iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 15篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安週報】2022年12月5日到12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>其他值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154560"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</span></strong></a></h3> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><a href="https://www.ithome.com.tw/news/154575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月6日】American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</span></strong></a></h3> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><a href="https://www.ithome.com.tw/news/154592"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</span></strong></a></h3> <p>有雲端服務業者代管的Exchange伺服器傳出含有ProxyNotShell而遭到攻擊，現在該業者揭露初步的調查結果，表示他們遭遇勒索軟體攻擊，但不影響代管Exchange伺服器以外的業務。</p> <p>美國針對中小企業與民眾提供的COVID-19救濟金，近期傳出該國政府發現中國駭客APT41參與盜取相關補助的攻擊行動。但這樣的情況並非首例──2020年<a href="https://www.ithome.com.tw/news/137769">奈及利亞詐騙集團Scattered Canary就企圖向該國州政府詐領失業補助</a>。</p> <p>FreeBSD開發團隊近日修補Ping元件的漏洞，並呼籲使用者應儘速修補，原因是該漏洞有可能讓攻擊者挾持整個FreeBSD作業系統。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154610"><strong><span style="color: rgb(0, 0, 0);">【12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</span></strong></a></strong></p> <p>殭屍網路病毒鎖定連網設備的漏洞發動攻擊頻傳，近期資安業者發現的殭屍網路病毒Zerobot也是如此，鎖定Zyxel、D-Link、TP-Link等廠牌的物聯網裝置而來，但除此之外，該惡意軟體也將Java框架Spring、資料庫管理系統phpMyAdmin納為目標。</p> <p>已鮮少用戶使用的IE瀏覽器近期也被駭客盯上，利用其零時差漏洞發動攻擊。值得留意的是，駭客是透過Office辦公室軟體呼叫此瀏覽器元件，即便使用者沒有使用IE也有可能會曝險。</p> <p>烏克蘭戰爭成為駭客用於釣魚攻擊的幌子可說是相當常見，中國駭客Mustang Panda也運用這樣的時事來散布惡意軟體，研究人員認為這起攻擊行動的手法與過往相當雷同，但駭客進行了細部調整企圖規避偵測。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154640"><strong><span style="color: rgb(0, 0, 0);">【12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</span></strong></a></strong></strong></p> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> </div></div></div>
2022/12/12 09:36作者羅正漢https://www.ithome.com.tw/news/154644
CyberSheath調查美國國防供應商CMMC合規，不到3成承包商通過國防部驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為確保國家機敏資料安全性,美國國防部2020年1月發布網路安全成熟度模型認證(CMMC)1.0，2021年11月公布CMMC 2.0版草案，預計在2023年3月至5月,推出CMMC 2.0正式版草案，而在2026年財年（9月30日）之後，美國所有打算成為國防部的供應鏈業者，都必須符合CMMC 2.0的規範。</p> <p>CMMC 2.0是以國防採購為核心的規範，相關的供應鏈業者，包含超過30萬家美國國防工業基地（Defense IndustrialBase，DIB）及其供應鏈業者，都必須遵守國防聯邦採購補充條例（DFARS）的法律規定，相關的資安作為也須符合NIST SP 800-171等相關規定。</p> <p>美國國防部服務供應商CyberSheath為此也委託美林研究機構（Merrill Research）對美國國防供應鏈業者DIB進行調查，並以此發表《國防工業基地（DIB）網路安全成熟度狀況統計報告》。根據這份受訪達300家業者的調查結果，有71％的主要承包商、64％的分包商表示，已通過NIST SP 800-171的自評階段；其他則有29％承包商、36％的分包商表示，通過美國國防部主導的驗證階段。</p> <p>這個調查顯示，多達88％的美國國防供應鏈業者（DIB）因為網路攻擊遭到損失，其中，62％遭到金錢損失，58％遭到營運損失，另外也有51％遭到商譽損失。</p> <p>這些供應鏈業者最常採用的資安方案，以DLP（33％）最高，其次為SIEM（30％）、變更管理（30％）以及組態管理（30％）。</p> <h2><strong>有7成DIB符合自評標準，但相關安全控制措施不合格</strong></h2> <p>目前美國國防供應鏈第一級承包商和第二、三級分包商，都必須遵守美國國防聯邦採購補充條例（DFARS）的規定，其中，也針對相關資訊流的防護，必須合乎美國NIST SP 800-171的作法要求。</p> <p>根據CyberSheath調查顯示，針對美國國防供應鏈DIB的網路安全成熟度評估，71％的主要承包商，符合NIST SP 800-171的自評階段，第二、三級分包商，也有64％完成自評。</p> <p>但如果是美國國防部主導的NIST SP 800-171驗證階段，符合相關規定的承包商有29％，分包商則有36％。顯而易見，供應商要達到自評標準相對容易，而通過美國國防部的驗證難度較高。</p> <p>因為所有國防供應鏈業者都必須做到DFARS的合約規定，其中，供應鏈業者也有義務必須完成幾項作為，包括：撰寫系統安全計畫（SSP）、制定行動計畫和里程碑（PoAM）、進行供應商風險績效系統（SPRS）評分、進行年度資安事件應變演習、進行年度DFARS合約評估，以及評估引進相關軟體以達成合約規定。</p> <p>其中，高達6成的供應鏈業者。都已經做到撰寫系統安全計畫（SSP），其次則有超過5成（53％）的業者，會制定行動計畫和里程碑（PoAM），而有超過4成（46％）的業者，會進行供應商風險績效系統（SPRS）評分。</p> <p>這個供應商風險績效系統（SPRS）評分，是非常重要的機制，若組織滿足NIST SP 800-171總計110項控制措施，就可以拿到最高分110分；但是，如果不執行任何控制措施的話，得分最低為-203分（負203分）。</p> <p>根據該份調查的結果指出，國防供應鏈業者DIB的平均分數為-23分（負23分），其中一級承包商平均分數為-25分（負25分），二三級分包商為-9分（負9分），只有13％的受訪者表示，他們的供應商風險績效系統（SPRS）為70分以上。顯見，國防供應鏈業者的違規行為，如今已經直接危及國家安全層面。</p> <h2><strong>近9成國防供應鏈業者遭網路攻擊造成損失</strong></h2> <p>根據該份調查指出,將近9成（88％）的國防供應鏈業者，曾經遭到網路攻擊，並且造成損失。當中可以將損失分成三類來看：有60％供應商承受金錢損失，58％供應商遭到營運損失，另外有51％供應商面臨商譽損失。</p> <p>其中，若再區分第一級承包商和第二三級分包商的損失，62％承包商、53％分包商，面臨了金錢損失；58％承包商和58％分包商面臨營運損失；55％承包商和50％分包商的信譽受到毀損。</p> <p>也因為網路攻擊造成國防供應鏈業者極大的損失，該份調查也顯示，不管是承包商或是分包商，投保資安保險的比例高達97％，因此，對於相關業者而言，資安保險已經是一個很成熟的風險轉嫁工具。</p> <h2><strong>確保資訊流安全，超過3成業者導入DLP方案</strong></h2> <p>國防供應鏈業者的資安規範，主要都是確保CUI（受控非機密資料）以及FCI（聯邦機密資訊）的資訊流安全性，所以，根據該份調查顯示，DLP（Data Loss Prevention，資料外洩防護）解決方案，是最受相關業者青睞的解決方案，因為有多達33％的廠商導入DLP。</p> <p>由於企業內有許多不同的資安設備，要做到整合相關設備的記錄檔（Log），透過各種即時識別和分析的技術，可以找到企業內部的網路異常行為，而目前有30％的國防供應鏈業者都已部署了SIEM（資安事件管理系統）。</p> <p>所有系統的變更都可能對系統造成危害，所有的系統變更從協調過程到是否被批准，都要記錄在案，同時，也必須監控所有變更過程，才可以確保對系統的安全性，如果沒有需要變更，也不需要提交變更的請求。而根據該份調查來看，有30％的國防供應鏈業者，都已經導入變更管理系統（IT Change Management）。</p> <p>另外，有許多資安事件的發生，都是因為組態設定不當所造成的，因此，也有30％的國防供應鏈業者也導入組態管理系統，希望可以降低錯誤設定帶來的資安威脅。</p> <p>在現有的資安解決方案選項中，業者採用的比例大概為1成5到3成之間，未看到特別普遍的資安解決方案。面對這樣的狀況，也須思考國防供應鏈業者是否部署應有的解決方案，進而確保資訊安全,此種狀態值得持續關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A1%E7%94%A8%E7%9A%84%E8%B3%87%E5%AE%89%E6%96%B9%E6%A1%88.jpg" style="width: 821px; height: 760px;" /></p> <h2><strong>國防供應鏈業者要符合DFARS規定困難多</strong></h2> <p>相關的國防供應鏈業者要符合DFARS的規定，其實面臨許多困難和挑戰，像是有42％的業者就必須先了解，DFARS對業者有哪些必須遵循的要求以及規定；再者，有42％的業者，不理解DFARS相關的法律措詞代表意義；也有40％的業者的困難在於，不知DFARS相關規定對企業帶來哪些改變；也有38％的業者，對於要提交哪些文件報告，以及後續稽核可以獲得哪些支援，而感到困難；最後則有36％的業者，對於定期通報感到困擾。</p> <p>雖然從這份調查可以清楚看到整個國防供應鏈業者狀態，不管是符合DFARS的規定比例，或者是遭網路攻擊造成的各種損失，但這些現象都意味著，DIB的網路安全狀況令人擔憂。</p> <p>但其中，也有50％承包商認為，DFARS的改進對於整體國家安全有重大影響。而美國國防部基於DFARS要求而對確保網路安全制定的CMMC 2.0，就是希望透過CMMC相關政策和程序，可以讓相關的國防供應鏈業者DIB，不管是第一級承包商，或是第二、三級分包商，都可以藉此進一步提升網路安全。</p> </div></div></div>
2022/12/12 10:15作者黃彥棻https://www.ithome.com.tw/news/154645
優先聚焦數據治理，Line資料平臺和AI架構再次大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年3月，Line和Yahoo!Japan（雅虎日本）母公司Z控股整併之後，各界就高度關注通訊平臺巨頭和電商巨頭合併後將如何激發出新的火花。</p> <p>Z控股訂下的首要戰略目標是優先加強數據治理。這是因為，成為一家世界級AI科技公司，是整併後雙方的共同戰略目標，而高品質的可用資料正是邁向這個願景的關鍵基礎工程。尤其，Line日本用戶、雅虎日本用戶和PayPay三大生態系整併後，用戶數達到2億人規模。如何支撐新的超大規模生態圈，從今年11月剛結束的Line與雅虎日本首次聯合技術會中，可以觀察到，資料科技和AI技術是關鍵。</p> <p>擅長社交平臺，擁有海外多國發展經驗的Line，和擁有深厚電商、零售與金融產業布局的雅虎日本，在年會中展現出各自不同的技術發展重心，卻又可以互補。Line聚焦於發展平臺式的戰略型技術架構，尤其在AI架構和資料科技平臺，及區塊鏈架構上，而雅虎日本則聚焦在擴大AI應用和產業AI實踐等。前者聚焦強化AI技術體質和未來性，後者則聚焦擴大產業AI版圖和業務廣度。</p> <p>Line目前全球每月約2億用戶使用，累積了大量的用戶和行為資料，因此早在2019年，Line啟用了一個自助式的超大規模資料平臺IU（Information Universe），後來，2020年時，又進一步在IU上發展出了一層機器學習平臺MLU（Machine Learning Universe），用來支援多項跨服務共用的大型ML模型叢集，包括NLP模型、電腦視覺模型、推薦模型、廣告優化模型。</p> <p>目前IU支援了Line內部超過200項服務，儲存了400PB的HDFS資料，超過4萬個Hive表格，每天要執行15萬個任務。Line技術長Tomohiro Ikebe指出：「龐大資料不只是很大的儲存挑戰，利用時也是很大的挑戰。」</p> <p><span style="font-size:28px;"><strong>IU資料平臺新變革，打造資料血統功能將資料變動過程視覺化</strong></span></p> <p>在年會中，Tomohiro Ikebe 首度揭露了後續IU上進一步打造的網頁式資料目錄服務，也就是IU Web入口網站。</p> <p>在這個IU Web上，提供了多項自動化機制，例如後設資料搜集機制、Data profiling機制、可輔助法遵需求的資料驗證工具。另外，IU也引進了Apache Iceberg資料湖技術，並將串流大數據分析平臺Spark升級到3.2版。</p> <p>IU Web最重要的新功能則是2021年11月新上線的Data Lineage （資料血統）功能。Tomohiro Ikebe解釋，隨著IU上的資料流程越來越複雜，一旦發生問題，想要找出資料間的關係，越來越困難。要解決這個問題就需要資料血統機制。</p> <p>資料血統機制可以用來追蹤特定資料從建立後到現在的發展路徑，在瀏覽器上透過圖表來呈現資料變動的過程。</p> <p>Line資料平臺部門資深產品經理宇田川直人表示，這個內部資料目錄提供了一站式的入口，來涵蓋所有的資料活動，來提高包括搜尋資料，存取控制，後設資料管理和探索性資料分析等資料利用的效率。</p> <p>不過，要打造這樣的資料目錄有兩大挑戰，一是得搜集所有資料集的後設資料，第二是如何呈現這些後設資料的關聯。Line使用了開源的目錄服務專案Apache Atlas來串接各種不同資料源，搜集資料後設資料來了解異動狀況，並將資料每一次的變化過程用視覺化的方式呈現，這就是資料血統的機制。資料血統圖上的每一個節點，可以列出這個節點相關的資料表簡介、時間戳、表格關係、PII(涉及個資），資料擁有者，使用單位，還有從這份資料產生的相關報表、使用者清單和各種連結等。</p> <p>可是，IU上有4萬個Hive表格，每天要執行15萬個任務，每一個任務和每一個表格都是一個資料血統圖上的節點，要追溯出從建立到目前的所有變化和關聯，就會產生非常複雜和龐大的節點關聯圖，。</p> <p>為了改善資料血統圖的可讀性，Line採取了多項設計機制來簡化資料血統圖的複雜性。Line利用Atlas串接了HIve伺服器和Spark，利用Atlas的通知機制，採取推播更新後設資料的做法。不過，因為IU上執行的任務每天多達十幾萬個，幾分鐘內的資料表異動也多達數百次。因此，Line透過Kafka彙整來自Atlas的通知，以30分鐘為最小追蹤單位，排除掉30分鐘內的異動，例如操作錯誤的資料庫反覆新增或刪指令，大幅減少了90%異動通知。再進一步比較異動模式，過濾掉對使用者沒有意義的DDL語法異動資訊，更大幅減少了95%的雜訊。</p> <p>不只如此，Line在資料血統資料庫中，排除了不重要的資料節點的註冊，這更大幅減少了9成節點數，也刪除了3萬個不需要的任務。