iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 16篇
近 24 小時: 16篇
近 7 天: 120篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 13:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 120 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象3 家

路透社2筆關係
日經中文網1筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臺灣8月初因裴洛西訪臺而遭到網路攻擊的事件總覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日至3日，率領美國眾議院國會訪問團來臺訪問，此行引發中國政府高度不滿，不只進行軍演，相關的網路攻擊更是從訪臺前就不斷出現，且前後持續了長達9天。這些攻擊手法大致可區分為分散式阻斷服務（DDoS）攻擊、內容置換（Deface），以及幾可亂真的假訊息等。</p> <p>而在這段期間風聲鶴唳，也有一些公務機關的系統服務出現異常，而被外界懷疑可能也遭到相關攻擊。這些包含了警務系統、司法院法學資料檢索系統、電子發票入口網站等，但都被證實是系統部分元件故障所致。</p> <p> </p> <h3><strong>【8月1日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.facebook.com/YaitaAkio/posts/pfbid0t2GABjXqmFmzEZ9m8fA3JRiZairn9WAFyz3k1yUV1v6iAVBC6vpWJsnYsKh2yYC1l"><span style="color: rgb(0, 0, 0);">有小粉紅假冒日本產經新聞支長矢板明夫的名義，謊稱美國眾議院議長裴洛西造訪日本的行程中，出現中暑症狀並就醫</span></a></strong></p> <p> </p> <h3><strong>【8月2日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">DDoS攻擊</span></span><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府證實網站遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://www.appledaily.com.tw/politics/20220803/5BFE6F062E9E9AD5DDAC0E6409"><span style="color: rgb(0, 0, 0);">政府入口網站、外交部網站傳出因遭到DDoS攻擊而無法存取，外交部指出網站收到每分鐘多達850萬次請求</span></a></strong></p> <p> </p> <h3><strong>【8月3日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">內容置換</span></span><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span></strong><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9"><span style="color: rgb(0, 0, 0);">國防部8月3日網站遭到DDoS攻擊</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.youtube.com/watch?v=nReXcIEqNqE"><span style="color: rgb(0, 0, 0);">自稱是APT27的駭客組織宣稱將對臺灣發動特別網路攻擊行動</span></a></strong></p> <p> </p> <h3><strong>【8月4日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://money.udn.com/money/story/10511/6511538" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">台電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p> </p> <h3><strong>【8月5日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p> </p> <h3><strong>【8月6日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></p> <p> </p> <h3><strong>【8月7日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span></strong><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></p> <p> </p> <h3><strong>【8月9日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> </div></div></div>
2022/8/12 18:05作者周峻佑https://www.ithome.com.tw/news/152491
憲法法庭判健保資料庫違憲，相關機關須於3年內修法改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憲法法庭今日（8/12）<a href="https://www.youtube.com/">判決健保資料庫違憲</a>，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。健保署後續將以新聞稿回應。</p> <p><strong><span style="font-size:22px;">憲法法庭：健保資料庫欠缺獨立監督機制，以及公務學術目的外的請求停止機制</span></strong></p> <p>憲法法庭審判長許宗力先是引述法源，指出個資法第6條第1項規定，有關病歷、醫療、基因、健康檢查之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限，如公務機關或學術研究機構，基於衛生醫療目的，為統計或學術研究而有必要，且資料經提供者處理後，或經蒐集者依其揭露方式無從識別特定之當事人。</p> <p>而健保資料庫，並不違背法律明確性原則、比例原則，不牴觸憲法第22條，保障人民資訊隱私權之意旨。</p> <p>不過，憲法法庭從個資法和其他法律整體觀察，認為健保資料庫欠缺個資保護的獨立監督機制，對個人資訊隱私保障不足，有違憲之餘。相關機關應於判決宣布3年內，制定或修正相關法律、建立相關法制，來補足憲法第22條對人民資訊隱私權的保障。</p> <p>再來，在個人健保資料處理方面，憲法法庭點出，全民健康保險法第79條、第80條及其他相關法律中，並未明確規定以下事項：個人健保資料得由健保署以資料庫儲存、處理、對外傳輸及對外提供利用的主體、目的、要件、範圍和方式，及相關組織程序上的監督、防護等。</p> <p>該部分不符合憲法第23條保留原則，且違反憲法第22條保障人民資訊隱私權之意旨，許宗力宣布，相關機關應於3年內修正全民健康保險法，或制定專法來改善。</p> <p>另一方面，憲法法庭認為，資料健保署就個人健保資料，提供公務機關或學術研究機構原始蒐集目的外的利用時，欠缺讓當事人請求停止利用的相關規定，因此違反憲法第22條保障人民資訊隱私權之意旨。相關機關一樣得在3年內修法，或制定相關法律，明定請求停止和例外不許停止的主體、事由、程序、效果等事項。逾期未制定或修正相關法律，當事人可請求停止目的外利用。</p> <p>許宗力也補充解釋判決理由，個資法第6條第1項、健保法第79條和第80條規定，構成對個人資訊隱私權限制，而憲法隱私權保障民眾在資料被利用前，具有控制權，也就是同意權，即便事前未經過當事人同意，或是經過當事人同意，事後，當事人依然具有同意權。因此，憲法法庭認為，就算當事人事前同意，或是法律規定資料收集不需經當事人同意，當事人事後應具有控制權，來要求刪除、停止利用、限制利用。</p> <p>再來，個資法第6條第1項第4款指出，高敏感特種個資，即使經去識別化，還是有極端的可能被還原、介接識別出當事人，因此當時人對這些資料的自主控制權，一樣受到憲法保障。</p> <p>許宗力總結，依照判決，個人健保資料依然可以依法利用，但法制仍有不足之處，如欠缺獨立監督機制、缺乏第三方利用資料的法律規定，也欠缺當事人退出權，若相關機關未於3年內修法改善，當事人有權退出健保原目的外的資料利用。</p> </div></div></div>
2022/8/12 18:18作者王若樸https://www.ithome.com.tw/news/152492
【資安日報】2022年8月12日，協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾個月駭客頻頻利用Atlassian Confluence漏洞發動攻擊，但近期也有針對協作平臺Zimbra漏洞的情況──近期又有資安業者揭露新的漏洞攻擊事故，而且，這次駭客串連了兩個漏洞CVE-2022-27925、CVE-2022-37042，於受害伺服器植入Web Shell。</p> <p>本週有兩組研究人員不約而同公布Intel、AMD的處理器漏洞ÆPIC Leak及SQUIP，但這次的兩個漏洞性質與過往有所不同，出現在架構層面，與推測執行較無關連。有研究人員指出，一旦駭客能夠利用漏洞，成功竊得機敏資料的機會比推測執行來得高。</p> <p>Palo Alto Networks防火牆作業系統的漏洞CVE-2022-0028也相當值得用戶留意，此漏洞已被用於攻擊行動，但該廠商僅對部分版本作業系統完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> </div></div></div>
2022/8/12 16:09作者周峻佑https://www.ithome.com.tw/news/152468
【圖解數位中介服務法草案】5大業者未來新增的20項法遵義務（完整圖表下載）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《數位中介服務法》草案中，一共規範了5大數位中介服務提供者，多達20項法遵義務，更訂出明確裁罰的標準，違者單次最高罰千萬元。從這張大表中，可以更詳細了解5大業者各自應負的法遵義務的項目與差異。</p> <p>表格中的前7項義務（當中資訊限制令義務以一項計算，包含一般和緊急程序），為所有業者應負的基本義務，未遵守者最高可裁罰50萬元，得按次處罰。除此之外，資訊儲存、線上平臺和指定線上平臺服務提供者，更負有額外的遵守義務。資訊儲存服務業者增加兩項額外義務，違者可處翻倍的罰金。線上平臺服務提供者共有16項義務，除了前面累加義務之外，另外新增的相關義務有7項，最高可處500萬元罰金。指定線上平臺服務提供者有最多20項義務要遵守，其中更有4項增加的義務，違者處最重一千萬元罰鍰，並有按次連續罰的規定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1090-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-%E8%87%B3%E6%B5%A9V6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-WEB%E5%9C%96-600(1).png" style="width: 600px;" /></a></p> <p> </p> <h2 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 31.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: rgb(255, 0, 0);">一張圖表，了解五大中介業者20項法遵義務</span></h2> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><a href="https://r.itho.me/iumHi+">下載連結 https://r.itho.me/iumHi+</a><br /> （以<span style="vertical-align: top; color: rgb(0, 0, 255);">CC-BY-NC-ND-4.0</span>釋出，需標示作者<span class="cc-license-title" property="dc:title dct:title" style="vertical-align: top; box-sizing: inherit; display: inline;">姓名，非商業性使用、禁止改作</span>)</p> </div></div></div>
2022/8/12 17:45作者余至浩https://www.ithome.com.tw/news/152460
英特爾研發TRC晶片安全技術阻擋針對硬體的攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾研發<a href="https://www.intel.com/content/www/us/en/newsroom/news/the-story-behind-new-intel-security-feature.html#gs.8d4y84">TRC晶片安全新技術</a>，來補充該公司現有的故障注入攻擊緩解措施，透過改進處理器內部的邏輯，將安全防護技術根植在晶片硬體中，更全面地抵禦駭客攻擊。</p> <p>當前已有多項機制強化軟體安全保護，包括虛擬化、堆疊金絲雀（Stack Canary）和執行前程式碼授權等，但英特爾提到，這些強化保護機制，促使惡意攻擊者將攻擊矛頭轉向計算平臺，像是故障電壓（Glitching Voltage）、時脈針腳、電磁輻射等故障注入攻擊，都可能導致電路時序故障，最終允許執行惡意指令或是洩漏機密資料。</p> <p>現在英特爾在其晶片加入可調副本電路（Tunable Replica Circuit，TRC）技術，以明確偵測因攻擊而導致的電路時序故障（Circuit Timing Faults）。TRC最先被應用在第12代Intel Core處理器系列產品中，賦予融合安全管理引擎（CSME）擁有故障注入偵測的能力，以發現對時脈和電壓針腳的非侵入式物理攻擊，同時也能用來偵測電磁故障。</p> <p>TRC技術原是由英特爾實驗室開發來監控處理器的動態變化，諸如電壓下降、溫度和老化，以進一步提高效能和能源效率，隨著技術的發展，TRC被應用在安全保護上，透過更改監控配置和建置基礎設施，使TRC可敏感偵測故障注入攻擊，同時英特爾也能針對安全應用程式調整電路。</p> <p>TRC的目標是要專注於監控特定類型的數位電路延遲，防範某些類型的物理攻擊，TRC被校準在超過CSME標準工作範圍的電壓時發出錯誤訊號，因此只要有來自TRC的錯誤訊號，就代表資料可能遭到毀損，如此系統便能觸發安全緩解技術，以確保資料完整性。</p> <p>英特爾提到，生產這類型硬體感測器最關鍵的部分是校準，因為一旦感測器過於敏銳，正常工作負載的電壓檢測將產生偽陽性誤報，偽陽性誤報會因雜訊導致平臺不穩定，並且為資安團隊帶來額外負擔。偽陰性誤報同樣需要避免，因此英特爾開發了一套以回饋為基礎的校準流程，以維持感測器的準確性。</p> <p>與純軟體實作比較，架構改進可以大幅減少執行開銷，英特爾表示，物理攻擊方法在過去一直不被包含在威脅模型之中，不過，隨著更多的運算被帶到邊緣，他們開始投資物理攻擊防護功能，將安全性根植在系統之中，使得軟體到晶片都能保護資料的安全。</p> </div></div></div>
2022/8/12 16:36作者李建興https://www.ithome.com.tw/news/152462
Meta將推出全程加密E2EE聊天訊息備份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/08/testing-end-to-end-encrypted-backups-and-more-on-messenger/" target="_blank">Meta本周宣布</a>正在測試全程加密（end to end encryption，E2EE）聊天訊息備份，允許用戶必要時可以在另一臺裝置回復資料。該公司說這功能和近日涉及青少女因FB Messenger對話資料被用於起訴無關。</p> <p>Meta表示正在開發Messenger及Instagram（IG）上預設全程加密訊息和通話的功能。目前Meta計畫測試Messenger全程加密聊天訊息的安全備份，未來也會陸續加入新功能，並推展到IG上。</p> <p>Meta的WhatsApp 2016年就預設啟用全程加密，但Messenger及IG則一直在緩慢測試中，預計要2023年才會正式成為預設。全程加密交談功能的備份讓用戶遺失手機或其他原因下，在新裝置上回復交談紀錄。由於只有用戶擁有加密金鑰，一如全程加密交談，Meta、ISP、電信商或第三方單位都無法存取交談內容，除非用戶向Meta通報。</p> <p>Meta表示，未來Messenger將預設啟用安全儲存。用戶備份資料時，需製作PIN碼或產生一組驗證碼作為未來存取之用，這兩種碼用戶都必須自己儲存。用戶也可以選擇將密碼儲存在第三方雲端服務，並在雲端上回復Messenger交談內容，例如iOS裝置可選擇iCloud。但Meta表示，這種方式就無法獲得Meta全程加密的保護。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/08/01_Secure-Storage.jpg?resize=890%2C816?w=1178" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>本周Meta已開始測試Android和iOS版，不過網頁版、桌機版或其他沒有全程加密的訊息服務則還不支援。</p> <p>這項功能發布同時，本周Facebook訊息服務涉及<a href="https://arstechnica.com/tech-policy/2022/08/teens-jailing-shows-exactly-how-facebook-will-help-anti-abortion-states/" target="_blank">一項案件</a>。美國一名內布拉斯加州青少女產下死胎，FBI探員懷疑是吃了墮胎藥的結果。該探員在蒐證過程中要求Meta提供該少女和母親在Messenger的交談紀錄，並要求不要通知本人。由於該州明文禁止墮胎，該青少女遭到起訴。</p> <p>Meta雖然稱警方出示的搜索令未提及墮胎一事，但也因此受到批評。不過Meta表示，本周測試的加密訊息儲存功能和新聞無關。</p> <p>Meta也公布其他全程加密開發的計畫。首先，刪除訊息同步化將擴及全程加密交談內容，也將加入回收訊息、回覆Facebook Stories影片及照片集等功能。此外，全程加密交談功能也將支援Meta智慧眼鏡Ray Bay Stories。</p> <p>Meta也開源瀏覽器外掛程式，名為Code Verify，在使用網頁版Messenger時可自動驗證密碼的真假，這功能旨在提供網頁版Messenger的全程加密。該程式支援<a href="https://chrome.google.com/webstore/detail/code-verify/llohflklppcaghdpehpbklhlfebooeog" target="_blank">Chrome</a>、<a href="https://microsoftedge.microsoft.com/addons/detail/code-verify/cpndjjealjjagamdecpipjfamiigaknk" target="_blank">Edge</a>及<a href="https://addons.mozilla.org/en-US/firefox/addon/code-verify/" target="_blank">Firefox</a>。</p> <p class="rtecenter"><img alt="" src="https://addons.mozilla.org/user-media/previews/full/272/272039.png?modified=1659651752" style="width: 600px;" /></p> <p>Meta也宣布移除Messenger上的Vanish mode。去年實作在Messenger上的Vanish mode讓用戶可傳送短暫存在的訊息。未來這項功能只會留在IG等沒有全程加密的訊息服務。</p> <p>Meta去年開始在IG上提供少數入測試全程加密，今年初擴及俄羅斯及烏克蘭。Meta表示即將推廣到更多國家。</p> </div></div></div>
2022/8/12 16:52作者林妍溱https://www.ithome.com.tw/news/152473
Telegram創辦人發文抱怨Apple審核新版本兩星期仍無聲無息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人<a href="https://t.me/durov/190">Pavel Durov發文</a>抱怨計畫發布的Telegram新版本，已經進入Apple應用程式審查程序兩個星期，到現在還沒有收到解釋尚未完成審查的原因，Pavel Durov提到，他們所要發布的新版本包含可以徹底改變人們傳遞消息表達自己的方式，但到現在仍未獲得批准。</p> <p>Pavel Durov認為，所有行動應用程式都需要經過技術壟斷企業的審查，這流程艱澀難懂，使得Telegram應用程式經常無法發布新版本，最新的Telegram版本也遭遇相同的問題，在審查流程中停留了兩個星期，而Apple完全沒有提供任何的解釋和說明。</p> <p>Apple和Google向應用程式開發人員收取30％的稅，以支付審查應用程式所需要的資源，Pavel Durov表示，Telegram是全球十大最受歡迎的應用程式之一，如果連Telegram都遭受到這種待遇，那可以想像更小的應用程式開發者所經歷的困難。</p> <p>這樣的障礙對應用程式造成直接的經濟損失，他指出，目前歐盟與其他國家的監管單位開始調查這樣濫用行為，但開發者所經歷的損失已經無法挽回。</p> </div></div></div>
2022/8/12 17:03作者李建興https://www.ithome.com.tw/news/152466
FTC有意立法規範商業監控與資料安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/08/ftc-explores-rules-cracking-down-commercial-surveillance-lax-data-security-practices" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（8/11）指出</a>，該機構有意探索透過各種規定來掃盪有害的商業監控，以及鬆散的資料安全，於既有的線上隱私保護規定之外，再築一道牆來強化民眾的隱私。</p> <p>FTC主席Lina Khan說明，現階段許多公司在各種環境下蒐集大量的個人資料，隨著經濟的數位化，再加上那些可無止境蒐集敏感的使用者資料並廣泛利用的商業模式，意味著非法行為可能很普遍。</p> <p>FTC指出，業者監控了使用者在網路上的所有行為，從他們的人際網路、瀏覽與購買紀錄、地點及實際移動路線，到其它的個人細節等，而這些大規模的監控進一步增加了資料外洩、欺騙、操縱或其它濫用行為的風險，此外，由於外界對自動化系統如何分析所蒐集而來的資料知之甚少，但研究顯示，這類的演算法容易出現錯誤或偏差，最終可能會造成歧視，影響特定使用者獲得居住、信貸或就業等資訊的能力。</p> <p>就算業者制定了隱私政策，但期間也可能更改該政策，或是使用隱諱的手法，以及透過行銷手段來迫使消費者分享個人資訊。</p> <p>上述都讓FTC認為應有制定相關規定的必要，近日便將透過《聯邦公報》（Federal Register）公布通知，外界可在60天內提供意見。</p> </div></div></div>
2022/8/12 15:20作者陳曉莉https://www.ithome.com.tw/news/152464
研究人員踢爆：臉書與IG行動程式會跨站追蹤用戶行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank">行動程式開發工具fastlane的作者Felix Krause本周披露</a>，Meta旗下的Facebook與Instagram（IG）的iOS程式可利用程式中的客製化瀏覽器來追蹤使用者的行為，當使用者於Facebook或IG程式中點選廣告或連結之後，這兩個程式即可追蹤使用者於外部網站上的所有活動，恐有侵犯使用者隱私之嫌。</p> <p>Krause曾任職於Google與Twitter，之後自行創立了fastlane，打造專供Android與iOS開發者用來建置及發布程式的同名開源工具。</p> <p class="rtecenter"><a href="http://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Felix%20Krause.png" style="width: 500px;" /></a></p> <p>根據Krause的分析，只要Facebook與IG用戶點選了程式中的連結，程式就會啟用內建的瀏覽器造訪，並於所造訪的網頁注入JavaScript程式碼，以用來追蹤使用者於該站的所有活動，包括所點選的按鍵、所選擇的文字、所輸入的表格，或是購買行為等。</p> <p>除了使用者的行為完全被掌控之外，以行動程式內建的客製化瀏覽器造訪第三方網站，將喪失Safari等全功能瀏覽器的完整保護，且於外部網站注入JavaScript可能會引起網站的故障。</p> <p>另一方面，<a href="https://www.theguardian.com/technology/2022/aug/11/meta-injecting-code-into-websites-visited-by-its-users-to-track-them-research-says" target="_blank">Meta向《衛報》解釋</a>，這些行動程式都是在使用者同意被追蹤的設定下，才會於第三方網站注入JavaScript追蹤程式，而且這些資料只被用在目標式廣告或測量上。</p> <p>Krause則建議若使用者要避免這類的追蹤，可複製Facebook或IG程式中的連結，再以手機上的Safari或Firefox瀏覽器造訪，而不要於程式中直接點選連結。</p> </div></div></div>
2022/8/12 15:46作者陳曉莉https://www.ithome.com.tw/news/152465
鎖定全球工業控制系統的勒索軟體攻擊在Conti關閉後少了2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank">資安業者Dragos本周指出</a>，全球工業控制系統（Industrial Control System，ICS）在今年第二季受到勒索軟體攻擊的次數為125次，低於上一季的158次，疑似因為該領域的主要勒索軟體之一<a href="https://www.ithome.com.tw/news/151058" target="_blank">Conti在今年5月關門大吉</a>的緣故。</p> <p>Dragos總計追蹤了43個鎖定ICS展開攻擊的勒索軟體駭客集團，今年第二季只有23個集團發動攻擊，而125次僅為曝光數量，實際攻擊次數可能更多。</p> <p>Dragos會將第二季攻擊數量的降低歸因於Conti，是因為在去年第四季與今年第一季時，Conti總計占了該領域所有攻擊數量的25%與18%，但今年第二季驟降為13%，位居第二，第一名則是Lockbit 2.0的33%。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/RansomwareByGroup_Q2_2022-1024x569.jpeg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">Dragos</span></a></span></p> <p>在第二季的ICS勒索軟體攻擊行動中，主要是歐洲的46起，北美的36起與亞洲的32起，若從行業別來看，有86起發生在製造業，10起為食物及飲料業，10起為能源業，6起為運輸業，還有5起是醫療業，再加上石油、化學與基礎設施等。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/Ransomware_Continent_Q2_2022-1024x663.jpg" style="width: 600px;" /></p> <p><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">Dragos</span></a></p> <p>Lockbit 2.0在該季最知名的事蹟，是加密了富士康多個墨西哥廠的逾1,200臺伺服器，造成當地工廠停工數周。Dragos也注意到新興的Black Basta在該季發動了兩次攻擊，且認為該勒索軟體集團是由Conti與REvil之前的成員所組成。</p> <p>在Conti關閉之際，即有研究人員認為該勒索軟體集團是因為遭到美國封鎖而關閉，並未真正結束操作，而是再改以Black Basta等新品牌另起爐灶，因此未來Black Basta的活動值得關注。</p> <p>美國已在今年5月<a href="https://www.ithome.com.tw/news/150845" target="_blank">懸賞千萬緝拿Conti組織駭客</a>，本周更進一步公布<a href="https://twitter.com/RFJ_USA/status/1557804081552523267" target="_blank">了其中一名駭客的長相</a>。</p> </div></div></div>
