外部資訊服務廠商Biprogy彙整符合資格的民眾資料，但該市的官員指出，該廠商的員工未經市府同意，竟使用隨身碟存放該市46萬名市民的個資，並於21日工作結束後帶著隨身碟到居酒屋用餐、飲酒，事後發現隨身碟不異而飛，於22日報案並通知市政府。</p> <p><a href="https://www.city.amagasaki.hyogo.jp/kurashi/seikatusien/1027475/1030947.html">尼崎市政府表示</a>，此隨身碟設置了密碼，目前尚未發現資料外洩情事，市府承諾將會加強相關資料管理，並設立電話專線來處理民眾對本次事故的問題。</p> <p>而負責上述民眾資料彙整的資訊服務公司Biprogy坦承過失並<a href="https://www.biprogy.com/pdf/topics/info_20220624_1.pdf">公布事件發生經過</a>，他們的員工確實未經許可就利用隨身碟存放個資，也沒有遵守下班前刪除敏感資料的準則。<a href="https://www.biprogy.com/pdf/topics/info_20220624_2.pdf">這個隨身碟後來於24日尋獲</a>，該公司也<a href="https://www.biprogy.com/pdf/topics/info_20220626.pdf">於26日發布對於此事進行檢討，公布改進措施</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf"><span style="color: rgb(0, 0, 0);">美西銀行的ATM被安裝側錄裝置</span></a></strong></h3> <p>駭客不只在網路環境進行交易資料的側錄，也有針對實際環境下手的情況。法國巴黎銀行（BNP Paribas）美國子公司美西銀行於6月23日，向客戶提出警告，指出他們發現駭客在自動櫃員機（ATM）上部署了側錄裝置，可能有用戶的簽帳卡（Debit Card）資料遭竊。該公司最初察覺異狀是在去年11月，他們的資安團隊發現，有數個未經授權的帳號嘗試提款，於是該公司向警方通報，並著手檢查自家ATM的網路，結果發現，駭客已在數臺ATM上安裝了側錄裝置，這些裝置不只會記錄卡號、PIN碼，還有可能會干預簽帳卡的交易。</p> <p>該公司移除了有問題的ATM並著手調查，並呼籲用戶應時常留意自己戶頭的狀態，並承諾戶頭的存款若是遭到盜領或盜刷，他們將吸收相關損失。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-finally-shuts-down-data-leak-negotiation-sites/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti關閉公布受害者資料的網站</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-ransomware-attack-on-med-university-of-innsbruck/"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society聲稱攻陷了奧地利醫學院</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> </div></div></div>
2022/6/28 18:46作者周峻佑https://www.ithome.com.tw/news/151656
標榜端對端加密的經期追蹤程式Stardust遭爆與第三方分享用戶電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國最高法院在上周五（6/24）推翻了1973年的「羅訴韋德案」（Roe v. Wade），認為美國憲法並未賦予女性墮胎權，隨之有超過20個州準備禁止女性墮胎之後，經期追蹤程式Stardust很快便宣稱該程式將提供端對端加密，以保障用戶隱私，使得它在上周末成為美國行動程式的下載冠軍，不過，《<a href="https://techcrunch.com/2022/06/27/stardust-period-tracker-phone-number/" target="_blank">TechCrunch》在觀察Stardust程式的流量之後</a>，卻發現它與第三方業者分享用戶的電話號碼。</p> <p><a href="https://www.tiktok.com/@stardust.app/video/7112878594275282222?is_copy_url=1&is_from_webapp=v1" target="_blank">Stardust創辦人Rachel Moranis在最高法院判決出爐的同一天就透過TikTok宣布</a>，該程式將提供端對端加密，以確保沒有任何政府或企業能夠存取屬於用戶的資料，這項聲明使得Stardust的下載量竄升，在24日創下13.5萬次的安裝數量，比前一天成長4,400%，隔天安裝數量再衝上20萬次，躍上App Store免費程式的下載冠軍，光是這兩天的安裝數量便占了Stardust總安裝數量的82%。</p> <p>這讓《TechCrunch》決定執行iPhone上Stardust程式的流量分析，發現倘若使用者是以電話號碼進行登入，而非蘋果或Google帳號，那麼Stardust便會與第三方業者Mixpanel分享用戶的電話號碼。</p> <p>Mixpanel為一分析業者，可追蹤程式的使用並協助判斷程式問題，供開發者改善程式，除了電話號碼之外，Stardust亦與Mixpanel分享用戶的手機型號、作業系統版本，以及所使用的電信服務品牌。雖然Stardust並未與Mixpanel分享使用者的其它程式資料，但光是電話號碼就足以用來辨識用戶身分。此外，《TechCrunch》也懷疑Stardust的端對端加密機制是否真的安全。</p> <p>突然大紅的Stardust很快就遭到各界的放大檢視，例如它原來的隱私政策顯示該程式會蒐集諸如裝置或位置等用戶資料，也說必須遵守政府或其它實體的法律請求，但該程式在26日就更新了隱私政策，強調任何該公司被要求分享的健康資料都不會連向使用者，也都將保持匿名。</p> <p><a href="https://twitter.com/Stardusttracker/status/1541105312018595842" target="_blank">Stardust繼之在27日藉由Twitter提出了說明</a>，指出它們加密了使用者的電子郵件、電話、Apple ID，以及使用者於Stardust上的行為，在建立帳號的當下，程式便會自動產生一個僅存放於手機上的加密金鑰，因此，就算政府發出了傳票，Stardust也無法替政府生產任何東西。</p> <p>Stardust也正著手打造一個選項，讓使用者可以不需要提供任何個人身分辨識資訊，以完全匿名的方式操作程式。</p> <p>反對剝奪女性身體自主權的團體以各種方式來聲援女性，除了Stardust之外，已有不少經期追蹤程式發出聲明，誓言保障使用者的隱私與資料安全，<a href="https://www.ithome.com.tw/news/151625" target="_blank">而微軟、Google、蘋果、Amazon與Meta等科技業者則將提供旅行補助</a>，以讓女性員工到其它可提供合法墮胎醫療服務的州別就醫。</p> </div></div></div>
2022/6/28 09:58作者陳曉莉https://www.ithome.com.tw/news/151632
勒索軟體也時興抓漏獎勵？LockBit 3.0創首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>號稱是全球最大惡意程式原始碼、樣本及研究報告資源庫的vx-underground，在周一（6/27）發現知名勒索軟體Lockbit已釋出3.0版，而且還破天荒地推出了抓漏獎勵專案，鼓勵資安研究人員、白帽駭客、黑帽駭客等各路高手來尋找Lockbit 3.0、官網，以及所使用工具的安全漏洞，若能辨識其聯盟首腦的身分，就算是FBI幹員，都能得到價值100萬美元的比特幣獎勵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-lLockBit-bug%20bounty-600-1.png" style="width: 596px;" /></p> <p><a href="http://twitter.com/vxunderground/status/1541156954214727685/photo/2" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／vx-underground</span></span></a></p> <p>Lockbit現身於2019年9月，於地下市集中提供勒索軟體即服務（Ransomware-as-a-Service，RaaS），Lockbit 2.0在去年6月出爐，它可主動偵測有價值的大型組織，號稱是加密速度最快的勒索軟體，可在3小時內加密25臺伺服器與225個工作站，迄今已成功感染數百個組織，包括<a href="https://www.ithome.com.tw/news/146157" target="_blank">去年曾向Accenture勒索5,000萬美元</a>，也是今年攻擊數量最高的勒索軟體，<a href="https://www.ithome.com.tw/news/151270" target="_blank">鴻海墨西哥工廠</a>也在今年6月傳出已淪為Lockbit 2.0的受害者。</p> <p><a href="https://twitter.com/vxunderground/status/1541156954214727685/photo/2" target="_blank">根據Lockbit駭客集團的抓漏獎勵專案內容</a>，地球上不管有沒有道德的駭客都歡迎參與該專案，獎金從價值1,000美元到100萬美元的比特幣不等，抓漏的項目涵蓋官網漏洞、Lockbit勒索軟體的漏洞、各種可以改善網站或軟體的建議、辨識開源加密傳訊軟體TOX漏洞或是Tor網路漏洞的，都歡迎提報，而只要能夠找出Lockbit聯盟首腦身分，即可得到100萬美元的獎賞。</p> <p>vx-underground也發現，Lockbit 3.0不僅鼓勵駭客騷擾受害者，也新增了所竊取資料的拍賣及銷毀功能。</p> </div></div></div>
2022/6/28 15:23作者陳曉莉https://www.ithome.com.tw/news/151655
美西銀行的實體ATM遭駭客安裝側錄裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf" target="_blank">美西銀行（Bank of the West）上周通知客戶</a>，指出駭客在該行的數個實體ATM上安裝了側錄裝置（Skimming Device），可能已盜走了用戶的簽帳卡（Debit Card）資訊。</p> <p>美西銀行為法國巴黎銀行（BNP Paribas）在美國的子公司，於美國西部及中西部擁有逾600個分行與辦公室。</p> <p>根據該行的說明，其安全團隊是在去年11月於數個ATM發現有未經授權的帳號提領嘗試，於是主動聯繫警方並著手檢查自家的ATM網路，發現駭客在數個ATM機器上安裝了側錄裝置。</p> <p>此一ATM側錄裝置可用來干預簽帳卡的交易，並記錄卡片上的號碼、PIN碼，也可能包括使用者的姓名與地址，駭客可利用所竊取的資訊來建立偽造的簽帳卡並用來領錢。</p> <p>美西銀行表示，他們在發現側錄裝置的蹤跡之後，立即移除有問題的ATM機器，以檢查這些機器是否有遭到竄改，並密切與執法機關合作，當發現可疑的帳號活動時，即會先凍結用戶的帳號，再寄送新的簽帳卡予用戶。</p> <p>該行提醒用戶應注意自己帳號的可疑活動，並向銀行回報，也強調用戶若真的因此而被盜領、盜刷或盜匯，將無需承擔責任。</p> </div></div></div>
2022/6/28 14:49作者陳曉莉https://www.ithome.com.tw/news/151653
美國與巴西扣押逾200個非法音樂下載網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西及美國政府上周發表第四波掃盪非法盜版網站的Operation 404.4行動成果，<a href="http://www.justice.gov/opa/pr/united-states-seizes-six-websites-providing-illegal-access-copyrighted-music" target="_blank">美國扣押了6個提供非法音樂串流或下載的網域名稱</a>，<a href="https://www.gov.br/mj/pt-br/assuntos/noticias/operacao-404-chega-a-4a-edicao-com-buscas-no-metaverso-suspensao-de-4-canais-e-90-videos-retirados-do-ar" target="_blank">巴西則移除了266個提供非法音樂串流服務的網站</a>。</p> <p>Operation 404行動是由巴西政府在2019年秋天所發起，為一大規模的反盜版掃盪活動，並獲得美國與英國執法機構的支援，除了首波的行動之外，隨後的行動則以Operation 404.2、Operation 404.3或Operation 404.4作為行動代號。</p> <p class="rtecenter"><img alt="" src="https://www.gov.br/mj/pt-br/assuntos/noticias/operacao-404-chega-a-4a-edicao-com-buscas-no-metaverso-suspensao-de-4-canais-e-90-videos-retirados-do-ar/operacao-404-chega-a-4a-edicao-com-buscas-no-metaverso-suspensao-de-4-canais-e-90-videos-retirados-do-ar.1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／巴西政府</span></span></p> <p>美國司法部表示，這次的行動扣押了Corourbanos.com、Corourbano.com、Pautamp3.com、SIMP3.com、flowactivo.co及Mp3Teca.ws等6個向美國網域名稱註冊商或是透過美國網域名稱註冊商註冊的網域，這些網域專門提供使用者串流或下載非法音樂，但皆已被執法機構接管。</p> <p>至於巴西的成果則更豐碩，總計移除了266個網站，刪除15個與這些網站有關的社交網站帳號，關閉了461個非法的音樂串流程式，另也逮捕了6名嫌犯，同時扣押他們所使用的電腦、硬碟、手機與伺服器等，並針對25名嫌犯展開調查。</p> <p>巴西指出，Operation 404行動主要的目的就是要打擊盜版，因為這些侵權行為每年造成了150億黑奧（約28.6億美元）的損失。此外，這些網站與程式不僅提供盜版的音樂服務，當中還有75%可能涉及竊取用戶資訊，包括電子郵件、密碼與銀行紀錄等。</p> </div></div></div>
2022/6/28 15:06作者陳曉莉https://www.ithome.com.tw/news/151654
Google Hangouts將於今年11月正式關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼於今年3月於Workspace中，直接以Google Chat作為預設聊天程式並取代Google Hangouts之後，<a href="https://blog.google/products/workspace/hangouts-to-chat/" target="_blank">本周宣布將在今年11月正式關閉Google Hangouts</a>。</p> <p>Google的通訊程式歷經多次的更迭，最早是在2005年推出Google Talk，而Google Hangouts則是2011年問世之Google+社交服務中的通訊功能，它在2013年成為獨立產品，並逐步整合Google+ Messenger、Google Talk與Google Voice。</p> <p>就在看起來Google Hangouts將成為Google的單一通訊產品之際，Google又在2017年宣布將它拆分為Hangouts Meet與Hangouts Chat，前者著重視訊會議經驗，後者定位為文字協作平臺，專攻企業市場，接著摒棄Hangouts品牌名稱，將兩項服務更名為Google Meet與Google Chat，因應COVID-19疫情的遠端協作需求，Google Meet與Google Chat先後在2020年與2021年成為免費服務。</p> <p>事實上，Google早在2019年就計畫要讓Google Hangouts退役，但它一直到今年3月才正式退出Workspace，預計今年11月就會完全退出市場，既有的Hangouts用戶將會自動被移轉至Google Chat。</p> <p>根據Google所訂定的時程，Gmail中的Hangouts會在今年7月自動切換至Google Chat，網頁版Hangouts服務則會在今年11月關閉，Google亦建議使用者在此之前可透過Google Takeout下載Hangouts資料。</p> <p>Google表示，該公司對Google Chat的未來抱有很大的野心，將替它打造現代化的整合經驗，之後幾個月將可看到更多的新功能出爐。</p> </div></div></div>
2022/6/28 10:34作者陳曉莉https://www.ithome.com.tw/news/151633
南韓最大汽車共享平臺Socar申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有南韓Uber之稱的南韓最大汽車共享平臺<a href="https://pulsenews.co.kr/view.php?sc=30800021&year=2022&no=561872" target="_blank">Socar上周五（6/24）向南韓證券交易中心遞交了首次公開發行股票（IPO）的申請</a>，計畫於今年8月登上南韓交易所（Korea Exchange，KRX），預計至少募資1,547億韓元（1.19億美元）。</p> <p>Socar成立於2011年，當時僅提供200輛汽車，經過10年的發展之後，Socar現已是南韓最大的汽車共享業者，除了提供一般民眾的叫車服務之外，也提供商業汽車租賃服務，市占率超過7成。今年第一季Socar虧損了85億韓元，低於去年同期的210億韓元的虧損。</p> <p>目前Socar的發行價未定，僅預計會落在34,000~45,000韓元之間，估計最多可創下1.6兆韓元的市值，但先前Socar的市值曾高達2.4兆韓元。</p> <p>全球股市今年表現欠佳，南韓也不例外，韓國綜合股價指數（Kospi）今年以來已下滑超過20%。</p> </div></div></div>
2022/6/28 10:52作者陳曉莉https://www.ithome.com.tw/news/151634
M2版MacBook Pro的256GB SSD跑得比M1版慢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果採用最新M2晶片的13吋MacBook Pro於上周開始出貨，<a href="https://www.youtube.com/watch?v=srnXkD5gIOk&t=69s" target="_blank">Max Tech</a>及<a href="https://www.youtube.com/watch?v=QmIcFWu0US0" target="_blank">Created Tech</a>兩個YouTube頻道迫不及待地開箱，它們比較了基於M1晶片與M2晶片的256GB SSD配置的MacBook Pro，卻發現M1版MacBook Pro的256GB SSD跑得比M2版快。</p> <p>這兩個頻道都是利用Blackmagic Disk Speed Test程式，來測試Mac儲存空間的效能與傳輸速度，其中，Max Tech發現M1 MacBook Pro的256GB SSD讀取速度為2900 MB/s，寫入速度為2215 MB/s，M2版的讀取速度為1446 MB/s，寫入速度為1463 MB/s ，意味著M2 MacBook Pro的SSD讀取速度比M1版慢了50%，寫入速度慢了30%，而Created Tech的測試結果也差不多。</p> <p>於是Max Tech拆解了M2 MacBook Pro，發現它的SSD採用單一的256GB NAND晶片，而同為256GB SSD的M1版則是採用兩個128GB的NAND晶片。NAND儲存晶片在平行時效能較佳，也會有更好的讀寫速度，涉及程式載入、檔案傳輸與資料存取速度等。</p> <p>256GB的版本為M2 MacBook Pro的入門款選項，售價為1,299美元（39,900元新臺幣），與M1版一致，但512GB版本或是蘋果送給媒體測試的1TB版本似乎都沒有此一問題。</p> <p>媒體分析，蘋果可能是為了成本或供應鏈問題，選擇變更256GB SSD的配置。然而，蘋果並未於規格上註明M2 MacBook Pro採用與M1版不同的SSD配置，而且送測的都是未受影響的1TB版本，也被外界視為是不夠誠實的作法。</p> <p>同樣採用M2的新一代MacBook Air也預計會在下個月出貨，其最低階版本也是配備256GB的SSD，外界猜測它很可能也是採用單一NAND儲存晶片。蘋果則尚未回覆外界的詢問。</p> </div></div></div>
2022/6/27 22:19作者陳曉莉https://www.ithome.com.tw/news/151631
Pi錢包加入慢點付，進入BNPL市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome旗下Pi錢包正式加入慢點付，結合行動支付、先買後付BNPL（Buy Now Pay Later）、無卡分期功能，擴大支付服務繳款彈性，向國內逾800萬無信用卡的消費族群招手。</p> <p>PChome積極布局金融科技服務，去年以21.6億元加上拍付國際股分互換方式，取得廿一世紀數位科技約一半股權及控制權，廿一世紀數位科技成為PChome旗下子公司。今天（6/27）Pi錢包加入由廿一世紀數位科技開發的慢點付功能，增加BNPL、無卡分期功能，擴大用戶使用支付工具的靈活性。</p> <p>早在4月底，Pi錢包便導入慢點付功能，至今兩個月時間，註冊用戶數增加3萬人，支付金額月增超過60%，PChome期望透過行動支付、BNPL、無卡分期建立差異化的支付服務，加上線上、線下支付應用，P幣生態圈，建構用戶新的消費支付體驗。</p> <p>PChome網路家庭集團董事長詹宏志表示，在疫情催化及電商蓬勃發展下，新世代的消費族群偏好自在的生活型態、彈性的支付選擇、資金運用方式，使得BNPL的消費模式在全球或臺灣興起。臺灣仍有逾800萬人為無信用卡族群，其中包括高收入，但無固定薪水的自由工作者，或是無法輕易辦卡的藍領工作者，使得先買後付的消費型態成為消費者支付方式的新寵。Pi錢包結合慢點付，結合行動支付、先買後付BNPL、無卡分期，提供創新的金融服務。</p> <p>廿一世紀數位科技表示，運用大數據建立信用評分模型，用戶註冊慢點付只要提供姓名、電話等簡易資料，不到10秒即時審核，完成註冊，初期提供的支付上限可能不高，但該公司強調最高可獲得5萬元的支付上限，支付的信用額度未來將隨用戶的支付習慣作調整，可用於超市超商、線上購物、百貨、餐飲、美妝藥局等通路。</p> <p>目前註冊慢點付的用戶需年滿20歲以上，根據廿一世紀數位科技分享的資料，目前註冊用戶已突破3萬人，主要年齡介於20到39歲之間，加入Pi錢包，增加支付的合作商家數量之外，今年底用戶數有機會達到10萬。</p> <p>Pi錢包目前約有135萬會員，合作的支付通路包括線上與線下約38萬店家，未來結合慢點付，進入BNPL，可望提供用戶更彈性、靈活的支付方式。</p> </div></div></div>
2022/6/27 19:44作者蘇文彬https://www.ithome.com.tw/news/151630
遠東百貨將結合Happy Go千萬會員消費數據，進一步優化會員經營及分眾行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東百貨在6月24日股東會中透露，將擴大利用集團旗下集點服務Happy Go的消費者數據，結合自家App和團購社群等數據來源，進一步推動會員經營及分眾行銷。</p> <p>遠東百貨去年先推出遠百App 3.0版本，啟動了新的會員分級制度，也增加商品兌換、查詢消費紀錄等新功能來提高顧客的資訊利用黏著度。遠東百貨在股東會資料中提到，將擴大運用龐大的Happy Go消費者數據，結合遠百App與各分公司的社群平臺資料，來推動會員經營和分眾行銷。而遠百旗下的量販店愛買，則已經開始分析Happy Go會員大數據，作為會員經營參考。</p> <p>目前Happy Go擁有超過1千萬名會員，近幾年透過點數、金流和優惠票卷等行銷手法，已經成為遠東集團打造顧客生態圈的重要平臺。發行Happy Go點數的鼎鼎聯合行銷在6月初宣布要轉型成MarTech服務業者，要打造數據、行銷和數位三大平臺。</p> <p>遠百也指出，升級改版後的遠百App在資策會2021零售電商消費者行為調查中，躍升為百貨公司App第二常用，每日開啟人次增加763%，有利於更全面的會員數據分析。未來，遠百將進一步翻新旗下各家零售接觸點的App及官網。</p> <p>除了透過會員數據分析，以推出精準行銷方案，遠百近年也推動不少數位化措施。其中又以愛買為先驅，今年導入自助結帳系統降低人力成本，並推動電子商務，不僅在Foodpanda上線，也在東森網路購物平臺推出愛買商城，未來更預計推出1天內配送到府服務及30分鐘內配送到府服務。</p> <div> </div> </div></div></div>
2022/6/27 16:50作者郭又華https://www.ithome.com.tw/news/151628
