iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

台積IT全球布局的關鍵轉型：FAB RUNS ON CODE
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「用軟體來跑晶圓廠。」這是台積用來形容IT重要性的一句話，要運用軟體協助全球晶圓廠的運作。如何實現這個願景，台積不只大舉導入現代化IT技術架構，全面擁抱DevOps和雲原生，還要推動組織、文化和工作型態的現代化變革</p> </div></div></div>
2022/11/25 14:17作者王宏仁https://www.ithome.com.tw/article/154420
台積全球資料中心維運高度自動化的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「每座晶圓廠背後都有一座大型資料中心，要管理全球數十座資料中心，超過數萬臺實體伺服器、數十萬臺VM，只靠傳統IT技術，沒有辦法有效維運。」台積電資訊建構暨通訊服務處副處長劉培欣特別強調。</p> <p>這位資料中心維運高手，曾在億級用戶瀏覽器新創中，打造出1人能管上萬臺伺服器的工具，今年初加入台積電後，看到晶圓廠24小時運轉背後需要的資料中心規模，大吃一驚。</p> <p>台積電面對的資料中心維運挑戰，不只是資料中心和硬體的數量，還需要高容錯和高可用設計，一般網路服務能接受2～3秒中斷，來切換到備援服務，但這個做法在台積電，卻是不及格的設計。因為台積電的問題規模，比常見網站服務，多了好幾個等級，原本平淡無奇的架構設計問題，到了台積電往往超乎想像，連劉培欣都備感挑戰。</p> <p>台積早在十多年前，就開始用擁抱虛擬化技術，來提高資料中心實體伺服器的維運效率，也以VM打造出IaaS，甚至是PaaS服務。可是，到了2019年時，台積開始看到VM的瓶頸，大量採取單體式架構的老舊應用，只靠不斷提高伺服器硬體規格來擴充的垂直擴充（Scale Up）做法，恐怕無法支援台積未來營運成長的需求。甚至，後來隨著台積持續全球擴張，IT技術不斷面臨的新挑戰是，如何能夠不斷快速延伸到全球。</p> <p><span style="font-size:28px;"><strong>從VM轉為擁抱K8s和容器，更大力發展IaC</strong></span></p> <p>早在2018年時，台積就開始在內部資料中心導入Kubernetes（簡稱K8s）來嘗試容器技術。到了2019年時，台積決定進一步開始推廣容器化技術，採用商用軟體來建置私有K8s環境，並開始將VM搬遷到K8s環境中。</p> <p>到了2020年，疫情大大衝擊了全世界，也讓台積加快數位轉型的腳步，一方面大舉招募IT人力儲備新戰力，另一方面也加速推動IT現代化。</p> <p>台積基礎架構團隊當年三大工作重點，一是要善用各種基礎架構新技術，來協助台積數位轉型，另外也開始要將資料中心透過軟體定義轉型成真正的私有雲，最後一項是要持續進行基礎架構的創新，例如導入新世代5G、IoT製造、AIOps技術等。台積也開始嘗試混合雲做法，將適合業務上雲，如雲端CRM和雲端HCM。</p> <p>2021年時，台積決定改用開源技術架構，打造自己的K8s平臺。台積電企業系統整合處部經理胡君怡表示，為何台積要用開源技術，自己建置K8s，好處是自己開發、自己維運，敏捷程度更好，IT的開發速度彈性要能追上我們企業流程的轉型需求。</p> <p>到了2021年底時，已經將多座晶圓廠的應用系統，搬遷到這個自建K8s環境中。2022年8月時，也上線了電子商務服務使用的自建K8s平臺。台積計畫在2022～2023年期間，將所有服務都搬遷到自建K8s上。</p> <p>2021年，台積開始招募SRE團隊，大力發展基礎架構程式碼化（Infrastructure as Code），要使用軟體方法，來管理台積全球資料中心，以及基礎架構的硬體設計、建設和維運。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">台積IT從2018年開始摸索現代化IT架構，2019年展開基礎架構轉型，到了2022年，台積資訊基礎架構逐漸完成了現代化架構的轉型，也大幅運用IaC來提高自動化維運能力。進一步，台積IT也成立了SRE（Site Reliability Engineering）團隊，來負責平臺服務的各項維運。台積分別在智慧製造團隊、數位商務團隊和基礎架構團隊中，各自設置了一組SRE團隊。</strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>台積基礎架構分四層，從MaaS、IaaS、PaaS到SaaS</strong></span></p> <p>從2018年開始模索，2019年展開基礎架構轉型，到了2022年，台積資訊基礎架構逐漸完成了現代化架構的轉型，也大幅運用IaC來提高自動化維運能力。</p> <p>劉培欣指出，維運要高度自動化的關鍵是，讓基礎架構可程式化，包括看得到的硬體伺服器、網路設備，到看不到的OS、上層服務，全部都要可程式化。</p> <p>台積技術架構可以分為四層，底層MaaS、IaaS透過資料中心自動化機制來強化，上層PaaS和SaaS則透過K8s搭配內部的Web Service，達到公有雲業者的靈活度和彈性。</p> <p>更進一步細分這個架構，可以分為8個子層。最底2個子層是實體網路層和儲存設備層，再上一層是Bare Metal Server層和OS層，這兩個子層通稱為Metal as a Service層，簡稱MaaS，可以做到靠軟體動態調度硬體資源的配置。</p> <p>再往上是中介軟體和K8s基礎架構子層，台積將這兩個子層視為IaaS層。在K8s基礎架構上有一層標準服務子層，這一層提供不同應用系統常用的基本共用服務，台積將標準服務與K8s平臺的部分功能合併成了PaaS層。</p> <p>在標準服務之上，台積還打造了一套Web Service，類似一套公有雲服務解決方案的做法，這就是台積技術架構中的SaaS層。台積利用K8s平臺服務，來管理PaaS和SaaS層，來實現維運高度自動化的IaC作法。</p> <p>「IaC對台積而言，不是選項，而是一定要做的事，維運自動化是一定要走的路，否則無法達到這麼龐大的規模。」劉培欣強調。</p> <p><span style="font-size:28px;"><strong>台積如何用開源技術自建K8s架構</strong></span></p> <p>在台積用開源技術自建的K8s架構中，包括了多個功能區塊，IaC區塊可以支援常見IaC語言工具如Ansible、Terraform、golang和python等，再透過一套CI/CD工具鏈，來貫穿K8s架構從底層到最上面的部署。台積在K8s架構底層網路上，採用了L3 BGP IP Fabric設計，而不是一般部署K8s平臺時常見的L2網路設計，採用L3網路架構是台積可以快速部署大量叢集的關鍵。例如台積可以做到，開發團隊只要透過一個宣告式YAML檔案，就可以快速取得所需要的負載平衡IP，完全不用填單申請，也就不需要等待核准。</p> <p>在網路區塊之上是OS區塊，每一臺x86伺服器只要接上網路，透過網路開機就能開始自動安裝，來實現MaaS。完成OS自動安裝後，接著安裝軟體FRR套件，讓伺服器具備路由器功能，再自動安裝ceph來提供軟體定義儲存功能。有了SAN和路由功能，就可以部署K8s調度平臺軟體，上面又會統一安裝CRI、CNI、CSI指定元件，來統一K8s的runtime、網路和儲存介面。而在最上層，再安裝服務網格套件Istio和服務探索工具CoreDNS。另外還有搭配一套機密和身份驗證系統，以及一套可觀察性和治理系統。</p> <p>但是，一家企業不是第一天成立就擁有十幾座資料中心，而是數年，甚至十多年持續發展IT的結果，這往往也讓企業內部基礎架構所用的IT技術，包括硬體、軟體和所用軟體產品，跨越了好幾個世代。這些系統各自有各自的修補、升級，都會影響維運自動化的程度，甚至成為包袱。</p> <p>台積決定用系統性思維來解決應用系統橫跨多世代技術的問題，在現代化開發模式DevOps的CI/CD流程中，找到了可以強化維運自動化的關鍵。</p> <p>劉培欣透露關鍵秘訣是：「台積CI/CD獨到之處，是在CD循環外層套上一個輔助系統作為加速線圈，來加速CD的運轉。」</p> <p>簡單來說，台積在CI/CD執行過程搜集大量Log，建立可觀察性機制，蒐集到更多維運知識或維運洞察，找出可重複的模式，寫成程式碼或轉換成政策，再部署到CD輔助系統，來加速維運。「這個CD輔助系統，不只可以加速CD流程，甚至可以將成果套用到CI流程，融入基礎架構中。」劉培欣補充。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 528px;" /></p> <p><strong style="color: rgb(105, 105, 105);">台積電資訊建構暨通訊服務處副處長劉培欣特別強調，IaC對台積而言，不是選項，而是一定要做的事，維運自動化是一定要走的路，否則無法達到這麼龐大的規模。</strong><span style="color: rgb(105, 105, 105);">圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>台積加速CD循環的5大步驟</strong></span></p> <p>如何實現這樣一套的CD加速線圈，台積分5個步驟來實現。第一個步驟是先將資料中心基礎架構的部署，變成是可延伸的部署方式（Extensible deployment）</p> <p>利用資料中心DCIM監看每一個單點的狀態，建立了一套DC Librarian系統來集中每個單點的運作資訊，再提供給MaaS系統（包括部署在各地資料中心的本地端MaaS），來調度伺服器和網路設備，再搭配了一套Logical Cluster Builder系統，負責管理硬體設備調度之間的相依性。</p> <p>可以指定調度範圍，從整個機櫃，到整座資料中心都能調度，甚至可以指定跨資料中心的範圍，來調度沒有實體相連的伺服器資源。</p> <p>透過這三個機制，就可以實現部署可延伸性，可以大幅提高資料中心的建置效率，不需太多人力，就能夠快速啟用遠在海外的資料中心，用來支援海外擴點所需。</p> <p>下一步，就是將維運資料標準化，來強化可觀察性。透過在伺服器端的代理程式或裝置資料搜集機制，持續搜集各種資料中心的維運Log，進行資料標準化。因為台積的資料中心很多，蒐集來的Log數據非常龐大，無法儲存所有的原始資料，因此也會進行資料萃取後，保留有價值的後設資料以利進一步的處理。</p> <p>台積電也會在各地資料中心，設置本地端NOC機制，善加利用所蒐集到的這些Log數據，來監看當地資料中心的運作情況。</p> <p>龐大Log數據經過萃取後，就可以進行高階分析，這就是第三個步驟，建立可以統一進行事件偵測、調度和解讀的集中式機制，包括了Event Center和Global Analyzer兩個機制。Event Center可以分析Log萃取出來的後設資料，找出模式，來分析這些模式所代表的高階意義。</p> <p>Global Analyzer不只可以對單一地區資料中心的Log後設資料進行高階分析，還可以跨多地區資料中心來分析。</p> <p>透過高階分析可以找出原本不知道的維運洞察後，就進入第四個步驟，建立一套槓桿系統來提高維運自動化程度。將新發現的分析結果，轉換成新的管理政策，提供到Global NOC來執行，從Global NOC的高度，統一來管理所有地區資料中心的運作。</p> <p>但，做到資料中心全球統一管理不是終點，而是新的起點，台積電的維運自動化還有第五步驟，要進一步將重複性維運任務轉換成程式碼，來實現快速復原和自動修復。</p> <p>每次只要導入新的解決方案，或是新建資料中心等，就會增加新的事件，也會不斷找到新的資料中心維運模式，都能持續用來提高維運的自動化。</p> <p>劉培欣解釋：「在CD循環中套上加速線圈，永遠可以找到新的模式來修正問題，將重複的工作自動化。」</p> <p>台積導入到這雲原生技術的K8s架構時，為了加快容器化的普及，先提供了一個圖形化介面，讓開發者將原有VM架構，轉換成容器映像檔來部署，也能自動產生YAML來進行部署。</p> <p>後來，越來越多服務轉移到K8s，也開發了不少微服務，只靠GUI介面設定無法滿足DevOps開發的各種彈性需求，後來進一步導入了GitOps作法，將YAML檔的撰寫比較程式碼開發的流程，不只大幅提高了發布速度，也提高了K8s部署資訊的透明度。</p> <p>台積完成這套自建K8s平臺之後，再結合GitOps做法，現在已經可以做到，DevOps工程師只要透過git，送出一隻YAML檔後，約十多分鐘就能完成部署，開通服務。</p> <p><span style="font-size:28px;"><strong>擁抱GitOps提高效率，更要發展內部Web Service平臺</strong></span></p> <p>甚至，台積進一步打造出了一套內部Web Service平臺，讓DevOps可以更彈性取得需要的基礎架構資源和常用基礎服務。台積首度揭露了這套Web Service平臺的三階段發展過程。</p> <p>首先，台積先選出內部開發常用的一批標準服務，提供了一套自助式的標準服務目錄，可以提供一套常用服務的部署檔案，讓DevOps工程師可以套用到自己的CI/CD流程，快速部署到想要的K8s環境上。</p> <p>接著，台積IT將這些標準服務，發展成一套管理式的多租戶服務平臺，提供一個網頁介面，方便開發者註冊所用的服務，也能管理所用服務的異動。</p> <p>第三階段是打造出一套Web Service平臺，不只可以提供更多元化的服務項目，也開始提供可觀察性的元件，採取外掛擴充的方式，來提供像是效能監控，帳單與報表功能，警告通報自動化、Log和事件機制等，開發團隊的使用者，甚至可以自訂通知，事件觸發後自動串連到指定自動化流程來展開後續作業。</p> <p>台積透過這些徹底擁抱IaC的作法，劉培欣指出，我們的目標是，資料中心自動化效能能達到搜尋龍頭的等級，而PaaS和IaaS層的自有Web Service服務能夠達到如雲端龍頭的彈性。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:17作者王宏仁https://www.ithome.com.tw/news/154418
台積AI的新挑戰，從擴大應用到AI全球維運都要靠現代化IT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從300mm的晶圓片上，找出約6奈米的瑕疵，就像是從臺灣南到北394公里長的距離中，找出一隻螞蟻，這就是我們要處理的問題，而且還要在相當短的時間內找出來。」台積電智慧應用整合處副處長沈文冰，一句話點出晶圓廠的超級挑戰。</p> <p>這正是台積智慧製造為何必須高度自動化的原因，就像台積經常處理的瑕疵檢測問題，不只是人眼看不到，甚至有時只是幾顆原子之間的差異而已，得透過非常精密的設備才能量測。</p> <p>2011年，AI技術開始進入晶圓製造，這是台積智能化元年，2013年更開始大力發展機器學習平臺，在台積待了十多年的沈文冰，在2015年時加入了台積大數據分析團隊，專心投入AI，也一路見證了台積從大數據，智慧製造到全面智慧化的發展歷程。</p> <p>在台積，大數據和AI處理的資料量級都是海量資料，光在2021年生產了破千萬片的12寸晶圓，都靠全自動產線生產。每個廠區多達數千臺設備，天天都會產生龐大資料量。不只量大、類型多元，資料成長速度也飛快，從晶圓製造開始導入AI的那一年，也就是2011年為基數，至今資料量成長超過數百倍，而且持續暴增中。為了監測生產過程的狀態，生產設備設置大量感測器，每秒資料量相當驚人，為了分析龐大串流數據，台積在邊緣運算部署了很多AI應用。像晶圓片瑕疵檢測問題，會先用光學高速掃描百萬張影像，找出上千個懷疑可能出問題的區域，再用高倍電子顯微鏡放大來比對，整個過程還要在很短時間內完成，得靠AI協助才做得到。</p> <p>精密製造中有很多要解決未知的挑戰，需要借重可學習的AI，不斷用資料訓練模型來改善。例如瑕疵影像辨識課題的新挑戰是，要找出過去沒看過，但可能會發生問題的瑕疵。</p> <p><span style="font-size:28px;"><strong>不只生產過程，AI在製造前也能扮演關鍵</strong></span></p> <p>AI對台積的價值不只是在製造過程的輔助，甚至是在製造之前就能扮演重要角色。</p> <p>沈文冰指出，晶片生產周期長達3到6個月，不能等到生產過程中發現問題，再回頭修正，要在設計資料進來之初，快速檢驗，找出可能出錯的地方，事先調整。可是，「很多晶片設計都是全新、沒有看過的設計，如何判斷與調整，得靠能不斷創造、學習的AI。」</p> <p>甚至，不只是在設計資料提供之初，就想辦法找出日後可能發生問題的設計，台積電進一步還想要解決的挑戰是，能不能用運用AI事前分析設計資料，從生產角度告訴晶片設計者，有哪些可以避開的晶片不良設計，來讓晶片效能更好，這不只對台積有幫助，也能有利於晶片設計者的雙贏作法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%96%E3%80%91%E6%B2%88%E6%96%87%E5%86%B0-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%8F%B0%E7%81%A3%E7%A9%8D%E9%AB%94%E9%9B%BB%E8%B7%AF%E8%A3%BD%E9%80%A0%E8%82%A1%E4%BB%BD%E6%9C%89%E9%99%90%E5%85%AC%E5%8F%B8.png" style="width: 472px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>台積電智慧應用整合處副處長沈文冰表示：「台積將AI框架維運化，維運AI從開發環境開始，在開發的前段就要引導使用者，將後續維運所需要的模組一起建置完成。」</strong>圖片來源／台灣積體電路製造股份有限公司</span></p> <p><span style="font-size:28px;"><strong>台積AI的3大類挑戰</strong></span></p> <p>綜觀幾年台積AI的發展，沈文冰表示，台積全面智慧化的挑戰，包括了資料處理與智識萃取、Scaling (AI 服務平臺化、產品化，來擴大應用規模和廣度) 和 AI 應用的全球維運與安全。</p> <p>資料是AI永遠的課題，但是對台積電而言，真正的挑戰不是大數據，而是小資料（Small Data），甚至是沒有資料的課題。以瑕疵檢測來說，台積電良率非常高，雖然可以從產線設備可以蒐集到海量資料，但是絕大部分的資料都是正常運作的資料，也就是對AI訓練來說的好資料，但訓練模型需要找出造成瑕疵問題的不良資料，比例少於萬分之幾。要如何找出可用的資料，也是台積AI的重要課題之一。</p> <p>小資料課題還有另一種場景，因為台積電的資料產生速度非常快，甚至最後能保留的資料受限於儲存空間的大小。等到要進行分析時，常常會發現，產線可以產生需要的資料，但因為儲存空間不足，這些資料沒有儲存下來。如何解決這樣的問題，就得思考如何對原始資料進行資料處理和智識萃取，這也是台積AI現在的重要課題，目前台積電也採用了一些做法，例如資料壓縮，資料事前過濾、特徵抽取、建立特徵資料庫等手法來因應。</p> <p>第二大類挑戰是擴張（Scaling）課題，也就是如何解決AI應用廣度和規模越來越大的挑戰。台積不斷擴張，不只廠區或設備的擴張，AI應用規模和範圍也不斷擴大，越來越多來自使用者的分析需求，怎麼解決？</p> <p>台積的做法是將AI服務平臺化和產品化，來降低終端用戶的AI使用門檻，讓特定使用情境的AI需求，可以由用戶自助式進行。例如建立一套工作流程，讓不是那麼熟諳AI技術的使用者，也能透過互動式的引導，從資料抓取，到機器學習模型的訓練步驟，一步一步完成，來達成他的分析需求。甚至，台積也開始利用生成式模型，來幫助使用者創造出自己需要的模型，類似像是用AI來產生AI的概念。這些都是台積為了擴大AI應用規模的對策。</p> <p>除了資料和擴張問題之外，還有一類更務實的AI挑戰，就是AI應用的全球維運和安全課題，也就是Operational AI的挑戰。很多AI模型在實驗室環境中可以正常運作，但部署到正式上線的環境後，卻出現了不少問題，知名國際調查機構曾經做過統計，高達8成的AI專案，無法達成原本設定的業務目標。</p> <p>從整體角度來看，「做出ML模型，只是ML維運藍圖中的小部分，資料問題，模型飄移，安全問題都是Operational AI要處理的課題。」沈文冰強調。從整套ML維運藍圖來看，資料科學家訓練出模型，只是完成了其中的關鍵核心，但是，這些模型進入正式上線環境後，資料如何持續搜集，如何驗證資料，確保資料品質，如何持續進行特徵抽取，後續如何持續重新訓練，如何發布和部署成AI服務，如何監控服務運作的狀態，遇到模型飄移時，如何不靠資料科學家也能處理等等，這些都是實際ML維運時都要處理的範圍。</p> <p>所以，沈文冰表示：「台積將AI框架維運化，維運AI從開發環境開始，在開發的前段就要引導使用者，將後續維運所需要的模組一起建置完成。」</p> <p>台積運用開源技術，自行打了一套內部AI開發平臺，提供很多隨插即用的套件，可以彈性地將演算法嵌入到這個平臺中，要求最後輸出的產品要以Docker容器相容方式來封裝。這個平臺也將台積自己開發的元件服務化，變成內部資料科學家可用的AI共用服務。</p> <p>機器學習模型用Docker容器封裝還帶來另一個好處，台積可以集中在臺灣訓練模型後，再發布到全球各地的資料中心內部環境中部署。</p> <p>「AI是需要保護的資產，所以台積選擇自己建置需要的平臺，在自己內部的環境中執行。」沈文冰強調。</p> <p>訓練AI模型時，也是一種程式碼撰寫過程，所以，台積AI開發流程，也比照軟體開發流程，引進了現代化IT的CI/CD流程，甚至多了一個階段稱為持續訓練（Continious Training，簡稱CT），在這個CI/CD/CT流程中，每一段都會加上傳統軟體開發的資安，再加上AI模型的安全考量。例如除了程式碼弱點掃描，也會掃描AI模型弱點，</p> <p>台積還會研究各種模型攻擊手法和攻擊場景來預先防範，像是要避免AI模型的機密遭竊，或是防範模型遭攻擊而偏移了原有設計目的等進階AI議題。</p> <p>從小資料，擴張需求到AI維運的挑戰，台積這幾年現代化IT成果，讓台積AI能夠更上一層樓，挑戰更困難的課題，這正是台積IT轉型的重要影響。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:17作者王宏仁https://www.ithome.com.tw/news/154419
台積電數位轉型大事記 2018～2022
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2018、2019年轉型前基礎工程，開始引進容器技術，嘗試敏捷和DevOps模式。2020年正式啟動數位轉型，不只大力推動IT現代化，也展開IT大徵才，聚焦五大轉型方向。2021年，台積數位轉型進入全新的階段，找來矽谷大將擔任CIO，不只大幅改組IT組織，並從專案模式開始轉為產品模式，更全面擁抱DevOps和雲原生。台積也自建K8s平臺，從私有雲架構邁向混合雲。2022年，台積進一步聚焦六大數位轉型新方向，不只是製造和IT技術的轉型，更要實現組織、文化和工作型態的現代化變革。</strong></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>2018~2019年轉型準備期：推廣容器技術和DevOps</strong></span></span></p> <p><strong>● 2018年：導入超過十年的虛擬化技術架構開始出現瓶頸，單體式應用系統，靠不斷提高硬體規格也難以支援台積的需求。台積在內部資料中心開始嘗試K8s和容器化技術。</strong></p> <p><strong>● 2019年：開始推廣<span style="color:#0000FF;">容器化技術</span>，以商用軟體產品建置<span style="color:#0000FF;">K8s私有雲</span>，開始將VM搬遷到K8s環境。軟體開發策略著重<span style="color:#0000FF;">雲端應用及手機App開發</span>，軟體開發流程則從瀑布開發模式，開始嘗試<span style="color:#0000FF;">DevOps</span>和<span style="color:#0000FF;">Agile</span>開發模式，並開始進行IT文化的改變。</strong></p> <p><strong><span style="color:#B22222;"><span style="font-size:20px;">2020年轉型重點：加速IT現代化和IT大徵才</span></span></strong></p> <p><strong>● 2020年：因疫情加速數位轉型腳步，開始發展<span style="color:#0000FF;">AR/MR跨廠遠端協同合作、強化廠際技術移轉能力，推動數位工廠（Digitized Fab）的製造流程改造計畫，</span>以及<span style="color:#0000FF;">打造遠距辦公系統</span>等。</strong></p> <p><strong>● 2020年5月，台積宣布將在美國亞利桑那州設立先進晶圓廠，將於2021年動工，於2024年開始量產。海外擴廠計畫，讓台積加速發展全球化營運能力。</strong></p> <p><strong>● 2020年中，展開<span style="color:#0000FF;">5G企業內網</span>規畫與部建。</strong></p> <p><strong>● 2020年12月，<span style="color:#0000FF;">台積電IT首次線上大規模徵才</span>，招募海內外IT業界人才，主要招募3大類人才：雲端平臺架構師、基礎建設架構師與工程師和資安維運工程師。</strong></p> <p><strong>● 2020年底成果：3大重心、4大AI應用和5大發展方向。</strong></p> <p><strong><span style="color:#0000FF;">【TSMC內部雲端軟體開發平臺】</span>，整合DevOps流程和工具，支援上千名工程師開發。多數應用程式已轉移到Kubernetes環境，也採用微服務架構來設計軟體系統。</strong></p> <p><strong><span style="color:#0000FF;">【2020台積IT基礎架構團隊三大工作重心】</span>：運用各種基礎架構新技術（行動應用、導入協同合作和線上會議服務、雲端服務整合利用）協助企業數位轉型，資料中心透過軟體定義（虛擬化、容器化、基礎架構程式化）轉型成真正的私有雲、基礎架構持續創新（導入新世代5G、IoT製造、AIOps技術）。</strong></p> <p><strong><span style="color:#0000FF;">【2020台積AI和ML四大應用布局】</span>：製程研發面：用AI協助理解高複雜高維度的製程開發挑戰。Fab量產面：用AI和ML分析感測資料和檢測影像，來進行品質檢驗、缺陷檢查，協助快速產生高品質的晶圓。業務面：市場動態分析大量使用AI，也用來分析顧客行為模式。IT維運：利用AI協助IT內部複雜系統的維運，異常偵測等。下一代智慧工廠發展策略，要結合行動應用、MR、IoT、大數據和AI來發展下一代AI工廠。</strong></p> <p><strong>● 2020年底，揭露<span style="color:#0000FF;">【台積數位轉型五大方向】</span>：用AI、大數據及尖端數位科技來打造<span style="color:#0000FF;">智慧製造（</span>如智能調機及機臺邊緣運算）、<span style="color:#0000FF;">數位供應鏈管理</span>、<span style="color:#0000FF;">高效能混合雲端運算及服務</span>（將適合業務上雲，如雲端CRM和雲端HCM）、<span style="color:#0000FF;">工作場所現代化</span>（如內部行動App、RPA、智能會議室等）、<span style="color:#0000FF;">團隊協作</span>（如AR/MR遠端協作、使用者為中心的團隊協作合作平臺）。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>2021年轉型重點：組織重組和流程變革，全面擁抱DevOps和雲原生</strong></span></span></p> <p><span style="color:#696969;"><strong>主要作法：擴大推動敏捷開發模式，CI/CD工具鏈雲端化、私有雲走向混合雲架構，開始推動雲原生，逐步減少技術債。</strong></span></p> <p><strong>● 2021年2月，找來曾任臉書企業平臺架構處長、Mozilla資訊技術副總的林宏達博士，擔任台積電資訊長。負責範圍涵蓋台積公司資訊技術相關業務，包括智能製造服務、高效能運算、數位化供應鏈、電子商務、團隊協同合作、現代化辦公室及資訊技術基礎架構等。</strong></p> <p><strong>● 2021年5月，<span style="color:#0000FF;">台積IT組織重組</span>。台積IT目前規模超過數千人，分為四大處，人數最多的是<span style="color:#0000FF;">技術系統整合處</span>（Technology System Integration Division，簡稱TSID），負責智慧製造相關的系統，和工程技術的系統整合工作，主要任務是打造智慧製造工廠，機臺自動化生產力和12吋廠自動化。</strong></p> <p><strong>第二大部門是負責基礎架構的<span style="color:#0000FF;">資訊建構暨通訊服務處</span>（Infrastructure & Communication Services Division，簡稱ICSD），主要任務是負責IT基礎建設和管理，雲端運算服務和網路資訊安全。只要設立新的廠區，ICSD就需要支援新設立的資料中心。</strong></p> <p><strong>第三個部門是負責AI相關的<span style="color:#0000FF;">智慧應用整合處</span>（AI Application Integration Division，簡稱AAID），主要任務包括了人工智慧應用、設計研發平臺、工程資料分析和8吋廠自動化。另外還要負責一些分析任務和8吋廠自動化工作。</strong></p> <p><strong>最後一個處是<span style="color:#0000FF;">企業系統整合處</span>（Business System Integration Division，簡稱BSID），主要任務包括了電子商務系統、企業資源規劃（ERP）、供應鏈管理（SCM）、人力資源管理HCM等系統。</strong></p> <p><strong>● 2021年中，<span style="color:#0000FF;">IT開發邁向Product模式</span>：過去是開發和維運分開，每設立新廠，就設立資料中心和新維運團隊。現在改為Product模式，按照IT軟體產品來規劃，而不是依照工廠建廠來規劃。隨著相關自動化工具越來越完整後，要將DevOps落實到台積IT各項流程。</strong></p> <p><strong>甚至連台積AI開發流程也比照軟體開發流程，導入CI/CD，再加上CT（Continuous Training），直接在開發流程中套用各項程式碼安全機制，包括程式碼弱點檢查，再加上機器學習相關的模型弱點檢查等。</strong></p> <p><strong>● 2021年10月，再次大規模招募五大類IT人才，<span style="color:#0000FF;">首度開始招募SRE工程師和DevOps工程師</span>，另外還有軟體工程師、AI/ML工程師和資訊基礎架構工程師，其中以軟體工程師和DevOps工程師招募需求最大。2021年更開始舉辦3個月的新手訓練營，先用2個月集中訓練，學習各項台積IT所需的Cloud Native技術和DevOps工具鏈，再回到原單位進行一個月的就職訓練。</strong></p> <p><strong>● 2021年，開始招募SRE團隊，大力發展<span style="color:#0000FF;">基礎架構程式碼化（Infrastructure as Code）</span>，使用軟體的方法管理TSMC全球資料中心、基礎架構硬體設計、建設和維運。<span style="color:#0000FF;">智慧製造部門SRE平臺先上線。</span></strong></p> <p><strong>● 2021年底成果：</strong></p> <p><strong>用開源技術打造【<span style="color:#0000FF;">台積自己的Kubernetes平臺</span>】，稱為自建K8s。2021年底時，已將多座晶圓廠的應用系統，搬遷到自建的K8s環境中。計畫2022～2023年期間，將所有服務都搬遷到自建K8s上。</strong></p> <p><strong>數位商務軟體產品，也從【<span style="color:#0000FF;">私有雲架構邁向混合雲架構</span>】，並將CI/CD工具鏈雲端化來支援數千人同時開發的需求。</strong></p> <p><strong>在雲原生架構和微服務實際上線後，成立跨部門小組（Squad Team）讓不同工程團隊的工程師以<span style="color:#0000FF;">虛擬團隊</span>方式，交流共用平臺服務或新元件的經驗。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>2022年轉型重點：CI/CD具體實踐，DevOps一體化</strong></span></span></p> <p><span style="color:#696969;"><strong>主要作法：改為產品導向的開發模式，自建商務平臺的開源版K8s、平臺工程（成立Platform SRE和Platform Ops），從DevOps（CI/CD）到DevSecOps，重視UI和全球化IT開發合作</strong></span></p> <p><strong>● 2022年初：四大部門再次組織調整，以產品來規劃出不同的開發團隊，數位商務產品組織旗下分為CRM、PLM、SCM、</strong><strong>FML(ERP)和HCM等工程團隊，每個產品團隊，包括了前端工程師、後端工程師和DBA。並成立產品管理部門，負責產品管理、專案管理、使用者體驗、預算控管等，在每個工程團隊都配置了產品經理。另外還設立了平臺團隊，負責基礎服務和設施，提供數位商務需要的共用服務，例如資安、商務應用平臺、資料平臺解決方案、共用服務等中臺服務。</strong></p> <p><strong>2022年初2大目標：</strong></p> <p><strong>● 台積IT<span style="color:#0000FF;">主要軟體產品都改為【產品開發模式】</span>，也用DevOps來管理。包括MES、機台自動化、機台控制、品質管理、設備系統、製程良率分析、CRM、ERP、電子商務、生產資料主資料庫、供應鏈管理SCM系統和人資管理HCM系統。</strong></p> <p><strong>● 從Scale up（垂直擴充）邁向Scale out（水平擴充）：台積IT已運用開源技術打造了台積私有的K8s環境（自建K8s而非商用K8s），逐漸將各項容器化應用，轉移到這個自建K8s環境上。未來台積所有服務都會轉移到K8s上，更要大力發展全球資料中心維運能力，目標是要強化應用程式可靠性和快速回復能力，以公雲全球資料中心營運方式，作為學習的標竿。</strong></p> <p><strong>● 2022年8月，電子商務系統底層K8s平臺正式上線，數位商務部門SRE平臺正式上線。與客戶相關的TSMC.com跟TSMC Online已經搬遷上公雲，HCM服務也上公雲，計畫將更多需要對外的服務搬上公雲，例如SCM入口網站。採用公雲架構後帶來不少明顯效益，如一份多達數百GB的製造設計文件下載時間，從數十小時，縮短到3小時。</strong></p> <p><strong>不過，不需對外提供服務的AP，仍然部署在私有雲以確保安全，例如部分商用軟體與智慧製造系統。</strong></p> <p><strong>● 2022年10月29日：首次舉辦TSMC IT技術日，吸引超過1,500人報名，台積電資訊長林宏達率領智慧製造、企業系統、資訊架構等領域的技術主管，從AI、資料中心維運自動化、台積敏捷導入過程和雲原生導入經驗來介紹過去2年來的轉型成果。</strong></p> <p><strong>● 首度揭露打造內部<span style="color:#0000FF;"> Web Service</span>三階段發展過程：</strong></p> <p><strong><span style="color:#0000FF;">階段1，標準服務目錄。</span>提供自助式的部署和維運元件（包括IaC元件），開發團隊可透過CI/CD部署標準服務。</strong></p> <p><strong><span style="color:#0000FF;">階段2，多租戶服務平臺。</span>提供方便管理的標準服務，可用網頁介面註冊所用服務和異動管理。</strong></p> <p><strong><span style="color:#0000FF;">階段3，Web Service平臺。</span>服務更多元化，也增加可觀察性能力。可以外掛方式提供效能監測、帳務與報表功能、警告通報自動化、Log和事件機制等。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>台積數位轉型六大新方向</strong></span></span></p> <p><strong>● 2022年10月，揭露<span style="color:#0000FF;">【台積數位轉型六大新方向】</span>，並發表<span style="color:#0000FF;">【新版IT產品藍圖】</span>包括數位工廠和數位商務）。</strong></p> <p><strong><span style="color:#0000FF;">1. 智慧製造</span>：瞄準全面智慧化的挑戰，包括了<span style="color:#0000FF;">資料處理</span>和<span style="color:#0000FF;">智識萃取</span>、<span style="color:#0000FF;">Scaling</span>（AI服務平臺化、產品化，來擴大AI應用規模和廣度）和<span style="color:#0000FF;">AI應用的全球維運與安全</span>。</strong></p> <p><strong><span style="color:#0000FF;">2. 聰明維運</span>：結合雲原生平臺與現代數位科技，實現用軟體維運的新模式。</strong></p> <p><strong><span style="color:#0000FF;">3. 工作型態現代化</span>：用MR強化遠端協作、提高終端用戶的自動化、強化便利和省時機制，來消滅重複性工作。</strong></p> <p><strong><span style="color:#0000FF;">4. 數位供應鏈</span>：用IoT提高資產追蹤力和連續性，用AI/ML強化場景模擬和規劃來支援業務決策，發展供應鏈先進大數據分析，強化供應商永續能力。</strong></p> <p><strong><span style="color:#0000FF;">5. 技術架構現代化</span>和<span style="color:#0000FF;"> 6. 雲原生設計</span>：打造容易取用的技術積木（開源技術、雲原生），打造世界級軟體架構來實現世界級晶圓廠運作。包括了靠成長心態驅動業務與IT價值，擁抱混合雲兼顧安全與效率，善用SRE/DevOps增進服務可靠性和使用體驗，善用IaC加速調度和擴充。</strong></p> <p><span style="color:#696969;">圖片來源／台灣積體電路製造股份有限公司<br /> 資料來源：台積電官網和台積電IT Day活動、iThome整理，2022年11月</span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154420" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><a href="https://www.ithome.com.tw/article/154420" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1105-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=wex33vQD" style="width: 550px;" /></a></p> </div></div></div>
