iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

《創世神》遊戲宣布不支援區塊鏈及NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.minecraft.net/en-us/article/minecraft-and-nfts" target="_blank">打造《創世神》（Minecraft）遊戲的Mojang於周三（7/20）宣布</a>，由於非同質化代幣（Non-Fungible Token，NFT）的稀缺與獨家特性，並不符合該遊戲的使用指南，因此《創世神》既不準備整合區塊鏈技術，也不會支援NFT。Mojang現為微軟資產，微軟在2014年以25億美元買下Mojang，也推出教育版《創世神》。</p> <p>近來興起的NFT屬於數位資產的憑證，這些數位資產可能是MPEG、GIF，或是最熱門的JPEGs，支持NFT的社群宣稱這些奠基於區塊鏈上的圖像，未來將可攜至不同的平臺，包括社群或遊戲，以作為使用者的頭像或標記，而已有不少公司已經推出與《創世神》有關的產品，從檔案、造型到收藏品，亦允許玩家透過遊戲成績賺取NFT。</p> <p>不過，Mojang指出，在《創世神》的使用指南中，建立了伺服器所有人所能執行的存取管理規定，要求所有玩家都應該能存取同樣的功能，這些規定是為了確保《創世神》是個任何人都能存取同樣內容的社群；然而，NFT所帶來的稀缺與獨家性卻違背了該遊戲的指南與精神。</p> <p>因此，為了讓《創世神》的玩家擁有安全與包容的經驗，《創世神》的客戶端及伺服器端應用都禁止整合區塊鏈技術，涵蓋遊戲中的世界、造型、物品或其它模組。</p> <p>Mojang解釋，利用NFT或任何區塊鏈技術所建立的數位所有權，是奠基在稀缺性與獨家上，這並不符合《創世神》的創造性包容或大家一起玩的價值觀，且NFT甚至創造了一個富人與窮人的場景；圍繞在NFT的投機與投資心態也讓玩家的注意力從遊戲轉移至牟利，違反《創世神》帶給玩家長期的快樂與成功的宗旨。</p> <p>此外，有些第三方的NFT並不可靠，資產管理者可能突然消失，也充斥著詐騙與被哄抬的價格，有違《創世神》想要創造的內在價值。</p> <p>Mojang強調，目前《創世神》並不允許客戶端或伺服器端應用整合區塊鏈，也不允許它們利用區塊鏈來建立與遊戲內容有關的NFT，正著手制定新的使用指南，同時該公司也會密切觀察區塊鏈技術的發展，檢視能否在遵守該指南的原則下融入相關技術，但至少現階段並無整合區塊鏈的計畫。</p> </div></div></div>
2022/7/21 12:36作者陳曉莉https://www.ithome.com.tw/news/152039
特斯拉出售所持有的75%比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁抱加密貨幣，並在去年第一季購入價值15億美元比特幣的<a href="https://tesla-cdn.thron.com/static/EIUQEC_2022_Q2_Quarterly_Update_Deck_J8VLIK.pdf?xseo=&response-content-disposition=inline%3Bfilename%3D%22_022-Q2-Quarterly-Update-Deck.pdf%22" target="_blank">特斯拉（Tesla）於周三（7/20）公布的財報聲明中透露</a>，該公司已出售所持有的75%比特幣，進帳9.36億美元。</p> <p><a href="https://www.ithome.com.tw/news/142703" target="_blank">特斯拉在去年第一季將加密貨幣納入投資策略中</a>，宣布已購入價值15億美元的比特幣，同時宣布將允許消費者以比特幣購車，不過，<a href="https://www.ithome.com.tw/news/144386" target="_blank">同年5月特斯拉即以環保為由</a>，撤銷了以比特幣購車的決定。</p> <p>在今年第二季的財報聲明中，特斯拉表示已將所持有的75%的比特幣轉換為法定貨幣，進帳9.36億美元，而該財報聲明也顯示，目前特斯拉所擁有的剩餘比特幣，價值約為2.18億美元。</p> <p>去年第一季時，特斯拉出售了價值1.28億美元的比特幣，若再計入今年第二季所出售及剩餘的比特幣價值，特斯拉的比特幣投資大約虧損了2.18億美元。</p> <p><a href="https://www.theblock.co/post/158765/tesla-sold-936-million-in-bitcoin-in-the-second-quarter" target="_blank">根據《The Block》的報導</a>，即便出售了所持有的大多數比特幣資產，特斯拉執行長馬斯克（Elon Musk）對於未來是否再買進比特幣仍抱持開放態度，也強調特斯拉的此一決定不應被視為對比特幣的判決，而只是為了流動性而作出的決策。</p> <p>有鑑於比特幣價格的向下修正，不只是特斯拉，<a href="https://www.ithome.com.tw/news/151798" target="_blank">全球主要比特幣挖礦公司Core Scientific也在今年6月售出所持有的近8成比特幣</a>，但Core Scientific同時也持續擴張該公司的挖礦效能。</p> <p>比特幣價格在今年6月中旬一度跌破1.8萬美元，之後即緩慢回升至2.4萬美元，不過，特斯拉的財報聲明讓比特幣價格再度從2.4萬跌至2.28萬美元。</p> </div></div></div>
2022/7/21 12:59作者陳曉莉https://www.ithome.com.tw/news/152040
上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明影響，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。</p> <p>值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <p>成立於2001年永昕生物醫藥（Mycenax Biotech），從專攻生物新藥研發，近年擴及生物藥品委託開發暨製造廠（CDMO），內容涵蓋產程開發到藥品製造生產，其企業總部整合實驗室位於竹北生醫園區，並有位於苗栗竹南的兩個廠房（GMP一廠、GMP二廠）。</p> <p>根據永昕生物醫藥這次發布的公告內容，該公司是在7月18日（周一）發現異常，偵測到部分資通系統遭電腦病毒攻擊，並在當日晚間6點即發布消息。關於事件處理經過，該公司說明，已啟動防禦機制與復原作業，並立即與資安專業人員合作清除病毒。</p> <p>對於這起事件是否可能帶來衝擊，根據該公司的說明，目前評估此事件對公司營運不會帶來重大影響，而在因應方面，目前受影響的資通系統已在陸續回復運作中，同時也表示會持續提升網路與資訊基礎架構的安全管控，以確保資料安全。</p> <p>由於永昕生物醫藥在這份公告中，僅提及部分資通訊系統受影響，關於影響範圍與是否為勒索軟體攻擊？我們欲進一步詢問該公司，不過，該公司總經理暨發言人陳佩君留言表示，目前針對此事暫不提供任何回應。</p> <p>以生技製藥領域而言，近期國際上也傳出不少資安事件，例如上個月6月，總部位於瑞士巴塞爾的跨國製藥及生物技術的大型藥廠<a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/">諾華（Novartis），傳出</a>機敏資料可能遭竊的消息，以及<a href="https://www.fda.gov/medical-devices/letters-health-care-providers/illumina-cybersecurity-vulnerability-may-present-risks-patient-results-and-customer-networks-letter">美國食品藥物管理局（FDA）揭露</a>基因定序大廠Illumina多款產品存在重大漏洞可恐影響患者檢測結果與用戶網路安全。</p> <h2><strong>2022-07-18 永昕</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明部份資通系統遭病毒攻擊</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">7月18日發現狀況啟動防禦機制與復原作業。</td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及部分資通訊系統</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">受影響的資通系統陸續回復運作，將持續提升網路與資訊基礎架構之安全管控以確保資料安全。</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在7月18日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年7月<br /> </td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-19_184100.jpg" style="width: 600px;" /> </p> </div></div></div>
2022/7/20 21:46作者羅正漢https://www.ithome.com.tw/news/152030
Google發現一款偽裝成替烏克蘭發動DDoS攻擊的Android惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自俄羅斯入侵烏克蘭以來，Google威脅分析小組（Threat Analysis Group，TAG）便密切觀察東歐的網路安全環境，包括雙方的網路攻擊攻防，<a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/" target="_blank">本周TAG揭露</a>，由俄羅斯聯邦安全局（FSB）指揮的駭客集團Turla正以烏克蘭國民警衛隊Ukrainian Azov Regiment的名義設立Cyber Azov網站，號召親烏的使用者參與鎖定俄羅斯網站的分散式服務阻斷（DDoS）攻擊，然而這卻是假象，當使用者下載用來攻擊的Android程式後，安裝的卻是惡意程式。</p> <p>在俄烏開戰之後，便有親烏的開發者打造了StopWar程式，召集群眾的力量鎖定俄羅斯的網站發動DDoS攻擊，而Google即認為，Cyber Azov就是在仿效StopWar，以吸引烏克蘭的支持者上當。</p> <p>Cyber Azov網站宣稱他們是由全球自由人民組成的團隊，共同對抗俄羅斯的侵略，該站提供了同名的CyberAzov程式供Android用戶下載，號稱可藉由持續傳遞請求至俄羅斯網站來耗盡它們的資源，並列出了攻擊目標。Cyber Azov網站亦公布了比特幣捐款帳號。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Turla_web.max-1000x1000.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google TAG</span></span></p> <p>不過，TAG的調查發現，此一CyberAzov只傳送一次請求到目標網站，根本毫無攻擊力道，<a href="https://www.virustotal.com/gui/file/745e8c90a8e76f81021ff491cbc275bc134cdd7d23826b8dd23e58297fd0dd33/" target="_blank">而VirusTotal上的資料則顯示</a>，CyberAzov被15家資安業者的產品列為惡意程式。</p> <p>Turla透過第三方的傳訊程式來宣傳Cyber Azov網站，但似乎成效不彰，因為該站的比特幣帳號並未收到任何捐款，而TAG也說CyberAzov並非藉由Google Play散布，應該只有極少數的Android用戶下載了該程式。</p> </div></div></div>
2022/7/21 10:21作者陳曉莉https://www.ithome.com.tw/news/152035
Google在歐洲開放第三方支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會於7月初通過了<a href="https://www.ithome.com.tw/news/151788" target="_blank">《數位市場法》</a>（Digital Markets Act，DMA），該法案禁止大型科技業者濫用其市場力量阻礙競爭，<a href="https://blog.google/around-the-globe/google-europe/an-update-on-google-play-billing-in-the-eea/" target="_blank">而Google也因此於本周宣布</a>，歐盟經濟區（European Economic Area，EEA）的非遊戲開發者即日起就能於程式中提供除了Google以外的支付系統。</p> <p>Google的歐盟事務部總監Estelle Werth表示，Google將會遵循歐盟的新規定，但舉凡是選用其它支付系統的開發者都必須滿足保護使用者的要求，也必須繼續支付Google服務費。</p> <p>過去蘋果與Google一向對使用其平臺支付機制的開發者抽取30%的交易費用，但前兩年<a href="https://www.ithome.com.tw/news/141200" target="_blank">蘋果</a>與<a href="https://www.ithome.com.tw/news/143272" target="_blank">Google</a>先後將小型開發者的抽成費用調降至15%。Google表示，就算開發者採用了其它的支付機制，依然必須付給Google服務費，但可以減少3個百分點，代表倘若原本使用Google支付機制必須付15%，現在採用其它支付機制則必須付12%予Google。</p> <p>但即日起Google再也不會移除那些採用第三方支付機制的程式，也不會再拒絕它們更新。目前的政策僅適用於歐盟區以及非遊戲類程式，Werth指出，該政策終將會擴及遊戲，而且會在DMA生效前上線。</p> <p>DMA對蘋果而言可能更為艱困，因為它不僅要求蘋果要容許第三方支付，也可能迫使蘋果開放第三方程式市集，打破App Store從成立以來的唯一局面。</p> <p>其實歐盟經濟區並非Google或蘋果的唯一例外，南韓在2021年9月通過法令，允許行動程式開發者使用其它的付款機制，<a href="https://www.ithome.com.tw/news/147678" target="_blank">Google</a>與<a href="https://www.ithome.com.tw/news/151696" target="_blank">蘋果</a>已相繼於去年及今年開放第三方支付。</p> </div></div></div>
2022/7/21 10:37作者陳曉莉https://www.ithome.com.tw/news/152036
4年斥資11億研發！獨家解密統一超商新一代X POS機，一機兩用支援自助結帳，更是未來10年創新關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商（以下簡稱統一超）今年開始悄悄在自家門市部署新世代POS機「X POS機」，除了在統一超實驗門市X Store可以看到，近日開幕的亞洲第10,000間店中也可以見到它。統一超表示，X POS機將支援未來8到10年推出的新服務，其中最重要的新特色是，可以支援自助結帳。</p> <p>統一超早在4年前，就開始籌畫這款新型POS機。X POS機從發想到落地，統一超商花了4年、斥資近11億元，才完成開發及製造。</p> <p>統一超表示，自家POS機生命周期約8至10年，上一代POS機從2012年開始啟用，至今服役超過9年。統一超從今年4月開始部署新一代X POS機，目前已導入近百家門市，預計今年年底前會在全臺6,500家門市全面啟用。</p> <p>每當一代POS機走到生命周期後半時，統一超就會展開新POS機的研發會議，除了探討如何整合並優化現有功能外，也計畫為自助結帳等新服務，打造相應的功能及硬體設備，甚至為未知的未來服務，預留軟硬體擴充彈性。</p> <p>自助結帳功能並不新奇，統一超部分門市早就設有專門的自助結帳機，不過，通常放置在門市角落，而不是設在結帳櫃檯。自助結帳與人工結帳分開兩處，這也是大多數自助結帳機的設置方式。不過，店員結帳跟自助結帳的動線各自獨立，意味著店員大部分時候仍須守在櫃檯前。</p> <p>新款X POS機最大特色是可以一機兩用，在店員結帳和自助結帳兩個模式中自由切換，不僅可以省下額外放置自助結帳機的空間，也能統一超結帳動線，還能依照現場情況，彈性調配店員人力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/488422.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/488422.jpg" style="height: 400px;" /></a></p> <blockquote><p>統一超X Store的現有自助結帳機，放在店面角落，與櫃檯結帳<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">動線相互獨立。</span></p> </blockquote> <p><strong>POS軟硬體功能都大升級，來支援自助結帳新模式</strong></p> <p>為了支援消費者自助結帳功能，統一超在X POS機中強化了不少硬體設計，來優化消費者自助結帳不同步驟的體驗。自助結帳免不了的步驟是必須掃描條碼，又可細分為掃描實體商品、Open Point App或第三方電支App的條碼。</p> <p>為了因應不同型態的掃描及結帳情境，統一超在這臺X POS機上，設置了四款掃描器，包含了一個固定式掃碼器、一大一小的無線掃描器以及一個有線掃描器。統一超舉例，掃描手機上的QR Code時，就可以將手機平放在固定式掃描器下；一次購入大量商品時，則可以不用手拿掃描器，改用手拿商品來一一掃過大型無線掃描器，來加快掃描速度。除了連接POS機後方的有線掃描器外，其他三款掃描器都設置在便利消費者從櫃檯外側取用的位置，這也反映出統一超設計X POS機時，已經預先想像過多種自助結帳時會發生的情境。</p> <p>消費者使用電支工具付款時，除了掃描電支App條碼，另一方式是直接讀取實體卡片來結帳。為了支援更多種支付形式的處理，X POS讀卡機在讀取、運算及資料拋轉速度，都比上一代更快，來縮短結帳等待時間。此外，卡片讀卡機的螢幕也從上一代的低亮度黑白顯示，升級為全彩顯示，提供更清晰、舒服的扣款資訊瀏覽體驗。</p> <p>結帳流程最後一步是，列印收據、發票或折價券，過去都是由店員撕取後遞交給消費者，前一代POS機的發票列印機出口面向店員。但在X POS機上，同時考慮到自助結帳跟店員結帳兩種情境，因此，改為垂直向上輸出列印收據的方式，讓分立在POS機兩端的店員或民眾都能輕易撕取。</p> <p>X POS機硬體還有另一項大升級，面向消費者端的螢幕，從4:3橫向螢幕，改為16:9直向子母螢幕。較大的母螢幕上半部顯示結帳資訊，包括購買品項、消費者結帳時使用的會員點數以及支付管道，下半部則播放廣告或顯示抽獎等互動元素。子螢幕目前則用於播放廣告，不過，不論母、子螢幕都支援觸控功能，統一超表示，未來不排除推出雙螢幕互動功能，只是這些功能會等全臺門市POS機更新完畢後，才會推出。</p> <p>新螢幕不僅方向改為直式，解析度也較前一代更高。直式螢幕有更大空間在結帳時列出更多條購買品項、支付工具等訊息；高解析度則增加了這些額外訊息的易讀性。結帳資訊更清晰，也有助於優化自助結帳流程。消費者自助結帳大量品項時，常會因為懷疑自己操作失誤（如重複刷、沒刷到），請店員協助確認、解決，不僅減少店員人力調配彈性，也會增加後方排隊消費者的等待時間。有了更詳細、更易讀的結帳資訊，統一超希望有助於消費者在螢幕上確認，自行排解部分情況。</p> <p><strong>電子選單常用功能增設實體按鍵，店員螢幕觸控放大有助招募銀髮店員</strong></p> <p>除了硬體優化，X POS機的功能也有不少改良來簡化操作，希望能近一步縮短結帳等待時間。其中一項，就是將部分常用功能的按鈕，從POS系統的電子選單中，移出到實體鍵盤上。統一超表示，將常用功能集中在實體鍵盤上，店員就不用花時間在層層電子選單中尋找，不僅降低操作難度，更能提升結帳速度。</p> <p>另外，X POS機的店員端螢幕，可以用觸控手勢放大介面，有助於視力不佳的店員操作POS系統。統一超表示，這是因應高齡化社會中，銀髮族店員逐漸增加而設計的功能。</p> <p>軟體上，新POS系統也將部分類似情境的操作選項，整合成更易懂的單一選項。例如，過去為電子票證加值的情境，分為「單獨加值」及「交易中加值」兩種選項，新POS系統則將兩種選項整合為「電子票證加值」，簡化店員操作難度。</p> <p><strong>預留軟體擴充彈性和硬體運算力，為未來服務鋪路</strong></p> <p>新一代X POS機預計未來至少要服役8到10年，統一超也為了未來更多服務，預留了軟硬體擴充彈性。尤其，統一超今年將會員經營策略重點，從提升會員總數轉向提升會員活躍度，光是串接統一超數位商務服務平臺，POS系統就多了上百款數位會員服務要執行。統一超表示，新版POS系統較舊版更容易新增功能，以便彈性支援未來的新服務，不過，統一超沒有透露POS系統運作細節，或未來會新增的服務。</p> <p>不過，X POS機特別為了日後的智慧化功能，提高了硬體規格。舉例來說，統一超POS系統內建了自動推薦優惠組合的功能，可以根據消費者所購商品對應的促銷活動，在螢幕上顯示出多種優惠組合的推薦。</p> <p>這些優惠組合，除了在已掃描品項中尋找最佳優惠組合外，甚至可能追加推薦其他商品。例如，在特定促銷活動中，若買四瓶飲料會比買三瓶更便宜，POS系統會建議只買三瓶的消費者再買一瓶，而不僅是從現有三瓶飲料中推薦最便宜的優惠組合。統一超指出，此功能相當耗費運算資源，雖然舊一代POS機就能支援此功能，但X POS機的算力更強，能在「可接受等待時間」內算出更多種優惠組合，也追加了推薦優惠支付工具等功能，意味X POS機能支援未來更多元，且同時進行的促銷活動。</p> <p>統一超表示，X POS機籌畫期間，不僅投入7-Eleven、NEC集團、統智科技及統一資訊上百位專業資訊人員，也需要蒐集第一線門市收銀員使用上一代POS機的回饋，並和有串聯服務到POS機的外部廠商協調，光是電子支付廠商，就高達30至40家。</p> </div></div></div>
2022/7/20 17:02作者郭又華https://www.ithome.com.tw/news/152021
【資安日報】2022年7月20日，俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Ma…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭已經進行快5個月，俄羅斯駭客的網路攻擊行動也持續進行，今天有不少新聞是與俄羅斯駭客的攻擊行動有關。其中，又以駭客組織APT29針對外交使館的攻擊手法相當引人注目，因為這些駭客在過程中利用了兩個檔案共享服務Dropbox、Google Drive，來進行不同階段的攻擊行動。</p> <p>鎖定Mac電腦的惡意軟體CloudMensis也相當值得留意，駭客濫用了檔案共享服務Dropbox、Yandex、pClould來架設C2，並搭配macOS已知漏洞來發動攻擊。研究人員認為，攻擊者還有可能利用其他漏洞來繞過macOS的防護機制，呼籲用戶要將作業系統升級到最新版本。</p> <p>駭客組織8220的動作頻頻，而最近有資安業者指出，駭客建置的殭屍網路規模，較一年前增加15倍，研究人員認為，此舉與加密貨幣價格不斷下跌有關，使得駭客要擴大規模來維持營收。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p>Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在今年4月發現名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p>研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> </div></div></div>
2022/7/20 18:00作者周峻佑https://www.ithome.com.tw/news/152023
NCC新設網際網路傳播治理處，掌網際網路政策規畫與推動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合數位發展部成立，NCC將移撥基礎設施與資通安全相關業務等7項業務，擬修改組織法，同時也新增網際網路傳播相關業務，設立網際網路傳播治理處（簡稱網傳處），以負責網際網路政策的規畫與推動。</p> <p>NCC近期公布數位中介服務法，依據該法規畫設立專責機構，以引進多方利害關係人議事架構，建立網際網路的治理共識，加上新設網際網路傳播業務等等，NCC對網際網路業務動作頻頻，讓外界聯想到加強對網際網路產業的監理力度。</p> <p>對此，NCC澄清對網際網路並非採取傳統的國家監理立場，由於網際網路跨境跨域傳播，因此全世界對網際網路多以治理，代替國家權力的監理，因此未來新設的網際網路傳播治理處也採用治理的概念。</p> <p>未來網傳處的工作，包括網際網路使用者權益促進機制的規劃、推動網際網路傳播問責機制、網路識讀及公民培力的規劃與推動、網際網路傳播治理發展趨勢及使用者行為研析調查，還有規畫協調處理相關爭議、促進合作交流與協調。</p> <p>至於日前公布的數位中介服務法草案，擬由政府以25億元作為創立基金，設立財團法人性質的數位中介服務專責機構，建立多方利害關係人議事機制，並作為政府各部會與中介服務業者間的單一窗口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/internet-1.jpg" style="width: 600px; height: 311px;" /></p> <p>對此，NCC內容處處長黃文哲表示，雖然草案中規定，專責機構由政府捐助成立，但究竟是由政府獨資或是由大家共同捐助資金，未來可以再討論修正。專責機構的核心業務之一是，召開多方利害關係人會議，推動網際網路治理政策的執行，以及執行各部會機構委託的事項。</p> <p>黃文哲補充說明，透過大家合力協力維護網際網路使用的秩序，網際網路如能更安全、更有秩序，對網際網路的使用、發展更有幫助。NCC對網際網路的治理目標是，由業者、使用者、政府三方協力，共同維持網路秩序的和諧。至於網際網路上的假訊息或是侵權內容，交由各部會自己的法令執行，並非由NCC的網傳處制定法律執行，不是管理網際網路的概念。</p> </div></div></div>
2022/7/20 19:30作者蘇文彬https://www.ithome.com.tw/news/152029
微軟發表新的企業社交程式Viva Engage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（7/19）發表了新的企業社交程式Viva Engage，它將是微軟遠端工作平臺Viva上的最新程式，也預計於今年8月直接取代Microsoft Teams中的Communities程式。</p> <p><a href="https://www.ithome.com.tw/news/142644" target="_blank">微軟在去年2月發表了Microsoft Viva</a>，它整合了Microsoft Teams與Microsoft 365，定位為員工經驗平臺，也是遠距工作的產物之一，<a href="https://www.theverge.com/2021/2/4/22265954/microsoft-viva-platform-features-remote-work" target="_blank">《The Verge》直接將它稱為Microsoft Teams中的新平臺</a>。目前Microsoft Viva既有的程式包括用來進行內部通訊的Connections、作為人事及員工福利應用的Insights、支援員工學習的Learning，以及知識管理系統Topics，Engage則可望成為Viva上的第五款程式。</p> <p>Viva Engage是以微軟在2012年以12億美元併購的企業社交網路服務Yammer為基礎而打造的，因此，它將連結整個組織內部的使用者，包括同事或主管，在此一網路中找答案，分享自己的故事，並在工作中找到歸屬感。</p> <p>組織員工透過Viva Engage得以張貼連結、檔案、照片及影片，而這些內容可同時觸及使用Microsoft Viva Connections、Outlook、Teams與Yammer的同事，總之，它就是一個企業版的社交程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-Microsoft%20Viva%20Engage-5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-viva-blog/announcing-microsoft-viva-engage/ba-p/3571382" target="_blank">Microsoft 365產品行銷總經理Seth Patton引用微軟內部的調查指出</a>，有43%的主管認為，建立關係是在混合及遠端工作場景下最大的挑戰，然而，社交資本的建立卻是組織成功的關鍵之一。</p> <p>未來Microsoft 365商業客戶都將可免費存取Viva Engage服務，但使用者必須具備Yammer許可才能使用Viva Engage。此外，Communities app for Teams也預計於今年8月底直接更名為Viva Engage。</p> <p><a href="https://techcommunity.microsoft.com/t5/yammer-blog/introducing-viva-engage/bc-p/3576709#M1603" target="_blank">Microsoft Yammer暨Office 365總經理Murali Sitaram說明</a>，Yammer依然是Microsoft 365與Microsoft Viva的重要元件，此一變更僅影響到 Communities app for Teams & Outlook，Yammer行動程式仍是Microsoft 365 SKUs的一部分，且不管是通訊或是貼文功能都會同時出現在Yammer與Viva Engage程式上。</p> <p>Sitaram還說微軟將會繼續投資Yammer，以將Yammer的強大功能帶進Microsoft 365與Viva。</p> <p>換句話說，至少在現階段Yammer與Viva Engage將會同時存在，而且在Yammer所建立的內容也能透過Viva Engage看到，反之亦然。</p> </div></div></div>
