iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google更新Chrome與Android的密碼管理工具，可主動於Google Password Manager中輸…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/password-manager-update/" target="_blank">Google本周更新了</a>Chrome與Android平臺上的密碼管理工具Google Password Manager，包括將允許使用者直接於Google Password Manager中輸入與儲存密碼，在Android上的Chrome則提供觸控填入（Touch-to-Fill）功能，也將整合Android與Chrome上的密碼管理經驗。</p> <p>Google Password Manager中大多數的功能，都是由Google位於德國慕尼黑的Google安全工程中心（Google Safety Engineering Center，GSEC）團隊負責開發，此一功能主要奠基於Chrome上，因此不管是在Android、iOS、Windows、macOS或Linux平臺上使用Chrome，都可利用Google Password Manager來管理密碼，它會在使用者輸入密碼時自動詢問是否要儲存密碼，也能幫使用者建立安全密碼，並在需要時協助使用者填入密碼。</p> <p>過去Chrome都是在使用者要輸入程式或網站密碼時，詢問是否要儲存密碼，不過新的Google Password Manager將允許使用者主動至該服務，輸入特定程式或網站的密碼。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Blog-Asset_Add-Manually.gif" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>此外，當Android用戶透過Chrome要造訪某一個網站並執行登入時，Google Password Manager會在頁面下方自動現身，詢問是否要幫使用者輸入所儲存的帳號與密碼，只要觸碰它就能完成填入。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/New_One_Touch_Login.gif" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>有鑑於使用者抱怨Chrome與Android上的密碼管理使用經驗不一，Google則積極整合兩個平臺的密碼管理經驗，倘若使用者在同一程式或網站上擁有不同的密碼，Google Password Manager即會自動將它們歸類，現在還允許Android用戶直接於桌面上建立捷徑（下圖），以一鍵存取密碼功能。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Homescreen-Entry-Point.gif" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>至於iOS用戶若想利用Google Password Manager的密碼建立功能，則只要將Chrome設為自動填入供應商即可。</p> <p>另外，所有平臺上的Chrome用戶都可在特定密碼遭到危害時，收到Google Password Manager的警告，Android用戶則會額外收到密碼太薄弱或重複使用的提醒。</p> </div></div></div>
2022/7/1 13:51作者陳曉莉https://www.ithome.com.tw/news/151715
Meta對內警告今年下半年的成長將放緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周對內發表了今年下半年的投資重點，指出該公司正處於嚴重的逆風時期，必須在成長放緩的環境中完美的運作，再度反映了全球經濟所面臨的困境。</p> <p>今年以來，不管是全球股市、美國股市，或是包括Meta在內的美國科技股的股價都呈現大幅下滑趨勢，也促使Meta重整該公司元宇宙部門Reality Labs的專案，包括將終止智慧手錶專案，停止開發消費者版本的Portal智慧顯示器，連原本計畫在2024年才要發表的AR眼鏡都延期，以專注於開發核心產品。</p> <p><a href="https://www.theverge.com/2022/6/30/23190164/meta-chris-cox-internal-memo-product-bets-tiktok-metaverse?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">而根據《The Verge》所公布的Meta內部備忘錄</a>，該公司產品長Chris Cox除了列出Meta下半年的投資重點之外，也警告下半年的逆風依舊，員工應有所準備。</p> <p>Meta下半年的投資重點包括元宇宙、AI、WhatsApp及Messenger等傳訊功能、Reels 與 Discovery 引擎，以及隱私等，而在收入的創造上，Cox坦承該公司目前最大的營收風險，仍是訊號的流失與目前宏觀經濟的態勢。</p> <p>事實上，早在蘋果於2021年4月釋出的iOS 14.5、正式啟用追蹤透明化政策之後，Meta幾乎在每季的財報上都會對此提出警告，因為該政策讓任何企圖追蹤使用者的程式都必須獲得使用者的同意，意謂著Meta旗下的各個程式都會因可追蹤的用戶數量減少，而影響其廣告收入。</p> <p>不過，今年下半年情勢看起來似乎又更嚴峻了一些，Cox於備忘錄中表示，Meta的各個團隊不應期望有大量的新工程師或預算湧入，得更無情地擬定發展重點，在衡量對開發者效率的投資、公司內部的效率或是造成影響的來源時都必須更深思熟慮，以期打造更精簡也更有活力的團隊。</p> </div></div></div>
2022/7/1 14:16作者陳曉莉https://www.ithome.com.tw/news/151716
樹莓派發表支援Wi-Fi的Pico W，售價6美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142419" target="_blank">繼於去年1月推出</a>首款基於自製晶片RP2040的微控制器產品Raspberry Pi Pico之後，<a href="https://www.raspberrypi.com/news/raspberry-pi-pico-w-your-6-iot-platform/" target="_blank">樹莓派基金會（Raspberry Pi Foundation）在本周發表了第二款的Pico W</a>，它支援Wi-Fi，售價也從4美元提高到6美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-%20Raspberry%20Pi%20Pico%20W-600.png" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／樹莓派基金會</span></span></p> <p>與樹莓派先前推出的單板電腦相較，Pico微控制器是專為嵌入式應用所設計，它具備處理器、少量記憶體與輸入/輸出介面，尺寸小功能也簡單，通常被應用在自動控制的產品或裝置上，例如汽車引擎控制系統、植入式的醫療裝置、遙控器、或玩具等，使用者可將它當成獨立的開發板，或是搭配樹莓派的單板電腦使用。Pico的尺寸大約只有51mm x 21mm大小。</p> <p>Raspberry Pi Pico的核心是樹莓派自行研發的RP2040微控制器，它採用台積電的40奈米製程，整合兩個133MHz的Arm Cortex-M0+核心，內建264KB的靜態隨機存取記憶體，以及可程式化的輸入/輸出子系統。樹莓派指出，快速的核心、大容量的記憶體與彈性介面，讓RP2040成為物聯網（IoT）應用的天然建置區塊。</p> <p>Pico W與第一代Pico的差別在於新款支援了802.11n Wi-Fi協定，讓它更適用於IoT應用的連網需求，此外，它雖然內建藍牙功能，但出貨的當下並未啟用藍牙功能，有可能會在未來開放。</p> <p>除了Pico W之外，樹莓派也替Pico系列創造了兩個添增了針腳的Pico H（下圖）及Pico WH版本，前者是基於Pico，售價為5美元，後者則是Pico WH的針腳版本，售價為7美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-Raspberry%20Pi%20Pico%20H-600.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／樹莓派基金會</span></p> <p>自從去年初發表迄今，樹莓派基金會已售出近200萬張的Pico，而且該基金會認為全球半導體的短缺更加速了市場對Pico的採用，因為設計工程師在此一空窗期剛好空出了作實驗的時間。</p> </div></div></div>
2022/7/1 13:13作者陳曉莉https://www.ithome.com.tw/news/151710
前谷歌資深工程總監談精實創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我躺在小船頂，順著緬甸偉河（Ywe River）漂流而下，穿過兩岸茂密叢林，偶爾會看到佛塔金光燦爛，真是令我大開眼界。</p> <p>當時的緬甸正處於關鍵時刻。二○○八年的納吉斯超級颱風（Cyclone Nargis）造成將近十萬人死亡，鄰近地區直到現在才漸漸恢復正常；推動民主的領導人翁山蘇姬（Aung San Suu Kyi）解除軟禁，數十年來國會首次舉行公開選舉，這些發展都讓緬甸人民日益期盼好日子趕快到來。但是這個國家還有很多極度貧困的人，他們在自家薄田辛勤耕作，平均收入每天不到兩美元。我在這裡探訪的專案就是和三角洲地區一些農家合作，提升農作生產，改善收入。</p> <p>當我走進草屋林立的村落，巡視周遭農田，男男女女得意洋洋地向我展示豐盛成長的稻作和蔬菜。我也參觀專案人員週間工作和棲息的窄小木屋，他們在當地提供現代農業技術的培訓和改良種子，幫助農民組織農產團體，擴大農業經營規模。不管是農民或專案人員的奉獻精神都讓人感到振奮和鼓舞，大家不辭辛勞一起努力改善生活。</p> <p>參觀完農村回到鎮上後，由領導團隊說明專案管理方式。辦事處的牆上掛著大黑板，黑板上的表格列出各個村莊的名字，上面寫滿了專案要進行的各種活動和相關目標。每週結束的時候，各地專案人員一起開會檢討活動進度、統計達標人數。整套作業就像是上足油、卯足勁運轉的機器。</p> <p>不過要打破貧窮循環並不容易，畢竟箇中因素極其複雜，而我們距離解決所有問題還相當遙遠。於是我提出疑問：那麼，我們所做的努力到底效果怎麼樣？這兩年來開展的工作，又需要哪些改進或調整？而且該怎麼做才能幫助到更多的農民？但是我只看到大家的眼中一片茫然。我很快了解到，整件事不是這樣運作的。就像許多全球發展計畫，整個專案的設計從最早的援助案以來早已規畫多年，主要還是由美國總部的工作人員完成。這些在三角洲地區工作的專案人員只需負責執行計畫，達成每季設定好的目標，他們並不需要再深入理解和做出必要的改進。更糟的是，這個專案雖說有數百萬美元經費，接觸到的農民不過幾千人；而在這個人口多達六百萬的廣大地區，約莫三分之一的農民生活在貧窮線（poverty line）以下。</p> <p>我們能不能做得更好？在預定的四年之後，這個專案就會結束，不管它能否達到成效，以及那個地方或鄰近區域是否還需要更多援助，沒人會在意。我們團隊只能祈求好運，獲得更多捐款，讓更多贊助者有興趣參與。</p> <p>我躺在船上晃盪，一月的陽光曬得我暖洋洋的，我想一定還有更好的方法來處理這些事。大家都很努力，希望做出不同的改變，但他們的雙手彷彿被綁住一樣。光是執行這種一次性的僵化專案，並無法為大多數民眾帶來最大的影響。我們可以做的應該還有很多。我後來又遠赴賴比瑞亞、烏干達、辛巴威、瓜地馬拉、印度和蒙古等國家旅行，也一次又一次看到類似的狀況。</p> <p>於是我決定投入人生職涯的下半場，先深入了解這些不良運作的問題所在，再找出改進制度和體系的方法。</p> <p><span style="font-size:28px;"><strong>兩個世界的碰撞</strong></span></p> <p>我的反應似乎不太尋常。大多數人結束各地的考察後，都懷著滿腔熱血，只想趕快幫助那些民眾或生物棲息地，並不會想到要解決這套運作背後的官僚程序和管理理念。不過我本來就是個工程師嘛！</p> <p>我曾經在科技產業工作二十幾年，直到七年前才轉換新領域，這是我長期規畫後做出的改變，我準備在人生職涯的下半場致力於改變世界，讓世界變得更美好。這雖然聽來像是陳腔濫調，但我的決心確實就是如此簡單明瞭。我一向熱愛挑戰開發軟體程式，卻也想要做些更有意義的事情。問題是要做什麼呢？在解決貧窮、醫療保健、教育、環境保育、人權等重要議題上，我當然都不是專家。況且，很久以前我就從軟體程式工程師轉到管理職，現在我甚至也沒資格再去寫程式。但我還是帶著真誠熱情，希望找到一種值得努力的方法，而非只是照表操課。這次到緬甸參觀訪問就是我早期的學習過程之一。倘若我希望以後能夠有所作為，就要先搞清楚最前線的人們都做了什麼。那時我很幸運，能在美國政府、頂尖國際非營利組織和幾個合作夥伴的工作中，向業界幾個最好的組織和企業學到很多事情。</p> <p>我在Google工作八年以後，矽谷那種傲慢自大還是在我身上造成一定的影響，不管是好是壞。我那時覺得，好像什麼事情都辦得到，一切都有可能。二○○○年代末期我帶領手機工程團隊，當時Google地圖（Google Map）的街頭導航系統是手機用戶最想要的功能，但是地圖資料供應卻由兩家公司聯合壟斷。雖然我們使用資訊的費率固定，但手機用戶使用導航服務時卻要逐一收費，我們進入導航市場這條路因此受阻。如此一來，我們就無法提供免費的導航產品。後來我們向Google聯合創辦人佩吉（Larry Page）和布林（Sergey Brin）報告這個困擾，於是他們提供一項非凡的服務：派車走遍全世界的大街小巷，自行建立地圖資料庫。而過去每個月向用戶收費五到十美元的衛星導航系統業者，也被迫跟著改變。</p> <p>我在這當中不只是學會從大局來思考，也逐漸體會到實驗的價值。儘管Google已是業界領導者，但並不因而自滿或裹足不前，每天還是進行好幾百場實驗和試作，測試系統服務的主要和次要功能，增強優勢。雖然網路搜尋並不是Google的發明，但它透過測試、學習和更快速的迭代改良（iterating），超越所有競爭對手。所以Google的各種產品才會持續進步，整個系統也是逐年改良進步。</p> <p>我就是帶著這種觀點和態度來到伊洛瓦底江三角洲。我總是忍不住想問，這麼做有效嗎？我們能不能做得更好？我們可以幫助更多人嗎？而且能不能永遠改變整個體系？</p> <p>好吧，我承認我有點天真。我的無限熱情很快就撞牆面對冷酷現實，了解到社會創新──為社會及環保挑戰開發更好的解決方案──要比科技創新還困難許多：經費限制可能嚴重阻礙實驗的進行；受助者的需求與贊助者的優先目標並非總是一致；短期致勝比長期成長還要誘人。衡量社會工作成果可是比計算網站點擊次數來得更艱巨。而且，一旦涉及現實生活，冒險常常帶來更多不可預知的後果。但是我堅定相信，那些推動矽谷快速進步的創新技術，一樣可以成為創新基礎，創造更多社會公益。自從緬甸考察之旅以來，我發現愈來愈多組織率先採取創新方法，也取得令人矚目的成果。創新未必要花很多時間或金錢。事實上透過及早發現問題，還可以省下許多時間和金錢。</p> <p><span style="font-size:28px;"><strong>精實創業運動</strong></span></p> <p>幾乎每個產業的企業都想和矽谷一樣充滿活力，成為創新的溫床。科技的進步不僅顛覆我們生活的各個面向，解決大小問題的各種方法也年年突飛猛進。摩爾定律正顯現出這種持續進步、毫不鬆懈的力量多麼驚人，過去五十幾年來，這套定律準確預期晶片上的電晶體集成數量每兩年增加一倍，運算能力也因此出現指數級成長。那麼當我們解決那些世界上最棘手的問題時，為什麼不能像電腦晶片一樣勇猛精進呢？<span style="color:#696969;"><strong>（本文摘錄整理自《精實影響力》前言，天下文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%B2%BE%E5%AF%A6%E5%BD%B1%E9%9F%BF%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96-350.png" style="width: 330px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下文化出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span></strong> <span style="color:#3399ff;"><strong>精實影響力：非營利組織的創新</strong></span></p> <p>張安梅（Ann Mei Chang）／著；陳重亨／譯</p> <p>天下文化出版</p> <p>定價：500元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%85(1).jpg" style="width: 200px;" /></p> <p><a href="https://www.annmei.com/bio" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Ann Mei Chang</span></span></a></p> <p>張安梅（Ann Mei Chang）</p> <p>社會創新專家。曾任美國國際開發署（USAID）創新長、美國全球發展實驗（US Global Development Lab）首任執行董事、美慈組織（Mercy Corps）創新長，以及美國國務院全球婦女問題辦公室婦女與科技資深顧問。</p> <p>在投身公共與社會部門工作以前，張安梅在科技產業工作20餘年，先後任職於Google、蘋果、財捷（Intuit）等全球企業及新創公司。在Google擔任資深工程總監期間，帶領行動應用程式與服務專案，在短短三年內便實現巨大的成長收益。</p> </div></div></div>
2022/7/1 11:08未署名https://www.ithome.com.tw/article/151695
蘋果允許南韓iOS App使用第三方程式內支付，收取佣金26%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/news/?id=q0feipe4&1656574242" target="_blank">蘋果昨（30）日宣布</a>將讓在南韓版App Store上架的App業者使用第三方程式內支付（in-app payment，IAP）以符合南韓法律的規定，將針對這些支付收取26%佣金。</p> <p>南韓政府去年通過並實施《電信業務法》（Telecommunication Business Act）後，<a href="https://www.ithome.com.tw/news/147678" target="_blank">Google去年10月率先宣布</a>允許Android App廠商使用Google以外的程式內支付。<a href="https://www.ithome.com.tw/news/148842" target="_blank">蘋果則在今年1月宣布</a>同意當地iOS App使用第三方支付。在最新的宣布下，蘋果公布相關細節。</p> <p>蘋果表示，為遵循南韓電信業務法，現在開發人員可以使用StoreKit外部購買權利（StoreKit External Purchase Entitlement）。這權利僅允許在南韓App Store發行的App提供另類支付處理選項。</p> <p>想使用本選項的App開發商必須具有App開發人員方案的帳號，才能要求StoreKit外部購買權利。目前蘋果允許4家第三方支付服務，包括KCP、Inicis、Toss、NICE，App開發商若有其他偏好，則需先經過蘋果審查。此外，開發商也需提供第三方支付的客戶支援網站。</p> <p>而針對使用者利用第三方支付完成的消費，蘋果會向支付業者收取26%的佣金，不包含加值稅（value-added taxes，VAT）。而開發商每個月也需提交相關銷售報告給蘋果。</p> <p>蘋果提醒，選擇這個作法的iOS App將會有些功能無法提供用戶，包括購買前詢問（Ask to Buy）以及家人共享（Family Sharing），原因是蘋果無法驗證在App Store以外發生的支付。蘋果並表示他們因此無法負責使用者退款、購買歷史紀錄、訂閱管理及處理其他交易問題。</p> <p>對於使用第三方支付機制，蘋果還有多項限制，包括開發商必須另外提供僅在南韓App Store發行的App二進位程式（binary），第三方支付不能內建於具有蘋果IAP的同一支App中。此外，交易必須在新的App完成，而不能導向App以外的網頁，除非法律要求。蘋果也要求App不得包含隱藏、未說明的支付功能和行為。如果該App涉及詐騙、或低價吸引用戶上門卻賣高價產品等誤導行為，也可能被蘋果從App Store移除。</p> <p>蘋果在歐洲，<a href="https://www.ithome.com.tw/news/149209" target="_blank">則是於今年2月允許</a>荷蘭境內App Store上架的約會App提供第三方程式內支付。蘋果收取27%的佣金。</p> </div></div></div>
2022/7/1 09:55作者林妍溱https://www.ithome.com.tw/news/151696
迎接混合辦公時代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣COVID-19疫情在6月中開始出現明確趨緩的現象，然而，Omicron新型變異株BA.4、BA.5崛起，隨著相關管制措施的鬆綁，是否會造成全球疫情大爆發，仍是眾人擔憂的可能狀況，因此，實際上，短期內應該還是無法回到2020年之前，所有人仍有心理準備，隨時回到需居家隔離的狀態，而這種參雜部分人員實體辦公、部分人員在家上班且透過網路協作的模式，被稱為混合辦公（Hybrid Work）。</p> <p>關於這項工作狀態選擇，6月底終於有臺灣調查數據出爐。根據104人力銀行旗下104玩數據對808位求職會員6月中網路問卷調查，比較2021、2022年臺灣企業上班模式，例如，在家辦公（WFH）這兩年都是5%，2022年進公司工作的比例不增反減，從30%降至22%，混合式工作從65%增加到73%。</p> <p>放眼全球而言，員工傾向混合辦公的確是大勢所趨。根據網路設備大廠思科今年1到3月進行的調查顯示，對於27個市場區域的2.8萬全職員工而言，71.2%的人偏好混合辦公，也就是結合遠距上班與到公司辦公室上班，就算是最年長的嬰兒潮世代，也有68.3%傾向混合辦公，而且並未因為性別、工作資歷而有顯著差異；以區域來看，臺灣是當中最支持混合辦公的，以73.3%的比例居冠，從混合辦公獲益最大的前三大區域，依序是印尼、香港、中國，都有8成以上的員工認可。</p> <p>而就效率與產出狀況來審視在家上班的狀況，104玩數據的調查顯示，認為WFH效率比進公司差的去年比例是32%，今年比例升高至39%，認為WFH產出比進公司差的去年比例為26%，今年比例增加到30%。</p> <p>事實上，今年因為前幾個月的疫情大爆發，臺灣經歷第二波大規模在家辦公浪潮，理應大家更駕輕就熟，但對此狀況的反應竟是不滿比例上升、滿意比例下降，顯然有些問題並非靠熟練就能解決。</p> <p>此份調查也列出影響在家上班效率與產出的三大原因，幾乎都與溝通有關。首先是線上會議大家搶話、不講話，甚至是斷訊問題，這類狀況以34.5%高居第一，其次是公司未有更完善的遠端工作規範，以及遠端設備未升級，比例均為33.3%。</p> <p>在思科的問卷調查研究中，並未著墨在這些問題的探討，而是聚焦在分析混合辦公成功的因素，他們歸納出4大重點，分別是：彈性的工作排程、增加科技的使用、大幅縮短通勤時間、善用虛擬會議與協同合作工具，具體而言，會是3大驅動力，例如優質的技術與技術支援、主動提供協助的管理風格、彈性的工作時間安排，這背後需要相應的技術投資、優秀的公司與團隊文化，以及源於領導力所提供的協助。</p> <p>思科在這裡也列出一些新型態協同合作的現象，可能會影響混合辦公成效。首當其衝的是同時進行多項工作（multitask），有的人可能會覺得這應該是優點，但若是在開會時分心做其他事情，將會降低彼此的溝通效率，根據思科的調查，有多達52.9%的員工認為此舉沒什麼問題，但有56.8%的員工認為這會影響生產力。</p> <p>而且所謂的「多工」，思科在這份調查的研究中，也區分成好幾種類型，例如，在召開線上會議的期間，同時進行其他工作、用餐、接聽與工作無關的電話或發送與會議無關的簡訊，比例都有3到4成。</p> <p>至於正面的混合辦公經驗也是有的，例如，會議更準時進行，能接受彼此開會時的穿著家常，能以更短時間完成開會，認可這些優點的員工比例都超過6成。</p> <p>總體而言，遠距與在家上班過去並未受到全球企業普遍採用，但經歷兩年多的不得不然，我們的確該重新思考舊有的工作模式，的確有改變的必要性，人們看待自身幸福的價值觀已經有很大的變化，外在環境的變化與衝擊加劇也是無可迴避的現實，如何在彈性應變與生產力確保之間取得平衡，仍是企業維持自身營運的最主要考量，從完全集中化，走向分散與混合的模式，已勢在必行。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B7%B7%E5%90%88%E8%BE%A6%E5%85%AC">混合辦公</a></div><div class="field-item even"><a href="/tags/hybrid-work">Hybrid Work</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div></div></div>
2022/7/1 10:49作者李宗翰https://www.ithome.com.tw/voice/151691
5G趨勢月報第32期：聯發科旗艦5G晶片小改版；5G開臺2年，臺灣5G下載網速如何？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>06/01~06/27精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>晶片</b></span></font></p> <p><strong><span style="font-size:22px;">聯發科再推5G旗艦平臺天璣9000+，GPU性能提升10%</span></strong></p> <p>繼Computex電腦展展示多項產品後，聯發科近期再發表新的旗艦5G行動平臺天璣9000+，內建CPU與GPU效能提升，預計第三季搭載該平臺的5G裝置將會在市場上亮相。</p> <p>相較於去年底推出的天璣9000，此次天璣9000+可以視為加強版，採用台積電4奈米製程及Arm v9架構，內建八核心CPU，包括1個3.2GHz的Arm Cortex-X2超大核、3個Cortex-A710大核，以及4個Cortex-A510能效核心，CPU效能提升5%；GPU則採用Arm Mali-G710，內建10核心，效能提升10%。此外，天璣9000+也採用聯發科第5代AI處理器，APU 5.0，分擔AI運算工作。</p> <p>新平臺也採用符合 3GPP R16的新5G數據機，支援Sub-6GHz 5G頻段，3CC載波聚合，下載速度最快可達7Gbps，上行方面，支援R16的超級上行技術。另外，該平臺還支援Wi-Fi 6E、最新衛星定位及藍牙5.3。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Opensignal</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網速</b></span></font></p> <p><span style="font-size:22px;"><strong>國內5G開臺將滿2年，Opensignal：三大電信5G下載均速逾240Mbps，最快達383.3Mbps</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/opensignal-5g-5g_download-600.jpg" style="width: 600px; height: 178px;" /></p> <p>臺灣電信市場吹起合併風，繼台灣大哥大與台灣之星合併之後，遠傳也宣布將合併亞太電信，電信市場將回到三大電信競爭，三家業者5G開臺已將近2年時間，國內5G網路服務品質如何，可從近期Opensignal用戶體驗報告獲得參考。</p> <p>該報告指出，在5G用戶體驗方面，中華電信用戶的5G平均下載速度達383.3Mbps，遠傳電信則是近300Mbps（296.7Mbps），台灣大哥大平均下載速度為246.7Mbps，顯示三大電信5G下載速度均達到240Mbps以上。</p> <p>隨著UGC內容分享，影像分享、視訊直播需求提高，對行動網路的上傳頻寬需求增加，報告也指出，在上傳速度方面，中華電信用戶5G上傳平均速度達47Mbps，遠傳電信為43.9Mbps，台灣大哥大為26Mbps。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>資策會MIC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>資策會MIC：去年全球衛星發射已突破1千顆，低軌衛星通訊服務快速崛起</strong></span></p> <p>企業選擇網路通訊技術，除了現有的5G之外，低軌衛星寬頻通訊服務正在崛起，衛星無線通訊的大範圍涵蓋，為網路基礎建設不足或是不經濟的偏遠地區提供寬頻網路，與集中在都會區的5G網路互補，或是在地震、颱風造成海纜中斷時，為企業在短時間內建立跨國通訊網路。</p> <p>資策會MIC近期發布報告指出，受到全球低軌衛星快速發展，去年全球衛星發射數量已突破1千顆，預估在各業者競相投入下， 2021年到2030年每年將發射逾1,700顆衛星，其中大部分為低軌衛星，以2021年為例，低軌衛星（LEO）發射數量已是高軌衛星（GEO）的61.6倍。</p> <p>目前積極投入低軌衛星的業者，包括Starlink、GlobalStar、Orbcomm、Iridium，還有Verizon與Amazon合作的Project Kuiper，英國與印度合作的OneWeb、中國航天等等。其中較具知名度的是特斯拉創辦人Elon Musk所創的太空發射事業SpaceX旗下的Starlink，目前已在全球36個國家地區擁有約40萬用戶，針對消費者及企業提供數百Mbps的衛星寬頻通訊服務。Starlink正持續擴大全球部署的低軌衛星數量，未來目標為建置超過1萬顆低軌衛星的星系。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>日本</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><span style="font-size:22px;"><strong>富士通、NEC、DOCOMO、NTT與Nokia聯手展開6G實驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20220606-01a_tcm100-6731111_tcm100-2750236-32.jpg" style="width: 600px; height: 293px;" /></p> <p>正當全球行動通訊正由4 G走向5G，已有業者展開下一代行動寬頻通訊技術研究，日本的富士通、NEC、DOCOMO、NTT、Nokia近期聯手開始一項6G網路實驗，該實驗將採用下一代6G網路可能使用的100GHz與300GHz頻段，由於這類高頻段容易受到阻礙，因此抗阻礙也是下一代6G技術面臨的挑戰之一。同時也將實驗以AI為基礎的無線傳輸方法。</p> <p>相較於現有的5G，下一代6G被認為將具備更高的傳輸及更大的容量，更低的延遲。該項實驗將在2023年2月開始室內試驗，隔年再進行室外試驗，實驗將建置一個分散式的MIMO網路，透過多個分散的Sub-THz天線從多個方向同時發射無線電波到接收器。目的是能發展出能抗阻礙，且穩定提供達100Gbps無線傳輸速度。</p> <p>除了研究新的無線通訊傳輸技術，富士通也希望發展出運用氮化鎵 (GaN) 和銦磷 (InP) 等化合物半導體的高頻率無線設備。化合物半導體技術可讓6G的無線設備具更小體積、更低功耗表現，並可支援高速傳輸及更大容量的能力。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>桃園機場</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G專網</b></span></font></p> <p><span style="font-size:22px;"><strong>桃園機場擬建置5G專網，將測試智慧機場應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/46EDC286-41CF-EC11-BBBB-005056BD475F.jpg" style="width: 600px; height: 458px;" /></p> <p>今年4月，交通部公布一項5G帶動智慧交通補助計畫，以桃園機場為實證場域，導入5G專網，試驗5G智慧旅運應用，例如無人載具，以加速機場的智慧化，近期受委託廠商已與桃園機場合作進行場勘，準備在第二航廈建置5G獨立專網。</p> <p>根據規畫內容，其中測試的一項應用是無人車，需要繪製室內圖資，透過無人車在機場內載運有需要的旅客至登機門，減少人力駕駛的需求。無人車上配置攝影機，移動時可同時傳送即時影像至後臺，並透過影像辨識，偵測機場內人員是依規定配戴口罩，監控機場內設施是否異常。</p> <p>由於桃園機場內佔地相當大，機場內基於安全嚴格管制動線，過去員工離開辦公單位，在機場內無法使用內部應用系統，因此桃園機場也計畫未來測試5G專網核心串接內部OA網核心，讓員工不受到辦公場所限制，只要在機場內，可透過5G專網，以手機、平板電腦使用內部應用系統。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣大哥大</b></span></font></p> <p><span style="font-size:22px;"><strong>台灣大哥大以股東身分反對遠傳電信與亞太電信合併</strong></span></p> <p>今年2月遠傳電信宣布將合併亞太電信，成為台灣大哥大與台灣之星宣布合併後，另一項國內重大電信業者合併案，自此臺灣電信市場將呈現三雄鼎立。不過，日前亞太電信舉行股東會，台灣大哥大以亞太電信第4大股東身分，對股東會通過的合併案表達不同意的立場，並要求亞太電信以公平價格購回台灣大哥大擁有的股權，恐使這項合併案產生變數，台灣大哥大與遠傳電信的競爭角力已悄悄展開。</p> <p>台灣大哥大與亞太電信的關係，從4G時代展開網路漫遊開始，亞太電信借台灣大哥大網路資源以服務亞太用戶，在此一基礎上，台灣大哥大與亞太電信維持合作關係，但在進入5G時代，亞太電信與台灣大哥大的關係生變，改與遠傳合作共頻共網，之後台灣大哥大宣布將合併台灣之星，用戶數穩坐第二名，直逼電信龍頭中華電信，也促使遠傳電信提升用戶規模，加速合併亞太電信。</p> <p>過去國內電信市場在5家業者3大2小的競爭態勢下，亞太電信、台灣之星為與3大業者競爭，往往推出具競爭力的資費方案，未來如果NCC與公平會通過台灣大哥大與台灣之星，遠傳電信與亞太電信兩項合併案，國內市場將回到三雄的競爭。遠傳電信總經理井琪日前在股東會上表示，未來市場回歸三家電信，競爭將從過去資費為主，改為服務與網路品質的差異化。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信與高雄榮總合作，高雄榮家5G智慧長照服務上線</strong></span></p> <p>5G在智慧醫療的應用再添一例。中華電信、退輔會、國發會、高雄榮總合作下，在高雄岡山的榮民之家（簡稱榮家）推出5G智慧長照服務，以國產的5G O-RAN打造5G長照專網，結合AIoT、AR眼鏡提供智慧長照服務。</p> <p>去年10月中華電信與旗下子公司中華系統整合，在高雄成功大樓宣布5G AIoT智慧醫療落地，並聯合資通訊服務業者組成團隊前進醫療場域，在退輔會支持下，結合5G智慧醫療與榮家轉型策略，在岡山榮家導入5G AIoT，讓住民可透過5G與高雄榮總遠距視訊會診，未來準備擴大至全國16所榮家共8千床。</p> <p>榮家導入的5G智慧長照服務，包括智慧照護系統、緊急送醫系統、遠距家屬探訪系統、5G智慧排班系統、生命體徵自動上傳系統等。其中3D可視化虛擬病房結合AR眼鏡、5G AIoT打造而成，緊急送院系統則透過5G實現遠距處置，由醫護將住民的第一視角即時畫面傳至後送急診室，爭取救援時間。</p> <p> </p> <p>圖片來源／聯發科、Opensignal、桃園機場公司、富士通</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.資策會MIC：5G FWA將快速成長，北美市場成長最快</strong></p> <p><strong>2.中華電信因應5G、AIoT、雲端、資安業務需求，將招募近千名資通訊人才</strong></p> <p><strong>3.遠傳與亞東科大、亞東醫院聯手，展示5G智慧診療、環境監控應用</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/7/1 11:05作者蘇文彬https://www.ithome.com.tw/news/151700
Google、Nvidia並列MLPerf機器學習效能標竿測試之冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mlcommons.org/en/news/mlperf-training-2q2022/" target="_blank">MLCommons本周公布最新機器學習標竿測試結果</a>，Nvidia和Google分別在4項測試項目中拿下第一。華碩今年也首度參加測試。</p> <p>MLPerf Training是業界組織MLCommons主持，也是業界知名的機器學習效能測試，本周公布的是MLPerf Training 2.0結果。</p> <p>MLPerf Training 2.0測試涵括AI推論應用任務的8種類別，包括圖像分類（ResNet, ImageNet）、圖像分割（KiTS19, 3D U-Net）、物件辨識light-heavy （OpenImage, RetinaNet）、物件辨識heavy-light（COCO, Mask R-CNN）、醫療影像（3D-Unet）、語言辨識（RNN-T）、自然語言處理（BERT, Wikipedia）、推薦（DLRM）及強化學習（MiniGo）。</p> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/cloud-tpu-v4-mlperf-2-0-results" target="_blank">其中Google宣布</a>其TPU v4在4個類別，包括自然語言處理、圖片分類及2項物件辨識任務測試項目拿下第一。不過Google並未說明8個項目中其他4項的測試成績。</p> <p>Nvidia則是唯一一家完成所有8項目測試的廠商，使用A100 GPU及新的Jetson AGX Orin SoC。<a href="https://developer.nvidia.com/blog/getting-the-best-performance-on-mlperf-inference-2-0/" target="_blank">Nvidia稱它的系統在其中6項測試</a>，包括圖像分類、醫療影像、圖像分割、語言辨識、推薦系統，以及強化學習拿下第一。</p> <p>今年有21家廠商提交MLPerf Training 2.0 共250項效能測試數據，包括微軟Azure、百度、富士通、Dell、技嘉、聯想、英特爾Habana Labs、聯想、浪潮等。今年有華碩等6家廠商首次參加測試。<a href="https://www.asus.com/news/dk1plobf5g1rgymq/" target="_blank">華碩2臺搭載A100 Tensor Core GPU的伺服器</a>ASUS ESC8000A-E11 及ASUS ESC4000A-E11伺服器參加包括圖像分類、自然語言處理及推薦等6項測試項目。</p> <p>主辦單位表示，除了參加廠商更多，整體效能測試結果和上一次相較也提高1.8倍。</p> </div></div></div>
