iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年8月18日，駭客即將突破Android 13安全防護機制、勒索軟體BlackByte 2.0網站…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客為了規避Android系統的防護機制，近期使用側載（Side Loading）手段來執行惡意程式的情況越來越頻繁，對此Google在新版Android 13加入了防堵機制，但在這套作業系統推出不到一天，就有資安業者提出警告，有駭客已經找到突圍的方法，很有可能讓上述防護措施無法發揮作用。</p> <p>勒索軟體駭客近期針對從受害組織竊得的資料，想要找出新的獲利方式，或是對受害組織施加更大的壓力。而最近BlackByte架設新的受害者公布網站，當中就納入新的付費按鈕──任何人都可以付費下載受害組織的資料，或是要求銷毀。但這種做法效果仍有待觀察。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上，針對即時定位系統（RTLS）的零時差漏洞提出警告，由於此種系統會運用於智慧城市、交通運輸、零售業等領域，一旦駭客利用漏洞，有可能因竄改地理位置資料而影響人身安全。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.threatfabric.com/blogs/bugdrop-new-dropper-bypassing-google-security-measures.html"><span style="color: rgb(0, 0, 0);">Android 13防堵惡意程式提升權限的安全防護機制即將遭到破解，駭客製作能模仿合法應用程式安裝流程的工具BugDrop</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bugdrop-poc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bugdrop-poc.png" style="width: 300px; float: right;" /></a>Google在8月15日正式推出Android 13作業系統，並開始提供Pixel手機用戶升級。新版作業系統在安全性上，特別針對以側載（Side Loading）執行的軟體，限縮能夠取得的權限，來減少攻擊者用來提升惡意程式權限的現象。但最近已有駭客破解這種防護機制，且很有可能快要成功。</p> <p>資安業者ThreatFabric發現，駭客組織Hadoken Group正在開發名為BugDrop惡意程式下載器（Dropper），試圖以多階段安裝惡意軟體元件的做法，模仿從Google Play市集下載的App安裝流程，突破這種防護措施，進而讓惡意軟體能取得輔助服務（Accessibility Service）的權限來控制手機。研究人員表示，BugDrop雖然尚在開發階段，但是這種新的部署惡意軟體手法，將可能會讓Android 13的防護機制失去作用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/blackbyte-ransomware-gang-is-back-with-new-extortion-tactics/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte 2.0變得更加死要錢，就連暫緩資料外洩也成為收費項目</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blackbyte-new-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackbyte-new-data-leak-site.jpg" style="width: 300px; float: right;" /></a>勒索軟體BlackByte於去年夏天出現，攻擊舊金山49人美式足球隊而聞名，該駭客組織在沉寂一段時間後，最近有了新的動作。根據資安新聞網站Bleeping Computer的報導，這些駭客宣稱推出BlackByte 2.0新版，並架設新的受害組織公布網站。</p> <p>此網站與過往最大的不同點，在於提供了額外收費的選項，例如，支付5千美元能要求駭客延後1天公布受害組織的資料，支付20萬美元可下載資料，若是要銷毀駭客竊得的資料，則要價30萬美元。研究人員表示，這些金額駭客有可能會根據受害組織規模進行調整。</p> <p>這些新的收費項目將使得駭客的勒索行為變得更加複雜。受害組織可能因為無法接受贖金金額，選擇付錢增加對外處理的緩衝時間，或是得知遭竊資料內容，再者，這些資料也有機會被他人買走。</p> <h3><strong style="font-size: 22px;"><a href="https://www.phishlabs.com/blog/new-report-documents-highest-volume-of-response-based-email-threats-since-2020/"><span style="color: rgb(0, 0, 0);">電話客服網釣自2021年以來增加超過6倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vishing.png" style="width: 300px; float: right;" /></a>資安業者Agari與PhishLabs聯手，發布2022年第2季的網路釣魚威脅分析報告，當中特別提及使用語音的網釣攻擊（Vishing）現今相當氾濫，相較於2021年第1季，2022年第2季的攻擊數量增加了625%。</p> <p>研究人員指出，現在的網釣攻擊已朝向多階段的混合攻擊發展，Vishing就占了所有網釣攻擊的四分之一。在這種手法中，駭客先是寄送電子郵件，並引誘受害者撥打信件上的「客服」電話，再透過電話騙得敏感資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-security-updates-fix-2-zero-days-used-to-hack-iphones-macs/"><span style="color: rgb(0, 0, 0);">蘋果修補iOS裝置與Mac電腦的零時差漏洞CVE-2022-32894、CVE-2022-3289393</span></a></strong></h3> <p>蘋果於8月17日緊急修補CVE-2022-32894與CVE-2022-32893，這些漏洞存在於作業系統核心與Safari瀏覽器排版引擎WebKit，執行iOS、iPadOS，以及macOS作業系統的裝置都有可能受到影響，一旦遭到利用，攻擊者將能執行任意程式碼。蘋果發布iOS 15.6.1、iPadOS 15.6.1，以及macOS Monterey 12.5.1修補上述漏洞，並指出兩個漏洞都已經被用於攻擊行動，呼籲使用者要儘速更新作業系統。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/08/stable-channel-update-for-desktop_16.html"><span style="color: rgb(0, 0, 0);">Google修補瀏覽器已被用於攻擊行動的零時差漏洞CVE-2022-2856</span></a></strong></h3> <p>Google於8月16日發布電腦版Chrome瀏覽器更新104.0.5112.102（Windows版）、104.0.5112.101（macOS、Linux版），當中總共修補11個安全漏洞，其中最值得留意的是高風險漏洞CVE-2022-2856，此漏洞與Intents未受信任的輸入驗證不充分有關，且已出現攻擊行動。而這已是今年出現的第5個Chrome零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/nozomi-networks-researchers-reveal-zero-day-rtls-vulnerabilities-at-black-hat-22/"><span style="color: rgb(0, 0, 0);">研究人員在美國黑帽大會揭露即時定位系統的零時差漏洞，恐被用於竄改地理位置資訊</span></a></strong></h3> <p>資安業者Nozomi Networks在黑帽大會（Black Hat USA 2022）上，展示了超寬頻（Ultra-wideband，UWB）即時定位系統（Real Time Locating Systems，RTLS）的安全漏洞，指出RTLS的處理程序缺乏安全標準，可能會遭到中間人（MitM）攻擊，研究人員於Sewio Indoor Tracking與Avalue Renity Artemis Enterprise裝置上找到了零時差漏洞，一旦駭客利用這些漏洞，將能取得藉由無線網路傳遞的位置資訊。研究人員呼籲部署RTLS系統時應採用加密流量，也考慮設置防火牆與入侵偵測系統（IDS）。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mohw.gov.tw/cp-5271-71073-1.html"><span style="color: rgb(0, 0, 0);">衛生福利部首度舉辦醫院資安攻防演練</span></a></strong></h3> <p>8月17日，衛生福利部在於林口長庚紀念醫院舉行醫院資安攻防演練，由林口長庚醫院與長庚醫學科技公司的資訊、醫工與工務人員為防禦主體，搭配多家資安服務協辦廠商組成防禦團隊，並由3家資安服務業者模擬駭客手法，透過編製腳本攻擊方式進行攻防演練。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152538"><span style="color: rgb(0, 0, 0);">臺灣政府零信任網路戰略成形，首波推動A級公務機關導入</span></a></strong></h3> <p>零信任架構（Zero Trust Architecture，ZTA）備受資安圈與全球政府重視，不只是美國政府在近一年來提出具體規畫，我國政府今年亦將開始行動，根據行政院國家資通安全會報技術服務中心，他們在7月中旬揭露相關資訊，並指出為了強化政府資安防護，導入零信任網路已經成為既定政策，目前確定將優先推動國內A級機關逐步導入。現階段正遴選機關試行，將以逐年導入方式，在2022年到2024年，建立起零信任網路中的「身分鑑別」、「設備鑑別與「信任推斷」3大核心機制。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.recordedfuture.com/redalpha-credential-theft-campaign-targeting-humanitarian-thinktank"><span style="color: rgb(0, 0, 0);">中國駭客RedAlpha假冒美國在臺協會的名義，攻擊臺灣組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-use-signed-macos-malware-to-target-it-job-seekers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定Mac電腦用戶，以Coinbase職缺為幌子發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/blog/pypi-malware-discord-roblox-credential-payment-info/"><span style="color: rgb(0, 0, 0);">惡意PyPI套件竊取Discord、Roblox帳密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/threat-in-your-browser-extensions/107181/"><strong><span style="color: rgb(0, 0, 0);">廣告程式為瀏覽器擴充程式的最大威脅，今年上半有百萬用戶遭到相關攻擊</span></strong></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152544">【2022年8月17日】 DigitalOcean的行銷電子郵件服務MailChimp帳號遭駭、駭客架設冒牌Evernote網站攻擊醫療機構</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152534">【2022年8月16日】 2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁員工個資</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152514">【2022年8月15日】中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK漏洞波及多個廠牌連網設備</a></strong></strong></strong></p> </div></div></div>
2022/8/18 15:45作者周峻佑https://www.ithome.com.tw/news/152569
微軟PowerToys即將新增OCR工具，可複製圖像中的文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows開發者<a href="https://github.com/microsoft/PowerToys/pull/19172" target="_blank">Joseph Finney在今年7月開啟一個拉取請求（Pull Request）</a>，替微軟的公用程式PowerToys增添光學字元辨識（OCR）功能，可用來辨識及複製圖片中的文字。</p> <p>Microsoft PowerToys是微軟所開發的免費公用程式，它具備許多功能以讓使用者可客製化Windows經驗或是提高生產力，支援Windows 10與Windows 11的Microsoft PowerToys版本已透過GitHub開源。現有的Microsoft <a href="https://docs.microsoft.com/zh-tw/windows/powertoys/" target="_blank">PowerToys功能</a>包括可讓視窗維持最上方的Always on Top、讓電腦維持清醒狀態的PowerToys Awake、可用來管理複雜視窗版面配置FancyZones（下圖），或是滑鼠公用程式等。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/windows/images/pt-fancy-zones2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>而最新的PowerOCR則號稱可在螢幕任何一處執行OCR，只要圈選一個矩型區域，點選文字，或是在一個影像檔案上按右鍵，並選擇PowerOCR，即可辨識與複製文字。</p> <p class="rtecenter"><img alt="" src="https://user-images.githubusercontent.com/7809853/185000575-3b0cf87e-2a1b-4990-9249-483ba6a0d6d0.gif" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Joseph Finney</span></span></p> <p>PowerOCR大多數的程式碼是來自於Finney所開發的Text Grab，不過，目前並不確定PowerOCR的完成日期，估計會在幾個月後成為PowerToys的功能之一。</p> </div></div></div>
2022/8/18 16:26作者陳曉莉https://www.ithome.com.tw/news/152570
Mozilla檢驗25款經期&懷孕追蹤程式，只有7款符合隱私標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院在上周五（6/24）推翻了1973年「羅訴韋德案」（Roe v. Wade）中，以憲法保障女性墮胎權的裁決，指出美國憲法並未賦予墮胎權，使得美國有超過20個州都打算實施禁止墮胎的法令，<a href="https://foundation.mozilla.org/en/blog/in-post-roe-v-wade-era-mozilla-labels-18-of-25-popular-period-and-pregnancy-tracking-tech-with-privacy-not-included-warning/" target="_blank">Mozilla本周公布了</a>坊間25款經期&懷孕追蹤程式的隱私保護能力，其中有18款被視為「缺乏隱私」（Privacy Not Included），可能被政府用來追蹤民眾的懷孕狀態，只有7款符合隱私標準，分別是Natural Cycles的Birth Control、Euki、Garmin、Apple Watch、Whoop Strap 4、Fitbit與Oura Ring。</p> <p><a href="https://foundation.mozilla.org/en/privacynotincluded/categories/reproductive-health/" target="_blank">Mozilla的調查對象</a>包括10款經期追蹤程式，10款懷孕追蹤程式，以及5款可用來追蹤生育能力的穿戴裝置，而被列為符合隱私的7款程式中，5款穿戴裝置全都入列。Mozilla表示，此一結果顯示出大多數的追蹤程式所存放的資料，可能會被官方用來判斷使用者是否懷孕、是否查找墮胎資訊或服務，以及是否跨州進行墮胎。</p> <p>這些經期&懷孕追蹤程式允許使用者追蹤月經/排卵周期，以進行懷孕或預防懷孕的規畫，同時它們也蒐集了大量的資料，主要針對懷孕的家庭投放大量的廣告，然而，這些資料很少處於固定的地方，它們可能會從一個實體流傳到另一個實體，從開發者、第三方企業到研究機構等。</p> <p>此一調查的目的是為了了解各個程式的隱私與資料保護政策，但對於它們可能與執法機構分享哪些資料卻無一致的指南，例如Sprout Pregnancy可供使用者建立他們的懷孕時程，也蒐集使用者的體重、掛號日期、生育計畫及懷孕日記等，卻缺乏隱私政策。</p> <p>而在25款程式中，有8款完全沒有達到Mozilla的最低安全標準。</p> <p>除了5款穿戴裝置之外，在未被列為「缺乏隱私」的兩款程式中，只有Euki獲得Mozilla的最佳（Best Of）認證，Birth Control雖然擁有明確的隱私政策，強調決不出售用戶資料，並受到GDPR的隱私規範，但該程式蒐集大量的用戶資料，Mozilla仍舊擔心其資料存放安全，畢竟使用者分享得愈多，外洩的風險便愈高。</p> </div></div></div>
2022/8/18 14:44作者陳曉莉https://www.ithome.com.tw/news/152567
Deno將與大部分NPM套件相容，並大幅提高JavaScript網頁伺服器效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Node.js之父Ryan Dahl所開發的JavaScript、TypeScript執行環境Deno，宣布接下來將進行<a href="https://deno.com/blog/changes">一連串重大更新</a>，內容包括將允許Deno能簡單地匯入NPM套件，使大多數NPM套件在三個月內都能在Deno中運作，還會加入歷來最快的JavaScript網頁伺服器。另外，Deno也開放辦公時間，供商業使用諮詢。</p> <p>由於Deno正是為了解決Node.js技術債而生，因此社群對於Deno與Node.js相容性的方式，也存在一些分歧，畢竟脫離Node.js，擺脫過時或是非標準API，甚至是奇特的模組載入方式，是Deno讓人耳目一新的地方，但儘管如此，仍有一些用戶希望尋求更簡單地方法，能夠和NPM套件互通。</p> <p>官方現在回應這樣的需求，要讓Deno能夠簡單匯入NPM套件，甚至承諾在未來三個月內，讓80％-90％的NPM套件都能在Deno中運作。</p> <p>同時，官方也要解決被社群熱烈討論的Runtime執行速度，因此也宣布投入提升Runtime運作效能的開發。由於Deno是基於V8和Rust實作，因此官方十分有信心可以在這方面取得重大進展，目前Deno的HTTP伺服器正在執行大規模更新，官方表示，新的伺服器將會是Deno有史以來最快的JavaScript網頁伺服器。</p> <p>另外，隨著越來越多的企業開始使用Deno，因此官方決定強化對企業用戶的支援，因此只要是商業環境的使用，Deno將有免費辦公時間提供諮詢，用戶可以透過填表申請。Deno在經過幾年的時間發展，歷經公司成立，現在已經成為熱門的網頁應用開發工具，目前在GitHub下載量已經超過410萬次，每月也有25萬的活躍用戶。</p> </div></div></div>
2022/8/18 14:52作者李建興https://www.ithome.com.tw/news/152568
WhatsApp推出原生Windows程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://faq.whatsapp.com/545358030455627/?locale=en_US" target="_blank">WhatsApp於本周正式推出</a>了原生的Windows程式，而支援macOS的原生程式也邁入了測試版。</p> <p>根據Statista今年1月的統計，WhatsApp為全球最受歡迎的傳訊程式，用戶人數已達20億，更甚微信（12.6億）、Facebook Messenger（9.9億）、QQ（5.7億）、Snapchat（5.6億）與Telegram（5.5億）。</p> <p>WhatsApp奠基於行動裝置上，過去要在桌面系統使用該服務只能藉由WhatsApp Web與WhatsApp Desktop，前者可透過瀏覽器使用WhatsApp服務，後者則可下載至電腦，但也是基於Web的桌面程式，WhatsApp為了改善桌面用戶的使用經驗而著手開發了桌面版的原生程式。</p> <p>不過，就算成為Windows上的原生程式，要在桌面上使用WhatsApp還是必須連結行動裝置上的既有帳號，於手機上的WhatsApp設定中選擇Linked Devices，並以手機相機掃描桌面版WhatsApp程式上所出現的QR Code，與臺灣風行的Line一致。</p> <p>macOS用戶則可下載仍在測試中的原生WhatsApp程式，或者是持續透過WhatsApp Web與WhatsApp Desktop來存取WhatsApp服務。</p> </div></div></div>
2022/8/18 11:30作者陳曉莉https://www.ithome.com.tw/news/152561
Visual Studio Live Share添加企業管理政策，強化程式協作安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其Visual Studio程式協作擴充套件Live Share新增<a href="https://devblogs.microsoft.com/visualstudio/ls-policies/">企業管理政策</a>，使得管理員有更多工具可以控制Live Share的會話連接，像是只允許組織中的成員存取，或是禁用讀寫終端等限制，避免事故發生並提高生產效率。</p> <p>Live Share新增的多種管理政策，包括僅允許公司網域帳號、禁用讀寫終端、禁用共享伺服器、要求直接連接、禁用匿名訪客，以及手動接受模式。不少公司基於安全考量，希望避免公司網域外部加入Live Share會話，而新的公司網域帳號政策，則提供了這樣的控制功能，組織可以控制允許的網域訪客才能共享對話。</p> <p>禁用讀寫終端政策將會禁止主機共享可寫終端，並且提供禁用訪客對終端要求寫入權限的選項，簡單來說，會像是目前唯讀會話的形式，但同時也適用於讀取/寫入對話。禁用共享伺服器則會阻止主機共享新的伺服器，或是從終端自動共享伺服器。</p> <p>另外，主機也可以利用要求直接連接政策，來阻擋透過中繼的訪客加入會話，組織透過配置該政策，使得訪客可以直接連接到主機，而不需要透過網路。另外，管理員也可以禁止匿名訪客，並要求主持人需手動接受每位想加入會話的訪客。</p> </div></div></div>
2022/8/18 11:46作者李建興https://www.ithome.com.tw/news/152560
蘋果緊急修補已被開採的兩個零時差漏洞，波及Mac、iPhone與iPad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周三（8/17）緊急修補了兩個安全漏洞CVE-2022-32894與CVE-2022-32893，它們同時存在於iOS、iPadOS與macOS上，皆為程式執行漏洞，而且都已遭到駭客開採。</p> <p>其中的CVE-2022-32894存在於Kernel中，屬於越界寫入漏洞，允許程式以核心權限執行任意程式；至於CVE-2022-32893則藏匿在WebKit中，同樣為越界寫入漏洞，當WebKit處理惡意的特製網頁內容時，可能導致任意程式執行。蘋果藉由改善邊界檢查修補了這兩個安全漏洞。</p> <p>這兩個安全漏洞都是由匿名的研究人員所提報，蘋果並未說明漏洞或攻擊細節，僅說已得知這兩個漏洞都遭到實際的開採。</p> <p>蘋果用戶應升級到蘋果於周三釋出的<a href="https://support.apple.com/en-gb/HT213412" target="_blank">iOS 15.6.1、iPadOS 15.6.1</a>與<a href="https://support.apple.com/en-us/HT213413" target="_blank">macOS Monterey 12.5.1</a>以防患未然。</p> </div></div></div>
2022/8/18 11:12作者陳曉莉https://www.ithome.com.tw/news/152559
廣告程式為瀏覽器擴充程式的最大威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/threat-in-your-browser-extensions/107181/#key-findings" target="_blank">資安業者卡巴斯基（Kaspersky）本周指出</a>，今年上半年總計有超過130萬不重複使用者受到藏匿於瀏覽器擴充程式中的廣告/惡意程式的攻擊，當中光是遇見廣告程式攻擊的就超過100萬。</p> <p>大多數的瀏覽器用戶都會使用擴充程式來增加瀏覽器的功能，只是即使有些擴充程式原本是良性的，若在累積了一定數量的用戶之後，可能將它出售給其它開發者，繼之被嵌入惡意或廣告功能。例如2017年時有一個可用來變更YouTube介面的Particle，在擁有逾3萬名使用者之後出售，新開發者旋即把它變成廣告程式。</p> <p>廣告程式一直是瀏覽器上最普及的垃圾程式，今年上半年也有超過100萬的使用者遭遇到廣告程式，最常見的是WebSearch廣告程式家族。WebSearch（下圖）通常會假冒為文件工具，例如文件合併工具或DOC/PDF轉換器等，但當使用者安裝之後，它卻會變更瀏覽器的起始頁面，將它切換成由一個無名搜尋引擎與多個第三方資源連結組成的首頁，也會變更瀏覽器的預設搜尋引擎，目的都是在替開發者增加廣告營收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Browser_extensions_05-1024x323%5B1%5D.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／卡巴斯基</span></span></p> <p>第二款常見的廣告程式為DealPly家族，它並不是由使用者自行下載與安裝的，絕大多數是在使用者企圖下載破解軟體時，不經意被感染的，它同樣也會變更瀏覽器的起始頁面與預設搜尋引擎（下圖）。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/08/16015522/Browser_extensions_07.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／卡巴斯基</span></p> <p>至於AddScript則多半隱藏在具有真正功能的擴充程式中，只是它會在背景與駭客所控制的C&C伺服器交流，接收並執行惡意的JavaScript，有時會偷偷播放影片，目的也是獲取廣告利潤，受害者唯一可察覺的跡象可能是裝置的處理器用量突然飆高。</p> <p>除了上述3款廣告程式家族之外，FB Stealer亦被卡巴斯基列為今年最危險的擴充程式威脅之一，它的主要任務為竊取使用者的臉書憑證，上半年有超過3,000名使用者遭到相關攻擊。</p> <p>不過，與DealPly一樣，FB Stealer並非由使用者自行安裝的，也是藏匿在破解軟體的安裝程式中，一旦被加到瀏覽器，它便會偽裝成Google翻譯（Google Translate）擴充程式（下圖），接著變更瀏覽器的設定及預設搜尋引擎，並竊取使用者存放於瀏覽器上的臉書使用期間（Facebook Session）Cookie，而得以挾持臉書用戶的帳號。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/08/16020128/Browser_extensions_10.png" style="text-align: center; width: 414px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／卡巴斯基</span></p> <p>卡巴斯基建議使用者只從可靠來源下載軟體，也應小心應對擴充程式所提出的權限請求，限制擴充程式數量並定期刪減無用程式，或是選擇安裝安全解決方案。</p> </div></div></div>
2022/8/18 09:30作者陳曉莉https://www.ithome.com.tw/news/152556
Windows 10 21H2更新新增勒索軟體防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/08/15/releasing-windows-10-build-19044-1947-to-release-preview-channel/" target="_blank">微軟本周釋出</a>Windows 10 21H2最新更新KB5016688測試版，加入攔截勒索軟體防護、並修正啟用IE Mode時，Edge無法使用等問題。</p> <p>KB5016688為功能更新，目前已釋出到Release Preview頻道。新功能有二，包括Defender for Endpoint加入辨識和攔截勒索軟體與進階攻擊的功能，其次是讓IT管理員得以遠端增加語言及語言相關功能，也能管理跨多個端點管理員的語言情境。</p> <p>其他則修復了前版的功能問題。較重要的是解決使用IE Mode時Edge沒有回應及無法和對話框互動，造成用戶端虛擬化App-V Office應用程式無法啟動或停止作業、BitLocker效能減低、以及重啟裝置某些情況下無法部署Windows Hello for Business憑證的問題。</p> <p>新版更新還解決造成AD網域控制器的LSASS（Local Security Authority Subsystem Service）無法運作的競爭條件（race condition）問題，這問題發生在LSASS處理同時LDAP over TLS呼叫時候。此外，也修補了TPM相關的Attestation Identity Key （AIK）憑證被註銷後還被信任，卻不產出新憑證的瑕疵。</p> <p>其他修復的問題包括用作驅動程序的cldflt.sys因競爭條件而參照到無效記憶體、微型埠Storport驅動程式I/O使系統停止回應，以及Resultant Set of Policy （RSoP）工具Rsop.msc在處理1000個以上檔案系統安全設定時無法回應的問題。</p> </div></div></div>
2022/8/18 10:02作者林妍溱https://www.ithome.com.tw/news/152557