2022/7/20 16:42作者陳曉莉https://www.ithome.com.tw/news/152020
蘋果以5,000萬美元和解蝶式鍵盤集體訴訟案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/143402" target="_blank">蘋果用戶在2018年集體控訴蘋果替MacBook筆電所設計的蝶式鍵盤含有瑕疵</a>，違反了蘋果對誠信與公平交易的承諾，亦觸犯保固條款及多項美國法令，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.326502/gov.uscourts.cand.326502.410.1.pdf" target="_blank">雙方在本周達成和解協議</a>，蘋果同意支付5,000萬美元的和解費用。此一和解協議尚待法官核准。</p> <p>蘋果在2015年至2019年之間，陸續推出以蝶式鍵盤取代剪刀式鍵盤的MacBook、MacBook Air及MacBook Pro筆電，儘管蘋果宣稱蝶式鍵盤可減少鍵盤厚度，讓筆電更為輕薄，蘋果用戶卻抱怨蝶式鍵盤經常發生故障，只要有一點點的灰塵或碎片跑進鍵盤下方或周圍，鍵盤就會卡住；此外，蘋果的內部文件也曝露蘋果早就知道蝶式鍵盤的瑕疵，且即使多次改善也於事無補。</p> <p>在提出訴訟之後，一名MacBook用戶還發起請願活動，要求蘋果全面召回筆電以更換鍵盤，並獲得逾2萬名蘋果用戶的連署，<a href="https://www.ithome.com.tw/news/124084" target="_blank">2018年6月，蘋果即公布了MacBook、MacBook Air與MacBook Pro鍵盤的免費維修方案</a>。</p> <p>即使同意和解，蘋果依舊否認了訴訟中的所有指控，既不承認MacBook存在缺陷，也否認蘋果有任何不當或非法的行為。</p> <p>不過，蘋果願意支付5,000萬美元來支付使用者維修鍵盤的費用，曾換過一個鍵帽的可得到50美元，曾換過整個鍵盤的可得到125美元，若是曾多次置換鍵盤的則可得到395美元。</p> <p>由於蝶式鍵盤實在惹來太多批評，也讓蘋果在2019年之後推出的MacBook筆電產品線全面改回剪刀式鍵盤。</p> </div></div></div>
2022/7/20 14:48作者陳曉莉https://www.ithome.com.tw/news/152019
蘋果iPhone Tap to Pay只能用Apple Pay服務，挨告不當獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220715005490/en/Hagens-Berman-Apple-Sued-in-Massive-Antitrust-Class-Action-Lawsuit-Alleging-1-Billion-Illicit-Annual-Revenue-Stream-from-Apple-Pay-Fees" target="_blank">蘋果上個月正式推出的無接觸支付服務Tap to Pay本周遭集體控告</a>，指控其強迫iOS裝置只能使用Apple Pay電子錢包完成無接觸支付，藉此達到不當獲利的目的。</p> <p>這樁集體控告官司是由美國一家信用卡發行商Affinity Credit Union發起，最後整合多家信用卡發行商及金融業者，向加州法院提出，控訴蘋果藉由Apple Pay政策，不當向支付卡發行商收取費用，估計一年可能高達10億美元，違反美國聯邦反托拉斯法。<a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-sued-over-apple-pay-accused-of-antitrust-violations" target="_blank">《彭博新聞》昨日率先報導這項消息</a>。</p> <p>蘋果是在今年5月底測試<a href="https://www.ithome.com.tw/news/151316" target="_blank">，並在6月初正式推出「Tap to Pay」</a>，消費者結帳時，利用NFC通訊協定，只要以iPhone或Apple Pay靠近另一隻iPhone即可完成支付，店家無需另外安裝終端機或其他硬體。目前Tap to Pay服務僅在美國推出。</p> <p>控訴文件指出，蘋果政策不允許競爭者使用開發行動電子錢包的技術，使iOS裝置用戶在店家或網購時，只能用Apple Pay進行無接觸支付。而在確保Apple Pay的壟斷地位後，蘋果就可以向信用卡發行商收取高額手續費。相較之下，Android手機提供相同服務的廠商，卻未向信用卡公司收費。</p> <p>文件指出，Samsung Pay、Google Pay提供的功能和Apple Pay基本上一模一樣，但信用卡公司在iOS裝置上，卻被收取每筆0.15%的費用，每年支付總計10億美元。原因即是在Android平臺上有競爭，有多個數位錢包提供無接觸支付，而蘋果卻封堵了所有競爭者而使Apple Pay成為唯一選項。</p> <p>原告目的在改變蘋果強迫Tap to Pay服務只能經由Apple Pay完成支付的政策，並且要求蘋果歸還不當收取的費用。</p> <p><a href="https://www.theverge.com/2022/7/18/23269369/apple-pay-class-action-lawsuit-antitrust-tap-to-pay-eu" target="_blank">The Verge報導</a>，雖然法院不一定會許可集體控告，但負責這樁官司的Hagens Berman and Sperling & Slater律師事務所頗有辦法，分別在2016年及去年成功打贏對蘋果的集體控告官司，成功讓蘋果歸還向電子書廠商索取的費用，以及<a href="https://www.theverge.com/2021/8/26/22643807/apple-developer-class-action-lawsuit-collect-information-ios-apps-anti-steering" target="_blank">支付1億美元和解</a>第三方App開發商提出的托拉斯告訴。</p> <p>蘋果並未對此回應。</p> <p>5月間，蘋果也遭歐洲無接觸支付業者控告其不開放NFC技術的存取權，但蘋果回應，開放可能產生安全疑慮。這也是蘋果面對其他服務，如軟體商店控訴時的一貫說詞。<a href="https://www.ithome.com.tw/news/150723" target="_blank">歐盟執委會（European Commission，EC）近日初審</a>，判定蘋果濫用其iOS的獨占地位，限制開發者存取手機上的NFC技術，會限制創新，及傷害電子錢包消費者的選擇性。</p> </div></div></div>
2022/7/20 13:34作者林妍溱https://www.ithome.com.tw/news/152018
熱浪侵襲歐洲，Google與甲骨文在英國資料中心的冷卻系統相繼故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日熱浪侵襲歐洲，法國與英國相繼出現超過40度的高溫，就在英國創下40度高溫紀錄的周二（7/19），甲骨文（Oracle）與Google在英國的資料中心也傳出因冷卻系統故障，造成伺服器與特定服務停擺，顯示這些伺服器也熱壞了。</p> <p>根據<a href="https://ocistatus.oraclecloud.com/#/incidents/ocid1.oraclecloudincident.oc1.phx.amaaaaaavwew44aa7zoskanlspjh4ll6wxhwxrbkbed4d4cnupxexzqzvlyq" target="_blank">甲骨文雲端基礎設施的系統狀態</a>說明，出問題的是位於倫敦的UK South資料中心，因該區域出現不尋常的溫度，造成該資料中心的冷卻基礎設施故障，而讓網路、Oracle Block Volumes、Oracle Compute、Oracle Object Storage與Oracle Integration等雲端服務都一度停擺。</p> <p>當地的甲骨文資料中心從世界協調時間周二15:42（臺北時間周二23:42）開始故障，一直到周三00:20（臺北時間周三8:20）才完全恢復正常。</p> <p>Google在同一天出問題的資料中心為<a href="https://status.cloud.google.com/incidents/XVq5om2XEDSqLtJZUvcH" target="_blank">europe-west2-a</a>，正巧也是位於英國倫敦。Google並未說是氣候所造成，僅說是代管europe-west2-a部分能力的其中一棟建築物的冷卻系統故障了，使得少數客戶的VM停擺與機器遺失了，為了避免損害機器或讓災情擴大，Google關閉了該區的部分電力，並限制GCP的先占（Preemptible）功能。</p> <p>Google在英國資料中心的冷卻問題，始於太平洋夏令時間周二10:13（臺北時間周三01:13），一直到當天15:29（臺北時間周三06:29）還沒完全恢復正常，在這最後一次的資訊更新時，Google亦說並無預估的復原時間。</p> </div></div></div>
2022/7/20 12:26作者陳曉莉https://www.ithome.com.tw/news/152016
Netflix付費分享及廣告支撐服務都將在明年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2022/q2/FINAL-Q2-22-Shareholder-Letter.pdf" target="_blank">全球影片串流龍頭Netflix周二（7/19）公布了今年第二季的財報</a>，該季Netflix締造了79.7億美元的營收，比去年同期成長9%，每股盈餘為3.2美元，亦高於去年同期的2.97美元；該季的全球訂閱用戶比上一季減少了97萬人，但已低於原先的200萬人預估。此外，不論是廣告支撐方案或是付費分享政策都預計在明年上線。</p> <p>在Netflix的全球營收中，北美市場占了35.4億美元，EMEA（歐洲、中東與非洲）占了24.6億美元，拉丁美洲占10.3億美元，亞太地區則占9.1億美元；雖然亞太地區不論是營收或是付費會員數都位居末位，但今年第二季只有該區域的訂閱用戶數是成長的，其它3個市場皆下滑。</p> <p>在今年第二季時，Netflix的全球付費會員數為2.2億，比去年同期增加5.5%，但比上一季少了97萬人。</p> <p>不過，Netflix力挽狂瀾的新計畫都將在明年現身。Netflix表示，預計在2023年初就會與微軟合作推出基於廣告的Netflix訂閱服務，此一廣告支援方案的訂閱費用將低於既有的3種方案，將率先選擇在廣告支出規模較大的市場上線。</p> <p>此外，今年以來Netflix亦開始於特定市場測試Add an Extra Member及<a href="https://www.ithome.com.tw/news/151998" target="_blank">Add a Home功能</a>，以要求那些分享帳號給非同住家人的用戶額外付費。Netflix於財報中透露，相關測試的目的是找出一個更容易執行與被接受的付費分享政策，以便在明年實施。</p> <p>財報出爐後，Netflix當天的盤後股價漲至217.46美元，漲幅為7.85%。</p> </div></div></div>
2022/7/20 12:38作者陳曉莉https://www.ithome.com.tw/news/152017
Slack變更免費版內容，Pro版將漲價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/en-gb/blog/news/pricing-and-plan-updates" target="_blank">已為Salesforce.com收購的Slack宣布</a>Pro版付費服務將從9月1日調漲價格，同時宣布變更免費版服務內容，由免費10,000則訊息變成90天以內訊息可免費存取。</p> <p>首先，Slack表示，為反映推出以來新增的功能，同時未來有能力持續投資創新，將自2014年推出以來首次漲價。不過這波僅影響Pro版訂閱戶。從9月1日起，Pro版每人月費將從8美元漲為8.75美元，年費則從每人80美元漲為87美元。<a href="https://slack.com/help/articles/7050776459923-Pricing-changes-for-the-Pro-plan-and-updates-to-the-Free-plan" target="_blank">Slack另外也提供了</a>歐元、英鎊、日圓及印度盧布的價目表。</p> <p>Slack鼓勵用戶趕快續訂。現有Pro版年租用戶若在9月1日前更新年租服務的話，可以維持現有年費水準。而月租版用戶若在9月1日前變更為年租，則可以享受同樣待遇。</p> <p>Business+和Enterprise Grid方案的定價將維持不變。Pro版漲價後，教育版及非營利版仍將適用現行的折扣優惠。</p> <p>至於免費版服務內容，Slack也有所變更。首先增加了免費版服務內容，像是可允許用戶在私訊或工作空間中傳送影音檔、或螢幕共享訊息。此外，9月1日後，免費版工作空間擁有者與管理員也可設定訊息和檔案保留期間，這功能過去只存在付費版。Slack要用戶小心設定，超過這個期間的訊息和檔案系統會自動刪除，刪除後即無法再復原，即使用戶升級為付費版也救不回來。</p> <p>另一方面，Slack宣布免費版內容限制，同樣在9月1日起生效。免費版現行最多可傳送10,000則訊息和5GB儲存空間，未來將改為可免費存取過去90天以內的訊息紀錄、檔案和剪輯。Slack宣稱，變更後，「大部分」免費版群組用戶可存取的訊息紀錄會比以前多。</p> <p>9月1日後，90天以前的內容會被Slack隱藏。用戶必須升級為付費版才能解鎖完整的訊息和檔案。同樣的，群組若以Slack Connect和外部組織合作，變更服務後，也是只能免費存取90天的訊息和檔案，除非用戶改為付費版。</p> </div></div></div>
2022/7/20 11:56作者林妍溱https://www.ithome.com.tw/news/152014
FBI警告駭客正藉由偽造的加密貨幣投資程式進行詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2022/220718.pdf" target="_blank">美國聯邦調查局（FBI）周一（7/18）警告</a>，這一年來發現許多駭客透過偽造的加密貨幣投資程式進行詐騙，迄今至少有224名受害者被騙，損失近4,300萬美元。</p> <p>駭客通常對外宣稱提供合法的加密貨幣投資服務，再說服投資人下載行動程式，並透過這些程式來詐騙投資人的加密貨幣。主要作法是以合法的美國商業公司作為幌子，利用這些商業公司的資訊建立網站，藉以取得不察的投資人的信任，進而下載假冒的行動程式。</p> <p>例如在2021年12月至2022年5月間，有一駭客集團假冒了美國的金融機構，說服投資人下載了冒用該金融機構名稱與商標的行動程式，再要求投資人將加密貨幣存入該程式的錢包中，總計有28名投資人下載了該程式。</p> <p>不過，當其中的13名投資人打算提款時，卻收到了電子郵件，指出若要提款必須先支付稅金，然而，就算支付了稅金，依舊提不出款項。這28名投資人總計損失了370萬美元。</p> <p>另一個駭客集團則是以YiBit加密貨幣交易中心的名義進行詐騙，利用同樣的手法向4名投資人騙走了550萬美元。YiBit是個曾經存在的加密貨幣平臺，但已於2018年關閉。</p> <p>還有一個駭客集團盜用了Supay的品牌名稱，Supay為澳洲的加密貨幣交易中心，但可能未在美國註冊，而讓駭客有機可趁。駭客同樣誘導投資人下載同名的程式並存入加密貨幣，但受害者一樣領不出所存入的資產。</p> <p>FBI建議對加密貨幣有興趣的投資人必須特別小心不請自來的投資邀請，確認相關的公司是否確實存在或合法，在提供個人資訊之前最好先驗證對方身分。</p> </div></div></div>
2022/7/20 10:12作者陳曉莉https://www.ithome.com.tw/news/152010
群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國內高科技製造業資安事件的增加，按理來說，這些公司對資安的重視程度不得不提升，然而，實際上是否採取足夠的行動，外界所能得到的消息相當有限，最近我們有一家公司打破了這樣的刻板印象，那就是面板大廠群創光電，他們在6月底加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），難得的是，以臺灣本身而言，這是第12個加入這個聯盟的單位，更是首家高科技製造業加入FIRST的成員。</p> <p>成立於1990年的FIRST，主要目的是為了協助國際資安事故應變，包括新的漏洞或是廣泛的攻擊，提供資安威脅情資的即時分享，以及各式資安事件調查技術的資訊，像是外界所熟知的資安燈號等級規範（TLP），就是該組織為了強化情資分享而訂定。至今全球已有110國、635個資安應變團隊加入，主要來自政府、企業、學術單位。</p> <p>以臺灣而言，共有12個組織或產品資安應變團隊成為FIRST會員，初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</p> <p>特別的是，6月25日群創光電正式加入FIRST，這也意味著該公司對於資安的看重，以及實際推動的資安防護措施已到達相當高的水準，因此有積極加入國際資安緊急應變社群的必要性。</p> <p>為了瞭解群創的資安作為，從該公司這兩年公布的年報與CSR責任報告，就可看出端倪，因為他們在2021年就主動揭露部分相關資訊，早於金管會要求上市櫃公司需揭露資安作為的時間。</p> <p>在這些公開資訊當中，群創表示，他們在2020年加入科技部打造的科學園區資安資訊分享與分析中心（SP-ISAC），藉此互相通知及分享最新的資安攻擊手法，車用面板部門荷蘭廠區也在這一年通過TISAX AL2驗證，預計2022年荷蘭、大陸寧波廠與臺灣等全廠區，將取得更高的AL3驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）群創光電加入FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>群創光電的CSIRT團隊在6月25日，成為國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，由於是臺灣高科技製造業首例，備受關注，未來也可能促進更多國內業者加入。(圖片來源／擷取自FIRST官方網站)</strong></span></p> <h3><strong>看重國際情資交流與教育訓練</strong></h3> <p>就其他高科技業公司而言，對於群創加入國際資安FIRST組織，應該會感到訝異並好奇他們加入的原因？對此，群創表示，主要是確保能及時掌握威脅情資，以提早預警並部署防護機制與因應對策，因此，群創加入SP-ISAC，在2021年初加入TWCERT/CC，本身也導入網路威脅情資防護與SIEM的解決方案，並主動訂閱US-CERT安全性通知，公司之所以會想更進一步加入國際型的組織，就是希望能有更直接的方式，與國外各資安情資單位相互交流防禦技術，最新的駭客威脅情資也會相互通知。例如今年2月，他們迅速掌握到勒索軟體Lockbit 2.0對高科技業攻擊的相關情資。</p> <p>加入FIRST的另一個好處是，可補強資安情報資訊時間差問題。因為企業雖然可透過加入FIRST的TWCERT/CC，取得相關資訊，但因資料是在彙整與過濾後，再分享給TWCERT/CC成員，但群創也希望藉由加入FIRST，獲得更即時的資安情報通知。</p> <p>除此之外，群創希望以此提升內部人員資安教育訓練的品質。這兩年來，他們已推動全公司的資安月活動，對所有員工進行普遍的資安意識宣導，然而，在資安專業的部分，需要引進外部資源的「活水」，才能與時俱進，而由於FIRST資安組織本身有不定期舉辦會議論壇與交流年會（FIRSTCON），探討近一年常見的安全性威脅及參與資安教育訓練，因此，他們希望將最新的防禦觀念傳遞至公司，機動調整資安防禦方針，以因應駭客攻擊趨勢。</p> <p>事實上，FIRST並不乏高科技業者加入的例子，舉例來說，艾司摩爾（ASML）、NEC在2020年12月加入，AMD是在2021年7月加入，其他還有像是英飛凌（Infineon）、三菱電機等，現在臺灣也有高科技製造業者加入FIRST，未來有機會帶動國內更多高科技業參與。</p> <p>關於這次加入國性的組織FIRST的經驗，群創提到企業高層支持很重要，並分享申請經驗。群創表示，公司本身是從治理角度出發，而資訊安全是企業營運的根本，且資訊政策對企業而言是相當重要的一項工程，因此IT策略的執行，首先必須得到公司高層的認同和支持，而他們的資安團隊一開始是透過例行性月會，取得高層董事長與總經理內部核可。</p> <p>同時，對於這次的FIRST申請程序，他們說明了基本概況，讓其他國內企業也能了解如何申請。基本上，要加入FIRST，該組織規定與取得兩位會員推薦，因此他們透過電子郵件與正式行文方式，商請請TWCERT/CC與國網中心協助。較特別的是，由於推薦會員單位的人事異動，加上審查過程另需一位會員實地探訪，再加上疫情因素影響之下，審查程序改以視訊會議進行，以致他們雖早已提出申請，卻直到近期才順利成功加入。</p> <p>對於情資分享的重要性，群創在之前已有相當的體認。群創表示，像是他們在加入SP-ISAC後，曾發現科學園區所屬公車查詢網站遭植入惡意語法，趕緊通報SP-ISAC處理。他們認為，臺灣高科技製造業很多，不管哪一家公司被入侵，都是臺灣的損害，提早通報將幫助很多企業免於受害，也就是說，企業不應只是自己顧好自己，互助才能提升整體的資安。而在他們加入FIRST後，亦鼓勵其他高科技製造業者可以一同加入，在國際上也能貢獻我們資安防禦的情資與經驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）群創光電加入FIRST_圖片來源擷取自FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>目前<strong style="color: rgb(105, 105, 105);">國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，至今年6月底時，全球</strong>有110國、635個資安應變團隊加入，而臺灣有12個單位成為FIRST會員，包括初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自FIRST官方網站)</strong></p> </div></div></div>
2022/7/20 10:41作者羅正漢https://www.ithome.com.tw/news/152011
Amazon大舉控告逾1萬個專門銷售假評價的臉書社團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-targets-fake-review-fraudsters-social-media" target="_blank">Amazon周二（7/19）宣布</a>，已具狀控告專門於Amazon平臺上撰寫假評論的逾1萬個臉書社團的管理員，這些社團的主要任務便是招募願意在美國、英國、法國、義大利、西班牙及日本的Amazon商店上撰寫假評論的使用者。</p> <p>創立於1994年的Amazon從1995年就推出評論機制，讓購買特定商品的消費者可以分享自己的使用經驗與對商品的評價，可說是全球評價機制的先驅，而這些評價也成為其他消費者購買商品的重要依據。不過，也有些商家或品牌想要藉由假評價來推動銷售量，透過金錢或免費商品來吸引專門撰寫假評論、賦予假評價的使用者。</p> <p>為了確保Amazon商城上的評價是可靠的，Amazon早就設立了負責調查假評價的專屬團隊，該團隊會在臉書、Instagram、TikTok及Twitter等社交平臺上尋找專門出售假評價的社團，並向這些平臺檢舉，從2020年以來，Amazon就向Meta檢舉了超過1萬個假評價社團，而Meta也以違反平臺政策為由，將其中超過一半的社團下架。</p> <p>此外，Amazon的專家調查員也會透過各種先進工具來偵測與封鎖假評價，光是在2020年，Amazon便主動阻止了超過2億個可疑評價。</p> <p>在Amazon此次控告的逾1萬個涉及假評價的臉書社團中，規模最大的社團擁有逾4.3萬個成員，但該社團已於今年初被Meta下架。</p> <p>Amazon強調，假評價的仲介服務是整個電子商業產業的問題，採取民事訴訟只是其中的一小步，真要永遠消除零售、旅遊或其它領域的假評價有賴電子商務平臺、社交平臺與執法機關的三方合作，以共同保護消費者。</p> </div></div></div>
2022/7/20 10:46作者陳曉莉https://www.ithome.com.tw/news/152012
【資安日報】2022年7月19日，可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國企業為了快速打造紅色供應鏈，向國外爭取大筆訂單，鎖定專精相關技術的臺灣企業，利誘員工竊取營業秘密的情況，似乎有越來越頻繁的現象。臺灣新北地方檢察署於7月15日宣布，他們在經過1年半的偵查及蒐證後，起訴14名臺灣iPhone機殼供應商可成科技的前員工，因為，這些員工在離職前竊得研發與業務機密後，打算帶槍投靠中國的競爭對手立訊精密工業。</p> <p>微軟在6月份的每月例行修補（Patch Tuesday）裡，公告Windows網路檔案系統（NFS）漏洞CVE-2022-30136，最近有研究人員特別提出警告，因為，這個漏洞不只比同月獲得修補的Follina（CVE-2022-30190）還要容易利用，而且無論攻擊者運用成功與否，都有可能對受害伺服器造成相當程度的損害。</p> <p>網頁應用程式框架很可能存在漏洞，而使得開發的應用程式也存在相關風險。研究人員揭露網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，並指出攻擊者有可能藉此在受害伺服器上執行任意命令。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p>新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">攻擊者透過NFS漏洞，有機會取得SYSTEM權限執行任意程式碼</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> </div></div></div>
2022/7/19 17:50作者周峻佑https://www.ithome.com.tw/news/152007
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_7yue_patch_tuesday_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>關於這方面的消息，企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，都會在每月例行修補資訊公布後發布影片，公布多項統計數據，並會特別突顯需留意的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此用戶必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，而成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分竟達8.8分，足見其風險程度之高。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/patch-tuesday">Patch Tuesday</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item even"><a href="/tags/known-exploited-vulnerabilities">Known Exploited Vulnerabilities</a></div></div></div>
2022/7/19 14:57作者羅正漢https://www.ithome.com.tw/tech/152000
俄羅斯因YouTube傳播不實資訊向Google開罰3.74億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管俄羅斯通訊、資訊與大眾媒體的<a href="https://rkn.gov.ru/news/rsoc/news74400.htm" target="_blank">Roskomnadzor本周一（7/18）指出</a>，因為YouTube傳播了遭俄羅斯官方禁止的內容，而且多次未履行移除相關內容的義務，因而判罰YouTube母公司Google總計211億盧布（約3.74億美元）的罰款。</p> <p>根據Roskomnadzor的說明，這次的處罰源自於YouTube未於限期內禁止使用者存取違法內容，所謂的違法內容則涵蓋俄羅斯於烏克蘭展開特殊軍事行動的不實資訊，詆毀俄羅斯軍隊；宣揚極端及恐怖主義；宣揚對未成年人健康與生命的冷漠態度；以及呼籲未成年人參與未經授權的大規模行動等訊息。</p> <p>由於YouTube多次未能履行移除相關內容的義務，使得俄羅斯法院根據Google在當地的年度營收連續處以罰款。</p> <p>在俄羅斯於今年2月24日入侵烏克蘭之後，俄羅斯官方與Google之間的關係便愈來愈緊張，Google關閉了俄羅斯企業於YouTube上的廣告收入，關閉俄羅斯官媒的YouTube頻道，反之，<a href="https://www.ithome.com.tw/news/150075" target="_blank">Roskomnadzor則直接封鎖Google News</a>。</p> <p>由於Google一直不願意恢復在YouTube上封鎖的俄羅斯官媒頻道，使得俄羅斯法院在今年3月底凍結了Google俄羅斯子公司的銀行帳號，還把錢轉出，迫使該子公司因無法支付日常開銷而<a href="https://www.ithome.com.tw/news/150988" target="_blank">在今年5月聲請破產</a>，並將員工撤離俄羅斯。</p> <p>就算Roskomnadzor向Google開罰3.74億美元，但目前並不確定已申請破產的Google子公司是否會支付，或者是俄羅斯是否會直接把已扣押的Google資產據為己有。</p> <p>即便撤離俄羅斯，但Google原有的許多免費服務仍將持續支援該市場，包括搜尋、YouTube、Maps與Gmail等，此外，即使Roskomnadzor多次因YouTube違法而向Google開罰，卻未封鎖YouTube，猜測或許是YouTube在當地過於熱門因而難以執行。</p> </div></div></div>
2022/7/19 15:11作者陳曉莉https://www.ithome.com.tw/news/152001
