iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Windows 11 22H2預設即封鎖RDP暴力破解攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/dwizzzleMSFT/status/1549870156771340288" target="_blank">負責作業系統安全與大型企業的微軟副總裁David Weston周四（7/21）透過Twitter宣布</a>，微軟已於Windows 11 22H2 22528.1000版本中把帳號鎖住原則（Account Lockout Policy）列為預設值，以降低遠端桌面協定（Remote Desktop Protocol，RDP）與其它暴力破解密碼的相關攻擊。此一預設功能不僅支援之後的版本，也將回溯至之前的Windows版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-Account%20Lockout%20Policy%20windows%2011-600.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>預計於今年下半年推出的Windows 11 22H2目前仍在預覽階段，因此參與Windows測試人員計畫（Windows Insider Program）的使用者得以率先取得該功能。</p> <p>當Account Lockout Policy成為預設值之後，只要有人在10分鐘之內執行10次的登入錯誤，該帳號就會被鎖住。</p> <p>Weston表示，這將有助於緩解RDP與其它暴力破解密碼攻擊，此一技術經常被應用在人為操作的勒索軟體攻擊中，新的控制將提高暴力破解的難度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-says-140-million-paid-to-ransomware-offers-defense-tips/" target="_blank">《BleepingComputer》在2020年曾引用聯邦調查局（FBI）特別幹員Joel DeCapua的分析指出</a>，勒索軟體駭客入侵受害系統的首選就是RDP，有超過7成的勒索軟體攻擊行動透過RDP。</p> <p>RDP允許個人透過網路控制遠端電腦上的資源與資料，在建立遠端桌面連線時，本地端及遠端機器必須藉由使用者名稱與密碼來進行身分驗證，一旦密碼被破解，駭客即可遠端部署勒索軟體或其它惡意程式。</p> <p>其實Windows作業系統的本機群組原則（Local Group Policy）早就具備Account Lockout Policy選項，還允許使用者設定帳戶鎖住的閥值，或是鎖住的時間，只是它們並非預設值，需要使用者手動啟用。</p> </div></div></div>
2022/7/22 13:50作者陳曉莉https://www.ithome.com.tw/news/152073
Cloud周報第151期：微軟正式推出主權雲，不只加強對政府敏感性數據的保護及加密措施，還提供Azure機密運算服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/14～07/20）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 主權雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>瞄準政府部門轉型上雲趨勢，微軟正式發布主權雲</strong></span></p> <p>微軟近日<a href="https://blogs.microsoft.com/blog/2022/07/19/microsoft-cloud-for-sovereignty-the-most-flexible-and-comprehensive-solution-for-digital-sovereignty/">推出主權雲服務（Microsoft Cloud for Sovereignty）</a>，要協助政府轉型上雲過程中，能夠更好地管理自己的數據，以符合合規性、安全性和政策要求，並提高營運和治理透明度。微軟將從擁有逾60個區域（region）的Azure資料中心提供該項服務。。</p> <p>根據微軟說明，微軟主權雲建立在自家公雲之上，除了可以根據政府部門需求進行客製外，還可使用許多現有公雲服務，包括現代化開發者服務、敏捷基礎設施、安全DevOps、開源平臺以及現代協作與低程式碼開發等功能。政府單位也能使用微軟Global Security Signals安全分析服務，協助他們進行偵測、識別和對抗外部網路攻擊。</p> <p>為提高雲端上數據保護，除了原本雲端安全防護外，在主權雲上還多加一層防護，來加強對敏感性數據的保護及加密措施，這項防護涵蓋了微軟雲端，包括雲端基礎架構，還有Microso 365、Dynamics 365及Power Platform等SaaS產品，而且還提供Azure機密運算服務，可透過機密虛擬機器和機密容器，來建立可信執行環境，以強化其防護。</p> <p>為了區分公雲上不同類型數據的法遵要求，在微軟主權雲中還提供一個主權登陸區域（Sovereign Landing Zone），可簡化數據架構、部署流程和協調各種安全服務和策略控制的操作，因為是以企業級Azure Landing Zone為基礎，可使用Azure中內建的IaC（基礎架構即程式）和PaC（政策即程式）功能，以自動化部署方式簡化數據分類的複雜度，來配合法遵執行的要求。該服務也能涵蓋到Azure資訊保護（AIP），可提供電子郵件和檔案數據存取控制及防護策略。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端訂閱</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>VMware vSphere+和vSAN+正式推出，雲端訂閱期最長3年，按使用CPU核心數計價</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 335px;" /></p> <p>虛擬化龍頭VMware近日宣布vSphere+和vSAN+雲端訂閱服務已正式推出，讓企業能夠從雲端來管理本地vSphere虛擬機器和vSAN叢集，同時公布訂閱計價方式，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買CPU最小容量不能低於16個實體核心。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS續約的優惠價格，協助企業用戶將既有vSphere與vSAN軟體授權逐步轉到訂閱制vSphere+與vSAN+。</p> <p>VMware更簡化vSphere+採購流程，有別於以往需採個別購買授權的作法，可以提供全套式訂閱方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包。Tanzu本身除了提供標準Tanzu Runtime，之後也將加入Tanzu Mission Control Essentials功能，可用於VMware Cloud on AWS 等VMware Cloud 產品上的Tanzu服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Arm</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud首款基於Arm架構處理器的Tau VM運算實例終於現身</strong></span></p> <p>去年推出採用AMD EPYC 7003系列處理器的Tau系列虛擬機器後，Google Cloud最近替Tau家族新增另一款名為<a href="https://cloud.google.com/blog/products/compute/tau-t2a-is-first-compute-engine-vm-on-an-arm-chip">Tau T2A的全新虛擬機器</a>，還是第一款基於Arm架構處理器的Compute Engine運算實例。</p> <p>雖然目前仍是預覽版，不過，T2A VM採用Ampere的Altra系列處理器，用戶可快速啟用高達48核心、192GB記憶體的Arm架構虛擬機器，可在Google Cloud環境上執行各種工作負載，且支援GKE等多項服務。</p> <p>如同前一款Tau TD2虛擬機器，以高性價比著稱，新推出的T2A也是如此，若以啟用32核心、128GB記憶體的虛擬機來計算，每小時收費1.232美元。Tau T2A初期將於美國愛荷華州、荷蘭、新加坡等部分區域推出，並於數月內全面上市。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端資料倉儲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>AWS無伺服器版Redshift資料倉儲服務全面上市</strong></span></p> <p>經過半年多公開預覽測試後，AWS最近終於推出AWS Redshift無伺服器服務。當企業用戶使用Redshift資料倉儲服務時，只要選擇無伺服器的選項，Redshift就會根據請求的資料倉儲規模大小、成本及符合SLA要求的特定應用程式，自動配置計算資源可供用戶載入的資料查詢使用，且不需要管理資料倉儲的基礎架構。當計算量增加時，系統會自動擴展，並在不使用時關閉，以符合彈性需求，並根據使用運算和儲存用量收費。</p> <p>該服務推出時，AWS還增加了新功能，像是用戶可透過命名空間（namespaces）與工作小組（workgroups）在AWS區域建立多個無伺服器端點，用來管理數據、查看儲存容量，或進行網路和安全設置等。AWS還調降了無伺服器版Redshift計算成本費用，比平均預覽版的價格減少25%。該服務目前已在美國、歐洲及亞洲多個區域推出。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>IBM本季混合雲增長強勁，帶動軟體、諮詢、基礎架構3大關鍵業務成長最多破2成</strong></span></p> <p>近日，IBM公布該公司第2季營收，顯示該季營收達155 億美元，比2021年同期增長9%，其中混合雲增長強勁是本季營收成長的一大關鍵，帶動不少關鍵部門的營收成長。像是軟體部門的混合雲營收，跟去年同期相比增加14％，諮詢部門和基礎架構兩大部門的混合雲收入，也分別達到20%和24％的增長。根據IBM營收報告指出，過去一年來混合雲營收增長16％，達到217億美元，占整體營收36％。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 惡意軟體 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>研究員發現有惡意軟體以Dropbox等雲端儲存作媒介，暗中竊取Mac用戶資訊</strong></span></p> <p>ESET研究員<a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/">今年4月揭露</a>一個新的macOS惡意軟體CloudMensis，會以常見的雲端儲存服務作為命令控制（C&C）的通訊管道，伺機從受感染的蘋果Mac設備中進行監控，進而竊取用戶的敏感資訊。</p> <p>研究員發現，該惡意軟體至少利用Dropbox、pCloud、Yandex Disk三家雲端業者儲存服務來完成對Mac用戶資訊的竊取，先是利用macOS後門取得程式執行和管理權限後，接著在用戶的Mac上下載並執行惡意軟體，再透過雲端儲存平臺發送多達39條命令，藉以竊取Mac上的用戶資訊，包括螢幕截圖、郵件附檔及敲鍵行為等。</p> <p>Apple後來似乎默認有間諜軟體存在於該產品中，因此隨後在預覽iOS、iPadOS和macOS上加入封鎖模式（Lockdown Mode），來禁用產品上容易被利用來取得程式執行和部署惡意軟體的功能。</p> <p> </p> <p><strong>圖片來源／</strong> VMware、微軟</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任 </strong></strong></p> <p><strong><strong>2.微軟加入Eclipse基金會Jakarta EE與MicroProle工作組，協助推動雲端Java應用程式發展</strong></strong></p> <p><strong><strong>3.亞馬遜AWS更新全球EKS服務，修復Kubernetes服務中存在多年的身分驗證錯誤 </strong></strong></p> <p><strong><strong>4.Azure全代管閘道負載平衡服務已在全區域推出</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年7月</strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/7/22 14:04作者余至浩https://www.ithome.com.tw/news/152072
新的Google Wallet全球正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150881" target="_blank">繼5月宣布之後</a>，Google新一代電子錢包服務Google Wallet周四（7/21）正式在全球包括臺灣等多個市場上線。</p> <p>這是Google最新的數位支付服務發展。Google 2011年就發展Google Wallet作為數位支付及個人間轉帳工具。2015年這家公司推出Android Pay，Google Wallet則退縮為個人間轉帳功能。<a href="https://www.ithome.com.tw/news/120327" target="_blank">2018年Google將兩者合併</a>，更名為Google Pay，並沿用到今年。今年5月Google 再次起用Google Wallet，挑戰蘋果Apple Wallet及Apple Pay，也預告將在全球推出這項服務。</p> <p>新一代的Google Wallet了數位支付外，還可儲存各種票券、身分證明文件、會員證或出入管制卡，也可存放信用卡或簽帳金融卡。Google也和運輸服務商、零售商、票券商、衛生機構、航空公司合作，以開發適用於 Google Wallet的數位卡片或票券，以便可以Google Wallet作為支付或通行、身分證明。</p> <p><a href="https://support.google.com/wallet/answer/12060037?hl=en-GB#zippy=%2Cuse-google-wallet%2Cpay-for-travel-by-train-and-bus%2Cpay-with-wear-os" target="_blank">根據Google網頁</a>，目前全球40多國可用Google Wallet支付或通行，這些國家用戶若擁有Apple Watch，也可以用智慧手錶支付或通行。目前有6個國家可以用Google Wallet搭乘火車或巴士等大眾運輸工具，包括美、英、新加坡、澳洲、加拿大、烏克蘭。</p> <p>要安裝使用Google Wallet，用戶裝置作業系統必須在Android 5.2版本以上，並具備Google帳號。</p> <p><a href="https://play.google.com/store/apps/details?id=com.google.android.apps.walletnfcrel&hl=zh_TW&gl=US" target="_blank">正體中文版Android App「Google錢包」現在也已上架</a>。不過根據這幾個月來使用測試版的用戶反映意見，似乎穩定性及可使用性有待改進，包括應銀行方面要求，付款時必須螢幕解鎖的要求造成使用不便。Google臺灣表示正在解決。</p> </div></div></div>
2022/7/22 10:18作者林妍溱https://www.ithome.com.tw/news/152059
Google發表欲繼承C++的程式語言Carbon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷來不斷有新程式語言革新或試圖取代舊語言，像是Kotlin之於Java，或蘋果的Swift之於Objective-C，以及微軟的TypeScript之於Javascript。<a href="https://github.com/carbon-language/carbon-lang#why-build-carbon" target="_blank">Google本周在CppNorth公布新的程式語言Carbon</a>，自詡將成為C++的繼承者。</p> <p>Google核心程式語言部門技術主管<a href="https://twitter.com/code_report/status/1549383435642445824" target="_blank">Chandler Carruth本周在專門討論C++的CppNorth大會上公布</a>並宣布開源Carbon，並稱Carbon是C++的「實驗中的繼承者（experimental successor）」。他同時也是LLVM及Clang語言的貢獻者。</p> <p>Carruth表示，雖然C++是開發重視效能應用的主流語言，但是它已發展50年，累積的技術債使其創新變得極端困難。一個方法是移轉到其他語言，如Kotlin、Swift、Go或是Mozilla開發的Rust。但Google希望提出另一個版本。</p> <p>Google表示，這些語言和C++之間並不具備類似Java和Kotlin之間的「雙向相容性（bi-directional interoperability）」，因此將C++專案搬移需要一些變更，而且也會有效能降低的問題。</p> <p>Carruth強調Carbon和C++之間具備雙向相容，不但大規模使用或現有C++程式碼搬移順暢，對C++開發人員而言也容易上手學習。對企業或開發人員而言，將可沿用既有投資、程式碼，以及開發人員社群。</p> <p class="rtecenter"><a href="https://github.com/carbon-language/carbon-lang" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-carbon-language-by%20GitHub.png" style="width: 500px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p><a href="https://github.com/carbon-language/carbon-lang" target="_blank">Google已經將Carbon透過GitHub開源</a>，並強調Carbon的設計目標是支援重視效能的應用開發、程式碼簡單易讀、易懂、易寫、支援安全及測試工具、適合快速和大規模開發，也支援現代化OS、硬體架構及環境，最重要的是和C++程式碼相容。Google宣稱雖然許多語言也都滿足部分目標，但Carbon特色是做到全部。</p> <p>Google預計今年內完成Carbon的0.1版，2023年進入0.2版，而在2024或2025年推出1.0版。</p> </div></div></div>
2022/7/22 10:41作者林妍溱https://www.ithome.com.tw/news/152062
LinkedIn蟬聯網釣冒用冠軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/" target="_blank">資安業者Check Point本周公布了今年第二季的品牌網釣報告</a>，顯示微軟旗下的專業人才社交網站LinkedIn連續兩季成為最熱門的網釣品牌。</p> <p><a href="https://www.checkpoint.com/press/2022/social-media-network-linkedin-ranks-first-in-list-of-brands-most-likely-to-be-imitated-in-phishing-attempts-in-q1-2022/" target="_blank">LinkedIn在今年第一季</a>首度登上網釣冒用品牌的冠軍，該季有52%的網釣攻擊假冒了LinkedIn的名義，第二季的比例雖然下滑至45%，但依然穩居龍頭位置。</p> <p>Check Point分析，假冒LinkedIn的網釣活動所寄出的惡意電子郵件，通常模仿LinkedIn平常的郵件主旨，像是「你本周出現在8筆搜尋中」或是「你有一個新訊息」，不過，駭客所使用的電子郵件位址與LinkedIn截然不同，因此很容易識破。</p> <p>今年第二季最受網釣歡迎的前五大品牌依序是LinkedIn（45%）、微軟（13%）、DHL（12%）、Amazon（9%）與蘋果（3%），其中，冒用微軟的比例從今年第一季的6%成長到13%，雖然仍遠低於LinkedIn，但Check Point警告，一旦駭客成功掌握了使用者的帳號登入資訊，那麼就能存取使用者的所有微軟程式，包括Teams與SharePoint，亦有可能危害使用者的Outlook電子郵件帳號。</p> </div></div></div>
2022/7/22 09:13作者陳曉莉https://www.ithome.com.tw/news/152053
以Rust撰寫的全新勒索軟體Luna可加密Windows、Linux及ESXi系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/luna-black-basta-ransomware/106950/" target="_blank">資安業者卡巴斯基（Kaspersky）本周揭露了一個全新的勒索軟體Luna</a>，此一以Rust撰寫的勒索軟體可同時鎖定Windows、Linux及ESXi作業系統，印證了跨平臺勒索軟體的趨勢，而相準VMware替大型企業設計的裸機虛擬化管理程序ESXi，亦顯示駭客企圖儘可能造成更大的傷害。</p> <p>卡巴斯基是在駭客論壇的廣告中發現Luna，分析後顯示它使用非典型的加密手法，結合了勒索軟體中少見的x25519及AES，此外，它的Linux與ESXi版本都是以Windows版的程式碼為基礎，僅有一些小小的變更。</p> <p>駭客在廣告中強調Luna只與說俄羅斯文的對象合作，再加上Luna內建的英文勒索信中有些用字錯誤，使得卡巴斯基推測它應該是來自說俄羅斯文的駭客。</p> <p>此外，近來有愈來愈多勒索軟體以Rust及Golang等方便跨平臺的程式語言撰寫，例如BlackCat與Hive，代表它們很容易就從一個平臺移植至另一個，並同時針對不同的平臺展開攻擊，也印證了跨平臺勒索軟體的趨勢，而這些跨平臺的程式語言也有助於閃避靜態分析。</p> <p>另一個趨勢是鎖定VMware ESXi的勒索軟體也愈來愈多，從去年的HelloKitty、Python，到今年的Black Basta、RedAlert（N13V）及Luna，曾有資安專家分析，ESXi是個很合理的攻擊目標，因為駭客只要能存取ESXi 主機，就能影響在該主機上執行的所有虛擬機器，或是其它於同一叢集中運作的虛擬機器，這不只能擴大駭客的收益，也能更快造成傷害。</p> </div></div></div>
2022/7/22 09:27作者陳曉莉https://www.ithome.com.tw/news/152055
Android 11新增對DNS-over-HTTP/3的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了保障Android用戶查詢DNS的隱私，<a href="https://www.ithome.com.tw/news/128168" target="_blank">Google於Android 9嵌入Private DNS功能</a>，透過DNS-over-TLS（DoT）來保護DNS查詢，<a href="https://security.googleblog.com/2022/07/dns-over-http3-in-android.html" target="_blank">但Google本周宣布</a>，除了DoT之外，Android 11與之後的版本將新增對DNS-over-HTTP/3（DoH3）的支援。</p> <p>DoT是藉由傳輸層安全協定TLS來加密網域名稱系統（DNS）的查詢，以防範駭客透過中間人攻擊來監聽或操控DNS數據，不過，DoT卻會對每次的DNS查詢帶來負擔，而另一個加密DNS協定DNS-over-HTTPS（DoH）也愈來愈熱門。</p> <p>Google表示，光是採用HTTPS並不能明顯減少負擔，但HTTP/3使用了QUIC通用傳輸層網路協定，該傳輸只要使用一個具備會話恢復的TLS會話，即能透過使用者資料包協定（UDP）有效地多路複用不同的串流，而這些便是可於行動裝置上高效運作的關鍵。<a href="https://www.ithome.com.tw/news/152044" target="_blank">HTTP/3是甫於今年6月出爐的第三代HTTP版本</a>，其最大改變就是以奠基於UDP的QUIC協定取代了TCP。</p> <p>具體而言，DoH3可避免DoT所帶來的許多問題，例如伺服器可能面臨的隊頭阻塞，將會因DoH3以不同的串流來執行查詢而迎刃而解；又或是當行動裝置隨著使用者的移動而切換網路時，DoT需要全面重新協商，但DoH3所採用的QUIC只要一個單一的封包往返時間（RTT）就能恢復所暫停的連結；此外，DoH3的查詢效能不僅超越DoT，在不穩定的網路狀態下甚至有可能超越傳統的DNS，因為QUIC的流量控制機制可在未收到封包時提出警告，而非等到查詢超時。</p> <p>根據Google的測量，在DoT與DoH3都成功解決97%查詢的條件下，若以DoH3取代DoT，其中位數查詢時間減少了24%。</p> <p>目前包括Google DNS及Cloudflare DNS都已支援DoH3，未來Google也打算支援DDR（Discovery of Designated Resolvers），可根據使用者的配置自動替使用者找出最佳供應商。</p> </div></div></div>
2022/7/22 08:57作者陳曉莉https://www.ithome.com.tw/news/152052
統一出手要買下家樂福，開採900萬會員資料金礦需要通過哪些難關？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一集團7月19日宣布買下家樂福所有股份，若取得公平交易委員會許可，統一旗下零售通路，將囊括百貨、超商、餐飲、超市、電商及量販。如此一來，統一不僅能接觸到更多消費者，也能涵蓋更完整的消費者購物旅途，對統一近年會員經營策略而言，無疑是一大助力。然而，要將近900萬筆家樂福會員資料整合統一現有會員體系，不論就IT面還是政策面，都是挑戰。 </p> <p>截至今年，統一已經打通18個通路的會員資料，坐擁超過1,400萬Open Point會員。儘管會員基數龐大，2021年活躍會員僅有600萬人左右。統一想要掌握更多有消費紀錄的活躍會員，進行再行銷來提高貢獻度，因此會員經營方向，從過去只是追求會員總數，轉為提高活躍會員數。為了活化會員，統一也以整合後的Open Point會員資料為基礎，在生態系內開發了許多應用情境，包括電子支付、會員點數以及Open Point App上的諸多功能。</p> <p>統一整合旗下會員資料後，為日後對接家樂福龐大會員資料及諸多系統，打下了良好的基礎。儘管如此，要統一想將家樂福會員整合進既有生態系中，仍須面臨不少挑戰。</p> <p>據家樂福統計，光是在家樂福App註冊的會員，就有近900萬筆會員資料，其中更有460萬筆屬於半年內有消費數據的活躍會員，對有意增加活躍會員數的統一而言，無疑是一座會員金礦。然而，龐大會員數背後，也有相當複雜的制度及系統，都是日後的整合課題。 </p> <p>制度上，家樂福的會員種類，除了以電商服務及電子支付為主的App會員，還有線下購物好康卡會員以及聯名信用卡會員，這三套會員制度推出時間、加入管道跟使用情境各有不同，光是內部會員資料清洗、整合，再與統一會員資料比對是否有重疊會員，就是一大工程。</p> <p>系統上，家樂福電子商務平臺及會員管理系統，串接了許多服務，例如行銷科技、ERP系統、資料治理系統及金流服務等。家樂福App上，也有大大小小的會員服務及功能。這些系統服務、會員服務及功能，乃至於App本身，與統一現行App的功能有不少重複，甚至互相衝突之處，例如家樂福錢包和Open錢包，就是功能接近又彼此競爭的服務。</p> <p>不僅如此，家樂福這些服務及功能，都必須蒐集並運用相對應的會員資料。但會員資料架構不盡然和統一相似，家樂福的會員服務項目也略有不同，會有不少統一過去沒有蒐集的資料種類。例如，家樂福會蒐集會員車牌號碼，以利進出賣場停車場時自動折抵停車費。</p> <p>服務繁多、會員制度和資料型態的差異，都會帶來雙方會員服務和資料高度整合的挑戰，也是統一併購家樂福後必須面對的問題。不論是後臺系統服務，還是前臺App功能，抑或是這些服務及功能所衍生的資料及資料格式，要照舊沿用在家樂福會員？擴大沿用至統一所有會員？與統一現有功能取長補短形成新作法？抑或是廢除不用？對統一來說，從評估到決策，從串接、整合或移除，到後續維護作業，都是政策面及IT面的雙重挑戰。</p> </div></div></div>
2022/7/21 18:32作者郭又華https://www.ithome.com.tw/news/152049
【資安日報】2022年7月21日，上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊臺灣生技公司的情況，最近再添一例。上櫃公司永昕生物醫藥證實遭到電腦病毒攻擊，並表示有部分資通訊系統受到波及。</p> <p>網釣攻擊裡，駭客假冒知名廠商的情況相當普遍，而根據資安業者Check Point的分析，他們偏好的品牌依序是LinkedIn、微軟，以及DHL。由於大部分使用者對這些廠商寄來的信件相當習以為常，很有可能降低戒心而上當。</p> <p>進行網站側錄攻擊（Web Skimming）的駭客，過往目標集中於線上商城，但最近有研究人員發現，駭客開始將目標轉向線上訂餐平臺，發動Magecart攻擊，因為，這麼做很有可能竊得所有餐廳交易的金融卡資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p>由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> </div></div></div>
2022/7/21 18:37作者周峻佑https://www.ithome.com.tw/news/152050
台灣網路報告出爐! 行動寬頻普及率首次超越固網寬頻，逾半數民眾透過數位平臺瀏覽新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣網路資訊中心（TWNIC）發表2022台灣網路報告，指出18歲以上、近三個月有上網經驗的民眾，比率達84.3%，行動寬頻普及率（81%）已超越固網寬頻普及率（61%）。民眾獲得新聞的來源，儘管從單一管道來看，近4成民眾從電視獲得新聞內容，但從整體來看，超過半數民眾透過搜尋引擎、社群等數位平臺獲得新聞，超越新聞媒體。</p> <p><span style="color:#B22222;"><strong>未上網以高齡居多</strong></span></p> <p>這份報告是由中研院調查研究專題中心執行，在今年2月至3月期間，以電話訪問國內18歲以上民眾，訪問約2,228位民眾。研究顯示，近三個月有上網經驗的民眾比率達84.3%，雖然較兩年前的比率略為提升，但從2015年開始，上網比率即在8成到9成之間上下起伏變化，始終未突破9成。</p> <p>進一步分析各年齡層民眾的上網比率，發現未上網的原因和世代有關，上網比率較低的年齡，以60到69歲之間，70歲及以上居多，由於網際網路的出現，錯誤該世代學習階段，因此相較其他世代上網比率來得低。未上網者，詢問不上網的原因，包括沒有需要、年齡太大、沒有設備、沒有興趣、對電腦恐懼。</p> <p>由於超過9成沒有意願學習，超過5成無人協助，因此為縮減世代造成的數位落差，報告也建議可從增加「數位幫手」，協助這群人使用數位服務，此外，新服務不能只有數位管道，也應同時從傳統管道來提供服務。</p> <p><span style="color:#B22222;"><strong>行動寬頻普及率超越固網寬頻，5G上網普及率近2成</strong></span></p> <p>進一步看民眾上網的方式，行動寬頻的普及率首次超越固網寬頻，國內行動上網普及率從2011年只有13%，一路成長到2022年的81.47%，相反地，固網寬頻普及率過去10年都相當穩定，普及率在8到9成間上下起伏，但特別的是在2022年跌至65%。此一現象也出現唯行動上網族群，也就是沒有使用固網寬頻服務，只使用行動上網的使用者，唯行動上網的比例達到18.72%。</p> <p>該調查也指出，國內5G上網普及率，從2020年調查（當年調查以12歲以上民眾為對象）的2.26%，成長到2022年調查（最新調查以18歲以上民眾）的18.98%，若以所有行動寬頻用戶來看，使用5G比例更達到23.29%，近四分之一採用。探究未採用5G的原因，有意願申辦5G者，多為合約尚未到期，至於沒有意願申辦的人，理由以費用太高為主。</p> <p><span style="color:#B22222;"><strong>行動支付及串流影音服務成長快速</strong></span></p> <p>就民眾使用的網路應用服務來看，透過網路購買商品、觀看免費影音是國人較常使用的服務，其中觀看免費影音的比例高達72.82%，顯示娛樂為民眾重要網路應用。值得一提的是，行動支付快速成長，從2020年的使用率21.64%，提高到2022年的34.27%，增幅為調查的11項網路應用服務中居第一名。另外，加密貨幣也納入調查的網路應用服務之一，使用比率為2.01%。</p> <p><strong><span style="color:#B22222;">上網人口中約6成使用臉書，逾9成使用Line</span></strong></p> <p>針對社群媒體、即時通訊服務作調查，以台灣所有人口為例，7成使用社群媒體，若以上網者來看，臉書使用比率達61.22%，其次是Instagram（17.17%），第3名是抖音（2.19%），其他依序為PTT、Dcard。</p> <p>調查結果顯示，社群媒體出現遷徙現象，年輕用戶從臉書出走，改投入Instagram的現象，臉書用戶集中在30到59歲的族群，Instagram的使用者集中於18到29歲者。</p> <p>至於即時通訊軟體，所有人口中，8成3的民眾使用即時通訊軟體，若以上網人口來看，Line以94.48%穩居第一，幾乎佔據整個市場，其次是FB Messenger、微信、Facetime、WhatsApp等。</p> <p><strong><span style="color:#B22222;">語音助理為使用最高的AI應用</span></strong></p> <p><strong><span style="color:#B22222;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1432.jpg" style="width: 600px; height: 195px;" /></span></strong></p> <p>隨著人工智慧的應用逐漸普及，調查顯示52.48%民眾在一個月內曾使用過至少一項人工智慧產品及服務，其中數位語音助理使用率達42.75%，是使用比率最高的AI應用，高於聊天機器人、智慧手環或手錶、AI股票基金軟體。但是民眾對AI能保障人身或財物安全則有保留，雖然認同AI能保障者的比例為38.49%，但不信任的比例達43.47%。</p> <p><span style="color:#B22222;"><strong>半數以上民眾從數位平臺獲得新聞內容</strong></span></p> <p><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture563351.jpg" style="width: 600px; height: 310px;" /></strong></span></p> <p>在網路時代，數位平臺的影響力反映在新聞內容的取得來源。從個別的管道來看，電視仍是民眾獲得新聞內容最多使用的管道，比例為38.25%，搜尋引擎（19.15%）位居第2名，社群媒體（14.13%）居第3名，新聞媒體網站或應用程式為4.79%、報紙雜誌為1.77%。</p> <p>但若以新聞產製與否，將所有管道分為數位平臺及新聞媒體，搜尋引擎、社群媒體、即時通訊、YouTube等數位平臺加總合計佔52.49%，超過電視、新聞媒體網站及應用程式、報紙與雜誌、廣播等新聞媒體合計的45.24%。</p> <p>近年來新聞媒體嚐試付費訂閱模式，研究發現網路新聞付費比例只有1.42%，顯示新聞媒體轉型朝向付費訂閱模式，採用付費訂閱的比例相當低，媒體在轉型上仍有挑戰。</p> <p>針對大型數位平臺對新聞媒體的影響，先前澳洲、歐洲國家試圖促使大型數位平臺業者付費給新聞媒體的新聞媒體議價議模式，調查也發現4成3的民眾支持數位平臺付費給新聞媒體，反對者則為3成6。該報告認為，臺灣也應跟隨其他國家推動新聞議價法。</p> <p>另外，鑑於大型數位平臺的影響力不容忽視，調查顯示54.32%認同數位平臺應受政府規範，但不能侵犯言論自由，26.64%的人不同意。至於民眾使用新聞，衍生出是否能辨別假新聞的問題，該調查進一步詢問上網的受訪者，是否有信心能查詢新聞的真假，有信心的比例為48.94%，只略高於沒有信心的47.11%。</p> </div></div></div>
