iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年11月4日，美國財政部傳出遭親俄駭客組織Killnet攻擊、勒索軟體Black Basta疑與駭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>親俄駭客組織接連鎖定歐洲數個國家發動DDoS攻擊，而到了上個月，他們似乎將目標瞄準美國。美國財政部的官員證實，該單位在10月初遭到Killnet攻擊，而同月份當地也有多個州政府與機場的網站，傳出遭到此組織攻擊的消息。</p> <p>使用RomCom木馬程式發動的攻擊再度出現，這次駭客假借提供數種應用程式的名義來進行散布，這些應用程式包含了知名的企業備份系統、網路效能監控工具，還有開源的密碼管理軟體。</p> <p>有資安業者在調查勒索軟體攻擊事故時，發現勒索軟體Black Basta與駭客組織FIN7之關的關聯，但FIN7的角色是參與攻擊行動或提供相關工具？目前仍不得而知。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.reuters.com/world/us-treasury-targeted-by-russian-hacker-group-last-month-official-2022-11-01/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國財政部傳出遭親俄駭客組織Killnet攻擊</span></strong></a></h3> <p>根據路透社的報導，一名官員證實，美國財政部在10月遭到親俄羅斯的駭客組織Killnet發動DDoS攻擊，目標是該單位關鍵基礎設施的節點，但此起事故為「層次相當低的DDoS攻擊行為」，並未得逞。</p> <p>Killnet鎖定美國發動DDoS攻擊10月已有數起──4日<a href="https://amp.cnn.com/cnn/2022/10/05/politics/russian-hackers-state-government-websites/index.html">科羅拉多、肯塔基、密西西比等州政府網站遭到DDoS攻擊</a>；10日，<a href="http://www.ithome.com.tw/news/153546">十多座美國機場網站因此癱瘓</a>；11日，<a href="https://breakingthenews.net/Article/Pro-Russian-hackers-claim-blocking-JPMorgan-infrastructure/58743423">美國最大銀行摩根大通遭到攻擊</a>，駭客聲稱封鎖該公司的整個基礎架構，但隨後摩根大通表示銀行的運作未受影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/romcom-rat-malware-campaign-impersonates-keepass-solarwinds-npm-veeam/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理器KeePass、SolarWinds網路效能監控工具、Veeam備份軟體成木馬程式RomCom冒用對象</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fake-keepass.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-keepass.png" style="width: 300px; float: right;" /></a>資安業者BlackBerry、賽門鐵克相繼發現RAT木馬程式RomCom的攻擊行動，駭客佯稱提供密碼管理器KeePass、SolarWinds網路效能監控工具（NPM）、Veeam備份軟體，以及文件應用軟體PDF Reader Pro的名義，來架設釣魚網站，而且，駭客還複製這些公司網站的程式碼，並採用與正牌網站相仿的網域名稱，讓人難以辨別。</p> <p>關於攻擊者的目標，BlackBerry指出，駭客在冒牌KeePass與PDF Reader Pro網站用了烏克蘭語，很有可能是衝著烏克蘭人而來。</p> <h3><a href="https://www.group-ib.com/resources/threat-research/opera1er.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">非洲企業遭駭客組織Opera1er入侵，盜走1,100萬美元</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/opera1er-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/opera1er-timeline.png" style="width: 300px; float: right;" /></a>資安業者Group-IB與Orange-CERT-CC聯手，調查駭客組織Opera1er（亦稱Desktop-Group、NXSMS）自2019年迄今的攻擊行動，這些駭客鎖定非洲的銀行、金融組織、電信業者發動35起攻擊，估計總共偷得1,100萬美元。</p> <p>駭客假借發票、郵件包裏的名義寄送釣魚郵件，來取得受害組織的初始存取權限，然後散布Agent Telsa、BitRAT、Remcos等木馬程式，這些駭客很可能會在受害組織的網路環境待上3個月至1年，有時候還會重覆攻擊同一家公司兩次。他們這麼做的目的，是在橫向感染後找出內部文件，以便了解受害組織的匯款程序，進而針對特定銀行帳號下手，將資金轉出。</p> <h3><a href="https://www.sentinelone.com/labs/black-basta-ransomware-attacks-deploy-custom-edr-evasion-tools-tied-to-fin7-threat-actor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta疑與駭客組織FIN7有關，駭客使用專屬工具以規避EDR偵測</span></strong></a></h3> <p>資安業者SentinelOne在勒索軟體Black Basta的攻擊行動裡，發現駭客特別部署特製的規避偵測工具WindefCheck.exe，導致EDR系統難以發現其攻擊行動，該工具偽造了Windows安全中心的介面而使得受害者難以分辨真假，且會在後臺停用防毒軟體與EDR代理程式。研究人員進一步調查後，根據駭客用來打包的工具SocksBot，以及其C2中繼站的IP位址，認為駭客組織FIN7的成員可能參與相關攻擊行動，或是提供工具。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-claims-attack-on-continental-automotive-giant/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國馬牌輪胎集團傳出遭到勒索軟體LcokBit攻擊，駭客以公布外洩資料為恐嚇手段，企圖逼付贖金</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Continental_data_leak_Lockbit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Continental_data_leak_Lockbit.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit於11月3日，聲稱對德國馬牌輪胎集團（Continental）發動攻擊，並要脅須於22小時內依指示支付贖金，否則就會公布竊得的資料。不過，駭客沒有表明攻擊馬牌的時間，亦並未公布部分竊得的資料供他人驗證。對此，該公司並未證實駭客的說法，僅表示<a href="https://www.continental.com/en/press/continental-informs/">他們曾在8月下旬曾發布新聞稿</a>，證實在8月初部分IT系統遭到入侵。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/alma-observatory-shuts-down-operations-due-to-a-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">智利大型天文臺ALMA遭到網路攻擊，被迫停止營運</span></strong></a></h3> <p>11月2日，智利大型天文臺Atacama Large Millimeter Array（ALMA）證實於10月29日遭到網路攻擊，導致天文觀測被迫停擺，網站亦無法運作，他們亦表示有鑑於本次攻擊事件的性質，無法預估恢復正常的時間。不過，ALMA表示，天文臺天線設備與相關資料觀測未出現異常存取狀況。</p> <h3><a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近30個PyPI套件被用於散布W4SP竊密軟體</span></strong></a></h3> <p>資安業者Phylum揭露29款惡意PyPI套件，開發者一旦安裝這些套件，電腦將會被植入竊密軟體W4SP，這些套件已被下載5,700次。但與過往類似的攻擊行動不同之處，在於駭客透過了「__import__」函式宣告，將惡意程式碼加入原本PyPI套件的基礎程式碼（Codebase），而使得這種被竄改的套件上架後，即具備完整的相關說明及網頁連結，讓開發者難以分辨真假。</p> <h3><a href="https://www.malwarebytes.com/blog/news/2022/11/malware-on-the-google-play-store-leads-to-harmful-phishing-sites"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意安卓App上架Google Play市集，已被下載逾百萬次</span></strong></a></h3> <p>資安業者Malwarebytes指出，名為Mobile Apps Group的開發者在Google Play市集上架4款含有惡意程式碼的App，總共被下載超過100萬次，他們調查其中名為Bluetooth Auto Connect的App，結果發現，這個App在安裝過程看起來都很正常，直到數天後露出真面目——因為此軟體會啟動Chrome瀏覽器、打開網釣網站，而且，這些網址呈現的內容，有些看得出是成人網站，有些則是聲稱受害者手機遭到攻擊，需要安裝額外軟體來因應。</p> <p>但值得留意的是，這些瀏覽器分頁即使被關閉，仍會在後臺繼續執行，不斷開啟釣魚網站。而這並非此開發者首度被發現上架有問題的App──2021年2月，防毒廠商Dr. Web就指出2.5版Bluetooth Auto Connect含有惡意程式，該名開發者隨即上傳沒有問題的3.0版，使得Google並未將此App下架，但自去年12月上架的版本再度植入惡意程式，到了現在才被發現。</p> <h3><a href="https://www.cna.com.tw/news/asoc/202211030336.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">年初虛擬實境業者愛實境營業秘密外洩案宣告偵破，確定是前技術長竊取關鍵技術，帶槍投靠光禾感知</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/istaging-20221103.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/istaging-20221103.jpg" style="width: 300px; float: right;" /></a>內政部刑事警察局於11月3日宣布，他們於6月接獲虛擬實境（VR）內容平臺業者愛實境（iStaging）報案，前技術長39歲張男疑似取得關鍵程式碼重製VR解決方案。經調查後發現，張男約於今年2月轉任另一家VR業者光禾感知擔任產品長，主責開發VR技術，但涉嫌竊走前公司的關鍵技術，且盜用其平臺的資料，藉此節省開發時間及成本。</p> <p>刑事局於今年9月底赴光禾感知搜索，取得侵權的程式碼，並約談張男及旗下兩名工程師，以及光禾感知負責人到案說明，訊後將4嫌依涉及電腦使用、著作權法、營業秘密法，移請臺北地檢署偵辦。</p> <p>愛實境表示，此起營業秘密外流事故，導致他們客戶被挖角、商譽受損，投資資金暫緩，估計損失新臺幣4.6億元。而這已非該公司前員工首度造成的資安事故，去年10月，<a href="https://www.ithome.com.tw/news/148849#istaging">前員工彭男向愛實境伺服器發動DDoS攻擊</a>，導致虛擬展間服務出現異常，營運成本損失逾400萬元。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://abnormalsecurity.com/blog/crimson-kingsnake-bec-group-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織Crimson Kingsnake假冒法律事務所發動BEC攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154001"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟針對開源軟體套件管理系統Vcpkg用戶提供OpenSSL修補指南</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154000">【2022年11月3日】國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊、數百個美國新聞網站遭到供應鏈攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153972">【2022年11月2日】 Dropbox證實130個GitHub儲存庫遭竊、Azure Cosmos資料庫被發現存在身分驗證漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153961">【2022年11月1日】資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出資料外洩</a></strong></strong></strong></p> </div></div></div>
2022/11/4 16:47作者周峻佑https://www.ithome.com.tw/news/154039
Cloud周報第158期：瑞士最大銀行UBS擴大上雲計畫，未來5年過半數應用將全上公雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（10/20～10/26）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UBS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公雲 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>瑞銀集團計畫未來5年逾半數應用全上公雲，藉此加速銀行及金融數位與服務創新</strong></span></strong></p> <p>瑞士跨國投資銀行巨頭瑞銀集團（UBS）近日提出未來5年加速上雲計畫，將把超過50%應用自本地和私有雲搬上公雲，希望透過大舉上公雲，來提高營運效率與加速服務創新。</p> <p>身為歐洲最大的金融控股集團，瑞銀早從2018年時就擬定集團上雲戰略，花了3年完成把三分之一的本地應用搬上微軟Azure，同時逐步減少自家資料中心數量，改將資料存於境內的公雲中，以配合法遵要求。</p> <p>瑞銀集團自2022年展開下一階段擴大上雲計畫，將用5年把應用上公雲比例擴大至50%以上，這些上雲應用包含了銀行及金融關鍵核心系統，藉此提高營運效率，也加速銀行和金融數位與服務創新。另一方面，藉由上雲希望幫助集團朝向淨零碳排的永續目標。</p> <p>瑞銀集團數位與資訊長Mike Dargan表示，上雲戰略徹底改變了這家公司的營運方式，透過IT技術現代化，將重構IT原有為顧客開發應用或服務的方式，加速集團創新。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Oracle </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端基礎設施平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Oracle推出雲端基礎設施平臺Alloy，讓合作夥伴能轉為公雲服務商提供自有品牌雲端服務</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(3).jpg" style="width: 600px; height: 313px;" /></p> <p>在年度Oracle CloudWorld 2022大會上，Oracle發布新的雲端基礎設施平臺Alloy，使合作夥伴現在也能變成公雲服務商，以自有品牌向他們自己的客戶提供基於OCI的雲端服務。</p> <p>根據Oracle的介紹，Alloy採用與OCI公雲相同的雲原生基礎架構，能提供超過100種的基礎架構和平臺服務。透過這個平臺，不論是服務供應商、整合商和ISV業者都可以在自己資料中心使用已經預先整合好的OCI硬體和軟體平臺，就近提供顧客雲端服務，來滿足特定產業或市場法規的要求。</p> <p>為了讓不同業者都能成為雲端服務商，Alloy平臺本身推出許多自訂和客製化服務，使這些加入OCI服務供應的業者，能使用自己品牌自訂OCI主控臺，也能客製化客戶通知、警示、SDK和文件，就連收費方案給予更大彈性，允許自訂服務價格及收費表，或是提供不同帳戶類型和折扣方案等，另外，通過內建Oracle Fusion Cloud ERP中的財務功能，也能提供開立發票和向客戶請款等功能。</p> <p>Oracle表示，該平臺具有軟體和硬體擴充性，能讓這些在地供應商根據特定產業需求打造自己的雲端服務，使用的開發者工具、UX、DevOps和安全工具都與開發OCI原生雲服務相同，並能加入其他運算硬體或大型主機，提供顧客服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 賓士 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>賓士將汽車生產統一數據平臺搬上公雲，提供全球30家生產工廠運用來優化提高生產效率</strong></span></strong></p> <p>近兩年，上雲態勢越來越明顯，不只是金融、醫療業，就連傳統相較封閉的車廠也開始上雲，像是德國汽車大廠賓士（Mercedes-Benz)近日介紹其最新打造的雲端統一數據平臺MO360 Data Platform，可提供全球30家生產工廠運用，藉此來提高生產效率、彈性和達成永續目標。</p> <p>這套汽車生產數據平臺前身為MO360，其用途在於蒐集從汽車零件、物流配送到組裝生產過程的所有數據，來建立實車的虛擬分身，藉此讓生產團隊在生產前就能先對流程進行模擬和優化，來提高生產效率，同時也達成工廠節能效益，進而實現永續的目標。</p> <p>MO360因為是基於雲端架構設計，並放在微軟Azure公雲上，再提供給全球工廠使用，賓士表示，該平臺也使用了許多Azure雲端服務，如結合Power BI工具呈現數據分析結果，資料儲存也搭配Azure Data Lake資料湖等來做大量資料管理和運用，更整合不少AI工具及應用。另外在軟體開發及維運方面，引進Azure DevOps 做法，幫助團隊變得更敏捷。</p> <p>目前這套平臺已可供歐洲、中東和非洲的團隊使用，之後也將在美國和中國上線。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> C3執行個體 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google Cloud發表CPU與IPU混用的C3執行個體，能提供高達4倍吞吐量與10倍IOPS</strong></span></strong></p> <p>在年度Cloud Next年度大會上，Google Cloud更新Compute Engine運算服務，推出新的C3運算執行個體，可供高效能運算和資料密集工作負載使用。新款C3 VM最大特色，就是同時搭載第4代Inel Xeon Scalable處理器，以及Intel IPU處理器。這個IPU是由Google和英特爾共同開發的ASIC基礎設施處理單元，現在也能支援C3虛擬機器執行，來負責像網路流量等輔助任務，而讓CPU專注於主要任務，來加快應用執行。</p> <p>由於C3採用了新的Hyperdisk區塊式儲存架構，也因此，與上一代C2相比，C3能提供多達4倍的吞吐量和10倍的IOPS。不過，目前僅推出私人預覽版。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PostgreSQL </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure雲端資料庫 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟雲端資料庫Azure Cosmos DB終於能完整支援關聯式資料庫PostgreSQL了</strong></span></strong></p> <p>微軟Azure在近日Ignite大會上推出適用於開源關聯式資料庫PostgreSQL的Cosmos DB雲端資料庫服務版本，這也讓Azure Cosmos DB現在已經可以同時支援NoSQL與關聯式工作負載。</p> <p>透過這套雲端資料庫服務，PostgreSQL開發人員可以在原先熟悉的資料庫管理系統上取得結構化與非結構化資料，加速建立雲端原生應用。微軟表示，使用該服務最大好處是，使企業可以跨可用區建立高可用性配置，也能更方便升級PostgreSQL到最新版版，來取得最新功能，而且能因應不斷增長資料量進行資料庫延擴。目前已有推出免費試用版本。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RHEL Workstation </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>紅帽RHEL工作站登上AWS市集！RHEL Workstation on AWS服務正式推出</strong></span></strong></p> <p>紅帽最近在亞馬遜AWS市集上架RHEL Workstation on AWS雲端服務。RHEL for Workstations原是專為工作站使用所設計的RHEL作業系統，能部署到裸機、虛擬化和雲端環境中，經常用於動畫、CAD輔助設計、科學研究與影像醫學等密集型任務使用，如今這套作業系統也能在AWS公雲上來安裝，並通過NICE DCV安全協議，來支援團隊遠端協作。</p> <p>AWS表示，RHEL用戶現在可從AWS Marketplace市集安裝使用RHEL for Workstations，因為是部署在雲端上，除了不需要考慮到硬體設置，用戶也能使用AWS EC2上各種GPU加速運算實例，來滿足像是3D畫面渲染、醫學成像、飛行模擬器等複雜運算需求。但目前僅限於RHEL for Workstations 8.6版本有支援。</p> <p> </p> <p><strong><strong>圖片來源／Oracle、UBS</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.混合雲需求仍強勁帶動業績成長，IBM第三季營收增長6％達141億美元</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.AWS提升Snowball edge裝置的運算能力，可達到100個vCPU，最多擴充到400GB記憶體</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.微軟雲端端點安全改叫Intune，Defender for Cloud新增開發安全功能</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.Dell發表適用於混合雲平臺Azure Stack的迷你超融合系統</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年10月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/11/4 17:23作者余至浩https://www.ithome.com.tw/news/154041
OpenAI的DALL-E API邁入公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/dall-e-api-now-available-in-public-beta/" target="_blank">OpenAI周四（11/3）釋出</a>了文字轉圖像DALL-E API的公開測試版，鼓勵開發者直接將DALL-E功能透過API嵌入程式或產品中。根據<a href="https://arstechnica.com/information-technology/2022/11/openai-debuts-dall-e-api-so-devs-can-integrate-its-ai-artwork-into-their-apps/" target="_blank">《Ars Technica</a>》的報導，該服務是以每張所生成圖片的解析度來計價，例如256x256每張只要0.016美元，512x512為0.018美元，1024x1024則是0.02美元。</p> <p>該服務奠基於OpenAI在今年4月發表的新版文字轉圖像模型DALL-E 2上，迄今已有超過300萬名使用者透過該模型來延伸自己的創意，每天產生400萬張圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1104-DALL%C2%B7E%202-600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>而DALL-E API則是讓開發者可將DALL-E嵌入自己的產品或程式中，只要透過自然語言描述，就能允許使用者建立及編輯各種天馬行空的圖像，OpenAI已於該模型中植入過濾機制，可用來過濾仇恨或血腥畫面，先行替開發者進行基本的內容管理。</p> <p>其實迄今已經有許多業者整合了DALL-E API，例如<a href="https://www.ithome.com.tw/news/153625" target="_blank">微軟</a>已將DALL-E整合到設計程式Designer中，也藉由Image Creator將DALL-E帶到Bing與Microsoft Edge；而號稱是全球第一個時尚作業系統的<a href="https://ca.la/" target="_blank">CALA</a>也應用了DALL-E API，讓設計師可透過文字描述來產生圖像式的設計理念；另一個例子是專門協助使用者打造照片牆的<a href="https://www.mixtiles.com/" target="_blank">Mixtiles</a>，利用DALL-E API來呈現使用者的童年記憶與夢想。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Designer-powered%20by%20-DALL%E2%88%99E%202%20by%20OpenAI-%E6%B8%AC%E8%A9%A6%E7%89%88-(4)-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> </div></div></div>
2022/11/4 16:03作者陳曉莉https://www.ithome.com.tw/news/154037
.NET Interactive Notebooks更名為Polyglot Notebooks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/dotnet-interactive-notebooks-is-now-polyglot-notebooks/">微軟將VS Code中的.NET Interactive Notebooks擴充套件，重新命名為Polyglot Notebooks</a>，微軟強調，他們更名的是擴充套件而非引擎本身，引擎仍稱為.NET Interactive。</p> <p>在2019年，微軟透過創建支援C#、F#、PowerShell等.NET語言的Jupyter核心，將.NET帶入Jupyter生態系，現在.NET Interactive已經是能夠支援多種語言的引擎，還包括JavaScript、SQL、KQL和Mermaid等，允許開發者在不同的任務，使用適合的語言進行實作，開發者可以在Polyglot Notebooks中連接並查詢SQL資料庫，將表格結果傳遞給JavaScript，並且創建資料視覺化。</p> <p>引擎本身仍稱為.NET Interactive，僅有擴充套件更名為Polyglot Notebooks，官方解釋，隨著.NET Interactive支援的語言數量增加，原本的名稱已經無法充分體現所有功能，Polyglot Notebooks則更符合以.NET Interactive為核心的Jupyter Notebooks，所提供的多語言功能。</p> <p>開發者可以將Polyglot Notebooks視作由.NET Interactive提供支援的產品，開發者不用擔心原本程式碼中所使用的.NET Interactive API，函式庫套件、命名空間和CLI的名稱都不會改變。原本使用者在VS Code安裝的.NET Interactive Notebooks擴充套件，現在擴充套件會更名為Polyglot，圖示也會跟著改變，但在VS Code創建筆記本時，在下拉選單中仍會看到使用.NET Interactive核心。</p> </div></div></div>
2022/11/4 16:23作者李建興https://www.ithome.com.tw/news/154038
已有超過190款產品申請Matter物聯網標準認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連結標準聯盟（Connectivity Standards Alliance，CSA）<a href="https://www.ithome.com.tw/news/153467" target="_blank">在10月初發布</a>了專為物聯網（IoT）裝置設計的Matter 1.0規格，<a href="https://www.prnewswire.com/news-releases/smart-home-innovation-set-to-accelerate-with-matter-301667485.html" target="_blank">並在滿月之際宣布</a>，已有超過190款產品取得或正在申請Matter認證，其中，<a href="https://developer.amazon.com/en-US/blogs/alexa/device-makers/2022/11/matter-works-with-alexa-introduction-november-2022.html" target="_blank">Amazon也表示</a>將讓30款Echo及eero裝置支援Matter，同時推出支援Matter裝置的Works with Alexa （WWA）認證服務。</p> <p>Matter標準建立於網路協定（IP）上，任務是推動不同智慧家庭裝置、行動程式及雲端服務之間的通訊，它讓所有基於該標準的裝置彼此安全地互動，同時適用於高、低階裝置，而且是個開放標準。</p> <p>根據統計，從Matter標準釋出迄今，其規格的下載次數已超過4,400次，Matter軟體開發套件（SDK）的下載也有2,500次，且自從啟動Matter的硬體與軟體認證之後，全球已有9個國家的8個測試實驗室開始提供相關的認證服務。</p> <p>CSA指出，這是物聯網裝置一個重要的轉折點，Matter有能力打造一個更緊密、更安全也更有用的智慧家庭。</p> <p>身為Matter標準的重要推手，Amazon也在同一天發布對該標準的支持，表示旗下30款Echo與eero裝置都將支援Matter，並新增Matter裝置的Works with Alexa（WWA）認證服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1114-matter-alexa-amazon.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>即將支援Matter標準的Echo裝置包括插座、開關與燈泡，而支援Matter的eero裝置則主要是路由器。Works with Alexa主要認證那些能以Alexa進行聲控的智慧裝置，尚未獲得Matter及WWA認證的裝置可同時申請兩種認證，至於已取得WWA認證的裝置則可透過無線更新來支援Matter與通過Matter1認證。</p> </div></div></div>
