iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Meta Pixel肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國擁有26家醫院的非營利醫療照護系統<a href="https://www.advocateaurorahealth.org/pixel-notification/" target="_blank">Advocate Aurora Health在本周坦承</a>，該系統因為使用了Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知300萬名所有病患。</p> <p>Advocate Aurora Health說明，該系統會在特定網站或應用中嵌入Meta Pixel或來自Google的追蹤程式，以記錄網站與使用者的互動，藉以評估病患的偏好與趨勢，並用來改善服務。</p> <p>然而，Advocate Aurora Health卻發現安裝在MyChart、LiveWell及其它預約工具中的追蹤程式，會將特定的病患資訊回傳給這些追蹤程式的製造商。</p> <p>所回傳的資料多寡或型態則根據使用者的瀏覽器品牌、瀏覽器配置、有否具備Facebook與Google帳號、是否登入而有所不同，可能牽涉到使用者的IP位址、使用時間、預約位置、與他人透過MyChart的通訊、名字、醫療編號或有否保險等。但可能外洩的資料並未包含社會安全碼或金融資訊。</p> <p>事實上，這應該只是Meta Pixel所引起的外洩風波之一。非營利的媒體組織<a href="https://www.ithome.com.tw/news/151490" target="_blank">《The Markup》</a>曾於今年6月踢爆，美國前一百大醫院中，有33家醫院的網站安裝了Meta Pixel，而且會把使用者的資訊回傳給Meta。</p> <p>上周，美國另一醫療照護系統<a href="https://www.wakemed.org/about-us/news-and-media/wakemed-news-releases/wakemed-notifies-patients-of-potential-data-privacy-incident" target="_blank">WakeMed Health and Hospitals</a>也點名Meta Pixel使得它們外洩了病患資料。</p> <p>從Advocate Aurora Health的說法來看，涉及外洩資料的並不只是Meta Pixel，也包括其它品牌的追蹤程式，但至少並未發現有任何病患資料因此而遭到濫用。此外，遭到波及的醫療系統或醫院皆已自系統上移除這些追蹤程式。</p> </div></div></div>
2022/10/21 16:34作者陳曉莉https://www.ithome.com.tw/news/153763
微軟開放高階著色器語言HLSL計畫程序，期望社群貢獻語言功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/opening-hlsl-planning/">微軟宣布</a>要透過引進新的公共語言功能計畫程序，來擴展高階著色器語言HLSL社群，新程序託管在GitHub上，希望借助社群的力量發展新的語言功能。這是開發團隊參考Rust和Swift開放語言設計流程，而做出的決定。</p> <p>在2017年初，DirectX著色器編譯器（DirectX Shader Compiler，DXC）在GitHub上開源，而DXC是以Clang的LLVM 3.7作為基礎，其支援強大的開發和語言工具，使HLSL能夠包含許多重要的功能，包括C++模板和運算子重載。</p> <p>在今年的時候，HLSL編譯器團隊宣布替Clang提供HLSL支援，這項決定將推進開源軟體開發，並且強化HLSL工具和語言的發展，而現在微軟又進一步開放HLSL計畫程序，期望透過社群的力量來改進HLSL，相當於釋出一小部分HLSL發展的決策權。</p> <p>但是微軟在這部分有一些但書，官方強調，並非所有HLSL功能都可以經過這個程序決定，添加到HLSL的部分功能，由微軟內部團隊根據與硬體供應商協調的保密協議進行，這些功能就不會公開在GitHub上。</p> <p>另外，微軟在這個程序引入了一個目標聲明，使社群能專注於語言發展，這項目標聲明可能因每個版本改變，以符合產業不斷變化的需求。開發者有兩種方式可以參與貢獻，其一是針對儲存庫提交GitHub問題，而對於想要在設計語言功能扮演更積極角色的開發者，可以使用模板編寫提案並提交拉取請求。</p> <p>新程序的提案會提交到新的HLSL-Specs儲存庫，新合併的提案會從「值得考慮」狀態開始，微軟提到，這些提案必須對用戶有用，且和即將推出的HLSL版本目標一致。值得考慮的提案經批准後會合併到儲存庫中，進行更廣泛的協作，當功能描述完成後，提案還會廣泛徵求貢獻者和微軟合作夥伴的回饋。</p> <p>被接受的提案不一定會在特定的版本發布，微軟會視情況推延並且重新評估，當功能與HLSL語言發展目標不一致，且未來不太可能改變時，微軟便會拒絕提案，並且針對提案提供詳細的拒絕說明，以便相同提案在未來重新被提出，有更多資料可供參考。</p> </div></div></div>
2022/10/21 16:37作者李建興https://www.ithome.com.tw/news/153761
Cloud CDN供用戶自定義快取鍵以增進CDN效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/cloud-cdn-launches-dynamic-compression-and-custom-cache-keys">Google更新Cloud CDN工具與功能</a>，使用戶能進一步微調網頁服務效能。Cloud CDN現在開始預覽動態壓縮功能，CDN服務將會自動減少從邊緣傳輸到客戶端的回應大小，即便來源伺服器沒有壓縮，Cloud CDN也會主動壓縮這些資源，官方提到，在流行的CSS和Javascript檔案上，動態壓縮可以將回應大小縮小60％到80％。</p> <p>無論是對網頁服務或是終端用戶，都可以從動態壓縮功能獲益，透過縮減CSS和Javascript資源內容大小，可以減少第一次內容繪製和頁面載入時間，而且當網頁具有大量可壓縮的內容，透過動態壓縮功能，還可節省快取流量出口成本。</p> <p>Cloud CDN目前可以對HTML、CSS、Javascript、JSON、HLS播放列表，以及DASH清單等網頁資源，執行gzip和Brotli壓縮。</p> <p>Cloud CDN還讓用戶可以自定義快取鍵，以提高CDN效能。Google解釋，當請求到達CDN邊緣時，請求會映射至快取鍵，並且與快取中的項目進行比較，在預設情況下，CDN使用URI的協定、主機、路徑和查詢字串來定義快取鍵。</p> <p>而自定義快取鍵新功能可以讓用戶更好地控制快取行為，以提高快取命中率和來源分流，Cloud CDN支援命名標頭和Cookie作為快取鍵，官方提到，當用戶的網頁服務實作A/B或金絲雀測試，命名Cookie將可派上用場。</p> <p>另外Cloud CDN針對Cloud Storage的URI參數允許清單，讓用戶可以實現快取破壞（Cache Busting），官方解釋，這是一種快取政策，即便舊版本快取仍處於活躍狀態，終端用戶也能夠存取到快取資源中最新的版本，透過將版本查詢參數加入到允許列表中，用戶就不需要明確配置使舊快取失效。</p> </div></div></div>
2022/10/21 16:40作者李建興https://www.ithome.com.tw/news/153762
微軟Azure測試中小企業DDoS防護服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/enterprisegrade-ddos-protection-for-smbs-now-available-in-preview/" target="_blank">微軟本周宣布將測試</a>為中小企業設計的雲端DDoS攻擊防護方案Azure DDoS IP保護（DDoS IP Protection）。</p> <p>微軟指出，不只是大型企業會遭到DDoS攻擊，中小企業也是網路歹徒的目標，然而不同於大型企業，中小企業往往欠缺對抗DDoS攻擊的預算及人員。</p> <p>微軟在上周Ignite大會上首度宣布將原本適用於大型企業的Azure DDoS IP保護，另設計出適合中小企業的SKU。未來針對大型企業的DDoS防護方案，將由Azure DDoS Protection Standard改名為Azure DDoS網路保護（Azure DDoS Network Protection），Azure DDoS IP保護則專指中小企業用的版本。</p> <p>現在這項方案以預覽版上線。微軟宣稱中小企業版DDoS IP保護以可負擔的價位提供企業DDoS防護。</p> <p>Azure DDoS IP保護SMB版提供和大型企業版同樣的核心功能，包括L3/L4層自動攻擊偵測和緩解、幾近即時的記錄量測及警示、緩解流程紀錄、可為企業應用適應性調校（adaptive tuning）的緩解規則。它還可和微軟其他安全服務，如Azure Firewall Manager、統一管理介面Sentinel及Defender for Cloud緊密整合。</p> <p class="rtecenter"><a href="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" target="_blank"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟說，Azure DDoS IP保護可為個別公開IP位址提供DDoS防護，因此對只有幾個公開IP位址的中小企業來說相當適用。之前大型企業版僅提供100個公用IP資源為單位的定價，每100個IP每月2,944臺幣，超出者每月每個IP 29.5臺幣。</p> <p>這項方案目前僅在美、歐、南非、中東及澳、日、韓上線。<a href="https://azure.microsoft.com/pricing/details/ddos-protection" target="_blank">價格方面</a>，DDoS IP保護以要保護的公用IP位址計價。臺灣地區的單一公用IP授權價要到11月1日才會公布。</p> <p>微軟現在開放企業試用，預計2023年2月1日才開始收費。目前僅透<a href="http://preview.portal.azure.com" target="_blank">過Azure預覽入口網站</a>登入試用，很快會開放從Azure Portal登入。</p> </div></div></div>
2022/10/21 14:35作者林妍溱https://www.ithome.com.tw/news/153758
Windows Subsystem for Android將支援Android 13
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/10/20/update-to-windows-subsystem-for-android-on-windows-11-october-2022/" target="_blank">微軟本周針對Dev與Beta頻道更新</a>了Windows 11上的 Windows Subsystem for Android（WSA），並悄悄地<a href="https://github.com/microsoft/WSA" target="_blank">於GitHub上公布WSA的未來發展藍圖</a>，透露出它將支援Android 13，也會有傳檔、捷徑、子母畫面，以及預設的本地網路存取功能。</p> <p class="rtecenter"><a href="http://github.com/microsoft/WSA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1021-Windows%20Subsystem%20for%20Android%20Developers-Future%20Roadmap%20on%20GitHub.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>WSA將允許使用者於Windows裝置上執行Android程式，現在主要與Amazon合作，<a href="https://apps.microsoft.com/store/detail/windows-subsystem-for-android%E2%84%A2-with-amazon-appstore/9P3395VX91NR?hl=en-us&gl=us" target="_blank">Windows 11用戶可透過Microsoft Store</a>安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA。微軟已於全球31個國家支援Amazon Appstore的下載及安裝，提供逾2萬種的Android程式。</p> <p>現在的WSA所支援的Android版本為Android 12.1（Android 12L），本周的更新改善了剪貼簿的穩定性、圖像串流的安全性、多執行緒效能，以及升級至Chromium WebView 105與執行Linux核心的安全更新等。</p> <p>而在未來的WSA藍圖中，除了將支援Android 13之外，新增的傳檔功能可望讓使用者於Android容器與Windows之間互傳檔案。</p> <p>迄今微軟並未透露究竟有多少Windows用戶下載並安裝了Amazon Appstore與WSA。</p> </div></div></div>
2022/10/21 14:50作者陳曉莉https://www.ithome.com.tw/news/153759
Google擅自蒐集人臉及語音辨識資料，遭德州控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.texasattorneygeneral.gov/sites/default/files/images/press/The%20State%20Of%20Texas's%20Petition%20(Google%20Biometrics).pdf" target="_blank">德州檢察長Ken Paxton本周控告Google侵犯當地的隱私法令</a>，在未取得德州民眾的同意下，就透過 Google Photos、Google Assistant與Nest Hub Max等服務或裝置，蒐集數百萬民眾的人臉及語音辨識資料。</p> <p>Paxton於訴狀中指出，至少自2015年起，Google便擅自蒐集德州民眾的資料，許多德州民眾並沒有意識到提供自己的獨特個人特徵，會對Google的營收帶來貢獻，不僅如此，這些個人生物特徵的擴散亦具危險性，因為它們是獨特的，倘若遭竊並不能簡單地刪除或替換。</p> <p>至於Paxton認為Google違反當地隱私法令的具體行為之一，<a href="https://support.google.com/photos/answer/11965565?hl=en" target="_blank">為Google Photos中所提供的人臉分組（Face Grouping）功能</a>，系統會偵測相簿中的人臉，之後建立人臉模型，再把同樣或類似的人臉聚集在一起，亦即可根據人臉特徵進行自動化分類。</p> <p>另一個例子則是已被應用在汽車、手機、平板電腦或智慧家庭裝置的語音助理Google Assistant。Paxton指出，當使用者啟用Google Assistant時，Google會紀錄所聽到的聲音，並加以分析，以建立用戶的聲音檔案，也會用來優化Google Assistant的反應，且Google透過聲音就能識別說話的對象。</p> <p>或許Google會在提供聲音辨識服務之前詢問使用者，但訴狀指出，Google所紀錄的不只是Google Assistant用戶的聲音，舉凡是偶然經過或出現聲音的朋友、孩子、客人或父母的聲音都會被紀錄。</p> <p>德州認為Google為了自己的商業利益而濫用當地使用者的個人資訊，是故意違反該州的《取得或使用生物識別法令》（Capture or Use of Biometric Identifier Act）。</p> </div></div></div>
2022/10/21 12:10作者陳曉莉https://www.ithome.com.tw/news/153756
資助烏克蘭太燒錢？SpaceX開設捐贈Starlink選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克旗下SpaceX將開設捐贈方案，計畫以此推動公益用途的Starlink服務部署。</p> <p>上周提供非洲轉帳服務App的Chipper.com在推特宣傳，近日捐款幫助烏干達學校或醫院架設Starlink，引發馬斯克（Elon Musk）回應問道，有沒有其他人願意捐贈，以便將Starlink部署於有需要的地方。<a href="https://twitter.com/elonmusk/status/1581903277347999744" target="_blank">他隨後推文宣布</a>，SpaceX決定為Starlink增加捐贈選項。</p> <p>不確定這項宣布是否和資助烏克蘭衛星連網服務有關。今年3月俄烏戰事爆發之際，<a href="https://www.ithome.com.tw/news/149581" target="_blank">SpaceX宣布</a>免費提供Starlink作為受戰事影響地區人員的對外通訊管道。但上周<a href="https://edition.cnn.com/2022/10/13/politics/elon-musk-spacex-starlink-ukraine/index.html" target="_blank">CNN報導</a>，SpaceX政府業務主管9月間致函美國國防部，希望對方能提供每月數千萬的財務支持，否則SpaceX對烏克蘭的免費Starlink僅提供到今年底，理由是該公司從今年3月到年底已投入1.2億美元，未來12個月更將達到4億美元。</p> <p><a href="https://twitter.com/elonmusk/status/1578433482757271552" target="_blank">馬斯克對此也說明</a>，為了提供烏克蘭免費服務，SpaceX迄今已投入8千萬美元，年底可能超過1億美元。不過消息見報後，<a href="https://twitter.com/elonmusk/status/1581345747777179651" target="_blank">馬斯克上周又改口說</a>雖然SpaceX仍然處於虧損狀態，但該公司還是會繼續提供服務。</p> <p>在公布Starlink捐贈選項同時，馬斯克仍然表明烏克蘭地區的開銷很大，<a href="https://twitter.com/elonmusk/status/1582098412501364736" target="_blank">他說</a>，目前送往烏克蘭的地面基地臺已經達25,300個，但其中僅10,630個是有付費的。</p> <p>另一方面，媒體報導，<a href="https://www.theguardian.com/world/2022/oct/17/pentagon-starlink-ukraine-musk-funding" target="_blank">美國國防部</a>已經考慮要撥款。<a href="https://www.ft.com/content/73a4b1b8-b266-40f2-af66-ea9f69a40a7e" target="_blank">此外《金融時報》報導</a>，歐盟也考慮出資。<a href="https://twitter.com/elonmusk/status/1582097354576265217" target="_blank">但根據馬斯克的說法</a>，SpaceX已經撤回對國防部的資金申請。</p> </div></div></div>
2022/10/21 12:26作者林妍溱https://www.ithome.com.tw/news/153757
搶進聽覺輔助器市場的破壞者們
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-ce_lue_zhuan_zhe_dian_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若干年前，葛洛夫（Andy Grove）在他的經典之作《10倍速時代》中，介紹策略轉折點（strategic inflection point）的概念，指出「策略轉折點是指一個企業的基本構成要素即將發生變化的時候。」許多人的確是以這樣的方式體驗到轉折點──就在此刻一切出現不可逆的變化。</p> <p>然而，探究策略轉折點真正的本質後，就會看見不同的故事。情況類似於海明威的《太陽依舊升起》（The Sun AlsoRises）中，小說人物邁克回答自己是如何破產的。「先是漸漸的，」邁克描述，「接著突然發生。」轉折點指的是商業環境發生變化，大幅改變你的活動中的某個元素，造成原本理所當然的假設，開始搖搖欲墜。</p> <p>想像一下，有一個部門僅服務五分之一的潛在顧客。現在再想像，有一個重大改變將造成競爭者不必冒多少險，就能以利潤極高的方式，滿足剩下的需求。想像一下，那個部門的年營收大約是80億美元，而過了轉折點後，營收將是5倍。換句話說，轉折點發威時，競爭者要是夠聰明、富有遠見，身處正確的位置，就能搶占400億左右的營收。</p> <p><span style="font-size:28px;"><strong>聽力障礙的潛在市場</strong></span></p> <p>剛才描述的是真實存在的部門，也就是製造、開醫囑與驗配助聽器的事業。如果以協助有需要的民眾取得助聽器的標準來看，這個部門表現得相當不理想。研究人員指出，55歲至74歲能受益於助聽器的成人，80%沒有助聽器。就算有，許多人根本不戴。</p> <p>這一塊的健康照護市場生態有多不便。首先，助聽器價格不菲。然而，錢不是唯一的問題。美國的傳統助聽器事業由「食品藥物管理局」（FDA）管理，而現任者又牢牢把控著技術。聽力師、遊說聯盟，以及屈指可數的幾家製造助聽器的公司，嚴重限制了聽力患者擁有的選項。現有的助聽器公司堅稱，對所有的患者來講，「黃金標準」才是最好的。如同某位觀察家所言，意思就是說你一定得過五關斬六將，接受一連串的診斷評估後，才能購買助聽器，包括耳鏡與骨導測試、噪音辨識語音測試、真耳測試／語音地圖（real-ear measurement/speech mapping）、聽力復健，以及實地選配助聽器。許多人就算有辦法走完這套流程，他們也感到有夠麻煩。</p> <p>最後還有社會汙名的問題。民眾不喜歡戴助聽器的原因是擔心「顯老」。儘管證據強烈顯示他們需要聽力協助，要承認這種事很難。傳統型的助聽器通常外型醜陋突兀，有的甚至很吵，反正跟酷沾不上邊就對了。</p> <p>戴不戴助聽器不是小事。約翰霍普金斯醫院（JohnsHopkins）的佛朗克•林（Frank Lin）所做的研究發現，聽力喪失涉及發展中的失智症、社交隔離的風險上升，甚至與跌倒風險增加有關。未矯正的聽力喪失會讓最終的治療更難成功。此外，試圖聽清別人在說什麼，還會增加大腦的認知負荷，這顯然是牽一髮而動全身的社會與健康問題。</p> <p><span style="font-size:28px;"><strong>蓄勢待發的轉折點</strong></span></p> <p>助聽器事業的商業模式問題重重，然而自FDA在1977年將助聽器列為醫療器材後，那個模式就幾乎不曾變過。助聽器先前通常被視為消費品，而部分品味不佳又誤導民眾的廣告和名人推薦，又強化了助聽器的市場定位。同一時間，通常將耳內式助聽器（需要放進個人的耳朵）交給聽力師銷售的做法，開始成為常態。由於市面上出現誤導人的宣稱，再加上一些不太理想的做法，利益團體開始提出警訊，促使FDA將助聽器列為醫療器材，必須遵守高度嚴格的製造與驗配規範。</p> <p>高度受到管制（與高利潤）的助聽器事業目前的轉折點，源自2003年的兩份FDA公民請願書。FDA的公民請願書，本意是為了方便個人與社群組織請求改變健康照護政策的流程。請願書本身並未立刻影響到助聽器的管理方式，但象徵著民意發生變化，推動相關器材走向「老花眼鏡」目前的做法，也就是隸屬於非處方藥項目，不需要處方箋便能販售的矯正鏡片。</p> <p>不過，市場既存者不會坐以待斃。美國聽力學會（American Academy of Audiology）等團體建議，凡是能放大聲音的裝置都該納入FDA規範。按照字面的意思，那麼就連耳塞式耳機與頭戴式耳機，所有的東西都得納入管制。</p> <p>儘管有著學會這方的勢力，消費者承受的成本與態度強硬的既存者，引發立志改革體系的特殊結盟。學會煞費苦心保留的監管架構，在2017年首度開始動搖。在典型的克里斯汀生風格的破壞中，新型技術證實已經「夠好」，正在觸及能受惠於聽力改善的客層。這就是克里斯汀生經常談的「與不使用競爭」（competing with non-use）。</p> <p><span style="font-size:28px;"><strong>破壞者搶進聽覺輔助產品版圖</strong></span></p> <p>雖然不是在販售助聽器──天啊，絕無此事──市場上不乏廠商提供業界所謂的「個人聲音放大器」（personalsound amplification product，PSAP）。這類產品不受FDA管制，只要想買就能買。更讓傳統的助聽器廠商擔憂的是，許多PSAP聽力輔助應用，效果其實不差，甚至更勝一籌。</p> <p>舉例來說，經典的擴音器與抗噪耳機製造商Bose，目前製造一款叫「Hearphone」的產品，售價在500美元左右。雖然這項產品的廣告，聽起來非常像是瞄準聽力受損的民眾（「我們希望協助您聽清對話中的每一個字」），Bose一度強調那些裝置「絕不是助聽器」，以避開FDA的監管。然而，Bose在2018年取得製造無需處方的自驗配助聽器許可，其他龍頭廠商也紛紛湧進市場，包括三星的Gear IconX耳機與蘋果的AirPods等等。那樣的無線耳機能讓你聽音樂、替運動計時，還恰巧可以連至手機或其他裝置上的聽覺功能app。此外，數十家新公司也帶著協助工具，進入輔助產品市場，例如：Fennex、Petralex與Here One。在新創公司方面，Eargo這項產品的靈感來自飛蠅釣，打造出真正的助聽器，你可以自行挑選，網路上即可購買，價格與人們較為熟悉的電子產品差不多。</p> <p><span style="font-size:28px;"><strong>從80億到400億美元的市場</strong></span></p> <p>不過講真的，為了一個向來乏人問津的市場，需要那麼激動，花費那麼大的力氣嗎？</p> <p>嗯⋯⋯專家預測，即便是在目前必須接受監管的制度下，聽覺輔助產品事業在2019年可達80億美元。有的人說到了2023年會超過90億，而這正是策略轉折點值得留意的地方。從前很麻煩又昂貴的物品，如果變得方便又便宜，結果通常是需求暴增。從統計數字推論一下便可得知，聽力需要協助的人士，今日僅五分之一擁有助聽器，那麼等過了轉折點，人人皆可取得能自行調整、外觀又低調的聽覺輔助產品後，市場一下子可能是5倍大，或達400億。</p> <p>此外，如同智慧型手機改變民眾的手機使用方式，聽覺輔助產品的用例可能產生相當巨大的改變。</p> <p>正如今日每個人可能不只擁有一副眼鏡，民眾有可能不只購買一副助聽耳機。或許星期五晚上出門用餐戴的助聽耳機，外型與功能不同於星期日下午參加運動比賽的助聽耳機，甚至在家看電視也戴不一樣的。某樣東西一旦價格夠便宜，將有無限的可能性。<strong><span style="color:#696969;">（本文摘錄整理自《策略轉折點競爭優勢》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 299px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span> </span></strong><span style="color: rgb(51, 153, 255);"><strong>策略轉折點競爭優勢</strong></span></p> <p>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）／著</p> <p>許恬寧／譯</p> <p>天下雜誌出版</p> <p>定價：450元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.jpg" style="width: 200px;" /></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）</strong></p> <p>麥奎斯是全球知名強調企業進取創業精神的策略、創新與成長專家。她長期任教於哥倫比亞大學商學院，持續名列Thinkers50前十大管理思想家，同時是耶魯執行長高峰會（Yale CEO Summit）、Innosight執行長高峰會（Innosight CEO Summit）、達沃斯世界經濟論壇（World Economic Forum）等企業活動爭相聘請的講者。</p> </div></div></div>