2022/8/12 16:07作者陳曉莉https://www.ithome.com.tw/news/152467
Cloudflare員工也遭簡訊網釣攻擊，因採硬體金鑰而逃過一劫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在雲端通訊平臺Twilio日前傳出，<a href="https://www.ithome.com.tw/news/152379" target="_blank">遭到駭客以簡訊網釣攻擊</a>盜走了員工的登入憑證之後，<a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/" target="_blank">資安業者Cloudflare也說自己亦是駭客的攻擊對象</a>，而且至少有3名員工被騙，然而，由於Cloudflare每名員工都使用公司發的硬體安全金鑰，而逃過了一劫。</p> <p>Cloudflare的安全團隊是在7月20日接獲同事的報告，說他們收到一個似乎是合法的簡訊，該簡訊是以T-Mobile電話號碼寄送，簡訊上寫著Cloudflare時程表已更新，請造訪Cloudflare-Okta.com來檢視變更，且在短短的一分鐘之內，就有76名同事收到簡訊，還有同事的家人也收到簡訊。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/08/image3-5.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>Cloudflare-Okta.com雖然看起來像是真的，但它卻是一個網釣網址，而且是在發動簡訊網釣攻擊的前40分鐘才申請的。Cloudflare說，他們原本就打造了安全註冊產品，得以監控所有企圖使用該公司品牌的網站，若是惡意的就檢舉並封鎖它們，但因為Cloudflare-Okta.com實在太新了，甚至尚未被公開，而讓該監控服務失靈。</p> <p>使用者點選連結之後就會被導至一個偽造成以Okta身分辨識服務登入Cloudflare的網頁，並被要求輸入帳號及密碼。</p> <p>Cloudflare分析了該網釣網站，發現在使用者輸入帳號及密碼之後，它會立即將此一憑證透過Telegram傳送給駭客，接著頁面就會再度提醒使用者輸入有時間限制的一次性密碼（Time-based One Time Password，TOTP），雖然有3名同事輸入了憑證，但Cloudflare員工並未使用TOTP，而是採用了硬體金鑰，使得駭客無功而返。</p> <p>倘若駭客成功藉由該網頁通過了多因素認證，除了可取得使用者的登入憑證之外，該頁面還會下載一個含有AnyDesk遠端存取工具的酬載，在安裝之後將允許駭客自遠端控制受害者的裝置。</p> <p>在察覺駭客針對該公司展開簡訊網釣攻擊之外，Cloudflare即封鎖了該網域，重設所有受害員工的憑證，通知了該網域的註冊商及代管業者，強化對後續攻擊的偵測，以及稽核服務存取日誌。Cloudflare強調，該公司於此一攻擊中全身而退，並無任何系統遭到入侵。</p> </div></div></div>
2022/8/12 14:24作者陳曉莉https://www.ithome.com.tw/news/152461
代管業者遭勒索軟體攻擊，英急救專線網路恐中斷3周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供英國衛生服務部（NHS）急救專線111代管服務的供應商遭到勒索軟體襲擊，迫使英國急救任務分配以手動進行，預估可能影響急救服務數星期之久。</p> <p><a href="https://www.bbc.com/news/uk-wales-62442127" target="_blank">BBC</a>及<a href="https://www.pulsetoday.co.uk/news/breaking-news/gps-told-to-expect-influx-of-calls-from-patients-redirected-due-to-111-outage/" target="_blank">Pulse</a>等英國媒體報導，負責提供NHS 111急救專線代管服務的Advanced上周四（8/4）早上發生「嚴重技術」問題，造成111系統中斷服務。</p> <p><a href="https://www.oneadvanced.com/cyber-incident/" target="_blank">Advanced</a>判斷是勒索軟體攻擊所致，該公司表示已經採取措施，預防對英國醫療照護服務產生進一步風險。</p> <p>111急救專線網路負責支援救護車派遣、夜間看診預約或緊急藥物處方等緊急治療服務。根據報導，所有使用111網路進行預約或病患轉診、收治的醫院都受影響，這些醫院上周起必須手動紙本或電話進行，且召回休假員工支援作業。</p> <p>這家MSP表示，勒索軟體攻擊影響的系統相當廣泛，包括臨床病患管理軟體、長照中心管理軟體、臨床決策系統、電子病歷軟體、公部門財務管理軟體，以及其他臨床或照護相關系統。</p> <p>事發後廠商提供緊急方案維護系統運作，<a href="https://www.independent.co.uk/news/health/nhs-cyber-attack-staff-it-b2142245.html" target="_blank">Independent報導</a>，業者估計要3周到4周才能完全恢復作業。</p> <p>目前調查正在進行，但Advanced並未說明是何種勒索軟體、惡意程式駭入系統的管道，以及有哪些資料遭加密或竊取。</p> <p>這也突顯MSP資安事件的嚴重性。本周丹麥便利超商7-Eleven也傳網路攻擊影響PoS運作，迫使全國175家門市關閉。有消息指，可能是其使用的MSP遭勒索軟體攻擊所致。</p> </div></div></div>
2022/8/12 15:04作者林妍溱https://www.ithome.com.tw/news/152463
AWS推出檔案快取服務，更新EBS快照功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其一年一度的AWS Storage Day，<a href="https://aws.amazon.com/tw/blogs/aws/welcome-to-aws-storage-day-2022/">發表新儲存服務Amazon File Cache</a>，並對既有儲存服務包括Amazon EBS以及AWS Transfer系列推出功能更新。</p> <p>Amazon File Cache是AWS即將推出的儲存新服務，該服務將可加速和簡化混合雲工作負載，Amazon File Cache提供高速快取，無論資料儲存在什麼位置，用戶都可以更簡單地處理檔案資料。AWS表示，Amazon File Cache針對儲存在本地端檔案伺服器、檔案系統或是AWS物件儲存服務中的資料，提供一個臨時且高效能的儲存位置。</p> <p>該服務讓用戶能夠以亞毫秒級的延遲，和每秒高達數百GB的吞吐量，迅速匯集分散各地的資料集，供應給AWS上需要讀取這些檔案的應用程式使用，Amazon File Cache可支援各種雲端爆發工作負載和混合工作流程，從媒體渲染、轉碼到電子設計自動化，甚至是分析龐大資料等。</p> <p>另一項重要的更新是Amazon EBS快照功能，Amazon EBS讓用戶可以隨時運用快照來備份磁碟區（Volume），快照保留所有已經完成的I/O操作資料，供用戶將磁碟區回復到備份前的狀態。快照一般的使用情境，是創建關鍵工作負載的備份，諸如大型資料庫或是檔案系統，用戶可以選擇個別創建每個EBS磁碟區的快照，也可以針對附加到單個EC2執行個體的EBS磁碟區，創建多個磁碟區快照。</p> <p>AWS新推出的EBS快照功能，提供EBS磁碟區子集的崩潰一致性快照，過去當用戶想要創建EC2執行個體EBS磁碟區的多磁碟區快照，並且僅含有特定的EBS磁碟區時，用戶需要進行多次API呼叫，以選取保留真正想要的快照，但現在用戶可以使用API呼叫，在創建快照的過程排除特定磁碟區，以大幅節省成本。</p> <p>在早前，AWS也宣布在其檔案傳輸服務Transfer系列，支援AS2（Applicability Statement 2）協定，因此仰賴AS2交換重要業務資料的醫療保健、金融服務和保險等產業，現在可運用AWS Transfer系列服務，安全且高效地與其貿易夥伴交換資料。</p> </div></div></div>
2022/8/12 13:38作者李建興https://www.ithome.com.tw/news/152443
誠品連五季列網購高風險平臺，博客來單季件數破2,700件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年東森購物、誠品網路書店客戶個資外洩問題嚴重，許多民眾表示，詐騙者知道自己的個資與下單資訊，包含詳細的購買金額與日期，而且這類事件不斷，仍延續到今年第一季。</p> <p>在第二季，個資外洩與詐騙事件數量不僅居高不下，甚至再創新高！在8月7日，刑事警察局165公布今年第二季高風險賣場名單，指出這類解除分期詐騙手法幾乎完全一樣，但被列入名單的廠商有極大的變化。</p> <p>風險最高的賣場是博客來網路書店（2,725件），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。這些通報總共有3,737件。</p> <h3><strong>警方第二季接獲3,737件通報，是前一季的3倍</strong></h3> <p>最值得注意的是，單就嚴重程度最高的博客來網路書店而言，今年第二季的通報數量就達到2,725件，前所未見，此前單一平臺單季多在300到500件通報之間，相較之下，差距足足5到8倍。名列第三的誠品網路書店也備受關注，因為這家業者已經連續5季入榜高風險賣場。</p> <p>如果將五大高風險賣場通報件數加總起來，2022年第二季（3,737件）是前一季度（1,127）件的3.3倍，是去年同期（895件）的4.1倍以上。甚至，單是今年第二季的五大高風險賣場通報總量，也超過2021整年（3,586件）。</p> <p>這樣的狀況相當棘手，畢竟多年來警方持續呼籲民眾要小心，並公布詐騙話術與手法，這些平臺業者也紛紛發布反詐騙聲明的警告資訊，聲明不會主動打電話給客戶。</p> <p>但有很多民眾仍不知道詐騙集團假冒來電的手法，也不知道可能存在客戶資料外洩情形，以為只有平臺業者知道消費資訊，如果不清楚的人很容易受騙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg" style="width: 290px;" /></a></p> <p><strong style="color: rgb(0, 153, 255);"><a href="https://s4.itho.me/sites/default/files/images/（圖1）刑事警察局2021年年度前5大高風險賣場9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B49.jpg" style="width: 600px;" /></a></strong></p> <h3><strong>受害者指出假冒平臺客服知曉用戶訂單資訊</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物是2022年新入榜的高風險賣場，實際上，是否真有客戶資料外洩情形？</p> <p>以博客來網路書店平臺而言，例如，<a href="https://www.dcard.tw/f/mood/p/238690432">有網友表示在4月21日接到詐騙電話</a>，對方假冒博客來網路書店人員，清楚說明了網友的身分與買過的書，表示掌握到網友的個資與下單資訊，後續再接到假冒銀行客服的電話，在各種詐騙話術誘導之下，被詐騙近十萬元。</p> <p>而在遠傳friday購物平臺的部分，<a href="https://www.youtube.com/watch?v=edQaT-oQfAs">有網友提到他接到假冒遠傳friday購物的詐騙電話</a>，對方知道自己曾在1月於購物平臺買過萬巒豬腳，並以電商被駭客入侵導致信用卡被盜刷為由，再由假冒銀行客服來電，要求受害者配合到ATM提款機操作，透過一連串精心設計話術，騙稱是要取消，騙走用戶十萬元。我們後來也聯繫上這位網友，想了解遇害狀況，他指出在今年4月6日遭遇此事。</p> <p>至於迪卡儂，他們擁有網路購物平臺與實體通路，<a href="https://youtu.be/BsOk7qS47Do?t=24">有其會員接受媒體採訪時表示</a>，駭客很明確指出他的姓名，以及1月在迪卡儂購買的品項，後續曾遭同樣手法詐騙，匯款14筆金額達50萬元，直到警方看見民眾在提款機操作太多次而上前關切，他才驚覺自己被詐騙。根據相關的報導指出，迪卡儂表示本身並未發現資料外洩，但已經聯繫其合作的後端物流廠商徹查。</p> <p>另一方面，我們也詢問了刑事警察局，警方指出從本季的通報案例來看，詐騙集團所掌握的資訊，都是最近幾個月民眾的購物明細。至於2022年解除分期詐騙的財損，目前資料統計到4月20日，這類詐騙件數達198件，財損金額高達1億9,589萬元，比去年同期高出5千萬元。</p> <h3><strong>客戶資料外洩原因仍然不明</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物都宣稱他們持續進行反詐騙宣導，卻並未公開說明調查結果，到底是內部系統發生客戶資料外洩？還是業者沒管好平臺的合作物流廠商？還是用戶端發生帳密被駭客盜用登入，因而得知訂單資料？各家狀況有待釐清。若從事件發生規模的角度來看，整批客戶資料外洩可能性較高。</p> <p>對此，我們也詢問博客來、迪卡儂、遠傳Friday購物這三家平臺業者，了解業者對於個資外洩事件的調查狀況，但對方的回覆竟然都是未能調查出駭客入侵的狀況，因此無相關調查結果可以公開。</p> <p>例如，本季最嚴重的博客來，他們公開表示：「該公司已於官網加註反詐騙宣導警語、並主動發送反詐騙宣導簡訊通知消費者，會持續與專業資安防護公司合作，進行資安檢測及強化保護，降低風險。」對於是否有相關調查結果，僅表示目前未能找出駭客入侵情況。</p> <p>其他兩家業者因為曾回應其他媒體的相關提問，所以，我們也向他們詢問，試圖挖掘出更多消息。</p> <p>例如，迪卡儂曾表示，本身未發現資料外洩，但已聯繫其合作的後端物流廠商徹查；遠傳friday購物曾表示，查無駭客入侵系統情事，仍持續密切觀察事件發展。不過，這兩家業者未能再有更多公開的回應。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>即便查無駭客入侵狀況，是否也該對外公告說明？</strong></span></h2> <p>日前台灣虎航在7月23日發布資安事件重大訊息，公開說明發現遭駭客網路攻擊，並先行發布反詐騙向民眾宣導，疑客戶資料外洩，相較之下，上述業者存在個資外洩並利用於解除分期詐騙的情況，儘管發布了反詐騙宣導，但可能因為一直沒有查出根因，至今都沒有發布重大資安事件公告，或公開客戶資料外洩相關調查結果，變成民眾變成需要自我警惕。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>假冒平臺、銀行客服來電的偽冒是否能防範？</strong></span></h2> <p>詐騙集團過去可透過二類電信，偽造出完全與平臺、銀行一模一樣的來電顯示號碼，但這樣的漏洞已經防堵。</p> <p>現在的詐騙集團來電號碼偽冒方式，多是來電號碼前段會顯示+886與+02，後段可能假冒成與業者電話完全一樣，也可能根本不同。</p> <p>在電信業的防範上，雖有相關防範，但可能受限於筆數設定無法逐一封鎖，也無法針對+號的國際電話全面封鎖。而且，有些民眾可能根本沒查證是否為業者來電，有些民眾則對顯示+886與+02的來電號碼，依然缺乏警惕，出現鬆懈防備的心態，事實上，來電顯示時，對方的號碼開頭若有「+」號，有很高的機率是詐騙電話，同時警方也一再強調ATM沒有解除分期相關功能。</p> </div></div></div>
2022/8/12 12:14作者羅正漢https://www.ithome.com.tw/news/152456
【專家看中介法：台灣網路資訊中心董事暨執行長黃勝雄】肯定中介法保護使用者，但法定義務仍需考量業者承擔能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於NCC近期公布數位中介服務法草案，財團法人台灣網路資訊中心（TWNIC）董事暨執行長黃勝雄持肯定的看法，過去在網路空間產生的違法行為難以有效規範，現行的司法系統因嚴謹的審理程序，無法很快的因應處理網路上的犯罪行為，例如限制接取，因此儘管網路犯罪或遭受不公平對待的案例相當多，但進入法院的少之又少，大部分人在網路上受到不當的對待，沒有受到合理保護。</p> <p><span style="color:#B22222;"><strong>政府聲請資訊限制由法院把關</strong></span></p> <p>在數位中介服務法草案中，賦予行政機關權力，向法院聲請資訊限制令，要求平臺業者配合移除內容，黃勝雄認同此一做法，由於政府需經過法院嚴格的審查程序，法院審查時徵詢該內容的使用者意見，必要時得徵詢第三方民間事實查核機構意見，最後才同意核發資訊限制令。</p> <p>「過去沒有行政機關向法院提出資訊限制令，這是全新的作法」，黃勝雄說。資訊限制令採取法官保留的原則，將限制人民基本權利的政府作為，交由法官經審查後裁定，使用者不認同法院裁定結果，可依司法系統救濟管道處理。</p> <p>至於外界擔心政府以行政處分要求平臺針對內容暫時加註警語，恐箝制言論自由，黃勝雄則認為，行政機關不會隨便對特定的新聞或內容提出限制令，必定蒐集完整的資料、調查程序，將功課及法律要件備齊，有一定的把握後才會聲請限制令，否則法院最後駁回聲請，浪費行政機關的時間，形成龐大行政成本，並留下濫訴的印象。</p> <p>此次中介法草案也規定中介業應配合政府的資料調取義務，黃勝雄認為，傳統上，政府資料調取有兩條路徑，第一條是循法院審議，只要經過法院審議裁定，就可對資料進行扣押，第二條是針對特定業者如電信事業，電信事業依法律規定需保留資料、配合資料調取的法定義務。而數位中介服務法保留原來法院裁定的路徑，但將原本限縮在特定事業的調取義務，擴大到所有中介平臺者。</p> <p>他認為，中介法擴大政府單位資料調取的權力，確實仍有討論的空間，包括如何限制行政機關的資料調取行為、業者如何保存資料、保留多久時間等等。</p> <p><strong><span style="color:#B22222;">政府提出中介法草案，業者承擔法定義務仍有協商空間</span></strong></p> <p>政府提出數位中介服務法，強化對數位中介平臺的管理，黃勝雄認為中介法有些部分直接從歐盟DSA移植過來的，但是臺灣在數位經濟的規模有沒有比歐盟大？歐盟提出DSA，背後有經濟實力作為後盾，作為協商的要求。臺灣是否具備這麼大的實力或條件，要求平臺業者承擔更多的法律義務，這是相當現實的問題。如果條件不存在的話，政府有什麼方法去要求，政府基於保障公益提出額外的法律限制義務，平臺業者能不能接受，他認為這是需要討論的。</p> <p>網路事業和傳統事業不同，網路事業可以說不，可以選擇完全不落地，如果政府限制人民使用，就會面對人民的譴責，如果人民需要這項服務，它又沒有落地的需求，政府需要去思考有哪些籌碼來討論，得到政府想要的限制措施，這是需要協商的。</p> <p>黃勝雄表示，不論提出哪些限制措施，都要知道自己背後的籌碼在哪裡。以電子商務規模為例，臺灣去年為4,300億元臺幣，歐盟為27個國家環繞的經濟體，規模將近5,000億歐元，是臺灣的將近30、40倍以上，以歐盟如此大的經濟規模提出限制性要求，平臺業者需要認真思考法遵的問題。</p> <p>反觀臺灣，有沒有對等的經濟規模提出協商談判的空間，如果中介平臺業者不願意承擔這麼大的法律義務，不在臺灣提供服務，承擔壓力、人民責難的將會是政府，以目前中介法草案提出的法定義務，他相信未來政府與業者協商應仍有下修空間。</p> </div></div></div>
2022/8/11 19:24作者蘇文彬https://www.ithome.com.tw/news/152450
美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。</p> <p>但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。</p> <p>另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <p>中國對於裴洛西旋風式訪臺高度不滿，並藉該事件加强對臺灣的各種威脅手段，對此過激的反應，不僅有力道加强的無煙硝網攻：DDoS（分散式阻斷式）攻擊、假訊息和網頁置換（Deface），更有實質發射彈道飛彈、環臺軍事演習的武嚇手段。「網攻武嚇」或將成為中國對臺威嚇手段的基本款。</p> <h2><strong>中國網攻手段層出不窮，從DDoS、假訊息到網頁置換</strong></h2> <p>在裴洛西國會訪問團飛抵臺灣之前，中國官方和民間便透過各種管道，強烈「要求」裴洛西不可以率團訪問臺灣，當裴洛西訪問團從馬來西亞出發時，並沒有公布下個航班行程，在全球超過二十萬多網友的關注下，才於8月2日晚間10點43分於臺北松山國際機場落地，隨即展開來臺不到24小時的旋風式訪問。</p> <h3><span style="color:#0000FF;"><strong>駭客發動DDoS攻擊，癱瘓網頁</strong></span></h3> <p>不過，中國的威脅手段早在裴洛西抵臺前便已經展開。</p> <p>首先便是臺灣代表性網站遭到駭客發動DDoS（分散式阻斷式）攻擊，癱瘓網頁，讓民眾無法連上、瀏覽該網頁。中國對臺灣政府網站發動DDoS攻擊，就是一種直面對決，希望讓民眾意識到，原來政府和企業的網站其實很容易被中國駭客攻陷、導致無法運作。</p> <p>第一波受駭單位多以政府網站為主，包括：8月2日傍晚約5時15分起，總統府官網遭到境外DDoS攻擊。總統府表示，該網站流量為平時的200倍，已於20分鐘內恢復正常運作。</p> <p>8月2日同日也傳出政府入口網站、外交部網站，其他像是臺電以及桃園機場等，同樣傳出遭到DDoS攻擊。外交部則表示，該部官網和政府入口網兩個網站遭到來自中國、俄羅斯等地的大量IP，每分鐘有多達850萬次的流量請求。</p> <p>此外，國防部官網也遭到DDoS攻擊，他們也發布聲明指出，國防部官網於8月3日晚間11點4分起，陸續遭到DDoS攻擊，並於11點27分因為流量過大、導致服務中斷；經流量清洗以及阻擋惡意中繼站後，國防部官網已經於8月4日凌晨0點30分恢復正常連線。</p> <p>在裴洛西離臺後，這類的網路攻擊手段也並未停止。像是政黨傾向親綠的媒體民視新聞網，也在8月6日、8月7日、8月8日和8月10日都遭到DDoS攻擊，民視遭到DDoS攻擊時間長短不一，但每秒攻擊流量超過300 Mbps，民視以分流方式處理，仍可以提供服務。</p> <p>不過，民視的YouTube直播節目，則在8月6日遭到駭客竄改播出內容，民視有立即處理並通報主管機關NCC（國家通訊傳播委員會）。</p> <h3><span style="color:#0000FF;"><strong>駭客攻陷小七、臺鐵電子看板系統，替換惡意文字內容</strong></span></h3> <p>到了8月3日，裴洛西開始一系列的訪問行程，早上九點多，全臺各地的統一超商（7-11）輪播廣告的電子看板系統，突然播出正體中文字樣的「戰爭販子裴洛西滾出臺灣」惡意內容，超商店員多在第一時間關閉電子看板作為因應。</p> <p>之後十點多的時候，前桃園縣議員王浩宇則在臉書貼出，在高雄臺鐵新左營站售票大廳的電子看板系統，則播放遭到被竄改的簡體中文內容，文中寫道：「老巫婆竄訪臺灣，是對祖國主權的嚴重挑釁；那些積極迎接的人，終將受到人民的審判；同種同族的血親關係割捨不斷；偉大華夏終將統一！」同樣的「老巫婆竄訪臺灣」簡體中文內容，在大約同時間，也出現在南投縣竹山鎮48縣道旁的電子看板。</p> <p>駭客此次鎖定攻擊的小七和臺鐵的電子看板系統，多是與民眾生活息息相關，粗俗直白的恐嚇文字，明晃晃的彰顯中國政府（民眾）對裴洛西訪臺的恨意；民眾因為首度在超商、臺鐵等場域直接「體驗」到中國網軍的惡意，「前所未見」的網路攻擊手法，對民眾也帶來一定程度的心理衝擊。</p> <h3><span style="color:#0000FF;"><strong>假冒知名駭客組織、散布各種假消息，擾亂臺灣民心士氣</strong></span></h3> <p>由於現在資訊氾濫，有許多內容農場和中國微信、臺灣Line群組，都會流傳許多似是而非、未經證實的假訊息，目的就是為了擾亂民心士氣，造成民眾恐慌的預期心理，更試圖創造臺灣民眾「未戰先敗」的心因性環境。</p> <p>裴洛西還未抵臺時，日本《產經新聞》臺北支局長矢板明夫8月1日晚間在臉書揭露，有小粉紅假冒他的名義，宣稱裴洛西亞洲行行程飛抵日本，並在日本中暑、住院。而這則假訊息最大目的就是要證明，裴洛西並沒有率團訪問臺灣，而是更改行程飛抵日本。</p> <p>另外最引人注目的假訊息之一便是假冒知名駭客組織、宣稱駭入臺灣重要單位系統，手中並掌握20萬臺物聯網裝置的「零時差漏洞」，足以發動撼動臺灣的網路攻擊。</p> <p>有部分駭客出面自稱為「APT 27」，該組織在8月3日同時創立YouTube頻道以及推特帳號，該組織宣稱：「將針對裴洛西訪臺，對臺灣發動特別網路攻擊行動。」</p> <p>之後連續幾天，「APT 27」更在推特上張貼包括：內政部警政署、交通部公路總局、臺灣電力公司、總統府、財金資訊公司、神腦國際，以及擁有金智洋科技公司旗下IoT（物聯網）和路由器的等相關單位的系統截圖和程式碼截圖。</p> <p>這些外洩的系統和程式碼截圖，引發相關單位的警覺心，紛紛自行檢查是否真的遭駭、是否有未修補的漏洞，導致系統與程式碼等相關資訊外洩。</p> <p>為了配合中國的軍事演習的進度，「APT 27」也於軍演結束的8月7日凌晨發表影片宣布：「網攻暫時結束」，但該組織宣稱：「確實掌握臺灣20萬臺物聯網設備的零時差漏洞，以及政府相關部門的外洩資料，」他們也說，未來臺灣若繼續挑起緊張局勢，「我們會再回來。」「APT 27」說道。</p> <p>資安公司奧義智慧執行長邱銘彰笑說，APT 27其實是外界資安公司針對某駭客組織的攻擊行為和中繼站等資訊所做的命名代稱，不應該有駭客組織跳出來宣稱自己是其他資安公司口中的「APT 27」。</p> <p>專精研究威脅情資以及各種APT（進階持續性威脅）攻擊的TeamT5（杜浦數位）執行長蔡松廷也說，從惡意程式和中繼站等各種資訊，都無法發現這個自稱「APT 27」組織，和之前研究的APT 27有任何的關聯性，他期待各界可以提供證據證明。</p> <p>此外，中國通訊軟體微信在此期間也傳出「共軍擊落我國伴飛戰機」的對話截圖，對話中指出「聽說已經擊落一架飛機」、「出動戰機擊落一架臺灣伴飛的飛機」；國防部8月4日在臉書澄清上述傳言為假訊息，臺灣空軍並沒有此一伴飛任務。</p> <p>臺灣最大bbs論壇PPT，近來已經成為各種假消息傳播的溫床。8月4日在PPT有網友爆掛指稱：臺灣付費給政治公關公司，希望遊說裴洛西來臺訪問，期間共付費9,400萬元。到8月5日，PPT爆料文章更升級，遊說裴洛西支付公關公司的費用，更已經升級到5.5億元。</p> <p>不管是擊落軍機，或是付費遊說裴洛西來臺訪問的假消息，最終目的就是要打擊民眾對於國軍和政府信心的一種手段罷了。</p> <h3><span style="color:#0000FF;"><strong>網頁置換技術難度不高</strong></span></h3> <p>在此次裴洛西訪臺後，中國駭客的攻擊手法，也出現以往常見的網頁置換（Deface）方式。這種網頁置換的手法，技術含量並不高，通常是那些以駭客自居的網路攻擊初學者Script Kiddie（脚本小子）所發動的網路攻擊模式。</p> <p>這些脚本小子掌握網站漏洞後，便在網站首頁上傳置換的惡意內容，通常會出現攻擊組織的標誌、Logo以及宣示的字眼，宣示和炫耀的性質濃厚。</p> <p>高雄市環保局飲用水管理網站在8月4日晚間被置換網頁，掛上中國共產黨的五星旗；另外，在8月7日也傳出臺灣大學教務處、硏發處官網首頁遭到駭客置換網頁，網頁中出現紅色背景以及大大的「世上只有一個中國」、「中國一點都不能少」字樣，校方知情後，不久便進入「無法連上這個網站」的網站關閉狀態。</p> <h2><strong>武嚇手段升級，發動72小時環臺軍事演習</strong></h2> <p>為了抗議裴洛西高調、19小時旋風式訪問臺灣（8月2日晚上10點43分抵臺，8月3日下午5點29分離臺），中國在8月1日結束例行性軍事演習後，在確認裴洛西率團抵臺後，更在8月2日晚上10點59分於新華網公開宣布：解放軍將於8月4日12點～8月7日12點，於臺灣周邊6個海、空領域進行72小時軍事演習，也會有實彈射擊。</p> <p>國防部對此也公布中國軍機動態，指出共有27架戰機（5架殲16、6架殲11、16架蘇愷30）侵擾臺灣防空識別區（ADIZ），並有6架殲11、16架蘇愷30穿越臺灣海峽中線。</p> <p>國防安全研究院網路安全與決策推演研究所助理研究員曾怡碩則表示，裴洛西訪臺後，中國藉此為由大張旗鼓發動軍演、恫嚇臺灣，利用網攻製造民心恐慌，透過假訊息混淆視聽，加上軍演發動的實彈射擊，可以驗證類封鎖的震懾效果。</p> <p>曾怡碩說：「在共軍啟動實體軍事演習之前，網路攻擊與認知作戰結合的混合戰即已開打，並持續貫穿軍演期程。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/800-%E5%8F%B0%E5%A4%A7%E9%81%AD%E9%A7%AD%E5%85%A8%E7%B6%B2%E9%A0%81_%E7%B6%B2%E9%A0%81%E6%88%AA%E5%9C%96.png" style="width: 625px; height: 1200px;" /></p> <blockquote><p>在8月7日，臺大教務處和研發處官網遭到網頁置換（Deface），駭客上傳紅色背景以及「世界上只有一個中國」的圖片內容。一般而言，網頁置換的技術難度並不高，通常是腳本小子（Script Kiddie）為了炫耀或宣示的攻擊行為。圖/網頁截圖</p> <p> </p> </blockquote> </div></div></div>
