iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 25篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 13:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【醫院上雲先行者經驗：中附醫】醫院上雲第一步可從異地備援做起，未來擁抱雲原生讓效益更大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「開放電子病歷上雲非常正面，讓醫院可把基礎建設（Infrastructure）往外移！」中國醫藥大學附設醫院資訊室副主任孫培然說。</p> <p>中附醫是臺灣少數將單體醫療資訊系統（HIS）逐步改為微服務架構的先行者。孫培然是核心推手，他自2017年開始推動自家HIS優化再造，要分階段將HIS中500多套子系統拆解、轉換為一支支微服務，部署到更輕巧的容器環境中執行，建立一朵體系醫院的私雲，來集中管理醫療資料、服務和研究。對他們來說，開放電子病歷上雲是實現最終目標的一大助力。</p> <p>不過，要像中附醫般大動作改造HIS來善用雲端資院，並不容易。這次法規鬆綁電子病歷上雲，一般醫院現階段可以做什麼？</p> <p><span style="font-size:28px;"><strong>基礎應用情境：可善用雲端進行異地備份</strong></span></p> <p>孫培然舉例，利用雲端異地備份、異地備援，或是藉雲端平衡負載、調節醫院系統流量爆量，又或是將原本對外開放的服務搬遷上雲，都是醫院可立即實作的上雲應用。一如開宗明義那句，醫院可以雲端技術來分擔HIS維運工作。</p> <p>其中，「雲端異地備份」是孫培然建議醫院，現階段可以做的第一件事。醫院可先將電子病歷相關資料打包、儲存至雲端，作為異地備份，立即就能感受到成效。其他基礎應用情境，還包括將對外提供的服務搬上雲，像是醫院官網、網路掛號系統、衛教影片、電子教學，以及電子郵件伺服器等，來降低院內網路頻寬和系統工程師負擔。</p> <p><span style="font-size:28px;"><strong>進階應用情境：善用網路雙備援或混合雲因應高流量</strong></span></p> <p>另一方面，對具一定IT現代化基礎的醫院來說，開放電子病歷上雲後，可採取網路雙備援機制。比如，中附醫HIS微服務化，未來打算淘汰體系下各醫院機房，建立一朵體系私雲，來管理所有院區的智慧醫療應用，發展以病人為歸戶、全院區統一的電子病歷資料管理系統。孫培然計畫採用2家電信業者來串連體系醫院之間網路，來避免網路斷線，也就是網路雙備援作法，再搭配公私有雲作為混合雲備援機制，讓醫療服務永續營運。</p> <p>這種模式，還可延伸出混合雲調度模式。孫培然指出，大型醫院通常有日常營運經濟規模容額，比如預估每日門診病人5,000位，此時IT就會事先保留足夠運算力的資訊設備。一旦遇到爆量，比如當日多湧入2,000名病患，就可以調度公雲來支援。</p> <p><span style="font-size:28px;"><strong>要善用雲端，推薦先將HIS架構微服務化</strong></span></p> <p>不過，孫培然認為，醫院要真正享有完整的雲端好處，還是得將HIS微服務轉型才行。</p> <p>這是因為，雲端服務部署方式可分為雲端託管（Cloud host）服務和雲端原生（Cloud native）服務。目前不少醫院的HIS採取單體式架構，要用雲端服務來執行包含電子病歷系統的HIS，就得採取雲端託管方式，需租賃與地端HIS一樣大的虛擬機器（VM），「這得付出昂貴的運算成本，無法像使用微服務搭配容器般，按更準確的使用量來計價，」他說。</p> <p>要真正享有雲端好處，孫培然建議，醫院得先將HIS改為微服務架構，並搭配輕量級容器，就能以雲端原生方式使用雲服務。除了價格更便宜，也能享受更多雲端效益。</p> <p>另一方面，對無人力維運機房，或連伺服器尚未採購的小診所、地區醫院來說，他認為可直接使用雲端醫療服務，不只價格與傳統作法差不多（甚至更划算），且雲端業者多具有高強度資安機制，比自行管理地端系統更安全。</p> <p><span style="font-size:28px;"><strong>未來可期如Uber Eats般的遠距醫療新模式</strong></span></p> <p>開放電子病歷上雲，不只能降低醫院IT的工作負荷，長遠看來，也能加速智慧醫療發展。最令孫培然期待的下一步是，新版醫療機構電子病歷製作及管理辦法公告後，衛福部將隨之修改通訊診察治療辦法（簡稱通訊診療辦法），放寬遠距醫療的適用條件。</p> <p>「比如擴大適用身分、實施情境和有條件開放處方。」他認為，有電子病歷上雲基礎，下一步的通訊診療辦修法解套，更能將遠距醫療的資訊流、金流、物流建置到位，也就可能發展出，如外送平臺模式般的遠距醫療平臺。</p> <p>「透過單一平臺，在線上集中各醫院的醫師在線上，讓病人自行選擇、看診，就像是遠距醫療界的UberCare平臺。」他舉例，需定期看診拿藥的慢性病患者，就可上去平臺選擇醫師，並提供平時在家量測的血壓數據，醫師問診無誤後，就能開立電子處方箋，再由患者選定的方式送藥到府。這是孫培然期待的遠距診療新模式，也是不少醫院和政府機關的願景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90960%E5%9C%96%E3%80%911087-%E5%B0%81%E9%9D%A2P4P5-%E8%8B%A5%E6%A8%B8-%E4%B8%AD%E9%99%84%E9%86%AB.jpg" /></p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152058
【先行者經驗分享：國泰醫院】先建雲中臺推動HIS轉型，下一步打造FHIR平臺、發展生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰醫院是臺灣醫界中，少數系統化展開醫療資訊系統（HIS）雲端轉型的醫院。他們去年啟動這項計畫，要分階段將HIS拆解為數個雲中臺和一支支微服務，並打造一套FHIR電子病歷交換雲平臺。這不只呼應開放電子病歷上雲的新法規，也與衛福部這2年持續推動的國際醫療資料交換標準FHIR方向一致。這位先行者經驗，可給其他醫院更多策略面和實務上的參考。</p> <p><span style="font-size:28px;"><strong>十多年前先Web化轉型，疫情間遇痛點決定再轉一次</strong></span></p> <p>這不是國泰醫院第一次轉型。早在2003、2004年，國泰醫院就大膽將HIS砍掉重練，把大型主機主從式架構轉換為Web開放式架構，程式語言也從老舊的COBOL轉為當時剛爆紅的Java。</p> <p>這個開放式架構，讓團隊能快速開發、快速更新，他們也在當時剛開業的汐止分院和新竹分院，部署這套新HIS，並在2008年，統一總院和3家分院的系統，全數改用同一套Java架構，奠定「集中式管理、分散式處理」的作業原則，讓IT人力配置更精簡。開放式架構不只有功能模組化、開發更快速的好處，對醫護使用者來說，Web操作介面更舒適也更友善。</p> <p>但，國泰綜合醫院資訊部部主任曾景平話鋒一轉，指出，即便國泰醫院早在10多年前，就將HIS轉型為後來主流的Web架構，但2008年至今，自家系統也面臨不少數位轉型需求。</p> <p>比如，醫院近幾年投入智慧醫療領域，導入不少AIoT物聯網、疾病預測等應用，但資料量大，再加上有些資料不在HIS原本的處理範圍內，導致系統無法即時處理。此外，這2年受疫情影響，健保署政策頻繁更新，醫院HIS更得具備快速反應的能力。</p> <p>這些需求和痛點，促使國泰醫院思考，是時候該翻新HIS，「該定義下一代HIS架構了！」曾景平說。</p> <p><span style="font-size:28px;"><strong>雲端轉型鎖定3目標，先上線雲端掛號系統</strong></span></p> <p>於是，國泰醫院借鏡集團在金融業豐富的IT轉型經驗，在去年啟動HIS雲端轉型計畫，要用雲中臺和微服務這2種技術架構，來實現3個目標。</p> <p>首先是提供更好的使用者體驗，不論是對外的就醫民眾，還是對內的醫護人員與員工，國泰醫院希望打造一套平臺，來提供更流暢的操作體驗。再來是提供更可靠穩定的服務，「因為HIS涉及病人健康資訊、資料隱私，」曾景平認為，HIS穩定，服務營運才能持續、長久。</p> <p>第3個目標則是加速資訊流通。因為，隨著智慧醫療發展，HIS所傳遞的資訊越來越大量且複雜，但舊的IT架構，無法即時傳遞某些資料，這對需掌握病人病情變化的第一線醫護來說，會是個困擾。因此，國泰醫院要用雲端新架構，來即時傳遞資訊至醫護人員手中，「或至少身邊的裝置，」讓醫護不必移動到定點電腦才能查詢。「我們希望資訊流通到必要的地方，要實現Anytime，anywhere，any device for anyone！」他說。</p> <p>設定目標的同時，國泰醫院也盤點需求，先挑出可獨立運作和驗證的系統，作為雲端轉型先導專案。他們選的第一套系統，是民眾最常使用的門診預約掛號系統，因使用量大，最能作為代表，來驗證微服務和雲端化可行性。</p> <p>他們去年開始組隊學習雲端和微服務關鍵技術，並著手開發掛號系統，完成後於Google雲平臺執行。他們要讓國泰醫院4家院所都使用這套系統，並由規模最小的內湖國泰診所先上線，再擴大到總院。不過，曾景平坦言，因疫情緊張、團隊擔心系統出問題無暇顧及，至今只先於內湖國泰診所上線。隨著疫情降溫，他們預計今年下半年，要陸續在其他院區與總院上線，成為國泰醫院第一套雲端化系統。</p> <p>另一個雲端化的試點專案則是疫苗護照。去年，國泰醫院IT與集團合力開發一套疫苗護照平臺，整合疫苗施打紀錄、PCR檢測報告和區塊鏈技術，作為驗證單位。後來因國家政策考量，國泰醫院將該雲端專案轉型為疫苗通行證，於iOS和Andriod兩大App平臺上架，目前已有2萬人次下載量。</p> <p><span style="font-size:28px;"><strong>打造FHIR電子病歷雲平臺，以雲中臺緩衝HIS微服務切分工作</strong></span></p> <p>有了這些先導經驗，曾景平指出，團隊將下一階段目標鎖定在FHIR電子病歷雲平臺，一方面配合衛福部提倡的新世代FHIR電子病歷架構發展，一方面為日後的醫療生態圈練兵。</p> <p>該專案自去年底啟動，預計今年9月完成第一階段開發，包括實作出衛福部規定的7張FHIR電子病歷表單。曾景平點出，有別於一般微服務開發、直接將單體式架構拆解為一支支微服務的做法，國泰醫院採用雲中臺搭配微服務來開發，與一般微服務開發方式不同。</p> <p>「我們先將單體架構拆解為單位較小的雲中臺，作為緩衝，才不會過度拆解，造成日後維運困難。」他解釋，微服務雖有彈性、靈活的好處，但挑戰是微服務後續管理及維運。要是拆解過細，就得付出額外管理成本，要是拆解顆粒度過大，又會導致實務上運作問題。</p> <p>「雲中臺就像是小單體，再分出微服務，」他指出，用這種階段式的開發方式，從單體過渡到微服務架構，系統會比較穩定。這也呼應到他們想實現的第2個目標：可靠穩定的系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%BA%E7%89%A9%E7%85%A7(1).jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>國泰醫院資訊部部主任曾景平指出，國泰醫院HIS雲端轉型採用雲中臺搭配微服務架構，來避免將單體架構拆分顆粒過大和過小的問題，讓系統更穩定。</strong></span><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>打造平臺解決資料不同步問題，統一標準提高AI資料前置工作效率</strong></span></p> <p>現在，電子病歷上雲法規上路了，國泰醫院看到不少機會。</p> <p>比如，他們可打造一套病歷資料管理雲平臺，來解決資料不同步問題。因為，國泰醫院共有4家院所，每家院所的病歷資料處理方式為就源保存，也就是儲存於各院所內，每日晚上再定時更新。也就是說，病人病歷資料異動，醫院醫師最早也要隔日凌晨才能查到。為解決問題，國泰醫院IT也打造一個功能，來提供醫師，查詢不同院區資料的服務，但仍有所不便。</p> <p>因此，開放電子病歷上雲後，國泰醫院可望建置一套專屬平臺，來管理4家院區資料，方便醫師查詢之外，也能解決體系院區內資料不同步問題。</p> <p>甚至，在新辦法第19條允許公私立機構建置電子病歷交換平臺的基礎上，曾景平認為，這個概念可從體系內交換平臺，進一步擴大至醫院聯盟平臺，甚至由中央打造專屬交換平臺，來讓全臺醫院使用，提高資料交換效率，甚至解決現行官方維護的電子病歷交換中心（EEC）及健保雲端藥歷交換問題，如資料可能不同步，或是資料讀取需等待時間等。</p> <p>曾景平眼中的機會不只如此。他往前想一步，電子病歷交換平臺採用統一的標準，如國際醫界主流的FHIR，就可解決許多問題。像是，醫院開發AI專案時，須與設備廠商討論資料蒐集格式、客製化API，得花大量時間溝通，若統一標準，就不必花時間和人力成本與每家廠商詳談。</p> <p><span style="font-size:28px;"><strong>資安、IG、人才挑戰也不少</strong></span></p> <p>不過，挑戰總是伴隨機會出現。曾景平認為，開放上雲雖可加速智慧醫療發展，但資安也是一大考量。在新版辦法中，也有不少相關規範，比如要求醫院需加密傳輸，並使用國際規範的標準。但他分享經驗，團隊在設計雲端系統時，特別是FHIR電子病歷平臺，就採用Security by Design方法，在系統開發之初先思考資安問題，並參考美國醫療資料交換安全法規HIPAA，將資安元素融入開發架構中，而非靠事後的弱點掃描等手段，來檢視資安強度、再補強。</p> <p>另一個挑戰，則是FHIR實作指引（IG）問題。他表示，FHIR雖有望解決交換問題，但也還需制定IG，也就是互通規格書，才能有效交換所需資料。通常，交換資料的兩方可制定IG，但他建議，衛福部應出面制定公版IG，來讓全臺醫療機構和醫資廠商遵循。若無公版，各體系醫院或廠商容易發展出專屬IG，當這些利害關係人需要跨機構交換資料時，又得另外製作IG，就會提高互通複雜度。</p> <p>除此之外，FHIR人才也是個議題。國泰醫院在打造FHIR電子病歷平臺時，協同總分院人力，花了不少時間研究FHIR組成元件，包括IG的實作與測試。而臺灣許多醫院，平時光是處理日常IT工作就已相當忙碌，要撥出人力與資源學習FHIR，更是一大挑戰。對於大多委外處理的中小型醫院來說，要進行FHIR轉型，也會面臨人才問題。</p> <p><span style="font-size:28px;"><strong>要分享經驗邀請醫療機構參與POC測試，營造醫療生態圈</strong></span></p> <p>因此，國泰醫院打算在FHIR第一階段完成後，開放醫療機構同業參與POC測試，以降低大家進入的門檻，一起來推動臺灣FHIR電子病歷，也幫助加速未來電子病歷交換的時程。「我相信，我們開發FHIR時遇到的挑戰，其他醫院也會遇到，」曾景平認為，透過資源分享和其他醫院加入使用，可營造出醫療健康生態圈，甚至，未來還可延伸出醫界與保險業的資料交換應用，打造永續的多贏生態。</p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152060
【擴大遠距醫療，推動健康照護模式大轉型】電子病歷上雲是基礎，衛福部下一步是通訊診療辦法修法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新冠肺炎疫情爆發，把遠距醫療推上史無前例的應用高峰，許多國家更視為疫後新常態。衛福部常務次長石崇良也這麼認為，這2年來，他不斷透露，開放電子病歷上雲，是擴大遠距醫療法規面的第一步調整。</p> <p>這是因為，「新常態之下的健康照護模式，將面臨轉型。」他舉例，如從以醫療機構為中心轉為以病人為中心，照護模式也從過去的分段照護，轉變為整合型照護。這就需要電子病歷、雲端數據、IoT遠端照護和AI等IT架構，來輔助過渡。為因應這個轉變，衛福部決定先從法規下手。</p> <p><span style="font-size:28px;"><strong>為發展遠距醫療，先從電子病歷辦法下手</strong></span></p> <p>他們先鎖定醫療機構電子病歷製作及管理辦法。這是因為，該法是遠距醫療相關法規中，修改難易度較低的法。舉例來說，在遠距醫療情境中，當醫院以遠距醫療平臺，直接面對病人進行B2C遠距醫療服務時，會牽涉醫師法、通訊診察治療辦法（簡稱通訊診療辦法），以及電子病歷製作及管理辦法，而醫院與診所進行B2B2C的遠距會診服務時，不只涉及醫療法和電子病歷製作及管理辦法，還會在藥局交付藥物給民眾這一段，牽涉藥事法。</p> <p>因此，衛福部在醫療法、醫師法、藥事法、通訊診療辦法和電子病歷辦法等法規中，先從容易下手的後者開始，並在這次上路的新版電子病歷辦法中，賦予了醫療機構上雲、委外、無紙化的法源依據，允許醫療機構、公私立機構建置電子病歷交換平臺，來促進跨機構資料交換。甚至，石崇良點出，衛福部也可建置交換平臺，來供醫療機構進行遠距醫療交換使用，讓醫師查閱病歷資料，但不涉及資料儲存。</p> <p>無紙化部分，則允許醫療機構，將過去保存的紙本文件，轉錄為電子檔案，確認與原文件相符後以電子簽章封存，就可不必保留書面文件。而且，醫療機構也能將過去許多需要書面簽署的文件，以電子簽章簽核、以電子檔案方式保存。這也為未來的數位醫療，埋下伏筆。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%9F%B3%E5%B4%87%E8%89%AF.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>衛福部常務次長石崇良在去年臺灣醫院資訊主管會議中揭露，開放電子病歷上雲是擴大遠距醫療的法規面調適第一步。接下來，衛福部將針對規範遠距醫療的通訊診療辦法來修改。</strong></span></p> <p><span style="font-size:28px;"><strong>下一步：修正通訊診察治療辦法</strong></span></p> <p>電子病歷上雲法規鬆綁，是推動遠距醫療的法規面第一步，那麼第二步，就是修改通訊診察治療辦法。石崇良點出，目前，衛福部正聚焦調整通訊診療辦法的4大方向，包括適用情境、實施項目、開放處方和簡化行政程序。</p> <p>首先，衛福部計畫納入10種通訊診療情境，像是急性後期照護、慢性病長期用藥、長期照護、居家醫療、矯正機關收容照護、國際醫療等。再來，通訊診療的實施項目也要再擴大，納入詢問病情、診察、診斷、開立檢查檢驗單、會診、開立處方，以及原處方調整和衛教等醫療行為。</p> <p>接著，通訊診療還得有條件開放處方，比如擴大適用身分，將病情穩定的複診病人、通訊診療辦法第3條第7款至第9款初診及複診病人，以及山地、離島、偏遠地區和急迫情形的初診及複診病人都考量進去。最後，就簡化行政程序而言，衛福部要讓實施通訊診療的醫院，繳交核定文件給中央主管機關即可，代替原本需要撰寫的實施計畫。</p> <p>他預告，今年底前，衛福部將完成通訊診療辦法的修改。為了讓遠距醫療成為臺灣後疫情時代的新常規，未來，政府還要進一步針對財務規畫和定位來規範。</p> <p><span style="font-size:28px;"><strong>遠距醫療進化推手：疫情催生的輕重症分流模式</strong></span></p> <p>臺灣遠距醫療法規能進一步鬆綁，也是因為在疫情間，累積不少進化經驗。</p> <p>像是今年4、5月，疫情再次緊張起來，衛福部為了讓確診居家照護者，接受合適的醫療照護，因此推動搭配遠距醫療的輕重症分流配套措施。比如，自4月18日起，衛福部祭出COVID-19視訊診療照護對象就醫取藥作法。</p> <p>這個流程可分為掛號和看診取藥2部分。在掛號階段，有醫療需求的確診者，可尋求提供視訊診療服務的醫療機構資訊，撥打專線預約。或是到該醫療機構網站，進行網路預約。之後，民眾得下載該醫療院所指定的App，等待院所提供更多看診訊息。</p> <p>在看診領藥部分，進行視訊診療時，民眾得秀出健保卡，與醫師確認身份後再開始問診。問診完會有兩種情況，也就是依病情分流，一是醫師判斷可以遠距診療方式處置，根據患者病情開給藥物，並製作電子病歷。之後，患者可請家屬或代理人，至遠距看診醫療院所繳費、過健保卡並取藥，或是在取藥部分，由藥師送藥至病人住所。要實現送藥到府，患者可透過藥師公會全聯會服務專線，或是藥師調劑諮詢送藥到府網頁來選擇。若醫師開立慢性病連續處方箋，在這步驟就得交付處方箋。</p> <p>另一種情況是，醫師與病人視訊問診後，依病情判斷需面診，並另外安排至醫院就診。</p> <p>在這段期間內，衛福部也將與急診醫學會開發的遠距醫療平臺：健康益友App，用來提供確診民眾24小時急診專科醫師的緊急醫療諮詢服務，一樣採輕重症分流，也就是病情穩定者，醫師建議在家休養，病情嚴重者，則安排119救護車出動，將病人送至附近有ICU病房的急救責任醫院。</p> <p>除政府提供平臺，一般醫院也有不少自建的視訊診療門診平臺，提供專屬App來讓患者下載使用，如前述情境。</p> <p>石崇良透露，光是疫情短短1年多（自2021年5月15日至2022年6月22日）的時間裡，全臺遠距醫療量「高達312萬件，超過185萬人使用！」他點出，不只視訊診療占了76%大宗，也有不少是電話問診，占了24%。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/600-%E5%9C%965-%E7%96%AB%E6%83%85%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1284,height=696'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%965-%E7%96%AB%E6%83%85%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 疫情遠距醫療 </span></strong></span><br /> <span style="color:#696969;"><strong>衛福部常務次長石崇良指出，在這次疫情間，臺灣也發展出專屬遠距醫療模式，比如，由政府推動建立遠距醫療平臺健康益友App，來供民眾諮詢，再依病情程度來分流治療。</strong></span></p> <p><span style="font-size:28px;"><strong>疫情下凸顯遠距醫療痛點：流程接續性差</strong></span></p> <p>他也表示，疫情間，不少臺灣醫院都發展出專屬遠距醫療模式。比如，林口長庚開放民眾使用長庚e指通App和官網來預約，臺北慈濟醫院則提供官網和電話預約，北醫則限電話預約，振興醫院則依病人身分來區分，如初診病患需使用電話預約，複診病患才能用醫院App。</p> <p>在看診媒介部分，醫院也有不同方法，像是林口長庚使用思科Webex、臺北慈濟使用Line、北醫則是微軟Teams；在處方箋部分，各家醫院也各有作法，如林口長庚提供郵寄服務、北醫和高醫則無。至於繳費也是如此，有些醫院開放病人使用醫指付App，有些則是醫院App，還有些是醫院窗口或自助繳費機等選擇。而領藥方式也不盡相同，比如，林口長庚允許民眾至醫院過卡領取，也能至社區藥局領藥，高醫則限於醫院過卡領藥。</p> <p>石崇良認為，這些多元作法，點出了臺灣遠距醫療可再精進之處，特別是領藥部分，還得要至醫院刷健保卡才行。他期望，接下來要發展出涵蓋更完整的遠距醫療流程，從預約看診、線上診療到繳費領藥等各環節的整合，更具有接續性，減少虛實切換或不同通路間的斷點。這些是他在疫情間看見的遠距醫療痛點，也是他積極展開通訊診療辦法修法，想突破的關卡。</p> <p class="rtecenter"><strong><span style="color:#3399ff;"><span style="font-size:36px;">標竿國家如何實現遠距醫療</span></span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/600-3-%E6%A8%99%E7%AB%BF%E5%9C%8B%E5%AE%B6%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=yes,fullscreen=no,scrollbars=yes,dependent=no,width=1164,height=648'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-3-%E6%A8%99%E7%AB%BF%E5%9C%8B%E5%AE%B6%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%9F%B3%E5%B4%87%E8%89%AF.png" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 標竿國家遠距醫療 </span></strong></span><br /> <span style="color:#696969;"><strong>在疫情影響下，不少國家發展出專屬遠距醫療模式，比如，美國在疫情間就放寬規定，准許醫院使用一般通訊軟體，來與民眾進行遠距診療。</strong><span style="font-size:14px;">圖片來源／石崇良</span></span></p> <p><strong>經過COVID-19疫情洗禮，不少國家也都面臨遠距醫療轉型的挑戰。衛福部常務次長石崇良特別以3個先進國家為例，來說明法規如何鬆綁、輔助遠距醫療施行。</strong></p> <p><strong>首先，遠距醫療包括三階段，也就是遠距醫療行為、線上開立處方箋，以及調劑與送藥部分。在遠距醫療行為部分，也包含醫院施行遠距醫療的科別、使用的媒介等規範，開立處方箋則有對系統的要求，送藥則有責任歸屬規範。</strong></p> <p><strong>以美國來說，其准許的遠距醫療行為有諮詢、看診、開處方箋和用藥諮詢，並適用所有科別。在疫情間，他們也特別放寬法規，允許醫院使用一般通訊軟體作為遠距醫療媒介，而在疫情之外，醫院就得使用符合醫療資料交換安全法規HIPAA的軟體才行。</strong></p> <p><strong>在開立處方箋部分，美國政府則要求，處方箋開立系統得符合HIPAA，至於適用科別則無限制。在遠距醫療的最後步驟：調劑和送藥部分，美國政府特別要求，送藥由藥局或第三方物流配送，並由藥局負責。</strong></p> <p><strong>另一方面，英國允許的遠距醫療行為與美國相同，但科別僅限於家醫科、心理治療和牙科，醫院可用一般通訊軟體或電話，來進行遠距診療。特別的是，在線上開立處方箋部分，則有一套國家電子病歷數據架構系統，來提供醫師開立處方箋，當然，醫師也可使用其他系統。在用藥指引部分，英國則要求藥師隨藥附上聯絡資訊，以供病人諮詢。</strong></p> <p><strong>而德國也與美國類似，遠距醫療不限科別，但對使用媒介有嚴格要求，通訊軟體得通過政府三重認證才行。此外，在用藥指引部分，則要求告知用藥風險，並提供用藥諮詢服務給患者。</strong></p> <p class="rtecenter"><strong style="color: rgb(51, 153, 255);"><span style="font-size: 36px;">臺灣遠距診療法規的演變</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P7P8-%E8%8B%A5%E6%A8%B8-%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82-600-5.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span><br /> <span style="color:#696969;"><strong>衛福部常務次長石崇良表示，在新冠疫情間，臺灣遠距醫療照護大幅突破，不只擴大通訊診療適用對象至居家隔離/檢疫民眾，後來還納入慢性病患者，同時也提升視訊診療所需之基礎設施布建，如升級為5G網路。</strong><span style="font-size:14px;">圖片來源／石崇良</span></span></p> <p><strong>早在1986年，政府修訂醫師法第11條，規範醫生必須親自看診，否則不得進行治療、開藥或交付診斷書。但對於山區、離島、偏僻地區，或有特殊、急迫情形患者，醫生得以通訊方式診療，奠下了通訊診療基礎。</strong></p> <p><strong>後來，政府在2006年擴大通訊診察治療適用範圍，新增偏僻地區，2018年更推動通訊診察治療辦法（簡稱通訊診療辦法），一口氣放寬5種特殊情形，如居家醫療、急性住院後3個月內患者、長照機構住民等對象，都可實行通訊診療。</strong></p> <p><strong>2018年後，衛福部更展開一系列遠距醫療照護計畫，比如當年12月，啟動了智慧醫療區域聯防試辦計畫，由臺大雲林分院和數家基層醫療、長照機構展開遠距醫療服務。</strong></p> <p><strong>2020年疫情爆發，衛福部也以兩次函示放寬通訊診療適用對象，納入居家檢疫民眾與居家隔離民眾。</strong></p> <p><strong>同年5月，衛福部還啟動偏鄉五官科遠距醫療專科門診試辦計畫，7月更上線緊急醫療創新平臺，以臺灣專科醫師來服務遠端海外華僑。2020年12月，在這些遠距醫療計畫的成功經驗上，健保署正式發布「健保遠距醫療給付計畫」，揭開2021年遠距醫療健保給付元年的序幕。</strong></p> <p><strong>2021年更有另一波進展。5月，疫情加劇擴散、全國進入三級警戒，衛福部祭出新方法，將門診病人（如慢性病患者）納入視訊診療適用對象，直到疫情結束、指揮中心解散為止。同年，政府也加碼投資遠距醫療硬體設施，不只啟動前瞻2.0計畫改善偏鄉5G發展、提高遠距醫療傳輸品質，衛福部還進一步佈建原鄉離島的遠距醫療專科門診基礎設施。</strong></p> <p><strong>今年，遠距診療適用對象更進一步擴大，納入快篩陽性民眾，作為加速確認與治療的手段。與此同時，支援遠距醫療身份驗證的虛擬健保卡機制也不斷擴張，至今年7月1日，全臺已有600多家醫療院所提供虛擬健保卡，擁有虛擬健保卡的民眾更高達27萬多人。健保署視為發展重點，預計年底前達到全面使用的程度。</strong></p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152061