2022/7/1 09:30作者林妍溱https://www.ithome.com.tw/news/151693
三星宣布開始生產3奈米晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsung-begins-chip-production-using-3nm-process-technology-with-gaa-architecture" target="_blank">三星電子（Samsung Electronics）周四（6/30）宣布</a>，已開始藉由基於環繞式閘極（Gate-All-Around，GAA）電晶體架構的3奈米製程來生產晶片。</p> <p>根據三星的說法，基於GAA技術的多橋通道場效電晶體FET（Multi-Bridge-Channel FET）得以挑戰鰭式場效電晶體（Fin Field Effect Transistor，FinFET）在效能上的限制，藉由減少供應電壓水平來改善能源效益，並透過增加驅動電流能力來強化效能。</p> <p>與5奈米製程相較，最佳化的3奈米製程將能減少45%的電力使用，改善25%的效能，並減少16%的表面積。三星已經開始啟動該3奈米電晶體與半導體晶片的高效能與低功耗應用，並計畫擴大至行動處理器。</p> <p><a href="https://www.trendforce.com/presscenter/news/20220425-11204.html" target="_blank">根據市場研究機構TrendForce的統計</a>，去年全球晶圓代工市場的龍頭為台積電，市占率達53%，三星以18%居次，且TrendForce還預測台積電今年的市占率會增加到56%。</p> <p>儘管三星比台積電更早進入3奈米製程，不過，三星過去幾年來的競爭都受到良率的阻礙，不確定新的3奈米製程能否翻轉頹勢，而台積電則計畫於2025年進入2奈米製程。</p> </div></div></div>
2022/7/1 09:40作者陳曉莉https://www.ithome.com.tw/news/151694
Opensea用戶的電子郵件外洩了，小心網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的NFT交易市集Opensea近日傳出一起用戶資料外洩意外，<a href="https://opensea.io/blog/safety-security/important-update-on-email-vendor-security-incident/" target="_blank">該公司在29日表示</a>，其電子郵件服務供應商Customer.io濫用了員工存取權限，下載並與未經授權的第三方分享Opensea用戶的電子郵件，提醒所有曾於Opensea分享電子郵件的使用者都要小心，包括訂閱Opensea電子報的使用者在內。</p> <p>Opensea並未說明Customer.io是如何濫用其權限並與第三方分享Opensea用戶的電子郵件，僅說正與Customer.io合作進行調查，並已通知執法機構。<a href="https://techcrunch.com/2022/06/30/nft-opensea-data-breach/" target="_blank">但Customer.io向《TechCrunch》透露</a>，此事是由一名具備特定權限的員工所為，調查期間已取消該名員工的所有存取權限且暫時將他停職。</p> <p>由於外洩的資料主要是Opensea用戶的電子郵件，使得Opensea一方面以電子郵件通知可能受影響的用戶，另一方面也警告用戶可能遭到電子郵件網釣攻擊。</p> <p>為了避免潛在的網釣攻擊，並協助使用者區分非法郵件，Opensea呼籲使用者必須提高警覺，例如Opensea的合法網址為Opensea.io，應小心任何企圖仿冒該網址的郵件；也強調Opensea不會寄出任何含有附加檔案並要求使用者開啟或下載的郵件；切記不要確認或分享自己的密碼或錢包的短語密碼；也不要於郵件中執行任何的錢包交易。</p> </div></div></div>
2022/7/1 09:08作者陳曉莉https://www.ithome.com.tw/news/151690
收購後首度揭Sigfox未來發展，UnaBiz：Sigfox以後只代表技術，不再是一家公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月完成收購後，UnaBiz近日首度透露Sigfox未來發展，首先組織策略將會有重大改變，Sigfox公司將被註銷，只保留技術，也就是說，Sigfox這家公司將不復存在，以後Sigfox就只代表技術名，由UnaBiz百分之百擁有，包含旗下兩百多項的專利。</p> <div> <p>兩家公司在合併後，新的公司一樣叫UnaBiz，原本在法國當地的Sigfox員工，大約200多人，部分員工將融入到UnaBiz團隊，包括行銷、業務、RD等，新公司總部未來1~2年，也可能從註冊地的新加坡遷到法國Sigfox總部。</p> <p>在接受iThome專訪時，UnaBiz臺灣總經理何承翰證實：「我們現在正在進行註銷的程序，以後Sigfox只代表技術名，百分之百由UnaBiz擁有，包含旗下兩百多項的專利。」</p> <p>2010年成立的Sigfox，是以提供低功耗物聯網傳輸技術為主的一家法國IoT通訊服務商，員工數最多有到400多人，過去10年來，Sigfox在全球業務持續拓展，在法國、英國、日本等全球各地共有75家代理營運商，負責銷售Sigfox產品及技術。負責臺灣銷售的Sigfox代理商就是UnaBiz。</p> <p>Sigfox過去和LoRa並稱兩大LPWA（低功耗廣域網路）技術，也是主要IoT傳輸技術，其通訊網路涵蓋遍及全球75個國家及地區，估計全球1,950萬個IoT裝置採用Sigfox作為主要IoT通訊，每天更要處理7,600萬條IoT訊息發送。</p> <p>在完成收購後，何承翰表示，目前兩家公司正在進行組織與部門的整併，像是Sigfox的RD部門，以後將會和UnaBiz的RD部門整合，兩家網路部門也會合併，變成一個跨國虛擬團隊，業務單位也是。他提到，未來UnaBiz底下不會設立獨立Sigfox部門，而是完全和現有UnaBiz團隊整合在一起。</p> <p>在業務面上，何承翰指出，未來將由UnaBiz直接與70多家代理營運商來談，雙方將重新擬定新合約，合約內容和程序也會簡化，他提到說，以往Sigfox公司和各地代理商簽定合約時，不管是價格或拆帳，或是最終提供市場的售價，都太過複雜，且設有諸多限制，因此未來希望要把這部分合約加以簡化。</p> <div> <p>在併入UnaBiz後，雖然Sigfox公司將走入歷史，不過UnaBiz強調，Sigfox技術仍會繼續發展下去。</p> <p>對於未來1~2年短中期的規畫，UnaBiz內部有擬定SOS（Secure、Open、Scale）策略，首先是要確保客戶或現有合作夥伴，讓他們都能夠安心；其次，要讓Sigfox這個技術，從以往相對封閉走向更開放的路線，使生態圈合作能夠更加緊密。最後更要以大規模物聯網應用發展為目標，如水表、瓦斯表、資產追蹤等大規模應用，在推動過程中，也將持續把UnaBiz文化和精神帶到Sigfox。</p> </div> </div> </div></div></div>
2022/7/1 06:44作者余至浩https://www.ithome.com.tw/news/151689
股東會後電信電商營運與資安成焦點，網家與台哥大揭資安管理現況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年國內上市櫃公司舉行的股東常會進入尾聲，6月下旬持續有多家業者召開說明會，電信與電商成新聞焦點，如PChome（網家8044）22日舉行股東會，揭露經營成績及改善狀況，隔日，台灣大哥大（台灣大3045）召開股東會，許多媒體關注合併台灣之星後的表現，以及對亞太之星的持股可能影響遠傳併購，在這些營運概況話題外，由於金管會要求上市櫃公司年報需公開資安現況，因此，我們也找到這兩家公司的年報內容，看看他們揭露自身資安防護現況的程度，藉此了解兩家公司看待資安風險的態度。</p> <h3><strong>不只營運概況說明受關注，資安管理也成焦點</strong></h3> <p>回顧這一年多來，國內電信與電商業者發生幾起重大資安事件，像是去年初電信品牌主推的品牌手機，被揭露出廠前即被植入惡意程式，以及電商個資外洩解除分期詐騙案也頻傳，特別是2021年高風險賣場通報案件，較往年遽增的情況，去年年度前五名為誠品書店、東森購物、蝦皮購物、婕洛妮絲與金石堂。而從商業經營的角度而言，我們看待這些事故時，不僅該注意營運情形與發展策略，也須關切企業對資訊安全管理的投入程度，今年公司年報既然已記載資安現況，此處顯然也成眾人了解這些公司具體資安作為的重要管道。</p> <p>隨著證交所規範今年上市櫃公司需在年報揭露資安作為，上述兩家業者在股東常會舉辦之際，也如預期於年報登載這些公司的資安概況。</p> <p>例如，在資訊安全組織架構的揭露上，以網路家庭而言，該公司從2018年開始成立專責資訊安全部門，由資安長擔任資訊安全小組召集人，召集資安工作小組負責危機處理與安全，以及指派各事業單位高階管理者組成資安推動分組，並且透過每季召開會議，建立稽核分組與資安督導，落實資訊安全管理措施的有效性。同時，將定期向執行長與董事會審計委員會彙報資安管理成效、資安相關議題及方向。</p> <p>以台灣大哥大而言，在資安管理架構上，該公司是以董事會為最高決策機構，由總經理率領第一級控管機制，設置資通訊暨個資安全管理處，並設置第二級控管機制的資通訊暨個資隱私安全委員。</p> <p>關於具體管理方案與投入資源的部分，這兩家公司也有揭露相關資訊。舉例來說，網路家庭除了公布了四個防護重點環節，包括資安管理、外部稽核、內部稽核與課程測驗，較特別的是，還公布了具體相關具體數據，例如，在提升員工資安意識方面，針對216名IT人員，進行駭客攻擊手法認知、安全程式開發與網路系統加固防護的訓練，並針對861名員工完成資安意識教育訓練，以及751新進員工的資安與個資保護訓練。</p> <p>而在資安風險持續改善措施方面，包括每季執行資訊循環稽核，稽核項目分10大項、71小項，本年度並完成136次弱點掃描，及時修補2245個弱點，還有進行527個人天的攻防演練，以及完成595份供應鏈合約資安評估。</p> <p>至於台灣大哥大，也在年報中簡單說明畫分4大防護面向：在對外防護上，建立入侵防禦、網路區隔、防火牆與網頁防火牆；對內防護上，有資料外洩防護偵測與補強；在系統規畫建置上，納入系統開發安全規範，以及程式碼掃描；在維運監控上，建置資安監控中心、檢核與分析系統紀錄。另外，還提及將分配一定比例於資通安全預算。</p> <p>綜合來看，兩家企業均陳述自身資安管理作為，但資訊揭露的具體程度仍有改進空間。</p> <p>至於重大資安事件的揭露，也是外界關注的部分。上述兩家公司在2021年至今，未在證交所發布資安事件重大訊息，但從媒體報導來看，並非如此，如台灣大哥大自有品牌手機爆發影響民眾的資安事件，驚動政府出面協調。</p> <p>當時該公司的Amazing A32手機出廠即含有惡意程式，造成購買手機的用戶，遭網路攻擊者竊取該手機所使用的門號資訊、攔截OTP驗證碼，並成為詐領遊戲點數人頭帳戶遭警方調查，同日台灣大哥大宣布將與合作廠商「力平國際」合作，召回Amazing A32手機，替用戶升級手機作業系統。遺憾的是，這起資安事故，並未在臺灣大哥大這次年報看到相關說明，若能供具體調查與因應，應該會更讓股東們與外界更瞭解後續調查及處理情況。對此，台灣大哥大回應，在他們年報中登載的內容就是目前可提供的資訊。至截稿前，尚未取得網家對電商資安相關問題的回應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%896%E6%9C%88%E5%BA%95%E8%82%A1%E6%9D%B1%E5%B8%B8%E6%9C%83_%E5%8F%B0%E7%81%A3%E5%A4%A7%E5%B9%B4%E5%A0%B1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>金管會下令上市櫃公司需在年報記載資通安全管理現況，台灣大哥大在6月23日股東會前夕釋出公司年報（<a href="https://doc.twse.com.tw/server-java/t57sb01?step=1&colorchg=1&co_id=3045&year=111&mtype=F&">連結</a>），揭露資通安全風險管理架構與組織架構。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%896%E6%9C%88%E5%BA%95%E8%82%A1%E6%9D%B1%E5%B8%B8%E6%9C%83_%E7%B6%B2%E5%AE%B6%E5%B9%B4%E5%A0%B1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>金管會下令上市櫃公司需在年報記載資通安全管理現況，網路家庭在6月23日股東會前夕釋出公司年報（<a href="https://doc.twse.com.tw/server-java/t57sb01?step=1&colorchg=1&co_id=8044&year=111&mtype=F&">連結</a>），揭露資通安全風險管理架構與組織架構。</strong></span></p> </div></div></div>
2022/6/30 18:23作者羅正漢https://www.ithome.com.tw/news/151688
【資安日報】2022年6月30日，中國駭客意圖藉由社群網站干預美國取得稀土金屬的計畫、大型連鎖超市Walmart傳遭勒…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，駭客利用社群網站帶風向，意圖干預他國競爭業者的攻擊行動，這樣的做法甚至有可能進一步操縱其他國家政策，而引起研究人員高度關注。尤其，這起中國駭客發起的攻擊行動Dragonbridge，是涉及稀有金屬資源，想要塑造美國業者不顧當地環境與居民健康的訊息，來拖延該公司想要在美國設立工廠開採這類金屬的進度，進而導致該國很可能不得不向中國低頭的情況。</p> <p>勒索軟體攻擊行動也相當值得留意，尤其是去年出現的駭客組織<a href="https://www.ithome.com.tw/news/147309">Yanluowang （閰羅王）</a>，他們聲稱對大型連鎖超市Walmart下手，加密數萬臺電腦，但與許多攻擊事故不同的是，駭客並未公然外洩該公司大量的內部資料，而是在索討贖金不成後，公布該公司內部網路環境的相關資料，似乎有意吸引其他攻擊團體對其動手，目的有可能是為了報復他們不付贖金。</p> <p>代管微服務的系統一旦出現漏洞，很可能影響的範圍相當廣泛。研究人員揭露微軟微服務應用系統平臺Azure Service Fabric的容器逃逸漏洞FabricScape，雖然是中度風險的漏洞，但該服務涉及百萬支應用程式的代管，同時也是許多微軟服務的底層架構，這個漏洞一旦沒處理好，有可能會嚴重影響眾多IT服務的運作。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/dragonbridge-targets-rare-earths-mining-companies"><span style="color: rgb(0, 0, 0);">中國駭客鎖定北美、澳洲稀土金屬業者，發起Dragonbridge攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DRAGONBRIDGE-Rare-Earths-Figure-2.jpg" style="width: 300px; float: right;" /></a>駭客為了自己國家的利益，很可能會在社群網站上散布不實言論，來抹黑其他國家的競爭企業。資安業者Mandiant最近揭露中國駭客組織Dragonbridge的攻擊行動，駭客疑似針對澳洲稀土業者Lynas Rare Earths、加拿大稀土業者Appia Rare Earths & Uranium，以及美國稀土業者USA Rare Earth，在社群網站發出不利的訊息，企圖影響上述業者即將進行的計畫，或是開採稀土金屬的行動。</p> <p>由於這些稀土金屬運用於導彈控制系統、飛機引擎等軍事武器，也用於汽車、電腦、手機等產品，在中美貿易戰亦成為中國對付美國的手段，使得美國國防部於2021年與Lynas Rare Earths達成在德州興建工廠；再者，今年6月，Appia Rare Earths & Uranium與USA Rare Earth都宣布發現新的礦源，使得Dragonbridge決定採取行動。</p> <p>這些駭客使用社群網站與論壇的帳號，來散布引人注目的言論，例如，他們假冒德州居民，指控對於工廠可能會帶來當地的環境與居民健康問題，並引用政治人物對於美國總統拜登的國防生產法（Defense Production Act）批評，企圖塑造該工廠會為美國帶來各式問題的風向。</p> <p>研究人員指出，駭客的攻擊究竟會造成多少影響有待觀察，但這也代表駭客有可能利用類似手法來操縱其他美國政治議題，進而讓中國獲得利益。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/walmart-denies-being-hit-by-yanluowang-ransomware-attack/"><span style="color: rgb(0, 0, 0);">大型連鎖超市Walmart傳出遭到勒索軟體Yanluowang攻擊，但該公司予以否認</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Yanluowang-data-leak-site_Walmart.jpg" style="width: 300px; float: right;" /></a>去年出現的<a href="https://www.ithome.com.tw/news/147309">勒索軟體Yanluowang （閰羅王）</a>，最近又有新的動作，疑似因對方不付錢，而決定公布內部網路環境的相關資料。根據資安新聞網站Bleeping Computer報導，勒索軟體Yanluowang聲稱在一個多月前，對大型連鎖超市Walmart發動攻擊，加密4萬至5萬臺電腦，並向該公司索討5,500萬美元贖金，但Walmart始終沒有回應。</p> <p>駭客於6月27日公布此事，並上傳了Walmart的內部網路資料，包含了AD使用者名單、該公司的安全憑證檔案，以及經由<a href="https://www.qomplx.com/qomplx-knowledge-kerberoasting-attacks-explained/">Kerberoasting攻擊</a>破解的加鹽密碼，假若這些都是真實資料，其他駭客將有機會用來對Walmart再度下手。</p> <p>對此，Walmart發出聲明，認為上述說法並不準確，該公司的資安團隊全天候監控，並未察覺駭客對他們攻擊得逞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/smash-and-grab-astralocker-2-pushes-ransomware-direct-from-office-docs"><span style="color: rgb(0, 0, 0);">駭客利用Word檔案投放勒索軟體AstraLocker 2.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AstraLocker-UnknownPublisher.png" style="width: 300px; float: right;" /></a>為了擴大受到影響的範圍，駭客往往可能會選擇在調查完受害組織內部環境後，才發動勒索軟體攻擊，但現在有駭客採取直接了當的作法，一旦受害者不慎開啟誘餌，就執行檔案加密的工作。</p> <p>例如，資安業者ReversingLabs近期發現勒索軟體AstraLocker 2.0的攻擊行動，駭客疑似利用另一個勒索軟體Babuk外洩的程式碼打造而成，根據駭客用於索討贖金的門羅幣錢包，此勒索軟體很可能與Chaos有關。這些駭客將勒索軟體嵌入Word檔案的OLE物件，並透過網路釣魚來散布。一旦對方開啟了這個Word檔案，並依照指示執行OLE物件，電腦檔案就會隨即被AstraLocker 2.0加密。</p> <p>研究人員指出，這種有別於一般駭客對於組織發動勒索軟體攻擊的過程，代表了運用Babuk程式碼打造的AstraLocker 2.0駭客技能不算強，但想要積極讓許多人受害並支付贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/"><span style="color: rgb(0, 0, 0);">木馬程式ZuoRAT鎖定SOHO族的家用路由器</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1_ProcessOverview-1.png" style="width: 300px; float: right;" /></a>駭客鎖定缺乏防護的家用路由器設備，進而站穩腳跟，對網路環境裡的連網設備下手的情況，在許多人處於居家辦公模式的工作狀態下，相當值得留意。</p> <p>資安業者Lumen近期發現木馬程式ZuoRAT的攻擊行動，駭客疑似自2020年12月開始，鎖定中小企業與SOHO族，目標是思科（Cisco）、華碩、Netgear，以及居易（DrayTek）等廠牌的近80款家用路由器，一旦木馬程式成功挾持後，就將這些路由器當作跳板，經用內部網路，透過DNS挾持或HTTP挾持的方式，進行中間人攻擊（MitM），下載CBeacon、GoBeacon、Cobalt Strike等軟體，植入Windows、macOS、Linux電腦。</p> <p>研究人員指出，駭客埋藏攻擊的手法相當精明，只要路由器重開機就會移除ZuoRAT與活動痕跡，而且，他們也能遠端刪除ELF檔案，使得攻擊行動不被發現。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><span style="color: rgb(0, 0, 0);">美國警告駭客利用PwnKit漏洞發動攻擊，要求聯邦機構限期修補</span></a></strong></h3> <p>研究人員於今年年初，揭露存在於Linux系統元件Polkit的重大漏洞CVE-2021-4034（PwnKit），如今已出現了攻擊行動。美國網路安全暨基礎設施安全局（CISA）於6月27日，將PwnKit列為已遭利用的漏洞，並要求聯邦機構限期於7月18日前進行修補。</p> <p>由於這項漏洞影響所有版本的Linux，且公布時已存在長達12年，一旦駭客將其利用就有機會以root權限執行程式碼。CISA雖表明已掌握相關攻擊行動的證據，但沒有說明受害範圍等其他細節。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/"><span style="color: rgb(0, 0, 0);">FabricScape容器逃逸漏洞恐讓攻擊者能讓駭客挾持Azure Service Fabric管理的Linux叢集</span></a></strong></h3> <p>提供建置微服務的系統一旦出現漏洞，有可能危害用戶的容器。資安業者Palo Alto Networks揭露名為FabricScape的容器逃逸漏洞（CVE-2022-30137），存在於微軟微服務應用系統平臺Azure Service Fabric，一旦遭到攻擊者利用，就有可能在Azure叢集執行程式，甚至是接管Linux叢集。</p> <p>雖然微軟將FabricScape列為中度風險漏洞，但此微服務代管了逾百萬應用程式，同時也是Azure許多服務的底層架構，例如，Azure SQL Database、Azure CosmosDB、Cortana，以及Power BI等。微軟已於6月的每月例行修補（Patch Tuesday）修補上述漏洞。研究人員指出，這項漏洞僅影響Linux容器，無法透過Windows容器觸發。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151662"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 102，修補19個漏洞，並新增去除URL追蹤參數的功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sekoia.io/raccoon-stealer-v2-part-1-the-return-of-the-dead/"><span style="color: rgb(0, 0, 0);">竊密程式Raccoon東山再起</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/research/ytstealer-malware-youtube-cookies/"><span style="color: rgb(0, 0, 0);">惡意軟體YTStealer挾持YouTuber的帳號</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151669">【2022年6月29日】駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartbleed的OpenSSL漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> </div></div></div>
2022/6/30 16:02作者周峻佑https://www.ithome.com.tw/news/151686
純網保可以申請了！金管會8月開始受理，最快明年第1季可見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會保險局今日（6/30）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202206300005&dtable=News">宣布</a>，8月1日起正式受理純網保申請業務，至10月31日止。為讓業者及早準備，金管會7月將先公布19項申請書件，待10月底受理時間結束後，再進行5個月的審理，預計明年4月給出純網保名單。</p> <p>進一步來說，金管會在去年12月公布開放純網保設立的政策，之後修正4項相關法規，並於昨（6月29日）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=97&parentpath=0%2C2">公告</a>，包括「保險業設立許可及管理辦法」、「保險業招攬及核保理賠辦法」、「保險商品銷售前程序作業準則」和「財產保險業經營傷害保險及健康保險業務管理辦法」等規範。</p> <p>今日，金管會保險局局長施瓊華宣布，金管會將於8月1日起開始受理純網保公司設立申請，並先於7月公告申請純網保公司的相關文件，像是設立許可申請書、發起人名冊、資金來源說明、營運模式及保險商品之規劃，以及自評檢核表等共19項申請書件，方便業者先行準備。</p> <p>申請期間截止後，金管會將花5個月時間審理，審查重點包括申請者的財務能力、發起人/負責人/大股東之適格性、營運模式是否可行、保險商品的創新性和管理機制等。金管會預計在明年4月，給出純網保名單。</p> <p>施瓊華透露，中信金、富邦產險曾與金管會徵詢純網保事宜，外商壽險則尚未詢問過。</p> <p>金管會先前也說明純網保申請條件，如發起人必須是金融機構或金融科技業者，申請家數並未限制。但若是產險純網保申請，資本額必須要10億新臺幣，並以創新型保單為限（如共享運具、外送平臺等碎片型商品），壽險純網保則是20億元，以保障型商品為限。</p> <p>保險局副局長林志憲先前也說明，純網保應有大數據資料分析、介面設計、軟體研發、物聯網、無線通訊業務等具金融科技專業發起人，且保險局規定董事名單中，至少要有一位是科技董事，也就是在金融科技領域工作5年以上、並擔任總公司副理級以上人士。</p> </div></div></div>
2022/6/30 18:04作者王若樸https://www.ithome.com.tw/news/151687
FCC委員希望蘋果與Google移除TikTok程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FCC）現有四名委員之一的Brendan Carr，<a href="https://twitter.com/BrendanCarrFCC/status/1541823585957707776/photo/1" target="_blank">上周去信給蘋果及Google</a>，呼籲這兩家業者自App Store及Google Play將TikTok下架。</p> <p>Carr此一舉動源自<a href="https://www.ithome.com.tw/news/151518" target="_blank">《BuzzFeed News》發現</a>，TikTok在2021年9月至2022年1月間，允許其中國工程師存取美國用戶流量，TikTok反駁了此一控訴，表示已把美國用戶的流量全部導至甲骨文（Oracle）的雲端基礎設施，目前雖然仍使用美國與新加坡的資料中心來存放備份資料，但未來也會全部移轉至甲骨文置放於美國的雲端伺服器上。</p> <p>然而，TikTok的說法並未減輕Carr對該服務可能威脅美國國家安全的擔憂。如同美國對其它中國企業的考量一樣，Carr認為TikTok為中國業者字節跳動所開發的服務，因此必須遵守中國所制定的監控法令，且《BuzzFeed News》所取得的TikTok內部會議語音紀錄中，也明白說出中國TikTok的工具可以把一切內容「看得一清二楚」。</p> <p>Carr表示，光是在今年第一季，TikTok在美國App Store與Google Play的下載量就接近1,900萬次，顯示它帶來不可接受的國家安全風險。</p> <p>Carr認為，TikTok並不僅是個供使用者分享有趣影片或迷因的程式，它是隻披著羊皮的狼，擁有可獲取大量個人及機密資訊的工具，得以蒐集使用者的搜尋、瀏覽歷史紀錄，甚至是生物身分辨識資訊。</p> <p>美國前任總統川普（Donald Trump）曾在2020年8月簽署行政命令，打算在45天之後封鎖TikTok，要求美國個人與實體不得與TikTok及字節跳動進行任何交易，當時此一禁令受到一連串的司法挑戰而遲遲未執行，新總統拜登（Joe Biden）上任後，即於2021年的6月撤銷了該禁令。至於身為FCC委員之一的Carr則與川普同屬共和黨員。</p> </div></div></div>
2022/6/30 16:02作者陳曉莉https://www.ithome.com.tw/news/151685
AI趨勢周報第192期：物件偵測模型YOLOv6新版現身，再次打破速度和準確度天花板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0624～0630)</span></p> <p>各大科技巨頭近日紛紛釋出新模型，比如美團發表新一代物件偵測模型YOLOv6，速度和準確度勝過以往YOLO系列模型，而Meta開源660億參數大型語言模型OPT-66B，同時還釋出完整的部署日誌，堪稱AI圈內第一人。另一方面，俄羅斯最大網路公司Yandex首次開源千億參數語言模型，Google則趁勝發表另一款文生圖模型Parti。除了AI模型，最近也出現重量級AI程式撰寫工具如GitHub的Copilot，AWS也不甘示弱釋出CodeWhisper預覽版。為促進AI民主化，中研院院士孔祥重日前呼籲各界應著重訓練資料、硬體加速和建立產業專屬AI軟體平臺。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">YOLOv6 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美團 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>物件偵測模型YOLOv6新版現身，再次打破速度和準確度天花板</strong></span></p> <p>YOLO系列的最新物件偵測模型YOLOv6問世了，最先<a href="https://github.com/meituan/YOLOv6">釋出的nano</a>版在COCO資料集測試中，拿下35.0%平均精度均值（mAP），用T4顯卡的推論速度可達每秒1,242幀（Fps），s版則是43.1%mAP、每秒520幀，表現比前幾代YOLO系列模型都要好。</p> <p>YOLOv6由中國購物平臺美團視覺智能研發部開發，改善了模型的訓練策略和網路結構，比如，在Backbone和Neck部分，團隊以RepVGG為基礎，設計了可重參數化、更高效的骨幹網路EfficientRep和Rep-PAN Neck，在Head部分，則設計了更簡潔有效的Efficient Decoupled Head，可一面維持精確度、一面降低一般解耦頭的額外時間成本。在訓練策略上，團隊則採用Anchor-free無錨方法，並以SimOTA標籤分配策略和SIoU邊界框迴歸損失，來強化偵測精確度。</p> <p>在部署方面，YOLOv6支援GPU（TensorRT）、CPU（OPENVINO）、ARM（MNN、TNN、NCNN）等不同平臺的部署，簡化一般部署時的配置工作。他們也預告，接下來將開源YOLOv6 m/l/x等大小的模型和量化工具。<a href="https://tech.meituan.com/2022/06/23/yolov6-a-fast-and-accurate-target-detection-framework-is-opening-source.html">（詳全文）</a></p> <p><img alt="" src="https://github.com/meituan/YOLOv6/blob/main/assets/picture.png?raw=true" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源660億參數的超大型語言模型，打破先例附上所有部署日誌</strong></span></p> <p>Meta最近開源具660億參數的大型自然語言預訓練模型OPT-66B，以及所有OPT-125M到OPT-66B等8種系列基準模型的部署日誌，打破先例成為AI圈內首家發布模型、論文和完整註釋的科技巨頭。</p> <p>進一步來說，Meta在5月發表了與GPT-3相當的大型Transformer模型OPT-175B，參數量為1,750億，但非常省能源，只產生七分之一訓練GPT-3所需的碳足跡。OPT-175B雖只支援非商業性授權，但在發表的同時，Meta也在最近補上125M、350M、1.3B、2.7B、6.7B、13B、30B和66B版本的模型部署參數，並在推特上說明。<a href="https://twitter.com/MetaAI/status/1539702714141011969?cn=ZmxleGlibGVfcmVjcw%3D%3D&refsrc=email">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI民主化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 產業專屬平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訓練資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>孔祥重：AI民主化首重訓練資料、運算系統和產業AI平臺</strong></span></p> <p>孔祥重日前在陳昇瑋紀念講座中指出，為了讓更多人使用AI，臺灣產業可從3大層面著手，包括納入更多元的新訓練資料、建造有效率的AI運算系統，以及發展產業專屬AI軟體平臺。</p> <p>他解釋，資料驅動的AI系統先天有些限制，像是資料偏移和偏差，但納入更多新訓練資料、採用如自監督學習等方法，可打破限制、擴大AI使用範圍。再來，透過更多通用AI加速器和晶片的發展，可讓AI運算系統更有效率，降低資料在晶片間移動的成本。最後，他鼓勵各產業發展專屬的共享AI軟體平臺，比如由製造業龍頭建造一個AI軟體開發維護平臺，來讓中小型製造業管理資料、維護模型，而臺灣人工智慧學校，則可扮演專案協調和案例教學的角色，來讓更多企業使用模型。<a href="https://www.facebook.com/events/549878499943725/?acontext=%7B%22ref%22%3A%2252%22%2C%22action_history%22%3A%22[%7B%5C%22surface%5C%22%3A%5C%22share_link%5C%22%2C%5C%22mechanism%5C%22%3A%5C%22share_link%5C%22%2C%5C%22extra_data%5C%22%3A%7B%5C%22invite_link_id%5C%22%3A433551968553783%7D%7D]%22%7D">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-06-30%20130819.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Parti </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖生文 </span></strong></span></p> <p><span style="font-size:22px;"><strong>才剛發表Imagen逼真文生圖模型，Google再推新模型Parti</strong></span></p> <p>Google前陣子才發表令人驚艷、表現優於OpenAI DALL-E 2的文生圖模型Imagen，最近又發布一款新版進階模型Parti，可根據文字產生天馬行空但逼真的圖片，但模型未開源。</p> <p>雖然DALLE-E 2、Imagen和Parti都以Transformer架構為基礎，但有別於前兩者採用擴散模型、可將隨機的點樣式轉換為影像，Parti使用自迴歸模型，先將一組圖片轉換為一系列代碼條目，再將輸入的字句，轉換為這些代碼條目，並產生一張圖片。Google發表的Parti有幾種版本，包括3.5億參數、7.5億參數、30億和200億參數的版本，目前仍在優化模型的不足，像是特徵混合、錯誤的物件計數等。<a href="https://parti.research.google/">（詳全文）</a></p> <p><img alt="" src="https://parti.research.google/assets/parti_overview.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式撰寫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub正式推出AI寫程式幫手Copilot，月租10美元、學生免費</strong></span></p> <p>GitHub正式上線AI程式自動撰服務GitHub Copilot，每月訂閱費用為10美元，年費則是100美元，學生與熱門開源專案的維護者可免費使用。GitHub Copilot是GitHub與OpenAI共同開發的服務，底層技術為OpenAI打造的AI系統Codex。該系統以Transformer為基礎，以大量程式碼和自然語言訓練而成，可同時理解程式和人類語言，並根據工程師撰寫的程式碼，提出整行程式或整個函式的撰寫建議。</p> <p>在經歷過一整年共120萬名開發者的預覽後，GitHub Copilot現可整合到Neovim、JetBrains IDEs、Visual Studio與Visual Studio Code 等開發環境。<a href="https://github.com/features/copilot">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-06-30%20131536.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Yandex </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Yandex開源1千億參數語言模型</strong></span></p> <p>俄羅斯最大網路公司Yandex日前<a href="https://github.com/yandex/YaLM-100B">開源</a>1,000億個參數的YaLM 100B語言模型。為訓練模型，Yandex先從網路、書籍和眾多來源收集英文及俄文等17TB的資料，花了65天的時間，利用800張A100顯卡的叢集上，來訓練YaLM 100B。特別的是，YaLM也實際應用在Alice數位語音助理和搜尋引擎上，超過1年多了。</p> <p>Yandex表示，大型語言模型近年來已是NLP的進展關鍵，但大型模型的訓練耗時耗力也耗大量資金，如數百萬美元，導致只有科技巨頭才能發展這種先進技術，若要這個領域快速進展，就必須允許全球研究人員、開發者來使用這些解決方案，這也是Yandex決定開源的原因，並分享訓練經驗。<a href="https://medium.com/yandex/yandex-publishes-yalm-100b-its-the-largest-gpt-like-neural-network-in-open-source-d1df53d0e9a6">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 寫程式 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CodeWhisper </span></strong></span></p> <p><span style="font-size:22px;"><strong>不只GitHub有，AWS也預覽程式撰寫AI小幫手</strong></span></p> <p>不只GitHub上線AI程式撰寫工具Copilot，AWS最近也預覽一項ML程式撰寫輔助服務Amazon CodeWhisper，可支援多種IDE和Python、Java、JavaScript等程式語言，可幫助學生、開發新手或資深開發人員加速開發、提高生產力。</p> <p>進一步來說，AWS用開源儲存庫、自有儲存庫、API文件和論壇上數十億行程式碼來訓練CodeWhisper，可根據使用者原始碼中的游標位置、游標前的程式碼、註解及同一專案中其他檔案的程式碼，來提供建議。開發者可直接套用或客製化加工。AWS透露，預覽版的CodeWhisper支援Visual Studio、IntelliJ IDEA、PyCharm、WebStorm、AWS Cloud9，以及Python、Java、JavaScript，之後會新添AWS Lambda Console。<a href="https://aws.amazon.com/blogs/aws/now-in-preview-amazon-codewhisperer-ml-powered-coding-companion/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2022/06/14/co_s3_a_1.png" style="width: 511px; height: 209px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 負責任AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉部辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟公布負責任AI指導準則，將限制部分臉部辨識能力</strong></span></p> <p>微軟近日更新負責任AI的指導準則，6月起就會限制部分AI臉部辨識。微軟更新的準則，是2019年公布的6項AI開發及應用準則，包括公平、可靠性、隱私及安全性、包容性、透明性及權責等。最近，微軟根據新研究結果加以改良，將新版負責任AI容納三點。</p> <p>首先是語音轉錄，該技術對少數族群的辨識錯誤率偏高，微軟將擴大訓練樣本多元性。再來是AI聲音模擬和臉部辨識服務，微軟Azure AI的神經網路語音服務可用AI模擬出原人物相仿的聲音，但可能被用作Deepfake影片，AI臉部辨識亦是如此，微軟將納入多層控管框架，限制可使用的客戶、明確定義使用情境。最後則是限制Azure Face臉部辨識服務，微軟將拿掉這項服務推論情緒狀態，以及辨識性別、年齡、微笑、臉部毛髮、頭髮及化妝的能力。<a href="https://blogs.microsoft.com/on-the-issues/2022/06/21/microsofts-framework-for-building-ai-systems-responsibly/">（詳全文）</a></p> <p>圖片來源／美團、孔祥重、Google、GitHub、AWS</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. AWS機器學習基準值服務SageMaker Ground Truth也支援合成資料了</strong></p> <p><strong>2. Amazon展示首款全自動化行動機器人Proteus</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/30 13:53作者王若樸https://www.ithome.com.tw/news/151684