2022/11/25 14:18作者王宏仁https://www.ithome.com.tw/news/154405
疫苗護照啟發電子病歷新應用，衛福部要將出院病摘加入蘋果健康App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，衛福部開始研究國際疫苗護照規格，6月開始規畫開發，12月成功加入歐盟版數位證明成員國，也直接開放民眾申請、下載數位證明，兩大手機作業系統商蘋果和Google更主動將臺灣數位證明納入錢包。</p> <p>衛福部資訊處處長龐一鳴是這一路來的核心推手。他在2022年臺灣醫院資訊主管會議上不只揭露衛福部用公雲處理國家級專案經驗，更透露衛福部正思考更多個人健康紀錄（PHR）應用，下一步要將出院病摘納入蘋果健康App。</p> <p><strong><span style="font-size:24px;">打造國際通用的疫苗護照第一步：先從組織和架構下手</span></strong></p> <p>「疫苗接種證明，最重要的是要能被承認，」龐一鳴說。這是去年，衛福部打造臺灣疫苗護照（即疫苗通行證或稱數位證明）的關鍵思維；為打造出有效、能與他國互通的疫苗護照，衛福部鎖定大型國際組織，先從會員國數量多的組織及架構規範開始研究。</p> <p>他們第一個研究的是世界衛生組織（WHO）。去年3月，WHO釋出疫苗接種指引草案（SVC），並公開徵求意見。這款疫苗接種證明有2種主要使用情境，一是預防接種證明，另一是方便提供連續性照護；而且，SVC的核心數據集架構，採國際醫療資料交換標準HL7 FHIR，與衛福部近年力推的政策方向相符。</p> <p>這2、3年，衛福部推廣FHIR，要將電子病歷交換中心（EEC）改為FHIR架構，帶動醫院將現行的資料交換標準CDA R2改為FHIR。他們希望藉由這個統一的標準，來簡化醫院與政府單位的資料互通作業、降低醫院IT維護不同API的困擾。衛福部認為，以FHIR為基礎，也能打造更接軌國際的醫療生態系。龐一鳴點出，採用WHO的SVC，對臺灣來說會是個很不錯的FHIR練兵經驗。</p> <p>不過，衛福部當時發現一個問題，也就是SVC的認證金鑰需由WHO發送，但臺灣並非WHO成員國，因此難以取得金鑰。好在當年6月，WHO修訂SVC架構、更改信任機制，將金鑰取得的方式，改為由成員國與其他區域自行溝通，透過雙邊或多邊協議來取得。在技術框架上，則維持採用FHIR，成員國也得遵照WHO發布的FHIR實作指引（IG）。</p> <p>雖然信任機制更改了，但對臺灣來說，仍有國際外交問題待處理。</p> <p><span style="font-size:24px;"><strong>看好歐盟標準，也以國際民間組織架構為輔</strong></span></p> <p>因此，衛福部轉而研究歐盟的數位疫苗接種證明規範與架構。2021年3月，歐盟發布數位綠色證明（後改名為歐盟數位COVID證明，EU-DCC）標準規範，列出3大使用情境，包括疫苗接種證明、檢測結果證明（如NAAT/RT-PCR或抗原快篩），以及COVID-19康復證明（也就是染疫證明）。這個證明可以紙本和數位方式發送，包含QR Code來分辨真偽。</p> <p>在資訊揭露上，這個數位證明嚴守歐盟個資法GDPR規範，所包含的資訊只限於個人基本資料，如姓名、生日、發行日期、疫苗/檢驗/康復相關資料，以及一組單一識別碼。龐一鳴特別強調，歐盟規範的數位證明，只提供最新一劑接種疫苗的資訊，遵守GDPR最小揭露原則。</p> <p>不過，在技術架構上，EU-DCC並未採用FHIR。這是因為，若採用FHIR，QR Code打包後容量過大，因此得改用JSON最小資料集來實作。</p> <p>雖然如此，歐盟版的疫苗數位證明還有個強大優勢---它是世上最多國家採用的證明。因為，EU-DCC不只在歐盟會員國間有效，還開放第三國申請。截至2022年10月27日，全球已有49個非會員國加入採用，全球共計76國使用EU-DCC。</p> <p>與此同時，衛福部也研究了另一個國際組織標準，作為另一個選擇。這個組織以美國為主的國際民間組織「疫苗接種證明計畫」（VCI）發起，要以健康卡（SHC）來呈現疫苗接種證明和檢測結果證明（NAAT/RT-PCR）兩種資訊。</p> <p>這個SHC一樣有紙本與數位2種證明方式，另也包含QR Code來供辨別真偽用。</p> <p>不過，有別於歐盟標準只顯示最新一劑資訊，SHC的疫苗顯示資訊包含各劑次疫苗資訊，「較符合各國邊境查驗需求。」龐一鳴點出，SHC還採用FHIR格式，通用成員包括美國24州、加拿大、日本、澳洲雪梨等地，也是臺灣民眾常旅行之處。</p> <p><span style="font-size:24px;"><strong>分析規範架構，以好維運的網頁形式開發</strong></span></p> <p>衛福部研究的國際組織數位證明不只這些，另外還有國際民航組織（ICAO）發起的數位證明。為找出最適合臺灣情境的數位證明，衛福部找來國際調研機構Gartner，從格式標準、憑證、資料內容、驗證方式和適用情境與內容等6大要素，來評估最值得開發應用的。</p> <p>首先，他們比較了可行性最高的歐盟數位證明和SHC規格。就歐盟DCC來說，因其只顯示最新一劑資訊，且查驗程式可離線執行，符合GDPR的最小揭露、可被遺忘、資料可攜等原則，而且，發行國可自訂最小資料集規範。憑證部分則有4種規格，得定期更新。</p> <p>但就SHC來說，呈現資訊較多，包括每劑疫苗資訊，發行者也可決定是否新增其他訊息，如護照號碼、疫苗批號等。就技術格式來說，SHC採HL7 FHIR，憑證則是1張，發行者要自訂規格、上傳到VCI官方的GitHub上來管理。也因此，SHC查驗程式要連線才能執行，等於沒網路就不能驗證。</p> <p>簡而言之，歐盟DCC的好處是成員國多、符合GDPR規範，但缺點是技術門檻高，因為要離線使用，就得將憑證置於程式中。而SHC的優點是，可顯示多劑疫苗資訊，「較符合臺灣需求，」龐一鳴指出，缺點則是驗證時，必須連網。</p> <p>面對這麼多利弊分析，龐一鳴也分享當時的衡量重點：「我們先思考格式，如果能用FHIR，就有機會推動臺灣FHIR。再來是憑證，要能被國際承認，接下來是資料內容，比如疫苗第2、3劑的接種資訊。」</p> <p>於是，他們決定先打造歐盟DCC，之後再開發SHC，讓臺灣的疫苗通行證可用於歐盟及SHC成員國之間。</p> <p>再來是決定查驗程式的形式。衛福部分析了網頁和App形式的優缺點，龐一鳴點出，採用App，民眾得下載安裝，雖然App容易解析高密度的QR Code，但App開發和後續維運的成本高，難以靈活因應。比如，去年疫情嚴峻時，政府時常調整陪病制度和TOCC（旅遊史、職業史、接觸史、群聚史）規則，要是醫院開發App來檢核入院民眾身份，就得不斷隨政策修改App。</p> <p>相較之下，採用網頁形式查驗，民眾開啟瀏覽器即可、不必下載App，且在桌機、筆電上也能使用。更新時，民眾也不必有任何動作。而且，網頁形式有著開發、維運成本低的優點，但缺點是容易受瀏覽器限制，掃描高密度QR Code時較難解析。</p> <p>最後，衛福部決定以網頁形式來開發查驗程式，並在去年6月展開COVID-19健康資訊數位證明技術規畫原則。他們制定了發證端、驗證端、持證端等3種角色的分工和資訊傳遞流程，像是發證端資料來源，取自醫院上傳至疾管署的國家預防接接種系統（NIS）。同時，衛福部也制定FHIR格式專用的實作指南（IG），來說明COVID-19數位證明的互通規格。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWDCC%20IG.png" /></p> <p><strong><span style="font-size:24px;">3階段加入歐盟DCC，10天完成測試驗證</span></strong></p> <p>一切就緒後，衛福部便展開歐盟DCC申請流程。這個流程可分為3階段，包含申請文件交付、技術測試，還有歐盟執委會審核階段。最讓龐一鳴印象深刻的是，衛福部開發的數位證明，是歐盟DCC中，極少數以網頁形式呈現的申請案，而且還獲歐盟技術團隊讚許。</p> <p>在測試階段，他們10天內陸續完成會議討論、數位證明閘道器（DCGG）系統帳號申請，並在3種環境通過技術測試，後續也完成50個會員國的互通測試。</p> <p>「去年12月，我們正式通過測試，」龐一鳴表示，不僅歐盟DCC隨之臺灣列入互通名單，衛福部也在月底開放民眾申請數位證明。臺灣加入後，依然持續與DCGG不定期聯測，也依歐盟要求持續更新憑證、進行測試。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/EUDCC%E8%87%BA%E7%81%A3%E6%88%AA%E5%9C%96.png" /><br /> EU-DCC將臺灣納入互通成員名單，可互通內容包括疫苗接種和檢驗證明資訊，染疫證明則不包括在內。</p> </blockquote> <p>而今年7月，他們也納入SHC格式，讓民眾有第2個選擇。</p> <p><span style="font-size:24px;"><strong>擴大應用：手機錢包、各項證明申請都可靠它</strong></span></p> <p>成功加入歐盟DCC這個大生態系後，手機作業系統龍頭蘋果還找上衛福部，要將臺版數位證明放置於手機錢包（Wallet）中。當時，蘋果主動提供技術文件，來讓衛福部團隊開發系統，蘋果美國總部甚至還客製化，提供繁體中文的「加到錢包與健康」按鈕，來讓臺灣使用者快速將疫苗數位證明加入蘋果錢包和健康App。「蘋果還告訴我們，臺灣疫苗數位通行證是亞太區第一個落地的應用，」龐一鳴說。</p> <p>不只將憑證放入錢包，龐一鳴當時也與蘋果討論，也許能將COVID-19數位證明納入健康App中，作為個人健康記錄（PHR）之一。蘋果健康App有項健康記錄功能，能供使用者查看健康數據（如生理量測數值）和以FHIR標準儲存的電子病歷。在美國，已有不少使用者可直接在iPhone中，查看自己在不同醫院的就醫記錄。</p> <p>除了蘋果，衛福部也找了另一大手機作業系統商Google，將臺灣的COVID-19數位證明納入錢包。Google還特別提供繁體中文的「儲存至手機」按鈕，來讓使用者操作。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%89%8B%E6%A9%9F%E9%8C%A2%E5%8C%85.png" /></p> <p>這項數位證明，更在不少行政場合派上用場。龐一鳴指出，確診人數飆升時，不少民眾急著到醫院、衛生機構申請診斷證明，一方面用於請假，一方面也用於防疫保險申請。為解放醫療機構緊繃的人力，衛福部資訊處與金管會、壽險公會密集溝通，終於讓數位證明成為COVID-19診斷證明書的替代文件，作為保險理賠依據，來緩解湧入醫療機構的大量人潮。</p> <p>甚至，在自主疫調政策中，數位證明也扮演關鍵角色。今年5月，數以萬計民眾確診，指揮中心將原本由政府執行的精準疫調措施，調整為自主疫調，讓民眾自行填寫資訊，加速後續作業。</p> <p>也因此，衛福部將原本精準疫調使用的法傳系統，改用新開發的確診個案自主回報疫調系統（BBS）和確診個案管理系統（MBBS），來配合自主疫調措施，並整合健保快易通App和數位證明系統，加速發送電子通知書和相關證明。</p> <p>這個新流程和系統開發，「我們花20天就完成！」龐一鳴解釋，系統能快速上線，不只是團隊採更快速的敏捷開發模式，還因為有良好的基礎。也就是，去年疫情剛爆發時，衛福部打造一套入境檢疫檢疫系統，讓入境民眾事先填寫資料、取得驗證QR Code，供入境檢驗使用。今年，他們運用這些套件和通知書發送機制，快速修改來開發自主回報疫調系統，讓確診民眾透過簡訊連結至BBS填資料，再依風險評估發送電子隔離通知書和解隔離通知書。</p> <p><span style="font-size:24px;"><strong>經驗談：可擴大行政文件無紙化</strong></span></p> <p>在這次疫苗通行證開發經驗中，衛福部也嘗試不少新作法。</p> <p>比如，數位證明相關作業主要以Google雲端平臺（GCP）來處理，龐一鳴發現，當時GCP費用支出以資料庫容量占大宗，造成大筆開銷，於是將證明產生機制，由預產制改為即時產制，同時將資料庫瘦身。這麼做，一個月可省下數十萬元支出，更累積政府單位運用公雲的經驗，猶如企業一樣。</p> <p>甚至，他們也在SHC專案中，使用GitHub來管理查驗程式，是少數以開源平臺來維運重要專案的政府單位，也讓團隊學習開源工具的使用經驗。</p> <p>但對龐一鳴來說，開發數位證明帶來的寶貴經驗，不只如此。他表示，這次防疫開立多種電子通知書、作為有效證明文件，那麼「醫院診斷證明書，是否也能數位化處理？」甚至他認為，未來民眾申請保險理賠，也許也能數位化進行。</p> <p>就連行政處分的送達方式，也可考慮改用數位方式傳遞，就像這次防疫工作，以簡訊通知民眾PCR檢驗結果和確診相關資訊。</p> <p><span style="font-size:24px;"><strong>下一步：接軌國際，考慮將出院病摘納入蘋果健康App</strong></span></p> <p>甚至，在醫療IT面也有不少啟發，比如要「勇於創新。」龐一鳴點出，有別於大多數EU-DCC會員國以App形式打造數位證明應用，臺灣採網頁形式開發，就是一種創新，不僅行得通，使用成效也獲肯定。</p> <p>另一個啟發則是，加入有影響力的國際組織，就能接軌國際。他表示，臺灣加入EU-DCC後，不僅蘋果主動接觸衛福部，衛福部與Google溝通時也更容易。</p> <p>甚至，龐一鳴點出，這次將數位證明成功置於iOS和Android兩大手機作業系統上，不只是個突破，更是PHR應用的開始。</p> <p>「我們正在嘗試，要讓更多個人電子病歷以這個方式來互通。」他希望，未來要如美國醫院般，逐步將電子病歷資訊放置於蘋果健康App，「先從出院病摘開始。」透過這種應用，政府或醫療機構不一定要自建App，民眾依然能握有自己的醫療記錄。</p> <p><span style="color:#0000FF;"><strong><span style="font-size:24px;">衛福部成立專案辦公室推動FHIR電子病歷計畫</span></strong></span></p> <p><span style="color:#808080;"><strong>為推動臺灣醫界採用國際醫療資料交換標準HL7 FHIR，衛福部今年成立智慧健康雲專案辦公室，來建立臺灣核心實作指引（TW Core IG）、定義FHIR資料交換規格，供未來醫療機構遵從使用。</strong></span></p> <p><span style="color:#808080;"><strong>衛福部智慧健康雲專案辦公室主任曹放之指出，辦公室今年的目標除了打造TW Core IG，還包括建立全國性的FHIR術語服務平臺、與HL7臺灣一起開設FHIR訓練課程，以及提交TW Core IG，作為今年度FHIR聯測的項目（已落幕）。</strong></span></p> <p><span style="color:#808080;"><strong>不只如此，他表示，專案辦公室也已將電子病歷交換中心（EEC）的交換單張，如醫療影像及報告、門診病歷、檢驗報告、出院病摘等，轉換為FHIR標準。「今年是FHIR元年，」曹放之期望，接下來更多醫療機構響應FHIR，在國內形成良好生態系。</strong></span></p> <p><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/FHIR%E5%B7%A5%E4%BD%9C.png" /></strong></span></p> </div></div></div>
2022/11/25 11:00作者王若樸https://www.ithome.com.tw/news/154379
Google釋出資料集透明度工具Data Cards Playbook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著機器學習的發展，訓練模型所使用的資料集，在負責任和知情開發變得越來越重要重要，Google在早些時候發表的Data Cards，便是一個能夠提供資料集生命周期透明度的資料集文件框架，使下游能夠掌握資料集的起源、發展、意圖和演變，而企業現在可以使用Google新發布的<a href="https://ai.googleblog.com/2022/11/the-data-cards-playbook-toolkit-for.html">Data Cards Playbook</a>，來簡單實踐Data Cards框架。</p> <p>Data Cards是一組透明度構件，提供機器學習資料集的結構化摘要，解釋塑造資料的過程和基本原理，以及描述使用該資料來訓練和評估模型的方法，Data Cards至少需要5項內容，包括上游來源、資料收集和註解方法、訓練和評估方法、預期用途，以及影響模型效能的決策。</p> <p>Google提到，在實踐中，有兩個重要因素決定透明度構建的構件與否，第一是辨識決策者使用資訊的能力，以及獲取該訊息所需要的流程和指南。研究人員探索這些想法開發了工具，使各種資料集和組織環境都能適用Data Cards。這些工具可用於創建邊界基礎架構，這些流程和參與模型在實踐社群間交流訊息，提供了必要的技術和功能性基礎設施補充。</p> <p>Google現在推出的工具稱作Data Cards Playbook，這是一個自我導引式的工具包，供各團隊使用其機器學習資料集來應對透明度挑戰，簡單來說，Playbook能夠引導使用者簡單地應用Data Cards框架，從規畫透明度策略、定義受眾，到撰寫複雜資料集的摘要，確保資料集的可用性。</p> <p>Google透過多種研究方法創建Data Cards Playbook，包括了解團隊所需要的資料集和模型資訊，以及在日常工作中使用這些資訊的方式。在過去2年間，Google內部有15個團隊使用該透明度構件模板，在討論與合作下，研究團隊創建了20多種Data Cards，用於描述圖像、語言、表格、影片、音訊和關係資料集，在生產環境的設定方法。</p> <p>Data Cards Playbook以衝刺（Sprints）和協同設計實踐作為藍圖，因此跨職能團隊及利益相關者，可以共同定義透明度，解決建立資料集文件和治理解決方案所遇到的問題。由於Google替透明度模式建立指引，用以協助用戶克服在生成透明文件時所遭遇的挑戰，藉由提供最佳實踐，並確保Data Cards對不同背景的讀者皆有用。</p> </div></div></div>
2022/11/25 09:04作者李建興https://www.ithome.com.tw/news/154407
程式語言Swift核心團隊發表2023年5大發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/focus-areas-2023/">Swift團隊釋出最新2023年發展路線規畫</a>，將持續朝5個領域發展，分別是並行性、泛型、所有權、巨集以及C++互通性。Swift一直都以非常集中式的開發結構發展，由核心團隊直接監督不同的領域，Swift核心團隊近期重組，新加入語言、網站、文件和C++互通性工作組，由專門的工作組承擔更多工作。</p> <p>Swift在2023年，將會更新語言並行性，以完善相關的功能，除了完成Sendable和actors嚴格的資料隔離性之外，也會修補許多已知的執行緒安全漏洞，像是全域變數和部分跨actor呼叫的相關漏洞，另外，也會添加語言功能，來解決因嚴格隔離所衍生的可用性問題。</p> <p>泛型的部分，開發團隊則會開始認真著手，可變參數泛型語言功能的相關工作，官方提到，這是一項需要多年時間才能完成的重要功能。初期的重點會放在設計核心語言模型，並實現基本的編譯器和執行時基礎設施。</p> <p>接下來，Swift也會增加功能，讓開發人員明確控制記憶體中值的所有權，包括禁止隱式複製、在上下文間轉移所有權，或是顯式借用但不複製值。藉由添加不可複製類別的基本支援，提供限制關鍵數值生命周期來實現高效能，這些控制功能增加了處理記憶體資料的新方法，將不安全的結構和Swift標準函式庫的安全性相結合。</p> <p>開發團隊也會發展程序性巨集基礎，以支援創建豐富的函式庫和DSL，這項工作會從創建願景文件開始，以設計巨集在Swift中可以實現的功能。</p> <p>Swift在2023年也會穩定當前C++互通性功能，包括自有數值、API模式，以及關於方法、指標和左右值參照等基本問題，核心團隊也會繼續編寫文件，描述在C++ API在Swift的使用方式，以及Swift API在C++的使用方式。</p> </div></div></div>
2022/11/25 09:06作者李建興https://www.ithome.com.tw/news/154413
WebAssembly Runtime開源專案Wasmer 3.0簡化WAPM套件安裝與使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WebAssembly Runtime開源專案<a href="https://wasmer.io/posts/announcing-wasmer-3.0">Wasmer</a>現在來到3.0版本，帶來多項更新包括更強大的Wasmer命令，現在開發者可以將任何wapm.io上的套件，傳遞給Wasmer命令列工具，像是使用wasmer run python/python指令，就可以從該套件註冊表下載並且執行Python套件，官方表示，這大幅簡化了以Wasmer執行從WAPM運作WASI可執行檔案的流程。</p> <p>Wasmer Rust API經過重新設計，擁有新的API和記憶體管理方式，開發者現在可以將Wasm物件儲存在Store中，另外，官方還加入MemoryView，並且添加在瀏覽器運作的wasmer-js，提供與本機原生Wasmer相同功能。</p> <p>在引擎架構上，開發團隊也作出改進，Wasmer之前有不同引擎概念，包括dylib、universal等，現在開發團隊將其簡化為一，使開發者能夠更方便地重用程式碼。Wasmer 3.0也具有零複製反序列化功能，這項更新可明顯提高執行效能。</p> <p>由於Wasmer 3.0的create-exe子命令獲得改進，Wasmer現在可以將WebAssembly檔案轉換成為本機Windows、Linux或Mac OS可執行檔案，這允許用戶不需要安裝Wasmer，就能夠發布可執行檔案。</p> <p>Wasmer WASI實作也越來越成熟了，開發團隊修復檔案系統中的多個錯誤，並且使用WebAssembly介面重新設計內部類別，方便在未來加入更多新功能。</p> </div></div></div>
2022/11/25 09:08作者李建興https://www.ithome.com.tw/news/154415
領導力致勝
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣九合一大選11月底登場，近期縣市長候選人爭議交鋒，從論文抄襲延燒到阻擋疫苗、助理加班費挪用，焦點幾乎都集中在品德與品格，很多人批評大家僅關注彼此的政治立場、民調數字的起伏，似乎並不關注政見，然而，或許民眾更在乎的是候選人與所屬政黨團體的執行力。</p> <p>對於企業而言，領導力的強弱當然也是至關重要，而且，如今大家都身處於數位化盛行、普及的時代，越來越多人開始注意到數位領導力（Digital Leadership）的議題。</p> <p>例如，商業周刊2019年發布《數位領導力全報告》，當中的定義是「數位力與領導力兼備創造的競爭優勢」，其中的數位力，是「企業運用數位科技改善營運的成熟度」，領導力則是「企業治理與管理的能力」。根據當時的調查統計結果，臺灣對數位領導力最有信心的是科技與電信服務業，是唯一拿到60分以上的產業，但仍有很大的成長空間，而最沒有信心的是製造業。</p> <p>關於數位領導力的認識，我們看到數位轉型服務廠商GDS Group今年5月的介紹文章，可作為借鏡。</p> <p>他們認為，數位領導力可帶來四大效益：建立數位文化、促進員工生產力、改善顧客滿意度、增加營收；在實現的方式上，企業可從8個要素來檢視，包含：溝通、願景、數位化能力、策略、創新、風險承擔、調適力、人才管理（Talent Spotting）；關於需要具備的數位化技能，他們認為有5種，分別是：程式撰寫技能、專案管理技能、大數據分析與商業智慧技能，以及資訊安全技能。</p> <p>除了關注企業與組織這些條件的發展狀況，在現實環境中，大家面臨那些挑戰？</p> <p>我們看到11月有一份2022數位領導力報告，探討了這方面的趨勢。這是由人才與技術解決方案供應商Nash Squared，以及國際資訊長社群CIONET聯合發布的調查分析。</p> <p>當中提到：今年經濟放緩，大部分數位化領導者預期全球科技費用有高成長率，對照過去15年，處於排名第三高的發展狀態，其中，科技預算增加的企業與組織比例為52％，而縮減科技預算的比例是12％。</p> <p>這份調查顯示科技投資的前景看好，企業與組織對於雲端服務的投資比例高達63％，但隨著現今全球經濟面臨不穩定的局面，人工智慧、大數據、機器人流程自動化（RPA）這類新興科技的投資出現趨緩，甚至是縮減狀況，危及創新機會及競爭優勢。</p> <p>除此之外，企業與組織目前正面臨多種挑戰。首先是資安威脅，52％的大型組織表示，過去兩年曾經遭遇大型網路攻擊；而透過科技來推動環境永續性（Sustainability），雖然大家公認這項工作很重要，但有四分之一的數位化領導者認為，今年無法有顯著作為、甚至無從著手，而且，僅有同樣比例的組織，能夠運用科技來衡量本身的碳足跡。</p> <p>而在資料的運用上，多達64％的數位化領導者認為，大數據與分析是提供競爭優勢的兩大技術，但能夠非常有效運用資料洞察分析，進而產生更多營收的比例只有21％；同時，在因應這類應用的人才技能方面，有43％的數位化領導者面臨短缺的狀況。</p> <p>關於工作型態的部分，64％的數位化領導者認為，由於COVID-19疫情促成遠端與混合辦公的快速採行，使得科技團隊在工作與生活的平衡獲得大幅改善，不過，隨著這類工作模式趨於複雜，目前仍有兩大挑戰需要克服，一是生產力下滑，比例超過40％，不像去年呈現生產力暴增的狀態，另一是人員的心理健康問題，但比起去年已有改善。</p> <p>從上述各種層面的現況來看，我們可以體認到數位領導力的面向相當廣泛，科技固然提供了不小的助力，幫助企業與組織度過危機、開創新局，但有賴完備的管理與控制的手段來確保成效，從而減少不便與舞弊。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E9%A0%98%E5%B0%8E%E5%8A%9B">數位領導力</a></div></div></div>
2022/11/25 07:00作者李宗翰https://www.ithome.com.tw/voice/154387
