iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

GovTech月報第9期：數位發展部8月底掛牌，唐鳳任首位部長；美國擬將寬頻網路標準提高到100Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0701~0812)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位發展部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">唐鳳</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-e9396a71-7fff-2af3-c14a-20137acb38e6"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">唐鳳出任數位發展部首位部長，數發部8月底掛牌成立</span></span></strong></span></p> <p>數位發展部即將在8月底掛牌成立，行政院宣布由政委唐鳳擔任首位部長，兩位政務次長分別由陽明交通大學電機工程學系副教授闕河鳴，以及一卡通董事長李懷仁擔任。</p> <p>數位發展部底下包括6司2署，包括數位策略司、韌性建設司、資源管理司、數位政府司、民主網絡司、多元創新司。數位策略司負責規畫國家數位發展政策、協調及施政計畫及資源，韌性建設司負責強化我國通訊傳播網路韌性、確保數位應用暢通，資源管理司則負責分配數位通傳資源，數位政府司以深化數位應用、提升政府施政效能，民主網絡司參與國際數位民主網絡，多元創新司推動資料創新應用生態。</p> <p>2署則是推動數位科技應用、數位經濟產業發展政策的數位產業署，以及負責規畫國家資安政策、計畫核議及督導考核的資通安全署。另外，數位發展部也將新設行政法人國家資通安全研究院，預計今年底成立。同時還有移轉自其他部會的法人資策會、電信技術中心、台灣網路資訊中心。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻網路</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">FCC主委提議將美國寬頻網路最低下載標準提高到100Mbps</span></span></strong></span></p> <p>為提升美國的寬頻網路基礎建設，美國聯邦通訊委會員（FCC）主席Jessica Rosenworcel建議將美國寬頻網路的門檻，從現行的25Mbps/3Mbps（下載／上傳），改為100Mbps/20Mbps，未來將以1Gbps/500Mbps作為美國未來的寬頻網路目標。</p> <p>Rosenworcel認為，現今用戶的需求早就超過25Mbps/3Mbps，特別是在全球疫情大爆發，生活的重心轉移到網路，因此需提高寬頻速率的最低標準。事實上，在先前美國大舉投資基礎建設的相關法案，就希望提高美國寬頻網路的水準，而在FCC可負擔連網計畫（Affordable Connectivity Program）裡，要求ISP提供低收入戶每月收費不到30美元，高於100Mbps的寬頻網路服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛福部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">電子病歷</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span style="font-family: 微軟正黑體, Arial, Helvetica, sans-serif;">新版醫療機構電子病歷製作及管理辦法7月上路</span><span><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">，開放</span></span>電子病歷上雲</strong></span></p> <p>為開放醫療機構使用雲端服務，衛福部去年12月提出電子病歷上雲草案，近期新版醫療機構電子病歷製作及管理辦法在7月公告實施，允許醫院使用雲端服務，透過雲端建置電子病歷交換平臺，並進一步推動醫院無紙化發展。</p> <p>新法開放醫院建置電子病歷資訊系統可使用雲端服務，但需遵守4項規範，包括採取適當風控措施、避免醫療業務中斷措施、監督雲端服務業者、建立雲端資料轉回的機制。此外，雲端資料儲存以境內為主，需獲得主管機關同意，才能使用境外雲端服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美國向歐洲國家施壓，要求分享生物辨識等公民資料強化邊境安全</span></span></strong></span></p> <p>媒體報導，美國正透過免簽證方案（Visa Waiver Program），向歐洲國家施壓與其進行進一步的強化邊境安全合作，要求參與免簽證的國家與其分享公民資料，包括政治信仰、生物特徵辨識、參與團體、DNA資料。</p> <p>目前已有部分的歐洲國家及英國收到美國的要求，其中英國已與美國簽署協定，允許美國國土安全部存取英國警方的生物資料庫，包括英國公民3年的指紋及DNA資料。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">馬來西亞</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">馬來西亞政府資料中心將採混合雲架構，結合雲端服務加速政府轉型</span></span></strong></span></p> <p>為加速政府公部門數位轉型發展，馬來西亞近期宣布公部門資料中心（Public Sector Data Center，PDSA）將會升級到特定的雲端運算服務，以供政府各部門使用。目前馬來西亞正努力將服務整合至政府混合雲或MyGovCloud，結合MyGovCloud＠PDSA及公有雲服務。</p> <p>馬來西亞已選出４家雲端服務商，協助執行這項計畫。MyGovCloud也呼應該國提出的數位經濟藍圖目標之一，在今年公部門雲端儲存使用率達到80％的目標。馬國政府也期望透過與雲端服務、託管服務商的合作，帶動對當地的投資，同時培養公務員的技術及能力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">登革熱</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺南市鼓勵</span></span>民眾拍下蚊子照片上傳，經AI辨識蒐集各地登革熱病媒蚊出沒數據</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/tainan.jpg" style="width: 600px; height: 400px;" /></p> <p>每年到了夏天，臺南市政府便會展開行動，以阻斷登革熱病媒蚊傳染鏈，為了鼓勵民眾協力投入防疫工作，臺南市推出台南市AI登革熱防蚊PK賽，以限時競賽的方式，邀民眾加入全民登革熱AI防治Line bot聊天機器人，在7月下旬至9月期間，鼓勵民眾找蚊子、拍蚊子，利用手機拍下周遭的蚊子照片並上傳通報，藉由AI自動辨識蚊子種類，由後臺蒐集通報的時間及地點，讓市府能掌握病媒蚊的地點。</p> <p>臺南市政府運用AI辨識技術協助防治登革熱，這次競賽更透過民眾發現孑孓、蚊子，拍照上傳至全民登革熱AI防治Line bot，借由民眾參與，提高登革熱防疫工作效率。在2年前，市府也與業者合作以人工智慧技術打造AI登革熱防疫平臺，業者利用100萬張以上的孑孓影像、10萬張以上誘卵紙影像，建立AI登革熱辨識模型，透過AI影像辨識斑蚊孑孓精確度達到95%。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物聯網</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺中市靠空氣品質監測物聯網，去年揪出35件空污元凶</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/%E8%87%BA%E4%B8%AD%E5%B8%82%E7%A9%BA%E5%93%81%E6%84%9F%E6%B8%AC%E5%99%A8.jpg" style="width: 600px; height: 427px;" /></p> <p>為改善城市空氣品質，臺中市先前設置1,411個空氣品質感測器，結合物聯網技術，監控臺中市的空氣品質，去年該新蒐集空氣數據打造空品數據中心平臺，結合視覺化的地理資訊系統，以及工業區的氣象數據，利用大數據及AI縮小污染熱區加強稽查，去年透過空品數據中心的輔助，裁罰空污案件35件，罰鍰1,032萬元。</p> <p>去年臺中市改採用工研院授權技轉的空氣品質感測器，感測器總建置量達到近1,500個，號稱建置數量為全國最多。結合空品數據中心平臺，經過數據分析，將污染熱區、高污染值時段提供給稽查人員，以追蹤污染源。</p> <p> </p> <p>圖片來源／臺南市、臺中市、行政院</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.科技部改制為新國科會，正式掛牌營運</strong></p> <p><strong>2.NCC、衛福部展示5G遠距診療，讓本島專科醫師透過5G為離島民眾看診</strong></p> <p> </p> <p>資料來源：iThome整理，2022年7月</p> </div></div></div>
2022/8/17 17:38作者蘇文彬https://www.ithome.com.tw/news/152545
熱門UWB RTLS含有中間人攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi Networks在上周舉行的黑帽大會上，<a href="https://www.blackhat.com/us-22/briefings/schedule/#uwb-real-time-locating-systems-how-secure-radio-communications-may-fail-in-practice-27106" target="_blank">展示了超寬頻（Ultra-wideband，UWB）即時定位系統（Real Time Locating Systems，RTLS）的安全漏洞</a>，指出雖然UWB無線通訊標準的安全性已被加強，但RTLS的處理程序卻缺乏安全標準，而可能遭到中間人攻擊，並於熱門的Sewio Indoor Tracking與Avalue Renity Artemis Enterprise裝置上找到了零時差漏洞，將允許駭客存取所有藉由無線網路傳遞的位置資訊。</p> <p>UWB與藍牙同屬短距無線傳輸技術，儘管藍牙具備體積、成本與抗干擾的優勢，但UWB則擁有高傳輸速率、高穿透性與低耗電的優點，主要的應用為高品質的無線通訊傳輸，像是即時定位系統，包括三星及蘋果的物件追蹤器SmartTag+與AirTag都是採用UWB技術。</p> <p>而Nozomi的研究則是鎖定工業與健康照護領域的UWB RTLS裝置，這次用來示範的Sewio Indoor Tracking RTLS UWB Wi-Fi Kit為一室內位置追蹤設備，要價3,500歐元，而Avalue Renity Artemis Enterprise Kit則是可支援不同產業的高度精確定位解決方案，例如用來定位工廠內的模具位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-UWB%20RTLS-600-1-V3.png" style="width: 548px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nozomi</span></span></p> <p>這兩款UWB RTLS套件都具備多個RTLS標籤與定位基站（Anchor），再加上伺服器軟體，其UWB通訊通常發生在標籤與定位基站之間，以及定位基站彼此的通訊；定位基站與RTLS伺服器之間則是透過乙太網路或Wi-Fi通訊，而這當中若有任一環節含有安全漏洞，就可能會危害整個架構。</p> <p>Nozomi表示，過去的相關研究都是鎖定UWB訊號，這是第一個針對乙太網路及Wi-Fi通訊進行分析的研究。</p> <p>研究發現，這兩項產品都是利用客製化且未知的網路協定進行定位基站與伺服器之間的通訊，而且它們之間的通訊並未加密，位置與時間戳皆以明文傳送，而且缺乏保障完整性的安全機制，代表它們可能遭到中間人攻擊，包括竊取或竄改傳輸資料。</p> <p>Nozomi建議部署RTLS系統時應加密流量，也最好設置防火牆並導入入侵偵測系統。</p> </div></div></div>
2022/8/17 16:44作者陳曉莉https://www.ithome.com.tw/news/152546
今年加密貨幣整體量交易下滑，唯被駭交易增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chainalysis.com/reports/crypto-crime-midyear-update-2022/" target="_blank">區塊鏈分析業者Chainalysis本周公布</a>了今年截至7月底以來的全球加密貨幣交易狀況，指出合法交易與非法交易分別下滑了36%與15%，然而，今年前7個月的加密貨幣被駭金額已達19億美元，遠高於去年同期累計的12億美元。</p> <p>隨著加密貨幣的價格在今年大幅滑落，不管是合法或非法交易都呈現下滑趨勢，但Chainalysis認為非法交易相對有彈性，僅下滑了15%，反之是合法交易下滑了36%。</p> <p>但在非法交易中的漲跌互見，例如詐騙與暗網交易都是下滑的，但駭客事件的交易卻是增加的。數據顯示，今年前7個月的加密貨幣詐騙營收為16億美元，比去年同期少了65%，原因除了加密貨幣價格下滑之外，轉帳至詐騙帳號的受害者數量也創下4年來的新低。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/chart-3-scams-vol-ytd-1024x674.png" style="width: 600px;" /></p> <p>Chainalysis分析，這可能是因為加密貨幣的價格下滑而降低了加密貨幣投資詐騙的吸引力，而且今年缺乏類似PlusToken或Finiko等大型的詐騙活動，2019年的PlusToken加密貨幣詐騙案向受害者募集了超過20億美元的資金，而2021年的Finiko詐騙活動也騙走了15億美元。</p> <p>另一方面，暗網市集在今年前7個月的營收亦比去年同期短少43%。Chainalysis相信這與<a href="https://www.ithome.com.tw/news/150285" target="_blank">全球最大暗網市集Hydra Market在今年4月被破壞有關</a>。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/chart-6-DNMs-ytd-1024x681.png" style="width: 600px;" /></p> <p>相較於詐騙及暗網交易的大幅下滑，因駭客事件而被盜的加密貨幣卻從去年的12億美元增加到今年的19億美元，成長了58%。而且並未計算今年8月發生的<a href="https://www.ithome.com.tw/news/152280" target="_blank">跨鏈協定Nomad</a>及<a href="https://www.ithome.com.tw/news/152291" target="_blank">Solana錢包</a>遭駭事件。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/chart-8-hacks-ytd-1024x690.png" style="width: 600px;" /></p> <p>Chainalysis在今年8月初即曾警告，去中心化金融（DeFi）將成為駭客的首要目標，因為它的程式碼是開源的，方便駭客尋找漏洞，其次是它非常熱門，可能因急於推出而省略了最佳安全實踐，令駭客有機可趁。此外，今年以來的DeFi駭客行動大約有10億美元的失竊與北韓駭客集團有關。</p> </div></div></div>
2022/8/17 14:34作者陳曉莉https://www.ithome.com.tw/news/152542
Twilio資料外洩，1,900名Signal用戶遭池魚之殃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端通訊平臺Twilio在8月7日坦承<a href="https://www.ithome.com.tw/news/152379" target="_blank">遭到駭客入侵</a>，駭客透過網釣簡訊取得了Twilio員工的登入憑證，並竊取了客戶資料，而採用Twilio服務進行電話號碼認證的<a href="https://support.signal.org/hc/en-us/articles/4850133017242" target="_blank">Signal則表示</a>，約有1,900名用戶受到Twilio駭客事件的波及。</p> <p>Signal說明，駭客取得了進入Twilio客戶支援控制臺的憑證，存取了1,900名Signal用戶的資訊，也許是用來註冊Signal帳號的電話號碼，或者是用來註冊Signal帳號的簡訊認證碼；駭客可能會企圖利用所取得的電話號碼註冊另一裝置，而且至少有3個電話號碼遭到實際的攻擊，這些使用者發現他們的帳號被重新註冊。</p> <p>由於Signal為一端對端加密程式，且系統並不存取使用者的往來資料，因此，就算使用者的電話號碼遭到濫用，其通訊歷史紀錄、個人檔案或通訊錄也都僅存放在裝置端，而不會被存取。</p> <p>只是，倘若駭客成功以受害者的電話號碼重新註冊了帳號，就能以該電話號碼傳送及接收Signal訊息。</p> <p>Signal已經撤銷這1,900名使用者於所有裝置上的Signal帳號，並要求他們重新以自己的電話號碼及裝置註冊，也強烈建議使用者啟用「註冊鎖」（Registration Lock）功能，它會在使用者再度嘗試以同一號碼註冊Signal時要求輸入PIN碼，得以對抗這類的安全問題。Signal表示，因為該平臺無法直接修補電信生態體系的問題，只能藉由安全設定來保障用戶安全。</p> </div></div></div>
2022/8/17 14:58作者陳曉莉https://www.ithome.com.tw/news/152543
Google為Alphabet幫手型機器人強化語言理解能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2022/08/towards-helpful-robots-grounding.html" target="_blank">Google本周宣布</a>新的機器人AI模型<a href="https://sites.research.google/palm-saycan" target="_blank">PaLM-SayCan</a>，讓Alphabet開發的事務幫手型（helper）機器人更能理解使用者的指令，並且更聰明執行任務。</p> <p>Alphabet X於2019年11月公布通用型學習機器人專案Everyday Robot Project，旨在開發日常任務用機器人，可執行倒垃圾、擦桌子、整理家具、長遠目標是能幫助獨居長者自理家務等高階任務。<a href="https://www.ithome.com.tw/news/147954" target="_blank">去年Alphabet 也展示</a>Every Robot已在公司內員工餐廳擦桌子、或在辦公室整理會議室。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-everyday%20robots%20by%20alphabet-xcompany.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>Google指出，過去幾年公司雖然在應用機器學習技術於機器人有一些進展，但到目前為止，這類機器人仍僅能執行硬編寫的短指令，像是「拿起一顆蘋果」，在簡單明白、且回饋快速的任務上效果比較好。但它們不太能執行長串指令，或理解抽象目標，像是「我剛運動完，你能幫我準備健康的點心嗎？」</p> <p>Google同時說明，早前訓練語言模型的方法，由於語言模型並不和實體世界互動，也未觀察其反應造成的結果，因此現行模型如GPT-3可能會出現令人啼笑皆非的回應，像是如果用戶表示「我飲料灑出來了，你能幫忙嗎？」他會給出「你可以試試吸塵器」等不安全、不實用的「建議」，而FLAN模型的反應則是「對不起，我不是有意灑出來的。」</p> <p>而Google則發展出名為PaLM-SayCan的模型。其名稱來自它利用語言模型的知識（理解用戶說話的動機，即Say）來決定和評估有用的行動。這個作法也利用「可供性」（affordance）功能做選擇在其周遭環境條件下可行的作法（Can）。</p> <p>SayCan和機器人的關係是，機器人提供PaLM-SayCan語言模型的手和眼睛，而語言模型則提供任務的高階語義知識。系統執行過程好比是由語言模型推動的人、機對話過程。一開始用戶發出指令，語言模型將之轉化成一系列機器人執行的步驟。這個步驟序列是由機器人技能過濾，並依據當時環境條件決定最高可行性的計畫。此外，本模型也加入任務對應性（即技能語言描述），及和真實世界的對應性（即技能可行性）兩種機率來決定完成指令的成功率。</p> <p>因此在用戶說出打翻飲料時，PaLM-SayCan可以做出機率計算後，在尋找吸塵器、找海綿、找垃圾筒、撿起蘋果等行為選項中，最後選擇拿來一塊海綿。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-PaLM-SayCan-Google%20Research-Everyday%20Robots-600.png" style="width: 590px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p><a href="https://github.com/google-research/google-research/tree/master/saycan" target="_blank">Google也公開</a>了機器人模擬設定的技術資源和文件，供有興趣的團隊測試這個PaLM-SayCan模型。</p> </div></div></div>
2022/8/17 13:46作者林妍溱https://www.ithome.com.tw/news/152540
臺灣政府零信任網路戰略成形，優先推動A級公務機關逐步導入，身分鑑別先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（Zero Trust Architecture，ZTA）備受資安圈與全球政府重視，不只是<a href="https://www.ithome.com.tw/news/147725">美國政府在近一年來提出具體規畫</a>，我國政府今年亦將開始行動，根據行政院國家資通安全會報技術服務中心（以下簡稱技服中心）在7月中旬揭露的資訊指出，為強化政府資安防護，導入零信任網路已經成為既定政策，目前確定將優先推動國內A級機關逐步導入。</p> <h3><strong>多國推動零信任，臺灣也在2021年已有規畫</strong></h3> <p>縱觀全球，美國政府推動零信任網路安全戰略的腳步最快，已有明確政策與時程表，要求聯邦機關要在2024年前完成初步遷移，也透過該國的國家資安卓越中心（NCCoE），推動商用產品符合NIST零信任架構。</p> <p>其他政治實體也陸續宣布將零信任網路安全納入國家戰略，例如，歐盟在2020年建立歐盟網路安全戰略，提出標準框架，協助成員國轉型；新加坡在2021年10月提出網路安全戰略；中國也發起「零信任聯盟」。</p> <p>在臺灣，零信任網路安全同樣成為重要國家戰略。在2021年2月，我國發布的第六期「國家資通安全發展方案（110年至113年）」，已經提到此一戰略——在4大推動策略的「善用智慧前瞻科技、主動抵禦潛在威脅」一項，明確指出將推動政府組織導入零信任架構。</p> <p>根據這份發展方案的內容來看，政府這麼做，主要是為了完善政府網際服務網防禦深廣度，將在遞送、攻擊、安裝、發令與控制等階段，發展主動式防禦技術，建立零信任架構資安防護驗證環境，評估並逐步試行以驗證其可行性。而且，在2021年，技服中心已完成零信任網路與概念性驗證機制研究與部署機制。</p> <p>到了2022年7月，政府的下一步行動已經確定，那就是，將優先推動資通安全責任等級的A級機關，導入零信任網路架構，並促進國內廠商發展零信任網路資安產業鏈。特別的是，由於現階段適逢政府組織架構調整，因此接下來，將由數位發展部資通安全署規畫投入經費。</p> <h3><strong>目前正遴選機關試行，接續再推動A級公務機關導入</strong></h3> <p>政府推動零信任網路，將有兩大面向，包括政府機關層面，以及在商用產品層面。</p> <p>以政府機關層面來看，我國政府零信任網路架構的規畫，主要參考<a href="https://www.ithome.com.tw/zerotrust/zta101">美國國家標準暨技術研究院（NIST），所發布的NIST零信任架構文件SP 800-207</a>，並結合我國政府網路向上集中防護需求，因此，規畫上決定採門戶部署方式（Resource Portal Model），並預計在2022年先遴選適合的國內機關，以逐年導入方式，在2022年到2024年，建立起零信任網路中決策引擎的「身分鑑別」、「設備鑑別」，以及「信任推斷」這3大核心機制。</p> <p>之所以先要遴選機關，目標是要先進行導入試行，將考量機關向上集中、網路架構與帳號管理方式等面向，而這項作業在8月中旬正進行中，因此也將不限於A級公務機關。後續，則將推動A級公務機關導入。</p> <p>值得關注的是，由於目前政府核定的A級機關多達90個，因此相關優先導入的政策，將待資安處或未來資安署公布。而從目前導入的核心機制來看，顯然初期將聚焦的是零信任架構中的決策引擎組件，其中又以身分鑑別為最優先。</p> <p>在部署原則上，目前我國政府已提出兩大考量要點，首先，強調相關零信任組件的部署，需具備與現有系統同時混合作運作的能力，其次是優先考量部署於政府機關維運的地端（On-Premises）環境。</p> <p>關於上述3大核心機制，技服中心已有具體說明。在身分鑑別機制上，包含聚焦多因子身分鑑別，以及簽章與加密的身分鑑別聲明。</p> <p>前者也就是FIDO多因子身分鑑別機制，可使用實體安全金鑰或手機APP，進行無密碼登入；後者則是由鑑別聲明伺服器發行給使用者的存取授權證明，包括JWT或SAML標準格式，透過鑑別聲明函式庫（API），供機關資通系統（RP）介接時，可取得與驗證鑑別聲明。</p> <p>在設備鑑別機制上，一是執行基於軟體憑證或TPM的公開金鑰密碼系統鑑別協議，以確認使用者端點設備是受到機關管理，另一是持續監控設備健康管理的機制，包含作業系統更新、防毒更新、應用程式更新與組態合規，以隨時更新設備健康信任等級。</p> <p>最後，在信任推斷機制上，則是依各類輸入資料，進行動態評估與計算，輸出信任分數以提供存取決策。</p> <h3 class="rtecenter"><span style="color:#0099ff;"><strong>將逐步導入身分鑑別、設備鑑別與信任推斷機制</strong></span></h3> <p><span style="color:#0099ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%95%A5%E6%88%90%E5%BD%A2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%8A%80%E6%9C%8D%E4%B8%AD%E5%BF%83.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／擷取自行政院國家資通安全會報技術服務中心</span></p> <h3><strong>因應政府機關採購與部署，建立產品功能驗證計畫</strong></h3> <p>另一政府推動的零信任架構重點，在於商用產品，也就是零信任相關解決方案。這主要是為了因應A級公務機關，在2022年到2024年的導入作業，同時，也希望貫徹「資安即國安」戰略，厚植臺灣資安產業自主研發能力。對此，今年技服中心已在網站上推出了「<a href="https://www.nccst.nat.gov.tw/ZeroTrustMain?lang=zh">零信任網路專區</a>」，目的是讓國內廠商也能預做準備，參與計畫，並提出可相應的解決方案。</p> <p>截至至6月9日止，通過身分識別功能符合性驗證的廠商，已有全景軟體，以及與歐生全合作的安碁資訊。同時，技服中心也提供相關說明文件，幫助不論是政府機關與業界廠商，都能了解政府零信任網路的推動政策，相關技術、導入方式，以及產品需求。</p> <p>同時，為了讓政府機關導入時有所依循，在8月16日，技服中心已先公開一份<a href="https://www.nccst.nat.gov.tw/ZeroTrustMain?lang=z">針對「身分鑑別」機制的導入建議</a>文件，提供機關參考，當中包含具體參考步驟與檢核表，協助機關逐步建立零信任網路資安防護環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%95%A5%E6%88%90%E5%BD%A2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%8A%80%E6%9C%8D%E4%B8%AD%E5%BF%83(1).jpg" style="width: 600px;" /><br /> <span style="color:#696969;">圖片來源／擷取自行政院國家資通安全會報技術服務中心</span></p> </div></div></div>
2022/8/17 10:28作者羅正漢https://www.ithome.com.tw/news/152538
解決誤簽發漏洞啟動程式BootLoader問題的Windows更新，因錯誤無法安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月初Patch Tuesday釋出一個安全更新，欲解決誤簽發有漏洞開機啟動程式的問題，不過傳出發生無法安裝的錯誤。</p> <p>微軟本月初Patch Tuesday針對多個版本Windows釋出KB5012170安全更新，<a href="https://support.microsoft.com/en-us/topic/kb5012170-security-update-for-secure-boot-dbx-august-9-2022-72ff5eed-25b4-47c7-be28-c42bd211bb15" target="_blank">不過微軟說明</a>，安裝本更新可能會發生安裝失敗，並接獲0x800f0922的錯誤訊息代碼。</p> <p>KB5012170主要是更新Windows中Secure Boot DBX，這是儲存被註銷的UEFI開機啟動程式簽章的儲存庫。在Windows電腦硬體啟動、Windows載入前，UEFI開機啟動程式會先執行，並啟動具備安全開機（Secure Boot）的UEFI環境，以便只有受信任的程式碼可在這個階段於PC執行。</p> <p><a href="https://www.ithome.com.tw/news/152524" target="_blank">安全廠商Eclypsium發現</a> 3 個有漏洞的UEFI開機啟動程式獲得Windows憑證機構（CA）的簽章。由於這個CA為所有Windows和Linux筆電、伺服器等硬體信任，攻擊者即可安裝有問題的開機程式，輕易在目標裝置上執行。這3個啟動程式為Eurosoft、New Horizon Datasys及CryptoPro Secure Disk for BitLocker。KB5012170原本即是透過更新這個儲存庫的簽章，防堵3個舊版的啟動程式。</p> <p>受影響的Windows平臺涵括用戶端和伺服器端，包括Windows 11、Windows 10 20H2到21H2、Windows 10 Enterprise LTSC 2016、2019、Windows 10 Enterprise 2015 LTSB及 Windows 8.1。Windows Server版則從Server 2012到Server 2022。</p> <p>微軟表示正在調查問題原因，但在此之前，只要更新3個UEFI啟動程式到最新版即可暫時解決問題。</p> </div></div></div>
2022/8/17 10:06作者林妍溱https://www.ithome.com.tw/news/152537