微軟Azure Service Fabric漏洞可導致駭客接管叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/#The-Vulnerability" target="_blank">研究人員揭露</a>微軟Azure Service Fabric服務一項漏洞，最嚴重可導致Azure叢集執行程式甚至接管叢集。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30137" target="_blank">這項漏洞微軟已在6月修補</a>，發現該漏洞的安全廠商<a href="https://unit42.paloaltonetworks.com/fabricscape-cve-2022-30137/" target="_blank">Palo Alto Unit 24研究團隊於本周才說明細節</a>。</p> <p>這個漏洞影響微軟微服務應用平臺Azure Service Fabric。Service Fabric上，Azure雲端上的應用可切分成許多微服務，以便在不動到底層架構情況下獨立更新、維護。微軟表示，Service Fabric已代管超過100萬個應用程式，每日執行核心數百萬。它也是Azure許多服務的底層，包括Azure Service Fabric、Azure SQL Database和Azure CosmosDB，以及Cortana及Power BI等其他微軟服務。</p> <p class="rtecenter"><img alt="" src="https://unit42.paloaltonetworks.com/wp-content/uploads/2022/06/word-image-96.png" style="width: 500px;" /></p> <p>微軟6月修補編號<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30137" target="_blank">CVE-2022-30137</a>的漏洞時，僅描述它是容器權限擴張漏洞，列為中度風險漏洞。</p> <p>Service Fabric是以容器執行應用程式，在每次啟動容器時，Service Fabric會在每個容器內建立具有讀寫權限的新log目錄。所有log目錄又以Service Fabric的資料蒐集代理程式（DCA）集結以便稍後執行。為了存取所有目錄，DCA具有在所有節點以根權限執行的特權，但另一方面DCA處理的檔案又可為容器修改，因此只要能修改這些檔案，即可造成容器逃逸，並取得該節點的根執行權限。</p> <p>漏洞就出在DCA裏一個讀取檔案、檢查內容格式及修改、覆寫檔案內容的函式（GetIndex）。該函式又使用2個子函式負責讀取（LoadFromFile）及修改檔案（SaveToFile）的行為。研究人員指出，這裏產生了符號連結競爭（symlink race），讓進駐容器內的攻擊者先載入惡意檔案（或不知情的使用者執行檔案），在DCA讀取及覆寫處理下，利用DCA根權限，以惡意檔案覆寫掉節點檔案系統中的檔案。結果是使用者在節點內執行惡意程式，或是攻擊者接管容器甚至叢集。</p> <p>不過研究人員指出，雖然這類行為可在Linux及Windows容器內觀察，但開採漏洞僅能在Linux容器內實現，因為Windows容器內，沒有授權的攻擊者無法建立符號連結。</p> <p>微軟已針對Linux版本Azure Service Fabric釋出更新。研究人員並未發現有任何成功開採漏洞的情形，微軟建議未啟動自動更新的客戶應升級Linux 叢集到最新版Service Fabric。微軟及安全廠商也呼籲用戶，不要執行未獲信任的應用程式。</p> </div></div></div>
2022/6/30 13:22作者林妍溱https://www.ithome.com.tw/news/151683
MicroStrategy持續收購比特幣作為儲備資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/1050446/000119312522184423/d374401d8k.htm" target="_blank">商業智慧軟體開發商MicroStrategy本周指出</a>，從今年的5月3日到6月28日之間，已以大約1,000萬美元的現金，陸續購入了480個比特幣（Bitcoin），平均每個比特幣的價格為20,817美元，也讓該公司的比特幣儲備資產增加到129,699個。</p> <p>MicroStrategy是在2020年的8月開始以比特幣取代現金，作為該公司主要的儲備資產，當時MicroStrategy已握有21,454個比特幣，投資金額為2.5億美元，到了2021年2月時，MicroStrategy已擁有90,531個比特幣，總成本為21.71億美元，當時平均每個比特幣的價格為23,985美元。</p> <p>這期間MicroStrategy依然陸續伺機購入比特幣，也在今年5月3日至6月28日之間，趁著全球加密貨幣價格不斷下滑之際，再以1,000萬美元買下了480個比特幣。</p> <p>現在的MicroStrategy已收購了129,699個比特幣，成本為39.8億美元，平均每個比特幣的收購價則是30,664美元。</p> <p>全球經濟不振與通貨膨脹不僅影響了全球股市，也波及加密貨幣市場，比特幣在2021年的11月曾創下67,802美元的價格，但本周只剩2萬美元左右，儘管外界曾批評MicroStrategy以比特幣作為公司主要儲備資產的政策，但該公司執行長Michael Saylor曾對外表示，他並不後悔此一決策，亦樂觀看待比特幣的未來。</p> </div></div></div>
2022/6/30 12:29作者陳曉莉https://www.ithome.com.tw/news/151681
iFixit開始提供Google Pixel手機維修套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150354" target="_blank">Google今年4月宣布</a>將加入DIY維修陣營，透過DIY維修教學網站iFixit提供Google Pixel的官方零件與工具供使用者自行維修，本周位於<a href="https://www.ifixit.com/Store/Parts/Google-Phone" target="_blank">iFixit上的Google手機零件商店</a>正式開張。</p> <p>雖然Google表示該DIY維修計畫僅支援Pixel 2至Pixel 6手機，但iFixit網站上所陳列的Pixel型號與相關工具卻溯及第一代的Pixel手機，但同樣未供應今年5月出爐的Pixel 6a零件。</p> <p>以Pixel 6為例，iFixit站上提供了螢幕維修套件，若不含工具的售價為119.99美元，包括工具的售價為126.99美元；電池售價為42.99美元，包含工具的套件為49.99美元；使用者也可自行維修相機，零件售價為199.99美元，納入工具的售價為126.99美元。</p> <p>除了工具之外，使用者亦可自iFixit取得Pixel手機的拆解與維修指南。</p> </div></div></div>
2022/6/30 13:04作者陳曉莉https://www.ithome.com.tw/news/151682
ZuoRAT攻擊SOHO路由器以感染Mac、Windows設備，華碩等產品中標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/" target="_blank">研究人員發現</a>一隻名為ZuoRAT的木馬程式攻擊多款北美及歐洲等地小型企業及家用路由器，以便感染其他連網設備，包括思科、華碩在內等近80款產品曾遭到鎖定。</p> <p>Lumen Technologies的Black Lotus Labs研究人員近日發現一波鎖定中小企業及家用（SOHO）路由器的攻擊，允許攻擊者劫持這些設備後以之為跳板，經由用戶本地網路（LAN）感染其他同網路上的Windows、MacOS及Linux連網設備。研究人員目前發現有思科（Cisco）、華碩、Netgear及居易科技（DrayTek）等品牌的家用路由器產品成為目標。</p> <p>研究人員分析，這波攻擊是一種多階段攻擊，先由ZuoRAT打頭陣。Zuo取自中文的「左」，因它包含一個asdf.a的檔案，是利用鍵盤左手的4個字母組成。ZuoRAT是一個專為SOHO路由器撰寫的MIPS檔案，可能是經由路由器產品漏洞植入。ZuoRAT具有列舉主機及內部LAN、蒐集感染裝置封包，以及進行中間人攻擊（person-in-the-middle）的能力。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig1_ProcessOverview-1.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Black Lotus Labs</span></span></p> <p>一旦進入路由器設備後，攻擊就進入第二階段。在列舉連網裝置及LAN網路，尋找到目標後， ZuoRAT利用兩種方法進行中間人攻擊以存取這些設備，包括以DNS劫持及HTTP劫持。DNS劫持是置換路由器到外部服務網域如Google或Facebook的IP位址，後者則是在裝置對外連線時注入HTTP連線，製造302錯誤訊息。兩者的目的皆是將用戶連線導向惡意IP位址。研究人員指出，這2種劫持法相當難以偵測。</p> <p>在攻擊第3階段ZuoRAT結合一個C++下載器程式，植入後續其他程式，包括CBeacon、GoBeacon及Cobalt Strike。其中CBeacon是針對Windows工作站等環境的C++木馬程式，GoBeacon則是可橫跨Linux及macOS平臺。Cobalt Strike則作為輔助之用，三者都是全功能型木馬程式。可和其他被當成C&C伺服器的裝置建立連線，上傳下載檔案，執行程式碼及在裝置內滲透潛伏。</p> <p>研究人員分析第一階段ZuoRAT活動，顯示感染源自華碩、思科、居易科技及Netgear的設備。不過在研究期間出現開採活動者僅剩一臺中國品牌Techdata的JCG-Q20路由器。研究人員解釋，這是因為攻擊者使用高明的潛伏手法。路由器重開機就能移除ZuoRAT及任何活動痕跡，此外攻擊者也能遠端刪除裝置內的ELF檔，再下載新版C&C程式。</p> <p>而被駭入的路由器產品也可以當成C&C代理伺服器，和其他被感染的路由器相互通訊，例如Black Lotus Labs研究人員觀察到，至少在去年最後3個月期間，北美的多臺路由器連到1臺位於臺灣的Vigor DrayTek路由器，但後來又轉到位於加拿大的路由器。</p> <p class="rtecenter"><img alt="" src="https://blog.lumen.com/wp-content/uploads/2022/06/Fig3_ZuoRAT_ProxyC2_Diagram-1.png" style="width: 505px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Black Lotus Labs</span></p> <p>研究人員分析，從攻擊感染的路由器年份來看，這波攻擊至少從2020年12月開始，在一年多期間共有約80臺裝置遭到感染。</p> <p>對一般消費者及用戶，研究人員建議應定期重開路由器，並安裝安全更新及修補程式，最好有EDR（endpoint detection and response）方案。至於企業，<a href="https://github.com/blacklotuslabs/IOCs/blob/main/ZuoRAT_IoCs.txt" target="_top">研究人員建議使用廠商提供的IOC辨識可疑檔案</a>，或使用SASE（Secure Access Service Edge）或類似方案。</p> </div></div></div>
2022/6/30 11:51作者林妍溱https://www.ithome.com.tw/news/151678
美國要求聯邦機構限時修補PwnKit安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149096" target="_blank">資安業者Qualys於今年1月揭露</a>一個存在Linux系統管理元件Polkit長達12年的安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-4034" target="_blank">CVE-2021-4034</a>，該漏洞允許駭客以根權限執行程式碼，而且波及所有主要Linux版本，又被稱為PwnKit漏洞。由於已發現針對該漏洞的攻擊行動，使得美國網路安全及基礎設施安全局<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">（CISA）於本月27日將它納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中</a>，要求美國聯邦機構必須在7月18日以前修補。</p> <p>Polkit負責制定與處理在Linux系統上可允許非特權程序及特權程序通訊的政策，其中的Pkexec工具可利用setuid功能代其它使用者執行命令，PwnKit漏洞即允許非特權的本地端駭客擴張權限，繞過任何政策與身分認證，取得管理員權限，從Red Hat、Ubuntu、Debian、Fedora到CentOS等Linux版本都受到影響。</p> <p>當Qualys在1月25日公布PwnKit漏洞之後的幾個小時，相關的概念性驗證程式就問世了。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/06/27/cisa-adds-eight-known-exploited-vulnerabilities-catalog" target="_blank">CISA僅說已發現該漏洞遭到開採的證據</a>，並未說明受害者或攻擊內容。</p> <p>值得注意的是，除了PwnKit漏洞之外，CISA當天也將另外7個漏洞納入「已知遭開採漏洞」目錄中，包括Google於去年5月就修補的Chromium漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-30533" target="_blank">CVE-2021-30533</a>，以及蘋果自2018年到2021年間所修補的5個安全漏洞。</p> <p>除了要求聯邦機構限時修補之外，CISA也強烈建議所有組織應該優先修補被列入此一已遭開採目錄的所有安全漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/files/Known%20Exploited%20Vulnerabilities%20Catalog%20_%20CISA-0627.pdf" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 參考資訊 </span></span> CISA在6月27日所新增的「已知遭開採漏洞」名單</strong></a></p> </div></div></div>
2022/6/30 12:16作者陳曉莉https://www.ithome.com.tw/news/151679
微軟揭露俄烏戰事網路安全態勢，需面對3大網路攻擊策略，並提出從早期戰事得來的5大結論
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_jie_lu_e_luo_si_gong_ji_wu_ke_lan_wang_gong_jiao_xun_960_tu_pian_lai_yuan_wei_ruan_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在6月22日發布網路戰爭報告，名為《捍衛烏克蘭：網路戰爭的早期教訓》（Defending Ukraine:Early Lessons from the Cyber War），這是微軟威脅情報與資料科學團隊所進行的研究，目的是釐清對這場持續性戰爭威脅形勢，並從蒐集與分析的數據，試圖理解在這過程發生的各種網路攻防行動。</p> <p>過去我們已經看過許多烏克蘭戰爭的分析，微軟這份報告相當特別，不僅總結出俄羅斯發動戰爭時所採取的網路攻擊戰略，同時給出面臨現代網路戰爭數項不同的重要觀察。</p> <h3><strong>攻擊並不只針對烏克蘭，也針對北約國家與烏盟國發動攻擊，還有全球網路輿論影響</strong></h3> <p>在此報告中指出，這4個月以來，俄羅斯駭客的攻擊行動，不僅是針對烏克蘭的48個政府組織與企業，同時也企圖滲透全球，計有全球42個盟國的128個組織遭俄羅斯網路攻擊，而且，還會在網路上利用複雜而廣泛的影響外國行動（foreign influence operations），也就是一般稱之內外宣、輿論操弄的攻擊策略，破壞歐美團結與壯大他們的戰爭力量。</p> <p>而且，在這份報告的開場中，微軟公司總裁Brad Smith即指出，每場戰爭的歷史通常記載了第一聲槍響，以及誰目睹了這些槍響。這場烏克蘭戰爭，俄羅斯軍隊在今年2月24日湧入烏克蘭邊境，但事實上，第一槍是在23日先打響，俄羅斯針對烏克蘭電腦，使用了一種名為「Foxblade」狐狸之刃的網路武器。這也反應了當前的戰爭型態，已經結合了軍事攻擊與網路攻擊。</p> <h3><strong>剖析俄軍有三大網路攻擊戰略，提出這場網路戰爭下5大經驗觀察與重點</strong></h3> <p>細讀微軟這份研究報告，有兩大焦點值得關注，一是揭露俄羅斯的三大網路攻擊策略，另一是提出實體與網路戰爭的五大觀察與結論。</p> <p>由於現代軍事戰爭已經與網路戰爭相結合，不像過去長期以來可由疆界、海洋來提供保護，因此要對抗俄羅斯這個網路大國，烏克蘭的網路防禦，有很大程度是依賴於國家、企業與非政府組織的聯盟。</p> <p>根據微軟這4個月來的觀察，俄羅斯在網路攻擊策略上，至少採取三大策略，分別是：（一）在烏克蘭境內發動破壞式的攻擊，（二）在烏克蘭境外展開網路滲透與間諜攻擊，（三）針對全球民眾發起網路輿論影響行動（cyber-influence operations）。</p> <p>而在這場戰事之下，是否有更好應對這類的威脅的方法？微軟提出五大觀察。</p> <h3><span style="color:#0099ff;"><strong>一、要防禦軍事入侵，對大多數國家來說，現在需要有能力將數位業務與資產，跨境轉移到其他國家</strong></span></h3> <p>戰爭發生至今，俄羅斯早期就針對烏克蘭政府資料中心，發動巡弋飛彈攻擊，並針對當地自建的電腦網路環境，發動資料刪除的毀滅式（Wiper）攻擊。而烏克蘭政府應變動作相當快速，將其數位基礎設施轉移到位於</p> <p>歐洲的代管資料中心上，因此得以維持其民事與軍事行動。這就涉及了整個科技產業的緊急行動，微軟也包括在內。</p> <h3><span style="color:#0099ff;"><strong>二，有賴於先進的網路威脅情資與端點保護，讓烏克蘭得以高比例抵抗住俄羅斯的毀滅式攻擊</strong></span></h3> <p>從針對48個烏克蘭組織的攻擊行動來看，俄羅斯駭客滲透特定網域環境後，先破壞數百臺電腦，再散播惡意程式，破壞其他數千臺電腦的軟體與資料。而在威脅情報進步與運用AI技術之下，加上連網端點保護機制的運作，讓烏克蘭得以快速辨識及封鎖惡意程式。</p> <h3><span style="color:#0099ff;"><strong>三、隨著各國聯合起來保衛烏克蘭，俄羅斯情報機構對與烏克蘭同盟國家的政府，逐步擴大進行網路滲透與間諜活動</strong></span></h3> <p>微軟發現俄羅斯對烏克蘭以外的42國、128個組織，發起滲透行動，除了美國、北約成員國是頭號目標，提供軍事與人道主義援助後勤的波蘭也是目標，近兩個月來，鄰近戰場的丹麥、挪威、芬蘭、瑞典與土耳其面臨類似的網路攻擊活動也增加。</p> <p>這些國家的政府機關、人道主義組織、IT公司，以及能源與其他關鍵基礎設施供應商，都成為俄羅斯的攻擊目標。根據微軟觀察，俄羅斯的攻擊成功比例為29％，而這可能還是一個低估的數據。</p> <p>較特別的是，微軟認為各國政府仍將大部分心力放在自建的環境，而非雲端服務，美國可能已在SolarWinds攻擊事件中學到教訓，但歐洲政府的警覺性相對較低。因此，這代表仍存在著重大的集體防禦弱點。</p> <h3><strong><span style="color:#0099ff;">四、透過其他網路活動的串連與指揮，俄羅斯機構對全球民眾展開影響網路輿論的行動，壯大戰爭力量</span></strong></h3> <p>這些行動鎖定四種民眾。第一是俄羅斯人民，目的是宣揚攻擊的正當性；第二是烏克蘭人民，企圖削弱該國抵禦俄羅斯攻擊的意願與信心；第三是美國與歐洲人民，目的是破壞歐美團結，轉移對俄羅斯犯下戰爭罪的批評；第四是其他未與烏克蘭結盟國家的民眾，煽動他們在聯合國與其他地區表態支援俄方的立場。</p> <p>根據微軟的估計，自戰爭開始後，俄羅斯在烏克蘭的影響力傳播增加了216%，在美國也增加了82%。</p> <h3><span style="color:#0099ff;"><strong>五、基於烏克蘭抵禦俄羅斯的經驗，應採取協調與全面進行的戰略，加強防禦以應對各種網路破壞攻擊、間諜活動，以及網路影響活動</strong></span></h3> <p>除了需認知俄羅斯網路威脅是俄羅斯政府內外共同發動，微軟指出，全球應體認這與傳統威脅的差異，網路安全回應必須依賴更廣泛的公私合作，促成政府之間的多邊合作也更形重要，同時，還要在維護言論自由的前提之下，抵禦各種影響網路輿論的行動。</p> <p>微軟呼籲，全球在面對網路攻擊時應該更加團結，並且必須擬定全面的策略，關鍵在於，防禦策略必須考量網路行動與軍事行動的協調，各國可藉由提高偵測、防禦、破壞及阻止威脅的能力，來作為主要防禦策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>對於俄羅斯攻擊烏克蘭的行動，微軟指出俄羅斯採用網路攻擊與軍事攻擊交互攻擊的戰略，並從蒐集與分析的數據，提出從抗戰中面對網路攻擊所觀察到的5個結論。圖片來源／微軟</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）微軟揭露俄羅斯攻擊烏克蘭網攻教訓_圖片來源微軟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>關於俄羅斯毀滅式攻擊使用的惡意程式家族，包括：●WhisperGate / WhisperKill　●SonicVote, aka HermeticRansom　●DesertBlade　●Lasainraw, aka IssacWiper　●FoxBlade, aka HermeticWiper　●CaddyWiper　●Industroyer2　●FiberLake, aka DoubleZero（</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在俄羅斯軍隊攻擊烏克蘭這四個月來，俄羅斯駭客的網路攻擊的目標，不只是攻擊烏克蘭40多個政府單位與企業，也針對北約國家與其他烏克蘭盟國，根據微軟統計，有42個國家128個組織也成攻擊目標，當中有接近半數是政府機關（49%），其次為IT企業（20%）、關鍵基礎設施(19%)、非營利事業組織（12%）。此外，微軟並估計俄國駭客的攻擊至少有29%以上的成功率。（圖片來源／微軟）</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟指出俄羅斯政府的網路影響行動（Cyber influence operations），由俄羅斯總統辦公廳，以及俄羅斯外交部（MFA）、俄羅斯情報局（GRU）、俄羅斯外國情報局（SVR）、俄羅斯聯邦安全局（FSB），以及俄羅斯國防部（MOD）主導。</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟</strong></p> <p><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BE%AE%E8%BB%9F%E6%8F%AD%E9%9C%B2%E4%BF%84%E7%BE%85%E6%96%AF%E6%94%BB%E6%93%8A%E7%83%8F%E5%85%8B%E8%98%AD%E7%B6%B2%E6%94%BB%E6%95%99%E8%A8%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>微軟認為，對於阻止俄羅斯網路威脅需抱持四大原則，認知俄羅斯網路威脅是俄羅斯政府內外共同發動，促成更廣泛的公私合作，以及政府之間的多邊合作，同時要在民主社會維護言論自由的前提之下，抵禦各種影響網路輿論的行動，即使需採取新的全面方法來因應這樣的威脅。</strong></span><strong style="color: rgb(105, 105, 105);">圖片來源／微軟</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/%E4%BF%84%E7%BE%85%E6%96%AF">俄羅斯</a></div><div class="field-item even"><a href="/tags/%E7%83%8F%E5%85%8B%E8%98%AD">烏克蘭</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E5%AE%B6%E7%B4%9A%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">國家級網路攻擊</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%88%AD">網路戰爭</a></div></div></div>
2022/6/30 10:14作者羅正漢https://www.ithome.com.tw/tech/151672
Meta加碼押寶短影音服務，Reels新推更多創作者營利管道和行銷用API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Meta推出多項政策，加大力道推廣短影音功能Reels。短短數周內，一口氣推推出多項新功能，更多創作者營利管道，以開放第三方行銷管理平臺串接的API，來吸引一般使用者、職業創作者及行銷公司三大族群。</p> <p>短影音平臺Tiktok崛起，快速吸引大量高黏著度使用者，讓其他社群媒體產生警覺，為避免流失使用者，Youtube、Meta相繼推出短影音服務，來搶奪短影音市場。Instagram是Meta仿Tiktok功能實驗場，Reels短影音已經占了IG總使用時間的2成。IG近日更開始跟進測試十分神似Tiktok全螢幕影音的介面，不再堅持正方形影音的設計，還掩蓋掉上方限時動態欄位，國外社群更以IG要整型成Tiktok來形容。而Meta押最多寶的仿Tiktok功能，還屬短影音IG Reels，後來也在Facebook推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/instafs.png" style="width: 300px;" /></p> <p>Reels推出後，陸續新增節奏字卡、轉場、綠幕等功能，IG社群也將不少Tiktok的玩法帶到Reels上如法炮製。IG近日又推出Remix for Photos功能，使用者可以將自己及他人的照片混剪成短影音。這是繼混剪Reels跟混剪影片後，又一鼓勵使用者以他人影音內容，作為創作素材的功能。IG也仿效Tiktok不斷鼓勵使用者用創作熱門畫題的衍生內容，來豐富內容、活絡參與的策略。</p> <p>除了提供一般使用者更多生成Reels內容的管道，Meta端出了更多誘因來吸引專業創作者。Meta執行長Mark Zuckerburg近日宣布，原先只適用IG創作者的獎勵計畫Reels Play Bonus，將擴及到Facebook Reels創作者，Facebook也會依照Reels表現，發送獎勵金給創作者。另外，本來只能用來打賞遊戲實況主的Facebook Stars代幣，將能用於打賞Reels創作者。讓創作能從社群端直接賺取收益，透露出Meta除了鼓勵創作者製作短影音，還企圖激勵他們用心經營社群，為平臺留住使用者。</p> <p>Meta也新推出Reels API，能串接第三方行銷管理平臺，並從外部進行內容發布、分析表現數據、管理留言、搜尋關鍵字等操作。Reels API功能將透過Meta既有的行銷用Graphs API發布，6月28日到7月6日期間逐步開放給所有安裝任一Graph API的開發者。開發者在自家App中使用Reels API不需重新送審App，或要求額外使用者權限。</p> </div></div></div>
2022/6/30 10:31作者郭又華https://www.ithome.com.tw/news/151673
【資安日報】2022年6月29日，駭客組織RansomHouse宣稱從AMD竊得機密、研究人員揭露比擬Heartble…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月有駭客組織聲稱他們從GPU大廠Nvidia取得大量內部資料，而引發軒然大波，本週又有駭客組織宣稱他們從處理器大廠AMD取得大量資料。自去年底出現的新興駭客組織RansomHouse，甫於6月上旬對非洲大型連鎖超市下手，這個組織最近聲稱他們竊得處理器大廠AMD的內部資料，並嘲笑該公司員工使用了弱密碼，使得他們能輕鬆取得450 GB的資料。</p> <p>自2014年出現的加密程式庫OpenSSL重大漏洞Heartbleed引起關注後，最近有研究人員發現嚴重程度能夠與其比擬的新漏洞。不過，這個漏洞必須在特定版本的OpenSSL與作業環境才能觸發，其後續帶來的影響有待觀察。</p> <p>建置在企業資料中心的各種內部伺服器應用，按理來說，應該受到網路防火牆的保護，而不該暴露在網際網路上，但此類具有高風險的組態設定仍層出不窮，而本週出現類似狀況的系統是支撐雲端原生環境的Kubernetes，有資安業者發現曝露於網際網路的Kubernetes執行實體（Instance）數量，竟然超過9萬臺，並呼籲組織要做好相關防護。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/ransomhouse-group-amd-advanced-micro-devices/"><span style="color: rgb(0, 0, 0);">駭客組織RansomHouse宣稱從AMD竊得450 GB內部資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHouse-AMD-Advanced-Micro-Devices.jpg" style="width: 300px; float: right;" /></a>日前攻擊非洲大型連鎖超市Shoprite的駭客組織RansomHouse，最近聲稱也竊得IT大廠的內部資料。根據資安防護軟體介紹網站Restore Privacy的報導，RansomHouse宣稱於今年1月，成功入侵AMD的網路，並竊得逾450 GB的資料，經研究人員對於駭客公布的部分資料進行比對，很有可能是來自AMD。</p> <p>但這些駭客如何竊得該公司的資料？駭客指出，這家IT巨頭的員工使用弱密碼，像是Password、P@ssw0rd、123456等，使得他們很容易猜到，並成功取得的該公司的機密檔案。對此，AMD表示他們知悉此事，並著手調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/revive-from-spyware-to-android-banking-trojan"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Revive疑似透過攔截簡訊來繞過雙因素驗證</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot 2022-06-27 at 14_11_58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62b99eb515fb12dcac2a34b3_Screenshot%202022-06-27%20at%2014_11_58.png" style="width: 300px; float: right;" /></a>駭客使用木馬程式對銀行用戶手機下手的情況，現在也變得更加針對特定銀行而來，甚至有機會突破雙因素驗證機制。資安業者Cleafy近期揭露名為Revive的安卓金融木馬程式，該軟體鎖定西班牙BBVA銀行用戶而來，並宣稱為了提升安全性，用戶必須安裝附加元件來進行強化。</p> <p>駭客為了讓對方相信確有其事，不只為該元件建置了專屬網站，還有教學影片解析整個安裝流程。一旦受害者照做，手機就會被安裝木馬程式Revive，然後要求授予此App存取簡訊與通話的權限，而這個惡意程式平時是在後臺執行的鍵盤側錄工具，記錄受害者輸入的內容，並定期傳送到C2。</p> <p>研究人員指出，駭客透過冒牌的銀行登入網頁來取得帳密，然後再攔截特定簡訊，藉此繞過雙因素驗證（MFA）流程，雖然這個惡意程式處於早期開發階段，但已具備繞過銀行身分驗證措施的能力而不容輕忽。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/22/quantum-software-lnk-file-based-builders-growing-in-popularity/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用Quantum惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-_hta-builder.png" style="width: 300px; float: right;" /></a>駭客濫用Windows捷徑（LNK）檔案來載入惡意程式的手法，在攻擊事件裡也不時會出現。資安業者Cyble最近揭露惡意軟體Quantum的動態，駭客在地下論壇兜售這款軟體與相關工具，費用為每月189歐元起，並宣稱能透過他們提供的建置工具，打造LNK、ISO、HTA格式的檔案，來包裝Quantum，此外，客戶可透過賣家提供的工具，來指定產生的Quantum能否可繞過使用者存取控制（UAC）、執行的路徑、所需搭配的DLL程式庫檔案等。</p> <p>附帶一提的是，這些駭客還聲稱能利用MSDT漏洞CVE-2022-30190（Follina），來散布惡意程式。</p> <p>研究人員針對近期出現的Quantum惡意程式，與北韓駭客組織Lazarus的手法進行比對後，發現該組織近期疑似使用此惡意程式發動發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/06/27/exposed-kubernetes-clusters/"><span style="color: rgb(0, 0, 0);">逾9萬個K8s實體曝露在網際網路，恐成為駭客下手的目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/k8s-exposuer-countries.png" style="width: 300px; float: right;" /></a>組織的自動化容器管理系統Kubernetes（K8s）若是配置不當，很有可能曝露內部的機敏資訊。資安業者Cyble提出警告，他們近期發現至少有超過9萬個K8s實體（Instance）曝露於網際網路，當中又以位於美國的實體最多，高達6成5（58.5萬個），其次是有14%位於中國、9%於德國。</p> <p>而從這些K8s所使用的連接埠來看，又以443埠最多，約103.8萬個；10250埠其次，有23.1萬個。而這些曝露於網際網路上的K8s主機，研究人員發現有799個會直接對攻擊者公開（會向存取K8s的用戶端，發出錯誤代號200的回應），甚至有些知名公司所用的K8s主控台、管理儀表板並未啟用密碼保護，使得駭客無需密碼就有可能從從網際網路上存取K8s的重要元件，或是執行相關操作。但為何與上個月ShadowServer發現有38萬臺K8s的資料相差甚遠？研究人員認為，原因很可能與掃描的範圍有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/"><span style="color: rgb(0, 0, 0);">研究人員揭露OpenSSL的漏洞，恐導致記憶體損壞</span></a></strong></h3> <p>開源加密程式庫OpenSSL甫於6月21日發布3.0.4版，但有研究人員發現當中新的弱點，且可能會導致比Heartbleed更嚴重的後果。資安研究人員Guido Vranken揭露OpenSSL 3.0.4版存在的漏洞，一旦攻擊者觸發該漏洞，就有可能遠端執行程式碼，並強調遭到利用的後果可能會非常嚴重，有可能超越Heartbleed。</p> <p>不過，這項漏洞僅存在於特定版本OpenSSL，擁有許多用戶的1.1.1版，以及其他衍生的加密程式庫BoringSSL、LibreSSL都不受影響；再者，則是這項漏洞必須在支援AVX512指令集上的64位元Intel電腦才能觸發。OpenSSL已經著手修補，但尚未發布新版軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/nist-releases-new-macos-security-guidance-organizations"><span style="color: rgb(0, 0, 0);">NIST發布新版macOS資安指引</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/cyberattack-forces-iran-steel-company-halt-production"><span style="color: rgb(0, 0, 0);">伊朗鋼鐵公司遭到網路攻擊被迫停止生產</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theregister.com/2022/06/28/tencent_qq_qr_code_attack/"><span style="color: rgb(0, 0, 0);">騰訊坦承用於登入即時通訊軟體QQ的QR Code遭駭</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151656">【2022年6月28日】勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理系統</a></p> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> </div></div></div>