蘋果也傳出將減少招聘與支出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-to-slow-hiring-and-spending-for-some-teams-next-year#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，為了因應全球潛在的經濟衰退力道，蘋果已計畫在明年減少特定部門的預算與招聘活動，但此一政策並未擴及所有部門。</p> <p>這是最近一個受到全球景氣影響的科技大廠，日前<a href="https://www.ithome.com.tw/news/151187" target="_blank">微軟</a>不僅宣布要放緩特定部門的招聘，也<a href="https://www.ithome.com.tw/news/151917" target="_blank">證實</a>將裁撤1%人力；<a href="https://www.ithome.com.tw/news/151716" target="_blank">Meta</a>在6月底對內警告下半年成長將放緩，並於上周要求各單位的經理辭退表現不佳的員工；Google也對內宣布放慢招聘腳步，甲骨文則傳出要削減10億美元的開銷，包括計畫裁撤數千名員工。</p> <p>根據《彭博社》的報導，蘋果指名某些團隊明年的預算可能會被縮減，有些團隊明年不得再擴編人力，但特定團隊將不會受到波及，例如明年發表VR頭戴式裝置的計畫依舊。</p> <p>這一波的景氣循環讓美股於今年創下50年來最糟糕的上半年，原因從COVID-19疫情、俄烏戰爭，一直到通貨膨脹可能引發的經濟衰退，就算明年全球的經濟狀況不明，但顯然業者皆已作出了準備。</p> </div></div></div>
2022/7/19 15:24作者陳曉莉https://www.ithome.com.tw/news/152002
新Mantis殭屍網路來襲，劫持虛擬機器與伺服器且攻擊威力強大
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_cloudflarejie_lu_mantisjiang_shi_wang_lu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月，Cloudflare揭露每秒達2,600萬次請求的HTTPS DDoS攻擊，經過一個月的追蹤，新的研究結果出爐。他們將發起這波攻擊的殭屍網路命名Mantis，並指出該殭屍網路仍持續橫行，已發動超過3,000次的DDoS攻擊。</p> <h3><strong>由虛擬機器與伺服器組成，單一節點攻擊威力強大</strong></h3> <p>之所以將之命名Mantis，Cloudflare解釋，是因為這個殭屍網路的組成規模並不大，卻具有強大的攻擊能力，僅利用5,067臺機器組成的殭屍網路，發動的HTTPS DDoS攻擊即創下紀錄，如同身長不到10公分蝦蛄（Mantis Shrimp），其類似螳螂鐮刀狀的螯足，卻擁有足以打穿甲殼類動物外殼的高衝擊力道。</p> <p>根據Cloudflare先前公布的資訊，在攔阻Mantis的HTTS DDoS攻擊中，發現每臺設備每秒最多可產生5,200次請求，這是相當龐大的攻擊力度。為了讓外界理解Mantis的強大，Cloudflare對比另一起事件來印證。他們曾發現由73萬個物聯網裝置組成的大型殭屍網路，其HTTP DDOS攻擊強度是每秒逾100萬次的請求，每臺設備每秒最多送出1.3次請求，但相較於Mantis的每臺設備每秒5,200次請求，攻擊差了4千倍。</p> <p>而這種攻擊規模與攻擊力道的差異，最大原因就是Mantis劫持的設備是虛擬機器與伺服器，因此具有強大的運算資源，不同於一般普遍殭屍網路，是挾持多種物聯網（IoT）設備組成，如視訊監控系統（DVR）、監控攝影機、路由器，或是煙霧探測器等，都是運算能力較有限的設備。</p> <p>就算只是採用HTTP DDoS攻擊，想要產生每秒2,600萬次的請求並非易事，而Mantis透過HTTPS來發動攻擊，更是引人注目，也突顯這個殭屍網路的威力。Cloudflare指出，這需要大規模的資源、更高成本，來建立安全TLS加密連接，相對地，這也會讓受害者需要更高成本來減緩攻擊。</p> <p>Cloudflare表示，Mantis比過去知名的Meris殭屍網路更為先進。因為Meris主要依賴於MikroTik設備，但Mantis已經擴展到各種VM平臺，並支援執行多種HTTP代理來發起攻擊。</p> <h3><strong>網路與電信業成為Mantis最大攻擊目標</strong></h3> <p>而且，這樣的攻擊在最近一個月仍持續發生，相當值得關注。在Cloudflare本月釋出2022第二季DDoS攻擊趨勢報告中，提到應用層DDoS攻擊的狀況，比去年同期增加72%，其中Mantis的攻擊活動顯然助長了此一趨勢。根據Cloudflare的統計，Mantis對該公司客戶發起了超過3,000次HTTP DDoS攻擊。</p> <p>進一步檢視Mantis的攻擊目標，網路與電信業遭受攻擊的占比最高，達3成6，其次為新聞媒體業，遊戲業，以及金融業，占比都有10%以上。</p> <p>從受害者的國別來看，則有20%為美國，15%為俄羅斯，其他依序是土耳其、法國、波蘭、烏克蘭，但都不及5%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Cloudflare%E6%8F%AD%E9%9C%B2Mantis%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Cloudflare揭露Mantis殭屍網路近一個月來的DDoS攻擊活動，以網路及電信產業遭受攻擊比例最高，達36%，其次為新聞出版業、遊戲與金融產業，所占比例亦超過10%。(圖片來源／Cloudflare)</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ddos">DDoS</a></div><div class="field-item odd"><a href="/tags/https-ddos">HTTPS DDoS</a></div><div class="field-item even"><a href="/tags/mantis">Mantis</a></div></div></div>
2022/7/19 14:44作者羅正漢https://www.ithome.com.tw/tech/151999
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，特別點出額外需要關注的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分達8.8分，因此，需要特別重視。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div>
2022/7/19 12:05作者羅正漢https://www.ithome.com.tw/news/151996
Netflix在南美測試Add a Home功能，在另一個住處使用需要額外付費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球影片串流龍頭Netflix近來積極打擊用戶分享帳號的行為，今年3月才於智利、哥斯大黎加與秘魯測試付費新增用戶（Add an Extra Member）的功能，本周又宣布今年8月起將在阿根廷、多明尼加共和國、薩爾瓦多、瓜地馬拉與宏都拉斯測試Add a Home功能，倘若用戶需要在另一個家使用既有的Netflix帳號，也必須額外付費。</p> <p>Netflix今年第一季的財報顯示，該平臺擁有2.2億的付費用戶，但另外有超過1億的用戶免費分享了這些付費用戶的帳號。以最低的每月9.99美元的基本方案費率計算，這些免費的Netflix平臺使用者，讓Netflix每季至少損失30億美元的營收。</p> <p>無怪乎Netflix開始打擊這些分享帳號的行為。根據Netflix的規定，就算標準方案與高級方案可同時在2個或4個裝置上觀賞，但也僅限同住的人使用這些帳戶，因此，Netflix近來的政策即是針對那些非同住卻使用同一帳號的行為。</p> <p><a href="https://about.netflix.com/en/news/paying-to-share-netflix-outside-your-household" target="_blank">Netflix今年3月試行的措施</a>是允許標準及高級方案用戶新增非同住的額外成員，最多可新增兩人，但每月必須多付2.99美元。</p> <p>而<a href="https://about.netflix.com/en/news/update-to-paid-sharing" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">本周公布的新措施</a>則是允許戶新增其它的「家」，不管是哪種方案的使用者都可新增另一個家，基本方案可新增一個家，標準方案為兩個，高級方案為三個，但每新增一個家每月就必須額外支付2.99美元。</p> <p>為了不引起使用者的反彈，這些打擊帳號分享行為的政策都仍在試行階段，而且多是在使用者數量相對較少的市場，為了讓更多使用者負擔得起該平臺的串流服務，<a href="https://www.ithome.com.tw/news/151939" target="_blank">Netflix也準備推出以廣告支撐的方案</a>，其訂閱費率將比現有的最低費率更便宜，惟上線日期未定。</p> </div></div></div>
2022/7/19 12:36作者陳曉莉https://www.ithome.com.tw/news/151998
阿里巴巴主管因10億中國用戶資料外洩案遭到約談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月初，<a href="https://www.ithome.com.tw/news/151769" target="_blank">一名自稱為ChinaDan的駭客在暗網中兜售內含10億中國人民資訊的22TB資料</a>庫，ChinaDan宣稱該資料庫存放於阿里雲，隸屬於上海國家警察，迄今不管是阿里雲或上海國家警察都未回應媒體的詢問，不過，<a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）於本周報導</a>，阿里巴巴的高階主管已遭到中國政府約談，包括新上任的、負責數位公共安全業務的阿里雲副總裁Chen Xuesong。</p> <p>ChinaDan以10個比特幣（現約20萬美元）兜售了含有10億中國人民資訊的資料庫，包括他們的姓名、地址、生日、身分證號碼、聯絡電話及犯罪紀錄等，並公布了75萬筆紀錄供外界查證，除了已有多筆查證屬實之外，中國政府的約談行為亦間接證實了該資料庫的真實性。</p> <p>根據報導，阿里巴巴內部在媒體披露之前就得知此一外洩事件，並在7月1日召開緊急內部會議，亦暫時關閉該資料庫並檢查相關程式碼。隨後，中國監管機構隨即開始約談阿里巴巴的高階主管。</p> <p><a href="https://blog.leakix.net/2022/07/what-we-know-about-the-china-leak/" target="_blank">資安業者LeakIX也分析了這起可能是全球最大外洩事件的案例</a>，指出外洩資料的服務為一未受保護的Kibana實例，Kibana用來管理及檢視Elasticsearch叢集，允許代理連結至底層的Elasticsearch叢集。</p> <p>分析顯示，當一個Elasticsearch服務部署於公開網路時，即會採用預設的Kibana端點，同時Elasticsearch叢集也會被分配預設的使用者名稱與密碼，然而，該資料庫採用了老舊的Elasticsearch叢集版本，並未內建認證機制，必須要付費購買第三方的認證外掛程式才能啟用認證功能，但相關資料庫並未含有任何認證工具。</p> <p>此外，LeakIX也發現該叢集的第一個外部活動出現在6月26日，透露出駭客很可能在6月底就盜走了資料庫；而且還有許多部署在阿里雲的Elasticsearch叢集採用過時的版本，一旦它們維持Kibana的預設配置，便處於同樣的外洩風險之中。</p> </div></div></div>
2022/7/19 12:21作者陳曉莉https://www.ithome.com.tw/news/151997
VMware虛擬化平臺全面轉向訂閱制跨出一大步，推出雲端訂閱vSphere+與vSAN+，能跨區統一管理本地IT基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬化龍頭VMware近日宣布雲端訂閱vSphere+和vSAN+服務正式推出，使得企業用戶現在從雲端就能直接管理本地IT基礎架構，包括私有雲，以及VMware Cloud，有別於傳統虛擬化平臺vSphere和儲存軟體平臺vSAN的地端管理作法，甚至還可將本地部署的伺服器管理軟體vCenter轉為雲端訂閱模式，按量付費。這不僅是VMware虛擬化平臺全面轉向訂閱制跨出一大步，更是該公司布局混合雲戰略的重要一環。</p> <p>其實就目前VMware套裝產品而言，大多已經走向訂閱授權或提供訂閱合約的選項，比如，去年VMware已將VMware Horizon產品由永久授權轉為訂閱授權版本。不過前陣子博通以610億美元天價收購VMware後，曾公開表示將來VMware軟體銷售模式將全面轉向訂閱服務合約模式，更加速VMware銷售服務模式的轉變。</p> <p>但不像許多雲端巨頭，一開始就推出訂閱制雲端服務，因應軟體訂閱模式的盛行，VMware直到近幾年才轉向訂閱服務策略，迄今仍有不少大型企業用戶採取買斷授權模式，在本地資料中心部署vSphere+和vSAN叢集，執行各種工作負載，也影響到其上雲時程。</p> <p>尤其對許多大型VMware企業用戶來說，考量到法遵、隱私、低延遲應用等需求，遲遲沒有把關鍵應用搬上雲，而是選擇部署於本地環境，但又想要獲得雲端彈性和服務以加速創新。所以VMware改從雲端服務需求的角度切入，推出了雲端訂閱vSphere+和vSAN+，要將企業本地既有基礎架構和VMware Cloud連結在一起，逐步引導企業朝向混合雲、多雲甚至邊緣發展。</p> <p>vSphere+和vSAN+也是VMware去年在VMworld 2021上發布企業上雲路徑的Project Arctic技術預覽專案後所推出的首批產品，前者是一個多雲工作負載平臺，整合了虛擬化技術、Kubernetes環境和雲端服務，可將現有企業內部部署，轉換為支援SaaS的服務架構，加速創新；後者則是一個超融合基礎架構產品，可擴充vSAN原有功能，提供雲端連接服務，幫助IT管理者集中管理並提高vSAN 使用效率。兩項新服務在6月底公布，並在7月12日正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GUID-6AAD3017-CFF4-4ACF-AC3E-AA08A8E0D74B-high.png" style="width: 600px; height: 250px;" /></p> <blockquote><p>vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> </blockquote> <p>VMware雲端平臺產品行銷資深總監Weiguo He表使示，vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> <p>VMware表示，採用vSphere+最大好處，能在不影響企業現有工作負載或虛擬主機運作的情況下，利用雲端服務集中式基礎架構管理，並簡化營運，特別是可以帶來其稱之為高價值（Hight Value）的雲端服務，讓IT管理者、經營決策者、開發者，能更容易建立、管理、執行和確保應用及工作負載的安全，既不需要升級現有的硬體基礎架構，也不用停止既有服務或工作負載就能用。「這是VMware雲端基礎策略重大技術演進一大步。」Weiguo He表使示。</p> <p>像在管理方面，以往vSphere企業用戶跨區部署了許多vCenter server，但不容易管理，現在透過雲端vSphere+服務，可以將分布各地部署的vCenter集中到單一雲端介面上來進行管理，因為將vcenter整合到單一介面上管理，也能提供集中式營運和安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-07-12%20%E4%B8%8A%E5%8D%889_49_51.jpg" style="width: 600px; height: 315px;" /></p> <blockquote><p>不僅僅集中管理，企業用戶使用vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，</p> </blockquote> <p>不僅僅集中管理，透過vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，並且一次可選擇全部或數個vCenter合約轉換為訂閱模式，來取得更完整雲端服務或功能。</p> <p> vCenter Server轉換為訂閱後，可以從VMC（VMware Cloud）主控台管理vCenter Server，而且一次能管理多個vCenter執行個體的部署，在vSphere+中也簡化了vCenter升級，使其更新過程就像更新行動裝置一樣方便，只要簡單步驟就能完成更新動作，也能縮短停機時間。</p> <p>不只管理者，對於開發人員來說，透過vSphere+服務，使得vSphere與Kubernetes能夠更緊密整合，從而實現VM和 Kubernetes容器的統一，意味著可以使用Kubernetes指令和API來建立虛擬機器或使用整合vSphere的Kubernetes發行版來執行容器化應用，以及VM和 Kubernetes網路接連管理等。</p> <p>早在去年底vSphere Advantag服務方案推出時，VMware就已經提供了vSphere本地部署訂閱方案，並根據使用量付費。如今vSphere+推出後，vSphere Advantag加入到vSphere+產品線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-06-23%20%E4%B8%8A%E5%8D%8810_25_14.jpg" style="width: 600px; height: 343px;" /></p> <blockquote><p>在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> </blockquote> <p>除了提供vSphere和vSAN管理服務，在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> <p>在訂閱計價方面，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式，也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買最小容量至少為16個實體核心CPU。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS 續訂的價格優惠協助企業用戶將既有vSphere and Vsan授權逐步轉到訂閱制vSphere+ and vSAN+。</p> <p>另外，使用vSphere+雲端服務前，企業必須安裝vCenter Cloud Gateway ，並將vCenter Server執行個體連線到VMware Cloud，且對企業本地vSphere環境也有一定要求，除了需要安裝vCenter Server 6.7.x及以上更新版本，才能開始使用vSphere+基本功能，如監控vSphere基礎結構，若要取得完整的vSphere+功能，包含轉換為訂閱制vCenter或取得客戶支援，則需升級到最新版本。</p> <p>VMware大大簡化vSphere+購買流程，有別於以往採用永久或固定期限授權需採個別購買的作法，提供全套式訂閱購買方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包購買，Tanzu部分除了提供Tanzu standard Runtime，之後也將加入Tanzu Mission Control Essentials功能。</p> </div></div></div>
2022/7/19 07:58作者余至浩https://www.ithome.com.tw/news/151981
【資安日報】2022年7月18日，近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞裡，幾乎都與漏洞有關。這包含了針對WordPress外掛程式的攻擊行動，還有Intel、AMD處理器的漏洞Retbleed，已有多家企業級的系統軟體廠商已經著手修補。</p> <p>資安業者揭露專門針對WordPress外掛程式WPBakery Page Builder而來的攻擊行動，駭客鎖定了開發者已不再維護的元件Kaswara下手，利用任意文件上傳漏洞發動攻擊，在10天內已有近160萬個網站遭到漏洞利用嘗試攻擊。</p> <p>而在處理器漏洞Retbleed的部分，則是在研究人員公布細節後，很快就有企業級的軟體系統廠商著手修補，這些廠商多半為提供虛擬化平臺與Linux作業系統的業者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客鎖定近160萬個WordPress網站，攻擊外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p>研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p>研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">木馬程式Sality宣稱提供密碼破解功能來感染ICS系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p>研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。此外，微軟在最新版Windows修補程式裡，也有對於AMD處理器的Retbleed漏洞著手修補。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出引發火災</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> </div></div></div>
2022/7/18 16:32作者周峻佑https://www.ithome.com.tw/news/151987
電子病歷上雲法規正式上路了！4大重點法規速覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部今（7月18日）<a href="https://www.mohw.gov.tw/cp-18-70580-1.html">公告</a>新版醫療機構電子病歷製作及管理辦法，正式允許醫療院所委外建置電子病歷資訊系統、使用雲端服務處理電子病歷資料，以及設置電子病歷交換平臺和進一步落實無紙化。衛福部資訊處處長龐一鳴也揭露，未來衛福部將公布合格業者白名單，並視情況調整監理強度，如納入國際醫療資料交換標準FHIR互通能力認證，或歐盟個資法GDPR。</p> <p><span style="font-size:24px;"><strong>上雲、委外、建置交換平臺和無紙化重點法規速覽</strong></span></p> <p>在委外部分，新版辦法第六條和第七條，允許醫療院所委託大專院校、法人、機構或團體建置和管理電子病歷資訊系統，並且要簽訂書面契約，明訂委託事項範圍、受託機構的權利義務，以及標準作業機制、資安保障機制等。</p> <p>不過，新版第六條條文特別新增3種例外情況，雙方可不必簽訂契約。這些例外分別是受託機構為所屬醫療法人或其他法人附設醫院、所屬學校之其他醫院，或是所屬機關設立的其他醫院。</p> <p>關於醫院使用雲端服務部分，則由第8條修正條文規範。該條文要求醫療機構使用雲端服務，或是委託受託機構提供雲端服務時，必須採取風險管控措施、避免業務中斷措施，並且要監督雲端業者，更要具備資料移轉機制，也就是當雲端服務停止或終止時，得將資料移轉回委託機構或其他雲端服務業者。</p> <p>至於建置電子病歷交換平臺，則由第18條修正條文規範。也就是說，經主管機關認可的公私立機構，可設置電子病歷交換平臺，來促進跨機構交換資料。</p> <p>最後，修正條文第17條和第20條，則能幫助醫院進一步無紙化。因為，第17條允許醫院將同意書、院內紙本病歷，以及與電子病歷並存的相關文件，以電子方式轉錄、蓋電子簽章封存，即視為電子病歷。</p> <p><span style="font-size:24px;"><strong>電子病歷上雲目的：醫療AI、資安、遠距醫療</strong></span></p> <p>衛福部這2年來，多次公開揭露電子病歷上雲目的。比如，龐一鳴指出，若不開放上雲，醫療AI將難以發展，此外，臺灣許多專業小型醫療院所，缺乏IT人力來管理電子病歷相關資料，若透過具高度資安機制的雲端業者代管，可加強資安體質。</p> <p>不只如此，石崇良多次指出，開放電子病歷上雲，是擴大遠距醫療的法規修正第一步。他預告，今年底前，要完成修改通訊診察治療辦法，放寬遠距醫療的適用範圍、使用情境和適用身分，同時簡化行政流程。</p> </div></div></div>
2022/7/18 18:48作者王若樸https://www.ithome.com.tw/news/151994
普丁簽署禁止以數位資產支付的法令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sozd-duma-gov-ru.translate.goog/bill/138674-8?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp#bh_histras" target="_blank">俄羅斯總統普丁（Vladimir Putin）上周四（7/14）簽署</a>了一個與銀行活動有關的聯邦法令修正案，此一修正案將禁止當地以數位資產作為支付工具，但並未限制人們挖掘或購買加密貨幣。</p> <p>其實<a href="https://www.ithome.com.tw/news/149008" target="_blank">俄羅斯中央銀行今年1月曾公布一份加密貨幣諮詢報告</a>，該報告詳列了加密貨幣的各種風險，並提議於俄羅斯境內禁止加密貨幣挖礦及使用行為，但看來俄羅斯立法機構並未完全採納央行的建議，雖然禁止了加密貨幣的支付，但並未禁止挖礦與投資。</p> <p>根據劍橋大學賈吉商學院新興金融研究中心<a href="https://ccaf.io/cbeci/mining_map" target="_blank">（Cambridge Centre for Alternative Finance，CCAF）今年1月所公布的資料</a>，俄羅斯的挖礦能力以4.7%的比例位居全球第五大挖礦中心，前四名依序是美國（37.8%）、中國（21.1%）、哈薩克（13.2%）與加拿大（6.8%）。</p> <p><a href="https://www.protocol.com/bulletins/russia-ban-crypto-payments" target="_blank">《Protocol》分析</a>，這代表俄羅斯民眾將不得以加密貨幣或非同質化代幣（Non-Fungible Token，NFT）作為任何的支付形式，不管是買東西或是作為薪資，也規定加密貨幣交易中心與供應商不得將數位資產視為支付形式。此一新的修正案將於普丁簽署的10日後生效。</p> </div></div></div>
2022/7/18 16:16作者陳曉莉https://www.ithome.com.tw/news/151985
FCC主席提議把美國寬頻最低下載標準提高到100 Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/chairwoman-rosenworcel-proposes-increase-minimum-broadband-speeds" target="_blank">美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel上周向其他委員發出了意見諮詢通告（Notice of Inquiry，NOI）</a>，希望大家共同評估將美國寬頻標準從下載25 Mbps、上傳3M bps的標準，提高到下載100 Mbps及上傳20 Mbps，並以1 Gbps與500 Mbps的上傳與下載速率作為美國未來的寬頻目標。</p> <p>FCC是在2015年由Tom Wheeler擔任主席的年代設定了25/3 Mbps的全國寬頻目標，原本外界希望下一任的FCC主席Ajit Pai可以提高該標準，但Pai最後認為25/3 Mbps不管是在語音、資料、圖像或視訊上已經夠用了，而決定維持該標準。</p> <p>但Rosenworcel指出，網路用戶的需求早就超過了25/3 Mbps，特別是在全球疫情大爆發，人們把生活轉移到網路之際，25/3 Mbps的標準不僅是落後的，更是有害的，因為它遮掩了低收入戶以及農村社區被遠拋於後的程度，因此必須提高最低寬頻速率的標準至100/20 Mbps。</p> <p>此一意見諮詢通告除了建議將寬頻最低標準提高到100/20 Mbps之外，也提出了支持該標準的一系列證據，包括美國《基礎設施投資與就業法案》（Infrastructure Investment and Jobs Act，IIJA）對美國新一代網路的要求。此外，Rosenworcel亦認為美國應該替未來設立另一個更高的寬頻目標，提供1 Gbps的下載速率與500 Mbps的上傳速率。</p> <p>其實在美國針對低收入戶所提供的<a href="https://www.ithome.com.tw/news/150849" target="_blank">「可負擔連網計畫」（Affordable Connectivity Program，ACP）</a>中，就要求美國ISP業者必須讓低收入戶能以每月低於30美元的價格，訂閱下載速率必須高於100Mbps的寬頻網路服務，因為該速率才足以支撐一個4人家庭在家工作、學習、瀏覽網路或串流高畫質影片的需求。</p> </div></div></div>
2022/7/18 15:52作者陳曉莉https://www.ithome.com.tw/news/151984