2022/11/4 15:30作者陳曉莉https://www.ithome.com.tw/news/154036
VS Code Python擴充套件現在會預設安裝匯入項目排序擴充套件isort
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-november-2022-release/">VS Code Python擴充套件2022.11更新</a>，這次的更新重點在於，引導還在使用Python擴充套件內建功能的開發者，轉移使用獨立出來的替代擴充套件。</p> <p>在這個版本，Python擴充套件會自動安裝今年5月所發布的新擴充套件isort，將開發者從原本內建的isort功能支援引導至獨立擴充套件。isort會和Python擴充套件共同運作，排序匯入的項目，當開發者開啟不符合isort規則的檔案時，擴充套件便會診斷錯誤，並且提供程式碼操作來修復匯入項目的順序。</p> <p>微軟提到，引導開發者轉移使用獨立的isort擴充套件，微軟就可以在需要的時候更新isort擴充套件，不用附加在Python擴充套件之中，更新會更小更快。</p> <p>微軟現在預設關閉Pylance自動匯入功能，因為之前Pylance會將匯入項目自動添加到文件中，產生了許多困擾，開發者多給予負面回饋，因此官方現在決定從這個版本開始，預設不再自動匯入套件，需要使用該功能的開發者，可以在設定中手動開啟。</p> <p>在之前的版本，微軟發布了新的Pylint和Flake8擴充套件，並且透過語言伺服器協定（LSP）和Python擴充套件協同運作以提供linting功能，而從這個Python擴充套件版本開始，會主動推送通知還在使用Python擴充套件內建linting功能的開發者，安裝新的Pylint和Flake8擴充套件，官方表示，他們規畫最終要移除內建支援，發展單獨擴充套件。</p> <p>Python擴充套件中的Just My Code除錯功能，可供用戶要求除錯器僅對用戶的程式碼除錯，跳過Python函式庫中的程式碼，這個設定在除錯筆記本單元格的時候會預設啟用，但開發者也可以在設定中手動停用。</p> </div></div></div>
2022/11/4 15:48作者李建興https://www.ithome.com.tw/news/154035
蘋果從創造力到獲利率的轉型路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_2_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>賈伯斯很欣賞巴布．狄倫，因為這位歌手不斷改造自己。這位已故的蘋果執行長將這種精神帶入公司，用iMac重新塑造了個人電腦產品線，並透過iPod將公司從電腦製造商轉變成消費電子巨頭，又以iPhone鞏固了公司的卓越地位。</p> <p>沒有人期望庫克能複製這種情況，甚至庫克本人也不這麼認為。這位工業工程師並沒有繼續滋養創新，而是發揮自己的優勢，從自己繼承的企業中擠出更多銷售額，實現了歷史上最賺錢的企業傳承。庫克扮演了管家的角色，讓公司更能反映出他的個性：謹慎、合作與戰術。他繞著前任的革命性發明建立起一個產品與服務生態系，並維持了該公司推出第一流硬軟體更新的聲譽。在他的努力下，公司賺足了現金，即使將所有產品下架也能維持好幾年。在這樣的過程中，他保持了蘋果再次為世界帶來驚喜與歡樂的可能性。</p> <p>只要iPhone的銷售狀況能保持下去，蘋果的忠實粉絲就會對神祕公司內部正在進行的計畫感到好奇：它能造出它一直在追求的汽車嗎？它是否會發布開發中的擴增實境智慧眼鏡？這些產品是否終有一日會在蘋果直營店亮相？</p> <p><span style="font-size:28px;"><strong>堅定的決心</strong></span></p> <p>庫克稱庫存為「根本性的邪惡」。放在架子上的電腦與電腦零件就像蔬菜一樣，放太久會變質，只得丟棄。自賈伯斯回歸後，蘋果的營運團隊已經將庫存天數減少了三分之二。庫克的要求更高。一九九八年，他去了公司的新加坡辦公室，評估如何能做出更多改善。坐在會議桌前，庫克在椅子上來回搖晃，聽著製造部門員工敘述業務狀況。團隊認為他坐在椅子上輕輕搖晃的動作是個令人鼓舞的信號。當他們適應了這個面無表情、分寸十足的老闆後，他們發現，在他搖晃椅子的時候，表示他對提交的內容感到滿意。當動作停止時，表示他打算提出可以暴露缺陷的疑問。</p> <p>那天，該團隊做了一個有關庫存週轉率的簡報，這是衡量庫存使用與更換頻率的指標。庫存週轉越多，公司花在損壞零件上的錢就越少。營運團隊詳細說明了如何將年週轉率從八次提高到二十五次以上，使其成為僅次於戴爾公司的業界第二。</p> <p>當他們結束簡報時，庫克停止了搖晃。他默默地看著他們。「你們要怎麼達到一百次？」他問道。</p> <p>「我就知道你會這麼說，」奧沙利文詳細說明了進一步改善的計畫。他講完後自我感覺良好，但庫克盯著他，「那你們要怎麼達到一千？」庫克問。</p> <p>「一千轉？」奧沙利文懷疑地問道。「那差不多是一天三次。」</p> <p>沒人說話。庫克看著營運人員難以置信地看著他。他設定的標記成了他們的目標。</p> <p>幾年內，蘋果公司就開始按訂單生產電腦，帳面上幾乎沒有庫存。營運團隊對那個目標的追求包括在廠房地板中間畫上一條黃線。黃線一側的零件仍然留在供應商的帳簿上，直到蘋果公司將它們移過黃線，組裝成新電腦。這降低了蘋果公司的成本，因為根據公認的會計原則，在零件沿著生產線移動之前，公司並不擁有這些庫存，即使這些庫存放在自家倉庫裡。這個概念在當時是創新的，後來則成了業界標準。</p> <p>庫克進入蘋果公司時，該公司正處於復興的早期階段。糖果色的iMac在他被僱用的五個月後發貨。在生產過程中，蘋果的進度落後，需要增加設備來追趕。一位營運主管建議增加七組生產工具，每組工具的成本約為一百萬美元，但由於公司仍然處於現金短缺的狀態，奧沙利文認為只要增加三組工具就能趕上，這可以將生產量從每日七千台提高到一萬台。庫克否決了他的意見。他說：「我們要以最快的速度出貨，越多越好。」庫克授權的十四組工具直接讓蘋果公司的產能增加了一倍，讓它得以滿足iMac發布後激增的需求。雖然他可能很節儉，但庫克證明了他在必要的時候願意冒險也願意花錢。</p> <p>大約在庫克加入蘋果六個月後，對庫克的表現大感振奮的賈伯斯在園區裡找上了奧沙利文。他問道：「你覺得怎麼樣？」奧沙利文回答：「我不知道。」賈伯斯問：「你不知道是什麼意思？」奧沙利文說：「沒有魔法。」</p> <p>在這家由賈伯斯領導下蓬勃發展的公司，庫克很快就證明自己是執行長的陪襯。他性格剛毅矜持，很少流露感情。他專注於數字，電子試算表再怎麼看都不夠。他的工作時間很長，黎明前就去健身房，一直工作到晚上。他以蘭斯．阿姆斯壯（Lance Armstrong）的名言來鼓舞士氣：「我不喜歡輸，我只是鄙視它。」他嚴格的方法帶來了成果。在他到職的第一年，公司的庫存從一個月的產品減少到六天。一年後，他將庫存削減到兩天，看著節省下來的資金流向蘋果的帳本底線。</p> <p>隨著蘋果公司的庫存得到控制，庫克開始整頓其製造業務。二〇〇〇年，他開始關閉工廠，轉而將生產外包給簽約製造商。蘋果多年來一直採用這種做法，但庫克將它推到極致。在康柏公司任職期間，他結識了鴻海科技集團（富士康）的創辦人郭台銘。郭台銘要求嚴格、親力親為的風格吸引了庫克，而庫克也把同樣的方法帶進了蘋果公司。</p> <p>二〇〇二年，庫克邀請郭台銘製作蘋果公司的下一個主要電腦產品，該公司計劃用平板電腦取代糖果形狀的iMac。在蘋果的要求下，富士康建立了一條每天可以生產一千五百台電腦的供應鏈，但賈伯斯決定將電腦的目標市場從高端專業消費者改為一般消費者。庫克需要富士康將產能擴大十倍，而且需要盡快完成擴充。蘋果公司的季度業績將取決於這款新電腦的成功。庫克與蘋果的一些頂尖工程師飛往中國，監督擴張。他的感恩節和聖誕節都待在那裡，在工廠車間工作，在電腦從生產線下線時發現問題，並在需要時將問題上報給郭台銘。那是個高壓環境，但庫克始終保持冷靜，散發他在IBM與智能電子公司面臨挑戰時表現出的冷靜。他的情境管理風格，是在情緒上保持冷漠，並適應不斷變化的環境來化解局面。隨著十二月的結束，蘋果公司將這些電腦裝上飛機運出中國，這樣公司就可以將這些新產品計入九月至十二月期間的銷售額，實現華爾街的季度銷售預期。</p> <p>隨著時間推移，庫克顛覆了蘋果公司與電腦零件供應商的關係。零件採購人員原本遵守的原則是，要維持良好的關係必須創造雙贏。庫克提倡不同的手法：堅持不懈，絕不妥協。在談判中，他在價格、交貨時間等層面上絕對不含糊，採取支持蘋果的立場，寸步不讓。他同時也會反過來確定並默許對方想要的、並非蘋果公司優先考量的事務。他經常在談話中保持沉默，這會讓供應商感到不自在。有時，他會好長一段時間不說話，接著身體前傾後説：這就是我想做的。與會的每一個人都會緊緊抓住他的話不放，因為這往往是他第一次在會議上發言。供應商將這種戰術比作軍事心理技術。二〇〇〇年代中期，在幾乎與一家晶片供應商敲定條款後，庫克打電話給對方，説他重新考慮了一下。他說：「我認為我們受到不恰當的對待，我們不會再談判了。」然後他沉默了好幾天，而供應商此時則擔心自己已經失去這筆交易。「他希望的是，你會在第十一個小時回來做出重大讓步，」這位最終促成交易的供應商回憶道。「聰明人會說：『堅守信念。』這是老派的談判方式。」<strong>（摘錄整理自《蘋果進行式》第五章、後記，天下文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%982(3).jpg" style="width: 250px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span><span style="color: rgb(51, 153, 255);"><strong> 蘋果進行式：從革新到鍍金，解鎖Apple高成長動能的祕密</strong></span></p> <p>特里普．米克爾（Tripp Mickle）／著；林潔盈／譯</p> <p>天下文化出版</p> <p>定價：700元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%98%8B%E6%9E%9C%E9%80%B2%E8%A1%8C%E5%BC%8F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tripp%20Mickle.jpg" style="width: 200px;" /></strong></span></p> <p><strong>特里普．米克爾（Tripp Mickle）</strong></p> <p>《紐約時報》科技記者，負責報導蘋果公司。米克爾於撰寫本書期間任職《華爾街日報》，曾專責報導蘋果公司五年，後續亦執筆過Google和其他科技巨頭的報導，長期關注矽谷高科技產業動態。擁有美國哥倫比亞大學的新聞學碩士學位，目前與妻子和德國短毛獵犬定居舊金山市。圖片來源／Tripp Mickle</p> </div></div></div>
2022/11/4 12:00未署名https://www.ithome.com.tw/article/153884
Google展示可讓機器人寫程式的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周的AI大會上，<a href="https://ai.googleblog.com/2022/11/robots-that-write-their-own-code.html" target="_blank">Google展示</a>可為機器人加入AI能力，使機器人能為自己寫程式，而不必再透過大量資料訓練。</p> <p>Google研究科學家Andy Zeng說明，控制機器人最常見的方法是寫程式讓它們偵測物體、序列指令來推進制動器及回饋循環（feedback loop），命令機器人該做什麼。但是為每一項新任務撰寫規則，卻相當耗時，且需要領域知識。</p> <p>現代AI語言模型已愈來愈強大，例如<a href="http://www.ithome.com.tw/news/150348" target="_blank">Google今年初發表的PaLM</a>具備複雜的理解能力，這類語言模型以數百萬程式加以訓練而成，只要人類給適當自然語言指令，模型就能撰寫泛型程式，也能寫出控制機器人行為的程式碼。</p> <p>為了實現上述概念，Google開發了Code as Policies（CaP），這是將語言模型產生的程式，以實體機器人實作執行。CaP是Google早先開發的<a href="https://www.ithome.com.tw/news/152540" target="_blank">幫手機器人模型PaLM-SayCa</a>n的延伸。Google的CaP希望使用者以Python通用語言運用少量、簡單的說明，就能讓語言模型撰寫機器人程式碼，讓機器人精準執行，最終目的在可讓單一系統執行多種複雜任務，而不需特別訓練。</p> <p>研究人員解釋，CaP使用一種程式碼撰寫模型，在提供了暗示（如告知它有哪些API）及範例（如命令該如何轉成程式碼）後，就能為新命令撰寫新程式碼，像是重寫API呼叫、合成新函式，表達回饋循環，以程式語言表達出來，在runtime組成新行為。</p> <p>CaP可將概括化結果輸入到有知覺控制的系統，不需要像傳統機器人學習過程中蒐集大量資料才能學習。它還能運用第三方函式庫來內插數據點或分析、產生形狀；除了能泛化指令，還能將精準的值翻譯成模糊描述（例如將特定速度翻譯成「很快」）。並能套用其他語言模型，像是支援非英語指令及emoj的指令。</p> <p>Google說，這策略也是在現有機器學習從「模組化」（modularity）到「泛化」（generalization）的策略，並運用開源碼及從網路蒐集大量資料外，另闢蹊徑的方法。</p> <p>目前Google的CaP機器人可以執行簡單任務，像是在某區塊中間「畫5公分六角形」或是「將積木排成水平直線」。不過研究人員也坦承這系統還無法處理抽象或複雜指令，或理解較複雜的描述。</p> <p><a href="https://github.com/google-research/google-research/tree/master/code_as_policies" target="_blank">Google已經將CaP的程式碼及技術白皮書公開在GitHub上</a>。</p> </div></div></div>
2022/11/4 12:12作者林妍溱https://www.ithome.com.tw/news/154026
美財政部也遭到親俄駭客組織Killnet攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/world/us-treasury-targeted-by-russian-hacker-group-last-month-official-2022-11-01/" target="_blank">路透社報導</a>近來親俄駭客組織Killnet活動頻繁，上個月連美國商務部也成攻擊目標，險些遭到毒手。</p> <p>報導引述美國商務部官員指出，10月間該部會遭到駭客發動分散式阻斷服務（DDoS）攻擊，但安全系統發揮作用，阻擋了這波攻擊行動。商務部副部長Wally Adeyemo的安全顧問Todd Conklin指出，攻擊者為親俄駭客組織Killnet，該組織主要鎖定商務部的關鍵基礎架構節點，不過僅為「相當低層次的DDoS活動」，並未成功得逞。</p> <p>這起事件發生在10月11日摩根大通（JPMogan Chase）遭Killnet發動類似攻擊前數日。<a href="https://breakingthenews.net/Article/Pro-Russian-hackers-claim-blocking-JPMorgan-infrastructure/58743423" target="_blank">Killnet 宣稱</a>封鎖了美國最大銀行的整個基礎架構。但<a href="https://www.scmagazine.com/analysis/cybercrime/amid-reports-of-jp-morgan-cyberattack-experts-call-killnet-unsophisticated-media-hungry" target="_blank">摩根大通隨後表示</a>銀行運作未受影響。</p> <p>Killnet在年初俄烏戰爭爆發後，積極對美政府及企業發動攻擊以抗議美國支持烏克蘭的立場。</p> <p>在摩根大通事件前後日，Killnet才在美國對10多座主要機場，包括亞特蘭大、紐約、芝加哥、洛杉磯、鳯凰城等城<a href="https://www.ithome.com.tw/news/153546" target="_blank">市公共機場網站發動分散式阻斷服務攻</a>擊（DDoS），造成系統斷線無法提供飛機航班查詢及其他服務。Killnet同時還列出其他30座機場，號召親俄組織加入行動。</p> <p><a href="https://www.theregister.com/2022/11/02/killnet_us_treasury_ddos/" target="_blank">《The Register》報導</a>，也是在上個月Killnet還宣稱擊潰了科羅拉多、肯塔基、密西西比等州政府網站。</p> </div></div></div>
2022/11/4 12:24作者林妍溱https://www.ithome.com.tw/news/154028
Lyft宣布裁員13%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>僅次於Uber的全美第二大租車業者<a href="https://www.lyft.com/blog/posts/an-update-on-our-team" target="_blank">Lyft周四（11/3）宣布將裁員13%</a>。Lyft在<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001759509/000175950922000071/lyft-20221103.htm" target="_blank">提交給美國證券管理委員會（SEC）的文件</a>中透露，此一行動將影響683名員工，也會帶來2,700萬~3,200萬美元的重組成本。</p> <p>Lyft今年5月便對內宣布要放緩招募腳步並減少預算，繼之於6月裁撤了60名員工，並宣布將終止並出售自家的租車服務。本周Lyft進一步擴大裁員規模，直接裁撤了近700名員工。</p> <p>Lyft兩名創辦人Logan Green與John Zimmer表示，整體經濟面臨著許多挑戰，明年可能會遇見經濟衰退，汽車共享保險成本增加，該公司在今年夏天已努力撙節支出，包括減緩與凍結人力招募，降低預算，也暫停了較不重要的計畫，然而，Lyft必須變得更精簡。裁員可望減少Lyft的管理層級，亦可節省更多成本並改善績效，以推動獲利。</p> <p>另一方面，Lyft仍在尋求出售自家汽車租賃服務的機會。該公司在5個市場提供自家的汽車租賃服務，另於逾30個市場與第三方業者合作汽車租賃服務，未來將全數仰賴與第三方的合作。</p> </div></div></div>
2022/11/4 12:36作者陳曉莉https://www.ithome.com.tw/news/154029
Stripe要裁撤14%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://stripe.com/en-ca/newsroom/news/ceo-patrick-collisons-email-to-stripe-employees" target="_blank">網路支付服務供應商Stripe周四（11/3）宣布</a>，由於對今、明兩年的成長過於樂觀，再加上營運成本增加太快，將裁撤14%的員工，回到今年2月的近7,000名員工水平。目前Stripe全球約有8,000名員工，預估將裁掉1,100名員工左右。</p> <p>Stripe執行長Patrick Collison解釋，2020年疫情爆發時，全球在一夕之間轉向電子商務，隨著Stripe在這兩年的支付規模與營收都成長了3倍以上，該公司亦轉移到新的經營模式，然而，現在世界再度發生變化，人們正面臨著通貨膨脹、能源衝擊、高利率，再加上投資與新創預算都減少，2022年代表不同經濟氣候的開始，為了適應此一新世界，需要降低成本。</p> <p>Collison坦承，因為對今年與明年的網路經濟預測過於樂觀，同時低估了廣泛放緩的影響，讓Stripe過度招聘，也讓該公司的營運成本增加太快，並開始出現效率低下的問題，使得Stripe不得不作出裁員的決定。</p> <p>被裁撤的Stripe員工都是在當天才收到通知，Stripe將至少支付14周的遣散費，2022年的獎金及半年的健保費用給所有被資遣的員工，並提供轉職與移民支援。</p> <p>另一方面，Stripe的核心業務其實還在成長中，今年第三季簽下的新客戶比去年同期增加了75%，同時小客戶的交易量成長也非常迅速，接下來該公司也會更聚焦於優先事務。</p> </div></div></div>
2022/11/4 10:22作者陳曉莉https://www.ithome.com.tw/news/154018
裁員潮開始了？房地產網站Opendoor與數位銀行Chime各裁撤逾10%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國房地產網站Opendoor與數位銀行Chime不約而同地在本周三（11/2）展開裁員，Opendoor裁撤550名員工，占該公司總人數的18%，Chime則裁了逾150名，占員工總數的12%。</p> <p>當中的Opendoor成立於2014年，為一專門銷售房地產的網路公司，主要市場為美國，也是美國那斯達克的上市公司。該公司共同創辦人暨執行長Eric Wu於周三（11/2）宣布，目前正處於美國房地產近40年來最具挑戰性的時刻之一，因而必須調整該公司業務，並減少支出，先前已減少來自第三方的830個職位，現在則決定縮小團隊規模。</p> <p>Opendoor原本約有3,000名員工，本周裁撤了550名，佔總人數的18%。</p> <p>至於Chime則為美國的金融科技公司，雖被稱為數位銀行，但它並沒有實體銀行，而只有網站及行動程式，且不向使用者收取手續費，主要的收入來自於銀行之間的交換費，用戶數約為1,200萬。</p> <p>Chime並未對外公開裁員消息，只是依舊傳開。<a href="https://techcrunch.com/2022/11/02/digital-bank-chime-is-cutting-costs-across-the-board-including-12-of-staff/" target="_blank">《TechCrunch》取得了Chime的內部備忘錄</a>，透露該公司正在調整支出，包括減少約聘數量、調整工作空間與重新協商約聘合約等，除此之外，調整組織規模也是該公司邁向獲利的必要途徑，因而決定裁撤12%的員工，有超過150名員工受到波及。</p> </div></div></div>
2022/11/4 09:29作者陳曉莉https://www.ithome.com.tw/news/154012
微軟針對Vcpkg用戶釋出OpenSSL高風險漏洞修復指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在11月的第一天，<a href="https://www.ithome.com.tw/news/153969" target="_blank">OpenSSL就釋出3.0.7版本</a>，修補兩個具有高風險的漏洞，而熱門的C/C++函式庫管理工具Vcpkg上也已經有修補程式，因此有使用Vcpkg的開發者，當應用程式中包含3.0.0到3.0.6各版本OpenSSL，也可透過Vcpkg進行修補。</p> <p>OpenSSL這兩個漏洞分別是具有重大風險的CVE-2022-3602漏洞，以及高度風險的CVE-2022-3786漏洞。CVE-2022-3602可能讓攻擊者執行遠端程式攻擊，而CVE-2022-3786雖不會引發遠端程式攻擊，卻足以造成服務阻斷，因此微軟敦促開發者盡快升級。</p> <p><a href="https://devblogs.microsoft.com/cppblog/fix-for-high-risk-openssl-security-vulnerabilities-announced-guidance-for-vcpkg-users/">微軟提醒</a>，即便開發者的專案沒有直接使用OpenSSL，但是OpenSSL仍可能是應用程式相依關係中的一部分，這是因為相依項目可能會遞移相依於OpenSSL，因此Vcpkg就會自動安裝OpenSSL，像是Azure C++ SDK便會遞移相依OpenSSL，因此用戶也應該驗證系統上OpenSSL的版本。</p> <p>無論Vcpkg使用者是以命令列安裝函式庫，還是Vcpkg.json清單在建置期間安裝相依項目，微軟建議，開發者可以先以指令列出所有OpenSSL函式庫版本，檢視需要更新的部分。</p> <p>當開發者的Vcpkg相依項目不使用Vcpkg.json清單，則表示是使用典型的命令列模式，用戶可以選擇一次升級所有相依項目，而透過將Vcpkg git repo本地副本更新到最新版本是最快的解法，但用戶也可以選擇只更新OpenSSL，不更新其他內容。</p> <p>對於透過清單安裝OpenSSL的用戶，就只需要更新Vcpkg.json檔案就可以配置不同的OpenSSL版本，官方提到，建議不要一次更新一個，而是一次更新所有開源相依項目，這樣才能避免衝突，防止相依關係出現菱形相依的問題。</p> </div></div></div>
2022/11/4 09:38作者李建興https://www.ithome.com.tw/news/154001
Meta以機器學習技術改進Instagram個人化通知，減少通知量但仍維持用戶參與度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta運用機器學習技術，進一步<a href="https://engineering.fb.com/2022/10/31/ml-applications/instagram-notification-management-machine-learning/">改進Instagram每日通知的用戶體驗</a>。藉由因果推斷和機器學習，來辨識本來就會自動瀏覽Instagram內容的高度活躍用戶，透過減少向這些用戶發送通知的數量，改善整體用戶體驗。</p> <p>Instagram通知是和用戶溝通的管道，Meta過去就已經運用統計與機器學習技術，來個人化通知訊息，Instagram的每日摘要推送通知，會列出可供用戶查看的故事摘要，這類通知發送到用戶裝置時，用戶便可能點擊通知查看這些內容。</p> <p>在過去上，Meta使用點擊率（CTR）模型的機器學習模型，來預測用戶點擊通知的可能性。CTR模型已經被大量用於社交媒體產業，預測點擊機率可看作是通知品質，當模型預測點擊機率太低，該通知就會在發送流程中被丟棄，用戶也不會真正收到通知，因為模型認為該通知屬於低品質資訊。</p> <p>事實上點擊率模型在每日摘要通知上非常有用，使用點擊率模型的實際平均點擊，明顯高於不使用該模型的平均點擊率。但是Meta提到，他們注意到使用CTR模型，代表大部分的每日摘要通知都是發送給相對活躍的Instagram用戶，但是對部分活躍用戶來說，即便沒有收到這些摘要通知，他們本來就還是會看到這些內容。</p> <p>Meta認為，對這些活躍用戶發送更少的通知，反而是提供更好的用戶體驗。但具有挑戰性的部分是正確辨識出這些用戶的方法，因為直接減少這類通知，可能使這些用戶變得不那麼活躍，如果無法正確選擇合適的用戶，這樣的行動可能導致用戶參與度下降。</p> <p>Meta希望選擇合適的用戶群組，來最大程度提高發送通知的效率，對於這個問題，Meta假設每封每日摘要通知都有固定的成本，這些通知擁有一個總預算，也就是總通知發送量，Meta提到，他們將用戶選擇問題轉變成為預算分配問題，計算發送以及不發送每日摘要通知之間的增量價值，當沒收到通知但用戶依然活躍，則代表該則通知增量價值小。</p> <p>Meta透過將通知按增量價值排序，選擇增量價值高的通知發送，就可以在有限預算，也就是有限的通知發送量，最大化整體增量價值，但官方提到，要在通知發送和丟棄之前，估算增量價值是一件困難的事。</p> <p>他們進行了一個隨機實驗來收集資料，並開發出神經網路模型，以用戶的層級來預測發送與不發送通知的增量影響，但是因為所有通知都是線上生成並且進行評分，Meta無法提前替所有候選通知進行增量估算並排序，所以他們設定了一個閾值，當線上生成的通知分數高於特定閾值才會發送。</p> <p>在採用因果推斷和機器學習改善通知後，Meta大幅減少了Instagram通知量，並且用戶參與度並沒有下降，達到同時改善用戶體驗，並且減少資源使用的目的。</p> </div></div></div>
2022/11/4 09:43作者李建興https://www.ithome.com.tw/news/154011
