iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 27篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臺工控資安業者提供SEMI E187導入參考指南，從資產生命週期保護出發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國際半導體展SEMICON Taiwan 2022期間，除了先進製程、異質整合、策略材料、先進測試、軟性混合電子、高科技智慧製造、綠色製造等重要議題，半導體產線設備資安推動也成焦點。</p> <p>除了有數位發展部數位產業署署長呂正華<a href="https://www.ithome.com.tw/news/153093"><span style="color:#0000CD;">揭露SEMI E187標準規範的推動現況</span></a>，提到為了幫助更多產業付諸實踐，預計今年底將發布參考實務指引（Reference Practice），剛好，在國際半導體展期間，我們看到也是SEMI台灣半導體資安委員會成員的國內工控資安業者睿控網安（TXOne Networks），釋出他們撰寫的SEMI E187標準導入參考指南。</p> <p>這份TXOne Networks釋出的SEMI E187標準導入參考指南，目前已經可從該公司官方網站下載，當中的內容，特別以資產安全生命週期出發，也傳達OT零信任安全的策略，闡釋設備入廠 ( Onboarding ) 、配置 ( Staging ) 、生產 ( Production ) 與維護 ( Maintenance ) 期間的防護，並對應到SEMI E187定義的資通安全基本要求，幫助半導體設備製造商理解此標準所側重的防護面向，包括作業系統、網路、端點和安全監測，同時也說明了該公司解決方案，可以如何因應其中的資安檢查、端點防護與網路防護。</p> <p>該公司執行長劉榮太表示，其實很多大型科技業都在重視設備資安問題，藉由這份指南，他們的目的很簡單，希望要讓更多公司都可以了解SEMI E187的核心精神，以及如何採取具體行動，促進更多公司重視這項半導體資安產線標準。同時，該公司首席解決方案架構師劉大川也指出，由於每個設備商的狀況不同，參考實務指引將會持續去完善，同時設備商也應理解，指引的內容目的是讓多數設備商都能執行與採用，因此指引只會是一個基本的門檻，最起碼的要求，這樣的觀念必須要先建立。</p> <p>整體而言，隨著SEMI E187的推動與實施，對於設備廠商來說，面對SEMI E187標準合規的挑戰，都需要有更多的指導原則與參考，而在SEMI E187官方參考實務指引正式推出之前，國內工控資安業者也提供這樣的資源，給予更多要做資安推動的設備商及資產擁有者，可以理解SEMI E187的概念。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%89TXOne%20Networks%20SEMI%20E187%E6%A6%82%E5%BF%B5.png" style="width: 600px;" /></p> </div></div></div>
2022/9/16 16:42作者羅正漢https://www.ithome.com.tw/news/153096
Adobe將以200億美元買下UI設計軟體業者Figma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.adobe.com/news/news-details/2022/Adobe-to-Acquire-Figma/default.aspx" target="_blank">Adobe周四（9/15）宣布</a>，準備以200億美元買下使用者介面設計平臺Figma，藉由Figma的能力重構創造力與生產力的未來，啟發全球的創作者、設計師與開發者社群。該交易將以現金及股票各半進行，預計於明年完成。</p> <p>創立於2016年的Figma主要提供使用者介面及使用者經驗設計，它是個協作型的網頁應用程式，有行動程式，也有具備額外離線功能的桌面程式。Figma在2021年5月增資時，估值為100億美元，隔了一年身價即上漲一倍。</p> <p>Adobe表示，Figma讓每個設計互動式行動及網頁應用程式的使用者，都能透過多層次的工作流程、複雜的設計系統，以及豐富的開發者生態體系展開協作，該平臺吸引了數百萬名新一代的設計師、開發者與學生。</p> <p><a href="https://www.figma.com/blog/a-new-collaboration-with-adobe/" target="_blank">Figma共同創辦人暨執行長Dylan Field強調</a>，Adobe已承諾要讓Figma自主經營，並由他持續擔任執行長，對他來說，這次的併購將讓Figma加速開發並擴充到新領域。</p> <p><a href="https://news.adobe.com/news/news-details/2022/Adobe-Reports-Record-Revenue-in-Q3-Fiscal-2022/default.aspx" target="_blank">當天Adobe也公布了截至9月2日的2022財年第三季財報</a>，顯示該季Adobe創造了44.3億美元的營收，比去年同期成長13%，每股盈餘為2.42美元。Adobe執行長Shantanu Narayen並說，相信此一併購案將替Adobe帶來一個獨特的機會，開創一個協作創造力的新時代。</p> <p>不確定是受到財報或併購案的影響，Adobe當天股價大跌16.79%，以309.13美元作收。</p> </div></div></div>
2022/9/16 12:24作者陳曉莉https://www.ithome.com.tw/news/153094
SEMI E187資安標準規範獲得更多廠商支持，均豪、帆宣、京鼎、盟立等8家半導體設備商先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由臺灣主導的半導體產線設備資安標準規範SEMI E187，今年1月已於SEMI國際半導體產業協會官網正式公告，當時SEMI資安委員會預告，歷經三年制定的這項標準只是開始，後續還要推動標準落地、推廣與全面落實。</p> <p>而在最近9月舉行的國際半導體展期間，也召開半導體設備資安推動誓師大會，當中揭露SEMI E187推動的最近進展。</p> <p>政府將攜手半導體產業、設備業者，並與資安業者共同合作，除了今年數位產業署已在沙崙建立半導體設備資安方案體驗基地，受關注的是，有8家臺灣半導體設備業者，將著手實作先期導入，預計年底SEMI可望發布參考實務指引（Reference Practice），盼能幫助更多國內產業先了解標準內涵。</p> <h2><strong>進入廠商實作導入階段，今年底將推參考實務指引</strong></h2> <p>關於E187的推動歷程現況，數位發展部數位產業署署長呂正華在2022國際半導體展中，於半導體設備資安推動誓師大會活動上致詞時表示，半導體是地緣政治經濟之下的兵家必爭重點，資安更是其中的核心，不論是經濟部工業局還是數位發展部數位產業署，都將資安視為重點發展。</p> <p>事實上，E187背後推手，就是SEMI資安工作小組，由工業技術研究院與台積電的兩位專家共同主持，成員亦是來自臺灣半導體科技大廠與資安業者的專家。</p> <p>2021年SEMI資安委員會成立，目的是要持續推動半導體界建立有韌性的供應鏈，而E187標準規範的推動，亦是其中一環。</p> <p>隨著年初SEMI E187正式公告，如何讓這項標準規範普及將是挑戰，與市場溝通更是關鍵，呂正華表示，今年最大目標就是要推動合規應用，完備產業參考實務指引，如今產業署已在沙崙資安服務基地，新增半導體設備SEMI E187合規方案體驗專區，藉由攻擊模擬實景，以及資安防護應用，展示睿控網安（TXOne Networks）、安華聯網等多家本土業者的防護方案。</p> <p>同時，目前SMEI標準制定工作小組正在建立參考實務指引（Reference Practice），希望在年底前發布，各方也將協力辦理工作坊、研討會，協助國內產業了解標準的內涵，並進一步輔導國內業者提前布局，導入國產資安合規方案。</p> <p>呂正華強調，這需要半導體業者的幫忙、資安業者的協助，更重要是設備業者的協作。</p> <p>目前看來，至少已有8家半導體設備業者，率先宣布SEMI E187標準規範導入的準備，包括：均豪精密、帆宣系統科技、京鼎精密科技、凱諾科技、盟立自動化、志聖工業、弘揚科技、東捷科技。</p> <p>就現階段的目標來看，首要工作就是完備產業參考實務，並建立設備業者資安合規示範案例。</p> <p>關於政府方面在此方面的推動，也有一些變化——原先以經濟部工業局為主，隨著數位發展部成立數位產業署，將由此單位接續這方面的工作，至於其他方面的推展，呂正華表示，工業局本身的任務將會繼續進行，做得不足之處，將由數位產業署來協助。</p> <h2><strong>未來將推認驗證，並推動更多設備廠商合規導入</strong></h2> <p>關於SEMI E187的後續推動方向，呂正華表示，明後年有兩大目標，第一，是持續徵集更多設備業者的意見，進一步完備成為標準實務指引（Standard Practice）；第二，同時也會推動驗證標準與認證機制，以進一步號召國內更多設備業合規導入，並且推廣到全球。</p> <p>對於半導體產業而言，未來還有哪些產業資安工作會進行？在本場活動中也舉行了座談，SEMI國際半導體產業協會資深總監蘇貞萍表示，為了要讓所有供應鏈了解資安標準的落實，除了透過各管道倡議半導體資安的重要性，後續也將推出半導體資安評鑑服務，除了幫助業者掌握自己的資安狀態，並會蒐集相關數據分析，協助會員長期規畫。</p> <p>不僅如此，與國內產業公協會的合作同樣至關重要，以便快速推廣標準規範，並鏈結到更多產業，例如，台灣電子設備協會（TEEIA）、台灣顯示器既應用協會（TPSA）也派出代表現身支持，並表示將幫助他們的會員，瞭解設備作業系統與資訊安全的重要性，並保障設備安全。</p> <p>無論如何，儘管SEMI E187是基於半導體設備而來，但在全球供應鏈安全的態勢之下，現在已有依據臺灣本地業者需求出發的產業標準，未來若是也能導入光電、印刷電路板等設備產業，可望更廣泛促使國內設備業者成為國際供應鏈的可信賴合作夥伴，也促進臺灣資安產業在全球的商機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SEMI%20E187%E6%8E%A8%E5%8B%95%E7%AD%96%E7%95%A5%E8%88%87%E6%88%90%E6%9E%9C.jpg" style="width: 600px;" /></p> <p><strong>關於SEMI E187標準規範的推動，數位發展部數位產業署署長呂正華指出，這需要半導體業者的幫忙、資安業者的協助，更重要是設備業者的協作，今年的推動策略是要產出參考實務指引（Reference Practice），同時鏈結產業公協會，並期望能建立設備業者資安合規示範案例。</strong></p> </div></div></div>
2022/9/16 11:10作者羅正漢https://www.ithome.com.tw/news/153093
Google、Meta因隱私問題遭南韓罰款千億韓元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與Meta本周雙雙因違法蒐集使用者在第三方平臺上的個人和行為資訊，遭南韓隱私主管機關共開罰1,000億韓元（約臺幣23億）。</p> <p><a href="https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=8221" target="_blank">南韓個人資料保護委員會本周三指出</a>，這兩大網路服務平臺在未獲用戶同意下，收集用戶於第三方平臺的行為資訊，並將其用於線上個人化廣告，違反該國個人資訊保護法，已被該主管機關責成改正，同時對兩公司施以1,000億韓元的處分。其中Google罰金692億韓元（約臺幣16億），Meta則被罰308億韓元（約臺幣7億）。</p> <p>本次是南韓首度對網路個人化廣告平臺的資訊蒐集和使用行為開罰，也是對違反隱私法歷來最重處分。</p> <p>南韓主管機關表示，在處分前他們花了大約一年時間調查。根據其調查，兩公司蒐集用戶於第三方平臺的行為資訊，包括造訪網站和App的紀錄、購買和搜尋歷史等，藉此辨識和分析用戶興趣、偏好，用於發送個人化廣告。</p> <p>當局相信，兩公司在蒐集用戶第三方行為資訊時未明確告知，或取得用戶明顯同意。其中，Google在用戶訂閱其服務時，不但沒有明確告知，反而隱藏提供用戶「同意／不同意」的選項按鈕，並將其預設為「同意」。而Meta則是在用戶建立帳號時即已列於資料蒐集政策中，雖然有告知，但未事前徵得用戶同意。此外，兩公司僅告知用戶會蒐集「一些資訊」，但並未說明是蒐集哪些行為資訊。</p> <p>當局表示，這些用於個人化廣告的第三方行為資訊涉及用戶所有設備，因而此類蒐集行為對敏感資訊導致風險。但根據當局調查，在兩公司刻意不透明的作法下，大部份南韓用戶都「同意」其蒐集行為，像是Google有82%比例，Meta更達98%。</p> <p>不過兩家網路服務巨人並不認同。<a href="https://www.theregister.com/2022/09/14/google_and_meta_fined_over/" target="_blank">Meta表示</a>，雖然尊重南韓個人資料保護委員會的決定，但該公司有信心其作法已經符合南韓法令。Meta表示不排除所有選項，包括提出上訴官司。</p> <p>Google則對媒體表示不同意南韓政府的判定，將會審視完整判決書。Google表示該公司向來致力於提供用戶資訊控管權及透明度，同時提供用戶最有助益的產品。</p> <p>Google去年9月才因限制三星等OEM使用競爭作業系統，<a href="https://www.ithome.com.tw/news/146728" target="_blank">被當局罰款2,000億韓元（約50億臺幣）</a>。</p> </div></div></div>
2022/9/16 10:00作者林妍溱https://www.ithome.com.tw/news/153092
Nvidia、Arm與Intel公布FP8規格，企圖成為AI交換格式標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.nvidia.com/blog/nvidia-arm-and-intel-publish-fp8-specification-for-standardization-as-an-interchange-format-for-ai/" target="_blank">Nvidia、Arm與Intel本周共同發表了8位元浮點（8-bit Floating Point，FP8）規格</a>，期望以較低精確度的格式來改善運算效能，加快深度學習訓練推理速度，以作為AI的標準交換格式，已計畫將該規格提交給電機電子工程師協會（Institute of Electrical and Electronics Engineers，IEEE）。</p> <p>Nvidia解釋，AI處理需要跨軟體與硬體平臺的全棧創新，才能解決神經網路日益增加的運算需求，促進效率的關鍵之一是採用較低精確的數字格式來改善運算效能，降低記憶體的使用，並針對互動頻寬進行最佳化。為了實現上述好處，業界已由32位元的精確度降至16位元，現在則是8位元，而他們相信擁有一個共通的交換格式，將能推動軟體與硬體平臺的互動，進而改善運算。</p> <p>因此，Nvidia、Arm與Intel共同撰寫了<a href="https://arxiv.org/abs/2209.05433" target="_blank">《供深度學習使用的FP8格式》（FP8 Formats for Deep Learning）白皮書</a>，用以描述8位元浮點規格，提供一個共同的格式來加速包括AI訓練與推理的AI發展。</p> <p>FP8規格由E5M2與E4M3組成，前者使用5個位元來表示指數，2個位元表示尾數，後者則是以4個位元表示指數，3個表示尾數，由於該規格只使用了8個位元，因而節省了額外的運算周期。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0915-Details%20of%20FP8%20Binary%20Formats%20by%EF%BC%9CFP8%20Formats%20for%20Deep%20Learning%20whitepaper%EF%BC%9E.png" style="width: 600px;" /></p> <p><a href="http://arxiv.org/abs/2209.05433" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖表取自《FP8 Formats for Deep Learning》白皮書</span></span></a></p> <p>此外，FP8最大限度地減少了它與IEEE 754浮點格式的偏差，在硬體與軟體之間取得了良好的平衡，因而得以利用現有的實作，加速採用，並改善開發者的生產力。</p> <p>根據實驗，不管是在Transformer、電腦視覺或是GAN網路上，FP8訓練的準確性都類似16位元的結果，但效能上卻有極大的進步。例如Nvidia的Hopper在BERT高精確模型上採用FP8格式，在無損準確性的狀態下創造了4.5倍的速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0915-FP8%20FORMATS%20FOR%20DEEP%20LEARNING%20image%20by%20Nvidia-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>此一規格將採開放及免費授權形式，期望藉由一個可維持準確性的交換格式，讓AI模型於所有硬體平臺上都能有一致的表現。</p> </div></div></div>
2022/9/16 09:07作者陳曉莉https://www.ithome.com.tw/news/153091
【資安日報】2022年9月15日，中國駭客以舊版合法軟體從事網路間諜行動、WordPress外掛零時差漏洞已被用於攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客透過合法軟體載入惡意程式的做法，在現在的資安事故可說是相當常見，但最近出現了新手法──有中國駭客刻意使用舊版合法軟體來發動攻擊。</p> <p>有資安業者提出警告，他們偵測到有人鎖定WordPress外掛程式WPGateway的零時差漏洞CVE-2022-3180發動攻擊，且有部分網站遭到接管。由於目前沒有修補程式，研究人員呼籲網站管理者應移除此套件因應。</p> <p>在上週末英國女王伊麗莎白二世辭世，各界紛紛表達哀悼與不捨，但竟有人看上許多人想要致意來發動網路釣魚攻擊，這樣的情況也使得英國政府特別提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/espionage-asia-governments"><span style="color: rgb(0, 0, 0);">中國駭客鎖定亞洲政府，以舊版合法軟體元件從事網路間諜行動</span></a></strong></h3> <p>資安業者賽門鐵克指出，與惡意程式ShadowPad有關的中國駭客組織，自2021年初開始對許多亞洲國家的政府組織下手，範圍涵蓋總統辦公室、與金融有關的政府機關、政府持有的航空業者與國防業者，以及國有電信業者、IT業者、媒體等。</p> <p>在攻擊過程中，駭客不僅擅長寄生攻擊（LoL），透過DLL側載（DLL Side-loading）的手法執行惡意程式，他們往往還會選擇使用舊版的防毒軟體、圖像處理軟體、網頁瀏覽器來發動攻擊，研究人員在部分攻擊事故裡，看到駭客甚至濫用Windows XP的系統檔案。</p> <p>但為何這些駭客偏好濫用舊版軟體來側載惡意程式？原因是現行大部分應用程式具備防堵這類攻擊的緩解措施，使用舊版軟體可增加成功載入惡意程式的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/09/psa-zero-day-vulnerability-in-wpgateway-actively-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式WPGateway零時差漏洞已被用於攻擊</span></a></strong></h3> <p>資安業者Wordfence指出，自9月8日有人利用WordPress外掛程式WPGateway的零時差漏洞CVE-2022-3180發動攻擊，此漏洞的CVSS風險層級高達9.8分，且駭客已經藉此接管部分網站。由於此外掛程式尚未獲得修補，研究人員並未進一步透露細節，該公司呼籲網站管理者應儘速依照指示，檢查網站是否遭到入侵，並在開發者尚未提供修補程式之前停止使用WPGateway。</p> <h3><strong style="font-size: 22px;"><a href="https://sansec.io/research/rekoobe-fishpig-magento"><span style="color: rgb(0, 0, 0);">電商網站整合業者Fishpig遭駭，用戶網站恐被植入惡意軟體</span></a></strong></h3> <p>駭客鎖定軟體服務業者下手，對該業者的客戶發動供應鏈攻擊，這樣的情況最近幾個月似乎越來越頻繁。例如，資安業者Sansec發現，專門為WordPress網站整合電子商務元件Magento的Fishpig遭到入侵，駭客控制了該公司的伺服器，並在FishPig Magento Security Suite、FishPig WordPress Multisite兩項軟體裡，植入惡意程式Rekoobe，而使得導入上述軟體的網站可能會感染惡意軟體。</p> <p>Fishpig也證實此事，並提供緩解措施，呼籲用戶重新下載、安裝相關軟體套件，來清除可能遭到竄改的元件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/death-of-queen-elizabeth-ii-exploited-to-steal-microsoft-credentials/"><span style="color: rgb(0, 0, 0);">駭客假冒微軟的名義，以打造弔念英國女王的留言板為由，意圖騙取微軟帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FcoWqb_XkAAMDdV.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FcoWqb_XkAAMDdV.png" style="width: 300px; float: right;" /></a>英國女王伊麗莎白二世辭世，引起全球許多民眾哀悼，但現在有人竟利用此事發動網路攻擊。資安業者Proofpoint看到駭客假冒微軟的名義寄送釣魚信，聲稱計畫打造互動式的AI回憶留言板來紀念伊麗莎白二世，需要用戶參與，該記憶板將會透過神經網路，分析、組織來自全球的數百萬悼念文字與相機資料，一旦收信人照做，他們的微軟帳號將會遭到挾持。研究人員指出，駭客利用網釣攻擊工具租賃服務EvilProxy所提供的工具來發動此次攻擊。</p> <p><a href="https://www.ncsc.gov.uk/news/potential-phishing-activity-update">英國國家網路安全中心（NCSC）也提出警告</a>，要民眾小心以弔念伊麗莎白二世名義的網路釣魚攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/14/phishing-campaign-targets-greek-banking-users/"><span style="color: rgb(0, 0, 0);">希臘納稅人遭到鎖定，駭客以退稅為由騙取網路銀行帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Tax-Refund-Phishing-Page.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Tax-Refund-Phishing-Page.png" style="width: 300px; float: right;" /></a>經歷嚴重經濟危機的希臘，因烏克蘭戰爭導致物價飆漲，該國政府也祭出補助措施因應，而這種時空背景也被駭客拿來作為網路釣魚的幌子。資安業者Cyble揭露假借退稅名義的網路攻擊行動，駭客打造了假的希臘國稅局網站，來竊取民眾的銀行帳戶資料。駭客宣稱國稅局要退稅，但因為無法確認退款的銀行帳號資料，要求民眾提供，一旦民眾照做，將會被帶到假的網路銀行登入網頁，而這些網頁將會側錄使用者輸入的內容。研究人員表示，使用者只要輸入相關內容，無論是否送出資料，就有可能導致銀行帳戶遭到洗劫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/14/you-never-walk-alone-sidewalk-backdoor-linux-variant/"><span style="color: rgb(0, 0, 0);">針對香港大學遭到Linux後門程式攻擊的事故，研究人員發現駭客使用的工具由Windows版SideWalk改造而成</span></a></strong></h3> <p>中國駭客組織SparklingGoblin自2021年2月針對香港一所大學下手，並植入Linux後門程式，資安業者ESET進一步調查後發現，此後門程式是名為SideWalk的Windows惡意軟體改造而成，且與騰訊旗下的360網路安全實驗室於2020年9月發現的Spectre RAT有關。</p> <p>研究人員表示，Linux版SideWalk與Windows版有許多共通的特性，例如，都使用ChaCha20演算法，具備5個同步執行的處理程序等。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://foundation.rust-lang.org/news/2022-09-13-rust-foundation-establishes-security-team/"><span style="color: rgb(0, 0, 0);">Rust基金會獲OpenSSF和JFrog投資，將建立專門的資安團隊強化程式語言安全</span></a></strong></h3> <p>9月13日，Rust宣布因獲得開源軟體安全基金會（OpenSSF）專案Alpha-Omega的資金，以及DevOps解決方案業者JFrog的加入，他們將成立專門的資安團隊，來強化程式語言Rust的安全。具體的配置則是由OpenSSF撥款，讓Rust能聘請專職的資安工程師；而JFrog則是讓他們的資安研究團隊成員參與Rust資安團隊的工作。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-windows-ios-bugs-used-in-attacks/"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補蘋果裝置零時差漏洞CVE-2022-32917</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://newsroom.trendmicro.com/2022-08-31-Trend-Micro-Warns-of-75-Surge-in-Ransomware-Attacks-on-Linux-as-Systems-Adoptions-Soared"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機修補高風險漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/critical-kepserverex-flaws-can-put-attackers-powerful-position-ot-networks"><span style="color: rgb(0, 0, 0);">工業通訊平臺KEPServerEX存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2022/09/08/baxter-sigma-spectrum-infusion-pumps-multiple-vulnerabilities-fixed/"><span style="color: rgb(0, 0, 0);">Baxter輸液幫浦的電池存在漏洞</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153039">【2022年9月14日】趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153016">【2022年9月13日】思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152998">【2022年9月12日】研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏在受害電腦記憶體內運作</a></strong></strong></strong></p> </div></div></div>
2022/9/15 15:30作者周峻佑https://www.ithome.com.tw/news/153073
微軟公布與Starlink合作的Azure Space服務、衛星連網地面站即服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2020年底宣布<a href="https://www.ithome.com.tw/news/140672" target="_blank">Azure Space</a>合作計畫後，<a href="https://azure.microsoft.com/en-us/blog/new-azure-space-products-enable-digital-resiliency-and-empower-the-industry/" target="_blank">微軟本周宣布新進展</a>，包括Azure Orbital地面站（Azure Orbital Ground Station），以及整合SpaceX Starlink及Azure雲端的Azure Orbital Cloud Access服務。</p> <p>2020年微軟宣布Azure Space合作，主要公布其Azure和衛星連網業者的合作夥伴，包括SpaceX及盧森堡的SES。<a href="https://news.microsoft.com/zh-tw/5g-o-ran/" target="_blank">微軟去年宣布</a>，微軟結合和碩的5G O-RAN基地臺及SES衛星連網業者，為新竹消防局打造在天災發生地區迅速提供5G和衛星連網服務。</p> <p>本周微軟在這基礎之上推出Azure Orbital Cloud Access（如下圖示意）。不過這項服務只提供給政府客戶，目前為預覽版。微軟表示，新服務供任何有SpaceX Starlink服務地區的用戶，可透過Starlink衛星網路連結Azure服務及資料中心，很適合作為偏鄉地區或無網路地區基礎架構，也可以作為備援網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0915-Azure%20Space-Azure%20Orbital%20Cloud%20Access%EF%BC%88Preview%EF%BC%89.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟表示，Azure Orbital Cloud Access透過Starlink和Azure邊緣網路裝置可排定網路流量的優先順序。此外，它還原生整合Juniper Networks提供的SD-WAN技術，可協助管理光纖、行動網路及衛星通訊網路的連線。</p> <p>Azure Orbital Cloud Access服務提供月費訂閱制，以及依用量計費2種收費模式。</p> <p>其次微軟宣布，2020年公布的地面站即服務Azure Orbital地面站（Azure Orbital Ground Station），本周正式向衛星營運商提供服務。這項服務整合挪威地面站網路業者KSAT，以及Azure服務如Azure儲存體、Azure AI、Azure Data Analytics及軟體數據機，讓衛星營運商透過Azure來簡化管理作業。目前這項服務已有衛星業者Loft Orbital、衛星影像分析及遙測業者Pixxel、Muon Space使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0915-Azure%20Orbital%20Ground%20Station.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>Azure Orbital地面站已在歐、美、亞及非洲等地開賣，提供隨需付費，<a href="https://azure.microsoft.com/zh-tw/pricing/details/orbital/" target="_blank">定價</a>為每分鐘3美元。</p> <p>兩項新服務之外，微軟也宣布和SES最新合作，兩公司共同加入「衛星通訊虛擬化方案」（Satellite Communications Virtualization Program）。雙方透過這方案，將整合軟體定義的集中器（software-defined hub）、客戶邊緣網路終端機、虛擬網路功能（VNF）、邊緣網路應用等，打造第一個全虛擬化衛星通訊地面網路，使衛星網路也能使用5G虛擬化功能。</p> <p>微軟聲稱，這也有助於加速系統介面標準化，加速自動化、API為基礎的控制、以及跨產業互通。雙方近日也將定義與實作虛擬化SES地面站的架構，最後推向SES商用服務。</p> </div></div></div>
2022/9/15 15:33作者林妍溱https://www.ithome.com.tw/news/153074
加州州長簽署《AB-587》，要求社交媒體平臺分享審核規則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.ca.gov/2022/09/13/governor-newsom-signs-nation-leading-social-media-transparency-measure/" target="_blank">加州州長Gavin Newsom 本周簽署了《AB-587》法案</a>，以要求社交網站公布內容審核政策，以及執行相關政策的數據，避免社交媒體平臺淪為散布仇恨或不實資訊的溫床。</p> <p>社交網站的內容審核通常涉及仇恨言論、不實資訊、騷擾或極端主義等，Newsom表示，當社交媒體因散布這些言論而成為威脅社群或國家的武器時，加州不會袖手旁觀，加州居民有權知道這些平臺如何影響公共的資訊揭露，此一法案更替社交媒體平臺的內容審核帶來透明度與問責制。</p> <p>總之，《AB-587》不僅要求社交網站公布詳細的審核規則，也要求它們描述當違反規則可能採取的行動，例如提出警告、刪除文章、停權到撤銷帳號等，亦必須定期公布執行報告。</p> </div></div></div>
2022/9/15 15:58作者陳曉莉https://www.ithome.com.tw/news/153080
AI趨勢周報：Google AI釋出氣味圖譜，要來預防蟲媒傳染病
