iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

自駕車新創Argo AI即將解散
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年創立的自駕車新創Argo AI本周傳出即將解散的消息，<a href="https://techcrunch.com/2022/10/26/ford-vw-backed-argo-ai-is-shutting-down/" target="_blank">《TechCrunch》引述消息來源報導</a>，Argo AI已於周三（10/26）對內宣布，而Argo AI兩大股東──福特汽車（Ford Motor）及福斯集團（Volkswagen Group）也已分別透過<a href="https://s201.q4cdn.com/693218008/files/doc_financials/2022/q3/Ford-Fulfills-Earnings-Guidance-Has-Strong-Cash-Flow-in-Q3-Will-Accelerate-Development-of-L2-L3-ADAS-Technology.pdf" target="_blank">財報</a>及<a href="https://www.volkswagen-newsroom.com/en/press-releases/volkswagen-focuses-development-for-autonomous-driving-15271" target="_blank">新聞稿</a>證實。</p> <p>Argo AI的兩位創始人Bryan Salesky與Peter Rander分別來自Google與Uber自駕車專案，該公司主要打造自駕車所需的軟體、硬體、地圖及雲端基礎設施，福特汽車在2017年宣布於5年內注資10億美元予Argo AI，並成為Argo AI的最大股東，Volkswagen集團則是在2020年投入26億美元。</p> <p>然而，根據《TechCrunch》的報導，Argo AI本周已對內宣布即將解散，現有的逾2,000名員工有的可移轉至福特或福斯上班，大多數則會直接遣散。</p> <p>福特汽車則在本周發表的財報中，認列了對Argo AI投資的27億美元資產減損，並宣布新的策略，決定把針對Argo AI正在開發的L4高階駕駛輔助系統的資本支出，轉移到內部的L2+/L3技術的研發。</p> <p>福特指出，Argo AI一直無法吸引新的投資者，讓該公司決定認列非現金的27億美元稅前資產減損，造成福特第三季虧損了8.27億美元。此外，當福特在2017年投資Argo AI時，原本預期可於2021年推出L4的先進駕駛輔助系統（ Advanced Driver. Assistance Systems, ADAS），只是情況發生了變化，現在對於福特來說，開發傑出且具差異化的L2+/L3是關鍵任務，而且也會讓運輸更加安全。</p> <p>福特汽車執行長Jim Farley表示，該公司對於L4的ADAS仍抱持樂觀態度，但要大規模地實現全自動駕駛汽車並獲利仍有很長的一段路，福特不一定要自己創造這項技術，目前L2+/L3已對客戶帶來真正的好處，推動快速採用與擴大福特營收/獲利的可能性，福特亦將自即將解散的Argo AI聘請有才華的工程師來加速此一願景。</p> <p>至於福斯集團也說不會再投資Argo AI，但會繼續與其它打造高度自動化駕駛技術的業者合作，包括Bosch，以及中國的Horizon Robotics，也會自Argo AI 延攬人才以推動於自駕車領域更有前景的各項專案。</p> </div></div></div>
2022/10/27 14:37作者陳曉莉https://www.ithome.com.tw/news/153850
三星手機增加維修模式防送修時資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsung-releases-maintenance-mode-a-new-feature-to-hide-your-personal-information-from-prying-eyes" target="_blank">三星宣布在全球推出維修模式（maintenance mode）</a>，適用於特定三星Galaxy手機，防止用戶裝置送修時個人資料或相片外洩。</p> <p>三星之前在南韓測試維修模式，並在中國率先推出。維修模式可讓Galaxy 裝置送修時讓使用者封鎖像是相片、訊息或聯絡人等個人資訊的存取，確保用戶隱私。</p> <p>維修模式主要原理很簡單，即是在手機上新增多個用戶帳號的實作。它讓用戶可在送修時新增另一個用戶帳號，提供維修人員操作裝置的核心功能，但無法存取任何個人隱私資料。使用者可以透過「設定」>「電池與裝置照護」下找到「維修模式」，再重新啟動手機。手機重新啟動後即進入維修模式，所有用戶個人資訊，包括相片、文件或訊息都無法被他人存取，使用者安裝的App也無法使用。</p> <p>在維修模式下，用戶或維修人員可以由Galaxy Store下載App，但是這些App連同這個模式下產生的資料或帳號，都會在用戶離開維修模式時一併自動刪除。</p> <p>三星提醒，為免萬一，用戶應在啟動維修模式前將個人資料備份。</p> <p>維修模式僅包含在Android 13（One UI 5.0），三星本周一才將Android 13（One UI 5.0）更新部署給Galaxy S22、Galaxy S22+及Galaxy S22 Ultra用戶。</p> </div></div></div>
2022/10/27 15:05作者林妍溱https://www.ithome.com.tw/news/153851
祖克柏堅守元宇宙，Meta盤後股價下滑19%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/153804" target="_blank">在Meta股東Altimeter Capital發表公開信</a>，督促Meta裁員20%及縮減元宇宙開發成本的幾天之後，Meta周三（10/26）公布了今年第三季的財報，該季Meta創造277億美元的營收，下滑4%，但成本/費用則為221億美元，增加了19%，使得Meta的該季淨收入大幅下滑52%。此外，Meta創辦人暨執行長祖克柏（Mark Zuckerberg）不僅不打算縮減元宇宙開發成本，還說明年Reality Labs的支出將大幅增加，種種因素都讓Meta投資人卻步，當天Meta盤後股價大跌了19.66%，為104.3美元。</p> <p>該季Meta並非全是負面消息，旗下涵蓋Facebook、Instagram、WhatsApp與Messenger的家族程式用戶仍在成長中，其每月用戶數為37.1億，成長了4%，就算只看Facebook，其每月用戶也成長2%，達19.6億人。</p> <p>在277億美元的營收中，有高達274億美元來自於家族程式，最主要是廣告營收，另有2.85億美元來自元宇宙部門Reality Labs，家族程式也創下了93.4億美元的營業利潤，而Reality Labs則帶來36.7億美元的虧損。該季Meta的營業利潤為56.7億美元，去年同期則是104億美元。</p> <p>此外，相較於去年同期，今年第三季Meta的員工人數增加了28%，達87,314人，代表這一年來Meta新增了1.9萬名員工。</p> <p>即使Altimeter Capital創辦人Brad Gerstner建議Meta應減少20%人力，刪減對元宇宙的投資，不過，<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2022/q3/META-Q3-2022-Prepared-Remarks.pdf" target="_blank">祖克柏於財報會議中表示</a>，明年會把投資焦點放在少數的優先成長領域，因此有些團隊人數會大幅成長，但大多數團隊會在明年維持平穩或縮小，整體來說，到了明年底Meta的員工人數可能略少或等於現在的規模。</p> <p><a href="https://www.theverge.com/2022/10/26/23425429/meta-qg-2022-earnings-facebook-metaverse-mark-zuckerberg?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《The Verge》則引述了祖克柏對元宇宙的捍衛</a>，他說他知道很多人都不同意Meta對元宇宙的投資，但他認為這將是一件非常重要的事情，十年後人們將會回顧並討論現在這些成果的重要性。</p> <p>此外，祖克柏也在財報會議上明白指出，Reality Labs的費用會在明年再度大幅增加，主要的原因包括將推出新一代的Quest頭戴裝置，且明年會替今年所招聘的相關人力支付首個全年工資。</p> </div></div></div>
2022/10/27 11:21作者陳曉莉https://www.ithome.com.tw/news/153848
Google Workspace Individual免費儲存空間提高為1TB，終於推向臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年推出Workspace Individual版，<a href="https://blog.google/products/workspace/workspace-individual-storage/" target="_blank">Google昨（26）日宣布</a>，這項服務預設免費雲端儲存空間，將從15GB提升到1TB。Google也宣布Individual版將在臺灣等10多個市場推出。</p> <p><a href="https://www.ithome.com.tw/news/145035" target="_blank">Google Workspace Individual</a>是Google為了將Workspace生產力套件，從大型企業推向個人工作室或微型企業而設計，所有具備Google帳號的人都可以購買。它包含基本的Workspace，如Google Docs、Sheets、Slides、Google Meet，以及Google Drive預設15GB的雲端硬碟。Google Workspace部門昨日宣布將為Individual版增加新功能，包括更大的儲存容量，以及個人化郵件製作功能。首先，Google將Individual版的預設儲存空間擴大為1TB，除了支援100多種檔案類型，也將內建垃圾郵件、勒索軟體等惡意程式防護。</p> <p>其次，Workspace Individual版將整合multi-send（多人寄信）模式。這功能可讓使用者一次寄送大量郵件，但又不會曝露收件者郵件信箱以確保隱私性。現在用戶可以在multi-send郵件中加入郵件合併標籤如@收信人名，則收信人收到的信件就會顯示為專門寄給收信人的郵件，而multi-send郵件也會包含取消訂閱的連結，讓收信人可以取消，以便未來不會再收到信。Workspace還提供其他個人化功能，像是客製化郵件版型等。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhiy3HjUUn1v8UcJLrzf47pogNDvT5EBLasc4E5eZkfnV_-IlEXs05GNsEJdtsua1xbER4Xf4Ql7V0wab9cR2rn5mL-2INElPd2QTDJ2ZmgFrxKrB8wBD_TuKlDd7IX0zgdK5CfCh9llTY_ZtLYgfs4xvuJ-wPVrxb-YyyvH9U3h_E92R_Rkw2Bnnux/s16000/unnamed1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEguI4NiLg-51_sVGJKcjUrvSQhpkYDmFoGwCt7YzCWzlH7BcwLASDFgl6p1glWmdxhMaqtoykvyhzhQ4w9B2xptuPcpPSeyj0LV5iXcn7bfSKJS_lvywWY_4aFHcfeAScRcW6cXOUuKFehRQJIkQw5idcK5JUBW3uujHXyl520HQfDEkf7gwmSyWOyQ/s16000/unnamed.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>最後，Google Workspace Individual將擴大上線的市場。繼去年的美國、加拿大、墨西哥、巴西、澳洲及日本，Google宣布將再新增臺灣、菲律賓、越南、馬來西亞、泰國、印尼、比利時、希臘、芬蘭、荷蘭、葡萄牙及阿根廷等12個市場。<a href="https://workspace.google.com/individual/" target="_blank">臺灣版Workspace Individual現在也正式上線</a>，訂閱價為每月10美元（尚無臺幣價格），綁年約則可省16%，用戶可先免費試用14天。</p> </div></div></div>
2022/10/27 09:23作者林妍溱https://www.ithome.com.tw/news/153846
微軟財報出爐，盤後股價下滑逾6%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2023-Q1/press-release-webcast" target="_blank">微軟周二（10/25）公布</a>該公司截至今年9月30日的2023財年第一季財報，該季微軟創下510億美元的營收，比去年同期成長11%，雖然營業利潤（Operating income）也成長6%，達215億美元，但淨收入（Net income）則是176億美元，下滑了14%。雖然微軟財報符合分析師預期，但當天微軟盤後股價下滑6.71%，為233.85美元。</p> <p>微軟執行長Satya Nadella表示，在全面經濟日益面臨逆風的狀況下，數位技術是終極順風，微軟在此一環境中專注於協助客戶事半功倍，也繼續投資長期成長的領域，並以嚴格的方式管理成本結構。</p> <p>微軟營收最高的類別為智慧雲端（Intelligent Cloud），該季創下203億美元的營收，成長20%，居次的是生產力與業務流程（Productivity and Business Processes），營收為165億美元，成長9%，更多個人運算（More Personal Computing）營收為133億美元，呈現微幅下滑，影響此一類別營收最劇的是Windows OEM，下滑了15%。</p> <p>觀察微軟的單一產品營收，成長最多的是Azure與其它雲端服務，增加了35%，而不管是Dynamics 365或Microsoft Cloud營收都成長了24%，伺服器產品及雲端服務成長22%，涵蓋LinkedIn、廣告或Dynamics產品都有兩位數成長。</p> <p>另一方面，<a href="https://www.microsoft.com/en-us/investor/events/fy-2023/earnings-fy-2023-q1.aspx" target="_blank">Nadella於財報會議上透露</a>，自微軟於2018年以75億美元買下GitHub之後，GitHub的年度經常性收入已從當時的3億美元左右，成長到現在的10億美元，至於GitHub的用戶數也從4年前的2,800萬人、增加至9,000萬人。</p> </div></div></div>
2022/10/26 21:40作者陳曉莉https://www.ithome.com.tw/news/153844
Spotify用戶數突破4.5億，近2億為付費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s29.q4cdn.com/175625835/files/doc_financials/2022/q3/Q3-2022-Shareholder-Deck-FINAL-LOCKED.pdf" target="_blank">全球音樂串流龍頭Spotify周二（10/25）公布該平臺第三季財報</a>，顯示不管是每月用戶數或訂閱用戶皆持續成長，其每月用戶數已達4.56億人，比上一季增加5%，更比去年同期多出了20%；至於該季的付費用戶數則有1.95億人，比上一季增加4%，比去年同期增加13%，Spotify當天的盤後股價下滑了6.69%，為90.56美元。</p> <p>該季Spotify的總營收為30.36億歐元，比去年同期成長21%，其中有26.51億歐元來自於付費用戶，另有3.85億歐元為廣告收入。</p> <p>Spotify表示，該平臺每月用戶的成長仍在加速中，光是第三季就增加了2,300萬的新用戶，創下了該季的新紀錄，且付費用戶數也超乎原先預期，即使依舊存在經濟不確定性，但該公司對於該季的整體結果感到滿意。</p> <p>儘管營收與用戶都是成長的，但該季Spotify虧損了2.28億歐元，高於上一季的1.94億歐元的虧損，而去年第三季Spotify還有7,500萬歐元的營業利潤。</p> </div></div></div>
2022/10/26 21:53作者陳曉莉https://www.ithome.com.tw/news/153845
Vercel以Rust打造高速網頁應用程式綑綁工具Turbopack，速度是Webpack的700倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名框架Next.js開發公司Vercel，對外開源一個稱為<a href="https://vercel.com/blog/turbopack">Turbopack</a>的高速網頁打包工具，適用於各種框架，現在開發者可以率先在Next.js 13試用Turbopack的Alpha測試版。Turbopack專案由知名網頁打包工具Webpack的創造者Tobias Koppers帶領開發，目的是要取代Webpack。</p> <p>Turbopack是以程式語言Rust開發，Vercel提到，每次他們將原本基於JavaScript的工具移植到Rust的時候，就會看到巨大的效能改進。Next.js換掉JavaScript轉譯器Babel，使轉譯速度提高達17倍，Vercel接著又換掉了Next.js的JavaScript解析器Terser，加快了極簡化（Minification）的速度達6倍，同時還減少載入時間和頻寬使用。</p> <p>但官方提到，Next.js 13綑綁應用程式的速度還受到Webpack的影響。目前Webpack已經被下載超過30億次，是開發者建構網頁不可或缺的一部分，但是該工具的執行速度限制了Next.js 13，為此，Vercel以Rust開發了Turbopack，希望能夠取代Webpack，改進網頁應用程式打包速度。</p> <p>Turbopack建構在新的增量架構之上，能以非常快的速度打包應用程式，特別是針對大型應用程式，更新速度是前端工具Vite的10倍，而且比Webpack還要快700倍，官方提到，越大的應用程式速度差異越大，甚至可以比Vite快20倍。</p> <p>Turbopack只會綑綁最少所需的開發資源，因此啟動速度非常快，在具有3,000個模組的應用程式，Turbopack只需要1.8秒就能完成啟動，而Vite需要11.4秒。官方揭露Turbopack快速的原因，Vercel參考Turborepo和Google Bazel的開發經驗，透過快取來避免重複執行相同工作。</p> <p>Turbopack建立在開源Rust增量記憶框架Turbo之上，Turbo能夠快取程式中任何函式的結果，當程式再度執行時，除非函式的輸入變更，否則函式不會重新執行。這個基礎架構使得開發者的程式，能夠從函式層級跳過大量的工作，再加上Rust高效能的運作速度，Turbopack因此能夠高效運作。</p> <p>Vercel將Turbopack用於Next.js 13開發伺服器上，將會使熱模組取代（Hot Module Replacement，HMR）更快速，且Turbopack原生支援React伺服器元件，以及TypeScript、JSX和CSS等。另外，Turbopack也將會被應用於本地和雲端Next.js產品建置。</p> </div></div></div>
2022/10/26 22:05作者李建興https://www.ithome.com.tw/news/153834
SUSE發布Edge 2.0平臺，擴展企業於網路邊緣管理容器的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SUSE藉由整合Linux和Kubernetes管理產品，發布其邊緣平臺<a href="https://www.suse.com/news/SUSE-Delivers-A-Cloud-Native-Solution-At-The-Edge/">Edge 2.0</a>，其提供一個安全堆疊，使用戶可以擴展邊緣操作解決規模化部署需求，簡單地擴展並且管理跨多地理位置一千個叢集。</p> <p>SUSE Edge 2.0提供雲端原生邊緣管理解決方案，安全無縫地整合應用程式、Kubernetes和作業系統，其支援的邊緣用例包括一般邊緣、電信甚至是車用系統。Edge 2.0具有大規模管理功能，在不影響可用性的情況下，能夠快速更新邊緣裝置，降低在邊緣部署現代雲端應用程式的複雜度。</p> <p>同時，用戶還可以從Edge 2.0的單一控制平面，管理Kubernetes和底層作業系統。方便的大規模管理功能，使用戶可以在每個開發階段輕鬆地交付工作，並在邊緣位置運作複雜的雲端原生工作負載。</p> <p>Edge 2.0是基於3個SUSE現有產品建立，包括Rancher、SUSE Linux Enterprise（SLE）Micro 5.3和SUSE NeuVector。Rancher是容器管理平臺，而SLE Micro是一個針對容器化和虛擬化工作負載設計的作業系統，SUSE NeuVector則是容器安全平臺，可保護容器應用程式不受惡意攻擊。</p> <p>通常管理者必須要單獨管理作業系統和Kubernetes，但官方提到，Edge 2.0使用戶可以從一個儀表板，同時管理作業系統和Kubernetes，而且因為Rancher的Linux容器工具包Elemental完全開源，因此用戶對底層基礎設施可以有更多的選擇。</p> <p>透過SUSE Edge 2.0，用戶可以在各種遠端位置、小型資料中心或是工業物聯網邊緣裝置，部署邊緣應用程式，而且因為Edge 2.0遵守商業網路安全產品認證，大多數重視安全的組織，包括國防和政府皆可採用。當用戶還想進一步強化應用程式層級的叢集內安全性，藉由採用NeuVector，可強化深度防禦保護以及零信任執行時安全性。</p> </div></div></div>
2022/10/26 22:08作者李建興https://www.ithome.com.tw/news/153835
【資安日報】2022年10月26日，印度大型電力公司Tata Power遭勒索軟體Hive攻擊、VMware修補Clo…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度大型電力公司Tata Power在兩星期前傳出遭到網路攻擊，但決口不提受到影響的範圍，僅表示他們的基礎設施皆正常運作。現在有駭客組織宣稱是他們所為，並公布螢幕截圖。</p> <p>數年前發現並得到修補的漏洞，近期再度成為駭客用於攻擊行動的目標！美國CISA針對技嘉驅動程式在2018年被發現的4個漏洞，以及思科於2020年修補的VPN連線程式AnyConnect漏洞提出警告，並要求公部門限期修補。</p> <p>VMware最近修補Cloud Foundation重大漏洞CVE-2021-39144，值得留意的是，有鑑於此漏洞極為嚴重，該公司也破例為已終止支援的NSX-V發布更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hive-claims-ransomware-attack-on-tata-power-begins-leaking-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度大型電力公司Tata Power遭到網路攻擊，勒索軟體Hive宣稱是他們所為並洩露竊得資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ff4GsvvXoAEjCRP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ff4GsvvXoAEjCRP.jpg" style="width: 200px; float: right;" /></a>10月14日，印度大型電力公司Tata Power向當地證交所通報遭到網路攻擊，如今這起事故有了後續發展。網路安全分析師Dominic Alvieri透露，勒索軟體Hive聲稱是他們發動的攻擊，這些駭客於10月3日加密該電力公司的資料。</p> <p>研究人員Rakesh Krishnan則是公布Hive提供的螢幕截圖，駭客疑似竊得Tata Power員工的個人資料（PII）、身分證字號（Aadhar）、稅務編號（PAN）、薪資，以及工程設計圖、銀行往來記錄、客戶資料等。</p> <h3><a href="https://www.ithome.com.tw/news/153827"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">含有漏洞的技嘉驅動程式遭到利用，駭客發動勒索軟體攻擊</span></strong></a></h3> <p>資安業者InfoGuard於今年7月底，揭露利用技嘉驅動程式GDrv的攻擊行動，最近這類攻擊行動再度出現，亦被美國政府證實。當時，駭客傳送存在漏洞的驅動程式，一旦受害者依照指示下載，就有可能將上述驅動程式部署到System資料夾，然後將惡意程式載入Windows核心。之後該惡意程式會試圖關閉賽門鐵克防毒軟體排程，最終部署不知名的勒索軟體。研究人員指出，前述的驅動程式存在CVE-2018-19320、CVE-2018-19321、CVE-2018-19322、CVE-2018-19323等漏洞，技嘉於2020年5月發布修補版本。</p> <p>美國網路安全暨基礎設施安全局（CISA）於10月24日，將上述4個驅動程式漏洞列入已遭利用的漏洞名單，並要求聯邦機構於11月14日完成修補。</p> <h3><a href="https://www.ithome.com.tw/news/153829"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科兩年前修補的AnyConnect漏洞被用於實際攻擊行動</span></strong></a></h3> <p>思科於10月25日，針對兩年前修補的漏洞CVE-2020-3433、CVE-2020-3153提出警告，因為這兩個漏洞存在於VPN連線程式AnyConnect的Windows用戶端軟體，目前已出現利用漏洞的攻擊行動。</p> <p>上述漏洞思科先後於2020年2月、8月完成修補，攻擊者皆需要通過身分驗證才能利用漏洞，進而取得系統權限，執行任意程式，或將檔案複製到系統資料夾。美國網路安全及基礎設施安全局（CISA）將這些漏洞列入已用於攻擊行動的名單，並要求聯邦機構在11月14日完成修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/exploited-windows-zero-day-lets-javascript-files-bypass-security-warnings/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MoTW零時差漏洞可讓惡意JavaScript指令碼繞過Windows內建的安全檢查機制</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FfXsbP2WAAEtoOr.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FfXsbP2WAAEtoOr.jpg" style="width: 300px; float: right;" /></a>資安研究人員Will Dormann於今年7月揭露Windows零時差漏洞，這項漏洞與MoTW（Mark of the Web）機制有關，他發現駭客可干擾Windows的相關配置，導致在解壓縮ZIP檔案的時候，無論檔案來源為何，都不會出現MoTW警示視窗，而如今此漏洞被用於實際攻擊行動。Will Dormann指出，<a href="https://www.ithome.com.tw/news/153666#magniber">HP威脅情報團隊揭露的勒索軟體Magniber攻擊行動裡</a>，駭客就運用了上述的MoTW漏洞，使得受害電腦執行JavaScript指令碼過程不會出現警示訊意。這名研究人員指出，他發現駭客在指令碼裡加入變造的Authenticode簽章，而使得Windows 10的SmartScreen功能失效。</p> <h3><a href="https://www.facebook.com/165bear/posts/pfbid02hmKviDfLjRJcoCjGnBZAm6ceiNgBYmPBAvoXxgB9ZWEzqMquEE7Sc6Sb8BMVG9sSl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">第三季高風險賣場名單出爐，旋轉拍賣、鞋全家福、生活市集入榜</span></strong></a></h3> <p>165反詐騙諮詢專線公布2022年第三季解除分期詐騙高風險賣場名單，同時也針對疑似個資外洩的平臺示警，本季博客來網路書店持續居於第一，民眾通報件數達905件，問題持續嚴重，其次為旋轉拍賣的529件、鞋全家福的277件、生活市集的220件，以及迪卡儂的191件。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-cloud-foundation-remote-code-execution-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補Cloud Foundation重大RCE漏洞</span></strong></a></h3> <p>VMware於10月25日發布資安通告，當中提及兩個Cloud Foundation漏洞，其中最值得留意的是CVE-2021-39144，此漏洞出現在XStream程式庫，CVSS風險評分達9.8分，影響3.11版Cloud Foundation，以及舊版NSX for vSphere（NSX-V），一旦遭到利用，攻擊者可在不需通過身分驗證的情況下遠端發動攻擊，且不需使用者互動就能觸發漏洞。</p> <p>具體的修補內容，就是該公司將XStream元件升級至1.4.19版來緩解漏洞。此外，他們也針對終止支援的NSX-V推出6.4.14版予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153767" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA力挺無密碼身分認證機制FIDO</span></strong></a></h3> <p>每年十月，美國白宮都將推動「網路安全意識月」（Cybersecurity Awareness Month），美國網路安全暨基礎設施安全局（CISA）總監Jen Easterly積極四處奔波，希望可以提升美國民眾的資安意識。她特別於10月18日錄製影片表示，將力挺FIDO聯盟推動的無密碼數位身分認證機制，這些包含透過指紋等生物辨識及FIDO載具進行驗證，目標是取代目前各行各業經常使用的簡訊OTP機制，讓FIDO成為新世代的數位身分認證措施。</p> <h3><a href="https://www.iso.org/standard/82875.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新版ISO 27001:2022在10月25日正式出爐</span></strong></a></h3> <p>隨著年初國際資安標準ISO 27002:2022出爐，ISO 27001的改版動向屢屢受到關注，在10月25日，新版ISO 27001:2022正式發布。這次內容修訂，以ISO 27002變化幅度較大，控制措施架構重調為4大類別，從2018年3月開始啟動改版，歷經將近4年完成，而ISO 27001在2013版時，已採用一套新的標準化附件架構，透過標準化附件架構對應ISO 27002，這次改版修正幅度較小，從今年5月30日啟動改版，只花了不到5個月的時間完成。其中，ISO 27001:2022在風險評估方面變化值得留意。</p> <h3><a href="https://www.cna.com.tw/amp/news/ahel/202210250332.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺科大與Palo Alto Networks合作，透過防火牆設備實作練習培育相關資安人才</span></strong></a></h3> <p>臺灣科技大學在10月25日宣布，將與資安業者Palo Alto Networks合作，推出一系列關於次世代防火牆的基礎理論、防禦概念，以及防禦實戰課程。</p> <p>該校資訊管理系與資安中心主任查士朝表示，對於企業而言，培訓資安防禦人員需要熟悉常見的防禦工具，而對於學校來說，資安設備昂貴，更是難以取得，這也造成過往人才培養往往偏重於發現問題與破解技巧，而透過業者捐贈的次世代防火牆，將幫助學生出社會前，瞭解企業普遍使用的資訊安全防禦系統，也能學習實際操作防禦，甚至分組競賽演練。同時，該資安業者也將協助校方成立資安研究中心，以及訓練資安種子講師。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/see-tickets-discloses-25-years-long-credit-card-theft-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">票券服務系統業者See Tickets證實存在2年半的資料外洩事件</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.group-ib.com/majikpos_treasurehunter_malware"><span style="color: rgb(0, 0, 0);">POS惡意軟體MajikPOS竊得16.7萬筆交易記錄</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://sysdig.com/blog/massive-cryptomining-operation-github-actions/"><span style="color: rgb(0, 0, 0);">程式碼代管服務GitHub、Heroku、Buddy遭到濫用，被用於挖礦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/uk-cyber-security-council-1/"><span style="color: rgb(0, 0, 0);">英國網路安全委員會推出試點計畫，培養國家資安專家</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153807">【2022年10月25日】巴基斯坦組織遭駭客SideWinder發動後門程式攻擊、蘋果修補已被用於攻擊的iOS零時差漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153798">【2022年10月24日】 Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> </div></div></div>