2022/8/11 17:52作者黃彥棻https://www.ithome.com.tw/news/152445
【資安日報】2022年8月11日，思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天有許多資安新聞都與勒索軟體駭客有關。其中，又以同時身肩資安大廠的思科公布遭到勒索軟體駭客組織閰羅王（Yanluowang）入侵的事故最受到矚目，但主要的原因並非駭客是否部署了勒索軟體，而是駭客經由員工個人的Google帳號，取得了進入思科內部環境的管道。</p> <p>另一個引起注意的攻擊行動，是有關原本隸屬於勒索軟體駭客組織Conti旗下的團體，他們重新利用惡意軟體BazarCall及電話客服，來進行網路釣魚攻擊，目的是入侵受害者所屬的組織。</p> <p>VMware再度針對8月初修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，呼籲用戶儘速修補，原因是研究人員公布概念性驗證攻擊等細節，可能很快就會有駭客用於攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科證實遭勒索軟體駭客閰羅王入侵，駭客聲稱竊得2.75 GB資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></a>繼雲端服務業者Twilio、Cloudflare公布駭客針對員工下手，意圖入侵公司網路環境的情況，又有公司坦承因員工被駭而遭到攻擊。</p> <p>同時身肩資安大廠的思科於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">18家IT業者聯手成立資安系統共通資料規格專案，目的是讓資安團隊能在不同系統進行互通</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部公布組織規畫，預告年底將成立國家資安研究院</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> </div></div></div>
2022/8/11 18:02作者周峻佑https://www.ithome.com.tw/news/152446
【中介法衝擊分析】業界對中介法草案的5大質疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底，NCC公開了臺灣第一份數位中介專法《數位中介服務法》（簡稱中介法）草案，這是一份影響全國民眾、關鍵網路與電信服務業者的新法草案，也涉及14個目的事業主管機關公權力作為的草案，所以，草案一公布，就立刻引起了許多討論，尤其，各界對於中介法草案中的諸多法規要求、政府執法作為和業者遵循實務上，提出了多項質疑。</p> <p>我們向十多家相關業者，如電信、公有雲或網路業者，來了解業界對中介法草案的看法，不少業者以草案處於立法早期不便回應或正在了解法案中而無法回應。</p> <p>不過，業者們的態度，大多數都願意配合新法的規範來執行，但是，也有少數業者，對於如何遵循的具體執行方式，提出不少疑惑，或是窒礙難行的質疑。我們綜整了草案公開後，多方的熱門討論意見，再加上實際查訪網路業界的第一線意見，歸納出了5項業界對中介法草案的主要質疑。</p> <h3><span style="color:#FF0000;"><strong>質疑1：納管對象定義和分類不清，業者實際執行難遵循</strong></span></h3> <p>在草案中以數位中介行為來區分規範對象的分類，以及各自應盡的義務，但這就衍生了遵循上的困難，甚至讓業者難以分辨，自己符合哪一類規範的對象，因而不知該提供哪些義務，或該做到哪些規定才能免責。業者恐人人自危，擔心沒盡到應盡義務而不自知。</p> <p>例如草案要納管的連線服務，包括了人際通訊服務，參考歐盟定義將網路電話或一對一聊天室的服務也納管，但這是許多軟體常見功能，如主要OS、企業ERP、協作軟體、會員服務App皆常見。但只有面對公眾的「線上平臺服務」可用「非主要服務內容」為由不用遵循連線服務的義務，或是微型（NCC說法指5人以下）企業可以排除納管，其餘皆要遵循。換句話說，超過5人規模，不論盈利與否、應用場景，只要提供聊天室功能的App或平臺，都得盡到連線服務業者的義務，得接受資料調閱、揭露透明度報告等。</p> <p>再者，NCC參考歐盟十分之一人口的標準，也就是以230萬人有效用戶來定義指定平臺業者，但「有效」如何定義？註冊人數數百萬人，月活躍用戶可能不到百萬人，是否屬於納管對象，也成了模糊地帶。</p> <p>NCC讓業者自行判斷，有人檢舉才查證的做法，可能得等到有人舉報，業者才會知道自己該遵循而沒有做到，卻得面臨主關機關的罰款。</p> <p>另外，不同規範類型的義務不同，當平臺同時提供多種服務，例如有私人聊天室的連線服務和公共討論區的資訊儲存服務，光是透明度報告要求就不同，該合併揭露或依照不同服務類型分別揭露，都會帶來不同的法遵成本，但草案沒有進一步說明。</p> <p>中介法對納管對象和分類，得有更明確的定義，否則在執行實務上，將導致業者無所適從，不知該如何遵循。</p> <h3><span style="color:#FF0000;"><strong>質疑2：業者難判斷違法內容，導致避風港條款虛設又得承擔誤刪賠償</strong></span></h3> <p>草案雖然設置了業者免責的避風港條款，但在資訊儲存服務的免責條件上，要求業者得承擔違法判斷責任，同時要執行「立即」移除或限制行為，才能免責。但這兩項要求都有技術執行困難，尤其內容違法與否，業者得依照14個事業主管機關各自法規和解釋才能判斷是否違法，要第一時間對內容做出違法判定的難度很高，也就難以實現「立即」刪除，無法符合免責條件，等於避風港條款虛設。業者容易因判定困難而採取有人檢舉就刪文的極端做法，但草案又要求業者得向用戶說明刪文理由，若最後屬於「不需刪除的合法」內容，業者還得承擔賠償責任。</p> <p>不刪文，恐遭主管機關開罰，但刪文又得面臨誤刪後的使用者賠償，草案讓業者陷入兩面不是人的困境。</p> <h3><span style="color:#FF0000;"><strong>質疑3：各主管機關資料調取權限過大，不給最嚴重恐遭斷網</strong></span></h3> <p>NCC雖然強調，在中介法草案中，對資料調取權的設計，採用了嫁接法的設計，也就是說，各事業主管機關在各自主管法規中，也得具有資料調取的法律授權，才能向業者提出資料調取的請求，而不是憑空賦予行政機關有新的資料調取權。</p> <p>但是，原本在各機關的相關資料調取法規中，對於業者拒絕提供的罰則規定不一，甚至有些法規沒有罰則，業者可以拒絕提供，或業者可以要求得經法院同意才提供。但中介法草案賦予各事業主管機關，對於違反情節重大者，有權給予斷網處分，等於擴大了原本主管機關的調取權力。例如兒少性剝削條例第8條第1項要求業者配合移除並提供資料給主管機關，違反者最高罰30萬元。但在中介法通過後，兒少法主管機關可以用斷網手段，來處罰連續拒絕配合的業者，比原本兒少法賦予的罰則更重的懲罰。</p> <p>根據2020臺灣網路透明報告，光是2017～2018年間共12個機關提出4萬多次對網路服務供應商的使用者個資調取請求，雖然只有252次遭拒絕，但中介法若通過，各事業主管機關就掌握了斷網生殺大權，業者很難拒絕而必須配合。而且不限定主管機關，任何行政機關都可以依行政處分進行調取權，不少縣市政府所屬衛生局都曾向業者請求調閱用戶個資，日後，每一次調取都將對業者帶來不配合恐遭斷網的壓力。</p> <h3><span style="color:#FF0000;"><strong>質疑4：暫時加註警語容易遭濫用，恐淪為言論打壓手段</strong></span></h3> <p>草案中要求資訊限制需經由法院程序的設計，獲得多方肯定，但在法院裁定前，草案賦予行政機關可以要求數位中介服務業者對「謠言或不實訊息且違法的訊息」暫時加註警語，而且這些要求加註警語的行政處分效力長達30天，恐怕遭有心人濫用，淪為打壓競爭對手形象或言論的手段，尤其對不實資訊或謠言的判斷方式難有標準，為了避免承擔責任，業者容易遇到檢舉就先加註警語，更不利於多方言論的討論，尤其在選舉期間，這個加註警語的機制，可能遭濫用發動大量檢舉來抹黑對手的言論。</p> <h3><span style="color:#FF0000;"><strong>質疑5：資訊透明度化要求過細，小型業者難以負擔龐大法遵成本</strong></span></h3> <p>不少國家對網路平臺或內容服務業者也會要求定期揭露透明度報告，例如歐盟、美國、奧地利、印度、土耳其、南韓等都有，但相較於國外透明度報告的揭露要求，臺灣業界質疑，新版中介法草案中要求的透明度報告揭露項目太多，也太細了，恐怕會帶來了龐大的法遵成本。</p> <p>一家臺灣線上平臺業者評估，為了因應中介法的資料透明度義務，得付出的法遵成本恐怕高達千萬元之多，一方面得擴大人力來處理各項檢舉、申訴和異議處理，還得依據法遵要求紀錄處理過程、理由和時間，例如得追蹤線上救濟管道每一項檢舉和異議的處理時間。</p> <p>另一方面，得整理和搜集來自各行政機關的資料調取請求詳細資訊，甚至也得搜集對每一調閱請求的作業時間，才能產生符合中介法草案的透明度報告的要求。對影響力較大的平臺，甚至得揭露內容自律所用自動化技術的說明，如所用成效指標的準確度等。</p> <p>甚至，中介法草案還賦予了主管機關日後可以隨時指定透明度報告揭露項目的權利，不需經由立法，就可以自行透過行政辦法的修訂來增加，這也意味著，透明度報告日後還得面臨更多客製化調整的法遵成本。文⊙王宏仁、蘇文彬、余至浩</p> </div></div></div>
2022/8/11 19:05作者王宏仁https://www.ithome.com.tw/news/152449
《數位中介服務法》草案帶來新衝擊，NCC要中介業者擔起更多責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月底，NCC公布《數位中介服務法》（後續簡稱中介法）草案，這項草案在設計上相當大程度參考歐盟早先公布的數位服務法（Digital Services Act，DSA）架構，隨後DSA與數位市場法（Digital Market Acts，DMA）在7月獲歐洲議會通過，象徵歐盟加強對大型數位平臺義務及責任，以及對科技業者市場主導力量的監管力道。</p> <p>中介法可被視為臺灣版本的DSA，加強對數位中介服務的規範，一方面迎合國際上認為中介服務具備守門人（gatekeeper）特性，對數位中介服務予以規範，以建立安全、可信賴的網路環境，同時也符合平臺問責（Platform accountability）的概念。</p> <p>由於網路產業關係到民眾的言論自由、隱私權，NCC對外再三強調對網路中介平臺的規範是以治理取代傳統監理，鼓勵中介業者自律或是透過產業共識的他律，處理中介平臺上的違法或不當內容，同時也賦予政府公權力，為減輕非法內容對公共利益的損害，得向法院聲請資訊限制令、暫時加註警語等手段，要求業者協助移除或限制接取內容，或暫時加註警語。</p> <p><strong><span style="color:#B22222;">規範對象廣泛，Line、三大公有雲、網路論壇都被管</span></strong></p> <p>儘管NCC澄清中介法管理的對象並非包山包海，但主要規範的數位中介服務提供者，依據草案的說明，數位中介服務指，透過有線、無線、衛星或其他電子傳輸設施傳送數位格式的聲音、影像、文字、數據或其他訊息提供的通訊傳播中介服務。因數位中介服務相當廣泛，因此草案參考DSA的設計，將中介服務分為連線服務，快速存取服務、資訊儲存服務3大類，其中資訊服務再分為線上平臺、指定線上平臺2小類。</p> <p>連線服務包括中華電信光世代、凱擘大寬頻、亞太電信、台灣固網，以及Line、WhatsApp、WeChat等；快速存取服務則是提升資訊轉傳效率，經過通訊網路自動、中介、暫時儲存使用者資訊，例如CDN或邊緣雲服務；資訊儲存服務主要儲存使用者提供的資訊，涵蓋的服務像是Google Drive、Dropbox、三大公有雲。</p> <p>線上平臺服務則是進一步將儲存用戶的資訊開放公眾存取，例如Dcard、巴哈姆特、ptt等網路論壇，或是Meta、YouTube、Instagram、Yahoo!拍賣等等；指定線上平臺則是有效用戶數超過人口10分之1，由主管機關公告的大型線上平臺業者。</p> <p>上述幾家業者只是簡單的列舉，因NCC只根據認定標準公告的指定線上平臺業者，不會主動區分其他業者屬於什麼類型服務，相信還有許多潛在業者受到中介法規範，但業者自己可能並不知情。</p> <p>中介法草案將中介服務畫分為3大類加2小類，並為不同類型中介服務提出相對應的法定義務，一般中介業者應遵守的透明度報告、資訊限制令、資料調取8項義務，若為資訊儲存服務、線上平臺服務或是規模更大的指定線上平臺，需要額外遵守更多的法定義務，以指定線上平臺業者為例，最多需遵守約20項義務（將緊急資訊限制令併入資訊限制令計算），對業者的衝擊不小。</p> <p>另外，在草案中也設有安全港的免責條款，即平臺上有違法內容或遭到用戶求償，只要符合特定的條件，得以免除民事或刑事責任，對中介服務業者提供免責的保障。</p> <p><strong><span style="color:#B22222;">增加政府對平臺內容的限制權力</span></strong></p> <p>在數位中介服務基本的8項義務中，業者需遵守資訊限制令、緊急資訊限制令，資料調取義務，這3項義務擴大了政府對平臺上違法內容的限制權力，並可向中介業者索取用戶儲存資料的權力。</p> <p>例如中介法第18條規定，各主管機關對於平臺的內容如認為違法，可向法院聲請資訊限制令，並且在法院審查核發限制令之前，主管機關可以行政處分，對該內容暫時加註警示，第19條要求法院審查認為有理由者，核發資訊限制令，以移除或限制接取該資訊，中介業者需配合限制令處理。如業者拒絕配合執行限制令，則可能被罰最多50萬元罰鍰。</p> <p>草案第17條則賦予行政機關資料調取的權力，行政機關在其主管法律規定可不需經法院裁定，以行政處分向中介業者調取資料．相當大程度的授予行政機關資料調取的權力。</p> <p><span style="color:#B22222;"><strong>建立用戶異議機制</strong></span></p> <p>相較於過去，沒有法律明確規定數位中介服務業者提供救濟機制，多仰賴業者服務規範的自主決策，此次中介法草案採納國際上的聖塔克拉拉原則，該原則主要精神為要求中介服務業者執行程序透明，並且提供使用者救濟的管道。</p> <p>因此在中介法裡，規定使用者如對線上平臺服務的限制，包括移除或限制接取內容，或是帳號被停權，可以服務內部異議或外部申訴管道尋求救濟，保障用戶的使用權益。</p> <p> </p> <p><span style="color:#B22222;"><strong>NCC：中介法要求平臺透明與可問責，維護網路言論自由</strong></span></p> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA_20220713.jpg" style="width: 600px; height: 400px;" /></p> <p>「數位中介服務法草案的立法精神是，維護網路上的言論自由，建立自由、安全、可信賴的網路環境」，NCC副主委兼發言人翁柏宗今年6月公布數位中介服務法（簡稱中介法）草案時開宗明義點出草案的立法精神，NCC希望一方面迎合國際上對中介服務的監理趨勢，也滿足國內對中介平臺的實際監理需要，因此參考歐盟數位服務法（DSA）架構制定草案。</p> <p>他表示，中介法草案的目的是希望建立數位中介服務的社會問責，並引入多方利害關係人共同維護網路環境及溝通平臺的專責機構。中介法類似普通法的地位，介接各部會作用法，由於網路世界是實體世界的延伸，因此網路上違法內容，由各部會依據作用法認定，並採納馬尼拉中介者責任原則，由司法機關協助維護言論自由的最後裁定，要求社群平臺建立透明及內外部異議的救濟制度，讓使用者主張維護自己的權益。</p> <p>翁柏宗指出，中介服務業者與使用者間的互動屬於私契約關係，使用者需遵守與平臺間的服務條款、社群條款，中介服務業者多以違反服務或社群守則為由，貼黃標下架使用者在平臺的特定內容。隨著中介平臺的發展，民眾交易、社交互動都在平臺上進行，逐漸成為一種準公共空間，因此需要對業者提出應遵守的義務，且可被公眾問責。</p> <p>未來中介法上路後，平臺業者如果下架使用者的內容，翁柏宗指出，業者需做到3點義務，首先最基本的是，必需清楚說明下架理由，解釋違反哪一條社群守則或服務規範，其次是當使用者表達異議時，業者必需提供內外部救濟制度，最後是，平臺業者每半年或一年需公開透明度報告，讓公眾可以檢視問責。透過對平臺治理內容的透明度，以及可被問責。「實現對民眾網路言論自由的保障」。</p> <p>儘管臺灣的中介法草案參考DSA架構，但NCC強調立法設計上有兩點與DSA不同。首先是中介法授權各法規主管機關調查平臺上的資訊，如認為有違法，為避免對公共利益造成損害，得向法院聲請資訊限制令，DSA則沒有資訊限制令，而是由其他作用法規定限制違法內容。</p> <p>其次是設立專責機構，由多方利害關係人組成議事架構，一方面形成中介產業的自律共識，另方面扮演政府各主管機關與中介業者間的單一溝通窗口。</p> <div> </div> </div> <div> </div> </div></div></div>
2022/8/11 19:08作者蘇文彬https://www.ithome.com.tw/news/152447
十多家業者發表開放資安框架以標準化不同產品的監控資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括AWS、Splunk、賽門鐵克、Cloudflare、Palo Alto Networks、IBM及趨勢科技等十多家科技與資安業者，<a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" target="_blank">在本周三（8/10）共同發表</a>了開放網路安全模式框架<a href="https://github.com/ocsf/" target="_blank">（Open Cybersecurity Schema Framework，OCSF）專案</a>，以協助組織更快也更有效率地偵測、調查與阻止網路攻擊。</p> <p>此一專案的創始者為AWS與Splunk，<a href="https://aws.amazon.com/tw/blogs/security/aws-co-announces-release-of-the-open-cybersecurity-schema-framework-ocsf-project/" target="_blank">根據AWS的解釋</a>，OCSF專案包含一個開放規格，以用來建立各種安全產品及服務之安全遙測的標準化資料，以及各種可支援及加速採用OCSF模式的開源工具。</p> <p>AWS指出，客戶經常反應不同安全產品之間的互動與資料的標準化令它們傷透腦筋，安全團隊必須以專有的格式才能統一來自不同供應商的多種產品的資料，使得安全團隊無法專注於偵測及回應事件，而且還要花時間將這些資料標準化。</p> <p>開源的OCSF主要作為開發各種模式的延伸框架及無關供應商之核心安全模式，供應商與其它的資料產生者可根據特定領域採用或延伸該模式，資料工程師則可比對不同的模式以協助安全團隊簡化資料攝取與標準化，進而讓資料科學家及分析師得以利用通用的語言，進行威脅偵測與調查。</p> <p>其最終目標是提供一個支援所有環境、應用程式或解決方案的開放標準，同時彌補現有安全標準與程序的不足。</p> <p>除了AWS與Splunk之外，另外16家加入該框架的業者還包括博通（Symantec）、Salesforce、Rapid7、Tanium、Cloudflare、Palo Alto Networks、DTEX、CrowdStrike、IBM Security、JupiterOne、Zscaler、Sumo Logic、IronNet、Securonix與趨勢科技。</p> </div></div></div>
2022/8/11 17:24作者陳曉莉https://www.ithome.com.tw/news/152444
Visual Studio Code 1.70改善標題列客製化，預設啟用三向合併編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_70#_command-line-option-merge">VS Code 1.70</a>是微軟甫推出的7月更新，這次的更新有不少重點在於介面改進，提升使用者的操作體驗，並且簡化開發者解決Git合併衝突的程序。</p> <p>Windows、macOS和網頁用戶都會注意到，微軟正在VS Code標題列加入更多的互動式內容，雖然開發人員原本就有能夠隱藏這些元素的配置選項，但在新版本中，現在能夠更方便地右鍵點擊標題列，來存取切換選單列、命令中心和布局控制元件的右鍵選單。</p> <p>想要使用系統右鍵選單的Windows用戶，仍然可以右鍵點擊視窗左上的VS Code圖標，或是Alt+Space來觸發選單，由於滑鼠游標的位置，就是觸發選單的位置，因此當游標在標題列頂端，就會出現自定義選單。</p> <p>早前選單在VS Code視窗縮小時，會折疊成三條橫線的漢堡選單，以騰出更多的空間，但在用戶反應後，微軟調整選單列的折疊邏輯，現在選單會先切換成舊的選單列折疊行為，直到大部分菜單折疊，最後才會切換到漢堡菜單。</p> <p>此外，微軟改進命令中心體驗的部分工作，在macOS的標題列出現互動式元件時，標題列現在將隨其他UI一起縮放，來提高可存取性。</p> <p>微軟進一步改善三向合併編輯器，並在VS Code 1.70中預設啟用，用戶可以透過點擊原始碼控制檢視圖中的衝突檔案來啟用這個合併編輯器，這次的更新功能亮點包括改進選單、強化差異用色，以及突出顯示衝突與非衝突的變更。</p> </div></div></div>
2022/8/11 16:25作者李建興https://www.ithome.com.tw/news/152439
【中介法政府面衝擊分析】中介法兩大對政府公權力擴權的執法手段，也引發政府濫權爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC近期公布的《數位中介服務法》草案，不只衝擊臉書、YouTube、Dcard、ptt在內等數位中介服務平臺業者，還賦予政府自身更多權力，最直接影響就是，未來政府機關若認定有違法資訊在網路上散播，可要求平臺業者配合加註警語、下架資訊，甚至不用經法院同意，依法就能直接向業者調取使用者個資，此舉也引起外界高度關注。</p> <p>草案中關於政府擴權的條文有兩項規定，一個是資訊限制令，另一個是資料調取，就列在草案第18條和第17條。</p> <p>首先，根據草案第18條對「資訊限制令」的規定，明定政府模式下違法內容的處理，可由各主管機關依各自法規，向法院聲請資訊限制令，當取得法院限制令後，業者必須配合辦理，就違法的內容做資訊移除或限制其接取等必要措施，違者開罰。</p> <p>過去，政府要禁止或限制相關網路違法內容，多仰賴和平臺業者之間不成文的默契，基於雙方協定，由業者提供協助，但即使最後拒絕，也不會遭罰。</p> <p>但有了18條規定，法規主管機關未來可依法院核發的資訊限制令，要求業者配合移除或下架資訊，若拒絕配合也有明定罰則，最高可處50萬元罰鍰。</p> <p>不僅如此，法院裁定前，聲請機關也有權要求業者加註圖文警示，甚至最多可放置30天。這項規定為政府機關帶來新的執法手段，而且不需要法院同意，也不用考慮情況有無急迫性，就能要求業者配合執行。甚至涉及重大公共利益且有急迫必要性時，政府可採取緊急程序，由法院48小時內迅速裁定。</p> <p>資料調取權則是草案所賦予政府另一項公權力，有別以往執法單位調取網路使用者資料，必須依法院搜索票，才能以此請求業者提供，除非法律特別規定，大多情況下，數位中介平臺業者，並沒有配合政府提供資料的義務，也沒有相關罰則。</p> <p>但草案17條明定，業者以後必須依政府各機關所作的行政處分，來提供手上的資料，甚至不須經法院裁定，就能調閱所需資料，雖然僅限於特定使用者資料，不包含其他資料，但這條規定，等於擴大了政府對於資料調取的權限，甚至對調取機關也沒有設限，只要是行政機關，不分中央或地方，依其主管法律有相關規定就能調取。</p> <h3><strong>不只有罰則，情節嚴重還可命電信業者對不遵守者斷網</strong></h3> <p>若業者拒絕提供用戶資料，不僅會面臨裁罰，更得按次處罰。此項規定為政府提供了一個連續處罰的有力的執法武器，甚至裁罰後仍不改正，且情節嚴重時，各該法規主管機關得命電信業者採取斷網行動，可以說是政府最嚴厲的執法手段。這項斷網規定也適用於未配合法院限制令辦理或加註警示要求的情況。</p> <p>資訊限制令和資料調取規定，都是對於政府公權力的擴充，也引起外界的擔憂，認為付出代價太高，可能會為政府機關大開方便之門，有濫用政府權力之虞。。</p> <p>元智大學資訊管理學系教授周韻采就認為，草案對資訊限制令的授權範圍和行使模式過於廣泛，包括加註警語的方式，可能產生寒蟬效應，且對緊急資訊限制令要件需嚴格限縮，比如限縮為重大事件，且需經過法院審核，避免政府假借緊急程序之名，行濫權之實。</p> <p>台灣網路資訊中心董事暨執行長黃勝雄也認為，17條資料調取權等於是讓原本僅限縮在特定事業的調取義務，未來可以擴大到所有中介平臺者，皆適用。</p> <p dir="ltr">單從條文來看，對這兩項規定也有不夠明確之處，像在緊急限制令上，雖需經過法院程序，但是條文中對「重大公共利益且有急迫必要性」構成要件說明並不明確，在判斷上不容易解釋。另外，對於資料調取執行程序上，不需要經過法院同意，就能要求業者依把提供使用者資料的作法，也可能過分擴權侵害用戶隱私的疑慮。</p> <p dir="ltr">根據台權會2020台灣網路透明報告統計，光是2017～2018年，政府機關向平臺業者要求調取使用者個資，就有超過4萬多次，涵蓋多個公家單位，從這項統計中，顯示出政府對於資料調取的頻率，其實並不低，甚至對於限制網路內的請求，2年內就多達800次。</p> <p>為防止政府濫權，草案中也有相關配套措施，像是要取得緊急資訊限制令，聲請機關須向法院釋明緊急請求必要性，包括符合違法內容，需馬上處理，否則將造成重大損害的情況，且對涉及資訊限制的結果皆須公開透明，可供公眾線上查詢。法院裁定前應給予提供資訊使用者陳述意見，必要時得諮詢產業自律或事實查核組織的意見，避免聽信一方的意見或說法。</p> <p>其次，要求業者配合暫時加註警示的前提，主管機關法規必須對該類不實訊息違法內容定有構成要件及禁制規定，且已向法院申請限制令，這些條件都具備後，才能以此作出處分。</p> <p>另外在資料調取方面，更要求行政機關調取資料前必須有法律授權，若其作用法沒有授權，除非另外修法，否則對於行政機關的資料調取要求，業者可以明確拒絕。文☉蘇文彬、余至浩</p> </div></div></div>
2022/8/11 16:39作者余至浩https://www.ithome.com.tw/news/152442
【中介法用戶面衝擊分析】下架內容將有平反救濟新管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去對於民眾遭到臉書、YouTube下架的內容，法律並未強制要求設置事後救濟管道，必須仰賴業者自律，但中介法草案未來立法通過後，將賦予民眾除了司法救濟之外的新的法定救濟權，對不服決定可直接向線上平臺服務業者提出異議和申訴，以恢復自身的權益。</p> <p>根據草案第24、25條規定，民眾若不服線上平臺服務業者的決定，包括資訊遭移除或限制接取、無法使用線上平臺服務，以及使用者帳戶被停權，皆可循內部異議、外部申訴兩大救濟管道，替自己遭到限制的權利平反。</p> <p>當移除民眾提供的內容時，業者依法必須告知當事人不服決定的救濟措施，包括內、外部救濟和司法救濟途徑。</p> <h3><strong>民眾內部異議救濟期間至少要有6個月</strong></h3> <p>針對草案第24條的異議機制和程序，也有特別要求，像是至少須提供6個月異議期間，可供當事人提出異議申請，這也是對於異議者救濟期間的保障，其次，業者必須建立一套e化異議機制，讓使用者可線上提出申請，操作介面設計也要簡單易懂，方便使用。</p> <p>在異議審查程序上，也不允許業者僅以自動化決策處理的結果，作為審理唯一判斷依據，而是必須基於客觀和盡職原則，來達到實質有效的異議審查。業者於審理後，認為異議有理由，就應該將非屬違法的內容或停權用戶帳戶回復原狀。</p> <h3><strong>外部申訴救濟管道，需擇定公正且獨立第三方機構</strong></h3> <p>除了內部異議機制外，當事人如果對異議結果不服時，仍可循外部申訴救濟管道來解決。</p> <p>草案25條明定，平臺業者依法必須建立訴外爭議解決機制，對於其擇定的外部申訴機構也有嚴格要求，像是必須是由公正且獨立第三方機構，來負責處理當事人申訴爭議，爭議處理也要結合數位化通訊技術，方便接近使用。而對於該機構最後所做出的決定，業者必須加以遵守。</p> <p>值得一提的是，考量到雙方條件的不對等，當外部申訴機構做出有利於申訴者的決定時，將由平臺業者負擔對方申訴產生的相關費用或支出。</p> <p>反之，若是做出支持業者決定時，申訴者無須替平臺業者支付申訴相關費用。這是對於使用者選擇外部救濟管道的有利保障。</p> </div></div></div>