2022/7/21 20:13作者蘇文彬https://www.ithome.com.tw/news/152051
HPE目前9成IT應用系統皆採用混合雲及公雲部署，IT維運人力釋放後更站上第一線打造電子商務系統替公司年年進帳20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE在8年前做出一個重大決定，要展開內部數位轉型，其中一個重要目標，就是要翻新舊有的IT架構，導入更現代化IT架構，來擁抱混合雲，<span><span data-offset-key="3j5ek-1-0"><span data-text="true">加速公司轉型。</span></span></span>在歷經4年IT架構轉換後， 2018年時，HPE IT已轉型成混合雲架構，目前9成IT應用系統都已採用<span><span data-offset-key="6nnoj-1-0"><span data-text="true">混合雲及純公雲</span></span></span>部署，在近日一場活動上， HPE揭露內部IT轉型上雲經驗。</p> <p>全球800多套業務資訊系統、6.2萬臺伺服器、4.9萬臺虛擬機器、86.1 PB 存取資料、1,600支生產App，全球3萬個聯絡中心和13.9萬名員工。這些統計數字是這家伺服器大廠的全球IT團隊，2014年以前，每年進行資料中心IT管理和維運所要面對的龐大IT挑戰。</p> <p>HPE數位轉型技術服務部副總經理王綸基表示，2014年前的HPE全球IT架構，就像其他大型跨國企業一樣，需管理的IT架構龐大且複雜，不僅要維運全球800個資訊系統，管理超過6萬臺伺服器和上萬個VM，就連關鍵業務核心ERP就有10多套，分散各地。</p> <p>不單是資料中心維運就得耗掉許多IT人力，需要開發人力也不少，IT團隊必須要根據內部單位需求不斷開發新功能或應用，來支撐業務發展所需，在當時，IT團隊所開發出來的生產力App就有1,600支，數量相當多。此外，這群人不僅僅要負責內部IT管理和維運，對外服務，更要能夠支援全球56個國家地區3萬個聯絡中心（Contact Center）的售後或行銷服務。</p> <p>HPE在2014年以前的IT架構，幾乎都採實體主機方式部署在本地資料中心，採公雲或混合雲部署只有少數，比例大約只有1成。</p> <p>轉向混合雲發展後，截至目前，HPE全球IT的混合雲應用比例已經達到5成，其中多是以VM、容器為主的雲端應用，提供給內部使用者單位來運用。另外有4成是公雲的SaaS應用，像是 HR、CRM等系統都已搬上公雲，而部署在本地應用迄今仍有1成，以高效能運算應用為主，如ERP等。</p> <p>在混合雲架構基礎上，HPE IT團隊也針對AP架構大改造，將分散各地資料加以整合，用於全球營運資料分析，讓決策者可以更快取得資料加速決策行動，另外也針對資訊系統大瘦身，將原來800多個應用系統數量減半，並把全球10多套ERP系統合併為一套，再提供給全球各據點使用。</p> <p>王綸基表示，因為擁抱混合雲，這些年為HPE帶來不少效益，像在資料中心管理上，跟2014年相比減少了50％營運管理面積，因為要管的地方變少，IT維運人力負擔因此大幅降低，IT人力釋放後，更能站在營運第一線，運用IT技術協助公司營運發展。像是這段期間打造出了許多電子商務系統，讓企業客戶可以自行上網完成MA（維護合約）簽約或是訂閱購買部分HPE服務等，也為這家公司每年多賺進20億美元的營收。</p> </div></div></div>
2022/7/21 17:22作者余至浩https://www.ithome.com.tw/news/152046
全球已有25.5%網站採用HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門制定網路標準的網際網路工程任務組（Internet Engineering Task Force，IETF）<a href="https://www.ietf.org/blog/http-updates/" target="_blank">在今年6月正式發表</a>了新的HTTP/3標準，<a href="https://w3techs.com/technologies/details/ce-http3" target="_blank">而W3Techs的統計則顯示</a>，全球前1,000萬個網站中，已有25.5%的比例採用HTTP/3。</p> <p>HTTP/3為超文本傳輸協定（HyperText Transfer Protocol，HTTP）的第三個主要版本，HTTP是全球網路資料通訊的基礎，所謂的超文本文件包含了可連至其它資源的超連結，像是使用者只要點選滑鼠就能存取；而HTTP/3最大的改變在於以基於使用者資料包協定（User Datagram Protocol，UDP）的QUIC通用傳輸層網路協定取代了傳輸控制協定（Transmission Control Protocol，TCP）。至於QUIC則是Google於2012年發表的協定，隨後被IETF採用。</p> <p>IETF說明，HTTP/3專注於解決HTTP/2所出現的問題。例如雖然HTTP/2搞定了應用層協定的隊頭阻塞（head-of-line blocking）問題，卻在底層的TCP傳輸協定出現隊頭阻塞，而QUIC即可解決該問題；此外，HTTP/3也能加速網路瀏覽，在處於容易丟失封包的網路環境時，HTTP/3具備更穩定的表現。</p> <p><a href="https://blog.cloudflare.com/cloudflare-view-http3-usage/" target="_blank">Cloudflare指出</a>，在全球主要瀏覽器中，Google Chrome與Microsoft Edge都已在2020年11月支援HTTP/3，Mozilla Firefox也在2021年4月支援HTTP/3，只剩蘋果Safari需要手動啟用，而且尚處實驗功能，不過，這已意味著全球有超過7成的網路用戶都採用了相容於HTTP/3的瀏覽器。</p> <p>此外，IETF也推測，HTTP/3的成長速度讓它應該會在不久的將來，便超越HTTP/2。因為HTTP/2在2015年5月就問世了，但迄今全球前1,000萬網站支持HTTP/2的比例還不到50%，但已有超過25%的網站支持才剛剛成為標準的HTTP/3。</p> </div></div></div>
2022/7/21 16:30作者陳曉莉https://www.ithome.com.tw/news/152044
中國GPS追蹤裝置軟體漏洞，可洩露車輛位置、甚至切斷油料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全署<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-200-01" target="_blank">（CISA）本周針對一款受歡迎的GPS定位追蹤器發布安全公告</a>，警告6項漏洞可致車輛位置曝光，甚至讓駭客控制油料和車輛控制系統的風險。</p> <p><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker" target="_blank">安全廠商BitSight研究人員</a>Pedro Umbelino、Dan Dahlberg和 Jacob Olcott在中國深圳業者MiCODUS出品的GPS迷你追蹤器裝置MiCODUS MV720發現6個重大漏洞。這款裝置據信已出貨150萬臺，遍及169國，用戶涵括個人消費者、政府、軍隊、警方及企業。BitSight指出，這款裝置的使用者至少包括財星50大能源、石油及天然氣公司、一家航太公司、專家服務、製造業集團和一家科技業者、南美一國國軍、西歐一國執法機關、核電廠營運商、一中東政府、一北美政府部門及美國東岸一個州政府。</p> <p>這6項漏洞包含軟體使用寫死（hard-coded）的用戶憑證、驗證不當、跨站腳本攻擊（Cross-site Scripting）、以及經由用戶控制的金鑰繞過授權檢查。細部而言，CVE-2022-2107和 CVE-2022-2141皆為風險值9.8的重大漏洞，前者讓攻擊者登入Web伺服器，假冒用戶傳送SMS指令到GPS追蹤器，後者則讓攻擊者不需密碼傳送SMS指令給GPS追蹤器。CVE-2022-2199為高風險的跨站腳本攻擊，攻擊者可誘使用戶發出呼叫，以取得車輛系統控制。</p> <p>CVE-2022-34150和CVE-2022-33944則是GPS追蹤器端點上Web伺服器上的不安全直接物件參考（Insecure Direct Object References，IDOR）漏洞，對POST呼叫中的Device ID參數驗證不足，因而接受任意Device ID的呼叫，兩者分別為高度及中度風險漏洞。</p> <p>安全廠商相信，這些漏洞讓MV 720可能遭到多種型態攻擊，包括中間人攻擊、驗證繞過、滲透式監控。成功的攻擊可讓攻擊者接管任何MV 720 GPS追蹤器、存取位置、路線資訊、或傳送切斷油料指令、關閉防盜等多種功能。</p> <p>此外研究人員也發現，烏克蘭是歐洲國家中擁有最多MiCODUS GPS追蹤器的國家。國營運輸系統及基輔一家大銀行都是MiCODUS用戶。研究人員甚至貼出一個顯示MiCODUS用戶位置的全球地圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-CISA-MiCODUS%20MV720%20GPS%20tracker-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／BitSight</span></span></p> <p>CISA表示，這家廠商尚未提供軟體更新來緩解這些漏洞。CISA建議用戶減少控制系統裝置對外網曝露、儘可能從防火牆後定位控制系統及遠端裝置，且應和公司網路切開。需要開啟遠端存取時，應使用VPN等安全連線方式。此外CISA也提醒用戶不要點選不明連結或郵件附件，以免遭社交工程攻擊，而讓駭客取得車輛控制權。</p> </div></div></div>
2022/7/21 15:21作者林妍溱https://www.ithome.com.tw/news/152042
OpenAI文字轉圖像模型DALL-E 2擴大測試規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150301" target="_blank">OpenAI繼於今年4月發表</a>新版文字轉圖像模型DALL-E 2預覽版之後，<a href="https://openai.com/blog/dall-e-now-available-in-beta/" target="_blank">本周宣布擴大DALL-E 2的測試規模</a>，將在未來幾周邀請於等候名單上的100萬名使用者免費試用該模型。</p> <p>DALL-E是一個以文字描述就會自動產生圖像或藝術畫作的AI系統，奠基在具備1,750億個參數GPT-3上，但它僅使用120億個參數，利用一個文字與圖像配對的資料集，以文字敘述來產生圖像，與去年1月發表的第一代版本相較，2.0大幅度地改善了精確度、寫實度及解析度。</p> <p>在DALL-E 2於本周進入測試階段之後，受邀的使用者第一個月將可得到50個免費額度，每個額度可用來執行1個DALL-E原始提示，並產生4個圖片，或者是獲得一個編輯過的變化提示，可產生3個圖片，之後的每個月則能持續獲得15個免費額度。</p> <p>自預覽版問世3個月以來，全球已有超過118個國家的逾3,000名藝術家參與該系統的測試，包括插畫家、AR設計師、作家、景觀設計師、紋身藝術家、服裝設計師到導演，<a href="https://childrenscancer.org/resources-for-families/big-dreams-tour/" target="_blank">James Orrigo夫婦亦利用DALL-E 2替罹癌的兒童建立了Big Dreams Virtual Tour專案</a>，實現他們想像中的故事，並讓這些兒童擔任故事中的主角。</p> <p>雖然剛邁入測試階段，但DALL-E 2已開始支援商業活動，除了每月15個免費額度之外，使用者可花費15美元額外購買115個額度，而且即日起，使用者將獲得自DALL-E 2產生圖像的所有商業使用權，包括轉載、銷售或商品化等。</p> </div></div></div>
2022/7/21 15:56作者陳曉莉https://www.ithome.com.tw/news/152043
外洩資料不只用來勒索，也成攻擊情報共享利器，多個駭客組織著手打造受害者資料搜尋資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織付錢，勒索軟體普遍在加密檔案之前竊取機密資料，來做為後續索討贖金的籌碼，但現在陸續有3個駭客組織將這些資料彙整起來，供他人搜尋，使得外洩資料危害可能會更加嚴重。</p> <p>6月中旬起，有個勒索軟體駭客組織BlackCat（亦稱Alphv）鎖定單一受害組織，設置個資外洩查詢網站，聲稱是讓他們的員工與客戶，能夠得知自己的個資是否外洩；後來，對於不願支付贖金的受害組織，這個膽大妄為的攻擊團體，居然又建立外洩資料的搜尋引擎。</p> <p>這樣的做法，很快就有其他駭客組織跟進。</p> <p>例如，勒索軟體駭客LockBit將公布受害者的網站改版，加入了搜尋功能。Conti旗下的駭客組織KaraKurt，也仿效LockBit在網站新增搜尋功能，便利其他網路犯罪者找尋可下手的目標。</p> <p>由於KaraKurt專門接手不願向Conti付錢的受害組織，進一步向其勒索，現在有了系統化的搜尋機制，恐怕將帶來更大、更長久的威脅。</p> <p>從一連串駭客針對受害資料提供不同搜尋機制的過程，我們看到，除BlackCat的個資搜尋網頁，是為了利害關係人（飯店的員工和客戶）而設，後續這些團體開發的其他搜尋機制都用於網路犯罪生態圈，打算讓更多的駭客能夠濫用竊得的資料。</p> <p>雖然駭客這麼做無法立竿見影，馬上就出現顯著的成效，也很難確認受害組織是否就會因此願意向駭客低頭，但是可以想見的是，受害組織外流的資料，將會被其他駭客多次利用於攻擊行動，或是利用先前找到的入侵管道，不斷找受害組織的麻煩。</p> <p>過往勒索軟體駭客組織很可能在得手後，自己再重覆對受害組織發動攻擊索討贖金。但如今，這些駭客很可能不需再自行動手，而是交由其他組織處理後續處理。</p> <p>例如，勒索軟體駭客Conti將相關業務進行分工，就成立獨立的駭客組織KaraKurt，來接手後續索討贖金的業務。</p> <p>而在駭客提供了上述的搜尋功能之後，他們很可能藉此另闢新的業務。</p> <p>除了能將資料交給專門負責向受害組織勒索的駭客，他們也能和其他攻擊者交換情報，讓別人運用搜尋的功能，找到能用於攻擊的資訊。</p> <h3><strong><span style="color:#0000FF;">駭客團體設置個資外洩搜尋網站，借此向受害組織施壓</span></strong></h3> <p>關於駭客嘗試以資料搜尋的功能，迫使受害組織支付贖金的情況，可追溯自6月上旬揭露的勒索軟體攻擊行動。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat在上個月，攻擊美國俄亥俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。</p> <p>特別的是，駭客不只在洋蔥網路（Tor）公布資料，還架設類似「Have I Been Pwned」的個資外洩查詢網站，讓該飯店員工或是客戶，能以此確認自己的個資，是否因為攻擊事件而遭到外洩。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1-blackcat-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-blackcat-data-leak-site.jpg" style="width: 580px;" /></a></p> <blockquote><p><strong><span style="color:#808080;">勒索軟體駭客BlackCat攻擊美國俄亥俄州的飯店後，建立了類似Have I Been Pwned的個資查詢網站，希望讓該飯店的員工與客戶得知自己的資料遭到外洩後向飯店進行施壓，要求支付贖金取回資料。（圖片來源／Bleeping Computer）</span></strong></p> </blockquote> <p>該新聞網站指出，客戶的資料包含了姓名、入住日期，以及住宿費用。</p> <p>但員工個資涉及了更多敏感的資料，除了姓名，還包含社會安全碼、出生日期、電話號碼，以及電子郵件信箱等。此外，駭客也針對每個員工在飯店的工作經歷，製作了資料包供人下載。</p> <p>值得留意的是，這個查詢網站設置在公開的網際網路上，相關資料查詢結果，很有可能被其他網路搜尋引擎擷取、建立索引，而使得這些資料外流的情況更加嚴重。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金。</p> <p>而該飯店可能為了避免員工與住戶的集體訴訟，在上述人士不斷施壓之下，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><span style="color:#0000FF;"><strong>駭客食髓知味，建置更大的受害組織資料搜尋引擎</strong></span></h3> <p>在有了上述建置個資外洩資料庫的嘗試後，BlackCat企圖將受害者資料更加充分運用，但目標不再只是這些組織的利害關係人。</p> <p>資安團隊VX-Underground在7月12日，發現BlackCat有了新的行動。</p> <p>該組織架設了一個名為Alphv Collections的外洩資料庫，存放不願支付贖金組織的資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。</p> <p>這個駭客組織宣稱，資料庫的搜尋引擎的功能相當強大，用戶不只能利用檔案名稱或是關鍵字，尋找想要的資料，也能從Word、Excel、PDF文件，找出特定文字，甚至還能從JPG、PNG圖片檔案，進行文字內容的搜尋。</p> <p>更令人驚恐的是，資安業者Cyble指出，這套匯集受害者數據的資料庫系統，甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料，持續發起各種攻擊行動，例如，若找到遠端桌面連線（RDP）的存取資料，而能夠入侵特定類型的伺服器主機。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-Plain-text-Login-Credentials.png" style="width: 580px;" /></a></p> <blockquote><p><span style="color:#808080;"><strong>有了建置個資查詢網站的經驗，勒索軟體駭客BlackCat進一步對受害組織的資料提供搜尋功能，讓其他駭客能從中找出用於網路入侵行動所需的資訊，如RDP的帳密、IP位址等。<span style="font-style: italic;">（圖片來源／Bleeping Computer）</span></strong></span></p> </blockquote> <p>研究人員指出，過往駭客必須先耗費大量時間，從資料來源的提供管道下載，取得外洩資料後，往往還需要經過抽絲剝繭，才能撈出可用於攻擊的內容。</p> <p>而駭客組織BlackCat建置的Alphv Collections，則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，無需浪費時間去下載整個資料庫，而出現這樣的情況之後，很可能讓外洩資料的危害更加擴大。為了要遏止上述問題繼續蔓延，研究人員認為，企業應監控外洩資料的流向。</p> <h3><strong><span style="color:#0000FF;">其他駭客組織跟進，在受害組織公布網站提供搜尋功能</span></strong></h3> <p>繼BlackCat針對受害組織的資料提供搜尋功能，接著也有其他駭客採取這樣的手法，但做法略有不同，他們將公布受害者的網站，加入搜尋功能。</p> <p>根據資安新聞網站Bleeping Computer的報導，駭客組織LockBit、KaraKurt，約在7月中旬，相繼將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3-LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-LockBit_Search.jpg" style="width: 580px;" /></a></p> <blockquote><p><span style="color:#808080;"><strong>有了BlackCat的經驗後，勒索軟體駭客LockBit也運用類似手法，在公布受害組織的網站提供搜尋功能，雖然只能得知特定組織是否受害，但這些檢索內容很有可能會被其他駭客進一步利用，來找尋攻擊目標。<span style="font-style: italic;">（圖片來源／Bleeping Computer）</span></strong></span></p> </blockquote> <p>該新聞網站進一步指出，雖然兩組駭客僅提供搜尋受害組織名稱功能，不若BlackCat外洩資料全文檢索強大，KaraKurt網站相關功能也還無法使用，但其可能帶來的危害與影響，仍不能小覷。</p> </div></div></div>
2022/7/21 14:26作者周峻佑https://www.ithome.com.tw/news/152041
遠百全臺12座百貨物管全面行動化，導入1年多盤點效率提升1成7，外包抽查時間更省下一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東百貨近年積極推動數位管理，3年來建置和升級了多達240套系統，要讓百貨商場的人、事、物管理都行動化。近日在2021永續報告書中更公布了物管行動化導入1年多來的成果，讓全臺十多座百貨公司的盤點效率提升了17%，對外包人員的抽查作業時間更從100分鐘縮短到50分鐘。</p> <p>百貨業是一項高度依賴人力的產業，要維護和管理賣場各項設備，得仰賴大量物業管理人力，天天從早到晚的長時間巡查，但隨著人力成本越來越高，遠百在2018年時開始思考，如何提升工作效能來降低物管人力需求，成立了智慧物管App小組，希望透過大數據來管理商場資產和設備，利用App即時搜集更完整的管理數據，做為日後發展智慧零售的基礎之一。</p> <p>花了2年開發，遠百在2020年時，陸續上線測試了兩款智慧物管的App，包括了巡檢App和物管App，2021年導入到全臺11座百貨公司（註：遠百2022年才設立遠百竹北店，故2021年僅11座），來提升管理效率，也能提醒異常狀況和人員執勤到位管理。</p> <p>在巡檢App中，內建了時程管理功能，要求管理人員必須親自到機電設備旁的巡檢點，才能讀取電子巡檢表單，填妥巡檢紀錄後傳送到雲端儲存。遠百表示，這樣的做法有效解決了檢查不準時、巡檢不到位、紀錄不正確且難以存取等問題。巡檢App也搭配了一套後臺系統，可以分析雲端的巡檢紀錄，產出巡檢基準分析、趨勢分析等資料，協助預測設備狀況，在設備數值異常時自動提醒管理人員處理。</p> <p>而物管App則包含了資產管理、公務車管理、人力管理及清潔巡檢四大項目。遠百物管作業繁雜，因此物管App首要目標就是降低人為疏失。物管人員只要用手機掃描資產，資產管理功能就會自動產出盤點數據。此功能不僅提升了17%盤點時效，更直接將人為錯誤案件降至0件。此外，由於遠百物管作業流程，需要總公司管理部門及分公司執行部門之間跨部門溝通，因此無紙化跟遠端控管功能，也大幅提升了物管效率。例如，外包人員管理作業改為遠端抽查後，每件抽查案件所需時間隨之減半，從每件100分鐘降至50分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image001(8).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image001(8).jpg" style="width: 600px;" /></a></p> <blockquote><p>遠百物管App將人力密集的作業智慧化，降低了人為疏失的可能並提升工作效率。圖-遠百提供</p> </blockquote> <p>2021年，遠百在管理會議中開始討論，如何擴大物管App的經驗，將各百貨分店業務管理也行動化，未來要進一步邁向全方位行動化管理。</p> <p>不只智慧物管，遠百在永續報告書中透露了在稽核作業智慧化的最新進度。2021年，遠百導入了風險導向稽核管理（RAP）平臺，串接現有CSA法遵系統及ACL智能稽核系統，將遠百旗下零售事業的稽核功能進一步整合。遠百正在進行內部教育訓練，預計於2022年Q2正式啟用RAP平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1658132804970.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1658132804970.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/7/21 12:18作者郭又華https://www.ithome.com.tw/news/152037
微軟撤回Microsoft Store禁售開源軟體的決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到強烈反彈後，微軟本周撤回禁止開發商在Microsoft Store銷售開源軟體的新政策。</p> <p><a href="https://docs.microsoft.com/en-us/windows/uwp/publish/store-policies" target="_blank">上個月Microsoft Store App的2項新政策10.8.7和11.2</a>，分別是關於上架App的訂價及侵權通報的規定。其中10.8.7遭到開發商反彈，促使微軟本周一修改。</p> <p>目前10.8.7的規定寫道：「在決定產品或In-App購物訂價時，所有訂價應相對產品功能訂合理價格，不宜過高。」上個月這項規定原本還包含一些關於開源軟體的新規範，旨在禁止開發商在Microsoft Store上販售以開源軟體重新包裝後的軟體，企圖從自由軟體或開源軟體獲利，預定8月18日正式生效。消息一出引發使用者的不滿及抗議，促使微軟上周決定暫緩執行，並決定在本周一進一步撤回新規定。</p> <p><a href="https://twitter.com/gisardo/status/1549055382684925957" target="_blank">Microsoft Store總經理Siorgio Shardo指出</a>，這項變更原是為了保護用戶免受「誤導性的產品」之害，但聽取用戶的回饋意見後，公司已從10.8.7和11.2中移除之前關於開源軟體的規定。他說微軟致力於建立開放的Microsoft Store，實現開發人員選擇權及彈性，也強調Microsoft Store上有很多免費及付費OSS，期待未來會有更多。</p> <p>另一項變更則是在11.2 App的智財或侵權疑慮，<a href="https://www.microsoft.com/en-us/legal/intellectualproperty/infringement" target="_blank">微軟加入了線上侵權通報表格的連結</a>。</p> <p>對於開源軟體是否可以經重新包裝成為少數人或平臺的獲利來源，開源組織向來有不同態度，有人則認為不應如此。例如<a href="https://www.ithome.com.tw/news/151797" target="_blank">開源軟體組織Software Freedom Conservancy（SFC）指</a>稱，GitHub的AI輔助程式撰寫服務Copilot利用開源軟體社群的資產卻轉成獲利工具，而且可能還用到了授權的程式碼，這點並不可取，而決定終止使用GitHub，還將協助開發商從GitHub轉移。</p> </div></div></div>
2022/7/21 12:21作者林妍溱https://www.ithome.com.tw/news/152038
《創世神》遊戲宣布不支援區塊鏈及NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.minecraft.net/en-us/article/minecraft-and-nfts" target="_blank">打造《創世神》（Minecraft）遊戲的Mojang於周三（7/20）宣布</a>，由於非同質化代幣（Non-Fungible Token，NFT）的稀缺與獨家特性，並不符合該遊戲的使用指南，因此《創世神》既不準備整合區塊鏈技術，也不會支援NFT。Mojang現為微軟資產，微軟在2014年以25億美元買下Mojang，也推出教育版《創世神》。</p> <p>近來興起的NFT屬於數位資產的憑證，這些數位資產可能是MPEG、GIF，或是最熱門的JPEGs，支持NFT的社群宣稱這些奠基於區塊鏈上的圖像，未來將可攜至不同的平臺，包括社群或遊戲，以作為使用者的頭像或標記，而已有不少公司已經推出與《創世神》有關的產品，從檔案、造型到收藏品，亦允許玩家透過遊戲成績賺取NFT。</p> <p>不過，Mojang指出，在《創世神》的使用指南中，建立了伺服器所有人所能執行的存取管理規定，要求所有玩家都應該能存取同樣的功能，這些規定是為了確保《創世神》是個任何人都能存取同樣內容的社群；然而，NFT所帶來的稀缺與獨家性卻違背了該遊戲的指南與精神。</p> <p>因此，為了讓《創世神》的玩家擁有安全與包容的經驗，《創世神》的客戶端及伺服器端應用都禁止整合區塊鏈技術，涵蓋遊戲中的世界、造型、物品或其它模組。</p> <p>Mojang解釋，利用NFT或任何區塊鏈技術所建立的數位所有權，是奠基在稀缺性與獨家上，這並不符合《創世神》的創造性包容或大家一起玩的價值觀，且NFT甚至創造了一個富人與窮人的場景；圍繞在NFT的投機與投資心態也讓玩家的注意力從遊戲轉移至牟利，違反《創世神》帶給玩家長期的快樂與成功的宗旨。</p> <p>此外，有些第三方的NFT並不可靠，資產管理者可能突然消失，也充斥著詐騙與被哄抬的價格，有違《創世神》想要創造的內在價值。</p> <p>Mojang強調，目前《創世神》並不允許客戶端或伺服器端應用整合區塊鏈，也不允許它們利用區塊鏈來建立與遊戲內容有關的NFT，正著手制定新的使用指南，同時該公司也會密切觀察區塊鏈技術的發展，檢視能否在遵守該指南的原則下融入相關技術，但至少現階段並無整合區塊鏈的計畫。</p> </div></div></div>
2022/7/21 12:36作者陳曉莉https://www.ithome.com.tw/news/152039
