iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 33篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【臺灣資安大會直擊】上市櫃企業年報資安揭露現況大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來，國內不斷傳出有企業遭遇資安攻擊，為提升國內企業對資訊安全的重視，近年來，金管會不只是要求金融業重視資安，也開始要求上市櫃公司重視資安，希望帶動國內整體資安提升。</p> <p>事實上，在過去一年，我們看到針對上市櫃公司的資安相關法令不斷釋出，包括，規範企業揭露資安事件重大訊息，要求公司年報記載資安管理作為，以及逐年規範符合條件公司配置相應資安人力，像是今年底就要有113家公司需設置資安長。</p> <p>究竟主管機關是從那些角度考量？究竟目前上市櫃公司年報揭露資安作為的情形如何？是大家關注的兩大議題，在臺灣2022資安大會的上市櫃資安論壇中，有主管機關與產業專家進一步解析。</p> <h3><strong>主管機關從資訊公開、公司治理、監理協助角度出發，推動各種產業重視資安</strong></h3> <p>企業資安資訊的公開揭露已是各國趨勢，臺灣證券交易所電腦作業部副經理廖劍銘表示，在美國，2018年公布了上市公司的資訊安全揭露指引，當時雖屬原則性規範，到了今年3月已有新提案，可能會在2023年第一季開始施行，當中有一規則，就是要求上市公司在遭網路攻擊後，需在4天內提出報告，未來將成更具規範性的法令。</p> <p>對於臺灣推動企業資安狀態揭露的方式，廖劍銘表示，在資安法遵推動上，可分成三大重要面向，包括：資訊公開、公司治理、監理協助。</p> <p>以資訊公開而言，最重要就是針對重大資安事件，要求上市櫃公司重大訊息及時說明，以及年報及上市櫃公開說明書揭露，就是希望資訊透明。同時，也要求企業在年報營運概況記載資安安全管理，讓投資人能了解公司在此方面的作為。</p> <p>以公司治理方面，除了將資安納入內部控制制度、納入公司治理評鑑，更關鍵的部分，是依資安風險程度，要求或鼓勵設置資安長、資安單位及人員。</p> <p>而在監理協助方面，除了制定上市櫃公司資通安全管控指引，以及成立專案小組推動與教育宣導，重點更放在資安的聯防，推動企業加入領域領域ISAC，或加入TWCERT/CC，期望資安事件一旦發生之際，可以趕快通報，讓整個產業都注意當前的威脅。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2Z.JPG" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>金管會去年在11月30日，正式發布<a href="https://www.ithome.com.tw/news/148154">新版「公開發行公司年報應行記載事項準則」</a>，要求公司年報揭露資通安全管理作為與資安事件因應，而為了幫助上市櫃公司編寫年報中揭露資安，證交所後也提供了「股東會年報實務參考範例」，安永企管諮詢公司資深總監陳志明</strong>，</span><strong><span style="color:#696969;">從章節大綱即可看出企業必須揭露的重點要項。</span></strong><br /> </p> <h3><strong>盤點115家資本額百億的上市櫃年報，有113家揭露資安管理架構，資安揭露平均占2.5頁</strong></h3> <p>在資安資訊的揭露方面，除了以重大訊息方式揭露重大資安事件，另一受關注的焦點，是上市櫃公司首度被要求於年報需登載公司的資安管理作為，以及重大資安事件影響。</p> <p>儘管證交所已提供上市櫃公司資安指引，甚至是股東會年報實務參考範例，讓首次編寫這方面內容的公司能按圖索驥，依照架構來記載自己的作為，但究竟上市櫃公司實際揭露情形，內容是否能滿足各界期望，是主管機關、產業投資人，以及資安界都關注的重點。</p> <p>對此，<a href="https://www.ithome.com.tw/news/150630">我們在今年4月下旬，曾檢視率先出爐的10多家上市櫃公司年報</a>，以了解他們是否如實揭露資安管理作為，以及針對所記載的內容，做出特點歸納與整理。</p> <p>此刻，所有公司年報都已發布，面對如此龐大的內容，今年在臺灣資安大會期間，也特別邀來安永企管諮詢公司資深總監陳志明，進行大規模的盤點與分析，說明大型上市櫃的資安揭露現況。過程當中，主講者不只是盤點出應揭露的重點大項，並歸納一些重要細項，進而作出統計與解析，還針對各公司揭露詳盡的部分，舉出一些實例，讓外界可以知道其記載內容與呈現形式，供外界與投資人參考，相當難得。</p> <p>在1千7百多家臺灣上市櫃公司中，安永以資本額100億為條件，在119家公司中，共檢視115家可搜尋到的上市櫃公司年報。</p> <p>這些年報有何特點？以年報總頁數來看，最薄的有66頁，最厚的是709頁（鴻海），平均每家是317頁；而在資安作為揭露方面，最薄是0.5頁，最多有6到7頁，如兆豐金控、中華電信、中信金控、中國鋼鐵，內容最豐富，以平均頁數而言，每家企業揭露的內容為2.5頁。也就是說，資安作為揭露的部分，占整體年報的千分之七。</p> <p>而在重點項目的揭露概況上，陳志明表示，就公司資通安全風險管理架構、資安政策、管理方案，在115家公司年報中，僅有兩家公司沒揭露。而在資通安全風險與因應措施上，有4家沒揭露。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2.JPG" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2.JPG" style="width: 600px;" /></p> <h3><strong>揭露人力與經費之餘，14家企業公開重大資安事件成典範</strong></h3> <p>關於企業資安狀態的揭露，不只是在年報裡面敘述，內容詳盡與否，更是值得探討分析的關鍵。陳志明指出，如果企業能夠具體呈現相關資訊，某種程度上，有助於外界與投資人相信公司對於資安的重視程度。</p> <p>例如，揭露現有資安人員數量的公司有27家，其中以台積電的人數最多，超過500名員工負責資安相關業務，並有超過1千名外部人員負責警勤；揭露資安經費的業者有13家，台積電是投入費用最多的企業，他們在2021年強化資訊安全投資達10億元，玉山金控為3億元，聯發科為2.4億元。富邦金控的記載形式較特別，他們的相關敘述是用比例呈現，年報上的敘述是「資安經費占資訊經費5%」。</p> <p>在揭露重大資安事件方面，有14家公司在年報當中有相關記載。以元大金控為例，他們坦然敘述一起損失1,950萬元的事件，而這其實就是2021年10月廣為人知的證券業遭受撞庫攻擊活動，當時曾因此導致少數客戶遭受偽冒複委託下單。陳志明指出，當時受害的證券業者不少，但從企業年報揭露資安現況的內容來看，顯然只有元大金控比較透明，願意將這樣的事件與損失揭露。而這也突顯一個奇怪現象，我們看到：有些公司明明發生重大事件，卻未在年報公開，是否意味著他們不把資安事故當一回事？或是要跟主管機關和大眾賭一賭記憶力？</p> <p>另外，還有一些揭露焦點，包括揭露取得ISO 27001認證的有68家，資安會議次數有52家，教育訓練計畫有82家，以及投保或評估資安險有12家。</p> <p>基本上，企業在年報揭露提到的資安相關標準，還有很多種，包括NIST CSF、隱私保護的ISO 27701、個資保護的BS 10012、營運持續管理的ISO 22301、資安評估的ISO 15408、工控安全的ISO 62443，以及適用金融業的網路安全評估FFIEC CAT，以及汽車產業資安評估的TISAX等。不過，陳志明也提到，就他所知，有些企業取得ISO 27001，但沒有記載到年報，因此數量至少超過70家。</p> <p>另外較值得注意的是，在資安會議次數方面，由於會議型態很多元，陳志明認為，越往高層會議揭露會更有意義，讓投資人更買單，畢竟一年兩次的高階資訊安全管理審查會議，與一年12次屬於作業程序的資訊安全小組會議相比，次數的意義是完全不一樣。</p> <h3><strong>要讓年報資安揭露有更好呈現形式，可遵循6大原則</strong></h3> <p>特別的是，在這115份年報的資安揭露上，有些企業的展現形式相當用心，是其他公司可以效法的方式，陳志明並用了一些實例來說明。</p> <p>例如，在資通安全風險管理架構圖表上，中信金控、鴻海與中華電信的呈現方式出色，各自突顯了明確的資安政策與管理組織、資安治理與管理溝通，以及各層級角色與職掌。</p> <p>陳志明指出，多數公司的組織架構圖，都只有角色與名字，但缺乏權責畫分與運作方式的呈現。一旦能將這些關係描繪出來，將讓組織架構更有層次且立體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_中信金控.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E4%B8%AD%E4%BF%A1%E9%87%91%E6%8E%A7.JPG" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_中信金控2.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E4%B8%AD%E4%BF%A1%E9%87%91%E6%8E%A72.JPG" style="width: 295px;" /></a></p> <p><span style="color:#696969;"><strong>在中信金控的2021股東會年報中，關於資通安全管理策略與架構的揭露，描繪出明確的資安政策與管理組織。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_鴻海.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E9%B4%BB%E6%B5%B7.JPG" style="width: 450px; border-width: 1px; border-style: solid;" /></a></p> <p><span style="color:#696969;"><strong>在鴻海的2021股東會年報中，該公司組織架構亦不小，但透過一張圖將資安治理與資安管理做出區分，並呈現出治理階層與管理階層的溝通互動運作方式。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_中華電信.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1.JPG" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在中華電信的2021股東會年報中，針對資通安全管理策略與架構的揭露，具體展現出各層級角色與職掌。</strong></span></p> <p>除此之外，部分企業的年報資安揭露借助表格與圖像化形式，做出不同呈現效果。</p> <p>如三商美邦人壽與緯創資通，這兩家公司的年報將一些可量化的資安指標內容，以表格做出不同年度的比較，像是近三年的資安預算編列、資安專責人力配置，可以讓外界更容易看出趨勢變化。</p> <p>在資安風險因應方面，很多公司會陳述自身面臨的風險，但金寶電子最特別，他們將風險內容與因應措施，用一張表格做對比呈現。如此一來，不僅列出風險項目，也說明公司應對風險的具體作為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_三商美邦人壽.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E4%B8%89%E5%95%86%E7%BE%8E%E9%82%A6%E4%BA%BA%E5%A3%BD.JPG" style="width: 450px;" /></a></p> <p><span style="color:#696969;"><strong>在三商美邦人壽的2021股東會年報中，將指標數據透過不同年度來並列呈現，易於突變變化趨勢。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_緯創資通.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E7%B7%AF%E5%89%B5%E8%B3%87%E9%80%9A.JPG" style="width: 450px; border-width: 1px; border-style: solid;" /></a></p> <p><span style="color:#696969;"><strong>在緯創資通的2021股東會年報中，將績效指標數據化並提供不同年度的比較，呈現逐年概況與變化。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）上市櫃資安2021年報揭露_金寶電子.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E9%87%91%E5%AF%B6%E9%9B%BB%E5%AD%90.JPG" style="width: 450px;" /></a></p> <p><span style="color:#696969;"><strong>在金寶電子的2021股東會年報中，將風險內容與因應措施以對比方式呈現，可以更好呈現面對個別風險的具體因應作為。</strong></span></p> <p>在具體項目及成效評估展現上，有些企業透過圖像化與突顯數字的方式，將重點標示出來。採用這方面作法的公司是中信金控與中華電信。有些公司為了提高揭露資訊可信度，則是提供第三方單位的持續監控圖表，例如，宏碁、緯創資通。</p> <p>最後一種相當彈性的揭露方式，是提到其他資訊可參考公司永續發展網站，並附上連結網址，而在該公司網站的公司治理－資訊安全頁面，就有不同展現形式的內容。目前採取這種呈現方式的企業，主要是台塑。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E4%B8%AD%E4%BF%A1%E9%87%91%E6%8E%A73.JPG" style="width: 600px;" /></p> <p><strong>在中信金控的2021股東會年報中，將資安防護方面的指標數據以圖像化與數字化方式來呈現。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A12.JPG" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在中華電信的2021股東會年報中，將資安防護方面的指標數據與</strong><strong>以色彩圖像化與數字化呈現。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E5%AE%8F%E7%A2%81.JPG" style="width: 600px; border-width: 1px; border-style: solid;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E5%AE%8F%E7%A2%812.JPG" style="width: 600px; border-width: 1px; border-style: solid;" /></p> <p><span style="color:#696969;"><strong>在宏碁的2021股東會年報中，藉由提供第三方持續監控的數據圖表，增加揭露資訊可信度，同時也將2021年發生的兩次重大資通安全事件，記載於年報。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_%E5%8F%B0%E7%81%A3%E5%A1%91%E8%86%A0%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E8%87%AA%E5%AE%89%E6%B0%B8.JPG" style="width: 600px;" /></p> <p><strong>在台灣塑膠（台塑）的2021股東會年報中，將一些未能在年報充分展現的內容，以附上公司網站連結的方式來提供。</strong></p> <p>整體而言，企業究竟該如何產出優質的年報資安揭露內容？陳志明建議，在資安管理作為的揭露上，可掌握6大原則，包括：平衡性、清晰性、準確性、可靠性、時效性，以及可比較性。</p> <p>例如，所謂的平衡性，是指企業公開資安作為之餘，若有資安事件甚至造成財務影響，亦須充分揭露。所謂的清晰性，是指章節編排要清楚，版面設計與文字說明的清晰易讀也很重要，建議善用圖表與指標的方式呈現。</p> <p>此外，揭露內容要有準確性、具備可靠性，並配合年報製作時限，彙整最新狀況，若是有特殊事件，他建議，利用公開資訊觀測站或企業網站，揭露重大訊息。</p> <p>若要做出可比較性，企業除了事前可以針對每年的進度與差異來規畫，也能參考同業或領先企業，評估與規畫未來執行方向。</p> <h3><strong>遲早要做不如現在先做！董事會成員具資安背景是未來趨勢</strong></h3> <p>最後，陳志明強調，證交所之所以要求公司公開揭露資安作為，大家需要知道其意義是什麼？無非就是期望公司將當下的規畫與資源，公布給投資大眾知道，讓外界或公司高層能充分理解，落實公司對資通安全的風險揭露，甚至期望可以一年比一年更好。</p> <p>而面對主管機關的期望，企業需要設想的狀況在於，過往政府推動方式多半會經歷「鼓勵」、「要求」，最終則是「強制」，因此，陳志明認為強制是遲早的事，趁企業現在有餘力，可以把能夠先做的部分做好，未來也會有更多資源可運用。</p> <p>而從其他國家推動的企業資安要求趨勢來看，包括美國國會與美國證券交易所（SEC）近年都強調一件事，公司需揭露董事會成員是否具備資訊安全方面的專業知識或經驗。顯然，這也將是國內企業未來必須注意的一大重點。</p> <p>陳志明以摩根史坦利（Morgan Stanley）為例，該公司的15位董事會成員中，就有7位具備網路安全／技術／資訊安全的背景。而從資安長的角度而言，若企業管理高層會有這方面的發展，自身的職涯其實也多了一條路線，因為公司董事會成員的組成，也是需要資安專業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%892021%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2_Equifax.JPG" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">若想要做好企業年報資安揭露，陳志明認為，近期國際上也有可借鏡的對象，那就是美國消費者信用報告業者</span><a href="https://assets.equifax.com/marketing/US/assets/2021-security-annual-report.pdf"><span style="color:#696969;">Equifax的資安年報</span></a><span style="color:#696969;">，由於這家公司在2017年發生嚴重資安事件，今年是他們首次揭露資安年報，當中的展現方式也足以為借鏡。</span></strong></p> </div></div></div>
2022/10/6 17:00作者羅正漢https://www.ithome.com.tw/news/153488
DeepMind公布首個可用來發現矩陣乘法新演算法的AI系統AlphaTensor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.deepmind.com/blog/discovering-novel-algorithms-with-alphatensor" target="_blank">Alphabet旗下人工智慧子公司DeepMind本周揭露</a>了最新的AI系統AlphaTensor，可用來找出更有效率的矩陣乘法演算法，該AI系統的基礎為擊敗全球三大棋藝AI的AlphaZero，使得DeepMind相信AlphaZero不僅可應用在遊戲領域上，也能用來解決懸而未決的數學問題。</p> <p>高中就學過的矩陣乘法是代數中最簡單的運算之一，它在現代運算中無處不在，也對數位世界帶來巨大的影響，例如該運算被用來處理手機上的圖像、辨識語音命令、替電腦遊戲產生圖形、進行模擬以預測天氣，或是壓縮資料及影片以於網路上傳遞等。這使得全球的企業都耗費了許多成本來開發可有效執行矩陣乘法的運算硬體，因此，就算只是在效率上有微小的改善，都能帶來廣泛的影響。</p> <p>幾個世紀以來，數學家們都相信標準的矩陣乘法是最有效率的演算法，一直到德國數學家Volken Strassen在1969年發現了更快的演算法。然而，DeepMind團隊卻利用AI技術，找出許多新的、而且優於人類設計的矩陣乘法演算法。</p> <p>AlphaTensor為AlphaZero的延伸，AlphaZero是個完全未經訓練的神經網路，經由自己對戰來進行強化學習，而奠基於此的AlphaTensor一開始也未被灌輸任何既有的矩陣乘法演算法，而是藉由自我學習日益進步，重新發現了歷史上的各種快速矩陣演算法，包括Strassen的在內，最終超越了人類，找到比現今更快的演算法。</p> <p>舉例來說，倘若傳統的學校教學中要計算一個4x5乘以5x5的矩陣要乘100次，之後人類的進步將它減少至80次，AlphaTensor所發現的演算法只需要乘76次，這代表AlphaTensor的演算法突破了50年前由Strassen所建立的紀錄，還能以AlphaTensor所發現的、用來乘小型矩陣的演算法作為基礎，放大至任何規模的大型矩陣，也印證了矩陣乘法的演算法領域比原先以為的還要豐富。</p> <p>此外，DeepMind也利用AlphaTensor來替特定的硬體尋找最適當的演算法，包括Nvidia V100 GPU與Google TPU v2，而AlphaTensor也不負所望地在同樣的硬體上，在乘以更大矩陣的速度上比常用的演算法快了10%~20%，展示了AlphaTensor的靈活性。</p> <p>更快的矩陣乘法除了能應用於現今的許多運算任務上，改善各種領域的運算效能之外，<a href="https://www.nature.com/articles/s41586-022-05172-4" target="_blank">DeepMind亦期望可藉由此一研究拋磚引玉</a>，啟發其他人利用AI來發現其它基本運算任務的演算法。</p> </div></div></div>
2022/10/6 15:26作者陳曉莉https://www.ithome.com.tw/news/153495
Spotify收購可辨識不實言論及有害語音內容的Kinzen
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2022-10-05/spotify-continues-to-ramp-up-platform-safety-efforts-with-acquisition-of-kinzen/" target="_blank">全球最大音訊串流平臺Spotify本周宣布</a>，已買下於2009年成立、<a href="https://www.kinzen.com/company" target="_blank">位於愛爾蘭的內容辨識業者Kinzen</a>，將協助Spotify於全球遞送更安全的內容。雙方並未公布交易金額。</p> <p>Kinzen主要提供各種資料及研究報告予安全專家、內容審核者，以及公共政策的制定者，以讓它們能夠避免平臺上出現危險的不實資訊、仇恨／暴力內容、暴力極端主義與危險組織，結合了人類專家與機器學習，可在有害內容開始散布之際便提出警告，而且特別著墨於播客服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Kinzen.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Kinzen</span></p> <p>Spotify則說，該平臺從2020年就開始與Kinzen合作，因為Kinzen的獨特技術可應用在播客及音訊格式上，所分析的有害內容支援許多不同的語言與國家，可用來保障Spotify的安全性。</p> <p>Spotify的全球公共事務負責人Dustee Jenkins表示，把Kinzen納入麾下將能進一步改善Spotify偵測及解決有害內容的能力，而且是基於不同市場的文化，此一投資擴大了Spotify對平臺的安全保障，也彰顯出該平臺對創造安全環境的重視。</p> <p>其實大型業者都已開發出可辨識平臺上有害內容的過濾機制，但分析多國語言或方言的語音內容更為複雜，收購Kinzen明顯有助於Spotify辨識平臺上不當內容的能力。</p> </div></div></div>
2022/10/6 15:54作者陳曉莉https://www.ithome.com.tw/news/153498
Azure市集中的Visual Studio新映像檔現支援Dev Box
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studios-azure-marketplace-images-now-support-microsoft-dev-box/">微軟宣布</a>推出適用於Windows 10和Windows 11的最新第二代Azure映像檔，包括Visual Studio 2019、Visual Studio 2022和Microsoft 365應用程式，可用工具則有Visual Studio Code、Git for Windows和Hyper-V等，官方提到，包括Visual Studio 2019、Visual Studio 2022皆支援雲端開發箱Microsoft Dev Box。</p> <p>微軟過去在Azure市集上提供Visual Studio VM映像檔，這些映像檔不只可以讓開發者評估最新的Visual Studio版本，還能夠在雲端快速啟動開發人員環境，過去微軟推出的Azure VM映像檔第一代，現在來到了第二代，提供更強健的安全功能，並且增加記憶體和虛擬化持久記憶體等功能。</p> <p>第二代與過去的映像檔相同，用戶可以在獨立的Azure VM執行個體以及Azure虛擬桌面使用這些映像檔，同時，這些映像檔也能夠被用在Dev Box。Dev Box為預先配置的雲端開發環境，允許開發人員可以在雲端按需創建可立即開始編寫程式的工作站。</p> <p>新的Visual Studio 2019和Visual Studio 2022映像檔皆相容於Dev Box，使用者也可以自定義映像檔，加入其他工具和相依項目，以建構和部署公司的應用程式，進一步提高開發人員效率。</p> </div></div></div>
2022/10/6 16:15作者李建興https://www.ithome.com.tw/news/153497
日本Google設計出長條型鍵盤原型，再亂的桌面都放得下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://japan.googleblog.com/2022/10/gboard-2022.html" target="_blank">日本Google的鍵盤（Gboard）設計部門最新公布</a>一款將所有按鍵拉成一直線的棒狀鍵盤，宣稱任何空間都找得到位置擺放，而且不會被家中寵物踩到。</p> <p>這個名為Gboard棒的鍵盤是將所有按鍵排成一列。Gboard團隊指出，這是為了解決一般鍵盤上經常找不到某個鍵的問題，因而想出將單一方向排列、不會忘記位置的設計。</p> <p>Gboard棒是將16個按鍵安裝板加上1個控制板，共17個電路板組合而成，長度165公分，但寬度只有6.4公分，為傳統鍵盤的1/5。靈巧的設計讓它即使再怎麼凌亂的桌面或狹小空間也可以找到地方置放。</p> <p>Gboard棒最初設計有240公分，但後來設計團隊成功將之縮短為現有尺寸。</p> <p>Gboard除了一般鍵盤的一維QWERTY排列方式外，還支援直觀的ABC順序的「ASCII碼」布局（layout）。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhbvpzSM7p_wgolw-hCRtzZSwdpyq7I8Wu-Zd0eoM4iuxi7RZZnoFP3qb2943t31fJSvsPPuWfUOh0Lznf2Wg0nBmZaLn2ZZybinNv0Q_VJNjlNW3BTXEheyRTlgjUVGgZqNTPX157HECDfa-KMZvE9OmxLre8HTcJDwvd9_QPUUMMI7S310vc/s16000/image7.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google日本</span></p> <p>Google說，Gboard棒解決了傳統鍵盤常找不到鍵的問題。在Gboard中，G就是左邊第16個鍵。此外使用這款鍵盤時，使用者手臂會自然展開，因此在工作時也可以伸展四肢。這款鍵盤也更容易清理灰塵，而需要協同開發的團隊，可以2人來個四手聯彈。在家中上班的人，也不用擔心鍵盤被寵物踩到。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjWqKeShk9VxoF79V_wb8JGhgeSOepWfNrdmp2Cv9Afi7Wals5-PlcL2C8iE8XJ9FYBwH_xah5S1zrmRkqNqIQbA9Aft3j3lOl6G6la8keTliVYbBkCG6to-pOt4MgAt_N77tgahZ-so0SPM828qbcPDWWxgeyan6wox_fck1HLLELUCI4SR70/s16000/image3.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google日本</span></p> <p>Google團隊宣稱，除了文字輸入外， Gboard還有其他功能。像是利用其長度來按手搆不到的開關、尋找掉到櫃子底下的東西，搭配鍵盤的「記憶棒」模式為小孩紀錄身高，或當成登山杖使用。</p> <p>Google團隊說正在考慮一個可以捲起來輸入象形文字、且便於攜帶的版本，一個包含字母的長棒版本，以及一個發七彩光的遊戲版本。</p> <p>Google已將這款鍵盤的設計電路圖及軟體等資源，<a href="https://github.com/google/mozc-devices" target="_blank">透過GitHub公開</a>。</p> <p>這是日本Gboard團隊最新設計。他們前幾年也都有相當新奇的鍵盤設計。去年是Gboard茶碗版，是結合茶杯和鍵盤，<a href="https://www.youtube.com/watch?v=20pC05yisRM" target="_blank">將鍵盤上的日語50音以50種魚取代</a> ，<a href="https://www.youtube.com/watch?v=DeJY5d14qKs" target="_blank">2019年則是可彎曲湯匙「鍵盤」</a>，在可彎曲湯匙上安裝彎曲感測器，使用者以彎曲幅度轉換成字元輸入。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhPKyGs5hMx0OjWiCa9STn-D472VfK-4UltfxplCfGV20MYjTNS7zqplgKfizLXRN7H5c8y6Q8qZr-xSImuprNXnQXDfoJwFmrdQqB2BY5A9WjdC5FxEYc2yztgJDSebgqclJOF4GA0ZCTApsrUUpK1LVuuj8Yr5xowkPObjqgIhH_hVoQcQNs/s1509/%E3%82%AD%E3%83%A3%E3%83%97%E3%83%81%E3%83%A3.PNG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google日本</span></p> </div></div></div>
2022/10/6 13:18作者林妍溱https://www.ithome.com.tw/news/153492
Google發表兩款文字轉影片工具Imagen Video與Phenaki
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓Meta的<a href="https://www.ithome.com.tw/news/153373" target="_blank">Make-A-Video</a>專美於前，Google也在本周發表兩款文字轉影片工具，分別是強調影片品質的<a href="https://imagen.research.google/video/" target="_blank">Imagen Video</a>，以及主打影片長度的<a href="https://phenaki.github.io/" target="_blank">Phenaki</a>。</p> <p>其中，Imagen Video奠基於Google的<a href="https://www.ithome.com.tw/news/151126" target="_blank">Imagen文字生成圖像人工智慧系統</a>上，採用串連擴散模型（Cascaded Diffusion Models，CDM）來產生高解析度的影片。先透過自然語言處理預訓練模型T5嵌入使用者所輸入的文字後，由一個基本的影片擴散模型以每秒3幀的速度產生一個解度析為24x48的16幀影像，之後再利用多個Temporal Super-Resolution（TSR）與Spatial Super-Resolution （SSR）模型，最終產生每秒24幀，總長128幀且解析度高達1280x768的5.3秒影片。</p> <p><a href="https://imagen.research.google/video/paper.pdf" target="_blank">Google是以公開的LAION-400M圖像/文字資料集，以及6,000萬筆圖像與文字的配對，再加上1,400萬筆影像與文字的配對來訓練Imagen Video</a>，並宣稱Imagen Video可用來創造類似梵谷（Van Gogh）水彩畫風的影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Imagen%20Video-Van%20Gogh-by%20Google-600.png" style="width: 550px;" /></p> <p>至於Phenaki則可用來建立總長多達數分鐘的影片，只是影像品質不若Imagen Video。<a href="https://pub-bede3007802c4858abc6f742f405d4ef.r2.dev/paper.pdf" target="_blank">Phenaki</a>可將一段具備一定長度的提示文字變成任意長度的影片，或許只是一段一直騎著摩托車的影像，或者是有一頭獅子奔馳在長型的辦公桌上，最後卻穿上了西裝辦公。令人驚喜的是，Phenaki所呈現的影片非常貼近文字描述，而且Google認為它不僅可用來產生描述單個概念的影片，還能可根據一系列的文字，產生有連貫性的多個影片。</p> <p class="rtecenter"><img alt="" src="https://pub-bede3007802c4858abc6f742f405d4ef.r2.dev/stories/2_minute_super_res.webp" style="width: 256px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>由於圖像資料集的數量遠大於影片，使得不管是Imagen Video或Phenaki都同時利用影片與圖像進行訓練，並發現它的確對產出的品質與多樣性都有所助益。</p> <p>有鑑於用來訓練Imagen Video的資料中可能含有許多不適當的內容，因此Google目前並不打算釋出或開源該模型。</p> </div></div></div>
2022/10/6 12:24作者陳曉莉https://www.ithome.com.tw/news/153491
Ubuntu Pro推出免費個人版訂閱方案服務，最多支援5臺工作站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu.com/blog/ubuntu-pro-beta-release" target="_blank">Ubuntu宣布</a>推出Ubuntu Pro免費個人版的訂閱方案，最多可為5臺工作站提供安全更新。</p> <p>Ubuntu Pro是提供給企業的安全更新及維護訂閱服務，目前針對資料中心和工作站的版本已經推出公開測試Beta版。現在，Canonical進一步為個人及小型企業推出免費版本，最高支援5臺工作站安全更新。若用戶為Canonical正式社群會員，則支援工作站可擴及50臺。</p> <p>Ubuntu Pro提供開源軟體中等到重大等級安全漏洞10年更新服務，涵括開源作業系統在內2.3萬個套件，像是Ansible、Apache Tomcat、Zookeeper、Docker、Drupal、Nagios、Node.js、phpMyAdmin、Puppet、PowerDNS、Python 2、Redis、Rust及WordPress等。Ubuntu Pro已經包含在大型企業長期支援服務Ubuntu LTS 16.04版以後。</p> <p>Canonical這項免費版訂閱服務自然是希望吸引用戶未來使用該公司付費訂閱服務。標準版Ubuntu Pro價格為每臺工作站每年25美元，每臺伺服器收取500美元年費。</p> <p>除了個人版免費服務外，Canonical也宣布Ubuntu Advantage for Infrastructure服務訂閱方案改名為Ubuntu Pro（Infra-only）。這項服務主要是設計給只在大量裸機上部署私有雲的企業，涵括基本OS及私有雲元件。</p> </div></div></div>
2022/10/6 11:20作者林妍溱https://www.ithome.com.tw/news/153487