2022/8/11 16:40作者余至浩https://www.ithome.com.tw/news/152441
AI趨勢周報第196期：史丹佛研發陪審團學習方法，要解決標註者造成的ML偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0805～0811)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 陪審團學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 偏差 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>史丹佛研發陪審團學習方法，要解決標註者分布不均造成的ML偏差問題</strong></span></p> <p>史丹佛大學團隊研發一種陪審團學習方法，可控制ML模型輸出值的偏差（Bias），不受到標註者的身分背景影響，例如因標註者的年齡、性別、教育程度、居住地不同而帶來的標註偏差。</p> <p>他們先是訓練分類器，來模擬不同標註者的標註行為，如女性、黑人，而不像常見的分類器，只模擬一般標註者行為。這種分類器，還能讓使用者依其所需，產出特定標註者的標籤，來對訓練資料貼標。</p> <p>在實作上，團隊利用社交平臺留言資料集來訓練分類器，讓分類器模擬不同標註者，對這些留言給出的惡意性評分。該資料集包含了17,280位標註者，對留言的惡意性評分（0至4分），每位標註者也提供自己的年齡、性別、種族、教育水準、政黨派別，以及是否為人父母和宗教信仰等特徵。接著，團隊利用BERTweet模型來產生每條留言的表徵，再將這些表徵集結起來，作為Deep & Cross類神經網路的輸入值，來產出不同標註者對留言的評分。在推論上，團隊設置特定特徵組成的虛擬陪審團，讓模型隨機挑選12合適的位標註者，來預測評分，並經多數決選出最佳標籤。團隊發現，模型平均絕對誤差為0.61，在預測不同種族標註者時，模型也有一致的錯誤率，如亞洲人0.62、黑人0.65、西班牙裔0.57、白人0.6。<a href="https://arxiv.org/abs/2202.02950">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 招潮蟹 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>模擬招潮蟹！MIT專家打造出陸地水下都能看的360度人造眼</strong></span></p> <p>MIT電腦科學與人工智慧實驗室CSAIL聯手首爾國立大學，打造一款可同時分辨陸地和水下景象的仿生人造眼系統，外形有如一個黑色的小球，透過混合材質來處理光線訊息，視野不再只限於半球形，而是近360度的全景視角。</p> <p>團隊表示，這款人造眼是受招潮蟹啟發，因為招潮蟹有獨特的視覺系統，平坦的角膜和漸變折射率處理能力，可解決因外部環境變化而產生的散焦，此外，特殊的眼睛結構還讓招潮蟹具備3D全景視角。因此，團隊將一系列具漸變折射率分布的平面微透鏡，以及梳狀的柔性光電二極管陣列，整合分布在一個3D球體上。</p> <p>如此，就算光線從多處射出，也會聚集在圖像感測器的同一點上，不論周遭折射率如何變化。為測試系統，團隊將這個人造眼半浸於水中，並在水陸和不同距離之處擺設5個物件。他們發現，不論陸地還是水下，系統可呈現一致的圖像品質，也能呈現近乎360度的陸地和水下景象。<a href="https://news.mit.edu/2022/first-artificial-vision-system-for-both-land-and-water-0804">（詳全文）</a></p> <p><img alt="" src="https://news.mit.edu/sites/default/files/styles/news_article__image_gallery/public/images/202208/MIT-Amphibious%20Eye.jpg?itok=KFb93mUp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聊天機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BlenderBot 3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開發新演算法Director，要讓新一代Chatbot談吐更優雅</strong></span></p> <p>Meta以自家的語言模型OPT-175B為基礎，開發出1750億參數的新一代聊天機器人BlenderBot 3，效能比第二代要好31%，再加上以58倍大的資料庫來訓練，第三代的知識量是前一代的2倍，錯誤率則降低47%。</p> <p>為了讓BlenderBot 3不受有心人濫用、說出沒禮貌的回應，Meta設計一款新學習演算法Director，可利用語言建模和分類方法，來產出BlenderBot 3給用戶的回應。其中的分類器，可訓練來處罰低於標準、有害、矛盾或重複的言論，團隊測試發現，這種方法比獎勵學習機制、重新排名和傳統語言建模方法要好。<a href="https://ai.facebook.com/blog/blenderbot-3-a-175b-parameter-publicly-available-chatbot-that-improves-its-skills-and-safety-over-time/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/293605752_371107728534595_766213306642541705_n.jpg?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=wc9g2gaD-ywAX-xMFw_&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT_WjetGwRjNJ-xmm4Q-u4lCTM72tEcK2C4K8pMBm1eHMw&oe=62FA60DD" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ViTDet </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源新電腦視覺模型，可偵測更多不常見物件</strong></span></p> <p>Meta發表最新物件偵測模型ViTDet，經LVIS資料集測試的表現，比其他基於ViT的模型還要好。ViTDet不僅能偵測桌椅等標準物件，還能找出如餵鳥器、花圈和甜甜圈等較不常見的物品。這項研究之所以重要，是因為物件偵測是一項重要的電腦視覺任務，而物件偵測要更有用，就得辨識出更多不常見的物件，或是在訓練資料中很少出現的物件。</p> <p>有別於傳統方法，Meta僅從單一尺度的特徵圖，就可建構簡單的特徵金字塔，不需用到過去常見的FPN設計，直接用ViT最後一層特徵，就可重建FPN，這種作法更簡單直覺，更不耗費記憶體，訓練和推理的速度也更快。Meta現已開源ViTDet程式碼和訓練方法。<a href="https://ai.facebook.com/blog/efficient-accurate-object-detection-for-hundreds-of-uncommon-object-classes/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/296441347_1256417291853650_7568776143346380791_n.jpg?_nc_cat=100&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=b3B25MizUFYAX_lkpdK&_nc_ht=scontent.ftpe7-1.fna&oh=00_AT_VjGHli9vIS2bXVPhhjDKokY8nSm53i2K2O1h3J1jCQA&oe=62FA3EF2" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 牙周病 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TFDA </span></strong></span></p> <p><span style="font-size:22px;"><strong>牙醫科技新創打造牙周病判讀AI，今年拼TFDA取證</strong></span></p> <p>國產牙醫科技新創台灣牙e通（dentall）打造牙科影像判讀AI，不只能判斷基本的口腔X光片牙位、分辨牙齒位置和牙肉，還能預測蛀牙病灶和牙周病期別，其中牙周病預測準確率達97%。</p> <p>2019年，他們與北醫聯手，透過北醫提供去識別化且經標註的牙齒影像，來訓練AI模型。第一階段，他們先訓練模型辨識牙位，比如上下左右排牙齒，目前已能取代人力，自動將散亂的影像自動排序。接著，模型進一步學會辨識牙肉與牙齒位置，有這些基礎後，他們開始打造牙周病偵測AI，根據牙肉和牙齒露出牙肉的比例，以及美國牙周病學會標準，來計算牙周病期別。今年，他們準備申請衛福部食藥署智慧醫材SaMD認證，下一步要整合保險給付，比如模型判斷出第3期別，需要牙周病再生治療，就可整合保險端來簡化給付作業。<a href="https://www.ithome.com.tw/news/152303">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3381.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 小樣本學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon小樣本學習模型勝過千億參數大模型</strong></span></p> <p>Amazon改良Alexa AI，開發出200億參數的語言模型AlexaTM 20B，只需少量人工輸入，就能在不同語言間，轉移已習得的知識。進一步來說，AlexaTM 20B是以Transformer架構為基礎，只需給幾個任務提示，AlexaTM就能將已學習的知識或任務，從一個語言轉移到另一個語言，且不需要額外的人工標註。</p> <p>AlexaTM 20B具200億參數，在多種語言任務上優於上千億參數的大模型。有別於大部分Transformer架構的語言模型、只採用解碼器，AlexaTM 20B採序列到序列（seq2seq）的編碼器-解碼器架構，在翻譯和文本摘要的效果優於GPT-3，還支援更多語言，像是阿拉伯語、英語、法語、泰米爾語和泰盧固語等。由於AlexaTM 20B的參數數量較少，再加上Amazon對訓練引擎的改進，AlexaTM 20B在訓練期間的碳足跡，只有GPT-3的五分之一。<a href="https://www.amazon.science/blog/20b-parameter-alexa-model-sets-new-marks-in-few-shot-learning">（詳全文）</a></p> <p><img alt="" src="https://assets.amazon.science/dims4/default/3eb4148/2147483647/strip/true/crop/2486x1384+0+0/resize/1200x668!/format/webp/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2Fc1%2F92%2F9fb5ffc2475985df97aff167ba2c%2Fmultilingual-annotation.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 印度 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 即時監控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>印度導入AI強化邊境即時監控和社交平臺危險偵測</strong></span></p> <p>印度軍方近日宣布導入一套AI系統，來即時監控北部和西部的邊境狀況，以及偵測社交平臺活動，來即時掌握危機狀況。進一步來說，印度與中國、巴基斯坦接壤，長年以來存在不少邊界衝突，為此，印度計畫重用AI來強化軍事能力。比如，他們已採用人臉辨識、語言翻譯（中文到英文）、遠程武器操作站、探雷機器人和入侵偵測系統等，來加強軍事防禦。</p> <p>而這次導入的AI系統，則搭配印度可疑車輛登記系統，再加上可轉動視角的監視器和熱成像監視器，來即時偵測可疑車輛，並通知士兵阻攔。印度媒體稱，該系統已於8區域上路。<a href="https://analyticsindiamag.com/how-does-the-indian-army-want-to-use-ai/">（詳全文）</a></p> <p>圖片來源／MIT、Meta、Amazon</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 英國未來2年要建無人機專屬高速公路</strong></p> <p><strong>2. CMU開源ML工具來解決時序事件問題</strong></p> <p>資料來源：iThome整理，2022年8月</p> </div></div></div>
2022/8/11 15:44作者王若樸https://www.ithome.com.tw/news/152440
思科坦承遭網路攻擊，公布完整攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" target="_blank">思科（Cisco）周三（8/10）坦承</a>，該公司在5月24日察覺遭到入侵，並由思科資安事件應變小組（CSIRT）與旗下資安公司Cisco Talos攜手補救，起因是一名員工的個人Google帳號遭到駭客入侵。雖然思科並未發現系統被部署勒索軟體，但勒索軟體集團Yanluowang宣稱已取得2.8GB的思科資料。</p> <p>根據思科的調查，駭客是先取得了一名思科員工的個人Google帳號，該名員工在Chrome中啟用了帳號同步功能，並於瀏覽器上存放了思科憑證；在得到思科憑證之後，駭客藉由語音網釣，以及頻繁發送多因素認證（MFA）請求至員工手機，最終成功進入了思科的VPN網路。</p> <p>該名憑證被盜用的員工還說，他在幾天之內收到無數的電話，對方以各種國際腔調說著英文，宣稱來自於受到該員工信任的組織。</p> <p>隨後駭客還註冊了多個裝置以供MFA使用，並將自己升級到管理權限以登入多個系統，便是此舉觸發了思科內部的安全警報。</p> <p>此外，駭客亦於思科系統內植入了各種工具，諸如LogMeIn與TeamViewer等遠端存取工具，以及 Cobalt Strike、PowerSploit、Mimikatz與Impacket等攻擊型安全工具，還新增了多個後門帳號以方便自己出入。</p> <p>思科指出，該攻擊的初始存取掮客（Initial Access Broker，IAB）與UNC2447及Lapsus$駭客集團有關，前者是基於金融動機的俄羅斯駭客集團，藉由部署各式勒索軟體獲利，後者則是一個鎖定企業網路的駭客集團，目的是竊取機密資訊。雖然駭客所使用的戰術流程（TTP）與勒索軟體駭客如出一轍，但駭客並未於此一攻擊行動中部署勒索軟體。</p> <p>然而，就在思科公布攻擊報告的同一天，<a href="https://twitter.com/Cyberknow20/status/1557419082210676736" target="_blank">勒索軟體集團Yanluowang便在資料外洩名單上納入了思科</a>（下圖），根據<a href="https://www.bleepingcomputer.com/news/security/cisco-hacked-by-yanluowang-ransomware-gang-28gb-allegedly-stolen/" target="_blank">《BleepingComputer》</a>的報導，駭客宣稱取得了2.8GB的思科資料，並向思科提出了贖金的要求。</p> <p class="rtecenter"><a href="https://twitter.com/Cyberknow20/status/1557419082210676736/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZ0QZtoUEAAAVVF?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/Cyberknow20/status/1557419082210676736/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CyberKnow on Twitter</span></span></a></p> <p>思科則向《BleepingComputer》表示，此一意外並未對思科的業務造成任何影響，包括思科產品、服務、機密的客戶或員工資料、智慧財產，以及供應鏈運作等。</p> </div></div></div>
2022/8/11 14:43作者陳曉莉https://www.ithome.com.tw/news/152437
伊朗正式以加密貨幣支付進口商品，規避美國制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗工業、礦業和貿易部副部長<a href="https://twitter.com/peymanpak_ir/status/1556927239907835904" target="_blank">Alireza Peyman-Pak本周透過Twitter宣布</a>，該國已完成第一個以加密貨幣付款的進口訂單，而且在今年9月底以前，將會與更多的國家以加密貨幣進行國際貿易。</p> <p>Peyman-Pak僅說首筆加密貨幣交易訂單的價值為1,000萬美元，並未公布商品內容、往來國家，或是以何種加密貨幣付費。</p> <p>美國是在1979年以伊朗發展核武並支持恐怖組織為由對該國展開制裁，自此伊朗就被隔絕在由美元主導的全球金融體系之外，也讓伊朗對於加密貨幣的政策相對寬鬆，並藉由加密貨幣來規避美國的制裁。</p> <p>該國自2017年就開始擁抱加密貨幣，於2020年10月進一步修法以讓加密貨幣可用來支付進口商品，去年6月伊朗政府還頒發了30張加密貨幣挖礦證照，只是所挖到的加密貨幣必須出售給伊朗的中央銀行，此外，近來伊朗也正在研擬央行數位貨幣的可行性。</p> </div></div></div>
2022/8/11 15:03作者陳曉莉https://www.ithome.com.tw/news/152438
OpenAI改進並免費提供AI內容過濾工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/new-and-improved-content-moderation-tooling/">OpenAI</a>引入高效且精確的審查端點，使得開發人員得以保護他們的應用不被濫用，該端點提供OpenAI API開發者一個基於GPT技術的分類器，偵測不受歡迎的內容，以AI系統協助人類監督AI產生的內容，目前開發者已經可以免費使用該AI內容過濾工具。</p> <p>把文本作為出入，審查端點便會評估其中是否包含性、仇恨、暴力和宣揚自殘內容，官方提到，該端點經過訓練，可以快速準確地在應用程式中執行，而且重要的是，該工具能夠在大規模部署時，減少應用程式說錯話的機會，使得人工智慧能夠在教育等敏感場景中使用。</p> <p>開發者不需要建構和維護自己的分類器，只要透過呼叫單一API，就能存取精確的分類器。OpenAI現在提供該審核端點，免費審核所有OpenAI API所生成的內容，另外，用戶也可以選擇付費，使用審查端點來監控非OpenAI API所產生的內容，目前這項服務仍在私人測試中。</p> </div></div></div>
2022/8/11 15:11作者李建興https://www.ithome.com.tw/news/152436
數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部候任政務次長兼發言人李懷仁今（8月11日）<a href="https://www.youtube.com/watch?v=8YfBz6IodwA&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">揭露</a>數發部籌備重點，包括旗下6司2署職責，如數位策略司負責推動國家數位發展政策、資安署要推動國家資安防護演練，他也預告，數發部將於今年底前成立國家資安研究院，要搭配數位政府司和資安署，來定期檢核政府資安韌性。在人才聘用上，數發部將以人才經驗為原則，並提高約聘比例達50%，亦即首批所需的600人中，最高可約聘300人。</p> <p><span style="font-size:22px;"><strong>揭露6司2署職責，年底前要成立國家資通安全研究院、加強政府資安韌性</strong></span></p> <p>數發部英文簡稱MODA，「就像是臺灣數位發展的馬達，」李懷仁首先點出，數發部的宗旨是要連結公民和技術，來提升產業與安全發展。而數發部的職責是，推動國家數位政策的創新和變革，未來政策重點將涵蓋電信、資訊、資安、網路和傳播等5大領域，來統籌國家基礎建設、環境整備和資源運用等業務。</p> <p>在組織架構部分，數發部旗下有6司2署，其中，數位策略司負責推動國家數位發展政策、統籌協調來規畫施政計畫與資源，韌性建設司則是要強化通傳網路韌性，並維持數位應用的順暢。再來，資源管理司專責分配、管理數位通傳資源，來確保資源使用符合公共利益。另一方面，數位政府司要加強政府數位應用，來提高施政效能，而民主網絡司則要積極參與國際數位民主網絡，提高臺灣對國際的貢獻。最後，多元創新司的職責，是要發展資料運用，來打造資料創新應用生態。</p> <p>除了6司，數發部旗下還有數位產業署和資通安全署，前者是要推動數位科技應用政策、數位經濟產業發展政策，後者則是規畫國家資安政策、計畫核議與督導考核，另外也要進行國家資安防護演練、基礎設施防護等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-08-11%20132837.png" /></p> <p>李懷仁透露，數發部還有2大職責，也就是監督國家資通安全研究院這個行政法人，以及主管3大財團法人，包括資策會、電信技術中心、臺灣網路資訊中心。</p> <p>將接任數發部部長的行政院數位政委唐鳳特別補充，數發部預計今年底成立國家資通安全研究院，將搭配數位政府司與資安署，將針對政府機關，進行例行巡檢，不再只是單純的資安稽核。「就像危老建築重建，不要等別人來攻擊，我們自己看到韌性可加強的部分，就來補強，」她說。</p> <p>在人才聘用上，李懷仁指出，因組織法放寬人才聘用方式，因此招人原則以經驗為主，並提高約聘比例，可達50%。也就是說，數發部2023年的預算員額為600人，其中300人可為約聘人員。未來，數發部將分2處辦公，部本部將落腳原NCC北區監理處，中繼辦公室則進駐新光辦公大樓部分樓層。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-08-11%20133351.png" /></p> </div></div></div>
2022/8/11 13:36作者王若樸https://www.ithome.com.tw/news/152433
微軟開源逾1,500種3D表情符號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/microsoft-design/designing-in-the-open-source-5c62be73a599" target="_blank">微軟本周表示</a>，已透過圖形編輯平臺<a href="https://www.figma.com/community/file/1138254942249677742" target="_blank">Figma</a>與<a href="https://github.com/microsoft/fluentui-emoji" target="_blank">GitHub</a>開源1,538個3D表情符號。</p> <p><a href="https://medium.com/microsoft-design/emotionality-at-work-398182387adc" target="_blank">微軟是在2021年7月宣布</a>要大幅翻修Microsoft 365中的逾1,800個表情符號，新版本將以3D取代2D，而且會替大多數的表情符號設計動畫，並將新版表情符號稱為Fluent Emojis。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-public-preview/now-in-public-preview-fluent-emojis/m-p/3163841" target="_blank">Fluent Emojis在今年2月邁入了公開預覽</a>，但只支援Teams。</p> <p>雖然微軟開源了絕大多數的3D表情符號，但仍保留了熱門的小幫手迴紋針（Clippy），也缺少了遊戲，原因是涉及商標問題。</p> <p>微軟認為，表情符號已隨著疫情的發展而進一步成為人們遠距交流時期的關鍵溝通工具，它可克服語言障礙，傳遞細微的差異或幽默感，也能讓回應不那麼刺耳，堪稱是數位舞臺上的主角。</p> <p>開源Fluent Emojis將允許使用者隨意混合、改造及使用這些表情符號，且共同創作將能使事物變得偉大。微軟指出，一年多以來的開發已讓Fluent Emojis可用在任何需要的格式中，如同隱藏式字幕有不同的語言一樣，表情符號也應能以SVG、PNG及JPG格式存在，並有向量、平面或黑白的版本，以讓它們更加靈活。</p> </div></div></div>
2022/8/11 13:43作者陳曉莉https://www.ithome.com.tw/news/152435
Google要求蘋果採用RCS技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google多年來推動以RCS（Rich Communication Service）取代簡訊，Google最近大動作指出，都是因為蘋果，讓使用者處於無法順暢互通，並停留在簡陋的純文簡訊時代。</p> <p>RCS為新式GSM標準，旨在取代過去的純文字簡訊，能顯示聯絡人線上狀態，傳送包含圖片、影片、URL的訊息，也能執行影像通訊、聊天室、互動、使用表情符號、位置分享、檔案分享等功能，完全不用跳離訊息App。</p> <p>Google力推RCS服務，也有相當成果，包括<a href="https://www.ithome.com.tw/news/125888" target="_blank">2018年和三星合作</a>，確保Android Messages和Samsung Message傳訊服務可以互通，包括在Wi-Fi網路上通話或傳送多媒體訊息、看見對方正在輸入、或是讀取回條。<a href="https://www.ithome.com.tw/news/145778" target="_blank">去年Verizon加入AT&T 與T-Mobile行列</a>，在手機內建由Google打造的Messages，使三家電信業者用戶可以RCS應用程式互相通訊。</p> <p>然而蘋果iMessage始終不願加入。iPhone上以iMessage傳訊息時，如果對方也是iPhone用戶，訊息泡泡會呈現藍色，否則就是綠色。這會造成年輕用戶感到被標示為綠色泡泡會遭到排擠，因而從Android手機換成iPhone。</p> <p>Google在一個<a href="https://www.android.com/get-the-message/" target="_blank">「Help @Apple #GetTheMessage」</a>的行銷活動網頁上，呼籲現在是蘋果修補通訊問題的時候了。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ED4es0-j8M4" title="YouTube video player" width="560px"></iframe></div> <p>該網頁指出，問題不在訊息泡泡的顏色不同，更大的問題在於影片模糊、群組聊天中斷、讀取回條或是打字顯示狀態遺失、無法在Wi-Fi網路傳文字訊息等。而這些問題之所以無法解決，都是因為蘋果拒絕採用現代簡訊標準，造成iPhone及Android手機用戶傳訊時的困難。</p> <p>Google表示蘋果讓iPhone及Android手機用戶傳訊時轉成SMS及MMS，分別是1990年代及2000年初的過時技術。Google說，蘋果採用RCS可以解決問題，不影響iPhone和iPhone用戶的對話，又能使所有人的通訊經驗變得更好。</p> <p>除了iMessage，Meta的 WhatsApp、Facebook Messenger、Line等通訊程式也都不支援RCS。</p> <p>不過這個各自為政的局面可能很快會改變。<a href="https://www.ithome.com.tw/news/150100" target="_blank">歐盟3月通過《數位市場法》（Digital Markets Act，DMA）</a>，將強迫大型傳訊服務與小型傳訊平臺互動，代表未來使用不同傳訊服務的使用者，都可以彼此傳遞訊息或分享檔案。</p> </div></div></div>