2022/10/26 18:41作者周峻佑https://www.ithome.com.tw/news/153843
思科兩年前修補的AnyConnect漏洞遭到實際利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）本周一（10/24），將思科（Cisco）於2020年修補的兩個安全漏洞CVE-2020-3433與CVE-2020-3153，<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">納入「已知遭濫用漏洞」（Known Exploited Vulnerabilities）目錄</a>，顯示這兩個涉及AnyConnect Secure Mobility的安全漏洞已遭到駭客的實際利用。同一時間思科也更新了這兩個漏洞的說明。</p> <p>AnyConnect Secure Mobility為思科所打造的遠端存取解決方案，宣稱可讓遠端工作者擁有高度安全的存取權限，以透過任何裝置存取企業網路並保護組織的安全。</p> <p>這兩個漏洞皆與AnyConnect的Windows客戶端有關，其中的<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-anyconnect-dll-F26WwJW" target="_blank">CVE-2020-3433</a>允許已經身分認證的本地端駭客執行DLL挾持攻擊，取得系統權限以執行任意程式，屬於高風險漏洞。</p> <p class="rtecenter"><a href="http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-anyconnect-dll-F26WwJW" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-CISA-Cisco-CVE-2020-3433.png" style="width: 600px;" /></a></p> <p><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ac-win-path-traverse-qO4HWBsj" target="_blank">CVE-2020-3153</a>則是個不受控的路徑搜尋漏洞，駭客同樣必須先通過身分認證，但可藉由該漏洞以系統權限、將使用者所提供的檔案複製至系統目錄，只被列為中度漏洞。</p> <p class="rtecenter"><a href="http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ac-win-path-traverse-qO4HWBsj" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-CISA-Cisco-CVE-CVE-2020-3153.png" style="width: 600px;" /></a></p> <p>思科是在2020年2月修補CVE-2020-3153，於2020年的8月修補CVE-2020-3433，在修補的當下並未察覺任何攻擊行動，只是已有CVE-2020-3433的概念性驗證攻擊程式。</p> <p>不過，思科本周同步更新了這兩個安全漏洞的說明，指出已有駭客正試圖濫用這兩個安全漏洞。</p> <p>CISA除了要求美國聯邦機構必須在今年11月14日修補相關安全漏洞之外，也建議所有企業或組織展開修補以策安全。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1026-CISA-Cisco-due%20date-2022-11-14.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-CISA-Cisco-due%20date-2022-11-14-600(1).png" style="width: 600px;" /></a></p> </div></div></div>
2022/10/26 12:38作者陳曉莉https://www.ithome.com.tw/news/153829
Alphabet營收成長，惟獲利持續縮減
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/investor/static/pdf/2022Q3_alphabet_earnings_release.pdf" target="_blank">Google母公司Alphabet周二（10/25）公布今年第三季財報</a>，顯示該季創下691億美元的營收，成長6%，但淨收入為139億美元，低於去年同期的189億美元。由於不管是營收或獲利都不符華爾街分析師的預期，當天Alphabet的盤後股價下滑超過6%，為97.95美元。</p> <p>廣告仍是Alphabet最大的營收來源，為545億美元，占Alphabet總營收的79%，當中Google搜尋廣告便接近400億美元，超越去年同期的380億美元，不過，YouTube廣告出現兩年來的首次衰退，不到71億美元，低於去年同期的72億美元。</p> <p>另一方面，Google Cloud的營收則持續成長，從去年的50億美元增加至今年的68.7億美元，成長37.6%。至於新創事業（Other Bets）的營收則從1.82億美元增加到2.09億美元，成長14.8%。</p> <p>整體而言，Google服務的營業利潤為198億美元，低於去年同期的240億美元，但Google Cloud的虧損仍隨著業績成長而擴大，虧損金額從6.4億美元增加到7億美元，新創事業的虧損也從12.9億美元增加到16.1億美元。</p> <p>Alphabet財務長Ruth Porat表示，該公司正專注於愈來愈清晰的產品及業務優先順序，包括大幅度地改善基於AI的搜尋與雲端服務，也找到讓YouTube Shorts獲利的方法，未來Alphabet將持續聚焦於負責任的長期投資，也會對現有的經濟環境作出反應。</p> </div></div></div>
2022/10/26 12:52作者陳曉莉https://www.ithome.com.tw/news/153830
圖庫Shutterstock和OpenAI合作宣布提供用戶即時訂作的圖片服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.shutterstock.com/press/20435" target="_blank">知名圖庫Shutterstock昨（25）日公布</a>一項和AI模型開發商OpenAI合作的新服務，讓AI依據使用者輸入的條件，即時產生圖片。</p> <p>這項服務是以OpenAI的文字轉圖片AI模型DALL-E為基礎，讓付費的使用者可以輸入文字條件，由AI模型即時產出圖片。新服務預計再幾個月後推出。</p> <p><a href="https://www.shutterstock.com/blog/ai-generated-content-creativity" target="_blank">最新服務</a>是該圖庫業者和OpenAI自2021年合作以來的最新成果。擁有200萬貢獻者的Shutterstock授權OpenAI使用其圖片為素材，訓練DALL-E模型。</p> <p><a href="https://www.ithome.com.tw/news/153341" target="_blank">OpenAI今年9月全面開放DALL-E供外界試用</a>。<a href="https://www.ithome.com.tw/news/153625" target="_blank">該公司本月也授權微軟</a>將新一代模型DALL-E 2整合到微軟的Designer、Edge與Bing，讓用戶可以AI工具自行產生圖片。</p> <p>Shutterstock為了避免外界批評拿數百萬貢獻者的心血成果去訓練AI模型獲利，也同時宣布貢獻者基金（Contributor Fund），針對其圖片曾被用於訓練AI模型的人，以及其智財被使用的貢獻者提供補償。</p> <p><a href="https://www.theverge.com/2022/10/25/23422359/shutterstock-ai-generated-art-openai-dall-e-partnership-contributors-fund-reimbursement" target="_blank">《The Verge》報導</a>，Shutterstock也禁止其網站上銷售任何以DALL-E以外的AI模型產生的創作。</p> <p>另一家<a href="https://arstechnica.com/information-technology/2022/09/fearing-copyright-issues-getty-images-bans-ai-generated-artwork/" target="_blank">圖片及相片庫業者Getty</a>和一些小型藝術圖片網站則是宣布因為站上充斥著以AI合成的圖片，而禁止銷售以AI合成的圖片，以避免侵權疑慮。</p> </div></div></div>
2022/10/26 13:00作者林妍溱https://www.ithome.com.tw/news/153831
首批FIPS 140-3驗證產品將出爐，開發者應增進密碼學演算法認知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於密碼學模組資安要求，美國聯邦資訊處理標準（FIPS）已是業界公認標準，舉例來說，像是國際組織SWIFT與國內金管會皆要求銀行業，須使用通過FIPS 140-2 Level 3以上認證的硬體安全模組（HSM）來儲存重要金鑰。</p> <p>基本上，只要採用密碼學模組的軟體、硬體或韌體都適用此標準規範，而目前常見的作業系統也都有FIPS模式能啟用，甚至部分作業系統是預設啟用。值得注意的是，今年是FIPS 140-2轉換成FIPS 140-3的關鍵時期。</p> <p>事實上，FIPS 140-2從最初2001年發布，至今已有20年之久，而且，自2022年4月1日開始，美國國家標準暨技術研究院（NIST）建立的CMVP密碼模組驗證計畫，不再接受密碼學模組送交新的FIPS 140-2驗證（最後驗證有效期限至2026年9月），在此同時，於2019年發布的FIPS 140-3，將取而代之。</p> <p>面對FIPS標準的轉變，提供物聯網設備資安檢測服務的安華聯網科技，在今年臺灣資安大會介紹這方面的進展。該公司軟體工程師暨資安研究員楊力學（Aspen Yang）談及FIPS 140-3諸多面向的議題，當中除了這項標準的近況，以及轉換需注意的要點，特別的是，他呼籲開發人員都要增進這方面的認知，使用密碼學演算法時才能更為妥善。</p> <h3><strong>FIPS 140-3雖維持11大項資安要求，但內容變化不小</strong></h3> <p>關於FIPS 140-3的發展現況，已有多個主流作業系統平臺宣布預備支援或已支援，楊力學表示，近期首批通過FIPS 140-3檢測的密碼學模組，即將出爐。</p> <p>從NIST公布的CMVP密碼模組驗證計畫的列表來看，至2022年9月19日為止，已有56家廠牌共137項產品送驗FIPS 140-3（<a href="https://csrc.nist.gov/Projects/cryptographic-module-validation-program/modules-in-process/IUT-List">IUT List</a>），已完成實驗室驗證邁向審核的有67項產品（<a href="https://csrc.nist.gov/Projects/cryptographic-module-validation-program/modules-in-process/Modules-In-Process-List">MIP List</a>），當中有13項產品，率先進入協調（Coordination）階段，這意味著，這13項有機會成為首批通過認證的產品。</p> <p>FIPS 140-3標準有哪些特性？與舊版的差異？楊力學表示，基本上，FIPS 140-3是基於兩個ISO國際標準進行修改而成，分別是密碼學模組安全要求的ISO/IEC 19790:2012，以及密碼學模組測試要求的ISO/IEC 24759:2017。</p> <p>在FIPS 140-3標準中，同樣畫分為4個安全等級，並具有11大項資安要求，但與前一版相比，其要求有許多變化。</p> <p>以FIPS 140-3實作指南而言，主要修改自ISO/IEC19790:2012，新版11大項資安要求，分別是：（1）密碼學模組規格，（2）密碼學模組介面，（3）角色、服務與身份認證，（4）軟韌體資安，（5）作業環境，（6）物理性資安防護，（7）非侵入式資安，（8）敏感安全參數管理，（9）自我測試，（10）生命週期確保，以及（11）緩解其他攻擊方式。</p> <p>與舊版的項目相比，主要有哪些差異？楊力學指出，FIPS 140-2的第4項與第10項，也就是有限狀態模型與設計面確保，FIPS 140-3被整併為第10項，歸類在生命週期確保的範圍之中；FIPS 140-3的第四項則為軟韌體資安：FIPS 140-2第7項的密碼學金鑰管理，FIPS 140-3變成第8項的敏感安全參數管理；而FIPS 140-2第8項的電磁干擾／電磁相容性，FIPS 140-3變成第7項的非侵入式資安。此外，FIPS 140-2的附件與相關附錄內容，FIPS 140-3也都整併於附件之中。</p> <p>FIPS 140使用的一些重要術語，也出現變化。舉例來說，亂數產生器之前稱為Random NumberGenerators（RNG），現在為了要與後量子密碼學區分，亂數產生器改為Random Bit Generators（RBG）。同時，他提及，新版不只密碼學演算法要驗證，就連熵（Entropy）也要驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）FIPS 140-3資安要求比較.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89FIPS%20140-3%E8%B3%87%E5%AE%89%E8%A6%81%E6%B1%82%E6%AF%94%E8%BC%83.JPG" style="width: 600px;" /></a></p> <h3><strong>開發人員需增進密碼學演算法認知，才能避免誤用</strong></h3> <p>除了FIPS 140-3的概況介紹，特別的是，楊力學在這場演說中更是強調一件事，開發人員必須要對FIPS 140-3有更多瞭解。</p> <p>他認為，大多資安公司看待FIPS 140-3的角度，是從檢測與合規的角度出發，若以SSDLC需求的角度看待時，其實也跟開發人員有關，他們也需要多瞭解FIPS 140-3，因為，若不注意當中的區分，與密碼學有關的程式，很有可能無法正常在FIPS模式下執行。</p> <p>例如，在今年2月，美國NIST發布的軟體開發安全框架中，在「組織要準備的工作」第5.2項工作項目中，其要求就是「研發工作相關端點，需基於風險的考量，進行安全與強固」，而其中的一個概念實施範例，就是建議使用FIPS合規的加密，以保護所有處於儲存與傳輸狀態的敏感資料。</p> <p>換個角度，若從實際威脅現況來看，他也特別強調一點，就是密碼學問題（加密機制失效）所造成的網站應用程式弱點與風險，在<a href="https://owasp.org/Top10/zh_TW/">OWASP Top 10</a>排行榜當中，近年已經從第三名升至第二名。</p> <p>上述這些狀況反映出，開發人員對於密碼學模組資安要求，同樣需要有更多的充分認識。</p> <p>因此，在FIPS 140-2轉換FIPS 140-3之際，楊力學也對開發人員提出一些建議。</p> <p>由於<strong>普遍開發人員</strong>也是<strong>密碼學模組的使用者</strong>，他提出五個注意事項。首先，當開發工程師使用密碼學演算法時，必須瞭解這些密碼學演算法，認識有哪些分類及目的，他建議可以先閱讀一些密碼學的書。</p> <p>第二，關於密碼學的規格、介面，以及密碼學模組提供的使用者手冊，由於都會改版，他建議必須要仔細閱讀，這樣才能避免誤用密碼學的輸入參數。</p> <p>第三，密碼學模組在FIPS模式的狀態沒有提供的密碼學演算法，開發人員也需要留意。</p> <p>第四，需要認知到現階段已實作FIPS 140-3的密碼學模組的大廠，都算是早期產品，因此早期採用者也會面臨一些挑戰。最後，他建議可以多參與FIPS 140-3的相關討論。</p> <p>另外，他也呼籲一般的開發人員，也就是密碼學模組的使用者，在安全軟體開發生命週期之中，應將伺服器的作業系統設定為「啟用FIPS模式」，後端與系統程式將設定值改成FIPS合規狀態，或是使用符合FIPS 140-2、140-3認證的程式庫，進行密碼學操作，又或直接調用FIPS認證密碼學模組提供的密碼學介面。</p> <p>如此一來，可增進資料三態的安全性，也能縮小開發與維運環境的差異，使開發人員更能滿足維運人員需求。</p> <h3><strong>FIPS 140-3內容編排更有條理，方便密碼學模組開發者檢視</strong></h3> <p>除了一般普遍的開發人員，國內也有廠商正在開發密碼學模組，因此，對於這些<strong>密碼學模組開發者</strong>而言，他也提供轉換FIPS 140-3心得。</p> <p>例如，FIPS 140-3在編排上，比前一版更有條理，對開發團隊會比較清楚；要有能力開發「密碼學服務提供者」（Cryptographic Service Provider）這樣的程序，需準備離散數學與密碼學的知識，以實作核可的密碼學演算法；在FIPS 140-3標準中，實作指南與ISO/IEC 19790所提到的每個「shall（應作之事）」，都是一個軟體開發流程需求表（Backlog）之中的需求，若要解讀需求表，需要對密碼學與資訊安全有深入理解，否則自己與同儕之間，若有不同見解時，將有一定的溝通成本；目前Level 3與Level 4的部分內容還有些模糊；密碼學模組開發者在設計「安全支援提供者」（Security Support Provider）的程式庫時，也要注意，像是其中的已知解答測試（KAT）自我測試模組，其實並沒有那麼容易開發。至於緩解旁路攻擊需要分析電力使用方面，由於目前SP 800-140F尚未完成，因此對於軟體密碼學模組的要求尚不清楚。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）FIPS 140-3_安華聯網.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89FIPS%20140-3_%E5%AE%89%E8%8F%AF%E8%81%AF%E7%B6%B2.jpg" style="width: 600px;" /></a></p> <p><strong>安華聯網科技軟體工程師暨資安研究員楊力學（Aspen Yang）在近期臺灣資安大會的演說上，不僅提到FIPS 140-3的現況與轉換挑戰，同時他並以SSDLC的角度切入，建議開發人員需要多對FIPS 140-3有所瞭解。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FIPS 140-3資安要求安全等級重點摘要.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FIPS%20140-3%E8%B3%87%E5%AE%89%E8%A6%81%E6%B1%82%E5%AE%89%E5%85%A8%E7%AD%89%E7%B4%9A%E9%87%8D%E9%BB%9E%E6%91%98%E8%A6%81.JPG" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FIPS 140-3資安要求安全等級重點摘要-2.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FIPS%20140-3%E8%B3%87%E5%AE%89%E8%A6%81%E6%B1%82%E5%AE%89%E5%85%A8%E7%AD%89%E7%B4%9A%E9%87%8D%E9%BB%9E%E6%91%98%E8%A6%81-2.JPG" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）FIPS 140-3資安要求安全等級重點摘要-3.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89FIPS%20140-3%E8%B3%87%E5%AE%89%E8%A6%81%E6%B1%82%E5%AE%89%E5%85%A8%E7%AD%89%E7%B4%9A%E9%87%8D%E9%BB%9E%E6%91%98%E8%A6%81-3.JPG" style="width: 600px;" /></a></p> <p><strong>FIPS 140標準從1994年第一版發展以來，2001年發布第二版FIPS 140-2，2019年發布至第三版FIPS 140-3，如今可預期的是，未來所有密碼學模組等開發商，販售的硬體或軟體密碼模組都要支援FIPS 140-3認可的演算法。安全等級與上一版同樣畫分4個等級，分別是Level 1、Level 2、Level 3與Level 4，Level 4最嚴格。基本上，較高安全等級的需求，亦涵蓋較低等級的所有安全要求。</strong>（圖片來源：安華聯網）</p> </div></div></div>
2022/10/26 09:54作者羅正漢https://www.ithome.com.tw/news/153817
技嘉舊驅動程式漏洞遭濫用感染勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）本周警告</a>，技嘉的Windows驅動程式多項舊漏洞發生濫用情形。安全廠商則發現，是被用以感染勒索軟體。</p> <p>根據CISA周二公告的已知遭濫用漏洞清單，遭到濫用的技嘉產品漏洞包括CVE-2018-19320、CVE-2018-19321、CVE-2018-19322及CVE-2018-19323。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1026-CISA-GIGABYTE-due%20date-2022-11-14.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1026-CISA-GIGABYTE-due%20date-2022-11-14-small(1).png" style="width: 600px;" /></a></p> <p>這項公告之前，<a href="https://twitter.com/malmoeb/status/1551449425842786306" target="_blank">一名安全研究人員本月稍早揭露一項攻擊</a>，攻擊者傳送包含有漏洞技嘉驅動程式GDrv的EXE檔。一旦用戶下載，就會將漏洞驅動程式安裝到Windows System資料夾，再以其載入惡意驅動程式於Windows核心中。之後會尋找賽門鐵克防毒行程，再將之關閉，最後感染不知名的勒索軟體。</p> <p>GDrv是技嘉2020年5月修補的漏洞驅動程式之一。當時技嘉修補的4項漏洞中，GDrv低階驅動程式全部都有。其中CVE-2018-19320出在原因是曝露ring0 memcpy函式，可讓本地攻擊者得以取得設備控制權。</p> <p>CVE-2018-19321和CVE-2018-19322則是影響GPCIDrv和GDrv兩項驅動程式，前者可讓本地攻擊者升級其權限，而得以在技嘉產品中讀寫任意實體記憶體。後者則允許攻擊者從I/O傳輸埠讀寫資料，也能用於擴大權限、而利用多種方法執行程式碼。CVE-2018-19320到CVE-2018-19322三漏洞風險值皆為7.8。</p> <p>GPCIDrv及GDrv驅動程式另一項漏洞CVE-2018-19323，可讓本地攻擊者擴大其權限以讀寫實體記憶體。風險值高達9.8。</p> <p><a href="https://www.gigabyte.com/Support/Security/1801" target="_blank">技嘉已經在2020年5月公告並加以修補上述漏洞</a>。<a href="https://news.sophos.com/en-us/2020/02/06/living-off-another-land-ransomware-borrows-vulnerable-driver-to-remove-security-software/" target="_blank">當時安全廠商Sophos偵測到</a>攻擊者利用這批漏洞在受害裝置上散布勒索軟體Robbinhood。</p> <p>針對本月的最新攻擊，研究人員指出，一般64-bit Windows電腦可以驅動程式簽章執行（driver signature enforcement）來確保只有合法驅動程式可以安裝到Windows核心中。但這起攻擊，則是利用GDRV.sys驅動程式已獲得簽章，但卻有權限擴充漏洞這點攻擊Windows用戶，而且過程中防毒軟體皆未被觸動發出警示。</p> <p><a href="https://twitter.com/malmoeb/status/1551449521581867008" target="_blank">研究人員說</a>Windows有將GDRV驅動程式列為封鎖清單，但是沒有提供hash sum。因此用戶防範攻擊的最好方法是儘速更新驅動程式。</p> </div></div></div>
2022/10/26 11:32作者林妍溱https://www.ithome.com.tw/news/153827