【資安日報】2022年8月17日，DigitalOcean的行銷電子郵件服務MailChimp帳號遭駭、駭客架設冒牌E…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是行銷電子郵件服務遭到攻擊而導致客戶受害的情況！虛擬主機業者DigitalOcean的行銷電子郵件服務MailChimp帳號遭駭，而使得客戶收到釣魚信上當，導致他們的DigitalOcean帳號遭到挾持。然而這並非MailChimp首度遭到攻擊而波及客戶，今年4月，<a href="https://www.ithome.com.tw/news/150339#mailchimp">加密貨幣錢包業者Trezor的用戶因此受害</a>，駭客透過此行銷電子郵件系統寄信，進而騙走錢包的加密貨幣。</p> <p>駭客鎖定醫療保健機構發動攻擊，不時有事故傳出，而最近美國針對近期的網路釣魚攻擊提出警告，駭客假借提供記事軟體Evernote的應用程式名義，在受害電腦植入木馬程式竊密。</p> <p>5年前的Office漏洞現在仍可能被積極利用。研究人員發現使用正體中文與英文的釣魚郵件攻擊，駭客利用CVE-2017-0199、CVE-2017-11882來部署惡意軟體。使得研究人員呼籲企業應落實相關的弱點修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.digitalocean.com/blog/digitalocean-response-to-mailchimp-security-incident"><span style="color: rgb(0, 0, 0);">虛擬主機業者DigitalOcean所使用的電子郵件行銷服務MailChimp遭駭，客戶收到重置密碼的釣魚信</span></a></strong></h3> <p>電子郵件行銷系統遭駭，很可能使得用戶也跟著受害。虛擬主機業者DigitalOcean於8月15日發出公告，他們在8日因電子郵件行銷系統MailChimp的帳號遭到停用，有使用者向他們通報，DigitalOcean帳號的密碼遭到竄改。</p> <p>DigitalOcean著手調查發現，他們的MailChimp帳號配置遭到竄改，有人從網域名稱為@arxxwalls.com的電子郵件信箱向DigitalOcean的客戶寄信。該公司研判是他們的MailChimp帳號遭到挾持，並已轉用其他電子郵件行銷系統。</p> <p>8月10日，MailChimp才向DigitalOcean證實內部工具遭到入侵，他們向資安新聞網站Bleeping Computer透露，約有214個MailChimp帳號遭駭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.hhs.gov/sites/default/files/secure-message-evernote-themed-phishing-campaign-tlpwhite.pdf"><span style="color: rgb(0, 0, 0);">駭客架設冒牌的Evernote應用程式網站，對醫療保健組織發動網釣攻擊</span></a></strong></h3> <p>美國衛生及公共服務部（HHS）於8月10日提出警告，駭客寄送釣魚郵件，並架設冒牌的記事本軟體Evernote網站進行攻擊，鎖定當地的醫療保健機構員工而來。一旦收信人開啟郵件裡的URL，將會被引導到上述的惡意網站，並於受害電腦下載、植入JavaScript木馬程式，駭客將其用於竊取機密。該單位表示，駭客的目的很可能要進行商業郵件詐騙（BEC）。他們呼籲醫療機構要提高警覺，並加強員工的資安意識。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-attack-uk-water-supplier-but-extort-wrong-company/"><span style="color: rgb(0, 0, 0);">英國自來水業者遭到勒索軟體Clop攻擊，但駭客疑似一度弄錯受害的對象</span></a></strong></h3> <p>歐洲最近幾週面臨缺水的窘境，若是駭客還針對水公司發動攻擊，很可能使得水資源的供應變得更加困難。根據資安新聞網站Bleeping Computer的報導，英國自來水公司South Staffordshire Water於8月15日公告遭到網路攻擊，導致IT網路中斷，但強調供水一切正常。</p> <p>隔日另一家水資源公司Thames Water也傳出遭到攻擊，勒索軟體Clop宣稱是他們所為，並能操控該公司的SCADA系統，並竊得5 TB資料，但遭到否認。而這兩起事件似乎有所關連，因為根據駭客公布的部分資料，這些資料很可能來自英國自來水公司South Staff Water。Clop於17日聲稱他們攻擊的目標其實是South Staff Water。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/smokeloader-using-old-vulnerabilities"><span style="color: rgb(0, 0, 0);">惡意程式SmokeLoader利用5年前Office漏洞入侵受害電腦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/1659741278693.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/1659741278693.png" style="width: 300px; float: right;" /></a>許多人會關注零時差漏洞的修補與相關攻擊行動，但公布多年的漏洞，若是沒有得到處理，還是有可能成為駭客攻擊的對象。資安業者Fortinet揭露惡意軟體SmokeLoader近期的攻擊行動，駭客以採購訂單為幌子發送釣魚郵件，研究人員看到郵件被送到臺灣大型電信業者代管的電子郵件信箱，內容使用了正體中文或英文書寫，且簽名檔具備電話、傳真、等聯絡方式，此信件帶有名為Purchase Order FG-20220629.xlsx的附件。</p> <p>一旦收信人開啟附件，攻擊者就會利用CVE-2017-0199、CVE-2017-11882等Office漏洞，在受害電腦部署SmokeLoader並用來下載木馬程式zgRAT。研究人員認為，這些漏洞公布長達5年，但至今仍被駭客積極利用，顯然很多電腦可能沒有修補相關弱點，而讓攻擊者有機可趁。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/apt-c-35-new-windows-framework-revealed"><span style="color: rgb(0, 0, 0);">駭客組織APT-C-35鎖定巴基斯坦政府部門，透過RTF檔案發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/APT-C-35_pasted image 1.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/APT-C-35_pasted%20image%201.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露近期駭客組織APT-C-35（亦稱Donot Team）的攻擊行動，該組織鎖定巴基斯坦國防部等政府部門，發送內含RTF檔案的釣魚郵件進行攻擊。一旦收信人開啟附件並啟用巨集，電腦就有可能被植入惡意程式。</p> <p>當受害者開啟附件後，此RTF檔案就會下載帶有惡意巨集的Office檔案並執行，接著濫用Windows的API植入Shell Code，檢查受害電腦安裝的防毒軟體並下載對應工具來規避偵測，進而部署惡意軟體竊取機密，並回傳到C2。此惡意軟體能側錄鍵盤輸入的內容、執行螢幕截圖，以及竊取外接式裝置的檔案、瀏覽器資料等。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/checkmarx-security/typosquatting-campaign-targeting-12-of-pythons-top-packages-downloading-malware-hosted-on-github-9501f35b8efb"><span style="color: rgb(0, 0, 0);">惡意Python套件鎖定電玩絕對武力的伺服器，發動DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/1_Yq0ZG2IaCAwzT1HAA5DNGQ.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/1_Yq0ZG2IaCAwzT1HAA5DNGQ.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx在8月13日發現，有人上傳了十幾個惡意PyPI套件，起初主要是散布惡意軟體，但事隔一天，研究人員看到攻擊者有了新的動作，針對電玩遊戲絕對武力（Counter-Strike）1.6版的俄羅斯伺服器，發動DDoS攻擊。</p> <p>值得一提的是，駭客利用誤植套件名稱（Typosquatting）的方式，假冒熱門套件，讓受害者不易察覺，如：他們製作inda惡意套件，就是模仿每月有2.2億次下載的「idna」（將d和n順序對調）。</p> <p>再者，駭客在惡意程式產生與C2連線的DGA網域過程中，也濫用GitHub存放檔案的網域──先是從特定TXT檔案取得相關資料，若是嘗試存取3次仍無法建立連線，則接續由另一組GitHub帳號進行測試。但研究人員指出，駭客濫用的GitHub使用者ID目前都沒有人使用。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.scmagazine.com/analysis/breach/behavioral-health-group-informs-198k-patients-of-data-theft-from-december?web_view=true"><span style="color: rgb(0, 0, 0);">醫療保健業者Behavioral Health Group去年底遭到網路攻擊，近20萬人資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://hub.elliptic.co/analysis/cross-chain-crime-more-than-half-a-billion-dollars-has-been-laundered-through-a-cross-chain-bridge/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客透過RenBridge平臺洗錢，3年隱匿5.4億美元加密貨幣流向</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://flashpoint.io/resources/report/state-of-data-breach-intelligence-2022-midyear/"><span style="color: rgb(0, 0, 0);">2022上半資料外洩事故出現近2千起</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.accenture.com/us-en/blogs/security/cybercriminals-weaponizing-leaked-ransomware-data"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客傾向將竊得資料用於BEC詐騙</span></strong></a></span></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.tpp.org.tw/vdodetail/2204"><strong style="font-size: 20px;">繼立院國民黨團向政府喊話應進行「金融漢光演習」，民眾黨團也呼籲政府應進行金融戰爭的兵棋推演</strong></a></span></strong></strong></p> <p><strong><strong><strong> </strong></strong></strong></p> <h3><strong><strong><strong>近期資安日報</strong></strong></strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152534">【2022年8月16日】 2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁員工個資</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152514">【2022年8月15日】中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK漏洞波及多個廠牌連網設備</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></strong></strong></p> </div></div></div>
2022/8/17 15:57作者周峻佑https://www.ithome.com.tw/news/152544
GovTech月報第9期：數位發展部8月底掛牌，唐鳳任首位部長；美國擬將寬頻網路標準提高到100Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0701~0812)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位發展部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">唐鳳</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-e9396a71-7fff-2af3-c14a-20137acb38e6"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">唐鳳出任數位發展部首位部長，數發部8月底掛牌成立</span></span></strong></span></p> <p>數位發展部即將在8月底掛牌成立，行政院宣布由政委唐鳳擔任首位部長，兩位政務次長分別由陽明交通大學電機工程學系副教授闕河鳴，以及一卡通董事長李懷仁擔任。</p> <p>數位發展部底下包括6司2署，包括數位策略司、韌性建設司、資源管理司、數位政府司、民主網絡司、多元創新司。數位策略司負責規畫國家數位發展政策、協調及施政計畫及資源，韌性建設司負責強化我國通訊傳播網路韌性、確保數位應用暢通，資源管理司則負責分配數位通傳資源，數位政府司以深化數位應用、提升政府施政效能，民主網絡司參與國際數位民主網絡，多元創新司推動資料創新應用生態。</p> <p>2署則是推動數位科技應用、數位經濟產業發展政策的數位產業署，以及負責規畫國家資安政策、計畫核議及督導考核的資通安全署。另外，數位發展部也將新設行政法人國家資通安全研究院，預計今年底成立。同時還有移轉自其他部會的法人資策會、電信技術中心、台灣網路資訊中心。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻網路</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">FCC主委提議將美國寬頻網路最低下載標準提高到100Mbps</span></span></strong></span></p> <p>為提升美國的寬頻網路基礎建設，美國聯邦通訊委會員（FCC）主席Jessica Rosenworcel建議將美國寬頻網路的門檻，從現行的25Mbps/3Mbps（下載／上傳），改為100Mbps/20Mbps，未來將以1Gbps/500Mbps作為美國未來的寬頻網路目標。</p> <p>Rosenworcel認為，現今用戶的需求早就超過25Mbps/3Mbps，特別是在全球疫情大爆發，生活的重心轉移到網路，因此需提高寬頻速率的最低標準。事實上，在先前美國大舉投資基礎建設的相關法案，就希望提高美國寬頻網路的水準，而在FCC可負擔連網計畫（Affordable Connectivity Program）裡，要求ISP提供低收入戶每月收費不到30美元，高於100Mbps的寬頻網路服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛福部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">電子病歷</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span style="font-family: 微軟正黑體, Arial, Helvetica, sans-serif;">新版醫療機構電子病歷製作及管理辦法7月上路</span><span><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">，開放</span></span>電子病歷上雲</strong></span></p> <p>為開放醫療機構使用雲端服務，衛福部去年12月提出電子病歷上雲草案，近期新版醫療機構電子病歷製作及管理辦法在7月公告實施，允許醫院使用雲端服務，透過雲端建置電子病歷交換平臺，並進一步推動醫院無紙化發展。</p> <p>新法開放醫院建置電子病歷資訊系統可使用雲端服務，但需遵守4項規範，包括採取適當風控措施、避免醫療業務中斷措施、監督雲端服務業者、建立雲端資料轉回的機制。此外，雲端資料儲存以境內為主，需獲得主管機關同意，才能使用境外雲端服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">生物辨識</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美國向歐洲國家施壓，要求分享生物辨識等公民資料強化邊境安全</span></span></strong></span></p> <p>媒體報導，美國正透過免簽證方案（Visa Waiver Program），向歐洲國家施壓與其進行進一步的強化邊境安全合作，要求參與免簽證的國家與其分享公民資料，包括政治信仰、生物特徵辨識、參與團體、DNA資料。</p> <p>目前已有部分的歐洲國家及英國收到美國的要求，其中英國已與美國簽署協定，允許美國國土安全部存取英國警方的生物資料庫，包括英國公民3年的指紋及DNA資料。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">馬來西亞</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">馬來西亞政府資料中心將採混合雲架構，結合雲端服務加速政府轉型</span></span></strong></span></p> <p>為加速政府公部門數位轉型發展，馬來西亞近期宣布公部門資料中心（Public Sector Data Center，PDSA）將會升級到特定的雲端運算服務，以供政府各部門使用。目前馬來西亞正努力將服務整合至政府混合雲或MyGovCloud，結合MyGovCloud＠PDSA及公有雲服務。</p> <p>馬來西亞已選出４家雲端服務商，協助執行這項計畫。MyGovCloud也呼應該國提出的數位經濟藍圖目標之一，在今年公部門雲端儲存使用率達到80％的目標。馬國政府也期望透過與雲端服務、託管服務商的合作，帶動對當地的投資，同時培養公務員的技術及能力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">登革熱</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺南市鼓勵</span></span>民眾拍下蚊子照片上傳，經AI辨識蒐集各地登革熱病媒蚊出沒數據</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/tainan.jpg" style="width: 600px; height: 400px;" /></p> <p>每年到了夏天，臺南市政府便會展開行動，以阻斷登革熱病媒蚊傳染鏈，為了鼓勵民眾協力投入防疫工作，臺南市推出台南市AI登革熱防蚊PK賽，以限時競賽的方式，邀民眾加入全民登革熱AI防治Line bot聊天機器人，在7月下旬至9月期間，鼓勵民眾找蚊子、拍蚊子，利用手機拍下周遭的蚊子照片並上傳通報，藉由AI自動辨識蚊子種類，由後臺蒐集通報的時間及地點，讓市府能掌握病媒蚊的地點。</p> <p>臺南市政府運用AI辨識技術協助防治登革熱，這次競賽更透過民眾發現孑孓、蚊子，拍照上傳至全民登革熱AI防治Line bot，借由民眾參與，提高登革熱防疫工作效率。在2年前，市府也與業者合作以人工智慧技術打造AI登革熱防疫平臺，業者利用100萬張以上的孑孓影像、10萬張以上誘卵紙影像，建立AI登革熱辨識模型，透過AI影像辨識斑蚊孑孓精確度達到95%。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物聯網</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-17f7e3bf-7fff-565c-9064-17205bcdf801"><span style="font-family: Arial; color: rgb(29, 34, 40); font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺中市靠空氣品質監測物聯網，去年揪出35件空污元凶</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/%E8%87%BA%E4%B8%AD%E5%B8%82%E7%A9%BA%E5%93%81%E6%84%9F%E6%B8%AC%E5%99%A8.jpg" style="width: 600px; height: 427px;" /></p> <p>為改善城市空氣品質，臺中市先前設置1,411個空氣品質感測器，結合物聯網技術，監控臺中市的空氣品質，去年該新蒐集空氣數據打造空品數據中心平臺，結合視覺化的地理資訊系統，以及工業區的氣象數據，利用大數據及AI縮小污染熱區加強稽查，去年透過空品數據中心的輔助，裁罰空污案件35件，罰鍰1,032萬元。</p> <p>去年臺中市改採用工研院授權技轉的空氣品質感測器，感測器總建置量達到近1,500個，號稱建置數量為全國最多。結合空品數據中心平臺，經過數據分析，將污染熱區、高污染值時段提供給稽查人員，以追蹤污染源。</p> <p> </p> <p>圖片來源／臺南市、臺中市、行政院</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.科技部改制為新國科會，正式掛牌營運</strong></p> <p><strong>2.NCC、衛福部展示5G遠距診療，讓本島專科醫師透過5G為離島民眾看診</strong></p> <p> </p> <p>資料來源：iThome整理，2022年7月</p> </div></div></div>
2022/8/17 17:38作者蘇文彬https://www.ithome.com.tw/news/152545
熱門UWB RTLS含有中間人攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi Networks在上周舉行的黑帽大會上，<a href="https://www.blackhat.com/us-22/briefings/schedule/#uwb-real-time-locating-systems-how-secure-radio-communications-may-fail-in-practice-27106" target="_blank">展示了超寬頻（Ultra-wideband，UWB）即時定位系統（Real Time Locating Systems，RTLS）的安全漏洞</a>，指出雖然UWB無線通訊標準的安全性已被加強，但RTLS的處理程序卻缺乏安全標準，而可能遭到中間人攻擊，並於熱門的Sewio Indoor Tracking與Avalue Renity Artemis Enterprise裝置上找到了零時差漏洞，將允許駭客存取所有藉由無線網路傳遞的位置資訊。</p> <p>UWB與藍牙同屬短距無線傳輸技術，儘管藍牙具備體積、成本與抗干擾的優勢，但UWB則擁有高傳輸速率、高穿透性與低耗電的優點，主要的應用為高品質的無線通訊傳輸，像是即時定位系統，包括三星及蘋果的物件追蹤器SmartTag+與AirTag都是採用UWB技術。</p> <p>而Nozomi的研究則是鎖定工業與健康照護領域的UWB RTLS裝置，這次用來示範的Sewio Indoor Tracking RTLS UWB Wi-Fi Kit為一室內位置追蹤設備，要價3,500歐元，而Avalue Renity Artemis Enterprise Kit則是可支援不同產業的高度精確定位解決方案，例如用來定位工廠內的模具位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-UWB%20RTLS-600-1-V3.png" style="width: 548px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nozomi</span></span></p> <p>這兩款UWB RTLS套件都具備多個RTLS標籤與定位基站（Anchor），再加上伺服器軟體，其UWB通訊通常發生在標籤與定位基站之間，以及定位基站彼此的通訊；定位基站與RTLS伺服器之間則是透過乙太網路或Wi-Fi通訊，而這當中若有任一環節含有安全漏洞，就可能會危害整個架構。</p> <p>Nozomi表示，過去的相關研究都是鎖定UWB訊號，這是第一個針對乙太網路及Wi-Fi通訊進行分析的研究。</p> <p>研究發現，這兩項產品都是利用客製化且未知的網路協定進行定位基站與伺服器之間的通訊，而且它們之間的通訊並未加密，位置與時間戳皆以明文傳送，而且缺乏保障完整性的安全機制，代表它們可能遭到中間人攻擊，包括竊取或竄改傳輸資料。</p> <p>Nozomi建議部署RTLS系統時應加密流量，也最好設置防火牆並導入入侵偵測系統。</p> </div></div></div>
2022/8/17 16:44作者陳曉莉https://www.ithome.com.tw/news/152546
今年加密貨幣整體量交易下滑，唯被駭交易增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chainalysis.com/reports/crypto-crime-midyear-update-2022/" target="_blank">區塊鏈分析業者Chainalysis本周公布</a>了今年截至7月底以來的全球加密貨幣交易狀況，指出合法交易與非法交易分別下滑了36%與15%，然而，今年前7個月的加密貨幣被駭金額已達19億美元，遠高於去年同期累計的12億美元。</p> <p>隨著加密貨幣的價格在今年大幅滑落，不管是合法或非法交易都呈現下滑趨勢，但Chainalysis認為非法交易相對有彈性，僅下滑了15%，反之是合法交易下滑了36%。</p> <p>但在非法交易中的漲跌互見，例如詐騙與暗網交易都是下滑的，但駭客事件的交易卻是增加的。數據顯示，今年前7個月的加密貨幣詐騙營收為16億美元，比去年同期少了65%，原因除了加密貨幣價格下滑之外，轉帳至詐騙帳號的受害者數量也創下4年來的新低。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/chart-3-scams-vol-ytd-1024x674.png" style="width: 600px;" /></p> <p>Chainalysis分析，這可能是因為加密貨幣的價格下滑而降低了加密貨幣投資詐騙的吸引力，而且今年缺乏類似PlusToken或Finiko等大型的詐騙活動，2019年的PlusToken加密貨幣詐騙案向受害者募集了超過20億美元的資金，而2021年的Finiko詐騙活動也騙走了15億美元。</p> <p>另一方面，暗網市集在今年前7個月的營收亦比去年同期短少43%。Chainalysis相信這與<a href="https://www.ithome.com.tw/news/150285" target="_blank">全球最大暗網市集Hydra Market在今年4月被破壞有關</a>。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/chart-6-DNMs-ytd-1024x681.png" style="width: 600px;" /></p> <p>相較於詐騙及暗網交易的大幅下滑，因駭客事件而被盜的加密貨幣卻從去年的12億美元增加到今年的19億美元，成長了58%。而且並未計算今年8月發生的<a href="https://www.ithome.com.tw/news/152280" target="_blank">跨鏈協定Nomad</a>及<a href="https://www.ithome.com.tw/news/152291" target="_blank">Solana錢包</a>遭駭事件。</p> <p class="rtecenter"><img alt="" src="https://blog.chainalysis.com/wp-content/uploads/2022/08/chart-8-hacks-ytd-1024x690.png" style="width: 600px;" /></p> <p>Chainalysis在今年8月初即曾警告，去中心化金融（DeFi）將成為駭客的首要目標，因為它的程式碼是開源的，方便駭客尋找漏洞，其次是它非常熱門，可能因急於推出而省略了最佳安全實踐，令駭客有機可趁。此外，今年以來的DeFi駭客行動大約有10億美元的失竊與北韓駭客集團有關。</p> </div></div></div>
2022/8/17 14:34作者陳曉莉https://www.ithome.com.tw/news/152542
Twilio資料外洩，1,900名Signal用戶遭池魚之殃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端通訊平臺Twilio在8月7日坦承<a href="https://www.ithome.com.tw/news/152379" target="_blank">遭到駭客入侵</a>，駭客透過網釣簡訊取得了Twilio員工的登入憑證，並竊取了客戶資料，而採用Twilio服務進行電話號碼認證的<a href="https://support.signal.org/hc/en-us/articles/4850133017242" target="_blank">Signal則表示</a>，約有1,900名用戶受到Twilio駭客事件的波及。</p> <p>Signal說明，駭客取得了進入Twilio客戶支援控制臺的憑證，存取了1,900名Signal用戶的資訊，也許是用來註冊Signal帳號的電話號碼，或者是用來註冊Signal帳號的簡訊認證碼；駭客可能會企圖利用所取得的電話號碼註冊另一裝置，而且至少有3個電話號碼遭到實際的攻擊，這些使用者發現他們的帳號被重新註冊。</p> <p>由於Signal為一端對端加密程式，且系統並不存取使用者的往來資料，因此，就算使用者的電話號碼遭到濫用，其通訊歷史紀錄、個人檔案或通訊錄也都僅存放在裝置端，而不會被存取。</p> <p>只是，倘若駭客成功以受害者的電話號碼重新註冊了帳號，就能以該電話號碼傳送及接收Signal訊息。</p> <p>Signal已經撤銷這1,900名使用者於所有裝置上的Signal帳號，並要求他們重新以自己的電話號碼及裝置註冊，也強烈建議使用者啟用「註冊鎖」（Registration Lock）功能，它會在使用者再度嘗試以同一號碼註冊Signal時要求輸入PIN碼，得以對抗這類的安全問題。Signal表示，因為該平臺無法直接修補電信生態體系的問題，只能藉由安全設定來保障用戶安全。</p> </div></div></div>
2022/8/17 14:58作者陳曉莉https://www.ithome.com.tw/news/152543
Google為Alphabet幫手型機器人強化語言理解能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2022/08/towards-helpful-robots-grounding.html" target="_blank">Google本周宣布</a>新的機器人AI模型<a href="https://sites.research.google/palm-saycan" target="_blank">PaLM-SayCan</a>，讓Alphabet開發的事務幫手型（helper）機器人更能理解使用者的指令，並且更聰明執行任務。</p> <p>Alphabet X於2019年11月公布通用型學習機器人專案Everyday Robot Project，旨在開發日常任務用機器人，可執行倒垃圾、擦桌子、整理家具、長遠目標是能幫助獨居長者自理家務等高階任務。<a href="https://www.ithome.com.tw/news/147954" target="_blank">去年Alphabet 也展示</a>Every Robot已在公司內員工餐廳擦桌子、或在辦公室整理會議室。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-everyday%20robots%20by%20alphabet-xcompany.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>Google指出，過去幾年公司雖然在應用機器學習技術於機器人有一些進展，但到目前為止，這類機器人仍僅能執行硬編寫的短指令，像是「拿起一顆蘋果」，在簡單明白、且回饋快速的任務上效果比較好。但它們不太能執行長串指令，或理解抽象目標，像是「我剛運動完，你能幫我準備健康的點心嗎？」</p> <p>Google同時說明，早前訓練語言模型的方法，由於語言模型並不和實體世界互動，也未觀察其反應造成的結果，因此現行模型如GPT-3可能會出現令人啼笑皆非的回應，像是如果用戶表示「我飲料灑出來了，你能幫忙嗎？」他會給出「你可以試試吸塵器」等不安全、不實用的「建議」，而FLAN模型的反應則是「對不起，我不是有意灑出來的。」</p> <p>而Google則發展出名為PaLM-SayCan的模型。其名稱來自它利用語言模型的知識（理解用戶說話的動機，即Say）來決定和評估有用的行動。這個作法也利用「可供性」（affordance）功能做選擇在其周遭環境條件下可行的作法（Can）。</p> <p>SayCan和機器人的關係是，機器人提供PaLM-SayCan語言模型的手和眼睛，而語言模型則提供任務的高階語義知識。系統執行過程好比是由語言模型推動的人、機對話過程。一開始用戶發出指令，語言模型將之轉化成一系列機器人執行的步驟。這個步驟序列是由機器人技能過濾，並依據當時環境條件決定最高可行性的計畫。此外，本模型也加入任務對應性（即技能語言描述），及和真實世界的對應性（即技能可行性）兩種機率來決定完成指令的成功率。</p> <p>因此在用戶說出打翻飲料時，PaLM-SayCan可以做出機率計算後，在尋找吸塵器、找海綿、找垃圾筒、撿起蘋果等行為選項中，最後選擇拿來一塊海綿。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0817-PaLM-SayCan-Google%20Research-Everyday%20Robots-600.png" style="width: 590px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p><a href="https://github.com/google-research/google-research/tree/master/saycan" target="_blank">Google也公開</a>了機器人模擬設定的技術資源和文件，供有興趣的團隊測試這個PaLM-SayCan模型。</p> </div></div></div>
2022/8/17 13:46作者林妍溱https://www.ithome.com.tw/news/152540
臺灣政府零信任網路戰略成形，優先推動A級公務機關逐步導入，身分鑑別先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任架構（Zero Trust Architecture，ZTA）備受資安圈與全球政府重視，不只是<a href="https://www.ithome.com.tw/news/147725">美國政府在近一年來提出具體規畫</a>，我國政府今年亦將開始行動，根據行政院國家資通安全會報技術服務中心（以下簡稱技服中心）在7月中旬揭露的資訊指出，為強化政府資安防護，導入零信任網路已經成為既定政策，目前確定將優先推動國內A級機關逐步導入。</p> <h3><strong>多國推動零信任，臺灣也在2021年已有規畫</strong></h3> <p>縱觀全球，美國政府推動零信任網路安全戰略的腳步最快，已有明確政策與時程表，要求聯邦機關要在2024年前完成初步遷移，也透過該國的國家資安卓越中心（NCCoE），推動商用產品符合NIST零信任架構。</p> <p>其他政治實體也陸續宣布將零信任網路安全納入國家戰略，例如，歐盟在2020年建立歐盟網路安全戰略，提出標準框架，協助成員國轉型；新加坡在2021年10月提出網路安全戰略；中國也發起「零信任聯盟」。</p> <p>在臺灣，零信任網路安全同樣成為重要國家戰略。在2021年2月，我國發布的第六期「國家資通安全發展方案（110年至113年）」，已經提到此一戰略——在4大推動策略的「善用智慧前瞻科技、主動抵禦潛在威脅」一項，明確指出將推動政府組織導入零信任架構。</p> <p>根據這份發展方案的內容來看，政府這麼做，主要是為了完善政府網際服務網防禦深廣度，將在遞送、攻擊、安裝、發令與控制等階段，發展主動式防禦技術，建立零信任架構資安防護驗證環境，評估並逐步試行以驗證其可行性。而且，在2021年，技服中心已完成零信任網路與概念性驗證機制研究與部署機制。</p> <p>到了2022年7月，政府的下一步行動已經確定，那就是，將優先推動資通安全責任等級的A級機關，導入零信任網路架構，並促進國內廠商發展零信任網路資安產業鏈。特別的是，由於現階段適逢政府組織架構調整，因此接下來，將由數位發展部資通安全署規畫投入經費。</p> <h3><strong>目前正遴選機關試行，接續再推動A級公務機關導入</strong></h3> <p>政府推動零信任網路，將有兩大面向，包括政府機關層面，以及在商用產品層面。</p> <p>以政府機關層面來看，我國政府零信任網路架構的規畫，主要參考<a href="https://www.ithome.com.tw/zerotrust/zta101">美國國家標準暨技術研究院（NIST），所發布的NIST零信任架構文件SP 800-207</a>，並結合我國政府網路向上集中防護需求，因此，規畫上決定採門戶部署方式（Resource Portal Model），並預計在2022年先遴選適合的國內機關，以逐年導入方式，在2022年到2024年，建立起零信任網路中決策引擎的「身分鑑別」、「設備鑑別」，以及「信任推斷」這3大核心機制。</p> <p>之所以先要遴選機關，目標是要先進行導入試行，將考量機關向上集中、網路架構與帳號管理方式等面向，而這項作業在8月中旬正進行中，因此也將不限於A級公務機關。後續，則將推動A級公務機關導入。</p> <p>值得關注的是，由於目前政府核定的A級機關多達90個，因此相關優先導入的政策，將待資安處或未來資安署公布。而從目前導入的核心機制來看，顯然初期將聚焦的是零信任架構中的決策引擎組件，其中又以身分鑑別為最優先。</p> <p>在部署原則上，目前我國政府已提出兩大考量要點，首先，強調相關零信任組件的部署，需具備與現有系統同時混合作運作的能力，其次是優先考量部署於政府機關維運的地端（On-Premises）環境。</p> <p>關於上述3大核心機制，技服中心已有具體說明。在身分鑑別機制上，包含聚焦多因子身分鑑別，以及簽章與加密的身分鑑別聲明。</p> <p>前者也就是FIDO多因子身分鑑別機制，可使用實體安全金鑰或手機APP，進行無密碼登入；後者則是由鑑別聲明伺服器發行給使用者的存取授權證明，包括JWT或SAML標準格式，透過鑑別聲明函式庫（API），供機關資通系統（RP）介接時，可取得與驗證鑑別聲明。</p> <p>在設備鑑別機制上，一是執行基於軟體憑證或TPM的公開金鑰密碼系統鑑別協議，以確認使用者端點設備是受到機關管理，另一是持續監控設備健康管理的機制，包含作業系統更新、防毒更新、應用程式更新與組態合規，以隨時更新設備健康信任等級。</p> <p>最後，在信任推斷機制上，則是依各類輸入資料，進行動態評估與計算，輸出信任分數以提供存取決策。</p> <h3 class="rtecenter"><span style="color:#0099ff;"><strong>將逐步導入身分鑑別、設備鑑別與信任推斷機制</strong></span></h3> <p><span style="color:#0099ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%95%A5%E6%88%90%E5%BD%A2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%8A%80%E6%9C%8D%E4%B8%AD%E5%BF%83.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／擷取自行政院國家資通安全會報技術服務中心</span></p> <h3><strong>因應政府機關採購與部署，建立產品功能驗證計畫</strong></h3> <p>另一政府推動的零信任架構重點，在於商用產品，也就是零信任相關解決方案。這主要是為了因應A級公務機關，在2022年到2024年的導入作業，同時，也希望貫徹「資安即國安」戰略，厚植臺灣資安產業自主研發能力。對此，今年技服中心已在網站上推出了「<a href="https://www.nccst.nat.gov.tw/ZeroTrustMain?lang=zh">零信任網路專區</a>」，目的是讓國內廠商也能預做準備，參與計畫，並提出可相應的解決方案。</p> <p>截至至6月9日止，通過身分識別功能符合性驗證的廠商，已有全景軟體，以及與歐生全合作的安碁資訊。同時，技服中心也提供相關說明文件，幫助不論是政府機關與業界廠商，都能了解政府零信任網路的推動政策，相關技術、導入方式，以及產品需求。</p> <p>同時，為了讓政府機關導入時有所依循，在8月16日，技服中心已先公開一份<a href="https://www.nccst.nat.gov.tw/ZeroTrustMain?lang=z">針對「身分鑑別」機制的導入建議</a>文件，提供機關參考，當中包含具體參考步驟與檢核表，協助機關逐步建立零信任網路資安防護環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E6%94%BF%E5%BA%9C%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E6%88%B0%E7%95%A5%E6%88%90%E5%BD%A2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%8A%80%E6%9C%8D%E4%B8%AD%E5%BF%83(1).jpg" style="width: 600px;" /><br /> <span style="color:#696969;">圖片來源／擷取自行政院國家資通安全會報技術服務中心</span></p> </div></div></div>