零售IT雙周報第4期：Amazon推出新型無人收銀智慧購物車，能在移動中瞬間過磅，還能推薦鄰近商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0710~0723)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人收銀</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧購物車</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#店內智慧導引</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#移動中過磅</span></strong></span></p> <p><strong>Amazon推出新型無人收銀購物車，能即時顯示鄰近商品，也能移動中瞬間完成過磅</strong></p> <p>Amazon<a href="https://www.aboutamazon.com/news/retail/amazon-dash-cart-new-features-whole-foods">推出新型無人收銀智慧購物車Dash Cart</a>，不僅減輕重量、增加兩倍容量並強化堅韌性，也升級了商店內定位功能，以即時顯示消費者鄰近商品和優惠項目。為了讓Dash Cart可以在移動中過磅商品，而不用每次加入商品就要求消費者停下，Amazon也開發出演算法，可以抵消車體移動造成的秤重誤差，瞬間完成過磅。</p> <p>新型Dash Cart，將在旗下生鮮超市Whole Foods的部分門市，以及自家無人超市Amazon Fresh中啟用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#新世代POS機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自助結帳</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#會員經營</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span></p> <p><strong>揭密統一新POS機，可以切換成自助結帳模式，更是未來10年OMO零售服務基礎建設</strong></p> <p>統一超商花費4年、斥資11億打造的新型POS機，將在今年底前於全臺門市部署完畢。統一超商POS機產品生命週期為8至10年，意味著統一設計時，就已經為了未來將推出的新服務及功能，預留軟硬體擴充彈性。</p> <p>其中一項功能，就是自助結帳模式。此POS機可以自由在店員結帳及自助結帳兩種模式間切換，不僅可以彈性釋出人力，也能節省放置自助結帳專門機臺的店面空間。新型POS機有不少硬體用來支援自助結帳，能涵蓋自助結帳各項流程，包括新型掃描機、新型讀卡機、出發票機等。</p> <p>此外，新POS機也強化了智慧推薦功能，可以就掃描商品適用的不同促銷活動，推薦出優惠組合、支付方法等方案。未來若結合會員資料，甚至有機會發展（<a href="https://www.ithome.com.tw/news/152021">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#外送機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動導航機器人</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電腦視覺</span></strong></span></p> <p><strong>英國超市巨頭Co-op擴大使用外送機器人送貨，搭載誤差在1英吋內的電腦視覺技術以達成自動導航</strong></p> <p><a href="http://https://www.starship.xyz/press_releases/service-expands-to-north-northamptonshire/">英國超市巨頭Co-op將擴大自主外送機器人服務範圍</a>，預計能送達北安普敦郡33,000戶家庭。此服務運作模式是，消費者從Starship App下單，再由鄰近的Co-op商店出貨，在1小時內送達。消費者可以在App上即時追蹤機器人送貨進度，並在機器人抵達時用App發送解鎖機器人載貨空間的指令，取得外送商品。</p> <p>這個服務的技術廠商Starship表示，此外送機器人搭載精準到一英吋誤差內的電腦視覺及感應器，以及AI、ML技術，來達到自動導航及自動障礙迴避。此機器人也相當節能，一趟外送的耗能，等同於燒開一杯水的所需能量。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電商網站SRE</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#微服務架構</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#千人IT團隊管理</span></strong></span></p> <p><strong>歐洲電商巨頭Zalando揭露6年來導入SRE技術歷程，未來要從企業等級高度嵌入SRE到產品管理流程 </strong></p> <p>一年營收超過3千億臺幣的歐洲快時尚電商巨頭Zalando，揭露自家從2016年起導入SRE的歷程。Zalando當初導入SRE，主要是為了解決待命支援不足的問題，截至2022年分為三個階段。</p> <p>第一階段，Zalando從2016年開始導入SRE，將超過1,000 人的工程師團隊，按照產品叢集來分為SRE團隊，一個團隊負責一個叢集，一個SRE團隊負責同一個產品網域下的所有維運責任。</p> <p>然而，後來Zalando發現，蒐集了大量網站SLI（服務水準指標）維運資料後，工程團隊仍沒有解決原本待命支援不足的問題，也沒有善用這些維運數據來改善開發，甚至隨著微服務數量增加，積累過多微服務工程層級的SLI數據，卻難以綜合判讀。</p> <p>於是，Zalando SRE進入第二階段，調整監控項目為搜集可能造成當機事件的事前訊號，來提前發布預警。同時，他們也改變了SRE團隊的組織編制方式，取消了原本在各產品下所設置的SRE團隊，改由各產品團隊中的交付小組接手SRE工作，負責維運他們自己產品中關鍵服務。</p> <p>到了2020年，由於SRE實踐成效佳，SRE團隊的組織位階從任務編組提升成一個獨立部門，跟其他產品或研發部門並行。SRE部門要負責規畫更長期的企業SRE戰略，將SRE做法更普及到各項產品和服務，也設計了一套SRE課程，列入工程師的新人訓練內容。</p> <p>下一階段，Zalando計畫將產品管理對標到SRE戰略，要建立一系列KPI，讓產品管理可以和SRE對標，從高階主管和產品管理的角度，來促成SRE與各業務部門的合作。（<a href="https://www.ithome.com.tw/article/151851">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#開店平臺</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影片商品目錄</span></strong></span></p> <p><strong>Pinterest新增多項電商功能，開放所有開店平臺串接商品目錄，還能用影片呈現商品</strong></p> <p>Pinterest<a href="https://newsroom.pinterest.com/en/post/pinterest-doubles-down-on-shopping-introducing-api-for-shopping-and-product-tagging-for-pins-0">持續擴增電商功能</a>，過去，自動更新商品目錄的功能僅開放Shopify、Woocommerce等特定開店平臺使用，現在此功能將透過API開放給所有人使用。Pinterest商業帳號的資料頁面中，也直接加入商店欄位，集中展示商家的可購物釘圖，顯示Pinterest將自家平臺進一步商業化的意圖。</p> <p>之前的可購物釘圖（Shoppable Pins），一張圖片只能對應一個商品，現在商家也能在一張圖片裡面標註多個商品標籤，增加商品陳列的可能性，例如在一張情境圖片中一次標註多個相關商品。除了增加用靜態圖片呈現商品的方法，現在商家在商品目錄中，以影片形式呈現商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#物業管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位化管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#百貨業</span></strong></span></p> <p><strong>遠百利用物管App數位化物業管理，導入一年多盤點效率增加17%</strong></p> <p>遠東百貨近年積極推動數位管理，3年來建置和升級了多達240套系統，近日也在2021永續報告書中，揭露了物業管理App導入1年多來成果，讓全臺十多座百貨公司的資產盤點效率提升了17%，對外包人員的抽查作業時間更從100分鐘縮短到50分鐘。</p> <p>遠百為了物業管理作業，開發了巡檢App與物管App來管理機電設備巡檢、資產管理及人力管理等情境。巡檢App透過數位化巡檢流程，有效解決了檢查不準時、巡檢不到位、紀錄不正確且難以存取等問題。物管App則針對作業繁雜的資產管理、公務車管理、人力管理及清潔巡檢四大項目，降低人為疏失情形及增進作業效率。（<a href="https://www.ithome.com.tw/news/152037">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#私訊付款</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span></p> <p><strong>Instagram商家能在私訊功能中請款，省下消費者跳轉頁面的時間</strong></p> <p>Meta表示，有鑑於消費者每周透過自家App私訊商家的頻率高達10億人次，<a href="http://https://about.fb.com/news/2022/07/buy-products-on-instagram-in-chat/">將推出商家能在Instagram私訊中直接請款的功能</a>。商家能在私訊中設定請款描述及金額，消費者則能在App內，透過綁定的Meta自家支付工具完成付款。</p> <p>商家能在私訊談論商品後直接請款，等於省去消費者跳轉頁面的時間，也有助於減少猶豫時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#直播購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影片購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#電商功能</span></strong></span></p> <p><strong>Youtube與Shopify合作推出購物功能，可以在直播及影片陳列商品，更在頻道頁面中新增商店欄位</strong></p> <p><a href="https://blog.youtube/news-and-events/youtube-shopify-integration-merch-shopping/">Shopify商家將能連結自家商店到Youtube頻道中</a>。連結商店後，商家可以再將這些商品陳列於直播、隨選影片或頻道頁面中新增的商店欄位。Youtube上的商品狀態會跟Shopify電商即時同步，甚至能結合Shopify內建的行銷功能。美國的使用者，還能在Youtube中直接結帳，不須再跳轉到店家的Shopify網頁。 </p> <p>更多零售IT動態：</p> <ol> <li><a href="https://www.aboutamazon.com/news/transportation/amazons-drone-delivery-is-coming-to-texas">Amazon擴大送貨無人機試營運範圍，顯示在加州的實驗相當順利</a>。</li> </ol> <p>資料來源：iThome整理，2022年7月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/7/22 18:11作者郭又華https://www.ithome.com.tw/news/152083
【資安日報】2022年7月22日，勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Fra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動勒索軟體攻擊的方式，已出現軟體經營者和攻擊者分工的情況，其中最常被提及的就是軟體以服務的型式提供（Ransomware-as-a-Service，RaaS），讓攻擊者可透過購買或訂閱的方式取得，但現在有了新的做法，有開發者以免費的方式提供勒索軟體，直到收到贖金之後再和攻擊者拆帳獲利。這樣的情況，不只使得發動勒索軟體攻擊的門檻變得更低，攻擊者也無須付錢就能先行取得作案工具。</p> <p>惡意軟體Lightning Framework也引起研究人員注意，首先，它與近期出現的Linux惡意軟體（如：<a href="https://www.ithome.com.tw/news/150914#bpfdoor">BPFDoor</a>、<a href="https://www.ithome.com.tw/news/151388#Symbiote">Symbiote</a>等）都同樣難以偵測，但不同的是，此惡意軟體採用了模組化設計，而使得駭客可透過擴充元件增加攻擊能力，這樣的做法在Linux惡意軟體可說是相當罕見。</p> <p>思科針對旗下資料中心網路管理系統Nexus Dashboard著手修補，當中修補了3項弱點，其中一項為CVSS評分達9.8分的重大漏洞，由於沒有緩解措施，該公司呼籲用戶要儘速升級相關軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p>以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> </div></div></div>
2022/7/22 13:51作者周峻佑https://www.ithome.com.tw/news/152074
烏克蘭廣播集團TAVR Media遭駭客攻擊，以播放澤倫斯基狀況危急的不實消息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/tavrmedia/posts/pfbid0voE4Ft6pfrDKKQ5iyrkk11ydPtBYcZJsMAW3VW27HQQy3nn6cRyLUSLZysqsSNyHl" target="_blank">旗下擁有9個廣播電臺的烏克蘭廣播集團TAVR Media周四（7/21）貼出公告</a>，指出該集團的伺服器與網路遭到網路攻擊，澄清那些關於烏克蘭總統澤倫斯基（Vladimir Zelensky）身體欠安、狀況危急的消息與事實不符。</p> <p>根據《CyberScoop》的報導，有烏克蘭民眾自TAVR Media旗下的某個電臺聽到澤倫斯基的健康狀況非常糟糕，已將對烏克蘭的掌控權轉移給他人的消息。</p> <p>然而，TAVR Media很快就出面澄清它們是遭到網路攻擊，正努力解決問題並恢復服務，同時也強調任何有關澤倫斯基健康問題的資訊都與事實不符。</p> <p>澤倫斯基則是在TAVR Media發布訊息之後的幾個小時，<a href="https://www.instagram.com/p/CgRjvSHoty1/" target="_blank">就透過其Instagram帳號出聲</a>，表示俄羅斯正在散布更多的不實資訊，包括他正面臨嚴重的健康問題而進駐醫院。澤倫斯基也強調他正好好的待在辦公室內。</p> <p>先前駭客也曾挾持烏克蘭其它的廣播電臺，並播放俄羅斯搖滾樂團的反戰歌曲。</p> </div></div></div>
2022/7/22 16:02作者陳曉莉https://www.ithome.com.tw/news/152079
Blockchain準備裁撤25%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資深加密貨幣平臺Blockchain.com本周對外證實，將關閉位於阿根廷的所有辦公室，並準備裁撤150名員工，約占總員工數的25%。</p> <p>Blockchain.com於2011年創立於盧森堡，為一加密貨幣金融服務公司，除了建立加密貨幣交易平臺外，也打造加密貨幣錢包，並提供機構市場的借貸業務、資料、表格與分析服務。</p> <p><a href="https://www.coindesk.com/business/2022/07/21/blockchaincom-cuts-25-workforce-amid-crypto-bear-market/" target="_blank">根據《CoinDesk》的報導</a>，Blockchain.com裁員的主要原因除了嚴酷的市場狀況之外，也包括必須吸收財務上的損失。《CNBC》證實了Blockchain.com裁員的消息，並說該平臺曾出借2.7億美元予已於本月初聲請破產保護的三箭資本（Three Arrows Capital），而這筆資金應已付諸流水。</p> <p>Blockchain.com裁員的速度或許還比不上擴張，因為在加密貨幣市場交易暢旺的這一年半之間，該公司的員工人數快速從150名增加到600名。在此次裁撤的150人中，有44%位於阿根廷，26%位於美國，16%位於英國。</p> </div></div></div>
2022/7/22 16:22作者陳曉莉https://www.ithome.com.tw/news/152081
近5年研發，Google發布開源量子程式開發框架Cirq 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四年前，Google人工智慧量子團隊在第一屆量子軟體和量子機器學習國際研討會（QSML）上，發表了Cirq公開測試版，經過開源社群的共同努力與貢獻，<a href="https://opensource.googleblog.com/2022/07/Cirq-Turns-1.0.html">Google現在正式對外宣布Cirq達1.0</a>。</p> <p>Cirq是一個由Google發起的開源量子程式開發框架專案，其作為Python框架，可供開發者編寫、執行和分析量子電腦程式的結果，由於Cirq是專為近代的量子電腦設計，因此可以支援數百量子位元和數千量子閘。Google提到，Cirq 1.0版本的意義，在於Cirq已經可以支援這些近代量子電腦系統絕大多數的工作流程，並且擁有一個公認穩定的API。</p> <p>Cirq是Google硬體團隊用來編寫Google量子電腦程式的通用語言，而且基於Cirq之上，也已經發展出一個函式庫社群，能夠支援不同量子計算研究領域，這些函式庫包括探索量子機器學習的TensorFlow Quantum，用於化學模擬的OpenFermion，甚至是用於錯誤緩解技術的Mitiq。</p> <p>目前許多量子計算雲端服務也整合Cirq，將其視為標準，使用Cirq所開發的程式，已經可以在AQT、IonQ、Pascal、Rigetti和IQM等量子電腦供應商的硬體上運作，同時，Cirq也可以在Azure Quantum上執行，以及於最新的Google量子虛擬機器，對Google的量子計算硬體進行逼真雜訊模擬。</p> <p>另外，Cirq不只能用於研究領域，也能夠用於應用量子疊加和量子糾纏所開發的量子西洋棋。Cirq的貢獻者不只有Google成員，還包括來自產業界、學界的學者與開發者，在Cirq剛開始研發階段，量子電腦僅能操作很少數的量子位元和量子閘，在Cirq經過近5年的開發時間，量子電腦硬體現在已經擴展到數百量子位元。</p> <p>Google表示，量子計算的硬體規模和複雜性不斷增加，在未來硬體將可能達到數千量子位元，屆時為量子計算開發的軟體，需要支援更龐大的系統，而Cirq的發展將成為關鍵，提供更廣泛的框架、程式語言和函式庫，來實現未來的量子計算應用。</p> </div></div></div>
2022/7/22 15:17作者李建興https://www.ithome.com.tw/news/152077
Coinbase產品經理涉嫌內線交易被逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/three-charged-first-ever-cryptocurrency-insider-trading-tipping-scheme" target="_blank">美國紐約南區的檢察官辦公室本周控告</a>Coinbase的前產品經理Ishan Wahi 涉嫌內線交易，在得知Coinbase即將上架的加密資產之後，再與弟弟Nikhil Wahi及朋友Sameer Ramani分享，以協助親友獲利。Wahi兄弟倆在本周遭到逮捕。</p> <p>Coinbase為美國最大的加密貨幣交易中心，不定期會上架新的加密資產供使用者交易，但禁止員工分享這些即將上架的加密資產或執行內線交易。</p> <p>Ishan Wahi約是在2020年10月時，擔任Coinbase加密資產上架團隊的產品經理，因此能事先知道哪些資產即將上架的機密資訊，且自2021年8月到2022年5月間，Ishan Wahi加入了一個專門討論資產上架資訊的內部群組，包括即將上架的資產名單與時間等。</p> <p>調查發現，從2021年6月到2022年4月間，Ishan Wahi開始將此一機密資訊分享給Nikhil Wahi與Sameer Ramani，在這期間Coinbase大約公布了14次的新資產上架消息，涉及25款加密資產，而Nikhil Wahi與Sameer Ramani即在得到內部消息之後事先部署，至少獲利150萬美元。</p> <p>Ishan Wahi在這期間並未執行交易，只是將機密資訊告知親友，<a href="https://twitter.com/cobie/status/1513874972552355846" target="_blank">事跡的敗露源自於有一名在加密貨幣社群頗有名氣的Cobie在4月12日發現</a>，Coinbase在4月11日公布了6款即將上架的加密資產，但某個以太坊錢包就在該消息曝光的前24小時內，以數十萬美元購買了一模一樣的6款加密資產。這則推文引起了Coinbase的注意，還回覆說已經展開調查，最終發現此一錢包隸屬於Ramani。</p> <p>接著Ishan Wahi在5月11日收到Coinbase的安全經營總監的郵件，跟他約好在5月16日單獨碰面討論Coinbase的資產上架流程，但Ishan Wahi卻買好了5月16日一早飛往印度的單程機票，只是在登機前被執法人員攔下。</p> <p>33歲的Ishan Wahi、26歲的Nikhil Wahi與33歲的Sameer Ramani主要被檢察官指控電信詐欺，然而，<a href="https://www.sec.gov/news/press-release/2022-127" target="_blank">美國證券交易委員會（SEC）也在同一天控告這3名被告違反美國證券法令</a>，因為在他們所交易的25款加密資產中，至少有9款屬於證券。</p> <p>SEC的作法惹來了Coinbase的不滿，很快就發文反擊，<a href="https://blog.coinbase.com/coinbase-does-not-list-securities-end-of-story-e58dc873be79" target="_blank">宣稱該平臺上並未陳列任何的證券</a>。</p> <p>Coinbase指出，該平臺所上架的加密資產都必須經過一個嚴格的分析及審核流程，且此一流程也已通過SEC的審核，然而，SEC並未針對這些被它們視為證券的加密資產與Coinbase溝通，而是直接提出訴訟。</p> <p>Coinbase批評SEC的作法是打算透過一次性的法律行動，試圖將所有的數位資產納入管轄範圍，而非先制定一個清楚且可行的立法框架來規範所謂的數位資產證券。</p> <p>總之，當加密資產成為證券，勢必會受到更嚴格的監管，<a href="https://blog.coinbase.com/the-crypto-securities-market-is-waiting-to-be-unlocked-but-first-we-need-workable-rules-c0ba63eabab3" target="_blank">而Coinbase也已向SEC提出請願</a>，要求SEC著手制定數位資產證券的規則。</p> </div></div></div>
2022/7/22 15:49作者陳曉莉https://www.ithome.com.tw/news/152078
微軟Microsoft Store禁止使用WebKit等引擎的新瀏覽器App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152038" target="_blank">微軟本周撤回</a>禁止開發商在Microsoft Store上販售開源軟體的規定，不過另一些開發商就沒這好運了，因為Microsoft Store將禁止使用蘋果WebKit或自己EdgeHTML等引擎的新瀏覽器App上架。</p> <p><a href="https://docs.microsoft.com/en-us/windows/uwp/publish/store-policies#108-financial-transactions" target="_blank">微軟6月間公布</a>Microsoft Store新政策中，除了較具爭議性、關於開源碼軟體收費的10.8.7規定，另一則是10.2.1條。該規則規定，為了確保使用經驗的相容性及安全性，在Microsoft Store上架的瀏覽器，必須使用Chromium或Gecko兩種開源引擎。同時新上架的App使用的引擎版本，必須至少在最新開源專案版本早2個版本以內。例如最新Chromium為85版，則App至少必須使用Chromium 83版以上。</p> <p>其他引擎（如WebKit）或是微軟舊式引擎EdgeHTML，在新上架的App中不得使用。Gecko是Mozilla Firefox及Thunderbird郵件軟體使用的排版引擎，因而不受影響。WebKit則用於iOS、Amazon Kindle、三星Tizen上的預設瀏覽器，如Safari。雖然Edge HTML未來不得用於新App，但預料不會有太多人受到影響，因為根據微軟最新規定，但現有瀏覽器App若使用EdgeHTML引擎，微軟是准許的。</p> <p>相較於10.8.7關於開源軟體收費的規定，微軟最後在開發商壓力下撤回，關於10.2.1，微軟迄今並未動搖。</p> <p>Microsoft Store政策在其他瀏覽器的規定方面，瀏覽器內含的私有或專屬元件，必須獲得任何可行的授權，App開發商需做好相容性及網站一致性的測試，若有任何已知安全漏洞，App開發商也必須及早修補。</p> </div></div></div>
2022/7/22 14:20作者林妍溱https://www.ithome.com.tw/news/152075
Zoom擴大全程加密到雲端VoIP、分組會議室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom持續增加產品支援全程加密（end-to-end encryption，E2EE），<a href="https://blog.zoom.us/end-to-end-encryption-zoom-phone-breakout-rooms/" target="_blank">本周宣布其VoIP服務「雲端電話系統」（Zoom Phone）及分組會議室（Breakout Rooms）將支援全程加密</a>。</p> <p>這是Zoom最新支援全程加密的服務。<a href="https://www.ithome.com.tw/news/136701" target="_blank">Zoom 2020年初爆發全程加密宣稱不實</a>，隨後發表產品安全宣言並買下Keybase，<a href="https://www.ithome.com.tw/news/140798" target="_blank">同年10月全程加密陸續推向其免費版服務</a>，包括桌機及手機版。</p> <p>Zoom Phone服務為VoIP電話服務，可提供無線國內通話、簡訊訊息、語音郵件轉錄文字、及來電錄音等。在最新宣布下，Zoom Phone支援全程加密，但是還有一些限制，包括僅支援1對1通話，且雙方必須在同一個企業Zoom帳號下且雙方都須使用Zoom Phone桌機或手機App（即不支援PSTN通話），且還必須關掉自動錄音。另外，帳號管理員必須先透過Web Portal管理介面啟用E2EE。</p> <p>另外，Zoom會議（Zoom Meetings）的E2EE也將在短期內擴大到分組會議室。Zoom表示使用方式和Zoom Meetings一樣，除了每間分組會議室有自己一把會議加密金鑰，可以為特別在意隱私的會議提供多一層安全性。</p> </div></div></div>