Windows 10零時差漏洞讓惡意JavaScript繞過內建的MotW安全機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現一項早先曝露的Windows漏洞，在微軟釋出修補程式之前，又讓惡意JavaScript檔繞過Windows用以防範網頁惡意檔案的MotW機制。</p> <p><a href="https://www.ithome.com.tw/news/153666" target="_blank">上個月HP威脅研究部門人員發現</a>勒索軟體Magniber的攻擊行動。攻擊者以防毒或Windows更新誘騙用戶下載一個內含JavaScript檔的壓縮檔。在此之前Magniber都是以MSI和EXE檔掩飾，而這是它第一次使用JavaScript檔。</p> <p class="rtecenter"><img alt="" src="https://threatresearch.ext.hp.com/wp-content/uploads/2022/10/magniber_02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／HP</span></span></p> <p>至於從網站上下載的檔案何以能在Windows上執行，<a href="https://twitter.com/wdormann/status/1582466468968792064" target="_blank">引發知名安全研究人員Will Dormann好奇</a>，因為Windows MotW並未啟動。他在今年7月揭露Windows的MotW漏洞。MotW（Mark of the Web）是Windows的安全功能，會針對從網路上下載的檔案給予一個MoTW標籤，作為在NTFS檔案系統的ADS（Alternate Data Streams）檔。當開啟具有MoTW標籤的檔案，Windows就會顯示警告，要求使用者小心。</p> <p>Dormann 7月發現到的漏洞讓駭客得以干擾Windows的MotW設定，使Windows解壓縮ZIP檔案時，就算某些檔案來自不可靠的來源也不會出現MotW及警示。微軟一直沒有修補，另一家安全廠商<a href="https://www.ithome.com.tw/news/153680" target="_blank">0Patch則於上周釋出非官方修補程式</a>。</p> <p><a href="https://twitter.com/wdormann/status/1582458287915573249" target="_blank">Magniber攻擊者散布的</a>JavaScript檔有MotW，但Windows仍然沒有顯示警示。Dormann發現，攻擊者使用來簽發該JavaScript檔的簽章檔，是變造過的Authenticode簽章，則可以跳過Windows 10的Smart Screen或警示，不論JavaScript檔內容為何。</p> <p class="rtecenter"><a href="https://twitter.com/wdormann/status/1582458287915573249/photo/3" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FfXsbP2WAAEtoOr?format=jpg&name=medium" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/wdormann/status/1582458287915573249/photo/3" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Will Dormann</span></span></a></p> <p><a href="https://twitter.com/wdormann/status/1582493426494636032" target="_blank">Dormann還說</a>，這個技倆也能用在操弄.EXE檔，而讓惡意執行檔在Windows上執行。</p> <p><a href="https://twitter.com/wdormann/status/1582925407107821568?/" target="_blank">研究人員相信</a>，這個問題在修補完全的Windows 8.1並不會發生，因此可以推論，這個漏洞（或瑕疵）是從Windows 10才有的。</p> <p><a href="https://www.bleepingcomputer.com/news/security/exploited-windows-zero-day-lets-javascript-files-bypass-security-warnings/" target="_blank">研究人員對Bleeping Computer表示</a>，這問題是出在Windows 10的「應用程式和檔案檢查」功能SmartScreen。只要關閉這功能，就能讓Windows MotW功能發生作用，而發出安全警告。</p> <p>用戶可以在「Windows安全性」＞「應用程式&瀏覽器控制」＞「信譽評等防護設定」下關閉該服務。</p> </div></div></div>
2022/10/26 12:01作者林妍溱https://www.ithome.com.tw/news/153828
Docker開始支援WebAssembly，應用更輕巧靈活
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docker.com/blog/docker-wasm-technical-preview/">Docker宣布技術預覽WebAssembly支援</a>，這將可使開發者更容易建構WebAssembly Runtime應用程式，同時，Docker也宣布加入非營利組織Bytecode Alliance，以參與WebAssembly和WebAssembly System Interface（WASI）的發展。</p> <p>原本WebAssembly的目的，是為了要在網頁瀏覽器快速執行原生程式碼，但是因為WASI的發展，WebAssembly應用程式已經跨出瀏覽器之外，可在雲端和邊緣環境運作。WebAssembly讓開發者以40多種語言撰寫程式，並且編譯成WebAssembly程式碼，在沙盒環境中安全的運作。</p> <p>而Docker原先發展的目標，就是要簡化程式開發的複雜性，使開發者不需要在意底層技術，藉由容器使應用程式的建置、共享和運作更為容易，Docker官方提到，他們將WebAssembly視為Linux容器的補充技術，開發者可以根據使用案例選擇想要用的技術，甚至是兩者同時使用。</p> <p>Docker整合WebAssembly的具體作為，是將映像檔管理搬遷到containerd，使用和OCI相容的構件和containerd shim，Docker官方與WasmEdge合作創建了containerd shim，可從OCI構件中擷取WebAssembly模組，並在WasmEdge Runtime上運作。同時，Docker也添加對宣告WebAssembly Runtime的支援，使其能夠使用新的shim。</p> <p>Docker將持續擴展WebAssembly支援度，包括支援多執行緒、垃圾收集，以及簡化開發者工作等功能。</p> </div></div></div>
2022/10/26 07:00作者李建興https://www.ithome.com.tw/news/153810
UI開發工具包Jetpack Compose添加Material Design 3控制並且開始支援大螢幕裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布UI應用程式開發工具包<a href="https://android-developers.googleblog.com/2022/10/whats-new-in-jetpack-compose.html">Jetpack Compose最新版本</a>，這個10月更新添加了新的Material Design 3支援，以及讓開發者可以輕鬆追蹤Compose元件版本的物料清單功能，還有Jetpack Compose現在也能用於Android TV等大螢幕裝置的應用程式開發上。</p> <p>Google新發布的Compose Material 3函式庫穩定版，可供開發者以設計系統Material Design 3建構應用程式的主題，進一步自定義應用程式的顏色、排版和形狀，該函式庫包含許多UI元件更新，包括按鈕、卡片、複選框以及導航欄等。開發者可以參考Google新的移植指南，加速轉移到Material 3上，而Android Studio Flamingo目前也已經預設採用Material 3。</p> <p>而官方針對開發者需要追蹤各構件版本的需求，在最新的Compose加入BOM（Bill of Materials）功能，BOM是一個Maven模組，宣告了一組函式庫和其版本，這將能大幅簡化開發者在Gradle相依項目模塊中定義Compose函式庫版本的方法，特別是Google現在對不同的Jetpack Compose函式庫採用個別版本號，這將使過去追蹤版本號的方法更加麻煩且容易出錯。</p> <p>現在開發者只要定義一個BOM版本，所有Compose函式庫版本都會從該BOM版本擷取，當Compose構件有新的穩定版本時，Google也會發布新版本的BOM，因此開發者要從穩定版搬遷至另一個穩定版也會簡單許多。添加BOM的好處是能夠簡化相依關係，使升級更容易，不過，開發者還是可以用原本寫死的方式定義相依項目。</p> <p>Google還推出了Relay Alpha版本，Relay是從設計端到程式碼端的協作工具，設計師可以在Figma上創建UI元件，而開發者藉由使用Android Studio擴充套件就能夠自動使用這些元件，生成的元件是可組合的函式，因此可以直接整合到Compose應用程式中。</p> <p>Jetpack Compose現在也可被用於開發WearOS、大螢幕和電視應用程式，Google在7月時發布Wear Compose穩定版，提供了20多個專為穿戴式裝置設計的Compose UI元件，而Google持續發展Jetpack Compose，現在已經可用於可折疊裝置、平板電腦和Chrome OS等大螢幕應用程式。</p> </div></div></div>
2022/10/26 05:00作者李建興https://www.ithome.com.tw/news/153809
Momo雙11流量預計提升2成，提升系統乘載及物流量能嚴陣以待
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子商務年度主戰場雙11節即將到來，電商巨頭Momo總經理谷元宏今日（10/25）表示，去年雙11檔期營收是平日的3.5倍，儘管今年消費者在電商消費的意願較為疲軟，仍預期有數倍於平日的營收。他並透露今年對於IT和物流挑戰的預期和應對方法。</p> <p>每年雙11必經的課題，就是系統是否足以承載活動檔期流量。「Momo從8、9月起，就開始進行承載測試和系統擴充。」谷元宏說，今年系統有信心承載比平日高出30%以上的流量，不過今年預期流量成長大概只有20%左右。他說明，今年網站流量並沒有減少，只不過因為通膨、解封等因素，讓流量轉換率下降，因此在促銷檔期間，主要提升的不會是流量，而是成交訂單量。</p> <p>成交訂單量大增，對物流造成的壓力便會隨之提升。谷元宏不諱言，認為雙11期間，訂單履行效率勢必會下降，但Momo積極投資的物流設施和人力會有助於舒緩物流壓力。相較於去年，Momo倉儲空間提升了18％，包含19座主倉及32座衛星倉，自有車隊規模也成長了7至8成，能負擔20%到25%的訂單物流。雙11檔期間，Momo還租用了4萬個棧板，並聘請更多外部車隊人力，來應對增量的運送需求。</p> <p>谷元宏還提到了中區及南區大型物流中心布局情況。南區物流中心預計明年Q4上線，中區物流中心則因為尋找土地費時較久，時程有所延緩，最終定址在彰化縣和美鎮，計畫於2023年開工，2026年完成。</p> <p>今年雙11活動，Momo下重本砸了破億新臺幣用於行銷，其中許多項目都與自家平臺代幣Mo幣有關。關於Mo幣生態圈拓展現況，谷元宏說，目前外部用途多為台灣大哥大帳單折抵，其他通路的使用情境仍在開發中。不過，由於Mo幣目前使用率超過80%，且大部分使用情境都在自家電商平臺，因此Momo對於開發生態圈一事並不著急。目前與富邦合作發行的聯名卡發行量超過70萬張，是帶動Mo幣發行的主要動力。</p> </div></div></div>
2022/10/25 22:35作者郭又華https://www.ithome.com.tw/news/153811
【資安日報】2022年10月25日，巴基斯坦組織遭駭客SideWinder發動後門程式攻擊、蘋果修補已被用於攻擊的iO…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴基斯坦組織遭到駭客SideWinder鎖定，並透過後門程式來發動攻擊，不過，駭客並非直接攻擊特定的組織，而是入侵當地政府機關的網站，來做為散布後門程式的管道。</p> <p>攻擊者假借提供漏洞的概念性驗證程式為由，將惡意程式上傳至程式碼儲存庫GitHub散布的情況，不時有事故傳出，但這樣的情況究竟有多嚴重？根據荷蘭萊登大學的分析，他們找到了近5千個遭到濫用的儲存庫。</p> <p>蘋果發布iOS 16.1與iPadOS 16，但值得留意的是，當中修補了已出現攻擊行動的漏洞CVE-2022-42827，使用者應儘速套用更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.zscaler.com/blogs/security-research/warhawk-new-backdoor-arsenal-sidewinder-apt-group-0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴基斯坦組織遭駭客SideWinder鎖定，利用WarHawk後門程式發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SideWinder-APT-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideWinder-APT-website.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露駭客組織SideWinder的攻擊行動，該組織約自今年9月入侵巴基斯坦國家電力監管局（NERPA）網站，用來散布後門程式WarHawk。駭客上傳了ISO映像檔，內容包含了Windows捷徑檔、PDF檔案，以及加料的瑞昱驅動程式安裝程式（RtlAudioDriver.exe）或公用程式MSbuild.exe。</p> <p>一旦受害者執行捷徑檔，將會同時開啟PDF檔案與可執行檔，後者將會於受害電腦植入WarHawk。此後門程式包含滲透測試工具Cobalt Strike的惡意模組，並會檢查是否在巴基斯坦時區，然後將自己的處理程序，以<a href="https://attack.mitre.org/techniques/T1574/013/">KernelCallBackTable的注入攻擊手法</a>，注入到記事本處理程序執行。</p> <h3><a href="https://arxiv.org/abs/2210.08374"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近5千個GitHub儲存庫被用於存放假的概念性驗證攻擊程式，成散布惡意軟體溫床</span></strong></a></h3> <p>荷蘭萊登大學進階電腦科學研究所（LIACS）指出，GitHub上的概念性驗證（PoC）攻擊程式，平均每10個就有一個是惡意軟體。研究人員透過IP位址、可執行檔分析等手法，針對47,313個存放PoC檔案的儲存庫進行分析，結果發現，4,893個為惡意程式，其中大部分宣稱是2019至2021年漏洞的PoC工具。而這些被散布的惡意程式類型也相當廣泛，包含了RAT木馬程式、滲透測試工具Cobalt Strike等。研究人員已向GitHub通報，但這些儲存庫目前尚未完全移除。</p> <h3><a href="https://blog.checkpoint.com/2022/10/24/online-shoppers-beware-scammers-most-likely-to-impersonate-dhl/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DHL是今年第3季駭客最愛冒用的品牌</span></strong></a></h3> <p>資安業者Check Point公布對於今年第3季網路釣魚態勢的觀察，在駭客偏好冒用的品牌當中，最多的是物流業者DHL（22%），其次則是微軟（16%），LinkedIn則占11%。研究人員指出，有別於今年上半LinkedIn占據半數（第1季52%、第2季45%），DHL一舉成為第3季攻擊者的最愛，很有可能與佯稱包裹無法送達的網釣攻擊氾濫有關。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/archive-sidestepping-self-unlocking-password-protected-rar/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Emotet透過自解RAR壓縮檔散布</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6a18ac3670c2db4af3468d96d3e85fb597e6825f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6a18ac3670c2db4af3468d96d3e85fb597e6825f.png" style="width: 300px; float: right;" /></a>攻擊者為了規避資安系統的偵測，很可能利用密碼保護的壓縮檔來打包作案工具，但這種手法需要受害者互動，如今駭客運用了更為複雜的方式來進行。資安業者Trustwave揭露近期的殭屍網路Emotet攻擊行動，駭客假借發票的名義寄送釣魚郵件，並挾帶RAR自解壓縮檔，而這個檔案內有另一個以密碼保護的RAR自解壓縮檔、批次檔，以及做為誘餌的圖片或PDF文件檔案。</p> <p>一旦受害者開啟此自解壓縮檔，該檔案就會執行內部的批次檔，來解壓縮第二個以密碼保護的自解壓縮檔案，進而在受害電腦植入Emotet，或是挖礦程式CoinMiner、木馬程式QuasarRAT等。</p> <h3><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">16款廣告點擊惡意App被下載超過2千萬次</span></strong></a></h3> <p>資安業者McAfee揭露廣告點擊詐騙程式的攻擊行動，該詐騙程式埋藏於16款App並上架於Google Play市集，這些App的功能相當廣泛，包含了手電筒、QR Code掃描工具、相機、單位轉換程式等，總共被下載逾2千萬次。一旦使用者安裝這些App，手機就會發出HTTP請求，下載遠端配置組態，繼而註冊Firebase雲端通訊（FCM）接收程式。</p> <p>研究人員指出，駭客這麼做的目的，是為了掩飾手機被用於廣告詐騙，在使用者不知情的狀況下耗用大量頻寬及電力，模仿使用者存取特定網站來為駭客製造廣告收入。Google獲報後已下架上述16款App。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/tommyleaks-and-schoolboys-two-sides-of-the-same-ransomware-gang/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又有駭客使用外洩的勒索軟體LockBit產生器犯案！研究人員揭露勒索軟體TommyLeaks、SchoolBoys</span></strong></a></h3> <p>資安研究團隊MalwareHunterTeam先後於9月上旬、10月上旬發現勒索軟體TommyLeaks、SchoolBoys的攻擊行動，但根據資安新聞網站Bleeping Computer的調查，這兩個勒索軟體背後的駭客其實是同一組人馬，且SchoolBoys是透過<a href="https://www.ithome.com.tw/news/153192#lockbit-builder">之前外流的LockBit產生器</a>打造而成。但為何駭客會使用兩個不同名稱的勒索軟體犯案？研究人員表示原因仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-ipads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補已被用於攻擊的iOS零時差漏洞CVE-2022-42827</span></strong></a></h3> <p>蘋果於10月24日發布iOS 16.1與iPadOS 16，總共修補了20個漏洞，其中的越界寫入漏洞CVE-2022-42827已出現遭到攻擊者積極利用的情況，此為今年蘋果修補的第9個零時差漏洞。該漏洞發生的原因與軟體界外寫入資料有關，一旦駭客利用該漏洞，就有可能以核心的權限執行任意程式碼。受影響的設備包含了iPhone 8以上機種、歷代iPad Pro、第3至5代iPad Air、第5代以上的iPad，以及第5代iPad mini。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploited-windows-zero-day-lets-javascript-files-bypass-security-warnings/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MoTW零時差漏洞可讓惡意JavaScript指令碼繞過Windows內建的安全檢查機制</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://guardiosecurity.medium.com/dormant-colors-live-campaign-with-over-1m-data-stealing-extensions-installed-9a9a459b5849"><span style="color: rgb(0, 0, 0);">惡意Chrome擴充套件Dormant Colors挾持瀏覽器，載入惡意指令碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cuba-ransomware-affiliate-targets-ukrainian-govt-agencies/"><span style="color: rgb(0, 0, 0);">烏克蘭政府機關遭勒索軟體Cuba鎖定</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pendragon-car-dealer-refuses-60-million-lockbit-ransomware-demand/"><span style="color: rgb(0, 0, 0);">英國汽車經銷商Pendragon遭勒索軟體LockBit攻擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153798">【2022年10月24日】 Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> </div></div></div>
2022/10/25 14:18作者周峻佑https://www.ithome.com.tw/news/153807
RedHat釋出AWS版雲端RHEL for Workstations
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/blog/red-hat-enterprise-linux-workstations-now-available-amazon-web-services" target="_blank">Red Hat本周宣布</a>釋出可在AWS上執行的工作站OS版本，名為Red Hat Enterprise Linux（RHEL）for Workstations。</p> <p>RHEL for Workstations是專門設計給執行高運算需求的桌機應用，如動畫、電腦輔助設計與工程、科學研究、醫療影像等的專用平臺。透過這新服務的推出，可提供想要工作站即服務（workstation-as-a-service）的企業用戶完整的RHEL for Workstations，又能支援多種硬體執行個體，並在無需投資部署硬體情況下借用AWS強大效能。</p> <p><a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/10/red-hat-enterprise-linux-rhel-workstation-aws/" target="_blank">AWS表示</a>提供這項服務的關鍵是RHEL Workstation Amazon Machine Images（AMI），是以RHEL version 8.6結合AWS的桌機虛擬化軟體NICE DCV為基礎開發，支援Nvidia Tesla及GRID驅動程式。EC2 AMI讓多種不同OS，包括Windows、macOS及Linux版部署在AWS上。而利用RHEL for Workstations on AWS，企業可以選擇適合他們的OS及機器，在AWS上進行3D渲染、醫療影像、網路運算、或飛行模擬等耗運算效能的作業。</p> <p>RHEL for Workstations for AWS現在已在所有AWS商用區域上線，用戶可以在AWS Marketplace中的GPU執行個體取得。分成2種驅動程式版本，包括RHEL for Workstations 8.6 for GPU-based Instances - GRID driver，以及RHEL for Workstations 8.6 for GPU-based Instances - TESLA driver。兩種都是透過AWS的桌面雲端視覺化協定NICE DCV執行。</p> <p>RHEL for Workstations on AWS可獲得AWS provides tier 1及tier 2支援。已訂閱Red Hat Cloud Access服務的用戶，可免費獲得RHEL for Workstations，取得Red Hat支援服務。</p> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-workspaces-introduces-ubuntu-desktops/" target="_blank">AWS也在本月初公布</a>Ubuntu on AWS的服務。</p> </div></div></div>
2022/10/25 15:34作者林妍溱https://www.ithome.com.tw/news/153808
微軟Windows on Arm開發人員裝置Project Volterra出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/10/24/available-today-windows-dev-kit-2023-aka-project-volterra/" target="_blank">微軟昨（24）日宣布</a>提供開發人員在Arm平臺上開發Windows App的裝置Project Volterra，以Windows Dev Kit 2023為名正式出貨。</p> <p><a href="https://www.ithome.com.tw/news/151111" target="_blank">微軟是在5月Build大會上公布Project Volterra</a>。微軟強調，Windows Dev Kit 2023讓開發人員將App整個開發過程在一臺小型裝置上完成，又能獲得所有Windows on Arm開發的必要工具。</p> <p>Windows Dev Kit 2023售價599美元，目前出貨地區8個市場，包括美、英、中、日、德、法、澳洲及加拿大等。</p> <p>在硬體規格上，Windows Dev Kit 2023搭載Snapdragon 8cx第三代運算平臺，使用Qualcomm Neural Processing SDK，可為開發提供AI功能。此外還搭載32GB RAM和512GB快閃儲存，並內建Wi-Fi 6、乙太網路、3個USB-A及2個USB-C傳輸埠，並有個Mini Display傳輸埠可外接顯示器。一臺Project Volterra最多可同時外接3臺螢幕，包含2個4K 60Hz的高畫質螢幕。</p> <p class="rtecenter"><img alt="" src="https://learn.microsoft.com/zh-tw/windows/arm/images/windowsdevkit2023-side.png" style="width: 582px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>除了簡化在Arm平臺上的開發流程，Project Volterra也讓開發人員運用NPU硬體加速AI及機器學習（ML）應用負載，其跨平臺的開源ONNX Runtime推論引擎，可以從PyTorch和TensorFlow等常見機器學習框架執行AI/ML模型，但又不影響App效能。</p> <p>微軟5月時宣布了一些開發Arm原生App的工具鏈，分別已來到正式版及測試版階段。昨日微軟正式推出的工具包括<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-framework-481/" target="_blank">.NET Framework 4.8.1</a>隨Windows 11 2022 更新釋出，以及Azure VM和Arm64EC。而Visual Studio 2022 17.4、原生支援Arm的Windows App SDK以及Libraries（VC++ Runtime）及Toolchain（.NET7）昨日釋出預覽版，預計年底正式推出。</p> <p>為了讓更多App可在Windows on Arm執行，微軟已經將自己Teams、Microsoft 365、Edge、Microsoft Defender for Endpoint（MDE）、OneDrive移植到上面。而支援的第三方應用包括Adobe Photoshop、Adobe Lightroom、Zoom、HP Smart Universal Print驅動程式、VPN軟體如Palo Alto、Cisco Anyconnect、F5 Big-IP、OpenVPN，安全產品如Crowdstrike Falcon、Panda Security、ESET端點防毒、Sophos Intercep，以及標竿測試軟體如PassMark PerformanceTest、Nexthink Collector等。</p> <p>微軟並指出，利用Windows 11模擬技術，開發人員也可以在Windows Dev Kit上不用修改而執行x64和x86應用程式。</p> </div></div></div>
2022/10/25 12:26作者林妍溱https://www.ithome.com.tw/news/153806
Meta股東Altimeter Capital發表公開信，督促Meta裁員20%及縮減元宇宙開發成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>握有Meta約0.1%股權的Altimeter Capital創辦人<a href="https://medium.com/@alt.cap/time-to-get-fit-an-open-letter-from-altimeter-to-mark-zuckerberg-and-the-meta-board-of-392d94e80a18" target="_blank">Brad Gerstner周一（10/24）發表了公開信</a>，宣稱Meta體質已過於膨脹，且股價下滑超過市場平均，督促Meta應減少20%的人力，將年度支出從300億美元縮減到250億美元，且每年對元宇宙的投資不應超過50億美元。</p> <p>Gerstner說，他一直是Meta的堅定支持者，畢竟該公司曾有預見未來的成功紀錄，然而，Meta已經到了缺乏節制的階段，有太多的人力、太多的想法，以及太少的急迫性，當成長是容易時，這些缺點會被忽略，但當成長變慢且技術產生變化時，此一狀況卻有可能致命。</p> <p>在過去的18個月中，Meta股價下滑了55%，但大型科技股的平均跌幅為19%，Meta的市盈率（P/E ratio）從23倍降至12倍，交易價格不到同行平均市盈率的一半，此一股價的下滑不僅是因市場情緒低落，也因投資人對Meta失去了信心。但Gerstner認為，市場對Meta的看法掩蓋了真相，因為Meta去年的營業利潤超過450億美元，也在人工智慧與沈浸式3D技術上擁有領先能力，只是現在Meta需要恢復它的魔力，瘦身的時候到了。</p> <p>於是，Gerstner建議Meta應該要至少減少20%的人力支出，將年度資本支出從300億美元縮減到250億美元，且每年對元宇宙與Reality Labs的投資不應超過50億美元，以讓自由現金流（Free Cash Flow，FCF）每年可翻倍至400億美元。</p> <p>事實上，Meta的員工人數在過去4年內從2.5萬人增加到8.5萬人，年度資本支出從2018年的150億美元增加到2022年的300億美元，而且不包括大型的元宇宙投資，Gerstner說，該資本支出甚至超過了蘋果、特斯拉、Twitter、Snap與Uber的總和。</p> <p>此外，Gerstner也認為Meta對元宇宙的強調混淆了投資人對該公司的認知。一來人們對元宇宙感到疑惑，二來Meta對AI的投資規模其實大過於元宇宙，但元宇宙卻得到最多的關注。倘若Meta每年對元宇宙的投資只有10~20億美元，那麼可能一點都不是問題，但Meta卻宣布每年將投入100~150億美元，且可能需要10年才能看到成果，就算依照矽谷的標準，針對未知的未來投入超過1,000億美元仍是規模很大且可怕的。</p> <p>總之，Gerstner認為Meta應向其它大型科技業者看齊，每年投入元宇宙的支出不應超過50億美元，讓長期的投資報酬率變得更確實，以讓明年的FCF可至少增加200億美元，使其FCF的營收比重能與Google、微軟及蘋果更一致。</p> <p>Meta則尚未針對此一公開信作出回應。</p> </div></div></div>