Tor Browser 11.5現可自動偵測並繞過國家審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.torproject.org/new-release-tor-browser-115/" target="_blank">Tor專案於上周四（7/14）釋出了Tor Browser 11.5</a>，新版瀏覽器提供了新的Connection Assist功能，將可自動偵測並繞過各國的審查機制，且預設即進入HTTPS-Only模式（HTTPS-Only Mode）。</p> <p>Tor Browser是用來進入洋蔥路由器（The Onion Router，Tor）網路的瀏覽器，Tor透過由全球逾7,000個志願人士組織的中繼節點來存取網路，因此可隱藏使用者的真實位址，也能避免監控，而以Firefox瀏覽器作為基礎的Tor瀏覽器，即是進入Tor網路的工具之一。</p> <p>然而，有些國家為了審查境內用戶，封鎖了Tor網路的存取，例如中國、俄羅斯、白俄羅斯或土庫曼等，使得Tor Browser用戶必須手動變更Tor的網路設定，找出可繞過封鎖的途徑，不過，Tor Browser 11.5所內建的Connection Assist 1.0版，將可自動偵測及繞過各國的封鎖。</p> <p class="rtecenter"><img alt="" src="https://blog.torproject.org/new-release-tor-browser-115/connection-assist.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tor專案</span></span></p> <p>Connection Assist可查找及下載每個國家可繞過封鎖之各種選項的最新列表，並自動部署最適合使用者區域的設定，使用者還可儲存這些用來連結Tor網路的橋接資訊，並透過複製或QR code分享，例如分享給Android版的Tor Browser。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-Tor%20Browser%20-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Tor專案</span></p> <p>此外，過去只允許用戶連結HTTPS網站的HTTPS-Only Mode僅是Tor Browser的擴充程式之一，但有鑑於愈來愈少使用者存取HTTP網站，再加上安全的因素，Tor Browser 11.5已直接將HTTPS-Only Mode納入預設功能。</p> <p>目前桌面版Tor Browser發展最快，功能也最為齊全，不過Tor專案已決定接下來要強化Android版Tor Browser的能力，包括將開始定期更新Android版本，也會解決許多Android用戶的程式當掉問題，並準備要追上Fenix（Android版Firefox）的進度。</p> <p>Tor Browser 11.5支援Windows、macOS、Linux與Android，Tor專案亦鼓勵試用Connection Assist功能的使用者提出意見。</p> </div></div></div>
2022/7/18 14:29作者陳曉莉https://www.ithome.com.tw/news/151982
去中心化通訊協定Matrix的全球用戶已超過6,000萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theregister.com/2022/07/15/matrix_grows/" target="_blank">The Register</a>》與《<a href="https://www.bleepingcomputer.com/news/security/the-matrix-messaging-network-now-counts-more-than-60-million-users/" target="_blank">BleepingComputer</a>》近日相繼報導，去中心化通訊協定Matrix的全球用戶數已超過6,000萬，而且在過去12月新增了2,500萬名用戶。</p> <p>Matrix是由英國The Matrix.org基金會在2014年發表的開放標準，它是個透過IP執行通訊的去中心化通訊協定，可應用在即時傳訊、VoIP/WebRTC與物聯網通訊上，目標是讓使用者的通訊就像寄送電子郵件一般容易，就算使用不同的服務也能彼此通訊。迄今支援Matrix的客戶端應用包括Element、Fractal、Nheko、Quaternion，以及專為macOS設計的Seaglass，當中最受歡迎的為由Matrix共同創辦人Matthew Hodgson所打造的Element（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-element-1-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Element</span></span></p> <p>根據<a href="https://twitter.com/matrixdotorg/status/1547922092191911936" target="_blank">Matrix所公布的數字</a>，更精準的Matrix用戶數應該是6,400萬。</p> <p>不過，由於Matrix是個去中心化的協定，因此很難估算正確的用戶數字，例如有些使用者或伺服器並未現身於公開網路，因而無法統計。</p> <p>在Matrix的用戶中，<a href="https://www.ithome.com.tw/news/122737" target="_blank">法國政府在2018年便基於Matrix打造官方的通訊程式Tchap</a>，<a href="https://www.ithome.com.tw/news/134961" target="_blank">Mozilla則是在2019年宣布</a>將以Matrix取代IRC作為使用者的通訊平臺，此外，<a href="https://matrix.org/blog/2021/07/21/germanys-national-healthcare-system-adopts-matrix" target="_blank">德國的整個醫療保健系統在去年夏天決定要全面採用Matrix</a>。</p> <p>Hodgson也向《BleepingComputer》透露了Matrix的未來規畫，包括它將支援可凝聚數百名使用者的端對端加密視訊會議，以及將推出開源的元宇宙平臺Third Room，以讓人們在維護隱私的前提下發現與建立虛擬世界。</p> </div></div></div>
2022/7/18 15:13作者陳曉莉https://www.ithome.com.tw/news/151983
美政府稱Log4j漏洞將成安全的「地方流行病」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府周五發布報告指出，Apache Log4j的漏洞將成為難以根絕的「地方流行病」，對企業系統的影響可能要拖上10年以上。</p> <p><a href="https://www.gsa.gov/technology/technology-products-services/it-security/executive-order-14028-improving-the-nations-cybersecurity" target="_blank">美國總統拜登今年發布行政命令</a>成立的網路安全審查委員會<a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf" target="_blank">（Cyber Safety Review Board，CSRB）於上周四（7/14）發布第一份報告</a>，根據針對80家組織及業者的調查結果，說明去年12月揭露的Apache Log4j漏洞的實際影響和未來的威脅。</p> <p>去年Apache 基金會緊急修補的Log4Shell（CVE-2021-44228），是安全風險達10.0的遠端程式碼執行（RCE）漏洞，被安全專家視為近10年最嚴重漏洞。Log4Shell漏洞不易修補，衍生出新漏洞，Apache專案組織還多次釋出新版本解決。由於Log4j廣泛用於許多軟體及雲端平臺，包括微軟Minecraft、Amazon、Google、IBM等都受影響，因而也引發全球安全研究人員及企業IT管理員的重視。</p> <p>報告指出，目前委員會尚未發現對關鍵基礎架構系統有Log4j相關的重大攻擊。一般而言，Log4j漏洞開採發生在比專家預期得更低層。但由於鮮少權威性資料源，目前還難以判斷它在地理區、產業別或不同生態體系的影響範圍。</p> <p>不過可以確定的是，Log4Shell事件還沒有結束。委員會評估Log4j漏洞將成為「地方流行病」（endemic）漏洞，而未來幾年間，受其影響的問題執行個體將持續存在企業組織系統內，甚至要到10年或更久。原因之一是，用戶或軟體開發商並不知道自己使用的軟體套件內有Log4j，或是其專案有很高的相依性。</p> <p>然而企業組織仍然苦於無法回應漏洞開採事件，而企業升級漏洞系統的工作距離完成也還有一長段距離，尤其是開源軟體界通常欠缺資源實行程式碼的安全開發，或是專家稽核等。包括<a href="https://www.ithome.com.tw/news/148508" target="_blank">Maven Java套件</a>、<a href="https://www.ithome.com.tw/news/148769" target="_blank">Java SQL資料庫H2</a>等開源軟體都被發現有Log4j漏洞。</p> <p>基於CSRB的政府角色，關於Log4j漏洞，CSRB給出4項建議。首先是持續提高警覺Log4j的漏洞風險、通報Log4j漏洞開採行動，而美國網路安全主管機關CISA也會強化提供統一網路安全資訊的能力。</p> <p>其次是推動安全最佳典範，像是建立IT資產管理作業、發展漏洞回應、揭露、處理流程、強化辨識有漏洞系統的能力、與建立安全軟體開發典範。第三是推動整個軟體生態系的漏洞管理，特別是對開源軟體社群的協助。最後是著重美國政府單位使用的軟體安全性，包括政府軟體供應商透明度、及強化辨識有已知漏洞的軟體等。</p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color: rgb(51, 153, 255);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/7/18 13:54作者林妍溱https://www.ithome.com.tw/news/151978
傳馬斯克要求推特官司延至明年2月以後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周社群平臺推特（Twitter）控告科技鉅子馬斯克（Elon Musk）欲要求他履行收購的合約義務。<a href="https://www.bloomberg.com/news/articles/2022-07-15/musk-seeks-to-block-quick-twitter-trial-over-44-billion-deal#xj4y7vzkg?sref=10lNAhZ9" target="_blank">不過彭博報導</a>，馬斯克方面要求法院將官司審理推遲到2023年2月以後，以便釐清平臺上的假帳號。</p> <p>在馬斯克方面正式通知推特取消收購的決定後，<a href="https://www.ithome.com.tw/news/151865" target="_blank">推特於7月12日一狀告上德拉威州衡平法院</a>，意在迫使馬斯克遵守合約義務完成440億美元收購案。同時間，推特也力促本案審理在9月中展開，因為馬斯克和推特的收購合約有個「推定終止日」，在10月24日之前未完成合併，就會導致本合併案失敗。</p> <p>雖然馬斯克以四格漫畫式的大笑圖回應推特，不過彭博報導，馬斯克方面要求延後官司到明年初。馬斯克的律師事務所周五向法院提出的聲請指出，推特在拖延及打迷糊仗2個月後驟然要求加速審理，是該公司企圖掩蓋垃圾帳號事實的技倆。</p> <p>馬斯克方面的文件指出，假帳號和垃圾帳號的核心爭議是判定推特公司價值的關鍵，但判定假帳號及垃圾帳號相當需要事實佐證和專家，這又需要大量時間來蒐集。因此馬斯克方面要求官司審理不應早於2023年2月。</p> <p>推特方面拒絕對此評論。</p> <p>不過德拉威州衡平法院法官Kathaleen McCormick已經排定要在7月19日舉行一場聽證會。</p> </div></div></div>
2022/7/18 09:26作者林妍溱https://www.ithome.com.tw/news/151970
【看上CBDC四大潛力，評估五大風險找配套】3兆臺幣現金能不能有新流通形式？央行找來5大銀行試驗數位貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底，中央銀行總裁楊金龍帶頭，公開了臺灣數位貨幣發展的五大情境試驗成果。這一場試驗成果，不只是央行、財金公司與多家銀行之間的練功，更是未來會影響全臺金融產業運作，甚至是3兆臺幣現金流通形式變革的重要實驗。</p> <p>楊金龍指出，隨著數位經濟的發展，數位貨幣帶來很大的想像空間。例如比特幣或穩定幣等虛擬資產的出現，都獲得媒體和眾人高度關注，甚至出現「私人發行的虛擬資產，可能取代央行貨幣而成為廣泛使用的支付工具」的聲浪。</p> <p>銀行公會金融業務電子化委員會主委朱永榕觀察，在全球，各種新興數位支付工具蓬勃發展，主要可分成三大類工具，包括了電子貨幣，虛擬貨幣和數位貨幣（CBDC，Central Bank Digital Currency）。</p> <p>第一類電子貨幣是指由銀行或電子支付機構發行的信用卡、簽帳卡、儲值卡、儲值戶頭，或像是行動支付等，第二種就是近年開始成為話題的數位貨幣，由央行發行，等同於數位現金的法幣。而第三類虛擬貨幣則是這幾年屢屢引起話題的比特幣、穩定幣等。</p> <p>雖然以區塊鏈、分散式帳本技術實做出來的比特幣等虛擬資產，試圖發展成全球性的支付工具，從2009年至今，發展出超過2萬多種幣，比特幣就占了42%的市值。央行估算，全球虛擬資產總值，2021年11月曾一度達到3兆美元，但現在卻跌到約0.9兆美元。楊金龍強調，虛擬資產的價格仍舊波動劇烈，屬於風險性資產。</p> <p>不過，虛擬資產也逐漸朝向類金融領域發展，例如發展出了比特幣期貨和比特幣ETF，這兩項都是類似傳統金融市場的衍生性金融商品的交易服務，另外，前幾年還興起了一波首次代幣發行（ICO）浪潮，仿效股票初次公開上市（IPO）作法，想成為募集資金的新管道，近年則出現了穩定幣的虛擬資產，例如維持與美元1比1兌換的虛擬貨幣，想要變成類似發行電子貨幣的機制。</p> <p>不過，虛擬資產總市值不到 1 兆美元，遠不及全球金融資產市值469兆美元。楊金龍指出，由於其資產規模尚小，且多用於虛擬世界交易之投機炒作，與金融體系間的連結程度不高，對金融穩定影響有限。</p> <p>最近，市值最大的USDT穩定幣無法堅持對應美元的承諾，跌到0.95美元，而Luna幣值跌破百分之一的崩盤事件更影響了第三大穩定幣UST，比特幣價格近期更是大幅滑落，這些現象造成眾人對私人發行的虛擬資產的擔憂和不信任。</p> <p>可是，在全球疫情肆虐之下，零接觸的數位支付形式成了民眾的最愛，根據國際清算銀行（BIS）研究，從2020到2025年，全球無現金支付的使用將增加80%，尤其以亞太地區增加最多。</p> <p>數位經濟帶動的數位支付需求，再加上有些國家因為現金使用逐年遞減或是支付基礎設施不足，由央行發行數位貨幣CBDC的議題又開始成為話題。</p> <p>在現代的支付系統中，央行發行的貨幣可以分為兩種，央行準備金和現金。前者是金融機構間支付交易的清算資產，而現金則是民眾所用的實體貨幣。在臺灣，主要透過兩大系統來運作，一個是處理金融機構跨行交易的央行同資系統，一年處理的跨行交易年營運金額高達533兆元，另一個系統則是處理各種民間支付的財金公司金融資訊系統，一年處理的跨行年營運金額也高達188兆元，而在民間流通的新臺幣現金，也有3兆元之多。CBDC數位貨幣的發行，第一波直接影響的就是現金的流通方式，出現純數位的形式。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%962-%E5%A4%AE%E8%A1%8C%E8%B2%A8%E5%B9%A3%E7%8F%BE%E6%B3%81-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>現代支付系統中，央行發行的貨幣可以分央行準備金和現金。在臺灣，在民間流通的新臺幣現金，高達3兆元之多。</strong>圖片來源／央行</span></p> <p><span style="font-size:28px;"><strong>看上四大潛力，央行2019年展開CBDC研究</strong></span></p> <p>臺灣央行很早就投入CBDC的研究，更在2019年就展開了相關技術可行性的研究。</p> <p>楊金龍認為，CBDC有四大潛在效益，包括了讓大眾獲取安全的數位貨幣、滿足未來支付服務的需求、深化普惠金融以及最後一項是改進跨境支付的可能性。臺灣電子支付的占比，從2017年的40%，在今年第一季快速達到了60％之高，6成支付透過電子方式進行。但是，楊金龍認為：「因應未來現金數位化需求，大眾可能希望有CBDC的選項，由央行提供安全、受信任、無使用成本且無信用或流動性風險的數位支付工具。」</p> <p>另一個好處是來自CBDC的技術特性，因為分散式帳本技術提供了智能合約機制，讓CBDC成為一種可程式化的貨幣，可以依照程式設定來自動執行交易，可以延伸到更多不同的場域中，來支援數位經濟對效率和創新的要求。</p> <p>央行看中的CBDC第三項潛力是，對普惠金融的深化。數位支付主要有三大用途，包括了轉帳、繳費和消費。目前在臺灣，轉帳和繳費的數位支付相當普及，要用數位支付來實現普惠金融的目標，只剩下最後一哩路，也是數位支付的消費。但是，目前銀行開立數位帳戶仍有一定的複雜度，不一定能涵蓋到經濟弱勢者。CBDC能讓想要取得數位現金支付者，都可以開立CBDC錢包來進行數位支付的使用，開立門檻比銀行數位帳號門檻更低，也就更容易普及到不同消費場景中。</p> <p>楊金龍看好CBDC的最後一項潛力是用來改進跨境支付。因為跨境支付涉及多家中介機構，程序多且費用高，根據世界銀行的統計資料，2021 年第 4 季，全球平均匯費為匯款金額的 6.04%，仍是一筆不小的交易成本。交易更低甚至可以是零手續費的CBDC，有機會成為新的跨境支付工具。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%961-%E5%9B%9B%E5%A4%A7%E5%A5%BD%E8%99%95-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>中央銀行總裁楊金龍指出，CBDC有四大潛在效益，包括了讓大眾獲取安全的數位貨幣、滿足未來支付服務的需求、深化普惠金融和改進跨境支付的可能性。</strong>攝影／王若樸</span></p> <p><span style="font-size:28px;"><strong>CBDC五大潛在風險得有配套</strong></span></p> <p>不過，除了好處，楊金龍提醒，CBDC仍有五大潛在風險，得有配套政策來因應。第一個就是金融中介功能的風險，CBDC可能會影響銀行既有支付業務，甚至讓銀行存款流失。若CBDC可以計算利息，也會增加銀行融資成本，進而提高了個人、家庭或企業的貸款成本，會進一步影響了銀行金融中介的角色。因此，國際間CBDC多採取傳統貨幣發行的雙層式架構，讓銀行繼續扮演金融中介角色，也可以選擇無利息的設計，避免影響銀行的地位。</p> <p>另一項風險是金融穩定的影響，數位形式更容易流通，也就更容易造成數位擠兌效應的流通性風險，為了避免銀行存款大量流失，楊金龍也認為，可管制用戶的CBDC交易量和持有總量。另外，CBDC若可以計算利息，也可以成為一種，央行貨幣政策的執行與操作的新政策工具，不過，他認為，初期適合視同數位現金不計算利息。目前正在試點或發行CBDC的國家，例如中國或巴哈馬都採不計利息的做法。</p> <p>第四個風險則是隱私保護和金融犯罪防範的課題，因為採取雙層式架構，CBDC的金融交易數據和現有金融機構交易產生的方式一樣，因此，在隱私保護上，CBDC可以透過中介機構現有機制解決，而金融犯罪防範也同樣可以循著現有中介機構反洗錢、反資恐的處理方式來落實。</p> <p>最後一項風險則是所有金融系統都會面臨的挑戰，也就是系統營運的安全性和強韌性。「因 CBDC 可供任何人、任何時點使用（如同現金一樣），所以更需妥適的資安防護措施。」楊金龍強調。所以，從另一方面來看，他也認為，需要研究離線支付選項的可行性，才能確保在沒有網路的情況下，大眾仍然可以進行某些日常的支付。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963-%E9%A2%A8%E9%9A%AA-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>央行點出CBDC仍有5大潛在風險，會影響金融中介功能、金融穩定、貨幣政策執行、隱私保護與金融犯罪預防，最後一項則是系統營運的安全性和強韌性。</strong>圖片來源／央行</span></p> <p><span style="font-size:28px;"><strong>分四階段發展CBDC，將完成第二階段試驗</strong></span></p> <p>臺灣的中央銀行早在2019年，就展開了CBDC的研究，分四階段進行，規畫了2種研究計畫，從2019年6月到2020年6月先完成了第一階段的技術可行性研究，了解進行DLT分散式帳本技術研究以及批發型CBDC的研究。</p> <p>財金資訊總經理黃昱程指出，在第一階段計畫後發現，DLT具有多節點同步儲存資料的優點，韌性很高，但交易速度處理效能不佳，以兼顧隱私保護的改良版DLT技術來實驗，無法因應高頻、大量的即時交易需求。「特別要考慮隱私保護時，效能會受影響。」他坦言。</p> <p>在第一階段技術可行性研究中，還有另一項發現，黃昱程指出， CBDC若要成為普遍公用的交易媒介，考據到龐大使用者規模和效能需求，在「未來設計上，可考慮用中心化系統為基礎，部分功能結合DLT技術。」後來，這項發現成了央行第二階段CBDC試驗的系統設計重要原則。</p> <p>接著，央行在2020年9月，展開了為期一年的第二階段通用型CBDC試驗計畫，採用雙層式的架構設計，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾使用。</p> <p>央行CBDC工作小組負責規畫，財金公司和票交所共同參與設計開發CBDC試驗系統，也找來5家銀行，在封閉式的實驗環境，參與和設計開發模擬試驗系統，設計在不同情境下的CBDC運用和功能，來展示民眾如何取得、兌換和運用數位貨幣的過程。</p> <p>黃昱程指出，第二階段打造CBDC試驗平臺有兩大設計考量，一是要保留現金優勢，其次則要善用數位科技。因此特別注重7項特色。一是要考慮普惠金融，讓任何人都可以開立數位貨幣錢包。還要兼顧保護隱私，雖然現在採取銀行記名帳號，但功能設計上，未來可以允許匿名的數位貨幣，但會搭配交易金額限制。第三項設計特色是必須隨時可用，提供7x24小時的服務，來兼顧效率和韌性。另外現在雖然採取連線設計，但未來也要支援離線功能，不過，會限制金額來控管風險。</p> <p>CBDC雛形平臺的第五項特色是可以提供遺失處理機制，這是傳統現金鈔票所沒有的能力。第六項特色則要能支援未來數位支付的需求，包括提供可程式化貨幣或是支援支付的互通性，最後一項特色是利息設計，雖然CBDC初期會採取不計利息的機制，「但試驗平臺仍保有這個功能，未來可配合貨幣政策需要來設計利息功能。」黃昱程表示。</p> <p>央行在6月底所展示的第二階段通用型CBDC試驗成果中，也由5家銀行示範不同的使用情境，包括了中國信託銀行、華南銀行、國泰世華、台新銀行和上海商銀，來進行開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款等五種情境，還找來多家零售業者，展示如何用持有的CBDC或數位券來進行購物或繳費，展示不同的店家支付方式，包括掃碼支付和NFC感應支付的形式。</p> <p>央行未來計畫以第二階段試驗結果展開意見調查，一方面與多方溝通和討論，包括政府機構，使用者，金融機構，技術與基礎設施提供者和學界等，另一方面還要持續精進CBDC平臺的設計，採用更穩健成熟的技術，來符合大規模交易的需求，還要能兼顧系統完整性、作業健全性和強韌性。最後一點則是要「研議法律架構，包括賦予CBDC法償貨幣的明確法源，並制定反洗錢、反資恐、隱私保護、資安防護及爭議責任歸屬等諸多規範。」他特別強調得做到最後一點，才能增強市場對CBDC的信任。楊金龍坦言：「推動CBDC 是一項巨大且複雜的工程。」</p> <p>雖然央行沒有訂出CBDC後續發展的時間表，不過，臺灣在數位貨幣的發展上，已經與國際領先國家同步，邁進了一大步。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964-%E5%A4%AE%E8%A1%8C%E9%80%9A%E7%94%A8%E5%9E%8BCBDC%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>早在2020年９月央行理監事會後記者會後，公開了央行通用型 CBDC 試驗計畫平臺架構，將採取兩層式架構，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾使用。</strong>圖片來源／央行</span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%965-%E4%B8%8B%E4%B8%80%E9%9A%8E%E6%AE%B5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>完成第二階段通用型CBDC試驗之後，央行還要廣納意見，準備展開3項做法，才會繼續推動下一階段，尤其是要研議相關的法律架構和法制規範。</strong>圖片來源／央行</span></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>臺灣數位貨幣四大發展階段</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段1：技術研究 </span></strong></span></span></p> <p><strong>● 時間：2019年6月～2020年6月</strong></p> <p><strong>● 重點：進行DLT分散式帳本技術可行性研究，2020年6月完成批發型CBDC研究。</strong></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 階段2：試驗計畫（目前階段）</span></span></strong></span></p> <p><strong>● 時間：2020年9月～2022年9月</strong></p> <p><strong>● 重點：封閉式驗證系統之開發、建置與驗證。</strong></p> <p><strong>● 步驟：概念驗證→整體規劃→規格制定→開發建置→情境驗證（2022年6月完成）→廣納意見→調校與驗證→全體金融機構積極參與配合→系統建置／測試／驗證→基礎設施改造／佈建及推廣</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:20px;"><span style="background-color:#3399ff;"> 階段3：先導計畫 </span></span></span></strong></p> <p><strong>● 時間：時程未定，至少2年後</strong></p> <p><strong>● 重點：導入營運系統之開發、建置與試點驗證</strong></p> <p><strong>● 步驟：參與機構正式建置系統→個別機構測試→跨機構整合測試→整體量能驗證→局部試點→擴大試點</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 階段4：全面上線 </span></strong></span></span></p> <p><strong>● 時間：未定</strong></p> <p><strong>● 步驟：試營運→營運</strong></p> <p><span style="color:#696969;">資料來源：央行、財金公司，iThome整理，2022年7月</span></p> <p><a href="https://www.ithome.com.tw/article/151953" target="_blank"><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#cc0000;"> 相關報導 </span></span> 臺灣數位貨幣新進展</strong></span></a><span style="font-size: 18px;"><b> </b></span><a href="https://www.ithome.com.tw/article/151953" target="_blank"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/1086-%E5%B0%81%E9%9D%A2P1-OPEN-%E8%B1%86%E5%AD%90-960X420%20%E6%8B%B7%E8%B2%9D.jpg" style="width: 550px;" /></a></p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/news/151951