2022/7/22 14:38作者林妍溱https://www.ithome.com.tw/news/152076
Amazon以39億美元買下醫療供應商One Medical
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon持續探索跨足數位醫療業。<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-one-medical-sign-agreement-amazon-acquire-one-medical" target="_blank">周四（7/21）Amazon宣布</a>以近39億美元收購美國實體及數位醫療服務業者One Medical，成為該公司最大手筆收購。</p> <p>Amazon計畫以每股18美元，總計近39億美元全現金收購，而One Medical執行長Amir Dan Rubin也將持續執掌該部門。</p> <p>One Medical提供虛擬、遠距看診服務，也有實體看診服務，其中實體看診服務由One Medical業務下裝潢精緻舒適的診所提供，並由1Life Medical姐妹公司提供虛擬看診的基礎架構維護管理。<a href="https://www.cnbc.com/2022/07/21/amazon-to-buy-primary-health-care-provider-one-medical-for-roughly-3point9-billion.html" target="_blank">CNBC報導</a>One Medical 2020年上市，迄今管理全球的188間診所，客戶涵括25個市場77萬會員。</p> <p>Amazon希望借助One Medical的遠距看診服務加速其數位醫療的布局。Amazon健康服務資深副總裁Neil Lindsay指出，實體看診從預約、數星期或數月的等待期、開始前往看診到在候診室苦候，匆匆看診數分鐘後，還要再分開領藥，這些都急待革新。Amazon希望未來幾年間能大幅改善這些痛點，減少民眾看病的時間、金錢花費等成本。</p> <p><a href="https://www.vox.com/recode/2022/7/21/23273207/amazon-one-medical-merger-telehealth-antitrust" target="_blank">分析師認為</a>Amazon這次可能會從較單純的消費者醫療服務切入。</p> <p>本案是Amazon迄今最大金額的收購案，突顯Amazon跨足數位醫療的決心。有鑒於美國昂貴且低效率的醫療服務、Amazon貴為最大電商平臺很早就想跨足遠距健康照護，但並不順利。Amazon、摩根大通集團及華倫巴菲特的Berkshire Hathaway <a href="https://www.ithome.com.tw/news/142039" target="_blank">於2018年合組健康照護服務公司Haven</a>，宣稱想提供高效率及合理價格的醫療服務。然而新式服務無法突破美國醫院、保險商、藥廠、中間商等錯綜複雜運作體系，新公司也在去年2月底結束營業。</p> <p>不過有鑒於Amazon成為當局反托拉斯調查的目標，本案是否能獲得核准是另一個疑問。</p> <p>Amazon 數位醫療的其他投資，還包括<a href="https://www.ithome.com.tw/news/124224" target="_blank">2018年收購線上藥商PillPack</a>，以及開發自有品牌的醫療設備。</p> <p>但Amazon 最新動作是否會成功還有待時間證明。Google 也曾成立獨立健康照護部門並試圖發展AI技術輔助看診，但Google Health去年大幅縮編，蘋果也縮編了開發員工健康管理App的內部專案。</p> <p>不過COVID-19重振市場對數位醫療的需求。大廠們持續投資。<a href="https://www.ithome.com.tw/news/151399" target="_blank">甲骨文上個月完成</a>美國最大電子病歷商Cerner的收購，而<a href="https://www.ithome.com.tw/news/150974" target="_blank">Google也招募</a>了前FDA數位醫療主管出掌其Google Health。</p> </div></div></div>
2022/7/22 13:24作者林妍溱https://www.ithome.com.tw/news/152071
Windows 11 22H2預設即封鎖RDP暴力破解攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/dwizzzleMSFT/status/1549870156771340288" target="_blank">負責作業系統安全與大型企業的微軟副總裁David Weston周四（7/21）透過Twitter宣布</a>，微軟已於Windows 11 22H2 22528.1000版本中把帳號鎖住原則（Account Lockout Policy）列為預設值，以降低遠端桌面協定（Remote Desktop Protocol，RDP）與其它暴力破解密碼的相關攻擊。此一預設功能不僅支援之後的版本，也將回溯至之前的Windows版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-Account%20Lockout%20Policy%20windows%2011-600.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>預計於今年下半年推出的Windows 11 22H2目前仍在預覽階段，因此參與Windows測試人員計畫（Windows Insider Program）的使用者得以率先取得該功能。</p> <p>當Account Lockout Policy成為預設值之後，只要有人在10分鐘之內執行10次的登入錯誤，該帳號就會被鎖住。</p> <p>Weston表示，這將有助於緩解RDP與其它暴力破解密碼攻擊，此一技術經常被應用在人為操作的勒索軟體攻擊中，新的控制將提高暴力破解的難度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-says-140-million-paid-to-ransomware-offers-defense-tips/" target="_blank">《BleepingComputer》在2020年曾引用聯邦調查局（FBI）特別幹員Joel DeCapua的分析指出</a>，勒索軟體駭客入侵受害系統的首選就是RDP，有超過7成的勒索軟體攻擊行動透過RDP。</p> <p>RDP允許個人透過網路控制遠端電腦上的資源與資料，在建立遠端桌面連線時，本地端及遠端機器必須藉由使用者名稱與密碼來進行身分驗證，一旦密碼被破解，駭客即可遠端部署勒索軟體或其它惡意程式。</p> <p>其實Windows作業系統的本機群組原則（Local Group Policy）早就具備Account Lockout Policy選項，還允許使用者設定帳戶鎖住的閥值，或是鎖住的時間，只是它們並非預設值，需要使用者手動啟用。</p> </div></div></div>
2022/7/22 13:50作者陳曉莉https://www.ithome.com.tw/news/152073
Cloud周報第151期：微軟正式推出主權雲，不只加強對政府敏感性數據的保護及加密措施，還提供Azure機密運算服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/14～07/20）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 主權雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>瞄準政府部門轉型上雲趨勢，微軟正式發布主權雲</strong></span></p> <p>微軟近日<a href="https://blogs.microsoft.com/blog/2022/07/19/microsoft-cloud-for-sovereignty-the-most-flexible-and-comprehensive-solution-for-digital-sovereignty/">推出主權雲服務（Microsoft Cloud for Sovereignty）</a>，要協助政府轉型上雲過程中，能夠更好地管理自己的數據，以符合合規性、安全性和政策要求，並提高營運和治理透明度。微軟將從擁有逾60個區域（region）的Azure資料中心提供該項服務。。</p> <p>根據微軟說明，微軟主權雲建立在自家公雲之上，除了可以根據政府部門需求進行客製外，還可使用許多現有公雲服務，包括現代化開發者服務、敏捷基礎設施、安全DevOps、開源平臺以及現代協作與低程式碼開發等功能。政府單位也能使用微軟Global Security Signals安全分析服務，協助他們進行偵測、識別和對抗外部網路攻擊。</p> <p>為提高雲端上數據保護，除了原本雲端安全防護外，在主權雲上還多加一層防護，來加強對敏感性數據的保護及加密措施，這項防護涵蓋了微軟雲端，包括雲端基礎架構，還有Microso 365、Dynamics 365及Power Platform等SaaS產品，而且還提供Azure機密運算服務，可透過機密虛擬機器和機密容器，來建立可信執行環境，以強化其防護。</p> <p>為了區分公雲上不同類型數據的法遵要求，在微軟主權雲中還提供一個主權登陸區域（Sovereign Landing Zone），可簡化數據架構、部署流程和協調各種安全服務和策略控制的操作，因為是以企業級Azure Landing Zone為基礎，可使用Azure中內建的IaC（基礎架構即程式）和PaC（政策即程式）功能，以自動化部署方式簡化數據分類的複雜度，來配合法遵執行的要求。該服務也能涵蓋到Azure資訊保護（AIP），可提供電子郵件和檔案數據存取控制及防護策略。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端訂閱</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>VMware vSphere+和vSAN+正式推出，雲端訂閱期最長3年，按使用CPU核心數計價</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 335px;" /></p> <p>虛擬化龍頭VMware近日宣布vSphere+和vSAN+雲端訂閱服務已正式推出，讓企業能夠從雲端來管理本地vSphere虛擬機器和vSAN叢集，同時公布訂閱計價方式，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買CPU最小容量不能低於16個實體核心。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS續約的優惠價格，協助企業用戶將既有vSphere與vSAN軟體授權逐步轉到訂閱制vSphere+與vSAN+。</p> <p>VMware更簡化vSphere+採購流程，有別於以往需採個別購買授權的作法，可以提供全套式訂閱方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包。Tanzu本身除了提供標準Tanzu Runtime，之後也將加入Tanzu Mission Control Essentials功能，可用於VMware Cloud on AWS 等VMware Cloud 產品上的Tanzu服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Arm</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud首款基於Arm架構處理器的Tau VM運算實例終於現身</strong></span></p> <p>去年推出採用AMD EPYC 7003系列處理器的Tau系列虛擬機器後，Google Cloud最近替Tau家族新增另一款名為<a href="https://cloud.google.com/blog/products/compute/tau-t2a-is-first-compute-engine-vm-on-an-arm-chip">Tau T2A的全新虛擬機器</a>，還是第一款基於Arm架構處理器的Compute Engine運算實例。</p> <p>雖然目前仍是預覽版，不過，T2A VM採用Ampere的Altra系列處理器，用戶可快速啟用高達48核心、192GB記憶體的Arm架構虛擬機器，可在Google Cloud環境上執行各種工作負載，且支援GKE等多項服務。</p> <p>如同前一款Tau TD2虛擬機器，以高性價比著稱，新推出的T2A也是如此，若以啟用32核心、128GB記憶體的虛擬機來計算，每小時收費1.232美元。Tau T2A初期將於美國愛荷華州、荷蘭、新加坡等部分區域推出，並於數月內全面上市。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端資料倉儲</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>AWS無伺服器版Redshift資料倉儲服務全面上市</strong></span></p> <p>經過半年多公開預覽測試後，AWS最近終於推出AWS Redshift無伺服器服務。當企業用戶使用Redshift資料倉儲服務時，只要選擇無伺服器的選項，Redshift就會根據請求的資料倉儲規模大小、成本及符合SLA要求的特定應用程式，自動配置計算資源可供用戶載入的資料查詢使用，且不需要管理資料倉儲的基礎架構。當計算量增加時，系統會自動擴展，並在不使用時關閉，以符合彈性需求，並根據使用運算和儲存用量收費。</p> <p>該服務推出時，AWS還增加了新功能，像是用戶可透過命名空間（namespaces）與工作小組（workgroups）在AWS區域建立多個無伺服器端點，用來管理數據、查看儲存容量，或進行網路和安全設置等。AWS還調降了無伺服器版Redshift計算成本費用，比平均預覽版的價格減少25%。該服務目前已在美國、歐洲及亞洲多個區域推出。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>IBM本季混合雲增長強勁，帶動軟體、諮詢、基礎架構3大關鍵業務成長最多破2成</strong></span></p> <p>近日，IBM公布該公司第2季營收，顯示該季營收達155 億美元，比2021年同期增長9%，其中混合雲增長強勁是本季營收成長的一大關鍵，帶動不少關鍵部門的營收成長。像是軟體部門的混合雲營收，跟去年同期相比增加14％，諮詢部門和基礎架構兩大部門的混合雲收入，也分別達到20%和24％的增長。根據IBM營收報告指出，過去一年來混合雲營收增長16％，達到217億美元，占整體營收36％。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 惡意軟體 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>研究員發現有惡意軟體以Dropbox等雲端儲存作媒介，暗中竊取Mac用戶資訊</strong></span></p> <p>ESET研究員<a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/">今年4月揭露</a>一個新的macOS惡意軟體CloudMensis，會以常見的雲端儲存服務作為命令控制（C&C）的通訊管道，伺機從受感染的蘋果Mac設備中進行監控，進而竊取用戶的敏感資訊。</p> <p>研究員發現，該惡意軟體至少利用Dropbox、pCloud、Yandex Disk三家雲端業者儲存服務來完成對Mac用戶資訊的竊取，先是利用macOS後門取得程式執行和管理權限後，接著在用戶的Mac上下載並執行惡意軟體，再透過雲端儲存平臺發送多達39條命令，藉以竊取Mac上的用戶資訊，包括螢幕截圖、郵件附檔及敲鍵行為等。</p> <p>Apple後來似乎默認有間諜軟體存在於該產品中，因此隨後在預覽iOS、iPadOS和macOS上加入封鎖模式（Lockdown Mode），來禁用產品上容易被利用來取得程式執行和部署惡意軟體的功能。</p> <p> </p> <p><strong>圖片來源／</strong> VMware、微軟</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任 </strong></strong></p> <p><strong><strong>2.微軟加入Eclipse基金會Jakarta EE與MicroProle工作組，協助推動雲端Java應用程式發展</strong></strong></p> <p><strong><strong>3.亞馬遜AWS更新全球EKS服務，修復Kubernetes服務中存在多年的身分驗證錯誤 </strong></strong></p> <p><strong><strong>4.Azure全代管閘道負載平衡服務已在全區域推出</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年7月</strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/7/22 14:04作者余至浩https://www.ithome.com.tw/news/152072
新的Google Wallet全球正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150881" target="_blank">繼5月宣布之後</a>，Google新一代電子錢包服務Google Wallet周四（7/21）正式在全球包括臺灣等多個市場上線。</p> <p>這是Google最新的數位支付服務發展。Google 2011年就發展Google Wallet作為數位支付及個人間轉帳工具。2015年這家公司推出Android Pay，Google Wallet則退縮為個人間轉帳功能。<a href="https://www.ithome.com.tw/news/120327" target="_blank">2018年Google將兩者合併</a>，更名為Google Pay，並沿用到今年。今年5月Google 再次起用Google Wallet，挑戰蘋果Apple Wallet及Apple Pay，也預告將在全球推出這項服務。</p> <p>新一代的Google Wallet了數位支付外，還可儲存各種票券、身分證明文件、會員證或出入管制卡，也可存放信用卡或簽帳金融卡。Google也和運輸服務商、零售商、票券商、衛生機構、航空公司合作，以開發適用於 Google Wallet的數位卡片或票券，以便可以Google Wallet作為支付或通行、身分證明。</p> <p><a href="https://support.google.com/wallet/answer/12060037?hl=en-GB#zippy=%2Cuse-google-wallet%2Cpay-for-travel-by-train-and-bus%2Cpay-with-wear-os" target="_blank">根據Google網頁</a>，目前全球40多國可用Google Wallet支付或通行，這些國家用戶若擁有Apple Watch，也可以用智慧手錶支付或通行。目前有6個國家可以用Google Wallet搭乘火車或巴士等大眾運輸工具，包括美、英、新加坡、澳洲、加拿大、烏克蘭。</p> <p>要安裝使用Google Wallet，用戶裝置作業系統必須在Android 5.2版本以上，並具備Google帳號。</p> <p><a href="https://play.google.com/store/apps/details?id=com.google.android.apps.walletnfcrel&hl=zh_TW&gl=US" target="_blank">正體中文版Android App「Google錢包」現在也已上架</a>。不過根據這幾個月來使用測試版的用戶反映意見，似乎穩定性及可使用性有待改進，包括應銀行方面要求，付款時必須螢幕解鎖的要求造成使用不便。Google臺灣表示正在解決。</p> </div></div></div>
2022/7/22 10:18作者林妍溱https://www.ithome.com.tw/news/152059
Google發表欲繼承C++的程式語言Carbon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷來不斷有新程式語言革新或試圖取代舊語言，像是Kotlin之於Java，或蘋果的Swift之於Objective-C，以及微軟的TypeScript之於Javascript。<a href="https://github.com/carbon-language/carbon-lang#why-build-carbon" target="_blank">Google本周在CppNorth公布新的程式語言Carbon</a>，自詡將成為C++的繼承者。</p> <p>Google核心程式語言部門技術主管<a href="https://twitter.com/code_report/status/1549383435642445824" target="_blank">Chandler Carruth本周在專門討論C++的CppNorth大會上公布</a>並宣布開源Carbon，並稱Carbon是C++的「實驗中的繼承者（experimental successor）」。他同時也是LLVM及Clang語言的貢獻者。</p> <p>Carruth表示，雖然C++是開發重視效能應用的主流語言，但是它已發展50年，累積的技術債使其創新變得極端困難。一個方法是移轉到其他語言，如Kotlin、Swift、Go或是Mozilla開發的Rust。但Google希望提出另一個版本。</p> <p>Google表示，這些語言和C++之間並不具備類似Java和Kotlin之間的「雙向相容性（bi-directional interoperability）」，因此將C++專案搬移需要一些變更，而且也會有效能降低的問題。</p> <p>Carruth強調Carbon和C++之間具備雙向相容，不但大規模使用或現有C++程式碼搬移順暢，對C++開發人員而言也容易上手學習。對企業或開發人員而言，將可沿用既有投資、程式碼，以及開發人員社群。</p> <p class="rtecenter"><a href="https://github.com/carbon-language/carbon-lang" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-carbon-language-by%20GitHub.png" style="width: 500px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p><a href="https://github.com/carbon-language/carbon-lang" target="_blank">Google已經將Carbon透過GitHub開源</a>，並強調Carbon的設計目標是支援重視效能的應用開發、程式碼簡單易讀、易懂、易寫、支援安全及測試工具、適合快速和大規模開發，也支援現代化OS、硬體架構及環境，最重要的是和C++程式碼相容。Google宣稱雖然許多語言也都滿足部分目標，但Carbon特色是做到全部。</p> <p>Google預計今年內完成Carbon的0.1版，2023年進入0.2版，而在2024或2025年推出1.0版。</p> </div></div></div>
2022/7/22 10:41作者林妍溱https://www.ithome.com.tw/news/152062
LinkedIn蟬聯網釣冒用冠軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/" target="_blank">資安業者Check Point本周公布了今年第二季的品牌網釣報告</a>，顯示微軟旗下的專業人才社交網站LinkedIn連續兩季成為最熱門的網釣品牌。</p> <p><a href="https://www.checkpoint.com/press/2022/social-media-network-linkedin-ranks-first-in-list-of-brands-most-likely-to-be-imitated-in-phishing-attempts-in-q1-2022/" target="_blank">LinkedIn在今年第一季</a>首度登上網釣冒用品牌的冠軍，該季有52%的網釣攻擊假冒了LinkedIn的名義，第二季的比例雖然下滑至45%，但依然穩居龍頭位置。</p> <p>Check Point分析，假冒LinkedIn的網釣活動所寄出的惡意電子郵件，通常模仿LinkedIn平常的郵件主旨，像是「你本周出現在8筆搜尋中」或是「你有一個新訊息」，不過，駭客所使用的電子郵件位址與LinkedIn截然不同，因此很容易識破。</p> <p>今年第二季最受網釣歡迎的前五大品牌依序是LinkedIn（45%）、微軟（13%）、DHL（12%）、Amazon（9%）與蘋果（3%），其中，冒用微軟的比例從今年第一季的6%成長到13%，雖然仍遠低於LinkedIn，但Check Point警告，一旦駭客成功掌握了使用者的帳號登入資訊，那麼就能存取使用者的所有微軟程式，包括Teams與SharePoint，亦有可能危害使用者的Outlook電子郵件帳號。</p> </div></div></div>
2022/7/22 09:13作者陳曉莉https://www.ithome.com.tw/news/152053
以Rust撰寫的全新勒索軟體Luna可加密Windows、Linux及ESXi系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/luna-black-basta-ransomware/106950/" target="_blank">資安業者卡巴斯基（Kaspersky）本周揭露了一個全新的勒索軟體Luna</a>，此一以Rust撰寫的勒索軟體可同時鎖定Windows、Linux及ESXi作業系統，印證了跨平臺勒索軟體的趨勢，而相準VMware替大型企業設計的裸機虛擬化管理程序ESXi，亦顯示駭客企圖儘可能造成更大的傷害。</p> <p>卡巴斯基是在駭客論壇的廣告中發現Luna，分析後顯示它使用非典型的加密手法，結合了勒索軟體中少見的x25519及AES，此外，它的Linux與ESXi版本都是以Windows版的程式碼為基礎，僅有一些小小的變更。</p> <p>駭客在廣告中強調Luna只與說俄羅斯文的對象合作，再加上Luna內建的英文勒索信中有些用字錯誤，使得卡巴斯基推測它應該是來自說俄羅斯文的駭客。</p> <p>此外，近來有愈來愈多勒索軟體以Rust及Golang等方便跨平臺的程式語言撰寫，例如BlackCat與Hive，代表它們很容易就從一個平臺移植至另一個，並同時針對不同的平臺展開攻擊，也印證了跨平臺勒索軟體的趨勢，而這些跨平臺的程式語言也有助於閃避靜態分析。</p> <p>另一個趨勢是鎖定VMware ESXi的勒索軟體也愈來愈多，從去年的HelloKitty、Python，到今年的Black Basta、RedAlert（N13V）及Luna，曾有資安專家分析，ESXi是個很合理的攻擊目標，因為駭客只要能存取ESXi 主機，就能影響在該主機上執行的所有虛擬機器，或是其它於同一叢集中運作的虛擬機器，這不只能擴大駭客的收益，也能更快造成傷害。</p> </div></div></div>
2022/7/22 09:27作者陳曉莉https://www.ithome.com.tw/news/152055