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0909～0915)</span></p> <p>本周盤點多個AI領域應用，如Google用ML打造出分子氣味圖譜，可「定位」分子的氣味，進而找出驅蟲劑有效分子、防治蟲媒傳染病；法國則用AI從空拍圖鎖定泳池住家、計算大小，再比對地產登記系統、揪出未登記逃漏稅的住家；紐約時報用ML來自動計算「訂閱牆」額度，讓不同讀者有不同額度的免費文章可看；甚至OpenAI的文生圖模型DALL-E，也多了新的延伸繪畫功能，自動畫出原圖沒有的部分。AI研究也有不少進展，比如DeepMind訓練AI踢足球、Meta新AI可解碼大腦3秒活動的對應語音；美國白宮最近宣布，2025年底前，所有政府資助的研究論文及數據都得在線上免費公開，AI大師吳恩達看好，這將促進更多AI新進展。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 氣味 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蟲媒傳染病 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google AI釋出氣味圖譜，要來預防蟲媒傳染病</strong></span></p> <p>Google AI研究院近日釋出一款機器學習產生的氣味地圖，涵蓋上千個分子與相對應的氣味，可用來預測無形分子的氣味，甚至要進一步發展為全球性的疾病預防工具，來對付如昆蟲傳播等類型疾病。</p> <p>進一步來說，團隊先是在2019年開發一套GNN模型，來探索數千個與氣味標籤（如花香、薄荷味）配對的分子，讓模型了解分子結構與組成每個氣味標籤的機率關係。這次，他們進一步打造主要氣味圖譜（POM）模型，可辨識每個氣味分子的向量表徵；POM具感官圖譜特性，能產生與相似氣味對應的2個相近點，並讓使用者預測、找出該分子所產生的新氣味。</p> <p>Google測試發現，POM可預測人類味覺感知，也能預測動物味覺。為得知POM能否用於蚊子、蜱蟲疾病預防，團隊以2大數據集（含早期美國農業部實驗數據、TropIQ蚊子實驗數據）重新訓練模型，發現模型可預測出幾乎所有分子的驅蚊性，其中10個分子的驅蚊力至少與大多數驅蟲劑中的活性成分DEET一樣高。Google認為，該模型可幫助開發更便宜、更持久且更安全的驅蟲劑，降低瘧疾等昆蟲傳播疾病的發生。<a href="https://ai.googleblog.com/2022/09/digitizing-smell-using-molecular-maps.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgIKw_aiWx5tcRb73eI1fHs1oe2GSiZJVH2kV5r36E_TvpdDA09nWAiLuKPQs7jzM5OXtkDreuJQYgYnEp7EtRFVCGmack-ueAhkZZJTW3OTlfgQE6Hjdy-NW_bCGBlB9ssewPYDZ8E1bydgZMfRxW6sjByxiyWN9QxagjcSTSFQPLEP9hVQt6dxij0Xw/s16000/image5.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 游泳池 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 稅收 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>私建游泳池想逃稅？法國政府用AI一眼揪出得補稅的地產</strong></span></p> <p>在法國，民眾家裡有游泳池、地產價值就會增加，就得繳稅。然而，並不是所有住家都會誠實登記游泳池並繳稅。於是，<a href="https://www.leparisien.fr/economie/impots/la-traque-aux-piscines-non-declarees-a-deja-rapporte-10-millions-deuros-au-fisc-28-08-2022-EZDWG7YDLJE7VBLXVMRDREF6BQ.php?utm_campaign=The%20Batch&utm_medium=email&_hsmi=225317877&_hsenc=p2ANqtz-_lt3s_s1sYnlg513kgG-WMqXMJ4dZbognvZMk98yuLgB0X2uUTG1cs0T96jn7G-vScP6LhbIB_akeGXJGvfqz2tp9M7w&utm_content=225317877&utm_source=hs_email">法國政府部署一款AI工具</a>，來揪出未登記泳池的住家，並補繳稅。</p> <p>該工具先以電腦視覺AI辨識空拍圖、計算泳池大小，再交叉比對當地政府的地產登記資料，來確認該泳池是否登記，若未登記，則會標註警示並要求補登記。該工具由Google與巴黎顧問公司Capgemini開發，去年10月於法國9個行政區先上路，共標註了20,356個可疑的泳池住家，其中94%確實未登記；該工具光1年就替政府淨賺1千萬歐元稅收。法國政府計畫在本月擴大到全國使用，預計2023年泳池稅收可達4千萬歐元。他們也打算，未來要新增涼亭和陽臺等2類地產辨識類別。</p> <p>其實，光是歐盟，至少已有17個國家用AI來協助收稅，包括辨識出應審查的納稅人、自動從電商網站抓取納稅人資料，以及驅動Chatbot來協助納稅人上傳資料等。去年，<a href="https://stahlesq.com/irs-artificial-intelligence-detects-tax-evaders/?utm_campaign=The%20Batch&utm_medium=email&_hsmi=225317877&_hsenc=p2ANqtz-9xWQLojnwSCK72S3O6DLeqACm9XlTVVYaxwNqis01hv6DS32bGKp9UeDVhZbNIw2RIYkzXEh5uFhuYvtLVQiEV1uIiKA&utm_content=225317877&utm_source=hs_email">美國則上線一款AI工具</a>，透過分析退稅、銀行對帳單、財產記錄和社交活動，來揪出詐欺犯。<a href="https://www.leparisien.fr/economie/impots/apres-les-piscines-le-fisc-sinteresse-desormais-aux-extensions-et-aux-verandas-non-declarees-29-08-2022-DTNJI3AVWZFNLKZLRLSTQTCSNI.php?utm_campaign=The%20Batch&utm_medium=email&_hsmi=225317877&_hsenc=p2ANqtz-8h-_VfeWWDBwIhc4Klay3cr-HmbBb-BGMV_ugAgWQ1wAIyxybsYVNTmeXT5qjhoZaLHjCMIb9ACHbOboQe7o2mJZotWA&utm_content=225317877&utm_source=hs_email">（詳全文）</a></p> <p><img alt="" src="https://www.leparisien.fr/resizer/pSn84c9XOnofxPUWguQgIBszTO4=/932x582/cloudfront-eu-central-1.images.arcpublishing.com/leparisien/5S5IVOZOJNDN5KWHGORCQGR2LA.jpg" style="width: 932px; height: 582px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 紐約時報 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 訂閱制 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 動態量測 </span></strong></span></p> <p><span style="font-size:22px;"><strong>讀者可看幾篇免費文章？紐時用ML自動決定</strong></span></p> <p>紐約時報自2011年開始實施註冊牆和付費牆（Paywall）機制，讓民眾點閱一定數量的免費文章後，先跳出註冊視窗，民眾註冊後就能閱讀更多免費文章，但到一定數量後，紐時網頁就會跳出訂閱視窗，來說服讀者付費訂閱。長久以來，所有讀者的免費文章數量都是一樣的，但紐時資料科學家Rohit Supekar認為，付費牆應因人而異，要依讀者特性來提供不同額度的免費文章才對。</p> <p>因此，他與團隊開發因果機器學習模型Dynamic Meter（動態量錶），根據民眾註冊後的瀏覽習慣，即訂閱傾向和參與度，來判斷要給個別讀者，多少篇免費閱讀的文章。該模型可分為2個類似S-learner元學習模型的基礎學習器，用來預測讀者訂閱傾向和頁面點擊數，並決定要給多少篇免費文章。團隊利用歷史資料測試發現，動態量錶可讓團隊依業務目標調整策略，比隨機策略得到更多參與度和轉換率的提升。<a href="https://info.deeplearning.ai/e3t/Ctc/LX+113/cJhC404/VWM9jb1y487HW2Qgfp16g_tT4W8LzBkh4PH5n0N8GDX7r3q3pBV1-WJV7CgC1DW5jB2wD2MbMMlW99Vp045D1780W85cNP617lQxlW40Kw7C8kjpbxW5tnH514hHmy-W6fBqJS2ZjrkWW1b-pxR3zrJ8VW3K9j9z2dhlspW4rfFpr4QTSBvW2H_dvX98l-CgW7_np973gBfLrW8_pz6v1psbkwW6C4fCh51W2G_W1dYXXF13MGTKW5xPwbY5YM0cLW681zl7617M8cW5PvM_x7L67FFW5mt8pY75mGh8W1slr-61Y-3JLW4FvR505d5xfDW5Gdfql4twvlhW6wkCrh2qLT7DVfDykb4-1WkFW3bsznG1GLS7gN5NMndt9wGXjW2XRJjz97jlGHN7NJD41Lq6H6W8CP1-s4WcnXcN3BT2JsGH4RfW33ljgn2LQ-lS3lcy1">（詳全文）</a></p> <p><img alt="" src="https://miro.medium.com/max/1050/1*xyI-asIz0ZHYF1L_1Kp-Bg.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 決策森林 </span></strong></span></p> <p><span style="font-size:22px;"><strong>TensorFlow 2.10版出爐了</strong></span></p> <p>開源深度學習框架TensorFlow最近釋出2.10版，其中亮點包括函式庫Keras的優化、優化器API的更新，以及用來生成音檔資料集的新程式。就Keras優化來說，目的是要使用者更輕鬆開發Transformer模型，比如擴充和統一對Keras注意力層的掩碼處理功能，並新添因果注意力和內隱掩碼2種功能。此外，新版也將Keras初始化器調整為無狀態和確定性，並以oneDNN強化性能，還擴展了Windows的GPU支援。此外，隨2.10版更新的還有Tensorflow決策森林（TF-DF）1.0版，是個成熟穩定的函式庫了。<a href="https://blog.tensorflow.org/2022/09/whats-new-in-tensorflow-210.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 增強式學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 踢足球 </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepMind訓練AI踢足球</strong></span></p> <p>DeepMind開發新AI，可學習人類動作、組成虛擬足球隊。他們在科學期刊《Science Robotics》公布一篇論文，解釋自家NPMP模型如何從人或動物動作中學習複雜技能，並以代理程式或實體機器人，將技能體現出來，像是踢足球。</p> <p>NPMP是一組通用的運動控制AI模型，可將當下的運動意圖轉化為低階控制訊號。該模型包含了編碼器和低階控制器，可分別把未來動作軌跡壓縮進運動意圖，並依代理程式狀態及現有運動意圖，產生下個動作。DeepMind表示，他們的方法讓「球員」從追球技能開始學習合作，包括靈敏的移動、傳球及分工。球員們展現出靈敏的高頻運動控制，及摻雜預期隊友行為的長期決策，形成足球的團體戰。<a href="https://www.deepmind.com/blog/from-motor-control-to-embodied-intelligence">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/630f66e86725db418b6d33f0_Football%20blog%201.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 讀腦 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta新AI可解碼大腦3秒活動的對應語音</strong></span></p> <p>Meta開發一套新模型，可在3秒的大腦活動中，從793個單字字彙表中，解碼出相對應的語音片段，前10名單字的準確率高達73％，涵蓋了大部分日常用字。這套AI的特別之處，在於非侵入條件下，從大腦活動中解碼語音。</p> <p>Meta先以比對學習技術訓練模型，再用該模型對齊大腦活動紀錄和語音，來判斷語音。進一步來說，團隊使用自家開發的模型wave2vec 2.0，來辨識聽有聲讀物受試者大腦中的語音表達，也就是非侵入性的腦電圖和腦磁波儀紀錄。結果顯示，wav2vec 2.0能從語音，自動生成與大腦一致的語音表示，將大腦模型的輸出和語音的深度表示對齊，以此對出大腦訊號對應的語音。<a href="https://ai.facebook.com/blog/ai-speech-brain-activity/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DALL-E </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 延伸繪畫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>只有肖像不過癮，DALL-E模型新功能幫忙畫出下半身</strong></span></p> <p>OpenAI為文生圖模型Dall-E新添Outpainting延伸繪畫功能，可根據給定圖像的風格和視覺元素，延伸畫出原始圖像邊界以外的內容，使用者也能以自然語言描述，引導圖中的故事往新方向發展。</p> <p>OpenAI以《戴珍珠耳環的少女》為例，除了頭像之外，DALL-E延伸畫出了下半身和所處空間，將原圖的視覺元素如陰影、反射和材質等風格，都保留、呈現在延伸的繪畫中。OpenAI表示，目前超過100萬人使用 DALL-E，而新功能將進一步擴展使用者創造力。<a href="https://openai.com/blog/dall-e-introducing-outpainting/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/outpainting/draft-20220826a/girl-with-a-pearl-earring.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 吳恩達 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 論文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放 </span></strong></span></p> <p><span style="font-size:22px;"><strong>吳恩達：美論文開放政策將催生更多AI新進展</strong></span></p> <p>幾周前，美國白宮下達指令，要求政府資助的所有研究論文及相關數據，都得在2025年底前，在線上免費公開。AI專家吳恩達讚許這項政策，他表示，AI研究論文難得在幾年前，就已轉向免費公開的方向發展，特別是線上免費論文資料庫arXiv收錄全球大量的AI研究論文。他分析，論文發布有3個途徑，一是期刊論文，通常較長且嚴謹編輯、得經過同儕評審，會議論文（如NeurIPS和ICLR）則較短、不如前者嚴謹編輯，因此發布速度較快，而在arXiv上發布論文，則不需經同儕評審，可立即接觸到有興趣的研究者。</p> <p>這種快速發布、傳播的好處，讓研究者的投稿習慣從期刊，逐漸轉向會議和arXiv。雖然研究論文數量暴增，但想法的傳播，促成AI快速發展。雖然如此，吳恩達表示，當他要將AI應用至醫療、氣候變遷和其他領域時，仍會遇到惱人的期刊付費牆（Paywall），而白宮這項政策，可望打破這堵牆。他希望，AI和其他學科能因此更加速發展。<a href="https://read.deeplearning.ai/the-batch/issue-161/">（詳全文）</a></p> <p>圖片來源／Google、Le Parisien、紐約時報、DeepMind、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. PyTorch基金會成立，將管理深度學習框架PyTorch未來發展</strong></p> <p><strong>2. GitHub研究Copilot可加速55％開發速度</strong></p> <p><strong>3. 美擴大AI晶片出口中國禁令</strong></p> <p>資料來源：iThome整理，2022年9月</p> </div></div></div>
2022/9/15 14:19作者王若樸https://www.ithome.com.tw/news/153068
雲端通訊平臺Twilio宣布裁撤11%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.twilio.com/blog/a-message-from-twilio-ceo-jeff-lawson" target="_blank">雲端通訊平臺Twilio周三（9/14）宣布組織重整</a>，準備裁撤全球11%的人力，受到影響的員工將在當天收到通知，而此一組織重整的成本約介於7,000萬~9,000萬美元之間。<a href="https://investors.twilio.com/news/news-details/2022/Twilio-Announces-Second-Quarter-2022-Results/default.aspx" target="_blank">根據Twilio今年第二季的財報</a>，該公司截至今年6月底的全球員工數為8,510，代表將有超過930名員工被迫離職。</p> <p>Twilio主要提供客戶交流平臺（Customer Engagement Platform，CEP），以讓企業能夠以各種通訊方式與客戶互動，在全球21個國家經營，今年第二季的營收成長41%，達9.43億美元，虧損3.2億美元。</p> <p>Twilio執行長Jeff Lawson表示，該公司在過去幾年以驚人的速度成長，成長速度太快也讓他們未能充分聚焦於四大關鍵事項上，包括投資平臺的可靠及穩定性，提高傳訊的獲利能力，加速Segment的採用，以及擴大Flex客戶等，並使得現在必須作出裁員的困難決定。</p> <p>舉凡是非屬於上述四大優先目標的員工都可能受到波及，但所有被裁撤的員工都能領到12周的基本遣散費，每一年的年資可獲得額外的一周薪水，符合下一次的股權生效，此外，倘若Twilio新闢了職缺，也會專為這些員工建立一個申請管道。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001447669/000119312522244315/d380990d8k.htm" target="_blank">根據Twilio提交給美國證券交易委員會的文件</a>，此一組織重整的成本將介於7,000萬~9,000萬美元之間，整個程序將在今年底前完成。</p> </div></div></div>
2022/9/15 14:25作者陳曉莉https://www.ithome.com.tw/news/153069
勒索軟體Lorenz鎖定Mitel VoIP設備漏洞入侵企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arcticwolf.com/resources/blog/lorenz-ransomware-chiseling-in/" target="_blank">安全廠商近日發現</a>勒索軟體Lorenz利用加拿大業者Mitel的VoIP設備漏洞入侵企業網路，再運用微軟BitLocker加密工具加密企業機密資料，藉此向受害者勒索。</p> <p>Lorenz至少2021年2月起已開始活動，且常在加密及外洩企業資料後，行使雙重勒索。上一季，這個勒索軟體主要以美國中小企業為攻擊對象，也有少部分中國和墨西哥受害者。</p> <p>安全廠商Arctic Wolf研究人員近日發現Lorenz最新活動。駭客組織先是開採<a href="https://www.mitel.com/en-ca/support/security-advisories/mitel-product-security-advisory-22-0002" target="_blank">Mitel的MiVoice Connect產品的Service Appliance元件舊漏洞CVE-2022-29499</a>，以進入企業網路。接著取得反向shell（reverse shell），並運用開源快速TCP通道程式Chisel，建立受害目標機器和攻擊主機的連線，以便下達指令，並將竊得的資料外傳。</p> <p class="rtecenter"><a href="https://www.mitel.com/en-ca/support/security-advisories/mitel-product-security-advisory-22-0002" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0915-Mitel%20MiVoice%20Connect%20Vulnerability-CVE-2022-29499.png" style="width: 600px;" /></a></p> <p>值得一提的是，駭客並非馬上行動，而是等了將近一個月才開始接下來的行動。攻擊者設法蒐集到本地管理員及網域管理員權限的用戶帳密，以便在受害者網路中，以RDP協定橫向移動，最後來到網域控制器。</p> <p>駭客在加密企業資料之前，先以管理員帳密及開源工具將企業資料傳送出去，接著，攻擊者在網域控制器上，利用微軟Bitlocker磁碟加密（BitLocker drive encryption）技術加密受害者資料。同時受害者環境下數臺VMware ESXi 主機也遭到Lorenz感染。利用雙重勒索，攻擊者可以先向受害者勒索，若後者不付贖金，則駭客會將手中的資料公諸於世，或是在地下網站兜售。</p> <p>Mitel設備的CVE-2022-29499漏洞今年6月也曾遭駭客開採。這家廠商已在今年4月發布MiVoice Connect軟體19.3版修補漏洞。<a href="https://www.ithome.com.tw/news/149786" target="_blank">今年3月另一家廠商發現</a>駭客對Mitel裝置發動可放大40億倍的DDoS流量攻擊。</p> <p>研究人員指出，由於企業的重要機器，像是網域控制器和網頁伺服器已經有嚴密監控，迫使駭客轉向監控較不嚴密的設備，像是VoIP裝置或物聯網（IoT）機器，藉此駭入企業網路。</p> <p>除了更新VoIP等網路周界設備軟體，Arctic Wolf研究人員也建議，不要將重要機器直接曝露在外網，並建議企業留心PowerShell的Log活動，同時避免將重要權限儲存在低階設備上，以減少被駭客取得而於網路橫向移動的風險。</p> </div></div></div>
2022/9/15 12:39作者林妍溱https://www.ithome.com.tw/news/153064
南韓法院對Terraform Labs創辦人發出逮捕令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-09-14/south-korea-seeks-the-arrest-of-terraform-labs-founder-do-kwon" target="_blank">《彭博社》</a>（Bloomberg）與<a href="https://www.ft.com/content/7a8f63e8-b337-4685-81fb-36054b05f651" target="_blank">《金融時報》</a>（Financial Times）報導，南韓法院已針對Terraform Labs共同創辦人Do Kwon，以及其它5名與Terraform Labs相關的人士發出逮捕令，原因是他們違反了南韓的市場資本法令。</p> <p>Kwon出生於南韓，之後曾就讀美國史丹福大學的電腦科學系，他在2019年與南韓團購網站Ticket Monster創辦人Daniel Shin於新加坡共同創立了Terraform Labs，打造Terra演算法穩定幣生態體系，透過其姐妹幣Luna來維持與各種法幣的錨定，並另外發行了Terra USD（UST）穩定幣。</p> <p>然而，<a href="https://www.ithome.com.tw/news/150911" target="_blank">今年5月時</a>，原本應錨定美元的UST在一周內只剩0.13美元，用來平衡UST的Luna也從60美元崩至0.01美元，由於UST與Luna有許多韓國投資人，再加上此事造成許多當地投資人自殺，而讓<a href="https://www.ithome.com.tw/news/151063" target="_blank">南韓很快就啟動調查</a>，隨之在<a href="https://www.ithome.com.tw/news/151557" target="_blank">今年6月限制Terraform Labs員工出境</a>。</p> <p>Terraform Labs也被投資人控告金融詐欺，指出該公司在設計與發行UST時，已經知道它含有設計漏洞與演算法缺陷，但不僅未於專案白皮書中呈現，還無限擴大Luna的發行量。</p> <p>根據報導，被發出逮捕令的6人目前都位於新加坡，但新加坡與南韓之間並無雙邊引渡協議，兩國可能透過其它方式合作。</p> <p>其實在UST與Luna崩盤後，<a href="https://twitter.com/terra_money/status/1529451631263174656" target="_blank">Kwon又發表了Terra 2.0</a>，打造一個去除演算法穩定幣的新區塊鏈，還發行了新的Luna代幣，但在逮捕令的消息傳出後，新代幣的價格又跌至2.23美元，下滑了48.4%。</p> </div></div></div>
2022/9/15 11:28作者陳曉莉https://www.ithome.com.tw/news/153056
加州對Amazon提出反壟斷訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oag.ca.gov/news/press-releases/attorney-general-bonta-announces-lawsuit-against-amazon-blocking-price" target="_blank">加州檢察長Rob Bonta周三（9/14）對Amazon提出了反壟斷訴訟</a>，指出Amazon與商家之間制定了價格協議，不僅壓制商家、造成其它電子商務網站無法與之競爭，也讓消費者承擔了更高的價格。</p> <p>Amazon為美國的電子商務龍頭，在美國3.3億個人口中，就有1.6億個是Amazon Prime會員，加州則占了2,500萬個。調查顯示，具備Prime會員的消費者有高達96%更可能選擇在Amazon購物，就算不具Prime會員資格，也有74%的消費者要購買特定商品時會直接造訪Amazon。</p> <p>Amazon在美國消費市場的重要性也讓它成為商家的必要通路。然而，Amazon卻要求商家簽署價格協議，要求商家不得在第三方平臺提供低於Amazon的價格，否則就得面臨處罰，例如必須補償Amazon，或者失去「黃金購物車」（Buy Box）資格，甚至是調降排序或終止上架等。</p> <p>Bonta認為，商家除了接受Amazon的要求之外別無選擇，這將賦予Amazon提高售價並降低商品品質的能力，而且還能保有商家與客戶。事實上，即有商家向加州抱怨，就算是在自家或其它電子商務平臺上架的成本較低，而能以更低的價格銷售，都不見容於Amazon。</p> <p>加州希望法院要求Amazon不得再逼迫商家簽署違反市場競爭的價格協議，並指派監督人員以確保Amazon遵守該法令，同時也要Amazon歸還不法所得、支付罰款，以及賠償消費者的損失。</p> </div></div></div>
2022/9/15 10:19作者陳曉莉https://www.ithome.com.tw/news/153052
全家史上最大規模POS改造，不只砸上億導混合雲，雙模式三大設計一機通吃大小店種和戶外擺攤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣超商巨頭今年紛紛進入了十年一度的POS升級潮，全家便利商店（以下簡稱全家）甚至展開了史上最大規模的POS資訊架構翻新，不僅同時更新POS機前後臺軟硬體，還強化店面無線網路建設作為POS機異質備援，並斥資1億投資混合雲的全新POS系統架構。</p> <p>全家POS機上次更新是10年前。全家數位科技暨企劃部部長陳盈州說，過去POS軟硬體更新時程各自獨立，這次軟硬體和基礎系統建設同時大翻新，就是為了支援更多現代便利商店服務，來發展更多新零售服務模式。</p> <p>今年7月，全家新世代POS機「NexT POS」已導入近500家店面，約占總店面數的八分之一。因為更新規模龐大，沒有一次是全面導入，而是採分批、分散的導入策略，就算發生小規模系統維護當機事件，也能降低影響，並從中找到更好的優化做法。全家未來預計以每月700到1,000家的速度，於今年底完成全臺門市鋪機。</p> <p><strong>斥資1億打造混合雲架構，加速服務速度，更能支援新服務模式</strong></p> <p>為了提供更即時、更穩定的服務，全家斥資了1億元打造POS的混合雲架構，未來還計畫將服務容器化，能因應特定活動檔期需求，更有效利用系統資源。</p> <p>全家看上POS混和雲架構幾項優點，不只可以降低尖峰時段的當機風險，也可以在雲端分攤端點的運算，將端點硬體輕量化後，讓實體服務更加行動化。</p> <p>陳盈州舉例，限時的咖啡買一送一促銷活動，會讓手機App兌換咖啡功能的尖峰流量暴增到離峰的100倍以上，就能靠雲端資源，來維持服務不中斷。</p> <p>全家更趁機打造了可攜式迷你POS機，利用規模較低的硬體，將許多功能改由雲端負責運算，就可以提供與一般POS機完全相同的功能。</p> <p>這款全功能的行動化POS機，開啟了不同於過往便利商店的服務模式。例如，結帳動線可不受店內固定櫃檯，當結帳隊伍過長時，店員能帶著迷你POS機走進排隊顧客結帳，或改到店內空曠處結帳、收貨，甚至走到戶外提供店內的實體服務，能在快閃攤位、車上便利超商等非店面的零售模式中應用。</p> <p>新的混合雲架構強化了後端系統的效能，全家也將原本在POS機上運算的部分功能，改由後端系統接手，能更快將運算結果同步到各端點裝置上，讓店內POS機和多媒體事務機，可以與顧客手機App之間的資訊同步更即時，方便日後推出更多元、更注重即時性的OMO服務。</p> <p><strong>POS機內建無線網路，搭配光纖和4G備援，更能走到戶外支援流動商店</strong></p> <p>不只整體資訊架構大升級，新一代POS機也全面內建無線網路功能，不像過去只有部分特製版才配置。為了確保線上即時交易的穩定性，全家也大幅提升店舖網路，在導入新款POS機的店舖中，配置了光纖網路與4G行動通訊網路，一方面支援客用Wi-Fi服務，還能提供作為異質備援網路。</p> <p>陳盈州說，由於4G訊號覆蓋率較高，目前行動通訊以4G為主，但硬體架構也支援5G訊號，隨著5G應用普及率跟必要性提高後，可以隨時升級。</p> <p>有了無線網路功能，新款POS機更容易從傳統店面帶到不同戶外場域運行。例如，全家近期推出的移動式便利商店Famimobi，就是以4G的無線基地臺作為中介，讓帶出店面的POS機資訊可以連線到附近店面的後臺系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmb.JPG" style="width: 600px;" /></p> <blockquote><p>全家近期推出的新零售模式實驗，把商品跟POS機搬到車上，成為移動式便利商店。此臺POS機為具備無線網路功能的特製舊POS機，無線功能在新POS機則成為標配。圖-全家提供</p> </blockquote> <p><strong>可轉動、可拆卸、對稱式設計，利於自助結帳</strong></p> <p>Next POS機也採用了一機兩模式的全新設計，可以自由在店員結帳和自助結帳模式間切換。</p> <p>在自助結帳模式下，不只透過POS螢幕上的UI介面，逐步引導消費者完成掃描商品、使用支付工具以及列印發票等步驟。全家更考量到不同的自助結帳情境，設計了可拆卸模組、可轉動螢幕以及對稱式機臺三大特性，要讓自助結帳流程更順暢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/15%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <blockquote><p>全家POS機切換到自助結帳模式的專用UI，逐步引導消費者結帳。圖-洪政偉攝</p> </blockquote> <p>陳盈州解釋，通常店員不在結帳櫃檯時，才需要開啟自助結帳模式。在這個情境下，Next POS螢幕能夠大幅轉向，讓店員站在門市其他地方也可看到螢幕，不只能口頭協助消費者操作，也能即時出現異狀時作出反應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NExT%20POS%20(3).png" style="width: 600px;" /></p> <blockquote><p>全家新POS機的螢幕架在旋轉軸上，可以任意轉動。圖-全家提供</p> </blockquote> <p>另一項用來支援不同店種自助結帳情境的設計是，POS機可拆卸為數個小模組。全家POS機核心模組包括了電腦及螢幕主體、發票機以及讀卡機等電子支付工具。這些模組都可以任意拆卸和重新組裝，不僅在維護和清潔時更加容易，甚至能從收納現金的基座上拆下來，單獨作為自助結帳機。如此一來，任何大小跟結帳走道數的店種，都能用同一款結帳機臺，全家將直接淘汰現有的自助結帳專用機，來節省專用機的生產跟維護成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/554612.jpg" style="height: 450px;" /></p> <blockquote><p>全家現行自助結帳專用機。新POS機可拆卸為純自助結帳機，取代這些專用機。圖-郭又華攝</p> </blockquote> <p>模組化的POS機也可以實現第三項的機臺對稱式設計，再進一步優化消費流程。全家結帳走道的空間配置是，POS機在兩側，櫃檯桌面在中間，左右兩臺POS機臺可組裝成左右對稱的方式，消費者站在櫃檯桌面前結帳，掃描器和讀卡機等硬體位置都處於鄰近消費者桌面的一側，兩個螢幕則在較遠的外側，體驗較為順暢，可用的桌面空間更大。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pos%20para.png" style="height: 300px;" /></p> <blockquote><p>由於模組可拆卸並重新組裝，全家新POS機可以組裝成對稱的樣子，也能拆掉底座化為純自助結帳機。圖-全家提供</p> </blockquote> <p><strong>提升運算速度並降低店員操作難度，來增加服務效率</strong></p> <p>用了10年的機臺逐漸老化，但是，越來越多的現代化零售服務需要整合到POS機，例如電子支付，也讓大部分超商前代POS機的結帳處理不勝負荷，甚至運算延遲甚至停頓，因此，結帳效率也是全家新款POS機的優化重點。新款POS機不僅強化了硬體運算能力，還大幅更新前後臺系統中介軟體，來提升可靠性和效率。全家表示，新POS系統結帳效率較舊系統提升了3倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/19_%E5%85%A8%E5%AE%B6%E4%BE%BF%E5%88%A9%E5%95%86%E5%BA%97_POS%E7%A1%AC%E9%AB%94_20220818_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <blockquote><p>全家Next POS外觀，儘管讀卡機等硬體並未更新，但全家新POS機計算能力大幅加快，還是讓電子支付順暢度提升。圖-洪政偉攝 </p> </blockquote> <p>不只強化軟硬體規格，全家新POS機的介面也有不少優化，來降低店員操作難度。例如，全家盤點POS機實體鍵盤功能使用率後，將鍵盤功能從88鍵濃縮到40鍵，移除消費者客層紀錄等過時功能，並轉移剩餘功能至螢幕選單中。新POS機採用了更高解析度的螢幕，能在UI中容納更多功能按鈕，即使功能增加，店員仍無須在層層選單中尋找選項。在16比9的直式螢幕中，操作介面跟詳細資訊會分別顯示到螢幕上下半邊，可以比過往4比3的螢幕更清晰易懂。</p> <p>考慮到現代便利商店服務繁多，店員學習門檻較高，全家更在新款POS機中安裝了語音辨識系統，未來將開發店員口說查詢POS機功能的系統。另外，新POS機也可以整合第三方的外來服務，例如，全家計畫整合外送平臺的服務到POS機，讓店員可以一站式處理所有事務，而不需要時時盯著多款終端設備。</p> <p><strong>即時本地數據驅動邊緣運算，自動建議進貨內容</strong></p> <p>除了消費者體驗相關的提升，新款POS也搭配了新的後臺系統，全面內建了訂購建議系統，供店長進貨時的參考。</p> <p>便利商店品項繁多，每逢進貨時，需要盤點所有品項銷量及庫存，結合店長經驗綜合判斷後才能列出一次進貨的清單。陳盈州說，就算是經驗豐富的店長，整個過程也需要30分鐘，不熟稔的新手店長甚至得花上2小時，相當麻煩。</p> <p>全家在2018年時，曾在科技概念店導入建議訂購系統，現在進一步成了Next POS新後臺系統的內建功能。新POS後臺可以考量到店面附近的天氣、最近的節慶、近期及過往銷售紀錄、即時庫存，甚至是商品還沒到店的進貨訂單等資訊，預測出這家店鋪的未來銷售情況，來提供最佳的進貨建議，甚至提供一鍵下單功能，來省下店長大量的作業時間。</p> <p>除了利用即時數據做訂購推薦，陳盈州說，未來全家還可能發展出會員提醒功能，在結帳時可以讀取會員相關資訊，提醒已到貨的包裹、推薦點數兌換商品等專屬訊息，提供消費者更個人化的體驗。</p> <p><strong>用人臉辨識驗證操作者身份，未來還要發展無人收銀及生物辨識支付</strong></p> <p>過去，全家POS機是用鑰匙解鎖，水電工等外部廠商的工作人員則是用ID證件來驗證身分。不過鑰匙和ID證件都可能遭竊，安全性不足。新POS機則利用人臉辨識，來驗證店員及外部工作人員的身分。</p> <p>除了用作安全身分認證，未來隱私權法規更為明朗後，全家還計畫利用影像辨識技術，發展無人收銀服務以及生物辨識支付功能。</p> </div></div></div>
2022/9/15 10:36作者郭又華https://www.ithome.com.tw/news/153053