透過這些一層又一層的過濾和篩選，才讓Line資料目錄IU Web上提供的資料血統，要處理的複雜度降低，甚至可以進一步展開到以欄位為節點單位的關聯分析圖。</p> <p>Line更提供了一個互動式的介面，預設可以展開一項資料從出生到現在的血統脈絡。</p> <p>資料血統功能在2021年11月上線，統計到2022年5月，有79個服務和部門使用這項功能，每天用於ETL、資料管理和資料科學分析等功能，特別是Data ETL團隊可以更容易確認資料表維護的範圍，尤其要執行資料表刪除或異動時能更放心。更有不少使用者每天常用資料血統來調查各種資料錯誤的根本原因</p> <p>「可以掌握資料間的關聯，就可以很容易知道如何管理龐大資料，來提高再利用效率，更可以在安全和治理的角度下，來使用這些資料。」Tomohiro Ikebe表示。不只用於IU，在MLU平臺上，也可以利用相同的血統技術，來追蹤一個模型用了哪些資料來訓練，以及在訓練中如何使用這些資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A21-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>IU Web的資料血統功能，可以呈現一項資料從出生到現在的資料異動脈絡也就是資料血統，預設展開三層重要的節點，使用者可以自行放大或縮小畫面，也可以針對任何一個資料欄位，再進一步展開下三層的資料血統關聯圖。</strong><span style="font-size:14px;">圖片來源／Line</span></span></p> <p><span style="font-size:28px;"><strong>Line機器學習平臺MLU引進聯合學習新架構</strong></span></p> <p>不只IU資料平臺展開大變革，Line的機器學習平臺MLU也採用了全新的訓練架構和模式。Tomohiro Ikebe表示，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習（Federated Learning）和差分隱私（Differential Privacy）。」</p> <p>透過聯合學習機制，在用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。</p> <p>雅虎日本技術長小久保雅彦指出，兩家公司共同累積了龐大用戶和爆量數據，而且只會加速增加。為了持續成長，必須解決多項技術挑戰，像是得打造一套靈活平臺，回應快速暴增的流量和資料。也得擴大甚至加速導入先進AI技術。還要打造資安和隱私保護的可靠性架構來建立信任。</p> <p>這三大挑戰，也正是Line資料平臺和AI架構新變革要解決的課題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154629
【AI技術再進化：聯合學習】混用聯合學習強化推薦，上億用戶人人專屬推薦清單全都不一樣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>貼圖是Line最成功的商業模式，推出10年來，光在臺灣的貼圖創作者高達65萬人，上架了8百多萬組貼圖，在日本更高，超過千萬組貼圖，但要從海量貼圖中，找出使用者想用的推薦清單，Line有一套利用使用者歷史紀錄訓練的推薦機器學習模型，可以針對不同使用族群提供統一的貼圖推薦清單。</p> <p>但是，Line的企圖不只如此，甚至想要更近一步貼近上億用戶每一個人各自的喜好，來提供推薦。Line技術長Tomohiro Ikebe指出，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習和差分隱私。」</p> <p>為了進一步了解用戶喜好，不只要參考購買記錄，甚至需了解用戶瀏覽貼出和發送貼圖的歷史，「但從隱私角度，得非常小心處理這類資料。」他說。</p> <p>透過聯合學習（Federated Learning）機制，可以用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型後，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。「這個方式可以在資料使用過程中，保護用戶隱私。」Tomohiro Ikebe強調。</p> <p>Line機器學習平臺部門產品經理菊地悠更透露，實測後發現，結合聯合學習來提供超級個人化的推薦，可以提高5.6%的貼圖下載率。</p> <p>機器學習訓練，可以可以分成三種模式，第一種最常見的ML模式是伺服器端機器學習，在伺服器端完成ML訓練和推論，例如推薦模型，先在伺服器端完成模型訓練，產生推薦清單，再將清單送到App端點提供給用戶，搜集在端點搜集經過同意的使用Log後，回傳到伺服器，展開再次的模型訓練。</p> <p>第二種則是裝置端推論模式。這個做法同樣在伺服器端進行模型訓練，但是將訓練好的模型派送到用戶端來，利用端點用戶資料來推論，好處是不用將用戶端資料回傳，但所有用戶都使用同樣的推論模型。</p> <p>第三模式則是新崛起的聯合學習模式。在這個模式下，採取分段訓練的方式，先在用戶端進行模型訓練，常見是隨機挑選部分用戶或特定裝置來參與模型訓練，並將各裝置上的本地端模型上傳到後端伺服器，然後才在後端整併所有的本地端模型，產生最後的整體模型，再將整體模型派送到用戶端。</p> <p>Line在今年秋天開始嘗試聯合學習，第一個導入聯合學習的應用就是貼圖訂閱帳號的推薦功能。貼圖訂閱帳號在臺灣就是貼圖超值方案，每月繳交小額費用，可以長期使用500萬組貼圖，不用一一購買不同的貼圖組。</p> <p>訂閱戶在對話框要選擇貼圖時，Line會提供貼圖推薦功能，一種是來自使用者自行下載的貼圖，還有一種推薦是來自系統自動產生的推薦清單，使用者只要輸入前幾個字，就會快速篩選出這幾個字所要挑選的貼圖，再列出來讓用戶挑選，送出到對話中。Line就是在系統產生的推薦貼圖功能導入了聯合學習。</p> <p>不過，不只用聯合學習，「推薦推圖運用了上述三種機器學習模式，分兩階段產生推薦。」Line機器學習平臺部門產品經理菊地悠表示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 380px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Line在今年秋天開始嘗試聯合學習，第一個導入的聯合學習應用就是貼圖訂閱帳號的推薦功能開始嘗試，每一個人的推薦清單排序都不一樣，能夠根據用戶個人過去使用習慣和個人偏好來優化。</strong>圖片來源／Line</span></p> <p><span style="font-size:28px;"><strong>結合聯合學習，兩階段產生超級個人化推薦清單</strong></span></p> <p>第一階段是產生初始候選推薦清單，採取的就是伺服器端機器學習訓練模式，利用歷史紀錄，例如熱門購買紀錄、下載量，再依據不同使用者的特徵屬性來區分出上千個用戶群，對每一種使用者族群建立一個推薦模型，來產生這一群用戶共用的貼圖推薦名單，這就是第一階段在伺服器端產生的候選名單。大約是從1千萬組貼圖中，選出100組候選名單。</p> <p>接著進入第二階段個人化重新排序，這也是本地端聯合學習階段，這又分成兩個部分，推論和訓練。在本地端推論上，依據用戶特性，將這名用戶所屬小組的伺服器端推薦名單下載到App上，在用戶端進行本地端推薦模型的推論，輸入這名用戶的個人特徵向量和物件特徵向量（利用輸入關鍵字來產生），來進行推論，來重新排序所下載的候選貼圖推薦清單。</p> <p>用戶輸入想搜尋的貼圖關鍵字時，每輸入一個字，就會重新產生一個新的物件特徵向量，可以用來重新執行一次推論，產生新的推薦分數，作為重新排序之用。如此一來，就會產生一份更貼近這名用戶喜好的個人化推薦順序，將他可能更想用的貼圖，列在前面，來提高使用率。</p> <p>不只是本地端推論，Line也在本地端進行模型訓練，利用了用戶在裝置上的過去瀏覽紀錄和使用紀錄，在裝置端重新訓練出一個更貼近這名用戶偏好的本地端模型，並利用這個模型來進行本地端推薦分數的再計算，更進一步讓推薦清單，可以貼近這名用戶自己過去的使用習慣。最後再將這個模型回傳到伺服器端整併，完成聯合學習的訓練。</p> <p>不過，要在本地端實現聯合學習的模型訓練，得克服2大挑戰。</p> <p>第一是必須能支援不同類型裝置和環境各自的ML訓練環境，包括伺服器端和App端，其次是要能確保隱私，上傳資料不能帶有用戶個資，也要避免模型遭駭而外流原始資料，這正是Line在聯合學習模式再加上差分隱私演算法來回傳模型到後端伺服器的緣故。</p> <p>菊地悠表示， Line不只要在貼圖推薦使用聯合學習，未來也想導入其他服務，因此必須把聯合學習模式平臺化。</p> <p>負責打造Line聯合學習平臺（Line Federated Learning平臺，簡稱LFL平臺）的Line Plus工程團隊軟體工程師Hyukjae Jang更指出，本地端訓練的挑戰是，手機資源有限，任意訓練會占用資源而影響用戶體驗，因此，關鍵是要控制和管理多個FL模型的訓練。「不只提供通用功能，要建立一個平臺架構，才能支援不同類型的聯合學習。」</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 600px;" /></span></p> <p><span style="color:#696969;"><strong>Line機器學習平臺本地端架構可以細分為三個部分，一個通用模組，應用模組和ML函式庫。區分通用模組和應用模組的原因，是為了日後可以支援多種應用各自的聯合學習訓練需求。</strong><span style="font-size:14px;">（圖片來源／Line）</span></span></p> <p><strong style="font-size: 28px;">三地兩國30人團隊打造LFL平臺</strong></p> <p>Line動員了東京、福岡和韓國三地的開發團隊，共30多名工程師協同開發，打造出這個LFL平臺，包括了伺服器端和本地端的架構。</p> <p>在這個LFL平臺上，從伺服器端模型儲存庫的模型，可以用來產生第一階段的候選推薦清單，下載到本地端App上。再依據使用者輸入的字，進行推薦分數的推論，來重新排序推薦清單。若本地端裝置處於閒置狀態，則會由本地端事件調度機制來驅動本地端的模型訓練，來更新本地端的模型，作為後續本地端推論之用，也會將模型上傳到伺服器端，經過模型整併機制，來產生新版的模型，再下載到用戶端，作為新的第一階段候選推薦模型之用。</p> <p>這個LFL平臺還提供延伸功能，在伺服器端則提供了模型儲存庫、版本控制、AB測試功能等，在本地端則有一套用ONNX格式打造的通用ML框架，可支援 iOS和Android，另外本地端還提供了背景ML訓練機制和排程機制，以及結合差分隱私處理的上傳機制。</p> <p>在本地端的聯合學習機制上，還可以細分為三個部分，一個通用模組，應用模組和ML函式庫。通用模組負責本地端的模型管理，如版本控制，模型下載上傳，模型更新等。而應用模組則可以針對不同應用，設定不同的聯合學習模型和用戶Log資料庫。「未來可以支援多種應用各自的聯合學習訓練需求，這是區分通用模組和應用模組的關鍵理由。」Hyukjae Jang透露。</p> <p>另外，要在裝置端執行聯合學習，必須要考慮電力、儲存空間和裝置待機狀態。Hyukjae Jang表示，LFL有三個啟動聯合學習訓練的原則，包括電力全滿、儲存空間足夠，還要等使用者沒有使用裝置的時間。尤其要利用裝置閒置時間來訓練，必須要設計背景執行機制。</p> <p>Line利用可以跨iOS和Android的Onyx runtime打造了一個只有1.2MB 大小的Yuki聯合學習SDK，稱為YFL，也可以支援資料科學家將TensorFlow或Pytorch訓練的模型，轉換成YFL能支援的輕量模型。函式庫中也支援利用高斯分布來計算的差分隱私機制。並且只用CPU背景服務，而不需要GPU。</p> <p>另外，還有一個抽樣機制會隨機抽樣挑選部分人上傳，也會限制上傳次數，避免過度干擾使用者。在背景執行訓練時，排程機制也會盡量利用晚上睡覺時間完成訓練，然後刪除Log資料。</p> <p>Hyukjae Jang更透露，不只貼圖，未來希望可以導入到更多不同類型的服務，包括聊天、音樂、電話、支付、新聞和影音服務上。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154630
【機器學習平臺再進化：端到端MLOps】從ML平臺邁向ML生態圈系統，免寫程式就能自動產生多人協作全套ML流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2020年，Line在內部資料平臺IU（資訊大宇宙，Information Universe）上，打造出了一個機器學習平臺MLU（Machine Learning Universe），目的是希望如同IU扮演資料單一入口角色一樣，MLU成為資料科學家或工程師的ML單一入口，可以用來調度GPU資源、上傳ML程式，來訓練、測試ML模式，也能快速部署成對外提供的ML服務。這個MLU平臺目標就是要提供整合了ML 、Dev 和Ops這三種工作流程的MLOps平臺。</p> <p>負責MLU產品的Line Plus公司MLU平臺產品經理Sunhyeong hong指出，為了大規模發展ML，Line早在3年前就打造了一個可以提供自動化ML流程的MLOps平臺。一開始只是為了控制資料科學家常用的Notebook開發環境，逐漸擴充到整個ML訓練流程，甚至延伸到部署、服務提供和監控。MLU平臺團隊也從3年的10人，現在擴編為30多人。</p> <p>這個MLU平臺的確加速了Line擴大AI應用規模的速度，到了2021年底，已有100多個機器學習產品，橫跨20多個部門都靠MLU來開發和管理ML專案。</p> <p>去年，MLU已涵蓋ML、Dev、Ops的大部分工作，去年更近一步針對模型表現監控，發站出了一套MLOps監控工具Lupus，讓專案成員更容易掌握ML模型的動態和品質，也可以即時重新訓練模型，修正模型預測的偏差。</p> <p>到了今年，Line揭露了MLU持續優化MLOps平臺最新進展，不只是一套自動化ML流程，更要涵蓋ML專案從端到端的全套流程。</p> <p>Sunhyeong hong指出，不只提供給一項ML服務設計者，開發工程師，甚至連行銷、企劃人員等都可以參與專案和共享ML專案的內容和知識，讓不同角色可以快速持續建立更多ML模型。「MLU要從一個單一MLOps平臺，成為一個ML生態圈平臺，這才是一個真正的端到端的ML流程平臺。」Sunhyeong hong強調。</p> <p>最新版的MLU可以提供雲端伺服器環境，資料預先處理、模型訓練和驗證機制。也可以提供Jupyter Lab開發環境，讓開發人員使用與上線環境同樣的ML環境。除了利用Airflow來建立整個ML流程管理，也提供了一個GUI介面的設計工具，使用者就算不懂python語言，不用寫任何一行程式碼，也能夠組合ML流程元件，來建立一套ML流程。</p> <p>MLU利用BentoML模型部署框架，自動用Docker容器將模型程式發布成一個微服務，也就容易擴充或縮小所部署的伺服器資源。</p> <p>到了模型部署時，開發者不用介入，MLU平臺會進行十幾回自動化測試和優化伺服器環境，並自動將模型部署到一個可以自動擴充和有負載平衡的可靠環境中。</p> <p>在MLU入口網站，還提供了一套UI環境，ML專案經理只需要幾個點擊就可以快速建立專案，就能建立個別的ML執行實例。不只模型建立流程可以共享，透過MLU建立的整套ML開發程序，都可以和同一個ML專案的成員共享和溝通。</p> <p>模型部署成服務，正式上線後，MLU也提供了視覺化儀表板機制，讓維運人員來監控模型的運作情況。</p> <p>Sunhyeong hong表示，使用MLU來開發模型時，工程師不用面對基礎架構的問題，MLU已經部署在優化過的基礎架構。模型工程師可以聚焦在資料分析和模型開發上。工程師可以直接使用MLU統一建立環境，和專案成員共享。「整個過程都不用寫任何程式碼，只需透過MLU入口網站的UI介面，就能快速建立全套ML流程。」</p> <p>這些MLU的再次進化，更加速Line的AI應用規模和廣度，統計到2022年10月，MLU所用的叢集，涵蓋了14,886核CPU和504核GPU，以及52TB記憶體。</p> <p>MLU的使用者不只日本、韓國，還有來自泰國和臺灣，超過386個團隊，分散在33個公司，1,111人。他們透過MLU建立了300個自動化流程，已經部署了107個模型在正式環境中運作。</p> <p><span style="font-size:28px;"><strong>MLU下一步目標要建立機器學習生態圈</strong></span></p> <p>就在今年11月，Line正式發布了一個公開的模型儲存庫MLU Market Place，來共享Line的資料集和模型，由Line負責提供運算環境和資料管理。「Line也正在打造一個新的工作流程，要建立一個有機社群，讓任何人可以討論和共享模型的知識和資料。」Sunhyeong hong透露：「MLU的下一步要建立一個有彈性和擴充性的機器學習生態圈。」</p> <p>在MLU Market Place可以快速建立模型專案，還提供了模型展示空間（Showroom）可以快速部署模型來建立示範網頁。在一個像是模型商店街的網頁上，列出了可用的ML模型，或是模型展示清單，就像到賣場購物一樣的挑選想要用的模型。</p> <p>「目前Market Place只對Line內部開放，但未來計畫可以開放給更多人。」Sunhyeong hong在演講最後QA時興奮的透露。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154631