【不只數位支付和跨境匯款，連實體ATM都能支援】數位貨幣怎麼用？五大CBDC試驗情境大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2020年9月17日央行理監事會後記者會，就公開了央行通用型 CBDC試驗計畫之平臺架構，將採取兩層式架構，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾，而民眾取得這些數位貨幣後，就可以在銀行間或零售通路上使用。</p> <p>經過一年半多的試驗，在6月底這場發表會中，也展示了第二階段五大情境試驗成果。一方面，央行CBDC工作小組與財金公司、外部技術團隊打造出一套CBDC雛型平臺，另一方面找來5家銀行參與設計和模擬，包括了中國信託銀行、華南銀行、國泰世華、台新銀行和上海商銀，來進行開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款等五種情境。</p> <p><span style="font-size:28px;"><strong>人人可開戶，外國人也能用手機驗證來開戶</strong></span></p> <p>比如，中國信託示範了可以在銀行App中開立CBDC錢包，依據金額規模，將CBDC分為小額（單筆交易上限3,000元、餘額上限1萬元）和大額（單筆交易上限10萬元、餘額上限50萬元）兩種錢包，民眾只需提供身分證字號等基本資料即可申請，而沒有身分證號的外國人，也可以透過手機快速認證即可開戶，也不限定只有中信存戶可開戶，來達到人人可開戶的普惠金融效益。</p> <p>民眾使用CBDC錢包時，則可以如同使用電子支付App一樣，用QR Code掃碼方式來進行支付、轉帳或是存提款等業務。中國信託展示的CBDC錢包還可以搭配票券功能，使用者可以將政府發放的CBDC數位振興券，轉入自己的帳戶或信用卡來使用，結合票券也是央行預期的CBDC應用形式。</p> <p><span style="font-size:28px;"><strong>CBDC錢包可到實體ATM領現鈔，也能支援P2P轉帳或跨境匯款</strong></span></p> <p>實體ATM也可以支援CBDC錢包或提款。例如台新銀行在6月底舉行的發表會現場展示了一臺支援CBDC的ATM，可以透過QRCode掃碼的方式，來輸入自己的CBDC錢包ID，來進行儲值，可以用外幣或臺幣鈔票放入ATM來儲值，反過來，民眾也可在這臺ATM提取存在CBDC錢包的臺幣。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963-ATM-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8-.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台新銀行展示了一臺支援CBDC的ATM，可以透過QRCode掃碼的方式，來輸入自己的CBDC錢包ID，可以用外幣或臺幣鈔票放入ATM來儲值，也可在這臺ATM從CBDC錢包提取臺幣現鈔。</strong>攝影／王若樸</span></p> <p>國泰世華銀行則展示了CBDC錢包的P2P個人對個人轉帳功能。一方面整合了央行CBDC平臺和國泰平臺，可以讓國泰現有網銀客戶快速註冊CBDC錢包，讓帳戶內的臺幣與CBDC能夠互相兌換，或是進行現鈔存提。當使用者需要P2P轉帳時，可透過錢包中的付款碼QR Code，讓另一方掃碼後就能夠進行匯款作業。</p> <p>華南銀行也展示了一款結合掃碼支付、付款、轉帳，甚至是收款的支付App，也能結合政府發放的數位券或程式化控制的專用款，現場也展示如何用這款App到零售商店進行付款的作業，同一次付款可以同時扣CBDC錢包中的數位貨幣款項和數位券的金額，而不用分兩次進行。</p> <p>而上海商銀則展示了跨境匯款功能，當雇主用CBDC錢包發送數位貨幣薪資後，移工可在跨境小額匯款公司的App，選擇匯款對象、金額和扣款銀行後，就能利用上海商銀數位App，從CBDC中繳款。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964-%E7%A7%BB%E5%B7%A5%E5%8C%AF%E6%AC%BE-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>上海商銀展示了CBDC跨境匯款功能，雇主可用CBDC錢包發送數位貨幣薪資，而移工則可在跨境小額匯款公司的App指定從自己的CBDC戶頭來匯款，還能直接轉換成外幣匯入對方戶頭。</strong>攝影／王若樸</span></p> <p>除了金融機構的展示，也模擬消費者實際在零售商店使用的支付情況，不少知名店家也展示如何支援CBDC錢包付款的應用案例。</p> <p>比如，統一超商現場就示範了用CBDC錢包來進行QR Code掃碼支付和NFC手機感應等2種支付方式，其他店家如路易莎咖啡、臺灣大車隊、全聯、寶雅等也示範如何進行這類支付方式，甚至，用CBDC來捐款。</p> <p>上海銀行執行副總經理郭進一更提出，數位貨幣未來的多種應用可能性，他解釋，利用央行數位貨幣低成本和低手續費的特性，可以運用到小額支付，包括了公益捐款、數位紅包、醫療批價或校園支付，也可以用於企業授信款項的撥付或是國內應收應付款的支付。</p> <p>甚至，郭進一進一步強調，目前進出口款項支付效率不佳，若將CBDC進一步結合關稅、退稅以及繳稅整合，可以帶來更大效率，或如企業跨境質押保證如果能利用CBDC來抵押，就可以更方便。這些都是銀行未來可以思考的數位貨幣發展可能性。</p> <p><a href="https://www.ithome.com.tw/article/151953" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(204, 0, 0);"> 相關報導 </span></span> 臺灣數位貨幣新進展</strong></span></a><span style="font-size: 18px;"><b> </b></span><a href="https://www.ithome.com.tw/article/151953" target="_blank"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/1086-%E5%B0%81%E9%9D%A2P1-OPEN-%E8%B1%86%E5%AD%90-960X420%20%E6%8B%B7%E8%B2%9D.jpg" style="width: 550px;" /></a></p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/news/151952
臺灣數位貨幣新進展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/styles/picture_size_large/public/1086-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=ASA6WlGp" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電子支付比例今年第一季達到60%，但數位支付工具的成本和申請仍是不小的門檻，數位貨幣能不能成為3兆臺幣現金的另一種流通形式，央行首度公開五大情境試驗成果</p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/article/151953
實現隨機圓堆砌演算
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資料視覺化的場合中，你可能看過使用大小不等的圓，來表現資料在數值上的差異或層次，這類圖表稱為泡泡圖（bubble chart），其中一個有趣的展現方式是，讓圓與圓之間不重疊卻又緊密，可用來構成文字雲或層層嵌套的圖表，看來甚是迷人，這類圖表的共同關鍵字，往往就是「圓堆砌（circular packing）」。</p> <p>目前，D3.js程式庫已提供了圓堆砌的實現方式，在<a href="https://bit.ly/3N5Rxb2" target="_blank">〈Circular Packing〉</a>就示範了從簡單到複雜的幾種不同實現方式；擅長資料科學領域的Python，也有著<a href="https://bit.ly/3aghciI" target="_blank">circlify</a>這類程式庫，可協助完成基於圓堆砌的計算，以完成後續資料視覺化的需求。</p> <p><span style="font-size:28px;"><strong>圓堆砌的繪製</strong></span></p> <p>若查詢維基百科〈Circular Packing〉條目的話，我們會發現，圓堆砌是幾何學的研究方向，探討如何在指定的面上排列圓，令圓與圓間不重疊且彼此間無法再擴張，相對應的研究是，哪種排列可以得到最大堆砌密度，也就是圓覆蓋的面積與指定範圍面積間的比例。</p> <p>對於大小相同的圓來說，數學家Axel Thue證明了正六角形密堆砌，也就是以正六角形的六個頂點及中心為六個圓心，六角形邊長為圓直徑，堆砌的結果在各種圓堆砌會具有最大堆砌密度0.9069，證明過程與Voronoi空間分割有關，有興趣的人，可以參考<a href="https://bit.ly/3M6OCxx" target="_blank">〈六角密堆砌證明及其它〉</a>。</p> <p>進一步地，也有大小不等圓的堆砌研究，例如兩種大小不等的圓，在資料視覺化的場合，我們經常看到的則是隨機大小的圓，依不同的需求，也有著許多分析演算方式，確定需求是必要的。如果想要隨機大小、視覺上看來緊密的圓堆砌？若可以的話，還要能在指定的任意形狀中進行堆砌呢？</p> <p><span style="font-size:28px;"><strong>D3.js的力模擬器</strong></span></p> <p>實現隨機的圓堆砌時，我們直覺上會想到，以隨機位置為圓心，隨機值為半徑建立圓，後續建立的圓必須檢查是否與既有的圓重疊，這個方式是行得通，但速度非常緩慢，原因不僅在既有圓的數量會越來越多，也在於後期想找到可以放置的圓，試誤的次數也會越來越多。</p> <p>為了避免無止盡地進行試誤，一般而言，我們會設定嘗試次數的上限，一旦到達上限之後就停止，從而導致希望達到的圓數量不足，在<a href="https://bit.ly/3z72Wmz" target="_blank">〈generative artistry - Circle Packing〉</a>的HTML5實作，就是如此。</p> <p>有一個折衷的方式，那就是：先隨機產生一組半徑並由大到小排序，從第一個半徑值開始，隨機找一個點作為圓心建立圓，後續的圓必須檢查是否與既有的圓重疊，基本上，後續的圓會越來越小，嘗試失敗的機率小一些，<a href="https://bit.ly/3GKg2Ij" target="_blank">〈Packing circles in a circle〉</a>就是基於此原理並使用Python實作，雖然有機會比方才的方式快一些，但試誤仍然是必需的，而且，設定試誤上限從而導致希望達到的圓數量不足，這個問題還是存在。</p> <p>那麼，方才D3.js的實現方式呢？它使用d3-force，這是個物理模擬粒子系統，可以將圓看成是粒子，賦予各圓速度，圓彼此間可指定斥力與碰撞等屬性，在〈Most basic circular packing〉示範了最基本的一組圓，起初圓彼此重疊，到最後因互斥而彼此不接合，這種實現的好處是，可以在一開始的圓數量與大小，最後達到緊密的圓堆砌。</p> <p>想自行實現這樣的物理模擬也不是難事，作法類似先前<a href="https://www.ithome.com.tw/voice/151846" target="_blank">專欄〈實現差別生長演算〉</a>談到的力模擬，這只需要區隔（seperation）的指向力，然而，要增加圓與圓間，以及圓與邊界間的碰撞偵測。</p> <p>在<a href="https://bit.ly/3PUfFPp" target="_blank">〈Controlled Circle Packing with Processing〉</a>就提供了Processing的實作方式，由於是基於物理模擬，還可以用滑鼠點選新增圓，新的圓會自動找到合適的位置。為了瞭解每段程式碼的作用，我重構一個<a href="https://bit.ly/3wT4iP2" target="_blank">p5.js的版本</a>，有興趣的人可以參考。</p> <p>基於力的模擬，還可以模仿出自然風格，最初的一組圓半徑可以都相同，然而每次的迭代過程，圓排斥後的新位置，會用來計算Perlin雜訊，得到的雜訊值會作為新的半徑值，Perlin雜訊會有高低之分，圓就會有大小之別，從而構成或密或疏的堆砌結果，Perlin雜訊是連續的，最後結果就像是翻攪肥皂泡泡水後的結果。</p> <p><span style="font-size:28px;"><strong>基於Delaunay三角分割</strong></span></p> <p>方才談到數學家Axel Thue證明正六角形密堆砌，擁有最大堆砌密度的方式，是基於Voronoi空間分割，這就讓我聯想到，可否基於分割後的空間來進行圓堆砌？好處是可以使用點來指定範圍甚至形狀，而且空間分割後會是各個凸多邊形，問題也就可以切分為，在凸多邊形中進行圓堆砌的子問題。</p> <p>在凸多邊形當中，如果我們尋找最大圓，基本方式是找<a href="https://bit.ly/3z4SSdY" target="_blank">Chebyshev中心</a>，然後計算中心至邊的距離作為半徑，不過除了最大圓之外，如何在凸多邊形的其他區域堆砌小圓，計算上都會比較麻煩。</p> <p>為了簡化問題，我轉而思考與Voronoi空間分割具有對偶關係的Delaunay三角分割，如此一來，問題可以切分為：在三角形中進行圓堆砌的子問題。</p> <p>方式之一是計算三角形內接圓，這是個簡單任務，至於內接圓以外的圓堆砌問題，我們可以沿著內接圓心至三個頂點間的直線，逐一放置圓，由於Delaunay三角分割後的三角形，可能會有狹長形，為了避免生成過小的圓，可以設定圓的最小半徑。</p> <p>要在三角形中進行圓堆砌，另一個方式是將既有的三角形再細分，然後只求切分後三角形的內接圓，不過，若原三角形過於狹長，切分後再放置的圓就會過小，而且彼此間的距離過疏；然而，我們可結合方才的做法，也就是進一步沿著圓心至三個頂點間的直線逐一放置圓，密度上會比第一種做法高，而且，外觀上會呈現Voronoi的結果。</p> <p>在我撰寫的<a href="https://bit.ly/38Cp4KV" target="_blank">〈experimental〉</a>，可以看到circle_packing為開頭的三個.scad原始碼，分別代表方才三種方式的OpenSCAD實作，大家可以試著運行看看，比較三種方式的執行結果。</p> <p>只要Delaunay三角分割的演算夠有效率，以上三種圓堆砌的方式，在速度上就會有相對應的表現，因為一旦三角分割完成，就沒有試誤的問題，而且可以自行指定點的位置，這就表示可以控制圓堆砌後的樣貌，例如<a href="https://bit.ly/3aD56jX" target="_blank">〈Golden Spiral & Circle packing 〉</a>就示範了，如何結合黃金螺線來構成銀河系般的圓堆砌效果。</p> <p><span style="font-size:28px;"><strong>圓堆砌的應用</strong></span></p> <p>我會開始研究圓堆砌，一開始是看到基於圓的文字雲，基本作法是將圓堆砌結果依半徑排序，如此就可以與文字雲的關鍵字數值進行配對。</p> <p>正如一開始談到的，圓堆砌在資料視覺化有著廣泛的應用，其實，也會用於影像處理（通常作為濾鏡），在生成藝術上也經常可見，例如，在Google圖片搜尋circle packing，就會看到各式各樣的應用，結合data visualization關鍵字，可以看到更多資料視覺化的案例，從中也可以找到相關實現範例。</p> <p>當然，隨機圓堆砌還有其他許多的呈現與處理方式，即便是等圓的堆砌，也有許多值得研究的主題，大家也可以從MathWorld的<a href="https://bit.ly/3PR2jUj" target="_blank">〈Circle Packing</a>〉，從中進行探索。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E8%A6%96%E8%A6%BA%E5%8C%96">資料視覺化</a></div><div class="field-item even"><a href="/tags/%E5%9C%93%E5%A0%86%E7%A0%8C">圓堆砌</a></div><div class="field-item odd"><a href="/tags/circular-packing">circular packing</a></div><div class="field-item even"><a href="/tags/python">Python</a></div><div class="field-item odd"><a href="/tags/d3js">D3.js</a></div></div></div>
2022/7/18 07:00作者林信良https://www.ithome.com.tw/voice/151955
【資安週報】2022年7月11日到7月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周新聞中，雲端服務業者提供的伺服器與虛擬機器被濫用情形日益嚴重，本周揭露的濫用情形中，例如，趨勢科技揭露了駭客針對軟體開發流程自動化系統服務GitHub Actions並利用其搭配的Azure VM來挖礦的行徑，此外，資安業者Profero揭露雲端IDE程式編輯器Datacamp遭濫用，且難以追溯的問題並提出警告。</p> <p>在漏洞修補上，本周微軟發布本月的Patch Tuesday，修補84個漏洞，其中CVE-2022-22047最值得關注，因為修補前已發現遭駭客鎖定與成功利用的情形，美國CISA也在本月12日將之納入Known Exploited Vulnerabilities資料庫，還有AMD CPU分支的硬體漏洞CVE-2022-23816與CVE-2022-23825獲得修補，本周多個平臺已經因應，陸續發布修補相關漏洞的新版本，接下來是用戶也要盡速更新修補。</p> <p>其他關注消息中，以勒索軟體組織將竊取資料搞成大數據資料庫開放利用恐帶出新的威脅，以及諸多大規模的網釣攻擊最受注目。</p> <p>從近期勒索軟體動向來看，有一新趨勢是，勒索軟體駭客挾持受害組織的檔案後的深化利用，不只是要脅外洩施壓以勒索、或是販售給其他犯罪組織，打造勒索軟體BlackCat的駭客，甚至打造檔名、文件、圖片都能文字內容檢索的資料庫，供犯罪社群利用，而這也引起打造勒索軟體LockBit駭客的注意，進而改版網站並增添搜尋功能。</p> <p>本周網釣事件揭露有多起，其中微軟公布一起針對上萬Office組織的行動，由於混和多種手法使用受關注，不只是將釣魚網站以代理伺服器方式設在用戶連線至目標網站間，竊取用戶的憑證Cookie與連線Session，然後用以BEC詐騙，由於帳戶合法被冒用將更難防範。</p> <p>在其他重要大事中，WPS Office辦公軟體開始傳出配合中國敏感詞彙審查，一旦查出違規會將檔案禁止存取或刪除的消息，這樣的政策會否擴大受全球用戶受關注。</p> <p>另外，上月發生每秒2,600萬次DDoS攻擊事件，Cloudflare在本月有後續追蹤報告，指出將此殭屍網路命名為Mantis，也說明後續攻擊不斷，光是自家用戶就遭到超過3千次的HTTP DDoS攻擊，以產業來看，網路及電信產業受攻擊比例達36%最高，其次新聞出版業、遊戲、金融也都在10%以上。</p> <h2 class="rtecenter"><strong>本週重大關注資安新聞</strong></h2> <p class="rtecenter" id="A"><strong><a href="https://www.ithome.com.tw/news/151967#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-01.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-02.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-03.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-04.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-07(1).jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-05.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-06.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-09.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-08.jpg" style="width: 550px;" /></a></strong><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E7%9C%8B%E6%9B%B4%E5%A4%9A(1).jpg" style="width: 550px;" /><br /> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p id="D">研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p id="E">該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對預設封鎖Office巨集啟用，微軟表示只是暫時延後</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p id="F">資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef"><span style="color: rgb(0, 0, 0);">雲端IDE程式編輯器Datacamp恐遭到駭客濫用</span></a></strong></h3> <p>雲端的整合開發環境（IDE）可讓程式開發人員更容易進行協同作業，但這樣的工具也有可能讓攻擊者降低攻擊門檻，只需網頁瀏覽器就能發動攻擊。資安業者Profero揭露濫用雲端IDE系統DataCamp的攻擊行動，駭客疑似運用進階版Python的IDE模組，部署第三方模組來連線到AWS S3儲存桶，並將儲存桶內的資料藉由DataCamp流出。</p> <p>研究人員也嘗試在該平臺導入Nmap網路拓撲工具，結果發現，他們雖然不能直接部署該軟體，但可直接透過編譯程式碼的方式產生。研究人員認為，這種濫用DataCamp的攻擊行動很可能不會被發現，因為沒有明確的來源顯示其IP位址的範圍，而難以追溯來源，且類似的雲端IDE系統有可能成為駭客加以濫用的對象。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p id="J">比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭大規模網釣攻擊，駭客竊取Cookie與Session資訊可繞過MFA，目的是用於發動BEC詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a></p> <p>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，特別的是將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/abused-quickbooks-site-sends-phone-scam-emails"><span style="color: rgb(0, 0, 0);">雲端會計系統QuickBooks遭到濫用！駭客將其用於網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Retail Brands Impersonated in Vishing Attacks from Quickbooks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Retail%20Brands%20Impersonated%20in%20Vishing%20Attacks%20from%20Quickbooks.png" style="width: 300px; float: right;" /></a>攻擊者寄送以軟體訂閱服務為幌子的釣魚郵件，算是相當常見，但現在出現了更難察覺異狀的做法。資安業者Inky約自2021年12月開始，發現有人濫用了雲端會計系統QuickBooks，來針對使用Google Workspace與Microsoft 365的中小企業下手，進行電話詐騙，迄今已有2,272次攻擊行動。這些駭客濫用了QuickBooks的30天免費試用期，用來向受害者發送假的發票，聲稱收信人從Amazon、蘋果、BestBuy購買了軟體並已經成功付款，並說明若是沒有購買卻被扣款，可透過客服電話進行後續退款事宜。</p> <p>一旦受害者依照指示操作，駭客就會要求提供信用卡資料與其他個資，或是要求存取詐欺網站，來截取受害者的資料，有時候駭客甚至還會要求透過遠端桌面連線來處理問題。但實際上，受害者這麼做將會讓對方握有信用卡資料，而可能遭到盜刷。</p> <p id="G">研究人員指出，駭客濫用QuickBooks而能發出幾可亂真的發票，而且因為電子郵件來自提供此會計服務的IT業者Intuit，難以與真正使用這套會計系統的用戶進行區隔，他們呼籲使用者收到這類購買通知郵件時，應該通過網路商城網站提供的電話，或是向信用卡公司進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/paypal-phishing-scam-mimics-known-security-measures"><span style="color: rgb(0, 0, 0);">駭客將網路釣魚工具包植入WordPress網站，竊取PayPal用戶個資</span></a></strong></h3> <p>受到許多網站採用的線上支付工具PayPal，遭到駭客鎖定，利用工具來竊取使用者的個資。資安業者Akamai在他們的蜜罐裡，發現駭客針對WordPress網站下手，藉由暴力破解的方式入侵後，植入網路釣魚工具包，此工具包鎖定PayPal用戶，假冒一連串的人類驗證機制與身分驗證機制，進而騙取受害者銀行帳號資料、電子郵件信箱密碼、照片等個資，駭客得手後很有可能將其用於洗錢或是其他網路犯罪。</p> <p>研究人員指出，這個工具包採用一些獨特的手法來規避資安業者的偵測，像是駭客對於連線的IP位址設置，會避免在資安公司的網域黑名單裡，而有可能因此躲過相關檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/chromeloader-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png" style="width: 300px; float: right;" /></a>駭客不光打造EXE可執行檔或DLL程式庫的惡意程式，也企圖透過瀏覽器外掛程式來發動攻擊。資安業者Palo Alto Networks揭露名為ChromeLoader（亦稱Choziosi Loader、ChromeBack）的惡意軟體，研究人員大約於今年1月開始進行追蹤，駭客以光碟映像檔ISO、蘋果裝置的磁碟映像檔DMG的型式來進行散布，並以提供破解版電玩遊戲或是電影的種子檔案名義，來引誘使用者上當。</p> <p>一旦使用者依照指示在網頁瀏覽器Chrome上安裝了ChromeLoader，駭客不只能存取瀏覽器的個人設定資料，還能操弄瀏覽器發出的請求，同時也可追蹤使用者使用Google、Yahoo、Bing等搜尋的記錄，進而得知受害者的上網行為。</p> <p>研究人員指出，雖然駭客一開始主要是針對Windows電腦下手，但他們在今年3月看到鎖定Mac電腦的ChromeLoader，因此Mac電腦的用戶也要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-packages-steal-telegram-cache-files-add-windows-remote-desktop-accounts"><span style="color: rgb(0, 0, 0);">惡意PyPI套件鎖定Windows電腦用戶，攻擊Telegram軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg" style="width: 300px; float: right;" /></a>駭客使用PyPI惡意套件發動攻擊的情況又有新的攻擊事件，這次是針對Windows電腦的Telegram用戶而來。資安業者Sonatype發現flask-requests-complex、php-requests-complex、tkinter-message-box等惡意套件，flask-requests-complex與php-requests-complex內含的程式碼，會在攻擊過程建立使用者帳號，而能夠讓攻擊者透過遠端桌面連線（RDP）任意存取受害電腦；而第3個惡意套件的行為，引發研究人員注意，因為此套件專門鎖定Telegram電腦版程式的tdata使用者設定資料夾，一旦用戶安裝該套件，Telegram的帳號資料就有可能遭到外洩。PyPI接獲通報後，已移除上述套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/14/north-korean-threat-actor-targets-small-and-midsize-businesses-with-h0lygh0st-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客HolyGhost鎖定全球小型組織，發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png" style="width: 300px; float: right;" /></a>北韓駭客組織運用勒索軟體的攻擊行動，有可能是為了經濟利益而來。微軟揭露名為HolyGhost（DEV-0530）的駭客組織攻擊行動，這些駭客運用名為H0lyGh0st的勒索軟體，自2021年6月開始發動攻擊，並於2021年9月就有多個國家小型企業遇害，受害組織類型涵蓋銀行、學校、製造業，以及活動企畫公司。</p> <p>駭客疑似利用網站內容管理平臺DotCMS的漏洞CVE-2022-26352，來入侵受害組織，得逞後在網路環境投放勒索軟體加密檔案，並留下勒索訊息，要脅不付錢就公開竊得的資料。這些駭客通常會向受害組織索討1.2至1.5個比特幣贖金。</p> <p>研究人員指出，這些駭客很可能與另一個北韓駭客組織DarkSeoul（亦稱Plutonium）有所交流，攻擊的目的很有可能是為了經濟利益而出手。</p> <h3><strong style="font-size: 22px;"><a href="https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/"><span style="color: rgb(0, 0, 0);">研究人員揭露針對OAuth身分驗證流程進行帳號挾持的手法Dirty Dancing</span></a></strong></h3> <p>身分驗證機制OAuth能讓使用者利用自己的Google、微軟、臉書帳號，來存取網站服務，而不需特別申請個別網站的帳號，但這樣的機制有可能被攻擊者拿來挾持帳號。資安業者Detectify揭露名為Dirty Dancing的攻擊手法，駭客可藉由使用的OAuth回應類型的切換，結合重新導向的URI和第三方JavaScript套件的搭配，從中找到可能用來將Token或是授權碼洩露的弱點，執行OAuth-dance的驗證流程，進而挾持使用者的帳號。研究人員呼籲網站經營者要了解OAuth-dance涉及那些網頁，並避免在這些網頁使用外部指令碼，來減少駭客發動Dirty Dancing攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-0mega-ransomware-targets-businesses-in-double-extortion-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體0mega要脅對合作夥伴告狀，向受害企業進行雙重勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg" style="width: 300px; float: right;" /></a>新的勒索軟體最近幾個月不斷有研究人員揭露相關發現，而相當引人注目。