特斯拉出售所持有的75%比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁抱加密貨幣，並在去年第一季購入價值15億美元比特幣的<a href="https://tesla-cdn.thron.com/static/EIUQEC_2022_Q2_Quarterly_Update_Deck_J8VLIK.pdf?xseo=&response-content-disposition=inline%3Bfilename%3D%22_022-Q2-Quarterly-Update-Deck.pdf%22" target="_blank">特斯拉（Tesla）於周三（7/20）公布的財報聲明中透露</a>，該公司已出售所持有的75%比特幣，進帳9.36億美元。</p> <p><a href="https://www.ithome.com.tw/news/142703" target="_blank">特斯拉在去年第一季將加密貨幣納入投資策略中</a>，宣布已購入價值15億美元的比特幣，同時宣布將允許消費者以比特幣購車，不過，<a href="https://www.ithome.com.tw/news/144386" target="_blank">同年5月特斯拉即以環保為由</a>，撤銷了以比特幣購車的決定。</p> <p>在今年第二季的財報聲明中，特斯拉表示已將所持有的75%的比特幣轉換為法定貨幣，進帳9.36億美元，而該財報聲明也顯示，目前特斯拉所擁有的剩餘比特幣，價值約為2.18億美元。</p> <p>去年第一季時，特斯拉出售了價值1.28億美元的比特幣，若再計入今年第二季所出售及剩餘的比特幣價值，特斯拉的比特幣投資大約虧損了2.18億美元。</p> <p><a href="https://www.theblock.co/post/158765/tesla-sold-936-million-in-bitcoin-in-the-second-quarter" target="_blank">根據《The Block》的報導</a>，即便出售了所持有的大多數比特幣資產，特斯拉執行長馬斯克（Elon Musk）對於未來是否再買進比特幣仍抱持開放態度，也強調特斯拉的此一決定不應被視為對比特幣的判決，而只是為了流動性而作出的決策。</p> <p>有鑑於比特幣價格的向下修正，不只是特斯拉，<a href="https://www.ithome.com.tw/news/151798" target="_blank">全球主要比特幣挖礦公司Core Scientific也在今年6月售出所持有的近8成比特幣</a>，但Core Scientific同時也持續擴張該公司的挖礦效能。</p> <p>比特幣價格在今年6月中旬一度跌破1.8萬美元，之後即緩慢回升至2.4萬美元，不過，特斯拉的財報聲明讓比特幣價格再度從2.4萬跌至2.28萬美元。</p> </div></div></div>
2022/7/21 12:59作者陳曉莉https://www.ithome.com.tw/news/152040
上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明影響，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。</p> <p>值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <p>成立於2001年永昕生物醫藥（Mycenax Biotech），從專攻生物新藥研發，近年擴及生物藥品委託開發暨製造廠（CDMO），內容涵蓋產程開發到藥品製造生產，其企業總部整合實驗室位於竹北生醫園區，並有位於苗栗竹南的兩個廠房（GMP一廠、GMP二廠）。</p> <p>根據永昕生物醫藥這次發布的公告內容，該公司是在7月18日（周一）發現異常，偵測到部分資通系統遭電腦病毒攻擊，並在當日晚間6點即發布消息。關於事件處理經過，該公司說明，已啟動防禦機制與復原作業，並立即與資安專業人員合作清除病毒。</p> <p>對於這起事件是否可能帶來衝擊，根據該公司的說明，目前評估此事件對公司營運不會帶來重大影響，而在因應方面，目前受影響的資通系統已在陸續回復運作中，同時也表示會持續提升網路與資訊基礎架構的安全管控，以確保資料安全。</p> <p>由於永昕生物醫藥在這份公告中，僅提及部分資通訊系統受影響，關於影響範圍與是否為勒索軟體攻擊？我們欲進一步詢問該公司，不過，該公司總經理暨發言人陳佩君留言表示，目前針對此事暫不提供任何回應。</p> <p>以生技製藥領域而言，近期國際上也傳出不少資安事件，例如上個月6月，總部位於瑞士巴塞爾的跨國製藥及生物技術的大型藥廠<a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/">諾華（Novartis），傳出</a>機敏資料可能遭竊的消息，以及<a href="https://www.fda.gov/medical-devices/letters-health-care-providers/illumina-cybersecurity-vulnerability-may-present-risks-patient-results-and-customer-networks-letter">美國食品藥物管理局（FDA）揭露</a>基因定序大廠Illumina多款產品存在重大漏洞可恐影響患者檢測結果與用戶網路安全。</p> <h2><strong>2022-07-18 永昕</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明部份資通系統遭病毒攻擊</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">7月18日發現狀況啟動防禦機制與復原作業。</td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及部分資通訊系統</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">受影響的資通系統陸續回復運作，將持續提升網路與資訊基礎架構之安全管控以確保資料安全。</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在7月18日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年7月<br /> </td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-19_184100.jpg" style="width: 600px;" /> </p> </div></div></div>
2022/7/20 21:46作者羅正漢https://www.ithome.com.tw/news/152030
Google發現一款偽裝成替烏克蘭發動DDoS攻擊的Android惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自俄羅斯入侵烏克蘭以來，Google威脅分析小組（Threat Analysis Group，TAG）便密切觀察東歐的網路安全環境，包括雙方的網路攻擊攻防，<a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/" target="_blank">本周TAG揭露</a>，由俄羅斯聯邦安全局（FSB）指揮的駭客集團Turla正以烏克蘭國民警衛隊Ukrainian Azov Regiment的名義設立Cyber Azov網站，號召親烏的使用者參與鎖定俄羅斯網站的分散式服務阻斷（DDoS）攻擊，然而這卻是假象，當使用者下載用來攻擊的Android程式後，安裝的卻是惡意程式。</p> <p>在俄烏開戰之後，便有親烏的開發者打造了StopWar程式，召集群眾的力量鎖定俄羅斯的網站發動DDoS攻擊，而Google即認為，Cyber Azov就是在仿效StopWar，以吸引烏克蘭的支持者上當。</p> <p>Cyber Azov網站宣稱他們是由全球自由人民組成的團隊，共同對抗俄羅斯的侵略，該站提供了同名的CyberAzov程式供Android用戶下載，號稱可藉由持續傳遞請求至俄羅斯網站來耗盡它們的資源，並列出了攻擊目標。Cyber Azov網站亦公布了比特幣捐款帳號。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Turla_web.max-1000x1000.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google TAG</span></span></p> <p>不過，TAG的調查發現，此一CyberAzov只傳送一次請求到目標網站，根本毫無攻擊力道，<a href="https://www.virustotal.com/gui/file/745e8c90a8e76f81021ff491cbc275bc134cdd7d23826b8dd23e58297fd0dd33/" target="_blank">而VirusTotal上的資料則顯示</a>，CyberAzov被15家資安業者的產品列為惡意程式。</p> <p>Turla透過第三方的傳訊程式來宣傳Cyber Azov網站，但似乎成效不彰，因為該站的比特幣帳號並未收到任何捐款，而TAG也說CyberAzov並非藉由Google Play散布，應該只有極少數的Android用戶下載了該程式。</p> </div></div></div>
2022/7/21 10:21作者陳曉莉https://www.ithome.com.tw/news/152035
Google在歐洲開放第三方支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會於7月初通過了<a href="https://www.ithome.com.tw/news/151788" target="_blank">《數位市場法》</a>（Digital Markets Act，DMA），該法案禁止大型科技業者濫用其市場力量阻礙競爭，<a href="https://blog.google/around-the-globe/google-europe/an-update-on-google-play-billing-in-the-eea/" target="_blank">而Google也因此於本周宣布</a>，歐盟經濟區（European Economic Area，EEA）的非遊戲開發者即日起就能於程式中提供除了Google以外的支付系統。</p> <p>Google的歐盟事務部總監Estelle Werth表示，Google將會遵循歐盟的新規定，但舉凡是選用其它支付系統的開發者都必須滿足保護使用者的要求，也必須繼續支付Google服務費。</p> <p>過去蘋果與Google一向對使用其平臺支付機制的開發者抽取30%的交易費用，但前兩年<a href="https://www.ithome.com.tw/news/141200" target="_blank">蘋果</a>與<a href="https://www.ithome.com.tw/news/143272" target="_blank">Google</a>先後將小型開發者的抽成費用調降至15%。Google表示，就算開發者採用了其它的支付機制，依然必須付給Google服務費，但可以減少3個百分點，代表倘若原本使用Google支付機制必須付15%，現在採用其它支付機制則必須付12%予Google。</p> <p>但即日起Google再也不會移除那些採用第三方支付機制的程式，也不會再拒絕它們更新。目前的政策僅適用於歐盟區以及非遊戲類程式，Werth指出，該政策終將會擴及遊戲，而且會在DMA生效前上線。</p> <p>DMA對蘋果而言可能更為艱困，因為它不僅要求蘋果要容許第三方支付，也可能迫使蘋果開放第三方程式市集，打破App Store從成立以來的唯一局面。</p> <p>其實歐盟經濟區並非Google或蘋果的唯一例外，南韓在2021年9月通過法令，允許行動程式開發者使用其它的付款機制，<a href="https://www.ithome.com.tw/news/147678" target="_blank">Google</a>與<a href="https://www.ithome.com.tw/news/151696" target="_blank">蘋果</a>已相繼於去年及今年開放第三方支付。</p> </div></div></div>
2022/7/21 10:37作者陳曉莉https://www.ithome.com.tw/news/152036
4年斥資11億研發！獨家解密統一超商新一代X POS機，一機兩用支援自助結帳，更是未來10年創新關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商（以下簡稱統一超）今年開始悄悄在自家門市部署新世代POS機「X POS機」，除了在統一超實驗門市X Store可以看到，近日開幕的亞洲第10,000間店中也可以見到它。統一超表示，X POS機將支援未來8到10年推出的新服務，其中最重要的新特色是，可以支援自助結帳。</p> <p>統一超早在4年前，就開始籌畫這款新型POS機。X POS機從發想到落地，統一超商花了4年、斥資近11億元，才完成開發及製造。</p> <p>統一超表示，自家POS機生命周期約8至10年，上一代POS機從2012年開始啟用，至今服役超過9年。統一超從今年4月開始部署新一代X POS機，目前已導入近百家門市，預計今年年底前會在全臺6,500家門市全面啟用。</p> <p>每當一代POS機走到生命周期後半時，統一超就會展開新POS機的研發會議，除了探討如何整合並優化現有功能外，也計畫為自助結帳等新服務，打造相應的功能及硬體設備，甚至為未知的未來服務，預留軟硬體擴充彈性。</p> <p>自助結帳功能並不新奇，統一超部分門市早就設有專門的自助結帳機，不過，通常放置在門市角落，而不是設在結帳櫃檯。自助結帳與人工結帳分開兩處，這也是大多數自助結帳機的設置方式。不過，店員結帳跟自助結帳的動線各自獨立，意味著店員大部分時候仍須守在櫃檯前。</p> <p>新款X POS機最大特色是可以一機兩用，在店員結帳和自助結帳兩個模式中自由切換，不僅可以省下額外放置自助結帳機的空間，也能統一超結帳動線，還能依照現場情況，彈性調配店員人力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/488422.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/488422.jpg" style="height: 400px;" /></a></p> <blockquote><p>統一超X Store的現有自助結帳機，放在店面角落，與櫃檯結帳<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">動線相互獨立。</span></p> </blockquote> <p><strong>POS軟硬體功能都大升級，來支援自助結帳新模式</strong></p> <p>為了支援消費者自助結帳功能，統一超在X POS機中強化了不少硬體設計，來優化消費者自助結帳不同步驟的體驗。自助結帳免不了的步驟是必須掃描條碼，又可細分為掃描實體商品、Open Point App或第三方電支App的條碼。</p> <p>為了因應不同型態的掃描及結帳情境，統一超在這臺X POS機上，設置了四款掃描器，包含了一個固定式掃碼器、一大一小的無線掃描器以及一個有線掃描器。統一超舉例，掃描手機上的QR Code時，就可以將手機平放在固定式掃描器下；一次購入大量商品時，則可以不用手拿掃描器，改用手拿商品來一一掃過大型無線掃描器，來加快掃描速度。除了連接POS機後方的有線掃描器外，其他三款掃描器都設置在便利消費者從櫃檯外側取用的位置，這也反映出統一超設計X POS機時，已經預先想像過多種自助結帳時會發生的情境。</p> <p>消費者使用電支工具付款時，除了掃描電支App條碼，另一方式是直接讀取實體卡片來結帳。為了支援更多種支付形式的處理，X POS讀卡機在讀取、運算及資料拋轉速度，都比上一代更快，來縮短結帳等待時間。此外，卡片讀卡機的螢幕也從上一代的低亮度黑白顯示，升級為全彩顯示，提供更清晰、舒服的扣款資訊瀏覽體驗。</p> <p>結帳流程最後一步是，列印收據、發票或折價券，過去都是由店員撕取後遞交給消費者，前一代POS機的發票列印機出口面向店員。但在X POS機上，同時考慮到自助結帳跟店員結帳兩種情境，因此，改為垂直向上輸出列印收據的方式，讓分立在POS機兩端的店員或民眾都能輕易撕取。</p> <p>X POS機硬體還有另一項大升級，面向消費者端的螢幕，從4:3橫向螢幕，改為16:9直向子母螢幕。較大的母螢幕上半部顯示結帳資訊，包括購買品項、消費者結帳時使用的會員點數以及支付管道，下半部則播放廣告或顯示抽獎等互動元素。子螢幕目前則用於播放廣告，不過，不論母、子螢幕都支援觸控功能，統一超表示，未來不排除推出雙螢幕互動功能，只是這些功能會等全臺門市POS機更新完畢後，才會推出。</p> <p>新螢幕不僅方向改為直式，解析度也較前一代更高。直式螢幕有更大空間在結帳時列出更多條購買品項、支付工具等訊息；高解析度則增加了這些額外訊息的易讀性。結帳資訊更清晰，也有助於優化自助結帳流程。消費者自助結帳大量品項時，常會因為懷疑自己操作失誤（如重複刷、沒刷到），請店員協助確認、解決，不僅減少店員人力調配彈性，也會增加後方排隊消費者的等待時間。有了更詳細、更易讀的結帳資訊，統一超希望有助於消費者在螢幕上確認，自行排解部分情況。</p> <p><strong>電子選單常用功能增設實體按鍵，店員螢幕觸控放大有助招募銀髮店員</strong></p> <p>除了硬體優化，X POS機的功能也有不少改良來簡化操作，希望能近一步縮短結帳等待時間。其中一項，就是將部分常用功能的按鈕，從POS系統的電子選單中，移出到實體鍵盤上。統一超表示，將常用功能集中在實體鍵盤上，店員就不用花時間在層層電子選單中尋找，不僅降低操作難度，更能提升結帳速度。</p> <p>另外，X POS機的店員端螢幕，可以用觸控手勢放大介面，有助於視力不佳的店員操作POS系統。統一超表示，這是因應高齡化社會中，銀髮族店員逐漸增加而設計的功能。</p> <p>軟體上，新POS系統也將部分類似情境的操作選項，整合成更易懂的單一選項。例如，過去為電子票證加值的情境，分為「單獨加值」及「交易中加值」兩種選項，新POS系統則將兩種選項整合為「電子票證加值」，簡化店員操作難度。</p> <p><strong>預留軟體擴充彈性和硬體運算力，為未來服務鋪路</strong></p> <p>新一代X POS機預計未來至少要服役8到10年，統一超也為了未來更多服務，預留了軟硬體擴充彈性。尤其，統一超今年將會員經營策略重點，從提升會員總數轉向提升會員活躍度，光是串接統一超數位商務服務平臺，POS系統就多了上百款數位會員服務要執行。統一超表示，新版POS系統較舊版更容易新增功能，以便彈性支援未來的新服務，不過，統一超沒有透露POS系統運作細節，或未來會新增的服務。</p> <p>不過，X POS機特別為了日後的智慧化功能，提高了硬體規格。舉例來說，統一超POS系統內建了自動推薦優惠組合的功能，可以根據消費者所購商品對應的促銷活動，在螢幕上顯示出多種優惠組合的推薦。</p> <p>這些優惠組合，除了在已掃描品項中尋找最佳優惠組合外，甚至可能追加推薦其他商品。例如，在特定促銷活動中，若買四瓶飲料會比買三瓶更便宜，POS系統會建議只買三瓶的消費者再買一瓶，而不僅是從現有三瓶飲料中推薦最便宜的優惠組合。統一超指出，此功能相當耗費運算資源，雖然舊一代POS機就能支援此功能，但X POS機的算力更強，能在「可接受等待時間」內算出更多種優惠組合，也追加了推薦優惠支付工具等功能，意味X POS機能支援未來更多元，且同時進行的促銷活動。</p> <p>統一超表示，X POS機籌畫期間，不僅投入7-Eleven、NEC集團、統智科技及統一資訊上百位專業資訊人員，也需要蒐集第一線門市收銀員使用上一代POS機的回饋，並和有串聯服務到POS機的外部廠商協調，光是電子支付廠商，就高達30至40家。</p> </div></div></div>
2022/7/20 17:02作者郭又華https://www.ithome.com.tw/news/152021
【資安日報】2022年7月20日，俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Ma…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭已經進行快5個月，俄羅斯駭客的網路攻擊行動也持續進行，今天有不少新聞是與俄羅斯駭客的攻擊行動有關。其中，又以駭客組織APT29針對外交使館的攻擊手法相當引人注目，因為這些駭客在過程中利用了兩個檔案共享服務Dropbox、Google Drive，來進行不同階段的攻擊行動。</p> <p>鎖定Mac電腦的惡意軟體CloudMensis也相當值得留意，駭客濫用了檔案共享服務Dropbox、Yandex、pClould來架設C2，並搭配macOS已知漏洞來發動攻擊。研究人員認為，攻擊者還有可能利用其他漏洞來繞過macOS的防護機制，呼籲用戶要將作業系統升級到最新版本。</p> <p>駭客組織8220的動作頻頻，而最近有資安業者指出，駭客建置的殭屍網路規模，較一年前增加15倍，研究人員認為，此舉與加密貨幣價格不斷下跌有關，使得駭客要擴大規模來維持營收。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p>Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在今年4月發現名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p>研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> </div></div></div>
2022/7/20 18:00作者周峻佑https://www.ithome.com.tw/news/152023
NCC新設網際網路傳播治理處，掌網際網路政策規畫與推動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合數位發展部成立，NCC將移撥基礎設施與資通安全相關業務等7項業務，擬修改組織法，同時也新增網際網路傳播相關業務，設立網際網路傳播治理處（簡稱網傳處），以負責網際網路政策的規畫與推動。</p> <p>NCC近期公布數位中介服務法，依據該法規畫設立專責機構，以引進多方利害關係人議事架構，建立網際網路的治理共識，加上新設網際網路傳播業務等等，NCC對網際網路業務動作頻頻，讓外界聯想到加強對網際網路產業的監理力度。</p> <p>對此，NCC澄清對網際網路並非採取傳統的國家監理立場，由於網際網路跨境跨域傳播，因此全世界對網際網路多以治理，代替國家權力的監理，因此未來新設的網際網路傳播治理處也採用治理的概念。</p> <p>未來網傳處的工作，包括網際網路使用者權益促進機制的規劃、推動網際網路傳播問責機制、網路識讀及公民培力的規劃與推動、網際網路傳播治理發展趨勢及使用者行為研析調查，還有規畫協調處理相關爭議、促進合作交流與協調。</p> <p>至於日前公布的數位中介服務法草案，擬由政府以25億元作為創立基金，設立財團法人性質的數位中介服務專責機構，建立多方利害關係人議事機制，並作為政府各部會與中介服務業者間的單一窗口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/internet-1.jpg" style="width: 600px; height: 311px;" /></p> <p>對此，NCC內容處處長黃文哲表示，雖然草案中規定，專責機構由政府捐助成立，但究竟是由政府獨資或是由大家共同捐助資金，未來可以再討論修正。專責機構的核心業務之一是，召開多方利害關係人會議，推動網際網路治理政策的執行，以及執行各部會機構委託的事項。</p> <p>黃文哲補充說明，透過大家合力協力維護網際網路使用的秩序，網際網路如能更安全、更有秩序，對網際網路的使用、發展更有幫助。NCC對網際網路的治理目標是，由業者、使用者、政府三方協力，共同維持網路秩序的和諧。至於網際網路上的假訊息或是侵權內容，交由各部會自己的法令執行，並非由NCC的網傳處制定法律執行，不是管理網際網路的概念。</p> </div></div></div>
2022/7/20 19:30作者蘇文彬https://www.ithome.com.tw/news/152029
微軟發表新的企業社交程式Viva Engage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（7/19）發表了新的企業社交程式Viva Engage，它將是微軟遠端工作平臺Viva上的最新程式，也預計於今年8月直接取代Microsoft Teams中的Communities程式。</p> <p><a href="https://www.ithome.com.tw/news/142644" target="_blank">微軟在去年2月發表了Microsoft Viva</a>，它整合了Microsoft Teams與Microsoft 365，定位為員工經驗平臺，也是遠距工作的產物之一，<a href="https://www.theverge.com/2021/2/4/22265954/microsoft-viva-platform-features-remote-work" target="_blank">《The Verge》直接將它稱為Microsoft Teams中的新平臺</a>。目前Microsoft Viva既有的程式包括用來進行內部通訊的Connections、作為人事及員工福利應用的Insights、支援員工學習的Learning，以及知識管理系統Topics，Engage則可望成為Viva上的第五款程式。</p> <p>Viva Engage是以微軟在2012年以12億美元併購的企業社交網路服務Yammer為基礎而打造的，因此，它將連結整個組織內部的使用者，包括同事或主管，在此一網路中找答案，分享自己的故事，並在工作中找到歸屬感。</p> <p>組織員工透過Viva Engage得以張貼連結、檔案、照片及影片，而這些內容可同時觸及使用Microsoft Viva Connections、Outlook、Teams與Yammer的同事，總之，它就是一個企業版的社交程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-Microsoft%20Viva%20Engage-5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-viva-blog/announcing-microsoft-viva-engage/ba-p/3571382" target="_blank">Microsoft 365產品行銷總經理Seth Patton引用微軟內部的調查指出</a>，有43%的主管認為，建立關係是在混合及遠端工作場景下最大的挑戰，然而，社交資本的建立卻是組織成功的關鍵之一。</p> <p>未來Microsoft 365商業客戶都將可免費存取Viva Engage服務，但使用者必須具備Yammer許可才能使用Viva Engage。此外，Communities app for Teams也預計於今年8月底直接更名為Viva Engage。</p> <p><a href="https://techcommunity.microsoft.com/t5/yammer-blog/introducing-viva-engage/bc-p/3576709#M1603" target="_blank">Microsoft Yammer暨Office 365總經理Murali Sitaram說明</a>，Yammer依然是Microsoft 365與Microsoft Viva的重要元件，此一變更僅影響到 Communities app for Teams & Outlook，Yammer行動程式仍是Microsoft 365 SKUs的一部分，且不管是通訊或是貼文功能都會同時出現在Yammer與Viva Engage程式上。</p> <p>Sitaram還說微軟將會繼續投資Yammer，以將Yammer的強大功能帶進Microsoft 365與Viva。</p> <p>換句話說，至少在現階段Yammer與Viva Engage將會同時存在，而且在Yammer所建立的內容也能透過Viva Engage看到，反之亦然。</p> </div></div></div>
2022/7/20 16:42作者陳曉莉https://www.ithome.com.tw/news/152020
蘋果以5,000萬美元和解蝶式鍵盤集體訴訟案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/143402" target="_blank">蘋果用戶在2018年集體控訴蘋果替MacBook筆電所設計的蝶式鍵盤含有瑕疵</a>，違反了蘋果對誠信與公平交易的承諾，亦觸犯保固條款及多項美國法令，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.326502/gov.uscourts.cand.326502.410.1.pdf" target="_blank">雙方在本周達成和解協議</a>，蘋果同意支付5,000萬美元的和解費用。此一和解協議尚待法官核准。</p> <p>蘋果在2015年至2019年之間，陸續推出以蝶式鍵盤取代剪刀式鍵盤的MacBook、MacBook Air及MacBook Pro筆電，儘管蘋果宣稱蝶式鍵盤可減少鍵盤厚度，讓筆電更為輕薄，蘋果用戶卻抱怨蝶式鍵盤經常發生故障，只要有一點點的灰塵或碎片跑進鍵盤下方或周圍，鍵盤就會卡住；此外，蘋果的內部文件也曝露蘋果早就知道蝶式鍵盤的瑕疵，且即使多次改善也於事無補。</p> <p>在提出訴訟之後，一名MacBook用戶還發起請願活動，要求蘋果全面召回筆電以更換鍵盤，並獲得逾2萬名蘋果用戶的連署，<a href="https://www.ithome.com.tw/news/124084" target="_blank">2018年6月，蘋果即公布了MacBook、MacBook Air與MacBook Pro鍵盤的免費維修方案</a>。</p> <p>即使同意和解，蘋果依舊否認了訴訟中的所有指控，既不承認MacBook存在缺陷，也否認蘋果有任何不當或非法的行為。</p> <p>不過，蘋果願意支付5,000萬美元來支付使用者維修鍵盤的費用，曾換過一個鍵帽的可得到50美元，曾換過整個鍵盤的可得到125美元，若是曾多次置換鍵盤的則可得到395美元。</p> <p>由於蝶式鍵盤實在惹來太多批評，也讓蘋果在2019年之後推出的MacBook筆電產品線全面改回剪刀式鍵盤。</p> </div></div></div>
2022/7/20 14:48作者陳曉莉https://www.ithome.com.tw/news/152019
蘋果iPhone Tap to Pay只能用Apple Pay服務，挨告不當獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220715005490/en/Hagens-Berman-Apple-Sued-in-Massive-Antitrust-Class-Action-Lawsuit-Alleging-1-Billion-Illicit-Annual-Revenue-Stream-from-Apple-Pay-Fees" target="_blank">蘋果上個月正式推出的無接觸支付服務Tap to Pay本周遭集體控告</a>，指控其強迫iOS裝置只能使用Apple Pay電子錢包完成無接觸支付，藉此達到不當獲利的目的。</p> <p>這樁集體控告官司是由美國一家信用卡發行商Affinity Credit Union發起，最後整合多家信用卡發行商及金融業者，向加州法院提出，控訴蘋果藉由Apple Pay政策，不當向支付卡發行商收取費用，估計一年可能高達10億美元，違反美國聯邦反托拉斯法。<a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-sued-over-apple-pay-accused-of-antitrust-violations" target="_blank">《彭博新聞》昨日率先報導這項消息</a>。</p> <p>蘋果是在今年5月底測試<a href="https://www.ithome.com.tw/news/151316" target="_blank">，並在6月初正式推出「Tap to Pay」</a>，消費者結帳時，利用NFC通訊協定，只要以iPhone或Apple Pay靠近另一隻iPhone即可完成支付，店家無需另外安裝終端機或其他硬體。目前Tap to Pay服務僅在美國推出。</p> <p>控訴文件指出，蘋果政策不允許競爭者使用開發行動電子錢包的技術，使iOS裝置用戶在店家或網購時，只能用Apple Pay進行無接觸支付。而在確保Apple Pay的壟斷地位後，蘋果就可以向信用卡發行商收取高額手續費。相較之下，Android手機提供相同服務的廠商，卻未向信用卡公司收費。</p> <p>文件指出，Samsung Pay、Google Pay提供的功能和Apple Pay基本上一模一樣，但信用卡公司在iOS裝置上，卻被收取每筆0.15%的費用，每年支付總計10億美元。原因即是在Android平臺上有競爭，有多個數位錢包提供無接觸支付，而蘋果卻封堵了所有競爭者而使Apple Pay成為唯一選項。</p> <p>原告目的在改變蘋果強迫Tap to Pay服務只能經由Apple Pay完成支付的政策，並且要求蘋果歸還不當收取的費用。</p> <p><a href="https://www.theverge.com/2022/7/18/23269369/apple-pay-class-action-lawsuit-antitrust-tap-to-pay-eu" target="_blank">The Verge報導</a>，雖然法院不一定會許可集體控告，但負責這樁官司的Hagens Berman and Sperling & Slater律師事務所頗有辦法，分別在2016年及去年成功打贏對蘋果的集體控告官司，成功讓蘋果歸還向電子書廠商索取的費用，以及<a href="https://www.theverge.com/2021/8/26/22643807/apple-developer-class-action-lawsuit-collect-information-ios-apps-anti-steering" target="_blank">支付1億美元和解</a>第三方App開發商提出的托拉斯告訴。</p> <p>蘋果並未對此回應。</p> <p>5月間，蘋果也遭歐洲無接觸支付業者控告其不開放NFC技術的存取權，但蘋果回應，開放可能產生安全疑慮。這也是蘋果面對其他服務，如軟體商店控訴時的一貫說詞。<a href="https://www.ithome.com.tw/news/150723" target="_blank">歐盟執委會（European Commission，EC）近日初審</a>，判定蘋果濫用其iOS的獨占地位，限制開發者存取手機上的NFC技術，會限制創新，及傷害電子錢包消費者的選擇性。</p> </div></div></div>