微軟推出在電腦鎖定時安裝Microsoft 365更新的方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於企業用戶經常使用電腦，而無暇安裝應用程式安全或功能更新，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/update-under-lock-improved-update-experience-for-microsoft-365/ba-p/3618901" target="_blank">微軟本周公布了一項新方法</a>，即使用戶電腦鎖定或是開啟Microsoft 365 App也能安裝更新。</p> <p>企業用戶經常編寫例如Word文件，下班時間到了就把電腦鎖定，維持Word文件開啟狀態下離開，明天再繼續。過去這種狀態會使Office程式無法安裝功能或安全更新，日子一久可能累積大量更新未能安裝。名為update under lock的功能則可解決這類問題。</p> <p>這項新功能只適用於Microsoft 365 App，可在電腦閒置、處於鎖定模式，安裝待命中的應用程式更新，即使App正在執行中也沒問題。這項功能讓電腦在不中斷用戶作業下完成更新，可望減少做事做到一半被強制更新的困擾。</p> <p>update under lock功能是利用「隨選即用安裝」（Click-to-Run）技術。當Office欲安裝更新時用戶的Office App正在執行中，update under lock功能會在安全情況下安全關閉，安裝待命中的更新，之後再將App回復到先前的狀態，整個過程只需花4秒鐘。</p> <p>微軟說，update under lock沒有管理員控制的設計，已經過反覆測試過，目的在減少用戶為更新得中斷工作的困擾。用戶前一天若沒關閉文件，隔天打開電腦時，電腦也已經安裝好更新，可直接接續前一天的作業。</p> <p>微軟強調，Office應用程式無法安全關閉時，這項功能就不會強制關閉Office。例如文件有未儲存的更新或是正在執行巨集。當然這也意味著無法正常安裝更新。</p> <p>這項功能會影響Microsoft 365訂閱戶、Visio、Project，以及零售消費者及永久單機版的Office 2016、2019 及2021，以及透過以下通道更新的所有裝置，包括「目前」通道Version 2019以後、每月企業通道Version 2112以後、以及半年企業通道（預覽）Version 2202以後，以及半年企業通道Version 2202以後。</p> </div></div></div>
2022/9/15 10:37作者林妍溱https://www.ithome.com.tw/news/153054
macOS Safari 16.0發布，正式支援通行金鑰簡易登入方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://webkit.org/blog/13152/webkit-features-in-safari-16-0/">Safari 16.0</a>現在正式在macOS Monterey以及Big Sur上發布，用戶已經可以用到WebKit更新在Safari中帶來的新功能，其中最大亮點便是支援無密碼登入的通行金鑰（Passkeys）功能，另外，Safari 16現在也提供容器查詢，使得開發者能夠知道當前容器布局的大小。</p> <p>通行金鑰是一種簡單，但同時又能大幅提高使用者安全性的登入方法，通行金鑰是根據FIDO聯盟和W3C的開放標準，包括已在瀏覽器中受到廣泛支援的WebAuthn標準所定義，WebKit官方提到，通行金鑰是一個被廣泛使用的詞，開發者現在可以在既有的身分驗證方法，添加通行金鑰選項。</p> <p>通行金鑰的認證過程，需要開發者先在後端儲存公鑰後，發出身分驗證詢問，接著在開發者的網站或是網頁應用程式上，透過採用API創建新的通行金鑰，並允許使用者使用他們的通行金鑰登入。官方提醒，當網站已經支援使用帶有WebAuthn的平臺身分驗證器，則在添加通行金鑰支援的時候，要注意不要使用Cookie來紀錄用戶在特定裝置上配置的通用金鑰，同時鼓勵將通行金鑰當作主要的登入方式。</p> <p>通行金鑰的支援已是必然的趨勢，FIDO聯盟和W3C共同制定了無密碼登入標準，Apple、Google和微軟共同宣布將擴大對FIDO的支援，由於這三巨頭同為FIDO聯盟董事會成員，因此在無密碼推動上將更為有力，不久的將來無論使用者在任何裝置和平臺，皆不需要密碼就能登入網站服務和程式。</p> <p>WebKit現在完全支援解析度媒體查詢，簡單來說，這項功能讓開發者可以根據不同裝置不同螢幕解析度配置CSS樣式，另外一個類似的新功能稱為容器查詢，該功能讓開發者可以根據容器的大小而非視埠（Viewport）大小，調整網頁上特定項目的布局和樣式。</p> <p>另外，WebKit也新增支援Subgrid，官方提到，CSS Grid徹底改變了網頁布局設計，而Subgrid則將Grid帶到另一個層次。Subgrid是一個簡單的方法，供開發者將網格容器的子孫元素放到該網格上，使開發者可以跨複雜布局，在不受HTML的限制下排列項目。</p> <p>Safari 16開始支援網頁檢視器（Web Inspector）擴充套件，開發者可以進一步強化Safari內建的網頁開發人員工具，在macOS的App Store上，於Safari分類下的Safari Extensions，就能探索各種有用套件。</p> <p>在這個Safari版本，還添加了彈性盒子檢視器（Flexbox Inspector），該檢視工具與Safari 15.4添加的對齊編輯器可良好搭配，Flexbox Inspector以視覺化方式區分多餘的可用空間以及Flex空隙，同時還能顯示項目的邊界，以顯示這些項目在Flexbox容器的主軸（Main Axis）和切軸（Cross Axis）上的分布狀況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/flexbox-inspector-dark-1024x606.png" style="width: 580px;" /></p> </div></div></div>
2022/9/14 23:13作者李建興https://www.ithome.com.tw/news/153040
Windows Terminal 1.16加入樣式主題概念，更換預設文字渲染引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Build 2019大會所發布的虛擬終端<a href="https://devblogs.microsoft.com/commandline/windows-terminal-preview-1-16-release/">Windows Terminal</a>，現在更新版本來到1.16，這個版本的更新重點仍然集中在UI改善上，引入了主題（Theming）的概念，另外，Windows Terminal也全面採用新的文字渲染引擎，不只能夠顯示粗體文字、上下底線，甚至能呈現復古風格的文字。</p> <p>主題是一個全域屬性，其中包含各種主題物件，這些物件將出現在外觀配置頁面的主題下拉列表中，官方提到，雖然目前主題只能以JSON檔案進行編輯，但是這些主題會出現在配置UI的主題下拉選單中。</p> <p>使用者可以透過修改主題中的分頁籤物件，來修改分頁籤的設定，分頁籤支援background、unfocusedBackground和showCloseButton三種屬性，前兩者屬性讓用戶可以設定分頁籤的背景顏色，以及在非焦點狀態時的顏色呈現，showCloseButton則能控制分頁籤關閉按鈕的樣式。</p> <p>分頁籤列也能修改樣式，也提供了background、unfocusedBackground兩種屬性，使用戶可以調整在焦點與非焦點狀態下的顏色。而主題中還有視窗物件，透過調整applicationTheme屬性，用戶可以指定終端視窗的顏色。微軟開發團隊也調整了Windows Terminal的預測配色，目標是要讓外觀更有重點，且Windows Terminal將預設使用深色主題，而非採用系統的設定。</p> <p>在Windows Terminal 1.13版本實驗的新文字渲染引擎，現在於這個最新版本，已經成為預設文字選染器，官方提到，新的渲染器不只效能更好，而且支援額外的畫素著色器，提供類似復古特效，也能夠顯示粗體文字、上下底線和超連結線，但是當用戶的電腦沒有GPU，或是遠端連接沒有GPU的虛擬機器，則系統會自動回退到不需要硬體加速的高效能模式。</p> </div></div></div>
2022/9/14 23:15作者李建興https://www.ithome.com.tw/news/153046
【資安日報】2022年9月14日，趨勢企業防毒軟體漏洞已出現攻擊行動、研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技針對企業防毒軟體Apex One用戶發布資安通告，指出已在4月修補的漏洞被用於攻擊行動，呼籲用戶應儘速安裝新版的伺服器元件，以及用戶端的代理程式。</p> <p>針對特斯拉電動汽車進行中繼攻擊，然後將車門打開的情況，這幾年已有多組研究人員找到相關手法，而最近有研究機構發現新的攻擊途徑，當中最大的不同之處，就是偷車賊必須兵分兩路，同時接近車輛與車主，而有可能在人車分隔兩地的情況下將車偷走。</p> <p>網管人員用於遠端管理的工具PsExec，已出現被駭客濫用的情況，現在有研究人員指出，光是封鎖該工具主要使用的445埠，有可能無法防堵相關攻擊！對此，他們呼籲IT人員也要監控RPC連線行為來察覺疑似遭到攻擊的跡象。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://act-on.ioactive.com/acton/attachment/34793/f-6460b49e-1afe-41c3-8f73-17dc14916847/1/-/-/-/-/NFC-relay-TESlA_JRoriguez.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露解鎖特斯拉Model Y的中繼攻擊手法</span></a></strong></h3> <p>特斯拉標榜他們車輛的網路安全防護措施，而能難以遭到破解，但現在又有研究人員找到能夠突破相關防護的手法。資安研究機構IOActive揭露針對特斯拉Model Y的NFC中繼攻擊手法，兩名偷車賊分工合作，一名靠近汽車，另一名則試圖接近車主（距離2呎內），進而透過車主持有的NFC鑰匙卡片，或是能夠解鎖車輛的手機，將Model Y解鎖。</p> <p>靠近汽車的駭客使用名為Proxmark 3 RDV4的通訊設備，啟動駕駛座門柱上的NFC接收器的連線，並將相關訊號以Wi-Fi或藍牙傳送到另一名駭客所持有的手機，目的是與車主的NFC卡片或手機通訊，然後將訊號回傳到汽車進行解鎖。</p> <p>研究人員指出，這樣的手法，有可能讓駭客在車主與Model Y相隔兩地的情況下，藉由網際網路來發動攻擊。不過，若是車主啟用PIN碼保護功能，就有機會防堵駭客以上述手法開走車輛，但小偷仍能打開車門竊取貴重物品。</p> <h3><strong style="font-size: 22px;"><a href="https://censys.io/the-neverending-story-of-deadbolt/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt攻擊行動兩個月爆增近7倍，臺灣受害設備數量全球排行第4</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/daedbolt-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/daedbolt-image3.png" style="width: 300px; float: right;" /></a>主要鎖定威聯通NAS的勒索軟體Deadbolt，大規模的攻擊行動今年已出現數起，但相關威脅到了9月初有急劇惡化的現象。</p> <p>根據資安業者Censys的觀察，在6月27日有2,459臺設備遭到感染，到了7月10日一舉增加至3,214臺，於7月13日更突破7千大關。但值得留意的是自9月2日開始，針對CVE-2022-27593的零時差漏洞攻擊出現，遭到感染的設備數量首度破萬，達到13,802臺，3日、4日更增加到了18,725臺、19,029臺的高峰。換言之，經過兩個多月，DeadBolt感染設備數量增加了約674%。</p> <p>而從受害設備的地區分布來看，美國最多，其次是德國與義大利，臺灣設備的數量為第4多。</p> <h3><strong style="font-size: 22px;"><a href="https://pentera.io/blog/135-is-the-new-145/"><span style="color: rgb(0, 0, 0);">駭客透過RPC呼叫的方式執行PsExec，將突破許多企業封鎖的445埠</span></a></strong></h3> <p>企業的IT人員所使用的遠端管理工具PsExec，也可能成為駭客利用的對象，用來執行、散播惡意程式，但現在有研究人員揭露新的攻擊手法，而讓組織更加難以防範相關威脅。</p> <p>資安業者Pentera藉由以Python打造的網路通訊套件Impacket，讓原本主要使用445網路連接埠執行的PsExec，完全改以135埠執行，從而突破許多IT人員封鎖445埠來防堵駭客將其用於寄生攻擊（LOLBins）的情況。研究人員打造的PsExec變種改以RPC呼叫的方式連線，無須使用SMB協定與445埠就能執行傳輸資料，而能突破許多網路防護系統的監控、封鎖。</p> <p>該公司認為，RPC呼叫經常被企業忽視而沒有採取適當的監控，他們呼籲管理者應密切監控這種駭客偏好的網路通訊協定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291528?language=en_US"><span style="color: rgb(0, 0, 0);">趨勢科技企業防毒軟體已知漏洞遭到駭客利用</span></a></strong></h3> <p>趨勢科技於9月13日，針對企業防毒軟體Apex One的用戶發布資安通告，該公司於4月進行修補的CVE-2022-40139已出現攻擊行動，呼籲用戶應儘速安裝更新軟體。此漏洞與用戶端程式的版本復原機制有關，起因是部分元件會出現不適當驗證，攻擊者可透過伺服器管理員身分，要求存在漏洞的用戶端電腦下載未經驗證的版本復原套件，進而執行任意程式碼，CVSS風險評分為7.2分，無論是企業內部建置或是採用SaaS雲端服務的版本都受到影響。</p> <p>除了上述已遭利用的漏洞，這次趨勢也修補了5個漏洞，其中最嚴重的是登入驗證旁路漏洞CVE-2022-40144，CVSS風險評分為8.2分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2022-patch-tuesday-fixes-zero-day-used-in-attacks-63-flaws/"><span style="color: rgb(0, 0, 0);">微軟公布9月例行修補，揭露64個漏洞的資訊與緩解措施</span></a></strong></h3> <p>9月13日微軟發布了每月例行修補（Patch Tuesday），總共修補了64個漏洞，其中有5個為重大等級，值得留意的是，有3個為已被公開細節的零時差漏洞，且當中的CVE-2022-37969被用於攻擊行動。</p> <p>此遭到利用的漏洞與通用記錄檔檔案系統（CLFS）有關，可被攻擊者用於擴張權限，駭客往往會透過社交工程攻擊，誘導使用者開啟連結來觸發漏洞，甚至有可能接管受害電腦。雖然微軟沒有透露該漏洞被用於攻擊的廣泛程度，但有4名資安人員向微軟通報，代表可能有多組駭客已經開始用於攻擊行動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://teamt5.org/tw/posts/team-t5-expands-its-cyber-threat-intelligence-solutions-securing-series-a-funding/"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5引進日本創投6百萬美元A輪策略性募資</span></a></strong></h3> <p>9月14日，臺灣資安業者杜浦數位安全（TeamT5）舉辦線上記者會宣布，他們獲得日本大型創投業者Jafco、伊藤商事，以及當地大型資安業者Macnica的A輪創投資金，預計募資金額超過600萬美元。TeamT5創辦人兼執行長蔡松廷（TT）表示，獲得這筆資金後，他們將在2年內站穩日本市場，並建立相關團隊，待日本子公司營收超越總公司時，再進行B輪募資。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://cloud.google.com/blog/products/identity-security/google-completes-acquisition-of-mandiant"><span style="color: rgb(0, 0, 0);">Google宣布完成併購Mandiant</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://newsroom.trendmicro.com/2022-08-31-Trend-Micro-Warns-of-75-Surge-in-Ransomware-Attacks-on-Linux-as-Systems-Adoptions-Soared"><span style="color: rgb(0, 0, 0);">RaaS攻擊數量爆增，根據趨勢科技調查，今年上半增加近一倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://binarly.io/posts/Binarly_Finds_Six_High_Severity_Firmware_Vulnerabilities_in_HP_Enterprise_Devices/index.html"><span style="color: rgb(0, 0, 0);">研究人員揭露HP筆電韌體高風險漏洞，部分尚未獲得修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/u-haul-discloses-data-breach-exposing-customer-driver-licenses/"><span style="color: rgb(0, 0, 0);">貨車租賃業者U-Haul遭駭，客戶駕照資料外洩</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153016">【2022年9月13日】思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-32917</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152998">【2022年9月12日】研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏在受害電腦記憶體內運作</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152950">【2022年9月8日】 Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊</a></strong></strong></strong></p> </div></div></div>
2022/9/14 16:52作者周峻佑https://www.ithome.com.tw/news/153039
Rust基金會獲OpenSSF和JFrog投資，將建立專門安全團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.rust-lang.org/news/2022-09-13-rust-foundation-establishes-security-team/">Rust基金會</a>由於獲得了OpenSSF Alpha-Omega資金，以及最新白金級成員DevOps工具廠商JFrog的加入，使得Rust基金會有能力建立一支專門的安全團隊，針對Rust程式語言的安全性下功夫，繼續維持Rust一直以來所提供的安全性。</p> <p>Rust基金會執行董事Bec Rumbul提到，外界普遍對Rust的誤解，是認為因為Rust是一種記憶體安全的程式語言，因此具有100％的安全性，但事實上，Rust也和其他程式語言一樣容易受到攻擊，因此需要採取積極措施持續增加安全性。</p> <p>而現在Rust基金會獲得OpenSSF Alpha-Omega倡議組織的支援，該組織與開源專案和維護者合作，提高全球軟體供應鏈的安全性，另外，JFrog也成為Rust基金會最新白金級會員，對Rust基金會和生態系進行投資。</p> <p>Alpha-Omega和JFrog的投資包括提供專門的員工資源，這使得Rust基金會能夠創建和實作安全最佳實踐。Alpha-Omega倡議組織向Rust基金會提供一筆專門的資金，用於聘請一位專門的安全工程師。Alpha-Omega是由Google和微軟資助，目標是透過直接參與，來提高開源軟體專案的安全性。</p> <p>而JFrog作為白金級會員，其中一部分的貢獻則是承諾其安全研究團隊成員，會加入Rust基金會的安全團隊，共同改進Rust安全性。目前Rust基金會白金級成員，除了最新加入的JFrog，還有AWS、Google、華為、Meta、微軟和Mozilla。</p> <p>新安全團隊的第一項措施，便是要進行安全稽核和威脅建模演練，找出最經濟維護安全的方式，同時，該團隊還將倡導Rust生態系的安全實踐，包括Cargo和Crates.io，為維護者社群提供資源。Rust基金會的安全團隊能以更高規格的安全人才，支援廣泛的Rust社群，使更多人從Rust的可靠性中獲益，Bec Rumbul表示，現在只是一個開始，在未來幾個月和數年內，都會持續建設團隊。</p> </div></div></div>
2022/9/14 16:43作者李建興https://www.ithome.com.tw/news/153036
Linux基金會宣布將建立OpenWallet基金會促進開源錢包互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會宣布將新成立一個名為<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-an-intent-to-form-the-openwallet-foundation">OpenWallet的基金會</a>，該基金會的目標是要支援互通性開源數位錢包的開發。</p> <p>OpenWallet基金會要開發一個安全且多用途的開源引擎，讓任何人都可以利用該引擎建構具互通性的錢包，透過在開源程式碼上的協作，替數位錢包技術配置最佳實踐，打造可互通、安全和隱私保護錢包的基礎。</p> <p>OpenWallet基金會的發起人是yes.com的執行長Daniel Goldscheider，他提到，透過OpenWallet基金會，他們推動讓各種數位錢包都能使用共同核心。OpenWallet基金會本身並不打算發布錢包，也不提供憑證或是創建任何新標準，該社群將專注於建構開源軟體引擎，其他組織和企業則可以運用該引擎，開發自家的數位錢包，這些錢包將支援身分、支付到數位金鑰等各種使用案例。</p> <p>數位錢包是一種線上支付工具，通常是在行動裝置上運作的應用程式，諸如Apple Pay和Google Pay等都是一種數位錢包，除了支付外，通常也能收藏入場券、會員卡、優惠券，甚至是身分證件和車鑰匙等憑證。</p> <p>Linux基金會執行董事Jim Zemllin則表示，他們相信數位錢包將會在未來的數位社會中發揮重要的作用，而開放軟體是互通性和安全性的關鍵，他們對OpenWallet基金會可發揮的潛力感到期待。</p> <p>該計畫已經獲得技術組織、公部門、產業垂直領域的公司以及標準化組織廣泛支持，包括Accenture、Avast、JCB和OpenID基金會等。這些組織將在OpenWallet基金會中，以安全性、隱私性和互通性的前提下，發展數位錢包促進商業變革，共同使OpenWallet成為數位錢包基礎設施開源基礎發展的濫觴。</p> </div></div></div>
2022/9/14 16:50作者李建興https://www.ithome.com.tw/news/153037
蘋果修補已遭開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201222" target="_blank">蘋果本周釋出</a>支援iOS 15.7、iPadOS 15.7、macOS Big Sur 11.7、macOS Monterey 12.6與iOS 16的安全更新，以修補這些作業系統的安全漏洞，包含一個已被開採的CVE-2022-32917。而這已是蘋果今年以來所修補的第8個零時差漏洞。</p> <p>CVE-2022-32917漏洞存在於核心（Kernel）中，將允許應用程式以核心權限執行任意程式碼，蘋果已藉由改善邊界檢查來解決該漏洞。一如既往，蘋果並未揭露太多漏洞細節，僅說這是由匿名研究人員所提報，並已被實際開採。</p> <p>此一漏洞影響iPhone 6s與之後的iPhone、所有版本的iPad Pro、iPad Air 2及之後的版本、第5代iPad與之後的版本，iPad mini 4與之後的版本，以及第7代的 iPod touch，此外，它也影響執行macOS Big Sur 11.7及macOS Monterey 12.6的Mac電腦。</p> </div></div></div>
2022/9/14 14:59作者陳曉莉https://www.ithome.com.tw/news/153032
推特前資安長：推特IT管理落後10年、4000名員工可存取用戶資料、無法追查到外國情報員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特前資安長Peiter Zatko繼<a href="https://www.ithome.com.tw/news/152666" target="_blank">上個月透過媒體揭露</a>這家社交平臺的資安管理問題後，昨（13）日又在<a href="https://www.judiciary.senate.gov/meetings/data-security-at-risk-testimony-from-a-twitter-whistleblower" target="_blank">美參議院聽證會上</a>爆出推特沒有測試環境、資訊管理落後，4000名工程師可以存取用戶資訊等驚人內幕。他也指出推特員工中有包括印度及中國的情報員，但他們當時追查不出來。</p> <p>外號為Mudge的Zatko 2020年加入推特擔任資安長一職，但今年1月遭推特炒掉。他說是此舉是公司對他試圖揭發平臺漏洞的報復行為。這次聽證會也是他第一次出現公眾媒體前。</p> <p>Zatko這次爆料內容，大致上和上個月對《華盛頓郵報》揭露的資訊雷同。他指出的問題包括資安管理混亂，他們不知道特定資料儲存在哪、或從哪來，因此無從做好資料防護，或是在用戶提出要刪除帳號時刪除用戶資料。他也提及在他任職資安長期間，就發現公司員工中有來自外國的情報員，像是印度以及至少一名替中國國家安全部工作的情報員。</p> <p>不過<a href="https://www.youtube.com/watch?v=6WwJL8Qsni4" target="_blank">這次聽證會</a>也有些新資訊。例如在被問及這些情報員能存取什麼資料時，Zatko指出，和許多公司不同的是，推特沒有所謂測試環境，一些新功能，都是直接在生產環境，利用線上資料部署。另外，推特資料散布在很多系統，但公司沒有資料存取控管政策，也因此，只要是工程師就能存取幾乎所有系統，取得線上資料。</p> <p>他在回答另一名參議員的詢問時指出，推特4000名工程師，可以存取平臺任何用戶線上資料，包括IP位址、即時位置、必要時也能假扮用戶，在對話中插入資料。雖然公司對工程師存取用戶資訊有基本資安要求，但他相信並沒有嚴格執行。</p> <p>Zatko點出，這家社交平臺的IT管理幾乎比同業落後至少10年。除了不知道資料儲存在哪外，當他們被外界告知員工中有外國情報員時，IT部門甚至無法抓出是誰，因為推特沒有系統存取登入管理，不知道誰、何時存取了什麼系統，以及下載了什麼資料。因此推特並「不是不願，而是無法」揪出內賊。此外，他也提及董事會及公司高層無法掌握IT系統營運動態，因為該公司有一種報喜不報憂的文化，系統出事不會向上呈報，上面的人只會收到用戶成長的好消息。</p> <p>對於推特對用戶資料管理之鬆弛，Zatko談及主管機關的介入很重要。他指出，美國當局如聯邦交易委員會（FTC）一次性的罰款對推特這種公司沒有嚇阻作用，他們會交罰款，但依然故我。他認為像法國主管機關CNIL對屢犯違規採取多次罰款，並像對臉書做出的營運限制才能達到制裁效果。</p> </div></div></div>
2022/9/14 15:23作者林妍溱https://www.ithome.com.tw/news/153033
微軟Patch Tuesday修補64個安全漏洞，當中一個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（9/13）釋出的9月Patch Tuesday修補了64個安全漏洞，本月只有5個重大（Critical）漏洞，但有3個已被公開的零時差漏洞，其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37969" target="_blank">CVE-2022-37969</a>則已遭到駭客開採。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37969" target="_blank">CVE-2022-37969</a>位於通用紀錄檔系統（Common Log File System，CLFS），是個權限擴張漏洞，<a href="https://www.zerodayinitiative.com/blog/2022/9/13/the-september-2022-security-update-review" target="_blank">根據趨勢Zero Day Initiative（ZDI）團隊的說明</a>，這類的漏洞通常採用社交工程攻擊手法，駭客誘導使用者開啟或點選連結，即可擴張權限並接管受害者系統。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37969" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0914-CVE-2022-37969.png" style="width: 450px;" /></a></p> <p>此外，儘管微軟通常不會揭露漏洞遭到攻擊的廣泛程度，但有4個不同的資安研究人員向微軟提報CVE-2022-37969漏洞，顯示該漏洞也許不只被用來進行目標式攻擊。</p> <p>至於5個重大漏洞中，<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34700" target="_blank">CVE-2022-34700</a>與<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-35805" target="_blank">CVE-2022-35805</a>存在於Microsoft Dynamics 365中，<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34721" target="_blank">CVE-2022-34721</a>與<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34722" target="_blank">CVE-2022-34722</a>存在於Windows Internet Key Exchange（IKE）中，另一個對<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34718" target="_blank">CVE-2022-34718</a>則藏匿於Windows TCP/IP。</p> <p>Windows TCP/IP為Windows中的網路協定套組，根據微軟對<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34718" target="_blank">CVE-2022-34718</a>的說明，駭客只要傳送一個特製的IPv6封包至一個啟用了IPSec的Windows節點，就可能展開遠端程式攻擊。此一漏洞主要影響同時啟用IPv6與IPSec的系統。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34718" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0914-CVE-2022-34718.png" style="width: 380px;" /></a></p> <p>至於存在於IKE中的兩個安全漏洞，都允許駭客藉由傳送特製的IP封包以執行遠端程式，其CVSS風險等值達9.8，但它們只影響IKEv1，並未波及IKEv2，由於Windows Server同時支援IKEv1與IKEv2，是故所有的Windows Server皆被影響。</p> <p>ZDI額外提醒Microsoft Edge用戶要記得修補<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-3075" target="_blank">CVE-2022-3075</a>，該漏洞波及所有採用Chromium的瀏覽器，包括Edge在內，Google已於9月釋出修補程式，但它並未被列在微軟的Patch Tuesday中。<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-3075" target="_blank">CVE-2022-3075</a>源自於Mojo中的資料驗證不足，因而允許駭客執行程式，且已遭到開採。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-3075" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0914-CVE-2022-3075.png" style="width: 450px;" /></a></p> </div></div></div>
2022/9/14 12:06作者陳曉莉https://www.ithome.com.tw/news/153029
IBM公布最新Linux大型主機強調更省電、更不占空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-09-13-New-IBM-LinuxONE-Servers-Help-Reduce-Energy-Consumption-as-Clients-Increasingly-Make-Sustainability-a-Business-Priority" target="_blank">IBM本周公布</a>最新搭載Linux的大型主機系統LinuxONE Emperor 4，強調節能、減碳等環保效益。</p> <p>IBM推出執行Linux作業系統的LinuxONE大型主機，在原有執行z/OS的z主機系列，訴求偏好開源平臺的企業及開發人員。IBM於2015年首度推出LinuxONE Emperor是此類系統最頂級者。最新的Emperor 4主打高擴充性的Linux與Kubernetes平臺，可在一臺System 1的系統中支援數千項應用負載，強調可大幅減少能源耗用。</p> <p>和<a href="https://www.ithome.com.tw/news/150272" target="_blank">z16</a>一樣，最新LinuxONE Emperor 4也搭載Telum抗量子破解處理器，最高可配置200 Telum處理器核心，比第3代增加10核，某些配置下更可高出9%。最大型的LinuxONE Emperor 4總系統容量在某些情況下，比第3代高17%，而在頂級配置的機種中，甚至可比前一代高40%。LinuxONE Emperor 4的快取子系統經過翻新，每核心提供的虛擬L3及L4快取，比第3代LinuxONE大1.5倍。此外每drawer的記憶體頻寬也高出50%。Telum處理器還可為專門的應用負載，像是on-chip AI processing提供額外運算資源，以及專屬的加密處理器，可為大量資料提供加密。</p> <p><a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/2/877/ENUSZG22-0002/index.html" target="_blank">IBM強調</a>，LinuxONE Emperor 4可同時提供向上擴充（scale up）及橫向擴充（scale out）效益，它可在單一System 1系統大小提供相當於x86伺服器2000核心的運算能力及擴充性，支援數百項應用負載，客戶可依需求開啟核心。和x86機器環境相較，IBM強調最新LinuxONE Emperor 4能源耗用減少75%、空間占用減少50%，而每年碳排量也減少850多公噸。</p> <p>IBM LinuxONE Emperor 4將在本周（9/14）全球上市，IBM預定明年第1季再推出LinuxONE入門及中階系統。</p> <p>IBM今天同時宣布IBM Cloud推出以LinuxONE為基礎的Linux虛擬伺服器IBM Cloud Hyper Protect Virtual Servers，讓IBM Cloud租戶可全權控制加密資料、應用負載及加密金鑰，強調連IBM也無法存取。</p> </div></div></div>
2022/9/14 12:46作者林妍溱https://www.ithome.com.tw/news/153030