根據資安新聞網站Bleeping Computer的報導，名為0mega的勒索軟體於今年5月出現，鎖定全球的組織下手，並向受害組織進行雙重勒索，索討數百萬美元的贖金，該新聞網站的研究人員看到的勒索訊息內容發現，駭客疑似對每個受害組織竊取不同類型的資料，有些事故駭客揚言會向合作夥伴與貿易協會告狀，破壞受害組織的商譽，企圖索討贖金。</p> <p>研究人員看到駭客公布其中一個疑似不願支付贖金的受害組織，該組織主要經營電子產品的維修與翻新，並表示他們竊得了152 GB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game"><span style="color: rgb(0, 0, 0);">駭客藉由網路釣魚，入侵NFT遊戲Axie Infinity所屬的區塊鏈金流</span></a></strong></h3> <p>NFT遊戲Axie Infinity的<a href="https://www.ithome.com.tw/news/150181">區塊鏈網路Ronin Network於今年3月下旬遭駭</a>，被盜走約6.25億美元加密貨幣，美國後來指控是北韓駭客Lazarus所為，而這起事故的調查似乎有了新的進展。根據區塊鏈新聞網站The Block於7月6日的報導，2名知情人士向他們透露，駭客入侵Ronin Network的管道，就是透過人脈網站LinkedIn下手，駭客鎖定1名Sky Mavis資深工程師，聲稱提供更好的薪資條件向他招手，使得這名工程師被騙，但這家提供職缺的公司，實際上根本不存在。</p> <p>消息人士指出，該名工程師還經過多次面試，以為得到一份報酬極為優渥的工作，並下載了名為「職缺（Offer）」的PDF檔案，使得駭客得以藉由Sky Mavis的IT基礎設施，在Ronin Network裡植入間諜程式，並控制驗證伺服器以取得所需的存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/07/transparent-tribe-targets-education.html"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客APT36鎖定印度大專院校，散布CrimsonRAT</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT36-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT36-image1.png" style="width: 300px; float: right;" /></a>駭客將攻擊目標鎖定學生的情況，近期有越來越多的事故發生。思科揭露巴基斯坦駭客組織APT36（亦稱Operation C-Major、Mythic Leopard、Transparent Tribe）自2021年12月發起的攻擊行動，駭客針對印度大專院校的學生下手，藉由網路釣魚的方式，向受害者投放惡意文件檔案，一旦收信人開啟檔案，電腦就有可能被部署木馬程式CrimsonRAT，進而長期洩露受害者電腦的資料，並回傳給駭客。</p> <p>研究人員指出，駭客使用了巴基斯坦主機代管服務業者Zain Hosting的伺服器，來架設基礎設施，但他們推估這只是其中一部分，APT36很有可能使用了多家主機代管服務的設施來進行建置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.antiy.cn/research/notice&report/research_report/20220713.html"><span style="color: rgb(0, 0, 0);">印度駭客組織Confucius對巴基斯坦軍事機構發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-4.png" style="width: 300px; float: right;" /></a>駭客為了避免遭到追查，很有可能濫用CDN服務來隱匿攻擊來源。中國資安業者安天（Antiy）揭露由印度駭客組織Confucius的攻擊行動，駭客自去年下半，開始假冒巴基斯坦政府員工的身分，針對政府機關與軍事單位進行釣魚郵件攻擊，一旦收信者開啟帶有巨集的文件，電腦就會被植入木馬程式QuasarRAT，以及該組織使用C++、C#開發的木馬程式，在受害電腦部署後門並進行竊密。</p> <p>研究人員指出，這起攻擊行動比較特別的是，駭客為了避免資安人員追查，他們使用了多種手法，例如，駭客竄改木馬程式的時戳，並使用Cloudflare的CDN服務來隱藏攻擊來源。</p> <p id="B">此外，這些駭客為了確保打開惡意文件檔案的收信人是他們鎖定的目標，他們也運用了Cloudflare防火牆來過濾來源IP位址，而且使用密碼來保護惡意文件。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p id="H">微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware修補去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/cisco-and-fortinet-release-security.html"><span style="color: rgb(0, 0, 0);">思科、Fortinet修補旗下產品漏洞</span></a></strong></h3> <p>思科與Fortinet近日修補旗下產品的重大漏洞，並呼籲用戶要儘速修補。思科於7月6日發布資安公告，總共修補了10個漏洞，其中最危險的是CVE-2022-20812與CVE-2022-20813，CVSS評分各為9.0與7.4，影響該公司的Expressway系列軟體，以及TelePresence視訊會議系統等兩套產品，一旦漏洞遭到利用，就有可能讓駭客覆寫任意檔案，或是製造空位元中毒攻擊。</p> <p>Fortinet也於7月5日修補4個高嚴重性漏洞，這些漏洞為CVE-2021-43072、CVE-2021-41031、CVE-2022-30302、CVE-2022-26117，CVSS評分為7.4至8.0分，影響FortiAnalyzer、FortiClient、FortiDeceptor，以及FortiNAC，一旦遭利用，攻擊者有可能在通過身分驗證的情況下執行任意程式碼，或是存取MySQL資料庫，以及從本地使用者提升為SYSTEM的權限。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-july-2022-three-applications-focus"><span style="color: rgb(0, 0, 0);">SAP修補ERP系統Business One的高嚴重漏洞</span></a></strong></h3> <p>SAP於7月12日發布每月的例行修補，針對20個漏洞的緩解措施進行公告，其中有4個漏洞屬於高風險漏洞，有3個存在於ERP系統Business One，另1個為BusinessObjects的漏洞。而在公告當中最為嚴重的漏洞是CVE-2022-35228，CVSS風險評分為8.3分，這是商業智慧軟體BusinessObjects集中管理主控臺的資訊洩露漏洞，資安業者Onapsis指出，攻擊者一旦利用這項漏洞，有機會在尚未通過身分驗證的情況下，藉由網路取得Token的資料。不過，駭客想要觸發這項漏洞有項前提，那就是需要有使用者存取應用程式的情況下，才能進行漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p id="I">資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p id="C"><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">臺灣企業資安投資抵稅正式上路，最新投資抵減辦法7月公布</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <h3><strong style="font-size: 22px;"><a href="https://pypi.org/security-key-giveaway/"><span style="color: rgb(0, 0, 0);">PyPI要求最熱門套件的開發者使用雙因素驗證，但有人打算鑽漏洞</span></a></strong></h3> <p>鎖定PyPI套件庫的攻擊事故，近期陸續出現數起，使得PyPI打算強制部分用戶採用雙因素驗證（2FA），而引起少部分開發人員反彈。PyPI於7月8日發布資安通告指出，他們即將在數個月內，陸續要求維護最為熱門的套件開發者，使用雙因素驗證，估計至少有3,500個套件的維護者、所有者，將必須通過進階身分驗證流程，才能執行套件的各式管理工作。</p> <p>PyPI將這些最熱門的套件稱為「關鍵（Critical）」套件，指的是在最近6個月內，下載次數在前1%的PyPI套件，一旦被登錄，該套件將會永久具備這項屬性。維護上述關鍵套件的經營者，將有機會免費取得2個由Google贊助的實體Token裝置Titan。</p> <p>此舉多數開發者表達支持立場，但也有人不願買單──例如，開發atomicwrites套件的Markus Unterwaditzer收到PyPI通知後，決定將這款每月下載超過6千次的套件下架，並重新以新的名稱上傳到套件庫，來迴避必須採用雙因素驗證的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ncsc.gov.uk/blog-post/preparing-the-long-haul-the-cyber-threat-from-russia"><span style="color: rgb(0, 0, 0);">來自俄羅斯的網路威脅導致資安人員工作更加吃重，英國呼籲企業重新檢視相關員工的工作量</span></a></strong></h3> <p>在烏克蘭戰爭中，相關的網路攻擊行動已經擴及歐洲其他國家，而使得資安人員工作量急劇增加，有可能難以持續工作，最後選擇離職，使得企業將面臨資安人力更加吃緊的現象。英國國家網路安全中心（NCSC）近日提出警告，他們先前呼籲企業要嚴加防範俄羅斯開戰後的網路攻擊行動，但隨著烏克蘭戰爭已經僵持數個月，企業應留意資安團隊可能因為長期處於高壓的狀態，而使得所屬團隊的員工已經不堪負荷，呼籲要調整因應網路威脅的做法，例如：</p> <p>●建立依據風險層級為依據的決策模式，來設立有效率且能長期運作的防禦制度</p> <p>●賦與第一線人員依據優先程度決策的權利</p> <p>●確保工作負載能平均分配個人與團隊，並讓第一線人員能獲得充分休息</p> <p>●提供管理者及團隊相關資源來察覺需要協助的員工</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/151963"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare披露全球DDoS攻擊能力最強大的Mantis殭屍網路</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/tech/151925"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/151701"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">深入2022年四大科技戰略，看摩根大通如何將科技變成競爭優勢？當中揭露AI應用與資安投入的積極性</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/free-decryptor-released-for-astralocker-yashma-ransomware-victims/"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體AstraLocker、Babuk、Yashma的解密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/"><span style="color: rgb(0, 0, 0);">駭客假冒CrowdStrike等資安業者，企圖在受害組織植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151963"><span style="color: rgb(0, 0, 0);">Mantis成為2022年6月全球最具威脅的殭屍網路</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/targeted-attack-on-government-agencies.html"><span style="color: rgb(0, 0, 0);">攻擊者以阿富汗和印度的關係為誘餌，鎖定多個國家的政府機關，散布AysncRAT和LimeRAT木馬</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.tasnimnews.com/en/news/2022/07/12/2742013/iraqi-cyberattack-targets-tel-aviv-municipality-website"><span style="color: rgb(0, 0, 0);">以色列捷運公司遭到伊拉克的網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.techtarget.com/searchsecurity/news/252522715/Researcher-develops-Hive-ransomware-decryption-tool"><span style="color: rgb(0, 0, 0);">研究人員針對新的勒索軟體Hive變種提供解密工具</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/iThome%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1Top%2010_0715.jpg" style="width: 550px;" /></span></span></strong></p> </div></div></div>
2022/7/15 17:51作者羅正漢https://www.ithome.com.tw/news/151967
別讓見樹不見林的思維掩蓋真相
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圓神出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從COVID-19 在全球肆虐後，媒體最常報導的就是各國每日確診死亡人數，政論節目也不斷評論各國的防疫政策。2022年2月中旬，一位名嘴在節目裡說：「美國是全世界COVID-19確診死亡數最多的國家，共有93萬多人，遠高過英國的16萬、法國的14萬和德國的12萬，高達6～8倍，防疫真的做得太差了！美國政府和人民防疫的努力比起歐洲差很大！」其他名嘴也紛紛點頭同意。</p> <p>內人鳳蘋剛好聽到這一段，她告訴我：「這個說法，已經掉進『見樹不見林』的謬誤之中。」</p> <p>確實是如此，我從牛津大學的Our World in Data網站，查看了這四個國家的人口總數，結果是美國三億三千萬、英國六千八百萬、法國六千七百萬、德國八千四百萬。我進一步把死亡數除以人口數，來計算每百萬人口的COVID-19確診死亡率，結果發現美國2800、英國2351、法國2020、德國1442，相差都在兩倍之內。只看到死亡數而沒看到人口數，正是一般人常犯的因果謬誤。</p> <p>見樹不見林的思考方式，相當於只看到分子，而沒有看到分母，當然容易下錯結論。由於不同國家、地區或團體的人口數可能差異很大，如果只比較健康事件，像是病例數或死亡數的多寡，而忽略了人口數，對於事件的判斷，就無法精準正確。</p> <p><span style="font-size:28px;"><strong>數人頭還是算比率？</strong></span></p> <p>在你我日常接受到的資訊中，類似「見樹不見林」的謬誤真的不少！我曾看到某名報頭版標題寫著「智慧型犯罪與年俱增」，內容提到過去十年來，在犯罪的人當中，研究所和大學畢業生所占的百分比，分別從4％和18％，增加到7％和27％，換句話說，研究所畢業的犯罪者占比增為1.8倍，大學畢業的犯罪者占比增為1.5倍。「很顯然智慧型犯罪正在逐年增加，加強大學院校學生的品德和公民教育刻不容緩。」</p> <p>這則新聞的論斷，明顯地掉入見樹不見林的謬誤中。其實在這十年間，全人口的大學與研究所畢業生所占的百分比也是逐年增加。如果計算不同教育程度族群的犯罪率，這十年來並沒有顯著的上升。因此，在觀察社會或健康事件發生狀況時，必須同時考量事件數和人口數，先計算事件發生率，才能進一步比較分析和下結論。</p> <p>1983年我在擔任臺大公衛系副教授時，接受衛生署委託進行「臺灣高血壓防治實驗計畫」。我們從六個鄉鎮區的戶政事務所，隨機抽樣選出具有代表性的研究個案。徵得他們同意後，就進行個人基本資料、生活飲食習慣、疾病治療史的問卷調查，並且以水銀血壓計測量休息後血壓三次，計算收縮壓和舒張壓的平均值，再按照世界衛生組織的標準判定是否患有高血壓。</p> <p>有一次，臺大內科曾文賓教授和我一起討論不同年齡層的高血壓盛行率時，我的研究生報告分析結果說：「在高血壓的病人當中，以50～59歲所占百分比最高，其次是40～49歲、60～69歲，再來是30～39歲和70～79歲，……」曾教授馬上說：「不，怎麼會是50～59和40～49歲最高呢？而且30～39歲和70～79歲一樣更奇怪！你該看各年齡的盛行率，而不是病例數所占的百分比！」研究生回答說：「高血壓盛行率確實是隨年齡越大而越高！」</p> <p>如果只看高血壓病例數的年齡分布，這位研究生認為大多數高血壓病人集中在50～59歲，但是他忽略了各年齡層的研究人數有很大差異。當年臺灣的人口結構是金字塔型，年齡越高人口越少，我們的抽樣研究樣本也是如此。所以應該把病例數除以參加研究人數，比較各年齡層的盛行率，才是正確的做法。換句話說，不只要數病例數，還要考量參加研究人數，來計算高血壓的盛行率。</p> <p>就像前面提到的四個國家的COVID-19死亡狀況，如果只從死亡數來看，就斷定「美國死亡數很多，好恐怖」，而沒有考慮到美國總人口數也很多，就會下錯結論，必須算出死亡率，才是適合比較的數據。</p> <p><span style="font-size:28px;"><strong>COVID-19的演進因果螺旋</strong></span></p> <p>因果螺旋模式最主要的功能，就是在遇到新的健康問題時，協助我們思考到底病原是什麼？宿主如何受到暴露？宿主感受性如何？引起個人發病的自然史有哪些重要階段？個人的三段五級預防對策為何？如何擴大影響到家庭、社會、國家、甚至全世界？如何遏止疾病的蔓延擴散？</p> <p>像COVID-19這樣的新興人畜共通傳染病，也可以利用因果螺旋模式來試想可能的防疫之道。</p> <p>整個全球大流行的演進，從一個病毒感染到首位人類宿主，侵入表現ACE2受體的細胞，致使病毒大量複製繁殖，持續感染其他的細胞，造成組織與器官系統的病理變化，產生嚴重臨床症狀、呼吸衰竭甚至死亡。在該病例發病期間，透過密切接觸或汙染環境，而將病毒傳給醫護人員、家人親友、同學同事。病毒就會擴散到家庭、學校、職場、社會、國家、全世界，使因果螺旋的範圍籠罩整個地球，「星星之火、足以燎原」就是最好的寫照，COVID-19因此帶來家庭生計艱困、社會恐慌、國家動盪、全球蕭條。</p> <p>一個人會不會得到感染、病毒在體內會不會繁殖很快、是否發病？決定於宿主的遺傳基因、免疫能力、健康行為、預防接種。</p> <p>一旦進入潛伏期，能否快速篩檢、早期發現、隔離治療、適切使用抗病毒藥物，就決定了個人是否會發生症狀徵候、重症和死亡。在個人感染到痊癒或死亡的第一階段，宿主與社會（醫護）環境扮演很重要的角色。要預防病毒由個人傳給醫護人員、親朋好友、同事同學而造成社區傳播，醫療體系的超前部署、院內感染管控的落實、篩檢量能的提升、疫調匡列的確實執行、居家隔離的嚴格監控、自主健康管理的強化、口罩等防疫物資的量產與分配、個人衛生習慣的實踐、避免減少群聚活動、實名制進入公共場所等與精準防疫有關社會環境因素，在第二階段的社區防疫就變得很重要。</p> <p>要讓疫情對家庭、社會、國家的衝擊降至最小，在第三階段還必須對低收入家庭、殘障人士、老弱婦孺、受創行業，進行救濟紓困。為了維持中小企業的發展，振興券的有效率而有效益地發放也很重要。在疫情期間的線上上班上課、電子商務、遠距醫療等宅經濟的發展，減少健康不平等、降低城鄉落差，可以穩定社會經濟的發展。在自由民主多元開放的國家，疫情的公開透明對於建立民眾對政府的信任相當重要；落實個人資料與隱私權的保護，才能鼓勵民眾配合防疫規定。換句話說，包括跨部會整合的社會環境因素，在社會安定和國家安全扮演最重要的角色。</p> <p>現今，人與人、國與國的連結比昔日更密切。在COVID-19大流行的網羅下，沒有一個人是安全的，除非每一個人都安全；也沒有一個國家是安全的，除非每個國家都安全。以疫苗接種為例，截至2022年5月底，世界上還有許多國家的疫苗覆蓋率相當低，特別是非洲國家，亟待他國大力支援。要應用接種疫苗來遏阻大流行，就是要達到「四海一家、世界大同」的理想，積極協助低收入國家早日普及接種，使所有國家都能阻斷病毒的擴散、複製與突變，避免新變異株的產生。<span style="color:#696969;"><strong>（本文摘錄整理自《因果螺旋》，圓神出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(6).jpg" style="width: 350px;" /></strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong> <span style="color: rgb(51, 153, 255);"><strong>因果螺旋：跨越時空的探索與思辨</strong></span></p> <p>陳建仁／著</p> <p>圓神出版</p> <p>定價：410元</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/200-%E5%9C%962_%E5%9B%A0%E6%9E%9C%E8%9E%BA%E6%97%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%93%E7%A5%9E%E5%87%BA%E7%89%88%E3%80%81%E9%84%9E%E6%99%BA%E9%88%9E%E6%94%9D(1).jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／圓神出版、鄞智鈞攝影</span></span></p> <p><strong>陳建仁</strong></p> <p>畢業於美國約翰霍普金斯大學公共衛生學院的流行病學家，曾任臺大助教、講師、副教授、教授、公共衛生研究所所長、流行病學研究所創所所長、公共衛生學院院長、中央研究院合聘研究員、特聘研究員、副院長。也曾任衛生署署長、國家科學委員會主任委員、第十四任副總統。</p> <p>研究領域包括流行病學、人類遺傳、預防醫學與公共衛生。發表八百餘篇學術論文，已被引用超過十萬次（Google Scholar統計）。</p> </div></div></div>
2022/7/15 10:52未署名https://www.ithome.com.tw/article/151949
架構師如何做決策
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發人員在網上搜尋當前問題的解決方案方面建立了出色的技能。例如，如果他們需要弄清楚如何在他們的環境中配置一個特定工具，專業地使用Google就會找到答案。</p> <p>但對架構師來說，情況並非如此。</p> <p>對於架構師來說，許多問題都帶來了獨特的挑戰，因為它們混淆了你組織的確切環境和情況──有人遇到了這種情況並將它發布在博客或貼在Stack Overflow上的機會有多少？</p> <p>架構師可能想知道，與框架、API等技術主題相比，為什麼關於架構的書籍這麼少。架構師很少會經歷常見的問題，但卻在新情況下為了做決定而不斷地掙扎。對於架構師來說，每一個問題都是一片雪花。在許多情況下，問題不僅僅是出現在特定的組織內，而對整個世界都是新的。對於這些問題，沒有任何的書籍或是會議討論它！</p> <p>架構師不應該一直為他們的問題尋找靈丹妙藥。因為幾乎每一個問題都會帶來新的挑戰，架構師的真正工作在於他們能夠客觀地決定和評估一個最終決定任何一方的權衡，以盡可能好地解決它。作者沒有談論「最佳解決方案」（在本書或現實世界中），因為「最佳」意味著架構師已經設法將設計中所有可能的競爭因素最大化。相反地，我們提出以下半開玩笑的建議：</p> <p>不要試圖在軟體架構中找到最好的設計；相反地，要爭取最不差的權衡組合。</p> <p>通常情況下，架構師可以建立的最好設計是最不差的權衡集合──沒有一個單一架構特徵能超過它單獨的那樣，但所有競爭架構特徵的平衡能促進專案成功。</p> <p>這就引出了一個問題，「架構師如何才能找到最不差的權衡組合（並有效地記錄它們）？」</p> <p><span style="font-size:28px;"><strong>為什麼是「困難部分」？</strong></span></p> <p>為什麼我們把這本書叫做《軟體架構：困難部分》？實際上，書名中的「hard」一字有雙重含義。首先，hard意味著困難，而架構師們不斷面臨著字面上（及象徵性地）以前沒有人所面臨過的困難問題，涉及許多具有長期影響的技術決策，這些決策必須發生在人際和政治環境之上。</p> <p>第二，hard意味著硬──就如同在分離的硬體和軟體中，硬的部分應該改變得比較少，因為它為軟的部分提供了基礎。同樣地，架構師也討論了架構和設計之間的區別，前者是結構性的，而後者更容易改變。</p> <p>軟體架構的定義本身已經為它的參與人員提供了許多時間的非生產性對話。一個最受歡迎半開玩笑的定義是「軟體架構是那些以後很難改變的東西。」</p> <p><span style="font-size:28px;"><strong>提供關於軟體架構的永恆建議</strong></span></p> <p>軟體開發的生態系統不斷地、混亂地轉變和成長。幾年前風靡一時的話題要麼被生態系統所包含並消失，要麼被不同/更好的東西所取代。例如，10年前，大型企業的主流架構樣式是協作驅動、服務導向的架構。現在，幾乎沒有人再採用這種架構的樣式了；目前許多分散式系統所青睞的樣式是微服務，這種轉變是如何以及為什麼發生的？</p> <p>當架構師注視一個特定的樣式（尤其是歷史性的），他們必須考慮導致這架構成為主流的約束因素。當時，許多公司合併成為企業，伴隨著這種過渡隨之而來的是整合問題。此外，對於大公司來說，開源並不是一個可行的選項（通常是出於政治而非技術原因）。因此，架構師強調共用資源以及集中協作作為一種解決方案。</p> <p>然而，在這幾年中，開源和Linux成為可行的替代方案，使作業系統在商業上免費。然而，真正的轉捩點發生在Linux隨著像是Puppet和Chef等工具的出現而在操作上變得免費，這些工具允許開發團隊以編程方式啟動他們的環境，作為自動建構的一部分。一旦有了這種能力，它就透過微服務和迅速出現的容器基礎架構，以及像是Kubernetes等協作工具而促進了一場架構革命。</p> <p>這說明了軟體開發的生態系統以完全無法預期的方式擴展和演進。一種新的能力導致了另一種能力，這又不預期地創造了新的能力。隨著時間的推移，這個生態系統一次一個地完全取代了自己。</p> <p><span style="font-size:28px;"><strong>資料在架構中的重要性</strong></span></p> <p>對於架構界許多人來說，資料就是一切。每個建立任何系統的企業都必須處理資料，因為它的壽命往往比系統或架構還長得多，需要勤奮的思考和設計。然而，資料架構師建立緊密耦合系統的許多本能在現代分散式架構中產生了衝突。例如，架構師和DBA必須確保商務資料在整體式系統被拆散後仍能存在，並且無論架構如何波動，商務仍可以從它的資料中獲得價值。</p> <p>有人說，資料是一個公司最重要的資產。企業希望從他們擁有的資料中提取價值，並在決策中找到新的方法部署資料。現在企業的每一部分都是由資料驅動的，從服務現有客戶到獲得新客戶、增加客戶保留率、改善產品、預測銷售和其他的趨勢。這種對資料的依賴意味著所有的軟體架構都在為資料服務，確保正確的資料可以被企業的各部門使用。</p> <p>幾十年前，當分散式系統剛開始流行時，作者就建立了許多分散式系統，但是現代微服務的決策似乎更為困難，我們想弄清楚為什麼。我們最終意識到，在分散式架構的早期，我們大多仍然是堅持資料在一個單一的關聯式資料庫中。然而，在微服務中，以及從「Domain-Driven Design」中對有界上下文的哲學堅持，作為限制實作細節耦合範圍的一種方式，資料已經和交易性一起移到了架構關注點上。現代架構的許多困難部分都來自於資料和架構關注點之間的緊張關係。</p> <p><span style="font-size:28px;"><strong>使用適應度函數</strong></span></p> <p>在2017年的《Building Evolutionary Architectures》（O’Reilly）一書中，作者（Neal Ford、Rebecca Parsons和Patrick Kua）定義了架構適應度函數的概念：對某些架構特徵或架構特徵的組合進行客觀完整性評估的機制。</p> <p>架構師實作適應度函數，以圍繞架構特徵的意外變化建立保護。在敏捷軟體開發領域，開發者實作單元、功能以及使用者驗收測試，以驗證領域設計的不同維度。然而，直到現在，還沒有類似的機制來驗證設計中的架構特徵部分。事實上，適應度函數和單元測試之間的分離為架構師提供了一個很好的範圍指引。適應度函數驗證架構特徵，而不是領域標準；單元測試則正好相反。因此，架構師可以透過詢問以下問題來決定是否需要適應度函數或單元測試：「執行這個測試是否需要任何的領域知識？」如果答案是「是」，那麼單元/功能/使用者驗收測試是合適的；如果答案是「否」，則需要一個適應度函數。</p> <p>例如，當架構師談論彈性時，指的是應用程式能夠承受使用者突然爆發的能力。請注意，架構師不需要知道有關領域的任何細節──這可以是電子商務網站、線上遊戲、或其他的東西。因此，彈性是一個架構上的問題，並且在適應度函數的範圍內。另一方面，如果架構師想要驗證一個郵寄位址的正確部分，則可以透過傳統測試來涵蓋。當然，這種分離並不是純粹的二分法──有些適應度函數會觸及到領域，反之亦然，但不同的目標提供了一個很好的方法來從精神上將它們分開。<span style="color:#696969;"><strong>（本文摘錄整理自《軟體架構：困難部分》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-1.jpg" style="width: 345px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>軟體架構：困難部分</strong></span><strong><span style="color:#0099ff;">──</span></strong><span style="color: rgb(51, 153, 255);"><strong>分散式架構的權衡分析</strong></span></p> <p>Neal Ford, Mark Richards, Pramod Sadalage, Zhamak Dehghani／著</p> <p>劉超群／譯</p> <p>碁峰資訊出版</p> <p>定價：780元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Neal Ford</strong></p> <p>Neal Ford是領先全球的技術諮詢公司Thoughtworks董事、軟體架構師和備忘錄整理者。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Mark Richards</strong></p> <p>Mark Richards是一位實踐型軟體架構師，在微服務、服務導向架構和分散式系統的設計和實作方面擁有豐富經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Pramod Sadalage</strong></p> <p>Pramod Sadalage是Thoughtworks資料和DevOps總監，在應用程式和演進資料庫開發、資料架構、NoSQL資料庫和資料庫重構模式等方面擁有豐富的經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%EF%BC%95_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Zhamak Dehghani</strong></p> <p>Zhamak Dehghani是Thoughtworks技術總監，專注於分散式架構和新興技術。她也是Data Mesh創始人。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> </div></div></div>