【資安日報】2022年11月3日，國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊、數百個美國新聞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客日益猖狂，許多資安業者都曾發生遭到攻入的事故。在10月底有一家大型公司Thales也傳出這樣的狀況，震驚各界。該公司橫跨航太、國防、資訊安全等領域，同時又以硬體安全模組（HSM）、身分認證解決方案聞名，可惜仍無法倖免，後續調查的狀況與衍生的影響，都需要密切觀察。</p> <p>惡名昭彰的殭屍網路Emotet再度發動攻擊。值得留意的是，駭客為了繞過Office軟體的防護規則，竟要求受害者將Excel檔案複製到指定資料夾執行。</p> <p>與新聞媒體合作的多媒體公司竟變成駭客發動攻擊的管道！資安業者揭露駭客組織TA569的攻擊行動，駭客竄改影音內容製作公司傳送影音內容的程式碼，向這些新聞網站散布惡意軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/137955/cyber-crime/lockbit-3-0-thales.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">法國國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊，對方揚言11月7日將公布部分竊得資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Thales-LockBit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Thales-LockBit.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs報導，勒索軟體LockBit於10月31日聲稱攻陷法國國防安全科技集團Thales，竊得部分資料，並要脅若不依照指示支付贖金，將於11月7日公布竊得的檔案。不過，駭客並未提供可進行驗證的樣本資料。</p> <p>對此，<a href="https://www.reuters.com/technology/frances-thales-says-hackers-claim-have-stolen-data-2022-11-01/">Thales向路透社表示</a>，他們針對該資安外洩事故展開調查，並向法國國家網路安全局（ANSSI）進行通報，但沒有收到對方勒索通知。</p> <h3><a href="https://cybernews.com/news/hensoldt-defense-contractor-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國防設備供應商Hensoldt法國子公司疑遭勒索軟體Snatch入侵，並公布部分竊得資料</span></strong></a></h3> <p>國防產業遭到攻擊的情況，之前多半是針對美國而來，但現在也有歐洲的廠商成為目標的事故。根據資安新聞網站Cybernews的報導，勒索軟體Snatch於10月30日聲稱入侵國防設備供應商Hensoldt法國子公司，並竊得機密檔案，這些駭客公布94 MB資料供眾人驗證。但Hensoldt尚未回應此事。</p> <p>事實上，此起事故並非該集團首度遭到勒索軟體攻擊──今年1月，Hensoldt的英國子公司部分系統感染了勒索軟體Lorenz。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vodafone-italy-discloses-data-breach-after-reseller-hacked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者Vodafone義大利分公司傳出資料外洩，起因是經銷商遭駭</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，電信業者Vodafone的義大利分公司近日向客戶發出資料外洩通知，並指出這起事件發生的原因，是義大利電信經銷商FourB SpA於9月第1個星期遭到網路攻擊所致，客戶遭到曝露的資料包含了訂閱內容、含有敏感資料的身分證件、聯絡資料，但不含密碼。再者，沒有用戶的網路流量因此受害。</p> <p>而關於攻擊者的身分，Bleeping Computer報導提到，9月3日有個駭客組織KelvinSecurity聲稱攻擊Vodafone義大利分公司，並竊得約310 GB資料，內有29.5萬個檔案，這是否與同樣於9月發生的此次資料外洩事故有關，尚無法證實。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/emotet-botnet-starts-blasting-malware-again-after-5-month-break/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet攻擊活動再度出現，利用回覆郵件來散布惡意Excel檔案</span></strong></a></h3> <p>殭屍網路Emotet這兩、三年肆虐，但到了今年6月中旬突然終止相關攻擊行動，如今又重出江湖。資安業者Proofpoint與資安研究團隊Cryptolaemus相繼提出警告，因為他們發現Emotet再度活動的跡象，並向全球廣發釣魚郵件。這次的釣魚郵件，是以回覆郵件的型式發送，並挾帶惡意Excel巨集檔案作為附件。資安新聞網站Bleeping Computer指出，他們看到此Excel檔案有不同語言的版本，駭客佯稱是發票、掃描的文件檔案、電子表格，來引誘收信人開啟。</p> <p>值得留意的是，駭客為了讓此惡意Excel檔案能繞過MoTW偵測機制，以便巨集能正常執行，他們要求受害者將其複製到Office軟體的範本資料夾再開啟，最終在受害電腦植入惡意軟體並於後臺運作。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-us-news-sites-push-malware-in-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數百個美國新聞網站遭到供應鏈攻擊，被用於散布惡意軟體SocGholish</span></strong></a></h3> <p>資安業者Proofpoint發現，駭客組織TA569透過一家影音內容製作公司，對於超過250個美國新聞網站下手。此影音公司原本透過JavaScript指令碼向這些網站提供影音內容，但駭客如今竄改此JavaScript的基礎程式碼（Codebase），進而在新聞網站部署惡意軟體SocGholish，並以瀏覽器更新的名義、透過ZIP壓縮檔的形式進行散布。</p> <p>研究人員表示，紐約、波士頓、芝加哥、邁阿密、華盛頓特區等地的美國新聞媒體都受到影響，他們亦發現有受害網站修復後再度被感染的情形。</p> <h3><a href="https://www.kaspersky.com/about/press-releases/2022_new-sandstrike-spyware-targets-android-users-with-booby-trapped-vpn-application"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">間諜軟體SandStrike假借提供VPN的名義，攻擊特定宗教人士的安卓裝置</span></strong></a></h3> <p>資安業者卡巴斯基揭露名為SandStrike的安卓間諜軟體，駭客鎖定奉行巴哈伊信仰的教徒提供VPN應用程式，宣稱為了能讓他們規避政府的監控，但實際上駭客在此App安裝過程也暗中部署SandStrike，一旦受害人依照指示安裝VPN應用程式，手機將會遭到監控，惡意軟體也會竊取聯絡人名單與通聯記錄。</p> <p>研究人員指出，有別於許多惡意軟體攻擊，發動上述攻擊的駭客為了引誘受害人安裝上述的惡意App，作為誘餌的VPN應用程式不僅具備完整的VPN功能，駭客還建立擁有千名粉絲的臉書與Instagram帳號，這些帳號包含大量巴哈伊教的貼文，並引導受害者到特定的Telegram頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://blog.sonarsource.com/checkmk-rce-chain-1/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT基礎設施監控系統Checkmk存在重大漏洞</span></strong></a></h3> <p>資資安業者SonarSource揭露T基礎設施監控系統Checkmk的漏洞，這些漏洞一旦遭到利用，攻擊者無需通過身分驗證，就能遠端控制Checkmk伺服器。研究人員總共找到4個漏洞，其中有2個CVSS風險評分達9.1分的為重大漏洞，一個為程式碼注入漏洞，涉及watolib元件的auth.php；另一個為任意讀取檔案漏洞，與該系統整合的NagVis元件有關。研究人員於8月下旬通報上述漏洞，Checkmk於9月中旬發布2.1.0p12版予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾30個PyPI套件被用於散布W4SP竊密軟體</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://positive.security/blog/urlscan-data-leaks"><span style="color: rgb(0, 0, 0);">網站分析引擎Urlscan的API曝露敏感資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/amazon-prime-video-viewing-habits"><span style="color: rgb(0, 0, 0);">線上影音平臺Amazon Prime伺服器未受保護，曝露用戶觀看習慣</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.itpro.co.uk/security/ransomware/369435/yanluowang-ransomware-leaks-suggest-pseudo-chinese-persona-revil-links"><span style="color: rgb(0, 0, 0);">勒索軟體閰羅王背後的駭客組織很可能就是REvil</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153972">【2022年11月2日】 Dropbox證實130個GitHub儲存庫遭竊、Azure Cosmos資料庫被發現存在身分驗證漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153961">【2022年11月1日】資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153924">【2022年10月31日】德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫的漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/3 17:24作者周峻佑https://www.ithome.com.tw/news/154000
數十款Python套件暗藏資訊竊取程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.phylum.io/phylum-discovers-dozens-more-pypi-packages-attempting-to-deliver-w4sp-stealer-in-ongoing-supply-chain-attack" target="_blank">資安業者Phylum本周警告</a>，最近透過PyPI出版的29個Python套件暗藏了專門用來竊取資訊的W4SP Stealer惡意程式，總計已有超過5,700次的下載。</p> <p>PyPI的全名為Python Package Index，為Python程式語言的官方第三方軟體套件儲存庫，可用來存取及下載超過35萬個Python套件。</p> <p>根據Phylum的分析，許多含有W4SP Stealer的Python套件看起來都是無害的，有些則明顯是假冒的，它們公然複製合法的軟體套件，再企圖植入一小段惡意程式碼，所使用的名稱包括typesutil、typestring、sutiltype、duonet、fatnoob、strinfer、pydprotect、incrivelsim、twyne、pyptext、installpy、faq、colorwin、requests-httpx、colorsama、shaasigma、stringe、felpesviadinho、cypress、pystyte、pyslyte、pystyle、pyurllib、algorithmic、oiu、iao、curlapi、type-color與pyhints。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-W4SP%20Stealer-typesutil-600.png" style="width: 582px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Phylum</span></span></p> <p>一旦開發者安裝了這些套件，就會被植入W4SP Stealer，<a href="https://securelist.com/two-more-malicious-python-packages-in-the-pypi/107218/" target="_blank">此一惡意程式</a>可用來辨識受害者機器的外部IP位址，蒐集Discord令牌，以及瀏覽器上所儲存的Cookie、密碼與憑證，並將它們傳送給駭客。</p> </div></div></div>
2022/11/3 16:35作者陳曉莉https://www.ithome.com.tw/news/153998
Grafana Labs開源兩新專案，持續分析資料庫Phlare與前端可觀察性函式庫Faro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Grafana Labs開源兩個監控新專案，分別是可用於大規模持續分析（Continuous Profiling）的資料庫<a href="https://grafana.com/blog/2022/11/02/announcing-grafana-phlare-oss-continuous-profiling-database/">Phlare</a>，另一個則是能收集網頁前端應用程式運作狀況資料，提供開發者更多可觀察性的前端可觀察性函式庫<a href="https://grafana.com/blog/2022/11/02/introducing-grafana-faro-oss-application-observability/">Faro</a>。</p> <p>以價值來說，Grafana Labs稱持續分析為可觀察性的第四大支柱，分析可供開發者了解程式的資源使用狀況，以利進行效能和成本最佳化，但官方提到，新興分散式雲端架構使這件事變得複雜，因此產生了持續分析的需求，透過定期自動收集整個基礎設施的資源使用資料，壓縮並儲存成時序資料，可讓開發者依時間觀察值得注意的事件。</p> <p>Grafana Labs參考可觀察性後端專案Loki、Tempo和Mimir的設計原則，開發了Grafana Phlare，來滿足持續分析的儲存需求。Phlare資料庫提供可水平擴展、高可用性、長期儲存和分析資料查詢等重要功能，與Prometheus相同只需要一個二進位檔案就能完成安裝，不需要安裝其他相依項目。</p> <p class="rtecenter"><img alt="" src="https://grafana.com/static/assets/img/diagrams/grafana-diagram-phlare.png" style="width: 600px;" /></p> <p>而且因為Phlare使用諸如Amazon S3、Google Cloud Storage、Azure Blob Storage、OpenStack Swift，以及任何與S3相容的物件儲存，因此開發者可以使用較低廉的儲存來存放所有歷史紀錄，Phlare提供多租戶和隔離功能集，可供團隊或是業務部門運作獨立資料庫。Phlare和Grafana原生整合，使得開發者可以將分析資料和指標、日誌、追蹤擺在一起視覺化呈現，以更全面的角度檢視系統堆疊。</p> <p>而Grafana Faro則是一個開源JavaScript函式庫，讓開發者可將其添加到前端應用程式中，程式便能夠開始自動收集日誌、錯誤和效能指標，透過將這些資料轉送到Grafana代理，Grafana代理就能將這些資料發送到Prometheus、Grafana Loki或Grafana Tempo進行後續使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-Grafana%20Faro.png" style="width: 600px;" /></p> <p>官方提到，過去開發者可以使用Grafana來監控基礎設施，並使用OpenTelemetry來監控API，但是前端缺乏監控解決方案，使開發者無法掌握終端用戶的實際使用狀況，而Faro填補了這個空缺。</p> <p>Faro還提供了事件API，可用來捕捉用戶事件，讓開發者能夠重建終端用戶在應用程式的歷程，以了解用戶使用應用程式的方式。</p> </div></div></div>
2022/11/3 16:43作者李建興https://www.ithome.com.tw/news/153999
微軟推出無密碼行動裝置Azure AD憑證身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Ignite 2022宣布全面推出Azure AD憑證身分驗證（Certificate-Based Authentication，CBA），而現在進一步在iOS和Android裝置上公開預覽，用戶可以<a href="https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/azure-ad-certificate-based-authentication-cba-on-mobile/ba-p/2365672">使用硬體安全金鑰YubiKey執行Azure AD憑證身分驗證</a>。官方解釋，因為現在自帶裝置風氣興起，這個功能將可以讓使用者在自有行動裝置，具備抵抗釣魚攻擊的多因素驗證能力。</p> <p>在行動裝置上，雖然使用者可以在其個人行動裝置上，配置用戶憑證以進行身分驗證，但這主要是用於受管理的行動裝置，而新功能則可支援自帶裝置，讓使用者在外部硬體安全金鑰預配置憑證，然後在iOS和Android裝置使用Azure AD進行身分驗證。</p> <p>微軟表示，這種結合行動憑證和硬體安全金鑰的解決方案，是一種簡單方便，且經過FIPS認證的防網路釣魚多因素驗證方法。<a href="https://www.yubico.com/blog/certificate-based-authentication-with-yubikeys-for-microsoft-3rd-party-and-web-applications-now-available-on-ios-and-android/">YubiKey官方則表示</a>，YubiKey是目前唯一支援Android和iOS上的CBA外部裝置，同時YubiKey也是唯一可用於行動Azure AD的FIPS認證防網路釣魚解決方案。</p> <p>現在所有針對瀏覽器的網頁應用程式和本機應用程式，包括使用最新微軟身分驗證函式庫（Microsoft Authentication Library，MSAL）的第一方應用程式，都在行動裝置支援使用YubiKey上的Azure AD憑證身分驗證，對於那些尚未使用最新MSAL的應用程式，用戶則可以使用Microsoft Authenticator應用程式的代理身分驗證流程，該流程也支援YubiKey上的Azure AD憑證身分驗證。</p> <p>用戶可以從憑證選擇器選擇YubiKey憑證，插入YubiKey或使用具NFC功能的YubiKey透過YubiKey Authenticator輸入PIN碼，即可完成身分驗證流程。</p> </div></div></div>
2022/11/3 15:39作者李建興https://www.ithome.com.tw/news/153995
Malwarebytes揭露尚未被Google移除的惡意Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.malwarebytes.com/blog/news/2022/11/malware-on-the-google-play-store-leads-to-harmful-phishing-sites" target="_blank">資安業者Malwarebytes本周指出</a>，Google Play上有一名開發者三番兩次地上傳含有惡意程式碼的行動程式，迄今卻依然安穩地存在於Google Play上。</p> <p>被Malwarebytes點名的開發者為Mobile apps Group，<a href="https://play.google.com/store/apps/dev?id=5631376253411320738" target="_blank">目前於Google Play上陳列4款程式</a><span style="color:#696969;">（註：在本文發布當下，網頁連結仍為有效</span>），分別是Bluetooth Auto Connect、Mobile transfer: smart switch、Driver: Bluetooth, Wi-Fi, USB與Bluetooth App Sender，它們總計累積了超過100萬次的下載量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0103-Mobile%20apps%20Group-Malware-google%20play-600.png" style="width: 600px;" /></p> <p>Malwarebytes表示，上述程式在過去都曾被發現過藏匿了不同版本的Android/Trojan.HiddenAds惡意程式，最近他們則調查了其中的Bluetooth Auto Connect，當使用者安裝此一程式之後，它通常會經過好幾天才秀出真面目，於Chrome瀏覽器中開啟釣魚網站，有些釣魚網站只是用來騙取廣告點擊，但有些網站則含有成人內容，而且跳出訊息宣稱使用者的裝置已被感染，或是需要執行更新。</p> <p>此外，就算手機是鎖住的，這些Chrome分頁仍會於背景開啟，一旦使用者解鎖手機，Chrome就會跳出來，並展示最新的釣魚網站，倘若使用者在好幾個小時之後才解鎖手機，便會在Chrome的歷史紀錄中看到許多的釣魚網站。</p> <p>根據Malwarebytes的觀察，Mobile apps Group所開發的行動程式都有類似的行徑，且它們經常被不同版本的Android/Trojan.HiddenAds所感染，且Google至少已被通報兩次。</p> <p>例如去年2月24日時，另一資安業者 DrWeb便曾公開指責Bluetooth Auto Connect 2.5含有惡意程式，而Mobile apps Group在2月24日便上傳了乾淨的Bluetooth Auto Connect 3.0版，意謂著Google並未將Mobile apps Group「留校察看」，從去年的2月26日到去年的10月10日，Bluetooth Auto Connect 3.0到Bluetooth Auto Connect 4.5都是乾淨的，但自去年12月15日釋出的Bluetooth Auto Connect 4.6就含有Android/Trojan.HiddenAds，最新的Bluetooth Auto Connect 5.7也有，代表含有惡意程式的Bluetooth Auto Connect版本於Google Play上至少存活了3個月。</p> <p>看起來像是Mobile apps Group在與Google玩「貓捉老鼠」的遊戲，不過，Malwarebytes認為，現在應該是時候將Mobile apps Group三振出局了。</p> </div></div></div>
2022/11/3 16:02作者陳曉莉https://www.ithome.com.tw/news/153996
工研院剖析智慧工廠零信任策略，提出多層次防護構想
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年企業積極展開數位轉型，邁向智慧工廠、IT與OT加速匯流下，伴隨而來的資安議題持續受到關注，為了提升保護力，網路安全零信任概念成為了有效防護的新對策之一，因此已有不少資安業者，將此概念用在智慧製造領域，在今年臺灣資安大會上，工業技術研究院資通所經理陳柏渝介紹這個資安議題，他不僅解析智慧工廠面臨的威脅面，並描繪零信任資安用於智慧工廠的完整面貌，並提出多層次防護構想。</p> <h2><strong>智慧工廠面臨4大資安威脅，內外均可能遭到攻擊</strong></h2> <p>談到智慧工廠面臨的威脅，陳柏渝指出，首先我們要將智慧工廠及資安威脅這兩者，進行完整剖析與解構，目的是，知道智慧工廠每個成分與位置範圍，也就能盤點相應威脅。</p> <p>從智慧工廠與資安威脅來看，陳柏渝分為4大結構，如實體層安全、網路層安全、資料層安全，以及應用層安全。特別的是，在5G專網加入企業環境之後，其新興資安要素也需將之納入考量。</p> <p>以實體層安全而言，涵蓋大家對OT工控環境看重的PLC、RTU等部分，以及與後端相應的設備，不過，這裡有一項關鍵挑戰必須當心，那就是：智慧工廠的資安防護，對環境干擾必須是最小的，也就是資安不能影響營運效能以致中斷。</p> <p>而在實體層的上一層：網路層方面，長久以來，製造業的資訊安全，側重在嚴密、封閉式的實體與網路環境管制，可是，隨著物聯網的普及、5G專網的導入，原有封閉結構逐漸開放，連接網路的型態也變得更多樣，連接的設備越來越細小、複雜，使得網路層安全面臨很大的顛覆。</p> <p>此外，資料層、應用層的安全，也都同樣是智慧工廠必須考量的資安議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E5%A4%9A%E5%B1%A4%E6%AC%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%B7%A5%E7%A0%94%E9%99%A2.JPG" style="width: 600px;" /><br /> <strong>（圖片來源/工研院</strong><strong>）</strong></p> <p>除了探討上述資安議題，陳柏渝指出，我們也要從駭客角度思維，設想智慧工廠結構上可能遭遇的攻擊模式。例如，因此他列出了20個攻擊設想，包括：惡意軟體或是惡意程式、利用智慧工廠網路設計與配置的缺陷、DDoS、應用層資訊外洩、利用遠程存取、軟體或硬體漏洞、攻擊身份驗證機制、資料外洩、盜竊（入侵系統後）、未經授權存取操作、駭客利用供應鏈、供應商與服務提供商突破、竊聽／攔截／劫持、駭客勒索加密攻擊（內部威脅）、操作意外損壞、社交工程與釣魚、針對網站型態系統的攻擊、API攻擊、雲端服務系統的脆弱點、因資安機制而導致營運中斷或系統故障、實體層攻擊，以及攻擊AI演算法。</p> <p>在這些可能攻擊的情境當中，他特別強調，關於攻擊AI演算法的狀況，亦是未來智慧工廠非常重要、需多加保護的部分。</p> <p>同時，面對各種滲透與侵入手法，他也以常見駭客入侵攻擊的角度來拆解。可看出關鍵的風險因素，包括：角色、攻擊路徑、攻擊方式，以及造成的危害。舉例來說，若以人的角度來拆解，可分為外部而來的駭客，以及來自工廠內部的員工，有可能發生遭遇網路釣魚導致惡意入侵，或是新進員工對操作不熟悉等狀況。</p> <h2><strong>零信任可從多達10個層面落實，能發展不同產品應用</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E5%A4%9A%E5%B1%A4%E6%AC%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 400px; float: right;" /></strong></p> <p>基於這些智慧製造領域的威脅角度，工研院特別提出從多層次零信任出發的因應對策。</p> <p>基本上，零信任是一種基於「從不信任，始終驗證」的前提的緩解措施，意味著所有用戶必須經過身分驗證、授權並持續驗證安全配置，然後對應用程式和資料的存取權限才能授予給對方，或使對方持續保有。</p> <p>陳柏渝指出，現在的資安市場上的產品與服務，很多都聚焦在網路安全，或是使用者信任關係，以此建構零信任，但在智慧工廠場域真的夠用嗎？</p> <p>對此他列出10個層面的零信任，包含：（1）韌體，（2）Bootloader，（3）硬體，（4）設備，（5）網路，（6）應用程式，（7）傳輸／Session，（8）使用者／ACL，（9）資料／資料流，（10）雲端。</p> <h3><span style="color:#0033ff;"><strong>網路零信任</strong></span></h3> <p>面對如此繁多的面向，他主要聚焦其中4項來說明，分別是：網路、應用程式、設備，以及使用者／ACL。</p> <p>首先，從網路層面來看，如何實現零信任？近年來，市面出現許多安全業者，發展工控網路入侵偵測設備，工研院的方案是打造隔離防護設備，解決OT產品生命週期結束而無法修補的痛點，也滿足網路零信任的需要。畢竟，很多智慧工廠的設備導入所費不貲且需全天運作，甚至長達10年、20年的持續使用。</p> <p>在架構設計上有何特色？首先，這樣的隔離防護設備，會在電腦、主機、機密資料庫、網際網路之間，透過AI學習建立網路信賴關係圖，以便掌握可信任與無法信任的部分，利用分析陣列表來記錄，並持續信任驗證。</p> <p>其次，針對通訊協定分析，包括TCP、UDP、Modbus、ICMP等，並且進一步界定，例如，了解TCP中有那些通訊協定埠（Port）可放行，可允許的方向。同時，仍需不斷進行信任檢查、警示異常等工作，建立融合上述的防護機制。</p> <p>對此，陳柏渝指出，從傳統認知來看，可能認為這只是運用防火牆的概念來判斷，但並非如此——事實上，在如此複雜的DPI檢測流量作業流程，單憑規模有限的資安、IT人力，並無法逐條做好細緻設定，而需同時搭配「自動」機制去做到網路白名單政策，建立細微的風險過濾表。</p> <p>不僅如此，為了解決未來需求，他們也設想這樣的防護機制，要可擴產其他安全防護能力，因而採用了倉儲模塊擴充設計。</p> <p>因此，在這樣的隔離防護設備上，除了運用簡單的防火牆、網路監聽（Sniffer）的功能結構，還可以將傳統放在疆界最外層的網站應用程式防火牆（WAF），予以小型化，放到更底層去防守，讓橫向威脅能大幅下降。畢竟，現在很多工控設備也內建小型網站系統。</p> <p>此外，還可以結合入侵偵測系統（IDS）、防軟體竄改，甚至合規檢查工具、資料外洩防護（DLP）、惡意程式分析、端點防護檢查、防DDoS、自動端點偵測防護等。希望透過這種組合型的倉儲模塊，讓智慧工廠面對的威脅與衝突能夠大幅下降。</p> <p>而且，上述方案可適用在架構變異性小、具高度機敏性環境的工控環境，像是智慧工廠、IoT場域、封閉型網路系統，並且部署在IoT獨立設備、IoT隔離網段、隔離虛擬網段的防護架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E5%A4%9A%E5%B1%A4%E6%AC%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%B7%A5%E7%A0%94%E9%99%A2.JPG" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E5%A4%9A%E5%B1%A4%E6%AC%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%B7%A5%E7%A0%94%E9%99%A2.JPG" style="width: 600px;" /></p> <p><strong>目前，工研院已經依照此一設想，開發出一款名為Janus的產品，以解決舊系統無法立即更新的風險危害，兼顧系統仍能維持正常運作的需求。當中重點設想就是，透過AI「自動」機制去建立網路信賴關係圖，以及細微到通訊協定的網路白名單政策，並且透過可小型化、擴產其他安全防護能力的隔離防護設備。</strong></p> <h3><span style="color:#0033ff;"><strong>應用程式零信任</strong></span></h3> <p>從應用程式的層面來看零信任，在2018年台積電發生機臺中毒事件後，許多端點防護廠商指出，應用程式白名單是工控環境重要思考面向。近年，我們看到工研院也不斷強調白名單技術的重要性。</p> <p>然而，現在有很多駭客懂得運用無檔案型態的攻擊手法，濫用作業系統本身底層的白名單來執行惡意，這要如何防守？陳柏渝表示，除了利用應用程式白名單的技術，同時，也要從源頭阻斷惡意程式進入系統執行的所有管道，包括網路下載、郵件附件、其他FTP等途徑的下載，以及經由系統漏洞的寫入，阻斷未列在白名單的任何程式。同時，還搭配行為關連的特徵分析，例如，一旦出現A+B的行為，就予以封鎖。</p> <p>其用意就是，要讓非白名單程式無法執行，並及時通知資安管理者，且希望大幅下降駭客植入惡意程式、DLL注入到合法程式的發生。</p> <h3><span style="color:#0033ff;"><strong>設備零信任</strong></span></h3> <p>這裡所談的設備零信任，主要聚焦於廣泛的實體設備安全防護議題，舉例來說，現在有許多工廠為了安全防護，會要求僅能使用公發特製手機，沒有攝影鏡頭、連接孔的資料傳輸介面也被移除，或者是使用資料外洩DLP防護機制管控；再者，對於USB儲存媒體，有些公司會透過金屬探測器搜身，將USB介面實體封鎖，或是只允許經公司註冊的隨身碟使用，但也還要注意，電腦BIOS如果沒有鎖密碼，透過可開機的Windows PE USB，仍有機會被突破。</p> <p>從這些設備的角度來看，陳柏渝表示，現在工程師都會從網路找到很多突破方式，相應對策需要周延，而且，可關注的不只是USB隨身碟、手機，甚至樹莓派等各式硬體設備。</p> <h3><span style="color:#0033ff;"><strong>使用者／ACL零信任</strong></span></h3> <p>再從人的角度來看，智慧工廠就算再智慧，難免還是需要有人在裡面活動及管理，因此，還是要面對社交工程與釣魚，以及員工上網無法得知網站與檔案潛藏風險的問題。</p> <p>這裡陳柏渝談到了兩種零信任的資安對策，簡單來說，一種就是郵件與附件清洗的檔案威脅清除（CDR）技術，一種是人員隔離上網的技術，包括VDI，以及Web Isolation上網安全隔離的解決方案。</p> <h2><strong>還要關注5G、AI演算法，以及供應鏈安全議題</strong></h2> <p>最後，從5G的資安議題來看，不論是5G核心網路、基地臺與邊緣安全，從其整體結構來拆解，也可分成設備、虛擬機，K8s的形式，若從駭客攻擊思維來設想，陳柏渝也列出10多種攻擊方式，舉例來說，像是晶片安全設計、5G核心弱點、緩衝區溢位攻擊、潛在弱點、惡意容器、假基地臺、中間人攻擊、DDoS，以及攻擊災防告警細胞廣播訊息系統（PWS）等。而且，在5G路由器、5G應用終端方面，也有數十種可能遭遇的攻擊模式，需要面對。</p> <p>因此，在5G網路上運行的智慧工廠應用，也就無法迴避5G資安方面的議題。</p> <p>除此之外，這裡其實還有兩個重要議題，同樣與智慧工廠的資訊安全息息相關，那就是AI演算法及供應鏈，它們也是未來需持續關注的資安議題。</p> </div></div></div>
2022/11/3 12:52作者羅正漢https://www.ithome.com.tw/news/153984