2022/8/17 10:28作者羅正漢https://www.ithome.com.tw/news/152538
解決誤簽發漏洞啟動程式BootLoader問題的Windows更新，因錯誤無法安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月初Patch Tuesday釋出一個安全更新，欲解決誤簽發有漏洞開機啟動程式的問題，不過傳出發生無法安裝的錯誤。</p> <p>微軟本月初Patch Tuesday針對多個版本Windows釋出KB5012170安全更新，<a href="https://support.microsoft.com/en-us/topic/kb5012170-security-update-for-secure-boot-dbx-august-9-2022-72ff5eed-25b4-47c7-be28-c42bd211bb15" target="_blank">不過微軟說明</a>，安裝本更新可能會發生安裝失敗，並接獲0x800f0922的錯誤訊息代碼。</p> <p>KB5012170主要是更新Windows中Secure Boot DBX，這是儲存被註銷的UEFI開機啟動程式簽章的儲存庫。在Windows電腦硬體啟動、Windows載入前，UEFI開機啟動程式會先執行，並啟動具備安全開機（Secure Boot）的UEFI環境，以便只有受信任的程式碼可在這個階段於PC執行。</p> <p><a href="https://www.ithome.com.tw/news/152524" target="_blank">安全廠商Eclypsium發現</a> 3 個有漏洞的UEFI開機啟動程式獲得Windows憑證機構（CA）的簽章。由於這個CA為所有Windows和Linux筆電、伺服器等硬體信任，攻擊者即可安裝有問題的開機程式，輕易在目標裝置上執行。這3個啟動程式為Eurosoft、New Horizon Datasys及CryptoPro Secure Disk for BitLocker。KB5012170原本即是透過更新這個儲存庫的簽章，防堵3個舊版的啟動程式。</p> <p>受影響的Windows平臺涵括用戶端和伺服器端，包括Windows 11、Windows 10 20H2到21H2、Windows 10 Enterprise LTSC 2016、2019、Windows 10 Enterprise 2015 LTSB及 Windows 8.1。Windows Server版則從Server 2012到Server 2022。</p> <p>微軟表示正在調查問題原因，但在此之前，只要更新3個UEFI啟動程式到最新版即可暫時解決問題。</p> </div></div></div>
2022/8/17 10:06作者林妍溱https://www.ithome.com.tw/news/152537
【資安日報】2022年8月16日，2,300萬AT&T用戶資料流入暗網、俄羅斯駭客聲稱竊得美國航太製造商洛克希德·馬丁…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T有超過2千萬筆用戶個資流入暗網，但讓人意外的是，該公司獲報後表示，他們近期沒有遭到攻擊的跡象，這些資料應該是來自一家信貸機構。</p> <p>俄羅斯駭客Killnet近期不斷對試圖協助烏克蘭的國家，發動DDoS攻擊，義大利、立陶宛、拉脫維亞等國都傳出事故。而最近這些駭客宣稱，他們在攻擊美國航太製造商洛克希德·馬丁（Lockheed Martin）的過程裡，也一併竊得該公司的員工資料，但研究人員對這樣的說法持保留態度。</p> <p>駭客上傳惡意PyPI套件的情況再度出現，而這次攻擊事故與過往有所不同，攻擊者植入的Linux挖礦程式，是在記憶體內（In Memory）執行，這樣的做法在Linux惡意程式算是相當少見。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://holdsecurity.com/news/2022/08/att-customer-data-found-on-the-dark-web/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2,300萬AT&T用戶資料流入暗網，但該公司聲稱可能是信貸業者遭駭而外洩相關資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/shinyatt.png" style="width: 300px; float: right;" /></a>資安業者Hold Security於8月4日，從暗網論壇取得1.6 GB的壓縮檔案，內有3.6 GB的大型檔案，經過分析，此檔案內含28,511,318筆資料，當中包含使用者的全名、手機號碼、室內電話號碼、住址、出生日期、社會安全碼（SSN）等，共約有2,300萬個SSN、2,280萬個電子郵件信箱，駭客以20萬美元的價格起標。根據這些資料的特徵，研究人員認為資料很可能來自AT&T。</p> <p>AT&T聲稱，該公司的系統尚無遭到入侵及資料外洩的跡象，並向資安新聞網站Recorded Future表示，這些資料疑似來自於先前信貸機構資料外洩的事件。即便如此，難道AT&T對於合作廠商的資安沒有監督的責任嗎？</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/killnet-releases-proof-its-attack-against-lockheed-martin"><span style="color: rgb(0, 0, 0);">美國航太製造商洛克希德·馬丁遭DDoS攻擊，俄羅斯駭客Killnet聲稱竊得員工個資</span></a></strong></h3> <p>8月1日，美國航太製造商洛克希德·馬丁（Lockheed Martin）傳出遭到DDoS攻擊，俄羅斯駭客組織Killnet聲稱是他們所為，但最近傳出這些駭客疑似握有該公司部分內部資料。根據新聞網站Newsweek的報導，Killnet於8月11日在Telegram群組上傳一段影片，並聲稱是洛克希德·馬丁員工的個資。</p> <p>經資安業者Searchlight Security威脅情報分析師Louise Ferrett解析，這些資料確實是該公司員工的資料，但研究人員認為，駭客未必真正成功入侵，他們公布的很有可能之前流出的舊資料。針對這些資料的洩露，洛克希德·馬丁並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/15/disrupting-seaborgiums-ongoing-phishing-operations/"><span style="color: rgb(0, 0, 0);">微軟封鎖俄羅斯駭客Seaborgium網釣攻擊帳號</span></a></strong></h3> <p>微軟於8月15日宣布破壞俄羅斯駭客組織Seaborgium的網路釣魚行動，該組織持續鎖定特定的組織及個人發動網釣攻擊，特別是北約國家，以竊取這些個人或組織員工的憑證，進而長期竊取與蒐集資料，並利用這些資料來發動資訊戰。微軟關閉遭到駭客濫用的微軟服務帳號，包括LinkedIn、OneDrive，以及電子郵件等。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/russia-ukraine-shuckworm"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Shuckworm鎖定烏克蘭散播竊密軟體</span></a></strong></h3> <p>資安業者賽門鐵克發現自7月15日開始，俄羅斯駭客組織Shuckworm（亦稱Gamaredon、Armageddon）散布竊密軟體（Info Stealer）的攻擊行動，他們看到受害電腦先是下載7-Zip自解壓縮檔，隨後MSHTA程式下載了XML檔案，並植入多個PowerShell竊密程式。研究人員指出，駭客疑似濫用VCD、H264、ASC等副檔名來偽裝惡意程式，並透過遠端桌面連線應用程式Ammyy Admin或AnyDesk來存取受害電腦。由於攻擊行動仍持續當中，研究人員也提供入侵指標（IoC）供組織防範。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-secretslib-drops-fileless-linux-malware-to-mine-monero"><span style="color: rgb(0, 0, 0);">惡意PyPI套件被用於散布無檔案Linux惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/image-png-Aug-10-2022-06-08-30-52-AM.png" style="width: 300px; float: right;" /></a>資安業者Sonatype發現名為secretslib的惡意PyPI套件，一旦使用者安裝，將會在Linux主機執行名為tox的可執行檔案（ELF），進而在記憶體內（In Memory）部署挖礦軟體挖取門羅幣（XMR）。</p> <p>研究人員指出，駭客假冒美國伊利諾伊州阿貢國家實驗室（ANL）的工程師名義，並留下此人的聯絡資訊，且tox目前沒有防毒引擎將其識別為有害，使用者難以發現自己下載了惡意套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/8/15/23306650/def-con-hacker-john-deere-tractors-run-doom-right-to-repair"><span style="color: rgb(0, 0, 0);">研究人員竄改拖拉機配置來執行其他功能</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/0816-sick_codes_John_Deere.png" style="width: 300px; float: right;" /></a>研究人員Sick Codes近日於DEF CON大會上，駭入強鹿（John Deere）曳引機，並在拖拉機上的螢幕執行電玩遊戲毀滅戰士（Doom）。這名研究人員表示，他成功進入經銷商模式來繞過系統保護，進而取得了曳引機的root權限，而能夠在覆蓋原本的操作介面下執行遊戲。</p> <p>但為何要針對拖拉機進行研究？Sick Codes向Wired透露，他認為此種設備的資安漏洞很可能導致拖拉機停擺，進而會影響食物供應，另一方面，他也希望農夫能有完整權限掌控買到的設備，而能擁有自行維修的權利。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://support.signal.org/hc/en-us/articles/4850133017242"><span style="color: rgb(0, 0, 0);">雲端通訊服務業者Twilio洩露近1,900名Signal用戶的電話號碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://therecord.media/pro-kremlin-hackers-target-latvias-parliament-after-declaring-russia-a-sponsor-of-terrorism/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet聲稱對拉脫維亞議會發動DDoS攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cybernews.com/cyber-war/russian-hackers-target-finland-parliaments-website/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客NoName057(16)對芬蘭議會發動DDoS攻擊，起因是芬蘭打算加入北約組織</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/argentinas-judiciary-of-c-rdoba-hit-by-play-ransomware-attack/"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿根廷司法機構遭Play勒索軟體攻擊，關閉IT系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152514">【2022年8月15日】中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK漏洞波及多個廠牌連網設備</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> </div></div></div>
2022/8/16 17:56作者周峻佑https://www.ithome.com.tw/news/152534
NCC舉辦數位中介服務法公開說明會，公民團體、專家學者擔心政府加註警示恐衝擊網路言論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC今年6月底公告《數位中介服務法》（後稱數位中介法或中介法），今天（8/16）針對公民團體、學者專家舉行第二次公開說明會，公民團體、專家學者擔心賦予政府對網路內容的限制權力，可能鉗制網路言論自由，並對成立專責機構、安全港免責規定提出建議。</p> <p>由於外界對中介法第18條，主管機關機關對不實資訊、謠言得暫時加註警示有諸多疑慮，甚至擔心政府大力干涉網路言論自由，NCC在兩次的公開說明會都特別強調，加註警示的前提是，各主管機關基於主管的作用法，認為該訊息違法，且已向法院聲請資訊限制令，在法院裁定之前，先由行政處分要求業者協助暫時加註警示。</p> <p>儘管NCC如此說明，但因為草案的法條中沒有明確說明警示的處理方式，外界仍擔心政府的這項權力，對網路使用者的言論自由帶來影響。</p> <p><span style="color:#B22222;"><strong>加註警示恐對言論自由產生影響</strong></span></p> <p>台灣人權促進會數位人權專員周冠汝表示，第18條各法規主管機關對不實資訊、謠言得暫時加註警示，根據草案的說明，參考歐盟2018年視聽媒體服務指令，但是該指令並沒對不實訊息要求加註警示，主要針對仇恨及暴力言論、種族、膚色、國籍等，要求提供能有效提升媒體識讀的方式，透過媒體識讀提升使用者批判思考的能力，中介法以視聽媒體服務指令為加註警示的參考依據似不妥當，且政府要求加註警示的作法在公民社會也多被詬病。</p> <p>她以過去依照社會秩序維護法，對散布不實的謠言，被執法機關大量移送，最後法院裁定不罰的情形為多，新法賦予行政過大的權力恐對言論自由帶來衝擊。即使草案規定，各主管機關需提出作用法，但各個作用法的明確性也是一大挑戰，建議刪除政府機關針對不實訊息加註警示的權力。</p> <p>台權會肯定草案對業者提升透明度的努力，但中介法以業者自律規範，例如透過社群守則檢舉或限制網路內容，建議主管機關也應當將業者自律方式限制網路內容，一併登載在共同資料庫中。</p> <p>另外，第17條針對資料保存部分，周冠汝認為應設定保存的期限，避免各作用法規定期限不一致的情形；草案的罰則，考量到業者為避免被罰，可能傾向大量刪除、限制內容、降低排序等做法，也會對網路人權帶來影響。</p> <p>曾任NCC委員，代表台灣匯流研究學會出席公開說明會的世新大學廣電系兼任教授何吉森也表示，第18條對加註警示，如果警示的意涵為告知使用者有不同的訊息、其他的聲音，警示以媒體識讀、教育宣導的方式處理，只是告知有不同的訊息或其他的聲音、資訊仍在討論中等等，這樣的警示是可以接受的，但如果沒有特別說明，警示予人民的感受，例如貼上黃標，甚至經過確認而有行政處分，雖然用意是向使用者示警，但是帶給網路使用者什麼樣的感受，是否符合多方治理、公私協力、由下而上的精神，這些問題值得思考。</p> <p>何吉森更進一步指出，草案雖強調治理的精神，但整部法主要針對內容管制，缺少經濟管制，例如新聞分潤，或是大型網路平臺利用演算法蒐集運用個資等等。另外，中介法也缺乏參照DSA定向廣告、暗黑模式的相關規定。「數位中介服務法的治理精神、公私協力感覺沒有真正落實，好像只是口號」。</p> <p>對於外界的擔憂，NCC則回應，加註警示將以中性的方式處理，例如Learning more，提醒使用者有其他的資訊來源，未來會在草案中多作說明。此外，針對缺乏DSA規定提供定向廣告、暗黑模式，NCC強調中介法所參考為2020年版本DSA，定向廣告、暗黑模式為較新的DSA，未來也會參考更新DSA調整。</p> <p><span style="color:#B22222;"><strong>草案應有更明確的定義或解釋</strong></span></p> <p>因數位中介法對業者影響重大，台灣通訊學會祕書長簡維克建議草案可以更明確說明以避免歧見，例如歐盟DSA沒有特別定義中介，但臺灣數位中介服務法對數位中介服務下的定義，以有線、無線、衛星或其他電子傳輸設施傳輸數位格式的聲音、影像等，提供的通訊傳播中介服務，從法條來看對所謂「中介」的定義不夠明確，對中介的定義容易產生歧見，建議法條對「中介」要有更清楚的定義。</p> <p>其次是安全港的免責規定，簡維克表示，如果業者對訊息具有編輯責任，就不能援引安全港主張免責，但什麼是有編輯責任？如果業者根據使用者條款或利用技術，將不適當的訊息下架，是否會被認為具有編輯責任，基於安全港保護業者提供免責的規定，建議草案對編輯責任的範圍有更明確的定義；此外，第11條安全港條款，只免除業者刑事及民事責任，但沒有免除行政責任，是否為要求業者配合資訊限制的責任，但如此一來就可能限縮網路或電商的免責保護，因為目前法院檢視網路或電商業者，實務上會看業者是否對平臺上的資訊有可控制性，如認為業者技術及人力上沒有辦法發現違法資訊，業者可免除行政責任，第11條規定僅只免除民事、刑事責任，即使業者做了相關措施，也不能主張免除罰鍰等行政責任。</p> <p><strong><span style="color:#B22222;">專責機構的質疑</span></strong></p> <p>另外，中介法草案擬以25億元基金成立數位中介服務專責機構，NCC也在公開說明會中說明，該專責機構介接政府各主管機關，快速通知中介服務業者，為聯繫專責平臺，草案規定該機構董事導入多方利害關係人建立議事架構。</p> <p>何吉森表示，專責機構既為公設財團法人，其行政、業務、審計的督導，未來需赴立法院報告，在行政、立法介入高的情形之下，不符合由下往上的多方治理概念，建議專責機構對共同治理的流程，能夠建立真正的多利害關係人，多設立幾個不實資訊的認定機制，以及像iWin關切不同網路內容的單位。</p> <p>公民參與媒體改造聯盟召集人林月琴則指出，數位中介法雖參考DSA，但並不夠完善，首先，缺少明定兒少身心的處理，15到24歲在網路使用中具有相當的比例，沒看到中介法對妨礙兒少的部分。NCC在電視相關法規有兒少的部分，但在中介法卻未見到相關的規定。另外，專責機構被視為是iWin放大版，沒有接受申訴處理，該機構的功能及角色不免讓外界產生疑慮。</p> <p><span style="color:#B22222;"><strong>資訊限制令交由法院審議，應考慮法院是否能承接</strong></span></p> <p>在數位中介法中，政府主管機關對不實內容或謠言經調查確認違法後，向法院聲請資訊限制令，雖然對於涉及影響民眾言論的權力，交由法院審議裁定，但也引起公民團體、專家對法院是否有足夠能力裁定的憂慮。</p> <p>公民參與媒體改造聯盟召集人林月琴也表示，數位中介法授權政府聲請資訊限制令，需考量到法院能否處理，業者財力、人力能否負擔。</p> <p>全國律師聯合會代表認為，中介法涉及言論自由等限制，對人權的影響缺乏完整的評估的報告．就貿然做資訊限制令，也有透過業者間接管制言論自由的嫌疑。其次，現在司法實務工作量大，例如近期的選舉，民眾跟業者檢舉或向主管機關檢舉，法院有沒有能量審理？另外，是否有評做審案的能量，如果沒有完整的思考，作好跨部會的溝通，現在推中介法有些倉促。</p> <p><span style="color:#B22222;"><strong>能否對境外業者問責</strong></span></p> <p>媒體改造學舍理事長羅慧雯則關心數位中介服務法是否能使大型跨國數位平臺負擔更多責任。她表示，跨國數位平臺為內容通道的守門人，對內容發展影響重大，也是網路上不實資訊的溫床，過去這些平臺承擔低度的責任，期待未來數位中介法對數位平臺的問責。但是，數位中介法只要求指定代理人，卻沒要求跨國業者落地，跨國業者如不願配合，而決定停止對臺灣服務，建議可從臺美貿易合作中加入對平臺的問責。另外，數位中介法草案第15條要求業者揭露服務條款，第30條揭露廣告資訊，數位平臺擁有很大的權力，中介法能不能管？</p> <p>對此，NCC綜合規畫處處長王德威坦言，數位中介法參考歐盟DSA，當時考量到歐盟的市場力量，如果跨國業者能遵守，台灣中介法參考DSA，跨國業者是否比較可能遵守。政府可以對數位中介法制定更嚴的義務，但業者願不願意遵守，如果業者不遵守要如何處理，這些還需要協商。</p> <p>NCC目前已開放網站蒐集各界的意見，同時透過公開說明會，蒐集各利害關係人的意見，接下來將在8月18日針對資訊儲存服務及線上平臺服務業者、公協會舉行第三場公開說明會，在8月25日再舉行公聽會，開放社會大眾參與。</p> </div></div></div>
2022/8/16 19:38作者蘇文彬https://www.ithome.com.tw/news/152536
AWS CDN服務CloudFront開始支援HTTP/3，終端用戶網路連接體驗將有感提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-http-3-support-for-amazon-cloudfront/">AWS宣布對CDN（Content Delivery Network）服務CloudFront添加HTTP/3的支援</a>，所有新的和現存的全球邊緣CloudFront分布（CloudFront Distributions）都能夠啟用HTTP/3，使得終端使用者連接得以從HTTP/3底層的QUIC協定中受惠，獲得比基於TCP與TLS的HTTP/2功能更好的體驗。現在全球410個CloudFront邊緣站點都已經提供HTTP/3支援。</p> <p>HTTP/3建立於QUIC之上，QUIC是一個UDP、串流多工，以及更加安全的協定，能夠克服許多使用TCP所帶來的限制。在使用HTTP/2時，TCP需要透過交握程序，來建立客戶端和伺服器間的對話，而TLS也需要自己建立交握，來確保對話安全，每次交握都必須在客戶端和伺服器間往返，尤其當兩端相距很遠時，交握過程可能非常耗時，而QUIC卻只需要一次交握，就可建立安全對話。</p> <p>而且客戶端和伺服器之間的各種中介裝置，包括防火牆或NAT設備，都能夠理解並且操縱TCP，QUIC則是以UDP為基礎，經加密後在企業和公共網路中流動，因此包括元資料，中介裝置都沒辦法檢查和操縱其中的細節。</p> <p>HTTP/3串流具備獨立且多工的特性，這消除了請求和回應之間隊頭阻塞的問題，使得網頁應用程式能夠更快地被執行，在慢速網路以及對延遲敏感的連接特別有用。</p> <p>AWS在CloudFront上支援HTTP/3，將能夠提供終端用戶更靈敏且安全的網路連接，在網路連接較不順的地區，CloudFront用戶將明顯觀察到應用程式效能提升。CloudFront的HTTP/3功能，使用由Rust實作的QUIC協定s2n-quic，並結合AWS加密開源函式庫，高效能地提供安全性。</p> <p>在CloudFront分布上啟用HTTP/3之後，用戶便可以向CloudFront邊緣站點發出HTTP/3請求，一旦通過邊緣站點，CloudFront就會繼續使用HTTP/1.1向來源伺服器提取資料，因此用戶不需要對伺服器進行任何更改，就可以利用HTTP/3存取內容。</p> <p>不過對於部分類型的應用程式，像是需要HTTP客戶端函式庫發送HTTP請求的應用程式，用戶可能需要更新HTTP客戶端函式庫來使用HTTP/3，一旦雙方無法建立QUIC連接，系統也會自動回退到支援的協定，像是HTTP/1.1或HTTP/2。</p> </div></div></div>
2022/8/16 17:02作者李建興https://www.ithome.com.tw/news/152533
微軟破壞鎖定北約國家的俄羅斯駭客集團Seaborgium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/08/15/disrupting-seaborgiums-ongoing-phishing-operations/" target="_blank">微軟本周宣布</a>，已採取必要行動破壞了俄羅斯駭客集團Seaborgium的網路釣魚行動，Seaborgium持續鎖定特定的組織及個人發動網釣攻擊，特別是北約國家，以竊取這些個人或組織員工的憑證，進而長期竊取與蒐集資料，並利用這些資料來發動資訊戰，於是微軟關閉了Seaborgium駭客所利用的微軟服務，包括LinkedIn帳號、電子郵件帳號與OneDrive帳號等。</p> <p>微軟自2017年以來便開始追蹤Seaborgium，相信它是由俄羅斯政府支持的駭客集團，主要任務是竊取情報以散布不實資訊，而非基於財務動機。</p> <p>這幾年來Seaborgium都針對同樣的一批組織發動攻擊，企圖建立長駐能力，除了個人之外，Seaborgium主要的攻擊目標為北約國家的組織，特別是美國與美國，偶爾也有波羅的海、北歐或中歐國家的組織受害，烏克蘭或支持烏克蘭的組織亦為受害者，目標對象可能是國防暨情報顧問公司、非政府組織、政府間組織、智庫或高等教育機構等，也有俄羅斯的前情報官員、俄羅斯事務的專家或旅居海外的俄羅斯人遭到鎖定。</p> <p>Seaborgium的計畫很縝密，駭客會先研究目標對象的檔案，繼之於社交網站上建立一個與之相關的假帳號，也會有一個與之搭配的電子郵件帳號，第一步會先透過電子郵件帳號與受害者聯繫，以對方有興趣的主題來吸引受害者，在收到受害者回應之後，才會再寄送惡意電子郵件。</p> <p>這些電子郵件可能含有惡意的PDF檔，或是直接於電子郵件中嵌入惡意連結，或是邀請受害者開啟存放於OneDrive上的PDF檔，但不論是哪一個，最終目的都是將使用者導至網釣頁面，誘導受害者輸入憑證，進而接管受害者的電子郵件帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-SEABORGIUM%20phishign%20by%20microsoft-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>由於Seaborgium的目的是蒐集情報，因此駭客會竊取受害者信箱中的所有資料，或是直接於郵件服務中設定轉寄功能，將所有郵件轉寄至駭客信箱，也會用來存取受害者的其他聯絡人。</p> <p>Seaborgium還會以所蒐集的情報來撰寫假新聞，例如曾經駭進支持英國脫歐的多名高級官員的Protonmail帳號，並利用自這些帳號中竊取的文件來編故事，宣稱這些脫歐支持者準備發動政變。微軟呼籲不管是媒體或讀者都應謹慎對待各種資訊，以免在不經意間成為散布不實資訊的幫兇。</p> <p>微軟除了公布Seaborgium網釣活動的入侵指標之外，也建議Office 365用戶檢查電子郵件的過濾設定，關閉自動轉寄功能，審核所有自遠端存取的活動，要求多因素認證，以及採用硬體金鑰等。</p> </div></div></div>
2022/8/16 15:55作者陳曉莉https://www.ithome.com.tw/news/152532
Unity拒絕AppLovin的合併提案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Unity 3D遊戲引擎的丹麥遊戲業者<a href="https://investors.unity.com/news/news-details/2022/Unity-Board-of-Directors-Reaffirms-Commitment-to-ironSource-Transaction-and-Rejects-Unsolicited-Proposal-from-AppLovin/default.aspx" target="_blank">Unity Software在周一（8/15）正式拒絕</a>了AppLovin所<a href="https://www.ithome.com.tw/news/152405" target="_blank">提出的合併協議</a>。</p> <p>AppLovin的提議源自於Unity在7月13日宣布要以44億美元買下以色列的ironSource，ironSource與AppLovin的業務屬性類似，都是專門開發行動程式營利與出版技術的業者，但ironSource的規模比AppLovin小得多。AppLovin在8月提出以18%的溢價與Unity合併時，即要求Unity必須放棄收購ironSource。</p> <p>然而，Unity本周表示，該公司的董事會在經過完整的評估後，認為與AppLovin合併並不符合Unity的最佳股東權益，反之，買下ironSource將能形成遊戲產業第一個從打造、執行、管理、出版到營利的端對端平臺，可望帶來更好的經濟成果。</p> <p>遊戲產業則分析，即使AppLovin同意以200億美元的高價買下Unity，還讓Unity享有合併後新公司的55%股權，但Unity卻僅握有新公司49%的投票權，相較之下，Unity買下ironSource之後，不但將取得程式的出版與營利技術，也有百分之百的掌控權，或許是Unity董事會的主要考量之一。</p> </div></div></div>
2022/8/16 14:20作者陳曉莉https://www.ithome.com.tw/news/152528
微軟在Office 2021上展示Microsoft 365廣告令用戶不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟力推雲端版服務，甚至連自家用戶端版本軟體Office，使用途中也會收到廣告，讓用戶相當不滿。</p> <p>數名用戶，包括微軟<a href="https://twitter.com/Lee_Holmes/status/1558186557017710592" target="_blank">Azure Security部門首席安全架構師Lee Holmes</a>近日發現，他們的Office程式在選單下方出現促銷Microsoft 365的文字廣告，像是家用版Microsoft 365的「限量優惠」3個月只要0.99美元，還提供了按鍵，可連向Microsoft Store購買產品優惠。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-office%202021%20ad.jpg" style="width: 600px;" /></p> <p><a href="http://twitter.com/Lee_Holmes/status/1558186557017710592" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Lee Holmes</span></span></a></p> <p><a href="https://www.ithome.com.tw/news/152378" target="_blank">微軟屢勸用戶</a>，單機版Office功能無法擴充，又不會更新，支援期限到還可能無法連結Microsoft雲端服務，最好轉到雲端訂閱版Office。這個廣告若是出現在其他搜尋廣告版位，或是社群平臺廣告上都不令人意外，但是它占用的是正版Office 2021告知用戶開啟巨集的區塊。Holmes表示令人失望。</p> <p>一些用戶對自己付了正版授權還需看到廣告，看到氣憤。另一名使用者則表示，若用戶在公司Office上看到這些廣告購買或啟動家用版Office，反而有害員工生產力。</p> <p>微軟經常有些令人爭議的廣告作法。例如曾在Chrome等競爭瀏覽器的用戶搜尋結果頁上展示Edge廣告。最近微軟將腦筋動到檔案總管（File Explorer）上；<a href="https://twitter.com/flobo09/status/1502645866204704773" target="_blank">3月間有用戶發現</a>他的檔案總管上的一大區塊被用於展示促銷Azure的廣告。</p> <p>不過就連很少使用廣告的蘋果，也可能想善用自己的資產來打廣告。<a href="https://twitter.com/markgurman/status/1558846839746506752" target="_blank">彭博新聞本周報導</a>，除了現在新聞、股票和App Store版面上，蘋果可能計畫在Apple地圖、Books、Podcasts或TV+上展示廣告，以增闢營收來源。</p> </div></div></div>
2022/8/16 14:41作者林妍溱https://www.ithome.com.tw/news/152529
3項經微軟簽發的UEFI Boot Loader可讓惡意程式繞過安全開機保護執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/2022/08/11/vulnerable-bootloaders-2022/" target="_blank">安全廠商Eclypsium發現</a>有三個獲得微軟簽發的UEFI bootloader存在漏洞，使惡意程式能躲過安全開機（Secure Boot）技術的防護，而得以在Windows裝置上執行。</p> <p>Windows的安全開機機制是UEFI標準，可透過微軟憑證驗證韌體，及保護系統無法在開機早期，作業系統載入之前，載入與執行惡意程式碼。Eclypsium發現的3項UEFI bootloader，都獲得微軟UEFI第三方憑證機構（CA）的簽章。由於這個CA為所有Windows和Linux筆電、桌機、平板、伺服器及AIO系統所信任，因此攻擊者即可安裝有問題的開機程式，輕易在目標裝置上執行。</p> <p>這三項BootLoader及其漏洞分別是Eurosoft（CVE-2022-34301）、New Horizon Datasys（CVE-2022-34302）及CryptoPro Secure Disk for BitLocker（CVE-2022-34303）。</p> <p>其中CVE-2022-34301和CVE-2022-34303較類似，它們都是利用已簽發的UEFI shell，使攻擊者可利用shell內建的功能，迴避安全開機，像是讀寫記憶體、list handles或映射記憶體等，而且可利用開機script自動化執行。</p> <p>這些行為都還有一些視覺上的指示元素，可在顯示器上看到，但沒有顯示器的伺服器或工業裝置則無從察覺。但New Horizon Datasys（CVE-2022-34302）的漏洞就更隱密了。它包含使Secure Boot開著，但關閉它的檢查。這能以更高明的手法躲避安全防護，像是關閉安全工具。這麼一來攻擊者也不需下指令，就能直接任意執行未簽章的程式碼。研究人員相信這項漏洞更能獲得駭客們的「青睞」。</p> <p><a href="https://kb.cert.org/vuls/id/309662" target="_blank">CERT/CC指出</a>，這些漏洞讓惡意程式繞過Secure Boot保護，而使系統載入任意程式碼。這些bootloader可協助攻擊者潛伏在系統內，例如載入任意的核心擴充程式躲過開機或OS重灌，或是躲過OS層安全軟體，或第三方端點防護工具。</p> <p>研究人員警告，雖然更新有問題的bootloader需要管理員權限，但本地權限擴張（local privilege escalation，LPE）攻擊在Windows和Linux上都不難做到。尤其微軟並不認為UAC-bypass是不合法行為，也不修補相關被通報為漏洞的地方，因此Windows上反而許多機制可被用於將一般用戶提升到管理員權限。</p> <p>此外，研究人員也指出，雖然在OS層執行惡意程式很常見，但Secure Boot是專門用於這些程式不致擴充權限到取得整臺機器，突破其他安全控制，因此這些漏洞還可以讓攻擊者很簡單就跨越UAC。</p> <p>CERT呼籲用戶及早安裝最新OS安全更新，防止不安全韌體繞過Secure Boot防護。<a href="https://support.microsoft.com/en-us/topic/kb5012170-security-update-for-secure-boot-dbx-august-9-2022-72ff5eed-25b4-47c7-be28-c42bd211bb15" target="_blank">微軟8月Patch Tuesday</a>就更新了Secure Boot Forbidden Signature Database（DBX）解決這項問題。</p> <p><a href="https://www.ithome.com.tw/news/139133" target="_blank">Eclypsium於2020年也揭露</a>啟動程式Grub2的安全漏洞，名為BootHole，可允許駭客繞過安全啟動（Secure Boot）保護機制，於作業系統之前植入任意程式，個人電腦、伺服器、工作站到IoT裝置都受駭。</p> </div></div></div>