Line戰略AI再進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line與日本雅虎去年3月整併後，首要任務是強化數據治理，也展開資料平臺和AI技術架構的變革，不只要支援2億人用戶規模的業務創新，更是為邁向世界級 AI科技公司打基礎</p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/article/154632
Martech雙周報第31期：漸強實驗室推出新產品，能用Line優惠券自動連接會員全通路行為，新增報表功能追蹤行銷成效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1127~1210)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Line官方帳號</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#優惠券</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO行銷</span></strong></span></p> <p><strong>漸強實驗室新產品，能透過Line優惠券連接會員線下線上行為，還能跟其他企業比較行銷成效</strong></p> <p>臺灣Line官方帳號解決方案商漸強實驗室近日宣布，年底將在自家全方位行銷平臺MAAC及企業客服平臺CAAC推出新功能，強化跨通路企業的消費者追蹤能力及跨店鋪客服能力，並新增數據洞察圖表，提供企業初步成效分析及評估能力。</p> <p>第一項MAAC功能更新是Line Coupon綁定功能。當消費者使用透過MAAC發行的Line Coupon，就能比對Line好友跟門市會員資料，並依據消費行為來貼標會員身上。如此，會員線上線下的消費行為都能記錄到，且此優惠券是於POS機端核銷，等待時間短，不會破壞消費者結帳體驗。</p> <p>MAAC也新增了儀表板功能，企業能看到Line OA好友總數、訊息開封率、點擊率、發送訊息量等帳號概覽，還能從時間及行銷管道來看獲客跟互動情形，甚至能比較自家與其他漸強實驗室用戶的行銷成效。</p> <p>CAAC則新增了指派客服專員功能。消費者加入OA好友時，能自動指派客服人員作為持續與該消費者聯繫的專員，以利維持跨分店或通路的客服體驗。企業也能依照消費者或企業自身需求，在後臺手動轉接消費者給其他專員。漸強實驗室更計畫未來開發專員業績追蹤等分析功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據無塵室</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第二手數據</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據交換</span></strong></span></p> <p><strong>AWS將推出自家數據無塵室，能直接比對各方儲存在雲端的數據而無須提供彼此數據副本</strong></p> <p><a href="https://aws.amazon.com/tw/clean-rooms/features/">AWS宣布數周後將推出數據無塵室服務</a>，讓已經使用AWS的企業能自行建立無塵室，和其他數據儲存在AWS上的企業比對彼此數據。</p> <p>1個無塵室中，最多能同時比對5家企業的數據。參與企業可以預先設定各式隱私限制，且無須匯出數據到其他平臺──AWS會直接從資料原本的儲存處讀取各方數據，再呈現分析結果給企業。</p> <p>AWS無塵室的所有功能都能透過API存取，能透過AWS SDK或CLI來執行自動化指令，或整合到企業既有工作流程及產品中，甚至利用AWS無塵室功能來打造客製化的無塵室。</p> <p>過去，AWS就有提供企業成為UID 2.0 Private Operator的服務，便於使用AWS的企業加密自家數據為去識別化數據共享格式，與生態系中其他企業比對數據。這次推出數據無塵室，則進一步鎖定只想跟特定合作夥伴共享數據的企業。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#原生廣告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Taboola</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Yahoo</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#30年協議</span></strong></span></p> <p><strong>Yahoo與Taboola廣告雙巨頭簽訂30年廣告合作協議</strong></p> <p><a href="https://www.taboola.com/press-release/taboola-yahoo-native-deal">Yahoo與內容推薦平臺Taboola簽訂長達30年協議</a>，由Taboola獨家提供Yahoo數位資產平臺上的原生廣告內容。Yahoo擁有近9億全球月活躍用戶，預計雙方合作後，廣告年營收能高達10億美元。</p> <p>協議中，Yahoo買下Taboola近25%股份，成為最大股東，並在Taboola董事會增設一名Yahoo代表。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者隱私</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方數據</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據交換</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Cookieless</span></strong></span></p> <p><strong>Salesforce報告：行銷業者開始採用更多元數據來源，但75%仍使用部分第三方數據</strong></p> <p><a href="https://www.salesforce.com/resources/research-reports/state-of-marketing/">調查6,000家行銷業者的年度Salesforce行銷報告出爐</a>，調查顯示，為了更全面分析使用者，業者的行銷數據來源更加多元，從去年10種來源增加到今年15種來源，預計明年還會增加到18種。其中又以交易數據、數位身分及使用者主動告知的偏好為前三大宗數據來源。</p> <p>不過，有75%業者或多或少有使用第三方數據。Salesforce警告，即使Cookie退場時限不斷延遲，隱私權意識跟相關法規仍持續抬頭，應盡早準備脫離第三方數據。調查中，業者應對方法包括提供使用者給予資料的誘因、制定第一方數據治理策略以及制定第二方數據交換策略等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#IAB</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#DOOH</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RTB標準</span></strong></span></p> <p><strong>IAB TechLab推出數位家戶外廣告的即時競價標準</strong></p> <p>因應越來越多廣告主透過程序化方式購買數位家戶外（DOOH）廣告，<a href="https://github.com/InteractiveAdvertisingBureau/openrtb2.x/blob/main/implementation.md#79---digital-out-of-home-">IAB TechLab近日將DOOH程序化廣告的交易標準納入即時競價標準OpenRtb</a>中，針對DOOH廣告受眾可變性、地點多樣性、網路延遲性以及版面大小不統一等特性，設計即時競價的物件屬性規範。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTB.jpg" style="width: 600px;" /></a></p> <p>由於DOOH廣告一對多的特性，劣質廣告可能對廣告主及發布商造成嚴重損害，因此DOOH廣告發布前都需要發布商，甚至第三方，來人工審查。因此IAB TechLab也建議使<a href="https://github.com/InteractiveAdvertisingBureau/AdManagementAPI/blob/master/Ad%20Management%20API%201.0%20FINAL.md#intro">用IAB廣告管理API</a>來進行廣告內容的提交及溝通。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Adtech</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#衰退</span></strong></span></p> <p><strong>投資銀行Luma Partners報告：Martech和Adtech今年歷經衰退，創業投資金額降回疫情前水準</strong></p> <p>專注於數位媒體和行銷的投資銀行<a href="https://lumapartners.com/content/presentations/state-of-digital-marketing-2022/">Luma Partners State of Digital Marketing 2022報告出爐</a>。歷經2021年大幅成長後，行銷和廣告科技業界今年出現冷卻跡象，相關上市公司股價分別跌了56%和60%。</p> <p>此外，行銷和廣告科技界的大規模融資案也明顯減少。從圖表中可以看到，近兩季超過1億美元的大型融資案與先前幾季相比，數量只剩下一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/funding(1).jpg" style="width: 600px;" /></p> <p>不過，Luma Partners也指出一些Martech業界逆勢成長的趨勢。首先是CDP及意圖取代CDP的數據解決方案今年持續在業界升溫，不僅相關投資和公司雇員都大幅成長，還出了6個獨角獸或接近獨角獸等級的企業。打著隱私權大旗，用於交換第一方數據的數據無塵室也獲得大量關注。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據比對</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方數據</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據交換</span></strong></span></p> <p><strong>身分數據服務商LiveIntent在Salesforce AppExchange上推出數據比對工具</strong></p> <p>使用Salesforce行銷雲的企業將多一種客戶數據優化工具。<a href="https://appexchange.salesforce.com/appxListingDetail?listingId=a0N3u00000Qtgr5EAB&placement=a0d3u00000DnMQ0AAN">身分數據服務商LiveIntent在Saleforce軟體市集上推出數據比對工具</a>，能比對企業CRM數據與LiveIntent資料庫中的資料進行比對。</p> <p>當兩方資料庫有對應資料，LiveIntent會於CRM內的客戶數據中加入各式身分、人口統計資料、行為及興趣資料，並刪除重複客戶數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據清洗</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#行銷數據代表性</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#精準行銷</span></strong></span></p> <p><strong>美國數據管理新創Truthset正式開放行銷數據驗證服務，提升數據代表性及精確度</strong></p> <p>數據驅動行銷，或許能提升行銷精確度。但若數據本身不精確，企業行銷預算就會付諸東流。因此，數據準確度對數據供應商來說是相當核心的競爭力。數據管理新創Truthset是行銷業界少見的數據驗證商，提供比對客戶數據與美國人口普查等可信資料的服務，來評估數據可信度。Truthset的驗證服務在內部Beta時已經服務Epsilon、Alliant、Data Axle等20家大型行銷數據供應商，<a href="https://www.truthset.io/post/truthset-data-collective-emerges-from-private-beta-unveils-suite-of-new-enterprise-capabilities">近日進入正式版，對所有企業開放。</a></p> <p>數據供應商便能以驗證結果來分析自家不同數據來源的可信度、數據代表性、比較自家數據與競爭者的準確度，並用驗證結果作為第三方數據精確度認證。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1.<a href="https://www.wsj.com/articles/twitter-offers-advertisers-generous-incentives-after-many-marketers-left-platform-11669922354?mod=hp_lead_pos4"> Twitter將在聖誕季提供廣告主超高額的回饋方案，最多提供行銷預算100%的額外服務。</a></p> <p>2. <a href="https://www.iab.com/insights/2023-outlook-survey/">IAB調查顯示，有61%廣告主正在考慮或已經投入RMN廣告，並有56%正在考慮或已經投入元宇宙相關廣告。</a></p> <p>3. <a href="https://www.channel99.com/articles/channel99-debuts-to-enable-b2b-marketers-the-ability-to-measure-and-benchmark-the-performance-of-channels-and-vendors/">美國行銷歸因新創Channel99推出免費App，讓企業追蹤多通路的行動轉換率及實際消費轉換率</a></p> <p>資料來源：iThome整理，2022年12月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Luma Partners、漸強實驗室</p> </div></div></div>
2022/12/11 21:14作者郭又華https://www.ithome.com.tw/news/154643