2022/6/29 17:52作者周峻佑https://www.ithome.com.tw/news/151669
強化對YouTube、Meta等平臺業者管理及用戶權益保障，NCC公布數位中介服務法草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為加強對網路中介平臺的治理，NCC今天（6/29）公布數位中介服務法草案，該草案參考歐盟制定的數位服務法（Digital Services Act, DSA），以數位中介服務者（如YouTube、Meta等）為規範對象，提出業者的責任、免責及義務，後續公告草案2個月後，NCC將舉辦公開說明會、公聽會蒐集各界意見。</p> <p>去年底NCC即公布數位通訊傳播服務法架構，但為了進一步明定規範的對象，NCC將該法改名為數位中介服務法，以明確規範對象為數位中介服務提供者，包括連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，其中資訊儲存服務者又包括線上平臺業者、指定線上平臺業者。不同業者服務型態，明定其責任及義務。NCC強調，不論業者為境內或境外，只要在臺灣提供服務，經認定具實質關聯者，應遵守相關的義務。</p> <p><strong>數位中介服務提供者類型，包括連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，以及線上平臺業者、指定線上平臺業者兩小類，其中線上平臺業者，NCC暫列包括YouTube、Meta等，指定線上平臺業者則由主管機關依標準公告(圖片來源：NCC)：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/W1.jpg" style="width: 600px; height: 453px;" /></p> <p>當中的線上平臺業者，例如YouTube、Dcard、Yahoo!拍賣、Meta等，至於指定線上平臺業者，NCC參考公告歐盟DSA，依我國人口的十分之一為標準，在我國境內有效使用者數量達到230萬人者，由主管機關公告為指定線上平臺業者，但NCC也保留使用者數量的計算標準，例如按照用戶數或使用人次計算。</p> <p>NCC副主委暨發言人翁柏宗表示，數位中介服務法為一般法，先以業者自律、布透明度報告，或是由其他監督團體的他律，業者如仍有違法內容，實際仍介接各個部會的實體作用法，依規定處理，政府主管機關如要對業者提出資訊限制，需取得法院核發的資訊限制令，才能要求業者移除違法內容或限制存取。</p> <p>除了政府主管機關，數位中介服務法草案也參考國際上的聖塔克拉拉原則，要求平臺業者執行程序透明，並提供使用者救濟權利。一般民眾（不限制為受害民眾）也可以危害公共利益或私益，向業者檢舉平臺上的特定內容違法，由業者依平臺服務規範自律或法院判決處理，並回報檢舉民眾處理結果，同時也需向該內容的原po告知處置，例如移除被檢舉內容或是限制接取。</p> <p><strong>任何人，不限制只有受害民眾，可向平臺業者檢舉特定違法內容，由業者依服務使用條例或依法院判決處理內容，並向舉報者告知處理結果，以及向該內容的使用者告知資訊限制措施：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/W2.jpg" style="width: 600px; height: 421px;" /></p> <p><strong>明定不同類型的數位中介業者應負之義務</strong></p> <p>如前所述，數位中介服務法草案將數位中介服務業者分為，連線服務提供者、快速存取服務提供者、資訊儲存服務者三大類，資訊儲存服務者再分為線上平臺業者、指定線上平臺業者，不同類型的數位中介服務業者有各自應盡的義務。</p> <p>一般數位中介服務者的義務，包括資訊揭露、境外業者指定代理人、公告服務使用條款、每年公布透明度報告、依法院裁判或行政處分提供特定使用者資料、配合資訊限制令等等。如業者違反應盡的義務，處5萬以上、50萬元以下罰鍰，限期改善，未改善得再罰。</p> <p>資訊儲存服務提供者的義務，包括建立易於使用的通知機制，供檢舉違法內容者通知及回應，並建立資訊限制告知機制，通知使用者被移除或限制存取。如業者違反其義務，主管機關得處罰10萬以上、100萬元以下罰鍰。</p> <p>至於線上平臺業者排除小型業者，應盡的義務包括內部異議機制、訴外爭議解決機制、認證舉報者、服務與機制之濫用防護、賣方資訊揭露等義務，業者未盡義務得罰50萬以上、500萬元以下罰鍰。</p> <p>由主管機關公告的指定線上平臺業者，因這類業者服務較具規模，數位中介服務法規定其義務，要求針對系統性風險（違法內容散布、用戶基本權利負面影響）提出有效管理、要求獨立稽核等義務。其中一項比較特別的義務是，要求業者在服務使用條款提出推薦系統使用的主要參數、可供使用者調整或影響該主要參數的選項及產生的效果。</p> <p>NCC指出，數位中介服務法草案因應網路自由、開放、跨域、多元特性，依據網路治理精神，強調業者自律先行，以多方利害關係人意見訂定自律準則。因網路服務類型及內容快速變化，未來將規劃籌設專責機構，扮演網路議題研商的協商平臺角色。</p> </div></div></div>
2022/6/29 18:48作者蘇文彬https://www.ithome.com.tw/news/151671
央行通用型數位貨幣試驗成果大公開，模擬P2P轉帳、跨境匯款或店家付款情境都可行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣央行數位貨幣（CBDC）第二階段試驗計畫提早3個月達標，央行總裁楊金龍今日（6/29）指出，央行已與財金公司、外部技術團隊打造一套CBDC雛型平臺，並邀請5家銀行（中信、華南銀行、國泰世華、台新銀行和上海商銀）參與設計和模擬，這些銀行透過介接CBDC雛型平臺，可提供多種零售交易服務，像是以CBDC來購物、繳費，或是以CBDC可程式化設計發放數位券，又或是存款帳戶/現金兌換CBDC，以及以CBDC供移工跨境小額匯款等應用。</p> <p>楊金龍表示，央行下一步將繼續與有關機構溝通、精進平臺設計，以及研議法律架構。他坦言，制定法律架構是最花時間的關鍵一步，以上3者完成後，央行才會討論CBDC上路時間表。換言之，目前還未有明確的推行時程。</p> <p><span style="font-size:24px;"><strong>CBDC四大優點，促使央行投入研究</strong></span></p> <p>CBDC有許多潛在益處，是央行投入研究的原因之一。楊金龍解釋，比如，CBDC可讓民眾獲取安全的數位貨幣，猶如現在的現金，是大眾唯一能使用且非常安全的央行貨幣。再加上電子支付比率逐年上升，如從2017年的40%，到今年第一季的60%，因應未來現金數位化需求，民眾也可能希望CBDC出現，由央行發行安全、受信任，且無使用成本、無信用獲流動性風險的數位支付工具。</p> <p>再來，CBDC這種可程式化的貨幣，可滿足未來支付服務需求，像是透過智能合約（Smart Contract），來讓CBDC依程式設計條件，自動執行交易，比如政府發放振興券、福利金這類有特定期限或產業限定消費，若採CBDC發放，就能透過程式設定，在期限內落實專款專用。CBDC可程式化的特性，也能進一步延伸到更多場域。</p> <p>另一個好處是深化普惠金融。楊金龍點出，目前許多金融機構提供數位帳戶開戶服務，以及各類支付、儲蓄和貸款等服務，但這些服務並未涵蓋經濟弱勢的民眾。「CBDC不是銀行存款，只要想取得數位現金支付者，都可開立CBDC錢包，」他表示，如此一來民眾就能取得CBDC相關服務，而非一定要有銀行數位帳戶，才能享有數位金融服務。</p> <p>最後一個好處是改善跨境支付。目前現有的銀行跨境支付，涉及許多中介機構，不只程序多，手續費也高。而CBDC可利用新技術，來簡化這些流程。不過，楊金龍強調，跨境支付還有待國際研擬通用的標準、基礎設施和法律架構才行，像是制定出防範非法活動的監理準則等，才能真正落實。因此，目前世上主流的CBDC應用，都先從境內交易開始，跨境交易得等到系統互通性和法律問題解決後，才能實現。</p> <p><span style="font-size:24px;"><strong>採央行、銀行雙層架構，維持銀行金融中介角色</strong></span></p> <p>不過，CBDC也有不少潛在風險，央行也用一系列做法來因應。像是，CBDC可能影響銀行的金融中介角色，讓銀行存款流失。因此，與國際上發行CBDC的國家一樣，臺灣央行也採用傳統貨幣發行的雙層式架構，來讓銀行扮演中介角色。</p> <p>另一個則是，CBDC有可能造成銀行存款流失，特別是在金融危機期間。為保持金融穩定，央行將CBDC設有交易和持有上限。此外，楊金龍表示，為避免影響貨幣政策，CBDC視為數位現金，初期將不計息。</p> <p>至於金融犯罪風險，由於央行CBDC採雙層架構，可由銀行等中介機構現行的反洗錢、資安和個資保護機制處理，比如保存交易記錄、異常資料通報等。</p> <p>楊金龍點出，央行也考慮了CBDC系統營運的韌性，因此正思考離線支付的可能性，讓民眾在沒有網路的環境下，也能使用CBDC。</p> <p><span style="font-size:24px;"><strong>第二階段試驗：完成中心化CBDC雛型平臺、零售支付應用</strong></span></p> <p>央行自2019年6月展開第一階段批發型CBDC技術研究，但他們發現，分散式帳本技術（DLT）沒辦法滿足大量、高頻且需要即時清算的需求。後來，2020年9月，央行開始第二階段的通用型CBDC試驗計畫。有別於DLT，這次，央行採用中心化作業，再輔以DLT設計，來發展部分功能。第二階段計畫原本預計今年9月完成，但目前已先達標。</p> <p>在第二階段中，央行CBDC工作小組找來財金公司、外部技術團隊，打造一套CBDC雛型平臺，並請來中信、華南銀行、國泰世華、台新銀行和上海商銀5家銀行，在封閉環境中模擬銀行中介業務和零售支付應用。</p> <p>進一步來說，這些業務和零售支付場景可分為5大類，包括開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款。</p> <p>比如，現場中國信託示範用App開立CBDC錢包，一開始就先將CBDC分為小額（單筆交易上限3,000、餘額上限1萬元）和大額（單筆交易上限10萬元、餘額上限50萬元）兩種錢包，民眾可依需求來開立，只需填寫身份證字號等基本資料即可申請，外國人可透過手機快速認證即可，不限定中信存戶。</p> <p>之後，民眾就像使用電子支付App一樣，可用來QR Code掃碼支付、轉帳或是存提款等業務。其中，中信展示的CBDC錢包還搭配票券功能，可讓使用者將政府發放的CBDC數位振興券等轉入帳戶或信用卡，配合央行對CBDC應用的期望。</p> <p>在存提部分，民眾可至實體ATM點選CBDC錢包儲值，再將外幣或臺幣放入ATM中，反之，民眾也可在ATM提取CBDC錢包的臺幣。</p> <p>另一方面，國泰世華也展示了CBDC錢包的P2P個人對個人轉帳功能。他們先是整合央行CBDC平臺和國泰平臺，可讓國泰現有網銀客戶快速註冊CBDC錢包，將帳戶內臺幣與CBDC互相兌換，或進行現鈔存提。再來，當使用者需要P2P轉帳時，可透過錢包中的付款碼QR Code，讓對方掃碼、匯款。</p> <p>現場，上海商銀還展示了跨境匯款功能，當雇主用CBDC錢包發送數位貨幣薪資後，移工可在跨境小額匯款公司的App，選擇匯款對象、金額和扣款銀行後，就能利用上海商銀數位App，從CBDC中繳款。</p> <p>除了金融業務，在零售支付場域，也有不少應用案例。比如，7-11現場示範用CBDC錢包來進行OR Code掃碼支付和NFC手機感應等2種支付方式，其他店家如路易莎咖啡、臺灣大車隊、全聯、寶雅等也示範如何這類支付方式。甚至，CBDC也能運用到捐款上。</p> <p><span style="font-size:24px;"><strong>下一步：溝通、優化平臺、制定法規</strong></span></p> <p>第二階段提早達標，楊金龍透露，央行下一步將持續與金融機構、政府單位、學界、使用者和技術提供者溝通，來取得實用的共識。此外，央行也將繼續精進平臺設計，確保平臺7x24小時不中斷的穩健性，以及能抵抗斷電、斷線的強韌性，還有平臺完整性，如納入強大的資安保護機制、避免未經授權操控的發生。</p> <p>最後，央行也將連同相關部門，研擬法律架構，比如賦予CBDC法償貨幣的法源，制定反洗錢、反資恐、隱私保護和資安防護等規範，來提高市場對CBDC的信任。他也透露，這些工作，至少需要2年來完成。</p> </div></div></div>
2022/6/29 17:55作者王若樸https://www.ithome.com.tw/news/151670
Martech雙周報第25期：打擊廣告科技潛在偏見，IBM推出AI分眾行銷模型校正技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0619~0702)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#演算法歧視</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#機器學習</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI模型偏差導正</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#分眾行銷</span></strong></span></p> <p><strong>科技界與媒體界在坎城國際創意節共同呼籲正視廣告科技演算法歧視</strong></p> <p>全球最大廣告相關產業活動，坎城國際創意節中，美國互動廣告協會及廣告委員會，<a href="https://newsroom.ibm.com/2022-06-20-IBM,-DELTA-AIR-LINES-WPP,-4AS,-IAB,-AD-COUNCIL-AND-OTHER-INDUSTRY-LEADERS-ACT-TO-MITIGATE-BIAS-IN-ADVERTISING-TECHNOLOGY">偕同IBM</a>、媒體公司WPP及Mindshare等知名品牌，共同呼籲關注隱藏於廣告科技的歧視問題，顯示出廣告科技偏見議題近年備受關注。</p> <p>廣告科技偏見意指，因為訓練分眾行銷AI模型的數據夾帶設計者潛在偏見，導致AI針對特定族群進行過多或過少廣告投放。IBM一項長達6個月的個案研究，不僅發現此情況確實存在，更提出警告，廣告科技偏見可能導致許多惡果，例如強化社會不平等、損害品牌形象以及降低行銷效率等。<a href="https://github.com/Trusted-AI/AIF360">IBM更宣布免費發布AI模型校正工具，可以檢測並導正廣告AI模型偏差。</a></p> <p>除了媒體界和科技界，法界也開始重視廣告科技歧視議題。美國法院近期指控Meta鼓勵廣告主利用種族、膚色、宗教、性別、年齡等不當標準投放房屋廣告，違反《公平住房法》，因此起訴Meta。法院與Meta達成和解協議，年底前停用並重新設計房屋廣告分眾標準，並交由法院指定的第三方機構認證不具歧視性，才能啟用。美國法院表示，這是「具歷史性的一個協議」，是Meta第一次在民事訴訟中，同意改善廣告科技系統。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#創作者營利</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#短影音</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#跨平臺訂閱</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#廣告媒合平臺</span></strong></span></p> <p><strong>Meta推出多項創作者營利管道，Reels短影音平臺不抽成 </strong></p> <p>Meta執行長<a href="https://www.facebook.com/zuck/posts/10114534084040871">Mark Zuckerburg宣布</a>，將推出多項創作者營利管道，且承諾2024年前，Facebook和Instagram創作者可以保留所有營利，將原本計畫的抽成實施期限延長一年，希望透過初期免平臺費來吸引創作者。 </p> <p>Meta推出創作者市集，媒合Instagram創作者及廣告主。創作者於此提出創作內容主題及形式，廣告主再根據自己需求挑選合作對象。這之前，Meta已經推出品牌合作管理平臺，用以媒合Facebook上的創作者及廣告主。 </p> <p>除了媒合新合作，Meta也拓展了新的創作營收方式，擴大Facebook Stars代幣的打賞範圍，不只是遊戲實況，現在也可以用來打賞Reels短影音、直播及VOD。此外，過去只限Instagram Reels的創作者獎勵計畫，更擴展到Facebook Reels。</p> <p>近期Meta不斷推出仿Tiktok功能，不論IG或臉書都大力借鏡Tiktok策略，例如力推的短影音Reels服務，新推出Remix for Photos功能，使用者可以將自己及他人的照片混剪成Reels。這是繼混剪Reels跟混剪影片後，又一鼓勵使用者創作衍生內容的功能，仿效Tiktok用社群不斷對熱門主題創作衍生內容的策略，來活絡社群參與。另外，Instagram也開始測試神似Tiktok全螢幕影音的介面，甚至掩蓋掉上方限時動態欄位，顯示Meta相當重視仿Tiktok功能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#第一方數據</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#Unified ID 2.0</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#自行加密數據</span></strong></span></p> <p><strong>AWS推出UID 2.0解決方案，降低未加密資料外洩風險</strong></p> <p><a href="https://aws.amazon.com/tw/blogs/industries/introducing-unified-id-2-0-private-operator-services-on-aws-using-nitro-enclaves/">AWS推出Unified ID 2.0 on AWS解決方案</a>，利用AWS Nitro Enclaves技術提供機密計算環境，進行UID Private Operator的加密工作。UID 2.0是DSP業者The Trade Desk推出的使用者追蹤標準，將使用者登入資料去識別化後，作為廣告ID使用。加密工作由Operator進行，又分為Public Operator跟Private Operator，後者只會經手特定資料來源UID。</p> <p>過去，企業若想將自家顧客資料加密為UID，需要將這些資料拋轉給其他Operator。若顧客資料較為敏感，拋轉過程的資訊安全會成為疑慮。AWS的UID解決方案，則是讓企業在機密環境中自行加密顧客數據，成為自己的Private Operator，降低資料外洩風險。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#行銷預測</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#成效追蹤</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#0099ff;">#使用者互動</span></strong> </span></p> <p><strong>Twitter推出廣告專案規畫工具，可事先預估行銷計畫的成效</strong></p> <p>經過半年測試後，<a href="https://twitter.com/TwitterComms/status/1539596642525003779?s=20&t=coItm4WlEW_Tmb6s0F7huQ">Twitter推出廣告專案規畫工具</a>，能根據行銷人員設定的受眾、預算、頻率跟期限等前置條件，來估算行銷計畫的觸及範圍、曝光規模、CPM等成效指標，若滿意預測結果，也能直接從此工具中建立專案。Twitter表示，此工具目前僅開放給英國、美國及日本特定業者試用，幾個月內將逐步開放給更多業者使用，也將添增更多行銷指標選項。Twitter也預告推出廣告帳號管理平臺、新廣告格式、更強大的互動測量工具以及自動分眾行銷工具，不過沒有提供更多細節。</p> <p>Twitter也發表了品牌行銷的新機制Branded Like功能，按讚時會出現特別的小動畫，希望能增加使用者的互動度，不過，目前沒有機制可以測量使用者為了看動畫而重複按讚。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#精準行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#中小型企業</span></strong></span></p> <p><strong>中小企業行銷最愛FB和IG，但Tiktok來勢洶洶成為中小企業行銷新選擇</strong></p> <p>美國中小企業解決方案公司Hello Alice，<a href="https://helloalice.com/wp-content/uploads/2022/06/TikTok_HelloAlice-Digital-Marketing-Report-Designed-Version-5.31.pdf">最近做了一項調查7,000家中小企業的研究</a>，發現Facebook跟Instagram仍然是中小企業最常用行銷平臺，分別有87%和75%企業已經在使用。近7成企業認為，這兩個平臺上能獲得有機流量，而非單純付費買廣告，與第3名的Tiktok（52%）間距相當大。</p> <p>不過報告指出，Tiktok越來越受到中小企業的青睞，有43%中小企業因為同業成效，考慮開始投放Tiktok廣告，3成中小企業未來最想在Tiktok行銷，這兩項的企業比例都比其他社群媒體平臺高。已用Tiktok行銷的中小企業，有78%考慮增加廣告預算，也比其他平臺來得高。</p> <p>Hello Alice在報告中分析Tiktok吸引力增強的原因，首先是入門容易，81%企業表示在Tiktok投放廣告的操作簡單。行銷內容方面，67%中小企業認為，Tiktok最有助於企業進行創意行銷，此數據同樣高於其他平臺。另外，企業票選的Tiktok行銷的前三大優點是「觸及新受眾」、「容易被消費者發現」以及「觸及正確受眾」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#行銷歸因</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者互動</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者隱私</span></strong></span></p> <p><strong>Tiktok新增行銷歸因工具，更細緻設定不同使用者互動事件各自的追蹤時效</strong></p> <p><a href="https://www.tiktok.com/business/en-US/blog/flexible-attribution-windows-campaign-measurement">Tiktok於自家廣告管理平臺新增行銷歸因工具</a>，行銷人員能依據專案活動和產品特性，為搜尋、訂閱、點擊、購物、新增付款資訊等多種互動事件，分別設定彈性的CTA和VTA追蹤時效。</p> <p>Tiktok近期不斷嘗試增加自家平臺對廣告主吸引力，<a href="https://www.ithome.com.tw/news/151518">日前更完成使用者資料遷移，以避免美國用戶資料外流中國的疑慮</a>。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#AR顯示技術</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#NFT</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#Instagram限時動態</span></strong></span></p> <p><strong>Instagram測試AR貼圖和文字功能，更能把NFT圖像放進限動</strong></p> <p>Instagram正在測試AR貼圖和文字功能，能加入與環境互動的3D物件到限時動態影像。另外，<a href="https://sparkar-partners.fb.com/">Meta AR技術商Spark AR表示</a>，今年夏天將能用AR技術，在限時動態顯示2D NFT圖像，並能顯示NFT作者等資訊。Spark AR預告，未來將製作能呈現3D NFT的功能，可顯示家具、衣服、飾品等物件，也指出未來這些技術可成為新創作者營利管道，如利用此功能製作商品原生廣告。 </p> <p> <br /> 資料來源：iThome整理，2022年6月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/6/29 16:45作者郭又華https://www.ithome.com.tw/news/151668
WFH風險？FBI發現有人用盜來的個資與Deepfake技術求職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情蔓延後，有不少企業允許員工採用「在家工作」（Work From Home，WFH）模式，有些企業甚至讓它成為工作常態，不過，<a href="https://www.ic3.gov/Media/Y2022/PSA220628" target="_blank">美國聯邦調查局（FBI）的犯罪投訴中心（IC3）本周警告</a>，有愈來愈多的雇主投訴，許多爭取在家工作或遠端工作職缺的求職者盜用他人的資訊，同時利用Deepfake技術來面試。</p> <p>提出投訴的許多職缺涉及資訊技術、電腦程式、資料庫與軟體相關領域，有些職缺甚至可以存取客戶的身分資料、金融資料、企業資料庫或私有資訊。因為是在家工作，因此只要過了面試這一關，就能避免被識破。</p> <p>有些求職者企圖利用他人的背景與專長來獲取工作，包括藉由Deepfake技術來偽造影片。有雇主發現，當與求職者進行線上面試時，求職者的動作或嘴唇的開合，與其說話的聲音並不一致，例如當出現打噴嚏或咳嗽的聲音時，視覺上卻非如此。</p> <p>當雇主隨後針對這些求職者進行背景調查時，才發現某些求職者根本就是利用他人的身分來謀職。</p> </div></div></div>
2022/6/29 14:23作者陳曉莉https://www.ithome.com.tw/news/151666
歐洲火星探測太空船剛剛更新了它的Windows 98應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在地球上多數電腦用戶開始進入Windows 11的今天，用於探測火星的太空船火星快車號（Mars Express）在升空19年後，最近剛更新了機上Windows 98電腦的應用程式。</p> <p><a href="https://www.esa.int/Enabling_Support/Operations/Software_upgrade_for_19-year-old_martian_water-spotter" target="_blank">歐洲太空總署（European Space Agency，ESA）本周指出</a>，火星快車號上的瑪西斯雷達（MARSIS）近日將接收重大軟體更新，使其得以更高解析度探索火星及其月球Phobos地表下物質組成，包括液態水。</p> <p>火星快車號是歐洲太空總署火星研究的首個探測任務，它運行在火星軌道的飛行器，於2003年6月2日起執行任務。火星快車號上的瑪西斯雷達全稱「火星地下和電離層探測高新雷達」（Mars Advanced Radar for Subsurface and Ionospheric Sounding，MARSIS），是一臺低頻脈衝的雷達測深儀和高度計，協助探測紅色行星液態水訊息，包括火星南極1.5公里冰層下方一個疑似20x30公里的鹹水湖。</p> <p>瑪西斯雷達探測儀以其40公尺長的天線向地底發射低脈衝電波。大部份電波會被火星地表反射，但有一部份會穿越火星地殼，並在地表下冰、土壤、岩層和含水層的交界處反射。藉由分析這些反射電波訊號，科學家就能判斷火星地表下數公里的組成及特性，如厚度和兩極冰帽成份、火山及沈積岩層的特性。</p> <p>這次軟體更新任務經費來自義大利太空總署，而由義大利國家天文物理研究所（INAF）的工程師執行。負責此次任務的INAF操作管理員Andrea Cicchetti指出，他們計畫將火星快車號機上電腦上的瑪西斯雷達軟體升級，以提升其效能，是在它19年出發後的第一次。</p> <p>新版軟體是由INAF和Enginium公司MARSIS機上軟體工程師Carlo Nenna共同開發。Nenna說明，火星快車的探勘任務有不少挑戰，其中之一是MARSIS軟體是20年前設計的，這可是用Windows 98的開發環境開發的。以前工程人員必須使用複雜方法來儲存火星及Phobos月球的高解析度影像，這也產生大量資料，一下子就把機上電腦記憶體占滿。更新版軟體改良了訊號接收及機上電腦的資訊處理能力，以便能以更高解析度呈現，且傳送更多資料量回地球分析。</p> <p>Nenna指出，在去掉不需要的資料後，新軟體可使MARSIS執行時間比以前多5倍，一次任務也能蒐集更大火星地表面積。</p> <p>ESA科學家指出，以前在較低解析度時代，他們已經在火星南極多個地區偵測到液態水的訊號。在新軟體協助高解析度影像傳送後，將可更快驗證其假設，加速火星探測任務。ESA表示，現年19歲的火星快車號仍然是該中心飛行成本最低的探索任務。</p> <p>至於機上電腦的硬體規格ESA沒有說明。<a href="https://www.tomshardware.com/news/mars-probe-gets-windows-98-update" target="_blank">Tom’s Hardware網站判斷</a>這臺Windows 98電腦上可能用的是Intel Pentium 90處理器，那麼可能還能跑一些經典遊戲像是《毁滅戰士Doom》、《銀河飛將 Wing Commander Prophecy》、《創世紀7 Ultima VII》等。</p> <p>目前地球上還有多少電腦執行Windows 98不得而知。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據市調業者GlobalStats的統計</a>，目前最早追溯得到的獨立Windows 版本是XP，在桌上電腦占比為0.39%。</p> </div></div></div>
2022/6/29 14:46作者林妍溱https://www.ithome.com.tw/news/151667
印度暫緩實施VPN資料蒐集法令3個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度政府周二（6/28）宣布，原訂本周生效的VPN資料蒐集法令，將延後到今年9月25日實施。</p> <p>印度電子暨資訊技術部今年4月聯同該國電腦緊急應變小組（CERT-in）發布一項命令，要求印度境內VPN服務供應商、資料中心與雲端服務供應商都必須儲存用戶資訊，包括姓名、電子郵件帳號、電話號碼與IP位址，而且要保留5年，以建立「開放、安全、信任及負責的網際網路」，業者也必須在得知資安問題的6個小時內就向印度CERT回報。印度政府同時要求微型、小型到中型企業必須強化安全，以符合該國網路安全指引（Cyber Security Direction）。</p> <p>這項命令預計在6月27日正式上路。印度電子暨資訊技術部表示，在接到多方要求後，印度政府決定給中小企業完成遵法，並且讓VPN、資料中心與雲端服務業者有更多時間實作訂閱戶資料驗證的機制。兩者的期間都延後到2022年9月25日。</p> <p>這項規定遭到廠商及資安業者的反彈。<a href="https://www.accessnow.org/india-cert-in-directions-experts/" target="_blank">本周一20多位資安專家聯同隱私倡議組織</a>向CERT-In發出公開信，要求延後實施並舉行公開諮詢會議。</p> <p>該聲明指出，新法令將對網路安全及線上隱私產生負面後果。新法包含的安全事件回報作業時間僅6小時，以及要求保留用戶過於廣泛的資料，實務上難以達成而可能影響實施效果，並且斲傷線上隱私及安全性。</p> <p>此外一些外國VPN業者包括ExpressVPN本月初已宣布將退出印度市場，另二家廠商包括Surfshark和NordVPN也分別宣布跟進，都將在法規生效前關閉在印度伺服器及撤離印度。</p> <p>至於印度政府3個月後是否會撤回決定不得而知。印度電子暨資訊技術部次長Rajeev Chandrasekhar曾說不會對這些規定舉行公開諮詢會議。他並放話，不想蒐集用戶資料的廠商儘管可以離開印度市場。</p> <p>上周該部會還頒布<a href="https://www.ithome.com.tw/news/151538" target="_blank">新法規</a>，要求印度政府公務員或約聘、委外員工不得使用Nord VPN、ExpressVPN等業者提供的VPN服務以及Tor匿名服務，以及以Google Drive、Dropbox等雲端服務儲存公務檔案和文件。</p> </div></div></div>
2022/6/29 14:05作者林妍溱https://www.ithome.com.tw/news/151665
駭客宣稱取得450Gb的AMD資料，AMD展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體集團RansomHouse日前宣稱已成功入侵了AMD，並取得450Gb的AMD資料，而AMD則對外表示，正在針對此一事件展開調查。</p> <p>RansomHouse為去年底現身的新興勒索軟體集團，有別於傳統的勒索軟體，它的攻擊行動並未包含加密受害者系統上的檔案，而只是入侵受害組織，竊取機密資料，再以外洩資料向受害者勒索，<a href="https://www.ithome.com.tw/news/151465" target="_blank">非洲最大連鎖超市Shoprite Group亦於本月出現在RansomHouse的受害名單上</a>。</p> <p><a href="https://www.bleepingcomputer.com/news/security/amd-investigates-ransomhouse-hack-claims-theft-of-450gb-data/" target="_blank">RansomHouse向《BleepingComputer》透露</a>，該集團的合作夥伴是在一年前就入侵了AMD，但它們並未主動聯繫AMD，因為直接將資料出售給有興趣的對象，可能比等待AMD做出回應還有價值。</p> <p>即使今年初確實傳出AMD遭到勒索軟體攻擊，但AMD從未證實此事，且目前並無明確的證據顯示RansomHouse真的駭進了AMD。</p> </div></div></div>
2022/6/29 12:26作者陳曉莉https://www.ithome.com.tw/news/151664