【資安日報】2022年6月27日，豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有豐田汽車下游的零件供應商傳出遭到勒索軟體攻擊！豐田紡織專門提供汽車內裝材料業者TB Kawashima，表明旗下的泰國子公司遭到駭客入侵，而根據資安新聞網站Bleeping Computer的報導，該公司很可能是遭到勒索軟體LockBit攻擊。</p> <p>駭客針對PyPI套件發動攻擊的情況，最近又傳出相關事故，而且駭客疑似鎖定AWS帳密而來。但比較特別的是，有其中一個套件安裝時會納入另一個套件，且較其他幾個套件留存在PyPI套件庫的時間較長。</p> <p>為了協助中小企業因應層出不窮的網路安全事故，美國打算建立類似於911的緊急求助電話專線「311」，讓這些企業在遭遇資安事故時，能進行通報。有了此項新政策，對於該國相關單位後續追緝駭客，應該也會有很大的幫助。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/automotive-fabric-supplier-tb-kawashima-announces-cyberattack/"><span style="color: rgb(0, 0, 0);">豐田旗下的TB Kawashima疑遭勒索軟體LockBit攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織針對汽車大廠豐田旗下的零件供應商下手，自今年初至今已有數起事故，汽機車軟管製造商Nichirin於6月14日遭到攻擊後，疑似又有廠商受害。</p> <p>根據資安新聞網站Bleeping Computer報導，豐田紡織旗下專門供應汽車、飛機、火車等內裝材料的TB Kawashima透露，專門經營泰國銷售業務子公司傳出在6月23日遭到入侵，但該公司宣稱豐田紡織集團的所有業務都正常運作，不受攻擊事故影響。</p> <p>而針對攻擊者的身分，勒索軟體駭客組織LockBit宣稱在6月17日，入侵了TB Kawashima的其中一臺伺服器，並於24日傍晚公布竊得的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/35822/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit寄送網站圖片著作權宣告信進行釣魚攻擊</span></a></strong></h3> <p>駭客發動網路釣魚的幌子，很可能讓對方以為會惹上麻煩遭到提告，而不疑有他開啟附件檔案。例如，資安業者AhnLab最近揭露勒索軟體LockBit的攻擊手法，駭客宣稱，收信人所屬的公司在網站上使用了侵權的圖片，要求從網站上刪除，否則將面臨法律訴訟。但這些郵件並未提及對方使用了那些侵權的圖片，而是宣稱相關資料列於附件檔案。</p> <p>假若收信人不慎開啟附件檔案，電腦就有可能遭到勒索軟體LockBit 2.0加密檔案。<a href="https://www.bleepingcomputer.com/news/security/fake-copyright-infringement-emails-install-lockbit-ransomware/">資安新聞網站Bleeping Computer指出</a>，他們最近也發現類似的釣魚郵件，攻擊者將其用於散布BazarLoader、Bumblebee等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/python-packages-upload-your-aws-keys-env-vars-secrets-to-web"><span style="color: rgb(0, 0, 0);">惡意Python套件竊取用戶的AWS帳密</span></a></strong></h3> <p>近期鎖定PyPI套件用戶的情況已有數起攻擊事故出現，且有不少是針對開發人員的AWS帳密而來。資安業者Sonatype於6月23日表示，他們近期看到5個含有攻擊意圖的PyPI套件：loglib-modules、pyg-modules、pygrata、pygrata-utils，以及hkg-sol-utils。</p> <p>其中的loglib-modules與pyg-modules特別引起研究人員的注意，因為攻擊者將它們用來竊取AWS帳密、受害電腦網路環境參數等資料；而pygrata是唯一沒有竊密功能的套件，但與過往其他的惡意PyPI極為不同，它需要搭配pygrata-utils，且在其他4個套件遭到PyPI移除後，仍存在了一段時間。</p> <h3><strong style="font-size: 22px;"><a href="https://mrd0x.com/attacking-with-webview2-applications/"><span style="color: rgb(0, 0, 0);">微軟Edge瀏覽器的WebView2應用程式可被用於繞過MFA</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif" style="width: 300px; float: right;" /></a>瀏覽器的渲染網頁元件不只能提供開發人員更快打造網頁應用程式，也可能成為駭客用來發動攻擊的管道。研究人員mr.d0x於6月21日公布鎖定微軟Edge的攻擊手法，滲透的主要管道是WebView2元件。他們修改了微軟提供的WebView2範例，即可透過WebView2本身的功能，將JavaScript注入網站，或是把鍵盤側錄程式植入微軟登入網頁，進而將使用者輸入的資料回傳。</p> <p>但研究人員指出，駭客不只能將WebView2用於上述攻擊，還能濫用於竊取Cookie，進而存取使用者檔案的資料夾（User Data Folder，UDF），有可能因此得以繞過雙因素驗證（MFA）機制。針對上述的發現，微軟認為使用者若是能藉由良好的使用習慣，還是有機會降低遭到濫用WebView2攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.comparitech.com/blog/information-security/school-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">2021年有67起美國各級學校的勒索軟體攻擊，有954所受害</span></a></strong></h3> <p>駭客最近3至4年大肆攻擊美國各級學校的現象，似乎有略為趨緩的現象，但原因可能是有部分學校開始強化相關因應措施。資安業者Compatitech最近公布的調查報告指出，2021年總共有67起鎖定美國各級學校的勒索軟體攻擊，結果共有954所學校受害，這樣的攻擊行動次數較2020年減少19％、受害學校少了46%。</p> <p>研究人員認為相關事故減少的原因，在於學校已對此種攻擊的準備日益充分，停機與復原系統的時間都變得更快，而使得勒索軟體駭客降低對學校下手的頻率。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://peterjson.medium.com/miracle-one-vulnerability-to-rule-them-all-c3aed9edeea2"><span style="color: rgb(0, 0, 0);">甲骨文花了6個月修補Fusion Middleware的重大漏洞</span></a></strong></h3> <p>大型IT業者對於企業軟體漏洞處理牛步，很可能使得用戶曝險時間變長。資安業者VNG的研究人員PeterJson，與另一家資安業者VNPT的研究人員Nguyen Jang聯手，在去年10月發現Fusion Middleware的漏洞，分別影響Oracle Access Manager（OAM）的伺服器端請求偽造（SSRF）漏洞CVE-2022-21497，以及影響Oracle JDeveloper的ADF Faces Framework框架元件的RCE漏洞CVE-2022-21445。甲骨文先後於今年1月的2022年第1季的例行修補、4月的第2季例行修補提供更新軟體，研究人員呼籲用戶應儘速安裝相關修補程式。</p> <p>但研究人員指控，甲骨文處理的時間過長，已經超出業界常見的90天期限。尤其是CVE-2022-21445的CVSS風險評分高達9.8分，且攻擊者無須通過身分驗證就能利用，有機會藉此接管JDeveloper，研究人員進一步調查後發現，該公司旗下的Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management，以及ADF Faces Framework開發的網站也受到影響；另一個漏洞CVE-2022-21497的CVSS評分為8.1。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/news/2022/06/22/readout-cisas-third-cybersecurity-advisory-committee-meeting"><span style="color: rgb(0, 0, 0);">美國針對網路安全事故推出311專線</span></a></strong></h3> <p>為了提供中小企業對於資安事故的幫助，美國開始有人提倡應推出類似911的專線服務。美國網路安全暨基礎設施安全局（CISA）於6月22日，在德州舉行網路安全諮詢委員會議，這是自2021年12月開始舉辦後的第3次會議，其中有項提議相當引人關注，那就是由蘋果資訊安全副總裁George Stathakopoulos提出的311全國專線，這支電話成立的目的，就是為了在資安防護上資源較為有限的中小企業，提供即時的資安訓練資源。</p> <p>此外，311專線也有機會協助當局追蹤攻擊事件──因為，許多私人企業有可能在發生事故時拒絕向政府通報，使得CISA與美國聯邦調查局（FBI）難以進一步追查駭客的行蹤。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-hacking-spree-breaches-over-40-orgs-in-a-month/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti一個月攻陷逾40個組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/06/22/defending-ukraine-early-lessons-from-the-cyber-war/"><span style="color: rgb(0, 0, 0);">不只鎖定烏克蘭！俄羅斯亦對於逾40個國家下手</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> </div></div></div>
2022/6/27 18:09作者周峻佑https://www.ithome.com.tw/news/151629
駭客利用Microsoft Edge WebView2來繞過雙因素認證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mrd0x.com/attacking-with-webview2-applications/" target="_blank">資安研究人員mr.d0x上周警告</a>，駭客將可利用Microsoft Edge WebView2來注入惡意的JavaScript，繞過雙因素認證機制，或是用來竊取Chrome所存放的Cookie。</p> <p><a href="https://docs.microsoft.com/en-us/microsoft-edge/webview2/" target="_blank">Microsoft Edge WebView2控制器</a>可讓開發人員將HTML、CSS及JavaScript等網頁技術嵌入原生應用程式中，並利用Microsoft Edge作為渲染引擎，以於程式中呈現網頁內容，將可改善桌面應用程式與網頁應用的互動。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-us/microsoft-edge/webview2/media/webview2/what-webview.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>mr.d0x表示，對駭客而言，在展開憑證或執行期間的網釣攻擊時，WebView2的最大優點在於豐富的功能，使得他決定修改既有的WebView2範例，建立各種WebView2程式以展示如何進行不同目的的攻擊。</p> <p>其中之一是利用WebView2所內建的功能，將JavaScript注入任何網站，包括惡意的JavaScript。而mr.d0x即利用一個客製化的WebView2程式，將一個鍵盤側錄程式注入微軟的合法登入頁面上，並將使用者所輸入的憑證資訊回傳遠端伺服器上。</p> <p>WebView2另一個內建功能允許開發者在使用者登入合法網站上之後，竊取使用者Cookie，由於使用者已經成功登入了，因此駭客所取得的Cookie在使用者執行期間都是有效的，等於是繞過了雙因素認證機制。</p> <p>mr.d0x也在Chrome上成功測試了利用WebView2來竊取現有使用者的所有Cookie，因為WebView2允許開發者執行既有的使用者資料文件夾（User Data Folder，UDF），而不是建立新的，而該既有文件夾即存放了所有的密碼、期間與書籤等，只要告知WebView2以既有的Chrome UDF開啟實例，之後就能汲取所有的Cookie，並將它們傳送到駭客的伺服器上。</p> <p>不過，成功的攻擊還必須先利用社交工程技術，以讓使用者同意下載與執行惡意程式，<a href="https://www.bleepingcomputer.com/news/security/clever-phishing-method-bypasses-mfa-using-microsoft-webview2-apps/" target="_blank">《BleepingComputer》取得了微軟的建議</a>，呼籲使用者應該維持良好的使用習慣，不要安裝與執行來路不明的應用程式，並且啟用Microsoft Defender或其它防毒軟體。</p> </div></div></div>
2022/6/27 14:25作者陳曉莉https://www.ithome.com.tw/news/151627
VMWare產品Log4Shell漏洞持續被攻擊，1受害者被竊取至少130GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Log4j（CVE-2021-44228，Log4Shell）漏洞自去年底揭露以來，仍不斷有攻擊者試圖尋找尚未修補的受害者<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a" target="_blank">。美國網路安全暨基礎架構安全署（CISA）及美國海岸警衛隊網路司令部（CGCYBER）聯合發出安全公告</a>，駭客近2個月仍利用VMware Horizon、Unified Access Gateway（UAC）伺服器尚未修補Log4Shell漏洞，駭入企業或政府單位。</p> <p>根據CISA與CGCYBER的安全公告，為害的攻擊者包括國家駭客（advanced persistent thereat，APT），他們是利用VMware Horizon及UAG的Log4Shell漏洞得以存取受害者網路。公告中，駭客進入一個受害組織網路後，植入了Windows下載器hmsvc.exe，它是利用Windows 合法服務（ysInternals LogonSessions軟體）加入有害程式碼，再在合法掩護下安裝，並於受害者網路內建立和外部C&C伺服器的連線以便執行日後攻擊指令。該程式甚至取得NT AUTHORITY\SYSTEM管理員權限得以執行。</p> <p>而在CISA證實的一項攻擊案例中，攻擊者進入受害者網路後在網路內橫向移動。攻擊者利用RDP（Remote Desktop Protocol）協定連向生產環境中的其他多臺主機，包括安全管理伺服器、憑證伺服器、包含敏感執法資料的資料庫，以及郵件轉接伺服器，甚至受害者的災難復原網路。攻擊者甚至取得了多個用戶帳號，包括管理員帳號。在這些被駭入的主機上，攻擊者也植入下載器程式，包括建立C&C伺服器連線的惡意程式。</p> <p>CISA相信前述攻擊事件的受害者，其實遭到多個駭客組織攻擊，而在四、五月的3周期間，光是安全管理伺服器就有超過130GB資料被傳入位於外國IP位址的伺服器。此外也在一個被駭的管理員帳號下發現包含執法調查資料的.rar檔案，估計準備要送出去。</p> <p>CISA及CGCYBER再次呼籲VMware用戶應儘速升級到最新版軟體，並建議用戶將重要服務建立在有嚴格網路周界存取控管的DMZ，在內部網路不要執行面向網際網路的不重要服務。此外也應實施多因素驗證，使用強密碼及最低權限以限制使用者存取。</p> <p>CISA五月間還針對另一個影響多個VMware 產品（Workspace ONE Access、Identity Manager等）的<a href="https://www.ithome.com.tw/news/150450" target="_blank">RCE漏洞CVE-2022-22954</a>發出<a href="https://www.cisa.gov/emergency-directive-22-03" target="_blank">緊急安全公告</a>，指出一個大型組織環境正遭到攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color: rgb(51, 153, 255);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/6/27 11:41作者林妍溱https://www.ithome.com.tw/news/151624
在美國最高法院推翻女性擁有墮胎權利的法案後，微軟、Google與蘋果等眾多科技業者出面捍衛女性員工權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院在上周五（6/24）推翻了1973年「羅訴韋德案」（Roe v. Wade）中，以憲法保障女性墮胎權的裁決，指出美國憲法並未賦予墮胎權，使得美國有超過20個州都打算實施禁止墮胎的法令，對此，包括微軟、Google、蘋果、Amazon與Meta等眾多的科技業者都打算提供補助，讓女性員工到可合法墮胎的州尋求服務。</p> <p>在此一裁決出爐之後，<a href="https://www.theverge.com/2022/6/24/23182288/google-letter-email-employees-roe-v-wade-decision?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Google很快就發出一封內部郵件</a>，指出對該公司而言，平等是非常重要的，他們非常關心此一裁決對人們健康、生活與職業的影響，為了支持員工與其家屬，美國地區的福利計畫與健康保險涵蓋了所居住的州之外的醫療程序，可以申請搬遷，也能尋求額外的支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/field/image/0117-google_logo_by_google-2.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><a href="https://twitter.com/BillGates/status/1540365878272790528" target="_blank">微軟創辦人蓋茲（Bill Gate）也透過Twitter表示</a>，推翻Roe v. Wade是不公正也不可接受的倒行逆施，它讓女性的生命處於風險中，特別是最弱勢的婦女。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-abortion%20right%20gates-600.png" style="width: 580px;" /></p> <p>其實在最高法院正式宣布之前，<a href="https://www.bloomberg.com/news/articles/2022-05-09/microsoft-to-cover-costs-if-workers-have-to-travel-for-abortions#xj4y7vzkg" target="_blank">微軟便曾向《彭博社》（Bloomberg）證實將提供員工旅行的補助</a>，以讓員工能夠到其它可提供醫療服務的州別尋求幫助，不管是與性別有關的服務或是墮胎服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/1028-microsoft_sign.png?itok=axB_MFhj" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.reuters.com/business/retail-consumer/amazon-reimburse-us-employees-who-travel-treatments-including-abortions-2022-05-02/" target="_blank">《路透社》（Reuters）</a>則取得Amazon的內部備忘錄，指出該公司每年將提供4,000美元的旅行支出，讓員工可至其它州進行治療，包括墮胎在內。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-amazon%20600.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p><a href="https://www.cnbc.com/2022/06/24/apple-responds-to-roe-v-wade-rollback.html" target="_blank">蘋果向《CNBC》表示</a>，蘋果一向支持自家員工的生育決定，既有的福利已經保障員工可在其它州執行醫療服務，並且已行之有年，現在也不會改變。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0128-apple_store_by_apple.jpg?itok=CU-i4JH8" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>至於Meta雖然希望員工在內部群組不要討論最高法院對Roe v. Wade的判決，以免引起爭端，影響工作士氣，但Meta也宣布，員工得以報銷至其它州執行醫療或墮胎服務的旅行支出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0203-meta_hq.jpg?itok=YwceLjmP" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>除了上述之外，包括Netflix、Uber與Salesforce都願意替員工到其它州進行墮胎的旅行支出埋單。</p> </div></div></div>
2022/6/27 12:12作者陳曉莉https://www.ithome.com.tw/news/151625
思科撤出俄羅斯、白俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼HPE/HP等科技業者之後，<a href="https://www.cisco.com/c/m/en_us/crisissupport.html" target="_blank">網路設備大廠思科也宣布</a>要撤離俄羅斯及白俄羅斯。</p> <p>思科上周表示，早在俄烏戰爭爆發後，3月3日該公司即已宣布暫停在俄國及白俄的業務活動。在那之後思科持續密切注意。現在他們決定將循序關閉兩個地區的業務。</p> <p>思科表示會確保兩地區員工獲得尊重與善待，並協助他們度過這段時期。他們也會盡全力協助烏克蘭的員工、客戶和合作夥伴，以及當地民眾及組織。</p> <p>思科表示將持續和客戶、合作夥伴及廠商直接聯繫，以便在符合美方法規和法令下盡可能解決財務問題，包括退回預先支付服務和軟體安排的費用。</p> <p><a href="https://www.ithome.com.tw/news/151383" target="_blank">本月稍早HP和HPE也分別宣布</a>退出這兩國市場。</p> <p>思科公告中未說明兩地區受影響的員工有多少。今年3月思科已經先讓這些員工放有薪假3個月。<a href="https://www.reuters.com/business/media-telecom/exclusive-cisco-wind-down-business-russia-belarus-2022-06-23/" target="_blank">路透社報導</a>思科計畫提供兩子公司的「數百名」員工遷到其他地區子公司的選項。</p> <p><a href="https://tadviser.com/index.php/Company:Cisco_Systems_Russia" target="_blank">思科今年稍早在分析師會議上說</a>，今年初以來中止俄國及白俄營運造成思科當季2億美元虧損，占思科全球總營收1.6%。2020年全年俄羅斯思科分公司營收約為370億盧布，約6.9億美元。</p> <p>這是繼HPE/HP、德國西門子、<a href="https://www.ithome.com.tw/news/151330" target="_blank">IBM</a>之後最新離開俄國市場的科技業者。微軟和Google雖然未完全關閉辦公室，但也停止了大部分的營運活動，包括<a href="https://www.ithome.com.tw/news/151535" target="_blank">微軟疑似不再允許</a>俄國境內下載Windows 10、11的更新軟體。</p> <p>此外，路透社報導，運動品牌大廠NIKE也做出了撤離的決定。</p> </div></div></div>
2022/6/27 10:23作者林妍溱https://www.ithome.com.tw/news/151621
甲骨文花了6個月修補Fusion Middleware的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://peterjson.medium.com/miracle-one-vulnerability-to-rule-them-all-c3aed9edeea2" target="_blank">兩名安全研究人員揭露</a>甲骨文Fusion Middleware的2項重大漏洞，並指後者花了6個月才修復，動作太慢。</p> <p>VNG公司的PeterJson和VNPT的Nguyen Jang去年10月發現Fusion Middleware 2項漏洞，分別為影響Oracle JDeveloper內ADF Faces framework的前遠端程式碼執行（pre-auth RCE）漏洞，以及影響Oracle Access Manager（OAM）的伺服器端請求偽造（Server Side Request Forgery，SSRF）漏洞。</p> <p>研究人員當月已向甲骨文揭露2漏洞，但甲骨文今年才修補，因此漏洞皆列為2022年。SSRF漏洞命名為CVE-2022-21497，<a href="https://www.oracle.com/security-alerts/cpujan2022.html" target="_blank">甲骨文今年1月先以第1季安全更新修補OAM中</a>。而RCE漏洞則被命名CVE-2022-21445，但是要等到<a href="https://www.ithome.com.tw/news/150562" target="_blank">4月的第2季安全更新修補</a>。距離當初通報已是6個月的事，也超出了一般標準的90天，他們認為這家軟體巨人的動作太遲緩。</p> <p>ADF Faces框架包括超過150個支援Ajax的JavaServer Faces（JSF）元件及開發框架，可用於在Fusion Middleware上開發應用程式。研究人員最初在測試攻擊中證實Oracle BI（Oracle Business Intelligence）的前遠端程式碼執行（pre-auth RCE）漏洞，該漏洞可讓未經授權的攻擊者經由HTTP連線呼叫開採，最嚴重可接管JDeveloper。這項漏洞風險值達9.8。</p> <p>但研究人員最後發現，該漏洞還影響多個甲骨文產品，包括Oracle Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management。此外，而且任何以ADF Faces framework開發的網站也會受影響，這意謂包括許多甲骨文線上系統及Oracle Cloud Infrastructure。</p> <p><a href="https://testbnull.medium.com/oracle-access-manager-pre-auth-rce-cve-2021-35587-analysis-1302a4542316" target="_blank">Fusion Middleware的Oracle Access Manager（OAM）的伺服器端請求偽造（Server Side Request Forgery，SSRF）漏洞則是Jang找到</a>。OAM是單一簽入（SSO）元件。這漏洞可和CVE-2022-21497串聯起來，在OAM達成遠端程式碼執行，讓未經授權的攻擊者可經由Oracle Web Services/OAM新增、刪除或修改資料，風險值為8.1。研究人員強調這十分嚴重，因為VMWare、華為及高通都使用OAM的SSO，且甲骨文許多Oracle線上服務也使用OAM作為SSO。</p> <p>ADF framework及OAM兩漏洞皆影響Oracle Fusion Middleware 12.2.1.3.0 和12.2.1.4.0版。儘管研究人員批評甲骨文動作太慢，但甲骨文已釋出更新版，研究人員也呼籲企業用戶儘速安裝最新版本。</p> </div></div></div>
2022/6/27 10:57作者林妍溱https://www.ithome.com.tw/news/151622
針對學校發動的勒索軟體攻擊呈現下滑趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.comparitech.com/blog/information-security/school-ransomware-attacks/" target="_blank">資安業者Comparitech近日指出</a>，2021年美國總計有67起的勒索軟體攻擊美國的954所學校，攻擊次數比2020年少了19%，遭到攻擊的學校也比2020年少了46%，截至今年5月遭到勒索軟體攻擊的學校數量也在下滑中，從此一趨勢得以判斷今年的勒索軟體攻擊將較往年平靜。</p> <p><a href="https://www.comparitech.com/ransomware-attack-map/" target="_blank">根據Comparitech針對全美勒索軟體攻擊事件的調查</a>，就算學校受到攻擊的數量可能大於其它產業，但學校的停機成本是最低的，在2020年時，遭到勒索軟體攻擊的學校停機成本為72億美元，但商業領域的停機成本高達209億美元，醫療產業為208億美元，政府組織為189億美元。</p> <p>Comparitech追蹤了從2018年迄今針對學校的勒索軟體攻擊，顯示在2019/2010年達到高峰之後，鎖定學校的相關攻擊次數、平均的停機時間、恢復時間，以及停機成本都呈下滑趨勢。</p> <p>例如2018年僅有10次勒索軟體攻擊行動鎖定學校，2019年成長到96次，2020年即減少至83次，去年降至67次；平均停機時間則從2018年的5天，到2019年為6.85天，2020年為6.95天，但去年則減至4.26天；平均恢復時間在2018年為25天，2019年為41.7天，2020年為55.4天，2021年即減少至29.73天；停機成本在2018年為6.24億美元，2019年為82億美元，2020年是72億美元，2021年降至35.6億美元。</p> <p>研究顯示，去年許多學校遭到雙重勒索，駭客除了加密學校的重要文件之外，也竊取學校的機密資料並以對外公開作為要脅，而駭客所要求的贖金則介於10萬美元到4,000萬美元之間，不過，Comparitech無法評估究竟有多少學校支付了多少贖金。</p> <p>去年5月，<a href="https://www.ithome.com.tw/news/150844" target="_blank">美國已創立157年的林肯學院（Lincoln College）發出公告</a>，指出因受到疫情與勒索軟體攻擊的影響，決定關校。</p> <p>而Comparitech則說，那次的勒索軟體攻擊不僅造成林肯學校的網站停擺，波及該校的招生、招聘與募款活動，更糟糕的是，因疫情而已捉襟見肘的林肯學院，還支付了贖金，原因之一是倘若選擇自行恢復系統，所需的成本通常遠高於贖金。</p> <p>不過，研究顯示針對學校所發動的勒索軟體攻擊次數已開始減少，今年1月到5月間，駭客僅發動14次的勒索軟體攻擊行動，受害學校為221所。此外，學校的停機與恢復時間都已低於往年，應是因學校對於遭到攻擊的準備都愈來愈充分，可更快從攻擊中復甦。</p> </div></div></div>
2022/6/27 11:20作者陳曉莉https://www.ithome.com.tw/news/151623