【資安日報】2022年8月16日，2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T有超過2千萬筆用戶個資流入暗網，但讓人意外的是，該公司獲報後表示，他們近期沒有遭到攻擊的跡象，這些資料應該是來自一家信貸機構。</p> <p>俄羅斯駭客Killnet近期不斷對試圖協助烏克蘭的國家，發動DDoS攻擊，義大利、立陶宛、拉脫維亞等國都傳出事故。而最近這些駭客宣稱，他們在攻擊美國航太製造商洛克希德·馬丁（Lockheed Martin）的過程裡，也一併竊得該公司的員工資料，但研究人員對這樣的說法持保留態度。</p> <p>駭客上傳惡意PyPI套件的情況再度出現，而這次攻擊事故與過往有所不同，攻擊者植入的Linux挖礦程式，是在記憶體內（In Memory）執行，這樣的做法在Linux惡意程式算是相當少見。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://holdsecurity.com/news/2022/08/att-customer-data-found-on-the-dark-web/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2,300萬AT&T用戶資料流入暗網，但該公司聲稱可能是信貸業者遭駭而外洩相關資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png" style="width: 300px; float: right;" /></a>資安業者Hold Security於8月4日，從暗網論壇取得1.6 GB的壓縮檔案，內有3.6 GB的大型檔案，經過分析，此檔案內含28,511,318筆資料，當中包含使用者的全名、手機號碼、室內電話號碼、住址、出生日期、社會安全碼（SSN）等，共約有2,300萬個SSN、2,280萬個電子郵件信箱，駭客以20萬美元的價格起標。根據這些資料的特徵，研究人員認為資料很可能來自AT&T。</p> <p>AT&T聲稱，該公司的系統尚無遭到入侵及資料外洩的跡象，並向資安新聞網站Recorded Future表示，這些資料疑似來自於先前信貸機構資料外洩的事件。即便如此，難道AT&T對於合作廠商的資安沒有監督的責任嗎？</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/killnet-releases-proof-its-attack-against-lockheed-martin"><span style="color: rgb(0, 0, 0);">美國航太製造商洛克希德·馬丁遭DDoS攻擊，俄羅斯駭客Killnet聲稱竊得員工個資</span></a></strong></h3> <p>8月1日，美國航太製造商洛克希德·馬丁（Lockheed Martin）傳出遭到DDoS攻擊，俄羅斯駭客組織Killnet聲稱是他們所為，但最近傳出這些駭客疑似握有該公司部分內部資料。根據新聞網站Newsweek的報導，Killnet於8月11日在Telegram群組上傳一段影片，並聲稱是洛克希德·馬丁員工的個資。</p> <p>經資安業者Searchlight Security威脅情報分析師Louise Ferrett解析，這些資料確實是該公司員工的資料，但研究人員認為，駭客未必真正成功入侵，他們公布的很有可能之前流出的舊資料。針對這些資料的洩露，洛克希德·馬丁並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/15/disrupting-seaborgiums-ongoing-phishing-operations/"><span style="color: rgb(0, 0, 0);">微軟封鎖俄羅斯駭客Seaborgium網釣攻擊帳號</span></a></strong></h3> <p>微軟於8月15日宣布破壞俄羅斯駭客組織Seaborgium的網路釣魚行動，該組織持續鎖定特定的組織及個人發動網釣攻擊，特別是北約國家，以竊取這些個人或組織員工的憑證，進而長期竊取與蒐集資料，並利用這些資料來發動資訊戰。微軟關閉遭到駭客濫用的微軟服務帳號，包括LinkedIn、OneDrive，以及電子郵件等。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/russia-ukraine-shuckworm"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Shuckworm鎖定烏克蘭散播竊密軟體</span></a></strong></h3> <p>資安業者賽門鐵克發現自7月15日開始，俄羅斯駭客組織Shuckworm（亦稱Gamaredon、Armageddon）散布竊密軟體（Info Stealer）的攻擊行動，他們看到受害電腦先是下載7-Zip自解壓縮檔，隨後MSHTA程式下載了XML檔案，並植入多個PowerShell竊密程式。研究人員指出，駭客疑似濫用VCD、H264、ASC等副檔名來偽裝惡意程式，並透過遠端桌面連線應用程式Ammyy Admin或AnyDesk來存取受害電腦。由於攻擊行動仍持續當中，研究人員也提供入侵指標（IoC）供組織防範。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-secretslib-drops-fileless-linux-malware-to-mine-monero"><span style="color: rgb(0, 0, 0);">惡意PyPI套件被用於散布無檔案Linux惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png" style="width: 300px; float: right;" /></a>資安業者Sonatype發現名為secretslib的惡意PyPI套件，一旦使用者安裝，將會在Linux主機執行名為tox的可執行檔案（ELF），進而在記憶體內（In Memory）部署挖礦軟體挖取門羅幣（XMR）。</p> <p>研究人員指出，駭客假冒美國伊利諾伊州阿貢國家實驗室（ANL）的工程師名義，並留下此人的聯絡資訊，且tox目前沒有防毒引擎將其識別為有害，使用者難以發現自己下載了惡意套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/8/15/23306650/def-con-hacker-john-deere-tractors-run-doom-right-to-repair"><span style="color: rgb(0, 0, 0);">研究人員竄改拖拉機配置來執行其他功能</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png" style="width: 300px; float: right;" /></a>研究人員Sick Codes近日於DEF CON大會上，駭入強鹿（John Deere）曳引機，並在拖拉機上的螢幕執行電玩遊戲毀滅戰士（Doom）。這名研究人員表示，他成功進入經銷商模式來繞過系統保護，進而取得了曳引機的root權限，而能夠在覆蓋原本的操作介面下執行遊戲。</p> <p>但為何要針對拖拉機進行研究？Sick Codes向Wired透露，他認為此種設備的資安漏洞很可能導致拖拉機停擺，進而會影響食物供應，另一方面，他也希望農夫能有完整權限掌控買到的設備，而能擁有自行維修的權利。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://support.signal.org/hc/en-us/articles/4850133017242"><span style="color: rgb(0, 0, 0);">雲端通訊服務業者Twilio洩露近1,900名Signal用戶的電話號碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://therecord.media/pro-kremlin-hackers-target-latvias-parliament-after-declaring-russia-a-sponsor-of-terrorism/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet聲稱對拉脫維亞議會發動DDoS攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cybernews.com/cyber-war/russian-hackers-target-finland-parliaments-website/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客NoName057(16)對芬蘭議會發動DDoS攻擊，起因是芬蘭打算加入北約組織</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/argentinas-judiciary-of-c-rdoba-hit-by-play-ransomware-attack/"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿根廷司法機構遭Play勒索軟體攻擊，關閉IT系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152514">【2022年8月15日】中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK漏洞波及多個廠牌連網設備</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> </div></div></div>
2022/8/16 17:56作者周峻佑https://www.ithome.com.tw/news/152534
NCC舉辦數位中介服務法公開說明會，公民團體、專家學者擔心政府加註警示恐衝擊網路言論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC今年6月底公告《數位中介服務法》（後稱數位中介法或中介法），今天（8/16）針對公民團體、學者專家舉行第二次公開說明會，公民團體、專家學者擔心賦予政府對網路內容的限制權力，可能鉗制網路言論自由，並對成立專責機構、安全港免責規定提出建議。</p> <p>由於外界對中介法第18條，主管機關機關對不實資訊、謠言得暫時加註警示有諸多疑慮，甚至擔心政府大力干涉網路言論自由，NCC在兩次的公開說明會都特別強調，加註警示的前提是，各主管機關基於主管的作用法，認為該訊息違法，且已向法院聲請資訊限制令，在法院裁定之前，先由行政處分要求業者協助暫時加註警示。</p> <p>儘管NCC如此說明，但因為草案的法條中沒有明確說明警示的處理方式，外界仍擔心政府的這項權力，對網路使用者的言論自由帶來影響。</p> <p><span style="color:#B22222;"><strong>加註警示恐對言論自由產生影響</strong></span></p> <p>台灣人權促進會數位人權專員周冠汝表示，第18條各法規主管機關對不實資訊、謠言得暫時加註警示，根據草案的說明，參考歐盟2018年視聽媒體服務指令，但是該指令並沒對不實訊息要求加註警示，主要針對仇恨及暴力言論、種族、膚色、國籍等，要求提供能有效提升媒體識讀的方式，透過媒體識讀提升使用者批判思考的能力，中介法以視聽媒體服務指令為加註警示的參考依據似不妥當，且政府要求加註警示的作法在公民社會也多被詬病。</p> <p>她以過去依照社會秩序維護法，對散布不實的謠言，被執法機關大量移送，最後法院裁定不罰的情形為多，新法賦予行政過大的權力恐對言論自由帶來衝擊。即使草案規定，各主管機關需提出作用法，但各個作用法的明確性也是一大挑戰，建議刪除政府機關針對不實訊息加註警示的權力。</p> <p>台權會肯定草案對業者提升透明度的努力，但中介法以業者自律規範，例如透過社群守則檢舉或限制網路內容，建議主管機關也應當將業者自律方式限制網路內容，一併登載在共同資料庫中。</p> <p>另外，第17條針對資料保存部分，周冠汝認為應設定保存的期限，避免各作用法規定期限不一致的情形；草案的罰則，考量到業者為避免被罰，可能傾向大量刪除、限制內容、降低排序等做法，也會對網路人權帶來影響。</p> <p>曾任NCC委員，代表台灣匯流研究學會出席公開說明會的世新大學廣電系兼任教授何吉森也表示，第18條對加註警示，如果警示的意涵為告知使用者有不同的訊息、其他的聲音，警示以媒體識讀、教育宣導的方式處理，只是告知有不同的訊息或其他的聲音、資訊仍在討論中等等，這樣的警示是可以接受的，但如果沒有特別說明，警示予人民的感受，例如貼上黃標，甚至經過確認而有行政處分，雖然用意是向使用者示警，但是帶給網路使用者什麼樣的感受，是否符合多方治理、公私協力、由下而上的精神，這些問題值得思考。</p> <p>何吉森更進一步指出，草案雖強調治理的精神，但整部法主要針對內容管制，缺少經濟管制，例如新聞分潤，或是大型網路平臺利用演算法蒐集運用個資等等。另外，中介法也缺乏參照DSA定向廣告、暗黑模式的相關規定。「數位中介服務法的治理精神、公私協力感覺沒有真正落實，好像只是口號」。</p> <p>對於外界的擔憂，NCC則回應，加註警示將以中性的方式處理，例如Learning more，提醒使用者有其他的資訊來源，未來會在草案中多作說明。此外，針對缺乏DSA規定提供定向廣告、暗黑模式，NCC強調中介法所參考為2020年版本DSA，定向廣告、暗黑模式為較新的DSA，未來也會參考更新DSA調整。</p> <p><span style="color:#B22222;"><strong>草案應有更明確的定義或解釋</strong></span></p> <p>因數位中介法對業者影響重大，台灣通訊學會祕書長簡維克建議草案可以更明確說明以避免歧見，例如歐盟DSA沒有特別定義中介，但臺灣數位中介服務法對數位中介服務下的定義，以有線、無線、衛星或其他電子傳輸設施傳輸數位格式的聲音、影像等，提供的通訊傳播中介服務，從法條來看對所謂「中介」的定義不夠明確，對中介的定義容易產生歧見，建議法條對「中介」要有更清楚的定義。</p> <p>其次是安全港的免責規定，簡維克表示，如果業者對訊息具有編輯責任，就不能援引安全港主張免責，但什麼是有編輯責任？如果業者根據使用者條款或利用技術，將不適當的訊息下架，是否會被認為具有編輯責任，基於安全港保護業者提供免責的規定，建議草案對編輯責任的範圍有更明確的定義；此外，第11條安全港條款，只免除業者刑事及民事責任，但沒有免除行政責任，是否為要求業者配合資訊限制的責任，但如此一來就可能限縮網路或電商的免責保護，因為目前法院檢視網路或電商業者，實務上會看業者是否對平臺上的資訊有可控制性，如認為業者技術及人力上沒有辦法發現違法資訊，業者可免除行政責任，第11條規定僅只免除民事、刑事責任，即使業者做了相關措施，也不能主張免除罰鍰等行政責任。</p> <p><strong><span style="color:#B22222;">專責機構的質疑</span></strong></p> <p>另外，中介法草案擬以25億元基金成立數位中介服務專責機構，NCC也在公開說明會中說明，該專責機構介接政府各主管機關，快速通知中介服務業者，為聯繫專責平臺，草案規定該機構董事導入多方利害關係人建立議事架構。</p> <p>何吉森表示，專責機構既為公設財團法人，其行政、業務、審計的督導，未來需赴立法院報告，在行政、立法介入高的情形之下，不符合由下往上的多方治理概念，建議專責機構對共同治理的流程，能夠建立真正的多利害關係人，多設立幾個不實資訊的認定機制，以及像iWin關切不同網路內容的單位。</p> <p>公民參與媒體改造聯盟召集人林月琴則指出，數位中介法雖參考DSA，但並不夠完善，首先，缺少明定兒少身心的處理，15到24歲在網路使用中具有相當的比例，沒看到中介法對妨礙兒少的部分。NCC在電視相關法規有兒少的部分，但在中介法卻未見到相關的規定。另外，專責機構被視為是iWin放大版，沒有接受申訴處理，該機構的功能及角色不免讓外界產生疑慮。</p> <p><span style="color:#B22222;"><strong>資訊限制令交由法院審議，應考慮法院是否能承接</strong></span></p> <p>在數位中介法中，政府主管機關對不實內容或謠言經調查確認違法後，向法院聲請資訊限制令，雖然對於涉及影響民眾言論的權力，交由法院審議裁定，但也引起公民團體、專家對法院是否有足夠能力裁定的憂慮。</p> <p>公民參與媒體改造聯盟召集人林月琴也表示，數位中介法授權政府聲請資訊限制令，需考量到法院能否處理，業者財力、人力能否負擔。</p> <p>全國律師聯合會代表認為，中介法涉及言論自由等限制，對人權的影響缺乏完整的評估的報告．就貿然做資訊限制令，也有透過業者間接管制言論自由的嫌疑。其次，現在司法實務工作量大，例如近期的選舉，民眾跟業者檢舉或向主管機關檢舉，法院有沒有能量審理？另外，是否有評做審案的能量，如果沒有完整的思考，作好跨部會的溝通，現在推中介法有些倉促。</p> <p><span style="color:#B22222;"><strong>能否對境外業者問責</strong></span></p> <p>媒體改造學舍理事長羅慧雯則關心數位中介服務法是否能使大型跨國數位平臺負擔更多責任。她表示，跨國數位平臺為內容通道的守門人，對內容發展影響重大，也是網路上不實資訊的溫床，過去這些平臺承擔低度的責任，期待未來數位中介法對數位平臺的問責。但是，數位中介法只要求指定代理人，卻沒要求跨國業者落地，跨國業者如不願配合，而決定停止對臺灣服務，建議可從臺美貿易合作中加入對平臺的問責。另外，數位中介法草案第15條要求業者揭露服務條款，第30條揭露廣告資訊，數位平臺擁有很大的權力，中介法能不能管？</p> <p>對此，NCC綜合規畫處處長王德威坦言，數位中介法參考歐盟DSA，當時考量到歐盟的市場力量，如果跨國業者能遵守，台灣中介法參考DSA，跨國業者是否比較可能遵守。政府可以對數位中介法制定更嚴的義務，但業者願不願意遵守，如果業者不遵守要如何處理，這些還需要協商。</p> <p>NCC目前已開放網站蒐集各界的意見，同時透過公開說明會，蒐集各利害關係人的意見，接下來將在8月18日針對資訊儲存服務及線上平臺服務業者、公協會舉行第三場公開說明會，在8月25日再舉行公聽會，開放社會大眾參與。</p> </div></div></div>
2022/8/16 19:38作者蘇文彬https://www.ithome.com.tw/news/152536
AWS CDN服務CloudFront開始支援HTTP/3，終端用戶網路連接體驗將有感提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-http-3-support-for-amazon-cloudfront/">AWS宣布對CDN（Content Delivery Network）服務CloudFront添加HTTP/3的支援</a>，所有新的和現存的全球邊緣CloudFront分布（CloudFront Distributions）都能夠啟用HTTP/3，使得終端使用者連接得以從HTTP/3底層的QUIC協定中受惠，獲得比基於TCP與TLS的HTTP/2功能更好的體驗。現在全球410個CloudFront邊緣站點都已經提供HTTP/3支援。</p> <p>HTTP/3建立於QUIC之上，QUIC是一個UDP、串流多工，以及更加安全的協定，能夠克服許多使用TCP所帶來的限制。在使用HTTP/2時，TCP需要透過交握程序，來建立客戶端和伺服器間的對話，而TLS也需要自己建立交握，來確保對話安全，每次交握都必須在客戶端和伺服器間往返，尤其當兩端相距很遠時，交握過程可能非常耗時，而QUIC卻只需要一次交握，就可建立安全對話。</p> <p>而且客戶端和伺服器之間的各種中介裝置，包括防火牆或NAT設備，都能夠理解並且操縱TCP，QUIC則是以UDP為基礎，經加密後在企業和公共網路中流動，因此包括元資料，中介裝置都沒辦法檢查和操縱其中的細節。</p> <p>HTTP/3串流具備獨立且多工的特性，這消除了請求和回應之間隊頭阻塞的問題，使得網頁應用程式能夠更快地被執行，在慢速網路以及對延遲敏感的連接特別有用。</p> <p>AWS在CloudFront上支援HTTP/3，將能夠提供終端用戶更靈敏且安全的網路連接，在網路連接較不順的地區，CloudFront用戶將明顯觀察到應用程式效能提升。CloudFront的HTTP/3功能，使用由Rust實作的QUIC協定s2n-quic，並結合AWS加密開源函式庫，高效能地提供安全性。</p> <p>在CloudFront分布上啟用HTTP/3之後，用戶便可以向CloudFront邊緣站點發出HTTP/3請求，一旦通過邊緣站點，CloudFront就會繼續使用HTTP/1.1向來源伺服器提取資料，因此用戶不需要對伺服器進行任何更改，就可以利用HTTP/3存取內容。</p> <p>不過對於部分類型的應用程式，像是需要HTTP客戶端函式庫發送HTTP請求的應用程式，用戶可能需要更新HTTP客戶端函式庫來使用HTTP/3，一旦雙方無法建立QUIC連接，系統也會自動回退到支援的協定，像是HTTP/1.1或HTTP/2。</p> </div></div></div>
2022/8/16 17:02作者李建興https://www.ithome.com.tw/news/152533
微軟破壞鎖定北約國家的俄羅斯駭客集團Seaborgium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/08/15/disrupting-seaborgiums-ongoing-phishing-operations/" target="_blank">微軟本周宣布</a>，已採取必要行動破壞了俄羅斯駭客集團Seaborgium的網路釣魚行動，Seaborgium持續鎖定特定的組織及個人發動網釣攻擊，特別是北約國家，以竊取這些個人或組織員工的憑證，進而長期竊取與蒐集資料，並利用這些資料來發動資訊戰，於是微軟關閉了Seaborgium駭客所利用的微軟服務，包括LinkedIn帳號、電子郵件帳號與OneDrive帳號等。</p> <p>微軟自2017年以來便開始追蹤Seaborgium，相信它是由俄羅斯政府支持的駭客集團，主要任務是竊取情報以散布不實資訊，而非基於財務動機。</p> <p>這幾年來Seaborgium都針對同樣的一批組織發動攻擊，企圖建立長駐能力，除了個人之外，Seaborgium主要的攻擊目標為北約國家的組織，特別是美國與美國，偶爾也有波羅的海、北歐或中歐國家的組織受害，烏克蘭或支持烏克蘭的組織亦為受害者，目標對象可能是國防暨情報顧問公司、非政府組織、政府間組織、智庫或高等教育機構等，也有俄羅斯的前情報官員、俄羅斯事務的專家或旅居海外的俄羅斯人遭到鎖定。</p> <p>Seaborgium的計畫很縝密，駭客會先研究目標對象的檔案，繼之於社交網站上建立一個與之相關的假帳號，也會有一個與之搭配的電子郵件帳號，第一步會先透過電子郵件帳號與受害者聯繫，以對方有興趣的主題來吸引受害者，在收到受害者回應之後，才會再寄送惡意電子郵件。</p> <p>這些電子郵件可能含有惡意的PDF檔，或是直接於電子郵件中嵌入惡意連結，或是邀請受害者開啟存放於OneDrive上的PDF檔，但不論是哪一個，最終目的都是將使用者導至網釣頁面，誘導受害者輸入憑證，進而接管受害者的電子郵件帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-SEABORGIUM%20phishign%20by%20microsoft-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>由於Seaborgium的目的是蒐集情報，因此駭客會竊取受害者信箱中的所有資料，或是直接於郵件服務中設定轉寄功能，將所有郵件轉寄至駭客信箱，也會用來存取受害者的其他聯絡人。</p> <p>Seaborgium還會以所蒐集的情報來撰寫假新聞，例如曾經駭進支持英國脫歐的多名高級官員的Protonmail帳號，並利用自這些帳號中竊取的文件來編故事，宣稱這些脫歐支持者準備發動政變。微軟呼籲不管是媒體或讀者都應謹慎對待各種資訊，以免在不經意間成為散布不實資訊的幫兇。</p> <p>微軟除了公布Seaborgium網釣活動的入侵指標之外，也建議Office 365用戶檢查電子郵件的過濾設定，關閉自動轉寄功能，審核所有自遠端存取的活動，要求多因素認證，以及採用硬體金鑰等。</p> </div></div></div>
2022/8/16 15:55作者陳曉莉https://www.ithome.com.tw/news/152532
Unity拒絕AppLovin的合併提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Unity 3D遊戲引擎的丹麥遊戲業者<a href="https://investors.unity.com/news/news-details/2022/Unity-Board-of-Directors-Reaffirms-Commitment-to-ironSource-Transaction-and-Rejects-Unsolicited-Proposal-from-AppLovin/default.aspx" target="_blank">Unity Software在周一（8/15）正式拒絕</a>了AppLovin所<a href="https://www.ithome.com.tw/news/152405" target="_blank">提出的合併協議</a>。</p> <p>AppLovin的提議源自於Unity在7月13日宣布要以44億美元買下以色列的ironSource，ironSource與AppLovin的業務屬性類似，都是專門開發行動程式營利與出版技術的業者，但ironSource的規模比AppLovin小得多。AppLovin在8月提出以18%的溢價與Unity合併時，即要求Unity必須放棄收購ironSource。</p> <p>然而，Unity本周表示，該公司的董事會在經過完整的評估後，認為與AppLovin合併並不符合Unity的最佳股東權益，反之，買下ironSource將能形成遊戲產業第一個從打造、執行、管理、出版到營利的端對端平臺，可望帶來更好的經濟成果。</p> <p>遊戲產業則分析，即使AppLovin同意以200億美元的高價買下Unity，還讓Unity享有合併後新公司的55%股權，但Unity卻僅握有新公司49%的投票權，相較之下，Unity買下ironSource之後，不但將取得程式的出版與營利技術，也有百分之百的掌控權，或許是Unity董事會的主要考量之一。</p> </div></div></div>
2022/8/16 14:20作者陳曉莉https://www.ithome.com.tw/news/152528
微軟在Office 2021上展示Microsoft 365廣告令用戶不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟力推雲端版服務，甚至連自家用戶端版本軟體Office，使用途中也會收到廣告，讓用戶相當不滿。</p> <p>數名用戶，包括微軟<a href="https://twitter.com/Lee_Holmes/status/1558186557017710592" target="_blank">Azure Security部門首席安全架構師Lee Holmes</a>近日發現，他們的Office程式在選單下方出現促銷Microsoft 365的文字廣告，像是家用版Microsoft 365的「限量優惠」3個月只要0.99美元，還提供了按鍵，可連向Microsoft Store購買產品優惠。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-office%202021%20ad.jpg" style="width: 600px;" /></p> <p><a href="http://twitter.com/Lee_Holmes/status/1558186557017710592" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Lee Holmes</span></span></a></p> <p><a href="https://www.ithome.com.tw/news/152378" target="_blank">微軟屢勸用戶</a>，單機版Office功能無法擴充，又不會更新，支援期限到還可能無法連結Microsoft雲端服務，最好轉到雲端訂閱版Office。這個廣告若是出現在其他搜尋廣告版位，或是社群平臺廣告上都不令人意外，但是它占用的是正版Office 2021告知用戶開啟巨集的區塊。Holmes表示令人失望。</p> <p>一些用戶對自己付了正版授權還需看到廣告，看到氣憤。另一名使用者則表示，若用戶在公司Office上看到這些廣告購買或啟動家用版Office，反而有害員工生產力。</p> <p>微軟經常有些令人爭議的廣告作法。例如曾在Chrome等競爭瀏覽器的用戶搜尋結果頁上展示Edge廣告。最近微軟將腦筋動到檔案總管（File Explorer）上；<a href="https://twitter.com/flobo09/status/1502645866204704773" target="_blank">3月間有用戶發現</a>他的檔案總管上的一大區塊被用於展示促銷Azure的廣告。</p> <p>不過就連很少使用廣告的蘋果，也可能想善用自己的資產來打廣告。<a href="https://twitter.com/markgurman/status/1558846839746506752" target="_blank">彭博新聞本周報導</a>，除了現在新聞、股票和App Store版面上，蘋果可能計畫在Apple地圖、Books、Podcasts或TV+上展示廣告，以增闢營收來源。</p> </div></div></div>
2022/8/16 14:41作者林妍溱https://www.ithome.com.tw/news/152529
3項經微軟簽發的UEFI Boot Loader可讓惡意程式繞過安全開機保護執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/2022/08/11/vulnerable-bootloaders-2022/" target="_blank">安全廠商Eclypsium發現</a>有三個獲得微軟簽發的UEFI bootloader存在漏洞，使惡意程式能躲過安全開機（Secure Boot）技術的防護，而得以在Windows裝置上執行。</p> <p>Windows的安全開機機制是UEFI標準，可透過微軟憑證驗證韌體，及保護系統無法在開機早期，作業系統載入之前，載入與執行惡意程式碼。Eclypsium發現的3項UEFI bootloader，都獲得微軟UEFI第三方憑證機構（CA）的簽章。由於這個CA為所有Windows和Linux筆電、桌機、平板、伺服器及AIO系統所信任，因此攻擊者即可安裝有問題的開機程式，輕易在目標裝置上執行。</p> <p>這三項BootLoader及其漏洞分別是Eurosoft（CVE-2022-34301）、New Horizon Datasys（CVE-2022-34302）及CryptoPro Secure Disk for BitLocker（CVE-2022-34303）。</p> <p>其中CVE-2022-34301和CVE-2022-34303較類似，它們都是利用已簽發的UEFI shell，使攻擊者可利用shell內建的功能，迴避安全開機，像是讀寫記憶體、list handles或映射記憶體等，而且可利用開機script自動化執行。</p> <p>這些行為都還有一些視覺上的指示元素，可在顯示器上看到，但沒有顯示器的伺服器或工業裝置則無從察覺。但New Horizon Datasys（CVE-2022-34302）的漏洞就更隱密了。它包含使Secure Boot開著，但關閉它的檢查。這能以更高明的手法躲避安全防護，像是關閉安全工具。這麼一來攻擊者也不需下指令，就能直接任意執行未簽章的程式碼。研究人員相信這項漏洞更能獲得駭客們的「青睞」。</p> <p><a href="https://kb.cert.org/vuls/id/309662" target="_blank">CERT/CC指出</a>，這些漏洞讓惡意程式繞過Secure Boot保護，而使系統載入任意程式碼。這些bootloader可協助攻擊者潛伏在系統內，例如載入任意的核心擴充程式躲過開機或OS重灌，或是躲過OS層安全軟體，或第三方端點防護工具。</p> <p>研究人員警告，雖然更新有問題的bootloader需要管理員權限，但本地權限擴張（local privilege escalation，LPE）攻擊在Windows和Linux上都不難做到。尤其微軟並不認為UAC-bypass是不合法行為，也不修補相關被通報為漏洞的地方，因此Windows上反而許多機制可被用於將一般用戶提升到管理員權限。</p> <p>此外，研究人員也指出，雖然在OS層執行惡意程式很常見，但Secure Boot是專門用於這些程式不致擴充權限到取得整臺機器，突破其他安全控制，因此這些漏洞還可以讓攻擊者很簡單就跨越UAC。</p> <p>CERT呼籲用戶及早安裝最新OS安全更新，防止不安全韌體繞過Secure Boot防護。<a href="https://support.microsoft.com/en-us/topic/kb5012170-security-update-for-secure-boot-dbx-august-9-2022-72ff5eed-25b4-47c7-be28-c42bd211bb15" target="_blank">微軟8月Patch Tuesday</a>就更新了Secure Boot Forbidden Signature Database（DBX）解決這項問題。</p> <p><a href="https://www.ithome.com.tw/news/139133" target="_blank">Eclypsium於2020年也揭露</a>啟動程式Grub2的安全漏洞，名為BootHole，可允許駭客繞過安全啟動（Secure Boot）保護機制，於作業系統之前植入任意程式，個人電腦、伺服器、工作站到IoT裝置都受駭。</p> </div></div></div>
2022/8/16 13:16作者林妍溱https://www.ithome.com.tw/news/152524
研究人員駭進拖拉機玩《毀滅戰士》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名代號為Sick Codes的安全研究人員在上周舉行的Def Con駭客會議上，<a href="https://forum.defcon.org/node/241833" target="_blank">展示他如何駭進知名農業設備品牌John Deere所生產的拖拉機</a>，<a href="https://twitter.com/sickcodes/status/1558878687642402816" target="_blank">他在拖拉機的螢幕上玩起了《毀滅戰士》（Doom</a>），並說已取得了該拖拉機的根權限，可讓農民自行維修設備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-sick%20codes%20John%20Deere-600-1.png" style="width: 593px;" /></p> <p><a href="https://www.wired.com/story/john-deere-tractor-jailbreak-defcon-2022/" target="_blank">根據《Wired》的報導</a>，Sick Codes取得了好幾款不同型號的John Deere觸控螢幕主機，接著花了幾個月的時間來研究這些主機的電路板，企圖繞過該品牌對於經銷商的授權要求，最終他終於通過認證，在重開機之後進入經銷商存取模式。</p> <p>該模式不僅存放了大量的設備紀錄，可用來診斷設備問題，也讓Sick Codes得以繞過系統保護，取得最終的根權限。<a href="https://twitter.com/sickcodes/status/1558870061279875072?s=20&t=MUo4XCouTUDpckMTAAn6-A" target="_blank">Sick Codes亦公布</a>他所開採的機種為John Deere 4240，並揭露設備規格。</p> <p>成功取得根權限之後，Sick Codes即在該拖拉機的觸控螢幕上，以覆蓋原有介面的方式下玩起了《毀滅戰士》。</p> <p>此外，Sick Codes也向《Wired》透露，他最關心的是這些農業設備的安全漏洞是否會影響全球的食物供應問題，同時也希望讓農夫能夠全權控制所購買的設備，得以自行維修。</p> </div></div></div>
2022/8/16 12:53作者陳曉莉https://www.ithome.com.tw/news/152523