Android 11新增對DNS-over-HTTP/3的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了保障Android用戶查詢DNS的隱私，<a href="https://www.ithome.com.tw/news/128168" target="_blank">Google於Android 9嵌入Private DNS功能</a>，透過DNS-over-TLS（DoT）來保護DNS查詢，<a href="https://security.googleblog.com/2022/07/dns-over-http3-in-android.html" target="_blank">但Google本周宣布</a>，除了DoT之外，Android 11與之後的版本將新增對DNS-over-HTTP/3（DoH3）的支援。</p> <p>DoT是藉由傳輸層安全協定TLS來加密網域名稱系統（DNS）的查詢，以防範駭客透過中間人攻擊來監聽或操控DNS數據，不過，DoT卻會對每次的DNS查詢帶來負擔，而另一個加密DNS協定DNS-over-HTTPS（DoH）也愈來愈熱門。</p> <p>Google表示，光是採用HTTPS並不能明顯減少負擔，但HTTP/3使用了QUIC通用傳輸層網路協定，該傳輸只要使用一個具備會話恢復的TLS會話，即能透過使用者資料包協定（UDP）有效地多路複用不同的串流，而這些便是可於行動裝置上高效運作的關鍵。<a href="https://www.ithome.com.tw/news/152044" target="_blank">HTTP/3是甫於今年6月出爐的第三代HTTP版本</a>，其最大改變就是以奠基於UDP的QUIC協定取代了TCP。</p> <p>具體而言，DoH3可避免DoT所帶來的許多問題，例如伺服器可能面臨的隊頭阻塞，將會因DoH3以不同的串流來執行查詢而迎刃而解；又或是當行動裝置隨著使用者的移動而切換網路時，DoT需要全面重新協商，但DoH3所採用的QUIC只要一個單一的封包往返時間（RTT）就能恢復所暫停的連結；此外，DoH3的查詢效能不僅超越DoT，在不穩定的網路狀態下甚至有可能超越傳統的DNS，因為QUIC的流量控制機制可在未收到封包時提出警告，而非等到查詢超時。</p> <p>根據Google的測量，在DoT與DoH3都成功解決97%查詢的條件下，若以DoH3取代DoT，其中位數查詢時間減少了24%。</p> <p>目前包括Google DNS及Cloudflare DNS都已支援DoH3，未來Google也打算支援DDR（Discovery of Designated Resolvers），可根據使用者的配置自動替使用者找出最佳供應商。</p> </div></div></div>
2022/7/22 08:57作者陳曉莉https://www.ithome.com.tw/news/152052
統一出手要買下家樂福，開採900萬會員資料金礦需要通過哪些難關？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一集團7月19日宣布買下家樂福所有股份，若取得公平交易委員會許可，統一旗下零售通路，將囊括百貨、超商、餐飲、超市、電商及量販。如此一來，統一不僅能接觸到更多消費者，也能涵蓋更完整的消費者購物旅途，對統一近年會員經營策略而言，無疑是一大助力。然而，要將近900萬筆家樂福會員資料整合統一現有會員體系，不論就IT面還是政策面，都是挑戰。 </p> <p>截至今年，統一已經打通18個通路的會員資料，坐擁超過1,400萬Open Point會員。儘管會員基數龐大，2021年活躍會員僅有600萬人左右。統一想要掌握更多有消費紀錄的活躍會員，進行再行銷來提高貢獻度，因此會員經營方向，從過去只是追求會員總數，轉為提高活躍會員數。為了活化會員，統一也以整合後的Open Point會員資料為基礎，在生態系內開發了許多應用情境，包括電子支付、會員點數以及Open Point App上的諸多功能。</p> <p>統一整合旗下會員資料後，為日後對接家樂福龐大會員資料及諸多系統，打下了良好的基礎。儘管如此，要統一想將家樂福會員整合進既有生態系中，仍須面臨不少挑戰。</p> <p>據家樂福統計，光是在家樂福App註冊的會員，就有近900萬筆會員資料，其中更有460萬筆屬於半年內有消費數據的活躍會員，對有意增加活躍會員數的統一而言，無疑是一座會員金礦。然而，龐大會員數背後，也有相當複雜的制度及系統，都是日後的整合課題。 </p> <p>制度上，家樂福的會員種類，除了以電商服務及電子支付為主的App會員，還有線下購物好康卡會員以及聯名信用卡會員，這三套會員制度推出時間、加入管道跟使用情境各有不同，光是內部會員資料清洗、整合，再與統一會員資料比對是否有重疊會員，就是一大工程。</p> <p>系統上，家樂福電子商務平臺及會員管理系統，串接了許多服務，例如行銷科技、ERP系統、資料治理系統及金流服務等。家樂福App上，也有大大小小的會員服務及功能。這些系統服務、會員服務及功能，乃至於App本身，與統一現行App的功能有不少重複，甚至互相衝突之處，例如家樂福錢包和Open錢包，就是功能接近又彼此競爭的服務。</p> <p>不僅如此，家樂福這些服務及功能，都必須蒐集並運用相對應的會員資料。但會員資料架構不盡然和統一相似，家樂福的會員服務項目也略有不同，會有不少統一過去沒有蒐集的資料種類。例如，家樂福會蒐集會員車牌號碼，以利進出賣場停車場時自動折抵停車費。</p> <p>服務繁多、會員制度和資料型態的差異，都會帶來雙方會員服務和資料高度整合的挑戰，也是統一併購家樂福後必須面對的問題。不論是後臺系統服務，還是前臺App功能，抑或是這些服務及功能所衍生的資料及資料格式，要照舊沿用在家樂福會員？擴大沿用至統一所有會員？與統一現有功能取長補短形成新作法？抑或是廢除不用？對統一來說，從評估到決策，從串接、整合或移除，到後續維護作業，都是政策面及IT面的雙重挑戰。</p> </div></div></div>
2022/7/21 18:32作者郭又華https://www.ithome.com.tw/news/152049
【資安日報】2022年7月21日，上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊臺灣生技公司的情況，最近再添一例。上櫃公司永昕生物醫藥證實遭到電腦病毒攻擊，並表示有部分資通訊系統受到波及。</p> <p>網釣攻擊裡，駭客假冒知名廠商的情況相當普遍，而根據資安業者Check Point的分析，他們偏好的品牌依序是LinkedIn、微軟，以及DHL。由於大部分使用者對這些廠商寄來的信件相當習以為常，很有可能降低戒心而上當。</p> <p>進行網站側錄攻擊（Web Skimming）的駭客，過往目標集中於線上商城，但最近有研究人員發現，駭客開始將目標轉向線上訂餐平臺，發動Magecart攻擊，因為，這麼做很有可能竊得所有餐廳交易的金融卡資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p>由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> </div></div></div>
2022/7/21 18:37作者周峻佑https://www.ithome.com.tw/news/152050
台灣網路報告出爐! 行動寬頻普及率首次超越固網寬頻，逾半數民眾透過數位平臺瀏覽新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣網路資訊中心（TWNIC）發表2022台灣網路報告，指出18歲以上、近三個月有上網經驗的民眾，比率達84.3%，行動寬頻普及率（81%）已超越固網寬頻普及率（61%）。民眾獲得新聞的來源，儘管從單一管道來看，近4成民眾從電視獲得新聞內容，但從整體來看，超過半數民眾透過搜尋引擎、社群等數位平臺獲得新聞，超越新聞媒體。</p> <p><span style="color:#B22222;"><strong>未上網以高齡居多</strong></span></p> <p>這份報告是由中研院調查研究專題中心執行，在今年2月至3月期間，以電話訪問國內18歲以上民眾，訪問約2,228位民眾。研究顯示，近三個月有上網經驗的民眾比率達84.3%，雖然較兩年前的比率略為提升，但從2015年開始，上網比率即在8成到9成之間上下起伏變化，始終未突破9成。</p> <p>進一步分析各年齡層民眾的上網比率，發現未上網的原因和世代有關，上網比率較低的年齡，以60到69歲之間，70歲及以上居多，由於網際網路的出現，錯誤該世代學習階段，因此相較其他世代上網比率來得低。未上網者，詢問不上網的原因，包括沒有需要、年齡太大、沒有設備、沒有興趣、對電腦恐懼。</p> <p>由於超過9成沒有意願學習，超過5成無人協助，因此為縮減世代造成的數位落差，報告也建議可從增加「數位幫手」，協助這群人使用數位服務，此外，新服務不能只有數位管道，也應同時從傳統管道來提供服務。</p> <p><span style="color:#B22222;"><strong>行動寬頻普及率超越固網寬頻，5G上網普及率近2成</strong></span></p> <p>進一步看民眾上網的方式，行動寬頻的普及率首次超越固網寬頻，國內行動上網普及率從2011年只有13%，一路成長到2022年的81.47%，相反地，固網寬頻普及率過去10年都相當穩定，普及率在8到9成間上下起伏，但特別的是在2022年跌至65%。此一現象也出現唯行動上網族群，也就是沒有使用固網寬頻服務，只使用行動上網的使用者，唯行動上網的比例達到18.72%。</p> <p>該調查也指出，國內5G上網普及率，從2020年調查（當年調查以12歲以上民眾為對象）的2.26%，成長到2022年調查（最新調查以18歲以上民眾）的18.98%，若以所有行動寬頻用戶來看，使用5G比例更達到23.29%，近四分之一採用。探究未採用5G的原因，有意願申辦5G者，多為合約尚未到期，至於沒有意願申辦的人，理由以費用太高為主。</p> <p><span style="color:#B22222;"><strong>行動支付及串流影音服務成長快速</strong></span></p> <p>就民眾使用的網路應用服務來看，透過網路購買商品、觀看免費影音是國人較常使用的服務，其中觀看免費影音的比例高達72.82%，顯示娛樂為民眾重要網路應用。值得一提的是，行動支付快速成長，從2020年的使用率21.64%，提高到2022年的34.27%，增幅為調查的11項網路應用服務中居第一名。另外，加密貨幣也納入調查的網路應用服務之一，使用比率為2.01%。</p> <p><strong><span style="color:#B22222;">上網人口中約6成使用臉書，逾9成使用Line</span></strong></p> <p>針對社群媒體、即時通訊服務作調查，以台灣所有人口為例，7成使用社群媒體，若以上網者來看，臉書使用比率達61.22%，其次是Instagram（17.17%），第3名是抖音（2.19%），其他依序為PTT、Dcard。</p> <p>調查結果顯示，社群媒體出現遷徙現象，年輕用戶從臉書出走，改投入Instagram的現象，臉書用戶集中在30到59歲的族群，Instagram的使用者集中於18到29歲者。</p> <p>至於即時通訊軟體，所有人口中，8成3的民眾使用即時通訊軟體，若以上網人口來看，Line以94.48%穩居第一，幾乎佔據整個市場，其次是FB Messenger、微信、Facetime、WhatsApp等。</p> <p><strong><span style="color:#B22222;">語音助理為使用最高的AI應用</span></strong></p> <p><strong><span style="color:#B22222;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1432.jpg" style="width: 600px; height: 195px;" /></span></strong></p> <p>隨著人工智慧的應用逐漸普及，調查顯示52.48%民眾在一個月內曾使用過至少一項人工智慧產品及服務，其中數位語音助理使用率達42.75%，是使用比率最高的AI應用，高於聊天機器人、智慧手環或手錶、AI股票基金軟體。但是民眾對AI能保障人身或財物安全則有保留，雖然認同AI能保障者的比例為38.49%，但不信任的比例達43.47%。</p> <p><span style="color:#B22222;"><strong>半數以上民眾從數位平臺獲得新聞內容</strong></span></p> <p><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture563351.jpg" style="width: 600px; height: 310px;" /></strong></span></p> <p>在網路時代，數位平臺的影響力反映在新聞內容的取得來源。從個別的管道來看，電視仍是民眾獲得新聞內容最多使用的管道，比例為38.25%，搜尋引擎（19.15%）位居第2名，社群媒體（14.13%）居第3名，新聞媒體網站或應用程式為4.79%、報紙雜誌為1.77%。</p> <p>但若以新聞產製與否，將所有管道分為數位平臺及新聞媒體，搜尋引擎、社群媒體、即時通訊、YouTube等數位平臺加總合計佔52.49%，超過電視、新聞媒體網站及應用程式、報紙與雜誌、廣播等新聞媒體合計的45.24%。</p> <p>近年來新聞媒體嚐試付費訂閱模式，研究發現網路新聞付費比例只有1.42%，顯示新聞媒體轉型朝向付費訂閱模式，採用付費訂閱的比例相當低，媒體在轉型上仍有挑戰。</p> <p>針對大型數位平臺對新聞媒體的影響，先前澳洲、歐洲國家試圖促使大型數位平臺業者付費給新聞媒體的新聞媒體議價議模式，調查也發現4成3的民眾支持數位平臺付費給新聞媒體，反對者則為3成6。該報告認為，臺灣也應跟隨其他國家推動新聞議價法。</p> <p>另外，鑑於大型數位平臺的影響力不容忽視，調查顯示54.32%認同數位平臺應受政府規範，但不能侵犯言論自由，26.64%的人不同意。至於民眾使用新聞，衍生出是否能辨別假新聞的問題，該調查進一步詢問上網的受訪者，是否有信心能查詢新聞的真假，有信心的比例為48.94%，只略高於沒有信心的47.11%。</p> </div></div></div>
2022/7/21 20:13作者蘇文彬https://www.ithome.com.tw/news/152051
HPE目前9成IT應用系統皆採用混合雲及公雲部署，IT維運人力釋放後更站上第一線打造電子商務系統替公司年年進帳20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE在8年前做出一個重大決定，要展開內部數位轉型，其中一個重要目標，就是要翻新舊有的IT架構，導入更現代化IT架構，來擁抱混合雲，<span><span data-offset-key="3j5ek-1-0"><span data-text="true">加速公司轉型。</span></span></span>在歷經4年IT架構轉換後， 2018年時，HPE IT已轉型成混合雲架構，目前9成IT應用系統都已採用<span><span data-offset-key="6nnoj-1-0"><span data-text="true">混合雲及純公雲</span></span></span>部署，在近日一場活動上， HPE揭露內部IT轉型上雲經驗。</p> <p>全球800多套業務資訊系統、6.2萬臺伺服器、4.9萬臺虛擬機器、86.1 PB 存取資料、1,600支生產App，全球3萬個聯絡中心和13.9萬名員工。這些統計數字是這家伺服器大廠的全球IT團隊，2014年以前，每年進行資料中心IT管理和維運所要面對的龐大IT挑戰。</p> <p>HPE數位轉型技術服務部副總經理王綸基表示，2014年前的HPE全球IT架構，就像其他大型跨國企業一樣，需管理的IT架構龐大且複雜，不僅要維運全球800個資訊系統，管理超過6萬臺伺服器和上萬個VM，就連關鍵業務核心ERP就有10多套，分散各地。</p> <p>不單是資料中心維運就得耗掉許多IT人力，需要開發人力也不少，IT團隊必須要根據內部單位需求不斷開發新功能或應用，來支撐業務發展所需，在當時，IT團隊所開發出來的生產力App就有1,600支，數量相當多。此外，這群人不僅僅要負責內部IT管理和維運，對外服務，更要能夠支援全球56個國家地區3萬個聯絡中心（Contact Center）的售後或行銷服務。</p> <p>HPE在2014年以前的IT架構，幾乎都採實體主機方式部署在本地資料中心，採公雲或混合雲部署只有少數，比例大約只有1成。</p> <p>轉向混合雲發展後，截至目前，HPE全球IT的混合雲應用比例已經達到5成，其中多是以VM、容器為主的雲端應用，提供給內部使用者單位來運用。另外有4成是公雲的SaaS應用，像是 HR、CRM等系統都已搬上公雲，而部署在本地應用迄今仍有1成，以高效能運算應用為主，如ERP等。</p> <p>在混合雲架構基礎上，HPE IT團隊也針對AP架構大改造，將分散各地資料加以整合，用於全球營運資料分析，讓決策者可以更快取得資料加速決策行動，另外也針對資訊系統大瘦身，將原來800多個應用系統數量減半，並把全球10多套ERP系統合併為一套，再提供給全球各據點使用。</p> <p>王綸基表示，因為擁抱混合雲，這些年為HPE帶來不少效益，像在資料中心管理上，跟2014年相比減少了50％營運管理面積，因為要管的地方變少，IT維運人力負擔因此大幅降低，IT人力釋放後，更能站在營運第一線，運用IT技術協助公司營運發展。像是這段期間打造出了許多電子商務系統，讓企業客戶可以自行上網完成MA（維護合約）簽約或是訂閱購買部分HPE服務等，也為這家公司每年多賺進20億美元的營收。</p> </div></div></div>
2022/7/21 17:22作者余至浩https://www.ithome.com.tw/news/152046
全球已有25.5%網站採用HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門制定網路標準的網際網路工程任務組（Internet Engineering Task Force，IETF）<a href="https://www.ietf.org/blog/http-updates/" target="_blank">在今年6月正式發表</a>了新的HTTP/3標準，<a href="https://w3techs.com/technologies/details/ce-http3" target="_blank">而W3Techs的統計則顯示</a>，全球前1,000萬個網站中，已有25.5%的比例採用HTTP/3。</p> <p>HTTP/3為超文本傳輸協定（HyperText Transfer Protocol，HTTP）的第三個主要版本，HTTP是全球網路資料通訊的基礎，所謂的超文本文件包含了可連至其它資源的超連結，像是使用者只要點選滑鼠就能存取；而HTTP/3最大的改變在於以基於使用者資料包協定（User Datagram Protocol，UDP）的QUIC通用傳輸層網路協定取代了傳輸控制協定（Transmission Control Protocol，TCP）。至於QUIC則是Google於2012年發表的協定，隨後被IETF採用。</p> <p>IETF說明，HTTP/3專注於解決HTTP/2所出現的問題。例如雖然HTTP/2搞定了應用層協定的隊頭阻塞（head-of-line blocking）問題，卻在底層的TCP傳輸協定出現隊頭阻塞，而QUIC即可解決該問題；此外，HTTP/3也能加速網路瀏覽，在處於容易丟失封包的網路環境時，HTTP/3具備更穩定的表現。</p> <p><a href="https://blog.cloudflare.com/cloudflare-view-http3-usage/" target="_blank">Cloudflare指出</a>，在全球主要瀏覽器中，Google Chrome與Microsoft Edge都已在2020年11月支援HTTP/3，Mozilla Firefox也在2021年4月支援HTTP/3，只剩蘋果Safari需要手動啟用，而且尚處實驗功能，不過，這已意味著全球有超過7成的網路用戶都採用了相容於HTTP/3的瀏覽器。</p> <p>此外，IETF也推測，HTTP/3的成長速度讓它應該會在不久的將來，便超越HTTP/2。因為HTTP/2在2015年5月就問世了，但迄今全球前1,000萬網站支持HTTP/2的比例還不到50%，但已有超過25%的網站支持才剛剛成為標準的HTTP/3。</p> </div></div></div>
2022/7/21 16:30作者陳曉莉https://www.ithome.com.tw/news/152044
中國GPS追蹤裝置軟體漏洞，可洩露車輛位置、甚至切斷油料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全署<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-200-01" target="_blank">（CISA）本周針對一款受歡迎的GPS定位追蹤器發布安全公告</a>，警告6項漏洞可致車輛位置曝光，甚至讓駭客控制油料和車輛控制系統的風險。</p> <p><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker" target="_blank">安全廠商BitSight研究人員</a>Pedro Umbelino、Dan Dahlberg和 Jacob Olcott在中國深圳業者MiCODUS出品的GPS迷你追蹤器裝置MiCODUS MV720發現6個重大漏洞。這款裝置據信已出貨150萬臺，遍及169國，用戶涵括個人消費者、政府、軍隊、警方及企業。BitSight指出，這款裝置的使用者至少包括財星50大能源、石油及天然氣公司、一家航太公司、專家服務、製造業集團和一家科技業者、南美一國國軍、西歐一國執法機關、核電廠營運商、一中東政府、一北美政府部門及美國東岸一個州政府。</p> <p>這6項漏洞包含軟體使用寫死（hard-coded）的用戶憑證、驗證不當、跨站腳本攻擊（Cross-site Scripting）、以及經由用戶控制的金鑰繞過授權檢查。細部而言，CVE-2022-2107和 CVE-2022-2141皆為風險值9.8的重大漏洞，前者讓攻擊者登入Web伺服器，假冒用戶傳送SMS指令到GPS追蹤器，後者則讓攻擊者不需密碼傳送SMS指令給GPS追蹤器。CVE-2022-2199為高風險的跨站腳本攻擊，攻擊者可誘使用戶發出呼叫，以取得車輛系統控制。</p> <p>CVE-2022-34150和CVE-2022-33944則是GPS追蹤器端點上Web伺服器上的不安全直接物件參考（Insecure Direct Object References，IDOR）漏洞，對POST呼叫中的Device ID參數驗證不足，因而接受任意Device ID的呼叫，兩者分別為高度及中度風險漏洞。</p> <p>安全廠商相信，這些漏洞讓MV 720可能遭到多種型態攻擊，包括中間人攻擊、驗證繞過、滲透式監控。成功的攻擊可讓攻擊者接管任何MV 720 GPS追蹤器、存取位置、路線資訊、或傳送切斷油料指令、關閉防盜等多種功能。</p> <p>此外研究人員也發現，烏克蘭是歐洲國家中擁有最多MiCODUS GPS追蹤器的國家。國營運輸系統及基輔一家大銀行都是MiCODUS用戶。研究人員甚至貼出一個顯示MiCODUS用戶位置的全球地圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0721-CISA-MiCODUS%20MV720%20GPS%20tracker-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／BitSight</span></span></p> <p>CISA表示，這家廠商尚未提供軟體更新來緩解這些漏洞。CISA建議用戶減少控制系統裝置對外網曝露、儘可能從防火牆後定位控制系統及遠端裝置，且應和公司網路切開。需要開啟遠端存取時，應使用VPN等安全連線方式。此外CISA也提醒用戶不要點選不明連結或郵件附件，以免遭社交工程攻擊，而讓駭客取得車輛控制權。</p> </div></div></div>
2022/7/21 15:21作者林妍溱https://www.ithome.com.tw/news/152042
OpenAI文字轉圖像模型DALL-E 2擴大測試規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150301" target="_blank">OpenAI繼於今年4月發表</a>新版文字轉圖像模型DALL-E 2預覽版之後，<a href="https://openai.com/blog/dall-e-now-available-in-beta/" target="_blank">本周宣布擴大DALL-E 2的測試規模</a>，將在未來幾周邀請於等候名單上的100萬名使用者免費試用該模型。</p> <p>DALL-E是一個以文字描述就會自動產生圖像或藝術畫作的AI系統，奠基在具備1,750億個參數GPT-3上，但它僅使用120億個參數，利用一個文字與圖像配對的資料集，以文字敘述來產生圖像，與去年1月發表的第一代版本相較，2.0大幅度地改善了精確度、寫實度及解析度。</p> <p>在DALL-E 2於本周進入測試階段之後，受邀的使用者第一個月將可得到50個免費額度，每個額度可用來執行1個DALL-E原始提示，並產生4個圖片，或者是獲得一個編輯過的變化提示，可產生3個圖片，之後的每個月則能持續獲得15個免費額度。</p> <p>自預覽版問世3個月以來，全球已有超過118個國家的逾3,000名藝術家參與該系統的測試，包括插畫家、AR設計師、作家、景觀設計師、紋身藝術家、服裝設計師到導演，<a href="https://childrenscancer.org/resources-for-families/big-dreams-tour/" target="_blank">James Orrigo夫婦亦利用DALL-E 2替罹癌的兒童建立了Big Dreams Virtual Tour專案</a>，實現他們想像中的故事，並讓這些兒童擔任故事中的主角。</p> <p>雖然剛邁入測試階段，但DALL-E 2已開始支援商業活動，除了每月15個免費額度之外，使用者可花費15美元額外購買115個額度，而且即日起，使用者將獲得自DALL-E 2產生圖像的所有商業使用權，包括轉載、銷售或商品化等。</p> </div></div></div>
2022/7/21 15:56作者陳曉莉https://www.ithome.com.tw/news/152043