【人物專訪：紅帽產品與技術執行副總裁Matt Hicks】為何紅帽決定將企業級Linux帶進電動車？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目標是要打造一個值得信賴、標準的Linux平臺，可供汽車產業在這個基礎上建構自己的汽車應用。」紅帽產品與技術執行副總裁Matt Hicks表示。這位紅帽產品最高負責人，點出了紅帽搶進未來汽車平臺建立灘頭堡的關鍵利器，正是RHEL這款企業級Linux。不只汽車業，這一步，也是紅帽布局更多邊緣場景的關鍵一步。</p> <p><span style="font-size:28px;"><strong>車用RHEL軟體也是紅帽布局產業邊緣環境的RHEL版本</strong></span></p> <p>從紅帽產業邊緣運算戰略來看，電信業是它第一個聚焦的產業邊緣運算市場，接下來就是汽車產業。而紅帽進軍汽車市場的邊緣產品策略是，先把企業級Linux環境和技術帶進汽車中，當RHEL軟體進到汽車內，以後車上就會成為新的應用程式開發環境，所以，這也是紅帽一個布局產業邊緣環境的RHEL版本。</p> <p>因為採用了和雲端RHEL一樣的開發環境，也因此能讓汽車軟體開發走向更開放架構，對於許多App開發者而言，也將大大降低汽車應用開發門檻，讓他們更容易加入汽車開發，使用現有雲端開發工具，為汽車開發各種創新應用，進而發展出新的生態系。</p> <p>隨著汽車越來越像一個裝上輪子的小型資料中心，從ADAS、自動駕駛到資訊娛樂系統，OS在汽車軟體堆疊中扮演更關鍵作用。Matt Hicks解釋，之所以決定先把企業RHEL帶進汽車，一來安全本來就是RHEL的強項，涵蓋從軟體供應鏈到Runtime執行的安全都包含在內，這些都是在汽車平臺上可以運用的地方；二來，嵌入RHEL軟體之後，也能加速汽車產業擁抱軟體化，為汽車應用程式開發和部署提供完整的生命周期，讓OEM車廠可以專注於開發嶄新應用，如自動駕駛、ADAS等，做出產品差異化，「因為有這樣一個標準平臺，才能加快OEM廠商的應用開發，將產品推出上市。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%20%E8%87%B3%E6%B5%A9-matt-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為搶進汽車產業的邊緣運算商機，紅帽也積極向大型車廠靠攏，還找上美國汽車大廠GM合作，將為其正在開發的Ultifi汽車軟體平臺打造以RHEL為基礎的車用作業系統。</strong><span style="font-size:14px;">圖片來源／GM</span></span></p> <p><span style="font-size:28px;"><strong>不只可供車廠建構新應用，更要把企業和雲端應用中實踐帶進車輛</strong></span></p> <p>Matt Hicks也表示，RHEL作為車上OS有兩個好處，首先是可以支援車用OTA，讓汽車透過OTA更新系統更具彈性，提供完整生命周期更新，且不會有更新失敗的情況；再者，RHEL將成為未來汽車零組件硬體功能交付的核心平臺介面，「我認為它會朝這個方向來發展，因此我們的目標是，將紅帽在企業和雲端應用中許多實踐，更快帶入車輛。」這也是為何紅帽決定跨入汽車產業的原因。</p> <p>不過，汽車產業原本就有開發自己的開源Linux版本，例如在Linux基金會下發展的車規等級開源Linux　(Automotive Grade Linux，AGL)，作為該產業開放標準，已經發展10年之久，迄今有Toyota、DENSO、Suzuki、Renesas等車廠，還有AWS、三星、松下等科技公司多達150個成員加入，紅帽自己也是其中一員。</p> <p>但紅帽仍決定打造自己的車用Linux產品而不直接使用AGL的原因，Matt Hicks解釋，主要在於產品差異化。他表示，紅帽正在開發的車用Linux產品，因為是以RHEL核心為基礎，未來更能確保提供完整生命周期的軟體版本更新，以滿足OEM、汽車製造商對應用開發需求，並且可在持續認證和交付的環境中，保有更新與安全功能，以符合功能性安全的法遵要求，相較之下，「對於AGL而言，這會是一大挑戰。」但他也提到，紅帽過去在AGL社群中也積極投資和參與不少重要元件或功能開發，未來也能運用到自己的車用版本。</p> <p>但身為一家企業軟體公司，想更快地切入汽車軟體市場，紅帽仍需OEM車廠或汽車製造商的配合，為此，紅帽也積極向大型車廠靠攏，例如在今年紅帽高峰會上，紅帽與美國汽車大廠通用汽車（GM）展開合作，將為其正在開發的Ultifi汽車軟體平臺打造以RHEL為基礎的車用作業系統。</p> <p>根據GM的說明，未來Ultifi軟體平臺將分三層，有底層的機電系統及軟體層、中間的平臺及OS層，以及上層的GM雲端層。其中，中間的平臺及OS層，將使用紅帽的RHEL做開發。Matt Hicks表示，待車規版RHEL完成後，將可以幫助GM能夠更快交付Ultifi車載應用軟體，幫助其加速擁抱軟體化。預計明年就能看到搭載紅帽Linux的新款GM電動車亮相。</p> <p>不過，在汽車上執行RHEL軟體，也不是一件容易的事，尤其跟一般消費性軟體相比，車用軟體必須合乎功能性安全的法規要求，所以為了符合這個要求，早從去年起，紅帽在發展自己的車用RHEL（Red Hat In-Vehicle Operating System）的同時，就已經開始為RHEL取得如ISO 26262標準等功能性安全認證提早做準備，以便將來能支援各種車上關鍵應用，包括車載資訊娛樂系統、ADAS、車輛控制和連接服務等。</p> <p>除了功能性安全外，另一個挑戰則是在應用場景，過去RHEL產品剛推出時，加入許多功能，因應各種關鍵應用任務的需求，也讓它的發展越來越肥大，但以前的應用場景比較沒有問題，因為大多是部署在雲端環境，有提供充裕資源，如大量可用的記憶體等，不過，RHEL現在要部署到邊緣層級的裝置時仍有不少挑戰，因為許多邊緣裝置的外型規格，和雲端設備完全不同，搭配的硬體也所不同，比如以往雲端環境，多是配置x86伺服器，但在邊緣端或是汽車上就並非如此。</p> <p>為了解決這個問題，紅帽採取的策略，就是讓車用RHEL版本，和以往企業級RHEL相比，變得更輕量、尺寸規格更小。他表示，車用RHEL就像是企業級RHEL的子集（subset），可安裝於汽車上，因為使用相同RHEL核心做開發，所以具有和原RHEL幾乎相同的功能，但外型規格變得更小，更能適應車上硬體要求，甚至不需要大量記憶體就能執行。</p> <p>除了正在發展更輕量、尺寸規格更小的RHEL產品，紅帽也持續加強RHEL軟體對不同硬體架構的支援能力，如Arm或Nvidia Jetsons硬體等，讓RHEL可以跑在不同硬體架構的邊緣裝置或設備上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%BA%E7%89%A9.jpg" style="width: 294px;" /></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(105, 105, 105);">紅帽產品與技術執行副總裁Matt Hicks表示，紅帽的目標是要打造一個值得信賴、標準的Linux平臺，可供汽車產業在這個基礎上建構自己的汽車應用。</span></span></strong><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／紅帽</span></span></p> <p><span style="font-size:28px;"><strong>混合雲平臺OpenShift未來也能登上汽車</strong></span></p> <p>當車子裝上RHEL OS以後，紅帽未來更考慮把混合雲平臺OpenShift放進車上，讓汽車製造商可以利用容器在汽車中編寫、部署應用程式，然後也可以利用OpenShift和K8s管理和部署他們在企業資料中心、邊緣中的容器應用，意謂著，車廠以後可用同一套管理方式管本地、雲端，甚至是汽車上的邊緣應用。</p> <p>不過Matt Hicks也坦言，目前想在車上執行OpenShift軟體，仍有不少挑戰得克服，包括硬體規格、運算能力限制，以及功能安全認證等監理要求，甚至也可能需要其他傳輸技術來配合，如5G等。這也是未來紅帽車用OpenShift落地的挑戰。「一旦克服這些限制，我們將真正成為業界第一個在Linux平臺上提供該功能的公司。」他說。</p> <p>除了依靠車廠繼續增加汽車內可用的計算能力外，紅帽預計在今年底釋出OpenShift 4.12版本中，也將提供MicroShift平臺早期測試。MicroShift就是一個輕量的OpenShift版本，MicroShift本身具有OpenShift Kubernetes核心功能，並重新打包成更小的外形規格，可以將其嵌入到更小型的邊緣裝置，即使是記憶體只有2GB的Raspberry Pi 4 Model B也能用，未來也可在車上來使用。</p> <p>Matt Hicks表示，經過瘦身的OpenShift，可以只在單一臺機器上就能部署，取得這些平臺功能以後，企業可以更容易透過它來管理和調度裝置上的容器應用。他表示，儘管車用OpenShift平臺在今年底前推出機會不大，但這天也不會太遠。「等到車上硬體和環境都準備就緒，OpenShift就有可能在車上加以實現。」</p> <p><a href="https://www.ithome.com.tw/article/151606" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span> </a><a href="https://www.ithome.com.tw/article/151606" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" style="width: 550px;" /></a></p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/news/151604
【不只電信業，未來更要搶攻汽車產業邊緣運算需求】發展2年多，紅帽混合雲產品已能全面支援邊緣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，紅帽雲端戰略開始有了截然不同的新轉變，從以往混合雲戰場大步轉向邊緣新戰地，擴大其雲端服務版圖。尤其在今年，紅帽終於在邊緣運算發展上取得更大進展，不只兩大雲端主力產品RHEL、OpenShift平臺全面落地邊緣，就連在Raspberry Pi單板電腦等邊緣裝置上都能用，意謂者，紅帽能將自己在企業和雲端應用中許多實踐，帶到更靠近資料源的邊緣處，帶來更多創新應用。</p> <p>不光是雲端主力產品的支援，紅帽更開始切入邊緣運算產業新領域，除了搶攻5G電信機房轉型需求，今年開始跨足汽車產業，為汽車軟體化需求積極展開布局，也讓傳統封閉汽車產業跨出開放第一步。第一個登上電動車的紅帽雲端主力產品就是企業級RHEL，紅帽要把雲端Linux作業系統，轉為汽車平臺也能用的車載OS。預計明年就能看到搭載紅帽Linux OS的首款電動車亮相。</p> <p><span style="font-size:28px;"><strong>不同於雲端巨頭邊緣策略，紅帽從Kubernetes層管理需求布局邊緣</strong></span></p> <p>從這家公司邊緣發展策略來看，紅帽早從2019年起就已經展開布局，而且不同於其他雲端巨頭，該公司一開始便從Kubernetes層管理需求角度切入，要把混合雲的容器管理與調度能力，更進一步延伸到邊緣端。</p> <p>即使被IBM收購以後，公司換了新任CEO，紅帽仍持續擁抱邊緣運算，甚至更加積極。經過2～3年發展，到了2021年時，邊緣已成為了這家公司開放混合雲戰略重要一環。</p> <p>紅帽搶攻邊緣運算第一步，先從企業級RHEL與OpenShift混合雲平臺落地邊緣做起，接著擴大延伸到其他雲端產品，也加入支援行列，如Ansible自動化平臺等，藉此將雲端技術、K8s容器平臺，擴展到更靠近資料所在的邊緣環境，目標要通吃實體伺服器、VM、混合雲，以及邊緣應用。</p> <p>為何不只容器技術，紅帽更積極將Kubernetes容器管理平臺帶進邊緣？</p> <p>紅帽產品與技術執行副總裁Matt Hicks解釋，如果是在RHEL上部署容器，只能用於靜態的容器應用程式，沒辦法根據容器執行需求動態改變其大小，若要編寫更複雜的容器應用程式到邊緣執行，就需要借助如服務網格（Service Mesh）等微服務架構，來管理這些複雜容器應用，這時候，Kubernetes就能派上用場，「因為Kubernetes可以允許用戶更動態地利用容器，可將多容器組合以形成單個應用程式，並進行管理。」所以，為了支援各式各樣邊緣應用，就需要把Kubernetes推向邊緣。</p> <p>從近兩年紅帽用戶大會上，可以看見紅帽雲端產品發布轉向邊緣發展，像是去年用戶大會上，紅帽一改以往聚焦混合雲產品策略的作法，反而更重視邊緣功能和服務進展，今年4月舉行用戶大會時，紅帽雲端主要產品更新，也都圍繞邊緣端功能與服務更新，提供更多的支援或增強功能，甚至在新推出RHEL 9.0版中，紅帽更宣稱，已能提供全面的邊緣管理。</p> <p><span style="font-size:28px;"><strong>紅帽邊緣運算服務，聚焦三種不同Edge層應用需求</strong></span></p> <p>紅帽對邊緣產品或服務也有一套劃分方法，對應到三種不同應用場景的邊緣層，涵蓋從最外圍也最遠的邊緣位置到核心資料中心邊緣，分別是生產線邊緣層（含邊緣伺服器或閘道器在內的裝置邊緣層，與基於邊緣基礎架構的用戶端邊緣層）、提供者邊緣層（含遠端邊緣、存取邊緣及聚合邊緣)，以及企業邊緣層（含核心或區域級資料中心）。</p> <p>不同邊緣層的應用場景，對應到的邊緣服務也有所不同，比如在生產線邊緣層，邊緣運算硬體資源是有限的，因此針對這類型設備，紅帽就有提供了輕量的邊緣RHEL作業系統，邊緣容器平臺MicroShift、以及單節點OpenShift部署型態，可供企業在這些邊緣設備上安裝。又如在提供者邊緣層方面，因為是屬於通訊為主的邊緣設備，就會以支援5G電信邊緣應用的相關技術提供為主。</p> <p>紅帽表示，目前已能提供大部分邊緣運算產品，對應這三種邊緣層需求，未來2年將持續深化各種邊緣應用及創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-EDGE-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>紅帽從雲端延伸而提供的邊緣運算服務，其涵蓋範圍也相當廣，從核心資料中心到最遙遠的邊緣位置都是其服務範疇，主要聚焦三個邊緣層領域，最外圍是Operations edge層（包含邊緣伺服器或閘道器在內的裝置邊緣層，及邊緣基礎架構的用戶端邊緣層）、中間是Provider edge層（含Far edge、Access edge以及Aggregation edge），還有最內圈的Enterprise edge 層（含核心或區域級資料中心）。</strong>圖片來源／紅帽</span></p> <p><span style="font-size:28px;"><strong>紅帽兩大雲端主力產品落地邊緣</strong></span></p> <p>從紅帽邊緣產品發展策略來看，RHEL與OpenShift這兩大紅帽雲端主力產品，經過2年多，歷經多版本更新後，不但功能越來越完整，到今年，甚至已經可以支援包含部署、管理和維運在內的全套功能。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>企業級Linux作業系統RHEL的邊緣布局</strong></span></span></p> <p>以企業RHEL來說，紅帽早從2020年底推出RHEL 8.3時，就開始支援邊緣運算功能，像是在系統映像的作法上，8.3版RHEL支援混合映像與軟體套件封裝工具rpm-ostree，可簡化RHEL映像檔的製作，來加快RHEL在邊緣端部署。以OTA升級更新時，可針對異動程式做更新，不用每次更新都得重新安裝，更新檔只包含RPM軟體程式，除了減少取得更新所需的時間和頻寬，也較不受網路不穩或低頻寬影響。</p> <p>當RHEL作業系統更新或發生故障時，還有提供倒回（rollbacks）機制，可以自動恢復更新之前的狀態，以避免因為不必要的停機，而影響邊緣設備上關鍵服務、應用程式或系統運作。</p> <p>不過，RHEL初期僅能提供部分邊緣部署或管理功能，還沒辦法做到對邊緣環境完整的支援。</p> <p>緊接著隔年發布的RHEL 8.4中，該公司更進一步將整個平臺打造成輕量、生產環境等級的作業系統，以支援邊緣環境的部署，包括增加新的Linux容器、部署與管理功能，因應擴大使用邊緣運算的需求。其中一個重要的發布，就是更新開源容器引擎Podman，讓它不只能管混合雲中的容器，還一併將邊緣中的容器納管，並可自動更新容器功能，例如OS更新、配置或內容更改等，都能在單一控制介面中來管理，透過這樣的方式，讓整個工作流程越來越自動化，更容易實現邊緣端生命周期的管理。</p> <p>不僅如此，即使是無網路環境下，企業也能使用RHEL 8.4內建的Image Builder工具，來快速提供邊緣架構包含裸機在內的作業系統映像的安裝與部署，還支援了更輕量的UBI映像檔安裝方式，用戶可通過在Linux容器內執行小型RHEL實例，將RHEL安裝在較低規格硬體的邊緣設備上。</p> <p>下一個版本更新中，紅帽加入許多自動化和管理工具，來簡化及改善邊緣管理和部署方法，而且該版本的RHEL開始提供大規模邊緣部署的功能。</p> <p>除了原本已有邊緣部署和管理功能外，紅帽持續加強邊緣端安全性，像是今年5月推出RHEL 8.6版本中，就針對邊緣運算裝置的註冊方式（onboarding），提供了FIDO裝置註冊（FIDO Device Onboard）新功能，可以協助處理邊緣運算裝置上的RHEL映像檔自動建立及註冊程序等。</p> <p>到了9.0版推出時，RHEL對於邊緣環境管理功能更加全面，整合多功能，例如建立與管理邊緣系統映像、自動建立系統、檢視系統運作狀態是否正常，以及安全性的矯正等機制。該版本更增添Podman自動化容器倒回機制，當偵測到邊緣設備上容器更新失敗時，就會自動回復到之前最後的良好組態，避免影響其服務。</p> <p>不僅如此，還支援在邊緣大規模導入自動化，完成跨邊緣的叢集部署。在邊緣基礎架構管理也獲得加強，包括強化單一介面的安全與控制管理，如零接觸安裝（zero-touch provisioning）、系統狀態管理及漏洞緩解等。</p> <p>在RHEL 9還有另一個重要特色，就是引進關鍵作業系統功能即服務（key operating system functions as services），在新的Image Builder服務中，以往企業組建邊緣運算設備所需執行的RHEL系統映像，須透過內建的Image Builder工具來進行，接著再搭配其他支援後續管理作業的系統，現在透過Image Builder即服務，既不需要區分成初期建置與後續管理的作法，也不用依賴企業內部環境設置與維護的相關基礎架構，就能產生各種系統映像，可以省去企業用戶不少在邊緣端部署和管理作業。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>混合雲管理平臺OpenShift的邊緣布局</strong></span></span></p> <p>比RHEL支援邊緣更早一步，紅帽2019年發布新版OpenShift 4時，就已經為發展邊緣運算進行布局，第一步就是支援了Knative與Istio兩大開源技術專案，以加速Kubernetes落地邊緣。前者是由Google所建立並開源釋出的無伺服器管理專案，方便開發者在K8s上建立、部署和管理以無伺服器事件觸發為主的邊緣應用；後者，則是由Google、IBM及Lyft主推的微服務平臺Istio，能在K8s上來管理採用微服務架構的邊緣運算叢集，用以解決大量容器化邊緣應用帶來的網路溝通問題。</p> <p><span style="font-size:28px;"><strong>克服邊緣環境受限的挑戰，推出三種容器平臺部署方式</strong></span></p> <p>從OpenShift 4.5推出後，紅帽持續擴大容器平臺在邊緣部署能力，並在4.5、4.6、4.9版中，陸續提供三種全新部署方式，來克服邊緣環境空間或資源不足的部署限制，像是為了解決邊緣實體空間不足，企業能採用三節點叢集架構來部署，在邊緣環境建立OpenShift平臺時，只需用原本部署節點數的五分之三，也就是3臺伺服器，就能建立完整OpenShift執行所需的環境，並維持高可用性。採用三節點OpenShift部署方式時，每個節點最少需配置6顆CPU、24GB記憶體及120GB儲存空間。部署的形式，除了採用容器，也支援VM部署方式，並統一透過Kubernetes管理。</p> <p>還有一個遠端工作節點（Remote Worker Nodes）部署型態在後續版本推出，讓用戶可以將管理節點放在一個集中式的機房，或是一個在遠端機房建立一個管理各地所有Worker節點的管理節點，採用這種部署管理的架構，特別適合用於密集型的5G電信網路邊緣架構，如5G電信基地臺的中央單元（CU）及分散式單元（DU）等，可透過跨邊緣集中節點來進行管理。</p> <p>隨著OpenShift改版更新，持續加強對邊緣功能的支援，去年紅帽用戶大會會後一場全球媒體線上活動中，紅帽執行長Paul Cormier就明白表示：「OpenShift現在已經是一個邊緣運算平臺了」。</p> <p>甚至去年底4.9版推出時，OpenShift部署方式變得更加多元，除了前面提到的兩種部署型態，紅帽推出第三種部署方式，採用單節點OpenShift部署方式，比起傳統三節點叢集的部署作法，只要單臺伺服器，就能完成整個環境部署，不僅節省實體空間，也因此提高部署彈性。在單節點OpenShift中，因為同時整合控制層（control plane）和工作層（worker planes）節點的功能，所以可以自行獨立運作，不需要透過集中的Kubernetes控制層來管理，即使遇到網路中斷也不怕。適合5G行動通訊基地臺、廠區現場生產設備的應用場景。</p> <p>在最新OpenShift 4.10版本中，紅帽引進更自動化的邊緣部署方式，使OEM廠商可以使用零接觸安裝作法，將邊緣設備上所需建立OpenShift容器平臺組態和設定加以自動化，來加快工廠端的部署。另外，在管理上，能支援更多叢集節點管理，最多可以同時管理2,000個單一節點OpenShift叢集，並可透過容器儲存服務OpenShift Data Foundation管理叢集資料。</p> <p>不只有自動化邊緣部署，還要能做到自動維運。像是紅帽自動化平臺Ansible，後來可支援邊緣工作自動化，用於邊緣的自動化維運；而另一個紅帽數據服務，也能跨核心資料中心與邊緣的數據儲存、分析和數據分散處理。</p> <p>除了部署和自動化維運，紅帽接下來在OpenShift 4.12版推出時會提供一個瘦身OpenShift版本，以便將混合雲平臺推向更小型的邊緣裝置，即使只有配備雙核處理器，或搭配2GB記憶體的Raspberry Pi單板電腦也能用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-OpenShift-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了支援多種邊緣應用場景，OpenShift在邊緣環境提供三種部署方式，三節點叢集、遠端工作節點，而新推出的單節點OpenShift，比起傳統三節點叢集的部署方式，只需單臺伺服器，就能完成整個環境部署，除了較不占用實體空間，也因為在單節點OpenShift環境中，同時整合控制和工作節點的功能，因此可以獨立運作，不需要透過集中的Kubernetes控制層來管理，即使遇到網路中斷也不怕。適合5G行動通訊基地臺、廠區現場生產設備的應用場景。</strong>圖片來源／紅帽</span></p> <p><span style="font-size:28px;"><strong>兩大雲端產品全面支援邊緣後，紅帽全力搶攻產業邊緣應用需求</strong></span></p> <p>上述兩大產品在邊緣場景推出的部署、管理與自動化維運功能，現在都成為了紅帽把更多雲端產品和服務落地，搶攻產業邊緣需求的重要關鍵功能。</p> <p>全面落地支援邊緣管理以後，紅帽更進一步從垂直產業布局邊緣運算。去年用戶大會上，紅帽還發起一項Red Hat Edge啟用計畫，要把紅帽一系列混合雲產品加速擴展到邊緣，不光是要建立完整邊緣軟體堆疊架構，還要推出適合不同產業的邊緣解決方案及客製服務，涵蓋電信、運輸、智慧汽車以及企業邊緣設備等。</p> <p>而Red Hat Edge計畫的骨幹，就是紅帽雲端主力產品，包括企業級Linux OS、混合雲平臺OpenShift 、Ansible自動化平臺、基礎安全與多雲安全等，來滿足各產業在邊緣場景下應用需求。</p> <p>電信業是紅帽第一個搶攻的邊緣運算應用產業，結合自家邊緣運算產品及服務，提供電信業做運用，如英國電信商Vodafone在5G電信網路架構中使用的MEC邊緣設備及其環境建置，就是導入其邊緣產品方案，如OpenShift等。</p> <p><span style="font-size:28px;"><strong>瞄準傳統封閉汽車產業，要把雲端Linux落地推向汽車平臺</strong></span></p> <p>在今年4月舉行的用戶大會上，紅帽更擴大布局邊緣產業，不光是電信業，紅帽更揭露，下一步瞄準傳統封閉汽車產業，作為該公司布局更多邊緣運算場景的新戰略。</p> <p>尤其近兩年，全球汽車產業興起一股軟體定義汽車（Software Define Vehicle，SDV）的風潮，如同過去軟體定義化掀起機房革命，將運算、儲存、網路功能從專屬硬體中抽離，並以軟體方式在x86伺服器來執行，如今這股軟體定義風潮，吹向汽車產業，越來越多車廠擁抱SDV技術，要打造軟體化汽車。</p> <p>這樣一股浪潮下，成了紅帽搶進汽車產業邊緣應用需求的另一股推力。紅帽終於決定出手，一出手就是要把企業級Linux環境和技術全部帶進汽車。</p> <p>作為進軍汽車產業布局邊緣的第一步，紅帽找上美國汽車大廠通用汽車（GM）來合作，將在其新一代GM電動車內，內建紅帽車用Linux作業系統，作為其端到端Ultifi汽車軟體平臺的OS。首部搭載紅帽Linux OS的汽車，最快2023年推出。</p> <p>對於通用汽車來說，未來更希望透過採用紅帽Linux和標準化雲原生技術，減少跨平臺整合和軟體成本，並改善開發周期、加速產品上市時間，以及能夠提供創新的服務、商業模式。</p> <p>紅帽表示，有了這套車用OS，除了能提供完整生命周期更新與功能性安全認證，來支援各種車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等，未來將作為汽車硬體功能交付的核心平臺介面，協助車廠加快應用開發與服務創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-GM-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>美國汽車大廠通用汽車明年即將推出的新一代電動車中，將使用紅帽車用RHEL，作為其Ultifi端到端汽車軟體平臺的OS，未來可提供完整生命周期更新與功能性安全認證，來支援車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等。根據GM的說明，Ultifi軟體平臺將分三層，有底層的機電系統及軟體層、中間的平臺及OS層，以及上層的GM雲端層。中間的平臺及OS層，未來將採用紅帽的RHEL為基礎做開發。</strong>圖片來源／GM</span></p> <p><a href="https://www.ithome.com.tw/article/151606" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span> </a><a href="https://www.ithome.com.tw/article/151606" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" style="width: 550px;" /></a></p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/news/151605
紅帽邊緣運算新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年多布局，紅帽今年終於在邊緣運算發展上取得更大進展，兩大雲端主力產品全面支援邊緣應用，紅帽新戰略更切入產業邊緣運算新領域，不只搶攻5G電信機房轉型需求，更要翻轉汽車產業，紅帽搶進未來汽車平臺建立灘頭堡的關鍵利器，正是RHEL這款企業級Linux</p> <p> </p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/article/151606