2022/10/25 10:39作者陳曉莉https://www.ithome.com.tw/news/153804
蘋果調漲Apple Music與Apple TV+費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://9to5mac.com/2022/10/24/apple-music-tv-prices-going-up/" target="_blank">《9to5Mac》周一（10/24）報導</a>，蘋果已於當天調漲了美國市場的Apple Music、Apple TV+與Apple One費率，漲幅介於9%~40%之間，雖然目前臺灣市場的費率未變，但《9to5Mac》認為國際市場之後應該也會看到類似的費率調整。</p> <p>以美國市場來看，Apple Music的個人方案的每月費率將從9.99美元調漲至10.99美元，家庭方案則會從14.99美元漲至16.99美元，個人年度費率則是從99美元漲至109美元；Apple TV+調漲的幅度較大，每月費率從4.99美元調漲至6.99美元，年度費率是從49.99美元漲至69美元。</p> <p>整合Apple Music、Apple TV+、Apple Arcade與iCloud+的Apple One個人方案則是從每月14.95美元漲至16.95美元，家庭方案自19.95美元漲至22.95美元，Premier方案從29.95美元漲至32.95美元。</p> <p>至於臺灣的相關服務目前尚未看到調漲，Apple Music的學生方案為每月70元新臺幣，聲控方案是75元新臺幣，個人方案為150元新臺幣，家庭方案是240元新臺幣；Apple TV+每月費率是170元新臺幣；Apple One個人方案每月是315元新臺幣，家庭方案為每月395元新臺幣。</p> <p>蘋果向《9to5Mac》表示，Apple Music費率的調漲肇因於授權成本的增加，同時也讓歌手與詞曲創作者可獲得更多的收入；至於Apple TV+一開始的低價則是因為內容不多，現則隨著內容的增加而漲價。</p> <p>除了蘋果之外，<a href="https://www.ithome.com.tw/news/153750" target="_blank">YouTube也打算自11月調漲YouTube Premium家庭方案</a>，從每月17.99美元漲至22.99美元，漲幅超過25%，但其它方案的費率維持不變。</p> </div></div></div>
2022/10/25 11:07作者陳曉莉https://www.ithome.com.tw/news/153805
macOS Ventura、 iOS 16.1、iPadOS 16.1正式釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/153714" target="_blank">上周向開發人員釋出RC版</a>後，蘋果於周一（10/24）正式向所有用戶釋出<a href="https://www.apple.com/tw/newsroom/2022/10/macos-ventura-is-now-available/" target="_blank">macOS 13 Ventura</a>、<a href="https://www.apple.com/tw/newsroom/2022/10/ipados-16-is-available-today/" target="_blank">iPad OS 16.1</a>、iOS 16.1的正式版本。</p> <p>符合資格的iPad及iPhone用戶，可以經由「設定」＞「一般」＞「軟體更新」的路徑升級到最新版本。而Mac電腦用戶則需循「偏好」＞「軟體更新」下載安裝macOS 13。</p> <p>macOS 13 Ventura及iPadOS 16.1都具備名為Stage Manager的多視窗、多應用程式管理功能（下圖），可以支援多工作業。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/ipad/standard/Apple-iPadOS-16-family-overview_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>iPadOS 16.1首度加入Weather App、可客製化工具列，Safari也支援更安全的Passkey功能。而Ventura的互通相機（Continuity Camera）功能（下圖）則允許Mac電腦用戶以鄰近的iPhone手機為其Webcam，方便自製YouTube影片或更靈活使用攝影機。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/availability/Apple-macOS-Ventura-Continuity-Camera_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>新版macOS的FaceTime提供了接力（Handoff）功能（下圖），可在不同iOS及Mac裝置間順暢串流影像，使影片觀賞或視訊不會隨用戶走動而中斷。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/availability/Apple-macOS-Ventura-Handoff_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>iOS 16.1則有多項不錯的功能。其中包括用戶可自訂鎖定螢幕或是以主頁作為鎖定螢幕畫面。新增的Live Activities方便用戶可即時更新或追蹤不停變動的資訊，像是運動賽事比分、股價或是Uber車輛即時位置。在最新iOS上，用戶也可以用Messages、WhatsApp或Line來傳送Wallet App儲存的數位鑰匙，像是飯店門鎖、車門鎖等。iOS 16.1也支援Matter智慧家庭協定，這個產業標準協定讓AI語音助理如Siri，也能呼叫控制非蘋果Homekit的Alexa、Google Assistant-based裝置。此外美國地區的iPhone現在可支援潔淨能源充電，減少用戶的碳足跡。</p> <p>最後，iOS 16.1、macOS 13 Ventura、iPadOS 16.1都加入iCloud共享Photo Library功能，方便用戶和其他最多5名家人朋友共用雲端相簿。</p> </div></div></div>
2022/10/25 09:48作者林妍溱https://www.ithome.com.tw/news/153802
Google Chrome將在明年2月終止對Windows 7/8.1的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著微軟即將在明年的1月10日，<a href="https://learn.microsoft.com/en-US/lifecycle/faq/extended-security-updates" target="_blank">終止對Windows 7的延伸安全更新（Extended Security Update，ESU）</a>與<a href="https://support.microsoft.com/en-us/windows/windows-8-1-support-will-end-on-january-10-2023-3cfd4cde-f611-496a-8057-923fba401e93" target="_blank">對Windows 8的延伸支援</a>，<a href="https://support.google.com/chrome/thread/185534985/sunsetting-support-for-windows-7-8-1-in-early-2023?hl=en" target="_blank">Google本周宣布</a>，預計於明年2月7日釋出的Chrome 110，便會正式終止對這兩個Windows版本的支援。</p> <p>Google表示，未來在Windows 7/8.1的裝置上，舊版Chrome依然可繼續運作，只是無法再接收更新，鼓勵Windows用戶在此一日期之前升級到Windows 10或更新的作業系統，以確保能持續接收Chrome的功能與安全更新。</p> <p>由於Windows 7是個相對熱門的Windows版本，使得微軟特別為它提供了延伸安全更新，但Windows 8.1並沒有同等的待遇，微軟預計於明年1月10日同時終止對這兩個作業系統的支援。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據 Statcounter的統計</a>，現階段最受歡迎的Windows作業系統為Windows 10的71.87%，Windows 11以13.56%居次，Windows 7仍有10.68%的市占率，而Windows 8.1則僅剩2.7%。</p> </div></div></div>
2022/10/25 08:54作者陳曉莉https://www.ithome.com.tw/news/153801
鎖定物聯網應用，Ubuntu 22.10 Kinetic Kudu更新開發工具鏈與功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical釋出最新<a href="https://ubuntu.com/blog/canonical-releases-ubuntu-22-10-kinetic-kudu">Ubuntu 22.10 Kinetic Kudu版本</a>，更新重點在於改善企業開發人員和IT管理員體驗，針對物聯網生態系更新工具鏈和應用程式。</p> <p>這個Ubuntu新版本加入了管理工具Landscape 22.10 Beta測試版，讓用戶可以更簡單地在各種架構上運作和管理Ubuntu，從伺服器到桌面上的Ubuntu，管理員都可以進行監控、管理、修補和查看法遵報告。現在於Arm或是以Arm處理器為基礎的電腦，都可以安裝Landscape Server，包括公有雲上的Ampere Altra的ARM64虛擬機器和Raspberry Pi都沒問題，另外，這個版本還支援RISC-V處理器和硬體，Landscape能夠被簡單地部署成移植式管理系統。</p> <p>官方更新Ubuntu 22.10中的工具鏈，包括Ruby、Go、GCC和Rust等開發人員工具，該版本中的OpenSSH預設使用systemd Socket啟動模式，也就是說，在接收傳入連接請求之前，系統不會啟動sshd，官方提到，這種機制減少Ubuntu Server在較小裝置、虛擬機器和LXD容器上所使用的記憶體。</p> <p>Ubuntu 22.10還附帶了一項新的debuginfod服務，可以協助開發人員和管理員，除錯Ubuntu所附帶的程式。</p> <p>同時，新版本Ubuntu現在已經在各種微控制器上支援MicroPython，而且因為Ubuntu繪圖堆疊更新，因此開發者現在可以不需要Raspberry Pi專用驅動程式，就可以在桌面會話（Session）之外，使用諸如QT等框架運作基於Raspberry Pi的圖形應用程式。官方解釋，這補充了Raspberry Pi一系列嵌入式顯示器的擴展支援，包括Inky eInk HAT系列、Hyperpixel系列和Raspberry Pi官方的觸控螢幕。</p> <p>由於Ubuntu 22.10所附加新的GNOME 43，包括GTK4主題皆獲得效能提升，用戶也可以在快速配置中，更迅速地存取常用項目，像是Wi-Fi、藍芽、深色主題和電源配置。</p> </div></div></div>
2022/10/24 21:43作者李建興https://www.ithome.com.tw/news/153794
Google雲端針對微服務提供gRPC可觀察性資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在對自家雲端平臺上，和連接到Google雲端上的工作負載，提供<a href="https://cloud.google.com/blog/products/networking/introducing-grpc-observability-for-microservices">gRPC新的可觀察性功能</a>，收集而來的gRPC（Remote Procedure Call）工作負載遙測資料，包括日誌、指標和追蹤，可供Google雲端其他操作套件使用，了解系統問題使用戶可進一步做出調整。</p> <p>gRPC是一個開源高效能遠端程序呼叫框架，可以在各種環境中運作，透過負載平衡、追蹤、健康檢查和身分驗證等支援，在資料中心內和跨資料中心的微服務發揮重要作用，另外，gRPC還可以將裝置、行動應用程式和瀏覽器，連接到公有雲的後端服務。</p> <p>Google提到，由於gRPC所扮演的獨特角色，可以提供整個系統完整的端到端檢視圖。gRPC可觀察性資料包括重要的RPC事件日誌、RPC事件指標，同時也能掌握RPC分散式追蹤，官方解釋，當上游提供RPC時，伺服器可能需要創建多個RPC到自己的後端，而分散式追蹤協助使用者了解這些RPC之間的關係，以及每個RPC的延遲，和整個系統發生的關鍵事件。</p> <p>現在當開發者對二進位檔案啟用gRPC可觀察性功能時，gRPC函式庫會將日誌記錄、指標和追蹤資料，回報給Google雲端操作套件，用戶便可以利用Google雲端控制臺，將可觀察性資料匯出，供其他工具進一步分析，而gRPC可觀察性也可對關鍵gRPC事件提供日誌和資訊，協助開發人員了解這些事件發生的脈絡，掌握當時正在呼叫的gRPC服務、事件發生位置，後設資料的具體內容和Payload等。</p> <p>gRPC可觀察性提供了數個指標，像是RPC往返延遲、單位時間RPC完成數量，以及網路發送與接受的位元組數。這些指標都可以運用重要參數進行分組，特定平臺的指標也包括在內，像是GKE平臺上，開發人員可以透過命名空間、容器和Pod資訊欄位，挖掘更加細緻的統計資料，並辨識出更多的問題。</p> <p>開發人員可以配置RPC採樣率，採樣決策能夠跨系統傳播，因此無論RPC實際發生所在，開發人員都可以掌握完整、端到端分散式追蹤。</p> </div></div></div>
2022/10/24 21:47作者李建興https://www.ithome.com.tw/news/153795
Google跨平臺資料儲存引擎BigLake開始支援Iceberg開放格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/announcing-apache-iceberg-support-for-biglake">Google擴展跨平臺資料儲存引擎BigLake支援，現在用戶也可以使用Apache Iceberg格式</a>，建構開放格式資料湖。Apache Iceberg是一種熱門的開源表格格式，提供企業資料倉儲的許多功能，包括交易DML、架構演變和用於效能最佳化的後設資料等。</p> <p>而BigLake是一種儲存引擎，供用戶可以在Google雲端儲存上，以Parquet等開放格式儲存資料，並且使用BigQuery和Spark等開源框架，以精細度存取控制來使用資料。</p> <p>Iceberg的開放規範讓用戶可以對多個查詢引擎，使用同一份儲存在物件儲存中的資料副本，Google提到，在Iceberg社群不斷壯大的情況下，Iceberg儼然已成為資料湖泊的開放標準，可用於混合分析工作負載，以及提供跨雲端平臺的互通性。</p> <p>開源分析引擎運用Iceberg創建表格，也能夠使用BigQuery進行讀取，像是在Spark創建表格，也可以使用BigQuery查詢。由於Apache Spark已經對Iceberg提供豐富支援，Google雲端用戶可以使用Dataproc執行Spark，或是使用BigQuery對Spark的內建支援，處理託管在Cloud Storage的表格，官方提到，無論用戶以哪一種方式使用Spark，BigLake都可以自動對這些表格提供查詢。</p> <p>企業管理能夠提供終端用戶Iceberg表格，而不需要授予用戶存取底層儲存桶的權限，透過BigLake進行委派，進而簡化了存取和治理，管理員設置能運用精細度存取控制，像是資料遮蔽或是資料列保護等，進一步保護Iceberg表格。</p> <p>在GCP上執行Iceberg好處不受限於這些核心功能，Google提到，用戶還可以運用原生BigQuery和GCP整合，在Analytics Hub安全地交換Iceberg資料，資料提供者可以在Google雲端儲存共享Iceberg表格，而其他資料消費者可以使用任何相容的查詢引擎來使用資料。</p> <p>用戶還可以使用Cloud DLP探索、偵測和保護PII資料，並使用BigLake的精細度安全模型保護敏感資料，滿足工作負載的法遵要求。另外，用戶可以透過BigQueryML，將機器學習工作負載，擴展到儲存在Google雲端儲存上的Iceberg表格，在儲存於BigQuery之外的資料上實作人工智慧。</p> </div></div></div>
2022/10/24 21:49作者李建興https://www.ithome.com.tw/news/153796
【資安日報】2022年10月24日，Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。</p> <p>VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。</p> <p>網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://thehackernews.com/2022/10/hackers-started-exploiting-critical.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache Commons Text重大漏洞Text4Shell傳出相關攻擊行動</span></strong></a></h3> <p>Apache修補Commons Text程式庫重大漏洞CVE-2022-42889（亦稱Text4Shell），並於10月13日發布資安通告，很快就有駭客嘗試尋找可被攻擊的目標。自10月18日開始，資安業者Wordfence、Zscaler、Checkmarx提出警告，已有攻擊者開始在網路上進行掃描，研究人員認為，雖然此程式庫漏洞不像Log4Shell那麼容易被利用，但要是攻擊者成功運用，將有可能引發嚴重的RCE攻擊事故。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware身分驗證管理系統的重大漏洞遭到利用，被用於部署多種惡意程式</span></strong></a></h3> <p>資安業者Fortinet提出警告，VMware身分驗證管理系統Workspace ONE Access（原Identity Manager）近期遭到鎖定，駭客針對今年4月修補的漏洞CVE-2022-22954（CVSS風險評分為9.8分），約自8月開始部署殭屍網路病毒Mirai的變種、勒索軟體RAR1Ransom，以及挖礦程式GuardMiner。</p> <p>研究人員指出，其中駭客散布RAR1Ransom與GuardMiner的攻擊行動同時針對Windows與Linux電腦而來，該工具套件會在Windows電腦上部署勒索軟體RAR1Ransom，並會在Linux主機上植入挖礦軟體GuardMiner。</p> <h3><a href="https://cloudsek.com/threatintelligence/phishing-campaign-targeting-the-saudi-government-service-portal-absher/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">沙烏地阿拉伯政府入口網站遭仿冒，對當地民眾進行網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現，有人假冒沙烏地阿拉伯政府的名義，建置假的當地政府入口網站Absher，藉由網釣簡訊要求民眾更新帳號資訊，一旦受害者依照指示操作，攻擊者就會要求他們存取假的Absher登入網站，並要求輸入手機收到的4位數OTP驗證碼，通過上述身分驗證後，就會要求受害者填寫註冊表單，隨後又會要綁定銀行帳戶，不僅竊取這些民眾的個資，還可能會將他們的銀行帳戶存款洗劫一空。</p> <h3><a href="https://www.securityweek.com/irans-nuclear-agency-says-email-server-hacked"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗原子能源組織郵件伺服器傳出遭駭，疑與當地女權抗議活動有關</span></strong></a></h3> <p>9月下旬伊朗婦女瑪莎；阿米尼（Mahsa Amini）死亡，引發當地民眾抗議，如今也出現相關的網路攻擊事故。根據法新社（AFP）的報導，名為Black Reward的駭客組織，於10月21日要脅公布德黑蘭核能計畫機密資料，要求政府釋放所有的政治犯，以及在示威中遭逮捕的人士，並於隔日公開部分文件。伊朗原子能源組織（AEOI）於10月23日證實，他們位於波斯灣沿岸的布什更爾核電廠郵件伺服器，遭到境外流量攻擊，外洩的電子郵件內容，包含了與其他組織的技術交流。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-294a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Daixin鎖定美國醫療機構下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png" style="width: 300px; float: right;" /></a>美國網路安全暨基礎設施安全局（CISA）、美國衛生及公共服務部（HHS）、美國聯邦調查局（FBI）聯手發布資安通告，名為Daixin的勒索軟體組織自今年6月開始，針對當地醫療機構的多種系統發動攻擊，並竊取病人健康資訊（PHI）及個人資料（PII）。駭客透過VPN伺服器進行入侵，一旦進入受害組織內部環境，就會利用遠端桌面連線（RDP）或SSH連線進行橫向移動，進而設法提升權限後再加密檔案。</p> <h3><a href="https://www.straitstimes.com/singapore/data-of-alleged-26m-carousell-accounts-being-sold-on-dark-web-hacking-forums"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旋轉拍賣傳出資料外洩，260萬名用戶資料流入暗網</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png" style="width: 300px; float: right;" /></a>根據新加坡海峽時報（The Straits Times）報導，網路市集旋轉拍賣（Carousell）於10月21日證實，他們在本月14日察覺資料外洩的跡象，估計有195萬名用戶受到影響。事隔數日，該報引述星期日泰晤士報的調查指出，駭客在暗網上以1千美元的價格，兜售該市集260萬名用戶個資，這筆資料的檔案大小約2 GB，於10月12日上傳，內容包含受害者的ID、姓名、電子郵件信箱、手機號碼、國籍等資料。駭客聲稱相關資料是透過某個漏洞取得，目前已賣給5個買家。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.helpnetsecurity.com/2022/10/21/cve-2022-20822-cve-2022-20959/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科公告身分驗證系統的2個漏洞，但僅修補1個，另1個預計1個月後修補，恐造成防護空窗期</span></strong></a></h3> <p>思科針對旗下的身分驗證系統Identity Services Engine於10月19日發布2則資安通告，揭露該系統存在的漏洞CVE-2022-20822及CVE-2022-20959，前者是路徑遍歷漏洞，攻擊者可藉由發送特定的HTTP請求來利用漏洞，進而讀取或刪除系統上需要高權限才能存取的檔案；後者則是跨網站指令碼（XSS）漏洞，攻擊者可引誘管理員點擊惡意連結來達成目的，並存取敏感資訊。</p> <p>思科已針對CVE-2022-20959發布修補程式，但另一個漏洞的修補程式則預計要下個月才開始提供。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://borncity.com/win/2022/10/21/metro-gruppe-doch-opfer-eines-cyberangriffs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">餐飲批發業者Metro遭到網路攻擊，IT系統服務中斷</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackbyte-exbyte-ransomware"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte透過洩密工具Exbyte外流受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/typosquat-campaign-mimics-27-brands-to-push-windows-android-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體Ermac假冒27個品牌，引誘Windows、Android使用者下載</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/24 18:30作者周峻佑https://www.ithome.com.tw/news/153798
Google開源可供企業評估軟體安全性的工具GUAC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對軟體供應鏈攻擊，Google開源<a href="https://security.googleblog.com/2022/10/announcing-guac-great-pairing-with-slsa.html">GUAC（Graph for Understanding Artifact Composition）</a>專案，這是Google與Kusari、普渡大學和花旗共同合作創建的免費工具，其匯集許多不同軟體安全後設資料來源，並且將其匯總成圖資料庫，正規化實體身分以及映射之間的標準關係，使用者透過查詢該圖，便可獲得軟體SBOM、出處、專案計分卡和漏洞等資訊。</p> <p>GUAC主要由4部分組成，分別是收集、擷取、定序（Collation）與查詢。GUAC可以連接自各種軟體安全後設資料來源，收集包括公開資料OSV，或是來自企業內部的儲存庫，或是來自資料供應商的第三方資料，並根據構件、專案、資源、漏洞、儲存庫和開發人員資料，擷取相關的資料。</p> <p>從不同上游資料來源擷取後設資料後，GUAC會藉由實體辨識碼、走訪相依項目和隱性實體關係，將其組合整理成一個連貫的圖，用戶便可以查詢圖內實體和實體相關的後設資料，像是當用戶查詢特定構件，GUAC能回傳SBOM、出處、建構鏈、專案計分卡、漏洞和最近的生命周期事件等資訊。</p> <p>組織中的CISO或是法遵人員，能夠依靠GUAC推論組織的風險，Google提到，已經有越來越多上游供應鏈提供豐富的證明和後設資料，以支援更高層次的推論和分析，但是軟體消費者、營運商，比較難將這些資料收集成軟體資產統一檢視圖。</p> <p>要掌握漏洞的爆炸半徑等複雜問題，Google表示，使用者需要追蹤元件和產品組合間，所有內容之間的關係，這可能橫跨數百個資料來源和數千個後設資料檔案，在開源生態系統中，文件的資料更可能高達數百萬個。</p> <p>而GUAC大規模聚合軟體安全後設資料，並且經過整合後賦予其意義，供使用者查詢操作，主動發現軟體供應鏈中最脆弱的環節，或是存在風險的相依關係，在部署應用程式之前，也能夠驗證其是否符合組織安全政策，當有新的漏洞發布時，組織也能在第一時間查詢圖，找出受漏洞影響的構件。</p> <p>GUAC目前在GitHub上開源，該專案仍處於早期階段，其所提供的概念性驗證，可供使用者擷取SLSA、SBOM和記分卡文件，並支援軟體後設資料簡單查詢和探索。接下來GUAC的開發工作，將著重於擴展當前功能，並且支援新的檔案類型。</p> </div></div></div>
2022/10/24 15:48作者李建興https://www.ithome.com.tw/news/153793
GCP新資料戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1100-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=O7roZXmu" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GCP第三度戰略調整，這次瞄準數位轉型核心，也就是資料。以組織全世界資訊起家的Google，要重新靠資料技術力對決，搶攻企業多雲跨雲需求，關鍵就是大數據分析王者BigQuery</p> </div></div></div>
2022/10/24 13:10作者王宏仁https://www.ithome.com.tw/article/153755