Firefox 102出爐了，修補19個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/firefox/102.0/releasenotes/" target="_blank">Mozilla於28日釋出了支援Windows、macOS與Linux的Firefox 102</a>，此一版本允許使用者關閉下載時自動開啟的下載面板，進一步改善隱私功能，且其Linux版新增對GeoClue的支援，另也修補了19個安全漏洞。</p> <p>當使用者利用瀏覽器下載檔案時，瀏覽器總會自動跳出一個面板，顯示正在下載的檔案與進度，但Firefox 102允許使用者關閉面板自動跳出功能。</p> <p>新的隱私功能則存在於增強追蹤保護（Enhanced Tracking Protection，ETP）模式中，當使用者以ETP模式瀏覽網站時，Firefox 102將會去除那些用來追蹤使用者的URL參數。這是因為包括臉書等業者都會利用客製化的URL查詢參數來追蹤使用者的連結點擊，ETP模式中的Firefox 102即會剝離URL中的追蹤參數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-19-firfox%20102_ETP_Enhanced%20Tracking%20Protection_strict%20mode-android-V2.png" style="width: 360px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mozilla</span></span></p> <p>Linux版的Firefox 102主要是新增了對GeoClue地理位置的支援，它隸屬於D-Bus服務，可依據特定網站的需求提供位置功能。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-24/" target="_blank">Firefox 102亦修補了19個安全漏洞</a>，當中有4個被列為高度風險漏洞。</p> <p>根據StatCounter的統計，全球桌面瀏覽器市場仍由Chrome以66.16%的市占率居冠，Edge為10.12%，Safari為9.14%，Firefox以7.66%位居第四。</p> </div></div></div>
2022/6/29 11:38作者陳曉莉https://www.ithome.com.tw/news/151662
最新版OpenSSL出現Intel AVX512指令集相關記憶體毁損臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/" target="_blank">研究人員發現</a>，上周才釋出的最新版OpenSSL 3.0.4版出現一個遠端記憶體毁損的臭蟲。研究人員稱某些情境下比Heartbleed更嚴重。該臭蟲雖然已經修正，但解決該問題的OpenSSL版本尚未釋出。</p> <p><a href="https://www.openssl.org/news/changelog.html" target="_blank">OpenSSL 3.0.4</a>是為了解決一個指令注入漏洞CVE-2022-2068，才剛在6月21日釋出。OpenSSL是提供TLS協定實作的開源函式庫。2014年OpenSSL成為資安界的關注焦點，因為當年Heartbleed漏洞可使系統記憶體內的機密資料被讀取，<a href="https://www.ithome.com.tw/news/86593" target="_blank">這個漏洞也號稱網路史上最嚴重的漏洞</a>。</p> <p>最新漏洞是由研究人員Guido Vranken發現位於OpenSSL加密演算法之中，屬堆積緩衝溢位漏洞，可被攻擊者輕易觸發造成記憶體毁損。他聲稱，一旦被觸發讓遠端攻擊者執行程式碼，可能比Heartbleed更為嚴重。</p> <p>所幸有許多因素限制了該漏洞的嚴重後果。一來本漏洞僅影響剛釋出1周的最新版OpenSSL函式庫，許多用戶還在用1.1.1分支，而非3這個分支，也不影響已經分叉出去的BoringSSL、LibreSSL。更重要的是，受害者的機器必須是支援Intel x86 Advanced Vector Extensions 512（AVX512）指令集CPU的x64系統。</p> <p><a href="https://github.com/openssl/openssl/issues/18625" target="_blank">GitHub討論區一名研究人員指出</a>，這不只是sanitizer相關臭蟲，而會影響所有支援AVX512的CPU。除了Intel CPU外，謠傳AMD CPU也將支援AVX 512指令集。</p> <p>有人認為這只是讓使用AVX512 CPU的機器上無法執行OpenSSL 3.0.4的臭蟲，但不是安全漏洞。<a href="https://boringssl.googlesource.com/boringssl/+/13c9d5c69d04485a7a8840c12185c832026c8315" target="_blank">Google工程師David Benjamin 也相信</a>，只是會造成運算不正確執行，不是漏洞。不過也有人認為是一個漏洞。專家Alex Gaynor相信，該漏洞可為在遠端存取時使用RSA簽章等情境觸發緩衝溢位。</p> <p><a href="https://github.com/openssl/openssl/pull/18626/commits/71ad6a8da3e39bd4caf5c6c767287ddd9bce8bae" target="_blank">現在OpenSSL 已經修正了這項問題</a>，但尚未有正式軟體更新。</p> <p>許多開發人員都認為，不管是單純臭蟲，或是一個重大安全漏洞，現在必須等OpenSSL維護單位釋出更新的3.0.5版來解決CVE-2022-2068漏洞。</p> </div></div></div>
2022/6/29 12:09作者林妍溱https://www.ithome.com.tw/news/151663
Google設立專門推動政府服務的新部門Google Public Sector
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/announcing-google-public-sector" target="_blank">Google於6月29日宣布</a>設立了新的Google Public Sector部門，專門協助美國的公共部門進行數位轉型，包括聯邦、各州或各地方政府，也納入了教育機構。新的部門將暫由Google Cloud的CTO辦公室主管Will Grannis負責帶領，Google也打算替該部門尋找新的執行長。</p> <p>Google Cloud執行長Thomas Kurian表示，Google原本就提供專門解決公共部門需求的產品，有專門的銷售團隊、合作夥伴生態體系及服務組織，新的Google Public Sector部門則是擴大了原本的編制，它將直屬Google，致力將包括Google Cloud Platform 與Google Workspace等Google Cloud技術帶給美國的公共部門客戶。</p> <p>其實Google Public Sector將具備所有Google在商業領域的服務與能力，只是它具備了公共部門所需的認證，也專門服務政府及教育機構客戶，而且將有單獨的董事會，此一董事會的任務在確保Google Public Sector的產品與服務符合客戶的需求，預測未來該領域的需求，以及創造美國公共部門市場的差異化。</p> <p>過去幾年Google早就有與美國政府合作的經驗，包括協助美國空軍維護飛機或執行飛行員訓練，或是提供人工智慧與機器學習工具予海軍以減少船隻的碰撞，也支援國防部的雲端管理解決方案，協助退伍軍人事務部改善軍人存取福利與服務的途徑，並與美國能源部簽署5年的合作協議，以人工智慧技術協助美國專利暨商標辦公室進行專利檢索等。</p> <p>今年初Google Workspace已經取得了美國聯邦風險與授權管理計畫（Federal Risk and Authorization Management Program，FedRAMP）高安全等級，迄今Google Cloud則有超過100項產品通過FedRAMP的中度或高度安全等級的認證，這是美國政府用來評估雲端產品與服務的計畫，讓政府機構得以根據認證等級部署相關產品。</p> <p>此外，Google也有多項雲端產品取得了可存取與管理受管制之非機密資訊的Impact Level 4（IL4）認證，讓美國的政府機構得以將資料存放於Google Cloud上。</p> </div></div></div>
2022/6/29 10:13作者陳曉莉https://www.ithome.com.tw/news/151660
【資安日報】2022年6月28日，勒索軟體LockBit祭出漏洞懸賞計畫、駭客組織利用Exchange漏洞攻擊大樓管理…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最具威脅的勒索軟體LockBit的動態相當引起研究人員關注，在昨天的資安新聞就有2起攻擊事故，而今天有資安研究團隊發現新的動態，那就是這些駭客在推出新版勒索軟體的同時，竟祭出漏洞懸賞計畫（Bug Bounty），範圍包含了LockBit勒索軟體、該組織網站，以及加密開源加密通訊軟體TOX、洋蔥（Tor）網路等。</p> <p>駭客藉由去年3月公布的Exchange重大漏洞ProxyLogon，攻擊受害組織的大樓管理系統（BAS），超過半年才有研究人員發現！這些駭客的目標是亞洲的電信業、製造業、運輸業者，但入侵的管道過往可說是相當罕見。</p> <p>委外廠商對於使用者的資料處理不當，甚至隨意存放在隨身碟，有可能造成資料外洩的疑慮，而且還是發生在做事極為謹慎的日本。最近在日本尼崎市就發生這樣的一起事故，協助比對符合請領補助民眾的IT業者，經手的員工竟將民眾個資存放在隨身碟攜帶在身上，不慎遺失後東窗事發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/vxunderground/status/1541156954214727685"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit推出3.0版，駭客也興起漏洞懸賞專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-BugBounty.jpg" style="width: 300px; float: right;" /></a>為了找尋系統可能存在的漏洞，不少IT廠商祭出漏洞懸賞計畫（Bug Bounty），卻有許多廠商處理相當消極，或是削減研究人員的獎金。但這樣的做法竟被駭客發揚光大，模仿這樣的做法來為惡意程式除錯。</p> <p>資安研究團隊VX-Underground於6月27日，揭露勒索軟體LockBit的新態勢，駭客不只製作了3.0版LockBit，還同時推出漏洞懸賞計畫而引起資安人員關注。</p> <p>這些駭客懸賞的範圍也相當廣泛，不只包含勒索軟體的漏洞，還涵蓋了該組織網站，以及開源加密通訊軟體TOX、洋蔥（Tor）網路，獎金從1,000美元起跳。此外，若是有人能找出LockBit組織首腦身分，便能得到百萬美元的獎金。若是日後其他駭客也相繼跟進，強化作案工具，很有可能讓攻守雙方更加不對等。</p> <h3><strong style="font-size: 22px;"><a href="https://usa.kaspersky.com/about/press-releases/2022_apt-uses-shadowpad-backdoor-and-ms-exchange-vulnerability-to-attack-building-automation-systems"><span style="color: rgb(0, 0, 0);">駭客組織利用後門程式ShadowPad與Exchange漏洞攻擊大樓管理系統</span></a></strong></h3> <p>中國駭客使用Exchange Server漏發動攻擊的情況，最近又有事故傳出，而且是針對大樓的管理系統而來。卡巴斯基在去年10月發現不為人知的駭客組織，針對數個亞洲國家的電信業、製造業，以及運輸機構下手，而這些駭客入侵受害組織的方式，竟然是利用微軟Exchange Server的重大漏洞CVE-2021-26855（ProxyLogon），攻擊大樓自動化系統（Building Automation System，BAS），然後在這種管理系統中部署惡意軟體ShadowPad。</p> <p>研究人員進一步追查後發現，這起攻擊行動始於2021年3月，也就是漏洞ProxyLogon公布的時間點，且駭客使用中文進行溝通，再加上他們使用惡意程式如ShadowsPad、PlugX都是中國駭客常用的工具，很有可能是中國駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www3.nhk.or.jp/nhkworld/en/news/20220624_27/#:~:text=A%20city%20in%20western%20Japan,said%20the%20USB%20was%20lost."><span style="color: rgb(0, 0, 0);">日本承包商員工隨意將尼崎市46萬民眾個資存放在隨身碟，隨身碟遺失才東窗事發</span></a></strong></h3> <p>承包政府機關業務的業者，很有可能接觸到大量民眾個資，一旦保管不慎很有可能有洩露的疑慮，但這樣的事故還是發生在以謹慎著稱的日本。根據日本NHK的報導，日本兵庫縣尼崎市政府為了要發送COVID-19疫情經困金，委託外部資訊服務廠商Biprogy彙整符合資格的民眾資料，但該市的官員指出，該廠商的員工未經市府同意，竟使用隨身碟存放該市46萬名市民的個資，並於21日工作結束後帶著隨身碟到居酒屋用餐、飲酒，事後發現隨身碟不異而飛，於22日報案並通知市政府。</p> <p><a href="https://www.city.amagasaki.hyogo.jp/kurashi/seikatusien/1027475/1030947.html">尼崎市政府表示</a>，此隨身碟設置了密碼，目前尚未發現資料外洩情事，市府承諾將會加強相關資料管理，並設立電話專線來處理民眾對本次事故的問題。</p> <p>而負責上述民眾資料彙整的資訊服務公司Biprogy坦承過失並<a href="https://www.biprogy.com/pdf/topics/info_20220624_1.pdf">公布事件發生經過</a>，他們的員工確實未經許可就利用隨身碟存放個資，也沒有遵守下班前刪除敏感資料的準則。<a href="https://www.biprogy.com/pdf/topics/info_20220624_2.pdf">這個隨身碟後來於24日尋獲</a>，該公司也<a href="https://www.biprogy.com/pdf/topics/info_20220626.pdf">於26日發布對於此事進行檢討，公布改進措施</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf"><span style="color: rgb(0, 0, 0);">美西銀行的ATM被安裝側錄裝置</span></a></strong></h3> <p>駭客不只在網路環境進行交易資料的側錄，也有針對實際環境下手的情況。法國巴黎銀行（BNP Paribas）美國子公司美西銀行於6月23日，向客戶提出警告，指出他們發現駭客在自動櫃員機（ATM）上部署了側錄裝置，可能有用戶的簽帳卡（Debit Card）資料遭竊。該公司最初察覺異狀是在去年11月，他們的資安團隊發現，有數個未經授權的帳號嘗試提款，於是該公司向警方通報，並著手檢查自家ATM的網路，結果發現，駭客已在數臺ATM上安裝了側錄裝置，這些裝置不只會記錄卡號、PIN碼，還有可能會干預簽帳卡的交易。</p> <p>該公司移除了有問題的ATM並著手調查，並呼籲用戶應時常留意自己戶頭的狀態，並承諾戶頭的存款若是遭到盜領或盜刷，他們將吸收相關損失。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-finally-shuts-down-data-leak-negotiation-sites/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti關閉公布受害者資料的網站</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-ransomware-attack-on-med-university-of-innsbruck/"><span style="color: rgb(0, 0, 0);">勒索軟體Vice Society聲稱攻陷了奧地利醫學院</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151629">【2022年6月27日】豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊急通報專線</a></p> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> </div></div></div>
2022/6/28 18:46作者周峻佑https://www.ithome.com.tw/news/151656
標榜端對端加密的經期追蹤程式Stardust遭爆與第三方分享用戶電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國最高法院在上周五（6/24）推翻了1973年的「羅訴韋德案」（Roe v. Wade），認為美國憲法並未賦予女性墮胎權，隨之有超過20個州準備禁止女性墮胎之後，經期追蹤程式Stardust很快便宣稱該程式將提供端對端加密，以保障用戶隱私，使得它在上周末成為美國行動程式的下載冠軍，不過，《<a href="https://techcrunch.com/2022/06/27/stardust-period-tracker-phone-number/" target="_blank">TechCrunch》在觀察Stardust程式的流量之後</a>，卻發現它與第三方業者分享用戶的電話號碼。</p> <p><a href="https://www.tiktok.com/@stardust.app/video/7112878594275282222?is_copy_url=1&is_from_webapp=v1" target="_blank">Stardust創辦人Rachel Moranis在最高法院判決出爐的同一天就透過TikTok宣布</a>，該程式將提供端對端加密，以確保沒有任何政府或企業能夠存取屬於用戶的資料，這項聲明使得Stardust的下載量竄升，在24日創下13.5萬次的安裝數量，比前一天成長4,400%，隔天安裝數量再衝上20萬次，躍上App Store免費程式的下載冠軍，光是這兩天的安裝數量便占了Stardust總安裝數量的82%。</p> <p>這讓《TechCrunch》決定執行iPhone上Stardust程式的流量分析，發現倘若使用者是以電話號碼進行登入，而非蘋果或Google帳號，那麼Stardust便會與第三方業者Mixpanel分享用戶的電話號碼。</p> <p>Mixpanel為一分析業者，可追蹤程式的使用並協助判斷程式問題，供開發者改善程式，除了電話號碼之外，Stardust亦與Mixpanel分享用戶的手機型號、作業系統版本，以及所使用的電信服務品牌。雖然Stardust並未與Mixpanel分享使用者的其它程式資料，但光是電話號碼就足以用來辨識用戶身分。此外，《TechCrunch》也懷疑Stardust的端對端加密機制是否真的安全。</p> <p>突然大紅的Stardust很快就遭到各界的放大檢視，例如它原來的隱私政策顯示該程式會蒐集諸如裝置或位置等用戶資料，也說必須遵守政府或其它實體的法律請求，但該程式在26日就更新了隱私政策，強調任何該公司被要求分享的健康資料都不會連向使用者，也都將保持匿名。</p> <p><a href="https://twitter.com/Stardusttracker/status/1541105312018595842" target="_blank">Stardust繼之在27日藉由Twitter提出了說明</a>，指出它們加密了使用者的電子郵件、電話、Apple ID，以及使用者於Stardust上的行為，在建立帳號的當下，程式便會自動產生一個僅存放於手機上的加密金鑰，因此，就算政府發出了傳票，Stardust也無法替政府生產任何東西。</p> <p>Stardust也正著手打造一個選項，讓使用者可以不需要提供任何個人身分辨識資訊，以完全匿名的方式操作程式。</p> <p>反對剝奪女性身體自主權的團體以各種方式來聲援女性，除了Stardust之外，已有不少經期追蹤程式發出聲明，誓言保障使用者的隱私與資料安全，<a href="https://www.ithome.com.tw/news/151625" target="_blank">而微軟、Google、蘋果、Amazon與Meta等科技業者則將提供旅行補助</a>，以讓女性員工到其它可提供合法墮胎醫療服務的州別就醫。</p> </div></div></div>
2022/6/28 09:58作者陳曉莉https://www.ithome.com.tw/news/151632
勒索軟體也時興抓漏獎勵？LockBit 3.0創首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>號稱是全球最大惡意程式原始碼、樣本及研究報告資源庫的vx-underground，在周一（6/27）發現知名勒索軟體Lockbit已釋出3.0版，而且還破天荒地推出了抓漏獎勵專案，鼓勵資安研究人員、白帽駭客、黑帽駭客等各路高手來尋找Lockbit 3.0、官網，以及所使用工具的安全漏洞，若能辨識其聯盟首腦的身分，就算是FBI幹員，都能得到價值100萬美元的比特幣獎勵。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-lLockBit-bug%20bounty-600-1.png" style="width: 596px;" /></p> <p><a href="http://twitter.com/vxunderground/status/1541156954214727685/photo/2" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／vx-underground</span></span></a></p> <p>Lockbit現身於2019年9月，於地下市集中提供勒索軟體即服務（Ransomware-as-a-Service，RaaS），Lockbit 2.0在去年6月出爐，它可主動偵測有價值的大型組織，號稱是加密速度最快的勒索軟體，可在3小時內加密25臺伺服器與225個工作站，迄今已成功感染數百個組織，包括<a href="https://www.ithome.com.tw/news/146157" target="_blank">去年曾向Accenture勒索5,000萬美元</a>，也是今年攻擊數量最高的勒索軟體，<a href="https://www.ithome.com.tw/news/151270" target="_blank">鴻海墨西哥工廠</a>也在今年6月傳出已淪為Lockbit 2.0的受害者。</p> <p><a href="https://twitter.com/vxunderground/status/1541156954214727685/photo/2" target="_blank">根據Lockbit駭客集團的抓漏獎勵專案內容</a>，地球上不管有沒有道德的駭客都歡迎參與該專案，獎金從價值1,000美元到100萬美元的比特幣不等，抓漏的項目涵蓋官網漏洞、Lockbit勒索軟體的漏洞、各種可以改善網站或軟體的建議、辨識開源加密傳訊軟體TOX漏洞或是Tor網路漏洞的，都歡迎提報，而只要能夠找出Lockbit聯盟首腦身分，即可得到100萬美元的獎賞。</p> <p>vx-underground也發現，Lockbit 3.0不僅鼓勵駭客騷擾受害者，也新增了所竊取資料的拍賣及銷毀功能。</p> </div></div></div>
2022/6/28 15:23作者陳曉莉https://www.ithome.com.tw/news/151655
美西銀行的實體ATM遭駭客安裝側錄裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oag.ca.gov/system/files/LS%200622-096%20ATM%20Skimming-GLBA%20Incident.pdf" target="_blank">美西銀行（Bank of the West）上周通知客戶</a>，指出駭客在該行的數個實體ATM上安裝了側錄裝置（Skimming Device），可能已盜走了用戶的簽帳卡（Debit Card）資訊。</p> <p>美西銀行為法國巴黎銀行（BNP Paribas）在美國的子公司，於美國西部及中西部擁有逾600個分行與辦公室。</p> <p>根據該行的說明，其安全團隊是在去年11月於數個ATM發現有未經授權的帳號提領嘗試，於是主動聯繫警方並著手檢查自家的ATM網路，發現駭客在數個ATM機器上安裝了側錄裝置。</p> <p>此一ATM側錄裝置可用來干預簽帳卡的交易，並記錄卡片上的號碼、PIN碼，也可能包括使用者的姓名與地址，駭客可利用所竊取的資訊來建立偽造的簽帳卡並用來領錢。</p> <p>美西銀行表示，他們在發現側錄裝置的蹤跡之後，立即移除有問題的ATM機器，以檢查這些機器是否有遭到竄改，並密切與執法機關合作，當發現可疑的帳號活動時，即會先凍結用戶的帳號，再寄送新的簽帳卡予用戶。</p> <p>該行提醒用戶應注意自己帳號的可疑活動，並向銀行回報，也強調用戶若真的因此而被盜領、盜刷或盜匯，將無需承擔責任。</p> </div></div></div>
2022/6/28 14:49作者陳曉莉https://www.ithome.com.tw/news/151653
美國與巴西扣押逾200個非法音樂下載網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西及美國政府上周發表第四波掃盪非法盜版網站的Operation 404.4行動成果，<a href="http://www.justice.gov/opa/pr/united-states-seizes-six-websites-providing-illegal-access-copyrighted-music" target="_blank">美國扣押了6個提供非法音樂串流或下載的網域名稱</a>，<a href="https://www.gov.br/mj/pt-br/assuntos/noticias/operacao-404-chega-a-4a-edicao-com-buscas-no-metaverso-suspensao-de-4-canais-e-90-videos-retirados-do-ar" target="_blank">巴西則移除了266個提供非法音樂串流服務的網站</a>。</p> <p>Operation 404行動是由巴西政府在2019年秋天所發起，為一大規模的反盜版掃盪活動，並獲得美國與英國執法機構的支援，除了首波的行動之外，隨後的行動則以Operation 404.2、Operation 404.3或Operation 404.4作為行動代號。</p> <p class="rtecenter"><img alt="" src="https://www.gov.br/mj/pt-br/assuntos/noticias/operacao-404-chega-a-4a-edicao-com-buscas-no-metaverso-suspensao-de-4-canais-e-90-videos-retirados-do-ar/operacao-404-chega-a-4a-edicao-com-buscas-no-metaverso-suspensao-de-4-canais-e-90-videos-retirados-do-ar.1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／巴西政府</span></span></p> <p>美國司法部表示，這次的行動扣押了Corourbanos.com、Corourbano.com、Pautamp3.com、SIMP3.com、flowactivo.co及Mp3Teca.ws等6個向美國網域名稱註冊商或是透過美國網域名稱註冊商註冊的網域，這些網域專門提供使用者串流或下載非法音樂，但皆已被執法機構接管。</p> <p>至於巴西的成果則更豐碩，總計移除了266個網站，刪除15個與這些網站有關的社交網站帳號，關閉了461個非法的音樂串流程式，另也逮捕了6名嫌犯，同時扣押他們所使用的電腦、硬碟、手機與伺服器等，並針對25名嫌犯展開調查。</p> <p>巴西指出，Operation 404行動主要的目的就是要打擊盜版，因為這些侵權行為每年造成了150億黑奧（約28.6億美元）的損失。此外，這些網站與程式不僅提供盜版的音樂服務，當中還有75%可能涉及竊取用戶資訊，包括電子郵件、密碼與銀行紀錄等。</p> </div></div></div>
2022/6/28 15:06作者陳曉莉https://www.ithome.com.tw/news/151654
Google Hangouts將於今年11月正式關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼於今年3月於Workspace中，直接以Google Chat作為預設聊天程式並取代Google Hangouts之後，<a href="https://blog.google/products/workspace/hangouts-to-chat/" target="_blank">本周宣布將在今年11月正式關閉Google Hangouts</a>。</p> <p>Google的通訊程式歷經多次的更迭，最早是在2005年推出Google Talk，而Google Hangouts則是2011年問世之Google+社交服務中的通訊功能，它在2013年成為獨立產品，並逐步整合Google+ Messenger、Google Talk與Google Voice。</p> <p>就在看起來Google Hangouts將成為Google的單一通訊產品之際，Google又在2017年宣布將它拆分為Hangouts Meet與Hangouts Chat，前者著重視訊會議經驗，後者定位為文字協作平臺，專攻企業市場，接著摒棄Hangouts品牌名稱，將兩項服務更名為Google Meet與Google Chat，因應COVID-19疫情的遠端協作需求，Google Meet與Google Chat先後在2020年與2021年成為免費服務。</p> <p>事實上，Google早在2019年就計畫要讓Google Hangouts退役，但它一直到今年3月才正式退出Workspace，預計今年11月就會完全退出市場，既有的Hangouts用戶將會自動被移轉至Google Chat。</p> <p>根據Google所訂定的時程，Gmail中的Hangouts會在今年7月自動切換至Google Chat，網頁版Hangouts服務則會在今年11月關閉，Google亦建議使用者在此之前可透過Google Takeout下載Hangouts資料。</p> <p>Google表示，該公司對Google Chat的未來抱有很大的野心，將替它打造現代化的整合經驗，之後幾個月將可看到更多的新功能出爐。</p> </div></div></div>
2022/6/28 10:34作者陳曉莉https://www.ithome.com.tw/news/151633
南韓最大汽車共享平臺Socar申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有南韓Uber之稱的南韓最大汽車共享平臺<a href="https://pulsenews.co.kr/view.php?sc=30800021&year=2022&no=561872" target="_blank">Socar上周五（6/24）向南韓證券交易中心遞交了首次公開發行股票（IPO）的申請</a>，計畫於今年8月登上南韓交易所（Korea Exchange，KRX），預計至少募資1,547億韓元（1.19億美元）。</p> <p>Socar成立於2011年，當時僅提供200輛汽車，經過10年的發展之後，Socar現已是南韓最大的汽車共享業者，除了提供一般民眾的叫車服務之外，也提供商業汽車租賃服務，市占率超過7成。今年第一季Socar虧損了85億韓元，低於去年同期的210億韓元的虧損。</p> <p>目前Socar的發行價未定，僅預計會落在34,000~45,000韓元之間，估計最多可創下1.6兆韓元的市值，但先前Socar的市值曾高達2.4兆韓元。</p> <p>全球股市今年表現欠佳，南韓也不例外，韓國綜合股價指數（Kospi）今年以來已下滑超過20%。</p> </div></div></div>
2022/6/28 10:52作者陳曉莉https://www.ithome.com.tw/news/151634
M2版MacBook Pro的256GB SSD跑得比M1版慢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果採用最新M2晶片的13吋MacBook Pro於上周開始出貨，<a href="https://www.youtube.com/watch?v=srnXkD5gIOk&t=69s" target="_blank">Max Tech</a>及<a href="https://www.youtube.com/watch?v=QmIcFWu0US0" target="_blank">Created Tech</a>兩個YouTube頻道迫不及待地開箱，它們比較了基於M1晶片與M2晶片的256GB SSD配置的MacBook Pro，卻發現M1版MacBook Pro的256GB SSD跑得比M2版快。</p> <p>這兩個頻道都是利用Blackmagic Disk Speed Test程式，來測試Mac儲存空間的效能與傳輸速度，其中，Max Tech發現M1 MacBook Pro的256GB SSD讀取速度為2900 MB/s，寫入速度為2215 MB/s，M2版的讀取速度為1446 MB/s，寫入速度為1463 MB/s ，意味著M2 MacBook Pro的SSD讀取速度比M1版慢了50%，寫入速度慢了30%，而Created Tech的測試結果也差不多。</p> <p>於是Max Tech拆解了M2 MacBook Pro，發現它的SSD採用單一的256GB NAND晶片，而同為256GB SSD的M1版則是採用兩個128GB的NAND晶片。NAND儲存晶片在平行時效能較佳，也會有更好的讀寫速度，涉及程式載入、檔案傳輸與資料存取速度等。</p> <p>256GB的版本為M2 MacBook Pro的入門款選項，售價為1,299美元（39,900元新臺幣），與M1版一致，但512GB版本或是蘋果送給媒體測試的1TB版本似乎都沒有此一問題。</p> <p>媒體分析，蘋果可能是為了成本或供應鏈問題，選擇變更256GB SSD的配置。然而，蘋果並未於規格上註明M2 MacBook Pro採用與M1版不同的SSD配置，而且送測的都是未受影響的1TB版本，也被外界視為是不夠誠實的作法。</p> <p>同樣採用M2的新一代MacBook Air也預計會在下個月出貨，其最低階版本也是配備256GB的SSD，外界猜測它很可能也是採用單一NAND儲存晶片。蘋果則尚未回覆外界的詢問。</p> </div></div></div>
2022/6/27 22:19作者陳曉莉https://www.ithome.com.tw/news/151631
Pi錢包加入慢點付，進入BNPL市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome旗下Pi錢包正式加入慢點付，結合行動支付、先買後付BNPL（Buy Now Pay Later）、無卡分期功能，擴大支付服務繳款彈性，向國內逾800萬無信用卡的消費族群招手。</p> <p>PChome積極布局金融科技服務，去年以21.6億元加上拍付國際股分互換方式，取得廿一世紀數位科技約一半股權及控制權，廿一世紀數位科技成為PChome旗下子公司。今天（6/27）Pi錢包加入由廿一世紀數位科技開發的慢點付功能，增加BNPL、無卡分期功能，擴大用戶使用支付工具的靈活性。</p> <p>早在4月底，Pi錢包便導入慢點付功能，至今兩個月時間，註冊用戶數增加3萬人，支付金額月增超過60%，PChome期望透過行動支付、BNPL、無卡分期建立差異化的支付服務，加上線上、線下支付應用，P幣生態圈，建構用戶新的消費支付體驗。</p> <p>PChome網路家庭集團董事長詹宏志表示，在疫情催化及電商蓬勃發展下，新世代的消費族群偏好自在的生活型態、彈性的支付選擇、資金運用方式，使得BNPL的消費模式在全球或臺灣興起。臺灣仍有逾800萬人為無信用卡族群，其中包括高收入，但無固定薪水的自由工作者，或是無法輕易辦卡的藍領工作者，使得先買後付的消費型態成為消費者支付方式的新寵。Pi錢包結合慢點付，結合行動支付、先買後付BNPL、無卡分期，提供創新的金融服務。</p> <p>廿一世紀數位科技表示，運用大數據建立信用評分模型，用戶註冊慢點付只要提供姓名、電話等簡易資料，不到10秒即時審核，完成註冊，初期提供的支付上限可能不高，但該公司強調最高可獲得5萬元的支付上限，支付的信用額度未來將隨用戶的支付習慣作調整，可用於超市超商、線上購物、百貨、餐飲、美妝藥局等通路。</p> <p>目前註冊慢點付的用戶需年滿20歲以上，根據廿一世紀數位科技分享的資料，目前註冊用戶已突破3萬人，主要年齡介於20到39歲之間，加入Pi錢包，增加支付的合作商家數量之外，今年底用戶數有機會達到10萬。</p> <p>Pi錢包目前約有135萬會員，合作的支付通路包括線上與線下約38萬店家，未來結合慢點付，進入BNPL，可望提供用戶更彈性、靈活的支付方式。</p> </div></div></div>
2022/6/27 19:44作者蘇文彬https://www.ithome.com.tw/news/151630
遠東百貨將結合Happy Go千萬會員消費數據，進一步優化會員經營及分眾行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東百貨在6月24日股東會中透露，將擴大利用集團旗下集點服務Happy Go的消費者數據，結合自家App和團購社群等數據來源，進一步推動會員經營及分眾行銷。</p> <p>遠東百貨去年先推出遠百App 3.0版本，啟動了新的會員分級制度，也增加商品兌換、查詢消費紀錄等新功能來提高顧客的資訊利用黏著度。遠東百貨在股東會資料中提到，將擴大運用龐大的Happy Go消費者數據，結合遠百App與各分公司的社群平臺資料，來推動會員經營和分眾行銷。而遠百旗下的量販店愛買，則已經開始分析Happy Go會員大數據，作為會員經營參考。</p> <p>目前Happy Go擁有超過1千萬名會員，近幾年透過點數、金流和優惠票卷等行銷手法，已經成為遠東集團打造顧客生態圈的重要平臺。發行Happy Go點數的鼎鼎聯合行銷在6月初宣布要轉型成MarTech服務業者，要打造數據、行銷和數位三大平臺。</p> <p>遠百也指出，升級改版後的遠百App在資策會2021零售電商消費者行為調查中，躍升為百貨公司App第二常用，每日開啟人次增加763%，有利於更全面的會員數據分析。未來，遠百將進一步翻新旗下各家零售接觸點的App及官網。</p> <p>除了透過會員數據分析，以推出精準行銷方案，遠百近年也推動不少數位化措施。其中又以愛買為先驅，今年導入自助結帳系統降低人力成本，並推動電子商務，不僅在Foodpanda上線，也在東森網路購物平臺推出愛買商城，未來更預計推出1天內配送到府服務及30分鐘內配送到府服務。</p> <div> </div> </div></div></div>
2022/6/27 16:50作者郭又華https://www.ithome.com.tw/news/151628