2022/8/16 13:16作者林妍溱https://www.ithome.com.tw/news/152524
研究人員駭進拖拉機玩《毀滅戰士》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名代號為Sick Codes的安全研究人員在上周舉行的Def Con駭客會議上，<a href="https://forum.defcon.org/node/241833" target="_blank">展示他如何駭進知名農業設備品牌John Deere所生產的拖拉機</a>，<a href="https://twitter.com/sickcodes/status/1558878687642402816" target="_blank">他在拖拉機的螢幕上玩起了《毀滅戰士》（Doom</a>），並說已取得了該拖拉機的根權限，可讓農民自行維修設備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-sick%20codes%20John%20Deere-600-1.png" style="width: 593px;" /></p> <p><a href="https://www.wired.com/story/john-deere-tractor-jailbreak-defcon-2022/" target="_blank">根據《Wired》的報導</a>，Sick Codes取得了好幾款不同型號的John Deere觸控螢幕主機，接著花了幾個月的時間來研究這些主機的電路板，企圖繞過該品牌對於經銷商的授權要求，最終他終於通過認證，在重開機之後進入經銷商存取模式。</p> <p>該模式不僅存放了大量的設備紀錄，可用來診斷設備問題，也讓Sick Codes得以繞過系統保護，取得最終的根權限。<a href="https://twitter.com/sickcodes/status/1558870061279875072?s=20&t=MUo4XCouTUDpckMTAAn6-A" target="_blank">Sick Codes亦公布</a>他所開採的機種為John Deere 4240，並揭露設備規格。</p> <p>成功取得根權限之後，Sick Codes即在該拖拉機的觸控螢幕上，以覆蓋原有介面的方式下玩起了《毀滅戰士》。</p> <p>此外，Sick Codes也向《Wired》透露，他最關心的是這些農業設備的安全漏洞是否會影響全球的食物供應問題，同時也希望讓農夫能夠全權控制所購買的設備，得以自行維修。</p> </div></div></div>
2022/8/16 12:53作者陳曉莉https://www.ithome.com.tw/news/152523
維基解密創辦人律師控告CIA監聽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://regmedia.co.uk/2022/08/15/margaret_ratner_kunstler_legal_complaint.pdf" target="_blank">維基解密創辦人Julian Assange的律師及記者友人本周控告</a>美國中情局（CIA）及前中情局長及委外科技公司等人，在2017年到2018年期間，透過竊聽軟體、小型攝影機等科技，監控Assange的通訊及實際活動。</p> <p>原告是兩名記者Charles Glass和 John Goetz，以及Assange的律師Margaret Kunstler及Deborah Hrbek，他們控告CIA、當時局長（後擔任川普國務卿的）Mike Pompeo，及協助CIA的西班牙科技公司Undercover（UC）、該公司當時執行長David Morales Guillen等人於2017年1月到2018年4月，對棲身在英國厄瓜多大使館的Assange的通訊和活動，進行無所不用其極的監控。</p> <p>原告指出，UC本來即是提供Assange於厄瓜多大使館內維安的業者，2017年起在CIA指使下進行Assange的監控行動。其行為包括在大使館內新攝影機內安裝隱藏式麥克風，並在大使館內安裝監聽器，錄下或直播Assange在居所內的活動。</p> <p>此外，由於造訪Assange的人不計其數，訪客會被要求交出護照及所有電子設備包括手機、電腦、攝影機等。原告指出，UC會偷偷拍攝訪客護照包括簽證及戳章等，而且擅自翻找電子產品，包括IMEI或SIM密碼等，還偷偷下載儲存其內的資料，包括記者裝置內的機密的消息來源、以及律師的客戶資料。訪客和Assange之間的對話，也都遭到錄音。所有取得的資料最後都交給了CIA，或是儲存在UC伺服器供CIA存取。而Pompeo在整個過程中不但知情，也是他授權進行。</p> <p>原告指稱，CIA行為違反了原告作為美國人享有的第四修正案保障的、禁止政府無理搜查和扣押人民財產的權利。</p> <p>CIA對此官司拒絕評論。</p> <p>Assange因性侵案遭瑞典及國際警方通緝，但最重要的是維基解密公開了美軍在伊拉克和阿富汗軍事行動中殺害平民的資料遭美國追擊，他於2012年取得厄瓜多政治庇護並躲進該國駐倫敦大使館。2019年4月，厄瓜多取消對其庇護下，<a href="https://www.ithome.com.tw/news/129937" target="_blank">Assange遭英國警方逮捕</a>並關押至今。今年6月<a href="https://www.theregister.com/2022/06/17/assange_extradition_uk/" target="_blank">英國內政大臣同意將Assange引渡到美國受審</a>，Assange目前上訴到英國最高法院。</p> </div></div></div>
2022/8/16 11:36作者林妍溱https://www.ithome.com.tw/news/152521
蘋果員工9月5日要回辦公室了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果執行長Tim Cook與蘋果軟體工程副總裁Craig Federighi近日相繼寄出內部信件予蘋果員工，要求員工從9月5日起要開始回辦公室上班了，每周必須進辦公室3天，固定的上班日為每周二及每周四，另一天則由各團隊彈性制定。</p> <p>因應COVID-19疫情，蘋果從2020年3月起便允許員工在家工作，儘管各大科技業者都發展出在家工作的模式，也達到一定的工作效率，但Cook曾說，有些事情是遠端協作無法複製的，況且他也想念大家一起行動、創造，以及因此而建立的社群意識。</p> <p>總之，相較於Twitter、Reddit與Dropbox等業者都制定了廣泛的遠端工作政策，蘋果還是希望員工能偶爾進辦公室集合。</p> <p>今年4月起，蘋果便要求員工每周至少要進辦公室1天，5月起增加到每周2天，原本同月就要提高到3天，但確診人數再度攀升，延後了該計畫，不過，此一最新的政策應該已成定局。</p> <p>除了員工可以選擇每周2天的遠端工作之外，依據角色的不同還可申請每年4周的遠端工作，<a href="https://www.theverge.com/2022/8/15/23307268/apple-hybrid-working-model-return-to-office-september?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《The Verge》</a>公布了Cook與Federighi的郵件，透露他們對員工團聚的期待。</p> </div></div></div>
2022/8/16 11:50作者陳曉莉https://www.ithome.com.tw/news/152522
Apple要求新版Telegram刪除Telemoji功能才給上架App Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152466">在Telegram創辦人Pavel Durov大動作發文抱怨Apple</a>，審查新版Telegram時間長達兩星期，之間又都沒有任何解釋之後，Apple終於回應了，要求Telegram必須把新版中，他們稱為Telemoji的高品質向量動畫表情符號移除，才能在App Store上架。</p> <p><a href="https://t.me/durov/191">Pavel Durov表示</a>，他無法理解Apple的這個舉動的意義何在，因為Telemoji能夠豐富Apple的生態系。Telemoji是Telegram用來取代標準表情符號的高品質版本，透過增加表情符號的解析度來提升用戶體驗。</p> <p>不過即便少了Telemoji，<a href="https://telegram.org/blog/custom-emoji">Telegram的新版</a>仍然有許多新的表情符號功能，對於訂閱Telegram進階功能的用戶，開始可以上傳自定義動畫表情包，官方也在新功能釋出的同時，額外提供10個初始的動畫表情包，其中包含500個，付費用戶可以用於文字訊息以及媒體附加說明中的動畫表情符號。另外，新的互動式表情符號功能，可以在使用者1對1對話時，透過點按表情符號，同步在雙方的裝置上播放特效。</p> <p>現在Telegram進階用戶也有更多操作，除了能限制可傳送聲音和影片訊息給他們的對象外，也可以向朋友贈送進階訂閱身分。</p> </div></div></div>
2022/8/16 11:54作者李建興https://www.ithome.com.tw/news/152520
程式人的線性代數
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為一名程式人，如果想接觸、結合數學，我在先前<a href="https://www.ithome.com.tw/voice/109597" target="_blank">專欄〈程式人的數學書〉</a>曾經提過一些建議，若這引起了你對數學的興趣，下一步你可能會想知道：對於寫程式來說，實用的數學是？離散數學嗎？</p> <p>雖然離散數學的非連續性運算，是電腦可以表達的運算，不過，離散數學的範圍太廣，包含了邏輯、集合、圖論、狀態機等，有些你可能早就接觸過，只不過沒意識到那是離散數學的範疇罷了。</p> <p><span style="font-size:28px;"><strong>寫程式實用的數學？</strong></span></p> <p>就我個人經驗而言，至今為止接觸過、寫程式時最有用的一門數學是……？線性代數！我知道很多學生時代曾接觸線性代數的人，聽到線性代數會感到驚恐，別擔心，我也一樣。</p> <p>就算是擅長線性代數，出版過《有限維向量空間》（Finite-Dimensional Vector Spaces）的美國數學教授哈爾莫斯，談到自己第一次學習線性代數時，遭遇也是滿悲慘的，對此，「線代啟示錄」作者在<a href="https://bit.ly/3nrulsC" target="_blank">〈如何學好線性代數？〉</a>也描述了哈爾莫斯的這段歷程。</p> <p>回想起大學時代接觸線性代數的經驗，那就像：還沒熟練第一門程式語言是怎麼一回事之前，就要理解物件導向、函數式等抽象的純粹性，這都是不可能的事情。在沒有看過足夠的（爛）程式碼之前，你說你可以理解那些抽象的前因後果？類似地，如果沒看過足夠的運算轉換場合，就要能理解線性代數的定義、定理、證明，怎麼可能？更別說「證明」這件事，基本上並不是程式人的工作。</p> <p>〈如何學好線性代數？〉談到，明白線性代數是指「有一天你在洗澡時豁然開悟，奔出浴室光著身子在馬路上邊跑邊叫」對我來說，在那個「豁然開悟」的時間點之前，我已經寫了不少與線性代數相關的程式碼——具體來說，就是在面對運算轉換問題時，特意練習、思考該如何以向量、矩陣來描述，當這個習慣成為自然，伴隨著實作的經驗，回頭看看線性代數時，才終於有了「原來是這麼一回事」的領悟。</p> <p><span style="font-size:28px;"><strong>向量、矩陣的幾何意義</strong></span></p> <p>我寫過不少的2D/3D繪圖、建模程式，而這類程式的入門，一開始脫不了三角函式等幾何轉換，在我早期的程式實作，是基於逐條的幾何公式，例如座標點(x,y)要位移(tx,ty)，我會以nx=x+tx、ny=y+ty來實現，後來才發現在OpenSCAD這麼寫很蠢，因為，只要寫n_coord=[x,y]+[tx,ty]就可以了，理由是OpenSCAD的[x,y]不只是list，而是個向量。</p> <p>就如同直角座標(x,y)提供x軸、y軸的位移資訊，極座標(r,a)代表長度與度數資訊，向量是用來描述方向與大小，雖然向量不包含位置資訊，不過，常會使用向量(x,y)來表示直角座標(x,y)，這是因為隱含著「從原點開始，以向量(x,y)移動」的意思。如此一來，我們就可以用各種向量運算來解決幾何的問題，例如，有些用三角函式等幾何公式描述上很複雜的問題，透過向量內積、外積等作法，就可以輕鬆地描述。</p> <p>至於矩陣，可以想想一條線性的數學公式。例如nx=a*x+b*y+c*z，就是將x、y當成是輸入，nx當成是輸出。如果是一組數學公式呢？你可以當成是三次輸入，三次輸出：</p> <pre> nx=a*x+b*y+c*z ny=d*x+e*y+f*z nz=g*x+h*y+i*z</pre><p>不過，你也可以把這樣的狀況看成：輸入一個向量[x,y,z]，得到一個向量[nx,ny,nz]，實作其中轉換機制的，就是矩陣，若用二維陣列表示該矩陣的話，就是。</p> <p>這其實是一個有趣的觀點，向量像是程式語言中函式的參數，矩陣像是函式的實作，轉換過程不過就是個函式呼叫，<a href="https://bit.ly/3QV7N0M" target="_blank">〈程式設計大佬眼裡的線性代數〉</a>就是從程式語言的觀點來看線性代數。</p> <p>也就是說，線性代數所談的，就是在描述一組線性方程式時，將變量視為向量，將轉換過程（線性方程式的係數）以矩陣表示，將向量轉換為另一個向量，線性代數就是討論向量之間、矩陣與向量之間關係的一門學問。</p> <p>就幾何來看，因為經常用向量來代表座標，而座標與座標之間的轉換，也就是：向量之間的轉換方式，可以使用矩陣表示。由於幾何可以視覺化，我們如果能夠從幾何觀點來認識向量、矩陣，從而認識線性代數當中的行列式、特徵向量、特徵值等，這些部分就會顯得更加具體，在<a href="https://bit.ly/3A8DKwE" target="_blank">〈如何理解線性代數？〉</a>裡，就闡明了那些高深名詞，各意謂著幾何中的哪些東西。</p> <p><span style="font-size:28px;"><strong>從做中學的程式工具</strong></span></p> <p>若想從做中學，使用可撰寫程式碼、提供向量、矩陣運算方案的繪圖工具，從幾何中認識、熟悉向量、矩陣，自然是最好的方式。例如OpenSCAD裡，向量、矩陣是一級公民，是個不錯的方案，自從體認到向量、矩陣的優異性之後，我花了很多時間改寫dotSCAD程式庫，而基於向量、矩陣的實作不但簡明，效率也上升了不少。</p> <p>對OpenSCAD沒興趣的話，不妨考慮p5.js，因為它入門簡單、提供p5.Vector，也可以透過applyMatrix套用矩陣轉換；若想進一步運用，可以試試Three.js，或者甚至WebGL等基於JavaScript的方案，這必然會接觸不少向量與矩陣變換。</p> <p>方才談到，線性代數探討的課題之一，是向量透過矩陣如何轉換為另一向量。就幾何而言，這可以是二維座標轉換至二維座標，或是二維轉三維、三維轉二維等。這麼一來，你可以說座標變動了，然而以相對的觀點而言，也可說是座標系統變動了。</p> <p>p5.js的translate、rotate等就是這樣的概念，透過這些函式可以改變座標系統，然而，point、circle等繪圖函式並不知道自己的座標系統改變了，它們還是在自己的空間裡繪圖，被指定的x、y資訊會被轉換至畫布的座標系統，也就是在畫布的空間裡繪圖。</p> <p>而這就是向量空間變換的概念，談到這個，若你接觸過資料科學、機器學習，應該就有印象了，其中談到主成分分析（Principal Component Analysis, PCA）、核方法（Kernel method）等維度變化技巧時，其實就是空間變換（降維、升維）的概念。</p> <p>也就是說，就工具而言，接觸NumPy、Pandas時資料科學工具時，有不少機會可從向量、矩陣來思考，因此，當我們使用這些工具時，不要將公式逐條看待，而是可以試著將變數組織為向量，公式的係數實現為矩陣（可參考先前專欄〈陣列程式設計〉），這麼一來，我們若要進一步往機器學習scikit-learn、PyTorch等相關方案前進時，就會是很大的助力。</p> <p><span style="font-size:28px;"><strong>線性系統轉換的抽象化</strong></span></p> <p>在幾何、資料科學甚至是機器學習等領域裡，當我們習慣用向量、矩陣來思考、描述後，此時，就會發現：雖然被轉換的系統不同，然而其中有許多共通的計算與考量，如果將這些共通部分從幾何、資料科學、機器學習裡等實際應用中抽離出來，就是極為純粹（然而抽象）的線性代數了。</p> <p>如果你跟我一樣，學生時代沒明白過線性代數，或許可以透過程式設計，從幾何等實際應用程式的實作，來理解線性代數，等到哪天解的問題夠多了，再回頭看看線代課本，或許就如同看物件導向、函數式等的理論書籍，可以別有一番體會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%9A%E6%80%A7%E4%BB%A3%E6%95%B8">線性代數</a></div><div class="field-item odd"><a href="/tags/%E5%90%91%E9%87%8F">向量</a></div><div class="field-item even"><a href="/tags/%E7%9F%A9%E9%99%A3">矩陣</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/8/16 08:56作者林信良https://www.ithome.com.tw/voice/152502
【資安日報】2022年8月15日，中國駭客APT27利用即時通訊軟體MiMi發動攻擊、Realtek eCos SDK…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月初有人聲稱是中國駭客APT27，企圖對美國參議院議長裴洛西訪臺進行網路攻擊，最近有兩家資安業者也發現了APT27攻擊行動──這些駭客竄改一款中國廠商開發的即時通訊軟體MiMi，主要鎖定macOS的用戶。</p> <p>臺廠瑞昱半導體（Realtek）於3月下旬，針對軟體開發套件eCos SDK修補CVE-2022-27255漏洞，研究人員指出，雖然瑞昱提供了SDK的更新軟體，但受影響的連網設備仍有待製造商進行修補。</p> <p>使用小米手機的用戶要注意了，搭載聯發科晶片的小米手機存在漏洞CVE-2020-14125，攻擊者很可能將其用來洗劫用戶的存款，使得研究人員呼籲用戶要儘速更新韌體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-backdoor-chat-app-with-new-linux-macos-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT27竄改即時通訊軟體MiMi，攻擊Mac電腦，遭鎖定目標集中在臺灣</span></strong></a></h3> <p>資安業者Sekoia、趨勢科技於8月12日，不約而同對遭駭的中國即時通訊軟體MiMi提出警告，駭客主要針對Mac電腦的用戶而來，約從今年5月26日開始，竄改MiMi的2.3.0版軟體，植入後門程式RShell，攻擊者的身分是中國駭客組織APT27（亦稱Iron Tiger、LuckyMouse）。</p> <p>趨勢科技總共找到13個遭鎖定的目標，有10個在臺灣、3個在菲律賓，且疑似有臺灣IT開發公司受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mnews.tw/story/20220812sot12014"><span style="color: rgb(0, 0, 0);">台灣銀行9日和兆豐銀行11日遭到DDoS分散式阻斷式攻擊</span></a></strong></h3> <p>因裴洛西8月初訪臺，中國駭客頻頻對臺灣發動網路攻擊的情況，財政部啟動資安警戒應變小組，動員八大行庫與事業機構，進行為期一週的高度警戒，傳出有銀行遭到攻擊的情況。根據工商時報、鏡新聞等媒體的報導，台灣銀行、兆豐銀行先後傳出於9日和11日遭到DDoS攻擊，兩家銀行都在第一時間向財政部通報，且增加頻寬因應，皆並未因這些攻擊而導致網頁癱瘓。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152492"><span style="color: rgb(0, 0, 0);">健保資料庫侵犯隱私權，憲法法庭判健保法應3年內修法</span></a></strong></h3> <p>個資保護也與資安息息相關，而在國內主要的法規依據是個人資料保護法，但對於公部門如何運用民眾個資，仍有所不足。例如，憲法法庭8月12日判決健保資料庫違憲，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。</p> <p>健保署回應尊重憲法法庭判決，承諾將修法或制定法制，包括健保資料利用法制與當事人健保資料停止利用權（即退出權）等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.storm.mg/article/4469272"><span style="color: rgb(0, 0, 0);">中國威脅加劇恐影響臺灣金融，在野黨提出金融漢光演習，並認為金融業應3個月內全面設置資安長</span></a></strong></h3> <p>經濟日報、新新聞的報導，國民黨團於8月12日提出呼籲，針對中國的文攻武嚇加劇，政府應該針對金融業進行「金融漢光演習」，由財經部會及國安部門通力合作，進行相關的兵棋推演，內容應包含網路攻擊，以及股匯市的因應。該黨團彙整18套劇本，並認為金融業應3個月內全面完成資安長設置，行政院也必須落實相關的資安防護業務。</p> <p>對此，<a href="https://money.udn.com/money/story/5613/6532877">金管會表示</a>，他們對金融機構的日常監理工作已涵蓋各項演練及壓力測試，評估不需另外辦理金融漢光演習。而對於上述限期全面設置資安長的看法，金管會沒有表示意見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/acn/202208120290.aspx"><span style="color: rgb(0, 0, 0);">中國上海疫調App「隨申碼」遭駭，4,850萬用戶個資流入地下論壇</span></a></strong></h3> <p>在6月有人在地下論壇Breach Forums兜售10億中國民眾個資後，又有駭客在該論壇求售竊得的資料。根據中國媒體南方都市報的報導，上海市疫情防控的應用程式「隨申碼」疑似遭到入侵，駭客竊得4,850萬用戶個資，並於Breach Forums以4千美元的價格出售。</p> <p>為取信買家，該名駭客提供47組資料，經該媒體打電話確認後，有部分民眾證實資料正確。對此，上海市大數據中心表示，他們只負責研發隨申碼，資料並非由該單位流出；上海市民服務熱線12345工作人員表示無法處理相關事件，並建議個資外洩民眾向公安報案。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/"><span style="color: rgb(0, 0, 0);">全球逾8千臺VNC伺服器未受密碼保護</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-–-Top-5-countries-with-exposed-VNCs.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/Figure-2-%E2%80%93-Top-5-countries-with-exposed-VNCs.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Cyble於8月12日提出警告，全球發現至少有8千個未受密碼保護的VNC伺服器，當中又以中國、瑞典最多，皆超過1,500個，美國835個次之。由於不少伺服器隸屬關鍵基礎設施（CI），如，水處理廠、研究設施等，一旦這些系統遭到入侵、竄改組態，很有可能造成嚴重的危害。</p> <p>研究人員指出，近期出現大規模掃描VNC實例（Instance）的現象，駭客試圖存取這類系統的預設連接埠5900，相關流量主要來自荷蘭、俄羅斯，以及烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly"><span style="color: rgb(0, 0, 0);">安卓惡意程式Sova納入了勒索軟體功能</span></a></strong></h3> <p>資安業者Cleafy發現，駭客近期在安卓木馬Sova第5版裡，新增了檔案加密功能，研究人員表示，雖然第5版仍在開發階段，但7月出現的第4版Sova已可偽裝成200種以上的App，並具備攔截雙因素驗證所需資料，以及竊取Cookie的功能，還能鎖定多種Google服務下手，如Gmail、行動支付GPay，以及密碼管理器等，此外，該惡意程式能阻止使用者將其移除。研究人員提出警告，使用者應防範此木馬程式的相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek eCos SDK存在RCE漏洞，恐波及採用RTL819x晶片的連網設備</span></strong></a></h3> <p>資安業者Faraday Security在8月12日於DEF CON大會上，公布他們找到並向臺廠瑞昱半導體（Realtek）通報的高風險漏洞CVE-2022-27255，此漏洞存在於eCos SDK軟體裡，影響採用RTL819x晶片的連網設備，一旦攻擊者加以利用，可導致SIP ALG模組出現記憶體緩衝區溢位，進而發動RCE攻擊。瑞昱半導體於3月25日發布資安通告，並提供修補程式。</p> <p>研究人員指出，他們至少確認有4個廠牌、13款連網設備受到影響，而且光是在拉丁美洲，就賣出了13萬臺存在漏洞的設備，他們認為此漏洞很可能會被駭客用於大規模攻擊，呼籲相關設備製造商應儘速修補。</p> <h3><a href="https://research.checkpoint.com/2022/researching-xiaomis-tee/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">搭載聯發科晶片的小米手機存在支付系統漏洞，攻擊者有可能用來洗劫手機用戶的銀行帳號</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png"><img alt="" src="https://s4.itho.me/sites/all/sites/default/files/private/images/XiaoMi-TEE-4.png" style="width: 300px; float: right;" /></a>資安業者Check Point指出，搭載聯發科晶片的小米手機可能存在CVE-2020-14125漏洞，此漏洞與該廠牌手機使用的Kinibi受信任執行環境（TEE）有關，一旦攻擊者加以利用，就有可能讓手機的行動支付功能無法使用，或是將受害者的存款轉給自己。</p> <p>小米於今年6月完成修復，研究人員呼籲使用者要儘速安裝新版韌體。</p> <h3><a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zoom修補macOS版用戶端軟體更新元件弱點，攻擊者有機會取得root權限</span></strong></a></h3> <p>研究人員Patrick Wardle於8月12日，於DEF CON大會公布Zoom兩個macOS版用戶端軟體漏洞CVE-2022-28756、CVE-2022-28751，CVSS風險評分皆達到8.8分。上述漏洞都與握有Super User權限的自動更新元件有關，一旦加以串連利用，就有可能取得root的執行權限，部署、更動、刪除Mac電腦的任何檔案。Zoom於8月13日發布5.11.5版予以修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-blocks-uefi-bootloaders-enabling-windows-secure-boot-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現UEFI韌體簽章漏洞，23家廠商可能受到影響</span></strong></a></h3> <p>資安業者Eclypsium公布他們發現的UEFI漏洞CVE-2022-34301、CVE-2022-34302、CVE-2022-34303，並指出很可能波及近10年推出的x86電腦與Arm電腦，一旦上述漏洞遭到利用，攻擊者很有可能藉此破壞開機過程的完整性，進而竄改作業系統配置，或是部署後門程式等行為。</p> <p>CERT/CC指出，可能有23家廠商的電腦或軟體會受到影響，但目前只有3家廠商發布相關公告，其中，微軟發布KB5012170安全更新，Phoenix Technologies、紅帽則表示旗下產品不受影響。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html"><span style="color: rgb(0, 0, 0);">Google加碼Linux核心懸賞計畫kCTF的獎勵</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/twilio-125-customers-affected-by-data-breach-no-passwords-stolen/"><span style="color: rgb(0, 0, 0);">雲端通訊平臺業者Twilio表示125名用戶受到攻擊事件影響，尚未發現密碼外洩情事</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-223a"><span style="color: rgb(0, 0, 0);">美國CISA對勒索軟體Zeppelin攻擊行動提出警告</span></a></span></strong></p> <p><a href="https://tw.stock.yahoo.com/news/%E9%99%B8%E9%AB%98%E9%90%B5%E5%8F%B2%E4%B8%8A%E6%9C%80%E5%A4%A7%E7%AF%84%E5%9C%8D%E8%AA%A4%E9%BB%9E-%E7%B6%B2%E6%B0%91%E8%B3%AA%E7%96%91%E9%A7%AD%E5%AE%A2%E5%85%A5%E4%BE%B5-121123608.html"><strong style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國高鐵大範圍誤點，疑資料外洩讓駭客有機可趁，而能夠入侵相關系統</span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/152468">【2022年8月12日】協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器架構漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></strong></p> </div></div></div>
2022/8/15 17:41作者周峻佑https://www.ithome.com.tw/news/152514
Android金融木馬Sova即將新增勒索軟體功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cleafy.com/cleafy-labs/sova-malware-is-back-and-is-evolving-rapidly" target="_blank">資安業者Cleafy上周披露</a>，Android金融木馬Sova不斷地進化，他們已在尚未發表的Sova v5中發現了嵌入勒索軟體功能的設計。</p> <p>Sova出現在2021年的9月，問世迄今尚未滿一年，但Sova作者在發布該金融木馬時，就規畫了它可能具備的12種功能，在今年7月以前的版本即具備攔截雙因素認證、竊取Cookie或注入其它程式碼等能力。</p> <p>第一個Sova版本僅鎖定不到90個品牌，但7月釋出的Sova v4不僅可偽裝成超過200種行動程式，涵蓋金融程式與加密貨幣交易中心/錢包，而且具備多項新功能。例如從Sova v4開始，駭客即可獲得受害裝置的螢幕截圖，以取得更多資訊；此外，它納入了更廣泛的Google服務作為攻擊對象，包括Gmail、GPay，甚至是Google Password Manager；並嵌入保護模組，以避免它遭到使用者移除；另有一個專為幣安交易中心與幣安官方錢包Trust Wallet所設計的專用模組。</p> <p>當Cleafy在檢查Sova v4的文件時，意外發現了屬於Sova v5的多個範例，而它嵌入了勒索軟體模組，意謂著該金融木馬程式未來將企圖加密Android裝置上的檔案並向使用者勒索。</p> <p>Cleafy認為，這是一個非常有趣的功能，因為勒索軟體功能在Android金融木馬程式領域並不常見，而這很可能是因為近年來行動裝置已經成為人們存放重要個人資料與企業資料的重心，儘管Sova v5還在開發中，但應嚴陣以待。</p> </div></div></div>
2022/8/15 15:33作者陳曉莉https://www.ithome.com.tw/news/152513
揭穿AI榮景的真面目