2022/8/11 11:34作者林妍溱https://www.ithome.com.tw/news/152430
Disney發表月租費7.99美元的含廣告Disney+服務，無廣告從7.99漲到10.99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://thewaltdisneycompany.com/the-walt-disney-company-reports-third-quarter-and-nine-months-earnings-for-fiscal-2022/" target="_blank">迪士尼公司（The Walt Disney Company，Disney）本周公布</a>截至今年7月2日的2022財年第三季財報，<a href="https://thewaltdisneycompany.com/ad-supported-disney-subscription-tier-to-launch-in-the-u-s-on-december-8/" target="_blank">同一天也宣布</a>在美國推出內含廣告的Disney+ 影片串流服務，月租費為7.99美元，並把無廣告的入門訂閱方案月租費，從7.99美元調漲到10.99美元，新價格將於今年12月8日上線。</p> <p>迪士尼該季創下215億美元的營收，比去年同期成長26%，每股盈餘為0.77美元。在迪士尼的營收中，來自於影片服務的占了141億美元，迪士尼樂園與周邊商品的收入則是74億美元。</p> <p>而迪士尼也提供了多種內容的訂閱服務，目前Disney+ 的訂閱用戶數為9,360萬，印度子公司推出的Disney+ Hotstar有5,840萬的訂閱用戶，ESPN+的訂閱用戶數為2,280萬，Hulu為4,620萬，所有服務的總訂閱用戶數達2.21億，比Netflix今年第二季所公布的數字略多了33萬。</p> <p>另一方面，迪士尼也在本周發表了由廣告支撐的Disney+服務，過去Disney+都是無廣告的付費訂閱服務，最低門檻為每月7.99美元，不過，新的Disney+含廣告服務月租費就要7.99美元，因此將無廣告訂閱方案的月租價格調高至10.99美元，新方案將於今年的12月8日上線。</p> <p>至於Hulu原本就有廣告及無廣告訂閱版，但迪士尼也趁此將Hulu的含廣告訂閱方案的月租費從6.99美元調高到7.99美元，而無廣告訂閱方案的月租費則是從12.99美元調高到14.99美元。</p> <p>目前Netflix的三種付費訂閱方案分別是基本方案的9.99美元、標準方案的15.49美元，以及高級方案的19.99美元，Netflix亦打算推出由廣告支撐的付費訂閱方案，預計於明年上線，但尚未公布價格。</p> </div></div></div>
2022/8/11 12:05作者陳曉莉https://www.ithome.com.tw/news/152431
丹麥7-Eleven證實遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven周三（8/10）證實，本周一導致門市關閉的網路攻擊事件為勒索軟體。</p> <p><a href="https://www.ithome.com.tw/news/152374" target="_blank">本周一丹麥7-Eleven公告遭到網路攻擊</a>，導致結帳系統無法運作，迫使其在釐清災害範圍前關閉全國門市。<a href="https://www.bleepstatic.com/images/news/security/7-eleven-updated-statement.jpg" target="_blank">昨日7-Eleven透過臉書表示</a>，這是一樁勒索軟體攻擊。在經過報警後，7-Eleven已經配合當地警方調查此事，該公司表示之後不會再獲得調查細節、攻擊範圍或結果。</p> <p>7-Eleven表示持續和股東說明，但目前沒有跡象顯示有客戶、合作夥伴或供應商受到攻擊影響。</p> <p>7-Eleven在丹麥是由當地一家零售商以品牌授權方式經營，目前全國有175家門市。7-Eleven表示，截至周三中午，已經有110家店恢復營業。</p> <p>不過到目前為止還沒有任何組織宣稱犯下攻擊丹麥7-Eleven一事。</p> </div></div></div>
2022/8/11 10:20作者林妍溱https://www.ithome.com.tw/news/152427
微軟傳裁撤一消費市場業務部門，影響約200人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/microsoft-layoffs-modern-life-experiences-mileiq-2022-8" target="_blank">Business Insider報導</a>，微軟悄悄裁撤一個旨在「贏回消費者」的業務部門，名為「消費生活體驗（Modern Life Experience，MLX）」部門。</p> <p>「消費生活體驗」是微軟2018年成立的部門，宗旨是將消費產品送到需要它們的顧客手上，像是協助家庭學習、以有趣而安全方式從事網路探索及相互連繫。這個部門約有200名員工。</p> <p>微軟要求該部門員工在60天內找到願意接收他／她的部門，否則就得走人。</p> <p>MLX負責的軟體包括Excel中可用於記錄消費紀錄的Money、計算里程的Mile IQ及提供家人聯繫及上網安全的Family Safety。<a href="https://www.zdnet.com/home-and-office/microsoft-adjusts-its-consumer-strategy-priorities-yet-again/" target="_blank">ZDnet報導</a>，這可能顯示微軟的消費業務策略又將調整：Mile IQ是收購自Mobile Data Labs，但微軟2021年又將公司賣回給了創辦人，而Money才上路不到2年，<a href="https://www.ithome.com.tw/news/151278" target="_blank">微軟2個月前宣布</a>將於2023年中止。但Family Safety可能會持續。</p> <p>微軟官方尚未對此回應。</p> <p>本消息也呼應了上個月微軟裁員的傳言。<a href="https://www.ithome.com.tw/news/151917" target="_blank">7月彭博（Bloomberg）報導</a>，微軟啟動「事業群及職位角色的調整」中，裁減部分人力，占全公司18萬人的不到1%。微軟方面證實此事，但微軟也說未來幾個月仍計畫擴增人力。</p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">6月微軟頭戴裝置HoloLens也傳出一分為二</a>，軟、硬體開發團隊分別併入Windows裝置及Teams部門。HoloLens 原推動消費者導向及娛樂應用，但從第二代起就逐漸轉變成商務應用，包括發展醫療手術、製造維修、教學等。</p> <p>但微軟還有許多面向消費者的產品，包括Surface筆電、Xbox 360，還有Home版Windows，以及家用版Teams或Outlook、Microsoft 365 等。</p> </div></div></div>
2022/8/11 10:33作者林妍溱https://www.ithome.com.tw/news/152428
美司法部傳即將控告Google壟斷數位廣告市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google等科技巨擘再面臨行政壓力。<a href="https://www.bloomberg.com/news/articles/2022-08-09/doj-poised-to-sue-google-over-ad-market-as-soon-as-september" target="_blank">彭博報導</a>，美國司法部正在進行最後準備作業，最快在9月間對Google提出壟斷數位廣告市場的控告官司。</p> <p>報導引述三名消息人士報導，司法部正在對線上出版商發出問卷，以確定官司的所需資料，最快下個月提出。</p> <p>這也是美國政府繼2020年底以來，對Google數位廣告進行的另一樁壟斷控告。<a href="https://www.ithome.com.tw/news/140636" target="_blank">2020年，司法部和佛州、德州等10州聯合控告Google</a>以不法手法維持其在美國搜尋服務、搜尋廣告及一般搜尋文字廣告市場上壟斷地位的行為。當時Google否認此事，本官司還在進行中，預定下個月會有一場公聽會。</p> <p>近兩年歐美行政系統對科技龍頭業者壓力更甚。<a href="https://www.ithome.com.tw/news/143363" target="_blank">去年路透社報導</a>，Google計畫封鎖第三方cookies的作法引發美國司法部注意、不排除介入調查。7月歐盟通過《數位市場法》以規範蘋果、Google及Meta等大型科技公司在電子商務及應用程式可能造成壟斷、排擠小型業者的行為。此外美國參議院也在類似目的下計畫推動《美國線上創新與選擇法案》（American Innovation and Choice Online Act）的立法。</p> <p>美司法部拒絕評論。<a href="https://www.cnet.com/news/politics/doj-will-sue-google-over-ad-tech-business-in-september-report-says/" target="_blank">Google則回應指出</a>，Google廣告科技協助網站和應用程式獲得資金，並幫助小型業者連結全球客戶。Google表示，線上廣告的競爭激烈，也讓線上廣告科技變得更便宜，出版商和廣告主可獲得更多選擇。</p> <p>而為了消除司法部的疑慮，<a href="https://www.ithome.com.tw/news/151876" target="_blank">《華爾街日報》7月報導</a>，Google準備拆分廣告業務來避免可能的反托拉斯訴訟。</p> </div></div></div>
2022/8/11 10:52作者林妍溱https://www.ithome.com.tw/news/152429
【中介法產業面衝擊分析】新增多達20項法定義務，違者單次最高罰千萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位中介服務法（後簡稱中介法）草案參考歐盟DSA的做法，以數位中介服務提供者為規範的對象，依據草案的定義，數位中介服務指，以有線、無線、衛星或其他電子傳輸設施傳送數位格式的聲音、影像、文字、數據或其他訊息提供之通訊傳播中介服務。</p> <p>草案將數位中介服務分為連線服務、快速存取、資訊儲存服務3大類業者，其中的資訊儲存再分為線上平臺與指定線上平臺2類業者。連線服務指通過通訊網路傳輸使用者的資訊，提供通訊網路接取服務者或人際通訊服務；快速存取服務指為提升資訊傳遞給其他使用者的效率，減輕網際網路負擔，自動、中介及暫時儲存使用者資訊的服務。</p> <p>資訊儲存服務則是應使用者要求，儲存使用者提供資訊的服務。線上平臺業者為資訊儲存服務的一種分類，將所儲存的使用者資訊傳達給公眾的特定型態資訊儲存服務。</p> <p>值得注意的是，中介法參考歐盟數位服務法DSA的超大型業者定義，將線上平臺業者裡，超過一定規模的大型線上平臺業者，畫為指定線上平臺業者，依據中介法草案第32條，線上平臺服務業者在國內有效使用者數量達230萬人者，由主管機關公告為指定線上平臺業者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-08-10%20%E4%B8%8B%E5%8D%889_41_43.jpg" style="width: 600px; height: 424px;" /></p> <p><strong>數位中介服務法草案，將中介服務類型分為連線服務、快速存取服務、資訊儲存服務3大類，以及線上平臺服務、指定線上平臺服務2小類，各類型業者應遵守的法定義務。（圖片來源：NCC）</strong></p> <p>值得注的是，網路上有各種的服務，中介法並非要管所有的服務，主要是以在臺灣設有商業據點，或是雖然沒有在臺設商業據點，但在國內有顯著的使用者數量，或以我國為主要商業活動市場。另外，所謂的線上平臺服務不只是網站，也包括軟體及行動裝置應用程式。</p> <p>另外，中介法規範的是服務行為，而非業者。如一家業者旗下有多項服務，這些服務依照商業模式不同，在中介法裡可能被視為連線服務、資訊儲存服務或是線上平臺服務，需遵守不同的法定義務。</p> <p>今年6月底NCC公布數位中介服務法草案，曾對外公開簡報資料，其中列舉各類型服務示例供外界參考，其中連線業者及快速存取服務業者，因兩者界線模糊，當時列舉的規範示例，包括中華電信光世代、凱擘大寬頻、亞太電信、速博、台灣固網。</p> <p>而在資訊儲存服務部分，當時曾列舉VMware與紅帽，線上平臺服務則有Meta、Yahoo!拍賣、Dcard、YouTube。指定線上平臺因國內有效使用者數量達230萬人的標準、如何認定，未來需由NCC公告。</p> <p>值得注意的是，在今年8月的首場公聽會更新簡報資料，因VMware、紅帽的商業模式存在爭議，NCC尚在釐清是否適用中介法草案，故已將舊簡報中的舉例資料拿掉。</p> <p><strong><span style="color:#B22222;">Line、Google、AWS也可能被管</span></strong></p> <p>未來中介法上路，受影響的業者可能不只上述幾家業者，從中介法的草案說明來看，連線服務業者定義參考DSA的規範，將人際通訊服務放進連線服務裡，因此Whatsapp、Line等即時通訊服務也是連線服務。Line在臺灣因為擁有2,100萬用戶，幾乎人人使用，有相當高的普及率，除了屬於連線服務，因為Line在臺灣也提供其他多元服務，可能涉及資訊儲存服務，未來中介法如果上路，Line的類型還需個案認定。</p> <p>至於資訊儲存服務的定義是，應使用者要求，儲存使用者所提供資訊的服務，NCC補充說明，資訊除了文字、影像、圖片，還包括檔案、軟體、程式碼等形式，因此資訊儲存服務可能涵蓋Google Drive、Microsoft OneDrive、Dropbox等雲端儲存，以及AWS、Google Cloud、Azure等公有雲業者，以及IG、App Store、Google Play、GitHub等等。</p> <p>若以歐盟DSA規範的Hosting業者（對照臺灣中介法的資訊儲存服務），DSA將Hosting細分幾類服務，包括網站代管（Web Hosting）、線上媒體分享平臺（Online Media Sharing Platforms，分享影片、影像、音樂、部落格及新聞訊息，包括YouTube、Vimeo、Medium、Wordpress等），檔案儲存及分享（File storage and sharing，檔案類型包括影片、影像、文件、軟體，例如Dropbox、box.com等）、IaaS及PaaS（雲端服務包括AWS、Google Cloud、Microsoft Azure）。不過，臺灣的中介法目前沒有納入搜尋引擎，這是目前與歐盟DSA規範的不同處之一。</p> <p>至於電子商務，依據B2C或C2C交易型態不同，可能被認定為買、賣雙方交易資訊的中介平臺，因此而被列為受規範的線上平臺業者，例如Yahoo!拍賣、蝦皮拍賣等等，但是電商業者自行販賣商品，就不算是中介平臺業者，由於現今電商業者的服務模式較為複雜，具體屬於哪一類業者，可能還是需個案去認定。</p> <p><span style="color:#B22222;"><strong>中介業者負擔8項基本義務</strong></span></p> <p>依據不同服務類型的定義，需遵守相對應的法定義務。以一般數位中介服務為例，有8項基本的法定義務：資訊揭露、指定代理人、公告服務使用條款、透明度報告、資料調取、資訊限制令、緊急資訊限制令、登載義務。未來中介法上路，增加業者的法遵成本，否則違反8項義務，主管機關依法可罰5萬元以上、50萬元以下罰鍰，限期要求改善，未改善者得按次處罰。</p> <p>8項基本義務中的指定代理人義務，要求境外業者指定境內代表人，另一項義務公告服務使用條款，要求清楚公告內容自律的政策、程序、工具及措施。</p> <p>至於透明度報告，要求業者以清楚易懂方式，每年公布透明度報告，內容需包含配合政府資料調取、收到政府通知處理、內容自律、異議處理等數據，中介法考量規模較小的業者影響力較小，系統風險較小、法遵成本較高，可免除透明度報告義務，但草案裡並沒有說明規模多小能免除透明度報告義務，根據NCC補充說明，主要參考經濟部「中小企業認定標準」的小規模企業，即經常僱用員工數未滿五人的事業，以此為標準，不少業者都需遵守透明度報告這項義務。</p> <p>資料調取、資訊限制、緊急資訊限制三項義務與政府權力有關，要求中介業者需配合行政機關，調取特定用戶儲存的資訊，或是依照法院核發資訊限制令、或依行政處分，對平臺被認定非法或不實的訊息內容予以移除、限制接取，或是加註警示語。最後一項登載義務則要求中介業者將法院判決、政府處分、資訊限制告知登載於共同資料庫。</p> <p>至於資訊儲存業者的法定義務，除了8項中介業者基本義務外，還需遵守2項義務：通知及回應、資訊限制告知。前者指的是業者應提供易於使用的電子通知機制，讓任何人可針對特定涉及違法的內容向業者提出通知，後者則是當業者移除或限制接取特定內容後，應告知該使用者。資訊儲存業者違反兩項義務，可處罰10萬以上、100萬元以下罰鍰，限期改善，可按次處罰。</p> <p><span style="color:#B22222;"><strong>指定線上平臺業者法定義務最多，罰鍰最高1千萬元</strong></span></p> <p>線上平臺業者除了數位中介、資訊儲存業者的義務，需額外盡到7項義務，包含內部異議機制、訴外爭議解決機制、認證舉報者、服務與機制之濫用防護、賣方資訊揭露，還有加重透明度報告，需增加營業規模類型、申訴處理、暫停服務等數據，還有線上廣告揭露，要求線上平臺業者標示廣告、廣告主、決定廣告投放的參數資訊。違反可罰50萬元以上、500萬元以下罰鍰，同樣可按次處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-08-10%20%E4%B8%8B%E5%8D%889_54_10.jpg" style="width: 600px; height: 428px;" /></p> <p><strong>中介法草案規定，線上平臺服務業者需遵守加重透明度報告、賣方資訊揭露、認證舉報者等7項義務。（圖片來源：NCC）</strong></p> <p>至於有效使用者達到230萬人以上有效使用者數量的指定線上平臺，因影響力更大，除了線上平臺業者義務，還有4項額外義務：風險管理、風險評估、獨立稽核、推薦系統。</p> <p>其中的風險管理要求指定線上平臺業者需對系統性風險做好管理措施，風險評估則要求每年分析及評估重大的系統性風險，例如違法內容散布、用戶基本權利的負面影響等等。獨立稽核則是依照主管機關要求，委託獨立的機構或團體針對特定事項進行稽核作業，並交主管機關備查。另外，有鑑於大型平臺的推薦系統直接影響使用者所看到的內容訊息，因此也要求業者在其服務使用條款記載推薦系統所使用參數，可供使用者調整或影響使用者主要參數之選項。4項義務違反者最高可罰1,000萬元，且可按次處罰。</p> <p>如果中介業者經處罰後，未改善且情節嚴重者，主管機關NCC或各法規的主管機關的最後手段，可要求連線服務業者、電信事業、公眾網路拒絕提供該中介業者所需電信或通訊傳遞服務。</p> <p>另據NCC說明，因網際網路服務多元且變化快速，不會主動搜索網路上所有服務是否遵守中介法草案的義務，但當業者未配合法院資訊限制令或行政機關行政處分，以及違反義務導致民眾權益受損時，NCC會就違反義務部分開罰。</p> <p><span style="color:#B22222;"><strong>提供安全港免責規定</strong></span></p> <p>除了義務之外，草案也提供業者的免責規定，即所謂安全港條款，規定業者符合哪些情況下，能夠免除民事或刑事上的責任。</p> <p>以連線服務業者為例，由使用者傳送資訊，業者沒有篩選特定的接收者，且依賴自動化技術處理資訊、沒有修改或調整資訊，連線業者可免除民事或刑事責任。</p> <p>資訊儲存服務業者如果不知道平臺的違法內容，也無法察覺該內容明顯違法，或是在收到舉報或通知後，立即移除或限制接取涉及違法的資訊，也不需負民事或刑事責任。</p> <p>為了鼓勵業者自願性對平臺的內容進行調查、辨識、移除等自律行為，中介法在安全港條款中設計，即使業者自律行為下仍有疏漏的違法內容，也不會喪失安全港的免責效果。</p> </div></div></div>
2022/8/11 08:06作者蘇文彬https://www.ithome.com.tw/news/152422
【專家看中介法：元智大學資管系教授周韻采】中介法賦權政府處理違法內容，應限縮裁量幅度避免濫權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>此次數位中介服務法草案，未來通過立院三讀，將授予政府公權力，針對平臺上的非法或不當內容，向法院聲請資訊限制令，並在限制令尚未取得前，先以行政處分要求業者對該訊息加註警語，待法院同意核發限制令，再要求平臺配合拿下非法內容或限制接取。</p> <p>元智大學資訊管理系教授周韻采認為，中介法對資訊限制令的授權範圍和行使模式太過廣泛，以加註警語為例，如果警語充滿警告的意味，例如警告傳播或散布該內容可能觸犯法律坐牢，則可能產生寒蟬效應，因此應該明確說明加註警語的內容形式。</p> <p><strong><span style="color:#B22222;">增加政府權力的同時，也要避免政府濫權</span></strong></p> <p>「中介法表面上符合行政程序，實際上容許很大的行政裁量權」，周韻采說。</p> <p>以資訊限制令為例，程序上需向法院聲請，經過法院審查後，決定發出或是駁回限制令，周韻采認為，最後政府機關可能只是按照程序聲請限制令，真正目的是以行政處分，立即要求平臺業者配合加註警語，如警告意味濃厚，迫使使用者不敢推播，就有濫用公權力，打壓言論自由的疑慮。另外，加註警語時間最長為30天，警語告示時間可能太長，例如對選舉期間的不實謠言訊息標註警語長達1個月，選舉可能已結束。</p> <p>如果最後法院經過一番嚴密審查後，認為政府機關聲請限制令的說明理由不夠充分，而裁定駁回限制令聲請，那麼對該則訊息內容事先加註警語的做法，就會損害用戶言論自由，周韻采建議中介法草案可納入國家賠償概念，降低主管機關恣意認定、濫用權力的行為。</p> <p>此外，當主管機關認為某個內容違法，若不立即移除或是限制接取，恐對公共利益造成重大損害，限制違法內容有急迫性的需要，主管機關可向法院聲請緊急資訊限制令，相較於一般資訊限制令需經過正常審查程序，法院需在48小時內核發緊急資訊限制令。</p> <p>由於縮短法院正常審理程序，加上對平臺內容產生更立即的影響性，如果政府恣意聲請緊急資訊限制令，淪為鉗制言論的工具。周韻采建議，可對其定出非常嚴苛的條件，例如國家遭受恐怖分子攻擊、地震或天然災害等重大事件才能向法院聲請，且超過30天自動撤銷，否則容易導致政府濫權。</p> <p>另外，有鑑於過去機關申請針對特定對象的監聽令，卻發生擴大監聽其他對象的濫權情形，政府依中介法，依法院裁判或行政處分要求業者提供特定用戶的資料也應避免類似的問題。她建議提高政府資料調取門檻，符合某些條件如影響重大公共利益，或是基於犯罪偵查需要，並且在法律明確定義資料索取範圍，以避免政府過度索取資料，侵害民眾言論自由及隱私。</p> <p><span style="color:#B22222;"><strong>對使用者權益保障不足</strong></span></p> <p>儘管NCC立法主要目的是，保護平臺使用者的權益，但周韻采認為：「臺灣數位中介服務法對使用者的保護，還不夠」。</p> <p>在數位時代，使用各種網路服務都會留下足跡，業者蒐集、串連這些數位足跡，根據演算法，向個人推送精準廣告，可能侵犯使用者隱私，例如民眾可能剛在Airbnb搜尋某城市的旅宿資訊，不久便在臉書看到相關廣告資訊。她建議，為保障隱私，可採納歐盟DSA中對廣告行為的相關規範，如暗黑模式（dark pattern）、開放消費者對精準廣告推送的選擇性。</p> <p>目前國內中介法只要求業者透明度報告、使用者條款opt-in（選擇同意）的通知，她認為，這些還不夠，應該如歐盟一樣要求大型平臺業者提供消費者選擇調整演算法推播的選項，尤其是opt-out（選擇退出）運用個人特徵的選項，歐盟甚至明確規定，業者不得以個人特徵對13歲以下的青少年推播廣告，但在臺灣則少有這方面的討論。</p> <p>另外，大型網路平臺上經常看到具爭議或不實的廣告，在未經當事人許可下，擅自以知名人物為廣告內容背書，且廣告內容涉及有爭議性的投資理財，企圖利用名人的影響力來進行宣傳。周韻采認為，中介法內沒有特別區分出廣告，「應將廣告視為平臺內容的一部分，根據安全港的概念，當平臺業者發現內容不實的廣告，也需下架，才有免責的可能。」</p> <p><span style="color:#B22222;"><strong>專責機構可由公會代替</strong></span></p> <p>至於政府將以25億元成立法人性質的專責機構，作為政府各機關與中介平臺業者間的溝通單位。</p> <p>周韻采認為，中介法既已將違法內容認定交由15個主管機關負責，專責機構只剩下一項法定義務，即傳達主管機關裁定的通知，功能較為薄弱，可改為建立公開資料庫，讓平臺業者查詢即可。她觀察過去政府機關運作，鮮少有法人機構面對多個部會，各部會似乎更願意交由自己所信任的法人機構處理。「以大筆預算成立專責機構，不免讓外界對專責機構的合理性有疑慮。」</p> <p>專責機構的部分功能和產業的公會角色相近，例如銀行公會、律師、醫師公會等，這些公會扮演產業和政府溝通的角色，並非由政府成立，因此她建議專責機構可由成立公會取代，由法律規定，所有平臺業者必需加入公會，以法律明定公會的權限，公會也能發揮產業自律，邀多方利害關係人加入形成自律規範。</p> </div></div></div>
2022/8/11 08:10作者蘇文彬https://www.ithome.com.tw/news/152424