【資安日報】2022年6月27日，豐田汽車內裝材料供應商疑遭勒索軟體LockBit攻擊、美國研擬提供中小企業資安事故緊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有豐田汽車下游的零件供應商傳出遭到勒索軟體攻擊！豐田紡織專門提供汽車內裝材料業者TB Kawashima，表明旗下的泰國子公司遭到駭客入侵，而根據資安新聞網站Bleeping Computer的報導，該公司很可能是遭到勒索軟體LockBit攻擊。</p> <p>駭客針對PyPI套件發動攻擊的情況，最近又傳出相關事故，而且駭客疑似鎖定AWS帳密而來。但比較特別的是，有其中一個套件安裝時會納入另一個套件，且較其他幾個套件留存在PyPI套件庫的時間較長。</p> <p>為了協助中小企業因應層出不窮的網路安全事故，美國打算建立類似於911的緊急求助電話專線「311」，讓這些企業在遭遇資安事故時，能進行通報。有了此項新政策，對於該國相關單位後續追緝駭客，應該也會有很大的幫助。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/automotive-fabric-supplier-tb-kawashima-announces-cyberattack/"><span style="color: rgb(0, 0, 0);">豐田旗下的TB Kawashima疑遭勒索軟體LockBit攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_TBKawashima.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織針對汽車大廠豐田旗下的零件供應商下手，自今年初至今已有數起事故，汽機車軟管製造商Nichirin於6月14日遭到攻擊後，疑似又有廠商受害。</p> <p>根據資安新聞網站Bleeping Computer報導，豐田紡織旗下專門供應汽車、飛機、火車等內裝材料的TB Kawashima透露，專門經營泰國銷售業務子公司傳出在6月23日遭到入侵，但該公司宣稱豐田紡織集團的所有業務都正常運作，不受攻擊事故影響。</p> <p>而針對攻擊者的身分，勒索軟體駭客組織LockBit宣稱在6月17日，入侵了TB Kawashima的其中一臺伺服器，並於24日傍晚公布竊得的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/35822/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit寄送網站圖片著作權宣告信進行釣魚攻擊</span></a></strong></h3> <p>駭客發動網路釣魚的幌子，很可能讓對方以為會惹上麻煩遭到提告，而不疑有他開啟附件檔案。例如，資安業者AhnLab最近揭露勒索軟體LockBit的攻擊手法，駭客宣稱，收信人所屬的公司在網站上使用了侵權的圖片，要求從網站上刪除，否則將面臨法律訴訟。但這些郵件並未提及對方使用了那些侵權的圖片，而是宣稱相關資料列於附件檔案。</p> <p>假若收信人不慎開啟附件檔案，電腦就有可能遭到勒索軟體LockBit 2.0加密檔案。<a href="https://www.bleepingcomputer.com/news/security/fake-copyright-infringement-emails-install-lockbit-ransomware/">資安新聞網站Bleeping Computer指出</a>，他們最近也發現類似的釣魚郵件，攻擊者將其用於散布BazarLoader、Bumblebee等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/python-packages-upload-your-aws-keys-env-vars-secrets-to-web"><span style="color: rgb(0, 0, 0);">惡意Python套件竊取用戶的AWS帳密</span></a></strong></h3> <p>近期鎖定PyPI套件用戶的情況已有數起攻擊事故出現，且有不少是針對開發人員的AWS帳密而來。資安業者Sonatype於6月23日表示，他們近期看到5個含有攻擊意圖的PyPI套件：loglib-modules、pyg-modules、pygrata、pygrata-utils，以及hkg-sol-utils。</p> <p>其中的loglib-modules與pyg-modules特別引起研究人員的注意，因為攻擊者將它們用來竊取AWS帳密、受害電腦網路環境參數等資料；而pygrata是唯一沒有竊密功能的套件，但與過往其他的惡意PyPI極為不同，它需要搭配pygrata-utils，且在其他4個套件遭到PyPI移除後，仍存在了一段時間。</p> <h3><strong style="font-size: 22px;"><a href="https://mrd0x.com/attacking-with-webview2-applications/"><span style="color: rgb(0, 0, 0);">微軟Edge瀏覽器的WebView2應用程式可被用於繞過MFA</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/demo-37d312f018e9925377455387918adbcd.gif" style="width: 300px; float: right;" /></a>瀏覽器的渲染網頁元件不只能提供開發人員更快打造網頁應用程式，也可能成為駭客用來發動攻擊的管道。研究人員mr.d0x於6月21日公布鎖定微軟Edge的攻擊手法，滲透的主要管道是WebView2元件。他們修改了微軟提供的WebView2範例，即可透過WebView2本身的功能，將JavaScript注入網站，或是把鍵盤側錄程式植入微軟登入網頁，進而將使用者輸入的資料回傳。</p> <p>但研究人員指出，駭客不只能將WebView2用於上述攻擊，還能濫用於竊取Cookie，進而存取使用者檔案的資料夾（User Data Folder，UDF），有可能因此得以繞過雙因素驗證（MFA）機制。針對上述的發現，微軟認為使用者若是能藉由良好的使用習慣，還是有機會降低遭到濫用WebView2攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.comparitech.com/blog/information-security/school-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">2021年有67起美國各級學校的勒索軟體攻擊，有954所受害</span></a></strong></h3> <p>駭客最近3至4年大肆攻擊美國各級學校的現象，似乎有略為趨緩的現象，但原因可能是有部分學校開始強化相關因應措施。資安業者Compatitech最近公布的調查報告指出，2021年總共有67起鎖定美國各級學校的勒索軟體攻擊，結果共有954所學校受害，這樣的攻擊行動次數較2020年減少19％、受害學校少了46%。</p> <p>研究人員認為相關事故減少的原因，在於學校已對此種攻擊的準備日益充分，停機與復原系統的時間都變得更快，而使得勒索軟體駭客降低對學校下手的頻率。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://peterjson.medium.com/miracle-one-vulnerability-to-rule-them-all-c3aed9edeea2"><span style="color: rgb(0, 0, 0);">甲骨文花了6個月修補Fusion Middleware的重大漏洞</span></a></strong></h3> <p>大型IT業者對於企業軟體漏洞處理牛步，很可能使得用戶曝險時間變長。資安業者VNG的研究人員PeterJson，與另一家資安業者VNPT的研究人員Nguyen Jang聯手，在去年10月發現Fusion Middleware的漏洞，分別影響Oracle Access Manager（OAM）的伺服器端請求偽造（SSRF）漏洞CVE-2022-21497，以及影響Oracle JDeveloper的ADF Faces Framework框架元件的RCE漏洞CVE-2022-21445。甲骨文先後於今年1月的2022年第1季的例行修補、4月的第2季例行修補提供更新軟體，研究人員呼籲用戶應儘速安裝相關修補程式。</p> <p>但研究人員指控，甲骨文處理的時間過長，已經超出業界常見的90天期限。尤其是CVE-2022-21445的CVSS風險評分高達9.8分，且攻擊者無須通過身分驗證就能利用，有機會藉此接管JDeveloper，研究人員進一步調查後發現，該公司旗下的Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management，以及ADF Faces Framework開發的網站也受到影響；另一個漏洞CVE-2022-21497的CVSS評分為8.1。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/news/2022/06/22/readout-cisas-third-cybersecurity-advisory-committee-meeting"><span style="color: rgb(0, 0, 0);">美國針對網路安全事故推出311專線</span></a></strong></h3> <p>為了提供中小企業對於資安事故的幫助，美國開始有人提倡應推出類似911的專線服務。美國網路安全暨基礎設施安全局（CISA）於6月22日，在德州舉行網路安全諮詢委員會議，這是自2021年12月開始舉辦後的第3次會議，其中有項提議相當引人關注，那就是由蘋果資訊安全副總裁George Stathakopoulos提出的311全國專線，這支電話成立的目的，就是為了在資安防護上資源較為有限的中小企業，提供即時的資安訓練資源。</p> <p>此外，311專線也有機會協助當局追蹤攻擊事件──因為，許多私人企業有可能在發生事故時拒絕向政府通報，使得CISA與美國聯邦調查局（FBI）難以進一步追查駭客的行蹤。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-hacking-spree-breaches-over-40-orgs-in-a-month/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti一個月攻陷逾40個組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/06/22/defending-ukraine-early-lessons-from-the-cyber-war/"><span style="color: rgb(0, 0, 0);">不只鎖定烏克蘭！俄羅斯亦對於逾40個國家下手</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151611">【2022年6月24日】中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</a></p> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> </div></div></div>
2022/6/27 18:09作者周峻佑https://www.ithome.com.tw/news/151629
駭客利用Microsoft Edge WebView2來繞過雙因素認證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mrd0x.com/attacking-with-webview2-applications/" target="_blank">資安研究人員mr.d0x上周警告</a>，駭客將可利用Microsoft Edge WebView2來注入惡意的JavaScript，繞過雙因素認證機制，或是用來竊取Chrome所存放的Cookie。</p> <p><a href="https://docs.microsoft.com/en-us/microsoft-edge/webview2/" target="_blank">Microsoft Edge WebView2控制器</a>可讓開發人員將HTML、CSS及JavaScript等網頁技術嵌入原生應用程式中，並利用Microsoft Edge作為渲染引擎，以於程式中呈現網頁內容，將可改善桌面應用程式與網頁應用的互動。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-us/microsoft-edge/webview2/media/webview2/what-webview.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>mr.d0x表示，對駭客而言，在展開憑證或執行期間的網釣攻擊時，WebView2的最大優點在於豐富的功能，使得他決定修改既有的WebView2範例，建立各種WebView2程式以展示如何進行不同目的的攻擊。</p> <p>其中之一是利用WebView2所內建的功能，將JavaScript注入任何網站，包括惡意的JavaScript。而mr.d0x即利用一個客製化的WebView2程式，將一個鍵盤側錄程式注入微軟的合法登入頁面上，並將使用者所輸入的憑證資訊回傳遠端伺服器上。</p> <p>WebView2另一個內建功能允許開發者在使用者登入合法網站上之後，竊取使用者Cookie，由於使用者已經成功登入了，因此駭客所取得的Cookie在使用者執行期間都是有效的，等於是繞過了雙因素認證機制。</p> <p>mr.d0x也在Chrome上成功測試了利用WebView2來竊取現有使用者的所有Cookie，因為WebView2允許開發者執行既有的使用者資料文件夾（User Data Folder，UDF），而不是建立新的，而該既有文件夾即存放了所有的密碼、期間與書籤等，只要告知WebView2以既有的Chrome UDF開啟實例，之後就能汲取所有的Cookie，並將它們傳送到駭客的伺服器上。</p> <p>不過，成功的攻擊還必須先利用社交工程技術，以讓使用者同意下載與執行惡意程式，<a href="https://www.bleepingcomputer.com/news/security/clever-phishing-method-bypasses-mfa-using-microsoft-webview2-apps/" target="_blank">《BleepingComputer》取得了微軟的建議</a>，呼籲使用者應該維持良好的使用習慣，不要安裝與執行來路不明的應用程式，並且啟用Microsoft Defender或其它防毒軟體。</p> </div></div></div>
2022/6/27 14:25作者陳曉莉https://www.ithome.com.tw/news/151627
VMWare產品Log4Shell漏洞持續被攻擊，1受害者被竊取至少130GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Log4j（CVE-2021-44228，Log4Shell）漏洞自去年底揭露以來，仍不斷有攻擊者試圖尋找尚未修補的受害者<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a" target="_blank">。美國網路安全暨基礎架構安全署（CISA）及美國海岸警衛隊網路司令部（CGCYBER）聯合發出安全公告</a>，駭客近2個月仍利用VMware Horizon、Unified Access Gateway（UAC）伺服器尚未修補Log4Shell漏洞，駭入企業或政府單位。</p> <p>根據CISA與CGCYBER的安全公告，為害的攻擊者包括國家駭客（advanced persistent thereat，APT），他們是利用VMware Horizon及UAG的Log4Shell漏洞得以存取受害者網路。公告中，駭客進入一個受害組織網路後，植入了Windows下載器hmsvc.exe，它是利用Windows 合法服務（ysInternals LogonSessions軟體）加入有害程式碼，再在合法掩護下安裝，並於受害者網路內建立和外部C&C伺服器的連線以便執行日後攻擊指令。該程式甚至取得NT AUTHORITY\SYSTEM管理員權限得以執行。</p> <p>而在CISA證實的一項攻擊案例中，攻擊者進入受害者網路後在網路內橫向移動。攻擊者利用RDP（Remote Desktop Protocol）協定連向生產環境中的其他多臺主機，包括安全管理伺服器、憑證伺服器、包含敏感執法資料的資料庫，以及郵件轉接伺服器，甚至受害者的災難復原網路。攻擊者甚至取得了多個用戶帳號，包括管理員帳號。在這些被駭入的主機上，攻擊者也植入下載器程式，包括建立C&C伺服器連線的惡意程式。</p> <p>CISA相信前述攻擊事件的受害者，其實遭到多個駭客組織攻擊，而在四、五月的3周期間，光是安全管理伺服器就有超過130GB資料被傳入位於外國IP位址的伺服器。此外也在一個被駭的管理員帳號下發現包含執法調查資料的.rar檔案，估計準備要送出去。</p> <p>CISA及CGCYBER再次呼籲VMware用戶應儘速升級到最新版軟體，並建議用戶將重要服務建立在有嚴格網路周界存取控管的DMZ，在內部網路不要執行面向網際網路的不重要服務。此外也應實施多因素驗證，使用強密碼及最低權限以限制使用者存取。</p> <p>CISA五月間還針對另一個影響多個VMware 產品（Workspace ONE Access、Identity Manager等）的<a href="https://www.ithome.com.tw/news/150450" target="_blank">RCE漏洞CVE-2022-22954</a>發出<a href="https://www.cisa.gov/emergency-directive-22-03" target="_blank">緊急安全公告</a>，指出一個大型組織環境正遭到攻擊。</p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color: rgb(51, 153, 255);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/6/27 11:41作者林妍溱https://www.ithome.com.tw/news/151624
在美國最高法院推翻女性擁有墮胎權利的法案後，微軟、Google與蘋果等眾多科技業者出面捍衛女性員工權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院在上周五（6/24）推翻了1973年「羅訴韋德案」（Roe v. Wade）中，以憲法保障女性墮胎權的裁決，指出美國憲法並未賦予墮胎權，使得美國有超過20個州都打算實施禁止墮胎的法令，對此，包括微軟、Google、蘋果、Amazon與Meta等眾多的科技業者都打算提供補助，讓女性員工到可合法墮胎的州尋求服務。</p> <p>在此一裁決出爐之後，<a href="https://www.theverge.com/2022/6/24/23182288/google-letter-email-employees-roe-v-wade-decision?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Google很快就發出一封內部郵件</a>，指出對該公司而言，平等是非常重要的，他們非常關心此一裁決對人們健康、生活與職業的影響，為了支持員工與其家屬，美國地區的福利計畫與健康保險涵蓋了所居住的州之外的醫療程序，可以申請搬遷，也能尋求額外的支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/field/image/0117-google_logo_by_google-2.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><a href="https://twitter.com/BillGates/status/1540365878272790528" target="_blank">微軟創辦人蓋茲（Bill Gate）也透過Twitter表示</a>，推翻Roe v. Wade是不公正也不可接受的倒行逆施，它讓女性的生命處於風險中，特別是最弱勢的婦女。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-abortion%20right%20gates-600.png" style="width: 580px;" /></p> <p>其實在最高法院正式宣布之前，<a href="https://www.bloomberg.com/news/articles/2022-05-09/microsoft-to-cover-costs-if-workers-have-to-travel-for-abortions#xj4y7vzkg" target="_blank">微軟便曾向《彭博社》（Bloomberg）證實將提供員工旅行的補助</a>，以讓員工能夠到其它可提供醫療服務的州別尋求幫助，不管是與性別有關的服務或是墮胎服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/1028-microsoft_sign.png?itok=axB_MFhj" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.reuters.com/business/retail-consumer/amazon-reimburse-us-employees-who-travel-treatments-including-abortions-2022-05-02/" target="_blank">《路透社》（Reuters）</a>則取得Amazon的內部備忘錄，指出該公司每年將提供4,000美元的旅行支出，讓員工可至其它州進行治療，包括墮胎在內。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-amazon%20600.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p><a href="https://www.cnbc.com/2022/06/24/apple-responds-to-roe-v-wade-rollback.html" target="_blank">蘋果向《CNBC》表示</a>，蘋果一向支持自家員工的生育決定，既有的福利已經保障員工可在其它州執行醫療服務，並且已行之有年，現在也不會改變。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0128-apple_store_by_apple.jpg?itok=CU-i4JH8" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>至於Meta雖然希望員工在內部群組不要討論最高法院對Roe v. Wade的判決，以免引起爭端，影響工作士氣，但Meta也宣布，員工得以報銷至其它州執行醫療或墮胎服務的旅行支出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0203-meta_hq.jpg?itok=YwceLjmP" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>除了上述之外，包括Netflix、Uber與Salesforce都願意替員工到其它州進行墮胎的旅行支出埋單。</p> </div></div></div>
2022/6/27 12:12作者陳曉莉https://www.ithome.com.tw/news/151625
思科撤出俄羅斯、白俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼HPE/HP等科技業者之後，<a href="https://www.cisco.com/c/m/en_us/crisissupport.html" target="_blank">網路設備大廠思科也宣布</a>要撤離俄羅斯及白俄羅斯。</p> <p>思科上周表示，早在俄烏戰爭爆發後，3月3日該公司即已宣布暫停在俄國及白俄的業務活動。在那之後思科持續密切注意。現在他們決定將循序關閉兩個地區的業務。</p> <p>思科表示會確保兩地區員工獲得尊重與善待，並協助他們度過這段時期。他們也會盡全力協助烏克蘭的員工、客戶和合作夥伴，以及當地民眾及組織。</p> <p>思科表示將持續和客戶、合作夥伴及廠商直接聯繫，以便在符合美方法規和法令下盡可能解決財務問題，包括退回預先支付服務和軟體安排的費用。</p> <p><a href="https://www.ithome.com.tw/news/151383" target="_blank">本月稍早HP和HPE也分別宣布</a>退出這兩國市場。</p> <p>思科公告中未說明兩地區受影響的員工有多少。今年3月思科已經先讓這些員工放有薪假3個月。<a href="https://www.reuters.com/business/media-telecom/exclusive-cisco-wind-down-business-russia-belarus-2022-06-23/" target="_blank">路透社報導</a>思科計畫提供兩子公司的「數百名」員工遷到其他地區子公司的選項。</p> <p><a href="https://tadviser.com/index.php/Company:Cisco_Systems_Russia" target="_blank">思科今年稍早在分析師會議上說</a>，今年初以來中止俄國及白俄營運造成思科當季2億美元虧損，占思科全球總營收1.6%。2020年全年俄羅斯思科分公司營收約為370億盧布，約6.9億美元。</p> <p>這是繼HPE/HP、德國西門子、<a href="https://www.ithome.com.tw/news/151330" target="_blank">IBM</a>之後最新離開俄國市場的科技業者。微軟和Google雖然未完全關閉辦公室，但也停止了大部分的營運活動，包括<a href="https://www.ithome.com.tw/news/151535" target="_blank">微軟疑似不再允許</a>俄國境內下載Windows 10、11的更新軟體。</p> <p>此外，路透社報導，運動品牌大廠NIKE也做出了撤離的決定。</p> </div></div></div>
2022/6/27 10:23作者林妍溱https://www.ithome.com.tw/news/151621
甲骨文花了6個月修補Fusion Middleware的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://peterjson.medium.com/miracle-one-vulnerability-to-rule-them-all-c3aed9edeea2" target="_blank">兩名安全研究人員揭露</a>甲骨文Fusion Middleware的2項重大漏洞，並指後者花了6個月才修復，動作太慢。</p> <p>VNG公司的PeterJson和VNPT的Nguyen Jang去年10月發現Fusion Middleware 2項漏洞，分別為影響Oracle JDeveloper內ADF Faces framework的前遠端程式碼執行（pre-auth RCE）漏洞，以及影響Oracle Access Manager（OAM）的伺服器端請求偽造（Server Side Request Forgery，SSRF）漏洞。</p> <p>研究人員當月已向甲骨文揭露2漏洞，但甲骨文今年才修補，因此漏洞皆列為2022年。SSRF漏洞命名為CVE-2022-21497，<a href="https://www.oracle.com/security-alerts/cpujan2022.html" target="_blank">甲骨文今年1月先以第1季安全更新修補OAM中</a>。而RCE漏洞則被命名CVE-2022-21445，但是要等到<a href="https://www.ithome.com.tw/news/150562" target="_blank">4月的第2季安全更新修補</a>。距離當初通報已是6個月的事，也超出了一般標準的90天，他們認為這家軟體巨人的動作太遲緩。</p> <p>ADF Faces框架包括超過150個支援Ajax的JavaServer Faces（JSF）元件及開發框架，可用於在Fusion Middleware上開發應用程式。研究人員最初在測試攻擊中證實Oracle BI（Oracle Business Intelligence）的前遠端程式碼執行（pre-auth RCE）漏洞，該漏洞可讓未經授權的攻擊者經由HTTP連線呼叫開採，最嚴重可接管JDeveloper。這項漏洞風險值達9.8。</p> <p>但研究人員最後發現，該漏洞還影響多個甲骨文產品，包括Oracle Enterprise Manager、Identity Management、SOA Suite、WebCenter Portal、Application Testing Suite、Transportation Management。此外，而且任何以ADF Faces framework開發的網站也會受影響，這意謂包括許多甲骨文線上系統及Oracle Cloud Infrastructure。</p> <p><a href="https://testbnull.medium.com/oracle-access-manager-pre-auth-rce-cve-2021-35587-analysis-1302a4542316" target="_blank">Fusion Middleware的Oracle Access Manager（OAM）的伺服器端請求偽造（Server Side Request Forgery，SSRF）漏洞則是Jang找到</a>。OAM是單一簽入（SSO）元件。這漏洞可和CVE-2022-21497串聯起來，在OAM達成遠端程式碼執行，讓未經授權的攻擊者可經由Oracle Web Services/OAM新增、刪除或修改資料，風險值為8.1。研究人員強調這十分嚴重，因為VMWare、華為及高通都使用OAM的SSO，且甲骨文許多Oracle線上服務也使用OAM作為SSO。</p> <p>ADF framework及OAM兩漏洞皆影響Oracle Fusion Middleware 12.2.1.3.0 和12.2.1.4.0版。儘管研究人員批評甲骨文動作太慢，但甲骨文已釋出更新版，研究人員也呼籲企業用戶儘速安裝最新版本。</p> </div></div></div>
2022/6/27 10:57作者林妍溱https://www.ithome.com.tw/news/151622
針對學校發動的勒索軟體攻擊呈現下滑趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.comparitech.com/blog/information-security/school-ransomware-attacks/" target="_blank">資安業者Comparitech近日指出</a>，2021年美國總計有67起的勒索軟體攻擊美國的954所學校，攻擊次數比2020年少了19%，遭到攻擊的學校也比2020年少了46%，截至今年5月遭到勒索軟體攻擊的學校數量也在下滑中，從此一趨勢得以判斷今年的勒索軟體攻擊將較往年平靜。</p> <p><a href="https://www.comparitech.com/ransomware-attack-map/" target="_blank">根據Comparitech針對全美勒索軟體攻擊事件的調查</a>，就算學校受到攻擊的數量可能大於其它產業，但學校的停機成本是最低的，在2020年時，遭到勒索軟體攻擊的學校停機成本為72億美元，但商業領域的停機成本高達209億美元，醫療產業為208億美元，政府組織為189億美元。</p> <p>Comparitech追蹤了從2018年迄今針對學校的勒索軟體攻擊，顯示在2019/2010年達到高峰之後，鎖定學校的相關攻擊次數、平均的停機時間、恢復時間，以及停機成本都呈下滑趨勢。</p> <p>例如2018年僅有10次勒索軟體攻擊行動鎖定學校，2019年成長到96次，2020年即減少至83次，去年降至67次；平均停機時間則從2018年的5天，到2019年為6.85天，2020年為6.95天，但去年則減至4.26天；平均恢復時間在2018年為25天，2019年為41.7天，2020年為55.4天，2021年即減少至29.73天；停機成本在2018年為6.24億美元，2019年為82億美元，2020年是72億美元，2021年降至35.6億美元。</p> <p>研究顯示，去年許多學校遭到雙重勒索，駭客除了加密學校的重要文件之外，也竊取學校的機密資料並以對外公開作為要脅，而駭客所要求的贖金則介於10萬美元到4,000萬美元之間，不過，Comparitech無法評估究竟有多少學校支付了多少贖金。</p> <p>去年5月，<a href="https://www.ithome.com.tw/news/150844" target="_blank">美國已創立157年的林肯學院（Lincoln College）發出公告</a>，指出因受到疫情與勒索軟體攻擊的影響，決定關校。</p> <p>而Comparitech則說，那次的勒索軟體攻擊不僅造成林肯學校的網站停擺，波及該校的招生、招聘與募款活動，更糟糕的是，因疫情而已捉襟見肘的林肯學院，還支付了贖金，原因之一是倘若選擇自行恢復系統，所需的成本通常遠高於贖金。</p> <p>不過，研究顯示針對學校所發動的勒索軟體攻擊次數已開始減少，今年1月到5月間，駭客僅發動14次的勒索軟體攻擊行動，受害學校為221所。此外，學校的停機與恢復時間都已低於往年，應是因學校對於遭到攻擊的準備都愈來愈充分，可更快從攻擊中復甦。</p> </div></div></div>
2022/6/27 11:20作者陳曉莉https://www.ithome.com.tw/news/151623
【人物專訪：紅帽產品與技術執行副總裁Matt Hicks】為何紅帽決定將企業級Linux帶進電動車？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們的目標是要打造一個值得信賴、標準的Linux平臺，可供汽車產業在這個基礎上建構自己的汽車應用。」紅帽產品與技術執行副總裁Matt Hicks表示。這位紅帽產品最高負責人，點出了紅帽搶進未來汽車平臺建立灘頭堡的關鍵利器，正是RHEL這款企業級Linux。不只汽車業，這一步，也是紅帽布局更多邊緣場景的關鍵一步。</p> <p><span style="font-size:28px;"><strong>車用RHEL軟體也是紅帽布局產業邊緣環境的RHEL版本</strong></span></p> <p>從紅帽產業邊緣運算戰略來看，電信業是它第一個聚焦的產業邊緣運算市場，接下來就是汽車產業。而紅帽進軍汽車市場的邊緣產品策略是，先把企業級Linux環境和技術帶進汽車中，當RHEL軟體進到汽車內，以後車上就會成為新的應用程式開發環境，所以，這也是紅帽一個布局產業邊緣環境的RHEL版本。</p> <p>因為採用了和雲端RHEL一樣的開發環境，也因此能讓汽車軟體開發走向更開放架構，對於許多App開發者而言，也將大大降低汽車應用開發門檻，讓他們更容易加入汽車開發，使用現有雲端開發工具，為汽車開發各種創新應用，進而發展出新的生態系。</p> <p>隨著汽車越來越像一個裝上輪子的小型資料中心，從ADAS、自動駕駛到資訊娛樂系統，OS在汽車軟體堆疊中扮演更關鍵作用。Matt Hicks解釋，之所以決定先把企業RHEL帶進汽車，一來安全本來就是RHEL的強項，涵蓋從軟體供應鏈到Runtime執行的安全都包含在內，這些都是在汽車平臺上可以運用的地方；二來，嵌入RHEL軟體之後，也能加速汽車產業擁抱軟體化，為汽車應用程式開發和部署提供完整的生命周期，讓OEM車廠可以專注於開發嶄新應用，如自動駕駛、ADAS等，做出產品差異化，「因為有這樣一個標準平臺，才能加快OEM廠商的應用開發，將產品推出上市。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%20%E8%87%B3%E6%B5%A9-matt-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為搶進汽車產業的邊緣運算商機，紅帽也積極向大型車廠靠攏，還找上美國汽車大廠GM合作，將為其正在開發的Ultifi汽車軟體平臺打造以RHEL為基礎的車用作業系統。</strong><span style="font-size:14px;">圖片來源／GM</span></span></p> <p><span style="font-size:28px;"><strong>不只可供車廠建構新應用，更要把企業和雲端應用中實踐帶進車輛</strong></span></p> <p>Matt Hicks也表示，RHEL作為車上OS有兩個好處，首先是可以支援車用OTA，讓汽車透過OTA更新系統更具彈性，提供完整生命周期更新，且不會有更新失敗的情況；再者，RHEL將成為未來汽車零組件硬體功能交付的核心平臺介面，「我認為它會朝這個方向來發展，因此我們的目標是，將紅帽在企業和雲端應用中許多實踐，更快帶入車輛。」這也是為何紅帽決定跨入汽車產業的原因。</p> <p>不過，汽車產業原本就有開發自己的開源Linux版本，例如在Linux基金會下發展的車規等級開源Linux　(Automotive Grade Linux，AGL)，作為該產業開放標準，已經發展10年之久，迄今有Toyota、DENSO、Suzuki、Renesas等車廠，還有AWS、三星、松下等科技公司多達150個成員加入，紅帽自己也是其中一員。</p> <p>但紅帽仍決定打造自己的車用Linux產品而不直接使用AGL的原因，Matt Hicks解釋，主要在於產品差異化。他表示，紅帽正在開發的車用Linux產品，因為是以RHEL核心為基礎，未來更能確保提供完整生命周期的軟體版本更新，以滿足OEM、汽車製造商對應用開發需求，並且可在持續認證和交付的環境中，保有更新與安全功能，以符合功能性安全的法遵要求，相較之下，「對於AGL而言，這會是一大挑戰。」但他也提到，紅帽過去在AGL社群中也積極投資和參與不少重要元件或功能開發，未來也能運用到自己的車用版本。</p> <p>但身為一家企業軟體公司，想更快地切入汽車軟體市場，紅帽仍需OEM車廠或汽車製造商的配合，為此，紅帽也積極向大型車廠靠攏，例如在今年紅帽高峰會上，紅帽與美國汽車大廠通用汽車（GM）展開合作，將為其正在開發的Ultifi汽車軟體平臺打造以RHEL為基礎的車用作業系統。</p> <p>根據GM的說明，未來Ultifi軟體平臺將分三層，有底層的機電系統及軟體層、中間的平臺及OS層，以及上層的GM雲端層。其中，中間的平臺及OS層，將使用紅帽的RHEL做開發。Matt Hicks表示，待車規版RHEL完成後，將可以幫助GM能夠更快交付Ultifi車載應用軟體，幫助其加速擁抱軟體化。預計明年就能看到搭載紅帽Linux的新款GM電動車亮相。</p> <p>不過，在汽車上執行RHEL軟體，也不是一件容易的事，尤其跟一般消費性軟體相比，車用軟體必須合乎功能性安全的法規要求，所以為了符合這個要求，早從去年起，紅帽在發展自己的車用RHEL（Red Hat In-Vehicle Operating System）的同時，就已經開始為RHEL取得如ISO 26262標準等功能性安全認證提早做準備，以便將來能支援各種車上關鍵應用，包括車載資訊娛樂系統、ADAS、車輛控制和連接服務等。</p> <p>除了功能性安全外，另一個挑戰則是在應用場景，過去RHEL產品剛推出時，加入許多功能，因應各種關鍵應用任務的需求，也讓它的發展越來越肥大，但以前的應用場景比較沒有問題，因為大多是部署在雲端環境，有提供充裕資源，如大量可用的記憶體等，不過，RHEL現在要部署到邊緣層級的裝置時仍有不少挑戰，因為許多邊緣裝置的外型規格，和雲端設備完全不同，搭配的硬體也所不同，比如以往雲端環境，多是配置x86伺服器，但在邊緣端或是汽車上就並非如此。</p> <p>為了解決這個問題，紅帽採取的策略，就是讓車用RHEL版本，和以往企業級RHEL相比，變得更輕量、尺寸規格更小。他表示，車用RHEL就像是企業級RHEL的子集（subset），可安裝於汽車上，因為使用相同RHEL核心做開發，所以具有和原RHEL幾乎相同的功能，但外型規格變得更小，更能適應車上硬體要求，甚至不需要大量記憶體就能執行。</p> <p>除了正在發展更輕量、尺寸規格更小的RHEL產品，紅帽也持續加強RHEL軟體對不同硬體架構的支援能力，如Arm或Nvidia Jetsons硬體等，讓RHEL可以跑在不同硬體架構的邊緣裝置或設備上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%BA%E7%89%A9.jpg" style="width: 294px;" /></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(105, 105, 105);">紅帽產品與技術執行副總裁Matt Hicks表示，紅帽的目標是要打造一個值得信賴、標準的Linux平臺，可供汽車產業在這個基礎上建構自己的汽車應用。</span></span></strong><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／紅帽</span></span></p> <p><span style="font-size:28px;"><strong>混合雲平臺OpenShift未來也能登上汽車</strong></span></p> <p>當車子裝上RHEL OS以後，紅帽未來更考慮把混合雲平臺OpenShift放進車上，讓汽車製造商可以利用容器在汽車中編寫、部署應用程式，然後也可以利用OpenShift和K8s管理和部署他們在企業資料中心、邊緣中的容器應用，意謂著，車廠以後可用同一套管理方式管本地、雲端，甚至是汽車上的邊緣應用。</p> <p>不過Matt Hicks也坦言，目前想在車上執行OpenShift軟體，仍有不少挑戰得克服，包括硬體規格、運算能力限制，以及功能安全認證等監理要求，甚至也可能需要其他傳輸技術來配合，如5G等。這也是未來紅帽車用OpenShift落地的挑戰。「一旦克服這些限制，我們將真正成為業界第一個在Linux平臺上提供該功能的公司。」他說。</p> <p>除了依靠車廠繼續增加汽車內可用的計算能力外，紅帽預計在今年底釋出OpenShift 4.12版本中，也將提供MicroShift平臺早期測試。MicroShift就是一個輕量的OpenShift版本，MicroShift本身具有OpenShift Kubernetes核心功能，並重新打包成更小的外形規格，可以將其嵌入到更小型的邊緣裝置，即使是記憶體只有2GB的Raspberry Pi 4 Model B也能用，未來也可在車上來使用。</p> <p>Matt Hicks表示，經過瘦身的OpenShift，可以只在單一臺機器上就能部署，取得這些平臺功能以後，企業可以更容易透過它來管理和調度裝置上的容器應用。他表示，儘管車用OpenShift平臺在今年底前推出機會不大，但這天也不會太遠。「等到車上硬體和環境都準備就緒，OpenShift就有可能在車上加以實現。」</p> <p><a href="https://www.ithome.com.tw/article/151606" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span> </a><a href="https://www.ithome.com.tw/article/151606" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" style="width: 550px;" /></a></p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/news/151604