2022/7/20 13:34作者林妍溱https://www.ithome.com.tw/news/152018
熱浪侵襲歐洲，Google與甲骨文在英國資料中心的冷卻系統相繼故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日熱浪侵襲歐洲，法國與英國相繼出現超過40度的高溫，就在英國創下40度高溫紀錄的周二（7/19），甲骨文（Oracle）與Google在英國的資料中心也傳出因冷卻系統故障，造成伺服器與特定服務停擺，顯示這些伺服器也熱壞了。</p> <p>根據<a href="https://ocistatus.oraclecloud.com/#/incidents/ocid1.oraclecloudincident.oc1.phx.amaaaaaavwew44aa7zoskanlspjh4ll6wxhwxrbkbed4d4cnupxexzqzvlyq" target="_blank">甲骨文雲端基礎設施的系統狀態</a>說明，出問題的是位於倫敦的UK South資料中心，因該區域出現不尋常的溫度，造成該資料中心的冷卻基礎設施故障，而讓網路、Oracle Block Volumes、Oracle Compute、Oracle Object Storage與Oracle Integration等雲端服務都一度停擺。</p> <p>當地的甲骨文資料中心從世界協調時間周二15:42（臺北時間周二23:42）開始故障，一直到周三00:20（臺北時間周三8:20）才完全恢復正常。</p> <p>Google在同一天出問題的資料中心為<a href="https://status.cloud.google.com/incidents/XVq5om2XEDSqLtJZUvcH" target="_blank">europe-west2-a</a>，正巧也是位於英國倫敦。Google並未說是氣候所造成，僅說是代管europe-west2-a部分能力的其中一棟建築物的冷卻系統故障了，使得少數客戶的VM停擺與機器遺失了，為了避免損害機器或讓災情擴大，Google關閉了該區的部分電力，並限制GCP的先占（Preemptible）功能。</p> <p>Google在英國資料中心的冷卻問題，始於太平洋夏令時間周二10:13（臺北時間周三01:13），一直到當天15:29（臺北時間周三06:29）還沒完全恢復正常，在這最後一次的資訊更新時，Google亦說並無預估的復原時間。</p> </div></div></div>
2022/7/20 12:26作者陳曉莉https://www.ithome.com.tw/news/152016
Netflix付費分享及廣告支撐服務都將在明年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2022/q2/FINAL-Q2-22-Shareholder-Letter.pdf" target="_blank">全球影片串流龍頭Netflix周二（7/19）公布了今年第二季的財報</a>，該季Netflix締造了79.7億美元的營收，比去年同期成長9%，每股盈餘為3.2美元，亦高於去年同期的2.97美元；該季的全球訂閱用戶比上一季減少了97萬人，但已低於原先的200萬人預估。此外，不論是廣告支撐方案或是付費分享政策都預計在明年上線。</p> <p>在Netflix的全球營收中，北美市場占了35.4億美元，EMEA（歐洲、中東與非洲）占了24.6億美元，拉丁美洲占10.3億美元，亞太地區則占9.1億美元；雖然亞太地區不論是營收或是付費會員數都位居末位，但今年第二季只有該區域的訂閱用戶數是成長的，其它3個市場皆下滑。</p> <p>在今年第二季時，Netflix的全球付費會員數為2.2億，比去年同期增加5.5%，但比上一季少了97萬人。</p> <p>不過，Netflix力挽狂瀾的新計畫都將在明年現身。Netflix表示，預計在2023年初就會與微軟合作推出基於廣告的Netflix訂閱服務，此一廣告支援方案的訂閱費用將低於既有的3種方案，將率先選擇在廣告支出規模較大的市場上線。</p> <p>此外，今年以來Netflix亦開始於特定市場測試Add an Extra Member及<a href="https://www.ithome.com.tw/news/151998" target="_blank">Add a Home功能</a>，以要求那些分享帳號給非同住家人的用戶額外付費。Netflix於財報中透露，相關測試的目的是找出一個更容易執行與被接受的付費分享政策，以便在明年實施。</p> <p>財報出爐後，Netflix當天的盤後股價漲至217.46美元，漲幅為7.85%。</p> </div></div></div>
2022/7/20 12:38作者陳曉莉https://www.ithome.com.tw/news/152017
Slack變更免費版內容，Pro版將漲價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/en-gb/blog/news/pricing-and-plan-updates" target="_blank">已為Salesforce.com收購的Slack宣布</a>Pro版付費服務將從9月1日調漲價格，同時宣布變更免費版服務內容，由免費10,000則訊息變成90天以內訊息可免費存取。</p> <p>首先，Slack表示，為反映推出以來新增的功能，同時未來有能力持續投資創新，將自2014年推出以來首次漲價。不過這波僅影響Pro版訂閱戶。從9月1日起，Pro版每人月費將從8美元漲為8.75美元，年費則從每人80美元漲為87美元。<a href="https://slack.com/help/articles/7050776459923-Pricing-changes-for-the-Pro-plan-and-updates-to-the-Free-plan" target="_blank">Slack另外也提供了</a>歐元、英鎊、日圓及印度盧布的價目表。</p> <p>Slack鼓勵用戶趕快續訂。現有Pro版年租用戶若在9月1日前更新年租服務的話，可以維持現有年費水準。而月租版用戶若在9月1日前變更為年租，則可以享受同樣待遇。</p> <p>Business+和Enterprise Grid方案的定價將維持不變。Pro版漲價後，教育版及非營利版仍將適用現行的折扣優惠。</p> <p>至於免費版服務內容，Slack也有所變更。首先增加了免費版服務內容，像是可允許用戶在私訊或工作空間中傳送影音檔、或螢幕共享訊息。此外，9月1日後，免費版工作空間擁有者與管理員也可設定訊息和檔案保留期間，這功能過去只存在付費版。Slack要用戶小心設定，超過這個期間的訊息和檔案系統會自動刪除，刪除後即無法再復原，即使用戶升級為付費版也救不回來。</p> <p>另一方面，Slack宣布免費版內容限制，同樣在9月1日起生效。免費版現行最多可傳送10,000則訊息和5GB儲存空間，未來將改為可免費存取過去90天以內的訊息紀錄、檔案和剪輯。Slack宣稱，變更後，「大部分」免費版群組用戶可存取的訊息紀錄會比以前多。</p> <p>9月1日後，90天以前的內容會被Slack隱藏。用戶必須升級為付費版才能解鎖完整的訊息和檔案。同樣的，群組若以Slack Connect和外部組織合作，變更服務後，也是只能免費存取90天的訊息和檔案，除非用戶改為付費版。</p> </div></div></div>
2022/7/20 11:56作者林妍溱https://www.ithome.com.tw/news/152014
FBI警告駭客正藉由偽造的加密貨幣投資程式進行詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2022/220718.pdf" target="_blank">美國聯邦調查局（FBI）周一（7/18）警告</a>，這一年來發現許多駭客透過偽造的加密貨幣投資程式進行詐騙，迄今至少有224名受害者被騙，損失近4,300萬美元。</p> <p>駭客通常對外宣稱提供合法的加密貨幣投資服務，再說服投資人下載行動程式，並透過這些程式來詐騙投資人的加密貨幣。主要作法是以合法的美國商業公司作為幌子，利用這些商業公司的資訊建立網站，藉以取得不察的投資人的信任，進而下載假冒的行動程式。</p> <p>例如在2021年12月至2022年5月間，有一駭客集團假冒了美國的金融機構，說服投資人下載了冒用該金融機構名稱與商標的行動程式，再要求投資人將加密貨幣存入該程式的錢包中，總計有28名投資人下載了該程式。</p> <p>不過，當其中的13名投資人打算提款時，卻收到了電子郵件，指出若要提款必須先支付稅金，然而，就算支付了稅金，依舊提不出款項。這28名投資人總計損失了370萬美元。</p> <p>另一個駭客集團則是以YiBit加密貨幣交易中心的名義進行詐騙，利用同樣的手法向4名投資人騙走了550萬美元。YiBit是個曾經存在的加密貨幣平臺，但已於2018年關閉。</p> <p>還有一個駭客集團盜用了Supay的品牌名稱，Supay為澳洲的加密貨幣交易中心，但可能未在美國註冊，而讓駭客有機可趁。駭客同樣誘導投資人下載同名的程式並存入加密貨幣，但受害者一樣領不出所存入的資產。</p> <p>FBI建議對加密貨幣有興趣的投資人必須特別小心不請自來的投資邀請，確認相關的公司是否確實存在或合法，在提供個人資訊之前最好先驗證對方身分。</p> </div></div></div>
2022/7/20 10:12作者陳曉莉https://www.ithome.com.tw/news/152010
群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國內高科技製造業資安事件的增加，按理來說，這些公司對資安的重視程度不得不提升，然而，實際上是否採取足夠的行動，外界所能得到的消息相當有限，最近我們有一家公司打破了這樣的刻板印象，那就是面板大廠群創光電，他們在6月底加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），難得的是，以臺灣本身而言，這是第12個加入這個聯盟的單位，更是首家高科技製造業加入FIRST的成員。</p> <p>成立於1990年的FIRST，主要目的是為了協助國際資安事故應變，包括新的漏洞或是廣泛的攻擊，提供資安威脅情資的即時分享，以及各式資安事件調查技術的資訊，像是外界所熟知的資安燈號等級規範（TLP），就是該組織為了強化情資分享而訂定。至今全球已有110國、635個資安應變團隊加入，主要來自政府、企業、學術單位。</p> <p>以臺灣而言，共有12個組織或產品資安應變團隊成為FIRST會員，初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</p> <p>特別的是，6月25日群創光電正式加入FIRST，這也意味著該公司對於資安的看重，以及實際推動的資安防護措施已到達相當高的水準，因此有積極加入國際資安緊急應變社群的必要性。</p> <p>為了瞭解群創的資安作為，從該公司這兩年公布的年報與CSR責任報告，就可看出端倪，因為他們在2021年就主動揭露部分相關資訊，早於金管會要求上市櫃公司需揭露資安作為的時間。</p> <p>在這些公開資訊當中，群創表示，他們在2020年加入科技部打造的科學園區資安資訊分享與分析中心（SP-ISAC），藉此互相通知及分享最新的資安攻擊手法，車用面板部門荷蘭廠區也在這一年通過TISAX AL2驗證，預計2022年荷蘭、大陸寧波廠與臺灣等全廠區，將取得更高的AL3驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）群創光電加入FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>群創光電的CSIRT團隊在6月25日，成為國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，由於是臺灣高科技製造業首例，備受關注，未來也可能促進更多國內業者加入。(圖片來源／擷取自FIRST官方網站)</strong></span></p> <h3><strong>看重國際情資交流與教育訓練</strong></h3> <p>就其他高科技業公司而言，對於群創加入國際資安FIRST組織，應該會感到訝異並好奇他們加入的原因？對此，群創表示，主要是確保能及時掌握威脅情資，以提早預警並部署防護機制與因應對策，因此，群創加入SP-ISAC，在2021年初加入TWCERT/CC，本身也導入網路威脅情資防護與SIEM的解決方案，並主動訂閱US-CERT安全性通知，公司之所以會想更進一步加入國際型的組織，就是希望能有更直接的方式，與國外各資安情資單位相互交流防禦技術，最新的駭客威脅情資也會相互通知。例如今年2月，他們迅速掌握到勒索軟體Lockbit 2.0對高科技業攻擊的相關情資。</p> <p>加入FIRST的另一個好處是，可補強資安情報資訊時間差問題。因為企業雖然可透過加入FIRST的TWCERT/CC，取得相關資訊，但因資料是在彙整與過濾後，再分享給TWCERT/CC成員，但群創也希望藉由加入FIRST，獲得更即時的資安情報通知。</p> <p>除此之外，群創希望以此提升內部人員資安教育訓練的品質。這兩年來，他們已推動全公司的資安月活動，對所有員工進行普遍的資安意識宣導，然而，在資安專業的部分，需要引進外部資源的「活水」，才能與時俱進，而由於FIRST資安組織本身有不定期舉辦會議論壇與交流年會（FIRSTCON），探討近一年常見的安全性威脅及參與資安教育訓練，因此，他們希望將最新的防禦觀念傳遞至公司，機動調整資安防禦方針，以因應駭客攻擊趨勢。</p> <p>事實上，FIRST並不乏高科技業者加入的例子，舉例來說，艾司摩爾（ASML）、NEC在2020年12月加入，AMD是在2021年7月加入，其他還有像是英飛凌（Infineon）、三菱電機等，現在臺灣也有高科技製造業者加入FIRST，未來有機會帶動國內更多高科技業參與。</p> <p>關於這次加入國性的組織FIRST的經驗，群創提到企業高層支持很重要，並分享申請經驗。群創表示，公司本身是從治理角度出發，而資訊安全是企業營運的根本，且資訊政策對企業而言是相當重要的一項工程，因此IT策略的執行，首先必須得到公司高層的認同和支持，而他們的資安團隊一開始是透過例行性月會，取得高層董事長與總經理內部核可。</p> <p>同時，對於這次的FIRST申請程序，他們說明了基本概況，讓其他國內企業也能了解如何申請。基本上，要加入FIRST，該組織規定與取得兩位會員推薦，因此他們透過電子郵件與正式行文方式，商請請TWCERT/CC與國網中心協助。較特別的是，由於推薦會員單位的人事異動，加上審查過程另需一位會員實地探訪，再加上疫情因素影響之下，審查程序改以視訊會議進行，以致他們雖早已提出申請，卻直到近期才順利成功加入。</p> <p>對於情資分享的重要性，群創在之前已有相當的體認。群創表示，像是他們在加入SP-ISAC後，曾發現科學園區所屬公車查詢網站遭植入惡意語法，趕緊通報SP-ISAC處理。他們認為，臺灣高科技製造業很多，不管哪一家公司被入侵，都是臺灣的損害，提早通報將幫助很多企業免於受害，也就是說，企業不應只是自己顧好自己，互助才能提升整體的資安。而在他們加入FIRST後，亦鼓勵其他高科技製造業者可以一同加入，在國際上也能貢獻我們資安防禦的情資與經驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）群創光電加入FIRST_圖片來源擷取自FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>目前<strong style="color: rgb(105, 105, 105);">國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，至今年6月底時，全球</strong>有110國、635個資安應變團隊加入，而臺灣有12個單位成為FIRST會員，包括初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自FIRST官方網站)</strong></p> </div></div></div>
2022/7/20 10:41作者羅正漢https://www.ithome.com.tw/news/152011
Amazon大舉控告逾1萬個專門銷售假評價的臉書社團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-targets-fake-review-fraudsters-social-media" target="_blank">Amazon周二（7/19）宣布</a>，已具狀控告專門於Amazon平臺上撰寫假評論的逾1萬個臉書社團的管理員，這些社團的主要任務便是招募願意在美國、英國、法國、義大利、西班牙及日本的Amazon商店上撰寫假評論的使用者。</p> <p>創立於1994年的Amazon從1995年就推出評論機制，讓購買特定商品的消費者可以分享自己的使用經驗與對商品的評價，可說是全球評價機制的先驅，而這些評價也成為其他消費者購買商品的重要依據。不過，也有些商家或品牌想要藉由假評價來推動銷售量，透過金錢或免費商品來吸引專門撰寫假評論、賦予假評價的使用者。</p> <p>為了確保Amazon商城上的評價是可靠的，Amazon早就設立了負責調查假評價的專屬團隊，該團隊會在臉書、Instagram、TikTok及Twitter等社交平臺上尋找專門出售假評價的社團，並向這些平臺檢舉，從2020年以來，Amazon就向Meta檢舉了超過1萬個假評價社團，而Meta也以違反平臺政策為由，將其中超過一半的社團下架。</p> <p>此外，Amazon的專家調查員也會透過各種先進工具來偵測與封鎖假評價，光是在2020年，Amazon便主動阻止了超過2億個可疑評價。</p> <p>在Amazon此次控告的逾1萬個涉及假評價的臉書社團中，規模最大的社團擁有逾4.3萬個成員，但該社團已於今年初被Meta下架。</p> <p>Amazon強調，假評價的仲介服務是整個電子商業產業的問題，採取民事訴訟只是其中的一小步，真要永遠消除零售、旅遊或其它領域的假評價有賴電子商務平臺、社交平臺與執法機關的三方合作，以共同保護消費者。</p> </div></div></div>
2022/7/20 10:46作者陳曉莉https://www.ithome.com.tw/news/152012
【資安日報】2022年7月19日，可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國企業為了快速打造紅色供應鏈，向國外爭取大筆訂單，鎖定專精相關技術的臺灣企業，利誘員工竊取營業秘密的情況，似乎有越來越頻繁的現象。臺灣新北地方檢察署於7月15日宣布，他們在經過1年半的偵查及蒐證後，起訴14名臺灣iPhone機殼供應商可成科技的前員工，因為，這些員工在離職前竊得研發與業務機密後，打算帶槍投靠中國的競爭對手立訊精密工業。</p> <p>微軟在6月份的每月例行修補（Patch Tuesday）裡，公告Windows網路檔案系統（NFS）漏洞CVE-2022-30136，最近有研究人員特別提出警告，因為，這個漏洞不只比同月獲得修補的Follina（CVE-2022-30190）還要容易利用，而且無論攻擊者運用成功與否，都有可能對受害伺服器造成相當程度的損害。</p> <p>網頁應用程式框架很可能存在漏洞，而使得開發的應用程式也存在相關風險。研究人員揭露網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，並指出攻擊者有可能藉此在受害伺服器上執行任意命令。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p>新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">攻擊者透過NFS漏洞，有機會取得SYSTEM權限執行任意程式碼</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> </div></div></div>
2022/7/19 17:50作者周峻佑https://www.ithome.com.tw/news/152007
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_7yue_patch_tuesday_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>關於這方面的消息，企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，都會在每月例行修補資訊公布後發布影片，公布多項統計數據，並會特別突顯需留意的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此用戶必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，而成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分竟達8.8分，足見其風險程度之高。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/patch-tuesday">Patch Tuesday</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item even"><a href="/tags/known-exploited-vulnerabilities">Known Exploited Vulnerabilities</a></div></div></div>
2022/7/19 14:57作者羅正漢https://www.ithome.com.tw/tech/152000
俄羅斯因YouTube傳播不實資訊向Google開罰3.74億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管俄羅斯通訊、資訊與大眾媒體的<a href="https://rkn.gov.ru/news/rsoc/news74400.htm" target="_blank">Roskomnadzor本周一（7/18）指出</a>，因為YouTube傳播了遭俄羅斯官方禁止的內容，而且多次未履行移除相關內容的義務，因而判罰YouTube母公司Google總計211億盧布（約3.74億美元）的罰款。</p> <p>根據Roskomnadzor的說明，這次的處罰源自於YouTube未於限期內禁止使用者存取違法內容，所謂的違法內容則涵蓋俄羅斯於烏克蘭展開特殊軍事行動的不實資訊，詆毀俄羅斯軍隊；宣揚極端及恐怖主義；宣揚對未成年人健康與生命的冷漠態度；以及呼籲未成年人參與未經授權的大規模行動等訊息。</p> <p>由於YouTube多次未能履行移除相關內容的義務，使得俄羅斯法院根據Google在當地的年度營收連續處以罰款。</p> <p>在俄羅斯於今年2月24日入侵烏克蘭之後，俄羅斯官方與Google之間的關係便愈來愈緊張，Google關閉了俄羅斯企業於YouTube上的廣告收入，關閉俄羅斯官媒的YouTube頻道，反之，<a href="https://www.ithome.com.tw/news/150075" target="_blank">Roskomnadzor則直接封鎖Google News</a>。</p> <p>由於Google一直不願意恢復在YouTube上封鎖的俄羅斯官媒頻道，使得俄羅斯法院在今年3月底凍結了Google俄羅斯子公司的銀行帳號，還把錢轉出，迫使該子公司因無法支付日常開銷而<a href="https://www.ithome.com.tw/news/150988" target="_blank">在今年5月聲請破產</a>，並將員工撤離俄羅斯。</p> <p>就算Roskomnadzor向Google開罰3.74億美元，但目前並不確定已申請破產的Google子公司是否會支付，或者是俄羅斯是否會直接把已扣押的Google資產據為己有。</p> <p>即便撤離俄羅斯，但Google原有的許多免費服務仍將持續支援該市場，包括搜尋、YouTube、Maps與Gmail等，此外，即使Roskomnadzor多次因YouTube違法而向Google開罰，卻未封鎖YouTube，猜測或許是YouTube在當地過於熱門因而難以執行。</p> </div></div></div>
2022/7/19 15:11作者陳曉莉https://www.ithome.com.tw/news/152001
蘋果也傳出將減少招聘與支出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-to-slow-hiring-and-spending-for-some-teams-next-year#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，為了因應全球潛在的經濟衰退力道，蘋果已計畫在明年減少特定部門的預算與招聘活動，但此一政策並未擴及所有部門。</p> <p>這是最近一個受到全球景氣影響的科技大廠，日前<a href="https://www.ithome.com.tw/news/151187" target="_blank">微軟</a>不僅宣布要放緩特定部門的招聘，也<a href="https://www.ithome.com.tw/news/151917" target="_blank">證實</a>將裁撤1%人力；<a href="https://www.ithome.com.tw/news/151716" target="_blank">Meta</a>在6月底對內警告下半年成長將放緩，並於上周要求各單位的經理辭退表現不佳的員工；Google也對內宣布放慢招聘腳步，甲骨文則傳出要削減10億美元的開銷，包括計畫裁撤數千名員工。</p> <p>根據《彭博社》的報導，蘋果指名某些團隊明年的預算可能會被縮減，有些團隊明年不得再擴編人力，但特定團隊將不會受到波及，例如明年發表VR頭戴式裝置的計畫依舊。</p> <p>這一波的景氣循環讓美股於今年創下50年來最糟糕的上半年，原因從COVID-19疫情、俄烏戰爭，一直到通貨膨脹可能引發的經濟衰退，就算明年全球的經濟狀況不明，但顯然業者皆已作出了準備。</p> </div></div></div>
2022/7/19 15:24作者陳曉莉https://www.ithome.com.tw/news/152002
新Mantis殭屍網路來襲，劫持虛擬機器與伺服器且攻擊威力強大
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_cloudflarejie_lu_mantisjiang_shi_wang_lu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月，Cloudflare揭露每秒達2,600萬次請求的HTTPS DDoS攻擊，經過一個月的追蹤，新的研究結果出爐。他們將發起這波攻擊的殭屍網路命名Mantis，並指出該殭屍網路仍持續橫行，已發動超過3,000次的DDoS攻擊。</p> <h3><strong>由虛擬機器與伺服器組成，單一節點攻擊威力強大</strong></h3> <p>之所以將之命名Mantis，Cloudflare解釋，是因為這個殭屍網路的組成規模並不大，卻具有強大的攻擊能力，僅利用5,067臺機器組成的殭屍網路，發動的HTTPS DDoS攻擊即創下紀錄，如同身長不到10公分蝦蛄（Mantis Shrimp），其類似螳螂鐮刀狀的螯足，卻擁有足以打穿甲殼類動物外殼的高衝擊力道。</p> <p>根據Cloudflare先前公布的資訊，在攔阻Mantis的HTTS DDoS攻擊中，發現每臺設備每秒最多可產生5,200次請求，這是相當龐大的攻擊力度。為了讓外界理解Mantis的強大，Cloudflare對比另一起事件來印證。他們曾發現由73萬個物聯網裝置組成的大型殭屍網路，其HTTP DDOS攻擊強度是每秒逾100萬次的請求，每臺設備每秒最多送出1.3次請求，但相較於Mantis的每臺設備每秒5,200次請求，攻擊差了4千倍。</p> <p>而這種攻擊規模與攻擊力道的差異，最大原因就是Mantis劫持的設備是虛擬機器與伺服器，因此具有強大的運算資源，不同於一般普遍殭屍網路，是挾持多種物聯網（IoT）設備組成，如視訊監控系統（DVR）、監控攝影機、路由器，或是煙霧探測器等，都是運算能力較有限的設備。</p> <p>就算只是採用HTTP DDoS攻擊，想要產生每秒2,600萬次的請求並非易事，而Mantis透過HTTPS來發動攻擊，更是引人注目，也突顯這個殭屍網路的威力。Cloudflare指出，這需要大規模的資源、更高成本，來建立安全TLS加密連接，相對地，這也會讓受害者需要更高成本來減緩攻擊。</p> <p>Cloudflare表示，Mantis比過去知名的Meris殭屍網路更為先進。因為Meris主要依賴於MikroTik設備，但Mantis已經擴展到各種VM平臺，並支援執行多種HTTP代理來發起攻擊。</p> <h3><strong>網路與電信業成為Mantis最大攻擊目標</strong></h3> <p>而且，這樣的攻擊在最近一個月仍持續發生，相當值得關注。在Cloudflare本月釋出2022第二季DDoS攻擊趨勢報告中，提到應用層DDoS攻擊的狀況，比去年同期增加72%，其中Mantis的攻擊活動顯然助長了此一趨勢。根據Cloudflare的統計，Mantis對該公司客戶發起了超過3,000次HTTP DDoS攻擊。</p> <p>進一步檢視Mantis的攻擊目標，網路與電信業遭受攻擊的占比最高，達3成6，其次為新聞媒體業，遊戲業，以及金融業，占比都有10%以上。</p> <p>從受害者的國別來看，則有20%為美國，15%為俄羅斯，其他依序是土耳其、法國、波蘭、烏克蘭，但都不及5%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Cloudflare%E6%8F%AD%E9%9C%B2Mantis%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Cloudflare揭露Mantis殭屍網路近一個月來的DDoS攻擊活動，以網路及電信產業遭受攻擊比例最高，達36%，其次為新聞出版業、遊戲與金融產業，所占比例亦超過10%。(圖片來源／Cloudflare)</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ddos">DDoS</a></div><div class="field-item odd"><a href="/tags/https-ddos">HTTPS DDoS</a></div><div class="field-item even"><a href="/tags/mantis">Mantis</a></div></div></div>
2022/7/19 14:44作者羅正漢https://www.ithome.com.tw/tech/151999
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，特別點出額外需要關注的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分達8.8分，因此，需要特別重視。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div>
2022/7/19 12:05作者羅正漢https://www.ithome.com.tw/news/151996
Netflix在南美測試Add a Home功能，在另一個住處使用需要額外付費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球影片串流龍頭Netflix近來積極打擊用戶分享帳號的行為，今年3月才於智利、哥斯大黎加與秘魯測試付費新增用戶（Add an Extra Member）的功能，本周又宣布今年8月起將在阿根廷、多明尼加共和國、薩爾瓦多、瓜地馬拉與宏都拉斯測試Add a Home功能，倘若用戶需要在另一個家使用既有的Netflix帳號，也必須額外付費。</p> <p>Netflix今年第一季的財報顯示，該平臺擁有2.2億的付費用戶，但另外有超過1億的用戶免費分享了這些付費用戶的帳號。以最低的每月9.99美元的基本方案費率計算，這些免費的Netflix平臺使用者，讓Netflix每季至少損失30億美元的營收。</p> <p>無怪乎Netflix開始打擊這些分享帳號的行為。根據Netflix的規定，就算標準方案與高級方案可同時在2個或4個裝置上觀賞，但也僅限同住的人使用這些帳戶，因此，Netflix近來的政策即是針對那些非同住卻使用同一帳號的行為。</p> <p><a href="https://about.netflix.com/en/news/paying-to-share-netflix-outside-your-household" target="_blank">Netflix今年3月試行的措施</a>是允許標準及高級方案用戶新增非同住的額外成員，最多可新增兩人，但每月必須多付2.99美元。</p> <p>而<a href="https://about.netflix.com/en/news/update-to-paid-sharing" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">本周公布的新措施</a>則是允許戶新增其它的「家」，不管是哪種方案的使用者都可新增另一個家，基本方案可新增一個家，標準方案為兩個，高級方案為三個，但每新增一個家每月就必須額外支付2.99美元。</p> <p>為了不引起使用者的反彈，這些打擊帳號分享行為的政策都仍在試行階段，而且多是在使用者數量相對較少的市場，為了讓更多使用者負擔得起該平臺的串流服務，<a href="https://www.ithome.com.tw/news/151939" target="_blank">Netflix也準備推出以廣告支撐的方案</a>，其訂閱費率將比現有的最低費率更便宜，惟上線日期未定。</p> </div></div></div>
2022/7/19 12:36作者陳曉莉https://www.ithome.com.tw/news/151998