【資安週報】2022年6月20日至24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，中國駭客的攻擊行動有數起事故，尤其是最近2年出現的新駭客組織ToddyCat、Tropic Trooper，前者大肆針對政府與軍事單位，利用Exchange Server漏洞發動攻擊，研究人員指出，除了在2021年2月至3月初，駭客鎖定了ProxyLogon做為入侵受害組織的管道，至於其他攻擊行動利用的Exchange Server漏洞，仍有待進一步確認。</p> <p>駭客組織Tropic Trooper在攻擊行動裡，使用了透過程式語言Nim打造的惡意程式Nimbda，來投放Shell Code與其他的作案工具，進而在受害電腦收集多種環境資訊。此外，這些駭客加密作案工具的手法也相當複雜，而使得研究人員調查更為困難。</p> <p>另一個由中國駭客APT41與APT10發起的攻擊行動也相當特別。一般來說，駭客植入木馬程式通常是偷偷摸摸，但這次兩個駭客組織卻是大張旗鼓發動勒索軟體攻擊，來讓受害組織將心力集中在這類攻擊行動，而有可能忽略駭客實際上的目的，是要散布木馬程式並從事間諜活動。</p> <p>網路間諜公司RCS Lab與電信業者聯手的攻擊行動陸續引起研究人員關注，但研究人員認為，利用這種商業間諜軟體監控特定人士手機的攻擊者，很可能就是當地政府，而使得電信業者也參與了攻擊行動。</p> <p>而在烏克蘭戰爭相關的網路攻擊行動裡，俄羅斯駭客將目標擴及曾經幫助烏克蘭的盟友，繼5月Killnet大肆攻擊義大利後，該組織旗下的駭客Legion – Cyber Spetsnaz RF疑似開始攻擊立陶宛。</p> <p>駭客發動勒索軟體攻擊的目標，通常是針對受害組織的電腦或是伺服器下手，但雲端的檔案共享服務也可能被駭客鎖定。有研究人員揭露針對SharePoint、OneDrive等服務攻擊手法，使得受害者即使藉由檔案多版本的備份功能，也難以恢復資料。</p> <p>存在Log4Shell漏洞的遠距工作平臺VMware Horizon仍是駭客偏好的攻擊目標！在本週的新聞裡，不只傳出有勒索軟體攻擊，也使得美國對於這樣的態勢再度提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/toddycat/106799/"><span style="color: rgb(0, 0, 0);">駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基在6月21日揭露新的國家級駭客組織，該組織專門攻擊亞洲及歐洲的微軟Exchange Server用戶，值得關注的是，臺灣、越南政府機關是其主要攻擊目標。</p> <p>研究人員自2020年底發現其活動，並將這個駭客組織命名為ToddyCat，攻擊目標為Exchange Server歐洲及亞洲用戶，專門鎖定高知名度組織，包括政府、軍事單位，以及軍方外包商。該組織第一波攻擊時間，是在2020年底到2021年2月之間，且臺灣與越南有3個組織的一些Exchange Server遭到攻擊。隨後的2月底到3月初，駭客更是積極開始鎖定ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>這些駭客入侵Exchange Server後，會部署名為中國菜刀（China Chopper）的Web Shell，最後在受害組織的網路上植入後門程式Samurai，以及木馬程式Ninja Trojan，以便進行橫向移動及遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/chinese-actor-takes-aim-armed-with-nim-language-and-bizarro-aes/"><span style="color: rgb(0, 0, 0);">駭客組織Tropic Trooper使用Nimbda惡意程式發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg" style="width: 300px; float: right;" /></a>駭客利用新的程式語言打造惡意程式，進而規避資安系統偵測的情況，最近又有相關攻擊行動出現。資安業者Check Point揭露中國駭客組織Tropic Trooper近期的攻擊行動，駭客假借提供SMS Bomber程式的名義，偷渡名為Nimbda的惡意程式載入工具，此軟體是透過Nim程式語言打造而成。</p> <p>攻擊者利用Nimbda在後臺將Shell Code注入記事本（Notepad.exe）的處理程序，從GitHub儲存庫下載惡意程式Yahoyah的變種，並將其解密後，利用挖空處理程序（Process Hollowing）的注入手法，透過dllhost.exe執行此惡意程式，收集受害電腦鄰近的無線網路SSID，以及特定的電腦資訊。</p> <p>研究人員指出，駭客加密Yahoyah的手法相當特別，該組織透過兩輪的AES演算法倒序作業，而被研究人員稱做AEES。研究人員指出，這種加密手法使得資安人員要解析惡意程式的難度大幅提升。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader"><span style="color: rgb(0, 0, 0);">中國駭客透過勒索軟體攻擊掩人耳目，在受害組織植入木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png" style="width: 300px; float: right;" /></a>駭客發動勒索軟體攻擊的動機千奇百怪，但最近有人目的竟是為了轉移焦點，讓受害組織忽略他們真正的攻擊意圖。資安業者Secureworks發現，中國駭客組織APT10（該公司稱為Bronze Starlight）、APT41（Bronze Riverside）於去年初，開始利用惡意軟體載入器HUI Loader，入侵受害組織後開始投放勒索軟體，而該組織使用的勒索軟體相當多元，包含了LockFile、AtomSilo、Rook、Night Sky，以及Pandora。</p> <p>但詭異的是，這些勒索軟體在受害組織活動的時間都很短，像是Night Sky僅有一天，而時間最長的是AtomSilo，但不超過3個月；再者，則是駭客攻擊的受害組織不算多，一年多總共加起來僅有21個。</p> <p>經研究人員的調查，有四分之三的攻擊行動與中國政府的利益相關，且這些駭客所使用的工具與基礎設施疑似也來自中國政府資助，他們推測該組織發動勒索軟體攻擊的目的並非向受害組織要錢，而是打算利用這樣的攻擊事故掩蓋網路間諜行動。研究人員指出，對於駭客來說，發動勒索軟體攻擊不只能誤導受害組織因應攻擊事件的方向，還可以藉由這類工具湮滅相關證據。</p> <h3><strong style="font-size: 22px;"><a href="https://en.lookout.com/blog/hermit-spyware-discovery"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Hermit被用於攻擊敘利亞、哈薩克、義大利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png" style="width: 200px; float: right;" /></a>上個月Google公布<a href="https://www.ithome.com.tw/news/151068#cytrox">網路間諜公司Cytrox利用數個零時差漏洞對安卓手機下手</a>，又有研究人員揭露其他間諜軟體的態勢。資安業者Lookout指出，他們發現義大利網路間諜公司RCS Lab與電信業者Tykelab Srl聯手，開發的間諜程式Hermit，自2019年開始在敘利亞、哈薩克、義大利等國下手，鎖定安卓與iPhone手機發動攻擊。其中，研究人員在今年4月，看到哈薩克政府疑似用來對當地民眾進行監控。</p> <p>此間諜程式散布的管道，很可能是透過簡訊，並引誘使用者點選連結，駭客宣稱提供三星、Oppo，以及Vivo等廠牌推出的應用程式，但實際上若是使用者照做，手機就會被植入Hermit。此惡意軟體的功能，與其他網路間諜公司的產品類似，具備側錄使用者的聲音、收集聯絡人資訊、照片的能力。研究人員呼籲，使用者要對於簡訊連結特別提防。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/"><span style="color: rgb(0, 0, 0);">網路間諜公司疑似與ISP狼狽為奸，攻擊義大利與哈薩克手機用戶，但背後原因很可能是當地政府主導</span></a></strong></h3> <p>網路間諜公司無所不用其極想要為客戶監控特定人士的行蹤，但現在傳出有網路服務業者（ISP）參與其中，誘導受害者下載惡意程式。Google旗下的威脅情報小組，最近揭露了義大利網路間諜公司RCS Labs涉案的攻擊行動，該行動鎖定義大利與哈薩克的手機用戶展開攻擊，但研究人員發現，駭客針對iPhone用戶攻擊的過程裡，ISP竟然參與了部分行動，這些ISP疑似關閉受害者的行動網路服務，而能讓駭客假借恢復電信網路的名義，引誘受害者下載惡意程式。</p> <p>根據研究人員的分析，受害者下載的檔案含有6款攻擊程式，這些惡意軟體利用了4個已知漏洞與2個零時差漏洞（CVE-2021-30883與CVE-2021-30983），一旦成功植入受害手機，駭客將能存取記憶體、安裝程式，或是建立檔案。由於iOS使用者只能透過App Store下載軟體，RCS Labs濫用了Apple Developer Enterprise Program簽章來繞過相關限制。</p> <p>而針對安卓手機的部分，研究人員看到駭客假借提供三星應用程式的名義，來散布RCS Labs的間諜程式Hermit，這樣的發現與資安業者Lookout相同。但為何ISP會配合駭客從事網路間諜行為？研究人員認為，義大利與哈薩克的網路間諜攻擊行動很有可能是當地政府主導，而使得這些業者必須配合。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lithuania-warns-of-rise-in-ddos-attacks-against-government-sites/"><span style="color: rgb(0, 0, 0);">鎖定立陶宛政府的DDoS攻擊大幅增加，疑為俄羅斯的報復行動</span></a></strong></h3> <p>自歐美多個國家於4月底提出警告，俄羅斯駭客不再只是集中火力攻擊烏克蘭，而是將範圍擴及曾經幫助烏克蘭的盟友，此後義大利在5月陸續遭到俄羅斯駭客組織Killnet的DDoS攻擊，但現在又有其他國家疑似遭到鎖定。</p> <p>立陶宛國家網路安全中心（NKSC）於6月23日提出警告，指出針對該國政府單位的DDoS攻擊急劇增加，當地的運輸單位、金融機構，以及其他大型組織一度出現服務暫時中斷的現象，他們呼籲關鍵基礎設施要遵循NKSC的防護建議，來因應相關攻擊行動。</p> <p>但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，名為Legion – Cyber Spetsnaz RF的俄羅斯駭客組織，透過Telegram頻道宣稱要對許多立陶宛組織發動攻擊，這些組織包含了大型銀行、物流業者、機場、能源業者等。該新聞網站認為，此駭客組織疑似因立陶宛政府封鎖部分俄羅斯的運輸管道，而打算藉此採取報復行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/russian-govt-hackers-hit-ukraine-with-cobalt-strike-credomap-malware/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28也使用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-credomap.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-credomap.png" style="width: 300px; float: right;" /></a>俄羅斯駭客利用Follina漏洞（CVE-2022-30190）對烏克蘭發動攻擊的現象，可說是越來越氾濫，先前有駭客組織Sandworm自4月開始利用上述漏洞，但現在有更多有更多攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月20日發布資安通告，指出俄羅斯駭客組織APT28利用戰爭警報的名義，散布名為Nuclear Terrorism A Very Real Threat.rtf的惡意檔案，受害者一旦不慎開啟，電腦將會下載HTML檔案並執行JavaScript指令碼，並觸發Follina漏洞，進而植入惡意程式CredoMap。</p> <p>CERT-UA也發現另一組利用Follina漏洞的駭客UAC-0098，他們假借烏克蘭政府財政部的名義，宣稱對方尚未繳稅，發送Imposition ofpension.docx的檔案，進而於受害電腦投放Cobalt Strike的Beacon。由於烏克蘭戰爭尚未結束，上述的釣魚郵件攻擊可能會不斷發生，CERT-UA呼籲關鍵基礎設施的員工應特別提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-dfscoerce-ntlm-relay-attack-allows-windows-domain-takeover/"><span style="color: rgb(0, 0, 0);">研究人員揭露新的NTLM中繼攻擊手法DFSCoerce</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png" style="width: 300px; float: right;" /></a>去年7月<a href="https://www.ithome.com.tw/news/145919">研究人員公布名為PetitPotam的漏洞</a>，攻擊者可藉由微軟的加密檔案系統遠端協定（EFSRPC），來發動NTLM中繼（NTLM Relay）攻擊，如今又有新的管道能發動類似的攻擊。</p> <p>研究人員Filip Dragovic近期公布名為DFSCoerce的攻擊手法，並提供概念性驗證（PoC）攻擊指令碼。這個指令碼同樣是透過利用PetitPotam漏洞為基礎打造，但不同的是這次研究人員沒有使用EFSRPC，而是利用了Windows分散式檔案系統（DFS）通訊協定MS-DFSNM，來達到發動NTLM中繼攻擊的目的。</p> <p>關於上述的攻擊指令碼，資安新聞網站Bleeping Computer接到其他研究人員的通報，這些研究人員表示，這個手法確實很容易讓權限不高的使用者成為網域管理員。該新聞網站呼籲，組織應透過微軟先前針對PetitPotam漏洞的緩解措施，來防範類似的NTLM中繼攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality"><span style="color: rgb(0, 0, 0);">駭客有可能更動Office 365配置讓多版本備份失效，並對OneDrive、SharePoint用戶發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-06-14 at 3_55_33 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-14%20at%203_55_33%20PM.png" style="width: 300px; float: right;" /></a>在防範勒索軟體的威脅態勢裡，不少資安人員會建議透過雲端的檔案共享服務來備份資料，來增加重要資料的可用性，一旦遭到相關攻擊，有機會從這些服務提供的多版本備份功能來復原檔案，然而最近有研究人員找到能針對這類系統用戶發動勒索軟體攻擊的手法。</p> <p>資安業者Proofpoint指出，他們針對Office 365（或Microsoft 365）的服務裡，發現了潛藏危險的機制，使得駭客可加密儲存在SharePoint或OneDrive服務裡的檔案，同時因為多版本備份功能失效，使受害者在無法復原檔案，向駭客支付贖金來換取解密金鑰。</p> <p>為什麼會發生這樣的狀況？攻擊者可藉由微軟的API、CLI指令碼，或是PowerShell指令碼，先是挾持組織部分用戶的SharePoint或OneDrive帳號並進行接管，然後竄改系統保留先前版本的數量上限配置。以OneDrive為例，通常預設是500個版本，但在這邊駭客會把保留版本數量竄改成1個，然後攻擊者再對檔案進行2次的加密處理，使得SharePoint或OneDrive上存放的檔案，以及保留的先前版本都遭到加密，受害者無法將檔案復原。</p> <p>該公司指出，上述手法主要影響存放於雲端服務的檔案，若是企業採用混合雲模式部署SharePoint，或是使用者透過用戶端軟體留存OneDrive的檔案，就有機會倖免於難。他們將上述發現進行通報，微軟表示，檔案版本的組態配置功能運作正常，若是用戶無法自行復原檔案，透過該公司客服亦有機會還原14天前的版本。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/06/avoslocker-new-arsenal.html"><span style="color: rgb(0, 0, 0);">勒索軟體AvosLocker利用Log4Shell漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png" style="width: 300px; float: right;" /></a>自Log4Shell漏洞於去年年底被揭露後，不時有駭客鎖定採用Apache Log4j元件的遠距辦公系統VMware Horizon下手，而最近也有勒索軟體駭客跟進而引起研究人員關注。</p> <p>思科在3月7日，接獲客戶遭到勒索軟體AvosLocker攻擊的事故通報，而駭客入侵受害組織的媒介，就是經由VMware Horizon的存取閘道Unified Access Gateways（UAG）元件，存取曝露於網際網路的ESXi伺服器，此UAG存在Log4Shell相關漏洞，包含了CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-44832，使得攻擊者能在沒有取得root權限下執行程式碼，進而運用多種商業軟體發動寄生攻擊（LoLBins）。</p> <p>研究人員調查後發現，駭客至少1個月前（2月7日）就開始入侵受害組織，並於2月11日利用Windows伺服器上的WMI提供者主機（WMI Provider Host，WmiPrvSE.exe）程式，以DownloadString的方法執行加密PowerShell程式碼。直到3月4日，駭客才再度以類似的手法執行PowerShell指令，並於6日投放滲透測試工具Sliver、Cobalt Strike，以及網路盤點工具SoftPerfect Network Scanner，最後駭客於8日投放AvosLocker，並利用軟體部署工具PDQ Deploy來在網路環境散布勒索軟體。</p> <p>該公司指出，他們觀察到AvosLocker駭客正在招兵買馬，相關攻擊行動日後可能會大幅增加，呼籲組織不只要透過靜態檢測機制，也要留意資安系統發出的重要警訊，才能防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a"><span style="color: rgb(0, 0, 0);">駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</span></a></strong></h3> <p>自去年12月Log4Shell漏洞公布後，不時傳出有駭客用來攻擊攻擊VMware Horizon遠距工作系統，這樣的情況目前仍在持續當中，而使得美國政府提出警告。美國網路安全暨基礎設施安全局（CISA）、美國海岸警衛隊網路司令部（CGCYBER）聯手，提出警告指出，駭客迄今仍針對尚未修補Log4Shell漏洞的VMware Horzion、Unified Access Gateway伺服器下手，進而取得受害組織網路的初始存取權限，CISA與CGCYBER提供相關攻擊細節，並呼籲組織應儘速安裝更新軟體，同時也要儘可能避免該系統直接曝露於網際網路上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nichirin.co.jp/news/20220622.pdf"><span style="color: rgb(0, 0, 0);">日本汽機車零件製造商Nichirin遭勒索軟體攻擊</span></a></strong></h3> <p>最近半年，駭客鎖定日本的汽車零件供應商發動勒索軟體攻擊，已有數起事故，現在又再度出現有相關業者受害。根據資安新聞網站Bleeping Computer的報導，生產多種汽機車軟管零件的Nichirin，於6月22日發布聲明指出，他們的美國子公司Nichirin-Flex USA於14日遭到勒索軟體攻擊，導致相關訂單的出貨可能會受到影響，美國分公司網站一度於17日早上發生故障而無法存取。該公司表示，他們正在調查駭客如何入侵，並警告員工或是客戶有可能會收到假冒該公司的惡意郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/resurgence-voicemail-themed-phishing-attacks-targeting-key-industry"><span style="color: rgb(0, 0, 0);">駭客透過語音訊息發動網釣攻擊，意圖竊取美國大型企業的Microsoft 365帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201.png" style="width: 300px; float: right;" /></a>利用語音留言的網路釣魚攻擊，不時有事故傳出，最近又有攻擊行動出現，鎖定美國的大型企業而來。資安業者Zscaler發現利用語音訊息作為幌子的釣魚郵件攻擊，目標包含了美國軍方、安全解決方案供應商、醫療保健與製藥廠，以及製造商的供應鏈等，竊取這些組織用戶的Microsoft帳密。</p> <p>駭客在郵件內容宣稱，對方有尚未讀取的語音郵件，需要開啟附件的HTML檔案，一旦收信人開啟，就有可能被攻擊者引導到人機驗證系統CAPTCHA，通過驗證後再前往假造的Microsoft 365登入頁面，攻擊者進而有機會挾持對方的微軟帳號。</p> <p>由於在寄件者的名稱中，駭客使用了收信人公司的網域名稱，而很容易讓人以為是從公司寄來的通知信件，但根據研究人員的分析，這些釣魚郵件實際上來自日本的郵件伺服器，且上述的登入網頁也不在微軟網域，他們呼籲使用者要提高警覺因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151536"><span style="color: rgb(0, 0, 0);">Arm電腦在安裝Patch Tuesday更新程式後，衍生Azure AD登入異常現象，微軟緊急發布修補程式</span></a></strong></h3> <p>微軟於6月14日發布例行修補（Patch Tuesday）更新，但傳出不少用戶更新後造成部分功能無法使用，該公司於20日推出緊急更新KB5016138、KB5016139，來解決搭載Arm晶片的Windows電腦無法正常存取Azure AD的問題。微軟指出，上述情況影響需要使用Azure AD帳號存取的應用程式與服務，例如Teams、Outlook，或是VPN連線等，但網頁版本不受影響，若是使用者無法及時安裝相關更新，可暫時使用網頁版本來因應。上述問題並未影響採用Intel與AMD處理器的電腦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/"><span style="color: rgb(0, 0, 0);">OT:Icefall漏洞恐導致10個廠牌的OT裝置曝險</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png" style="width: 300px; float: right;" /></a>操作科技（OT）環境系統的不安全，很有可能與設計當初並未將資安納入規畫，而使得攻擊者能加以利用。資安業者Forescout揭露名為OT:Icefall的一組漏洞，此漏洞組由56個漏洞組成，漏洞類型涵蓋層面甚廣，可能導致攻擊者能遠端執行程式碼、竊取帳密、竄改韌體或是組態設置，以及繞過身分驗證等，影響Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bently Nevada、Phoenix Contract、ProConOS，以及Yokogawa等廠牌的OT設備。研究人員指出，他們公布的這些漏洞，已經成為針對工控環境發動攻擊的惡意軟體利用的目標，這些惡意軟體包含了俄羅斯駭客針對烏克蘭發電廠所使用的Industroyer 2與CaddyWiper。</p> <p>研究人員指出，有7成4易受到攻擊的系統通過相關安全認證，這也突顯相關檢驗程序涵蓋的資安面向可能有所不足，他們呼籲用戶應參考系統製造商提供的資安通告，了解漏洞的影響範圍，以及相關的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-20"><span style="color: rgb(0, 0, 0);">威聯通NAS設備恐受到PHP漏洞波及，用戶應儘速更新作業系統</span></a></strong></h3> <p>威聯通於6月22日發布資安通告，指出旗下的NAS設備，可能會受到PHP漏洞CVE-2019-11043影響，若Nginx組態配置不當，可能會受到此漏洞影響，一旦攻擊者利用這項漏洞，就有可能遠端執行程式碼，呼籲用戶更新QTS、QuTS hero來防範相關攻擊。該公司表示，這項漏洞可能會影響QTS 4.5與5.0版、QuTS hero h4.5版與h5.0版，以及QuTScloud c5.0以上的作業系統，他們推出QTS 5.0.1.2034 build 20220515、QuTS hero h5.0.0.2069 build 20220614等版本予以修補。</p> <p>不過，威聯通指出，上述漏洞需要某些元件存在才會形成，這包含了Nginx與php-fpm兩項元件都必須在執行的狀態，才會觸發該漏洞。由於在該廠牌NAS預設的組態中，並未安裝Nginx元件，有可能不會受到上述漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esasma-info-dsc-Q9tLuOvM"><span style="color: rgb(0, 0, 0);">思科公布防火牆產品線重大漏洞</span></a></strong></h3> <p>思科近期針對旗下產品發布資安通告，這些漏洞存在於防火牆與郵件安全系統。其中，CVSS風險評分最高的是CVE-2022-20829，該漏洞存在於思科旗下的ASA防火牆產品，評分高達9.1分，一旦取得管理者權限的攻擊者利用這項漏洞，可上傳含有惡意程式碼的ASDM映像檔到前述的防火牆系統，該公司指出，防火牆必須執行ASA軟體9.18.2、ASDM軟體7.8.1.150，以及包含ASDM-IDM載入器1.9版的ASDM映像檔，才能完全防堵這項漏洞，且沒有安裝修補程式以外的緩解措施。目前思科已推出了ASDM軟體7.8.1.150版，但ASA軟體的修補程式可能要到8月才能提供。</p> <p><strong style="font-size: 22px;"><a href="https://mega-awry.io/"><span style="color: rgb(0, 0, 0);">檔案共享服務Mega修補加密機制可能遭到破解的漏洞</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png" style="width: 300px; float: right;" /></a>加密演算法的漏洞，有可能讓標榜資料點對點加密的檔案共享服務，用戶資料遭到洩露。瑞士蘇黎世聯邦理工學院的研究人員於3月24日，向前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega通報有關加密演算法的5個漏洞，近期亦公布5種可能的利用攻擊手法，這些手法多半仰賴竊得並解密RSA金鑰進行。</p> <p>研究人員指出，Mega標榜以用戶端控制的全面加密（User-Controlled End-to-End Encryption，UCE）機制來傳出資料，該公司透過使用者登入Mega的密碼來產生加密金鑰，所有使用者的RSA金鑰都存放在Mega伺服器，該公司卻沒有採取完整性保護的相關措施，使得研究人員能透過中間人攻擊（MitM）的手法，來取得特定用戶的RSA金鑰，甚至有可能逆向工程解密AES-ECB主鑰，以及整個金鑰組。</p> <p>Mega獲報後於6月21日發布新版用戶端程式，修補了其中3個漏洞，並承諾將於後續版本修補另外2個漏洞，該公司亦強調要利用這些漏洞的門檻相當高，但確實突破該公司提供的資料保護機制，使得他們相當重視這些研究人員通報的內容。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop_21.html"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 103，並修補14個漏洞</span></a></strong></h3> <p>Google於6月22日發布電腦版Chrome 103版，主要加入了HTTP 103狀態代碼來協助瀏覽器預載部分內容，來提升網頁的載入速度，但在此同時，該公司也修補了14個漏洞，其中較為嚴重的是Base元件的記憶體釋放後使用（UAF）漏洞CVE-2022-2156，此外，與UAF有關的漏洞還有CVE-2022-2157、CVE-2022-2161、CVE-2022-2163，分別涉及Interest groups、WebApp Provider、Cast UI and Toolbar等元件。Google宣稱，他們向通報漏洞的研究人員發出了4.4萬美元獎勵。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151533"><span style="color: rgb(0, 0, 0);">人機驗證系統CAPTCHA惱人又可能影響用戶隱私！蘋果計畫在新版作業系統加入自動身分驗證功能，繞過此種機制</span></a></strong></h3> <p>蘋果於6月初的開發者大會WWDC上，表示人機驗證系統CAPTCHA不只會影響使用者體驗，還可能危害用戶隱私，對此，他們宣布將以私有存取令牌（Private Access Tokens，PAT）來取代。而最近有開發人員在測試版iOS 16與iPadOS 16發現，蘋果很可能已經在測試相關功能──他們看到蘋果在Apple ID新增了自動身分驗證（Automatic Verification）的功能，啟用後將會透過iCloud自動檢驗使用者的裝置與帳號，而有可能讓使用者直接繞過應用程式或網頁上的CAPTCHA，上述機制未來也有機會在下一版macOS Ventura出現。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Data-Center/Third-SGX-Community-Day/post/1393177"><span style="color: rgb(0, 0, 0);">Intel宣布恢復舉辦SGX社群日活動</span></a></strong></h3> <p>為了推廣機密運算與自家公司開發的軟體防護延伸技術（SGX），英特爾實驗室曾於2020年7月中舉辦第二屆SGX Community Day，為期兩天，當時有超過1百位研究人員、工程師參加，他們來自英特爾、其他公司、大學、政府單位，並且展示了6種支援SGX應用的軟體框架，例如：Graphene、Occlum、Enarx、Mage、SCONE，能讓一般Linux應用程式、多種見證框架，以及Rust、WebAssembly執行時期元件無需修改，即可在SGX執行。</p> <p>或許是因為COVID-19的疫情關係，2021年並未舉辦SGX Community Day，但今年6月英特爾實驗室首席工程師Mona Vij在他們公司的社群部落格，宣布英特爾將於7月26日舉辦第三屆SGX Community Day，地點是美國俄勒岡州希爾斯伯勒市，屆時以實體與線上混合的方式進行，大會議程將於6月24日公布。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151584"><span style="color: rgb(0, 0, 0);">紅帽RHEL宣布支援物聯網裝置安全規範FDO</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/"><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip加入MoTW支援，防範從網路下載的的威脅</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.minerva-labs.com/does-acrobat-reader-unload-injection-of-security-products"><span style="color: rgb(0, 0, 0);">Adobe Acrobat、Acrobat Reader疑似會干擾防毒軟體掃描PDF檔案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.documentcloud.org/documents/22064071-flagstar-standard-notification-letter-06-17-2022?responsive=1&title=1"><span style="color: rgb(0, 0, 0);">美國大型銀行Flagstar資料外洩，波及150萬客戶</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/yodel-parcel-company-confirms-cyberattack-is-disrupting-delivery/"><span style="color: rgb(0, 0, 0);">英國快遞業者Yodel遭到網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/142546"><span style="color: rgb(0, 0, 0);">SMA流程自動化系統OpCon修補重大漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-rv-overflow-s2r82P9v"><span style="color: rgb(0, 0, 0);">思科RV路由器存在重大漏洞，攻擊者可執行任意指令或造成服務中斷</span></a></span></strong></p> </div></div></div>