維基解密創辦人律師控告CIA監聽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://regmedia.co.uk/2022/08/15/margaret_ratner_kunstler_legal_complaint.pdf" target="_blank">維基解密創辦人Julian Assange的律師及記者友人本周控告</a>美國中情局（CIA）及前中情局長及委外科技公司等人，在2017年到2018年期間，透過竊聽軟體、小型攝影機等科技，監控Assange的通訊及實際活動。</p> <p>原告是兩名記者Charles Glass和 John Goetz，以及Assange的律師Margaret Kunstler及Deborah Hrbek，他們控告CIA、當時局長（後擔任川普國務卿的）Mike Pompeo，及協助CIA的西班牙科技公司Undercover（UC）、該公司當時執行長David Morales Guillen等人於2017年1月到2018年4月，對棲身在英國厄瓜多大使館的Assange的通訊和活動，進行無所不用其極的監控。</p> <p>原告指出，UC本來即是提供Assange於厄瓜多大使館內維安的業者，2017年起在CIA指使下進行Assange的監控行動。其行為包括在大使館內新攝影機內安裝隱藏式麥克風，並在大使館內安裝監聽器，錄下或直播Assange在居所內的活動。</p> <p>此外，由於造訪Assange的人不計其數，訪客會被要求交出護照及所有電子設備包括手機、電腦、攝影機等。原告指出，UC會偷偷拍攝訪客護照包括簽證及戳章等，而且擅自翻找電子產品，包括IMEI或SIM密碼等，還偷偷下載儲存其內的資料，包括記者裝置內的機密的消息來源、以及律師的客戶資料。訪客和Assange之間的對話，也都遭到錄音。所有取得的資料最後都交給了CIA，或是儲存在UC伺服器供CIA存取。而Pompeo在整個過程中不但知情，也是他授權進行。</p> <p>原告指稱，CIA行為違反了原告作為美國人享有的第四修正案保障的、禁止政府無理搜查和扣押人民財產的權利。</p> <p>CIA對此官司拒絕評論。</p> <p>Assange因性侵案遭瑞典及國際警方通緝，但最重要的是維基解密公開了美軍在伊拉克和阿富汗軍事行動中殺害平民的資料遭美國追擊，他於2012年取得厄瓜多政治庇護並躲進該國駐倫敦大使館。2019年4月，厄瓜多取消對其庇護下，<a href="https://www.ithome.com.tw/news/129937" target="_blank">Assange遭英國警方逮捕</a>並關押至今。今年6月<a href="https://www.theregister.com/2022/06/17/assange_extradition_uk/" target="_blank">英國內政大臣同意將Assange引渡到美國受審</a>，Assange目前上訴到英國最高法院。</p> </div></div></div>
2022/8/16 11:36作者林妍溱https://www.ithome.com.tw/news/152521
蘋果員工9月5日要回辦公室了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果執行長Tim Cook與蘋果軟體工程副總裁Craig Federighi近日相繼寄出內部信件予蘋果員工，要求員工從9月5日起要開始回辦公室上班了，每周必須進辦公室3天，固定的上班日為每周二及每周四，另一天則由各團隊彈性制定。</p> <p>因應COVID-19疫情，蘋果從2020年3月起便允許員工在家工作，儘管各大科技業者都發展出在家工作的模式，也達到一定的工作效率，但Cook曾說，有些事情是遠端協作無法複製的，況且他也想念大家一起行動、創造，以及因此而建立的社群意識。</p> <p>總之，相較於Twitter、Reddit與Dropbox等業者都制定了廣泛的遠端工作政策，蘋果還是希望員工能偶爾進辦公室集合。</p> <p>今年4月起，蘋果便要求員工每周至少要進辦公室1天，5月起增加到每周2天，原本同月就要提高到3天，但確診人數再度攀升，延後了該計畫，不過，此一最新的政策應該已成定局。</p> <p>除了員工可以選擇每周2天的遠端工作之外，依據角色的不同還可申請每年4周的遠端工作，<a href="https://www.theverge.com/2022/8/15/23307268/apple-hybrid-working-model-return-to-office-september?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《The Verge》</a>公布了Cook與Federighi的郵件，透露他們對員工團聚的期待。</p> </div></div></div>
2022/8/16 11:50作者陳曉莉https://www.ithome.com.tw/news/152522
Apple要求新版Telegram刪除Telemoji功能才給上架App Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152466">在Telegram創辦人Pavel Durov大動作發文抱怨Apple</a>，審查新版Telegram時間長達兩星期，之間又都沒有任何解釋之後，Apple終於回應了，要求Telegram必須把新版中，他們稱為Telemoji的高品質向量動畫表情符號移除，才能在App Store上架。</p> <p><a href="https://t.me/durov/191">Pavel Durov表示</a>，他無法理解Apple的這個舉動的意義何在，因為Telemoji能夠豐富Apple的生態系。Telemoji是Telegram用來取代標準表情符號的高品質版本，透過增加表情符號的解析度來提升用戶體驗。</p> <p>不過即便少了Telemoji，<a href="https://telegram.org/blog/custom-emoji">Telegram的新版</a>仍然有許多新的表情符號功能，對於訂閱Telegram進階功能的用戶，開始可以上傳自定義動畫表情包，官方也在新功能釋出的同時，額外提供10個初始的動畫表情包，其中包含500個，付費用戶可以用於文字訊息以及媒體附加說明中的動畫表情符號。另外，新的互動式表情符號功能，可以在使用者1對1對話時，透過點按表情符號，同步在雙方的裝置上播放特效。</p> <p>現在Telegram進階用戶也有更多操作，除了能限制可傳送聲音和影片訊息給他們的對象外，也可以向朋友贈送進階訂閱身分。</p> </div></div></div>
2022/8/16 11:54作者李建興https://www.ithome.com.tw/news/152520
程式人的線性代數
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為一名程式人，如果想接觸、結合數學，我在先前<a href="https://www.ithome.com.tw/voice/109597" target="_blank">專欄〈程式人的數學書〉</a>曾經提過一些建議，若這引起了你對數學的興趣，下一步你可能會想知道：對於寫程式來說，實用的數學是？離散數學嗎？</p> <p>雖然離散數學的非連續性運算，是電腦可以表達的運算，不過，離散數學的範圍太廣，包含了邏輯、集合、圖論、狀態機等，有些你可能早就接觸過，只不過沒意識到那是離散數學的範疇罷了。</p> <p><span style="font-size:28px;"><strong>寫程式實用的數學？</strong></span></p> <p>就我個人經驗而言，至今為止接觸過、寫程式時最有用的一門數學是……？線性代數！我知道很多學生時代曾接觸線性代數的人，聽到線性代數會感到驚恐，別擔心，我也一樣。</p> <p>就算是擅長線性代數，出版過《有限維向量空間》（Finite-Dimensional Vector Spaces）的美國數學教授哈爾莫斯，談到自己第一次學習線性代數時，遭遇也是滿悲慘的，對此，「線代啟示錄」作者在<a href="https://bit.ly/3nrulsC" target="_blank">〈如何學好線性代數？〉</a>也描述了哈爾莫斯的這段歷程。</p> <p>回想起大學時代接觸線性代數的經驗，那就像：還沒熟練第一門程式語言是怎麼一回事之前，就要理解物件導向、函數式等抽象的純粹性，這都是不可能的事情。在沒有看過足夠的（爛）程式碼之前，你說你可以理解那些抽象的前因後果？類似地，如果沒看過足夠的運算轉換場合，就要能理解線性代數的定義、定理、證明，怎麼可能？更別說「證明」這件事，基本上並不是程式人的工作。</p> <p>〈如何學好線性代數？〉談到，明白線性代數是指「有一天你在洗澡時豁然開悟，奔出浴室光著身子在馬路上邊跑邊叫」對我來說，在那個「豁然開悟」的時間點之前，我已經寫了不少與線性代數相關的程式碼——具體來說，就是在面對運算轉換問題時，特意練習、思考該如何以向量、矩陣來描述，當這個習慣成為自然，伴隨著實作的經驗，回頭看看線性代數時，才終於有了「原來是這麼一回事」的領悟。</p> <p><span style="font-size:28px;"><strong>向量、矩陣的幾何意義</strong></span></p> <p>我寫過不少的2D/3D繪圖、建模程式，而這類程式的入門，一開始脫不了三角函式等幾何轉換，在我早期的程式實作，是基於逐條的幾何公式，例如座標點(x,y)要位移(tx,ty)，我會以nx=x+tx、ny=y+ty來實現，後來才發現在OpenSCAD這麼寫很蠢，因為，只要寫n_coord=[x,y]+[tx,ty]就可以了，理由是OpenSCAD的[x,y]不只是list，而是個向量。</p> <p>就如同直角座標(x,y)提供x軸、y軸的位移資訊，極座標(r,a)代表長度與度數資訊，向量是用來描述方向與大小，雖然向量不包含位置資訊，不過，常會使用向量(x,y)來表示直角座標(x,y)，這是因為隱含著「從原點開始，以向量(x,y)移動」的意思。如此一來，我們就可以用各種向量運算來解決幾何的問題，例如，有些用三角函式等幾何公式描述上很複雜的問題，透過向量內積、外積等作法，就可以輕鬆地描述。</p> <p>至於矩陣，可以想想一條線性的數學公式。例如nx=a*x+b*y+c*z，就是將x、y當成是輸入，nx當成是輸出。如果是一組數學公式呢？你可以當成是三次輸入，三次輸出：</p> <pre> nx=a*x+b*y+c*z ny=d*x+e*y+f*z nz=g*x+h*y+i*z</pre><p>不過，你也可以把這樣的狀況看成：輸入一個向量[x,y,z]，得到一個向量[nx,ny,nz]，實作其中轉換機制的，就是矩陣，若用二維陣列表示該矩陣的話，就是。</p> <p>這其實是一個有趣的觀點，向量像是程式語言中函式的參數，矩陣像是函式的實作，轉換過程不過就是個函式呼叫，<a href="https://bit.ly/3QV7N0M" target="_blank">〈程式設計大佬眼裡的線性代數〉</a>就是從程式語言的觀點來看線性代數。</p> <p>也就是說，線性代數所談的，就是在描述一組線性方程式時，將變量視為向量，將轉換過程（線性方程式的係數）以矩陣表示，將向量轉換為另一個向量，線性代數就是討論向量之間、矩陣與向量之間關係的一門學問。</p> <p>就幾何來看，因為經常用向量來代表座標，而座標與座標之間的轉換，也就是：向量之間的轉換方式，可以使用矩陣表示。由於幾何可以視覺化，我們如果能夠從幾何觀點來認識向量、矩陣，從而認識線性代數當中的行列式、特徵向量、特徵值等，這些部分就會顯得更加具體，在<a href="https://bit.ly/3A8DKwE" target="_blank">〈如何理解線性代數？〉</a>裡，就闡明了那些高深名詞，各意謂著幾何中的哪些東西。</p> <p><span style="font-size:28px;"><strong>從做中學的程式工具</strong></span></p> <p>若想從做中學，使用可撰寫程式碼、提供向量、矩陣運算方案的繪圖工具，從幾何中認識、熟悉向量、矩陣，自然是最好的方式。例如OpenSCAD裡，向量、矩陣是一級公民，是個不錯的方案，自從體認到向量、矩陣的優異性之後，我花了很多時間改寫dotSCAD程式庫，而基於向量、矩陣的實作不但簡明，效率也上升了不少。</p> <p>對OpenSCAD沒興趣的話，不妨考慮p5.js，因為它入門簡單、提供p5.Vector，也可以透過applyMatrix套用矩陣轉換；若想進一步運用，可以試試Three.js，或者甚至WebGL等基於JavaScript的方案，這必然會接觸不少向量與矩陣變換。</p> <p>方才談到，線性代數探討的課題之一，是向量透過矩陣如何轉換為另一向量。就幾何而言，這可以是二維座標轉換至二維座標，或是二維轉三維、三維轉二維等。這麼一來，你可以說座標變動了，然而以相對的觀點而言，也可說是座標系統變動了。</p> <p>p5.js的translate、rotate等就是這樣的概念，透過這些函式可以改變座標系統，然而，point、circle等繪圖函式並不知道自己的座標系統改變了，它們還是在自己的空間裡繪圖，被指定的x、y資訊會被轉換至畫布的座標系統，也就是在畫布的空間裡繪圖。</p> <p>而這就是向量空間變換的概念，談到這個，若你接觸過資料科學、機器學習，應該就有印象了，其中談到主成分分析（Principal Component Analysis, PCA）、核方法（Kernel method）等維度變化技巧時，其實就是空間變換（降維、升維）的概念。</p> <p>也就是說，就工具而言，接觸NumPy、Pandas時資料科學工具時，有不少機會可從向量、矩陣來思考，因此，當我們使用這些工具時，不要將公式逐條看待，而是可以試著將變數組織為向量，公式的係數實現為矩陣（可參考先前專欄〈陣列程式設計〉），這麼一來，我們若要進一步往機器學習scikit-learn、PyTorch等相關方案前進時，就會是很大的助力。</p> <p><span style="font-size:28px;"><strong>線性系統轉換的抽象化</strong></span></p> <p>在幾何、資料科學甚至是機器學習等領域裡，當我們習慣用向量、矩陣來思考、描述後，此時，就會發現：雖然被轉換的系統不同，然而其中有許多共通的計算與考量，如果將這些共通部分從幾何、資料科學、機器學習裡等實際應用中抽離出來，就是極為純粹（然而抽象）的線性代數了。</p> <p>如果你跟我一樣，學生時代沒明白過線性代數，或許可以透過程式設計，從幾何等實際應用程式的實作，來理解線性代數，等到哪天解的問題夠多了，再回頭看看線代課本，或許就如同看物件導向、函數式等的理論書籍，可以別有一番體會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%9A%E6%80%A7%E4%BB%A3%E6%95%B8">線性代數</a></div><div class="field-item odd"><a href="/tags/%E5%90%91%E9%87%8F">向量</a></div><div class="field-item even"><a href="/tags/%E7%9F%A9%E9%99%A3">矩陣</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/8/16 08:56作者林信良https://www.ithome.com.tw/voice/152502
【資安日報】2022年8月15日，中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月初有人聲稱是中國駭客APT27，企圖對美國參議院議長裴洛西訪臺進行網路攻擊，最近有兩家資安業者也發現了APT27攻擊行動──這些駭客竄改一款中國廠商開發的即時通訊軟體MiMi，主要鎖定macOS的用戶。</p> <p>臺廠瑞昱半導體（Realtek）於3月下旬，針對軟體開發套件eCos SDK修補CVE-2022-27255漏洞，研究人員指出，雖然瑞昱提供了SDK的更新軟體，但受影響的連網設備仍有待製造商進行修補。</p> <p>使用小米手機的用戶要注意了，搭載聯發科晶片的小米手機存在漏洞CVE-2020-14125，攻擊者很可能將其用來洗劫用戶的存款，使得研究人員呼籲用戶要儘速更新韌體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-backdoor-chat-app-with-new-linux-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT27竄改即時通訊軟體MiMi，攻擊Mac電腦，遭鎖定目標集中在臺灣</span></strong></a></h3> <p>資安業者Sekoia、趨勢科技於8月12日，不約而同對遭駭的中國即時通訊軟體MiMi提出警告，駭客主要針對Mac電腦的用戶而來，約從今年5月26日開始，竄改MiMi的2.3.0版軟體，植入後門程式RShell，攻擊者的身分是中國駭客組織APT27（亦稱Iron Tiger、LuckyMouse）。</p> <p>趨勢科技總共找到13個遭鎖定的目標，有10個在臺灣、3個在菲律賓，且疑似有臺灣IT開發公司受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mnews.tw/story/20220812sot12014"><span style="color: rgb(0, 0, 0);">台灣銀行9日和兆豐銀行11日遭到DDoS分散式阻斷式攻擊</span></a></strong></h3> <p>因裴洛西8月初訪臺，中國駭客頻頻對臺灣發動網路攻擊的情況，財政部啟動資安警戒應變小組，動員八大行庫與事業機構，進行為期一週的高度警戒，傳出有銀行遭到攻擊的情況。根據工商時報、鏡新聞等媒體的報導，台灣銀行、兆豐銀行先後傳出於9日和11日遭到DDoS攻擊，兩家銀行都在第一時間向財政部通報，且增加頻寬因應，皆並未因這些攻擊而導致網頁癱瘓。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152492"><span style="color: rgb(0, 0, 0);">健保資料庫侵犯隱私權，憲法法庭判健保法應3年內修法</span></a></strong></h3> <p>個資保護也與資安息息相關，而在國內主要的法規依據是個人資料保護法，但對於公部門如何運用民眾個資，仍有所不足。例如，憲法法庭8月12日判決健保資料庫違憲，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。</p> <p>健保署回應尊重憲法法庭判決，承諾將修法或制定法制，包括健保資料利用法制與當事人健保資料停止利用權（即退出權）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.storm.mg/article/4469272"><span style="color: rgb(0, 0, 0);">中國威脅加劇恐影響臺灣金融，在野黨提出金融漢光演習，並認為金融業應3個月內全面設置資安長</span></a></strong></h3> <p>經濟日報、新新聞的報導，國民黨團於8月12日提出呼籲，針對中國的文攻武嚇加劇，政府應該針對金融業進行「金融漢光演習」，由財經部會及國安部門通力合作，進行相關的兵棋推演，內容應包含網路攻擊，以及股匯市的因應。該黨團彙整18套劇本，並認為金融業應3個月內全面完成資安長設置，行政院也必須落實相關的資安防護業務。</p> <p>對此，<a href="https://money.udn.com/money/story/5613/6532877">金管會表示</a>，他們對金融機構的日常監理工作已涵蓋各項演練及壓力測試，評估不需另外辦理金融漢光演習。而對於上述限期全面設置資安長的看法，金管會沒有表示意見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/acn/202208120290.aspx"><span style="color: rgb(0, 0, 0);">中國上海疫調App「隨申碼」遭駭，4,850萬用戶個資流入地下論壇</span></a></strong></h3> <p>在6月有人在地下論壇Breach Forums兜售10億中國民眾個資後，又有駭客在該論壇求售竊得的資料。根據中國媒體南方都市報的報導，上海市疫情防控的應用程式「隨申碼」疑似遭到入侵，駭客竊得4,850萬用戶個資，並於Breach Forums以4千美元的價格出售。</p> <p>為取信買家，該名駭客提供47組資料，經該媒體打電話確認後，有部分民眾證實資料正確。對此，上海市大數據中心表示，他們只負責研發隨申碼，資料並非由該單位流出；上海市民服務熱線12345工作人員表示無法處理相關事件，並建議個資外洩民眾向公安報案。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/"><span style="color: rgb(0, 0, 0);">全球逾8千臺VNC伺服器未受密碼保護</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-–-Top-5-countries-with-exposed-VNCs.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-%E2%80%93-Top-5-countries-with-exposed-VNCs.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble於8月12日提出警告，全球發現至少有8千個未受密碼保護的VNC伺服器，當中又以中國、瑞典最多，皆超過1,500個，美國835個次之。由於不少伺服器隸屬關鍵基礎設施（CI），如，水處理廠、研究設施等，一旦這些系統遭到入侵、竄改組態，很有可能造成嚴重的危害。</p> <p>研究人員指出，近期出現大規模掃描VNC實例（Instance）的現象，駭客試圖存取這類系統的預設連接埠5900，相關流量主要來自荷蘭、俄羅斯，以及烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly"><span style="color: rgb(0, 0, 0);">安卓惡意程式Sova納入了勒索軟體功能</span></a></strong></h3> <p>資安業者Cleafy發現，駭客近期在安卓木馬Sova第5版裡，新增了檔案加密功能，研究人員表示，雖然第5版仍在開發階段，但7月出現的第4版Sova已可偽裝成200種以上的App，並具備攔截雙因素驗證所需資料，以及竊取Cookie的功能，還能鎖定多種Google服務下手，如Gmail、行動支付GPay，以及密碼管理器等，此外，該惡意程式能阻止使用者將其移除。研究人員提出警告，使用者應防範此木馬程式的相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek eCos SDK存在RCE漏洞，恐波及採用RTL819x晶片的連網設備</span></strong></a></h3> <p>資安業者Faraday Security在8月12日於DEF CON大會上，公布他們找到並向臺廠瑞昱半導體（Realtek）通報的高風險漏洞CVE-2022-27255，此漏洞存在於eCos SDK軟體裡，影響採用RTL819x晶片的連網設備，一旦攻擊者加以利用，可導致SIP ALG模組出現記憶體緩衝區溢位，進而發動RCE攻擊。瑞昱半導體於3月25日發布資安通告，並提供修補程式。</p> <p>研究人員指出，他們至少確認有4個廠牌、13款連網設備受到影響，而且光是在拉丁美洲，就賣出了13萬臺存在漏洞的設備，他們認為此漏洞很可能會被駭客用於大規模攻擊，呼籲相關設備製造商應儘速修補。</p> <h3><a href="https://research.checkpoint.com/2022/researching-xiaomis-tee/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搭載聯發科晶片的小米手機存在支付系統漏洞，攻擊者有可能用來洗劫手機用戶的銀行帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png" style="width: 300px; float: right;" /></a>資安業者Check Point指出，搭載聯發科晶片的小米手機可能存在CVE-2020-14125漏洞，此漏洞與該廠牌手機使用的Kinibi受信任執行環境（TEE）有關，一旦攻擊者加以利用，就有可能讓手機的行動支付功能無法使用，或是將受害者的存款轉給自己。</p> <p>小米於今年6月完成修復，研究人員呼籲使用者要儘速安裝新版韌體。</p> <h3><a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoom修補macOS版用戶端軟體更新元件弱點，攻擊者有機會取得root權限</span></strong></a></h3> <p>研究人員Patrick Wardle於8月12日，於DEF CON大會公布Zoom兩個macOS版用戶端軟體漏洞CVE-2022-28756、CVE-2022-28751，CVSS風險評分皆達到8.8分。上述漏洞都與握有Super User權限的自動更新元件有關，一旦加以串連利用，就有可能取得root的執行權限，部署、更動、刪除Mac電腦的任何檔案。Zoom於8月13日發布5.11.5版予以修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-blocks-uefi-bootloaders-enabling-windows-secure-boot-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現UEFI韌體簽章漏洞，23家廠商可能受到影響</span></strong></a></h3> <p>資安業者Eclypsium公布他們發現的UEFI漏洞CVE-2022-34301、CVE-2022-34302、CVE-2022-34303，並指出很可能波及近10年推出的x86電腦與Arm電腦，一旦上述漏洞遭到利用，攻擊者很有可能藉此破壞開機過程的完整性，進而竄改作業系統配置，或是部署後門程式等行為。</p> <p>CERT/CC指出，可能有23家廠商的電腦或軟體會受到影響，但目前只有3家廠商發布相關公告，其中，微軟發布KB5012170安全更新，Phoenix Technologies、紅帽則表示旗下產品不受影響。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html"><span style="color: rgb(0, 0, 0);">Google加碼Linux核心懸賞計畫kCTF的獎勵</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/twilio-125-customers-affected-by-data-breach-no-passwords-stolen/"><span style="color: rgb(0, 0, 0);">雲端通訊平臺業者Twilio表示125名用戶受到攻擊事件影響，尚未發現密碼外洩情事</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-223a"><span style="color: rgb(0, 0, 0);">美國CISA對勒索軟體Zeppelin攻擊行動提出警告</span></a></span></strong></p> <p><a href="https://tw.stock.yahoo.com/news/%E9%99%B8%E9%AB%98%E9%90%B5%E5%8F%B2%E4%B8%8A%E6%9C%80%E5%A4%A7%E7%AF%84%E5%9C%8D%E8%AA%A4%E9%BB%9E-%E7%B6%B2%E6%B0%91%E8%B3%AA%E7%96%91%E9%A7%AD%E5%AE%A2%E5%85%A5%E4%BE%B5-121123608.html"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國高鐵大範圍誤點，疑資料外洩讓駭客有機可趁，而能夠入侵相關系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></strong></p> </div></div></div>
2022/8/15 17:41作者周峻佑https://www.ithome.com.tw/news/152514
Android金融木馬Sova即將新增勒索軟體功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly" target="_blank">資安業者Cleafy上周披露</a>，Android金融木馬Sova不斷地進化，他們已在尚未發表的Sova v5中發現了嵌入勒索軟體功能的設計。</p> <p>Sova出現在2021年的9月，問世迄今尚未滿一年，但Sova作者在發布該金融木馬時，就規畫了它可能具備的12種功能，在今年7月以前的版本即具備攔截雙因素認證、竊取Cookie或注入其它程式碼等能力。</p> <p>第一個Sova版本僅鎖定不到90個品牌，但7月釋出的Sova v4不僅可偽裝成超過200種行動程式，涵蓋金融程式與加密貨幣交易中心/錢包，而且具備多項新功能。例如從Sova v4開始，駭客即可獲得受害裝置的螢幕截圖，以取得更多資訊；此外，它納入了更廣泛的Google服務作為攻擊對象，包括Gmail、GPay，甚至是Google Password Manager；並嵌入保護模組，以避免它遭到使用者移除；另有一個專為幣安交易中心與幣安官方錢包Trust Wallet所設計的專用模組。</p> <p>當Cleafy在檢查Sova v4的文件時，意外發現了屬於Sova v5的多個範例，而它嵌入了勒索軟體模組，意謂著該金融木馬程式未來將企圖加密Android裝置上的檔案並向使用者勒索。</p> <p>Cleafy認為，這是一個非常有趣的功能，因為勒索軟體功能在Android金融木馬程式領域並不常見，而這很可能是因為近年來行動裝置已經成為人們存放重要個人資料與企業資料的重心，儘管Sova v5還在開發中，但應嚴陣以待。</p> </div></div></div>
2022/8/15 15:33作者陳曉莉https://www.ithome.com.tw/news/152513
揭穿AI榮景的真面目
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-aiwu_suo_bu_zai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">高寶</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從一些科幻作品首先創造出家用個人機器人以來，這個未來就引起了我們的集體想像，期望著一台可以打掃房間和洗衣服，還能像一位不會疲倦的管家般隨時準備提供服務的機器問世。這樣的機器前景又是如何呢？目前而言，我們先把大多數人都熟悉的例子，包括《傑森一家》（The Jetsons）的機器女傭蘿西（Rosie the Robot）與《星際大戰》（Star Wars）中C-3PO拋開不談，然後想一下某種比較不那麼有野心的景象：一個功能性的機器人，具有實用的功能，雖然功能蠻有限的，但是能夠整理房間、執行多種基本家庭清潔任務，然後，甚至有可能依據我們的指令而從冰箱拿啤酒給我們。我們多快可以看到價格合理，我們認為非常實用，甚至沒它不行，以致廣大注重性價比的消費者願意買單的個人機器人呢？</p> <p><span style="font-size:28px;"><strong>你所下單的家用機器人將延遲交貨</strong></span></p> <p>非常遺憾，現實是，這樣的機器人可能存在於很遠的未來。事實上，個人機器人的問題在於它們根本沒辦法做很多事。對於一台真正有用的機器人的最低要求，包括在像家這樣不可預測的環境運作所需的視覺感知、移動能力與靈巧性，是機器人科學中最艱鉅的挑戰之一。到目前為止，試圖將消費機器人推向市場的公司，甚至還沒有真正開始克服這些挑戰。反之，他們所生產的機器能力非常有限，而大多數人對這樣的價值主張（value proposition）都是存疑的。</p> <p>這些挑戰的代表性例子是「Jibo」，這是被宣傳為第一個「社交機器人」的機器，由美國麻省理工學院的辛西亞．布雷齊爾（Cynthia Breazeal）所開發，她是世界頂尖的機器人專家。2017年秋季推出的Jibo能夠在社交與情感層面上與人互動，是一款高約12英吋的桌上型塑膠機器人。Jibo沒有手臂、腿或輪子，但是它確實具備能夠傾斜與轉頭的能力，在與主人交流時至少可以營造出一種類似人類連結的錯覺。這款機器人可以參與基本的對話，並做一些圍繞著資訊檢索為中心的事情，它可以在網路上查找東西、取得天氣和交通報告、播放音樂等等。也就是說，Jibo提供了一系列與亞馬遜搭載了Alexa的Echo智慧喇叭大致相似的功能。當然，Echo無法移動，但是Echo的背後是亞馬遜龐大的雲端運算設施與規模更大的高薪人工智慧開發團隊，Echo的資訊檢索和自然語言功能可能更強大（而且肯定會隨著時間而越來越強大）。Jibo最大的問題在於其900美元左右的定價。事實證明，雖然這款機器人可以模仿人類的頭部姿勢，而且隨著它所播放的音樂起舞的能力很討人喜歡，但對於大多數的消費者而言，這樣的能力根本不值得多花那大約800美元（Echo智慧喇叭的價格約為56.98∼79.98美元）。製造Jibo的新創公司在燒了7,000萬的創投資金後，於2018年11月倒閉。</p> <p>據報導，亞馬遜正在開發自己的家用機器人「Vesta」。這款機器人被形容是「有輪子的Echo」，能夠在家中來去並依照命令移動。儘管如此，我還沒有看到任何報告是有關亞馬遜計畫為機器人加上手臂或是這款機器人將具備用身體操作環境的能力。在缺乏這些功能的情況下，其價值主張將同樣地受到大家的質疑。由於最便宜版本的Echo價格為50美元左右，為什麼要花高價買會移動（速度可能很慢）的Echo，而不是簡單在家裡四處放上便宜的Echo？這些都是一直困擾著機器人產業的問題，就算是亞馬遜，其是否能在短期內成功推出商業性的家品，目前仍然不太明朗。</p> <p><span style="font-size:28px;"><strong>自動駕駛汽車與卡車：比預期更漫長的等待</strong></span></p> <p>特斯拉執行長伊隆．馬斯克承諾在2020年底，會有100萬輛機器人計程車上路營運只是自動駕駛汽車過度繁榮的例子。也許是因為汽車在我們的生活方式中占據了中心的位置，特別是在美國，沒有任何人工智慧的應用像是自動駕駛汽車那樣，受到如此大的關注與誇張的熱情歡迎。這個產業隨著2004年與2005年美國的國防高等研究計畫署大挑戰（DARPA Grand Challenge）而興起，並在技術上取得了驚人的進步，卻也經常未能達到過度誇大的預期目標。在2015年時，業內最知識淵博的人都普遍預測，全自動駕駛汽車將在五年內上路。克里斯．厄姆森（Chris Urmson）是這個領域的先驅，他曾擔任從Google獨立出來的自動駕駛汽車公司Waymo的科技長，現在是自動駕駛新創公司Aurora的執行長與創辦人，他曾提出著名的預測，說他當時11歲的兒子，在16歲的時候可能不需要去考駕照。此外，包括豐田與日產在內的主要汽車製造商，也都承諾會在2020年推出自動駕駛汽車。厄姆森對此充滿信心，並在2019年表示，他預計至少有「數百輛」全自動駕駛汽車會在五年內在公共道路上使用，且可能有1萬輛以上這類的汽車在十年內投入使用。我個人的觀點是，這些預測可能都是過於樂觀的。我會說，真正的自動駕駛汽車具有高度風險，因此在未來的許多年內，將會維持「即將在五年內實現」。</p> <p>現實狀況是，自動駕駛汽車在高速公路和更多市區環境中的日常操作（或者說，在工作或多或少能如預期般運作的情況）在很大程度上已經得到了解決。如果公共道路的整體可預測程度和亞馬遜的倉庫內部一樣，自動駕駛汽車可能已經被廣泛使用了。問題就在於所謂的「極端狀況」，也就是幾乎無窮無盡的異常互動與狀況，讓自動駕駛汽車難以正確預測，或是不可能準確預測，甚至在許多情況下，難以正確解讀。大多數自動駕駛汽車的駕駛路線經過的街道，都需要有對街道高度精準的進階地圖繪製。因此，意外的道路關閉、施工或交通事故都可能造成問題。惡劣的天氣，尤其是大雨或大雪，也會是主要的障礙。但最大的挑戰，將是與一個由無法預測的行人、騎自行車的人與駕駛所組成的生態系統安全地互動。在像是舊金山這樣的城市，遇到分心或喝醉的行人的情況並不少見。即使是那些有警覺的人，也經常有難以被理解的行為，有時候是在特定的情況下或在特定的街區試探性地離開人行道，而在其他情況下則會有更激進的行為等。在人口密集的地區，駕駛和行人間的大部分協調有賴於社會互動，而這對於自動駕駛汽車來說是非常難以理解或複製的。透過眼神示意、揮手、跨出大步後停在中間等駕駛確認，以及許多其他微小的行為所交織而成的一種不用說話的語言，是每個共享道路的人都能理解的。我認為，透過談判協商的這類互動很可能已經超出當今深度學習系統的能力。換句話說，真正能夠自動駕駛的汽車可能需要的是在往通用機器智慧前進的這條路上所開發的科技，而這可能需要漫長的等待。</p> <p>許多分析師認為，鑑於自動駕駛汽車在都會環境中所碰的種種困難，第一批出現在路上真正可行的無人駕駛車輛，將會是長途貨車。畢竟，在高速公路上駕駛這個問題，在很大程度上已被像是特斯拉的自動駕駛等系統解決了。雖然在高速公路上發生不可預測事件的可能性低於繁忙的城市十字路口，但是因為其中的速度與牽涉的車輛，是一輛滿載貨物、以龐大動能行駛的卡車，發生錯誤的後果會更嚴重。而且，雖然伊隆．馬斯克對此有著滿腔熱情，特斯拉的自動駕駛系統絕不會在沒有一個專注的駕駛員在車上的情況下上路。由於這些原因，我認為我們還需要很長的時間才能在公共高速公路上看到真正的無人駕駛卡車。<span style="color:#696969;"><strong>（摘錄整理自《AI無所不在的未來》第三章，高寶提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%981.jpg" style="width: 253px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_高寶</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">AI無所不在的未來：當人工智慧成為電力般的存在，人類如何控管風險、發展應用與保住工作？</span></strong></p> <p>馬丁．福特（Martin Ford）／著；曾琳之／譯</p> <p>高寶出版</p> <p>定價：490元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_AI%E7%84%A1%E6%89%80%E4%B8%8D%E5%9C%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Martin%20Ford.jpeg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Martin Ford</span></p> <p><strong>馬丁．福特（Martin Ford）</strong></p> <p>他是傑出的未來學家、《紐約時報》暢銷書作者，以及人工智慧與機器人技術及其對就業市場、經濟和社會的潛在影響方面的領先專家。擁有密歇根大學安娜堡分校的電機工程學位和加州大學洛杉磯分校安德森管理學院的商業研究生學位。</p> <p>他也是矽谷一家軟體開發公司的創辦人，在電腦設計和軟體開發領域擁有逾25年經驗。他針對人工智慧對社會影響所做的TED演講已被觀看超過300萬次。</p> </div></div></div>