2022/10/21 12:50未署名https://www.ithome.com.tw/article/153751
提升隱形防護力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資安防護的作法，過去我們多次談到能見度（Visibility）的重要性，強調知己知彼的意義，不僅要掌握外部威脅態勢，也要有自知之明，須了解與管理自身的弱點與攻擊面（Attack Surface），這是「明（Visible）」的策略，但其實我們也能應用「暗（Invisible）」的策略，這裡所指的並不是主動攻擊駭客與惡意軟體組織、以攻為守，而是善用「內隱」的作法推動資安。</p> <p>這樣的觀念相當有意思，我們是最近從Google Cloud聽到的。在他們年度用戶大會Next臺灣媒體聚會上，臺灣技術副總林書平介紹今年新推出的資安解決方案之際，特別提到他們的隱形安全防護（Invisible Security）原則，包含技術、營運、人才、風險等四大面向，蘊含該公司對於資安的理念與展望，並以此突顯與其他業者的差異。</p> <p>在技術層面上，他們強調資安應該要從附加（Bolt-on）轉為預設啟用，讓資安能夠嵌入、深入產品與服務當中，實現工程等級的改良，這部分可呼應許多資安界領袖所提倡的「始於安全設計（Security by Design）」；在營運方面上，資安應該要從手動轉為自動，將原本分散各處、片段化進行個別人工的處理，提升為自動化作業，甚至能夠實現自治（Autonomic）；在人才方面，資安應該從專門走向普及，降低進入門檻與使用困難性，讓更多人都能參與、投入；在風險方面，資安應該從責任的共享走向風險的共享，的確，在資安的領域，大家不應該只是在找出誰該為何事負責，而是充分體認彼此是命運共同體，強化合作。</p> <p>面對前三個層面，整個資安界都有共識，堪稱是主流價值，至於風險的共享，其實也不難想像，但這無疑是超越了現行雲端服務業者長期對客戶傳達的資安觀念。事實上，雲端廠商過往總是強調雙方須共同承擔雲端安全的「責任」，這種說詞相當刺耳，然而，若是以共同承擔「風險」來溝通彼此須緊密合作的必要性，相信會贏得更多客戶的支持。</p> <p>關於這樣的資安願景，Google Cloud最早應該是在去年7月舉辦的資安高峰會提出，在這一年多來，他們也陸續併購了Siemplify、Mandiant等知名的資安公司，推出多種解決方案，例如，網路入侵偵測系統Cloud IDS、資安維運服務Chronicle、開源軟體資安服務Assured Open Source Software、機密協同運作服務Confidential Space、軟體供應鏈安全服務Software Delivery Shield，同時，也持續更新零信任資安服務BeyondCorp Enterprise，以及防自動化詐欺服務reCAPTCHA Enterprise。</p> <p>關於隱形防護的思考，我們除了可借鏡Google Cloud提出的這個觀念，透過改變功能設計、操作方式、人力資源，以及合作模式，過往在網路安全防護的應用上，我們也看到廠商陸續實作出一些技術，也能呼應所謂的隱形防護。</p> <p>舉例來說，在企業級端點防護系統的市場，隨著網路威脅的日益猖獗，許多防毒軟體廠商開始將個人防火牆、主機型入侵防禦系統（HIPS），內建在他們的產品當中，有些會提供所謂的匿蹤模式（Stealth Mode），避免被惡意軟體發動的網路掃描找到，而使得個人電腦的IP位址與開放的通訊埠曝光。</p> <p>另外，為了以系統化的方法來因應猖獗多年的進階持續性攻擊（APT），在資安領域當中，除了大家所熟知的沙箱檢測防護（Sandboxing）之外，也陸續出現蜜罐（Honeypot），以及欺敵（Deception）等誘捕系統，透過設下誘餌，及早捕捉駭客活動的蹤跡，廣義而言，這些也可說是一種隱形防護的策略。</p> <p>綜合這些看法，企業思考資安防護對策時，無論是儲備外顯的防禦與應變機制，或是累積各種內隱的深層強化與厚植實力，這些都是必須一起考量的，才能充分因應各種挑戰。雖然攻擊來臨時，總是處於敵暗我明的狀態，讓人擔憂自己處於相對失利的位置，不過，若策略運用得宜，我們仍可讓攻擊方白費工夫，徒勞無功，進而知難而退。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E8%83%BD%E8%A6%8B%E5%BA%A6">資安能見度</a></div><div class="field-item even"><a href="/tags/%E9%9A%B1%E5%BD%A2%E5%AE%89%E5%85%A8%E9%98%B2%E8%AD%B7">隱形安全防護</a></div><div class="field-item odd"><a href="/tags/invisible-security">Invisible Security</a></div><div class="field-item even"><a href="/tags/google-cloud">Google Cloud</a></div></div></div>
2022/10/21 11:13作者李宗翰https://www.ithome.com.tw/voice/153745
巴西警方逮捕一名駭客組織Lapsus$成員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.br/pf/pt-br/assuntos/noticias/2022/10/pf-prende-brasileiro-suspeito-de-integrar-organizacao-criminosa-internacional" target="_blank">巴西聯邦警察本周宣布</a>，年初駭入Nvidia、三星等知名公司的駭客組織Lapsus$一名成員，上周遭到警方逮捕。</p> <p>巴西警方是在8月間啟動一項名為黑雲行動（Operation Dark Cloud）的計畫，以調查並緝拿2021年間駭入多個巴西政府單位的駭客組織Lapsus$成員。2021年底Lapsus$因駭入巴西衛生部而成名，該群駭客不但外洩數十萬筆資訊，也駭入該國疫苗接種證明網站。之後還接連入侵巴西經濟部、聯邦高速公路警局、及審計長辦公室等十多個政府組織、以及巴西郵電總局。此外當地及南美多家知名企業也遭Lapsus$毒手。</p> <p>不過Lapsus$真正為人所知的是<a href="https://www.ithome.com.tw/news/150067" target="_blank">今年3月間入侵Nvidia、三星、微軟、Ubisoft等全球大企業</a>。和一般駭客不同，這群駭客會在作案後透過Telegram頻道公布受害公司的系統擷圖，還會事先公布欲駭入的對象名單，<a href="https://www.ithome.com.tw/news/149841" target="_blank">並以重金利誘這些公司的員工作為其內應</a>。</p> <p>安全研究人員追查發現Lapsus$是一群青少年，可能分處於英國及巴西，並研判Lapsus$首腦是一名住在牛津的16歲青少年等。<a href="https://www.ithome.com.tw/news/150099" target="_blank">英國警方於3月間逮捕7名疑似與Lapsus$有關的青少年</a>。</p> <p>巴西警方並未公布嫌犯的姓名、年紀或其他資訊。警方只說明，Lapsus$涉嫌入侵電腦、擾亂電信、電報及電話設備、以及腐化未成年人及洗錢等行為。</p> </div></div></div>
2022/10/21 11:58作者林妍溱https://www.ithome.com.tw/news/153754
馬斯克傳想裁掉近75%的推特員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.washingtonpost.com/technology/2022/10/20/musk-twitter-acquisition-staff-cuts/" target="_blank">《華盛頓郵報》報導</a>，正準備完成收購社交平臺推特（Twitter）的馬斯克，計畫裁減推特近75%的員工以刪減營運成本。</p> <p>媒體取得一份馬斯克近日對投資人簡報的相關文件，顯示馬斯克將採取激烈的手段，裁減推特7,500名人力的75%，以利收購進行。</p> <p>在推特董事會使出官司手段後，<a href="https://www.ithome.com.tw/news/153462" target="_blank">馬斯克本月初</a>宣布將以4月預定的每股54.2美元，總價440億美元收購推特。根據雙方協議，馬斯克必須在10月28日之前完成收購。</p> <p>馬斯克最早曾對投資人說明這家社交平臺的潛力規模超過目前價值，他計畫三年內將推特營收翻倍。而被迫買下推特後，馬斯克似乎有些許不甘。在本周的特斯拉財報會議上，<a href="https://www.theverge.com/2022/10/20/23414347/elon-musk-tesla-earnings-twitter-cybertruck-fsd-twitter" target="_blank">馬斯克談及推特時指出</a>，自己和投資人都覺得在推特收購上出價過高。</p> <p>但報導指出，就算公司持有人不是馬斯克，推特也計畫精簡人力。管理階層計畫年底前裁減25%的人力，以節省8億美元薪資成本。此外推特也打算縮減基礎架構，包括關閉一座提供每日2億用戶服務的資料中心。</p> <p>而這也說明了何以推特管理階層急於將公司賣給馬斯克，以免自己要當裁員的壞人。但是這麼大規模的裁員勢必影響推特現有平臺安全性及秩序。報導引述一名曾在推特負責垃圾郵件管理的前員工指出，如果員工數裁到馬斯克希望的規模，可能讓推特用戶面臨被駭風險，以及平臺將出現大量暴力、色情內容，而且可能經常斷線或出現錯誤。</p> <p>不過對馬斯克而言，公司獲利及營收才是重點。<a href="https://www.cnbc.com/2022/10/19/tesla-tsla-earnings-q3-2022-.html" target="_blank">馬斯克的特斯拉本周公布財報</a>，受景氣轉冷影響，雖然公司獲利33億美元較去年同期成長，但營收及出貨量未達市場預期。外界相信，大環境因素才是馬斯克在推特收購案上反悔的主因。</p> <p>消息人士指出，推特收購案協議順利進行中，沒有意外的話，本月底馬斯克就會成為推特的新老闆。</p> </div></div></div>
2022/10/21 10:28作者林妍溱https://www.ithome.com.tw/news/153743
YouTube Premium家庭方案漲價了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Flyinace2000/status/1583211803299188736" target="_blank">YouTube Premium用戶最近開始收到漲價通知</a>，顯示YouTube Premium家庭方案即將開始漲價，從每月17.99美元漲至22.99美元，漲幅為25%，此一價格調漲策略似乎未波及其它方案，也未遍及所有市場，而是從美國、加拿大、英國、阿根廷、土耳其及日本起漲。</p> <p>YouTube在2014年即開始推出付費服務，當時名為Music Key，並在2015年更名為YouTube Red，再於2018年改為YouTube Premium，此一付費訂閱服務提供無廣告的YouTube Music與YouTube影片播放服務，還有離線與背景播放功能，其學生方案的每月訂閱費用為6.99美元（臺灣是109元新臺幣），個人方案為11.99美元（179元新臺幣），可供6人使用的家庭方案則是17.99美元（269元新臺幣）。</p> <p>根據外電報導，有些使用者被要求自下個月就要支付更高的費率，有些已訂閱數年的忠實用戶，則一直到明年4月才適用於新費率。</p> <p><a href="https://blog.youtube/news-and-events/50-million/" target="_blank">YouTube曾於去年9月揭露</a>，其全球YouTube Music/Premium訂閱用戶已達5,000萬，之後即未再更新相關數據。</p> </div></div></div>
2022/10/21 11:06作者陳曉莉https://www.ithome.com.tw/news/153750
Android 13 Go版本來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年8月15日<a href="https://blog.google/products/android/android-13/" target="_blank">發布了Android 13正式版</a>，專供低階手機使用的<a href="https://blog.google/products/android/android-13-go-edition/" target="_blank">Android 13 Go版本則在本周問世</a>，同時Google也宣布全球已有2.5億人口使用Go版的Android手機。</p> <p>Android Go是瘦身版的Android作業系統，它的執行更輕盈也更省資料，以讓原始設備製造商（OEM）可打造更輕濟實惠的入門級裝置，造福更多的使用者，在Google首度於2017年推出Android 8的Go版時，手機的最低記憶體需求只有512MB，但隨著需求擴充與零件價格的下跌，如今支援Android 13 Go版的手機，已必須具備至少2GB的記憶體空間。</p> <p>但每年Google仍會持續優化Go版Android的資源使用，或是改善這些低階手機的能力，例如Android 12 Go版就具備更快的程式啟用、更長的電池續航力、更容易的程式分享，也提供更多的隱私控制。</p> <p>至於今年的Android 13 Go版則嵌入了Google Play System Updates，以讓Go裝置隨時接收各種重要的軟體更新，而不必等到裝置製造商釋出更新；也新增了Material You讓Go版用戶可客製化手機桌面；亦有諸如通知權限（Notification Permissions）與程式語言偏好（App Language Preferences）等Android 13的功能。採用Android 13 Go版的手機可望於明年上市。</p> </div></div></div>
2022/10/20 21:59作者陳曉莉https://www.ithome.com.tw/news/153736
Firefox讓用戶可預設啟用隱私視窗，並且加入新的瀏覽紀錄頁面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/privacy-online-just-got-easier-with-todays-firefox-release/">Firefox新版本</a>添加的隱私設定，進一步強化用戶的瀏覽安全，還增加了Firefox View新功能，提供用戶跨裝置瀏覽體驗，另外，新版本也提供新配色和背景，供用戶配置喜歡的瀏覽器外觀。</p> <p>Firefox添加了一個快捷按鈕，讓用戶在桌面新增隱私視窗捷徑，供用戶可以隨時快速地進入隱私視窗，官方還更新隱私視窗的標誌和外觀。現在隱私視窗會預設使用深色主題，以配色讓用戶更清楚，何時處於隱私視窗模式。</p> <p>Firefox View新功能則提供了一個全新的Firefox瀏覽紀錄頁面，在桌面裝置上，用戶可以看到25個最近關閉的頁籤，且在同步行動裝置後，Firefox View會呈現其他裝置最近瀏覽的3個頁籤，該功能可以進一步改善用戶的網頁瀏覽流程與體驗，快速獲得重要的資訊。</p> <p>官方也更新了PDF瀏覽器和文字辨識功能，用戶現在可以直接在PDF編輯器中進行編輯，以支援需要編輯PDF文件並列印後寄回的情境，而對於macOS 10.15和以上版本的用戶，將可以更方便地使用系統的文字辨識功能，更新後的Firefox可讓用戶瀏覽圖片並直接複製文字，不需要手動輸入，該功能還與內建的macOS螢幕閱讀器和VoiceOver相容。</p> </div></div></div>
2022/10/20 22:04作者李建興https://www.ithome.com.tw/news/153727
Oracle推出MySQL湖邊小屋服務HeatWave Lakehouse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Oracle鎖定競爭對手的資料分析和儲存產品，推出了湖邊小屋分析服務<a href="https://www.oracle.com/be/news/announcement/ocw-oracle-announces-mysql-heatwave-lakehouse-2022-10-18/">Oracle HeatWave Lakehouse</a>，官方提到，該服務在400 TB工作負載上的查詢效能是Snowflake的17倍，同時也是Redshift的6倍，而針對物件儲存上的400 TB資料，其查詢速度是Redshift的8倍，並且是Snowflake的2.7倍。</p> <p>MySQL HeatWave Lakehouse是MySQL HeatWave的最新功能，而MySQL HeatWave則是Oracle在MySQL資料庫基礎上，整合交易處理、分析、機器學習和自動化雲端服務的產品，MySQL HeatWave跨資料倉儲和資料湖分析，不需要用戶執行額外的ETL工作。</p> <p>資料湖邊小屋技術是結合傳統資料倉儲交易的資料，以及儲存和分析半結構化資料的資料湖技術，透過整合這兩個資料來源，企業可以更深入地分析業務資料，Oracle提到，在資料更加即時的同時，也使得來自資料湖的分析更具價值。</p> <p>但是過去MySQL用戶在分析時，常需要將資料從MySQL資料庫搬移到另一個資料庫進行分析，這額外的步驟增加了成本、複雜性和時間資源，導致企業無法進行即時分析，MySQL HeatWave則在交易發生時就將其移入到分析引擎中，因此能更即時地分析資料。</p> <p>MySQL HeatWave Lakehouse建構在HeatWave大規模橫向擴展架構之上，最多可擴充至512個節點，處理物件儲存中各種格式的資料，包括CSV和Parquet，甚至是Aurora和Redshift備份。官方提到，MySQL HeatWave Lakehouse在產業標準基準測試中，比起競爭對手的雲端資料庫服務，可以提供更好的資料查詢和載入速度。在單個查詢中，用戶可以查詢MySQL資料庫中的交易性資料，並且使用標準MySQL語法將其與物件儲存中的資料相結合。</p> <p>Oracle同時還宣佈了MySQL Autopilot，基於企業工作負載需求以機器學習提供自動化功能，可進一步提高MySQL HeatWave效能，而MySQL HeatWave Lakehouse的Autopilot功能，將針對自動模式推斷、自適應資料採樣、自動載入和自適應資料流等功能，在增加效能的同時減少管理工作，官方提到，Autopilot藉由運用機器學習和最佳化技術，可改善資料查詢、載入和壓縮等工作。</p> <p>企業可依需求，在公有雲和本地端執行MySQL HeatWave，資料團隊能將資料從本地MySQL OLTP應用程式複製到雲端執行MySQL HeatWave，包括OCI、AWS和Azure，而想要將資料留在本地端的企業，可以在自家資料中心營運OCI，並且執行MySQL HeatWave。MySQL HeatWave現在更新使用最新的MySQL資料庫，預計在2023年全面上市。</p> </div></div></div>
2022/10/20 22:11作者李建興https://www.ithome.com.tw/news/153729
Uber成立廣告部門，預期2024年可帶進10億美元廣告營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.uber.com/news-events/news/press-release-details/2022/Uber-Launches-Dedicated-Advertising-Division-To-Serve-The-Worlds-Biggest-Brands/default.aspx" target="_blank">Uber本周宣布</a>，已正式設立了廣告部門，將由去年向Amazon Advertising挖角來的Mark Grether領軍。<a href="https://s23.q4cdn.com/407969754/files/doc_presentations/2022/Uber-Investor-Day-Transcript_February-10-2022-(2).pdf" target="_blank">Uber曾於今年2月舉行的Investor Day上表示</a>，該公司的廣告業務到2024年將成長至10億美元。</p> <p>其實Uber早就展開各項廣告服務，包括在超過30個市場的Uber Eats上推出餐廳贊助計畫，而且參與該計畫的餐廳也已超過17萬家；或者是在Uber駕駛的車頂上安裝廣告，目前在美國也有超過3,000輛汽車於車頂安裝廣告版面，此一模式除了可替Uber帶進更多的廣告收入之後，駕駛的收入也增加了20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-uber-advertising-AD-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Uber</span></span></p> <p>雖然Uber尚未於財報上揭露廣告營收，但Grether透露，去年Uber便已創下1.41億美元的廣告營收。</p> <p>步入廣告市場的Uber優勢在於該公司擁有第一手的消費者資料，且全球每月用戶超過1.22億。除了Uber Eats及車頂廣告之外，Uber也提供電子郵件廣告、菜單廣告，以及最新推出的旅程廣告（Journey Ads）。</p> <p>旅程廣告出現在Uber程式中，是以使用者的每次旅程作為銷售單位，可在使用者等車與搭車的空檔中由單一廣告主遞送不同的廣告，也允許使用者直接點選廣告來購物。此外，Uber還會根據使用者的目的地來出售廣告，例如目的地是機場或特定品牌的商店，那麼廣告主就能據此購買廣告版位。</p> <p>姑且不論旅程廣告的效果如何，已有法律專家認為該服務有侵犯用戶隱私之嫌。</p> </div></div></div>
2022/10/20 22:54作者陳曉莉https://www.ithome.com.tw/news/153737
Google Play服務中的TensorFlow Lite現已成為Android官方指定機器學習引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/latest-updates-on-androids-custom-ml.html">Google宣布更新Android自定義的機器學習堆疊</a>，這是一組在Android上部署自定義機器學習功能的基本API和服務。</p> <p>由於裝置上機器學習的各種優點，包括離線可用、更低的延遲、更好的隱私和更低的推論成本，因此比起以伺服器為基礎的機器學習，能夠提供更好的效能。開發人員在Android上建構機器學習應用時，有兩個方法可選，第一種是使用生產就緒，帶有預訓練和最佳化的機器學習模型SDK，當開發者想要有更多的控制，就可以選擇部署自己的自定義機器學習模型和功能。</p> <p>Google現在更新Google Play服務中的TensorFlow Lite，作為Android官方機器學習推理引擎，Google由於想要取代獨立的TensorFlow Lite，因此在Google I/O 2021大會中，宣布於Google Play服務中推出TensorFlow Lite早期存取預覽。</p> <p>而從發布到現在，Google Play服務中的TensorFlow Lite，已經透過數萬個應用程式，每月對數十億個用戶提供服務。在上個月，Google在Play服務中發布TensorFlow Lite穩定版，而現在，Google將其預設為Android官方機器學習推論引擎。</p> <p>在Google Play服務中使用TensorFlow Lite的好處是，可以縮小二進位檔案的容量，並透過自動更新獲得效能改進，同時也更容易與Android自定義機器學習堆疊之後的API和服務更新整合。</p> <p>另外，TensorFlow Lite Delegates現在也透過Google Play服務發布。在數年前，Google發布的GPU委派和NNAPI委派，讓開發者可以使用GPU、DSP或NPU等特殊硬體，而GPU和NNAPI委派現在則是透過Google Play服務發布。</p> <p>在不少進階用例，開發人希望可以直接使用自定義委派，因此Google也正與硬體廠商合作，藉由Google Play服務來擴大自定義委派存取。官方提到，因為硬體的差異，要針對最佳化硬體加速配置，在執行時對所有Android使用者，挑選最佳TensorFlow Lite Delegates有其困難。</p> <p>為了解決這個困難，Google正在建立一個新的API，使應用程式可以在執行時，替TensorFlow Lite模型安全地最佳化硬體配置，目前這個功能正在早期存取階段，開發者需要額外申請才能使用，官方預計會在明年初時公開發布。</p> </div></div></div>
2022/10/20 22:59作者李建興https://www.ithome.com.tw/news/153735
知名廣告封鎖列表EasyList遭大量印度劣質瀏覽器存取導致服務異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾乎受全部廣告封鎖軟體採用的<a href="http://adguard.com/en/blog/easylist-filter-problem-help.html">廣告過濾器列表EasyList，近期遭遇持續的大流量存取</a>，造成眾多廣告封鎖軟體存取這份容量不大的txt檔需耗時約5分鐘，而EasyList維護者正在尋求專業資安人員協助。</p> <p>每個廣告封鎖軟體都需要使用過濾列表，並依據規則來封鎖廣告，而EasyList是一個由社群共同運作的專案，是目前全世界最受歡迎的廣告過濾器列表，幾乎所有使用封鎖軟體使用者，都曾使用過EasyList或是其衍伸產品。</p> <p>但從9月底的開始，EasyList的存取流量突然暴增，從原本每日數TB瞬間增加10到20倍，而根據調查，這些流量的源頭來自印度的Android裝置，而封鎖軟體Adguard在去年也遭遇相同的問題，經過調查也是遭具有廣告攔截功能的應用程式濫用導致。</p> <p>Adguard提到，這兩個事件的原因都很類似，是一個具有廣告封鎖功能的開源Android瀏覽器，在印度被幾個非常流行的瀏覽器分叉，但問題是，這個開源瀏覽器有一個設計缺陷，會在每次啟動時，自動重新下載過濾器更新，在Android裝置上每天會發生數次，即便瀏覽器在後臺運作，瀏覽器仍會嘗試執行更新。</p> <p>當Adguard去年遭遇這種情況，採用的解決方案是直接阻擋這些失控的流量，但儘管如此，Adguard每月都還是需要提供約100 TB的拒絕存取頁面。Adguard曾嘗試聯絡其中兩個瀏覽器開發人員，但是問題並沒有獲得解決，甚至變得更糟糕。</p> <p>EasyList託管在GitHub上並且使用CloudFlare代理，但是因為EasyList是一個社群專案，因此僅能使用CloudFlare非企業功能，暴增的EasyList流量使現在所有對EasyList檔案的請求都受到限制，導致不少廣告封鎖軟體都無法下載過濾器更新，這個問題可能迫使EasyList必須要更改網域名稱，否則有問題的瀏覽器會繼續使用easylist.to。</p> <p>廣告封鎖軟體現在都採取相對應的措施，Adguard採用自己的伺服器來託管列表，而其他廣告封鎖軟體則是切換到鏡像網域。不過，EasyList遭濫用的根本問題仍然沒有被解決，這些有問題的瀏覽器可能還會對新的鏡像網域產生DDoS流量。</p> <p>由於EasyList社群無法支付CloudFlare企業方案的費用，更改網域或許是一個選擇，但會影響數百個仰賴EasyList的開源專案，因此目前社群正尋求安全研究人員協助解決。</p> </div></div></div>