阿里巴巴主管因10億中國用戶資料外洩案遭到約談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月初，<a href="https://www.ithome.com.tw/news/151769" target="_blank">一名自稱為ChinaDan的駭客在暗網中兜售內含10億中國人民資訊的22TB資料</a>庫，ChinaDan宣稱該資料庫存放於阿里雲，隸屬於上海國家警察，迄今不管是阿里雲或上海國家警察都未回應媒體的詢問，不過，<a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）於本周報導</a>，阿里巴巴的高階主管已遭到中國政府約談，包括新上任的、負責數位公共安全業務的阿里雲副總裁Chen Xuesong。</p> <p>ChinaDan以10個比特幣（現約20萬美元）兜售了含有10億中國人民資訊的資料庫，包括他們的姓名、地址、生日、身分證號碼、聯絡電話及犯罪紀錄等，並公布了75萬筆紀錄供外界查證，除了已有多筆查證屬實之外，中國政府的約談行為亦間接證實了該資料庫的真實性。</p> <p>根據報導，阿里巴巴內部在媒體披露之前就得知此一外洩事件，並在7月1日召開緊急內部會議，亦暫時關閉該資料庫並檢查相關程式碼。隨後，中國監管機構隨即開始約談阿里巴巴的高階主管。</p> <p><a href="https://blog.leakix.net/2022/07/what-we-know-about-the-china-leak/" target="_blank">資安業者LeakIX也分析了這起可能是全球最大外洩事件的案例</a>，指出外洩資料的服務為一未受保護的Kibana實例，Kibana用來管理及檢視Elasticsearch叢集，允許代理連結至底層的Elasticsearch叢集。</p> <p>分析顯示，當一個Elasticsearch服務部署於公開網路時，即會採用預設的Kibana端點，同時Elasticsearch叢集也會被分配預設的使用者名稱與密碼，然而，該資料庫採用了老舊的Elasticsearch叢集版本，並未內建認證機制，必須要付費購買第三方的認證外掛程式才能啟用認證功能，但相關資料庫並未含有任何認證工具。</p> <p>此外，LeakIX也發現該叢集的第一個外部活動出現在6月26日，透露出駭客很可能在6月底就盜走了資料庫；而且還有許多部署在阿里雲的Elasticsearch叢集採用過時的版本，一旦它們維持Kibana的預設配置，便處於同樣的外洩風險之中。</p> </div></div></div>
2022/7/19 12:21作者陳曉莉https://www.ithome.com.tw/news/151997
VMware虛擬化平臺全面轉向訂閱制跨出一大步，推出雲端訂閱vSphere+與vSAN+，能跨區統一管理本地IT基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬化龍頭VMware近日宣布雲端訂閱vSphere+和vSAN+服務正式推出，使得企業用戶現在從雲端就能直接管理本地IT基礎架構，包括私有雲，以及VMware Cloud，有別於傳統虛擬化平臺vSphere和儲存軟體平臺vSAN的地端管理作法，甚至還可將本地部署的伺服器管理軟體vCenter轉為雲端訂閱模式，按量付費。這不僅是VMware虛擬化平臺全面轉向訂閱制跨出一大步，更是該公司布局混合雲戰略的重要一環。</p> <p>其實就目前VMware套裝產品而言，大多已經走向訂閱授權或提供訂閱合約的選項，比如，去年VMware已將VMware Horizon產品由永久授權轉為訂閱授權版本。不過前陣子博通以610億美元天價收購VMware後，曾公開表示將來VMware軟體銷售模式將全面轉向訂閱服務合約模式，更加速VMware銷售服務模式的轉變。</p> <p>但不像許多雲端巨頭，一開始就推出訂閱制雲端服務，因應軟體訂閱模式的盛行，VMware直到近幾年才轉向訂閱服務策略，迄今仍有不少大型企業用戶採取買斷授權模式，在本地資料中心部署vSphere+和vSAN叢集，執行各種工作負載，也影響到其上雲時程。</p> <p>尤其對許多大型VMware企業用戶來說，考量到法遵、隱私、低延遲應用等需求，遲遲沒有把關鍵應用搬上雲，而是選擇部署於本地環境，但又想要獲得雲端彈性和服務以加速創新。所以VMware改從雲端服務需求的角度切入，推出了雲端訂閱vSphere+和vSAN+，要將企業本地既有基礎架構和VMware Cloud連結在一起，逐步引導企業朝向混合雲、多雲甚至邊緣發展。</p> <p>vSphere+和vSAN+也是VMware去年在VMworld 2021上發布企業上雲路徑的Project Arctic技術預覽專案後所推出的首批產品，前者是一個多雲工作負載平臺，整合了虛擬化技術、Kubernetes環境和雲端服務，可將現有企業內部部署，轉換為支援SaaS的服務架構，加速創新；後者則是一個超融合基礎架構產品，可擴充vSAN原有功能，提供雲端連接服務，幫助IT管理者集中管理並提高vSAN 使用效率。兩項新服務在6月底公布，並在7月12日正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GUID-6AAD3017-CFF4-4ACF-AC3E-AA08A8E0D74B-high.png" style="width: 600px; height: 250px;" /></p> <blockquote><p>vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> </blockquote> <p>VMware雲端平臺產品行銷資深總監Weiguo He表使示，vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> <p>VMware表示，採用vSphere+最大好處，能在不影響企業現有工作負載或虛擬主機運作的情況下，利用雲端服務集中式基礎架構管理，並簡化營運，特別是可以帶來其稱之為高價值（Hight Value）的雲端服務，讓IT管理者、經營決策者、開發者，能更容易建立、管理、執行和確保應用及工作負載的安全，既不需要升級現有的硬體基礎架構，也不用停止既有服務或工作負載就能用。「這是VMware雲端基礎策略重大技術演進一大步。」Weiguo He表使示。</p> <p>像在管理方面，以往vSphere企業用戶跨區部署了許多vCenter server，但不容易管理，現在透過雲端vSphere+服務，可以將分布各地部署的vCenter集中到單一雲端介面上來進行管理，因為將vcenter整合到單一介面上管理，也能提供集中式營運和安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-07-12%20%E4%B8%8A%E5%8D%889_49_51.jpg" style="width: 600px; height: 315px;" /></p> <blockquote><p>不僅僅集中管理，企業用戶使用vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，</p> </blockquote> <p>不僅僅集中管理，透過vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，並且一次可選擇全部或數個vCenter合約轉換為訂閱模式，來取得更完整雲端服務或功能。</p> <p> vCenter Server轉換為訂閱後，可以從VMC（VMware Cloud）主控台管理vCenter Server，而且一次能管理多個vCenter執行個體的部署，在vSphere+中也簡化了vCenter升級，使其更新過程就像更新行動裝置一樣方便，只要簡單步驟就能完成更新動作，也能縮短停機時間。</p> <p>不只管理者，對於開發人員來說，透過vSphere+服務，使得vSphere與Kubernetes能夠更緊密整合，從而實現VM和 Kubernetes容器的統一，意味著可以使用Kubernetes指令和API來建立虛擬機器或使用整合vSphere的Kubernetes發行版來執行容器化應用，以及VM和 Kubernetes網路接連管理等。</p> <p>早在去年底vSphere Advantag服務方案推出時，VMware就已經提供了vSphere本地部署訂閱方案，並根據使用量付費。如今vSphere+推出後，vSphere Advantag加入到vSphere+產品線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-06-23%20%E4%B8%8A%E5%8D%8810_25_14.jpg" style="width: 600px; height: 343px;" /></p> <blockquote><p>在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> </blockquote> <p>除了提供vSphere和vSAN管理服務，在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> <p>在訂閱計價方面，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式，也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買最小容量至少為16個實體核心CPU。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS 續訂的價格優惠協助企業用戶將既有vSphere and Vsan授權逐步轉到訂閱制vSphere+ and vSAN+。</p> <p>另外，使用vSphere+雲端服務前，企業必須安裝vCenter Cloud Gateway ，並將vCenter Server執行個體連線到VMware Cloud，且對企業本地vSphere環境也有一定要求，除了需要安裝vCenter Server 6.7.x及以上更新版本，才能開始使用vSphere+基本功能，如監控vSphere基礎結構，若要取得完整的vSphere+功能，包含轉換為訂閱制vCenter或取得客戶支援，則需升級到最新版本。</p> <p>VMware大大簡化vSphere+購買流程，有別於以往採用永久或固定期限授權需採個別購買的作法，提供全套式訂閱購買方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包購買，Tanzu部分除了提供Tanzu standard Runtime，之後也將加入Tanzu Mission Control Essentials功能。</p> </div></div></div>
2022/7/19 07:58作者余至浩https://www.ithome.com.tw/news/151981
【資安日報】2022年7月18日，近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞裡，幾乎都與漏洞有關。這包含了針對WordPress外掛程式的攻擊行動，還有Intel、AMD處理器的漏洞Retbleed，已有多家企業級的系統軟體廠商已經著手修補。</p> <p>資安業者揭露專門針對WordPress外掛程式WPBakery Page Builder而來的攻擊行動，駭客鎖定了開發者已不再維護的元件Kaswara下手，利用任意文件上傳漏洞發動攻擊，在10天內已有近160萬個網站遭到漏洞利用嘗試攻擊。</p> <p>而在處理器漏洞Retbleed的部分，則是在研究人員公布細節後，很快就有企業級的軟體系統廠商著手修補，這些廠商多半為提供虛擬化平臺與Linux作業系統的業者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客鎖定近160萬個WordPress網站，攻擊外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p>研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p>研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">木馬程式Sality宣稱提供密碼破解功能來感染ICS系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p>研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。此外，微軟在最新版Windows修補程式裡，也有對於AMD處理器的Retbleed漏洞著手修補。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出引發火災</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> </div></div></div>
2022/7/18 16:32作者周峻佑https://www.ithome.com.tw/news/151987
電子病歷上雲法規正式上路了！4大重點法規速覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部今（7月18日）<a href="https://www.mohw.gov.tw/cp-18-70580-1.html">公告</a>新版醫療機構電子病歷製作及管理辦法，正式允許醫療院所委外建置電子病歷資訊系統、使用雲端服務處理電子病歷資料，以及設置電子病歷交換平臺和進一步落實無紙化。衛福部資訊處處長龐一鳴也揭露，未來衛福部將公布合格業者白名單，並視情況調整監理強度，如納入國際醫療資料交換標準FHIR互通能力認證，或歐盟個資法GDPR。</p> <p><span style="font-size:24px;"><strong>上雲、委外、建置交換平臺和無紙化重點法規速覽</strong></span></p> <p>在委外部分，新版辦法第六條和第七條，允許醫療院所委託大專院校、法人、機構或團體建置和管理電子病歷資訊系統，並且要簽訂書面契約，明訂委託事項範圍、受託機構的權利義務，以及標準作業機制、資安保障機制等。</p> <p>不過，新版第六條條文特別新增3種例外情況，雙方可不必簽訂契約。這些例外分別是受託機構為所屬醫療法人或其他法人附設醫院、所屬學校之其他醫院，或是所屬機關設立的其他醫院。</p> <p>關於醫院使用雲端服務部分，則由第8條修正條文規範。該條文要求醫療機構使用雲端服務，或是委託受託機構提供雲端服務時，必須採取風險管控措施、避免業務中斷措施，並且要監督雲端業者，更要具備資料移轉機制，也就是當雲端服務停止或終止時，得將資料移轉回委託機構或其他雲端服務業者。</p> <p>至於建置電子病歷交換平臺，則由第18條修正條文規範。也就是說，經主管機關認可的公私立機構，可設置電子病歷交換平臺，來促進跨機構交換資料。</p> <p>最後，修正條文第17條和第20條，則能幫助醫院進一步無紙化。因為，第17條允許醫院將同意書、院內紙本病歷，以及與電子病歷並存的相關文件，以電子方式轉錄、蓋電子簽章封存，即視為電子病歷。</p> <p><span style="font-size:24px;"><strong>電子病歷上雲目的：醫療AI、資安、遠距醫療</strong></span></p> <p>衛福部這2年來，多次公開揭露電子病歷上雲目的。比如，龐一鳴指出，若不開放上雲，醫療AI將難以發展，此外，臺灣許多專業小型醫療院所，缺乏IT人力來管理電子病歷相關資料，若透過具高度資安機制的雲端業者代管，可加強資安體質。</p> <p>不只如此，石崇良多次指出，開放電子病歷上雲，是擴大遠距醫療的法規修正第一步。他預告，今年底前，要完成修改通訊診察治療辦法，放寬遠距醫療的適用範圍、使用情境和適用身分，同時簡化行政流程。</p> </div></div></div>
2022/7/18 18:48作者王若樸https://www.ithome.com.tw/news/151994
普丁簽署禁止以數位資產支付的法令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sozd-duma-gov-ru.translate.goog/bill/138674-8?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp#bh_histras" target="_blank">俄羅斯總統普丁（Vladimir Putin）上周四（7/14）簽署</a>了一個與銀行活動有關的聯邦法令修正案，此一修正案將禁止當地以數位資產作為支付工具，但並未限制人們挖掘或購買加密貨幣。</p> <p>其實<a href="https://www.ithome.com.tw/news/149008" target="_blank">俄羅斯中央銀行今年1月曾公布一份加密貨幣諮詢報告</a>，該報告詳列了加密貨幣的各種風險，並提議於俄羅斯境內禁止加密貨幣挖礦及使用行為，但看來俄羅斯立法機構並未完全採納央行的建議，雖然禁止了加密貨幣的支付，但並未禁止挖礦與投資。</p> <p>根據劍橋大學賈吉商學院新興金融研究中心<a href="https://ccaf.io/cbeci/mining_map" target="_blank">（Cambridge Centre for Alternative Finance，CCAF）今年1月所公布的資料</a>，俄羅斯的挖礦能力以4.7%的比例位居全球第五大挖礦中心，前四名依序是美國（37.8%）、中國（21.1%）、哈薩克（13.2%）與加拿大（6.8%）。</p> <p><a href="https://www.protocol.com/bulletins/russia-ban-crypto-payments" target="_blank">《Protocol》分析</a>，這代表俄羅斯民眾將不得以加密貨幣或非同質化代幣（Non-Fungible Token，NFT）作為任何的支付形式，不管是買東西或是作為薪資，也規定加密貨幣交易中心與供應商不得將數位資產視為支付形式。此一新的修正案將於普丁簽署的10日後生效。</p> </div></div></div>
2022/7/18 16:16作者陳曉莉https://www.ithome.com.tw/news/151985
FCC主席提議把美國寬頻最低下載標準提高到100 Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/chairwoman-rosenworcel-proposes-increase-minimum-broadband-speeds" target="_blank">美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel上周向其他委員發出了意見諮詢通告（Notice of Inquiry，NOI）</a>，希望大家共同評估將美國寬頻標準從下載25 Mbps、上傳3M bps的標準，提高到下載100 Mbps及上傳20 Mbps，並以1 Gbps與500 Mbps的上傳與下載速率作為美國未來的寬頻目標。</p> <p>FCC是在2015年由Tom Wheeler擔任主席的年代設定了25/3 Mbps的全國寬頻目標，原本外界希望下一任的FCC主席Ajit Pai可以提高該標準，但Pai最後認為25/3 Mbps不管是在語音、資料、圖像或視訊上已經夠用了，而決定維持該標準。</p> <p>但Rosenworcel指出，網路用戶的需求早就超過了25/3 Mbps，特別是在全球疫情大爆發，人們把生活轉移到網路之際，25/3 Mbps的標準不僅是落後的，更是有害的，因為它遮掩了低收入戶以及農村社區被遠拋於後的程度，因此必須提高最低寬頻速率的標準至100/20 Mbps。</p> <p>此一意見諮詢通告除了建議將寬頻最低標準提高到100/20 Mbps之外，也提出了支持該標準的一系列證據，包括美國《基礎設施投資與就業法案》（Infrastructure Investment and Jobs Act，IIJA）對美國新一代網路的要求。此外，Rosenworcel亦認為美國應該替未來設立另一個更高的寬頻目標，提供1 Gbps的下載速率與500 Mbps的上傳速率。</p> <p>其實在美國針對低收入戶所提供的<a href="https://www.ithome.com.tw/news/150849" target="_blank">「可負擔連網計畫」（Affordable Connectivity Program，ACP）</a>中，就要求美國ISP業者必須讓低收入戶能以每月低於30美元的價格，訂閱下載速率必須高於100Mbps的寬頻網路服務，因為該速率才足以支撐一個4人家庭在家工作、學習、瀏覽網路或串流高畫質影片的需求。</p> </div></div></div>
2022/7/18 15:52作者陳曉莉https://www.ithome.com.tw/news/151984
Tor Browser 11.5現可自動偵測並繞過國家審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.torproject.org/new-release-tor-browser-115/" target="_blank">Tor專案於上周四（7/14）釋出了Tor Browser 11.5</a>，新版瀏覽器提供了新的Connection Assist功能，將可自動偵測並繞過各國的審查機制，且預設即進入HTTPS-Only模式（HTTPS-Only Mode）。</p> <p>Tor Browser是用來進入洋蔥路由器（The Onion Router，Tor）網路的瀏覽器，Tor透過由全球逾7,000個志願人士組織的中繼節點來存取網路，因此可隱藏使用者的真實位址，也能避免監控，而以Firefox瀏覽器作為基礎的Tor瀏覽器，即是進入Tor網路的工具之一。</p> <p>然而，有些國家為了審查境內用戶，封鎖了Tor網路的存取，例如中國、俄羅斯、白俄羅斯或土庫曼等，使得Tor Browser用戶必須手動變更Tor的網路設定，找出可繞過封鎖的途徑，不過，Tor Browser 11.5所內建的Connection Assist 1.0版，將可自動偵測及繞過各國的封鎖。</p> <p class="rtecenter"><img alt="" src="https://blog.torproject.org/new-release-tor-browser-115/connection-assist.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tor專案</span></span></p> <p>Connection Assist可查找及下載每個國家可繞過封鎖之各種選項的最新列表，並自動部署最適合使用者區域的設定，使用者還可儲存這些用來連結Tor網路的橋接資訊，並透過複製或QR code分享，例如分享給Android版的Tor Browser。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-Tor%20Browser%20-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Tor專案</span></p> <p>此外，過去只允許用戶連結HTTPS網站的HTTPS-Only Mode僅是Tor Browser的擴充程式之一，但有鑑於愈來愈少使用者存取HTTP網站，再加上安全的因素，Tor Browser 11.5已直接將HTTPS-Only Mode納入預設功能。</p> <p>目前桌面版Tor Browser發展最快，功能也最為齊全，不過Tor專案已決定接下來要強化Android版Tor Browser的能力，包括將開始定期更新Android版本，也會解決許多Android用戶的程式當掉問題，並準備要追上Fenix（Android版Firefox）的進度。</p> <p>Tor Browser 11.5支援Windows、macOS、Linux與Android，Tor專案亦鼓勵試用Connection Assist功能的使用者提出意見。</p> </div></div></div>
2022/7/18 14:29作者陳曉莉https://www.ithome.com.tw/news/151982
去中心化通訊協定Matrix的全球用戶已超過6,000萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theregister.com/2022/07/15/matrix_grows/" target="_blank">The Register</a>》與《<a href="https://www.bleepingcomputer.com/news/security/the-matrix-messaging-network-now-counts-more-than-60-million-users/" target="_blank">BleepingComputer</a>》近日相繼報導，去中心化通訊協定Matrix的全球用戶數已超過6,000萬，而且在過去12月新增了2,500萬名用戶。</p> <p>Matrix是由英國The Matrix.org基金會在2014年發表的開放標準，它是個透過IP執行通訊的去中心化通訊協定，可應用在即時傳訊、VoIP/WebRTC與物聯網通訊上，目標是讓使用者的通訊就像寄送電子郵件一般容易，就算使用不同的服務也能彼此通訊。迄今支援Matrix的客戶端應用包括Element、Fractal、Nheko、Quaternion，以及專為macOS設計的Seaglass，當中最受歡迎的為由Matrix共同創辦人Matthew Hodgson所打造的Element（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-element-1-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Element</span></span></p> <p>根據<a href="https://twitter.com/matrixdotorg/status/1547922092191911936" target="_blank">Matrix所公布的數字</a>，更精準的Matrix用戶數應該是6,400萬。</p> <p>不過，由於Matrix是個去中心化的協定，因此很難估算正確的用戶數字，例如有些使用者或伺服器並未現身於公開網路，因而無法統計。</p> <p>在Matrix的用戶中，<a href="https://www.ithome.com.tw/news/122737" target="_blank">法國政府在2018年便基於Matrix打造官方的通訊程式Tchap</a>，<a href="https://www.ithome.com.tw/news/134961" target="_blank">Mozilla則是在2019年宣布</a>將以Matrix取代IRC作為使用者的通訊平臺，此外，<a href="https://matrix.org/blog/2021/07/21/germanys-national-healthcare-system-adopts-matrix" target="_blank">德國的整個醫療保健系統在去年夏天決定要全面採用Matrix</a>。</p> <p>Hodgson也向《BleepingComputer》透露了Matrix的未來規畫，包括它將支援可凝聚數百名使用者的端對端加密視訊會議，以及將推出開源的元宇宙平臺Third Room，以讓人們在維護隱私的前提下發現與建立虛擬世界。</p> </div></div></div>
2022/7/18 15:13作者陳曉莉https://www.ithome.com.tw/news/151983
美政府稱Log4j漏洞將成安全的「地方流行病」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府周五發布報告指出，Apache Log4j的漏洞將成為難以根絕的「地方流行病」，對企業系統的影響可能要拖上10年以上。</p> <p><a href="https://www.gsa.gov/technology/technology-products-services/it-security/executive-order-14028-improving-the-nations-cybersecurity" target="_blank">美國總統拜登今年發布行政命令</a>成立的網路安全審查委員會<a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf" target="_blank">（Cyber Safety Review Board，CSRB）於上周四（7/14）發布第一份報告</a>，根據針對80家組織及業者的調查結果，說明去年12月揭露的Apache Log4j漏洞的實際影響和未來的威脅。</p> <p>去年Apache 基金會緊急修補的Log4Shell（CVE-2021-44228），是安全風險達10.0的遠端程式碼執行（RCE）漏洞，被安全專家視為近10年最嚴重漏洞。Log4Shell漏洞不易修補，衍生出新漏洞，Apache專案組織還多次釋出新版本解決。由於Log4j廣泛用於許多軟體及雲端平臺，包括微軟Minecraft、Amazon、Google、IBM等都受影響，因而也引發全球安全研究人員及企業IT管理員的重視。</p> <p>報告指出，目前委員會尚未發現對關鍵基礎架構系統有Log4j相關的重大攻擊。一般而言，Log4j漏洞開採發生在比專家預期得更低層。但由於鮮少權威性資料源，目前還難以判斷它在地理區、產業別或不同生態體系的影響範圍。</p> <p>不過可以確定的是，Log4Shell事件還沒有結束。委員會評估Log4j漏洞將成為「地方流行病」（endemic）漏洞，而未來幾年間，受其影響的問題執行個體將持續存在企業組織系統內，甚至要到10年或更久。原因之一是，用戶或軟體開發商並不知道自己使用的軟體套件內有Log4j，或是其專案有很高的相依性。</p> <p>然而企業組織仍然苦於無法回應漏洞開採事件，而企業升級漏洞系統的工作距離完成也還有一長段距離，尤其是開源軟體界通常欠缺資源實行程式碼的安全開發，或是專家稽核等。包括<a href="https://www.ithome.com.tw/news/148508" target="_blank">Maven Java套件</a>、<a href="https://www.ithome.com.tw/news/148769" target="_blank">Java SQL資料庫H2</a>等開源軟體都被發現有Log4j漏洞。</p> <p>基於CSRB的政府角色，關於Log4j漏洞，CSRB給出4項建議。首先是持續提高警覺Log4j的漏洞風險、通報Log4j漏洞開採行動，而美國網路安全主管機關CISA也會強化提供統一網路安全資訊的能力。</p> <p>其次是推動安全最佳典範，像是建立IT資產管理作業、發展漏洞回應、揭露、處理流程、強化辨識有漏洞系統的能力、與建立安全軟體開發典範。第三是推動整個軟體生態系的漏洞管理，特別是對開源軟體社群的協助。最後是著重美國政府單位使用的軟體安全性，包括政府軟體供應商透明度、及強化辨識有已知漏洞的軟體等。</p> <p><strong><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></a><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/148766" target="_blank"><span style="background-color: rgb(51, 153, 255);"> </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1059-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tbXYftDt" style="width: 580px;" /></a></span></strong></p> </div></div></div>
2022/7/18 13:54作者林妍溱https://www.ithome.com.tw/news/151978
傳馬斯克要求推特官司延至明年2月以後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周社群平臺推特（Twitter）控告科技鉅子馬斯克（Elon Musk）欲要求他履行收購的合約義務。<a href="https://www.bloomberg.com/news/articles/2022-07-15/musk-seeks-to-block-quick-twitter-trial-over-44-billion-deal#xj4y7vzkg?sref=10lNAhZ9" target="_blank">不過彭博報導</a>，馬斯克方面要求法院將官司審理推遲到2023年2月以後，以便釐清平臺上的假帳號。</p> <p>在馬斯克方面正式通知推特取消收購的決定後，<a href="https://www.ithome.com.tw/news/151865" target="_blank">推特於7月12日一狀告上德拉威州衡平法院</a>，意在迫使馬斯克遵守合約義務完成440億美元收購案。同時間，推特也力促本案審理在9月中展開，因為馬斯克和推特的收購合約有個「推定終止日」，在10月24日之前未完成合併，就會導致本合併案失敗。</p> <p>雖然馬斯克以四格漫畫式的大笑圖回應推特，不過彭博報導，馬斯克方面要求延後官司到明年初。馬斯克的律師事務所周五向法院提出的聲請指出，推特在拖延及打迷糊仗2個月後驟然要求加速審理，是該公司企圖掩蓋垃圾帳號事實的技倆。</p> <p>馬斯克方面的文件指出，假帳號和垃圾帳號的核心爭議是判定推特公司價值的關鍵，但判定假帳號及垃圾帳號相當需要事實佐證和專家，這又需要大量時間來蒐集。因此馬斯克方面要求官司審理不應早於2023年2月。</p> <p>推特方面拒絕對此評論。</p> <p>不過德拉威州衡平法院法官Kathaleen McCormick已經排定要在7月19日舉行一場聽證會。</p> </div></div></div>
2022/7/18 09:26作者林妍溱https://www.ithome.com.tw/news/151970