2022/7/15 11:29未署名https://www.ithome.com.tw/article/151950
【資安日報】2022年7月14日，勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體BlackCat動作頻頻，近期又以將竊得的資料彙整，並提供搜尋功能而引起關注。而在本週的資安新聞裡，該組織於3天前聲稱攻擊了電玩遊戲開發商萬代南夢宮（Bandai Namco），而該公司也在昨天承認遭到網路攻擊，並清查資料外洩的情形。</p> <p>駭客發動網路釣魚攻擊的手法也變得越來越複雜，混用多種手法而能突破雙因素驗證，最終目的是將這些受害者的電子郵件帳號拿來發動BEC詐騙。這波攻擊行動主要鎖定Office 365用戶而來，10個月內已有上萬個組織遭到攻擊。</p> <p>在本月微軟的每月例行修補（Patch Tuesday）當中，該公司公告並緩解的漏洞裡，有超過三分之一與VM災難復原服務Azure Site Recovery有關。其中一項漏洞甚至有可能讓駭客清除備份資料，而導致組織無法進行災害復原。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭到大規模網釣攻擊鎖定，駭客繞過雙因素驗證機制，但目的是將電子郵件信箱拿來發動BEC攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p>資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> </div></div></div>
2022/7/14 15:59作者周峻佑https://www.ithome.com.tw/news/151943
微軟披露蘋果macOS程式沙箱逃逸漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於今年5月修補了macOS Monterey與macOS Big Sur的數十個安全漏洞，其中的CVE-2022-26706是由微軟於去年10月所通報，<a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/" target="_blank">而微軟選在本周披露了漏洞細節</a>，並公布簡短的概念性驗證攻擊程式。</p> <p>根據蘋果的說明，CVE-2022-26706漏洞存在於macOS中的LaunchServices，<a href="https://developer.apple.com/documentation/coreservices/launch_services" target="_blank">LaunchServices是個API</a>，允許正在執行的程式開啟其它程式或是這些程式的文件檔案，而該漏洞讓程式有機會繞過蘋果App Sandbox的沙箱限制。</p> <p><a href="https://developer.apple.com/documentation/xcode/configuring-the-macos-app-sandbox/" target="_blank">macOS的App Sandbox 是個存取控制技術</a>，由程式指定沙箱規則，再由作業系統負責強制實施，例如程式可讀寫的文件類型、程式可存取的資源或是程式所能建立的連結等，可在使用者所執行的程式遭到危害時，抑制對系統及使用者資料的危害。此一機制替程式與作業系統之間建立了一道安全屏障，也被許多程式視為重要的安全工具，包括Microsoft Office在內。</p> <p>微軟Microsoft 365 Defender首席安全研究人員Jonathan Bar Or指出，他們是在研究如何於macOS上的Microsoft Office執行或偵測惡意的巨集時，發現了該漏洞。為了向下相容，Microsoft Word可讀取或寫入以~$作為前綴的文件，卻發現只要利用LaunchServices在一個具備該前綴的特製Python檔案執行open –stdin 命令，就可逃離macOS對程式所部署的沙箱限制，進而危害使用者的系統與資料。</p> <p>Bar Or表示，此一漏洞允許駭客繞過App Sandbox規則，讓惡意的程式碼逃逸至沙箱之外，並於裝置上執行任意命令，受到駭客青睞的Word巨集即可能成為惡意程式碼的藏身之處。</p> <p>Microsoft 365 Defender團隊也針對CVE-2022-26706漏洞撰寫了概念性驗證程式，還把它精簡成可以透過Twitter發表的版本。</p> </div></div></div>
2022/7/14 16:24作者陳曉莉https://www.ithome.com.tw/news/151944
IBM Power10新增4產品，主打中階市場、遠端辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html" target="_blank">IBM本周宣布</a>最新Power 10晶片為基礎的4項伺服器產品，將最新一代Power晶片推向中階市場及遠端辦公室雲端應用情境。</p> <p>Power是IBM自有RISC晶片，過去搭配IBM AIX Unix及AS/400作業系統，近年則轉向支援Linux為主，尤其是Red Hat Enterprise Linux及其Kubernetes平臺OpenShift，以供大型企業部署容器應用及雲端微服務。</p> <p>IBM是在2020年推出Power 10，並於隔年9月推出E1080伺服器。本次新增的4款產品，其中<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0035" target="_blank">E1050</a>為中階伺服器為4-socket系統，強調運算、Java及ERP執行效能，最多可擴充到16TB系統記憶體。透過IBM for RISE with SAP方案，<a href="https://www.ibm.com/tw-en/products/power-e1080" target="_blank">E1050</a>鎖定要在將本地部署的SAP ERP搬上企業私有雲SAP S/4HANA平臺的用戶，或是在混合雲環境下擴充AI或核心應用，此外也在IBM公有雲服務IBM Cloud下提供這項中階產品。</p> <p>另外3項屬於水平擴充（scale-out）應用機種，包括入門型的S1014及較高階的S1022及S1024，主打中小型企業，或是大型企業在混合雲環境中擴充核心系統或AI應用，或提供遠端辦公室環境存取。<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0030" target="_blank">S1022</a>及<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0029" target="_blank">S1024</a>分別為2-socket 2U及2-socket 4U伺服器，皆包含Capacity Upgrade on Demand（CuOD），允許隨需啟動擴增處理器，並具備核心內（in-core）AI推論及機器學習功能Matrix Math Accelerator。<a href="https://www.ibm.com/products/power-s1014" target="_blank">Power S1014</a>則為 1-socket、4U入門伺服器。</p> </div></div></div>
2022/7/14 14:39作者林妍溱https://www.ithome.com.tw/news/151941
駭客假冒資安業者進行網釣詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/" target="_blank">資安業者CrowdStrike上周披露</a>，駭客正以資安業者的名義寄送網釣郵件，但並非是在郵件中附加惡意檔案，而是提供了一個可回撥的電話，再由駭客指示受害者安裝惡意程式。</p> <p>CrowdStrike把此一網釣活動稱為「回撥網釣」（Callback Phishing），駭客假冒知名品牌的資安業者，包括CrowdStrike在內，並向受害者寄出網釣郵件，宣稱自己是受害者的網路安全服務供應商，因懷疑受害者的系統受到危害，將負責稽核，並在郵件中附上了電話請受害者回電。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0714-Phishing%20Callback%20Malware%20Campaigns-CrowdStrike.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CrowdStrike</span></span></p> <p>在受害者回電之後，駭客就會指示他安裝遠端管理工具，以讓駭客可自遠端執行任務，等於是把系統控制權交給了駭客，接著駭客就得以安裝滲透工具於組織內展開橫向行動，最終竊取組織資訊或部署勒索軟體。</p> <p>CrowdStrike警告，這是他們發現的首個假冒為資安業者的回撥網釣活動，由於郵件是以資安意外為誘餌，很可能會因為急迫性而提高駭客成功的機率。</p> </div></div></div>
2022/7/14 14:57作者陳曉莉https://www.ithome.com.tw/news/151942
Tesla AI負責人Andrej Karpathy離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責特斯拉（Tesla）自動輔助駕駛視覺（Autopilot Vision）團隊、擔任特斯拉AI總監的Andrej Karpathy，<a href="https://twitter.com/karpathy/status/1547332300186066944" target="_blank">周四（7/14）透過Twitter宣布將與特斯拉分道揚鑣</a>，結束在特斯拉5年的職業生涯。</p> <p>Karpathy表示，很開心能幫助特斯拉實現過去5年的目標，離開是很艱難的決定，Autopilot從只是維持車道到得以於市區城市行駛，期待看到強大的Autopilot團隊繼續保持這樣的氣勢。特斯拉執行長馬斯克（Elon Musk）也回應了Karpathy的推文，感謝Karpathy的貢獻，並說很榮幸與Karpathy共事。</p> <p>Karpathy說他對於下一步還不是很確定，但期望能夠花更多的時間來從事與AI、開源及教育有關的事務。</p> <p>雖然看起來雙方是和平分手，但外界揣測可能與特斯拉近來的裁員政策有關。<a href="https://www.cnbc.com/2022/06/21/elon-musk-clarifies-tesla-layoffs-after-ex-employees-sue-company.html" target="_blank">馬斯克在今年6月時曾預告</a>，特斯拉在未來3個月將裁撤10%員工，接著<a href="https://www.reuters.com/business/autos-transportation/tesla-lay-off-229-employees-shuts-san-mateo-office-2022-07-12/" target="_blank">《路透社》（Reuters）本周二（7/12）報導</a>，特斯拉已關閉位於加州聖馬刁（San Mateo）的辦公室，解散該辦公室的229名員工。而該辦公室據稱就是聚集了Autopilot團隊。</p> <p>而根據<a href="https://www.bloomberg.com/news/articles/2022-07-13/tesla-executive-overseeing-ai-and-autopilot-is-leaving-company#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）的報導</a>，Karpathy自今年3月便開始休假，原本計畫要在7月歸隊，卻傳出辭職的消息。</p> </div></div></div>
2022/7/14 14:17作者陳曉莉https://www.ithome.com.tw/news/151940
Netflix廣告訂閱版將與微軟合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/netflix-partners-with-microsoft" target="_blank">全球最大影片串流平臺Netflix本周宣布</a>，將與微軟合作推出低費率並搭配廣告播放的訂閱方案。</p> <p><a href="https://www.ithome.com.tw/news/150505" target="_blank">Netflix今年第一季出現了成立十多年來首度的用戶數衰退</a>，且Netflix估計全球有超過1億用戶免費使用他人帳號，該公司一方面計畫出手打擊帳號外借行為，另一方面則決定推出由廣告支撐的低價訂閱方案，藉以提高訂閱用戶數。截至今年第一季，Netflix總計握有2.22億名的訂閱用戶。</p> <p>未來所有在Netflix上播放的廣告都將由微軟平臺獨家提供，Netflix營運長Greg Peters表示，微軟有能力支持該平臺的低價廣告訂閱方案，更重要的是微軟不管是在技術與銷售上都具備創新的彈性，亦替會員提供強大的隱私保護。</p> <p>目前Netflix提供基本（Basic）、標準（Standard）與高級（Premium）三種訂閱方案，每月的訂閱費用分別是270元新臺幣（8.99美元）、330元新臺幣（13.99美元）與390元新臺幣（17.99美元），基於廣告的訂閱方案應該會更便宜，不過雙方並未透露新方案的上線時程。</p> </div></div></div>
2022/7/14 11:36作者陳曉莉https://www.ithome.com.tw/news/151939
Windows Server 20H2將於8月EOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟又有一項產品將終止服務。<a href="https://docs.microsoft.com/en-US/lifecycle/announcements/windows-server-20h2-retiring" target="_blank">微軟公告</a>，Windows Server 20H2將在下個月來到EOS（End of Service）。</p> <p>根據<a href="https://docs.microsoft.com/en-us/lifecycle/products/windows-server" target="_blank">Windows Server生命周期</a>，Windows Server 20H2是2020年10月20日釋出，並於2022年8月9日終止服務。微軟說明，屆時20H2版不會再接獲安全更新。</p> <p>微軟同時說，這個版本也是最後一個Windows Server半年通道（Semi-Annual Channel，SAC）。未來Windows Server不會再有SAC版本，Windows Server會移到長期維護通道（Long-Term Servicing Channel，LTSC）作為主要發布通道。<a href="https://docs.microsoft.com/zh-tw/system-center/ltsc-and-sac-overview" target="_blank">LTSC</a>為2到3年發行一次新版本，提供5年主要支援，加上5年延伸支援。</p> <p>使用Windows Server SAC的用戶，微軟鼓勵轉到LTSC版本，或是將SAC版本搬移到Azure Stack HCI。</p> </div></div></div>
2022/7/14 10:58作者林妍溱https://www.ithome.com.tw/news/151938
具備1,760億個參數的語言模型BLOOM開源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AI新創Hugging Face主導並協調的<a href="https://huggingface.co/blog/bloom" target="_blank">BigScience專案於本周公布了成果</a>，釋出具備1,760億個參數的大型語言模型BLOOM （BigScience Large Open-science Open-access Multilingual Language Model），其規模大過OpenAI GPT-3的1,750億個參數，<a href="https://huggingface.co/bigscience/bloom" target="_blank">而且開放各界下載與存取</a>。</p> <p>BigScience專案是在去年5月正式啟動，有賴來自全球60個國家、逾250個機構，以及超過1,000名研究人員的貢獻，最後由法國超級電腦Jean Zay執行117天的訓練，才於今年7月完成了BLOOM模型。</p> <p>BLOOM模型可理解46種語言及13種程式語言，包含法文、西班牙文、越南文、中文或多種印度及非洲語言，大約只有超過30%的訓練資料為英文，因此，現在使用者只要選擇一種語言，就能要求BLOOM撰寫食譜、翻譯或摘要，也能要求BLOOM撰寫程式碼。</p> <p>這是目前全球所開源的最大語言模型，而且儘可能地透明化，公開了所用來訓練的資料，開發時曾面臨的困境，以及評估其效能的方式。</p> <p>不過，BLOOM模型也具備其它大型語言模型的缺點，可能藏匿了不準確或是有偏見的語言，但一來該專案採用新的《負責任AI許可》（Responsible AI License），避免被應用於諸如執法機構或醫療照護等高風險的領域，也禁止它被用來傷害、欺騙、剝削或冒充他人，二來Hugging Face認為開源將能讓AI社群協助改善該模型。</p> <p>當初OpenAI曾說不釋出模型或程式碼的原因是擔心模型遭到濫用，雖然BigScience專案啟用了《負責任AI許可》，然而它只是個類似服務條款的協議，亦無法令上的保護，或許還是難逃被濫用的命運，但Hugging Face認為，有一個良好的開源語言模型，將會替相關研究帶來深遠的影響。</p> </div></div></div>
2022/7/14 10:01作者陳曉莉https://www.ithome.com.tw/news/151935
聯想筆電再爆UEFI韌體漏洞，70餘機種受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年4月之後，聯想筆電再爆有3項UEFI韌體漏洞，可讓攻擊者在受害者電腦上執行任意程式碼，並影響ThinkBook等70餘機型。聯想已於本周釋出修補程式。</p> <p><a href="https://twitter.com/ESETresearch/status/1547166336752689153" target="_blank">這批漏洞是由安全廠商ESET首先揭露並通報</a>，包含3個存在特定款Lenovo筆電UEFI韌體的緩衝溢位（buffer overflow）漏洞，一旦被開採，可能讓攻擊者在平臺開機早期階段執行任意程式碼，而讓它劫持OS執行流程，關閉某些重要的安全功能。</p> <p>這三項漏洞編號為CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，分別存在於Lenovo產品UEFI韌體上的ReadyBootDxe、SystemLoadDefaultDxe和 SystemBootManagerDxe驅動程式，可讓具有本地權限的攻擊者升級其權限，以便在系統上執行任意程式碼。根據聯想的安全公告，3漏洞屬於中度風險漏洞。</p> <p>ESET解釋，這批漏洞出在3個驅動程式對UEFI Runtime Service的GetVariable的呼叫中、1個名為DataSize的參數驗證不足，使攻擊者可設計惡意NVRAM（非揮發性隨機存取記憶體，Non-volatile random-access memory）變項，藉由發送2次GetVariable呼叫，藉此造成Data緩衝區的溢位。</p> <p>研究人員表示，這屬於典型的「double GetVariable」漏洞，也曾在IDA外掛的韌體程式碼中發生，<a href="https://www.binarly.io/advisories/BRLY-2021-007/index.html" target="_blank">並為名為efiXplorer的研究人員研究過</a>。ESET也在後者的程式碼資料庫加入對這3項漏洞的更新程式碼。</p> <p><a href="https://support.lenovo.com/sk/en/product_security/len-91369" target="_blank">聯想在本周釋出安全公告</a>，列出了受影響的產品，<a href="https://support.lenovo.com/sk/en/product_security/len-91369#Lenovo%20Notebook" target="_blank">涵括ThinkBook、Yoga、Slim、Ideapad及Flex，共約70多款</a>。三項漏洞中以CVE-2022-1892影響最多機種。相關驅動程式可透過<a href="https://support.lenovo.com/" target="_blank">聯想網站</a>下載。</p> <p>這也是聯想筆電今年以來第2次傳出有UEFI韌體漏洞。<a href="https://www.ithome.com.tw/news/150501" target="_blank">上一次是在今年4月</a>，也是由ESET揭露3項可導致植入及執行惡意程式碼的漏洞，影響上百款產品。</p> </div></div></div>
2022/7/14 10:20作者林妍溱https://www.ithome.com.tw/news/151936
Nothing發表採用透明背殼Phone（1）手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在市場上覺得現在的手機都了無新意之際，於2020年才創立的Nothing便在本周二（7/12）<a href="https://www.youtube.com/watch?v=XDcl6CYY7-A" target="_blank">發表了一款擁有透明背殼的Phone（1）手機</a>，把背殼往上就是靜音，還能透過顏色來區分來電者，或是觀察電池容量，售價為399英鎊（新臺幣售價為13,900元），預計於7月21日上架。Nothing除了擁有中文版的官網之外，也將進駐臺灣市場，準備在7月22日透過PChome、ESLITE誠品書店及GQ Shop銷售。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-Nothing-phone(6)-PNG.png" style="text-align: center; width: 173px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nothing</span></span></p> <p>Nothing的創辦人為中國一加（OnePlus）手機的共同創辦人裴宇，其實Phone（1）並非Nothing的第一款產品，該公司先前即曾推出無線藍牙耳機ear（1）。</p> <p>Phone（1）採用6.55吋的彈性OLED顯示器，解析度為2400x1080，搭載高通Snapdragon 778G+處理器，配備5,000萬畫素的雙鏡頭，基於Android的Nothing OS，因採用鋁製邊框，重量僅有193.5公克，電池容量為4,5000mAh。</p> <p>它有黑色及白色兩個選項，有8GB記憶體+256GB儲存空間，以及12GB記憶體+256GB儲存空間等2種規格，售價分別是13,900元及15,900元新臺幣。</p> <p>裴宇強調Phone（1）是款非常均衡的手機，不管是效能、品質或相機都有良好的表現。Nothing也特別替透明背殼取名為Glyph Interface。</p> </div></div></div>
2022/7/14 09:33作者陳曉莉https://www.ithome.com.tw/news/151934
【資安日報】2022年7月13日，雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在近期的資安新聞裡，駭客利用雲端服務業者提供的伺服器與虛擬機器（VM）挖礦的攻擊行動，有越來越多的趨勢，而最近有一起事故相當特別，駭客竟是鎖定軟體開發自動化服務GitHub Actions，進而利用所搭配的Azure VM來挖礦。</p> <p>VMware最近修補了vCenter Server漏洞CVE-2021-22048引起關注，原因是這項漏洞公布後已經過8個月，且該公司只針對最新的7.0版vCenter提供修補程式。</p> <p>微軟也在7月12日發布每月例行修補（Patch Tuesday），其中有1個漏洞CVE-2022-22047，因已遭到駭客用於發動攻擊，而使得研究人員認為，使用者應優先著手安裝相關更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p>研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p>該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware針對去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p>微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> </div></div></div>
2022/7/13 17:26作者周峻佑https://www.ithome.com.tw/news/151927
NCC 5G專網專用頻段管理辦法出爐! 企業申請專用頻譜有譜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內開放5G專頻專網有新進展。NCC今天（7/13）公布行動寬頻專用電信網路設置使用管理辦法，包括申請者資格、審查方式、頻率使用費計算方式等，供企業或機構申請專用頻譜，以建置5G專網（private network）。接下來NCC將舉行公開說明會，按照一般法案制定程序作業，但何時開放申請尚有變化，未來數位發展部成立，因頻譜釋照業務移交給數發部，外傳數發部8月掛牌，何時開放申請需視數位發展部進一步確定。</p> <p>根據管理辦法，5G專頻專網依用途分為兩大類，一是公共服務網路，二是自用網路，其中的公共服務網路指用於急難救助、公共使用或其他公共服務使用的網路，例如警消、災防、醫療救護、鐵路、捷運、電力等等，自用網路則是前者以外，自己專用的電信網路。</p> <p>申請者的資格，包括設置專網的場域土地或建物的所有人、使用人或管理人，換言之，不論是否為土地或建物的所有人，使用人也可提出申請，至於管理人則限定為政府機構或政府機關的委託者。申請者或設置者不得為陸資投資事業。</p> <p>申請的業者應自建專網，包括委託其他業者協助建置專網，但不同設置者所設置的專網不可相互連接。</p> <p>由於建置5G專網的核心網路費用相當高，例如建置大型的核心網路費用高達上千萬元，即使是微型的核網也要百萬元，考量到中小企業的負擔，開放可組合他人的核心網路，降低專網建置的負擔，再利用網路切片技術給不同專網使用。</p> <p>為了區分專用網路與公用網路，原則上，不得透過該核網與其他人建置的電信網路介接，但是在公共利益等特殊的情形之下，例如天災救援需要，可連接電信網路。</p> <p>另外，專網應具備端點以連接雲端服務，但需以個案審查通過才能進行，且網路建置計畫需說明連接需端服務的應用情境、端點需具備控管連接需雲端服務功能的說明等等。</p> <p>建置專網使用基地臺，需依管理辦法規定，取得基地臺的型式認證合格，為避免干擾其他無線頻譜，還需提出頻率干擾協議書。NCC表示，考慮到智慧工廠靈活調整產線需要，業者變更專網內的基地臺設置，只要線上登記資料即可。</p> <p>另外，業者不論建置公共服務網路是自用網路，頻率使用證明都是10年，到期可申請換照。NCC說明，其他國家的5G專網頻率使用證明介於2到5年，德國則是10年，臺灣考慮到中小企業的負擔，建置專網攤提成本，因此設定為10年。</p> <p>需注意的是，業者建置網路需一併提供資通安全維護計畫，公用網路設置者採核准制，但適用資通安全管理法的建置者不需提供，上市或上櫃公司的自用網路採核准制，非上市或上櫃公司則是備查制。</p> <p>另外，業者申請專用頻段，除了申請費之外，使用無線頻段還需支付頻率使用費，NCC也公開頻率使用費的計算公式，想申請的企業或機構可先試算評估，計算公式參照3.5GHz頻譜使用的單位成本，每MHz頻率、1平方公里的使用費為1,360元，還需依主管機關指配的頻寬多少，以及場域型態調整係數、場域面積調整係數、區域調整係數、網路用途調整係數、年度調整係數，最後算出頻率使用費高低。</p> <p>根據NCC的統計，目前國內5G POC實驗案件累計有42件，其中28件為n79頻段（4.8到4.9GHz頻段），至於非n79案件則有14件。未來管理辦法正式上路後，正在實驗n79頻段的業者可望提出專用頻譜使用申請。</p> </div></div></div>