【不只電信業，未來更要搶攻汽車產業邊緣運算需求】發展2年多，紅帽混合雲產品已能全面支援邊緣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，紅帽雲端戰略開始有了截然不同的新轉變，從以往混合雲戰場大步轉向邊緣新戰地，擴大其雲端服務版圖。尤其在今年，紅帽終於在邊緣運算發展上取得更大進展，不只兩大雲端主力產品RHEL、OpenShift平臺全面落地邊緣，就連在Raspberry Pi單板電腦等邊緣裝置上都能用，意謂者，紅帽能將自己在企業和雲端應用中許多實踐，帶到更靠近資料源的邊緣處，帶來更多創新應用。</p> <p>不光是雲端主力產品的支援，紅帽更開始切入邊緣運算產業新領域，除了搶攻5G電信機房轉型需求，今年開始跨足汽車產業，為汽車軟體化需求積極展開布局，也讓傳統封閉汽車產業跨出開放第一步。第一個登上電動車的紅帽雲端主力產品就是企業級RHEL，紅帽要把雲端Linux作業系統，轉為汽車平臺也能用的車載OS。預計明年就能看到搭載紅帽Linux OS的首款電動車亮相。</p> <p><span style="font-size:28px;"><strong>不同於雲端巨頭邊緣策略，紅帽從Kubernetes層管理需求布局邊緣</strong></span></p> <p>從這家公司邊緣發展策略來看，紅帽早從2019年起就已經展開布局，而且不同於其他雲端巨頭，該公司一開始便從Kubernetes層管理需求角度切入，要把混合雲的容器管理與調度能力，更進一步延伸到邊緣端。</p> <p>即使被IBM收購以後，公司換了新任CEO，紅帽仍持續擁抱邊緣運算，甚至更加積極。經過2～3年發展，到了2021年時，邊緣已成為了這家公司開放混合雲戰略重要一環。</p> <p>紅帽搶攻邊緣運算第一步，先從企業級RHEL與OpenShift混合雲平臺落地邊緣做起，接著擴大延伸到其他雲端產品，也加入支援行列，如Ansible自動化平臺等，藉此將雲端技術、K8s容器平臺，擴展到更靠近資料所在的邊緣環境，目標要通吃實體伺服器、VM、混合雲，以及邊緣應用。</p> <p>為何不只容器技術，紅帽更積極將Kubernetes容器管理平臺帶進邊緣？</p> <p>紅帽產品與技術執行副總裁Matt Hicks解釋，如果是在RHEL上部署容器，只能用於靜態的容器應用程式，沒辦法根據容器執行需求動態改變其大小，若要編寫更複雜的容器應用程式到邊緣執行，就需要借助如服務網格（Service Mesh）等微服務架構，來管理這些複雜容器應用，這時候，Kubernetes就能派上用場，「因為Kubernetes可以允許用戶更動態地利用容器，可將多容器組合以形成單個應用程式，並進行管理。」所以，為了支援各式各樣邊緣應用，就需要把Kubernetes推向邊緣。</p> <p>從近兩年紅帽用戶大會上，可以看見紅帽雲端產品發布轉向邊緣發展，像是去年用戶大會上，紅帽一改以往聚焦混合雲產品策略的作法，反而更重視邊緣功能和服務進展，今年4月舉行用戶大會時，紅帽雲端主要產品更新，也都圍繞邊緣端功能與服務更新，提供更多的支援或增強功能，甚至在新推出RHEL 9.0版中，紅帽更宣稱，已能提供全面的邊緣管理。</p> <p><span style="font-size:28px;"><strong>紅帽邊緣運算服務，聚焦三種不同Edge層應用需求</strong></span></p> <p>紅帽對邊緣產品或服務也有一套劃分方法，對應到三種不同應用場景的邊緣層，涵蓋從最外圍也最遠的邊緣位置到核心資料中心邊緣，分別是生產線邊緣層（含邊緣伺服器或閘道器在內的裝置邊緣層，與基於邊緣基礎架構的用戶端邊緣層）、提供者邊緣層（含遠端邊緣、存取邊緣及聚合邊緣)，以及企業邊緣層（含核心或區域級資料中心）。</p> <p>不同邊緣層的應用場景，對應到的邊緣服務也有所不同，比如在生產線邊緣層，邊緣運算硬體資源是有限的，因此針對這類型設備，紅帽就有提供了輕量的邊緣RHEL作業系統，邊緣容器平臺MicroShift、以及單節點OpenShift部署型態，可供企業在這些邊緣設備上安裝。又如在提供者邊緣層方面，因為是屬於通訊為主的邊緣設備，就會以支援5G電信邊緣應用的相關技術提供為主。</p> <p>紅帽表示，目前已能提供大部分邊緣運算產品，對應這三種邊緣層需求，未來2年將持續深化各種邊緣應用及創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-EDGE-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>紅帽從雲端延伸而提供的邊緣運算服務，其涵蓋範圍也相當廣，從核心資料中心到最遙遠的邊緣位置都是其服務範疇，主要聚焦三個邊緣層領域，最外圍是Operations edge層（包含邊緣伺服器或閘道器在內的裝置邊緣層，及邊緣基礎架構的用戶端邊緣層）、中間是Provider edge層（含Far edge、Access edge以及Aggregation edge），還有最內圈的Enterprise edge 層（含核心或區域級資料中心）。</strong>圖片來源／紅帽</span></p> <p><span style="font-size:28px;"><strong>紅帽兩大雲端主力產品落地邊緣</strong></span></p> <p>從紅帽邊緣產品發展策略來看，RHEL與OpenShift這兩大紅帽雲端主力產品，經過2年多，歷經多版本更新後，不但功能越來越完整，到今年，甚至已經可以支援包含部署、管理和維運在內的全套功能。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>企業級Linux作業系統RHEL的邊緣布局</strong></span></span></p> <p>以企業RHEL來說，紅帽早從2020年底推出RHEL 8.3時，就開始支援邊緣運算功能，像是在系統映像的作法上，8.3版RHEL支援混合映像與軟體套件封裝工具rpm-ostree，可簡化RHEL映像檔的製作，來加快RHEL在邊緣端部署。以OTA升級更新時，可針對異動程式做更新，不用每次更新都得重新安裝，更新檔只包含RPM軟體程式，除了減少取得更新所需的時間和頻寬，也較不受網路不穩或低頻寬影響。</p> <p>當RHEL作業系統更新或發生故障時，還有提供倒回（rollbacks）機制，可以自動恢復更新之前的狀態，以避免因為不必要的停機，而影響邊緣設備上關鍵服務、應用程式或系統運作。</p> <p>不過，RHEL初期僅能提供部分邊緣部署或管理功能，還沒辦法做到對邊緣環境完整的支援。</p> <p>緊接著隔年發布的RHEL 8.4中，該公司更進一步將整個平臺打造成輕量、生產環境等級的作業系統，以支援邊緣環境的部署，包括增加新的Linux容器、部署與管理功能，因應擴大使用邊緣運算的需求。其中一個重要的發布，就是更新開源容器引擎Podman，讓它不只能管混合雲中的容器，還一併將邊緣中的容器納管，並可自動更新容器功能，例如OS更新、配置或內容更改等，都能在單一控制介面中來管理，透過這樣的方式，讓整個工作流程越來越自動化，更容易實現邊緣端生命周期的管理。</p> <p>不僅如此，即使是無網路環境下，企業也能使用RHEL 8.4內建的Image Builder工具，來快速提供邊緣架構包含裸機在內的作業系統映像的安裝與部署，還支援了更輕量的UBI映像檔安裝方式，用戶可通過在Linux容器內執行小型RHEL實例，將RHEL安裝在較低規格硬體的邊緣設備上。</p> <p>下一個版本更新中，紅帽加入許多自動化和管理工具，來簡化及改善邊緣管理和部署方法，而且該版本的RHEL開始提供大規模邊緣部署的功能。</p> <p>除了原本已有邊緣部署和管理功能外，紅帽持續加強邊緣端安全性，像是今年5月推出RHEL 8.6版本中，就針對邊緣運算裝置的註冊方式（onboarding），提供了FIDO裝置註冊（FIDO Device Onboard）新功能，可以協助處理邊緣運算裝置上的RHEL映像檔自動建立及註冊程序等。</p> <p>到了9.0版推出時，RHEL對於邊緣環境管理功能更加全面，整合多功能，例如建立與管理邊緣系統映像、自動建立系統、檢視系統運作狀態是否正常，以及安全性的矯正等機制。該版本更增添Podman自動化容器倒回機制，當偵測到邊緣設備上容器更新失敗時，就會自動回復到之前最後的良好組態，避免影響其服務。</p> <p>不僅如此，還支援在邊緣大規模導入自動化，完成跨邊緣的叢集部署。在邊緣基礎架構管理也獲得加強，包括強化單一介面的安全與控制管理，如零接觸安裝（zero-touch provisioning）、系統狀態管理及漏洞緩解等。</p> <p>在RHEL 9還有另一個重要特色，就是引進關鍵作業系統功能即服務（key operating system functions as services），在新的Image Builder服務中，以往企業組建邊緣運算設備所需執行的RHEL系統映像，須透過內建的Image Builder工具來進行，接著再搭配其他支援後續管理作業的系統，現在透過Image Builder即服務，既不需要區分成初期建置與後續管理的作法，也不用依賴企業內部環境設置與維護的相關基礎架構，就能產生各種系統映像，可以省去企業用戶不少在邊緣端部署和管理作業。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>混合雲管理平臺OpenShift的邊緣布局</strong></span></span></p> <p>比RHEL支援邊緣更早一步，紅帽2019年發布新版OpenShift 4時，就已經為發展邊緣運算進行布局，第一步就是支援了Knative與Istio兩大開源技術專案，以加速Kubernetes落地邊緣。前者是由Google所建立並開源釋出的無伺服器管理專案，方便開發者在K8s上建立、部署和管理以無伺服器事件觸發為主的邊緣應用；後者，則是由Google、IBM及Lyft主推的微服務平臺Istio，能在K8s上來管理採用微服務架構的邊緣運算叢集，用以解決大量容器化邊緣應用帶來的網路溝通問題。</p> <p><span style="font-size:28px;"><strong>克服邊緣環境受限的挑戰，推出三種容器平臺部署方式</strong></span></p> <p>從OpenShift 4.5推出後，紅帽持續擴大容器平臺在邊緣部署能力，並在4.5、4.6、4.9版中，陸續提供三種全新部署方式，來克服邊緣環境空間或資源不足的部署限制，像是為了解決邊緣實體空間不足，企業能採用三節點叢集架構來部署，在邊緣環境建立OpenShift平臺時，只需用原本部署節點數的五分之三，也就是3臺伺服器，就能建立完整OpenShift執行所需的環境，並維持高可用性。採用三節點OpenShift部署方式時，每個節點最少需配置6顆CPU、24GB記憶體及120GB儲存空間。部署的形式，除了採用容器，也支援VM部署方式，並統一透過Kubernetes管理。</p> <p>還有一個遠端工作節點（Remote Worker Nodes）部署型態在後續版本推出，讓用戶可以將管理節點放在一個集中式的機房，或是一個在遠端機房建立一個管理各地所有Worker節點的管理節點，採用這種部署管理的架構，特別適合用於密集型的5G電信網路邊緣架構，如5G電信基地臺的中央單元（CU）及分散式單元（DU）等，可透過跨邊緣集中節點來進行管理。</p> <p>隨著OpenShift改版更新，持續加強對邊緣功能的支援，去年紅帽用戶大會會後一場全球媒體線上活動中，紅帽執行長Paul Cormier就明白表示：「OpenShift現在已經是一個邊緣運算平臺了」。</p> <p>甚至去年底4.9版推出時，OpenShift部署方式變得更加多元，除了前面提到的兩種部署型態，紅帽推出第三種部署方式，採用單節點OpenShift部署方式，比起傳統三節點叢集的部署作法，只要單臺伺服器，就能完成整個環境部署，不僅節省實體空間，也因此提高部署彈性。在單節點OpenShift中，因為同時整合控制層（control plane）和工作層（worker planes）節點的功能，所以可以自行獨立運作，不需要透過集中的Kubernetes控制層來管理，即使遇到網路中斷也不怕。適合5G行動通訊基地臺、廠區現場生產設備的應用場景。</p> <p>在最新OpenShift 4.10版本中，紅帽引進更自動化的邊緣部署方式，使OEM廠商可以使用零接觸安裝作法，將邊緣設備上所需建立OpenShift容器平臺組態和設定加以自動化，來加快工廠端的部署。另外，在管理上，能支援更多叢集節點管理，最多可以同時管理2,000個單一節點OpenShift叢集，並可透過容器儲存服務OpenShift Data Foundation管理叢集資料。</p> <p>不只有自動化邊緣部署，還要能做到自動維運。像是紅帽自動化平臺Ansible，後來可支援邊緣工作自動化，用於邊緣的自動化維運；而另一個紅帽數據服務，也能跨核心資料中心與邊緣的數據儲存、分析和數據分散處理。</p> <p>除了部署和自動化維運，紅帽接下來在OpenShift 4.12版推出時會提供一個瘦身OpenShift版本，以便將混合雲平臺推向更小型的邊緣裝置，即使只有配備雙核處理器，或搭配2GB記憶體的Raspberry Pi單板電腦也能用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-OpenShift-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了支援多種邊緣應用場景，OpenShift在邊緣環境提供三種部署方式，三節點叢集、遠端工作節點，而新推出的單節點OpenShift，比起傳統三節點叢集的部署方式，只需單臺伺服器，就能完成整個環境部署，除了較不占用實體空間，也因為在單節點OpenShift環境中，同時整合控制和工作節點的功能，因此可以獨立運作，不需要透過集中的Kubernetes控制層來管理，即使遇到網路中斷也不怕。適合5G行動通訊基地臺、廠區現場生產設備的應用場景。</strong>圖片來源／紅帽</span></p> <p><span style="font-size:28px;"><strong>兩大雲端產品全面支援邊緣後，紅帽全力搶攻產業邊緣應用需求</strong></span></p> <p>上述兩大產品在邊緣場景推出的部署、管理與自動化維運功能，現在都成為了紅帽把更多雲端產品和服務落地，搶攻產業邊緣需求的重要關鍵功能。</p> <p>全面落地支援邊緣管理以後，紅帽更進一步從垂直產業布局邊緣運算。去年用戶大會上，紅帽還發起一項Red Hat Edge啟用計畫，要把紅帽一系列混合雲產品加速擴展到邊緣，不光是要建立完整邊緣軟體堆疊架構，還要推出適合不同產業的邊緣解決方案及客製服務，涵蓋電信、運輸、智慧汽車以及企業邊緣設備等。</p> <p>而Red Hat Edge計畫的骨幹，就是紅帽雲端主力產品，包括企業級Linux OS、混合雲平臺OpenShift 、Ansible自動化平臺、基礎安全與多雲安全等，來滿足各產業在邊緣場景下應用需求。</p> <p>電信業是紅帽第一個搶攻的邊緣運算應用產業，結合自家邊緣運算產品及服務，提供電信業做運用，如英國電信商Vodafone在5G電信網路架構中使用的MEC邊緣設備及其環境建置，就是導入其邊緣產品方案，如OpenShift等。</p> <p><span style="font-size:28px;"><strong>瞄準傳統封閉汽車產業，要把雲端Linux落地推向汽車平臺</strong></span></p> <p>在今年4月舉行的用戶大會上，紅帽更擴大布局邊緣產業，不光是電信業，紅帽更揭露，下一步瞄準傳統封閉汽車產業，作為該公司布局更多邊緣運算場景的新戰略。</p> <p>尤其近兩年，全球汽車產業興起一股軟體定義汽車（Software Define Vehicle，SDV）的風潮，如同過去軟體定義化掀起機房革命，將運算、儲存、網路功能從專屬硬體中抽離，並以軟體方式在x86伺服器來執行，如今這股軟體定義風潮，吹向汽車產業，越來越多車廠擁抱SDV技術，要打造軟體化汽車。</p> <p>這樣一股浪潮下，成了紅帽搶進汽車產業邊緣應用需求的另一股推力。紅帽終於決定出手，一出手就是要把企業級Linux環境和技術全部帶進汽車。</p> <p>作為進軍汽車產業布局邊緣的第一步，紅帽找上美國汽車大廠通用汽車（GM）來合作，將在其新一代GM電動車內，內建紅帽車用Linux作業系統，作為其端到端Ultifi汽車軟體平臺的OS。首部搭載紅帽Linux OS的汽車，最快2023年推出。</p> <p>對於通用汽車來說，未來更希望透過採用紅帽Linux和標準化雲原生技術，減少跨平臺整合和軟體成本，並改善開發周期、加速產品上市時間，以及能夠提供創新的服務、商業模式。</p> <p>紅帽表示，有了這套車用OS，除了能提供完整生命周期更新與功能性安全認證，來支援各種車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等，未來將作為汽車硬體功能交付的核心平臺介面，協助車廠加快應用開發與服務創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94_%E8%87%B3%E6%B5%A9-GM-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>美國汽車大廠通用汽車明年即將推出的新一代電動車中，將使用紅帽車用RHEL，作為其Ultifi端到端汽車軟體平臺的OS，未來可提供完整生命周期更新與功能性安全認證，來支援車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等。根據GM的說明，Ultifi軟體平臺將分三層，有底層的機電系統及軟體層、中間的平臺及OS層，以及上層的GM雲端層。中間的平臺及OS層，未來將採用紅帽的RHEL為基礎做開發。</strong>圖片來源／GM</span></p> <p><a href="https://www.ithome.com.tw/article/151606" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span> </a><a href="https://www.ithome.com.tw/article/151606" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" style="width: 550px;" /></a></p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/news/151605
紅帽邊緣運算新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1083-feng_mian_gu_shi_-1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=mP9-vk1_" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年多布局，紅帽今年終於在邊緣運算發展上取得更大進展，兩大雲端主力產品全面支援邊緣應用，紅帽新戰略更切入產業邊緣運算新領域，不只搶攻5G電信機房轉型需求，更要翻轉汽車產業，紅帽搶進未來汽車平臺建立灘頭堡的關鍵利器，正是RHEL這款企業級Linux</p> <p> </p> </div></div></div>
2022/6/27 07:00作者余至浩https://www.ithome.com.tw/article/151606
【資安週報】2022年6月20日至24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，中國駭客的攻擊行動有數起事故，尤其是最近2年出現的新駭客組織ToddyCat、Tropic Trooper，前者大肆針對政府與軍事單位，利用Exchange Server漏洞發動攻擊，研究人員指出，除了在2021年2月至3月初，駭客鎖定了ProxyLogon做為入侵受害組織的管道，至於其他攻擊行動利用的Exchange Server漏洞，仍有待進一步確認。</p> <p>駭客組織Tropic Trooper在攻擊行動裡，使用了透過程式語言Nim打造的惡意程式Nimbda，來投放Shell Code與其他的作案工具，進而在受害電腦收集多種環境資訊。此外，這些駭客加密作案工具的手法也相當複雜，而使得研究人員調查更為困難。</p> <p>另一個由中國駭客APT41與APT10發起的攻擊行動也相當特別。一般來說，駭客植入木馬程式通常是偷偷摸摸，但這次兩個駭客組織卻是大張旗鼓發動勒索軟體攻擊，來讓受害組織將心力集中在這類攻擊行動，而有可能忽略駭客實際上的目的，是要散布木馬程式並從事間諜活動。</p> <p>網路間諜公司RCS Lab與電信業者聯手的攻擊行動陸續引起研究人員關注，但研究人員認為，利用這種商業間諜軟體監控特定人士手機的攻擊者，很可能就是當地政府，而使得電信業者也參與了攻擊行動。</p> <p>而在烏克蘭戰爭相關的網路攻擊行動裡，俄羅斯駭客將目標擴及曾經幫助烏克蘭的盟友，繼5月Killnet大肆攻擊義大利後，該組織旗下的駭客Legion – Cyber Spetsnaz RF疑似開始攻擊立陶宛。</p> <p>駭客發動勒索軟體攻擊的目標，通常是針對受害組織的電腦或是伺服器下手，但雲端的檔案共享服務也可能被駭客鎖定。有研究人員揭露針對SharePoint、OneDrive等服務攻擊手法，使得受害者即使藉由檔案多版本的備份功能，也難以恢復資料。</p> <p>存在Log4Shell漏洞的遠距工作平臺VMware Horizon仍是駭客偏好的攻擊目標！在本週的新聞裡，不只傳出有勒索軟體攻擊，也使得美國對於這樣的態勢再度提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/toddycat/106799/"><span style="color: rgb(0, 0, 0);">駭客組織ToddyCat鎖定臺灣、越南等國政府機關，利用Exchange漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT_ToddyCat_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基在6月21日揭露新的國家級駭客組織，該組織專門攻擊亞洲及歐洲的微軟Exchange Server用戶，值得關注的是，臺灣、越南政府機關是其主要攻擊目標。</p> <p>研究人員自2020年底發現其活動，並將這個駭客組織命名為ToddyCat，攻擊目標為Exchange Server歐洲及亞洲用戶，專門鎖定高知名度組織，包括政府、軍事單位，以及軍方外包商。該組織第一波攻擊時間，是在2020年底到2021年2月之間，且臺灣與越南有3個組織的一些Exchange Server遭到攻擊。隨後的2月底到3月初，駭客更是積極開始鎖定ProxyLogon漏洞，攻擊歐洲及亞洲組織。</p> <p>這些駭客入侵Exchange Server後，會部署名為中國菜刀（China Chopper）的Web Shell，最後在受害組織的網路上植入後門程式Samurai，以及木馬程式Ninja Trojan，以便進行橫向移動及遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/chinese-actor-takes-aim-armed-with-nim-language-and-bizarro-aes/"><span style="color: rgb(0, 0, 0);">駭客組織Tropic Trooper使用Nimbda惡意程式發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tropic-Trooper-Nimbda-1.jpg" style="width: 300px; float: right;" /></a>駭客利用新的程式語言打造惡意程式，進而規避資安系統偵測的情況，最近又有相關攻擊行動出現。資安業者Check Point揭露中國駭客組織Tropic Trooper近期的攻擊行動，駭客假借提供SMS Bomber程式的名義，偷渡名為Nimbda的惡意程式載入工具，此軟體是透過Nim程式語言打造而成。</p> <p>攻擊者利用Nimbda在後臺將Shell Code注入記事本（Notepad.exe）的處理程序，從GitHub儲存庫下載惡意程式Yahoyah的變種，並將其解密後，利用挖空處理程序（Process Hollowing）的注入手法，透過dllhost.exe執行此惡意程式，收集受害電腦鄰近的無線網路SSID，以及特定的電腦資訊。</p> <p>研究人員指出，駭客加密Yahoyah的手法相當特別，該組織透過兩輪的AES演算法倒序作業，而被研究人員稱做AEES。研究人員指出，這種加密手法使得資安人員要解析惡意程式的難度大幅提升。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader"><span style="color: rgb(0, 0, 0);">中國駭客透過勒索軟體攻擊掩人耳目，在受害組織植入木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png" style="width: 300px; float: right;" /></a>駭客發動勒索軟體攻擊的動機千奇百怪，但最近有人目的竟是為了轉移焦點，讓受害組織忽略他們真正的攻擊意圖。資安業者Secureworks發現，中國駭客組織APT10（該公司稱為Bronze Starlight）、APT41（Bronze Riverside）於去年初，開始利用惡意軟體載入器HUI Loader，入侵受害組織後開始投放勒索軟體，而該組織使用的勒索軟體相當多元，包含了LockFile、AtomSilo、Rook、Night Sky，以及Pandora。</p> <p>但詭異的是，這些勒索軟體在受害組織活動的時間都很短，像是Night Sky僅有一天，而時間最長的是AtomSilo，但不超過3個月；再者，則是駭客攻擊的受害組織不算多，一年多總共加起來僅有21個。</p> <p>經研究人員的調查，有四分之三的攻擊行動與中國政府的利益相關，且這些駭客所使用的工具與基礎設施疑似也來自中國政府資助，他們推測該組織發動勒索軟體攻擊的目的並非向受害組織要錢，而是打算利用這樣的攻擊事故掩蓋網路間諜行動。研究人員指出，對於駭客來說，發動勒索軟體攻擊不只能誤導受害組織因應攻擊事件的方向，還可以藉由這類工具湮滅相關證據。</p> <h3><strong style="font-size: 22px;"><a href="https://en.lookout.com/blog/hermit-spyware-discovery"><span style="color: rgb(0, 0, 0);">安卓間諜軟體Hermit被用於攻擊敘利亞、哈薩克、義大利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/62aa6928dfd9601a766e7d80_cvmbpc1dDf19kvaVqOb6-7b8HVSYmmuSFXhmNEJd-p67RAdrMOBIIgFW9GLQCKZ_BzNvdu8ujKASE-HNAzYevYpR8_rhW6BnoVq4pWrU7ROLAF-_q1S1rYd8QinxpGcxx3nJm5wgnz81ls9IIg.png" style="width: 200px; float: right;" /></a>上個月Google公布<a href="https://www.ithome.com.tw/news/151068#cytrox">網路間諜公司Cytrox利用數個零時差漏洞對安卓手機下手</a>，又有研究人員揭露其他間諜軟體的態勢。資安業者Lookout指出，他們發現義大利網路間諜公司RCS Lab與電信業者Tykelab Srl聯手，開發的間諜程式Hermit，自2019年開始在敘利亞、哈薩克、義大利等國下手，鎖定安卓與iPhone手機發動攻擊。其中，研究人員在今年4月，看到哈薩克政府疑似用來對當地民眾進行監控。</p> <p>此間諜程式散布的管道，很可能是透過簡訊，並引誘使用者點選連結，駭客宣稱提供三星、Oppo，以及Vivo等廠牌推出的應用程式，但實際上若是使用者照做，手機就會被植入Hermit。此惡意軟體的功能，與其他網路間諜公司的產品類似，具備側錄使用者的聲音、收集聯絡人資訊、照片的能力。研究人員呼籲，使用者要對於簡訊連結特別提防。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/"><span style="color: rgb(0, 0, 0);">網路間諜公司疑似與ISP狼狽為奸，攻擊義大利與哈薩克手機用戶，但背後原因很可能是當地政府主導</span></a></strong></h3> <p>網路間諜公司無所不用其極想要為客戶監控特定人士的行蹤，但現在傳出有網路服務業者（ISP）參與其中，誘導受害者下載惡意程式。Google旗下的威脅情報小組，最近揭露了義大利網路間諜公司RCS Labs涉案的攻擊行動，該行動鎖定義大利與哈薩克的手機用戶展開攻擊，但研究人員發現，駭客針對iPhone用戶攻擊的過程裡，ISP竟然參與了部分行動，這些ISP疑似關閉受害者的行動網路服務，而能讓駭客假借恢復電信網路的名義，引誘受害者下載惡意程式。</p> <p>根據研究人員的分析，受害者下載的檔案含有6款攻擊程式，這些惡意軟體利用了4個已知漏洞與2個零時差漏洞（CVE-2021-30883與CVE-2021-30983），一旦成功植入受害手機，駭客將能存取記憶體、安裝程式，或是建立檔案。由於iOS使用者只能透過App Store下載軟體，RCS Labs濫用了Apple Developer Enterprise Program簽章來繞過相關限制。</p> <p>而針對安卓手機的部分，研究人員看到駭客假借提供三星應用程式的名義，來散布RCS Labs的間諜程式Hermit，這樣的發現與資安業者Lookout相同。但為何ISP會配合駭客從事網路間諜行為？研究人員認為，義大利與哈薩克的網路間諜攻擊行動很有可能是當地政府主導，而使得這些業者必須配合。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lithuania-warns-of-rise-in-ddos-attacks-against-government-sites/"><span style="color: rgb(0, 0, 0);">鎖定立陶宛政府的DDoS攻擊大幅增加，疑為俄羅斯的報復行動</span></a></strong></h3> <p>自歐美多個國家於4月底提出警告，俄羅斯駭客不再只是集中火力攻擊烏克蘭，而是將範圍擴及曾經幫助烏克蘭的盟友，此後義大利在5月陸續遭到俄羅斯駭客組織Killnet的DDoS攻擊，但現在又有其他國家疑似遭到鎖定。</p> <p>立陶宛國家網路安全中心（NKSC）於6月23日提出警告，指出針對該國政府單位的DDoS攻擊急劇增加，當地的運輸單位、金融機構，以及其他大型組織一度出現服務暫時中斷的現象，他們呼籲關鍵基礎設施要遵循NKSC的防護建議，來因應相關攻擊行動。</p> <p>但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，名為Legion – Cyber Spetsnaz RF的俄羅斯駭客組織，透過Telegram頻道宣稱要對許多立陶宛組織發動攻擊，這些組織包含了大型銀行、物流業者、機場、能源業者等。該新聞網站認為，此駭客組織疑似因立陶宛政府封鎖部分俄羅斯的運輸管道，而打算藉此採取報復行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/russian-govt-hackers-hit-ukraine-with-cobalt-strike-credomap-malware/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28也使用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-credomap.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-credomap.png" style="width: 300px; float: right;" /></a>俄羅斯駭客利用Follina漏洞（CVE-2022-30190）對烏克蘭發動攻擊的現象，可說是越來越氾濫，先前有駭客組織Sandworm自4月開始利用上述漏洞，但現在有更多有更多攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月20日發布資安通告，指出俄羅斯駭客組織APT28利用戰爭警報的名義，散布名為Nuclear Terrorism A Very Real Threat.rtf的惡意檔案，受害者一旦不慎開啟，電腦將會下載HTML檔案並執行JavaScript指令碼，並觸發Follina漏洞，進而植入惡意程式CredoMap。</p> <p>CERT-UA也發現另一組利用Follina漏洞的駭客UAC-0098，他們假借烏克蘭政府財政部的名義，宣稱對方尚未繳稅，發送Imposition ofpension.docx的檔案，進而於受害電腦投放Cobalt Strike的Beacon。由於烏克蘭戰爭尚未結束，上述的釣魚郵件攻擊可能會不斷發生，CERT-UA呼籲關鍵基礎設施的員工應特別提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-dfscoerce-ntlm-relay-attack-allows-windows-domain-takeover/"><span style="color: rgb(0, 0, 0);">研究人員揭露新的NTLM中繼攻擊手法DFSCoerce</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/174439536-0c68649c-e144-4fed-b3a9-137017fd58aa.png" style="width: 300px; float: right;" /></a>去年7月<a href="https://www.ithome.com.tw/news/145919">研究人員公布名為PetitPotam的漏洞</a>，攻擊者可藉由微軟的加密檔案系統遠端協定（EFSRPC），來發動NTLM中繼（NTLM Relay）攻擊，如今又有新的管道能發動類似的攻擊。</p> <p>研究人員Filip Dragovic近期公布名為DFSCoerce的攻擊手法，並提供概念性驗證（PoC）攻擊指令碼。這個指令碼同樣是透過利用PetitPotam漏洞為基礎打造，但不同的是這次研究人員沒有使用EFSRPC，而是利用了Windows分散式檔案系統（DFS）通訊協定MS-DFSNM，來達到發動NTLM中繼攻擊的目的。</p> <p>關於上述的攻擊指令碼，資安新聞網站Bleeping Computer接到其他研究人員的通報，這些研究人員表示，這個手法確實很容易讓權限不高的使用者成為網域管理員。該新聞網站呼籲，組織應透過微軟先前針對PetitPotam漏洞的緩解措施，來防範類似的NTLM中繼攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-discovers-potentially-dangerous-microsoft-office-365-functionality"><span style="color: rgb(0, 0, 0);">駭客有可能更動Office 365配置讓多版本備份失效，並對OneDrive、SharePoint用戶發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-06-14 at 3_55_33 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-14%20at%203_55_33%20PM.png" style="width: 300px; float: right;" /></a>在防範勒索軟體的威脅態勢裡，不少資安人員會建議透過雲端的檔案共享服務來備份資料，來增加重要資料的可用性，一旦遭到相關攻擊，有機會從這些服務提供的多版本備份功能來復原檔案，然而最近有研究人員找到能針對這類系統用戶發動勒索軟體攻擊的手法。</p> <p>資安業者Proofpoint指出，他們針對Office 365（或Microsoft 365）的服務裡，發現了潛藏危險的機制，使得駭客可加密儲存在SharePoint或OneDrive服務裡的檔案，同時因為多版本備份功能失效，使受害者在無法復原檔案，向駭客支付贖金來換取解密金鑰。</p> <p>為什麼會發生這樣的狀況？攻擊者可藉由微軟的API、CLI指令碼，或是PowerShell指令碼，先是挾持組織部分用戶的SharePoint或OneDrive帳號並進行接管，然後竄改系統保留先前版本的數量上限配置。以OneDrive為例，通常預設是500個版本，但在這邊駭客會把保留版本數量竄改成1個，然後攻擊者再對檔案進行2次的加密處理，使得SharePoint或OneDrive上存放的檔案，以及保留的先前版本都遭到加密，受害者無法將檔案復原。</p> <p>該公司指出，上述手法主要影響存放於雲端服務的檔案，若是企業採用混合雲模式部署SharePoint，或是使用者透過用戶端軟體留存OneDrive的檔案，就有機會倖免於難。