2022/6/25 10:43作者周峻佑https://www.ithome.com.tw/news/151619
微軟於Microsoft Edge中加入遊戲功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/06/23/welcome-to-the-best-browser-for-gamers/" target="_blank">微軟周四（6/23）宣布</a>，已於Microsoft Edge瀏覽器中加入遊戲功能，一是於瀏覽器首頁添增了遊戲（Gaming）標籤，以作為使用者存取遊戲資訊或登入Xbox帳號的入口，其次是在瀏覽器選單中新增了遊戲選項，集結各種免費的街機或休閒遊戲。遊戲功能可望成為Microsoft Edge與Chrome或其它Chromium瀏覽器之間最大的區隔。</p> <p>遊戲標籤就好像是使用者自己的遊戲入口網站，可客製化遊戲內容，例如新聞、遊戲指南、即時串流、遊戲競賽，或是即將發表的遊戲等，倘若登入Xbox帳號，還能取得自己的Xbox內容資訊，若具備Xbox Game Pass Ultimate會員資格，則可直接於瀏覽器中執行遊戲。</p> <p>為了改善玩家於瀏覽器中的遊戲體驗，微軟替Microsoft Edge打造了Clarity Boost（下圖），這是個空間放大增強功能，在Windows 10/ 11的Microsoft Edge上執行串流遊戲時，啟用後可讓遊戲畫面看起來更清晰。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2022/06/clarityboost_screen_done.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>另也有一個專為遊戲設計的效率模式（Efficiency Mode）設定（下圖），可用來改善於Windows 10/11中以Microsoft Edge執行遊戲的效能，一旦進入遊戲，Microsoft Edge就會自動減少瀏覽器的資源使用，以把最大的資源留給遊戲，待關閉遊戲後，Microsoft Edge即會退出效率模式，讓瀏覽器的運作恢復原狀。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2022/06/MicrosoftTeams-image-3-1.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></p> <p>非重度遊戲玩家則可存取Microsoft Edge選單中新增的遊戲功能，它內建了許多街機與休閒遊戲，包括經典的接龍（Microsoft Solitaire）、寶石方塊（Microsoft Jewel）、Microsoft Mahjong或是Edge瀏覽器獨有的衝浪遊戲（Microsoft Edge Surf Game）等。</p> </div></div></div>
2022/6/25 00:26作者陳曉莉https://www.ithome.com.tw/news/151617
Yandex開源具備1,000億個參數的YaLM 100B語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯最大網路公司Yandex周四（6/23）開源了具備1,000億個參數的YaLM 100B語言模型，宣稱這是全球最大的類生成型已訓練變換模型（Generative Pre-trained Transformer，GPT）的神經網路。</p> <p>嚴格說來YaLM 100B並不是最大的開源語言模型，因為Meta的AI實驗室在今年5月所釋出的OPT-175B擁有1,750億個參數，與號稱全球最強大語言模型的OpenAI GPT-3相當，不過，OpenAI GPT-3並未開源，而OPT-175B則支援非商業性授權，僅供研究人員、政府與產業研究實驗室免費使用，但YaLM 100B採用Apache 2.0授權，同時允許研究及商業免費使用。</p> <p>Yandex是在一個聚集800個A100繪圖卡的叢集上，利用來自網路、書籍與眾多來源的英文及俄文等17TB的資料，花了65天的時間來訓練YaLM 100B，而且將它應用在Alice數位語音助理及搜尋引擎上的時間已經超過1年。</p> <p>Yandex表示，大型語言模型近年來已成為自然語言處理的關鍵，這些模型愈來愈大也日益複雜，但訓練它們必須要耗費數年的時間並斥資數百萬美元，導致只有大型的科技業者才能存取此一最先進的技術，但必須允許全球的研究人員與開發者存取這些解決方案，否則便會拖慢該領域的成長，因而決定與全球的開發社群分享。</p> <p><a href="https://github.com/yandex/YaLM-100B" target="_blank">Yandex已透過GitHub發布YaLM 100B</a>，並於<a href="https://medium.com/yandex/yandex-publishes-yalm-100b-its-the-largest-gpt-like-neural-network-in-open-source-d1df53d0e9a6" target="_blank">官網上公布訓練YaLM 100B的經驗</a>，該公司表示，人們或許會以為藉由超級電腦來訓練大型模型只是小菜一碟，但實際上並非如此，他們仍然必須想辦法加快訓練時間、檢查瓶頸、使用快速資料類型，以及完全發揮GPU的潛力等，期待經驗的分享可用來協助開發者訓練其它模型。</p> </div></div></div>
2022/6/24 23:32作者陳曉莉https://www.ithome.com.tw/news/151613
Instagram將以人臉來確認用戶年齡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/06/new-ways-to-verify-age-on-instagram/" target="_blank">Instagram於本周宣布</a>，為了讓該平臺上的成年人與青少年都擁有合適的體驗，只要是有用戶要將年齡從18歲以下改成18歲以上，就必須由系統認證使用者的年齡，除了既有的上傳身分證件的選項之外，即日起將於美國市場新增兩個選項，一是選擇3名朋友來擔保，二是上傳自拍影片，並由提供年齡認證服務的Yoti代Instagram進行認證。</p> <p>一般而言，Instagram僅允許13歲以上的使用者建立帳號，並自2019年開始要求使用者提供生日資訊，因為就算是13歲以上，Instagram也會區分成年人與未成年人以遞送合適的內容，或是限制青少年會看到的廣告。</p> <p>過去Instagram一直提供使用者上傳身分證件來確認年齡，但現在則新增朋友擔保（左圖）以及自拍影片（右圖）兩個選項，前者必須由3名年滿18歲的朋友來替使用者背書，且被使用者點名的朋友必須在3天內回覆，後者則是由使用者自拍影片，再由與Instagram合作的Yoti負責檢驗年齡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/01_Social-Vouching%5B1%5D.jpg" style="width: 300px;" /><img alt="" src="https://about.fb.com/wp-content/uploads/2022/06/03_Video-Submission.jpg?resize=890%2C593?w=1024" style="text-align: center; width: 300px;" /></p> <p>Yoti是透過人工智慧技術與人們臉上的特徵來判斷使用者的年齡。<a href="https://www.yoti.com/blog/helping-instagram-offer-new-ways-to-verify-age/" target="_blank">根據Yoti的解釋</a>，該公司所使用的AI系統是專門被訓練來評估年齡的，使用者所上傳的圖像對該系統而言只是集結眾多像素的圖案，而這些像素是以數字呈現，AI系統可辨識由數字組成的圖案，並得知這個圖案應是幾歲的樣子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Age%20Verification%20by%20Yoti-3.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Yoti</span></span></p> <p>當Yoti藉由使用者上傳的影片判斷年齡，並回報給Meta之後，Meta與Yoti即會刪除影片。Meta也強調，Yoti的AI系統只能用來辨識年齡，而無法用來辨識使用者的身分。</p> </div></div></div>
2022/6/24 23:56作者陳曉莉https://www.ithome.com.tw/news/151616
中國駭客集團以勒索軟體攻擊來掩飾間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader" target="_blank">資安業者Secureworks本周指出</a>，他們相信中國駭客集團Bronze Starlight企圖以勒索軟體攻擊來掩飾間諜行動。</p> <p>研究人員在去年初便發現Bronze Starlight正在部署HUI Loader，HUI Loader可用來解密與載入各種遠端存取木馬，諸如SodaMaster、PlugX、Cobalt Strike與QuasarRAT等，成功進駐受害系統之後再安裝勒索軟體，包括LockFile、AtomSilo、Rook、Night Sky及Pandora等，由於不管是HUI Loader或上述5款勒索軟體都與其它中國駭客集團的行動有關，再加上Bronze Starlight的行動出現了中文，使得Secureworks判斷Bronze Starlight源自中國。</p> <p>不過，研究人員發現，Bronze Starlight部署勒索軟體的手法有些奇怪，與傳統獲利導向的攻擊不太一樣，駭客都只在短時間內鎖定很少數的受害者發動攻擊，而且這5款勒索軟體的壽命都很短，例如活最久的AtomSilo只存在不到3個月，受害者只有5個；最短的Night Sky只存活1天，有兩個受害者；LockFile的受害者最多，有8個，但它也只存在一個半月。</p> <p>此外，在這些勒索軟體所列出的21個受害者名單中，Secureworks估計有高達75%與中國政府的利益有關，包括巴西與美國的製藥公司，在中國與香港都設有辦公室的美國媒體，日本與立陶宛的電子元件設計及製造商，以及一個印度集團的航太暨國防部門。</p> <p>從勒索軟體的特性、受害者的屬性，再加上Bronze Starlight所使用的工具與基礎設施，都與中國政府贊助的網路攻擊行動有所牽連，都讓研究人員強烈懷疑Bronze Starlight其實是利用勒索軟體來隱藏真實的間諜行動。</p> <p>於受害者系統上執行勒索軟體的好處包括可藉由加密檔案湮滅證據，也能以勒索軟體攻擊的名義來竊取資料，還能轉移調查焦點。</p> <p>Secureworks提醒，Bronze Starlight是利用網路周邊裝置的已知漏洞入侵組織網路，進而部署HUI Loader以植入Cobalt Strike等木馬，最後才是執行勒索軟體攻擊，組織應該可在前兩個階段透過修補及強化偵測，來避免最終的攻擊行動。</p> </div></div></div>
2022/6/24 23:00作者陳曉莉https://www.ithome.com.tw/news/151612
【資安日報】2022年6月24日，中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMwa…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，網路間諜行動可說是相當引人注目，其中中國駭客APT41、APT10的手段非常罕見，因為他們發動了勒索軟體攻擊，但根據研究人員的調查，這些攻擊行動並非是主要目的，而很可能是駭客想要掩蓋網路間諜的行動。</p> <p>而在漏洞的利用攻擊也相當值得注意。在利用Log4Shell漏洞的攻擊行動裡，有不少是針對VMware遠距工作平臺而來，而這樣的情況從前述漏洞揭露至今，仍不時有攻擊事故發生，而使得美國政府近期再度提出警告。</p> <p>思科於6月22日發布的資安通告中，指出他們旗下的防火牆產品存在CVSS風險評分達9.1分的漏洞，並針對部分元件開始提供修補程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader"><span style="color: rgb(0, 0, 0);">中國駭客透過勒索軟體攻擊掩人耳目，在受害組織植入木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png" style="width: 300px; float: right;" /></a>駭客發動勒索軟體攻擊的動機千奇百怪，但最近有人目的竟是為了轉移焦點，讓受害組織忽略他們真正的攻擊意圖。資安業者Secureworks發現，中國駭客組織APT10（該公司稱為Bronze Starlight）、APT41（Bronze Riverside）於去年初，開始利用惡意軟體載入器HUI Loader，入侵受害組織後開始投放勒索軟體，而該組織使用的勒索軟體相當多元，包含了LockFile、AtomSilo、Rook、Night Sky，以及Pandora。</p> <p>但詭異的是，這些勒索軟體在受害組織活動的時間都很短，像是Night Sky僅有一天，而時間最長的是AtomSilo，但不超過3個月；再者，則是駭客攻擊的受害組織不算多，一年多總共加起來僅有21個。</p> <p>經研究人員的調查，有四分之三的攻擊行動與中國政府的利益相關，且這些駭客所使用的工具與基礎設施疑似也來自中國政府資助，他們推測該組織發動勒索軟體攻擊的目的並非向受害組織要錢，而是打算利用這樣的攻擊事故掩蓋網路間諜行動。研究人員指出，對於駭客來說，發動勒索軟體攻擊不只能誤導受害組織因應攻擊事件的方向，還可以藉由這類工具湮滅相關證據。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/"><span style="color: rgb(0, 0, 0);">網路間諜公司疑似與ISP狼狽為奸，攻擊義大利與哈薩克手機用戶，但背後原因很可能是當地政府主導</span></a></strong></h3> <p>網路間諜公司無所不用其極想要為客戶監控特定人士的行蹤，但現在傳出有網路服務業者（ISP）參與其中，誘導受害者下載惡意程式。Google旗下的威脅情報小組，最近揭露了義大利網路間諜公司RCS Labs涉案的攻擊行動，該行動鎖定義大利與哈薩克的手機用戶展開攻擊，但研究人員發現，駭客針對iPhone用戶攻擊的過程裡，ISP竟然參與了部分行動，這些ISP疑似關閉受害者的行動網路服務，而能讓駭客假借恢復電信網路的名義，引誘受害者下載惡意程式。</p> <p>根據研究人員的分析，受害者下載的檔案含有6款攻擊程式，這些惡意軟體利用了4個已知漏洞與2個零時差漏洞（CVE-2021-30883與CVE-2021-30983），一旦成功植入受害手機，駭客將能存取記憶體、安裝程式，或是建立檔案。由於iOS使用者只能透過App Store下載軟體，RCS Labs濫用了Apple Developer Enterprise Program簽章來繞過相關限制。</p> <p>而針對安卓手機的部分，研究人員看到駭客假借提供三星應用程式的名義，來散布RCS Labs的間諜程式Hermit，這樣的發現與資安業者Lookout相同。但為何ISP會配合駭客從事網路間諜行為？研究人員認為，義大利與哈薩克的網路間諜攻擊行動很有可能是當地政府主導，而使得這些業者必須配合。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lithuania-warns-of-rise-in-ddos-attacks-against-government-sites/"><span style="color: rgb(0, 0, 0);">鎖定立陶宛政府的DDoS攻擊大幅增加，疑為俄羅斯的報復行動</span></a></strong></h3> <p>自歐美多個國家於4月底提出警告，俄羅斯駭客不再只是集中火力攻擊烏克蘭，而是將範圍擴及曾經幫助烏克蘭的盟友，此後義大利在5月陸續遭到俄羅斯駭客組織Killnet的DDoS攻擊，但現在又有其他國家疑似遭到鎖定。</p> <p>立陶宛國家網路安全中心（NKSC）於6月23日提出警告，指出針對該國政府單位的DDoS攻擊急劇增加，當地的運輸單位、金融機構，以及其他大型組織一度出現服務暫時中斷的現象，他們呼籲關鍵基礎設施要遵循NKSC的防護建議，來因應相關攻擊行動。</p> <p>但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，名為Legion – Cyber Spetsnaz RF的俄羅斯駭客組織，透過Telegram頻道宣稱要對許多立陶宛組織發動攻擊，這些組織包含了大型銀行、物流業者、機場、能源業者等。該新聞網站認為，此駭客組織疑似因立陶宛政府封鎖部分俄羅斯的運輸管道，而打算藉此採取報復行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nichirin.co.jp/news/20220622.pdf"><span style="color: rgb(0, 0, 0);">日本汽機車零件製造商Nichirin遭勒索軟體攻擊</span></a></strong></h3> <p>最近半年，駭客鎖定日本的汽車零件供應商發動勒索軟體攻擊，已有數起事故，現在又再度出現有相關業者受害。根據資安新聞網站Bleeping Computer的報導，生產多種汽機車軟管零件的Nichirin，於6月22日發布聲明指出，他們的美國子公司Nichirin-Flex USA於14日遭到勒索軟體攻擊，導致相關訂單的出貨可能會受到影響，美國分公司網站一度於17日早上發生故障而無法存取。該公司表示，他們正在調查駭客如何入侵，並警告員工或是客戶有可能會收到假冒該公司的惡意郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a"><span style="color: rgb(0, 0, 0);">駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</span></a></strong></h3> <p>自去年12月Log4Shell漏洞公布後，不時傳出有駭客用來攻擊攻擊VMware Horizon遠距工作系統，這樣的情況目前仍在持續當中，而使得美國政府提出警告。美國網路安全暨基礎設施安全局（CISA）、美國海岸警衛隊網路司令部（CGCYBER）聯手，提出警告指出，駭客迄今仍針對尚未修補Log4Shell漏洞的VMware Horzion、Unified Access Gateway伺服器下手，進而取得受害組織網路的初始存取權限，CISA與CGCYBER提供相關攻擊細節，並呼籲組織應儘速安裝更新軟體，同時也要儘可能避免該系統直接曝露於網際網路上。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esasma-info-dsc-Q9tLuOvM"><span style="color: rgb(0, 0, 0);">思科公布防火牆產品線重大漏洞</span></a></strong></h3> <p>思科近期針對旗下產品發布資安通告，這些漏洞存在於防火牆與郵件安全系統。其中，CVSS風險評分最高的是CVE-2022-20829，該漏洞存在於思科旗下的ASA防火牆產品，評分高達9.1分，一旦取得管理者權限的攻擊者利用這項漏洞，可上傳含有惡意程式碼的ASDM映像檔到前述的防火牆系統，該公司指出，防火牆必須執行ASA軟體9.18.2、ASDM軟體7.8.1.150，以及包含ASDM-IDM載入器1.9版的ASDM映像檔，才能完全防堵這項漏洞，且沒有安裝修補程式以外的緩解措施。目前思科已推出了ASDM軟體7.8.1.150版，但ASA軟體的修補程式可能要到8月才能提供。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151584"><span style="color: rgb(0, 0, 0);">紅帽RHEL宣布支援物聯網裝置安全規範FDO</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/142546"><span style="color: rgb(0, 0, 0);">SMA流程自動化系統OpCon修補重大漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> </div></div></div>
2022/6/24 18:26作者周峻佑https://www.ithome.com.tw/news/151611
歐盟介入調查，博通、VMWare收購案增添變數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如許多大型收購案，<a href="https://www.ft.com/content/efc1e0b7-93a8-4189-a503-368193d3fb20" target="_blank">英國《金融時報》（Financial Times）報導</a>，歐盟也將調查網路設備及晶片業者博通（Broadcom）和虛擬化業者VMWare的610億美元收購案，而歐盟調查造成的延宕可能為這樁收購案投下變數。</p> <p>報導引述消息人士指出，歐盟官員擔心這樁收購案一旦成行將導致「濫用行為」，包括未來產品調漲等。博通也已經和歐盟官員展開初步討論。</p> <p>博通並未對此發表評論。</p> <p>許多大型收購案都會經過歐盟「第一階段」的審查，這通常會耗時幾個月。但消息人士指出，針對本案，歐盟計畫啟動「第二階段」審查，這可能將耗去超過一年，甚至可能迫使交易告吹。</p> <p>報導指出，Nvidia就是因為面臨歐盟曠日廢時的調查，<a href="https://www.ithome.com.tw/news/149264" target="_blank">而在今年初撤銷和英國晶片業者ARM的收購案</a>。這失敗的結局也<a href="https://www.ithome.com.tw/news/149264" target="_blank">導致ARM CEO下臺，並追求自行上市</a>。</p> <p><a href="https://www.ithome.com.tw/news/151167" target="_blank">5月間博通宣布</a>以現金及股票支付總計610億美元買下軟體業者VMware，預計在2023年10月31日以前完成交易。未來博通軟體部門也將直接更名為VMware，整合博通既有的基礎設施與安全軟體解決方案。</p> <p>但消息一出即遭致反對聲浪。除了歐盟反托拉斯法官員外，一些VMWare客戶也基於博通收購CA及賽門鐵克的紀錄，擔憂未來他們可能被迫購買博通產品。</p> <p>除了歐盟外，這項收購還要經過美國的審查，此外英國及中國市場主管機關也正在評估。</p> <p>這樁交易如果成功，將成為科技產業金額第二大收購案，僅次今年一月<a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟買下歐美最大的遊戲業者動視暴雪（Activision Blizzard）的687億美元收購案</a>。</p> </div></div></div>
2022/6/24 16:25作者林妍溱https://www.ithome.com.tw/news/151610
Google發現駭客與ISP聯手以於iPhone上植入間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/" target="_blank">Google本周揭露</a>了由義大利商業駭客公司RCS Labs所支援的駭客行動，鎖定義大利與哈薩克的Android裝置及iPhone用戶展開攻擊，藉由側載手法入侵使用者裝置，在針對iPhone的攻擊中，ISP甚至與駭客聯手，促使受害者下載了<a href="https://googleprojectzero.blogspot.com/2022/06/curious-case-carrier-app.html" target="_blank">由駭客所提供的偽造電信程式</a>。</p> <p>Google的威脅分析小組（Threat Analysis Group，TAG）長期追蹤全球逾30家的商業駭客公司，這些業者主要出售攻擊程式或監控能力予國家支持的駭客集團；在TAG於去年所發現的9個零時差攻擊程式中，就有7個是由這些商業駭客公司所開發。</p> <p>RCS Labs攻擊iPhone用戶的其中一個手法是透過簡訊傳送惡意連結予使用者，且TAG相信ISP參與了某些攻擊，關閉特定受害者的行動資料服務，以讓駭客得以透過簡訊傳送惡意連結，並要求使用者下載一個偽造的電信程式來恢復其行動資料服務。</p> <p>但iPhone用戶所下載的卻是一個含有6款攻擊程式的套件，其中有4個程式開採的是已知漏洞，另有兩個開採零時差漏洞CVE-2021-30883與CVE-2021-30983，且所有的攻擊程式都是由不同的越獄社群所撰寫。</p> <p>此一富含零時差攻擊程式的套件主要功能為擴充權限，成功安裝後將允許駭客存取核心記憶體、安裝程式或建立檔案等。</p> <p>此外，一般而言iOS裝置並不允許使用者自App Store以外的地方下載與安裝程式，因此，RCS Labs利用了蘋果專為大型企業所設計的Apple Developer Enterprise Program，讓組織得以開發及部署供內部使用的行動程式，只要以該計畫的憑證簽署程式，便不會受到下載限制。</p> <p>RCS Labs針對Android裝置的攻擊亦是透過側載以誘導使用者下載惡意程式，其中一個例子是偽裝成三星程式，再伺機安裝由RCS Labs打造的間諜程式Hermit。</p> <p>除了Google之外，<a href="https://www.lookout.com/blog/hermit-spyware-discovery" target="_blank">另一資安業者Lookout也在上周公布</a>了RCS Labs於Android裝置上散布Hermit的行動。</p> <p>根據Lookout的判斷，針對義大利或哈薩克使用者的攻擊行動都是由當地政府主導，或許這便是ISP願意配合的最大原因。</p> <p>Google指出，在某些國家使用監控技術是合法的，但有些國家卻是出於違反民主價值的目的，針對反對者、記者或人權組織發動攻擊，此外，這些商業駭客公司所持有的零時差安全漏洞資訊也對全球網路安全帶來高風險，特別是若這些公司遭到入侵，而使得零時差攻擊程式外洩時。</p> </div></div></div>
2022/6/24 15:59作者陳曉莉https://www.ithome.com.tw/news/151608