2022/8/15 15:57未署名https://www.ithome.com.tw/article/152496
人人必備的資料識讀力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-zi_liao_gu_shi_shi_dai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大牌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>古希臘哲學家赫拉克利特（Heraclitus）認為，變化是宇宙的根本。據傳他說過：「變化是人生中唯一不變的東西。」我們活在不斷演變的世界裡，這個世界比我們願意承認的還要隨機、吵雜、不可預測。對個人與組織來說，善於適應不斷變化的環境很重要。誠如奇異（GE）前執行長傑克．威爾許（Jack Welch）所言：「在不得不改變之前就要改變。」與其停滯不前或將就現況，我們通常會想辦法改善自己及周遭的世界。</p> <p>從古至今，人類的創新都是源自於想要追求更好的狀態，像是更快、更便宜、更安全、更有效率、更多產等等。比方說，印刷、電話、汽車、電腦、網路等突破性的創新，都帶來了重大的變化。這些科學突破需要打破既有的信念、技能、體系以取代它們。改變是進步無可避免的副產品。想要進步與改善，你就必須追求新的見解，落實新的概念，那免不了會帶來改變。</p> <p>然而，不是所有的改變都有強大的破壞性。二戰後的日本製造商發展出「改善」理念（kaizen philosophy），鼓勵員工在整個工廠中不斷地導入漸進式的小改進。最終，這些小改進積少成多，幫豐田、Sony等日本企業，在產品品質與製造效率上，獲得很大的競爭優勢。如今，多數創新的新創企業、甚至大公司，也採用類似的「精實方法」（lean methodology），透過漸進式的實驗與敏捷開發來持續精進。</p> <p>「改善」與「精實」方法的根本都是資料。沒有資料的話，使用這些方法的公司根本不知道要改進什麼，或不知道漸進式改變究竟有沒有效果。資料為推動正向的改變，提供必要的透明度與明確性。然而，不是只有在商業界，確立基線、基準、目標才重要，而是從個人發展到社會理念，各領域都適用。正確的見解可以帶來勇氣與信心，幫忙打造新方向，讓你不再只是有勇無謀地豁出去，而是放膽展開明智的探險。</p> <p><span style="font-size:28px;"><strong>人人都能成為資料分析師</strong></span></p> <p>過去50年的大部分時間，在多數商業組織中，資料主要是交給兩個擁有特權的群體：需要資料以管理事業的高階主管；為管理高層收集、分析、報告數據的資料專業人士（例如商業分析師、統計學家、經濟學家或會計師等等）。其他人接觸資料的機會相當有限，或是間接接觸，或只是偶爾接觸。</p> <p>在當今這個數位時代，資料變得更普遍，更多人可以接觸到事實與資料。每年的資料量預期將成長61％，到2025年將達到175ZB（1ZB=1兆GB）（Patrizio 2018）。這種爆炸性的成長大多歸因於這個世界的連結日益密集，以及機器創造額外的資料，而不只是人類或商業實體創造資料而已。</p> <p>資料迅速變成關鍵的策略資產，在多數組織中，資料已經從「可有可無」變成不可或缺。例如，對亞馬遜、Google、Facebook、Netflix等科技巨擘來說，資料早已是締造商業成就所不可或缺的根基。無論是從資料如何推動營運，還是從資料提供的巨大策略價值來看，都是如此。從亞馬遜與Netflix利用資料所啟動的推薦引擎，到Google與Facebook那些資料豐富的廣告網路，那些精通資料的公司利用資料與技術，取得強大的競爭優勢。不過，精通資料不再是業界領導者的專利，創新公司不分規模大小都能因此受惠。比方說，我認識一家俄勒岡州的小型建商，它可以從審核過程中獲得絕佳的資料透明度。相較於那些採用低效率紙本流程的在地競爭對手，那家公司享有明顯的優勢。</p> <p>在現今這個步調明快、瞬息萬變的商業環境中，只讓一小群高階主管及資料專業人士取得資訊已經不合理了。前瞻性的組織希望以資料來增強更多員工的能力，讓他們做更明智的決策，更快因應商機與挑戰。為了讓資料普及並培育資料導向的文化，公司依賴各種分析技術，從隨處可見的試算表，到進階的資料發現工具，應有盡有。</p> <p>即使你的職稱沒有「資料」或「分析師」等字眼，你的工作也可能沉浸在數字中，而且需要運用資料。如今，資料是每個人的責任。事實上，缺乏背景知識或脈絡是任何分析師的致命傷。另一方面，多數參與日常業務的人，則擁有豐富的背景知識或脈絡。舉例來說，精明的分析師可能忽視資料中的某個東西，但資深的事業參與者可以憑藉多年的專業經驗，輕易抓到重點。資料不在乎你是誰，也不在意你的分析技巧高低。只要你夠勤奮好奇，就可以從資料中發現洞見。資料取得變得更容易以後，各種背景的人都可能從資料中發現寶貴的見解，那不再是技術人員的專利。</p> <p>在工作之外，你可能沒注意到自己在「閒暇時」做了多少分析，因為資料日益融入日常生活的各方面。例如，你規劃度假或上網評估不同產品時，可能是根據一些資料做決定，像是陌生人的推薦與評價。事實上，89％的消費者表示，線上評價會影響他們的購物決定（PowerReviews 2018）。如果你是狂熱的球迷，整個球季你都會經常關注愛隊的戰績（或缺乏戰績）。此外，你可能是美加近6,000萬名「夢幻賽」（fantasy game）遊戲的熱情粉絲之一，而夢幻賽完全是靠資料啟動的。</p> <p>以我的居家生活來說，我太太從來沒想過她會接觸到分析與資料的世界。後來，她開始跑馬拉松及參加鐵人三項後，生活突然充滿了資料分析。現在，她持續以可靠的Garmin GPS手錶來分析自己的健康狀況與訓練績效。透過努力、決心與資料，她達成了健身的目標，包括完成鐵人三項比賽及著名的波士頓馬拉松賽。無論是追求個人健身、還是商業目標，最近數位資料的激增，以及資料日益增加的實用性與重要性，促使每個人都變得更精通資料。</p> <p><span style="font-size:28px;"><strong>資料經濟中的必備技能</strong></span></p> <p>儘管如今有更多人接觸資料，這不表示每個人都做好了解讀資料的準備，能夠有效地運用資料。隨著我們越來越需要資料的指引以及從資料中獲得見解，資料識讀力的提升變得更加迫切。如果識讀力是指讀寫能力，那麼資料識讀力就是了解及傳達資料的能力。</p> <p>現今的資料工具很先進，可以提供無與倫比的見解，但它們依然需要能夠解讀資料的操作人員。畢竟，一座收藏全球最優秀文學作品的圖書館，對不識字的人來說毫無價值。同樣的，豐富的資料庫對不知道怎麼運用資料的人來說，也毫無意義。</p> <p>幸好，了解英文不需要高深的英文學位。同理，資料識讀力也不必先有進階的統計知識，以及Python或R之類的程式技能。不過，你需要基本的算數技巧。例如，能夠了解、處理、解讀標準的資料圖表。我假設你已經具備了發現見解的必要算數技巧。無論是透過良好的教育、工作經驗、課外活動，還是靠天生的好奇心，你已經培養了這個技能。現在，你正在尋求改善資料識讀力的另一半能力，也就是能夠有效傳達或分享資料。</p> <p>誠如Google首席經濟學家威里安所述，發現有價值的見解，並有效地分享見解，是「未來數十年非常重要的技能」（McKinsey & Company 2009）。換言之，要從資料中創造價值，大多是靠這些重要的技能。如果你無法解讀那些數字的意義，資料的潛在價值永遠無法發揮出來。假如你能找到有價值的見解，但無法有效地交流，它恐怕還是無法發揮潛在的價值。發明家愛迪生曾說：「創意的價值在於如何運用它。」如果你的驚人發現令人困惑，或沒有吸引力，大家不會有動力採取任何行動。然而，越多人能夠藉由分享見解來推動行動，我們就會看到資料促成更多的正面改變與價值。沒有付諸實踐，見解就只是空洞的數字罷了。<span style="color:#696969;"><strong>（摘錄整理自《資料故事時代》第一章，大牌出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%982(2).jpg" style="width: 250px;" /></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">資料故事時代：大數據時代的未來，將由資料「說書人」定義！</span></strong></p> <p>布倫特．戴克斯（Brent Dykes）／著；洪慧芳／譯</p> <p>大牌出版</p> <p>定價：580元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%B3%87%E6%96%99%E6%95%85%E4%BA%8B%E6%99%82%E4%BB%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Brent%20Dykes.jpg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Brent Dykes</span></p> <p><strong>布倫特．戴克斯（Brent Dykes）</strong></p> <p>布倫特．戴克斯為資料敘事顧問公司AnalyticsHero, LLC創辦人，曾為微軟、Sony、Nike、亞馬遜等世界知名品牌提供諮詢服務。過去，身為Omniture、Adobe、Domo等公司的分析師、經理、技術推廣大使，戴克斯親眼目睹了有效傳達資料的挑戰。</p> <p>在創立超人氣的PowerPoint部落格（Powerpointninja.com）並發表上百篇文章後，戴克斯把注意力轉向資料相關議題。他定期為《富比士》撰稿，發表了三十多篇談多元資料主題的文章。2016年，他榮獲數位分析協會（Digital Analytics Association）所頒發的「最具影響力產業貢獻獎」。</p> </div></div></div>
2022/8/15 16:08未署名https://www.ithome.com.tw/article/152500
全球有逾8,000臺沒有密碼保護的VNC曝露於網路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/" target="_blank">資安監控業者Cyble上周警告</a>，縱使於公開網路曝露虛擬網路運算（Virtual Network Computing，VNC）的風險多數人都知道，但全球網路上仍有8,000個關閉身分認證機制的VNC實例。</p> <p>VNC為一圖像化的桌面分享系統，可以透過遠端框架緩衝器（Remote Frame Buffer，RFB）從遠端控制另一臺機器，它能在把鍵盤及滑鼠輸入透過網路傳送到另一臺機器時，傳遞畫面的變更。</p> <p>Cyble之所以特別提出警告，是因為他們在最近發現VNC已成為駭客鎖定及掃描的對象，在曝露於公開網路上的VNC實例中，中國與瑞典都占了超過1,500個，美國則有超過800個，西班牙與巴西也都超過500個，而且這些缺乏密碼保護的，不乏隸屬於重大基礎設施的VNC實例，像是水處理廠、製造工廠或研究中心等。</p> <p>駭客大多針對VNC的預設傳輸埠5900展開攻擊，主要的攻擊來源為荷蘭、俄羅斯與烏克蘭，攻擊的對象可能是連結VNC的人機介面系統、資料採集與監控系統（Supervisory Control And Data Acquisition，SCADA）（下圖）及工作站等。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/08/Figure-11-%E2%80%93-Exposed-SCADA-System-connected-via-VNC-.png?w=993&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>其中有一家曝露VNC的石油與天然氣業者，允許駭客變更其儀表板上的各種設定，涵蓋溫度、流量或壓力等，並可因此向設備施壓而造成實際的損害。相關的攻擊還能造成營運中斷或是存取各種機密設定資訊，或是造成勒索軟體攻擊。</p> </div></div></div>
2022/8/15 14:38作者陳曉莉https://www.ithome.com.tw/news/152510
Google新一波kCTF計畫，懸賞能擊敗漏洞緩解工具的白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html" target="_blank">Google上周宣布</a>最新kCTF計畫，提供Linux漏洞的緩解工具，另一方面也透過抓漏獎勵計畫，大幅提高突破這些緩解工具的研究人員獎金。</p> <p>2020年Google首次推出kCTF（Kubernetes-based Capture-the-Flag）專案。其下漏洞獎勵方案讓研究人員連到Google GKE上尋找漏洞。研究人員找到漏洞後標示出來，經認可後能獲得獎金。</p> <p>而在今年，Google推出最新kCTF計畫。首先，<a href="https://www.ithome.com.tw/news/147633" target="_blank">今年初Google加碼</a>kCTF獎勵Linux抓漏的承諾仍然會持續進行，找到Linux核心漏洞的研究人員可獲得20,000到91,337美元不等的獎金。而在此之外，Google上周又宣布Linux核心的新獎勵措施。</p> <p>Google根據去年kCTF發現到的安全漏洞及開採程式，發展出實驗性緩解工具，Google相信能讓Linux核心更難被駭。<a href="https://google.github.io/kctf/vrp.html#new-mitigations" target="_blank">Google將公開</a>這些正在測試中的工具，並提供懸賞獎金。凡是能找到最新Linux核心的漏洞，研究人員會額外支付2.1萬美元，而如果能在安裝最新緩解工具的特製Linux核心找到新的漏洞，研究人員還可再獲得2.1萬美元（前提是能突破Google的緩解工具）。這麼一來，最高獎金最高可以來到133,337美元。</p> <p>Google希望可以藉此評估其緩解工具究竟能耐如何。目前<a href="https://github.com/thejh/linux/blob/slub-virtual/MITIGATION_README" target="_blank">Google發展出的緩解工具</a>是為了解決slab界外寫入（out-of-bounds write）、跨快取（Cross Cache）攻擊、Freelist毁損、Elastic物件的攻擊。他們希望長期下來，可以製作出盡可能提高Linux核心漏洞攻擊難度的緩解工具。</p> </div></div></div>
2022/8/15 13:12作者林妍溱https://www.ithome.com.tw/news/152507
RealTek晶片爆零點擊RCE漏洞，影響20款設備品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank">瑞昱半導體（RealTek）推出的晶片一項軟體元件被發現有安全漏洞</a>，可讓駭客在使用其軟體的路由器上遠端執行程式碼，至少有20多項品牌受到影響。</p> <p>這項漏洞是由安全廠商Faraday研究人員Octavio Gianatiempo發現並通報，<a href="https://forum.defcon.org/node/241835" target="_blank">同時在安全大會Def Con公布</a>。編號CVE-2022-27255漏洞位於瑞昱提供給其他路由器、AP或放大器廠商的系統單晶片（SOC）的eCOS SDK上，可造成網路設備的SIP ALG模組發生緩衝溢位情形。</p> <p>SIP ALG是使網路封包由公有網路進入私有網路的NAT穿透技術。在此過程中路由器的SIP ALG模組會呼叫strcpy函式將SIP封包內容複製到預先定義的固定緩衝。最新漏洞主因出在廠商對這網路功能安全實作不當，使網路設備的緩衝對複製內容的長度檢查不足。駭客可以改造SIP封包內的SDP資料引數或SIP標頭，利用WAN介面傳送到路由器開採漏洞。成功的開採可造成緩衝溢位，引發裝置崩潰或遠端程式碼執行。</p> <p>本漏洞屬於高風險，影響2個版本RTL819x SoC系列產品的SDK，包括rtl819x-eCos-v0.x Series和rtl819x-eCos-v1.x Series。<a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank">瑞昱已在3月釋出修補程式</a>（20220314_ecos_fix_crash_caused_by_vulnerability_of_sip_alg.rar）。</p> <p class="rtecenter"><a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0815-realtek-cve-2022-27255-600-1.png" style="width: 600px;" /></a></p> <p><a href="https://forum.defcon.org/node/241835" target="_blank">根據研究人員Gianatiempo指出</a>，這項漏洞屬於零點擊RCE漏洞，用戶無需互動即會中招。研究團隊也展示，利用低成本裝置，即可自動在其他韌體映像中偵測漏洞的方法。</p> <p><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks" target="_blank">Gianatiempo等人發現</a>，大約有20個廠商的產品使用有問題的SDK，包括Tenda、Nexxt、Intelbras和D-Link，可能還有尚未發現的。所幸他們尚未發現有實際開採的活動跡象。</p> <p>研究人員指出，本漏洞雖然容易偵測，且影響不同廠牌，風險重大，但值得注意的是，大部分路由器未紀錄這項功能，也無法從路由器的網頁介面關閉，是OEM連網裝置隱藏式攻擊表面最好的例子，也突顯IoT裝置供應鏈安全的隱憂。</p> </div></div></div>
2022/8/15 13:48作者林妍溱https://www.ithome.com.tw/news/152508
荷蘭逮捕遭美國制裁的Tornado Cash開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fiod.nl/arrest-of-suspected-developer-of-tornado-cash/" target="_blank">荷蘭財政部旗下的財政資訊暨調查服務（Fiscal Information and Investigation Service，FIOD）上周宣布</a>，已於阿姆斯特丹逮捕了混幣平臺Tornado Cash的29歲開發者，而<a href="https://www.theblock.co/post/163297/arrested-tornado-cash-developer-is-alexey-pertsev-his-wife-confirms" target="_blank">《The Block》</a>則報導該名男子為Alexey Pertsev，並已獲得Pertsev妻子的證實。</p> <p>FIOD說明，Tornado Cash是個加密貨幣的混合服務，可用來遮掩加密貨幣交易的源頭或去向，這類的服務通常不檢查加密貨幣來源，因此使用者的最大目的就是提高匿名性。</p> <p>FIOD的金融先進網路團隊是在今年6月針對Tornado Cash展開調查，懷疑該服務被用來掩飾大規模的犯罪金流，包括由北韓駭客執行的加密貨幣竊盜行動。</p> <p>調查顯示，2019年上線的Tornado Cash迄今所經手的加密貨幣價值超過70億美元，其中至少有10億美元透過混合器執行，並猜測Tornado Cash的開發者透過這些交易獲得了大量的利潤。</p> <p>在Pertsev被逮捕的前幾天，美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）便宣稱Tornado Cash涉及替駭客集團洗錢<a href="https://www.ithome.com.tw/news/152376" target="_blank">而宣布制裁該平臺</a>。</p> <p>FIOD並沒有公布所逮捕的Tornado Cash開發者身分，但當《The Block》猜測是Pertsev時，很快就獲得了Pertsev妻子的證實。</p> <p><a href="https://twitter.com/bantg/status/1558028123224014849" target="_blank">有不少開發者替Pertsev抱屈</a>，認為逮捕平臺的開發者是件很荒謬的事，倘若此事是可行的，那麼所有金融平臺的開發者都要小心了，因為每個平臺都可能被用來洗錢。亦有開發者認為，Tornado Cash的問題並不在洗錢或隱私，而是因為它讓美國無法控制是誰在使用這些平臺，而威脅到該帝國所使用的經濟武器。</p> </div></div></div>
2022/8/15 14:08作者陳曉莉https://www.ithome.com.tw/news/152509
Zoom緊急修補Mac版App可讓駭客取得Root權限的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom於周末釋出更新版Mac版App</a>，解決可讓駭客取得Mac電腦最高執行權限的2項漏洞。</p> <p>這項漏洞為安全專家<a href="https://twitter.com/patrickwardle/status/1558220950558035968" target="_blank">Patrick Wardle上周在安全大會Def Con的演說示範項目</a>。經過<a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle" target="_blank">The Verge</a>報導後，Zoom於周末緊急釋出最新Mac版Zoom 5.11.5版本。</p> <p>編號CVE-2022-28756的漏洞為一本地權限擴張漏洞，出在以Zoom更新程式時對套件驗證不足。在首次安裝時，Zoom 安裝器（installer）會要求用戶輸入密碼，若是自動更新Zoom App版本時，自動更新器（Auto Updater）只會檢查更新套件檔是否符合憑證，通過檢查後就會自動更新，這個Auto Updater具備super user權限，可以在背景執行。但Wardle發現的漏洞在於，只要攻擊者修改新套件檔名就能通過updater的簽章驗證，即使是假的更新套件，也能順利安裝到Mac電腦。</p> <p>Wardle在同一場大會中，還公布另一個相關漏洞，編號CVE-2022-28751。這項漏洞是將經過Auto Updater安裝驗證的套件加以改造，像是注入程式碼。研究人員發現一個方法，騙Zoom重新安裝（已經改造過的）新套件，藉此取得享受Zoom　Auto Updater的super user權限。利用這兩個漏洞，攻擊者即可取得最高權限，即Root執行權限，執行安裝、變更、搬移或刪除Mac電腦上的任何檔案。</p> <p>這兩個漏洞被列為CVSS 8.8，屬重大風險，影響Zoom Client for Meetings for macOS 5.7.3到5.11.5以前版本，包括標準及IT Admin版。下載<a href="https://support.zoom.us/hc/en-us/articles/201361963-Release-notes-for-macOS" target="_blank">Zoom Mac版5.11.5版本</a>可解決問題。</p> </div></div></div>
2022/8/15 12:46作者林妍溱https://www.ithome.com.tw/news/152506
網路守門人必懂新課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是一份臺灣網路業者必懂的新法規草案，預告了網路守門人日後必須擔起的新責任。</p> <p>NCC在6月底終於公布了《數位中介服務法》草案（簡稱中介法），這是臺灣第一份數位中介服務的專法，凡是經手了各種使用者的數位資料、聲音、影像、文字的中間服務業者，就得負起守門人的責任。這就幾乎涵蓋了臺灣網路產業、電信產業，只是要提供連線服務、快速存取服務或是資訊儲存服務的業者，就得負擔起一定程度的義務，來把關所經手處理的資料。</p> <p>哪些服務屬於上述這三大類？雖然NCC沒有名列出一份完整的納管清單，但從法條中的初步定義來看，連線服務像是中華電信光世代、凱擘大寬頻、亞太電信、台灣固網這類電信業者，以及提供人際傳播服務的Line、WhatsApp、WeChat等，而第二類快速存取服務則像是CDN或邊緣雲服務，如Akamai、Cloudflare等，第三類資訊儲存服務則像是單純的雲端儲存服務Google Drive、Dropbox，或是AWS、Azure和GCP等公有雲。</p> <p>中介法草案還進一步細分資訊儲存服務，訂出2小類納管對象，一類是可將用戶資料開放公共存取的線上平臺服務，例如臉書、YouTube、Instagram等社群平臺，或是Dcard、巴哈姆特、ptt等網路論壇，還有如C2C模式的Yahoo!拍賣、蝦皮拍賣等；另一類則是有效用戶數超過人口10分之1的指定線上平臺，將會由主管機關公告。</p> <p>NCC參考了歐盟DSA的做法，來定義數位中介要規範的對象，因此，資訊儲存服務的範疇還不只如此，我們記者向NCC詢問，程式碼或App的資訊中介服務模式是否也要規範，因為如App Store、Google Play等都是DSA規範對象，NCC給了肯定的回覆，這些也都會納管，同理可證，開發者愛用的GitHub或GitLab開發專案代管服務，也都是中介法草案未來的納管對象之一。因為中介法參考的是前一版DSA規範，因此，中介法沒有將搜尋引擎列入。</p> <p>光從規範對象的定義，就可以看到中介法的影響範圍之廣，幾乎涵蓋了常見的消費性或商用網路服務。</p> <p>知道了誰將被管，下一個問題就是，要負起什麼樣的守門人義務？這三大兩小類，各有不同的義務要求，其中人人都得遵循的基本義務像是配合政府依法提供使用者個資（資料調取），或者依據法院或行政處分限制內容（資訊限制或緊急資訊限制），這兩項是政府公權力的手段。另外，只要超過5人規模的業者，每年就得公布透明度報告，以清楚易懂的方式揭露政府資料調取、內容自律、異議處理的執行情況。</p> <p>提供資訊儲存服務的業者，則還需要負起「通知與回應」和「資訊限制告知」的義務，前者是違法內容檢舉機制，後者是對內容遭下架當事人的通知義務。</p> <p>對民眾而言，中介法最大好處就是，要求中介平臺必須提供下架內容的救濟管道，如果民眾對業者下架的決定不服，可以提出異議來申請平反，甚至可以透過外部第三方來申訴，不像過去只能任憑大型業者決定。</p> <p>正是因為這部新法草案幾乎衝擊了整個電信和網路產業，甚至裁罰手段不只罰款，主管機關最重可以祭出斷網處分，這也讓各界用放大鏡來檢視草案，草案中有多項規範不夠明確，要求過度嚴苛，執行難度太高，容易遭濫用的條款，引起了學界或業界不少質疑聲浪。</p> <p>NCC在8月11日第一場公開說明會中也坦言，這份中介法草案仍是草案版本，還有不少需要更明確敘述，或需要參考各界建議之處，例如230萬人的指定平臺納管標準只是參考歐盟做法，可以廣納建議來調整。</p> <p>只要你是經手各類使用者資料的網路服務業者，現在就需要開始仔細研讀，甚至對草案提出修改建議，因為這將成為中介服務業者營運最重要的法遵規範之一。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/152493" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/152493" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1090-feng_mian_p1-open-shu_wei_zhong_jie_fu_wu_fa_cao_an_-wen_bin_-960x420_kao_bei_.jpg?itok=dTLob17T" style="width: 550px;" /></a></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E4%B8%AD%E4%BB%8B%E6%9C%8D%E5%8B%99%E6%B3%95">數位中介服務法</a></div><div class="field-item even"><a href="/tags/%E4%B8%AD%E4%BB%8B%E6%B3%95">中介法</a></div></div></div>
2022/8/15 12:08作者王宏仁https://www.ithome.com.tw/voice/152495