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-aiwu_suo_bu_zai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">高寶</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從一些科幻作品首先創造出家用個人機器人以來，這個未來就引起了我們的集體想像，期望著一台可以打掃房間和洗衣服，還能像一位不會疲倦的管家般隨時準備提供服務的機器問世。這樣的機器前景又是如何呢？目前而言，我們先把大多數人都熟悉的例子，包括《傑森一家》（The Jetsons）的機器女傭蘿西（Rosie the Robot）與《星際大戰》（Star Wars）中C-3PO拋開不談，然後想一下某種比較不那麼有野心的景象：一個功能性的機器人，具有實用的功能，雖然功能蠻有限的，但是能夠整理房間、執行多種基本家庭清潔任務，然後，甚至有可能依據我們的指令而從冰箱拿啤酒給我們。我們多快可以看到價格合理，我們認為非常實用，甚至沒它不行，以致廣大注重性價比的消費者願意買單的個人機器人呢？</p> <p><span style="font-size:28px;"><strong>你所下單的家用機器人將延遲交貨</strong></span></p> <p>非常遺憾，現實是，這樣的機器人可能存在於很遠的未來。事實上，個人機器人的問題在於它們根本沒辦法做很多事。對於一台真正有用的機器人的最低要求，包括在像家這樣不可預測的環境運作所需的視覺感知、移動能力與靈巧性，是機器人科學中最艱鉅的挑戰之一。到目前為止，試圖將消費機器人推向市場的公司，甚至還沒有真正開始克服這些挑戰。反之，他們所生產的機器能力非常有限，而大多數人對這樣的價值主張（value proposition）都是存疑的。</p> <p>這些挑戰的代表性例子是「Jibo」，這是被宣傳為第一個「社交機器人」的機器，由美國麻省理工學院的辛西亞．布雷齊爾（Cynthia Breazeal）所開發，她是世界頂尖的機器人專家。2017年秋季推出的Jibo能夠在社交與情感層面上與人互動，是一款高約12英吋的桌上型塑膠機器人。Jibo沒有手臂、腿或輪子，但是它確實具備能夠傾斜與轉頭的能力，在與主人交流時至少可以營造出一種類似人類連結的錯覺。這款機器人可以參與基本的對話，並做一些圍繞著資訊檢索為中心的事情，它可以在網路上查找東西、取得天氣和交通報告、播放音樂等等。也就是說，Jibo提供了一系列與亞馬遜搭載了Alexa的Echo智慧喇叭大致相似的功能。當然，Echo無法移動，但是Echo的背後是亞馬遜龐大的雲端運算設施與規模更大的高薪人工智慧開發團隊，Echo的資訊檢索和自然語言功能可能更強大（而且肯定會隨著時間而越來越強大）。Jibo最大的問題在於其900美元左右的定價。事實證明，雖然這款機器人可以模仿人類的頭部姿勢，而且隨著它所播放的音樂起舞的能力很討人喜歡，但對於大多數的消費者而言，這樣的能力根本不值得多花那大約800美元（Echo智慧喇叭的價格約為56.98∼79.98美元）。製造Jibo的新創公司在燒了7,000萬的創投資金後，於2018年11月倒閉。</p> <p>據報導，亞馬遜正在開發自己的家用機器人「Vesta」。這款機器人被形容是「有輪子的Echo」，能夠在家中來去並依照命令移動。儘管如此，我還沒有看到任何報告是有關亞馬遜計畫為機器人加上手臂或是這款機器人將具備用身體操作環境的能力。在缺乏這些功能的情況下，其價值主張將同樣地受到大家的質疑。由於最便宜版本的Echo價格為50美元左右，為什麼要花高價買會移動（速度可能很慢）的Echo，而不是簡單在家裡四處放上便宜的Echo？這些都是一直困擾著機器人產業的問題，就算是亞馬遜，其是否能在短期內成功推出商業性的家品，目前仍然不太明朗。</p> <p><span style="font-size:28px;"><strong>自動駕駛汽車與卡車：比預期更漫長的等待</strong></span></p> <p>特斯拉執行長伊隆．馬斯克承諾在2020年底，會有100萬輛機器人計程車上路營運只是自動駕駛汽車過度繁榮的例子。也許是因為汽車在我們的生活方式中占據了中心的位置，特別是在美國，沒有任何人工智慧的應用像是自動駕駛汽車那樣，受到如此大的關注與誇張的熱情歡迎。這個產業隨著2004年與2005年美國的國防高等研究計畫署大挑戰（DARPA Grand Challenge）而興起，並在技術上取得了驚人的進步，卻也經常未能達到過度誇大的預期目標。在2015年時，業內最知識淵博的人都普遍預測，全自動駕駛汽車將在五年內上路。克里斯．厄姆森（Chris Urmson）是這個領域的先驅，他曾擔任從Google獨立出來的自動駕駛汽車公司Waymo的科技長，現在是自動駕駛新創公司Aurora的執行長與創辦人，他曾提出著名的預測，說他當時11歲的兒子，在16歲的時候可能不需要去考駕照。此外，包括豐田與日產在內的主要汽車製造商，也都承諾會在2020年推出自動駕駛汽車。厄姆森對此充滿信心，並在2019年表示，他預計至少有「數百輛」全自動駕駛汽車會在五年內在公共道路上使用，且可能有1萬輛以上這類的汽車在十年內投入使用。我個人的觀點是，這些預測可能都是過於樂觀的。我會說，真正的自動駕駛汽車具有高度風險，因此在未來的許多年內，將會維持「即將在五年內實現」。</p> <p>現實狀況是，自動駕駛汽車在高速公路和更多市區環境中的日常操作（或者說，在工作或多或少能如預期般運作的情況）在很大程度上已經得到了解決。如果公共道路的整體可預測程度和亞馬遜的倉庫內部一樣，自動駕駛汽車可能已經被廣泛使用了。問題就在於所謂的「極端狀況」，也就是幾乎無窮無盡的異常互動與狀況，讓自動駕駛汽車難以正確預測，或是不可能準確預測，甚至在許多情況下，難以正確解讀。大多數自動駕駛汽車的駕駛路線經過的街道，都需要有對街道高度精準的進階地圖繪製。因此，意外的道路關閉、施工或交通事故都可能造成問題。惡劣的天氣，尤其是大雨或大雪，也會是主要的障礙。但最大的挑戰，將是與一個由無法預測的行人、騎自行車的人與駕駛所組成的生態系統安全地互動。在像是舊金山這樣的城市，遇到分心或喝醉的行人的情況並不少見。即使是那些有警覺的人，也經常有難以被理解的行為，有時候是在特定的情況下或在特定的街區試探性地離開人行道，而在其他情況下則會有更激進的行為等。在人口密集的地區，駕駛和行人間的大部分協調有賴於社會互動，而這對於自動駕駛汽車來說是非常難以理解或複製的。透過眼神示意、揮手、跨出大步後停在中間等駕駛確認，以及許多其他微小的行為所交織而成的一種不用說話的語言，是每個共享道路的人都能理解的。我認為，透過談判協商的這類互動很可能已經超出當今深度學習系統的能力。換句話說，真正能夠自動駕駛的汽車可能需要的是在往通用機器智慧前進的這條路上所開發的科技，而這可能需要漫長的等待。</p> <p>許多分析師認為，鑑於自動駕駛汽車在都會環境中所碰的種種困難，第一批出現在路上真正可行的無人駕駛車輛，將會是長途貨車。畢竟，在高速公路上駕駛這個問題，在很大程度上已被像是特斯拉的自動駕駛等系統解決了。雖然在高速公路上發生不可預測事件的可能性低於繁忙的城市十字路口，但是因為其中的速度與牽涉的車輛，是一輛滿載貨物、以龐大動能行駛的卡車，發生錯誤的後果會更嚴重。而且，雖然伊隆．馬斯克對此有著滿腔熱情，特斯拉的自動駕駛系統絕不會在沒有一個專注的駕駛員在車上的情況下上路。由於這些原因，我認為我們還需要很長的時間才能在公共高速公路上看到真正的無人駕駛卡車。<span style="color:#696969;"><strong>（摘錄整理自《AI無所不在的未來》第三章，高寶提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%981.jpg" style="width: 253px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_高寶</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">AI無所不在的未來：當人工智慧成為電力般的存在，人類如何控管風險、發展應用與保住工作？</span></strong></p> <p>馬丁．福特（Martin Ford）／著；曾琳之／譯</p> <p>高寶出版</p> <p>定價：490元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_AI%E7%84%A1%E6%89%80%E4%B8%8D%E5%9C%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Martin%20Ford.jpeg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Martin Ford</span></p> <p><strong>馬丁．福特（Martin Ford）</strong></p> <p>他是傑出的未來學家、《紐約時報》暢銷書作者，以及人工智慧與機器人技術及其對就業市場、經濟和社會的潛在影響方面的領先專家。擁有密歇根大學安娜堡分校的電機工程學位和加州大學洛杉磯分校安德森管理學院的商業研究生學位。</p> <p>他也是矽谷一家軟體開發公司的創辦人，在電腦設計和軟體開發領域擁有逾25年經驗。他針對人工智慧對社會影響所做的TED演講已被觀看超過300萬次。</p> </div></div></div>
2022/8/15 15:57未署名https://www.ithome.com.tw/article/152496
人人必備的資料識讀力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-zi_liao_gu_shi_shi_dai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大牌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>古希臘哲學家赫拉克利特（Heraclitus）認為，變化是宇宙的根本。據傳他說過：「變化是人生中唯一不變的東西。」我們活在不斷演變的世界裡，這個世界比我們願意承認的還要隨機、吵雜、不可預測。對個人與組織來說，善於適應不斷變化的環境很重要。誠如奇異（GE）前執行長傑克．威爾許（Jack Welch）所言：「在不得不改變之前就要改變。」與其停滯不前或將就現況，我們通常會想辦法改善自己及周遭的世界。</p> <p>從古至今，人類的創新都是源自於想要追求更好的狀態，像是更快、更便宜、更安全、更有效率、更多產等等。比方說，印刷、電話、汽車、電腦、網路等突破性的創新，都帶來了重大的變化。這些科學突破需要打破既有的信念、技能、體系以取代它們。改變是進步無可避免的副產品。想要進步與改善，你就必須追求新的見解，落實新的概念，那免不了會帶來改變。</p> <p>然而，不是所有的改變都有強大的破壞性。二戰後的日本製造商發展出「改善」理念（kaizen philosophy），鼓勵員工在整個工廠中不斷地導入漸進式的小改進。最終，這些小改進積少成多，幫豐田、Sony等日本企業，在產品品質與製造效率上，獲得很大的競爭優勢。如今，多數創新的新創企業、甚至大公司，也採用類似的「精實方法」（lean methodology），透過漸進式的實驗與敏捷開發來持續精進。</p> <p>「改善」與「精實」方法的根本都是資料。沒有資料的話，使用這些方法的公司根本不知道要改進什麼，或不知道漸進式改變究竟有沒有效果。資料為推動正向的改變，提供必要的透明度與明確性。然而，不是只有在商業界，確立基線、基準、目標才重要，而是從個人發展到社會理念，各領域都適用。正確的見解可以帶來勇氣與信心，幫忙打造新方向，讓你不再只是有勇無謀地豁出去，而是放膽展開明智的探險。</p> <p><span style="font-size:28px;"><strong>人人都能成為資料分析師</strong></span></p> <p>過去50年的大部分時間，在多數商業組織中，資料主要是交給兩個擁有特權的群體：需要資料以管理事業的高階主管；為管理高層收集、分析、報告數據的資料專業人士（例如商業分析師、統計學家、經濟學家或會計師等等）。其他人接觸資料的機會相當有限，或是間接接觸，或只是偶爾接觸。</p> <p>在當今這個數位時代，資料變得更普遍，更多人可以接觸到事實與資料。每年的資料量預期將成長61％，到2025年將達到175ZB（1ZB=1兆GB）（Patrizio 2018）。這種爆炸性的成長大多歸因於這個世界的連結日益密集，以及機器創造額外的資料，而不只是人類或商業實體創造資料而已。</p> <p>資料迅速變成關鍵的策略資產，在多數組織中，資料已經從「可有可無」變成不可或缺。例如，對亞馬遜、Google、Facebook、Netflix等科技巨擘來說，資料早已是締造商業成就所不可或缺的根基。無論是從資料如何推動營運，還是從資料提供的巨大策略價值來看，都是如此。從亞馬遜與Netflix利用資料所啟動的推薦引擎，到Google與Facebook那些資料豐富的廣告網路，那些精通資料的公司利用資料與技術，取得強大的競爭優勢。不過，精通資料不再是業界領導者的專利，創新公司不分規模大小都能因此受惠。比方說，我認識一家俄勒岡州的小型建商，它可以從審核過程中獲得絕佳的資料透明度。相較於那些採用低效率紙本流程的在地競爭對手，那家公司享有明顯的優勢。</p> <p>在現今這個步調明快、瞬息萬變的商業環境中，只讓一小群高階主管及資料專業人士取得資訊已經不合理了。前瞻性的組織希望以資料來增強更多員工的能力，讓他們做更明智的決策，更快因應商機與挑戰。為了讓資料普及並培育資料導向的文化，公司依賴各種分析技術，從隨處可見的試算表，到進階的資料發現工具，應有盡有。</p> <p>即使你的職稱沒有「資料」或「分析師」等字眼，你的工作也可能沉浸在數字中，而且需要運用資料。如今，資料是每個人的責任。事實上，缺乏背景知識或脈絡是任何分析師的致命傷。另一方面，多數參與日常業務的人，則擁有豐富的背景知識或脈絡。舉例來說，精明的分析師可能忽視資料中的某個東西，但資深的事業參與者可以憑藉多年的專業經驗，輕易抓到重點。資料不在乎你是誰，也不在意你的分析技巧高低。只要你夠勤奮好奇，就可以從資料中發現洞見。資料取得變得更容易以後，各種背景的人都可能從資料中發現寶貴的見解，那不再是技術人員的專利。</p> <p>在工作之外，你可能沒注意到自己在「閒暇時」做了多少分析，因為資料日益融入日常生活的各方面。例如，你規劃度假或上網評估不同產品時，可能是根據一些資料做決定，像是陌生人的推薦與評價。事實上，89％的消費者表示，線上評價會影響他們的購物決定（PowerReviews 2018）。如果你是狂熱的球迷，整個球季你都會經常關注愛隊的戰績（或缺乏戰績）。此外，你可能是美加近6,000萬名「夢幻賽」（fantasy game）遊戲的熱情粉絲之一，而夢幻賽完全是靠資料啟動的。</p> <p>以我的居家生活來說，我太太從來沒想過她會接觸到分析與資料的世界。後來，她開始跑馬拉松及參加鐵人三項後，生活突然充滿了資料分析。現在，她持續以可靠的Garmin GPS手錶來分析自己的健康狀況與訓練績效。透過努力、決心與資料，她達成了健身的目標，包括完成鐵人三項比賽及著名的波士頓馬拉松賽。無論是追求個人健身、還是商業目標，最近數位資料的激增，以及資料日益增加的實用性與重要性，促使每個人都變得更精通資料。</p> <p><span style="font-size:28px;"><strong>資料經濟中的必備技能</strong></span></p> <p>儘管如今有更多人接觸資料，這不表示每個人都做好了解讀資料的準備，能夠有效地運用資料。隨著我們越來越需要資料的指引以及從資料中獲得見解，資料識讀力的提升變得更加迫切。如果識讀力是指讀寫能力，那麼資料識讀力就是了解及傳達資料的能力。</p> <p>現今的資料工具很先進，可以提供無與倫比的見解，但它們依然需要能夠解讀資料的操作人員。畢竟，一座收藏全球最優秀文學作品的圖書館，對不識字的人來說毫無價值。同樣的，豐富的資料庫對不知道怎麼運用資料的人來說，也毫無意義。</p> <p>幸好，了解英文不需要高深的英文學位。同理，資料識讀力也不必先有進階的統計知識，以及Python或R之類的程式技能。不過，你需要基本的算數技巧。例如，能夠了解、處理、解讀標準的資料圖表。我假設你已經具備了發現見解的必要算數技巧。無論是透過良好的教育、工作經驗、課外活動，還是靠天生的好奇心，你已經培養了這個技能。現在，你正在尋求改善資料識讀力的另一半能力，也就是能夠有效傳達或分享資料。</p> <p>誠如Google首席經濟學家威里安所述，發現有價值的見解，並有效地分享見解，是「未來數十年非常重要的技能」（McKinsey & Company 2009）。換言之，要從資料中創造價值，大多是靠這些重要的技能。如果你無法解讀那些數字的意義，資料的潛在價值永遠無法發揮出來。假如你能找到有價值的見解，但無法有效地交流，它恐怕還是無法發揮潛在的價值。發明家愛迪生曾說：「創意的價值在於如何運用它。」如果你的驚人發現令人困惑，或沒有吸引力，大家不會有動力採取任何行動。然而，越多人能夠藉由分享見解來推動行動，我們就會看到資料促成更多的正面改變與價值。沒有付諸實踐，見解就只是空洞的數字罷了。<span style="color:#696969;"><strong>（摘錄整理自《資料故事時代》第一章，大牌出版提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%982(2).jpg" style="width: 250px;" /></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">資料故事時代：大數據時代的未來，將由資料「說書人」定義！</span></strong></p> <p>布倫特．戴克斯（Brent Dykes）／著；洪慧芳／譯</p> <p>大牌出版</p> <p>定價：580元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%B3%87%E6%96%99%E6%95%85%E4%BA%8B%E6%99%82%E4%BB%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Brent%20Dykes.jpg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Brent Dykes</span></p> <p><strong>布倫特．戴克斯（Brent Dykes）</strong></p> <p>布倫特．戴克斯為資料敘事顧問公司AnalyticsHero, LLC創辦人，曾為微軟、Sony、Nike、亞馬遜等世界知名品牌提供諮詢服務。過去，身為Omniture、Adobe、Domo等公司的分析師、經理、技術推廣大使，戴克斯親眼目睹了有效傳達資料的挑戰。</p> <p>在創立超人氣的PowerPoint部落格（Powerpointninja.com）並發表上百篇文章後，戴克斯把注意力轉向資料相關議題。他定期為《富比士》撰稿，發表了三十多篇談多元資料主題的文章。2016年，他榮獲數位分析協會（Digital Analytics Association）所頒發的「最具影響力產業貢獻獎」。</p> </div></div></div>
2022/8/15 16:08未署名https://www.ithome.com.tw/article/152500
全球有逾8,000臺沒有密碼保護的VNC曝露於網路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/08/12/exposed-vnc-a-major-threat-to-critical-infrastructure-sectors/" target="_blank">資安監控業者Cyble上周警告</a>，縱使於公開網路曝露虛擬網路運算（Virtual Network Computing，VNC）的風險多數人都知道，但全球網路上仍有8,000個關閉身分認證機制的VNC實例。</p> <p>VNC為一圖像化的桌面分享系統，可以透過遠端框架緩衝器（Remote Frame Buffer，RFB）從遠端控制另一臺機器，它能在把鍵盤及滑鼠輸入透過網路傳送到另一臺機器時，傳遞畫面的變更。</p> <p>Cyble之所以特別提出警告，是因為他們在最近發現VNC已成為駭客鎖定及掃描的對象，在曝露於公開網路上的VNC實例中，中國與瑞典都占了超過1,500個，美國則有超過800個，西班牙與巴西也都超過500個，而且這些缺乏密碼保護的，不乏隸屬於重大基礎設施的VNC實例，像是水處理廠、製造工廠或研究中心等。</p> <p>駭客大多針對VNC的預設傳輸埠5900展開攻擊，主要的攻擊來源為荷蘭、俄羅斯與烏克蘭，攻擊的對象可能是連結VNC的人機介面系統、資料採集與監控系統（Supervisory Control And Data Acquisition，SCADA）（下圖）及工作站等。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/08/Figure-11-%E2%80%93-Exposed-SCADA-System-connected-via-VNC-.png?w=993&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>其中有一家曝露VNC的石油與天然氣業者，允許駭客變更其儀表板上的各種設定，涵蓋溫度、流量或壓力等，並可因此向設備施壓而造成實際的損害。相關的攻擊還能造成營運中斷或是存取各種機密設定資訊，或是造成勒索軟體攻擊。</p> </div></div></div>
2022/8/15 14:38作者陳曉莉https://www.ithome.com.tw/news/152510
Google新一波kCTF計畫，懸賞能擊敗漏洞緩解工具的白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2022/08/making-linux-kernel-exploit-cooking.html" target="_blank">Google上周宣布</a>最新kCTF計畫，提供Linux漏洞的緩解工具，另一方面也透過抓漏獎勵計畫，大幅提高突破這些緩解工具的研究人員獎金。</p> <p>2020年Google首次推出kCTF（Kubernetes-based Capture-the-Flag）專案。其下漏洞獎勵方案讓研究人員連到Google GKE上尋找漏洞。研究人員找到漏洞後標示出來，經認可後能獲得獎金。</p> <p>而在今年，Google推出最新kCTF計畫。首先，<a href="https://www.ithome.com.tw/news/147633" target="_blank">今年初Google加碼</a>kCTF獎勵Linux抓漏的承諾仍然會持續進行，找到Linux核心漏洞的研究人員可獲得20,000到91,337美元不等的獎金。而在此之外，Google上周又宣布Linux核心的新獎勵措施。</p> <p>Google根據去年kCTF發現到的安全漏洞及開採程式，發展出實驗性緩解工具，Google相信能讓Linux核心更難被駭。<a href="https://google.github.io/kctf/vrp.html#new-mitigations" target="_blank">Google將公開</a>這些正在測試中的工具，並提供懸賞獎金。凡是能找到最新Linux核心的漏洞，研究人員會額外支付2.1萬美元，而如果能在安裝最新緩解工具的特製Linux核心找到新的漏洞，研究人員還可再獲得2.1萬美元（前提是能突破Google的緩解工具）。這麼一來，最高獎金最高可以來到133,337美元。</p> <p>Google希望可以藉此評估其緩解工具究竟能耐如何。目前<a href="https://github.com/thejh/linux/blob/slub-virtual/MITIGATION_README" target="_blank">Google發展出的緩解工具</a>是為了解決slab界外寫入（out-of-bounds write）、跨快取（Cross Cache）攻擊、Freelist毁損、Elastic物件的攻擊。他們希望長期下來，可以製作出盡可能提高Linux核心漏洞攻擊難度的緩解工具。</p> </div></div></div>
2022/8/15 13:12作者林妍溱https://www.ithome.com.tw/news/152507
RealTek晶片爆零點擊RCE漏洞，影響20款設備品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank">瑞昱半導體（RealTek）推出的晶片一項軟體元件被發現有安全漏洞</a>，可讓駭客在使用其軟體的路由器上遠端執行程式碼，至少有20多項品牌受到影響。</p> <p>這項漏洞是由安全廠商Faraday研究人員Octavio Gianatiempo發現並通報，<a href="https://forum.defcon.org/node/241835" target="_blank">同時在安全大會Def Con公布</a>。編號CVE-2022-27255漏洞位於瑞昱提供給其他路由器、AP或放大器廠商的系統單晶片（SOC）的eCOS SDK上，可造成網路設備的SIP ALG模組發生緩衝溢位情形。</p> <p>SIP ALG是使網路封包由公有網路進入私有網路的NAT穿透技術。在此過程中路由器的SIP ALG模組會呼叫strcpy函式將SIP封包內容複製到預先定義的固定緩衝。最新漏洞主因出在廠商對這網路功能安全實作不當，使網路設備的緩衝對複製內容的長度檢查不足。駭客可以改造SIP封包內的SDP資料引數或SIP標頭，利用WAN介面傳送到路由器開採漏洞。成功的開採可造成緩衝溢位，引發裝置崩潰或遠端程式碼執行。</p> <p>本漏洞屬於高風險，影響2個版本RTL819x SoC系列產品的SDK，包括rtl819x-eCos-v0.x Series和rtl819x-eCos-v1.x Series。<a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank">瑞昱已在3月釋出修補程式</a>（20220314_ecos_fix_crash_caused_by_vulnerability_of_sip_alg.rar）。</p> <p class="rtecenter"><a href="https://www.realtek.com/images/safe-report/Realtek_APRouter_SDK_Advisory-CVE-2022-27255.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0815-realtek-cve-2022-27255-600-1.png" style="width: 600px;" /></a></p> <p><a href="https://forum.defcon.org/node/241835" target="_blank">根據研究人員Gianatiempo指出</a>，這項漏洞屬於零點擊RCE漏洞，用戶無需互動即會中招。研究團隊也展示，利用低成本裝置，即可自動在其他韌體映像中偵測漏洞的方法。</p> <p><a href="https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks" target="_blank">Gianatiempo等人發現</a>，大約有20個廠商的產品使用有問題的SDK，包括Tenda、Nexxt、Intelbras和D-Link，可能還有尚未發現的。所幸他們尚未發現有實際開採的活動跡象。</p> <p>研究人員指出，本漏洞雖然容易偵測，且影響不同廠牌，風險重大，但值得注意的是，大部分路由器未紀錄這項功能，也無法從路由器的網頁介面關閉，是OEM連網裝置隱藏式攻擊表面最好的例子，也突顯IoT裝置供應鏈安全的隱憂。</p> </div></div></div>
2022/8/15 13:48作者林妍溱https://www.ithome.com.tw/news/152508
荷蘭逮捕遭美國制裁的Tornado Cash開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fiod.nl/arrest-of-suspected-developer-of-tornado-cash/" target="_blank">荷蘭財政部旗下的財政資訊暨調查服務（Fiscal Information and Investigation Service，FIOD）上周宣布</a>，已於阿姆斯特丹逮捕了混幣平臺Tornado Cash的29歲開發者，而<a href="https://www.theblock.co/post/163297/arrested-tornado-cash-developer-is-alexey-pertsev-his-wife-confirms" target="_blank">《The Block》</a>則報導該名男子為Alexey Pertsev，並已獲得Pertsev妻子的證實。</p> <p>FIOD說明，Tornado Cash是個加密貨幣的混合服務，可用來遮掩加密貨幣交易的源頭或去向，這類的服務通常不檢查加密貨幣來源，因此使用者的最大目的就是提高匿名性。</p> <p>FIOD的金融先進網路團隊是在今年6月針對Tornado Cash展開調查，懷疑該服務被用來掩飾大規模的犯罪金流，包括由北韓駭客執行的加密貨幣竊盜行動。</p> <p>調查顯示，2019年上線的Tornado Cash迄今所經手的加密貨幣價值超過70億美元，其中至少有10億美元透過混合器執行，並猜測Tornado Cash的開發者透過這些交易獲得了大量的利潤。</p> <p>在Pertsev被逮捕的前幾天，美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）便宣稱Tornado Cash涉及替駭客集團洗錢<a href="https://www.ithome.com.tw/news/152376" target="_blank">而宣布制裁該平臺</a>。</p> <p>FIOD並沒有公布所逮捕的Tornado Cash開發者身分，但當《The Block》猜測是Pertsev時，很快就獲得了Pertsev妻子的證實。</p> <p><a href="https://twitter.com/bantg/status/1558028123224014849" target="_blank">有不少開發者替Pertsev抱屈</a>，認為逮捕平臺的開發者是件很荒謬的事，倘若此事是可行的，那麼所有金融平臺的開發者都要小心了，因為每個平臺都可能被用來洗錢。亦有開發者認為，Tornado Cash的問題並不在洗錢或隱私，而是因為它讓美國無法控制是誰在使用這些平臺，而威脅到該帝國所使用的經濟武器。</p> </div></div></div>
2022/8/15 14:08作者陳曉莉https://www.ithome.com.tw/news/152509
Zoom緊急修補Mac版App可讓駭客取得Root權限的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom於周末釋出更新版Mac版App</a>，解決可讓駭客取得Mac電腦最高執行權限的2項漏洞。</p> <p>這項漏洞為安全專家<a href="https://twitter.com/patrickwardle/status/1558220950558035968" target="_blank">Patrick Wardle上周在安全大會Def Con的演說示範項目</a>。經過<a href="https://www.theverge.com/2022/8/12/23303411/zoom-defcon-root-access-privilege-escalation-hack-patrick-wardle" target="_blank">The Verge</a>報導後，Zoom於周末緊急釋出最新Mac版Zoom 5.11.5版本。</p> <p>編號CVE-2022-28756的漏洞為一本地權限擴張漏洞，出在以Zoom更新程式時對套件驗證不足。在首次安裝時，Zoom 安裝器（installer）會要求用戶輸入密碼，若是自動更新Zoom App版本時，自動更新器（Auto Updater）只會檢查更新套件檔是否符合憑證，通過檢查後就會自動更新，這個Auto Updater具備super user權限，可以在背景執行。但Wardle發現的漏洞在於，只要攻擊者修改新套件檔名就能通過updater的簽章驗證，即使是假的更新套件，也能順利安裝到Mac電腦。</p> <p>Wardle在同一場大會中，還公布另一個相關漏洞，編號CVE-2022-28751。這項漏洞是將經過Auto Updater安裝驗證的套件加以改造，像是注入程式碼。研究人員發現一個方法，騙Zoom重新安裝（已經改造過的）新套件，藉此取得享受Zoom　Auto Updater的super user權限。利用這兩個漏洞，攻擊者即可取得最高權限，即Root執行權限，執行安裝、變更、搬移或刪除Mac電腦上的任何檔案。</p> <p>這兩個漏洞被列為CVSS 8.8，屬重大風險，影響Zoom Client for Meetings for macOS 5.7.3到5.11.5以前版本，包括標準及IT Admin版。下載<a href="https://support.zoom.us/hc/en-us/articles/201361963-Release-notes-for-macOS" target="_blank">Zoom Mac版5.11.5版本</a>可解決問題。</p> </div></div></div>
2022/8/15 12:46作者林妍溱https://www.ithome.com.tw/news/152506
網路守門人必懂新課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是一份臺灣網路業者必懂的新法規草案，預告了網路守門人日後必須擔起的新責任。</p> <p>NCC在6月底終於公布了《數位中介服務法》草案（簡稱中介法），這是臺灣第一份數位中介服務的專法，凡是經手了各種使用者的數位資料、聲音、影像、文字的中間服務業者，就得負起守門人的責任。這就幾乎涵蓋了臺灣網路產業、電信產業，只是要提供連線服務、快速存取服務或是資訊儲存服務的業者，就得負擔起一定程度的義務，來把關所經手處理的資料。</p> <p>哪些服務屬於上述這三大類？雖然NCC沒有名列出一份完整的納管清單，但從法條中的初步定義來看，連線服務像是中華電信光世代、凱擘大寬頻、亞太電信、台灣固網這類電信業者，以及提供人際傳播服務的Line、WhatsApp、WeChat等，而第二類快速存取服務則像是CDN或邊緣雲服務，如Akamai、Cloudflare等，第三類資訊儲存服務則像是單純的雲端儲存服務Google Drive、Dropbox，或是AWS、Azure和GCP等公有雲。</p> <p>中介法草案還進一步細分資訊儲存服務，訂出2小類納管對象，一類是可將用戶資料開放公共存取的線上平臺服務，例如臉書、YouTube、Instagram等社群平臺，或是Dcard、巴哈姆特、ptt等網路論壇，還有如C2C模式的Yahoo!拍賣、蝦皮拍賣等；另一類則是有效用戶數超過人口10分之1的指定線上平臺，將會由主管機關公告。</p> <p>NCC參考了歐盟DSA的做法，來定義數位中介要規範的對象，因此，資訊儲存服務的範疇還不只如此，我們記者向NCC詢問，程式碼或App的資訊中介服務模式是否也要規範，因為如App Store、Google Play等都是DSA規範對象，NCC給了肯定的回覆，這些也都會納管，同理可證，開發者愛用的GitHub或GitLab開發專案代管服務，也都是中介法草案未來的納管對象之一。因為中介法參考的是前一版DSA規範，因此，中介法沒有將搜尋引擎列入。</p> <p>光從規範對象的定義，就可以看到中介法的影響範圍之廣，幾乎涵蓋了常見的消費性或商用網路服務。</p> <p>知道了誰將被管，下一個問題就是，要負起什麼樣的守門人義務？這三大兩小類，各有不同的義務要求，其中人人都得遵循的基本義務像是配合政府依法提供使用者個資（資料調取），或者依據法院或行政處分限制內容（資訊限制或緊急資訊限制），這兩項是政府公權力的手段。另外，只要超過5人規模的業者，每年就得公布透明度報告，以清楚易懂的方式揭露政府資料調取、內容自律、異議處理的執行情況。</p> <p>提供資訊儲存服務的業者，則還需要負起「通知與回應」和「資訊限制告知」的義務，前者是違法內容檢舉機制，後者是對內容遭下架當事人的通知義務。</p> <p>對民眾而言，中介法最大好處就是，要求中介平臺必須提供下架內容的救濟管道，如果民眾對業者下架的決定不服，可以提出異議來申請平反，甚至可以透過外部第三方來申訴，不像過去只能任憑大型業者決定。</p> <p>正是因為這部新法草案幾乎衝擊了整個電信和網路產業，甚至裁罰手段不只罰款，主管機關最重可以祭出斷網處分，這也讓各界用放大鏡來檢視草案，草案中有多項規範不夠明確，要求過度嚴苛，執行難度太高，容易遭濫用的條款，引起了學界或業界不少質疑聲浪。</p> <p>NCC在8月11日第一場公開說明會中也坦言，這份中介法草案仍是草案版本，還有不少需要更明確敘述，或需要參考各界建議之處，例如230萬人的指定平臺納管標準只是參考歐盟做法，可以廣納建議來調整。</p> <p>只要你是經手各類使用者資料的網路服務業者，現在就需要開始仔細研讀，甚至對草案提出修改建議，因為這將成為中介服務業者營運最重要的法遵規範之一。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/152493" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/152493" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1090-feng_mian_p1-open-shu_wei_zhong_jie_fu_wu_fa_cao_an_-wen_bin_-960x420_kao_bei_.jpg?itok=dTLob17T" style="width: 550px;" /></a></p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E4%B8%AD%E4%BB%8B%E6%9C%8D%E5%8B%99%E6%B3%95">數位中介服務法</a></div><div class="field-item even"><a href="/tags/%E4%B8%AD%E4%BB%8B%E6%B3%95">中介法</a></div></div></div>
2022/8/15 12:08作者王宏仁https://www.ithome.com.tw/voice/152495