2022/10/20 21:46作者李建興https://www.ithome.com.tw/news/153724
上櫃公司大拓-KY子公司遭遇資安事件，日本大拓公布初步調查並說明是遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年於臺灣櫃買中心掛牌的蓋曼群島商日本大拓（Daito Me Holdings Co., Ltd）、上櫃其他電子業者大拓-KY，該公司在本月17日，於臺灣證交所發布重大訊息，揭露發生資安事件的狀況。</p> <p>關於大拓-KY，該公司主要經營電機、電子零件代理，以及工廠自動化設備與嵌入式電腦的組裝製品業務。</p> <p>根據該公司的重大訊息內容，說明事件發生於旗下百分百持股的子公司──日本大拓公司（Daito Me Co., Ltd），他們在偵測到內部資訊系統遭病毒攻擊後，資安團隊已於第一時間啟動防禦機制，以及備援作業。</p> <p>在事件因應上，該公司表示，將持續與外部資訊公司共同合作處理，並且也已經通報日本政府執法部門。目前，內部資訊系統陸續回復運作中。</p> <p>至於事件影響上，他們現階段的評估是，對於日常營運、財務無重大影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-20_112918.JPG" style="width: 600px;" /></p> <p><strong>最早成立於1957年的日本大拓公司（ダイトーエムイー株式会社），在2014設立蓋曼群島商日本大拓為母公司，並於2016年在臺掛牌。近日日本大拓公司發生資安事件，並於官方網站公告說明初步調查現況，而蓋曼群島商日本大拓也在臺灣證券交易所發布重大訊息。</strong></p> <p>值得注意的是，雖然該公司在資安事件重大訊息的揭露上，內容相當有限，不過，我們從大拓-KY官方網站（<a href="http://daito-me.com.tw/">Daito Me Holdings Co., Ltd</a>）的<a href="http://www.daito-me.com/">日文版</a>，可以看到子公司日本大拓公司近期發布兩起公告：<a href="http://www.daito-me.com/news/cate2-2/">10月7日的一起事故發生消息通知</a>，以及<a href="http://www.daito-me.com/news/cate2-2/20221017/">10月17日的初步調查結果報告</a>。</p> <p>根據該公司的事故公告內容顯示，日本大拓公司是在10月7日事發當下，就公告說明發生系統故障情形，影響訂貨流程，並表示將進行調查系統故障的原因、影響範圍與恢復時間。</p> <p>而在後續發布的初步事故調查報告中，當中對外揭露了他們遭遇的是勒索軟體攻擊，並說明其因應作為。而該公司發布事故調查報告的17日這天，大拓-KY也於臺灣證券交易所發布重大訊息說明。</p> <p>根據初步事故調查報告的內容，當中指出該公司在調查原因後，於10月7日凌晨12時30分左右時，確認他們發生遭遇勒索軟體攻擊的狀況。</p> <p>而為了因應這起事件，他們表示關閉其網路，並與外部資安專家合作下，正在盡力了解該事件造成的損害，恢復系統並防止這樣的事件再次發生。</p> <p>同時，該公司也說明，內部資訊系統已陸續回復運作，並將深入調查原因以強化安全，並說明事件有後續發展或新的事實，將會依據調查結果持續更新消息。</p> <h2><strong>2022-10-17 大拓-KY子公司</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明子公司日本大拓資訊系統遭受病毒攻擊 </td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">10月17日發現狀況，啟動防禦機制與復原作業，已通報日本政府執法單位。<font color="#ff0000">於凌晨12時30分確認遭攻擊</font></td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。<span style="color: rgb(255, 0, 0);">這次事件確定遭勒索軟體攻擊</span></td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及資訊系統</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運、財務無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">內部資訊系統陸續回復運作中，亦同步檢視並強化現有的基礎架構，全面提升網路安全等級以保護資料安全及完整性。。</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在10月17日發布於臺灣證券交易所重大訊息 <span style="color:#FF0000;">同日於公司官方網站發布事件調查初步報告，說明資安事件及調查情形</span></td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">該公司背景資訊</td> <td style="width: 378px;">年報<a href="https://doc.twse.com.tw/pdf/2021_8455_20220616F04_20221020_194952.pdf">連結</a></td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年10月(紅字部分為查詢該公司網站後得知的資訊)</td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-20_110800.JPG" style="width: 600px;" /></p> <p> </p> </div></div></div>
2022/10/20 16:56作者羅正漢https://www.ithome.com.tw/news/153728
【資安日報】2022年10月20日，中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>香港政府也是中國駭客APT41監控的對象！由於駭客利用特定的後門程式發動攻擊，研究人員針對此後門程式與手法進行比對，此為該組織大規模網路間諜行動的其中一環。</p> <p>駭客打造的後門程式竟出現了幾乎無法被偵測出來有害的情況！有人透過提供職缺申請表的名義散布此惡意軟體，較為罕見的是後門程式會將自己登錄為作業系統更新程序，而能規避偵測。</p> <p>微軟因其中一臺伺服器配置不當，使得超過6.5萬家企業客戶資料也隨之曝光，很有可能是有史以來最嚴重的B2B資料外洩事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/spyder-loader-cuckoobees-hong-kong"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41利用惡意軟體Spyder Loader埋伏香港政府超過一年</span></strong></a></h3> <p>資安業者賽門鐵克揭露中國駭客組織APT41（亦稱Winnti）的攻擊行動，專門針對香港的政府機關而來，駭客利用名為Spyder Loader的後門程式，在受害組織的網路活動一年以上。研究人員根據上述的惡意軟體進行分析，認為這次發現為<a href="https://www.ithome.com.tw/news/150805#CuckooBees">今年5月揭露網路間諜行動Operation CuckooBees</a>的一部分。</p> <h3><a href="https://securelist.com/diceyf-deploys-gameplayerframework-in-online-casino-development-studio/107723/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客DiceyF鎖定東南亞的網路賭場部署惡意框架</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DiceyF-06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DiceyF-06.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為DiceyF的駭客組織，該組織自2021年11月，針對東南亞的網路賭場部署惡意框架GamePlayerFramework，該框架由另一款惡意軟體PuppetLoader改寫而成，具備下載惡意酬載、啟動惡意軟體、遠端存取功能、鍵盤側錄等能力，一旦成功入侵受害電腦，此框架就會每20秒向C2伺服器發送訊號，而C2一次可發出多達15個命令，且下載到此惡意框架的外掛元件都不會儲存到磁碟，使得受害者檢測更加困難。</p> <h3><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researchers-uncover-new-fully-undetectable-powershell-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現幾乎不可能偵測的PowerShell後門程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/PowerShell-backdoor-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerShell-backdoor-2.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach揭露一支Windows後門程式，此軟體為PowerShell指令碼，並具備自我偽裝機制，幾乎「無法偵測」，可能有百名使用者受害。這支後門程式被包裝在Word檔案Apply Form.docm，假借提供LinkedIn申請表單的名義，透過精準釣魚攻擊散布，檔案來自約旦，但不確定攻擊者的身分。研究人員指出，此惡意文件包含巨集，觸發後會下載指令碼，並將此指令碼註冊成Windows Update排程工作，藉此避過資安系統的偵測。攻擊者主要目的是竊取受害電腦資料，其次才是列舉AD用戶、RDP帳號。</p> <h3><a href="https://msrc-blog.microsoft.com/2022/10/19/investigation-regarding-misconfigured-microsoft-storage-location-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟伺服器配置錯誤導致大規模外洩！逾6.5萬家企業資料因此曝險</span></strong></a></h3> <p>錯誤設定的問題過往總是出在雲端服務用戶身上，如今竟然連專業的雲端業者自己也出現這類問題！資安業者SOCRadar於10月19日披露，他們偵測到Azure Blob Storage的配置錯誤，導致111個國家、逾6.5萬家企業的資料外洩，很可能是史上最嚴重的B2B資料外洩事件。這起事故完全是因為一臺伺服器的錯誤配置造成，該伺服器內含多臺SQL Server資料庫與各式檔案，總計約有2.4 TB的資料量，日期介於2017年至2022年的8月。研究人員在9月24日通報，微軟也證實此事，但強調非安全漏洞，獲報後已修復相關配置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/10/18/cisa-releases-two-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對研華、日立能源工控系統發布資安通告</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於10月18日，針對研華軟體管理平臺R-SeeNet、日立能源（Hitachi Energy）資產效能管理軟體APM Edge等2項工業控制系統的漏洞提出警告。與R-SeeNet相關的部分，是CVSS風險評分6.5分的路徑穿越漏洞CVE-2022-3385，以及CVSS風險評分達9.8分的記憶體堆疊溢位漏洞CVE-2022-3386、CVE-2022-3387，一旦遭到利用，攻擊者可遠端刪除系統資料或執行程式碼（因此這些弱點也是RCE漏洞）。CISA針對APM Edge的部分，則是公告了30個漏洞，最嚴重的為8.2分，若是遭到利用，有可能導致該系統無法存取。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/tech/153719"><span style="color: rgb(0, 0, 0);">Fortinet修補重大漏洞已有攻擊行動，1.7萬臺設備曝險，臺灣653臺全球第三</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.pts.org.tw/article/605266"><span style="color: rgb(0, 0, 0);">臺北市政府推出熊好券2.0，冒牌網站隨之出現</span></a></span></strong></p> <p><a href="https://cybernews.com/news/hackers-stole-data-from-kingfisher-insurance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國保險業者Kingfisher遭勒索軟體LockBit攻擊，泄洩1.4 TB資料</span></span></strong></a></p> <p><a href="https://www.idealwine.info/update-to-idealwine-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國網路酒商iDealwine遭到網路攻擊，客戶資料恐外洩</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> </div></div></div>
2022/10/20 17:58作者周峻佑https://www.ithome.com.tw/news/153732
國內11家飯店明年示範導入機器人，靠機器人迎賓、消毒環境、為客房送物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在未來，以機器人取代人力，執行高重覆性的工作將愈來愈普及。經濟部工業局、資策會今天與緯創資通、博鈞科技等多家廠商共同舉辦「服務型機器人旅宿應用示範團隊啟動大會」，促成業者與11家飯店合作，明年示範導入機器人。</p> <p>參與示範的業者除了崇友實業、三菱等電梯業者加入，主要分為兩個團隊，一隊由博鈞科技、亞洲光學等業者合作，將在明年3月陸續於5家飯店，包括福爾摩沙酒店聯盟草悟道酒店、台南維悅酒店、台北玩行旅、台中港酒店、台中神木谷假期大飯店導入服務型機器人，在飯店導入自動送物機器人。</p> <p>另一隊則由緯創資通、台灣微軟、Nvidia、和煜科技等組隊，明年4月在台北美崙、淡水福容飯店、六福萬怡酒店、新竹安捷國際酒店、日月潭力麗溫德姆酒店、高餐大群會館，共6家飯店導入迎賓機器人、客房配送機器人、環境消毒機器人。</p> <p><strong>由左至右分別為：迎賓接待機器人、消毒機器人、客房送物機器人：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20221020_112553.jpg" style="width: 600px; height: 450px;" /></p> <p>以飯店導入客房配送機器人為例，機器人的下方為AMR自主移動機器人，當旅客要求客房送物服務時，飯店人員將物品放置機器人後，便能從管理後檯派工給機器人，以緯創資通的配送機器人為例，利用Azure進行機器學習訓練，結合機器人的Nvidia Jetson平臺為邊緣運算，讓機器人在物品、旅客混雜的飯店環境裡自主移動。</p> <p>當機器人要搭乘電梯到其他樓層時，發送訊息至後檯，再由後臺介接機電系統呼叫電梯，緯創資通表示，當電梯門開啟時，如同人類一般，機器人會準備進入電梯內，辨別電梯內乘客位置，並依據讓位情形，判斷是否有空間搭乘，如果電梯內人員太擁擠，再等待下一部電梯。當抵達客房時，機器人撥打客房電話通知已抵達門口，旅客再以密碼或房卡，開啟機器人身上的箱蓋取物。</p> <p>緯創資通現場展示3款機器人，它們支援Wi-Fi、4G或5G通訊，包括配備紫外線燈及AMR的環境消毒機器人，可連續10小時執行環境消毒作業，迎賓機器人提供導覽、接待服務，另一款客房配送機器人，用以取代傳統人工配送物品，宣稱可提升20%的服務效率。</p> <p>亞洲光學與博鈞科技則展示自動送物機器人，根據不同飯店的送物作業設計流程，同樣以AMR自主移動，利用內建的紫外線燈為配送物品消毒，根據環境、時間及人流，執行單趟多次配送，抵達客房時，支援Line Bot到達通知、無接觸身分驗證取物。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%81%E7%89%A9.jpg" style="width: 300px; height: 400px;" /></p> <p>博鈞科技表示，在24小時營業的飯店業，機器人可完成約7成的客房物品配送工作，同時降低2到3成的旅客等待時間。</p> <p> </p> <p> </p> </div></div></div>
2022/10/20 18:11作者蘇文彬https://www.ithome.com.tw/news/153730
英特爾揭露新一代Thunderbolt，將奠基於USB 4 Version 2.0標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著USB應用論壇（USB Implementers Forum，USB-IF）<a href="https://www.businesswire.com/news/home/20221017006047/en/USB-IF-Announces-Publication-of-New-USB4%C2%AE-Specification-to-Enable-USB-80Gbps-Performance" target="_blank">在本周發布了USB 4 Version 2.0的正式規格</a>，<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-leads-industry-next-generation-thunderbolt.html" target="_blank">英特爾（Intel）亦揭露其新一代Thunderbolt介面的特色</a>，表示新版Thunderbolt將提供80 Gbps的雙向傳輸能力，<a href="https://www.theverge.com/2022/10/19/23411752/intel-thunderbolt-next-generation-usb-4-version-2-specs?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">但《The Verge》認為</a>，Thunderbolt 5的功能與USB 4 Version 2.0相去不遠，已不如以往吸引人。</p> <p>Thunderbolt是英特爾與蘋果共同開發的硬體介面，單個介面就能同時支援資料、影像與電力的傳輸，目前的版本為Thunderbolt 4，Thunderbolt與USB標準的介面及纜線是相容的，但Thunderbolt通常會有更快的傳輸及充電速度。英特爾尚未公布新一代Thunderbolt的名稱，外界暫時以Thunderbolt 5稱之。</p> <p>依照英特爾的說法，Thunderbolt 5是基於USB 4 Version 2.0及DisplayPort 2.1規格所設計，它將帶來80 Gbps的雙向頻寬，是Thunderbolt 4的兩倍，支援最新的DisplayPort 2.1，也有兩倍的PCI Express資料吞吐量，相容於既有的1米被動纜線，也相容於前一代的Thunderbolt、USB及DisplayPort，另對於密集影片的使用，所支援的最高頻寬則可達到120 Gbps。</p> <p class="rtecenter"><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-10/newsroom-intel-next-gen-thunderbolt-3.jpg.rendition.intel.web.1648.927.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／英特爾</span></span></p> <p>雖然Thunderbolt 5的官方名稱與規格細節要到明年才會出爐，但看起來它就是以更多的頻寬，來強化對高解析度螢幕、遊戲及備份大量檔案的支援能力。</p> <p>至於《The Verge》認為Thunderbolt 5可能失去其必要性的原因，在於USB 4 Version 2.0已提供了類似的能力。因為此一最新的USB規格也具備120/40 Gbps的傳輸能力，亦支援DisplayPort 2.1與 PCI Express 4，當兩者的差距愈來愈小，Thunderbolt最終可能失去其優勢。</p> </div></div></div>
2022/10/20 15:49作者陳曉莉https://www.ithome.com.tw/news/153725
Meta AI讓閩南語可與英文對話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/10/hokkien-ai-speech-translation/" target="_blank">Meta本周發表了一個全新的AI系統</a>，可讓福建話（Hokkien，閩南語）直接與英文對話，<a href="https://www.facebook.com/TechatMeta/videos/572626654618826/?t=67" target="_blank">且Meta創辦人暨執行長祖克柏（Mark Zuckerberg）更與主導該系統、來自臺灣的工程師Peng-Jen Chen共同進行了示範</a>。</p> <p class="rtecenter"><a href="https://www.facebook.com/TechatMeta/videos/572626654618826/?t=67" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-zuckerberg%20Hokkien.png" style="width: 271px;" /></a></p> <p>大多數的語音翻譯系統都仰賴轉錄，但在全球常用的逾7,000種語言中，大約有一半主要是以口語為主，它們缺乏標準的書寫格式，於是Meta打造了全球首個口語語言AI翻譯系統，把一種語言的口語直接翻譯成另一種語言的口語，讓講福建話的使用者可以跟英文使用者溝通。</p> <p>這是Meta通用語音翻譯（Universal Speech Translator，UST）專案的一部分，該專案著眼於開發新的AI方法，期待那些以口語為主的語言，都能夠產生即時的口語翻譯，而Meta的首選語言即是福建話。</p> <p>Peng-Jen Chen成長於臺灣，講的是中文，但他父親來自臺灣南部，主要說福建話，雖然中文與福建話是相關的，但彼此之間的對話仍有一定的隔閡。Peng-Jen Chen表示，他希望他的父親能夠以福建話與任何人溝通無礙。</p> <p>根據統計，全球約有數千萬民眾說的是福建話，有2,800萬來自中國，1,350萬來自臺灣，馬來西亞有200萬，新加坡為150萬，還有100萬的菲律賓人。</p> <p>為了讓福建話變成英文，研究人員是以中文寫下福建話與英文，再將它們從中文翻譯成英文及福建話，再將成對的句子加到用來訓練AI模型的資料中。</p> <p>目前該系統只能翻譯單個句子，預計很快就會開源。</p> </div></div></div>
2022/10/20 14:50作者陳曉莉https://www.ithome.com.tw/news/153722