蘋果前員工收回扣、虛報發票，向蘋果詐騙1,700萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名自2008年至2018年任職於蘋果的Dhirendra Prasad，<a href="https://www.justice.gov/usao-ndca/pr/former-apple-employee-admits-defrauding-apple-more-17-million" target="_blank">本周向美國聯邦法院坦承詐騙了前雇主</a>，在擔任蘋果全球服務鏈採購的角色時，從2011年就開始藉由收取回扣、虛報發票、竊取零件，還讓蘋果為從未收到的項目與服務付款，造成蘋果損失了逾1,700萬美元。他的兩名同謀為兩家蘋果供應商的老板Robert Gary Hansen及Don Baker。</p> <p>Prasad承認的其中一個案件是他在2013年時，把蘋果庫存中的主機板運至Baker的公司CTrends，之後再把這批主機板賣回給蘋果，Prasad與Baker再平分不法所得。2016年Prasad亦以同樣的手法，將蘋果庫存中的零件送到Hansen的公司Quality Electronics Distributors，Hansen把零件重新包裝之後，充當是新的再賣回給蘋果。</p> <p>Prasad也涉及了逃漏稅，例如要求Hansen把不法所得直接匯給Prasad的債權人，或是透過空殼公司開立發票予CTrends來隱藏Baker的收入，使得美國國稅局損失超過180萬美元。</p> <p>對於Prasad的詐騙行為，美國政府還發起了一項民事沒收訴訟，以沒收Prasad詐騙而來的資產，包括不動產以及他的多個金融帳戶，總價值約為500萬美元，本周Prasad已同意將相關資產交給美國政府。</p> <p>現年52歲的Prasad坦承執行郵件詐欺與電信詐欺，最高可被判刑20年，另一個共謀詐欺的罪名也有5年的最高刑期，但實際刑期將在明年3月宣判。</p> </div></div></div>
2022/11/3 14:50作者陳曉莉https://www.ithome.com.tw/news/153993
企業科技形象的養成
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近，台積電在臺北國際會議中心舉辦了一場截然不同的大型研討會，由CIO帶頭開場，連同4大IT部門的技術主管相繼登臺分享，這是第一次，台積電詳細揭露了兩年來的IT數位轉型經驗。</p> <p>這場活動吸引超過1,500人報名，不只是對台積IT感興趣的科技從業人員，許多參加者來自IT廠商，軟體外商、雲端供應商、本土資服業，甚至新竹科學園區多家科技大廠、記憶體大廠，都派人北上來參加。台積沒有拒絕同業或是IT廠商前來取經。</p> <p>現場甚至設立專家面對面和技術團隊解說站，不只CIO和部門主管，更派出好幾位IT團隊資深人員，一一回答參加者的各種問題。專家面對面排隊人潮多，只好限制發問時間，更有人趁機向技術主管索取簽名，就像粉絲見面會一樣。</p> <p>四個IT部門解說站圍成了4圈人群，參加者一邊盯著立桌上筆電螢幕的分工架構圖，一邊耳聽台積PM介紹組織改組後的新架構和技術發展。這場活動還用開源筆記平臺開了技術對談共筆，雲原生技術場次的共筆最豐富，得連續拖拉好幾個螢幕才看得完。雖然這是台積電第一次的IT技術日，辦得就像是場典型網路科技公司的技術大會一樣。</p> <p>台積電不是這幾年唯一一家舉辦技術大會的非網路科技公司，國泰金控早在2020年中，就舉辦了臺灣首次，也是全球少見的金融技術年會。技術年會向來是各大科技公司每年發表新技術和新戰略的固定活動，不只揭露新一代產品，也是大秀技術研發力的重要場合。</p> <p>為何，不是以IT技術服務或IT產品為主的企業，也要學科技公司辦起大型技術研討會，來展現IT應用成果?不論台積電或國泰金控，都沒有說太多。</p> <p>但這兩家公司都有一個共同之處，就是要以一家科技公司的思維來推動轉型。國泰想要打破金融刻板的技術保守印象，成為一家提供金融服務的科技公司，而非金融公司。而台積電則想要借鏡科技公司的做法，來改造原有IT的組織和技術架構，支援企業全球化營運的需求。</p> <p>國泰金控不只一年，後來甚至變成慣例似的，每年都舉辦大型技術年會活動，來展現當年的新成果。而台積電雖然只舉辦了第一次，但我真的希望明年、後年都能繼續看到台積IT技術日的舉辦。</p> <p>這幾年許多積極推動數位轉型的企業，都苦於IT人才難覓。各方大搶IT人才的情況下，薪水不是IT好手唯一的考量，企業的科技形象也成了另一個重要的考量。這是我認為，促使非I T公司，如國泰金控、台積電開始效法科技公司舉辦技術大會的重要原因，就是為了搶IT人才。要讓外界看到自己的IT實力媲美一流科技公司的環境和技術，來營造自己也是科技公司的印象。</p> <p>但是，網路科技公司的科技形象，絕非只是舉辦一場研討會就可以塑造。不論是技術年會或是IT技術日活動，必須拿出實實在在的技術應用和細節，派出第一線實作人員，才能獲得技術人員的青睞和口碑。因此，膽敢舉辦技術大會的非IT產業公司，得在IT技術運用，有一番投入和成果，才辦得成。</p> <p>除此之外，平常也得經常與技術社群對話，例如到各社群活動擺攤，開放甚至鼓勵員工在社群活動中分享，或是得積極參與開源專案，不只是使用開源技術，還要將內部開發的程式碼，對外釋出變成開源專案，從使用者的角色，變成開源的貢獻者等，才能讓技術社群成為自家科技印象的放大器，逐漸累積自己在開發社群中的好口碑。</p> <p>這些都是國外知名科技公司或科技新創習以為常的事，臺灣大型企業若想要變身成一家科技公司，也得向這些科技公司的日常來借鏡。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8F%B0%E7%A9%8D%E9%9B%BB">台積電</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7">國泰金控</a></div><div class="field-item even"><a href="/tags/it%E6%8A%80%E8%A1%93%E6%97%A5">IT技術日</a></div><div class="field-item odd"><a href="/tags/%E6%8A%80%E8%A1%93%E5%B9%B4%E6%9C%83">技術年會</a></div><div class="field-item even"><a href="/tags/%E4%BC%81%E6%A5%AD%E7%A7%91%E6%8A%80%E5%BD%A2%E8%B1%A1">企業科技形象</a></div></div></div>
2022/11/3 14:51作者王宏仁https://www.ithome.com.tw/voice/153994
Google擴大Google Play Games測試至美洲與東南亞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年1月率先於臺灣、香港及南韓<a href="https://www.ithome.com.tw/news/148999" target="_blank">測試</a><a href="https://www.ithome.com.tw/news/148999" target="_blank">Google Play Games</a><a href="https://www.ithome.com.tw/news/148999" target="_blank"> on PC</a>，讓Windows用戶也能在電腦上執行Android遊戲，繼之於8月擴大至泰國與澳洲，並讓更多使用者參與測試，<a href="https://android-developers.googleblog.com/2022/10/google-play-games-beta-on-pc-continues-global-expansion.html" target="_blank">本周則宣布</a>將讓所有位於美國、加拿大、墨西哥、巴西、印尼、菲律賓、馬來西亞與新加坡的使用者下載Google Play Games測試版，同時調降可執行Google Play Games的系統需求。</p> <p>安裝<a href="https://support.google.com/googleplaygamesonpc/answer/11358071#minimum_requirements" target="_blank">Google Play Games的最低系統需求</a>為Windows 10作業系統，至少應有10GB的硬碟空間，具備8GB記憶體，Intel UHD Graphics 630等級以上的GPU，4核心以上處理器，也必須啟用硬體虛擬化功能，之後即可下載Google Play Games測試版。</p> <p>Google表示，在Windows電腦上執行Android遊戲將可帶來更好的圖像效果，還能使用鍵盤與滑鼠，亦可同步電腦與手機上的遊戲進度與Play Points。目前Google Play Games測試版提供85款行動遊戲供PC玩家使用。</p> <p><a href="https://www.ithome.com.tw/news/153375" target="_top">Google甫於今年9月宣布</a>，將在明年1月關閉遊戲串流平臺Stadia，2019年問世的Stadia原本計畫將遊戲透過雲端傳遞到電視、筆電、桌上型電腦、平板電腦與手機等各式裝置上，最後卻因吸引玩家的能力不如預期而宣告失敗。</p> <p>而Google Play Games同樣也標榜可讓使用者可將遊戲切換至不同裝置上執行，包括手機、平板電腦、PC或Chromebook等，同時強調開發人員只要撰寫一個Android遊戲，就能適用於不同的平臺。不過，比起Stadia，Google對於Google Play Games的宣傳與推動似乎低調也謹慎了許多。</p> </div></div></div>
2022/11/3 14:07作者陳曉莉https://www.ithome.com.tw/news/153987
GovTech月報第12期：健保署正研議讓虛擬健保卡放至手機錢包，可NFC感應、離線使用；美國發布AI新法案藍圖，要保…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1004~1103)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">健保卡</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">手機錢包</span></font> </strong></p> <p><span style="font-size:22px;"><strong>健保署研議將虛擬健保卡放至手機錢包</strong></span></p> <p>健保署署長李伯璋近期在一場醫療院所資訊主管會議中透露，健保署正研議將虛擬健保卡放置手機錢包的可行性。此外，為了完備遠距診療的金流，健保快易通App準備支援Line Pay、街口支付、阿佩支付等等，讓民眾使用居家醫療服務，透過各種線上支付工具支付費用。</p> <p>李伯璋透露，近期有手機作業系統業者接觸健保署，希望能將虛擬健保卡放入手機錢包，健保署正研議可行性。目前民眾使用虛擬健保卡，需開啟健保快易通App，通過線上身分驗證，才能從健保署取得QR Code。未來若開放虛擬健保卡放至手機錢包，使用時可以手機NFC感應，並且在離線下使用，即使在手機電量低或網路使用受限下也能使用。此外，不只手機，也可透過智慧穿戴裝置如智慧手錶使用。不過，健保署並未透露開放時程，以及接觸的手機作業系統廠商，僅表示目前仍在討論階段。</p> <p>至於健保快易通App將擴大支援更多線上支付工具，健保署規畫串接民眾較常用的Line Pay、街口支付，以及專門應用在醫療的阿佩支付。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">權利</span></font> </strong></p> <p><span style="font-size:22px;"><strong>美國白宮發布AI權利法案藍圖，避免AI偏見與歧視危害人們權利</strong></span></p> <p>隨著AI愈來愈普及，AI的自動化、智慧化雖帶來便利，但也可能在不知不覺中侵害部分民眾的權利，可能因潛藏的偏見或歧視致使人們權利被侵害。美國白宮科技政策辦公室近日提出AI權利法案藍圖（Blueprint for an AI Bill of Rights），以協助AI自動化、智慧化發展的同時，保障民眾的權利。</p> <p>此一法案藍圖提出5大保護原則，包括建立安全及有效系統、避免演算法的歧視、保障個人隱私、說明自動化系統依據及用途，以及提供使用者退出。白宮科技政策辦公室期待，AI系統在設計之初，就納入保障人權的概念，讓AI嘉惠所有人，不因演算法的錯誤，導致其他人無法享受應有的權利。</p> <p>近來在AI發展下，保障人權意識抬頭，今年9月底，歐盟提出AI責任指令（AI Liability Directive），因AI的錯誤或疏失導致傷害，協助受害者向業者取得相關證據，以要求獲得賠償。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技執法</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺北市擴大交通科技執法，年底20處路口靠AI抓違規</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5e693958-e92d-4189-ba36-bb31619187bf.jpg" style="width: 600px; height: 450px;" /></p> <p>臺北市在今年1月於鄭州路、西寧北路口啟用路口多功能科技執法設備後，統計至9月止，每月平均交通事故較前3年月平均下降3成，鑑於成效顯著，臺北市年底前將擴大科技執法，將在20處易肇事路口設置設備，已在9月底完成設置，目前為測試及宣導期，年底前將開始啟用。</p> <p>這20個路口涵蓋臺北市大型主要幹道路口，包括市民大道與承德路口、民權西路與承德路口、市民大道與敦化南路口、忠孝東路與基隆路口、和平東路與基隆路口、市民大道與中山北路口、信義路與基隆路口等。</p> <p>針對車輛不禮讓行人、闖紅燈、違規停車、跨越雙白線、佔用機車停等區、機車行駛人行道等違規行為，由AI辨識車種，判斷違規行為及違規路徑，再由員警在後端管理平台審查，確認違規事實後舉發。強調可減輕員警工作負擔、提升執勤安全外，並可避免執法爭議。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> </strong></p> <p><span style="font-size:22px;"><strong>南韓最快將於2024年以區塊鏈推出數位身分</strong></span></p> <p>媒體近期報導，南韓準備採用區塊鏈技術推出數位身分，該數位身分將以App方式推出，民眾可以手機取代傳統實體身分證，使用於金融、健康、稅務上，估計2年內約有4,500萬名南韓公民使用。</p> <p>南韓政府強調結合區塊鏈去中心化、不可篡改特性，因資訊儲存在用戶的手機，包括如何使用及在何處使用數位身分，保護民眾隱私，也預期這項計畫將使尚未完全轉型為線上服務的產業加速轉型，估計帶來經濟價值，約3%的GDP成長。</p> <p>在此之前，南韓在2020年以區塊鏈推出數位駕照，民眾可以在手機下載PASS App，上傳駕照資料後，經警方審核後，從區塊鏈平臺產生一組QR Code，可代替實體駕照出示使用，例如租車、購買菸酒。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">環境保護</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺中市環保局靠無人機科技執法，揪出環境污染兇手</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%8B%E7%94%A8%E7%A9%BA%E6%8B%8D%E6%A9%9F%E8%AA%BF%E6%9F%A5%E5%82%BE%E5%80%92%E5%BB%A2%E6%B6%B2%E5%9C%9F%E5%9C%B0%E7%AF%84%E5%9C%8D%E5%8F%8A%E5%91%A8%E9%82%8A%E7%92%B0%E5%A2%83%E7%8B%80%E6%B3%81.jpg" style="width: 600px; height: 400px;" /></p> <p>傳統查緝環境污染費時費力，臺中市環保局導入科技執法，利用無人機在高空進行稽查蒐證，找出環境污染真兇，該單位也鼓勵員工取得無人機操作證，目前已有基本級操作證31張、專業高級操作證24張，從今年3月到目前為止，已執行52次環保案件飛航。</p> <p>例如在今年9月，臺中市環保局對龍井地區進行空拍巡查，發現一處土地以鐵皮圍籬隔絕外部，圍籬內堆放大量不明塑膠廢棄物，後續追查廢棄物來源予，以違反廢棄物處理法移送偵辦；今年10月偵破一宗開挖土地傾倒強酸廢液案件，並運用無人機空拍，調查傾倒廢液土地範圍及周邊環境。</p> <p>臺中市環保局表示，運用無人機從高空拍攝進行稽查，具有更寬廣的稽查視野，突破以往平面稽查限制，對環保違規、犯罪查緝提供助力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">5G</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧交通</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺南市推5G智慧交通應用，靠AI確保行人用路安全、疏導壅塞車流</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/b9ac9e61-d6d0-4523-b364-6444af9863d0%40710x470.jpg" style="width: 600px; height: 400px;" /></p> <p>臺南市政府近期展示5G智慧交通應用成果，5G智慧交通應用選在高鐵、大台南會展中心、三井Outlet等站點聚集，人潮、車流估計將大幅成長的沙崙地區作為示範場域。該應用結合智慧路側設施、5G網路傳輸，以及可辨識10種以上車種的AI，即使在夜間、下雨、霧等天候下，強調仍能辨識準確率達9成以上。</p> <p>市府展示兩項應用，其中之一為「AI道路安全示警」，在歸仁七路與高發一路路口，例如在天候不佳、視線不良時，提醒車輛駕駛注意行人穿越馬路，確保行人安全。</p> <p>另一項應用則是「AI車流壅塞疏導」，在歸仁一路與高發二路路口，利用AI辨識台86線匝道車流，辨識車流、轉向，透過API將分析結果送至交控中心，協助掌握區域內車流壅塞情形，中心再派送資訊至交流道口的資訊可變標誌。這兩項應用24小時蒐集路口車流資訊，回傳至交通局交控中心平台，作為未來人潮、車流分析運用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物流</span></font> </strong></p> <p><span style="font-size:22px;"><strong>高雄展示物流無人機新應用，測試以無人機從港口運送物資到船舶</strong></span></p> <p>無人機應用愈來愈普及，有港都之稱的高雄市近期展示一項物流無人機計畫，在高雄港展示無人機從岸到船的載貨成果，將包裏安裝至無人機後，無人機依照排定時程，飛行抵達地點後自動降落下貨，再自動起飛返回，強調運送過程自動執行，現場沒有飛手遙控飛行，減少物流所需人力。</p> <p>這項應用的一大特色是從岸到船，由無人機運送輕量物資，從高雄港碼頭出發，飛行跨越高雄港海上港勤船，以無人機進行岸到船的運送服務驗證，以取代傳統小型物資的海上運送，透過船隻遞送，改由成本更低的無人機配送。這項無人機測試，相較於無人機物流定點投放，由於配送的船隻會因海浪漂移，因此頗具挑戰性。</p> <p>這次參與展示的無人機廠商，先前也與中華郵政合作，在新竹尖石鄉測試偏遠地區無人機投遞服務，利用無人機載送口罩、信件等輕量包裏，利用空中飛行投遞，節省山區行駛車輛所需耗費的時間。</p> <p> </p> <p>圖片來源／臺北市政府、臺中市政府、臺南市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.</strong>嘉<strong>義市打造空氣品質感測物聯網，監測5大PM 2.5污染熱區</strong></p> <p><strong>2.桃園市展示大數據平臺及應用</strong></p> <p>資料來源：iThome整理，2022年10月</p> </div></div></div>
2022/11/3 14:13作者蘇文彬https://www.ithome.com.tw/news/153983
Meta公開效果比MP3好10倍的AI語音壓縮技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/ai-powered-audio-compression-technique/" target="_blank">Meta本周公布</a>一項以AI壓縮音訊的技術，便於在較低頻寬的網路上傳送語音或音樂檔案。</p> <p>即使今天網路已頗為便利，但使用串流多媒體、傳送高品質音樂仍需要相當大的頻寬及儲存空間，若提升到元宇宙的體驗，將對網路頻寬帶來更大負擔，也提升業界對壓縮技術的需求。Meta的基礎AI研究（Fundamental AI Research，FAIR）部門本周展示AI音訊超壓縮（hypercompression）技術，號稱可在低頻寬網路傳送聲音檔案，而不會發生斷斷續續甚至失聲情形。</p> <p>FAIR小組的方法是建了一個名為EnCodec模型系統，運用AI全程訓練，使之可以壓縮音訊檔到設定的目標。EnCodec包含三部份，分別是編碼器（encoder）、量化器（quantizer）及解碼器。編碼器可以將原始資料轉成較高維度及較低影格率（frame rate）的格式，量化器則將這格式資料壓縮。研究人員表示，量化器經由訓練能壓縮資料到計畫團隊想要的大小，同時保留最重要的資訊，後者角色如同MP3檔，可用以儲存或在網路上傳送。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-Meta-%20EnCodec-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>最後一步是解碼器，可將壓縮訊息重建為類似原始音訊的波形。研究人員說其中關鍵在於發現人類察覺不到的變化。為此FAIR團隊利用鑑別器（Discriminator）來提升生成樣本（generated sample）的永久品質；鑑別器負責比對原始樣本和生成樣本的差異。因此，壓縮模型試圖改良生成樣本，最終目的產生品質可騙過鑑別器的樣本。</p> <p>在一項針對1.5kbps到12kbps低位元速率（bit rate）語音壓縮測試中，標註員比對包括Google最新Lyra-v2、Meta EnCodec等壓縮方法，以及未壓縮原始音訊。根據Meta研究小組說明，EnCodec在各種頻寬及音訊品質上，都能在單一CPU核心系統上即時編碼及解碼。此外， EnCodec（6kbps）壓縮率是MP3（64kbps）的近10倍。雖然以神經網路壓縮音訊的方法以前也有人做過，但是Meta強調它是第一家將AI技術用於48kHz（約等於CD音質）立體聲音的。</p> <p>目前Meta這項語音壓縮技術尚未涵括影像檔，不過身為<a href="https://www.ithome.com.tw/news/153848" target="_blank">積極開發元宇宙不惜一切</a>的公司成員，FAIR團隊表示已展開對影像應用的研究，如視訊會議、串流電影，或是在VR環境中和友人一起打Game。</p> <p>Meta也將EnCodec技術的程式碼及樣本<a href="https://github.com/facebookresearch/encodec" target="_blank">公布在GitHub上</a>，也公布了<a href="https://arxiv.org/abs/2210.13438?fbclid=IwAR2m5ZHZgDo01Rn0eURMTWSJsVJ9sZwrogAWCKyxhFh1uN_Gl8bNsqNlyls" target="_blank">技術白皮書</a>。</p> </div></div></div>
2022/11/3 13:00作者林妍溱https://www.ithome.com.tw/news/153985
Google正式關閉Hangouts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151633" target="_blank">一如Google今年6月的預告</a>，Google正式在本周二（11/1）關閉文字、影音聊天App Google Hangouts。</p> <p>4個月前，<a href="https://support.google.com/chat/answer/9854901" target="_blank">Google宣布分階段關閉Hangouts</a>，先是於7月關閉Android及iOS版Hangouts，也無法使用Chrome瀏覽器的Hangouts外掛。用戶必須升級到Web版Chat、Gmail中的Chat，或是安裝Chat App。Google規畫，會在11月1日關閉Web版Hangouts，並將Hangouts用戶導向Web版Chat，訊息及聯絡人資料也會轉到Chat。</p> <p>依據Google的規畫，Web版Hangouts已在本周二關閉。Google並計畫將會在2023年1月1日刪除Hangouts資料。</p> <p>Google Hangouts是Google文字傳訊App不怎麼成功的嘗試。它最初是Google +的一項功能，之後獨立成App，它在Google Play Store上的下載次數高達50億。2017年Google將Hangouts拆成視訊的Meet及文字傳訊用的Chat，又在2020年將Hangouts Meet的名稱改成Google Meet，顯示將淡化Hangouts品牌。果不其然，Google 2021年就允許Hangouts用戶轉到Chat，2022年6月再鼓勵用戶轉到Gmail中的Chat，或是Chat App。</p> <p>雖然Google能將大部份Hangouts對話自動搬移到Google Chat，但仍有部份對話無法成功轉移。針對一些資料移轉失敗的案例，Google已在9月間以電子郵件通知這些用戶。</p> <p>在11月為Hangouts畫上休止符後，Google提醒，如果用戶還想保留Hangouts資料，Google建議用戶應在今年12月31日以前，以移轉工具<a href="https://support.google.com/chat/answer/9854901" target="_blank">Google Takeout</a>下載備份。</p> </div></div></div>
2022/11/3 11:31作者林妍溱https://www.ithome.com.tw/news/153981
Meta將提供工具以讓IG創作者鑄造及銷售NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta自今年5月開始<a href="https://www.ithome.com.tw/news/150850" target="_blank">測試Instagram上的數位收藏品</a>功能，允許創作者及收藏家藉由個人檔案來展示他們所擁有的非同質化代幣（Non-Fungible Token，NFT），<a href="https://about.fb.com/news/2022/11/new-creators-tools-facebook-and-instagram/" target="_blank">本周則進一步宣布</a>，準備提供一系列的工具，讓創作者可鑄造及銷售NFT。</p> <p>Meta表示，將於美國開始小規模地測試相關功能，所提供的工具包括可於Polygon區塊鏈上鑄造NFT，以及讓創作者展示及銷售NFT，粉絲們則能透過Instagram購買這些NFT，且希望很快就能將相關測試部署至更多的國家。</p> <p>此外，Instagram上的數位收藏品展示項目將額外支援影片，並新增對Solana區塊鏈及Phantom錢包的支援。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/11/02_DIGITAL-COLLECTIBLES.png?resize=890%2C775?w=1024" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>迄今Instagram已允許使用者展示來自以太坊（Ethereum）、Polygon及Flow區塊鏈上的NFT，所支援的數位錢包則包括Rainbow、MetaMask、Trust Wallet、Coinbase Wallet與Dapper Wallet 。</p> <p><a href="https://medium.com/@skasriel/how-blockchain-can-unlock-a-better-creator-economy-32ee37ab054e" target="_blank">Meta的商業與金融科技主管Stephane Kasriel則說</a>，區塊鏈將可帶來更好的創作者經濟，原因之一為區塊鏈讓使用者的資產及體驗都能跨平臺移植，為了鼓勵創作者加入Instagram的NFT創作者行列，Meta承諾在2024年之前，將不會向創作者收取任何鑄造或銷售數位收藏品的費用，推出之際還會替買家支付區塊鏈手續費（Gas Fee）。</p> </div></div></div>
2022/11/3 12:14作者陳曉莉https://www.ithome.com.tw/news/153982
量子運算新創QuEra推出第一個商用中性原子量子電腦Aquila
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子運算新創QuEra在AWS量子運算服務Amazon Braket上，推出中性原子（Neutral Atoms）量子計算機<a href="https://www.quera.com/press-releases/queras-quantum-computer-aquila-now-available-on-amazon-braket">Aquila</a>，這是目前市面上第一個公開上市的中性原子量子計算機，可用於探索高能物理、最佳化、材料科學等複雜問題。</p> <p>QuEra是中性原子先進量子計算機製造商，該公司正在建構更具擴展性的量子電腦，解決當前商業相關應用中，經典但又難以解決的問題。不同於使用約瑟夫接面（Josephson Junction）和離子阱作為量子位元的系統，Aquila使用中性原子作為量子位元，在理論和實踐中，皆顯示中性原子能夠更有效率的編碼，因此目前中性原子被認為較其他方法更具擴展性。</p> <p>用戶現在可於Amazon Braket上取用Aquila，該中性原子量子機器擁有強大的運算能力，其提供多達256量子位元，官方還計畫要擴展至更多的量子位元數。Aquila的設計由特定系統大小、一致性和創新類比量子處理模式構成一個獨特的組合，提供新的量子應用開發自由維度。</p> <p>另外，Aquila還提供了靈活重新配置量子位元定位的功能，也就是説，用戶能夠在每次計算使用新的晶片布局。QuEra所開發的量子模擬套件Bloqade彌補了硬體的不足，協助用戶在中性原子量子架構中描述問題。</p> <p>而AWS也提到，Aquila在Amazon Braket提供了中性原子量子計算能力，擴展了Amazon Braket可執行的應用程式類型。</p> <p>QuEra仍繼續開發大規模通用容錯基於量子閘的量子電腦，以解決古典電腦無法解決的問題，Aquila的模擬操作則建立在同一個平臺上，其代表了另一種量子運算方法，替複雜問題提供商業解決方案。</p> </div></div></div>
2022/11/3 10:29作者李建興https://www.ithome.com.tw/news/153976