只看結果不問過程的管理有風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些人在管理部門時，會誤學一個說法：「只問結果，不問過程」；理由是尊重個人與個人能力發揮，只用結果的達成來評核。</p> <p>這種說法看似不錯，但是往往得到的潛藏後遺症卻是：</p> <p>一、用錯誤的方法、無效率的方法、或浪費錢的作法，做出結果。</p> <p>二、用不擇手段、作假的方式，做出結果。</p> <p>三、根本做不出好結果。</p> <p>持這個觀念的人會大聲說：「達不到目標、做不好結果，就汰換」。或許在西方確實會立即汰換；但是在東方，又是體諒他很努力、又是說他很資深…總有一堆的理由，而且也没有人可以換。所以做不好也沒人被汰換，反正代價公司去付。而且那些用不擇手段、作假、無效率或浪費錢的作法，雖然潛藏著後遺症，但不是立即會被發覺；直到爆發時，必已造成嚴重後果。當然，這種事發生時，不但當事者被汰換，連主管都自身難保……。</p> <p><span style="font-size:28px;"><strong>只看結果不問過程潛藏的績效風險</strong></span></p> <p>大家要知道，西方的個人主義環境，每個人都是「五日京兆」的心態：亦即在一家企業或一個職位本來就不打算久待，所以也不會投注心力輔導部屬。而且雖知這些做法會有潛藏的問題，只要自己任内不要爆發就好；即使爆發，走人就是了，很習慣！</p> <p>所以，這種說法高舉「尊重個人、發揮才能」的大旗，背後卻是隱藏著便宜行事、偷懶卸責的心態；只顧自己私利，反正出問題的話，代價都由公司去承擔。</p> <p>西方善表達、善舉大旗的作風，有其環境特質：他們能不顧情面的立即汰換，同時因為就業市場成熟各類人員充沛，也容易找到替補的人。</p> <p>但是在東方，社會尚在提升開發，部屬是需要主管予以輔導的！同時，主管也需要了解部屬做事的過程、方法，適時提供經驗供部屬參考。並且主管也藉由了解部屬做事的過程預知結果，必要時預先加強或補救不足處；而不是到結果出來，補救也來不及。當然，這過程不但可提高效率、精簡成本，還可以防止不肖部屬的作假與不擇手段。</p> <p>有些人崇洋，只要西方的就盲目學習，洋洋得意的炫耀，而没去了解背後的價值觀與文化差異，以及是否有配套措施，結果形成四不像。這樣的主管，部門管理是鬆散的，績效是不穩定的，經常會爆發問題；而且部門内培養不出人才，有人才是運氣，所以長期績效增長有限，是上層主管會經常關照的對象。當耐心已盡，就是撤換的時候。</p> <p>有經驗、盡責且有長期經營觀念的主管，自然知道這個道理：對人要「聽其言、觀其行、理其思」。說得很好聽、談得很「大器」的主管，要長期穩健拿出好績效才是硬道理；否則，英雄變狗熊。</p> <p><span style="font-size:28px;"><strong>一個方法，識破部屬報喜不報憂</strong></span></p> <p>月報，是公司很重要的人才培育制度。重點在訓練同仁養成「觀察、思考｣「系統｣、「結構｣「整理、分析｣的習慣，且使同仁長期、持續在演練與培訓這「六大根源能力｣。</p> <p>因此，當我們每次在聽月報時，就可以從月報整體的完整性，了解同仁系統思考、系統化工作的情況(系統能力)；從月報內容的先後順序、整體拆分的架構與論述說明，可以知道他「結構能力｣的火候。另外，也能從他發掘議題(觀察力與思考能力)、收集資料、歸納整理、分析邏輯及推演結論，而知道同仁的「整理、分析能力｣。</p> <p>所以，從月報中就可以了解一位部屬的能力狀況，也可猜測出他背後潛藏的思維與想法。針對不理想的部分，主管就可以加以指點；而好的部分也可以給予正面的讚許，做為在場其他人的參考。</p> <p>當然，主管在聽取月報時，除了關注同仁對圖表、文字、話語的表達與理解外，更要注重其論述是否「一致｣或「前後矛盾｣。有些人習慣性「報喜不報憂｣，對一件事情在不同時間點，會用不同角度、方法來「分拆｣；他不是依最佳角度與方法選擇分析方式，而是依「怎樣可以呈現最漂亮的數字｣來表功，而掩蓋掉不良的部分。</p> <p>理性的分析，必須在考量最佳方法後，維持一貫性與一致性，才能前後比較。像前述所講情況的人，是不想面對事實，習慣掩蓋欺瞞，將月報當做表功、應付的報告。這樣的人，將不會從執行月報的過程得到成長。</p> <p>另外，主管也要觀察，他所報告的內容與「所說的｣、「所做的｣是否一致。有些人很會「做報告｣，但仔細看前看後，會發現有很多矛盾；同時事後也不依循「所報的｣、「所說的｣去做，這就呈顯了「隨便說說｣、「說一套做一套｣的人格特質。假如主管不仔細的察覺並予以指正，就這樣輕忽放過；那他就吃定主管，認為這樣就可以矇騙過關，以後也就持續「混騙｣下去。</p> <p>「月報｣是一個人獨立自主的，將自己的工作、自己的發掘、自己的創意、自己的執行規劃⋯⋯，完整表達呈現出來。他表達了什麼？不表達什麼？為何這樣表達？解析的邏輯與角度是什麼？從這內容及其言行，就可以看出很多資訊，是讀人識人很重要的報告。</p> <p>因此，善用「月報｣來「聽其言、觀其行、理其思｣，是強化了解人、積極輔導人，很重要的制度。</p> <p><span style="font-size:28px;"><strong>「化繁為簡」才有執行力，才有落實度</strong></span></p> <p>制度機制的建立，都是從粗略開始。經由運用執行累積實務經驗，不斷的改善優化，逐漸提升細緻度及增加涵蓋度。這是精益求精、不斷提升制度機制效益的必要做法。</p> <p>但是長久下來，制度機制往往變成一個非常龐大、複雜的系統。設計的人甚至會自傲的認為：這是一個幾近完美的制度機制。</p> <p>然而，組織是一群不同經驗、不同能力層級的人所組成；一個龐雜的系統是很難讓組織的一般人員，易於學習及清楚掌握的，更難奢望融會貫通。所以，要求所有人都能落實執行制度規範，不但緣木求魚，且效率品質反而低落。假如一個公司各方面的制度都已十分龐雜，那更容易陷入全面性的低效率及僵固化。</p> <p>「化繁為簡」，就如同「見山是山，見山不是山，見山又是山」的道理。制度設計，經過長時間累積豐富的實務經驗、細緻的整理規劃、以及充分的融會貫通，我們必然會發覺：哪幾個部分是真正的核心，哪些是疊床架屋；哪些只要確實掌控幾個源頭關鍵點，相關狀況就幾乎不會發生。也有很多情況，發生的機率非常非常低，寧可放棄或禁止，反而能省去大量的人員精力耗損與成本的節省。</p> <p>所以，「化繁為簡」是有方法的。透過去蕪存菁、專注提升，就能從「見山不是山」，跳脫提升到「見山又是山」這個層次；而這個經過「精淬」過的很精實的制度，會更「易學易用」，自然執行度強、落實度高。</p> <p>另外，一個組織必須要注重三個面向，來協助制度的精簡：</p> <p>一、建立優質組織文化。</p> <p>二、注重讀人識人用人。</p> <p>三、善用數位智能工具。</p> <p>因為制度的設計與運用的場域，是息息相關的。場域由人組成，招募時注重人員的素養、品格、價值觀，在場域正向行為規範的薰陶下，形成優質的組織文化，制度就不需要在一些很基本的部分做闡述，也不需要制定過多的「防呆機制」，同時也會減少防弊機制的設計。這些也都是導致制度龐雜的原因。</p> <p>工具，永遠是解決問題最好的幫手。智能工具更是能將複雜的機制自動化，是「化繁為簡」最為有效的工具。</p> <p>制度機制設計者應該時時刻刻關注制度如何「化繁為簡」，注重制度的「塑身」，讓制度清爽，執行與落實就簡易多了。<span style="color:#696969;"><strong>（摘錄整理自《深思考的鍛鍊》）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%983.jpg" /></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_天下雜誌出版</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span><span style="color:#3399ff;"> <strong>深思考的鍛鍊</strong></span></p> <p>杜書伍／著</p> <p>天下雜誌出版</p> <p>定價：400元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%B7%B1%E6%80%9D%E8%80%83%E7%9A%84%E9%8D%9B%E9%8D%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88(1).jpeg" style="width: 200px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_天下雜誌出版</span></p> <p><strong>杜書伍</strong></p> <p>1974年交通大學計算與控制學系畢業後，即積極投入引進推廣英特爾CPU技術，被推選為影響台灣電子資訊產業發展的十大關鍵人物之一。1988年創辦聯強國際集團，連續十二年為《天下雜誌》評選為「標竿企業」。杜書伍卓越的經營管理能力，獲《哈佛商業評論》評選為「台灣執行長50強」、被基金投資經理人選為「最佳專業經理人」，並榮獲交大傑出校友。2020年榮膺工業技術研究院院士，2021年獲交通大學頒授名譽工學博士學位。</p> </div></div></div>
2022/8/15 12:18未署名https://www.ithome.com.tw/article/152501
Palo Alto防火牆RDoS漏洞已遭駭客企圖開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.paloaltonetworks.com/CVE-2022-0028" target="_blank">Palo Alto Networks上周（8月11日）公布</a>設備作業系統軟體上一個可能被用以發動反射式放大DoS攻擊漏洞，表示會在本周一（8/15）前更新所有受影響產品，因為網路上已經有企圖開採的活動跡象。</p> <p>近日一家服務供應商發現，有駭客試圖在網路上反射與放大TCP阻斷服務（Reflected Amplification Denial-of-Service, RDoS）攻擊，駭客使用了多種防火牆設備，包括Palo Alto的設備，促使該公司進行調查及修補漏洞。</p> <p>這項漏洞編號CVE-2022-0028，是出於設備底層作業系統PAN-OS的URL過濾（URL Filtering）的政策配置不當，造成對網路送入的呼叫訊息量未能有效控管，可讓攻擊者發送惡意呼叫，導致RDoS攻擊。本漏洞風險值8.6。</p> <p>Palo Alto Network強調用戶成為受害者的機會不太高，因為受影響的防火牆設備必須在安全規則中的URL過濾資料設定（profile）中，要有1個以上的封鎖類別，而且來源區（source zone）要面向外部網路。該公司表示這類並非一般常見的URL過濾設定，也不太可能管理員會沒發現。</p> <p>廠商指出，一旦真的發生攻擊，不會影響Palo Alto產品的安全性、完整或可用性，但是駭客會藉此隱藏來源，冒充是由Palo Alto對受害目標發動攻擊。</p> <p>這項漏洞影響PAN-OS 8.1、9.0、9.1、10.0和10.1、10.2以前版本，包括PA系列設備、VM系列（虛擬）或CN系列（容器式）防火牆，以及Cloud NGFW、Prisma Access，但不影響Panorama M系列或Panorama虛擬機器。</p> <p>Palo Alto表示已經著手修補PAN-OS上的漏洞，預計會在周一（8/15）之前釋出所有軟體更新。雲端防火牆服務，包括Cloud NGFA及Prisma Access上的問題則已經解決，用戶無需做任何動作。</p> <p>在此之前，為防範DoS攻擊，廠商也提供了包含URL過濾的2種安全政策設定提供暫時保護。</p> </div></div></div>
2022/8/15 09:14作者林妍溱https://www.ithome.com.tw/news/152497
NFT買家花在汽車NFT的錢超過車子本尊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非同質化代幣（Non-Fungible Token，NFT）吸引眾多投資者及愛好者投入，也推升稀有NFT價格。<a href="https://thenextweb.com/news/crypto-fans-paying-more-for-nft-cars-than-real-ones" target="_blank">The Next Web報導</a>，一些車子的NFT的價格甚至超過真實車款的售價。</p> <p>汽車產業跟上NFT熱潮，名車車廠也推出NFT，以其稀有性增加吸金力，有些則是由獨立藝術家製作。汽車NFT一般當作數位藝術收藏，但也可以用於元宇宙中，以VR頭戴裝置存取，例如NFT可用於識別某個人是否擁有某輛虛擬汽車。</p> <p>透過精細運作切中買家心理，讓汽車NFT奇貨可居。<a href="https://www.vanarama.com/blog/cars/revealed-the-most-expensive-car-related-nfts" target="_blank">汽車租賃業者Vanarama的部落格作者歸納整理發現</a>，一些汽車NFT價格高得令人不可思議，例如<a href="https://opensea.io/assets/matic/0x2953399124f0cbb46d2cbacd8a89cf0599974963/97434623937043090382039959417131219050906835457968616068542215511501296369665" target="_blank">Car Man Logo 2D NTF價格約940萬美元</a>，是英國平均車價（2萬英鎊，約2.5萬美元）的311倍有餘，也可以讓你買到真正的夢幻跑車Aston Martin DB5（690萬美元）。</p> <p>根據調查，Nissan GT-R跑車的3D NFT為230萬美元，是實車（20萬美元）將近10倍。法拉利Ferrari 250 GT SWB Berlinetta 2985低於GT-R NFT（760萬美元）。</p> <p>電影《回到未來》中載著主角時空旅行的DeLorean，它的NFT版（約7.4萬美元）價格超越複刻版實車。真實世界的DeLorean DMC-12 平均售價5萬美元，僅是NFT版（18.3萬美元）的1/3。</p> <p>不僅如此，名車的影片版NFT也身價不斐。<a href="https://twitter.com/SHL0MS/status/1494446592463720448" target="_blank">名為Shloms的藝術家買入2015年的Lamborghini Huracan將之爆破的影片做成的NFT</a>賣得25萬美元，超出本尊售價20萬。</p> <p>想投資NFT，需注意NFT獲利並不如想像中容易。<a href="https://go.chainalysis.com/nft-market-report.html" target="_blank">根據市調公司Chainalysis報告</a>，僅44%的NFT交易有獲利，新創作的NFT更只有29%賺錢。NFT也面臨市場波動劇烈的挑戰；<a href="https://www.ithome.com.tw/news/150419" target="_blank">一家公司去年3月以291萬美元的價格買下了Twitter創辦人Jack Dorsey於2006年發布第一則推文的NFT</a>，今年4月欲出售時，最高出價不到5,000美元。</p> <p>今年春天起全球景氣反轉，數位加密貨幣價格暴跌，分析機構Chainalysis相信加密貨幣市場減速帶動NFT市場下滑；<a href="https://www.ithome.com.tw/news/151772" target="_blank">NFT今年6月的銷售額度</a>僅略高於10億美元，遠低於今年1月創下的126億美元高峰，創下NFT市場最近一年來的新低。</p> <p>NFT另一個問題是，即使你擁有汽車NFT，不代表你具有版權；它的版權還是在原創作者手上，他可以複製、散布與修改該NFT，但你不行。</p> <p>最後，NFT是極不環保的投資。<a href="https://memoakten.medium.com/the-unreasonable-ecological-cost-of-cryptoart-2221d3eb2053" target="_blank">根據一名學者估計</a>，交易1個NFT平均排出二氧化碳48公斤，若你擁有1個NFT（在區塊鏈上公布並兜售），意謂著你排碳211公斤，等於開著汽油車跑將近1,000公里。</p> </div></div></div>
2022/8/14 23:27作者林妍溱https://www.ithome.com.tw/news/152494
【資安週報】2022年8月8日到8月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週思科發布資安事件公告，揭露遭遇網路攻擊的事件，最受各界關注，而臺灣持續遭遇多起且零星的網路攻擊與騷擾事件，亦成國內與國際上的焦點。</p> <p>在漏洞修補方面，本周除了關注微軟、IBM、思科、SAP、Adobe，以及Palo Alto Networks、F5，還有西門子、施耐德等產品安全性公告，加上新處理器漏洞的消息，另外，最近駭客組織鎖定一些漏洞攻擊，需要特別重視，包括關於Windows的DogWalk漏洞、關於Linux、Unix的UnRAR漏洞，VMware本月初修補的兩個漏洞，以及Atlassian Confluence的重大漏洞。</p> <p>在攻擊趨勢上，Twilio與Cloudflare都揭露遭遇SMS簡訊網釣被入侵的經驗，關於網站Open Redirect的漏洞問題，本週亦有兩起揭露。</p> <p>在國際重大資安事故，有兩起事件最受廣泛關注，一是丹麥7-11便利商店遭勒索軟體攻擊，使得門市無法作業營運2天，另一是英國衛生福利部NHS的MSP業者遭勒索軟體攻擊，造成111急救系統無法運作，需要3週以上修復時間。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152490#cisco"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#pelosi"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#microsoft"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a></strong><br /> <strong><a href="https://www.ithome.com.tw/news/152490#7-Eleven-DK"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#Advanced"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7A.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#165"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#zimbra"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#logokit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152490#OCSF"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-12-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/08/recent-cyber-attack.html" id="cisco" name="cisco"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科坦承遭網路攻擊，公布完整攻擊鏈，駭客集團Yanluowangg聲稱是其所為並竊得2.75 GB資料</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco-yanluowang.png" style="width: 300px; float: right;" /></p> <p>同時身肩資安大廠的思科（Cisco）於8月10日指出，他們在5月24日遭到攻擊，起因是有員工的私人Google帳號遭到入侵，駭客進而透過Chrome瀏覽器的組態，取得存取思科內部環境的帳密，並藉由大量撥打電話及發送多因素驗證請求，成功入侵思科。<a href="https://www.ithome.com.tw/news/152437">Cisco揭露此事件攻擊者使用的MITRE ATT＆CK攻擊技法，而勒索軟體駭客閰羅王（Yanluowang）聲稱此起攻擊是他們所為</a>，並竊得2.75 GB資料，內含3,100個檔案。</p> <h3><a href="https://www.ithome.com.tw/news/152445" id="pelosi" name="pelosi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美眾議院議長裴洛西率團訪問臺灣，中國不滿，加劇對臺網攻武嚇手段</span></strong></a></h3> <p>臺灣政治與地理位置特殊，不僅長期處於西邊鄰居的罷凌威脅中，在美中貿易大戰後，臺灣也基於自身利益在國際政治的角力下，似圖找到能夠壯大自身、確保臺灣安定的平衡點。但事實上，因為國際上許多國家承認「一中政策」，這也使得臺灣在國際政治上舞臺上，不管如何想方設法想要努力爭取活動空間，都會遭到明裡、暗裡的阻撓手段。另外，只要中國國家主席習近平不願意放棄武統臺灣的想法，中國也會一直妨礙臺灣參與各種國際活動，即便是其他國家「主動」邀請臺灣參與的作為，也同樣會引發中國政府的不滿，甚至會引爆一系列的對臺網攻武嚇的各式攻擊手段。</p> <p>近期最明顯的例子就是：美國聯邦眾議院議長裴洛西（Nancy Pelosi）日前率領美國眾議院國會訪問團來臺訪問。身為美國政壇第三把手的裴洛西，她不僅成為近25年來美國訪臺官員最高層級，這次率團訪問，也讓臺美關係發展更往前邁向一大步，同時也挑起中國對兩岸關係的敏感神經，各類攻擊手段不曾間斷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" id="twilio" name="twilio" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></h3> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-warns-of-public-exploit-for-critical-auth-bypass-vulnerability/"><span style="color: rgb(0, 0, 0);">VMware針對一星期前修補的漏洞CVE-2022-31656、CVE-2022-31659提出警告，已出現攻擊行動</span></a></strong></h3> <p>VMware於8月2日修補了CVE-2022-31656、CVE-2022-31659，前者的CVSS風險評分高達9.8分，事隔一週，該公司於9日更新資安公告，指出有人已經公開攻擊程式碼，可針對具備上述漏洞的VMware Workspace ONE Access、Identity Manager，以及vRealize Automation等系統發動攻擊，要用戶儘速安裝更新程式，或採取緩解措施。這裡提及的攻擊程式碼，很可能是資安業者VNG研究人員Petrus Viet發布的漏洞細節。</p> <h3><strong style="font-size: 22px;"><a href="https://www.deepwatch.com/labs/deepwatch-ati-detects-and-responds-to-never-before-discovered-backdoor-deployed-using-confluence-vulnerability-for-suspected-espionage/"><span style="color: rgb(0, 0, 0);">駭客組織TAC-040鎖定Atlassian Confluence重大漏洞，於受害組織部署後門</span></a></strong></h3> <p>5月底被揭露的Atlassian Confluence零時差漏洞CVE-2022-26134，近期有研究人員公布更多當時駭客利用的細節。資安業者Deepwatch指出，名為TAC-040的駭客組織，在5月底利用上述的漏洞，攻擊研究與技術服務機構7天，駭客在入侵後利用Confluence資料夾裡的處理程序Confluence來執行惡意命令，並枚舉網路環境與AD的資料。</p> <p>研究人員指出，這些駭客很可能也利用SpringShell漏洞，來取得Confluence伺服器的初始存取權限。攻擊者不只濫用受害主機挖取門羅幣，也部署名為Ljl Backdoor的後門程式來竊取機密資料。</p> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/" id="zimbra" name="zimbra"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/" id="zimbra" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/" id="Advanced" name="Advanced"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/" id="7-Eleven-DK" name="7-Eleven-DK"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><a href="https://www.ithome.com.tw/news/152456" id="165" name="165"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">165專線公布第二季高風險賣場，博客來通報件數破2千，誠品連續五季上榜</span></strong></a></h3> <p>網路平臺的個資外洩，以及民眾面對假冒及詐騙的識別能力，持續是社會關注議題。我國刑事警察局165專線在8月7日，公布今年第二季高風險賣場名單，最嚴重的是博客來網路書店（2,725起），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。其中最值得注意的是博客來，與第一季最多的業者529件相比，通報案件數量多達5倍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites" id="snapchat" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities" id="logokit" name="logokit"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.chainalysis.com/reports/cross-chain-bridge-hacks-2022/"><span style="color: rgb(0, 0, 0);">駭客攻擊加密貨幣平臺的目標轉向跨鏈橋系統</span></a></strong></h3> <p>為了解決不同區塊鏈互動的需求，近期有不少提供跨鏈協定或跨鏈橋（Cross-chain Bridge）的系統業者出現，但他們的系統也成為駭客攻擊的頭號目標之一。區塊鏈分析業者Chainalysis近日提出警告，今年已發生13起跨鏈攻擊事件，盜走20億美元加密貨幣，規模占所有被竊的加密貨幣69%。此外，這些針對跨鏈橋的攻擊行動中，有10億美元與北韓駭客有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/bazarcall-advisory-the-essential-guide-to-call-back-phishing-attacks-that-revolutionized-the-data"><span style="color: rgb(0, 0, 0);">勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊，企圖取得受害組織初始存取的管道</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_e28cf286118e474bbac177ceabc42ff5_mv2.png" style="width: 300px; float: right;" /></a>威脅情報業者Advanced Intelligence（AdvIntel）表示，<a href="https://www.ithome.com.tw/news/145228">去年結合電話客服的惡意軟體BazarCall（亦稱BazaCall）攻擊行動</a>，近期又再度出現。</p> <p>有3個原本隸屬於Conti旗下的駭客組織：Silent Ransom Group、Quantum，以及Roy/Zeon利用此種手法發動攻擊，先是發送釣魚郵件，佯稱收信者線上購買了訂閱服務，若是有疑慮可撥打信件裡的專線請求退款。一旦受害者依照步驟撥打電話，就會有「客服」接聽，並指示提供相關的遠端桌面控制權，宣稱藉此才能取消軟體服務的訂閱。</p> <p>駭客成功存取受害電腦之後，就會藉此入侵組織網路，並利用Conti武器庫的工具發動攻擊。研究人員提出警告，這種透過電話的社交工程攻擊，日後有可能會變得頻繁。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bluesky-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlueSky採用Conti的程式碼，具備多執行緒提升加密受害電腦檔案的速度</span></a></strong></h3> <p>資安業者Palo Alto Networks針對近期的勒索軟體BlueSky進行分析，發現此勒索軟體納入了多款惡意軟體的特性，其中最引起他們注意的是導入Conti第3版的程式碼，而具備占用處理器多個執行緒的運作模式，來增加加密檔案的速度。</p> <p>再者，駭客採用了Babuk的加密演算法和金鑰產生演算法模組。此外，用於代管勒索軟體BlueSky的網域也與竊密軟體RedLine也有所重疊，駭客都是透過PowerShell下載器來做為初始傳送管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response/"><span style="color: rgb(0, 0, 0);">LockBit、Hive、BlackCat多個勒索軟體接連施暴，對汽車供應商發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/triple-ransomware-annotated.png" style="width: 300px; float: right;" /></a>駭客成功入侵受害企業後，很有可能會吸引其他組織對其出手。資安業者Sophos揭露針對一家汽車供應商的連環攻擊事故，勒索軟體駭客組織LockBit、Hive、BlackCat（Alphv）先後於4月20日、5月1日、5月15日入侵受害組織，並多次加密檔案，其中部分被加密多達5次。</p> <p>研究人員發現，最後發動攻擊的BlackCat，在受害電腦上抹除了3個組織作案的蹤跡。由於駭客初始入侵的管道，主要是透過VNC和遠端桌面連線（RDP），資安業者呼籲企業要透過VPN提供員工外部存取的管道，並採用強密碼和多因素驗證（MFA）來提升防護層級。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/"><span style="color: rgb(0, 0, 0);">駭客在發動Cuba勒索軟體攻擊的過程裡，利用新的RAT木馬程式情蒐及竊密</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，駭客組織Tropical Scorpius（亦稱UNC2596）在今年5月初，使用勒索軟體Cuba發動攻擊的手法出現顯著變化。首先是他們透過核心層級的惡意驅動程式，來終止受害電腦防毒軟體的運作。此驅動程式濫用駭客組織Lapsus$竊得的Nivida憑證來規避偵測。</p> <p>再者，駭客在經過一連串的系統偵察並竊取Kerberos憑證、透過ZeroLogon漏洞取得網域管理者權限後，於受害電腦部署名為Romcom的RAT木馬程式。此惡意軟體具備的功能，包含列出指定資料夾的檔案清單、將資料打包成ZIP檔案回傳至C2，以及透過PID Spoofing來產生處理程序等。研究人員認為，上述加入的手法將使得Cuba勒索軟體攻擊變得更加危險。</p> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></h3> <p>臺灣在8月初接連發生總統府、國防部、外交部網站遭到攻擊，以及統一超商和臺鐵電子看板被置入恐嚇訊息等資安事故。有自稱是APT27的駭客組織<a href="https://www.youtube.com/watch?v=nReXcIEqNqE">於8月3日在YouTube上傳影片</a>，表明他們為了抗議美國眾議院議長裴洛西訪臺，對臺灣的警政署、交通部公路總局、台電、總統府等單位發動攻擊，並宣稱他們還掌握6萬臺連網設備，若是臺灣政府再度挑釁，該組織會再出手。</p> <p>事隔數日，<a href="https://www.youtube.com/watch?v=mOyUd85LlaM">該組織於7日再度發布影片</a>，聲稱掌握連網設備的數量有20萬臺，並打算公布部分資訊系統的零時差漏洞，以及竊得的政府資料。隨後，該組織於今日凌晨，公布了<a href="https://twitter.com/APT27_Attack/status/1556313216493400064">財金資訊股份有限公司（FISC）</a>、<a href="https://twitter.com/APT27_Attack/status/1556312607186857987">台電核電平臺</a>的部分原始碼。</p> <p>但這個駭客組織，是否就是之前出現在資安新聞的中國駭客組織<a href="https://attack.mitre.org/groups/G0027/">APT27</a>（又名TG-3390、Emissary Panda、Bronze Union）？從該組織的推特帳號在這個月才成立，<a href="https://twitter.com/APT27_Attack/status/1554852989726519297">且自稱不擅長中文，亦不隸屬中國政府</a>，很有可能是不同的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg" style="width: 300px; float: right;" /></a>民視新聞臺在YouTube頻道的網路直播，在8月6日出現遭到竄改的情況，駭客放上了臺灣是中國一部分的恐嚇訊息，並聲稱兩岸統一是「民意」。對此，民視於7日發布聲明，指出駭客入侵了訊源主機，於是影響他們在YouTube播放的內容。該公司於6日晚間8時52分察覺有異，於8時54分移除遭到竄改的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6497474.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6497474.jpg" style="width: 300px; float: right;" /></a>臺灣大學的教務處、研發處網頁於8月7日晚間遭到入侵，學生發現網站的圖片，全部被換上「世界上只有一個中國」的恐嚇訊息，並引起廣泛的討論。對此臺灣大學坦言確有此事，並關閉網頁並予以修復，待完成後才會重新上線。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-target-crypto-experts-with-fake-coinbase-job-offers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus佯稱提供Coinbase職缺發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes研究員Hossein Jazi指出，近期北韓駭客組織Lazarus鎖定金融科技產業，假冒大型加密貨幣交易平臺Coinbase，以徵才的名義寄送釣魚郵件，一旦受害者開啟附件，電腦就會被植入惡意軟體，此惡意軟體會透過架設於GitHub的C2中繼站來接收指令。</p> <p>Lazarus假冒大型企業徵才來發動攻擊已非首例，他們之前曾冒用美國潛艦製造商General Dynamics Electric Boat、太空科技製造商Lockheed Martin的名義發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152301"><span style="color: rgb(0, 0, 0);">英國執政黨決定延後首相選舉，起因是駭客可能會發動攻擊影響結果</span></a></strong></h3> <p>英國在Boris Johnson辭去首相後，Liz Truss和Rishi Sunak正在角逐繼任者，保守黨將於近期投票選出。但根據BBC、衛報的報導，該黨收到了英國國家網路安全中心（NCSC）的警告，可能會有駭客從中竄改選票影響選舉，決定強化投票流程的資安，而延後選票寄送的時間。本次保守黨將採用第一階段投票結果，於9月5日選出下任首相。