AWS預覽ML程式撰寫輔助服務CodeWhisper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發工具如emacs或Visual Studio不斷增加功能來幫助開發人員撰寫程式，<a href="https://aws.amazon.com/blogs/aws/now-in-preview-amazon-codewhisperer-ml-powered-coding-companion/" target="_blank">現在Amazon Web Services（AWS）本周也宣布</a>一項以機器學習技術（machine learning）為底層的程式撰寫輔助服務Amazon CodeWhisper，強調支援多種IDE和Python、Java、JavaScript等開發語言。</p> <p>AWS首席傳教士Jeff Barr指出，Amazon CodeWhisper是以機器學習技術為核心，並以取自開源儲存庫（repositories）、Amazon自有的儲存庫、API文件及論壇的數十億行程式碼訓練而成，可幫助學生、開發新手或資深開發人員加速開發、提高生產力。</p> <p><a href="https://aws.amazon.com/codewhisperer/" target="_blank">CodeWhisper已經以預覽版上線</a>，欲試用者需先安裝AWS IDE Toolkit再開始撰寫。之後，CodeWhisper會持續檢視程式碼及註解，並提供語法正確的建議。它的建議會整合開發人員的程式撰寫風格及變項名稱，而不只是程式片段而已。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-AWS%20CodeWhisper%20for%20python.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p>AWS強調，基於ML技術的CodeWhisper，使用多種環境線索來提供建議，包括原始碼中的游標位置、游標前的程式碼、註解及同一專案中其他檔案的程式碼。它的建議開發人員可以直接套用，或是再加以客製化。</p> <p>預覽版的CodeWhisper支援多種IDE和開發語言包括 Visual Studio、IntelliJ IDEA、PyCharm、WebStorm、AWS Cloud9，以及Python、Java、JavaScript撰寫的程式碼。現在AWS還在努力，不久後會支援AWS Lambda Console。</p> <p><a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub剛剛在本周宣布了</a>AI-based開發輔助服務GitHub Copilot。</p> </div></div></div>
2022/6/24 16:11作者林妍溱https://www.ithome.com.tw/news/151609
美、英、紐政府建議企業不要移除、關閉PowerShell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://media.defense.gov/2022/Jun/22/2003021689/-1/-1/1/CSI_KEEPING_POWERSHELL_SECURITY_MEASURES_TO_USE_AND_EMBRACE_20220622.PDF" target="_blank">美國、英國及紐西蘭安全主管機關本周發布聯合公告</a>，建議企業及政府機關，雖然PowerShell多次涉入惡意程式攻擊，但官方建議應採取適當組態和監控，而不要移除或完全關閉。</p> <p class="rtecenter"><a href="https://media.defense.gov/2022/Jun/22/2003021689/-1/-1/1/CSI_KEEPING_POWERSHELL_SECURITY_MEASURES_TO_USE_AND_EMBRACE_20220622.PDF" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Keeping%20PowerShell%EF%BC%9ASecurity%20Measures%20to%20Use%20and%20Embrace-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8-960.jpg" style="width: 550px;" /></a></p> <p>PowerShell 是由微軟開發的任務自動化和組態管理架構，由.NET Framework和.NET Core構建的命令列介面殼層、指令碼語言組成，最初是在Windows上執行，微軟於2016年開源並提供跨平臺支援，現在PowerShell可於Windows、Linux、macOS和雲端上執行。</p> <p>然而PowerShell作為Windows普及而好用的合法工具，卻多次被駭客用來發動攻擊。例如<a href="https://www.ithome.com.tw/news/148214" target="_blank">攻擊者用它來執行勒索軟體</a>，<a href="https://www.ithome.com.tw/news/149373" target="_blank">繞過防毒軟體軟體偵測</a>、<a href="https://www.ithome.com.tw/news/150991" target="_blank">對SQL Server發動離地攻擊（living-off-the-land，LoL）</a>、或是可結合Office文件開採近日揭露的<a href="http://www.ithome.com.tw/news/151211" target="_blank">Windows Follina漏洞</a>等。</p> <p>不過PowerShell在資安上也相當好用。在Windows上，可讓管理員或資安防護人員，啟用鑑識、強化事件回應及支援一般或重覆性任務的自動化。在Azure雲端上也可管理雲端資源，允許管理員建立自動化工具和安全措施。</p> <p>基於這些好處，美、英、紐的聯合安全公報建議不要移除或關閉PowerShell。完全關閉會讓企業或政府單位無法使用這些功能，也可能使Windows無法正常運作。他們建議透過適當的設定和監控，以便發揮PowerShell好處到最大。</p> <p>首先，官方建議管理員將PowerShell升級到最新的7.2版。7.2版有更好的安全管理功能，且相容於Windows 7、8及10內建的5.1版的設定及適用的指令、模組和script。但太老舊的版本如PowerShell version 2，官方就建議關閉及移除version 2。</p> <p>美、英政府建議的PowerShell設定包括：啟用PowerShell remoting、惡意軟體掃瞄及應用層控制。PowerShell remoting可預設執行Kerberos 或 NT LAN Manager（NTLM）協定，防止憑證外洩到遠端主機，此外以PowerShell remoting連結端點，會啟用Windows Firewall及要求端點權限，確保連結受信任的端點及網路，減少惡意程式橫向移動。它的AMSI（Antimalware Scan Interface）則可啟動Windows防毒軟體掃瞄PowerShell script來防止惡意程式。同時官方建議透過Windows AppLocker或WDAC（Windows Defender Application Control）設定PowerShell只能執行管理員許可的行為。</p> <p>最後，公報還建議管理員啟用PowerShell的偵測功能，如Deep Script Block Logging、Module Logging及Over-the-Shoulder transcription幫助偵測濫用行為。</p> </div></div></div>
2022/6/24 14:59作者林妍溱https://www.ithome.com.tw/news/151607
研究人員破解雲端儲存服務MEGA的加密機制，恢復使用者的RSA私鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘇黎世聯邦理工學院（ETH Zurich）<a href="https://mega-awry.io/" target="_blank">電腦科學系應用密碼組的3 名研究人員在本周，揭露了知名雲端儲存服務MEGA的安全漏洞</a>，只要利用儲存使用者加密金鑰的MEGA伺服器上缺乏完整性保護的瑕疵，就能允許駭客恢復使用者的RSA私鑰，並解密屬於使用者的密文。MEGA在今年3月收到研究人員的通知，<a href="https://blog.mega.io/mega-security-update/" target="_blank">並於本周修補了主要的漏洞</a>。</p> <p>在2013年創立於紐西蘭的MEGA為消費者導向的雲端儲存服務供應商，它標榜端對端的加密服務，也經常對外宣稱此一安全保證是該服務更勝DropBox、Google Drive、 iCloud及OneDrive的原因，並吸引了超過2.5億的註冊用戶。</p> <p>研究人員總計向MEGA提交了5個安全漏洞，並展示5種攻擊場景，包括恢復RSA私鑰，解密使用者的通訊內容及檔案，偽裝成使用者上傳檔案，竄改使用者所存放的檔案，以及解密RSA密文等，不過，最主要的漏洞來源還是允許駭客盜走RSA私鑰。</p> <p>在MEGA的金鑰架構中，使用者建立了密碼之後，便由密碼衍生出一個認證金鑰與一個加密金鑰，前者可讓MEGA辨識使用者身分，後者則是用來加密隨機產生的主金鑰，再由主金鑰負責加密使用者的金鑰內容，包括一組用來與其他使用者分享資料的RSA非對稱金鑰對，一組用來與MEGA聊天功能交換聊天金鑰的Curve25519金鑰對，一組負責簽署其它金鑰的Ed25519金鑰對，且當使用者上傳檔案時，就會產生的非對稱節點金鑰。</p> <p>其中，私有的非對稱金鑰與節點金鑰都是由主金鑰以AES-ECB加密，並存放在MEGA的伺服器上，以支援使用者自不同的裝置存取服務，至於當使用者透過新裝置要存取服務時，只要輸入密碼，取得MEGA的身分認證，就能獲得加密的金鑰內容，並利用自密碼衍生的加密金鑰來解密它。</p> <p>然而，研究人員發現，駭客只要控制了MEGA的API基礎設施，或是發動TLS中間人攻擊，即可因為MEGA伺服器上所存放的加密金鑰缺乏完整性保護，而恢復使用者的RSA金鑰。一旦取得了使用者的RSA金鑰，駭客即可解密使用者的各種資料，上傳或竄改檔案。</p> <p>研究人員解釋，僅僅是使用AES來進行端對端的加密並不能保證安全，整體系統的設計更是關鍵，包括金鑰衍生與管理、對檔案分享或聊天的功能的支援，以及如何使用與結合這些安全機制。</p> <p>其實相關攻擊並不容易，除了上述的前提之外，真的要恢復MEGA用戶的RSA金鑰，受害者必須至少登入512次以上，讓駭客得以藉由金鑰重複使用而讓密文之間產生意外的互動，而汲取必要資訊，此外，MEGA服務的預設值為常置登入，因此應該只有經常登出/登入的少數用戶曝險。</p> <p>雖然MEGA宣稱並未察覺任何開採相關漏洞的攻擊行動，但研究人員則說，其實就算是已經遭到開採應該也不會留下痕跡。</p> </div></div></div>
2022/6/24 10:27作者陳曉莉https://www.ithome.com.tw/news/151601
Windows 8.1 明年1月10日終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Windows 7之後，<a href="https://support.microsoft.com/en-us/windows/windows-8-1-support-will-end-on-january-10-2023-3cfd4cde-f611-496a-8057-923fba401e93" target="_blank">微軟本周提醒</a>，微軟將在2023年1月10日終止對Windows 8.1的支援，也不會再銷售付費支援服務。</p> <p>微軟表示，到明年1月10日，所有技術支援及軟體更新都不再提供，明年大限之後，持續使用Windows 8.1可能會增加企業的安全風險，以及無法滿足法規要求。微軟補充，視Office版本不同，屆時Windows 8.1電腦上的Office使用經驗也會不同，例如Microsoft 365長期會出現穩定性及效能問題。</p> <p>Windows 7在2020年1月14日終止支援時，因應許多企業及政府機關仍然還在用，<a href="https://www.ithome.com.tw/news/133373" target="_blank">微軟曾提供延伸安全更新（Extended Security Update，ESU）</a>，允許企業花錢購買為期3年（到2023年1月終止）的支援服務。不過微軟提醒，並不會針對Windows 8.1提供ESU。</p> <p>微軟建議用戶執行Windows 8.1電腦應升級到受支援的Windows版本，像是Windows 10或11。一般而言，執行Windows 8.1的電腦不太可能滿足Windows 11的最低規格要求。規格不足以執行Windows 11者，微軟建議換新電腦。</p> <p>但如果真的Windows 8.1硬體達到Windows 11的規格要求，又直接升級Windows 11的話，也會有問題。微軟警告原有App得重新安裝，甚至升級新版本，而且由於磁碟內容會被覆寫，檔案、資料及設定都必須搬移。因此微軟建議採階段升級，先升級到Windows 10（包括Home及Pro版），再升級到Windows 11</p> <p>值得注意的是，Windows 10的支援將到2025年10月14日。</p> <p><a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">根據市調公司GlobalStats的統計</a>，截至今年5月，全球桌機電腦中，Windows 8.0及8.1還有1.36%及3.06%的市占，不過還在用Windows 7的電腦比例高達13.03%。</p> </div></div></div>
2022/6/24 10:51作者林妍溱https://www.ithome.com.tw/news/151603
摩根大通今年141億美元科技預算怎麼用？聚焦這四大科技戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根大通集團（JP Morgen）在今年5月的年度投資日說明上揭露，將投入141億美元的科技預算，來支援今年的科技戰略的四大布局。</p> <p>摩根大通集團是美國最大的金融集團，2020年9月時總資產就達到3.2兆美元，將近臺幣97兆元。去年摩根大通展開了資料湖上雲的新戰略，透過公雲上的資料湖，來取代原本的資料倉儲，採用混合雲架構，來支援他們各式各樣的資料利用和分析需求。但這只是摩根大通科技運用的一小部分，</p> <p>摩根大通揭露了一些基本數據，來反映他們所面對的科技挑戰複雜性和規模。目前，摩根大通在全球有超過5000家分行，累計每天處理高達10兆元的付款。各式各樣的數位產品和應用多達6,400個，由一個5萬5千人規模的科技團隊來負責開發和維運。摩根大通全球數位帳號顧客超過了6千萬人，一年登入這些數位產品的登入次數合計高達110億次。每天系統留下的各種日誌紀錄更是多達400億筆，全部資料量超過500PB，所有虛擬機器的核心數，總共超過270萬顆vCPU。</p> <p>摩根大通2022年的科技戰略包括了4大目標，首先要提供業界最好的產品、平臺和體驗。目的是為了創造體驗差異化，也要加速所有業務流程的數位轉型，來快速提供高品質的創新業務和產品，來擴大這些金融服務的經濟規模和效益最大化。其次，今年也很要聚焦軟體開發能力和基礎架構的強化，尤其要將過去大型的單體式應用，逐漸轉換成API驅動的模組化架構，並且要加快運用公有雲和私有雲上的運算資源來提高彈性，也要打造各種一流工具來提高數位名工程師的生產力，並且讓工程團隊更能貼近顧客端來提高效率。</p> <p>第三戰略是要解放資料威力，不只要做到快速提供各種資料來擴大資料實驗廣度和規模，也要建立平臺加速AI/ML模型的提供，提高模型重複利用和強化法遵自動化控制機制。最後一項戰略則是保護企業和消費者，主動防禦和對抗網路威脅，所有金融產品要預設內建隱私機制和資安機制，也要發展可以降低擁抱新科技門檻的資安控制機制。</p> <p>為了支援這幾年的科技戰略和數位轉型，摩根大通集團每年科技預算成長率達約6%，2019年時的科技預算是117億美元，到了2022年科技預算更是高達141億美元，比去年多了16億美元。</p> <p><strong>兩大類科技預算：74億美元銀行運用費用和戰略IT投資67億美元</strong></p> <p>進一步將摩根大通的科技預算分成兩大類來看，第一類是用於銀行運作的費用，包括基礎架構維護費用，軟體授權，應用程式的維護支援費用等，今年有74億美元，比去年成長了3%，是科技預算的大宗。另一類則是戰略性的IT投資，這部分在今年達到67億美元，但是成長服務比去年多了11%，遠高於銀行運作費用的成長率。這類預算用途，41億美元用於各種業務所需的各種平臺費用，另有26億美元則用於IT現代化、軟體開發流程優化、解放資料威力、顧客和企業保護。</p> <p>雖然摩根大通今年用於銀行運作的科技預算高達74億美元，但在2015年到2021年間，摩根大通這筆維運費用的成長幅度不算太高，平均每年只成長了2%，沒有像戰略投資多達11%的成長力道。但是，摩根大通在差不多規模的預算下，在運算和儲存資源的容量卻增加了2.5倍，關鍵就是這幾年大力發展IT現代化的成果。</p> <p>摩根大通這幾年的IT現代化工程，包括了AP現代化和基礎架構現代化。在AP現代化工程上，包括以雲端（包括公雲和私雲）思維，重新架構或打造應用系統，也導入產業指標型SaaS服務，來取代本地部署的AP，並開始打造一套雲端原生的銀行核心系統，也同時盤點和退役功能重複的老舊應用，累計退役了2,200套應用。</p> <p>而在基礎架構現代化工程上，摩根大通則大力擁抱多雲戰略，來避免廠商綁定，也同步要建立一個高度安全性的私雲。目前摩根大通已經採用了1朵公雲，正在導入其他2朵公雲。基礎架構費用中多達3成用於雲端，未來預計要將50%的虛擬機器都放上雲端。目前正在進行全球33座實體資料中心的精簡和整併，希望在2025年時，可以精簡到只剩下17座資料中心。</p> <p>這些IT現代化成果，讓摩根大通硬體調度時間減少了95％，等於快了20倍，也讓基礎架構的費用利用率，提升了15～20％。</p> <p>因為科技團隊多達55,000人，因此摩根大通也非常注重開發團隊的生產力，今年繼續要提供第一流工具來強化開發生產力，他們有一套自動化和軟體派送平臺和流程，可支援4萬名工程師的開發工作，6千多套應用累計每個月的發布次數達到3萬次之多，所有程式碼合計超過了6億行。目前這個軟體派送平臺支援了摩根大通約6成應用程式的發布和開發，今年目標是希望涵蓋到8成的應用系統。</p> <p>摩根大通也開發了一些相關的開發輔助工具，例如他們有一套自己開發的AI輔助程式碼品管工具，或是一些資安自動化和風險品管的機制，也可以預測程式碼部建的成功率來優化測試工作的排程。</p> <p>在解放資料威力的戰略上，摩根大通正在打造一個可以支援1,000名資料科學的AI戰略平臺，來支援AI大規模應用的需求，主要有兩大管理系統，一個是資料生命周期管理平臺，這就是這兩年積極推動的新資料湖上雲戰略，以Data as a product策略來建置雲端資料湖，以快速支援各類資料的消費，也易於整合不同的資料來重複利用，今年目標是，關鍵的企業分析性資料可以做到即時提供。</p> <p>AI戰略平臺的另一個重要子系統是AI模型生命周期管理平臺，要建立一個功能更細緻的訓練資料管理平臺，來減少AI模型開發流程之間的阻力，也可以整合特定目的的法遵政策或資安控制，目標是要讓模型上市速度加快70%。</p> <p>總結來說，摩根大通希望透過這四大戰略，善用科技來創造差異化，打造第一流產品和體驗給顧客，運用科技帶來營收的回報。他們也希望透過IT現代化，基礎架構或開發流程的改造，未來3年能達到15億美元成本優化的效益。</p> </div></div></div>
2022/6/24 08:49作者王宏仁https://www.ithome.com.tw/news/151600
Fintech周報第212期：金管會最快年底公布軟體供應鏈安全相關規範，新北市行動支付8月正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/5/29～2022/6/24 精選金融科技新聞</strong></span></p> <p><span style="color:#0000FF;"><strong>本期重點：金管會年底前將揭露金融業軟體供應鏈安全的相關規範，央行則建議納入金融監理範圍。英國計畫賦予金融監理機構更多公雲監管權限。新北市8月要正式推出行動支付App發行新北幣，第一銀行則公布內部碳定價導入成果，保險存摺正式上線可一站式查詢所有人身投保資料</strong></span></p> <p><strong>#SBOM、#軟體供應鏈安全<br /> 金管會開始聚焦軟體供應鏈安全，年底前公布相關資安管理規範</strong></p> <p>美國去年開始在聯邦政府採購中，要求軟體業者提供軟體材料清單SBOM表，讓政府單位了解所用軟體的組成、內部模組和所有相關的元件，一旦所用元件出現漏洞，可以自行盤查受影響的系統，不用等待業者通知，來降低軟體供應鏈的風險。金管會資訊服務處處長蔡福隆近日透露，計畫參考美國軟體供應鏈的做法，在今年年底前，於金融資安行動方案中，揭露供應鏈相關資安管理規範。</p> <p><strong>#企業內部碳定價、#碳排放<br /> 第一銀行導入內部碳定價，營業單位2年減少132萬元碳排成本</strong></p> <p>第一銀行從2020年開始舉辦國內營業單位碳管理及節電競賽，並且導入了內部碳定價機制，來提升營業單位的減碳意識而降低碳成本。第一銀行先用實際減碳措施及投入減碳的金額，來計算出自己每公噸減碳的成本，再依照各單位碳排放量來計算所對應的減碳成本。從2021年開始，每季會公告各單位節電目標達成情形，第四季結束後計算目標達成率也對外公布結果。針對沒有達到節電與減碳目標的單位，說明對方超額碳排放的總量，以及應額外負擔的成本，以此來要求各單位推動更多減碳改善作為，同時也會獎勵達標單位的有功人員。根據第一銀行的估算，近2年來，營業單位減少的碳排放量達到291公噸，相當於減少了132萬元的碳排成本。</p> <p><strong>#DeFi、#NFT<br /> 央行揭露DeFi及NFT發展觀察與風險，建議DeFi納入金融監理範圍</strong></p> <p>中央銀行在6月15日理監事會後的記者會，公布了對DeFi和NFT發展的觀察和建議。央行指出，DeFi透過區塊鏈上自動執行的智能合約，在沒有中心化中介機構的情況下，在加密資產市場提供類似傳統金融的交易、借貸和投資服務。央行認為，DeFi看似更有效率的提供金融服務，但也去除了傳統中介機構擔任保護投資人與維護市場誠信的守門人角色，已經衍生了不少風險，例如資訊不對稱與詐欺風險、非法活動風險、營運與技術風險、治理風險、市場誠信風險等，因此，央行建議，DeFi宜納入金融監理範圍，沿用類似傳統金融服務的監管規範。而對當前熱門的NFT，央行認為，目前NFT法律定位不明、市場機制不全、消費者與投資人保護不足，交易淺藏風險。NFT是否可以表彰其所代表商品的所有權，也還有疑義。因為NFT數位藝術品、收藏品及遊戲道具無法合理評價，央行認為，不適合一般大眾作為投資標的。</p> <p><strong>#電子支付、＃一卡通<br /> 一卡通獲准公開發行上市，電子支付用戶破500萬戶</strong></p> <p>一卡通電子支付用戶剛超過500萬戶，儲值卡發卡數超過3,500萬張，最近剛獲得櫃買中心核准為公開發行公司。根據該公司去年年報揭露，儲值卡去年12月單日交易筆數達到99.2萬筆，已經開通6萬個小額消費通路，將持續擴大超商周邊、百貨賣場、連鎖加油站標案、數位轉型專案和多元支付設備整合，來擴大通路。電子支付今年則超過了8.8萬個使用場域，支援36萬個通路POS。今年營運重點是強化線上交易場景，建立多元自主備援和發展入口、強化數據變現等。</p> <p><strong>#區塊鏈、#保險存摺<br /> 保險存摺Web版正式上線，民眾可一站式查詢所有人身投保資料</strong></p> <p>壽險公會與產險公會，聯合22家壽險與14家產險，以及中華電信、台灣網路認證公司，在保險科技運用共享平臺上推出了保險存摺服務，讓民眾可以一站式查詢自己所有的人身保險資料，包括以本人為要保人與被保人的投保情形，包括保單總數、有效及兩年內失效的保單。平臺採取使用者付費原則，民眾付費升級到白金會員後，可以查看更完整的保單資料，並且可以不限次數下載投保紀錄PDF檔。非會員下載則採按次計費方案。目前保險存摺為Web版，壽險公會將在11月推出App，搭配保險業身分驗證中心串接，讓白金會員可以Face ID或指紋辨識登入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%9D%E9%9A%AA%E5%AD%98%E6%91%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A3%BD%E9%9A%AA%E5%85%AC%E6%9C%83.png" /></p> <p><strong>＃新北幣、#行動支付App<br /> 新北市行動支付8月正式上線，未來市政活動贈點將送新北幣獎勵</strong></p> <p>新北市研考會最近宣布，8月將正式推出新北行動支付（NewTaiPay）App，可提供全國跨區域性的智慧行動支付工具，目前正在進行系統壓力測試和效能調校，預計7月初在新開幕的五股公有市場試營運，已經與70多家攤商整合，將提供打卡送折價卷活動來測試。新北行動支付將結合區塊鏈發行的新北幣，作為日後市政活動服務推廣的獎勵之用，民眾掃描QRCode就可以獲得新北幣虛擬貨幣的獎勵，也會提供和現金1比1的幣值來抵用現金，例如用於規費繳納折抵或店家消費。新北行動支付App未來還會增加場館入館、公益捐款、點數轉贈等活動。新北市預估，未來可在5千家實體或線上商城使用，支援商家消費折抵、商品兌換與優惠等行銷活動使用。</p> <p><strong>#先買後付、#iOS<br /> 蘋果將推出先買後付功能，網路購物或App內購買都能用</strong></p> <p>日前蘋果宣布在iOS 16新版將推出先買後付（BNPL）功能Apple Pay Later，內建於Apple Wallet中，方便使用者以Apple Wallet管理、追蹤消費狀況，或設定重覆使用Apple Pay Later支付。只要能使用Apple Pay支付都可以用這項服務，包括網路購物或程式內（In-App）購買。此外，結合Apple Pay訂單追蹤（Order Tracking）功能，消費者可在Wallet中接到以Apple Pay向合作店家購物時的詳細收據或訂單追蹤資訊。第一波先在美國提供Apple Pay Later服務，消費者可設定6周期間的4期分期付款，蘋果強調無息且無額外費用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-ios_16-wallet_adds_apple_pay_later-960.jpeg" /></p> <p><strong>#公雲監管、#金融業上雲<br /> 英國考慮立法讓金融監管機有權納管公雲，甚至可禁止業者繼續服務銀行</strong></p> <p>英國財政部最近發布一份文件，提出一個的監管框架，可供英格蘭銀行和金融行為監管局，對有關鍵影響的雲端或第三方服務業者進行監管，可對它們向金融公司提供的重要雲端服務，制定規則、蒐集資訊，並採取執法行動，如公開不遵守的服務業者名單或其違反的行為，甚至情節嚴重可以禁止其繼續向企業提供服務作為最後手段。根據數據顯示，截至2020年，超過65%的英國企業所使用雲端基礎設施服務，都來自前4大公雲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Stripe%E8%BD%89%E5%B8%B3.png" style="float: left;" /></p> <p><strong>#快速退款、#跨國支付新創<br /> Stripe推出銀行轉帳功能，內建快速退款還能整合發票或訂閱流程</strong></p> <p>跨國支付平臺Stripe最近推出了銀行轉帳功能，內建快速退款機制，專門鎖定店家轉帳付款模式的需求。Stripe採用了虛擬銀行帳號的做法（Virtual Bank Account number，VBAN），賦予每一個用戶一個VBAN帳號，來對應到用戶手上各自不同的銀行帳號。店家就算不知道匯款者帳號重新進行轉帳，也能快速退款給取消交易的消費者。另外，這個銀行轉帳功能，還能串連其他作業流程，例如整合發票、訂閱機制或營收確認的流程。目前這項功能已經先在英國、歐盟、日本和墨西哥推出，預計很快就會在美國推出。</p> <p><strong>#電子錢包、#數位鑰匙<br /> 三星電子錢包平臺上線，可整合支付、數位鑰匙、登機證和身分證</strong></p> <p>三星電子錢包平臺Samsung Wallet正式上線，整合支付、數位鑰匙、登機證及身份證件等功能。除了信用卡號，還可以儲存數位金鑰、會員卡、顧客忠誠卡等，也內建Samsung Pass應用程式可儲存密碼，來快速登入網站服務或App。它甚至可將用戶在不同加密貨幣交易平臺的資產顯示於單一畫面。今年下半年預計增加官方核發的卡片，如學生證或駕駛執照。不過，這些服務都只支援和三星合作的特定卡片或App、網站。</p> <p><strong>更多Fintech新聞</strong></p> <p>Facebook Pay更名為Meta Pay，未來將發展成元宇宙數位錢包能管理數位物品</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/24 07:51作者王宏仁https://www.ithome.com.tw/news/151599
邊緣運算成為企業IT重要投資項目