安全軟體開發有新實踐指引，NIST SSDF正受資安業者關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈安全毫無疑問是近年最受關注的資安議題之一，在近期最受關注的開源軟體安全性之前，長年以來，資安界就有持續提倡的安全軟體開發生命週期（SSDLC），再加上後起的軟體物料清單（SBOM），其發展同樣是備受關注，然而，在眾說紛紜、各行其是的狀況下，大家都期待出現有公信力的組織，能訂出廣受認可的標準，使這類議題能夠持續推行。</p> <p>現在我們終於看到出現這樣的軟體開發安全框架，其全名為：Secure Software Development Framework，簡稱SSDF，由美國國家標準暨技術研究院（NIST）訂定，足以成為實踐上的重要參考，今年2月新出爐，已引起資安業者關注。例如，提供物聯網設備資安檢測服務的安華聯網科技，持續關注NIST相關標準發展之餘，也在今年臺灣資安大會介紹SSDF，該公司軟體工程師暨資安研究員楊力學（Aspen Yang）談及此框架內容，也解析當中重點。</p> <h2><strong>NIST發布 SSDF 1.1，提供降低軟體漏洞風險的方針</strong></h2> <p>關於安全軟體開發生命週期，有不少資深的IT人員都知道它的重要性，畢竟，軟體驅動一切，每個軟體都有資安風險，若要確保安全性，需在開發過程的每個環節，落實相關的設計與驗證。</p> <p>目前有不少著名的安全軟體開發流程的標準或方法論，可做為推動這項工作實務上的借鏡。</p> <p>例如，微軟發布的安全開發生命週期（MS SDL），由OWASP發布的軟體保障成熟度模型（OWASP SAMM），算是最為知名。近年也看到國內有在談Synopsys發布的軟體安全建構成熟度模型（BSIMM）等。</p> <p>而從產業面來看，也有一些實例，但可能比較不那麼為人所熟知，像是楊力學就提到，在支付卡產業安全領域的PCI SSLC，以及在工控安全標準IEC 62443-4-1當中，其實也都有相關需求規範。</p> <p>特別的是，現在美國NIST也針對這個領域提出實踐框架，其全名是Secure Software Development Framework（SSDF），也就是NIST SP 800-218，這份文件歷時近兩年完成，最終審定1.1版正式發布，當中針對減少軟體漏洞及網路風險的重要行動，做出通盤介紹。</p> <h2><strong>框架本身具通用性，可在開發流程彈性運用</strong></h2> <p>NIST SSDF有何特點？簡單來說，就是適用廣泛，具通用性與彈性。</p> <p>在這場介紹中，我們可以了解它的一些特性，而我們也直接檢視了<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf">NIST SSDF的文件</a>，當中的內容亦有充分的說明。</p> <p>根據NIST指出，要確保正在開發的軟體足夠安全，就要將安全軟體開發的實踐，增加到每個軟體開發生命週期（SDLC）模型之中。</p> <p>而SSDF本身就是提供基本、健全的安全軟體開發實踐，定義安全軟體開發的通用語言，並且是高層次的框架，因此並不會規定每項實踐要如何進行，重點在於實踐的結果，而不是這樣做的工具、技術與機制，所以，不論規模大小或網路安全水準高低，任何部門、組織都可以使用SSDF。</p> <p>關於SSDF這方面特性的意義，楊力學也做出具體整理，例如，SSDF支援多樣SSDLC標準因而具有延展性，也就是說，大家可依照參照的SSDLC標準進行文件化，適用範圍可大可小，而且，該框架並不會只針對專門程式語言、軟體開發流程框架、實作軟體、開發環境與維運環境，因此可以整合現有工具鏈與工作流程。此外，能適用IT、ICS、CPS與IoT領域開發的軟體。</p> <h2><strong>將安全軟體開發分4大構面，20項實踐</strong></h2> <p>整體而言，SSDF使用類似NIST CSF的表格形式來呈現。在表格的最左側，就是框架的4大構面，各欄則是組成要素與結構，包括：實踐（Practices）、工作（Tasks）、概念實施範例（Notional Implementation Examples ），以及參考資訊（References）。</p> <p>對於NIST SSDF的實踐內容，楊力學有更清楚的說明。他表示，在這份實踐文件中，主要有4大構面：組織要做的準備，保護軟體，產出良好安全的軟體，回應弱點。</p> <p>由於有了4大構面的區分，他認為，這突顯當前環境存在一些觀念偏差。很多人可能誤以為，要讓軟體程式開發增加安全，只要做源碼檢測、程式碼審核，但事實上不是這樣，要做的事其實是更多樣的，而從SSDF的框架即可看出。</p> <h3><span style="color:#0099ff;"><strong>1.組織要做的準備</strong></span></h3> <p>首先，在組織要做的準備上，有5個實踐項目，分別是：定義軟體開發的安全需求，實施角色與職責，實施支援工具鏈，定義與使用軟體的安全標準查核表，以及實施與維護軟體開發的安全環境。</p> <p>在此當中，楊力學指出，把安全需求定義清楚，是最重要的工作。他並引用一張Open Security Architecture的分類圖，指出當中著重在「安全架構」與「控制措施」，並概要列舉出常見SSDLC在這兩者之下，會需要實作的資安需求，常見有13項，包含：安全架構與安全設計、資安控制措施、軟體弱點辨識、以不可逆方式保存密碼、進行身分認證、權限設計與授權管理、用金鑰加解密、機密敏感性檔案處理、安全連接與通訊、安全傳輸檔案、簽署資料、驗證資料完整性，以及數位證據保存。</p> <p>綜觀這裡的5個實踐，不僅是定義安全需求，準備工作也涵蓋到要有軟體安全標準的查核表，以及實施與維護。</p> <h3><strong><span style="color:#0099ff;">2.保護軟體</span></strong></h3> <p>其次，在保護軟體上，主要分3個實踐，簡單來說，可聚焦在3個概念：首先，要防範未經授權的存取與竄改，並且是所有狀態的程式碼；其次，是提供機制驗證軟體釋出的完整性；最後，是每次的軟體釋出都進行庫存與保護。</p> <p>尤其是最後一點，楊力學強調，因為，其中一個工作項目的內容，就是關於蒐集、維護每個軟體所有元件的出處資料，也就是目前相當熱門的軟體物料清單（SBOM）。</p> <p>而這裡主要可以分成兩個重點來看，分別是SBOM報告格式，以及弱點可利用性資訊交換標準（VEX）。對此，他也引用美國CISA對於SBOM的介紹，指出近年美國國家電信暨資訊管理局（NTIA），已經提供相當多關於SBOM介紹、導入、技術資源、PoC教訓等文件，其中在SBOM 報告格式要求方面，主要有三種選擇，分別是ISO/IEC 5962:2021的SPDX、NIST的SWID，以及OWASP的CycloneDX。</p> <p>還有更重要的是，要將SBOM跟弱點結合在一起，因此需要VEX這樣的機制配合。如此一來，SBOM才真正有作用，可以使得供應鏈資安變得透明化。</p> <h3><span style="color:#0099ff;"><strong>3.產出良好安全的軟體</strong></span></h3> <p>在產出良好安全的軟體上，這裡有9個實踐項目，楊力學認為，這是整個文件中最重要的部分。</p> <p>除了軟體設計要能與資安需求相符並緩解資安風險，以及複驗軟體設計，也要驗證第三方軟件是否符合安全要求。</p> <p>並且，在可行情況下使用現有安全可靠的軟體，也就是不要重複造輪；程式設計本身在撰寫程式碼時，也要堅持安全設計原則；在使用直譯器、編譯器及Build流程中，要將這些流程的組態設定提高安全性，以提高可執行檔，以及系統載入執行期間的安全性。他並舉例，C語言與C++語言會面臨很多這方面的問題。</p> <p>接下來，進行程式碼審核，審查與分析人工可讀的程式碼以識別弱點；然後是測試可執行程式碼以識別弱點，並透過自動化方式降低檢測漏洞的資源與成本；最後是軟體的預設值，必須是安全的組態。</p> <h3><span style="color:#0099ff;"><strong>4.回應弱點</strong></span></h3> <p>最後，在回應弱點上，主要有3個實踐項目，包括：於現有的基礎持續辨認與確認弱點，評估、訂定優先順序與修復弱點，以及分析弱點以辨認根因。</p> <p>對於弱點的認知，除了普遍熟知的CVE漏洞編號，美國MITRE從2005年發展出的CWE通用弱點列表，許多人同樣都很熟悉，一直是軟體安全相關領域研究人員的重要參考。</p> <p>這方面楊力學也用了CWE來舉例，鼓勵軟體工程師在學習上，可由此瞭解現在軟硬體弱點的根因，事實上，有了根本原因才會產生弱點，有弱點才會有可利用性。</p> <p>同時，他也簡單說明，實務上會產生軟硬體弱點的5大原因，包括隕石式開發流程的緊急要求、未導入安全開發流程、開發與維運人員缺乏資安領域知識、人力資源不足，以及一時粗心，都是容易造成問題的主因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%20SSDF.jpg" style="width: 600px;" /></p> <p><strong>在NIST SSDF框架中，第一個要實踐的工作，就是將安全需求定義清楚，安華聯網科技軟體工程師暨資安研究員楊力學藉由OSA分類圖，說明應著重於「安全架構」與「控制措施」，並列舉出13項SSDLC常見需要實作的資安需求。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%20SSDF.jpg" style="width: 600px;" /></strong></p> <p><strong>在NIST SSDF的「保護軟體」構面中，有項實踐的工作是關於軟體物料清單（SBOM）。這裡有兩點需要注意，一是SBOM報告格式，現今主流有SPDX、SWID與CycloneDX，另一是弱點可利用性資訊交換標準（VEX），需要搭配才能讓SBOM發揮作用。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SSDF.JPG" style="width: 600px;" /></p> <p><strong>經過這場介紹後，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf">我們也實際了解NIST SSDF（SP 800-218）文件的內容</a>，這裡使用了類似NIST CSF的表格形式呈現，從內容架構來看，除了分為4大構面，20項實踐，並統計出共有47項工作。</strong></p> <p><strong>舉例來說，在第一個構面「組織要做的準備」（PO）中，共有5個實踐項目，若以第一個實踐「定義軟體開發的安全需求」（PO.1）來看，又分成3項工作，第一項工作是「識別並記錄組織軟體開發基礎設施與流程的所有安全要求，並隨著時間的推移維護這些要求」（PO.1.1）。</strong></p> <p><strong>值得注意的是，會後我們向楊力學確認相關資訊時，他也特別提到一點，就是這當中有4個工作項目，在白皮書經審定公告為標準後，已移動到其他實踐。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NIST SSDF_參考資訊.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NIST%20SSDF_%E5%8F%83%E8%80%83%E8%B3%87%E8%A8%8A.JPG" style="width: 600px;" /></a></p> <p><strong>要如何具體實踐這些內容？NIST建議，可查閱框架所提的實施範例，以及參考資訊，同時，使用者也應獲取有關實施這些實踐的額外資訊。而我們發現，這裡的參考資訊內容，已包括數個標準與指引，以其中一項實踐工作為例，參照的資訊就有：BSA FSS、BSIMM、IEC 62443、MS SDL、NIST CSF、OWASP SAMM、PCI SSLC、SC AGILE、SC FPSSD、SC SIC、SP 800-53、SP 800-160、SP 800-161、SP 8001-181等，還有美國總統拜登行政命令EO 14028。</strong></p> <p><strong>不過，在這些標準與指引當中，我們對於SC FPSSD、SC AGILE、SC SIC較為陌生，因此也請楊力學協助說明，他表示，像是SC FPSSD，指的就是Safe Code組織（<a href="https://safecode.org">https://safecode.org</a>）的SSDLC標準。</strong></p> </div></div></div>
2022/10/20 14:52作者羅正漢https://www.ithome.com.tw/news/153723
研究人員發現幾乎無法偵測到的PowerShell後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researchers-uncover-new-fully-undetectable-powershell-backdoor/" target="_blank">安全廠商近日發現一隻</a>會自我偽裝而幾乎「完全偵測不到」（fully undetectable）的Windows後門程式，而且可能已經用以鎖定近百個受害者。</p> <p>這隻後門程式包含在一份冒充LinkedIn工作申請Word文件，名為Apply Form.docm，透過精準釣魚攻擊散布，這個Word檔案是在今年8月由不知名的駭客在約旦上傳。研究人員判斷，這PowerShell後門程式這次攻擊大約成功鎖定了約100名受害者。</p> <p class="rtecenter"><img alt="" src="https://www.safebreach.com/wp-content/uploads/2022/10/Figure-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SafeBreach</span></span></p> <p>SafeBreach Labs研究人員指出，惡意Word 文件包含巨集程式，下載後的script程式會自我註冊成Windows Update行程的一部份，偽裝成Windows合法排定任務而避過安全工具的檢查。它同時建立2支PowerShell script，一支向外部C&C伺服器下載指令並指派受害者編號，另一支則執行指令。</p> <p class="rtecenter"><img alt="" src="https://www.safebreach.com/wp-content/uploads/2022/10/Figure-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／SafeBreach</span></p> <p>原本這2支script都是經過混淆（obsfucated）無法讀取，但研究人員利用script以可預測順序為受害者編號這點，得以解讀出受害者的機器識別碼以及其指令內容。研究人員根據惡意程式指派的編號判斷，應該有近100人受害。</p> <p>他們發現攻擊者主要以竊取受害電腦資料為主，其次是清空資料夾、列舉本地用戶、移除公用資料夾／帳號／電腦或IP的檔案、以及列舉AD使用者及RDP用戶端。</p> <p><a href="https://www.theregister.com/2022/10/18/fully_undetectable_windows_powershell_backdoor/" target="_blank">研究人員指出</a>，這隻惡意程式偽裝手法很高明，關閉巨集功能是可以封堵一項攻擊管道，但是若攻擊者使用其他入侵管道進入用戶電腦，則仍然難以發現而得以達到監視竊聽用戶之目的。</p> </div></div></div>
2022/10/20 13:52作者林妍溱https://www.ithome.com.tw/news/153720
Fortinet新修補漏洞已有多起攻擊，逾1萬7千臺Fortinet設備恐曝險，臺灣635臺居第三
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_fortinetxin_xiu_bu_lou_dong_yi_you_duo_qi_gong_ji_tu_pian_lai_yuan_shadowserver.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全設備商Fortinet近日一項漏洞修補消息，由於業者通知用戶的方式有別於以往，再加上後續出現多起攻擊發生的態勢，所以引發了大家關注。</p> <p>這起事件的起因，主要是Fortinet通知用戶，修補CVE-2022-40684漏洞，而這漏洞的性質，屬於HTTP/HTTPS管理介面的驗證繞過漏洞，其CVSS風險評分達9.6分，主要影響了他們旗下的三款產品線，分別是:FortiOS、FortiProxy、FortiSwitchManager。</p> <p>只是，在這次漏洞修補通知過程中，<a href="https://www.ithome.com.tw/news/153533">Fortinet先在10月6日以電子郵件聯繫特定用戶，說明釋出CVE-2022-40684修補</a>，呼籲他們儘速更新防火牆及網頁安全閘道產品，或採取緩解措施，信中並指出，這項通知僅提供特定用戶，並強調內容極度機密，不可對外分享，日後才會公告。</p> <p>到了10月10日，Fortinet在自家網站的PSIRT資安公告區，公開說明上述漏洞CVE-2022-40684的更新修補已經釋出了，當中提及他們注意到已出現成功利用此漏洞的情形。此外，同日還有針對另外5個漏洞的更新修補公告。</p> <p>然而，在10月6日的隔天，就有用戶將CVE-2022-40684漏洞訊息公開，張貼於社群網站及客戶支援論壇，而且，接下來，許多媒體也都在官方公告前就報導此事，等於在廠商正式公告前，相關消息早已曝光。</p> <p>這也使得<a href="https://www.ithome.com.tw/news/153674">Fortinet在10月14日，又再更新CVE-2022-40684漏洞的資訊</a>中，不僅說明發生多起攻擊、公布相關IoC，也提到他們這次改變慣常的通知流程，是希望客戶能在對外發布公告之前，加強其安全態勢。</p> <p>對於這樣的通知，我們也詢問臺灣Fortinet為何出現這樣的狀況，他們表示，此事件的通知模式並非常態，主要期望幫用戶爭取更多的反應時間。</p> <p>但從結果來看，Fortinet這次低調的漏洞修補通知，其實在隔日就公諸於世，早於正式公告。因此，此作法的效果及影響，是否不如一開始就直接公開揭露，成為外界議論焦點。</p> <p>此外，我們再向臺灣Fortinet了解狀況，以確認事件經過。問題包括：是否可以說是攻擊者先找出這個漏洞利用，因此Fortinet發現後趕緊修補漏洞，在釋出更新後，決定在發布產品安全性更告知前，先行通知特定用戶更新，以爭取反應時間。以及是否所有受影響的用戶都先收到通知？還是企業若想要能先收到通知，需達到何種條件？目前正等待臺灣Fortinet回覆。</p> <h3><strong>多家業者對未修補用戶示警</strong></h3> <p>對於CVE-2022-40684漏洞被鎖定攻擊的情形，從Fortinet在10月14日所公布的資訊來看，之所以在6日調整了通知流程，是因為當時發現此漏洞遭濫用的一個實例，而到了14日，他們在公告提到，因為此重大漏洞的關係，已發生多起攻擊。</p> <p>該公司指出，在6日的早期對特定用戶進行祕密示警之下，已在他們設置的誘捕系統中，發現網路上有掃描受影響的設備，利用漏洞下載配置檔並安裝惡意管理員帳戶。</p> <p>另外值得關注的是，針對此漏洞進行攻擊，其他資安業者及組織也揭露各自的發現。例如，<a href="https://viz.greynoise.io/tag/fortios-authentication-bypass-attempt?days=3">資安業者GreyNoise表示</a>，關於CVE-2022-40684的攻擊，他們的系統每天都偵測到上百個IP位址，對網路進行相關的掃描；<a href="https://twitter.com/Shadowserver/status/1581019923450847232">Shadowserver基金會也發布報告</a>，他們發現全球有17,415臺設備，易受鎖定CVE-2022-40684漏洞利用攻擊，應該要被修補，且不應將管理介面暴露於網際網路上，而從各國來看，美國與印度的暴露數量最多，分別都有超過3千4百臺、 1千7百臺的規模，臺灣有635臺，位居第三。文☉林妍溱、羅正漢</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/fortinet">Fortinet</a></div><div class="field-item odd"><a href="/tags/cve-2022-40684">CVE-2022-40684</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div></div></div>
2022/10/20 12:39作者羅正漢https://www.ithome.com.tw/tech/153719
微軟伺服器配置錯誤，外洩客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://socradar.io/sensitive-data-of-65000-entities-in-111-countries-leaked-due-to-a-single-misconfigured-data-bucket/" target="_blank">資安業者SOCRadar周三（10/19）披露</a>，該公司的雲端安全模組（Cloud Security Module）持續掃描公開網路環境中的安全漏洞或不當配置，偵測到微軟Azure Blob Storage的一項配置錯誤而外洩了來自111個國家逾6.5萬家企業的資料，而這應是史上最嚴重的B2B外洩事件之一。<a href="https://msrc-blog.microsoft.com/2022/10/19/investigation-regarding-misconfigured-microsoft-storage-location-2/" target="_blank">微軟已證實此事</a>，但說SOCRadar誇大了外洩規模。</p> <p>根據SOCRadar的說法，這6.5萬家企業的機密資料會外洩都是因為單一伺服器的配置錯誤所造成，該伺服器含有許多SQLServer資料庫與各式檔案，總計約有2.4TB的資料量，資料日期介於2017年至2022年的8月，所外洩的包括執行證明（Proof-of-Execution，PoE）、工作說明書（Statement of Work，SoW）、使用者資訊、產品訂單、專案細節、個人可識別資訊（Personally Identifiable Information，PII），或者還有些文件可能含有智慧財產。估計有超過33.5萬封電子郵件、13.3萬個專案，以及54.8萬個使用者的資料曝光</p> <p>SOCRadar是在9月24日發現此事並通知微軟，雙方於本周同時對外公布。SOCRadar也提供了一個免費搜尋工具，讓企業輸入公司名稱以查詢自己是否受到該外洩事件的影響。</p> <p>微軟則解釋，此一意外肇因於微軟生態體系中某個沒在使用的端點不小心配置錯誤，得以讓未經授權的使用者存取微軟與潛在客戶之間的某些商業交易資料，涵蓋姓名、電子郵件帳號、電子郵件內容、企業名稱與電話號碼，或許還有某些微軟與客戶之間用來交流的附加檔案。</p> <p>微軟表示，這並非安全漏洞，在收到SOCRadar的通知之後已快速變更並保全其配置，且不管是客戶帳號或系統都未被入侵，並已逐一通知受影響的客戶，正努力改善內部程序以避免類似的事件再度發生。</p> <p>微軟雖然感謝SOCRadar的知會，但也批評SOCRadar過於誇大了資料外洩的規模，因為該資料集含有許多重複的資訊，包括電子郵件、專案及使用者，且SOCRadar在得知微軟回應後仍堅持使用原來的數字。</p> <p>對於SOCRadar提供外洩企業的免費搜尋工具，微軟亦感到不滿，指出這類的工具應該要顧及資料保護及隱私，應該有合理的身分認證系統來確認查詢人的資格，以及限制搜尋結果的範圍。</p> <p>其實SOCRadar的掃描工具不僅找到配置錯誤的微軟伺服器，也發現了其它外洩的公開儲存庫，只是外洩規模都不如微軟。</p> </div></div></div>
2022/10/20 11:46作者陳曉莉https://www.ithome.com.tw/news/153718
Space X推出飛機版衛星連網服務Starlink Aviation
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克的Space X繼推出海上版及汽車版衛星連網服務後，<a href="https://www.starlink.com/aviation" target="_blank">本周再公布</a>用於機艙的衛星連網服務Starlink Aviation，預計明年年中上市，強調為旅客提供高速、低延遲性的上網服務。</p> <p>Starlink Aviation安裝於機艙內，宣稱每架飛機提供高達350Mbps的連網頻寬，讓所有乘客都能同時獲得串流等級的連網服務。該服務延遲性僅20毫秒，使用者可以享受過去機上連網做不到的事，像是視訊、線上遊戲、連VPN及其他高數據傳輸率的活動。<a href="https://twitter.com/elonmusk/status/1582576552797081607" target="_blank">馬斯克今日也在推特上</a>推銷這項服務，說這項服務讓機上乘客上網像在家中</p> <p>這項服務強調全球涵蓋率，因為Starlink的衛星星群為全球最大，覆蓋面橫跨陸地、海洋及極區，因此用戶整個航程都可享受到高傳輸頻寬。</p> <p>Starlink Aviation將是由航空公司或飛機持有者採購以提供給乘客，月租費為12,500 到25,000美元不等，Space X強調不需綁長約，且簡易好安裝，停機率低，能整合於其他維修檢測流程。這項服務現在提供預購，預計2023年中開通。</p> <p>客戶還需花150,000美元購買Starlink Aviation套件，包含空中基地臺Aero Terminal、電源、2個無線AP及線束組。而核心的空中基地臺Aero Terminal包含具有波束控制功能的相位陣列天線，可提供穩定性、備援能力及效能。Space X也提供了Starlink Aviation支援的航空器機型清單。</p> <p><a href="https://www.ithome.com.tw/news/151742" target="_blank">Space X今年7月獲得美國聯邦通訊委員會許可</a>後，開始將其Starlink推向遊輪、飛機、火車與汽車。今年4月SpaceX分別和夏威夷航空及提供私人專機的JSX航空簽約，透過結合Starlink，使航空公司可在飛機上部署Wi-Fi服務。</p> </div></div></div>
2022/10/20 11:09作者林妍溱https://www.ithome.com.tw/news/153716
macOS 13 Ventura、iPadOS 16將在10月24日釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伴隨著<a href="https://www.ithome.com.tw/news/153698" target="_blank">新款iPad及iPad Pro</a>的公布，蘋果本周也公布作業系統<a href="https://www.apple.com/in/macos/ventura/" target="_blank">macOS 13 Ventura</a>及<a href="https://www.apple.com/newsroom/2022/10/apple-introduces-next-generation-ipad-pro-supercharged-by-the-m2-chip/" target="_blank">iPadOS 16</a>將在10月24日釋出正式版。</p> <p>最新版Mac電腦及iPad作業系統都是在今年6月的<a href="https://www.ithome.com.tw/news/151318" target="_blank">WWDC 2022上首度公布</a>。按照蘋果慣例，新作業系統會在當年秋天新裝置上市後一周釋出。在向大眾釋出正式版之前，蘋果昨日針對開發人員釋出<a href="https://developer.apple.com/documentation/macos-release-notes/macos-13-release-notes" target="_blank">macOS Ventura</a>、<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-16_1-release-notes" target="_blank">iPadOS16.1</a>、<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-16_1-release-notes" target="_blank">iOS 16.1</a>、<a href="https://developer.apple.com/documentation/safari-release-notes/safari-16_1-release-notes" target="_blank">Safari 16.1</a>以及watch 9.1、tvOS16.1的RC（release candidate）版本以及釋出公告（release note），邀請開發人員上傳為最新版作業系統打造的App。</p> <p>將在下周公布的macOS 13 Ventura及iPadOS 16，蘋果已經經由多次beta版向大眾介紹過。Ventura新增的Stage Manager以更靈活方式在不同App和視窗間切換又不致混淆（下圖）。接續互通相機（Continuity Camera）功能讓Mac用戶得以利用鄰近的iPhone作為電腦的網路攝影機，Ventura並為FaceTime提供了接力（Handoff）功能，可在不同iOS及Mac裝置間順暢串流影像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-Stage%20Manager-Stage%20Manager(1).png" style="width: 600px;" /></p> <p>macOS 13 Ventura支援硬體包括iMac 2017年機種及以後版本、iMac Pro 2017年機種、MacBook Air 2018年機種及以後版本、MacBook Pro 2017年機種及以後版本、Mac Pro 2019年機種及以後版本、Mac Studio 2022年機種及以後版本、Mac mini 2018年機種及以後版本，以及MacBook 2017年機種及以後版本。</p> <p>iPadOS 16亦主打強化多工作業能力。同樣地，iPad也新增Stage Manager方便用戶在iPad上執行多個App或視窗。這項功能原本只支援去年M1版iPad Air及iPad Pro，隨著新作業系統推出，也將延伸到更多機種。可安裝iPadOS 16的iPad包括iPad Pro全系列、iPad Air 3代以後、iPad 5以後及iPad mini 5以後。</p> </div></div></div>
2022/10/20 09:48作者林妍溱https://www.ithome.com.tw/news/153714
Windows Terminal現成為Windows 11預設終端工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows Terminal經過多次更新，隨著最新的Windows 11 22H2版本發布，成為<a href="https://devblogs.microsoft.com/commandline/windows-terminal-is-now-the-default-in-windows-11/">Windows 11預設命令工具</a>，這代表所有命令應用程式現在都會自動以Windows Terminal啟動。用戶需要使用Windows Terminal 1.15以上版本，才能使預設行為生效。</p> <p>在Windows設定中隱私和安全的開發人員頁面，還有Windows Terminal設定的啟動頁面，可以調整Windows Terminal預設。Windows Terminal作為Windows 11預設工具的行為，只會在用戶使用讓Windows決定（Let Windows decide）的選項才會發揮作用，如果用戶已有配置預設終端，則此項更新不會覆蓋用戶的偏好。</p> <p>藉由使用Windows Terminal，用戶可以擁有多個命令列配置檔案，這些檔案和命令列應用程式相關聯，根據用戶偏好單獨設定，當用戶使用WSL或是Visual Studio，Windows Terminal會自動產生配置檔案。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/commandline/wp-content/uploads/sites/33/2022/10/terminal-settings-2048x1213.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Windows Terminal支援分頁和多窗格，可供用戶靈活使用，使工作流程更加順暢，Windows Terminal終端還提供豐富的操作，讓用戶能夠控制與終端的互動，同時微軟也提供了命令面板，使用戶能夠更簡單地尋找這些功能，另外，Windows Terminal終端也提供大量的自定義選項，像是背景、配色主題和透明度等設定。</p> </div></div></div>