【資安日報】2022年11月24日，俄羅斯駭客今年前7個月竊取逾5千萬組密碼、歐洲議會遭到駭客組織Killnet的DD…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用竊密軟體（Infostealer）發動攻擊的情況，不時有事故傳出，但這些很可能與一場大規模攻擊行動有關。有資安業者針對俄羅斯駭客的大規模竊密軟體攻擊行動Classiscam進行追蹤，發現今年上半攻擊升溫，而且駭客不光是針對Amazon、PayPal這類金融帳號下手，竊取遊戲平臺帳號的情況更是增加5倍。</p> <p>隨著國際間對於烏克蘭戰爭採取相關行動，俄羅斯駭客反制的網路攻擊也隨之而來。歐洲議會指控俄羅斯入侵烏克蘭的行為構成戰爭罪，並呼籲各國採取相關手段對付俄羅斯，隨後該議會網站就傳出遭到癱瘓的消息。</p> <p>研究人員揭露Arm晶片的顯示元件Mali驅動程式漏洞，並指出此顯示晶片存在於多個品牌的單晶片，而有可能讓數百萬安卓手機成為駭客下手的目標。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.group-ib.com/media-center/press-releases/professional-stealers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客7個月內竊取了逾5千萬組密碼</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/x0mASDhRLc_20221124-1513-28821.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/x0mASDhRLc_20221124-1513-28821.png" style="width: 300px; float: right;" /></a>資安業者Group-IB分析在今年1月至7月偵測到大規模竊密軟體攻擊行動Classiscam，有34個使用俄文的駭客組織參與相關攻擊，專門竊取Steam與Roblox遊戲帳號、Amazon與PayPal帳密，以及加密錢包的資料，主要的目標是美國、巴西、印度、德國，以及印尼。</p> <p>研究人員表示，這些駭客自他們2021年3月著手調查以來，於今年上半的攻擊行動顯著增加──在去年3月至12月底入侵了53.8萬臺電腦，得手2,787萬組密碼、12億個Cookie檔案、5.6萬組線上交易資料，以及近3.6萬個加密貨幣錢包；而今年1至7月共感染89萬臺電腦，竊得5,035萬組密碼、21億個Cookie檔案、10.3萬張金融卡細節，以及11.3萬個加密貨幣錢包。</p> <p>這些駭客偏好使用的竊密軟體是RedLine與Racoon，分別有23個與8個組織採用。此外，今年與過往不同的是，駭客竊取Steam、EpicGames、Roblox等遊戲平臺的帳密數量增加近5倍。</p> <h3><a href="https://www.ithome.com.tw/news/154391"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲議會遭到DDoS攻擊，起因是認定俄羅斯實行恐怖主義</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/European_Parliament_website_down.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/European_Parliament_website_down.png" style="width: 300px; float: right;" /></a>歐洲議會（European Parliament ）<a href="https://www.europarl.europa.eu/news/en/press-room/20221118IPR55707/european-parliament-declares-russia-to-be-a-state-sponsor-of-terrorism">在11月23日早上宣布 </a>，由於俄羅斯政權入侵烏克蘭，並向當地平民施暴，他們一致認同俄羅斯是支持恐怖主義的國家，相關軍事行動構成戰爭罪。當天下午該議會的英文官網就傳出遭到分散式服務阻斷（DDoS）攻擊<a href="https://twitter.com/EP_President/status/1595443471518777345">並得到證實</a>。而攻擊者的身分，<a href="https://twitter.com/_bettercyber_/status/1595458694673825793">資安業者BetterCyber表示</a>就是俄羅斯駭客組織Killnet。攻擊者聲稱癱瘓了該網站4個小時。</p> <h3><a href="https://googleprojectzero.blogspot.com/2022/11/mind-the-gap.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Arm晶片的GPU驅動程式漏洞恐使數百萬手機曝險</span></strong></a></h3> <p>Google的Project Zero研究團隊指出，Arm晶片上的Mali GPU驅動程式裡，存在CVE-2022-33917、CVE-2022-36449，前者允許不具特殊權限的使用者藉由不正確的GPU指令，進而取得記憶體的存取權限；後者也能讓不具特殊權限的攻擊者利用，在記憶體緩衝區邊界外進行寫入，從而洩露記憶體映射的內容。</p> <p>研究人員指出，雖然上述漏洞為中等風險等級，但能夠影響大量安卓手機，這些曝險的機種包括Google Pixel 7、華碩ROG Phone 6、Redmi Note 11與12、RealMe GT、小米12 Pro、Oppo Find X5 Pro等。Mali GPU廣泛受到聯發科、Exyno、華為Kirin晶片採用，因此上述漏洞有可能使數百萬手機曝險。</p> <h3><a href="https://www.cybereason.com/blog/threat-alert-aggressive-qakbot-campaign-and-the-black-basta-ransomware-group-targeting-u.s.-companies"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國企業遭到勒索軟體Black Basta鎖定</span></strong></a></h3> <p>資安業者Cybereason在協助客戶進行事件調查的過程裡，發現勒索軟體Black Basta針對美國企業的攻擊行動，駭客透過殭屍網路QBot建立存取受害企業的進入點，然後在內部網路橫向移動，找到重要電腦植入Cobalt Strike，最終部署勒索軟體並加密檔案。</p> <p>研究人員指出，駭客為了讓受害企業更難以復原，他們會停用DNS服務，使得受害企業被鎖在網路之外。駭客通常不到2個小時就得到網域管理員權限，且於12小時內發動勒索軟體攻擊，近2個星期已出現超過10起案例。</p> <h3><a href="https://www.justice.gov/usao-edva/pr/court-authorizes-seizure-domains-used-furtherance-cryptocurrency-pig-butchering-scheme"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">偽裝成新加坡國際貨幣交易平臺詐騙網域遭到扣押</span></strong></a></h3> <p>美國司法部於11月21日宣布已扣押7個被用於詐騙的網域，這些網域被駭客偽裝成新加坡國際貨幣交易平臺（Singapore International Monetary Exchange），至少有5名受害者在今年5月至8月受騙，損失逾千萬美元。與加密貨幣有關的詐騙近年來層出不窮，美國司法部上個月逮捕並起訴11名嫌犯，這些歹徒從逾200名受害者騙走1,800萬美元。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國防部揭露零信任框架與藍圖，預計於2027年完成部署</span></strong></a></h3> <p>11月22日美國國防部（DoD）發表了他們的<a href="https://www.defense.gov/News/Releases/Release/Article/3225919/department-of-defense-releases-zero-trust-strategy-and-roadmap/">零信任（Zero Trust）政策與藍圖，並計畫在2027年完成部署</a>。本次的戰略涵蓋了四大目標，首先是建立零信任的文化，將相關理念深植所有人員；再者則是在資訊系統的資訊安全與防護裡，導入零信任機制；此外，他們也訴求相關技術採用要更為快速，至少速度要與業者相同甚至要更快，以及相關權限、流程、政策的配套同步。</p> <p>此計畫採用3階段方案（COA）來進行──首先是進行棕地工程（Brownfield），先建立零信任的基準線，於現有的基礎設施與環境來開發。而為了加速零信任的採用，DoD也會發展互補方案，包括採用既有的商用雲端服務，或是由政府以綠地工程（Greenfield）策略，打造全新的私有雲。<a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf">目前公布的規畫為第一階段（COA 1）棕地工程的內容</a>。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.google/outreach-initiatives/public-policy/a-ruling-in-our-legal-case-against-the-glupteba-botnet/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對殭屍網路Glupteba經營者起訴，贏得官司勝利</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/backdoored-chrome-extension-installed-by-200-000-roblox-players/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Roblox玩家遭鎖定，瀏覽器被植入惡意擴充套件</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2022/11/23/fake-msi-afterburner-sites-delivering-coin-miner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電腦遊戲玩家遭到鎖定，駭客假借提供微星公用程式散布挖礦軟體</span></span></strong></a></p> <p><a href="https://www.bitdefender.com/blog/labs/android-sharkbot-droppers-on-google-play-underlines-platforms-security-needs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Sharkbot偽裝成檔案總管App散布</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/donut-extortion-group-also-targets-victims-with-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索駭客組織Donut也開始加密受害電腦檔案</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154378">【2022年11月23日】已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出現漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> </div></div></div>
2022/11/24 16:36作者周峻佑https://www.ithome.com.tw/news/154404
美國國防部揭露零信任框架與藍圖，預計於2027年完成零信任部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部（Department of Defense，DoD）周二（11/22）<a href="https://www.defense.gov/News/Releases/Release/Article/3225919/department-of-defense-releases-zero-trust-strategy-and-roadmap/" target="_blank">發表了該部門的零信任（Zero Trust）政策與藍圖</a>，並計畫在2027年完成部署。</p> <p><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf" target="_blank">根據DoD所公布的藍圖</a>，該部門計畫採用3種行動方案（Course of Action，CoA）來達到零信任，首先是Brownfield作法，先建立零信任的基準線，再利用現有的基礎設施與環境來開發，而為了加速零信任的採用，也正發展互補方案，包括採用既有的商用雲端服務，或是由政府以Greenfield作法重新建立一個私有雲。本周所發布的藍圖與規畫則是以Brownfield作法為主。</p> <p class="rtecenter"><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTExecutionRoadmap.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1124-DoD%20Zero%20Trust%20Capability%20Execution%20Roadmap-1.png" style="width: 512px;" /></a></p> <p><a href="https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTStrategy.pdf" target="_blank">美國國防部資訊長John Sherman表示</a>，敵人正在國防部的網路中竊取國防部資料，剝削國防部用戶，相關威脅的快速成長彰顯了該部門改善網路安全的必要性，此外，透過強大與愈來愈複雜的外圍防禦來保護國防部網路已不足以支撐網路彈性，也不足以保護跨地域、介面與外部合作單位的資訊安全，更何況在DoD的數百萬用戶中，有許多在家工作的必須於傳統的邊界之外存取DoD網路。</p> <p>Sherman認為，這意味著國防部的每一個用戶都必須採用零信任的心態，以對DoD設備、應用程式、資產及服務的安全負責，讓用戶只能在需要時存取所需的資料，所有人都必須在防禦敵人時派上用場。</p> <p>Sherman還強調零信任不僅是個IT解決方案，它要求所有的DoD元件都必須整合零信任的能力、技術、解決方案與程序，或許更重要的是，也必須在員工、訓練及專業開發程序中整合零信任。</p> <p>於是，在國防部所公布的Brownfield藍圖中所定義的零信任能力涵蓋了所有DoD元件，從使用者、裝置、應用程式與任務、資料、網路與環境、自動化與調度，到能見度與分析，而且針對不同的元件都提出了更多的能力要求，令人一窺其工程的浩大與複雜度。</p> </div></div></div>
2022/11/24 16:39作者陳曉莉https://www.ithome.com.tw/news/154403
歐洲議會認證俄羅斯支持恐怖主義，被回敬DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20221118IPR55707/european-parliament-declares-russia-to-be-a-state-sponsor-of-terrorism" target="_blank">歐洲議會（European Parliament ）在本周三（11/23）早上宣布</a>，在俄羅斯政權入侵烏克蘭，並向烏克蘭平民施暴之後，決定承認俄羅斯是個支持恐怖主義的國家，當天下午歐洲議會英文官網就遭到分散式服務阻斷（DDoS）攻擊，據稱該行動是由親俄的駭客集團Killnet所發動。</p> <p>歐洲議會表示，俄羅斯軍隊蓄意攻擊烏克蘭平民，並破壞民用基礎設施，也執行其它嚴重違反國際法與人道主義的行為，構成戰爭罪，因而決定承認俄羅斯是個支持恐怖主義及使用恐怖主義手段的國家。歐洲議會的此一決議獲得494票的贊成、58票反對，以及44票的棄權。</p> <p>不過，歐盟目前並無指定恐怖主義支持國的法律框架，只能鼓勵歐盟與其成員國建立適當的法律，再指定俄羅斯為支持恐怖主義的國家，估計將會對俄羅斯帶來一系列的重大限制措施。</p> <p>此外，歐洲議會還呼籲歐盟應於國際上進一步孤立俄羅斯，包括減少與俄羅斯的官方接觸，以及加速完成對俄羅斯的第9個制裁方案。</p> <p>歐洲議會在早上發出了聲明，下午議長<a href="https://twitter.com/EP_President/status/1595443471518777345" target="_blank">Roberta Metsola</a>與發言人<a href="https://twitter.com/jduch/status/1595433790809284614" target="_blank">Jaume Duch</a>就證實官網遭到了一個親俄駭客集團的DDoS攻擊。</p> <p><a href="https://twitter.com/_bettercyber_/status/1595458694673825793" target="_blank">資安業者BetterCyber則說</a>，此一攻擊源自親俄的駭客集團Killnet，該集團宣稱它們讓歐洲議會官網休息了4小時。</p> </div></div></div>
2022/11/24 15:22作者陳曉莉https://www.ithome.com.tw/news/154391
資安人員發現新一波針對美國企業的Black Basta勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cybereason在調查其客戶的資安事件，發現了<a href="https://www.cybereason.com/blog/threat-alert-aggressive-qakbot-campaign-and-the-black-basta-ransomware-group-targeting-u.s.-companies">新一波針對美國企業的勒索軟體攻擊</a>，這系列勒索攻擊由Black Basta組織發起，並透過殭屍網路Qakbot快速傳播，資安人員提醒，由於遭到攻擊後IT基礎設施可能迅速被嚴重破壞，企業必須要特別注意這波攻擊。</p> <p>Black Basta是一個勒索軟體組織，在2022年4月才出現，專門針對美國、加拿大、英國、澳洲和紐西蘭的企業，該組織慣用雙重勒索策略，先竊取被害者敏感檔案和資訊，並威脅要公開資料來勒索被害者支付贖金。</p> <p>在Black Basta最新的攻擊活動中，他們使用Qakbot惡意軟體創建初始進入點，並在企業網路內橫向移動。Qakbot是一種銀行木馬，主要被用來竊取被害者的財務資料，包括瀏覽器資訊和憑證等，一旦Qakbot成功感染系統，便會安裝上後門，使得攻擊者能夠投放後續的惡意軟體，像是勒索軟體等。</p> <p>Cybereason團隊描述了這次攻擊活動的流程，一開始會從Qakbot感染開始，並在組織中多臺重要機器載入Cobalt Strike，最終將Black Basta勒索軟體部署到全球。而為了讓恢復更加困難，攻擊者會禁用DNS服務，將被害者鎖在網路之外。</p> <p>這次的攻擊行動有幾個特點，首先是整個攻擊行動很快，在不少案例中，攻擊者會在不到2小時內就獲得網域管理人員權限，並在12小時內開始部署勒索軟體。由於攻擊者向美國公司大量撒下Qakbot，並且進行魚叉式網路釣魚行動，在過去2個星期，Cybereason已經發現10多起企業受攻擊案例。</p> <p>原先資安人員並未發現Black Basta勒索軟體和Qakbot的關聯性，但因為一個快速入侵並且部署Black Basta的案例，才發現Qakbot參與其中。Cybereason提醒企業，應該要對這個攻擊活動提高警覺，因為IT基礎設施可能會迅速地被嚴重破壞。</p> <p>針對Black Basta勒索軟體攻擊的緩解措施，除了更新網路攻擊防禦平臺之外，資安人員也提出許多建議，包括要封鎖已受感染的用戶，避免或減緩攻擊者在網路上傳播，辨識且切斷惡意IP和網域的流量。當用戶的網域控制器遭到攻擊者存取，就可能所有帳戶被盜用，資安人員建議在重建網路的時候，應重置所有Active Directory存取權限，事後也應該徹底調查攻擊者的行為，確保沒有任何疏漏。</p> </div></div></div>
2022/11/24 15:25作者李建興https://www.ithome.com.tw/news/154390
台積電積極招募AI人才，預告明年成立臺北辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電智慧應用整合處機器學習分析部部經理局荊玲在近日一場活動中表示，台積電明年將成立臺北辦公室，不過沒有進一步透露更多細節。同時，台積電也積極招募AI人才，來推動更智慧化的半導體製造流程。</p> <p>台積電指出，派工決策是半導體製造業中非常仰賴AI的一個環節。由於半導體製程極度複雜，1座20個足球場大的超大晶圓廠中，AI排程系統每天模擬超過10的200次方種排列組合，每分鐘會發出超過600至800萬個派工命令，且生產變數大，需要有高速應變能力。</p> <p>不只如此，台積電表示，從智慧製造、良率分析、生產力提升、研發到公司營運，幾乎所有的AI領域都能應用於他們的半導體製程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TCMCAI1(1).jpg" style="width: 600px;" /></p> <p>資料提供：台積電，iThome整理，2022年11月</p> <p>對於AI人才的需求，台積電特別重視有尖端AI科技應用經驗的人，台積電舉例，像是熟悉自主監督學習、聯邦學習、注意力機制模型、零樣本學習、強化學習、對比學習、圖神經網路及生成對抗網路等技術的人才，就非常歡迎。</p> </div></div></div>
2022/11/24 09:33作者郭又華https://www.ithome.com.tw/news/154381
今年第三季的GPU出貨量下滑25%，創2009年以來的最大跌幅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.jonpeddie.com/press-releases/q322-biggest-qtr-to-qtr-drop-since-the-2009-recession" target="_blank">Jon Peddie Research本周公布今年第三季的全球繪圖處理器（GPU）市場報告</a>，指出該季全球的GPU出貨量為7,550萬個，比去年同期減少25.1%，出現2009年以來的最大降幅。</p> <p>對於GPU出貨量的大幅下滑，各家製造商所歸納的原因差不多，涵蓋加密貨幣礦場的關閉、中國清零政策所帶來的經濟衝擊、美國的制裁、遊戲玩家在等待新的擴充卡、通貨膨脹，再加上庫存過多等。</p> <p>在7,550萬個GPU中，用於筆電的出貨量下滑了30%，應用在桌上型電腦的則下滑15.43%。</p> <p>今年第三季GPU市場的前三大業者依序是Nvidia，市占率為72%，居次的英特爾占了16%，AMD以12%位居第三。該季AMD出貨量下滑了47.6%，Nvidia下滑19.7%，英特爾該季的GPU出貨量卻逆勢成長4.7%，使得去年同期與上一季都落後AMD的英特爾，在今年第三季超越AMD，成為全球第二大GPU業者。</p> </div></div></div>
2022/11/24 13:51作者陳曉莉https://www.ithome.com.tw/news/154389
零售IT雙周報第10期：Amazon將推出新型揀貨機器人，能辨識出上百萬種貨物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#揀貨機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong></p> <p><strong>Amazon正在開發可以辨認出上百萬種貨物的揀貨機器人</strong></p> <p><a href="https://www.aboutamazon.com/new/transportation/amazon-robot-sparrow-streamlines-order-fulfillment-process">電商巨頭Amazon揭露一款開發中的揀貨機器人Sparrow</a>，能利用電腦視覺和AI技術，辨認出倉儲中上百萬種貨物，並將貨物用機械手臂取出後送去包裝區。</p> <p>Amazon物流中心已經有許多環節利用機器人自動化，包括能自動閃避障礙物及人類員工的AGV Proteus、可以辨認包裹形狀及相關資料的包裹分類機器人Cardinal和Robin等。</p> <p>去年，Amazon全球物流中心打包了50億個包裹，也就是1天1,300萬個包裹。等Sparrow正式啟用後，能省下巨量人力勞動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#口袋占有率</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#超商 #會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#App</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#POS </span></span></strong></p> <p><strong>3大超商會員戰略大轉變，不再拚人數改搶口袋占有率</strong></p> <p>全臺規模最大的會員爭奪戰，今年進入了一個新階段。超商從爭奪更多會員占有率，轉為利用數據分析，攻占個別會員口袋占有率，也就是狙擊消費者本來會在其他超商，甚至其他零售業者滿足的消費需求。</p> <p>要做到這點，全臺前3大的超商不約而同採取了3種工具：App、支付工具及POS機。App在超商會員經營戰略中的地位逐漸提升，如今已兼具OMO數據蒐集、行銷和提供會員體驗等功能；支付工具則能讓超商蒐集跨通路消費數據，同時也是高客單價、高投入度客戶的指標；運算能力逐漸增強的POS機，更有能力紀錄並處理更多會員及銷售現場相關的數據，讓行銷更加精準。</p> <p>為了活化會員，統一超繼續發揮統一集團規模優勢，持續擴張自家點數功能及使用場域，會員功能使用情境已經拓展到超過50個品牌能使用，能加速累積跨通路會員數據。</p> <p>起步最早的全家，則根據分析會員App功能使用數據結果，推出家庭訂閱制度，意圖用活躍會員帶來更多活躍會員，並從個人等級的會員經營，擴張到以家庭為經營單位。他們更將這些數據用於RMN的廣告業務，為自己增加一種毛利率遠高於零售本業的商業模式。</p> <p>今年才開始正式利用數據驅動會員經營的老三萊爾富，與電商平臺Line購物及開店平臺Cyberbiz形成策略聯盟，完成三方系統串接，讓會員消費數據能互通，更易於分析會員跨通路消費行為。（<a href="http://www.ithome.com.tw/article/154287">詳全文</a>）<br /> </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#人工結帳</span></span></strong></p> <p><strong>2億消費者研究：純自助結帳店面恐錯失高價值客戶商機</strong></p> <p>美國研究機構Catalina一份樣本有2.45億個消費者、45億次交易的<a href="https://www.catalina.com/shopper-insights/self-checkout-retail-experience">研究顯示</a>，雖然近期零售業掀起一股自助結帳風，但在店內保留人工結帳，才能抓住高價值客戶帶來的商機。</p> <p>研究發現，目前只使用人工結帳的消費者高達49%，只有12%消費者是純自動結帳派，39%消費者會兼用兩種結帳方法。其中，以這39%消費者，客單價跟消費頻率最高，且平均家庭收入也比其他兩種消費者高。</p> <p>因此，報告建議零售業者，仔細研究這些高價值消費者使用不同結帳方法時的消費行為，作為精準行銷參考，並妥善安排店內店內自助結帳和人工結帳的比例，在勞動成本及高價值客戶營收間取得平衡。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#搜尋引擎購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR試穿</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR試用</span></strong></span></p> <p><strong>Google推出鞋類及化妝粉底的AR購物輔助工具</strong></p> <p>Google將於<a href="https://blog.google/products/shopping/more-ways-to-shop-in-ar/">搜尋頁面新增兩種AR購物輔助工具</a>，分別是鞋類3D模型預覽及粉底顏色預覽。鞋類預覽功能支援商家上傳鞋類商品的3D建模，讓消費者能看到360度商品樣貌，還能開啟相機鏡頭，預覽鞋子在使用者當下空間中的樣子。</p> <p>粉底顏色預覽則是讓消費者搜尋粉底商品時，能從148名膚色不同的模特兒中選取與自己膚色最接近的人，作為預覽模特兒，來模擬使用該款式粉底的效果。此功能支援上千種不同品牌的粉底色。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong></p> <p><strong>Amazon更高規格的新型無人機亮相</strong></p> <p>年中宣布無人機配送服務Amazon Prime Air即將上線後，<a href="https://www.aboutamazon.com/news/transportation/amazon-prime-air-delivery-drone-reveal-photos">Amazon近日公開了新型無人機MK30的設計</a>。這款無人機比現行機行MK27-2更輕、更小、飛行距離更遠、耐溫範圍更廣、安全配備更完善，可以在小雨中飛行，且降低25%噪音。這些改良中，最重要的是安全性及可服務範圍提升，有利於未來無人機物流更加普及。</p> <p>Amazon表示，這款無人機將持續改良並測試，並爭取美國聯邦航空總署認證，預計2024年正式啟用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/drone.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#業配媒合平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#比價功能</span></span></strong></p> <p><strong>先買後付業者Klarna推出比價上千家電商的商品搜尋工具</strong></p> <p>有上億使用者和45萬家合作零售業者的瑞典BNPL業者Klarna於<a href="https://www.klarna.com/international/press/introducing-klarna-spotlight-a-collection-of-product-innovations-for-a-new-era-of-shopping/">自家App推出比價搜尋工具</a>，不僅有像電商一樣的商品分類搜尋選項，還號稱會搜尋上千家電商即時和歷史價格來比價，並在結帳時自動搜尋折價券來使用。</p> <p>Klarna同時於App中新增了可直接購物的影片廣告，以及業配媒合功能，來一站式搓合創作者及廠商業配案，並提供業配創作的發布平臺。</p> <p>這些比價與電商功能，與Amazon在自家電商上的比價功能，及Google近月積極開發的搜尋引擎購物體驗優化、Youtube電商功能和業配搓合平臺功能，都不謀而合，透露出Klarna與兩家巨頭競爭的企圖。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#元宇宙</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商品</span></span></strong></p> <p><strong>Nike推出Web3虛擬商品平臺</strong></p> <p>運動服飾品牌<a href="https://about.nike.com/en/newsroom/releases/nike-launches-swoosh-a-new-digital-community-and-experience">Nike推出Web3虛擬商品平臺</a>，可以在上面蒐集、交易甚至與Nike共同創作虛擬商品。若創作的虛擬作品成功商品化，作者還可以分得版稅。這些虛擬商品未來可以在其他遊戲或是沉浸式體驗中使用。</p> <p>目前此平臺已經進入Beta測試，在經營平臺社群一段時間後，Nike計畫於2023年推出第1套虛擬收藏品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="http://https://news.adidas.com/originals/virtual-gear-for-new-realities--adidas-originals-launches-inaugural-nft-wearables-collection/s/b9c13f73-b7b4-412f-9e19-f8a4d9781621">Adidas新增了一個元宇宙產品線分類。</a></p> <p>2. <a href="https://www.globenewswire.com/news-release/2022/11/15/2556300/0/en/Victoria-s-Secret-Co-Expands-its-Bra-Fit-Services-Making-Finding-the-Perfect-Bra-Easier.html">維多利亞的秘密推出App新功能，利用3D掃描技術自動推薦消費者內衣尺寸。</a></p> <p>3. <a href="https://twitter.com/AaronandML/status/1592581288401440768/photo/1">加拿大大型量販店Giant Tiger完全淘汰舊有電商科技，用Shopify等新零售科技業者的技術取代。</a></p> </div></div></div>
2022/11/24 10:55作者郭又華https://www.ithome.com.tw/news/154382
Meta發現首個來自美國軍方的帶風向行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2022/11/Quarterly-Adversarial-Threat-Report-Q2-2022-1.pdf" target="_blank">Meta於本周發表了今年第三季的對抗威脅報告（Adversarial Threat Report）</a>，揭露了首個源自美國軍方的「協作不真實行為」（Coordinated Inauthentic Behavior，CIB），美國國防部旗下的中央司令部則拒絕回應此事。</p> <p>這些協作不真實行為主要是以偽造的身分在網路上帶風向，操縱自己或是其它國家的議題，根據Meta近年來的調查，全球有超過50個國家會藉由社交平臺執行各種CIB活動，在2017年至2020年間，<a href="https://www.ithome.com.tw/news/144667" target="_blank">最常於臉書上執行CIB活動的國家</a>依序是俄羅斯、伊朗、緬甸、美國與烏克蘭。</p> <p>然而，過去由美國所執行的CIB活動，主要來自邊緣政治人物、公關或顧問公司，以及媒體網站，這次是第一次發現美國軍方涉身其中。</p> <p>今年第三季時，Meta以違反該平臺CIB政策為由，移除了由俄羅斯在臉書上所建立的1,633個帳號、703個粉絲頁，1個社團，以及Instagram上的29個帳號。中國則有81個臉書帳號、8個粉絲頁、1個社團與2個Instagram帳號被移除。美國有39個臉書帳號、16個粉絲頁、2個社團與26個Instagram帳號被移除。</p> <p>該季由Meta所移除的美國CIB活動帳號屬於同一個網路，有不同的叢集來操縱有關伊朗、中亞、中東或北非的議題，且除了利用臉書與Instagram之外，也透過Twitter、YouTube或Telegram等平臺宣傳，Meta的研究顯示，此一網路背後的某些人與美國軍方有關。</p> <p>其實<a href="https://public-assets.graphika.com/reports/graphika_stanford_internet_observatory_report_unheard_voice.pdf" target="_blank">史丹福大學網路觀察站（Stanford Internet Observatory）與社交媒體情報業者Graphika在今年8月便曾公布類似的報告</a>，指出有一個CIB網路透過8個社交媒體平臺在中東與中亞宣傳親西方的言論，而且是一系列的計畫，而非單一操作，目的是為了促進美國與其盟國的利益，並反對包括俄羅斯、中國與伊朗等國家，也撻伐極端主義，所宣傳的網站有些是由美國軍方所贊助的。</p> </div></div></div>
2022/11/24 11:12作者陳曉莉https://www.ithome.com.tw/news/154385
美國扣押了7個偽裝成新加坡國際貨幣交易平臺的加密貨幣詐騙網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-edva/pr/court-authorizes-seizure-domains-used-furtherance-cryptocurrency-pig-butchering-scheme" target="_blank">美國司法部於本周二（11/21）宣布</a>，已扣押了7個偽裝成新加坡國際貨幣交易平臺（Singapore International Monetary Exchange）的詐騙網域，已確認的5名受害者總損失超過1,000萬美元，同時鼓勵其他受害者出面。</p> <p>這類的詐騙案件被稱為「殺豬」（Pig Butchering）投資詐騙，詐騙犯先透過交友程式、社交媒體或隨機文字來認識受害者，進而與受害者建立關係並取得信任，再介紹各種投資機會以騙走受害者的資金。</p> <p>根據調查，從今年5月到8月間，這群詐騙犯至少引誘了5名美國受害者，讓他們於偽造的網站上投資加密貨幣，當受害者透過這些網站把款項轉進詐騙犯所指定的帳戶之後，款項很快就被移轉到大量的其它加密貨幣錢包，並執行混幣，以隱藏資金來源，且之後詐騙犯即人間蒸發。這5名受害者的損失金額超過1,000萬美元。</p> <p>與加密貨幣有關的詐騙近年來層出不窮，<a href="https://www.justice.gov/usao-edny/pr/eleven-defendants-arrested-investment-fraud-money-laundering-and-unlicensed-money" target="_blank">美國司法部甫於今年10月逮捕並起訴了11名嫌犯</a>，他們同樣是以投資加密貨幣來吸引受害者，向美國逾200名受害者騙走了1,800萬美元。</p> </div></div></div>
2022/11/24 09:31作者陳曉莉https://www.ithome.com.tw/news/154380