Exchange Online本月關閉基礎驗證，企業小心密碼潑灑攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Exchange Online基礎驗證（Basic Auth）10月1日正式關閉，<a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/use-authentication-policies-to-fight-password-spray-attacks/ba-p/3643487" target="_blank">微軟警告</a>企業應儘速升級到新式驗證以防密碼潑灑（password spray）攻擊。</p> <p class="rtecenter"><a href="http://techcommunity.microsoft.com/t5/exchange-team-blog/use-authentication-policies-to-fight-password-spray-attacks/ba-p/3643487" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Use%20Authentication%20Policies%20to%20Fight%20Password%20Spray%20Attacks-600.png" style="width: 550px;" /></a></p> <p>密碼潑灑是以大量用戶名稱及常見密碼清單、於單一目標系統測試的一種暴力破解型態攻擊。在此類攻擊中，測試的用戶名稱不停變換，因此難以偵測、也不會被鎖定，且攻擊者也會不停變換攻擊來源IP。由於現在電腦運行速度很快，在大量嘗試下，此類攻擊往往成功率很高。</p> <p>使用以OAuth標準實作的基礎驗證就容易遭到密碼潑灑攻擊突破。微軟指出，遭攻擊的服務協定以SMTP和IMAP最常見，POP居第三位。微軟Exchange部門最近發現多項指標，顯示許多使用基礎驗證（Basic Auth）的企業遭到密碼潑灑攻擊。</p> <p>基礎驗證設定簡單，但也容易讓駭客竊取用戶帳密，是業界亟欲淘汰的驗證技術。微軟於2020年宣布於2021年10月1日關閉Exchange Online的基礎驗證，後因COVID-19疫情<a href="https://www.ithome.com.tw/news/146914" target="_blank">延後</a>一年到2022年10月1日，並呼籲用戶升級到以OAuth 2.0為基礎的新式驗證（Modern Auth）。</p> <p>本月開始微軟已正式永久關閉Exchange Online的基礎驗證。美國網路安全暨基礎架構管理署（CISA）也在今年7月發出<a href="https://www.ithome.com.tw/news/151714" target="_blank">安全指引</a>，要求企業和聯邦政府單位在今年10月1日以前，將Exchange Online基本驗證轉到支援多因素驗證（MFA）的現代驗證。</p> <p class="rtecenter"><a href="https://www.cisa.gov/sites/default/files/publications/switch-to-modern-authentication-in-exchange-online-062822-508.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-CISA%20exchange%20MFA-600.png" style="width: 600px;" /></a></p> <p>微軟已經關閉未曾使用SMTP Auth的Microsoft 365租戶。而對於曾經使用的租戶，微軟仍允許之後重新啟動，但為了安全起見，微軟仍奉勸用戶最好還是不要再用。</p> <p>微軟同時也宣布從2022年12月起，全球將不再使用舊式的Exchange Admin Center（EAC）。目前大部份現有EAC功能都已轉到新版。微軟建議用戶使用新版EAC。</p> </div></div></div>
2022/10/6 10:54作者林妍溱https://www.ithome.com.tw/news/153486
AWS Local Zone雲端機房落腳臺北！臺灣第一朵AWS本地雲終於推出上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜AWS今日（10/6）<a href="https://aws.amazon.com/tw/blogs/aws/aws-local-zones-expansion-taipei-and-delhi/">宣布</a>在臺灣的本地區域（ Local Zone）公雲服務正式推出上線。這不僅是AWS在臺設立的第一朵本地雲，也是繼Google Cloud之後，終於有第2家公雲巨頭在臺灣建置雲端機房，就近提供本地公雲服務。</p> <p>AWS在臺灣Local Zone雲端機房正式落腳臺北，<a href="https://www.ithome.com.tw/news/151307">AWS經過幾個月建置</a>，才終於完工啟用。從官方Local Zones服務設立的城市據點來看，除了已新增臺灣臺北，並以ap-northeast-1-tpe-1a作為臺灣Local Zone區域名稱，來提供本地雲服務。</p> <p>AWS臺北Local Zone機房啟用後，未來將能提供各種公雲服務，包括EC2運算、EBS區塊儲存、VPC網路服務等。也因為是就近提供雲端服務，因此，較適合用於執行需要低延遲的應用，如線上遊戲、AR/VR應用，或是配合醫療、金融等法遵需求。</p> <p>不過，由於AWS在臺灣目前並沒有設立大型Region，所以企業如果要跨Local Zone與Region來混合部署，現階段只能選擇連接日本東京的Region，來執行相關應用。</p> </div></div></div>
2022/10/6 10:01作者余至浩https://www.ithome.com.tw/news/153481
Postgres WASM開源專案可在瀏覽器內運作Postgres資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料庫供應商Supabase協同開發工具開發商Snaplet，合作開發<a href="https://supabase.com/blog/postgres-wasm">Postgres WASM開源專案</a>，這是一個能夠在瀏覽器運作PostgreSQL伺服器的WebAssembly專案，該專案提供一套完整的功能，包括持久狀態、從pg_dump恢復，以及從遠端資料庫進行邏輯複製等功能。</p> <p>Postgres WASM以WebAssembly運作Postgres的想法並非原創，而是最先由Postgres服務供應商Crunchydata提出，不過Crunchydata的這個專案並非開源，因此Supabase和Snaplet便共同開發了一個開源版本。</p> <p>Postgres WASM會在瀏覽器中啟動一個虛擬機器，來執行PostgreSQL伺服器執行個體，開發團隊使用v86模擬器在瀏覽器模擬執行x86作業系統，而v86運用x86虛擬化技術，即時將x86機器碼轉譯為wasm。目前Postgres WASM還在初期階段，其運作Postgres 14.5提供psql和pg_dump等工具，開發者可以利用Postgres WASM從檔案恢復狀態，或是從IndexedDB等其他瀏覽器，儲存和恢復Postgres狀態，其他功能還有上傳CSV檔案到模擬器，或是從模擬器下載檔案等。</p> <p>官方提到，在瀏覽器以WASM執行Postgres的潛力很大，可以應用的情境很廣，像是可用於教材文件，或是類似sql.js、absurd-sql等瀏覽器離線快取，用戶也可以將其應用在離線資料分析，或是在瀏覽器直接測試PostgresSQL函式、資料建模和邏輯複製等操作。</p> <p>Postgres WASM也能被用於開發環境，從生產環境擷取資料，或是將資料、函式推送到生產環境，使用者甚至可以使用範例資料創建測試資料庫後，再透過拍攝快照發送給其他開發者。</p> <p>目前Postgres WASM儲存庫分為三個部分，分別是虛擬機器、網頁應用程式和網路代理。開發團隊以Buildroot創建了一個可嵌入的虛擬機器，並在虛擬機器中內建安裝Postgres的精簡版Linux。</p> <p>Postgres WASM則是透過WebAssembly在瀏覽器執行虛擬機器的部分，而為了要讓PgAdmin連接到Postgres，因此專案中加入網路代理，開發團隊解釋，由於瀏覽器阻止虛擬機器存取TCP網路，因此必須透過websocket來代理流量，Postgres WASM執行Websockproxy，允許模擬器將websocket埠口發送的資料轉換成TCP封包，並使其與網際網路通訊。</p> <p>現在的Postgres WASM並非一個純WebAssembly實作，開發團隊嘗試要從原始碼直接利用WebAssembly編譯Postgres，但是過程比預期複雜許多，因此折衷做法便是在瀏覽器中虛擬化一臺機器，透過v86在瀏覽器中模擬和x86相容的CPU與硬體。</p> <p>現階段Postgres WASM容量約為30 mb，對於一般需要在瀏覽器執行Postgres的用例來說並不夠好，Supabase和Snaplet正尋求更多的開發者貢獻開源專案。</p> </div></div></div>
2022/10/5 23:22作者李建興https://www.ithome.com.tw/news/153476
Confluent發布Stream Designer供用戶視覺化建立Kafka資料工作管線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Kafka服務供應商Confluent推出<a href="https://www.confluent.io/blog/building-streaming-data-pipelines-visually/">Stream Designer</a>的新工具，能夠讓企業原生快速建構、測試和部署串流資料工作管線，用戶可以透過Confluent雲端上的視覺化介面方便地建構工作管線，並整合使用全託管連接器、ksqlDB和Kafka主題。</p> <p>不少企業皆使用Apache Kafka建置串流資料工作管線，取代傳統批次資料處理，以更即時的資料，支援資料分析用例，實行由資料驅動業務的營運方針。</p> <p>以Kafka為基礎建置的串流資料工作管線，不僅支援即時範式，而且從根本上即時資料工作管線基礎，包括解耦資料來源和接受器，還有連續資料處理與即時事件觸發，Kafka提供一個事件驅動架構，使整個組織的用戶和應用程式，都可以存取即時資料串流。</p> <p>但是使用開源Kafka建置資料工作管線並非簡單的事，Confluent提到，通常需要專業的Kafka工程人員來建構和進行自訂，因此也限制了組織使用資料串流的範圍。另外，Kafka工程人員也需要花費大量的時間編寫樣本程式碼，而這些時間成本成為組織應用動態資料的瓶頸之一。</p> <p>Stream Designer則能解決這些問題，其具體優勢在於讓用戶減少編寫樣板程式碼，提高工作效率，並且在同一個端到端視圖中更新和維護工作管線，而工作管線還可共享並重複使用，因此可加速開放平臺上的應用。</p> <p>官方表示，Stream Designer使用簡單和靈活的特性，能夠搭配企業DevOps實踐，用戶能夠在圖形畫布和SQL編輯器間無縫切換，即便已經熟悉Kafka的團隊，也可以藉由Stream Designer提高工作效率，更快地啟動和執行串流資料工作管線。</p> </div></div></div>
2022/10/5 23:28作者李建興https://www.ithome.com.tw/news/153477
Flutter Cocoon應用程式達SLSA level 2安全性，可抵抗特定軟體供應鏈安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.googleblog.com/2022/09/flutter-slsa-progress-identity-and-access-management-through-infrastructure-as-code.html">Google宣布</a>UI框架Flutter中的Cocoon應用程式，已經實踐軟體供應鏈安全框架SLSA第二級安全性，並且將專案身分和存取管理（IAM）權限降低到所需的最低權限，實作基礎設施即程式碼以管理應用程式的權限。SLSA是Google在2021年，為因應軟體供應鏈安全威脅所提出的安全框架。</p> <p>Cocoon是Flutter基礎設施持續整合調度應用程式，同時Cocoon還協助將多個持續整合服務與GitHub整合，並提供工具簡化GitHub開發。而Cocoon達到SLSA第二級代表著，Google已經解決了該應用程式中第一級和第二級的所有安全問題，Cocoon已經對軟體供應鏈特定威脅有一定的抵抗力。</p> <p>而Google還針對docs-flutter-dev、master-docs-flutter-dev和flutter-dashboard專案實施額外的安全強化，這些專案扮演著重要角色，包括替Flutter提供公共文件、以及Flutter建置狀態的儀表板網站。</p> <p>Google透過基礎設施即程式碼，對這些專案進行身分和存取管理，官方提到，現在所實施的基礎設施即程式碼方法，需要程式碼變更來更改安全權限，而這也能確保更改之前獲得批准，也就是說，安全權限的更改會經過原始碼控制審核，這些應用程式現有的IAM角色被削減，使應用程式遵循最小權限原則。</p> </div></div></div>
2022/10/5 23:33作者李建興https://www.ithome.com.tw/news/153478
Google發表支援Wi-Fi 6E的Nest Wifi Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-nest/google-nest-wifi-pro-6E/" target="_blank">Google於本周發表</a>了新一代奠基於Wi-Fi 6E標準的網狀網路無線路由器Nest Wifi Pro，將可支援採用先進技術的新一代手機、筆電與其它裝置，同時宣稱將帶來更快與更可靠的傳輸能力，也更方便管理。</p> <p>Wi-Fi 6E標準採用6 GHz頻段，而非相對擁擠的Wi-Fi 6（2.4 GHz與5 GHz）上，因此，Wi-Fi 6E所提供的傳輸速度可達Wi-Fi 6的2倍。</p> <p>其實Google早在2016年就推出支援網狀網路（Mesh Network）的Google Wifi路由器，一直到2019年才更名為Nest Wifi，只是Google的路由器產品一直未進軍臺灣市場。</p> <p>有別於市面上的路由器有著許多天線，Nest Wifi Pro長得很像藍牙喇叭，而且有白色、淺棕色、淺藍色與檸檬綠可供選擇，且有60%是由可回收材料製成。單個售價為199.99美元，它也可用來部署網狀網路，兩個一組的售價是299.99美元，三個一組的則是399.99美元，單一路由器約可覆蓋2,200平方呎（204平方米）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Nest%20Wifi%20Pro%20by%20Google%20(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>使用者則可透過Google Home程式來設定Nest Wifi Pro，宣稱只需要幾分鐘即可完成設定，還能透過該程式來檢視連結家中網路的所有裝置，辨識及中斷可疑裝置的連結。它也會主動掃描與診斷連結問題，並透過程式通知使用者採取必要的步驟，也能自動更新韌體以防範安全威脅。</p> <p>有鑑於Nest Wifi Pro支援更高的傳輸能力，因而可在同一時間處理多個需要高頻寬的活動，包括視訊、觀看4K影片或是串流監視器畫面等。</p> <p>此外，Nest Wifi Pro內建了Thread邊界路由器，因此可連結家中的Thread裝置，也支援即將問世的Matter裝置，並利用Nest Wifi Pro來充當Matter控制中心，以管理所有的Matter裝置。值得注意的是，新的Nest Wifi Pro並不相容於舊版Nest Wifi 。</p> <p>Nest Wifi Pro即日起開放預購，預計於10月27日出貨與上架。</p> </div></div></div>
2022/10/5 22:45作者陳曉莉https://www.ithome.com.tw/news/153479
Meta開源可加速程式碼執行的推理系統AITemplate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/gpu-inference-engine-nvidia-amd-open-source/" target="_blank">Meta在本周開源了</a>可將深度神經網路（Deep Neural Networks）轉為C++程式碼以加速推理服務的AITemplate（AIT），這是一個Python框架，目前支援Nvidia與AMD的GPU，但未來也不排除支援英特爾（Intel）的GPU產品。</p> <p>Meta AI團隊說明，在交付部署AI模型的運算需求時，GPU扮演一個很重要的角色，特別是執行大規模預訓練模型時，但現階段AI業者在選擇高效能GPU推理解決方案時的彈性非常有限，因為這些方案都集中在特定平臺的封閉黑盒子中，使得針對某個品牌的GPU所設計的機器學習系統必須要完全重新實現，才能於不同供應商的硬體上運作。</p> <p>此外，AI生產流程通常需要快速開發，且諸如TensorRT等提供客製化的工具卻無法滿足，再加上這些封閉且私有的解決方案不容易快速除錯，使得Meta打造了AITemplate來解決上述難題。</p> <p><a href="https://github.com/facebookincubator/AITemplate" target="_blank">AITemplate的兩大特色</a>分別是高效能，以及統一、開放與靈活。它在TensorCore（Nvidia GPU）與MatrixCore（AMD GPU）上執行各種主要模型的效能都可達到Roofline FP16，如ResNet、MaskRCNN、BERT、VisionTransformer與Stable Diffusion等；此外，它同時適用於Nvidia GPU或AMD GPU的FP16深度神經網路模型，且完全開源，與這兩個平臺上現有的解決方案相較，它支援更廣泛的融合。</p> <p>這意味著AITemplate在Nvidia與AMD的GPU上執行各種AI模型時，可達到近似於原生硬體的效能，相較於PyTorch中的Eager模式，AITemplate在Nvidia CPU的效能改善了12倍，在AMD GPU上改善了4倍。</p> <p>Meta已在Nvidia A100及AMD MI200的GPU系統上啟用AITemplate，它們也是目前全球科技業者、研究實驗室及雲端服務供應商在資料中心中最常使用的GPU。</p> </div></div></div>
2022/10/5 22:57作者陳曉莉https://www.ithome.com.tw/news/153480
IBM資料儲存整併紅帽OpenShift、Ceph，強化混合雲產品組合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-10-04-IBM-Redefines-Hybrid-Cloud-Application-and-Data-Storage-Adding-Red-Hat-Storage-to-IBM-Offerings">IBM宣布</a>將整合紅帽（Red Hat）儲存產品，紅帽OpenShift Data Foundation（ODF）儲存技術將會成為IBM Spectrum Fusion的技術基礎，使IBM能夠在本地基礎設施和雲端中，提供一致的應用程式和資料儲存。</p> <p>另外，IBM也打算推出新的軟體定義儲存解決方案Ceph，以提供更加統一的軟體定義儲存平臺，強化IBM在軟體定義儲存和Kubernetes平臺的布局。</p> <p>IBM在2018年的時候併購紅帽，現在IBM想透過整合產品，來加速自家混合雲儲存戰略，IBM將會接管紅帽Ceph儲存和OpenShift Data Foundation，向用戶提供一致的混合雲原生儲存。</p> <p>在IBM整合紅帽這些儲存技術後，將能夠提供更加強大的軟體定義產品組合，往後在紅帽OpenShift上執行的容器化應用程式，將可擁有統一的儲存體驗，用戶可以使用結合OpenShift Data Foundation的IBM Spectrum Fusion，使OpenShift上運作的應用程式實現效能、規模、自動化、資料保護資料和安全性等功能，官方提到，透過基礎設施即程式碼自動化管理和配置，用戶將更能夠專注於應用程式開發而非營運。</p> <p>同時，IBM也會更新Ceph，使用戶可以在IBM的統一軟體定義儲存解決方案上，建置私有雲和混合雲架構，並使用諸如資料保護、災難恢復、高可用性、安全和自動擴展等功能，這些功能並不相依於硬體，當資料在本地和雲端環境間移動，皆可靈活運用這些功能。</p> <p>透過整合紅帽的儲存技術，IBM將可提供單一的資料湖，以聚合IBM Spectrum Scale上的非結構化資料，用戶能以更少的管理時間和精力，減少資料移動、冗餘，以集中式方法執行諸如人工智慧和機器學習等資料密集工作負載，同時獲得進階管理和資料治理功能。</p> <p>用戶可將開發的應用程式從雲端搬遷到本地端，系統將會自動創建暫存環境測試部署過程、驗證配置更改、資料庫架構和資料更新，並準備套件更新解決應用程式的錯誤。</p> <p>IBM承諾，Ceph和OpenShift Data Foundation將保持完全開源，並且遵循上游優先模式，官方提到，他們會在2023年1月1日完成過渡，包括完成儲存路線圖，以及紅帽員工轉移至IBM儲存部門等工作。</p> <p>在完成過渡之後，紅帽和合作夥伴仍會繼續販售包含OpenShift Data Foundation的Red Hat OpenShift Platform Plus，而OpenStack客戶也可以繼續購買Ceph儲存，既有的紅帽OpenStack訂閱用戶，仍可以視需求維護和增加儲存空間。</p> <p>以Ceph為基礎開發的IBM Ceph和IBM Spectrum Fusion解決方案，將會在2023年上半年開始販售。</p> </div></div></div>
2022/10/5 23:02作者李建興https://www.ithome.com.tw/news/153475
【資安日報】2022年10月5日，電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意T…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Ubisoft、Rockstar、<a href="https://www.ithome.com.tw/news/153207">2K Games</a>等多家遊戲公司遭到網路攻擊，駭客主要的目的，不是竊取玩家的帳號資料，就是鎖定未上市的遊戲開發資料，藉此牟取利益；而針對遊戲廠商發動的DDoS攻擊則較為少見。最近暴雪娛樂的新遊戲「鬥陣特攻2」正式上線，就因為伺服器遭到DDoS攻擊，玩家面臨無法登入遊戲的情況而抱怨連連。</p> <p>駭客利用YouTube頻道散布惡意程式的做法，之前不少是針對尋求遊戲破解的玩家而來，然而現在出現針對特定國家的攻擊行動──有人打著讓中國使用者能存取暗網的名義，散布帶有惡意程式的Tor瀏覽器。</p> <p>近期針對開發者的攻擊可說是相當頻繁，駭客主要大多是針對他們使用的套件下手，但假如攻擊目標是套件管理器，很可能影響更為嚴重。研究人員揭露他們發現的PHP套件管理器漏洞，並指出一旦遭到利用，攻擊者就可用於植入惡意軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.theverge.com/2022/10/4/23388132/overwatch-2-down-mass-ddos-attack-blizzard-president-mike-ybarra"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩業者暴雪娛樂剛正式上線的遊戲「鬥陣特攻2」出現玩家無法登入的現象，原因是該公司伺服器遭到DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FeRH_zmUcAA46Ex.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FeRH_zmUcAA46Ex.jpg" style="width: 300px; float: right;" /></a>電玩業者暴雪娛樂的新遊戲「鬥陣特攻2（Overwatch 2）」甫於10月4日正式上線，卻傳出玩家登入時面臨冗長等待的情況。該公司執行長Mike Ybarra表示，原因是他們的伺服器遭到大規模DDoS攻擊，導致大量連線中斷或是不穩定的情形，該公司的團隊正著手處理。</p> <p>而這起事故並非該公司首度因DDoS攻擊影響新遊戲運作──例如，2019年8月底推出的「魔獸世界經典版（World of Warcraft Classic）」，<a href="https://newtalk.tw/news/view/2019-09-08/296276">在9月8日傳出美國伺服器遭DDoS攻擊</a>，而有許多玩家面臨斷線與嚴重延遲的情況。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/onionpoison-infected-tor-browser-installer-youtube/107627/"><span style="color: rgb(0, 0, 0);">駭客透過YouTube頻道向中國用戶散布惡意的Tor瀏覽器安裝程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/OnionPoison_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OnionPoison_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為的OnionPoison攻擊行動，駭客鎖定中國的使用者，自今年的1月9日，開始透過中文YouTube頻道散布帶有惡意軟體的Tor瀏覽器，使用者一旦點選駭客提供的URL，就會下載74 MB的可執行檔，安裝後電腦就會被植入武器化的程式庫freebl3.dll，這些駭客企圖收集受害者的瀏覽記錄、社群網站帳號、無線網路SSID等資料，來挖掘受害者的真實身分。研究人員在今年3月開始偵測到有電腦受到感染。</p> <p>但為何駭客會使用這種方法發動攻擊？原因很可能是Tor瀏覽器網站在中國遭到封鎖，中國使用者必須透過其他管道才能取得。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-277a"><span style="color: rgb(0, 0, 0);">美國政府警告，國防單位遭駭客鎖定，透過惡意軟體CovalentStealer竊取機密</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於10月4日提出警告，由國家資助的駭客從2021年1月，利用惡意軟體CovalentStealer及滲透測試工具Impacket，企圖從該國國防工業基地旗下組織竊取敏感資料。</p> <p>攻擊者疑似透過ProxyLogon漏洞入侵Exchange伺服器，然後搜尋電子郵件信箱的內容，過了1個多月再使用Shell進行偵察，不久後又在Exchange上部署多達17個中國菜刀Web Shell，而為了在受害組織的網路環境建立持久性並進行橫向移動，駭客使用Impacket來達成目的，最終，他們透過CovalentStealer將竊得資料外傳到檔案共用服務OneDrive。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://blog.sonarsource.com/securing-developer-tools-a-new-supply-chain-attack-on-php/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">PHP套件管理器的元件Packagist存在重大漏洞，恐被用於供應鏈攻擊</span></strong></a></h3> <p>資安業者SonarSource指出，他們在今年4月，發現PHP套件相依性管理器Composer當中的核心元件Packagist，存在重大漏洞CVE-2022-24828，CVSS風險評分達8.8分，一旦攻擊者利用此漏洞，就能完全控制Packagist，進而左右開發環境所取得的相依套件，在受害電腦部署惡意軟體。</p> <p>研究人員指出，由於PHP的開發人員使用Composer來管理套件很常見，此漏洞很可能影響範圍甚廣，他們粗估至少有百萬次套件更新請求可能會遭到挾持。開發團隊獲報後已為Composer推出1.10.26、2.2.12、2.3.5版予以修補。</p> <h3><a href="https://www.securityweek.com/critical-vulnerabilities-expose-parking-management-system-hacker-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Carlo Gavazzi停車場管理系統存在重大漏洞，攻擊者可取得完整的存取權限</span></strong></a></h3> <p>資安業者Claroty發現，義大利工業自動化系統製造商Carlo Gavazzi旗下的CPY停車場管理伺服器系統與UWP 3.0監控閘道當中，總共存在11個漏洞，其中有6個CVSS風險評分高達9.8分，這些漏洞包含了寫死帳密、缺乏身分驗證、目錄穿越漏洞，以及SQL注入漏洞等，而有可能讓攻擊者用來完全控制目標系統。Carlo Gavazzi先後於今年4月及6月，發布修補版本的UWP 3.0及CPY。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.singtel.com/content/dam/singtel/investorRelations/stockExchange/2022/MR-20221003-OptusMediaAlert.pdf"><span style="color: rgb(0, 0, 0);">澳洲電信業者Optus證實210萬客戶的身分證字號遭竊</span></a></span></strong></p> <p><a href="https://mrd0x.com/phishing-with-chromium-application-mode/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器的應用程式模式被用於網路釣魚攻擊</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/22/j/water-labbu-abuses-malicious-dapps-to-steal-cryptocurrency.html"><span style="color: rgb(0, 0, 0);">駭客組織Water Labbu入侵詐騙網站，轉走受害者的加密貨幣錢包</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153457">【2022年10月4日】微軟針對Exchange零時差漏洞提出的緩解措施可被輕易繞過、美國防承包商遭勒索軟體BlackCat攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153411">【2022年10月3日】駭客設置冒牌財星500大企業資安長LinkedIn帳號、前IT人員竄改企業的網域配置遭起訴</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153376">【2022年9月30日】微軟Exchange伺服器又有零時差漏洞已被駭客鎖定、基於LNK散布惡意軟體的形式日益升溫</a></strong></strong></strong></p> </div></div></div>
2022/10/5 18:16作者周峻佑https://www.ithome.com.tw/news/153474
Matter 1.0物聯網互連標準出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連結標準聯盟（Connectivity Standards Alliance，CSA）周二（10/4）發表了專為物聯網（IoT）裝置設計的Matter 1.0規格，目前主要鎖定的是智慧家庭裝置之間的相容性，同時出爐的還有Matter認證計畫。</p> <p><a href="https://github.com/project-chip/connectedhomeip#readme" target="_blank">Matter標準</a>建立於網路協定（IP）上，任務是推動不同智慧家庭裝置、行動程式及雲端服務之間的通訊，新標準將允許所有通過認證的裝置進行互動，採用現代化的安全措施與協定，並由使用者控制裝置間的互動能力，同時適用於高、低階裝置，而且是個開放標準。</p> <p>該聯盟表示，首個Matter版本可在乙太網路、Wi-Fi及Thread網路協定上運作，或是利用低功耗藍牙（BLE）技術來納入裝置，將支援各種常見的智慧家庭產品，從照明、電機、空調控制、窗簾、安全感應器、門鎖，到電視、控制器與橋接器等。</p> <p>一個標準的普及通常仰賴成員的推動，而連結標準聯盟目前已吸引了超過280家的會員企業，包括Amazon、蘋果、Comcast、Google、Signify與SmartThings，除了Matter 1.0規格的問世之外，已有8家取得授權的實驗室，替業者測試裝置是否符合Matter標準，以及必要的Wi-Fi與Thread技術。</p> <p>其中，Wi-Fi讓Matter裝置能夠透過高頻寬的本地網路互動，還能連結雲端服務，而Thread則在家中帶來省電及可靠的網狀網路，包括Wi-Fi聯盟（Wi-Fi Alliance）與Thread Group皆與CSA合作，共同完成Matter的願景。</p> <p>Thread Group主席Vividh Siddha表示，Matter與Thread解釋了智慧家庭的互動與連結問題，以讓製造商能專注開發其它的加值創新；而Wi-Fi聯盟主席Edgar Figueroa則說，Matter利用Wi-Fi複雜的網路效率，以及連結全球180億個裝置的普及性，來實現物聯網裝置的願景。</p> <p>CSA預計於今年11月3日於荷蘭舉行Matter的發表會，屆時可望看到首批相容於該標準的物聯網裝置問世。</p> </div></div></div>
2022/10/5 14:45作者陳曉莉https://www.ithome.com.tw/news/153467
Line加入一年30億張雲端發票數據大戰，推出發票管家補上消費付款場景關鍵拼圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line生活服務布局再邁出關鍵一步，推出了發票管家新服務，來補齊消費結帳場景中的數據缺口。Line臺灣服務企劃部資深總監林慶達預告，未來將在用戶同意下，發展發票資訊的運用方式，例如分析消費習慣的趨勢，與電商、官方帳號等其他Line服務結合等。甚至，也可能推出去識別化的消費習慣資料模型，作為訓練其他AI應用之用。</p> <p>林慶達指出，Line發展策略是Life on Line，發票管家也是其中一塊拼圖，為了涵蓋更完整的付費結帳場景，發票是必須做的功能。</p> <p>只靠自家電商平臺或金融服務，只能看到顧客局部消費行為，如何建立顧客360使用行為與費樣貌，是近幾年金融業與零售業的重要戰略，尤其為了掌握顧客在自家服務之外的行為和消費樣貌，正是各業者積極發展生態圈與異業合作的重要目的，就是希望蒐集到更多元的顧客數據。</p> <h3><strong><span style="color:#0000FF;">雲端發票去年高達31億張，成為多方搶奪的消費大數據</span></strong></h3> <p>如何持續蒐集更多顧客消費資訊，尤其是現金支付的消費記錄，發票向來是重要來源。財政部從2018年開始力推的雲端發票，更讓業者多了一個顧客消費資訊的新管道，這是過去透過市場調查或者小樣本使用者研究難以累積的龐大數據，光是2021年雲端發票數量就高達了31億張，約占發票總數的4成。疫情之下，消費者更習慣在消費時提供載具條碼，而不索取紙本。林慶達指出，2022年1～８月期間，臺灣雲端發票比例更是達到45%，光是零售業的發票也有38%是雲端發票。</p> <p>力推雲端發票同時，財政部也強化了電子發票API，讓第三方更容易整合，取得使用者授權提供或上傳的發票資訊，這也催生了許多下載數破百萬的發票App，其中如如麻布數據科技集團旗下發票存摺用戶超過600萬人，每個月紀錄數千萬張發票，累計高達15億張的龐大消費數據，更衍生出了消費者行為樣態的市調服務，可以分析十萬個通路上千項商品類型，來提供去識別化的即時零售消費行為趨勢。</p> <p>Line臺灣也加入了消費者發票大數據的搶奪戰，在10月4日在自家通訊平臺推出了發票管家，綁定手機條碼，授權後串接財政部API取得使用者雲端發票紀錄，也能掃描實體發票。發票管家能自動分析這些發票紀錄，產出消費圖表，提供自動對獎機制，也推出了吸引用戶啟用的激勵賓果活動。</p> <p>林慶達表示，發票擁有龐大的後設資料，可以補足付費結帳流程的完整性，第一階段，先全力擴大發票管家的使用者規模。未來在用戶同意前提下，才會思考發票資訊的運用方式，例如發在用戶同意下，將發票後設資料與Line其他服務如電商，官方帳號結合。</p> <p>從發票管家使用者條款可以看到更多Line未來如何運用發票資料的可能性。發票管家將會蒐集到來自雲端發票或實體發票上的發票號碼、日期、時間、商店資訊、購買品項、價格及數量等資訊，也能彙整使用者手動輸入的消費與記帳數據。Line會在合規範圍下，另外獲得使用者同意後，將願意分享的用戶的個人資料，提供給Line關係企業。</p> <p>另一方面，Line可以透過去識別化技術來處理用戶資料，可將發票管家服務產生的匿名資料、統計資料或資料模型提供給合作夥伴。只要使用者啟用發票管家等同同意匿名資料的分享，不用另行取得同意。林慶達表示，發票紀錄有助於提高用戶消費資料的完整性，透過去識別化技術，也可以產生一種對「一般性用戶消費習慣的行為模型」，也就是使用者條款中提到的資料模型，可作為其他AI訓練或程式化應用之用。</p> <p>不過，林慶達坦言，目前，Line臺灣對資料模型還沒有明確的計畫，只有未來可能的方向。若Line臺灣日後要發展這類分析或AI模型，也會需要經過一套內部審查流程，來確保在符合法尊和使用者授權條款的可用範圍內。</p> <p> </p> </div></div></div>