Google擴大AI洪水、野火預測服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/sustainability/cop27-adaptation-efforts/" target="_blank">Google昨（2）日宣布將擴大</a>提供以人工智慧（AI）為基礎的洪水及野火預測服務。</p> <p>Google是在下周於埃及舉行的聯合國氣候變遷會議COP27前，宣布擴大提供這兩項服務。首先，<a href="https://www.ithome.com.tw/news/133224" target="_blank">Google自2018年起</a>就使用機器學習提供洪水氾濫預警服務。去年則透過Google Maps及搜尋服務發布了1.1億則預警通知給約2,300萬人。本周，Google再宣布，整合了最新洪水預測模型的河道氾濫預測，將擴大到非洲、南美及東南亞等新增的18個國家，包括巴西、哥倫比亞、斯里蘭卡、南非等。Google也宣布<a href="https://sites.research.google/floods/" target="_blank">FloodHub</a>於全球上線，這個平臺將展示洪水氾濫的時間點及區域，Google也說會持續增加這服務的提供區域。</p> <p>其次Google也擴大了野火預測。<a href="https://www.ithome.com.tw/news/147000" target="_blank">Google去年首度提供</a>野火區域預測。這項服務是運用衛星影像訓練的新AI模型預測野火區域邊緣，再即時顯示在搜尋及Google Maps上。從7月起Google已透過搜尋和地圖通報了30多起美加地區野火事件，今天Google宣布這項服務再增加墨西哥及部份澳洲地區。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1103-google%20wildfire.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p>此外，Google也投入颱風／颶風的AI研究。Google除了在搜尋及地圖上顯示權威氣象機關提供的颱風／颶風路徑預測，也開始利用機器學習方法分析災後地區衛星影像，以辨識需要救助的地區。</p> <p>針對其他環境的AI應用，Google還有像是交通燈號優化<a href="https://blog.google/outreach-initiatives/sustainability/sustainability-2021/" target="_blank">Project Green Light</a>、<a href="https://www.google.com/earth/outreach/special-projects/air-quality/" target="_blank">球樹冠分布</a>、空氣品質顯示、<a href="https://www.ithome.com.tw/news/140495" target="_blank">智慧農業氣候預測</a>、蝗災預測等專案。</p> </div></div></div>
2022/11/3 10:51作者林妍溱https://www.ithome.com.tw/news/153979
Gartner預測明年全球公有雲支出仍將成長20.7%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gartner.com/en/newsroom/press-releases/2022-10-31-gartner-forecasts-worldwide-public-cloud-end-user-spending-to-reach-nearly-600-billion-in-2023" target="_blank">市場研究機構Gartner本周指出</a>，2023年全球終端使用者花在公有雲服務上的支出可望成長20.7%，達到5,918億美元，成長率比今年的18.8%還高。</p> <p>Gartner副總裁分析師Sid Nag表示，現階段的通貨膨脹壓力與總體經濟狀況正在對雲端支出產生推拉效應，雲端運算將繼續成為安全及創新的堡壘，因其敏捷、彈性與延展的特性可在不確定的時期支援成長。</p> <p>而在Gartner所列出的各種雲端服務中，將以基礎設施即服務（Infrastructure-as-a-service，IaaS）成長幅度最大，相關支出預計從今年的1,157億美元成長到明年的1,503億美元，增加29.8%。</p> <p>依照Gartner的分類及預測，明年各種雲端服務的支出規模依序是軟體即服務（SaaS）的1,952億美元（成長16.8%），基礎設施即服務（IaaS）的1,503億美元（成長29.8%），平臺即服務（PaaS）的1,364億美元（成長23.2%），業務流程即服務（BPaaS）的651億美元（成長8.3%），雲端管理與安全服務的417億美元（成長22%），以及桌面即服務（DaaS）的31億美元（成長22.3%）。</p> <p>Nag認為，遷移至雲端的腳步並不會停止，隨著企業加速IT的現代化以降低風險並優化成本，IaaS支出自然會持續成長，此外，企業也能藉由訂閱來減少資本支出，在需要現金來維持營運的環境中將是個關鍵優勢。</p> </div></div></div>
2022/11/2 21:35作者陳曉莉https://www.ithome.com.tw/news/153978
Amazon市值低於1兆美元，接近疫情前水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球電子商務暨雲端運算龍頭Amazon的股價連5日下跌，到周二（11/1）收盤時已跌至96.79美元，市值跌破1兆美元，只剩9,874億美元，是2020年4月以來的最低價，接近疫情前水準。</p> <p>Amazon在10月25日收盤時還有120.6美元，但5天以來已跌了19.7%，如果觀察今年以來的表現，則是跌了43.2%。</p> <p><a href="https://www.ithome.com.tw/news/139508" target="_blank">蘋果、Amazon、微軟與Alphabet在2020年8月時</a>，市值皆超過1兆美元，<a href="https://companiesmarketcap.com/" target="_blank">而最新的數據顯示</a>，市值最高的是蘋果的2.4兆美元，微軟也有1.7兆美元，Alphabet則是1.17兆美元，但Amazon已不再是兆元俱樂部的成員。</p> <p><a href="https://www.cnbc.com/2022/11/01/amazon-plunge-pushes-valuation-below-1-trillion-first-time-since-2020.html" target="_blank">《CNBC》則說</a>，Amazon是美國科技巨擘中第二慘的，最慘烈的無非是Meta。Meta今年1月初的股價為338.54美元，但本周二（11/1）的收盤價為95.2美元，下滑了72%，此外，曾在去年躋身兆元俱樂部的Meta，現在的市值只剩2,524億美元。</p> </div></div></div>
2022/11/2 20:59作者陳曉莉https://www.ithome.com.tw/news/153977
跨平臺網頁開發框架ASP.NET Core 7效能大提升，正式支援HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟跨平臺網頁開發框架ASP.NET Core即將迎來第7個主要版本，由於.NET 7對效能的諸多改善，<a href="https://devblogs.microsoft.com/dotnet/performance-improvements-in-aspnet-core-7/">ASP.NET Core 7</a>也同時受益，官方解釋，由於.NET 7在效能部分的提升，許多方面直接或間接地強化ASP.NET Core效能。</p> <p>ASP.NET Core 7從.NET 7中獲益，使Ampere機器可更好地擴展，並且獲得巨大的效能提升。Ampere機器是以Arm處理器為基礎，擁有大量核心，因為其低功耗和平價的優點，被用於許多雲端伺服器，但這些機器過去並無法很好的擴展，而.NET 7對全域執行緒池佇列，和Socket連線使用的記憶體進行分區，改善了這個缺點。</p> <p>微軟解釋，分區能夠使核心在自己的佇列上運作，減少競爭並提高大型核心機器的可擴展性。微軟在80核心的Ampere機器上實驗，明文平臺基準效能提高了514％，JSON平臺基準效能也提高了311％。</p> <p>但是為了提高效能，ASP.NET Core 7也做出一些妥協，因為現在有多個佇列被讀取，因此不再保證工作項目能以嚴格的FIFO排序進到全域執行緒佇列中，另外，當機器處在低負載狀態，要進行工作竊取（Work stealing）時，因為現在需要搜尋更多的佇列，因此可能使CPU使用率略為增加。</p> <p>由於拋出異常可能成本高昂，而ASP.NET Core 7讓開發者可以掌握網頁伺服器Kestrel的Socket傳輸區域，因此開發者可進一步避免程式在連接關閉期間，在特定層拋出異常，微軟提到，在他們的測試中，不拋出異常能夠降低CPU使用率，特別是在Linux上，可以降低10％ CPU使用率。</p> <p>微軟在ASP.NET Core 6中，更新許多Kestrel中的非同步讀取方法，減少從請求中讀取所使用的記憶體，微軟在ASP.NET Core 7擴展了這項改進，最明顯的是在WebSockets的使用案例上，過去ASP.NET Core 6進行1,000次讀取，系統需要分配3,000個狀態機，也就是說，每次讀取系統就需要分配3個獨立的狀態機，而ASP.NET Core 7消除了所有WebSocket連接讀取的狀態機分配。</p> <p>ASP.NET Core 6中Kestrel的HTTP/2處理，在特定情況存在較高的鎖爭用（Lock Contention），而ASP.NET Core 7消除了大部分鎖爭用的機會。微軟解釋，HTTP/2在單一連接上可以有多個串流，當一個串流寫入連接時，便需要一個鎖來阻塞其他並行的串流，他們測試了幾種方法，最後藉由在一個頻道中佇列所有寫入，並讓單一取用者任務程序來處理佇列，執行所有的寫入工作，進而消除大部分爭用，使伺服器不再被鎖爭用阻塞。</p> <p>微軟在ASP.NET Core 6添加對HTTP/3的實驗性支援，在7.0中，HTTP/3已經不是實驗性功能，但仍是選擇啟用的項目。除了改善HTTP/3的可靠性、正確性和最終API定案之外，HTTP/3也有大幅度的效能提升，微軟改進客戶端和伺服器端用來壓縮標頭的QPack，QPack現在能以更有效率的方法壓縮傳送、接收標頭。</p> </div></div></div>
2022/11/2 21:02作者李建興https://www.ithome.com.tw/news/153970
Azure Cosmos Notebooks存在不需授權即可存取的嚴重漏洞，微軟火速修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Orca研究人員，近期發現微軟資料庫服務Azure Cosmos上的一個嚴重漏洞<a href="https://orca.security/resources/blog/cosmiss-vulnerability-azure-cosmos-db/">CosMiss</a>，其用於編寫程式碼的Azure Cosmos Notebooks缺少身分驗證檢查，所以只要攻擊者知道筆記本工作區的UUID，即擁有Notebook包括讀寫和修改等完整存取權限。</p> <p>這項漏洞在Orca向微軟回報之後，微軟火速在兩天內就修復了該漏洞，現在所有Cosmos DB Notebook都需要使用者在請求標頭提供授權令牌才能夠存取。</p> <p>CosMiss漏洞發現於Cosmos DB Jupyter Notebooks，Azure Cosmos是微軟的高效能NoSQL資料庫服務，而該資料庫服務提供互動式開發人員環境Jupyter Notebooks，讓開發人員可以創建、執行和共享程式碼、方程式，以及視覺化和描述性文字，也因為開發人員在Cosmos DB Notebooks中創建程式碼，其中可能包含許多敏感資料，包括嵌入在程式碼的私密金鑰等。</p> <p>CosMiss漏洞允許未經身分驗證的用戶，對Azure Cosmos DB Notebooks進行讀寫、注入程式碼和覆蓋程式碼，官方提到，這些權限相當於提供攻擊者遠端程式碼執行的能力。</p> <p>不過，攻擊者在發動攻擊之前，需要知道筆記本工作區的UUID（forwardingId），才能進一步利用該漏洞，而獲取forwardingId的唯一方法，是由經過身分驗證的用戶開啟Notebook，不過又因為forwardingId沒有被標記成機密資訊，因此用戶可能不會認知forwardingId為機密資訊，在未妥善保存的狀況，或將增加攻擊者成功盜取的可能性增加。</p> <p>Orca在10月3日向微軟報告了該漏洞，而微軟在兩天內快速修復了該漏洞，現在攻擊者已經無法利用該漏洞任意存取用戶的Azure Cosmos Notebooks。</p> </div></div></div>
2022/11/2 21:04作者李建興https://www.ithome.com.tw/news/153971
NetApp推出多雲統一資料控制平面BlueXP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路儲存裝置供應商NetApp針對混合多雲環境，推出統一資料控制平面<a href="https://www.netapp.com/newsroom/press-releases/news-rel-20221101-530154/">BlueXP</a>，簡化混合雲資料管理體驗，使用戶可以更簡單地跨本地和雲端環境，管理儲存和資料服務。</p> <p>NetApp BlueXP使用戶能夠管理廣泛的混合多雲資料資產，包括知名公有雲和本地儲存，官方提到，BlueXP採取AIOps驅動方法，協助用戶對資料服務執行部署、自動化、保護、治理等操作，支援企業雲端優先策略。</p> <p>BlueXP以SaaS的形式提供，讓用戶能夠使用全域控制平面，在混合多雲環境獲得可見性和控制能力，包括Amazon FSx for NetApp ONTAP、Azure NetApp Files、Google Cloud Volumes Service、Cloud Volumes ONTAP，以及NetApp AFF、FAS、StorageGRID和E-Series等企業就地部署儲存，用戶都可以在同一個控制臺進行管理。</p> <p>NetApp在BlueXP中應用了機器學習技術以降低人力需求，使用戶更能掌握資源負載和風險狀況，支援人工智慧的健康和狀態監控功能，提醒用戶關於基礎設施和工作負載的問題，同時提供主動指導避免可能發生的問題。</p> <p>BlueXP運用零信任模型，統一資料保護和安全控制，用戶可以在單一勒索軟體儀表板中，監控整個企業範圍存在的勒索軟體漏洞，並且透過滑鼠點擊就能修復多種問題。同時，BlueXP也提供資料治理總覽，供用戶完整檢視數位資產的法遵和權限，以機器學習功能稽核用戶和資料活動，偵測異常行為並立即採取相對應行動。</p> <p>另外，BlueXP可讓用戶在雲端和資料中心複製、同步、分層和快取資料，在主要雲端服務和企業就地部署儲存中，提供靈活的資料移動能力。</p> </div></div></div>
2022/11/2 21:06作者李建興https://www.ithome.com.tw/news/153973
【資安日報】2022年11月2日，Dropbox證實130個GitHub儲存庫遭竊、Azure Cosmos資料庫被發…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定開發者盜取GitHub帳號的手法，9月下旬傳出有人假借CI/CD平臺CircleCI的名義發動網釣攻擊，如今有大型網路公司受害──雲端檔案存取服務業者Dropbox遭到相關攻擊，駭客成功竊得130個GitHub儲存庫資料。</p> <p>資安業者揭露Azure Cosmos資料庫的身分驗證漏洞CosMiss，一旦遭到利用，攻擊者就有可能用於執行遠端命令（RCE），微軟獲報後已著手修補。</p> <p>2014年因HeartBleed漏洞而嚴重影響IT業界的開源程式庫OpenSSL，於10月底突然預告要修補一項重大漏洞，但在新版本推出後僅修補了高風險漏洞。開發團隊表示是因為原本認定的重大漏洞實際影響有限，而將其改列高風險等級。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://dropbox.tech/security/a-recent-phishing-campaign-targeting-dropbox"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端檔案存取服務業者Dropbox傳出130個GitHub儲存庫外洩事故，起因是員工遭到網釣攻擊</span></strong></a></h3> <p>駭客鎖定企業軟體開發部門下手的情況，<a href="https://www.ithome.com.tw/news/153254#circleci">近期有人假冒持續整合與交付平臺CircleCI的名義發動攻擊，竊取GitHub帳密資料</a>，這樣的攻擊行動如今傳出有大型線上服務業者受害。</p> <p>雲端檔案存取服務業者Dropbox於11月1日發出公告，表示他們遭到網釣攻擊，導致130個GitHub儲存庫被入侵。這些駭客假冒CircleCI向該公司員工發動攻擊，約於10月初就有員工收到相關郵件，一旦員工依照指示，就會被導向冒牌CircleCI登入網頁。攻擊者藉此取得部分員工的帳密，進而存取Dropbox其中一個GitHub據點，複製130個儲存庫，其內容包含該公司修改的第三方程式庫、資安團隊工具，以及數千名員工、客戶、供應商的姓名與電子郵件信箱，但不含Dropbox用戶端程式或是基礎設施的程式碼。</p> <p>GitHub於10月13日察覺異狀，並於隔日通報Dropbox。值得留意的是，Dropbox已導入專屬的OTP密碼產生器裝置，仍無法倖免於難，該公司擬規畫WebAuthn機制來防堵相關攻擊。</p> <h3><a href="https://securelist.com/apt10-tracking-down-lodeinfo-2022-part-ii/107745/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT10鎖定日本組織，以提供防毒軟體名義散布惡意軟體Lodeinfo</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tracking_down_the_LODEINFO_2022_part-I_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tracking_down_the_LODEINFO_2022_part-I_02.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露中國駭客APT10（亦稱Cicada）鎖定日本組織的攻擊行動，這些駭客自今年3月，利用魚叉式網路釣魚郵件發動攻擊，郵件挾帶了RAR自解壓縮檔案，企圖濫用防毒軟體K7Security Suite的元件，來載入惡意DLL程式庫K7SysMn1.dll，研究人員指出，由於此惡意DLL檔案由防毒軟體主程式側載（Side-loading），而使得電腦裡的防毒軟體可能不會將其視為有害，該DLL檔案執行後將會藉由XOR金鑰，解碼名為Lodeinfo的Shell Code。</p> <p>此外，研究人員於今年6月發現另一種攻擊手法，駭客使用惡意Word檔案並引誘受害者啟用巨集，然後透過名為Downiissa的Shell Code部署Lodeinfo。</p> <h3><a href="https://www.chinatimes.com/realtimenews/20221101002651-260407"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">陸軍將考題放上網路，疑將自主研發武器「蜂眼雷達」參數外洩</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ljdzhx1T5D20221102-1644-24607.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ljdzhx1T5D20221102-1644-24607.jpg" style="width: 300px; float: right;" /></a>國防單位為招考相關人員而在網路上提供題庫，竟不慎將自主研發武器的細節納入，而使得這類機密隨之曝險。<a href="https://ivod.ly.gov.tw/Play/Clip/1M/141596">民眾黨立法委員邱臣遠於11月1日質詢國防部長邱國正時指出</a>，他們發現國防部陸軍砲兵指揮部於10月27日，在網站上公布的111年、110年雇員教考測驗試題當中，提及我國自主研發的防空偵查巡弋武器「蜂眼雷達」多項機密參數，包含了雷達角度、搜索範圍、距離參數等性能資料，一旦遭中國利用，恐導致此款武器遭到反制。</p> <p>對此，邱國正坦承確有此事，蜂眼雷達的參數公開，是因為招考的相關人員需具備相關學能，陸軍已下架相關資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://orca.security/resources/blog/cosmiss-vulnerability-azure-cosmos-db/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Azure Cosmos資料庫被發現存在身分驗證漏洞，可被用於發動RCE攻擊</span></strong></a></h3> <p>資安業者Orca Security揭露Azure Cosmos資料庫的漏洞CosMiss，該漏洞涉及該服務所採用的Jupyter Notebook元件，只要攻擊者得知Notebook Workspace的UUID，就有機會取得Notebook的完整權限，進而發動遠端命令執行（RCE）攻擊。</p> <p>研究人員於10月3日通報並得到證實，微軟於10月5日修補完成。針對此漏洞的影響範圍，<a href="https://msrc-blog.microsoft.com/2022/11/01/microsoft-mitigates-vulnerability-in-jupyter-notebooks-for-azure-cosmos-db/">微軟表示，僅有啟用Jupyter Notebook元件的用戶才會受到影響</a>，他們估計99.8%的Azure Cosmos客戶沒有遭到波及，該漏洞並未出現遭到利用的跡象。</p> <h3><a href="https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源加密程式庫OpenSSL釋出3.0.7版，修補2個高風險漏洞</span></strong></a></h3> <p>開源加密程式庫OpenSSL的<a href="https://www.ithome.com.tw/news/153854#openssl-307">開發團隊日前預告，將於11月1日發布3.0.7版並修補重大漏洞</a>。該版本OpenSSL如期推出，但該團隊修補的漏洞當中，並未包含先前預告提及的重大漏洞，僅有高風險漏洞CVE-2022-3602、CVE-2022-3786。</p> <p>對此，OpenSSL提出說明──CVE-2022-3602就是原本他們認為的重大等級漏洞。此為任意4位元組的記憶體堆疊溢位漏洞，有可能被用於RCE攻擊，但在許多組織投入相關測試後發現，部分Linux作業系統上不會觸發漏洞，使得該團隊決定調降CVE-2022-3602的風險等級。</p> <h3><a href="https://ssd-disclosure.com/ssd-advisory-galaxy-store-applications-installation-launching-without-user-interaction/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星應用程式市集漏洞恐被用於安裝惡意程式</span></strong></a></h3> <p>手機應用程式市集App一旦出現漏洞，有可能成為駭客植入惡意程式的管道！漏洞懸賞社群SSD Secure Disclosure指出，三星應用市集Galaxy Store存在漏洞，可被攻擊者用來在手機上部署惡意程式，進而執行遠端命令發動攻擊，該漏洞存在於4.5.32.4版App。</p> <p>此漏洞與Galaxy Store處理深層連結（Deeplink）有關，該應用程式並未在使用者存取深層連結網址的時候執行相關檢查，導致攻擊者可在Galaxy Store的Webview元件上執行JavaScript程式碼，進行跨網站指令碼（XSS）攻擊。三星獲報後已發布修補程式，並推送至所有該廠牌的裝置。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/nsa-shares-supply-chain-security-tips-for-software-suppliers/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國為軟體供應商提出供應鏈安全指南</span></strong></a></h3> <p>美國國安局（NSA）、網路安全及基礎設施安全局（CISA）、國家情報總監辦公室（ODNI）於10月31日聯手，發布保護軟體供應鏈的實作指南，內容總共有40頁，提及檢查軟體的安全性、保護程式碼、驗證軟體的完整性、如何開發安全的軟體，以及如何辨識、分析與緩解安全漏洞的說明。此文件奠基於NSA及CISA主導的長期安全框架（Enduring Security Framework，ESF），此框架除針對供應商，亦打算對開發者及客戶提供相關建議。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/advanced-microsoft-authenticator-security-features-are-now/ba-p/2365673" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟為驗證碼產生器加入防範多因素驗證疲勞的功能</span></strong></a></h3> <p>雙因素驗證（MFA）雖強化了密碼安全，近年來卻衍生出MFA疲勞攻擊（MFA fatigue）的情況。對此，有驗證碼產生器開發商嘗試提出對策。微軟於10月25日宣布，為防堵上述駭客疲勞轟炸的情況，他們計畫在驗證碼產生器Microsoft Authenticator上，加入號碼比對（number matching）的新功能，一旦啟用，日後使用者在收到核淮請求通知時，將必須輸入登入網頁上顯示的數字，這麼做的目的是減少使用者誤觸許可的按鈕。這項號碼比對機制目前已可用在政府雲Azure Government的登入，並預計於明年2月28日成為預設啟用的功能。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/google-ad-for-gimporg-served-info-stealing-malware-via-lookalike-site/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體假借開源圖片編輯工具GIMP名義，透過Google廣告散布</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2022/11/malware-on-the-google-play-store-leads-to-harmful-phishing-sites"><span style="color: rgb(0, 0, 0);">惡意安卓App上架Google Play市集，已被下載逾百萬次</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153961">【2022年11月1日】資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153924">【2022年10月31日】德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫的漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153894">【2022年10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/2 17:40作者周峻佑https://www.ithome.com.tw/news/153972
OpenSSL釋出3.0.7，修補兩個高度風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mta.openssl.org/pipermail/openssl-announce/2022-November/000241.html" target="_blank">OpenSSL專案於本周二（11/1）釋出了OpenSSL 3.0.7</a>，修補CVE-2022-3602與CVE-2022-3786兩個安全漏洞，原本CVE-2022-3602被列為重大（Critical）風險漏洞，但在本周正式修補時已被降級成高度（High）風險漏洞。</p> <p class="rtecenter"><a href="https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1102-OpenSSL-advisory-CVE-2022-3786%20and%20CVE-2022-3602.png" style="width: 500px;" /></a></p> <p>OpenSSL為一開源程式碼庫，主要提供網路上的安全通訊，當使用者瀏覽網路時，所瀏覽的網站或服務底層都使用了OpenSSL，可見其影響性。</p> <p><a href="https://blog.checkpoint.com/2022/11/01/openssl-vulnerability-cve-2022-3602-remote-code-execution-and-cve-2022-3786-denial-of-service-check-point-research-update/" target="_blank">根據資安業者Check Point的說明</a>，CVE-2022-3602漏洞是在OpenSSL檢查X.509憑證時，因對Punycode的不當處理而被觸發，可能造成遠端程式攻擊。</p> <p><a href="https://www.openssl.org/blog/blog/2022/11/01/email-address-overflows/" target="_blank">OpenSSL專案指出</a>，有鑑於CVE-2022-3602是一個任意4位元組的堆疊溢位漏洞，這類的漏洞很可能導致遠端程式攻擊，<a href="https://www.ithome.com.tw/news/153883" target="_blank">因而一開始將它列為重大漏洞</a>，但這一周以來，許多組織相繼針對該漏洞展開測試，顯示出某些Linux版本的堆疊布局，使得4位元組覆蓋一個未被使用的相鄰緩衝區，因而不會當掉或形成遠端程式攻擊，其次則是有不少現代平臺都導入了堆疊溢位保護機制，而能降低遠端程式攻擊的風險。</p> <p>總而言之，OpenSSL專案判斷重大漏洞的依據，是遠端程式攻擊是否會在常見狀況下發現，上述分析顯示並非如此，因而調降了CVE-2022-3602漏洞的嚴重性。</p> <p>另一個安全漏洞CVE-2022-3786則屬於X.509電子郵件位址可變長度緩衝區溢位漏洞，可造成服務阻斷，但不會引發遠端程式攻擊，亦被列為高度風險漏洞。</p> <p>這兩個漏洞主要影響OpenSSL 3.0.0~3.0.6，並未波及先前的版本。OpenSSL專案建議，任何驗證來自不可靠來源之X.509憑證的OpenSSL 3.0應用，都應被視為受到相關漏洞的影響，包含那些使用TLS客戶端身分認證的TLS客戶端與伺服器，若無法立即更新系統，可考慮暫時關閉TLS伺服器上的客戶端認證。</p> </div></div></div>
2022/11/2 16:41作者陳曉莉https://www.ithome.com.tw/news/153969
Dropbox成網釣攻擊受害者，130個儲存庫遭駭客存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://dropbox.tech/security/a-recent-phishing-campaign-targeting-dropbox" target="_blank">Dropbox周一（11/1）坦承</a>，該公司已成為網釣攻擊受害者，駭客在取得員工的登入憑證之後，存取了該公司存放在GitHub上的130個儲存庫。值得注意的是，駭客的手法日益精進，即使Dropbox員工使用了硬體身分認證金鑰，仍遭駭客入侵。</p> <p><a href="https://github.blog/2022-09-21-security-alert-new-phishing-campaign-targets-github-users/" target="_blank">其實GitHub今年9月便曾警告</a>，有駭客假冒持續整合與交付平臺CircleCI的名義，竊取GitHub用戶的憑證，雖然GitHub並未受害，但已影響許多採用GitHub的組織。</p> <p>而攻擊Dropbox的駭客同樣也是假冒CircleCI。Dropbox說明，該公司使用GitHub來代管公開與私有儲存庫，也透過CircleCI進行內部部署，10月初便有許多員工收到偽裝成CircleCI的網釣郵件，雖然該公司的系統會自動過濾可疑郵件，但仍有些網釣郵件進入員工信箱，這些郵件要求Dropbox員工造訪一個偽造的CircleCI登入頁面，以輸入他們的GitHub使用者名稱及密碼，之後再要員工把硬體身分認證金鑰所產生的一次性密碼輸入該惡意網頁。</p> <p>駭客即藉此成功取得了一些Dropbox員工的憑證，並存取了Dropbox位於GitHub的其中一個據點，複製了130個儲存庫。</p> <p>這些儲存庫存放了Dropbox所修改過的第三方程式庫，Dropbox安全團隊所使用的工具與配置檔案，以及數千名Dropbox員工、客戶及供應商的姓名及電子郵件位址，幸好並未包含Dropbox核心程式或基礎設施的程式碼。</p> <p>GitHub是在10月13日察覺與Dropbox有關的可疑活動，並於14日通知Dropbox，也在同一天關閉了駭客的存取權限。</p> <p>就算使用硬體金鑰仍無法逃離被成功網釣的命運，而Dropbox其實已經開始規畫WebAuthn認證機制，搭配硬體金鑰或生物辨識機制來抵擋網釣攻擊，預計很快就會全面部署。WebAuthn的最大優點之一是輸入憑證的網頁必須已儲存於認證裝置上，而讓網釣網頁失去效用。</p> </div></div></div>