Google要求TV應用程式轉換使用App Bundles發布格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/11/app-bundles-for-google-tv-and-android-tv.html">Google宣布</a>其Google TV和Android TV，從2023年5月開始將要求使用App Bundles應用程式發布格式，原因是Google TV和Android TV裝置儲存空間有限，但是可安裝的應用程式越來越多，為了提升用戶應用程式使用體驗，於是決定全面使用App Bundles。</p> <p>Android TV作業系統現在可用應用程式超過1萬個，雖然可使用的軟體數量呈指數上升，但是Android TV裝置非常有限，與手機比起來，在2022年時，手機最小儲存容量為64 GB，但是智慧電視的平均儲存只有8 GB，儲存空間有限使得用戶必須卸載應用程式，進而影響用戶體驗。</p> <p>因此Google針對這個問題，在2020年的時候，在Android上推出了App Bundle，這是手機、平板和TV上Google Play的標準發布格式，目前已經取代APK（Android Package Kits）。App Bundle有許多好處，因為能夠針對每臺裝置最佳化，與同等的APK相比，App Bundle的總大小平均減少20％，因此可節省更多的儲存空間。</p> <p>由於App Bundle讓用戶可以選擇封存應用程式，這能夠回收60％的應用程式儲存空間，TV裝置內建快速封存和取消封存的用戶介面，因此就算裝置儲存空間有限，用戶仍可以將更多的應用程式，留在Google TV和Android TV裝置上，同時開發人員也可以維護狀態，提供開發者無摩擦的取消封存體驗。</p> <p>App Bundle交付也更簡單安全，由於Play Store擁有應用程式的原始碼和資源，因此可以針對每個裝置的配置，動態提供最佳化應用程式，而且當開發者上傳的金鑰丟失或是洩漏，也可以輕鬆進行重設。</p> <p>距2023年5月，Google TV和Android TV要求使用App Bundles約有6個月的過渡期，但Google提到，一般情況工程師只要花3天，就能夠將現有的電視應用，從APK移植到App Bundle。如果屆時應用程式仍未轉換使用App Bundles，則Google可能會選擇在電視介面隱藏這類應用程式，官方建議正在開發新TV應用程式的開發者，應該直接選擇使用App Bundles。</p> </div></div></div>
2022/11/24 09:36作者李建興https://www.ithome.com.tw/news/154375
Windows 10、11用戶可於Microsoft Store直接下載安裝WSL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/commandline/the-windows-subsystem-for-linux-in-the-microsoft-store-is-now-generally-available-on-windows-10-and-11/">Microsoft Store中的WSL（Windows Subsystem for Linux）現在移除預覽標籤</a>，成為最新的正式版本，直接使用wsl--install指令，就會預設替新用戶安裝商店的中的WSL版本，與之前作為Windows元件的WSL版本相比，使用商店中的WSL能夠更快地獲得更新。另外，除了Windows 11，現在用戶在Windows 10也可以從商店下載WSL，並且獲得systemd和Linux GUI應用程式等新功能支援。</p> <p>WSL現在作為Microsoft Store中的應用程式，能夠讓用戶快速在Windows中實際執行Linux。官方提到，這次的更新目標是簡化WSL版本控制，使Microsoft Store成為WSL安裝預設位置。</p> <p>商店的WSL版本具有一些重大更新，包括用戶可以選擇使用systemd支援，也讓Windows 10用戶可以在WSL執行Linux GUI應用程式，這是之前只有Windows 11可以使用的功能。而當用戶使用wsl--update指令，系統則會預設開啟Microsoft Store，所有WSLg和WSL核心都被打包進同一個WSL套件，這代表用戶不再需要進行額外MSI安裝。</p> <p>目前商店版本的WSL版本，就是當前WSL預設版本，在此次更新，微軟還將WSL功能向後移植至Windows 10和Windows 11。wsl.exe--install指令現在將自動安裝WSL商店版本，並且不會再啟動WSL可選元件，也不需要安裝WSL核心或是WSLg MSI套件，不過，用戶仍然可以選擇虛擬機平臺，目前會預設安裝Ubuntu。wsl.exe--update指令則會檢查Microsoft Store並應用WSL MSIX套件更新，而不會更新WSL核心MSI。</p> <p>使用者暫時需要手動搜尋，才能獲得最新的WSL正式版本，微軟預計在12月中旬會自動推送更新，要使用最新WSL，用戶需要安裝Windows的可用更新，作業系統要求Windows 10 21H1、21H2或22H2版本，或是Windows 11 21H2。</p> <p>如果用戶是使用WSL 1發行版，便仍需要WSL可選元件，WSL 1雖然仍可以獲得重要錯誤修復，但是WSL商店版本則會持續更新功能，官方提到，用戶需要特別辨識所使用的WSL版本，因為兩者的基礎架構不同，運作和行為也都不一樣，WSL 2具有更好的檔案系統效能，並使用真正的Linux核心，但是需要執行虛擬化。</p> </div></div></div>
2022/11/24 09:41作者李建興https://www.ithome.com.tw/news/154376
Visual Studio for Mac 17.4開始支援跨平臺開發框架.NET MAUI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟跨平臺開發框架.NET MAUI開發應用程式，現在於最新的<a href="https://devblogs.microsoft.com/visualstudio/net-maui-is-now-available-in-visual-studio-for-mac-17-4/">Visual Studio for Mac 17.4</a>提供支援，開發者可以在Mac上開發其他平臺目標的應用程式。作為.NET 7的一部分，這個版本的.NET MAUI SDK，也獲得許多效能與可靠性更新。</p> <p>.NET MAUI的單一專案功能，讓開發者不需要煩惱跨平臺的資源管理，微軟解釋，.NET MAUI單一專案是一個抽象特定平臺開發體驗和工具的單一共享專案，可讓開發者從Mac機器，對Android、iOS和Mac，甚至是Windows建構相同的應用程式。</p> <p>透過使用多目標和SDK樣式專案，.NET MAUI供開發者在單一專案中共享資源檔案、單一跨平臺應用程式進入點。開發者能夠在擁有最佳化開發體驗的同時，跨多個目標平臺和裝置，存取平臺特有的功能和API。</p> <p>微軟也最佳化視覺設計工具，提高開發者在建構UI時的工作效率，借助XAML熱重載功能，在XAML更改時，開發者可即時看到應用程式中的UI變化，也就是說不需要重新建構和部署應用程式，就能驗證UI變更。透過Live Visual Tree，開發者還可以看到執行中XAML程式碼的即時檢視圖，即時呈現應用程式中所有UI元素的階層結構。</p> </div></div></div>
2022/11/24 09:43作者李建興https://www.ithome.com.tw/news/154377
【資安日報】2022年11月23日，已不再開發的網頁伺服器系統Boa成為攻擊目標、臺廠Lanner基板管理控制器韌體出…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網設備近年來成為駭客鎖定的目標，因為這類系統往往缺乏足夠的防護，甚至相關的開發套件因包含已停止支援的元件，而使得用戶陷入安全性漏洞無人處理的風險。例如，中國駭客日前入侵印度電網的事故裡，就針對名為Boa的網頁伺服器下手。Boa系統已停止更新長達17年，但許多物聯網裝置的SDK仍廣泛採用其元件，而使得這些裝置也曝露於Boa漏洞的危險當中。</p> <p>我們過往報導了數款基板管理控制器（BMC）的漏洞，這些BMC多半是安裝在伺服器主機，但最近用於物聯網裝置的BMC出現漏洞而引起研究人員注意。有資安業者揭露臺廠立端科技（Lanner）的BMC韌體漏洞，一旦遭到利用，攻擊者就有機會對搭載該公司BMC元件的物聯網裝置進行控制。</p> <p>以近日時事為誘餌的網釣攻擊事件頻傳，這些話題包含即將到來的黑色星期五購物季、剛在上週末開打的世界盃足球賽，以及加密貨幣交易所FTX破產等情況。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">已中止發展與維護的Boa網頁伺服器系統成為攻擊目標，駭客藉此對能源組織下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Supply-chain-affected-by-known-vulnerabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Supply-chain-affected-by-known-vulnerabilities.png" style="width: 300px; float: right;" /></a>微軟安全威脅情報中心（MSTIC）在調查中國駭客入侵印度電網的攻擊行動時，發現其入侵管道為Boa網頁伺服器，此為開源的物聯網系統解決方案，但早在2005年就不再更新。</p> <p>研究人員指出，此網頁伺服器系統全球迄今有逾百萬臺裝置採用，但為何Boa仍非常普遍？很可能是廣泛受到許多軟體開發套件（SDK）採用，而使得透過這些SDK開發的裝置存在Boa相關漏洞，例如：目錄越界漏洞CVE-2017-9833，以及資訊洩露漏洞CVE-2021-33558，這些漏洞目前都尚未得到修補。</p> <p>研究人員舉出採用Boa的瑞昱SDK為例，該公司修補此SDK漏洞，但並未處理上述兩個Boa漏洞，而使得採用此SDK開發的路由器、無線AP都存在這些弱點，可被駭客用於攻擊行動。</p> <h3><a href="https://www.bitdefender.com/blog/hotforsecurity/just-your-yearly-dose-of-black-friday-spam-cybercrooks-get-ahead-of-the-game-to-steal-shoppers-info"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">黑色星期五相關的垃圾郵件逾半數有詐</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/graf1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/graf1.jpg" style="width: 300px; float: right;" /></a>黑色星期五即將在11月25日來臨，相關的釣魚郵件也隨之出現。防毒業者Bitdefender在10月26日至11月9日觀察到這類惡意活動，他們發現，與黑色星期五有關的垃圾郵件，自11月7日急劇增加——6日為4%，7日爆增至19%，9日來到26%。</p> <p>這些垃圾郵件有27%是針對美國而來，愛爾蘭24%次之。值得留意的是，這裡面有56%與詐騙相關。</p> <p>研究人員指出，駭客除了會利用名牌商品大幅降價作為誘餌，也可能會使用免費的禮物卡、問卷來行騙，而且往往會使用攻擊目標慣用的語言，讓購物者降低警覺。</p> <h3><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/email-cyberattacks-on-arab-countries-rise.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以世界盃足球賽為幌子的釣魚郵件攻擊升溫，被用於散布Emotet、QBot、Remcos惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/email-cyberattacks-arab-countries-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-cyberattacks-arab-countries-11.jpg" style="width: 300px; float: right;" /></a></p> <p>世界盃足球賽於11月20日在卡達開打，是近期該賽事首度在阿拉伯地區舉辦，在此之前，駭客已鎖定該地區的球迷、球隊下手，發動釣魚郵件攻擊。資安業者Trellix發現當地10月的惡意郵件數量，較9月爆增一倍，原因與世足賽有關。</p> <p>研究人員看到各式各樣與這場比賽有關的網釣郵件，像是假借國際足球總會（FIFA）的名義，聲稱球迷購票付款沒有成功，或是佯稱合作夥伴Snoonu將送出免費門票等，此外，也有針對球隊而來的郵件，例如，以FIFA的名義宣稱禁止登記新球員的通知信。</p> <p>上述的釣魚郵件主要被用於散布木馬程式與竊密軟體，如QBot、Emotet、Formbook、Remcos，以及QuadAgent。</p> <h3><a href="https://www.vice.com/en/article/v7vj9a/sam-bankman-fried-deepfake-offers-refund-to-victims-in-verified-twitter-account-scam"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">因加密貨幣交易所FTX破產受害的用戶被駭客盯上，透過推特認證的帳號流傳Deepfake影片吸引想翻本的人</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1669045790229-deepfake.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1669045790229-deepfake.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/154165">大型加密貨幣交易所FTX日前破產</a>，債權人試圖追討自己投入的資金，駭客也看上這樣的情況來進行詐騙。根據新聞網站Motherboard的報導，11月18日推特上出現了FTX創辦人Sam Bankman-Fried的Deepfake影片，該影片聲稱為彌補投資人的損失，他們提供了專屬網站，投資人只要依照指示，就有可能將手中持有的加密貨幣翻倍來獲得補償，但實際上這是標準的加密貨幣詐騙。</p> <p>然而這起詐騙與過往有所不同的是，駭客不僅使用該創辦人名字縮寫SBF做為使用者名稱，還取得了推特的藍勾勾驗證（Twitter Blue）──疑似<a href="https://www.ithome.com.tw/news/153964">馬斯克宣布以8美元供所有用戶購買</a>後取得。</p> <h3><a href="https://blog.sekoia.io/aurora-a-rising-stealer-flying-under-the-radar/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Aurora攻擊行動升溫，至少有7組駭客採用</span></strong></a></h3> <p>資安業者Sekoia指出，以Go語言開發的竊密軟體Aurora，最近幾個月因為防毒軟體難以偵測而受到駭客歡迎。根據他們的調查，至少有7個惡名昭彰的駭客組織將其用於攻擊行動，有些駭客將其與兩款竊密軟體RedLine、Raccoon搭配使用。</p> <p>研究人員指出，這款竊密軟體是由殭屍網路發展而來，賣家BrazzzersLogs自8月下旬開始向駭客兜售，標榜能竊取逾40種加密貨幣錢包，具備反向尋找密碼資料集的功能，並且能自動解析MetaMask錢包的通關密語（Seed Phrase），駭客可選擇每月以250美元的代價租用，或是支付1,500美元購買終身授權。這些駭客已透過釣魚網站、YouTube影片，以及免費軟體下載網站等多個管道來散布Aurora。</p> <h3><a href="https://www.withsecure.com/en/whats-new/pressroom/ducktail-attacks-costing-victims-hundreds-of-thousands-of-dollars"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Ducktail藉由WhatsApp散布</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exodus_phishing_page_aurora.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exodus_phishing_page_aurora.png" style="width: 300px; float: right;" /></a>資安業者WithSecure揭露越南駭客組織Ducktail近期的攻擊行動，該組織原先濫用LinkedIn網站鎖定經營臉書廣告業務的人士與組織，但研究人員發現，駭客約自今年9月初開始改變做法。</p> <p>例如：透過即時通訊軟體WhatsApp做為散布竊密軟體的新途徑、Ducktail啟動的時候一併開啟文件檔案或是影片，進而卸下受害者的心防；再者，這些駭客也更換不同的編譯工具，並使用數位簽章，來規避資安系統的偵測；此外，他們甚至在越南成立假的公司做為幌子，藉此吸收成員。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.nozominetworks.com/blog/vulnerabilities-in-bmc-firmware-affect-ot-iot-device-security-part-1/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺廠Lanner基板管理控制器韌體被揭露13個漏洞，其中4個最嚴重，恐使OT與IoT設備遭到攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fg2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fg2.png" style="width: 300px; float: right;" /></a>資安業者Nozomi Networks在臺廠立端科技（Lanner）的基板管理控制器（BMC）擴充卡IAC-AST2500A上，總共發現了13個漏洞，其中有4個CVSS風險層級達到10分的漏洞CVE-2021-26727、CVE-2021-26728、CVE-2021-26729、CVE-2021-26730，這些漏洞都與記憶體的緩衝區溢位有關，多半能被用於命令注入攻擊。研究人員將CVE-2021-26728串連另一個漏洞CVE-2021-44467，展示概念性驗證（PoC）攻擊，攻擊者可在未經身分驗證的情況下，透過網頁管理介面，進而在BMC使用root權限遠端執行任意程式碼（RCE）。</p> <p>立端科技獲報後，已製作新版BMC韌體修補上述漏洞。若是管理者無法更新韌體，研究人員建議透過防火牆的網路存取控制規則，限縮能存取網頁管理介面的人士，來降低上述漏洞帶來的風險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154345"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">首設部長級資安首長，澳洲運用資安政策發揮國際影響力</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154344"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google雲端部署可抵抗量子攻擊的加密演算法</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154361"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟中小企業雲端DDoS防護服務正式上線</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/donut-extortion-group-also-targets-victims-with-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索駭客組織Donut也開始加密受害電腦檔案</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154359"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows版iCloud顯示其他用戶照片，引發資安疑慮</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154342">【2022年11月22日】駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> </div></div></div>
2022/11/23 18:41作者周峻佑https://www.ithome.com.tw/news/154378
Meta開發新人工智慧CICERO，可在《外交》遊戲與真人玩家談判並獲勝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta研究開發具有談判、說服和合作能力的人工智慧<a href="https://ai.facebook.com/blog/cicero-ai-negotiates-persuades-and-cooperates-with-people/">CICERO</a>，CICERO如同Deep Blue和AlphaGo等人工智慧一樣，是在遊戲中進行試驗，CICERO能夠遊玩策略遊戲《外交》webDiplomacy.net，與其他人類玩家以自然語言溝通，甚至是說服其他玩家結盟，最終取得遊戲勝利，並進入遊戲參與者排名前10％。</p> <p>《外交》這款遊戲過去被認為是人工智慧難以克服的挑戰，因為需要掌握理解其他玩家的動機和觀點，並制定複雜的計畫以自然語言與其他人類玩家達成協議，在過程中還需要不斷調整策略，最終建立夥伴關係和聯盟。研究人員提到，CICERO具有非常好的溝通能力，導致人類玩家偏好與CICERO合作，而非其他人類參與者。</p> <p>與國際象棋和圍棋等遊戲不同，《外交》需要處理的不是遊戲規則本身，而是與其他玩家的關係，因此要能在遊戲中獲得勝利，CICERO需要能夠辨識其他玩家的虛張聲勢，或是避免無意做出會被其他玩家視為具攻擊性的行動，否則可能很快就會輸掉遊戲，而且CICERO還需要像真人玩家一樣對話，表現出同理心、建立關係並且談論遊戲，才能找到願意一起合作的玩家。</p> <p>CICERO的貢獻在於，能夠交叉運用人工智慧兩個不同領域的技術，綜合戰略推理和自然語言處理贏得遊戲，CICERO有能力在《外交》遊戲的後期，推論出需要某個特定玩家的支持，然後制定策略獲得該玩家信任，甚至是從該玩家的角度找出風險與機會，以提高說服該玩家結盟的機率。</p> <p>在《外交》遊戲中，與其他玩家交談比移動棋子的方法還要重要，CICERO具清楚且有說服力溝通，能制定短中長期的策略，像是在立即要求一名玩家提供支援的同時，說服另一名玩家在遊戲後期結盟，CICERO能夠說明為什麼這些玩家要跟他合作，這個行為如何能夠互利互惠，CICERO還會一邊收集資訊，替未來的行動奠定基礎。但CICERO仍然有一些需要改進的部分，像是可能會產生與行動不一致的對話。</p> <p>CICERO在《外交》的試驗，展示在合作和競爭遊戲中，以目標為導向的對話系統，解決人工智慧與人類在達成共同目標上，所出現的社交和技術挑戰，《外交》提供了一個環境，讓利益衝突的玩家相互搏鬥，並將複雜的目標轉成自然語言，像是玩家可能會選擇在短期利益上妥協以維持盟友，並希望該盟友在下一回合幫助他們進入更好的位置。</p> <p>Meta現在開源CICERO程式碼，讓其他研究人員可以繼續相關的研究，CICERO也採用零樣本分類對話模型，監測和刪除有害的對話訊息。</p> </div></div></div>
2022/11/23 16:43作者李建興https://www.ithome.com.tw/news/154365
南韓開發者被收取33%佣金，蘋果同意改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.go.kr/solution/skin/doc.html?fn=0aef0cc7ba1d09257a3afd7dc4386318d674e9e1199aedb48bd0334031c83b03&rs=/fileupload/data/result//news/report/2022/" target="_blank">南韓公平交易委員會（FTC）周二（11/22）宣布</a>，蘋果已經同意要解決南韓開發者於App Store中支付33%佣金的問題。</p> <p>蘋果App Store既有佣金政策，是要求開發者所銷售的程式或訂閱服務必須依據修件支付15%或30%的佣金，然而，南韓的行動遊戲協會在今年8月向當地FTC申訴，指控蘋果非法向當地開發者收取33%的佣金，在2015年至2020年間，替蘋果帶來3,500億韓圓（約2.6億美元）的不法收益，促使FTC於9月展開調查。</p> <p>根據<a href="https://biz.chosun.com/it-science/ict/2022/09/26/DPQQMMOGBJCUXHZAWZWAWE3O2U/" target="_blank">《朝鮮日報》</a>的報導，這主要是增值稅所造成的問題，例如一款程式原始價格為3,000韓圓，但消費者所看到的卻是加了10%增值稅之後的3,300韓圓，而蘋果則依據消費者所購買的價格抽了30%的佣金，最後卻是開發者要將10%的增值稅交給南韓國稅局。因此，算起來是蘋果收了33%的費用，而開發者則受到了剝削。</p> <p>本周南韓則宣布已與蘋果達成協議，蘋果將自願更正此一作法。</p> </div></div></div>
2022/11/23 16:49作者陳曉莉https://www.ithome.com.tw/news/154371
駭客利用2005年就停止更新的IoT解決方案Boa入侵組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/" target="_blank">微軟安全威脅情報中心（Microsoft Security Threat Intelligence Center，MSTIC）本周揭露</a>，當他們調查中國駭客入侵印度電網的攻擊行動時，發現駭客的入侵管道為Boa網頁伺服器，這是一個開源的IoT解決方案，而且早在2005年就不再更新。MSTIC相信此一安全風險可能還影響著全球上百萬個裝置與其它組織。</p> <p>資安業者Recorded Future自2021年開始追蹤中國駭客RedEcho針對印度電力基礎設施所展開的攻擊行動，<a href="https://www.recordedfuture.com/continued-targeting-of-indian-power-grid-assets?__hstc=156209188.65c2d309abc7befc704e210a65154bf8.1666196607997.1666196607997.1666196607997.1&__hssc=156209188.1.1666196607998&__hsfp=2445685111" target="_blank">並在今年初發現</a>同樣來自中國的TAG-38駭客組織持續針對類似的目標進行攻擊，微軟在分析此一最新的攻擊行動之後，發現其入侵指標（IOC）的所有IP位址都含有同樣的Boa元件，且駭客鎖定了執行Boa的IoT裝置展開攻擊。</p> <p>在1995年發表的Boa是個開源的小型網頁伺服器，適用於嵌入式應用，包括路由器或監視器等IoT裝置，且經常可用來存取設定、管理及登入畫面，只不過，該專案在2005年就停止更新了。然而，根據MSTIC的統計，全球仍有超過100萬臺採用Boa的裝置曝露於公開網路。</p> <p>MSTIC推測，Boa依然普及的原因之一可能是它被嵌在許多熱門的SDK中，這些SDK又被部署在系統單晶片（SoC）上，這使得它們所內含的安全漏洞經常藉由裝置而散布，形成供應鏈風險，例如瑞昱半導體（RealTek）用在SoC上的SDK就被用來生產路由器、無線AP或中繼器等裝置，使得不管是Boa或SDK的安全漏洞也會隨之蔓延。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2022/11/Figure-2.-Supply-chain-affected-by-known-vulnerabilities-1536x489.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>迄今Boa至少有兩個已知且未被修補的安全漏洞CVE-2017-9833與CVE-2021-33558，它們分別是檔案存取與資訊揭露漏洞，允許駭客自遠端執行任意程式；而RealTek SDK上亦含有曝露管理介面 CVE-2021-35395漏洞，以及可遠端執行程式的緩衝區溢位漏洞CVE-2022-27255。</p> <p>MSTIC說，即使RealTek已修補了SDK的安全漏洞，但許多製造商或許未將它們納入裝置的韌體更新，此外，RealTek的修補並未涵蓋Boa漏洞。這也意味著就算IoT業者更新了韌體，卻不一定有修補SDK或特定的SoC元件漏洞。</p> <p>Boa的安全漏洞允許駭客藉由蒐集檔案中的資訊秘密存取網路，更重要的是，受害者或許完全不知道，它們所使用的裝置採用了已不再更新的Boa網頁伺服器，因而不管是更新韌體或其它修補都無法解決Boa上的已知漏洞。</p> <p>微軟則建議各組織應該要儘可能地修補裝置上的安全漏洞，啟用漏洞評估機制來辨識含有漏洞的裝置，把漏洞偵測功能延伸至防火牆以外，在網路上移除沒必要連網的IoT裝置，使用主動式的病毒掃描，制定偵測規則來辨識惡意行為，以及採用全面性的IoT與OT解決方案。</p> </div></div></div>
2022/11/23 15:43作者陳曉莉https://www.ithome.com.tw/news/154363
英國針對Google與蘋果的雙頭壟斷正式展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/investigation-into-cloud-gaming-and-browsers-to-support-uk-tech-and-consumers" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）周二（11/22）宣布</a>，將針對Google與蘋果在行動生態體系的雙頭壟斷局面正式展開調查，特別是瀏覽器與遊戲領域。</p> <p><a href="https://www.ithome.com.tw/news/148381" target="_blank">其實CMA早在去年就對此進行初步調查</a>，並<a href="https://www.gov.uk/government/news/cma-plans-market-investigation-into-mobile-browsers-and-cloud-gaming" target="_blank">在今年6月發布調查報告</a>，指出蘋果與Google在行動生態體系的確擁有有效的雙頭壟斷，令它們可控制相關市場，包括行動作業系統、行動應用程式商店，以及瀏覽器，若不進行干預，這兩家業者可能維持甚至強化對該領域的控制，進一步限制了競爭與創新。</p> <p>本周CMA說明，瀏覽器為行動裝置上最普遍的程式之一，絕大多數的使用者每天都會透過瀏覽器存取資訊、新聞、影片或進行購物，去年英國所有的行動瀏覽中，就有97%是透過蘋果或Google的瀏覽器引擎，因此，在這些瀏覽器引擎上的任何限制，都可能對使用者經驗帶來重大的影響。</p> <p>至於遊戲在英國也是個價值數十億英鎊的產業，擁有數百萬名玩家，當中包括超過80萬的雲端遊戲玩家，但遊戲若僅能透過行動裝置散布，卻可能阻礙該領域的成長。</p> <p>因此，CMA將調查蘋果與Google在行動瀏覽器市場的獨霸地位，以及蘋果如何藉由App Store限制雲端遊戲。相關的調查有很大一部分是因為CMA收到了來自其它瀏覽器業者、網頁開發者及雲端遊戲服務供應商的抱怨，指稱現在的情況正在危害它們的業務，妨礙創新，而且增加了不必要的成本。</p> <p>其中，網頁開發者認為蘋果對瀏覽器技術的投資不足，再加上蘋果要求的諸多限制，使得它們在建置網頁時必須處理許多錯誤，因而提高了成本，還增加挫敗感，有時候在網頁應該便足矣的狀態下還必須另行打造行動程式。</p> <p>不過，不論是蘋果或Google都宣稱這些限制是用來保護使用者。CMA現則針對兩方的說法展開深度調查，最終可能迫使Google及蘋果變更其限制或行為，目的是改善競爭，以替消費者帶來更多選擇與更好的產品。</p> </div></div></div>
2022/11/23 15:54作者陳曉莉https://www.ithome.com.tw/news/154364
HP將在未來3年裁員10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.hp.com/news/press-release-details/2022/HP-Inc.-Reports-Fiscal-2022-Full-Year-and-Fourth-Quarter-Results-Announces-Dividend-Increase-and-Future-Ready-Transformation/" target="_blank">HP周二（11/22）公布</a>該公司截至10月31日的2022財年第四季財報，顯示該季的淨營收（Net Revenue）為148億美元，下滑11.2%，同時宣布了「未來就緒轉型」（Future Ready Transformation）計畫，預計在2025年10月以前，裁撤4,000~6,000名員工，最多將占員工總數的10%。</p> <p>在後疫情時代，與PC相關的交易都出現衰退，<a href="https://www.gartner.com/en/newsroom/press-releases/2022-10-10-gartner-says-worldwide-pc-shipments-declined-19-percent-in-third-quarter-of-2022" target="_blank">根據Gartner的統計</a>，今年第三季全球PC出貨量為6,800萬臺，比去年同期減少了19.5%，此一情況也直接反映在HP的財報上。HP該季的個人系統營收為103億美元，下滑了13%，印表機印收為45億美元，下滑了7%。</p> <p>不過，對HP而言，這已是該公司連續至少第三波的裁員行動。在2016年10月，<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000047217/acadb117-ecc5-469f-aafd-6fd9a4a4cf7b.pdf" target="_blank">HP便曾展開重整計畫</a>，於2019年10月以前減少3,000~4,000名員工；2019年10月再發起<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0000047217/f326665a-eccf-47f1-87dc-d5451a364b07.pdf" target="_blank">另一波的重整計畫</a>，於2022年10月以前減少7,000~9,000名員工；最新的重整計畫則是在2025年10月以前減少4,000~6,000名員工。</p> <p>HP對減少人力的規畫都是以3年為期，除了裁員外也鼓勵員工提早退休。不過，即便長期規畫減少人力，也難逃因疫情的需求而擴編，去年10月HP的全球員工數為5.1萬，但現在則有6.1萬。最近一次的3年重整計畫預計產生10億美元的費用，其中的7億美元與裁員有關，但完成該計畫之後，每年可望節省14億美元的成本。</p> </div></div></div>
2022/11/23 12:56作者陳曉莉https://www.ithome.com.tw/news/154362