外洩資料不只用來勒索，也成攻擊情報共享利器，多個駭客組織著手打造受害者資料搜尋資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織付錢，勒索軟體普遍在加密檔案之前竊取機密資料，來做為後續索討贖金的籌碼，但現在陸續有3個駭客組織將這些資料彙整起來，供他人搜尋，使得外洩資料危害可能會更加嚴重。</p> <p>6月中旬起，有個勒索軟體駭客組織BlackCat（亦稱Alphv）鎖定單一受害組織，設置個資外洩查詢網站，聲稱是讓他們的員工與客戶，能夠得知自己的個資是否外洩；後來，對於不願支付贖金的受害組織，這個膽大妄為的攻擊團體，居然又建立外洩資料的搜尋引擎。</p> <p>這樣的做法，很快就有其他駭客組織跟進。</p> <p>例如，勒索軟體駭客LockBit將公布受害者的網站改版，加入了搜尋功能。Conti旗下的駭客組織KaraKurt，也仿效LockBit在網站新增搜尋功能，便利其他網路犯罪者找尋可下手的目標。</p> <p>由於KaraKurt專門接手不願向Conti付錢的受害組織，進一步向其勒索，現在有了系統化的搜尋機制，恐怕將帶來更大、更長久的威脅。</p> <p>從一連串駭客針對受害資料提供不同搜尋機制的過程，我們看到，除BlackCat的個資搜尋網頁，是為了利害關係人（飯店的員工和客戶）而設，後續這些團體開發的其他搜尋機制都用於網路犯罪生態圈，打算讓更多的駭客能夠濫用竊得的資料。</p> <p>雖然駭客這麼做無法立竿見影，馬上就出現顯著的成效，也很難確認受害組織是否就會因此願意向駭客低頭，但是可以想見的是，受害組織外流的資料，將會被其他駭客多次利用於攻擊行動，或是利用先前找到的入侵管道，不斷找受害組織的麻煩。</p> <p>過往勒索軟體駭客組織很可能在得手後，自己再重覆對受害組織發動攻擊索討贖金。但如今，這些駭客很可能不需再自行動手，而是交由其他組織處理後續處理。</p> <p>例如，勒索軟體駭客Conti將相關業務進行分工，就成立獨立的駭客組織KaraKurt，來接手後續索討贖金的業務。</p> <p>而在駭客提供了上述的搜尋功能之後，他們很可能藉此另闢新的業務。</p> <p>除了能將資料交給專門負責向受害組織勒索的駭客，他們也能和其他攻擊者交換情報，讓別人運用搜尋的功能，找到能用於攻擊的資訊。</p> <h3><strong><span style="color:#0000FF;">駭客團體設置個資外洩搜尋網站，借此向受害組織施壓</span></strong></h3> <p>關於駭客嘗試以資料搜尋的功能，迫使受害組織支付贖金的情況，可追溯自6月上旬揭露的勒索軟體攻擊行動。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat在上個月，攻擊美國俄亥俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。</p> <p>特別的是，駭客不只在洋蔥網路（Tor）公布資料，還架設類似「Have I Been Pwned」的個資外洩查詢網站，讓該飯店員工或是客戶，能以此確認自己的個資，是否因為攻擊事件而遭到外洩。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1-blackcat-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-blackcat-data-leak-site.jpg" style="width: 580px;" /></a></p> <blockquote><p><strong><span style="color:#808080;">勒索軟體駭客BlackCat攻擊美國俄亥俄州的飯店後，建立了類似Have I Been Pwned的個資查詢網站，希望讓該飯店的員工與客戶得知自己的資料遭到外洩後向飯店進行施壓，要求支付贖金取回資料。（圖片來源／Bleeping Computer）</span></strong></p> </blockquote> <p>該新聞網站指出，客戶的資料包含了姓名、入住日期，以及住宿費用。</p> <p>但員工個資涉及了更多敏感的資料，除了姓名，還包含社會安全碼、出生日期、電話號碼，以及電子郵件信箱等。此外，駭客也針對每個員工在飯店的工作經歷，製作了資料包供人下載。</p> <p>值得留意的是，這個查詢網站設置在公開的網際網路上，相關資料查詢結果，很有可能被其他網路搜尋引擎擷取、建立索引，而使得這些資料外流的情況更加嚴重。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金。</p> <p>而該飯店可能為了避免員工與住戶的集體訴訟，在上述人士不斷施壓之下，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><span style="color:#0000FF;"><strong>駭客食髓知味，建置更大的受害組織資料搜尋引擎</strong></span></h3> <p>在有了上述建置個資外洩資料庫的嘗試後，BlackCat企圖將受害者資料更加充分運用，但目標不再只是這些組織的利害關係人。</p> <p>資安團隊VX-Underground在7月12日，發現BlackCat有了新的行動。</p> <p>該組織架設了一個名為Alphv Collections的外洩資料庫，存放不願支付贖金組織的資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。</p> <p>這個駭客組織宣稱，資料庫的搜尋引擎的功能相當強大，用戶不只能利用檔案名稱或是關鍵字，尋找想要的資料，也能從Word、Excel、PDF文件，找出特定文字，甚至還能從JPG、PNG圖片檔案，進行文字內容的搜尋。</p> <p>更令人驚恐的是，資安業者Cyble指出，這套匯集受害者數據的資料庫系統，甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料，持續發起各種攻擊行動，例如，若找到遠端桌面連線（RDP）的存取資料，而能夠入侵特定類型的伺服器主機。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-Plain-text-Login-Credentials.png" style="width: 580px;" /></a></p> <blockquote><p><span style="color:#808080;"><strong>有了建置個資查詢網站的經驗，勒索軟體駭客BlackCat進一步對受害組織的資料提供搜尋功能，讓其他駭客能從中找出用於網路入侵行動所需的資訊，如RDP的帳密、IP位址等。<span style="font-style: italic;">（圖片來源／Bleeping Computer）</span></strong></span></p> </blockquote> <p>研究人員指出，過往駭客必須先耗費大量時間，從資料來源的提供管道下載，取得外洩資料後，往往還需要經過抽絲剝繭，才能撈出可用於攻擊的內容。</p> <p>而駭客組織BlackCat建置的Alphv Collections，則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，無需浪費時間去下載整個資料庫，而出現這樣的情況之後，很可能讓外洩資料的危害更加擴大。為了要遏止上述問題繼續蔓延，研究人員認為，企業應監控外洩資料的流向。</p> <h3><strong><span style="color:#0000FF;">其他駭客組織跟進，在受害組織公布網站提供搜尋功能</span></strong></h3> <p>繼BlackCat針對受害組織的資料提供搜尋功能，接著也有其他駭客採取這樣的手法，但做法略有不同，他們將公布受害者的網站，加入搜尋功能。</p> <p>根據資安新聞網站Bleeping Computer的報導，駭客組織LockBit、KaraKurt，約在7月中旬，相繼將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3-LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-LockBit_Search.jpg" style="width: 580px;" /></a></p> <blockquote><p><span style="color:#808080;"><strong>有了BlackCat的經驗後，勒索軟體駭客LockBit也運用類似手法，在公布受害組織的網站提供搜尋功能，雖然只能得知特定組織是否受害，但這些檢索內容很有可能會被其他駭客進一步利用，來找尋攻擊目標。<span style="font-style: italic;">（圖片來源／Bleeping Computer）</span></strong></span></p> </blockquote> <p>該新聞網站進一步指出，雖然兩組駭客僅提供搜尋受害組織名稱功能，不若BlackCat外洩資料全文檢索強大，KaraKurt網站相關功能也還無法使用，但其可能帶來的危害與影響，仍不能小覷。</p> </div></div></div>
2022/7/21 14:26作者周峻佑https://www.ithome.com.tw/news/152041
遠百全臺12座百貨物管全面行動化，導入1年多盤點效率提升1成7，外包抽查時間更省下一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠東百貨近年積極推動數位管理，3年來建置和升級了多達240套系統，要讓百貨商場的人、事、物管理都行動化。近日在2021永續報告書中更公布了物管行動化導入1年多來的成果，讓全臺十多座百貨公司的盤點效率提升了17%，對外包人員的抽查作業時間更從100分鐘縮短到50分鐘。</p> <p>百貨業是一項高度依賴人力的產業，要維護和管理賣場各項設備，得仰賴大量物業管理人力，天天從早到晚的長時間巡查，但隨著人力成本越來越高，遠百在2018年時開始思考，如何提升工作效能來降低物管人力需求，成立了智慧物管App小組，希望透過大數據來管理商場資產和設備，利用App即時搜集更完整的管理數據，做為日後發展智慧零售的基礎之一。</p> <p>花了2年開發，遠百在2020年時，陸續上線測試了兩款智慧物管的App，包括了巡檢App和物管App，2021年導入到全臺11座百貨公司（註：遠百2022年才設立遠百竹北店，故2021年僅11座），來提升管理效率，也能提醒異常狀況和人員執勤到位管理。</p> <p>在巡檢App中，內建了時程管理功能，要求管理人員必須親自到機電設備旁的巡檢點，才能讀取電子巡檢表單，填妥巡檢紀錄後傳送到雲端儲存。遠百表示，這樣的做法有效解決了檢查不準時、巡檢不到位、紀錄不正確且難以存取等問題。巡檢App也搭配了一套後臺系統，可以分析雲端的巡檢紀錄，產出巡檢基準分析、趨勢分析等資料，協助預測設備狀況，在設備數值異常時自動提醒管理人員處理。</p> <p>而物管App則包含了資產管理、公務車管理、人力管理及清潔巡檢四大項目。遠百物管作業繁雜，因此物管App首要目標就是降低人為疏失。物管人員只要用手機掃描資產，資產管理功能就會自動產出盤點數據。此功能不僅提升了17%盤點時效，更直接將人為錯誤案件降至0件。此外，由於遠百物管作業流程，需要總公司管理部門及分公司執行部門之間跨部門溝通，因此無紙化跟遠端控管功能，也大幅提升了物管效率。例如，外包人員管理作業改為遠端抽查後，每件抽查案件所需時間隨之減半，從每件100分鐘降至50分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image001(8).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image001(8).jpg" style="width: 600px;" /></a></p> <blockquote><p>遠百物管App將人力密集的作業智慧化，降低了人為疏失的可能並提升工作效率。圖-遠百提供</p> </blockquote> <p>2021年，遠百在管理會議中開始討論，如何擴大物管App的經驗，將各百貨分店業務管理也行動化，未來要進一步邁向全方位行動化管理。</p> <p>不只智慧物管，遠百在永續報告書中透露了在稽核作業智慧化的最新進度。2021年，遠百導入了風險導向稽核管理（RAP）平臺，串接現有CSA法遵系統及ACL智能稽核系統，將遠百旗下零售事業的稽核功能進一步整合。遠百正在進行內部教育訓練，預計於2022年Q2正式啟用RAP平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1658132804970.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1658132804970.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/7/21 12:18作者郭又華https://www.ithome.com.tw/news/152037
微軟撤回Microsoft Store禁售開源軟體的決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在遭到強烈反彈後，微軟本周撤回禁止開發商在Microsoft Store銷售開源軟體的新政策。</p> <p><a href="https://docs.microsoft.com/en-us/windows/uwp/publish/store-policies" target="_blank">上個月Microsoft Store App的2項新政策10.8.7和11.2</a>，分別是關於上架App的訂價及侵權通報的規定。其中10.8.7遭到開發商反彈，促使微軟本周一修改。</p> <p>目前10.8.7的規定寫道：「在決定產品或In-App購物訂價時，所有訂價應相對產品功能訂合理價格，不宜過高。」上個月這項規定原本還包含一些關於開源軟體的新規範，旨在禁止開發商在Microsoft Store上販售以開源軟體重新包裝後的軟體，企圖從自由軟體或開源軟體獲利，預定8月18日正式生效。消息一出引發使用者的不滿及抗議，促使微軟上周決定暫緩執行，並決定在本周一進一步撤回新規定。</p> <p><a href="https://twitter.com/gisardo/status/1549055382684925957" target="_blank">Microsoft Store總經理Siorgio Shardo指出</a>，這項變更原是為了保護用戶免受「誤導性的產品」之害，但聽取用戶的回饋意見後，公司已從10.8.7和11.2中移除之前關於開源軟體的規定。他說微軟致力於建立開放的Microsoft Store，實現開發人員選擇權及彈性，也強調Microsoft Store上有很多免費及付費OSS，期待未來會有更多。</p> <p>另一項變更則是在11.2 App的智財或侵權疑慮，<a href="https://www.microsoft.com/en-us/legal/intellectualproperty/infringement" target="_blank">微軟加入了線上侵權通報表格的連結</a>。</p> <p>對於開源軟體是否可以經重新包裝成為少數人或平臺的獲利來源，開源組織向來有不同態度，有人則認為不應如此。例如<a href="https://www.ithome.com.tw/news/151797" target="_blank">開源軟體組織Software Freedom Conservancy（SFC）指</a>稱，GitHub的AI輔助程式撰寫服務Copilot利用開源軟體社群的資產卻轉成獲利工具，而且可能還用到了授權的程式碼，這點並不可取，而決定終止使用GitHub，還將協助開發商從GitHub轉移。</p> </div></div></div>
2022/7/21 12:21作者林妍溱https://www.ithome.com.tw/news/152038
《創世神》遊戲宣布不支援區塊鏈及NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.minecraft.net/en-us/article/minecraft-and-nfts" target="_blank">打造《創世神》（Minecraft）遊戲的Mojang於周三（7/20）宣布</a>，由於非同質化代幣（Non-Fungible Token，NFT）的稀缺與獨家特性，並不符合該遊戲的使用指南，因此《創世神》既不準備整合區塊鏈技術，也不會支援NFT。Mojang現為微軟資產，微軟在2014年以25億美元買下Mojang，也推出教育版《創世神》。</p> <p>近來興起的NFT屬於數位資產的憑證，這些數位資產可能是MPEG、GIF，或是最熱門的JPEGs，支持NFT的社群宣稱這些奠基於區塊鏈上的圖像，未來將可攜至不同的平臺，包括社群或遊戲，以作為使用者的頭像或標記，而已有不少公司已經推出與《創世神》有關的產品，從檔案、造型到收藏品，亦允許玩家透過遊戲成績賺取NFT。</p> <p>不過，Mojang指出，在《創世神》的使用指南中，建立了伺服器所有人所能執行的存取管理規定，要求所有玩家都應該能存取同樣的功能，這些規定是為了確保《創世神》是個任何人都能存取同樣內容的社群；然而，NFT所帶來的稀缺與獨家性卻違背了該遊戲的指南與精神。</p> <p>因此，為了讓《創世神》的玩家擁有安全與包容的經驗，《創世神》的客戶端及伺服器端應用都禁止整合區塊鏈技術，涵蓋遊戲中的世界、造型、物品或其它模組。</p> <p>Mojang解釋，利用NFT或任何區塊鏈技術所建立的數位所有權，是奠基在稀缺性與獨家上，這並不符合《創世神》的創造性包容或大家一起玩的價值觀，且NFT甚至創造了一個富人與窮人的場景；圍繞在NFT的投機與投資心態也讓玩家的注意力從遊戲轉移至牟利，違反《創世神》帶給玩家長期的快樂與成功的宗旨。</p> <p>此外，有些第三方的NFT並不可靠，資產管理者可能突然消失，也充斥著詐騙與被哄抬的價格，有違《創世神》想要創造的內在價值。</p> <p>Mojang強調，目前《創世神》並不允許客戶端或伺服器端應用整合區塊鏈，也不允許它們利用區塊鏈來建立與遊戲內容有關的NFT，正著手制定新的使用指南，同時該公司也會密切觀察區塊鏈技術的發展，檢視能否在遵守該指南的原則下融入相關技術，但至少現階段並無整合區塊鏈的計畫。</p> </div></div></div>
2022/7/21 12:36作者陳曉莉https://www.ithome.com.tw/news/152039
特斯拉出售所持有的75%比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁抱加密貨幣，並在去年第一季購入價值15億美元比特幣的<a href="https://tesla-cdn.thron.com/static/EIUQEC_2022_Q2_Quarterly_Update_Deck_J8VLIK.pdf?xseo=&response-content-disposition=inline%3Bfilename%3D%22_022-Q2-Quarterly-Update-Deck.pdf%22" target="_blank">特斯拉（Tesla）於周三（7/20）公布的財報聲明中透露</a>，該公司已出售所持有的75%比特幣，進帳9.36億美元。</p> <p><a href="https://www.ithome.com.tw/news/142703" target="_blank">特斯拉在去年第一季將加密貨幣納入投資策略中</a>，宣布已購入價值15億美元的比特幣，同時宣布將允許消費者以比特幣購車，不過，<a href="https://www.ithome.com.tw/news/144386" target="_blank">同年5月特斯拉即以環保為由</a>，撤銷了以比特幣購車的決定。</p> <p>在今年第二季的財報聲明中，特斯拉表示已將所持有的75%的比特幣轉換為法定貨幣，進帳9.36億美元，而該財報聲明也顯示，目前特斯拉所擁有的剩餘比特幣，價值約為2.18億美元。</p> <p>去年第一季時，特斯拉出售了價值1.28億美元的比特幣，若再計入今年第二季所出售及剩餘的比特幣價值，特斯拉的比特幣投資大約虧損了2.18億美元。</p> <p><a href="https://www.theblock.co/post/158765/tesla-sold-936-million-in-bitcoin-in-the-second-quarter" target="_blank">根據《The Block》的報導</a>，即便出售了所持有的大多數比特幣資產，特斯拉執行長馬斯克（Elon Musk）對於未來是否再買進比特幣仍抱持開放態度，也強調特斯拉的此一決定不應被視為對比特幣的判決，而只是為了流動性而作出的決策。</p> <p>有鑑於比特幣價格的向下修正，不只是特斯拉，<a href="https://www.ithome.com.tw/news/151798" target="_blank">全球主要比特幣挖礦公司Core Scientific也在今年6月售出所持有的近8成比特幣</a>，但Core Scientific同時也持續擴張該公司的挖礦效能。</p> <p>比特幣價格在今年6月中旬一度跌破1.8萬美元，之後即緩慢回升至2.4萬美元，不過，特斯拉的財報聲明讓比特幣價格再度從2.4萬跌至2.28萬美元。</p> </div></div></div>
2022/7/21 12:59作者陳曉莉https://www.ithome.com.tw/news/152040
上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明影響，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。</p> <p>值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <p>成立於2001年永昕生物醫藥（Mycenax Biotech），從專攻生物新藥研發，近年擴及生物藥品委託開發暨製造廠（CDMO），內容涵蓋產程開發到藥品製造生產，其企業總部整合實驗室位於竹北生醫園區，並有位於苗栗竹南的兩個廠房（GMP一廠、GMP二廠）。</p> <p>根據永昕生物醫藥這次發布的公告內容，該公司是在7月18日（周一）發現異常，偵測到部分資通系統遭電腦病毒攻擊，並在當日晚間6點即發布消息。關於事件處理經過，該公司說明，已啟動防禦機制與復原作業，並立即與資安專業人員合作清除病毒。</p> <p>對於這起事件是否可能帶來衝擊，根據該公司的說明，目前評估此事件對公司營運不會帶來重大影響，而在因應方面，目前受影響的資通系統已在陸續回復運作中，同時也表示會持續提升網路與資訊基礎架構的安全管控，以確保資料安全。</p> <p>由於永昕生物醫藥在這份公告中，僅提及部分資通訊系統受影響，關於影響範圍與是否為勒索軟體攻擊？我們欲進一步詢問該公司，不過，該公司總經理暨發言人陳佩君留言表示，目前針對此事暫不提供任何回應。</p> <p>以生技製藥領域而言，近期國際上也傳出不少資安事件，例如上個月6月，總部位於瑞士巴塞爾的跨國製藥及生物技術的大型藥廠<a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/">諾華（Novartis），傳出</a>機敏資料可能遭竊的消息，以及<a href="https://www.fda.gov/medical-devices/letters-health-care-providers/illumina-cybersecurity-vulnerability-may-present-risks-patient-results-and-customer-networks-letter">美國食品藥物管理局（FDA）揭露</a>基因定序大廠Illumina多款產品存在重大漏洞可恐影響患者檢測結果與用戶網路安全。</p> <h2><strong>2022-07-18 永昕</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明部份資通系統遭病毒攻擊</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">7月18日發現狀況啟動防禦機制與復原作業。</td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及部分資通訊系統</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">受影響的資通系統陸續回復運作，將持續提升網路與資訊基礎架構之安全管控以確保資料安全。</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在7月18日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年7月<br /> </td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-19_184100.jpg" style="width: 600px;" /> </p> </div></div></div>
2022/7/20 21:46作者羅正漢https://www.ithome.com.tw/news/152030
Google發現一款偽裝成替烏克蘭發動DDoS攻擊的Android惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自俄羅斯入侵烏克蘭以來，Google威脅分析小組（Threat Analysis Group，TAG）便密切觀察東歐的網路安全環境，包括雙方的網路攻擊攻防，<a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/" target="_blank">本周TAG揭露</a>，由俄羅斯聯邦安全局（FSB）指揮的駭客集團Turla正以烏克蘭國民警衛隊Ukrainian Azov Regiment的名義設立Cyber Azov網站，號召親烏的使用者參與鎖定俄羅斯網站的分散式服務阻斷（DDoS）攻擊，然而這卻是假象，當使用者下載用來攻擊的Android程式後，安裝的卻是惡意程式。</p> <p>在俄烏開戰之後，便有親烏的開發者打造了StopWar程式，召集群眾的力量鎖定俄羅斯的網站發動DDoS攻擊，而Google即認為，Cyber Azov就是在仿效StopWar，以吸引烏克蘭的支持者上當。</p> <p>Cyber Azov網站宣稱他們是由全球自由人民組成的團隊，共同對抗俄羅斯的侵略，該站提供了同名的CyberAzov程式供Android用戶下載，號稱可藉由持續傳遞請求至俄羅斯網站來耗盡它們的資源，並列出了攻擊目標。Cyber Azov網站亦公布了比特幣捐款帳號。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Turla_web.max-1000x1000.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google TAG</span></span></p> <p>不過，TAG的調查發現，此一CyberAzov只傳送一次請求到目標網站，根本毫無攻擊力道，<a href="https://www.virustotal.com/gui/file/745e8c90a8e76f81021ff491cbc275bc134cdd7d23826b8dd23e58297fd0dd33/" target="_blank">而VirusTotal上的資料則顯示</a>，CyberAzov被15家資安業者的產品列為惡意程式。</p> <p>Turla透過第三方的傳訊程式來宣傳Cyber Azov網站，但似乎成效不彰，因為該站的比特幣帳號並未收到任何捐款，而TAG也說CyberAzov並非藉由Google Play散布，應該只有極少數的Android用戶下載了該程式。</p> </div></div></div>
2022/7/21 10:21作者陳曉莉https://www.ithome.com.tw/news/152035
Google在歐洲開放第三方支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會於7月初通過了<a href="https://www.ithome.com.tw/news/151788" target="_blank">《數位市場法》</a>（Digital Markets Act，DMA），該法案禁止大型科技業者濫用其市場力量阻礙競爭，<a href="https://blog.google/around-the-globe/google-europe/an-update-on-google-play-billing-in-the-eea/" target="_blank">而Google也因此於本周宣布</a>，歐盟經濟區（European Economic Area，EEA）的非遊戲開發者即日起就能於程式中提供除了Google以外的支付系統。</p> <p>Google的歐盟事務部總監Estelle Werth表示，Google將會遵循歐盟的新規定，但舉凡是選用其它支付系統的開發者都必須滿足保護使用者的要求，也必須繼續支付Google服務費。</p> <p>過去蘋果與Google一向對使用其平臺支付機制的開發者抽取30%的交易費用，但前兩年<a href="https://www.ithome.com.tw/news/141200" target="_blank">蘋果</a>與<a href="https://www.ithome.com.tw/news/143272" target="_blank">Google</a>先後將小型開發者的抽成費用調降至15%。Google表示，就算開發者採用了其它的支付機制，依然必須付給Google服務費，但可以減少3個百分點，代表倘若原本使用Google支付機制必須付15%，現在採用其它支付機制則必須付12%予Google。</p> <p>但即日起Google再也不會移除那些採用第三方支付機制的程式，也不會再拒絕它們更新。目前的政策僅適用於歐盟區以及非遊戲類程式，Werth指出，該政策終將會擴及遊戲，而且會在DMA生效前上線。</p> <p>DMA對蘋果而言可能更為艱困，因為它不僅要求蘋果要容許第三方支付，也可能迫使蘋果開放第三方程式市集，打破App Store從成立以來的唯一局面。</p> <p>其實歐盟經濟區並非Google或蘋果的唯一例外，南韓在2021年9月通過法令，允許行動程式開發者使用其它的付款機制，<a href="https://www.ithome.com.tw/news/147678" target="_blank">Google</a>與<a href="https://www.ithome.com.tw/news/151696" target="_blank">蘋果</a>已相繼於去年及今年開放第三方支付。</p> </div></div></div>
2022/7/21 10:37作者陳曉莉https://www.ithome.com.tw/news/152036