2022/11/2 14:44作者陳曉莉https://www.ithome.com.tw/news/153968
Meta AI釋出含有逾6億蛋白質結構的資料庫與相關模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓<a href="https://www.ithome.com.tw/news/152207" target="_blank">DeepMind</a>專美於前，<a href="https://ai.facebook.com/blog/protein-folding-esmfold-metagenomics/" target="_blank">Meta AI本周釋出了</a>多種用來預測蛋白質結構的模型，以及含有6.17億種總體基因體學（Metagenomic）蛋白質結構的資料庫ESM Metagenomic Atlas，並宣稱此為全球最大的高解析度蛋白質預測資料庫，是既有任何蛋白質結構資料庫的3倍，也是首個大規模覆蓋總體基因體學蛋白質的資料庫。</p> <p>由基因編碼的蛋白質是複雜且動態的分子，也是生命的基礎，它讓人類能夠看見，可對抗病毒，也是驅動微生物與肌肉的馬達；總體基因體學則是自然科學的新領域，它利用基因定序來發現地球環境中的蛋白質，從土壤、深海或體內的微生物，儘管現今大家對其知之甚少，但卻可能幫助人類解開進化之謎，發現可能有助於治癒疾病、淨化環境或生產乾淨能源的蛋白質。</p> <p>Meta AI的科學家們打造了新的蛋白質結構預測方法ESMFold，它利用大型語言模型ESM2的表徵，自蛋白質序列中生成準確的結構預測，其速度可達現有最先進蛋白質結構預測方法的60倍，不過，ESMFold的準確度並不如DeepMind所開發的AlphaFold。</p> <p><a href="https://www.nature.com/articles/d41586-022-03539-1" target="_blank">《自然》（Nature》期刊引用</a>了Meta AI蛋白質研究負責人Alexander Rives的說法指出，該團隊只用了兩周的時間，就利用ESMFold預測出超過6億種的蛋白質結構，而AlphaFold光是生產單一的蛋白質結構預測，可能就需要幾分鐘。</p> <p><a href="https://esmatlas.com/explore?at=1%2C1%2C21.999999344348925" target="_blank">ESM Metagenomic Atlas</a>將讓科學家們可搜尋及分析數十億種蛋白質的結構，協助研究人員辨識出之前從未被描繪的蛋白質結構，尋找遙遠的進化關係，以及發現可應用於醫學或其它領域的新蛋白質。</p> <p><a href="https://github.com/facebookresearch/esm" target="_blank">Meta AI已釋出ESM Metagenomic Atlas資料庫</a>、所使用的各種模型、研究論文，以及可用來檢索特定蛋白質結構的API。</p> <p class="rtecenter"><a href="http://github.com/facebookresearch/esm" target="_blank"><img alt="" src="https://opengraph.githubassets.com/fbabd96d19b5847c8d52df2eb874f3d76a13adc3caffd900aade377b36ba9100/facebookresearch/esm" style="width: 450px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> </div></div></div>
2022/11/2 13:30作者陳曉莉https://www.ithome.com.tw/news/153967
三星Galaxy Store App漏洞能讓用戶手機被安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ssd-disclosure.com/ssd-advisory-galaxy-store-applications-installation-launching-without-user-interaction/" target="_blank">安全研究人員發現</a>，三星Galaxy Store App之前有項漏洞可讓駭客在用戶手機上安裝並啟用惡意App，執行遠端指令執行攻擊。三星已經發布修補程式。</p> <p>這漏洞是出在Galaxy Store App處理深層連結（deeplink）的過程。深層連結可以從其他App或瀏覽器呼叫，在網頁中啟動App的超連結。用戶一點擊，Galaxy Store即經由webview處理和執行深層連結。對App來說，深層連結是一種常見的遠端攻擊管道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1102-galaxy%20store%20samsung.png" style="width: 196px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p>這漏洞出在Galaxy Store App在用戶存取包含深層連結的網站時，未有效檢查深層連結，讓攻擊者在Galaxy Store App的webview上執行JavaScript惡意程式碼。這可歸類為跨網站指令碼（XSS）攻擊漏洞，可使遠端攻擊者在用戶手機上觸發執行惡意指令。</p> <p>這項漏洞是由一名獨立安全研究人員透過SSD Secure Disclosure通報。本漏洞似乎沒有編號，影響Galaxy Store App 4.5.32.4版。</p> <p>三星接獲通報後，目前已經將修補程式派送到所有三星裝置上。</p> </div></div></div>
2022/11/2 12:44作者林妍溱https://www.ithome.com.tw/news/153966
馬斯克公布月費調整為8美元的推特付費服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在接手社群平臺推特（Twitter）不到一周後，馬斯克昨（2）日宣布兼具用戶驗證功能的新付費訂閱服務，價格也由原本的5美元調整為8美元。馬斯克認為這是擊敗假帳號的唯一方法。</p> <p>新調整的服務是針對以藍勾勾為標示的Twitter Blue，這服務比免費帳號多提供內容收藏、客製化推特背景、延遲發布及事後編輯推文等功能。這項服務去年推出，月費為4.99美元，其中不少用戶都是藝人、知名企業家及政治人物。<a href="https://www.ithome.com.tw/news/153939" target="_blank">本周稍早《The Verge》報導</a>，推特可能會將Twitter Blue月費由5美元拉抬到20美元。所幸最後價格沒那麼誇張。</p> <p>馬斯克說，現有分別有無藍勾勾的領主與農民（lords and peasants）系統是bxxxt，他聲稱，變更後的服務能將發言權力交給所有用戶。新的Twitter Blue將調整為8美元，不過實際價格則依各地區做適度調整。</p> <p class="rtecenter"><a href="https://twitter.com/elonmusk/status/1587498907336118274" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1102-twitter-musk.png" style="width: 500px;" /></a></p> <p>新版Twitter Blue提供付費用戶在回應、提及（mention）及搜尋上優先顯示，<a href="https://twitter.com/elonmusk/status/1587498907336118274" target="_blank">馬斯克說</a>這有助於打敗假帳號或垃圾貼文。用戶有權張貼較長的影音檔案，廣告量也會少一半，而且公眾人物的推特帳號名稱下，也和政治人物帳號一樣，增加了第二層級的標籤。</p> <p>馬斯克表示，這服務已取得了內容出版網站的付費牆繞過服務的合作意願，透過分帳方式讓付費用戶可直接存取服務。他說，新的調整讓推特獲得新的營收來源，以回饋內容創作者。</p> <p>這是馬斯克上周成為推特唯一管理者後，推特公布的第一項服務。馬斯克在上任前就強調以打敗假帳號、取消內容管制，又要維持平臺的乾淨為第一要務。</p> <p>不過這作法是否能解決認證及假帳號問題，一些用戶並不贊同。有人認為藍勾勾意義在證明自己的確是聲稱的身分，不應該是付得起錢就能擁有的權利，否則難保有人付了8美元，就可以聲稱自己是馬斯克，並冒用其身分發文。另有已經擁有藍勾勾的用戶指出，藍勾勾原本被為一種榮耀、特殊性，大家都想要，現在只要花錢就有，而原本有藍勾勾的人則必須再花錢來保住這標誌，這並不合理。<a href="https://twitter.com/garyblack00/status/1587332152072568832" target="_blank">不少名人也出面質疑</a>，這些名人不會想為此付錢。</p> <p><a href="https://twitter.com/elonmusk/status/1587314744754683905" target="_blank">馬斯克相信</a>這是擊敗假帳號和網路蟑螂的唯一方法。</p> <p><a href="https://twitter.com/runasand/status/1587403953393762304" target="_top">但安全專家指出</a>，機器人帳號及網路蟑螂也能付錢來發文，例如他們用竊來的信用卡號碼就辦得到。連解決WannaCry的安全界名人<a href="https://twitter.com/MalwareTechBlog/status/1587358308792381440" target="_blank">Marcus Hutchins也批評</a>，這並不是唯一方法，而且這種「付費＝認證」的邏輯，將讓窮人及窮國人民全部被當假帳號，不可能吸引到足夠支應成本的收入，而且，這做法還會招致更多信用卡詐騙事件。</p> <p>不確定新版服務推出時間及推出市場為何。Twitter Blue現在僅在美國、加拿大、紐西蘭及澳洲推出，<a href="https://help.twitter.com/en/using-twitter/twitter-blue" target="_blank">官網上的價格</a>目前仍標示為4.99美元。</p> </div></div></div>
2022/11/2 11:17作者林妍溱https://www.ithome.com.tw/news/153964
YouTube集結逾30家影片串流服務推出Primetime Channels
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.youtube/news-and-events/more-of-your-favorite-content-on-youtube-with-primetime-channels/" target="_blank">YouTube於本周二（11/1）發表了Primetime Channels</a>，集結34家影片串流業者供使用者訂閱或租賃內容，計畫讓YouTube成為使用者的影片串流中心。</p> <p>目前Primetime Channels僅於美國市場試行，現階段所合作的業者包括派拉蒙旗下的Showtime電視網路、有線電視臺Starz、派拉蒙影片隨選服務Paramount+、AMC網路的隨選串流服務AMC+，以及TelevisaUnivision的串流服務Vix等，且近期內就會新增NBA League Pass，讓籃球迷可以直接於YouTube上觀賞NBA的實況轉播。</p> <p>YouTube用戶可透過「電影與電視節目」（Movies & TV hub）標籤檢視已上線的逾30種訂閱服務，使用者可直接於該平臺上訂閱及觀賞喜愛的內容，登入後的Primetime Channels首頁將呈現所訂閱頻道的節目、電影或訪談，也會收到相關內容的推薦。</p> <p>目前的「電影與電視節目」主要提供單一影片的租賃，在加入Primetime Channels之後，可望進一步成為串流訂閱服務的中心。</p> <p><a href="https://sensortower.com/blog/svod-app-market-share-q1-2022" target="_blank">根據行動程式分析機構Sensor Tower今年第一季的估計</a>，Netflix為全美最熱門的影片串流程式，使用率為39%，其它依序是Hulu的18%、Disney+的17%、HBO Max的10%與Amazon Prime Video的6%，不免令人好奇甫加入該戰局的YouTube Primetime Channels是否能撼動該市場。</p> </div></div></div>
2022/11/2 11:41作者陳曉莉https://www.ithome.com.tw/news/153965
微軟Authenticator增加防止MFA疲勞攻擊的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/advanced-microsoft-authenticator-security-features-are-now/ba-p/2365673" target="_blank">微軟上周公布為Microsoft Authenticator App設計的新功能</a>，防止用戶不堪MFA疲勞攻擊（MFA fatigue）而讓駭客最後得逞。而這名為號碼比對（number matching）的功能，也會在明年春天推向所有用戶。</p> <p>雙因素（2FA）或多因素驗證（Multi-factor Authentication，MFA）雖然比密碼安全，但卻衍生MFA疲勞攻擊的問題。這種攻擊是攻擊者從網站取得的用戶帳號密碼，再登入已設定MFA的帳號並輸入密碼。這會觸發用戶帳號透過驗證App（例如Microsoft Authenticator或Google Authenticator）發送要求核准的通知。攻擊者藉由觸發大量核准通知造成受害者應接不暇而發生錯誤，而讓攻擊者成功登入帳號。</p> <p>MFA疲勞攻擊手法已經被證實是有用的。<a href="https://www.itworldcanada.com/post/mfa-fatigue-help-attackers-breach-cisco-corporate-network" target="_blank">今年8月思科勒索軟體閰羅王（Yanlouwang）背後的駭客組織駭入網路</a>，以及<a href="https://www.ithome.com.tw/news/153141" target="_blank">9月間Uber遭Lapsus$入侵</a>都是MFA疲勞攻擊手法奏效。</p> <p>名為號碼比對（Number matching）的功能是Microsoft Authenticator雙因素驗證通知的升級版。啟動該功能時，Authenticator App在用戶核准時會要求他輸入顯示在登入頁面上的數字，而不只是按下「許可」。這會大幅減少用戶誤觸許可，讓駭客成功登入的機會。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/415131iF1A2F523AB7062AE/image-size/large?v=v2&px=999" style="width: 207px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>微軟說這功能啟動與否，對本來就不用密碼的用戶沒有影響，因為這也是無密碼登入的一部份。</p> <p>多種情境都支援號碼比對，包括多因素驗證（MFA）、自動密碼重設（Self-service password reset，SSPR）、MFA及SSPR合併註冊、AD FS（Federation Service）adapter及NPS（Network Policy Server）extension for Azure AD Multi-Factor。此外，這功能可用於企業的單一群組，而不論是本地部署環境或是雲端安全群組，也都可以在Authenticator登入方法中啟用號碼比對。</p> <p>現在號碼比對功能已可在Azure Government登入時使用，但還不支援合併註冊（combined registration），微軟說11月30日就會支援。</p> <p>微軟也預告，號碼比對會從明年2月28日對所有用戶預設啟動。</p> <p><a href="https://learn.microsoft.com/en-us/azure/active-directory/authentication/how-to-mfa-additional-context" target="_blank">二周前微軟才宣布</a>強化Authenticator功能，在它的無密碼和推播通知中，加入帳號登入者的App名稱和地理位置。</p> </div></div></div>
2022/11/2 10:22作者林妍溱https://www.ithome.com.tw/news/153963
【資安日報】2022年11月1日，資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力、澳洲國防部傳出…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安新聞網站Bleeping Computer揭露名為Azov Ransomware的資料破壞軟體，但竟出現駭客大言不慚謊稱是由知名資安研究員及資安新聞媒體組成，目的是讓這些捉賊的資安人員反而成為罪犯的替罪羔羊，使得受害者找上這些研究員與新聞網站解鎖檔案。</p> <p>澳洲國防部傳出資料外洩事故！他們表示內部成員的通訊資料，很可能因為外部合作廠商遭到勒索軟體而曝光，但該單位並未說明為何廠商持有長達5年的通訊資料記錄。</p> <p>為了強化勒索軟體的偕同防禦，美國最近舉辦跨國的勒索軟體防護會議，今年已邁入第二屆。相較於去年，今年不只有更多國家派出代表與會，美國政府也首度邀請企業代表參與。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/new-azov-data-wiper-tries-to-frame-researchers-and-bleepingcomputer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體Azov Ransomware抗議西方國家對抗俄羅斯不力，扯謊宣稱自己是特定資安研究員與資安新聞媒體，意圖栽贓陷害</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/azov-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/azov-ransom-note.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，有人透過盜版軟體、序號產生器、廣告軟體等名義，散布名為Azov Ransomware的資料破壞軟體（Wiper）。</p> <p>但值得留意的是，這些攻擊者並非打算向受害者索討贖金，而是在發動攻擊後，透過留下的勒索訊息表達訴求，並聲稱與知名資安研究員、新聞媒體有關。駭客謊稱是名為Hasherazade的資安研究員，並表明發動攻擊是為了抗議克里米亞長年遭到俄羅斯占領，西方國家在協助烏克蘭做得不夠，並表示受害者若要恢復檔案，可尋求資安研究團隊MalwareHunterTeam、威脅情報業者Advanced Intelligence總裁Vitali Kremez，或是Bleeping Computer等。</p> <p>該新聞網站指出，上述的資安機構沒有參與勒索軟體攻擊，他們不可能會有解密金鑰，但已有受害者找上Bleeping Computer，且該新聞網站得知有烏克蘭組織受害，更糟的是，駭客疑似先執行Azov Ransomware，之後又在受害組織執行勒索軟體Stop，而使得檔案更難復原。</p> <h3><a href="https://www.theguardian.com/technology/2022/oct/31/cyber-attack-on-australian-defence-contractor-may-have-exposed-private-communications-between-adf-members"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲國防部人員疑似即時通訊內容外洩，暴露的對話記錄多達數萬筆，起因是承包商遭到網路攻擊</span></strong></a></h3> <p>根據衛報報導，澳洲國防部於10月31日證實，該國國防軍成員於通訊平臺ForceNet的對話內容，有可能因外部資通訊技術（ICT）承包商遭到勒索軟體攻擊而曝險。這些記錄總共約有3萬至4萬筆，為2018年至今的資料。</p> <p>澳洲國防部表示，此起事故並非ForceNet系統遭駭，而是該ICT業者所持有的資料曝險，他們正了解受害的範圍，但沒有透露攻擊事故相關細節，亦未公布ICT業者身分。</p> <h3><a href="https://www.stuff.co.nz/business/130310228/air-nz-faces-cyber-breach-multiple-accounts-compromised"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">紐西蘭航空遭到帳號填充攻擊，疑部分旅客帳號被挾持</span></strong></a></h3> <p>根據新聞網站Stuff報導，多名紐西蘭航空（Air New Zealand）旅客的帳號遭到鎖定，原因是該公司察覺鎖定客戶的帳號填充（credential stuffing）攻擊而採取相關行動。紐西蘭航空表示，此事故僅影響少部分客戶，但沒有敏感資料遭到駭客存取，也並未因此出現詐騙事件，再者，該公司強調，資安系統也並未遭駭。</p> <h3><a href="https://ke-la.com/wp-content/uploads/2022/10/KELA-RESEARCH_Ransomware-Victims-and-Network-Access-Sales-in-Q3-2022.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">570組網路存取帳密流入黑市兜售，總價達400萬美元</span></strong></a></h3> <p>威脅情報業者Kela公布今年第三季的勒索軟體及駭客出售組織網路存取管道的調查，該季初期存取掮客（IAB）於暗網兜售逾570個受害組織的網路存取帳密，總價值超過400萬美元。</p> <p>研究人員指出，這些帳密資料有3成位於美國，巴西、英國、加拿大、印度次之，約半數帳密資料分布於上述5個國家，其中最常見的帳密資料類型，為遠端桌面連線（RDP）與VPN所用。</p> <h3><a href="https://www.ftc.gov/news-events/news/press-releases/2022/10/ftc-brings-action-against-ed-tech-provider-chegg-careless-security-exposed-personal-data-millions"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國教育業者Chegg近年外洩4次用戶資料，FTC強制要求加強資料保護</span></strong></a></h3> <p>美國聯邦交易委員會（FTC）指控當地教育業者Chegg資料保護措施過於鬆散，自2017年3月至2020年1月共發生4起資料外洩事故，導致約4千萬名員工及客戶受害，FTC發出命令，要求Chegg必須加強資料安全機制。</p> <p>FTC指出，員工存取第三方資料庫時，Chegg並未要求須採用多因素驗證，甚至在雲端明文儲存所有個資，並以過時加密機制保護使用者密碼，且直到2021年1月才有正式的資安政策，對此，他們決定強制要求該公司執行相關資安防護措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://arstechnica.com/gadgets/2022/10/apple-clarifies-security-update-policy-only-the-latest-oses-are-fully-patched/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果對新舊版系統平臺漏洞修補並未採取對等重視態度，並對此提出解釋</span></strong></a></h3> <p>有研究人員發現蘋果並未對於新舊版本電腦、手機作業系統一視同仁，修補同樣曝險的漏洞，這樣的現象似乎也能從蘋果近期的文件得到證實。根據科技新聞網站Ars Technica報導，蘋果在近期說明軟體升級與更新之間差異的文件裡提及，因架構與系統變更需要搭配最新版macOS作業系統，但對於其他仍受到支援的舊版本，他們表示，並非所有的弱點都能解決。而廠商既然採取這樣的態度，也使得資安研究員呼籲使用者，最好使用最新版作業系統才能獲得較為完整的防護。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.nextgov.com/emerging-tech/2022/10/white-house-kicks-second-international-counter-ransomware-initiative-summit/379113/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國舉行第二屆跨國反勒索軟體合作會議，今年共有37國、13企業參與</span></strong></a></h3> <p>為因應勒索軟體威脅，美國白宮今年於10月31日至11月1日，第2次舉辦反勒索軟體倡議高峰會（Counter-Ransomware Initiative），總共有36個國家及歐盟的代表參與，並首度邀請企業與會──這些企業包含了微軟、CrowdStrike、Palo Alto Networks、SAP、西門子等。對於這次會議的目標，美國白宮希望能制訂全球認同的網路規範，來打擊勒索軟體犯罪並追究相關責任。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.netlab.360.com/ddosmonster_the_return_of__fodcha_cn/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">DDoS殭屍網路Fodcha捲土重來，攻擊規模達到Tbps等級，基礎設施變得更加隱密</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153920"><span style="color: rgb(0, 0, 0);">SaaS應用安全業者Valence Security完成2,500萬美元的A輪增資</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153919"><span style="color: rgb(0, 0, 0);">蘋果成立全新安全研究網站，公布新的裝置研究專案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/s2wblog/unveil-the-evolution-of-kimsuky-targeting-android-devices-with-newly-discovered-mobile-malware-280dae5a650f"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定南韓安卓用戶散布惡意軟體</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153924">【2022年10月31日】德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫的漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153894">【2022年10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153854">【2022年10月27日】 Kiss-a-Dog攻擊行動鎖定存在漏洞的Docker與K8s而來、OpenSSL預告修補重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/1 18:30作者周峻佑https://www.ithome.com.tw/news/153961
電腦視覺資料集Open Images V7新增點標籤，可用於實例分割模型訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2022/10/open-images-v7-now-featuring-point.html">Google進一步擴展電腦視覺資料集Open Images</a>，發布最新V7版本，加入被稱為點標籤（Point Labels）的新註解類型，另外，Open Images V7還加入了多合一視覺工具，供使用者同時使用多註解資料，更好地探索資料集。</p> <p>Open Images電腦視覺資料集內含900萬張圖像，標籤涵蓋數千種物件類別，可讓研究人員訓練並且評估電腦視覺模型。Google自2016年發布Open Images以來，經過多次更新擴展，從最初6千個物件類別擴展到2萬個，並且在190萬張圖像的子資料集中，添加了邊界框註解、視覺關係、實例切割和定位敘述。</p> <p>Google收集點標籤的主要策略，是運用機器學習模型以及人工驗證，機器學習模型會選擇圖片上的興趣點，並且提出是非問題，像是在圖片上的一點上尋問「這在南瓜上嗎？」，接著由人工註解者針對問題回答是或是否，同一問題會分配給不同的註解者，所有註解者會對每個註解點指定是、否或不確定的標籤。</p> <p>每張帶有註解的圖像，擁有一個點集合，每個點都帶有是或否的標籤，研究人員提到，這些點可對語意分割任務提供稀疏資訊。研究人員共收集了3,860萬個點的註解，涵蓋5,800類別共140萬張圖像。</p> <p>透過專注在點級標籤，研究人員得以對更多的圖像和類別加入註解，比起實例分割（Instance Segmentation）註解，點標籤涵蓋多達16倍的圖像，與邊界框註解（Box Annotation）相比，點級標籤涵蓋類別量為9倍。與現有的分割資料集PASCAL VOC、COCO、Cityscapes、LVIS或ADE20K比起來，點標籤明顯覆蓋更多的類別和圖像。</p> <p>點級標籤也是Open Images第一個標籤類型，能對可數或是不可數物體提供定位資訊，研究人員提到，整體而言，新收集的標籤資料相當於兩年人工註解的工作量。經過Google的實驗證實，點標籤類型的稀疏資料，適合用於訓練和評估分割模型，將模型直接使用點標籤資料訓練，可以獲得與密集註解資料相當的模型品質。</p> <p>除了新的點標籤資料，Open Images V7網站現在提供專用的視覺化工具，可供用戶探索定位描述註解、點標籤和多合一檢視圖，在同一張圖中，同時顯示不同的圖像標籤。</p> </div></div></div>
2022/11/1 19:03作者李建興https://www.ithome.com.tw/news/153945