2022/10/5 14:02作者王宏仁https://www.ithome.com.tw/news/153466
USB-C充電標準在歐盟成定局，手機與筆電得在2024與2026年遵循
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/headlines/society/20220413STO27211/usb-type-c-to-become-eu-s-common-charger-by-end-of-2024" target="_blank">歐洲議會（European Parliament）於本周二（10/4）正式接納</a>以USB-C作為小型電子裝置的通用充電標準，並要求歐盟各國要在兩年內遵循，<a href="https://www.europarl.europa.eu/news/en/press-room/20220930IPR41928/long-awaited-common-charger-for-mobile-devices-will-be-a-reality-in-2024" target="_blank">根據最新規定</a>，在2024年底之前，所有在歐盟銷售的手機都必須具備USB-C充電埠，且自2026春天起，該規定將延伸至筆電。</p> <p>歐洲議會成員是以602票比13票，壓倒性地通過該規定，認為通用充電標準不僅能減少電子垃圾，也能賦予消費者更廣泛的選擇能力。</p> <p>因此，不管製造商為何，在規定生效之際，所有可透過有線充電的新手機、平板電腦、數位相機、耳麥、手持遊戲機、可攜式喇叭、電子書閱讀裝置、鍵盤、滑鼠、可攜導航系統或筆電，都必須具備USB-C充電埠。所有支援快速充電的裝置，都將有同樣的充電速度，讓使用者能夠利用任何相容的充電器，以同樣的速度替裝置充電。</p> <p>歐洲議會認為，這些新的規定讓消費者可重複使用充電器，估計一年可最多可減少用來購買充電器的2.5億歐元費用，也能不再製造更多的電子垃圾，根據歐盟的統計，該區域光是被丟棄或未使用的充電器數量，一年就多達1.1萬噸。</p> <p>在歐盟高峰會（European Council）正式核准此一《無線電設備指令》（Radio Equipment Directive）修正案，並露出於《歐盟官方公報》（EU Official Journal）之後，即會在20天之後正式生效，歐盟成員國將有12個月的時間來制定當地規定，並在之後的一年內正式實施。</p> <p>不過，該規定並未溯及既往，只適用於屆時現身市場的新產品。至於一向使用自家Lightning充電接頭的蘋果，<a href="https://www.ithome.com.tw/news/150935" target="_blank">也已傳出</a>正在測試遷移至USB-C。</p> </div></div></div>
2022/10/5 11:59作者陳曉莉https://www.ithome.com.tw/news/153463
暴雪娛樂新遊戲上線當日遭重大DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲公司暴雪娛樂（Blizzard）最新多人遊戲《鬥陣特攻2》（Overwatch 2）周二（10/5）正式上線當日，遭到疑似大規模分散式阻斷服務（DDoS）攻擊，大量用戶無法登入開打。</p> <p>暴雪娛樂開發及發行的多人第一人稱射擊遊戲《鬥陣特攻》於2016年推出第一代，第二代於 10月5日正式開放免費服務。<a href="https://www.pcgamer.com/overwatch-2-ddos-attack-launch/" target="_blank">不過媒體報導</a>，周二許多用戶試圖上線時先是面臨冗長的登入等待，最後等到的卻是「伺服器連線失敗，重試中」的錯誤訊息頁。</p> <p><a href="https://twitter.com/Qwik/status/1577396593153564672" target="_blank">暴雪娛樂執行長Mike Ybarra周二提出的解釋是</a>，該公司伺服器遭到大規模DDoS攻擊。目前團隊正著手解決，以致於有大量連線中斷或不穩情形。</p> <p>不過除了DDoS攻擊，暴雪娛樂可能也碰到許多新服務上線時的類似技術問題。<a href="https://us.forums.blizzard.com/en/overwatch/t/overwatch-2-known-issues-october-4-2022/694774" target="_blank">根據該公司的狀態報告頁</a>，已知問題除了伺服器連線中斷外，一些將PC和遊戲機帳號合併的用戶，會接到「不預期伺服器錯誤」的訊息，另外玩家獲得的某些物件、武器及貨幣等也無法顯示。此外還有大大小小的bug。</p> <p>這是暴雪娛樂遭到最新的DDoS攻擊。2019年該公司的《魔獸世界 World of Warcraft》及2020年《Battle.net 》上線也都發生了DDoS攻擊。</p> </div></div></div>
2022/10/5 12:13作者林妍溱https://www.ithome.com.tw/news/153464
白宮發布AI權利法案藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/ostp/news-updates/2022/10/04/blueprint-for-an-ai-bill-of-rightsa-vision-for-protecting-our-civil-rights-in-the-algorithmic-age/" target="_blank">白宮的科技政策辦公室（OSTP）本周發布了AI權利法案藍圖（Blueprint for an AI Bill of Rights）</a>，以協助指導人工智慧（AI）與其它自動化系統的設計、發展與部署，保障美國大眾的權利。該法案的最終目的是在利用AI推動進步以及保護人類之間取得平衡。</p> <p>OSTP表示，AI技術可用來推動各種偉大的創新，像是早期癌症檢測，或協助農夫更有效率地種植作物，但同時，有愈來愈多的人們在工作、學校、住家、金融、健康醫療或法律制定上開始受到自動化系統的監控與排序，許多領域所使用的演算法都有著偏見與歧視的困擾，這些演算法既未納入所有社群，也未考量現實世界的後果，正在威脅數百萬人的權利，傷害那些被邊緣化的社群。</p> <p>因此，在花費一年的時間與各領域專家進行溝通及研究之後，此一AI權利法案藍圖列出了五大保護原則，包括建立安全及有效的系統，避免演算法的歧視，保護個人隱私，闡明自動化系統的依據與用途，以及允許使用者退出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Blueprint%20for%20an%20AI%20Bill%20of%20Rights-whithouse-600.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國白宮</span></span></p> <p>OSTP希望此一藍圖可在AI系統建置之前就嵌入對人類的保護，讓被邊緣化的社群於開發過程中擁有發言權，也讓設計者可確保AI技術能嘉惠所有人，不再有人因為演算法的錯誤而被逮捕或無法享受社會福利，期望美國未來所打造的AI系統可適用於每一個人。</p> <p><a href="https://www.whitehouse.gov/ostp/news-updates/2022/10/04/fact-sheet-biden-harris-administration-announces-key-actions-to-advance-tech-accountability-and-protect-the-rights-of-the-american-public/" target="_blank">白宮亦針對此一藍圖發表了聲明</a>，表示美國的法令與政策已提供一系列適用於AI技術及其所造成危害的保護措施，至於AI權利法案藍圖則可在相關法令與政策力有未逮之處，指引未來政策的制定方向。</p> </div></div></div>
2022/10/5 10:29作者陳曉莉https://www.ithome.com.tw/news/153460
馬斯克重提以原價收購推特
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在為退出收購紛擾了數個月之後，科技鉅子馬斯克（Elon Musk）昨（4）日再次宣布將以最初的價格每股54.20美元收購社群平臺推特（Twitter）。</p> <p><a href="https://twitter.com/elonmusk/status/1577428272056389633?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1577428272056389633%7Ctwgr%5Edc7fa5a003fb9e34af2390851c23e98ed12a462e%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.theverge.com%2F2022%2F10%2F4%2F23387320%2Felon-musk-twitter-offer-buy-again" target="_blank">馬斯克僅透過推特表示</a>，收購推特是實現綜合性App—X的加速器。<a href="https://twitter.com/TwitterIR/status/1577380758192197632" target="_blank">推特則同步宣布</a>，已經接到馬斯克團隊信件，告知他們已通報美國證管會（SEC）。推特再次聲明該公司目的是推動完成每股54.20美元的收購案。</p> <p><a href="http://twitter.com/elonmusk/status/1577428272056389633?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1577428272056389633%7Ctwgr%5Edc7fa5a003fb9e34af2390851c23e98ed12a462e%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.theverge.com%2F2022%2F10%2F4%2F23387320%2Felon-musk-twitter-offer-buy-again" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-elon%20musk%20twitter-600.png" style="width: 527px;" /></a></p> <p>在提交給SEC文件中，<a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922105787/tm2227435d1_ex99-s.htm" target="_blank">馬斯克團隊表示</a>有意根據4月25日的合併合約，推動交易案完成，但前提是德拉威衡平法院立即終止推特vs.馬斯克一案，以及所有相關審理。</p> <p>本案是在5月間馬斯克基於推特假帳號比例申報不實欲退出收購後，雙方鬧進法院的最新進展。馬斯克以推特實際假帳號數遠高出財報宣稱的5%，多次聲明推特方面不願配合調查，威脅要終止收購。<a href="https://www.ithome.com.tw/news/151920" target="_blank">7月推特向德拉威州衡平法院提出訴訟，</a>要求馬斯克依約完成收購。審理預定在10月17日展開。最新發展顯示推特的官司策略奏效，迫使馬斯克陣營同意和解。</p> <p>最新發展有些讓人意外。雖然一般相信，推特祭出官司策略的贏面較大，但是比較令人好奇的是馬斯克方面竟然還願意維持最初提出的收購價。媒體推測是因為法院審理前公布的證據，讓馬斯克預期到敗訴結果。</p> <p>首先，一些雙方文字訊息紀錄顯示，假帳號比例並非馬斯克退出收購的主因，而是俄烏戰爭，全球景氣衰退等原因。其次，<a href="https://www.theverge.com/2022/10/4/23387320/elon-musk-twitter-offer-buy-again" target="_blank">The Verge報導</a>，馬斯克聘請來分析推特假帳號的2家業者，一家數據結果和推特的5%差不多，另一家則顯示高出11%，但是並不夠顯著。第三則和上個月在<a href="https://www.ithome.com.tw/news/152666" target="_blank">媒體</a>及<a href="https://www.ithome.com.tw/news/153033" target="_blank">國會</a>面前爆料推特資安做得很差的推特前資安長有關。推特請求出示的法院證據顯示，5月初馬斯克團隊接獲一封匿名信，要和他們聯繫。談論內容不明，來源僅顯示是推特前高層主管，但據<a href="https://techcrunch.com/2022/10/04/elon-intends-buy-twitter/" target="_blank">Techcrunch</a>報導，極可能是前資安長Peiter Zatko，他曾堅稱爆料之前和馬斯克並沒有過聯繫。</p> <p>隨著本消息公布，推特周三股價由42美元一舉跳高到52美元，漲幅約23%。</p> </div></div></div>
2022/10/5 11:00作者林妍溱https://www.ithome.com.tw/news/153462
Google監控服務Cloud Monitoring介面現支援查詢語言PromQL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於Prometheus逐漸成為監控Kubernetes的標準化規格，有鑒於越來越多使用者熟悉Prometheus內建查詢語言，所以Google決定在<a href="https://cloud.google.com/blog/products/devops-sre/cloud-monitoring-ui-now-features-promql-querying">監控服務Cloud Monitoring的用戶介面，加入PromQL</a>供用戶選用。</p> <p>除了PromQL與Prometheus捆綁在一起這個因素之外，Google也提到，PromQL簡單容易使用，可方便用於查詢時間序列資料，在線上已經有許多社群資源，像是查詢儲存庫、範例手冊和PromQL訓練，目前是Kubernetes開發人員熟悉的查詢語言。</p> <p>Google已經在Cloud Monitoring添加許多開源介面，像是Prometheus、OpenCensus和OpenTelemetry，他們希望透過產業的通用標準，提高服務的易用性。Google在數個月前，於Cloud Monitoring替超過1,500個免費指標發布PromQL，以加強對開源介面的支援，用戶可以透過自託管Grafana使用到這些指標。</p> <p>而現在用戶可以在整個Cloud Monitoring用戶介面中使用PromQL，包括Metrics Explorer和Dashboard Builder，官方表示，雖然他們會繼續在Cloud Monitoring指標支援Grafana，但是不少用戶傾向使用由官方託管且支援SLO的視覺化儀表板工具，而不是運作一套自己的工具。</p> <p>開發人員可以使用熟悉的PromQL查詢語言和範例，在Cloud Monitoring監控Kubernetes，Cloud Monitoring的PromQL帶有指標名稱、標籤鍵值和標籤值，用戶可以使用PromQL查詢免費的Google雲端系統指標、Kubernetes指標，即便不使用Prometheus託管服務，仍可以使用PromQL。</p> <p>Cloud Monitoring預設啟用PromQL，這代表使用PromQL或Prometheus託管服務，就不需要額外配置、運作或是擴展自託管的Grafana，但仍可以同時使用Cloud Monitoring UI和Grafana，完全取決於用戶的需求。</p> <p>目前該功能以預覽版向所有Google用戶開放，用戶可以使用Metrics Explorer或Dashboard Builder中的PromQL頁籤，以PromQL查詢Cloud Monitoring指標，PromQL所支援的查詢可以保存在自訂儀表板中，並且可以在Metrics Explorer中打開任何儀表板圖表，使用PromQL執行臨時分析。</p> </div></div></div>
2022/10/4 22:37作者李建興https://www.ithome.com.tw/news/153442
AWS更新雲端聯絡中心Amazon Connect添加案例追蹤、協作功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其<a href="https://aws.amazon.com/tw/blogs/aws/announcing-general-availability-of-amazon-connect-cases/">雲端聯絡中心Amazon Connect添加稱為Cases的新功能</a>，可以簡化企業與其客戶互動，並且減少問題處理的時間。目前Amazon Connect Cases先於美東維吉尼亞北和美西奧勒岡地區正式推出。</p> <p>Amazon Connect Cases用於追蹤和管理需要聯絡中心重複互動和多個團隊解決的客戶問題，聯絡中心客服專員可以簡單地創建、協作案例，以更少的對話和追蹤任務就可解決客戶的問題。</p> <p>客服專員會在統一的檢視圖中，查看案例的詳細資訊，像是開啟的日期和時間、問題摘要或是客戶資訊，了解案例客戶所遭遇的獨特問題，像是產品瑕疵或是帳單查詢，官方強調，Cases的使用非常簡單，用戶可以配置自動創建或查詢現有案例，節省專員搜尋和手動輸入資料的時間，進而加快問題解決時間、提高效率減少錯誤，最終提高客戶滿意度。</p> <p>由於Amazon Connect Cases將會是專員應用程式的一部分，該應用程式還包括用於處理聯絡人的Amazon Connect Contact Control Panel，用以辨識客戶和個人化體驗的Amazon Connect Customer Profiles，以及顯示相關知識文章的Amazon Connect Wisdom，還有自動化、追蹤和監控後續任務的Amazon Connect Tasks。</p> <p>Cases內建案例管理功能，不需要聯絡中心建構專屬的解決方案，或整合第三方產品處理複雜的客戶問題，針對每個問題Cases都可供專員在一處查看歷史紀錄和活動，並從互動式語音回應（IVR）或聊天中自動擷取案例資料，以Tasks追蹤後續工作。</p> <p>由Cases自助互動式語音回應或聊天機器人收集的資訊，會被用於自動創建和更新案例，當需要專員協助時，聯絡任務將會被路由到可用的專員，以改善平均處理時間和首次聯絡問題解決率。由於Cases和Amazon Connect Tasks整合，Tasks將會追蹤解決用戶問題的所需工作，包括優先項目以及未決操作，因此專員也能夠簡單地創建任務，決定任務優先順序，並監控分配給其他專員或是團隊的工作。</p> </div></div></div>
2022/10/4 22:47作者李建興https://www.ithome.com.tw/news/153443
Kotlin 1.7.20更新K2編譯器，預設啟用新記憶體管理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrain釋出最新<a href="https://kotlinlang.org/docs/whatsnew1720.html">Kotlin 1.7.20</a>程式語言版本，這個版本的更新重點包括改進K2編譯器支援，並且開始預設使用新的Kotlin記憶體管理器。Kotlin團隊持續改進K2編譯器，目前K2仍在Alpha階段，但是現在新增支援多個編譯器套件，包括all-open、no-arg和SAM with receiver等。</p> <p>Kotlin 1.7.20開始預覽..<運算子，這個運算子是用來表達範圍值，官方解釋，..<運算子的行為像是until函式，但是可以供開發者定義開放結尾的數值。而經過官方的研究，新的運算子也的確能夠更好地表達開放範圍和明確無上限的用例。但是目前..<運算子仍是實驗性功能，在IDE中使用有其限制。</p> <p>由於Kotlin團隊改進記憶體管理器，穩定性和效能同時獲得提升，因此在這個Kotlin新版本，記憶體管理器進入Beta測試階段，官方提到，之前的記憶體管理器會使編寫並行和非同步程式碼變得複雜，包括kotlinx.coroutines函式庫的實作問題，限制了iOS和Android平臺之間共享Kotlin程式碼，因而阻礙了Kotlin Multiplatform Mobile的採用，而新的記憶體管理器解決相關問題，並使Kotlin Multiplatform Mobile進到Beta階段。</p> </div></div></div>
2022/10/4 22:53作者李建興https://www.ithome.com.tw/news/153445
微軟揭秘用於偵測Azure雲端平臺系統異常的演算法AiDice
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在部落格介紹了用於自家Azure雲端，大規模偵測異常的演算法<a href="https://azure.microsoft.com/zh-tw/blog/advancing-anomaly-detection-with-aiops-introducing-aidice/">AiDice</a>，官方表示，由於Azure系統規模太過龐大，即便他們已經做了許多預測和故障緩解措施來確保服務的可靠性，但還是可能遇到意想不到的問題，因此需要借助人工智慧的力量來偵測異常。</p> <p>AiDice是微軟研究院和微軟Azure聯合開發的新型異常偵測演算法，專門用來辨識大規模、多維時間序資料中的異常，AiDice不僅可以快速捕捉事件，也可以提供重要的脈絡，使工程師可以更快速地診斷問題。</p> <p>微軟提到，之所以需要在異常偵測中使用AIOps方法，是因為Azure資料量太龐大，無法在沒有運用人工智慧的情況下進行分析。大規模的雲端環境中，微軟監控為數龐大的雲端元件，每個元件紀錄大量的資料，而且任何雲端元件的每一列資料都具有數十個欄位的資料，像是時間戳記、虛擬機器硬體類型、作業系統版本、節點所在資料中心和國家等。</p> <p>官方解釋，他們所擁有的資料結構，本質上是多維時間序列資料，因為維度上的各種組合，個別時間序列的資料量便會以指數級增加，這代表他們無法迭代和監控每個時間序列，因此應用AIOps方法成為必要選擇。</p> <p>在AiDice之前，微軟在大規模、高維度時間序列資料中偵測異常的方法，便是挑選一組重要的資料維度進行異常偵測，透過關注範圍子集，就能夠快速偵測組合中的異常，一旦偵測到異常，再由工程師更深入地研究問題，並且運用資料深入研究其他維度，以更全面地診斷問題。</p> <p>雖然這個方法可行，但是這個方法有兩個缺點，第一是需要大量人力發現問題根本，另外，這個方法因為只能偵測有限數量的維度。為了解決這兩個問題，微軟研究院和微軟Azure開始了AiDice演算法的研究。</p> <p>AiDice能夠同時查看數十個維度資料，也就能夠自動定位時間序列資料樞紐，這讓微軟可以添加更多屬性，諸如硬體微程式、網路代理版本和作業系統版本等，雖然加入這些屬性會讓搜尋空間變大許多，但AiDice能夠將問題編碼成組合最佳化的問題，因此比傳統方法能夠更有效率搜尋空間。</p> <p>AiDice之所以可以同時搜尋多維度的秘密，便在於其公式化搜尋問題，AiDice演算法會先將資料轉化成搜尋問題，搜尋節點是透過特定的樞紐開始，並建立與鄰居的關係，像是節點Country=USA, Datacenter=DC1, DiskType=SSD，AiDice會透過交換、添加和刪除維度來形成相鄰節點。</p> <p>接下來AiDice演算法會透過最大化兩個關鍵元件的目標函式，以智慧方式搜尋整個搜尋空間。第一，當錯誤突然發生或是變化越大，目標函式得分就會越高，第二，當樞紐發生的錯誤相對於錯誤總數的比率高，則AiDice對目標函式的評分也會越高。AiDice會對目標函式得分較高的事件發出警示，而微軟藉由過濾和自定義來調整警示，減少噪音並且使AiDice更具可操作性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201375%20-%20Advancing%20anomaly%20detection%20with%20AIOps%E2%80%94introducing%20AiDice%20-%20Azure%20%E9%83%A8%E8%90%BD_%20-%20azure_microsoft_com.jpg" style="width: 380px;" /></p> <p>AiDice能夠在系統出現問題時，幫助微軟早期掌握問題所在，官方舉例，AiDice曾發現某種類型虛擬機器記憶體不足的錯誤事件，該虛擬機器具有數十個維度的屬性，AiDice發現特定樞紐中不同節點的低記憶體事件數量增加，但總體趨勢卻無法被呈現該問題，透過AiDice微軟得以快速偵測問題所在，使工程師快速解決問題根源。</p> </div></div></div>
2022/10/4 22:57作者李建興https://www.ithome.com.tw/news/153458
北韓駭客利用Dell驅動程式漏洞關閉Windows安全機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.welivesecurity.com/2022/09/30/amazon-themed-campaigns-lazarus-netherlands-belgium/" target="_blank">安全研究人員發現</a>，北韓駭客組織Lazarus近日利用存在13年的Dell驅動程式漏洞關閉Windows電腦上多項的安全防護機制，以植入竊取受害用戶資訊的惡意程式。</p> <p>資安廠商ESET近日發現一波惡意文件攻擊行動，受害者為一名荷蘭航太公司員工及一名比利時政治記者，他們分別經由LinkedIn及電子郵件收到偽裝來自Amazon的信件開啟後中標。這波攻擊主要目的在於竊取資訊。經過分析，這是由曾駭入過Sony的北韓駭客組織Lazarus所為。</p> <p>研究人員表示，這波攻擊最值得注意的是，駭客開採了已經存在13年的Dell一項重大風險韌體漏洞CVE-2021-21551。<a href="https://www.ithome.com.tw/news/144199" target="_blank">這項漏洞去年為安全廠商Sentinel首先揭露</a>，位於Dell驅動程式DBUtil（dbutil_2_3.sys）之中，屬於存取控管不足漏洞，可讓具本機非管理員權限的攻擊者取得核心模式執行權限，以執行惡意程式碼，風險值8.8。</p> <p>CVE-2021-21551令人驚駭的是它從2009年就已存在DBUtil中，並透過Dell更新的程式發布給Dell消費及企業終端，包括筆電、桌機、平板等，估計可能數量達千萬甚至上億臺。去年公布時，這漏洞還沒有遭到開採的記錄。所幸Dell 2021年即已修補了CVE-2021-21551漏洞。</p> <p>ESET研究人員指出，這是CVE-2021-21551有記錄以來首次被開採。經由這項漏洞，駭客在用戶電腦中下載了一款使用者模式（user-mode）模組，而得以讀寫Windows核心記憶體，然後再利用核心記憶體寫入的權利，關閉Windows 7用以監控惡意活動的機制，包括登錄編輯程式、檔案系統、行程建立、及事件追蹤（event tracing）等。</p> <p>藉由關閉Windows的安全監控機制，Lazarus得以在受害者電腦中植入多種惡意程式，包括dropper、loader、HTTPS後門程式、HTTPS上傳器及下載器程式，其中包括Blindingcan遠端存取木馬（Remote Access Trojan，RAT）。</p> <p><a href="https://www.ithome.com.tw/news/139529" target="_blank">Blindingcan</a>多年前即被北韓駭客用以攻擊全球多國人士，具有竊取資訊、建立或終止新程序，或是搜尋、寫入、移動與刪除、變更檔案、變更時間戳記，刪除自己蹤跡等強大能力。</p> <p>除了核心記憶體外，駭客可能也已成功存取多項Windows內前所少見或未見的區域，研究人員說這有待日後研究。</p> <p>防護之道方面，除了儘速升級Dell DBUtil韌體外，研究人員建議企業也應告誡員工，不得在公司網路內的電腦上從事私人事務，像是找工作。</p> </div></div></div>
2022/10/4 23:18作者林妍溱https://www.ithome.com.tw/news/153459
【資安週報】2022年9月26日到9月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從9月底最後一周的資安新聞來看，中國駭客APT41、TA413的攻擊行動相當值得留意，其中前者運用了具備多種檔案格式特徵的CHM檔案來發動攻擊，而使得將其透過不同的應用程式開啟，會出現完全不同的執行結果。</p> <p>關於企業遭到入侵的事故，在這一周期間，澳洲大型電信業者Optus遭到攻擊，不過，事隔兩天，駭客聲稱因執法單位的壓力，刪除竊得的資料；Uber指控資料外洩的攻擊者是駭客組織Lapsus$，但現在有資安研究人員認為，英國警方逮捕的一名17歲青少年才是主謀。</p> <p>本周駭客作案工具遭到外流的情況，也有越來越頻繁的現象！日前流出的勒索軟體LockBit 3.0產生器，如今有駭客將其製作名為Bl00dy的勒索軟體；再者，另一個引起研究人員關注，認為駭客很有可能拿來取代Cobalt Strike的滲透測試工具Brute Ratel C4（BRC4），現在傳出遭到破解且大肆在網路犯罪圈散布的情況。</p> <p>在重大漏洞部分，Exchange Server這一周再度傳出零時差漏洞，並出現攻擊行動，微軟雖然提出了緩解措施，但尚未提供修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153254"><span style="color: rgb(0, 0, 0);">【9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</span></a></strong></h3> <p>勒索軟體駭客鎖定特定的應用系統，做為入侵受害企業的管道，這樣的現象越來越頻繁。例如，有資安業者指出，名為Fargo的勒索軟體針對微軟SQL Server而來，駭客看上的就是這種資料庫系統可能沒有及時修補，或是使用弱密碼，而容易對其發動攻擊。</p> <p>開發者遭到鎖定的情況近期也相當氾濫，但現在有人同時針對兩種系統的用戶發動攻擊。有人自9月中旬針對採用持續開發及持續整合平臺CircleCI、程式碼代管平臺GitHub的用戶發動釣魚郵件攻擊，並要求收信人透過CircleCI帳號存取GitHub，進而竊取受害者的程式碼。</p> <p>協作平臺Atlassian Confluence的重大漏洞CVE-2022-26134再度遭駭客利用！研究人員發現將Confluence伺服器用於挖礦的攻擊行動，值得留意的是，這次駭客也運用了Linux漏洞PwnKit部署挖礦程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153295"><span style="color: rgb(0, 0, 0);">【9月27日】中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意程式的攻擊目標</span></a></strong></h3> <p>又是針對圖博人士的攻擊行動！有研究人員發現中國資助的駭客組織TA413發動的攻擊行動，這些駭客入侵受害組織的管道，先後運用了Sophos防火牆漏洞、MSDT元件漏洞Follina，並使用後門程式Lowzero進行網路間諜行動。在此之前，也有名為RedAlpha的中國駭客組織鎖定圖博社群而來。</p> <p>下載視訊會議軟體也要當心！資安業者揭露駭客以架設冒牌Zoom網站的方式，向受害者散布竊密軟體。這樣的情況，先前也有針對加密通訊軟體Telegram用戶的攻擊事故。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153312"><span style="color: rgb(0, 0, 0);">【9月28日】中國駭客APT41透過CHM檔案散布竊密軟體、北韓駭客Lazarus宣稱提供Crypto職缺散布惡意軟體</span></a></strong></h3> <p>駭客傳遞惡意軟體到受害電腦的手法，不少很可能是透過惡意巨集文件，或是HTML檔案、光碟映像檔來進行，但最近有人製作了具備多種檔案格式特徵的CHM檔案來發動攻擊。這個CHM檔案可被當作Windows說明檔案執行，但後來駭客透過了MSHTA元件來啟動部署惡意軟體的流程。</p> <p>PowerPoint的投影片模式也成為駭客濫用的對象！俄羅斯駭客組織APT28濫用這種功能觸發惡意PowerShell指令碼，而可能躲過資安防護系統的偵測。</p> <p>北韓駭客Lazarus再度假借加密貨幣交易所的職缺發動網釣攻擊！但與過往事件不同的是，這次駭客似乎鎖定macOS使用者而來。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153352"><span style="color: rgb(0, 0, 0);">【9月29日】駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Company遭駭而推送種族仇恨訊息</span></a></strong></h3> <p>攻擊者發動釣魚郵件攻擊的手法，大多是經由內含惡意巨集的Office文件檔案附件來進行，然而最近有人使用的是Word範本檔案來挾帶惡意程式碼，而使得郵件附件裡的Word文件能夠躲過資安系統檢測。</p> <p>美國商業媒體Fast Company遭駭，但值得留意的是，駭客並非從中竊取機密，而是冒用該公司的名義散布種族仇恨訊息。</p> <p>一週前勒索軟體LockBit產生器外流，現在又有滲透測試工具Brute Ratel C4（BRC4）破解版在駭客論壇散布。這種作案工具流出的情況越來越常出現，不只會有更多駭客拿來運用，也可能使得資安人員追查攻擊來源更加困難。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153376"><span style="color: rgb(0, 0, 0);">【9月30日】微軟Exchange伺服器又有零時差漏洞已被駭客鎖定、基於LNK散布惡意軟體的形式日益升溫</span></a></strong></h3> <p>微軟Exchange伺服器2013/2016/2019用戶注意了！有資安業者提出警告，他們從攻擊活動中發現微軟Exchange伺服器又有新的零時差漏洞出現，目前已通報ZDI與微軟，用戶須注意後續修補情形，而該公司也已提供IoC供外界自行比對檢查。同時，微軟在29日也說明這次漏洞分別是CVE-2022-41040的SSRF漏洞，以及CVE-2022-41082的RCE漏洞，並公布暫時緩解方法供企業因應。</p> <p>另一最近值得關注焦點，是網路犯罪者透過Quantum Builder透過LNK散布惡意軟體的趨勢。近三個月來，已有一些資安業者提醒Quantum Builder工具開始被廣泛應用的跡象，例如，資安業者cyble在6月先是揭露，網路犯罪者販售於暗網的Quantum Builder工具，是可用於產生.LNK、.HTA、.ISO與PowerShell腳本的工具，駭客會利用此工具散布Emotet、Bumblebee、Qbot、Iced等惡意程式。</p> </div></div></div>
2022/10/4 10:17作者周峻佑https://www.ithome.com.tw/news/153433