微軟中小企業版雲端DDoS防護服務正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2個月的<a href="https://www.ithome.com.tw/news/153758" target="_blank">測試</a>後，<a href="https://techcommunity.microsoft.com/t5/azure-network-security-blog/azure-ddos-ip-protection-is-now-available-in-public-preview/ba-p/3669075" target="_blank">微軟本周宣布</a>針對中小企業設計的雲端DDoS攻擊防護方案Azure DDoS IP保護（DDoS IP Protection）正式上線。</p> <p>微軟10月在Ignite大會上為Azure DDoS IP保護切分成2個版本，一是原本的大型企業版，另一是新的中小企業版。中小企業版繼承Azure DDoS IP保護產品名稱。適用於大型企業的版本則將改名為Azure DDoS網路保護（Azure DDoS Network Protection）。</p> <p>微軟強調Azure DDoS IP保護雖為SMB客戶設計，但提供企業級保障。它提供L3/L4 DDoS攻擊防護，可提供Always on流量監控、適應性動態調校（adaptive tuning）、自動DDoS攻擊警示、緩解、政策設定及提供緩解報告等功能，也強調可和Firewall Manager、統一Azure Sentinel管理中控臺服務整合。它另一項特色是可允許以單一公開IP為單位的採購。大型企業版則是以100個公開IP為採購單位。</p> <p><a href="https://azure.microsoft.com/en-us/pricing/details/ddos-protection/" target="_blank">根據微軟網站</a>，Azure DDoS IP保護在臺灣的定價為每一公開IP每月6,382元新臺幣。</p> </div></div></div>
2022/11/23 11:53作者林妍溱https://www.ithome.com.tw/news/154361
iCloud for Windows出現陌生人相片影片，疑為Bug所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.macrumors.com/2022/11/21/icloud-for-windows-corrupt-video-bug/" target="_blank">MacRumors報導</a>，iCloud可能出現未知臭蟲，使部分使用Windows PC的用戶，在自己的iCloud相簿中看到陌生人的相片及影片。</p> <p><a href="https://forums.macrumors.com/threads/icloud-for-windows-corrupting-videos-downloading-other-peoples-photos.2370666/" target="_blank">部分iCloud for Windows 用戶本周在MacRumors</a>上反映iCloud的數項問題。其中之一是他的iCloud Library出現完全陌生的相片，包括從沒見過的人的家庭相片、足球比賽及其他主題相片。</p> <p>根據論壇用戶的回饋，這問題似乎出現在iPhone 13 Pro及iPhone 14 Pro拍攝的相片或影片，但可能僅限啟動HDR及HEVC高畫質影像功能設定的手機。App則只影響iCloud for Windows版，包括Windows 10和11。Windows 11可整合iCloud Photos的Photo App則似乎也不受影響。</p> <p>此外，刪除iCloud for Windows App並不能解決問題，顯示問題應該是出現在蘋果伺服器端。<a href="https://9to5mac.com/2022/11/21/icloud-for-windows-photos-videos-strangers/" target="_blank">9to5mac推測</a>可能是iPhone到Windows版iCloud之間檔案轉換不當所致。</p> <p>這只是iPhone用戶抱怨的問題之一。另一個問題是用戶上傳到iCloud Library的影片全變黑還出現掃瞄線，影片也變得無法讀取。這問題影響iPhone 13 Pro及iPhone 14 Pro拍攝的影片。</p> <p>目前問題原因不明，由於用戶已經通報，蘋果應該已知情，但還未提供說明。</p> <p>這也令人憂心蘋果是否真能確保用戶隱私。近日蘋果才因官方App如App Store、Apple TV、Books、Stock會追蹤已設定隱私選項的用戶行蹤，<a href="https://www.phonearena.com/news/apple-sued-for-tracking-its-users-using-native-ios-apps_id143657" target="_blank">遭到用戶集體控告</a>。</p> </div></div></div>
2022/11/23 11:03作者林妍溱https://www.ithome.com.tw/news/154359
Meta開始在資料中心採用奈秒級精確度的時間協定PTP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/11/21/production-engineering/future-computing-ptp/">Meta更換資料中心所使用的時間協定成精確時間協定（PTP）</a>，使得網路和資料中心得以提供更高準確度和精確度的時間，Meta現在開源支援PTP的網路硬體和軟體，來加速PTP在產業資料中心的擴大採用。</p> <p>由於訊息傳遞、視訊會議、線上遊戲，甚至是更新和刪除內容，都仰賴跨伺服器甚至是跨資料中心的精確計時，當端點之間的伺服器越多，同步也就更加重要，只要有一臺伺服器與其他伺服器不同步，就會造成明顯的延遲和錯誤。</p> <p>Meta提到，隨著技術的改進和新產品的推出，原本所使用的網路時間協定（NTP）已經到達極限，PTP提供了NTP所無法達到的準確度和精確度，並且能明顯降低網路延遲和錯誤的發生。在Meta的試驗計畫成功後，便會將PTP擴展到所有資料中心。</p> <p>Meta解釋PTP之所以重要，是因為其提供的準確度和精確度，準確度可以看作是電腦量測時間與實際時間相近的程度，而精確度也就是不同電腦彼此量測時間的接近程度。PTP原本是一種分散式系統同步時間的方法，由一個稱作Stratum的網路電腦保存當前時間，並向訊問時間的電腦發送時間參照。</p> <p>因爲網路延遲的關係，時間封包到達接收電腦的時候，因為各種延遲原因，時間已經不再準確，但延遲是無法避免的，只能透過量測來進行補償，當能夠量測延遲，就有能力在客戶端同步當前的時間。</p> <p>不過，量測參照電腦和客戶端電腦之間的延遲並非一件容易的事，因為缺乏全域時鐘，而且每臺電腦都有自己的時間，因此要量測兩端的延遲，必須要基於兩個假設，一致性和對稱性，一致性代表封包在經過網路傳輸時面臨的延遲都是一致的，而對稱性則代表在兩端來回的延遲相同。</p> <p>所以只要盡可能提高一致性和對稱性，就能最大程度提升時間同步精確度，而PTP運用硬體時間戳記和透明時鐘機制，可分別提高一致性和對稱性。即便電信業使用PTP已經有十多年，但是大規模資料中心的採用仍十分緩慢，與NTP相比，PTP讓主機以更高的精確度同步至同一個時間來源，NTP已能夠精確到毫秒，但是PTP更可以精確到奈秒。</p> <p>Meta舉出PTP能夠在各種應用帶來的好處，除了對未來元宇宙應用相當重要之外，當前的應用也能獲得好處，訊息傳遞能夠因為伺服器時間精確度時間更同步，線上遊戲也能夠因為PTP避免延遲，特別是基於雲端架構的遊戲，更能發揮其作用。</p> </div></div></div>
2022/11/23 09:07作者李建興https://www.ithome.com.tw/news/154346
Google運用AI大規模分析美國10年電視節目，探索不同性別與膚色的螢幕時間變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項由Geena Davis媒體性別研究機構、Google研究院、南加大訊號分析和解釋實驗室共同合作的<a href="https://blog.google/technology/ai/using-ai-to-study-12-years-of-representation-in-tv/">研究</a>，透過分析近10年來的美國電視節目，以了解性別和膚色在螢幕時間上的變化趨勢。</p> <p>這是第一個使用大規模人工智慧模型，進行的電視節目研究，總共分析了440小時的節目，發現即便到了2021年，女性演員在螢幕上出現的時間，仍較男性少，而且深膚色的演員說話時間僅占16％。</p> <p>這項研究調查2010年到2021年，每一季Nielsen媒體指標前10名，且有劇本的美國電視節目，這些節目包括喜劇、政治劇、愛情劇到科幻片等總共440小時。Google在24小時內處理完所有鏡頭，每秒處理超過100個影格，並使用機器學習模型，大規模分析1,200萬個在螢幕上出現的臉部。</p> <p>報告呈現幾個重要結果，第一，女性角色在螢幕出現時間上升，但男女仍然存在差距，到了2021年，男性角色的螢幕時間仍然較女性角色多16％。第二，淺膚色和深膚色的角色，螢幕時間差距從2010年的81％，縮小到2021年的55％，每年大概增加8到9個百分點，但即便如此，這仍是很大的差距。</p> <p>第三，年長的男性和年輕女性的螢幕時間更長，螢幕上男性角色最常出現的年齡段是33歲到66歲，女性角色則是18到33歲，外觀年齡超過60歲的女性，僅有不到1％的螢幕時間。第四，這10年間，深膚色女性角色的說話時間上升最多，每年以平均1.2％增加，但即便如此，他們仍是在螢幕上最不可能有臺詞的族群，說話時間僅占總螢幕時間的16％。</p> <p>南加大訊號分析和解釋實驗室研究團隊提到，計算性媒體智慧能夠以前所未有的規模以及細節，分析媒體所講述的故事，並且獲得細微的結果，同時也創造了包容和公平體驗的工具。</p> <p>Google提到，他們會繼續與這兩個組織合作，研究世界其他地區的跨文化和混合媒體內容，除了檢查「出現」訊號，也要進一步檢驗「描述性」訊號，包括領導社交互動的角色，甚至是某些社群是否被以刻板印象看待。</p> </div></div></div>
2022/11/23 09:12作者李建興https://www.ithome.com.tw/news/154348
美光揭露轉型智慧工廠多年成果，不只大量運用AI、數位分身技術，下一階段更要朝向智慧企業來發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「美光工廠的AI模型每周就要分析2,300萬張晶圓影像，來優化製程與提升製造效率。」美光科技技術部門資深總監曾耀瑩如此說道。這正是這家跨國記憶體大廠多年數位轉型的成果，這些年智慧製造推動成果，也成了這家高科技半導體公司朝向下一階段智慧企業來發展的關鍵助力。</p> <p>美光很早就展開數位轉型，從轉型智慧工廠做起，多年發展下來，美光全球工廠在上千道晶圓製程中已經運用到許多ML、AI技術，來提升良率和確保產品品質。在今年臺灣AI年會上，有更多成果揭露。</p> <h3><strong>全球工廠部署57萬個IoT感測器，成了發展大數據分析與AI應用的關鍵數據</strong></h3> <p>為了發展智慧製造，美光很早就開始在晶圓廠安裝大量IoT感測器，迄今一共部署了57萬個IoT感測器在全球工廠中，能存取超過2.3億個資料控制點（control points）。這些年來，美光在全球工廠累積了34 PB的資料，這些資料都成為了美光用來發展大數據分析與AI應用的關鍵數據。並以每天新增30TB的速度持續增長。</p> <p>有了這些感測器產生的大數據後，為蒐集與分析這些數據，美光還建立IIoT平臺和Hadoop大數據分析平臺，從多種感測器的大數據中，用於建立預防性設備維護和製程異常檢測機制，更用這些數據訓練不同AI模型，全力發展AI應用，解決工廠製程問題。</p> <p>像是為了提高良率，美光不只打造YMS良率管理系統，還結合ML演算法，能夠即時分類與辨識出有瑕疵的晶圓，提供更精準的結果給產線人員，甚至經由大數據分析，系統能馬上給出造成晶圓製程問題的建議，讓設備工程師能基於這些建議來檢測機臺的狀況。他們建立KM知識管理系統，將這些造成良率問題的事件建立一套知識和經驗，只要ML系統偵測到有異常情況（如陰影），就會比對KM系統，找出過去有無發生相似的情況，提供給產線工程師建議，能夠更快找出問題加以解決。</p> <p>美光的晶圓製程有上千多道製程工序，黃光製程是其中一個關鍵製程，但以往機臺噴頭偶爾會出現液體漏滴的現像，對於良率影響甚大，但過去難以靠人工判斷，為了解決這個問題，後來美光在工廠導入噴嘴液滴檢測系統，結合AI影像辨識，能夠更快偵測到機臺有無漏滴，減少良率損失。</p> <p>另外在洗淨製程中，噴灑機臺會在晶圓上噴灑多種不同的化學液體，但以往機臺上容易因為液體殘留產生結晶體造成噴嘴口堵塞，導致出現噴灑不均勻的情況，這些都會影響到洗淨的效果，後來他們也導入影像AI偵測模型加以解決。其他AI應用，還有像是因為長期使用，使得放置晶圓的底座表面容易產生沉積物而附著在晶圓上，對良率產生影響，他們也結合AI影像識別技術做運用，一旦偵測到有殘留物的地方就會告警，通知相關人員盡速處理。</p> <p>不光大量運用大數據、AI技術，來提高生產良率，Fab廠內近年來也導入自動化倉儲，結合地面AGV無人搬運車，來提高物料搬運效率，舉例來說，以往設備工程師進行設備維護前須自行到倉庫領料，再把這些料搬到機臺旁，現在只需透過App就能進行物料搬運排程，系統就會自動把維護用到的物料放進搬運箱中，再由AGV送到指定的機臺附近位置，能夠提高人員工作效率。</p> <h3><strong>導入數位分身系統模擬工廠運作，能根據生產排程變化靈活調度產線</strong></h3> <p>美光更打造一套數位分身系統，用於模擬廠內運作狀況，包括晶圓製程流程、機臺的使用狀況，讓生產人員能更快根據生產排程變化靈活調度產線機臺，來縮短周期支援更大產能，不光如此，這套系統也能透過模擬方式提供跨廠區不同產品組合的建議。此外，目前在機臺設備的維修巡檢、遠端培訓上，都已結合AR與VR應用。</p> <p>幾年下來，美光因為推動智慧製造帶來不少效益，不只製造設備工具可用性提高4%，新產品推向市場和品質問題改善的時間大幅減半，晶圓報廢減少20％以上，就連員工生產力也因此提高近2成。也因為這些轉型成果，讓美光台中A3廠在2年前獲世界經濟論壇評選為工業4.0燈塔工廠。</p> <p>這些重要智慧製造成果，更仰賴美光的資料科學團隊，協助這家公司掌握智慧製造關鍵技術與應用，美光目前全球超過600位資料科學家、資料工程師及解決方案架構師，其中有100位在臺灣。</p> <h3><strong>從智慧製造邁向智慧企業</strong></h3> <p>對美光來說，不只是要讓工廠智慧化，更進一步開始推向企業內部，從設計、研發、採購到供應鏈等，都開始運用AI來協助公司解決問題與增加更多營收。</p> <p>像是採購部分，美光就找來相關廠商合作，運用AI加強供應鏈風險控管和透明性，如他們開始結合不同地域、國家、天災等資料，透過數據分析找出影響交期的潛在風險並提供警訊給採購部門，進而避開向高風險的原料供應商下單。其他還有廠內物料庫存管理上，也改用AI預測每月有多少用料來決定叫料數量，取代過去人工判斷，因此能夠更準確掌控物料數量，也能預防斷料的問題。</p> <p>甚至在產品定價策略上，美光也開始通過蒐集各個供應商、客戶狀況、歷史資料、市場動向以及產品特性，建立AI定價策略模型，他說，希望透過AI給出定價的建議，未來能夠幫助公司增加營收。另外因應ESG永續發展潮流，美光也有相關結合AI的做法，目標是希望訓練出來的AI模型能夠預測公司未來3年永續績效指標。</p> <p>供應鏈管理結合AI更是美光未來幾年重點發展之一，曾耀瑩表示，供應鏈管理對於半導體廠越來越重要，尤其製程演進從20奈米縮小到10奈米，越來越多製程容易受供應商原料的影響，嚴重甚至可能造成良率損失，他強調，之後將透過AI、大數據分析來加以解決。</p> </div></div></div>
2022/11/23 05:51作者余至浩https://www.ithome.com.tw/news/154358
首設部長級資安首長，澳洲如何用資安政策發揮國際影響力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年澳洲政府新增了資安部長一職，是G20中唯一設立部長級資安主管的國家，更為詐騙、隱私、網路人身安全等重點資安議題成立專責監管機關，並由總主管機關每年發布官方資安威脅報告，列出通報資安案件趨勢及應對建議。</p> <p>澳洲資安法規發展成熟，也曾成為臺灣擬定相關法案時的參考對象，例如管制通訊戰的《境外勢力影響透明法》草案，就有參考澳洲《2018 外國勢力透明化法案》。不只如此，蒙納許大學犯罪學副教授張耀中說，澳洲於不少臺灣有加入或往來意願的國際策略聯盟中，都積極提倡資安，來發揮國際影響力。</p> <p>舉例來說，澳洲在評估臺灣是否應加入CPTPP時，便將資安成熟度作為重要標準。在ASEAN和PIF等組織中，澳洲更扮演著資安建設和資安成熟度評估的角色。張耀中說，臺灣在與中國競爭國際組織加入權時，資訊安全是一個重要籌碼，因此澳洲對資安的態度與做法，不只是資安教材，更是外交教材。</p> <p><strong>監管機關分工細緻、重視民間資安意識和關鍵基礎設施，甚至協助他國建立安全網路硬體環境</strong></p> <p>澳洲網路安全中心ACSC隸屬於國防情報局，2014年成立，早於其他主管機關。ACSC統管所有資安相關議題，包括受理資安通報及制定資安政策，每年也會發布《年度資安威脅報告》，供澳洲資安產官學界參考。</p> <p>隨著資安議題受到更多重視，澳洲其他政府部門紛紛於旗下設立了資安管轄單位，包含競爭及消費者委員會ACCC旗下的Scamwatch，專門管轄網路詐騙等犯罪；澳洲通訊與媒體管理局旗下的eSafety Commissioner，管轄例如兒童安全、復仇色情、深度偽造、網路霸凌等人身安全案件；以及司法部旗下的Office of the Australian Information Commissioner，管轄數據防護、隱私及侵犯案件。</p> <p>張耀中以ACSC發布的《2021 資安威脅報告》及其資安政策，來說明澳洲近年資安政策發展及重視的資安議題。</p> <p>ACSC觀察，澳洲2020年歷經了兩百多天的封城，因此利用疫情議題進行釣魚攻擊的通報數大幅增加。同時段，商務電子郵件詐騙情形加劇，且往組織化攻擊發展，讓澳洲政府更加積極提倡民間資安意識。</p> <p>張耀中說，澳洲政府相當重視資安教育，時常發布提醒民眾提升資安意識的宣傳廣告。澳洲內政部2020頒布的《澳洲網路安全策略》中，更宣布加碼16.7億澳幣，來加強10項資安措施，超過一半項目與強化企業及民眾的資安意識有關。<br /> 這些措施包括：增加資安時事敏感度及分享威脅資訊的效率、增加社群資安威脅意識、透過資安計畫加強與企業合作力度、為中小企業提供資安諮詢、對企業和消費者宣導物聯網資安重要性、提供中小企業及一般家戶24小時資安諮詢熱線等。</p> <p><strong>澳洲資安法規發展概覽，重視基礎設施防禦及國外勢力滲透</strong></p> <p>2020年澳洲另一大資安威脅是關鍵服務及基礎建設遭受攻擊。據ACSC統計，他們接獲的網路威脅通報案中，約25%與澳洲關鍵基礎設施有關。值得注意的是，澳洲政府視高等教育機構為關鍵基礎設施，且高等教育機構因握有與政府合作的研究案及高階公務人員培訓資料，近年頻繁成為國家級駭客攻擊標的。</p> <p>張耀中說，雖然澳洲從未表示這些國家級駭客主要來自哪裡，卻用行為透露出他們主要防備對象。2018年起，澳洲全面禁用華為裝置及5G設施。不僅如此，他們還積極遊說邦交國不用華為網路設施，並提議協助自行建立網路基礎建設，來聯合往來國家一同拉起資訊安全的封鎖線。</p> <p>不只對外利用外交手段來防禦國家級駭客攻擊，澳洲2018年也設立了《關鍵基礎設施安全法》、《間諜與外國干預法》及《外國勢力透明化法案》，以建立國內基礎設施資安即時通報和潛在國外勢力入侵管理機制。</p> <p>《2018 關鍵基礎設施安全法》（The Security of Critical Infrastructure Act 2018）規定關鍵基礎設施有義務通報網路事件。此法規定義11類關鍵基礎設施，包括通訊傳播、金融及市場服務、數據儲存或處理、國防、高等教育及研究機構、能源、食物及雜貨、保健及醫療機構、太空科技、交通、水利設施等。相較之下，臺灣定義的關鍵基礎設施為能源、水資源、通訊傳播、交通、金融、緊急救援與醫院、政府機關、科學園區與工業區8大分類，不包含教育研究機構和數據服務等資安相關領域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D(6).png" style="width: 600px;" /></p> <p>規定通報義務，有利於澳洲政府評估基礎設施資安風險。隨著關鍵基礎設施遭受攻擊的通報持續增加，澳洲當局也在《2020 澳洲網路安全策略》10項投資項目中，設立了加強關鍵基礎設施防護以及加強政府機關網路跟資料防護兩條項目。2022年，澳洲政府進一步追加行政規則，定義執法細節，並更加強硬的要求基礎設施通報。</p> <p>《2018 間諜與外國干預法》（Espionage and Foreign Interference Bill 2018）和《外國勢力透明化法案》（Foreign Influence Transparency Scheme Act 2018），則是參考參考美國《外國代理人註冊法》，規定外國資助的活動項目必須登記並持續通報。張耀中以自身情況舉例，他從臺灣申請經費到澳洲研究時，就會有通報義務。他補充，此法規是報備制而非審核制，因此只要項目負責人依照義務通報，活動內容通常不會受到澳洲政府干預。</p> <p>張耀中指出，儘管普遍認知上，這兩條法律是用來預防極權國家滲透，不過澳洲執法時會針對所有國外資助的活動項目，且戰略上也沒有明確假想敵，因此此法並未引起太大爭議。「反觀臺灣的戰略情形特殊，制定類似法規時，需要考量得更周全。」</p> <p>另一項澳洲近年強調的概念是資安GEDSI（性別平等、殘疾及社會包容，Gender Equality, Disability and Social Inclusion）。張耀中解釋，隨著IoT科技開始成熟，智慧家庭跟智慧汽車等產品逐漸普及後，澳洲發現大部分設定或安裝這些設備的人以男性居多，因此更加重視性別在物聯網資安領域的角色。他舉例解釋資安GEDSI，像是汽車駕駛知不知道自己的路線能被家人監控？智慧家庭設備是誰控制的，我能不能調整設定？現在澳洲已經會鼓勵廠商將這些GEDSI相關的資訊在產品說明中揭露。</p> <p>不只國內大力推行GEDSI，澳洲還有意將此概念大力推廣到其他國家。澳洲外交部在資安和關鍵科技合作計畫CCTCP中就有強調GEDSI，作為協助ASEAN及PIF會員國建立資安基礎能力時的一個面向。</p> <p><strong>澳洲資安法規也有負面教材，竟提供政府「查水表」法源依據</strong></p> <p>澳洲資安法規雖然較早發展，但也有不值得效仿的做法。張耀中舉例，《協助及存取法案2018》（Assistance and Access Act 2018）是澳洲一條備受爭議的法案。此法大意是，安全或執法部門可以要求在澳洲營運的企業協助，解密並存取特定個人的通訊資料，而不被當事人所知。執法者更能直接將硬體沒收，存取裡面的資料。「簡單來說，企業所有軟硬體都要開後門給政府擷取資料。」張耀中直言。</p> <p>這個有政府濫權嫌疑的法律，不僅影響澳洲國內企業，更有可能影響在澳洲有營運據點的外國企業。張耀中舉例，在五眼聯盟加盟國（紐、澳、英、美、加）中，若其他4國政府調查犯罪時有需要調取特定企業資料，而這個企業在澳洲有據點，便能透過澳洲政府輕鬆取得解密後資料。</p> </div></div></div>
2022/11/22 17:10作者郭又華https://www.ithome.com.tw/news/154345
【資安日報】2022年11月22日，駭客組織Luna Moth發動電話網釣攻擊、加密貨幣交易所的雙因素驗證機制遭到繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，駭客在攻擊行動濫用合法服務的情況可說是相當值得留意，這種情況往往騙過使用者與許多資安系統，不只讓攻擊者得逞，也讓提供相關服務的業者蒙受商譽損失，除了使用者需要提高警覺，服務供應商若是能進一步偵測相關異常行為，才有機會減少這類濫用情事。</p> <p>首先是駭客組織Luna Moth的網釣攻擊，他們假借寄送訂閱服務發票的名義，誘使收信人撥打電話取消付款，然而一旦依照指示聯絡「客服」，對方就會企圖在電腦上安裝遠端連線軟體來進行控制。另一個運用「客服」的攻擊行動，則是針對加密貨幣投資者而來。駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin等交易所的用戶，發出釣魚信竊取相關帳密，並假借客服的名義，通過上述交易所的進階身分驗證或裝置驗證。</p> <p>Google商業圖像化分析工具Looker Studio也成為駭客濫用的對象！資安新聞網站Bleeping Computer發現有人藉此提升盜版網站在搜尋引擎的排名。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/luna-moth-callback-phishing/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth發動電話網釣攻擊，遠端協助工具Zoho Assist遭濫用而成為綁架受害者電腦的幫凶</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/luna-moth-59.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/luna-moth-59.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露駭客組織Luna Moth（亦稱Silent ransomware group）自今年3月以來的攻擊行動，該組織鎖定法律與零售等多個行業的企業而來，假借寄出訂閱服務的發票通知信，並聲稱該服務即將生效及扣款，收信人如有疑問可透過信中的電話聯繫客服。</p> <p>一旦收信人依照指示撥打電話，就有可能被對方說服在電腦部署遠端支援工具Zoho Assist，使得攻擊者能夠控制受害電腦，並植入另一款軟體Syncro以便能持續存取，然後使用Rclone與WinSCP傳送竊得的資料。研究人員指出，由於駭客避免使用不必要的攻擊工具，而能夠規避各式資安系統的偵測。</p> <h3><a href="https://pixmsecurity.com/blog/phish/coinbase-attacks-bypass-2fa/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣交易所Coinbase、MetaMask雙因素驗證被繞過，駭客透過TeamViewer、冒牌客服支援得逞</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/coinbase2d.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/coinbase2d.png" style="width: 300px; float: right;" /></a>資安業者Pixm揭露鎖定多個加密貨幣交易所用戶的網路釣魚攻擊，駭客針對Coinbase、MetaMask、Crypto.com，以及KuCoin的使用者下手，於微軟Azure Web Apps上架設釣魚網站，假借交易請求確認，或是偵測到異常登入活動的名義，引導使用者存取這些網站，一旦使用者照做，就會被要求填寫帳密資料，提供雙因素驗證碼或通關密語（Seed Words），而這些輸入的資料將會被駭客用於挾持加密貨幣錢包。</p> <p>而在此同時，駭客也宣稱使用者帳戶出現可疑活動被停用，需要聯絡網頁上的「客服」處理，駭客藉此確認受害者輸入的資料，並利用TeamViewer通過加密貨幣交易所的裝置驗證流程。研究人員指出，這些駭客過往主要針對Coinbase用戶而來，但現在範圍擴及多個加密貨幣交易所。</p> <h3><a href="https://decoded.avast.io/janrubin/vipersoftx-hiding-in-system-logs-and-spreading-venomsoftx/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體VenomSoftX假冒Google試算表瀏覽器擴充套件，竊取加密貨幣錢包</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VenomSoftX-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VenomSoftX-7.png" style="width: 300px; float: right;" /></a>防毒業者Avast揭露名為VenomSoftX的惡意程式，此軟體以Chrome瀏覽器擴充套件的型式散布，目的是竊取Windows電腦使用者的加密貨幣，以及使用者上網的記錄。研究人員發現，該擴充套件是經由惡意軟體ViperSoftX植入受害電腦的瀏覽器，而攻擊者藉由破解軟體名義（如Activator.exe或Patch.exe）來散布ViperSoftX。根據上述惡意程式的加密貨幣錢包，截至11月8日已為駭客竊得13萬美元。</p> <p>為了降低被害者警覺，攻擊者將VenomSoftX偽裝成Google Sheets 2.1，一旦成功部署，將會針對Binance、Coinbase、Gate.io、Kucoin、Blockchain.com等加密貨幣交易所的API請求進行監控，在請求發出前竄改交易內容，將加密貨幣轉給駭客。此外，VenomSoftX也會監控電腦的剪貼簿內容來加入錢包位置。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/google-search-results-poisoned-with-torrent-sites-via-data-studio/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google提供的Data Studio遭到濫用，影響搜尋引擎結果</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，有人利用Google商業圖像化分析工具Looker Studio，來竄改搜尋引擎的排名，發動搜尋引擎最佳化（SEO）中毒攻擊，目的是推廣非法網站。這些網站提供盜版內容、垃圾資訊，以及Torrent檔案。</p> <p>該新聞網站接獲讀者的通報進行調查，結果發現有部分Google搜尋結果，出現許多datastudio.google.com網域的連結，這些連結多半透過Bit.ly短網址服務轉址，最終將使用者導向垃圾網站，這些網站使用關鍵字填充（Keyword stuffing）手法，來提升網站在搜尋引擎的排名。研究人員已向Google通報，但尚未得到回應。</p> <h3><a href="https://thehackernews.com/2022/11/meta-reportedly-fires-dozens-of.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta開除挾持使用者臉書與IG帳號的員工</span></strong></a></h3> <p>根據華爾街日報於11月17日的報導，IT業者Meta過去一年解僱及處份超過20名員工與承包商，理由是他們涉嫌入侵及接管臉書或Instagram用戶的帳號。這些被解偏的人士，包含了社群網站公司的保全，他們擁有能協助認識的人復原密碼的內部工具使用權限，此系統名為Online Operations（簡稱Oops），使得有人向用戶收取數千美元的費用，接洽社群網站員工來重設特定帳號的密碼。</p> <p>華爾街日報指出，有安全承包商協助外部人士以詐欺手段接管Instagram帳號；另一個承包商則是收取比特幣為酬勞，為駭客重設多個帳號，直到該公司內部調查發現後解僱。Meta向華爾街日報表示，買賣帳號或是提供復原帳號的付費服務，都違反了他們的服務條款。</p> <h3><a href="https://www.databreaches.net/airasia-victim-of-ransomware-attack-passenger-and-employee-data-acquired/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞洲航空遭到勒索軟體駭客Daixin攻擊，5百萬旅客與員工資料外洩</span></strong></a></h3> <p>根據資安新聞網站DataBreaches.net的報導，駭客組織Daixin約在11月11日至12日，攻擊廉價航空業者亞洲航空（AirAsia），並宣稱竊得5百萬旅客及員工的個資，在駭客公布的資料樣本裡，包含了旅客資料、預約編號，以及該公司員工的個人資料。而對於能夠成功入侵亞洲航空，駭客向DataBreaches.net透露，原因是該航空公司貧乏的資安防護，以及混亂的網路組織架構，而讓他們能夠得逞。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布微軟Exchange漏洞ProxyNotShell的概念性驗證攻擊程式</span></strong></a></h3> <p>越南資安業者GTSC於9月底發現微軟Exchange重大漏洞ProxyNotShell（CVE-2022-41082、CVE-2022-41040），當時已有攻擊行動，但微軟直到11月的例行修補（Patch Tuesday）才提供更新軟體。在此之前，尚未有公開的概念性驗證（PoC）攻擊程式。</p> <p>事隔一週，研究人員Janggggg於17日發布了<a href="https://github.com/testanull/ProxyNotShell-PoC">概念性驗證攻擊程式</a>，另一名研究員<a href="https://twitter.com/wdormann/status/1593311129874403335">Will Dormann進行驗證</a>，確認該PoC程式可在Exchange Server 2016、2019執行，稍加調整亦能攻擊Exchange Server 2013。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154301"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為讓組織能發現Cobalt Strike遭濫用的跡象，Google發布YARA規則</span></strong></a></h3> <p>滲透測試工具Cobalt Strike常被用於攻擊行動，但由於此工具原本的用途是用於攻防演練，究竟要如何辨別被濫用於攻擊還是內部使用？有IT業者提供相關工具。Google於上週發布YARA規則，目的是讓社群能精準標記和辨識Cobalt Strike遭濫用的元件，該公司收集自2012年以來所有Cobalt Strike的JAR檔案，可比對340個版本的元件，進而讓組織能確認是內部使用的合法版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/asoc/202211180172.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">涉收陸企資金對臺認知作戰，法務部調查局約談6人送辦</span></span></strong></a></p> <p><a href="https://www.hackread.com/leaky-server-mastodon-users-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">15萬Mastodon用戶資料遭到網頁抓取而洩露</span></span></strong></a></p> <p><a href="https://wojciechregula.blog/post/macos-sandbox-escape-via-terminal/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布macOS沙箱逃逸漏洞的概念性驗證程式</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/aurora-a-rising-stealer-flying-under-the-radar/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體Aurora攻擊行動升溫，至少有7組駭客採用</span></span></strong></a></p> <p><a href="https://www.scmagazine.com/analysis/data-security/white-house-sets-six-month-timeline-for-agencies-to-kick-off-post-quantum-encryption-migration-work"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府要求聯邦機構半年內導入後量子加密防護措施</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154324">【2022年11月21日】駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> </div></div></div>