Google釋出Compose for Wear OS 1.1，新增介面元件與實驗性預留位置API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對手錶現代宣告式UI工具包Compose for Wear OS，釋出最新版本1.1，這是在今年Compose for Wear OS穩定版本推出以來第一個更新，官方改進了現有元件，並且將焦點放在用戶體驗和可存取性，同時更新了範例、程式碼實驗室和Horologist函式庫等周邊資源。</p> <p>Compose是Google推出的UI開發工具，使開發者能夠以更直覺的方式，編寫和閱讀UI程式碼，並且在設計階段更快地產出原型，同時開發團隊也可以順暢地進行程式碼協作。Compose for Wear OS則是針對手錶體驗進行最佳化，內建了Wear OS專屬的Material設計。</p> <p>在1.1的版本中，Google讓開發者能夠自定義用戶介面，添加了外圍邊框形式（Outlined）的Chips和按鈕（Buttons），OutlinedChip和OutlinedButton也都有新的細邊框透明元件供選用，有可用於標示中等重點操作的環形運動場形式，與可在同一畫面顯示多個元件的緊湊版本。從這個版本開始，開發者可以使用新的函式重載，修改Chip/ToggleChip、Button/ToggleButton元件的形狀。</p> <p>Compose for Wear OS 1.1開始實驗預留位置API（Placeholder API），來支援預留位置需求，可用於單獨或是一起實作3種不同的視覺效果。開發者可以使用預留位置背景筆刷效果，在當Chip和Cards元件等待內容載入時，在預留位置圖示加上刷新的視覺效果。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjcsrF8Vw0tliKNe8M4peOjdQ92_8fhe0RCvNlWcTxPYaWdxd6HeWLIp-Th92aSfQOlOBnkMetql0zcHYdENiWXlE6nX-G-LKqk9O98cCxLDaC1-zcrJB6adGWtBDl-WbwloNL6sxkyQB2HzV8OSQNCEQWS8_XAMxTqyTlAFPiAoUtXg_PYV2JwxAf_/s1600/image6.gif" style="width: 300px; height: 300px;" /></p> <p>在等待內容載入階段，開發者便可以先使用Modifier.placeholder() ，該API會在欲顯示內容的位置上，繪製一層環形運動場形狀的圖示，當載入完成圖示便會替換成要真正顯示的內容，另外，開發者也可以使用Modifier.placeholderShimmer() 在預留位置圖示上加上漸層微光特效，表示資料正在載入。</p> <p>可產生弧形文字的CurvedTextStyle，現在加入更多屬性，包括fontFamily、fontWeight、fontStyle和fontSynthesis，供開發者指定弧形文字樣式的細節。</p> </div></div></div>
2022/12/9 23:18作者李建興https://www.ithome.com.tw/news/154639
【資安日報】2022年12月9日，美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.recordedfuture.com/exposing-tag-53-credential-harvesting-infrastructure-for-russia-aligned-espionage-operations" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國軍火供應商遭到俄羅斯駭客TAG-53攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exposing_tag_53_credential_harvesting_infrastructure_for_russia_aligned_espionage_operations_figure_4_aa075fc12f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exposing_tag_53_credential_harvesting_infrastructure_for_russia_aligned_espionage_operations_figure_4_aa075fc12f.png" style="width: 300px; float: right;" /></a>威脅情報業者Recorded Future揭露俄羅斯駭客TAG-53的攻擊行動，駭客鎖定美國軍火供應商Global Ordnance進行網路釣魚，他們透過名稱相仿的網域，設置冒牌的微軟登入網頁，企圖騙取該公司員工的帳密。</p> <p>然而研究人員進一步調查發現，這些駭客總共設置了38個用於網釣的網域，其中有9個網域他們推測出駭客的攻擊目標，這些組織又以歐美航空及國防產業最多，但也有衛星通訊業者、非政府組織（NGO）受害，當中有2個網域可能是針對俄羅斯內政部。</p> <h3><a href="https://www.deepinstinct.com/blog/new-muddywater-threat-old-kitten-new-tricks" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列、埃及組織遭伊朗駭客MuddyWater鎖定，濫用遠端管理工具Syncro與檔案共享服務發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-muddywater-threat-campaign-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-muddywater-threat-campaign-overview.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct自今年10月發現伊朗駭客組織MuddyWater的攻擊行動，駭客針對以色列、埃及、伊朗、約旦、卡達、阿拉伯聯合大公國（UAE）等國家下手，使用遠端管理工具Syncro來掌控受害者的電腦。</p> <p>攻擊者寄送帶有HTML檔案的釣魚郵件，一旦收信人開啟附件檔案，該HTML檔案就會引導收信人從檔案共享服務OneDrive、Dropbox、OneHub下載Syncro安裝程式，使用者若是依照指示安裝，電腦將會成為駭客「列管」的對象，駭客將會部署後門程式並將其做為存取整個組織的管道。</p> <p>研究人員指出，由於駭客散布的釣魚郵件與附件沒有顯著的攻擊特徵，而不會被郵件安全系統攔截。使用者若是收到要求安裝軟體的信件，應先向IT部門進行確認，再依照指示操作。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/trojanized-onenote-document-leads-to-formbook-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟OneNote筆記軟體檔案遭到濫用，被拿來散布惡意軟體Formbook</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/formbook-onenote-picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/formbook-onenote-picture2.png" style="width: 300px; float: right;" /></a>駭客利用Word、Excel檔案散布惡意軟體的情況相當常見，但現在也有其他Office應用程式遭到濫用。資安業者Trustwave揭露近期散布木馬程式Formbook的攻擊行動，駭客透過釣魚郵件挾帶微軟筆記軟體OneNote的檔案（.ONE），信件內容宣稱是確認收信人公司的報價回覆，並表示先前詢問的報價資料如附件。</p> <p>一旦收信人開啟附件檔案，就會看到「檢視文件」的按鈕，按下後會觸發Windows指令碼檔案（WSF）執行，進而在受害電腦植入Formbook。研究人員指出，駭客為了混淆視聽，將上述的WSF檔案的檔名加入由右至左書寫的Unicode字元U+202E，導致檔名倒過來顯示，如：將xcod.wsf變成fsw.docx。</p> <h3><a href="https://blog.morphisec.com/babuk-ransomware-variant-major-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">市值數十億美元的製造公司遭勒索軟體Babuk鎖定</span></strong></a></h3> <p>資安業者Morphisec揭露勒索軟體Babuk變種病毒的攻擊行動，駭客鎖定市值數十億的製造業者下手，該公司有上萬臺工作站電腦與伺服器主機，駭客先進行為期兩週的偵察行動，並入侵網域控制器，再設置群組原則物件（GPO）來大量部署惡意軟體。</p> <p>研究人員指出，這次攻擊行動出現的Babuk，與過往的版本最為顯著的差異在於，駭客結合了開源的規避偵測軟體，以及更為隱蔽的側載手法，使得上述製造業者部署的次世代防毒軟體、EDR系統並未將其識別為有害。</p> <h3><a href="https://www.threatfabric.com/blogs/zombinder-ermac-and-desktop-stealers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暗網出現軟體封裝系統Zombinder，讓駭客在Android、Windows應用程式挾帶惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/zombinder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zombinder.png" style="width: 300px; float: right;" /></a>駭客在發動惡意軟體攻擊的過程中，為了降低受害者警覺，很可能會改造應用程式的安裝檔案，從中偷渡惡意軟體，如今在網路犯罪圈也依此概念衍生出專門的軟體封裝平臺。</p> <p>資安業者ThreatFabric在調查安卓惡意軟體Ermac的攻擊行動時，意外在暗網發現名為Zombinder的惡意軟體封裝平臺，多個組織的駭客將其用於製造帶有Ermac、金融木馬Xenomorph的安卓應用程式安裝檔案（APK），以及帶有Laplas剪貼簿截取工具、竊密軟體Aurora與Erbium的Windows軟體安裝程式。研究人員粗估有數千名受害者不慎執行由Zombinder產生的「安裝程式」，其中，竊密軟體Erbium已成功從1,300名受害者偷取各式帳密。</p> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/06/dev-0139-launches-targeted-attacks-against-the-cryptocurrency-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣投資人遭到鎖定，駭客透過Telegram群組散布惡意軟體</span></strong></a></h3> <p>微軟安全威脅情報團隊揭露DEV-0139駭客組織的加密貨幣詐騙攻擊，駭客看上加密貨幣投資公司利用Telegram群組提供VIP客戶服務，他們假冒是這類投資公司，邀請攻擊目標對他們與同行收取的手續費提供意見。一旦目標人士信以為真，他們就會收到惡意Excel檔案，並依照指示開啟巨集，此檔案將會下載帶有惡意程式的PNG圖檔，並解密惡意DLL檔案與後門程式，並在受害電腦部署。研究人員指出，駭客為引誘受害者啟用巨集，刻意為部分工作表加上密碼保護。</p> <h3><a href="https://www.ithome.com.tw/news/154605"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></strong></a></h3> <p>雲端服務業者Akamai的資安研究團隊於11月發現殭屍網路KmsdBot，該殭屍網路病毒專門透過SSH連線入侵採用弱密碼的裝置，目的是將其用於挖礦。但在調查的過程裡，研究人員調整了其中一個殭屍網路病毒的C2中繼站配置，結果因為指令有誤，導致所有受害裝置上的KmsdBot停擺。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/us-health-dept-warns-of-royal-ransomware-targeting-healthcare/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告醫療機構遭到勒索軟體Royal鎖定</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/commonspirit-health-ransomware-attack-exposed-data-of-623-000-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國大型醫療連鎖機構CommonSpirit Health證實遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154615"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NPM提供更精細的權限管理，以強化套件生態安全</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154611"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SEMI推半導體資安風險評級服務，盼促進產業鏈提升資安量能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154613"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紅帽於RHEL作業系統整合開源雲端安全軟體架構Keylime</span></span></strong></a></p> <p><a href="https://www.securityweek.com/several-code-execution-vulnerabilities-patched-sophos-firewall"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Sophos修補防火牆任意程式碼執行漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154575">【2022年12月6日】 American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/9 16:30作者周峻佑https://www.ithome.com.tw/news/154640
微軟實驗供開發者在瀏覽器執行Python程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-december-2022-release/">VS Code Python擴充套件12月更新</a>，這次更新的主要兩個亮點，在於Pylance自動縮排以及瀏覽器現在也能執行Python。</p> <p>VS Code的Pylance擴充套件透過深入理解Python，以進一步提供自動縮排功能，這減輕了開發人員編排格式的負擔，能夠更專注在程式碼邏輯開發上。目前開發者需要在VS Code Insiders的Python擴充套件預發布版本試用這項功能。</p> <p>另外，開發者現在可以嘗試在瀏覽器中的VS Code網頁版vscode.dev，執行和除錯Python程式碼。要使用這項實驗性功能，開發者需要使用Chromium為基礎的瀏覽器，並先安裝Python for the Web擴充套件最新版本，這會將WebAssembly用作執行引擎，在網頁中執行Python程式碼。</p> <p>官方提到，目前這項功能還是實驗和研究性質，目的是要進一步了解使用WebAssembly在網頁中執行Python的情況，開發者不應該將其用於Python產品開發，因為其還存在諸多限制。</p> </div></div></div>
2022/12/9 15:32作者李建興https://www.ithome.com.tw/news/154638