2022/10/20 08:58作者李建興https://www.ithome.com.tw/news/153706
Ansible Playbook語法太複雜？Red Hat讓AI幫忙寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Red Hat和IBM研究院共同發表了<a href="https://www.businesswire.com/news/home/20221018006095/en/Red-Hat-and-IBM-Research-Advance-IT-Automation-with-AI-Powered-Capabilities-for-Ansible">Project Wisdom</a>，這是一項針對Ansible和IT自動化，運用自然語言處理技術的社群專案，Project Wisdom可以依據自然語言輸入，自動產生Ansible Playbook語法，以實現高度IT自動化，也使不同背景和技能的IT人員，能更容易地實現IT自動化。</p> <p>Project Wisdom源自IBM AI for Code專案中人工智慧基礎，讓用戶能夠以簡單的英文句子作為輸入，人工智慧模型會解析句子並且建構請求的自動化工作流程，編寫成Ansible Playbook以自動化IT任務，官方提到，與其他人工智慧程式碼編寫工具不同的地方在於，Project Wisdom並非用於應用程式開發，而是專注於解決因為企業混合雲應用增加，隨之而來的IT複雜性。</p> <p>Project Wisdom的目標，是填補Ansible YAML程式碼與人類自然語言之間的差距，用戶只要使用英文語句，人工智慧就可以產生語法正確且功能強大的自動化程式碼，協助通常僅在本地端作業的系統管理員，透過使用自然語言就可以輕易生成，跨網域在其他環境執行建置、配置和操作任務的Playbook指令。</p> <p>而不熟悉雲端平臺的開發者也能夠藉由使用Project Wisdom，增加對雲端配置應用程式的熟悉度，官方還提到，Project Wisdom使跨部門新人在建立基礎知識的同時，就已經可以立即生成可用的內容，無需仰賴過去傳統的教學模式。</p> <p>Red Hat和IBM研究院承諾，Project Wisdom及基礎人工智慧模型的程式碼庫，將會持續向社群公開，而來自Red Hat和IBM研究院的Ansible專家，將會是微調人工智慧模型的主要人員，Ansible社群將扮演主題專家和測試人員的角色。</p> </div></div></div>
2022/10/20 09:03作者李建興https://www.ithome.com.tw/news/153708
GitHub推出精細度個人存取權杖強化儲存庫權限管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub的個人存取權杖（Personal Access Token，PAT）將可配置更為精細的存取權限，使管理員可以細微地控制PAT權限，進而控制儲存庫存取，還能以政策控制存取組織資源的權杖，並獲得權杖可見性。新的<a href="https://github.blog/2022-10-18-introducing-fine-grained-personal-access-tokens-for-github/">精細度</a><a href="http://github.blog/2022-10-18-introducing-fine-grained-personal-access-tokens-for-github/">PAT</a>現在已可供GitHub.com上所有用戶、組織和企業使用。</p> <p>官方提到，企業資料洩漏的第一大原因是憑證洩漏。當前GitHub雖然有許多安全措施，避免開發人員和企業遭遇這類安全問題，像是以行動應用和支援webauthn，讓開發人員更簡單地採用2FA，並且在推送時替GitHub進階安全用戶掃描機密資訊。</p> <p>但是這些機制仍難以完全保護憑證，因此限制能夠存取儲存庫和資料的用戶，僅獲得工作所需的最小存取權限就顯得重要，GitHub現在的PAT只提供非常粗略的權限設定，包括授權用戶存取所有儲存庫和組織的權限，而組織擁有者也幾乎沒有任何控制和可見性，因此為了要進一步提高開發人員和組織安全層級，GitHub加入了能夠精細控制存取權限的新型PAT。</p> <p>原本的PAT仍然存在並且受完全支援，只不過現在稱為典型（Classic）個人存取權杖，使用者可獲得廣泛的讀取和寫入權限，可以存取所有的儲存庫和組織，無時效性永遠存在，像是在私有儲存庫中，對儲存庫範圍的所有資料獲得永久存取權限。</p> <p>而精細度PAT的權限相對更為限縮，整體權限具有50多項精細權限控制項，這些權限控制限制用戶對GitHub組織、用戶和儲存庫API的存取，例如，管理員現在可以創建一個只能讀取問題，但不能讀取儲存庫的PAT。精細度PAT有時效，而且只能存取明確被授予存取權限的儲存庫和組織，可被配置只能存取組織中的單一儲存庫。</p> <p>典型PAT不受組織和企業管理員控制，但精細度PAT提供組織更多控制權，在組織配置中的精細度PAT頁籤，組織擁有者可以選擇准許開發人員存取組織中任一儲存庫，並且查看和撤銷組織中的精細度PAT。另外，管理員還可以在政策頁籤中，對精細度PAT設置組織政策。</p> <p>官方鼓勵用戶在所有適用之處使用精細度PAT，因為即便精細度PAT洩漏，也能夠最大程度降低攻擊面。不過，部分功能還不能使用細度PAT，用戶現在還需要使用典型PAT存取企業外組織，這代表開源和內部資源貢獻，仍無法透過精細度PAT管理，且企業帳戶API整合，還是需要典型PAT或是oAuth應用程式。</p> <p>而對於有長期自動化的需求，官方則是建議使用GitHub Actions或GitHub應用程式，GitHub應用程式提供與精細度PAT相同，具高度針對性的權限選項和管理員控制，並且與潛在離開公司和專案的個人用戶無關。目前精細度PAT僅支援REST API，未來還會提供GraphQL支援。</p> </div></div></div>
2022/10/19 23:19作者李建興https://www.ithome.com.tw/news/153704
德國媒體集團遭勒索軟體攻擊，報紙與電子報都停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.stimme-mediengruppe.de/Cyberangriff/" target="_blank">德國媒體集團Stimme Mediengruppe上周五（10/14）遭到勒索軟體攻擊</a>，所有系統都被鎖住，癱瘓了旗下媒體的運作，連平面報紙或是電子報都無法出版。</p> <p>Stimme Mediengruppe旗下媒體包括Heilbronn Stimme、echo、Brettener Woche、pVS、Stimme Logistik與RegioMail。根據該集團的說明，駭客的攻擊發生在上周四晚上至周五，到了周五早上，大多數的媒體都因此而癱瘓，從電話、電子郵件、紙本報紙到電子報全都停擺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Stimme%20Mediengruppe.png" style="width: 600px;" /></p> <p>幸好echo24.de與stimme.de還能正常運作，提供每日最新消息，stimme.de也暫時撤下了付費牆，並由Brettener Woche印製了6頁的緊急版本。</p> <p>雖然系統尚未完全復原，但發行量約7.5萬份的Heilbronn Stimme周一（10/17）即出版了28頁的電子報，並供所有人免費存取，周二（10/18）進一步印製了平面報紙。</p> <p>Heilbronn Stimmet總編輯Uwe Ralf Heer對外表示，相關攻擊是由知名的勒索集團所發動，加密了Stimme Mediengruppe集團的系統，並留下了勒索信。</p> <p>不過，Stimme Mediengruppe以仍在調查當中為由，並未透露包括贖金等攻擊細節。</p> </div></div></div>
2022/10/19 23:48作者陳曉莉https://www.ithome.com.tw/news/153713
Oracle Alloy供企業獨立營運並經營雲端基礎設施服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Oracle推出了一個新的雲端基礎設施平臺<a href="https://www.oracle.com/news/announcement/ocw-oracle-alloy-brings-power-of-cloud-to-masses-2022-10-18/">Alloy</a>，可讓組織成為雲端供應商，向終端用戶提供自家營運的OCI（Oracle Cloud Infrastructure）服務，組織可以在本地資料中心內獨立且完全控制雲端服務營運，滿足資料控制和資料主權要求，對於高度監管的產業，如醫療保健和金融服務，便可以使用自己的硬體來建構雲端服務。</p> <p>Alloy使服務供應商、軟體供應商和金融機構等組織，可以立即成為雲端供應商，向其用戶推出新的雲端服務，這些組織可以提供全套雲端服務、品牌化和客製化體驗，並且綑綁額外的加值服務和應用程式，以滿足垂直市場的特殊需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/rc24-oracle-alloy.jpg" style="width: 580px;" /></p> <p>由於組織可以在自己的資料中心獨立執行Alloy，完全控制其營運，滿足特殊的監管需求。Alloy使組織能夠在雲端服務中加入更多客製化和控制功能，使其不受限制地進行創新，像是提供公部門和需要將工作負載保留在國內，並獨立營運自有資料中心的使用案例。</p> <p>Alloy將OCI許多基礎架構和平臺服務擴展至組織的環境，不論是出於效能和資料主權等原因，都能使雲端環境更接近本地，Alloy能夠提供與OCI相同的100多種基礎設施和平臺服務，同時組織也可以在自己資料中心使用預整合硬體和軟體平臺，針對市場需求訂製產品。</p> <p>組織能使用Alloy以自有品牌提供雲端服務，控制商業條款與客戶關係，同時也能使用客製化的OCI控制臺、通知、警示、SDK和文件，也能夠設定定價、帳戶類型和折扣計畫，結合Oracle Fusion Cloud ERP產品的嵌入式財務管理功能，組織可以管理客戶生命周期，開立發票和計費。</p> </div></div></div>
2022/10/19 23:50作者李建興https://www.ithome.com.tw/news/153705
【資安日報】2022年10月19日，Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Str…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache針對旗下的程式庫Commons Text，在9月底修補重大漏洞CVE-2022-42889，並於近日提出警告。這個漏洞引起不少研究人員高度關注，但原因為何？有資安專家指出，由於有許多Java專案都採用這個程式庫，嚴重程度很可能直逼Log4Shell。</p> <p>滲透測試工具Cobalt Strike近日發布更新，原因是修補一項9月下旬修補不全引發的RCE漏洞CVE-2022-42948。軟體開發商表示，這項漏洞涉及該工具所使用的框架。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://cofense.com/blog/scammers-are-targeting-hurricane-relief-funds-through-fema"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊恩颶風災情慘重，美國政府救濟金發放被駭客盯上，駭客透過即時通訊討論如何冒領的內容曝光</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FEMA-Image-1-FEATURED-IMAGE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FEMA-Image-1-FEATURED-IMAGE.jpg" style="width: 300px; float: right;" /></a>伊恩颶風重創美國佛羅里達州，該國政府對此提供民眾救濟金，但傳出有人意圖詐領的現象。資安業者Cofense發現，多個駭客WhatsApp群組流傳申請災害補助的資訊，內容包含在DisasterAssistance.gov網站填寫表格的螢幕截圖，但其實相關的對話，都是駭客之間交流如何向聯邦緊急事務管理署（FEMA）詐領救濟金，過程中他們會填寫竊得或買來的社會安全碼（SSN）來提出申請。研究人員指出，這些企圖詐領救助金的人士很可能都來自奈及利亞，並向FEMA通報。</p> <p>郵件安全業者Inky、SlashNext也發現針對佛羅里達州民眾的釣魚郵件攻擊，並研判目標是為了騙取個資，而有可能被用於冒領政府補助。</p> <h3><a href="http://www.ic3.gov/Media/Y2022/PSA221018"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">需要就學貸款的美國學生遭網路釣魚攻擊鎖定</span></strong></a></h3> <p>美國針對學生推出聯邦學生援助計畫（Federal Student Aid）並於近日開放申請，美國聯邦調查局提出警告，駭客也在此同時盯上這些想要申請優惠貸款的學生──他們會設置樣貌雷同的詐騙網站，並以釣魚郵件引誘人們上鉤，進行竊取受害者的資料，或是巧立名目收取各式費用。</p> <h3><a href="https://labs.withsecure.com/advisories/microsoft-office-365-message-encryption-insecure-mode-of-operation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Microsoft 365的訊息加密功能可能會洩漏結構性資訊</span></strong></a></h3> <p>資安業者WithSecure提出警告，微軟Office 365提供的訊息加密（OME）機制，因使用電子密碼本（ECB）的保護模式不夠安全，有可能洩漏關鍵資訊。研究人員強調，利用此漏洞不需要知道加密金鑰，所以，就連自帶金鑰或是類似的加密金鑰保護措施，都無法緩解這個問題。然而，微軟認為這不算是漏洞，所以不會變更程式碼，也不會發布CVE漏洞公告。為此，研究人員呼籲用戶應避免使用OME。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.darkreading.com/application-security/researchers-keep-a-wary-eye-on-critical-new-vulnerability-in-apache-commons-text"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現影響程度直逼Log4Shell的漏洞！Apache修補Commons Text重大漏洞CVE-2022-42889</span></strong></a></h3> <p>Apache軟體基金會（ASF）於9月底發布字串演算法程式庫Commons Text 1.10.0，修補重大漏洞CVE-2022-42889，其CVSS風險評分達到9.8分，影響1.5至1.9版Commons Text，起因是該軟體執行變量差值（interpolation）採用的預設參數不安全。最近該基金會發布資安公告呼籲用戶儘速更新，美國國家標準暨技術研究院（NIST）也提出相關警告。</p> <p>由於該程式庫在Maven Central套件庫約有2,558個專案採用，資安專家Kevin Beaumont認為，這樣的漏洞很有可能引發類似Log4Shell的效應。資安業者GreyNoise表示，此漏洞已有概念性驗證（PoC）攻擊程式出現。</p> <h3><a href="https://securityintelligence.com/posts/analysis-rce-vulnerability-cobalt-strike/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">滲透測試工具Cobalt Strike出現重大RCE漏洞，起因是修補不全造成</span></strong></a></h3> <p>軟體開發商HelpSystems發出公告，<a href="https://www.cobaltstrike.com/blog/out-of-band-update-cobalt-strike-4-7-2/">他們針對滲透測試工具Cobalt Strike的漏洞CVE-2022-42948，發布外部修補（out-of-band patch）</a>，這項漏洞只影響4.7.1版Cobalt Strike。</p> <p>起因是該公司於9月20日發布的更新程式不完整，原本是要修補跨網站程式碼（XSS）漏洞CVE-2022-39197，卻被IBM的研究人員發現，駭客可在特定情況下，透過開發商用於設計使用者操作介面的Java Swing框架，來觸發遠端程式碼執行攻擊。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://github.com/cisagov/RedEye/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國政府提供紅隊分析工具RedEye</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/redeye-hero-screenshot-by_cisa_on_github.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/redeye-hero-screenshot-by_cisa_on_github.jpg" style="width: 300px; float: right;" /></a>美國網路安全及基礎設施安全局（CISA）與美國能源部太平洋西北國家實驗室（CNNL）聯手，開發紅隊分析工具RedEye，並透過GitHub以開放原始碼的方式提供。此為互動式分析工具，可用來視覺化及匯報紅隊的命令及控制活動，讓操作者可快速存取複雜的資料，評估緩解策略，最終促進有效的決策，且只需少數的人為介入就能達成目的。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153700"><span style="color: rgb(0, 0, 0);">行政院將修正禁用中國資通產品條例，例外使用需經資安長同意</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/verizon-notifies-prepaid-customers-their-accounts-were-breached/"><span style="color: rgb(0, 0, 0);">Verizon警告預付卡用戶手機門號挾持攻擊，至少有250個用戶受到影響</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/police-dismantles-criminal-ring-that-hacked-keyless-cars/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國、拉脫維亞、西班牙警方逮捕31名偷車賊，涉及竄改汽車診斷系統繞過無錀匙啟動機制</span></span></strong></a></p> <p><a href="https://www.smh.com.au/technology/online-wine-seller-vinomofo-suffers-major-data-breach-20221018-p5bqlf.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路酒商Vinomofo傳出外洩客戶資料</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153639">【2022年10月14日】資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服務Caffeine</a></strong></strong></strong></p> </div></div></div>
2022/10/19 18:36作者周峻佑https://www.ithome.com.tw/news/153707
微軟釋出Windows 10 22H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/10/18/how-to-get-the-windows-10-2022-update/" target="_blank">微軟周二（10/18）宣布</a>，已開始釋出Windows 10 22H2更新，只要是目前執行Windows 10 20H2或之後版本的裝置，都能升級至Windows 10 22H2。</p> <p>就算微軟在一年前（2021年10月5日）便已推出最新的Windows 11，但Windows 10仍是市場上最普及的Windows作業系統。<a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">依據Statcounter的統計</a>，目前全球的Windows裝置中，仍有高達71.87%執行Windows 10，最新的Windows 11只占了13.56%，Windows 7以10.68%排名第三。另根據<a href="https://www.ithome.com.tw/news/153553" target="_blank">專門建置IT資產管理解決方案的Lansweeper調查</a>，組織內所使用的Windows裝置中，Windows 10占有率更高達81.87%，只有2.61%安裝了Windows 11。</p> <p>不過，微軟並未特別公布Windows 10 22H2的特色或新功能，僅說該版本著重於Windows整體經驗的品質改善，諸如既有功能的品質、生產力與安全等。</p> <p>有興趣升級的使用者可透過Windows Update檢查是否有可更新的版本，再選擇下載與安裝（Download and install ），系統會在下載完成時通知使用者，並由使用者自行決定方便安裝的時間。</p> <p>至於微軟則建議商用客戶可先在少數裝置上部署Windows 10 22H2，以確認相關的程式、裝置與架構都能相容。</p> <p>微軟也提醒，所有Windows 10 21H1版本都將在2022年的12月13日終止服務，Windows 10 20H2的大型企業與教育版則會在2023年的5月9日終止服務，屆時執行這些版本的裝置都將無法再收到每月的安全及品質更新。</p> <p>而新的Windows 10 22H2家用與專業版仍能再收到18個月的服務，大型企業與教育版則有30個月。</p> </div></div></div>
2022/10/19 16:33作者陳曉莉https://www.ithome.com.tw/news/153703
Meta同意出售GIF圖庫平臺Giphy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭及市場管理局（Competition and Markets Authority，CMA）周二（10/18）公布了Meta併購GIF圖庫平臺Giphy一案的最終裁決，指出該交易確實危害市場競爭，已正式要求Meta出售Giphy，而Meta亦已決定接受此一裁決。<a href="https://www.cnbc.com/2022/10/18/facebook-parent-meta-ordered-to-sell-giphy-by-uk-competition-regulator.html" target="_blank">根據《CNBC》的報導</a>，這應該是全球首次有監管機關撤回科技巨擘（Big Tech）已經完成的交易。</p> <p>成立於2013年的Giphy主要提供GIF動畫檔的資料庫與搜尋引擎，是全球網路最大的GIF動態圖庫，<a href="https://www.ithome.com.tw/news/137664" target="_blank">Meta是在2020年5月宣布收購Giphy</a>，雙方並未公布交易價格，但外傳此一交易價值4億美元。</p> <p>然而，<a href="https://www.ithome.com.tw/news/146188" target="_blank">CMA卻在去年8月針對此案展開調查</a>，<a href="https://www.ithome.com.tw/news/148108" target="_blank">同年12月便認為</a>該交易危害市場競爭，要求Meta出售Giphy，但Meta選擇向英國競爭事務上訴審裁處（Competition Appeal Tribunal，CAT）提出上訴，結果CAT在今年7月決定維持CMA的裁決，而CMA即於本周公布了正式裁決，亦即要求Meta剝離Giphy。</p> <p>CMA指出，Meta與Giphy的合併案將阻止或限制其它社交平臺存取Giphy的GIF檔，特別是在Meta旗下社交品牌於英國市占率已高達73%之際，或者是利用Giphy的資源來存取其它社交平臺的客戶資料，此外，Giphy原本有機會成為Meta於陳列式廣告上的競爭對手，但該交易則直接消弭了相關競爭。</p> <p>CMA指出，唯一避免衝擊市場競爭的方法，是將Giphy出售給其它被批准的買家。</p> <p>總之，CMA與CAT的裁決讓Meta不得不剝離Giphy。《CNBC》取得了Meta對此事的聲明，表示該公司雖然對此一判決感到失望，但決定接受此事，並將與CMA密切合作以順利出售Giphy。</p> </div></div></div>
2022/10/19 15:26作者陳曉莉https://www.ithome.com.tw/news/153702