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/" id="microsoft" name="microsoft"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器重大漏洞</span></a></strong></h3> <p>思科於8月3日發布資安通告，他們近期修補中小企業RV產品線路由器的漏洞CVE-2022-20827、CVE-2022-20841，以及CVE-2022-20842，這些漏洞一旦遭到利用，攻擊者可能得以執行任意程式碼、發動阻斷服務攻擊，CVSS風險評分為8.0至9.8分。由於沒有其他緩解漏洞風險的方法，該公司呼籲用戶應儘速部署新版軟體。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，過半不需身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://slack.com/intl/zh-tw/blog/news/notice-about-slack-password-resets"><span style="color: rgb(0, 0, 0);">協作平臺Slack要求部分用戶重設密碼，起因是系統處理密碼的方式存在弱點</span></a></strong></h3> <p>協作平臺Slack於8月4日發布資安業者，指出他們的系統出現漏洞，有可能會將使用者的加鹽密碼傳送給工作空間的其他成員，估計有0.5%用戶受到影響。這些使用者曾在4月17日至7月17日之間，建立、撤銷共用邀請的連結，而可能曝險，雖然所有用戶端程式都無法直接檢視上述提及的加鹽密碼，但為保險起見，Slack還是重設了這些用戶的密碼。</p> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><strong style="font-size: 22px;"><a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/"><span style="color: rgb(0, 0, 0);">丹麥學生找到Cloudflare尚未正式推出的服務漏洞，獲得6千美元獎金</span></a></strong></h3> <p>雲端服務業者Cloudflare去年推出測試版的Email Routing服務，並邀請少數人員試用。有名丹麥的學生Albert Pedersen，他並未取得試用資格，但試圖通過Cloudflare伺服器的驗證加入試用行列，並發現相關漏洞，於去年12月7日從HackerOne進行通報，Cloudflare於2天後完成修補，並提供3千美元獎金，但近期該公司決定將獎金增加至6千美元。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.businesswire.com/news/home/20220810005251/en/Cybersecurity-and-Technology-Industry-Leaders-Launch-Open-Source-Project-to-Help-Organizations-Detect-and-Stop-Cyberattacks-Faster-and-More-Effectively" id="OCSF" name="OCSF"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS、Splunk等十多家業者發布OCSF開放網路安全概要框架，以標準化不同資安產品資料互通格式</span></strong></a></h3> <p>AWS與Splunk等18家IT業者與資安業者，於8月10日聯手於2022美國黑帽大會（Black Hat USA 2022）上，發表開放網路安全概要框架（Open Cybersecurity Schema Framework，OCSF），此專案將提供資安事件描述的標準規格，並提供相關的支援工具，目的是讓資安團隊能更加集中資源在分析及調查網路攻擊，而免於耗費大量心力在不同資安系統的資料互通與標準化。</p> <h3><a href="https://www.ithome.com.tw/news/152433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性</span></strong></a></h3> <p>數位發展部候任政務次長兼發言人李懷仁於8月11日，透露數位發展部的籌備重點，包括下轄的6司2署職責，其中，資安署要推動國家資安防護演練事務。李懷仁預告，數發部將於今年底前成立國家資安研究院，搭配數位政府司和資安署，來定期檢核政府資安韌性。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/article/152319"><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>【iThome 2022 CIO大調查(上)】CIO優先目標今年不一樣，敏捷IT和ESG是新焦點</strong></span></span></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-information-disclosure-vulnerabilities-businessobjects"><span style="color: rgb(0, 0, 0);">SAP修補BusinessObjects的資訊洩露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-rsa-key-leak-Ms7UEfZz"><span style="color: rgb(0, 0, 0);">思科修補防火牆設備的RSA金鑰曝露漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/acrobat/apsb22-39.html"><span style="color: rgb(0, 0, 0);">Adobe修補Acrobat、PDF檢視器的程式碼執行漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-only-11-vulnerabilities"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布每月例行修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-denmark-confirms-ransomware-attack-behind-store-closures/"><span style="color: rgb(0, 0, 0);">丹麥7-11連鎖便利商店證實遭到勒索軟體攻擊，但攻擊者身分仍不明朗</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-nhs-suffers-outage-after-cyberattack-on-managed-service-provider/"><span style="color: rgb(0, 0, 0);">英國NHS的緊急通報系統111專線服務中斷，起因是代管服務業者遭網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152295"><span style="color: rgb(0, 0, 0);">為了防堵駭客濫用ISO、LNK檔案，微軟打算在Windows 11加入相關封鎖功能</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts"><span style="color: rgb(0, 0, 0);">推特坦承日前駭客竊取540萬用戶資料的管道是零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cryptotimes.io/nomad-bridge-announces-10-bounty-for-hackers-to-recover-funds/"><span style="color: rgb(0, 0, 0);">跨鏈橋平臺Nomad祭出近200萬美元獎金緝兇，並表明駭客歸還9成贓款就不追究法律責任</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p> </p> </div></div></div>
2022/8/12 17:54作者羅正漢https://www.ithome.com.tw/news/152490
數位平臺大衝擊！中介法草案出爐
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1090-feng_mian_p1-open-shu_wei_zhong_jie_fu_wu_fa_cao_an_-wen_bin_-960x420_kao_bei_.jpg?itok=dTLob17T" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相隔4年，數位中介服務法草案，以新的姿態捲土重來，重新參考歐盟DSA架構，不只衝擊5大類業者，高達20項法遵義務，也賦予政府更多權力，甚至民眾有了新的救濟管道，但也引起業界的質疑聲浪</p> </div></div></div>
2022/8/12 23:59未署名https://www.ithome.com.tw/article/152493
Google搜尋現在會避免回答「史努比何時暗殺林肯」這類有錯誤前提的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/information-literacy/">Google搜尋更新一系列人工智慧功能</a>，以改進搜尋結果，同時也提供更多資訊素養功能，來協助使用者驗證資訊的正確性。</p> <p>在精選片段功能，Google搜尋更換使用新模型，以預測更好的答案以及出現時機。精選片段是Google搜尋頁面頂端的一個文字框，會針對用戶的搜尋關鍵字，突出顯示結果和來源資訊，以回應使用者所查詢的資訊。而現在Google在這個精選片段功能，採用最新的多任務統一模型（Multitask Unified Model，MUM），現在系統能從不同的高品質來源匯總出共識，提供更好的解答。</p> <p>同時，該人工智慧模型也能夠理解精選片段適用的場景，像是最近使用者只要在Google搜尋「史努比何時暗殺林肯」，Google搜尋便會給出一個林肯遇刺的日期和資訊片段，但Google認為，精選片段並不適合用來回應這類搜尋。在更換模型之後，Google能夠更好地檢測這類型的錯誤前提，減少精選片段觸發40％。</p> <p>除了提供搜尋資訊之外，Google發現，使用者經常使用Google搜尋來驗證，在其他平臺接收到的資訊，因此Google也持續投入資源，建構更多資訊素養功能。現在Google會在應用程式中的關於此結果功能，添加更多的背景資訊，包括來源的傳播範圍，或是公司的線上評論等重要背景資訊，協助使用者判斷資訊的正確性。</p> <p>針對部分突發新聞傳播速度快過事實真相，或是特定主題線上資訊還不夠可靠，也就是出現資料空隙（Data Voids）的情況，現在Google會在主題快速發展時提供內容建議，並向用戶表明稍後有更多可用資訊再來查看為佳。</p> </div></div></div>
2022/8/13 00:06作者李建興https://www.ithome.com.tw/news/152471
臺灣8月初因裴洛西訪臺而遭到網路攻擊的事件總覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日至3日，率領美國眾議院國會訪問團來臺訪問，此行引發中國政府高度不滿，不只進行軍演，相關的網路攻擊更是從訪臺前就不斷出現，且前後持續了長達9天。這些攻擊手法大致可區分為分散式阻斷服務（DDoS）攻擊、內容置換（Deface），以及幾可亂真的假訊息等。</p> <p>而在這段期間風聲鶴唳，也有一些公務機關的系統服務出現異常，而被外界懷疑可能也遭到相關攻擊。這些包含了警務系統、司法院法學資料檢索系統、電子發票入口網站等，但都被證實是系統部分元件故障所致。</p> <p> </p> <h3><strong>【8月1日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.facebook.com/YaitaAkio/posts/pfbid0t2GABjXqmFmzEZ9m8fA3JRiZairn9WAFyz3k1yUV1v6iAVBC6vpWJsnYsKh2yYC1l"><span style="color: rgb(0, 0, 0);">有小粉紅假冒日本產經新聞支長矢板明夫的名義，謊稱美國眾議院議長裴洛西造訪日本的行程中，出現中暑症狀並就醫</span></a></strong></p> <p> </p> <h3><strong>【8月2日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">DDoS攻擊</span></span><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府證實網站遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://www.appledaily.com.tw/politics/20220803/5BFE6F062E9E9AD5DDAC0E6409"><span style="color: rgb(0, 0, 0);">政府入口網站、外交部網站傳出因遭到DDoS攻擊而無法存取，外交部指出網站收到每分鐘多達850萬次請求</span></a></strong></p> <p> </p> <h3><strong>【8月3日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color:#FFFFFF;"><span style="background-color:#0000CD;">內容置換</span></span><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span></strong><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9"><span style="color: rgb(0, 0, 0);">國防部8月3日網站遭到DDoS攻擊</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#0000CD;">假訊息</span></span><a href="https://www.youtube.com/watch?v=nReXcIEqNqE"><span style="color: rgb(0, 0, 0);">自稱是APT27的駭客組織宣稱將對臺灣發動特別網路攻擊行動</span></a></strong></p> <p> </p> <h3><strong>【8月4日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://money.udn.com/money/story/10511/6511538" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">台電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p> </p> <h3><strong>【8月5日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><strong><span style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p> </p> <h3><strong>【8月6日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">內容置換</span></span><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></p> <p> </p> <h3><strong>【8月7日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">假訊息</span></span></strong><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">DDoS攻擊</span></span></strong><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></p> <p> </p> <h3><strong>【8月9日】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 205);">網頁內容置換</span></span></strong><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> </div></div></div>
2022/8/12 18:05作者周峻佑https://www.ithome.com.tw/news/152491
憲法法庭判健保資料庫違憲，相關機關須於3年內修法改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憲法法庭今日（8/12）<a href="https://www.youtube.com/">判決健保資料庫違憲</a>，指出健保資料庫對個資保障不足，如欠缺個資保護的獨立監督機制，以及對於公務機關和學術研究目的外的資料運用，欠缺當事人得請求停止利用的相關規定，健保署等相關機關須於3年內修法改善。健保署後續將以新聞稿回應。</p> <p><strong><span style="font-size:22px;">憲法法庭：健保資料庫欠缺獨立監督機制，以及公務學術目的外的請求停止機制</span></strong></p> <p>憲法法庭審判長許宗力先是引述法源，指出個資法第6條第1項規定，有關病歷、醫療、基因、健康檢查之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限，如公務機關或學術研究機構，基於衛生醫療目的，為統計或學術研究而有必要，且資料經提供者處理後，或經蒐集者依其揭露方式無從識別特定之當事人。</p> <p>而健保資料庫，並不違背法律明確性原則、比例原則，不牴觸憲法第22條，保障人民資訊隱私權之意旨。</p> <p>不過，憲法法庭從個資法和其他法律整體觀察，認為健保資料庫欠缺個資保護的獨立監督機制，對個人資訊隱私保障不足，有違憲之餘。相關機關應於判決宣布3年內，制定或修正相關法律、建立相關法制，來補足憲法第22條對人民資訊隱私權的保障。</p> <p>再來，在個人健保資料處理方面，憲法法庭點出，全民健康保險法第79條、第80條及其他相關法律中，並未明確規定以下事項：個人健保資料得由健保署以資料庫儲存、處理、對外傳輸及對外提供利用的主體、目的、要件、範圍和方式，及相關組織程序上的監督、防護等。</p> <p>該部分不符合憲法第23條保留原則，且違反憲法第22條保障人民資訊隱私權之意旨，許宗力宣布，相關機關應於3年內修正全民健康保險法，或制定專法來改善。</p> <p>另一方面，憲法法庭認為，資料健保署就個人健保資料，提供公務機關或學術研究機構原始蒐集目的外的利用時，欠缺讓當事人請求停止利用的相關規定，因此違反憲法第22條保障人民資訊隱私權之意旨。相關機關一樣得在3年內修法，或制定相關法律，明定請求停止和例外不許停止的主體、事由、程序、效果等事項。逾期未制定或修正相關法律，當事人可請求停止目的外利用。</p> <p>許宗力也補充解釋判決理由，個資法第6條第1項、健保法第79條和第80條規定，構成對個人資訊隱私權限制，而憲法隱私權保障民眾在資料被利用前，具有控制權，也就是同意權，即便事前未經過當事人同意，或是經過當事人同意，事後，當事人依然具有同意權。因此，憲法法庭認為，就算當事人事前同意，或是法律規定資料收集不需經當事人同意，當事人事後應具有控制權，來要求刪除、停止利用、限制利用。</p> <p>再來，個資法第6條第1項第4款指出，高敏感特種個資，即使經去識別化，還是有極端的可能被還原、介接識別出當事人，因此當時人對這些資料的自主控制權，一樣受到憲法保障。</p> <p>許宗力總結，依照判決，個人健保資料依然可以依法利用，但法制仍有不足之處，如欠缺獨立監督機制、缺乏第三方利用資料的法律規定，也欠缺當事人退出權，若相關機關未於3年內修法改善，當事人有權退出健保原目的外的資料利用。</p> </div></div></div>
2022/8/12 18:18作者王若樸https://www.ithome.com.tw/news/152492
【資安日報】2022年8月12日，協作平臺Zimbra零時差漏洞已被用於攻擊行動、研究人員揭露Intel與AMD處理器…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾個月駭客頻頻利用Atlassian Confluence漏洞發動攻擊，但近期也有針對協作平臺Zimbra漏洞的情況──近期又有資安業者揭露新的漏洞攻擊事故，而且，這次駭客串連了兩個漏洞CVE-2022-27925、CVE-2022-37042，於受害伺服器植入Web Shell。</p> <p>本週有兩組研究人員不約而同公布Intel、AMD的處理器漏洞ÆPIC Leak及SQUIP，但這次的兩個漏洞性質與過往有所不同，出現在架構層面，與推測執行較無關連。有研究人員指出，一旦駭客能夠利用漏洞，成功竊得機敏資料的機會比推測執行來得高。</p> <p>Palo Alto Networks防火牆作業系統的漏洞CVE-2022-0028也相當值得用戶留意，此漏洞已被用於攻擊行動，但該廠商僅對部分版本作業系統完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra身分驗證繞過漏洞被用於攻擊全球組織，上千臺伺服器遇害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-Global-View-Compromised-Zimbra-Servers.png" style="width: 300px; float: right;" /></a>資安業者Volexity提出警告，根據他們的調查，駭客在6月底開始對全球上千個協作平臺Zimbra發動攻擊，利用的就是該公司向軟體開發者通報的RCE漏洞CVE-2022-27925、身分驗證繞過漏洞CVE-2022-37042，駭客於受害的Zimbra伺服器上植入Web Shell。</p> <p>研究人員指出，組織若是沒有在5月底前修補CVE-2022-27925，Zimbra伺服器就有可能遭到入侵。美國網路安全暨基礎設施安全局（CISA）也要求聯邦機構，在9月1日前完成修補這兩個漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/classiscam-singapore-global-scam-operation/"><span style="color: rgb(0, 0, 0);">駭客鎖定新加坡網路賣家竊取線上購物的信用卡資料，並試圖透過OTP洗劫銀行帳戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pic-009.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pic-009.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB在2020年發現專門竊取網路賣家信用卡資料的駭客集團Classicscam，過往攻擊目標為美國、歐洲、俄羅斯，但研究人員發現，這些駭客約自今年3月開始也攻擊新加坡人。駭客假借線上購物買家的名義，宣稱要向網路賣家購物，進而竊取賣家的信用卡資料，甚至是企圖藉由OTP洗劫銀行存款。研究人員指出，整個Classicscam集團共有超過200個網域用於攻擊，其中有18個是針對新加坡。</p> <h3><strong style="font-size: 22px;"><a href="https://www.netskope.com/blog/abusing-google-sites-and-microsoft-azure-for-crypto-phishing"><span style="color: rgb(0, 0, 0);">Google Sites、Azure Web App遭到濫用，駭客架設加密貨幣詐騙網站</span></a></strong></h3> <p>資安業者Netskope指出，從今年年初開始到現在，駭客利用Google Sites與Azure Web App來架設釣魚網站，企圖騙取Coinbase、MetaMask、Kraken，以及Gemini用戶的加密貨幣錢包或帳戶，他們一開始利用其他網站、部落格的留言，來散播上述釣魚網站的URL，駭客也濫用Google搜尋的SEO技術，讓受害者在搜尋結果中，就看到設置於Google Sites的釣魚網站。</p> <p>駭客架設與上述加密貨幣業者極為相似的釣魚網站，一旦使用者依照指示登錄系統，就會被帶往另一個建置於Azure Web App的網站，要求輸入帳密或通關密語，並進行側錄。研究人員指出，由於這些網站架設於雲端服務上，一般資安系統可能會將其視為合法而不會封鎖，他們呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.oneadvanced.com/cyber-incident/"><span style="color: rgb(0, 0, 0);">英國NHS的MSP業者Advanced證實遭到勒索軟體攻擊</span></a></strong></h3> <p>英國NHS的111緊急通報系統於8月5日傳出服務中斷，起因與代管服務業者Advanced遭到攻擊有關，此業者於10日提出進一步說明。Advanced表示，他們約於8月4日上午7時遭到勒索軟體攻擊，共有7款產品的用戶受到影響，該公司委請Mandiant和微軟協助調查，並強化系統安全。初步調查結果顯示，他們的客戶並未受到攻擊，惡意軟體只有出現在該公司部分伺服器。</p> <p>而對於受到波及的111系統，該公司表示重新提供相關服務可能需要三到四星期以上的時間。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.netlab.360.com/a-new-botnet-orchard-generates-dga-domains-with-bitcoin-transaction-information/"><span style="color: rgb(0, 0, 0);">為規避偵測，殭屍網路Orchard濫用比特幣交易資訊來產生網域名稱</span></a></strong></h3> <p>中國網路公司奇虎360旗下的360網路實驗室（360 Netlab）指出，他們針對名為Orchard的殭屍網路進行長期追蹤，結果發現，與許多殭屍網路相同的是，Orchard使用網域產生演算法（DGA），來產生與C2連線的網域名稱，並用來在受害電腦部署各式惡意軟體，以及挖取門羅幣。但Orchard在DGA產生網域名稱的做法上可說是非常罕見，駭客利用了比特幣創始人中本聰的錢包，並以此人持有的比特幣金額資訊來產生部分網域名稱。</p> <p>研究人員指出，比特幣交易的不確定性很高，使得利用這種DGA演算法產生的網域名稱不易推測，資安人員也難以追蹤此殭屍網路的源頭。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://aepicleak.com/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊Intel處理器的手法ÆPIC Leak，Core第10至12代處理器曝險</span></strong></a></h3> <p>AWS、德國亥姆霍玆資安中心（CISPA）、羅馬大學、格拉茨科技大學的研究人員聯手，揭露名為ÆPIC Leak處理器架構漏洞CVE-2022-21233，該漏洞與處理器的進階可程式化中斷控制器（APIC）元件有關，存在於Intel第10代至12代Core處理器，攻擊者透過APIC MMIO未定義範圍的中斷請求，有機會從快取竊得敏感資料。此漏洞對於仰賴Intel SGX保護的應用程式造成重大風險，對於一般使用者的影響較為有限。</p> <p>Intel於8月9日發布資安通告，指出主要波及的是第3代Xeon Scalable處理器（Ice Lake-SP），並提出緩解措施。</p> <h3><a href="https://stefangast.eu/papers/squip.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">處理器攻擊手法SQUIP恐影響AMD產品</span></strong></a></h3> <p>格拉茨科技大學、喬治亞理工學院、資安研究所Lamarr的研究人員聯手，公布名為SQUIP（Scheduler Queue Usage via Interference Probing）的處理器攻擊手法，影響採用 Zen 1、Zen 2、Zen 3微架構、同步多執行緒（SMT）的AMD Ryzen處理器，一旦攻擊者運用該漏洞，有可能取得完整的RSA-4096加密金鑰。</p> <p>AMD於去年12月獲報後，將上述處理器弱點登記為CVE-2021-46778列管，評估此漏洞具備中等風險，並於今年8月9日發布資安通告，公布受影響的處理器型號。</p> <h3><a href="https://security.paloaltonetworks.com/CVE-2022-0028"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Palo Alto Networks修補被用於阻斷服務攻擊的防火牆漏洞</span></strong></a></h3> <p>資安業者Palo Alto Networks於8月11日發布資安通告，指出防火牆作業系統PAN-OS存在CVE-2022-0028漏洞，他們獲報有人將其嘗試用於發動反射式阻斷服務（Reflected Denial-of-Service，RDoS）攻擊。此漏洞與PAN-OS的URL過濾政策組態不當有關，一旦攻擊者利用該漏洞，就有可能製造及放大TCP流量，發動DoS攻擊，CVSS風險評分為8.6分。</p> <p>該公司指出，此漏洞影響實體設備、虛擬設備、容器版本防火牆，他們已針對PAN-OS 10.1發布更新軟體，其他版本的修補軟體預計將於下週推出。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-govt-will-pay-you-10-million-for-info-on-conti-ransomware-members/"><span style="color: rgb(0, 0, 0);">美國祭出千萬美元緝捕勒索軟體駭客組織Conti成員</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.meritalk.com/articles/cisa-releases-new-cyber-toolkit-for-election-systems-security/"><span style="color: rgb(0, 0, 0);">為強化選務系統資安，美國CISA發布資安工具包</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theglobeandmail.com/business/article-ski-doo-maker-brp-hit-by-cyberattack-temporarily-suspends-operations/"><span style="color: rgb(0, 0, 0);">水上及雪上摩托車Sea-Doo、Ski-Doo製造商BRP遭網路攻擊而暫停營運</span></a></span></strong></p> <p><a href="https://www.ftvnews.com.tw/news/detail/2022809S08M1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣基督教長老教會網站遭駭，網站被換上中國統一的恐嚇訊息</span></strong></a></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152446">【2022年8月11日】思科證實遭駭客組織閰羅王入侵、勒索軟體組織Conti旗下駭客利用BazarCall網釣攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152414">【2022年8月10日】微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織</a></p> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> </div></div></div>
2022/8/12 16:09作者周峻佑https://www.ithome.com.tw/news/152468
【圖解數位中介服務法草案】5大業者未來新增的20項法遵義務（完整圖表下載）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《數位中介服務法》草案中，一共規範了5大數位中介服務提供者，多達20項法遵義務，更訂出明確裁罰的標準，違者單次最高罰千萬元。從這張大表中，可以更詳細了解5大業者各自應負的法遵義務的項目與差異。</p> <p>表格中的前7項義務（當中資訊限制令義務以一項計算，包含一般和緊急程序），為所有業者應負的基本義務，未遵守者最高可裁罰50萬元，得按次處罰。除此之外，資訊儲存、線上平臺和指定線上平臺服務提供者，更負有額外的遵守義務。資訊儲存服務業者增加兩項額外義務，違者可處翻倍的罰金。線上平臺服務提供者共有16項義務，除了前面累加義務之外，另外新增的相關義務有7項，最高可處500萬元罰金。指定線上平臺服務提供者有最多20項義務要遵守，其中更有4項增加的義務，違者處最重一千萬元罰鍰，並有按次連續罰的規定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1090-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-%E8%87%B3%E6%B5%A9V6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E6%B3%95%E9%81%B5%E7%BE%A9%E5%8B%99-WEB%E5%9C%96-600(1).png" style="width: 600px;" /></a></p> <p> </p> <h2 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 31.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: rgb(255, 0, 0);">一張圖表，了解五大中介業者20項法遵義務</span></h2> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><a href="https://r.itho.me/iumHi+">下載連結 https://r.itho.me/iumHi+</a><br /> （以<span style="vertical-align: top; color: rgb(0, 0, 255);">CC-BY-NC-ND-4.0</span>釋出，需標示作者<span class="cc-license-title" property="dc:title dct:title" style="vertical-align: top; box-sizing: inherit; display: inline;">姓名，非商業性使用、禁止改作</span>)</p> </div></div></div>
2022/8/12 17:45作者余至浩https://www.ithome.com.tw/news/152460