2022/7/13 19:28作者蘇文彬https://www.ithome.com.tw/news/151933
首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_shou_pi_guan_fang_ren_ke_de_pqcyan_suan_fa_chu_lu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後量子密碼學（PQC）標準今年邁入新里程，相關發展，可回溯至2016年舉行的密碼學競賽，由美國國家標準暨技術研究院（NIST）發起這活動，從82個提交演算法選出69個，之後歷經6年、三輪的競賽，今年<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/selected-algorithms-2022">7月5日終於公布第一批確認名單</a>。</p> <p>目前有4個演算法將進入標準化程序，包括：在公鑰加密與金鑰建立（Public-Key Encryption/Key-Establishment Mechanisms，簡稱PKE/KEMs）項目中，有1個演算法獲選：CRYSTALS-Kyber，而在數位簽章項目，有3個獲選，包括：CRYSTALS-Dilithium 、 FALCON、SPHINCS+，將成為後量子密碼標準的一部分。</p> <p>同時，目前NIST已經公布<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/round-4-submissions">PKE/KEMs項目，進入第四輪的演算法候選名單</a>，第二批確認名單在未來一年半內出爐，預計2024年標準將正式發布。</p> <h3><strong>NIST推薦兩種主要演算法，並期望多納入不同數學方法</strong></h3> <p>由NIST發起的PQC後量子密碼學標準化競賽，簡而言之，就是一項對於公鑰密碼系統的考驗，目的就是選出可以抵抗量子電腦威脅（Quantum-Resistant）的密碼學系統，成為新一代安全標準。也就是說，要選出不管傳統電腦或量子電腦都難以解決的數學問題，以保護現在與未來的安全。</p> <p>根據原本的時程規畫，標準化過程在進入第三輪後，今年1月底就能有初步結果，從7個候選者與8個備選者名單中，選定第一批先納入標準的演算法，不過，NIST晚了近半年才做出決定，終於在7月初公布確認名單。</p> <p>對於這些演算法能夠雀屏中選的原因，NIST提出簡單的<a href="https://csrc.nist.gov/News/2022/pqc-candidates-to-be-standardized-and-round-4">說明</a>。基本上，NIST推薦兩種為主要演算法，分別是金鑰建立項目的CRYSTALS-Kyber，以及數位簽章項目的CRYSTALS-Dilithium。</p> <p>以用於加密的PKE/KEMs項目而言，CRYSTALS-Kyber屬於相對小型的加密金鑰，可方便交換且執行快速。</p> <p>而在數位簽章項目中，CRYSTALS-Dilithium與上述Kyber相當，兩者同樣具有高安全性且效能出色，並預期能在大多數應用程式中順利運作。還有兩個數位簽章項目的演算法，也會進入標準化的階段，其中FALCON雖然可能無法在所有設備上運作，但可適用於需要比CRYSTALS-Dilithium更小的簽章應用；SPHINCS+從敗部候選者脫穎而出，雖然比起其他兩個更大且速度稍慢，卻是很有價值的備案，因為上述前3種演算法都是基於網格密碼學（Lattice-based），而SPHINCS+採用的數學方法完全不同，是採雜湊密碼學（Hash-based），以避免依賴於網格密碼學的數學方法。</p> <p>同時，NIST說明將分兩階段來宣布其確認名單。除了上述第一批演算法，NIST在7月3日亦公布<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/round-4-submissions">第四輪決賽名單</a>，將在PKE/KEMs項目，避開基於網格密碼學的演算法，從BIKE、Classic McEliece、HQC與SIKE中，再選出CRYSTALS-KYBER之外的演算法納入標準，預期會在接下來一年半內公布結果。</p> <p>NIST解釋，在現實場景中，有不同的系統與任務需要使用加密，因此，要建立一個有用的標準，為不同情況設計提供解決方案，並且要能使用不同的加密方法，並為每個使用情況提供一個以上的演算法，以防單一演算法被證明有漏洞，也能有其他安全的選擇。</p> <p>事實上，儘管基於網格密碼學的演算法最為主流，但NIST已經多次表示，希望確保另一種演算法可使用，以防後續在網格密碼學出現突破性進展，發現新的攻擊面的狀況，同時，他們也推廣密碼敏捷性（Crypto-agility）的概念，目的是要讓新的演算法有辦法能快速導入一個安全系統當中。畢竟，雖然現在這些進入確認名單的演算法，經過專家多年來仔細研究證明足夠安全，但仍難以確保絕對不會被破解。</p> <p>就現階段來看，NIST鼓勵資安專家現在就可以著手研究這些新的演算法，同時思考如何嵌入自身的應用，但暫時先不要正式部署，因為在他們成為正式標準之前，可能還會有些微變更。</p> <p>另一方面，NIST為使數位簽章組合多樣化，這次還額外公布一項新的提案，將徵選短簽名與快速驗證的演算法，提交最後時程在2023年6月1日。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>對於目前NIST公布的首批PQC標準化名單，值得留意的是，密碼學專家Daniel J. Bernstein在7月6日<a href="https://twitter.com/hashbreaker/status/1544456469038645248">提出看法</a>，提及NIST在第三輪時即關注專利問題，然而，卻在宣布選擇CRYSTALS-Kyber前尚未完成專利買斷，認為這可能讓專利持有者有更大權利優勢，甚至指出NIST談判專家表示，若在2022年底前沒有簽署協議，可能會考慮轉用同為基於網格密碼學（Lattice-based）的NTRU。（圖片來源／擷取自</strong></span>Daniel J. Bernstein's Twitter<span style="color:#696969;"><strong>）</strong></span></p> <h3><strong>美國政府已要求組織著手規畫轉換，並發布相關指引</strong></h3> <p>不論如何，隨著量子運算的發展，公鑰密碼系統全面撤換已成大勢所趨。</p> <p>雖然這是NIST為美國制訂的標準，但其影響也將形成全球的標準，臺灣企業也應留意並作好準備。</p> <p>面對標準演算法的轉換，以及硬體設備與中介軟體升級，近期有許多密碼學專家已開始呼籲政府、組織與企業重視，建議大家可以先盤點已使用公鑰密碼系統的部分。</p> <p>臺灣亦有資安廠商關注此一發展，並在NIST此項結果發布之前就先行做好準備。例如，本月5日，硬體安全模組業者匯智安全科技宣布，他們的商用硬體安全模組平臺kvHSM，已可成功執行SPHINCS+數位簽章演算法，而在HSM內提供密碼服務的安全晶片平臺上，也成功實作CRYSTALS-Kyber （加密與密鑰封存），以及CRYSTALS-Dilithium（數位簽章），之所以能馬上公布成果，原因在於該公司數年前即投入後量子密碼演算法實作。</p> <p>對於現階段臺灣企業及組織的因應準備工作，匯智安全科技該公司董事長暨臺大數學系兼任助理教授陳君明表示，NIST出版的文獻一向有高度參考價值，在NIST旗下<a href="https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms">NCCoE</a>的PQC專案中，將提供最多且最完整的實務作法，是國內可以參考的重要資源。</p> <p>美國政府在這方面的行動，也很迅速。5月4日美國總統拜登正式簽署第10號國家安全備忘錄，簡稱為<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/">NSM-10</a>，當中對於國家量子技術發展提出了多項指示，當中就有一個面向，是要求聯邦政府遷移到基於後量子密碼學的系統，同時，NIST與CISA也將負責相關任務，要求個別機構在一年時間內，盤點使用公鑰密碼系統的聯邦系統與資產。</p> <p>如今，隨著NIST第一批標準化演算法出爐，美國<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/05/prepare-new-cryptographic-standard-protect-against-future-quantum">CISA亦於7月5日發布相關公告</a>指出，雖然後量子密碼學標準在2024年才會正式發布，供商業產品使用，但CISA與NIST強烈建議，組織現在就應該依照後量子密碼學發展藍圖，為公鑰密碼系統的轉換與過渡進行準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.jpg" style="width: 280px; float: right;" /></p> <p>CISA提供了六大建議作法：第一，在組織中找出使用公鑰密碼系統的系統；第二，可在實驗環境測試新的後量子密碼學標準，但應該等到標準正式發布後，才實施於生產環境；第三，應制定組織系統轉換為新加密標準的計畫，包括進行相依性分析、淘汰新標準發布後不受支持的老舊技術，以及確保對採用新標準產品的驗證與測試；第四，建立有關後量子密碼學的獲取政策，過程中應包含為過渡設定新的服務水準，以及對供應商進行調查，以確認能否整合到組織路線圖，並確認所需的基礎技術；第五，提醒組織內的IT部門與供應商即將面對此一過渡；第六，教育員工面對針對即將到來的過渡，並提供任何適用的培訓。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pqc">PQC</a></div><div class="field-item odd"><a href="/tags/nist">NIST</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E9%87%8F%E5%AD%90%E5%AF%86%E7%A2%BC%E5%AD%B8%E6%A8%99%E6%BA%96%E5%8C%96%E7%AB%B6%E8%B3%BD">後量子密碼學標準化競賽</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E9%91%B0%E5%AF%86%E7%A2%BC%E7%B3%BB%E7%B5%B1">公鑰密碼系統</a></div><div class="field-item even"><a href="/tags/%E6%8A%97%E9%87%8F%E5%AD%90%E7%A0%B4%E8%A7%A3">抗量子破解</a></div></div></div>
2022/7/13 16:20作者羅正漢https://www.ithome.com.tw/tech/151925
紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽今日（7/12）宣布<a href="https://www.redhat.com/en/about/press-releases/red-hat-names-matt-hicks-president-and-chief-executive-officer?sc_cid=701f2000000tyN6AAI">重大人事異動</a>，將任命紅帽產品與技術執行副總裁Matt Hicks為新任總裁暨執行長，Matt Hicks將接替現任執行長Paul Cormier職務，帶領這家公司持續推動混合雲及邊緣運算戰略。至於Paul Cormier卸下執行長職務後，未來將擔任紅帽董事長一職。</p> <p>2006年加入紅帽的Matt Hicks，從IT部門開發人員做起，後來更進到開發團隊負責核心產品開發，也是最早開發出Red Hat OpenShift混合雲產品的核心成員之一，到2020年時，紅帽雲端戰略開始轉變，從多雲混合雲跨入邊緣新戰場，他接下產品和技術執行副總裁一職，開始主導紅帽混合產品未來發展方向，要讓其產品能通吃混合雲與邊緣。</p> <p>在今年紅帽高峰會上，Matt Hicks更是執行長Paul Cormier以外登臺時間最久的高階主管，他在整場大會上，不只回顧紅帽開源使命，更揭露該公司下一階段產業邊緣運算布局，不只是搶進電信業，更要進軍汽車產業，與通用汽車聯手，要把紅帽作企業級作業系統RHEL帶進汽車上。</p> <p><a href="https://www.ithome.com.tw/news/151604">今年6月下旬接受iThome專訪時</a>，Matt Hicks點出了未來紅帽混合雲邊緣新戰略，即使這場專訪是在任命他為新任CEO之前，但從他當時談話中，也能反映出他對這家公司未來發展與期待。他表示，未來將把企業級Linux，打造成為一個值得信賴、標準的汽車作業系統平臺，可供汽車產業在這個基礎上建構自己的汽車應用，不只提供完整生命周期更新，未來還要把企業和雲端應用中許多實踐帶進車輛。在接任CEO後，在Matt Hicks領軍下，可以想見，除了混合雲產品，未來將會有更多與車廠相關合作及邊緣產品推出。</p> <p>在紅帽當了2年CEO的Paul Cormier，卸下執行長一職後，之後將轉任紅帽董事長，並以核心顧問身份協助公司持續擴大規模和加速客戶採用開源技術，以構建開放式混合雲架構。Matt Hicks和Paul Cormier兩人之後皆直接向IBM董事長暨執行長Arvind Krishna負責。</p> </div></div></div>
2022/7/13 16:22作者余至浩https://www.ithome.com.tw/news/151926
微軟揭露鎖定Office 365用戶且可繞過多因素認證的大規模網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/" target="_blank">微軟本周指出</a>，從2021年9月迄今，至少1萬個組織成為中間人（Adversary-in-The-Middle，AiTM）網釣攻擊的目標，且駭客主要鎖定Office 365用戶。由於駭客不僅竊取了使用者的密碼，也挾持了使用者的登入期間，因而也能繞過雙因素身分認證（Multi-Factor Authentication，MFA）機制。</p> <p>駭客先是寄送了網釣郵件，將使用者導至AiTM網釣頁面，進而竊取使用者的憑證與期間Cookie，隨之駭客即利用所取得的憑證及登入期間權限，以受害者的郵件帳號展開商業電子郵件（BEC）詐騙。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/07/Figure1-overview-of-aitm-phishing.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟描述了AiTM網釣活動的細節，指出駭客在使用者與所要造訪的目標網站之間部署了一個代理伺服器（網釣網站），當駭客以網釣郵件誘導使用者造訪目標網站時，代理伺服器便充當中間的橋梁，使得該代理伺服器得以取得使用者所輸入的密碼，以及使用者與目標網站之間建立的登入期間Cookie。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/07/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>除了網址之外，該網釣網站幾乎與目標網站一模一樣，而讓使用者難以察覺。微軟強調，此一攻擊無關使用者所採用的登入機制，亦非MFA機制的安全漏洞，僅僅是因為駭客挾持了使用者的登入期間，而能以使用者的身分運作。</p> <p>此外，這些網釣活動顯然是鎖定Office 365用戶，因為駭客所打造的冒牌網站就是偽裝成Office的線上認證頁面。</p> <p>根據微軟的分析，最快的攻擊行動在盜走憑證及期間Cookie的5分鐘之後，便展開了BEC詐騙。</p> <p>微軟建議組織可啟用條件式存取政策，部署更先進的防網釣解決方案，或是持續偵測可疑與異常行為，抑或是使用Microsoft 365 Defender來對抗AiTM網釣攻擊。</p> </div></div></div>
2022/7/13 16:00作者陳曉莉https://www.ithome.com.tw/news/151924
華碩打造永續供應鏈管理平臺，改採系統化管理和評估關鍵供應商永續風險程度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣PC品牌大廠華碩電腦（Asus）近日公布最新一份<a href="https://csr.asus.com/chinese/article.aspx?id=61">2021年永續報告書</a>，這也是華碩去年擬定新的2025永續戰略後所發布第一份年度報告書，從這份報告書中，可以一窺這家公司過去一年永續推動新進展，不只全面完成營運據點溫室氣體盤查，更開始引進數位化管理機制，來評估現有供應商的風險情況，未來還要導入AI、大數據，讓風險預測更早一步。</p> <p>早從2000年，華碩內部就成立永續部門，將永續納入營運決策的一環，來促進創新與成為更好地企業，不僅如此，為了貫徹永續經營，該公司更在2015年時設立首位永續長，負責往後公司整體永續策略發展與推動，除了為筆電產品提供量化碳足跡和碳中和承諾，2019年更將永續從內部擴大延伸到外部供應鏈。每年CSR報告名稱也修改為永續報告。</p> <p>華碩在2020年更擬定未來5年永續戰略，採取數據化衡量、科技化管理方式，作為下一階段永續發展策略，並聚焦循環經濟、責任製造、氣候行動與價值創造等四大面向，來持續推動永續策略與目標。</p> <p>華碩電腦董事長施崇棠更承諾，臺灣營運在2030年、全球2035年達成100%使用再生能源的目標，未來更要藉由減量路徑、投資創新技術，移除剩餘的排放量等三階段步驟，建構華碩氣候行動，逐步推動整個價值鏈邁向淨零。</p> <h3><strong>供應鏈是華碩最主要的溫室氣體排放源</strong></h3> <p>根據華碩提出的未來5年永續發展目標，包含2025年供應鏈減碳30％以及提高一半綠色產品營收占比等。長遠來看，更以達成2030年碳排減半、2050邁向淨零為目標。</p> <p>隨著碳排放已成為企業永續發展的關鍵字，華碩每年都會進行溫室氣體盤查，從例年環境足跡調查累計逾10萬筆數據分析發現，供應鏈是最主要的溫室氣體排放源，尤其是九大類關鍵零件製造商的排放量就占了整體9成以上，包括面板、主機板、IC、線材、電源供應器、機構件、鍵盤、電池、硬碟，以及組裝代工廠。若以碳排量為例，供應鏈也是所有類別碳排中占最多，高達7成。</p> <p>為了落實永續採購，減少供應商碳排足跡，華碩除了透過繪製關鍵零件排放熱點、減碳路徑等方式，引導供應商持續改進外，去年在永續供應鏈管理上，更引進IT來加以改善，先從流程改造做起。</p> <p>尤其，針對供應鏈管理，華碩內部有一套風險分級管理評估流程，包含新供應商承認、持續風險管理、及績效評估三個階段。但過去不論是供應鏈調查資訊蒐集、數據淨化或報告製作，皆採用人工作業，很沒有效率。</p> <h3><strong>導入系統化來評估和管理關鍵供應鏈永續風險</strong></h3> <p>為此，華碩IT團隊去年建置一個永續供應鏈平臺，希望藉由導入系統化方式管理關鍵供應商永續發展，做好風險控管。該平臺將花4年分階段來執行，從2021年到2025年完成。</p> <p>華碩表示，在2023年前完成平臺建置後，初期將搭配系統性分析方法，分析歷年供應鏈管理數據，先建立風險指標與風險關聯性，用於供應商永續風險評估，協助篩選出有高風險供應商加以改進。</p> <p>下一步還要結合AI、大數據建立風險預測模型，以便能夠及早預測風險落點，持續優化供應商風險評估流程。該平臺啟用後，未來將作為華碩對外部供應商溝通的正式管道，透過平臺進行零件與成品的合規承認與供應鏈調查資訊蒐集。</p> <p>華碩指出，透過這套平臺，將來能夠長期分析供應商的ESG績效數據，迅速找出潛在的供應商風險因子，一來減少新供應商導入時的評估作業程序；二來也能將管理資源投入在高風險供應商稽核與缺失改善。除了導入系統化管理，華碩已取得ISO 20400認證，將永續管理納入供應鏈採購程序。</p> <p dir="ltr" id="docs-internal-guid-1797760a-7fff-6fb8-5891-29269978b30c">除了建置數位化永續供應鏈平臺，在產品能耗管理上，華碩IT團隊也有打造一個產品能耗管理平臺，可供產品設計或研發人員持續監控及優化核心產品能源效率，減少能源消耗排放的溫室氣體。</p> <p>在2021永續報告書中，華碩也揭露不少ESG管理作為與成果。像是營運方面，完成全球營運據點溫室氣體盤查與第三方查證工作。在供應鏈方面，則有建立溫室氣體盤查指引，可供上下游供應商來依循，並完成9類關鍵製程排放熱點鑑別，以及線上永續授課等。</p> <p>在永續產品上，新款商務及家用筆電能耗平均皆優於國際標準3成以上。綠色產品營收占比較去年提高65.1%，並達成一整年全球產品回收率11.4%，以及環境友善材料使用較2020年成長21%的目標。</p> <p>在永續推動發展上，華碩依據GRI Standards 2021標準流程，來加以歸納出對於公司及外部環境、經濟及人有重大衝擊的6項重大性主題，用來規畫短、中、長期的永續發展策略，包括循環經濟、氣候行動、責任製造、創新產品及服務、人才培育、科技業的社會貢獻。並每兩年重新鑑別流程，定期檢核議題的衝擊性。</p> </div></div></div>
2022/7/13 15:00作者余至浩https://www.ithome.com.tw/news/151923
推特控告馬斯克，要他依約完成收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼馬斯克上周預告放棄收購後，推特（Twitter）周二（7/12）正式向法院控告馬斯克違約，要求執行合約義務並完成收購。</p> <p><a href="https://twitter.com/paraga/status/1546965897574621184" target="_blank">推特董事長Bret Taylor也公告</a>，公司已向德拉威州衡平法院提出告訴，要求馬斯克負起他的合約義務。</p> <p><a href="https://www.documentcloud.org/documents/22084462-twitter-v-elon-musk-complaint?responsive=1&title=1" target="_blank">根據這家社群平臺提交的訴訟文件指出</a>，馬斯克拒絕履行對推特和其股東的義務，因為這合約已經不符合他的個人利益。推特指出，馬斯克以為他可以隨意改變心意、糟蹋推特、干擾其運作、破壞股東價值，在馬斯克一連串違約行為傷害推特及其業務後，公司提起告訴是為了防止他進一步違約，並迫使他盡法務義務，完成合併交易。</p> <p>這樁鬧劇源起於馬斯克5月中質疑，推特公開財報中的假帳號比例名不符實，實則遠高於5%。他4月中高分貝以每股54.2美元，總價440億美元收購推特，並計畫下市以「建立言論自由平臺」。5月中他指責推特始終不配合或無法提供他要的資料，以致於無法驗證假帳號比例，並從6月初揚言終止收購。</p> <p>根據法院文件，推特相信馬斯克其實是基於市場經濟衰退，而使這樁交易不那麼吸引人，才想打退堂鼓。而且馬斯克無所不用其極想證明，推特對主管機關和投資人做了業務的不實陳述，並指稱假帳號調查結果關乎他募資能力及合併案能否完成。推特直指馬斯克的退出策略既虛偽又惡意。</p> <p>推特表示，馬斯克因為市場開始反轉而後悔，過程中多次違約，包括違反其財務義務、違背提供募資進度資訊的義務、和不貶損欲收購公司的義務，同時也未能盡必要之力完成收購。</p> <p>馬斯克對推特行動則極盡嘲諷之能事。<a href="https://twitter.com/elonmusk/status/1546344529460174849" target="_blank">他本周稍早先是貼出4格大笑圖片</a>，暗示推特之前不希望他買推特，也不願公開假帳號資訊，現在不但想藉打官司強迫他買下，還得自己完全揭露假帳號資訊。<a href="https://twitter.com/elonmusk/status/1546980241494745100" target="_blank">他昨日最新一則貼文說</a>，真的很諷刺。</p> <p><a href="https://www.washingtonpost.com/technology/2022/07/12/twitter-elon-musk-lawsuit/" target="_blank">媒體相信</a>，在德拉威的小型法院中，將上演近年最具爭議性的史詩級企業官司。</p> <p><a href="https://www.theverge.com/2022/7/10/23202931/elon-musk-lawsuit-twitter-merger-delaware" target="_blank">媒體報導</a>，推特法務團隊中有一名擁有德拉威州法院20年法官經驗的律師。此外推特為打這場官司，剛聘請了曾在三星與蘋果官司中，代表三星的企業律師事務所Quinn Emanuel Urquhart & Sullivan 。</p> </div></div></div>
2022/7/13 13:36作者林妍溱https://www.ithome.com.tw/news/151920
駭客冒充梅克爾向歐洲央行主席發動釣魚簡訊攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apnews.com/article/technology-angela-merkel-european-central-bank-4cd599a7502d9617a401155abf054502" target="_blank">美聯社</a>及<a href="https://www.reuters.com/technology/ecbs-lagarde-is-targeted-cyber-attack-2022-07-12/" target="_blank">路透社</a>報導，歐洲中央銀行主席Christine Lagarde近日收到不明人士冒充德國前總理梅克爾發送的釣魚簡訊，企圖以社交工程騙取重要密碼。所幸她保持警覺而未使詭計得逞。</p> <p>歐洲央行對媒體證實這項報導，但央行說行動已經被識破且制止，沒有任何資訊外洩情形。而央行也因在調查階段不願進一步說明細節。</p> <p>消息人士透露，事情是發生在最近，Lagarde接到一則疑似發自德國前總理梅克爾（Angela Merkel）手機的簡訊，要求要以WhatsApp與之聯繫機密事情，因此要她提供驗證碼，以便幫她開個綁手機號碼的WhatsApp帳號。</p> <p>Lagarde於是親自打電話給梅克爾確認此事，因而拆穿了詭計。一旦她將驗證密碼傳給對方，Lagarde的WhatsApp或其他社交網站帳號就可能被盜取，而用於針對其他政治人物的社交工程攻擊。</p> <p>路透社報導，德國情報單位及聯邦資訊安全局已向德國國會議員警告，這波攻擊近日展開，但未說明遭到攻擊的對象。</p> <p><a href="https://www.ithome.com.tw/news/140727" target="_blank">兩年前歐盟也發現</a>，俄羅斯情報總局的駭客曾駭入多名議員與梅克爾的電郵信箱，還盜走了大量的資料。俄烏戰爭後情勢可能更嚴峻。例如，<a href="https://www.ithome.com.tw/news/149698" target="_blank">安全廠商發現</a>，國家駭客疑似駭入烏克蘭軍方高層郵箱，向提供協助的西方國家政府官員發動精準釣魚攻擊。</p> </div></div></div>
2022/7/13 14:13作者林妍溱https://www.ithome.com.tw/news/151921
逾500個組織的執行長督促美國更新K12課程，以加強電腦科學教育
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門推動電腦科學教育的非營利組織Code.org，近日號召了超過500家企業及組織的執行長，<a href="https://www.ceosforcs.com/" target="_blank">共同連署以督促美國更新K12（幼稚園之後到12年級）的課程，強化電腦科學教育</a>，以讓每個學校的學生都有機會學習該領域的知識，包括Amazon執行長Andy Jassy、蘋果執行長Tim Cook、微軟執行長Satya Nadella及Meta執行長Mark Zuckerberg都在連署名單內。</p> <p>Code.org表示，此一呼籲同時受到了家長、學生、老師及企業主的廣大支持，因為電腦科學提供了各領域的重要基礎，不僅是科技領域的職業生涯，甚至關乎現代社會的所有職業，根據許多不同的研究，曾學習電腦科學的學生，不管是在學校或其它方面的表現都相對出色。</p> <p>此外，當每個產業都受到數位科技的影響時，學校應該教導學生各種技術的運作，讓他們學習如何當一個創作者，而不只是消費者，然而，目前相關的技能只有少數幸運的學生可獲得，大多數的學生、特別是年輕女性及有色人種多被忽略。</p> <p>Code.org強調，在美國領導全球科技之際，只有5%的中學生學習電腦科學，這是不成比例的，美國發明了電腦、網路及智慧型手機，有責任讓下一代替新的美國夢作好準備。</p> <p>COVID-19疫情改變了教育的方式，也應讓電腦科學成為新常態。在疫情時代，大多數的學生都擁有筆電以在家上課；而遠端工作也讓各州的畢業生未來不必再離開家鄉，就能追求與科技相關的職業；美國有接近2/3的技術移民簽證給了電腦科學家，且幾乎每個州都需要這類的人才，代表美國更應教育當地的學生以加強相關的競爭力。</p> <p>除了上述之外，網路攻擊亦讓培育電腦科學人才成為政府與企業的當務之急，至此它已涉及國家安全。</p> <p>簽署該呼籲的各大企業或組織的執行長們，除了認同Code.org的看法及理念之外，也承諾將替這些由美國自行培育的電腦科學人才建立不同領域的工作機會，從製造業、金融業、農業到健康照護等，並協助學生找到他們的職業道路。</p> </div></div></div>
2022/7/13 13:24作者陳曉莉https://www.ithome.com.tw/news/151919