終結連兩季的下滑，Netflix用戶增加逾200萬，盤後上漲14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s22.q4cdn.com/959853165/files/doc_financials/2022/q3/FINAL-Q3-22-Shareholder-Letter.pdf" target="_blank">影片串流龍頭Netflix周二（10/18）公布該公司今年第三季財報</a>，該季Netflix締造了79.3億美元的營收，成長5.9%，每股盈餘為3.1美元，此外，該季Netflix付費訂閱用戶數增加了241萬，使其全球訂閱人口達到2.23億人，終止了連兩季的衰退，由於財報超乎預期，讓該公司當天盤後股價大漲14.38%，達275.5美元。</p> <p>值得注意的是，縱使外界認為Amazon與Disney +或Hulu是Netflix最強勁的競爭對手，但Netflix指出，該平臺仍是多數串流用戶的首選，在英國有8.2%的影片觀賞是透過Netflix，都是Amazon或Disney +的兩倍以上，Netflix在美國電視時間的占比則是7.6%，是Amazon的2.6倍，也是Disney +的1.4倍。</p> <p>Netflix亦強調，有鑑於這些競爭對手都投入了龐大的金額來推動訂閱用戶以及與用戶的交流，但要興建一個規模龐大且成功的串流業務並不容易，因此估計它們都是虧損的，光是在今年其總計虧損金額可能超過100億美元，但Netflix卻有50億美元以上的營業利潤。</p> <p>除了影片串流服務之外，Netflix於去年11月推出的遊戲服務即將屆滿一年，目前該平臺提供了35款行動遊戲。目前Netflix正在開發另外的55款遊戲，並有許多遊戲與Netflix的版權有關，並說已看到跨越電視/電視及遊戲內容的巨大機會，例如在動畫《電馭叛客：邊緣行者》（Cyberpunk: Edgerunners）上映後，該遊戲出版商CD Projekt的PC遊戲突然變得很熱門。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/153633" target="_blank">Netflix準備在今年11月於12個市場推出更便宜的廣告版服務</a>。Netflix於財報中揭露，這12個市場的電視與串流媒體廣告支出規模為1,400億美元，已占全球市場的75%以上，其廣告版訂價策略則是比原先最基本的價格還要便宜20%~40%，例如美國的無廣告基本版的每月費率為9.99美元，但廣告版則是6.99美元，且廣告商對此一服務的反應非常積極。</p> <p>而最受到使用者關注的應該就是Netflix打擊帳號分享的策略了。Netflix說，他們已經找到一種如何自帳號分享獲利的方法，而且會在明年初擴大實施，<a href="https://www.ithome.com.tw/news/153677" target="_blank">將讓使用他人帳號的使用者可移轉自己的個人檔案</a>，同時讓借人帳號的用戶得以建立子帳號來替未住在一起的親友支付額外的費用。Netflix也預期在推出廣告版的這12個國家中，移轉個人檔案的功能會相對熱門。</p> </div></div></div>
2022/10/19 13:21作者陳曉莉https://www.ithome.com.tw/news/153701
蘋果更新iPad家族，搭載M2晶片的iPad Pro問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（10/18）更新了iPad家族產品線，此次更新的是<a href="https://www.apple.com/newsroom/2022/10/apple-unveils-completely-redesigned-ipad-in-four-vibrant-colors/" target="_blank">入門款的iPad</a>，以及最高階的<a href="https://www.apple.com/newsroom/2022/10/apple-introduces-next-generation-ipad-pro-supercharged-by-the-m2-chip/" target="_blank">iPad Pro</a>。它們都採用最新的iPadOS 16作業系統，但前者搭載的是2020年用於iPhone 12上的A14仿生晶片，後者則是搭載今年才問世、已應用於Mac產品線上的M2晶片，第十代iPad的最低售價為449美元（臺灣售價14,900元新臺幣），iPad Pro則是799美元（27,900元新臺幣），即日起開放預購，預計於10月26日出貨，惟臺灣上市日期未定。上一代的iPad與iPad Pro都是在去年出爐。</p> <p>相較於第九代的iPad採用10.2吋螢幕、A13晶片、800萬與1,200萬畫素的相機，新一代iPad將螢幕尺寸擴大到10.9吋，採用A14晶片，相機全面升級至1,200萬畫素與橫向超廣角。升級的晶片讓第十代iPad的CPU與繪圖效能改善了20%與10%，機器學習能力則增加了80%，蘋果亦號稱它的速度是市場上最熱門Android平板電腦的5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-iPad-10th-gen-Liquid-Retina-display-221018.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p>此外，新iPad支援Wi-Fi 6、5G與USB-C，另一個賣點則是它更多彩了，提供銀色、藍色、粉紅色與黃色供消費者選購。在第十代iPad發表之際，蘋果官網仍持續銷售第九代iPad，價格為329美元（10,900元新臺幣）。</p> <p>高階的iPad Pro則有11吋與12.9吋兩種版本，與前一代的主要差異在處理器。M2處理器本身的8核CPU就比M1快了15%，其10核GPU的繪圖效能亦比前一代快了35%，記憶體頻寬亦比M1多出50%，使得新版iPad Pro在處理機器學習任務上更為強大。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-iPad-Pro-Magic-Keyboard-M2-hero-2up-221018.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>此外，新一代的iPad Pro與iPadOS 16進一步釋放了第二代Apple Pencil的能力。現在iPad Pro可偵測到位於螢幕上方1.2公分處的Apple Pencil，讓使用者可更精準地落筆，例如在手寫轉文字的Scribble功能中，在Apple Pencil靠近螢幕時，Scribble的文字欄位便會自動變大，而且轉換時間也更快。</p> <p>M2版iPad Pro支援Wi-Fi 6E及5G，11吋版本的最低售價為799美元（27,900元新臺幣），12.9吋版本則是1,099美元（37,900元新臺幣）。</p> <p>上述新款iPad都採用最新的iPadOS 16，新版Messages允許使用者編輯與收回訊息，或是回復所刪除的訊息；新增的生產力程式Freeform可支援Apple Pencil與協作；Safari將能與他人共享分頁群組；可設定郵件寄送時間或是刪除剛寄出的郵件；還有可自動辨識圖片中文字的Live Text功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1019-Apple-WWDC22-iPadOS-16-Freeform.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">iPadOS 16新增的生產力程式Freeform支援Apple Pencil與協作，圖片來源／蘋果</span></span></p> </div></div></div>
2022/10/19 11:32作者陳曉莉https://www.ithome.com.tw/news/153698
傳HoloLens讓美國陸軍感覺頭暈、噁心等不適症狀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>報導指出，提供美國陸軍軍事及訓練用的微軟混合實境（mixed reality，MR）頭戴裝置，讓測試的美國大兵出現頭暈、眼睛疲勞或頭痛等症狀。</p> <p><a href="https://www.ithome.com.tw/news/143585" target="_blank">美國陸軍2021年和微軟簽下220億美元合約</a>採購HoloLens作為其整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS），提供美國陸軍近距離作戰部隊作為作戰、演習及訓練使用。以HoloLens打造的軍事設備具備整合式抬頭顯示器，可顯示高解析度夜視、熱感測及穿戴式感測器數據，也整合擴增實境（AR）與機器學習技術，可提供軍隊的混合實境（MR）訓練環境。</p> <p><a href="https://www.businessinsider.com/microsoft-hololens-like-army-device-gets-poor-marks-from-soldiers-2022-10" target="_blank">《Business Insider》</a>及<a href="https://www.bloomberg.com/news/articles/2022-10-13/microsoft-s-us-army-version-of-hololens-goggles-gave-soldiers-nausea-headaches" target="_blank">《彭博》</a>（Bloomberg）近日分別取得美國國防部針對HoloLens使用者測試的報告，似乎顯示阿兵哥們用得並不舒服。</p> <p>彭博社宣稱取得五角大厦一份五到七月的79頁HoloLens實測報告，指出有美國士兵反映噁心、頭痛及眼睛疲勞等症狀。另外，在出現「影響任務的生理不適狀況」的使用者之中，80%在使用3小時內出現身體狀況。</p> <p>HoloLens引發使用者頭暈、噁心的問題常見於VR、AR等裝置，也是目前業界技術研發的重點之一。但除了造成使用者身體狀況外，《Business Insider》還報導，HoloLens鏡面的反光可在數百公尺外看到，會曝露作戰軍人位置。一名使用者抱怨這東西會害死他們。</p> <p>《Business Insider》引述一未具名微軟員工說法，指出在6次美國軍方的操作示範評估中，IVAS頭戴裝置有4次無法通過。《彭博》則引述報告中美國陸軍操作測試及評估主任Nickloas Guertin的總結，指IVAS頭戴裝置需要改進的地方包括視野、低光源感測器、顯示器清晰度，甚至一些必要功能也運作不太穩定。</p> <p>但報告也指出，HoloLens也有不錯的地方，像是平均斷線時間已縮短，而且最近一次軟體更新已改善了部隊移動時的進行和協同。</p> <p>根據這紙218.8億美元的合約下，微軟將在10年內提供美陸軍12萬副AR頭戴裝置。</p> <p>開發HoloLens的微軟部門近日處於組織重整。發明HoloLens的Alex Kipman因和組織不睦及個人言行問題，於年中離開公司，<a href="https://www.ithome.com.tw/news/151356" target="_blank">HoloLens部門也分別併入Teams及Windows裝置部門</a>，持續投入元宇宙解決方案的發展。<a href="https://www.ithome.com.tw/news/149215" target="_blank">微軟也駁斥</a>終止第三代HoloLens開發的傳言。</p> </div></div></div>
2022/10/19 11:51作者林妍溱https://www.ithome.com.tw/news/153699
政院將修正禁用中國資通產品條例，例外使用需經資安長同意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國眾議院議長裴洛西八月訪臺時，有超商以及火車站的電子看板遭駭，經查是因為業者使用中國廣告播放軟體致使駭客得以利用漏洞、置入惡意內容。這樣的惡意行為也引發全民重視，行政院數位發展部部長唐鳳在該部掛牌第一則公文就是，預告將修訂於2019年4月18日行政院發布的「各機關對危害國家資通安全產品限制使用原則」，並提交公共政策參與平臺討論、收集各界意見。數位發展部表示，目前各界意見支持修法，一旦完成草案修訂，將立即公布適用。</p> <p>此次修訂的的內容，主要在於擴大公務機關原有禁用中國資通產品的範圍，更特別的是，更首度納入，如果公務機關在不得已的情況下，只能採用中國製造的資通訊產品時，必須獲得該機關以及上級機關兩位資安長的同意，並且跟數位發展部報備後，並將使用的資通訊產品造冊列管。</p> <h2><strong>租賃公共場合廣告牆的業者，也必須遵守禁用中國製資通產品規定</strong></h2> <p>根據「各機關對危害國家資通安全產品限制使用原則修正草案」中的新增的修訂內容，未來該條例的適用範圍將從原本的公務機關擴及到委外合作廠商所使用的軟、硬體及服務，都受到該法的規範。</p> <p>新增的修正草案內容指出，各機關自行或委外營運，提供公眾活動或使用場地所使用的產品，不論其產品是否為機關財產，都必須遵守該條例所規定禁用產品相關要求。</p> <p>也就是說，包括像是臺鐵等公共場合中，如果有提供民間業者租賃的廣告牆、電子看板等，未來在該條例公布後，都必須在委外契約或是場地使用規定中明訂，租賃業者所使用的軟、硬體及服務等相關產品，都不可以使用中國製的產品，都必須要遵守該禁用規定，公務機關也應該負起督導的責任。</p> <p>至於目前還沒有到期的契約，若經盤點，已經有使用中國製的軟、硬體或服務，則需注意是否會產生新的資安威脅。</p> <h2><strong>若必須使用中國製資通產品，新增兩道資安長核可程序</strong></h2> <p>若因特殊情況，不得不採購並使用中國製的資通產品時，例如外交部某些駐外國家當地僅提供中國製的資通產品時，修訂法條中也增訂兩道把關門檻，希望可以藉此降低不得不使用中國製資通產品所帶來的風險。</p> <p>修法內容中指出，機關如果需要採購或使用中國製資通產品時，必須經機關資安長以及上級機關長逐級核可後，函報本法主管機關核定並修正其應該遵守的事項。</p> <p>該修正條例中也規定函報的方式，如果沒有上級機關的話，就直接函報本法主管機關核定，例如直轄市政府、各縣市政府；若是行政院所屬機關，則逐級函報道行政院所屬部會資安長核可後，再由部會函報本法主管機關核定；如果是行政院部會的話，則尤其資安長核可後，再函報本法主管機關核定。</p> <p>但該修正條例中也規定，如果不是行政院部會或是所屬機關以外的單位，但有上級機關的話，則需要逐級函報上級機關核可後，再由上級機關函報本法主管機關核定。例如，國立大學如需採購中國製資通產品時，需經學校資安長及上級機關教育部資安長核可後，再由上級機關教育部函報本法主管機關核定。</p> <p>此外，根據條文規定，各機關如需採購或使用中國製資通產品時，也應該敘明理由、經本法主管機關核可後，以專案方式購置並列冊管理，且需遵守指提供特定區域和特定人員使用；不得使公務網路環境介接；不得處理或儲存機關公務資訊；測試或檢驗結果應產出報告；當購置理由消失或使用年限屆滿，應該立即銷毀。</p> </div></div></div>
2022/10/19 12:10作者黃彥棻https://www.ithome.com.tw/news/153700
微軟裁員數百人，可能影響Xbox、Edge等多個部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際媒體報導，微軟近日裁減數百名員工，影響Xbox、Edge、Azure等多個部門。</p> <p>《Axios》及《Business Insiders》周一首先報導這項消息。<a href="https://www.axios.com/2022/10/18/microsoft-layoffs-latest-tech-firm-cuts" target="_blank">《Axios》</a>取得微軟證實裁員消息，且涵括不同部門，但微軟拒絕透露裁員人數。但消息人士指出，這波裁員人數在1千以內。</p> <p><a href="https://www.businessinsider.com/microsoft-layoffs-widespread-xbox-azure-government-2022-10" target="_blank">《Business Insider》</a>的消息人士也稱人數不到1千，受影響部門涵括Xbox、Edge、開發次世代科技的團隊及技術長辦公室等多個部門。<a href="https://twitter.com/tomwarren/status/1582188080873689088" target="_blank">《The Verge》</a>的消息來源則指稱，體驗＋裝置部門、法務部門也受影響。</p> <p><a href="https://www.ign.com/articles/microsoft-lays-off-hundreds-of-staff" target="_blank">《IGN》</a>引述微軟20多年老將<a href="https://twitter.com/kclemson/status/1582175419268501504" target="_blank">KC Lemson自爆</a>周一一早從財務長辦公室產品經理一職被裁，間接證實了微軟裁員消息。<a href="https://www.ign.com/articles/microsoft-lays-off-hundreds-of-staff" target="_blank">另有消息人士指出</a>，戰略遊戲模擬的開發部門、Azure政府業務部門恐怕也難倖免於外。</p> <p>這次裁員是否和微軟今年稍早公布的計畫有關不得而知。<a href="https://www.ithome.com.tw/news/151917" target="_blank">微軟7月對內宣布</a>，將從其18萬名員工裁減比例小於1%的員工。微軟發言人當時對媒體指出，和所有公司一樣，微軟也定期評估業務優先性，並依此做出結構調整，也表示未來一年內，會持續投資業務並增加整體員額。</p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">8月間媒體報導</a>，微軟裁撤消費市場業務部門，影響約200人。而6月間，一度被傳終止開發第3代產品的HoloLens部門也一切為二，分別併入Teams及裝置部門。</p> <p><a href="https://www.ithome.com.tw/news/152137" target="_blank">根據微軟7月公布</a>的會計年度2022年第4季財報，受到大環境景氣影響、美元升值、PC市場疲弱及撤出俄羅斯的成本等影響，上季微軟營收僅成長12%，低於預期，其中Windows OEM及Xbox內容和服務兩部分各衰退2%及6%。</p> <p>由於今年春天景氣開始轉壞，除了微軟，也有多家公司傳出精簡人事。<a href="https://www.ithome.com.tw/news/153576" target="_blank">《彭博社》上周報導</a>，因應個人電腦市場下滑，英特爾可能正計畫人數達數千人的大規模裁員以節省企業成本。<a href="https://www.marketwatch.com/story/microsoft-to-cut-nearly-1-000-jobs-reports-11666062022" target="_blank">《MarketWatch》</a>則報導，蘋果、甲骨文也都有裁員行動。Google及Meta等矽谷科技公司則宣布凍結人事。</p> </div></div></div>
2022/10/19 10:43作者林妍溱https://www.ithome.com.tw/news/153697
Google公布執行ML應用的嵌入式作業系統KataOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應愈來愈多物聯網裝置執行機器學習（machine learning，ML），<a href="https://opensource.googleblog.com/2022/10/announcing-kataos-and-sparrow.html" target="_blank">Google近日公布了</a>為執行ML應用的物聯網裝置設計的嵌入作業系統KataOS，強調具備高度安全性。</p> <p>隨著愈來愈多智慧裝置用於蒐集和處理資訊，這些嵌入式裝置的安全性更為重要，以確保它們蒐集的可辨識身分（personally identifiable）資料，像是人們的照片或語音記錄不會被惡意程式存取。</p> <p>但Google指出，現行嵌入式系統安全都是在現存的作業系統上加入軟體功能，或是額外增加一些ASIC硬體，這樣是不夠的。因此Google Research部門打造了一個為專門執行ML應用的嵌入式硬體最佳化的底層平臺KataOS，也提供參考實作Sparrow。</p> <p>Google AmbiML開發小組說明，他們選擇seL4作為新OS的底層，因為它以安全為設計核心，數學上證明足夠安全，具備機密性、資料完整性及可用性。透過seL4 CAmkES框架，可供Google開發出可以統計定義及分析的系統元件。KataOS的平臺安全性讓惡意應用程式幾乎不可能突破OS核心的系統，而系統元件安全性也經得起驗證。</p> <p>此外，KataOS幾乎完全是以Rust實作，從根本上提供了軟體安全性，因後者移除了一整類的bug，像是Off-by-One（即程式向緩衝區寫入時，寫入的位元組數僅超過了緩衝區申請的位元組數1個位元）漏洞、以及緩衝溢位漏洞。</p> <p><a href="https://github.com/AmbiML/sparrow-manifest" target="_blank">目前KataOS已透過GitHub開源分享</a>，廣邀開發人員加入開發及測試陣容。公布的資源包括KataOS大部份核心元件，像是Rust開發框架sel4-sys crate、Rust撰寫的rootserver、以及針對seL4做的核心修改。此外Google還和Antmicro合作以後者的Renode虛擬開發框架提供GDB除錯和模擬。</p> <p>而為了示範KataOS，<a href="https://github.com/AmbiML/sparrow-manifest" target="_blank">Google也打造了參考實作Sparrow</a>，後者整合了KataOS及安全的硬體平臺，像是執行於RISC-V的OpenTitan。但現階段Sparrow仍以QEMU模擬執行標準的64-bit ARM平臺為主。</p> <p>現在GitHub上的程式碼只有早期版本的KataOS，不過Google小組說他們最終目標是開源所有Sparrow元件，包括硬體和軟體設計。Google也說，KataOS長期而言可以載入並執行非CAmkES框架開發的第三方應用程式，但執行這些程式的必要元件現在也還未提供，預期未來會再公布這些功能。</p> </div></div></div>
2022/10/19 10:04作者林妍溱https://www.ithome.com.tw/news/153688
GitHub Copilot建議結果包含受保護程式碼，訓練資料來源合法性爭議再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/DocSparse/status/1581463450269515777">德州農工大學電腦科學教授Tim Davis在推特上發文</a>，提到GitHub Copilot在他禁用公開程式碼設定下，寫出一大區塊他應受版權保護的程式碼，使用的過程沒有標註歸屬（Attribution），也沒有LGPL授權，他貼出自己與GitHub Copilot在稀疏矩陣轉置、稀疏矩陣加法的程式碼，認為兩者幾乎一模一樣，GitHub Copilo還有其他稀疏矩陣的程式碼，也同樣與Tim Davis的程式碼有高度雷同。</p> <p>其他開發者按照Tim Davis的設定，重現了這段有爭議的程式碼，System76技術總監轉推了<a href="https://twitter.com/jeremy_soller/status/1581638803697332226">Tim Davis的推文</a>，評論這個事件是GitHub Copilot非法洗程式碼的例子，這串推文引來了<a href="https://twitter.com/alexgraveley/status/1581762356207841281">GitHub Copilot創造者Alex Graveley回推</a>，他認為Tim Davis所編寫的程式碼和GitHub Copilot產生的程式碼不同，雖然很像但是不同，並提到如果有人可以發明一種演算法，自動辨識程式碼是由其中一方衍生出來的，那就可以申請專利了。</p> <p>Alex Graveley在自己的推特時間軸發文，<a href="https://twitter.com/alexgraveley/status/1581694645418926080">寫道</a>GitHub Copilot累積到現在，被指控的問題共有9個，包括剽竊程式碼、在程式碼中引入漏洞，甚至讓人變笨。Alex Graveley嘲諷這些指控，認為是來自恐懼新技術保守人士的莫須有指控。</p> <p>另一篇在<a href="https://news.ycombinator.com/item?id=33240341">HackerNews</a>引起熱議的文章<a href="https://githubcopilotinvestigation.com/">〈Maybe you don't mind if GitHub Copilot used your open-source code without asking.But how will you feel if Copilot erases your open-source community?〉</a>是一位名叫Matthew Butterick的律師，要帶頭對GitHub Copilot發起訴訟。</p> <p>Matthew Butterick及其事務所，正在調查GitHub Copilot違反對開源作者和終端用戶法律義務的潛在訴訟案，文中提到，絕大多數的開源軟體都是根據授權發布，這些授權授予用戶部分權利，但同時使用者必須負起某些義務，像是保留精確的程式碼歸屬，這些授權將會是軟體開發者能夠宣稱合法擁有該程式碼的依據。</p> <p>Matthew Butterick表示，既然微軟和OpenAI都坦承Copilot和Codex，皆使用GitHub公共儲存庫的開源軟體訓練，那就必須遵守授權的義務，或是以授權例外在版權法下合理使用這些程式碼。如果微軟和OpenAI都是根據各自的開源授權使用程式碼儲存庫，則必須發布大量的程式碼歸屬，但Copilot並沒有提供明顯的歸屬。</p> <p>因此微軟和OpenAI勢必需要宣稱GitHub Copilot為合理使用這些程式碼，GitHub執行長Nat Friedman也在Copilot技術預覽階段，稱Copilot在公共資料上訓練機器學習系統是合理使用。不過這個論點軟體自由保護協會（Software Freedom Conservancy）並不買單，而且微軟和OpenAI也沒有提供GitHub合理使用這些程式碼的法律地位。</p> <p>這件事情很重要的原因，Matthew Butterick認為，Copilot切斷開源軟體作者與開發者中間的法律關係，也就是微軟建立起了新的圍牆，使開發者無法探索開源傳統開源社群，開源作者被隱藏在Copilot的大型程式碼庫中，進而嚴重傷害開源社群發展，因此在損害變得難以彌補之前，他必須測試Copilot的合法性，所以才發起訴訟。</p> <p>他也強調，他並非反對人工智慧輔助工具，但微軟可以選擇對開源社群更為友善的路徑，像是號召自願者，或是徵求有償貢獻訓練語料庫。</p> </div></div></div>
2022/10/18 22:35作者李建興https://www.ithome.com.tw/news/153682
Mastercard針對銀行推加密貨幣交易服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>信用卡與金融公司Mastercard推出<a href="https://www.mastercard.com/news/press/2022/october/mastercard-to-bring-crypto-trading-capabilities-to-banks/">Crypto Source計畫</a>，使銀行能夠提供安全的加密貨幣交易服務，加速進軍加密貨幣產業。Mastercard透過與授權加密貨幣託管供應商合作，Mastercard的合作夥伴將能獲得加密貨幣購買、持有和出售服務，還有身分、網路、安全和諮詢服務。</p> <p>Crypto Source採用Mastercard Crypto Secure，針對加密貨幣生態以及發卡單位需遵守的法律規範，提供額外的安全性。具體來說，Mastercard提供給銀行和金融科技公司的加密貨幣相關套件，包括能夠購買、持有和出售加密資產的技術和合作夥伴關係，而且也提供相對應的安全管理服務，涵蓋Mastercard身分驗證解決方案、加密貨幣分析、交易監控和反洗錢等功能。</p> <p>同時Crypto Source也擁有一系列加密貨幣支出和兌現功能，像是加密貨幣信用卡、開放銀行和跨境服務等，金融機構還可以獲得如開立數位收據，以及使用客戶忠誠度解決方案等Mastercard額外功能。加密貨幣計畫範圍很廣，包含計畫設計、產品開發和技術實作，以及在上市前的最佳化、行銷諮詢服務，提供銀行和金融公司端到端支援，協助開發大規模加密貨幣專案。</p> <p>而Mastercard的這項服務，是與區塊鏈基礎設施平臺Paxos合作，這項合作關係讓Paxos代表銀行進行加密資產的交易和託管服務，而Mastercard則會將這些功能整合到銀行介面中，提供終端消費者無縫體驗。</p> <p>Mastercard積極進入加密貨幣市場，接連併購了Finicity、Ekata、RiskRecon和CipherTrace金融科技公司，目標是要以特有的服務組合，支援金融機構開發替消費者管理加密資產的產品。目前Crypto Source正處於試驗性計畫階段。</p> </div></div></div>