Deno 1.27添加嵌入提示增加程式碼可讀性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript、TypeScript執行環境Deno開發團隊，在<a href="https://deno.com/blog/v1.27#v8-108">最新的1.27版本</a>改進了語言伺服器和IDE功能。TypeScript 4.4版本增加了嵌入提示（Inlay Hints）功能，而Deno 1.27則向語言伺服器協定公開這個功能，嵌入提示會在程式碼中提供小文字片段，顯示有關程式碼的資訊。</p> <p>官方提到，嵌入提示讓程式碼更具可讀性，填補程式碼的資訊空缺，特別是在TypeScript或是有類型檢查的JavaScript類型推論時，嵌入提示直接提供推論的類型，開發者不再需要將滑鼠懸停在變數上，就可以看到變數類型。</p> <p>另外，Deno也加入了註冊表自動完成功能，當開發者在支援的編輯器，於deno.land/x輸入第三方模組的名稱，編輯器會從deno.land搜尋對應模組，並且提供模組描述和流行度資訊。VS Code現在預設啟用註冊表完成功能。</p> <p>Deno 1.27改進了與NPM的相容性，Deno現在於NPM套件使用上支援Node-API，官方解釋，Node-API是在Node.js中使用原生碼的一種方法，這將讓parcel、sqlite3、usb或fs-xattr這類套件，可以用於Deno。官方也改進Deno和Node.js相容性，Node.js 18現在進入長期支援版本18.12.0，而在Deno 1.27中，Node.js相容層測試套件也已經支援Node.js v18.12.0。</p> <p>官方移除任務執行程式Deno Task的警告，原本在開發者使用Deno Task時，系統會出現「Deno Task處在不穩定階段，未來可能出現巨大變更」的警語，而現在官方提到，Deno Task經被證實有其用途，未來也不會出現巨大變更，官方之後還會改進相關功能，使其更容易使用。</p> </div></div></div>
2022/11/1 19:06作者李建興https://www.ithome.com.tw/news/153960
Google改進BigQuery文字分析能力，正式推出高效搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端倉儲服務<a href="https://cloud.google.com/blog/products/data-analytics/improved-text-analytics-in-bigquery-search-indexes-now-ga">BigQuery正式提供搜尋索引和搜尋功能</a>，這將可讓用戶更有效率地搜尋富文字資料，官方提到，搜尋索引讓用戶可以減少將資料匯出至獨立搜尋引擎的需要，方便建置資料驅動應用程式，或是同時綜合分析文字資料和其他結構化、半結構化、非結構化、串流和地理空間資料。</p> <p>Google在內部以10TB、100TB和1PB的資料，測試了運用搜尋索引的SEARCH函式，以及無搜尋索引的REGEXP_CONTAINS函式，在常見搜尋案例的平均執行速度，使用搜尋索引的SEARCH函式執行速度是替代搜尋方法的10倍。</p> <p>有搜尋索引的支援，使得BigQuery SEARCH功能所查詢的位元組數量比起替代查詢少2,682倍，而Slot使用效率，比替代搜尋高1,271倍。由於Slot是BigQuery計算單位，因此越少的Slot時間支付的費用也就越少。</p> <p>搜尋索引支援的BigQuery搜尋功能，可用於廣泛的使用案例，像是罕見詞搜尋，這是在日誌分析中常見的查詢模式，企業常需要大海撈針地，在數百萬甚至數十億行資料中，搜尋特定網路ID、錯誤碼或是用戶名稱，以解決特定問題或是執行安全稽核，使用搜尋索引讓BigQuery避免大規模掃描操作，可以精準定位回答查詢所需要的資料。</p> <p>BigQuery的日誌分析預覽功能，便是利用BigQuery搜尋功能，提供用戶日誌分析即服務解決方案，該功能提供專用介面，供用戶查詢常見的日誌記錄元素，像是IP位置、URL和電子郵件等。</p> </div></div></div>
2022/11/1 17:33作者李建興https://www.ithome.com.tw/news/153944
美國發表供應商可參考運用的軟體供應鏈安全指南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（National Security Agency，NSA）、網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）與美國國家情報總監辦公室（Office of the Director of National Intelligence，ODNI）周一（10/31）連袂發布了針對供應商的<a href="http://nsa.gov/Press-Room/News-Highlights/Article/Article/3204427/esf-partners-nsa-and-cisa-release-software-supply-chain-guidance-for-suppliers/" target="_blank">《捍衛軟體供應鏈：給供應商的建議實踐指南》（Securing the Software Supply Chain: Recommended Practices Guide for Suppliers）</a>，於該份40頁的文件中提供如何檢查軟體的安全性、保護程式碼、驗證軟體的完整性、如何開發安全的軟體，以及如何辨識、分析與緩解安全漏洞。</p> <p class="rtecenter"><a href="https://media.defense.gov/2022/Oct/31/2003105368/-1/-1/0/SECURING_THE_SOFTWARE_SUPPLY_CHAIN_SUPPLIERS.PDF" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-SECURING%20THE%20SOFTWARE%20SUPPLY%20CHAIN-supplier.png" style="width: 306px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國防部</span></span></p> <p>對於軟體供應鏈的安全實踐，NSA、CISA與ODNI有一系列的規畫，相關規畫奠基在由NSA及CISA所主導的產官學工作小組所開發的「長期安全框架」（Enduring Security Framework，ESF），此一框架為美國重大基礎設施的資安指南，針對軟體供應鏈總計有3部分，首先是今年9月釋出、<a href="https://media.defense.gov/2022/Sep/01/2003068942/-1/-1/0/ESF_SECURING_THE_SOFTWARE_SUPPLY_CHAIN_DEVELOPERS.PDF" target="_blank">鎖定開發者的《Securing the Software Supply Chain for Developers》</a>，本周釋出的指南適用於供應商，下一步則會釋出給供應鏈客戶使用者的版本。</p> <p class="rtecenter"><a href="http://media.defense.gov/2022/Sep/01/2003068942/-1/-1/0/ESF_SECURING_THE_SOFTWARE_SUPPLY_CHAIN_DEVELOPERS.PDF" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-SECURING%20THE%20SOFTWARE%20SUPPLY%20CHAIN-developer.png" style="width: 306px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／美國國防部</span></p> <p>為了指導軟體供應鏈的供應商，ESF研究了造成SolarWinds攻擊的資安事件，確認了產業與政府建立軟體供應鏈最佳實作的必要性，因為駭客只要透過軟體供應鏈中的單一漏洞，就會對運算環境或基礎設施帶來嚴重的影響。NSA表示，雖然預防這類的安全風險通常被視為是開發者的責任，但供應商在確保軟體安全與完整性上也必須擔負重責。</p> <p>供應商負責開發者與客戶之間的聯繫，此一角色可在合約協議、軟體發布與更新、通知及漏洞緩解上，提供額外的安全保障。</p> <p>因此，在此一文件中，定義了軟體安全檢查的標準，針對如何確保軟體部署程序的安全提出了建議，建議供應商如何預防程式碼遭到未經授權的存取與竄改，建議採用數位簽章來驗證軟體版本的完整性，如何保護每一個不同的軟體版本，開發安全的軟體，檢查第三方軟體是否符合安全要求，確保建置程序的安全，檢查與分析程式碼，測試可執行的程式碼，於預設值啟用安全設定，以及持續地辨識、分析及緩解安全漏洞。</p> <p>除了NSA、CISA與ODNI之外，美國國家標準暨技術研究院（NIST）也曾在今年5月發布長達326頁的<a href="https://www.ithome.com.tw/news/150807" target="_top">《網路安全供應鏈風險管理》（Cybersecurity Supply Chain Risk Management，C-SCRM）指南</a>，以協助那些採購與使用其它技術產品及服務的組織來保護其自身的安全，但後者主要鎖定供應鏈的採購者及使用者，前者則是針對供應鏈的開發者、供應商與客戶釋出安全指南。</p> </div></div></div>
2022/11/1 18:09作者陳曉莉https://www.ithome.com.tw/news/153956
馬斯克解散推特董事會，傳將裁50%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克上周跟推特（Twitter）員工保證不會裁員75%，但沒說裁多少。媒體報導，馬斯克可能計畫裁減7,000多名員工中的50%，所有部門都受波及。此外，馬斯克可能也將其他公司包括特斯拉、Boring及Neuralink員工帶進了推特。</p> <p><a href="https://www.washingtonpost.com/technology/2022/10/31/elon-musk-twitter-layoffs/" target="_blank">華盛頓郵報</a>引述消息人士報導，在馬斯克入主推特的頭兩天，已經讓三名親信進駐這家社交平臺總公司，著手裁員。其中之一是代表馬斯克多年的知名律師Alex Spiro，他也將掌管推特的法務、政府關係、政策和行銷部門。原來的執行長、法務長及財務長已經遭到馬斯克開除。另二名馬斯克的友人包括天使投資人David Sacks和PayPal創辦人暨風險創投Jason Calacanis，則已名列推特員工通訊錄中，名稱為工程員工。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001418091/000119312522272772/d411753d8k.htm" target="_blank">根據推特公開申報文件</a>，馬斯克已經解散推特董事會，包括原董事長Bret Taylor及原執行長Parag Agrawal等人，馬斯克成為推特唯一主掌者。</p> <p>報導指出，Spiro等人計畫著手展開裁員，第一波預定削減25%，最終會擴大到50%。第一波裁撤動作波及工程、業務、法務、產品及信任與安全部門。消息人士指出，首先開刀的是工程師，其次是包括數名薪水最高的業務人員，有些人年薪達30萬美元。</p> <p>另外<a href="https://www.cnbc.com/2022/10/31/elon-musk-has-pulled-more-than-50-tesla-engineers-into-twitter.html" target="_blank">CNBC</a>則引述文件檔案報導，馬斯克已經允許數十名來自他其他公司的員工在推特上班，包括50多名特斯拉員工、Boring公司2人及1名Neuralink的員工。另外還有同姓馬斯克的2人。</p> <p>這份文件特別列入特斯拉Autopilot及TeslaBot工程師Ashok Elluswamy、以及數名工程主管，還有負責安全情報的員工Jake Nocon，後者經歷包括替特斯拉負責抓資訊內賊及批評公司的人士。</p> <p>報導指出，馬斯克已要求這些員工儘速熟悉推特的一切，包括內容審查到資料隱私作法，以便能重新改造推特。</p> <p>周一馬斯克已宣布第一道可對外公布的改革。<a href="https://twitter.com/elonmusk/status/1586848033550934016" target="_blank">他宣布</a>已翻新了用戶帳號的驗證流程，但並未說明細節。根據<a href="https://www.theverge.com/2022/10/29/23430332/elon-musk-twitter-reportedly-ordered-company-wide-layoffs" target="_blank">The Verge</a>掌握的消息，這是將付費訂閱帳戶服務Twitter Blue加以改造，除了將月費由4.99美元一舉調漲到19.99美元，也將要求用戶進行身分驗證。根據規劃，在90天內不付費訂閱並驗證的用戶，就會失去藍勾勾。Twitter Blue提供用戶收藏內容、客製化推特圖示、編輯或延遲發布推文等功能。</p> <p>消息人士指出，馬斯克周日要求這項專案的參與員工，必須在11月7日前推出這項功能，否則就會被開除。</p> <p>針對引進新員工及裁員規劃的報導，馬斯克、推特或相關人士都未回應。</p> </div></div></div>
2022/11/1 14:32作者林妍溱https://www.ithome.com.tw/news/153939
GameStop於ImmutableX區塊鏈上推出NFT市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年因為受到鄉民支持，<a href="https://www.ithome.com.tw/news/142490" target="_blank">造成股價飆升而聲名大噪的GameStop</a>，<a href="https://www.prnewswire.com/news-releases/immutablex-announces-the-powering-of-gamestops-nft-marketplace-which-is-live-and-offering-access-to-millions-of-nfts-301663383.html" target="_blank">周一（10/31）宣布</a>已於以太坊（Ethereum）Layer 2平臺上 ImmutableX推出GameStop NFT市集，以供使用者交易非同質化代幣（Non-Fungible Token，NFT）。</p> <p>創立於1984年的GameStop是家歷史悠久的遊戲零售商，現在仍是全球最大的遊戲零售商，於全球擁有超過4,000家實體商店，即便如此，根據<a href="https://news.gamestop.com/news-releases/news-release-details/gamestop-reports-second-quarter-fiscal-year-2022-results" target="_blank">該公司今年第二季的財報</a>，該季GameStop的營收為11.4億美元，比去年同期下滑了4%，虧損1.09億美元，高於去年同期的6,200萬美元。傳統遊戲零售的式微再加上營收下滑，都是去年多家對沖基金看空GameStop的原因，卻因不敵網路鄉民的力量而紛紛敗陣。</p> <p>另一方面，GameStop今年也開始轉型，進入Web3時代，在今年2月宣布與Immutable X合作，提供價值高達1億美元的IMX代幣予NFT創作者，接著於今年5月推出用來存放加密貨幣與NFT的<a href="https://wallet.gamestop.com/#help-content" target="_blank">數位錢包GameStop Wallet</a>，現在則直接於ImmutableX區塊鏈上建立GameStop NFT市集。</p> <p>ImmutableX是個基於以太坊區塊鏈的Layer 2平臺，可用來分擔以太坊的交易，它承襲了以太坊的安全性，卻能加速交易，再把Layer 2上的交易傳回以太坊。</p> <p>ImmutableX表示，於該平臺上建立GameStop NFT市集將能讓數千萬的GameStop玩家與GameStop Powerup Pro客戶，存取Web3遊戲及數百萬的NFT遊戲資產，可將大量的遊戲玩家帶到Web3的世界。</p> <p>不過，或許因為流量太大，此一<a href="https://nft.gamestop.com/" target="_blank">GameStop NFT市集</a>在本文截稿之前並無法連上。</p> </div></div></div>
2022/11/1 14:38作者陳曉莉https://www.ithome.com.tw/news/153940
駭客於黑市兜售570個網路存取憑證，總價達400萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安情報機構Kela本周公布了<a href="https://ke-la.com/wp-content/uploads/2022/10/KELA-RESEARCH_Ransomware-Victims-and-Network-Access-Sales-in-Q3-2022.pdf" target="_blank">今年第三季的全球勒索軟體暨網路存取銷售報告</a>，指出該季初始存取掮客（Initial Access Broker，IAB）於暗網中總計兜售超過570個網路的存取憑證，總價超過400萬美元。</p> <p>獲取組織的存取憑證已成為駭客入侵組織最主要也最簡單的方式之一，也是勒索軟體駭客最常用的方式，根據Kela的追蹤，今年第三季總計有110名IAB於暗網中兜售存取憑證，前三大IAB提供40~100個網路不等的存取憑證。在逾570個網路存取憑證中，有30%的受害者位於美國，其它依序是巴西、英國、加拿大與印度，這5個國家就占了所有受害網路的一半。</p> <p>若從受害者的屬性來看，以專業服務業者居冠，製造業居次，科技業排名第三。</p> <p>該季存取憑證的平均價格約是2,800美元，高於今年第二季的1,500美元，不過，此一平均價格扣除了有個單一網路存取憑證的售價高達300萬美元，惟Kela並未揭露該組織的名稱。</p> <p>此外，這些存取憑證平均1.6天就可售出，最常見的是RDP與VPN的存取憑證。</p> <p>該報告的另一個重點是勒索軟體。Kela的研究顯示，該季全球總計有600個勒索軟體受害者，比上一季減少了8%，前五大勒索軟體依序是LockBit（34.82%）、Black Basta（8.75%）、Hive（8.58%）、Alphv（BlackCat）（5.61%）與BianLian（3.8%），它們的受害者數量多半落在20~200之間，只有LockBit的受害者超過200個。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1101-ransomware-image%20by%20KELA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1101-ransomware-image%20by%20KELA.png" style="width: 600px;" /></a></p> <p>圖片來源／Kela</p> <p>最常被攻擊的領域前五名依序是專業服務（16.5%）、製造與工業產品（15.51%）、健康照護與生命科學（7.92%）、科技（7.59%）及工程與建造（6.93%）。前五大受害國則是美國（39.11%）、英國（6.27%）、法國（6.11%）、德國（4.62%）與西班牙（4.29%）。</p> </div></div></div>
2022/11/1 14:55作者陳曉莉https://www.ithome.com.tw/news/153941
美國教育業者Chegg近年外洩4次用戶資料，遭FTC強制要求加強資料保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/2023151-Chegg-Complaint.pdf" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）近日投訴</a>美國知名教育業者Chegg，指控Chegg的資料保護措施太過鬆散，自2017年3月至2020年1月間就發生4次的資料外洩事件，造成約4,000萬名的員工與客戶的資料外洩，<a href="https://www.ftc.gov/news-events/news/press-releases/2022/10/ftc-brings-action-against-ed-tech-provider-chegg-careless-security-exposed-personal-data-millions" target="_blank">因而命令Chegg必須加強資料安全機制</a>。</p> <p>成立於2005年的Chegg為美國知名的教育技術公司，主要提供實體與數位教科書的銷售與租賃，也提供線上輔導及其它學生服務，客戶為美國中學及大學學生，在2020年3月時，該公司擁有290萬名訂閱用戶。</p> <p>然而，根據FTC的調查，Chegg的第一次資料外洩事件發生在2017年9月，當時有多名Chegg員工遭到網釣攻擊，而讓駭客存取了員工的薪轉帳戶資訊；繼之有一名Chegg的前任約聘人員透過Chegg與員工及約聘人員共享的登入憑證，存取了Chegg置放於第三方雲端資料庫，該資料庫存放了約4,000萬名客戶的客戶資訊，包括姓名、電子郵件地址與密碼等，還有某些用戶的獎學金資訊，包括生日、父母的收入、性向或殘疾等；再來又連續發生兩次的網釣攻擊，外洩了員工的醫療與金融資訊。</p> <p>FTC認為，Chegg的資料保護措施過於鬆散，例如並未要求員工在登入第三方資料庫時採用多因素身分認證，或是允許員工與約聘人員使用同一個憑證存取這些資料庫，且並未監控其網路與資料庫的安全威脅；再者，Chegg在雲端是明文儲存所有個人資訊，而且是以過時的加密機制來保護用戶密碼；就算經歷了3次的網釣攻擊，Chegg依舊未制定充分的安全政策及員工訓練。Chegg一直到2021年1月才有正式的安全政策。</p> <p>上述的資料外洩事件也造成Chegg的客戶資料在黑市被兜售。</p> <p>於是FTC決定對Chegg祭出命令，雙方也已達成共識。FTC將要求Chegg制定個人資料的蒐集政策，允許客戶存取並刪除自己的資訊，啟用多因素認證機制，以及全面性地實施資訊安全計畫。</p> </div></div></div>
2022/11/1 12:52作者陳曉莉https://www.ithome.com.tw/news/153938
Google發布K8s部署工具Skaffold V2，加入更多自動化功能簡化操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2019年正式推出的Kubernetes部署工具Skaffold，現在來到了第二主要更新版本，這個新版本加入無伺服器容器服務Cloud Run作為部署程式，以擴展Skaffold所支援的平臺和基礎架構，另外，Skaffold現在同時支援Arm和x86架構建置和部署。</p> <p>Skaffold是一個命令列工具，在V1支援kubectl和Helm部署程式，供開發者將應用程式部署到Kubernetes中，加速容器化應用程式的持續開發和交付，並且替迭代開發和CI/CD提供可重複使用的建置模塊，而在<a href="https://cloud.google.com/blog/products/application-development/skaffold-v2-is-generally-available">Skaffold V2</a>中，Google增加Kubernetes應用程式部署的方式，開發者現在也可以使用Cloud Run，只要配置Cloud Run服務和更新skaffold.yaml，就可執行部署工作。</p> <p>除了新的部署方式外，Skaffold V2擴充映像檔架構配置的相容集，讓開發者可以確定映像檔與機器相容。因為當開發人員編寫程式碼的電腦，和部署應用程式的目標機器使用不同處理器，可能會產生相容性問題，而Skaffold現在可以在建置映像檔之前，檢查本地機器和目標Kubernetes叢集，使開發者可以不需要執行任何手動配置，就從x86或Arm機器部署至Arm、x86或多架構叢集。</p> <p>Skaffold V2還進一步簡化CI/CD和GitOps工作流程，像是添加驗證階段，使用戶可以在一組測試容器中，部署新程式碼以檢查錯誤，還有Skaffold也和開源工具kpt整合，以自動執行創建Kubernetes配置文件等相關任務。</p> <p> 官方強調，現有Skaffold配置與Skaffold V2完全相容，使用者可以簡單升級。</p> </div></div></div>
2022/11/1 10:02作者李建興https://www.ithome.com.tw/news/153935
健保署要將虛擬健保卡加入蘋果錢包，還要串接街口、Line Pay等電支App完善金流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬健保卡是數位醫療的重要工具，也是健保署力推的國家政策。健保署署長李伯璋日前透露，健保署正研議將虛擬健保卡加入蘋果錢包（Apple Wallet），另也計畫串接街口支付、Line Pay，以及醫療行動支付阿佩支付（APAY），來完善醫療行動化的金流。</p> <p><span style="font-size:26px;"><strong>今年要在居家醫療、遠距醫療和視訊診療3場域全面實施</strong></span></p> <p>李伯璋日前（10/28）在臺灣醫院資訊主管會議中點出，虛擬健保卡是未來發展數位醫療的關鍵。因為，一直以來，醫院替民眾看診，得需要健保卡、醫事人員卡和院所安全模組卡共3張實體卡才行，才能在確保資訊安全的條件下，進行醫療行為。</p> <p>但這幾年，醫療行動化大起，健保署為推動遠距醫療、視訊診療和行動醫療，已先將院所安全模組卡虛擬化，現在要進一步擴大，將民眾端的健保卡也虛擬化。</p> <p>於是，健保署在2019年展開虛擬健保卡試辦計畫，先是開發虛擬健保卡系統，隔年在不同層級院所試辦，2021年則擴大應用場景，鎖定居家醫療、遠距醫療、視訊診療三種場域。其中，居家醫療是要減輕醫事人員攜帶各種設備的不便，遠距醫療則方便在地端和遠距支援端醫師，掃描患者虛擬健保卡QR Code，就能共同診療。視訊診療則是因應COVID-19疫情，要讓醫師遠端掃描QR Code就能來看診。</p> <p>在操作上，民眾在遠端看診時，只要出示健保快易通App的虛擬健保卡QR Code，醫院透過掃描設備讀取後，就能看診。也因為虛擬健保卡系統與健保系統介接，醫事人員也能在讀取QR Code後，於健保雲端查詢患者的醫療紀錄，也能將就醫紀錄上傳，就像使用實體健保卡一樣。特別的是，民眾還能授權他人使用虛擬健保卡，包括領藥。</p> <p>而今年，健保署的目標是要在居家醫療、遠距醫療和視訊診療這三場域，全面推動虛擬健保卡。為讓遠距診療更順暢，健保署還要導入支付工具，來銜接金流，並釋出更多獎勵機制和誘因，來鼓勵更多院所加入虛擬健保卡支援行列。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A8%E9%9D%A2%E6%8E%A8%E5%8B%95.jpeg" /></p> <p>不只如此，健保署也在今年下半年展開在地培力教育訓練，來培養院所、社區據點種子人員，教導偏鄉民眾申請和使用虛擬健保卡。自8月以來，健保署已舉辦全臺北到南、東至西16場訓練，離島也不例外。</p> <p><span style="font-size:26px;"><strong>虛擬健保卡還要串接電子處方箋、電子支付App</strong></span></p> <p>健保署統計，目前，提供虛擬健保卡服務的院所和居家照護機構共147家，健保署也針對院所和民眾進行問卷調查，發現近9成民眾滿意虛擬健保卡應用，但他們也期望，虛擬健保卡能結合處方箋，能以虛擬健保卡去藥局領藥，或是整合疫苗護照資訊。</p> <p>不只如此，院所醫事人員和醫院管理層，也認為虛擬健保卡可結合處方箋、可用於藥局領藥，並整合疫苗照護資訊。院所還希望，虛擬健保卡可用於醫院門口管制與診間報到，甚至是更多醫療場景。</p> <p>這些期待，正是健保署接下來的努力目標。</p> <p>首先，健保署正研議發展電子處方箋，目前也規畫出使用流程，當民眾出示健保快易通App的虛擬健保卡QR Code進行視訊診療，醫師開立處方箋後，就可直接上傳處方箋資訊給民眾。接著，民眾端的健保快易通App會跳轉至行動支付App頁面，讓民眾直接繳納視訊診療的醫療費用。</p> <p>完成後，民眾可至藥局，出示實體健保卡和健保快易通App中的電子處方箋來領藥。這時，藥局藥師登入健保雲端查詢系統，來核對處方箋內容與是否有效，調劑後，再於畫面點選確認調劑。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%BB%E5%AD%90%E8%99%95%E6%96%B9%E7%AE%8B.jpeg" /></p> <p>進一步來說，這個電子處方箋，也與健保署這2年推動的就醫識別碼有關。健保署自去年開始宣導，要醫院採用就醫識別碼，這是一組整合「人+時+地」資訊、共20碼的個人單次就醫唯一識別碼，該碼結合處方箋共同顯示，可用來避免重複領藥。</p> <p>而電子支付部分則是，當民眾完成就醫後，健保快易通App會自動顯示繳費畫面，這時，院所若有提供行動支付選項，如醫指付，或未來健保署計畫要串接的街口支付、Line Pay、阿佩支付，民眾點選其一即可，就能付款。若院所未提供行動支付，或其行動支付未與健保快易通App介接，則會彈跳視窗通知民眾。而今年6月2日，健保署也將醫指付App與健保快易通介接。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E6%B5%81app.jpeg" /></p> <p>李伯璋補充，虛擬健保卡系統也將與衛福部其他系統介接，如疾管署NIS系統，來同步疫苗相關資訊。</p> <p><span style="font-size:26px;"><strong>研議將虛擬健保卡納入蘋果錢包，離線也能感應、不必開啟App</strong></span></p> <p>另一方面，因蘋果日前主動接觸健保署，提議能否將虛擬健保卡放入蘋果錢包，健保署也正研議中。</p> <p>李伯璋指出，虛擬健保卡納入錢包，可提供民眾更便利的服務。比如，民眾就可利用手機NFC近距離感應，不必開啟健保快易通App，就能進行身分驗證、連線至健保署取得QR Code。此外，放在蘋果錢包，民眾可離線使用，在手機低電量或網路有限制時，也能使用。此外，民眾也可用Apple Watch來感應，不必使用手機。因此，健保署考慮將虛擬健保卡納入蘋果錢包。</p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>健保署擴大給付和獎勵機制，鼓勵院所加入</strong></span></span></p> <p><span style="color:#696969;"><strong>健保署署長李伯璋指出，為擴大遠距醫療服務，健保署在8月1日公告「健保遠距醫療給付計畫」擴展服務，要鼓勵更多院所新增更多科別，包括心臟內科、腸胃科、神經內科和胸腔科，在適用場景部分，也新納入山地離島居整計畫個案住家、衛福部核定計畫的醫療站。</strong></span></p> <p><span style="color:#696969;"><strong>在給付部分，遠距端的遠距會診費為每人次500點/每診次5000點，在地端則針對西醫門診診察費再加碼一成，而山地離島醫師的訪視費（每次2051點）也再加一成。</strong></span></p> <p><span style="color:#696969;"><strong>此外，健保署也在今年4月，公告健保居家醫療照護整合計畫，來獎勵院所使用虛擬健保卡。獎勵項目包括協助收案病人申請虛擬健保卡，以及虛擬健保卡申報指標獎金，也就是以一般地區與山地離島地區的占率來給予獎勵。獎勵期間自今年5月開始，至12月為止。健保署目前也針對居家醫療和遠距醫療，來設計支付誘因，要提高院所使用虛擬健保卡和民眾申辦意願。</strong></span></p> <p><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%8D%8E%E5%8B%B5.jpeg" /></strong></span></p> </div></div></div>
2022/10/31 20:13作者王若樸https://www.ithome.com.tw/news/153934