只看結果不問過程的管理有風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些人在管理部門時，會誤學一個說法：「只問結果，不問過程」；理由是尊重個人與個人能力發揮，只用結果的達成來評核。</p> <p>這種說法看似不錯，但是往往得到的潛藏後遺症卻是：</p> <p>一、用錯誤的方法、無效率的方法、或浪費錢的作法，做出結果。</p> <p>二、用不擇手段、作假的方式，做出結果。</p> <p>三、根本做不出好結果。</p> <p>持這個觀念的人會大聲說：「達不到目標、做不好結果，就汰換」。或許在西方確實會立即汰換；但是在東方，又是體諒他很努力、又是說他很資深…總有一堆的理由，而且也没有人可以換。所以做不好也沒人被汰換，反正代價公司去付。而且那些用不擇手段、作假、無效率或浪費錢的作法，雖然潛藏著後遺症，但不是立即會被發覺；直到爆發時，必已造成嚴重後果。當然，這種事發生時，不但當事者被汰換，連主管都自身難保……。</p> <p><span style="font-size:28px;"><strong>只看結果不問過程潛藏的績效風險</strong></span></p> <p>大家要知道，西方的個人主義環境，每個人都是「五日京兆」的心態：亦即在一家企業或一個職位本來就不打算久待，所以也不會投注心力輔導部屬。而且雖知這些做法會有潛藏的問題，只要自己任内不要爆發就好；即使爆發，走人就是了，很習慣！</p> <p>所以，這種說法高舉「尊重個人、發揮才能」的大旗，背後卻是隱藏著便宜行事、偷懶卸責的心態；只顧自己私利，反正出問題的話，代價都由公司去承擔。</p> <p>西方善表達、善舉大旗的作風，有其環境特質：他們能不顧情面的立即汰換，同時因為就業市場成熟各類人員充沛，也容易找到替補的人。</p> <p>但是在東方，社會尚在提升開發，部屬是需要主管予以輔導的！同時，主管也需要了解部屬做事的過程、方法，適時提供經驗供部屬參考。並且主管也藉由了解部屬做事的過程預知結果，必要時預先加強或補救不足處；而不是到結果出來，補救也來不及。當然，這過程不但可提高效率、精簡成本，還可以防止不肖部屬的作假與不擇手段。</p> <p>有些人崇洋，只要西方的就盲目學習，洋洋得意的炫耀，而没去了解背後的價值觀與文化差異，以及是否有配套措施，結果形成四不像。這樣的主管，部門管理是鬆散的，績效是不穩定的，經常會爆發問題；而且部門内培養不出人才，有人才是運氣，所以長期績效增長有限，是上層主管會經常關照的對象。當耐心已盡，就是撤換的時候。</p> <p>有經驗、盡責且有長期經營觀念的主管，自然知道這個道理：對人要「聽其言、觀其行、理其思」。說得很好聽、談得很「大器」的主管，要長期穩健拿出好績效才是硬道理；否則，英雄變狗熊。</p> <p><span style="font-size:28px;"><strong>一個方法，識破部屬報喜不報憂</strong></span></p> <p>月報，是公司很重要的人才培育制度。重點在訓練同仁養成「觀察、思考｣「系統｣、「結構｣「整理、分析｣的習慣，且使同仁長期、持續在演練與培訓這「六大根源能力｣。</p> <p>因此，當我們每次在聽月報時，就可以從月報整體的完整性，了解同仁系統思考、系統化工作的情況(系統能力)；從月報內容的先後順序、整體拆分的架構與論述說明，可以知道他「結構能力｣的火候。另外，也能從他發掘議題(觀察力與思考能力)、收集資料、歸納整理、分析邏輯及推演結論，而知道同仁的「整理、分析能力｣。</p> <p>所以，從月報中就可以了解一位部屬的能力狀況，也可猜測出他背後潛藏的思維與想法。針對不理想的部分，主管就可以加以指點；而好的部分也可以給予正面的讚許，做為在場其他人的參考。</p> <p>當然，主管在聽取月報時，除了關注同仁對圖表、文字、話語的表達與理解外，更要注重其論述是否「一致｣或「前後矛盾｣。有些人習慣性「報喜不報憂｣，對一件事情在不同時間點，會用不同角度、方法來「分拆｣；他不是依最佳角度與方法選擇分析方式，而是依「怎樣可以呈現最漂亮的數字｣來表功，而掩蓋掉不良的部分。</p> <p>理性的分析，必須在考量最佳方法後，維持一貫性與一致性，才能前後比較。像前述所講情況的人，是不想面對事實，習慣掩蓋欺瞞，將月報當做表功、應付的報告。這樣的人，將不會從執行月報的過程得到成長。</p> <p>另外，主管也要觀察，他所報告的內容與「所說的｣、「所做的｣是否一致。有些人很會「做報告｣，但仔細看前看後，會發現有很多矛盾；同時事後也不依循「所報的｣、「所說的｣去做，這就呈顯了「隨便說說｣、「說一套做一套｣的人格特質。假如主管不仔細的察覺並予以指正，就這樣輕忽放過；那他就吃定主管，認為這樣就可以矇騙過關，以後也就持續「混騙｣下去。</p> <p>「月報｣是一個人獨立自主的，將自己的工作、自己的發掘、自己的創意、自己的執行規劃⋯⋯，完整表達呈現出來。他表達了什麼？不表達什麼？為何這樣表達？解析的邏輯與角度是什麼？從這內容及其言行，就可以看出很多資訊，是讀人識人很重要的報告。</p> <p>因此，善用「月報｣來「聽其言、觀其行、理其思｣，是強化了解人、積極輔導人，很重要的制度。</p> <p><span style="font-size:28px;"><strong>「化繁為簡」才有執行力，才有落實度</strong></span></p> <p>制度機制的建立，都是從粗略開始。經由運用執行累積實務經驗，不斷的改善優化，逐漸提升細緻度及增加涵蓋度。這是精益求精、不斷提升制度機制效益的必要做法。</p> <p>但是長久下來，制度機制往往變成一個非常龐大、複雜的系統。設計的人甚至會自傲的認為：這是一個幾近完美的制度機制。</p> <p>然而，組織是一群不同經驗、不同能力層級的人所組成；一個龐雜的系統是很難讓組織的一般人員，易於學習及清楚掌握的，更難奢望融會貫通。所以，要求所有人都能落實執行制度規範，不但緣木求魚，且效率品質反而低落。假如一個公司各方面的制度都已十分龐雜，那更容易陷入全面性的低效率及僵固化。</p> <p>「化繁為簡」，就如同「見山是山，見山不是山，見山又是山」的道理。制度設計，經過長時間累積豐富的實務經驗、細緻的整理規劃、以及充分的融會貫通，我們必然會發覺：哪幾個部分是真正的核心，哪些是疊床架屋；哪些只要確實掌控幾個源頭關鍵點，相關狀況就幾乎不會發生。也有很多情況，發生的機率非常非常低，寧可放棄或禁止，反而能省去大量的人員精力耗損與成本的節省。</p> <p>所以，「化繁為簡」是有方法的。透過去蕪存菁、專注提升，就能從「見山不是山」，跳脫提升到「見山又是山」這個層次；而這個經過「精淬」過的很精實的制度，會更「易學易用」，自然執行度強、落實度高。</p> <p>另外，一個組織必須要注重三個面向，來協助制度的精簡：</p> <p>一、建立優質組織文化。</p> <p>二、注重讀人識人用人。</p> <p>三、善用數位智能工具。</p> <p>因為制度的設計與運用的場域，是息息相關的。場域由人組成，招募時注重人員的素養、品格、價值觀，在場域正向行為規範的薰陶下，形成優質的組織文化，制度就不需要在一些很基本的部分做闡述，也不需要制定過多的「防呆機制」，同時也會減少防弊機制的設計。這些也都是導致制度龐雜的原因。</p> <p>工具，永遠是解決問題最好的幫手。智能工具更是能將複雜的機制自動化，是「化繁為簡」最為有效的工具。</p> <p>制度機制設計者應該時時刻刻關注制度如何「化繁為簡」，注重制度的「塑身」，讓制度清爽，執行與落實就簡易多了。<span style="color:#696969;"><strong>（摘錄整理自《深思考的鍛鍊》）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%983.jpg" /></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_天下雜誌出版</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span><span style="color:#3399ff;"> <strong>深思考的鍛鍊</strong></span></p> <p>杜書伍／著</p> <p>天下雜誌出版</p> <p>定價：400元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%B7%B1%E6%80%9D%E8%80%83%E7%9A%84%E9%8D%9B%E9%8D%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88(1).jpeg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_天下雜誌出版</span></p> <p><strong>杜書伍</strong></p> <p>1974年交通大學計算與控制學系畢業後，即積極投入引進推廣英特爾CPU技術，被推選為影響台灣電子資訊產業發展的十大關鍵人物之一。1988年創辦聯強國際集團，連續十二年為《天下雜誌》評選為「標竿企業」。杜書伍卓越的經營管理能力，獲《哈佛商業評論》評選為「台灣執行長50強」、被基金投資經理人選為「最佳專業經理人」，並榮獲交大傑出校友。2020年榮膺工業技術研究院院士，2021年獲交通大學頒授名譽工學博士學位。</p> </div></div></div>
2022/8/15 12:18未署名https://www.ithome.com.tw/article/152501
Palo Alto防火牆RDoS漏洞已遭駭客企圖開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.paloaltonetworks.com/CVE-2022-0028" target="_blank">Palo Alto Networks上周（8月11日）公布</a>設備作業系統軟體上一個可能被用以發動反射式放大DoS攻擊漏洞，表示會在本周一（8/15）前更新所有受影響產品，因為網路上已經有企圖開採的活動跡象。</p> <p>近日一家服務供應商發現，有駭客試圖在網路上反射與放大TCP阻斷服務（Reflected Amplification Denial-of-Service, RDoS）攻擊，駭客使用了多種防火牆設備，包括Palo Alto的設備，促使該公司進行調查及修補漏洞。</p> <p>這項漏洞編號CVE-2022-0028，是出於設備底層作業系統PAN-OS的URL過濾（URL Filtering）的政策配置不當，造成對網路送入的呼叫訊息量未能有效控管，可讓攻擊者發送惡意呼叫，導致RDoS攻擊。本漏洞風險值8.6。</p> <p>Palo Alto Network強調用戶成為受害者的機會不太高，因為受影響的防火牆設備必須在安全規則中的URL過濾資料設定（profile）中，要有1個以上的封鎖類別，而且來源區（source zone）要面向外部網路。該公司表示這類並非一般常見的URL過濾設定，也不太可能管理員會沒發現。</p> <p>廠商指出，一旦真的發生攻擊，不會影響Palo Alto產品的安全性、完整或可用性，但是駭客會藉此隱藏來源，冒充是由Palo Alto對受害目標發動攻擊。</p> <p>這項漏洞影響PAN-OS 8.1、9.0、9.1、10.0和10.1、10.2以前版本，包括PA系列設備、VM系列（虛擬）或CN系列（容器式）防火牆，以及Cloud NGFW、Prisma Access，但不影響Panorama M系列或Panorama虛擬機器。</p> <p>Palo Alto表示已經著手修補PAN-OS上的漏洞，預計會在周一（8/15）之前釋出所有軟體更新。雲端防火牆服務，包括Cloud NGFA及Prisma Access上的問題則已經解決，用戶無需做任何動作。</p> <p>在此之前，為防範DoS攻擊，廠商也提供了包含URL過濾的2種安全政策設定提供暫時保護。</p> </div></div></div>
2022/8/15 09:14作者林妍溱https://www.ithome.com.tw/news/152497
NFT買家花在汽車NFT的錢超過車子本尊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非同質化代幣（Non-Fungible Token，NFT）吸引眾多投資者及愛好者投入，也推升稀有NFT價格。<a href="https://thenextweb.com/news/crypto-fans-paying-more-for-nft-cars-than-real-ones" target="_blank">The Next Web報導</a>，一些車子的NFT的價格甚至超過真實車款的售價。</p> <p>汽車產業跟上NFT熱潮，名車車廠也推出NFT，以其稀有性增加吸金力，有些則是由獨立藝術家製作。汽車NFT一般當作數位藝術收藏，但也可以用於元宇宙中，以VR頭戴裝置存取，例如NFT可用於識別某個人是否擁有某輛虛擬汽車。</p> <p>透過精細運作切中買家心理，讓汽車NFT奇貨可居。<a href="https://www.vanarama.com/blog/cars/revealed-the-most-expensive-car-related-nfts" target="_blank">汽車租賃業者Vanarama的部落格作者歸納整理發現</a>，一些汽車NFT價格高得令人不可思議，例如<a href="https://opensea.io/assets/matic/0x2953399124f0cbb46d2cbacd8a89cf0599974963/97434623937043090382039959417131219050906835457968616068542215511501296369665" target="_blank">Car Man Logo 2D NTF價格約940萬美元</a>，是英國平均車價（2萬英鎊，約2.5萬美元）的311倍有餘，也可以讓你買到真正的夢幻跑車Aston Martin DB5（690萬美元）。</p> <p>根據調查，Nissan GT-R跑車的3D NFT為230萬美元，是實車（20萬美元）將近10倍。法拉利Ferrari 250 GT SWB Berlinetta 2985低於GT-R NFT（760萬美元）。</p> <p>電影《回到未來》中載著主角時空旅行的DeLorean，它的NFT版（約7.4萬美元）價格超越複刻版實車。真實世界的DeLorean DMC-12 平均售價5萬美元，僅是NFT版（18.3萬美元）的1/3。</p> <p>不僅如此，名車的影片版NFT也身價不斐。<a href="https://twitter.com/SHL0MS/status/1494446592463720448" target="_blank">名為Shloms的藝術家買入2015年的Lamborghini Huracan將之爆破的影片做成的NFT</a>賣得25萬美元，超出本尊售價20萬。</p> <p>想投資NFT，需注意NFT獲利並不如想像中容易。<a href="https://go.chainalysis.com/nft-market-report.html" target="_blank">根據市調公司Chainalysis報告</a>，僅44%的NFT交易有獲利，新創作的NFT更只有29%賺錢。NFT也面臨市場波動劇烈的挑戰；<a href="https://www.ithome.com.tw/news/150419" target="_blank">一家公司去年3月以291萬美元的價格買下了Twitter創辦人Jack Dorsey於2006年發布第一則推文的NFT</a>，今年4月欲出售時，最高出價不到5,000美元。</p> <p>今年春天起全球景氣反轉，數位加密貨幣價格暴跌，分析機構Chainalysis相信加密貨幣市場減速帶動NFT市場下滑；<a href="https://www.ithome.com.tw/news/151772" target="_blank">NFT今年6月的銷售額度</a>僅略高於10億美元，遠低於今年1月創下的126億美元高峰，創下NFT市場最近一年來的新低。</p> <p>NFT另一個問題是，即使你擁有汽車NFT，不代表你具有版權；它的版權還是在原創作者手上，他可以複製、散布與修改該NFT，但你不行。</p> <p>最後，NFT是極不環保的投資。<a href="https://memoakten.medium.com/the-unreasonable-ecological-cost-of-cryptoart-2221d3eb2053" target="_blank">根據一名學者估計</a>，交易1個NFT平均排出二氧化碳48公斤，若你擁有1個NFT（在區塊鏈上公布並兜售），意謂著你排碳211公斤，等於開著汽油車跑將近1,000公里。</p> </div></div></div>
2022/8/14 23:27作者林妍溱https://www.ithome.com.tw/news/152494
【資安週報】2022年8月8日到8月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週思科發布資安事件公告，揭露遭遇網路攻擊的事件，最受各界關注，而臺灣持續遭遇多起且零星的網路攻擊與騷擾事件，亦成國內與國際上的焦點。</p> <p>在漏洞修補方面，本周除了關注微軟、IBM、思科、SAP、Adobe，以及Palo Alto Networks、F5，還有西門子、施耐德等產品安全性公告，加上新處理器漏洞的消息，另外，最近駭客組織鎖定一些漏洞攻擊，需要特別重視，包括關於Windows的DogWalk漏洞、關於Linux、Unix的UnRAR漏洞，VMware本月初修補的兩個漏洞，以及Atlassian Confluence的重大漏洞。</p> <p>在攻擊趨勢上，Twilio與Cloudflare都揭露遭遇SMS簡訊網釣被入侵的經驗，關於網站Open Redirect的漏洞問題，本週亦有兩起揭露。</p> <p>在國際重大資安事故，有兩起事件最受廣泛關注，一是丹麥7-11便利商店遭勒索軟體攻擊，使得門市無法作業營運2天，另一是英國衛生福利部NHS的MSP業者遭勒索軟體攻擊，造成111急救系統無法運作，需要3週以上修復時間。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152490#cisco"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#pelosi"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#microsoft"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a></strong><br /> <strong><a href="https://www.ithome.com.tw/news/152490#7-Eleven-DK"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#Advanced"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7A.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#165"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#zimbra"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#logokit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#OCSF"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" id="cisco" name="cisco"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科坦承遭網路攻擊，公布完整攻擊鏈，駭客集團Yanluowangg聲稱是其所為並竊得2.75 GB資料</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></p> <p>同時身肩資安大廠的思科（Cisco）於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。<a href="https://www.ithome.com.tw/news/152437">Cisco揭露此事件攻擊者使用的MITRE ATT＆CK攻擊技法，而勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為</a>，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><a href="https://www.ithome.com.tw/news/152445" id="pelosi" name="pelosi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段</span></strong></a></h3> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" id="twilio" name="twilio" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></h3> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <h3><strong style="font-size: 22px;"><a href="https://www.deepwatch.com/labs/deepwatch-ati-detects-and-responds-to-never-before-discovered-backdoor-deployed-using-confluence-vulnerability-for-suspected-espionage/"><span style="color: rgb(0, 0, 0);">駭客組織TAC-040鎖定Atlassian Confluence重大漏洞，於受害組織部署後門</span></a></strong></h3> <p>5月底被揭露的Atlassian Confluence零時差漏洞CVE-2022-26134，近期有研究人員公布更多當時駭客利用的細節。資安業者Deepwatch指出，名為TAC-040的駭客組織，在5月底利用上述的漏洞，攻擊研究與技術服務機構7天，駭客在入侵後利用Confluence資料夾裡的處理程序Confluence來執行惡意命令，並枚舉網路環境與AD的資料。</p> <p>研究人員指出，這些駭客很可能也利用SpringShell漏洞，來取得Confluence伺服器的初始存取權限。攻擊者不只濫用受害主機挖取門羅幣，也部署名為Ljl Backdoor的後門程式來竊取機密資料。</p> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/" id="zimbra" name="zimbra"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/" id="zimbra" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/" id="Advanced" name="Advanced"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/" id="7-Eleven-DK" name="7-Eleven-DK"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><a href="https://www.ithome.com.tw/news/152456" id="165" name="165"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">165專線公布第二季高風險賣場，博客來通報件數破2千，誠品連續五季上榜</span></strong></a></h3> <p>網路平臺的個資外洩，以及民眾面對假冒及詐騙的識別能力，持續是社會關注議題。我國刑事警察局165專線在8月7日，公布今年第二季高風險賣場名單，最嚴重的是博客來網路書店（2,725起），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。其中最值得注意的是博客來，與第一季最多的業者529件相比，通報案件數量多達5倍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites" id="snapchat" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities" id="logokit" name="logokit"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/"><span style="color: rgb(0, 0, 0);">駭客攻擊加密貨幣平臺的目標轉向跨鏈橋系統</span></a></strong></h3> <p>為了解決不同區塊鏈互動的需求，近期有不少提供跨鏈協定或跨鏈橋（Cross-chain Bridge）的系統業者出現，但他們的系統也成為駭客攻擊的頭號目標之一。區塊鏈分析業者Chainalysis近日提出警告，今年已發生13起跨鏈攻擊事件，盜走20億美元加密貨幣，規模占所有被竊的加密貨幣69%。此外，這些針對跨鏈橋的攻擊行動中，有10億美元與北韓駭客有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></h3> <p>臺灣在8月初接連發生總統府、國防部、外交部網站遭到攻擊，以及統一超商和臺鐵電子看板被置入恐嚇訊息等資安事故。有自稱是APT27的駭客組織<a href="https://www.youtube.com/watch?v=nReXcIEqNqE">於8月3日在YouTube上傳影片</a>，表明他們為了抗議美國眾議院議長裴洛西訪臺，對臺灣的警政署、交通部公路總局、台電、總統府等單位發動攻擊，並宣稱他們還掌握6萬臺連網設備，若是臺灣政府再度挑釁，該組織會再出手。</p> <p>事隔數日，<a href="https://www.youtube.com/watch?v=mOyUd85LlaM">該組織於7日再度發布影片</a>，聲稱掌握連網設備的數量有20萬臺，並打算公布部分資訊系統的零時差漏洞，以及竊得的政府資料。隨後，該組織於今日凌晨，公布了<a href="https://twitter.com/APT27_Attack/status/1556313216493400064">財金資訊股份有限公司（FISC）</a>、<a href="https://twitter.com/APT27_Attack/status/1556312607186857987">台電核電平臺</a>的部分原始碼。</p> <p>但這個駭客組織，是否就是之前出現在資安新聞的中國駭客組織<a href="https://attack.mitre.org/groups/G0027/">APT27</a>（又名TG-3390、Emissary Panda、Bronze Union）？從該組織的推特帳號在這個月才成立，<a href="https://twitter.com/APT27_Attack/status/1554852989726519297">且自稱不擅長中文，亦不隸屬中國政府</a>，很有可能是不同的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg" style="width: 300px; float: right;" /></a>民視新聞臺在YouTube頻道的網路直播，在8月6日出現遭到竄改的情況，駭客放上了臺灣是中國一部分的恐嚇訊息，並聲稱兩岸統一是「民意」。對此，民視於7日發布聲明，指出駭客入侵了訊源主機，於是影響他們在YouTube播放的內容。該公司於6日晚間8時52分察覺有異，於8時54分移除遭到竄改的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6497474.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6497474.jpg" style="width: 300px; float: right;" /></a>臺灣大學的教務處、研發處網頁於8月7日晚間遭到入侵，學生發現網站的圖片，全部被換上「世界上只有一個中國」的恐嚇訊息，並引起廣泛的討論。對此臺灣大學坦言確有此事，並關閉網頁並予以修復，待完成後才會重新上線。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-target-crypto-experts-with-fake-coinbase-job-offers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus佯稱提供Coinbase職缺發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes研究員Hossein Jazi指出，近期北韓駭客組織Lazarus鎖定金融科技產業，假冒大型加密貨幣交易平臺Coinbase，以徵才的名義寄送釣魚郵件，一旦受害者開啟附件，電腦就會被植入惡意軟體，此惡意軟體會透過架設於GitHub的C2中繼站來接收指令。</p> <p>Lazarus假冒大型企業徵才來發動攻擊已非首例，他們之前曾冒用美國潛艦製造商General Dynamics Electric Boat、太空科技製造商Lockheed Martin的名義發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152301"><span style="color: rgb(0, 0, 0);">英國執政黨決定延後首相選舉，起因是駭客可能會發動攻擊影響結果</span></a></strong></h3> <p>英國在Boris Johnson辭去首相後，Liz Truss和Rishi Sunak正在角逐繼任者，保守黨將於近期投票選出。但根據BBC、衛報的報導，該黨收到了英國國家網路安全中心（NCSC）的警告，可能會有駭客從中竄改選票影響選舉，決定強化投票流程的資安，而延後選票寄送的時間。本次保守黨將採用第一階段投票結果，於9月5日選出下任首相。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/" id="microsoft" name="microsoft"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器重大漏洞</span></a></strong></h3> <p>思科於8月3日發布資安通告，他們近期修補中小企業RV產品線路由器的漏洞CVE-2022-20827、CVE-2022-20841，以及CVE-2022-20842，這些漏洞一旦遭到利用，攻擊者可能得以執行任意程式碼、發動阻斷服務攻擊，CVSS風險評分為8.0至9.8分。由於沒有其他緩解漏洞風險的方法，該公司呼籲用戶應儘速部署新版軟體。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，過半不需身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://slack.com/intl/zh-tw/blog/news/notice-about-slack-password-resets"><span style="color: rgb(0, 0, 0);">協作平臺Slack要求部分用戶重設密碼，起因是系統處理密碼的方式存在弱點</span></a></strong></h3> <p>協作平臺Slack於8月4日發布資安業者，指出他們的系統出現漏洞，有可能會將使用者的加鹽密碼傳送給工作空間的其他成員，估計有0.5%用戶受到影響。這些使用者曾在4月17日至7月17日之間，建立、撤銷共用邀請的連結，而可能曝險，雖然所有用戶端程式都無法直接檢視上述提及的加鹽密碼，但為保險起見，Slack還是重設了這些用戶的密碼。</p> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><strong style="font-size: 22px;"><a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/"><span style="color: rgb(0, 0, 0);">丹麥學生找到Cloudflare尚未正式推出的服務漏洞，獲得6千美元獎金</span></a></strong></h3> <p>雲端服務業者Cloudflare去年推出測試版的Email Routing服務，並邀請少數人員試用。有名丹麥的學生Albert Pedersen，他並未取得試用資格，但試圖通過Cloudflare伺服器的驗證加入試用行列，並發現相關漏洞，於去年12月7日從HackerOne進行通報，Cloudflare於2天後完成修補，並提供3千美元獎金，但近期該公司決定將獎金增加至6千美元。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" id="OCSF" name="OCSF"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS、Splunk等十多家業者發布OCSF開放網路安全概要框架，以標準化不同資安產品資料互通格式</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/article/152319"><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>【iThome 2022 CIO大調查(上)】CIO優先目標今年不一樣，敏捷IT和ESG是新焦點</strong></span></span></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-nhs-suffers-outage-after-cyberattack-on-managed-service-provider/"><span style="color: rgb(0, 0, 0);">英國NHS的緊急通報系統111專線服務中斷，起因是代管服務業者遭網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152295"><span style="color: rgb(0, 0, 0);">為了防堵駭客濫用ISO、LNK檔案，微軟打算在Windows 11加入相關封鎖功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts"><span style="color: rgb(0, 0, 0);">推特坦承日前駭客竊取540萬用戶資料的管道是零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cryptotimes.io/nomad-bridge-announces-10-bounty-for-hackers-to-recover-funds/"><span style="color: rgb(0, 0, 0);">跨鏈橋平臺Nomad祭出近200萬美元獎金緝兇，並表明駭客歸還9成贓款就不追究法律責任</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p> </p> </div></div></div>
2022/8/12 17:54作者羅正漢https://www.ithome.com.tw/news/152490
數位平臺大衝擊！中介法草案出爐
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1090-feng_mian_p1-open-shu_wei_zhong_jie_fu_wu_fa_cao_an_-wen_bin_-960x420_kao_bei_.jpg?itok=dTLob17T" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相隔4年，數位中介服務法草案，以新的姿態捲土重來，重新參考歐盟DSA架構，不只衝擊5大類業者，高達20項法遵義務，也賦予政府更多權力，甚至民眾有了新的救濟管道，但也引起業界的質疑聲浪</p> </div></div></div>
2022/8/12 23:59未署名https://www.ithome.com.tw/article/152493
Google搜尋現在會避免回答「史努比何時暗殺林肯」這類有錯誤前提的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/information-literacy/">Google搜尋更新一系列人工智慧功能</a>，以改進搜尋結果，同時也提供更多資訊素養功能，來協助使用者驗證資訊的正確性。</p> <p>在精選片段功能，Google搜尋更換使用新模型，以預測更好的答案以及出現時機。精選片段是Google搜尋頁面頂端的一個文字框，會針對用戶的搜尋關鍵字，突出顯示結果和來源資訊，以回應使用者所查詢的資訊。而現在Google在這個精選片段功能，採用最新的多任務統一模型（Multitask Unified Model，MUM），現在系統能從不同的高品質來源匯總出共識，提供更好的解答。</p> <p>同時，該人工智慧模型也能夠理解精選片段適用的場景，像是最近使用者只要在Google搜尋「史努比何時暗殺林肯」，Google搜尋便會給出一個林肯遇刺的日期和資訊片段，但Google認為，精選片段並不適合用來回應這類搜尋。在更換模型之後，Google能夠更好地檢測這類型的錯誤前提，減少精選片段觸發40％。</p> <p>除了提供搜尋資訊之外，Google發現，使用者經常使用Google搜尋來驗證，在其他平臺接收到的資訊，因此Google也持續投入資源，建構更多資訊素養功能。現在Google會在應用程式中的關於此結果功能，添加更多的背景資訊，包括來源的傳播範圍，或是公司的線上評論等重要背景資訊，協助使用者判斷資訊的正確性。</p> <p>針對部分突發新聞傳播速度快過事實真相，或是特定主題線上資訊還不夠可靠，也就是出現資料空隙（Data Voids）的情況，現在Google會在主題快速發展時提供內容建議，並向用戶表明稍後有更多可用資訊再來查看為佳。</p> </div></div></div>
2022/8/13 00:06作者李建興https://www.ithome.com.tw/news/152471