2022/11/22 15:48作者周峻佑https://www.ithome.com.tw/news/154342
Google雲端內部開始部署可抵抗量子攻擊的加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端現在於原本ALTS（Application Layer Transport Security）協定，所使用的X25519加密演算法外，額外<a href="https://cloud.google.com/blog/products/identity-security/why-google-now-uses-post-quantum-cryptography-for-internal-comms">再以NTRU-HRSS演算法進行加密</a>，避免未來駭客使用量子運算技術，破解當前經加密的資料。</p> <p>當開發者存取URL為HTTPS開頭的網站，該連線受到安全公鑰加密協定保護，避免用戶資訊遭駭客竊取。目前廣泛部署的公鑰密碼演算法，足夠抵禦當前的駭客攻擊手法，但是由於量子運算技術的發展，普遍認為量子電腦將徹底破解這些演算法，因此密碼學界也開始發展能夠抵禦基於量子電腦攻擊的方法。</p> <p>雖然現在量子電腦仍不具備破解RSA等加密方法，之所以Google現在就開始規畫防禦措施，是因為攻擊者可能會先儲存加密資料，等到量子電腦足夠強大後再進行破解，又或是部分產品的生命周期，可能與未來量子電腦重疊，並且之後難以進行系統更新，因此需要提早準備。</p> <p>考量這兩個主要原因，Google雲端已經在內部的ALTS（Application Layer Transport Security）協定上啟用NTRU-HRSS演算法，來加強抵禦量子電腦攻擊的能力。</p> <p>Google提到，目前美國國家標準與技術研究院（NIST）仍未決定後量子密碼（Post-Quantum Cryptography，PQC）標準，也因為目前的後量子演算法仍屬於臨時性質，所以Google內部的ALTS便成為了良好的試驗對象，藉由控制所有端點抵禦先儲存後解密攻擊，同時，當未來NIST決定採用不同的標準，Google也可以相對簡單地進行切換。</p> <p>但是部署新密碼系統有其風險，因為仍未經實際測試，為了避免新密碼系統存在漏洞的風險，Google將NTRU-HRSS演算法作為額外的防護層，如此便能夠確保系統，仍受到原本經驗證加密方法的保護。</p> <p>之所以Google選擇部署NTRU-HRSS演算法，是因為在抵抗量子的演算法中，NIST更青睞基於格（Lattice）的演算法，最近NIST批准第一個後量子密碼金鑰封裝機制（KEM）Kyber，Kyber具有高效能的優點，但是目前仍有一些知識產權的爭議。</p> <p>另外一個格演算法便是NTRU-HRSS KEM演算法，Google提到，專家認為該演算法是在格解決方案中，更為保守的選擇。因此有鑒於效能和成熟度，Google選擇在ALTS協定，使用NTRU-HRSS KEM演算法。</p> <p>目前Google使用混合方法來部署加密機制，同時在ALTS中使用X25519和NTRU-HRSS，也就是說，攻擊者現在必須要突破兩層防禦，才能成功破解存取資料。</p> </div></div></div>
2022/11/22 16:27作者李建興https://www.ithome.com.tw/news/154344
從程式語言層級確保記憶體安全，不只美國NSA建議，今年Prossimo專案也在推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_mei_guo_nsajian_yi_kai_fa_zhe_duo_yong_bao_zhang_ji_yi_ti_an_quan_cheng_shi_yu_yan_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月10日，美國國家安全局（NSA）公開發表一份軟體開發指南，是針對軟體記憶體安全（Memory Safety）而來，建議開發者應多使用保障記憶體安全的程式語言，如C#、Rust、Go、Java、Ruby、Swift，以這些來取代C與C++，引起軟體開發界的討論。</p> <p>事實上，關於C、C++的資安爭論已持續多年，但隨著記憶體安全問題受到越來越大的重視，開發者輕忽指標、記憶體配置的狀況太過普遍，而願意花心力檢測、有足夠經驗處理這類問題的程式設計者太少，而使得軟體資安漏洞層出不窮。</p> <p>儘管為了降低這方面犯錯的機會，開發界持續宣導C/C++程式設計要重視記憶體管理，有些開發者的確能夠寫出足夠安全的C/C++程式碼，但對大多數程式設計師來說，卻可能並非易事，有些科技業者祭出記憶體安全機制來因應，但多年下來，犯錯比例仍是居高不下，這也使得另一條因應路線被持續探討，也就是多用具記憶體安全特性的程式語言，如此一來，即便是資安意識不足的開發人員，也因為開發環境的局限，而不用擔心記憶體管理的問題，減少犯錯的機會。而且，如今這類軟體開發安全措施的推動態勢，也從一些科技大廠而開始擴及國家政府機構。</p> <h3><strong>多數軟體漏洞可歸咎於記憶體安全性不足</strong></h3> <p>在今年5月，我們看到開源社群、科技大廠與美政府二度商討開源軟體安全對策，會後Linux基金會與開源安全基金會（OpenSSF）發布的開源軟體安全動員計畫白皮書中，替換不具記憶體安全（non-memory-safe）的程式語言，就是十大對策之一，並預計前兩年針對這方面投入經費550萬美元。</p> <p>到了11月，美國NSA也對此公開表態。針對軟體記憶體安全問題，他們建議各組織在可能情況下，對於程式語言的採用，應考慮做出戰略性的轉變，從不具記憶體保護的C/C++，轉而使用具記憶體安全的其他程式語言，例如C#、Go、Java、Ruby與Swift等。</p> <p>在這份公開文件中，NSA首先強調軟體記憶體安全的重要性，指出雖然開發人員經常進行嚴格測試，為軟體中的邏輯準備好應對意外情況，然而，各種可濫用的軟體漏洞，仍經常是基於記憶體問題而成。例如：記憶體緩衝區溢位，以及管理記憶體失當而導致的洩漏問題。</p> <p>最近幾年已有更多這方面的研究，例如，微軟在2019年曾公開提出自我檢討，他們表示，在2006年到2018年間的安全漏洞，有70%源自記憶體的安全問題，Google在2020年也針對自家發展的瀏覽器Chrome提出檢討，當中也存在同樣高比例的記憶體安全漏洞。由於存在規模如此龐大的軟體開發缺失，駭客可利用這些漏洞來執行遠端程式攻擊，作為大舉入侵組織網路的第一步。</p> <p>而在程式語言中，現今應用範圍最大且最常見的C與C++，方便之餘，多年來大家也經常詬病其安全性管制太少，而使得記憶體類型的漏洞總是無法徹底根絕。事實上，這兩種語言在記憶體管理上，提供了很大的自由度與彈性，相對地，用這些語言所開發的應用程式，其安全性將高度依賴開發者的處理方式，例如，是否對記憶體參照執行必要的檢查與驗證。因此，可能只要出現一個簡單的錯誤、疏忽，就會導致記憶體遭濫用的安全漏洞。</p> <p>固然我們可以透過軟體分析工具偵測出許多記憶體管理問題，透過作業系統環境本身內建的機制，也能帶來某些程度的保護，但NSA認為，若能藉由已內建記憶體保護的程式語言來撰寫程式，即可避免或減少絕大多數的記憶體管理問題。</p> <h3><strong>緩衝區溢位、管理不當，均是常見記憶體安全問題</strong></h3> <p>記憶體安全，也就是有關於程式如何管理記憶體的一大類問題。這當中有哪些常見問題？</p> <p>NSA指出，記憶體「緩衝區溢位」（buffer overflow）就是一例，也就是資料的存取意外超出緩衝區邊界（outside the bounds），另一個常見的安全問題則與記憶體分配有關。</p> <p>簡單來說，系統程式在執行時可以分配新的記憶體位置，然後在不需要記憶體時，將其取消分配，此舉稱為釋放記憶體，但如果開發者不小心這麼做，新的記憶體可能會在程式執行過程中被重複分配，因此，記憶體並非總是在不再需要時被釋放，進而出現記憶體洩漏（memory leak）的問題，最終甚至導致可用的記憶體資源被使用殆盡。</p> <p>此外，也有因邏輯錯誤而出現記憶體存取不安全的狀況。因為這樣的問題，程式可能試圖使用已經被釋放的記憶體，甚至重複釋放原本已被釋放的記憶體。例如，當程式語言允許使用尚未初始化的變數時，就會出現另一個問題，導致該變數使用之前在記憶體中該位置設置的值。</p> <p>另一個值得注意的問題，則是條件競爭（Race condition）。例如，當程式存取相同資料，此時若出現兩個操作順序，可能會因此影響程式的結果，而發生這個問題。NSA強調，所有這些記憶體問題都是相當常見的現象。</p> <p>而且，記憶體管理問題衍生安全漏洞只是其中一種類型的狀況，就算是不會遭到濫用的記憶體，也可能因為一些疏失而造成錯誤的程式結果，例如，降低執行效能或軟體本身無法執行。</p> <p>針對上述種種軟體記憶體安全的問題，NSA指出，採用能夠自動管理記憶體的程式語言，像是C#、Rust、Go、Java、Ruby、Swift等，可協助避免開發者陷入某些類型的記憶體問題，以預防無意採用錯誤的記憶體管理方式。</p> <p>但NSA也提醒，就算是使用這些內建記憶體保護的程式語言，也並非毫無風險，因為軟體有時仍需要執行不安全的記憶體管理功能，才能完成任務，而且，各種程式語言對記憶體的安全保護程度不一，因此不能單靠更換程式語言而確保軟體安全。</p> <p>另一方面，對於無法立即轉向採用內建記憶體安全的程式語言的開發者，NSA建議，應透過安全測試來強化應用程式的安全性，包括進行靜態（SAST）與動態（DAST）的安全測試，而且最好是執行多個SAST及DAST工具，以提高找出記憶體問題的機率，確保應用程式的安全。儘管這可能會增加大量的工作負擔，卻可以帶來更安全的程式碼。</p> <p>總之，NSA鼓勵組織儘可能採取多管齊下的方式，來強化記憶體管理的安全性。除了採用記憶體安全程式語言，還可同時輔以編譯器選項、工具分析及作業系統配置，以減少記憶體漏洞，提高駭客的攻擊門檻。</p> <h3><strong>今年出現Prossimo專案，開始推動安全程式語言的廣泛採用</strong></h3> <p>對於NSA的這項建議，根據IT新聞媒體The Register的<a href="https://www.theregister.com/2022/11/11/nsa_urges_orgs_to_use/">報導</a>，Acronis資安長Kevin Reed認為，NSA正在做正確的事情，但他懷疑這是否會有立竿見影的效果，因為多年來使用C/C++撰寫的程式碼數量龐大，即便明天就開始改用Rust與Go，也需要幾十年才能清理這個爛攤子。</p> <p>而且，真的能夠如此順利推動嗎？微軟Azure技術長Mark Russinovich在今年9月就曾針對這樣的議題，於社群媒體推特發表了看法。他指出，在安全性與可靠性考量下，現在該停用C/C++開發任何新專案，並建議改用Rust。但在此則貼文回應中，有相當多開發者持反對意見，畢竟C與C++仍是熱門程式語言。</p> <p>但無論如何，記憶體安全問題已不容忽視。對照MITRE公布的2022年25大常見CWE通用弱點列表名單，我們可以發現，記憶體越界寫入（Out of Bounds Writes），記憶體越界讀取（Out of Bounds Reads），以及使用已釋放的記憶體（Use after Free），都在前七名內，尤其是記憶體越界寫入，持續居於第一嚴重的地位，而這樣居高不下的排名，也呼應多數軟體漏洞可直接歸因於缺乏記憶體安全性的推論。</p> <p>而在今年5月Linux基金會與OpenSSF發布的「開源軟體安全動員計畫」白皮書中，其實已經針對此問題提出對策，此計畫的主要目標，是減少記憶體安全性漏洞的數量。</p> <p>首先，他們希望，在網際網路上最關鍵的軟體，能夠遠離C/C++等不安全的程式語言，並強調會優先升級對安全最敏感的元件，其次，系統級程式碼的工具需要受到更大的關注，因為這些是生態系統中最普遍與最脆弱的軟體，也最有可能是以不安全的系統程式語言所寫成，而產生了資安漏洞。</p> <p>同時，這項戰略的執行，將透過非營利組織網際網路安全小組（ISRG）的Prossimo專案來推動。目前這項計畫鎖定那些面向？例如，針對用C語言撰寫的Linux Kernel，如今已有Rust for Linux專案啟動；針對用C語言撰寫的OpenSSL，在替代方案上，也有一套名為Rustls的開放軟體專案正在發展。其餘面向還包括：網路時間協定NTP、Apache httpd的mod_tls模組、Trust-DNS、網路傳輸程式curl，Prossimo專案將針對相關工具進行投資，目的是讓建構更安全軟體變得簡單。</p> <p>而在這些消息中，我們可以發現支持採用Rust的聲浪最大，而且，許多大型企業與開源專案也都嘗試用Rust來撰寫，像是Google的Android與Chrome、Amazon的虛擬化技術Firecracker等。</p> <p>無論如何，因應軟體開發造成的記憶體安全性問題，已不只是口頭呼籲，而是有所行動，再加入美國NSA難得表態力挺使用安全程式語言，使得這項一再受到討論與思考的問題，出現了更多大幅改善的機會。文⊙羅正漢、陳曉莉</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong>根據Wikipedia上對於<span class="mw-page-title-main">Stack buffer overflow</span>的說明，當中也特別以圖像化方式表達緩衝區溢位的攻擊利用方式。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%E5%85%AC%E5%B8%83%E7%9A%842022%E5%B9%B425%E5%A4%A7%E5%B8%B8%E8%A6%8BCWE%E9%80%9A%E7%94%A8%E5%BC%B1%E9%BB%9E%E5%88%97%E8%A1%A8%E5%90%8D%E5%96%AE.jpg" style="width: 600px;" /></strong></p> <p><b>根據</b><strong>MITRE在今年8月3日<a href="http://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html">公布的2022年25大常見CWE通用弱點列表名單</a>（2022 CWE Top 25 Most Dangerous Software Weaknesses），我們可以看出在漏洞根因中，記憶體越界寫入（Out of Bounds Writes）居於第一，且指標分數高達64.20，記憶體越界讀取（Out of Bounds Reads）居第五，使用已釋放的記憶體（Use after Free）居第七。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80_201902-07%E5%BE%AE%E8%BB%9FBlueHat%20IL.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2019年2月7日</span> 微軟MSRC研究人員Matt Miller在<a href="https://github.com/Microsoft/MSRC-Security-Research/blob/master/presentations/2019_02_BlueHatIL/2019_01%20-%20BlueHatIL%20-%20Trends%2C%20challenge%2C%20and%20shifts%20in%20software%20vulnerability%20mitigation.pdf">BlueHat IL</a>資安會議的演講中表示，從2006年到2018年間，每一年發布的漏洞修補更新，有70%是與記憶體安全問題有關。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2020-05-16_Google.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2020年5月16日</span> Chromium專案研究人員<a href="https://www.ithome.com.tw/news/137826">指出</a>，此項軟體有超過70％的嚴重安全漏洞來自記憶體安全漏洞，也就是因C/C++指標操作錯誤所造成，其中一半的錯誤是釋放後使用（Use-After-Free）的問題。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_2022-05-13_Replacement%20Non-Memory-safe.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年5月13日</span> 為了解決開源軟體安全問題，開源社群、科技大廠與美政府二度商討對策，會後發布「開源軟體安全動員計畫」白皮書，<a href="https://www.ithome.com.tw/news/151045">針對10大關鍵挑戰提出投資戰略</a>，當中1項就是聚焦於替換不具記憶體安全的程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_%E5%BE%AE%E8%BB%9FMark%20Russinovich.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年9月20日</span> 微軟Azure技術長Mark Russinovich在推特發文<a href="https://www.ithome.com.tw/news/153156">表示</a>，在安全性與可靠性考量下，現在應停用C/C++開發新專案，建議改用Rust。但許多開發者表示反對，因為C與C++畢竟是熱門程式語言。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Tor.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年10月4日</span> 以洋蔥路由聞名的開源軟體專案Tor，釋出以Rust重新實作的版本時<a href="https://www.ithome.com.tw/news/152886">表示</a>，在2001年用C語言是合理選擇，但他們發現安全使用C語言需付出許多心力，程式碼分析與安全性改進也變得越來越困難。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%963%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;">2022年11月10日</span> 美國NSA公開<a href="https://www.ithome.com.tw/news/154180">發表防範軟體記憶體安全問題的軟體開發指南</a>，建議開發人員使用保障記憶體安全的程式語言，例如：C#、Rust、Go、Java、Ruby或Swift，以取代C與C++。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%BE%8E%E5%9C%8BNSA%E5%BB%BA%E8%AD%B0%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%9A%E7%94%A8%E4%BF%9D%E9%9A%9C%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E5%BE%9E%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E5%B1%A4%E7%B4%9A%E7%A2%BA%E4%BF%9D%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8_Prossimo.jpg" style="width: 600px;" /></p> <p><strong>因應記憶體安全（Memory Safety）問題，不再只是呼籲口號，根據「開源軟體安全動員計畫」白皮書指出，已有非營利組織網際網路安全小組（ISRG）的Prossimo專案負責推動相關工作，當中建議使用Rust、Go、C#、java、Swift、Python與JavaScript等語言，來取代使用不具記憶體安全的C、C++與assembly。該專案網站：<a href="https://www.memorysafety.org/">https://www.memorysafety.org/</a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/memory-safety">Memory Safety</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%98%E6%86%B6%E9%AB%94%E5%AE%89%E5%85%A8">軟體記憶體安全</a></div><div class="field-item even"><a href="/tags/c-1">C</a></div><div class="field-item odd"><a href="/tags/c">C++</a></div><div class="field-item even"><a href="/tags/rust">Rust</a></div><div class="field-item odd"><a href="/tags/non-memory-safe">non-memory-safe</a></div><div class="field-item even"><a href="/tags/%E7%B7%A9%E8%A1%9D%E5%8D%80%E6%BA%A2%E4%BD%8D">緩衝區溢位</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B4%A9%E6%BC%8F">記憶體洩漏</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E5%AF%AB%E5%85%A5">記憶體越界寫入</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E8%B6%8A%E7%95%8C%E8%AE%80%E5%8F%96">記憶體越界讀取</a></div><div class="field-item even"><a href="/tags/use-after-free">Use After Free</a></div><div class="field-item odd"><a href="/tags/prossimo">Prossimo</a></div><div class="field-item even"><a href="/tags/nsa">NSA</a></div></div></div>
2022/11/22 12:04作者羅正漢https://www.ithome.com.tw/tech/154339
歐盟將推動新的自家低軌衛星網路IRIS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_6952" target="_blank">歐洲議會（European Parliament）與歐盟成員國上周達成共識</a>，將在2023年至2027年間以24億歐元的經費，建造歐盟安全連結計畫（Union Secure Connectivity Programme），部署具備彈性、互連性與安全性的衛星基礎設施（Infrastructure for Resilience, Interconnectivity and Security by Satellite，IRIS），讓歐洲擁有一個自家的通訊衛星星座。</p> <p>歐盟現已贊助了兩個衛星系統，一個是用於全球導航的Galileo，另一個則是觀察地球之用的Copernicus，至於新的IRIS則是為了確保全球可存取安全及具經濟效益的衛星通訊服務，以及讓全歐的組織與民眾都能存取可靠的衛星服務。</p> <p>歐盟執委會（European Commission，EC）表示，當地的經濟與安全愈來愈仰賴可靠的連結，發展一個主權、自主及安全的連結基礎設施是歐洲最重要的事，確保能夠不受限制地存取網路，藉由避免對第三國家的依賴來強化歐盟價值鏈的彈性，並將整合歐洲的量子通訊技術進行安全加密。</p> <p>IRIS未來將支援政府、軍事與民間商業服務的使用，預期可提升歐洲產業的競爭力，特別是衛星通訊領域。</p> <p>在歐洲議會、歐盟高峰會（European Council）與EC就該計畫達成政治協議之後，必須再得到歐洲議員及歐盟高峰會的正式批准，接著由EC負責執行，包括制定實施細節與招標規範。</p> </div></div></div>
2022/11/22 13:44作者陳曉莉https://www.ithome.com.tw/news/154340
美國控告兩名經營Z-Library的俄羅斯人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/154057" target="_blank">美國在11月初扣押了號稱全球最大電子圖書館Z-Library所使用的多個網址</a>，當時Z-Library的狀態撲朔，不過，<a href="https://www.justice.gov/usao-edny/pr/two-russian-nationals-charged-running-massive-e-book-piracy-website" target="_blank">美國司法部在上周指出</a>，兩名經營Z-Library的俄羅斯人Anton Napolsky與Valeriia Ermakova已應美國的請求，在11月3日於阿根廷被逮捕，並遭到美國指控侵犯版權、電信詐欺與洗錢。</p> <p>美國紐約東區聯邦檢察官Breon Peace表示，Napolsky與Ermakova經常在書籍剛出版的幾個小時後，就將它們上傳到Z-Library，讓作者、出版社與書店受害，還藉由這些偷來的作品非法營利。</p> <p>成立於2009年的Z-Library提供包括英文、法文、簡體中文及繁體中文在內的逾20種文字的學術論文、教科書及大眾圖書供使用者免費下載，在今年10月初時，該平臺總計供應了逾1,100萬本電子書及超過8,000萬篇文章。</p> <p>根據調查，Z-Library提供不同格式的電子書檔案，除去它們的版權保護，並鼓勵使用者上傳與下載內容，當中有不少電子書受到版權的保護，或是理應為獨家出版，卻在Z-Library上對全球大開免費之門。此外，除了首頁之外，Z-Library還經營了249個相關的網域，不過，它們已全被美國政府封鎖並扣押。</p> <p>這起行動整合了許多單位的合作，包括美國司法部旗下的國際事務辦公室、電腦犯罪與智慧財產權處、FBI駐外法律專員、包括阿根廷在內的多個國家的執法機關，美國司法部還特別感謝美國作家協會（Authors Guild）與英國出版商協會（The Publishers Association）等受害者在調查上所提供的關鍵協助。</p> </div></div></div>
2022/11/22 13:51作者陳曉莉https://www.ithome.com.tw/news/154341
傳IBM Cloud將不再使用Watson IoT平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.theregister.com/2022/11/15/ibm_set_to_retire_watson/" target="_blank">The Register</a>》報導，IBM可能在其公有雲IBM Cloud將不再使用自家的Watson IoT平臺。</p> <p>《The Register》取得IBM 近日對客戶發出的一份信件指出，藍色巨人計畫IBM Cloud將終止使用Watson IoT Platform服務，預計從2023年12月1日生效，但並無直接取代的服務。在這個日期之後，平臺API將不再接受存取。</p> <p>IBM提醒客戶，屆時客戶的裝置也將無法再連接MQTT和HTTP端點，而現有連線也會被關閉。所有使用這服務的客戶都應及早規畫在此之前搬到其他服務。</p> <p>不過IBM官方並不願多做說明。</p> <p>IBM是在大約10年前推出Watson IoT平臺，它的角色是管理IoT裝置、監控使用、蒐集和處理裝置產生的資料。這類服務主要是部署在工廠，強調可蒐集工廠IoT裝置營運資料，以分析流程及作業效率。</p> <p>IBM近年漸漸淡化Watson的重要性。藍色巨人前任執行長原本獨立Watson部門，希望貢獻AI營收，不過新執行長Arvind Krishna上任後就轉向混合雲路線，並清算Watson業務。<a href="https://www.ithome.com.tw/news/149027" target="_blank">今年初IBM將AI醫療部門Watson Health出售私募基金業者</a>。</p> <p>不過IBM還是持續發展IoT方案，IBM藉由支援開源碼專案Open Horizon，以支援同時管理1萬多件邊緣運算裝置，這項專案也整合到IBM Edge Application Manager中。</p> </div></div></div>
2022/11/22 10:39作者林妍溱https://www.ithome.com.tw/news/154334
獲利策略失效，Amazon Alexa可能虧損超過100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周Amazon證實<a href="https://www.ithome.com.tw/news/154241" target="_blank">將裁員1萬</a>。《<a href="https://www.businessinsider.com/amazon-alexa-job-layoffs-rise-and-fall-2022-11" target="_blank">Business Insider</a>》報導，其中AI語音助理Alexa是受創最深的部門，因為這部門今年可能會讓公司虧損超過100億美元。</p> <p>報導指稱已採訪過10多名Alexa部門現任及前任員工，員工指出，這個部門因為多年來獲利計畫皆失敗，已經失去執行長的關愛眼神，而成為搖搖欲墜的部門。</p> <p>Amazon AI語音助理和Amazon Prime影音業務同屬於Amazon的全球數位（Worldwide Digital）部門。報導指出，這個部門光是今年第一季就虧損了30億美元，其中大部份來自Alexa。Alexa的虧損是其他部門的2倍，而單單硬體部門，今年全年可能就將虧掉100億美元。</p> <p>Amazon以該公司收購的Ivona語音合成軟體改造成Alexa，於2013年發表。它被用於智慧喇叭Echo系列，可讓用戶以語音指令查詢資訊、天氣、播放音樂或讀報，之後還成為智慧家庭控制中樞，能控制家中空調、照明或車庫門等設備。</p> <p>雖然Alexa帶動了AI語音助理風潮，且是Google Assistant及微軟Cortana追趕對象，但Amazon未曾透過Alexa獲利。Amazon原本寄望以Alexa帶進獲利，而非靠硬體賺錢，因此Echo幾乎是以成本價銷售，Alexa部門希望從消費者和Alexa的互動中找到獲利機會。</p> <p>Alexa 2019年人事凍結時，部門提出種種獲利計畫。例如Amazon曾經試圖從消費者以Alexa在其電商網站購物分潤，不過消費者並不信任沒見到產品或評價就下單的語音購物。該部門也曾和知名品牌如Uber或達美樂合作，希望經由消費者叫車或訂披薩時分潤，無奈消費者用量也不高。報導指出，消費者和Alexa之間的互動多數是播放音樂、查天氣這類瑣碎而無法產生利潤的行動，這讓Alexa團隊後來再也不提供有效使用預測，因為幾乎沒有。一名員工指Alexa是「想像力的重大失敗」、「浪費掉的大好機會」。</p> <p>Alexa曾是前執行長Jeff Bezos的重點項目，但是長年沒有獲利還不斷虧損，報導指出，Bezos 2020年就心灰意懶，而後Andy Jassy接任執行長後更無意保留。</p> <p><a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations" target="_blank">Jassy上周在員工公開信中</a>仍然表示將持續發展Alexa。不過一名員工表示，Amazon基本上未對Alexa及硬體業務提供明確方向，不但導致了設計有點莫名其妙的Astro機器人，在硬體未獲利情況下，未來暢銷機種恐怕也難無以為繼。</p> <p>Alexa部門裁員幅度並不清楚。</p> <p><a href="https://arstechnica.com/gadgets/2022/11/amazon-alexa-is-a-colossal-failure-on-pace-to-lose-10-billion-this-year/" target="_blank">Ars Technica報導</a>，Alexa部門裁員也反映AI語音助理的獲利能力問題。例如Google Assistant也在最近一波裁員中受到影響。</p> </div></div></div>
2022/11/22 11:00作者林妍溱https://www.ithome.com.tw/news/154335
Meta開發MultiRay平臺最佳化大型AI模型訓練、使用成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta透過開發<a href="https://ai.facebook.com/blog/multiray-large-scale-AI-models/">MultiRay</a>平臺來最佳化人工智慧模型運作，降低整體的模型運算成本。這個平臺的想法，是要集中化大型模型的使用，以共同分擔大部分的處理成本，除了能夠有效降低成本之外，可以獲得的模型服務，也比公司內各團隊自己發展的模型更大更好。</p> <p>現在人工智慧可以處理文字、圖像和各種形式的內容，但要產生高品質的結果，那就需要以非常多的資料訓練大型模型，但Meta表示，這個過程代價高昂，當有許多問題要解決，就需要產生非常多的大型模型，如此成本便會迅速失控。也就是說，事實上在生產環境中使用的模型，通常更小且更簡單。</p> <p>而MultiRay平臺便要透過重複使用，模型運算成本最昂貴的嵌入（Embedding），來最佳化人工智慧模型的訓練和託管成本。將整個企業的運算整合到單個模型中，更簡單地使用人工智慧加速器，並且以公司層級來權衡運算和儲存能力。MultiRay的通用模型經過訓練，可以廣泛應用在各種任務中，研究人員提到，這種通用模型比之前針對每個任務建立的小型模型表現更好。</p> <p>藉由使用MultiRay，使得所有Meta的團隊，都可以更快改進和迭代應用程式的機器學習模型，從貼文主題標記到仇恨言論偵測，比起每個團隊從頭開始建構的大型端到端模型，MultiRay能夠以更高的效率和更少的人力完成任務。</p> <p>MultiRay的第一個投入生產的模型是TextRay，支援文字理解應用，偵測虛假內容並改善用戶的搜尋體驗。但只有理解文字是不夠的，因為貼文可能包含文字、圖像和影片，要理解一篇文章，系統需要分析每個元素，並且綜合元素進行整合性分析。</p> <p>因此MultiRay的第二個模型PostRay，是將文字和圖像理解整合到同一個模型中，其應用的範圍很廣，包括臉書和Instagram上包含文字和圖像的資料，這包含用於Reels的主題分類。由於PostRay模型結合多個領域的研究，因此訓練、部署和維護也更複雜，透過MultiRay能夠將所有服務整合使用同一個通用模型，不只減省成本也能夠使應用更快投入生產。</p> </div></div></div>