2022/10/18 22:39作者李建興https://www.ithome.com.tw/news/153683
開源資料庫PostgreSQL 15強化多項資料庫操作效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資料庫PostgreSQL全球開發組發布<a href="https://www.postgresql.org/about/news/postgresql-15-released-2526/">PostgreSQL 15</a>，該最新版本強化資料庫操作效能，並進一步改進本地和分散式部署的工作負載，包括排序等操作。</p> <p>在這個版本，PostgreSQL改進記憶體和磁碟的排序演算法，基準測試顯示根據排序的資料類型，可獲得加速達25％到400％。使用row_number()、rank()、dense_rank()和count()作為窗函式，在PostgreSQL 15也可獲得效能優勢，同時，SELECT DISTINCT查詢在新版本PostgreSQL中，已經可以平行執行。</p> <p>PostgreSQL 15效能改進的範疇也涵蓋封存和備份，其增加預寫日誌記錄（WAL）檔案對LZ4和zstd壓縮支援，這對於特定工作負載來說，可以同時在空間和效能上獲得好處，在部分作業系統，PostgreSQL 15增加了WAL中引用預擷取頁面的支援，加速恢復速度。</p> <p>PostgreSQL內建的備份指令pg_basebackup，現在則開始支援伺服器端的備份檔案壓縮，用戶可以選擇gzip、LZ4和zstd，另外，PostgreSQL 15讓用戶可以使用自定義模組進行封存，以消除使用殼層命令的額外成本。</p> <p>開發人員功能更新方面，PostgreSQL 15加入SQL標準MERGE指令，使開發者可以編寫條件SQL語句，這些語句可在單一語句中包含INSERT、UPDATE和DELETE操作。這個最新版本添加使用正規表示式檢查字串的函式，諸如regexp_count()、regexp_instr()、regexp_like()和regexp_substr()。</p> <p>PostgreSQL增加邏輯複寫功能的靈活性，對發布者提供列過濾和行列表功能，使用戶可以選擇從表格中所要複製的資料子集。PostgreSQL 15有讓用戶有更多處理衝突的手段，像是跳過重播衝突交易，以及在偵測到錯誤時，自動停用訂閱功能等。</p> <p>PostgreSQL 15加入了新的日誌記錄格式jsonlog，這種格式會使用定義的JSON結構輸出日誌資料，使用戶可以在結構化日誌系統方便地處理PostgreSQL日誌。</p> </div></div></div>
2022/10/18 22:43作者李建興https://www.ithome.com.tw/news/153684
.NET MAUI開始支援Xcode 14與iOS 16
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/dotnet-maui-xcode14/" target="_blank">微軟.NET多平臺應用程式UI（.NET MAUI）釋出更新</a>，對Apple開發工具Xcode 14以及最新的iOS 16提供支援，開發者可以使用UIKit和.NET MAUI建構應用程式，都將可以用到最新的SDK功能。官方提到，這個版本的其他Apple SDK與前一個版本相比並沒有變化。</p> <p>Visual Studio 2022提供開發者兩種在Windows上，開發iOS應用程式的方法，第一種是與Mac配對，第二種則是熱重啟。與Mac配對是將Visual Studio連接至本地網路上的Mac，安裝必要的建置工具，並使用該機器進行編譯和簽署應用程式。</p> <p>熱重啟則是讓開發者可以將iOS或iPadOS裝置，連接到Windows的Visual Studio 2022並直接進行開發，微軟提到，這個方法是最適合.NET MAUI應用程式的日常開發方法，當準備好發布應用程式的時候，開發者可以使用網路上的建置機器或是App Center對其進行簽署。</p> <p>在Mac開發iOS程式就直覺許多，只要安裝適用於Mac和Xcode 14的Visual Studio 2022，便可以開始.NET MAUI應用程式開發。</p> <p>目前微軟提供.NET 6和Visual Studio 2022支援，開發者需要使用Visual Studio 2022 for Mac 17.4第三預覽版，或是Visual Studio 2022 for Windows 17.3或17.4第三預覽版，並且安裝Apple開發者網站上的Xcode 14.0.x，微軟提醒，直接從Mac App Store安裝的版本，可能會因為自動更新到與.NET不相容的版本，因此建議開發者要手動下載安裝。</p> </div></div></div>
2022/10/18 22:46作者李建興https://www.ithome.com.tw/news/153686
【資安日報】2022年10月18日，日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體Blac…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞裡，勒索軟體攻擊占大多數，且橫跨製造業、生技業者、媒體、金融業。其中，涉足半導體、汽車、醫療產業的日本科技業者大宮化成遭勒索軟體LockBit攻擊的事故相當值得留意，因為這起事故很可能波及相關產業的上下游供應鏈。</p> <p>能埋藏在電腦UEFI韌體的惡意程式，過往有數起攻擊事故傳出，攻擊者身分往往是國家級駭客。但最近有人開始在駭客論壇兜售此種攻擊軟體而引起研究人員高度關注。研究人員認為，一旦駭客買到這種惡意軟體，很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <p>Fortinet於一個禮拜前優先向部分用戶以電子郵件通報重大漏洞的做法惹議，該公司也對此提出說明，並提供入侵指標供企業檢查是否遇害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/137243/cyber-crime/oomiya-lockbit-3-0-ransomware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本科技公司大宮化成遭勒索軟體LockBit攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/oomiya.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/oomiya.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs的報導，勒索軟體LockBit聲稱從日本科技公司大宮化成（Oomiya）竊得機密資料，並揚言若是不願支付贖金，他們就會在10月20日外洩相關標案。由於該公司處於全球製造業、半導體、汽車、通訊、醫療保健產業的供應鏈裡，這起勒索軟體攻擊很可能對該公司合作夥伴造成重大影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-halts-circulation-of-some-german-newspapers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國報社集團遭勒索軟體攻擊，導致報紙無法正常發行</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/e-paper.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-paper.png" style="width: 300px; float: right;" /></a>德國報紙Heilbronn Stimme因10月14日的勒索軟體攻擊癱瘓印刷系統，並於17日以28頁電子報的型式恢復出刊。勒索軟體攻擊發生後，報社緊急於15日發布6頁的網站版本，但電話與電子郵件週末都處理離線狀態。該報的編輯也被迫在家工作。</p> <p>該報主編Uwe Ralf Heer指出，此起事故影響整個媒體集團Stimme Mediengruppe，並透露攻擊者身分是惡名昭彰的駭客組織，駭客在14日晚上將該報社系統加密並留下勒索訊息，但沒有提出具體的贖金要求。</p> <h3><a href="https://ciso.economictimes.indiatimes.com/news/after-ipca-laboratories-pharma-major-aarti-drugs-hit-by-ransomware-attack-data-leaked-on-dark-web/94913796"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度製藥廠Ipca Laboratories、Aarti Drugs遭勒索軟體攻擊</span></strong></a></h3> <p>根據新聞網站ETCISO的報導，印度製藥廠Ipca Laboratories、Aarti Drugs，先後於9月9日、9月10日遭到勒索軟體攻擊，前者遭到勒索軟體BianLian攻擊，後者則是被RansomHouse攻陷。</p> <p>當地資安業者Technisanct透露，駭客竊得Aarti Drugs約6 GB資料，包含了業務與管理資料、稅務申報文件等，並向這家藥廠索討20個比特幣。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/australian-insurance-firm-medibank-confirms-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank證實遭到勒索軟體攻擊</span></strong></a></h3> <p>上週澳洲保險業者Medibank遭到網路攻擊，現在他們公布進一步的調查結果。該公司表示在部分IT網路環境偵測到的異常情形，很可能就是勒索軟體攻擊，但在事件發生的期間，他們的系統並未受到影響，自17日早上部分限制用戶存取的系統已恢復運作。</p> <p>而針對ahm品牌的澳洲健康管理系統與國際國際學生政策管理系統，則是數次停擺後，Medibank宣布在18日傍晚恢復正常。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/venus-ransomware-targets-publicly-exposed-remote-desktop-services/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Venus鎖定遠端桌面連線服務入侵Windows電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/venus-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/venus-ransom-note.jpg" style="width: 300px; float: right;" /></a>資安研究員Linuxct、資安研究團隊MalwareHunterTeam發現名為Venus的勒索軟體，駭客透過遠端桌面連線（RDP）入侵受害電腦，然後終止資料庫與微軟Office等39個應用程式的處理程序，並刪除磁碟陰影複製的備份、停用資料執行防止（DEP）機制，將電腦檔案進行加密。</p> <p>資安新聞網站Bleeping Computer表示已有人在論壇表明受害，他們已改用非標準的RDP連接埠仍無法倖免。</p> <h3><a href="https://techcrunch.com/2022/10/14/india-power-company-tata-power-cyber-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度大型發電廠Tata Power證實遭到網路攻擊</span></strong></a></h3> <p>根據新聞網站TechChruch報導，印度大型發電廠Tata Power於10月14日，向當地的證交所發出通報指出，該公司部分IT系統遭到網路攻擊，他們已採取措施來復原相關系統。該公司強調，所有的重大作業系統皆功能正常，針對員工和客戶會接觸到的系統，也進行限制存取和預防性檢查。但除此之外，該公司並未透露遭到攻擊的類型，或是受害範圍。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/malware-dev-claims-to-sell-new-blacklotus-windows-uefi-bootkit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客兜售UEFI惡意軟體BlackLotus</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BlackLotus_promo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlackLotus_promo.png" style="width: 300px; float: right;" /></a>卡巴斯基、Eclypsium的研究人員指出，有人自10初在駭客論壇兜售名為BlackLotus的惡意程式，要價5千美元。這是UEFI啟動工具，並標榜能繞過安全開機的機制，具備Ring 0（核心）層級的防護機制而能避免遭到刪除——該惡意軟體會在安全模式或復原模式下啟動。除此之外，賣家宣稱此惡意軟體具有多種反偵測機制，包含可偵測是否在虛擬機器執行，以及反除錯、程式碼混淆，且能停用Windows內建的各式防護，但檔案大小僅有80 kb。</p> <p>卡巴斯基表示，這種能深入UEFI的惡意軟體往往只有國家資助的駭客才能使用，但現在財力較為雄厚的駭客已經可以直接購買，而無須自行開發。Eclypsium的研究人員指出，雖然他們尚未取得惡意程式檔案而無法確認相關功能，但如果BlackLotus確實具備上述能力，駭客很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <h3><a href="https://www.fortinet.com/blog/psirt-blogs/update-regarding-cve-2022-40684"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet說明優先向特定用戶通報重大漏洞CVE-2022-40684的原因</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1665778262062.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1665778262062.png" style="width: 300px; float: right;" /></a>資安業者Fortinet於10月14日提出警告，呼籲FortiOS、FortiProxy、FortiSwitchManager的用戶要儘速修補CVE-2022-40684，並提供入侵指標（IoC），供企業檢查設備是否遭到竄改。</p> <p>而針對該公司於10月6日，先透過電子郵件向部分客戶通知此事，Fortinet表示原因是發現已有實體遭到漏洞攻擊，於是，他們決定改變通報的做法，針對採用曝露該漏洞風險韌體的用戶祕密提前進行警告，使他們能在漏洞資訊公開之前，及早強化安全防護。此外，該公司也於同日在客戶支援布告欄公開相關消息，並向美國網路安全暨基礎安全局（CISA）等機關通報此事。</p> <p>該公司表示，在他們開始私下向客戶進行通知之後，已有攻擊者開始掃描網際網路上存取漏洞的設備，且在概念性驗證程式出現後，駭客更加積極利用此漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mydeal-data-breach-impacts-22m-users-stolen-data-for-sale-online/"><span style="color: rgb(0, 0, 0);">澳洲電商平臺MyDeal資料外洩，220萬客戶受到影響</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-tls-handshake-failures-in-out-of-band-updates/"><span style="color: rgb(0, 0, 0);">微軟針對TLS交握錯誤發布額外修補程式</span></a></span></strong></p> <p><a href="https://www.watchmedia01.com/anews-20221014020630.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全國馬拉松路跑網站傳遭害，眾點資訊公司發布防詐騙簡訊</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153639">【2022年10月14日】資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服務Caffeine</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153621">【2022年10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</a></strong></strong></strong></p> </div></div></div>
2022/10/18 18:21作者周峻佑https://www.ithome.com.tw/news/153685
鴻海科技日展示電動車、半導體、AI等技術，首次揭露低軌衛星產學研究成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鴻海在今天舉行科技日，除了發表兩輛新電動車，擴大對電動車EV市場布局之外，鴻海研究院也展示在AI、半導體、量子運算等技術研究成果，其中在資通訊技術方面，著眼於非地面通訊技術興起，與中央大學、國研院國家太空中心等產學合作研發的低軌衛星。</p> <p>鴻海研究院新世代通訊研究所所長吳仁銘表示，過去通訊技術的發展大多強調速度，但在速度提升到一定程度後，未來新型態通訊將朝新趨勢發展，高涵蓋率、高可靠度、高連結數、低延遲通訊，可支援新型態應用，包括衛星通訊、智慧車聯網、元宇宙、數位孿生、觸覺互聯網等。</p> <p>吳仁銘以現今5G的通訊技術演進來看，Rel 15、Rel 16與Rel 17為5G New Radio發展的第一波，其中Rel 17開始討論非地面網路（Non-Terrestrial Networks，NTN），低軌衛星的標準，包括5G NR支援衛星通訊，擴大涵蓋非服務地區，以及5G IoT物聯網支援衛星通訊。目前正在發展的Rel 18，以及未來的Rel 19、Rel 20將進入5G Advanced的第二波演進，相信將更多支援非地面網路，包括下一代的6G。</p> <p>他指出，低軌道衛星因發射成本降低，加上具有高覆蓋率、低延遲的特性，符合新型態應用的趨勢。受限於行動基地臺建設，目前全球約有37%，約29億人口無法連接網際網路。</p> <p>看好低軌衛星未來的市場潛力，新世代通訊研究所已和中央大學、創未來科技、太空中心及國際業者合作，開發實驗低軌衛星專案，為6U的實驗立方衛星，配備太陽能板，重約12公斤，衛星酬載採用大型相位陣列天線波束傳送，支援上下行雙工通訊，使用Ku、Ka頻段毫米波通訊，可支援多模寬頻通訊傳送等。</p> <p>吳仁銘表示，這項專案從任務規畫、系統設計、團隊分工、關鍵零組件、垂直系統及軟硬體整合，包括衛星及衛星的酬載，可進行姿態控制、軌道追蹤、電源管理，以及在軌道上的韌體更新。</p> <p>作為前瞻的通訊技術，鴻海研究院認為低軌衛星可望帶動新的應用，其中聚焦的一項應用，便是低軌衛星和車聯網的結合，目前行動基地臺建設在經濟考慮下，多以人口聚集的都會區為主，偏遠山區、較少人跡的郊區乏少行動網路覆蓋。</p> <p>吳仁銘指出，根據聯合國的統計，陸地仍有60%沒有行動網路覆蓋，當車輛從一地到另一地，容易移動到沒有網路覆蓋的地方，低軌衛星通訊提升網路覆蓋，未來與車聯網結合後的應用，可改善行車安全、資訊的傳遞。鴻海研究院另一項研究中的是，利用低軌衛星距離地面約500到600公里，相較於高軌衛星，在低軌衛星定位上更精準，搭配高精度地圖支援更多的智慧車聯網應用。</p> <p>從4G、5G到未來的6G，吳仁銘相信新型態的通訊可激發新的應用趨勢。</p> </div></div></div>
2022/10/18 19:47作者蘇文彬https://www.ithome.com.tw/news/153687
0patch釋出非官方的Windows MOTW漏洞修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者0patch本周針對藏匿在微軟Windows Mark of the Web（MOTW）中的一個安全漏洞，<a href="https://blog.0patch.com/2022/10/free-micropatches-for-bypassing-mark-of.html" target="_blank">釋出非官方修補程式</a>，該漏洞尚無編號，亦尚未被微軟修補，卻傳出已遭到駭客濫用。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgadY7cghDducFX4Gqtgz0y4PJq0MS6JoWoRAfz2LIKamYfSay0E0fAdHmt-w_bV9mk1CmpSDCaBW3leer8Um8buVMgDcgrrdP1QrOIc7RxotRaE5sJs6rYG1p0J0lHvxQobJAL-lEsL0qZOk94A3Zi70CUBjxeKHLzSA8p7_AJqC4gL1dq56C6e8ZXfw/w640-h320/Vuln_7537_NO-CVE_PatchCard_1024x512.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／0patch</span></span></p> <p>MOTW是微軟在2013年替IE所設計的安全功能，它會針對那些使用者自網路所下載的網頁或檔案，建立一個替代資料串流（Alternate Data Stream，ADS），再於該串流中添增Zone.Id以讓系統辨識它的來源，由於它並沒有官方名稱，因此許多人直接將該功能稱為「網路標記」（Mark of the Web，MOTW）。之後包括Windows或Office都開始支援MOTW，並在開啟具備該標記的內容時跳出警告。</p> <p>漏洞研究人員<a href="https://twitter.com/wdormann/status/1544416883419619333?ref_src=twsrc%5Etfw" target="_blank">Will Dormann在今年7月揭露了一個涉及MOTW的安全漏洞</a>，指出駭客得以阻止Windows的MOTW設定，讓系統在解壓縮一個ZIP檔案之後，就算某些檔案來自不可靠的來源（網路或郵件等），也不會出現MOTW。</p> <p class="rtecenter"><a href="https://twitter.com/wdormann/status/1544416883419619333?ref_src=twsrc%5Etfw" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-ZIP-MotW-vuln-by%20Will%20Dormann%20on%20Twitter.png" style="width: 600px;" /></a></p> <p>另一名安全研究人員<a href="https://twitter.com/buffaloverflow/status/1579890297185923072?s=20&t=OOxNS9JUN1SGG4huqGmQ8w" target="_blank">Rich Warren今年10月便宣稱</a>該漏洞已遭到利用。</p> <p>儘管微軟在7月便已得知該漏洞的存在，惟迄今並未修補。</p> <p>0patch指出，倘若駭客在一個ZIP壓縮檔中夾帶惡意的Word及Excel檔，但因解壓縮過程遺失了MOTW而未遭到封鎖，使用者的系統亦有可能受到危害。因此，0patch的修補程式即是讓解壓縮的檔案仍具備MOTW，以便於開啟時跳出警告。</p> <p>0patch所提供的微修補程式適用於Windows Server 2018~2022，Windows 7、Windows 10與Windows 11，只要建立免費的0patch帳號就能取得。</p> </div></div></div>
2022/10/18 15:28作者陳曉莉https://www.ithome.com.tw/news/153680
CISA開源紅隊分析工具RedEye
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）及美國能源部太平洋西北國家實驗室（Pacific Northwest National Laboratory，CNNL）攜手開發的紅隊分析工具RedEye，<a href="https://github.com/cisagov/RedEye/" target="_blank">在上周透過GitHub開源了</a>。</p> <p>RedEye是個互動式的分析工具，可用來視覺化及匯報紅隊的命令及控制活動，讓操作者可快速存取複雜的資料，評估緩解策略，最終促進有效的決策。它能分析各種日誌，例如來自Cobalt Strike的紀錄，並以容易理解的格式呈現；允許使用者針對特定活動進行註解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-RedEye-LoginScreen-by%20CISA%20on%20GitHub.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA on GitHub</span></span></p> <p>具體而言，RedEye可分析紅隊活動的C&C框架日誌，只需少數的人為介入，就能建立一個可呈現相關活動資訊的互動介面；它還能用來建立各種活動的歷史紀錄並重播；可分析活動中的不同事件並追蹤其滲透路徑；建立含有技術、重點、策略及討論內容的報告；亦能根據活動所使用的技術及各種評論自動產生簡報；並輸入報告與活動。</p> <p>RedEye支援Linux、macOS與Windows作業系統。</p> </div></div></div>
2022/10/18 15:47作者陳曉莉https://www.ithome.com.tw/news/153681