臺灣8月初因裴洛西訪臺而遭到網路攻擊的事件總覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日至3日，率領美國眾議院國會訪問團來臺訪問，此行引發中國政府高度不滿，不只進行軍演，相關的網路攻擊更是從訪臺前就不斷出現，且前後持續了長達9天。這些攻擊手法大致可區分為分散式阻斷服務（DDoS）攻擊、內容置換（Deface），以及幾可亂真的假訊息等。</p> <p>而在這段期間風聲鶴唳，也有一些公務機關的系統服務出現異常，而被外界懷疑可能也遭到相關攻擊。這些包含了警務系統、司法院法學資料檢索系統、電子發票入口網站等，但都被證實是系統部分元件故障所致。</p> <p> </p> <h3><strong>【8月1日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.facebook.com/YaitaAkio/posts/pfbid0t2GABjXqmFmzEZ9m8fA3JRiZairn9WAFyz3k1yUV1v6iAVBC6vpWJsnYsKh2yYC1l"><span style="color: rgb(0, 0, 0);">有小粉紅假冒日本產經新聞支長矢板明夫的名義，謊稱美國眾議院議長裴洛西造訪日本的行程中，出現中暑症狀並就醫</span></a></strong></p> <p> </p> <h3><strong>【8月2日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">DDoS攻擊</span></span><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府證實網站遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://www.appledaily.com.tw/politics/20220803/5BFE6F062E9E9AD5DDAC0E6409"><span style="color: rgb(0, 0, 0);">政府入口網站、外交部網站傳出因遭到DDoS攻擊而無法存取，外交部指出網站收到每分鐘多達850萬次請求</span></a></strong></p> <p> </p> <h3><strong>【8月3日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">內容置換</span></span><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span></strong><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9"><span style="color: rgb(0, 0, 0);">國防部8月3日網站遭到DDoS攻擊</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.youtube.com/watch?v=nReXcIEqNqE"><span style="color: rgb(0, 0, 0);">自稱是APT27的駭客組織宣稱將對臺灣發動特別網路攻擊行動</span></a></strong></p> <p> </p> <h3><strong>【8月4日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://money.udn.com/money/story/10511/6511538" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">台電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p> </p> <h3><strong>【8月5日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p> </p> <h3><strong>【8月6日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></p> <p> </p> <h3><strong>【8月7日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span></strong><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></p> <p> </p> <h3><strong>【8月9日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> </div></div></div>
2022/8/12 18:05作者周峻佑https://www.ithome.com.tw/news/152491
憲法法庭判健保資料庫違憲，相關機關須於3年內修法改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憲法法庭今日（8/12）<a href="https://www.youtube.com/">判決健保資料庫違憲</a>，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。健保署後續將以新聞稿回應。</p> <p><strong><span style="font-size:22px;">憲法法庭：健保資料庫欠缺獨立監督機制，以及公務學術目的外的請求停止機制</span></strong></p> <p>憲法法庭審判長許宗力先是引述法源，指出個資法第6條第1項規定，有關病歷、醫療、基因、健康檢查之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限，如公務機關或學術研究機構，基於衛生醫療目的，為統計或學術研究而有必要，且資料經提供者處理後，或經蒐集者依其揭露方式無從識別特定之當事人。</p> <p>而健保資料庫，並不違背法律明確性原則、比例原則，不牴觸憲法第22條，保障人民資訊隱私權之意旨。</p> <p>不過，憲法法庭從個資法和其他法律整體觀察，認為健保資料庫欠缺個資保護的獨立監督機制，對個人資訊隱私保障不足，有違憲之餘。相關機關應於判決宣布3年內，制定或修正相關法律、建立相關法制，來補足憲法第22條對人民資訊隱私權的保障。</p> <p>再來，在個人健保資料處理方面，憲法法庭點出，全民健康保險法第79條、第80條及其他相關法律中，並未明確規定以下事項：個人健保資料得由健保署以資料庫儲存、處理、對外傳輸及對外提供利用的主體、目的、要件、範圍和方式，及相關組織程序上的監督、防護等。</p> <p>該部分不符合憲法第23條保留原則，且違反憲法第22條保障人民資訊隱私權之意旨，許宗力宣布，相關機關應於3年內修正全民健康保險法，或制定專法來改善。</p> <p>另一方面，憲法法庭認為，資料健保署就個人健保資料，提供公務機關或學術研究機構原始蒐集目的外的利用時，欠缺讓當事人請求停止利用的相關規定，因此違反憲法第22條保障人民資訊隱私權之意旨。相關機關一樣得在3年內修法，或制定相關法律，明定請求停止和例外不許停止的主體、事由、程序、效果等事項。逾期未制定或修正相關法律，當事人可請求停止目的外利用。</p> <p>許宗力也補充解釋判決理由，個資法第6條第1項、健保法第79條和第80條規定，構成對個人資訊隱私權限制，而憲法隱私權保障民眾在資料被利用前，具有控制權，也就是同意權，即便事前未經過當事人同意，或是經過當事人同意，事後，當事人依然具有同意權。因此，憲法法庭認為，就算當事人事前同意，或是法律規定資料收集不需經當事人同意，當事人事後應具有控制權，來要求刪除、停止利用、限制利用。</p> <p>再來，個資法第6條第1項第4款指出，高敏感特種個資，即使經去識別化，還是有極端的可能被還原、介接識別出當事人，因此當時人對這些資料的自主控制權，一樣受到憲法保障。</p> <p>許宗力總結，依照判決，個人健保資料依然可以依法利用，但法制仍有不足之處，如欠缺獨立監督機制、缺乏第三方利用資料的法律規定，也欠缺當事人退出權，若相關機關未於3年內修法改善，當事人有權退出健保原目的外的資料利用。</p> </div></div></div>
2022/8/12 18:18作者王若樸https://www.ithome.com.tw/news/152492
【資安日報】2022年8月12日，協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾個月駭客頻頻利用Atlassian Confluence漏洞發動攻擊，但近期也有針對協作平臺Zimbra漏洞的情況──近期又有資安業者揭露新的漏洞攻擊事故，而且，這次駭客串連了兩個漏洞CVE-2022-27925、CVE-2022-37042，於受害伺服器植入Web Shell。</p> <p>本週有兩組研究人員不約而同公布Intel、AMD的處理器漏洞ÆPIC Leak及SQUIP，但這次的兩個漏洞性質與過往有所不同，出現在架構層面，與推測執行較無關連。有研究人員指出，一旦駭客能夠利用漏洞，成功竊得機敏資料的機會比推測執行來得高。</p> <p>Palo Alto Networks防火牆作業系統的漏洞CVE-2022-0028也相當值得用戶留意，此漏洞已被用於攻擊行動，但該廠商僅對部分版本作業系統完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> </div></div></div>
2022/8/12 16:09作者周峻佑https://www.ithome.com.tw/news/152468
【圖解數位中介服務法草案】5大業者未來新增的20項法遵義務（完整圖表下載）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《數位中介服務法》草案中，一共規範了5大數位中介服務提供者，多達20項法遵義務，更訂出明確裁罰的標準，違者單次最高罰千萬元。從這張大表中，可以更詳細了解5大業者各自應負的法遵義務的項目與差異。</p> <p>表格中的前7項義務（當中資訊限制令義務以一項計算，包含一般和緊急程序），為所有業者應負的基本義務，未遵守者最高可裁罰50萬元，得按次處罰。除此之外，資訊儲存、線上平臺和指定線上平臺服務提供者，更負有額外的遵守義務。資訊儲存服務業者增加兩項額外義務，違者可處翻倍的罰金。線上平臺服務提供者共有16項義務，除了前面累加義務之外，另外新增的相關義務有7項，最高可處500萬元罰金。指定線上平臺服務提供者有最多20項義務要遵守，其中更有4項增加的義務，違者處最重一千萬元罰鍰，並有按次連續罰的規定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1090-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-%E8%87%B3%E6%B5%A9V6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-WEB%E5%9C%96-600(1).png" style="width: 600px;" /></a></p> <p> </p> <h2 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 31.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: rgb(255, 0, 0);">一張圖表，了解五大中介業者20項法遵義務</span></h2> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><a href="https://r.itho.me/iumHi+">下載連結 https://r.itho.me/iumHi+</a><br /> （以<span style="vertical-align: top; color: rgb(0, 0, 255);">CC-BY-NC-ND-4.0</span>釋出，需標示作者<span class="cc-license-title" property="dc:title dct:title" style="vertical-align: top; box-sizing: inherit; display: inline;">姓名，非商業性使用、禁止改作</span>)</p> </div></div></div>
2022/8/12 17:45作者余至浩https://www.ithome.com.tw/news/152460
英特爾研發TRC晶片安全技術阻擋針對硬體的攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾研發<a href="https://www.intel.com/content/www/us/en/newsroom/news/the-story-behind-new-intel-security-feature.html#gs.8d4y84">TRC晶片安全新技術</a>，來補充該公司現有的故障注入攻擊緩解措施，透過改進處理器內部的邏輯，將安全防護技術根植在晶片硬體中，更全面地抵禦駭客攻擊。</p> <p>當前已有多項機制強化軟體安全保護，包括虛擬化、堆疊金絲雀（Stack Canary）和執行前程式碼授權等，但英特爾提到，這些強化保護機制，促使惡意攻擊者將攻擊矛頭轉向計算平臺，像是故障電壓（Glitching Voltage）、時脈針腳、電磁輻射等故障注入攻擊，都可能導致電路時序故障，最終允許執行惡意指令或是洩漏機密資料。</p> <p>現在英特爾在其晶片加入可調副本電路（Tunable Replica Circuit，TRC）技術，以明確偵測因攻擊而導致的電路時序故障（Circuit Timing Faults）。TRC最先被應用在第12代Intel Core處理器系列產品中，賦予融合安全管理引擎（CSME）擁有故障注入偵測的能力，以發現對時脈和電壓針腳的非侵入式物理攻擊，同時也能用來偵測電磁故障。</p> <p>TRC技術原是由英特爾實驗室開發來監控處理器的動態變化，諸如電壓下降、溫度和老化，以進一步提高效能和能源效率，隨著技術的發展，TRC被應用在安全保護上，透過更改監控配置和建置基礎設施，使TRC可敏感偵測故障注入攻擊，同時英特爾也能針對安全應用程式調整電路。</p> <p>TRC的目標是要專注於監控特定類型的數位電路延遲，防範某些類型的物理攻擊，TRC被校準在超過CSME標準工作範圍的電壓時發出錯誤訊號，因此只要有來自TRC的錯誤訊號，就代表資料可能遭到毀損，如此系統便能觸發安全緩解技術，以確保資料完整性。</p> <p>英特爾提到，生產這類型硬體感測器最關鍵的部分是校準，因為一旦感測器過於敏銳，正常工作負載的電壓檢測將產生偽陽性誤報，偽陽性誤報會因雜訊導致平臺不穩定，並且為資安團隊帶來額外負擔。偽陰性誤報同樣需要避免，因此英特爾開發了一套以回饋為基礎的校準流程，以維持感測器的準確性。</p> <p>與純軟體實作比較，架構改進可以大幅減少執行開銷，英特爾表示，物理攻擊方法在過去一直不被包含在威脅模型之中，不過，隨著更多的運算被帶到邊緣，他們開始投資物理攻擊防護功能，將安全性根植在系統之中，使得軟體到晶片都能保護資料的安全。</p> </div></div></div>
2022/8/12 16:36作者李建興https://www.ithome.com.tw/news/152462
Meta將推出全程加密E2EE聊天訊息備份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/08/testing-end-to-end-encrypted-backups-and-more-on-messenger/" target="_blank">Meta本周宣布</a>正在測試全程加密（end to end encryption，E2EE）聊天訊息備份，允許用戶必要時可以在另一臺裝置回復資料。該公司說這功能和近日涉及青少女因FB Messenger對話資料被用於起訴無關。</p> <p>Meta表示正在開發Messenger及Instagram（IG）上預設全程加密訊息和通話的功能。目前Meta計畫測試Messenger全程加密聊天訊息的安全備份，未來也會陸續加入新功能，並推展到IG上。</p> <p>Meta的WhatsApp 2016年就預設啟用全程加密，但Messenger及IG則一直在緩慢測試中，預計要2023年才會正式成為預設。全程加密交談功能的備份讓用戶遺失手機或其他原因下，在新裝置上回復交談紀錄。由於只有用戶擁有加密金鑰，一如全程加密交談，Meta、ISP、電信商或第三方單位都無法存取交談內容，除非用戶向Meta通報。</p> <p>Meta表示，未來Messenger將預設啟用安全儲存。用戶備份資料時，需製作PIN碼或產生一組驗證碼作為未來存取之用，這兩種碼用戶都必須自己儲存。用戶也可以選擇將密碼儲存在第三方雲端服務，並在雲端上回復Messenger交談內容，例如iOS裝置可選擇iCloud。但Meta表示，這種方式就無法獲得Meta全程加密的保護。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/08/01_Secure-Storage.jpg?resize=890%2C816?w=1178" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>本周Meta已開始測試Android和iOS版，不過網頁版、桌機版或其他沒有全程加密的訊息服務則還不支援。</p> <p>這項功能發布同時，本周Facebook訊息服務涉及<a href="https://arstechnica.com/tech-policy/2022/08/teens-jailing-shows-exactly-how-facebook-will-help-anti-abortion-states/" target="_blank">一項案件</a>。美國一名內布拉斯加州青少女產下死胎，FBI探員懷疑是吃了墮胎藥的結果。該探員在蒐證過程中要求Meta提供該少女和母親在Messenger的交談紀錄，並要求不要通知本人。由於該州明文禁止墮胎，該青少女遭到起訴。</p> <p>Meta雖然稱警方出示的搜索令未提及墮胎一事，但也因此受到批評。不過Meta表示，本周測試的加密訊息儲存功能和新聞無關。</p> <p>Meta也公布其他全程加密開發的計畫。首先，刪除訊息同步化將擴及全程加密交談內容，也將加入回收訊息、回覆Facebook Stories影片及照片集等功能。此外，全程加密交談功能也將支援Meta智慧眼鏡Ray Bay Stories。</p> <p>Meta也開源瀏覽器外掛程式，名為Code Verify，在使用網頁版Messenger時可自動驗證密碼的真假，這功能旨在提供網頁版Messenger的全程加密。該程式支援<a href="https://chrome.google.com/webstore/detail/code-verify/llohflklppcaghdpehpbklhlfebooeog" target="_blank">Chrome</a>、<a href="https://microsoftedge.microsoft.com/addons/detail/code-verify/cpndjjealjjagamdecpipjfamiigaknk" target="_blank">Edge</a>及<a href="https://addons.mozilla.org/en-US/firefox/addon/code-verify/" target="_blank">Firefox</a>。</p> <p class="rtecenter"><img alt="" src="https://addons.mozilla.org/user-media/previews/full/272/272039.png?modified=1659651752" style="width: 600px;" /></p> <p>Meta也宣布移除Messenger上的Vanish mode。去年實作在Messenger上的Vanish mode讓用戶可傳送短暫存在的訊息。未來這項功能只會留在IG等沒有全程加密的訊息服務。</p> <p>Meta去年開始在IG上提供少數入測試全程加密，今年初擴及俄羅斯及烏克蘭。Meta表示即將推廣到更多國家。</p> </div></div></div>
2022/8/12 16:52作者林妍溱https://www.ithome.com.tw/news/152473
Telegram創辦人發文抱怨Apple審核新版本兩星期仍無聲無息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人<a href="https://t.me/durov/190">Pavel Durov發文</a>抱怨計畫發布的Telegram新版本，已經進入Apple應用程式審查程序兩個星期，到現在還沒有收到解釋尚未完成審查的原因，Pavel Durov提到，他們所要發布的新版本包含可以徹底改變人們傳遞消息表達自己的方式，但到現在仍未獲得批准。</p> <p>Pavel Durov認為，所有行動應用程式都需要經過技術壟斷企業的審查，這流程艱澀難懂，使得Telegram應用程式經常無法發布新版本，最新的Telegram版本也遭遇相同的問題，在審查流程中停留了兩個星期，而Apple完全沒有提供任何的解釋和說明。</p> <p>Apple和Google向應用程式開發人員收取30％的稅，以支付審查應用程式所需要的資源，Pavel Durov表示，Telegram是全球十大最受歡迎的應用程式之一，如果連Telegram都遭受到這種待遇，那可以想像更小的應用程式開發者所經歷的困難。</p> <p>這樣的障礙對應用程式造成直接的經濟損失，他指出，目前歐盟與其他國家的監管單位開始調查這樣濫用行為，但開發者所經歷的損失已經無法挽回。</p> </div></div></div>
2022/8/12 17:03作者李建興https://www.ithome.com.tw/news/152466
FTC有意立法規範商業監控與資料安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/08/ftc-explores-rules-cracking-down-commercial-surveillance-lax-data-security-practices" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（8/11）指出</a>，該機構有意探索透過各種規定來掃盪有害的商業監控，以及鬆散的資料安全，於既有的線上隱私保護規定之外，再築一道牆來強化民眾的隱私。</p> <p>FTC主席Lina Khan說明，現階段許多公司在各種環境下蒐集大量的個人資料，隨著經濟的數位化，再加上那些可無止境蒐集敏感的使用者資料並廣泛利用的商業模式，意味著非法行為可能很普遍。</p> <p>FTC指出，業者監控了使用者在網路上的所有行為，從他們的人際網路、瀏覽與購買紀錄、地點及實際移動路線，到其它的個人細節等，而這些大規模的監控進一步增加了資料外洩、欺騙、操縱或其它濫用行為的風險，此外，由於外界對自動化系統如何分析所蒐集而來的資料知之甚少，但研究顯示，這類的演算法容易出現錯誤或偏差，最終可能會造成歧視，影響特定使用者獲得居住、信貸或就業等資訊的能力。</p> <p>就算業者制定了隱私政策，但期間也可能更改該政策，或是使用隱諱的手法，以及透過行銷手段來迫使消費者分享個人資訊。</p> <p>上述都讓FTC認為應有制定相關規定的必要，近日便將透過《聯邦公報》（Federal Register）公布通知，外界可在60天內提供意見。</p> </div></div></div>
2022/8/12 15:20作者陳曉莉https://www.ithome.com.tw/news/152464
研究人員踢爆：臉書與IG行動程式會跨站追蹤用戶行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank">行動程式開發工具fastlane的作者Felix Krause本周披露</a>，Meta旗下的Facebook與Instagram（IG）的iOS程式可利用程式中的客製化瀏覽器來追蹤使用者的行為，當使用者於Facebook或IG程式中點選廣告或連結之後，這兩個程式即可追蹤使用者於外部網站上的所有活動，恐有侵犯使用者隱私之嫌。</p> <p>Krause曾任職於Google與Twitter，之後自行創立了fastlane，打造專供Android與iOS開發者用來建置及發布程式的同名開源工具。</p> <p class="rtecenter"><a href="http://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Felix%20Krause.png" style="width: 500px;" /></a></p> <p>根據Krause的分析，只要Facebook與IG用戶點選了程式中的連結，程式就會啟用內建的瀏覽器造訪，並於所造訪的網頁注入JavaScript程式碼，以用來追蹤使用者於該站的所有活動，包括所點選的按鍵、所選擇的文字、所輸入的表格，或是購買行為等。</p> <p>除了使用者的行為完全被掌控之外，以行動程式內建的客製化瀏覽器造訪第三方網站，將喪失Safari等全功能瀏覽器的完整保護，且於外部網站注入JavaScript可能會引起網站的故障。</p> <p>另一方面，<a href="https://www.theguardian.com/technology/2022/aug/11/meta-injecting-code-into-websites-visited-by-its-users-to-track-them-research-says" target="_blank">Meta向《衛報》解釋</a>，這些行動程式都是在使用者同意被追蹤的設定下，才會於第三方網站注入JavaScript追蹤程式，而且這些資料只被用在目標式廣告或測量上。</p> <p>Krause則建議若使用者要避免這類的追蹤，可複製Facebook或IG程式中的連結，再以手機上的Safari或Firefox瀏覽器造訪，而不要於程式中直接點選連結。</p> </div></div></div>
2022/8/12 15:46作者陳曉莉https://www.ithome.com.tw/news/152465
鎖定全球工業控制系統的勒索軟體攻擊在Conti關閉後少了2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank">資安業者Dragos本周指出</a>，全球工業控制系統（Industrial Control System，ICS）在今年第二季受到勒索軟體攻擊的次數為125次，低於上一季的158次，疑似因為該領域的主要勒索軟體之一<a href="https://www.ithome.com.tw/news/151058" target="_blank">Conti在今年5月關門大吉</a>的緣故。</p> <p>Dragos總計追蹤了43個鎖定ICS展開攻擊的勒索軟體駭客集團，今年第二季只有23個集團發動攻擊，而125次僅為曝光數量，實際攻擊次數可能更多。</p> <p>Dragos會將第二季攻擊數量的降低歸因於Conti，是因為在去年第四季與今年第一季時，Conti總計占了該領域所有攻擊數量的25%與18%，但今年第二季驟降為13%，位居第二，第一名則是Lockbit 2.0的33%。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/RansomwareByGroup_Q2_2022-1024x569.jpeg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">Dragos</span></a></span></p> <p>在第二季的ICS勒索軟體攻擊行動中，主要是歐洲的46起，北美的36起與亞洲的32起，若從行業別來看，有86起發生在製造業，10起為食物及飲料業，10起為能源業，6起為運輸業，還有5起是醫療業，再加上石油、化學與基礎設施等。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/Ransomware_Continent_Q2_2022-1024x663.jpg" style="width: 600px;" /></p> <p><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">Dragos</span></a></p> <p>Lockbit 2.0在該季最知名的事蹟，是加密了富士康多個墨西哥廠的逾1,200臺伺服器，造成當地工廠停工數周。Dragos也注意到新興的Black Basta在該季發動了兩次攻擊，且認為該勒索軟體集團是由Conti與REvil之前的成員所組成。</p> <p>在Conti關閉之際，即有研究人員認為該勒索軟體集團是因為遭到美國封鎖而關閉，並未真正結束操作，而是再改以Black Basta等新品牌另起爐灶，因此未來Black Basta的活動值得關注。</p> <p>美國已在今年5月<a href="https://www.ithome.com.tw/news/150845" target="_blank">懸賞千萬緝拿Conti組織駭客</a>，本周更進一步公布<a href="https://twitter.com/RFJ_USA/status/1557804081552523267" target="_blank">了其中一名駭客的長相</a>。</p> </div></div></div>
2022/8/12 16:07作者陳曉莉https://www.ithome.com.tw/news/152467
Cloudflare員工也遭簡訊網釣攻擊，因採硬體金鑰而逃過一劫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在雲端通訊平臺Twilio日前傳出，<a href="https://www.ithome.com.tw/news/152379" target="_blank">遭到駭客以簡訊網釣攻擊</a>盜走了員工的登入憑證之後，<a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/" target="_blank">資安業者Cloudflare也說自己亦是駭客的攻擊對象</a>，而且至少有3名員工被騙，然而，由於Cloudflare每名員工都使用公司發的硬體安全金鑰，而逃過了一劫。</p> <p>Cloudflare的安全團隊是在7月20日接獲同事的報告，說他們收到一個似乎是合法的簡訊，該簡訊是以T-Mobile電話號碼寄送，簡訊上寫著Cloudflare時程表已更新，請造訪Cloudflare-Okta.com來檢視變更，且在短短的一分鐘之內，就有76名同事收到簡訊，還有同事的家人也收到簡訊。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/08/image3-5.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>Cloudflare-Okta.com雖然看起來像是真的，但它卻是一個網釣網址，而且是在發動簡訊網釣攻擊的前40分鐘才申請的。Cloudflare說，他們原本就打造了安全註冊產品，得以監控所有企圖使用該公司品牌的網站，若是惡意的就檢舉並封鎖它們，但因為Cloudflare-Okta.com實在太新了，甚至尚未被公開，而讓該監控服務失靈。</p> <p>使用者點選連結之後就會被導至一個偽造成以Okta身分辨識服務登入Cloudflare的網頁，並被要求輸入帳號及密碼。</p> <p>Cloudflare分析了該網釣網站，發現在使用者輸入帳號及密碼之後，它會立即將此一憑證透過Telegram傳送給駭客，接著頁面就會再度提醒使用者輸入有時間限制的一次性密碼（Time-based One Time Password，TOTP），雖然有3名同事輸入了憑證，但Cloudflare員工並未使用TOTP，而是採用了硬體金鑰，使得駭客無功而返。</p> <p>倘若駭客成功藉由該網頁通過了多因素認證，除了可取得使用者的登入憑證之外，該頁面還會下載一個含有AnyDesk遠端存取工具的酬載，在安裝之後將允許駭客自遠端控制受害者的裝置。</p> <p>在察覺駭客針對該公司展開簡訊網釣攻擊之外，Cloudflare即封鎖了該網域，重設所有受害員工的憑證，通知了該網域的註冊商及代管業者，強化對後續攻擊的偵測，以及稽核服務存取日誌。Cloudflare強調，該公司於此一攻擊中全身而退，並無任何系統遭到入侵。</p> </div></div></div>
2022/8/12 14:24作者陳曉莉https://www.ithome.com.tw/news/152461
代管業者遭勒索軟體攻擊，英急救專線網路恐中斷3周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供英國衛生服務部（NHS）急救專線111代管服務的供應商遭到勒索軟體襲擊，迫使英國急救任務分配以手動進行，預估可能影響急救服務數星期之久。</p> <p><a href="https://www.bbc.com/news/uk-wales-62442127" target="_blank">BBC</a>及<a href="https://www.pulsetoday.co.uk/news/breaking-news/gps-told-to-expect-influx-of-calls-from-patients-redirected-due-to-111-outage/" target="_blank">Pulse</a>等英國媒體報導，負責提供NHS 111急救專線代管服務的Advanced上周四（8/4）早上發生「嚴重技術」問題，造成111系統中斷服務。</p> <p><a href="https://www.oneadvanced.com/cyber-incident/" target="_blank">Advanced</a>判斷是勒索軟體攻擊所致，該公司表示已經採取措施，預防對英國醫療照護服務產生進一步風險。</p> <p>111急救專線網路負責支援救護車派遣、夜間看診預約或緊急藥物處方等緊急治療服務。根據報導，所有使用111網路進行預約或病患轉診、收治的醫院都受影響，這些醫院上周起必須手動紙本或電話進行，且召回休假員工支援作業。</p> <p>這家MSP表示，勒索軟體攻擊影響的系統相當廣泛，包括臨床病患管理軟體、長照中心管理軟體、臨床決策系統、電子病歷軟體、公部門財務管理軟體，以及其他臨床或照護相關系統。</p> <p>事發後廠商提供緊急方案維護系統運作，<a href="https://www.independent.co.uk/news/health/nhs-cyber-attack-staff-it-b2142245.html" target="_blank">Independent報導</a>，業者估計要3周到4周才能完全恢復作業。</p> <p>目前調查正在進行，但Advanced並未說明是何種勒索軟體、惡意程式駭入系統的管道，以及有哪些資料遭加密或竊取。</p> <p>這也突顯MSP資安事件的嚴重性。本周丹麥便利超商7-Eleven也傳網路攻擊影響PoS運作，迫使全國175家門市關閉。有消息指，可能是其使用的MSP遭勒索軟體攻擊所致。</p> </div></div></div>