Tor瀏覽器12.0原生支援Apple Silicon，開發團隊重啟Android版本更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高隱私安全Tor瀏覽器釋出了最新版本<a href="https://blog.torproject.org/new-release-tor-browser-120/">12.0</a>，由於Tor瀏覽器是以Firefox作為基礎開發，因此開發團隊數個月來一直在審查Firefox ESR 102中的功能，並且已將所有與Tor瀏覽器隱私和安全原則衝突的內容停用。這個版本增加多語言環境和Apple Silicon的支援，同時Android版本預設採用HTTPS-Only模式。</p> <p>Tor瀏覽器終於也開始原生支援Apple Silicon，官方提到，這是一件不容易的工作，而Tor瀏覽器與Firefox採用一樣的支援方法。是以通用二進位檔案提供安裝支援，也就是x86-64和ARM64的建置捆綁在一起，於安裝時會自動選擇正確的版本。</p> <p>Tor開發團隊重新拾起Android版本Tor瀏覽器，試圖再次開始定期更新，並且跟上Android版Firefox Fenix的發布周期。目前開發團隊的Android版計畫，是要將桌面版本的高優先功能，移植到Android上，而這項工作從HTTPS-Only模式開始，這將能夠讓Tor瀏覽器可抵抗SSL Stripping攻擊。</p> <p>Android版Tor瀏覽器的另一個重要更新，是會在可用的情況下，優先處理.onion站點，在用戶啟用該選項後，便會在網站有對應的.onion站點時，自動重新導向至.onion站點。</p> <p>過去非英文的桌面版Tor瀏覽器使用者，需要從下載頁面找到對應的語言版本，而且在安裝後要切換語言，也不是一件簡單的事，需要將新的語言套件添加到現有安裝中，或是重新下載一個Tor瀏覽器。</p> <p>現在桌面版Tor瀏覽器正式支援多語言環境，所有語言都包含在同一個套件中，但是要在單一下載中綑綁多語言，勢必增加Tor瀏覽器的檔案大小，而官方強調，他們找到了在其他部分節省容量的方法，因此Tor瀏覽器12跟11.5的檔案大小差距很小。</p> </div></div></div>
2022/12/9 14:48作者李建興https://www.ithome.com.tw/news/154637
遠距虹膜辨識結合人臉辨識誤判率低於百億分之一，NEC預估2年內可以廣泛應用在商業場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>和ATM對看一眼就可以安心領錢的時代，2年內便會到來，NEC台灣金融製造解決方案事業群副總經理徐健評如此預測。</p> <p>NEC近日展示自家生物辨識及AR技術在金融、交通和零售領域的商業應用。雖然NEC早已掌握生物辨識技術多年，不過，NEC台灣副總經理卓崧華表示，今年這些技術模組化成各種解決方案，開始落地於實際商業場景。其中精度最高的遠距虹膜辨識搭配人臉辨識，做到低於100億分之一的誤判率，還有去識別化、高偽造難度等特性，可用機密需求度高的領域。</p> <p><strong>遠距虹膜辨識技術，預計2年內能普及應用於商業場景</strong></p> <p>遠距虹膜辨識技術分為4個步驟，先從鏡頭遠距擷取虹膜圖像、預處理虹膜圖像成多光譜圖像、從預處理結果擷取出特徵值、再將特徵值與企業資料庫內容比對。徐健評強調，虹膜特徵值無法逆推，去識別化的資料。NEC多年前就提供遠距虹膜辨識技術，也有上述4步驟的產品，不過，由於成本因素，一直未能廣泛應用於實際商業場景，直到現在開始出現可落地的產品，例如NEC將在日本與多家便利商店合作推出運用虹膜辨識來結帳的示範店。徐健評解釋，從開始落地到真正普及有2個關鍵，一是內建虹膜辨識的穿戴裝置普及化，來拉低相關設備市價，其二則是相關法規明朗。他認為，預計2年內，這些環境因素就會水到渠成。</p> <p>今年，NEC統整過去執行生物辨識專案的經驗，推出生物辨識平臺，用來收攏不同設備產生的生物特徵檔，來統一管理、運用，NEC希望能鎖定金融服務、零售結帳以及保安等場景。</p> <p><strong>戴口罩能辨識身分、脫口罩能分析表情，人臉辨識交通和零售場景應用多</strong></p> <p>自2019年起，NEC的One ID人臉辨識解決方案就開始陸續落地於臺、日、美機場。用於快速報到、快速通關、貴賓室門禁和免稅店自助結帳等。2020年，NEC更因應疫情需求，推出不用脫口罩的人臉辨識技術。NEC現在也展示了在智慧零售領域的生物辨識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/omo.jpg" style="width: 750px;" /></p> <blockquote><p><em>NEC展示多種智慧零售應用，包括結合實體體驗設備的<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">AR虛擬貨架（左），以及可以辨認人臉表情來推薦飲料的行銷工具（右）。攝影－郭又華</span></em></p> </blockquote> <p>除了用來辨識消費者會員身分，人臉辨識技術還能用表情及視線辨識，在實體店面提供智慧行銷方案。例如，利用人臉分析來推測消費者性別、年齡及心情，並即時推薦適合商品。現場示範的案例是，可以依照消費者的微笑幅度等資訊，來推薦商家認為適合消費者當下心情的飲品。</p> <p>NEC也展示了如何用臉部辨識來推定視線的技術。當消費者站在貨架前，系統會研判出消費者會員身分以及感興趣商品，再結合電子標籤來顯示個人化折扣，達到即時促銷效果。從現場示範可以看到，消費者注目一個商品時，對應的電子標籤價格就會顯示出會員名稱及折扣方案，可搭配行銷策略模組，直接在電子標籤上定期更換成不同的促銷方式介紹，像買一送一或於單品售價旁邊顯示批量購買的折扣方案等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vis.jpg" style="height: 500px;" /></p> <blockquote><p><em>結合視線追蹤技術的實體貨架，可以辨認出消費者會員身分及注目的商品，即時顯示個人化折扣（上）。</em><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">搭配鏡頭的貨架可結合NEC客層分析技術Field Analyst，利用電腦視覺推測場域內所有人的性別及年齡，來補足非會員消費者的客層數據。</span></p> </blockquote> <p>除了生物辨識，NEC也展示了一個應用AR虛擬貨架的OMO購物體驗。當消費者用手機掃描到虛擬商品定位點，就可以在手機看到相關商品資訊。與此同時，後臺會啟動實體店面的香氛機等試用設備，讓消費者能即時體驗商品。如此一來，不只商品展示能脫離實體空間限制，更能將消費者購物行為數位化，有利後續分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/anal.jpg" style="width: 600px;" /></p> <p>這些智慧零售設備的營運數據，都能彙整到NEC後臺分析工具，進行多維度數據的交叉分析。例如分析實體貨架和虛擬貨架的銷售情況、利用Field Analyst客層分析結合視線停留秒數和銷售數據，來了解不同客群對產品的興趣及實際購買情況，或分析不同個人化行銷策略的實際成效等。零售業者透過應用各式可蒐集數據的智慧零售及OMO零售設備，便能像電子商務場景一樣，對實體零售場景進行高精細度的分析。</p> </div></div></div>
2022/12/8 17:19作者郭又華https://www.ithome.com.tw/news/154614
善用商業力厚植民主與環保
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>九合一大選終於落幕，雖然選前就有不少人預期投票率不高，但實際狀況還是相當慘烈，直轄市長只有59.86％，而很多人看好也支持的18歲公民權修憲公民複決，投票率為58.97％，且同意票數雖然超過不同意，但差了397萬票而無法通過門檻。</p> <p>為何民眾投票意願低？當中因素很多，但關於經濟方面的考量，似乎並未看到有人討論。投票當天是11月26日，如果是領月薪的工作者，正是處於財務捉襟見肘的時候，對於眾多不在戶籍地工作、上學的人而言，可能因為不想或無法負擔交通與時間成本，而決定放棄投票。如果這真的是影響投票率的關鍵因素之一，或許也坐實過去有人提出的「民主不能當飯吃」論調，因為大家不得不省錢或當天難以離開工作現場去投票。</p> <p>但民主不重要嗎？誠如總統蔡英文在2019年所言：「沒有民主，只能要飯吃」，以及聯電創辦人曹興誠今年11月演講提到：「沒有民主的飯很難吃！」均以不同的方式說明民主的重要性。然而，受限於COVID-19疫情管控必須按部就班進行，以及全球通貨膨脹、物價飆漲等種種不利因素，民眾必須耗費更大力氣來維持生活的穩定，若政府未持續祭出更多讓民眾有感的紓困與補貼機制，多數人可能都不得不陷入價值選擇，而無法兼顧，的確！活著已不容易，遑論尊嚴與感受，這些只能暫時擱置。</p> <p>為了避免這類為了荷包而犧牲民主自由的狀況重演，政府不僅要推動整體國家經濟發展，對於一般民生經濟的支持與資助也必須更為關照，促進商業復甦與蓬勃發展；而作為企業的營運者，也需提升組織的應變韌性與風險管理，使員工安心工作，顧客也能以合理價格滿足需求，協助大家在無後顧之憂的狀態下，得以專注評估未來四年的地方首長，以及反映民意、監督政府施政的代表。</p> <p>除了民主，環保也是另一個容易受到許多現實因素限制，而經常被大家擱置、犧牲的議題。隨著今年更加確立全球2050淨零排放（Net Zero by 2050）目標，各個國家、產業、企業都將積極推動相關的轉型計畫。而所謂的淨零排放，是設法減少人為造成的溫室氣體排放量，降低至近乎0的程度，可用負碳技術、自然碳匯等方法抵消碳排放，而非不排放溫室氣體。</p> <p>根據國家發展委員會今年3月底公布的臺灣2050淨零排放路徑藍圖，當中提出建築、運輸、工業、電力、負碳技術等5大路線規畫，並以科技研發與氣候法制做為兩大治理基礎，分別發展淨零轉型所需的各種技術，以及調整、訂定相關法規與制度，而在轉型策略推展上，將針對能源、產業、生活、社會等4大層面進行。</p> <p>除了公部門的推動，民間企業的持續支持與主動參與也相當重要。而在IT產業當中，我們看到今年下半國內外越來越多廠商開始向外界宣傳這方面的議題，以及自身的現況與轉型策略，並呼籲用戶與整個產業重視。</p> <p>除了發布更多資訊，有些大型廠商也開始舉辦主打此類議題的公開活動，一方面展示他們現行與其他業者合作的相關設計，另一方面也趁機宣傳即將上市的新平臺。</p> <p>例如，英特爾12月7日首度在臺舉行的Intel Sustainability Taiwan Day，公開展示多款設備，像是：該公司5月發表的開放智財浸沒式液體冷卻完整解決方案，以及9月公開的伺服器部署套件Open IP Server Deployment Kit。</p> <p>合作廠商方面，英業達展出可容納48U機架空間的開放智財浸沒式冷卻解決方案，以及針對嚴酷邊緣環境的兩款冷卻設備，混合浸沒式冷卻、水冷和氣冷等3種方式；雲達科技則展出另一種混合冷卻作法，他們推出名為QoolRack的機櫃，將直接晶片冷卻（D2C）從伺服器層級提升至機櫃層級。</p> <p>在個人電腦方面，宏碁展出採用消費後再生塑膠材質的筆電與AIO電腦Aspire Vero，微星展出導入ATX 12VO規範的微星主機板和桌上型電腦系統。</p> <p>隨著更多關注環保特性的IT產品推出，加上從各種層面施加的法規要求力道，可望從商業力量、公部門執法，提供更多選擇，進而減少溫室氣體與電子廢棄物處理負擔。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B7%A8%E9%9B%B6%E6%8E%92%E6%94%BE">淨零排放</a></div><div class="field-item even"><a href="/tags/%E8%BD%89%E5%9E%8B">轉型</a></div></div></div>
2022/12/9 13:25作者李宗翰https://www.ithome.com.tw/voice/154627
人類如何勝過AI？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960zhu_tu_-itshu_zhai_-21shi_ji_de_21tang_ke_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們完全無從得知，2050年的就業市場會是什麼樣子。一般同意，機器學習和機器人將會改變幾乎所有工作，從製作優格到教導瑜伽都無法倖免。但談到這項改變的本質及急迫性，各家觀點也就眾說紛紜。</p> <p>早從19世紀，就開始有人擔憂自動化會造成大量失業，但至今從未出現這種景況。自工業革命揭開序幕以來，機器每搶走一項舊工作，也會至少創造一項新工作，而且平均生活水準大幅提高。但我們有充分理由相信這次情況不同，機器學習將真正徹底改變整個情勢。</p> <p><span style="font-size:28px;"><strong>取代人類的機器</strong></span></p> <p>人類有兩種能力：身體能力和認知能力。過去，機器主要是在原始的身體能力得以與人類競爭，而人類則是在認知能力仍享有巨大優勢。因此，隨著農業和工業的工作邁向自動化，就出現了新的服務業工作。這些新工作需要人類獨有的認知技能：學習、分析、溝通，特別是必須理解人類的種種情緒。然而，人工智慧（以下簡稱AI）已經在愈來愈多認知技能項目上超越人類，包括理解人類的情緒。而且，除了身體能力和認知能力之外，我們並不知道還有什麼第三種領域，讓人類能夠永遠勝過機器。</p> <p>必須體認到的一項關鍵在於：AI革命不只讓電腦運算更快、更聰明，AI更搭配了在生命科學和社會科學方面的種種突破。我們愈瞭解是哪些生化機制在支撐人類的情感、欲望和選擇，也就愈能分析人類行為、預測人類決策，最終取代人類的司機、銀行經理和律師。</p> <p>過去幾十年，由於在神經科學和行為經濟學等領域的研究，讓科學家能夠「駭進」人類，更清楚瞭解人類究竟是如何做出各種決定。事實證明，我們從選擇食物到選擇伴侶，都不是出於什麼神祕難解的自由意志，而是數十億神經元在瞬間計算各種可能性的結果。過去大受讚譽的「人類直覺」，其實只是「辨識模式」罷了。優秀的司機、銀行經理和律師，對路況、投資或談判交涉並沒有什麼神奇的直覺，只不過是辨識出了某些一再出現的模式，於是能夠閃過漫不經心的行人、拒絕無力償債的借款人、戳破心懷不軌的騙子。而且，那些領域的研究同時也證明，人腦的生化演算法距離完美還有很長一段路。人腦會想走捷徑、想根據不完整的資訊快速找出解答，而人腦的迴路也顯得過時，整套機制適合的是過去的非洲大草原，不是現在的都市叢林。也就難怪，就算是優秀的司機、銀行經理和律師，也會犯下愚蠢的錯誤。</p> <p>這代表著，就算是那些本來認為是靠直覺的工作，AI也能夠表現得比人類更好。</p> <p><span style="font-size:28px;"><strong>如果機器也有「感覺」</strong></span></p> <p>如果是說AI能比人類更有那種難以言喻的第六感，這種事大概不會發生；但如果講的是AI能比人類更懂得計算機率、辨識模式，聽起來可能性就高了許多。</p> <p>特別是如果某些工作需要「關於別人」的直覺，AI的表現就能優於人類。許多工作（例如在人潮滿滿的街上開車，把錢借給陌生人，商業上的談判交易等等）都需要準確評估別人的情緒和願望。那個孩子是不是會突然跑到馬路中間？這個穿著西裝的人，是不是打算從我這裡一借到錢就消失？</p> <p>那位律師的言語威脅是認真的嗎？還是只想嚇嚇我？只要我們覺得這些情緒和欲望是來自某種非實體的心靈，顯然電腦就永遠無法取代人類的司機、銀行經理和律師。原因就在於：電腦怎麼可能去理解「心靈」這種神聖的創造物呢？然而，如果這些情緒和欲望實際上也只不過是某些生化演算法，電腦就沒理由無法解譯，而且解譯的成績一定比任何智人都來得好。</p> <p>不管是司機預測行人想往哪走，銀行經理判斷借款人的信用好壞，又或是律師衡量談判桌上所瀰漫的情緒，凡此種種所依賴的都不是巫術，而是在他們無所覺的情況下，大腦就會透過分析臉部表情、聲調、手部動作、甚至體味，來判讀生化模式。AI只要搭配適當的感測器，絕對可以把這些工作做得比人類更精確、更可靠。</p> <p>因此，失業的威脅不只是因為資訊科技的興起，而是因為資訊科技與生物科技的融合。要從功能性磁振造影（fMRI）掃描機，走到勞動市場，這條路肯定是漫長而曲折的，但花個幾十年總是能走完。腦科學家今天對杏仁體（主司情緒與恐懼反應）和小腦（主司感官資訊的整合與微調運動技能）的研究，就有可能讓電腦在2050年比人類更適合擔任精神科醫師和保鏢。</p> <p><span style="font-size:28px;"><strong>該如何與AI共生</strong></span></p> <p>AI也可能以另一種方式，協助創造新的人類工作：人類與其想贏過AI，不如把重點放在AI的維修和運用。舉例來說，因為無人機取代了飛行員，有些工作確實消失了，但同時在維修、遠端控制、資料分析和網路安全方面，卻也創造了許多新的工作機會。美國軍方每派出一架「掠奪者」或「死神」無人機飛越敘利亞，就需要有30人在幕後操作；至於蒐集完資料的後續分析，更需要至少再80人。在2015年，美國空軍就曾經因為受過足夠訓練的人力不足，面臨無人操作無人機的窘境。</p> <p>這樣說來，2050年的就業市場特色，很可能在於人類與AI的合作，而非競爭。從警務到銀行等各種領域，「人類搭配AI」的表現都能超越純粹的人類、或超越純粹的電腦。在IBM的深藍於1997年擊敗世界西洋棋王卡斯帕羅夫之後，人類並沒有停止下棋。相反的，在AI協助訓練之下，人類的西洋棋大師水準比過去更高。而且至少有一段時間，由人類和AI搭配而有「半人馬」之稱的這種隊伍，在西洋棋的表現也擊敗了純粹的人類和純粹的電腦。