NIST攜手Google以研發並開源供奈米及半導體研究使用的晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nist.gov/news-events/news/2022/09/nist-and-google-create-new-supply-chips-researchers-and-tech-startups" target="_blank">美國國家標準暨技術研究院（NIST）周二（9/13）宣布</a>，已與Google簽署了合作協議，將共同研發及生產可用來開發新奈米及半導體裝置的晶片，以供研究人員使用。</p> <p>NIST解釋，現代的電子裝置都是由許多元件堆疊而成，而最底層便是半導體晶片，該院與Google的合作將讓具有專門結構的底層晶片，可測量與測試其上的元件效能，涵蓋新型態的記憶體裝置、奈米感應器、生物電子，或是AI及量子運算所需的先進裝置。</p> <p>根據規畫，NIST將與研究人員共同設計40款不同的晶片，這些晶片將針對不同應用進行最佳化，並開源其電路設計，以讓研究人員得以不受限制地追求新想法，同時自由分享資料及裝置設計。</p> <p>NIST指出，專門設計與生產半導體的企業多半已可存取這類的晶片，只是其動輒高達數十萬美元的成本並非大學或新創研究人員可負擔，藉由導入一個消除授權費用的合法框架，再加上大量生產所造成的經濟規模，將會大幅降低相關成本。</p> <p>這些晶片將由美國晶圓代工廠SkyWater Technology負責生產，以130奈米製程生產直徑200釐米的晶圓，這是多數半導體廠都支援的標準尺寸，再由研究人員自行依照需求切割成數千個獨立晶片。Google將負責SkyWater Technology初期的生產設定成本，也會贊助第一輪的製造費用。</p> <p>NIST即將把既有的平面晶圓設計轉移到開源框架，不管是開源設計或是實體的晶圓都可望在未來幾個月出爐。</p> </div></div></div>
2022/9/14 13:09作者陳曉莉https://www.ithome.com.tw/news/153031
Google完成收購Mandiant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過數個月主管機關的審查，<a href="https://cloud.google.com/blog/products/identity-security/google-completes-acquisition-of-mandiant" target="_blank">Google Cloud本周宣布</a>完成對資安廠商Mandiant的54億美元收購。</p> <p><a href="https://www.ithome.com.tw/news/149768" target="_blank">今年3月Google宣布和Mandiant的收購案</a>。前身是FireEye的Mandiant提供安全偵測及回應平臺及偵測、管理服務。<a href="https://www.ithome.com.tw/news/152117" target="_blank">7月間本收購案獲得美國政府的許可</a>。</p> <p>Google表示，Mandiant的收購將可強化Google Cloud既有的安全服務，包括零信任安全方案BeyondCorp Enterprise、惡意軟體分析服務VirusTotal、雲端原生安全資訊與事件管理（SIEM）平臺Chronicle、安全監控及安全管理指引服務等，讓Google Cloud得以提供端對端的安全營運服務，以便企業在安全生命周期的每一階段都能獲得保障。</p> <p>例如Google分析客戶多雲及本地部署環境的遙測（telemetry）資料以分析異常活動，將可整合Mandiant威脅情報服務，後者集結22國的安全分析團隊、服務80餘國客戶。而Google Cloud的弱點或安全態勢（security posture）評估則可結合Mandiant的攻擊面管理服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0308-Mandiant%20Advantage%20Platform-4.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mandiant</span></span></p> <p>Mandiant將整合進Google Cloud，但Mandiant品牌則會獲得保留。</p> <p><a href="https://twitter.com/ShaneHuntley/status/1569348258383921152" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）主任Shane Huntley也表達歡迎</a>，期待與Mandiant團隊一起對抗安全威脅。</p> <p>兩家公司的合併目前還有一些爭議，其中Mandiant股東控告Mandiant，聲稱該公司對投資人提供的SEC文件中包含誤導及不完整聲明，企圖誘使他們同意與Google的合併。但這官司並未影響Mandiant和Google的合併。</p> </div></div></div>
2022/9/14 10:11作者林妍溱https://www.ithome.com.tw/news/153027
星巴克發表Starbucks Odyssey，試探Web3水溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://stories.starbucks.com/press/2022/starbucks-brewing-revolutionary-web3-experience-for-its-starbucks-rewards-members/" target="_blank">跨國連鎖咖啡品牌星巴克（Starbucks）周一（9/12）發表了Starbucks Odyssey</a>，這是星巴克會員服務星禮程（Starbucks Rewards）的數位延伸，它奠基於Polygon區塊鏈協定，也導入了非同質化代幣（Non-Fungible Token，NFT），試探Web3世界的水溫。</p> <p>根據星巴克的規畫，星禮程的會員可透過既有的憑證登入Starbucks Odyssey，並參與Starbucks Odyssey的旅程，該旅程由一系列的互動式遊戲或挑戰所組成，主要與咖啡或星巴克的知識有關，完成旅程的會員即可得到一個基於NFT的旅程戳章。Starbucks Odyssey亦允許會員直接以信用卡購買限量版的NFT戳章，這些具有收藏價值的戳章將由星巴克及所合作的藝術家共同設計，且不需使用加密貨幣，也無需建立加密貨幣錢包。</p> <p>每一個NFT戳章都會依照其稀有程度而具備不同的點值，並可於市集中交易。當會員所蒐集的戳章或點值愈高，所能參與的活動就愈多，例如參加虛擬的咖啡製作課程，得以購買獨特商品，甚至是參觀星巴克位於哥斯大黎加的咖啡農場。</p> <p>星巴克行銷長Brady Brewer指出，Starbucks Odyssey超越了只連結星巴克與會員的星禮程，進一步創造了一個屬於星巴克所有會員的社群。</p> <p>此外，Starbucks Odyssey採用的是基於權益證明（Proof of Stake，PoS）的區塊鏈技術，避開了近來因危害環境而受到各方撻伐的工作量證明（Proof of Work）模式。Starbucks Odyssey即日起開放給美國的星巴克會員與員工申請，預計於今年底正式上線。</p> </div></div></div>
2022/9/13 23:11作者陳曉莉https://www.ithome.com.tw/news/153023
AssemblyScript專案認為WASI傷害開源標準，抨擊Bytecode Alliance破壞WebAssemb…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可讓開發者編寫類TypeScript語言，再將其編譯成WebAssembly的專案AssemblyScript，在前些時間，宣布移除對WASI（WebAssembly System Interface）的支援，由於許多社群成員要求他們提出進一步解釋，因此<a href="https://twitter.com/AssemblyScript/status/1566702136435539968?s=20&t=X66TTcz0IbIQAGX2diw4UA">AssemblyScript專案現在完整公開他們的考量</a>，他們認為WASI和W3C對其所提供的支援，對開放標準有害，特別是傷害WebAssembly的規範，在滿足特定條件下，他們才會重新考慮參與WASI制定工作。</p> <p>WASI是用於非網頁WebAssembly，類似POSIX的匯入命名空間，其提供了一組像是fd_write這樣的外部函式，WASI的設計參考C++和Rust等系統程式語言中所開放，但是不存在網頁平臺的低階層，AssemblyScript提到，WASI被行銷成為一個標準，但是其發展不僅幾乎沒有與WebAssembly範疇以及目標重疊，WASI還由一個強大且很大程度是獨立運作的W3C子工作組霸道管理。</p> <p>隨著WASI的發展，該子工作組擴大了WASI的範疇，並且埋頭設計自己的提案，AssemblyScript認為，這些提案有一定程度與已建立，或是當前設計的網頁標準競爭，該子工作組在提出標準的同時，又同時增加了碎片化。</p> <p>而在AssemblyScript專案和其他社群成員對此提出異議的時候，卻遭到系統性歧視，WASI主席以職權操作，迴避其他人對WASI制定方向的疑慮。AssemblyScript專案表示，目前WASI和該工作組，並非追求與WebAssembly一致的目標，而WASI的想法和概念持續擴散影響WebAssembly，在制定標準的過程卻造成生態系分裂，對於標準本身是一種諷刺。</p> <p>AssemblyScript在文章中，公開了所有他們認為WASI制定上，尚未解決的具體技術和相關問題，該專案認為，WASI與一般網頁標準，特別是WebAssembly規範中的技術目標和組織價值沒有交集，對一個適合網頁平臺的語言來說，WASI導致WebAssembly出現shim，並且缺乏如JavaScript Polyfill的替代方案，使得兩者概念中斷，因此他們認為WASI不是一個能夠良好支援許多程式語言的正確抽象。</p> <p>AssemblyScript也提到，WASI中出現網頁上不常見像是字串等概念，從根本上和類Java、JavaScript不相容，這代表當以現有網頁平臺作為相容目標時，WASI不會是一個合理的抽象。WASI還引入許多冗餘功能，網頁平臺上已經可以使用的部分功能，WASI卻堅持要以不同的方式實作。</p> <p>以目前設計看來，AssemblyScript認為過度使用WASI會導致WebAssembly程式碼在網頁中膨脹，增加大量程式碼容量，且WASI要求根據不同環境重新編譯模組，並且擴展其應用版圖和獨立設計競爭API，都會導致各種碎片化的情況產生。</p> <p>AssemblyScript要求WASI專案進行大刀闊斧改革後，他們才會重新考慮參與WASI制定，其包括搬遷WASI儲存庫移出W3C/WebAssembly組織，真誠地對造成的傷害道歉，並且在處理問題時，不使用政治手段。另外，AssemblyScript也對Bytecode Alliance表達了不信任的態度，他們認為該聯盟是由幾家科技巨頭，以及經過挑選的合作者組成，在WebAssembly上選擇性地削弱參與者，以程序性手段破壞協作、包容性和開放性等價值。AssemblyScript提醒，在建立於開放和協作名號下的標準化工作，需要有反壟斷力量介入，整體而言，他們認為Bytecode Alliance消失對WebAssembly和網頁的發展會更好。</p> </div></div></div>
2022/9/13 23:23作者李建興https://www.ithome.com.tw/news/153022
LinkedIn將特徵儲存開源專案Feathr貢獻給LF AI & Data基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由LinkedIn開發並與微軟合作開源的<a href="https://lfaidata.foundation/blog/2022/09/12/feathr-joins-lf-ai-data-as-new-sandbox-project/">特徵儲存專案Feathr</a>，現在貢獻給LF AI & Data基金會成為沙盒專案，期望使人工智慧社群的DataOps和MLOps變得更加簡單容易。</p> <p>LinkedIn在2017年時發布Feathr，並且在2022年的時候與微軟合作開源，Feathr是一個企業級高效能特徵儲存，可自動計算資料特徵值，並聯合特徵創建訓練資料庫，官方提到，Feathr使用稱為Point-In-Time-Correct語義，來避免資料洩漏，並且可對快速的網路服務即時提供和部署特徵值。</p> <p>在LinkedIn中，已經有數十個應用程式使用Feathr，定義、運算用於訓練的特徵，並部署到生產環境中。LinkedIn提到，與過去其他特定於應用程式的特徵工作管線相比，Feathr能夠大幅減少向模型訓練工作流程添加新特徵的時間，因此提高了執行時效能。</p> <p>之所以LinkedIn當初需要開發Feathr，是因為遭遇到擴展特徵工作管線的問題，在Feathr中，有數百個模型被用於搜尋、Feed、廣告等應用程式，LinkedIn提到，準備和管理特徵一直都是大規模機器學習應用程式中極度耗費時間的工作之一，而這個龐大的負擔，直接傷害開發團隊創新和改進應用程式的生產力。</p> <p>為此，LinkedIn建構了Feathr，Feathr是一個抽象層，提供用於定義特徵的通用特徵命名空間，以及從機器學習流程中，按名稱計算、存取特徵的通用平臺，Feathr減少了團隊管理和定義特徵工作管線的需求。Feathr作為抽象層，創造了特徵生產者和消費者的角色，生產者可以定義特徵，並且註冊到Feathr，供消費者存取和匯入特徵到機器學習模型工作流程中。</p> <p>Feathr的具體功能，包括能夠定義一次特徵，應用在不同的場景中，Feathr還能夠連接各種離線資料來源，像是資料湖、資料倉儲，並將來源資料轉換為特徵，將特徵資料從離線系統傳送到線上儲存，加快線上服務的速度，同時Feathr也有利於團隊協作，團隊成員可以更簡單地發現功能，並且在團隊中共享。</p> <p>Feathr加入LF AI & Data基金會，目標是要進一步推動專案，並且擴大使用者基礎，發展開發者社群，並且使Feathr能夠與其他專案協作、整合。Feathr加入LF AI & Data基金會的第一步，是成為沙盒專案，開發者現在可以在GitHub儲存庫，了解更多細節並且參與貢獻。</p> </div></div></div>
2022/9/13 23:04作者李建興https://www.ithome.com.tw/news/153013
【資安日報】2022年9月13日，思科證實勒索軟體駭客閰羅王竊得內部資料並外洩、蘋果修補零時差漏洞CVE-2022-3…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前，思科公布他們遭到勒索軟體駭客閰羅王入侵的事故，而現在該公司進一步指出，對方竊得的資料已經在暗網公開，但強調不會對營運造成影響。然而駭客聲稱取得了大量機密資料，雙方各執一詞。</p> <p>今年針對蘋果裝置的零時差漏洞攻擊不時傳出，且部分可能還同時影響行動裝置與電腦。蘋果在9月12日修補了CVE-2022-32917，而這已是他們今年修補的第8個零時差漏洞。</p> <p>阿爾巴尼亞因伊朗駭客癱瘓其公共設施而宣布與伊朗斷交，但事隔數日，阿爾巴尼亞傳出再度遭到相同駭客組織襲擊，使得此起事故的後續發展引起外界關注。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-confirms-yanluowang-ransomware-leaked-stolen-company-data/"><span style="color: rgb(0, 0, 0);">思科證實勒索軟體駭客閰羅王竊得內部資料並外洩</span></a></strong></h3> <p>思科遭到勒索軟體駭客組織閰羅王（Yanluowang）入侵事故有新發展，9月11日，該公司表示駭客已將竊得的資料發布到暗網，但強調這些外洩的檔案不會對業務造成影響。</p> <p>而對於思科的說法，駭客似乎不以為然──他們向資安新聞網站Bleeping Computer表示，該組織總共竊得了55 GB資料，內有數千個檔案，包含了機密文件、產品設計圖，以及原始碼。但針對駭客宣稱取得的資料內容，思科予以否認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/albania-suffers-renewed-cyberattack-blames-iran"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞傳出再度遭到伊朗駭客攻擊</span></a></strong></h3> <p>上週阿爾巴尼亞宣布與伊朗斷交，起因是伊朗駭客在7月大肆發動網路攻擊，癱瘓阿爾巴尼亞的政府機關與公共設施，但伊朗駭客並未就此停手。阿爾巴尼亞內政部指出，該國國家警察的電腦系統於9月9日遭到攻擊，根據初步調查的結果，攻擊者的身分就是在7月發動攻擊的駭客。阿爾巴尼亞當局為了避免此起事故的受害範圍擴大，已經關閉港口、機場，以及邊境管制站的電腦系統。對此，伊朗否認上述指控，認為阿爾巴尼亞的說法毫無根據。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/pypi-phishing-campaign-juiceledger-threat-actor-pivots-from-fake-apps-to-supply-chain-attacks/"><span style="color: rgb(0, 0, 0);">駭客鎖定PyPI套件開發者發動網釣攻擊，意圖在套件用戶電腦植入竊密軟體JuiceStealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SentinelLabs_Juice_Ledger_Graphic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SentinelLabs_Juice_Ledger_Graphic.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne與Checkmarx聯手，調查駭客組織JuiceLedger的攻擊行動，該組織自今年初，開始以冒牌的Python安裝程式散布竊密軟體JuiceStealer，但從8月開始，這些駭客改變了手法，他們鎖定PyPI套件的開發者發動網釣攻擊，研究人員確認至少有兩個熱門套件（下載次數皆超過70萬次）被植入惡意軟體JuiceStealer，並研判可能有數百個套件受到誤植域名（Typosquatting）攻擊。</p> <p>PyPI獲報後積極清查可能遭到惡意軟體入侵的套件，並呼籲套件維護者使用雙因素驗證。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/steam"><span style="color: rgb(0, 0, 0);">小心彈出式登入視窗也有假的！駭客透過假瀏覽器彈出式視窗的攻擊手法竊取Steam帳號</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Steam-BitB-image25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Steam-BitB-image25.png" style="width: 300px; float: right;" /></a>資安人員mr.d0x在今年3月揭露一種新的網釣手法，駭客在網釣網站裡，偽造Steam、微軟、Google等服務的假彈出式登入網頁，而這樣的手法已經出現實際的攻擊行動。</p> <p>資安業者Group-IB近期觀察到針對Steam玩家的攻擊行動，駭客以邀請玩家加入英雄聯盟、絕對武力（CS）、Dota 2、PUBG等遊戲隊伍的名義，引誘他們瀏覽以電玩競賽為幌子的釣魚網站，並要求玩家輸入帳密，進而挾持他們的Steam帳號，一旦玩家照著這些指示去做，帳號就會遭到駭客控制。</p> <p>研究人員指出，這些駭客的冒牌Steam登入畫面看似以彈出式視窗顯示，且具有合法的SSL憑證，但實際上，這個「視窗」是網釣網頁裡的物件。此外，駭客的登入網頁支援27種語言，還會要求玩家輸入雙因素驗證資料。研究人員將這樣的手法命名為Browser-in-the-Browser（BitB），並呼籲Steam玩家要提高警覺，切勿直接從他人提供的URL上提供相關帳密資料，而這類手法也可以透過嘗試調整彈出式視窗的位置、大小來識破。</p> <h3><strong style="font-size: 22px;"><a href="https://arcticwolf.com/resources/blog/lorenz-ransomware-chiseling-in/"><span style="color: rgb(0, 0, 0);">勒索軟體Lorenz透過IP電話系統入侵受害組織</span></a></strong></h3> <p>6月有研究人員發現Mitel MiVoice網路電話系統的重大漏洞CVE-2022-29499，被用於勒索軟體攻擊行動，近期又有駭客組織利用相同的漏洞發動攻擊。</p> <p>資安業者Arctic Wolf指出，勒索軟體駭客Lorenz利用CVE-2022-29499來入侵受害組織，然後等待接近一個月的時間，才進行後續的攻擊行動。駭客使用勒索軟體Lorenz加密VMware ESXi虛擬化平臺，也濫用BitLocker加密Windows電腦，並透過檔案傳輸軟體FileZilla將竊得的資料送到外部。研究人員指出，過程中這些駭客運用了寄生攻擊（LOLBins）手法，並利用零時差漏洞來逃避偵測，他們呼籲企業要重視VoIP等連網系統的安全。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-fixes-eighth-zero-day-used-to-hack-iphones-and-macs-this-year/"><span style="color: rgb(0, 0, 0);">蘋果修補iOS與macOS零時差漏洞CVE-2022-32917</span></a></strong></h3> <p>9月12日，蘋果發布了iOS 15.7、iPadOS 15.7、macOS Monterey 12.6、macOS Big Sur 11.7，當中修補了零時差漏洞CVE-2022-32917，此漏洞可允許駭客以作業系統核心的權限執行任意程式碼，且可能已被積極用於攻擊行動。此漏洞已是今年蘋果修補的第8個零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/09/psa-nearly-5-million-attacks-blocked-targeting-0-day-in-backupbuddy-plugin/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式BackupBuddy存在零時差漏洞，駭客已發動近5百萬次攻擊</span></a></strong></h3> <p>資安業者Wordfence指出，他們發現有人自8月26日開始，鎖定部署BackupBuddy外掛程式的WordPress網站發動攻擊，目標是上述外掛程式的漏洞CVE-2022-31474，駭客成功入侵網站後會試圖存取網站組態檔案、密碼檔案等敏感資料，該資安業者已攔截4,948,926次漏洞利用攻擊。</p> <p>前述漏洞存在於8.5.8.0至8.7.4.1的BackupBuddy，原因與本地端備份的功能有關，該漏洞允許未經身分驗證的使用者下載網站所有檔案，開發者於9月2日發布8.7.5版予以修補。研究人員指出該漏洞極為容易利用，呼籲網站管理者要儘速安裝新版外掛程式。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.reuters.com/technology/draft-eu-rules-target-smart-devices-with-cybersecurity-risks-2022-09-08/"><span style="color: rgb(0, 0, 0);">歐盟網路安全規範擬將智慧裝置納入列管範圍</span></a></strong></h3> <p>隨著許多家電都開始具備連網功能，這些設備的安全性也開始受到重視。根據路透社的報導，歐盟即將於9月13日提出的網路韌性法案（Cyber Resilience Act），將許多連接到網際網路的設備，如智慧冰箱、智慧電視，都納入管理範圍，並要求這些連網設備必須嚴格遵守此法案的規範，否則將會對製造商、代理商，甚至是經銷商罰款，或是產品禁止出口到歐盟國家。</p> <p>此法案指出，出售連網裝置的廠商必須評估產品的資安風險，並採取適當的措施來處理，一旦發現問題，要在24小時內通報歐盟網路安全機關ENISA。若是違反此法案的相關規定，製造商、經銷商、代理商都有可能面臨最高1,500萬歐元或年營業額2.5%的罰款。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-recovers-30-million-stolen-from-axie-infinity-by-lazarus-hackers/"><span style="color: rgb(0, 0, 0);">美國追回區塊鏈電玩Axie Infinity遭竊的3千萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/07/profiling-dev-0270-phosphorus-ransomware-operations/"><span style="color: rgb(0, 0, 0);">伊朗駭客濫用磁碟加密系統BitLocker來破壞受害電腦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://cofense.com/blog/lampion-trojan-utilizes-new-delivery-through-cloud-based-sharing"><span style="color: rgb(0, 0, 0);">惡意軟體Lampion透過雲端檔案共享服務WeTransfer散布</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152998">【2022年9月12日】研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏在受害電腦記憶體內運作</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152950">【2022年9月8日】 Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152923">【2022年9月7日】殭屍網路MooBot鎖定D-Link路由器而來、中國指控美國國家安全局對當地大學發動大規模網路攻擊</a></strong></strong></strong></p> </div></div></div>
2022/9/13 17:45作者周峻佑https://www.ithome.com.tw/news/153016
新版「營業秘密保護實務教戰手冊」出爐，提供最新司法實務見解與10大策略步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對層出不窮的網路攻擊事故，企業為了持續提升外部資安防護力，而疲於奔命，然而，內部威脅（Insider Threat）預防與應變，也是整體資安不可或缺的一環，而且，除了保護客戶與員工個資之餘，涉及公司本身存續與競爭力的機密資料，更需落實相關控管，因此，有些企業重視營業秘密保護的實踐，但有更多公司低估了這件事的嚴重性，或是雖然已有這樣的認知，卻不知該如何著手。</p> <p>對此，經濟部智慧財產局法務室在2013年12月，首度公布基本指引文件，也就是《營業秘密保護實務教戰手冊》；相隔6年之後，這份手冊的第二版問世；到了今年8月29日，政府發行第三版，希望幫助更多企業防止營密秘密外洩的衝擊。而<a href="https://www.tipo.gov.tw/tw/cp-9-913050-13a5d-1.html">新版手冊</a>發布一周以來（至9月7日），下載次數就已經近4千次，顯見營業秘密保護仍是企業相當關注的議題。</p> <h3><strong>新版教戰手冊提供企業從草創到壯大的保護思維</strong></h3> <p>臺灣的營業秘密侵害案件時有所聞，恰巧在9月8日就有一起——知名旅遊服務平臺<a href="https://www.ithome.com.tw/news/152998#KKday">KKday報案</a>，公司內部資安稽核時，發現不明人士非法登入，竊取合作廠商大量商業機密資料。</p> <p>在所有資料外洩的資安事件中，屬於極機密的企業營業秘密，一旦發生資料外洩、遭竊取利用，等於直接危及營運的根本。比起因駭客與惡意軟體這類來自外部的攻擊，所導致的客戶資料、個人資料外洩，損失最大的部分可能是商譽，然而，若公司高階主管帶走營業秘密另起爐灶或帶槍投靠，員工在利誘下出賣營業秘密，或是駭客竊取營業秘密於暗網兜售，恐怕將對企業造成更大的傷害。</p> <p>早在1996年，我國頒布了營業秘密保護法，透過這項立法，建立國內公平良性市場環境之餘，也是為了避免國內研發成果被他人竊取，強化臺灣企業國際競爭力。之後，政府也持續推動修法，以盡到更周延、有效率的保護與訴訟。例如，今年國安法增訂經濟間諜罪，彌補營業秘密法的不足。</p> <p>在資安方面營業秘密的保護上，如何做好資料外洩防護的監控與應變？如何盡力避免營業祕密外洩？如何才能依照秘密性、經濟價值並建立合理保密措施？一旦發現遭侵害營業秘密時，如何訴諸於法律？這些至今都是企業關心的議題。</p> <p>之所以推出營業秘密實戰手冊，經濟部智慧財產局表示，最早是在2013年發布，希望藉由實務指引的提供，做為企業推展營業秘密保護制度的重要參考。到了2018年，他們發布了第二版，現在則是發布第三版。</p> <p>基本上，營業秘密實戰手冊內容，涵蓋企業實施保護營業秘密的策略步驟，如建立明確保護管理政策，盤點機密資訊並做到分類、分級與標示，以及員工與電腦等的資安管控，稽核與教育訓練等，甚至涵蓋司法警察聯絡管道的建立，提供侵害發生後的因應作法。</p> <p>與上一版相比，我們可以發現，新版教戰手冊有些許調整與擴增。從企業保護營業秘密的10大策略步驟來看，這煙版手冊已有新的綜合整理，並更新相關司法實務見解，例如，像是針對合理保密措施的闡釋中，不僅提到「分類分級及授權」、「採取保密措施必須有效，但不要求須滴水不漏」，「依公司規模、人力、財力而採取合理保密措施」，這些都是最新司法實務上的見解。</p> <p>根據經濟部智慧財產局的說明，這次10大策略步驟的提出有個新重點，那就是呼籲企業關注的營業秘密保護範圍，不只是產業鏈的上下游合作廠商，更需要重視研發的產學合作面向。對於現今居家上班普遍存在的場景，第三版手冊也提供防護營業秘密外洩的基本作法。最特別的是，新版有個全新環節，是透過CEO視角企業經驗分享，描繪企業在草創、成長、壯大時期，對於營業秘密保護能夠具備的思維。</p> <p>對於企業而言，這裡等於提供了不同階段的態度與做法，幫助經營管理者更容易依據自身所處階段，掌握現下應該達到的目標。</p> <p>例如：在草創時期，重點是「先求有，再求好」，包括：招募員工時要說清楚講明白、展現CEO保護營業秘密的決心、明定營業秘密管理規範、讓員工從實務上就認知保密並非形式，以及時刻保持警戒。</p> <p>在成長時期，企業需要進一步做到的是，需動態調整營業秘密管理規範、強化稽核調查，以及形塑企業文化。</p> <p>到了壯大時期，公司要強化「風險管理」理念，對於外部廠商的管理、員工職務的異動或離職的保密防護，都需要更重視，並將營業秘密管理視為競爭力管理。</p> <p>另外，關於強化營業秘密保護所能運用的資源，這個教戰手冊僅提供「企業營業秘密資訊簡易盤點」，不過，當中也提到在2021年智慧財產局曾發布一份「中小企業營業秘密保護機制檢核表」，當中設計了67項檢核指標，幫助中小規模企業能夠按表檢核，也是一項參考資源。</p> <h3><strong>鞏固營業秘密更顯重要，有助突顯臺灣競爭力</strong></h3> <p>為了向企業宣導強化營業秘密保護機制，這些年我們經常看到，經濟部智慧財產局四處舉辦多場研討會，藉由企業分享實務經驗，以及法院檢察官分享偵察實務，促進企業建立合理保密措施。</p> <p>但是，諸多企業對營業秘密認知與保護現況，仍令人擔憂。因為企業如果沒有顧好營業秘密，影響的並不是只有自己。例如，法務部長蔡清祥在2021年11月一場宣導營業秘密重要性的演講中，就曾公開指出，營業秘密是企業的核心，而臺灣將來面臨的對手，不再是開發中的國家，很多都是先進的大國，如果沒有保護好營業秘密，不但企業會受到損失，國家的經濟發展也會受到阻礙，甚至影響到國家安全。</p> <p>而且，當企業發現侵害營業秘密事件發生時，若是沒有合理保密措施，無法確保所有檔案與資訊活動都能留下跡證，日後在法律訴訟上，恐怕很難確保可以取得優勢。</p> <p>綜合來看，經濟部智慧財產局這次提供的新版實戰手冊，的確列出了更多參考資訊，能讓企業知道應做好的各項工作。隨著國際及區域政治貿易局勢趨於緊張、對立，企業確保營業秘密保護的重要性，更是大幅提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-12_120610%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%96%B0%E7%89%88%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E5%AF%A6%E5%8B%99%E6%95%99%E6%88%B0%E6%89%8B%E5%86%8A%E5%87%BA%E7%88%90.png" style="width: 600px;" /></p> <p><strong>營業秘密侵害案件層出不窮，為協助臺灣企業完善營業秘密保護機制，經濟部智慧財產局發布「營業秘密保護實務教戰手冊3.0」，增添最新司法實務見解，並納入CEO帶領成功企業的經驗分享的視角為借鏡。特別的是，這個新版手冊，首日我們看到已有數十次下載數，一週多後已達4千次以上，顯然營業秘密保護持續是國內企業非常關注的議題。（<a href="https://www.tipo.gov.tw/tw/cp-9-913050-13a5d-1.html">連結</a>）</strong><br /> </p> <p> </p> <h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>企業保護營業秘密的策略步驟</strong></span></h2> <p class="rtecenter"><strong><span style="color: rgb(178, 34, 34);">●最高管理階層應有明確的政策聲明與支持（人力、財力、管理規定）</span></strong></p> <p class="rtecenter"><strong><span style="color: rgb(218, 165, 32);">●建立營業秘密保護管理政策</span></strong></p> <p class="rtecenter"><strong><span style="color: rgb(0, 0, 205);">●盤點機密資訊，分類分級與標示<br /> ●員工管理<br /> ●紙本及電子檔案的管理<br /> ●區域空間與設備的管理<br /> ●稽核與改善<br /> ●教育訓練與宣導<br /> ●協力廠商與產學合作的管理<br /> ●與公部門及司法警察建立良好互動</span></strong><br /> </p> <p class="rtecenter"><span style="color:#800080;"><strong>發生洩密之因應</strong></span></p> <p><strong>企業若要做好營業秘密保護，首先，需要最高管理階層明確表態支持，再來需要制訂政策，接下來的重點，可分為7大面向，一開始需要清查盤點公司有需要保密的資訊，並進行分級分類與標示，這一點至關重要，後續再從不同管理面向著手，同時注重稽核、教育宣導與建立司法聯絡管道，另外還要注意，不只關注產業鏈上下游的廠商，更需要重視研發之產學合作的管理。最後，就是一旦發生洩密，企業應要準備好一套因應流程，將損害降至最低。</strong></p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>侵害事件頻傳，企業要有足夠舉證能力才能起訴甚至定罪</strong></span></h2> <p>根據法務部調查局的統計資料顯示，從2013年至2022年8月底，偵辦並移送地方檢察署偵處的營業秘密案件，共有175件（涉及意圖在境外使用69件、境內106件）。若減去2021年4月統計的144件（境外52件、中國占49件），換言之，在那之後的一年半，總共增加了31件，且境外案件數量增加幅度大，有14件之多，成長比例在2成5以上。</p> <p>更值得關注的是，以目前起訴率為68%來看，相對也代表仍有32%的案件，企業可能舉證不足、欠缺合理保密措施，導致案件無法通過起訴這關，若真如此後續也無法進入法院判決、定罪與否的程序。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%88%91%E5%9C%8B%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%A1%88%E5%81%B5%E8%BE%A6%E7%8F%BE%E6%B3%81%EF%BC%88%E7%B5%B1%E8%A8%88%E8%87%B32022%E5%B9%B48%E6%9C%8826%E6%97%A5%E6%AD%A2%EF%BC%89.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96Y%EF%BC%89%E8%88%8A%E6%88%91%E5%9C%8B%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%A1%88%E5%81%B5%E8%BE%A6.png" style="width: 600px;" /><br /> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>台積電今年擴大營業秘密註冊制度的推廣</strong></span></h2> <p>在2022年7月，國內剛好也開始有大型企業帶頭，宣布要推動產業落實營業秘密保護。身為全球晶圓代工龍頭的台積電，該公司在2019年才發起「供應商資訊安全協會」，希望帶動企業供應鏈上下游、合作夥伴強化資安，特別的是，<a href="https://esg.tsmc.com/ch/update/innovationAndService/caseStudy/46/index.html">他們在6月又發起一項名為「營業秘密註冊制度同學會」的計畫</a>，希望促成供應商與其他國內公司，可以更容易理解營業秘密註冊制度的內涵與做法，並提供營業秘密註冊公版表格，幫助供應商快速上手。目前這個營業秘密註冊制度同學會的成員中，除了台積電，已有5家業者開始實施營業秘密註冊制度，4家正積極評估建立此制度。</p> <p>事實上，台積電內部早就已經對關鍵的營業秘密，進行格式化的紀錄及系統性管理，如今他們擴大營業秘密註冊制度的推廣。該公司副法務長謝福源也在近期一場演講中，分享營業秘密註冊實務，當中特別說明營業祕密註冊制定的五大策略，從釐清流程、設計註冊表格、註冊系統、激勵與獎勵到專人負責管理，並建議國內許多中小企業，應在公司規模還沒有很大之前，盡快建立這樣的制度，甚至鼓勵國內服務業、如金融業、旅遊業、餐飲業，也可以仿效，這將對企業的技術創新與競爭力帶來幫助。</p> </div></div></div>