【資安日報】2022年10月4日，微軟針對Exchange零時差漏洞提出的緩解措施可被輕易繞過、美國防承包商遭勒索軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週被資安業者揭露的Exchange零時差漏洞被命名為ProxyNotShell，微軟目前在提供正式修補之前，先公布緩解措施，但事隔數日，有研究人員發現，即使管理者採取微軟提供的措施，駭客還是可以繞過，並利用上述的零時差漏洞發動攻擊。</p> <p>由於微軟尚在製作ProxyNotShell修補程式，研究人員並未透露更詳細的資料，但有人竟然以此為誘餌，趁機以概念性驗證程式向資安人員行騙。</p> <p>又有美國國防承包商傳出遭到勒索軟體攻擊！這次受害的是為美國政府機關、國防部提供IT基礎設施的NJVC，但罕見的是，駭客聲稱竊得NJVC大量機密後不久，網站就無法存取。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-server-zero-day-mitigation-can-be-bypassed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟針對Exchange零時差漏洞ProxyNotShell提出的緩解措施可被輕易繞過</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FeHSTzUVsAAF-u1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FeHSTzUVsAAF-u1.jpg" style="width: 300px; float: right;" /></a>越南網路安全公司GTSC發現Exchange零時差漏洞ProxyNotShell（CVE-2022-41040及CVE-2022-41082），通報後微軟也提出緩解措施，建議管理者依據攻擊特徵配置IIS Manager來防堵相關攻擊，但資安研究員Jang表示，微軟提出防堵上述零時差漏洞的措施，攻擊者能輕易繞過，他也公布螢幕截圖印證此事，隨後另一位威脅研究員Will Dormann也認同這項發現，他指出微軟的做法不夠充分，而最早發現此漏洞的GTSC，也發布影片印證這項說法。</p> <p>此外，資安研究員Kevin Beaumont提出警告，只要組織採用內部建置的Exchange（包含混合雲部署模式），就有可能曝露在ProxyNotShell的風險，根據物聯網搜尋網站的搜尋結果，超過1,200個組織採用了混合雲部署模式Exchange，而可能成為駭客鎖定的目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-microsoft-exchange-proxynotshell-exploits-for-sale-on-github/"><span style="color: rgb(0, 0, 0);">尚未有修補程式的微軟Exchange零時差漏洞出現新亂象！有人在GitHub假借兜售概念性驗證程式進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fd6J_QPX0AUBTFi.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fd6J_QPX0AUBTFi.jpg" style="width: 300px; float: right;" /></a>Exchange零時差漏洞ProxyNotShell曝光不久，尚未有研究人員公布完整細節，但有人趁機想要進行詐騙。研究人員John Hammond、Paulo Pacheco發現，有人趁機在GitHub兜售概念性驗證程式（PoC），要價約420美元，實際上卻是騙局，若是資安人員依照指示支付比特幣，不會收到對方宣稱的PoC檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/news/blackcat-breached-department-of-defense-contractor-went-offline/"><span style="color: rgb(0, 0, 0);">美國國防承包商NJVC遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fdzx3AmWIAI1L9e.png" style="width: 300px; float: right;" />根據新聞網站Cybernews的報導，勒索軟體駭客BlackCat（Alphv）於9月28日聲稱，他們攻陷IT業者NJVC竊得大量機密檔案，並揚言每12小時公布部分竊得的資料。NJVC主要為美國聯邦政府與國防部提供相關服務，年營收為2.9億美元。</p> <p>然而，駭客發布上述訊息之後不久，BlackCat的網站就出現離線的情況，直到30日才再度上線。不過，此時駭客列出的受害者名單已經沒有NJVC。這中間究竟發生了什麼事？仍有待進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sygnia.co/revealing-emperor-dragonfly-a-chinese-ransomware-group"><span style="color: rgb(0, 0, 0);">Linux勒索軟體Cheerscrypt背後的駭客來自中國</span></a></strong></h3> <p>資安業者Sygnia調查勒索軟體Cheerscrypt攻擊事故時，發現駭客使用與勒索軟體Night Sky相同的策略、技術，以及作業程序（TTP）。經過進一步調查後，他們發現，兩種勒索軟體背後的攻擊者身分，都是駭客組織Emperor Dragonfly（亦稱DEV-0401、Bronze Starlight），由於此組織運用中國開發者針對當地用戶打造的開源工具，研究人員認為，這些駭客很可能也來自中國。</p> <h3><strong style="font-size: 22px;"><a href="https://www.reuters.com/technology/ferrari-says-no-evidence-system-breach-ransomware-2022-10-03/"><span style="color: rgb(0, 0, 0);">賽車製造商法拉利遭網路攻擊，疑為勒索軟體駭客RansomEXX所為</span></a></strong></h3> <p>賽車製造商法拉利（Ferrari）於10月3日傳出遭網路攻擊，導致部分內部資料流出。根據義大利媒體晚郵報（Corriere della Sera）的報導，此起事故是勒索軟體駭客組織RansomEXX所為，總共竊得7 GB資料，包含維修手冊等內部資料，且這些資料已被公開。針對此事，法拉利表示目前尚未有證據顯示是勒索軟體攻擊或資料外洩，該公司營運並未因此中斷。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/cve-2022-37461-two-reflected-xss-vulnerabilities-in-canon-medicals-vitrea-view/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Canon Medical醫療影像存取軟體存在漏洞，恐導致資料外洩</span></strong></a></h3> <p>資安業者Trustwave揭露Canon Medical旗下的醫療影像存取軟體Vitrea View的XSS漏洞CVE-2022-37461，一旦攻擊者利用這項漏洞，就有可能存取病人的資料，甚至入侵醫院其他系統。這項漏洞存在於管理介面與錯誤訊息頁面，其中，針對管理介面的部分，駭客一旦成功引誘管理者點選特定的URL，駭客就能竄改或建立新的Python、JavaScript、Groovy指令碼。Canon Medical於今年4月發布Vitrea View 7.7.6版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/new-supply-chain-attack-leverages-comm100-chat-installer/"><span style="color: rgb(0, 0, 0);">即時通訊系統Comm100的電腦版軟體遭植入木馬程式，疑中國駭客所為</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-retail-chain-dns-confirms-hack-after-data-leaked-online/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯家電聯鎖賣場DNS傳出資料外洩，1,600萬人個資流入駭客論壇</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.kyivpost.com/world/russian-citizens-wage-cyberwar-from-within.html"><span style="color: rgb(0, 0, 0);">俄羅斯反戰駭客傳出攻擊政府網站</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153411">【2022年10月3日】駭客設置冒牌財星500大企業資安長LinkedIn帳號、前IT人員竄改企業的網域配置遭起訴</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153376">【2022年9月30日】微軟Exchange伺服器又有零時差漏洞已被駭客鎖定、基於LNK散布惡意軟體的形式日益升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153352">【2022年9月29日】駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Company遭駭而推送種族仇恨訊息</a></strong></strong></strong></p> </div></div></div>
2022/10/4 18:09作者周峻佑https://www.ithome.com.tw/news/153457
南韓入口網站Naver將以12億美元買下美國流行市集Poshmark
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20221003006050/en/Naver-to-Acquire-Poshmark" target="_blank">南韓入口網站暨搜尋引擎業者Naver周一（10/3）宣布</a>，將以每股17.9美元買下美國專門銷售流行商品的<a href="https://poshmark.com/" target="_blank">電子商務網站Poshmark</a>。此一收購案的總價約12億美元，雙方預計於明年第一季以前完成交易。</p> <p>Poshmark成立於2011年，定位為社交購物網站，讓使用者交易全新或二手流行商品、居家用品或電子產品。<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001825480/44d637d0-3958-48a5-a77d-2621b899f3b3.pdf" target="_blank">根據該公司今年第二季的財報</a>，該季Poshmark創下8,910萬美元的營收，虧損2,300萬美元，站上約有800萬名買家。它在2021年1月以每股42美元的發行價登上那斯達克股市，但周一收盤價則是15.57美元。</p> <p>至於成立於1999年的Naver則是南韓最早的搜尋引擎及入口網站，<a href="https://gs.statcounter.com/search-engine-market-share/all/south-korea" target="_blank">StatCounter的統計顯示</a>，Naver於當地搜尋引擎市場雖然不敵Google的68.7%，但依然保有26.7%。由於Naver是以15%的溢價收購Poshmark，使得Poshmark在周一收盤後大漲了14.45%，股價升至17.82美元。</p> <p>Naver執行長崔秀妍（Choi Soo-Yeon）表示，Poshmark是美國時尚界的權威品牌，提供服飾銷售的社交網路，而Naver則是在搜尋、AI推薦與電子商務工具上握有領先的技術，將可協助Poshmark進入下一階段的全球成長。雙方計畫建立一個線上流行商品的全球平臺與社群，提高購買轉化率，強化用戶參與，並建立直播銷售的領導地位。</p> <p>在交易完成之後，Poshmark將成為Naver在美國的獨立子公司，繼續由Poshmark既有的經營團隊負責營運，也會保留其品牌與員工。</p> </div></div></div>
2022/10/4 14:28作者陳曉莉https://www.ithome.com.tw/news/153439
Google及微軟等五大科技業者加入語音無障礙專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://speechaccessibilityproject.beckman.illinois.edu/article/2022/10/03/university-of-illinois-joins-five-technology-industry-leaders-in-new-speech-accessibility-project" target="_blank">美國伊利諾大學香檳分校（University of Illinois Urbana-Champaign，UIUC）本周發表了語音無障礙專案（Speech Accessibility Project）</a>，並宣布該專案已取得了來自Amazon、蘋果、Google、Meta與微軟等五大科技業者，以及其它非營利組織的支持，以讓語音辨識能夠包容更多樣化的語音模式，造福更多的殘障人士。</p> <p>主導該專案的UIUC電子暨電腦工程教授Mark Hasegawa-Johnson表示，能夠利用語音與裝置交流或操作裝置，對數位經濟時代的任何人都是重要的，語音介面應該支援所有人，包括殘障人士在內。</p> <p>Hasegawa-Johnson指出，這是一個困難的任務，因為它需要龐大的基礎設施，最好是得到由領先技術業者所支持的基礎設施，因此他們已經建立一個跨學科的團隊，邀請了語言學、語音AI、安全及隱私等各方面的專家，以協助面對此一挑戰。</p> <p>此一專案的源由來自於現代的語音辨識系統有所不足，例如語音助理或翻譯工具並不總是能辨識那些障礙人士的各種語音模式，像是漸凍人/硬化症、帕金森氏症、腦性麻痺或唐氏症，不管是這些或其它社群的許多人，可能都無法自最新的語音辨識工具中受益。</p> <p>由於科技業者可藉由人工智慧與機器學習技術，來提供更具包容性的語音辦識能力，語音無障礙專案即負責蒐集代表這些不同社群的語音樣本，研究人員計畫付費招募自願者來貢獻語音樣本，建立一個匿名的資料集，以用來訓練機器學習模型，讓各種模型更能理解不同的語音模式，且初期將鎖定美國英文。</p> <p>除了五大科技業者都同意在技術上支援該專案之外，專門幫助帕金森氏症病患的 Davis Phinney Foundation，及罹患硬化症的前美式足球員Steve Gleason也都承諾將支持此一專案。</p> </div></div></div>
2022/10/4 15:04作者陳曉莉https://www.ithome.com.tw/news/153441
台積電IT破2千人規模不夠用，首度舉辦IT技術日揭露轉型成果大搶人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電將在10月底首度舉辦IT技術日（TSMC IT Day）活動，首度正式對外揭露過去2年來，IT架構大改造、擁抱雲原生技術的轉型成果。由台積電資訊長林宏達，率領智慧製造、企業系統、資訊架構等領域的技術主管親自上場。這也是台積電第一次舉辦以IT技術為主軸的技術分享活動，一方面要展現台積電IT的技術力，另一方面就是為了大舉招募更多資深IT高手。</p> <p>這兩年，台積電大舉招募各種IT人才，不只是負責打造內部軟體產品，也要瞄準未來全球營運的挑戰。2020年底，台積電開始打破過去以實體活動或校園徵才的例行性招募作法，轉而舉辦線上徵才活動，要吸引全臺，甚至是海外的IT人才。不只AI人才，更積極招募3大類IT人才，包括了雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師。</p> <p>到了去年下半年，台積展開第二度的IT大徵才活動，進一步開出5大類職缺，不只軟體工程師、製造智慧化發展的AI/ML工程師及基礎架構工程師之外，去年更開始大力招募SRE工程師和DevOps工程師。</p> <p>至今，台積電IT部門的規模超過2千人，是臺灣少數擁有千人開發團隊的大型企業，但是，這個規模仍無法滿足台積電的IT需求，甚至遠遠不夠。</p> <p>為什麼，台積電這麼迫切需要招募更多IT人才？關鍵就是，去年新上任的台積電資訊長林宏達，帶頭展開了台積IT體質大改造工程，需要更多人才來發展全球維運能力，以支援台積電到全世界蓋廠的經營模式。</p> <p>台積電IT過去是採取開發和維運分開的模式，每次設立一座新廠，就得設立對應的資料中心和維運團隊來負責這座新場，但是，隨著台積電到全球設廠，如何跨國管理遠在海外新廠的IT維運需求，成了一大挑戰，所以，台積電IT的開發模式，從2021年開始轉為Product模式，按照IT所負責的軟體產品類型來管理和規畫，而不是像過去依照工廠建廠順序來規劃的做法。</p> <p>到了2022年，台積電IT所負責的主要軟體產品，大都改為產品開發模式，並導入DevOps來管理。這些軟體產品包括了MES、機臺自動化、機臺控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM和人資管理HCM等系統。</p> <p>另一方面，台積電IT的發展策略，也開始從Scale up（垂直擴充）轉為Scale out（水平擴充）策略。台積電IT未來的目標是，要大力發展出全球架構的資料中心維運能力。</p> <p>為了達成這個目標，台積電IT過去2年，不只大舉到各大專院校資訊相關科技徵才，更開始出席不少技術研討會中分享自家經驗，例如9月就在DevOpsDays Taipei活動中，揭露了台積IT在多雲整合企業應用平臺的DevOps SRE落地實踐經驗。</p> <p>顯然，這樣的IT人力招募速度，還是趕不上台積電對IT人力的需求，才進一步舉辦數千人規模的大型技術日，一方面為了塑造台積電擁抱雲原生、新世代架構的IT品牌，另一方面也要展現IT實力，來吸引更多資深與有業界實戰經驗的IT人才。</p> <p> </p> </div></div></div>
2022/10/4 13:03作者王宏仁https://www.ithome.com.tw/news/153437
Twitter針對Twitter Blue訂閱用戶推出編輯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter本周終於推出了編輯功能，讓使用者可編輯已經張貼的推文，不過，此一功能目前仍僅限訂閱Twitter Blue的用戶試用。</p> <p>身為Twitter最大股東、目前仍身陷是否買下Twitter風暴的馬斯克（Elon Musk）<a href="https://www.ithome.com.tw/news/150273" target="_blank">曾在今年4月進行一項民調</a>，詢問Twitter用戶是否想要編輯按鍵，結果吸引了逾440萬名使用者參與，高達73.6%想要編輯按鍵。</p> <p><a href="https://help.twitter.com/en/using-twitter/twitter-blue-labs" target="_blank">根據Twitter的說明</a>，編輯按鍵會出現在推文送出的30分鐘之內，以讓使用者可以進行任何的變更，但只能變更5次。編輯之後的推文也會出現「已編輯」（Edited）的圖示，任何人點擊之後都能看到尚未編輯之前的版本。</p> <p>目前此一功能僅供Twitter Blue訂閱用戶試用。Twitter是在去年6月發表需要付費訂閱的Twitter Blue服務，<a href="https://help.twitter.com/en/using-twitter/twitter-blue-features#top-articles" target="_blank">Twitter Blue用戶可享有特別的功能</a>，像是無廣告的文件、書籤文件夾、客製化的程式圖示、更方便閱讀的Reader工具及客製化主題等。除了固定的功能之外，<a href="https://help.twitter.com/en/using-twitter/twitter-blue-labs" target="_blank">還能測試正於Twitter Blue Labs中實驗的新功能</a>，例如編輯，或是上傳更長的影片與NFT頭像等。</p> <p>迄今Twitter已於美國、加拿大、澳洲及紐西蘭推出Twitter Blue服務，<a href="https://help.twitter.com/en/using-twitter/twitter-blue-help#price-increase" target="_blank">其每月訂閱價格亦自今年7月從2.99美元漲到4.99美元</a>。Twitter並未公布Twitter Blue的用戶數，且財報中亦將Twitter Blue、開發者平臺及其它訂閱服務一同列為「訂閱與其它營收」，<a href="https://s22.q4cdn.com/826641620/files/doc_financials/2022/q2/Final_Q2'22_Earnings_Release.pdf" target="_blank">在該公司今年第二季的11.8億美元總營收中</a>，該類別的營收為1.01億美元。</p> </div></div></div>
2022/10/4 11:51作者陳曉莉https://www.ithome.com.tw/news/153435
布魯斯威利否認將肖像使用權賣給Deepfake影片製作公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>演員布魯斯威利本周否認將臉部肖像使用權賣給一家Deepfake影片製作公司，好讓他可以用分身繼續在大銀幕上演戲。</p> <p>上周英國媒體<a href="https://www.dailymail.co.uk/tvshowbiz/article-11262131/Bruce-Willis-sells-rights-allow-deepfake-digital-twin-created.html" target="_blank">《每日郵報》</a>首先報導，布魯斯威利（Bruce Willis）去年將Deepfake臉部肖像使用權賣給了美國德拉威州公司的Deepcake，還說他是業界第一個簽下此類交易合約的好萊塢巨星。此後有多家國際媒體，包括<a href="https://www.telegraph.co.uk/world-news/2022/09/28/deepfake-tech-allows-bruce-willis-return-screen-without-ever/" target="_blank">Telegraph</a>或<a href="https://arstechnica.com/information-technology/2022/09/bruce-willis-sells-deepfake-rights-to-his-likeness-for-commercial-use/" target="_blank">Ars Technica</a>都跟進報導。</p> <p>但周一這名好萊塢演員透過經紀公司否認這項消息。經紀公司對包括<a href="https://www.bbc.com/news/technology-63106024" target="_blank">BBC</a>及<a href="https://twitter.com/Reuters/status/1440531299387813888" target="_blank">路透社</a>指出，威利和這家公司從來沒有合作關係或協定，Deepcake宣稱買下使用權的說法是誤導，布魯斯（威利）沒有賣任何權利給任何人，所有權利都屬他本人所有。</p> <p><a href="https://deepcake.io/" target="_blank">Deepcake公司官網</a>使用威利Deepfake影像的影片為宣傳，宣稱只要3到5天就能將威利的臉天衣無縫地嫁接到影片中其他演員頭上，該公司甚至引用威利的「聲明」說，這影像的神經網路是以《終極警探Die Hard》、《第五元素》內容訓練而成，完成後的角色和過去的形象很相似。他很喜歡他角色的精準度，是讓他回到過去狀態的大好機會。</p> <p>但這則影片其實是Deepcake公司盜用去年俄羅斯電信公司Megafon使用威利Deepfake影像後製成的廣告。而且媒體報導，Deepcake雖然註冊在美國，但其實總部位於東歐喬治亞。這烏龍報導造成的風波，<a href="https://arstechnica.com/information-technology/2022/10/bruce-willis-denies-selling-deepfake-rights-to-deepcake/" target="_blank">讓Ars Technica本周為此致歉</a>。</p> <p>布魯斯威利今年三月宣布，自己因為被診斷罹患失語症而退休。</p> <p>AI技術的進步讓某人影像或聲音復活的應用愈來愈普及。美國奧斯卡導演Morgan Neville製作美國名廚安東尼波登（Anthony Bourdain）的紀錄片中，有3句以Bourdain聲音說出的話，<a href="https://www.ithome.com.tw/news/145702" target="_blank">其實是利用AI及Deepfake技術偽造產生</a>。</p> <p>今年上映的《捍衛戰士：獨行俠Top Gun: Maverick》中，製作團隊使用Spotify今年剛收購的<a href="https://www.ithome.com.tw/news/151441" target="_blank">AI公司Sonantic技術</a>，模擬出因為喉癌手術無法正常說話的演員方基墨（Val Kilmer）從前的聲音。</p> </div></div></div>
2022/10/4 12:03作者林妍溱https://www.ithome.com.tw/news/153436
拒絕支付贖金，駭客開始公布自美國第二大學區LAUSD盜走的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國洛杉磯聯合學區（LAUSD）在今年9月初<a href="https://www.ithome.com.tw/news/152917" target="_blank">遭到Vice Society勒索軟體集團的攻擊</a>，由於拒絕支付贖金，<a href="https://twitter.com/LAUSDSup/status/1576636549994717184" target="_blank">該學區負責人Alberto Carvalho周一（10/3）表示</a>，駭客已開始釋出自該學區竊取的資料，而Vice Society亦分別向《<a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-leaks-data-stolen-from-lausd-school-system/" target="_blank">BleepingComputer</a>》與《<a href="https://techcrunch.com/2022/10/03/los-angeles-school-district-ransomware-data/" target="_blank">TechCrunch</a>》透露，Vice Society手上擁有500GB的LAUSD資料。</p> <p>在遭到攻擊之後，LAUSD即刻成立了一個由各方資安專家組成的IT小組，負責檢查先前審計的可行性與有效性，以找出改善之道。此外，LAUSD也決定不支付駭客所提出的贖金，認為這些經費應該要用來資助學生及教育，且支付贖金也無法保證能夠完整回復資料，宣誓不向駭客投降。</p> <p>作出此一決定之後，<a href="https://achieve.lausd.net/site/default.aspx?PageType=3&DomainID=4&ModuleInstanceID=4466&ViewID=6446EE88-D30C-497E-9316-3F8874B3E108&RenderLoc=0&FlexDataID=123107&PageID=1" target="_blank">LAUSD在9月底便曾警告</a>駭客可能會發布非法自該學區所獲得的資料。</p> <p>另一方面，根據《BleepingComputer》的報導，Vice Society勒索軟體集團已開始公布LAUSD資料，而且向協助LAUSD的美國國土安全部旗下的美國網路安全及基礎設施安全局（CISA）下戰帖，指出CISA浪費它們的時間，他們便要消耗CISA的名聲。</p> <p>不管是聯邦調查局（FBI）或CISA，都曾公開呼籲勒索軟體受害者不要支付贖金，以免助長駭客氣焰、間接資助其它犯罪行動並引來更多的攻擊，更何況，支付贖金也不見得能讓系統完全復原或取回完整資料，不只是FBI及CISA，<a href="https://therecord.media/an-inside-look-into-states-efforts-to-ban-govt-ransomware-payments/" target="_blank">根據《The Record》的報導</a>，美國北卡羅來納州及佛羅里達州已於今年初，明文禁止任何官方機構支付勒索軟體贖金。</p> <p>是否支付贖金其實是個難解的議題。<a href="https://twitter.com/BrettCallow/status/1577065713722064896" target="_blank">資安業者Emsisoft威脅分析師Brett Callow便指出</a>，在2020年被勒索軟體攻擊的馬里蘭州巴爾的摩郡的Baltimore County Public Schools（BCPS）學區，總計斥資800萬美元才恢復，BCPS學區境內約有近170所學校，而LAUSD則接近1,700所。</p> <p><a href="https://blog.emsisoft.com/en/40813/the-state-of-ransomware-in-the-us-report-and-statistics-2021/" target="_blank">根據Emsisoft的調查</a>，2021年時美國總計有77個政府機關、逾1,000所學校，以及超過1,200個醫療照護組織遭到勒索軟體攻擊，其中至少有118起涉及資料外洩，且絕大多數都已被駭客公開。而今年以來當地受到勒索軟體攻擊所波及的學校數量，則已超過1,700所。</p> </div></div></div>
2022/10/4 11:10作者陳曉莉https://www.ithome.com.tw/news/153434
Deno 1.26改進文字編碼和檔案處理效能，並強化對Node.js的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript、TypeScript執行環境<a href="https://deno.com/blog/v1.26#typescript-48">Deno釋出最新版本1.26</a>，這個版本的更新重點除了效能提升外，同時也改進Node.js與NPM的相容性。官方預告，他們內部一直進行的效能改進工作，透過解決瓶頸減少延遲和處理開銷，近期將會公開完整成果。</p> <p>但和1.24.3版本相比，Deno 1.26在效能改進部分，已經有一些初步的進展，像是將文字編碼到現有的TypedArray中，小型負載的最大吞吐量提升至5倍，較大的有效負載則提高到30倍，而且同步寫入Deno.writeFileSync()速度也提高達1.44倍，非同步寫入Deno.writeFile()的速度也有小幅度提升1.15倍。</p> <p>之前因為官方改變Deno文字解編碼的方法，導致CSV解析效能下降，但現在官方著手進行改進，在基準測試中，這個版本在Mac上有1.36倍的效能提升，Linux也有加速1.15倍。另外，現在沒有查詢字串的URL解析速度提高至2.27倍，對於具有多個查詢字串參數的複雜URL，解析速度也提高了1.37倍。</p> <p>開發團隊對Deno的檔案系統操作進行諸多改進，與1.24.3版本相比，許多檔案操作效能都有不同幅度的提升（下圖），在MacOS上，Deno.copyFileSync會盡可能使用APFS寫入時複製這個系統呼叫，以取得最佳化策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-Denp-600.png" style="width: 476px;" /></p> <p><span style="color:#696969;">圖片來源／Deno Land</span></p> <p>Deno 1.26在Node.js相容層中，添加了幾個之前不被支援的API實作，此外，整個相容層的測試套件已經更新，以前測試套件僅支援Node.js 16.13.0，現在已經能夠相容Node.js 18.8.0，官方解釋，這項工作是為了Node.js 18會在10月進入長期支援做準備。</p> <p>Deno中的Node.js串流實作，已經更新使用[email protected] NPM模組，這項更新將讓Deno能夠更好地跟上重大更新。Deno在這個版本添加對快取API的支援，該API讓開發者可以快取請求/回應物件，開發團隊提到，這個功能在動態生成回應時很有幫助，可以讓開發者快取GET請求的回應，並從快取中對類似請求提供回應。Deno 1.26也附帶了最新的TypeScript穩定版4.8。</p> </div></div></div>
2022/10/4 09:02作者李建興https://www.ithome.com.tw/news/153430
Google關閉中國版Google Translate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一證實，由於使用率低，將關閉中國版Google Translate服務。</p> <p><a href="https://techcrunch.com/2022/09/30/google-appears-to-have-disabled-google-translate-in-parts-of-china/" target="_blank">在Techcrunch上周五報導後</a>，Google周一正式對媒體表示，由於使用率不高，該公司不再繼續於中國大陸地區提供Google Translate服務。</p> <p><a href="https://www.reddit.com/r/China/comments/xs3dbc/translategooglecn_downpossibly_permanently/" target="_blank">Reddit一名用戶於上周五（9/30）首先發現</a>中國版Google Translate網站（translate.google.cn）已經連不上，試圖使用的用戶會被導向香港版（translate.google.hk）。</p> <p>中國版Google Translate的停用將使一些原先使用該功能的服務，像是Chrome的內建翻譯，或是電子書Kobo的閱讀軟體KOReader等App也會受影響。</p> <p>Google翻譯中國版關閉，使Google在中國服務又再進一步縮減。2006年Google進入中國市場，但2010年旗下YouTube出現中國公安毆打藏人的影片，中國政府對Google發出封鎖。而為抗議言論審查，Google首先關閉中國版搜尋服務，用戶當時也僅能連到香港版。此後，Google其他服務如Google地圖和Gmail等也因中國防火牆而無法在當地使用。</p> <p>Google 2010年的決定使其在當地的搜尋市場被百度、騰訊接收。2018年Google試圖在中國推出<a href="https://www.ithome.com.tw/news/125316" target="_blank">代號DragonFly專案</a>的過濾版搜尋服務重返中國，但經媒體披露後引發員工抗議，以及美國立法部門的關切。DragonFly專案於隔年5月<a href="https://www.ithome.com.tw/news/130394" target="_blank">正式終止</a>。</p> <p>一旦退出就難以重返市場的教訓，可能也促使Google無論如何不會再輕易放棄特定市場。今年二月底俄烏戰爭爆發，<a href="https://www.ithome.com.tw/news/150988" target="_blank">Google因配合美國封鎖而撤離當地員工</a>，也終止當地銷售，但是Google仍然持續提供俄文版的Google搜尋、Gmail等純網頁服務，媒體分析就是因為不希望將市場拱手讓給競爭者Yandex。</p> </div></div></div>
2022/10/4 09:16作者林妍溱https://www.ithome.com.tw/news/153431
低位元率音訊開源編解碼器Lyra釋出第2版，速度更快支援更多平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2021年開源的低位元率音訊編解碼器Lyra，經過社群的熱心貢獻與改進，不只修復和格式化程式碼，還對專案建構持續整合工作管線，甚至增加支援WebAssembly，現在Google宣布釋出<a href="https://opensource.googleblog.com/2022/09/lyra-v2-a-better-faster-and-more-versatile-speech-codec.html">Lyra V2</a>。</p> <p>由於全球COVID-19疫情的關係，對遠端語音通訊需求大幅上升，因此Google創建Lyra，目的是要將其應用在遠端工作和低頻寬環境中，藉此改善語音通話品質，Lyra是一款極低位元率音訊編解碼器，並運用機器學習技術來提高音訊品質。</p> <p>Lyra獲得不少開發者的歡迎，並要求在更多平臺上運作Lyra，以更多種程式語言開發應用程式，同時也希望運算速度可以更快、有更多的位元率選項，還有延遲更低、音質更好且失真更少等功能。Lyra V2肩負這些期待，採用全新的架構，並且支援更多的平臺，提供用戶可擴充的位元率功能，效能也較第一版更好，也能夠產生更高品質的音訊。</p> <p>Lyra V2採用一種稱為SoundStream的端到端神經音訊編解碼器，該架構在傳輸通道之前和之後，都有一個殘差向量量化器（Residual Vector Quantizer，RVQ），可將經編碼的資訊量化成位元串流，並在解碼端進行重建。Google解釋，將RVQ整合到架構中，便能夠透過選擇量化器數量，隨時更改Lyra V2的位元率，使用更多量化器，就會產生更高品質的音訊。</p> <p>Lyra V2支援三種不同的位元率，分別是3.2 kps、6 kbps和9.2 kbps，供開發者依網路條件和品質需求選擇適當的位元率。由於Lyra V2模型使用TensorFlow Lite匯出，而TensorFlow Lite是輕量版本行動的TensorFlow，支援各種平臺和硬體加速。</p> <p>開發團隊已經在Android手機和Linux上進行過測試，並且實驗性支援Mac和Windows，目前仍不支援在iOS與其他嵌入式平臺，但開發團隊提到，這種範式將透過TensorFlow Lite，使Lyra未來也能夠支援該平臺所支援的任何平臺。</p> <p>在使用新架構之後，Lyra V2的延遲從原本的100毫秒降低到了20毫秒，這樣的延遲程度已經能夠與當前最被廣泛使用的音訊編解碼器Opus for WebRTC媲美，Opus for WebRTC的一般延遲落在26.5 毫秒、46.5毫秒和66.5毫秒。</p> <p>Lyra V2的解碼和編碼速度也比之前的版本快5倍，Google在Pixel 6 Pro手機上試驗，Lyra V2僅需要0.57毫秒編碼和解碼一段20毫秒的音訊框，比即時快上35倍，而降低複雜度代表有更多手機能夠即時運作Lyra V2，並且降低電池消耗。</p> <p>另外，Lyra V2的音質也因為機器學習技術的進步而獲得提升，聽力測試顯示Lyra V2在3.2 kbps、6 kbps和9.2 kbps的音質，已經與Opus的10 kbps、13 kbps和14 kbps相同，也就是說，Lyra V2要達到與Opus相同音質，只要使用Opus的50％到60％頻寬。這代表在頻寬受限的環境，可以連接更多的裝置，或是透過網路送出更多訊息，並更有機會透過前向錯誤更正和封包丟失補償技術，避免語音斷斷續續的問題。</p> <p>Lyra V2提供的內容涵蓋Lyra V1，包括所有的建置工具、測試框架、C++編碼和解碼API、訊號處理工具鏈和範例應用程式，Lyra V2雖然與Lyra V1存在部分差異，但是開發體驗大致相同。</p> </div></div></div>