【看上CBDC四大潛力，評估五大風險找配套】3兆臺幣現金能不能有新流通形式？央行找來5大銀行試驗數位貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底，中央銀行總裁楊金龍帶頭，公開了臺灣數位貨幣發展的五大情境試驗成果。這一場試驗成果，不只是央行、財金公司與多家銀行之間的練功，更是未來會影響全臺金融產業運作，甚至是3兆臺幣現金流通形式變革的重要實驗。</p> <p>楊金龍指出，隨著數位經濟的發展，數位貨幣帶來很大的想像空間。例如比特幣或穩定幣等虛擬資產的出現，都獲得媒體和眾人高度關注，甚至出現「私人發行的虛擬資產，可能取代央行貨幣而成為廣泛使用的支付工具」的聲浪。</p> <p>銀行公會金融業務電子化委員會主委朱永榕觀察，在全球，各種新興數位支付工具蓬勃發展，主要可分成三大類工具，包括了電子貨幣，虛擬貨幣和數位貨幣（CBDC，Central Bank Digital Currency）。</p> <p>第一類電子貨幣是指由銀行或電子支付機構發行的信用卡、簽帳卡、儲值卡、儲值戶頭，或像是行動支付等，第二種就是近年開始成為話題的數位貨幣，由央行發行，等同於數位現金的法幣。而第三類虛擬貨幣則是這幾年屢屢引起話題的比特幣、穩定幣等。</p> <p>雖然以區塊鏈、分散式帳本技術實做出來的比特幣等虛擬資產，試圖發展成全球性的支付工具，從2009年至今，發展出超過2萬多種幣，比特幣就占了42%的市值。央行估算，全球虛擬資產總值，2021年11月曾一度達到3兆美元，但現在卻跌到約0.9兆美元。楊金龍強調，虛擬資產的價格仍舊波動劇烈，屬於風險性資產。</p> <p>不過，虛擬資產也逐漸朝向類金融領域發展，例如發展出了比特幣期貨和比特幣ETF，這兩項都是類似傳統金融市場的衍生性金融商品的交易服務，另外，前幾年還興起了一波首次代幣發行（ICO）浪潮，仿效股票初次公開上市（IPO）作法，想成為募集資金的新管道，近年則出現了穩定幣的虛擬資產，例如維持與美元1比1兌換的虛擬貨幣，想要變成類似發行電子貨幣的機制。</p> <p>不過，虛擬資產總市值不到 1 兆美元，遠不及全球金融資產市值469兆美元。楊金龍指出，由於其資產規模尚小，且多用於虛擬世界交易之投機炒作，與金融體系間的連結程度不高，對金融穩定影響有限。</p> <p>最近，市值最大的USDT穩定幣無法堅持對應美元的承諾，跌到0.95美元，而Luna幣值跌破百分之一的崩盤事件更影響了第三大穩定幣UST，比特幣價格近期更是大幅滑落，這些現象造成眾人對私人發行的虛擬資產的擔憂和不信任。</p> <p>可是，在全球疫情肆虐之下，零接觸的數位支付形式成了民眾的最愛，根據國際清算銀行（BIS）研究，從2020到2025年，全球無現金支付的使用將增加80%，尤其以亞太地區增加最多。</p> <p>數位經濟帶動的數位支付需求，再加上有些國家因為現金使用逐年遞減或是支付基礎設施不足，由央行發行數位貨幣CBDC的議題又開始成為話題。</p> <p>在現代的支付系統中，央行發行的貨幣可以分為兩種，央行準備金和現金。前者是金融機構間支付交易的清算資產，而現金則是民眾所用的實體貨幣。在臺灣，主要透過兩大系統來運作，一個是處理金融機構跨行交易的央行同資系統，一年處理的跨行交易年營運金額高達533兆元，另一個系統則是處理各種民間支付的財金公司金融資訊系統，一年處理的跨行年營運金額也高達188兆元，而在民間流通的新臺幣現金，也有3兆元之多。CBDC數位貨幣的發行，第一波直接影響的就是現金的流通方式，出現純數位的形式。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%962-%E5%A4%AE%E8%A1%8C%E8%B2%A8%E5%B9%A3%E7%8F%BE%E6%B3%81-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>現代支付系統中，央行發行的貨幣可以分央行準備金和現金。在臺灣，在民間流通的新臺幣現金，高達3兆元之多。</strong>圖片來源／央行</span></p> <p><span style="font-size:28px;"><strong>看上四大潛力，央行2019年展開CBDC研究</strong></span></p> <p>臺灣央行很早就投入CBDC的研究，更在2019年就展開了相關技術可行性的研究。</p> <p>楊金龍認為，CBDC有四大潛在效益，包括了讓大眾獲取安全的數位貨幣、滿足未來支付服務的需求、深化普惠金融以及最後一項是改進跨境支付的可能性。臺灣電子支付的占比，從2017年的40%，在今年第一季快速達到了60％之高，6成支付透過電子方式進行。但是，楊金龍認為：「因應未來現金數位化需求，大眾可能希望有CBDC的選項，由央行提供安全、受信任、無使用成本且無信用或流動性風險的數位支付工具。」</p> <p>另一個好處是來自CBDC的技術特性，因為分散式帳本技術提供了智能合約機制，讓CBDC成為一種可程式化的貨幣，可以依照程式設定來自動執行交易，可以延伸到更多不同的場域中，來支援數位經濟對效率和創新的要求。</p> <p>央行看中的CBDC第三項潛力是，對普惠金融的深化。數位支付主要有三大用途，包括了轉帳、繳費和消費。目前在臺灣，轉帳和繳費的數位支付相當普及，要用數位支付來實現普惠金融的目標，只剩下最後一哩路，也是數位支付的消費。但是，目前銀行開立數位帳戶仍有一定的複雜度，不一定能涵蓋到經濟弱勢者。CBDC能讓想要取得數位現金支付者，都可以開立CBDC錢包來進行數位支付的使用，開立門檻比銀行數位帳號門檻更低，也就更容易普及到不同消費場景中。</p> <p>楊金龍看好CBDC的最後一項潛力是用來改進跨境支付。因為跨境支付涉及多家中介機構，程序多且費用高，根據世界銀行的統計資料，2021 年第 4 季，全球平均匯費為匯款金額的 6.04%，仍是一筆不小的交易成本。交易更低甚至可以是零手續費的CBDC，有機會成為新的跨境支付工具。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%961-%E5%9B%9B%E5%A4%A7%E5%A5%BD%E8%99%95-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>中央銀行總裁楊金龍指出，CBDC有四大潛在效益，包括了讓大眾獲取安全的數位貨幣、滿足未來支付服務的需求、深化普惠金融和改進跨境支付的可能性。</strong>攝影／王若樸</span></p> <p><span style="font-size:28px;"><strong>CBDC五大潛在風險得有配套</strong></span></p> <p>不過，除了好處，楊金龍提醒，CBDC仍有五大潛在風險，得有配套政策來因應。第一個就是金融中介功能的風險，CBDC可能會影響銀行既有支付業務，甚至讓銀行存款流失。若CBDC可以計算利息，也會增加銀行融資成本，進而提高了個人、家庭或企業的貸款成本，會進一步影響了銀行金融中介的角色。因此，國際間CBDC多採取傳統貨幣發行的雙層式架構，讓銀行繼續扮演金融中介角色，也可以選擇無利息的設計，避免影響銀行的地位。</p> <p>另一項風險是金融穩定的影響，數位形式更容易流通，也就更容易造成數位擠兌效應的流通性風險，為了避免銀行存款大量流失，楊金龍也認為，可管制用戶的CBDC交易量和持有總量。另外，CBDC若可以計算利息，也可以成為一種，央行貨幣政策的執行與操作的新政策工具，不過，他認為，初期適合視同數位現金不計算利息。目前正在試點或發行CBDC的國家，例如中國或巴哈馬都採不計利息的做法。</p> <p>第四個風險則是隱私保護和金融犯罪防範的課題，因為採取雙層式架構，CBDC的金融交易數據和現有金融機構交易產生的方式一樣，因此，在隱私保護上，CBDC可以透過中介機構現有機制解決，而金融犯罪防範也同樣可以循著現有中介機構反洗錢、反資恐的處理方式來落實。</p> <p>最後一項風險則是所有金融系統都會面臨的挑戰，也就是系統營運的安全性和強韌性。「因 CBDC 可供任何人、任何時點使用（如同現金一樣），所以更需妥適的資安防護措施。」楊金龍強調。所以，從另一方面來看，他也認為，需要研究離線支付選項的可行性，才能確保在沒有網路的情況下，大眾仍然可以進行某些日常的支付。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963-%E9%A2%A8%E9%9A%AA-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>央行點出CBDC仍有5大潛在風險，會影響金融中介功能、金融穩定、貨幣政策執行、隱私保護與金融犯罪預防，最後一項則是系統營運的安全性和強韌性。</strong>圖片來源／央行</span></p> <p><span style="font-size:28px;"><strong>分四階段發展CBDC，將完成第二階段試驗</strong></span></p> <p>臺灣的中央銀行早在2019年，就展開了CBDC的研究，分四階段進行，規畫了2種研究計畫，從2019年6月到2020年6月先完成了第一階段的技術可行性研究，了解進行DLT分散式帳本技術研究以及批發型CBDC的研究。</p> <p>財金資訊總經理黃昱程指出，在第一階段計畫後發現，DLT具有多節點同步儲存資料的優點，韌性很高，但交易速度處理效能不佳，以兼顧隱私保護的改良版DLT技術來實驗，無法因應高頻、大量的即時交易需求。「特別要考慮隱私保護時，效能會受影響。」他坦言。</p> <p>在第一階段技術可行性研究中，還有另一項發現，黃昱程指出， CBDC若要成為普遍公用的交易媒介，考據到龐大使用者規模和效能需求，在「未來設計上，可考慮用中心化系統為基礎，部分功能結合DLT技術。」後來，這項發現成了央行第二階段CBDC試驗的系統設計重要原則。</p> <p>接著，央行在2020年9月，展開了為期一年的第二階段通用型CBDC試驗計畫，採用雙層式的架構設計，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾使用。</p> <p>央行CBDC工作小組負責規畫，財金公司和票交所共同參與設計開發CBDC試驗系統，也找來5家銀行，在封閉式的實驗環境，參與和設計開發模擬試驗系統，設計在不同情境下的CBDC運用和功能，來展示民眾如何取得、兌換和運用數位貨幣的過程。</p> <p>黃昱程指出，第二階段打造CBDC試驗平臺有兩大設計考量，一是要保留現金優勢，其次則要善用數位科技。因此特別注重7項特色。一是要考慮普惠金融，讓任何人都可以開立數位貨幣錢包。還要兼顧保護隱私，雖然現在採取銀行記名帳號，但功能設計上，未來可以允許匿名的數位貨幣，但會搭配交易金額限制。第三項設計特色是必須隨時可用，提供7x24小時的服務，來兼顧效率和韌性。另外現在雖然採取連線設計，但未來也要支援離線功能，不過，會限制金額來控管風險。</p> <p>CBDC雛形平臺的第五項特色是可以提供遺失處理機制，這是傳統現金鈔票所沒有的能力。第六項特色則要能支援未來數位支付的需求，包括提供可程式化貨幣或是支援支付的互通性，最後一項特色是利息設計，雖然CBDC初期會採取不計利息的機制，「但試驗平臺仍保有這個功能，未來可配合貨幣政策需要來設計利息功能。」黃昱程表示。</p> <p>央行在6月底所展示的第二階段通用型CBDC試驗成果中，也由5家銀行示範不同的使用情境，包括了中國信託銀行、華南銀行、國泰世華、台新銀行和上海商銀，來進行開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款等五種情境，還找來多家零售業者，展示如何用持有的CBDC或數位券來進行購物或繳費，展示不同的店家支付方式，包括掃碼支付和NFC感應支付的形式。</p> <p>央行未來計畫以第二階段試驗結果展開意見調查，一方面與多方溝通和討論，包括政府機構，使用者，金融機構，技術與基礎設施提供者和學界等，另一方面還要持續精進CBDC平臺的設計，採用更穩健成熟的技術，來符合大規模交易的需求，還要能兼顧系統完整性、作業健全性和強韌性。最後一點則是要「研議法律架構，包括賦予CBDC法償貨幣的明確法源，並制定反洗錢、反資恐、隱私保護、資安防護及爭議責任歸屬等諸多規範。」他特別強調得做到最後一點，才能增強市場對CBDC的信任。楊金龍坦言：「推動CBDC 是一項巨大且複雜的工程。」</p> <p>雖然央行沒有訂出CBDC後續發展的時間表，不過，臺灣在數位貨幣的發展上，已經與國際領先國家同步，邁進了一大步。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964-%E5%A4%AE%E8%A1%8C%E9%80%9A%E7%94%A8%E5%9E%8BCBDC%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>早在2020年９月央行理監事會後記者會後，公開了央行通用型 CBDC 試驗計畫平臺架構，將採取兩層式架構，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾使用。</strong>圖片來源／央行</span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%965-%E4%B8%8B%E4%B8%80%E9%9A%8E%E6%AE%B5-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%A4%AE%E8%A1%8C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>完成第二階段通用型CBDC試驗之後，央行還要廣納意見，準備展開3項做法，才會繼續推動下一階段，尤其是要研議相關的法律架構和法制規範。</strong>圖片來源／央行</span></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>臺灣數位貨幣四大發展階段</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 階段1：技術研究 </span></strong></span></span></p> <p><strong>● 時間：2019年6月～2020年6月</strong></p> <p><strong>● 重點：進行DLT分散式帳本技術可行性研究，2020年6月完成批發型CBDC研究。</strong></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 階段2：試驗計畫（目前階段）</span></span></strong></span></p> <p><strong>● 時間：2020年9月～2022年9月</strong></p> <p><strong>● 重點：封閉式驗證系統之開發、建置與驗證。</strong></p> <p><strong>● 步驟：概念驗證→整體規劃→規格制定→開發建置→情境驗證（2022年6月完成）→廣納意見→調校與驗證→全體金融機構積極參與配合→系統建置／測試／驗證→基礎設施改造／佈建及推廣</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:20px;"><span style="background-color:#3399ff;"> 階段3：先導計畫 </span></span></span></strong></p> <p><strong>● 時間：時程未定，至少2年後</strong></p> <p><strong>● 重點：導入營運系統之開發、建置與試點驗證</strong></p> <p><strong>● 步驟：參與機構正式建置系統→個別機構測試→跨機構整合測試→整體量能驗證→局部試點→擴大試點</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 階段4：全面上線 </span></strong></span></span></p> <p><strong>● 時間：未定</strong></p> <p><strong>● 步驟：試營運→營運</strong></p> <p><span style="color:#696969;">資料來源：央行、財金公司，iThome整理，2022年7月</span></p> <p><a href="https://www.ithome.com.tw/article/151953" target="_blank"><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#cc0000;"> 相關報導 </span></span> 臺灣數位貨幣新進展</strong></span></a><span style="font-size: 18px;"><b> </b></span><a href="https://www.ithome.com.tw/article/151953" target="_blank"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/1086-%E5%B0%81%E9%9D%A2P1-OPEN-%E8%B1%86%E5%AD%90-960X420%20%E6%8B%B7%E8%B2%9D.jpg" style="width: 550px;" /></a></p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/news/151951
【不只數位支付和跨境匯款，連實體ATM都能支援】數位貨幣怎麼用？五大CBDC試驗情境大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2020年9月17日央行理監事會後記者會，就公開了央行通用型 CBDC試驗計畫之平臺架構，將採取兩層式架構，由央行向銀行等金融中介機構發行數位貨幣，再由銀行提供給民眾，而民眾取得這些數位貨幣後，就可以在銀行間或零售通路上使用。</p> <p>經過一年半多的試驗，在6月底這場發表會中，也展示了第二階段五大情境試驗成果。一方面，央行CBDC工作小組與財金公司、外部技術團隊打造出一套CBDC雛型平臺，另一方面找來5家銀行參與設計和模擬，包括了中國信託銀行、華南銀行、國泰世華、台新銀行和上海商銀，來進行開立CBDC錢包、消費支付、兌換提領、轉帳繳費，以及移工跨境匯款等五種情境。</p> <p><span style="font-size:28px;"><strong>人人可開戶，外國人也能用手機驗證來開戶</strong></span></p> <p>比如，中國信託示範了可以在銀行App中開立CBDC錢包，依據金額規模，將CBDC分為小額（單筆交易上限3,000元、餘額上限1萬元）和大額（單筆交易上限10萬元、餘額上限50萬元）兩種錢包，民眾只需提供身分證字號等基本資料即可申請，而沒有身分證號的外國人，也可以透過手機快速認證即可開戶，也不限定只有中信存戶可開戶，來達到人人可開戶的普惠金融效益。</p> <p>民眾使用CBDC錢包時，則可以如同使用電子支付App一樣，用QR Code掃碼方式來進行支付、轉帳或是存提款等業務。中國信託展示的CBDC錢包還可以搭配票券功能，使用者可以將政府發放的CBDC數位振興券，轉入自己的帳戶或信用卡來使用，結合票券也是央行預期的CBDC應用形式。</p> <p><span style="font-size:28px;"><strong>CBDC錢包可到實體ATM領現鈔，也能支援P2P轉帳或跨境匯款</strong></span></p> <p>實體ATM也可以支援CBDC錢包或提款。例如台新銀行在6月底舉行的發表會現場展示了一臺支援CBDC的ATM，可以透過QRCode掃碼的方式，來輸入自己的CBDC錢包ID，來進行儲值，可以用外幣或臺幣鈔票放入ATM來儲值，反過來，民眾也可在這臺ATM提取存在CBDC錢包的臺幣。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963-ATM-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8-.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台新銀行展示了一臺支援CBDC的ATM，可以透過QRCode掃碼的方式，來輸入自己的CBDC錢包ID，可以用外幣或臺幣鈔票放入ATM來儲值，也可在這臺ATM從CBDC錢包提取臺幣現鈔。</strong>攝影／王若樸</span></p> <p>國泰世華銀行則展示了CBDC錢包的P2P個人對個人轉帳功能。一方面整合了央行CBDC平臺和國泰平臺，可以讓國泰現有網銀客戶快速註冊CBDC錢包，讓帳戶內的臺幣與CBDC能夠互相兌換，或是進行現鈔存提。當使用者需要P2P轉帳時，可透過錢包中的付款碼QR Code，讓另一方掃碼後就能夠進行匯款作業。</p> <p>華南銀行也展示了一款結合掃碼支付、付款、轉帳，甚至是收款的支付App，也能結合政府發放的數位券或程式化控制的專用款，現場也展示如何用這款App到零售商店進行付款的作業，同一次付款可以同時扣CBDC錢包中的數位貨幣款項和數位券的金額，而不用分兩次進行。</p> <p>而上海商銀則展示了跨境匯款功能，當雇主用CBDC錢包發送數位貨幣薪資後，移工可在跨境小額匯款公司的App，選擇匯款對象、金額和扣款銀行後，就能利用上海商銀數位App，從CBDC中繳款。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964-%E7%A7%BB%E5%B7%A5%E5%8C%AF%E6%AC%BE-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>上海商銀展示了CBDC跨境匯款功能，雇主可用CBDC錢包發送數位貨幣薪資，而移工則可在跨境小額匯款公司的App指定從自己的CBDC戶頭來匯款，還能直接轉換成外幣匯入對方戶頭。</strong>攝影／王若樸</span></p> <p>除了金融機構的展示，也模擬消費者實際在零售商店使用的支付情況，不少知名店家也展示如何支援CBDC錢包付款的應用案例。</p> <p>比如，統一超商現場就示範了用CBDC錢包來進行QR Code掃碼支付和NFC手機感應等2種支付方式，其他店家如路易莎咖啡、臺灣大車隊、全聯、寶雅等也示範如何進行這類支付方式，甚至，用CBDC來捐款。</p> <p>上海銀行執行副總經理郭進一更提出，數位貨幣未來的多種應用可能性，他解釋，利用央行數位貨幣低成本和低手續費的特性，可以運用到小額支付，包括了公益捐款、數位紅包、醫療批價或校園支付，也可以用於企業授信款項的撥付或是國內應收應付款的支付。</p> <p>甚至，郭進一進一步強調，目前進出口款項支付效率不佳，若將CBDC進一步結合關稅、退稅以及繳稅整合，可以帶來更大效率，或如企業跨境質押保證如果能利用CBDC來抵押，就可以更方便。這些都是銀行未來可以思考的數位貨幣發展可能性。</p> <p><a href="https://www.ithome.com.tw/article/151953" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(204, 0, 0);"> 相關報導 </span></span> 臺灣數位貨幣新進展</strong></span></a><span style="font-size: 18px;"><b> </b></span><a href="https://www.ithome.com.tw/article/151953" target="_blank"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/1086-%E5%B0%81%E9%9D%A2P1-OPEN-%E8%B1%86%E5%AD%90-960X420%20%E6%8B%B7%E8%B2%9D.jpg" style="width: 550px;" /></a></p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/news/151952
臺灣數位貨幣新進展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/styles/picture_size_large/public/1086-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=ASA6WlGp" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電子支付比例今年第一季達到60%，但數位支付工具的成本和申請仍是不小的門檻，數位貨幣能不能成為3兆臺幣現金的另一種流通形式，央行首度公開五大情境試驗成果</p> </div></div></div>
2022/7/18 07:00作者王宏仁https://www.ithome.com.tw/article/151953
實現隨機圓堆砌演算
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資料視覺化的場合中，你可能看過使用大小不等的圓，來表現資料在數值上的差異或層次，這類圖表稱為泡泡圖（bubble chart），其中一個有趣的展現方式是，讓圓與圓之間不重疊卻又緊密，可用來構成文字雲或層層嵌套的圖表，看來甚是迷人，這類圖表的共同關鍵字，往往就是「圓堆砌（circular packing）」。</p> <p>目前，D3.js程式庫已提供了圓堆砌的實現方式，在<a href="https://bit.ly/3N5Rxb2" target="_blank">〈Circular Packing〉</a>就示範了從簡單到複雜的幾種不同實現方式；擅長資料科學領域的Python，也有著<a href="https://bit.ly/3aghciI" target="_blank">circlify</a>這類程式庫，可協助完成基於圓堆砌的計算，以完成後續資料視覺化的需求。</p> <p><span style="font-size:28px;"><strong>圓堆砌的繪製</strong></span></p> <p>若查詢維基百科〈Circular Packing〉條目的話，我們會發現，圓堆砌是幾何學的研究方向，探討如何在指定的面上排列圓，令圓與圓間不重疊且彼此間無法再擴張，相對應的研究是，哪種排列可以得到最大堆砌密度，也就是圓覆蓋的面積與指定範圍面積間的比例。</p> <p>對於大小相同的圓來說，數學家Axel Thue證明了正六角形密堆砌，也就是以正六角形的六個頂點及中心為六個圓心，六角形邊長為圓直徑，堆砌的結果在各種圓堆砌會具有最大堆砌密度0.9069，證明過程與Voronoi空間分割有關，有興趣的人，可以參考<a href="https://bit.ly/3M6OCxx" target="_blank">〈六角密堆砌證明及其它〉</a>。</p> <p>進一步地，也有大小不等圓的堆砌研究，例如兩種大小不等的圓，在資料視覺化的場合，我們經常看到的則是隨機大小的圓，依不同的需求，也有著許多分析演算方式，確定需求是必要的。如果想要隨機大小、視覺上看來緊密的圓堆砌？若可以的話，還要能在指定的任意形狀中進行堆砌呢？</p> <p><span style="font-size:28px;"><strong>D3.js的力模擬器</strong></span></p> <p>實現隨機的圓堆砌時，我們直覺上會想到，以隨機位置為圓心，隨機值為半徑建立圓，後續建立的圓必須檢查是否與既有的圓重疊，這個方式是行得通，但速度非常緩慢，原因不僅在既有圓的數量會越來越多，也在於後期想找到可以放置的圓，試誤的次數也會越來越多。</p> <p>為了避免無止盡地進行試誤，一般而言，我們會設定嘗試次數的上限，一旦到達上限之後就停止，從而導致希望達到的圓數量不足，在<a href="https://bit.ly/3z72Wmz" target="_blank">〈generative artistry - Circle Packing〉</a>的HTML5實作，就是如此。</p> <p>有一個折衷的方式，那就是：先隨機產生一組半徑並由大到小排序，從第一個半徑值開始，隨機找一個點作為圓心建立圓，後續的圓必須檢查是否與既有的圓重疊，基本上，後續的圓會越來越小，嘗試失敗的機率小一些，<a href="https://bit.ly/3GKg2Ij" target="_blank">〈Packing circles in a circle〉</a>就是基於此原理並使用Python實作，雖然有機會比方才的方式快一些，但試誤仍然是必需的，而且，設定試誤上限從而導致希望達到的圓數量不足，這個問題還是存在。</p> <p>那麼，方才D3.js的實現方式呢？它使用d3-force，這是個物理模擬粒子系統，可以將圓看成是粒子，賦予各圓速度，圓彼此間可指定斥力與碰撞等屬性，在〈Most basic circular packing〉示範了最基本的一組圓，起初圓彼此重疊，到最後因互斥而彼此不接合，這種實現的好處是，可以在一開始的圓數量與大小，最後達到緊密的圓堆砌。</p> <p>想自行實現這樣的物理模擬也不是難事，作法類似先前<a href="https://www.ithome.com.tw/voice/151846" target="_blank">專欄〈實現差別生長演算〉</a>談到的力模擬，這只需要區隔（seperation）的指向力，然而，要增加圓與圓間，以及圓與邊界間的碰撞偵測。</p> <p>在<a href="https://bit.ly/3PUfFPp" target="_blank">〈Controlled Circle Packing with Processing〉</a>就提供了Processing的實作方式，由於是基於物理模擬，還可以用滑鼠點選新增圓，新的圓會自動找到合適的位置。為了瞭解每段程式碼的作用，我重構一個<a href="https://bit.ly/3wT4iP2" target="_blank">p5.js的版本</a>，有興趣的人可以參考。</p> <p>基於力的模擬，還可以模仿出自然風格，最初的一組圓半徑可以都相同，然而每次的迭代過程，圓排斥後的新位置，會用來計算Perlin雜訊，得到的雜訊值會作為新的半徑值，Perlin雜訊會有高低之分，圓就會有大小之別，從而構成或密或疏的堆砌結果，Perlin雜訊是連續的，最後結果就像是翻攪肥皂泡泡水後的結果。</p> <p><span style="font-size:28px;"><strong>基於Delaunay三角分割</strong></span></p> <p>方才談到數學家Axel Thue證明正六角形密堆砌，擁有最大堆砌密度的方式，是基於Voronoi空間分割，這就讓我聯想到，可否基於分割後的空間來進行圓堆砌？好處是可以使用點來指定範圍甚至形狀，而且空間分割後會是各個凸多邊形，問題也就可以切分為，在凸多邊形中進行圓堆砌的子問題。</p> <p>在凸多邊形當中，如果我們尋找最大圓，基本方式是找<a href="https://bit.ly/3z4SSdY" target="_blank">Chebyshev中心</a>，然後計算中心至邊的距離作為半徑，不過除了最大圓之外，如何在凸多邊形的其他區域堆砌小圓，計算上都會比較麻煩。</p> <p>為了簡化問題，我轉而思考與Voronoi空間分割具有對偶關係的Delaunay三角分割，如此一來，問題可以切分為：在三角形中進行圓堆砌的子問題。</p> <p>方式之一是計算三角形內接圓，這是個簡單任務，至於內接圓以外的圓堆砌問題，我們可以沿著內接圓心至三個頂點間的直線，逐一放置圓，由於Delaunay三角分割後的三角形，可能會有狹長形，為了避免生成過小的圓，可以設定圓的最小半徑。</p> <p>要在三角形中進行圓堆砌，另一個方式是將既有的三角形再細分，然後只求切分後三角形的內接圓，不過，若原三角形過於狹長，切分後再放置的圓就會過小，而且彼此間的距離過疏；然而，我們可結合方才的做法，也就是進一步沿著圓心至三個頂點間的直線逐一放置圓，密度上會比第一種做法高，而且，外觀上會呈現Voronoi的結果。</p> <p>在我撰寫的<a href="https://bit.ly/38Cp4KV" target="_blank">〈experimental〉</a>，可以看到circle_packing為開頭的三個.scad原始碼，分別代表方才三種方式的OpenSCAD實作，大家可以試著運行看看，比較三種方式的執行結果。</p> <p>只要Delaunay三角分割的演算夠有效率，以上三種圓堆砌的方式，在速度上就會有相對應的表現，因為一旦三角分割完成，就沒有試誤的問題，而且可以自行指定點的位置，這就表示可以控制圓堆砌後的樣貌，例如<a href="https://bit.ly/3aD56jX" target="_blank">〈Golden Spiral & Circle packing 〉</a>就示範了，如何結合黃金螺線來構成銀河系般的圓堆砌效果。</p> <p><span style="font-size:28px;"><strong>圓堆砌的應用</strong></span></p> <p>我會開始研究圓堆砌，一開始是看到基於圓的文字雲，基本作法是將圓堆砌結果依半徑排序，如此就可以與文字雲的關鍵字數值進行配對。</p> <p>正如一開始談到的，圓堆砌在資料視覺化有著廣泛的應用，其實，也會用於影像處理（通常作為濾鏡），在生成藝術上也經常可見，例如，在Google圖片搜尋circle packing，就會看到各式各樣的應用，結合data visualization關鍵字，可以看到更多資料視覺化的案例，從中也可以找到相關實現範例。</p> <p>當然，隨機圓堆砌還有其他許多的呈現與處理方式，即便是等圓的堆砌，也有許多值得研究的主題，大家也可以從MathWorld的<a href="https://bit.ly/3PR2jUj" target="_blank">〈Circle Packing</a>〉，從中進行探索。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E8%A6%96%E8%A6%BA%E5%8C%96">資料視覺化</a></div><div class="field-item even"><a href="/tags/%E5%9C%93%E5%A0%86%E7%A0%8C">圓堆砌</a></div><div class="field-item odd"><a href="/tags/circular-packing">circular packing</a></div><div class="field-item even"><a href="/tags/python">Python</a></div><div class="field-item odd"><a href="/tags/d3js">D3.js</a></div></div></div>
2022/7/18 07:00作者林信良https://www.ithome.com.tw/voice/151955