2022/9/13 15:23作者羅正漢https://www.ithome.com.tw/news/153008
深度學習框架PyTorch將交由獨立基金會治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Meta以及人工智慧社群合作創建的深度學習PyTorch框架，經過了6年的發展，現在要步入下一個階段，PyTorch專案將會交給由AMD、AWS、Google、Meta、微軟和Nvidia代表所共同組成的<a href="https://ai.facebook.com/blog/pytorch-foundation/">PyTorch基金會</a>治理，而該基金會隸屬於Linux基金會，目標是要繼續推動PyTorch發展，並且以中立且開源的生態系使PyTorch更加普及。</p> <p>PyTorch是在2016年，由一群Meta AI研究人員起始的專案，替他們自己的端到端流程，創建一個簡單且標準化的介面，並簡化人工智慧領域從研究到生產就緒，中間繁瑣且複雜的過程。研究團隊在嘗試了Theano和Torch等機器學習框架，以及Lua Torch、Chainer和HIPS Autograd等進階概念，最後決定以可用性為核心，創建這個名為PyTorch的框架。</p> <p>PyTorch的發展非常快速，僅兩年的時間，Meta就發布了PyTorch 1.0，整個專案擁有約2,400位貢獻者，已經有超過150,000的專案建構在PyTorch之上，Meta提到，PyTorch現在已經成為人工智慧研究的通用語言，像是NeurIPS和ICML等主要會議，都有超過80％的研究人員使用該框架。</p> <p>另外，Meta也利用PyTorch建構部分人工智慧領域重要的函式庫，像是Torchvision，就被用於大多數現代電腦視覺的研究。該框架不只在Meta被大量的使用，PyTorch同時也是AWS、微軟和OpenAI等眾多公司和研究機構建構人工智慧專案和產品的基礎。</p> <p>過去6年Meta持續耕耘推動PyTorch，而現在Meta認為是替PyTorch建立新家的時候，PyTorch專案會逐漸過渡到新成立的PyTorch基金會，該基金會將會成為非營利組織Linux基金會的一部分。PyTorch的組成包括AMD、AWS、Google、Meta、微軟和Nvidia，並且將會隨著時間發展，進一步擴大。</p> <p>董事會最初將會以PyTorch社群發展為重點，發布、功能和技術發展方向，仍交由維護者、提交者和貢獻者驅動，PyTorch基金會成立的目的，是要確保PyTorch在未來能持續由多元群體成員，以公開透明的方式做出決策。</p> <p>PyTorch基金會的四項原則，將保持開放、保持中立、保持公平，並且建立強大的技術身分。PyTorch的治理在轉移給基金會之後，Meta承諾轉移過程，不會對PyTorch程式碼和核心專案進行任何更改，開發人員運作模式也將保持不變，Meta在之後也會繼續對PyTorch進行投資，並繼續使用該框架為人工智慧研究和生產的主要框架。</p> </div></div></div>
2022/9/13 16:03作者李建興https://www.ithome.com.tw/news/153009
禁用第三方墨水匣惹議，HP與Euroconsumers和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.euroconsumers.org/activities/hp-and-euroconsumers-reach-a-settlement-on-dynamic-security-dispute" target="_blank">代表歐洲消費者的Euroconsumers上周宣布已與HP達成和解協議</a>，舉凡位於比利時、義大利、西班牙與葡萄牙的消費者，所購買的HP印表機會因安裝第三方墨水匣而被限制功能的，都能獲得20到50歐元不等的賠償金額。</p> <p><a href="https://www.euroconsumers.org/activities/printergate-euroconsumers-asks-hp-to-compensate-printer-owners-up-to-eur150" target="_blank">Euroconsumers是在去年5月去信向HP抗議</a>，指出至少自2016年底開始，HP在行銷印表機時，便會標榜它相容於第三方的墨水匣，但在使用者更新了韌體之後，只要印表機所安裝的是第三方而非原廠墨水匣，就會出現錯誤訊息，並讓使用者以為第三方墨水匣有缺陷，而去購買更貴的原廠墨水匣，甚至是乾脆換一臺印表機。</p> <p>Euroconsumers批評HP帶給消費者經濟上的損失，還增加了電子垃圾，更難以接受的是，HP藉由韌體更新控制了消費者的印表機，使用者理應握有所購買裝置的完整控制權。當時Euroconsumers要求HP應比照美國，補償每名消費者最高150歐元的損失。</p> <p>根據最新的協議內容，原來是HP於韌體中啟用了Dynamic Security功能，宣稱可保障使用經驗、維護印表機系統的完整性，並保護HP的智慧財產，但並未告知消費者它會拒絕未採用HP安全晶片的第三方墨水匣，因而限制了印表機的能力。</p> <p>儘管HP認為這些第三方、未含有HP安全晶片墨水匣侵犯了該公司的智慧財產權，<a href="https://support.hp.com/za-en/product/hp-officejet-pro-6830-e-all-in-one-printerserie/5390307/document/c05308850" target="_blank">但依然同意</a>透過韌體更新來移除使用者印表機上的Dynamic Security功能，但也警告HP無法保證這些非HP墨水匣的品質。</p> <p>此外，HP提出了135萬美元的賠償基金，只要是在2016年9月至2020年11月間，擁有數十種特定HP型號噴墨印表機的比利時、義大利、西班牙與葡萄牙的消費者，就能依據型號獲得20、35及50歐元不等的補償，若能證明因Dynamic Security所造成的損失超過補償金額，還能額外獲得45歐元的補償。</p> <p>總之，此事的落幕或許可說是皆大歡喜，雙方皆同意不進入法律程序，且HP認為自己是為了維護智慧財產權才有此一決策，並未承認做錯任何事，和解是為了消費者著想。</p> <p><a href="https://www.classaction.org/news/class-action-claims-hp-printer-firmware-update-blocked-use-of-third-party-ink-toner-cartridges" target="_blank">其實HP在2020年時便曾因類似的問題而面臨集體訴訟</a>，當時HP也同意提供150萬美元的補償基金，每名消費者可獲得的補償金額為100~150美元。</p> </div></div></div>
2022/9/13 16:10作者陳曉莉https://www.ithome.com.tw/news/153012
全支付上線10天會員數突破100萬，年底拼200萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯100%子公司全支付宣布，旗下9月1日推出的全支付，在9月10日中秋節當天，上線僅10天會員數即突破100萬，今年底將挑戰200萬。</p> <p>全支付為國內電子支付的新兵，由連鎖超市業者全聯力推的新興電子支付服務，強調跨通路使用，相較於全聯自家的PX Pay，全支付可跨通路使用，PX Pay福利點可轉換為全點，跨不同通路使用，除了全聯，還可在屈臣氏、路易莎咖啡等商家使用，共超過10萬個據點使用，涵蓋連鎖餐飲、百貨、遊樂園、電影院、手搖杯店、夜市、商圈等。</p> <p>全支付在8月底發表，9月1日甫推出，全聯即宣布達到50萬會員，如今10天就達到100萬，會員數成長相當快，全支付也宣布擴大支付通路據點，因應旅遊需求納入旅宿據點。</p> <p>全支付游金榮總經理表示，原本計畫在2022年底，上線4個月達到100萬註冊數、上線一年達到200萬註冊數，但在合作通路共同努力下，結合行銷活動誘因，已提前達標，顯示市場對新支付業者的接受度仍高，因此提高目標，年底前達200萬會員。</p> <p>目前全聯約有830萬PX Pay用戶，其中以40到60歲的婆媽族群居多，因此為推動PX Pay用戶升級到全支付，全聯透過地推，各門市有專門的人員向顧客說明介紹全支付，甚至手把手的方式協助年齡偏高的PX Pay用戶升級，從上線10天即達到100萬註冊來看，成效相當不錯。</p> <p>全支付的加入，為國內非現金支付市場注入新血，帶來一批非電子支付使用者，對使用族群偏向年輕人的電子支付而言，進一步擴大市場。</p> <p>根據金管會7月統計資料，前5名電子支付業者，街口支付仍位居第1名，共有576.3萬用戶，一卡通則有510.6萬用戶，悠遊卡公司為179.7萬，玉山銀行則有161.5萬，歐付寶為100.9萬，全聯挑戰前5名業者。至於今年4月底上線，由全家、玉山銀行、PChome的拍付國際合資的全盈支付，目前約有71.3萬。</p> </div></div></div>
2022/9/13 16:12作者蘇文彬https://www.ithome.com.tw/news/153011
臺灣資安業者TeamT5引進日本創投6百萬美元A輪策略性募資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安業者TeamT5（杜浦數位安全）預計於明（9月14日）舉辦日本線上記者會正式宣布，該公司取得由日本最大創投JAFCO（集富集團）主投，加上日本最大跨國企業伊藤忠商事（ITOCHU）和日本最大資安系統整合業者MACNICA的A輪創投資金，預計募資金額超過600萬美元（約新臺幣1.85億元），占整體股權約10％多一點，並於今年7月正式成立日本子公司，全力布局並經營日本資安市場。</p> <p>TeamT5創辦人兼執行長蔡松廷（TT）表示，該公司從2017年開始成立業務團隊後，曾經有多個創投詢問增資該公司，但之前為了確保對公司產品和發展方向的主導性，一直都沒有點頭答應創投投入。</p> <p>蔡松廷指出，該公司在日本市場發展因為有Macnica的協助，營運狀況不錯，但受到疫情影響，原先2020年預計要成立的日本子公司計畫則延宕至今年7月。加上他也發現，創業團隊多以技術宅為主的TeamT5，公司若想持續發展並擴大市場影響力，在商業發展上，就需要許多有經驗的導師提供建議和幫忙。</p> <p>要怎麼讓這些提供商業建議的導師變成自己人，引進對於經營資安市場有經驗的創投資金是一條路，因此，TeamT5才決定鎖定經營日本市場並引進策略性增資，希望做到把臺灣資安公司的技術和產品帶到海外。</p> <p>他認為，拿創投資金要懂得錢要怎麼花、錢要花在哪裡，A輪募資600萬美元的目標就是，在2年內站穩日本市場並建立相關團隊，更重要的是，要等到日本子公司的營收超過臺灣總公司後，才會進行B輪募資的規畫。</p> <h2><strong>TeamT5臺灣市場全方位發展，成日本MSSP業者合作夥伴</strong></h2> <p>蔡松廷表示，臺灣市場是該公司主要發展的市場，也是此次A輪創投主要的投資標的，並且百分之百持有日本子公司股權。在臺灣的發展定位，包括：情資販售、資安鑑識工具和服務的販售、EDR產品販售和防範勒索軟體，以及逐漸成熟的電腦健檢服務等，都是主要的發展領域。</p> <p>TeamT5在臺灣市場定位是希望成為企業客戶對應進階威脅，包含：APT（進階持續性威脅）攻擊和防範勒索軟體的合作夥伴，透過情資和EDR端點平臺加強對勒索軟體的防護，也透過偵測及處理代管（Managed Detection Response，MDR）服務和資安代管服務業者（Managed Security Services Provider；MSSP）業者合作。</p> <p>像是防範勒索軟體如何有效，蔡松廷坦言，對付勒索並沒有絕招，也沒有單一解決方案，唯一能做就是盡可能封鎖，做到不同層次的縱深防禦，並用不同方法去看應用程式的運作和執行，透過監控什麼樣的應用程式會去開啟什麼樣的檔案，而開啟檔案的應用程式是否有合法簽章等，透過各種監控勒索軟體的異常行為，甚至製作某一些誘餌文件等，去掌握勒索軟體是否已經在企業內部橫行，最後一招則是透過還原保護的方式，確保企業內檔案免於勒索軟體的加密。</p> <p>此外，他也指出，日本並沒有電腦健檢服務，透過非長駐型、雲端版、離線版和本機版鑑識工具Threat Sonar的販售，也可以增加日本合作的資安服務廠商的營收，他說：「這也會是日本子公司未來發展的營運動能之一。」</p> <p>蔡松廷表示，資安情資一直是該公司在日本市場的主力商品，資安情資提供與其他資安業者並沒有衝突，反而是合作關係。</p> <p>但隨著該公司逐步擴大日本業務範圍，蔡松廷發現，日本市場非常在意資安業者的可信任度，沒有在日本成立當地公司的資安業者，很難贏得日本企業的信任，便於今年7月正式成立日本子公司服務日本當地客戶。</p> <p>他以企業採購EDR（Endpoint Detection Response，端點偵測與防禦系統）為例，日本企業在選擇EDR產品時，會願意付錢做產品概念測試（POC），在競爭激烈的EDR紅海市場中，資安業者如果沒有足夠的品牌和資源，無法贏得日本企業的信任，連列入產品測試名單都沒有資格。</p> <p>因此，TeamT5剛開始經營日本市場時，便採取販售資安情資以及提供非常駐型的資安鑑識工具（Threat Sonar）給日本的資安代管服務業者（MSSP），以及提供給企業內部有建立CSIRT（電腦資安事件應變小組）團隊的日本大型企業，做為主要的日本市場經營策略。</p> <p>他說，Threat Sonar作為非常駐型的資安鑑識工具，可以協助MSSP業者快速鑑識企業受駭範圍，人為進行電腦鑑識一小時內頂多鑑識一、兩臺電腦，但使用鑑識工具就可以協助MSSP業者在一小時內快速鑑識伍佰臺、一千臺電腦，可以節省MSSP業者許多服務時間。</p> <p>他認為，資安最終要走向資安服務提供者，如果只是作為一個只會整合各種資安產品的資安系統整合業者，成為一個買產品送服務的資安業者的話，在日本資安市場的經營是無效的。</p> <p>因此，他指出，TeamT5後來選擇與統籌資安服務和提供中控臺的日本MSSP業者合作，也讓MSSP業者成為TeamT5在日本產品銷售的另類通道。</p> <h2><strong>TeamT5引進創投資金，尋求專業商業團隊協助</strong></h2> <p>TeamT5創業團隊是以技術團隊為主，對於商業發展、經營策略都需要其他更多專業人才的協助，蔡松廷表示，想要增加影響力、想要把臺灣資安技術產品帶到海外，好的商業操作、規畫策略很重要，怎麼找到擅長這方面的夥伴就很重要。</p> <p>他坦言，從公司於2017年開始成立業務團隊後，歷經5年的摸索發現，臺灣資安創業困難的原因在於缺乏成功模式和好的商業導師，目前有一些臺灣的資安新創公司從創立公司、研發產品後，不少資安新創公司的創業團隊會因為產品和技術都不錯，會選擇將產品技術賣斷出場、獲利了結。</p> <p>但他心中的疑慮在於，難道資安新創只有賣斷產品和技術這一條路嗎？許多美國資安公司因為有良好的商業模式，反而可以透過IPO（首次公開發行）的方式，將私人企業變成上市櫃公司，接受市場投資人的考驗。「這些商業運作模式，都需要專家提供協助，便需要設法引進創投資金和專業商業營運團隊的協助。」他說。</p> <p>蔡松廷表示，以前不敢拿創投的錢，就是因為不知道錢怎麼花？但他這次取得超過600億美元的A輪創投資金，希望藉由專業的創投團隊的輔導，就可以協助TeamT5克服以往不知道「創投的錢要怎麼花」、「如何搭配業績目標成長」、「內部管理規畫需要設立什麼樣職位」、「如何落實相關內稽內控」甚至「公司要IPO之前，要做什麼事情」、「海外夥伴需要找哪些人」、「有沒有人可以協助審視相關的營運計畫」等商業運作上遇到的困難。</p> <p>他指出，A輪資金的營運目標就是要站穩日本市場、打造日本營運和技術團隊，最明顯的檢視關鍵就是：日本子公司的營收兩年內要超越臺灣總公司。蔡松廷說：「等到站穩日本市場後，才會開始規畫B輪的募資計畫。」</p> <p>此次，TeamT5的A輪募資主要來自三大日本創投業者，由JAFCO（集富集團）主投，該公司同時也是工控資安業者TXOne（睿控網安）A輪募資1,200萬美元和B輪募資7千萬美元的主投者，JAFCO也是日本最大創投集團，投資企業超過500家，其中有115家公司公開發行。</p> <p>其他的創投資金來自日本最大跨國企業伊藤忠商事（Itochu），在2020財年以市值、股票價格及合併淨收入，正式成為日本最大綜合貿易公司。至於資安系統整合業者Macnica也是TeamT5之前在日本的經銷合作夥伴，也是日本最大的資安解決方案提供商。</p> <h2><strong>取得B輪募資表示產品和商業模式獲得肯定，新創公司的重要關鍵</strong></h2> <p>對於新創公司而言，資金充沛與否是公司能否持續營運的重要關鍵，最早期的種子輪（Seed Round）的投資就是投資一個創新的概念，主要資金來源通常來自家人（Family）、朋友（Friends）和傻得可以的善心人士（Fool）。</p> <p>其次的天使輪（Angel Round）投資，通常已經有一個初步的原型概念（Prototype）和尚無法驗證的商業模式，但已經累積一些核心客戶，創業資金來自比較不在乎盈虧、願意冒險的天使投資人（Angel）或天使投資機構、孵化器（Incubator）或加速器（Acclearator），這類天使投資人通常會引薦相關的人脈。</p> <p>A輪資金（A Round）的注入，通常是公司已經有完整產品和商業模式、行業內有一定口碑但公司仍處於虧損狀態。從A輪開始，資金來源就來自對新創公司進行5～8年風險投資的創投（Venture Capital）公司而非天使投資人，以公司有沒有機會上市櫃或被併購作為投資依據。</p> <p>B輪融資（B Round）是所有新創公司的重要關鍵，此時公司已經有穩健的商業模式或預計拓展海外市場、加速公司的規模化、拓展新業務和新領域，投資資金以創投為主，少數有私募股權基金（Private Equity；PE）投資。</p> <p>至於C輪融資（C Round）表示該公司已經是業者的領導者，為了公司上市櫃（IPO）而準備，主要投資資金來自私募股權基金，少數來自先前跟投的創投資金。之後不論是D輪、E輪等等資金等，都是公司把C輪資金用完後，但仍無法順利上市櫃，所以必須增加其他輪的資金，讓公司可以順利上市櫃。</p> <p>至於Pre-A輪資金表示天使輪的資金已經用完了，但產品還不到A輪融資時的產品成熟度，只好透過Pre-A輪的募資，希望能儘速達到產品成熟的目標。其他像是B+輪募資或是B++輪募資也是相同意思，表示B輪資金用完後，但還沒有達到足夠的規模化或海外市場規模程度，只好繼續募資做補強。</p> <p>不過，以幾個臺灣常見的資安新創公司的募資金額為例，臺灣資安新創奧義智慧在2019年8月取得淡馬錫旗下Pavilion基金的565萬美元的B輪融資，產品和商業模式已經獲得創投肯定；區塊鏈資安新創Xrex則於2021年8月取得1,700萬、由中華開發領投的Pre-A輪資金，還需要強化相關產品完整性，並積極拓展對外的合作關係。區塊鏈資安公司博歐科技（CYBAVO）也在2021年6月取得400萬美元的Pre-A輪募資，並於今年6月成功出場，由全球第二大穩定幣USDC發行商Circle收購，收購金額並未對外揭露。</p> <p>鎖定工控資安的臺灣資安業者TXOne（睿控網安），在全球經濟不景氣、通貨膨脹持續成長的情況下，TXOne在2021年8月取得1,200萬美元的A輪募資，更在今年8月，取得7,000美元的B輪募資。TXOne的B輪募資也是近期募資規模最大的募資案。</p> <p>至於臺灣資安公司TeamT5則在今年9月，取得日本三大創投公司的A輪募資，募資金額高達600萬美元，預計2年後才會啟動B輪募資。</p> </div></div></div>
2022/9/13 12:25作者黃彥棻https://www.ithome.com.tw/news/153007
Google傳解散Pixelbook團隊，取消次代產品計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2022/9/12/23348999/google-pixelbook-canceled-team-shut-down" target="_blank">《The Verge》報導</a>，在放緩人事擴增的同時，Google已經解散開發Chromebook產品Pixelbook的團隊，也取消了下一代Pixelbook的推出計畫。</p> <p>報導引述消息人士指出，開發Pixelbook的團隊已經解散，並轉調到公司內其他部門。原本開發中，預計明年推出的下一代Pixelbook的計畫也因此被迫叫停。</p> <p>Google在今年5月的Google I/O大會上仍然表示會推出Pixelbook，但硬體部門主管Rick Osterloh也表示，自第一代Pixelbook 2017年推出以來，市場已趨於成熟，在筆電市場占得一席之地，而Google可能也因此認為不再需要該公司下海推出硬體以拉抬市場。</p> <p>同時，這也反映Google今年春天撙節支出的總體策略。<a href="https://www.ithome.com.tw/news/151917" target="_blank">今年7月Google執行長Sundar Pichai對內宣布</a>，因應經濟前景不明，到2023年該公司將放緩人力聘僱速度，新增人力只會著重在工程師、技術人員等職位。<a href="https://www.ithome.com.tw/news/152231" target="_blank">隔月</a>，這位CEO又對內推動「簡明衝刺」（Simplicity Sprint）的計畫，要求員工提高工作生產力，並力求減少資源浪費、更目標導向，而某些情況下也將整併重覆和投資、簡化流程。</p> <p>Pixelbook是Google為了展示Windows 以外的筆電作業系統選擇ChromeOS而開發。過去2年的疫情期間，民眾在家上班及學生在家上課推升平價的Chromebook機種熱銷，成為穩定的筆電類別，但定價較高的Pixelbook似乎沒有佔到好處。另一方面，Google近來將重心放在開發智慧型手錶Pixel Watch及新Android平板，以便追趕蘋果。或許這也讓Google決定將資源調往重點計畫而遭到縮減。</p> <p>不過Google官方不願評論，表示該公司並不公開未來產品計畫或人事資訊，但是Google表示會打造與支援對用戶有用的創新產品，公司也的確會因應業務優先目標變動，在不同產品和服務團隊之間調整成員。</p> </div></div></div>
2022/9/13 11:07作者林妍溱https://www.ithome.com.tw/news/153003
微軟策略性投資開源資安軟體業者Isovalent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/isovalent-raises-40m-series-b-as-cilium-and-ebpf-transform-cloud-native-service-connectivity-and-security-301619134.html" target="_blank">打造開源雲端安全解決方案Cilium的Isovalent上周宣布</a>，已完成由Thomvest Ventures主導的4,000萬美元B輪增資，迎來了新的股東，包括微軟旗下創投M12與開源實驗室Grafana Labs，而該公司的既有股東還包括Google及思科。</p> <p>Isovalent為一創立於2017年的瑞士資安業者，著重於研發網路、安全、Kubernetes與eBPF，認為市場需要一個新的網路暨安全層來提供原生的雲端可視性、安全性及控制能力，而且得以在不影響應用效能的情況下無縫部署，於是打造了Cilium開源專案。</p> <p>現有的Cilium Enterprise產品是個基於eBPF的解釋方案，Berkeley Packet Filter（BPF）為一類Unix系統的資料連結層介面，可用來分析網路流量，而eBPF則是Linux核心的BPF延伸版。Cilium Enterprise結合網路及運行時行為，再加上Kubernetes身分認證機制，可整合至企業所選擇的SIEM與紀錄聚合平臺，提供單一來源的雲端驗證、稽核、合規性監控與威脅偵測。</p> <p>Isovalent表示，Cilium已經成為許多公有雲供應商受管Kubernetes服務的預設工具，以提供安全及可觀察的雲端連結能力，包括Google Kubernetes Engine、Google Anthos與Amazon EKS Anywhere，而諸如Adobe、Palantir及IKEA也在評估Cilium Enterprise服務。</p> <p>Isovalent執行長Dan Wendlandt表示，Kubernetes本身並未提供具備安全、可觀察、可靠及效能偵測的網路層，使得Cilium快速受到金融、電子商務、電信與政府機構的採用。</p> <p>不過，對Isovalent而言，不管是Google、思科或微軟都屬於策略性投資者，這類的投資者看中的是對自家業務有幫助的新興技術，所投入的金額通常遠不及單純以獲利為目標的創投。</p> </div></div></div>
2022/9/12 22:25作者陳曉莉https://www.ithome.com.tw/news/153001
GKE提供K8s控制平面指標供用戶更全面掌控叢集運作狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其Kubernetes服務GKE提供用戶更多的遙測資料，加入<a href="https://cloud.google.com/blog/products/containers-kubernetes/kubernetes-control-plane-metrics-are-generally-available">Kubernetes控制平面指標</a>，這些指標將有助於Kubernetes服務在發生故障時，更快速地排除故障，官方提到，這些控制平面與監控服務Cloud Monitoring整合，用戶不需要額外收集指標或是抓取配置。</p> <p>Kubernetes控制平面指標可以用來監控API伺服器，追蹤API伺服器的負載、回傳錯誤的請求比例，以及請求的回應延遲等狀況，官方也提到，apiserver_storage_objects指標也對於監控API伺服器的負載程度很有用，特別是用戶使用自定義控制器，可以按資源標籤細分指標，找出存在問題的Kubernetes自定義資源或是控制器。</p> <p>另外，Kubernetes控制平面指標也可以協助用戶了解叢集運作狀況。Pod在創建之後，會處於Pending的狀態，在健康的叢集中，處於Pending的Pod能夠相對快速的被調度到節點上，進而提供執行工作負載需要的資源，Google提到，當Pending的Pod數量持續增加時，可能代表Pod調度發生問題，原因有可能是資源不足，或是配置不當造成。</p> <p>Kubernetes控制平面中的數個指標，可以供用戶注意潛在的調度問題，因此用戶便能即時採取行動，確保Pod有足夠的資源可以使用。這些額外的Kubernetes控制平面指標，也會顯示在雲端控制臺Kubernetes Engine的部分，方便用戶在同一脈絡中識別以及調查存在的問題，更簡單地管理GKE叢集。</p> <p>在GKE叢集啟用Kubernetes控制平面指標功能後，所有指標皆以Google Cloud Managed Service for Prometheus收集，因此指標會發送到和Kubernetes叢集同一個GCP專案的Cloud Monitoring，用戶可以藉由Cloud Monitoring API和Metrics Explorer，以PromQL進行查詢。</p> <p>當用戶使用第三方可觀察性工具監控GKE叢集，則這些可觀察性工具也能夠藉由Cloud Monitoring API，擷取這些Kubernetes控制平面指標。</p> </div></div></div>
2022/9/12 22:29作者李建興https://www.ithome.com.tw/news/152985
微軟無伺服器服務Azure Functions開始支援.NET 7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要嚐鮮.NET 7的開發者，現在已經可以<a href="https://devblogs.microsoft.com/dotnet/dotnet-7-comes-to-azure-functions/">在Azure Functions和Visual Studio 2022預覽版中試用</a>。Azure Functions v4開始提供.NET 7 Runtime，這對於那些想要用到最新.NET Runtime功能，在Azure建置無伺服器服務的開發者，都可以方便地以.NET 7開發程式，且不需要花費心力處理大規模部署，以及底層基礎設施配置。</p> <p>開發者需要使用Azure Functions所提供的.NET隔離工作程式模型（.NET Isolated Worker Model），才能夠使用.NET 7建構應用程式，該模型分離函式程序和Azure Functions Runtime，供用戶靈活使用不同版本.NET，還能方便地管理相依關係和服務註冊。</p> <p>當用戶想要從.NET 5 Azure Functions v3升級Azure Functions v4使用.NET 7 Runtime，就需要選擇隔離模型，除了Premium計畫，該預覽功能也在所有Windows和Linux計畫中提供。跟過去方法一樣，官方已經提供了核心工具，可在.NET 7 中創建新的Azure函式，但是開發者還需要使用Visual Studio 2022 17.4第一預覽版以上版本，才有支援.NET 7。</p> <p>Visual Studio工具簡化函式創建工作流程，並且提供本地開發和除錯功能，讓開發者可以快速地將.NET應用程式發布到Azure上，使無伺服器應用程式建置更容易，開發者只需要在Visual Studio中的應用程式點擊右鍵，就可以選擇將無伺服器應用程式發布到Azure上。</p> <p>預計年底要正式發布的.NET 7，現在仍在候選版本階段。.NET 7是微軟建基於.NET 6最新版本的跨平臺Runtime、函式庫和SDK工具，新功能包括更好地支援雲端原生場景，並且以容器簡化開發工作，還有包括程式碼生成、原生AOT編譯以及可觀察性等新功能，同時，.NET 7的一大亮點便是效能提升，在.NET 7更新的7,000個拉取請求中，有1,000個與效能相關，無論是在Windows 11還是Linux和macOS平臺，都可獲得類似的效能表現提升。</p> </div></div></div>
2022/9/12 22:34作者李建興https://www.ithome.com.tw/news/152996
勒索軟體新趨勢：以間歇加密來躲避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/crimeware-trends-ransomware-developers-turn-to-intermittent-encryption-to-evade-detection/" target="_blank">資安業者SentinelLabs近日披露</a>，採用間歇性加密手法已成為勒索軟體的最新趨勢，自LockFile於去年中成為首批採用間歇性加密的勒索軟體之後，包括BlackCat、Black Basta、PLAY、Agenda與Qyick都已加入此一陣營，並相信它將愈來愈受歡迎。</p> <p>所謂的間歇性加密（Intermittent Encryption）或部分加密，指的是只加密檔案中的一部分而非所有的內容，這一來可加速加密或是毀損資料的程序，二來還可欺騙仰賴統計分析來檢測勒索軟體的安全系統，而成為最近勒索軟體的熱門手法。</p> <p>此一手法的始祖之一為去年中出現的LockFile，它在檔案中依照每16位元組的間隔執行加密；接著是去年12月的BlackCat，BlackCat不僅是首個以Rust撰寫的勒索軟體，還支援眾多的加密模式，包括全部加密、僅加密檔案的前幾個位元組、間隔加密、先加密前幾個位元組再間隔加密，或是依照檔案大小自動判斷加密模式。</p> <p>此外，BlackCat還有一個最大化加密速度的設計，倘若被害系統導入AES硬碟加速功能，那麼它就會採用AES加密演算法。</p> <p>Black Basta則是在今年2月問世，此一以C++撰寫的勒索軟體同時支援Windows與Linux作業系統，在現身的前兩周就傳出至少有20個大型組織受駭，而且它也提供了自動化的間歇加密能力，可根據檔案大小來決定加密模式。今年6月才誕生的PLAY也是依照受害者的檔案大小自動判斷加密模式。</p> <p>而今年8月才出現的Agenda與Qyick都是以Golang語言撰寫，前者鎖定非洲及亞洲的醫療及教育機構展開攻擊，提供客製化的加密選項（下圖）；後者則僅供一次性購買，售價則根據買家的需求而從0.2到1.5個比特幣不等，賣家不僅宣稱Qyick的間歇性加密能力使其速度無與倫比，更保證若在購買的半年內被安全軟體偵測到，那麼將以2折至4折價提供更新的樣本。</p> <p class="rtecenter"><img alt="" src="https://899029.smushcdn.com/2131410/wp-content/uploads/2022/09/intermittent_encryption_2.jpg?lossy=0&strip=1&webp=0" style="width: 550px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／SentinelLabs</span></span></p> </div></div></div>
2022/9/12 22:50作者陳曉莉https://www.ithome.com.tw/news/153002
WebAssembly Runtime Wasmtime將發布1.0版本，官方揭露高效運作的秘密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bytecodealliance.org/articles/wasmtime-10-performance">輕巧高效能WebAssembly Runtime Wasmtime將在9月20日迎來1.0正式版</a>，在發布前夕，WebAssembly聯盟Bytecode Alliance發布部落格文章，介紹Wasmtime 1.0所應用的加速技術。這些最佳化工作，使編譯器Cranelift能夠生成更快速的程式碼，也使得Cranelift本身能高速運作，Wasmtime因而能夠更快地實例化已編譯的模組，並且在模組開始執行後保持Wasmtime高效運作。</p> <p>Wasmtime是建立在編譯器Cranelift之上的WebAssembly Runtime，當Wasmtime在執行Wasm程式的時候會執行兩部分的工作，分別是CPU執行從Wasm二元組碼編譯而來的原生指令，以及執行維護資料結構和實作Wasm語義的Wasmtime Runtime，這兩部分工作分別對應到Cranelift和Wasmtime，以及個別的初始階段以及穩態執行階段。</p> <p>而Bytecode Alliance透過加速編譯器和Runtime的各項工作，來大幅加速Wasmtime的整體執行速度。</p> <p>其中Wasmtime的初始階段，也就是實例化Wasm模組的速度，則是加速的關鍵之一。Wasm模組實例間相互隔離，是Wasm程式維持安全的重要方法，Wasm模組的每個實例都有自己的狀態，實例的狀態不會相互影響，為了讓隔離更加有效率，部分Wasm應用程式會將每個工作單元，像是伺服器上傳入的請求，實例化成一個新實例。</p> <p>而這種細緻的隔離，也代表著每個處理單元觸發的錯誤，不會影響後續單元，每個工作單元都會從一個明確定義的狀態開始，而且錯誤的影響半徑，或是存在的潛在損害都是有限的。</p> <p>因此極快的模組實例化是Wasmtime的關鍵要求，官方提到，他們在過去一年間，針對這項工作進行了大量的最佳化，將模組實例化從毫秒等級加速至微秒等級，在實際的SpiderMonkey.wasm案例中，實例化時間從原本的2毫秒縮減成5微秒，快了400倍。</p> <p>官方也針對Cranelift進行效能改進，最重要的工作是大幅改造暫存器分配器regalloc2。暫存器分配器是編譯器的一部分，功能是將儲存位置分配給程式中的值，當暫存器分配器能夠良好地決定儲存在暫存器中的數值，就能因為夠少的數值移動，大幅提升程式效能。Regalloc2則應用了更進階的演算法，來決定暫存器分配值的方法，在導入regalloc2之後，SpiderMonkey.wasm的執行時效能提升約5％。</p> <p>官方透過最佳化Wasmtime和Cranelift來提升Wasm程式的執行速度，Bytecode Alliance提到，WebAssembly要能夠成功，就需要加速執行的工具，才能夠與原生程式競爭。</p> </div></div></div>
2022/9/12 22:55作者李建興https://www.ithome.com.tw/news/152999