4年斥資11億研發！獨家解密統一超商新一代X POS機，一機兩用支援自助結帳，更是未來10年創新關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商（以下簡稱統一超）今年開始悄悄在自家門市部署新世代POS機「X POS機」，除了在統一超實驗門市X Store可以看到，近日開幕的亞洲第10,000間店中也可以見到它。統一超表示，X POS機將支援未來8到10年推出的新服務，其中最重要的新特色是，可以支援自助結帳。</p> <p>統一超早在4年前，就開始籌畫這款新型POS機。X POS機從發想到落地，統一超商花了4年、斥資近11億元，才完成開發及製造。</p> <p>統一超表示，自家POS機生命周期約8至10年，上一代POS機從2012年開始啟用，至今服役超過9年。統一超從今年4月開始部署新一代X POS機，目前已導入近百家門市，預計今年年底前會在全臺6,500家門市全面啟用。</p> <p>每當一代POS機走到生命周期後半時，統一超就會展開新POS機的研發會議，除了探討如何整合並優化現有功能外，也計畫為自助結帳等新服務，打造相應的功能及硬體設備，甚至為未知的未來服務，預留軟硬體擴充彈性。</p> <p>自助結帳功能並不新奇，統一超部分門市早就設有專門的自助結帳機，不過，通常放置在門市角落，而不是設在結帳櫃檯。自助結帳與人工結帳分開兩處，這也是大多數自助結帳機的設置方式。不過，店員結帳跟自助結帳的動線各自獨立，意味著店員大部分時候仍須守在櫃檯前。</p> <p>新款X POS機最大特色是可以一機兩用，在店員結帳和自助結帳兩個模式中自由切換，不僅可以省下額外放置自助結帳機的空間，也能統一超結帳動線，還能依照現場情況，彈性調配店員人力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/488422.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/488422.jpg" style="height: 400px;" /></a></p> <blockquote><p>統一超X Store的現有自助結帳機，放在店面角落，與櫃檯結帳<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">動線相互獨立。</span></p> </blockquote> <p><strong>POS軟硬體功能都大升級，來支援自助結帳新模式</strong></p> <p>為了支援消費者自助結帳功能，統一超在X POS機中強化了不少硬體設計，來優化消費者自助結帳不同步驟的體驗。自助結帳免不了的步驟是必須掃描條碼，又可細分為掃描實體商品、Open Point App或第三方電支App的條碼。</p> <p>為了因應不同型態的掃描及結帳情境，統一超在這臺X POS機上，設置了四款掃描器，包含了一個固定式掃碼器、一大一小的無線掃描器以及一個有線掃描器。統一超舉例，掃描手機上的QR Code時，就可以將手機平放在固定式掃描器下；一次購入大量商品時，則可以不用手拿掃描器，改用手拿商品來一一掃過大型無線掃描器，來加快掃描速度。除了連接POS機後方的有線掃描器外，其他三款掃描器都設置在便利消費者從櫃檯外側取用的位置，這也反映出統一超設計X POS機時，已經預先想像過多種自助結帳時會發生的情境。</p> <p>消費者使用電支工具付款時，除了掃描電支App條碼，另一方式是直接讀取實體卡片來結帳。為了支援更多種支付形式的處理，X POS讀卡機在讀取、運算及資料拋轉速度，都比上一代更快，來縮短結帳等待時間。此外，卡片讀卡機的螢幕也從上一代的低亮度黑白顯示，升級為全彩顯示，提供更清晰、舒服的扣款資訊瀏覽體驗。</p> <p>結帳流程最後一步是，列印收據、發票或折價券，過去都是由店員撕取後遞交給消費者，前一代POS機的發票列印機出口面向店員。但在X POS機上，同時考慮到自助結帳跟店員結帳兩種情境，因此，改為垂直向上輸出列印收據的方式，讓分立在POS機兩端的店員或民眾都能輕易撕取。</p> <p>X POS機硬體還有另一項大升級，面向消費者端的螢幕，從4:3橫向螢幕，改為16:9直向子母螢幕。較大的母螢幕上半部顯示結帳資訊，包括購買品項、消費者結帳時使用的會員點數以及支付管道，下半部則播放廣告或顯示抽獎等互動元素。子螢幕目前則用於播放廣告，不過，不論母、子螢幕都支援觸控功能，統一超表示，未來不排除推出雙螢幕互動功能，只是這些功能會等全臺門市POS機更新完畢後，才會推出。</p> <p>新螢幕不僅方向改為直式，解析度也較前一代更高。直式螢幕有更大空間在結帳時列出更多條購買品項、支付工具等訊息；高解析度則增加了這些額外訊息的易讀性。結帳資訊更清晰，也有助於優化自助結帳流程。消費者自助結帳大量品項時，常會因為懷疑自己操作失誤（如重複刷、沒刷到），請店員協助確認、解決，不僅減少店員人力調配彈性，也會增加後方排隊消費者的等待時間。有了更詳細、更易讀的結帳資訊，統一超希望有助於消費者在螢幕上確認，自行排解部分情況。</p> <p><strong>電子選單常用功能增設實體按鍵，店員螢幕觸控放大有助招募銀髮店員</strong></p> <p>除了硬體優化，X POS機的功能也有不少改良來簡化操作，希望能近一步縮短結帳等待時間。其中一項，就是將部分常用功能的按鈕，從POS系統的電子選單中，移出到實體鍵盤上。統一超表示，將常用功能集中在實體鍵盤上，店員就不用花時間在層層電子選單中尋找，不僅降低操作難度，更能提升結帳速度。</p> <p>另外，X POS機的店員端螢幕，可以用觸控手勢放大介面，有助於視力不佳的店員操作POS系統。統一超表示，這是因應高齡化社會中，銀髮族店員逐漸增加而設計的功能。</p> <p>軟體上，新POS系統也將部分類似情境的操作選項，整合成更易懂的單一選項。例如，過去為電子票證加值的情境，分為「單獨加值」及「交易中加值」兩種選項，新POS系統則將兩種選項整合為「電子票證加值」，簡化店員操作難度。</p> <p><strong>預留軟體擴充彈性和硬體運算力，為未來服務鋪路</strong></p> <p>新一代X POS機預計未來至少要服役8到10年，統一超也為了未來更多服務，預留了軟硬體擴充彈性。尤其，統一超今年將會員經營策略重點，從提升會員總數轉向提升會員活躍度，光是串接統一超數位商務服務平臺，POS系統就多了上百款數位會員服務要執行。統一超表示，新版POS系統較舊版更容易新增功能，以便彈性支援未來的新服務，不過，統一超沒有透露POS系統運作細節，或未來會新增的服務。</p> <p>不過，X POS機特別為了日後的智慧化功能，提高了硬體規格。舉例來說，統一超POS系統內建了自動推薦優惠組合的功能，可以根據消費者所購商品對應的促銷活動，在螢幕上顯示出多種優惠組合的推薦。</p> <p>這些優惠組合，除了在已掃描品項中尋找最佳優惠組合外，甚至可能追加推薦其他商品。例如，在特定促銷活動中，若買四瓶飲料會比買三瓶更便宜，POS系統會建議只買三瓶的消費者再買一瓶，而不僅是從現有三瓶飲料中推薦最便宜的優惠組合。統一超指出，此功能相當耗費運算資源，雖然舊一代POS機就能支援此功能，但X POS機的算力更強，能在「可接受等待時間」內算出更多種優惠組合，也追加了推薦優惠支付工具等功能，意味X POS機能支援未來更多元，且同時進行的促銷活動。</p> <p>統一超表示，X POS機籌畫期間，不僅投入7-Eleven、NEC集團、統智科技及統一資訊上百位專業資訊人員，也需要蒐集第一線門市收銀員使用上一代POS機的回饋，並和有串聯服務到POS機的外部廠商協調，光是電子支付廠商，就高達30至40家。</p> </div></div></div>
2022/7/20 17:02作者郭又華https://www.ithome.com.tw/news/152021
【資安日報】2022年7月20日，俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Ma…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭已經進行快5個月，俄羅斯駭客的網路攻擊行動也持續進行，今天有不少新聞是與俄羅斯駭客的攻擊行動有關。其中，又以駭客組織APT29針對外交使館的攻擊手法相當引人注目，因為這些駭客在過程中利用了兩個檔案共享服務Dropbox、Google Drive，來進行不同階段的攻擊行動。</p> <p>鎖定Mac電腦的惡意軟體CloudMensis也相當值得留意，駭客濫用了檔案共享服務Dropbox、Yandex、pClould來架設C2，並搭配macOS已知漏洞來發動攻擊。研究人員認為，攻擊者還有可能利用其他漏洞來繞過macOS的防護機制，呼籲用戶要將作業系統升級到最新版本。</p> <p>駭客組織8220的動作頻頻，而最近有資安業者指出，駭客建置的殭屍網路規模，較一年前增加15倍，研究人員認為，此舉與加密貨幣價格不斷下跌有關，使得駭客要擴大規模來維持營收。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p>Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在今年4月發現名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p>研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152007">【2022年7月19日】可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用</a></p> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> </div></div></div>
2022/7/20 18:00作者周峻佑https://www.ithome.com.tw/news/152023
NCC新設網際網路傳播治理處，掌網際網路政策規畫與推動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合數位發展部成立，NCC將移撥基礎設施與資通安全相關業務等7項業務，擬修改組織法，同時也新增網際網路傳播相關業務，設立網際網路傳播治理處（簡稱網傳處），以負責網際網路政策的規畫與推動。</p> <p>NCC近期公布數位中介服務法，依據該法規畫設立專責機構，以引進多方利害關係人議事架構，建立網際網路的治理共識，加上新設網際網路傳播業務等等，NCC對網際網路業務動作頻頻，讓外界聯想到加強對網際網路產業的監理力度。</p> <p>對此，NCC澄清對網際網路並非採取傳統的國家監理立場，由於網際網路跨境跨域傳播，因此全世界對網際網路多以治理，代替國家權力的監理，因此未來新設的網際網路傳播治理處也採用治理的概念。</p> <p>未來網傳處的工作，包括網際網路使用者權益促進機制的規劃、推動網際網路傳播問責機制、網路識讀及公民培力的規劃與推動、網際網路傳播治理發展趨勢及使用者行為研析調查，還有規畫協調處理相關爭議、促進合作交流與協調。</p> <p>至於日前公布的數位中介服務法草案，擬由政府以25億元作為創立基金，設立財團法人性質的數位中介服務專責機構，建立多方利害關係人議事機制，並作為政府各部會與中介服務業者間的單一窗口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/internet-1.jpg" style="width: 600px; height: 311px;" /></p> <p>對此，NCC內容處處長黃文哲表示，雖然草案中規定，專責機構由政府捐助成立，但究竟是由政府獨資或是由大家共同捐助資金，未來可以再討論修正。專責機構的核心業務之一是，召開多方利害關係人會議，推動網際網路治理政策的執行，以及執行各部會機構委託的事項。</p> <p>黃文哲補充說明，透過大家合力協力維護網際網路使用的秩序，網際網路如能更安全、更有秩序，對網際網路的使用、發展更有幫助。NCC對網際網路的治理目標是，由業者、使用者、政府三方協力，共同維持網路秩序的和諧。至於網際網路上的假訊息或是侵權內容，交由各部會自己的法令執行，並非由NCC的網傳處制定法律執行，不是管理網際網路的概念。</p> </div></div></div>
2022/7/20 19:30作者蘇文彬https://www.ithome.com.tw/news/152029
微軟發表新的企業社交程式Viva Engage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（7/19）發表了新的企業社交程式Viva Engage，它將是微軟遠端工作平臺Viva上的最新程式，也預計於今年8月直接取代Microsoft Teams中的Communities程式。</p> <p><a href="https://www.ithome.com.tw/news/142644" target="_blank">微軟在去年2月發表了Microsoft Viva</a>，它整合了Microsoft Teams與Microsoft 365，定位為員工經驗平臺，也是遠距工作的產物之一，<a href="https://www.theverge.com/2021/2/4/22265954/microsoft-viva-platform-features-remote-work" target="_blank">《The Verge》直接將它稱為Microsoft Teams中的新平臺</a>。目前Microsoft Viva既有的程式包括用來進行內部通訊的Connections、作為人事及員工福利應用的Insights、支援員工學習的Learning，以及知識管理系統Topics，Engage則可望成為Viva上的第五款程式。</p> <p>Viva Engage是以微軟在2012年以12億美元併購的企業社交網路服務Yammer為基礎而打造的，因此，它將連結整個組織內部的使用者，包括同事或主管，在此一網路中找答案，分享自己的故事，並在工作中找到歸屬感。</p> <p>組織員工透過Viva Engage得以張貼連結、檔案、照片及影片，而這些內容可同時觸及使用Microsoft Viva Connections、Outlook、Teams與Yammer的同事，總之，它就是一個企業版的社交程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-Microsoft%20Viva%20Engage-5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-viva-blog/announcing-microsoft-viva-engage/ba-p/3571382" target="_blank">Microsoft 365產品行銷總經理Seth Patton引用微軟內部的調查指出</a>，有43%的主管認為，建立關係是在混合及遠端工作場景下最大的挑戰，然而，社交資本的建立卻是組織成功的關鍵之一。</p> <p>未來Microsoft 365商業客戶都將可免費存取Viva Engage服務，但使用者必須具備Yammer許可才能使用Viva Engage。此外，Communities app for Teams也預計於今年8月底直接更名為Viva Engage。</p> <p><a href="https://techcommunity.microsoft.com/t5/yammer-blog/introducing-viva-engage/bc-p/3576709#M1603" target="_blank">Microsoft Yammer暨Office 365總經理Murali Sitaram說明</a>，Yammer依然是Microsoft 365與Microsoft Viva的重要元件，此一變更僅影響到 Communities app for Teams & Outlook，Yammer行動程式仍是Microsoft 365 SKUs的一部分，且不管是通訊或是貼文功能都會同時出現在Yammer與Viva Engage程式上。</p> <p>Sitaram還說微軟將會繼續投資Yammer，以將Yammer的強大功能帶進Microsoft 365與Viva。</p> <p>換句話說，至少在現階段Yammer與Viva Engage將會同時存在，而且在Yammer所建立的內容也能透過Viva Engage看到，反之亦然。</p> </div></div></div>
2022/7/20 16:42作者陳曉莉https://www.ithome.com.tw/news/152020
蘋果以5,000萬美元和解蝶式鍵盤集體訴訟案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/143402" target="_blank">蘋果用戶在2018年集體控訴蘋果替MacBook筆電所設計的蝶式鍵盤含有瑕疵</a>，違反了蘋果對誠信與公平交易的承諾，亦觸犯保固條款及多項美國法令，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.326502/gov.uscourts.cand.326502.410.1.pdf" target="_blank">雙方在本周達成和解協議</a>，蘋果同意支付5,000萬美元的和解費用。此一和解協議尚待法官核准。</p> <p>蘋果在2015年至2019年之間，陸續推出以蝶式鍵盤取代剪刀式鍵盤的MacBook、MacBook Air及MacBook Pro筆電，儘管蘋果宣稱蝶式鍵盤可減少鍵盤厚度，讓筆電更為輕薄，蘋果用戶卻抱怨蝶式鍵盤經常發生故障，只要有一點點的灰塵或碎片跑進鍵盤下方或周圍，鍵盤就會卡住；此外，蘋果的內部文件也曝露蘋果早就知道蝶式鍵盤的瑕疵，且即使多次改善也於事無補。</p> <p>在提出訴訟之後，一名MacBook用戶還發起請願活動，要求蘋果全面召回筆電以更換鍵盤，並獲得逾2萬名蘋果用戶的連署，<a href="https://www.ithome.com.tw/news/124084" target="_blank">2018年6月，蘋果即公布了MacBook、MacBook Air與MacBook Pro鍵盤的免費維修方案</a>。</p> <p>即使同意和解，蘋果依舊否認了訴訟中的所有指控，既不承認MacBook存在缺陷，也否認蘋果有任何不當或非法的行為。</p> <p>不過，蘋果願意支付5,000萬美元來支付使用者維修鍵盤的費用，曾換過一個鍵帽的可得到50美元，曾換過整個鍵盤的可得到125美元，若是曾多次置換鍵盤的則可得到395美元。</p> <p>由於蝶式鍵盤實在惹來太多批評，也讓蘋果在2019年之後推出的MacBook筆電產品線全面改回剪刀式鍵盤。</p> </div></div></div>
2022/7/20 14:48作者陳曉莉https://www.ithome.com.tw/news/152019
蘋果iPhone Tap to Pay只能用Apple Pay服務，挨告不當獲利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220715005490/en/Hagens-Berman-Apple-Sued-in-Massive-Antitrust-Class-Action-Lawsuit-Alleging-1-Billion-Illicit-Annual-Revenue-Stream-from-Apple-Pay-Fees" target="_blank">蘋果上個月正式推出的無接觸支付服務Tap to Pay本周遭集體控告</a>，指控其強迫iOS裝置只能使用Apple Pay電子錢包完成無接觸支付，藉此達到不當獲利的目的。</p> <p>這樁集體控告官司是由美國一家信用卡發行商Affinity Credit Union發起，最後整合多家信用卡發行商及金融業者，向加州法院提出，控訴蘋果藉由Apple Pay政策，不當向支付卡發行商收取費用，估計一年可能高達10億美元，違反美國聯邦反托拉斯法。<a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-sued-over-apple-pay-accused-of-antitrust-violations" target="_blank">《彭博新聞》昨日率先報導這項消息</a>。</p> <p>蘋果是在今年5月底測試<a href="https://www.ithome.com.tw/news/151316" target="_blank">，並在6月初正式推出「Tap to Pay」</a>，消費者結帳時，利用NFC通訊協定，只要以iPhone或Apple Pay靠近另一隻iPhone即可完成支付，店家無需另外安裝終端機或其他硬體。目前Tap to Pay服務僅在美國推出。</p> <p>控訴文件指出，蘋果政策不允許競爭者使用開發行動電子錢包的技術，使iOS裝置用戶在店家或網購時，只能用Apple Pay進行無接觸支付。而在確保Apple Pay的壟斷地位後，蘋果就可以向信用卡發行商收取高額手續費。相較之下，Android手機提供相同服務的廠商，卻未向信用卡公司收費。</p> <p>文件指出，Samsung Pay、Google Pay提供的功能和Apple Pay基本上一模一樣，但信用卡公司在iOS裝置上，卻被收取每筆0.15%的費用，每年支付總計10億美元。原因即是在Android平臺上有競爭，有多個數位錢包提供無接觸支付，而蘋果卻封堵了所有競爭者而使Apple Pay成為唯一選項。</p> <p>原告目的在改變蘋果強迫Tap to Pay服務只能經由Apple Pay完成支付的政策，並且要求蘋果歸還不當收取的費用。</p> <p><a href="https://www.theverge.com/2022/7/18/23269369/apple-pay-class-action-lawsuit-antitrust-tap-to-pay-eu" target="_blank">The Verge報導</a>，雖然法院不一定會許可集體控告，但負責這樁官司的Hagens Berman and Sperling & Slater律師事務所頗有辦法，分別在2016年及去年成功打贏對蘋果的集體控告官司，成功讓蘋果歸還向電子書廠商索取的費用，以及<a href="https://www.theverge.com/2021/8/26/22643807/apple-developer-class-action-lawsuit-collect-information-ios-apps-anti-steering" target="_blank">支付1億美元和解</a>第三方App開發商提出的托拉斯告訴。</p> <p>蘋果並未對此回應。</p> <p>5月間，蘋果也遭歐洲無接觸支付業者控告其不開放NFC技術的存取權，但蘋果回應，開放可能產生安全疑慮。這也是蘋果面對其他服務，如軟體商店控訴時的一貫說詞。<a href="https://www.ithome.com.tw/news/150723" target="_blank">歐盟執委會（European Commission，EC）近日初審</a>，判定蘋果濫用其iOS的獨占地位，限制開發者存取手機上的NFC技術，會限制創新，及傷害電子錢包消費者的選擇性。</p> </div></div></div>
2022/7/20 13:34作者林妍溱https://www.ithome.com.tw/news/152018
熱浪侵襲歐洲，Google與甲骨文在英國資料中心的冷卻系統相繼故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日熱浪侵襲歐洲，法國與英國相繼出現超過40度的高溫，就在英國創下40度高溫紀錄的周二（7/19），甲骨文（Oracle）與Google在英國的資料中心也傳出因冷卻系統故障，造成伺服器與特定服務停擺，顯示這些伺服器也熱壞了。</p> <p>根據<a href="https://ocistatus.oraclecloud.com/#/incidents/ocid1.oraclecloudincident.oc1.phx.amaaaaaavwew44aa7zoskanlspjh4ll6wxhwxrbkbed4d4cnupxexzqzvlyq" target="_blank">甲骨文雲端基礎設施的系統狀態</a>說明，出問題的是位於倫敦的UK South資料中心，因該區域出現不尋常的溫度，造成該資料中心的冷卻基礎設施故障，而讓網路、Oracle Block Volumes、Oracle Compute、Oracle Object Storage與Oracle Integration等雲端服務都一度停擺。</p> <p>當地的甲骨文資料中心從世界協調時間周二15:42（臺北時間周二23:42）開始故障，一直到周三00:20（臺北時間周三8:20）才完全恢復正常。</p> <p>Google在同一天出問題的資料中心為<a href="https://status.cloud.google.com/incidents/XVq5om2XEDSqLtJZUvcH" target="_blank">europe-west2-a</a>，正巧也是位於英國倫敦。Google並未說是氣候所造成，僅說是代管europe-west2-a部分能力的其中一棟建築物的冷卻系統故障了，使得少數客戶的VM停擺與機器遺失了，為了避免損害機器或讓災情擴大，Google關閉了該區的部分電力，並限制GCP的先占（Preemptible）功能。</p> <p>Google在英國資料中心的冷卻問題，始於太平洋夏令時間周二10:13（臺北時間周三01:13），一直到當天15:29（臺北時間周三06:29）還沒完全恢復正常，在這最後一次的資訊更新時，Google亦說並無預估的復原時間。</p> </div></div></div>
2022/7/20 12:26作者陳曉莉https://www.ithome.com.tw/news/152016
Netflix付費分享及廣告支撐服務都將在明年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2022/q2/FINAL-Q2-22-Shareholder-Letter.pdf" target="_blank">全球影片串流龍頭Netflix周二（7/19）公布了今年第二季的財報</a>，該季Netflix締造了79.7億美元的營收，比去年同期成長9%，每股盈餘為3.2美元，亦高於去年同期的2.97美元；該季的全球訂閱用戶比上一季減少了97萬人，但已低於原先的200萬人預估。此外，不論是廣告支撐方案或是付費分享政策都預計在明年上線。</p> <p>在Netflix的全球營收中，北美市場占了35.4億美元，EMEA（歐洲、中東與非洲）占了24.6億美元，拉丁美洲占10.3億美元，亞太地區則占9.1億美元；雖然亞太地區不論是營收或是付費會員數都位居末位，但今年第二季只有該區域的訂閱用戶數是成長的，其它3個市場皆下滑。</p> <p>在今年第二季時，Netflix的全球付費會員數為2.2億，比去年同期增加5.5%，但比上一季少了97萬人。</p> <p>不過，Netflix力挽狂瀾的新計畫都將在明年現身。Netflix表示，預計在2023年初就會與微軟合作推出基於廣告的Netflix訂閱服務，此一廣告支援方案的訂閱費用將低於既有的3種方案，將率先選擇在廣告支出規模較大的市場上線。</p> <p>此外，今年以來Netflix亦開始於特定市場測試Add an Extra Member及<a href="https://www.ithome.com.tw/news/151998" target="_blank">Add a Home功能</a>，以要求那些分享帳號給非同住家人的用戶額外付費。Netflix於財報中透露，相關測試的目的是找出一個更容易執行與被接受的付費分享政策，以便在明年實施。</p> <p>財報出爐後，Netflix當天的盤後股價漲至217.46美元，漲幅為7.85%。</p> </div></div></div>
2022/7/20 12:38作者陳曉莉https://www.ithome.com.tw/news/152017
Slack變更免費版內容，Pro版將漲價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/en-gb/blog/news/pricing-and-plan-updates" target="_blank">已為Salesforce.com收購的Slack宣布</a>Pro版付費服務將從9月1日調漲價格，同時宣布變更免費版服務內容，由免費10,000則訊息變成90天以內訊息可免費存取。</p> <p>首先，Slack表示，為反映推出以來新增的功能，同時未來有能力持續投資創新，將自2014年推出以來首次漲價。不過這波僅影響Pro版訂閱戶。從9月1日起，Pro版每人月費將從8美元漲為8.75美元，年費則從每人80美元漲為87美元。<a href="https://slack.com/help/articles/7050776459923-Pricing-changes-for-the-Pro-plan-and-updates-to-the-Free-plan" target="_blank">Slack另外也提供了</a>歐元、英鎊、日圓及印度盧布的價目表。</p> <p>Slack鼓勵用戶趕快續訂。現有Pro版年租用戶若在9月1日前更新年租服務的話，可以維持現有年費水準。而月租版用戶若在9月1日前變更為年租，則可以享受同樣待遇。</p> <p>Business+和Enterprise Grid方案的定價將維持不變。Pro版漲價後，教育版及非營利版仍將適用現行的折扣優惠。</p> <p>至於免費版服務內容，Slack也有所變更。首先增加了免費版服務內容，像是可允許用戶在私訊或工作空間中傳送影音檔、或螢幕共享訊息。此外，9月1日後，免費版工作空間擁有者與管理員也可設定訊息和檔案保留期間，這功能過去只存在付費版。Slack要用戶小心設定，超過這個期間的訊息和檔案系統會自動刪除，刪除後即無法再復原，即使用戶升級為付費版也救不回來。</p> <p>另一方面，Slack宣布免費版內容限制，同樣在9月1日起生效。免費版現行最多可傳送10,000則訊息和5GB儲存空間，未來將改為可免費存取過去90天以內的訊息紀錄、檔案和剪輯。Slack宣稱，變更後，「大部分」免費版群組用戶可存取的訊息紀錄會比以前多。</p> <p>9月1日後，90天以前的內容會被Slack隱藏。用戶必須升級為付費版才能解鎖完整的訊息和檔案。同樣的，群組若以Slack Connect和外部組織合作，變更服務後，也是只能免費存取90天的訊息和檔案，除非用戶改為付費版。</p> </div></div></div>
2022/7/20 11:56作者林妍溱https://www.ithome.com.tw/news/152014
FBI警告駭客正藉由偽造的加密貨幣投資程式進行詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2022/220718.pdf" target="_blank">美國聯邦調查局（FBI）周一（7/18）警告</a>，這一年來發現許多駭客透過偽造的加密貨幣投資程式進行詐騙，迄今至少有224名受害者被騙，損失近4,300萬美元。</p> <p>駭客通常對外宣稱提供合法的加密貨幣投資服務，再說服投資人下載行動程式，並透過這些程式來詐騙投資人的加密貨幣。主要作法是以合法的美國商業公司作為幌子，利用這些商業公司的資訊建立網站，藉以取得不察的投資人的信任，進而下載假冒的行動程式。</p> <p>例如在2021年12月至2022年5月間，有一駭客集團假冒了美國的金融機構，說服投資人下載了冒用該金融機構名稱與商標的行動程式，再要求投資人將加密貨幣存入該程式的錢包中，總計有28名投資人下載了該程式。</p> <p>不過，當其中的13名投資人打算提款時，卻收到了電子郵件，指出若要提款必須先支付稅金，然而，就算支付了稅金，依舊提不出款項。這28名投資人總計損失了370萬美元。</p> <p>另一個駭客集團則是以YiBit加密貨幣交易中心的名義進行詐騙，利用同樣的手法向4名投資人騙走了550萬美元。YiBit是個曾經存在的加密貨幣平臺，但已於2018年關閉。</p> <p>還有一個駭客集團盜用了Supay的品牌名稱，Supay為澳洲的加密貨幣交易中心，但可能未在美國註冊，而讓駭客有機可趁。駭客同樣誘導投資人下載同名的程式並存入加密貨幣，但受害者一樣領不出所存入的資產。</p> <p>FBI建議對加密貨幣有興趣的投資人必須特別小心不請自來的投資邀請，確認相關的公司是否確實存在或合法，在提供個人資訊之前最好先驗證對方身分。</p> </div></div></div>
2022/7/20 10:12作者陳曉莉https://www.ithome.com.tw/news/152010