2022/10/3 21:50作者李建興https://www.ithome.com.tw/news/153412
AWS推出適用混合環境的高效能快取服務Amazon File Cache
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布高速快取服務<a href="https://aws.amazon.com/tw/blogs/aws/amazon-file-cache-a-high-performance-cache-on-aws-for-your-on-premises-file-systems/">Amazon File Cache</a>，供用戶能夠快取儲存在不同位置，包括本地端的檔案資料，File Cache讓應用程式透過POSIX介面快速存取這些檔案檔案，以應付混合工作流程或是按需雲端突發流量。官方強調，無論是否可以透過NFS v3存取或是儲存於S3上的檔案，File Cache都能處理。</p> <p>File Cache能夠在一個或是多個地區的NFS v3檔案系統，或是S3儲存桶前，創建一個檔案系統快取，從來源載入檔案內容和諸如檔案名稱、大小和權限等後設資料，並且以傳統檔案系統的形式供應用程式取用。File Cache會自動釋放比較少用的檔案，確保活躍的檔案在快取中，隨時供應用程式使用。</p> <p>用戶可以將8個NFS檔案系統，或是8個S3儲存桶連結到一個快取中，這些檔案系統可做為一組統一的檔案和目錄公開，用戶可以從各種AWS運算服務存取快取，File Cache和本地基礎設施之間的連接使用基於AWS Direct Connect和站對站VPN網路連接。</p> <p>藉由使用File Cache，應用程式可以獲得次毫秒級的延遲、每秒數百GB的吞吐量，和每秒數百萬次的操作，官方提到，如同其他儲存服務，File Cache的效能取決於快取的的容量，快取可以擴展至PB級，最小容量為1.2 TiB。</p> <p>官方解釋File Cache的適用情境，像是企業在本地基礎設施維護大型的資料集，但是月末報告通常要處理2到3天才能分析完畢，當企業想要將報告分析工作負載移到雲端上，獲得更多的運算資源以加速報告生成，但是還不想把資料集轉移到雲端，就能夠使用File Cache。</p> <p>又或是用戶的大型資料集分散在不同雲端地區的S3服務上，但應用程式當初是針對傳統檔案系統開發，並且使用像是awk、sed和pipes這類命令列工具，同時也需要以次毫秒級延遲進行檔案存取，且無法更新程式碼以使用S3 API。此時File Cache服務也能派上用場。</p> <p>使用File Cache有一些重點需要注意，首先，該快取服務加密靜態資料，並且支援傳輸中資料加密。再來，File Cache提供延遲載入和預載入兩種選項，當資料尚未快取，則按需延遲載入資料，並在工作負載開始之前，才根據用戶請求預載入資料。延遲載入為預設選項，預載入則可用於對首位元延遲敏感的應用。</p> <p>Amazon File Cache沒有前置費用和固定價格成本，但用戶需要對預配置的快取儲存容量和後設儲存容量付費。目前Amazon File Cache已經在美東、美西、加拿大和歐洲各雲端地區上線，亞洲則先在雪梨、東京地區提供。</p> </div></div></div>
2022/10/3 21:53作者李建興https://www.ithome.com.tw/news/153426
Canon醫療影像讀取軟體傳資料外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/cve-2022-37461-two-reflected-xss-vulnerabilities-in-canon-medicals-vitrea-view/" target="_blank">安全廠商發現</a>，Canon Medical用於顯示及分享X光片、MRI等醫療影像的軟體Vitrea View出現可能導致病患敏感資料遭人存取的漏洞。Canon已經於4月發布更新軟體。</p> <p>Trustwave Spiderlabs兩名研究人員Jordan Hedges及Avery Warddhana近日發現2項位於Canon Medical Vitrea View軟體的漏洞。Vitrea View是利用DICOM標準讀取醫療影像的工具，一旦遭開採，可讓攻擊者得以存取病患資訊，並且利用這軟體存取相關多項系統。</p> <p>研究人員發現兩項反射式跨網站指令碼（Reflected Cross-site scripting，XSS）漏洞，但合稱為CVE-2022-37461。</p> <p><a href="https://www.vitalimages.com/customer-success-support-program/vital-images-software-security-updates/" target="_blank">安全公司Vitalimages說明</a>，這項反射式XSS漏洞有2種攻擊法，分別為授權前（pre-authorization）及授權後（post-authorization）攻擊，兩種手法中，攻擊者都會撰寫一個指向Vitrea View軟體的惡意URL，而授權後攻擊還需要以社交工程誘騙或要求Vitrea View用戶點擊惡意URL。一旦用戶點選URL，攻擊者就可在用戶瀏覽器執行惡意腳本程式，將合法用戶的cookies藉由有漏洞Vitrea View所在網站／伺服器，回傳給駭客。</p> <p>Trustwave發現到的漏洞分別位於錯誤訊息頁及Vitrea View管理控制臺。其中，利用Vitrea View管理控制臺漏洞，一旦管理員點選URL，攻擊者就能建立和修改Vitrea View應用程式使用的Python、JavaScript和Groovy script。</p> <p>這個漏洞影響Vitrea View 7.x版，經過通報後，Canon Medical已經在今年4月釋出Vitrea View 7.7.6版。研究人員建議用戶儘速升級到最新版。</p> <p><a href="https://www.vitalimages.com/customer-success-support-program/vital-images-software-security-updates/" target="_blank">但Canon Medical 說明</a>，Canon Medical其他軟體包括Vitrea Advanced Visualization、Vitrea Read、Vitrea Connection，以及Canon Medical用來建立醫療影像的軟體，如X光掃瞄、MRI掃瞄儀等不受漏洞影響。</p> </div></div></div>
2022/10/3 22:16作者林妍溱https://www.ithome.com.tw/news/153429
【資安日報】2022年10月3日，駭客設置冒牌財星500大企業資安長LinkedIn帳號、前IT人員竄改企業的網域配置…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有人假冒是財星500大企業的資安長，並設置LinkedIn帳號，且他們的經歷看起來相當完整而難辨真假，甚至使用者想要透過Google搜尋確認，有機會先看到假資安長的帳號。由於攻擊者很有可能利用這種帳號進行詐騙，大家關注資安長動態時要提高警覺。</p> <p>我們之前曾報導不少離職員工造成的資安事故，而最近美國司法部起訴的案件也是類似狀況，有IT人員離職後，利用尚未註銷的權限入侵前東家，再度突顯企業若未收回離職員工權限，恐釀大禍。</p> <p>Dell去年修補存在漏洞的驅動程式，如今被實際用於攻擊行動──駭客自行攜帶存在漏洞的驅動程式（<a href="https://www.welivesecurity.com/wp-content/uploads/2020/06/ESET_InvisiMole.pdf">BYOVD</a>），而能夠在受害電腦提升權限並停用防毒軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://krebsonsecurity.com/2022/09/fake-ciso-profiles-on-linkedin-target-fortune-500s"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人在LinkedIn上自稱是財星500大企業的資安長，企圖誤導關注相關動態的人士</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/victorsites.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/victorsites.png" style="width: 300px; float: right;" /></a>資安新聞網站Kerbs On Security指出，他們在職場社群網站LinkedIn上發現，有人建置幾可亂真的帳號，並聲稱自己是財星500大企業的資安長，且影響Google搜尋引擎的搜尋結果。</p> <p>該網站舉出的其中一個例子，是自稱是跨國能源集團Chevron資安長的Victor Sites，此人在LinkedIn上有完整的學經歷，並表示自己自2019年就擔任資安長一職至今。再者，使用者若是透過Google搜尋，就有可能先看到Victor Sites，而非Chevron真正的資安長Christopher Lukas。</p> <p>關於建立這種冒牌資安長LinkedIn的人士，其身分與這麼做的目的，目前不得而知，Krebs On Security站長Brian Krebs認為，有可能與資安業者Mandiant向彭博社透露的北韓駭客攻擊行動有關──這些駭客不斷複製LinkedIn與Indeed上高階主管的履歷與個人資料，目的是謀取加密貨幣公司的工作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fired-admin-cripples-former-employers-network-using-old-credentials/"><span style="color: rgb(0, 0, 0);">離職員工權限沒有註銷惹禍！為了要公司以高薪重新僱用，前IT系統管理員癱瘓網站及電子郵件運作</span></a></strong></h3> <p>美國司法部指出，居住於夏威夷檀香山市的40歲男子Casey K. Umetsu，曾於一家金融公司擔任資訊技術專業人員，負責管理該公司網路，但在離職後，他存取前公司用來管理網域的網站，並將網路與電子郵件的流量引導到與該公司無關的電腦上，導致前公司網站無法上線、員工亦無法接收電子郵件。Casey K. Umetsu坦承犯行，並表示這麼做的原因，就是希望前公司能重新以較高的薪水僱用他。</p> <p>此人罪名是破壞前僱主的網路系統。美國司法部預計明年1月19日正式宣判，Casey K. Umetsu將面臨最高10年監禁、最高25萬美元罰款。雖然該名前員工的行為不當，但這家金融公司的資安管理顯然也需要重新檢視，因為員工所持有的存取權限，應該在離職當下就要註銷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/09/30/amazon-themed-campaigns-lazarus-netherlands-belgium/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus濫用Dell驅動程式散布惡意程式</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/148352">Dell於去年5月修補驅動程式漏洞CVE-2021-21551</a>，此漏洞讓駭客可「自行攜帶存在漏洞的驅動程式發動攻擊（Bring Your Own Vulnerable Driver，BYOVD）」，如今存在漏洞的驅動程式實際被用於攻擊行動。資安業者ESET揭露北韓駭客Lazarus於去年秋季發動的釣魚郵件攻擊，駭客鎖定荷蘭的航空公司，以及一名比利時政治記者，以Amazon職缺的名義寄送釣魚郵件。</p> <p>但值得留意的是，一旦收信人上鉤後，駭客就會利用存在前述漏洞的Dell驅動程式，在受害電腦部署FudModule的Rootkit程式來進行BYOVD攻擊，進而停用受害電腦上的各式資安系統。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/witchetty-steganography-espionage"><span style="color: rgb(0, 0, 0);">駭客組織Witchetty鎖定中東政府，將惡意軟體埋藏在圖片並存放於檔案共享服務，以規避偵測</span></a></strong></h3> <p>賽門鐵克揭露駭客組織Witchetty（亦稱LookFrog）於今年2月至9月，鎖定2個中東國家的政府單位，以及非洲國家的證券交易所發動攻擊，駭客利用ProxyShell、ProxyLogon等Exchange漏洞，入侵受害組織曝露於網際網路的Exchange伺服器，植入Web Shell並在網路環境橫向移動，最終在電腦安裝後門程式Backdoor.Stegmap。</p> <p>研究人員指出，駭客近期隱藏惡意軟體的手法，是將其埋入Windows圖案的BMP圖檔，並以XOR演算法混淆，此圖檔亦存放於GitHub規避資安系統偵測。此外，該後門程式與駭客通訊的方式相當少見，駭客透過已遭駭的電腦充當C2中繼站，但為何駭客要這麼做？研究人員沒有進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/shangri-la-hotels-customer-database-hacked"><span style="color: rgb(0, 0, 0);">香格里拉飯店集團旗下臺灣、香港、新加坡等8家飯店客戶資料外洩，亞洲安全會議與會者名單恐受波及</span></a></strong></h3> <p>飯店資料外洩有可能會波及跨國大型會議！根據資安新聞網站SecuriyWeek的報導，香格里拉飯店集團（Shangri-La Hotel Group）於9月30日證實，旗下8家飯店的客戶資料，於今年的5月至7月，遭到非法存取，駭客繞過了該集團的資安防護系統得逞，該公司直到7月因資訊系統異常才察覺。這些遭到入侵的飯店位於臺灣、香港、新加坡、泰國、日本。根據<a href="https://www.scmp.com/news/hong-kong/law-and-crime/article/3194526/more-290000-people-risk-data-leaks-after-3-hong-kong">南華早報</a>的報導，香港總公司向政府通報，當地3家資料外洩的飯店就有29萬名住客受到影響。</p> <p>另一方面，由於亞洲安全會議「香格里拉會談（Shangri-La Dialogue）」於6月10日至12日於新加坡香格里拉飯店舉行，美國、中國的國防部長都出席，與會人士個資是否也受到這起事件波及？根據新加坡媒體海峽時報的報導，國際戰略研究所（IISS）發言人表示，該會議有關的資料都存放於專屬的伺服器上，而沒有受到資料外洩影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-leaks-data-stolen-from-lausd-school-system/"><span style="color: rgb(0, 0, 0);">美國洛杉磯學區LAUSD遭到勒索軟體攻擊，駭客將部分學生資料外洩</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vice-society-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vice-society-leak-page.jpg" style="width: 300px; float: right;" /></a>美國洛杉磯學區（LAUSD）遭勒索軟體Vice Society攻擊，這起事故最近有了後續。根據資安新聞網站Bleeping Computer的報導，駭客於10月2日早上公布部分從LAUSD竊得的資料，此事隨後得到證實，原因很可能是LAUSD於9月30日宣布不會向駭客支付贖金。駭客向該新聞網站聲稱，他們總共竊得500 GB資料。根據新聞媒體NBC的研究人員檢視駭客公布的資料，內容包含了學生心理評估資料、教師聘書、法律文件等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-networking-software"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補網路系統軟體的高風險漏洞</span></strong></a></h3> <p>9月28日，思科針對網路系統軟體IOS與IOS XE發布半年度例行更新，總共修補12個漏洞，其中有10個的危險程度達到了高風險等級。其中，有6個漏洞的CVSS風險評分為8.6分，共通點為都能導致服務阻斷（DoS），使得攻擊者可透過發送惡意CIP封包、偽造的DNS封包、惡意DHCP訊息等，影響AP裝置Catalyst 9100、無線控制器Catalyst 9800、網路交換器Catalyst 9000等。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/855201"><span style="color: rgb(0, 0, 0);">VLAN堆疊漏洞恐被用於DoS、中間人攻擊</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-royal-ransomware-emerges-in-multi-million-dollar-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Royal透過電話客服入侵受害電腦</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.esentire.com/blog/popular-info-stealing-malware-solarmarker-is-using-watering-hole-attacks-and-fake-chrome-browser-updates-to-infect-business-professionals-warns-esentire"><span style="color: rgb(0, 0, 0);">惡意軟體SolarMarker假冒瀏覽器更新名義散布，過程中濫用存在弱點的網站代管惡意程式</span></a></span></strong></p> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/dismantling-a-prolific-cybercriminal-empire.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">心懷不滿的駭客組織REvil內部人士向研究人員透露運作細節</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153376">【2022年9月30日】微軟Exchange伺服器又有零時差漏洞已被駭客鎖定、基於LNK散布惡意軟體的形式日益升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153352">【2022年9月29日】駭客假借政府機關名義散布Cobalt Strike、美國商業媒體Fast Company遭駭而推送種族仇恨訊息</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153312">【2022年9月28日】中國駭客APT41透過CHM檔案散布竊密軟體、北韓駭客Lazarus宣稱提供Crypto職缺散布惡意軟體</a></strong></strong></strong></p> </div></div></div>
2022/10/3 16:27作者周峻佑https://www.ithome.com.tw/news/153411
駭客把惡意程式藏在微軟的Windows商標中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已<a href="https://www.ithome.com.tw/news/132339" target="_blank">被納入博通（Broadcom）旗下</a>的賽門鐵克威脅獵手團隊（Threat Hunter Team）<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/witchetty-steganography-espionage" target="_blank">上周警告</a>，駭客組織Witchetty（又名LookingFrog）最近針對中東及非洲展開的攻擊行動中，採用少見的圖像隱碼（Steganography）技術，將一個後門木馬植入了Windows的商標中。</p> <p>Witchetty為一間諜型駭客組織，在今年4月始被另一資安業者ESET發現，判斷它是間諜駭客TA410的成員之一，而TA410又與中國駭客集團APT10有所關聯。Witchetty的主要特性是在第一階段使用X4後門程式，並於第二階段載入第二個後門LookBack，且專門滲透政府組織、外交任務、慈善機構與工業組織。</p> <p>根據Threat Hunter團隊的調查，Witchetty在今年2月至9月間鎖定了兩個中東國家的政府、以及一個非洲國家的證券交易中心展開攻擊，駭客開採了位於微軟Exchange Server上的ProxyShell與ProxyLogon漏洞，以於對外的網路伺服器上安裝Web Shell。</p> <p>而在這波的攻擊中，除了既有的工具外，Witchetty還採用了新工具Backdoor.Stegmap，可利用圖像隱碼技術自點陣圖（BMP）影像中汲取酬載，若成功將惡意程式藏匿在看似無害的點陣圖中，就能矇騙受害者，其中一個遭到駭客利用的便是舊版的微軟Windows商標（下圖）。</p> <p class="rtecenter"><img alt="" src="https://symantec-enterprise-blogs.security.com/sites/default/files/styles/blogs_inline_medium/public/2022-09/Steganography.png.webp?itok=AWxtPyVI" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Broadcom</span></p> <p>把惡意酬載嵌入看起來非常安全的圖像檔中，將讓駭客可光明正大地將它們置放於諸如GitHub等各種可靠及免費的服務上，相較於放在駭客所控制的C&C伺服器上，前者更不容易被察覺。</p> <p>此外，駭客於BMP檔中所嵌入的惡意酬載更是一個具備完整功能的後門程式，它能建立/移除目錄，也能複製/移動/刪除檔案，還能啟用/關閉程序，自遠端主機下載與執行檔案，讀取/建立/刪除登錄機碼，或是竊取檔案等。</p> <p>Threat Hunter團隊已公布相關攻擊的網路入侵指標供外界參考。</p> </div></div></div>
2022/10/3 14:19作者陳曉莉https://www.ithome.com.tw/news/153406
Z世代最愛的前三大品牌：YouTube、Google與Netflix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://morningconsult.com/gen-z-favorite-brands-2022/" target="_blank">情報顧問公司Morning Consult近日發表</a>了最受Z世代（18~25歲）歡迎的品牌，前四名皆由科技品牌包辦，依序是YouTube、Google、Netflix與Amazon，若只看社交平臺，Instagram則以73%居冠，居次的是TikTok的69%，Snapchat為64%，Twitter與Discord都有50%。</p> <p>對於前四名的科技業者，有超過80%的Y世代年輕人對它們有好感，其它位於前十名的品牌還包括M&M'S、Walmart、Target、Doritos、Kit Kat與Oreo，當中有四款為零食。</p> <p>Morning Consult是在今年5月1日至8月21日間，針對1.6萬名美國成人進行調查，除了把焦點聚集在Z世代之外，也作出了他們與其他美國成人對品牌喜好的比較。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Morning%20Consult-600-1.png" style="text-align: center; width: 600px;" /></p> <p>例如差異最大的是TikTok，相較於Z世代的69%，其他美國成人對TikTok有好感的只有39%；或是有50%的Z世代喜歡Discord，但只有21.4%的其他成人喜歡這個遊戲社群平臺；另Snapchat受到64%的Z世代歡迎，卻只有35%的其他成人喜歡它。</p> <p><a href="https://www.axios.com/2022/09/29/gen-z-favorite-brands" target="_blank">《Axios》引用Morning Consult科技分析師Jordan Marlatt的看法指出</a>，Z世代的品味仍在持續演變中，並隨著他們進入職場而有所不同，例如專業社群網站LinkedIn雖未進入前40名，但也愈來愈受歡迎。</p> </div></div></div>
2022/10/3 13:20作者陳曉莉https://www.ithome.com.tw/news/153404
臉書Android程式將使用自己的瀏覽器引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/09/30/android/launching-a-new-chromium-based-webview-for-android/" target="_blank">Meta上周宣布</a>，將追隨微軟、Mozilla與三星的腳步，漸次將Android平臺上的Facebook程式所使用的瀏覽器引擎，從Android平臺所預設的System WebView，改為Meta自行設計、同樣基於Chromium的客製化WebView瀏覽器引擎。</p> <p>Meta軟體工程經理Nate Schloss說明，在其它行動平臺上，System WebView只能透過整個作業系統的更新來更新，Android平臺則有不一樣的作法，使用者可藉由Google Play來單獨更新Chrome程式與System WebView元件，但這幾年卻有許多Android用戶只更新Facebook程式，卻未更新Chrome及System WebView，而帶來安全威脅或負面的使用經驗。</p> <p>一來是因為Facebook程式會呼叫System WebView來開啟網頁，若未更新該元件，便可能陷入安全風險中，另一方面，Android載入System WebView的方式，可能會在使用者更新System WebView時，造成Facebook程式當掉。</p> <p>為了解決上述兩個問題，Meta決定以自製的、同樣基於Chromium的WebView來取代Facebook程式所使用的System WebView，它不再與其它應用程式分享System WebView，而且可在使用者更新Facebook程式時一併更新WebView。</p> <p>Meta預計將陸續於全球部署採用自家WebView的Facebook程式，至相容的Android裝置上，此外，即使Meta宣稱新版程式將帶來更好的效能及穩定性，使用者於Facebook程式中要開啟連結時，仍能選擇其它瀏覽器。</p> </div></div></div>
2022/10/3 11:39作者陳曉莉https://www.ithome.com.tw/news/153402
香格里拉飯店集團亞洲客戶資料庫遭駭，臺灣也在外洩範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>香格里拉飯店集團5月間網路遭駭，致使旗下包括臺灣、香港、東京等8家飯店住客包括姓名、電子郵件信箱等資料外洩，影響人數可能高達近30萬。</p> <p>香格里拉飯店上周五（9/30）指出，該集團近日發現公司IT網路上有非授權活動」。該公司立即找來網路鑑識公司協助調查。他們判斷，今年5月到7月之間一個手法高超的攻擊者成功繞過香格里拉的IT安全監控系統，而得以存取客戶資料庫。</p> <p>受到影響的飯店包括位於香港、新加坡、臺北、東京、清邁的8家飯店，當中3家位於香港。</p> <p>香格里拉上周通知客戶的郵件中，<a href="https://www.channelnewsasia.com/singapore/shangri-la-hotels-asia-data-breach-hackers-guests-information-2979256" target="_blank">該集團營運與流程轉型資深副總裁Brian Yu說明</a>，受駭的客戶資料庫存有房客的姓名、電子郵件信箱、電話號碼、郵件住址，以及香格里拉Circle會員編號、訂房日期及公司名稱等資料，而且調查顯示，已有檔案傳送出去。</p> <p>但是另一方面，該公司又說，客戶護照號碼、身分證字號、出生日期、信用卡號、有效日期等都已經過加密。</p> <p>香格里拉並未說明外洩資料人數，不過<a href="https://www.scmp.com/news/hong-kong/law-and-crime/article/3194526/more-290000-people-risk-data-leaks-after-3-hong-kong" target="_blank">《南華早報》</a>依據看到的文件報導，有超過29萬人受影響。</p> <p>香格里拉飯店說，目前沒有證據顯示客戶個資已經遭第三方公布或是誤用，但是該飯店仍然對受到影響的顧客提供一年的身份資料監控服務。</p> <p><a href="https://www.securityweek.com/shangri-la-hotels-customer-database-hacked" target="_blank">報導指出</a>，事發期間和一場重要國際會議重疊。美國和亞太地區28國國防代表或軍事將領每年固定舉行的安全高峰會「香格里拉對話（Shangri-La Dialogue）」，今年6月10日到12日在香格里拉新加坡舉行，當時的與會者包括美國國防部長Lloyd Austin 和中國國防部長魏鳯和。</p> <p>不過香格里拉對話的主辦單位英國國際戰略研究發言人指出，香格里拉對話的資料是分開儲存在不同的伺服器上，不受此次事件影響。</p> <p>這是今年最新一家頂級飯店集團發生資料外洩事件。<a href="https://www.ithome.com.tw/news/151817" target="_blank">7月間萬豪國際（Marriott）遭勒索軟體攻擊導致資料被竊</a>，可能洩露20GB資料，包括客戶信用卡等個資以及公司業務、人事部機密資訊，影響300餘人。本事件也是這家飯店集團4年內第3次資料外洩。</p> </div></div></div>
2022/10/3 08:41作者林妍溱https://www.ithome.com.tw/news/153390
Magic Leap公布第二代AR眼鏡，更輕、更小、也更貴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/magic-leap-2-now-available-to-customers-as-the-most-immersive-augmented-reality-headset-for-enterprise-301637447.html" target="_blank">Magic Leap上周五（9/30）公布</a>第二代同名擴增實境（Augmented Reality，AR）眼鏡，主打商用市場，較第一代更輕、更小，已經在歐美等10多國家上市。</p> <p>Magic Leap 2現已在美國、加拿大、英國、沙烏地阿拉伯、以及法、德、義、荷等15個歐盟國家上市，預定今年底前在日本及新加坡上市。</p> <p>Magic Leap 2定位在商用市場。製造商Magic Leap稍早和軟體廠商包括Cisco、 SentiAR、NeuroSync、Heru、Taqtile、PTC 和Brainlab合作早期試用方案，推出主打醫療、製造業、國防及零售應用，像是員工訓練、視訊通話、遠端協助等。</p> <p>在規格上，Magic Leap 2重260公克，較2018上市的第一代輕20%，體積小50%，視角可達70度號稱業界最大，以及最佳畫質及文字易讀性。此外新版AR眼鏡使用Dynamic Global and Segmented Dimming技術，使其在光線較亮的環境，如室外使用仍具有清晰影像。搭載AMD 4核Zen處理器、AMD RDNA2 GPU，使其宣稱運算效能優於市面上所有其他獨立式AR裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Magic%20Leap%202%20(1)-550.jpg" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Magic Leap</span></span></p> <p><a href="https://www.magicleap.com/magic-leap-2" target="_blank">其他規格</a>包括內建1260萬像素攝影機、16GB LPDDR5記憶體、空間音效支援，以及5.1藍牙及Wi-Fi 6連線能力，以及粗估3.5小時的電池續航力。</p> <p>此外，Magic Leap公司也強調產品不連線到中央伺服器或雲端，也不蒐集遙測資料（telemetry），提供企業和開發商開發彈性、資料隱私和雲端自主性。</p> <p>Magic Leap並公布產品售價、款式。Magic Leap 2分成三款，首先是Base，鎖定專業人士及開發商，包含一個眼鏡及1年限定範圍保固，起價則由2,295美元調高為3,299美元。其次是Developer Pro，限定應用開發商內部開發及測試之用，除了眼鏡還提供企業級功能、開發工具、樣本專案以及每月定期釋出的早期版軟體，以及1年限定範圍保固，售價4,099美元起跳。</p> <p>最高級是Enterprise版，鎖定大型IT部署及需要紮實企業級功能的環境，企業將可透過UEM（統合式端點管理）/MDM（行動端點管理）方案每季接獲更新軟體，以及2年的功能及更新保固，售價4,999美元起跳。</p> <p>本周Nvidia在其開發者大會GTC22上，居家翻新設備零售商Lowe展示以Magic Leap 2執行倉儲商品盤點、檢貨等應用，Lowe製作的3D產品素材也可用於所有以Nvidia Omniverse Enterprise開發工具創造的元宇宙環境。</p> </div></div></div>
2022/10/3 09:03作者林妍溱https://www.ithome.com.tw/news/153391