2022/11/22 09:10作者李建興https://www.ithome.com.tw/news/154325
前端框架Angular 15加入Standalone API，簡化框架使用並加速編譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google領導開發的前端框架Angular，釋出最新的主要更新版本<a href="https://blog.angular.io/angular-v15-is-now-available-df7be7f2f4c8">Angular 15</a>，這個版本有許多效能和開發人員體驗更新，但最引人關注的重點，莫過於Standalone API已經進入開發者預覽階段。</p> <p>Standalone API是一種讓Angular不需要NgModules，就可以建構應用程式的方法，也就是說，Angular應用程式現在能夠使用單一元件啟動應用程式。NgModules是Angular管理相依關係的方法，目前是Angular的核心概念之一，而這個模組提高了新進開發人員的進入門檻，因為就連創建最簡單的「Hello, World」應用程式，都需要先了解使用NgModules的方法</p> <p>更重要的是，NgModule被當作推理（Reasoning）和重用的單位，像是延遲載入便需要以NgModule為中心進行考量，而NgModule在Angular的核心地位，使得開發者很難單獨地對元件、指令和管道進行推理。Standalone API則能夠簡化Angular的心智模型，擺脫以NgModule為中心的重用模型。好處是讓Angular使用起來簡單，程式碼撰寫不冗長，而且編譯速度更快。</p> <p>Angular 15所提供的Standalone API，已可在包括HttpClient、Angular Elements和路由器等Angular各部分良好運作。</p> </div></div></div>
2022/11/22 09:13作者李建興https://www.ithome.com.tw/news/154326
【資安日報】2022年11月21日，駭客假冒Instagram發動網釣攻擊、歐姆龍PLC設備漏洞被用於散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是假冒Instagram名義的網釣攻擊！有資安業者揭露針對國家級教育機構而來的攻擊行動，但值得注意的是，駭客不只配置了幾可亂真的內容，還通過了郵件安全閘道、郵件伺服器安全管制規則的檢查，而能成功送到該組織員工的電子郵件信箱。</p> <p>針對工控系統漏洞而來的攻擊行動也相當值得留意。美國CISA針對歐姆龍PLC設備發出資安通告，指出該公司於7月、10月修補的重大漏洞已被用於攻擊行動。</p> <p>Samba近期修補了CVE-2022-42898，這項漏洞影響32位元作業系統，攻擊者有機會藉由偽造的PAC憑證觸發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.armorblox.com/blog/instagram-credential-phishing-email-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">教育機構遭到駭客鎖定，以Instagram異常登入的名義發動網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-3_instagram-attack-landing-page-2.png" style="width: 300px; float: right;" /></a>資安業者Armorblox揭露假冒Instagram的釣魚郵件攻擊行動，針對教育領域的大型國家機構發動攻擊，目標是在裡面任職的人員。駭客針對2.2萬個電子郵件信箱寄送網釣郵件，佯稱有來路不明的登入行為，要收信人儘速處理。一旦收信人依照指示點選信中連結，就有可能被導向冒牌的變更密碼網站，而使得帳密資料落入駭客手中。</p> <p>研究人員指出，這起攻擊行動的信件內容與Instagram寄出的信件極為相似，釣魚網站甚至在地圖上顯示異常登入的地點，再加上寄件者的電子郵件信箱是<a href="mailto:[email protected]">[email protected]</a>，而使得用戶難以分辨真假。此外，釣魚郵件本身亦通過DKIM、DMARC、SPF等郵件檢查，而能繞過Exchange的安全機制與郵件安全閘道的偵測。</p> <h3><a href="https://www.securityweek.com/omron-plc-vulnerability-exploited-sophisticated-ics-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐姆龍PLC設備重大漏洞被用於散布工控系統惡意軟體</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於11月10日發布兩則資安通告，當中提到駭客鎖定歐姆龍（Omron）的NJ、NX系列可程式化邏輯控制器（PLC）系統產品線發動攻擊，針對<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-08">CVE-2022-34151（CVSS風險評分為9.4分）</a>、<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-314-07">CVE-2022-33971（CVSS風險評分為8.3分）</a>等漏洞下手，其中以前者為寫死（Hardcoded）帳密的重大漏洞，攻擊者能用於存取PLC設備。通報上述漏洞的資安業者Dragos表示，CVE-2022-34151實際上已被駭客納入<a href="https://www.ithome.com.tw/news/150428#sandworm-ics">攻擊框架Pipedream、Incontroller</a>，並用於攻擊ICS系統。</p> <h3><a href="https://techcrunch.com/2022/11/18/cdsl-malware-internal-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度證券保管服務商CDSL遭惡意軟體攻擊，內部系統也受到破壞</span></strong></a></h3> <p>根據新聞網站TechCrunch報導，印度證券託管機構Central Depository Services Limited（CDSL）於11月18日向當地股市交易所通報，該公司偵測到惡意軟體攻擊，部分電腦受到波及，為了防止災情擴大，他們隨即隔離受害電腦，並切斷與其他系統的連結。</p> <p>根據初步調查的結果，CDSL尚未發現機密檔案或是投資者資料遭到外洩。該新聞網站指出，在CDSL通報此事時，網站亦無法存取，但CDSL不願透露網站是否遭到這起攻擊事件影響。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/earth-preta-spear-phishing-governments-worldwide.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Earth Preta濫用Google Drive散布惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/earth-preta-Fig-3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織Earth Preta（亦稱Mustang Panda、TA416）的攻擊，本次行動自3月開始進行，目標是臺灣、日本、菲律賓、澳洲、緬甸，主要針對政府機關及法律機構而來（83.9%），但也傳出教育機構、商業公司受害。攻擊者以密件副本來寄送網釣郵件，並濫用雲端檔案共享服務Google Drive、Dropbox來散布壓縮檔（RAR、ZIP、JAR等），進而於受害電腦植入惡意程式ToneShell、ToneIns、PubLoad。</p> <h3><a href="https://blog.cyble.com/2022/11/18/axlocker-octocrypt-and-alice-leading-a-new-wave-of-ransomware-campaigns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體AXLocker結合加密受害電腦檔案及竊取Discord帳號能力</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-AXLocker-ransom-note-window.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露3種新的勒索軟體AXLocker、Octocrypt，以及Alice Ransomware，其中最值得留意的是AXLocker，該勒索軟體不僅具備加密檔案的能力，亦擁有竊密軟體的功能──可從受害電腦竊取Discord的使用者ID、系統詳細資訊、瀏覽器個人設定，透過Discord Webhook網址傳送至駭客的頻道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/samba-patches-vulnerability-can-lead-dos-remote-code-execution"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Samba修補可被用於阻斷服務、遠端執行任意碼的漏洞</span></strong></a></h3> <p>11月15日Samba發布安全性更新4.15.12、4.16.7、4.17.3，當中修補了CVE-2022-42898，此漏洞出現在使用者的代理服務元件S4U2proxy，影響32位元作業系統，通過身分驗證的攻擊者可藉由16位元區塊，來造成記憶體緩衝區溢位，成功利用可能導致阻斷服務（DoS），或是遠端執行任意程式碼（RCE），CVSS風險評分為6.4分，若現行Samba執行於64位元作業系統，則不受此漏洞影響。</p> <p>這項漏洞發生的原因，是在32位元作業系統上解析特權屬性憑證（PAC）的過程中，Samba的Kerberos程式庫會出現記憶體整數溢位的情況，而使得攻擊者能透過偽造的PAC發動攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/atlassian-fixes-critical-command-injection-bug-in-bitbucket-server/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補Bitbucket伺服器的重大命令注入漏洞</span></strong></a></h3> <p>Atlassian針對旗下的持續整合與持續開發（CI/CD）平臺Bitbucket、身分驗證解決方案Crowd發布資安通告，修補重大漏洞CVE-2022-43781、CVE-2022-43782。前者為Bitbucket伺服器的命令注入漏洞，攻擊者可在特定情況下，於目標系統執行程式碼，CVSS風險評分為9.8分，影響7.0版至7.21版、8.0版至8.4版Bitbucket，但由Atlassian代管的執行個體，或是執行PostgreSQL資料庫的執行個體不受影響；後者為Crowd伺服器的配置錯誤漏洞，攻擊者在註冊Crowd應用程式時能繞過密碼查核的流程，並呼叫具有特珠權限的API端點，影響3.0.0版以上的Crowd；但從低於3.0.0版升級的系統不受影響。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現勒索軟體Zeppelin漏洞，並用於製作解密金鑰</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-03-13-at-6_16_01-PM.png" style="width: 300px; float: right;" /></a>資安業者Unit 221B揭露2020年初挖掘勒索軟體Zeppelin漏洞的過程，研究人員根據另一家資安業者Cylance在2019年12月發布的調查報告進行分析，找到在加密過程隨機產生的RSA-512公鑰，並藉由雲端基礎設施供應商DigitalOcean贊助的伺服器主機，透過暴力破解得到能復原檔案的AES金鑰。Unit 221B自2020年2月開始，將其研究成果用於協助受害組織解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/">資安新聞網站Krebs On Security指出，該公司已幫助近20個組織恢復檔案</a>。Unit 221B指出，Zeppelin鎖定的目標往往缺乏資安事件回應能力，如：非營利組織、慈善機構，促使他們找出復原檔案的方法。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-actively-abused-proxynotshell-exchange-bug/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Exchange漏洞ProxyNetShell出現概念性驗證攻擊程式</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-attacks-use-windows-security-bypass-zero-day-to-drop-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過MoTW漏洞入侵受害電腦</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154274"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客在美國聯邦機構網路上植入挖礦程式</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154311"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">PyPI再傳惡意套件，數百人受害，駭客運用隱寫技術將程式碼埋藏在圖片</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154208"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android漏洞恐讓攻擊者繞過手機螢幕鎖定保護</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154295">【2022年11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154277">【2022年11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154223">【2022年11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/21 16:46作者周峻佑https://www.ithome.com.tw/news/154324
微軟發表可打造太空應用的Azure Orbital Space SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布<a href="https://azure.microsoft.com/zh-tw/blog/any-developer-can-be-a-space-developer-with-the-new-azure-orbital-space-sdk/">Azure Orbital Space SDK</a>預覽版，這是一個包括託管平臺和應用程式工具包的開發工具，目的是要讓開發人員能夠在衛星上，創建、部署和運作應用程式。</p> <p>過去10年所發展的物聯網技術，至今都未被應用於太空任務中，而Azure Orbital Space SDK可以藉由現代敏捷軟體部署、容器、先進程式語言以及雲端託管等技術，將物聯網技術帶上太空。微軟提到，藉由將Azure雲端擴展到太空，降低太空應用的開發時間、成本，並讓更多的開發者跨足太空開發生態系。</p> <p>Azure Orbital Space SDK安全託管平臺和套件，目標要在太空船上安全地部署和運作應用程式，這個主機平臺在太空船上運作，包含了一個容器化、可擴展，且具有資源和調度管理能力的運算基礎設施。該應用程式套件提供一組模板、範例和文件，太空開發人員可以簡單地啟動和執行常見工作負載模式，像是地球觀測圖像處理等模板應用程式，使開發人員在地球上，就能針對主機平臺執行個體測試應用程式。</p> <p>該套件可用於開發不同的應用，像是遠端感測以及通訊。在太空中觀測地球，可以對商業、經濟、人道主義、情報和軍事應用上，提供無法替代資訊。由於大多數遠端感測衛星的連接時窗和頻寬有限，沒辦法將資料傳回地球處理，而且隨著感測器傳真度提高，他們所產生的資料超過可用頻寬，因此要將訊息經過處理後傳回地面，才能大幅改善成本和速度，提升衛星應用的價值。</p> <p>Azure Orbital Space SDK讓開發人員可以在衛星上，編寫和託管更智慧的應用程式，也就是說，可以更有效地擷取資料和使用時間，甚至在邊緣自動重新配置應用程式。Azure Orbital Space SDK不需要開發者，每次都建構獨特的應用程式，像是處理影像的任務，該套件就提供了一個通用模版，讓開發者可以更簡單地將模型和應用程式，從一個衛星配置轉移到另一個衛星配置。</p> <p>衛星通訊也是被廣泛使用的太空功能之一，藉由Azure Orbital Space SDK在衛星上提供應用程式和智慧運算能力，可以降低衛星通訊管理成本和提高效率，該套件提供了一種具有網路通訊能力的運算結構，可託管電信工作負載，使電信商更簡單地將應用程式，從地面基地站移動到軌道衛星，進而實現更大的彈性和網路利用率。</p> </div></div></div>
2022/11/21 16:35作者李建興https://www.ithome.com.tw/news/154322
AI程式開發助理先驅Kite宣布收攤，並開源產品程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kite.com/blog/product/kite-is-saying-farewell/">Kite</a>早在2014年，就開始研發可以協助開發人員編寫程式碼的人工智慧，但是創辦人Adam Smith現在宣布，Kite將結束並且開源產品程式碼。原因是，即便Kite擁有每月高達50萬的活躍使用者，但是這些開發人員卻不願意付費使用，缺乏成功的獲利模式，Kite最終只好收攤。</p> <p>創始團隊懷抱著極大的願景創立Kite，但現在他們已經停止開發Kite，不再繼續支援Kite軟體，Adam Smith表示，Kite主要在兩方面失敗，技術未成熟且未能建立獲利模式，他認為，Kite在技術未成熟的時候，過早發展人工智慧輔助程式開發技術。</p> <p>Kite並沒有達到當初承諾提供開發人員10倍改進的目標設定，這是因為在程式碼上使用機器學習的技術仍不夠成熟，Adam Smith提到，就連是由GitHub和Open AI合作所開發的Copilot，雖然有很大的前景，但是仍有一大段路要走。</p> <p>最大的問題在於，即便是最先進的模型，也無法理解程式碼的結構，Kite在更先進的模型有一些進展，但要解決這個問題，還要投入更多的資源，Adam Smith估算要建構能夠可靠合成程式碼的生產工具，花費可能要超過1億美元。</p> <p>除了技術不夠成熟外，Kite也沒有成功的獲利模式能支撐公司營運，自2014年公司成立以來，Kite一直到2019年才發展出能夠被市場接受的產品，而這個產品也獲得不少的用戶，在他們幾乎未投入行銷資源的情況下，每月可達50萬活躍開發者。</p> <p>但是Kite的產品並未能產生收入，50萬開發成員不付費使用服務，Adam Smith認為，個人開發者不會付費使用工具，會付錢的是工程經理，但是工程經理只想對個別功能付費，像是提高開發人員程式開發速度18％的工具，不過即便如此，仍無法引起足夠的共鳴。</p> <p>Kite在經過多次模索和業務轉型，他們找到新方向，便是運用人工智慧技術和開發人員足跡，來執行程式碼搜尋，但Adam Smith提到，在7年緊張工作以及創業壓力下，團隊已經累了，因此選擇讓Kite業務告一個段落。</p> <p>Kite的大部分程式碼都已經在GitHub上開源，包括Python類別推理引擎、Python公共套件分析器、桌面軟體、編輯器整合、GitHub爬蟲和分析器等。</p> <p>同為人工智慧程式碼輔助開發系統的GitHub Copilot，目前則正面臨訴訟風波，GitHub和Open AI因為使用公開程式碼訓練機器學習模型，卻未列出歸屬、版權聲明和授權，美國律師事務所Joseph Saveri代表眾多的開發者，對業者發起違反授權法律訴訟。</p> </div></div></div>
2022/11/21 15:11作者李建興https://www.ithome.com.tw/news/154319
研究人員發現勒索軟體Zeppelin漏洞，協助受害者打造解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin" target="_blank">美國資安業者Unit 221B上周揭露了勒索軟體Zeppelin的多個安全漏洞</a>，但其實Unit 221B早在2020年便得知相關漏洞，而且已協助逾20家受害者打造解密金鑰，只是一直到近日才對外公布。</p> <p>Zeppelin現身於2019年，是以Delphi撰寫的俄羅斯勒索軟體，對受害者提出的平均贖金為5萬美元。Unit 221B表示，該公司之所以決定針對Zeppelin展開行動，是因為此一勒索軟體鎖定收容所、非營利機構與慈善機構等缺乏回應能力的組織進行攻擊，這觸發了該團隊的過動症狀。</p> <p>Unit 221B先參考了BlackBerry Cylance在2019年底、對一款Zeppelin變種所撰寫的分析報告，了解Zeppelin使用3種不同型態的加密金鑰來加密檔案，並於被感染的每臺機器上隨機產生臨時的RSA-512公鑰，用它來加密存取加密資料的AES金鑰。駭客會在完成資料加密之後，刪除系統上的RSA-512公鑰，但只要能夠復原該公鑰，就能破解它並取得AES金鑰。</p> <p>BlackBerry Cylance的分析報告協助Unit 221B找到了Zeppelin的安全漏洞，繼之獲得美國雲端基礎設施供應商DigitalOcean的贊助，利用20臺每臺具備40個CPU的伺服器叢集以進行RSA-512公鑰的因數分解，大概需要4~6小時來得到兩個主要的因數，再計算出私鑰。</p> <p>其實Unit 221B有關Zeppelin漏洞的研究報告在2020年2月就已出爐，但並未大張旗鼓地公開，而是秘密地協助Zeppelin受害者解鎖檔案。</p> <p><a href="https://krebsonsecurity.com/2022/11/researchers-quietly-cracked-zeppelin-ransomware-keys/" target="_blank">資安部落格《KrebsOnSecurity》專訪了一名Zeppelin受害者Peter</a>。Peter是位IT管理員，他的公司在2020年5月遭遇Zeppelin攻擊事件，當時他進這家公司才不到半年，而且不管是生產系統或備份系統都被駭客加密了，老板拖延了兩周之後，已經打算支付贖金，結果接到了FBI的電話，要求他們不要支付贖金，並推薦由Unit 221B協助解鎖。</p> <p>過去只要有資安業者公布了特定勒索軟體的解密金鑰，駭客就會得知自己的軟體含有安全漏洞並加以修補，這使得Unit 221B決定低調地提供協助，僅將漏洞報告提供給執法機構及少數的研究人員。</p> </div></div></div>
2022/11/21 14:00作者陳曉莉https://www.ithome.com.tw/news/154317
歐盟有意把資料中心放在太空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）已委由Thales Alenia Space主導一項可行性研究《歐洲淨零排放與資料主權的先進太空雲》（Advanced Space Cloud for European Net zero emission and Data sovereignty，ASCEND），調查能否將資料中心置放於太空軌道上，以緩解地球上日益嚴重的氣候變遷。</p> <p>此一研究為歐盟Horizon Europe科學研究計畫的一環。Horizon Europe為一經費多達955億歐元的7年專案，著眼於解決氣候變遷，協助實現聯合國的可持續目標，同時推動歐盟的競爭力與成長。至於Thales Alenia Space則是由來自法國Thales（67%）與義大利Leonardo（33%）共同組成的公司，它們皆為航太、國防與安全領域的設備設計與製造商。</p> <p><a href="https://www.thalesgroup.com/en/worldwide/space/press-release/ascend-thales-alenia-space-lead-european-feasibility-study-data" target="_blank">Thales Alenia Space指出</a>，數位化的需求讓全球與歐洲的資料中心數量快速成長，對能源與環境造成重大影響，該公司的野心是在太空軌道上設立資料中心，並由太陽能電場供電，與地球的唯一連結為高吞吐量的光通訊，不僅能協助歐洲實現2050年的碳中和目標，也將成為歐洲太空與數位生態系統前所未有的發展。</p> <p>ASCEND可行性研究的首要目標為評估這些太空基礎設施的發射與生產，能否大規模減少地面資料中心所產生的碳排放，次要目標則是證明是否能夠發展出所需的發射解決方案，並以歐洲正在研發的機器人輔助技術來確保這些資料中心的部署與可操作性。</p> <p>總之，該專案若能證明在太空部署的資料中心可減少對地球環境與能源的衝擊，歐洲未來即可針對相關解決方案進行重大投資，例如打造可重複使用的重型運載火箭。</p> <p>Thales Alenia Space已設立一個聯盟，用以諮詢所需的各種專業與技術，涵蓋環境業者、雲端運算業者、運載火箭業者及軌道系統業者。</p> </div></div></div>
2022/11/21 12:50作者陳曉莉https://www.ithome.com.tw/news/154316
【資安週報】2022年11月14日到11月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週加密貨幣交易所FTX宣告破產後傳出遭駭客攻擊的消息，超過5億美元加密貨幣被盜取，甚至傳出FTX社群管理員警告移除FTX App的消息，成為國際矚目焦點。</p> <p>在國內，本週傳出有上市公司遭駭客網路攻擊的消息，業者已經發布資安事件重大訊息，說明部份資訊系統受影響，儘管事故細節未有太多揭露，但我們認為可能是勒索軟體攻擊導致。</p> <p>在漏洞消息方面，最受關注的是，微軟在17日發布例外更新，緊急修補Windows關於Kerberos登入問題，以及F5發布產品安全公告修補旗下BIG-IP、BIG-IQ系統重大漏洞的消息。其他值得注意的包括，開發人員入口網站平臺Backstage的重大漏洞SandBreak的修補，網頁伺服器軟體OpenLiteSpeed修補重大漏洞的修補，以及Android手機可繞過解鎖畫面漏洞的修補。</p> <p>還有一些威脅趨勢值得留意，例如，賽門鐵克指出中國駭客組織持續鎖定亞洲多個國家政府與國防單位攻擊，並會攻擊憑證認證機構（CA），進而運用具合法簽章的惡意軟體來規避偵測；有資安業者指出，AWS提供公開的RDS快照功能，可能成為駭客組織覬覦的目標受關注，提醒企業注意；威脅情報業者Cyjax指出駭客組織Fangxiao發動大規模的網釣攻擊行動，主要鎖定中國以外市場攻擊，將使用者導向4.2萬個惡意與釣魚網站。另外，還有惡意軟體載入器BatLoader攻擊行動升溫，關於PCspooF漏洞的漏洞研究。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154187"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月14日】加密貨幣交易所FTX疑遭駭客攻擊、美國警告醫療照護機構遭到勒索軟體Venus鎖定</span></strong></a></h3> <p>加密貨幣交易所FTX宣告破產的效應如雪球般越滾越大，但雪上加霜的是，該交易所傳出可能因遭到駭客攻擊，導致5億美元的加密貨幣被轉走，此起事故發生的原因有待後續調查。</p> <p>於8月中旬出現的勒索軟體Venus，駭客專門透過遠端桌面連線（RDP）入侵受害電腦，如今該勒索軟體的攻擊行動已引起政府的關注。美國提出警告，此勒索軟體鎖定當地醫療機構而來，且已出現受害單位。</p> <p>又是連鎖零售業者遭到勒索軟體攻擊的事故！加拿大食品零售業者Sobeys傳出遭到勒索軟體Black Basta攻擊，波及部分服務，但因為POS機臺與支付系統採用專屬網路而倖免於難，使得多數門市仍能營業。</p> <h3><a href="https://www.ithome.com.tw/news/154205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月15日】中國駭客鎖定維吾爾人等少數民族發動攻擊、大規模網釣活動濫用逾400個品牌</span></strong></a></h3> <p>中國駭客鎖定該國少數民族進行監控的情況，已有數起攻擊行動傳出，但多數是針對iOS零時差漏洞而來。而最近有資安業者發現針對維吾爾族人的攻擊行動，駭客主要針對安卓手機植入惡意軟體。</p> <p>透過即時通訊軟體散布惡意網址的網釣攻擊行動時有所聞，最近有一起攻擊行動比較特別的地方，是針對中國以外的地區而來。</p> <p>手機的解鎖畫面竟出現可被繞過的漏洞！Google本月修補了CVE-2022-20465，這是在攻擊者能實際接觸手機的情況下，能繞過鎖定畫面存取手機的漏洞，該公司對研究人員發出7萬美元的高額獎勵。</p> <h3><a href="https://www.ithome.com.tw/news/154223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月16日】亞洲政府機關與憑證機構遭中國駭客Billbug鎖定、開發人員入口網站平臺Backstage出現重大漏洞</span></strong></a></h3> <p>中國駭客組織發動攻擊的情況屢見不鮮，資安業者揭露駭客組織Billbug的行動，當中值得留意的是，已經有憑證認證機構（CA）受害，而可能讓該機構的簽章工具用於簽署惡意軟體。</p> <p>多家企業與IT廠商採用的開發人員入口網站平臺Backstage出現了重大漏洞SandBreak，該漏洞源於此系統採用的VM2沙箱，而可能讓攻擊者存取開發團隊擁有的各式開發系統。</p> <p>推特被馬斯克（Elon Musk）買下後引發用戶出走潮，不少人選擇改用去中心化社群網站Mastodon，但有研究人員發現該社群網站出現可竊取使用者密碼的漏洞，使得Mastodon用戶可能曝險。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154277"><strong><span style="color: rgb(0, 0, 0);">【11月17日】公有雲業者AWS關聯式資料庫服務的快照暴露在外、惡意軟體載入器BatLoader攻擊行動升溫</span></strong></a></strong></p> <p>雲端關聯式資料庫服務提供的快照功能，有可能會洩露用戶存放的資料！有研究人員發現數百個AWS關聯式資料庫的快照曝露在外，而使得其內容有可能成為駭客濫用的目標。研究人員指出，有些快照甚至曝露了超過一個月。</p> <p>惡意軟體載入器被用於發動攻擊的情況屢見不鮮，最近有名為BatLoader惡意軟體載入器攻擊行動，值得留意的是，駭客也運用了寄生攻擊（LoL）手法，來避免資安系統的偵測。</p> <p>黑色星期五購物季即將到來，有資安業者針對Magento電子商務平臺的用戶提出警告，駭客鎖定今年2月被修補的漏洞發動攻擊，然而，有近4成以Magento 2架設的電子商務網站並未套用修補程式而曝險。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154295"><strong><span style="color: rgb(0, 0, 0);">【11月18日】勒索軟體ARCrypter攻擊範圍從拉丁美洲擴及全球、北美線上購物者遭到網釣駭客鎖定</span></strong></a></strong></strong></p> <p>智利政府與哥倫比亞研究所日前傳出遭到未知的勒索軟體攻擊，有資安研究人員表示，這兩起事故的攻擊者很可能相同，並表示雖然上述事件都發生在拉丁美洲，但駭客現在已開始攻擊其他國家的組織。</p> <p>隨著一年一度的大型購物季即將到來，除了有人鎖定電子商務平臺Magento的漏洞而來，也有針對購物者竊密的駭客組織。值得留意的是，這些駭客運用了相當特殊的URL混淆手法，而能逃過資安系統的攔截。</p> <p>F5針對旗下BIG-IP、BIG-IQ系統修補兩個重大漏洞CVE-2022-41622、CVE-2022-41800，這些漏洞一旦被成功利用，就有可能發動RCE攻擊。</p> </div></div></div>
2022/11/21 09:38作者羅正漢https://www.ithome.com.tw/news/154307
Alphabet的Waymo將測試真正無人的自駕車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下自駕車子公司Waymo將在加州提供真正無人的自駕計程車服務。<a href="https://www.cpuc.ca.gov/news-and-updates/all-news/cpuc-approves-new-driverless-autonomous-vehicle-service-under-pilot-program" target="_blank">加州公共設施委員會（California Public Utilities Commission，CPUC）宣布准許Waymo參加加州的測試計畫</a>，將對大眾提供真正無人的載送服務。</p> <p><a href="https://www.ithome.com.tw/news/113700" target="_blank">Waymo 2017年就提供</a>自駕車載送乘客的服務，但是駕駛座上都需要有個人以確保安全。CPUC指出，這次Waymo獲得許可是無人載送服務的里程碑，可將無人載送服務擴大提供給更多加州居民，並增加與大眾互動的機會。Waymo在測試中的任何載送服務都不能向乘客收費。</p> <p>CPUC表示，這計畫讓無人車業者一方面可測試其技術，另一方面測試無人車廠商是否能滿足安全、無障礙服務及環境效益的目標。Waymo是繼通用汽車旗下的Cruise後，第二家參加CPUC無人測試計畫的業者。</p> <p>在這項許可下，Waymo將可在舊金山全境和部份戴利市（Daly City）、洛斯阿圖斯（Los Altos）、洛斯阿圖斯山丘（Los Altos Hills）、山景市（Mountain View）、帕洛奧圖（Palo Alto）及桑尼維爾（Sunnyvale）市提供無人載送服務。Waymo的無人車可以在加州公路上以不超過時速104公里的速度提供服務，且不限白天或夜晚。</p> <p>參加測試的業者應每季提供當局要求的報告，以及說明其如何規劃確保乘客安全的乘客安全計畫。</p> <p>2018年Waymo已獲得加州車輛管理局（Department of Motor Vehicles，DMV）的真正無人車輛測試許可。無人車服務廠商要先具有DM許可的無人車輛，才能利用CPUC許可提供載客服務。</p> <p>Waymo另外還獲得CPUC二項測試計畫許可。二項都是車上有安全駕駛的服務，但一項是可測試收費，這只有在舊金山和部份戴利市。另一項則不可收費，範圍更廣，除了本次的服務地區，還包括洛杉磯市、聖塔莫尼卡（Santa Monica）及英格爾伍德（Inglewood）市。</p> </div></div></div>