McAfee揭露安裝數達2,000萬的16款廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/" target="_blank">資安業者McAfee近日揭露</a>，有一新的Clicker廣告詐騙程式藉由16款行動程式成功潛入Google Play，而這些程式的總安裝數量估計達到2,000萬次。</p> <p>Clicker惡意程式是以非法的廣告收入為目標，通常是偽裝成使用者的合法廣告點擊行為，而可能破壞行動廣告的生態體系。被嵌入新版Clicker的程式多是熱門類別，如手電筒程式、二維條碼讀取程式、相機程式、單位轉換工具，或是任務管理員等。</p> <p class="rtecenter"><img alt="" src="https://www.mcafee.com/blogs/wp-content/uploads/2022/10/dx2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／McAfee</span></span></p> <p>在使用者安裝其中一款程式並開啟之後，它就會執行HTTP請求，以下載一個遠端配置，繼之註冊Firebase雲端傳訊（Firebase Cloud Messaging，FCM）接收程式，以接收推播訊息，看起來像是設計精良的Android程式，但研究人員卻發現，駭客只是利用遠端配置與FCM技術來掩飾它們的廣告詐騙功能。</p> <p>當程式接收到FCM訊息且符合特定條件之際，Clicker即會造訪該訊息所遞送的網站，並於背景模仿使用者行為以瀏覽這些網站，將在使用者不知情的狀況下使用大量頻寬或耗費電力，同時替駭客創造廣告收入。</p> <p>Google已在McAfee的知會下將它們全數自Google Play上移除。</p> </div></div></div>
2022/10/24 12:10作者陳曉莉https://www.ithome.com.tw/news/153791
研究人員釋出可將黑白照變彩色的AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典AI研究人員公布一個免費網站<a href="https://palette.fm/" target="_blank">Palette.fm</a>能將上傳的黑白照片，利用機器學習技術變成彩色。</p> <p>這個網站是瑞典研究人員<a href="https://www.emilwallner.com/" target="_blank">Emil Wallner</a>研究5年的成果，他對<a href="https://arstechnica.com/information-technology/2022/10/colorize-black-and-white-photos-with-palette-fm-an-ai-powered-online-tool/" target="_blank">Ars Technica</a>說，他這個網站利用深度學習模型分類圖片，以引導它後續對照片或圖片的上色過程。他透露其AI模型利用圖片和產生的文字，以產生相應的色彩。</p> <p>以其網站上的一幅清宮貴妃圖為例，AI模型會先產出文字，包括王位、女子、蕾絲、模特兒等。若使用者選擇基礎色彩風格，AI模型則為生成「模特兒、王位、女子和座位；色彩小幅對比」等文字，以及彩色的清宮圖。網站另外也提供了20多種風格可選擇。</p> <p>使用者必須將其圖片上傳，研究人員強調不會儲存用戶的相片。</p> <p>愈來愈多人利用AI為古早圖片及影片、甚至雕像賦予現代生命，例如<a href="https://www.ithome.com.tw/news/135678" target="_blank">一名攝影師利用AI技術</a>將一部125年前電影剛誕生時期的黑白影片畫質提升成4K畫質。另外<a href="https://www.techbang.com/posts/80745-how-can-designers-use-ai-and-photoshop-to-turn-statues-of-ancient-roman-emperors-into-lifelike-faces" target="_blank">有人則以AI將古代英雄或帝王的雕像轉成活生生人臉</a>。</p> </div></div></div>
2022/10/24 12:29作者林妍溱https://www.ithome.com.tw/news/153792
【資安週報】2022年10月17日到10月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安新聞中，以Apache軟體基金會（ASF）呼籲用戶盡速更新，以修補CVE-2022-42889漏洞的消息最受注目，因為有研究人員指出這樣的漏洞，有可能會引發類似Log4Shell的效應。</p> <p>在威脅趨勢上，勒索軟體危害是最大焦點，本周新聞中就有多項消息，例如，烏克蘭、波蘭物流業者，澳洲保險業，印度藥廠，以及日本兩家科技業者都是新的受害者，甚至德國報社集團旗下多間媒體的紙本電子作業都停擺；另外，在勒索軟體攻擊態勢上，有研究人員揭露，近期勒索軟體Venus鎖定遠端桌面連線服務的行動，以及勒索軟體Magniber利用夾帶惡意JavaScript指令檔方式以及迂迴手段發動攻擊的行動。</p> <p>不過也有好消息，勒索軟體DeadBolt被國際執法單位與資安業者智取，成功拿回150個解密金鑰，9成NAS設備受害者有機會解密。</p> <p>還有值得關注的一些威脅，像是印度Tata Power發電廠遭網路攻擊，關鍵基礎設施安全防護受注目；哥倫比亞警方遭駭導致跨國合作緝毒曝光，甚至危及澳洲臥底警探身分；通常為國家級駭客使用的UEFI惡意程式，近期有駭客正在兜售一款BlackLotus；竊密軟體Ducktail透過記憶體內執行PHP指令碼，竊取瀏覽器的帳密資料與受害者臉書帳號。</p> <p>國內方面，行政院修正禁用中國資通產品條例受關注，擴大進用範圍並要求例外使用需經2為資安長同意。</p> <p> </p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153666"><span style="color: rgb(0, 0, 0);">【10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</span></a></strong></h3> <p>又是因政府機關保護資料不力，而使得跨國合作的其他單位也跟著受害！根據澳洲媒體的報導，該國警方查緝哥倫比亞跨國走私毒品的相關資料，因哥倫比亞政府遭駭而流入駭客論壇。類似的事件已非首例──今年9月，<a href="https://www.ithome.com.tw/news/152998#emgfa">葡萄牙武裝部隊參謀總部（EMGFA）遭到網路攻擊</a>，導致與北大西洋公約組織（NATO）有關的文件外洩。</p> <p>惡名昭彰的勒索軟體DeadBolt，自今年初不斷針對NAS設備發動攻擊，在執法單位與資安業者通力合作之下，傳出了好消息。荷蘭警方成功向駭客取得逾150個解密金鑰，有望解鎖9成受害的NAS設備。</p> <p>駭客利用惡意指令檔對受害電腦下手，且藉由迂迴的手段發動攻擊的情況，也相當值得留意。近期的勒索軟體Magniber、竊密軟體Ducktail攻擊行動，分別透過經過混淆處理的JavaScript與PHP指令碼，來攻擊一般使用者。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153685"><span style="color: rgb(0, 0, 0);">【10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</span></a></strong></h3> <p>在本日的資安新聞裡，勒索軟體攻擊占大多數，且橫跨製造業、生技業者、媒體、金融業。其中，涉足半導體、汽車、醫療產業的日本科技業者大宮化成遭勒索軟體LockBit攻擊的事故相當值得留意，因為這起事故很可能波及相關產業的上下游供應鏈。</p> <p>能埋藏在電腦UEFI韌體的惡意程式，過往有數起攻擊事故傳出，攻擊者身分往往是國家級駭客。但最近有人開始在駭客論壇兜售此種攻擊軟體而引起研究人員高度關注。研究人員認為，一旦駭客買到這種惡意軟體，很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <p>Fortinet於一個禮拜前優先向部分用戶以電子郵件通報重大漏洞的做法惹議，該公司也對此提出說明，並提供入侵指標供企業檢查是否遇害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153707"><span style="color: rgb(0, 0, 0);">【10月19日】Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</span></a></strong></h3> <p>Apache針對旗下的程式庫Commons Text，在9月底修補重大漏洞CVE-2022-42889，並於近日提出警告。這個漏洞引起不少研究人員高度關注，但原因為何？有資安專家指出，由於有許多Java專案都採用這個程式庫，嚴重程度很可能直逼Log4Shell。</p> <p>滲透測試工具Cobalt Strike近日發布更新，原因是修補一項9月下旬修補不全引發的RCE漏洞CVE-2022-42948。軟體開發商表示，這項漏洞涉及該工具所使用的框架。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153732"><span style="color: rgb(0, 0, 0);">【10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</span></a></strong></h3> <p>香港政府也是中國駭客APT41監控的對象！由於駭客利用特定的後門程式發動攻擊，研究人員針對此後門程式與手法進行比對，此為該組織大規模網路間諜行動的其中一環。</p> <p>駭客打造的後門程式竟出現了幾乎無法被偵測出來有害的情況！有人透過提供職缺申請表的名義散布此惡意軟體，較為罕見的是後門程式會將自己登錄為作業系統更新程序，而能規避偵測。</p> <p>微軟因其中一臺伺服器配置不當，使得超過6.5萬家企業客戶資料也隨之曝光，很有可能是有史以來最嚴重的B2B資料外洩事故。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153764"><span style="color: rgb(0, 0, 0);">【10月21日】WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</span></a></strong></h3> <p>WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。</p> <p>駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。</p> <p>小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。</p> </div></div></div>
2022/10/24 10:01作者羅正漢https://www.ithome.com.tw/news/153772
VMware Workspace ONE Access重大漏洞遭濫用植入多種惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability" target="_blank">安全研究人員警告</a>，VMware身分管理方案Workspace ONE Access一項半年前發現並修補的重大漏洞已經遭到濫用，被植入多項惡意程式。</p> <p>VMware Workspace One Access原名Identity Manager，<a href="https://www.ithome.com.tw/news/150450" target="_blank">今年4月VMware公布並修補</a>了編號CVE-2022-22954的漏洞，可被攻擊者透過傳送帶有惡意指令的訊息，發動指令注入攻擊，為一項風險值9.8的重大漏洞。</p> <p>從4月後，一直有針對這個平臺的攻擊行動。不過這些行動主要目的是刺探受害者敏感資料，像是密碼和主機檔案。但在8月間，Fortinet研究人員發現更危險的活動，他們發現有人分別部署Mirai變種、勒索軟體以及採礦軟體攻擊VMware平臺。其中Mirai變種鎖定Linux-based網路裝置。由於Mirai主要手段是阻斷服務及暴力破解，研究人員也解碼出攻擊者使用的密碼，其中除了1234、guest、root、administrator、system等常見預設帳號外，也可見到hikvision、QuestModem、Vstarcam（威視達康）、3Com等受歡迎的網路設備品牌的預設帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-CVE-2022-22954-mirai.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fortinet</span></span></p> <p>研究人員另外還發現一波分別針對Windows及Linux裝置發動的攻擊，其中在Windows運用PowerShell行程下載勒索門羅幣（Monero）的RAR1Ransom勒索軟體，而針對Linux裝置，則利用Python函式庫curl、wget及urlopen等指令下載GuardMiner木馬程式，以挖取門羅幣。</p> <p>研究人員呼籲企業用戶儘速安裝更新版的VMware軟體，並注意網路環境中任何可疑的行動。</p> </div></div></div>
2022/10/24 11:06作者林妍溱https://www.ithome.com.tw/news/153782
IBM公布使用Z16相同核心的AI SoC晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/ibm-artificial-intelligence-unit-aiu" target="_blank">IBM上周宣布</a>一款用於AI模型訓練的單系統（SoC）晶片，名為AIU（Artificial Intelligence Unit）。</p> <p>IBM研究AI硬體中心研究人員說，AI大約在10年剛開始發展時，研究人員的任務很單純，只是訓練能識別動物的模型，這只要數百萬張照片，以及運算硬體跑上一長段時間就能訓練出一個深度學習模型。但今天深度學習模型的工作已經從辨識貓狗變成翻譯語言、從醫療影像偵測出腫瘤，以及其他高深的任務。</p> <p>除了任務變得困難，研究人員也面臨運算資源不足的挑戰。現在執行AI建模的伺服器都搬上了雲端或邊緣裝置，像是手機及物聯網感測器等速度不那麼快的硬體。這也促使IBM開發AI專用晶片。</p> <p>IBM的AI硬體中心2019年成立，預計每年要將AI硬體效率提升2.5倍。計畫到2029年，要訓練出比三年前速度快1,000倍的AI模型。AIU則是該中心公布第一款AI專用晶片。</p> <p>AIU是IBM第一款作為深度學習專用、可程式化的ASIC（application-specific integrated circuit，特定應用積體電路）。AIU的核心其實和<a href="https://www.ithome.com.tw/news/150272" target="_blank">IBM最新大型主機z16 Telum晶片</a>AI加速技術類似。AIU具備32運算核心，以及230億顆電晶體，幾乎等同Telum晶片（具225億顆電晶體），更厲害的是Telum的電晶體為7奈米大小，AIU則用上了更進階、小至5奈米的電晶體。</p> <p>IBM強調其AI專用晶片有兩大特點，一是使用IBM近似運算（approximate computing）的技術，將32位元浮點運算降到1位元，透過降低精度達到提升資料運算速度。其AIU在浮點計算及整數表示（integer representation），使AI模型執行更快、不耗記憶體。其次，這款AI晶片版圖（layout）是為簡化AI工作流程而設計，且可直接將資料由一個運算引擎送到另一個，節省大量耗能。</p> <p>另一方面，AIU也設計成像顯示卡一樣容易使用，可輕易從PCIe插槽插入任何電腦或伺服器。</p> <p>IBM未說明AIU推出時程，只表示希望很快能公布。</p> </div></div></div>
2022/10/24 11:43作者林妍溱https://www.ithome.com.tw/news/153786
Jony Ive繼任者Evans Hankey也要離開蘋果了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-10-21/apple-s-industrial-design-chief-evans-hankey-is-leaving-three-years-after-ive#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）上周引述消息來源報導</a>，在2019年接任Jony Ive，成為蘋果硬體設計負責人的Evans Hankey即將離職。而蘋果也對外證實了此事。</p> <p>蘋果最有名的硬體設計師為Jony Ive，他在1992年就加入蘋果，一直到2019年才離開蘋果，當時的頭銜是蘋果的首席設計師。隨後Ive創立了新的設計公司LoveFrom，並繼續替蘋果提供設計服務，雙方的合作於今年7月終止。</p> <p>至於Hankey原本為Ive麾下人馬，在Ive離職之後成為蘋果的硬體設計負責人，為蘋果的工業設計副總裁。根據報導，蘋果已於內部宣布此事，而Hankey則告知同事，她暫時還會待在蘋果半年左右。目前蘋果尚未找到Hankey的繼任人選。</p> <p>另一方面，蘋果則在聲明中表示，該公司的設計團隊匯集了來自全球的專家與創意人士，而且此一資深的設計團隊擁有許多具備數十年經驗的強大領導者。言外之意是就算沒有Hankey，也能繼續前進。</p> </div></div></div>
2022/10/24 09:24作者陳曉莉https://www.ithome.com.tw/news/153769
Telegram要在TON區塊鏈上拍賣使用者名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://t.me/durov/194" target="_blank">Telegram創辦人Pavel Durov近日宣布</a>，準備在TON區塊鏈上拍賣Telegram的使用者名稱。</p> <p>Telegram在2018年以私募方式，向全球171名投資者募集了17億美元的資金，以用來開發TON區塊鏈，並發行Gram加密貨幣，但美國證券交易委員會（SEC）在2019年控告Telegram沒註冊就發行Gram，違反《證券法》（Securities Act），隔年法院便發布臨時禁令，禁止Telegram交付Gram。這使得Telegram在2020年5月<a href="https://www.ithome.com.tw/news/137590" target="_blank">宣布放棄TON區塊鏈專案</a>，並退款給投資人。</p> <p>然而，在Telegram放棄TON之後，有一群名為NewTON的開源開發者扛起了繼續打造該區塊鏈的任務，也遵循TON的最初設計，<a href="https://ton.org/en" target="_blank">該團隊在2021年5月更名為TON Foundation</a>，成為一個專門開發與支持TON區塊鏈的非營利社群。TON區塊鏈所使用的加密貨幣為Toncoin，目前的價格約為1.38美元。</p> <p>今年8月，TON社群舉辦了TON網域名稱拍賣大會，<a href="https://t.me/toncoin/522" target="_blank">總計售出2,184個網域名稱</a>，創下240萬個Toncoin的交易規模。當中價值最高的是wallet.ton，得標價格是215,250個Toncoin，第二與第三名則依序是200,000個Toncoin的casino.ton ，以及157,500個Toncoin的bank.ton。</p> <p>Durov則打算如法炮製，在TON上拍賣Telegram的使用者名稱，他相信全球的7億使用者應該會對保留使用者、群組與頻道名稱感興趣，除了可出售數百萬個t.me位址之外，所有4個字母的用戶名稱都可出售，像是@bank、@club或@game等。</p> <p>Durov表示，這將帶來一個新的平臺，讓使用者名稱的所有權人得以交易這些資產，其所有權受到區塊鏈的保障，類似非同質化代幣（NFT）的智慧合約。此外，Telegram生態體系的其它元素，涵蓋頻道、貼紙及表情符號等，未來都可能出現在該市集。</p> <p>為了迎接使用者名稱的拍賣大會，<a href="https://t.me/s/username" target="_blank">Telegram祭出了相關智慧合約的抓漏獎勵計畫</a>，鼓勵研究人員找出智慧合約中的安全漏洞，獎金自200美元~5萬美元不等，提報期限為10月25日。</p> </div></div></div>
2022/10/24 09:30作者陳曉莉https://www.ithome.com.tw/news/153770
Gmail垃圾郵件過濾大小眼，美共和黨控告Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://variety.com/2022/digital/news/republicans-sue-google-spam-filter-1235411855/" target="_blank">The Variety</a>》、《<a href="https://www.reuters.com/world/us/republican-national-committee-sues-google-over-email-spam-filters-2022-10-22/" target="_blank">路透社</a>》等媒體報導，距美國期中選舉不到一個月，美國共和黨全國委員會（Republican National Committee，RNC）上周控告Google的Gmail垃圾郵件過濾機制不公平，害它大批募款信件被當垃圾郵件封鎖，致其損失數百萬美元捐款。</p> <p>共和黨向加州聯邦法院提出的文件聲稱，Google的Gmail將該委員會向潛在捐款及支持者寄發的數百萬封電子郵件，被大量掃進用戶的Gmail垃圾信件匣中，害它募不到款。共和黨委員會相信它至少已損失了7.5萬美元捐款，長期下來可能高達數百萬美元。</p> <p>共和黨指出，該黨發送的信件被當垃圾郵件封鎖的量多過民主黨，這個不公平的對待已經持續10個月，並且幾經溝通與調整均不見改善。共和黨人相信Gmail的垃圾郵件掃瞄是基於共和黨的政治立場和觀點，要求法院對Gmail垃圾郵件過濾發出禁制令，並且向Google提出金額不詳的金錢賠償。</p> <p>路透社引述Google官方否認這項指控。Google表示，一如該公司多次重申，Gmail的郵件篩選並不只依據政治立場，也反映使用者的行動。此外Google幾個月前也對選舉行銷人員提供訓練和指引，這場訓練主要在教他們怎麼做不會被當垃圾郵件封鎖，也得到聯邦選舉委員會的核准。<a href="https://www.theverge.com/2022/8/11/23301554/google-gmail-spam-filters-republicans-gop-trump" target="_blank">Google方面指出</a>共和黨全國委員會並未參加這些訓練，甚至連申請都沒有。</p> <p>但Google表示會持續修正，以便提高電子郵件的到達率，同時減少垃圾郵件。</p> </div></div></div>
2022/10/24 09:41作者林妍溱https://www.ithome.com.tw/news/153771
希捷擁抱IT現代化加速轉型，靠資料湖平臺克服PB級數據挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進希捷（Seagate）新加坡的智慧工廠，光是一層樓就有數十條生產線，從入口處門窗往內看，一片片玻璃碟片（recording media）串成的碟盤，正準備裝入盒中，送進裡面進行加工，製程一站接一站，一個製程少說5～6道加工步驟，每個步驟都不能容忍半點誤差，直到封裝完成準備出貨。品管人員只需掃描碟盒包裝上的條碼，生產過程的所有記錄，就能立刻秀在電腦螢幕上，在哪一臺機臺生產、經過哪些測試，甚至每一種IoT感測器蒐集的數據，都一目了然。</p> <p>過去5年來，Seagate在這間工廠內運用大量IoT、AI技術，整合更精準智能控制、智慧化量測來優化生產品質與提升作業效率。這一片片記錄碟片是生產硬碟很重要的關鍵元件。這些生產流程、關鍵製程，正一步步改變，讓工廠轉向不只自動化，更要智慧化。不只這座工廠，Seagate目前全球工廠中都已導入智慧製造應用。一手主導這家40年硬碟製造大廠轉型的關鍵人物，就是Seagate資訊長Ravi Naik。</p> <p>這家跨國老牌硬碟大廠，全球擁有7座生產工廠，每年要生產上億顆硬碟，但不像工廠製程技術不斷翻新，走向先進製程，這家公司過去採用的IT技術並未完全跟上，甚至用的還是十多年前的老舊ERP系統，直到5年前，因為數位轉型開始出現轉變，不只擁抱現代化IT，更為工廠轉型而大舉上雲，還要借重DataOps與MLOps維運做法，加速邁向工業4.0智慧工廠。</p> <p><span style="font-size:28px;"><strong>老牌硬碟廠五年前開始轉型，從IT現代化改造做起</strong></span></p> <p>但是，硬碟製造不像是一般的製造業，Seagate的生產模式高度集中，不論是硬碟中的資料儲存碟片、讀寫磁頭、馬達、主控晶片等，都是自己一手包辦，由旗下全球7座工廠生產。由於不同元件生產所需製造技術與流程差異極大，甚至單一元件生產，至少需要數百到上千道製程與檢測程序，來確保生產品質，使得硬碟生產更加複雜。</p> <p>尤其，Seagate生產的產品相當廣泛，橫跨不同尺寸的儲存產品，從消費性產品、企業級產品，到儲存系統等都有，儲存容量更從早期數GB、上百GB，發展到現在數十TB，對於生產製造的挑戰也越大。</p> <p>正因為如此，Seagate在2017年決定展開數位轉型，找來了前SanDisk資訊長Ravi Naik領軍，這位曾幫助SanDisk成功轉型的IT大將，也被賦予重任，要帶領IT團隊幫助這家40年硬碟廠展開轉型。</p> <p>Ravi Naik上任的第一件事，就是將現有資料中心、技術架構、軟體堆疊整併，以便將IT現代化，支援新的製造需求；同時，對於IT組織、人員及其技能進行重整。他表示，透過這樣的方式，因此省下上億美元支出。</p> <p><span style="font-size:28px;"><strong>因應業務快速成長，決定汰換沿用多年的老舊ERP系統</strong></span></p> <p>他和資訊團隊前後花了1年半來整併IT與簡化團隊，接著展開了關鍵系統的汰換，將ERP系統全面翻新，導入SAP S/4HANA ERP來取代舊有Oracle ERP，這也是Seagate歷年來最重要的一次ERP系統全面大改造。</p> <p>由於Seagate近幾年積極拓展應用市場，不只產品種類更加多元，營運模式也從傳統硬碟產品銷售，轉而推出雲端硬碟儲存與分析服務，甚至未來還要轉型成為智慧製造服務供應商，開始提供跨產業解決方案，但Seagate這套用了超過25年的老舊ERP系統，早已面臨系統瓶頸，無法支撐公司未來營運成長，甚至阻礙Seagate朝向智慧製造轉型。</p> <p>所以，Ravi Naik兩年前開始評估汰換舊版ERP，改導入新一代ERP，大幅簡化業務流程，也要幫助這家公司加速推動新業務。經過2年多開發與建置，Ravi Naik表示，新系統預計明年中上線。</p> <p>為了推動IT現代化，Seagate這些年不只展開了關鍵系統的汰換、瘦身，甚至是架構轉型，新一代IT基礎架構開始擁抱容器、混合多雲架構，來打造更靈活、彈性的基礎架構，AP應用也導入微服務，讓應用程式跟著現代化。</p> <p><span style="font-size:28px;"><strong>結合IoT、AI應用打造智慧製造產線，提高生產效率和品質</strong></span></p> <p>這些年，Ravi Naik一邊推動IT現代化的改造，來加速內部IT轉型，另一方面，也從工廠改造著手，結合IoT、AI應用來打造智慧製造產線，希望能夠整合更精準智能控制、智慧化量測來優化生產品質，以及提升作業效率。</p> <p>2020年時，Seagate展開工廠轉型，在全球工廠中導入IoT系統、IoT設備與感測器，單是一間工廠裡就部署了超過4千個IoT感測器，來取得生產過程中所有關鍵數據，更配置上萬臺聯網機器人分布在全球7間工廠中，能即時上傳生產參數。為了分析這些數據，Seagate建置Hadoop大數據分析平臺，開始透過數據分析找出提高生產效率更好的做法。不僅如此，這些數據後來也成為工廠發展AI應用、優化ML模型的關鍵。</p> <p>2019年在工廠中開始導入AI，從預防性機臺設備維護、故障分析，到各製程的瑕疵檢測等，都開始結合AI電腦視覺、機器學習做應用，像是提高不良品的檢出率，也透過AI優化品管作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400-Seagate%20-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.png" style="width: 425px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／余至浩</span><br /> <strong>Seagate資訊長Ravi Naik表示，為了發展智慧工廠，不只進行IT現代化改造，OT工廠導入虛擬化和微服務應用，更是加速工廠轉型的關鍵。</strong></span></p> <p><strong style="font-size: 28px;">為了加速工廠轉型，生產機臺改用VM全面實現工廠虛擬化</strong></p> <p>不只導入IoT 、AI技術打造智慧化產線，就連工廠內的生產機台現在改成虛擬化的方式運作，全面實現虛擬化工廠。他們使用伺服器虛擬化技術，將每一臺機臺設備虛擬化後，全部改以VM方式來執行原有的生產任務，甚至一些應用轉為容器化微服務應用。如今這家公司全球工廠皆達到99%虛擬化。</p> <p>Ravi Naik表示，這麼做的目的，就是要確保工廠能夠全天運作，以維持產線不中斷。例如其中一臺機臺設備上VM故障，系統就能自動將原本正在執行的任務，轉移到其他不受影響的VM上來接續執行。他強調：「為了發展智慧工廠，不只進行IT現代化改造，OT工廠導入虛擬化和微服務應用，更是加速工廠轉型的關鍵。」</p> <p><span style="font-size:28px;"><strong>打造超大15 PB級資料湖分析平臺</strong></span></p> <p>但是發展智慧製造短短不到幾年，Seagate的全球工廠資料數量呈現爆炸式成長，平均一天就要新增50 TB的資料，用於數據分析及發展各種AI、深度學習應用，這也成為了Seagate IT所要面對一大挑戰。</p> <p>Seagate從2017年啟動數位轉型計畫後，馬上就遇到資料爆量的考驗。單座工廠一年就累積1.8 PB的資料，到今年數量更翻倍成長，這些資料有機臺感測器數據、訓練資料、推論資料、圖片與影像，以及生產過程數據等。</p> <p>為了克服資料爆量的難題，資訊團隊2020年開始打造以Hadoop為基礎的15 PB資料湖分析平臺，用於儲存與處理硬碟工廠每天製造相關資料，這個資料湖打造的分析平臺，也成了Seagate所有分析資料的主要來源。</p> <p>但是，要存取工廠中的數十TB數據，若是全部透過網路傳送到這個資料湖中，沒辦法很快傳完，所以，他們依據工廠對資料需求的迫切性，來決定哪些資料優先放進資料湖中，例如有立即性分析需求的數據，就會透過高速網路將資料傳送到資料湖平臺中，以便能夠快速拿來分析運用，至於沒有立即需求的數據，就不一定要採用這個方式，而是先存放在本地行動儲存設備中，隔一段時間後，再將資料搬進資料湖中。