英特爾自駕車業務Mobileye申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾自駕車業務Mobileye在9月30日，<a href="https://www.sec.gov/Archives/edgar/data/1910139/000110465922104640/tm227410-15_s1.htm" target="_blank">向美國證券交易委員會（SEC）申請</a>首次公開發行股票（IPO），打算以MBLY為代號，登上那斯達克（Nasdaq）股市，目前所發行的股數與募資目標未定。</p> <p>英特爾是在2017年3月，以153億美元的價格買下位於以色列的Mobileye，Mobileye屬於汽車機器學習與圖資開發商，主要開發汽車先進駕駛輔助（ADAS）系統所需的電腦視覺、機器學習、資料分析與在地化等技術。<a href="https://www.bloomberg.com/news/articles/2022-09-30/intel-s-self-driving-technology-mobileye-unit-files-for-us-ipo?sref=10lNAhZ9" target="_blank">根據《彭博社》（Bloomberg）的報導</a>，英特爾期望Mobileye的上市市值可達300億美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Unedited%20Ride%20in%20Mobileye%E2%80%99s%20Self-Driving%20Car%20in%202020-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Mobileye、英特爾</span></p> <p>Mobileye的IPO申請文件中顯示，迄今全球已有超過50家業者採用Mobileye所開發的各種解決方案，並有近800款汽車整合了Mobileye專替相關解決方案所生產的EyeQ系統單晶片，迄今全球已售出逾1.17億個EyeQ。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Intel-Mobileye-EyeQ4-2021-Credit%EF%BC%9AMobileye-550.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mobileye、英特爾</span></span></p> <p>此外，Mobileye在2019年、2020年與2021年的年度營收，分別為8.8億美元、9.7億美元與14億美元，除了營收成長之外，虧損也日益縮小，這三年的虧損金額依序是3.3億美元、2億美元與7,500萬美元。</p> <p>對於未來的展望，Mobileye預估全球部署其ADAS解決方案的汽車數量，將在2030年達到2.66億臺。</p> <p>其實Mobileye在尚未被英特爾併購之前，於2014年便曾登上美國紐約股市，股票代號同樣是MBLY，這次Mobileye換了個證券交易所，重新粉墨登場。</p> </div></div></div>
2022/10/3 09:58作者陳曉莉https://www.ithome.com.tw/news/153395
【資安風險管理】掌握敵之必攻，重新對焦整體資安防護策略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-infinity_defense-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攻擊者可能會通過你本身的應用程序、使用許多不同的路徑，設法傷害業務或組織，而這些路徑中的每一個環節都代表了一種風險，因此，建議大家從不同的維度思考資安防護策略。圖片來源／Shashank Goyal</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年，KPMG公布極具震撼力的研究《臺灣企業資安曝險大調查》，明白揭露臺灣各產業普遍的資安防護危機情況。這份調查主要抽樣對象為臺灣50家本土大型企業，除了長年被高度要求的金融業，其他產業的情況都令人擔憂，尤其位屬全球供應鏈要角的高科技製造業，各項安全性檢測項目多數都在平均分數之下。而在2022年由趨勢科技最新發布的研究報告中，則指出「全球54%企業無法有效評估資安風險」，這其實反映出企業與組織原有的資安防護方法存在問題，而致使「無效的投藥」。</p> <p>許多人都知道要「對症下藥」，但清楚確認病症、知道該採取何種藥物、發揮多大效果的人少之又少。事實上，無效投藥大多因為病痛問題判斷錯誤，以致找錯治療方向、錯估用量或引發根源未防止。所以，假如資安代表現代化企業組織的健康指標，我們更需要清楚對健康造成的危險源於哪個威脅面向，才能做出快速有效的防護策略，盡速減少攻擊面暴露，避免惡意者利用，這樣的方式稱為「攻擊面管理（Attack Surface Management，ASM）」。</p> <p>或許有人會認為，所謂的「攻擊面（Attack Surface）」，應該就是弱點漏洞（Vulnerabilities），但其實從風險管理的角度而言，無論是攻擊面或弱點漏洞，我們都應視為造成企業資安風險的威脅因子，一個來自於外部的暴露表面，另一個是存在於內部的脆弱層面。</p> <p>以網頁應用安全的風險為例，網頁應用是由不同的元件、服務，以及應用任務所構築而成，因此，發生攻擊面的維度上，也會有不同程度與型態的攻擊手法，從近期的Log4shell、Zerologon、Proxylogon等種種漏洞濫用的資安事故，我們可引以為鑑。</p> <p>換言之，當攻擊面受力面積越大，結構存在的脆弱點越容易受到衝擊影響；相反的，如果能夠縮減可能遭受威脅的攻擊面，並且強化或修補脆弱的結構，則受到攻擊時將能降低至最小的傷害。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Infinity%20Defense-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在Gartner提出的2022年網絡安全7大趨勢當中，攻擊面擴大（Attack Surface expansion）為第一位，隨著數位工作方式的變化，以及公有雲服務的採用、高度連結的供應鏈、更多聯網裝置系統的使用，都暴露新穎且更具挑戰的攻擊面。</strong>圖片來源／Gartner</span></p> <p><span style="font-size:28px;"><strong>如何準確、有效、快速的強化資安能量</strong></span></p> <p>在資安防護上，絕大部分的企業與組織投入非常多的資源及努力，尤其在現今數位化飛速發展的情況下，已經讓傳統的資訊架構與生態結構產生極大的改變，不論是智慧製造、數位金融、數位政府、智慧醫療、新電商零售服務等，其中所應用的新興科技，都逐漸逼迫大家必須設法轉型、改變。</p> <p>相對的，如果我們將過往提升資安的經驗方法套用到這些變化之中，將會發生適得其反，以及事倍功半的狀況，而且，從許多現行討論數位轉型成功與失敗的案例中，已經可以驗證出這個道理。對此，我想提出四個建議：</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>內外兼修，避免裡應外合</strong></span></span></p> <p>所謂的「內」是指內部存在的弱點漏洞，「外」是指外部暴露的攻擊面，基本上，它們都是現今主要的資安威脅因子，因此，將二者的探尋結果進行關聯管理與修補，將能夠在更準確、有效率、快速且低耗能的情況下，避免駭客利用內部探勘的弱點資訊或外部發現的突破口進行攻擊。</p> <p>弱點掃描是企業組織較為熟知的常態作為，因此，若能加速掃描的週期並持續追蹤管理，將有助於企業縮減資安風險空窗。而新崛起的攻擊面管理策略，則以發現暴露在外的資安問題為主，有別於滲透測試跟威脅情資的方法，攻擊面管理更聚焦在企業組織多種資安攻擊面向的探尋，包括技術面及網路黑市資訊，在對應資安產品上，我們可評估使用SecurityScorecard、Tenable的ASM、以及Palo Alto Networks的Cortex Xpanse等成熟方案，它們對於資安風險的情報彙整相對較完善。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>知己知彼，方能料敵先機</strong></span></span></p> <p>知己所指為對企業組織的資產風險管理，知彼則是資安情資蒐集。多數的企業組織對於自身的資產風險掌握度不高，或者說時效性不足，若要改善這樣的狀況，其實NIST CSF資安框架所定義的Identify（辨識）是很好的參考準則，若能妥善運用，可以清楚資產對應到前述弱點，以及與攻擊面之間的對價關係，將有助於攻擊威脅的預測判斷。</p> <p>有關於資安情資一詞，大家多半優先想到威脅情資（Threat Intelligence），但實則應包括企業組織已建立的資安防護系統偵測到的訊息。</p> <p>因為，情資的功能，是幫助我們知曉威脅的風向跟特徵，資安系統探查的訊息告警，有助於知道異狀發生，而運用MITER ATT&CK框架來檢視，會是目前最佳的攻擊威脅狀態表現方式。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>精準防守，切勿亂槍打鳥</strong></span></span></p> <p>承上所述，「內外兼修」與「知己知彼」的目的，就是為了將企業組織有限的資源與人力，有效率地部署在精確的防守戰略位置；事實上，這些方式在多數的企業組織已經存在，但最大的問題盲點，通常發生在「資安能量有限，而威脅無限」的困境上，一方面是因為對於資安攻擊的無常無向而擔憂，一方面則是害怕出了事被究責，卻往往忽略了企業所應該防守的核心重點。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資安成熟，勝過靈丹妙藥</strong></span></span></p> <p>資安成熟度（Cybersecurity Mature）的概念，在最近兩三年來逐漸浮上檯面，雖然目前對於「資安成熟」還沒有標準定論，但資安成熟涵蓋範疇不僅止於過往所說的資安治理規範（如ISO-27001、ISMS等），也不單指資安投資花了多少、資安人力有多充分、通過多少認證，或是擋下多少次的資安攻擊事件。其實，在不同領域及規模的企業或組織，所應達成的資安備戰狀態，也有不同的程度要求。</p> <p>對此，我們可參考SANS組織提出的Security Awareness Maturity Model，誠實評量企業組織目前身處的資安階段，幫助自身能夠清楚資安的基準值（Baseline）；進一步而言，我們也能參考幾種資安框架模型，幫助建立有效且確實的企業資安策略發展藍圖，這些框架包括：NIST的CSF（Cybersecurity Framework）、CDM （Cybersecurity Defense Matrix），以及美國國防部提出的CMMC（Cybersecurity Maturity Model Certification）；如果特定產業已經設立資安標準，例如半導體業的SEMI E187或科技製造業的IEC/ISA 62443，可循序逐漸強化資安成熟度。</p> <p class="rtecenter"><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Infinity%20Defense-3.png" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>安全意識成熟度模型於2011年由兩百多名資安專家所共同建立，現已成為業界標準，主要是以模型為基礎，通過定義每個階段並描述實現這些階段的步驟，可概分成5個級別。</strong>圖片來源／SANS</span></p> <p><span style="font-size:28px;"><strong>資安是場「無限賽局」，追求「零風險」就輸定了！</strong></span></p> <p>《無限賽局 (The Infinite Game)》是全球知名的管理思想家（Thinkers50）-Simon Sinek的著作，在無限賽局中的玩家包括「自己（企業組織）」和「已知及未知的對手（駭客組織）」，賽局中沒有遊戲規則，而且對手也不按牌理出牌，比賽的目標也沒有期限與終點，一直持續到其中一方失去意志或資源，退出賽局。而這樣的概念，非常適合用來形容與解釋現今的資安威脅。</p> <p>自從網路犯罪成為組織化的黑色產業，資安已提升為永無止戰終點的網路數位戰爭，駭客集團不再滿足於加密勒索攻擊一途，過去更令人擔憂的APT攻擊，從對付國家政府層級的目標，如今也套用到企業組織；不過，跟駭客集團比拚軍武競賽與攻擊力，或堅持對威脅零容忍政策，都絕非明智之舉。</p> <p>因此，企業組織必須從數位化時代重新思考資安戰略思維，提升自身的資安成熟度，並採取更精確有效率的資安防護策略。</p> <p>畢竟未來資安威脅變化難以預估，若能正視並認知自身資安成熟健全，從Know到Know-How，是確保持續對抗的根本之道，而這也考驗企業資安長的戰略格局。<strong>文⊙資安顧問黃繼民</strong></p> </div></div></div>
2022/10/3 07:00未署名https://www.ithome.com.tw/article/153213
【伺服器記憶體應用架構開展新面貌】伺服器共享記憶體池技術的興起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_1960wang_ye_zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>圖片來源／SMART Modular Technologies</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當前的伺服器運算平臺技術的發展，正陷入因記憶體架構而帶來的2大瓶頸中。</p> <p>第一個瓶頸，是發生在伺服器的元件層次，由於DRAM記憶體傳輸通道頻寬的增長，已經趕不上CPU核心數的成長，導致隨著CPU核心數的不斷增加，每單位運算核心可用的記憶體頻寬反而日趨減少，使得記憶體存取效率不彰。</p> <p>第二個瓶頸，則發生在資料中心的伺服器平臺應用層次，出現DRAM記憶體利用率難以提升，導致大量記憶體資源面臨低利用率的閒置窘境。</p> <p>為了能夠克服這些瓶頸，促成以CXL（Compute Express Link）為代表的處理器記憶體互連技術，藉此實現跨處理器、跨裝置的共享記憶體池，不僅突破既有記憶體傳輸通道的制約，提高CPU可用的記憶體容量與頻寬，也能在CPU與周邊裝置之間，動態調整記憶體資源配置，提高伺服器的記憶體利用率。</p> <p><span style="font-size:28px;"><strong>伺服器的記憶體架構瓶頸</strong></span></p> <p>如同一開始提到的，發展CXL這類新一代共享記憶體池技術的目的，是為了解決兩大瓶頸，讓我們詳細看看為何會出現這些狀況。</p> <p><strong><span style="color:#B22222;"><span style="font-size:20px;">記憶體頻寬瓶頸</span></span></strong></p> <p>過去10年以來，x86處理器的核心數提高了8到12倍，在2012年，單處理器最多不過8核心，到了2022年已增至96核心。但相對地，記憶體通道數量只從4個增加到8個與12個，僅僅提高2到3倍，遠遠跟不上處理器核心數的增長。</p> <p>於是，這便出現了一個弔詭的情況：越新款、越多核心的處理器，平均每個核心所能獲得的記憶體頻寬，反而越來越低，形成了運算能力的瓶頸。</p> <p>而處理器直連的記憶體通道數量，主要是由處理器的接腳（Pin）數量決定，過去10年以來，x86伺服器處理器的接腳數量固然也持續增加，從LGA2011、LGA3467、LGA4094/4189，到最新的LGA4677，雖然只增加2倍多，但已經接近實體極限，主機板已經沒有更多空間，可以布置更多的處理器接腳，以及更多的記憶體直連通道了。</p> <p>這也意味著，在當前的伺服器組成架構下，已經沒有增加處理器記憶體直連通道的餘裕了。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>記憶體利用率瓶頸</strong></span></span></p> <p>DRAM記憶體已成為大型資料中心的關鍵成本支出項目，舉例來說，微軟便曾表示，DRAM的成本，占了Azure資料中心的50%伺服器成本。</p> <p>但尷尬的是，當前大型資料中心卻又存在伺服器記憶體利用率低的問題。例如，今年5月Carnegie Mellon大學與微軟發表學術論文《First-generation Memory Disaggregation for Cloud Platforms》，引述Google報告指出，該公司資料中心的DRAM利用率只有40%，而微軟Azure也表示，他們的資料中心內，當所有的處理器核心都配置給VM之後，仍有25%的DRAM資源未被配置，處於閒置狀態。但由於處理器核心已經耗盡，這些閒置DRAM也無法被使用，形同成本浪費。</p> <p>因此，規模越大的資料中心，記憶體容量閒置所導致的成本浪費也越嚴重，對於Azure、Google這樣的雲端服務業者來說，數十%的記憶體容量閒置，幾乎等同於數億甚至十數億美元的損失。</p> <p>然而，在現有的伺服器組成架構下，DRAM是與CPU直連，記憶體資源也被伺服器與CPU給綁定，每一臺伺服器形同於一座記憶體孤島，即便某臺伺服器有大量記憶體閒置，也無法配置給另一臺伺服器或其他周邊裝置使用。</p> <p>這也就是說，當前伺服器的記憶體是靜態配置的，無法跨伺服器或跨裝置進行動態調配，因而在既有的伺服器記憶體架構下，不可能解決記憶體資源利用率過低的問題。</p> <p>另一個大家面臨雪上加霜的狀況則是，隨著GPU、SmartNIC、DPU等運算加速裝置，在伺服器上的普遍應用，這些運算加速裝置各自都含有容量可觀的DRAM，因而伺服器整體記憶體資源無法充分利用的狀況，也日益嚴重。</p> <p><strong><span style="color:#B22222;"><span style="font-size:20px;">共享記憶體池克服記憶體架構瓶頸</span></span></strong></p> <p>不管是元件層級的處理器記憶體頻寬受限，或平臺層級的記憶體容量利用率過低，想克服這些問題，答案都指向同樣的解決方案：基於處理器記憶體互連技術的共享記憶體池。</p> <p>對於處理器記憶體頻寬受限問題，由於在當前的伺服器架構下，已經沒有增加處理器直連記憶體通道的空間，因此，解決辦法就是轉為透過PCIe或其他傳輸通道，來介接額外的記憶體裝置，從而為處理器提供額外的記憶體頻寬。</p> <p>對於伺服器平臺記憶體利用率低的問題，解決辦法便是將記憶體從處理器「解構」出來，組成一個跨裝置、跨伺服器的「共享記憶體池」，從而動態地按需配置記憶體資源，減少浪費。</p> <p>無論是要引進額外的記憶體傳輸通道與記憶體裝置，來擴展處理器記憶體頻寬，還是要將不同裝置、伺服器的記憶體互連組成共享記憶體池，需要的技術都是相同的，都需要透過低延遲、高頻寬的傳輸通道，讓不同裝置的處理器與記憶體互連，以快取一致性（cache coherent）方式存取共同的記憶體定址空間，因此這兩個需求也就合而為一，形成了當前的處理器記憶體互連技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(1)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%EF%BC%BD.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>處理器面臨記憶體頻寬瓶頸的狀況日益嚴重</strong></span></p> <p><span style="color:#696969;"><strong>從上圖可以看出，自2012到2019年之間，處理器核心數提高了8倍，但記憶體頻寬只增加2倍，因此平均每個處理器核心所能分配到的記憶體頻寬，實際上是大幅下降。但處理器直連的記憶體通道數量已達物理上限，難以進一步增加，必須透過外部傳輸通道來介接記憶體，才能克服記憶體頻寬的瓶頸。</strong>圖片來源／SMART Modular Technologies</span></p> <p><span style="font-size:28px;"><strong>共享記憶體池技術的興起</strong></span></p> <p>過去7、8年來，已有一系列處理器記憶體互連技術先後問世，我們可追溯到IBM於2014年開始發展的CAPI，讓Power處理器與外部加速裝置互連、共享記憶體空間。而為了進一步發展與推廣CAPI，IBM又在2016年主導成立OpenCAPI聯盟。</p> <p>同樣在2016這一年，業界也組成另外2個處理器記憶體互連技術聯盟：CCIX與Gen-Z，不過，這些技術聯盟都缺少了一家關鍵廠商的參與，那就是Intel。到了2019年，Intel終於投入這個領域，主導成立了CXL聯盟。</p> <p>而能夠跨多個裝置、多臺伺服器的共享記憶體池存取，運作方式類似於多處理器間的NUMA記憶體存取架構，都是讓多個處理器共同存取位置分散、但定址統一的記憶體空間，且規模更大，也更分散，還涉及異質處理器間的互連（如CPU與GPU、FPGA等），因此，不適用於QPI、HyperTransport這類晶片間的互連技術。</p> <p>為了避免開發全新傳輸介面帶來的成本與相容性問題，多數處理器記憶體互連技術，都選擇現成的PCIe傳輸技術為基礎，再結合一些增強功能。</p> <p>以CXL、Gen-Z與CCIX等技術為例，它們都選擇PCIe 4.0或PCIe 5.0的實體層與電氣元件介面，來作為傳輸通道的基礎，進而提供快取一致性機制，以及增強的存取管理功能。</p> <p>IBM早期推行的CAPI其實也是採用PCIe 4.0作為傳輸通道底層，但是，到了OpenCAPI之後，則改用NVLink 2.0的Bluelink 25G I/O通道，可提供較PCIe 4.0更高的效能。比較特別的是Gen-Z，還導入了50Gb乙太網路，用於跨機箱與機架的遠端記憶體互連。</p> <p>透過處理器記憶體互連技術，將不同裝置的記憶體組成共享記憶體池，可以讓伺服器的記體體配置容量，超過主機板記憶體插槽的限制，因此，組成數十TB、數百TB容量的記憶體池，如今已經是可行的，建立PB等級的記憶體池也不是夢想，而且，還可以按需動態地配置這些記憶體給應用程式使用。</p> <p>更進一步，單是共享記憶體池本身，也能構成了「階層式」的記憶體架構。由於共享記憶體池是由分散在不同裝置上的記憶體所構成，個別處理器存取這些記憶體的距離各有不同，因而存取延遲表現差異也很大。與CPU直連的DIMM記憶體，存取延遲不到100ns，最低甚至只有20ns。而透過PCIe串接的記憶體裝置，延遲便會達到350ns之譜。至於藉由乙太網路等外部網路通道連接的記憶體裝置，延遲則在800ns左右。</p> <p>而這種階層式的記憶體環境，也將帶來嶄新的記憶體應用形態，用戶可視工作負載的性質（hot、warm、cold等），分配使用這些具備不同延遲性能的記憶體資源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(1)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%EF%BC%BD.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>興起中的各種處理器記憶體互連技術</strong></span></p> <p><span style="color:#696969;"><strong>縱觀幾種主要的處理器記憶體互連技術，CXL、CCIX都是嫁接在PCIe上，讓外部的記憶體控制器，或是ASIC、FPGA等異質晶片與CPU直連，並藉此共享記憶體。Gen-Z除了同樣可透過PCIe讓CPU與周邊裝置互連記憶體以外，也能利用乙太網路遠端存取記憶體。</strong>圖片來源／SMART Modular Technologies</span></p> <p><span style="font-size:28px;"><strong>邁向全面資源池化的資料中心</strong></span></p> <p>透過處理器記憶體互連技術，可擺脫當前伺服器架構CPU記憶體頻寬限制，還能進一步解放記憶體資源為CPU綁定的束縛，實現能夠橫跨不同裝置的共享記憶體池。</p> <p>而當伺服器的記憶體也「池」化了以後，也讓資料中心的基礎架構，朝向「全面資源池」化的發展，向前邁進了一大步。</p> <p>過往透過伺服器虛擬化技術的幫忙，我們可以將資料中心的伺服器處理器運算資源轉化為「運算力池」；而藉由儲存虛擬化技術，也能把儲存裝置的儲存空間化為「儲存池」。到了現在，我們可用CXL等處理器記憶體直連技術，則能進一步將所有伺服器與周邊裝置的DRAM記憶體，也轉化為「記憶體池」，讓基礎架構資源實現全面動態配置的境界，無論在效能、成本，還是管理靈活性，都能得到莫大的助益。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(1)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%EF%BC%BD%E5%85%B1%E4%BA%AB%E8%A8%98%E6%86%B6%E9%AB%94%E6%B1%A0%E7%9A%84%E9%9A%8E%E5%B1%A4%E5%BC%8F%E6%A7%8B%E9%80%A0.png" style="width: 400px;" /></p> <p><span style="color:#3399ff;"><strong>共享記憶體池的階層式構造</strong></span></p> <p><span style="color:#696969;"><strong>處理器記憶體互連技術提供的共享記憶體池，是由不同裝置上的DRAM所組成，隨著傳輸距離與傳輸通道的差異，而有著不同的存取延遲表現，也形成了階層式的記憶體構造，其中，CPU直連的DIMM記憶體延遲最短，次之是透過PCIe介接的記憶體裝置，然後是透過外部網路介接的記憶體裝置。</strong>資料來源：iThome整理，2022年9月</span></p> <p><a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/153369" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E5%85%B1%E4%BA%AB%E6%B1%A0">大共享池</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94">記憶體</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/cpu">CPU</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div></div></div>
2022/10/3 07:00作者張明德https://www.ithome.com.tw/tech/153363
【伺服器記憶體互連共享技術出現重要標竿】CXL技術入門概覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_2wang_ye_960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了克服主機CPU記憶體傳輸通道與頻寬成長受限問題，過去幾年以來，市面上出現了一系列處理器記憶體互連共享技術，其中，CXL雖然問世較晚，但目前最被看好，而一些較早發展的同類技術策略聯盟，包括Gen-Z、OpenCAPI等，都於近期先後被CXL吸收，可望讓CXL成為這個領域的共通標準。</p> <p>CXL技術發展的歷史可以追溯到2019年3月，在Intel主導下，號召阿里巴巴集團、Cisco、Dell、Facebook（Meta）、Google、HPE、華為、微軟等廠商，成立了CXL聯盟（CXL Consortium），共同發展與推廣這個高速介面新標準。</p> <p>接下來，又有更多廠商參與這個陣營，以目前CXL聯盟董事會（Board of Directors）而言，除了前述9家創始成員，還有AMD、Arm、IBM、美光與Nvidia；以貢獻者（Contributors）身分參與CXL聯盟的廠商，則有Ericsson、富士通、新華三、Hitachi、浪潮、Kioxia、聯想、Oracle、高通、Seagate、SK hynix、VMware、WD等，超過60家，幾乎囊括當前主要的處理器、伺服器、網通、儲存供應商。</p> <p><span style="font-size:28px;"><strong>CXL規範的發展歷程</strong></span></p> <p>CXL規範迄今一共發展了3個世代，一共4個主要版本，包括1.0版、1.1版、2.0版、3.0版。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>CXL 1.0與1.1</strong></span></span></p> <p>最早的CXL 1.0版規範發布於2019年3月，以PCIe 5.0作為傳輸介面的實體層，可讓主機CPU透過CXL提供的快取一致性協定（cache coherent protocol），存取周邊加速運算裝置上的共享記憶體，這也就是後來所稱的Type 2應用模式。</p> <p>CXL 1.1版緊接著在2019年9月發布，在1.0版的基礎上，提供周邊裝置層級的記憶體擴展能力（device-level memory expansion），而這也就是後來所稱的Type 3應用模式，以及一致性加速器模式（coherent accleartor mode），即Type 1模式，讓CXL的應用形態更加多元。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>CXL 2.0</strong></span></span></p> <p>一年多之後，CXL 2.0版於2020年11月推出，而這個版本最重要的規格內容更新，是支援CXL裝置間的交換連接（switching）功能。</p> <p>先前的CXL 1.x版中，每個周邊裝置同時間只能由1個主機CPU存取，CPU與周邊裝置之間是一對一連結；到了CXL 2.0，可透過虛擬CXL交換器（Virtual CXL Switch）的中介，讓主機CPU與周邊裝置之間構成多對多的連接，多個支援CXL 1.x或CXL 2.0的周邊裝置，可同時連結多個支援CXL 2.0的主機CPU，藉此將多個裝置的記憶體結合為分散式的共享記憶體池。</p> <p>CXL 2.0另外也新增確保資料完整性與加密的機制，可支援硬體式安全協定引擎、硬體式信任根（hardware root of trust）等。不過，CXL 2.0的實體層依舊是採用PCIe 5.0，因而傳輸頻寬仍與CXL 1.x相同。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>CXL 3.0</strong></span></span></p> <p>今年8月，CXL 3.0版規範正式發布，最重要特色是實體層改用基於PAM-4編碼的PCIe 6.0，從而將傳輸頻寬提升一倍。另外，CXL 3.0也進一步強化交換連接架構，可透過一系列新功能，例如多層式交換（multi-level switching）、主機多重類型周邊裝置連接，讓CXL裝置組成規模更大、更複雜的交換連接架構，並結合強化的硬體一致性機制，提供更彈性的記憶體池共享存取應用。</p> <p>CXL 3.0還有其他的新功能，包括：周邊裝置間的點對點訊息傳輸（Peer-to-Peer messaging），也就是在周邊裝置之間，提供一種不經由CPU的DMA傳輸架構，另外，還配合PCIe 6.0的採用，支援256 bytes大小的流量控制單元（FLIT）等。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>CXL發展的階段區分</strong></span></span></p> <p>我們可以依據CXL規範各個版本的功能演進，將目前CXL協定的發展分為3個階段：</p> <p>一開始的CXL 1.x版，初步實現了主機CPU共享周邊裝置記憶體的目的，但兩者之間只能一對一的直連，運用彈性受到較大的限制。</p> <p>接下來的CXL 2.0版，引進了交換連接架構，可以讓多個周邊裝置與多個主機CPU彼此互連，從而構成跨多個裝置、多臺機箱的記憶體池。</p> <p>而且，每個CXL 2.0周邊裝置，還能切割為多個邏輯裝置（Logical Devices），藉此將自身記憶體的不同區域（memory region）動態分派給最多16個主機CPU存取，大幅改善CPU與周邊裝置間的連接彈性。</p> <p>CXL 2.0也新增完整性與資料加密機制（Integrity and Data Encryption，IDE）改善了安全性。</p> <p>到了最新的CXL 3.0，進一步擴展了傳輸效能與交換連接能力。</p> <p>在傳輸效能方面，CXL 3.0透過引進PCIe 6.0，提供加倍的傳輸頻寬。</p> <p>在交換連接能力方面，CXL 3.0藉由新增多層交換連接架構、CPU端更靈活的周邊裝置連接能力，以及改進的多重存取能力，可以組成更複雜、龐大，也更彈性的CXL連接環境，</p> <p>先前CXL 2.0只支援單層的交換連接架構，而CXL 3.0則提供多層的交換連接架構，進而能支援網格（Mesh）、環狀（Ring）等非樹狀的交織（Fabrics）連接架構，並搭配基於連接埠的路由尋址架構（Port Based Routing，PBR），可支援多達4,096個節點，且每個節點可以是主機CPU或周邊裝置，藉此將能組成非常龐大、複雜的CXL連接環境。</p> <p>此外，對於主機CPU端的根埠（root port）混搭連接不同CXL周邊裝置的限制，CXL 3.0也予以解放，每個主機CPU可同時混搭連接多個不同類型的CXL周邊裝置，相對的，CXL 2.0對主機CPU端同時連接的Type 1與Type 2裝置數量，則有一定的限制。</p> <p>而在記憶體池的多重存取能力方面，先前CXL 2.0雖然就能提供分散式的記憶體池架構，周邊裝置也能將記憶體分為多個區域，指派給不同主機CPU使用，但是，每個記憶體區域同時只能給1個主機CPU存取；而到了CXL 3.0，可搭配強化的硬體一致性機制，能將周邊裝置的記憶體區域，同時共享給多個主機CPU使用。</p> <p><span style="font-size:28px;"><strong>CXL規範的組成</strong></span></p> <p>基本上，CXL規範是由3個獨立的協定組成：CXL.io，CXL.cache，以及CXLmem（即CXL.memory）。</p> <p>其中的CXL.io，提供底層傳輸通道與裝置的管理，以PCIe 5.0為基礎，結合一些改進的功能而成；CXL.cache提供周邊設備存取主機CPU記憶體的功能；CXL.mem則提供主機CPU以一致性快取方式，存取周邊裝置記憶體的功能，包括：揮發性與非揮發性的記憶體。整體而言，3種協定可各自獨立運作，也可相互搭配、組合運作。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>CXL的3種應用形態</strong></span></span></p> <p>CXL也定義3種周邊裝置應用型態：</p> <p>Type 1：透過CXL.io與CXL.cache協定運作，適用於那些沒有配置獨立記憶體的特定用途加速裝置，例如，某些智慧型網路卡或影像加速卡，現在可以透過CXL協定來存取主機CPU的記憶體，將這些記憶體分享給這些周邊裝置，作為快取記憶體使用。</p> <p>Type 2：透過CXL.io、CXL.cache與CXL.mem協定運作，用於自身擁有高效能記憶體（GDDR或HBM記憶體）的通用型加速裝置，如GPU卡，或是基於FPGA、ASIC的加速卡等，可透過CXL協定在這些周邊裝置與主機CPU之間，提供雙向的記憶體共享，既可讓周邊裝置存取主機CPU的記憶體，也能讓主機CPU存取周邊裝置的記憶體。</p> <p>Type 3：透過CXL.io與CXL.mem協定運作，這類裝置是基於DRAM或儲存級記憶體（Storage Class Memory，SCM）的記憶體擴充板卡，主機CPU可以透過CXL協定，來存取這類記憶體擴充板卡搭載的DRAM，或是非揮發性的SCM記憶體。</p> <p>以我們的觀點來看，CXL Type 1應用裝置的基本概念，類似CPU內建顯示晶片而能共用系統主記憶體的架構，同樣都可讓周邊裝置使用主記憶體，讓這些周邊裝置免除配置獨立記憶體的需要，區別在於：前者只適用於CPU內建顯示晶片的狀況，CXL則允許任何支援CXL.io與CXL.cache協定的PCIe周邊裝置，使用系統的主記憶體。</p> <p>而CXL Type 2應用裝置的主要訴求，是藉由共享主機CPU與周邊裝置的記憶體，動態調配兩者的記憶體資源，進而提高系統整體記憶體資源的利用效率。</p> <p>至於CXL Type 3應用裝置的目的，則是透過記憶體擴充卡，來提高伺服器CPU的可用記憶體頻寬與容量。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>CXL的傳輸通道</strong></span></span></p> <p>CXL 1.x與CXL 2.0的實體傳輸鏈路，都是基於PCIe 5.0，一般是使用x16的傳輸通道鏈結規格，也就是32GT/s x16，約等於單向63GB/s或雙向126GB/s的傳輸頻寬。</p> <p>但CXL也能支援使用x8或x4傳輸通道的分支（bifurcation）連接，也能在降級（Degraded）模式下，使用x2或x1的傳輸通道。</p> <p>而CXL 3.0的實體傳輸鏈路，則改用PCIe 6.0，相同傳輸通道鏈結下的頻寬，較CXL 1.x/2.0提高一倍。</p> <p><strong><span style="font-size: 28px;"><span style="color: rgb(51, 153, 255);">CXL可望成為主要的規格</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(2)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%EF%BC%BDCXL%E8%A6%8F%E7%AF%84%E7%99%BC%E5%B1%95%E5%A4%A7%E4%BA%8B%E8%A8%98.png" style="width: 563px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">不同的處理器記憶體互連技術，一開始的著眼點有很大差異。例如，IBM主導的CAPI/OpenCAPI，最初是為了讓CPU與AFU（加速功能單元）共享記憶體；CXL與CCIX的目的，則是異質處理器晶片互連（CPU、ASIC、FPGA）；至於Gen-Z，則是網狀（Fabrics）連接架構的遠端記憶體存取。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">但任何處理器互連技術要在x86伺服器領域發揮作用，顯然都少不了Intel的參與及支持，這也讓Gen-Z、OpenCAPI、CCIX這些沒有Intel參與的技術，在推廣與應用上，難有顯著進展。