Canonical改進MLOps平臺Charmed Kubeflow資料處理與模型追蹤功能釋出最新1.6版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical發布最新的端到端MLOps平臺<a href="https://ubuntu.com/blog/charmed-kubeflow-1-6-available">Charmed Kubeflow 1.6</a>，這個版本的更新重點在於改進資料處理，透過整合Charms來處理來自各種來源的資料，以及追蹤功能也獲得強化，能夠更有效地量測機器學習模型，另外，Charmed Kubeflow 1.6還開始支援PBT訓練技術，提高模型訓練效率。</p> <p>Kubeflow是可用於訓練複雜模型的端到端MLOps平臺，針對Kubernetes提供可移植和可擴展的機器學習解決方案，簡化使用深度學習函式庫TensorFlow和PyTorch的分散式訓練工作，而Charmed Kubeflow則是Kubeflow的企業級版本，其特點在於具備自動執行任務的能力，透過引入自動維護和安全運作的Kubernetes Operator元件charm，加速工作負載部署，使資料科學團隊能夠更有效率地將模型推向市場。</p> <p>官方引用Kubeflow在2022年的社群調查，調查提到資料處理和轉換是企業面臨的一大挑戰，除了該工作本身就非常耗時之外，資料通常來自各種來源，而每個來源都有特定的程序和相依關係，使得資料處理工作變得繁瑣複雜。</p> <p>Charmed Kubeflow 1.6的更新使資料處理體驗更流暢，進而加速模型概念驗證階段，縮短模型轉換到生產的時間，而現在Canonical改進Charmed Kubeflow 1.6資料處理能力，透過使用charm來整合和處理各種來源的資料。</p> <p>新版Charmed Kubeflow也擁有較好的追蹤功能，用戶能夠更有效率的量測機器學習模型，模型迭代和除錯工作將會更簡單，解決方案會偵測資料飄移，使得模型能夠更快地適用變化，同時，新版本還改進了試用日誌，允許在資料來源故障的情況方便地進行除錯。</p> <p>Charmed Kubeflow 1.6另一個重要的更新是支援Population Based Training（PBT）技術，這將有助於改善機器學習模型訓練，達到生產就緒狀態的效率。Canonical提到，模型通常需要多達15次迭代才能進入生產，而且其中只有一半才有機會獲得這麼大的進展，借助PBT，需要大量資料的模型訓練會變得更有效率。</p> </div></div></div>
2022/9/12 23:04作者李建興https://www.ithome.com.tw/news/153000
【資安日報】2022年9月12日，研究人員揭露攻擊微軟Teams的手法GIFShell、惡意軟體Bumblebee埋藏…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定協作平臺發動攻擊的情況不時傳出，多半是針對當中的1到2種弱點下手，但近期有研究人員揭露攻擊微軟Teams協作平臺的手法GIFShell，當中就一口氣運用7種弱點，可說相當罕見。</p> <p>研究人員在半年前發現惡意軟體Bumblebee，當時駭客運用其看似無害的特性，用於傳送其他惡意程式、勒索軟體等工具到受害電腦，但最近有資安業者發現，現在Bumblebee的行蹤更難被資安系統察覺，而可能難以防堵相關攻擊行動。</p> <p>北約組織在烏克蘭戰爭扮演了反對俄羅斯的主要軍事力量，但卻因為有成員國沒有妥善保管所持有的資料，而使得該軍事組織的機密面臨外洩的情況。葡萄牙武裝部隊參謀總部傳出遭到網路攻擊，而導致與北約有關的文件外洩，且因相關檔案流入暗網才發現遭駭。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@bobbyrsec/gifshell-covert-attack-chain-and-c2-utilizing-microsoft-teams-gifs-1618c4e64ed7"><span style="color: rgb(0, 0, 0);">研究人員揭露以GIF檔案攻擊微軟Teams的手法GIFShell</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_rrsX0TkEpTSaPnZRVvwJUw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_rrsX0TkEpTSaPnZRVvwJUw.png" style="width: 300px; float: right;" /></a>資安研究員Bobby Rauch揭露了鎖定微軟協作平臺Teams的攻擊手法「GIFShell」，當中串連此平臺的7項缺陷來達到目的，攻擊者與受害者之間並未直接傳送訊息，而是完全藉由發送惡意GIF檔案的訊息，以及微軟所屬的伺服器界外（Out of Bounds）尋找GIF檔案機制所形成的管道。研究人員藉由設置反向Shell，並將其用來在Teams傳送內有惡意指令的GIF檔案，最終濫用微軟的基礎設施來外洩資料。</p> <p>不過，由於攻擊者必須先說服受害者在電腦安裝惡意軟體，才能發動上述攻擊，微軟針對這項研究成果表示，因為沒有繞過該公司的安全邊界，他們不會進行修補作業，但有可能在未來調整產品的設計來改善相關缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/07/bumblebee-returns-with-new-infection-technique/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過後期滲透工具PowerSploit，埋藏在受害電腦記憶體內運作 </span></a></strong></h3> <p>駭客利用惡意軟體Bumblebee在受害電腦下載其他的作案工具，頻頻傳出相關事故，但這個惡意軟體的行蹤如今變得更加隱蔽，而使得資安系統可能更難以察覺其蹤跡。</p> <p>資安業者Cyble針對近期出現的Bumblebee進行分析，發現駭客先是發送帶有VHD虛擬磁碟檔案的垃圾郵件，對受害者進行網路釣魚攻擊，此VHD檔案的內容包含了Quote.lnk與imagedata.ps1，一旦受害者執行了LNK檔案，就會觸發後者的PowerShell指令碼，並於背景執行，然後解密另一個指令碼，最終透過後期滲透工具PowerSploit，將DLL程式庫載入PowerShell處理程序的方法來執行Bumblebee。</p> <p>研究人員指出，駭客利用PowerSploit的做法，使得Bumblebee完全在記憶體內執行，不會在硬碟留下任何痕跡，而能大幅減少被防毒軟體發現的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/classified-nato-documents-stolen-from-portugal-now-sold-on-darkweb/"><span style="color: rgb(0, 0, 0);">北約文件流入暗網，起因是葡萄牙軍方遭網路攻擊</span></a></strong></h3> <p>根據葡萄牙新聞網站Diario de Noticias的報導，該國的武裝部隊參謀總部（EMGFA）遭到網路攻擊，導致與北大西洋公約組織（NATO）有關的文件外洩，葡萄牙國家安全辦公室（GNS）、國家網路安全中心派出專案小組進行調查。</p> <p>不願具名的知情人士透露，外洩資料的內容極為嚴重（extreme gravity），將導致葡萄牙在北約組織的信譽出現危機。針對這起網路攻擊，知情人士表示，此為長期且無法偵測的攻擊行動，駭客透過程式化的機器人（Bot）來偵測特定類型的文件，並在作案的多個階段後清除跡證。由於EMGFA將相關資料存放於隔離網路的電腦，初步調查的結果出爐，這些機密疑似透過不安全的管道流出，很有可能是EMGFA違反了相關管理規範所致。</p> <p>這起事故被發現的原因，是美國威脅情報員發現有人在暗網兜售EMGFA的資料，透過駐里斯本大使館通報葡萄牙政府才曝光。在上述新聞網站報導此事後，在野黨要求政府做出說明，但在截稿之前，葡萄牙當局尚未發表聲明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/blog/apt42-charms-cons-compromises"><span style="color: rgb(0, 0, 0);">伊朗駭客組織APT42鎖定安卓手機部署間諜軟體從事網路間諜行動</span></a></strong></h3> <p>資安業者Mandiant揭露由伊朗資助的駭客組織APT42，該組織主要鎖定政府官員、記者、學者下手，自2015年開始，在14個國家發動逾30次攻擊行動。這些駭客針對攻擊目標竊取相關帳號資料，來從事網路間諜活動，但與許多國家級駭客不同之處，在於APT42往往鎖受害者的安卓手機，部署惡意軟體來進行跟蹤，此惡意軟體主要透過簡訊的方式，每天將受害者的手機通話內容、收到的訊息回傳給駭客。但除了手機，該組織有時候也會對Windows電腦發動攻擊。</p> <p>研究人員指出，APT42很可能與APT35相同，都是隸屬於伊朗革命護衛警察（IRGC）旗下的駭客組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-claims-lausd-ransomware-attack-theft-of-500gb-of-data/"><span style="color: rgb(0, 0, 0);">美國洛山磯學區LAUSD遭勒索軟體攻擊，Vice Society宣稱竊得500 GB資料</span></a></strong></h3> <p>上週美國洛山磯學區（Los Angeles Unified School District，LAUSD）公布他們遭到勒索軟體攻擊，但攻擊者的身分為何？勒索軟體駭客組織Vice Society向資安新聞網站Bleeping Computer透露，此起資安事故是該組織所為，並宣稱竊得500 GB檔案。對此，LAUSD要求所有師生、員工在上述勒索軟體攻擊後，重設密碼，並打算導入雙因素驗證來強化安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mjib.gov.tw/news/Details/1/799"><span style="color: rgb(0, 0, 0);">知名旅遊業者KKday前經理涉嫌竊密供新東家運用，遭檢調約談</span></a></strong></h3> <p>法務部調查局於9月8日指出，有知名旅遊業者利用競爭對手的離職員工，收集此競爭業者的內部資訊與系統漏洞，並進行商業滲透及竊取營業秘密，來奪取競爭優勢。<a href="https://www.cna.com.tw/news/asoc/202209080313.aspx">根據中央社的報導</a>，這起事故是旅遊業者KKday進行內部資安稽核時發現，有不明人士非法登入，竊取合作廠商名單、商品明細、客戶流量分析等商業機密資料，進而向調查局資安工作站提出檢舉。經調查局與KKday清查內部系統連線記錄後發現，一名陳姓前經理在離職後，竊取相關帳密資料提供給新東家Klook使用，目的是存取相關營業秘密資料，檢方複訊後，諭令陳姓嫌犯以30萬元交保，全案朝向刑法妨害電腦使用罪及洩漏工商秘密罪偵辦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/crimeware-trends-ransomware-developers-turn-to-intermittent-encryption-to-evade-detection/"><span style="color: rgb(0, 0, 0);">為規避偵測，駭客改以間歇式手法加密受害電腦檔案</span></a></strong></h3> <p>勒索軟體駭客為了避免遭到資安系統的攔截，他們不約而同地調整了加密檔案的策略。資安業者SentinelOne表示，<a href="https://news.sophos.com/en-us/2021/08/27/lockfile-ransomwares-box-of-tricks-intermittent-encryption-and-evasion/">勒索軟體LockFile自2021年中</a>開始導入間歇式加密手法（Intermittent Encryption），每隔16個位元組執行一次檔案加密，而能更快完成加密流程，且得以躲過資安系統根據I/O讀寫的偵測機制。如今類似的手法也被BlackCat（Alphv）、Black Basta、Agenda、Play、Qyick等勒索軟體採用，並在地下論壇標榜相關功能來吸引買家。研究人員認為，這種新型態的加密檔案手法將會被更多駭客採用。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/albania-suffers-renewed-cyberattack-blames-iran"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞因伊朗駭客攻擊與伊朗斷交，疑再度遭到攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.google/threat-analysis-group/initial-access-broker-repurposing-techniques-in-targeted-attacks-against-ukraine/"><span style="color: rgb(0, 0, 0);">烏克蘭組織、歐洲NGO遭到前Conti成員發動網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-cobalt-strike-servers-ddosed-with-anti-russia-messages/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客的Cobalt Strike伺服器遭DDoS攻擊，攻擊者留下反對俄羅斯的訊息</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/09/05/spyware-campaign-targeting-the-uyghur-community/"><span style="color: rgb(0, 0, 0);">駭客假借提供領導人傳記的名義，鎖定維吾爾社群散布安卓惡意軟體</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152950">【2022年9月8日】 Linux惡意軟體Shikitega以多階段部署規避偵測、北韓駭客Lazarus利用MagicRAT木馬發動攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152923">【2022年9月7日】殭屍網路MooBot鎖定D-Link路由器而來、中國指控美國國家安全局對當地大學發動大規模網路攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152907">【2022年9月6日】威聯通NAS的相片管理軟體漏洞遭勒索軟體DeadBolt鎖定、抖音與微信資料庫流入駭客論壇</a></strong></strong></strong></p> </div></div></div>
2022/9/12 16:40作者周峻佑https://www.ithome.com.tw/news/152998
北韓駭客集團利用Log4Shell漏洞攻擊美國、加拿大與日本的能源供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/2022/09/lazarus-three-rats.html" target="_blank">資安業者Cisco Talos近日揭露</a>，存在於Java紀錄框架Apache Log4j中的Log4Shell漏洞（CVE-2021-44228），持續成為駭客入侵組織的起始點，北韓駭客集團 Lazarus 從今年2月到7月間，鎖定了未於VMware Horizon中修補該漏洞的美國、加拿大與日本的能源供應商展開攻擊，以於這些組織的系統內植入其它惡意程式。</p> <p>2021年11月被公布的Log4Shell為一任意程式執行漏洞，其CVSS風險等級高達10，<a href="https://blogs.apache.org/security/entry/cve-2021-44228" target="_blank">大約有20個Apache專案</a>受到Log4Shell漏洞的影響，而因為採用Log4j或相關專案而受到波及的商業服務則不計其數，<a href="https://www.wiz.io/blog/10-days-later-enterprises-halfway-through-patching-log4shell" target="_blank">安永會計師事務所（Ernest & Young）曾估計</a>93%的雲端環境都存在風險，而VMware的虛擬桌面及程式管理平臺<a href="https://www.ithome.com.tw/news/151624" target="_blank">VMware Horizon也是眾多受害者之一</a>。</p> <p>Cisco Talos指出，Lazarus把VMware產品中的Log4Shell漏洞當作進入企業網路的初步通道，繼之再部署該集團所開發的惡意程式，以常駐於受害網路上，目的是為了竊取這些組織的機密資訊與智慧財產，以進行間諜活動或是支持北韓政府的目標。由於VMware Horizon是以管理權限執行，使得駭客完全不必擔心權限問題，並在進入受害網路之後，關閉系統的防毒元件。</p> <p>在這波鎖定加拿大、美國與日本能源供應商的攻擊活動中，Lazarus集團使用了3種客製化惡意程式，其中的兩款是已知的VSingle與YamaBot，以及新的MagicRAT。</p> <p><a href="https://blogs.jpcert.or.jp/en/2021/03/Lazarus_malware3.html" target="_blank">VSingle</a>早在去年3月就被公開，它是個HTTP機器人，能與遠端的C&C伺服器通訊，以自遠端執行任意程式，或是下載與執行外掛程式；<a href="https://blogs.jpcert.or.jp/en/2022/07/yamabot.html" target="_blank">YamaBot</a>則是個以Golang撰寫的惡意程式，原本鎖定Linux平臺，但亦有支援Windows的版本，兩個版本皆允許駭客自遠端執行命令，至於新發現的MagicRAT使用與VSingle及YamaBot不同的C&C伺服器，功能亦是用來維繫駭客對系統的存取能力。</p> <p>另有資安專家建議，在部署涉及Log4Shell的軟體漏洞時，最好先確定現有的漏洞尚未被駭客開採，再進行軟體更新，否則也許早就遭駭客滲透而不自知。</p> </div></div></div>
2022/9/12 12:03作者陳曉莉https://www.ithome.com.tw/news/152982
統一超商科技概念店X-Store 6號店登場，主打透過AR科技優化無人購物體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商6號科技概念店在世新大學管理學院大樓開幕，不同於以往的實體科技店，6號店最大亮點是推出專屬App，來創造更多元的線上線下購物體驗，顯示出統一超持續朝OMO零售發展的新企圖。</p> <p>X-Store 6號店與先前X-Store一樣，劃分為複合體驗區及自助體驗區，除了ibon事務機、列印機及熟食類商品外，其餘商品都陳列於半封閉式的自助體驗區。6號店的自助體驗區占比為6家科技概念店中最大，高達8成。為了引導消費者使用自助體驗區中的各式新服務，統一超也特別設計了實體店的數位體驗，透過AR互動元素介紹店內設施及功能。</p> <p>不同於以往數位體驗用<a href="https://www.ithome.com.tw/news/148863">Web App呈現</a>，消費者改透過專屬X-Store App，透過App鏡頭掃描店內AR Marker介紹牌時，可以在畫面店內看到AR角色介紹新服務內容。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/560496.jpg" style="height: 500px;" /></p> <p>X-Store App也有自助掃描結帳功能。自助結帳功能中，除了先前X-Store Web App就有的自助掃描結帳功能，也加入了個人化行銷、單店行銷訊息跳出的環節。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560516.jpg" style="height: 500px;" /></p> <p>若消費者所處位置在門市外，也能在App首頁選擇進入遊戲式的3D介面，操縱角色進入以X-Store 6號店為模型的店面。模擬貨架上，陳列著預購商品，點擊會轉移到i預購2.0服務的線上購物介面。統一超商表示，未來可能會發展類似於社群類元宇宙遊戲的購物體驗，不過目前仍在發想階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560497.jpg" style="height: 500px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/560498.jpg" style="height: 500px;" /></p> <p>儘管此App體驗僅是為了X-Store 6號店設計，但自助結帳的掃描條碼功能其實也能讀取到一般門市的商品條碼，因此還加入了GPS定位功能，若感應到消費者位處門市外，就會鎖定自助結帳功能。</p> <p>其他零售科技的應用，與先前X-Store相同。自助體驗區需輸入會員電話號碼或掃描會員條碼才能進入，若無會員身分，則能刷悠遊卡等電子票證入場。自助購物區配備了即時監控用的IoT貨架、用App操作的智慧咖啡機、與後臺系統連結的電子標籤以及感應式冰箱門。朝向世新大學內部的另一個出入口處，擺放著2臺自助結帳機，作為學生購物動線的終點。6號店內還設有1人大小的迷你包廂，以電子票證作為入場及付費工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560509(1).jpg" style="height: 500px;" /></p> <blockquote><p>可以輸入會員電話號碼或掃描會員條碼的出入口門禁系統。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560508.jpg" style="height: 500px;" /></p> <blockquote><p>感應式冰箱門，會隨著消費者的手調整開啟幅度，節省電力。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560493.jpg" style="width: 600px;" /></p> <blockquote><p>串接App及電子支付功能的智能咖啡機。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560494.jpg" style="width: 600px;" /></p> <blockquote><p>在促銷、漲價以及貨架換貨時能及時更新資訊的電子標籤。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/560492.jpg" style="height: 500px;" /></p> <blockquote><p>自助結帳機設於出入口處，作為購物動線終點。</p> </blockquote> <p>圖片來源：郭又華攝 </p> </div></div></div>
2022/9/12 09:58作者郭又華https://www.ithome.com.tw/news/152978
馬斯克對iPhone、Starlink整合招手表達歡迎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上周蘋果發表首支可支援衛星緊急求救服務的iPhone後，<a href="https://twitter.com/elonmusk/status/1567930757473091584" target="_blank">馬斯克周末表達</a>歡迎iPhone整合衛星連網服務Starlink。</p> <p>馬斯克說該公司曾和蘋果針對Starlink連網服務有過頗為有潛力的對談，大讚iPhone團隊絕頂聰明。他說，以手機軟、硬體針對太空訊號調整，會比單單靠Starlink模擬電信基地臺，更能有效連接太空和手機。</p> <p>衛星連接手機是馬斯克旗下Space X的最新重點。<a href="https://www.ithome.com.tw/news/152726" target="_blank">Space X本月稍早和美國電信商T-Mobile宣布合作</a>，在電信網路無法覆蓋的盲區，消費者可以5G手機直接連結低軌衛星，以提供Starlink網路服務，預計2023年底前進行測試。</p> <p>在Space X和T-Mobile這項合作下，Starlink的衛星即扮演電信網路基地臺。雖然可免於用戶安裝地面基地臺，但是為此Space X也必須研發更大、更重的第二代衛星，以及載送第二代衛星的新火箭。</p> <p>馬斯克是在<a href="https://www.ithome.com.tw/news/152946" target="_blank">蘋果剛剛發表最新iPhone 14系列</a>後發出這番邀請。iPhone 14雖然只支援在緊急時刻可連接衛星撥出SOS求救訊息，<a href="https://www.theverge.com/2022/9/7/23341609/apple-iphone-14-far-out-event-missing-announcements" target="_blank">但媒體相信</a>，這可能預告了蘋果未來也會支援衛星通話或傳訊服務。</p> <p>馬斯克所指和蘋果的對話為何不得而知。不過，<a href="https://www.ithome.com.tw/news/141907" target="_blank">馬斯克曾透露</a>，早年開發特斯拉電動車期間，曾找庫克談蘋果收購一事，但遭蘋果方面的拒絕。</p> </div></div></div>
2022/9/12 10:54作者林妍溱https://www.ithome.com.tw/news/152979
【iThome 2022 資安大調查(上) 資安災情】2021年臺灣企業資安災情多嚴重？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1094-feng_mian_p2p3-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何具體量化一家企業的資安體質？這是iThome資安大調查最重要的目標。從5年前，開始在每年的iThome CIO大調查中同步執行資安調查，累積了1,984份來自臺灣大型企業第一手資安數據，將臺灣企業資安現場最真實的樣貌，轉換成各種量化圖表，作為企業資安決策之用。</p> <p>這兩年我們開始嘗試設計更多不同形式的分析圖表，希望可以提供更多資安技術決策或投資規劃的參考。去年我們發表了企業資安風險圖，來呈現每一個產業不同層度的資安風險項目，作為資安資源有限時的排序參考。今年。我們進一步提出一個全新的指標「遭駭指數」（Under Attack Index），可以作為衡量一家企業，甚至是一個產業資安體質的整體性指標。</p> <p>我們將一次資安事件的完整發生時間（企業遭駭平均發現時間加上發現遭駭後的平均復原時間），乘以一家企業一年平均資安事件數量，就可以得到一家企業一年得承受的遭駭天數。在這段時間內，企業處於遭入侵而不自知，或者發現被駭而還沒復原的狀態，就像是確診前的潛伏期，到確診後治療，尚未康復前的生病過程一樣。</p> <p>近一步將遭駭天數除以365天，就可以得到相對性的百分比分數，方便進行各產業比較，也可以供企業與自己真實的數據來試算相比，了解自己與產業資安體質的落差。這個百分比就是遭駭指數，數值越低越健康，最理想數值就是0，也就是完全沒有發生資安或入侵事件。</p> <p>2021年的整體產業遭駭指數是45％，也就是說，過去一年，臺灣產業有45%的時間處脆弱期。看似不低，但相較於過去2年，2019年的遭害指數高達69%，等於一年每3天就2天企業的資安生病了，但隔年逐漸好轉，跌到53%，今年的整體產業遭駭指數繼續下滑，這也反映出，從2020年企業各項資安強化作為，開始發揮了作用。</p> <p>8成企業去年發生至少一次資安事件，2成企業更是超過了50次，駭客或惡意程式在企業的潛伏時間平均約6.2天，有6成多企業可以在一天內復原。</p> <p>進一步從產業別來看，不同產業的遭駭指數落差非常大。金融業向來是資安優等生，2021年的遭駭指數也只有16%，過去一年的脆弱期不到2個月，而政府機關在資安法上路後，展開大規模和系統性的資安強化作為，也讓遭駭指數降低到18%，資安體質僅次於金融業。高科技製造業的資安體質最差，高達74％，甚至比一般製造業更糟糕。關鍵原因就是，高科技製造業去年資安事件數目偏高，再加上遭攻擊後的平均復原時間長達6.7天，幾乎是一般製造業者的兩倍時間之久，才導致遭駭指數飆高。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(2).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(3).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(4).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(5).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(6)-V3.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(7)-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(8).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(9)-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(10)-V2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p2p3-600(11)-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color:#696969;"><strong>大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷416家，其中61.9%填答者為企業資安最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152959" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a>　<a href="https://www.ithome.com.tw/article/152959" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1094-feng_mian_p1-open-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=M8eW-x_b" style="width: 550px;" /></a></p> </div></div></div>
2022/9/12 07:00作者王宏仁https://www.ithome.com.tw/article/152956
【iThome 2022 資安大調查(上) 資安投資趨勢】2022年企業資安投資力道多強？多少錢？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1094-feng_mian_p4-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣大型企業今年資安投資，出現非常顯著的成長力道，平均每家企業在2022 年的資安預算約715萬元，遠高於去年底的實際資安支出約 597 萬元。</p> <p>從歷年iThome 資安大調查數據可以看到，企業資安投資在2018 年出現一次爆炸性的成長，暴增了7 成，但後續幾年的資安投資力道卻大幅下滑，甚至去年呈現負成長，直到2022年，企業資安投資力道終於再度反彈，資安預算出現了正成長，甚至顯著提升，而且各產業都出現了資安預算大幅成長的跡象，其中，又以高科技業的增幅近6成居冠，一般製造業增幅3成3居次，醫療業、政府與學校也都有 2成的資安預算成長幅度。</p> <p>製造業向來是資安預算相對較低的產業，但在過去2年來，臺灣發生了多起製造業重大資安事件，甚至連知名製造業則都淪陷。有鑑於此，去年4月時，證券交易所修訂了重大訊息處理程序，明定上市公司發生重大資安事件時，必需發布重大訊息對外揭露，這讓許多過去少為人知的大型資安事件攤在檯面下，迫使更多企業必須更加重視資安事件的因應，也進一步帶動了企業對資安的投資力道。</p> <p>而從資安投資占IT預算的比例來看，政府與學校的占比達1成3最高，較去年大幅增長，這也反映出近年政府推動落實資安的態勢，逐漸提高資安在IT預算中的比重，而一般製造業與高科技業仍維持接近1成的占比，至於金融業的比例雖只有2%，但該產業IT預算超過10億元，也因此平均資安投資金額，仍是遠遠高於其他產業。</p> <p>不過，今年雖然每個產業的企業資安預算都回升，但是，仍舊沒有達到企業資訊長和資安長心中期待的目標。超過7成企業的CIO，這幾年都將資安視為自己年度的首要工作目標，但是他們自己評估，今年資安預算還要再增加3成5，才足以因應企業當前所面臨的各種資安威脅。資安預算年年不足，如何安排投資優先順序，是資安第一線指揮官每一年的課題。</p> <p>從今年大調查的企業資安投資重點中，可以看到，前五大項早已是近年的基本重點，受關注的是，相較去年，有幾項資安投資在今年有更高的企業比例，例如：員工資安意識的教育訓練、Web安全、資安稽核／認證、資安委外服務、源碼檢測、威脅情資與 CSIRT。企業今年更重視員工資安意識的強化，甚至超越了災難復原的排名。特別的是，對於一些進階與新興資安領域項目，也有不少企業表明，今年將開始嘗試投資或導入，其中又以零信任資安架構、導入多因素驗證的企業比例最高，以零信任資安架構來說，今年預計採用的企業達到15.6%，又以政府機關和學校最積極，接近3成要導入零信任。另外，像是軟體供應鏈安全，以及開發導入Security by Design的做法，也有企業要行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p4-600(1)(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p4-600(2).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p4-600(3).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p4-600(4).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷416家，其中61.9%填答者為企業資安最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152959" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a>　<a href="https://www.ithome.com.tw/article/152959" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1094-feng_mian_p1-open-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=M8eW-x_b" style="width: 550px;" /></a></p> </div></div></div>
2022/9/12 07:00作者王宏仁https://www.ithome.com.tw/article/152957
【iThome 2022 資安大調查(上) 資安人力趨勢】2022年企業資安人力需求缺口多大？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1094-feng_mian_p5-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年，大型資安事件頻傳，讓企業高層越來越重視資安，對於資安投資，也比過去更積極，願意設置更多資安人力的編制，再加上近年多項法遵要求，不論是資安法對於八大關鍵基礎設施產業的資安要求，或是金管會要求金融產業、上市櫃公司，都必須設置資安專責人力，這些法遵要求，也大幅帶動了臺灣大型企業對資安才的需求。</p> <p>從連續5年的iThome資安大調查中，我們可以看到臺灣企業逐年提高資安編制規模的趨勢。目前，國內已有8成企業設置資安專職人員，金融業、政府學校均達到9成4以上的高比例，服務業也有8成2，至於高科技、一般製造、醫療業設置專責資安人力編制的企業比例則在7成多。</p> <p>從今年的臺灣企業資安人力需求來看，現有企業平均資安人力約3.5人，預估今年將新招募2.4人，這顯示今年資安人力需求仍高，企業還要增加6成人力，也就是整體要擴編到5.9人。若以2千大企業來看臺灣今年整體資安人才市場，目前在企業從事資安工作的人力，約7千人，但以今年招募需求來看，對資安人才的需求高達近5千人之多，仍有很大的不足。</p> <p>近年政府展開了多項資安人才培育做法，例如教育部正在發展臺灣資安職務地圖，而金管會則發布了金融機構資安職能地圖，作為資安人才培訓和能力發展的引導，要更系統性的培育不同職缺能力的資安人才，也能擴充資安人才的數量，來滿足一年數千人規模的資安人才需求。</p> <p>不過，在今年資安大調查中發現，資安熟手人力缺乏，是企業今年自認無法抵抗駭客攻擊的第二大主因，僅次於員工資安意識不足，可是，企業要從現有資安人力市場上，招募到立即可派上場的資安戰力，不是一件容易的事。剛從學校畢業的IT人，很難快速上手，不少資深資安人力容易轉換跑道，流向資安投資較高或資安建置更完善的大型企業，來爭取更高薪資或更大發展機會，這也讓臺灣資安人力跨產業的流動更加頻繁。</p> <p>若以產業別來看，政府與學校今年對於資安人才的缺口最大，因此招募人數也最多，資安職缺數平均達到4.3人，金融業居次，平均為3.5人，特別的是，這兩個產業的平均現有資安人力，已經來到5.8人與9.5人，這已經比去年調查結果要多，且今年新招募數量仍多，反映他們對資安方面人力的渴求程度依舊很高。</p> <p>服務業今年最受關注，該產業平均要招募的人數為3人，因為這是他們現有資安人力的一倍，為各產業中資安人力缺口比重最高，至於一般製造業、高科技業與醫療業，要招募的人力也在現有資安人力的7成到9成之間。整體來看，今年各產業要招募資安人力的企業比例，整體為3成，也就是每10家公司有3家要招資安人才，其中金融業的比例達7成2，醫療與高科技業比例在3成以上，一般製造業與服務業也有2成多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p5-600(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p5-600(2).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-%E5%B0%81%E9%9D%A2p5-600(4).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷416家，其中61.9%填答者為企業資安最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152959" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a>　<a href="https://www.ithome.com.tw/article/152959" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1094-feng_mian_p1-open-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=M8eW-x_b" style="width: 550px;" /></a></p> </div></div></div>