2022/8/12 15:04作者林妍溱https://www.ithome.com.tw/news/152463
AWS推出檔案快取服務，更新EBS快照功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其一年一度的AWS Storage Day，<a href="https://aws.amazon.com/tw/blogs/aws/welcome-to-aws-storage-day-2022/">發表新儲存服務Amazon File Cache</a>，並對既有儲存服務包括Amazon EBS以及AWS Transfer系列推出功能更新。</p> <p>Amazon File Cache是AWS即將推出的儲存新服務，該服務將可加速和簡化混合雲工作負載，Amazon File Cache提供高速快取，無論資料儲存在什麼位置，用戶都可以更簡單地處理檔案資料。AWS表示，Amazon File Cache針對儲存在本地端檔案伺服器、檔案系統或是AWS物件儲存服務中的資料，提供一個臨時且高效能的儲存位置。</p> <p>該服務讓用戶能夠以亞毫秒級的延遲，和每秒高達數百GB的吞吐量，迅速匯集分散各地的資料集，供應給AWS上需要讀取這些檔案的應用程式使用，Amazon File Cache可支援各種雲端爆發工作負載和混合工作流程，從媒體渲染、轉碼到電子設計自動化，甚至是分析龐大資料等。</p> <p>另一項重要的更新是Amazon EBS快照功能，Amazon EBS讓用戶可以隨時運用快照來備份磁碟區（Volume），快照保留所有已經完成的I/O操作資料，供用戶將磁碟區回復到備份前的狀態。快照一般的使用情境，是創建關鍵工作負載的備份，諸如大型資料庫或是檔案系統，用戶可以選擇個別創建每個EBS磁碟區的快照，也可以針對附加到單個EC2執行個體的EBS磁碟區，創建多個磁碟區快照。</p> <p>AWS新推出的EBS快照功能，提供EBS磁碟區子集的崩潰一致性快照，過去當用戶想要創建EC2執行個體EBS磁碟區的多磁碟區快照，並且僅含有特定的EBS磁碟區時，用戶需要進行多次API呼叫，以選取保留真正想要的快照，但現在用戶可以使用API呼叫，在創建快照的過程排除特定磁碟區，以大幅節省成本。</p> <p>在早前，AWS也宣布在其檔案傳輸服務Transfer系列，支援AS2（Applicability Statement 2）協定，因此仰賴AS2交換重要業務資料的醫療保健、金融服務和保險等產業，現在可運用AWS Transfer系列服務，安全且高效地與其貿易夥伴交換資料。</p> </div></div></div>
2022/8/12 13:38作者李建興https://www.ithome.com.tw/news/152443
誠品連五季列網購高風險平臺，博客來單季件數破2,700件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年東森購物、誠品網路書店客戶個資外洩問題嚴重，許多民眾表示，詐騙者知道自己的個資與下單資訊，包含詳細的購買金額與日期，而且這類事件不斷，仍延續到今年第一季。</p> <p>在第二季，個資外洩與詐騙事件數量不僅居高不下，甚至再創新高！在8月7日，刑事警察局165公布今年第二季高風險賣場名單，指出這類解除分期詐騙手法幾乎完全一樣，但被列入名單的廠商有極大的變化。</p> <p>風險最高的賣場是博客來網路書店（2,725件），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。這些通報總共有3,737件。</p> <h3><strong>警方第二季接獲3,737件通報，是前一季的3倍</strong></h3> <p>最值得注意的是，單就嚴重程度最高的博客來網路書店而言，今年第二季的通報數量就達到2,725件，前所未見，此前單一平臺單季多在300到500件通報之間，相較之下，差距足足5到8倍。名列第三的誠品網路書店也備受關注，因為這家業者已經連續5季入榜高風險賣場。</p> <p>如果將五大高風險賣場通報件數加總起來，2022年第二季（3,737件）是前一季度（1,127）件的3.3倍，是去年同期（895件）的4.1倍以上。甚至，單是今年第二季的五大高風險賣場通報總量，也超過2021整年（3,586件）。</p> <p>這樣的狀況相當棘手，畢竟多年來警方持續呼籲民眾要小心，並公布詐騙話術與手法，這些平臺業者也紛紛發布反詐騙聲明的警告資訊，聲明不會主動打電話給客戶。</p> <p>但有很多民眾仍不知道詐騙集團假冒來電的手法，也不知道可能存在客戶資料外洩情形，以為只有平臺業者知道消費資訊，如果不清楚的人很容易受騙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg" style="width: 290px;" /></a></p> <p><strong style="color: rgb(0, 153, 255);"><a href="https://s4.itho.me/sites/default/files/images/（圖1）刑事警察局2021年年度前5大高風險賣場9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B49.jpg" style="width: 600px;" /></a></strong></p> <h3><strong>受害者指出假冒平臺客服知曉用戶訂單資訊</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物是2022年新入榜的高風險賣場，實際上，是否真有客戶資料外洩情形？</p> <p>以博客來網路書店平臺而言，例如，<a href="https://www.dcard.tw/f/mood/p/238690432">有網友表示在4月21日接到詐騙電話</a>，對方假冒博客來網路書店人員，清楚說明了網友的身分與買過的書，表示掌握到網友的個資與下單資訊，後續再接到假冒銀行客服的電話，在各種詐騙話術誘導之下，被詐騙近十萬元。</p> <p>而在遠傳friday購物平臺的部分，<a href="https://www.youtube.com/watch?v=edQaT-oQfAs">有網友提到他接到假冒遠傳friday購物的詐騙電話</a>，對方知道自己曾在1月於購物平臺買過萬巒豬腳，並以電商被駭客入侵導致信用卡被盜刷為由，再由假冒銀行客服來電，要求受害者配合到ATM提款機操作，透過一連串精心設計話術，騙稱是要取消，騙走用戶十萬元。我們後來也聯繫上這位網友，想了解遇害狀況，他指出在今年4月6日遭遇此事。</p> <p>至於迪卡儂，他們擁有網路購物平臺與實體通路，<a href="https://youtu.be/BsOk7qS47Do?t=24">有其會員接受媒體採訪時表示</a>，駭客很明確指出他的姓名，以及1月在迪卡儂購買的品項，後續曾遭同樣手法詐騙，匯款14筆金額達50萬元，直到警方看見民眾在提款機操作太多次而上前關切，他才驚覺自己被詐騙。根據相關的報導指出，迪卡儂表示本身並未發現資料外洩，但已經聯繫其合作的後端物流廠商徹查。</p> <p>另一方面，我們也詢問了刑事警察局，警方指出從本季的通報案例來看，詐騙集團所掌握的資訊，都是最近幾個月民眾的購物明細。至於2022年解除分期詐騙的財損，目前資料統計到4月20日，這類詐騙件數達198件，財損金額高達1億9,589萬元，比去年同期高出5千萬元。</p> <h3><strong>客戶資料外洩原因仍然不明</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物都宣稱他們持續進行反詐騙宣導，卻並未公開說明調查結果，到底是內部系統發生客戶資料外洩？還是業者沒管好平臺的合作物流廠商？還是用戶端發生帳密被駭客盜用登入，因而得知訂單資料？各家狀況有待釐清。若從事件發生規模的角度來看，整批客戶資料外洩可能性較高。</p> <p>對此，我們也詢問博客來、迪卡儂、遠傳Friday購物這三家平臺業者，了解業者對於個資外洩事件的調查狀況，但對方的回覆竟然都是未能調查出駭客入侵的狀況，因此無相關調查結果可以公開。</p> <p>例如，本季最嚴重的博客來，他們公開表示：「該公司已於官網加註反詐騙宣導警語、並主動發送反詐騙宣導簡訊通知消費者，會持續與專業資安防護公司合作，進行資安檢測及強化保護，降低風險。」對於是否有相關調查結果，僅表示目前未能找出駭客入侵情況。</p> <p>其他兩家業者因為曾回應其他媒體的相關提問，所以，我們也向他們詢問，試圖挖掘出更多消息。</p> <p>例如，迪卡儂曾表示，本身未發現資料外洩，但已聯繫其合作的後端物流廠商徹查；遠傳friday購物曾表示，查無駭客入侵系統情事，仍持續密切觀察事件發展。不過，這兩家業者未能再有更多公開的回應。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>即便查無駭客入侵狀況，是否也該對外公告說明？</strong></span></h2> <p>日前台灣虎航在7月23日發布資安事件重大訊息，公開說明發現遭駭客網路攻擊，並先行發布反詐騙向民眾宣導，疑客戶資料外洩，相較之下，上述業者存在個資外洩並利用於解除分期詐騙的情況，儘管發布了反詐騙宣導，但可能因為一直沒有查出根因，至今都沒有發布重大資安事件公告，或公開客戶資料外洩相關調查結果，變成民眾變成需要自我警惕。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>假冒平臺、銀行客服來電的偽冒是否能防範？</strong></span></h2> <p>詐騙集團過去可透過二類電信，偽造出完全與平臺、銀行一模一樣的來電顯示號碼，但這樣的漏洞已經防堵。</p> <p>現在的詐騙集團來電號碼偽冒方式，多是來電號碼前段會顯示+886與+02，後段可能假冒成與業者電話完全一樣，也可能根本不同。</p> <p>在電信業的防範上，雖有相關防範，但可能受限於筆數設定無法逐一封鎖，也無法針對+號的國際電話全面封鎖。而且，有些民眾可能根本沒查證是否為業者來電，有些民眾則對顯示+886與+02的來電號碼，依然缺乏警惕，出現鬆懈防備的心態，事實上，來電顯示時，對方的號碼開頭若有「+」號，有很高的機率是詐騙電話，同時警方也一再強調ATM沒有解除分期相關功能。</p> </div></div></div>
2022/8/12 12:14作者羅正漢https://www.ithome.com.tw/news/152456
【專家看中介法：台灣網路資訊中心董事暨執行長黃勝雄】肯定中介法保護使用者，但法定義務仍需考量業者承擔能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於NCC近期公布數位中介服務法草案，財團法人台灣網路資訊中心（TWNIC）董事暨執行長黃勝雄持肯定的看法，過去在網路空間產生的違法行為難以有效規範，現行的司法系統因嚴謹的審理程序，無法很快的因應處理網路上的犯罪行為，例如限制接取，因此儘管網路犯罪或遭受不公平對待的案例相當多，但進入法院的少之又少，大部分人在網路上受到不當的對待，沒有受到合理保護。</p> <p><span style="color:#B22222;"><strong>政府聲請資訊限制由法院把關</strong></span></p> <p>在數位中介服務法草案中，賦予行政機關權力，向法院聲請資訊限制令，要求平臺業者配合移除內容，黃勝雄認同此一做法，由於政府需經過法院嚴格的審查程序，法院審查時徵詢該內容的使用者意見，必要時得徵詢第三方民間事實查核機構意見，最後才同意核發資訊限制令。</p> <p>「過去沒有行政機關向法院提出資訊限制令，這是全新的作法」，黃勝雄說。資訊限制令採取法官保留的原則，將限制人民基本權利的政府作為，交由法官經審查後裁定，使用者不認同法院裁定結果，可依司法系統救濟管道處理。</p> <p>至於外界擔心政府以行政處分要求平臺針對內容暫時加註警語，恐箝制言論自由，黃勝雄則認為，行政機關不會隨便對特定的新聞或內容提出限制令，必定蒐集完整的資料、調查程序，將功課及法律要件備齊，有一定的把握後才會聲請限制令，否則法院最後駁回聲請，浪費行政機關的時間，形成龐大行政成本，並留下濫訴的印象。</p> <p>此次中介法草案也規定中介業應配合政府的資料調取義務，黃勝雄認為，傳統上，政府資料調取有兩條路徑，第一條是循法院審議，只要經過法院審議裁定，就可對資料進行扣押，第二條是針對特定業者如電信事業，電信事業依法律規定需保留資料、配合資料調取的法定義務。而數位中介服務法保留原來法院裁定的路徑，但將原本限縮在特定事業的調取義務，擴大到所有中介平臺者。</p> <p>他認為，中介法擴大政府單位資料調取的權力，確實仍有討論的空間，包括如何限制行政機關的資料調取行為、業者如何保存資料、保留多久時間等等。</p> <p><strong><span style="color:#B22222;">政府提出中介法草案，業者承擔法定義務仍有協商空間</span></strong></p> <p>政府提出數位中介服務法，強化對數位中介平臺的管理，黃勝雄認為中介法有些部分直接從歐盟DSA移植過來的，但是臺灣在數位經濟的規模有沒有比歐盟大？歐盟提出DSA，背後有經濟實力作為後盾，作為協商的要求。臺灣是否具備這麼大的實力或條件，要求平臺業者承擔更多的法律義務，這是相當現實的問題。如果條件不存在的話，政府有什麼方法去要求，政府基於保障公益提出額外的法律限制義務，平臺業者能不能接受，他認為這是需要討論的。</p> <p>網路事業和傳統事業不同，網路事業可以說不，可以選擇完全不落地，如果政府限制人民使用，就會面對人民的譴責，如果人民需要這項服務，它又沒有落地的需求，政府需要去思考有哪些籌碼來討論，得到政府想要的限制措施，這是需要協商的。</p> <p>黃勝雄表示，不論提出哪些限制措施，都要知道自己背後的籌碼在哪裡。以電子商務規模為例，臺灣去年為4,300億元臺幣，歐盟為27個國家環繞的經濟體，規模將近5,000億歐元，是臺灣的將近30、40倍以上，以歐盟如此大的經濟規模提出限制性要求，平臺業者需要認真思考法遵的問題。</p> <p>反觀臺灣，有沒有對等的經濟規模提出協商談判的空間，如果中介平臺業者不願意承擔這麼大的法律義務，不在臺灣提供服務，承擔壓力、人民責難的將會是政府，以目前中介法草案提出的法定義務，他相信未來政府與業者協商應仍有下修空間。</p> </div></div></div>
2022/8/11 19:24作者蘇文彬https://www.ithome.com.tw/news/152450
美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。</p> <p>但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。</p> <p>另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <p>中國對於裴洛西旋風式訪臺高度不滿，並藉該事件加强對臺灣的各種威脅手段，對此過激的反應，不僅有力道加强的無煙硝網攻：DDoS（分散式阻斷式）攻擊、假訊息和網頁置換（Deface），更有實質發射彈道飛彈、環臺軍事演習的武嚇手段。「網攻武嚇」或將成為中國對臺威嚇手段的基本款。</p> <h2><strong>中國網攻手段層出不窮，從DDoS、假訊息到網頁置換</strong></h2> <p>在裴洛西國會訪問團飛抵臺灣之前，中國官方和民間便透過各種管道，強烈「要求」裴洛西不可以率團訪問臺灣，當裴洛西訪問團從馬來西亞出發時，並沒有公布下個航班行程，在全球超過二十萬多網友的關注下，才於8月2日晚間10點43分於臺北松山國際機場落地，隨即展開來臺不到24小時的旋風式訪問。</p> <h3><span style="color:#0000FF;"><strong>駭客發動DDoS攻擊，癱瘓網頁</strong></span></h3> <p>不過，中國的威脅手段早在裴洛西抵臺前便已經展開。</p> <p>首先便是臺灣代表性網站遭到駭客發動DDoS（分散式阻斷式）攻擊，癱瘓網頁，讓民眾無法連上、瀏覽該網頁。中國對臺灣政府網站發動DDoS攻擊，就是一種直面對決，希望讓民眾意識到，原來政府和企業的網站其實很容易被中國駭客攻陷、導致無法運作。</p> <p>第一波受駭單位多以政府網站為主，包括：8月2日傍晚約5時15分起，總統府官網遭到境外DDoS攻擊。總統府表示，該網站流量為平時的200倍，已於20分鐘內恢復正常運作。</p> <p>8月2日同日也傳出政府入口網站、外交部網站，其他像是臺電以及桃園機場等，同樣傳出遭到DDoS攻擊。外交部則表示，該部官網和政府入口網兩個網站遭到來自中國、俄羅斯等地的大量IP，每分鐘有多達850萬次的流量請求。</p> <p>此外，國防部官網也遭到DDoS攻擊，他們也發布聲明指出，國防部官網於8月3日晚間11點4分起，陸續遭到DDoS攻擊，並於11點27分因為流量過大、導致服務中斷；經流量清洗以及阻擋惡意中繼站後，國防部官網已經於8月4日凌晨0點30分恢復正常連線。</p> <p>在裴洛西離臺後，這類的網路攻擊手段也並未停止。像是政黨傾向親綠的媒體民視新聞網，也在8月6日、8月7日、8月8日和8月10日都遭到DDoS攻擊，民視遭到DDoS攻擊時間長短不一，但每秒攻擊流量超過300 Mbps，民視以分流方式處理，仍可以提供服務。</p> <p>不過，民視的YouTube直播節目，則在8月6日遭到駭客竄改播出內容，民視有立即處理並通報主管機關NCC（國家通訊傳播委員會）。</p> <h3><span style="color:#0000FF;"><strong>駭客攻陷小七、臺鐵電子看板系統，替換惡意文字內容</strong></span></h3> <p>到了8月3日，裴洛西開始一系列的訪問行程，早上九點多，全臺各地的統一超商（7-11）輪播廣告的電子看板系統，突然播出正體中文字樣的「戰爭販子裴洛西滾出臺灣」惡意內容，超商店員多在第一時間關閉電子看板作為因應。</p> <p>之後十點多的時候，前桃園縣議員王浩宇則在臉書貼出，在高雄臺鐵新左營站售票大廳的電子看板系統，則播放遭到被竄改的簡體中文內容，文中寫道：「老巫婆竄訪臺灣，是對祖國主權的嚴重挑釁；那些積極迎接的人，終將受到人民的審判；同種同族的血親關係割捨不斷；偉大華夏終將統一！」同樣的「老巫婆竄訪臺灣」簡體中文內容，在大約同時間，也出現在南投縣竹山鎮48縣道旁的電子看板。</p> <p>駭客此次鎖定攻擊的小七和臺鐵的電子看板系統，多是與民眾生活息息相關，粗俗直白的恐嚇文字，明晃晃的彰顯中國政府（民眾）對裴洛西訪臺的恨意；民眾因為首度在超商、臺鐵等場域直接「體驗」到中國網軍的惡意，「前所未見」的網路攻擊手法，對民眾也帶來一定程度的心理衝擊。</p> <h3><span style="color:#0000FF;"><strong>假冒知名駭客組織、散布各種假消息，擾亂臺灣民心士氣</strong></span></h3> <p>由於現在資訊氾濫，有許多內容農場和中國微信、臺灣Line群組，都會流傳許多似是而非、未經證實的假訊息，目的就是為了擾亂民心士氣，造成民眾恐慌的預期心理，更試圖創造臺灣民眾「未戰先敗」的心因性環境。</p> <p>裴洛西還未抵臺時，日本《產經新聞》臺北支局長矢板明夫8月1日晚間在臉書揭露，有小粉紅假冒他的名義，宣稱裴洛西亞洲行行程飛抵日本，並在日本中暑、住院。而這則假訊息最大目的就是要證明，裴洛西並沒有率團訪問臺灣，而是更改行程飛抵日本。</p> <p>另外最引人注目的假訊息之一便是假冒知名駭客組織、宣稱駭入臺灣重要單位系統，手中並掌握20萬臺物聯網裝置的「零時差漏洞」，足以發動撼動臺灣的網路攻擊。</p> <p>有部分駭客出面自稱為「APT 27」，該組織在8月3日同時創立YouTube頻道以及推特帳號，該組織宣稱：「將針對裴洛西訪臺，對臺灣發動特別網路攻擊行動。」</p> <p>之後連續幾天，「APT 27」更在推特上張貼包括：內政部警政署、交通部公路總局、臺灣電力公司、總統府、財金資訊公司、神腦國際，以及擁有金智洋科技公司旗下IoT（物聯網）和路由器的等相關單位的系統截圖和程式碼截圖。</p> <p>這些外洩的系統和程式碼截圖，引發相關單位的警覺心，紛紛自行檢查是否真的遭駭、是否有未修補的漏洞，導致系統與程式碼等相關資訊外洩。</p> <p>為了配合中國的軍事演習的進度，「APT 27」也於軍演結束的8月7日凌晨發表影片宣布：「網攻暫時結束」，但該組織宣稱：「確實掌握臺灣20萬臺物聯網設備的零時差漏洞，以及政府相關部門的外洩資料，」他們也說，未來臺灣若繼續挑起緊張局勢，「我們會再回來。」「APT 27」說道。</p> <p>資安公司奧義智慧執行長邱銘彰笑說，APT 27其實是外界資安公司針對某駭客組織的攻擊行為和中繼站等資訊所做的命名代稱，不應該有駭客組織跳出來宣稱自己是其他資安公司口中的「APT 27」。</p> <p>專精研究威脅情資以及各種APT（進階持續性威脅）攻擊的TeamT5（杜浦數位）執行長蔡松廷也說，從惡意程式和中繼站等各種資訊，都無法發現這個自稱「APT 27」組織，和之前研究的APT 27有任何的關聯性，他期待各界可以提供證據證明。</p> <p>此外，中國通訊軟體微信在此期間也傳出「共軍擊落我國伴飛戰機」的對話截圖，對話中指出「聽說已經擊落一架飛機」、「出動戰機擊落一架臺灣伴飛的飛機」；國防部8月4日在臉書澄清上述傳言為假訊息，臺灣空軍並沒有此一伴飛任務。</p> <p>臺灣最大bbs論壇PPT，近來已經成為各種假消息傳播的溫床。8月4日在PPT有網友爆掛指稱：臺灣付費給政治公關公司，希望遊說裴洛西來臺訪問，期間共付費9,400萬元。到8月5日，PPT爆料文章更升級，遊說裴洛西支付公關公司的費用，更已經升級到5.5億元。</p> <p>不管是擊落軍機，或是付費遊說裴洛西來臺訪問的假消息，最終目的就是要打擊民眾對於國軍和政府信心的一種手段罷了。</p> <h3><span style="color:#0000FF;"><strong>網頁置換技術難度不高</strong></span></h3> <p>在此次裴洛西訪臺後，中國駭客的攻擊手法，也出現以往常見的網頁置換（Deface）方式。這種網頁置換的手法，技術含量並不高，通常是那些以駭客自居的網路攻擊初學者Script Kiddie（脚本小子）所發動的網路攻擊模式。</p> <p>這些脚本小子掌握網站漏洞後，便在網站首頁上傳置換的惡意內容，通常會出現攻擊組織的標誌、Logo以及宣示的字眼，宣示和炫耀的性質濃厚。</p> <p>高雄市環保局飲用水管理網站在8月4日晚間被置換網頁，掛上中國共產黨的五星旗；另外，在8月7日也傳出臺灣大學教務處、硏發處官網首頁遭到駭客置換網頁，網頁中出現紅色背景以及大大的「世上只有一個中國」、「中國一點都不能少」字樣，校方知情後，不久便進入「無法連上這個網站」的網站關閉狀態。</p> <h2><strong>武嚇手段升級，發動72小時環臺軍事演習</strong></h2> <p>為了抗議裴洛西高調、19小時旋風式訪問臺灣（8月2日晚上10點43分抵臺，8月3日下午5點29分離臺），中國在8月1日結束例行性軍事演習後，在確認裴洛西率團抵臺後，更在8月2日晚上10點59分於新華網公開宣布：解放軍將於8月4日12點～8月7日12點，於臺灣周邊6個海、空領域進行72小時軍事演習，也會有實彈射擊。</p> <p>國防部對此也公布中國軍機動態，指出共有27架戰機（5架殲16、6架殲11、16架蘇愷30）侵擾臺灣防空識別區（ADIZ），並有6架殲11、16架蘇愷30穿越臺灣海峽中線。</p> <p>國防安全研究院網路安全與決策推演研究所助理研究員曾怡碩則表示，裴洛西訪臺後，中國藉此為由大張旗鼓發動軍演、恫嚇臺灣，利用網攻製造民心恐慌，透過假訊息混淆視聽，加上軍演發動的實彈射擊，可以驗證類封鎖的震懾效果。</p> <p>曾怡碩說：「在共軍啟動實體軍事演習之前，網路攻擊與認知作戰結合的混合戰即已開打，並持續貫穿軍演期程。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/800-%E5%8F%B0%E5%A4%A7%E9%81%AD%E9%A7%AD%E5%85%A8%E7%B6%B2%E9%A0%81_%E7%B6%B2%E9%A0%81%E6%88%AA%E5%9C%96.png" style="width: 625px; height: 1200px;" /></p> <blockquote><p>在8月7日，臺大教務處和研發處官網遭到網頁置換（Deface），駭客上傳紅色背景以及「世界上只有一個中國」的圖片內容。一般而言，網頁置換的技術難度並不高，通常是腳本小子（Script Kiddie）為了炫耀或宣示的攻擊行為。圖/網頁截圖</p> <p> </p> </blockquote> </div></div></div>
2022/8/11 17:52作者黃彥棻https://www.ithome.com.tw/news/152445
【資安日報】2022年8月11日，思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天有許多資安新聞都與勒索軟體駭客有關。其中，又以同時身肩資安大廠的思科公布遭到勒索軟體駭客組織閰羅王（Yanluowang）入侵的事故最受到矚目，但主要的原因並非駭客是否部署了勒索軟體，而是駭客經由員工個人的Google帳號，取得了進入思科內部環境的管道。</p> <p>另一個引起注意的攻擊行動，是有關原本隸屬於勒索軟體駭客組織Conti旗下的團體，他們重新利用惡意軟體BazarCall及電話客服，來進行網路釣魚攻擊，目的是入侵受害者所屬的組織。</p> <p>VMware再度針對8月初修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，呼籲用戶儘速修補，原因是研究人員公布概念性驗證攻擊等細節，可能很快就會有駭客用於攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科證實遭勒索軟體駭客閰羅王入侵，駭客聲稱竊得2.75 GB資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></a>繼雲端服務業者Twilio、Cloudflare公布駭客針對員工下手，意圖入侵公司網路環境的情況，又有公司坦承因員工被駭而遭到攻擊。</p> <p>同時身肩資安大廠的思科於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">18家IT業者聯手成立資安系統共通資料規格專案，目的是讓資安團隊能在不同系統進行互通</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部公布組織規畫，預告年底將成立國家資安研究院</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> </div></div></div>
2022/8/11 18:02作者周峻佑https://www.ithome.com.tw/news/152446
【中介法衝擊分析】業界對中介法草案的5大質疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底，NCC公開了臺灣第一份數位中介專法《數位中介服務法》（簡稱中介法）草案，這是一份影響全國民眾、關鍵網路與電信服務業者的新法草案，也涉及14個目的事業主管機關公權力作為的草案，所以，草案一公布，就立刻引起了許多討論，尤其，各界對於中介法草案中的諸多法規要求、政府執法作為和業者遵循實務上，提出了多項質疑。</p> <p>我們向十多家相關業者，如電信、公有雲或網路業者，來了解業界對中介法草案的看法，不少業者以草案處於立法早期不便回應或正在了解法案中而無法回應。</p> <p>不過，業者們的態度，大多數都願意配合新法的規範來執行，但是，也有少數業者，對於如何遵循的具體執行方式，提出不少疑惑，或是窒礙難行的質疑。我們綜整了草案公開後，多方的熱門討論意見，再加上實際查訪網路業界的第一線意見，歸納出了5項業界對中介法草案的主要質疑。</p> <h3><span style="color:#FF0000;"><strong>質疑1：納管對象定義和分類不清，業者實際執行難遵循</strong></span></h3> <p>在草案中以數位中介行為來區分規範對象的分類，以及各自應盡的義務，但這就衍生了遵循上的困難，甚至讓業者難以分辨，自己符合哪一類規範的對象，因而不知該提供哪些義務，或該做到哪些規定才能免責。業者恐人人自危，擔心沒盡到應盡義務而不自知。</p> <p>例如草案要納管的連線服務，包括了人際通訊服務，參考歐盟定義將網路電話或一對一聊天室的服務也納管，但這是許多軟體常見功能，如主要OS、企業ERP、協作軟體、會員服務App皆常見。但只有面對公眾的「線上平臺服務」可用「非主要服務內容」為由不用遵循連線服務的義務，或是微型（NCC說法指5人以下）企業可以排除納管，其餘皆要遵循。換句話說，超過5人規模，不論盈利與否、應用場景，只要提供聊天室功能的App或平臺，都得盡到連線服務業者的義務，得接受資料調閱、揭露透明度報告等。</p> <p>再者，NCC參考歐盟十分之一人口的標準，也就是以230萬人有效用戶來定義指定平臺業者，但「有效」如何定義？註冊人數數百萬人，月活躍用戶可能不到百萬人，是否屬於納管對象，也成了模糊地帶。</p> <p>NCC讓業者自行判斷，有人檢舉才查證的做法，可能得等到有人舉報，業者才會知道自己該遵循而沒有做到，卻得面臨主關機關的罰款。</p> <p>另外，不同規範類型的義務不同，當平臺同時提供多種服務，例如有私人聊天室的連線服務和公共討論區的資訊儲存服務，光是透明度報告要求就不同，該合併揭露或依照不同服務類型分別揭露，都會帶來不同的法遵成本，但草案沒有進一步說明。</p> <p>中介法對納管對象和分類，得有更明確的定義，否則在執行實務上，將導致業者無所適從，不知該如何遵循。</p> <h3><span style="color:#FF0000;"><strong>質疑2：業者難判斷違法內容，導致避風港條款虛設又得承擔誤刪賠償</strong></span></h3> <p>草案雖然設置了業者免責的避風港條款，但在資訊儲存服務的免責條件上，要求業者得承擔違法判斷責任，同時要執行「立即」移除或限制行為，才能免責。但這兩項要求都有技術執行困難，尤其內容違法與否，業者得依照14個事業主管機關各自法規和解釋才能判斷是否違法，要第一時間對內容做出違法判定的難度很高，也就難以實現「立即」刪除，無法符合免責條件，等於避風港條款虛設。業者容易因判定困難而採取有人檢舉就刪文的極端做法，但草案又要求業者得向用戶說明刪文理由，若最後屬於「不需刪除的合法」內容，業者還得承擔賠償責任。</p> <p>不刪文，恐遭主管機關開罰，但刪文又得面臨誤刪後的使用者賠償，草案讓業者陷入兩面不是人的困境。</p> <h3><span style="color:#FF0000;"><strong>質疑3：各主管機關資料調取權限過大，不給最嚴重恐遭斷網</strong></span></h3> <p>NCC雖然強調，在中介法草案中，對資料調取權的設計，採用了嫁接法的設計，也就是說，各事業主管機關在各自主管法規中，也得具有資料調取的法律授權，才能向業者提出資料調取的請求，而不是憑空賦予行政機關有新的資料調取權。</p> <p>但是，原本在各機關的相關資料調取法規中，對於業者拒絕提供的罰則規定不一，甚至有些法規沒有罰則，業者可以拒絕提供，或業者可以要求得經法院同意才提供。但中介法草案賦予各事業主管機關，對於違反情節重大者，有權給予斷網處分，等於擴大了原本主管機關的調取權力。例如兒少性剝削條例第8條第1項要求業者配合移除並提供資料給主管機關，違反者最高罰30萬元。但在中介法通過後，兒少法主管機關可以用斷網手段，來處罰連續拒絕配合的業者，比原本兒少法賦予的罰則更重的懲罰。</p> <p>根據2020臺灣網路透明報告，光是2017～2018年間共12個機關提出4萬多次對網路服務供應商的使用者個資調取請求，雖然只有252次遭拒絕，但中介法若通過，各事業主管機關就掌握了斷網生殺大權，業者很難拒絕而必須配合。而且不限定主管機關，任何行政機關都可以依行政處分進行調取權，不少縣市政府所屬衛生局都曾向業者請求調閱用戶個資，日後，每一次調取都將對業者帶來不配合恐遭斷網的壓力。</p> <h3><span style="color:#FF0000;"><strong>質疑4：暫時加註警語容易遭濫用，恐淪為言論打壓手段</strong></span></h3> <p>草案中要求資訊限制需經由法院程序的設計，獲得多方肯定，但在法院裁定前，草案賦予行政機關可以要求數位中介服務業者對「謠言或不實訊息且違法的訊息」暫時加註警語，而且這些要求加註警語的行政處分效力長達30天，恐怕遭有心人濫用，淪為打壓競爭對手形象或言論的手段，尤其對不實資訊或謠言的判斷方式難有標準，為了避免承擔責任，業者容易遇到檢舉就先加註警語，更不利於多方言論的討論，尤其在選舉期間，這個加註警語的機制，可能遭濫用發動大量檢舉來抹黑對手的言論。</p> <h3><span style="color:#FF0000;"><strong>質疑5：資訊透明度化要求過細，小型業者難以負擔龐大法遵成本</strong></span></h3> <p>不少國家對網路平臺或內容服務業者也會要求定期揭露透明度報告，例如歐盟、美國、奧地利、印度、土耳其、南韓等都有，但相較於國外透明度報告的揭露要求，臺灣業界質疑，新版中介法草案中要求的透明度報告揭露項目太多，也太細了，恐怕會帶來了龐大的法遵成本。</p> <p>一家臺灣線上平臺業者評估，為了因應中介法的資料透明度義務，得付出的法遵成本恐怕高達千萬元之多，一方面得擴大人力來處理各項檢舉、申訴和異議處理，還得依據法遵要求紀錄處理過程、理由和時間，例如得追蹤線上救濟管道每一項檢舉和異議的處理時間。</p> <p>另一方面，得整理和搜集來自各行政機關的資料調取請求詳細資訊，甚至也得搜集對每一調閱請求的作業時間，才能產生符合中介法草案的透明度報告的要求。對影響力較大的平臺，甚至得揭露內容自律所用自動化技術的說明，如所用成效指標的準確度等。</p> <p>甚至，中介法草案還賦予了主管機關日後可以隨時指定透明度報告揭露項目的權利，不需經由立法，就可以自行透過行政辦法的修訂來增加，這也意味著，透明度報告日後還得面臨更多客製化調整的法遵成本。文⊙王宏仁、蘇文彬、余至浩</p> </div></div></div>
2022/8/11 19:05作者王宏仁https://www.ithome.com.tw/news/152449