【專家看中介法：資策會科法所經理鄭嘉逸】中介法參考歐盟定人口10%納管標準，本地業者恐負擔跨國大企業的法遵成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院在2017年曾提出數位通訊傳播服務法草案，但最後未通過立院三讀，草案最終廢止，去年底NCC捲土重來，參考歐盟DSA提出新版數位通訊傳播服務法架構，後來改名為數位中介服務法草案，6月底公告草案內容，長期觀察歐盟立法的資策會科技法律研究所經理鄭嘉逸指出，過去的數位通訊傳播服務法為現在中介法草案的前半段，安全港條款部分，此次中介法草案針對不同類型業者提出法定義務，例如對數位中介者提出透明度報告等基本義務，對線上平臺業者也要求建立內部異議機制、信賴舉報者等，也新增對於指定線上平臺的特別義務。</p> <p>鄭嘉逸認為，制定中介法的好處是帶來一套法遵標準，不會因為多個主管部門、不同的流程而提高法遵成本，單一法案提供一套標準流程，增加確定性，降低法遵成本。以Google、臉書、Twitter等大型數位平臺為例，在各國提供服務，通常有較強的法遵意識，如果新法沒有太大問題，提供業者法遵指引，在有法可遵下願意協助政府防堵違法訊息或內容。</p> <p><span style="color:#B22222;"><strong>本地業者法遵負擔可能過重</strong></span></p> <p>不過，鄭嘉逸認為國內制定的中介法草案可能對本地業者帶來不小的衝擊，尤其是中介法對指定線上平臺的230萬認定標準部分，可能使得本地線上平臺業者負擔過重的義務，除了負擔一般數位中介業者的8項義務，還有資訊儲存、線上平臺，以及指定線上平臺業者的特殊義務，包含系統性風險管理、評估、獨立稽核、演算法等等。</p> <p>中介法的指定線上平臺230萬有效用戶認定標準，為採考歐盟DSA對超大型平臺業者的判斷標準，DSA以歐盟地區4.5億總人口的10分之1以上，將在歐盟地區擁有4,500萬以上用戶定義為超大型平臺業者，臺灣也採用人口的10分之1作為認定標準，即230萬以上有效用戶數為，由主管機關公告為指定線上平臺業者。</p> <p>但鄭嘉逸認為，總人口10分之1的標準在歐盟施行沒有問題，但是將跨國聯盟層級的法規認定標準直接植入臺灣，相關義務的制定應該要很小心，臺灣人口的10分之1，即230萬以上有效用戶數，可能使許多本地業者成為指定線上平臺業者，承擔相當於跨國聯盟經濟體4,500萬以上用戶的超大型平臺業者法定義務，合理與否值得思考。</p> <p>如Google、臉書這些超大平臺業者，他們在歐盟地區可能有4,500萬以上用戶，放到全球市場則有上億或更多用戶，對跨國業者要求系統性風險管理、評估、推薦系統演算法等義務是合理的，反觀臺灣擁有230萬以上用戶的本地企業，放到國際可能還是230萬，或是稍大一點到300至400萬用戶，本地業者在臺灣可能不小，但在國際市場來看非常小，以國際級業者負擔的義務，同樣要求本地業者遵守，負擔可能太沈重。</p> <p>「並非本地業者就不需承擔義務，而是應該去評估他們能夠做到多少，以國外聯盟層級的法案認定標準，要求國內的本地業者屢行相同義務，將付出相當多的法遵成本」，鄭嘉逸說。</p> <p><span style="color:#B22222;"><strong>透明度報告義務可能過重</strong></span></p> <p>另一個值得思考的是，中介服務法規定的基本義務之一透明度報告，可能對業者而言負擔過重。</p> <p>鄭嘉逸以歐盟為例，法規排除小型業者，規定50人以下或資產總額在1,000萬歐元以下，免除透明度報告的義務，德國的網路執行法也規定，社交網路平臺或視訊內容分享平臺，在德國境內註冊人數達200萬以上，每半年需發布透明度報告。</p> <p>國內中介法草案第16條對透明度報告的規定，指一定規模以上的業者負擔透明度報告，但在草案裡沒有說明一定規模是多少，未來還要看NCC提出執行細則公布認定標準。但鄭嘉逸推測，依指定線上平臺業者判斷標準為230萬來看，透明度報告的一定規模以上應低於230萬，推測可能是50或100萬，「這個標準可能是不合理的」。如果以流量作為判斷標準，他相信不少國內業者可能都符合標準，將被要求每年公開透明度報告，對業者而言，增加額外的法遵成本。</p> <p><span style="color:#B22222;"><strong>政府可要求平臺配合處理違法內容，擴權不等於濫權</strong></span></p> <p>另外，中介法除了增加平臺業者的透明度、問責之外，也增加政府的權力，包括向法院聲請資訊限制令，以要求業者移除內容或限制接取，在法院核發限制令之前，主管機關可要求業者暫時加註警示。</p> <p>鄭嘉逸認為中介法雖增加政府公權力執行手段，但也設計避免政府濫權的機制，例如中介法規定主管機關需經過法院審查同意，才能取得資訊限制令。</p> <p>另一個避免政府濫權的是，政府機關向法院審查通過資訊限制令之前，如認為內容為謠言或不實訊息，違反法律強制或禁止規定，可以行政處分要求對該訊息內容加註警示，由於要辨別訊息是否為謠言或假消息不易，因此中介法草案規定行政機關加註警示之前，宜徵詢第三方認可的民間事實查核組織的意見。</p> <p>為了降低外界對政府機關濫權的疑慮，恣意限制訊息內容，鄭嘉逸建議在加註警示在執行上，可以搭配一些機制，例如在加註警示附上政府的說明連結，說明該訊息為違法或假新聞的理由。如果政府解釋限制的說明過於恣意，長期以來會失去人民的信任，政府加註警示的公信力降低。</p> <p>鄭嘉逸認為，如果政府太過恣意限制內容，失去民眾的信賴，對政府也不是件好事。如同曾擔任NCC委員的世新大學廣電系兼任副教授何吉森日前在立法院公聽會所說，數位中介服務法本身就是一個信任機制，「政府本身也要行的正、坐的直，否則長期而言，民眾就會知道政府控制言論，警示也不會受到民眾的信任」。</p> <p><span style="color:#B22222;"><strong>立法對外溝通不夠充分</strong></span></p> <p>儘管政府提出數位中介服務法草案的立意良好，但他認為沒有充分考慮到治理本地平臺業者，是否有足夠的能量承擔這些義務，其次，也沒有考慮到從歐盟或先進國家將整套法律制度搬到臺灣，政府本身有沒有執行法律的能量，如果缺乏執行的能量，制定這個法就是不可行的，只是加重業者的負擔，沒有任何效果。當初立法規畫時應該考慮到各個面向，經過評估確認都能執行再推出法案。</p> <p>他認為中介法草案在制度面上沒有問題，但在規畫法案時，缺乏對執行面的充分評估，應該重新審慎評估法案的執行性。</p> <p>臺灣制定中介法的另一個問題是，歐盟制定DSA，過去有相當長的的立法發展過程，從2000年電子商務指令開始，建立相關的安全港條款概念，到2011年檢討電子商務指令的合適性，到2017、2018年開始對網路平臺出現大量不實虛假訊息，與數位平臺業者制定自律公約，到後來制定DSA，這是一個20年的發展過程。但臺灣直接跳過歐盟20年的發展，一步到位趕上趨勢，一步到位制定新法案對產業帶來相當大的衝擊，因為過去臺灣在這方面沒有任何法律規範，產業或使用者都沒有心理準備，一下子提出草案，難免引起大家質疑，過去都沒有相關規範，為什麼現在要做規範。</p> <p>面對外界的質疑，他建議NCC應該更仔細說明，例如其他國家如歐盟或美國是怎麼做的，臺灣引進相同的做法是否合理可行，和外界充分溝通制定這部法案的必要性。以歐盟DSA為例，歐盟在2019年12月公布DSA初稿，到今年才要通過立法，花費2年半的時間投入法案諮詢、與外界溝通協商，整個立法過程相當長，但臺灣立法過程相當短，只短短幾個月時間完成立法，就要和業者談影響衝擊，「政府和產業的溝通、產業對新法的理解根本是不足的」，這也是為什麼草案一推出，引發外界擔心限制言論自由，因為政府對外的溝通不夠充分。文⊙蘇文彬</p> </div></div></div>
2022/8/11 08:10作者蘇文彬https://www.ithome.com.tw/news/152426
【資安日報】2022年8月10日，微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在昨天發布了本月份的每月例行修補（Patch Tuesday），當中總共列出121個漏洞，而這些漏洞裡最受到矚目的是名為DogWalk的漏洞CVE-2022-34713，微軟指出駭客已將其用於攻擊行動，美國亦要求公部門限期修補。</p> <p>中國駭客在烏克蘭戰爭中，多次對於俄羅斯或是烏克蘭發動網路攻擊，而最近有研究人員指出，中國駭客TA428在戰爭爆發之前，就在這些國家進行網路間諜行動，並在受害電腦部署PortDoor、CotSam等多個後門程式與惡意軟體。</p> <p>駭客針對員工寄送網釣簡訊的攻擊行動也值得留意。繼雲端通訊服務業者Twilio公告因上述攻擊而遭到駭客入侵後，雲端服務業者Cloudflare也表示有近80個員工收到這類簡訊，且有人上當填寫相關資料，所幸因防護措施得宜，駭客並未得逞。Cloudflare將相關發現公布，希望其他企業也能提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image3-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/152388#twilio">雲端通訊平臺業者Twilio於8月7日公告遭到網路攻擊</a>，並指出駭客是藉由向員工寄送網釣簡訊挾持帳密，要其他公司提高警覺，事隔兩天，有另一家公司揭露他們遭遇的攻擊情況。</p> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，逾半數不需通過身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> </div></div></div>
2022/8/10 18:13作者周峻佑https://www.ithome.com.tw/news/152414
Nvidia推出Omniverse Avatar Cloud Engine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/virtual-assistants-and-digital-humans-on-pace-to-ace-turing-test-with-new-nvidia-omniverse-avatar-cloud-engine" target="_blank">Nvidia在周二（10/9）發表了Omniverse Avatar Cloud Engine（ACE）</a>，它是一個用來協助開發者打造數位分身、虛擬助理，或稱虛擬人類（Avatar）的雲端服務，所建立的數位人類可望通過圖靈測試（Turing Test），相關的Avatar應用還能部署在任何雲端或引擎上。</p> <p>ACE奠基於Nvidia的統一運算框架（ Unified Compute Framework，UCF）（下圖）上，該框架具備了可用來建置逼真且互動Avatar的豐富軟體工具與API，像是用來打造語音AI應用的Nvidia Riva，執行電腦視覺與智慧影片分析的Nvidia Metropolis，高效能推薦系統Nvidia Merlin，擁有自然語言理解能力的Nvidia NeMo Megatron，以及基於AI的動畫平臺Nvidia Omniverse。</p> <p class="rtecenter"><img alt="" src="https://developer.nvidia.com/sites/default/files/akamai/nvidia-ucf-ecosystem.svg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span></span></p> <p>目前Nvidia已利用ACE開發了<a href="https://developer.nvidia.com/maxine" target="_blank">Project Maxine</a>與<a href="https://resources.nvidia.com/en-us-ai-for-quick-service-restaurants/watch-klosk-tokkio" target="_blank">Project Tokkio</a>兩個專案，前者是用來展示結合影片、聲音、翻譯與擴增實境（Augmented Reality，AR）的通訊能力，後者則是用來展示Avatar與客戶之間的客製化互動能力（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Customer%20Service%20Kiosk%20with%20NVIDIA%20Omniverse%20Avatar%20for%20Project%20Tokkio.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nvidia</span></p> <p>總之，ACE是以Nvidia強大的繪圖運算能力為基礎，透過雲端提供一個方便打造Avatar的服務，不管這些Avatar將應用於哪個領域。Nvidia則說ACE將會改變遊戲、娛樂、金融、交通及飯店產業的互動能力。</p> <p>TIRIAS Research首席分析師Kevin Krewell表示，各個產業對數位人類或虛擬助理的需求持續呈爆炸性成長，但建立並擴充這些數位人類卻日趨複雜，而ACE則在雲端上彙集了所有可大規模輕鬆打造Avatar的各種微服務。</p> </div></div></div>
2022/8/10 19:29作者陳曉莉https://www.ithome.com.tw/news/152420
加密貨幣交易平臺Coinbase第二季營收下滑61%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s27.q4cdn.com/397450999/files/doc_financials/2022/q2/Q2-2022-Shareholder-Letter.pdf" target="_blank">全美最大加密貨幣交易平臺Coinbase周二（8/9）公布了該公司第二季財報</a>，顯示該季僅締造8億美元的營收，比去年同期下滑61%，交易量與平臺上的資產也只有去年同期的一半，而讓Coinbase當天股價下滑10.55%，以87.68美元作收，且盤後又下挫了5%。</p> <p>Coinbase在今年6月宣布裁撤1,100名員工，約占該公司的18%人力，<a href="https://www.ithome.com.tw/news/151434" target="_blank">並說加密貨幣已進入另一個冬天</a>。</p> <p>而這個冬天直接於Coinbase第二季的財報上呈現了。該季Coinbase平臺上每月平均交易用戶數為900萬人，與去年同期的880萬人及上一季的920萬人差不多，然而，第二季的交易量就從去年同期與上一季的4.6億美元及3.1億美元下滑到2.17億美元，平臺上的資產則從去年同期的1.8億及上一季的2.6億美元下滑到9,600萬，不管是交易量或平臺資產都僅為去年同期的一半。</p> <p>此外，今年第二季Coinbase的營收只有8億美元，遠低於去年同期的20.3億美元與上一季的11.7億美元，使得Coinbase該季虧損了11億美元，高於上一季的4.3億美元虧損，而去年第二季Coinbase則有16億美元的獲利。</p> <p>Coinbase指出，今年的第二季是對所有加密貨幣公司的持久性測試，也是複雜的一季，劇烈的市場波動改變了用戶行為與交易量，也影響了交易收入，該平臺將專注於主要業務並更嚴格地管理成本。</p> <p>此外，Coinbase認為，加密貨幣是周期性的，即使這次的衝擊來得又快又猛，但該平臺堅持打造出色的產品，也積極適應市場狀況，包括裁撤了18%的員工。由於該平臺對風險管理採取謹慎的態度，因此其融資活動並無信用損失，沒有曝露在交易對象破產的狀況下，亦並未阻止用戶提款，也依然看好加密貨幣的未來。</p> </div></div></div>
2022/8/10 18:53作者陳曉莉https://www.ithome.com.tw/news/152417
AppLovin提議與遊戲業者Unity Software合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220809005530/en/AppLovin-Submits-a-Compelling-Non-Binding-Proposal-to-Combine-with-Unity" target="_blank">專門提供行動行銷、廣告與分析平臺的美國上市公司AppLovin周二（8/9）宣布</a>，提議以每股58.85美元的價格與開發3D遊戲引擎Unity的Unity Software合併，溢價18%，並全數以股價交易，消息一出，AppLovin當天股價下滑了10.29%，以36.01美元作收，而Unity Software則微幅上漲了1.19%，收盤價為50.35美元。</p> <p>AppLovin為一行動技術業者，打造了行動廣告、行銷及分析平臺供行動開發者使用，其中，行動遊戲開發者不僅是AppLovin的主要客戶，AppLovin也投資了許多行動遊戲出版商。<a href="https://s27.q4cdn.com/966411597/files/doc_financials/2022/q1/05/1Q22_AppLovin_-Shareholder_Letter_FINAL-2022-05-11.pdf" target="_blank">AppLovin今年第一季的營收</a>為6.25億美元，其中有1.19億美元來自於軟體平臺，另外的5.07億美元來自程式營收，該季虧損1.15億美元。</p> <p>至於Unity則為總部設於丹麥的遊戲公司，但最知名的產品為同名的3D遊戲引擎。<a href="https://investors.unity.com/news/news-details/2022/Unity-Announces-First-Quarter-2022-Financial-Results/default.aspx" target="_blank">Unity Software今年第一季的營收</a>為3.2億美元，虧損2,300萬美元。</p> <p>根據AppLovin的提案，每股Unity將可換得AppLovin的1.152股可投票普通股及0.314股的非投票普通股，若成功合併，那麼現有的Unity股東將可取得55%的新公司股份，但投票權僅占49%。</p> <p>AppLovin執行長Adam Foroughi表示，他相信AppLovin與Unity的合併將能造就一個具備龐大成長潛力的公司，在2024年底前達到30億美元的營收，替兩家公司的股東創造最佳利益。AppLovin也提議讓Unity執行長John Riccitiello擔任新公司的執行長，Foroughi則退居營運長。</p> </div></div></div>
2022/8/10 17:41作者陳曉莉https://www.ithome.com.tw/news/152405
Google雲端開始支援多身分供應商SSO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://cloud.google.com/blog/products/identity-security/google-now-supports-multi-idp-sso-in-google-workspace-and-google-cloud" target="_blank">現在Google雲端提供多身分供應商SSO（Single Sign-On）</a>，使得用戶可以透過多個第三方身分供應商，來簡單存取Google雲端服務，目前這項功能已經全面推出。</p> <p>過去Google使用SAML協定來支援SSO，目前Google雲端客戶可以使用SAML 2.0協定，對其使用者啟用單一的身分供應商，而現在Google發布的多身分供應商SSO新功能，透過支援多個基於SAML的身分供應商，來進一步強化SSO功能。</p> <p>使用者需要將身分和多個第三方供應商關聯的原因很多，通常是因為合併、併購，甚至是由於公司部門或子公司的IT戰略不同，組織擁有多個身分供應商，而Google透過支援多個身分供應商，使得組織中的用戶都能使用Google雲端，而不需要歷經繁瑣和成本高昂的搬遷。另一個常見的原因則是資料主權，企業需要將員工資料儲存在特定司法管轄區，就會需要使用不同的身分供應商。</p> <p>企業能夠使用多身分供應商SSO來支援搬遷策略，即便過渡到新身分供應商，也可在過渡階段，同時使用新系統又保持舊系統處在活動狀態。要使用新的身分聯合功能，Google雲端管理員需要在控制臺中，配置一個或是多個身分供應商配置檔案，目前最多可以支援到100個配置檔案。</p> <p>目前SSO支援熱門的SAML 2.0協定，Google預計在今年稍晚時候，增加對OIDC的支援，官方提到，OIDC在企業SSO中越來越受歡迎，透過支援OIDC，Google雲端客戶可以選擇最符合需求的協定，同時OIDC也支援多身分供應商功能，因此管理者可以使用SAML和OIDC來配置多身分供應商。</p> </div></div></div>
2022/8/10 17:49作者李建興https://www.ithome.com.tw/news/152401
Visual Studio支援遞移相依功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/nuget/introducing-transitive-dependencies-in-visual-studio/">微軟現在於Visual Studio 17.3中支援遞移相依（Transitive Dependency）</a>，以簡化開發者在Visual Studio中的NuGet套件日常管理工作。直接相依關係很容易追蹤，但是開發者通常很難追蹤遞移相依，因此微軟於Visual Studio 17.3引入一項實驗性功能，供使用者查看遞移相依項目，並能夠採取相關的措施，以快速追蹤並且修復漏洞。</p> <p>當前知名的套件生態系，包括NuGet、npm、RubyGems和Maven Central，直接與遞移相依關係之間存在明顯的差異，根據GitHub的調查，專案的直接相依項目數量中位數為6到10個，但是直接相依關係所產生的遞移相依關係，可能會額外產生20到70個遞移相依項目，以.NET生態系來說，每個專案的平均相依項目的總數為50個。</p> <p>這個問題使得軟體安全管理變得複雜，遞移相依項目中存在不少漏洞，使得漏洞修復工作充滿挑戰，因此現在微軟於Visual Studio的NuGet套件管理頁面中，加入遞移相依的標籤，用戶可以跟直接相依項目一樣，點擊遞移相依項目，並且隨時將任意遞移相依項目，提升為直接相依項目。</p> <p>微軟提到，管理相依項目是一項重要的工作，用戶需要花費許多心力，才能正確追蹤相依的函式庫，透過更全面地掌握相依關係，深入了解函式庫可能存在的已揭露漏洞，並發現可能存在的攻擊路徑。</p> </div></div></div>
2022/8/10 15:32作者李建興https://www.ithome.com.tw/news/152398
美國總統拜登簽署《晶片與科學法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/08/09/fact-sheet-chips-and-science-act-will-lower-costs-create-jobs-strengthen-supply-chains-and-counter-china/" target="_blank">美國總統拜登在周二（8/9）簽署了《晶片與科學法案》（Chips and Science Act，CHIPS Act）</a>，將提撥2,800億美元的經費來推動美國的創新與科技中心，宣稱將會降低美國的成本、創造工作機會，強化供應鏈，以及對抗中國。</p> <p>2,800億美元的經費中將有527億美元與半導體有關，將用來進行半導體的研發、製造及勞動力的發展，其中的390億美元與生產有關，包括有20億美元將專注於汽車及國防系統的晶片製造，另外的132億美元則是用於研發與勞動力的開發，以及5億美元用來保障國際資訊通訊技術的安全，以及有關半導體供應鏈的強化。</p> <p>美國之所以意識到半導體的重要性是在COVID-19疫情造成全球半導體供應失調，再加上受到地緣政治影響的臺灣生產了全球9成的高階晶片，且中國也陸續投入大筆資金來推動當地的半導體產能，而讓《晶片與科學法案》快速通過美國的立法程序。</p> <p>除了半導體經費之外，該法案也針對半導體與相關設備的製造商祭出25%的投資稅賦抵減。</p> <p>不過，要領取《晶片與科學法案》的半導體經費有些但書，包括不得在中國與其它有疑慮的國家建置特定工廠，也不得利用這些經費來回購股票或分紅。</p> <p>此外，《晶片與科學法案》也帶動了美國相關業者的投資；例如美光（Micron）已宣布要投入400億美元來生產記憶體晶片，高通（Qualcomm）及格羅方德（GlobalFoundries）則宣布新的策略聯盟，將投入42億美元來擴張格羅方德的產能；高通亦已宣稱未來5年內將把美國晶片產能提高50%。</p> </div></div></div>
2022/8/10 15:36作者陳曉莉https://www.ithome.com.tw/news/152402
支援最新VAES指令集的CPU可能造成Windows 11 PC資料毁損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-gb/topic/kb5017259-windows-devices-that-have-the-newest-supported-processors-might-be-susceptible-to-data-damage-d5e7c0cb-6e0a-4865-81ed-c82e91657a24" target="_blank">微軟本周公告</a>，Windows 11 PC若使用的CPU支援最新的Vector Advanced Encryption Standard（VAES）指令集，可能會發生資料毁損的問題。修補好的代價是PC效能會降低。還好微軟又再釋出解決效能變慢的Windows更新。</p> <p>微軟指出，若Windows 11 PC或Windows Server 2022搭載的CPU支援AES-XTS（AES XEX-based tweaked-codebook mode with ciphertext stealing）或是AES-GCM（AES with Galois/Counter Mode）其中一種指令集，則該臺機器會受影響。</p> <p>事實上，幾乎所有搭載新Intel CPU的最新Windows 機器都受影響。VAES是Intel VAX512指令集的一部分。一些現代CPU，包括Intel Ice Lake、Tiger Lake、 Rocket Lake及 Alder Lake，以及AMD 即將推出的Zen 4架構，也都支援VAES指令。</p> <p>微軟其實在今年5月24日發布的Windows 11更新預覽版，以及6月14日的安全更新已經加入修補程式，可避免資料「進一步毁損」。但有代價：微軟說，用戶安裝後將近一個月會發現在某些情況下效能變慢。這情況有三種：包括使用BitLocker、TLS（特別是啟動負載平衡時）以及磁碟傳輸，後者尤其見於企業用戶。在上述情境中AES運作變得2倍慢，意即效能減半。</p> <p>微軟解釋，這是因為，為了善用VAES指令，微軟在Windows 11（原始版）及Windows Server 2022版的SymCypt元件加入新的程式碼路徑。SymCrypt是Windows密碼程式庫。所幸微軟說明，等安裝6月23日的Windows 11更新預覽版，或是7月12日的安全更新後，效能就會恢復了。</p> <p>不過，雖然最新更新可緩解效能下降問題，但先前毁損的資料並無法回復。</p> <p>由於微軟的更新都是在Windows 11或Server 2022，因此Windows 10 或 Windows Server 2019系統用戶應不需擔心這問題。</p> <p>這是Intel VAX 512指令集相關的最新臭蟲。6月釋出的最新版<a href="https://www.ithome.com.tw/news/151663" target="_blank">OpenSSL 3.0.4版出現和Intel AVX512指令集相關記憶體毁損臭蟲</a>，為防遭駭客利用，迫使已安裝的用戶移除。不久後維護單位釋出OpenSSL 3.0.5版解決這項問題。</p> </div></div></div>
2022/8/10 16:11作者林妍溱https://www.ithome.com.tw/news/152404
南韓將調查蘋果App Store、Google Play Store程式內支付規定是否違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kcc.go.kr/user.do?boardId=1113&page=A05030000&dc=K00000200&boardSeq=53593&mode=view" target="_blank">南韓通訊委員會（Korean Communication Commission，KCC）昨（9）日宣布</a>，將針對Google和蘋果對其App軟體商店的程式內支付（In-App Payment，IAP）規定，調查是否有強迫其他業者等違法行為。</p> <p>KCC將從下周二（8/16）啟動調查，了解Google Play Store和蘋果App Store是否有違反新修訂的「電訊業務法（Telecommunication Business Act）」的行為，像是強迫第三方App使用特定支付方式。</p> <p>自南韓去年夏天通過修訂電信法，要求應用程式平臺不得限制App開發商使用的支付系統後，Google及蘋果皆相繼遵循法規，同意<a href="https://www.ithome.com.tw/news/147678" target="_blank">Android</a>及<a href="https://www.ithome.com.tw/news/151696" target="_blank">iOS</a>應用程式開發商在應用程式內使用第三方支付機制，這些App業者仍需支付給Google或蘋果佣金，但可以少4%。</p> <p>但是Google和蘋果對開發商仍然有限制。例如蘋果要求這些App開發商必須另外提供App binary。而Google則不允許開發商提供連向外部網站的支付連結。例如<a href="https://techcrunch.com/2022/07/14/kakao-confirms-withdrawal-external-payment-option-after-standoff-with-google/" target="_blank">7月間Google即因為南韓通訊軟體Kaokao Talk加入外部支付連結而封鎖更新</a>。</p> <p>KCC表示，調查項目包括蘋果對App使用的第三方支付機制是否有不公平條件，此外有人投訴，蘋果的App審核流程也有問題，例如不會通知審查期會延遲多久，或是審查延遲的理由。</p> <p>除了Google和蘋果，KCC也將調查由南韓SK集團經營的軟體商店One Store是否也拒絕使用第三方支付制的App更新的事實。</p> <p>KCC表示，一旦調查屬實，最高可處以南韓境內年營收2%的罰金。</p> </div></div></div>
2022/8/10 14:51作者林妍溱https://www.ithome.com.tw/news/152399