2022/9/12 07:00作者王宏仁https://www.ithome.com.tw/article/152958
iThome 2022 資安大調查（上）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1094-feng_mian_p1-open-zi_an_da_diao_cha_-960x420_kao_bei_.jpg?itok=M8eW-x_b" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新常態加速企業數位轉型，為了強化抗駭能力，帶動企業資安投資力道出現2位數成長，各產業都加碼資安預算，超過3成企業要擴編資安人力，金融業更高達7成要搶人</p> </div></div></div>
2022/9/12 07:00作者王宏仁https://www.ithome.com.tw/article/152959
靠體感遊戲實現遠距復健，龍骨王要成為復健生態圈平臺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「以前家人去醫院看病，至少要搭車1小時！」出身蘇澳偏鄉的龍骨王創辦人暨執行長陳誌睿回憶。這個距離，不只是偏鄉民眾就醫的痛點，更是需定期回院復健病患的一大阻礙，往往只回醫院1、2次就放棄不去了。這個醫療資源分配不均的窘境，陳誌睿一直記在心裡，後來成為他投入軟體輔助復健的起心動念。他不只要用軟體，成為復健治療師的左右手，還要讓民眾免於奔波，在家就能自己做復健。</p> <p>於是，他用一行行程式碼，打造出活潑有趣的AR互動遊戲，讓民眾舞動手腳來闖關，比如，有人化身蝴蝶用力振翅，也有人穿梭在傳統市場、提菜籃揀果菜。這些情景，在全臺100多個醫療機構、社區中心、民眾自家，甚至是臺東130多個原住民族文化健康站，都能看到。</p> <p>這些遊戲不只有趣，還是復健專用的精密軟體。龍骨王自建電腦視覺模型，可即時辨識民眾每一次的舉手投足，不僅能從手臂擺動角度算出關節靈活度，還能從各種動作推導出力量、進而判斷姿勢正確性。陳誌睿一頭栽進這個領域，一做就是10年，還樂此不疲。</p> <p><span style="font-size:28px;"><strong>用數據解決傳統復健醫病問題</strong></span></p> <p>因為，他相信，軟體輔助復健可解決許多問題。</p> <p>像是，傳統復健面臨的勞力密集問題。他解釋，一般醫院的復健情況是，專科醫師替民眾看診後，會開立處方、列出需復健的項目，再由醫院復健中心的治療師與民眾一對一，進行復健訓練和評估。假設民眾1個月看一次醫師，就會安排中間的空檔，定期到醫院找治療師復健。</p> <p>但臺灣的現況是，一位復健治療師得照顧多位復健患者，每位患者都得一對一花大量時間訓練和評估。此外，一些患者的復健動作可能與其他患者相同，等於治療師得重複作業。</p> <p>陳誌睿設計系統時，考量了這幾點。首先，他打造的互動式遊戲復健系統，內建一個處方介面，醫師可用來拖拉不同關節的復健運動，供醫師組合出適合病人的訓練內容，優化傳統流程。再來，這款復健遊戲搭配AI模型和深度感測器，能精準辨識、計算出患者的關節活動角度，並直接產出報表給治療師參考，分擔治療師的評估工作。</p> <p>而且，陳誌睿還設計，這款軟體不只能針對個人，還能支援多人（最多6人）同時復健、同時辨識動作，產出報表。這麼做，改變了治療師的勞力重工現象，也能讓治療師更快速掌握患者狀態，進一步調整治療方案。</p> <p>甚至，這套復健軟體還進一步延伸到遠距復健。陳誌睿指出，傳統復健方式要求患者至醫院復健中心進行復健，但偏鄉民眾，甚至是居住在都市、但公寓無電梯的患者，因行動不便、距離因素，很容易放棄到醫院復健。再加上這兩年疫情肆虐，也有民眾不敢踏進醫院，遠端復健的需求水漲船高。</p> <p>龍骨王的復健系統採雲端架構，目的是要打破距離障礙。陳誌睿說，目前，只要醫師開好復健處方，患者家裡只要有電視螢幕，再搭配裝有深度感測器的「小盒子」，就能在家跟著互動遊戲做復健，系統也能即時辨識民眾動作、產出報表。治療師不必在現場也能檢視報表、掌握患者復健進度，判斷疾病是否惡化。患者回診時，醫師也能查看報表，而非只聽民眾口頭描述，用量化數據來調整治療策略。</p> <p>這種遠距居家復健，是龍骨王今年的推廣目標。他們要與醫學中心發展支援遠距的虛擬復健中心，讓民眾在家也能復健外，還要將遠距概念擴展到更多社區中心，縮短偏鄉民眾、行動不便患者到醫院復健的距離。</p> <p>不只如此，遠距復健更重要的意義，在於讓患者在黃金復健期內，及時進行訓練，提高復日後原力。比如，患者中風3個月內是黃金復健期，若患者未住院，按傳統流程就得到醫院復健，然而不少人因行動不便、距離等因素，到院困難，此時就能利用遠距復健軟體，來原地訓練。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1094-xTransformation-2P-%E8%8B%A5%E6%A8%B8-600.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span><br /> <span style="font-size: 20px;"><strong>我們要將核心功能模組化，來與復健設備廠商整合，成為復健硬體界的Android平臺。── 龍骨王創辦人陳誌睿</strong></span></span></p> <p><span style="font-size:28px;"><strong>自建AI模型和分析報表，開發200多種AR遊戲情境</strong></span></p> <p>這些復健軟體要改善傳統流程，首先得引起患者興趣、提高患者復健意願，再透過即時辨識、分析患者動作的能力，來產出復健報表給治療師。龍骨王怎麼做？</p> <p>首先，為吸引患者投入復健，龍骨王用互動遊戲，來包裝復健活動。比如，他們針對恢復較佳的中風患者、神經術後病人以及社區亞健康長者，設計一套揀棉花遊戲。該遊戲從臺灣早期興盛的棉花產業發想而來，具懷舊特色外，主要用來測試患者平衡感。</p> <p>在遊戲畫面中，左右各有3條輸送帶，將一個個髒棉花往中央送，患者得雙腳固定在中央的棉花團裡，手握除塵撢來清理髒棉花。這個遊戲可衡量，患者在固定的支撐底面積下，身體如何轉移重心、保持平衡。其中，3條由上而下的輸送帶，可訓練手臂的延伸能力外，還能運用上下肢肌力。而左右輸送帶的設計，則適合中風等半側偏癱的患者活動，鼓勵側肢體運動。</p> <p>不只揀棉花，龍骨王也根據不同節慶，設計出相關主題的復健遊戲，來吸引患者和長者活動筋骨。「我們的訓練內容，已經從最初的5個，擴展到現在的200多個！」陳誌睿說。</p> <p>患者投入復健後，再來，就是要軟體具備「看」的能力。龍骨王以開源AI模型為基礎，修改、重新訓練後，用來觀察患者的動作。比如，模型搭配深度感測器，可辨識手臂上下擺動的角度，來判斷肩關節靈活度，又或是辨識患者肘關節的屈直角度，來判斷患者的肘部動作量，是否符合復健訓練目標。</p> <p>模型會看動作之後，還得將看到的資訊消化，轉化為患者的復健報告。以肩部報表為例，患者完成肩部復健訓練，系統會根據患者動作，產出一系列參數數值，像是左右臂上下擺動的肩關節絕對角度、屈直角度、水平外展角度、旋轉角度，以及肘關節絕對角度和膝關節的屈直角度等，可精確到小數點後一位。在患者角度欄位一旁，系統也會計算標準差角度，方便治療師判讀。</p> <p>除了個別關節角度，系統還會產出復健活動總覽，將患者的活動歷程搭配時間和角度兩個座標，繪製成曲線圖，治療師可從中了解患者動作的節律、幅度和耐力等表現。此外，系統也能進一步產生肩關節切平面剖面圖，治療師可用來判斷患者關節活動受限的程度，以及異常的動作策略，甚至還能查看原始數據，作為矯正參考。</p> <p>龍骨王目前的內容多樣，為管理各種內容，他們也為打造了的3種後臺系統，包括病人表現層、治療師表現層和內部表現層。表現層指的是管理，比如，治療師表現層就是治療師用來管理患者復健數據的後臺，而病人表現層則是龍骨王對遊戲內容和分析內容的管理後臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-%E5%BE%A9%E5%81%A5-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%BE%8D%E9%AA%A8%E7%8E%8B-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／龍骨王</span><br /> <strong>龍骨王開發互動式復健遊戲，可支援多人同時活動（最多6人），並搭配電腦視覺模型與深度感測器，即時辨識多位長者關節活動角度，供復健治療師判斷。</strong></span></p> <p><span style="font-size:28px;"><strong>納入步態分析，作為復健評估工具</strong></span></p> <p>復健有兩大必備要素：訓練和評估，訓練是用來改善患者的肢體活動，而評估，則是衡量訓練成效的重要工具。龍骨王已針對復健訓練，開發出上百種互動式遊戲情境，而2019年，他們進一步納入評估，作為產品藍圖的一環。</p> <p>當時，他們詢問第一線醫院臨床醫師，找上高雄長庚神經內科，鎖定步態分析，作為復健評估工具。他們先瞄準的對象是帕金森氏症患者，展開為期4年的研究、打造出專屬系統，來根據患者步速、步長、關節角度（如髖關節、膝關節）等數據，判斷跌倒風險和疾病的嚴重程度。</p> <p>他們發現，步長和步速的降低，是發生跌倒的警訊。這兩個參數成為監測患者是否惡化的重要指標，醫院可在復健前後和用藥前後，對患者進行步態分析，制定治療策略。</p> <p>後來，龍骨王也與其他醫院共同優化這套步態分析系統，進一步納入了中風、肌少症等症狀的風險評估。該系統也在2020年，獲得美國食藥局FDA Class II的醫材認證。</p> <p><span style="font-size:28px;"><strong>最大挑戰是符合需求、打造通用版</strong></span></p> <p>不過，如同許多醫資業者，龍骨王在系統開發上，也遭遇不少挑戰，其中最大的困難就是通用化。因為，臺灣醫療是高度客製化的產業，醫院大多有各自不同的需求，但龍骨王的策略是「不一一客製化開發。」陳誌睿點出，他的原則是釐清需求、打造公版系統，包括訓練內容、分析模板和後臺管理系統，來給醫療機構使用。</p> <p>但，隨著時間發展，龍骨王市場越來越大，使用的醫療機構越來越多，他們就得面臨，隨時調整公版系統架構的需求。因為，這個公版系統得顧及上百家醫院的共同需求，又得滿足醫院客製化要求，比如，一家醫院提出自身需求，希望復健病人到院、自行插卡健保卡並完成復健訓練，龍骨王就得根據這個個別需求，在維持通用性的前提下，來調整公版系統架構。「這是我們正在努力的方向，」他說。</p> <p><span style="font-size:28px;"><strong>要將產品模組化，未來要做復健軟體界的Android</strong></span></p> <p>另一個龍骨王正在努力的目標，則是產品模組化。一直以來，龍骨王的軟體核心功能是整套式的，將資料庫、互動式訓練內容、分析內容、評估內容和雲端運算程式綁在一起。</p> <p>但現在，陳誌睿認為，復健軟體應與硬體設備整合，才能發揮更大效益。為此，龍骨王得先將原有的軟體核心功能拆解、模組化，供系統合作廠商存取、串接資料，才能整合服務，而模組化，也有利於龍骨王後續的計價作業。目前，團隊正思考訓練內容的分割方式，來更有效率、更系統化在Android裝置上，如電視、機上盒，提供隨選功能，這是今年要克服的挑戰之一。</p> <p>甚至，陳誌睿聚焦軟體與下肢訓練機器人、外骨骼機器人等硬體設備整合，「可實現兩倍復健效果！」他表示，臺灣有許多優秀的復健硬體廠商，世界大國都願意買單，這些硬體若加上軟體服務，就能發揮更高價值、提供更好的服務。他透露，龍骨王目前已與臺灣下肢訓練機器人大廠展開合作，下一步將與更多廠商合作。</p> <p>這就是龍骨王瞄準的目標，要為復健硬體設備提供軟體介面和功能，就像Google提供Android作業系統給多家智慧型手機廠商一樣，「我們要成為復健界的Android！」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO／CDO小檔案 </span></strong></span></p> <p><strong>陳誌睿 </strong><strong>龍骨王創辦人暨執行長</strong></p> <p>學歷：臺大醫學工程研究所碩士畢業</p> <p>經歷：臺大醫工研究所畢業後，於2006年進入臺大醫院光電醫學中心擔任影像管理工程師，2009年起則於紐西蘭醫材設備商費雪派克，擔任軟體工程師、產品經理。2011年開始設置龍骨王籌備處，2013年正式成立，專門打造復健訓練軟體和評估工具</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20_%E9%BE%8D%E9%AA%A8%E7%8E%8B_20220822_.jpg" style="width: 300px;" /></p> <p><strong>龍骨王</strong></p> <p>地址：臺北市內湖區新明路108號14樓</p> <p>網址：<a href="http://www.longgood.com.tw">www.longgood.com.tw</a></p> <p>成立時間：2013年</p> <p>主要業務：打造醫院數位化復健服務；針對醫院內神經內科復健科等，以及中風、帕金森氏症患者院內與院外的自費遠距復健服務</p> <p>員工數：13人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 技術部門檔案 </span></strong></span></p> <p>直屬主管：石孟哲治療師</p> <p>技術部門人數：5人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>2013年：銷售第一套系統</p> <p>2015年：產品銷售進醫學中心</p> <p>2017年：取得新加坡星展銀行補助獎金</p> <p>2019年：復健評估系統開發完成</p> <p>2020年：遠距復健系統開發完成</p> <p>2021年：步態分析取得美國FDA Class II認證；獲得北醫與秀傳醫院投資</p> <p>2022年：與醫學中心共同建構虛擬復健中心</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1094-xtransformation-2p-ruo_pu_-960.jpg" width="960" height="420" alt="" title="龍骨王創辦人暨執行長陳誌睿　（攝影／洪政偉）" /></div></div></div>
2022/9/12 07:00作者王若樸https://www.ithome.com.tw/people/152960
【資安週報】2022年9月5日到9月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週資安新聞中，勒索軟體DeadBolt再度鎖定攻擊威聯通NAS攻擊，該勒索軟體在今年1月就曾鎖定威聯通、華芸NAS設備攻擊，這次則利用相片管理套件Photo Station的漏洞入侵；去年出現的Mirai變種殭屍網路MooBot，資安業者Palo Alto Network表示，最近該殭屍網路病毒鎖定D-Link路由器攻擊，除了利用兩個早年修補的已知漏洞，還包括今年的CVE-2022-26258、CVE-2022-28958這兩個RCE漏洞入侵，對於相關漏洞修補，用戶需密切注意。此外，CVE-2022-3075零時差漏洞漏洞影響所有基於Chromium的瀏覽器，Google近期釋出修補並說明已有攻擊行動，用戶需儘速檢查是否更新。另外，資安業者趨勢科技指出，關於臺灣防疫補助有關的詐騙攻擊在8月呈現大幅增加的情形，比上半年問題嚴重受關注。</p> <p>在威脅態勢上，網釣攻擊套件服務的變化受關注。在<a href="https://www.ithome.com.tw/news/131608">2019</a>年，我們即看到有資安業者指出網釣即服務（Phishing-as-a-Service，PaaS）及網釣套件的盛行，讓業餘駭客也能以低成本取得可閃避安全偵測能力的網釣套件，並有8成7套件包含至少一項規避偵測的技術，近日又有資安業者揭露此類消息，揭露一個駭客組織打造、名為EvilProxy的網釣套件租用服務，當中不僅可針對攻擊蘋果、微軟、Google、臉書、推特等服務的帳號發動攻擊，還可對開發者常用的GitHub、PyPI、NPM帳號攻擊，此外，上月<a href="https://www.ithome.com.tw/news/151924">微軟曾揭露</a>可繞過多因素認證的大規模網釣活動，在這個EvilProxy服務也提供類似的能力，可將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，竊取使用者的憑證與期間Cookie，得以規避雙因素驗證並劫持受害者帳號。</p> <p>抖音、微信資料庫在9月5日傳出遭駭的消息，後續業者是否認，也有不少專家給出意見，情況究竟如何，後續消息亦受國際關注。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/152976#QNAP"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_QNAP.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#MooBot"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_FX.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#EvilProxy"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_EvilProxt.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#Shikitega"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_Shiktiega.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F5"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#FY"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F7"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F8"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F9"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152976#F10"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></p> <h3> </h3> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/evilproxy-phishing-as-a-service-with-mfa-bypass-emerged-in-dark-web" id="EvilProxy" name="EvilProxy"><span style="color: rgb(0, 0, 0);">資安業者接露網釣攻擊套件租用服務EvilProxy，當中工具包能繞過知名服務的雙因素驗證</span></a></strong></h3> <p>過往駭客發動網釣攻擊很可能會利用網釣工具包，但前幾年就有相關的軟體工具訂閱服務，讓低階駭客無須具備相關技能就能發動攻擊，現在甚至還提供可繞過已經相當普及的雙因素驗證機制來發動攻擊。</p> <p>資安業者Resecurity揭露名為EvilProxy的網釣攻擊套件租賃服務（PhaaS），賣家宣稱他們的工具包不僅可用於攻擊蘋果、微軟、Google、臉書、推特的帳號，也能對開發者所使用的GitHub、PyPI、NPM帳號下手，來進行敵對式中間人攻擊（AiTM）──此服務提供了反向代理伺服器及釣魚網站，在受害者與伺服器進行身分驗證的過程中，竊得所需的Cookie，而使得駭客能在不需經過雙因素驗證的情況下，挾持受害者的帳號。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E8%AB%8B%E7%AB%8B%E5%8D%B3%E6%9B%B4%E6%96%B0-photo-station-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC" id="QNAP" name="QNAP"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt再度攻擊威聯通NAS，原因是相片管理套件漏洞的遭到利用</span></a></strong></h3> <p>9月3日威聯通（QNAP）發布資安通告，勒索軟體DeadBolt鎖定曝露於網際網路的NAS設備、透過相片管理套件Photo Station的漏洞入侵，該公司亦於同日緊急推出新版軟體修補。但與過往的攻擊事故不同的是，他們這次呼籲使用者最好停止使用Photo Station，並建議轉換至另一款軟體QuMagie。</p> <p>由於這起攻擊行動發生在週末，<a href="https://www.facebook.com/groups/771468783554131/">傳出不少用戶的NAS中招</a>，他們在網路上公開遭到勒索的畫面，但大家遇到的情況有所不同。例如，有些人已將NAS作業系統QTS升級到最新版本，但Photo Station可能還是採用存在漏洞的版本，NAS還是遭到入侵而受害。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/moobot-d-link-devices/" id="MooBot" name="MooBot"><span style="color: rgb(0, 0, 0);">殭屍網路MooBot鎖定D-Link路由器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/moobot-image-19.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/moobot-image-19.png" style="width: 300px; float: right;" /></a>Mirai變種殭屍網路MooBot在去年出現，<a href="https://www.ithome.com.tw/news/148252#moobot">鎖定海康威視（Hikvision）網路視訊監控系統的漏洞發動攻擊</a>，但現在駭客已經轉移了目標。資安業者Palo Alto Networks揭露近期的MooBot攻擊行動，駭客針對D-Link路由器下手，並利用CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等漏洞來入侵設備。這些漏洞多半可被用於RCE攻擊，CVSS風險評分達到了9.8分至10分。</p> <p>研究人員指出，D-Link已經提供新版韌體予以修補（但該公司的網站上找不到相關公告資訊），用戶應儘速修補，以免成為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.trendmicro.com.tw/?p=73912" id="F3" name="F3"><span style="color: rgb(0, 0, 0);">臺灣防疫補助詐騙網址數量8月爆增，已超越上半年總和</span></a></strong></h3> <p>資安業者趨勢科技提出警告，他們發現臺灣與防疫補助有關的詐騙攻擊，在8月份出現大幅增加的現象，與之相關的網址數量較7月多出20倍，且超過今年上半總和。該公司指出，今年8月出現665種與防疫補助相關的變種假網域，如：gov[.]com、wsflsgov[.]tw等，他們呼籲民眾收到相關簡訊應優先檢查網址，並透過政府網站直接申請相關業務，才能減少受騙上當的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://english.kyodonews.net/news/2022/09/b0209467f263-japan-govt-website-hit-by-cyberattack-pro-russia-group-claims-role.html" id="F5" name="F5"><span style="color: rgb(0, 0, 0);">日本政府網站傳出遭俄羅斯駭客組織Killnet攻擊而癱瘓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/killnet-japan-gov.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/killnet-japan-gov.jpg" style="width: 200px; float: right;" /></a>俄羅斯駭客組織Killnet近半年來持續對聲援烏克蘭的歐洲國家發動DDoS攻擊，現在他們也將目標轉向了亞洲國家。根據共同社、NHK、日經新聞等日本媒體報導，日本政府的電子服務入口網站e-Gov約在9月6日下午4時30分，遭到DDoS攻擊而導致無法存取，直到深夜才恢復運作，當地的稅務入口網站eLTAX也同樣遭到癱瘓。Killnet隨後在Telegram頻道聲稱是他們所為，原因很可能是日本公開表態支持烏克蘭。</p> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/shikitega-new-stealthy-malware-targeting-linux" id="Shikitega" name="Shikitega"><span style="color: rgb(0, 0, 0);">Linux惡意軟體Shikitega以多階段部署的方式來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shikitega.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shikitega.jpg" style="width: 300px; float: right;" /></a>鎖定Linux電腦的惡意軟體越來越常見，攻擊手法也變得日益複雜。例如，AT&T的資安研究團隊指出，他們發現名為Shikitega的Linux惡意軟體套件，駭客部署此惡意軟體的過程極為隱密、複雜，先是透過僅有370個位元組的ELF執行檔解出Shell Code並執行，然後存取C2下載名為Mettle的滲透測試工具Metasploit模組，最後Mettle下載另一個ELF檔案，並利用CVE-2021-4034（亦稱PwnKit）和CVE-2021-3493取得root權限，部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客還部署了5個Shell指令碼，讓挖礦軟體能持續在受害主機上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi" id="F8" name="F8"><span style="color: rgb(0, 0, 0);">俄羅斯大型計程車叫車系統Yandex Taxi遭駭，莫斯科交通大亂</span></a></strong></h3> <p>獨立新聞記者Russian Market在9月1日發現，俄羅斯大型計程車叫車系統Yandex Taxi疑似遭駭，攻擊者叫了大量計程車到莫斯科市的同一條街道上，使得當地交通大亂。Yandex也在3日向新聞網站The Verge證實確有此事，並表示當時街道壅塞現象約在1小時後得到疏通。</p> <p>而對於此起事故的攻擊者身分，駭客組織匿名者（Anonymous）聲稱是他們所為，並表示此次攻擊是與烏克蘭政府號召的IT軍隊聯手，為Operation Russia攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.documentcloud.org/documents/22275912-consumer-notification-template-vans_northface_combined-2022?responsive=1&title=1" id="F7" name="F7"><span style="color: rgb(0, 0, 0);">登山用品業者The North Face遭帳號填充攻擊，波及20萬用戶</span></a></strong></h3> <p>登山用品業者The North Face向用戶發出通知，表示他們的網站自7月26日至8月19日，遭到駭客大規模帳號填充（Credential Stuffing）攻擊，經調查後有194,905個帳號受到影響，駭客很可能存取客戶的姓名、購買記錄、收貨地址、電話號碼、XPLR Pass忠誠用戶回饋點數等，但不包含信用卡資料。他們呼籲客戶儘速變更密碼，並留意信用卡是否出現盜刷的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-denies-security-breach-after-hackers-leak-user-data-source-code/" id="F9" name="F9"><span style="color: rgb(0, 0, 0);">抖音、微信資料庫流入駭客論壇，曝露逾20億筆記錄</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-breached_database.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為AgainstTheWest的駭客組織，他們成功入侵抖音（TikTok）和微信（WeChat）的資料庫，竊得790 GB的資料，內含20.5億筆記錄，類型涉及使用者資料、系統平臺分析數據、軟體程式碼，以及身分驗證的Token等。駭客表示，資料來自於阿里雲的執行個體（Instance）。對此，抖音的母公司字節跳動向Bleeping Computer表示並未遭駭，駭客取得的原始碼與該平臺無關；而微信沒有針對上述事故提出說明。</p> <p>駭客流出的資料是否來自上述兩家公司？研究人員Bob Diachenko認為是真實資料，但來源有待進一步調查；經營外洩密碼查詢網站Have I Been Pwned的資安人員Troy Hunt則指出，他看到了有效資料，但也有部分可能是測試用的假資料，並研判駭客應該是透過系統漏洞取得。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safebreach.com/resources/blog/remote-access-trojan-coderat/"><span style="color: rgb(0, 0, 0);">木馬程式CodeRAT鎖定使用特定語系的開發者，軟體與攻擊者之間透過即時通訊軟體的API傳遞命令</span></a></strong></h3> <p>資安業者SafeBreach揭露名為CodeRAT的木馬程式，駭客的目標主要是針對使用波斯語的軟體開發者而來。研究人員指出，伊朗駭客透過含有動態資料交換（DDE）漏洞的Word檔案來散布木馬程式，而文件內容主要與硬體設計程式語言、超高速積體電路硬體描述語言（VHDL）有關。</p> <p>此木馬程式具備約50種命令，不只能針對電子郵件、Office檔案、資料庫下手，也能監控受害者所使用的整合式開發環境（IDE）。此木馬程式與駭客之間的通訊方式較為特別，主要是採用Telegram機器人（Bot）的API，而非C2中繼站，有可能因此難以被研究人員發現。</p> <p>值得留意的是，當研究人員聯繫上開發CodeRAT的駭客後，對方竟將此木馬程式的原始碼上傳到GitHub，這樣一來很可能會有其他駭客用來打造新的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/irs-data-leak-exposes-personal-info-of-120-000-taxpayers/"><span style="color: rgb(0, 0, 0);">美國國稅局不慎披露12萬報稅民眾個資</span></a></strong></h3> <p>9月2日，美國國稅局表示，有部分應視為機密的990-T表單，不慎在免稅組織搜尋服務（TEOS）曝光。華爾街日報（WSJ）指出，這些敏感資料約影響12萬人，疑似在去年美國國稅局開始提供990-T的電子表單就出現，與程式撰寫有關，直到現在才被國稅局員工察覺，該單位開始進行補救，移除不應公開的文件，並重新提供TEOS服務。</p> <h3><strong style="font-size: 22px;"><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/"><span style="color: rgb(0, 0, 0);">三星美國分公司遭駭，客戶個資外洩</span></a></strong></h3> <p>三星於9月2日發布資安通告，他們的美國分公司內部網路環境在7月遭不明人士存取，導致客戶姓名、生日、聯絡方式等個資外洩，並強調社會安全碼（SSN）、金融卡資料則不受影響，不過，對於外洩資料筆數、受害人數，或是攻擊者入侵的管道，該公司並未揭露。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/intercontinental-hotels-group-cyberattack-disrupts-booking-systems/"><span style="color: rgb(0, 0, 0);">跨國飯店集團IHG傳出遭勒索軟體LockBit攻擊</span></a></strong></h3> <p>洲際飯店集團（InterContinental Hotels Group，IHG）於9月6日，向倫敦證交所通報資安事故，他們的IT系統出現「重大」受損，而影響線上訂房的情況，不過，該集團表示旗下飯店皆正常營運。而究竟這起事故為何？根據資安新聞網站Bleeping Computer的報導，很有可能是勒索軟體LockBit的攻擊行動，因為，這些駭客在上個月，宣稱攻擊了該集團位於土耳其的Holiday Inn飯店。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/damart-clothing-store-hit-by-hive-ransomware-2-million-demanded/"><span style="color: rgb(0, 0, 0);">法國服裝業者Damart遭勒索軟體Hive攻擊</span></a></strong></h3> <p>8月15日，法國服飾連鎖品牌Damart的網路商城暫停服務，迄今仍未恢復營運，亦出現影響實體門市運作──130家門市有92家於24日被迫暫停營業。根據當地新聞網站LeMagIT的報導，該公司遭到勒索軟體Hive攻擊，並被索討200萬美元贖金，且傳出駭客不打算讓母公司Damartex討價還價的情況。</p> <p>Damart對此表示，駭客成功入侵AD並加密部分系統，他們為了避免災情擴大，關閉部分系統而導致相關服務受到影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.kryeministria.al/en/newsroom/videomesazh-i-kryeministrit-edi-rama/" id="F10" name="F10"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到伊朗網路攻擊，宣布與伊朗斷交</span></a></strong></h3> <p>網路攻擊很可能導致國家之間的關係產生變化，最近就出現有國家因基礎設施遭攻擊決定斷交的情況。9月7日，位於南歐的阿發巴尼亞宣布和伊朗斷交，並要求伊朗大使館相關人員24小時內離境，原因正是伊朗政府自7月15日起，主導大規模網路攻擊，摧毀阿爾巴尼亞的基礎設施，癱瘓公共服務，並竊取資料及通訊記錄，阿爾巴尼亞耗費近一個月才復原。