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端運算／雲端服務席捲IT領域多年，企業與廠商早年都聚焦在資料中心環境的軟硬體技術革新，許多公司運用分散式架構來進行服務規模的橫向擴充，然而，隨著行動網路的發達、物聯網設備的普及，以及多種領域支援現場作業的數位應用需求日增，邊緣運算（Edge Computing）開始崛起。</p> <p>先前也有人將這股IT應用趨勢稱為霧端運算（Fog Computing），例如，2018年王建興在我們的程式人專欄當中，也發表一篇〈<a href="https://www.ithome.com.tw/voice/124736" target="_blank">霧端計算崛起，騰雲駕霧的新時代</a>〉勾勒出此種新的IT模式，然而，經過幾年來的發展，「邊緣運算」一詞最終仍獲得更多人認可與使用，也成為當代IT的重要議題之一。</p> <p>對於不同位置的人們而言，所看到的邊緣運算應用，可能有相當大的差異。一般而言，邊緣運算是在各種場域負責感測、記錄狀態的設備，再將數據傳送至NoSQL資料庫、大數據儲存系統、資料湖等環境存放，隨後其他的資料分析系統與應用程式再存取這些地方的資料，進行分析。</p> <p>不過，由於所需傳送的資料量過大，有些邊緣運算架構的設計上，可能會先就地進行適當處理，再透過網路傳回資料中心，以節省頻寬。這也使得市面上出現具備強大計算能力的邊緣運算前端裝置，使得採用Arm架構CPU的樹莓派、內建Arm處理器與GPU的Nvidia Jetson等單板電腦，受到不少關注。</p> <p>另一股驅動當前邊緣運算快速發展的力量，則是各產業運用次世代無線網路通訊、物聯網、人工智慧等技術的數位轉型風潮。</p> <p>舉例來說，電信業為了拓展5G網路應用與業務，而進行的自身IT架構數位轉型，除了核心資料中心環境的持續進化、積極支援網路功能虛擬化（NFV）、軟體定義網路（SDN）、虛擬化進化型封包核心（vEPC），持續改良基礎架構，對於無線存取網路（RAN）的建置，也開展出vRAN、O-RAN、C-RAN等應用，有些廠商則投入「多接取邊緣運算（MEC）」的發展。</p> <p>除此之外，一般製造業、高科技製造業、金融業、醫療業、服務業、政府單位，也都出現積極發展邊緣運算的使用案例。</p> <p>從IT預算規畫當中，也可看出整體企業與不同產業對於邊緣運算的重視。根據去年6月發表的《iThome 2021 CIO大調查》，臺灣企業對於邊緣運算的平均投資預算是604萬元，超越雲端與大數據（低於資安、AI、行動應用）；而從不同產業的邊緣運算投資而言，服務業投入的金額最多，達到1,444萬元，相較於排名第二的政府與學校單位，多出62%。</p> <p>若以2021年採用邊緣運算的產業來看，臺灣的醫療業有將近1成的比例（9.3%），其次是高科技業（8.1%）。</p> <p>這個數據可能不能充分反映現狀，再看看另一個較新的全球預測。今年1月，市場調查機構IDC發布相關數據，他們預估2022年全球邊緣運算支出將達到1,760億美元，比2021年增加14.8%，若維持同樣的成長速度，到了2025年將逼近2,740億美元。</p> <p>若以不同產業來區分，IDC預期2022年製造業的支出是336億美元，零售專業服務業則是100億美元，而在未來5年期間，他們定義的19個產業，對於邊緣運算的開銷都會呈現兩位數比例的成長。</p> <p>在關於發展邊緣運算的解決方案上，IDC認為有高達85%支出是耗費在硬體與服務，其餘15%則是用在軟體。就硬體而言，大部分投資會落在低功耗、功能有限的邊緣閘道器（edge gateways），不過，在邊緣位置部署運算與儲存設備方面的投資，將會快速成長，有望在2025年底趕上邊緣閘道器。</p> <p>服務的部分，包含專業服務與建置服務（provisioned services），以5年來看，費用年增率可達到19.6%，預計在2025年可占邊緣運算支出的一半，而這些費用成長的來源主要是建置服務，其範圍包括網路連線與邊緣相關基礎架構、平臺、雲端服務（IaaS、PaaS、SaaS）。</p> <p>至於邊緣運算的軟體開銷，IDC表示，相關的產品包含多種類型，例如：系統基礎架構、資安軟體、資料分析與AI軟體，這些支出的成長速度也有加快的跡象。</p> <p>展望未來，邊緣運算並非只是在任何應用領域的最外圍現場，設置各種硬體強固運算設備，顯然也涉及網路的布建、系統與應用軟體的健全、資訊安全的防護，以及雲端服務的整合運用，不再只是做為核心運算架構的附庸，僅扮演強幹「弱枝」的配合角色，在當前各種去中心化技術持續發展的態勢之下，勢必還會衍生出許多可能性。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E9%82%8A%E7%B7%A3%E9%81%8B%E7%AE%97">邊緣運算</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E8%81%AF%E7%B6%B2">物聯網</a></div><div class="field-item even"><a href="/tags/edge-computing">Edge Computing</a></div></div></div>
2022/6/23 23:11作者李宗翰https://www.ithome.com.tw/voice/151578
Facebook Pay更名為Meta Pay，未來將加入元宇宙功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/zuck/posts/pfbid021Q1ZMJFWcXBvPcaqpLWgp3x5HTMD3vyVNbPB17BcuX6n1UmAKh7Kyv6dUb6oKP7Nl" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）周三（6/22）宣布</a>，已正式將Facebook Pay更名為Meta Pay，除了Facebook Pay既有的功能之外，未來的Meta Pay將成為元宇宙的數位錢包，以讓使用者安全地管理自己的身分、所購買的物品及支付的方式。</p> <p>祖克柏說，未來使用者很可能會想要建立或購買各式各樣的數位物品，不管是衣服、藝術品、影片、音樂或虛擬活動等，證明這些物品的所有權是重要的，特別是想要跨服務攜帶某些物品時。</p> <p>在理想的狀態下，使用者在登入任何元宇宙的服務時，任何所購買的物品應可直接呈現，要實現此一目標還有很長的路，但此一互動性將替人們帶來更佳的體驗，也會替創作者提供更大的機會，因為有更多的地方得以使用這些物品，使用者便會更重視它們，於焉替創作者締造了更大的市場。</p> <p>此外，當交易愈方便，創作者的機會也愈大，Meta期待可建立此一生態體系。</p> <p>臉書是在2019年推出Facebook Pay，以讓臉書、Instagram、Messenger及WhatsApp的用戶可透過它交易或匯款，但因各國法令的關係，它在每個市場所支援的服務不一。儘管Facebook Pay目前尚未站穩腳步，但隨著祖克柏決定將企業名稱從Facebook改為象徵元宇宙（Metaverse）的Meta，也標示了未來每一項服務都將朝向元宇宙邁進。</p> </div></div></div>
2022/6/23 22:54作者陳曉莉https://www.ithome.com.tw/news/151589
大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶，每秒最高近2,600萬次HTTPS請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客不只發動DDoS攻擊，還使用HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻大規模DDoS攻擊行動，此次攻擊規模為每秒發出2千6百萬次請求（RPS），目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>在此之前，該公司也於去年7月，發現每秒產生1,720萬次請求的DDoS攻擊事故，這起事故鎖定該公司金融業客戶，攻擊行動來自於殭屍網路Mirai，全球125個國家、逾2萬個殭屍網路機器人，而在短短30秒裡，總共發出了3.3億次HTTP請求。就此起攻擊行動的流量高峰而言，占該公司於2021年第2季處理的最大流量近7成。</p> <h3><strong>攻擊者利用雲端的VM與伺服器產生大量流量</strong></h3> <p>負責相關業務的Cloudflare產品經理Omer Yoachimik表示，這起攻擊事故的流量，大部分來自雲端服務供應商，而非網路服務供應商（ISP），該公司研判，駭客主要是濫用雲端服環境的虛擬機器（VM），以及伺服器主機來發動攻擊，而非運算資源較為有限的物聯網（IoT）裝置。</p> <p>為何駭客要用雲端環境的VM與伺服器主機發動攻擊？該公司先前發現每秒發出逾百萬次請求的物聯網殭屍網路，該網路控制的連網裝置多達73萬臺，而就每個裝置而言，平均每秒送出1.3次請求。而這次遭到濫用的VM與伺服器，每臺機器能發動攻擊的頻率，是上述連網裝置的4千倍。</p> <p>駭客在短短的30秒之中，總共向受害網站送出了2.12億次HTTPS請求，流量的出處來自全球121個國家、1,500個網路。發出DDoS流量最多的國家依序是印尼、美國、巴西、俄羅斯，此外，約有3%流量來自洋蔥網路（Tor）的節點。</p> <p>值得留意的是，駭客偏好利用雲端VM與伺服器主機，來發動攻擊的現象並非首例，今年4月，該公司曾阻止每秒發出1,530萬次請求的攻擊行動，攻擊時間約為15秒。巧合的是，發出請求流量最多的國家也是印尼，俄羅斯、巴西，以及印度次之。</p> <h3><strong>使用HTTPS加密流量的攻擊行動日益頻繁</strong></h3> <p>這起攻擊行動另一個引起Cloudflare關注的地方，在於駭客運用了HTTPS加密流量。由於利用這種流量的成本，較沒有加密的流量高出許多，此種攻擊手法上的變化，代表駭客很可能為了隱匿攻擊的來源，而選擇使用成本較高的HTTPS加密流量來發動攻擊。</p> <p>針對這種使用加密流量的攻擊手法，該公司指出，駭客會發出大量垃圾請求，耗盡目標伺服器的處理器與記憶體等運算資源。</p> </div></div></div>
2022/6/23 23:02作者周峻佑https://www.ithome.com.tw/news/151590
FIDO聯盟推IoT設備身分識別FDO標準，紅帽RHEL、Fedora開始支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著物聯網（IoT）的迅速擴展，設備安全性已成近年關注焦點，不應再是額外的選項，應是需要成為必備，這些聯網設備的身分驗證亦是重要一環，而這幾年來，隨著新世代網路身分識別FIDO標準崛起，在2019年我們即關注到該技術計畫擴展於IoT領域的應用，如今，這項IoT設備身分識別逐漸成形。</p> <p>近期，我們看到紅帽釋出RHEL 8.6與9.0版，當中強調將聚焦邊緣管理，新增加支援FIDO Device Onboard（FDO）安全標準規範，期望能簡化邊緣安裝程序，減少現場或遠端集中部署的管理負擔，以及提供更好的安全管理方式。顯然，這FDO標準在2022年應用有逐漸擴張的趨勢，值得關注。</p> <p>什麼是FDO？這是FIDO聯盟在2021年4月，針對物聯網設備所公布的IoT開放標準協定，名為FIDO Device Onboard（FDO），裡面定義簡易與安全的身分識別方式，IoT裝置無論連至雲端或企業內部網路的後端管理平臺，均可適用這樣的驗證方式。目前，FDO標準在今年4月19日已發布1.1版。</p> <p>FIDO聯盟期望這樣的協定，能夠支援大規模部署IoT設備的需求，幫助企業因應安全、成本、時間，以及管理複雜度等層面的挑戰。</p> <h3><strong>FDO標準抵定不到一年，已有系統業者開始宣布支援</strong></h3> <p>隨著這項標準成形，近期我們看到產業間已有不少行動。舉例來說，以晶片業者來看，去年國內晶片安全業者熵碼科技（PUFsecurity），運用其PUF解決方案，即宣布提供PUFiot裝置ID，幫助產品業者打造符合FDO標準的產品；以系統業者來看，在今年4月14日，紅帽釋出<a href="https://fedoraproject.org/wiki/Changes/FIDODeviceOnboarding">Fedora Linux 37</a>時，支援FDO是一大主打特色，為物聯網與邊緣裝置提供更好的安全使用方式，5月紅帽也宣布RHEL 8.6與9.0版將支援FDO標準，甚至還在5月底發布影片專門介紹FDO。</p> <p>特別的是，在4月底舉行的漢諾威工業展上，Google與Intel在展示智慧工廠新邊緣運算概念時，也示範使用FDO將電腦加入Anthos平臺。</p> <p>整體來看，FDO的推動，這不僅是IoT裝置安裝流程的自動化，也可視為解決目前企業IT與OT領域物聯網部署安全的第一步。儘管FDO標準推出還不到一年，但從上述廠商紛紛支援的消息來看，也反映整個IT產業對於FDO標準的積極程度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）紅帽介紹FDO標準_擷取自紅帽官方YouTube(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%B4%85%E5%B8%BD%E4%BB%8B%E7%B4%B9FDO%E6%A8%99%E6%BA%96_%E6%93%B7%E5%8F%96%E8%87%AA%E7%B4%85%E5%B8%BD%E5%AE%98%E6%96%B9YouTube(1).jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）紅帽介紹FDO標準_擷取自紅帽官方YouTube.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E7%B4%85%E5%B8%BD%E4%BB%8B%E7%B4%B9FDO%E6%A8%99%E6%BA%96_%E6%93%B7%E5%8F%96%E8%87%AA%E7%B4%85%E5%B8%BD%E5%AE%98%E6%96%B9YouTube.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>今年5月24日，在<a href="https://www.youtube.com/watch?v=_nq5IAVbl2Y&t=102s">Red Hat Enterprise Linux官方YouTube頻道</a>上，特別針對v9.0與v8.6版本所新支援的FIDO Device Onboard（FDO）標準規範做介紹。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Google%2BIntel_FDO標準_圖片來源Google.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Google%2BIntel_FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在今年5月27日<a href="https://cloud.google.com/blog/topics/manufacturing/edge-computing-smart-manufacturing-concept-intel-google-cloud-hannover-messe-2022">Google介紹了與Intel合作展示的智慧工廠新邊緣運算概念</a>，在結合Intel的Edge Insights for Industrial（EII）平臺、Intel NUC、Google Anthos之下，也示範使用FIDO Device Onboard（FDO）實現零接觸裝置註冊。</strong></span></p> <h3><strong>可因應大規模IoT布署需求，讓裝置註冊安全又有效率</strong></h3> <p>關於FDO的運作方式，FIDO聯盟是以原有FIDO網路身分識別標準為基礎，擴展至IoT裝置應用，因此，FDO的驗證方式同樣以硬體裝置為主，使用非對稱公鑰加密技術，特別是採行untrusted installer的方法，解決物聯網裝置註冊（onboarding）所帶來的各種安全問題。</p> <p>畢竟，傳統物聯網設備的部署，除了實體的裝置安裝，還需要密碼憑證的設置，使設備能夠安全連至後端管理平臺，但這樣的流程過去普遍由人工手動操作完成，往往不夠簡便、耗時且不安全。</p> <p>具體而言，所謂的裝置註冊（Device onboarding），指以將包含金鑰的機密資料及配置資料的設定安裝過程，使設備能與物聯網平臺安全地連接與互動。基本上，物聯網平臺就是設備擁有者用來管理裝置的系統，包括修補安全漏洞、安裝或更新軟體、檢視感測器資料，以及與執行器互動。</p> <p>更進一步來看，FDO就是在設備製造過程中即確定裝置的所有權，之後的裝置註冊過程，則可視為裝置所有權的轉移或授予。同時，自動化亦是FDO簡化相關驗證程序的一大關鍵，能讓一個物聯網裝置在不修改本身韌體與組態的情況下，能夠安全連入到不同的IoT平臺。</p> <p>FIDO聯盟指出，2022年FDO有兩大推動目標，一是促進整個產業採用FDO，包括終端用戶、專業設備代工（OEM）、原廠設計代工（ODM），以及晶片合作夥伴來共同推動；二是推出FDO認證計畫，包括功能性的認證與互動測試，以及安全認證測試。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FDO標準_圖片來源FIDO聯盟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">在2022年4月19發布的<a href="https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html#protentity">FIDO Device Onboard Specification 1.1</a>中，</strong><span style="color:#696969;"><strong>完整說明了這項裝置連入標準的規範，並圖解FDO的傳輸介面</strong>。（圖片來源／FIDO聯盟）</span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）FDO標準_圖片來源FIDO聯盟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">今年<a href="https://fidoalliance.org/specs/FDO/FIDO-Device-Onboard-PS-v1.1-20220419/FIDO-Device-Onboard-PS-v1.1-20220419.html#protentity">FIDO FDO標準邁入1.1</a>版，規範文件中</strong><span style="color:#696969;"><strong>以圖像化方式說明協定的運作方式。（圖片來源／FIDO聯盟）</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）FDO標準_圖片來源FIDO聯盟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FDO%E6%A8%99%E6%BA%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FIDO%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在FIDO聯盟簡介FDO的一場簡報中，說明FDO運作的6大步驟。（圖片來源／FIDO聯盟）</strong></span></p> <h3><strong>從裝置出廠就具備身分驗證安全設計，FDO標準將為諸多產業帶來助益，並解決物聯網、邊緣運算的關鍵需求</strong></h3> <p>整體而言，在FIDO的FDO標準之下，設備製造的初期即安裝軟體並使用安全金鑰，裝置購買者從製造商獲得裝置並取得安全金鑰時，就能安全、快速且簡便地將產品布署到物聯網平臺，完成註冊並確保設備身分。</p> <p>我們可以如何看待FDO標準的發展？在2021年4月20日標準發布之際，FIDO聯盟執行董事兼行銷長（CMO）Andrew Shikiar曾說過，FDO標準的發布，將讓企業更體認到物聯網的巨大潛力，並且可謂製造、零售、醫療保健、運輸、物流等領域，帶來極大助益。</p> <p>對於FDO標準的成形，身為Intel物聯網部門工業控制與自動化總經理，也是FIDO聯盟IoT技術小組聯合主席的Richard Kerslake，他特別以家中買了一臺新的印表機來舉例，這樣的裝置只要透過USB線與電腦相連接，等待幾分鐘後，驅動程式已經自動安裝完成，這種隨插即用的體驗，與大多數IoT裝置的部分有很大的不同。因為這些IoT設備的布署是耗時、昂貴且不安全。如今，他們不僅加入FIDO聯盟，並且一同催生FDO標準，希望透過新的方法，解決這項產業界所共同面對的挑戰，</p> <p>也有人認為FDO將是一項革命性的標準，例如，英國電信集團（BT Group）研究經理與物聯網架構師Mohammad Zoualfaghari提出他的看法，指出FDO零接觸註冊（Zero touch onboarding）將可解決解決物聯網、邊緣運算與5G行業的關鍵需求，幫助擴展安全與自動化，從製造商到消費者安全，以及從設備到邊緣，邊緣到雲端。</p> <p>同時，我們也詢問國內這方面的專家，希望了解更多FDO的發展趨勢。</p> <p>工研院資通所副所長黃維中表示，過去幾年來，其實產業間一直都有在發展這樣的自動安裝布署，簡化裝置出廠到後續啟用的流程，像是前幾年，Intel就有提出Secure Device Onboard（SDO），讓IoT裝置能在目標裝置管理與雲端分析平臺順利上線，只是以往沒有缺乏一個統合的標準，而現在的FDO做到了。事實上，Intel本身也是FIDO聯盟Board Level會員，而現在的FDO標準規範，其實也就是基於Intel SDO技術而發展。</p> <p>除了系統平臺支援FDO，裝置支援FDO也會是關鍵。要讓裝置出廠的內部構件符合FDO，近年新興的物理不可仿製功能（Physically Unclonable Function，PUF），是近年受看好的技術之一。對此，熵碼科技資安技術經理莊愷莘表示，PUF的最大好處，就是可以讓每個裝置的金鑰都是獨一無二，不像傳統作法要將金鑰燒錄到裝置，需要特殊設備與安全環境，相對而言，PUF可以不用這樣的機制，就能建構獨特的金鑰。</p> </div></div></div>
2022/6/23 18:35作者羅正漢https://www.ithome.com.tw/news/151584
Brave搜尋引擎邁入正式版，推出可客製化搜尋結果的Goggles功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/145187" target="_blank">於去年6月開始測試的Brave搜尋引擎</a>在本周三（6/22）<a href="https://brave.com/search-anniversary/" target="_blank">邁入正式版</a>，Brave同一天也開始測試可客製化搜尋結果的Goggles功能。</p> <p>Brave Software是由JavaScript之父Brendan Eich在2015年所創立的公司，該公司在2016年推出基於Chromium專案的Brave隱私瀏覽器，Brave瀏覽器直至2019年才邁入1.0版；繼之於2021年6月開始測試同樣強調隱私的Brave搜尋引擎，同年10月便以Brave取代Google，作為Brave瀏覽器中的預設搜尋引擎。</p> <p>Brave搜尋引擎標榜以使用者為優先，不涉及廣告或資料銷售，也不追蹤使用者的搜尋或點擊；強調所提供的搜尋結果，都是來自於自己自網路上建立的索引；既不審查也不過濾搜尋結果，亦不含偏見；在瀏覽器與搜尋引擎之間幾乎是無縫整合。</p> <p>從去年6月上線以來，使用者透過Brave搜尋引擎所查詢的關鍵字數量，從首月的810萬成長到10月的8,000萬，在成為Brave瀏覽器的預設搜尋引擎之後，每月查詢次數即倍數成長至1.5億次，到了今年5月的單月查詢量為4.1億次，這一年來累積的查詢量則是25億次。</p> <p>為了慶祝Brave搜尋引擎正式版的上線，Brave本周也開始測試新的「護目鏡」（Goggles）功能，讓任何人或任何社群都能建立規則與過濾器，以限制可搜尋的空間或是變更搜尋結果的排序，等於是允許使用者客製化自己的搜尋結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-search-engine-query-no-goggles.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Brave</span></span></p> <p><a href="https://search.brave.com/goggles/discover?nav=site" target="_blank">例如當於Brave上搜尋「搜尋引擎」時</a>，率先出現的通常是來自知名來源（媒體）的結果，但倘若開啟Goggle，並選擇要搜尋來自科技部落格的內容，就可在第一頁找到那些於通用搜尋中也許要第五頁以後才看得到的內容。</p> <p>今年1月時，<a href="https://www.ithome.com.tw/news/148758" target="_blank">Brave曾對外宣布其瀏覽器每月用戶數已超過5,000萬人</a>，而根據<a href="https://kinsta.com/browser-market-share/" target="_blank">Kinsta所公布的2022年桌面瀏覽器市占率排行榜</a>，Brave的市占率為0.05%，名列全球第十。</p> </div></div></div>
2022/6/23 21:55作者陳曉莉https://www.ithome.com.tw/news/151586
發布緩解措施2週後終於迎來修補程式，微軟修補零時差漏洞Follina
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於6月14日發布的每月例行修補（Patch Tuesday），總共處理55個漏洞，其中有個零時差漏洞特別引人關注，那就是5月底揭露的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟也在6月中，針對所有的Windows作業系統版本，發布修補程式，如果這些設備安裝之後，將能夠防堵駭客執行PowerShell注入的攻擊行動。</p> <p>微軟最早於5月30日對此發布通告，登錄為CVE-2022-30190列管，指出與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分，當時微軟提出了停用相關通訊協定的方式，緩解這項漏洞帶來的風險。但在資安通告公布後，也陸續出現相關的漏洞利用攻擊行動。</p> <p>根據微軟發布的更新程式列表，他們總共對36個Windows作業系統版本進行修補，涵蓋了Windows 7以上所有版本，以及所有Windows Server 2008R2以上的伺服器作業系統，當然也包含最新的Windows 11，以及Windows Server 2022。</p> <p>同時，無論是電腦是搭配x86或Arm的處理器、使用32位元或64位元版本的作業系統，也都需要安裝對應的更新修補。即使是無GUI介面（Server Core）的伺服器作業系統，微軟也予以修補。</p> <h3><strong>有可能在不需用戶互動的情況下就觸發漏洞</strong></h3> <p>這項漏洞之所以受高度關注，主要是資安人員在5月下旬，調查MSHTML重大漏洞CVE-2021-40444之際，意外在惡意軟體分析平臺VirusTotal，看到了有問題的Word檔案，使用者一旦開啟檔案，屆時就會使用MSProtocol URI Scheme（ms-msdt）架構，載入程式碼，進而執行PowerShell。</p> <p>而這樣的手法，也經過其他資安專家的進一步確認，確實是未被列管的零時差漏洞攻擊。</p> <p>相較於現行許多Office已知漏洞，而Follina與極為不同的地方，那就是攻擊者如果是利用RTF格式的文件檔案來發動攻擊，由於Windows檔案總管就能預覽內容，過程中，有可能在不需受害者開啟檔案的狀況下，就能觸發漏洞。</p> <p>關於這項漏洞，命名的資安專家Kevin Beaumont指出，微軟在Office軟體當中，加入受保護的檢視（Protected View），而能針對惡意檔案開啟時就逕自執行巨集的狀況進行防堵，不過，可能難以防範上述利用檔案總管預覽功能的情況。</p> <h3><strong>相關漏洞的修補可能需要更加積極因應</strong></h3> <p>事實上，Follina已被用於攻擊行動的情況，在4月上旬，就有研究人員向微軟安全回應中心（MSRC）通報，然而，因為MSRC認為此漏洞與資安沒有關連，且無法完整執行、驗證研究人員提供的檔案，而將其結案不予處理。這樣的情況，使得攻擊者能夠持續利用該零時差漏洞超過一個月。</p> <p>無獨有偶，資安業者Tenable也認為，微軟需要更加積極回應研究人員通報的漏洞──他們在6月15日，公布通報Azure Synapse Analytics漏洞的過程，微軟在獲報後的第89天，才默默修補部分漏洞，但沒有通知用戶，也並未發布CVE編號，使得該雲端資料分析服務的用戶不知已經曝險。</p> </div></div></div>
2022/6/23 21:55作者周峻佑https://www.ithome.com.tw/news/151587
eBay收購藝術品NFT市集KnownOrigin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ebayinc.com/stories/news/ebay-acquires-leading-nft-marketplace-knownorigin/" target="_blank">全球線上拍賣市集eBay於22日宣布</a>，已買下2018年於英國創立的藝術品NFT市集KnownOrigin，惟雙方並未揭露交易金額。</p> <p>KnownOrigin是一個基於以太坊區塊鏈的NFT市集，允許使用者於該平臺上銷售或購買數位藝術品的NFT，定位為藝術家的NFT收藏市集。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-eBay%E6%94%B6%E8%B3%BC%E8%97%9D%E8%A1%93%E5%93%81NFT%E5%B8%82%E9%9B%86KnownOrigin-1.jpeg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／KnownOrigin</span></span></p> <p>至於eBay則在2021年的5月就允許使用者於該平臺上交易NFT，並在今年5月與標榜綠色NFT平臺的OneOf合作，推出Genesis系列的獨家NFT收藏品，若再加上KnownOrigin的收購，顯示eBay企圖競逐未來的NFT交易市場。</p> <p>eBay表示，由技術主導的策略讓eBay在技術、效能與使用者經驗上都有顯著的升級，包括那些讓使用者更容易發現、購買與銷售任何東西的工具，該平臺原本就是全球用戶搜尋獨特收藏品的第一站，藉由收購KnownOrigin將持續保持領先地位，並替社群提供更多的數位收藏品。</p> </div></div></div>
2022/6/23 22:16作者陳曉莉https://www.ithome.com.tw/news/151588