</p> <p>Ravi Naik表示，目前這套資料湖平臺採用多雲混合雲架構來部署，能根據在平臺上執行不同工作負載，來跑在不同大型公雲上，但是對於需要大量資料的工作負載，例如儲存量超過1PB的，就會放在自家原生雲端環境Lyve Cloud來執行，並結合K8s容器管理。Seagate後來更把這套PB級資料湖分析平臺，轉為變成對外部企業提供的解決方案。</p> <p>Ravi Naik表示：「PB級資料湖平臺的推出，不只是Seagate發展智慧製造多年累積的重要成果，更是這家公司未來要從傳統儲存硬體製造商，轉型成為智慧製造服務供應商所跨出的關鍵一步。」</p> <p><span style="font-size:28px;"><strong>為提高資料運用效率，開始實踐自動化DataOps維運做法</strong></span></p> <p>不光是建造大型資料湖平臺，隨著工廠資料的數量、種類和速度迅速增長，Seagate的數據管理和維運方式也更加自動化，提高資料運用效率，甚至還引進DataOps 維運做法，來加以實踐。</p> <p>為何DataOps對智慧製造發展如此重要？Ravi Naik解釋，智慧製造雖是由多種技術來推動，當中最重要的環節就是數據，只有掌握數據以後，才有能力發展智慧製造。這些數據來自各種工廠設施，舉凡製造系統、監控攝影機到各種IoT感測器都包含在內，這些數據蒐集起來後，會全部放進一個大型資料湖中，然後從這些數據中建立關聯性，「但是，建立關聯過程非常複雜，所以，DataOps就很重要。」他說。</p> <p>Ravi Naik進一步說明，DataOps是把不同設備元件中的數據整合在一起的過程，然後將這些數據關聯組合起來，並制定出一套標準，讓各種分析工具都能從它身上取得必要數據進行分析，更進一步來說，DataOps其實就是一種數據蒐集、搬移和組織的數據維運能力。</p> <p>像是發展智慧製造過程中，Seagate一開始的做法也是將蒐集到的生產數據拿來分析並從中持續學習，然後藉由數據累積，開始結合DataOps維運做法，讓這些數據能夠容易被使用，甚至能結合進階分析工具做運用，進而逐步實現工廠智慧化。</p> <p>從技術實作角度來看，他表示，實踐DataOps之前，企業必須要具備生產各種關鍵製造數據的手段，才能夠將這些數據蒐集起來做運用，如此一來，才能夠開始做DataOps。</p> <p>Ravi Naik接下來還將透過建模來統一全球工廠流程及工具。由於不同硬碟元件生產需要不同應用與生產技能，以往各廠之間就像是一座高聳又封閉的穀倉（silo），彼此各自獨立，資訊也不互通。但他表示，以後就沒有這個問題，通過跨廠建立共同的流程與工具，以後從全球工廠取得的數據，就能提供各工廠來運用，甚至在供應鏈上，各廠之間也能彼此配合。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>Seagate執行副總暨資訊長 Ravi Naik</strong></p> <p>學歷：印度孟買大學電機學士</p> <p>經歷：歷練多家IT公司管理者和IT主管，從HP、3Com到Mercury Interactive等，2007年加入SanDisk，在他任職10年間，不只擔任IT主管一手推動IT轉型，也全面翻新ERP，2017年開始擔任Seagate資訊長，負責協助這家老牌硬碟廠推動IT現代化轉型，邁向智慧工廠。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> 公司檔案 </span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%20Seagate%20-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／余至浩</span></span></p> <p><strong>Seagate Technology</strong></p> <p>總部：美國加州佛利蒙市</p> <p>網址：<a href="http://www.seagate.com">www.seagate.com</a></p> <p>成立時間：1979年</p> <p>主要業務：硬碟、資料儲存系統的生產製造等</p> <p>員工數：超過40,000人（2022年）</p> <p>年營收：約106.8億美元（2021年）</p> <p>執行長：Dave Mosley</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：Seagate資訊長</p> <p>資訊部門主管姓名：Ravi Naik</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2017年：啟動數位轉型計畫，開始整併現有資料中心、技術架構、軟體堆疊與簡化團隊等，來發展現代化IT</p> <p>2018年：導入混合多雲架構，開始將本地端應用搬上公有雲</p> <p>2019年：FIS工廠資訊系統推出上線，從舊有設備中將資料轉移至硬盤記錄碟生產廠中的FIS</p> <p>2020年：規畫導入SAP S/4HANA ERP取代舊系統，大幅簡化業務流程、打造Hadoop為基礎的15 PB資料湖分析平臺，用於儲存與處理硬盤記錄碟生產廠製造的相關數據、用於硬盤記錄碟生產廠的MIS製造資訊系統推出上線、展開工廠轉型</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-seagate-tu_1-she_ying_-yu_zhi_hao_.jpg" width="960" height="420" alt="" title="Seagate執行副總暨資訊長 Ravi Naik 　（攝影／余至浩）" /></div></div></div>
2022/10/24 07:00作者余至浩https://www.ithome.com.tw/people/153749
GCP多雲戰略的下一步，以多雲資料倉儲為核心打造通用資料雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資料是數位轉型的核心，」Google Cloud執行長 Thomas Kurian在2022年度Next大會開場演講的這句話，點出了GCP戰略的新方向，這是GCP的第三次戰略目標大調整。</p> <p><span style="font-size:28px;"><strong>GCP三度戰略大轉向</strong></span></p> <p>2015年Google決定從廣告公司模式，轉型以雲端營收為主的雲端公司。 Google設立雲端部門，在2016年正式跨入企業雲端市場至今，經過了三次戰略大轉向。每一次戰略轉向，都更加聚焦，從廣告消費市場轉向企業級雲端市場，從通吃各式各樣的企業到專攻數位轉型企業，現在第三階段的戰略則是再次縮小標靶，瞄準企業數位轉型的核心，也就是資料。</p> <p>GCP成立最初三年，是第一個階段，Google要以創新技術的優勢，來搶攻企業雲端市場的各種需求。</p> <p>GCP首位主管虛擬化女王Diane Greene在2016年第一次Next大會上公布了3大技術發展戰略：資安、AI和新一代雲端技術，來搶攻企業雲端市場。</p> <p>例如要靠Kubernetes來加速任何企業上雲，或是以TensorFlow 打造人人都能用的機器學習平臺服務等高度創新的產品，想要靠技術吸引所有的企業買單，但這個做法，花了3年，仍舊無法提高GCP在雲端市場的占比。</p> <p>2019年，虛擬化女王退場，改由Google Cloud現任執行長Thomas Kurian接棒，這位曾在資料庫龍頭創下年營收350億美元的關鍵推手，帶領GCP不再只考慮自家技術，而是轉換成顧客視角，來尋找新的產品策略，GCP戰略也進入了新的第二階段，發展戰略轉為瞄準企業的數位轉型歷程。</p> <p>從這一年開始，GCP不再過度強調自身技術的創新，產品策略轉為要提供企業顧客這五大能力，包括了可管理超大規模資料的能力、聰明分析的能力、開發應用程式的能力、AI和ML能力和支援協作模式的改變。瞄準企業多雲需求的Anthos，就在Thomas Kurian宣布下正式推出。</p> <p>瞄準企業數位轉型需求和多雲管理平臺兩大新對策，也順利打開了GCP在大型企業中的口碑和影響力，吸引到不少大型企業顧客的採用。後續每一年，Thomas Kurian的Next開場演講，都必定揭露更多大型企業實例，今年也不例外，甚至甚至在主力產品發布之前，Thomas Kurian一口氣先揭露了不同產業的知名企業採用實例，來強調GCP在企業市場逐漸累積的影響力。</p> <p>從顧客需求的角度出發，GCP也不再只聚焦自家這朵雲，從2019年開始將產品策略轉向多雲混合雲，這是Thomas Kurian當年一上任就提出的大方向。</p> <p>GCP多雲戰略先從基礎架構跨雲展開，當Anthos產品線逐漸成熟之後，也順利延伸到其他公雲和企業本地機房之後，仍然繼續發展，延伸到邊緣、電信等特定應用場景下的混合雲架構，這兩年仍持續更新。</p> <p><span style="font-size:28px;"><strong>2021年揭露資料分析戰略藍圖，全力打造通用的資料雲</strong></span></p> <p>不過，GCP的戰略再度轉向，在2021年展開了第三階段的新戰略，也就是Thomas Kurian提到的數位轉型的核心「資料」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2%E5%9C%961-%E8%B3%87%E6%96%99%E6%88%B0%E7%95%A5%E8%97%8D%E5%9C%96(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Google Cloud產品總監Sudhir Hasbe在去年Next大會上就公布了一份Google Data Cloud的資料分析戰略藍圖，要打造一個通用的資料平臺，通吃各種企業需求，今年Next大會大舉展現多項資料分析的新產品。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／GCP</span></p> <p><span style="font-size:28px;"><strong>產品重心從基礎架構多雲混合雲，邁向資料跨雲架構</strong></span></p> <p>以組織全世界資訊為願景起家的Google，相當清楚資料真正的價值，也擁有管理超大規模資料的頂尖技術，一直想把這種能力，變成一種產品，</p> <p>但要做到「可以聚集和分析來自所有來源，所有儲存格式，所有雲端供應商的所有資料，來提供各種形式的存取。」這個Thomas Kurian 最新揭露的Open Data Cloud 新戰略。</p> <p>Google決定全力發展企業雲端市場初期，重心是IT基礎架構和AI，BigQuery雖然持續發展，但不是第一優先，也一直都停留在結構化資料分析平臺的定位。直到2021年，資料雲成了GCP首要新戰略，Google Cloud產品總監Sudhir Hasbe在去年Next大會上就公布了一份Google Data Cloud的資料分析戰略藍圖，要打造一個通用的資料平臺，通吃各種企業需求。</p> <p>在這個資料分析戰略藍圖，涵蓋了資料搜集、資料處理、資料儲存、資料分析、資料活化、資料賦權六大類產品線，最終再整合到一個支援多雲混合雲的單一管理平臺，最終目標就是要打破資料孤島。</p> <p>Google從2021年1月開始全力發展這張藍圖所不足的產品和功能，去年推出了第一個核心展品，可部署到其他公雲的BigQuery Omni。這項產品奠定了Google資料雲的多雲架構基礎之後，將BigQuery的體驗，帶到了其他公雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2%E5%9C%962-BigQuery%E7%82%BA%E6%A0%B8%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90GCP.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">GCP要以BigQuery為核心，來管理和整合企業分散在不同公有雲上的資料，去年先推出BigQuery Omni，將BigQuery的體驗，帶到了其他公雲。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／GCP</span></p> <p>今年，Google進一步開始大力升級BigQuery，第一步就是推出十年來最大升級，支援非結構化資料。BigQuery研發負責人Google Cloud產品總監Brian Welcker指出，BigQuery支援非結構化資料最大的價值是，可以強化Google的AI技術優勢，直接用BigQuery SQL來運用各種AI產品。</p> <p>不只如此，GCP也開始強化BigQuery與GCP資料產品線和AI產品線整合，例如可以整合Vertex AI，開始將MLOps流程帶到BigQuery。BigQuery更積極強化對各種商用資料庫或其他公雲資料平臺的整合，來擴大其影響力。</p> <p>「BigQuery正是Data Cloud的核心。」Brian Welcker強調：「 Google資料雲戰略的目標是，建立一個開放、整合和智慧的資料生態圈，來加速企業顧客的創新。」</p> <p>GCP也正在打造一套分散式資料治理通用平臺Dataplex，去年發表了預覽版，今年底即將增Data Lineage資料血統追溯功能，可以從資料搜集，分析到機器學習歷程，來追蹤每一項機器學習所用資料的完整血統關係。「資料和AI的下一個挑戰是擴大規模後的信心，需要更強的資料治理和統一的治理做法。」Brian Welcker透露。</p> </div></div></div>
2022/10/24 07:00作者王宏仁https://www.ithome.com.tw/news/153752
BigQuery十年最大升級，終於通吃非結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Next大會最重要的產品發布就是BigQuery大升級，這個在2010年首度亮相，2011年正式推出的史上第一款Serverless雲端資料倉儲，發布了10年來最大一次的功能升級，終於開始支援非結構化資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-2010%E7%99%BC%E8%A1%A8%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>早在2010年的Google IO大會上，Google就展示了最早的BigQuery服務，可以提供結構化資料的機器學習預測，隔年正式推出。</strong>圖片來源／GCP</span></p> <p>GCP從去年開始展開BigQuery產品線的升級，推出了多雲部署版本BigQuery Omni，可以將BigQurey部署到其他公雲，如AWS和Azure上，來提供跨多雲的單一大數據分析平臺能力，而不用像過去得將所有資料集中到GCP才能使用BigQuery。但這一步，只是BigQurey產品大升級的前奏。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E8%B7%A8%E5%A4%9A%E9%9B%B2%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery成為Google發展通用資料平臺的關鍵，去年先推出BigQuery Omni將BigQuery體驗帶入到其他公有雲，今年開始展開BigQuery各項升級和強化。</strong>圖片來源／GCP</span></p> <p>到了2022年1月，BigQuery更開始跨出結構化資料的範疇，正式支援半結構化資料JSON資料格式，引起各界高度關注。因為JSON是Web應用最常用的資料格式，這一步讓GCP超強的大數據分析工具，可以直接匯入、原生處理各種Web應用、行動App產生的第一手資料，更容易成為各類Web應用的主要分析資料集散中心。</p> <p><span style="font-size:28px;"><strong>關鍵升級1：今年開始支援非結構化資料</strong></span></p> <p>沒想到，GCP對BigQuery布局不只如此，到了10月Next大會，更進一步宣布BigQuery將開始支援非結構化資料，從圖片、聲音、影片、串流影像到龐大的Log檔案，通通都可以支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961-%E6%94%AF%E6%8F%B4%E9%9D%9E%E7%B5%90%E6%A7%8B%E5%8C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px; height: 338px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery今年開始支援非結構化資料，可以用SQL指令建立工作流程，提供非結構化資料進行查詢、合併、預測、治理和共享等處理。</strong>圖片來源／GCP</span></p> <p>BigQuery推出了物件表格（Object Tables）預覽版，可以將非結構化資料原始檔案和相關的後設資料，儲存到欄位式的資料表中，也能用來建立SQL指令所設計的工作流程，近一步提供查詢、合併、預測、治理和共享等處理方式，讓企業DBA或開發人員以慣用的SQL指令來處理非結構化的資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%89%A9%E4%BB%B6%E8%A1%A8%E6%A0%BC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery推出物件表格（Object Tables）預覽版，可以將非結構化資料原始檔案和相關的後設資料，包括圖片、聲音、影片等儲存到欄位式的資料表上使用SQL指令。</strong>圖片來源／GCP</span></p> <p>BigQuery研發負責人Google Cloud產品總監Brian Welcker指出，BigQuery支援非結構化資料最大的價值是，可以強化Google的AI技術優勢，直接用BigQuery SQL來運用Google各種AI產品。</p> <p>BigQuery是第一個將運算和儲存徹底分開的資料倉儲服務，來提供高可用性和擴充性，特色是支援SQL相容語法指令，提供欄或列等級的精細存取控制、顧客自管加密金鑰等安全性。</p> <p>目前，BigQuery資料用量達到PB級的企業，超過了1百家，BigQuery平均每一秒要處理110TB的顧客資料，所搭配的記憶體式分析BI引擎，每個月查詢次數超過了30億次。</p> <p>但是，過去10年來，BigQuery一直有一個最大的不足，就是只能支援結構化資料。因為許多電腦視覺、語音辨識、語言翻譯、自然語言處理等AI成熟應用，大多是以非結構化資料為主要素材，過去，要使用GCP上這類影音相關AI，得使用GCP其他雲端儲存服務來保存訓練資料。資料分散多套平臺，想要統一權限管理、管理政策、資料治理，開發者或維護團隊得到不同平臺上，使用不同的機制來建立同樣的政策，版本維護和政策同步也相當麻煩，更提高了配置錯誤的風險。</p> <p>不只是管理機制的複雜化，非結構化資料的儲存服務往往由基礎架構維運團隊負責，而而結構化資料則由資料團隊負責，想要建立一個通吃兩類資料的分析模型，需要兩組維運團隊合作，更添加了組織分工的成本和協作溝通的複雜度。</p> <p>許多資料倉儲大廠，早在多年前，就紛紛從結構化資料，開始支援非結構化資料，就是為了將各種資料集結到單一資料倉儲系統中來統一治理，但是BigQuery遲遲沒有支援，直到今年。</p> <p>透過這個BigQuery新發表的Object Tables功能，可以將儲存在Gogole儲存Bucket上的各種類型的物件，以資料表的形式呈現在BigQuery中，可以使用SQL指令查詢這些完整的物件後設資料，也可以建立SQL工作流程，能簡化增量處理作業，建立物件資料表後也可以提供顆粒度更細緻（例如按資料欄位控制）的權限控制機制，也能安全的共享這些非結構化資料。</p> <p>另外，也可以直接在BigQuery中套用GCP現成的AI框架和機制來訓練這些非結構化資料，甚至直接使用內建或訓練好的機器學習模型來推論。例如直接用真實房屋屋內照片結合出租紀錄，建立一個用真實屋內設備來預測出租結果的模型。</p> <p>「 Google資料雲戰略的目標是，建立一個開放、整合和智慧的資料生態圈，來加速企業顧客的創新。」Brian Welcker指出：「BigQuery正是Data Cloud的核心。」</p> <p>因此，不只是擴大所支援的資料類型，GCP更早從去年就開始陸續布局，各種擴大BigQuery資料接觸面、資料流通力的機制，要以BigQuery來打造更完整的資料生態圈。目前已經累計超過800家資料雲合作廠商。</p> <p><span style="font-size:28px;"><strong>關鍵升級2：強化與商用資料庫的遷移和互通機制</strong></span></p> <p>今年初發表的BigQuery遷移服務，也在10月的Next大會中正式GA，可以支援12種資料來源的轉移作業，包括了Teradata資料倉儲、IBM Netezza、Oracle 資料庫和Amazon Redshift。這是GCP用來吸引企業搬遷舊有資料倉儲上雲的重要手段。</p> <p>另外，GCP的變動資料擷取服務Datastream也開始支援BigQuery，目前是預覽版，可以將多個企業級資料庫的串流資料的變動，將資料和Schema即時複製擷取到BigQuery中，不需要另外的處理程序，來強化BigQuery對於即時OLTP資料的分析能力。可以支援甲骨文資料庫、MySQL資料庫、PostgreSQL（預覽版）和AlloyDB。這也是另一個用來打通BigQuery與現有商用資料庫間的重要資料互通機制，可以快速複製現有資料庫的即時資料。</p> <p><span style="font-size:28px;"><strong>關鍵升級3：支援JSON強化Log大數據分析</strong></span></p> <p>支援Log資料分析也是BigQuery今年的主打特色，除了原本就提供的Storage Write API資料匯入服務，可以提供到每秒百萬次操作不影響查詢效能的能力，來搜集各種即時串流的Log資料，另外，新增了對原生JSON資料型態的支援，能夠直接匯入json文件來產生以欄位儲存的表格，也提供了新的文字搜尋索引，可以對龐大的JSON等log資料進行精確搜尋，快速找出符合特定文字模板的資料列，「這是媲美在草叢中找針的精準搜尋能力。」Brian Welcker這樣比喻。</p> <p><span style="font-size:28px;"><strong>關鍵升級4：視覺化SQL除錯和優化工具</strong></span></p> <p>SQL查詢是BigQuery最大賣點，但要從複雜的SQL指令來了解執行指令的運作情況和效能瓶頸，對DBA來說是一大挑戰，GCP這次大會中，也發表了一款SQL查詢除錯工具Query Inspetor預覽版，可以用視覺化方式來除錯、解決SQL查詢指令的效能問題，例如產生查詢指令的運作流程圖，來了解不同查詢任務之間的資料流向，來找出影響效能的瓶頸。</p> <p>「這是用來管理所有查詢、診斷、比較同類查詢和優化查詢的一站式工具。」Brian Welcker補充。</p> <p>另外，過去在Google Workspace商用付費版本才提供的Connected sheets功能，可以用Google Sheets試算表直接連結BigQuery，來讀取資料進行分析，現在變成了免費功能，個人版也能連結BigQuery，以分析人員或業務人員熟悉的操作介面，來存取BigQuery上的分析報表和數據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%9F%A5%E8%A9%A2%E9%99%A4%E9%8C%AF%E5%B7%A5%E5%85%B7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>SQL查詢除錯工具Query Inspetor預覽版，可以用視覺化方式來除錯、解決SQL查詢指令的效能問題。</strong>圖片來源／GCP</span></p> <p><span style="font-size:28px;"><strong>關鍵升級5：將GCP全套MLOps工具帶進BigQuery</strong></span></p> <p>BigQuery早在2018年就內建整合了機器學習功能推出BigQuery ML，可以用標準SQL查詢指令，在BigQuery中訓練ML模型，雖然在這次Next大會上，沒有太多更新，但是，這次也推出了一個殺手級的連結機制，可以將BigQuery ML的模型，整合到 Vertex AI平臺的模型儲存庫。</p> <p>Vertex AI是Google去年推出的全託管式機器學習平臺，將一系列Google內部所用的機器學習工具和框架，組合成了一套AI訓練服務平臺，也包括了一系列的MLOps工具，涵蓋了訓練資料管理、ML訓練、雛形開發、實驗、模型部署，甚至是模型解釋，以及模型上線後的監控，可以提供端到端到維運的完整ML應用生命周期管理。</p> <p>例如提供了像Vertex Model Monitoring、ML Metadata與Pipelines這些MLOps工具，可以用來建立自助式的ML模型，以及提高重複利用率。BigQuery ML新增了一項與 Vertex AI模型儲存庫的連結機制，可以將BigQuery ML訓練出來的模型，自動註冊到這個儲存庫，來進行管理、追蹤、版本控管，甚至可以儲存BigQuery ML模型的後設資料和各種runtime相依性作為日後重複部署之用。</p> <p>不只如此，建立連結之後，還能將BigQuery ML的模型，整合到Vertex AI模型評估和部署機制上，來進行離線評估或上線的追蹤，也可以統一管理在BigQuery的機器學習模型發布流程，從模型審查、核准、發布甚至是到退版都能管理。換句話說，雖然只是ML儲存庫的連結，但這一步等於將Vertex AI的全套企業級MLOps管理平臺，帶進了BigQuery資料倉儲。</p> <p><span style="font-size:28px;"><strong>關鍵升級6：同一套SQL支援更多種類分析任務</strong></span></p> <p>使用SQL指令來完成各種分析任務是BigQuery最大的賣點，Google也不斷擴充SQL指令可以完成的任務，一方面，除了強化BigQuery機器學習開發流程之外，GCP在幾年前所併購的ETL資料處理工具Dataform，現在終於整併到BigQuery產品線中，推出了新的預覽版，可以提供一個類SQL的語言稱為SQL X來撰寫各種資料轉換工作流程，管理各種不同的ETL資料處理流程，也能搭配GitHub進行版本控管，引進軟體開發流程來強化資料分析團隊的協作，這個產品可以強化BigQuery資料前處理能力。</p> <p>在強化查詢指令的功能上，BigQuery SQL也開始支援Spark串流分析運算，可以將Spark程式寫成Store Procedure，然後直接在BigQuery中執行Spark的任務，也能套用同樣的資安和治理政策，例如套用GCP IAM權限，或是套用與BigQuery上同樣的精細權限控管（欄或列）設定等。</p> <p>在結構化資料當道的時候，BigQuery 曾經被譽為最強的大數據分析工具之一，但隨著AI技術成熟，各種非結構資料暴增，非結構化資料成了企業分析需求的大宗，各家雲端儲存服務、資料湖和資料倉儲系統也紛紛跟進，形成多家競逐，各有擅長的態勢。</p> <p>GCP今年開始大力押寶BigQuery，BigQuery 在推出11年之後，終於跨入了非結構化資料場域，後發能否再度搶下頭名，這正是GCP新資料戰略接下來的考驗。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 新策略 </span></span> <span style="color:#3399ff;">搶攻SRE、SecOps和NetOps維運大數據需求</span></strong></span></p> <p><span style="color:#696969;"><strong>在今年Next大會上，BigQuery除了大規模翻新產品功能之外，在產品推廣策略上，也鎖定了企業最常見的大數據分析應用場景，就是維運大數據分析需求。</strong></span></p> <p><span style="color:#696969;"><strong>Google Cloud產品經理Christopher Crosbie指出，今年特別要瞄準企業三大維運場景的Log分析需求，一種是DevOps和SRE場景，想要觀察和了解各種AP的行為，加快除錯速度來縮短系統當機的復原時間（MTTR），第二種是SecOps場景，企業想要從龐大資安Log中，更容易調查與資安相關的攻擊事件資料。最後一類是IT網路維運（NetOps），需要整合各方資料來提供更完善的網路洞察。</strong></span></p> <p><span style="color:#696969;"><strong>但是，企業要處理的Log資料需求和類型非常多元，常會運用不同的Log分析系統，來處理上述不同類型的需求。但是Christopher Crosbie指出，Log系統越多套，會衍生不少問題，例如，資料經過越多系統，到達最終系統會產生延遲問題，其次，不同系統或處理機制對資料可能有不同的轉換處理，會導致缺乏清楚的單一資料正確來源，當要套用ML訓練時，要整合多套資料來源的串接，容易導致ML流程的斷裂，對維運團隊而言，也得經常在不同系統間切換和轉移資料，更增加工作流程的複雜。</strong></span></p> <p><span style="color:#696969;"><strong>BigQuery在邁向通吃各類資料和各種分析需求的大戰略之下，也想要成為通吃不同類型Log分析需求的單一大數據平臺，早在1年前，GCP先推出了Stroage Wirte API，可以快速將各類Log資料來源寫入到BigQuery中，GCP宣稱可以達到每秒100萬筆寫入操作，也不會影響查詢效能。</strong></span></p> <p><span style="color:#696969;"><strong>在今年Next大會，Google Cloud產品總監Brian Welcker就表明，BigQuery要推出Log大數據分析，除了原本的Stroage Wirte API之外，再加上了原生JSON資料類型支援正式GA，也新推出了龐大資料的搜尋索引功能。</strong></span></p> <p><span style="color:#696969;"><strong>Christopher Crosbie表示，不只可以支援從多種資料類型批次轉換成JSON，也可以跟Dataflow、JDBC、Biglake Tables整合，將SQL查詢結果快速輸出成JSON來提供他用。而搜尋索引則不需要知道原本的資料結構，也能搜尋結構化或非結構化的獨特資料，也提供時序性資料的最近幾筆查詢條件的優化，例如最近30筆，可以用於Log分析常用最新變化查詢之用。</strong></span></p> <p><span style="color:#696969;"><strong>Google還在自家Cloud Logging服務下，用BigQuery打造了一個新的Log分析預覽版，可以用來彙整來自各種雲端環境的Log分析，可以利用SQL語法來處理和分析這些雲端Log。</strong></span></p> </div></div></div>
2022/10/24 07:00作者王宏仁https://www.ithome.com.tw/news/153753