他們將上述發現進行通報，微軟表示，檔案版本的組態配置功能運作正常，若是用戶無法自行復原檔案，透過該公司客服亦有機會還原14天前的版本。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/06/avoslocker-new-arsenal.html"><span style="color: rgb(0, 0, 0);">勒索軟體AvosLocker利用Log4Shell漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AvosLocker-Partnership.png" style="width: 300px; float: right;" /></a>自Log4Shell漏洞於去年年底被揭露後，不時有駭客鎖定採用Apache Log4j元件的遠距辦公系統VMware Horizon下手，而最近也有勒索軟體駭客跟進而引起研究人員關注。</p> <p>思科在3月7日，接獲客戶遭到勒索軟體AvosLocker攻擊的事故通報，而駭客入侵受害組織的媒介，就是經由VMware Horizon的存取閘道Unified Access Gateways（UAG）元件，存取曝露於網際網路的ESXi伺服器，此UAG存在Log4Shell相關漏洞，包含了CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-44832，使得攻擊者能在沒有取得root權限下執行程式碼，進而運用多種商業軟體發動寄生攻擊（LoLBins）。</p> <p>研究人員調查後發現，駭客至少1個月前（2月7日）就開始入侵受害組織，並於2月11日利用Windows伺服器上的WMI提供者主機（WMI Provider Host，WmiPrvSE.exe）程式，以DownloadString的方法執行加密PowerShell程式碼。直到3月4日，駭客才再度以類似的手法執行PowerShell指令，並於6日投放滲透測試工具Sliver、Cobalt Strike，以及網路盤點工具SoftPerfect Network Scanner，最後駭客於8日投放AvosLocker，並利用軟體部署工具PDQ Deploy來在網路環境散布勒索軟體。</p> <p>該公司指出，他們觀察到AvosLocker駭客正在招兵買馬，相關攻擊行動日後可能會大幅增加，呼籲組織不只要透過靜態檢測機制，也要留意資安系統發出的重要警訊，才能防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a"><span style="color: rgb(0, 0, 0);">駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</span></a></strong></h3> <p>自去年12月Log4Shell漏洞公布後，不時傳出有駭客用來攻擊攻擊VMware Horizon遠距工作系統，這樣的情況目前仍在持續當中，而使得美國政府提出警告。美國網路安全暨基礎設施安全局（CISA）、美國海岸警衛隊網路司令部（CGCYBER）聯手，提出警告指出，駭客迄今仍針對尚未修補Log4Shell漏洞的VMware Horzion、Unified Access Gateway伺服器下手，進而取得受害組織網路的初始存取權限，CISA與CGCYBER提供相關攻擊細節，並呼籲組織應儘速安裝更新軟體，同時也要儘可能避免該系統直接曝露於網際網路上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nichirin.co.jp/news/20220622.pdf"><span style="color: rgb(0, 0, 0);">日本汽機車零件製造商Nichirin遭勒索軟體攻擊</span></a></strong></h3> <p>最近半年，駭客鎖定日本的汽車零件供應商發動勒索軟體攻擊，已有數起事故，現在又再度出現有相關業者受害。根據資安新聞網站Bleeping Computer的報導，生產多種汽機車軟管零件的Nichirin，於6月22日發布聲明指出，他們的美國子公司Nichirin-Flex USA於14日遭到勒索軟體攻擊，導致相關訂單的出貨可能會受到影響，美國分公司網站一度於17日早上發生故障而無法存取。該公司表示，他們正在調查駭客如何入侵，並警告員工或是客戶有可能會收到假冒該公司的惡意郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/resurgence-voicemail-themed-phishing-attacks-targeting-key-industry"><span style="color: rgb(0, 0, 0);">駭客透過語音訊息發動網釣攻擊，意圖竊取美國大型企業的Microsoft 365帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201.png" style="width: 300px; float: right;" /></a>利用語音留言的網路釣魚攻擊，不時有事故傳出，最近又有攻擊行動出現，鎖定美國的大型企業而來。資安業者Zscaler發現利用語音訊息作為幌子的釣魚郵件攻擊，目標包含了美國軍方、安全解決方案供應商、醫療保健與製藥廠，以及製造商的供應鏈等，竊取這些組織用戶的Microsoft帳密。</p> <p>駭客在郵件內容宣稱，對方有尚未讀取的語音郵件，需要開啟附件的HTML檔案，一旦收信人開啟，就有可能被攻擊者引導到人機驗證系統CAPTCHA，通過驗證後再前往假造的Microsoft 365登入頁面，攻擊者進而有機會挾持對方的微軟帳號。</p> <p>由於在寄件者的名稱中，駭客使用了收信人公司的網域名稱，而很容易讓人以為是從公司寄來的通知信件，但根據研究人員的分析，這些釣魚郵件實際上來自日本的郵件伺服器，且上述的登入網頁也不在微軟網域，他們呼籲使用者要提高警覺因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151536"><span style="color: rgb(0, 0, 0);">Arm電腦在安裝Patch Tuesday更新程式後，衍生Azure AD登入異常現象，微軟緊急發布修補程式</span></a></strong></h3> <p>微軟於6月14日發布例行修補（Patch Tuesday）更新，但傳出不少用戶更新後造成部分功能無法使用，該公司於20日推出緊急更新KB5016138、KB5016139，來解決搭載Arm晶片的Windows電腦無法正常存取Azure AD的問題。微軟指出，上述情況影響需要使用Azure AD帳號存取的應用程式與服務，例如Teams、Outlook，或是VPN連線等，但網頁版本不受影響，若是使用者無法及時安裝相關更新，可暫時使用網頁版本來因應。上述問題並未影響採用Intel與AMD處理器的電腦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.forescout.com/blog/ot-icefall-56-vulnerabilities-caused-by-insecure-by-design-practices-in-ot/"><span style="color: rgb(0, 0, 0);">OT:Icefall漏洞恐導致10個廠牌的OT裝置曝險</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FS-2022-OT-ICEFALL-Pie-Chart-Web-1200px-FINAL.png" style="width: 300px; float: right;" /></a>操作科技（OT）環境系統的不安全，很有可能與設計當初並未將資安納入規畫，而使得攻擊者能加以利用。資安業者Forescout揭露名為OT:Icefall的一組漏洞，此漏洞組由56個漏洞組成，漏洞類型涵蓋層面甚廣，可能導致攻擊者能遠端執行程式碼、竊取帳密、竄改韌體或是組態設置，以及繞過身分驗證等，影響Honeywell、Motorola、Omron、Siemens、Emerson、JTEKT、Bently Nevada、Phoenix Contract、ProConOS，以及Yokogawa等廠牌的OT設備。研究人員指出，他們公布的這些漏洞，已經成為針對工控環境發動攻擊的惡意軟體利用的目標，這些惡意軟體包含了俄羅斯駭客針對烏克蘭發電廠所使用的Industroyer 2與CaddyWiper。</p> <p>研究人員指出，有7成4易受到攻擊的系統通過相關安全認證，這也突顯相關檢驗程序涵蓋的資安面向可能有所不足，他們呼籲用戶應參考系統製造商提供的資安通告，了解漏洞的影響範圍，以及相關的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/en/security-advisory/QSA-22-20"><span style="color: rgb(0, 0, 0);">威聯通NAS設備恐受到PHP漏洞波及，用戶應儘速更新作業系統</span></a></strong></h3> <p>威聯通於6月22日發布資安通告，指出旗下的NAS設備，可能會受到PHP漏洞CVE-2019-11043影響，若Nginx組態配置不當，可能會受到此漏洞影響，一旦攻擊者利用這項漏洞，就有可能遠端執行程式碼，呼籲用戶更新QTS、QuTS hero來防範相關攻擊。該公司表示，這項漏洞可能會影響QTS 4.5與5.0版、QuTS hero h4.5版與h5.0版，以及QuTScloud c5.0以上的作業系統，他們推出QTS 5.0.1.2034 build 20220515、QuTS hero h5.0.0.2069 build 20220614等版本予以修補。</p> <p>不過，威聯通指出，上述漏洞需要某些元件存在才會形成，這包含了Nginx與php-fpm兩項元件都必須在執行的狀態，才會觸發該漏洞。由於在該廠牌NAS預設的組態中，並未安裝Nginx元件，有可能不會受到上述漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esasma-info-dsc-Q9tLuOvM"><span style="color: rgb(0, 0, 0);">思科公布防火牆產品線重大漏洞</span></a></strong></h3> <p>思科近期針對旗下產品發布資安通告，這些漏洞存在於防火牆與郵件安全系統。其中，CVSS風險評分最高的是CVE-2022-20829，該漏洞存在於思科旗下的ASA防火牆產品，評分高達9.1分，一旦取得管理者權限的攻擊者利用這項漏洞，可上傳含有惡意程式碼的ASDM映像檔到前述的防火牆系統，該公司指出，防火牆必須執行ASA軟體9.18.2、ASDM軟體7.8.1.150，以及包含ASDM-IDM載入器1.9版的ASDM映像檔，才能完全防堵這項漏洞，且沒有安裝修補程式以外的緩解措施。目前思科已推出了ASDM軟體7.8.1.150版，但ASA軟體的修補程式可能要到8月才能提供。</p> <p><strong style="font-size: 22px;"><a href="https://mega-awry.io/"><span style="color: rgb(0, 0, 0);">檔案共享服務Mega修補加密機制可能遭到破解的漏洞</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mega-UCE-MitM-PoC-attack.png" style="width: 300px; float: right;" /></a>加密演算法的漏洞，有可能讓標榜資料點對點加密的檔案共享服務，用戶資料遭到洩露。瑞士蘇黎世聯邦理工學院的研究人員於3月24日，向前身為全球知名免費檔案儲存與分享網站MegaUpload的Mega通報有關加密演算法的5個漏洞，近期亦公布5種可能的利用攻擊手法，這些手法多半仰賴竊得並解密RSA金鑰進行。</p> <p>研究人員指出，Mega標榜以用戶端控制的全面加密（User-Controlled End-to-End Encryption，UCE）機制來傳出資料，該公司透過使用者登入Mega的密碼來產生加密金鑰，所有使用者的RSA金鑰都存放在Mega伺服器，該公司卻沒有採取完整性保護的相關措施，使得研究人員能透過中間人攻擊（MitM）的手法，來取得特定用戶的RSA金鑰，甚至有可能逆向工程解密AES-ECB主鑰，以及整個金鑰組。</p> <p>Mega獲報後於6月21日發布新版用戶端程式，修補了其中3個漏洞，並承諾將於後續版本修補另外2個漏洞，該公司亦強調要利用這些漏洞的門檻相當高，但確實突破該公司提供的資料保護機制，使得他們相當重視這些研究人員通報的內容。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/06/stable-channel-update-for-desktop_21.html"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 103，並修補14個漏洞</span></a></strong></h3> <p>Google於6月22日發布電腦版Chrome 103版，主要加入了HTTP 103狀態代碼來協助瀏覽器預載部分內容，來提升網頁的載入速度，但在此同時，該公司也修補了14個漏洞，其中較為嚴重的是Base元件的記憶體釋放後使用（UAF）漏洞CVE-2022-2156，此外，與UAF有關的漏洞還有CVE-2022-2157、CVE-2022-2161、CVE-2022-2163，分別涉及Interest groups、WebApp Provider、Cast UI and Toolbar等元件。Google宣稱，他們向通報漏洞的研究人員發出了4.4萬美元獎勵。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151533"><span style="color: rgb(0, 0, 0);">人機驗證系統CAPTCHA惱人又可能影響用戶隱私！蘋果計畫在新版作業系統加入自動身分驗證功能，繞過此種機制</span></a></strong></h3> <p>蘋果於6月初的開發者大會WWDC上，表示人機驗證系統CAPTCHA不只會影響使用者體驗，還可能危害用戶隱私，對此，他們宣布將以私有存取令牌（Private Access Tokens，PAT）來取代。而最近有開發人員在測試版iOS 16與iPadOS 16發現，蘋果很可能已經在測試相關功能──他們看到蘋果在Apple ID新增了自動身分驗證（Automatic Verification）的功能，啟用後將會透過iCloud自動檢驗使用者的裝置與帳號，而有可能讓使用者直接繞過應用程式或網頁上的CAPTCHA，上述機制未來也有機會在下一版macOS Ventura出現。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Data-Center/Third-SGX-Community-Day/post/1393177"><span style="color: rgb(0, 0, 0);">Intel宣布恢復舉辦SGX社群日活動</span></a></strong></h3> <p>為了推廣機密運算與自家公司開發的軟體防護延伸技術（SGX），英特爾實驗室曾於2020年7月中舉辦第二屆SGX Community Day，為期兩天，當時有超過1百位研究人員、工程師參加，他們來自英特爾、其他公司、大學、政府單位，並且展示了6種支援SGX應用的軟體框架，例如：Graphene、Occlum、Enarx、Mage、SCONE，能讓一般Linux應用程式、多種見證框架，以及Rust、WebAssembly執行時期元件無需修改，即可在SGX執行。</p> <p>或許是因為COVID-19的疫情關係，2021年並未舉辦SGX Community Day，但今年6月英特爾實驗室首席工程師Mona Vij在他們公司的社群部落格，宣布英特爾將於7月26日舉辦第三屆SGX Community Day，地點是美國俄勒岡州希爾斯伯勒市，屆時以實體與線上混合的方式進行，大會議程將於6月24日公布。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151584"><span style="color: rgb(0, 0, 0);">紅帽RHEL宣布支援物聯網裝置安全規範FDO</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/"><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip加入MoTW支援，防範從網路下載的的威脅</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.minerva-labs.com/does-acrobat-reader-unload-injection-of-security-products"><span style="color: rgb(0, 0, 0);">Adobe Acrobat、Acrobat Reader疑似會干擾防毒軟體掃描PDF檔案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.documentcloud.org/documents/22064071-flagstar-standard-notification-letter-06-17-2022?responsive=1&title=1"><span style="color: rgb(0, 0, 0);">美國大型銀行Flagstar資料外洩，波及150萬客戶</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/yodel-parcel-company-confirms-cyberattack-is-disrupting-delivery/"><span style="color: rgb(0, 0, 0);">英國快遞業者Yodel遭到網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/142546"><span style="color: rgb(0, 0, 0);">SMA流程自動化系統OpCon修補重大漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-rv-overflow-s2r82P9v"><span style="color: rgb(0, 0, 0);">思科RV路由器存在重大漏洞，攻擊者可執行任意指令或造成服務中斷</span></a></span></strong></p> </div></div></div>
2022/6/25 10:43作者周峻佑https://www.ithome.com.tw/news/151619
微軟於Microsoft Edge中加入遊戲功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/06/23/welcome-to-the-best-browser-for-gamers/" target="_blank">微軟周四（6/23）宣布</a>，已於Microsoft Edge瀏覽器中加入遊戲功能，一是於瀏覽器首頁添增了遊戲（Gaming）標籤，以作為使用者存取遊戲資訊或登入Xbox帳號的入口，其次是在瀏覽器選單中新增了遊戲選項，集結各種免費的街機或休閒遊戲。遊戲功能可望成為Microsoft Edge與Chrome或其它Chromium瀏覽器之間最大的區隔。</p> <p>遊戲標籤就好像是使用者自己的遊戲入口網站，可客製化遊戲內容，例如新聞、遊戲指南、即時串流、遊戲競賽，或是即將發表的遊戲等，倘若登入Xbox帳號，還能取得自己的Xbox內容資訊，若具備Xbox Game Pass Ultimate會員資格，則可直接於瀏覽器中執行遊戲。</p> <p>為了改善玩家於瀏覽器中的遊戲體驗，微軟替Microsoft Edge打造了Clarity Boost（下圖），這是個空間放大增強功能，在Windows 10/ 11的Microsoft Edge上執行串流遊戲時，啟用後可讓遊戲畫面看起來更清晰。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2022/06/clarityboost_screen_done.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>另也有一個專為遊戲設計的效率模式（Efficiency Mode）設定（下圖），可用來改善於Windows 10/11中以Microsoft Edge執行遊戲的效能，一旦進入遊戲，Microsoft Edge就會自動減少瀏覽器的資源使用，以把最大的資源留給遊戲，待關閉遊戲後，Microsoft Edge即會退出效率模式，讓瀏覽器的運作恢復原狀。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2022/06/MicrosoftTeams-image-3-1.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></p> <p>非重度遊戲玩家則可存取Microsoft Edge選單中新增的遊戲功能，它內建了許多街機與休閒遊戲，包括經典的接龍（Microsoft Solitaire）、寶石方塊（Microsoft Jewel）、Microsoft Mahjong或是Edge瀏覽器獨有的衝浪遊戲（Microsoft Edge Surf Game）等。</p> </div></div></div>
2022/6/25 00:26作者陳曉莉https://www.ithome.com.tw/news/151617
Yandex開源具備1,000億個參數的YaLM 100B語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯最大網路公司Yandex周四（6/23）開源了具備1,000億個參數的YaLM 100B語言模型，宣稱這是全球最大的類生成型已訓練變換模型（Generative Pre-trained Transformer，GPT）的神經網路。</p> <p>嚴格說來YaLM 100B並不是最大的開源語言模型，因為Meta的AI實驗室在今年5月所釋出的OPT-175B擁有1,750億個參數，與號稱全球最強大語言模型的OpenAI GPT-3相當，不過，OpenAI GPT-3並未開源，而OPT-175B則支援非商業性授權，僅供研究人員、政府與產業研究實驗室免費使用，但YaLM 100B採用Apache 2.0授權，同時允許研究及商業免費使用。</p> <p>Yandex是在一個聚集800個A100繪圖卡的叢集上，利用來自網路、書籍與眾多來源的英文及俄文等17TB的資料，花了65天的時間來訓練YaLM 100B，而且將它應用在Alice數位語音助理及搜尋引擎上的時間已經超過1年。</p> <p>Yandex表示，大型語言模型近年來已成為自然語言處理的關鍵，這些模型愈來愈大也日益複雜，但訓練它們必須要耗費數年的時間並斥資數百萬美元，導致只有大型的科技業者才能存取此一最先進的技術，但必須允許全球的研究人員與開發者存取這些解決方案，否則便會拖慢該領域的成長，因而決定與全球的開發社群分享。</p> <p><a href="https://github.com/yandex/YaLM-100B" target="_blank">Yandex已透過GitHub發布YaLM 100B</a>，並於<a href="https://medium.com/yandex/yandex-publishes-yalm-100b-its-the-largest-gpt-like-neural-network-in-open-source-d1df53d0e9a6" target="_blank">官網上公布訓練YaLM 100B的經驗</a>，該公司表示，人們或許會以為藉由超級電腦來訓練大型模型只是小菜一碟，但實際上並非如此，他們仍然必須想辦法加快訓練時間、檢查瓶頸、使用快速資料類型，以及完全發揮GPU的潛力等，期待經驗的分享可用來協助開發者訓練其它模型。</p> </div></div></div>
2022/6/24 23:32作者陳曉莉https://www.ithome.com.tw/news/151613
Instagram將以人臉來確認用戶年齡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/06/new-ways-to-verify-age-on-instagram/" target="_blank">Instagram於本周宣布</a>，為了讓該平臺上的成年人與青少年都擁有合適的體驗，只要是有用戶要將年齡從18歲以下改成18歲以上，就必須由系統認證使用者的年齡，除了既有的上傳身分證件的選項之外，即日起將於美國市場新增兩個選項，一是選擇3名朋友來擔保，二是上傳自拍影片，並由提供年齡認證服務的Yoti代Instagram進行認證。</p> <p>一般而言，Instagram僅允許13歲以上的使用者建立帳號，並自2019年開始要求使用者提供生日資訊，因為就算是13歲以上，Instagram也會區分成年人與未成年人以遞送合適的內容，或是限制青少年會看到的廣告。</p> <p>過去Instagram一直提供使用者上傳身分證件來確認年齡，但現在則新增朋友擔保（左圖）以及自拍影片（右圖）兩個選項，前者必須由3名年滿18歲的朋友來替使用者背書，且被使用者點名的朋友必須在3天內回覆，後者則是由使用者自拍影片，再由與Instagram合作的Yoti負責檢驗年齡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/01_Social-Vouching%5B1%5D.jpg" style="width: 300px;" /><img alt="" src="https://about.fb.com/wp-content/uploads/2022/06/03_Video-Submission.jpg?resize=890%2C593?w=1024" style="text-align: center; width: 300px;" /></p> <p>Yoti是透過人工智慧技術與人們臉上的特徵來判斷使用者的年齡。<a href="https://www.yoti.com/blog/helping-instagram-offer-new-ways-to-verify-age/" target="_blank">根據Yoti的解釋</a>，該公司所使用的AI系統是專門被訓練來評估年齡的，使用者所上傳的圖像對該系統而言只是集結眾多像素的圖案，而這些像素是以數字呈現，AI系統可辨識由數字組成的圖案，並得知這個圖案應是幾歲的樣子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Age%20Verification%20by%20Yoti-3.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Yoti</span></span></p> <p>當Yoti藉由使用者上傳的影片判斷年齡，並回報給Meta之後，Meta與Yoti即會刪除影片。Meta也強調，Yoti的AI系統只能用來辨識年齡，而無法用來辨識使用者的身分。</p> </div></div></div>
2022/6/24 23:56作者陳曉莉https://www.ithome.com.tw/news/151616
中國駭客集團以勒索軟體攻擊來掩飾間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader" target="_blank">資安業者Secureworks本周指出</a>，他們相信中國駭客集團Bronze Starlight企圖以勒索軟體攻擊來掩飾間諜行動。</p> <p>研究人員在去年初便發現Bronze Starlight正在部署HUI Loader，HUI Loader可用來解密與載入各種遠端存取木馬，諸如SodaMaster、PlugX、Cobalt Strike與QuasarRAT等，成功進駐受害系統之後再安裝勒索軟體，包括LockFile、AtomSilo、Rook、Night Sky及Pandora等，由於不管是HUI Loader或上述5款勒索軟體都與其它中國駭客集團的行動有關，再加上Bronze Starlight的行動出現了中文，使得Secureworks判斷Bronze Starlight源自中國。</p> <p>不過，研究人員發現，Bronze Starlight部署勒索軟體的手法有些奇怪，與傳統獲利導向的攻擊不太一樣，駭客都只在短時間內鎖定很少數的受害者發動攻擊，而且這5款勒索軟體的壽命都很短，例如活最久的AtomSilo只存在不到3個月，受害者只有5個；最短的Night Sky只存活1天，有兩個受害者；LockFile的受害者最多，有8個，但它也只存在一個半月。</p> <p>此外，在這些勒索軟體所列出的21個受害者名單中，Secureworks估計有高達75%與中國政府的利益有關，包括巴西與美國的製藥公司，在中國與香港都設有辦公室的美國媒體，日本與立陶宛的電子元件設計及製造商，以及一個印度集團的航太暨國防部門。</p> <p>從勒索軟體的特性、受害者的屬性，再加上Bronze Starlight所使用的工具與基礎設施，都與中國政府贊助的網路攻擊行動有所牽連，都讓研究人員強烈懷疑Bronze Starlight其實是利用勒索軟體來隱藏真實的間諜行動。</p> <p>於受害者系統上執行勒索軟體的好處包括可藉由加密檔案湮滅證據，也能以勒索軟體攻擊的名義來竊取資料，還能轉移調查焦點。</p> <p>Secureworks提醒，Bronze Starlight是利用網路周邊裝置的已知漏洞入侵組織網路，進而部署HUI Loader以植入Cobalt Strike等木馬，最後才是執行勒索軟體攻擊，組織應該可在前兩個階段透過修補及強化偵測，來避免最終的攻擊行動。</p> </div></div></div>
2022/6/24 23:00作者陳曉莉https://www.ithome.com.tw/news/151612
【資安日報】2022年6月24日，中國駭客透過勒索軟體攻擊掩護間諜行動、駭客持續利用Log4Shell漏洞攻擊VMwa…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，網路間諜行動可說是相當引人注目，其中中國駭客APT41、APT10的手段非常罕見，因為他們發動了勒索軟體攻擊，但根據研究人員的調查，這些攻擊行動並非是主要目的，而很可能是駭客想要掩蓋網路間諜的行動。</p> <p>而在漏洞的利用攻擊也相當值得注意。在利用Log4Shell漏洞的攻擊行動裡，有不少是針對VMware遠距工作平臺而來，而這樣的情況從前述漏洞揭露至今，仍不時有攻擊事故發生，而使得美國政府近期再度提出警告。</p> <p>思科於6月22日發布的資安通告中，指出他們旗下的防火牆產品存在CVSS風險評分達9.1分的漏洞，並針對部分元件開始提供修補程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/research/bronze-starlight-ransomware-operations-use-hui-loader"><span style="color: rgb(0, 0, 0);">中國駭客透過勒索軟體攻擊掩人耳目，在受害組織植入木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A41APT-figure-02.png" style="width: 300px; float: right;" /></a>駭客發動勒索軟體攻擊的動機千奇百怪，但最近有人目的竟是為了轉移焦點，讓受害組織忽略他們真正的攻擊意圖。資安業者Secureworks發現，中國駭客組織APT10（該公司稱為Bronze Starlight）、APT41（Bronze Riverside）於去年初，開始利用惡意軟體載入器HUI Loader，入侵受害組織後開始投放勒索軟體，而該組織使用的勒索軟體相當多元，包含了LockFile、AtomSilo、Rook、Night Sky，以及Pandora。</p> <p>但詭異的是，這些勒索軟體在受害組織活動的時間都很短，像是Night Sky僅有一天，而時間最長的是AtomSilo，但不超過3個月；再者，則是駭客攻擊的受害組織不算多，一年多總共加起來僅有21個。</p> <p>經研究人員的調查，有四分之三的攻擊行動與中國政府的利益相關，且這些駭客所使用的工具與基礎設施疑似也來自中國政府資助，他們推測該組織發動勒索軟體攻擊的目的並非向受害組織要錢，而是打算利用這樣的攻擊事故掩蓋網路間諜行動。研究人員指出，對於駭客來說，發動勒索軟體攻擊不只能誤導受害組織因應攻擊事件的方向，還可以藉由這類工具湮滅相關證據。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/"><span style="color: rgb(0, 0, 0);">網路間諜公司疑似與ISP狼狽為奸，攻擊義大利與哈薩克手機用戶，但背後原因很可能是當地政府主導</span></a></strong></h3> <p>網路間諜公司無所不用其極想要為客戶監控特定人士的行蹤，但現在傳出有網路服務業者（ISP）參與其中，誘導受害者下載惡意程式。Google旗下的威脅情報小組，最近揭露了義大利網路間諜公司RCS Labs涉案的攻擊行動，該行動鎖定義大利與哈薩克的手機用戶展開攻擊，但研究人員發現，駭客針對iPhone用戶攻擊的過程裡，ISP竟然參與了部分行動，這些ISP疑似關閉受害者的行動網路服務，而能讓駭客假借恢復電信網路的名義，引誘受害者下載惡意程式。</p> <p>根據研究人員的分析，受害者下載的檔案含有6款攻擊程式，這些惡意軟體利用了4個已知漏洞與2個零時差漏洞（CVE-2021-30883與CVE-2021-30983），一旦成功植入受害手機，駭客將能存取記憶體、安裝程式，或是建立檔案。由於iOS使用者只能透過App Store下載軟體，RCS Labs濫用了Apple Developer Enterprise Program簽章來繞過相關限制。</p> <p>而針對安卓手機的部分，研究人員看到駭客假借提供三星應用程式的名義，來散布RCS Labs的間諜程式Hermit，這樣的發現與資安業者Lookout相同。但為何ISP會配合駭客從事網路間諜行為？研究人員認為，義大利與哈薩克的網路間諜攻擊行動很有可能是當地政府主導，而使得這些業者必須配合。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lithuania-warns-of-rise-in-ddos-attacks-against-government-sites/"><span style="color: rgb(0, 0, 0);">鎖定立陶宛政府的DDoS攻擊大幅增加，疑為俄羅斯的報復行動</span></a></strong></h3> <p>自歐美多個國家於4月底提出警告，俄羅斯駭客不再只是集中火力攻擊烏克蘭，而是將範圍擴及曾經幫助烏克蘭的盟友，此後義大利在5月陸續遭到俄羅斯駭客組織Killnet的DDoS攻擊，但現在又有其他國家疑似遭到鎖定。</p> <p>立陶宛國家網路安全中心（NKSC）於6月23日提出警告，指出針對該國政府單位的DDoS攻擊急劇增加，當地的運輸單位、金融機構，以及其他大型組織一度出現服務暫時中斷的現象，他們呼籲關鍵基礎設施要遵循NKSC的防護建議，來因應相關攻擊行動。</p> <p>但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，名為Legion – Cyber Spetsnaz RF的俄羅斯駭客組織，透過Telegram頻道宣稱要對許多立陶宛組織發動攻擊，這些組織包含了大型銀行、物流業者、機場、能源業者等。該新聞網站認為，此駭客組織疑似因立陶宛政府封鎖部分俄羅斯的運輸管道，而打算藉此採取報復行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nichirin.co.jp/news/20220622.pdf"><span style="color: rgb(0, 0, 0);">日本汽機車零件製造商Nichirin遭勒索軟體攻擊</span></a></strong></h3> <p>最近半年，駭客鎖定日本的汽車零件供應商發動勒索軟體攻擊，已有數起事故，現在又再度出現有相關業者受害。根據資安新聞網站Bleeping Computer的報導，生產多種汽機車軟管零件的Nichirin，於6月22日發布聲明指出，他們的美國子公司Nichirin-Flex USA於14日遭到勒索軟體攻擊，導致相關訂單的出貨可能會受到影響，美國分公司網站一度於17日早上發生故障而無法存取。該公司表示，他們正在調查駭客如何入侵，並警告員工或是客戶有可能會收到假冒該公司的惡意郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-174a"><span style="color: rgb(0, 0, 0);">駭客持續利用Log4Shell漏洞攻擊VMware遠距工作系統</span></a></strong></h3> <p>自去年12月Log4Shell漏洞公布後，不時傳出有駭客用來攻擊攻擊VMware Horizon遠距工作系統，這樣的情況目前仍在持續當中，而使得美國政府提出警告。美國網路安全暨基礎設施安全局（CISA）、美國海岸警衛隊網路司令部（CGCYBER）聯手，提出警告指出，駭客迄今仍針對尚未修補Log4Shell漏洞的VMware Horzion、Unified Access Gateway伺服器下手，進而取得受害組織網路的初始存取權限，CISA與CGCYBER提供相關攻擊細節，並呼籲組織應儘速安裝更新軟體，同時也要儘可能避免該系統直接曝露於網際網路上。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esasma-info-dsc-Q9tLuOvM"><span style="color: rgb(0, 0, 0);">思科公布防火牆產品線重大漏洞</span></a></strong></h3> <p>思科近期針對旗下產品發布資安通告，這些漏洞存在於防火牆與郵件安全系統。其中，CVSS風險評分最高的是CVE-2022-20829，該漏洞存在於思科旗下的ASA防火牆產品，評分高達9.1分，一旦取得管理者權限的攻擊者利用這項漏洞，可上傳含有惡意程式碼的ASDM映像檔到前述的防火牆系統，該公司指出，防火牆必須執行ASA軟體9.18.2、ASDM軟體7.8.1.150，以及包含ASDM-IDM載入器1.9版的ASDM映像檔，才能完全防堵這項漏洞，且沒有安裝修補程式以外的緩解措施。目前思科已推出了ASDM軟體7.8.1.150版，但ASA軟體的修補程式可能要到8月才能提供。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151584"><span style="color: rgb(0, 0, 0);">紅帽RHEL宣布支援物聯網裝置安全規範FDO</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/142546"><span style="color: rgb(0, 0, 0);">SMA流程自動化系統OpCon修補重大漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151583">【2022年6月23日】威聯通NAS設備恐受到PHP漏洞波及、Icefall漏洞恐導致10個廠牌的OT裝置曝險</a></p> <p><a href="https://www.ithome.com.tw/news/151558">【2022年6月22日】駭客組織ToddyCat鎖定臺灣等國政府機關發動攻擊、駭客可竄改Office 365配置來發動勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151540">【2022年6月21日】駭客意圖竊取美國企業的Microsoft 365帳密、研究人員揭露新的NTLM中繼攻擊手法</a></p> </div></div></div>
2022/6/24 18:26作者周峻佑https://www.ithome.com.tw/news/151611