對此，美國也譴責伊朗的網路攻擊行為，並號召其他國家共同追究此種駭客的責任。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/30/china-database-face-recognition/"><span style="color: rgb(0, 0, 0);">8億中國車牌、人臉資料曝露在公開網路上，為期數個月之久</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg" style="width: 300px; float: right;" /></a>繼6月有10億中國民眾個資出現於地下論壇，且內含犯罪記錄與就醫情形，引發全球關注，又有大量中國民眾的資料曝露在網際網路。根據新聞網站TechCrunch的報導，資安研究員Anurag Sen在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，曝露時間長達數個月，直到8月相關存取才被封鎖。內容包含了民眾臉部照片，以及在車道路口拍下的車牌號碼，都是高解析度的照片。其中，這些個資會被留存的原因，主要是民眾進入工地或辦公室洽公進行登記。</p> <p>此資料庫隸屬位於杭州的Xinai Electronics，資料量總共超過8億筆。研究人員表示，他還發現有人在資料庫留下勒索訊息，但不清楚資料是否有外流或是遭到破壞的情形。TechCrunch通報後，該公司已悄悄關閉存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/china-accuses-us-tens-thousands-cyberattacks"><span style="color: rgb(0, 0, 0);">中國指控美國國家安全局對當地大學發動大規模網路攻擊</span></a></strong></h3> <p>中國政府在背後資助的駭客組織對全球發動攻擊不時傳出，但如今該國組織傳出遭到美國政府入侵的情況。<a href="http://english.scio.gov.cn/pressroom/2022-09/06/content_78406151.htm">中國外交部於9月5日指出</a>，根據中國國家計算機病毒應急響應中心（CVERC）與當地IT業者奇虎360的調查，美國國家安全局（NSA）旗下的「特定入侵行動辦公室（TAO）」，透過釣魚郵件對中國西北工業大學的師生發動攻擊，並指出有13名美方人員涉及此次事故。TAO使用41種武器進行上千次攻擊，意圖竊取該校的核心技術與相關資料。對此，美國駐北京大使館以及NSA皆尚未公開提出說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/06/worok-big-picture/"><span style="color: rgb(0, 0, 0);">駭客組織Worok鎖定亞洲、非洲知名企業發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Worok-compromise-chains.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Worok-compromise-chains.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露名為Worok的駭客組織，他們攻擊範圍橫跨亞洲與非洲，但約自今年2月開始，該組織將中亞的能源公司，以及東南亞的公部門實體視為主要目標。</p> <p>這些駭客利用ProxyShell漏洞攻擊受害企業的Exchange伺服器，並植入Web Shell來持續在網路環境進行後續行動，接著，駭客利用Mimikatz、EarthWorm、ReGeorg、NBTscan進行偵察，然後部署PowerShell後門程式PowHeartBeat，以及惡意程式載入器PNGLoad。根據Worok發動攻擊的時間，以及所使用的工具，研究人員認為這些駭客很可能與中國的TA428有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://achieve.lausd.net/site/default.aspx?PageType=3&DomainID=4&ModuleInstanceID=4466&ViewID=6446EE88-D30C-497E-9316-3F8874B3E108&RenderLoc=0&FlexDataID=122768&PageID=1"><span style="color: rgb(0, 0, 0);">美國洛杉磯學區LAUSD遭勒索軟體攻擊</span></a></strong></h3> <p>9月5日，美國第二大學區洛杉磯聯合學區（LAUSD）表示，他們在上週末偵測到IT系統出現不尋常的活動，經確認後是一場勒索軟體攻擊。LAUSD表示，他們旗下的學校師生，有可能會無法使用電子郵件及部分應用系統，但該學區的學校緊急安全系統，或是員工醫療保健系統則不受影響。至於攻擊者的身分，以及是否有資料遭竊？LAUSD沒有說明。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/gaming-related-cyberthreats-2021-2022/107346/"><span style="color: rgb(0, 0, 0);">駭客偏好以電玩遊戲Minecraft、Roblox埋藏惡意軟體</span></a></strong></h3> <p>資安業者卡巴斯基指出，近年來駭客常假借熱門遊戲的名義，以提供遊戲主程式、破解軟體、作弊工具來發動攻擊，進而散布惡意程式，進而在受害電腦上竊密，或是進行挖礦。其中駭客主要針對的遊戲族群，大多是Minecraft與Roblox的玩家，且無論是透過電腦或手機進行遊戲用戶都有可能成為目標，一旦下載來路不明的軟體，玩家的電腦或手機就會被植入惡意軟體。</p> <p>根據研究人員的統計，從2021年7月1月到今年6月底，總計有超過9萬個以遊戲為名稱的檔案含有惡意軟體或垃圾程式，且全球至少有超過38萬名玩家曾遭遇相關威脅。他們呼籲遊戲玩家要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/09/lazarus-magicrat.html"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用MagicRAT木馬發動攻擊</span></a></strong></h3> <p>思科揭露北韓駭客組織Lazarus近期使用的新木馬程式MagicRAT，駭客鎖定曝露於網際網路的遠距工作平臺VMware Horizon伺服器，入侵受害組織後，再植入此木馬程式，目的是為了能持續在網路環境當中活動。</p> <p>研究人員指出，MagicRAT透過Qt應用程式框架打造而成，使得研究人員分析更加困難，資安系統的機器學習或是啟發式檢測機制也難以察覺其攻擊意圖。此外，該木馬程式也可能從C2伺服器下載副檔名為GIF的檔案，但實際上是網路連接埠掃描工具。</p> <h3> </h3> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/google-chrome-emergency-update-fixes-new-zero-day-used-in-attacks/" id="FY" name="FY"><span style="color: rgb(0, 0, 0);">Chrome、Edge瀏覽器已遭用於攻擊行動的漏洞獲得修補</span></a></strong></h3> <p>Google於9月2日針對Chrome電腦版發布105.0.5195.102版更新，當中主要修補了CVE-2022-3075，此漏洞在8月30日獲報，與Mojo程式庫的資料驗證不充分有關，且已經出現攻擊行動。</p> <p>由於這項漏洞很可能影響所有採用Chromium打造的網頁瀏覽器，Edge、Brave、Vivaldi等瀏覽器已發布對應的更新檔案來緩解漏洞。CVE-2022-3075是今年Chrome的第六個零時差漏洞。</p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/tw/zh/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補NAS設備的重大RCE漏洞</span></a></strong></h3> <p>9月6日，Zxyel針對旗下的NAS設備NAS326、NAS540、NAS542發布資安通告，該公司修補了重大RCE漏洞CVE-2022-34747，CVSS風險評分達9.8分。這項漏洞存在於NAS裡的特定二進位檔案，與格式化字串（Format String）有關，一旦攻擊者加以利用，就有可能藉由偽造的UDP封包，在未經身分驗證的情況下，發動遠端執行任意程式碼攻擊。該公司呼籲用戶應儘速安裝新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-falsely-detects-win32-hivezy-in-google-chrome-electron-apps/"><span style="color: rgb(0, 0, 0);">微軟防毒軟體誤將Chrome、Edge瀏覽器當作病毒</span></a></strong></h3> <p>根據科技部落格BornCity的報導，微軟於9月4日發布的防毒軟體Microsoft Defender威脅情報更新檔1.373.1508.0版，竟將同廠牌的瀏覽器Edge識別為惡意軟體，並標示為Behavior:Win32/Hive.ZY威脅。</p> <p>經過使用者互相討論後，發現Chrome與以Chromium為基礎的瀏覽器，以及採用Electron應用程式框架開發的軟體，如WhatsApp、Spotify、Discord，都被微軟的威脅情報視為惡意程式。微軟已發布新的威脅情報定義檔修補上述誤判現象。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/10930/6588209"><span style="color: rgb(0, 0, 0);">數位發展部編列1.3億推動國防資安國產化</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3146465/nsa-cisa-odni-release-software-supply-chain-guidance-for-developers/"><span style="color: rgb(0, 0, 0);">美國針對軟體開發者提供軟體供應鏈安全指南</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://koreajoongangdaily.joins.com/2022/09/04/entertainment/television/Korea-Hacking-The-Ministry-of-Sports-Culture-and-Tourism/20220904124247692.html"><span style="color: rgb(0, 0, 0);">南韓政府官方的YouTube頻道Imagine Your Korea遭駭，變成加密貨幣詐騙內容直播</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-claims-attack-on-italian-energy-agency/"><span style="color: rgb(0, 0, 0);">義大利再生能源業者GSE遭到BlackCat攻擊，外洩700 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/san-francisco-49ers-blackbyte-ransomware-gang-stole-info-of-20k-people/"><span style="color: rgb(0, 0, 0);">美式足球隊2月遭勒索軟體BlackByte攻擊調查結果出爐，逾2萬人個資外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/defending-the-expanding-attack-surface-trend-micro-2022-midyear-cybersecurity-report"><span style="color: rgb(0, 0, 0);">鎖定Linux作業系統的惡意軟體攻擊呈現顯著增加的情況</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/zyxel-releases-new-nas-firmware-to-fix-critical-rce-vulnerability/"><span style="color: rgb(0, 0, 0);">Zyxel修補NAS設備的重大RCE漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/intercontinental-hotels-group-cyberattack-disrupts-booking-systems/"><span style="color: rgb(0, 0, 0);">跨國飯店集團IHG傳出遭勒索軟體LockBit攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://fortbridge.co.uk/research/a-csrf-vulnerability-in-the-popular-csurf-package/"><span style="color: rgb(0, 0, 0);">NPM套件csurf存在跨站偽造請求漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-won-t-fix-authentication-bypass-zero-day-in-eol-routers/"><span style="color: rgb(0, 0, 0);">思科路由器存在身分驗證旁路漏洞，但該廠商表示已超出支援期限而不予修補</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hp-fixes-severe-bug-in-pre-installed-support-assistant-tool/"><span style="color: rgb(0, 0, 0);">HP修補個人電腦技術支援軟體的DLL挾持漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://ssu.gov.ua/en/novyny/sbu-zablokuvala-shche-dvi-botofermy-yaki-rozghanialy-destruktyvnyi-kontent-v-ukraini"><span style="color: rgb(0, 0, 0);">烏克蘭再度破獲俄羅斯設置的機器人農場</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/22/i/play-ransomware-s-attack-playbook-unmasks-it-as-another-hive-aff.html"><span style="color: rgb(0, 0, 0);">出現新的勒索軟體Play針對拉丁美洲而來，濫用AdFind刺探受害組織AD環境</span></a></span></strong></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/152976"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 600px;" /></a></p> </div></div></div>
2022/9/11 13:42作者羅正漢https://www.ithome.com.tw/news/152976
BTC建言：推動健保沙盒、醫院次世代HIS、全面遠距醫療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年度行政院生技產業策略諮議委員會議（BTC）9月7日落幕，委員代表張鴻仁<a href="https://www.youtube.com/watch?v=Y30k2sVKzxE&t=2420s&ab_channel=%E5%9C%8B%E7%A7%91%E6%9C%83%E7%A7%91%E6%8A%80%E8%BE%A6%E5%85%AC%E5%AE%A4">總結BTC建言</a>，要針對加速創新醫材進入市場，推動健保沙盒，以健保給付來加速創新型智慧醫療產品落地，此外還要發展分散式臨床試驗、推動聯邦式學習來加速驗證；在資料治理部分，則要建立健康大數據的退出機制，並推動整合醫療資訊規格。BTC也提倡革新醫療IT系統，支持衛福部推動次世代醫療資訊系統（HIS）、發展雲端電子病歷系統。最後，BTC也建議國家扶植全球性健康大數據公司，並推動發展遠距醫療平臺標準、開放虛擬診所。</p> <p><strong><span style="font-size:22px;">加速進入市場1：建立健保沙盒，鼓勵創新型智慧醫材落地</span></strong></p> <p>張鴻仁首先點出智慧醫療產品價值的發展藍圖，第一步是從生醫數據發想產品，再來是開發原型、在醫院進行場域驗證，以及通過美國FDA或臺灣衛福部TFDA認證、進入醫院應用，最終商品化。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-09-08%20184310.png" /></p> <p>但，臺灣現況面臨一大痛點，也就是許多已獲認證的創新醫療產品，仍難以進入醫院、落地，導致商品化窒礙難行。為解決問題，BTC建議設置健保沙盒，由政府編列預算，讓已通過TFDA的創新產品（特別是智慧醫療與精準醫療產品），在健保平臺試行一段時間，同時進行成本效益分析，若產品表現優異，將正式納入健保給付。</p> <p>此外，BTC也建議政府建立差額給付制度、增加健保經費，或是透過商業醫療保險，來給付創新醫藥產品。甚至，還要建置創新（智慧）醫材健保給付標準。這麼做，不只可讓病人選擇最佳的生醫產品，也能讓創新醫材商的研發成本，有所回報，加速智慧醫療發展。</p> <p><span style="font-size:22px;"><strong>加速進入市場2：分散式臨床試驗、聯邦式學習驗證</strong></span></p> <p>同樣是加速進入市場，張鴻仁引用衛福部技監劉明勳的會中報告，支持衛福部將推動的分散式臨床試驗，也就是以數位化試驗程序來加速臨床試驗，適合受試者不必親自回診且不復雜的試驗（如穿戴式醫材與裝置應用）。張鴻仁表示，這個做法除了加速臨床試驗，還能擴大臨床試驗場域至醫院外。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-09-08%20192942.png" /></p> <p>同樣是加速驗證，BTC也看好聯邦式學習的多中心整合驗證模式，考慮優先推廣這類智慧醫材（SaMD）至全國醫療院所使用，由醫院成立公司來加速發展商業模式。</p> <p><span style="font-size:22px;"><strong>升級醫療IT系統：推次世代HIS、雲端電子病歷系統</strong></span></p> <p>另一方面，BTC也視醫療IT系統革新為當務之急，支持衛福部推動符合國際醫療資料標準的次世代HIS。衛福部部長薛瑞元先前也透露，衛福部將制定次世代HIS政策，來整合醫院HIS，將原本各自發展的數十種系統，整合為4、5套版本。衛福部也將提供獎勵和誘因，來鼓勵醫療院所升級系統、進行數位轉型，促進智慧醫療發展。</p> <p>此外，BTC也建議政府指定PPP或公益性平臺，來統籌協助各醫療院所建置雲端病歷系統架構，以及資訊交換標準化。</p> <p><span style="font-size:22px;"><strong>資料治理：建立健康大數據退出機制、支持衛福部推FHIR</strong></span></p> <p>發展智慧醫療大數據應用的同時，也得顧及大數據的監理機制。張鴻仁表示，日前釋憲法庭判決健保大數據一案，要求健保署等相關政府單位，於3年內制定專法或修法，來落實獨立的個資監督機制，並要具備退出機制，允許民眾隨時退出健保資料庫。</p> <p>他點出，這也是健康大數據未來發展應具備的要件，且在資料再利用的資料治理上，應將資料當事人視為利害關係人，利用資訊技術協助當事人參與資料治理，以建立資料利用的公眾信任。</p> <p>這些原則，也對臺灣正在發展的臺灣人體生物資料庫（Biobank）影響巨大。BTC強調，Biobank可以此借鏡，儘速規範Biobank衍生的數據資料管理。</p> <p>另一個治理重點，則是要整合醫療數據規格、建置醫療資料使用機制，特別是生醫數據儲存、應用和驗證。衛福部這2年多次宣布推動國際資料標準HIS，來提高資料互通性，且統一標準也能加速廠商開發通用商品，不必一一客製化介接規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-09-10%20at%201_29_55%20AM.png" /></p> <p><strong><span style="font-size:22px;">政府深化遠距醫療、扶植國際健康大數據公司</span></strong></p> <p>疫情推動遠距醫療發展，為強化臺灣遠距醫療體質，衛福部次長石崇良這2年也多次宣告相關法規修法時程，包括今年7月上路的新版電子病歷製作及管理辦法，開放電子病歷上雲、允許全面無紙化，今年底前也將完成遠距診療辦法修法，放寬遠距診療適用對象、情境，以及開立處方箋限制。</p> <p>在這個基礎上，BTC進一步建議，政府應全面推動遠距醫療，並研擬開放虛擬診所，讓醫師不必到實體診間，也能與病人問診。同時，政府也應建置遠距醫療平臺標準，在保護個資的前提下，來讓民間開發各種遠距醫療系統。</p> <p>此外，BTC也建議，政府應領導成立具公益性質的全球性大數據公司，來發揮健康大數據價值，並透過可獲利的方式來讓公司永續發展（非由政府營運）。</p> <p><strong><span style="color:#FF0000;">BTC完整建議報告：</span></strong><a href="https://www.nstc.gov.tw/folksonomy/detail/d1183c72-cf0a-46c8-bc54-72811131ae37?l=ch">https://www.nstc.gov.tw/folksonomy/detail/d1183c72-cf0a-46c8-bc54-72811131ae37?l=ch</a></p> </div></div></div>
2022/9/9 22:00作者王若樸https://www.ithome.com.tw/news/152975
YouTube上出現冒充蘋果背書的加密貨幣詐騙影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在蘋果公布新iPhone 14系列與Apple Watch Series 8的同時，YouTube上出現一則以蘋果為名義的加密貨幣詐騙直播影片。</p> <p>這則影片名稱是「Apple Crypto Event. Ceo of Apple Tim Cook: Apple & Metaverse in 2022.」活動，內容其實取自蘋果執行長庫克（Tim Cook）2018年接受《CNN Money》的訪談，右上角以比特幣（bitcoin）及以太幣（Ethereum）兩大加密貨幣的logo加強可信度，不過字幕部位卻有不知所云的「Urgent News」字樣。</p> <p>這則影片是在「Apple Live」頻道串流直播，若點入則會連到完全與蘋果不相關的加密貨幣網站，不確定是否為蘋果網站遭劫持播放詐騙影片，或是本身就是個以蘋果為餌的詐騙頻道。<a href="https://www.theverge.com/2022/9/7/23342120/apple-fake-youtube-live-stream-crypto-scam" target="_blank">但《The Verge》報導</a>，影片直播時有數萬人觀賞。</p> <p>YouTube並未對此說明，不過在媒體報導後，已遭YouTube以違反服務規定為由移除。</p> <p>推特（Twitter）、臉書或YouTube上以名人、知名公司背書的加密貨幣詐騙屢見不鮮，比爾蓋茲、巴菲特、馬斯克（Elon Musk）等人的影像，都曾被用於製作詐騙內容，2018年的推持詐騙還成功騙取了消費者數十萬美元，歹徒手法最近更進化到以合成馬斯克、知名投資人Cathie Wood的Deepfake影片進行詐騙。為此，<a href="https://www.ithome.com.tw/news/151217" target="_blank">Google AI模型的服務Colab最近也開始禁止使用者用它來製作Deepfake影片</a>。</p> </div></div></div>
2022/9/9 18:20作者林妍溱https://www.ithome.com.tw/news/152973
超過8成的網站外洩使用者的站內搜尋字串
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你也許知道你在Google搜尋中所輸入的字串都被賣給了廣告主，<a href="https://www.nortonlifelock.com/blogs/norton-labs/search-privacy-research" target="_blank">但資安業者NortonLifeLock最近的研究發現</a>，就算使用者想要逃離Google，至特定網站再進行站內搜尋，在前100萬個網站中，仍有高達81%把使用者的搜尋字串與第三方分享。</p> <p>為了研究此一現象的普遍性，NortonLifeLock開發了一個基於Chrome瀏覽器的爬蟲，它於前100萬網站進行站內輸入「jellybeans」進行搜尋，並在搜尋後檢查網路流量，以追蹤該搜尋字串的流向。</p> <p>一個典型的HTTP網路請求會包含URL、Referer標頭，以及酬載，NortonLifeLock藉由檢查這3個部分是否含有「jellybeans」來判斷網站有否外洩使用者的搜尋字串，結果發現有71%、75.8%及21.2%的網站分別透過上述3個部分洩漏了此一字串，總計有81.3%的網站與第三方分享使用者的搜尋字串。</p> <p>隨後NortonLifeLock即檢查了這些網站的隱私政策，顯示只有13%的隱私政策明確提到如何處理使用者的搜尋字串，卻有75%的隱私政策以很通用的措辭，提及會與第三方分享使用者資訊。</p> <p>由於網站仍握有分享使用者搜尋字串的大多數權力，因此NortonLifeLock建議使用者採用可阻止Referer標頭外洩隱私資訊的瀏覽器，或者是安裝可封鎖廣告與追蹤器的擴充程式，以保障自己的隱私。</p> </div></div></div>
2022/9/9 18:36作者陳曉莉https://www.ithome.com.tw/news/152974
賈伯斯檔案館開張
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果創辦人賈伯斯（Steve Jobs）的遺孀Laurene Powell Jobs，以及賈伯斯的兩位同事與好友，蘋果執行長Tim Cook及蘋果前設計長Jony Ive，在周三（9/7）參與Code 2022座談時，<a href="https://stevejobsarchive.com/" target="_blank">共同揭露了用來紀念賈伯斯的檔案館Steve Jobs Archive</a>。</p> <p>這個檔案館的網址stevejobsarchive.com很直覺，現有的內容也很簡單，開頭就是一封賈伯斯在2010年寄給自己的信，之後則列出了賈伯斯在不同場合的演講片段，不管是信件或是演講片段，都是為了表達賈伯斯對生命的核心理念。</p> <p>賈伯斯經常寄信給自己，這封信的大意是他享受了許多人的發明與成果，從食物、衣服、語言、數學、自由到音樂，感謝他身為人類所得到的一切。</p> <p>接下來的影片則多半有關賈伯斯的名言，同時反映了他的態度，例如他在2005年向史坦福大學的畢業生說：「把自己重新當作一個初學者，對每件事都不必那麼確定，這樣的輕盈讓他進入了生命中最有創意的時期。」其實這場演講也誕生了賈伯斯最常被引用的一句話「Stay Hungry，Stay Foolish 」只是該檔案館選用了前者。</p> <p>除了檔案館之外，未來賈伯斯的親友也打算展開各種專案、獎學金、收藏或是合作等，期待可反映與延續他的價值觀。</p> </div></div></div>
2022/9/9 17:31作者陳曉莉https://www.ithome.com.tw/news/152970
加密貨幣社群因美國制裁Tornado Cash一案控告財政部
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152376" target="_blank">6名混幣平臺Tornado Cash的使用者周四（9/8）控告美國財政部制裁Tornado Cash的行為</a>，指出財政部的作法超出了政府的權限，侵犯言論自由與財產權，而且威脅了美國人自由與私下進行金融交易的能力，<a href="https://blog.coinbase.com/defending-privacy-in-crypto-e09db33dece8" target="_blank">而這場官司很快就獲得了美國加密貨幣交易平臺Coinbase的支持</a>，並說將贊助這場訴訟案。</p> <p>美國財政部在今年8月出手制裁混幣平臺Tornado Cash，宣稱該平臺自2019年成立迄今，至少已被用來清洗超過70億美元的不法所得，當中有逾4.55億美元是北韓駭客Lazarus自Ronin Network盜來，該平臺亦涉及今年6月發生的Harmony Bridge跨鏈橋被駭案，以及8月Nomad遭駭事件的洗錢活動，因而凍結了Tornado Cash的財產，也禁止美國人民或實體與之交易。</p> <p>控方之一為以太鏈社群的Preston Van Loon，抱怨該禁令讓他無法存取置放於Tornado Cash上、價值數千美元的以太幣，還有一位是Coinbase的安全分析師Tyler Almeida，Almeida說他都利用Tornado Cash來捐款給烏克蘭。</p> <p>當初即反對財政部制裁的Coinbase則直接以行動支持控方，將支付此一訴訟案的法律費用。</p> <p>Coinbase共同創辦人暨執行長Brian Armstrong指出，Tornado Cash是個在以太坊區塊鏈上運作的開源專案，它允許用戶從一個加密位址存入資產，並以另一個不同的位址領出資產來保護隱私，財政部制裁Tornado Cash的原因是它也遭到包括北韓駭客在內的犯罪分子利用。Coinbase對於財政部制裁犯罪者沒有異議，但在這個案子中，財政部制裁的不是個人，而是整個技術。</p> <p>Armstrong認為，Tornado Cash為一合法的應用程式，此一制裁將造成許多無辜使用者無法存取他們的資產或隱私工具，此外，制裁特定技術顯然超出了國會所賦予的財政部權力。</p> <p>Tornado Cash除了被美國制裁之外，<a href="https://www.ithome.com.tw/news/152509" target="_blank">其開發者Alexey Pertsev也在荷蘭被逮</a>。Armstrong表示，制裁開源碼將產生寒蟬效應，讓開發者擔心他們可能必須替一些與之無關或無法控制的事情負責，而破壞了創新。</p> </div></div></div>
2022/9/9 17:48作者陳曉莉https://www.ithome.com.tw/news/152971
合勤修補NAS產品重大安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/support/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml" target="_blank">合勤科技（Zyxel）本周發布韌體更新</a>，以修補其網路附加儲存（NAS）設備韌體中一個可讓攻擊者遠端執行程式碼的重大漏洞。</p> <p>最新修補的漏洞編號CVE-2022-34747，是一個格式化字串漏洞（format string）漏洞，發生於合勤NAS產品中的某個二進位程式，能讓非授權攻擊者改寫UDP封包的格式化字串加以開採，達到遠端執行程式碼的目的。</p> <p>最新漏洞是由研究人員Shaposhnikov Ilya通報。<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-34747" target="_blank">根據NIST資料庫</a>，CVE-2022-34747風險值高達9.8。</p> <p>合勤指出，經過調查，受本漏洞影響的NAS產品有三，分別是NAS326、NAS540和NAS542。合勤於本周二（9/6）釋出5.21版本解決，呼籲用戶儘速安裝。</p> <p class="rtecenter"><a href="http://www.zyxel.com/support/Zyxel-security-advisory-for-format-string-vulnerability-in-NAS.shtml" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0909-zyxel-CVE-2022-34747-600.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/9/9 18:08作者林妍溱https://www.ithome.com.tw/news/152972
GitHub可能會留下原本計畫棄用的趨勢分頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於GitHub趨勢分頁（Trending tab）使用率太低，因此官方決定要關掉該頁面，但在棄用消息一出，許多使用者蜂擁而至，表示趨勢頁籤是他們每天必使用的GitHub功能之一，於是<a href="https://github.com/community/community/discussions/31644#discussioncomment-3539690">官方現在表示</a>，他們會重新思考棄用計畫。</p> <p>GitHub趨勢分頁提供熱門專案排行，開發者可以在該頁面探索一些新的開源專案，但是在9月3日的時候，該頁面突然出現置頂訊息，公告由於使用率太低，因此趨勢分頁將在9月30日之後停用。許多人看到該棄用訊息，紛紛在community/community討論區中留言，提到趨勢分頁是他們每天必瀏覽，且花費大量時間探索新專案的地方。</p> <p>而現在官方提到，因為他們收到了使用者的回饋，因此他們需要再次檢視棄用該功能的計畫。GitHub承諾他們將會重新評估趨勢分頁功能，並且考慮其他選擇的可能，並在月底之前公告，而在有更明確的政策出爐之前，他們會先拿掉趨勢分頁上的棄用警示。</p> <p>GitHub原先是根據遙測資料，發現雖然使用GitHub的人越來越多，但是趨勢分頁的使用率卻停滯不前，從趨勢分頁關注專案或是贊助開發者的人數甚至更少，而且支撐該頁面的資料工作管線難以維護，在考慮使用率低下的情況，GitHub才決定要關掉趨勢分頁。</p> <p>但因為回應棄用趨勢分頁非常熱烈，官方提到，他們可以感受到有在使用趨勢分頁的用戶，都非常喜歡這項功能，因此願意思考是不是有比棄用頁面更好的選擇，或是以不同的方式提供類似的功能。</p> </div></div></div>
2022/9/9 16:29作者李建興https://www.ithome.com.tw/news/152951
Google重新設計Android 13工作資料夾，更易分離工作與個人使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android-enterprise/android-13/">Google針對商業使用，在Android 13添加更多企業級功能</a>，包括升級Android管理API、改進工作資料夾（Work Profile），以及提供IT管理員更多保護公司裝置的方法。從Android 13開始，Android管理API不僅是管理裝置的政策，同時也可以在企業裝置上自定義員工體驗，像是裝置配置和用戶配置，官方提到，這賦予Android Enterprise團隊推出更多新功能的能力。</p> <p>用戶在新版本Android中，可以更容易地區分工作和個人使用，工作資料夾可以協助保持公司資料的可存取性和安全性，以及員工個人資料的私密性和獨立性，在Android 13中，工作配置和個人資料之間切換更為直觀，員工可以透過應用程式的安裝位置，選擇在工作或是個人資料夾中開啟應用程式。</p> <p>像是當用戶不想要YouTube上工作相關的訓練影片，影響個人的觀看列表，便可以選擇在瀏覽器存取這些內容，而非使用個人的App，員工還可以在應用程式共享圖片時，在工作和個人照片庫間切換，並且僅授予存取特定圖片，而不是存取整個媒體庫的權限。</p> <p>工作資料夾現在提供更多生產力工具，智慧聽寫功能可在Pixel裝置的工作資料夾應用程式使用，因此Android聽寫建議可以維持獨立，工作用術語則不會影響個人聊天使用。所有Android 13裝置還可從工作應用程式使用NFC，以啟用數位存取徽章，或是在工作資料夾中使用感應支付。</p> <p>在Android 13中，IT管理員有更強大的裝置控制能力，像是控制裝置的Wi-Fi連接，實現Wi-Fi Direct和Wi-Fi網路共享等功能，且為了支援更快的安全修復程式安裝，Android 13將藍牙和超寬頻（UWB）添加到超過30個模組的列表中，這些模組因此可以透過Google系統遠端更新。</p> <p>Google也預告Android 13將推出遺失模式和工作Wi-Fi私密連接功能。在啟動遺失模式之後，IT管理員可以鎖定並且定位公司擁有的裝置，防止未經授權的存取，並且在裝置上顯示公司聯絡資訊，另外，工作Wi-Fi私密連接功能，可在員工使用公司Wi-Fi時，自動加密並且路由個人資料網路流量，以強化員工隱私保護。這兩項功能都會透過Android管理API釋出。</p> </div></div></div>
2022/9/9 16:36作者李建興https://www.ithome.com.tw/news/152954