美國CISA力挺FIDO無密碼身分認證機制，成新世代多因素認證標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年十月，美國白宮都將推動一整個月的「網路安全意識月」（Cybersecurity Awareness Month），身為美國國土安全部的網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）總監Jen Easterly更是積極四處奔波，希望可以提升美國民眾的資安意識。</p> <p>她也於日前（10月18日）公開發文並且於推特錄製影片表示，將力挺FIDO（Fast Identity Online）聯盟推動的支援指紋等生物辨識及FIDO載具的無密碼數位身分認證機制，希望可以取代目前各行各業常使用的簡訊OTP（一次性密碼）的MFA（多因素認證）機制，讓FIDO成為新世代的數位身分認證機制。</p> <p><strong>駭客已經可以繞過傳統多因素認證機制</strong></p> <p>在美國網路安全意識月的重點，其中有一個就是：希望每個人可以確保使用網路各種服務的安全性，包括電子郵件、銀行、各種社交媒體以及需要經過線上驗證身分的各種服務的帳號安全性，並針對相關的線上服務啟動MFA認證機制，而美國總統拜登在去年便下令，要求美國聯邦政府以及所屬機關構，都必須積極推動多因素認證，而FIDO則是被大力推廣的無密碼數位身分認證機制。</p> <p>Jen Easterly表示，有許多行業或是技術領先的業者，都已經率先推動或強制要求使用者採用多因素認證機制，確保線上服務使用者的安全性。但她也引述一份頂尖資訊服務業者的數據指出，只有四分之一的企業客戶已經註冊多因素認證服務；而已經註冊的企業客戶中，更只有大概三分之一的系統管理員（system administrators），使用多因素認證機制確保其數位身分認證的安全性。</p> <p>不過，採用多因素認證機制並不是萬能，過去幾年也陸續發生資安事件，有一些駭客已經可以繞過傳統的多因素認證機制，例如臺灣也曾經發生過的釣魚簡訊，或是其他身分認證App、推送通知等認證機制。</p> <p>她認為，這些繞過MFA的工具包（Toolkit）可以降低駭客的攻擊成本，像是憑證釣魚（Credential phishing）等事件也越來越常見，只要駭客願意花時間、金錢和心力，早晚都可以駭入企業內部，而企業內的每一個人都可能是受駭者。</p> <h2><strong>FIDO私鑰存在使用者端的裝置上，難被駭客破解</strong></h2> <p>因為已經有駭客可以繞過這些傳統的MFA機制，勢必要有新的認證機制取代，而由PayPal、英飛凌，以及Google和微軟等科技大廠組成的FIDO聯盟，則重新打造一個可以對抗網路釣魚的多因素認證機制，而FIDO通訊協定可以應用在現有的作業系統、網路瀏覽器、手機和平板電腦中，也有許多線上服務和各種企業都積極採用並推動FIDO無密碼身分認證機制。</p> <p>Jen Easterly指出，沒有百分之百的安全，再安全的MFA機制都可能遭到破解，不過，因為FIDO無密碼身分認證機制是將公鑰存放在FIDO伺服器中，解密的私鑰則是存放在使用者端的作業系統、瀏覽器、手機或是平板電腦等，「如果員工遭到釣魚郵件的攻擊，駭客因為無法取得使用者端儲存的FIDO私鑰，攻擊也不會成功。」她說。</p> <p>Jen Easterly也鼓勵所有企業的執行長，應該要確保FIDO會在企業系統導入的藍圖內，她更認為，未來FIDO將是多因素認證唯一的標準，企業應該積極跟上這股FIDO浪潮。</p> </div></div></div>
2022/10/21 19:30作者黃彥棻https://www.ithome.com.tw/news/153766
美國CISA力挺FIDO無密碼身分認證機制，將成多因素認證唯一標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年十月，美國白宮都將推動一整個月的「網路安全意識月」（Cybersecurity Awareness Month），身為美國國土安全部的網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）總監Jen Easterly更是積極四處奔波，希望可以提升美國民眾的資安意識。</p> <p>她也於日前（10月18日）公開發文並且於推特錄製影片表示，將力挺FIDO（Fast Identity Online）聯盟推動的支援指紋等生物辨識及FIDO載具的無密碼數位身分認證機制，希望可以取代目前各行各業常使用的簡訊OTP（一次性密碼）的MFA（多因素認證）機制，讓FIDO成為新世代的數位身分認證機制。</p> <p><strong>駭客已經可以繞過傳統多因素認證機制</strong></p> <p>在美國網路安全意識月的重點，其中有一個就是：希望每個人可以確保使用網路各種服務的安全性，包括電子郵件、銀行、各種社交媒體以及需要經過線上驗證身分的各種服務的帳號安全性，並針對相關的線上服務啟動MFA認證機制，而美國總統拜登在去年便下令，要求美國聯邦政府以及所屬機關構，都必須積極推動多因素認證，而FIDO則是被大力推廣的無密碼數位身分認證機制。</p> <p>Jen Easterly表示，有許多行業或是技術領先的業者，都已經率先推動或強制要求使用者採用多因素認證機制，確保線上服務使用者的安全性。但她也引述一份頂尖資訊服務業者的數據指出，只有四分之一的企業客戶已經註冊多因素認證服務；而已經註冊的企業客戶中，更只有大概三分之一的系統管理員（system administrators），使用多因素認證機制確保其數位身分認證的安全性。</p> <p>不過，採用多因素認證機制並不是萬能，過去幾年也陸續發生資安事件，有一些駭客已經可以繞過傳統的多因素認證機制，例如臺灣也曾經發生過的釣魚簡訊，或是其他身分認證App、推送通知等認證機制。</p> <p>她認為，這些繞過MFA的工具包（Toolkit）可以降低駭客的攻擊成本，像是憑證釣魚（Credential phishing）等事件也越來越常見，只要駭客願意花時間、金錢和心力，早晚都可以駭入企業內部，而企業內的每一個人都可能是受駭者。</p> <h2><strong>FIDO私鑰存在使用者端的裝置上，難被駭客破解</strong></h2> <p>因為已經有駭客可以繞過這些傳統的MFA機制，勢必要有新的認證機制取代，而由PayPal、英飛凌，以及Google和微軟等科技大廠組成的FIDO聯盟，則重新打造一個可以對抗網路釣魚的多因素認證機制，而FIDO通訊協定可以應用在現有的作業系統、網路瀏覽器、手機和平板電腦中，也有許多線上服務和各種企業都積極採用並推動FIDO無密碼身分認證機制。</p> <p>Jen Easterly指出，沒有百分之百的安全，再安全的MFA機制都可能遭到破解，不過，因為FIDO無密碼身分認證機制是將公鑰存放在FIDO伺服器中，解密的私鑰則是存放在使用者端的作業系統、瀏覽器、手機或是平板電腦等，「如果員工遭到釣魚郵件的攻擊，駭客因為無法取得使用者端儲存的FIDO私鑰，攻擊也不會成功。」她說。</p> <p>Jen Easterly也鼓勵所有企業的執行長，應該要確保FIDO會在企業系統導入的藍圖內，她更認為，未來FIDO將是多因素認證唯一的標準，企業應該積極跟上這股FIDO浪潮。</p> </div></div></div>
2022/10/21 19:30作者黃彥棻https://www.ithome.com.tw/news/153767
【資安日報】2022年10月21日，WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。</p> <p>駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。</p> <p>小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mandiant.com/resources/blog/rm3-ldr4-ursnif-banking-fraud"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期新的惡意軟體Ursnif變種（LDR4版），研究人員在6月下旬觀察到被用於攻擊行動，駭客主要以人才招募為幌子寄送釣魚郵件，要求收信人點選連結下載Excel檔案。一旦收信人照做，就會被引導至下載網頁，該網頁會要求輸入CAPTCHA驗證碼才能取得。若是收信人開啟此Excel檔案，電腦將會被植入Ursnif。</p> <p>這個惡意程式的用途也有所變化。研究人員表示，過往版本Ursnif的主要功能是金融木馬，新的LDR4則是後門程式，駭客很有可能藉此散布勒索軟體或其他惡意程式。</p> <h3><a href="https://blog.cyble.com/2022/10/14/online-file-converter-phishing-page-spreads-redline-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上轉檔網站也有假的！有人以提供免費轉檔服務散布竊密程式RedLine Stealer</span></strong></a></h3> <p>提供將不同格式文件轉換的網站，現在也成為駭客假冒的對象！資安業者Cyble揭露散播竊密軟體RedLine Stealer的攻擊行動，駭客設置了冒牌的Convertio轉檔網站，一旦使用者依照指示上傳想要轉換的檔案，並選擇輸出格式，該網站就會提供ZIP壓縮檔案，但若是使用者下載到電腦解壓縮，只會看到LNK捷徑檔YourConvertedFile.lnk。</p> <p>一旦執行，電腦就會透過批次檔執行PowerShell命令，在系統內建防毒軟體Microsoft Defender的排除清單當中，加入可執行檔、批次檔，以及C磁碟機，讓系統對這些檔案與儲存位置停止惡意檔案的掃描，然後再下載帶有PDF檔案圖示的YourConvertedFile59417.exe並執行，進而在受害電腦植入RedLine Stealer。</p> <h3><a href="https://healthitsecurity.com/news/3m-advocate-aurora-health-patients-face-phi-exposure-tied-to-tracking-pixels"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又是網站廣告成效追蹤器肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病人資料</span></strong></a></h3> <p>在美國擁有26家醫院的非營利醫療照護系統Advocate Aurora Health，發出公告坦承發生外洩病患資料的事故，起因是為了改善服務而使用Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知所有病人（約300萬人）。該機構發現，安裝在MyChart、LiveWell及其他預約工具中的追蹤程式，會將特定的病患資訊回傳這些追蹤程式的製造商。</p> <p>而類似的情況已非首例，今年8月，<a href="https://www.ithome.com.tw/news/152683#novanthealth">美國醫療保健供應商Novant Health就因Meta Pixel程式碼配置不當</a>，將132萬名病人健康資料曝露給Meta及其合作夥伴。</p> <h3><a href="https://www.group-ib.com/media-center/press-releases/oldgremlin-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織OldGremlin鎖定俄羅斯Linux主機，發動勒索軟體攻擊</span></strong></a></h3> <p>勒索軟體駭客組織OldGremlin自2020年開始鎖定俄羅斯發動攻擊，過往都是加密Windows電腦，但最近該組織也對Linux主機下手。資安業者Group-IB在調查今年發生的攻擊行動中，發現OldGremlin的主要目標是一臺Linux伺服器，駭客使用了勒索軟體TinyCrypt的變種版本，而這個變種與Windows版本採用的演算法相同，都是使用AES演算法並以RSA-2048非對稱金鑰加密檔案。</p> <p>除此之外，研究人員也發現駭客的入侵手段仍是寄送釣魚郵件，但從原本將惡意軟體挾帶於附件，如今變成引誘受害者從檔案共享服務下載，而難以察覺異狀。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.wordfence.com/blog/2022/10/patch-now-the-wordpress-6-0-3-security-update-contains-important-fixes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress推出6.0.3版，修補16個漏洞</span></strong></a></h3> <p>內容管理系統WordPress於10月17日發布6.0.3版，當中總共修補了16個漏洞，有4個達到高風險等級。資安業者Wordfence指出，其中最容易被利用的漏洞，是可透過媒體庫SQL注入的跨網站指令碼（XSS）漏洞，CVSS風險評分達8.8分（尚未取得CVE編號），原因是攻擊者不需經過身分驗證就能利用。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/brazil-arrests-suspect-believed-to-be-a-lapsus-gang-member/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西警方逮捕疑似駭客組織Lapsus$成員</span></strong></a></h3> <p>巴西聯邦警察於8月啟動黑雲行動（Operation Dark Cloud），緝拿2021年橫行巴西政府單位的駭客組織Lapsus$成員，最近有了新的成果，他們於10月19日宣布逮捕了其中一名成員，不過並未公布嫌犯姓名、年齡，或是其他資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153728"><span style="color: rgb(0, 0, 0);">上櫃公司大拓日本子公司遭勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.welivesecurity.com/2022/10/20/domestic-kitten-campaign-spying-iranian-citizens-furball-malware/"><span style="color: rgb(0, 0, 0);">伊朗民眾遭到安卓FurBall間諜軟體鎖定</span></a></span></strong></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">16款點擊惡意App被下載超過2千萬次</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> </div></div></div>
2022/10/21 16:57作者周峻佑https://www.ithome.com.tw/news/153764
Stack Overflow力推離線版本支援無法上網的開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stack Overflow推出了<a href="https://stackoverflow.blog/2022/10/20/introducing-the-overflow-offline-project/">Overflow Offline新計畫</a>，並與非營利組織Kiwix合作，確保這個離線版能夠維持更新，且讓需要的人輕鬆取得，該專案開源接受社群貢獻，將繼續提高可讀性，並縮小容量使終端用戶可以更容易使用。</p> <p>Stack Overflow在2019年秋天啟動這個專案，在之前一直是由Kiwix獨立更新離線版本的Stack Overflow，並且也已經將Stack Overflow發送給許多用戶，但是從2018年開始，Kiwix沒辦法再更新Stack Overflow離線版本，所以官方在過去兩年開始提供財務和技術支援，重新使Kiwix能夠繼續這些工作，並且提高教育資源在他們平臺的可用性。</p> <p>Kiwix建立了一支稱為Sotoki（Stack Overflow to Kiwix）的爬蟲程式，可以從180個Stack Exchange網站的更新。這個專案在新冠肺炎疫情期間一度中止，但現在已經有階段性成果可以發表，且希望往後能以開源專案的形式繼續發展。</p> <p>即便現在的網路如此普遍且發達，但仍有許多環境無法自由的存取網路，Overflow Offline計畫的合作組織之一Unlocked Labs便是其中一個例子，Unlocked Labs支援了美國密蘇里州監獄的程式開發教育，使無法自由上網的受刑人，在監獄中可以獲得更多教育機會。</p> <p>在科學界也有離線Stack Overflow的需求，像是遠在南極的研究站，研究人員透過觀測微中子來研究宇宙，他們需要編寫大量的Python程式碼，在需要對叢集進行重大變更的時候，常會遭遇問題，便需要Stack Overflow尋求解決辦法。</p> <p>Overflow Offline還有一個用例是在網路資源不足的地區，協助學生完成回家作業，像是喀麥隆共和國網路覆蓋率只有34％，幾乎沒有大學能夠負擔為學生提供免費Wi-Fi的費用，學生平常只能使用自己昂貴的行動網路上網，Overflow Offline能夠離線存放在教育資源儲存裝置EduAirBox中，供學生下載使用。</p> </div></div></div>
2022/10/21 16:28作者李建興https://www.ithome.com.tw/news/153760
Meta Pixel肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國擁有26家醫院的非營利醫療照護系統<a href="https://www.advocateaurorahealth.org/pixel-notification/" target="_blank">Advocate Aurora Health在本周坦承</a>，該系統因為使用了Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知300萬名所有病患。</p> <p>Advocate Aurora Health說明，該系統會在特定網站或應用中嵌入Meta Pixel或來自Google的追蹤程式，以記錄網站與使用者的互動，藉以評估病患的偏好與趨勢，並用來改善服務。</p> <p>然而，Advocate Aurora Health卻發現安裝在MyChart、LiveWell及其它預約工具中的追蹤程式，會將特定的病患資訊回傳給這些追蹤程式的製造商。</p> <p>所回傳的資料多寡或型態則根據使用者的瀏覽器品牌、瀏覽器配置、有否具備Facebook與Google帳號、是否登入而有所不同，可能牽涉到使用者的IP位址、使用時間、預約位置、與他人透過MyChart的通訊、名字、醫療編號或有否保險等。但可能外洩的資料並未包含社會安全碼或金融資訊。</p> <p>事實上，這應該只是Meta Pixel所引起的外洩風波之一。非營利的媒體組織<a href="https://www.ithome.com.tw/news/151490" target="_blank">《The Markup》</a>曾於今年6月踢爆，美國前一百大醫院中，有33家醫院的網站安裝了Meta Pixel，而且會把使用者的資訊回傳給Meta。</p> <p>上周，美國另一醫療照護系統<a href="https://www.wakemed.org/about-us/news-and-media/wakemed-news-releases/wakemed-notifies-patients-of-potential-data-privacy-incident" target="_blank">WakeMed Health and Hospitals</a>也點名Meta Pixel使得它們外洩了病患資料。</p> <p>從Advocate Aurora Health的說法來看，涉及外洩資料的並不只是Meta Pixel，也包括其它品牌的追蹤程式，但至少並未發現有任何病患資料因此而遭到濫用。此外，遭到波及的醫療系統或醫院皆已自系統上移除這些追蹤程式。</p> </div></div></div>
2022/10/21 16:34作者陳曉莉https://www.ithome.com.tw/news/153763
微軟開放高階著色器語言HLSL計畫程序，期望社群貢獻語言功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/opening-hlsl-planning/">微軟宣布</a>要透過引進新的公共語言功能計畫程序，來擴展高階著色器語言HLSL社群，新程序託管在GitHub上，希望借助社群的力量發展新的語言功能。這是開發團隊參考Rust和Swift開放語言設計流程，而做出的決定。</p> <p>在2017年初，DirectX著色器編譯器（DirectX Shader Compiler，DXC）在GitHub上開源，而DXC是以Clang的LLVM 3.7作為基礎，其支援強大的開發和語言工具，使HLSL能夠包含許多重要的功能，包括C++模板和運算子重載。</p> <p>在今年的時候，HLSL編譯器團隊宣布替Clang提供HLSL支援，這項決定將推進開源軟體開發，並且強化HLSL工具和語言的發展，而現在微軟又進一步開放HLSL計畫程序，期望透過社群的力量來改進HLSL，相當於釋出一小部分HLSL發展的決策權。</p> <p>但是微軟在這部分有一些但書，官方強調，並非所有HLSL功能都可以經過這個程序決定，添加到HLSL的部分功能，由微軟內部團隊根據與硬體供應商協調的保密協議進行，這些功能就不會公開在GitHub上。</p> <p>另外，微軟在這個程序引入了一個目標聲明，使社群能專注於語言發展，這項目標聲明可能因每個版本改變，以符合產業不斷變化的需求。開發者有兩種方式可以參與貢獻，其一是針對儲存庫提交GitHub問題，而對於想要在設計語言功能扮演更積極角色的開發者，可以使用模板編寫提案並提交拉取請求。</p> <p>新程序的提案會提交到新的HLSL-Specs儲存庫，新合併的提案會從「值得考慮」狀態開始，微軟提到，這些提案必須對用戶有用，且和即將推出的HLSL版本目標一致。值得考慮的提案經批准後會合併到儲存庫中，進行更廣泛的協作，當功能描述完成後，提案還會廣泛徵求貢獻者和微軟合作夥伴的回饋。</p> <p>被接受的提案不一定會在特定的版本發布，微軟會視情況推延並且重新評估，當功能與HLSL語言發展目標不一致，且未來不太可能改變時，微軟便會拒絕提案，並且針對提案提供詳細的拒絕說明，以便相同提案在未來重新被提出，有更多資料可供參考。</p> </div></div></div>
2022/10/21 16:37作者李建興https://www.ithome.com.tw/news/153761
Cloud CDN供用戶自定義快取鍵以增進CDN效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/cloud-cdn-launches-dynamic-compression-and-custom-cache-keys">Google更新Cloud CDN工具與功能</a>，使用戶能進一步微調網頁服務效能。Cloud CDN現在開始預覽動態壓縮功能，CDN服務將會自動減少從邊緣傳輸到客戶端的回應大小，即便來源伺服器沒有壓縮，Cloud CDN也會主動壓縮這些資源，官方提到，在流行的CSS和Javascript檔案上，動態壓縮可以將回應大小縮小60％到80％。</p> <p>無論是對網頁服務或是終端用戶，都可以從動態壓縮功能獲益，透過縮減CSS和Javascript資源內容大小，可以減少第一次內容繪製和頁面載入時間，而且當網頁具有大量可壓縮的內容，透過動態壓縮功能，還可節省快取流量出口成本。</p> <p>Cloud CDN目前可以對HTML、CSS、Javascript、JSON、HLS播放列表，以及DASH清單等網頁資源，執行gzip和Brotli壓縮。</p> <p>Cloud CDN還讓用戶可以自定義快取鍵，以提高CDN效能。Google解釋，當請求到達CDN邊緣時，請求會映射至快取鍵，並且與快取中的項目進行比較，在預設情況下，CDN使用URI的協定、主機、路徑和查詢字串來定義快取鍵。</p> <p>而自定義快取鍵新功能可以讓用戶更好地控制快取行為，以提高快取命中率和來源分流，Cloud CDN支援命名標頭和Cookie作為快取鍵，官方提到，當用戶的網頁服務實作A/B或金絲雀測試，命名Cookie將可派上用場。</p> <p>另外Cloud CDN針對Cloud Storage的URI參數允許清單，讓用戶可以實現快取破壞（Cache Busting），官方解釋，這是一種快取政策，即便舊版本快取仍處於活躍狀態，終端用戶也能夠存取到快取資源中最新的版本，透過將版本查詢參數加入到允許列表中，用戶就不需要明確配置使舊快取失效。</p> </div></div></div>
2022/10/21 16:40作者李建興https://www.ithome.com.tw/news/153762
微軟Azure測試中小企業DDoS防護服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/enterprisegrade-ddos-protection-for-smbs-now-available-in-preview/" target="_blank">微軟本周宣布將測試</a>為中小企業設計的雲端DDoS攻擊防護方案Azure DDoS IP保護（DDoS IP Protection）。</p> <p>微軟指出，不只是大型企業會遭到DDoS攻擊，中小企業也是網路歹徒的目標，然而不同於大型企業，中小企業往往欠缺對抗DDoS攻擊的預算及人員。</p> <p>微軟在上周Ignite大會上首度宣布將原本適用於大型企業的Azure DDoS IP保護，另設計出適合中小企業的SKU。未來針對大型企業的DDoS防護方案，將由Azure DDoS Protection Standard改名為Azure DDoS網路保護（Azure DDoS Network Protection），Azure DDoS IP保護則專指中小企業用的版本。</p> <p>現在這項方案以預覽版上線。微軟宣稱中小企業版DDoS IP保護以可負擔的價位提供企業DDoS防護。</p> <p>Azure DDoS IP保護SMB版提供和大型企業版同樣的核心功能，包括L3/L4層自動攻擊偵測和緩解、幾近即時的記錄量測及警示、緩解流程紀錄、可為企業應用適應性調校（adaptive tuning）的緩解規則。它還可和微軟其他安全服務，如Azure Firewall Manager、統一管理介面Sentinel及Defender for Cloud緊密整合。</p> <p class="rtecenter"><a href="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" target="_blank"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟說，Azure DDoS IP保護可為個別公開IP位址提供DDoS防護，因此對只有幾個公開IP位址的中小企業來說相當適用。之前大型企業版僅提供100個公用IP資源為單位的定價，每100個IP每月2,944臺幣，超出者每月每個IP 29.5臺幣。</p> <p>這項方案目前僅在美、歐、南非、中東及澳、日、韓上線。<a href="https://azure.microsoft.com/pricing/details/ddos-protection" target="_blank">價格方面</a>，DDoS IP保護以要保護的公用IP位址計價。臺灣地區的單一公用IP授權價要到11月1日才會公布。</p> <p>微軟現在開放企業試用，預計2023年2月1日才開始收費。目前僅透<a href="http://preview.portal.azure.com" target="_blank">過Azure預覽入口網站</a>登入試用，很快會開放從Azure Portal登入。</p> </div></div></div>
2022/10/21 14:35作者林妍溱https://www.ithome.com.tw/news/153758
Windows Subsystem for Android將支援Android 13
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/10/20/update-to-windows-subsystem-for-android-on-windows-11-october-2022/" target="_blank">微軟本周針對Dev與Beta頻道更新</a>了Windows 11上的 Windows Subsystem for Android（WSA），並悄悄地<a href="https://github.com/microsoft/WSA" target="_blank">於GitHub上公布WSA的未來發展藍圖</a>，透露出它將支援Android 13，也會有傳檔、捷徑、子母畫面，以及預設的本地網路存取功能。</p> <p class="rtecenter"><a href="http://github.com/microsoft/WSA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1021-Windows%20Subsystem%20for%20Android%20Developers-Future%20Roadmap%20on%20GitHub.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>WSA將允許使用者於Windows裝置上執行Android程式，現在主要與Amazon合作，<a href="https://apps.microsoft.com/store/detail/windows-subsystem-for-android%E2%84%A2-with-amazon-appstore/9P3395VX91NR?hl=en-us&gl=us" target="_blank">Windows 11用戶可透過Microsoft Store</a>安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA。微軟已於全球31個國家支援Amazon Appstore的下載及安裝，提供逾2萬種的Android程式。</p> <p>現在的WSA所支援的Android版本為Android 12.1（Android 12L），本周的更新改善了剪貼簿的穩定性、圖像串流的安全性、多執行緒效能，以及升級至Chromium WebView 105與執行Linux核心的安全更新等。</p> <p>而在未來的WSA藍圖中，除了將支援Android 13之外，新增的傳檔功能可望讓使用者於Android容器與Windows之間互傳檔案。</p> <p>迄今微軟並未透露究竟有多少Windows用戶下載並安裝了Amazon Appstore與WSA。</p> </div></div></div>