群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國內高科技製造業資安事件的增加，按理來說，這些公司對資安的重視程度不得不提升，然而，實際上是否採取足夠的行動，外界所能得到的消息相當有限，最近我們有一家公司打破了這樣的刻板印象，那就是面板大廠群創光電，他們在6月底加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），難得的是，以臺灣本身而言，這是第12個加入這個聯盟的單位，更是首家高科技製造業加入FIRST的成員。</p> <p>成立於1990年的FIRST，主要目的是為了協助國際資安事故應變，包括新的漏洞或是廣泛的攻擊，提供資安威脅情資的即時分享，以及各式資安事件調查技術的資訊，像是外界所熟知的資安燈號等級規範（TLP），就是該組織為了強化情資分享而訂定。至今全球已有110國、635個資安應變團隊加入，主要來自政府、企業、學術單位。</p> <p>以臺灣而言，共有12個組織或產品資安應變團隊成為FIRST會員，初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</p> <p>特別的是，6月25日群創光電正式加入FIRST，這也意味著該公司對於資安的看重，以及實際推動的資安防護措施已到達相當高的水準，因此有積極加入國際資安緊急應變社群的必要性。</p> <p>為了瞭解群創的資安作為，從該公司這兩年公布的年報與CSR責任報告，就可看出端倪，因為他們在2021年就主動揭露部分相關資訊，早於金管會要求上市櫃公司需揭露資安作為的時間。</p> <p>在這些公開資訊當中，群創表示，他們在2020年加入科技部打造的科學園區資安資訊分享與分析中心（SP-ISAC），藉此互相通知及分享最新的資安攻擊手法，車用面板部門荷蘭廠區也在這一年通過TISAX AL2驗證，預計2022年荷蘭、大陸寧波廠與臺灣等全廠區，將取得更高的AL3驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）群創光電加入FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>群創光電的CSIRT團隊在6月25日，成為國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，由於是臺灣高科技製造業首例，備受關注，未來也可能促進更多國內業者加入。(圖片來源／擷取自FIRST官方網站)</strong></span></p> <h3><strong>看重國際情資交流與教育訓練</strong></h3> <p>就其他高科技業公司而言，對於群創加入國際資安FIRST組織，應該會感到訝異並好奇他們加入的原因？對此，群創表示，主要是確保能及時掌握威脅情資，以提早預警並部署防護機制與因應對策，因此，群創加入SP-ISAC，在2021年初加入TWCERT/CC，本身也導入網路威脅情資防護與SIEM的解決方案，並主動訂閱US-CERT安全性通知，公司之所以會想更進一步加入國際型的組織，就是希望能有更直接的方式，與國外各資安情資單位相互交流防禦技術，最新的駭客威脅情資也會相互通知。例如今年2月，他們迅速掌握到勒索軟體Lockbit 2.0對高科技業攻擊的相關情資。</p> <p>加入FIRST的另一個好處是，可補強資安情報資訊時間差問題。因為企業雖然可透過加入FIRST的TWCERT/CC，取得相關資訊，但因資料是在彙整與過濾後，再分享給TWCERT/CC成員，但群創也希望藉由加入FIRST，獲得更即時的資安情報通知。</p> <p>除此之外，群創希望以此提升內部人員資安教育訓練的品質。這兩年來，他們已推動全公司的資安月活動，對所有員工進行普遍的資安意識宣導，然而，在資安專業的部分，需要引進外部資源的「活水」，才能與時俱進，而由於FIRST資安組織本身有不定期舉辦會議論壇與交流年會（FIRSTCON），探討近一年常見的安全性威脅及參與資安教育訓練，因此，他們希望將最新的防禦觀念傳遞至公司，機動調整資安防禦方針，以因應駭客攻擊趨勢。</p> <p>事實上，FIRST並不乏高科技業者加入的例子，舉例來說，艾司摩爾（ASML）、NEC在2020年12月加入，AMD是在2021年7月加入，其他還有像是英飛凌（Infineon）、三菱電機等，現在臺灣也有高科技製造業者加入FIRST，未來有機會帶動國內更多高科技業參與。</p> <p>關於這次加入國性的組織FIRST的經驗，群創提到企業高層支持很重要，並分享申請經驗。群創表示，公司本身是從治理角度出發，而資訊安全是企業營運的根本，且資訊政策對企業而言是相當重要的一項工程，因此IT策略的執行，首先必須得到公司高層的認同和支持，而他們的資安團隊一開始是透過例行性月會，取得高層董事長與總經理內部核可。</p> <p>同時，對於這次的FIRST申請程序，他們說明了基本概況，讓其他國內企業也能了解如何申請。基本上，要加入FIRST，該組織規定與取得兩位會員推薦，因此他們透過電子郵件與正式行文方式，商請請TWCERT/CC與國網中心協助。較特別的是，由於推薦會員單位的人事異動，加上審查過程另需一位會員實地探訪，再加上疫情因素影響之下，審查程序改以視訊會議進行，以致他們雖早已提出申請，卻直到近期才順利成功加入。</p> <p>對於情資分享的重要性，群創在之前已有相當的體認。群創表示，像是他們在加入SP-ISAC後，曾發現科學園區所屬公車查詢網站遭植入惡意語法，趕緊通報SP-ISAC處理。他們認為，臺灣高科技製造業很多，不管哪一家公司被入侵，都是臺灣的損害，提早通報將幫助很多企業免於受害，也就是說，企業不應只是自己顧好自己，互助才能提升整體的資安。而在他們加入FIRST後，亦鼓勵其他高科技製造業者可以一同加入，在國際上也能貢獻我們資安防禦的情資與經驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）群創光電加入FIRST_圖片來源擷取自FIRST.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%BE%A4%E5%89%B5%E5%85%89%E9%9B%BB%E5%8A%A0%E5%85%A5FIRST_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFIRST.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>目前<strong style="color: rgb(105, 105, 105);">國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST）會員，至今年6月底時，全球</strong>有110國、635個資安應變團隊加入，而臺灣有12個單位成為FIRST會員，包括初期有TWCERT/CC、TWNCERT、TWCSIRT，以及趨勢科技CSIRT的TM-CSIRT，加入FIRST。後續有勤業眾信、群暉科技、安華聯網、威聯通科技、奧義智慧、國家中山科學研究院加入，2022年初則有財金資訊F-ISAC Taiwan加入。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自FIRST官方網站)</strong></p> </div></div></div>
2022/7/20 10:41作者羅正漢https://www.ithome.com.tw/news/152011
Amazon大舉控告逾1萬個專門銷售假評價的臉書社團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-targets-fake-review-fraudsters-social-media" target="_blank">Amazon周二（7/19）宣布</a>，已具狀控告專門於Amazon平臺上撰寫假評論的逾1萬個臉書社團的管理員，這些社團的主要任務便是招募願意在美國、英國、法國、義大利、西班牙及日本的Amazon商店上撰寫假評論的使用者。</p> <p>創立於1994年的Amazon從1995年就推出評論機制，讓購買特定商品的消費者可以分享自己的使用經驗與對商品的評價，可說是全球評價機制的先驅，而這些評價也成為其他消費者購買商品的重要依據。不過，也有些商家或品牌想要藉由假評價來推動銷售量，透過金錢或免費商品來吸引專門撰寫假評論、賦予假評價的使用者。</p> <p>為了確保Amazon商城上的評價是可靠的，Amazon早就設立了負責調查假評價的專屬團隊，該團隊會在臉書、Instagram、TikTok及Twitter等社交平臺上尋找專門出售假評價的社團，並向這些平臺檢舉，從2020年以來，Amazon就向Meta檢舉了超過1萬個假評價社團，而Meta也以違反平臺政策為由，將其中超過一半的社團下架。</p> <p>此外，Amazon的專家調查員也會透過各種先進工具來偵測與封鎖假評價，光是在2020年，Amazon便主動阻止了超過2億個可疑評價。</p> <p>在Amazon此次控告的逾1萬個涉及假評價的臉書社團中，規模最大的社團擁有逾4.3萬個成員，但該社團已於今年初被Meta下架。</p> <p>Amazon強調，假評價的仲介服務是整個電子商業產業的問題，採取民事訴訟只是其中的一小步，真要永遠消除零售、旅遊或其它領域的假評價有賴電子商務平臺、社交平臺與執法機關的三方合作，以共同保護消費者。</p> </div></div></div>
2022/7/20 10:46作者陳曉莉https://www.ithome.com.tw/news/152012
【資安日報】2022年7月19日，可成科技營業秘密遭員工外洩、研究人員警告NFS漏洞極為容易利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國企業為了快速打造紅色供應鏈，向國外爭取大筆訂單，鎖定專精相關技術的臺灣企業，利誘員工竊取營業秘密的情況，似乎有越來越頻繁的現象。臺灣新北地方檢察署於7月15日宣布，他們在經過1年半的偵查及蒐證後，起訴14名臺灣iPhone機殼供應商可成科技的前員工，因為，這些員工在離職前竊得研發與業務機密後，打算帶槍投靠中國的競爭對手立訊精密工業。</p> <p>微軟在6月份的每月例行修補（Patch Tuesday）裡，公告Windows網路檔案系統（NFS）漏洞CVE-2022-30136，最近有研究人員特別提出警告，因為，這個漏洞不只比同月獲得修補的Follina（CVE-2022-30190）還要容易利用，而且無論攻擊者運用成功與否，都有可能對受害伺服器造成相當程度的損害。</p> <p>網頁應用程式框架很可能存在漏洞，而使得開發的應用程式也存在相關風險。研究人員揭露網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，並指出攻擊者有可能藉此在受害伺服器上執行任意命令。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p>新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">攻擊者透過NFS漏洞，有機會取得SYSTEM權限執行任意程式碼</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151987">【2022年7月18日】近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補Retbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> </div></div></div>
2022/7/19 17:50作者周峻佑https://www.ithome.com.tw/news/152007
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_wei_ruan_7yue_patch_tuesday_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>關於這方面的消息，企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，都會在每月例行修補資訊公布後發布影片，公布多項統計數據，並會特別突顯需留意的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此用戶必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，而成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分竟達8.8分，足見其風險程度之高。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）微軟7月Patch Tuesday.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></a></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/patch-tuesday">Patch Tuesday</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E">零時差漏洞</a></div><div class="field-item even"><a href="/tags/known-exploited-vulnerabilities">Known Exploited Vulnerabilities</a></div></div></div>
2022/7/19 14:57作者羅正漢https://www.ithome.com.tw/tech/152000
俄羅斯因YouTube傳播不實資訊向Google開罰3.74億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>掌管俄羅斯通訊、資訊與大眾媒體的<a href="https://rkn.gov.ru/news/rsoc/news74400.htm" target="_blank">Roskomnadzor本周一（7/18）指出</a>，因為YouTube傳播了遭俄羅斯官方禁止的內容，而且多次未履行移除相關內容的義務，因而判罰YouTube母公司Google總計211億盧布（約3.74億美元）的罰款。</p> <p>根據Roskomnadzor的說明，這次的處罰源自於YouTube未於限期內禁止使用者存取違法內容，所謂的違法內容則涵蓋俄羅斯於烏克蘭展開特殊軍事行動的不實資訊，詆毀俄羅斯軍隊；宣揚極端及恐怖主義；宣揚對未成年人健康與生命的冷漠態度；以及呼籲未成年人參與未經授權的大規模行動等訊息。</p> <p>由於YouTube多次未能履行移除相關內容的義務，使得俄羅斯法院根據Google在當地的年度營收連續處以罰款。</p> <p>在俄羅斯於今年2月24日入侵烏克蘭之後，俄羅斯官方與Google之間的關係便愈來愈緊張，Google關閉了俄羅斯企業於YouTube上的廣告收入，關閉俄羅斯官媒的YouTube頻道，反之，<a href="https://www.ithome.com.tw/news/150075" target="_blank">Roskomnadzor則直接封鎖Google News</a>。</p> <p>由於Google一直不願意恢復在YouTube上封鎖的俄羅斯官媒頻道，使得俄羅斯法院在今年3月底凍結了Google俄羅斯子公司的銀行帳號，還把錢轉出，迫使該子公司因無法支付日常開銷而<a href="https://www.ithome.com.tw/news/150988" target="_blank">在今年5月聲請破產</a>，並將員工撤離俄羅斯。</p> <p>就算Roskomnadzor向Google開罰3.74億美元，但目前並不確定已申請破產的Google子公司是否會支付，或者是俄羅斯是否會直接把已扣押的Google資產據為己有。</p> <p>即便撤離俄羅斯，但Google原有的許多免費服務仍將持續支援該市場，包括搜尋、YouTube、Maps與Gmail等，此外，即使Roskomnadzor多次因YouTube違法而向Google開罰，卻未封鎖YouTube，猜測或許是YouTube在當地過於熱門因而難以執行。</p> </div></div></div>
2022/7/19 15:11作者陳曉莉https://www.ithome.com.tw/news/152001
蘋果也傳出將減少招聘與支出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-07-18/apple-to-slow-hiring-and-spending-for-some-teams-next-year#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，為了因應全球潛在的經濟衰退力道，蘋果已計畫在明年減少特定部門的預算與招聘活動，但此一政策並未擴及所有部門。</p> <p>這是最近一個受到全球景氣影響的科技大廠，日前<a href="https://www.ithome.com.tw/news/151187" target="_blank">微軟</a>不僅宣布要放緩特定部門的招聘，也<a href="https://www.ithome.com.tw/news/151917" target="_blank">證實</a>將裁撤1%人力；<a href="https://www.ithome.com.tw/news/151716" target="_blank">Meta</a>在6月底對內警告下半年成長將放緩，並於上周要求各單位的經理辭退表現不佳的員工；Google也對內宣布放慢招聘腳步，甲骨文則傳出要削減10億美元的開銷，包括計畫裁撤數千名員工。</p> <p>根據《彭博社》的報導，蘋果指名某些團隊明年的預算可能會被縮減，有些團隊明年不得再擴編人力，但特定團隊將不會受到波及，例如明年發表VR頭戴式裝置的計畫依舊。</p> <p>這一波的景氣循環讓美股於今年創下50年來最糟糕的上半年，原因從COVID-19疫情、俄烏戰爭，一直到通貨膨脹可能引發的經濟衰退，就算明年全球的經濟狀況不明，但顯然業者皆已作出了準備。</p> </div></div></div>
2022/7/19 15:24作者陳曉莉https://www.ithome.com.tw/news/152002
新Mantis殭屍網路來襲，劫持虛擬機器與伺服器且攻擊威力強大
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_cloudflarejie_lu_mantisjiang_shi_wang_lu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月，Cloudflare揭露每秒達2,600萬次請求的HTTPS DDoS攻擊，經過一個月的追蹤，新的研究結果出爐。他們將發起這波攻擊的殭屍網路命名Mantis，並指出該殭屍網路仍持續橫行，已發動超過3,000次的DDoS攻擊。</p> <h3><strong>由虛擬機器與伺服器組成，單一節點攻擊威力強大</strong></h3> <p>之所以將之命名Mantis，Cloudflare解釋，是因為這個殭屍網路的組成規模並不大，卻具有強大的攻擊能力，僅利用5,067臺機器組成的殭屍網路，發動的HTTPS DDoS攻擊即創下紀錄，如同身長不到10公分蝦蛄（Mantis Shrimp），其類似螳螂鐮刀狀的螯足，卻擁有足以打穿甲殼類動物外殼的高衝擊力道。</p> <p>根據Cloudflare先前公布的資訊，在攔阻Mantis的HTTS DDoS攻擊中，發現每臺設備每秒最多可產生5,200次請求，這是相當龐大的攻擊力度。為了讓外界理解Mantis的強大，Cloudflare對比另一起事件來印證。他們曾發現由73萬個物聯網裝置組成的大型殭屍網路，其HTTP DDOS攻擊強度是每秒逾100萬次的請求，每臺設備每秒最多送出1.3次請求，但相較於Mantis的每臺設備每秒5,200次請求，攻擊差了4千倍。</p> <p>而這種攻擊規模與攻擊力道的差異，最大原因就是Mantis劫持的設備是虛擬機器與伺服器，因此具有強大的運算資源，不同於一般普遍殭屍網路，是挾持多種物聯網（IoT）設備組成，如視訊監控系統（DVR）、監控攝影機、路由器，或是煙霧探測器等，都是運算能力較有限的設備。</p> <p>就算只是採用HTTP DDoS攻擊，想要產生每秒2,600萬次的請求並非易事，而Mantis透過HTTPS來發動攻擊，更是引人注目，也突顯這個殭屍網路的威力。Cloudflare指出，這需要大規模的資源、更高成本，來建立安全TLS加密連接，相對地，這也會讓受害者需要更高成本來減緩攻擊。</p> <p>Cloudflare表示，Mantis比過去知名的Meris殭屍網路更為先進。因為Meris主要依賴於MikroTik設備，但Mantis已經擴展到各種VM平臺，並支援執行多種HTTP代理來發起攻擊。</p> <h3><strong>網路與電信業成為Mantis最大攻擊目標</strong></h3> <p>而且，這樣的攻擊在最近一個月仍持續發生，相當值得關注。在Cloudflare本月釋出2022第二季DDoS攻擊趨勢報告中，提到應用層DDoS攻擊的狀況，比去年同期增加72%，其中Mantis的攻擊活動顯然助長了此一趨勢。根據Cloudflare的統計，Mantis對該公司客戶發起了超過3,000次HTTP DDoS攻擊。</p> <p>進一步檢視Mantis的攻擊目標，網路與電信業遭受攻擊的占比最高，達3成6，其次為新聞媒體業，遊戲業，以及金融業，占比都有10%以上。</p> <p>從受害者的國別來看，則有20%為美國，15%為俄羅斯，其他依序是土耳其、法國、波蘭、烏克蘭，但都不及5%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Cloudflare%E6%8F%AD%E9%9C%B2Mantis%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Cloudflare揭露Mantis殭屍網路近一個月來的DDoS攻擊活動，以網路及電信產業遭受攻擊比例最高，達36%，其次為新聞出版業、遊戲與金融產業，所占比例亦超過10%。(圖片來源／Cloudflare)</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ddos">DDoS</a></div><div class="field-item odd"><a href="/tags/https-ddos">HTTPS DDoS</a></div><div class="field-item even"><a href="/tags/mantis">Mantis</a></div></div></div>
2022/7/19 14:44作者羅正漢https://www.ithome.com.tw/tech/151999
微軟7月Patch Tuesday修補84個漏洞，8大漏洞應優先關注與因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月12日發布7月Patch Tuesday安全公告，共修補84個安全漏洞，當中除了有1個零時差漏洞已遭駭客成功利用，以及有4個重大（Critical）漏洞，還有那些值得特別關注？</p> <p>企業除了可以參考微軟發布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2022-Jul">產品資安公告頁面</a>，留意重大等級漏洞，特別的是，微軟自去年12月起，在YouTube的<a href="https://www.youtube.com/watch?v=jLrbvqAgC4Q&t=266s">Microsoft Security頻道</a>，特別點出額外需要關注的重點修補。</p> <p>例如，當中公布多項統計數據，在本月84個漏洞中，RCE漏洞的數量為12個，CVSS最高分的漏洞為8.8分。此外，連續兩個月未有漏洞提早被公開揭露。</p> <p>同時，微軟還公布了本月漏洞的整體影響範圍。以漏洞類型來看，權限提升漏洞比例最高；以影響的系統類型來看，大多數是各版本Windows的個人端與伺服器系統，單就Windows Server 2022平臺而言，84個漏洞中就有超過45個漏洞影響此平臺，其次則是Azure Site Recovery，有超過30個漏洞為此平臺帶來影響，還有極少部分，是關於微軟Office軟體、Azure Storage Library，以及Microsoft Defender for Endpoint for Linux。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟7月修補的84個漏洞，主要影響範圍是各版本Windows的個人端與伺服器系統，佔絕大多數，類型則以權限提升漏洞比例最高。</strong></span><strong style="color: rgb(105, 105, 105);">(圖片來源／擷取自微軟)</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟本月修補的CVE-2022-22047漏洞，是今年第三個已經遭攻擊者成功利用的零時差漏洞。(圖片來源／擷取自微軟)</strong></span></p> <p>若從個別漏洞來看，首先最需關注的是，已遭攻擊者成功利用的<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22047">CVE-2022-22047</a></strong>，根據微軟說明，此漏洞影響所有Windows版本，雖然僅列為重要（Important）漏洞，CVSS評分7.8分，但由於這個漏洞已暴露在攻擊活動之下，因此必須優先修補。同時，美國CISA也在12日將此漏洞納入Known Exploited Vulnerabilities資料庫。</p> <p>具體而言，此漏洞存在於客戶端／伺服器端執行時期子系統（CSRSS），屬於權限擴張的漏洞類型，成功利用此弱點的攻擊者，將可能取得系統（SYSTEM）權限。不過，目前這項漏洞尚未公開揭露，微軟也沒有談及漏洞如何被利用與利用程度。</p> <p>對此漏洞，趨勢科技旗下的<a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review">Zero Day Initiative（ZDI）團隊有進一步的說明</a>，指出此類漏洞通常與程式碼執行漏洞一併利用，譬如藉由特意製作的Office或Adobe文件來觸發，以接管受害者系統，由於這類攻擊往往依賴巨集，然而，最近微軟宣布延後Office程式預設封鎖巨集的啟用時程，使得一些希望斷絕此攻擊路徑的資安專家感到失望。</p> <p>另一個關注焦點是<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30216">CVE-2022-30216</a></strong>，這是Windows Server服務竄改（Tampering）漏洞，微軟將之歸類為重要等級漏洞。特別的是，一般竄改漏洞其實不太會受到關注，但微軟對此漏洞給出的CVSS評分達8.8分，因此，需要特別重視。這項漏洞主要影響新版作業系統，包括Windows 10/11，以及Windows Server 2022。不過，目前這項漏洞具體資訊尚未公開揭露，微軟僅在網站說明此漏洞由Akamai研究人員Ben Barnea通報。</p> <p>關於此漏洞的細節，我們發現ZDI團隊已提出說明。他們指出，CVE-2022-30216漏洞允許一個經過驗證的攻擊者，將惡意憑證上傳目標伺服器，通常這樣的舉動被視為「篡改」，同時，如果攻擊者能在目標系統上安裝自己的證書，就可以利用這個漏洞達到各種目的，包括執行程式碼，他們也指出微軟認為該漏洞很可能被鎖定利用，因此，ZDI建議使用者應儘速測試及部署其修補程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%AE%E8%BB%9F7%E6%9C%88Patch%20Tuesday.jpg" style="width: 600px;" /></p> <h3><strong>4個重大漏洞與AMD CPU分支漏洞亦是修補重點</strong></h3> <p>除了上述兩個重點關注漏洞，本月修補的4個重大漏洞，都是遠端程式執行（RCE）漏洞，值得關注。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-30221">CVE-2022-30221</a></strong>而言，此漏洞CVSS風險評分達8.8分，存在於Windows圖形元件中，駭客若是引誘使用者連向一個惡意的遠端桌面協定（RDP）伺服器，將能成功利用該漏洞，並於受害系統上執行程式。</p> <p>以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22038">CVE-2022-22038</a></strong>而言，此漏洞存在於遠端程序呼叫執行（Remote Procedure Call Runtime），不過攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功利用，CVSS風險評分為8.1分。</p> <p>另外兩個重大漏洞，均是Windows網路檔案系統（NFS）的RCE漏洞。以<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22029">CVE-2022-22029</a></strong>而言，不需與使用者互動就能展開攻擊，但只要採用預設的配置或設定，可減輕遭利用的嚴重性；而<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-22039">CVE-2022-22039</a></strong>漏洞，駭客透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p>特別的是，本月微軟還修補了特定AMD處理器存在的分支混淆型漏洞，亦即<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23816">CVE-2022-23816</a></strong>與<strong><a href="https://msrc.microsoft.com/update-guide/zh-TW/security-guidance/advisory/CVE-2022-23825">CVE-2022-23825</a></strong>，兩者均屬於資訊揭露（Information Disclosure）漏洞，微軟目前僅釋出Windows Server 2022，以及Server Core 安裝版的更新修補，並建議用戶關注AMD的發布資安公告，持續留意微軟在Windows Client與Windows Server/Azure Stack的支援說明。</p> <p>值得關注的是，由於這兩個漏洞是AMD硬體漏洞，因此不只身為其合作夥伴的微軟幫忙修補，近來我們看到其他業者亦發布相關修補，例如，VMware在7月12日也特別發布產品安全公告，說明這兩個漏洞影響伺服器虛擬化平臺ESXi，以及軟體定義資料中心平臺VMware Cloud Foundation；系統軟體廠商紅帽，在7月15日也公告此漏洞的修補資訊。</p> </div></div></div>