【資安週報】2022年7月11日到7月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周新聞中，雲端服務業者提供的伺服器與虛擬機器被濫用情形日益嚴重，本周揭露的濫用情形中，例如，趨勢科技揭露了駭客針對軟體開發流程自動化系統服務GitHub Actions並利用其搭配的Azure VM來挖礦的行徑，此外，資安業者Profero揭露雲端IDE程式編輯器Datacamp遭濫用，且難以追溯的問題並提出警告。</p> <p>在漏洞修補上，本周微軟發布本月的Patch Tuesday，修補84個漏洞，其中CVE-2022-22047最值得關注，因為修補前已發現遭駭客鎖定與成功利用的情形，美國CISA也在本月12日將之納入Known Exploited Vulnerabilities資料庫，還有AMD CPU分支的硬體漏洞CVE-2022-23816與CVE-2022-23825獲得修補，本周多個平臺已經因應，陸續發布修補相關漏洞的新版本，接下來是用戶也要盡速更新修補。</p> <p>其他關注消息中，以勒索軟體組織將竊取資料搞成大數據資料庫開放利用恐帶出新的威脅，以及諸多大規模的網釣攻擊最受注目。</p> <p>從近期勒索軟體動向來看，有一新趨勢是，勒索軟體駭客挾持受害組織的檔案後的深化利用，不只是要脅外洩施壓以勒索、或是販售給其他犯罪組織，打造勒索軟體BlackCat的駭客，甚至打造檔名、文件、圖片都能文字內容檢索的資料庫，供犯罪社群利用，而這也引起打造勒索軟體LockBit駭客的注意，進而改版網站並增添搜尋功能。</p> <p>本周網釣事件揭露有多起，其中微軟公布一起針對上萬Office組織的行動，由於混和多種手法使用受關注，不只是將釣魚網站以代理伺服器方式設在用戶連線至目標網站間，竊取用戶的憑證Cookie與連線Session，然後用以BEC詐騙，由於帳戶合法被冒用將更難防範。</p> <p>在其他重要大事中，WPS Office辦公軟體開始傳出配合中國敏感詞彙審查，一旦查出違規會將檔案禁止存取或刪除的消息，這樣的政策會否擴大受全球用戶受關注。</p> <p>另外，上月發生每秒2,600萬次DDoS攻擊事件，Cloudflare在本月有後續追蹤報告，指出將此殭屍網路命名為Mantis，也說明後續攻擊不斷，光是自家用戶就遭到超過3千次的HTTP DDoS攻擊，以產業來看，網路及電信產業受攻擊比例達36%最高，其次新聞出版業、遊戲、金融也都在10%以上。</p> <h2 class="rtecenter"><strong>本週重大關注資安新聞</strong></h2> <p class="rtecenter" id="A"><strong><a href="https://www.ithome.com.tw/news/151967#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-01.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-02.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-03.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-04.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-07(1).jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-05.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-06.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-09.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/151967#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0715TOP10-08.jpg" style="width: 550px;" /></a></strong><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E7%9C%8B%E6%9B%B4%E5%A4%9A(1).jpg" style="width: 550px;" /><br /> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p id="D">研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p id="E">該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對預設封鎖Office巨集啟用，微軟表示只是暫時延後</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p id="F">資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef"><span style="color: rgb(0, 0, 0);">雲端IDE程式編輯器Datacamp恐遭到駭客濫用</span></a></strong></h3> <p>雲端的整合開發環境（IDE）可讓程式開發人員更容易進行協同作業，但這樣的工具也有可能讓攻擊者降低攻擊門檻，只需網頁瀏覽器就能發動攻擊。資安業者Profero揭露濫用雲端IDE系統DataCamp的攻擊行動，駭客疑似運用進階版Python的IDE模組，部署第三方模組來連線到AWS S3儲存桶，並將儲存桶內的資料藉由DataCamp流出。</p> <p>研究人員也嘗試在該平臺導入Nmap網路拓撲工具，結果發現，他們雖然不能直接部署該軟體，但可直接透過編譯程式碼的方式產生。研究人員認為，這種濫用DataCamp的攻擊行動很可能不會被發現，因為沒有明確的來源顯示其IP位址的範圍，而難以追溯來源，且類似的雲端IDE系統有可能成為駭客加以濫用的對象。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p id="J">比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭大規模網釣攻擊，駭客竊取Cookie與Session資訊可繞過MFA，目的是用於發動BEC詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a></p> <p>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，特別的是將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/abused-quickbooks-site-sends-phone-scam-emails"><span style="color: rgb(0, 0, 0);">雲端會計系統QuickBooks遭到濫用！駭客將其用於網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Retail Brands Impersonated in Vishing Attacks from Quickbooks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Retail%20Brands%20Impersonated%20in%20Vishing%20Attacks%20from%20Quickbooks.png" style="width: 300px; float: right;" /></a>攻擊者寄送以軟體訂閱服務為幌子的釣魚郵件，算是相當常見，但現在出現了更難察覺異狀的做法。資安業者Inky約自2021年12月開始，發現有人濫用了雲端會計系統QuickBooks，來針對使用Google Workspace與Microsoft 365的中小企業下手，進行電話詐騙，迄今已有2,272次攻擊行動。這些駭客濫用了QuickBooks的30天免費試用期，用來向受害者發送假的發票，聲稱收信人從Amazon、蘋果、BestBuy購買了軟體並已經成功付款，並說明若是沒有購買卻被扣款，可透過客服電話進行後續退款事宜。</p> <p>一旦受害者依照指示操作，駭客就會要求提供信用卡資料與其他個資，或是要求存取詐欺網站，來截取受害者的資料，有時候駭客甚至還會要求透過遠端桌面連線來處理問題。但實際上，受害者這麼做將會讓對方握有信用卡資料，而可能遭到盜刷。</p> <p id="G">研究人員指出，駭客濫用QuickBooks而能發出幾可亂真的發票，而且因為電子郵件來自提供此會計服務的IT業者Intuit，難以與真正使用這套會計系統的用戶進行區隔，他們呼籲使用者收到這類購買通知郵件時，應該通過網路商城網站提供的電話，或是向信用卡公司進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/paypal-phishing-scam-mimics-known-security-measures"><span style="color: rgb(0, 0, 0);">駭客將網路釣魚工具包植入WordPress網站，竊取PayPal用戶個資</span></a></strong></h3> <p>受到許多網站採用的線上支付工具PayPal，遭到駭客鎖定，利用工具來竊取使用者的個資。資安業者Akamai在他們的蜜罐裡，發現駭客針對WordPress網站下手，藉由暴力破解的方式入侵後，植入網路釣魚工具包，此工具包鎖定PayPal用戶，假冒一連串的人類驗證機制與身分驗證機制，進而騙取受害者銀行帳號資料、電子郵件信箱密碼、照片等個資，駭客得手後很有可能將其用於洗錢或是其他網路犯罪。</p> <p>研究人員指出，這個工具包採用一些獨特的手法來規避資安業者的偵測，像是駭客對於連線的IP位址設置，會避免在資安公司的網域黑名單裡，而有可能因此躲過相關檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/chromeloader-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChromeLoader-22.png" style="width: 300px; float: right;" /></a>駭客不光打造EXE可執行檔或DLL程式庫的惡意程式，也企圖透過瀏覽器外掛程式來發動攻擊。資安業者Palo Alto Networks揭露名為ChromeLoader（亦稱Choziosi Loader、ChromeBack）的惡意軟體，研究人員大約於今年1月開始進行追蹤，駭客以光碟映像檔ISO、蘋果裝置的磁碟映像檔DMG的型式來進行散布，並以提供破解版電玩遊戲或是電影的種子檔案名義，來引誘使用者上當。</p> <p>一旦使用者依照指示在網頁瀏覽器Chrome上安裝了ChromeLoader，駭客不只能存取瀏覽器的個人設定資料，還能操弄瀏覽器發出的請求，同時也可追蹤使用者使用Google、Yahoo、Bing等搜尋的記錄，進而得知受害者的上網行為。</p> <p>研究人員指出，雖然駭客一開始主要是針對Windows電腦下手，但他們在今年3月看到鎖定Mac電腦的ChromeLoader，因此Mac電腦的用戶也要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-packages-steal-telegram-cache-files-add-windows-remote-desktop-accounts"><span style="color: rgb(0, 0, 0);">惡意PyPI套件鎖定Windows電腦用戶，攻擊Telegram軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg" style="width: 300px; float: right;" /></a>駭客使用PyPI惡意套件發動攻擊的情況又有新的攻擊事件，這次是針對Windows電腦的Telegram用戶而來。資安業者Sonatype發現flask-requests-complex、php-requests-complex、tkinter-message-box等惡意套件，flask-requests-complex與php-requests-complex內含的程式碼，會在攻擊過程建立使用者帳號，而能夠讓攻擊者透過遠端桌面連線（RDP）任意存取受害電腦；而第3個惡意套件的行為，引發研究人員注意，因為此套件專門鎖定Telegram電腦版程式的tdata使用者設定資料夾，一旦用戶安裝該套件，Telegram的帳號資料就有可能遭到外洩。PyPI接獲通報後，已移除上述套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/14/north-korean-threat-actor-targets-small-and-midsize-businesses-with-h0lygh0st-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客HolyGhost鎖定全球小型組織，發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2b-dev-0530-attackers-publishing-their-claims-on-their-website.png" style="width: 300px; float: right;" /></a>北韓駭客組織運用勒索軟體的攻擊行動，有可能是為了經濟利益而來。微軟揭露名為HolyGhost（DEV-0530）的駭客組織攻擊行動，這些駭客運用名為H0lyGh0st的勒索軟體，自2021年6月開始發動攻擊，並於2021年9月就有多個國家小型企業遇害，受害組織類型涵蓋銀行、學校、製造業，以及活動企畫公司。</p> <p>駭客疑似利用網站內容管理平臺DotCMS的漏洞CVE-2022-26352，來入侵受害組織，得逞後在網路環境投放勒索軟體加密檔案，並留下勒索訊息，要脅不付錢就公開竊得的資料。這些駭客通常會向受害組織索討1.2至1.5個比特幣贖金。</p> <p>研究人員指出，這些駭客很可能與另一個北韓駭客組織DarkSeoul（亦稱Plutonium）有所交流，攻擊的目的很有可能是為了經濟利益而出手。</p> <h3><strong style="font-size: 22px;"><a href="https://labs.detectify.com/2022/07/06/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/"><span style="color: rgb(0, 0, 0);">研究人員揭露針對OAuth身分驗證流程進行帳號挾持的手法Dirty Dancing</span></a></strong></h3> <p>身分驗證機制OAuth能讓使用者利用自己的Google、微軟、臉書帳號，來存取網站服務，而不需特別申請個別網站的帳號，但這樣的機制有可能被攻擊者拿來挾持帳號。資安業者Detectify揭露名為Dirty Dancing的攻擊手法，駭客可藉由使用的OAuth回應類型的切換，結合重新導向的URI和第三方JavaScript套件的搭配，從中找到可能用來將Token或是授權碼洩露的弱點，執行OAuth-dance的驗證流程，進而挾持使用者的帳號。研究人員呼籲網站經營者要了解OAuth-dance涉及那些網頁，並避免在這些網頁使用外部指令碼，來減少駭客發動Dirty Dancing攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-0mega-ransomware-targets-businesses-in-double-extortion-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體0mega要脅對合作夥伴告狀，向受害企業進行雙重勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg" style="width: 300px; float: right;" /></a>新的勒索軟體最近幾個月不斷有研究人員揭露相關發現，而相當引人注目。根據資安新聞網站Bleeping Computer的報導，名為0mega的勒索軟體於今年5月出現，鎖定全球的組織下手，並向受害組織進行雙重勒索，索討數百萬美元的贖金，該新聞網站的研究人員看到的勒索訊息內容發現，駭客疑似對每個受害組織竊取不同類型的資料，有些事故駭客揚言會向合作夥伴與貿易協會告狀，破壞受害組織的商譽，企圖索討贖金。</p> <p>研究人員看到駭客公布其中一個疑似不願支付贖金的受害組織，該組織主要經營電子產品的維修與翻新，並表示他們竊得了152 GB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game"><span style="color: rgb(0, 0, 0);">駭客藉由網路釣魚，入侵NFT遊戲Axie Infinity所屬的區塊鏈金流</span></a></strong></h3> <p>NFT遊戲Axie Infinity的<a href="https://www.ithome.com.tw/news/150181">區塊鏈網路Ronin Network於今年3月下旬遭駭</a>，被盜走約6.25億美元加密貨幣，美國後來指控是北韓駭客Lazarus所為，而這起事故的調查似乎有了新的進展。根據區塊鏈新聞網站The Block於7月6日的報導，2名知情人士向他們透露，駭客入侵Ronin Network的管道，就是透過人脈網站LinkedIn下手，駭客鎖定1名Sky Mavis資深工程師，聲稱提供更好的薪資條件向他招手，使得這名工程師被騙，但這家提供職缺的公司，實際上根本不存在。</p> <p>消息人士指出，該名工程師還經過多次面試，以為得到一份報酬極為優渥的工作，並下載了名為「職缺（Offer）」的PDF檔案，使得駭客得以藉由Sky Mavis的IT基礎設施，在Ronin Network裡植入間諜程式，並控制驗證伺服器以取得所需的存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/07/transparent-tribe-targets-education.html"><span style="color: rgb(0, 0, 0);">巴基斯坦駭客APT36鎖定印度大專院校，散布CrimsonRAT</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT36-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT36-image1.png" style="width: 300px; float: right;" /></a>駭客將攻擊目標鎖定學生的情況，近期有越來越多的事故發生。思科揭露巴基斯坦駭客組織APT36（亦稱Operation C-Major、Mythic Leopard、Transparent Tribe）自2021年12月發起的攻擊行動，駭客針對印度大專院校的學生下手，藉由網路釣魚的方式，向受害者投放惡意文件檔案，一旦收信人開啟檔案，電腦就有可能被部署木馬程式CrimsonRAT，進而長期洩露受害者電腦的資料，並回傳給駭客。</p> <p>研究人員指出，駭客使用了巴基斯坦主機代管服務業者Zain Hosting的伺服器，來架設基礎設施，但他們推估這只是其中一部分，APT36很有可能使用了多家主機代管服務的設施來進行建置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.antiy.cn/research/notice&report/research_report/20220713.html"><span style="color: rgb(0, 0, 0);">印度駭客組織Confucius對巴基斯坦軍事機構發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-4.png" style="width: 300px; float: right;" /></a>駭客為了避免遭到追查，很有可能濫用CDN服務來隱匿攻擊來源。中國資安業者安天（Antiy）揭露由印度駭客組織Confucius的攻擊行動，駭客自去年下半，開始假冒巴基斯坦政府員工的身分，針對政府機關與軍事單位進行釣魚郵件攻擊，一旦收信者開啟帶有巨集的文件，電腦就會被植入木馬程式QuasarRAT，以及該組織使用C++、C#開發的木馬程式，在受害電腦部署後門並進行竊密。</p> <p>研究人員指出，這起攻擊行動比較特別的是，駭客為了避免資安人員追查，他們使用了多種手法，例如，駭客竄改木馬程式的時戳，並使用Cloudflare的CDN服務來隱藏攻擊來源。</p> <p id="B">此外，這些駭客為了確保打開惡意文件檔案的收信人是他們鎖定的目標，他們也運用了Cloudflare防火牆來過濾來源IP位址，而且使用密碼來保護惡意文件。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p id="H">微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware修補去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/cisco-and-fortinet-release-security.html"><span style="color: rgb(0, 0, 0);">思科、Fortinet修補旗下產品漏洞</span></a></strong></h3> <p>思科與Fortinet近日修補旗下產品的重大漏洞，並呼籲用戶要儘速修補。思科於7月6日發布資安公告，總共修補了10個漏洞，其中最危險的是CVE-2022-20812與CVE-2022-20813，CVSS評分各為9.0與7.4，影響該公司的Expressway系列軟體，以及TelePresence視訊會議系統等兩套產品，一旦漏洞遭到利用，就有可能讓駭客覆寫任意檔案，或是製造空位元中毒攻擊。</p> <p>Fortinet也於7月5日修補4個高嚴重性漏洞，這些漏洞為CVE-2021-43072、CVE-2021-41031、CVE-2022-30302、CVE-2022-26117，CVSS評分為7.4至8.0分，影響FortiAnalyzer、FortiClient、FortiDeceptor，以及FortiNAC，一旦遭利用，攻擊者有可能在通過身分驗證的情況下執行任意程式碼，或是存取MySQL資料庫，以及從本地使用者提升為SYSTEM的權限。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-july-2022-three-applications-focus"><span style="color: rgb(0, 0, 0);">SAP修補ERP系統Business One的高嚴重漏洞</span></a></strong></h3> <p>SAP於7月12日發布每月的例行修補，針對20個漏洞的緩解措施進行公告，其中有4個漏洞屬於高風險漏洞，有3個存在於ERP系統Business One，另1個為BusinessObjects的漏洞。而在公告當中最為嚴重的漏洞是CVE-2022-35228，CVSS風險評分為8.3分，這是商業智慧軟體BusinessObjects集中管理主控臺的資訊洩露漏洞，資安業者Onapsis指出，攻擊者一旦利用這項漏洞，有機會在尚未通過身分驗證的情況下，藉由網路取得Token的資料。不過，駭客想要觸發這項漏洞有項前提，那就是需要有使用者存取應用程式的情況下，才能進行漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p id="I">資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p id="C"><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">臺灣企業資安投資抵稅正式上路，最新投資抵減辦法7月公布</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <h3><strong style="font-size: 22px;"><a href="https://pypi.org/security-key-giveaway/"><span style="color: rgb(0, 0, 0);">PyPI要求最熱門套件的開發者使用雙因素驗證，但有人打算鑽漏洞</span></a></strong></h3> <p>鎖定PyPI套件庫的攻擊事故，近期陸續出現數起，使得PyPI打算強制部分用戶採用雙因素驗證（2FA），而引起少部分開發人員反彈。PyPI於7月8日發布資安通告指出，他們即將在數個月內，陸續要求維護最為熱門的套件開發者，使用雙因素驗證，估計至少有3,500個套件的維護者、所有者，將必須通過進階身分驗證流程，才能執行套件的各式管理工作。</p> <p>PyPI將這些最熱門的套件稱為「關鍵（Critical）」套件，指的是在最近6個月內，下載次數在前1%的PyPI套件，一旦被登錄，該套件將會永久具備這項屬性。維護上述關鍵套件的經營者，將有機會免費取得2個由Google贊助的實體Token裝置Titan。</p> <p>此舉多數開發者表達支持立場，但也有人不願買單──例如，開發atomicwrites套件的Markus Unterwaditzer收到PyPI通知後，決定將這款每月下載超過6千次的套件下架，並重新以新的名稱上傳到套件庫，來迴避必須採用雙因素驗證的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ncsc.gov.uk/blog-post/preparing-the-long-haul-the-cyber-threat-from-russia"><span style="color: rgb(0, 0, 0);">來自俄羅斯的網路威脅導致資安人員工作更加吃重，英國呼籲企業重新檢視相關員工的工作量</span></a></strong></h3> <p>在烏克蘭戰爭中，相關的網路攻擊行動已經擴及歐洲其他國家，而使得資安人員工作量急劇增加，有可能難以持續工作，最後選擇離職，使得企業將面臨資安人力更加吃緊的現象。英國國家網路安全中心（NCSC）近日提出警告，他們先前呼籲企業要嚴加防範俄羅斯開戰後的網路攻擊行動，但隨著烏克蘭戰爭已經僵持數個月，企業應留意資安團隊可能因為長期處於高壓的狀態，而使得所屬團隊的員工已經不堪負荷，呼籲要調整因應網路威脅的做法，例如：</p> <p>●建立依據風險層級為依據的決策模式，來設立有效率且能長期運作的防禦制度</p> <p>●賦與第一線人員依據優先程度決策的權利</p> <p>●確保工作負載能平均分配個人與團隊，並讓第一線人員能獲得充分休息</p> <p>●提供管理者及團隊相關資源來察覺需要協助的員工</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/151963"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare披露全球DDoS攻擊能力最強大的Mantis殭屍網路</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/tech/151925"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/151701"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">深入2022年四大科技戰略，看摩根大通如何將科技變成競爭優勢？當中揭露AI應用與資安投入的積極性</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/free-decryptor-released-for-astralocker-yashma-ransomware-victims/"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體AstraLocker、Babuk、Yashma的解密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/"><span style="color: rgb(0, 0, 0);">駭客假冒CrowdStrike等資安業者，企圖在受害組織植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151963"><span style="color: rgb(0, 0, 0);">Mantis成為2022年6月全球最具威脅的殭屍網路</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/targeted-attack-on-government-agencies.html"><span style="color: rgb(0, 0, 0);">攻擊者以阿富汗和印度的關係為誘餌，鎖定多個國家的政府機關，散布AysncRAT和LimeRAT木馬</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.tasnimnews.com/en/news/2022/07/12/2742013/iraqi-cyberattack-targets-tel-aviv-municipality-website"><span style="color: rgb(0, 0, 0);">以色列捷運公司遭到伊拉克的網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.techtarget.com/searchsecurity/news/252522715/Researcher-develops-Hive-ransomware-decryption-tool"><span style="color: rgb(0, 0, 0);">研究人員針對新的勒索軟體Hive變種提供解密工具</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/iThome%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1Top%2010_0715.jpg" style="width: 550px;" /></span></span></strong></p> </div></div></div>
2022/7/15 17:51作者羅正漢https://www.ithome.com.tw/news/151967
別讓見樹不見林的思維掩蓋真相