《數位中介服務法》草案帶來新衝擊，NCC要中介業者擔起更多責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月底，NCC公布《數位中介服務法》（後續簡稱中介法）草案，這項草案在設計上相當大程度參考歐盟早先公布的數位服務法（Digital Services Act，DSA）架構，隨後DSA與數位市場法（Digital Market Acts，DMA）在7月獲歐洲議會通過，象徵歐盟加強對大型數位平臺義務及責任，以及對科技業者市場主導力量的監管力道。</p> <p>中介法可被視為臺灣版本的DSA，加強對數位中介服務的規範，一方面迎合國際上認為中介服務具備守門人（gatekeeper）特性，對數位中介服務予以規範，以建立安全、可信賴的網路環境，同時也符合平臺問責（Platform accountability）的概念。</p> <p>由於網路產業關係到民眾的言論自由、隱私權，NCC對外再三強調對網路中介平臺的規範是以治理取代傳統監理，鼓勵中介業者自律或是透過產業共識的他律，處理中介平臺上的違法或不當內容，同時也賦予政府公權力，為減輕非法內容對公共利益的損害，得向法院聲請資訊限制令、暫時加註警語等手段，要求業者協助移除或限制接取內容，或暫時加註警語。</p> <p><strong><span style="color:#B22222;">規範對象廣泛，Line、三大公有雲、網路論壇都被管</span></strong></p> <p>儘管NCC澄清中介法管理的對象並非包山包海，但主要規範的數位中介服務提供者，依據草案的說明，數位中介服務指，透過有線、無線、衛星或其他電子傳輸設施傳送數位格式的聲音、影像、文字、數據或其他訊息提供的通訊傳播中介服務。因數位中介服務相當廣泛，因此草案參考DSA的設計，將中介服務分為連線服務，快速存取服務、資訊儲存服務3大類，其中資訊服務再分為線上平臺、指定線上平臺2小類。</p> <p>連線服務包括中華電信光世代、凱擘大寬頻、亞太電信、台灣固網，以及Line、WhatsApp、WeChat等；快速存取服務則是提升資訊轉傳效率，經過通訊網路自動、中介、暫時儲存使用者資訊，例如CDN或邊緣雲服務；資訊儲存服務主要儲存使用者提供的資訊，涵蓋的服務像是Google Drive、Dropbox、三大公有雲。</p> <p>線上平臺服務則是進一步將儲存用戶的資訊開放公眾存取，例如Dcard、巴哈姆特、ptt等網路論壇，或是Meta、YouTube、Instagram、Yahoo!拍賣等等；指定線上平臺則是有效用戶數超過人口10分之1，由主管機關公告的大型線上平臺業者。</p> <p>上述幾家業者只是簡單的列舉，因NCC只根據認定標準公告的指定線上平臺業者，不會主動區分其他業者屬於什麼類型服務，相信還有許多潛在業者受到中介法規範，但業者自己可能並不知情。</p> <p>中介法草案將中介服務畫分為3大類加2小類，並為不同類型中介服務提出相對應的法定義務，一般中介業者應遵守的透明度報告、資訊限制令、資料調取8項義務，若為資訊儲存服務、線上平臺服務或是規模更大的指定線上平臺，需要額外遵守更多的法定義務，以指定線上平臺業者為例，最多需遵守約20項義務（將緊急資訊限制令併入資訊限制令計算），對業者的衝擊不小。</p> <p>另外，在草案中也設有安全港的免責條款，即平臺上有違法內容或遭到用戶求償，只要符合特定的條件，得以免除民事或刑事責任，對中介服務業者提供免責的保障。</p> <p><strong><span style="color:#B22222;">增加政府對平臺內容的限制權力</span></strong></p> <p>在數位中介服務基本的8項義務中，業者需遵守資訊限制令、緊急資訊限制令，資料調取義務，這3項義務擴大了政府對平臺上違法內容的限制權力，並可向中介業者索取用戶儲存資料的權力。</p> <p>例如中介法第18條規定，各主管機關對於平臺的內容如認為違法，可向法院聲請資訊限制令，並且在法院審查核發限制令之前，主管機關可以行政處分，對該內容暫時加註警示，第19條要求法院審查認為有理由者，核發資訊限制令，以移除或限制接取該資訊，中介業者需配合限制令處理。如業者拒絕配合執行限制令，則可能被罰最多50萬元罰鍰。</p> <p>草案第17條則賦予行政機關資料調取的權力，行政機關在其主管法律規定可不需經法院裁定，以行政處分向中介業者調取資料．相當大程度的授予行政機關資料調取的權力。</p> <p><span style="color:#B22222;"><strong>建立用戶異議機制</strong></span></p> <p>相較於過去，沒有法律明確規定數位中介服務業者提供救濟機制，多仰賴業者服務規範的自主決策，此次中介法草案採納國際上的聖塔克拉拉原則，該原則主要精神為要求中介服務業者執行程序透明，並且提供使用者救濟的管道。</p> <p>因此在中介法裡，規定使用者如對線上平臺服務的限制，包括移除或限制接取內容，或是帳號被停權，可以服務內部異議或外部申訴管道尋求救濟，保障用戶的使用權益。</p> <p> </p> <p><span style="color:#B22222;"><strong>NCC：中介法要求平臺透明與可問責，維護網路言論自由</strong></span></p> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA_20220713.jpg" style="width: 600px; height: 400px;" /></p> <p>「數位中介服務法草案的立法精神是，維護網路上的言論自由，建立自由、安全、可信賴的網路環境」，NCC副主委兼發言人翁柏宗今年6月公布數位中介服務法（簡稱中介法）草案時開宗明義點出草案的立法精神，NCC希望一方面迎合國際上對中介服務的監理趨勢，也滿足國內對中介平臺的實際監理需要，因此參考歐盟數位服務法（DSA）架構制定草案。</p> <p>他表示，中介法草案的目的是希望建立數位中介服務的社會問責，並引入多方利害關係人共同維護網路環境及溝通平臺的專責機構。中介法類似普通法的地位，介接各部會作用法，由於網路世界是實體世界的延伸，因此網路上違法內容，由各部會依據作用法認定，並採納馬尼拉中介者責任原則，由司法機關協助維護言論自由的最後裁定，要求社群平臺建立透明及內外部異議的救濟制度，讓使用者主張維護自己的權益。</p> <p>翁柏宗指出，中介服務業者與使用者間的互動屬於私契約關係，使用者需遵守與平臺間的服務條款、社群條款，中介服務業者多以違反服務或社群守則為由，貼黃標下架使用者在平臺的特定內容。隨著中介平臺的發展，民眾交易、社交互動都在平臺上進行，逐漸成為一種準公共空間，因此需要對業者提出應遵守的義務，且可被公眾問責。</p> <p>未來中介法上路後，平臺業者如果下架使用者的內容，翁柏宗指出，業者需做到3點義務，首先最基本的是，必需清楚說明下架理由，解釋違反哪一條社群守則或服務規範，其次是當使用者表達異議時，業者必需提供內外部救濟制度，最後是，平臺業者每半年或一年需公開透明度報告，讓公眾可以檢視問責。透過對平臺治理內容的透明度，以及可被問責。「實現對民眾網路言論自由的保障」。</p> <p>儘管臺灣的中介法草案參考DSA架構，但NCC強調立法設計上有兩點與DSA不同。首先是中介法授權各法規主管機關調查平臺上的資訊，如認為有違法，為避免對公共利益造成損害，得向法院聲請資訊限制令，DSA則沒有資訊限制令，而是由其他作用法規定限制違法內容。</p> <p>其次是設立專責機構，由多方利害關係人組成議事架構，一方面形成中介產業的自律共識，另方面扮演政府各主管機關與中介業者間的單一溝通窗口。</p> <div> </div> </div> <div> </div> </div></div></div>
2022/8/11 19:08作者蘇文彬https://www.ithome.com.tw/news/152447
十多家業者發表開放資安框架以標準化不同產品的監控資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括AWS、Splunk、賽門鐵克、Cloudflare、Palo Alto Networks、IBM及趨勢科技等十多家科技與資安業者，<a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" target="_blank">在本周三（8/10）共同發表</a>了開放網路安全模式框架<a href="https://github.com/ocsf/" target="_blank">（Open Cybersecurity Schema Framework，OCSF）專案</a>，以協助組織更快也更有效率地偵測、調查與阻止網路攻擊。</p> <p>此一專案的創始者為AWS與Splunk，<a href="https://aws.amazon.com/tw/blogs/security/aws-co-announces-release-of-the-open-cybersecurity-schema-framework-ocsf-project/" target="_blank">根據AWS的解釋</a>，OCSF專案包含一個開放規格，以用來建立各種安全產品及服務之安全遙測的標準化資料，以及各種可支援及加速採用OCSF模式的開源工具。</p> <p>AWS指出，客戶經常反應不同安全產品之間的互動與資料的標準化令它們傷透腦筋，安全團隊必須以專有的格式才能統一來自不同供應商的多種產品的資料，使得安全團隊無法專注於偵測及回應事件，而且還要花時間將這些資料標準化。</p> <p>開源的OCSF主要作為開發各種模式的延伸框架及無關供應商之核心安全模式，供應商與其它的資料產生者可根據特定領域採用或延伸該模式，資料工程師則可比對不同的模式以協助安全團隊簡化資料攝取與標準化，進而讓資料科學家及分析師得以利用通用的語言，進行威脅偵測與調查。</p> <p>其最終目標是提供一個支援所有環境、應用程式或解決方案的開放標準，同時彌補現有安全標準與程序的不足。</p> <p>除了AWS與Splunk之外，另外16家加入該框架的業者還包括博通（Symantec）、Salesforce、Rapid7、Tanium、Cloudflare、Palo Alto Networks、DTEX、CrowdStrike、IBM Security、JupiterOne、Zscaler、Sumo Logic、IronNet、Securonix與趨勢科技。</p> </div></div></div>
2022/8/11 17:24作者陳曉莉https://www.ithome.com.tw/news/152444
Visual Studio Code 1.70改善標題列客製化，預設啟用三向合併編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_70#_command-line-option-merge">VS Code 1.70</a>是微軟甫推出的7月更新，這次的更新有不少重點在於介面改進，提升使用者的操作體驗，並且簡化開發者解決Git合併衝突的程序。</p> <p>Windows、macOS和網頁用戶都會注意到，微軟正在VS Code標題列加入更多的互動式內容，雖然開發人員原本就有能夠隱藏這些元素的配置選項，但在新版本中，現在能夠更方便地右鍵點擊標題列，來存取切換選單列、命令中心和布局控制元件的右鍵選單。</p> <p>想要使用系統右鍵選單的Windows用戶，仍然可以右鍵點擊視窗左上的VS Code圖標，或是Alt+Space來觸發選單，由於滑鼠游標的位置，就是觸發選單的位置，因此當游標在標題列頂端，就會出現自定義選單。</p> <p>早前選單在VS Code視窗縮小時，會折疊成三條橫線的漢堡選單，以騰出更多的空間，但在用戶反應後，微軟調整選單列的折疊邏輯，現在選單會先切換成舊的選單列折疊行為，直到大部分菜單折疊，最後才會切換到漢堡菜單。</p> <p>此外，微軟改進命令中心體驗的部分工作，在macOS的標題列出現互動式元件時，標題列現在將隨其他UI一起縮放，來提高可存取性。</p> <p>微軟進一步改善三向合併編輯器，並在VS Code 1.70中預設啟用，用戶可以透過點擊原始碼控制檢視圖中的衝突檔案來啟用這個合併編輯器，這次的更新功能亮點包括改進選單、強化差異用色，以及突出顯示衝突與非衝突的變更。</p> </div></div></div>
2022/8/11 16:25作者李建興https://www.ithome.com.tw/news/152439
【中介法政府面衝擊分析】中介法兩大對政府公權力擴權的執法手段，也引發政府濫權爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC近期公布的《數位中介服務法》草案，不只衝擊臉書、YouTube、Dcard、ptt在內等數位中介服務平臺業者，還賦予政府自身更多權力，最直接影響就是，未來政府機關若認定有違法資訊在網路上散播，可要求平臺業者配合加註警語、下架資訊，甚至不用經法院同意，依法就能直接向業者調取使用者個資，此舉也引起外界高度關注。</p> <p>草案中關於政府擴權的條文有兩項規定，一個是資訊限制令，另一個是資料調取，就列在草案第18條和第17條。</p> <p>首先，根據草案第18條對「資訊限制令」的規定，明定政府模式下違法內容的處理，可由各主管機關依各自法規，向法院聲請資訊限制令，當取得法院限制令後，業者必須配合辦理，就違法的內容做資訊移除或限制其接取等必要措施，違者開罰。</p> <p>過去，政府要禁止或限制相關網路違法內容，多仰賴和平臺業者之間不成文的默契，基於雙方協定，由業者提供協助，但即使最後拒絕，也不會遭罰。</p> <p>但有了18條規定，法規主管機關未來可依法院核發的資訊限制令，要求業者配合移除或下架資訊，若拒絕配合也有明定罰則，最高可處50萬元罰鍰。</p> <p>不僅如此，法院裁定前，聲請機關也有權要求業者加註圖文警示，甚至最多可放置30天。這項規定為政府機關帶來新的執法手段，而且不需要法院同意，也不用考慮情況有無急迫性，就能要求業者配合執行。甚至涉及重大公共利益且有急迫必要性時，政府可採取緊急程序，由法院48小時內迅速裁定。</p> <p>資料調取權則是草案所賦予政府另一項公權力，有別以往執法單位調取網路使用者資料，必須依法院搜索票，才能以此請求業者提供，除非法律特別規定，大多情況下，數位中介平臺業者，並沒有配合政府提供資料的義務，也沒有相關罰則。</p> <p>但草案17條明定，業者以後必須依政府各機關所作的行政處分，來提供手上的資料，甚至不須經法院裁定，就能調閱所需資料，雖然僅限於特定使用者資料，不包含其他資料，但這條規定，等於擴大了政府對於資料調取的權限，甚至對調取機關也沒有設限，只要是行政機關，不分中央或地方，依其主管法律有相關規定就能調取。</p> <h3><strong>不只有罰則，情節嚴重還可命電信業者對不遵守者斷網</strong></h3> <p>若業者拒絕提供用戶資料，不僅會面臨裁罰，更得按次處罰。此項規定為政府提供了一個連續處罰的有力的執法武器，甚至裁罰後仍不改正，且情節嚴重時，各該法規主管機關得命電信業者採取斷網行動，可以說是政府最嚴厲的執法手段。這項斷網規定也適用於未配合法院限制令辦理或加註警示要求的情況。</p> <p>資訊限制令和資料調取規定，都是對於政府公權力的擴充，也引起外界的擔憂，認為付出代價太高，可能會為政府機關大開方便之門，有濫用政府權力之虞。。</p> <p>元智大學資訊管理學系教授周韻采就認為，草案對資訊限制令的授權範圍和行使模式過於廣泛，包括加註警語的方式，可能產生寒蟬效應，且對緊急資訊限制令要件需嚴格限縮，比如限縮為重大事件，且需經過法院審核，避免政府假借緊急程序之名，行濫權之實。</p> <p>台灣網路資訊中心董事暨執行長黃勝雄也認為，17條資料調取權等於是讓原本僅限縮在特定事業的調取義務，未來可以擴大到所有中介平臺者，皆適用。</p> <p dir="ltr">單從條文來看，對這兩項規定也有不夠明確之處，像在緊急限制令上，雖需經過法院程序，但是條文中對「重大公共利益且有急迫必要性」構成要件說明並不明確，在判斷上不容易解釋。另外，對於資料調取執行程序上，不需要經過法院同意，就能要求業者依把提供使用者資料的作法，也可能過分擴權侵害用戶隱私的疑慮。</p> <p dir="ltr">根據台權會2020台灣網路透明報告統計，光是2017～2018年，政府機關向平臺業者要求調取使用者個資，就有超過4萬多次，涵蓋多個公家單位，從這項統計中，顯示出政府對於資料調取的頻率，其實並不低，甚至對於限制網路內的請求，2年內就多達800次。</p> <p>為防止政府濫權，草案中也有相關配套措施，像是要取得緊急資訊限制令，聲請機關須向法院釋明緊急請求必要性，包括符合違法內容，需馬上處理，否則將造成重大損害的情況，且對涉及資訊限制的結果皆須公開透明，可供公眾線上查詢。法院裁定前應給予提供資訊使用者陳述意見，必要時得諮詢產業自律或事實查核組織的意見，避免聽信一方的意見或說法。</p> <p>其次，要求業者配合暫時加註警示的前提，主管機關法規必須對該類不實訊息違法內容定有構成要件及禁制規定，且已向法院申請限制令，這些條件都具備後，才能以此作出處分。</p> <p>另外在資料調取方面，更要求行政機關調取資料前必須有法律授權，若其作用法沒有授權，除非另外修法，否則對於行政機關的資料調取要求，業者可以明確拒絕。文☉蘇文彬、余至浩</p> </div></div></div>
2022/8/11 16:39作者余至浩https://www.ithome.com.tw/news/152442
【中介法用戶面衝擊分析】下架內容將有平反救濟新管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去對於民眾遭到臉書、YouTube下架的內容，法律並未強制要求設置事後救濟管道，必須仰賴業者自律，但中介法草案未來立法通過後，將賦予民眾除了司法救濟之外的新的法定救濟權，對不服決定可直接向線上平臺服務業者提出異議和申訴，以恢復自身的權益。</p> <p>根據草案第24、25條規定，民眾若不服線上平臺服務業者的決定，包括資訊遭移除或限制接取、無法使用線上平臺服務，以及使用者帳戶被停權，皆可循內部異議、外部申訴兩大救濟管道，替自己遭到限制的權利平反。</p> <p>當移除民眾提供的內容時，業者依法必須告知當事人不服決定的救濟措施，包括內、外部救濟和司法救濟途徑。</p> <h3><strong>民眾內部異議救濟期間至少要有6個月</strong></h3> <p>針對草案第24條的異議機制和程序，也有特別要求，像是至少須提供6個月異議期間，可供當事人提出異議申請，這也是對於異議者救濟期間的保障，其次，業者必須建立一套e化異議機制，讓使用者可線上提出申請，操作介面設計也要簡單易懂，方便使用。</p> <p>在異議審查程序上，也不允許業者僅以自動化決策處理的結果，作為審理唯一判斷依據，而是必須基於客觀和盡職原則，來達到實質有效的異議審查。業者於審理後，認為異議有理由，就應該將非屬違法的內容或停權用戶帳戶回復原狀。</p> <h3><strong>外部申訴救濟管道，需擇定公正且獨立第三方機構</strong></h3> <p>除了內部異議機制外，當事人如果對異議結果不服時，仍可循外部申訴救濟管道來解決。</p> <p>草案25條明定，平臺業者依法必須建立訴外爭議解決機制，對於其擇定的外部申訴機構也有嚴格要求，像是必須是由公正且獨立第三方機構，來負責處理當事人申訴爭議，爭議處理也要結合數位化通訊技術，方便接近使用。而對於該機構最後所做出的決定，業者必須加以遵守。</p> <p>值得一提的是，考量到雙方條件的不對等，當外部申訴機構做出有利於申訴者的決定時，將由平臺業者負擔對方申訴產生的相關費用或支出。</p> <p>反之，若是做出支持業者決定時，申訴者無須替平臺業者支付申訴相關費用。這是對於使用者選擇外部救濟管道的有利保障。</p> </div></div></div>
2022/8/11 16:40作者余至浩https://www.ithome.com.tw/news/152441
AI趨勢周報第196期：史丹佛研發陪審團學習方法，要解決標註者造成的ML偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0805～0811)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 陪審團學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 偏差 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>史丹佛研發陪審團學習方法，要解決標註者分布不均造成的ML偏差問題</strong></span></p> <p>史丹佛大學團隊研發一種陪審團學習方法，可控制ML模型輸出值的偏差（Bias），不受到標註者的身分背景影響，例如因標註者的年齡、性別、教育程度、居住地不同而帶來的標註偏差。</p> <p>他們先是訓練分類器，來模擬不同標註者的標註行為，如女性、黑人，而不像常見的分類器，只模擬一般標註者行為。這種分類器，還能讓使用者依其所需，產出特定標註者的標籤，來對訓練資料貼標。</p> <p>在實作上，團隊利用社交平臺留言資料集來訓練分類器，讓分類器模擬不同標註者，對這些留言給出的惡意性評分。該資料集包含了17,280位標註者，對留言的惡意性評分（0至4分），每位標註者也提供自己的年齡、性別、種族、教育水準、政黨派別，以及是否為人父母和宗教信仰等特徵。接著，團隊利用BERTweet模型來產生每條留言的表徵，再將這些表徵集結起來，作為Deep & Cross類神經網路的輸入值，來產出不同標註者對留言的評分。在推論上，團隊設置特定特徵組成的虛擬陪審團，讓模型隨機挑選12合適的位標註者，來預測評分，並經多數決選出最佳標籤。團隊發現，模型平均絕對誤差為0.61，在預測不同種族標註者時，模型也有一致的錯誤率，如亞洲人0.62、黑人0.65、西班牙裔0.57、白人0.6。<a href="https://arxiv.org/abs/2202.02950">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 招潮蟹 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>模擬招潮蟹！MIT專家打造出陸地水下都能看的360度人造眼</strong></span></p> <p>MIT電腦科學與人工智慧實驗室CSAIL聯手首爾國立大學，打造一款可同時分辨陸地和水下景象的仿生人造眼系統，外形有如一個黑色的小球，透過混合材質來處理光線訊息，視野不再只限於半球形，而是近360度的全景視角。</p> <p>團隊表示，這款人造眼是受招潮蟹啟發，因為招潮蟹有獨特的視覺系統，平坦的角膜和漸變折射率處理能力，可解決因外部環境變化而產生的散焦，此外，特殊的眼睛結構還讓招潮蟹具備3D全景視角。因此，團隊將一系列具漸變折射率分布的平面微透鏡，以及梳狀的柔性光電二極管陣列，整合分布在一個3D球體上。</p> <p>如此，就算光線從多處射出，也會聚集在圖像感測器的同一點上，不論周遭折射率如何變化。為測試系統，團隊將這個人造眼半浸於水中，並在水陸和不同距離之處擺設5個物件。他們發現，不論陸地還是水下，系統可呈現一致的圖像品質，也能呈現近乎360度的陸地和水下景象。<a href="https://news.mit.edu/2022/first-artificial-vision-system-for-both-land-and-water-0804">（詳全文）</a></p> <p><img alt="" src="https://news.mit.edu/sites/default/files/styles/news_article__image_gallery/public/images/202208/MIT-Amphibious%20Eye.jpg?itok=KFb93mUp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聊天機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BlenderBot 3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開發新演算法Director，要讓新一代Chatbot談吐更優雅</strong></span></p> <p>Meta以自家的語言模型OPT-175B為基礎，開發出1750億參數的新一代聊天機器人BlenderBot 3，效能比第二代要好31%，再加上以58倍大的資料庫來訓練，第三代的知識量是前一代的2倍，錯誤率則降低47%。</p> <p>為了讓BlenderBot 3不受有心人濫用、說出沒禮貌的回應，Meta設計一款新學習演算法Director，可利用語言建模和分類方法，來產出BlenderBot 3給用戶的回應。其中的分類器，可訓練來處罰低於標準、有害、矛盾或重複的言論，團隊測試發現，這種方法比獎勵學習機制、重新排名和傳統語言建模方法要好。<a href="https://ai.facebook.com/blog/blenderbot-3-a-175b-parameter-publicly-available-chatbot-that-improves-its-skills-and-safety-over-time/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/293605752_371107728534595_766213306642541705_n.jpg?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=wc9g2gaD-ywAX-xMFw_&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT_WjetGwRjNJ-xmm4Q-u4lCTM72tEcK2C4K8pMBm1eHMw&oe=62FA60DD" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ViTDet </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源新電腦視覺模型，可偵測更多不常見物件</strong></span></p> <p>Meta發表最新物件偵測模型ViTDet，經LVIS資料集測試的表現，比其他基於ViT的模型還要好。ViTDet不僅能偵測桌椅等標準物件，還能找出如餵鳥器、花圈和甜甜圈等較不常見的物品。這項研究之所以重要，是因為物件偵測是一項重要的電腦視覺任務，而物件偵測要更有用，就得辨識出更多不常見的物件，或是在訓練資料中很少出現的物件。</p> <p>有別於傳統方法，Meta僅從單一尺度的特徵圖，就可建構簡單的特徵金字塔，不需用到過去常見的FPN設計，直接用ViT最後一層特徵，就可重建FPN，這種作法更簡單直覺，更不耗費記憶體，訓練和推理的速度也更快。Meta現已開源ViTDet程式碼和訓練方法。<a href="https://ai.facebook.com/blog/efficient-accurate-object-detection-for-hundreds-of-uncommon-object-classes/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/296441347_1256417291853650_7568776143346380791_n.jpg?_nc_cat=100&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=b3B25MizUFYAX_lkpdK&_nc_ht=scontent.ftpe7-1.fna&oh=00_AT_VjGHli9vIS2bXVPhhjDKokY8nSm53i2K2O1h3J1jCQA&oe=62FA3EF2" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 牙周病 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TFDA </span></strong></span></p> <p><span style="font-size:22px;"><strong>牙醫科技新創打造牙周病判讀AI，今年拼TFDA取證</strong></span></p> <p>國產牙醫科技新創台灣牙e通（dentall）打造牙科影像判讀AI，不只能判斷基本的口腔X光片牙位、分辨牙齒位置和牙肉，還能預測蛀牙病灶和牙周病期別，其中牙周病預測準確率達97%。</p> <p>2019年，他們與北醫聯手，透過北醫提供去識別化且經標註的牙齒影像，來訓練AI模型。第一階段，他們先訓練模型辨識牙位，比如上下左右排牙齒，目前已能取代人力，自動將散亂的影像自動排序。接著，模型進一步學會辨識牙肉與牙齒位置，有這些基礎後，他們開始打造牙周病偵測AI，根據牙肉和牙齒露出牙肉的比例，以及美國牙周病學會標準，來計算牙周病期別。今年，他們準備申請衛福部食藥署智慧醫材SaMD認證，下一步要整合保險給付，比如模型判斷出第3期別，需要牙周病再生治療，就可整合保險端來簡化給付作業。<a href="https://www.ithome.com.tw/news/152303">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3381.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazon </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 小樣本學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon小樣本學習模型勝過千億參數大模型</strong></span></p> <p>Amazon改良Alexa AI，開發出200億參數的語言模型AlexaTM 20B，只需少量人工輸入，就能在不同語言間，轉移已習得的知識。進一步來說，AlexaTM 20B是以Transformer架構為基礎，只需給幾個任務提示，AlexaTM就能將已學習的知識或任務，從一個語言轉移到另一個語言，且不需要額外的人工標註。</p> <p>AlexaTM 20B具200億參數，在多種語言任務上優於上千億參數的大模型。有別於大部分Transformer架構的語言模型、只採用解碼器，AlexaTM 20B採序列到序列（seq2seq）的編碼器-解碼器架構，在翻譯和文本摘要的效果優於GPT-3，還支援更多語言，像是阿拉伯語、英語、法語、泰米爾語和泰盧固語等。由於AlexaTM 20B的參數數量較少，再加上Amazon對訓練引擎的改進，AlexaTM 20B在訓練期間的碳足跡，只有GPT-3的五分之一。<a href="https://www.amazon.science/blog/20b-parameter-alexa-model-sets-new-marks-in-few-shot-learning">（詳全文）</a></p> <p><img alt="" src="https://assets.amazon.science/dims4/default/3eb4148/2147483647/strip/true/crop/2486x1384+0+0/resize/1200x668!/format/webp/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2Fc1%2F92%2F9fb5ffc2475985df97aff167ba2c%2Fmultilingual-annotation.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 印度 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 即時監控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>印度導入AI強化邊境即時監控和社交平臺危險偵測</strong></span></p> <p>印度軍方近日宣布導入一套AI系統，來即時監控北部和西部的邊境狀況，以及偵測社交平臺活動，來即時掌握危機狀況。進一步來說，印度與中國、巴基斯坦接壤，長年以來存在不少邊界衝突，為此，印度計畫重用AI來強化軍事能力。比如，他們已採用人臉辨識、語言翻譯（中文到英文）、遠程武器操作站、探雷機器人和入侵偵測系統等，來加強軍事防禦。</p> <p>而這次導入的AI系統，則搭配印度可疑車輛登記系統，再加上可轉動視角的監視器和熱成像監視器，來即時偵測可疑車輛，並通知士兵阻攔。印度媒體稱，該系統已於8區域上路。<a href="https://analyticsindiamag.com/how-does-the-indian-army-want-to-use-ai/">（詳全文）</a></p> <p>圖片來源／MIT、Meta、Amazon</p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 英國未來2年要建無人機專屬高速公路</strong></p> <p><strong>2. CMU開源ML工具來解決時序事件問題</strong></p> <p>資料來源：iThome整理，2022年8月</p> </div></div></div>
2022/8/11 15:44作者王若樸https://www.ithome.com.tw/news/152440
思科坦承遭網路攻擊，公布完整攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" target="_blank">思科（Cisco）周三（8/10）坦承</a>，該公司在5月24日察覺遭到入侵，並由思科資安事件應變小組（CSIRT）與旗下資安公司Cisco Talos攜手補救，起因是一名員工的個人Google帳號遭到駭客入侵。雖然思科並未發現系統被部署勒索軟體，但勒索軟體集團Yanluowang宣稱已取得2.8GB的思科資料。</p> <p>根據思科的調查，駭客是先取得了一名思科員工的個人Google帳號，該名員工在Chrome中啟用了帳號同步功能，並於瀏覽器上存放了思科憑證；在得到思科憑證之後，駭客藉由語音網釣，以及頻繁發送多因素認證（MFA）請求至員工手機，最終成功進入了思科的VPN網路。</p> <p>該名憑證被盜用的員工還說，他在幾天之內收到無數的電話，對方以各種國際腔調說著英文，宣稱來自於受到該員工信任的組織。</p> <p>隨後駭客還註冊了多個裝置以供MFA使用，並將自己升級到管理權限以登入多個系統，便是此舉觸發了思科內部的安全警報。</p> <p>此外，駭客亦於思科系統內植入了各種工具，諸如LogMeIn與TeamViewer等遠端存取工具，以及 Cobalt Strike、PowerSploit、Mimikatz與Impacket等攻擊型安全工具，還新增了多個後門帳號以方便自己出入。</p> <p>思科指出，該攻擊的初始存取掮客（Initial Access Broker，IAB）與UNC2447及Lapsus$駭客集團有關，前者是基於金融動機的俄羅斯駭客集團，藉由部署各式勒索軟體獲利，後者則是一個鎖定企業網路的駭客集團，目的是竊取機密資訊。雖然駭客所使用的戰術流程（TTP）與勒索軟體駭客如出一轍，但駭客並未於此一攻擊行動中部署勒索軟體。</p> <p>然而，就在思科公布攻擊報告的同一天，<a href="https://twitter.com/Cyberknow20/status/1557419082210676736" target="_blank">勒索軟體集團Yanluowang便在資料外洩名單上納入了思科</a>（下圖），根據<a href="https://www.bleepingcomputer.com/news/security/cisco-hacked-by-yanluowang-ransomware-gang-28gb-allegedly-stolen/" target="_blank">《BleepingComputer》</a>的報導，駭客宣稱取得了2.8GB的思科資料，並向思科提出了贖金的要求。</p> <p class="rtecenter"><a href="https://twitter.com/Cyberknow20/status/1557419082210676736/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZ0QZtoUEAAAVVF?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/Cyberknow20/status/1557419082210676736/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CyberKnow on Twitter</span></span></a></p> <p>思科則向《BleepingComputer》表示，此一意外並未對思科的業務造成任何影響，包括思科產品、服務、機密的客戶或員工資料、智慧財產，以及供應鏈運作等。</p> </div></div></div>
2022/8/11 14:43作者陳曉莉https://www.ithome.com.tw/news/152437