2022/7/19 12:05作者羅正漢https://www.ithome.com.tw/news/151996
Netflix在南美測試Add a Home功能，在另一個住處使用需要額外付費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球影片串流龍頭Netflix近來積極打擊用戶分享帳號的行為，今年3月才於智利、哥斯大黎加與秘魯測試付費新增用戶（Add an Extra Member）的功能，本周又宣布今年8月起將在阿根廷、多明尼加共和國、薩爾瓦多、瓜地馬拉與宏都拉斯測試Add a Home功能，倘若用戶需要在另一個家使用既有的Netflix帳號，也必須額外付費。</p> <p>Netflix今年第一季的財報顯示，該平臺擁有2.2億的付費用戶，但另外有超過1億的用戶免費分享了這些付費用戶的帳號。以最低的每月9.99美元的基本方案費率計算，這些免費的Netflix平臺使用者，讓Netflix每季至少損失30億美元的營收。</p> <p>無怪乎Netflix開始打擊這些分享帳號的行為。根據Netflix的規定，就算標準方案與高級方案可同時在2個或4個裝置上觀賞，但也僅限同住的人使用這些帳戶，因此，Netflix近來的政策即是針對那些非同住卻使用同一帳號的行為。</p> <p><a href="https://about.netflix.com/en/news/paying-to-share-netflix-outside-your-household" target="_blank">Netflix今年3月試行的措施</a>是允許標準及高級方案用戶新增非同住的額外成員，最多可新增兩人，但每月必須多付2.99美元。</p> <p>而<a href="https://about.netflix.com/en/news/update-to-paid-sharing" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">本周公布的新措施</a>則是允許戶新增其它的「家」，不管是哪種方案的使用者都可新增另一個家，基本方案可新增一個家，標準方案為兩個，高級方案為三個，但每新增一個家每月就必須額外支付2.99美元。</p> <p>為了不引起使用者的反彈，這些打擊帳號分享行為的政策都仍在試行階段，而且多是在使用者數量相對較少的市場，為了讓更多使用者負擔得起該平臺的串流服務，<a href="https://www.ithome.com.tw/news/151939" target="_blank">Netflix也準備推出以廣告支撐的方案</a>，其訂閱費率將比現有的最低費率更便宜，惟上線日期未定。</p> </div></div></div>
2022/7/19 12:36作者陳曉莉https://www.ithome.com.tw/news/151998
阿里巴巴主管因10億中國用戶資料外洩案遭到約談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月初，<a href="https://www.ithome.com.tw/news/151769" target="_blank">一名自稱為ChinaDan的駭客在暗網中兜售內含10億中國人民資訊的22TB資料</a>庫，ChinaDan宣稱該資料庫存放於阿里雲，隸屬於上海國家警察，迄今不管是阿里雲或上海國家警察都未回應媒體的詢問，不過，<a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）於本周報導</a>，阿里巴巴的高階主管已遭到中國政府約談，包括新上任的、負責數位公共安全業務的阿里雲副總裁Chen Xuesong。</p> <p>ChinaDan以10個比特幣（現約20萬美元）兜售了含有10億中國人民資訊的資料庫，包括他們的姓名、地址、生日、身分證號碼、聯絡電話及犯罪紀錄等，並公布了75萬筆紀錄供外界查證，除了已有多筆查證屬實之外，中國政府的約談行為亦間接證實了該資料庫的真實性。</p> <p>根據報導，阿里巴巴內部在媒體披露之前就得知此一外洩事件，並在7月1日召開緊急內部會議，亦暫時關閉該資料庫並檢查相關程式碼。隨後，中國監管機構隨即開始約談阿里巴巴的高階主管。</p> <p><a href="https://blog.leakix.net/2022/07/what-we-know-about-the-china-leak/" target="_blank">資安業者LeakIX也分析了這起可能是全球最大外洩事件的案例</a>，指出外洩資料的服務為一未受保護的Kibana實例，Kibana用來管理及檢視Elasticsearch叢集，允許代理連結至底層的Elasticsearch叢集。</p> <p>分析顯示，當一個Elasticsearch服務部署於公開網路時，即會採用預設的Kibana端點，同時Elasticsearch叢集也會被分配預設的使用者名稱與密碼，然而，該資料庫採用了老舊的Elasticsearch叢集版本，並未內建認證機制，必須要付費購買第三方的認證外掛程式才能啟用認證功能，但相關資料庫並未含有任何認證工具。</p> <p>此外，LeakIX也發現該叢集的第一個外部活動出現在6月26日，透露出駭客很可能在6月底就盜走了資料庫；而且還有許多部署在阿里雲的Elasticsearch叢集採用過時的版本，一旦它們維持Kibana的預設配置，便處於同樣的外洩風險之中。</p> </div></div></div>
2022/7/19 12:21作者陳曉莉https://www.ithome.com.tw/news/151997
VMware虛擬化平臺全面轉向訂閱制跨出一大步，推出雲端訂閱vSphere+與vSAN+，能跨區統一管理本地IT基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬化龍頭VMware近日宣布雲端訂閱vSphere+和vSAN+服務正式推出，使得企業用戶現在從雲端就能直接管理本地IT基礎架構，包括私有雲，以及VMware Cloud，有別於傳統虛擬化平臺vSphere和儲存軟體平臺vSAN的地端管理作法，甚至還可將本地部署的伺服器管理軟體vCenter轉為雲端訂閱模式，按量付費。這不僅是VMware虛擬化平臺全面轉向訂閱制跨出一大步，更是該公司布局混合雲戰略的重要一環。</p> <p>其實就目前VMware套裝產品而言，大多已經走向訂閱授權或提供訂閱合約的選項，比如，去年VMware已將VMware Horizon產品由永久授權轉為訂閱授權版本。不過前陣子博通以610億美元天價收購VMware後，曾公開表示將來VMware軟體銷售模式將全面轉向訂閱服務合約模式，更加速VMware銷售服務模式的轉變。</p> <p>但不像許多雲端巨頭，一開始就推出訂閱制雲端服務，因應軟體訂閱模式的盛行，VMware直到近幾年才轉向訂閱服務策略，迄今仍有不少大型企業用戶採取買斷授權模式，在本地資料中心部署vSphere+和vSAN叢集，執行各種工作負載，也影響到其上雲時程。</p> <p>尤其對許多大型VMware企業用戶來說，考量到法遵、隱私、低延遲應用等需求，遲遲沒有把關鍵應用搬上雲，而是選擇部署於本地環境，但又想要獲得雲端彈性和服務以加速創新。所以VMware改從雲端服務需求的角度切入，推出了雲端訂閱vSphere+和vSAN+，要將企業本地既有基礎架構和VMware Cloud連結在一起，逐步引導企業朝向混合雲、多雲甚至邊緣發展。</p> <p>vSphere+和vSAN+也是VMware去年在VMworld 2021上發布企業上雲路徑的Project Arctic技術預覽專案後所推出的首批產品，前者是一個多雲工作負載平臺，整合了虛擬化技術、Kubernetes環境和雲端服務，可將現有企業內部部署，轉換為支援SaaS的服務架構，加速創新；後者則是一個超融合基礎架構產品，可擴充vSAN原有功能，提供雲端連接服務，幫助IT管理者集中管理並提高vSAN 使用效率。兩項新服務在6月底公布，並在7月12日正式推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GUID-6AAD3017-CFF4-4ACF-AC3E-AA08A8E0D74B-high.png" style="width: 600px; height: 250px;" /></p> <blockquote><p>vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> </blockquote> <p>VMware雲端平臺產品行銷資深總監Weiguo He表使示，vSphere+與本地部署的vSphere最大不同，是採取基於雲端訂閱的全新vSphere解決方案。vSphere+的核心是vCenter和Cloud Console主控臺的整合，可以透過vSAN+把所有vCenter實例連接到VMware Cloud以進行集中管理。</p> <p>VMware表示，採用vSphere+最大好處，能在不影響企業現有工作負載或虛擬主機運作的情況下，利用雲端服務集中式基礎架構管理，並簡化營運，特別是可以帶來其稱之為高價值（Hight Value）的雲端服務，讓IT管理者、經營決策者、開發者，能更容易建立、管理、執行和確保應用及工作負載的安全，既不需要升級現有的硬體基礎架構，也不用停止既有服務或工作負載就能用。「這是VMware雲端基礎策略重大技術演進一大步。」Weiguo He表使示。</p> <p>像在管理方面，以往vSphere企業用戶跨區部署了許多vCenter server，但不容易管理，現在透過雲端vSphere+服務，可以將分布各地部署的vCenter集中到單一雲端介面上來進行管理，因為將vcenter整合到單一介面上管理，也能提供集中式營運和安全性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-07-12%20%E4%B8%8A%E5%8D%889_49_51.jpg" style="width: 600px; height: 315px;" /></p> <blockquote><p>不僅僅集中管理，企業用戶使用vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，</p> </blockquote> <p>不僅僅集中管理，透過vSphere+也能對vCenter進行統一更新，甚至可以更改授權形式，企業用戶從VMware Cloud上就能自行更改地端vCente授權形式，只須將vCenter添加到雲端入口網站，從管理頁面上就能查看目前的授權形式，只要一個點選的動作就能轉變為訂閱制，不需要繁雜的操作，並且一次可選擇全部或數個vCenter合約轉換為訂閱模式，來取得更完整雲端服務或功能。</p> <p> vCenter Server轉換為訂閱後，可以從VMC（VMware Cloud）主控台管理vCenter Server，而且一次能管理多個vCenter執行個體的部署，在vSphere+中也簡化了vCenter升級，使其更新過程就像更新行動裝置一樣方便，只要簡單步驟就能完成更新動作，也能縮短停機時間。</p> <p>不只管理者，對於開發人員來說，透過vSphere+服務，使得vSphere與Kubernetes能夠更緊密整合，從而實現VM和 Kubernetes容器的統一，意味著可以使用Kubernetes指令和API來建立虛擬機器或使用整合vSphere的Kubernetes發行版來執行容器化應用，以及VM和 Kubernetes網路接連管理等。</p> <p>早在去年底vSphere Advantag服務方案推出時，VMware就已經提供了vSphere本地部署訂閱方案，並根據使用量付費。如今vSphere+推出後，vSphere Advantag加入到vSphere+產品線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-06-23%20%E4%B8%8A%E5%8D%8810_25_14.jpg" style="width: 600px; height: 343px;" /></p> <blockquote><p>在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> </blockquote> <p>除了提供vSphere和vSAN管理服務，在vSphere+和vSAN+中還推出勒索軟體復原及災難復原兩個附加新服務，讓企業可以使用它迅速還原關鍵應用程式，保護vSphere+上工作負載，或從勒索軟體中恢復原本檔案或資料夾。</p> <p>在訂閱計價方面，vSphere+和vSAN+服務預設提供一年或三年的訂閱期，收費方式，也跟原本VMware軟體授權計算相同，依使用CPU核心數來收費，但對訂閱容量設有低消，每個ESXi主機購買最小容量至少為16個實體核心CPU。超額用量時，則會對超額項目進行收費。</p> <p>VMware還推出訂閱升級計劃，將提供類似SnS 續訂的價格優惠協助企業用戶將既有vSphere and Vsan授權逐步轉到訂閱制vSphere+ and vSAN+。</p> <p>另外，使用vSphere+雲端服務前，企業必須安裝vCenter Cloud Gateway ，並將vCenter Server執行個體連線到VMware Cloud，且對企業本地vSphere環境也有一定要求，除了需要安裝vCenter Server 6.7.x及以上更新版本，才能開始使用vSphere+基本功能，如監控vSphere基礎結構，若要取得完整的vSphere+功能，包含轉換為訂閱制vCenter或取得客戶支援，則需升級到最新版本。</p> <p>VMware大大簡化vSphere+購買流程，有別於以往採用永久或固定期限授權需採個別購買的作法，提供全套式訂閱購買方案，不只是標準版本vCenter，還包括了Enterprise Plus版vSphere與Tanzu都能一次打包購買，Tanzu部分除了提供Tanzu standard Runtime，之後也將加入Tanzu Mission Control Essentials功能。</p> </div></div></div>
2022/7/19 07:58作者余至浩https://www.ithome.com.tw/news/151981
【資安日報】2022年7月18日，近160萬WordPress網站遭到外掛程式漏洞攻擊、多家企業級系統軟體廠商著手修補…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞裡，幾乎都與漏洞有關。這包含了針對WordPress外掛程式的攻擊行動，還有Intel、AMD處理器的漏洞Retbleed，已有多家企業級的系統軟體廠商已經著手修補。</p> <p>資安業者揭露專門針對WordPress外掛程式WPBakery Page Builder而來的攻擊行動，駭客鎖定了開發者已不再維護的元件Kaswara下手，利用任意文件上傳漏洞發動攻擊，在10天內已有近160萬個網站遭到漏洞利用嘗試攻擊。</p> <p>而在處理器漏洞Retbleed的部分，則是在研究人員公布細節後，很快就有企業級的軟體系統廠商著手修補，這些廠商多半為提供虛擬化平臺與Linux作業系統的業者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客鎖定近160萬個WordPress網站，攻擊外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p>研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p>研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">木馬程式Sality宣稱提供密碼破解功能來感染ICS系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p>研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。此外，微軟在最新版Windows修補程式裡，也有對於AMD處理器的Retbleed漏洞著手修補。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出引發火災</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151966">【2022年7月15日】駭客利用網釣工具包竊取PayPal用戶個資、惡意軟體ChromeLoader以瀏覽器外掛來入侵受害電腦</a></p> <p><a href="https://www.ithome.com.tw/news/151943">【2022年7月14日】勒索軟體BlackCat聲稱攻擊遊戲業者萬代南夢宮、駭客挾持Office 365用戶的電子郵件進行BEC詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/151927">【2022年7月13日】雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的vCenter漏洞</a></p> </div></div></div>
2022/7/18 16:32作者周峻佑https://www.ithome.com.tw/news/151987
電子病歷上雲法規正式上路了！4大重點法規速覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部今（7月18日）<a href="https://www.mohw.gov.tw/cp-18-70580-1.html">公告</a>新版醫療機構電子病歷製作及管理辦法，正式允許醫療院所委外建置電子病歷資訊系統、使用雲端服務處理電子病歷資料，以及設置電子病歷交換平臺和進一步落實無紙化。衛福部資訊處處長龐一鳴也揭露，未來衛福部將公布合格業者白名單，並視情況調整監理強度，如納入國際醫療資料交換標準FHIR互通能力認證，或歐盟個資法GDPR。</p> <p><span style="font-size:24px;"><strong>上雲、委外、建置交換平臺和無紙化重點法規速覽</strong></span></p> <p>在委外部分，新版辦法第六條和第七條，允許醫療院所委託大專院校、法人、機構或團體建置和管理電子病歷資訊系統，並且要簽訂書面契約，明訂委託事項範圍、受託機構的權利義務，以及標準作業機制、資安保障機制等。</p> <p>不過，新版第六條條文特別新增3種例外情況，雙方可不必簽訂契約。這些例外分別是受託機構為所屬醫療法人或其他法人附設醫院、所屬學校之其他醫院，或是所屬機關設立的其他醫院。</p> <p>關於醫院使用雲端服務部分，則由第8條修正條文規範。該條文要求醫療機構使用雲端服務，或是委託受託機構提供雲端服務時，必須採取風險管控措施、避免業務中斷措施，並且要監督雲端業者，更要具備資料移轉機制，也就是當雲端服務停止或終止時，得將資料移轉回委託機構或其他雲端服務業者。</p> <p>至於建置電子病歷交換平臺，則由第18條修正條文規範。也就是說，經主管機關認可的公私立機構，可設置電子病歷交換平臺，來促進跨機構交換資料。</p> <p>最後，修正條文第17條和第20條，則能幫助醫院進一步無紙化。因為，第17條允許醫院將同意書、院內紙本病歷，以及與電子病歷並存的相關文件，以電子方式轉錄、蓋電子簽章封存，即視為電子病歷。</p> <p><span style="font-size:24px;"><strong>電子病歷上雲目的：醫療AI、資安、遠距醫療</strong></span></p> <p>衛福部這2年來，多次公開揭露電子病歷上雲目的。比如，龐一鳴指出，若不開放上雲，醫療AI將難以發展，此外，臺灣許多專業小型醫療院所，缺乏IT人力來管理電子病歷相關資料，若透過具高度資安機制的雲端業者代管，可加強資安體質。</p> <p>不只如此，石崇良多次指出，開放電子病歷上雲，是擴大遠距醫療的法規修正第一步。他預告，今年底前，要完成修改通訊診察治療辦法，放寬遠距醫療的適用範圍、使用情境和適用身分，同時簡化行政流程。</p> </div></div></div>
2022/7/18 18:48作者王若樸https://www.ithome.com.tw/news/151994
普丁簽署禁止以數位資產支付的法令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sozd-duma-gov-ru.translate.goog/bill/138674-8?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=wapp#bh_histras" target="_blank">俄羅斯總統普丁（Vladimir Putin）上周四（7/14）簽署</a>了一個與銀行活動有關的聯邦法令修正案，此一修正案將禁止當地以數位資產作為支付工具，但並未限制人們挖掘或購買加密貨幣。</p> <p>其實<a href="https://www.ithome.com.tw/news/149008" target="_blank">俄羅斯中央銀行今年1月曾公布一份加密貨幣諮詢報告</a>，該報告詳列了加密貨幣的各種風險，並提議於俄羅斯境內禁止加密貨幣挖礦及使用行為，但看來俄羅斯立法機構並未完全採納央行的建議，雖然禁止了加密貨幣的支付，但並未禁止挖礦與投資。</p> <p>根據劍橋大學賈吉商學院新興金融研究中心<a href="https://ccaf.io/cbeci/mining_map" target="_blank">（Cambridge Centre for Alternative Finance，CCAF）今年1月所公布的資料</a>，俄羅斯的挖礦能力以4.7%的比例位居全球第五大挖礦中心，前四名依序是美國（37.8%）、中國（21.1%）、哈薩克（13.2%）與加拿大（6.8%）。</p> <p><a href="https://www.protocol.com/bulletins/russia-ban-crypto-payments" target="_blank">《Protocol》分析</a>，這代表俄羅斯民眾將不得以加密貨幣或非同質化代幣（Non-Fungible Token，NFT）作為任何的支付形式，不管是買東西或是作為薪資，也規定加密貨幣交易中心與供應商不得將數位資產視為支付形式。此一新的修正案將於普丁簽署的10日後生效。</p> </div></div></div>
2022/7/18 16:16作者陳曉莉https://www.ithome.com.tw/news/151985
FCC主席提議把美國寬頻最低下載標準提高到100 Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/chairwoman-rosenworcel-proposes-increase-minimum-broadband-speeds" target="_blank">美國聯邦通訊委員會（FCC）主席Jessica Rosenworcel上周向其他委員發出了意見諮詢通告（Notice of Inquiry，NOI）</a>，希望大家共同評估將美國寬頻標準從下載25 Mbps、上傳3M bps的標準，提高到下載100 Mbps及上傳20 Mbps，並以1 Gbps與500 Mbps的上傳與下載速率作為美國未來的寬頻目標。</p> <p>FCC是在2015年由Tom Wheeler擔任主席的年代設定了25/3 Mbps的全國寬頻目標，原本外界希望下一任的FCC主席Ajit Pai可以提高該標準，但Pai最後認為25/3 Mbps不管是在語音、資料、圖像或視訊上已經夠用了，而決定維持該標準。</p> <p>但Rosenworcel指出，網路用戶的需求早就超過了25/3 Mbps，特別是在全球疫情大爆發，人們把生活轉移到網路之際，25/3 Mbps的標準不僅是落後的，更是有害的，因為它遮掩了低收入戶以及農村社區被遠拋於後的程度，因此必須提高最低寬頻速率的標準至100/20 Mbps。</p> <p>此一意見諮詢通告除了建議將寬頻最低標準提高到100/20 Mbps之外，也提出了支持該標準的一系列證據，包括美國《基礎設施投資與就業法案》（Infrastructure Investment and Jobs Act，IIJA）對美國新一代網路的要求。此外，Rosenworcel亦認為美國應該替未來設立另一個更高的寬頻目標，提供1 Gbps的下載速率與500 Mbps的上傳速率。</p> <p>其實在美國針對低收入戶所提供的<a href="https://www.ithome.com.tw/news/150849" target="_blank">「可負擔連網計畫」（Affordable Connectivity Program，ACP）</a>中，就要求美國ISP業者必須讓低收入戶能以每月低於30美元的價格，訂閱下載速率必須高於100Mbps的寬頻網路服務，因為該速率才足以支撐一個4人家庭在家工作、學習、瀏覽網路或串流高畫質影片的需求。</p> </div></div></div>
2022/7/18 15:52作者陳曉莉https://www.ithome.com.tw/news/151984
Tor Browser 11.5現可自動偵測並繞過國家審查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.torproject.org/new-release-tor-browser-115/" target="_blank">Tor專案於上周四（7/14）釋出了Tor Browser 11.5</a>，新版瀏覽器提供了新的Connection Assist功能，將可自動偵測並繞過各國的審查機制，且預設即進入HTTPS-Only模式（HTTPS-Only Mode）。</p> <p>Tor Browser是用來進入洋蔥路由器（The Onion Router，Tor）網路的瀏覽器，Tor透過由全球逾7,000個志願人士組織的中繼節點來存取網路，因此可隱藏使用者的真實位址，也能避免監控，而以Firefox瀏覽器作為基礎的Tor瀏覽器，即是進入Tor網路的工具之一。</p> <p>然而，有些國家為了審查境內用戶，封鎖了Tor網路的存取，例如中國、俄羅斯、白俄羅斯或土庫曼等，使得Tor Browser用戶必須手動變更Tor的網路設定，找出可繞過封鎖的途徑，不過，Tor Browser 11.5所內建的Connection Assist 1.0版，將可自動偵測及繞過各國的封鎖。</p> <p class="rtecenter"><img alt="" src="https://blog.torproject.org/new-release-tor-browser-115/connection-assist.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Tor專案</span></span></p> <p>Connection Assist可查找及下載每個國家可繞過封鎖之各種選項的最新列表，並自動部署最適合使用者區域的設定，使用者還可儲存這些用來連結Tor網路的橋接資訊，並透過複製或QR code分享，例如分享給Android版的Tor Browser。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0718-Tor%20Browser%20-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Tor專案</span></p> <p>此外，過去只允許用戶連結HTTPS網站的HTTPS-Only Mode僅是Tor Browser的擴充程式之一，但有鑑於愈來愈少使用者存取HTTP網站，再加上安全的因素，Tor Browser 11.5已直接將HTTPS-Only Mode納入預設功能。</p> <p>目前桌面版Tor Browser發展最快，功能也最為齊全，不過Tor專案已決定接下來要強化Android版Tor Browser的能力，包括將開始定期更新Android版本，也會解決許多Android用戶的程式當掉問題，並準備要追上Fenix（Android版Firefox）的進度。</p> <p>Tor Browser 11.5支援Windows、macOS、Linux與Android，Tor專案亦鼓勵試用Connection Assist功能的使用者提出意見。</p> </div></div></div>
2022/7/18 14:29作者陳曉莉https://www.ithome.com.tw/news/151982