美國黑人饒舌歌手Ye將買下具爭議的Parler社交網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年曾被蘋果、Google及Amazon<a href="https://www.ithome.com.tw/news/142138" target="_blank">聯手封殺的社交平臺Parler</a>，本周<a href="https://blog.parler.com/ye-formerly-known-as-kanye-west-to-acquire-parler-platform/" target="_blank">宣布將出售給</a>本月相繼被Instagram與Twitter停權的美國黑人饒舌歌手Ye，宣稱雙方的理念一致，未來Ye仍將繼續打造一個真正言論自由的平臺，讓任何的帳號或言論都不會被取消。</p> <p>此一交易是由Parler母公司Parlement Technologies所宣布，成立於2018年的Parler聚集了許多美國前總統川普（Donald Trump）的支持者，是個標榜言論自由的平臺，然而，2021年1月川普支持者發動美國國會暴動事件，再加上Parler充斥著煽動暴力的內容，而遭到蘋果、Google及Amazon以內容管理不當為由聯手封殺。此外，當時也是Parler用戶數的顛峰，約吸引了2,000萬名使用者，但目前所估計的活躍用戶只有100萬。</p> <p>另一方面，原名為Kanye West的美國饒舌歌手Ye不僅被視為史上最富有的黑人，亦曾角逐2020年的美國總統大選，他是在2021年以個人因素為由改名為Ye。不過，Ye今年10月因於Instagram及Twitter上發布反猶太內容，而相繼被這兩個平臺停權。</p> <p class="rtecenter"><img alt="" src="https://mma.prnewswire.com/media/1922376/Ye.jpg?w=350" style="width: 225px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Kanye West，圖片來源／Parler</span></span></p> <p>Ye在併購聲明中表示，在一個保守觀點被當作爭議的世界，我們必須確保自己有自由表達的權利，Parler未來將致力於創造一個不可取消的生態體系，歡迎所有不同的聲音。</p> <p>事實上，Ye一直到這兩天才<a href="https://parler.com/kanye/?mtm_campaign=ye_announcement&mtm_source=blog&mtm_medium=blog" target="_blank">於Parler上設立了個人帳號</a>，而且尚無任何發文。</p> <p>雙方並未公布交易規模，僅說預計於今年第四季完成交易。</p> </div></div></div>
2022/10/18 14:18作者陳曉莉https://www.ithome.com.tw/news/153679
25萬名美國陸軍將改用Google Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/us-army-chooses-google-to-deliver-cutting-edge-collaboration" target="_blank">Google Cloud積極經營美國公部門，周一（10/17）宣布</a>簽下美國陸軍（US Army），將為25萬用戶提供雲端生產力應用Workspace。</p> <p>Google Public Sector新上任的執行長Will Grannis說明，這是<a href="https://www.ithome.com.tw/news/151660" target="_blank">Google自6月底宣布設立子公司Google Public Sector</a>以來第一張大型合約。Google Public Sector將專門為美國公共部門，包括聯邦、各州或各地方政府及教育機構提供數位轉型服務。Google表示，美國陸軍尋求更多元化的民間雲端廠商選擇，Google Workspace將提供生產力應用，協助陸軍人員在偏遠地區、或高挑戰性的環境工作及互相協同。而目前Google Workspace上已有30億多用戶，顯示是相當多人熟悉的工具，可加速美國陸軍人員上手適應。</p> <p>Google和Accenture聯邦服務部門及代管業者SADA合作，在「陸軍雲端帳號管理最佳化」（Cloud Account Management Optimization， CAMO）合約下導入Google Workspace。SADA也將負責25萬用戶的變更管理、訓練，以及提供Workspace的後續代管服務。美國陸軍為推動雲端系統的民間採購，<a href="https://www.army.mil/article/250054/army_looking_into_commercial_solution_for_cloud_purchasing" target="_blank">由內部開發</a>陸軍雲端帳號管理最佳化（Cloud Account Management Optimization，CAMO）原型系統，作為導入新系統的基準。</p> <p>Google強調，Workspace已經獲得美國國防部受控未分類資訊（controlled unclassified information，CUI）處理標準Impact Level 4的授權。</p> <p>Google這項消息也突顯和微軟在雲端生產力軟體的競爭。為了加速以雲端優先的行銷及開發策略，<a href="https://www.ithome.com.tw/news/153630" target="_blank">微軟上周宣布</a>將用了32年的Microsoft Office品牌改為Microsoft 365，將從11月起啟動線上、行動及桌機版的產品外觀、Logo及功能改版。</p> </div></div></div>
2022/10/18 12:28作者林妍溱https://www.ithome.com.tw/news/153676
Netflix推出個人檔案移轉功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/profile-transfer-keeps-netflix-experience-constant" target="_blank">全球串流影片龍頭Netflix周二（10/18）推出了新的個人檔案移轉功能</a>，以讓使用者可將帳號中的個人檔案移轉至另一個帳號，雖然Netflix宣稱該功能可方便使用者適應生活上的變動，但外界不免懷疑這是Netflix為了打擊帳號分享行為所進行的熱身。</p> <p>現階段Netflix最貴的高級方案每月訂閱費用為新臺幣390元（17.99美元），它支援超高畫質，而且可同時在4臺裝置上觀賞，意味著一個帳號最多可設定4個個人檔案。雖然Netflix要求單一帳號只能供同住用戶使用，卻有不少使用者與住在其它地方的親友分享帳號，並設立自己的個人檔案。根據Netflix的統計，該平臺約有2.2億的付費用戶，但另有超過1億的使用者免費分享了這些付費用戶的帳號。</p> <p>此一個人檔案移轉功能是讓既有帳號的Netflix用戶可將特定個人檔案轉移到另一個新帳號。依照Netflix的說法，當遇到搬家、家庭成員變多或是關係結束時，都可利用該功能來維持Netflix的使用經驗，它會將使用者的觀看紀錄、清單、所儲存的遊戲、個人化推薦或其它設定轉至新設立的帳號。</p> <p>即使在轉至新帳號之後，系統還是會在原來的帳號留下個人檔案備份，只是該備份不會包含遊戲紀錄。</p> <p>現階段Netflix正在測試各種打擊帳號分享的新服務，<a href="https://www.ithome.com.tw/news/153633" target="_blank">也預計於11月推出更便宜的廣告版訂閱服務</a>，每月訂閱費率為6.99美元，首波的12個市場中並未包含臺灣。</p> </div></div></div>
2022/10/18 12:53作者陳曉莉https://www.ithome.com.tw/news/153677
Fortinet坦承軟體重大漏洞有多起攻擊，且為數眾多的用戶仍未修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/psirt-blogs/update-regarding-cve-2022-40684" target="_blank">Fortinet本周坦承</a>一項影響防火牆、閘道器的重大軟體漏洞已發生多起攻擊，且還有相當多用戶尚未修補，<a href="https://www.fortiguard.com/psirt/FG-IR-22-377" target="_blank">呼籲用戶儘速行動</a>。</p> <p>CVE-2022-40684為HTTP/HTTPS管理介面的驗證繞過漏洞，可被遠端濫用，Fortinet將最新漏洞風險值列為9.6，屬於重大風險。這項漏洞影響FortiOS、FortiProxy和FortiSwitchManager。Fortinet已釋出安全更新。</p> <p class="rtecenter"><a href="https://www.fortiguard.com/psirt/FG-IR-22-377" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-fortinet-CVE-2022-40684-600.png" style="width: 600px;" /></a></p> <p>不過<a href="https://www.ithome.com.tw/news/153533" target="_blank">Fortinet上周是先低調透過電子郵件提醒部分用戶</a>。隨後幾日才向所有用戶發出安全公告，要求用戶儘速安裝更新軟體。</p> <p>在最新的安全公告中，Fortinet解釋他們何以這麼做，以及漏洞濫用情形。Fortinet表示一開始只發現一起濫用事件，這使得他們改變慣常的通知流程，先於10月6日針對受影響韌體版的用戶窗口發布機密早期警告，10月10日再對大眾發布公告。</p> <p>Fortinet說明，在10月6日的祕密通知後，該公司的誘捕系統（下圖）偵測到開始有一個以上的攻擊者掃瞄網路上的Fortinet裝置，濫用最新漏洞以下載配置檔，以及設立惡意管理員帳號。而從10月10日多次公告以來，網路上已經有積極的濫用情形。Fortinet說他們主動聯繫用戶，要求他們立即修補漏洞，不過仍然有相當大量的裝置有漏洞卻還未更新。</p> <p class="rtecenter"><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000216283/www.fortinet.com/blog/psirt-blogs/update-regarding-cve-2022-40684/_jcr_content/root/responsivegrid/image_162146380.img.png/1665778262062/fig1.png" style="width: 600px;" /></p> <p><a href="https://www.securityweek.com/poc-published-fortinet-vulnerability-mass-exploitation-attempts-begin" target="_blank">根據其他安全研究人員的研究</a>，針對CVE-2022-40684的大規模攻擊已經在網路上展開，例如<a href="https://viz.greynoise.io/tag/fortios-authentication-bypass-attempt?days=3" target="_blank">GreyNoise</a>的系統每天都偵測到上百個IP位置對網路進行掃瞄。此外似乎有攻擊者利用網路公開的概念驗證程式（PoC）發動攻擊。</p> <p class="rtecenter"><a href="https://github.com/horizon3ai/CVE-2022-40684" target="_blank"><img alt="" src="https://opengraph.githubassets.com/88bd6e5d79b2527b62a8d400ae79cc804c98613d92dedcf0cc641a50521fbefe/horizon3ai/CVE-2022-40684" style="width: 500px;" /></a></p> <p class="rtecenter"><a href="http://viz.greynoise.io/tag/fortios-authentication-bypass-attempt?days=3" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-GREYNOISE%20TRENDS-CVE-2022-40684-600.png" style="width: 600px;" /></a></p> <p>最後，Fortinet再次呼籲用戶及合作夥伴應立即升級軟體及韌體以免遭駭。</p> </div></div></div>
2022/10/18 10:34作者林妍溱https://www.ithome.com.tw/news/153674
iOS 16依然繞過VPN建立連線，洩露用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152598" target="_blank">8月間一名研究人員指控</a>蘋果刻意讓iOS 15繞過VPN和蘋果伺服器通訊。本周另一個安全團隊發現，到了iOS 16，這個問題仍然存在，手機啟用VPN後，用戶資訊仍然洩露。此外，Android也會繞過VPN和Google服務伺服器建立通訊。</p> <p>研究人員Tommy Mysk及其團隊上周公布在安裝iOS 16.0.3的iPhone上，如何在開啟ProtonVPN後洩露用戶訊息的實驗。<a href="https://twitter.com/mysk_co/status/1579997801047822336" target="_blank">根據Mysk張貼的影片</a>，當iPhone或iPad用戶開啟VPN下使用Apple Maps，攻擊者可以輕鬆查詢到他的IP位址、或DNS查詢目的地等資料。</p> <p>Mysk說明，駭客其實只要一臺Mac和Wireshark封包分析軟體，就可以透過將目標裝置連到Mac同一個Wi-Fi網路，輕鬆監控任何裝置的網路流量。</p> <p>除了Apple Maps，研究團隊發現，包括Apple Health、Wallet、Apple Store、Clips、Files、Find My、通知（Push Notification）都可以類似手法曝露用戶資料。</p> <p class="rtecenter"><a href="https://twitter.com/mysk_co/status/1579997801047822336?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1579997801047822336%7Ctwgr%5E78a6a464842f1df545a975174e1b5d2e959ade9f%7Ctwcon%5Es1_&ref_url=https%3A%2F%2F9to5mac.com%2F%3Fp%3D841569" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-Mysk%20on%20Twitter-iOS%2016-VPN-600-1.jpg" style="width: 527px;" /></a></p> <p><span style="font-size:14px;"><a href="https://twitter.com/mysk_co/status/1579997801047822336?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1579997801047822336%7Ctwgr%5E78a6a464842f1df545a975174e1b5d2e959ade9f%7Ctwcon%5Es1_&ref_url=https%3A%2F%2F9to5mac.com%2F%3Fp%3D841569" target="_blank"><span style="color:#696969;">圖片來源／Mysk on Twitter</span></a></span></p> <p>8月間另一名研究人員披露蘋果刻意未將所有App導入VPN引發重視，當時研究人員實驗的是較舊版的iOS 15.4及15.5版，Mysk的實驗顯示在最新的iOS 16也有這問題。</p> <p><a href="https://9to5mac.com/2022/10/12/ios-vpn-apps-2/" target="_blank">研究人員對9to5mac表示</a>，他相信蘋果是刻意這麼做的。上述App需要經常和蘋果伺服器建立連線，像是Find My及通知，因而研究觀測到的流量超出預期。不過研究人員認為，這些流量還是加密狀態，因此用戶資訊還是安全的。</p> <p><a href="https://twitter.com/mysk_co/status/1580143348135829504" target="_blank">另一方面Mysk指出</a>，Android也沒有比較安全。他說他曾經以安裝Android 13的Pixel做過類似測試，也一樣能查到用戶IP。研究人員並指出，即使Android裝置用戶勾選了「永遠啟用VPN」及「沒有VPN則封鎖連線」的選項，Android也是在VPN連線以外，和Google服務伺服器建立通訊。</p> <p class="rtecenter"><a href="http://twitter.com/mysk_co/status/1580143348135829504" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-Mysk%20on%20Twitter-android-VPN-600.png" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/mysk_co/status/1580143348135829504" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源／Mysk on Twitter</span></a></p> </div></div></div>
2022/10/18 10:58作者林妍溱https://www.ithome.com.tw/news/153675
WEEE Forum估計全球今年將有53億支手機被棄用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://weee-forum.org/ws_news/of-16-billion-mobile-phones-possessed-worldwide-5-3-billion-will-become-waste-in-2022/" target="_blank">專門推動電子廢棄物循環利用的WEEE論壇（WEEE Forum）近日指出</a>，專家估計今年總計有53億支手機被消費者棄用，但根據調查，在消費者所屯積的電子產品中，手機排名第四，代表有許多被棄用的手機無法進入循環使用階段。</p> <p>WEEE論壇表示，手機內的金、銀、銅、鈀或其它可回收的元件，可能都會因為被消費者囤積在抽屜、壁櫥或車庫中，或是因直接被丟進垃圾掩埋場中而無法再利用。</p> <p>該論壇在今年6到9月調查了可代表歐盟多樣化的逾8,700個家庭，顯示平均每個家庭擁有74個電子產品，包括手機、平板、筆電、吹風機或烤麵包機等，但其中有13個被屯積了，可能是沒在用或是壞了。而被屯積的電子產品中，第一名是耳機及遙控器等電子配件，第二名為時鐘或熨斗等家用裝置，第三名為鍵盤、路由器或硬碟等小型IT設備，第四名即是手機。</p> <p>至於家庭屯積這些棄用裝置的原因主要是以後可能會用到，占了46%；打算賣掉或送人，占15%；有機密價值，占13%；未來也許會有價值，占9%；還有7%表示不知如何處置。</p> <p>該論壇的Magdalena Charytanowicz表示，這些裝置是生產新電子裝置或其它設備的重要來源，像是風力發電機、電動汽車電池或太陽能電板，它們對朝向低碳社會是重要的。</p> <p>歐盟環境專員 Virginijus Sinkevičius則說，電子設備的生產、消耗與處置對環境及氣候有重大影響，歐盟正打算藉由整個產品生命周期的建議與措施來解決問題，從一開始的設計，一直到它們成為廢棄物時的收集與處理。此外，防止浪費以及自電子垃圾中回收重要材料可避免對全球資源造成更大壓力，只有建立電子產品的循環經濟，歐盟才能進一步解決日益升溫的電子垃圾問題。</p> </div></div></div>
2022/10/17 22:33作者陳曉莉https://www.ithome.com.tw/news/153672
微軟Azure App Service新增Go語言，.NET 7則在正式發布後支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/apps-on-azure-blog/what-s-new-for-azure-app-service-fall-ignite-2022-edition/ba-p/3647508">微軟更新可建置與代管網頁應用程式的雲端服務Azure App Service</a>，除了新語言支援外，第三版的App Service Environment（ASEv3）提供更高規格的SKU，並且加入計畫維護功能。</p> <p>Azure App Service現在內建Python 3.10，而Python 3.11將會在釋出後加入到該雲端服務中，而Node 18也會成為新的內建語言。PHP開發者也有好消息，PHP 8.1會成為額外的內建選項，並且在PHP 8.2正式發布後，就會以搶先體驗的方式提供給開發者使用。</p> <p>開發團隊也預計在11月的平臺更新，在Linux App Service上新增Go語言，以支援gRPC和Go的使用案例。另外，隨著.NET 7正式發布日期接近，開發人員已經可以在App Service用到.NET 7預覽版，而且預定在11月.NET Conf上正式發布，無論是Windows和Linux的App Service都可以使用.NET 7。</p> <p>當開發者在Azure Portal創建新的網頁應用程式，App Service便會預設啟用Application Insights，Application Insights是一個監控功能，該功能無需開發者修改程式碼或引入任何SDK，就能以自動檢測功能收集遙測資料，原本在監控頁籤中供用戶選擇啟用，而現在Application Insights將會在.NET和 Java應用程式創建時自動啟用。</p> <p>ASEv3用戶將可以在11月的時候，獲得更高規格的SKU選項，包括16 vCPU/64 GB、32 vCPU/128 GB和64 vCPU/256GB大小，這些SKU可滿足用戶對更高記憶體和每秒請求的需求。另外，ASEv3用戶還將可以使用計畫維護功能，該功能會在平臺升級前15天通知用戶，在用戶接到通知後，就可在15天內隨時啟動平臺維護。</p> <p>ASEv3目前支援提前升級與延後升級選項，用戶可以選擇App Service的部署順序，設定較早或是較晚更新，而計畫維護則是提供更多的升級偏好，使用戶能夠以程式開發方法處理通知，在適合的時機以CLI/API呼叫觸發維護。</p> <p>微軟計畫簡化App Service證書綁定程序，用戶通常在App Service應用程式中使用自定義網域，並從不同的TLS證書選項中綁定自訂憑證，App Service所提供的Managed Certificate功能，會自動獲得免費憑證以保護自定義網域，而微軟預告，配置自定義網域和取得託管TLS憑證的操作將會變得更加簡單。</p> <p>開發團隊還會繼續改進應用程式自動擴展功能，該功能將自動縮放規模決策委派給App Service，使用戶不需要管理擴展設定，這項功能是Azure Function的Elastic Premium HTTP的衍生產品，經過修改之後用於網頁應用程式，在今年稍晚，微軟會對Azure Portal進行更新，並使其成為一個更易於使用的擴充功能選項。</p> </div></div></div>
2022/10/17 22:48作者李建興https://www.ithome.com.tw/news/153667
Horizon Worlds每月用戶數不到20萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/meta-metaverse-horizon-worlds-zuckerberg-facebook-internal-documents-11665778961?mod=djemalertNEWS" target="_blank">《華爾街日報》（Wall Street Journal，WSJ）本周引用了Meta的內部文件指出</a>，Meta原本期望Horizon Worlds在今年內可達每月50萬活躍用戶，但迄今卻不到20萬，已將該目標下修至28萬。</p> <p>Horizon Worlds為Meta所打造的元宇宙社交平臺，<a href="https://www.ithome.com.tw/news/148300" target="_blank">於去年12月正式開放北美用戶使用</a>，<a href="https://www.ithome.com.tw/news/152602" target="_blank">繼之於今年8月進軍歐洲市場</a>，<a href="https://www.oculus.com/horizon-worlds/" target="_blank">迄今創作者已於該平臺上建立了超過1萬個不同的世界</a>，惟目前僅支援2020年10月上市的Meta Quest 2裝置，並不支援其它VR設備。</p> <p>然而，根據報導，Horizon Worlds的大多數用戶只在第一個月使用該程式，使用人數自今年春天以來便持續下滑，而且只有9%的世界有超過50名使用者造訪，大多數的世界根本乏人問津。</p> <p>另一方面<a href="https://www.idc.com/promo/arvr" target="_blank">，IDC在今年9月下修了全球今年AR/VR裝置出貨量的預測</a>，從原本的1,390萬臺下修至1,081萬臺，即便如此，以Meta Quest 2高達9成的市占率來計算，坊間至少有超過100萬臺裝置可存取Horizon Worlds。</p> <p>Meta所打造的Horizon Worlds卻不受自家VR裝置用戶的青睞，其內部調查顯示，原因包括使用者找不到喜歡的世界，以及找不到玩伴，也有人抱怨Horizon Worlds裡頭的人物沒有腳，或是看起來不真實。</p> </div></div></div>
2022/10/17 22:59作者陳曉莉https://www.ithome.com.tw/news/153673
DirectX DirectStorage API將支援GPU解壓縮技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟預計在<a href="https://devblogs.microsoft.com/directx/directstorage-1-1-coming-soon/">DirectX I/O API DirectStorage 1.1</a>版開始支援GPU解壓縮，該技術採用由Nvidia貢獻的壓縮格式GDeflate，目標是要大幅縮短PC電腦上的遊戲載入時間。</p> <p>DirectStorage是原為在微軟Xbox Series X上，所採用的Xbox Velocity架構，能夠大幅縮減玩家等待遊戲載入的時間，微軟在2020年的時候，決定將DirectStorage移植到個人電腦平臺上，以提供Windows遊戲更好的I/O技術。</p> <p>因為遊戲需要大量資料用於建構更加逼真的世界，每個角色、物體和顏色，都需要專門的資料檔案來描述其形狀、光照和顏色，因此現在不少遊戲容量都達數百GB，而為了要減少這些資料的大小，這些資料便會被壓縮，在遊戲運作的時候才會被解壓縮。</p> <p>這些遊戲資料會被載入到記憶體中，並在CPU中解壓縮，最後將其複製到GPU的記憶體，供需要的時候使用，資料可以在裝置上傳輸和解壓縮的大小，也就決定了開放遊戲世界場景可以包含多少細節。</p> <p>DirectStorage 1.0改進了資料傳輸的問題，而DirectStorage 1.1則進一步解決解壓縮的問題。過去因為壓縮格式都僅針對CPU進行最佳化，因此解壓縮通常都在CPU上完成，DirectStorage 1.1希望把資料的解壓縮，轉移到GPU上。</p> <p>微軟解釋，GPU在平行且重複的任務處理上非常高效，因此透過結合NVMe硬碟的頻寬，就可以進一步減少載入資料的時間，並改善遊戲的表現。微軟建構了經高度最佳化的範例，在DirectStorage運作GPU解壓縮的速度，約是CPU解壓縮的3倍，5.65 GB的資料在GPU上解壓縮，載入時間只要0.8秒，CPU還可以被完全釋放用於處理其他遊戲程序。</p> <p>DirectStorage 1.1使用新的無損資料壓縮標準GDeflate，該格式針對GPU高吞吐量解壓縮最佳化，具有類似deflate的壓縮率，GDeflate可以將解壓縮工作卸載到GPU上，來節省CPU周期，並且節省系統互連頻寬和磁碟空間。GDeflate能善用GPU架構，以實現更大的可擴展性，同時也支援批次載入和精細度串流場景。</p> <p>所有硬體廠商都可以支援GDeflate壓縮格式，微軟現在正與AMD、英特爾和Nvidia等廠商合作，提供支援該格式的驅動程式。</p> </div></div></div>
2022/10/17 23:03作者李建興https://www.ithome.com.tw/news/153668