Meta元宇宙VR研發成果首度大公開，祖克柏揭露真實感VR體驗四大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Meta公司Reality Labs部門實驗室中，有一面原型展示牆，陳列了實驗室設立七年來所開發的數十款VR眼鏡原型，有的輕巧如太陽眼鏡，但更多是笨重，大小不一的設備。這是去年改名為Meta的臉書，最重要的元宇宙研發基地，Meta創辦人暨執行長祖克柏強調，我們的目標是打造出通過視覺圖靈測試的次世代VR體驗，這是目前還不存在的未來技術。這是第一次，Meta詳細揭露了打造真實感VR眼鏡的四大挑戰和最新進展。</p> <p>祖克柏去年將臉書改名為Meta，來宣示全力進軍元宇宙的企圖心。VR眼鏡是Meta實現元宇宙大夢的關鍵設備，2015年就發表了所併購子公司Oculus的首款虛擬實境頭盔Rift，而Oculus團隊後來也成了Meta的VR研發部門，也就是Reality Labs。</p> <p>今年2月，Meta公布去年第四季財報時，也首度公布了Reality Labs部門的營收情況，雖然該季Meta的Reality Labs營收高達8.8億美元，但最後還是虧損了33億美元，而且逐季擴大中。最近更傳出Reality Labs部門將重整，要終止或延後部分專案，專注在核心產品開發。這些負面消息也引發外界對Meta元宇宙布局的疑慮。最近，Meta首度公開了Reality Labs部門歷年的研發成果，來消弭外界對發展不順的質疑。</p> <p><strong>Meta元宇宙的戰略目標</strong></p> <p>Meta元宇宙的戰略目標是，打造出媲美真實世界的虛擬世界，祖克柏指出，如果有一天VR眼鏡可以媲美人類視覺的效果，可以實現「存在感」，讓你感覺好像跟另一個人實際待在同一個地方的感覺，可以幫助人們更好的互動，這是非常重要的事。不管是，你遠方家庭成員，或是專案協作的對象，你喜歡的藝術家，都可以讓他們跟你有同在一個物理空間存在的感覺。</p> <p>為何要打造媲美真實的3D感受，Meta旗下Reality Labs首席研究員Michael Abrash指出，真實的3D可以讓我們體驗，今天在虛擬世界體驗不到的感覺，尤其是與其他人的互動體驗，「必須改變感受系統，來趨近真實的情況，才能提供真正的臨場感。」他更比喻，這樣的VR眼鏡更可以創造出協同合作的可能性，能做到項當年打字機或電腦帶來的產業變革一樣。</p> <p>不只如此，「一旦可以打造出真實感的VR顯示器，就可以創造新一代的視覺體驗。」祖克柏補充，文化會適應科技所帶來的深度和豐富性，當新一代科技出現，就會帶來新的藝術和表現形式，每一個人都希望被了解，這個真實感VR顯示器，會成為一種強大的工具，可以用一種近似現實的方法來表達自己。</p> <p>不過，祖克柏也坦言，要讓VR世界跟現實物理世界非常相似，是一件非常困難，但很有趣的問題，「這涉及我們在物理世界如何察覺事情，包括眼睛如何處理訊號，以及大腦如何解讀的挑戰。」尤其，人類視覺是高度整合的結果，不能只是看到一個高度真實的圖像，還需要很多其他的視覺線索，才會有一種很真實的感覺，「這是與只看電腦螢幕或電視螢幕，截然不同的感受。」</p> <p>不只是這些視覺線索的不同，除了提供3D立體影像之外，觀看傳統螢幕時的對焦是固定距離，但真實世界，眼睛移動過程中，會針對不同的物體對焦。另外，顯示器也必須提供更廣大的視野，提供比傳統螢幕高非常多的解析度，甚至，顯示螢幕必須能夠模仿真實世界的亮度和動態範圍，比現在的高清電視還要高10倍，顯示畫面還能夠快速延遲反映的眼球的動作，當使用者轉頭時，可以很快校正畫面的失真。這些功能都需要電力支援，尤其要支援GPU的運算，也要避免晶片發熱帶來的不舒適感。最後，所有這些元件都要安裝到一個大小適合的設備中。</p> <p>「只有一個部分沒有做好，實境感覺就會消失，這種實境破壞感，比2D平面更明顯。」祖克柏坦言，這就是真實感VR眼鏡的嚴峻挑戰，需要軟體、晶圓技術、感應器等各種技術的合作。</p> <p><strong>參考圖靈測試，提出視覺圖靈測試來驗證VR眼鏡體驗</strong></p> <p>為了用來判定VR眼鏡的效果，Michael Abrash指出，Meta內部提出了「視覺圖靈測試」的觀念，「我們的目標就是希望通過視覺圖靈測試。」Meta參考了圖靈測試的做法，以「能不能分辨不出來這是人或電腦」來判定電腦是不是達到像人一樣的程度，視覺圖靈測驗就是，人類看到的VR世界，能不能跟真實世界一樣，分辨不出兩者的差別。而且這個測試要以人類主觀的感受來測試，而不是技術的衡量標準。不過，祖克柏坦言，目前沒有任何VR設備能夠通過這個測試。</p> <p><strong>真實VR眼鏡的第一個挑戰是超高解析度</strong></p> <p>很多人提到VR眼鏡的品質，就會提到解析度，祖克柏表示，解析度是最重要議題，但VR眼鏡的解析度問題跟傳統的解析度挑戰不太一樣。在VR眼鏡中的視野，其實比現在最寬的螢幕還要更大，他預估，要達到1.0視力效果，就得在整個視野都都達到超過8K的解析度，</p> <p>Meta自己設定的目標是，要達到視網膜解析度效果的VR眼鏡，換句話說，每一度視野要提供到60個像素的解析度，若是眼睛全視野都達到這個解析度，就得比現有顯示器還要多好幾倍的解析度才夠。</p> <p>不過，「人類視覺不需要所有像素都存在，所看到的完整視野中，不需要每一樣東西都對焦，只需要對焦的物體有高解析度，而視野邊緣的解析度可以稍低，但是，現在，任何一款顯示器都沒有辦法做到這件事。」祖克柏説。</p> <p>臉書曾有一款原型產品，稱為Butterscotch，可以提供超高解析度，來達到1.0視力的文字辨識效果，這是2015年時的Rift眼鏡或是當前的Quest 2眼鏡就都達不到的效果，可以看清楚視力檢測表上1.0的文字。</p> <p>Butterscotch 是Reality Labs實驗室客製的原型，不是實際的產品，但是可以達到視網膜解析度，是現在Quest 2虛擬實境眼鏡的2.5倍解析度，但這款原型眼鏡的解法是，透過犧牲視野來達到更高的解析度，透過混合鏡片，將視野的寬度縮小到Quest 2視野寬度的一半，才得到比較高的解析度，可以看到非常細節。</p> <p>祖克柏自己也曾測試過這款視網膜解析度的VR眼鏡，他說：「可以看到非常銳利的圖像，體驗很好，但沒辦法賣，因為裝置的重量很重，而且圖像過於銳利，戴久了也會不舒服。」</p> <p>透過這個原型的實測，一方面可以看到超高解析度VR眼鏡的模樣，也讓Meta的Reality Labs團隊意識到，真實的影像需要達到這樣的解析度，祖克柏指出，顯示器科技會一代一代進步，幾年後就會達到。</p> <p>不過，新世代視覺體驗的挑戰不只是解析度而已，甚至還有一些平面顯示裝置不會出現的挑戰。例如，VR眼鏡獨特的挑戰是VR所用的鏡片是曲線鏡，會造成影像變形，就得靠軟體來校正，但是，這個變形還會隨著眼睛移動而改變，長時間配戴看到失真影像，會造成不舒服、疲勞的感覺。另一個挑戰是對焦的挑戰，眼睛會想要對焦物體，但是，顯示器是以固定距離來投影，就得解決不同距離的聚焦問題。</p> <p><strong>動態對焦是第二個挑戰</strong></p> <p>2015年開始銷售第一款VR頭盔Oculus Rift的時候，當時，Meta就發現到對焦距離的挑戰。因為當時是第一次在VR眼鏡的視野中出現了手，就遇到了移動過程的對焦挑戰。因為手會在VR世界中揮動，就會出現對焦距離不固定的問題。</p> <p>現實世界的眼球，會不斷改變形狀來因應我們看的距離和成像，但是，當前的VR光學系統採用的是固定不能彎曲的實體透鏡，焦點固定在約5～6英尺的位置，方便使用者看到比較遠的地方。在真實世界中，人類的眼睛可以捕捉到不同深度和位置的各種微妙線索，但在</p> <p>VR眼鏡中，若眼睛試圖聚焦觀看近處或遠方的物體，卻無法做到時，就會覺得有點模糊也會讓眼睛疲勞，這是3D眼鏡跟2D顯示器的差別，使用者觀看2D顯示器時，不需要真的觀看到很近或很遠的物體。</p> <p>為了解決這個問題，Meta的解法是動態移動鏡片，來改變景深，就像是相機自動對焦的感覺。後來，Meta用了1個月的時間，做出了第一款變焦的VR眼鏡原型，可以提供正確的焦深，尤其是看近的物件，會更清楚。<img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E7%AC%AC%E4%B8%80%E6%AC%BE%E8%AE%8A%E7%84%A6vr-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.png" /></p> <p><strong>Meta在2015年打造出的第一款變焦VR眼鏡原型，裝上馬達來改變顯示器鏡頭位置，非常笨重，但從此確定了變焦是可以更接近真實的未來技術目標。</strong></p> <p>這個VR眼鏡原型裝上了馬達，來調整顯示器的鏡頭位置，雖然這是一款非常笨重的眼鏡，不是可以上市的產品，但卻讓研究團隊大受激勵，讓他們體驗到未來可以達到什麼樣程度的現實程度，所以戴過這款原型的人都同意，可以讓比較近的物體看起來很銳利，隔年，</p> <p>Meta進一步打造了一款可以追蹤眼動，根據眼球運動來進行變焦的原型。透過機械變焦的顯示器，能夠提供適當的景深，搭配眼球追蹤技術，針對使用者在看的區域，即時提供失真校正，補償這個區域的放大效果，只有使用者看到的物體，會比較清楚，就像在真實世界，你聚焦觀看的物體會更清楚一樣。</p> <p>「這個早期原型，讓我們意識到，我們做對事情了，變焦真的可行，可以提供更吸引人的體驗。」Reality Labs Research顯示系統部經理Douglas Lanman回憶。透過原型確定變焦VR眼鏡發展方向，下一步就是要進行使用者研究，透過更有說服力的科學實驗來證明。</p> <p><strong>開發輕巧變焦VR眼鏡原型，展開使用者體驗研究</strong></p> <p>Reality Labs Research FAIR專案經理Marina Zannoli先前在Reality Labs Research顯示系統團隊中擔任視覺科學家，也是負責新世代VR眼鏡第一次使用者研究的負責人。</p> <p>為了了解變焦如何提升VR的體驗，必須要先打造出一款更小更輕的眼鏡裝置，Marina Zannoli解釋，重量和形式必須接近Oculus Rift，但不能有變焦馬達的噪音和震動，後來，就發展出了Half Doom Zero這款變焦VR眼鏡。</p> <p>Half Doom Zero眼鏡比原本變焦眼鏡的原型小了4倍，而且完全跟當時所有Rift遊戲相容，也有非常好的對焦能力。在2017年春天，Meta找了大概60個受試者，來體驗Half Doom Zero眼鏡，讓他們做了兩天的測試，來比較調變焦系統，跟定焦系統的差別。</p> <p>這個研究也準備了特定的VR展示影片，並鼓勵測試者觀察他們周遭很近的東西，因為這是過去VR世界的使用者會避免做的事，來自原有定焦系統VR眼鏡的限制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%AC%AC%E4%B8%80%E6%AC%A1%E5%A4%A7%E8%A6%8F%E6%A8%A1%E4%BD%BF%E7%94%A8%E8%80%85%E6%B8%AC%E8%A9%A6-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.png" /></p> <p><strong>2017年春天Meta找了60個受試者體驗動態變焦的VR眼鏡，Half Doom Zero眼鏡，這是第一次的大規模VR原型使用者體驗測試。</strong></p> <p>經過使用者實驗後發現，使用變焦系統比較不會累，也比較不會出現模糊的視線，使用者更容易跟蹤物件，在VR世界中閱讀文字也更比定焦系統更容易，可以對物件的反應更快速。雖然這款VR眼鏡仍有噪音和震動的問題，不過，這次使用者研究，多數人可以接受噪音和震動下的變焦系統。</p> <p>「大部分的人都喜歡變焦，比較不喜歡定焦。」Marina Zannoli指出，到了2017年夏天時，我們就得到比較確定的證據，變焦不只有助於未來可以通過視覺圖靈測試，而且可以帶給VR眼鏡其他好處，包括性能的幫助（不需要全視野超高解析度）和舒適性。「Half Doom 系列是一個轉淚點，不只發展出了非常先進的變焦技術，也提供了一種通過視覺圖靈測試的原型測試模式。」</p> <p>從此，先做出原型來驗證，再發展輕巧版本進行使用者實驗，來研究如何打造下一個原型，「這就變成了我們的標準流程。」Marina Zannoli表示。Meta的Reality Labs實驗室開始大量運用這個原型實驗的做法，來嘗試解決不同的VR眼鏡挑戰，這也是為何在7年中會開發出近30款原型VR眼鏡的緣故。</p> <p>有這個變焦系統更舒適的發現之後，Meta開始專注於減少設備大小和重量，以及想辦法擴大VR眼鏡的視野，也製作了一系列的原型，後來更使用了液晶透鏡的電子變焦鏡頭，讓鏡片元件的體積縮小了許多，後續也持續改良變焦硬體。</p> <p><strong>第三個挑戰：變焦帶來更複雜的失真校正挑戰</strong></p> <p>解決了變焦鏡頭的問題，還要解決其他問題，另一個問題就是VR光學失真的問題。</p> <p>先前就提到VR眼鏡的鏡片是曲面鏡，原本就會出現影像失真的問題，VR眼鏡大多透過軟體來修正這個影像的失真。可是一但採用了變焦鏡頭，要隨著使用者的眼球來修正聚焦的物體，連動到虛擬影像的失真情況，也會隨著眼睛移動，查看不同方向而發生不同的失真變化。</p> <p>可是，Michael Abrash指出，既有失真修正演算法是相對靜態的做法，遇到眼睛要不斷移動來瀏覽完整場景的時候，無法完美發揮作用，因為靜態軟體校正系統無法產生持續穩定的圖像。「我們要研究的是眼球追蹤的失真校正，必須進行動態校正，隨著眼睛來進行，在不同的變焦技術，在不同景深上發揮作用，而且校正的速度還要快讓人難以察覺，這是很難解決的問題。」</p> <p>要解決失真的問題，需要很長的時間，一方面必須要製造出研究問題需要的鏡片，可能花上好幾個月才能完成，還要製造顯示器和對應的VR系統。為了解決耗時的問題，Meta改用大量眼球運動的紀錄，來設計模擬器，搭配3D電視技術，來模擬研究不同光學設計和失真校正演算法，不用建造真正的頭盔，「透過這種快速原型製作能力，可以在幾分鐘內探索不同動態失真校正的情況。」Michael Abrash表示。</p> <p>他指出，眼球追蹤是被低估的挑戰，一方面要找出使用者對焦的地方，來決定要渲染的圖像重點，另一方面，也要考慮熱量跟功率，如果只需要渲染出使用者需要關注的細節就好，但降低其他部分的圖像解析度，「這或許是一個非常重要的優化做法。」目前在Quest 2的軟體也做了不少失真校正的彌補，但要滿足真實感VR眼鏡需要的失真校正效果，還是不太夠。</p> <p><strong>可以讓3D場景栩栩如生的第4項挑戰：HDR</strong></p> <p>Michael Abrash表示，Meta研發VR眼鏡七年來所遇到的顯示系統挑戰，除了解析度、變焦到失真校正的課題，還有一個很重要的挑戰就是HDR（高動態範圍），這是涉及亮度和對比的問題，亮處夠亮可以感覺到顏色清楚，而暗處夠暗才會讓場景變得栩栩如生。當前的挑戰是，「螢幕生動的程度，跟真實世界相比，有相當大的差異。」目前高階電視的亮度可以達到1萬尼特，電視產業也往HDR的方向前進，但當前Quest VR眼鏡的亮度只有100尼特，要提供HDR的亮度，也需要在電池跟重量之間取得平衡。</p> <p>Meta曾打造出第一款HDR的VR眼鏡Starburst來測試，不管重量和電力，放進高亮度的螢幕，來進行更多研究，了解HDR的體驗會是如何。原型測試的目的是為了找出可以讓視覺更加真實的技術方向。</p> <p>Reality Labs Research研究總監Nathan Matsuda表示，透過Starburst，可以創造出在室內看到的亮度，來研究基本的察覺問題，了解未來目標HDR應該要達到什麼程度。目前發現，若可以產生比較好的焦深，營造真實生動的感覺，就有機會實現一個夠漂亮，夠複雜的VR環境，這還需要很多代的演進，才能達到。「我們正努力將這些技術整合到一個更小巧，更便宜的眼鏡中。」Nathan Matsuda表示，每次建立一個新的原型，不管多不實際，但都可以讓我們理解，人們如何觀察周圍的世界，以及科技可以如何擴大人們的視覺系統。</p> <p>Michael Abrash指出，變焦和視網膜解析度可以打開很多種可能性，但也會帶來開發者的挑戰，越真實的內容，製作難度就越高，如何協助人們創造這樣的環境，能夠炫染出可以保真的程度，AI技術將是實現這個目標的關鍵技術，另一個策略是先在真實世界中架構出場景，再將場景帶進虛擬世界。</p> <p>在Meta的Reality Labs團隊中還有一組人馬，負責整合科技和新的光學元件，他們的挑戰就是要盡可能減少這些光學元件的體積。Reality Labs Research研究員 Andrew Maimone指出，不管是解析度、對焦、失真或HDR的技術，最後都要整合到VR眼鏡中，我們的目標希望更輕薄短小，人們可以使用更長的時間。</p> <p>在VR光學元件中有三個要素，光源、成像的顯示版和曲面鏡片。過去VR眼鏡大部分的空間是消耗在鏡片和顯示版之間，Andrew Maimone指出，後來改用偏光折射可以進行光學對折，技術上稱為餅乾式鏡筒，可以大幅減少厚度，只剩下曲面鏡片本身的厚度。後來，Meta引進了全像投影的餅乾式鏡筒，簡稱HoloCake，同樣採用餅乾光學鏡頭的設計，將鏡頭改為全像鏡片，就可以得到更薄、更平的鏡頭，能夠大大減少VR光學元件的大小，進一步能減少整體眼鏡的重量，不過，「全像鏡片非常特殊，得使用雷射作為光源，才可以描述更多顏色，提供更好視覺體驗。」</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%A4%85%E4%B9%BE%E5%BC%8F%E9%8F%A1%E9%A0%AD%E8%A8%AD%E8%A8%88.png" /><br /><strong>傳統VR眼鏡空間是消耗在鏡片和顯示版間，Meta改用偏光折射進行光學對折，技術上稱為餅乾式鏡筒，大幅減少了厚度，更將鏡頭改為全像鏡片得到更薄更平的鏡頭（圖右）。</strong></p> <p><strong>最新VR原型HoloCake 2採用全像技術和雷射光源</strong></p> <p>Meta也展示了他們目前最先進的VR裝置原型HoloCake 2，可以支援任何電腦來運作，引進了兩個技術，第一是引進了全像技術，可以讓使用者感受到有點像是實際成像的樣子，也能減少距離造成的成像差異效果，不過，要提供全像成像需要特殊光源，HoloCake 2採用了特別的雷射光源，不同於今天VR眼鏡用的LED光源。 Andrew Maimone指出，雷射光源並不神奇，但在消費級產品中，找不到性能和價格能夠兼顧的合適產品，還需要大量工程研究，才能打造出符合需求的消費型雷射光源，能夠安全、有效的裝在輕薄的VR眼鏡上。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-HoloCake-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.png" /><br /><strong>Meta目前最先進的VR裝置原型HoloCake 2，採用餅乾式全像技術，也需要搭配特殊雷射光源來提供全像呈現所需，不同於今天VR眼鏡慣用的LED光源。</strong></p> <p>祖克柏還展示了一款VR眼鏡的原型設計Mirror Lake，集結了Reality Labs部門過去7年的研究成果，採用了HoloCake 2的顯示系統，包括了變焦鏡頭、眼球追蹤、失真校正技術、餅乾鏡頭設計等，要整合到一個小巧、方便穿戴的護目鏡眼鏡設計，來提供混合實境的真實3D顯示方式。不過，Mirror Lake只是一個概念設計，Meta還沒有真正實現這樣的架構。</p> <p>祖克柏坦言，Mirror Lake還需要好幾年才能實現。「因為真實感VR是一個全新的技術，不是改進手機或電視的顯示器，如果可以實現，將會帶來VR體驗非常大的改變。」文⊙王宏仁</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%9C%AA%E4%BE%86%E8%A8%AD%E8%A8%88.png" /></p> <p><strong>祖克柏展示一款VR眼鏡原型概念設計Mirror Lake，集結了過去7年的研究成果，整合到一個小巧、方便穿戴的護目鏡眼鏡設計，來提供混合實境的真實3D顯示方式，但目前還沒實作。</strong></p> </div></div></div>
2022/6/23 19:07作者王宏仁https://www.ithome.com.tw/news/151585
【資安日報】2022年6月23日，威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有不少與漏洞的修補和公布有關。其中，威聯通針對NAS設備的用戶發布資安通告，相當值得留意。這項漏洞是存在於PHP元件的CVE-2019-11043，可能會影響執行QTS、QuTS hero、QuTScloud作業系統的NAS設備，該公司已針對部分作業系統進行修補。</p> <p>操作科技（OT）的相關系統漏洞，有可能會因為設計過程沒有將資安納入考量，普遍存在於多個廠牌的設備，有資安業者近期公布一組名為OT:Icefall的漏洞，並指出至少有10個廠牌的設備存在相關漏洞，且很可能被駭客用於攻擊工控環境。</p> <p>前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega，最近也修補研究人員通報的漏洞，這些漏洞主要是能竊取並解密用來加密檔案的RSA金鑰，使得用戶的資料可能因此曝光。用戶應儘速更新用戶端程式來緩解相關漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/chinese-actor-takes-aim-armed-with-nim-language-and-bizarro-aes/"><span style="color: rgb(0, 0, 0);">駭客組織Tropic Trooper使用Nimbda惡意程式發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg" style="width: 300px; float: right;" /></a>駭客利用新的程式語言打造惡意程式，進而規避資安系統偵測的情況，最近又有相關攻擊行動出現。資安業者Check Point揭露中國駭客組織Tropic Trooper近期的攻擊行動，駭客假借提供SMS Bomber程式的名義，偷渡名為Nimbda的惡意程式載入工具，此軟體是透過Nim程式語言打造而成。</p> <p>攻擊者利用Nimbda在後臺將Shell Code注入記事本（Notepad.exe）的處理程序，從GitHub儲存庫下載惡意程式Yahoyah的變種，並將其解密後，利用挖空處理程序（Process Hollowing）的注入手法，透過dllhost.exe執行此惡意程式，收集受害電腦鄰近的無線網路SSID，以及特定的電腦資訊。</p> <p>研究人員指出，駭客加密Yahoyah的手法相當特別，該組織透過兩輪的AES演算法倒序作業，而被研究人員稱做AEES。研究人員指出，這種加密手法使得資安人員要解析惡意程式的難度大幅提升。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-20"><span style="color: rgb(0, 0, 0);">威聯通NAS設備恐受到PHP漏洞波及，用戶應儘速更新作業系統</span></a></strong></h3> <p>威聯通於6月22日發布資安通告，指出旗下的NAS設備，可能會受到PHP漏洞CVE-2019-11043影響，若Nginx組態配置不當，可能會受到此漏洞影響，一旦攻擊者利用這項漏洞，就有可能遠端執行程式碼，呼籲用戶更新QTS、QuTS hero來防範相關攻擊。該公司表示，這項漏洞可能會影響QTS 4.5與5.0版、QuTS hero h4.5版與h5.0版，以及QuTScloud c5.0以上的作業系統，他們推出QTS 5.0.1.2034 build 20220515、QuTS hero h5.0.0.2069 build 20220614等版本予以修補。</p> <p>不過，威聯通指出，上述漏洞需要某些元件存在才會形成，這包含了Nginx與php-fpm兩項元件都必須在執行的狀態，才會觸發該漏洞。由於在該廠牌NAS預設的組態中，並未安裝Nginx元件，有可能不會受到上述漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://mega-awry.io/"><span style="color: rgb(0, 0, 0);">檔案共享服務Mega修補加密機制可能遭到破解的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png" style="width: 300px; float: right;" /></a>加密演算法的漏洞，有可能讓標榜資料點對點加密的檔案共享服務，用戶資料遭到洩露。瑞士蘇黎世聯邦理工學院的研究人員於3月24日，向前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega通報有關加密演算法的5個漏洞，近期亦公布5種可能的利用攻擊手法，這些手法多半仰賴竊得並解密RSA金鑰進行。</p> <p>研究人員指出，Mega標榜以用戶端控制的全面加密（User-Controlled End-to-End Encryption，UCE）機制來傳出資料，該公司透過使用者登入Mega的密碼來產生加密金鑰，所有使用者的RSA金鑰都存放在Mega伺服器，該公司卻沒有採取完整性保護的相關措施，使得研究人員能透過中間人攻擊（MitM）的手法，來取得特定用戶的RSA金鑰，甚至有可能逆向工程解密AES-ECB主鑰，以及整個金鑰組。</p> <p>Mega獲報後於6月21日發布新版用戶端程式，修補了其中3個漏洞，並承諾將於後續版本修補另外2個漏洞，該公司亦強調要利用這些漏洞的門檻相當高，但確實突破該公司提供的資料保護機制，使得他們相當重視這些研究人員通報的內容。</p> <h3><strong style="font-size: 22px;"><a href="https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/"><span style="color: rgb(0, 0, 0);">OT:Icefall漏洞恐導致10個廠牌的OT裝置曝險</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png" style="width: 300px; float: right;" /></a>操作科技（OT）環境系統的不安全，很有可能與設計當初並未將資安納入規畫，而使得攻擊者能加以利用。資安業者Forescout揭露名為OT:Icefall的一組漏洞，此漏洞組由56個漏洞組成，漏洞類型涵蓋層面甚廣，可能導致攻擊者能遠端執行程式碼、竊取帳密、竄改韌體或是組態設置，以及繞過身分驗證等，影響Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bently Nevada、Phoenix Contract、ProConOS，以及Yokogawa等廠牌的OT設備。研究人員指出，他們公布的這些漏洞，已經成為針對工控環境發動攻擊的惡意軟體利用的目標，這些惡意軟體包含了俄羅斯駭客針對烏克蘭發電廠所使用的Industroyer 2與CaddyWiper。</p> <p>研究人員指出，有7成4易受到攻擊的系統通過相關安全認證，這也突顯相關檢驗程序涵蓋的資安面向可能有所不足，他們呼籲用戶應參考系統製造商提供的資安通告，了解漏洞的影響範圍，以及相關的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop_21.html"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 103，並修補14個漏洞</span></a></strong></h3> <p>Google於6月22日發布電腦版Chrome 103版，主要加入了HTTP 103狀態代碼來協助瀏覽器預載部分內容，來提升網頁的載入速度，但在此同時，該公司也修補了14個漏洞，其中較為嚴重的是Base元件的記憶體釋放後使用（UAF）漏洞CVE-2022-2156，此外，與UAF有關的漏洞還有CVE-2022-2157、CVE-2022-2161、CVE-2022-2163，分別涉及Interest groups、WebApp Provider、Cast UI and Toolbar等元件。Google宣稱，他們向通報漏洞的研究人員發出了4.4萬美元獎勵。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Data-Center/Third-SGX-Community-Day/post/1393177"><span style="color: rgb(0, 0, 0);">Intel宣布恢復舉辦SGX社群日活動</span></a></strong></h3> <p>為了推廣機密運算與自家公司開發的軟體防護延伸技術（SGX），英特爾實驗室曾於2020年7月中舉辦第二屆SGX Community Day，為期兩天，當時有超過1百位研究人員、工程師參加，他們來自英特爾、其他公司、大學、政府單位，並且展示了6種支援SGX應用的軟體框架，例如：Graphene、Occlum、Enarx、Mage、SCONE，能讓一般Linux應用程式、多種見證框架，以及Rust、WebAssembly執行時期元件無需修改，即可在SGX執行。</p> <p>或許是因為COVID-19的疫情關係，2021年並未舉辦SGX Community Day，但今年6月英特爾實驗室首席工程師Mona Vij在他們公司的社群部落格，宣布英特爾將於7月26日舉辦第三屆SGX Community Day，地點是美國俄勒岡州希爾斯伯勒市，屆時以實體與線上混合的方式進行，大會議程將於6月24日公布。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.minerva-labs.com/does-acrobat-reader-unload-injection-of-security-products"><span style="color: rgb(0, 0, 0);">Adobe Acrobat、Acrobat Reader疑似會干擾防毒軟體掃描PDF檔案</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> <p><a href="https://www.ithome.com.tw/news/151525">【2022年6月20日】西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節</a></p> </div></div></div>
2022/6/23 18:03作者周峻佑https://www.ithome.com.tw/news/151583