很有可能，AI也能像這樣，協助培養出史上最傑出的偵探、銀行經理和軍人。</p> <p>然而，這些新工作都需要高水準的專業知識，無法解決無技能勞工失業的問題。想讓勞工再受訓後、去做這些工作，可能還不如直接創造完全屬於人類的全新工作。像是在過去的自動化浪潮中，勞工通常可以從某項規律性、低技能的工作，輕鬆轉向另一項同樣規律性、低技能的工作。像是在1920年，因為農業機械化而失業的農場工人，可以轉到製造曳引機的工廠裡找到新工作。在1980年，工廠工人失業後，也可以轉到超市裡當收銀員。這種轉職在過去是可行的，因為從農場到工廠、從工廠到超市，都只需要稍加重新培訓即可。</p> <p>但是到了2050年，收銀員或紡織工人的工作都由機器人接手之後，他們大概無法轉職成癌症研究學者、無人機操控員、或是人類搭配AI的銀行團隊一員。他們就是少了必備的技能。在第一次世界大戰的時候，派出百萬名大兵扛著槍一陣亂射，犧牲在所不惜，其實是合理的做法，畢竟當時個人的技術好壞並不會造成太大差異。但到了今天，就算無人機操控員和資料分析師的位子確實缺人，美國空軍可不會找個失業的超市收銀員來填埔空缺。你可不希望有個沒經驗的菜鳥，把阿富汗的婚禮派對，誤認為塔利班的高層集會吧？</p> <p>因此，雖然出現許多新的人類工作，仍然可能看到新的「無用階級」日益龐大。我們甚至可能是兩面不討好：許多勞工找不到工作，但也有許多雇主找不到有技能的勞工。這可能就像是19世紀馬車變成汽車的情況再現，當時許多馬車司機轉業成為計程車司機；只是我們可能不是那些轉業的司機，而是被淘汰的馬！<span style="color:#696969;"><strong>（本文摘錄整理自《21世紀的21堂課(增訂版)》，天下文化提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-IT%E6%9B%B8%E6%91%98-21%E4%B8%96%E7%B4%80%E7%9A%8421%E5%A0%82%E8%AA%B2.png" style="width: 317px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <strong><span style="color: rgb(51, 153, 255);">21世紀的21堂課（增訂版）</span></strong></p> <p>哈拉瑞（Yuval Noah Harari）／著；林俊宏／譯</p> <p>天下文化出版</p> <p>定價：600元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_21%E5%A0%82%E8%AA%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下文化</span></span></p> <p><strong>哈拉瑞（Yuval Noah Harari）</strong></p> <p>哈拉瑞1976年出生於以色列，擁有牛津大學博士學位，是歷史學者、哲學家暨暢銷書作者，公認是目前世上影響力數一數二的公共知識份子。在《人類三部曲》系列書籍取得巨大成功之後，與先生亞哈夫（Itzik Yahav）共同成立Sapienship公司。這是一家著重於教育及娛樂領域的社會影響力企業，希望能讓公共對話聚焦於目前最重要的全球挑戰。</p> </div></div></div>
2022/12/9 13:33未署名https://www.ithome.com.tw/article/154628
歐盟法規要求手機需在2024年12月28日前提供USB-C充電埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2380" target="_blank">歐盟本周公布</a>，所有在歐盟銷售的手機、平板等大部分數位裝置，應在2024年12月28日之前具備USB-C充電線插槽。</p> <p>今年6月歐洲議會與歐盟高峰會（European Council，EC）達成共識，通過《無線電設備指令》修正案，將要求境內銷售的電子裝置要在2024年加入USB-C規格的通用充電埠，涵蓋手機、平板電腦、筆電、數位相機、遊戲機等眾多產品。歐盟稱統一充電埠將有助於減少電子垃圾，節省消費者採購花費以及因充電線不相容產生的不便。</p> <p>按照歐盟的程序，新法令在歐盟官方公報（official journal）公告後才具有約束力。<a href="https://twitter.com/EP_SingleMarket/status/1600803353533222912" target="_blank">透過官方公報的公告</a>，共通充電埠規定於今年底正式生效，並預定兩年後的12月28日上路，比半年前歐盟預定的2024年秋天晚了一點。</p> <p>2024年12月底的期限適用於手機、平板、數位相機、遊戲機，筆電則可推遲到2026年4月。至於僅提供無線充電的數位產品則不在規範範疇內。</p> <p>此外，歐盟要求各會員國也應在2024年12月28日之前，將這項規定制訂為各國法令。</p> <p>歐盟最新要求將直接衝擊獨家使用Lightning連接埠規格的蘋果。<a href="https://www.theguardian.com/technology/2022/oct/26/iphone-usb-c-lightning-connectors-apple-eu-rules" target="_blank">蘋果高層10月證實</a>，他們不得不遵從歐盟法規。但蘋果主管未說明，蘋果將特別為歐盟生產具USB-C充電埠的iPhone，還是全面改用USB-C。</p> <p><a href="https://www.ithome.com.tw/news/150935" target="_blank">年中有報導指出</a>，蘋果已經在測試具備USB-C規格的iPhone。</p> </div></div></div>
2022/12/9 12:18作者林妍溱https://www.ithome.com.tw/news/154635
新版Chrome將具備省電與省記憶體功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/new-chrome-features-to-save-battery-and-make-browsing-smoother/" target="_blank">Google本周表示</a>，最新的Chrome版本將新增Memory Saver與Energy Saver兩項節能設定，以增加Chrome的記憶體及電池使用效率，預計會在未來幾周部署至全球的Windows、macOS與ChromeOS平臺上。外電則報導，這兩項功能將出現在Chrome 108。</p> <p>開啟Memory Saver模式（下圖，圖片來源／Google）後，Chrome可自動釋放沒在使用的分頁記憶體資源，以讓正在執行的分頁運作得更順暢，估計最多可減少40%或10GB的記憶體使用；倘若系統正在執行其它需要密集資源的應用，例如編輯影片或玩遊戲時，則更能發揮該功能的效益。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-Chrome-Memory%20Saver.png" style="width: 600px;" /></p> <p>另一個Energy Saver模式（下圖，圖片來源／Google）則可最大化電池壽命，當使用者正以Chrome瀏覽，同時裝置電池壽命只剩20%時，Chrome會藉由限制所造訪網站的背景活動及視覺效果來省電。Energy Saver功能一旦上線，Chrome瀏覽器右上方即會出現一個葉子圖示，方便使用者切換功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1209-Chrome-Energy%20Saver.png" style="width: 600px;" /></p> <p>新版Chrome的設定中將會出現新的「效能」（Performance）類別，來容納上述兩項新功能。</p> </div></div></div>
2022/12/9 12:45作者陳曉莉https://www.ithome.com.tw/news/154636
美國FTC控告微軟，欲阻擋與動視暴雪收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/D09412MicrosoftActivisionAdministrativeComplaintPublicVersionFinal.pdf" target="_blank">美國聯邦交易管理委員會（Federal Trade Committee，FTC）昨（8）日對微軟提出控訴</a>，以可能造成微軟壟斷遊戲市場為由，阻擋這家軟體巨人和遊戲出版商動視暴雪（Activision Blizzard）的687億美元收購案。</p> <p>FTC相信，依據暴雪公司的市場重要性，以及微軟過去不良經驗，這樁收購案可能嚴重弱化市場競爭造成壟斷，影響遊戲機、多人遊戲內容訂閱服務及雲端遊戲訂閱服務等不同市場區隔。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟於今年一月宣布</a>以687億美元收購這家曾發行《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）與《決勝時刻》（Call of Duty）等熱門遊戲的出版商，不但是該公司最大收購，也是遊戲產業最大宗收購案，同時讓微軟成為全球第三大遊戲出版商。</p> <p>FTC指出，動視暴雪在遊戲產業舉足輕重，對遊戲機業者十分重要，包括對微軟的競爭者。然另一方面，微軟則開發第一方遊戲，其產品僅限在微軟自有遊戲機Xbox或遊戲訂閱服務上執行。過去微軟買下10家第三方遊戲出版商，其產品往往最後變成其遊戲機及訂閱服務的專屬內容。例如2021年3月微軟買下ZeniMax Media時，曾向歐盟保證不會限制它執行在競爭者遊戲機上，等歐盟一核准後，微軟就宣布多款ZeniMax的遊戲成為微軟獨家。</p> <p>因此FTC相信，若微軟買下動視暴雪，將會在多項市場造成壟斷，因為這給了微軟更大實力，以及動機控制暴雪的遊戲陷競爭者於不利，也會加速垂直整合，提高市場進入障礙。</p> <p>FTC認為，取得動視暴雪可讓微軟有多種方法排擠對手，包括操控其遊戲內容訂價，在競爭遊戲平台上提供品質較差的遊戲內容或使用者體驗，變更遊戲內容條款和上市時程，或是完全不提供給競爭者等，使對手無法和Xbox遊戲機及Xbox Game Pass訂閱服務競爭，進而傷害美國消費者利益。FTC認為不論成熟或新興市場，包括高效能遊戲機、多人遊戲內容訂閱服務及雲端遊戲訂閱服務，都會面臨重大影響。</p> <p>在FTC之前，基於托拉斯疑慮，<a href="https://www.ithome.com.tw/news/152861" target="_blank">英國</a>及<a href="https://www.ithome.com.tw/news/154110" target="_blank">歐盟</a>也分別9月及11月，對本案啟動調查。</p> </div></div></div>
2022/12/9 11:37作者林妍溱https://www.ithome.com.tw/news/154634
傳微軟正在開發提供綜合服務的超級App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-eyes-super-app-to-break-apple-and-googles-hold-on-mobile-search" target="_blank">《The Information》報導</a>微軟正在開發一個集結購物、通訊、搜尋等眾多服務於一身的「超級App」，以完全打入消費者的生活。</p> <p>報導引述消息來源指出，微軟高層希望效法中國騰訊的微信（WeChat），開發一個整合消費者各種線上活動，包括購物、電玩、新聞、傳訊及支付的單一綜合式App。這計畫目的在拉抬微軟自有搜尋引擎Bing、及通訊平臺Teams，最終挹注微軟的廣告業務收入。</p> <p>微軟自從Windows Phone失敗後，即一直未能像Google及蘋果一樣掌握一定比例的行動用戶市場，顯然微軟希望以綜合式App角度切入，在行動商務市場分一杯羹。</p> <p>微軟並非唯一想仿效騰訊策略的美國網路公司。馬斯克（Elon Musk）也曾推崇騰訊的一站式服務App，他在10月買下社群平臺推特（Twitter）時即曾表示要開發能提供消費、看影片、支付及通訊等服務的X App。外傳推特也正醞釀要開發支付服務。</p> </div></div></div>
2022/12/9 11:16作者林妍溱https://www.ithome.com.tw/news/154633
GitHub更新NPM功能，強化套件生態系安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-12-06-new-npm-features-for-secure-publishing-and-safe-consumption/">GitHub更新套件管理工具NPM</a>，加入一系列新功能來強化NPM生態系的安全性，減少使用者遭受到軟體供應鏈攻擊的機會，新功能包括NPM程式碼瀏覽器、精細度存取權杖（Granular Access Token）。</p> <p>官方提到，目前憑證被盜是資料洩漏的主要原因之一，但是保護憑證卻不是一件容易的任務，具有廣泛權限的權杖洩漏，可能對軟體供應鏈衝擊巨大。GitHub目標是協助NPM維護者更有效的管理權杖洩漏風險，因此現在於NPM加入精細度存取權限權杖類型，使得NPM套件維護者和組織擁有者，能夠創建精細權限的存取令牌。</p> <p>在過去用戶並無法創建具有最小權限的權杖，因此無法限縮意外或是故意被濫用權杖的影響，而現在精細度存取權杖則完全達到這個目的，用戶可以創建只一組有限套件和範圍的權杖。NPM的自動化權杖功能發布已經有一段時間，自動化權杖讓用戶能夠發布權杖擁有者有權存取的所有套件，因此用戶通常也使用發布權杖來整合NPM自動化。</p> <p>但官方提到，發布權杖原本的設計目的是用於互動式工作流程，像是NPM CLI等，且因為2FA的要求，並不推薦在自動化中使用。精細度存取權杖讓NPM組織擁有者自動化組織管理，透過創建權杖來管理一個或多個組織、團隊和成員。</p> <p>精細度權杖還讓用戶以IP範圍來限制NPM API，並且只有一年的最長有效期。GitHub提到，只有不到10％的NPM權杖被經常使用，這也就代表有許多NPM權杖不必要處於活躍狀態，如此增加了權杖洩漏的可能性，因此定期輪換權杖可以明顯減少NPM組織的攻擊向量。</p> <p>過去程式碼瀏覽器是一項付費功能，僅供團隊和專業用戶使用，而現在官方改進程式碼瀏覽器，同時免費供用戶使用，更新後的程式碼瀏覽器更穩定快速，而且適用NPM註冊表中的所有套件。這項功能之所以能夠提升NPM套件的安全性，是因為用戶可以在安裝之前，先查看套件程式碼。</p> <p>過去套件使用者必須下載套件才能檢查其內容，雖然執行npm install來檢查和驗證套件內容很簡單，但這項操作有其風險，因為安裝的套件可能包含惡意程式碼，這些程式碼能夠透過腳本的形式部署到系統中，而使用NPM程式碼瀏覽器，便能夠在使用套件前就仔細查看。</p> <p>除了兩項新功能更新，官方也持續推行2FA的採用，從2022年11月1日起，所有具有高影響力套件的維護者帳號，都已經被強制要求使用2FA。高影響力套件是指每周下載量超過100萬次，或是擁有超過500名相依者的套件。官方提到，2FA能夠有效防禦帳戶劫持，有效提升NPM JavaScript生態系的安全性。</p> </div></div></div>
2022/12/8 22:08作者李建興https://www.ithome.com.tw/news/154615
德意志銀行與Nvidia合作，加速發展金融服務AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.db.com/news/detail/20221207-deutsche-bank-partners-with-nvidia-to-embed-ai-into-financial-services">德意志銀行與Nvidia宣布建立多年合作關係</a>，目標是要加速人工智慧的採用改善金融服務。雙方欲結合人工智慧運算技術以及金融產業專業，開發符合監管要求的人工智慧服務，這個合作夥伴關係將同時支援德意志銀行的雲端數位轉型政策，透過使用人工智慧和機器學習來簡化和加速德意志銀行雲端搬遷決策。</p> <p>在建立這項合作之前，Nvidia與德意志銀行已先進行了數月的探索性工作，他們測試了許多潛在的使用案例，包括風險模型開發、高效能運算和品牌虛擬人物的創建。德意志銀行想借助Nvidia在人工智慧、機器學習和加速運算的專業，強化風險管理、改善績效和客戶服務等銀行業務。</p> <p>德意志銀行計畫使用Nvidia AI Enterprise端到端軟體套件，在雲端和資料中心執行人工智慧開發和部署，使得德意志銀行開發人員可以在本地和Google雲端，執行人工智慧工作流程。同時，德意志銀行也將透過使用Nvidia Omniverse Enterprise發展下一代用戶體驗。</p> <p>Omniverse Enterprise是一個開放式運算平臺，能夠用於建構和執行元宇宙應用程式、人工智慧模型和服務，德意志銀行也將開發品牌3D虛擬人物，以協助員工瀏覽內部系統和人資相關問題，同時探索與銀行客戶的沈浸式體驗應用。</p> <p>同時Nvidia與德意志銀行也將發展非結構化資料分析技術，德意志銀行提到，現有的大型語言模型在金融文字上表現不佳，他們現在正在測試一系列名為Financial Transformers的大型語言模型，目的是要使用模型來實現金融交易對手方的預警訊號，以及更快的資料檢索和辨識資料品質等應用。</p> </div></div></div>