2022/10/21 14:50作者陳曉莉https://www.ithome.com.tw/news/153759
Google擅自蒐集人臉及語音辨識資料，遭德州控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.texasattorneygeneral.gov/sites/default/files/images/press/The%20State%20Of%20Texas's%20Petition%20(Google%20Biometrics).pdf" target="_blank">德州檢察長Ken Paxton本周控告Google侵犯當地的隱私法令</a>，在未取得德州民眾的同意下，就透過 Google Photos、Google Assistant與Nest Hub Max等服務或裝置，蒐集數百萬民眾的人臉及語音辨識資料。</p> <p>Paxton於訴狀中指出，至少自2015年起，Google便擅自蒐集德州民眾的資料，許多德州民眾並沒有意識到提供自己的獨特個人特徵，會對Google的營收帶來貢獻，不僅如此，這些個人生物特徵的擴散亦具危險性，因為它們是獨特的，倘若遭竊並不能簡單地刪除或替換。</p> <p>至於Paxton認為Google違反當地隱私法令的具體行為之一，<a href="https://support.google.com/photos/answer/11965565?hl=en" target="_blank">為Google Photos中所提供的人臉分組（Face Grouping）功能</a>，系統會偵測相簿中的人臉，之後建立人臉模型，再把同樣或類似的人臉聚集在一起，亦即可根據人臉特徵進行自動化分類。</p> <p>另一個例子則是已被應用在汽車、手機、平板電腦或智慧家庭裝置的語音助理Google Assistant。Paxton指出，當使用者啟用Google Assistant時，Google會紀錄所聽到的聲音，並加以分析，以建立用戶的聲音檔案，也會用來優化Google Assistant的反應，且Google透過聲音就能識別說話的對象。</p> <p>或許Google會在提供聲音辨識服務之前詢問使用者，但訴狀指出，Google所紀錄的不只是Google Assistant用戶的聲音，舉凡是偶然經過或出現聲音的朋友、孩子、客人或父母的聲音都會被紀錄。</p> <p>德州認為Google為了自己的商業利益而濫用當地使用者的個人資訊，是故意違反該州的《取得或使用生物識別法令》（Capture or Use of Biometric Identifier Act）。</p> </div></div></div>
2022/10/21 12:10作者陳曉莉https://www.ithome.com.tw/news/153756
資助烏克蘭太燒錢？SpaceX開設捐贈Starlink選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克旗下SpaceX將開設捐贈方案，計畫以此推動公益用途的Starlink服務部署。</p> <p>上周提供非洲轉帳服務App的Chipper.com在推特宣傳，近日捐款幫助烏干達學校或醫院架設Starlink，引發馬斯克（Elon Musk）回應問道，有沒有其他人願意捐贈，以便將Starlink部署於有需要的地方。<a href="https://twitter.com/elonmusk/status/1581903277347999744" target="_blank">他隨後推文宣布</a>，SpaceX決定為Starlink增加捐贈選項。</p> <p>不確定這項宣布是否和資助烏克蘭衛星連網服務有關。今年3月俄烏戰事爆發之際，<a href="https://www.ithome.com.tw/news/149581" target="_blank">SpaceX宣布</a>免費提供Starlink作為受戰事影響地區人員的對外通訊管道。但上周<a href="https://edition.cnn.com/2022/10/13/politics/elon-musk-spacex-starlink-ukraine/index.html" target="_blank">CNN報導</a>，SpaceX政府業務主管9月間致函美國國防部，希望對方能提供每月數千萬的財務支持，否則SpaceX對烏克蘭的免費Starlink僅提供到今年底，理由是該公司從今年3月到年底已投入1.2億美元，未來12個月更將達到4億美元。</p> <p><a href="https://twitter.com/elonmusk/status/1578433482757271552" target="_blank">馬斯克對此也說明</a>，為了提供烏克蘭免費服務，SpaceX迄今已投入8千萬美元，年底可能超過1億美元。不過消息見報後，<a href="https://twitter.com/elonmusk/status/1581345747777179651" target="_blank">馬斯克上周又改口說</a>雖然SpaceX仍然處於虧損狀態，但該公司還是會繼續提供服務。</p> <p>在公布Starlink捐贈選項同時，馬斯克仍然表明烏克蘭地區的開銷很大，<a href="https://twitter.com/elonmusk/status/1582098412501364736" target="_blank">他說</a>，目前送往烏克蘭的地面基地臺已經達25,300個，但其中僅10,630個是有付費的。</p> <p>另一方面，媒體報導，<a href="https://www.theguardian.com/world/2022/oct/17/pentagon-starlink-ukraine-musk-funding" target="_blank">美國國防部</a>已經考慮要撥款。<a href="https://www.ft.com/content/73a4b1b8-b266-40f2-af66-ea9f69a40a7e" target="_blank">此外《金融時報》報導</a>，歐盟也考慮出資。<a href="https://twitter.com/elonmusk/status/1582097354576265217" target="_blank">但根據馬斯克的說法</a>，SpaceX已經撤回對國防部的資金申請。</p> </div></div></div>
2022/10/21 12:26作者林妍溱https://www.ithome.com.tw/news/153757
搶進聽覺輔助器市場的破壞者們
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-ce_lue_zhuan_zhe_dian_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若干年前，葛洛夫（Andy Grove）在他的經典之作《10倍速時代》中，介紹策略轉折點（strategic inflection point）的概念，指出「策略轉折點是指一個企業的基本構成要素即將發生變化的時候。」許多人的確是以這樣的方式體驗到轉折點──就在此刻一切出現不可逆的變化。</p> <p>然而，探究策略轉折點真正的本質後，就會看見不同的故事。情況類似於海明威的《太陽依舊升起》（The Sun AlsoRises）中，小說人物邁克回答自己是如何破產的。「先是漸漸的，」邁克描述，「接著突然發生。」轉折點指的是商業環境發生變化，大幅改變你的活動中的某個元素，造成原本理所當然的假設，開始搖搖欲墜。</p> <p>想像一下，有一個部門僅服務五分之一的潛在顧客。現在再想像，有一個重大改變將造成競爭者不必冒多少險，就能以利潤極高的方式，滿足剩下的需求。想像一下，那個部門的年營收大約是80億美元，而過了轉折點後，營收將是5倍。換句話說，轉折點發威時，競爭者要是夠聰明、富有遠見，身處正確的位置，就能搶占400億左右的營收。</p> <p><span style="font-size:28px;"><strong>聽力障礙的潛在市場</strong></span></p> <p>剛才描述的是真實存在的部門，也就是製造、開醫囑與驗配助聽器的事業。如果以協助有需要的民眾取得助聽器的標準來看，這個部門表現得相當不理想。研究人員指出，55歲至74歲能受益於助聽器的成人，80%沒有助聽器。就算有，許多人根本不戴。</p> <p>這一塊的健康照護市場生態有多不便。首先，助聽器價格不菲。然而，錢不是唯一的問題。美國的傳統助聽器事業由「食品藥物管理局」（FDA）管理，而現任者又牢牢把控著技術。聽力師、遊說聯盟，以及屈指可數的幾家製造助聽器的公司，嚴重限制了聽力患者擁有的選項。現有的助聽器公司堅稱，對所有的患者來講，「黃金標準」才是最好的。如同某位觀察家所言，意思就是說你一定得過五關斬六將，接受一連串的診斷評估後，才能購買助聽器，包括耳鏡與骨導測試、噪音辨識語音測試、真耳測試／語音地圖（real-ear measurement/speech mapping）、聽力復健，以及實地選配助聽器。許多人就算有辦法走完這套流程，他們也感到有夠麻煩。</p> <p>最後還有社會汙名的問題。民眾不喜歡戴助聽器的原因是擔心「顯老」。儘管證據強烈顯示他們需要聽力協助，要承認這種事很難。傳統型的助聽器通常外型醜陋突兀，有的甚至很吵，反正跟酷沾不上邊就對了。</p> <p>戴不戴助聽器不是小事。約翰霍普金斯醫院（JohnsHopkins）的佛朗克•林（Frank Lin）所做的研究發現，聽力喪失涉及發展中的失智症、社交隔離的風險上升，甚至與跌倒風險增加有關。未矯正的聽力喪失會讓最終的治療更難成功。此外，試圖聽清別人在說什麼，還會增加大腦的認知負荷，這顯然是牽一髮而動全身的社會與健康問題。</p> <p><span style="font-size:28px;"><strong>蓄勢待發的轉折點</strong></span></p> <p>助聽器事業的商業模式問題重重，然而自FDA在1977年將助聽器列為醫療器材後，那個模式就幾乎不曾變過。助聽器先前通常被視為消費品，而部分品味不佳又誤導民眾的廣告和名人推薦，又強化了助聽器的市場定位。同一時間，通常將耳內式助聽器（需要放進個人的耳朵）交給聽力師銷售的做法，開始成為常態。由於市面上出現誤導人的宣稱，再加上一些不太理想的做法，利益團體開始提出警訊，促使FDA將助聽器列為醫療器材，必須遵守高度嚴格的製造與驗配規範。</p> <p>高度受到管制（與高利潤）的助聽器事業目前的轉折點，源自2003年的兩份FDA公民請願書。FDA的公民請願書，本意是為了方便個人與社群組織請求改變健康照護政策的流程。請願書本身並未立刻影響到助聽器的管理方式，但象徵著民意發生變化，推動相關器材走向「老花眼鏡」目前的做法，也就是隸屬於非處方藥項目，不需要處方箋便能販售的矯正鏡片。</p> <p>不過，市場既存者不會坐以待斃。美國聽力學會（American Academy of Audiology）等團體建議，凡是能放大聲音的裝置都該納入FDA規範。按照字面的意思，那麼就連耳塞式耳機與頭戴式耳機，所有的東西都得納入管制。</p> <p>儘管有著學會這方的勢力，消費者承受的成本與態度強硬的既存者，引發立志改革體系的特殊結盟。學會煞費苦心保留的監管架構，在2017年首度開始動搖。在典型的克里斯汀生風格的破壞中，新型技術證實已經「夠好」，正在觸及能受惠於聽力改善的客層。這就是克里斯汀生經常談的「與不使用競爭」（competing with non-use）。</p> <p><span style="font-size:28px;"><strong>破壞者搶進聽覺輔助產品版圖</strong></span></p> <p>雖然不是在販售助聽器──天啊，絕無此事──市場上不乏廠商提供業界所謂的「個人聲音放大器」（personalsound amplification product，PSAP）。這類產品不受FDA管制，只要想買就能買。更讓傳統的助聽器廠商擔憂的是，許多PSAP聽力輔助應用，效果其實不差，甚至更勝一籌。</p> <p>舉例來說，經典的擴音器與抗噪耳機製造商Bose，目前製造一款叫「Hearphone」的產品，售價在500美元左右。雖然這項產品的廣告，聽起來非常像是瞄準聽力受損的民眾（「我們希望協助您聽清對話中的每一個字」），Bose一度強調那些裝置「絕不是助聽器」，以避開FDA的監管。然而，Bose在2018年取得製造無需處方的自驗配助聽器許可，其他龍頭廠商也紛紛湧進市場，包括三星的Gear IconX耳機與蘋果的AirPods等等。那樣的無線耳機能讓你聽音樂、替運動計時，還恰巧可以連至手機或其他裝置上的聽覺功能app。此外，數十家新公司也帶著協助工具，進入輔助產品市場，例如：Fennex、Petralex與Here One。在新創公司方面，Eargo這項產品的靈感來自飛蠅釣，打造出真正的助聽器，你可以自行挑選，網路上即可購買，價格與人們較為熟悉的電子產品差不多。</p> <p><span style="font-size:28px;"><strong>從80億到400億美元的市場</strong></span></p> <p>不過講真的，為了一個向來乏人問津的市場，需要那麼激動，花費那麼大的力氣嗎？</p> <p>嗯⋯⋯專家預測，即便是在目前必須接受監管的制度下，聽覺輔助產品事業在2019年可達80億美元。有的人說到了2023年會超過90億，而這正是策略轉折點值得留意的地方。從前很麻煩又昂貴的物品，如果變得方便又便宜，結果通常是需求暴增。從統計數字推論一下便可得知，聽力需要協助的人士，今日僅五分之一擁有助聽器，那麼等過了轉折點，人人皆可取得能自行調整、外觀又低調的聽覺輔助產品後，市場一下子可能是5倍大，或達400億。</p> <p>此外，如同智慧型手機改變民眾的手機使用方式，聽覺輔助產品的用例可能產生相當巨大的改變。</p> <p>正如今日每個人可能不只擁有一副眼鏡，民眾有可能不只購買一副助聽耳機。或許星期五晚上出門用餐戴的助聽耳機，外型與功能不同於星期日下午參加運動比賽的助聽耳機，甚至在家看電視也戴不一樣的。某樣東西一旦價格夠便宜，將有無限的可能性。<strong><span style="color:#696969;">（本文摘錄整理自《策略轉折點競爭優勢》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 299px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span> </span></strong><span style="color: rgb(51, 153, 255);"><strong>策略轉折點競爭優勢</strong></span></p> <p>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）／著</p> <p>許恬寧／譯</p> <p>天下雜誌出版</p> <p>定價：450元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.jpg" style="width: 200px;" /></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）</strong></p> <p>麥奎斯是全球知名強調企業進取創業精神的策略、創新與成長專家。她長期任教於哥倫比亞大學商學院，持續名列Thinkers50前十大管理思想家，同時是耶魯執行長高峰會（Yale CEO Summit）、Innosight執行長高峰會（Innosight CEO Summit）、達沃斯世界經濟論壇（World Economic Forum）等企業活動爭相聘請的講者。</p> </div></div></div>
2022/10/21 12:50未署名https://www.ithome.com.tw/article/153751
提升隱形防護力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資安防護的作法，過去我們多次談到能見度（Visibility）的重要性，強調知己知彼的意義，不僅要掌握外部威脅態勢，也要有自知之明，須了解與管理自身的弱點與攻擊面（Attack Surface），這是「明（Visible）」的策略，但其實我們也能應用「暗（Invisible）」的策略，這裡所指的並不是主動攻擊駭客與惡意軟體組織、以攻為守，而是善用「內隱」的作法推動資安。</p> <p>這樣的觀念相當有意思，我們是最近從Google Cloud聽到的。在他們年度用戶大會Next臺灣媒體聚會上，臺灣技術副總林書平介紹今年新推出的資安解決方案之際，特別提到他們的隱形安全防護（Invisible Security）原則，包含技術、營運、人才、風險等四大面向，蘊含該公司對於資安的理念與展望，並以此突顯與其他業者的差異。</p> <p>在技術層面上，他們強調資安應該要從附加（Bolt-on）轉為預設啟用，讓資安能夠嵌入、深入產品與服務當中，實現工程等級的改良，這部分可呼應許多資安界領袖所提倡的「始於安全設計（Security by Design）」；在營運方面上，資安應該要從手動轉為自動，將原本分散各處、片段化進行個別人工的處理，提升為自動化作業，甚至能夠實現自治（Autonomic）；在人才方面，資安應該從專門走向普及，降低進入門檻與使用困難性，讓更多人都能參與、投入；在風險方面，資安應該從責任的共享走向風險的共享，的確，在資安的領域，大家不應該只是在找出誰該為何事負責，而是充分體認彼此是命運共同體，強化合作。</p> <p>面對前三個層面，整個資安界都有共識，堪稱是主流價值，至於風險的共享，其實也不難想像，但這無疑是超越了現行雲端服務業者長期對客戶傳達的資安觀念。事實上，雲端廠商過往總是強調雙方須共同承擔雲端安全的「責任」，這種說詞相當刺耳，然而，若是以共同承擔「風險」來溝通彼此須緊密合作的必要性，相信會贏得更多客戶的支持。</p> <p>關於這樣的資安願景，Google Cloud最早應該是在去年7月舉辦的資安高峰會提出，在這一年多來，他們也陸續併購了Siemplify、Mandiant等知名的資安公司，推出多種解決方案，例如，網路入侵偵測系統Cloud IDS、資安維運服務Chronicle、開源軟體資安服務Assured Open Source Software、機密協同運作服務Confidential Space、軟體供應鏈安全服務Software Delivery Shield，同時，也持續更新零信任資安服務BeyondCorp Enterprise，以及防自動化詐欺服務reCAPTCHA Enterprise。</p> <p>關於隱形防護的思考，我們除了可借鏡Google Cloud提出的這個觀念，透過改變功能設計、操作方式、人力資源，以及合作模式，過往在網路安全防護的應用上，我們也看到廠商陸續實作出一些技術，也能呼應所謂的隱形防護。</p> <p>舉例來說，在企業級端點防護系統的市場，隨著網路威脅的日益猖獗，許多防毒軟體廠商開始將個人防火牆、主機型入侵防禦系統（HIPS），內建在他們的產品當中，有些會提供所謂的匿蹤模式（Stealth Mode），避免被惡意軟體發動的網路掃描找到，而使得個人電腦的IP位址與開放的通訊埠曝光。</p> <p>另外，為了以系統化的方法來因應猖獗多年的進階持續性攻擊（APT），在資安領域當中，除了大家所熟知的沙箱檢測防護（Sandboxing）之外，也陸續出現蜜罐（Honeypot），以及欺敵（Deception）等誘捕系統，透過設下誘餌，及早捕捉駭客活動的蹤跡，廣義而言，這些也可說是一種隱形防護的策略。</p> <p>綜合這些看法，企業思考資安防護對策時，無論是儲備外顯的防禦與應變機制，或是累積各種內隱的深層強化與厚植實力，這些都是必須一起考量的，才能充分因應各種挑戰。雖然攻擊來臨時，總是處於敵暗我明的狀態，讓人擔憂自己處於相對失利的位置，不過，若策略運用得宜，我們仍可讓攻擊方白費工夫，徒勞無功，進而知難而退。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E8%83%BD%E8%A6%8B%E5%BA%A6">資安能見度</a></div><div class="field-item even"><a href="/tags/%E9%9A%B1%E5%BD%A2%E5%AE%89%E5%85%A8%E9%98%B2%E8%AD%B7">隱形安全防護</a></div><div class="field-item odd"><a href="/tags/invisible-security">Invisible Security</a></div><div class="field-item even"><a href="/tags/google-cloud">Google Cloud</a></div></div></div>
2022/10/21 11:13作者李宗翰https://www.ithome.com.tw/voice/153745
巴西警方逮捕一名駭客組織Lapsus$成員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.br/pf/pt-br/assuntos/noticias/2022/10/pf-prende-brasileiro-suspeito-de-integrar-organizacao-criminosa-internacional" target="_blank">巴西聯邦警察本周宣布</a>，年初駭入Nvidia、三星等知名公司的駭客組織Lapsus$一名成員，上周遭到警方逮捕。</p> <p>巴西警方是在8月間啟動一項名為黑雲行動（Operation Dark Cloud）的計畫，以調查並緝拿2021年間駭入多個巴西政府單位的駭客組織Lapsus$成員。2021年底Lapsus$因駭入巴西衛生部而成名，該群駭客不但外洩數十萬筆資訊，也駭入該國疫苗接種證明網站。之後還接連入侵巴西經濟部、聯邦高速公路警局、及審計長辦公室等十多個政府組織、以及巴西郵電總局。此外當地及南美多家知名企業也遭Lapsus$毒手。</p> <p>不過Lapsus$真正為人所知的是<a href="https://www.ithome.com.tw/news/150067" target="_blank">今年3月間入侵Nvidia、三星、微軟、Ubisoft等全球大企業</a>。和一般駭客不同，這群駭客會在作案後透過Telegram頻道公布受害公司的系統擷圖，還會事先公布欲駭入的對象名單，<a href="https://www.ithome.com.tw/news/149841" target="_blank">並以重金利誘這些公司的員工作為其內應</a>。</p> <p>安全研究人員追查發現Lapsus$是一群青少年，可能分處於英國及巴西，並研判Lapsus$首腦是一名住在牛津的16歲青少年等。<a href="https://www.ithome.com.tw/news/150099" target="_blank">英國警方於3月間逮捕7名疑似與Lapsus$有關的青少年</a>。</p> <p>巴西警方並未公布嫌犯的姓名、年紀或其他資訊。警方只說明，Lapsus$涉嫌入侵電腦、擾亂電信、電報及電話設備、以及腐化未成年人及洗錢等行為。</p> </div></div></div>
2022/10/21 11:58作者林妍溱https://www.ithome.com.tw/news/153754
馬斯克傳想裁掉近75%的推特員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.washingtonpost.com/technology/2022/10/20/musk-twitter-acquisition-staff-cuts/" target="_blank">《華盛頓郵報》報導</a>，正準備完成收購社交平臺推特（Twitter）的馬斯克，計畫裁減推特近75%的員工以刪減營運成本。</p> <p>媒體取得一份馬斯克近日對投資人簡報的相關文件，顯示馬斯克將採取激烈的手段，裁減推特7,500名人力的75%，以利收購進行。</p> <p>在推特董事會使出官司手段後，<a href="https://www.ithome.com.tw/news/153462" target="_blank">馬斯克本月初</a>宣布將以4月預定的每股54.2美元，總價440億美元收購推特。根據雙方協議，馬斯克必須在10月28日之前完成收購。</p> <p>馬斯克最早曾對投資人說明這家社交平臺的潛力規模超過目前價值，他計畫三年內將推特營收翻倍。而被迫買下推特後，馬斯克似乎有些許不甘。在本周的特斯拉財報會議上，<a href="https://www.theverge.com/2022/10/20/23414347/elon-musk-tesla-earnings-twitter-cybertruck-fsd-twitter" target="_blank">馬斯克談及推特時指出</a>，自己和投資人都覺得在推特收購上出價過高。</p> <p>但報導指出，就算公司持有人不是馬斯克，推特也計畫精簡人力。管理階層計畫年底前裁減25%的人力，以節省8億美元薪資成本。此外推特也打算縮減基礎架構，包括關閉一座提供每日2億用戶服務的資料中心。</p> <p>而這也說明了何以推特管理階層急於將公司賣給馬斯克，以免自己要當裁員的壞人。但是這麼大規模的裁員勢必影響推特現有平臺安全性及秩序。報導引述一名曾在推特負責垃圾郵件管理的前員工指出，如果員工數裁到馬斯克希望的規模，可能讓推特用戶面臨被駭風險，以及平臺將出現大量暴力、色情內容，而且可能經常斷線或出現錯誤。</p> <p>不過對馬斯克而言，公司獲利及營收才是重點。<a href="https://www.cnbc.com/2022/10/19/tesla-tsla-earnings-q3-2022-.html" target="_blank">馬斯克的特斯拉本周公布財報</a>，受景氣轉冷影響，雖然公司獲利33億美元較去年同期成長，但營收及出貨量未達市場預期。外界相信，大環境因素才是馬斯克在推特收購案上反悔的主因。</p> <p>消息人士指出，推特收購案協議順利進行中，沒有意外的話，本月底馬斯克就會成為推特的新老闆。</p> </div></div></div>
2022/10/21 10:28作者林妍溱https://www.ithome.com.tw/news/153743
YouTube Premium家庭方案漲價了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Flyinace2000/status/1583211803299188736" target="_blank">YouTube Premium用戶最近開始收到漲價通知</a>，顯示YouTube Premium家庭方案即將開始漲價，從每月17.99美元漲至22.99美元，漲幅為25%，此一價格調漲策略似乎未波及其它方案，也未遍及所有市場，而是從美國、加拿大、英國、阿根廷、土耳其及日本起漲。</p> <p>YouTube在2014年即開始推出付費服務，當時名為Music Key，並在2015年更名為YouTube Red，再於2018年改為YouTube Premium，此一付費訂閱服務提供無廣告的YouTube Music與YouTube影片播放服務，還有離線與背景播放功能，其學生方案的每月訂閱費用為6.99美元（臺灣是109元新臺幣），個人方案為11.99美元（179元新臺幣），可供6人使用的家庭方案則是17.99美元（269元新臺幣）。</p> <p>根據外電報導，有些使用者被要求自下個月就要支付更高的費率，有些已訂閱數年的忠實用戶，則一直到明年4月才適用於新費率。</p> <p><a href="https://blog.youtube/news-and-events/50-million/" target="_blank">YouTube曾於去年9月揭露</a>，其全球YouTube Music/Premium訂閱用戶已達5,000萬，之後即未再更新相關數據。</p> </div></div></div>
2022/10/21 11:06作者陳曉莉https://www.ithome.com.tw/news/153750
Android 13 Go版本來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年8月15日<a href="https://blog.google/products/android/android-13/" target="_blank">發布了Android 13正式版</a>，專供低階手機使用的<a href="https://blog.google/products/android/android-13-go-edition/" target="_blank">Android 13 Go版本則在本周問世</a>，同時Google也宣布全球已有2.5億人口使用Go版的Android手機。</p> <p>Android Go是瘦身版的Android作業系統，它的執行更輕盈也更省資料，以讓原始設備製造商（OEM）可打造更輕濟實惠的入門級裝置，造福更多的使用者，在Google首度於2017年推出Android 8的Go版時，手機的最低記憶體需求只有512MB，但隨著需求擴充與零件價格的下跌，如今支援Android 13 Go版的手機，已必須具備至少2GB的記憶體空間。</p> <p>但每年Google仍會持續優化Go版Android的資源使用，或是改善這些低階手機的能力，例如Android 12 Go版就具備更快的程式啟用、更長的電池續航力、更容易的程式分享，也提供更多的隱私控制。</p> <p>至於今年的Android 13 Go版則嵌入了Google Play System Updates，以讓Go裝置隨時接收各種重要的軟體更新，而不必等到裝置製造商釋出更新；也新增了Material You讓Go版用戶可客製化手機桌面；亦有諸如通知權限（Notification Permissions）與程式語言偏好（App Language Preferences）等Android 13的功能。採用Android 13 Go版的手機可望於明年上市。</p> </div></div></div>
2022/10/20 21:59作者陳曉莉https://www.ithome.com.tw/news/153736
Firefox讓用戶可預設啟用隱私視窗，並且加入新的瀏覽紀錄頁面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/privacy-online-just-got-easier-with-todays-firefox-release/">Firefox新版本</a>添加的隱私設定，進一步強化用戶的瀏覽安全，還增加了Firefox View新功能，提供用戶跨裝置瀏覽體驗，另外，新版本也提供新配色和背景，供用戶配置喜歡的瀏覽器外觀。</p> <p>Firefox添加了一個快捷按鈕，讓用戶在桌面新增隱私視窗捷徑，供用戶可以隨時快速地進入隱私視窗，官方還更新隱私視窗的標誌和外觀。現在隱私視窗會預設使用深色主題，以配色讓用戶更清楚，何時處於隱私視窗模式。</p> <p>Firefox View新功能則提供了一個全新的Firefox瀏覽紀錄頁面，在桌面裝置上，用戶可以看到25個最近關閉的頁籤，且在同步行動裝置後，Firefox View會呈現其他裝置最近瀏覽的3個頁籤，該功能可以進一步改善用戶的網頁瀏覽流程與體驗，快速獲得重要的資訊。</p> <p>官方也更新了PDF瀏覽器和文字辨識功能，用戶現在可以直接在PDF編輯器中進行編輯，以支援需要編輯PDF文件並列印後寄回的情境，而對於macOS 10.15和以上版本的用戶，將可以更方便地使用系統的文字辨識功能，更新後的Firefox可讓用戶瀏覽圖片並直接複製文字，不需要手動輸入，該功能還與內建的macOS螢幕閱讀器和VoiceOver相容。</p> </div></div></div>
2022/10/20 22:04作者李建興https://www.ithome.com.tw/news/153727