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圓神出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從COVID-19 在全球肆虐後，媒體最常報導的就是各國每日確診死亡人數，政論節目也不斷評論各國的防疫政策。2022年2月中旬，一位名嘴在節目裡說：「美國是全世界COVID-19確診死亡數最多的國家，共有93萬多人，遠高過英國的16萬、法國的14萬和德國的12萬，高達6～8倍，防疫真的做得太差了！美國政府和人民防疫的努力比起歐洲差很大！」其他名嘴也紛紛點頭同意。</p> <p>內人鳳蘋剛好聽到這一段，她告訴我：「這個說法，已經掉進『見樹不見林』的謬誤之中。」</p> <p>確實是如此，我從牛津大學的Our World in Data網站，查看了這四個國家的人口總數，結果是美國三億三千萬、英國六千八百萬、法國六千七百萬、德國八千四百萬。我進一步把死亡數除以人口數，來計算每百萬人口的COVID-19確診死亡率，結果發現美國2800、英國2351、法國2020、德國1442，相差都在兩倍之內。只看到死亡數而沒看到人口數，正是一般人常犯的因果謬誤。</p> <p>見樹不見林的思考方式，相當於只看到分子，而沒有看到分母，當然容易下錯結論。由於不同國家、地區或團體的人口數可能差異很大，如果只比較健康事件，像是病例數或死亡數的多寡，而忽略了人口數，對於事件的判斷，就無法精準正確。</p> <p><span style="font-size:28px;"><strong>數人頭還是算比率？</strong></span></p> <p>在你我日常接受到的資訊中，類似「見樹不見林」的謬誤真的不少！我曾看到某名報頭版標題寫著「智慧型犯罪與年俱增」，內容提到過去十年來，在犯罪的人當中，研究所和大學畢業生所占的百分比，分別從4％和18％，增加到7％和27％，換句話說，研究所畢業的犯罪者占比增為1.8倍，大學畢業的犯罪者占比增為1.5倍。「很顯然智慧型犯罪正在逐年增加，加強大學院校學生的品德和公民教育刻不容緩。」</p> <p>這則新聞的論斷，明顯地掉入見樹不見林的謬誤中。其實在這十年間，全人口的大學與研究所畢業生所占的百分比也是逐年增加。如果計算不同教育程度族群的犯罪率，這十年來並沒有顯著的上升。因此，在觀察社會或健康事件發生狀況時，必須同時考量事件數和人口數，先計算事件發生率，才能進一步比較分析和下結論。</p> <p>1983年我在擔任臺大公衛系副教授時，接受衛生署委託進行「臺灣高血壓防治實驗計畫」。我們從六個鄉鎮區的戶政事務所，隨機抽樣選出具有代表性的研究個案。徵得他們同意後，就進行個人基本資料、生活飲食習慣、疾病治療史的問卷調查，並且以水銀血壓計測量休息後血壓三次，計算收縮壓和舒張壓的平均值，再按照世界衛生組織的標準判定是否患有高血壓。</p> <p>有一次，臺大內科曾文賓教授和我一起討論不同年齡層的高血壓盛行率時，我的研究生報告分析結果說：「在高血壓的病人當中，以50～59歲所占百分比最高，其次是40～49歲、60～69歲，再來是30～39歲和70～79歲，……」曾教授馬上說：「不，怎麼會是50～59和40～49歲最高呢？而且30～39歲和70～79歲一樣更奇怪！你該看各年齡的盛行率，而不是病例數所占的百分比！」研究生回答說：「高血壓盛行率確實是隨年齡越大而越高！」</p> <p>如果只看高血壓病例數的年齡分布，這位研究生認為大多數高血壓病人集中在50～59歲，但是他忽略了各年齡層的研究人數有很大差異。當年臺灣的人口結構是金字塔型，年齡越高人口越少，我們的抽樣研究樣本也是如此。所以應該把病例數除以參加研究人數，比較各年齡層的盛行率，才是正確的做法。換句話說，不只要數病例數，還要考量參加研究人數，來計算高血壓的盛行率。</p> <p>就像前面提到的四個國家的COVID-19死亡狀況，如果只從死亡數來看，就斷定「美國死亡數很多，好恐怖」，而沒有考慮到美國總人口數也很多，就會下錯結論，必須算出死亡率，才是適合比較的數據。</p> <p><span style="font-size:28px;"><strong>COVID-19的演進因果螺旋</strong></span></p> <p>因果螺旋模式最主要的功能，就是在遇到新的健康問題時，協助我們思考到底病原是什麼？宿主如何受到暴露？宿主感受性如何？引起個人發病的自然史有哪些重要階段？個人的三段五級預防對策為何？如何擴大影響到家庭、社會、國家、甚至全世界？如何遏止疾病的蔓延擴散？</p> <p>像COVID-19這樣的新興人畜共通傳染病，也可以利用因果螺旋模式來試想可能的防疫之道。</p> <p>整個全球大流行的演進，從一個病毒感染到首位人類宿主，侵入表現ACE2受體的細胞，致使病毒大量複製繁殖，持續感染其他的細胞，造成組織與器官系統的病理變化，產生嚴重臨床症狀、呼吸衰竭甚至死亡。在該病例發病期間，透過密切接觸或汙染環境，而將病毒傳給醫護人員、家人親友、同學同事。病毒就會擴散到家庭、學校、職場、社會、國家、全世界，使因果螺旋的範圍籠罩整個地球，「星星之火、足以燎原」就是最好的寫照，COVID-19因此帶來家庭生計艱困、社會恐慌、國家動盪、全球蕭條。</p> <p>一個人會不會得到感染、病毒在體內會不會繁殖很快、是否發病？決定於宿主的遺傳基因、免疫能力、健康行為、預防接種。</p> <p>一旦進入潛伏期，能否快速篩檢、早期發現、隔離治療、適切使用抗病毒藥物，就決定了個人是否會發生症狀徵候、重症和死亡。在個人感染到痊癒或死亡的第一階段，宿主與社會（醫護）環境扮演很重要的角色。要預防病毒由個人傳給醫護人員、親朋好友、同事同學而造成社區傳播，醫療體系的超前部署、院內感染管控的落實、篩檢量能的提升、疫調匡列的確實執行、居家隔離的嚴格監控、自主健康管理的強化、口罩等防疫物資的量產與分配、個人衛生習慣的實踐、避免減少群聚活動、實名制進入公共場所等與精準防疫有關社會環境因素，在第二階段的社區防疫就變得很重要。</p> <p>要讓疫情對家庭、社會、國家的衝擊降至最小，在第三階段還必須對低收入家庭、殘障人士、老弱婦孺、受創行業，進行救濟紓困。為了維持中小企業的發展，振興券的有效率而有效益地發放也很重要。在疫情期間的線上上班上課、電子商務、遠距醫療等宅經濟的發展，減少健康不平等、降低城鄉落差，可以穩定社會經濟的發展。在自由民主多元開放的國家，疫情的公開透明對於建立民眾對政府的信任相當重要；落實個人資料與隱私權的保護，才能鼓勵民眾配合防疫規定。換句話說，包括跨部會整合的社會環境因素，在社會安定和國家安全扮演最重要的角色。</p> <p>現今，人與人、國與國的連結比昔日更密切。在COVID-19大流行的網羅下，沒有一個人是安全的，除非每一個人都安全；也沒有一個國家是安全的，除非每個國家都安全。以疫苗接種為例，截至2022年5月底，世界上還有許多國家的疫苗覆蓋率相當低，特別是非洲國家，亟待他國大力支援。要應用接種疫苗來遏阻大流行，就是要達到「四海一家、世界大同」的理想，積極協助低收入國家早日普及接種，使所有國家都能阻斷病毒的擴散、複製與突變，避免新變異株的產生。<span style="color:#696969;"><strong>（本文摘錄整理自《因果螺旋》，圓神出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(6).jpg" style="width: 350px;" /></strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong> <span style="color: rgb(51, 153, 255);"><strong>因果螺旋：跨越時空的探索與思辨</strong></span></p> <p>陳建仁／著</p> <p>圓神出版</p> <p>定價：410元</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/200-%E5%9C%962_%E5%9B%A0%E6%9E%9C%E8%9E%BA%E6%97%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%93%E7%A5%9E%E5%87%BA%E7%89%88%E3%80%81%E9%84%9E%E6%99%BA%E9%88%9E%E6%94%9D(1).jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／圓神出版、鄞智鈞攝影</span></span></p> <p><strong>陳建仁</strong></p> <p>畢業於美國約翰霍普金斯大學公共衛生學院的流行病學家，曾任臺大助教、講師、副教授、教授、公共衛生研究所所長、流行病學研究所創所所長、公共衛生學院院長、中央研究院合聘研究員、特聘研究員、副院長。也曾任衛生署署長、國家科學委員會主任委員、第十四任副總統。</p> <p>研究領域包括流行病學、人類遺傳、預防醫學與公共衛生。發表八百餘篇學術論文，已被引用超過十萬次（Google Scholar統計）。</p> </div></div></div>
2022/7/15 10:52未署名https://www.ithome.com.tw/article/151949
架構師如何做決策
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發人員在網上搜尋當前問題的解決方案方面建立了出色的技能。例如，如果他們需要弄清楚如何在他們的環境中配置一個特定工具，專業地使用Google就會找到答案。</p> <p>但對架構師來說，情況並非如此。</p> <p>對於架構師來說，許多問題都帶來了獨特的挑戰，因為它們混淆了你組織的確切環境和情況──有人遇到了這種情況並將它發布在博客或貼在Stack Overflow上的機會有多少？</p> <p>架構師可能想知道，與框架、API等技術主題相比，為什麼關於架構的書籍這麼少。架構師很少會經歷常見的問題，但卻在新情況下為了做決定而不斷地掙扎。對於架構師來說，每一個問題都是一片雪花。在許多情況下，問題不僅僅是出現在特定的組織內，而對整個世界都是新的。對於這些問題，沒有任何的書籍或是會議討論它！</p> <p>架構師不應該一直為他們的問題尋找靈丹妙藥。因為幾乎每一個問題都會帶來新的挑戰，架構師的真正工作在於他們能夠客觀地決定和評估一個最終決定任何一方的權衡，以盡可能好地解決它。作者沒有談論「最佳解決方案」（在本書或現實世界中），因為「最佳」意味著架構師已經設法將設計中所有可能的競爭因素最大化。相反地，我們提出以下半開玩笑的建議：</p> <p>不要試圖在軟體架構中找到最好的設計；相反地，要爭取最不差的權衡組合。</p> <p>通常情況下，架構師可以建立的最好設計是最不差的權衡集合──沒有一個單一架構特徵能超過它單獨的那樣，但所有競爭架構特徵的平衡能促進專案成功。</p> <p>這就引出了一個問題，「架構師如何才能找到最不差的權衡組合（並有效地記錄它們）？」</p> <p><span style="font-size:28px;"><strong>為什麼是「困難部分」？</strong></span></p> <p>為什麼我們把這本書叫做《軟體架構：困難部分》？實際上，書名中的「hard」一字有雙重含義。首先，hard意味著困難，而架構師們不斷面臨著字面上（及象徵性地）以前沒有人所面臨過的困難問題，涉及許多具有長期影響的技術決策，這些決策必須發生在人際和政治環境之上。</p> <p>第二，hard意味著硬──就如同在分離的硬體和軟體中，硬的部分應該改變得比較少，因為它為軟的部分提供了基礎。同樣地，架構師也討論了架構和設計之間的區別，前者是結構性的，而後者更容易改變。</p> <p>軟體架構的定義本身已經為它的參與人員提供了許多時間的非生產性對話。一個最受歡迎半開玩笑的定義是「軟體架構是那些以後很難改變的東西。」</p> <p><span style="font-size:28px;"><strong>提供關於軟體架構的永恆建議</strong></span></p> <p>軟體開發的生態系統不斷地、混亂地轉變和成長。幾年前風靡一時的話題要麼被生態系統所包含並消失，要麼被不同/更好的東西所取代。例如，10年前，大型企業的主流架構樣式是協作驅動、服務導向的架構。現在，幾乎沒有人再採用這種架構的樣式了；目前許多分散式系統所青睞的樣式是微服務，這種轉變是如何以及為什麼發生的？</p> <p>當架構師注視一個特定的樣式（尤其是歷史性的），他們必須考慮導致這架構成為主流的約束因素。當時，許多公司合併成為企業，伴隨著這種過渡隨之而來的是整合問題。此外，對於大公司來說，開源並不是一個可行的選項（通常是出於政治而非技術原因）。因此，架構師強調共用資源以及集中協作作為一種解決方案。</p> <p>然而，在這幾年中，開源和Linux成為可行的替代方案，使作業系統在商業上免費。然而，真正的轉捩點發生在Linux隨著像是Puppet和Chef等工具的出現而在操作上變得免費，這些工具允許開發團隊以編程方式啟動他們的環境，作為自動建構的一部分。一旦有了這種能力，它就透過微服務和迅速出現的容器基礎架構，以及像是Kubernetes等協作工具而促進了一場架構革命。</p> <p>這說明了軟體開發的生態系統以完全無法預期的方式擴展和演進。一種新的能力導致了另一種能力，這又不預期地創造了新的能力。隨著時間的推移，這個生態系統一次一個地完全取代了自己。</p> <p><span style="font-size:28px;"><strong>資料在架構中的重要性</strong></span></p> <p>對於架構界許多人來說，資料就是一切。每個建立任何系統的企業都必須處理資料，因為它的壽命往往比系統或架構還長得多，需要勤奮的思考和設計。然而，資料架構師建立緊密耦合系統的許多本能在現代分散式架構中產生了衝突。例如，架構師和DBA必須確保商務資料在整體式系統被拆散後仍能存在，並且無論架構如何波動，商務仍可以從它的資料中獲得價值。</p> <p>有人說，資料是一個公司最重要的資產。企業希望從他們擁有的資料中提取價值，並在決策中找到新的方法部署資料。現在企業的每一部分都是由資料驅動的，從服務現有客戶到獲得新客戶、增加客戶保留率、改善產品、預測銷售和其他的趨勢。這種對資料的依賴意味著所有的軟體架構都在為資料服務，確保正確的資料可以被企業的各部門使用。</p> <p>幾十年前，當分散式系統剛開始流行時，作者就建立了許多分散式系統，但是現代微服務的決策似乎更為困難，我們想弄清楚為什麼。我們最終意識到，在分散式架構的早期，我們大多仍然是堅持資料在一個單一的關聯式資料庫中。然而，在微服務中，以及從「Domain-Driven Design」中對有界上下文的哲學堅持，作為限制實作細節耦合範圍的一種方式，資料已經和交易性一起移到了架構關注點上。現代架構的許多困難部分都來自於資料和架構關注點之間的緊張關係。</p> <p><span style="font-size:28px;"><strong>使用適應度函數</strong></span></p> <p>在2017年的《Building Evolutionary Architectures》（O’Reilly）一書中，作者（Neal Ford、Rebecca Parsons和Patrick Kua）定義了架構適應度函數的概念：對某些架構特徵或架構特徵的組合進行客觀完整性評估的機制。</p> <p>架構師實作適應度函數，以圍繞架構特徵的意外變化建立保護。在敏捷軟體開發領域，開發者實作單元、功能以及使用者驗收測試，以驗證領域設計的不同維度。然而，直到現在，還沒有類似的機制來驗證設計中的架構特徵部分。事實上，適應度函數和單元測試之間的分離為架構師提供了一個很好的範圍指引。適應度函數驗證架構特徵，而不是領域標準；單元測試則正好相反。因此，架構師可以透過詢問以下問題來決定是否需要適應度函數或單元測試：「執行這個測試是否需要任何的領域知識？」如果答案是「是」，那麼單元/功能/使用者驗收測試是合適的；如果答案是「否」，則需要一個適應度函數。</p> <p>例如，當架構師談論彈性時，指的是應用程式能夠承受使用者突然爆發的能力。請注意，架構師不需要知道有關領域的任何細節──這可以是電子商務網站、線上遊戲、或其他的東西。因此，彈性是一個架構上的問題，並且在適應度函數的範圍內。另一方面，如果架構師想要驗證一個郵寄位址的正確部分，則可以透過傳統測試來涵蓋。當然，這種分離並不是純粹的二分法──有些適應度函數會觸及到領域，反之亦然，但不同的目標提供了一個很好的方法來從精神上將它們分開。<span style="color:#696969;"><strong>（本文摘錄整理自《軟體架構：困難部分》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-1.jpg" style="width: 345px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>軟體架構：困難部分</strong></span><strong><span style="color:#0099ff;">──</span></strong><span style="color: rgb(51, 153, 255);"><strong>分散式架構的權衡分析</strong></span></p> <p>Neal Ford, Mark Richards, Pramod Sadalage, Zhamak Dehghani／著</p> <p>劉超群／譯</p> <p>碁峰資訊出版</p> <p>定價：780元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Neal Ford</strong></p> <p>Neal Ford是領先全球的技術諮詢公司Thoughtworks董事、軟體架構師和備忘錄整理者。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Mark Richards</strong></p> <p>Mark Richards是一位實踐型軟體架構師，在微服務、服務導向架構和分散式系統的設計和實作方面擁有豐富經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Pramod Sadalage</strong></p> <p>Pramod Sadalage是Thoughtworks資料和DevOps總監，在應用程式和演進資料庫開發、資料架構、NoSQL資料庫和資料庫重構模式等方面擁有豐富的經驗。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%EF%BC%95_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Thoughtworks.png" style="width: 150px;" /></p> <p><strong>Zhamak Dehghani</strong></p> <p>Zhamak Dehghani是Thoughtworks技術總監，專注於分散式架構和新興技術。她也是Data Mesh創始人。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Thoughtworks</span></p> </div></div></div>
2022/7/15 11:29未署名https://www.ithome.com.tw/article/151950
【資安日報】2022年7月14日，勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體BlackCat動作頻頻，近期又以將竊得的資料彙整，並提供搜尋功能而引起關注。而在本週的資安新聞裡，該組織於3天前聲稱攻擊了電玩遊戲開發商萬代南夢宮（Bandai Namco），而該公司也在昨天承認遭到網路攻擊，並清查資料外洩的情形。</p> <p>駭客發動網路釣魚攻擊的手法也變得越來越複雜，混用多種手法而能突破雙因素驗證，最終目的是將這些受害者的電子郵件帳號拿來發動BEC詐騙。這波攻擊行動主要鎖定Office 365用戶而來，10個月內已有上萬個組織遭到攻擊。</p> <p>在本月微軟的每月例行修補（Patch Tuesday）當中，該公司公告並緩解的漏洞裡，有超過三分之一與VM災難復原服務Azure Site Recovery有關。其中一項漏洞甚至有可能讓駭客清除備份資料，而導致組織無法進行災害復原。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bandai-namco-confirms-hack-after-alphv-ransomware-data-leak-threat/"><span style="color: rgb(0, 0, 0);">電玩遊戲開發商萬代南夢宮傳出遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/alphv-site-bandai.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）的攻擊行動近期可說是相當頻繁，最近電玩遊戲開發商也疑似遇害。資安研究團隊VX-Underground指出，BlackCat於7月11日聲稱攻陷了電玩遊戲開發商萬代南夢宮（Bandai Namco）。萬代南夢宮也於13日向電玩新聞網站EuroGamer、Video Games Chronicle證實，他們在7月3日遭到網路攻擊，多家亞太地區的子公司內部系統遭到入侵，目前該公司正在調查資料外洩的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/12/new-ransomware-groups-on-the-rise/"><span style="color: rgb(0, 0, 0);">勒索軟體Lilith進行雙重勒索，終止瀏覽器、收信軟體運作再進行加密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-15-–-Onion-Leak-Site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-15-%E2%80%93-Onion-Leak-Site.jpg" style="width: 300px; float: right;" /></a>近期新的勒索軟體不斷出現，繼日前被發現RedAlert、0mega，資安業者Cyble的研究人員看到另一個名為Lilith的勒索軟體，鎖定64位元的電腦而來。</p> <p>研究人員指出，Lilith很可能是使用Babuk外洩的程式碼打造而成，一旦攻擊者下達執行的命令，此勒索軟體將會先停用Office軟體、SQL資料庫，以及上網應用程式（如Firefox、Thunderbird、Outlook等），然後才透過Windows的API加密電腦大部分的檔案，但過程中會跳過系統檔案、可執行檔（EXE）、程式庫（DLL）等，加密完成後會留下勒索訊息，要脅受害者在3天內向他們聯繫，否則將會公開竊得的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-lilith-ransomware-emerges-with-extortion-site-lists-first-victim/">資安新聞網站Bleeping Computer指出</a>，已有位於南美的營建集團疑似受害並支付贖金，研判駭客可能偏好攻擊這種大型企業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/"><span style="color: rgb(0, 0, 0);">Office 365用戶遭到大規模網釣攻擊鎖定，駭客繞過雙因素驗證機制，但目的是將電子郵件信箱拿來發動BEC攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 300px; float: right;" /></a>針對Office 365用戶的大規模網路釣魚攻擊不時有事故傳出，但最近一起事故使用的手法較為不同，而導致駭客能繞過微軟提供的雙因素驗證（MFA）機制。微軟揭露自2021年9月開始的Adversary-in-The-Middle（AiTM）攻擊行動，駭客先是寄送釣魚郵件，然後將收信人引導到釣魚網站，進而竊取網頁瀏覽器的Cookie與連線階段（Session）資料，來挾持受害者的Office 365帳號，駭客得手後將這些電子郵件帳號用來發動商業電子郵件（BEC）詐騙。</p> <p>由於駭客攔截了Cookie和連線階段資料，即使受害者啟用Office 365的雙因素驗證機制，仍無法遏止駭客濫用自己的電子郵件帳號，研究人員指出，至少有1萬個組織受害，且駭客在得手Cookie和連線階段資料後，最快在5分鐘內就發動BEC詐騙攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151921"><span style="color: rgb(0, 0, 0);">歐洲央行主席遭到釣魚簡訊攻擊，攻擊者佯稱是德國前總理對其下手</span></a></strong></h3> <p>有駭客大膽冒用前國家元首的名義，想要對藉此發動針對特定人士的網路釣魚攻擊，而引發高度關注。根據美聯社與路透社報導指出，有人假冒德國前總理梅克爾（Angela Merkel）的名義，寄釣魚郵件給歐洲中央銀行主席Christine Lagarde，要求使用即時通訊軟體WhatsApp討論機密事務，同時請Christine Lagarde提供驗證碼來建立WhatsApp帳號。Christine Lagarde打電話給梅克爾確認而拆穿駭客的詭計。歐洲央行證實確有此事，並強調沒有資訊外洩的情況，但不願進一步說明細節；德國情報單位、聯邦資訊安全局也向該國國會議員提出警告。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bankinfosecurity.com/lithuanian-energy-firm-experiences-ddos-a-19555"><span style="color: rgb(0, 0, 0);">立陶宛能源業者Ignitis遭到俄羅斯駭客DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnetignitis.jpg" style="width: 300px; float: right;" /></a>在烏克蘭戰爭中表態支持烏克蘭的立陶宛，不時傳出政府機關或是組織遭到DDoS攻擊，使得立陶宛國家網路安全中心（NKSC）於6月23日提出警告，要相關單位加以防範。根據新聞網站BankInto Security的報導，立陶宛國營能源業者Ignitis約於當地時間7月9日凌晨3時，因網站遭到DDoS攻擊而一度無法存取，到了中午才緩解攻擊行動並恢復網站的運作。</p> <p>該公司發言人表示，他們已經最近的數個星期裡，接連遭遇DDoS攻擊，但駭客沒有得逞，直到7月9日才因為攻擊強度大幅增加而影響網站運作。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/IngraoMaxime/status/1547164768401858560"><span style="color: rgb(0, 0, 0);">研究人員揭露安卓惡意軟體Autolycos，超過1年仍有部分有害的App尚未下架</span></a></strong></h3> <p>駭客將安卓惡意軟體上架Google Play市集，藉此引誘使用者上當的情況屢見不鮮，但如今手法變得更加隱密而可能不易曝光。資安業者Evina的研究人員發現名為Autolycos的惡意軟體，他們自2021年6月開始，發現Google Play市集裡出現8個內含此惡意軟體的App，Google獲報半年後才移除其中6款，仍有2款可從市集下載。</p> <p>研究人員指出，Autolycos與其他惡意軟體不同之處，在於攻擊者執行惡意行為的做法，駭客疑似使用遠端瀏覽器（Remote Browser）連線URL，並將結果透過HTTP請求傳送給手機，而非像其他惡意軟體濫用Webview元件。這樣的手法使得攻擊行為更加難以察覺。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-fixes-dozens-of-azure-site-recovery-privilege-escalation-bugs/"><span style="color: rgb(0, 0, 0);">微軟修補VM災害復原服務Azure Site Recovery逾30個漏洞</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告，當中揭露了84個漏洞的緩解措施，其中有超過三分之一與VM災難復原服務Azure Site Recovery有關，共有32個漏洞。這些漏洞有30個是權限提升漏洞，2個是RCE漏洞。</p> <p>其中，微軟特別針對DLL挾持漏洞CVE-2022-33675特別提出警告，一旦攻擊者利用漏洞，建立特定名稱的惡意DLL程式庫，就有可能導致此程式庫在Azure Site Recovery的應用程式啟動時一併載入，並以SYSTEM權限執行，CVSS風險評分為7.8分。通報此漏洞的資安業者Tenable指出，這樣的漏洞很有可能讓駭客在發動勒索軟體攻擊時，清除Azure Site Recovery備份的資料而讓組織無法還原。</p> <h3><strong style="font-size: 22px;"><a href="https://comsec.ethz.ch/research/microarch/retbleed/"><span style="color: rgb(0, 0, 0);">Intel與AMD處理器存在Retbleed漏洞</span></a></strong></h3> <p>處理器廠商針對推測執行（Speculative Execution）漏洞提供的防護措施，再次出現可被繞過的情況。蘇黎世大學（UZH）研究人員揭露新型態的Spectre分支目標注入（Spectre-BTI）攻擊手法，利用名為Retbleed的漏洞（CVE-2022-29900、CVE-2022-29901），可繞過<a href="https://www.ithome.com.tw/news/120498">2018年Google開發的Spectre v2緩解措施Retpoline</a>。有別於其他Spectre變種攻擊手法濫用間接跳躍、呼叫的方式，Retbleed是濫用退回（Return）指令，而能夠突破Retpoline防護機制，這些漏洞影響Intel的第6至8代Core系列處理器（Skylake、Kaby Lake、Coffee Lake），以及AMD的Zen 1、Zen 1+、Zen 2處理器產品線。</p> <p>這兩家業者分別針對Retbleed提供緩解措施，Intel建議採用名為Enhanced Indirect Branch Restricted Speculation（eIBRS）的機制、AMD則提供了Jmp2Ret來防範Retbleed，但根據研究人員的測試，這兩項機制有可能導致處理器效能下降14%至39%。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/"><span style="color: rgb(0, 0, 0);">惡意程式碼恐藉由macOS漏洞繞過應用程式沙箱防護機制</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-sandboxed-app-illustration.png" style="width: 300px; float: right;" /></a>駭客在Windows作業系統濫用含有巨集的Office文件已是常態，但類似的手法也可能因作業系統漏洞而有可能用來攻擊Mac電腦。微軟針對日前通報給蘋果的漏洞CVE-2022-26706公布細節，並指出此漏洞可讓駭客藉由含有惡意巨集的Word檔案，突破macOS的應用程式沙箱，在Mac電腦上執行任意命令。微軟在去年10月通報後，蘋果在今年5月發布的macOS Big Sur 11.6.6修補此漏洞，研究人員呼籲用戶應儘進安裝更新軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://support.lenovo.com/sk/en/product_security/len-91369"><span style="color: rgb(0, 0, 0);">聯想筆電UEFI韌體再傳漏洞，波及ThinkBook、Yoga系列等逾70款機種</span></a></strong></h3> <p>資安業者ESET發現聯想筆電的UEFI韌體，存在3個記憶體緩衝區溢位漏洞CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，一旦攻擊者加以利用，有機會在取得本機權限後，進一步在開機階段就提升權限，並能執行任意程式碼，進而關閉安全防護功能，該公司旗下ThinkBook、Yoga、Flex、Ideapad等多個產品線都有機種受到影響，總計有70餘款存在上述漏洞，聯想已推出修補程式供用戶更新。而這是該公司筆電產品的UEFI韌體2度發現漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://cpl.thalesgroup.com/about-us/newsroom/thales-acquires-ciam-leader-onewelcome"><span style="color: rgb(0, 0, 0);">資安業者Thales買下身分暨存取管理業者OneWelcome</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/12/the-state-of-ransomware-in-education-2022/"><span style="color: rgb(0, 0, 0);">逾7成教育機構無法防堵勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itnews.com.au/news/deakin-university-reveals-breach-of-47000-students-details-582563"><span style="color: rgb(0, 0, 0);">澳洲迪肯大學遭到網路攻擊，4.7萬名學生個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-alert-raspberry-robin-worm-abuses-windows-installer-and-qnap-devices"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin濫用Windows Installer與威聯通設備發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/12/8-million-dollars-stolen-in-a-uniswap-phishing-attack/"><span style="color: rgb(0, 0, 0);">駭客假冒大型去中心化交易所Uniswap的名義發動網釣攻擊，得手逾800萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/windows-81-now-shows-full-screen-end-of-support-warnings/"><span style="color: rgb(0, 0, 0);">微軟預告明年1月將對Windows 8.1終止支援，用戶開機就會看到全螢幕警示訊息</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> </div></div></div>
2022/7/14 15:59作者周峻佑https://www.ithome.com.tw/news/151943
微軟披露蘋果macOS程式沙箱逃逸漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於今年5月修補了macOS Monterey與macOS Big Sur的數十個安全漏洞，其中的CVE-2022-26706是由微軟於去年10月所通報，<a href="https://www.microsoft.com/security/blog/2022/07/13/uncovering-a-macos-app-sandbox-escape-vulnerability-a-deep-dive-into-cve-2022-26706/" target="_blank">而微軟選在本周披露了漏洞細節</a>，並公布簡短的概念性驗證攻擊程式。</p> <p>根據蘋果的說明，CVE-2022-26706漏洞存在於macOS中的LaunchServices，<a href="https://developer.apple.com/documentation/coreservices/launch_services" target="_blank">LaunchServices是個API</a>，允許正在執行的程式開啟其它程式或是這些程式的文件檔案，而該漏洞讓程式有機會繞過蘋果App Sandbox的沙箱限制。</p> <p><a href="https://developer.apple.com/documentation/xcode/configuring-the-macos-app-sandbox/" target="_blank">macOS的App Sandbox 是個存取控制技術</a>，由程式指定沙箱規則，再由作業系統負責強制實施，例如程式可讀寫的文件類型、程式可存取的資源或是程式所能建立的連結等，可在使用者所執行的程式遭到危害時，抑制對系統及使用者資料的危害。此一機制替程式與作業系統之間建立了一道安全屏障，也被許多程式視為重要的安全工具，包括Microsoft Office在內。</p> <p>微軟Microsoft 365 Defender首席安全研究人員Jonathan Bar Or指出，他們是在研究如何於macOS上的Microsoft Office執行或偵測惡意的巨集時，發現了該漏洞。為了向下相容，Microsoft Word可讀取或寫入以~$作為前綴的文件，卻發現只要利用LaunchServices在一個具備該前綴的特製Python檔案執行open –stdin 命令，就可逃離macOS對程式所部署的沙箱限制，進而危害使用者的系統與資料。</p> <p>Bar Or表示，此一漏洞允許駭客繞過App Sandbox規則，讓惡意的程式碼逃逸至沙箱之外，並於裝置上執行任意命令，受到駭客青睞的Word巨集即可能成為惡意程式碼的藏身之處。</p> <p>Microsoft 365 Defender團隊也針對CVE-2022-26706漏洞撰寫了概念性驗證程式，還把它精簡成可以透過Twitter發表的版本。</p> </div></div></div>
2022/7/14 16:24作者陳曉莉https://www.ithome.com.tw/news/151944