【資安日報】2022年10月31日，德國銅供應商Aurubis遭到網路攻擊、GitHub出現可利用重新命名來挾持儲存庫…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金屬材料供應商一旦遭到攻擊，很有可能波及相關製造產業的供應鏈。總部位於德國的銅供應商Aurubis發出公告，表明他們遭到網路攻擊，雖然維運基本上仍正常運作，但損害情形仍有待調查。</p> <p>AWS EC2執行個體成駭客攻擊的對象！駭客組織TeamTNT運用圖像化監控工具Weave Scope來發動攻擊，意圖竊取能存取EC2執行個體環境的憑證。但值得留意的是，駭客入侵的管道是開放REST API存取的Docker伺服器。</p> <p>資安業者揭露GitHub的儲存庫挾持（RepoJacking）漏洞，可能因為更換使用者ID而導致儲存庫子網域名稱須隨之異動，使得攻擊者有可能濫用儲存庫改名前的子網域名稱。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/largest-eu-copper-producer-aurubis-suffers-cyberattack-it-outage/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國銅供應商Aurubis遭到網路攻擊，被迫關閉IT系統</span></strong></a></h3> <p>德國銅供應商Aurubis於10月28日發出通告，表示他們的IT系統遭到網路攻擊，為避免災害擴大，該公司關閉多項系統並切斷與網際網路的連結，並表示大致能維持生產運作──冶煉廠、環保系統都正常運作，貨物進出則仰賴人工維運。該公司並未透露受害情形，表示尚在評估整起攻擊事故造成的影響。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/j/threat-actors-target-aws-ec2-workloads-to-steal-credentials.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS EC2工作負載遭到鎖定，駭客企圖竊取相關憑證</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig9-threat-actors-target-aws-ec2-workloads-via-typosquatting-to-steal-credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig9-threat-actors-target-aws-ec2-workloads-via-typosquatting-to-steal-credentials.png" style="width: 300px; float: right;" /></a>趨勢科技研究人員透過誘捕系統發現鎖定AWS EC2執行個體的攻擊行動，駭客組織TeamTNT濫用Docker、K8s圖像化監控工具Weave Scope，來列舉EC2執行個體中繼資料服務（IMDS）的內容，目的是將受害的EC2存取金錀或是Token洩露到攻擊者持有的網域。</p> <p>研究人員指出，過程中駭客透過開放REST API的Docker伺服器，取得存取權限，然後建立新的容器，將底層主機的根目錄掛載到容器路徑，並執行init.sh的指令碼，接著駭客利用Alpine Package Keeper部署其他指令碼，以便執行特定的工具，收集EC2裡的憑證，再傳送到惡意網域amazon2aws[.]com。</p> <h3><a href="https://www.peoplenews.tw/articles/5f8b568f47"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IIS伺服器竟被轉為駭客C2中繼伺服器！駭客組織UNC3524透過IIS伺服器事件記錄機制遙控惡意軟體</span></strong></a></h3> <p>資安業者賽門鐵克揭露駭客組織UNC3524（亦稱Cranefly）的攻擊行動，駭客鎖定IIS網頁伺服器下手，並在其上植入後門程式，但駭客並非使用C2中繼站進行控制，而是將命令儲存在IIS的事件記錄檔案，此後門程式則是在事件記錄裡找尋Wrde、Exco、Cllo等字串，接收部署惡意軟體、執行命令，或是停用IIS事件記錄的指令。</p> <p>研究人員指出，駭客藉此後門程式在受害網頁伺服器部署名為ReGeorg的Web Shell，或是惡意軟體Danfuan。</p> <h3><a href="https://news.pts.org.tw/article/606929"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對駭客兜售全臺戶政資料，內政部、數發部否認戶政系統遭駭</span></strong></a></h3> <p>有人聲稱握有全臺灣2,300萬人的戶政資料，並在駭客論壇上兜售，並聲稱資料來自內政部網站。對此，<a href="https://www.moi.gov.tw/News_Content.aspx?n=4&sms=9009&s=267333">內政部</a>、<a href="https://moda.gov.tw/press/press-releases/2834">數位發展部資通安全署</a>先後於10月29日、30日發布新聞稿提出說明，表示經過比對，駭客提供的資料格式與內政部戶政資料差異很大，研判資料並非如駭客宣稱來自內政部戶政司網站，戶役政資訊系統亦並未遭駭，他們指出此資訊系統採實體隔離架構保護相關資料，並未流出，駭客是為了吸引買家，才宣稱他們握有臺灣戶政資料。</p> <p>但駭客究竟如何取得民眾個資？台科大資管系教授查士朝在接受媒體採訪時表示，很有可能是與其他系統串接的過程中出現一些漏洞，而導致相關資料被外接出去。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://checkmarx.com/blog/attacking-the-software-supply-chain-with-a-simple-rename/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub出現嚴重漏洞，攻擊者可透過重新命名挾持儲存庫</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hc2IOPv3jk_20221031-1652-08391.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hc2IOPv3jk_20221031-1652-08391.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx揭露GitHub儲存庫的高風險漏洞，一旦遭到利用，攻擊者就進行儲存庫挾持（RepoJacking）攻擊，針對曾經重新命名的儲存庫子網域名稱下手，將自己的儲存庫替換成上述儲存庫的舊名稱，進而控制該子網域，導致原本使用此網域的舊套件用戶因此上當。根據研究人員的調查，至少有上萬個儲存庫曾被重新命名而受到漏洞影響，經通報後GitHub已予以修補。</p> <h3><a href="https://thehackernews.com/2022/10/high-severity-flaws-in-juniper-junos-os.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路設備的PHP存檔反序列化漏洞，恐被用於RCE攻擊</span></strong></a></h3> <p>Juniper Networks發展的網路設備作業系統Junos OS，廣泛用於該公司的路由器、交換器，以及資安設備，在電信領域市場佔有一席之地，本月修補6個漏洞，其中最嚴重的漏洞是CVE-2022-22241，該漏洞與此作業系統的J-Web元件有關，為遠端預先認證漏洞，將會造成PHP存檔反序列化，攻擊者可在未經過身分驗證的情況下利用漏洞，進而造成phar檔案反序列化，得以寫入任意檔案並發動RCE攻擊，CVSS風險評分為8.1分。</p> <p>另一個高風險漏洞為CVE-2022-22246，為本地檔案包含漏洞，使得攻擊者能用來執行不受信任的PHP程式碼，CVSS風險評分為7.5分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/google-fixes-seventh-chrome-zero-day-exploited-in-attacks-this-year/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對Chrome 107修補零時差漏洞CVE-2022-3723</span></strong></a></h3> <p>Google於10月27日針對Chrome 107電腦版發布緊急更新107.0.5304.87、107.0.5304.88，當中修補了零時差漏洞CVE-2022-3723，此漏洞存在於該瀏覽器的JavaScript引擎V8，為類型混淆漏洞，該公司亦表明已有相關攻擊行動發生。該公司今年已修補7個Chrome零時差漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/connectwise-fixes-rce-bug-exposing-thousands-of-servers-to-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">備份解決方案業者ConnectWise修補重大漏洞，近5千臺伺服器恐受影響</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2022/10/27/raspberry-robin-worm-part-of-larger-ecosystem-facilitating-pre-ransomware-activity/"><span style="color: rgb(0, 0, 0);">駭客組織藉由蠕蟲程式Raspberry Robin來植入勒索軟體Clop</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/10/27/drinik-malware-returns-with-advanced-capabilities-targeting-indian-taxpayers/"><span style="color: rgb(0, 0, 0);">18家印度銀行客戶遭安卓惡意軟體Drinik盯上，假冒當地稅務機關進行網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/the-attack-of-the-droppers"><span style="color: rgb(0, 0, 0);">惡意程式下載器被上架到Google Play市集，用來散布金融木馬</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153911"><span style="color: rgb(0, 0, 0);">蘋果表明只對最新版作業系統修補所有漏洞</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153894">【2022年10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153854">【2022年10月27日】 Kiss-a-Dog攻擊行動鎖定存在漏洞的Docker與K8s而來、OpenSSL預告修補重大漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153843">【2022年10月26日】印度大型電力公司Tata Power遭勒索軟體Hive攻擊、VMware修補Cloud Foundation重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/31 17:43作者周峻佑https://www.ithome.com.tw/news/153924
微軟解決OneDrive會突然關閉的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/october-28-2022-kb5020953-os-builds-19042-2194-19043-2194-and-19044-2194-out-of-band-5b0e9c22-6d38-4ffc-9fe1-7cd83b63f7a7" target="_blank">微軟在10月28日釋出一個緊急（Out-of-band）更新KB5020953</a>，以解決OneDrive會突然關閉的問題，該問題出現在安裝了微軟於10月11日釋出的KB5018410或之後版本的Windows 10系統上，影響Windows 10 20H2/21H1/21H2/22H2。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/resolved-issues-windows-10-22h2#2939msgdesc" target="_blank">根據微軟的說明</a>，上述平臺的用戶只要在Microsoft OneDrive同步程式中登出或取消帳號連結，或者是自SharePoint或Teams網站取消網站或文件夾與裝置的同步，以及企圖卸載OneDrive同步程式，都可能造成 OneDrive意外關閉。</p> <p>更精簡的說法是，舉凡使用者要取消裝置的連結、停止同步，或者是登出帳號，都可能讓OneDrive無法運作。但倘若使用者並未遭遇上述問題，則無需安裝此一頻外更新。</p> <p>此外，KB5020953為一必須手動安裝的累積更新，<a href="https://www.catalog.update.microsoft.com/Search.aspx?q=KB5020953" target="_blank">使用者可依照裝置系統規格下載與安裝</a>適用的版本。</p> </div></div></div>
2022/10/31 17:22作者陳曉莉https://www.ithome.com.tw/news/153923
鎖定SaaS應用安全性的資安業者Valence Security完成2,500萬美元的A輪增資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才於以色列創立的資安業者<a href="https://www.valencesecurity.com/resources/valence-announces-series-a-round" target="_blank">Valence Security上周宣布完成2,500萬美元的A輪增資</a>，且主導該投資的是微軟的M12創投基金，其它投資者還包括Valence種子投資者YL Ventures、Akamai Technologies、Porsche Ventures，以及賽門鐵克前總裁Michael Fey，愈發使得Valence受到矚目。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1031-valence-600.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Valence Security</span></span></p> <p>Valence主要提供的安全服務是透過政策與自動化流程，來減少SaaS（軟體即服務）應用的資料分享、供應鏈、身分辨識及錯誤配置的風險，有鑑於不管是否開發SaaS應用的組織很可能都會用到SaaS服務，而與SaaS有關的安全漏洞也成為遭到駭客利用的缺口，而讓Valence受到微軟、Akamai、Fey或其它創投的青睞。</p> <p>Valence共同創辦人Yoni Shohet表示，利用第三方整合、OAuth令牌、API金鑰與無/低程式碼流程以未經授權存取機密資料的SaaS供應鏈攻擊正在興起，使得Valence決定聚焦於此一「商業應用程式網路」領域，此外，組織的安全團隊並不只想知道各個風險表面，還想要能夠有效大規模降低風險的工具與程序。</p> <p>此外，Valence的協作SaaS安全解決方案不僅提供基本的SaaS安全態勢管理（SaaS Security Posture Management，SSPM），也能協助解決資料保護、身分安全與錯誤配置，提供一個全面性的程序，而非由零散的解決方案所組成。</p> <p>具體來說，組織的安全團隊將可透過Valence服務來保護重要的SaaS應用，諸如Microsoft 365、Google Workspace、Salesforce與Slack等，並確保在不危及SaaS採用速度及生產力的情況下持續遵守內部政策、產業標準及法規。</p> <p>目前Valence的員工人數約只有25名，新一輪的增資將會用來招攬更多在以色列及美國的員工，擴大研發並加速經營。</p> </div></div></div>
2022/10/31 14:29作者陳曉莉https://www.ithome.com.tw/news/153920
蘋果成立全新安全研究網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.apple.com/" target="_blank">蘋果上周設立了全新的安全研究網站（Apple Security Research）</a>，它是蘋果的安全研究中樞，可供資安研究人員提報安全漏洞，申請蘋果安全研究裝置，也提供了蘋果平臺的安全指南與技術支援，以及揭露與說明蘋果最新安全機制及演進。</p> <p>蘋果表示，該公司自2016年就開始小規模地邀請研究人員參與蘋果的抓漏獎勵專案（Apple Security Bounty），並於2019年對外開放，從2019年迄今，總計已頒發近2,000萬美元的獎金，在產品類別的平均支出為4萬美元，並有20個安全漏洞的獎勵金額超過10萬美元。</p> <p>此外，<a href="https://security.apple.com/research-device" target="_blank">即日起蘋果將開放</a>研究人員申請加入新一輪的安全研究裝置（Security Research Device，SRD）計畫，獲准加入的研究人員將可取得一支特別配置的iPhone，不必繞過安全功能就能展開iOS的安全研究，可執行任何工具，選擇所想要的權限，甚至是客製化核心，同時必須將所發現的安全漏洞提交給蘋果或適當的第三方，該計畫的申請截止日為11月30日。SRD計畫支援包括美國、新加坡、南韓與日本等數十個國家，但並未包括臺灣或中國。</p> <p>蘋果還罕見地對外分享應用於Mac、iPhone與iPad上的XNU核心技術，<a href="https://security.apple.com/blog/towards-the-next-generation-of-xnu-memory-safety/" target="_blank">主要是XNU記憶體的安全升級</a>，首個主題為記憶體分配器kalloc_type。</p> <p>蘋果指出，該公司的基本策略是設計一個可讓多數鎖定記憶體毀損漏洞的攻擊都變得不可靠的分配器，此舉將可限制許多記憶體臭蟲所能造成的影響。在此一技術文章中，蘋果解釋了打造kalloc_type的動機，分析其特色與弱點，期望對於研發防禦性緩解措施的安全研究人員有所幫助。</p> </div></div></div>
2022/10/31 13:55作者陳曉莉https://www.ithome.com.tw/news/153919
【資安週報】2022年10月24日到10月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周國內傳出戶政資料被放在駭客論壇Breach Forums（breached.to）上兜售的消息，在<a href="https://www.moi.gov.tw/News_Content.aspx?n=8&sms=9224&s=267333">10月30日數位發展部表示</a>，經初步比對該論壇提供的個資資料，該資料格式與戶役政資料差異甚大，相關資料並非從內政部戶政司全球資訊網(<a href="http://www.ris.gov.tw">www.ris.gov.tw</a>)洩漏，目前檢調單位已進行調查，儘管強調戶役政資訊系統採內外網實體隔離架構，資料並未流出，但實際情形，政府必須明查。目前<a href="https://www.rfi.fr/tw/%E6%B8%AF%E6%BE%B3%E5%8F%B0/20221030-%E9%BB%91%E5%AE%A2%E7%AB%8A%E5%8F%96%E5%8F%B0%E7%81%A3%E5%85%A7%E6%94%BF%E9%83%A8%E6%88%B6%E7%B1%8D%E8%B3%87%E6%96%99%E8%B2%A9%E8%B3%A3%E8%AA%BF%E6%9F%A5%E5%B1%80%E5%B1%95%E9%96%8B%E8%BF%BD%E6%9F%A5">已有消息指出</a>，這批資料可能是2018年內政部應行政院主計總處要求數據介接時，由其他單位流出去，但還未獲得證實。</p> <p>在漏洞修補方面，在<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">20日到25日之間有多項已知漏洞</a>，開始被駭客組織用於攻擊行動，必續盡速修補的消息，包括2020年技嘉、思科AnyConnect Secure的各兩個漏洞，2021年Linux Kernel的一項漏洞，以及今年Zimbra ZCS與蘋果iOS、iPadOS修補的一項漏洞。</p> <p>其他已出現攻擊行動的消息，包括近期的Apache Commons Text重大漏洞Text4Shell，以及幾個月前的微軟MoTW漏洞。另外，OpenSSL預告在11月1日修補重大漏洞，成為下個月首要關注焦點。</p> <p>在威脅態勢上，近來有網路攻擊行動是鎖定Docker與K8s，還有殭屍網路Emotet最新攻擊出現，以及GitHub上的PoC被揭露，平均十個就有一個是惡意軟體。</p> <p> </p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153798"><span style="color: rgb(0, 0, 0);">【10月24日】Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資</span></a></strong></h3> <p>Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。</p> <p>VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。</p> <p>網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153807"><span style="color: rgb(0, 0, 0);">【10月25日】巴基斯坦組織遭駭客SideWinder發動後門程式攻擊、蘋果修補已被用於攻擊的iOS零時差漏洞</span></a></strong></h3> <p>巴基斯坦組織遭到駭客SideWinder鎖定，並透過後門程式來發動攻擊，不過，駭客並非直接攻擊特定的組織，而是入侵當地政府機關的網站，來做為散布後門程式的管道。</p> <p>攻擊者假借提供漏洞的概念性驗證程式為由，將惡意程式上傳至程式碼儲存庫GitHub散布的情況，不時有事故傳出，但這樣的情況究竟有多嚴重？根據荷蘭萊登大學的分析，他們找到了近5千個遭到濫用的儲存庫。</p> <p>蘋果發布iOS 16.1與iPadOS 16，但值得留意的是，當中修補了已出現攻擊行動的漏洞CVE-2022-42827，使用者應儘速套用更新程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153843"><span style="color: rgb(0, 0, 0);">【10月26日】印度大型電力公司Tata Power遭勒索軟體Hive攻擊、VMware修補Cloud Foundation重大漏洞</span></a></strong></h3> <p>印度大型電力公司Tata Power在兩星期前傳出遭到網路攻擊，但決口不提受到影響的範圍，僅表示他們的基礎設施皆正常運作。現在有駭客組織宣稱是他們所為，並公布螢幕截圖。</p> <p>數年前發現並得到修補的漏洞，近期再度成為駭客用於攻擊行動的目標！美國CISA針對技嘉驅動程式在2018年被發現的4個漏洞，以及思科於2020年修補的VPN連線程式AnyConnect漏洞提出警告，並要求公部門限期修補。</p> <p>VMware最近修補Cloud Foundation重大漏洞CVE-2021-39144，值得留意的是，有鑑於此漏洞極為嚴重，該公司也破例為已終止支援的NSX-V發布更新。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153854"><span style="color: rgb(0, 0, 0);">【10月27日】Kiss-a-Dog攻擊行動鎖定存在漏洞的Docker與K8s而來、OpenSSL預告修補重大漏洞</span></a></strong></h3> <p>專門鎖定Docker、K8s等系統為目標的挖礦攻擊行動今年已有數起，資安業者CrowdStrike近期透過陷阱誘捕系統發現名為Kiss-a-Dog攻擊行動，但與過往類似的事故有所不同，駭客隱匿了金流，使得研究人員與執法單位要追蹤攻擊來源更加困難。</p> <p>開源加密程式庫OpenSSL的開發團隊宣布即將推出新版軟體，目的是要修補安全性臭蟲，有資安新聞網站指出，這很可能是為了修補一項重大漏洞。</p> <p>臺灣資安研究員Orange Tsai去年揭露Exchange重大漏洞ProxyRelay，並於今年10月19日公布細節。攻擊者能利用該漏洞，將特定使用者身分轉繼到Exchange的前端或後端，甚至是其他Exchange服務上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153894"><span style="color: rgb(0, 0, 0);">【10月28日】親中駭客Dragonbridge散布假訊息操縱美國政局、資料庫程式庫SQLite修補22年的高風險漏洞</span></a></strong></h3> <p>又是中國駭客打算散布不實訊息的情況！駭客組織Dragonbridge藉由設置假社群網站帳號、竄改新聞的方式，針對美國散布了一系列假訊息。其中，最離譜的應該就屬中國駭客組織APT41受美國政府指使，攻擊其他國家政府組織的假新聞。</p> <p>臺灣民眾個資再度傳出流入駭客論壇轉賣的情況！有新聞網站指出，駭客宣稱握有近乎全臺灣民眾的戶藉資料，且內容相當詳細、資料也相當新。但對此報導，內政部尚未提出進一步說明。</p> <p>過往可能因為運算能力受限而不被視為漏洞的問題，現在被發現可能會造成嚴重影響！有資安業者揭露SQLite的漏洞CVE-2022-35737，並指出攻擊者只要能置入極大量的字串，就有可能癱瘓採用該程式庫的應用程式。</p> </div></div></div>
2022/10/31 09:35作者羅正漢https://www.ithome.com.tw/news/153907
微軟釋出圖形介面電腦視覺工具Vision Studio，供用戶試用Azure電腦視覺功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布具有圖形介面的電腦視覺工具<a href="https://azure.microsoft.com/zh-tw/blog/introducing-vision-studio-a-uibased-demo-interface-for-computer-vision/">Vision Studio</a>，讓用戶可以在不需要技術基礎下，探索、評估並且展示電腦視覺功能，官方提到，用戶可以試用和探索電腦視覺服務，並在決定要部署後於自己的應用程式中，應用微軟所提供的客戶端函式庫和REST API。</p> <p>針對圖像和影片的分析、管理需求，微軟提供了電腦視覺API，供用戶能夠以進階演算法處理媒體，並且取得需要的資訊，用戶只要上傳媒體資產，或是指定媒體URL，Azure的電腦視覺服務就能以各種演算法，以符合用戶需求的方式分析視覺內容。</p> <p>而Vision Studio可讓用戶在沒有技術支援下，快速地試用該電腦視覺服務。在Vision Studio中，每個電腦視覺功能都有一個或多個試用功能，用戶可以使用自己的圖像進行測試，不過這項操作需要擁有Azure訂閱和認知服務資源以進行身份驗證，要在不登入的情況下使用Vision Studio，則可以使用微軟所提供的範例圖像進行測試。</p> <p>Vision Studio提供光學字元辨識（OCR）功能，供用戶從圖像以及文件中，擷取印刷或是手寫文字。Vision Studio也能夠進行空間分析，辨識影片裡存在的人物以及人物的移動，並且產生其他系統可以回應的事件。用戶也可以將Vision Studio用於人臉辨識應用，以偵測、辨識和分析圖像中的人臉，官方提到，人臉辨識的用途非常廣泛，包括身份驗證、非接觸式存取控制和隱私臉部模糊等都用得上。</p> <p>Vision Studio的圖像分析功能則可從圖像中，擷取許多視覺特徵，包括物件、臉部、成人內容，甚至是自動生成文字描述以改進無障礙功能，用戶可以在Vision Studio中，嘗試使用自己的圖像，以準確辨識物件、內容，並且替圖像生成圖說。</p> </div></div></div>
2022/10/31 10:09作者李建興https://www.ithome.com.tw/news/153895
馬斯克完成推特收購，特斯拉競爭者GM率先暫停廣告預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克上周四（10/27）晚間在最後期限前完成對推特的收購，不過他旗下特斯拉（Tesla）競爭者通用汽車（General Motors，GM）已暫停推特的付費廣告。</p> <p><a href="https://twitter.com/elonmusk/status/1585841080431321088" target="_blank">馬斯克完成收購後發文說道「鳥兒被釋放了」</a>，意謂著將解除推特的言論管制。他曾說要開源內容呈現的演算法，去除有偏見的言論管制。<a href="https://www.ithome.com.tw/news/153872" target="_blank">但馬斯克上周也同時向廣告主承諾</a>，推特以成為確保多元言論的數位論壇，但不會變成仇恨和對立的場域，將是值得尊敬的廣告平臺。</p> <p>馬斯克究竟要怎麼做，以及廣告主相不相信都不得而知，不過，<a href="https://www.cnbc.com/2022/10/28/gm-temporarily-suspends-advertising-on-twitter-following-elon-musk-takeover.html" target="_blank">CNBC報導</a>，主要客戶之一GM已暫緩對推特的廣告投資。</p> <p>GM表示，一如所有媒體平臺重大變化的因應措施，該公司在針對新所有權的方向和推特接洽後，該公司已暫停付費廣告，但該公司在推特上的客服，則仍然持續。</p> <p>GM是馬斯克另一家公司特斯拉的競爭者。CNBC報導，GM在其執行長Marry Barra領導下，是率先斥資數十億美元發展電動車的傳統車廠。</p> <p>大部份車廠雖然不見得都在推特下廣告，但幾乎都以推特官方帳號作為和客戶互動、公開訊息的管道。但隨著馬斯克收購，可能影響推特對車廠客戶的吸引力。</p> <p>另一家發展電動車的福特並未在推特下單，但表示也在評估推特的持有權新發展。CNBC並引述發展電動卡車的Nikola說沒有變更推特平臺的計畫。其他發展自駕車的業者Stellantis、Alphabet旗下的Waymo未回應媒體詢問，Rivian則拒絕評論。</p> <p>完成收購後，馬斯克向推特員工保證不會裁員75%，不過<a href="https://www.reuters.com/markets/deals/elon-musk-completes-44-bln-acquisition-twitter-2022-10-28/" target="_blank">路透社報導</a>馬斯克入主當天已經先開除三名推特高層，包括執行長Parag Agrawal、財務長Ned Segal以及法務長暨政策長Vijaya Gadde，說他們在假帳號比例上誤導他和推特投資人。</p> <p><a href="https://www.ithome.com.tw/news/153462" target="_blank">馬斯克曾說</a>，計畫讓推特打造一個超級App（X App），目的是使推特成為像騰訊一樣能提供所有線上服務的平臺，從匯款、購物及叫車等。</p> </div></div></div>
2022/10/31 10:19作者林妍溱https://www.ithome.com.tw/news/153909