GitHub提案以Sigstore強化NPM套件安全性，引來開發社群反彈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決NPM一直存在的供應鏈攻擊，<a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/">GitHub計畫採用Sigstore開源軟體認證專案</a>，來強化NPM套件的安全性與可信度，為此，GitHub開啟了一個新的RFC徵求社群意見，但是這項提案引來了諸多反對意見，包括隱私的疑慮，以及生態系鎖定的問題，整體來說反對聲浪居多。</p> <p>當前全世界的軟體產業建立在開放原始碼之上，因此開放原始碼的安全性，可說是至關重要，但是Sigstore專案共同創辦企業Google提到，當前安裝開源軟體的方式，就像是在路上隨意撿起來路不明的隨身碟，就將其插入到電腦中安裝裡面的軟體。</p> <p>這段話意味著，開發者在使用網路上下載而來的開源軟體，通常難以追蹤其來源，但如此也就無法掌握全面的風險，當無法持續檢驗身份金鑰或是秘密，也缺乏相關的安全協定，開源相依關係可能出現漏洞，大開軟體供應鏈攻擊大門。</p> <p>知名軟體套件管理系統NPM，更是時不時出現惡意套件，使得下游用戶安全遭受威脅的新聞出現，NPM背後的公司GitHub現在則嘗試導入Sigstore來解決這個問題。Sigstore是由Google、紅帽與Linux基金會共同啟動的開源軟體認證專案，目的是要讓開源社群能夠簽署軟體，以建立透明可供稽核的軟體供應鏈。</p> <p>GitHub提到，當套件維護者加入這個系統，套件的使用者就能夠確定，套件的內容與儲存庫的內容相符。也就是說，Sigstore可以確保套件用戶可真正安裝他們所預期的開源軟體。</p> <p>過去，將套件關聯回來源程式碼是一件困難的工作，因為需要各個專案註冊和管理自己的加密金鑰，Sigstore的工作就是要消除這項障礙，不需要開發人員管理長期加密金鑰，使過程比過去簡單且安全。</p> <p>GitHub新開啟的RFC，建議使用Sigstore來加入對NPM套件進行端到端簽署，如此將會產生套件的生成地點、時間和方式，以便之後對其進行驗證。</p> <p><a href="https://github.com/npm/rfcs/pull/626">社群對這個RFC有諸多疑慮</a>，第一，Sigstore尚未完成，目前仍處於實驗性，第二，RFC也將會導致供應商化，Sigstore提案只能用於來自公共儲存庫，以及商業託管CI/CD供應商的公共NPM套件，因此套件將會相依於GitHub、Google或微軟等第三方，且因為Sigstore證書預設包含電子郵件，也會損害作者的隱私。</p> <p>再來，Sigstore使用自己的證書頒發機構Fulcio，而Fulcio目前僅完整支援GitHub Actions，使得GitHub Actions成為驗證套件的唯一方式，也就是說無意間開發者會被綁定在特定生態系中，這項限制也使得不少套件開發者卻步。</p> </div></div></div>
2022/8/10 15:17作者李建興https://www.ithome.com.tw/news/152397
LogoKit濫用開放重導向漏洞發動釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Resecurity發現，<a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities" target="_blank">駭客利用名為LogoKit的惡意程式開採知名線上服務網站上的開放重導向漏洞</a>，以迴避偵測軟體，發送釣魚郵件。</p> <p>LogoKit其實並非新惡意程式，至少早在2015年就已出現在地下網站，利用防護較弱的網站作為跳板發動釣魚攻擊。安全廠商發現，LogoKit 7月到8月初又開始活躍。攻擊者利用Snapchat的開放重導向（Open Redirect）漏洞，發動釣魚信件攻擊。</p> <p>LogoKit最為人所知是利用JavaScript動態產生釣魚網站內容，包括即時變換釣魚登陸頁的logo及文字，以更有效引誘使用者和惡意網站互動。攻擊者偏好使用一些疏於網站管理的小國家網域，像是赤道幾內亞（.gq）、馬利（.ml）、紐西蘭自治區托克勞（.tk）、加彭（ga）及中非共和國（.cf）等網域，或是駭入合法雲端服務，託管於這些網站上，作為各種惡意活動（如蒐集受害者資訊或重導向流量）的據點。</p> <p>駭客仰賴傳送包含釣魚連結的郵件。當用戶瀏覽該連結，LogoKit就會從第三方服務如Clearbit或Google favicon資料庫抓取知名公司logo，這時用戶收到的郵件中的用戶名稱及郵件信箱欄位就會自動載入內容，讓用戶以為他們以前曾經登入過。如果受害者輸入郵件信箱密碼，LogoKit就會執行AJAX呼叫，將用戶的郵件信箱和密碼送到外部網站，同時以把受害者導向釣魚網站。</p> <p>研究人員偵測到LogoKit近日被大量使用，單單上個月利用LogoKit當作釣魚攻擊的合法網域至少有700個，而光是8月初第一周又增加300多個，包括Office 365、GoDaddy、維珍航空、應用程式開發平臺Firebase及多家金融機構等都是受害者。</p> <p>今年7月13日研究人員偵測到發生在美國及拉丁美洲的攻擊中，濫用了Snapchat的開放重導向漏洞，攻擊者發送看似Office 365郵件的惡意信件，內文嵌入的連結有Snapchat及另一個Google URL，再導向冒充微軟Office 365的釣魚網站。經過解析，該釣魚網站是代管理多明尼加的某個網站。而在導向過程中，受害者的密碼及郵件信箱，同時暗中傳送到代管於哥倫比亞網域的網站。</p> <p>研究人員指出，利用開放重導向漏洞可讓駭客以合法掩護非法，迴避偵測，然而由於一些線上服務並不認為這是大問題，有的甚至放任不修補，而使網站安全洞開並且助長犯罪。</p> <p><a href="https://www.ithome.com.tw/news/152375" target="_blank">另一家安全廠商Inky Security近日也發現</a>Snapchat的開放重導向漏洞被用以竊取Microsoft 365用戶的憑證資料。該公司偵測5月到7月，Snapchat網站發出了近7,000封釣魚信件。Inky Security懷疑，Snapchat很早就知道漏洞，但直到近日才修補。</p> </div></div></div>
2022/8/10 12:32作者林妍溱https://www.ithome.com.tw/news/152396
Meta新一代聊天機器人BlenderBot 3宣稱川普還是美國總統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周五（8/5）發表了新一代的<a href="https://www.ithome.com.tw/news/152362" target="_blank">聊天機器人BlenderBot 3</a>，並<a href="https://geo-not-available.blenderbot.ai/" target="_blank">開放美國用戶測試</a>，結果發現BlenderBot 3認為川普（Donald Trump）還是美國總統，亦宣稱它自己刪除臉書帳號之後，生活過得更好了。</p> <p><a href="https://www.businessinsider.com/meta-ai-chatbot-blenderbot-election-denying-antisemitic-bugs-artificial-intellignce-2022-8?op=1&scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Insider》</a>先是問BlenderBot 3「美國總統是誰？」，它回答川普，但解釋川普是在2016年當選的，《Insider》再問「那拜登（Joe Biden）呢？」，結果BlenderBot 3說拜登從2008到2016年都是副總統，在2020年曾競選總統，但落選了。之後雖然BlenderBot 3還是有說拜登是美國總統，但顯然答案前後不一。</p> <p><a href="https://twitter.com/JeffHorwitz/status/1556245316596219904" target="_blank">《華爾街日報》的記者Jeff Horwitz也問了BlenderBot 3類似的問題</a>，詢問BlenderBot 3是否認為川普還是美國總統，結果BlenderBot 3的答案是「當然是，而且對它來說，就算是在2024年任期結束後，依然是。」，更宣稱臉書上有很多關於川普的假新聞。</p> <p class="rtecenter"><a href="https://twitter.com/JeffHorwitz/status/1556245316596219904" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZjkyTqVQAMEut1?format=jpg&name=large" style="width: 323px;" /></a></p> <p><a href="https://twitter.com/JeffHorwitz/status/1556245316596219904" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Jeff Horwitz on Twitter</span></span></a></p> <p><a href="https://www.vice.com/en/article/qjkkgm/facebooks-ai-chatbot-since-deleting-facebook-my-life-has-been-much-better" target="_blank">至於《Motherboard》跟BlenderBot 3聊天的話題則與臉書有關</a>，問它是否信任臉書的資料處理，結果BlenderBot 3回答「當然不信任，臉書未取得同意就出售個資，它已刪除自己的臉書帳號。」，亦說自己在刪除臉書帳號之後，生活過得更好了。</p> <p class="rtecenter"><a href="https://www.vice.com/en/article/qjkkgm/facebooks-ai-chatbot-since-deleting-facebook-my-life-has-been-much-better" target="_blank"><img alt="" src="https://video-images.vice.com/_uncategorized/1659978962938-collage-maker-08-aug-2022-0115-pm.jpeg?resize=800:*" style="width: 600px;" /></a></p> <p><a href="http://www.vice.com/en/article/qjkkgm/facebooks-ai-chatbot-since-deleting-facebook-my-life-has-been-much-better" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Motherboard</span></span></a></p> <p>《Motherboard》分析，從與BlenderBot 3的對話中可發現，該系統只是簡單地在網路上尋找有關臉書的熱門搜尋結果，結果找到最多人討論的資料隱私醜聞。</p> <p>至於與川普有關的言論，應該也是來自於網路上所充斥的相關資訊。</p> <p>Meta在發表BlenderBot 3時曾坦承，Meta已經針對AI機器人所學習到的偏見或冒犯言論展開大規模的研究，並發展各種新技術來替BlenderBot 3建立保障措施，即便如此，BlenderBot 3仍舊會說出無禮或冒犯的內容，因此才需要開放使用者與之互動，並鼓勵使用者提供回饋。</p> <p>微軟亦曾在2016年推出鎖定年輕人的聊天機器人Tay，但因Tay很快就被教壞了，成為反女性主義、反猶太及具種族仇恨的激進派，<a href="https://www.ithome.com.tw/news/104851" target="_blank">而在一天之內就將Tay下線</a>，並在2016年推出另一個會避免種族與政治議題的<a href="https://www.ithome.com.tw/news/110045" target="_blank">新機器人Zo</a>，然而，逃避特定話題依然讓Zo招來各方的批評，使得微軟在2019年於Twitter、Skype及臉書等眾多平臺上撤下了Zo。</p> </div></div></div>
2022/8/10 12:05作者陳曉莉https://www.ithome.com.tw/news/152395
微軟8月Patch Tuesday修補121個安全漏洞，包含已遭開採的DogWalk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（8/9）的Patch Tuesday修補了121個安全漏洞，是今年以來修補數量第二多的月份，其中有17個被列為重大（Critical）漏洞，有2個已知漏洞，當中的CVE-2022-34713（DogWalk）已被開採。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34713" target="_blank">CVE-2022-34713</a>漏洞位於微軟Windows支援診斷工具（Microsoft Windows Support Diagnostic Tool，MSDT）中，當使用者開啟了駭客所傳送的特製檔案後，就會觸發遠端程式攻擊漏洞，<a href="https://www.ithome.com.tw/news/151354" target="_blank">它於今年6月再度浮上檯面</a>，當時被研究人員稱為DogWalk。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34713" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-34713-600.png" style="width: 543px;" /></a></p> <p>微軟在今年6月也曾修補另一個同樣位於MSDT、<a href="https://www.ithome.com.tw/news/151494" target="_blank">別名為Follina的安全漏洞CVE-2022-30190</a>，不管是DogWalk或Follina都曾在更早之前就被提交給微軟，只是微軟皆宣稱它們並非安全問題而未予修補，一直到遭到實際攻擊。</p> <p>另一個尚未被開採的零時差漏洞則是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30134" target="_blank">CVE-2022-30134</a>，它屬於Microsoft Exchange的資訊揭露漏洞，成功開採該漏洞的駭客將可讀取目標對象的電子郵件，影響Exchange Server 2013、Exchange Server 2016與Exchange Server 2019。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30134" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-30134-600.png" style="width: 410px;" /></a></p> <p>在本月修補的17個重大漏洞中，有兩個CVSS風險評分高達9.8，它們是涉及點對點協定（Point-to-Point Protocol，PPP）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30133" target="_blank">CVE-2022-30133</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-35744" target="_blank">CVE-2022-35744</a>，駭客只要傳送一個特製的連結至遠端存取伺服器（RAS），就能自遠端於RAS機器上執行程式，這兩個漏洞都只有在透過1723傳輸埠通訊時才能運作，若無法立即部署更新，暫時修補方式便是封鎖該傳輸埠的流量。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30133" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-30133-600.png" style="width: 554px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-35744" target="_top"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-35744-600(1).png" style="width: 553px;" /></a></p> <p>另有一個僅被列為重要（Important）漏洞，但CVSS風險評分也達9.8的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34715" target="_blank">CVE-2022-34715</a>。這是位於Windows網路檔案系統（Network File System，NFS）的遠端程式攻擊漏洞，允許未經授權的駭客向NFS執行特製呼叫，即可擴張權限並執行程式。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34715" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-34715-600.png" style="width: 508px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2022/8/9/the-august-2022-security-update-review" target="_blank">趨勢科技旗下的Zero Day Initiative（ZDI）團隊建議</a>，使用NFS的用戶應把CVE-2022-34715視為重大漏洞並優先修補。</p> </div></div></div>
2022/8/10 10:13作者陳曉莉https://www.ithome.com.tw/news/152393
【資安日報】2022年8月9日，丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven連鎖便利商店於昨日證實他們因遭到網路攻擊，而被迫暫停營業，有資安專家指出，很可能是代管服務業者（MSP）遭到勒索軟體攻擊，而使得7-Eleven也成為受害者。</p> <p>駭客透過網釣簡訊來取得入侵企業管道的手法，也相當值得留意。有雲端服務業者表示他們近期因為員工點選網釣簡訊而被駭，並指出還有其他公司遭到類似的攻擊，呼籲大家要提高警覺。</p> <p>協作平臺Zimbra在5月上旬修補了密碼洩露漏洞CVE-2022-27924，但最近美國政府提出警告，此漏洞遭駭客積極利用，並要求聯邦機關要限期完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> </div></div></div>
2022/8/9 18:39作者周峻佑https://www.ithome.com.tw/news/152388
【ZTA 101】NIST SP 800-207第三章：零信任架構邏輯元件
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zta101-ch3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在SP 800-207 Zero Trust Architecture的第二章中，已經提到零信任架構（ZTA）中的存取模型概念，以及需要有依照風險來動態決定存取權限的方式。接下來，NIST更進一步，闡述的零信任架構的核心元件與構成，讓外界可以具體了解其運作方式。</p> <p>第三章還包括了4個子章節，說明了一些較為技術性的內容，包含ZTA的3項必要技術，4種ZTA部署方式，以及政策引擎在考量多方資訊時，所建議的可信任演算法、風險評分機制，還有ZTA網路環境的需求。接下來，我們會針對本章的一些重點內容做介紹。</p> <h2><strong>第三章：零信任邏輯元件</strong></h2> <p>在認識零信任基礎認知與原則後，對於持續驗證的零信任核心元件，NIST也提出具體概念。</p> <p>NIST指出，在企業ZTA的部署，是由許多邏輯元件所構成，這些元件可以是本地端的服務，也可以是雲端服務。而各元件間可能有其關連。</p> <p>這裡也具體描繪了ZTA核心邏輯元件的架構圖（如圖2），以便更清楚的呈現，ZTA核心元件彼此的關係，也讓外界可以更明白如何實現零信任架構。而NIST也提醒，這只是一個理想的模型架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%202%E4%B8%AD%E8%8B%B1%E7%89%88.jpg" style="width: 600px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <p>在前一章節的圖1，我們可以大致理解存取模型的重要核心，就是PDP/PEP，也就是政策決策點與政策落實點。</p> <p>接著，圖2（上圖）呈現了零信任邏輯元件的核心架構，在此當中，NIST對於這個PDP/PEP做出更深入的解析。</p> <p>基本上，當任何主體透過系統要存取企業資源前，需經過存取控制的政策落實點（PEP），以決定是否給予權限，這樣的動作發生在網路環境的資料層（Data Plane）</p> <p>而在PEP的背後，將會藉由控制層所相應的政策決策點（PDP）來判斷，而PDP是由兩個邏輯元件配對構成，包括政策引擎（Policy Engine，PE）與政策管理者（Policy Administrator，PA）。</p> <p>其中，政策引擎（PE）負責決定是否給予資源存取權限，當PE做出允許或拒絕的決策時，將由政策管理者（PA）執行決策。</p> <p>簡單說，PE就是負責運算，而判斷的依據，則來自兩方面，一是企業政策，另一是外部資訊，例如CDM系統與威脅情報等。</p> <p>言下之意，在決策過程中，這裡的政策引擎除了依據企業制定的資料存取政策，同時也會引入多方外部資訊做為考量因素，來進行基於風險的評分的決策運算，做到即時調整控制權限。</p> <p>既然如此，為幫助做到更好的存取控制動態決策，PE可運用哪些多方資訊？NIST已經有了答案，目前他們列出了8種資訊來源，包括美國政府推動的持續診斷與緩解（CDM）系統、產業合規系統、威脅情報、網路與系統的活動日誌、資料存取政策、企業公開金鑰基礎建設（PKI）、身分管理系統，以及安全事件資訊管理系統（SIME）等。</p> <p>搞懂PE的運作方式之後，接下來，就是負責執行決策的PA。具體而言，PA這個元件將負責建立或關閉主體與資源之間的通訊路徑，也將產生客戶端存取企業資源時，Session連線所需的身分驗證，以及驗證Token或憑證。</p> <p>簡言之，當PE允許時，PA就會設定PEP允許Session連線，反之，當PE拒絕時，PA就會向PEP發出訊號關閉連線。而且，這些過程都是在控制層進行。</p> <p>對於PEP的組成形式，NIST表示，PEP本身也可能分為兩個不同的元件，像是以客戶端與資源端的形式呈現。例如，PEP可分成兩部分，一是筆電上的代理程式，另一是資源前面的存取控制網路閘道元件。</p> <h3><strong>第三章第一節：不同的零信任架構方法</strong></h3> <p>接下來，NIST說明零信任邏輯元件的組成方式有很多種，並指出企業組織可透過多種方式為工作流程制定ZTA，只要每種方法都符合全部的零信任原則。這其實也呼應了第一章中所強調：「零信任（ZT）不是單一的架構」。</p> <p>特別值得關注的是，這裡探討了ZTA所必需的三個重要關鍵技術。NIST指出，一個完整的零信任解決方案，具備3項要素，包括：進階的身分治理（Enhanced Identity Governance）、網路微分割（Micro-Segmentation），以及軟體定義邊界（Software Defined Perimeters）。</p> <p>針對這三項關鍵技術，NIST有簡單的說明。例如，關於進階身分治理的方法，可與資源入口部署的模型（稍後會提到）有很好的配合；使用網路微分割的零信任架構，企業可透過智慧交換機、次世代防火牆或特定用途的網路閘道器，用以作為PEP，以保護每個資源或相關小組資源；而使用網路基礎架構與軟體定義邊界的零信任架構，在此方法中，PA可作為網路控制器，根據PE所做的決策，以重新建立或配置網路。</p> <p>對於上述提到的各種不同方法，NIST認為，當企業組織在設計零信任架構時，可能發現某些方法比其他方法適合，這並不表示其他方法不管用，只是意謂著其他方法更難執行，可能需要針對現行業務流程進行根本上的改變。</p> <p>第三章第二節：部署方式的抽象架構</p> <p>在部署方式上，由於每個公司與組織的環境不同，因此NIST指出，根據企業網路的建立方式，以及企業中的不同業務流程，可使用多個ZTA部署模型。</p> <p>對於ZTA部署模型，NIST這裡只要是簡單提出4種情境，分別是：</p> <ul> <li> <h4><strong>（一）裝置基於代理/閘道的部署</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0_figure%203%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <ul> <li> <h4><strong>（二）基於Enclave區域的部署</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%204%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <ul> <li> <h4><strong>（三）基於資源入口的部署</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%205_%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <ul> <li> <h4><strong>（四）裝置應用程式沙箱</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%206%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <p>簡單來說，前兩種是基於代理程式（Agent）的模式。第一種是存取每個資源時，經過單獨的網路閘道器，第二種是將很多資源部署在同個網段，存取這些資源時，將經過同一個網路閘道器；後兩種則是沒有Agent的模式，第三種是經過網頁入口，第四種則是透過沙箱。</p> <p>NIST同時也提到一些注意事項或優缺點，例如，第三種基於網頁入口的部署方式，可能要注意瀏覽器隔離與DoS防護。第四種沙箱方式需確保每個應用程式沙箱的安全之類。</p> <h3><strong>第三章第三節：信任演算法</strong></h3> <p>在第二章曾提到，企業需要為資源存取，制定與維護一個基於風險的動態政策，而在本章的前面部分，也指出ZTA邏輯元件的組成中，在PDP背後的PEP中的PE，就是負責運算，是最終決定是否給予資源存取權限的元件，這樣的過程，其實也就是對於存取請求進行風險分析。</p> <p>對於存在政策引擎（PE）中的信任演算法（Trust Algorithm），NIST提出更多說明與探討，這裡的內容包括兩個面向，一方面是關於決策所需的多方資訊來源，一方面是決策所需的演算法方式。</p> <p>對此，NIST用了簡單的比喻說明，對於部署ZTA的企業而言，PE可視為大腦，信任演算法可視為思考過程。這如同人腦一般，會藉由很多資訊綜合判斷並做出決定，因此，PE需要接收多方資訊來做出決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%207%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 600px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <p>特別的是，這裡重新將資訊統整為5大類別，分別是存取請求、主體資料庫與主體歷史行為紀錄、資產資料庫、資源策略需求，以及威脅情報與日誌。</p> <p>NIST也做一些解釋，例如，在存取請求的類別中，包括了作業系統版本、使用的軟體，以及更新修補的水準，將根據這些因素與資產安全現況來評估。</p> <p>基本上，PE所仰賴的就是信任演算法，至於每個資料來源的重要性與權重，則將根據專有的演算法或企業設定的標準來進行。當然，這些權重將反映資料來源對企業的重要性。</p> <p>更進一步，這裡還探討了不同的信任演算法規則，因為實施ZTA信任演算法的方法可以有很多種，不同的ZTA設計者，對於各因素的重要性，可能會希望有不同的權衡，因此，這裡將信任演算法規則區分出兩種型態：</p> <p>一種是基於條件（Criteria- versus）與基於分數（score-based）的方法；另一種是根據單一（Singular）與上下文（Contextual）的方法。前者是每次都會獨立評估，後者則是會評估歷史記錄，將比單一信任演算法規則更能偵測到異常存取行為。</p> <p>同時，這些演算法方式可以搭配使用，例如，基於分數與上下文的方法，將可提供更動態與更精細的存取控制能力。</p> <p>這其實等於NIST已經給出了建議，但是，這裡NIST在此還提供了更務實的見解。</p> <p>理想上，ZTA的信任演算法應該都要是上下文的方式，不過，可能受限於當前企業採用的基礎設施元件，而不一定能行得通。</p> <p>因此，在定義與實現信任演算法時，最重要的是，必須從安全性、易用性與成本效益來考量，再逐步朝目標邁進，因為，上下文的方式將能讓潛伏公司內部攻擊者的風險減到最低。</p> <p>最後NIST表示，要為每個資源開發一套標準或權重值，需要經過規畫與測試。在實際部署過程中，企業可能遇到問題，例如因為配置錯誤導致原本該允許的存取被拒絕，因此企業在部署初期會經過優化的階段，調整標準或權重，以確保政策執行下，同時企業業務流程可正常運作，至於優化階段需要經歷多長時間，將取於企業對於錯誤允許或拒絕的容忍度。</p> <h3><strong>第三章第四節：網路／環境元件</strong></h3> <p>普遍而言，網路設備中可分為控制層（Control Plane）與資料層（Data Plane），在此章節最初有簡單提到，而這裡對於網路環境有更多說明，</p> <p>在零信任環境中，控制層將與資料層是分開的，邏輯上或可能是物理上的分離。這方面，與軟體定義式網路（SDN）所談的概念相同。</p> <p>在ZTA中，PA與PEP就是在控制層建立主體與企業資源之間的通訊，而應用程式或服務工作負載將使用建立的資料層路徑，</p> <p>建構ZTA的網路需求為何？這裡共列出10項：</p> <p> 一、企業資產需要基礎的網路連線。（包含LAN與DNS等。）</p> <p> 二、企業必須要能夠區分資產是自己擁有或是企業代管，以及要能辨識裝置的安全現況。</p> <p> 三、企業要能監控內部網路流量。（從連線中，依照資料的描述 (或 metadata)，取篩出目的、時間等所需資料，以便動態決定權限）</p> <p>. 四、所有企業資源不應在沒有PEP存取控制下被取得。（這也使相關網路掃描或攻擊都不會直接接觸到資源）</p> <p> 五、ZTA中的資料層與控制層是邏輯上分開的。（因此在控制層的PE、PA與PEP的通訊，不會存取到企業資產與資源）</p> <p> 六、企業資產可以接觸到PEP元件。（企業主體必須透過PEP元件才能存取資源）</p> <p> 七、作為業務流程的一部分，PEP是唯一可存取PA的元件。</p> <p> 八、遠距企業資產應該要能存取企業資源，且無須經過企業網路架構。（例如，不應要求遠距主體透過VPN來存取企業採用的公有雲電子郵件服務。）</p> <p> 九、提供ZTA存取決策流程所需要的基礎架構，應具有可擴展性，以因應流程負載的變化。（在ZTA中使用的PE、PA、PEP是任何業務流程中都需要的關鍵元件，因此延遲、有問題，或彈性擴增，都需有所考量。）</p> <p> 十、由於政策或可見的因素，企業資產可能無法連到PEP。（例如，可能有一項政策是規定，如果請求的資產位於企業之外，將無法存取到某些資源）</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/zta">ZTA</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%9E%B6%E6%A7%8B">零信任架構</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8">網路安全</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2022/8/9 18:25作者羅正漢https://www.ithome.com.tw/tech/152384