2022/11/21 10:13作者林妍溱https://www.ithome.com.tw/news/154309
Meta AI科學用文字語言模型被批訛誤太多，上線三天後被撤下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不斷推進人工智慧（AI）模型的Meta上周公布一項以協助撰寫科學報告文獻的AI模型Galactica，但被研究人員批評可能撰寫出有偏見及謬誤文獻的倫理問題，<a href="https://www.technologyreview.com/2022/11/18/1063487/meta-large-language-model-ai-only-survived-three-days-gpt-3-science/" target="_blank">MIT Technology Review報導</a>，這模型上線三天後就被撤下。</p> <p>Meta是在上周公布Galactica，並邀請科學家測試，它是一個大型語言模型（large language model，LLM），旨在協助研究人員撰寫科學報告。Meta團隊宣稱它是以超過4,800萬份報告、課本、教學筆記、科學家網站及百科全書訓練而成。Galactica號稱研究人員只要在其網站輸入一些提示詞，背後的AI模型就能產出像是文獻回顧、Wiki文章、教學筆記、或是單純回答科學提問，能加速科技研究。</p> <p>但Galactica對科學家來說，存在LLM相同的問題，即這些LLM即使能產出看似有條理的文字，但其實並無法理解其中意義。因此科學家發現LLM模型可能產出具有偏見的文章，或是出現事實謬誤。</p> <p>而一些研究人員測試Galactica ，也發現有許多問題。<a href="https://twitter.com/Michael_J_Black/status/1593133722316189696" target="_blank">例如一名研究人員測試Galactica數次發現</a>，它的問題包括，雖然寫出看似合理的文章，也引述了確有其人的作者，但引述來源文獻是錯的，另一次則是引述了一篇根本不存在的文獻。</p> <p>研究人員認為Galactica是很有趣的計畫，但它在產出符合文法、具權威感文字的能力下，卻引進謬誤但難以察覺的科學知識，反而相當危險，可能危害真正的科學研究，也傷害被錯誤引述的學者。</p> <p>在眾多批評下，Meta已將Galactica暫時下線。<a href="https://twitter.com/ylecun/status/1593293058174500865" target="_blank">Meta AI的首席AI科學家Yan LeCun說</a>，外界已無法誤用它來取樂了。</p> <p><a href="https://www.galactica.org/" target="_blank">如果點入Galactica網頁</a>，現在只看到一段文字顯示感謝社群的回饋意見，這項展示已經暫停，該模型目前只提供給想進一步了解、且複製報告結果的研究人員。</p> <p>這也顯示AI雖然進步很快，但在價值判斷的能力上則像個人類小孩。<a href="https://www.ithome.com.tw/news/104851" target="_blank">微軟2016年測試的AI語音助理Tay</a>在上線1天就被網友「教壞」而發表種族歧視、性別偏見的言論，隔天就被微軟撤下，而後<a href="https://www.ithome.com.tw/news/110045" target="_blank">新一代的Zo則被設定不能談種族或政治議題</a>。</p> </div></div></div>
2022/11/21 10:25作者林妍溱https://www.ithome.com.tw/news/154310
PyPI再傳惡意套件，數百人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2022/check-point-cloudguard-spectral-exposes-new-obfuscation-techniques-for-malicious-packages-on-pypi/" target="_blank">安全廠商Check Point發現</a>惡意程式經由PyPI儲存庫感染Python開發人員，是近日發現的最新一波攻擊。研究人員發現已有數百人受害。</p> <p>Check Point於10月底偵測到一隻PyPI出現的惡意套件，該套件運用隱寫術（steganography），將惡意程式碼藏在圖片中，再上傳到GitHub上的開源專案，感染PyPI用戶。</p> <p>Checkpoint發現到的套件為Apicolor。研究人員分析，該套件包含三個部份，一是感染套件，負責以名稱誘騙使用者下載安裝。其次是載體程式碼，功能是將惡意程式碼導到受害系統中；在apicolor中，這部份程式碼是以代碼混淆手法藏在圖片中（即隱寫術），而圖片則是從看似無害的setup.py檔編寫的URL下載。之後載體程式碼再啟動第2階段程式下載。第3階段則是最後的惡意程式碼，Checkpoint研究人員分析，它安裝到開發人員電腦中最後會植入竊密木馬程式。</p> <p>這是繼本月初Phylum之後，發現的最新惡意PyPI惡意套件。<a href="https://www.ithome.com.tw/news/153998" target="_blank">Phylum研究人員發現</a>20多個出版的PyPI套件中，內含W4SP Stealer竊密程式。這波主要攻擊是首先發生於10月12日，並在10月22日爆發，但該公司今年7月就發現GitHub上有一小撮套件出現類似感染特徵。</p> <p><a href="https://medium.com/checkmarx-security/wasp-attack-on-python-polymorphic-malware-shipping-wasp-stealer-infecting-hundreds-of-victims-10e92439d192" target="_blank">另一家安全廠商Checkmarx歸納</a>Checkpoint及Phylum的研究，認為是同一攻擊者所為，並將攻擊者稱之為WASP。</p> <p>該公司分析惡意樣本顯示，WASP使用多型態手法，每次第2、3階段都會下載不同程式碼，目的在以不同程式碼監控個別受害機器的資料蒐集。此外，下載的Python程式碼還會以不同名稱儲存在暫存檔內，並修改機碼，以便每次用戶電腦重開機都會重新啟動，維持長期運作。最後釋出到開發人員系統的WASP竊密程式目標在蒐集Discord帳密、加密貨幣錢包、信用卡及其他檔案，最後回傳到攻擊者的Discord webhook位址。</p> <p>Checkmarx研究人員追蹤到，WASP的作者以20美元出售給其他有意犯罪者，宣稱幾乎無法偵測。他們還發現攻擊者的「名人堂」，顯示有數百起成功感染。</p> <p>此外，WASP作者和PyPI單位上演貓捉老鼠戲碼。例如經過CheckPoint通報後，PyPI將Apicolor這款套件移除，攻擊者就改名Apicolors、以及Colorapi、Colorsapi並以同一PyPI帳號重覆上傳。研究人員說，開源碼社群安全情報分享管道不暢通，是攻擊活動得以愈來愈猖獗的原因。</p> </div></div></div>
2022/11/21 10:34作者林妍溱https://www.ithome.com.tw/news/154311
破產監督人宣稱FTX的混亂內控前所未見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密貨幣交易平臺FTX在11月11日聲請破產保護，並由破產專家John Ray III接任FTX執行長，負責監督FTX集團的清算，然而，<a href="https://pacer-documents.s3.amazonaws.com/33/188450/042020648197.pdf" target="_blank">Ray在上周四（11/17）提交的法院文件中指出</a>，在他的職業生涯中，尚未見過企業控制如此失敗，且金融資訊如此不可靠的公司。另一方面，<a href="https://www.scb.gov.bs/wp-content/uploads/2022/11/Media-Release-SCB-Assumes-Control-of-Assets-of-FTX-Digital-Markets-Ltd.pdf" target="_blank">巴哈馬證券委員會（ Securities Commission of The Bahamas）出面證實</a>，是該組織在11日轉走並扣押了FTX的資產。</p> <p>現年64歲的Ray是名美國律師與破產專家，有超過40年的法律及重組經驗，曾監督過安隆（Enron）與北電網路（Nortel）破產案的執行。</p> <p>Ray於文件中表示，他所參與的破產或重組案件幾乎都具備內控、合規、人力資源或系統完整性上的缺陷，然而，在他的職業生涯中，從未見過內控如此失敗，財務資訊如此不可靠的公司。FTX集團不僅缺乏系統完整性，不當的監管，而且控制權集中在極少數缺乏經驗、天真又脆弱的個人手中，這樣的情況真是前所未見。</p> <p>具體而言，對於旗下的數位資產，FTX集團並未保留適當的帳本、紀錄或安全控制，還以不安全的電子郵件帳號作為存取機密私鑰與資料的使用者名稱，沒有每日核對區塊鏈上的款項，以軟體來隱瞞對客戶資金的濫用行為，以及大開方便之門予Alameda。</p> <p>另一個令人大開眼界的是，在FTX聲請破產保護之際，有人發現該平臺有價值數億美元的大批資產流出，原本外界猜測是駭客或內賊所為，結果巴哈馬證券委員會在17日發表了聲明，指稱該組織在當時獲得了最高法院的命令，將FTX的所有數位資產移轉到由該委員會控制的錢包中，進行妥善的保管。</p> <p>巴哈馬證券委員會表示，這是為了保護FTX客戶與債權人的利益，在必要時所採取的緊急臨時監管行動，未來也會與其它國家的監管機構合作，共同解決此一影響全球投資人的事件。</p> </div></div></div>
2022/11/21 09:15作者陳曉莉https://www.ithome.com.tw/news/154305
Google建立YARA規則集，供用戶偵測遭濫用的紅隊工具Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>常被紅隊用於測試網路防禦韌性的工具Cobalt Strike，在經過十幾年的更新與改進，現在已經發展成為一個成熟的點擊系統，而該工具近期被惡意攻擊者濫用，並將其用作在被害者網路中橫向移動的強大工具，成為第二階段攻擊有效負載的一部分。</p> <p>雖然Cobalt Strike供應商Fortra透過審查程序，試圖降低該軟體被濫用的可能性，但是因為Cobalt Strike不停地被洩露破解，導致未授權的Cobalt Strike與一般版本一樣強大。<a href="https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse">Google現在向社群發布一組開源的YARA規則</a>，使社群能夠精準標記和辨識Cobalt Strike遭濫用的元件。</p> <p>Cobalt Strike是多個軟體工具的集合，這些工具被整合到一個JAR檔案中，惡意攻擊者需要啟用團隊伺服器（Team Server）元件，該元件配置一個集中式伺服器，作為命令與控制端點，以及控制受感染裝置的協調中心。</p> <p>攻擊者透過啟用JAR來連結團隊伺服器，客戶端擁有視覺化介面，攻擊者可以從中控制團隊伺服器和受感染主機，團隊伺服器生成大量攻擊框架元件，攻擊者可以部署這些元件來感染和控制遠端端點。Cobalt Strike包含多個用於Javascript、VBA巨集和Powershell腳本的提交模板，這些模板可以部署小型植入程式，並透過各種網路協定呼叫團隊伺服器，並且下載最終感染元件Beacon。</p> <p>Beacon是核心二進位檔案，可讓攻擊者控制受感染的電腦，支援各種命令和操作，同時也能夠擴展下載和執行攻擊者開發的模組。</p> <p>Google收集2012年至最新的Cobalt Strike JAR檔案版本，針對各種野外Cobalt Strike元件集變體，建構YARA高精確度偵測規則，可偵測340個各版本元件的二進位檔案，官方提到，他們的目標是建立高傳真偵測，精確鎖定特定Cobalt Strike元件版本。</p> <p>Google偵測Cobalt Strike確切版本，來確定非惡意使用者的使用，官方提到，部分版本已經被惡意攻擊者大量濫用，透過精確偵測版本，來維持合法版本的正常使用。由於Cobalt Strike被濫用的版本，通常至少落後最新版一個版本，因此藉由製作專門的簽章來鎖定這些版本，這些簽章被整合成VirusTotal中集合。Google同時也將這些簽章開放給網路安全供應商，來提高整個產業的開源安全性。</p> </div></div></div>
2022/11/21 09:19作者李建興https://www.ithome.com.tw/news/154301
微軟擴展健康保健用AI技術，可辨識多語言非結構化病歷資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/expanding-ai-technology-for-unstructured-text-beyond-english/">微軟Azure認知服務中的健康保健用文字分析服務</a>，現在可以從7種語言的非結構化文字，擷取出有意義的分析，並且經過進一步處理，用於臨床決策支援上。微軟提到，全面支援多語言非結構化生物醫學資料分析，是自然語言服務中的創舉。</p> <p>除了英文，現在健康保健用文字分析功能還支援西班牙語、德語、法語、義大利語、葡萄牙語和希伯來語，這些語言支援，使得全球更多衛生組織，得以分析多語言非結構化臨床筆記。</p> <p>微軟提到，當前自然語言處理服務的挑戰之一，就是要跨出英文的限制，而困難之處是要找到多種語言資料，來訓練人工智慧模型，並針對特定國家進行微調，畢竟語法在不同語言之間是不同的，特別是非拉丁語言。</p> <p>不同國家所面對的健康保健挑戰不同，像是書面文字是口語、醫學術語和該國慣用速記方法的混合體，微軟的合作研究對象之一Leumit Health Services，其所提供的病歷，通常混合希伯來語和英語單詞，而巴西等地因為缺乏互通或是資料收集標準，導致出現許多非結構化資料。藉由微軟的AI技術，將可使這些病歷資料更為可用。</p> <p>健康保健用文字分析功能使用自然語言處理技術，來偵測和辨識文字中的醫學術語，並且進行分類後，與標準臨床編碼系統關聯，以推論資料中的語意關係和斷言，進而實現更深入的脈絡理解，微軟表示，透過整合非結構化資料和結構化資料，能夠揭露關鍵分析、辨識風險、自動填寫表格和配對臨床實驗者等，使更多潛在健康保健使用案例得以實現。</p> <p>過去多數健康保健相關技術都僅限英文，阻礙了非英語系國家的採用，新的自然語言處理技術可以彌補語言造成的健康平等差距。</p> </div></div></div>
2022/11/21 09:21作者李建興https://www.ithome.com.tw/news/154302
馬斯克透過網路投票恢復川普的Twitter帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月底才接手Twitter的馬斯克（Elon Musk），上周五（11/18）於Twitter上舉辦了一場網路投票，詢問是否該恢復美國前總統川普（Donald Trump）的Twitter帳號，結果在1,500萬的投票數中，<a href="https://twitter.com/elonmusk/status/1593767953706921985" target="_blank">有51.8%的使用者贊成</a>，確定投票結果之後，川普的Twitter帳號就被恢復了。</p> <p class="rtecenter"><a href="http://twitter.com/elonmusk/status/1593767953706921985" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1121-twitter-trump.png" style="width: 541px;" /></a></p> <p>在周末之前，<a href="https://web.archive.org/web/20221114024603/https://twitter.com/realDonaldTrump" target="_blank">造訪川普Twitter帳號@realDonaldTrump</a>只會看到該帳號因違反Twitter規定而被停用的訊息，並不會看到任何推文，不過現在該帳號已被復原，只是川普尚未發言，<a href="https://twitter.com/realDonaldTrump" target="_blank">上一次的推文</a>停留在2021年的1月8日，那是在美國國會暴動事件（2021/1/6）發生的兩天後，川普被指責煽動暴力而相繼遭到各社交平臺的封鎖。</p> <p>川普甫於上周二（11/15）宣布角逐2024年的美國總統大選，還誓言擊敗拜登。</p> <p><a href="https://www.wsj.com/articles/elon-musk-says-twitter-would-reinstate-donald-trumps-account-after-online-poll-11668906083?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（WSJ）分析，曾經宣告要設立內容委員會來處理帳號回復問題的馬斯克，最終還是自己發動了投票，彰顯了目前Twitter所有事情的主要決策者仍是他。</p> <p>馬斯克還在Twitter上表示，人們發聲了，川普的帳號恢復了，「人民之聲，上帝之聲」（Vox Populi, Vox Dei）。</p> <p>不過，川普迄今似乎不為所動，曾在網路投票當天表示，他有自己的社交平臺，沒有重新回到Twitter的理由。川普旗下媒體科技集團Trump Media & Technology Group於今年2月正式推出Truth Social社交平臺，提供行動程式及網路版，但目前僅支援美國、加拿大與巴西等市場。</p> </div></div></div>
2022/11/21 09:36作者陳曉莉https://www.ithome.com.tw/news/154306
Amazon將於明年關閉消費版加密傳訊程式Wickr Me
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wickr.com/our-focus-on-end-to-end-encrypted-enterprise-communications/" target="_blank">Amazon上周宣布</a>，將在明年12月31日關閉消費版加密傳訊程式Wickr Me，且自今年12月31日起就不再接受新用戶註冊。</p> <p>Amazon在2021年<a href="https://www.ithome.com.tw/news/145299" target="_blank">收購</a>的Wickr為一端對端加密的通訊平臺，支援各大平臺，提供傳訊、語音、視訊、檔案分享與協作能力，原本提供Wickr Me、Wickr Pro、Wickr RAM與Wickr Enterprise等不同的產品。Wickr最被傳頌的是它曾<a href="https://media.defense.gov/2020/Aug/14/2002477667/-1/-1/0CSI_%20SELECTING_AND_USING_COLLABORATION_SERVICES_SECURELY_FULL_20200814.PDF" target="_blank">被美國國安局（NSA）遴選為最安全及隱私的協作工具</a>，擊敗思科Webex、Google Workspace、Microsoft Teams、Signal與Slack等產品。</p> <p>納入麾下後，Amazon將其整併成Wickr Me、Wickr Enterprise與AWS Wickr，當中只有Wickr Me為免費的消費者版本，其它皆為付費版；現在即將退役的也只有Wickr Me，Wickr Enterprise與AWS Wickr都將持續存在。</p> <p>Amazon表示，該公司正努力讓AWS Wickr可符合用戶的安全通訊需求，這不僅是個端對端加密企業通訊服務，也支援資料保留義務，適用於企業與公部門客戶，此外，他們知道某些客戶會透過Wickr與組織外的個人通訊，未來也會啟用此一功能。</p> </div></div></div>
2022/11/21 09:55作者陳曉莉https://www.ithome.com.tw/news/154308
英特爾新FakeCatcher偵測技術，能以96%準確度即時辨識Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾推出可準確偵測Deepfake虛假影片的偵測器<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-introduces-real-time-deepfake-detector.html#gs.iiv85u">FakeCatcher</a>，準確度高達96％，官方提到，這是目前全球第一個，能夠以毫秒速度即時回傳結果的Deepfake偵測器。英特爾即時平臺所使用的偵測器FakeCatcher，由英特爾與紐約州立大學研究人員共同開發，並在英特爾的硬體和軟體上運作。</p> <p>Deepfake影片氾濫成為網路上一大威脅，這些影片使用名人的臉部，合成他們未說過或是做過的事情，過去偵測應用程式需要上傳影片進行分析，通常需要數小時才能得到結果。英特爾提到，Deepfake詐欺可能造成傷害並產生嚴重負面結果，而FakeCatcher可以在伺服器端，迅速偵測這些Deepfake影片。</p> <p>目前大多數深度學習偵測器，都是查看原始資料，試圖找影片中不合理的線索，辨識出影片不真實的部分，官方解釋，FakeCatcher判斷影片人像的血流，也就是說其特別之處在於，尋找影片中真實的部分，來證明影片非合成。當人類的心臟跳動泵血作用發生時，靜脈的顏色會發生改變，FakeCatcher收集臉部的血流訊號，並將這些訊號轉換成時空圖（Spatiotemporal Map），深度學習演算法可以立刻判斷影片真偽。</p> <p>FakeCatcher的潛在使用案例包括在社交平台部署該技術，避免用戶上傳有害的Deepfake影片，新聞機構也可以使用該偵測器，避免無意放大遭人刻意操縱的影片，非營利組織也可以部署該平臺，使更多人可以偵測Deepfake影片。</p> </div></div></div>
2022/11/21 09:04作者李建興https://www.ithome.com.tw/news/154292
Google強化搜尋與地圖的AR功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google日前強化旗下搜尋及地圖服務的擴增實境（Augmented Reality，AR）功能，<a href="https://blog.google/products/shopping/more-ways-to-shop-in-ar/" target="_blank">前者</a>提供新的AR購物功能，方便使用者於網路上購買粉底與球鞋，後者則<a href="https://blog.google/products/maps/new-maps-updates-to-help-you-make-the-most-of-the-holidays/" target="_blank">宣布</a>將在紐約、洛杉機、舊金山、倫敦、巴黎與東京提供基於AR的Live View徒步導航功能。</p> <p>AR通常是在不需要搭配頭戴式顯示器的狀態下，呈現整合現實與虛擬的畫面，Google在2020年就針對線上購物推出AR功能，提供虛擬化的化妝服務，以讓使用者於網路上試用產品。本周則改善了網路購買粉底的AR功能，提供148名代表不同膚色、年齡、性別、臉型、種族與皮膚類型的模特兒，測試特定品牌的粉底塗上臉龐的效果，以協助使用者作出購買決定。</p> <p>也能利用AR於網路上購買球鞋，讓使用者可縮放及旋轉球鞋，或是模擬將鞋子放在使用者空間中的樣子。</p> <p>在Google Maps上對AR的應用則是Live View徒步導航功能，除了可看到基於實景的箭頭導航之外，也能看到特定建築物或品牌的介紹，下周起將部署在倫敦與東京等更多的國際城市。</p> <p>此外，原本就可顯示電動車充電站的Google Maps也將新增快速充電選項，方便電動車駕駛找到最合適的充電服務。</p> </div></div></div>
2022/11/21 09:07作者陳曉莉https://www.ithome.com.tw/news/154304
IBM聯合PyTorch大幅改進在雲端訓練大型AI模型的效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/ibm-pytorch-cloud-ai-ethernet">IBM研究院與PyTorch合作</a>，發展一個稱作rate_limiter的控制元件，能夠透過配置訓練時的記憶體，使得具有數十億參數的模型，也能夠在標準雲端網路基礎設施，像是乙太網路上運作。</p> <p>當前的人工智慧模型，只要使用簡單的文字題事，就能創造出圖像、歌曲甚至是網站，而這種具有數十億參數的模型，被稱為基礎模型，不需要大量時數的訓練與標記，基礎模型就可以被簡單地重新用於另一項任務。</p> <p>基礎模型主要在高階的高效能運算（HPC）基礎設施上運作，雖然這些系統很可靠，但IBM提到，對於許多想要自己訓練基礎模型，並且僅供自己使用的人來說，HPC設備是一個極高的門檻，包括高階GPU搭配低延遲InfiniBand網路系統，以及各種專門的操作流程等。</p> <p>而IBM研究人員與PyTorch分散式團隊合作，尋找出可在網路硬體上，訓練大型人工智慧模型的方法，而這個聯合小組也已經驗證，可以在Red Hat的OpenShift平臺上，使用基於乙太網路的常規網路，來擴展和訓練大型模型。</p> <p>使用PyTorch的完全分片資料平行技術（FSDP），該團隊可以在IBM Cloud上的標準乙太網路，訓練具有110億參數的模型，實現與HPC網路系統同等規模的高效率訓練。研究人員提到，過去嘗試使用乙太網路，在PyTorch上訓練數十億參數的模型，但是效果不佳，遠低於訓練基礎模型所需要的效能，隨著模型規模成長，只有當GPU能夠完整包存模型副本和訓練狀態時，資料平行訓練的標準方法才能發揮作用。</p> <p>雖然FSDP或DeepSpeed等新方法可以在訓練期間，有效地將模型和資料分散到多個GPU上，但也只限於HPC系統，而無法在由乙太網路連接的系統上運作。為此，聯合研究團隊開發了一個FSDP API，並建構rate_limiter控制元件，該元件可以控制用於發送和接收張量所使用的記憶體，進而緩解系統的記憶體壓力，使效率較之前提高達4.5倍。</p> <p>這項研究使用的基礎設施為現成的硬體，該系統在IBM Cloud上運作，由200個節點組成，每個節點有8張Nvidia A100 80GB顯示卡，與96 vCPU、1.2TB CPU記憶體，節點內的顯示卡以NVLink連接，顯示卡之間頻寬為600 GBps，而節點之間透過兩條100 Gbps乙太網路連結，提供120 GBps可用頻寬。</p> <p>該GPU系統自5月來持續運作，研究人員配置Red Hat OpenShift容器平臺執行人工智慧負載，用於大型人工智慧模型的端到端訓練、微調和推理。研究人員提到，這是目前該產業中，第一個使用Kubernetes、PyTorch FSDP API和標準乙太網路，高效率實現高達110億個參數模型的用例，而這將有助於其他組織以更具成本效益的方式，在雲端訓練大型模型。</p> </div></div></div>
2022/11/21 09:11作者李建興https://www.ithome.com.tw/news/154297
以數據為核心，超商會員經營3大關鍵新做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣超商上萬家，一年來客次數超過32億人次，產生的數據規模非常可觀。</p> <p>三大超商很早就開始挖掘龐大數據的價值，分析會員大數據來幫助行銷，不過，傳統分析做法的顆粒度較粗，通常聚焦整體消費者的消費趨勢，來進行各種分眾行銷，但是，難以分辨不同消費者各自對不同產品的需求，因此無法進一步做到更個人化的行銷。</p> <p>但這幾年超商會員行銷的做法不一樣了，為了更精準的行銷，超商開始聚焦在個人等級的會員數據，例如消費喜好、消費頻率、來店時間以及支付方法等，從不同角度去剖析每一個會員。超商更開始嘗試拓展數據蒐集範圍到其他通路，來了解會員更全面的消費需求。</p> <p>到了2022年，三大超商各自展開會員經營策略的大調整，雖然發展策略和擅長各有不同，但是可以歸納出3種以會員數據為核心的會員經營做法，是臺灣超商今年會員經營戰略的3大重要基礎。</p> <p><span style="font-size:28px;"><strong>做法1：利用App連結OMO零售資料及服務</strong></span></p> <p>為自己品牌推出App的做法早已被服務和零售業者廣泛採用。不過超商App的優勢是，客人消費頻率高，且服務和商品多元，有更多機會紀錄會員行為和習慣。因此，App在超商會員經營戰略中，扮演著非常關鍵的角色。</p> <p>3到5年前，超商經營App的策略以衝刺開啟率為主，希望透過提供方便的功能，讓消費者願意打開App。常見功能包括集點、促銷，以及跨店咖啡寄杯等。提升App開啟率，不僅代表會員黏著度提升，也能讓App其他功能及行銷內容曝光。至今，超商仍不斷在App功能上推陳出新，不過這些新功能不只為了衝高開啟率，還有了更多元、更深度的戰略意義。</p> <p>其中一個重要戰略意義是蒐集會員數據，來分析他們喜好、需求及習慣。隨著超商數據分析能力增加，新功能還會力求涵蓋會員生活不同面向，以進一步分析會員。例如全家內部便定義會員點數、App記帳本、交易資料以及支付工具為4大會員數據蒐集管道。這4種資料中，有3種是非App蒐集不可，說明App對超商數據蒐集的重要性。</p> <p>不只消費相關的數據，超商還會蒐集App功能使用狀況，從功能整體熱門度、單人使用頻率，到更細緻的使用時段、停留時間、子功能使用情況分析，都可以用來優化App體驗及行銷內容。</p> <p>過去，每個會員打開App都會看到同樣內容及介面，也會收到相同行銷推播訊息。為了提供更個人化的體驗，超商曾經嘗試提供面向不同分眾的介面模板，或讓會員自訂常用功能。不過，隨著超商採用更成熟的數據分析跟行銷科技，未來還能提供更自動化、更個人化的行銷及會員體驗。一個例子是，萊爾富對一群平均客單價150元的會員，發出滿200折50的優惠。他們發現最後有高達30%會員使用此折價券，效率遠高於一般行銷活動。</p> <p>會員點數是超商App中最核心、使用率最高的功能。從點數功能發展歷程，也能觀察出超商開始用App蒐集數據的意圖。最原始的App點數功能只是數位集點卡，將活動點數貼紙數位化，用來兌換紀念商品。後來，超商開始延長點數期限，並增加可兌換商品來增加累積點數誘因，並觸及更廣的客群。近兩年，超商不只要增加點數功能使用率，還要進一步拓展點數在超商以外的使用場域及情境，來分析會員更多消費需求。如今，點數已經是App開啟誘因、跨通路會員數據蒐集點及行銷工具。</p> <p><span style="font-size:28px;"><strong>做法2：利用支付工具蒐集跨通路消費數據</strong></span></p> <p>長年研究數據與決策分析的政治大學資訊管理學系教授莊皓鈞指出，超商商品、服務、甚至是點數跨通路用途，種類終究有限，就算是頻繁在超商及會員點數生態系消費的活躍會員，仍無法留下足夠紀錄，反映出該會員所有消費需求。近年開始熱門的支付工具，則能蒐集更完整的跨通路消費紀錄。</p> <p>跨通路點數用途通常是兌換商品或折抵消費，超商只能知道會員在哪裡使用、以及喜歡哪些兌換商品，可獲得的數據有限。相對來說，跨通路支付工具可以直接獲得消費者於其他通路消費的完整消費明細，使超商能更全面分析會員需求。莊皓鈞直言，「超商推動自家支付工具，是數據蒐集的Game Changer。」</p> <p>現在，3大超商都有經營自己的支付工具，統一超和全家的支付工具能在自家通路外消費，因此兩家超商積極拓展支付工具可用通路，以求紀錄更完整的消費者購物需求。同時，連結了App其他功能，並在會員使用支付工具時提供點數回饋，來吸引會員使用支付工具。</p> <p>萊爾富支付工具則只能用於萊爾富店面消費。不過，儘管還無法跨通路消費，萊爾富還是從支付工具使用數據中看到了值得參考的發現。他們發現，使用自家支付工具的會員，客單價明顯較高。萊爾富數位商務處處長葉育堅說，支付工具前置設定較多，形成一定使用門檻。不過進入門檻高，讓支付工具使用者成了品牌忠誠度及活躍度的一個標竿，「所以如果會員是VIP，那支付工具使用者就是VVIP。」因此就算還無法紀錄外部通路消費紀錄，萊爾富還是計畫透過各式活動來積極推廣支付工具。</p> <p><span style="font-size:28px;"><strong>做法3：利用POS機作為數據處理終端</strong></span></p> <p>超商的銷售時點情報系統機（POS機）一直以來都是蒐集進銷存資訊的端點。不過，現代POS機在數據驅動會員經營的戰爭中，被賦予了新意義。轉變關鍵是，計算能力及超商會員服務數量雙雙提升，POS機開始有能力能蒐集、分析許多過去無法利用的數據，並將分析結果化為個人化會員體驗的端點。</p> <p>過去，超商POS機上有「客層紀錄按鈕」，店員會依據消費者外貌，紀錄消費者性別跟大概年齡，用作後續銷售紀錄分析。不過，全家數位科技暨企劃部部長陳盈州說，單憑外貌難以準確猜測出年齡，且店員通常不會認真紀錄客層，只是為了打開收銀機而隨便按一個順手的按鈕。</p> <p>近5年，超商開始經營數位會員後，便會在消費者結帳時詢問會員身分，直接連結起會員資料及銷售紀錄，這才有了更準確的會員消費紀錄。不過，就算POS機辨認出當前消費者是會員，當時仍無法於結帳當下提供個人化體驗。</p> <p>今年，3大超商不約而同的更新POS機，會員個人化服務也是新POS機重點支援項目。例如，全家計畫開發的一個功能是，在辨認會員身分後，自動提醒包裹到店，或推薦根據個人偏好推薦點數兌換商品等。由於超商POS機已經串接會員功能系統及行銷系統，未來，超商還可能開發更多會員個人化行銷功能，例如依據結帳會員偏好決定POS機廣告顯示內容。</p> <p>另一項可以開發的個人化行銷功能是，結帳時自動追加及交叉銷售。莊皓鈞說，追加和交叉銷售相當仰賴店員行銷功力，超商店員又流動率高、培訓周期短，因此一直難以成為超商標準化流程。不過，若是讓POS機能像電商平臺一樣，透過大數據分析可以推銷的商品，有可能降低推銷難度門檻。</p> <p>POS機現有的兩項功能，也可以加入會員數據成為個人化行銷功能。第一個是優惠組合計算功能，根據消費者所購商品對應的促銷活動，計算出多種可能組合方式，甚至能追加推薦其他商品，形成更優惠組合。另一個是進貨訂單推薦功能，可以依據店內鄰近環境及進銷存數據等資訊，預測出店鋪未來銷售情況，來提供最佳進貨建議。</p> <p>這兩項功能所用資料，若再加入會員數據一併分析，便能成為結帳時追加銷售的依據。例如，計算優惠組合時，將會員常購買品項納入優先考量，甚至進一步計算訂貨時用到的進銷存、天氣及時間數據，決定推薦商品及促銷幅度。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154287" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span> <a href="https://www.ithome.com.tw/article/154287" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1104-feng_mian_p1-open-you_hua_-960x420_kao_bei_.jpg?itok=rgkljoC7" style="width: 550px;" /></a></p> </div></div></div>
2022/11/21 00:00作者郭又華https://www.ithome.com.tw/news/154216