英特爾研發TRC晶片安全技術阻擋針對硬體的攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾研發<a href="https://www.intel.com/content/www/us/en/newsroom/news/the-story-behind-new-intel-security-feature.html#gs.8d4y84">TRC晶片安全新技術</a>，來補充該公司現有的故障注入攻擊緩解措施，透過改進處理器內部的邏輯，將安全防護技術根植在晶片硬體中，更全面地抵禦駭客攻擊。</p> <p>當前已有多項機制強化軟體安全保護，包括虛擬化、堆疊金絲雀（Stack Canary）和執行前程式碼授權等，但英特爾提到，這些強化保護機制，促使惡意攻擊者將攻擊矛頭轉向計算平臺，像是故障電壓（Glitching Voltage）、時脈針腳、電磁輻射等故障注入攻擊，都可能導致電路時序故障，最終允許執行惡意指令或是洩漏機密資料。</p> <p>現在英特爾在其晶片加入可調副本電路（Tunable Replica Circuit，TRC）技術，以明確偵測因攻擊而導致的電路時序故障（Circuit Timing Faults）。TRC最先被應用在第12代Intel Core處理器系列產品中，賦予融合安全管理引擎（CSME）擁有故障注入偵測的能力，以發現對時脈和電壓針腳的非侵入式物理攻擊，同時也能用來偵測電磁故障。</p> <p>TRC技術原是由英特爾實驗室開發來監控處理器的動態變化，諸如電壓下降、溫度和老化，以進一步提高效能和能源效率，隨著技術的發展，TRC被應用在安全保護上，透過更改監控配置和建置基礎設施，使TRC可敏感偵測故障注入攻擊，同時英特爾也能針對安全應用程式調整電路。</p> <p>TRC的目標是要專注於監控特定類型的數位電路延遲，防範某些類型的物理攻擊，TRC被校準在超過CSME標準工作範圍的電壓時發出錯誤訊號，因此只要有來自TRC的錯誤訊號，就代表資料可能遭到毀損，如此系統便能觸發安全緩解技術，以確保資料完整性。</p> <p>英特爾提到，生產這類型硬體感測器最關鍵的部分是校準，因為一旦感測器過於敏銳，正常工作負載的電壓檢測將產生偽陽性誤報，偽陽性誤報會因雜訊導致平臺不穩定，並且為資安團隊帶來額外負擔。偽陰性誤報同樣需要避免，因此英特爾開發了一套以回饋為基礎的校準流程，以維持感測器的準確性。</p> <p>與純軟體實作比較，架構改進可以大幅減少執行開銷，英特爾表示，物理攻擊方法在過去一直不被包含在威脅模型之中，不過，隨著更多的運算被帶到邊緣，他們開始投資物理攻擊防護功能，將安全性根植在系統之中，使得軟體到晶片都能保護資料的安全。</p> </div></div></div>
2022/8/12 16:36作者李建興https://www.ithome.com.tw/news/152462
Meta將推出全程加密E2EE聊天訊息備份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/08/testing-end-to-end-encrypted-backups-and-more-on-messenger/" target="_blank">Meta本周宣布</a>正在測試全程加密（end to end encryption，E2EE）聊天訊息備份，允許用戶必要時可以在另一臺裝置回復資料。該公司說這功能和近日涉及青少女因FB Messenger對話資料被用於起訴無關。</p> <p>Meta表示正在開發Messenger及Instagram（IG）上預設全程加密訊息和通話的功能。目前Meta計畫測試Messenger全程加密聊天訊息的安全備份，未來也會陸續加入新功能，並推展到IG上。</p> <p>Meta的WhatsApp 2016年就預設啟用全程加密，但Messenger及IG則一直在緩慢測試中，預計要2023年才會正式成為預設。全程加密交談功能的備份讓用戶遺失手機或其他原因下，在新裝置上回復交談紀錄。由於只有用戶擁有加密金鑰，一如全程加密交談，Meta、ISP、電信商或第三方單位都無法存取交談內容，除非用戶向Meta通報。</p> <p>Meta表示，未來Messenger將預設啟用安全儲存。用戶備份資料時，需製作PIN碼或產生一組驗證碼作為未來存取之用，這兩種碼用戶都必須自己儲存。用戶也可以選擇將密碼儲存在第三方雲端服務，並在雲端上回復Messenger交談內容，例如iOS裝置可選擇iCloud。但Meta表示，這種方式就無法獲得Meta全程加密的保護。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/08/01_Secure-Storage.jpg?resize=890%2C816?w=1178" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Meta</span></p> <p>本周Meta已開始測試Android和iOS版，不過網頁版、桌機版或其他沒有全程加密的訊息服務則還不支援。</p> <p>這項功能發布同時，本周Facebook訊息服務涉及<a href="https://arstechnica.com/tech-policy/2022/08/teens-jailing-shows-exactly-how-facebook-will-help-anti-abortion-states/" target="_blank">一項案件</a>。美國一名內布拉斯加州青少女產下死胎，FBI探員懷疑是吃了墮胎藥的結果。該探員在蒐證過程中要求Meta提供該少女和母親在Messenger的交談紀錄，並要求不要通知本人。由於該州明文禁止墮胎，該青少女遭到起訴。</p> <p>Meta雖然稱警方出示的搜索令未提及墮胎一事，但也因此受到批評。不過Meta表示，本周測試的加密訊息儲存功能和新聞無關。</p> <p>Meta也公布其他全程加密開發的計畫。首先，刪除訊息同步化將擴及全程加密交談內容，也將加入回收訊息、回覆Facebook Stories影片及照片集等功能。此外，全程加密交談功能也將支援Meta智慧眼鏡Ray Bay Stories。</p> <p>Meta也開源瀏覽器外掛程式，名為Code Verify，在使用網頁版Messenger時可自動驗證密碼的真假，這功能旨在提供網頁版Messenger的全程加密。該程式支援<a href="https://chrome.google.com/webstore/detail/code-verify/llohflklppcaghdpehpbklhlfebooeog" target="_blank">Chrome</a>、<a href="https://microsoftedge.microsoft.com/addons/detail/code-verify/cpndjjealjjagamdecpipjfamiigaknk" target="_blank">Edge</a>及<a href="https://addons.mozilla.org/en-US/firefox/addon/code-verify/" target="_blank">Firefox</a>。</p> <p class="rtecenter"><img alt="" src="https://addons.mozilla.org/user-media/previews/full/272/272039.png?modified=1659651752" style="width: 600px;" /></p> <p>Meta也宣布移除Messenger上的Vanish mode。去年實作在Messenger上的Vanish mode讓用戶可傳送短暫存在的訊息。未來這項功能只會留在IG等沒有全程加密的訊息服務。</p> <p>Meta去年開始在IG上提供少數入測試全程加密，今年初擴及俄羅斯及烏克蘭。Meta表示即將推廣到更多國家。</p> </div></div></div>
2022/8/12 16:52作者林妍溱https://www.ithome.com.tw/news/152473
Telegram創辦人發文抱怨Apple審核新版本兩星期仍無聲無息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人<a href="https://t.me/durov/190">Pavel Durov發文</a>抱怨計畫發布的Telegram新版本，已經進入Apple應用程式審查程序兩個星期，到現在還沒有收到解釋尚未完成審查的原因，Pavel Durov提到，他們所要發布的新版本包含可以徹底改變人們傳遞消息表達自己的方式，但到現在仍未獲得批准。</p> <p>Pavel Durov認為，所有行動應用程式都需要經過技術壟斷企業的審查，這流程艱澀難懂，使得Telegram應用程式經常無法發布新版本，最新的Telegram版本也遭遇相同的問題，在審查流程中停留了兩個星期，而Apple完全沒有提供任何的解釋和說明。</p> <p>Apple和Google向應用程式開發人員收取30％的稅，以支付審查應用程式所需要的資源，Pavel Durov表示，Telegram是全球十大最受歡迎的應用程式之一，如果連Telegram都遭受到這種待遇，那可以想像更小的應用程式開發者所經歷的困難。</p> <p>這樣的障礙對應用程式造成直接的經濟損失，他指出，目前歐盟與其他國家的監管單位開始調查這樣濫用行為，但開發者所經歷的損失已經無法挽回。</p> </div></div></div>
2022/8/12 17:03作者李建興https://www.ithome.com.tw/news/152466
FTC有意立法規範商業監控與資料安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/08/ftc-explores-rules-cracking-down-commercial-surveillance-lax-data-security-practices" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（8/11）指出</a>，該機構有意探索透過各種規定來掃盪有害的商業監控，以及鬆散的資料安全，於既有的線上隱私保護規定之外，再築一道牆來強化民眾的隱私。</p> <p>FTC主席Lina Khan說明，現階段許多公司在各種環境下蒐集大量的個人資料，隨著經濟的數位化，再加上那些可無止境蒐集敏感的使用者資料並廣泛利用的商業模式，意味著非法行為可能很普遍。</p> <p>FTC指出，業者監控了使用者在網路上的所有行為，從他們的人際網路、瀏覽與購買紀錄、地點及實際移動路線，到其它的個人細節等，而這些大規模的監控進一步增加了資料外洩、欺騙、操縱或其它濫用行為的風險，此外，由於外界對自動化系統如何分析所蒐集而來的資料知之甚少，但研究顯示，這類的演算法容易出現錯誤或偏差，最終可能會造成歧視，影響特定使用者獲得居住、信貸或就業等資訊的能力。</p> <p>就算業者制定了隱私政策，但期間也可能更改該政策，或是使用隱諱的手法，以及透過行銷手段來迫使消費者分享個人資訊。</p> <p>上述都讓FTC認為應有制定相關規定的必要，近日便將透過《聯邦公報》（Federal Register）公布通知，外界可在60天內提供意見。</p> </div></div></div>
2022/8/12 15:20作者陳曉莉https://www.ithome.com.tw/news/152464
研究人員踢爆：臉書與IG行動程式會跨站追蹤用戶行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank">行動程式開發工具fastlane的作者Felix Krause本周披露</a>，Meta旗下的Facebook與Instagram（IG）的iOS程式可利用程式中的客製化瀏覽器來追蹤使用者的行為，當使用者於Facebook或IG程式中點選廣告或連結之後，這兩個程式即可追蹤使用者於外部網站上的所有活動，恐有侵犯使用者隱私之嫌。</p> <p>Krause曾任職於Google與Twitter，之後自行創立了fastlane，打造專供Android與iOS開發者用來建置及發布程式的同名開源工具。</p> <p class="rtecenter"><a href="http://krausefx.com/blog/ios-privacy-instagram-and-facebook-can-track-anything-you-do-on-any-website-in-their-in-app-browser" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Felix%20Krause.png" style="width: 500px;" /></a></p> <p>根據Krause的分析，只要Facebook與IG用戶點選了程式中的連結，程式就會啟用內建的瀏覽器造訪，並於所造訪的網頁注入JavaScript程式碼，以用來追蹤使用者於該站的所有活動，包括所點選的按鍵、所選擇的文字、所輸入的表格，或是購買行為等。</p> <p>除了使用者的行為完全被掌控之外，以行動程式內建的客製化瀏覽器造訪第三方網站，將喪失Safari等全功能瀏覽器的完整保護，且於外部網站注入JavaScript可能會引起網站的故障。</p> <p>另一方面，<a href="https://www.theguardian.com/technology/2022/aug/11/meta-injecting-code-into-websites-visited-by-its-users-to-track-them-research-says" target="_blank">Meta向《衛報》解釋</a>，這些行動程式都是在使用者同意被追蹤的設定下，才會於第三方網站注入JavaScript追蹤程式，而且這些資料只被用在目標式廣告或測量上。</p> <p>Krause則建議若使用者要避免這類的追蹤，可複製Facebook或IG程式中的連結，再以手機上的Safari或Firefox瀏覽器造訪，而不要於程式中直接點選連結。</p> </div></div></div>
2022/8/12 15:46作者陳曉莉https://www.ithome.com.tw/news/152465
鎖定全球工業控制系統的勒索軟體攻擊在Conti關閉後少了2成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank">資安業者Dragos本周指出</a>，全球工業控制系統（Industrial Control System，ICS）在今年第二季受到勒索軟體攻擊的次數為125次，低於上一季的158次，疑似因為該領域的主要勒索軟體之一<a href="https://www.ithome.com.tw/news/151058" target="_blank">Conti在今年5月關門大吉</a>的緣故。</p> <p>Dragos總計追蹤了43個鎖定ICS展開攻擊的勒索軟體駭客集團，今年第二季只有23個集團發動攻擊，而125次僅為曝光數量，實際攻擊次數可能更多。</p> <p>Dragos會將第二季攻擊數量的降低歸因於Conti，是因為在去年第四季與今年第一季時，Conti總計占了該領域所有攻擊數量的25%與18%，但今年第二季驟降為13%，位居第二，第一名則是Lockbit 2.0的33%。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/RansomwareByGroup_Q2_2022-1024x569.jpeg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color:#696969;">Dragos</span></a></span></p> <p>在第二季的ICS勒索軟體攻擊行動中，主要是歐洲的46起，北美的36起與亞洲的32起，若從行業別來看，有86起發生在製造業，10起為食物及飲料業，10起為能源業，6起為運輸業，還有5起是醫療業，再加上石油、化學與基礎設施等。</p> <p class="rtecenter"><img alt="" src="https://www.dragos.com/wp-content/uploads/2022/08/Ransomware_Continent_Q2_2022-1024x663.jpg" style="width: 600px;" /></p> <p><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／</span></a><a href="http://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2022/" target="_blank"><span style="color: rgb(105, 105, 105);">Dragos</span></a></p> <p>Lockbit 2.0在該季最知名的事蹟，是加密了富士康多個墨西哥廠的逾1,200臺伺服器，造成當地工廠停工數周。Dragos也注意到新興的Black Basta在該季發動了兩次攻擊，且認為該勒索軟體集團是由Conti與REvil之前的成員所組成。</p> <p>在Conti關閉之際，即有研究人員認為該勒索軟體集團是因為遭到美國封鎖而關閉，並未真正結束操作，而是再改以Black Basta等新品牌另起爐灶，因此未來Black Basta的活動值得關注。</p> <p>美國已在今年5月<a href="https://www.ithome.com.tw/news/150845" target="_blank">懸賞千萬緝拿Conti組織駭客</a>，本周更進一步公布<a href="https://twitter.com/RFJ_USA/status/1557804081552523267" target="_blank">了其中一名駭客的長相</a>。</p> </div></div></div>
2022/8/12 16:07作者陳曉莉https://www.ithome.com.tw/news/152467
Cloudflare員工也遭簡訊網釣攻擊，因採硬體金鑰而逃過一劫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在雲端通訊平臺Twilio日前傳出，<a href="https://www.ithome.com.tw/news/152379" target="_blank">遭到駭客以簡訊網釣攻擊</a>盜走了員工的登入憑證之後，<a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/" target="_blank">資安業者Cloudflare也說自己亦是駭客的攻擊對象</a>，而且至少有3名員工被騙，然而，由於Cloudflare每名員工都使用公司發的硬體安全金鑰，而逃過了一劫。</p> <p>Cloudflare的安全團隊是在7月20日接獲同事的報告，說他們收到一個似乎是合法的簡訊，該簡訊是以T-Mobile電話號碼寄送，簡訊上寫著Cloudflare時程表已更新，請造訪Cloudflare-Okta.com來檢視變更，且在短短的一分鐘之內，就有76名同事收到簡訊，還有同事的家人也收到簡訊。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/08/image3-5.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>Cloudflare-Okta.com雖然看起來像是真的，但它卻是一個網釣網址，而且是在發動簡訊網釣攻擊的前40分鐘才申請的。Cloudflare說，他們原本就打造了安全註冊產品，得以監控所有企圖使用該公司品牌的網站，若是惡意的就檢舉並封鎖它們，但因為Cloudflare-Okta.com實在太新了，甚至尚未被公開，而讓該監控服務失靈。</p> <p>使用者點選連結之後就會被導至一個偽造成以Okta身分辨識服務登入Cloudflare的網頁，並被要求輸入帳號及密碼。</p> <p>Cloudflare分析了該網釣網站，發現在使用者輸入帳號及密碼之後，它會立即將此一憑證透過Telegram傳送給駭客，接著頁面就會再度提醒使用者輸入有時間限制的一次性密碼（Time-based One Time Password，TOTP），雖然有3名同事輸入了憑證，但Cloudflare員工並未使用TOTP，而是採用了硬體金鑰，使得駭客無功而返。</p> <p>倘若駭客成功藉由該網頁通過了多因素認證，除了可取得使用者的登入憑證之外，該頁面還會下載一個含有AnyDesk遠端存取工具的酬載，在安裝之後將允許駭客自遠端控制受害者的裝置。</p> <p>在察覺駭客針對該公司展開簡訊網釣攻擊之外，Cloudflare即封鎖了該網域，重設所有受害員工的憑證，通知了該網域的註冊商及代管業者，強化對後續攻擊的偵測，以及稽核服務存取日誌。Cloudflare強調，該公司於此一攻擊中全身而退，並無任何系統遭到入侵。</p> </div></div></div>
2022/8/12 14:24作者陳曉莉https://www.ithome.com.tw/news/152461
代管業者遭勒索軟體攻擊，英急救專線網路恐中斷3周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供英國衛生服務部（NHS）急救專線111代管服務的供應商遭到勒索軟體襲擊，迫使英國急救任務分配以手動進行，預估可能影響急救服務數星期之久。</p> <p><a href="https://www.bbc.com/news/uk-wales-62442127" target="_blank">BBC</a>及<a href="https://www.pulsetoday.co.uk/news/breaking-news/gps-told-to-expect-influx-of-calls-from-patients-redirected-due-to-111-outage/" target="_blank">Pulse</a>等英國媒體報導，負責提供NHS 111急救專線代管服務的Advanced上周四（8/4）早上發生「嚴重技術」問題，造成111系統中斷服務。</p> <p><a href="https://www.oneadvanced.com/cyber-incident/" target="_blank">Advanced</a>判斷是勒索軟體攻擊所致，該公司表示已經採取措施，預防對英國醫療照護服務產生進一步風險。</p> <p>111急救專線網路負責支援救護車派遣、夜間看診預約或緊急藥物處方等緊急治療服務。根據報導，所有使用111網路進行預約或病患轉診、收治的醫院都受影響，這些醫院上周起必須手動紙本或電話進行，且召回休假員工支援作業。</p> <p>這家MSP表示，勒索軟體攻擊影響的系統相當廣泛，包括臨床病患管理軟體、長照中心管理軟體、臨床決策系統、電子病歷軟體、公部門財務管理軟體，以及其他臨床或照護相關系統。</p> <p>事發後廠商提供緊急方案維護系統運作，<a href="https://www.independent.co.uk/news/health/nhs-cyber-attack-staff-it-b2142245.html" target="_blank">Independent報導</a>，業者估計要3周到4周才能完全恢復作業。</p> <p>目前調查正在進行，但Advanced並未說明是何種勒索軟體、惡意程式駭入系統的管道，以及有哪些資料遭加密或竊取。</p> <p>這也突顯MSP資安事件的嚴重性。本周丹麥便利超商7-Eleven也傳網路攻擊影響PoS運作，迫使全國175家門市關閉。有消息指，可能是其使用的MSP遭勒索軟體攻擊所致。</p> </div></div></div>
2022/8/12 15:04作者林妍溱https://www.ithome.com.tw/news/152463
AWS推出檔案快取服務，更新EBS快照功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其一年一度的AWS Storage Day，<a href="https://aws.amazon.com/tw/blogs/aws/welcome-to-aws-storage-day-2022/">發表新儲存服務Amazon File Cache</a>，並對既有儲存服務包括Amazon EBS以及AWS Transfer系列推出功能更新。</p> <p>Amazon File Cache是AWS即將推出的儲存新服務，該服務將可加速和簡化混合雲工作負載，Amazon File Cache提供高速快取，無論資料儲存在什麼位置，用戶都可以更簡單地處理檔案資料。AWS表示，Amazon File Cache針對儲存在本地端檔案伺服器、檔案系統或是AWS物件儲存服務中的資料，提供一個臨時且高效能的儲存位置。</p> <p>該服務讓用戶能夠以亞毫秒級的延遲，和每秒高達數百GB的吞吐量，迅速匯集分散各地的資料集，供應給AWS上需要讀取這些檔案的應用程式使用，Amazon File Cache可支援各種雲端爆發工作負載和混合工作流程，從媒體渲染、轉碼到電子設計自動化，甚至是分析龐大資料等。</p> <p>另一項重要的更新是Amazon EBS快照功能，Amazon EBS讓用戶可以隨時運用快照來備份磁碟區（Volume），快照保留所有已經完成的I/O操作資料，供用戶將磁碟區回復到備份前的狀態。快照一般的使用情境，是創建關鍵工作負載的備份，諸如大型資料庫或是檔案系統，用戶可以選擇個別創建每個EBS磁碟區的快照，也可以針對附加到單個EC2執行個體的EBS磁碟區，創建多個磁碟區快照。</p> <p>AWS新推出的EBS快照功能，提供EBS磁碟區子集的崩潰一致性快照，過去當用戶想要創建EC2執行個體EBS磁碟區的多磁碟區快照，並且僅含有特定的EBS磁碟區時，用戶需要進行多次API呼叫，以選取保留真正想要的快照，但現在用戶可以使用API呼叫，在創建快照的過程排除特定磁碟區，以大幅節省成本。</p> <p>在早前，AWS也宣布在其檔案傳輸服務Transfer系列，支援AS2（Applicability Statement 2）協定，因此仰賴AS2交換重要業務資料的醫療保健、金融服務和保險等產業，現在可運用AWS Transfer系列服務，安全且高效地與其貿易夥伴交換資料。</p> </div></div></div>
2022/8/12 13:38作者李建興https://www.ithome.com.tw/news/152443
誠品連五季列網購高風險平臺，博客來單季件數破2,700件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年東森購物、誠品網路書店客戶個資外洩問題嚴重，許多民眾表示，詐騙者知道自己的個資與下單資訊，包含詳細的購買金額與日期，而且這類事件不斷，仍延續到今年第一季。</p> <p>在第二季，個資外洩與詐騙事件數量不僅居高不下，甚至再創新高！在8月7日，刑事警察局165公布今年第二季高風險賣場名單，指出這類解除分期詐騙手法幾乎完全一樣，但被列入名單的廠商有極大的變化。</p> <p>風險最高的賣場是博客來網路書店（2,725件），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。這些通報總共有3,737件。</p> <h3><strong>警方第二季接獲3,737件通報，是前一季的3倍</strong></h3> <p>最值得注意的是，單就嚴重程度最高的博客來網路書店而言，今年第二季的通報數量就達到2,725件，前所未見，此前單一平臺單季多在300到500件通報之間，相較之下，差距足足5到8倍。名列第三的誠品網路書店也備受關注，因為這家業者已經連續5季入榜高風險賣場。</p> <p>如果將五大高風險賣場通報件數加總起來，2022年第二季（3,737件）是前一季度（1,127）件的3.3倍，是去年同期（895件）的4.1倍以上。甚至，單是今年第二季的五大高風險賣場通報總量，也超過2021整年（3,586件）。</p> <p>這樣的狀況相當棘手，畢竟多年來警方持續呼籲民眾要小心，並公布詐騙話術與手法，這些平臺業者也紛紛發布反詐騙聲明的警告資訊，聲明不會主動打電話給客戶。</p> <p>但有很多民眾仍不知道詐騙集團假冒來電的手法，也不知道可能存在客戶資料外洩情形，以為只有平臺業者知道消費資訊，如果不清楚的人很容易受騙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/279239574_359921646178899_3754273653229074782_n.jpg" style="width: 290px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297989693_425156859655377_8370217246096332274_n.jpg" style="width: 290px;" /></a></p> <p><strong style="color: rgb(0, 153, 255);"><a href="https://s4.itho.me/sites/default/files/images/（圖1）刑事警察局2021年年度前5大高風險賣場9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%802021%E5%B9%B4%E5%B9%B4%E5%BA%A6%E5%89%8D5%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B49.jpg" style="width: 600px;" /></a></strong></p> <h3><strong>受害者指出假冒平臺客服知曉用戶訂單資訊</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物是2022年新入榜的高風險賣場，實際上，是否真有客戶資料外洩情形？</p> <p>以博客來網路書店平臺而言，例如，<a href="https://www.dcard.tw/f/mood/p/238690432">有網友表示在4月21日接到詐騙電話</a>，對方假冒博客來網路書店人員，清楚說明了網友的身分與買過的書，表示掌握到網友的個資與下單資訊，後續再接到假冒銀行客服的電話，在各種詐騙話術誘導之下，被詐騙近十萬元。</p> <p>而在遠傳friday購物平臺的部分，<a href="https://www.youtube.com/watch?v=edQaT-oQfAs">有網友提到他接到假冒遠傳friday購物的詐騙電話</a>，對方知道自己曾在1月於購物平臺買過萬巒豬腳，並以電商被駭客入侵導致信用卡被盜刷為由，再由假冒銀行客服來電，要求受害者配合到ATM提款機操作，透過一連串精心設計話術，騙稱是要取消，騙走用戶十萬元。我們後來也聯繫上這位網友，想了解遇害狀況，他指出在今年4月6日遭遇此事。</p> <p>至於迪卡儂，他們擁有網路購物平臺與實體通路，<a href="https://youtu.be/BsOk7qS47Do?t=24">有其會員接受媒體採訪時表示</a>，駭客很明確指出他的姓名，以及1月在迪卡儂購買的品項，後續曾遭同樣手法詐騙，匯款14筆金額達50萬元，直到警方看見民眾在提款機操作太多次而上前關切，他才驚覺自己被詐騙。根據相關的報導指出，迪卡儂表示本身並未發現資料外洩，但已經聯繫其合作的後端物流廠商徹查。</p> <p>另一方面，我們也詢問了刑事警察局，警方指出從本季的通報案例來看，詐騙集團所掌握的資訊，都是最近幾個月民眾的購物明細。至於2022年解除分期詐騙的財損，目前資料統計到4月20日，這類詐騙件數達198件，財損金額高達1億9,589萬元，比去年同期高出5千萬元。</p> <h3><strong>客戶資料外洩原因仍然不明</strong></h3> <p>由於博客來、迪卡儂、遠傳Friday購物都宣稱他們持續進行反詐騙宣導，卻並未公開說明調查結果，到底是內部系統發生客戶資料外洩？還是業者沒管好平臺的合作物流廠商？還是用戶端發生帳密被駭客盜用登入，因而得知訂單資料？各家狀況有待釐清。若從事件發生規模的角度來看，整批客戶資料外洩可能性較高。</p> <p>對此，我們也詢問博客來、迪卡儂、遠傳Friday購物這三家平臺業者，了解業者對於個資外洩事件的調查狀況，但對方的回覆竟然都是未能調查出駭客入侵的狀況，因此無相關調查結果可以公開。</p> <p>例如，本季最嚴重的博客來，他們公開表示：「該公司已於官網加註反詐騙宣導警語、並主動發送反詐騙宣導簡訊通知消費者，會持續與專業資安防護公司合作，進行資安檢測及強化保護，降低風險。」對於是否有相關調查結果，僅表示目前未能找出駭客入侵情況。</p> <p>其他兩家業者因為曾回應其他媒體的相關提問，所以，我們也向他們詢問，試圖挖掘出更多消息。</p> <p>例如，迪卡儂曾表示，本身未發現資料外洩，但已聯繫其合作的後端物流廠商徹查；遠傳friday購物曾表示，查無駭客入侵系統情事，仍持續密切觀察事件發展。不過，這兩家業者未能再有更多公開的回應。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>即便查無駭客入侵狀況，是否也該對外公告說明？</strong></span></h2> <p>日前台灣虎航在7月23日發布資安事件重大訊息，公開說明發現遭駭客網路攻擊，並先行發布反詐騙向民眾宣導，疑客戶資料外洩，相較之下，上述業者存在個資外洩並利用於解除分期詐騙的情況，儘管發布了反詐騙宣導，但可能因為一直沒有查出根因，至今都沒有發布重大資安事件公告，或公開客戶資料外洩相關調查結果，變成民眾變成需要自我警惕。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>假冒平臺、銀行客服來電的偽冒是否能防範？</strong></span></h2> <p>詐騙集團過去可透過二類電信，偽造出完全與平臺、銀行一模一樣的來電顯示號碼，但這樣的漏洞已經防堵。</p> <p>現在的詐騙集團來電號碼偽冒方式，多是來電號碼前段會顯示+886與+02，後段可能假冒成與業者電話完全一樣，也可能根本不同。</p> <p>在電信業的防範上，雖有相關防範，但可能受限於筆數設定無法逐一封鎖，也無法針對+號的國際電話全面封鎖。而且，有些民眾可能根本沒查證是否為業者來電，有些民眾則對顯示+886與+02的來電號碼，依然缺乏警惕，出現鬆懈防備的心態，事實上，來電顯示時，對方的號碼開頭若有「+」號，有很高的機率是詐騙電話，同時警方也一再強調ATM沒有解除分期相關功能。</p> </div></div></div>
2022/8/12 12:14作者羅正漢https://www.ithome.com.tw/news/152456
【專家看中介法：台灣網路資訊中心董事暨執行長黃勝雄】肯定中介法保護使用者，但法定義務仍需考量業者承擔能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於NCC近期公布數位中介服務法草案，財團法人台灣網路資訊中心（TWNIC）董事暨執行長黃勝雄持肯定的看法，過去在網路空間產生的違法行為難以有效規範，現行的司法系統因嚴謹的審理程序，無法很快的因應處理網路上的犯罪行為，例如限制接取，因此儘管網路犯罪或遭受不公平對待的案例相當多，但進入法院的少之又少，大部分人在網路上受到不當的對待，沒有受到合理保護。</p> <p><span style="color:#B22222;"><strong>政府聲請資訊限制由法院把關</strong></span></p> <p>在數位中介服務法草案中，賦予行政機關權力，向法院聲請資訊限制令，要求平臺業者配合移除內容，黃勝雄認同此一做法，由於政府需經過法院嚴格的審查程序，法院審查時徵詢該內容的使用者意見，必要時得徵詢第三方民間事實查核機構意見，最後才同意核發資訊限制令。</p> <p>「過去沒有行政機關向法院提出資訊限制令，這是全新的作法」，黃勝雄說。資訊限制令採取法官保留的原則，將限制人民基本權利的政府作為，交由法官經審查後裁定，使用者不認同法院裁定結果，可依司法系統救濟管道處理。</p> <p>至於外界擔心政府以行政處分要求平臺針對內容暫時加註警語，恐箝制言論自由，黃勝雄則認為，行政機關不會隨便對特定的新聞或內容提出限制令，必定蒐集完整的資料、調查程序，將功課及法律要件備齊，有一定的把握後才會聲請限制令，否則法院最後駁回聲請，浪費行政機關的時間，形成龐大行政成本，並留下濫訴的印象。</p> <p>此次中介法草案也規定中介業應配合政府的資料調取義務，黃勝雄認為，傳統上，政府資料調取有兩條路徑，第一條是循法院審議，只要經過法院審議裁定，就可對資料進行扣押，第二條是針對特定業者如電信事業，電信事業依法律規定需保留資料、配合資料調取的法定義務。而數位中介服務法保留原來法院裁定的路徑，但將原本限縮在特定事業的調取義務，擴大到所有中介平臺者。</p> <p>他認為，中介法擴大政府單位資料調取的權力，確實仍有討論的空間，包括如何限制行政機關的資料調取行為、業者如何保存資料、保留多久時間等等。</p> <p><strong><span style="color:#B22222;">政府提出中介法草案，業者承擔法定義務仍有協商空間</span></strong></p> <p>政府提出數位中介服務法，強化對數位中介平臺的管理，黃勝雄認為中介法有些部分直接從歐盟DSA移植過來的，但是臺灣在數位經濟的規模有沒有比歐盟大？歐盟提出DSA，背後有經濟實力作為後盾，作為協商的要求。臺灣是否具備這麼大的實力或條件，要求平臺業者承擔更多的法律義務，這是相當現實的問題。如果條件不存在的話，政府有什麼方法去要求，政府基於保障公益提出額外的法律限制義務，平臺業者能不能接受，他認為這是需要討論的。</p> <p>網路事業和傳統事業不同，網路事業可以說不，可以選擇完全不落地，如果政府限制人民使用，就會面對人民的譴責，如果人民需要這項服務，它又沒有落地的需求，政府需要去思考有哪些籌碼來討論，得到政府想要的限制措施，這是需要協商的。</p> <p>黃勝雄表示，不論提出哪些限制措施，都要知道自己背後的籌碼在哪裡。以電子商務規模為例，臺灣去年為4,300億元臺幣，歐盟為27個國家環繞的經濟體，規模將近5,000億歐元，是臺灣的將近30、40倍以上，以歐盟如此大的經濟規模提出限制性要求，平臺業者需要認真思考法遵的問題。</p> <p>反觀臺灣，有沒有對等的經濟規模提出協商談判的空間，如果中介平臺業者不願意承擔這麼大的法律義務，不在臺灣提供服務，承擔壓力、人民責難的將會是政府，以目前中介法草案提出的法定義務，他相信未來政府與業者協商應仍有下修空間。</p> </div></div></div>
2022/8/11 19:24作者蘇文彬https://www.ithome.com.tw/news/152450