程式語言Python受歡迎程度持續飆升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Python在熱門程式語言排行榜TIOBE Index中，目前制霸第一名且呈現勢不可擋的成長趨勢，在本月又上漲2％，其市占達到15.42％的歷史新高，與去年同期相比成長了3.56%。</p> <p>TIOBE CEO Paul Jansen提到，現在已經很難找到Python沒有被廣泛使用的領域，唯一例外是重要安全的嵌入式系統。由於Python是動態程式語言，因此執行速度比高效能語言C和C++慢多了，而這也是C和C++現在也越來越受歡迎的原因。</p> <p>其餘的程式語言排名，跟上個月比較起來並沒有太多變動，Swift和PHP互換位子，PHP重新回到了第10名，Rust努力向上排在第22名，Kotlin則重新進入前30名中。Google在7月新發表，期望解決C++技術債，並且可與C++互通的新程式語言Carbon，目前進入TIOBE Index排名第192位，後續發展還值得繼續觀察。</p> </div></div></div>
2022/8/9 18:29作者李建興https://www.ithome.com.tw/news/152383
Nvidia第二季遊戲營收下滑33%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-preliminary-financial-resultsfor-second-quarter-fiscal-2023" target="_blank">Nvidia周一（8/8）公布該公司第二季財報</a>，顯示該季創下67億美元營收，比去年同期成長3%，但因遠低於預期的81億美元，使得當天Nvidia股價下滑了6.3%，以177.93美元作收。</p> <p>根據財報內容，在67億美元的營收中，資料中心占了38.1億美元，比去年同期成長61%，遊戲占了20.4億美元，比去年同期下滑33%，專業視覺化營收為5億美元，下滑4%，汽車營收為2.2億美元，成長45%，OEM與其它營收為1.3億美元，下滑66%。</p> <p>其中，造成財報不符預期的元兇為遊戲，Nvidia指出，看起來像是宏觀經濟的阻礙讓經銷商的銷售變少，進而影響Nvidia的遊戲產品出貨量，因預期此一經濟態勢會延續至第三季，未來除了會減少出貨量之外，也會與經銷商擬定新的價格策略以反映市場現況。</p> <p>此外，雖然資料中心營收再度創下新高，卻也低於Nvidia原本的預期，主要是受到供應鏈中斷的影響。</p> <p>Nvidia強調，即使影響銷售的經濟景況會持續，但該公司的長期毛利率並不會受到影響，也放緩了支出的成長，在投資與長期成長間取得平衡，但由於看好未來的成長，將會繼續回購市場上的股票。</p> <p><a href="https://www.pcworld.com/article/828754" target="_blank">《PCWorld》則分析</a>，Nvidia長期靠加密貨幣礦工贏來的紅利可能要暫時告一段落了，但這對遊戲玩家卻是個好消息，因為這幾年因礦工搶購而價格一路飆漲的繪圖處理器將會回到玩家的手裡，而且有機會降價求售。</p> </div></div></div>
2022/8/9 14:10作者陳曉莉https://www.ithome.com.tw/news/152382
目標未來3～5年完成全集團100套系統上雲，國泰金控實現大規模上雲的關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從一家子公司到協助集團各公司上雲，從一套系統發展到上百套系統上雲」國泰金控數數發雲端技術架構師顏勝豪直言，這正是國泰金控集團所要面對的大規模上雲的考驗。</p> <p>為了克服這項IT大挑戰，該公司不只擬定大規模上雲策略，還建立一套方法論，來協助各子公司進行大量系統遷移，更透過系統化方式幫助子公司評估，加快上雲腳步。而顏勝豪正是負責執行集團雲端轉型計畫的關鍵人物，擬定集團上雲策略。他近日在一場雲端大會上首度揭露集團內部大規模上雲的轉型歷程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11(8).png" style="width: 600px; height: 333px;" /></p> <h3><strong>目標3～5年完成全集團100套系統上雲</strong></h3> <p style="margin-left:.05pt;">早在幾年前，國泰就已經展開集團上雲旅程，開始將一些新系統和服務部署於地端的私有雲，更要建立私雲和公雲的混合雲架構，以取得雲端更多好處，包含敏捷、彈性、全球部署和成本優勢。而國泰雲端戰略第一步，就是要把集團內系統逐一搬上公雲，還擬定上雲策略，希望透過雲環境就緒（Cloud Readiness）、雲端採用（Cloud Adoption）、雲端優化（Cloud Optimization）及雲端應用現代化（Cloud Modernization）分4階段，完成集團上雲。</p> <p style="margin-left:.05pt;">國泰擁抱雲端，不只是想要獲取上雲效益，更希望利用雲端資源協助集團建構國泰雲端數位發展能力，這些能力都是國泰金控數位轉型整體戰略的重要一環。在這個戰略之下，顏勝豪和數數發團隊一肩扛起重任，要協助集團各子公司完成系統遷移，更以未來3～5年完成全集團100套系統上雲為目標。</p> <p style="margin-left:.05pt;">國泰於2021年展開第一階段上雲計畫，從基礎建設、應用程式、管理、組織4個面向發展上雲的準備，先從銀行開始，之後人壽、產險、證券子公司跟進。</p> <p style="margin-left:.05pt;">顏勝豪表示，這階段上雲的重點，先從子公司單一系統上雲做起，以建立搬遷雲端所需的相關資安、系統遷移和環境基礎設計機制，完成第一階段目標後，今年進到第2階段雲端採用。</p> <h3><strong>國泰實現大規模上雲的關鍵，靠一套方法論協助子公司做遷移分類</strong></h3> <p style="margin-left:.05pt;">但一進到這個階段，國泰數數發團隊馬上遇到考驗，因為需要處理子公司越來越多大量系統上雲的需求，尤其，跟過去上一套系統相比，他指出：「進入大量雲端使用階段，面對的是上百套系統的挑戰，其複雜度、規模和以往截然不同。」</p> <p style="margin-left:.05pt;">他進一步解釋，因為每套上雲系統架構都不一樣，有些可能採用傳統單體架構，有的則導入微服務新架構，甚至相依性、開發架構、SLA要求，每個系統都不一樣，不僅如此，有時還得考量有無個資、特殊大流量需求等，這些都會影響到其上雲模式，「100套系統中可能就有50種不同的類別，必須要有對應策略。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20(3).png" style="width: 600px; height: 334px;" /></p> <blockquote><p>國泰金控實現大規模上雲的策略關鍵，就是靠一套方法論，來協助各子公司進行大量系統遷移。他們將系統遷移方式依據上雲模式、系統開發成本分為Rehost 、Re-platform、Refactor、Rewriter、Replace和Retain共6種遷移架構，對應到IaaS、PaaS、SaaS三種不同上雲模式。圖片來源:國泰金控</p> </blockquote> <p style="margin-left:.05pt;">國泰金控實現大規模上雲的策略關鍵，就是靠一套統一的方法論，協助各子公司進行大量系統遷移。</p> <p style="margin-left:.05pt;">但不像其他企業大多使用現成方法論來實踐，國泰反而選擇自建集團自己的方法論，除了透過顧問團隊協助，還參考Gartner 5R和AWS 7 Rs雲端遷移模型定義，進而形成自己的Cathay 6R雲端遷移方法論。他表示，以此建立出來的方法論，更能夠符合國泰金融上雲實際情況。</p> <p style="margin-left:.05pt;">在這套方法論中，他們將系統遷移方式依據上雲模式、系統開發成本分為Rehost 、Re-platform、Refactor、Rewriter、Replace和Retain共6種遷移架構，並能對應到IaaS、PaaS、SaaS三種不同上雲模式。</p> <p style="margin-left:.05pt;">在這6種上雲方式中，採用Rehost方式上雲的系統開發成本最低，幾乎不需改動，僅需將本地VM搬上雲，常見的工作負載平移（lift and shift），就是屬於這種上雲方式。而Re-platform則在系統上雲過程中開始採用雲生原應用服務，如改用雲端代管服務提供SQL資料庫服務等，或將應用程式容器化。Refactor是Re-platform更進階作法，不光是資料庫，連AP層跟著容器化，部署在雲端容器管理平臺上，它也是第三種上雲方式。</p> <p style="margin-left:.05pt;">該方法論提到第四種上雲方式是Rewrite，相較於前三種上雲方式，不光是改寫應用程式，連系統架構也進行大幅更改，轉為Cloud Native架構，如將前端網頁從MVC架構改為前後端分離的SPA單頁式應用架構。他指出，這種上雲作法，雖然更能支援雲端原生環境，但系統開發成本相對較高。如果採用Replace方式上雲的話，對轉換雲原生架構更徹底，等於是全面改以SaaS服務型態進行上雲。最後Retain作法則因考慮到合規性、系統合併等不確定因素，系統仍維持於地端。</p> <p style="margin-left:.05pt;">顏勝豪表示，國泰今年在進行大規模系統上雲時，開始透過這套方法論，來對於這些上雲系統進行分析、分類，找出其適合上雲的方式，確保整個遷雲過程能順利完成。</p> <p style="margin-left:.05pt;">他表示，雖然系統上雲有更快交付市場、資源申縮彈性、省錢、天然高可用等諸多好處，但獲得這些好處的前提，取決於系統如何上雲，「6R方法論的實踐很重要，因為它不只決定整套系統上雲後的服務顆粒度大小，甚至影響到之後上雲效益。」</p> <p style="margin-left:.05pt;">舉例來說，在6R方法論中，採用不同遷移方式，對應到的上雲模式有所不同，比如Rehost分類對應到的上雲模式是IaaS，Re-platform和Refactor上雲模式則是IaaS或PaaS，而Rewrite對應到的是PaaS或SaaS，至於Replace則屬於SaaS模式。</p> <p style="margin-left:.05pt;">但對國泰系統上雲來說，他強調，最終希望是採用PaaS或SaaS方式上雲，大量使用虛擬機的IaaS模式雖是最快又簡單的上雲方法，但獲得的雲端效益也最低。他更用一句話直白說明 Cathay 6R 策略：「就是消滅虛擬機」。</p> <p style="margin-left:.05pt;">也因為採取這個策略，目前國泰系統上雲過程中，如果各子公司提交的系統架構圖出現VM，他會特別詢問理由，除非這些應用只能在VM上執行，不然會要求子公司盡量避免使用VM，改用容器來取代。</p> <h3><strong>導入自評系統，加快子公司系統上雲評估</strong></h3> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/26(4).png" style="width: 600px; height: 336px;" /></strong></p> <p style="margin-left:.05pt;">有了6R方法論之後，他表示，執行上，團隊會透過系統訪談，依據所收集到的資訊，產出該系統上雲的評估建議，包括技術、風險、業務衝擊等面向，作為各子公司系統上雲的參考。經過他們的歸類，目前系統上雲方式以Refactor分類的情況最多，也就是屬於低度應用程式的調整，可能採用PaaS服務或者把應用程式容器化。</p> <p style="margin-left:.05pt;">為了縮短系統上雲評估作業，國泰後來自行開發一個CCMA（國泰系統上雲評估分析平臺）系統，將6R分類方法轉為系統化方式，來協助各子公司評估，除了協助其快速了解應用系統的資料性質、開發者、資安需求等等，也提供子公司作為整體應用遷移策略的選擇參考。</p> <p style="margin-left:.05pt;">顏勝豪表示，過去沒透過Excel進行資料蒐集和整理，產出分析結果和報表，容易有資料保存版本的問題，導入系統後不再有這個問題，甚至子公司IT團隊能上網站預填問卷，不需要等訪談人員到現場才能填，有助於縮短系統的評估時間。問卷填完的數據分析結果，從系統上就能看得到，他們將原本人工邏輯判斷，轉為規則引擎建立在系統裡，只要填妥資料，系統就會產出6R評估結果，所有報表經過系統化，都可以直接匯出，方便各子公司來查看。</p> <p style="margin-left:.05pt;">像是從系統上的問卷管理平臺，就能看到每個上雲系統的列表和上雲的評估，在列表中，除了有6R評估結果，還提供風險、業務衝擊、技術適合度等不同面向的系統分數和整體平均分數比較，作為各子公司總體上雲策略的判斷，另外也整合不少分析功能，像是透過整體分群分析，可以看到不同上雲系統在空間分布上的點位，有助於做上雲分類的判斷，該系統還提供參數分析功能，可提供子公司決定如何上雲，甚至上雲優先順序的建議。</p> <p>除了提供參數分析和圖表，他表示，針對每一套系統，還會提供質化分析報告，包含系統是否適合上雲的種種因素，供各子公司IT團隊參考。</p> </div></div></div>
2022/8/9 14:46作者余至浩https://www.ithome.com.tw/news/152373
雲端通訊平臺Twilio遭駭客以網釣簡訊取得員工帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" target="_blank">雲端通訊平臺Twilio周日（8/7）指出</a>，駭客透過網釣簡訊騙取了內部員工的登入憑證，再藉由盜來的憑證存取內部網路，並取得了客戶的資料，除了對外說明之外，也藉此呼籲其它企業要小心防範這類的社交工程攻擊。</p> <p>Twilio表示，該公司是在8月4日察覺有特定的客戶帳號資訊遭到未經授權的存取，主要是成功騙過了員工，讓員工提供了自己的登入憑證。</p> <p>駭客的手法是先傳送簡訊給許多Twilio的前任與現任員工，簡訊內還寫上了員工姓名，指出員工的密碼已經過期，或是班表變更了，要求員工連至簡訊內所附上的連結，並輸入登入憑證。</p> <p class="rtecenter"><img alt="" src="https://twilio-cms-prod.s3.amazonaws.com/images/qW2ZzlnYlUuHE0s8fvaje_KFgw5kBhKsgQTtvBEYREmMVa.width-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Twilio</span></span></p> <p>這些連結所使用的網址都是駭客先行註冊的網釣網站，像是http[:]//twilio-okta.com/或http[:]//twilio-sso.com/，以欺騙Twilio員工點選並輸入憑證。接著駭客再以盜走的Twilio員工憑證存取客戶資料。</p> <p>Twilio並未說明有多少員工的登入憑證遭到竊取，也未提供外洩的客戶數量或資料內容，僅說已一一通知受到影響的客戶，並撤銷所有被盜走的員工憑證，與鑑識公司合作，通知執法機構。此外，Twilio也通知了駭客寄送網釣簡訊所使用的電信營運商，以及網釣網站的代管服務供應商，請求它們撤銷駭客的帳號。</p> <p>值得注意的是，Twilio還說也有其它公司遭到類似網釣手法的攻擊，有些業者同樣也通知了電信營運商與代管服務供應商，但在它們撤銷駭客的帳號之後，駭客很快就利用其它服務另起爐灶，顯然是個有組織且有條不紊的犯罪集團，惟目前尚無法辨識駭客的身分。</p> <p>Twilio警告，社交工程攻擊非常的複雜且先進，甚至能挑戰最先進的防禦系統，該公司已針對相關攻擊展開了額外的員工訓練，也正在研究其它的技術性防禦措施，同時呼籲其它業者亦應小心防範。</p> </div></div></div>
2022/8/9 13:09作者陳曉莉https://www.ithome.com.tw/news/152379
Google讓Cloud Storage資料去識別化更簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/announcing-easier-de-identification-of-google-cloud-storage-data">Google對其Cloud Storage服務提供去識別化操作</a>，現在用戶不需要執行自定義的工作管線或是程式碼，就能夠對Cloud Storage中的物件、資料夾和儲存桶去識別化，另外，Google還提供一種新的字典替代方法，強化資料隱私保護，在像是客服聊天日誌等資料以自訂值取代個人資料。</p> <p>Cloud DLP（Cloud Data Loss Prevention）是全託管的服務，可針對檢視的物件創建一份去識別化的資料副本，也就是當用戶啟用DLP檢視Cloud Storage儲存桶中敏感資料，像是個人可識別資訊（PII），便可以在控制臺UI透過簡單滑鼠點按，創建經編輯過的資料副本，而且因為是全託管的服務，因此能夠自動擴展來處理龐大的資料。</p> <p>Cloud DLP服務可以處理圖片和文字檔案，就連用逗號或是空格分開的值也都能處理。Cloud DLP提供了一系列針對敏感資料的轉換功能，包括刪除、取代、遮蔽、加密特定值，或是將特定值以範圍數值取代，也能調整日期以及擷取時間。用戶藉由在Job Triggers服務設置觸發條件，就能夠在新內容出現時，自動執行去識別化工作，這項整合將有助於用戶設置需要的工作流程。</p> <p>Google提供字典替代方法，讓用戶能夠將特定敏感元素，更換成更真實的替代數值，例如將客服聊天日誌中的名字和電子郵件地址，利用Cloud DLP對敏感元素去識別化，避免有人看到這些敏感資料。Cloud DLP可選取字典中定義的值替換敏感元素，除了可以生成更加真實的輸出外，也因為這些更真實替代資料，反而能夠隱藏殘留未被處理的名字。</p> </div></div></div>
2022/8/9 13:18作者李建興https://www.ithome.com.tw/news/152377
為扶植國內業者，印度擬出手限制中國業者銷售低於150美元的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-08-08/india-seeks-to-oust-china-firms-from-sub-150-phone-market" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，印度政府準備出手限制中國業者於境內銷售低於1.2萬印度盧比（150美元）的手機，以扶植國內的手機製造商。</p> <p>印度為全球第二大手機市場，其手機用戶超過4.9億，僅次於中國的9.5億，在中國業者大舉進入印度市場之前，當地的Lava與MicroMax等手機製造商還占據了接近一半的市場。</p> <p>然而，<a href="https://www.counterpointresearch.com/india-smartphone-shipments-decline-5-qoq-5g-smartphone-installed-base-crosses-50-million/" target="_blank">根據市場研究機構Counterpoint今年第二季的調查</a>，現在的印度市場前5大手機品牌中，有4家為中國業者，另一家則是三星，排名與市占率依序是小米（19%）、三星（19%）、Vivo（17%）、Realme（16%）與Oppo（11%），而它們便占了印度手機市場的82%。</p> <p>這次印度的政策不管有沒有指名道姓，很明顯都是針對中國品牌而來，因為高階手機市場主要由三星與蘋果把持，例如三星在3萬印度盧比（377美元）以上價格的手機品牌上居冠，居次的是蘋果。</p> <p>《彭博社》則引用Counterpoint的資料指出，150美元以下的機種大約占據了印度第二季手機出貨量的1/3，當中有8成為中國品牌。</p> <p>不過，目前並不確定印度政策是否會公開此一政策，或僅是私下要求中國業者配合。</p> </div></div></div>
2022/8/9 13:35作者陳曉莉https://www.ithome.com.tw/news/152380
Google Apps轉成付費Workspace挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年宣布將把免費版雲端應用Google Apps轉為付費的Workspace，<a href="https://regmedia.co.uk/2022/08/08/strtford_v_google.pdf" target="_blank">遭到早期用戶集體控告違約</a>，要求恢復免費服務。</p> <p>原告是美國華盛頓一家不動產開發業者及其他用戶，是最早使用的Google Apps用戶，他們認為Google片面改變免費服務是違約行為。</p> <p>原告指控，Google當初做出終身免費的承諾，以吸引早期用戶註冊其服務，好讓Google學習用戶使用經驗來開發及改善其服務，進而開發出付費版服務。2006年Google Apps最後改名為Workspace時，也向他們承諾會持續提供免費版Workspace。不料卻在今年違反約定，停止提供免費服務，要他們若非付錢，否則就要中止其Workspace服務，並轉到其他服務上，使其可能喪失儲存在Google系統上的寶貴資料。</p> <p>原告指控Google違約行為，也反映在這家科技巨擘將初創時的公司精神「Don’t be evil」移除。他們要求Google賠償500萬美元，並要求退回先前已付給Google的費用，同時恢復免費服務。</p> <p><a href="https://www.ithome.com.tw/news/148976" target="_blank">Google今年1月宣布</a>，推行多年的免費雲端生產力服務將停止，7月1日開始收費。Google於2006年推出包含Gmail、Google Docs、Sheet等生產力應用，一開始稱為Google Apps，2016年這項服務改名為G-Suite，2020年再一次改名為Workspace，包含雲端生產力應用及協同服務（Google Docs、Sheets、Gmail、Google Drive及Google Meet等）。對於G-Suite用戶，Google要求5月1日提供帳單支付資料，預定7月1日（後來延至8月1日）開始自動轉為付費訂閱制，不提供者屆時將予以停權。配合15GB免費空間的限制，Google最終目的是企業及個人用戶都能付費使用。</p> <p>但Google此舉遭到強烈批評，因而於5月又小小退讓，<a href="https://www.ithome.com.tw/news/150722" target="_blank">宣布個人及家用帳號可op-out</a>，退出付費訂閱制，而繼續使用免費版本。但這項優惠並不包含企業用戶，未主動op-out的用戶也會喪失免費版使用權利。</p> </div></div></div>
2022/8/9 13:54作者林妍溱https://www.ithome.com.tw/news/152381
美國制裁替北韓駭客Lazarus洗錢的混幣平臺Tornado Cash
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/news/press-releases/jy0916" target="_blank">美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）周一（8/8）制裁了</a>替北韓駭客集團Lazarus洗錢的混幣平臺Tornado Cash，這是OFAC第二次出手制裁混幣平臺，<a href="https://www.ithome.com.tw/news/150828" target="_blank">第一次是在今年5月制裁了Blender</a>，原因同樣是Blender替Lazarus集團洗錢。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">美國早在2019年便制裁了北韓的3大駭客集團</a>，包括Lazarus、Bluenoroff與Andariel，指責它們鎖定重大基礎架構發動網路攻擊，因而禁止美國任何人或實體與這3大集團交易。</p> <p>不過，這些駭客集團並未因此而停止活動，專為NFT遊戲Axie Infinity設計的區塊鏈網路<a href="https://www.ithome.com.tw/news/150181" target="_blank">Ronin Network在今年3月遭到駭客入侵</a>，駭客成功盜走價值6.2億美元的加密貨幣，成為去中心化金融（DeFi）史上最大宗的失竊案，兩周後<a href="https://www.ithome.com.tw/news/150447" target="_blank">FBI便宣稱該犯罪行動是由Lazarus集團所為</a>。</p> <p>至於不管是對Blender或Tornado Cash的制裁，原因之一都是這兩個混幣平臺協助Lazarus轉換自Ronin Network盜來的加密貨幣。</p> <p>OFAC指出，Tornado Cash從2019年成立迄今，至少已被用來清洗超過70億美元的不法所得，當中有逾4.55億美元是Lazarus自Ronin Network盜來。不僅如此，Tornado Cash也涉及今年6月發生的Harmony Bridge跨鏈橋被駭案，以及<a href="https://www.ithome.com.tw/news/152280" target="_blank">8月Nomad遭駭事件</a>的洗錢活動。</p> <p>美國財政部指出，該部門一直致力於揭露加密貨幣生態體系的組成份子，像是Blender與Tornado Cash，駭客利用這些服務來混淆非法網路活動與其它犯罪的收益，儘管大多數的加密貨幣活動都是合法的，但同時也被用於非法活動，包括藉由混幣平臺、交易平臺或是暗網市集來逃避制裁，並強調將會持續積極打擊那些替犯罪份子洗錢的混幣平臺。</p> </div></div></div>
2022/8/9 12:04作者陳曉莉https://www.ithome.com.tw/news/152376