2022/12/8 22:18作者李建興https://www.ithome.com.tw/news/154626
【資安日報】2022年12月8日，殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路病毒鎖定連網設備的漏洞發動攻擊頻傳，近期資安業者發現的殭屍網路病毒Zerobot也是如此，鎖定Zyxel、D-Link、TP-Link等廠牌的物聯網裝置而來，但除此之外，該惡意軟體也將Java框架Spring、資料庫管理系統phpMyAdmin納為目標。</p> <p>已鮮少用戶使用的IE瀏覽器近期也被駭客盯上，利用其零時差漏洞發動攻擊。值得留意的是，駭客是透過Office辦公室軟體呼叫此瀏覽器元件，即便使用者沒有使用IE也有可能會曝險。</p> <p>烏克蘭戰爭成為駭客用於釣魚攻擊的幌子可說是相當常見，中國駭客Mustang Panda也運用這樣的時事來散布惡意軟體，研究人員認為這起攻擊行動的手法與過往相當雷同，但駭客進行了細部調整企圖規避偵測。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.fortinet.com/blog/threat-research/zerobot-new-go-based-botnet-campaign-targets-multiple-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5、Zyxel、D-Link設備遭殭屍網路Zerobot鎖定，利用21個漏洞入侵</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1670271774969.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1670271774969.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露從11月中旬出現的殭屍網路病毒Zerobot，該惡意程式以Go語言打造而成，能在x86、Arm、MIPS、PPC64、RISC64、S390x架構的電腦運作，攻擊者的目的是將受感染的設備用於DDoS攻擊。</p> <p>值得留意的是，駭客總共利用21個漏洞來植入殭屍網路病毒，其中17個有CVE編號。這些遭到鎖定的目標，包含了物聯網設備與應用系統，如：F5 BIG-IP系統（CVE-2022-01388）、Zyxel防火牆（CVE-2022-30525）、D-Link網路儲存設備（CVE-2020-25506）、資料庫管理系統phpMyAdmin（CVE-2018-12613），以及Java框架Spring（CVE-2022-22965，亦稱SpringShell）。</p> <h3><a href="https://blog.google/threat-analysis-group/internet-explorer-0-day-exploited-by-north-korean-actor-apt37/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網頁瀏覽器IE的零時差漏洞迄今仍是國家級駭客利用的對象</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/9JPcaepMtqjQxUs_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9JPcaepMtqjQxUs_max-1000x1000.png" style="width: 300px; float: right;" /></a>微軟於今年6月終止支援IE瀏覽器，的相關服務，大多使用者也不再使用，但這款瀏覽器的零時差漏洞仍是駭客利用的對象。Google旗下的威脅分析小組（TAG）揭露北韓駭客APT37的攻擊行動，鎖定南韓政治人物、記者、人權運動人士、北韓流亡人士，以及當地民眾，於10月底散布惡意Word檔案，內容是針對梨泰院踩踏事故的處理情形。</p> <p>一旦使用者開啟此Word檔案，將會下載RTF範本，該範本又會存取遠端的HTML檔案，在這個過程裡，駭客利用IE的JavaScript引擎零時差漏洞CVE-2022-41128，於受害電腦植入Rokrat、Bluelight、Dolphin等惡意軟體。微軟獲報後，於11月8日提供修補程式。</p> <h3><a href="https://blogs.blackberry.com/en/2022/12/mustang-panda-uses-the-russian-ukrainian-war-to-attack-europe-and-asia-pacific-targets"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲、亞太地區遭到中國駭客Mustang Panda鎖定，假借歐盟對烏克蘭戰爭提出的建議名義，散布惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/mustang-panda-2-fig06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mustang-panda-2-fig06.png" style="width: 300px; float: right;" /></a>BlackBerry旗下的威脅情報團隊揭露近期中國駭客Mustang Panda的攻擊行動，他們看到駭客鎖定越南、印度、巴基斯坦、肯亞、土耳其、義大利、巴西，假借歐盟的名義，透過釣魚郵件散布RAR壓縮檔，聲稱內容是對於俄羅斯近期的侵略烏克蘭行為，歐盟建議各國實行的政策指導原則文件。駭客的目標產業涵蓋礦業、教育、電信、財經、ISP、資安業者、網站代管公司。一旦收信人開啟RAR壓縮檔裡的Word檔案，該Word文件就會透過DLL側載的方式，於受害電腦植入惡意軟體PlugX。</p> <h3><a href="https://www.hrw.org/news/2022/12/05/iran-state-backed-hacking-activists-journalists-politicians"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT42鎖定政治人物、新聞記者下手，挾持其Google帳號</span></strong></a></h3> <p>人權觀察組織（HRW）指出伊朗政府資助的駭客組織APT42鎖定中東的人權鬥士、記者、學者、外交官、政治人物發動攻擊，至少有20人遭到鎖定，其中有3人的Google帳號遭到挾持，這些受害者的身分分別是美國報社記者、海灣地區的婦女權益捍衛者，以及國際難民組織顧問Nicholas Noe。</p> <p>駭客以會議為由，引誘上述對象於WhatsApp接收訊息，一旦這些人士照做，就會被引導到佯裝成Google、微軟、Yahoo!登入網頁的釣魚網站，駭客亦藉由這些網站發動對手中間人攻擊（AiTM）來突破雙因素驗證（2FA），至少有15人自今年9月15日至11月25日收到相同的WhatsApp訊息。HRW指控，Google對於用戶的帳號保護不足，使得駭客成功存取受害者的Google帳號後，得以透過Google Takeout匯出整個帳號的資料，但受害者仍渾然不知相關資料已遭外洩。</p> <h3><a href="https://www.welivesecurity.com/2022/12/07/fantasy-new-agrius-wiper-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列、南非、香港組織遭到資料破壞軟體Fantasy攻擊</span></strong></a></h3> <p>資安業者ESET揭露伊朗駭客Agrius自今年2月開始的攻擊行動，駭客先是鎖定以色列軟體開發業者下手，發動供應鏈攻擊，目標是該國人力資源、IT顧問公司，以及使用特定以色列軟體的鑽石產業，散布名為Fantasy的資料破壞程式（Wiper），以及名為Sandals的惡意程式啟動器，此啟動器不只能用於執行Fantasy，亦具備讓駭客於受害組織內部環境橫向移動的功能。研究人員亦發現南非鑽石產業的組織、香港珠寶商遭到攻擊。</p> <p>駭客一旦執行Fantasy，此資料破壞軟體藉由隨機資料覆寫受害電腦的檔案，並將檔案的時間變更為2037年再行刪除；為了消滅跡證，Fantasy還會刪除特定機碼與所有Windows事件記錄，最終將自己刪除。</p> <h3><a href="https://securelist.ru/novyj-troyanec-crywiper/106114/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯市長辦公室、法院遭資料破壞軟體CryWiper攻擊</span></strong></a></h3> <p>資安業者卡巴斯基揭露於今年秋季發現的CryWiper資料破壞軟體（Wiper），並指出駭客將其用於攻擊俄羅斯組織。根據當地的媒體報導，俄羅斯市長辦公室與法院已遭到此資料破壞軟體攻擊，駭客留下勒索訊息，要求受害者支付0.5個比特幣才能復原檔案，但實際上無法還原。</p> <p>駭客假借瀏覽器更新程式的名義來散布CryWiper，使用者一旦開啟，此資料破壞軟體便會建立工作排程，每5分鐘執行一次，但他們也看到休眠長達4天的情況。接著，CryWiper終止MySQL、SQL Server、Exchange，以及AD網頁伺服器的處理程序，並刪除磁碟區陰影複製（Volume Shadow Copy）備份，然後將電腦裡大部分檔案加密並留下勒索訊息。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/cloudsek-claims-it-was-hacked-by-another-cybersecurity-firm/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者CloudSEK遭駭，並懷疑監控暗網的網路安全公司是兇手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Threat actor selling allegedly stolen CloudSEK data.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Threat%20actor%20selling%20allegedly%20stolen%20CloudSEK%20data.png" style="width: 300px; float: right;" /></a>12月6日資安業者CloudSEK表示他們員工的Jira帳密遭竊，導致駭客入侵該公司的Confluence伺服器，但該名員工都是透過單一簽入（SSO）、電子郵件信箱帳號，以及多因素驗證（MFA）存取Jira，攻擊者疑似竊得cookie及連線階段（session）而成功入侵。3家客戶的公司名稱、訂單號碼（PO），以及CloudSEK產品的儀表板螢幕截圖遭到外洩，但客戶的資料、帳密、登入資訊沒有受到波及。CloudSEK懷疑，幕後主使者是一家惡名昭彰且涉及暗網監控的資安廠商。</p> <p>資安新聞網站Bleeping Computer指出，名為sedut的人士在數個駭客論壇兜售聲稱是CloudSEK的資料，內容包含該公司如何截取駭客論壇使用者帳密的方法，以及該公司的資料庫架構、訂單螢幕截圖等資料。</p> <h3><a href="https://www.mirrormedia.mg/story/20221206soc001/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">衛福部桃園醫院驚傳資訊系統遭駭客入侵</span></strong></a></h3> <p>衛生福利部桃園醫院12月7日傳出前年至去年發生嚴重資安事故的消息，根據鏡新聞的報導，該院所資訊系統於2020年8月疑遭中國駭客入侵，醫護及病患個資大量外洩，護理系統亦出現狀況──多名病人的化療點滴流速不明原因暴增，危及生命安全，而這一切事件的原因和醫院採用中國開發的系統有關。</p> <p>對此，桃園醫院、衛生福利部當天陸續發布公告說明。<a href="https://www.tygh.mohw.gov.tw/?aid=301&page_name=detail&iid=1114">桃園醫院證實於2020年9月遭到駭客入侵</a>，有12臺電腦主機遭駭，但並未出現全院個資外洩情事，而化療點滴流速的部分，則是因護理人員流速算錯所致，他們也立即察覺並處理，病人並未受傷；<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部則是進一步表示</a>，桃園醫院在2020年9月、2021年2月、2021年5月遭到駭客入侵，但均無個資外洩的跡象。不過，對於採用中國系統的指控，桃園醫院與衛生福利部目前尚未提出說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154595"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA公布已知利用漏洞清單滿一年，有近860個漏洞入列，近期新增5個古老漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154609"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞洲國際密碼學會議在臺登場，PQC標準化在即，NIST呼籲及早做好轉換因應</span></span></strong></a></p> <p><a href="https://blog.sucuri.net/2022/12/infected-wordpress-plugins-redirect-to-push-notification-scam.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress網站的外掛程式遭到感染，被用於推送詐騙訊息</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/antwerps-city-services-down-after-hackers-attack-digital-partner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">比利時安特衛普市線上服務中斷，起因疑為勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154601"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果為iCloud加入全程加密等安全功能</span></span></strong></a></p> <p><a href="https://source.android.com/docs/security/bulletin/2022-12-01"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補安卓81個漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154575">【2022年12月6日】 American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154560">【2022年12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</a></strong></strong></strong></p> </div></div></div>
2022/12/8 15:44作者周峻佑https://www.ithome.com.tw/news/154610