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">雖然CAPI/OpenCAPI已用在IBM Power平臺，但Power平臺的市場影響力有限，不足以成為驅動CAPI/OpenCAPI進一步發展與普及的力量。事實上，任何伺服器相關的技術架構，若不能應用到主流的x86平臺，勢必難以成為主流規格。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">於是到了最終，仍是由Intel主導的CXL，成為這個領域主導性的規格。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">在此之前，原本Gen-Z聯盟曾企圖與CXL「和平相處」，在2020年4月與CXL聯盟簽署合作備忘錄，嘗試將Gen-Z發展成為與CXL互補的規格，讓CXL主導晶片之間的點對點互連，Gen-Z改為著重機箱與機架間的短距離互連（雖然Gen-Z原本也涵蓋了晶片間互連應用）。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">然而，CXL聯盟仍逐步進逼。例如，2020年11月發布的CXL 2.0版，將功能擴張到網狀互連領域，也能具備跨機箱遠端記憶體存取能力，此舉形同吸收了Gen-Z主要特色，使得Gen-Z難以為繼。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">於是，Gen-Z與CXL聯盟在2021年11月簽署意向書，Gen-Z聯盟決定將規範與資產轉移給CXL，隨後從2022年1月開始解散業務。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">到了2022年8月，OpenCAPI聯盟也宣布將規格與資產轉移給CXL聯盟。至於CCIX方面，由於許多成員早已轉向CXL（如AMD、Arm、華為等），所以，實際上也難已有太大發展。</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">因此，從目前看來，CXL一統處理器記憶體互連技術，應該是大勢已定。</span></strong></p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(2)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%EF%BC%BDCXL%E7%9A%84%E5%9F%BA%E6%9C%AC%E6%A6%82%E5%BF%B5.png" style="width: 550px;" /></span></strong></p> <p><strong><span style="color:#3399ff;">CXL的基本概念</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">CXL的底層是建立在PCIe 5.0傳輸通道上，利用CXL.io、CXL.cache與CXL.mem等3項協定，讓主機CPU與周邊裝置可以互相存取彼此的DRAM記憶體，從而實現記憶體互連與共享的目的。</span></strong></p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(2)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%EF%BC%BDCXL%E7%9A%84%E9%80%A3%E6%8E%A5%E8%83%BD%E5%8A%9B%E6%BC%94%E9%80%B2.png" style="width: 599px;" /></span></strong></p> <p><strong><span style="color:#3399ff;">CXL的連接能力演進</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>最早公布的CXL 1.0/1.1規範，只允許主機CPU與周邊裝置一對一直連。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>到了CXL 2.0，允許主機與周邊裝置間組成多對多連接的交換網路，大幅提高了CXL裝置連接數量與彈性。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>最新的CXL 3.0則進一步提供多層式交換連接，並支援網格式或環狀等非樹狀的交換連接架構，進而可以組成非常龐大的CXL連接環境。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(2)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964%EF%BC%BDCXL%E7%9A%843%E7%A8%AE%E5%91%A8%E9%82%8A%E6%87%89%E7%94%A8%E5%BD%A2%E6%85%8B.png" style="width: 599px;" /></p> <p><strong><span style="color:#3399ff;">CXL的3種周邊應用形態</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>Type 1：適用於自身沒有獨立記憶體的周邊裝置，利用CXL協定將主機CPU的記憶體分享給周邊裝置使用。</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>Type 2：適用於自身含有高效能記憶體的周邊裝置，利用CXL協定讓主機CPU與周邊裝置相互存取彼此的記憶體，在兩者間動態調整記憶體資源配置</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>Type 3：適用於內含DRAM或SCM記憶體的記憶體擴充卡，利用CXL協定讓主機CPU存取擴充卡上的記憶體資源，從而提高主機CPU的記憶體容量與頻寬</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(2)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%965%EF%BC%BD%E4%B8%8D%E5%90%8C%E7%89%88%E6%9C%ACCXL%E8%A6%8F%E7%AF%84%E7%9A%84%E5%8A%9F%E8%83%BD%E5%B0%8D%E6%AF%94.png" style="width: 596px;" /></p> <p><a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/153369" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E5%85%B1%E4%BA%AB%E6%B1%A0">大共享池</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94">記憶體</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/cpu">CPU</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div></div></div>
2022/10/3 07:00作者張明德https://www.ithome.com.tw/tech/153366
【新世代伺服器記憶體技術邁向實際應用】第一波CXL應用產品即將問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_3wang_ye_960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>圖片來源／Samsung</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當CXL聯盟於2019年3月發布CXL 1.0版規範後，很快就有廠商發表支援CXL的產品。</p> <p>例如Intel在2019年4月發表Agilex FPGA家族時，便宣稱其中的I系列與M系列都內含CXL的支援（這兩款FPGA都是基於PCIe 5.0），是最早支援CXL的周邊裝置平臺，可以讓Agilex FPGA與Xeon系列CPU之間，利用CXL建立快取一致性的連結，共享彼此的記憶體。</p> <p>在2021年5月，三星發表內含128GB DDR5記憶體的CXL記憶體擴充卡，支援CXL 2.0規格，也是最早的Type 3 CXL周邊裝置產品，可利用這種記憶體擴充卡，賦予伺服器TB等級的記憶體配置容量，並為CPU提供額外的記憶體傳輸頻寬。</p> <p>主機平臺方面，Intel早在2020年8月的Architecture Day 2020大會預告，新一代伺服器處理器平臺Sapphire Rapids，將會支援PCIe 5.0與CXL 1.1。AMD方面，在2021年11月宣布，新一代的Zen 4架構處理器家族中，Genoa與Bergamo等2種EPYC伺服器處理器都將支援PCIe 5.0，以及CXL 1.1。</p> <p>雖然因為種種理由，這幾種處理器至今遲遲未能上市，不過我們可以預期，2023年以後新推出的伺服器處理器平臺，應該都會支援PCIe 5.0與CXL。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(3)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%EF%BC%BD-PNG.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>第一批支援CXL的伺服器主機平臺</strong></span></p> <p><span style="color:#696969;"><strong>Intel早在2020年8月便已預告，新一代的伺服器處理器平臺Sapphire Rapids將會支援PCIe 5.0與CXL 1.1，是最早宣布支援CXL的伺服器平臺，但隨著Sapphire Rapids處理器推出時間的不斷延遲，也拖慢CXL的推廣與應用時程。</strong>圖片來源／Intel</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(3)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%EF%BC%BD.png" style="width: 600px;" /></strong></span></p> <p><span style="color:#3399ff;"><strong>三星的CXL附加周邊裝置</strong></span></p> <p><span style="color:#696969;"><strong>三星自2021年以來陸續發表2款CXL產品，圖片</strong></span><span style="color:#696969;"><strong>上半部為三星的CXL記憶體擴展器，是CXL Type 3的擴充記憶體卡，用於擴展伺服器的記憶體容量與頻寬。</strong></span></p> <p><span style="color:#696969;"><strong>圖片</strong></span><span style="color:#696969;"><strong>下半部的產品為三星Memory-Semantic SSD，兼具NVMe SSD與CXL擴充記憶體，內含8GB DRAM——若設為SSD模式，可作為底層NAND Flash記憶體的緩衝區，大幅提高存取效能；若調整為CXL模式，則可以供主機CPU存取，作為額外的擴充記憶體。</strong>圖片來源／Samsung</span></p> <p><span style="font-size:28px;"><strong>SC21大會中的CXL產品展示</strong></span></p> <p>事實上，2021年12月舉行的SC 21大會，成了CXL解決方案原型的展示場，眾多廠商都展出了相關產品與概念。例如，Teledyne LeCroy展示CXL協定分析儀，Mobiveil則展出CXL控制器，以及這款控制器運行CXL.mem、CXL.cache協定的能力。</p> <p>同時，Astera Labs、Intel、Synopsys等廠商，共同展出結合Intel Sapphire Rapids處理器、Astera Labs的Solstice 3U Riser Card——內含Aries CXL 智慧型定時器（Smart Retimers），以及Synopsys CXL控制器的系統，並且驗證這套系統運行CXL.io協定的能力。</p> <p>Rambus則展示了內含其CXL 2.0控制器的FPGA卡，用戶可透過CXL.mem協定，存取主機CPU管理的HBM記憶體。</p> <p>前述都是元件開發用途或元件級產品，而非直接面對用戶端的系統產品，另一些廠商則展出更接近實際應用的解決方案，例如Montage Technology、Meta與三星，都展出了Type 3類型的CXL記憶體卡解決方案。</p> <p>Montage Technology提供的是FPGA卡工程原型，內含CXL Type 3控制器、DDR4/5記憶體控制器，可支援CXL.io與CXLmem協定；Meta展出CXL記憶體卡，在Linux環境下，可透過CXL 2.0協定連結Intel Sapphire Rapids處理器，能將CXL記憶體卡內建的64GB DDR5記憶體，映射為伺服器主機CPU可使用的記憶體；三星則將其CXL記憶體擴充卡，整合到SAP HANA In-Memory-Database應用環境。</p> <p>特別值得一提的是Elastics.cloud，以及IntelliProp，這2家廠商展出跨伺服器節點的「網路化」CXL共享記憶體方案。</p> <p>Elastics.cloud推出的CXL解決方案，搭載該公司專屬FPGA加速版卡，這種加速卡內含32GB記憶體，安裝在伺服器PCIe擴充槽上，主機CPU可透過CXL協定存取FPGA卡上的記憶體，而安裝這種FPGA卡的伺服器，也能透過100Gb DAC銅纜彼此互連，進而存取另一臺伺服器上的FPGA卡記憶體，也就是說，可以藉由CXL讓2臺伺服器組成一個記憶體池。</p> <p>IntelliProp也展出基於CXL Fabric Adaptor網路卡橋接（Bridge）方案，可透過該公司的Sphnix CX HBA卡，管理網路附加記憶體（Fabric Attached memory），將多組網路附加記憶體，經由Sphnix CX HBA卡與交換器的介接，將記憶體配置給Arm處理器主機使用，構成網路化的共享記憶體池，並可透過Fabric Manager軟體來管理應用環境。</p> <p>利用這類跨節點的網路化CXL架構，理論上，用戶可以組成數百TB甚至PB等級的超大規模記憶體池，從而提供一種幾乎不需移動資料，並具備極高效能的運算架構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(3)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%EF%BC%BD.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>跨伺服器節點的CXL應用概念</strong></span></p> <p><span style="color:#696969;"><strong>Elastics.cloud的FPGA-based CXL解決方案，提供了跨伺服器節點的CXL應用架構。上圖中的2臺伺服器都安裝Elastics.cloud的FPGA-based CXL加速板卡，既可透過CXL介面將板卡上的記憶體提供給主機CPU使用，還可透過100Gb DAC直連纜線連接另一臺伺服器的CXL板卡，使用另一臺伺服器上的CXL板卡記憶體。</strong>圖片來源／Elastics.cloud</span></p> <p><span style="font-size:28px;"><strong>2022年的CXL新產品</strong></span></p> <p>到了2022年，CXL記憶體擴充卡產品有了更多進展。例如，三星於5月發表其CXL記憶體擴充卡的升級版本，容量提高到512GB，較第1代產品提高了4倍，存取延遲則只有1/5。聯想（Lenovo）也表示，未來將在他們的產品採用三星這款CXL記憶體擴充卡。</p> <p>接著，三星又在8月的FMS 2022大會展出十分特別的CXL產品——Memory-Semantic SSD，它是混合搭載DRAM與NAND Flash記憶體的SSD，支援NVMe-PCIe 5.0與CXL雙模式連接介面，從該廠活動現場展出的原型照片來看，應該是三星原有PM9A3 PCIe 4.0 SSD產品，加上含有DRAM模組的CXL控制器裝置整合而成。</p> <p>在設置為NVMe-PCIe的模式下，Memory-Semantic SSD搭載的8GB DRAM，是作為NAND Flash記憶體的緩衝區使用，可大幅提高存取效能，號稱效能較PCIe 4.0 SSD提高20倍；若設為CXL模式，其搭載的DRAM則可作為CXL共享記憶體使用，提供Type 2類型CXL裝置的應用。</p> <p>SK Hynix也在8月跟進，發表支援CXL 2.0的記憶體擴充卡產品，每張卡可提供96 GB記憶體，預訂2023年開始量產。</p> <p>8月底，Astera Labs亦發表2款Leo系列CXL記憶體控制器晶片，可支援CXL 1.1與2.0，每顆控制器可管理最多2TB記憶體，搭配該公司Aurora A系列記憶體擴充板卡，可提供Type 3類型的CXL記憶體擴充周邊應用。</p> <p>SMART Modular Technologies（世邁科技）則在9月，發表了XMM CXL記憶體模組產品，採用EDSFF E3.S的外形規格，內含64GB DDR5記憶體。</p> <p><span style="font-size:28px;"><strong>CXL周邊產品初具雛形</strong></span></p> <p>就目前的情況來看，由於CXL 3.0剛發布不久，因此目前既有的CXL解決方案都只支援到CXL 2.0。而在不同裝置類型的CXL實用化進度上，周邊裝置則走在伺服器平臺前面。</p> <p>在伺服器主機平臺方面，由於第一批支援CXL的處理器平臺，如Intel的Sapphire Rapids，以及AMD Genoa與Bergamo，推出時間都有所延遲，因此，預計要等到2023年，伺服器平臺才會正式支援CXL。</p> <p>而在周邊裝置方面，Type 1、Type 2、Type 3類型的周邊裝置，都已有廠商發表了工程驗證用原型或產品，其中屬於Type 1與Type 2類型的應用較少，只有Rambus與Mobiveil等少數廠商，而且大都屬於控制器元件，而非提供給用戶端的系統層級產品。</p> <p>至於Type 3類型已有的產品或解決方案，數量相對較多，從雲端服務平臺龍頭Meta，記憶體大廠三星與SK Hynix，到Montage Technology等新創廠商，都發表了相關解決方案。其中三星與SK Hynix的產品，都已跡近商品上市階段，應該是目前發展程度最成熟的CXL產品類型。</p> <p>整個CXL應用環境，預期應該會在2023年進入實用化階段，屆時Intel與AMD支援CXL的伺服器平臺都會上市，而在周邊裝置方面，三星與SK Hynix所發展的CXL記憶體卡，應該也都會開始出貨，從而初步形成更普遍的CXL應用環境。</p> <p><a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/153369" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E5%85%B1%E4%BA%AB%E6%B1%A0">大共享池</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94">記憶體</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/cpu">CPU</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div></div></div>
2022/10/3 07:00作者張明德https://www.ithome.com.tw/tech/153367
【擴展伺服器記憶體資源新選擇】接近實用階段的CXL擴充記憶體卡產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_gu_shi_4wang_ye_960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在目前已發表或展出的各式CXL解決方案與產品中，我們認為Type 3類型的CXL擴充記憶體卡，是最接近上市階段的產品，可作為初窺CXL應用形態的範例。</p> <p>根據我們的觀察，目前三星、SK Hynix、SMART Modular Technologies（世邁科技）、Montage Technology與Meta等廠商，都曾發表或展出CXL擴充記憶體卡，其中Montage Technology與Meta展出的產品，都是工程測試原型，其他3家廠商的產品較成熟。</p> <p>這3家CXL記憶體擴充卡供應商中，最早在市面上推出實際產品的，是三星的CXL記憶體擴展器（CXL Memory Expander），2021年5月便發表第1代產品，到了2022年5月又推出升級的第2代產品。</p> <p>然後，是SK Hynix在2022年8月發表的CXL 2.0記憶體裝置（CXL 2.0 Memory）。再來是世邁科技，他們在2022年9月發表了XMM CXL記憶體。</p> <p>這3款產品同樣採用EDSFF E3.S的外形規格，這也是基於PCIe x16通道的CXL附加裝置標準外形規格，上面搭載了CXL控制器，以及不同數量的DDR 5記憶體。</p> <p>例如，三星CXL記憶體擴展器第1代產品的容量為128GB，升級版則擁有512GB容量；SK Hynix的CXL 2.0記憶體裝置，容量為96GB；世邁科技的XMM CXL記憶體容量相對較小，只有64GB，不過，根據該公司的相關資料顯示，另有96 GB款式，未來還將推出容量增加到256GB的版本。</p> <p>相較於Type 1與Type 2等兩種應用裝置，Type 3應用裝置的目的與效果較為單純，主要是透過安裝CXL擴充記憶體卡，讓伺服器突破既有DIMM插槽的限制，大幅提高CPU所能獲得的記憶體容量與傳輸頻寬。</p> <p>例如，三星就宣稱，透過安裝其CXL記憶體擴展器，可以讓每顆CPU獲得的記憶體數量增加一倍。</p> <p>SK Hynix則發布更具體的效益數字，根據他們的資料指出，目前1顆x86 CPU最多只能配置8個DDR5記憶體通道，以及768GB DRAM記憶體（96GB模組×8），記憶體傳輸頻寬約在260至320GB/s之間。</p> <p>而透過PCIe插槽安裝4組SK Hynix的CXL 2.0記憶體裝置後，則可讓每個CPU的記憶體配置容量提高到1.15TB（原有的768GB記憶體，加上4組CXL記憶體擴充卡提供的384GB記憶體），較原本增加將近50%，記憶體傳輸頻寬也提高到360至480GB/s（每組CXL記憶體擴充卡可提供額外的30至40GB/s記憶體頻寬），較原本提升40%，改善幅度可說十分顯著。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(4)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%EF%BC%BD.png" style="width: 587px;" /></p> <p><span style="color:#3399ff;"><strong>既有的CXL擴充記憶體卡產品</strong></span></p> <p><span style="color:#696969;"><strong>已有數家廠商推出CXL擴充記憶體卡產品，左上與左下分別為三星的CXL記憶體擴展器，以及SK Hynix的CXL 2.0記憶體裝置，右為世邁科技的XMM CXL記憶體，均採用EDSFF E3.S外形規格，並搭載64GB至512GB不等的DDR5記憶體。</strong></span><span style="color: rgb(105, 105, 105);">圖片來源／Samsung，SK hynix，SMART Modular Technologies</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B(4)%EF%BC%BB%E7%B6%B2%E9%A0%81%E5%9C%962%EF%BC%BD.png" style="width: 600px;" /></span></p> <p><span style="color:#3399ff;"><strong>CXL記憶體擴充卡的效益</strong></span></p> <p><span style="color:#696969;"><strong>透過CXL記憶體擴充卡，可以顯著提高伺服器CPU的記憶體頻寬與容量。以上圖為例，SK hynix表示，單一中央處理器最多只能配置8個記憶體通道，獲得768GB記憶體容量，以及260至320GB/s記憶體頻寬。而安裝4組CXL擴充記憶體後，CPU可用的記憶體容量與頻寬，大幅增加了50%與40%。</strong>圖片來源／SK hynix</span></p> <p><a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/153369" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/cxl">CXL</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E5%85%B1%E4%BA%AB%E6%B1%A0">大共享池</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94">記憶體</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/cpu">CPU</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div></div></div>
2022/10/3 07:00作者張明德https://www.ithome.com.tw/tech/153368
【記憶體「大共享池」時代來臨】CXL崛起！帶動伺服器架構革命
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">由Intel等廠商正積極推動的CXL（Compute Express Link）技術，企圖利用基於PCIe 5.0的高速傳輸通道，跨越CPU與周邊裝置之間的藩籬，建構一個共享的「記憶體池」，不僅能大幅提高伺服器記憶體資源的運用彈性與效率，也有助於提高I/O效能，勢將帶動起一波伺服器架構的新革命</p> <p> </p> </div></div></div>
2022/10/3 07:00作者張明德https://www.ithome.com.tw/article/153369
搶救伺服器記憶體資源浪費大作戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在新一代伺服器平臺的發展上，這幾年來主要的焦點，我們持續追蹤報導處理器三大陣營的競爭，以及世代交替，像是陸續進入第三代的AMD EPYC系列、Intel Xeon Scalable系列，以及基於Arm Neoverse智財而成的雲端業者自製處理器、Ampere Altra系列，在此同時，我們也注意到其他技術規格也面臨巨大變化，例如，DDR5記憶體、PCIe 5.0介面，以及一個我們很陌生的互連介面CXL（Compute Express Link）。</p> <p>在這些規格中，DDR5與PCIe 5.0已隨今年上市的個人電腦處理器而出現在大家身邊，例如Intel第12代Core系列，以及AMD Ryzen 7000系列。其中，關於PCIe 5.0的主要特色，我們的技術主筆張明德在年初發表的《<a href="https://www.ithome.com.tw/article/149045" target="_blank">2022 PCIe世代交替來臨</a>》專題報導，以及後續的<a href="https://www.ithome.com.tw/news/151577" target="_blank">儲存月報第69期</a>也特別予以介紹與追蹤。</p> <p>至於CXL，在2020年8月，Intel預告下一代伺服器處理器規格時，開始提及此項技術，同年Arm揭露Neoverse平臺的發展藍圖，也揭露旗下3個系列支援CXL不同版本的時程。</p> <p>事實上，這兩年來，整個IT業界對於CXL的討論越來越熱烈。在去年3月，美光宣布退出3D Xpoint固態儲存業務，以及今年7月Intel終止Optane記憶體業務之後，投入CXL被認為是更好選擇的局勢越來越明確。</p> <p>此外，有些影響IT產業標準的年度大型會議，今年也特別設置多場CXL相關的演講。例如，儲存網路產業協會（SNIA）5月舉行的持續記憶體暨運算型儲存高峰會，9月召開的儲存開發者大會；開放運算計畫聯盟（OCP）去年舉行的全球高峰會，就以促成軟體定義記憶體進化為題，介紹CXL應用，今年10月將會有4場演講與1個專屬論壇；關注運算晶片發展的Hot Chips大會，今年8月有多家廠商提及CXL支援近況，也設置一整天的專屬輔導日。這也讓我們感到好奇：為何這項互連介面會獲得大半個業界的肯定？</p> <p>我們在這期的封面故事回答這個問題，也整理CXL發展與將上市的產品。其中，有個資訊值得參考，那就是DRAM使用效率不彰的狀況，已讓全球兩大公有雲者受不了！</p> <p>我們看到有媒體引用卡內基美隆大學與微軟研究院、微軟Azure共同發表的論文指出，這已成為雲端服務業者必須優先處理的問題，他們提到Google的DRAM記憶體只有4成用於上線的叢集環境當中，而微軟也察覺自家的DRAM記憶體應用上，也可能有25%處於擱淺狀態（stranded），如果能設法減少這類狀況，業者就不需要採購過多DRAM，而可行的發展方向，會是透過記憶體匯聚來形成共用資源池。</p> <p>或許你會問：伺服器虛擬化技術的出現，實現跨多臺伺服器的運算與儲存資源的共用，所以，我們早已用軟體的方式解決了吧？事實上，關於記憶體虛擬化的運用，仍是以每一臺主機所能配置的最大組態為上限，並無法真正做到跨伺服器共用記憶體資源。因此，如果大家還有印象的話，可能會記得過去有一陣子，大家特別關注所謂的怪獸級虛擬機器（Monster VM）的議題，關鍵除了可配置虛擬處理器數量，記憶體容量更是重點，但虛擬記憶體再大，終究無法超越每臺伺服器所能支援的最大記憶體容量。</p> <p>然而，CXL的出現，替伺服器擴充與整合記憶體的方式打開全新的視野，可以從周邊裝置應用的角度進行，也出現廠商發展出可橫跨多臺伺服器節點的應用方式，隨著產業標準規範的持續翻新，以及運算平臺、周邊裝置的積極支援，顯然會在儲存與記憶體領域當中，獲得重大突破，甚至有望出現速度更快、容量更大的記憶體型網路儲存系統，而對於整個IT業界而言，我們將會更有餘裕去因應資料密集型工作負載，實現以資料為中心的運算（Data-Centric Computing）。</p> <p><a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/153369" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1097-feng_mian_p1-open-ming_de_-960x420_kao_bei_.jpg?itok=QU0bjIo7" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item even"><a href="/tags/cxl">CXL</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E5%85%B1%E4%BA%AB%E6%B1%A0">大共享池</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94">記憶體</a></div><div class="field-item odd"><a href="/tags/io">I/O</a></div><div class="field-item even"><a href="/tags/cpu">CPU</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item even"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div></div></div>
2022/10/3 07:00作者李宗翰https://www.ithome.com.tw/voice/153370
數位轉型帶動企業微服務浪潮，SRE是AP現代化的關鍵第二步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣這幾年掀起一股IT現代化的浪潮，不少企業擁抱雲端原生架構，來打造新一代資訊系統或數位服務，微服務浪潮也吹進臺灣大型企業，2022年超過1成大型企業要導入。但是，企業要將沿用多年的單體式應用架構，大幅翻轉成微服務架構，不是一件容易的事。F5執行副總裁兼技術長Geng Lin更指出：「微服務對企業最大的衝擊不只大幅增加複雜度，也帶來新技能的挑戰。」</p> <p>Geng Lin認為，企業擁抱微服務的好處是，迭代速度可以更快，擴充性更大，像是更容易推出新服務、調整服務範圍、引進新式資安功能或效能優化做法等。但也伴隨的衝擊是，「傳統企業沒有新架構需要的能力，這超過了他們現有IT團隊的技能範圍，迫使CIO必須尋求擁有新技能的開發者，或是SRE維運人員。」</p> <p>Geng Lin是分散式系統、軟體定義基礎架構和雲端服務領域的頂尖專家。Google直到2016年才對外發表SRE維運方法論，而Geng Lin早在2013年就進入Google擔任企業網路技術長，主要負責兩大領域，一是新興市場所需的網路、雲端服務和維運服務，另一個部分則是混合雲解決方案的企業網路和基礎架構服務設計。他所管理的工程團隊分散全球，從南非、南亞、印度、歐洲、澳洲到美國都有。</p> <p>2017年，他從科技公司跨入金融產業，進入摩根大通集團擔任首席開發長，負責打造次世代雲端數位銀行服務，也參與摩根大通雲端原生重構工程多項計畫，如微服務容器平臺、Kubernetes（簡稱K8s）和服務網格（Service Mesh）、SRE遙測流程和資料湖等，直到2019年，他才進入F5擔任技術長。</p> <p>Geng Lin表示，微服務架構的出現，源自超大規模網路公司，例如Google、臉書等，他們必須部署超大規模的應用來服務全球數十億用戶，為了快速調整功能或強化安全，就得具備快速迭代改善的能力，但傳統單體式架構的改版速度，跟不上大型網路公司的迭代需求，因此才出現了這個微服務架構。</p> <p>而在企業端，許多大型企業的後端系統不少是用了十幾年的大型系統，例如銀行系統，過去這些後端應用沒有接觸網際網路。</p> <p>但在當代的數位轉型浪潮下，網際網路提供了企業一個更大的平臺，可以接觸到更多顧客，也將顧客需求的變化，快速傳遞給企業。Geing Lin觀察，這個轉型需求讓少數領先企業開始擁抱微服務架構，導入到前端應用，打造雲端的數位平臺，這是最早擁抱微服務框架的企業應用。甚至，隨著企業微服務越用越多，後端應用也需要跟著現代化，微服務架構因而開始擴展到後臺系統。</p> <p>對企業而言，得同時面對兩種不同的環境，採用微服務的前端應用和老舊的後端系統。Geng Line指出，企業需要找到一個更大的框架，得以延續現有架構，或是採取混合式的架構，才能保證提供最好的服務。</p> <p>許多企業正在模索這個現代化過程，可是，那些率先擁抱微服務架構的傳統企業，很快就面臨了微服務複雜性的挑戰，例如歐洲快時尚巨頭Zalando轉換到微服務新架構後，很快就發展超過4千隻微服務，一個產品可能由數十個或上百個微服務來支援。</p> <p>要享受速度的好處，就得付出複雜度的代價，「馴服複雜度最好的辦法是，自動化。」Geng Line表示，服務網格概念的出現，就是要用來降低龐大微服務架構的複雜度。</p> <p><span style="font-size:28px;"><strong>當代數位服務的非功能需求程式碼，遠遠超過了功能性需求</strong></span></p> <p>他進一步解釋，不論是在Google或是摩根大通，都將數位服務的需求分為兩類，一類是與商業邏輯相關的需求，稱為功能性需求（Functional Requirement），而另一類與業務邏輯無關的需求，例如可觀察性、資安、流量、網路、擴充性、分散式優化等則稱為非功能性需求。在現代的分散式應用或數位服務中，這些非功能性需求是提高用戶體驗必須解決的課題。</p> <p>可是，「現代大規模網路服務或數位服務的程式碼庫中，非功能性需求的程式碼，已經遠遠超過了功能性需求。」Geng Lin直言：「對企業來說，只有功能性需求的服務，才能創造差異化，這是商業創新的目的。」如何在系統層面解決非功能性需求，一直是電腦科學領域的課題，若沒有辦法將非功能性需求變成可重複使用的平臺能力，企業的AP開發團隊，可能高達70%的時間都用於開發與AP功能無關的事。</p> <p>Geng Lin表示，服務網格就是將這類共同的應用程式基礎架構的需求，固化（Codify)成了共同的程式碼。服務網格可說是一種方法或途徑（approach)，它是一組應用程式基礎架構的服務，涵蓋了資安、效能優化、可觀察性（Observability）等，「為了管理微服務的複雜性，必須把部分共同功能變成自動化的程式碼。」</p> <p>從技術層面來看，服務網格的出現，就是為了管理微服務架構上的AP共同需求，例如分散式應用如何優化中間網路傳遞的流量優化需求，或像是共同的資安需求，例如驗證等。Geng Lin表示：「將這些應用層級的共同需求，固化到一套框架，每一個應用的開發者或擁有者，就不用重新來解決這些需求。」</p> <p>對AP開發者而言，他們關心的是如何將業務邏輯變成程式碼，至於要如何擴充容量、確保資安、優化效能等，則並非是開發團隊首要考慮，實際上，非功能性需求更多是由維運人員來處理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400-%E6%88%AA%E5%9C%96%202022-07-29%20%E4%B8%8A%E5%8D%8811_26_11.png" style="width: 428px;" /></p> <p><span style="color:#696969;"><span style="font-size: 20px;"><strong>許多企業擁抱微服務，只考慮到具體架構面問題，但AP現代化更大的挑戰是維運的現代化。── F5執行副總裁兼技術長 </strong></span><strong><span style="font-size:22px;">Geng Lin</span></strong></span></p> <p><span style="font-size:28px;"><strong>服務網格2種常見實作方式的出發點大不相同</strong></span></p> <p>服務網格常見實作方式可以分兩類，一類做法是將服務網格視為K8s平臺的附加品，也就是將服務網格視為K8s生態系下的元件，典型代表是Istio Envoy。</p> <p>第一種實作方式的前提是，所有程式都是K8s 上的微服務，維運團隊也都知道如何處理這種環境。</p> <p>曾在Google工作近5年的Geng Lin表示，Google開源釋出的Istio，延續了Google內部理念，所有團隊都處於一個內部環境，從開發設計框架到維運技能、SRE能力，都能互相匹配。「Istio這套方法適合這樣的公司。」</p> <p>另一種實作方式則是將服務網格視為Application Networking的外掛，HashiCorp Consul就是這類的典型代表。Geng Lin表示，Application Networking概念正是分散式應用和傳統單體式應用的差別。</p> <p>分散式應用具有State（狀態）的概念，透過Application Networking來同步不同部分應用的狀態，進一步藉由優化Application Networking的中介方式或交織（fabric）方式，就可以提高分散式應用的整體效能。在第二種實作方式中，不用考慮這些分散式的應用程式是否容器化，或是使用了K8s。</p> <p>第一種實作將服務網格視為K8s生態系下的元件，另一種則視為是Application Networking的一部分，「這兩種實作方法的出發點不一樣。」Geng Lin表示，對雲原生架構的企業來說，第一種作法比較適合，而對混合架構的企業來說，第二種作法在實務上更適合。</p> <p>Istio Envoy是目前服務網格解決方案的領先者，也是最受歡迎的工具，Geng Lin認為，在完全只用K8s的架構中，Istio非常有效，但是需要具備高度技術能力，「這個實作方式的想像對象是雲端原生企業，Istio所提供的控制機制非常低階，提供了更多細緻的控制，但也增加了很多複雜度。「光是Istio的複雜度，就超過很多傳統企業維運團隊的理解和應用層面。」他建議，若企業是雲端原生公司，也擁有超強技術人員和SRE團隊，Istio Envoy是一個高度成熟可用的架構，這正是Google發明這些技術的原因。</p> <p>而在第二種實作中，以Application Networking層面來考慮，為了從一個環境轉換到另一種環境，就需要引入Gateway概念，技術層面上，可以借助NAP（Network Access Point，網路存取端點）管理和設定，來降低複雜度，但限制是，「無法做到像Istio那樣細緻化的控制，效能優化效果也就比不上Istio。」他坦言。</p> <p>對轉型中的企業而言，部分AP仍然沒有部署在K8s環境中，或者仍採用單體式架構，例如銀行數位服務的前端已經行動化，而搭配的後端ATM應用還是30年前的同一套，要提高數位銀行效能，不能只優化微服務，還要考慮後端系統的調整，「這是端到端的問題，純K8s的Istio Envoy方法不見得是最好選擇。」而HashiCorp Consul的複雜度不像Istio Envoy那麼複雜，透過Translation Gateway作法，可以將非K8s應用的可觀察性，跟K8s環境中的應用連結，認證方式也是如此。「我個人相信，這是更接近混合雲企業所能接受的做法。」他表示。</p> <p>F5自己也正在發展nginx上的服務網格實作方案，設計理念類似Consul ，同樣採取了第二種實作方法，但不同的是，Geng Lin表示，nginx服務網格的設計選擇更粗的顆粒度，可能會犧牲部分效能優化能力或更細緻的資安能力，但是可以大大降低管理的複雜度，希望能提供第三種服務網格的選擇。</p> <p><span style="font-size:28px;"><strong>企業發展SRE維運能力的2大挑戰和3項建議</strong></span></p> <p>不過，Geng Lin提醒，企業要擁抱微服務要面對的困難是技能侷限，一方面企業開發團隊需要更好的開發人員，必須對K8s、微服務、服務網格達到程式開發層級的了解深度，而不只是概念性的認識，才能知道如何運用到程式碼中。另一個更大的挑戰是維運團隊，多數企業IT中的維運團隊只是負責安裝和設定配置，可是，「微服務架構、服務網格需要的維運能力是SRE團隊等級的技能。」</p> <p>企業要發展SRE維運能力，要做到三件事，第一步是高度細緻化的可觀察性能力，數位服務的每一步細節都要建立可觀察性。下一步則要將可觀察性搜集到的大量訊號，轉譯成SRE維運團隊的行動，需要大量自動化，因此，SRE團隊必須具備開發能力，將人類流程變成程式碼。最後一項是，將AP變成數位服務時，必須建立相應的SLO （Service-level Objective）來量化，SRE團隊必須和AP團隊共同從功能面來訂定不同數位服務各自的SLO。</p> <p><span style="font-size:28px;"><strong>AP現代化更大的挑戰是，維運現代化</strong></span></p> <p>「許多企業擁抱微服務，只考慮具體架構面問題，像是如何將單體式應用拆解成微服務，或是如何導入事件驅動的Kafka平臺，但AP現代化更大的挑戰是維運的現代化。」Geng Lin強調。</p> <p>過去大型主機上的單體式應用，維運簡單，甚至幾乎是隱形，一隻應用就是一項服務，但是到了網際網路環境，一隻應用的程式碼，要加上非功能性能力和SRE團隊，才能打造出多數人可用的數位服務。Geng Lin指出：「從這個角度來看，SRE可以說是AP現代化的第二階段，也是數位服務的重要構成。」</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CTO小檔案 </span></span></strong></p> <p><strong>F5執行副總裁兼技術長 Geng Lin</strong></p> <p>學經歷：哥倫比亞大學計算機科學博士。2013年進入Google擔任企業網路CTO，後來成為Next Billion Users服務工程主管。2017年進入摩根大通集團，擔任董事總經理、首席開發長及消費者和社區銀行業務的工程主管，負責打造次世代雲端數位金融解決方案。2019年加入F5，擔任技術長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/200-(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)F5%E5%A4%A7%E6%A8%93%E5%85%A5%E5%8F%A3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-F5.jpg" style="width: 200px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／F5</span></span></p> <p><strong>F5公司</strong></p> <p>總部地點：美國西雅圖</p> <p>產品：以網通產品起家，後逐漸轉為提供多雲應用服務、交付技術和資安服務。</p> <p>成立時間：1996年2月26日，成立F5 Labs，1999年更名為F5 Networks，2021年再更名為F5公司。</p> <p>員工數：全球約6,900人</p> <p>營收：2021年約2,600億美元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>1996年：成立F5 Labs</p> <p>1997年：推出第一款產品BIG-IP負載平衡設備</p> <p>1999年：更名為F5 Networks</p> <p>2019年：併購nginx</p> <p>2020年：併購Shape Security</p> <p>2021年：1月併購Volterra，10月則併購了Threat Stack</p> <p>2021年11月：再次更名為F5公司。</p> <p>2022年：宣布推出分散式雲端服務產品線，提供雲端原生環境的網路、資安和應用管理</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu__10.jpg" width="960" height="420" alt="" title="F5執行副總裁兼技術長 Geng Lin　（圖片來源／F5）" /></div></div></div>
2022/10/3 07:00作者王宏仁https://www.ithome.com.tw/people/153371
隨機過程與迷宮
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到隨機，多數開發者應該會想到random之類的函式，先前我在專欄文章〈<a href="https://www.ithome.com.tw/voice/110007" target="_blank">你的程式夠「亂」嗎？</a>〉談過，程式庫提供的隨機亂數是假的，都是偽隨機，是基於確定性的演算，只能用於隨機性要求沒那麼高的場合，對於安全之類需求就不適用，必須追尋真正的隨機事件，像是硬碟等真實裝置的雜訊，或者密碼學安全偽隨機數。</p> <p><span style="font-size:28px;"><strong>random？stochastic！</strong></span></p> <p>就我個人的想法而言，萬物皆有規律，只不過在人類發掘出規律之前，對於無法理解的現象稱為隨機罷了；近來有個CVE-2022-38392安全漏洞就蠻有趣的，誰能想像到〈<a href="https://bit.ly/3cjwWTj" target="_blank">播放Janet Jackson音樂影片造成數款老舊筆電掛點</a>〉，除此之外，利用硬碟聲音與廢熱來推測並傳送資料的傳說，也時有所聞！</p> <p>相對於追求真正的隨機事件，另一個方向是令接下來的事件不具確定性、卻也沒有完全的自由度，例如高斯雜訊（Gaussian noise），雖然雜訊依舊是隨機的，沒辦法預測會生成什麼值，然而將雜訊加以統計，會呈現高斯分布，也就是常態分布。</p> <p>在這邊我想探討的不是random，而是stochastic，兩者中文都翻為隨機，彼此卻有所不同。我是在試圖理解L-system時，首次接觸到stochastic這個形容詞，在先前〈<a href="https://www.ithome.com.tw/voice/137795" target="_blank">碎形與L-system</a>〉就談過Stochastic L-system，在維基百科〈L-system〉條目裡，也有〈Stochastic grammars〉的說明，這是指衍生規則的選擇會有不確定性，然而，不確定性會受到指定的機率影響。</p> <p>方才提及了雜訊，可想而知的是，Perlin雜訊、Worley雜訊、藍雜訊等，也是隨機過程（stochastic process）的產物，至於隨機過程這個詞，基本上，也不是嚴謹定義的名詞，這邊採取的是《The Information: A History, a Theory, a Flood》裡第855頁的談到的：</p> <p>neither deterministic (the next event can be calculated with certainty) nor random (the next event is totally free)</p> <p><span style="font-size:28px;"><strong>隨機過程的結合</strong></span></p> <p>方才談到，在人類發掘出規律之前，對於無法理解的現象，我們通常會將其稱為隨機；然而，隨機過程的下個事件，並沒有完全的自由度，若能掌握、善用其中非自由的部分，其實就能進行相對應現象之模擬，只是在不同領域當中，會有不同的應用。而我特別喜愛在圖像創作或3D建模時，運用隨機過程，讓程式所生成的作品各不相同，卻又擁有特定的風貌。</p> <p>思考隨機過程裡非自由的部分該如何結合，則是另一種挑戰。我在先前〈<a href="https://www.ithome.com.tw/voice/137637" target="_blank">自然噪聲與碎形</a>〉談到的碎形布朗運動，是結合的方式之一，除了將Perlin雜訊不斷地疊加，我們也可以結合不同雜訊進行疊加，例如結合Worley雜訊，這就可以構成〈<a href="https://bit.ly/3Tf3DC3" target="_blank">雜訊結合雜訊</a>〉裡看到的漣漪效果。</p> <p>思考隨機過程裡非自由的部分如何結合，有時會需要靈感及一些經驗，這也是我經常觀摩他人作品的原因，有時甚至是觀察自然現象。就像近來我發布的作品〈<a href="https://bit.ly/3R6JqfR" target="_blank">巨岩迷陣</a>〉，靈感的來源就是看到世界自然遺產之一的巨人堤道（Giant's Causeway），如果你在網路上搜尋，就可以看到堤道的圖片。</p> <p>當我第一眼看到巨人堤道，直覺想到這類似Voronoi圖，而這就是在運用經驗了，當然石柱高低各有高低起伏，我們可以透過Perlin雜訊模擬。就我而言，想模擬巨人堤道建立3D模型並不是難事，但我想讓圖樣更有趣一些，例如，讓那些柱狀節理（Columnar jointing）構成迷宮如何？</p> <p>畫迷宮並不是難事，但迷宮必須能轉換為柱狀節理；不過，在轉換成柱狀節理之前，又必須將迷宮晶格化；若我們要將迷宮晶格化，就想到了先前〈<a href="https://www.ithome.com.tw/voice/152191" target="_blank">淺談圖片取樣</a>〉談過的，將取樣點作為Voronoi分割的依據。等等！這表示我必須將迷宮輸出為圖片，再做圖片取樣嗎？</p> <p>其實，最終需要的是像素資訊，只要能將迷宮轉換為像素就可以了。先前我在〈<a href="https://www.ithome.com.tw/voice/143469" target="_blank">趣拼王氏磚</a>〉裡談過，迷宮裡的每個區塊可以對應至王氏磚，最後只要定義16個像素陣列，將迷宮轉為代表王氏磚的像素陣列，就能得到迷宮圖，後續也就能進行圖片取樣了。</p> <p><span style="font-size:28px;"><strong>迷宮偏差／熵值遮罩</strong></span></p> <p>〈<a href="https://bit.ly/3R6JqfR" target="_blank">巨岩迷陣</a>〉靈感來自巨人堤道，經驗則來自過去對Voronoi等隨機過程的應用。完成繪製之後的滿足感，讓我思考著：迷宮還有沒有其他隨機過程的結合方式？</p> <p>在運用一些關鍵字進行搜尋之後，我發現了Kevin Giovinazzo的〈<a href="https://bit.ly/3wuIXMG" target="_blank">Generating mazes from pictures, or "Masking Entropy"</a>〉，在這之前，我從來沒想過可以這樣運用迷宮偏差（bias）。</p> <p>我在先前〈<a href="https://www.ithome.com.tw/voice/109341" target="_blank">迷宮產生演算法之美妙</a>〉曾經談過二元樹演算，也談過只能往上、往右打通路徑的迷宮演算，其偏差顯而易見，因為不論你怎麼改變生成細胞的順序，最後所生成的迷宮，其根節點一定是在右上角。</p> <p>為了令迷宮看起來更為混沌，通常是要避免偏差，此時如果我們採用〈<a href="https://bit.ly/3ALnz8e" target="_blank">遞迴回溯迷宮</a>〉，就是上下左右四個鄰居的選取通常會透過random之類函式，不偏袒任何一個鄰居。</p> <p>如果選擇鄰居時特意製造偏好呢？例如，一律先選同列鄰居？那麼，所產生的迷宮就會有完全的水平偏差，走道幾乎都是水平連通，就不像迷宮了，Kevin Giovinazzo的文件稱此時熵為零，而文件裡的熵並非精確定義，也不是夏農熵（Shannon entropy）之類的概念，只是代表混亂程度，為了能像個迷宮，讓同列鄰居的選擇機率高就可以了，那麼，多數的走道會是水平連通，能構成不同風格的迷宮。</p> <p>在構造迷宮時，透過遮罩（Mask）來構造不同形狀的迷宮，是常見的方式；從另一角度來看，遮罩也算是給予迷宮偏差的一種方式，因為遮罩裡被標示無法行走的區塊，可視為被選擇為路徑的機會為零；如果套用了遮罩的迷宮，進一步將區塊對應至王氏磚，迷宮也就可以依趙16塊磚的不同而變化，像是〈<a href="https://bit.ly/3Kl5LEi" target="_blank">Maze in 迷宮</a>〉這個作品。</p> <p>從這個角度來看，若遮罩裡被標示的區塊並非無法行走，而是偏好選擇同列鄰居，相對地，未被標示的區塊則是偏好選擇同行鄰居呢？水平與垂直通路會構成明顯的視覺差異，若標示區塊時，使用Perlin雜訊、Worley雜訊，或甚至是特定圖樣（例如文字），那麼，最後構成的迷宮，也會有明顯而相對應的圖樣。</p> <p>因為是基於遮罩，只不過遮罩標示處有不同的選擇偏好，而非可通行或不可通行，Kevin Giovinazzo才會稱為熵值遮罩（Masking Entropy）吧！</p> <p><span style="font-size:28px;"><strong>混沌 vs. 規律</strong></span></p> <p>就可視化而言，透過迷宮展示隨機過程，雖然可以有驚人的視覺效果，但這並不表示，隨機過程只能應用在圖像或3D建模，在其他領域當中，如統計模型或物理模擬，隨機過程也是非常重要的運用。我在先前〈<a href="https://www.ithome.com.tw/voice/139796" target="_blank">程式猴與基因演算法</a>〉談過的基因演算法、適應度，就是混沌裡的規律，一旦找到了正確的方向，猴子打出《莎士比亞全集》就成為可能。</p> <p>只不過思考隨機過程這類問題時，我往往會有個疑惑，或說是特別的感受：究竟我是在混沌中找出規律？還是在規律裡摻雜混沌？或者兩者都有呢？不斷地思考這交錯不明的關係，也正是探究隨機過程的樂趣所在吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9A%A8%E6%A9%9F">隨機</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/10/3 07:00作者林信良https://www.ithome.com.tw/voice/153388
用Rust開發的三大優勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tu_1_rustcheng_shi_she_ji_tu_pian_lai_yuan_qi_feng_zi_xun_-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>讓我們從一個謎題談起。下面的C程式會產生什麼？</p> <pre> int main(int argc, char **argv) { unsigned long a[1]; a[3] = 0x7ffff7b36cebUL; return 0; }</pre><p>今天早上，這段程式在Jim的筆電中印出：</p> <pre> undef: Error: .netrc file is readable by others. undef: Remove pazssword or make file unreadable by others.</pre><p>然後崩潰了。當你在自己的電腦裡執行它時，你可能會看到不一樣的行為。為何如此？</p> <p>這段程式有缺陷。陣列a只有一個元素長，所以根據C語言標準，a是一種未定義行為（undefined behavior）：它是在使用「不可移植的，或錯誤的程式結構」或「錯誤的資料」時發生的行為，國際標準未規定此時該怎麼辦？</p> <p>未定義行為不只會造成不可預測的結果，該標準明確地允許程式做任何事情。這個例子將值存入陣列的第四個元素剛好破壞了函式呼叫堆疊（call stack），因此當main函式return時，程式不會優雅地退出，而是跳到標準C程式庫的程式裡，從用戶的主目錄裡的檔案提取密碼。程式沒有正常地執行。</p> <p>C與C++有上百條避免未定義行為的規則，這些規則大多是常識：不要存取不該存取的記憶體、別讓算術運算子溢位、不要除以零……等，但是編譯器並不強制執行這些規則，它甚至沒有義務檢查公然違規的行為。事實上，上述的程式在編譯時不會出現錯誤或警告，避免未定義行為的責任完全落在你這位程式設計師身上。</p> <p>據經驗，程式設計師不會妥善地記錄它們。研究員Peng Li在猶他大學就學時，曾經修改C與C++編譯器，讓它們編譯出來的程式可以回報自己是否執行了某種未定義行為。他發現，幾乎所有程式都執行了未定義行為，包括高標準且備受尊敬的專案。如果有人認為他可以在C與C++裡避免未定義行為，那就相當於他認為只要了解下棋規則，即可贏得棋局。</p> <p>偶發的奇怪訊息或崩潰也許是一種品質問題，但無意間寫出來的未定義行為向來是安全缺陷的主因之一，這種安全缺陷最早可追溯到1988年出現的莫里斯蠕蟲（Morris Worm），它使用上述技術的變體，透過早期的網際網路從一台電腦感染另一台電腦。</p> <p>所以C與C++讓程式設計師面臨一種尷尬的情境：這些語言是系統程式設計的業界標準，但是它們對程式員的要求，幾乎保證會持續帶來層出不窮的崩潰與資訊安全問題。我們的謎題帶來一個更大的問題：我們真的沒辦法做得更好嗎？</p> <p><span style="font-size:28px;"><strong>Rust為你承擔重任</strong></span></p> <p>我們的答案可以從以下引言裡找到。這個引言是指2010年有一隻電腦蠕蟲入侵工業控制設備，利用未定義行為和許多其他技術來控制受害者的電腦，那個未定義行為出現在一段解析TrueType字體的程式裡面。</p> <p>可以確定的是，那段程式的作者並未想到它會被那樣子使用，這個故事告訴我們，不是只有作業系統和伺服器需要擔心安全問題。</p> <p><span style="color:#3399ff;"><strong>民族國家的攻擊者利用TrueType解析器的缺陷來監視別人，所有軟體都是安全敏感的。——Andy Wingo。</strong></span></p> <p>Rust語言給你一個簡單的承諾：只要編譯器認為你的程式沒有問題，它就沒有未定義行為。懸空指標（dangling pointer）、重複釋出（double-free）、對空指標解參考……等問題都會在編譯期抓到。陣列參考是透過編譯期與執行期檢查來保護的，所以不會出現緩衝區溢位（buffer overrun）：Rust會產生一條錯誤訊息，並安全地退出，而不會像可悲的C程式那樣。</p> <p>此外，Rust的目標是用起來既安全且愉快。為了更有力地保證程式的行為，Rust對你的程式施加了比C和C++更多的限制，你必須透過練習與經驗來習慣這些限制。但是整體來說，這個語言比較靈活，而且更有表現力，Rust程式及其應用領域的廣度可以證明這一點。</p> <p>根據我們的經驗，「相信這個語言能夠抓到更多錯誤」可以鼓勵我們嘗試更有企圖心的專案。如果記憶體管理和指標有效性等問題可以解決，那麼修改大量、複雜程式的風險就會降低。而且，如果bug絕對不會破壞不相關的部分，偵錯將容易許多。</p> <p>當然，Rust無法偵測的bug仍然很多，但在實務上，將未定義行為排除可以大幅改善開發品質。</p> <p><span style="font-size:28px;"><strong>平行程式設計被馴服了</strong></span></p> <p>在C與C++裡面使用並行（concurrency）是出了名的困難。開發者通常只會在無法用單執行緒程式來實現性能目標時，才會轉而使用並行。但是以下引言認為，平行化對現代電腦而言太重要了，不能視為最終手段。</p> <p><span style="color:#3399ff;"><strong>現在的電腦都是平行的……設計平行程式等於設計程式。——Michael McCool等，《Structured Parallel Programming》。</strong></span></p> <p>事實上，在Rust裡面確保記憶體安全的那些限制，也保證了Rust程式不會出現資料爭用。你可以在執行緒之間自由地分享資料，只要它不會改變即可。會改變的資料只能使用同步基元（synchronization primitive）來操作。你可以使用所有的傳統並行工具，包括互斥鎖（mutex）、條件變數等。Rust會檢查你有沒有正確地使用它們。</p> <p>所以Rust是一種充分利用現代多核心電腦能力的優秀語言。除了一般的並行基元之外，Rust生態系統也提供許多其他的程式庫，可協助你將複雜的工作負擔平均分給許多處理器、使用Read-Copy-Update之類的無鎖同步機制等。</p> <p><span style="font-size:28px;"><strong>然而，Rust仍然很快</strong></span></p> <p>最後要討論這條引言。</p> <p><span style="color:#3399ff;"><strong>在某些情況下（例如，Rust所針對的情況），比競爭對手快10倍甚至2倍是決定性因素，它決定了一個系統在市場上的命運，和硬體市場一樣。——Graydon Hoare。</strong></span></p> <p>Rust的目標與Bjarne Stroustrup在其論文「Abstraction and the C++ Machine Model」中敘述的C++目標一致：一般來說，C++的實作應遵守零額外開銷（zero-overhead）原則：用不到的東西不需要為它付出代價，甚至更進一步，用最好的程式來編寫你使用的東西。</p> <p>系統程式設計的目標通常是將機器的性能推到極限，對遊戲而言，是讓整台機器全力為玩家創造最棒的體驗。對網頁瀏覽器而言，瀏覽器的效率就是網頁內容的作者可發揮的上限。在機器固有的限制之內，你必須盡量把記憶體與處理器的工作重點放在內容本身。同樣的原則也適用於作業系統：kernel必須把機器的資源留給用戶的程式使用，而不是自己耗用它們。</p> <p>但Rust「很快」是什麼意思？任何通用的語言都可能寫出緩慢的程式。比較準確的說法是，如果你準備投入資源，設計出充分利用底層機器的程式，Rust會支持你的付出。Rust具備高效的預設機制，可讓你控制記憶體的使用情況，以及處理器應專心處理哪裡。<strong>（摘錄整理自本書第一章，碁峰資訊提供）</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%E5%9C%961_Rust%E7%A8%8B%E5%BC%8F%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 235px;" /></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Rust程式設計第二版（Programming Rust, 2nd Edition）</strong></p> <p>Jim Blandy, Jason Orendorff, Leonora F. S. Tindall／著；賴屹民／譯</p> <p>碁峰資訊出版</p> <p>定價：1,200元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/200-%E5%9C%962_Rust%E7%A8%8B%E5%BC%8F%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Jim%20Blandy.png" style="width: 200px;" /></p> <p><strong>Jim Blandy</strong></p> <p>Jim Blandy從1981年開始寫程式，並自1990年開始編寫自由軟體。他曾經製作GNU Emacs、GNU Guile與GNU Debugger，目前負責研發Mozilla的Firefox。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Jim Blandy</span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/200-%E5%9C%963_Rust%E7%A8%8B%E5%BC%8F%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Jason%20Orendorff.jpg" style="width: 200px;" /></span></span></p> <p><strong>Jason Orendorff</strong></p> <p>Jason Orendorff目前參與GitHub的未公開的專案。他曾經參與Mozilla的SpiderMonkey JavaScript引擎專案。他的興趣包括語法、烘焙、時間旅行，以及協助人們了解複雜的主題。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Jason Orendorff</span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/200-%E5%9C%964_Rust%E7%A8%8B%E5%BC%8F%E8%A8%AD%E8%A8%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Leonora%20Tindall.jpg" style="width: 200px;" /></span></span></p> <p><strong>Leonora Tindall</strong></p> <p>Leonora Tindall是型態系統愛好者和軟體工程師，她使用Rust、Elixir與其他高階語言，來為醫療保健和資料所有權等高影響力領域建構可靠、強韌的系統軟體。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Leonora Tindall</span></span></p> </div></div></div>
2022/10/1 00:14未署名https://www.ithome.com.tw/article/153389
AWS桌面虛擬化服務Amazon WorkSpaces開始支援Ubuntu
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-workspaces-introduces-ubuntu-desktops/">AWS更新其桌面虛擬化服務Amazon WorkSpaces</a>，現在用戶不只可以使用微軟Windows和Amazon Linux，現在還可以選擇Ubuntu。官方提到，Ubuntu桌面用戶群鎖定開發人員、工程師和資料科學家，虛擬桌面用戶也將有更多桌面選擇，並且擴展可運作的工作負載類型。</p> <p>AWS引用HackerEarth 2020開發者調查的數字，Ubuntu是目前最受專業開發人員廣泛使用的作業系統，官方提到，許多開發人員和DevOps工程師在Ubuntu電腦，都有一套經過良好測試的腳本、工具和函式庫，而在Amazon WorkSpaces上提供Ubuntu桌面，可以讓用戶使用熟悉且相容的環境，存取資料科學、機器學習和物聯網等開源工具。</p> <p>目前Amazon WorkSpaces提供的Ubuntu版本為22.04 LTS（Jammy Jellyfish），Canonical針對雲端開發使用，最佳化基礎映像檔，並且預先安裝了AWS CLI和SDK。用戶可以選擇Value、Standard、Performance、Power或Power Pro套裝，規格從1個vCPU和2 GB記憶體，增加至最高8個vCPU與32 GB記憶體。</p> <p>Ubuntu Workspaces預計還會提供兩個新功能，包括現在用戶可以使用Windows或是網頁的Workspaces客戶端進行連接，而Linux和macOS客戶端的支援則會在之後發布，另外，GPU執行個體Graphics.g4dn和GraphicsPro.g4dn套裝會在數周後上線。</p> <p>所有Ubuntu WorkSpaces都可獲得Ubuntu Pro的服務，包括10年延長的安全修補，目前所有提供Workspaces服務的AWS地區，除了中國寧夏之外，都已經可以用到Ubuntu Workspaces。將Workspaces作為主要桌面的用戶可以選擇按月計費，偶爾使用則可選按小時計費，Ubuntu Workspace起價每個桌面每月23美元，或是每小時0.19美元。</p> </div></div></div>
2022/9/30 21:26作者李建興https://www.ithome.com.tw/news/153380
駭客攻陷微軟Exchange伺服器的RCE零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gteltsc.vn/blog/warning-new-attack-campaign-utilized-a-new-0day-rce-vulnerability-on-microsoft-exchange-server-12715.html" target="_blank">越南資安業者GTSC本周指出</a>，該公司在微軟的Exchange伺服器上發現了一個已遭開採的零時差遠端程式攻擊漏洞，迄今已確定至少已有一家以上的組織受害，並擔心有其它受害組織並不知道自己已被駭客入侵。</p> <p>GTSC提供的是安全監控中心（Security Operations Center，SOC）即服務（SOC as a Service），其SOC團隊在今年8月初發現Exchange伺服器遭到攻擊，調查之後才發現駭客所利用的是一個尚未被公開的零時差漏洞。收到通報的趨勢科技Zero Day Initiative（ZDI）團隊已驗證過該漏洞，並認為它涉及兩個安全漏洞。</p> <p><a href="https://www.zerodayinitiative.com/advisories/upcoming/" target="_blank">ZDI賦予</a>這兩個漏洞的暫時性編號為ZDI-CAN-18333與ZDI-CAN-18802，CVSS風險等級分別是8.8與6.3。</p> <p class="rtecenter"><img alt="" src="https://static.gteltsc.vn/zoom/892/uploaded/admin/2022_09_30/klirlp_gteltsc_vn.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://static.gteltsc.vn/zoom/892/uploaded/admin/2022_09_30/vyohik_gteltsc_vn.png" style="width: 600px;" /></p> <p>根據GTSC的分析，駭客的攻擊手法類似針對ProxyShell漏洞的攻擊，且該公司團隊已成功複製如何利用該漏洞存取Exchange後端元件，進而執行遠端程式攻擊。</p> <p>此外，駭客不僅於受害系統上建立了據點，也透過不同的技術打造了後門，並於受害系統上橫向移動至其它伺服器。GTSC也偵測到駭客使用了於中國熱門的Web Shell跨平臺開源管理工具Antsword，來管理於受害Exchange伺服器上所植入的Web Shell。</p> <p>為了避免其它組織在微軟尚未修補該漏洞前遭到攻擊，GTSC提出了暫時性補救措施，建議組織可於IIS伺服器上的URL Rewrite Rule模組上新增規則，以封鎖帶有攻擊指標的請求。</p> </div></div></div>
2022/9/30 21:43作者陳曉莉https://www.ithome.com.tw/news/153387
GitHub讓用戶可將個人資料設為私密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/changelog/2022-09-29-private-profiles-are-now-generally-available/">GitHub</a>向用戶發布3項小更新，分別是私密個人資料、企業成員CSV報告下載，以及漏洞偵測Dependabot警示調整。</p> <p>現在用戶可以將GitHub上的個人資料設為私密，讓用戶擁有更多控制共享個人資料的能力。當用戶將個人資料設為私密，則成就亮點、活動概要、貢獻圖、追蹤人數、組織成員和贊助按鈕等內容將從個人資料頁面隱藏。</p> <p>GitHub讓Enterprise Cloud企業擁有者可以下載企業成員CSV報告，目前這個功能以測試版公開。新的CSV報告功能提供與Enterprise Cloud環境相關的成員列表，包括從GitHub Enterprise伺服器執行個體同步的成員。</p> <p>另外，GitHub也根據用戶的回饋，對Dependabot進行了一些調整，Dependabot警示詳細頁面現在會在嘗試拉取請求生成結束後自動刷新，而且警示也會更精確地對應Dependabot拉取請求，更新後Dependabot警示頁面的標籤，行為會與過濾器相同。</p> </div></div></div>
2022/9/30 22:00作者李建興https://www.ithome.com.tw/news/153382