SEMI推半導體資安風險評級服務，盼促進半導體產業鏈上中下游提升資安量能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際對於上游製造的資安要求升級，以及在網路威脅日益嚴峻下，為了維持半導體產業供應鏈的穩定運作，資安防護的落實可說是相當關鍵，近日SEMI國際半導體產業協會宣布，<a href="https://www.semi.org/zh/products-services/semitwn-semiconductor-cybersecurity-service/assessment-fundamentum#:~:text=%E9%97%9C%E6%96%BC%E5%8D%8A%E5%B0%8E%E9%AB%94%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E8%A9%95%E7%B4%9A%E6%9C%8D%E5%8B%99&text=%E5%BE%9E%E7%B6%B2%E8%B7%AF%E8%B3%87%E7%94%A2%E3%80%81%E7%B6%B2,%E6%8E%8C%E6%8F%A1%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E5%BC%B7%E5%BA%A6%E3%80%82">半導體資安風險評級服務</a>正式上線，這是繼半導體晶圓設備資安標準SEMI E187發布與推動後，另一促進半導體供應鏈資安強化的新利器。</p> <p>現在半導體客戶對於供應鏈的資安要求日益明顯，<a href="https://www.ithome.com.tw/news/147476">在去年11月，SEMI臺灣資安委員會主席屠震就提到</a>：不論是定期對供應商進行資安評估，或是針對供應商的安全狀況要求透明度與可視性，都越來越常見。</p> <p>為了幫助整個產業因應此一態勢，SEMI臺灣資安委員會提出對策，除了SEMI E187標規範制定後的推動與導入，提升半導體供應鏈資安意識，接下來，還將聚焦於兩大重點，分別是：促進有效評估供應鏈網路安全態勢，以及構建供應鏈資安評估框架並建立長久資安策略，而在具體作為上，當時提到的有透過第三方服務評級，建立資安現況評估範本，以及驗證的作法。現在，這方面已有最新進展揭露。</p> <p>時隔一年的此刻，也就是12月5日這一天，SEMI正式推出半導體資安風險評級服務。</p> <p>特別的是，這當中推動資安的種種作為，其實，有許多部分都從台積電自身的經驗而來。例如，在這個SEMI半導體資安風險評級服務中，引入了第三方風險評分和風險態勢服務。根據屠震的說明，他是SEMI臺灣資安委員會主席，也是台積電企業資訊安全處長，他表示，在台積電的經驗中，有了這項評分機制，讓許多供應商資安漏洞及時被揭露並修補。其好處在於，協助企業監控供應商資安態勢，也提供了供應鏈資安基準比較。現在SEMI要將這樣的機制，推動到全球產業供應鏈。</p> <p>另外，SEMI這次也提到以零信任為最高資安防禦指導原則，儘管當中沒有特別針對這點多所著墨，但顯然零信任網路安全的議題也同樣開始備受半導體業重視</p> <h3><strong>推動半導體產業資安落實，兼顧由外而內、由內而外形成一套完整方案</strong></h3> <p>更具體來看，在SEMI半導體資安風險評級服務中，將採取由外而內、由內而外的方式，形成一套完整的方案，分別對應的是：第三方安全態勢風險評分工具，以及資安風險評估通用問卷（簡稱SEMI資安評鑑），進而協助產業視內部的資安風險現況。</p> <p>簡單而言，這項服務將藉助第三方企業資安風險評等服務之力，從網路資產、網路應用、人為風險這三大構面，以及網際網路資產曝險角度來進行評估，當中將針對網域風險態勢、暗網情資比對、外部資產報告，提供評估結果，並涵蓋10大類別風險層面的偵測，包括人為風險、端點安全、電子郵件、網路服務、雲端服務，以及網路應用服務等。最終，將以分數方式呈現曝險等級，並會提供與同業比較的結果呈現方式，這也意味著，可讓企業讓企業對自身資安強度有更好的認知，對於自身資安強度有較直觀的概念。</p> <p>不僅如此，對於服務中所發現的風險，將會提供風險補強與修補措施上的建議，並在企業修補之後，可再次進行風險評級，如此一來，將讓企業能立即瞭解投資與資安強化的效益。而在持續性的評級之下，有助於企業更容易去掌握資安風險改善曲線。</p> <p>同時，SEMI已從半導體產業資安經驗，量身打造出一份半導體產業別通用的問卷，讓企業內部可自行評估風險及脆弱點。而在此之前，國內之前也有針對製造業，推動「資安成熟度評級服務」，這是由我國工研院資安服務整合平臺SecPaaS在2020年所提出，目的是藉由針對製造業的專屬問卷，讓業者能夠快速做到自我資安診斷，其目的也是為了讓製造業，可以在提升資安時更有方向。</p> <p>整體而言，對於半導體產業而言，面對供應鏈安全的議題，要有效提升資安防禦，如今已有新的方式可以利用。關於成本的部分，SEMI也公布這套服務的計價方式與費用，主要依據持續監控天數，分為兩種訂閱方案：7日（一週）與30日（一個月），費用從22,575元起算，而且非SEMI會員也可訂閱。綜觀此一發展，SEMI期盼的應是，藉資安風險評估的實施與普及，進而帶動整個半導體產業鏈上中下游，能逐步在每個環節去提升資安量能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89SEMI%E5%8D%8A%E5%B0%8E%E9%AB%94%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E8%A9%95%E7%B4%9A%E6%9C%8D%E5%8B%99.jpg" style="width: 600px;" /></p> <p><strong>SEMI國際半導體產業協會在12月5日宣布，<a href="https://www.semi.org/zh/products-services/semitwn-semiconductor-cybersecurity-service/assessment-fundamentum#:~:text=%E9%97%9C%E6%96%BC%E5%8D%8A%E5%B0%8E%E9%AB%94%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA%E8%A9%95%E7%B4%9A%E6%9C%8D%E5%8B%99&text=%E5%BE%9E%E7%B6%B2%E8%B7%AF%E8%B3%87%E7%94%A2%E3%80%81%E7%B6%B2,%E6%8E%8C%E6%8F%A1%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E5%BC%B7%E5%BA%A6%E3%80%82">半導體資安風險評級服務</a>正式推出，當中主要結合了第三方安全態勢風險評分工具，以及SEMI資安評鑑，形成一套完整方案。</strong></p> </div></div></div>
2022/12/8 15:50作者羅正漢https://www.ithome.com.tw/news/154611
TensorFlow釋出Google Sheets零程式碼機器學習擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TensorFlow開發團隊釋出Google Sheets機器學習擴充套件<a href="https://blog.tensorflow.org/2022/12/introducing-simple-ml-for-sheets.html">Simple ML</a>，該套件要讓沒有機器學習基礎的一般使用者，能夠藉由滑鼠簡單點擊，就能夠把機器學習功能應用在Google Sheets的資料中，該套件讓企業主、科學家和學生不需要機器學習的知識，只要熟悉Google Sheets，就能夠對資料作出預測。</p> <p>開發團隊描述了Simple ML的使用情境，像是汽車維修店的老闆，藉由汽車製造商、維修類型和里程數等維修資料點，就能運用Simple ML來預測修車所需要的小時數，而生化研究者，也可以根據DNA甲基化資料預測人的年齡。所有過去需要編寫程式碼才能完成的機器學習應用，現在於Simple ML只要透過滑鼠點擊就可以在表格介面完成預測。</p> <p>Simple ML在使用上只有3個步驟，第一步是使用Google Sheets開啟資料，第二步則是在擴充套件中選擇最能描述想要執行的任務，像是預測缺失的數值，或是偵測異常數值等，最後一步，經過數秒鐘，擴充套件就能完成模型訓練並且做出預測，用戶便可以用這些結果來改善業務決策、自動化任務等。官方提醒，Simple ML僅能對表格資料作出靜態預測，而且使用者必須要了解，結果可能不準確。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhcwDWW-WFeYIyF1tkiasWz2l2KKc8A6WRz6tMhi4aJ6ywxmt_Xqk7QzZBJPu8ujljl16FgR3UoQ72cKU_ezQQ9IxnmQ8CzZGgC_CevXM7RT2PsUELVZPdlpC9w_Haz0GAF7VKjzPV2Ns9d4tRuWMQw5lzfYJXqMELAiD6QotMbyVLsfNH48diSjMwf/s1600/optimizedsimpleML.gif" style="width: 580px;" /></p> <p>由於Simple ML簡化整體的機器學習流程，因此即便是原本就知道如何訓練，和使用機器學習模型的人，也可以利用Simple ML來快速完成工作，因為要訓練、評估、解釋到將模型匯出至Notebook，整個過程只需要5次滑鼠點擊歷經10秒鐘。</p> <p>而且開發人員提到，Simple ML使用目前最先進的機器學習技術，該技術同樣被使用在TensorFlow Decision Forests中，並且經過預先最佳化，因此使用者或許可以獲得比自己訓練還要好的模型。</p> <p>Simple ML在瀏覽器上運作，用戶的資料只會留在Google Sheets，並且還能簡單地和開發團隊共享。而且因為Simple ML的底層就是使用TensorFlow Decision Forests，因此可以將SimpleML中訓練的模型匯出，在TensorFlow生態系中使用。</p> </div></div></div>
2022/12/8 16:21作者李建興https://www.ithome.com.tw/news/154612
GovTech月報第13期：新竹縣高鐵自駕巴士上路測試，明年5月開放民眾免費試乘；日本郵便明年將以無人機為偏遠山區、離…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1104~1206)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">自駕車</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size: 22px;"><strong>新竹縣高鐵自駕巴士上路測試，明年5月將開放民眾免費乘車</strong></span></p> <p>新竹縣政府與工研院、車王電子等合作，測試高鐵自駕接駁巴士，11月上路展開不載客測試，從高鐵新竹站經喜來登到AI智慧園區，測試約5個月後，新竹縣府預計，明年5月將開放民眾乘車測試。</p> <p>這項測試從11月28日到2023年4月，為第1階段不載客測試，初期先在夜間10時到凌晨1時進行夜間測試，隨後在日間進行測試，上午9時30分到下午3時30分。預期在明年5月到9月之間進行第2階段載客測試，開放民眾免費乘車，從每天上午9時30分至晚間10時30分測試。第3階段在明年10月進行收費載客測試。新竹縣政府表示，最終以納入市區營運路線為目標。</p> <p>除了自駕接駁巴士上路，新竹縣政府也在自駕車行車路線上，測試V2X技術及應用，以V2X連結自駕車與路側設施，強化自駕車行車安全，包括智慧路口防撞系統、智慧號誌時相推播系統、智慧候車站牌系統等，透過路側設備，將路口號誌秒數及橫向來車資訊提供自駕車，並將自駕車到站資訊提供給智慧候車站牌。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong>日本展示郵遞無人機，明年將在山區、離島遞送郵件</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01(22).jpg" style="width: 600px; height: 338px;" /></p> <p>日本擴大無人機物流應用，日本郵便（Japan post）公司展示一款無人機，該無人機約150x170cm，可載重5公斤，最大飛行距離達35公里，無人機採用紅色機身設計，日本郵便準備在2023年開始運用無人機，為偏遠山區、離島地區遞送郵件，以解決人力不足的問題。</p> <p>由於日本邁入高齡化社會，勞動人力短缺，郵便公司去年即宣布和日本無人機公司ACSL合作，雙方共同開發空中配送系統，以適用於山區、離島地區物流，為無人機物流作準備。</p> <p>日本將無人機飛行為分4級，第1級為目視內飛行，用於空拍、橋樑巡檢，第2級目視內自律飛行，用於農業噴灑，第3級為目視外飛行，用於無人的山區、離島，第4級為有人地區的目視外飛行，例如城市地區物流。新展示的無人機即符合第4級，可在有人地帶進行目視外飛行。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><strong><span style="font-size:22px;">英國政府啟動150萬英鎊AI資助計畫，要以AI協助減少碳排</span></strong></p> <p>因應全球淨零碳排的趨勢，英國政府近期宣布150萬英鎊的AI創新計畫，將採用AI降低碳排，計畫將分兩階段，第1階段先以50萬英鎊直到2025年3月，支持AI創新及減碳虛擬中心，第2階段以100萬英鎊，支持AI減碳技術的研發。這項AI創新計畫為英國10億元淨零碳排創新計畫的一部分。</p> <p>英國政府指出，該計畫將鼓勵科技、能源、工業部門的跨領域合作，刺激英國在AI的創新，同時實現政府淨零的目標，包括運用AI加快再生能源的轉換，例如提高能源生產效率、燃料轉換效率。可望擴大英國市場，降低能源成本，提高英國工業的競爭力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><strong><span style="font-size:22px;">臺南市打造AI感知平臺，靠AI辨識</span><span style="font-size: 22px;">影像資料</span><span style="font-size: 22px;">強化城市治理</span></strong></p> <p>臺南市去年規畫打造AI平臺，利用AI影像辨識動態影像資料，近期臺南市研考會智慧發展中心一項專案報告指出，臺南市業管超過2.5萬支攝影機、39部無人機，建立龐大的影像數據，這些數據透難以依靠人工方式轉換為電腦可用數據，透過AI影像分析辨識解決此一問題，並跨機關分享使用。</p> <p>臺南市政府指出，該AI平臺具有低成本、快速驗證及部署，只要具備高速運算、儲存資源，可立即開發驗證，此外，還應用No code、Low code，減少開發撰寫程式碼，並且以AI即服務（AIaaS）的方式，以API提供各機關介接使用。除了平臺，也舉辦教育培訓、工作坊等活動，以及鼓勵公私合作的黑客松活動。</p> <p>目前臺南市政府規畫的AI感知應用，例如觀旅局、文化局，利用無人機的空拍影像，對特定地點人流分析，還有交通局、警察局，分析特定路口車流、平均時速，以及特定地點的違停車輛偵測。在防疫應用上，通過IP cam影像，對特定公共場所人潮、是否維持社交距離等等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">桃園市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><strong style="font-size: 22px;">桃園市導智慧路口系統，</strong><span style="font-size:22px;"><strong>靠AI、雷達偵測來車、行人向駕駛示警</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ty.jpg" style="width: 600px; height: 375px;" /></p> <p>為提升路口行車及行人安全，桃園市政府近期推動智慧交通安全路口防護計畫，結合AI辨識及雷達偵測，偵測行駛車輛及行人，向駕駛提醒前方路口狀況，提高警覺，降低車速，同時確保行人安全。</p> <p>該計畫主要分為「行人穿越警示系統」及「路口防護告警系統」，其中行人穿越警示系統，已在該市5處路口設置，利用AI偵測路口有行人穿越時，將訊號送至資訊顯示看板CMS，向駕駛示警，提醒減低車速通過路口，桃園市政府指出，這套系統建置後，平均車速從時速39.4公里降至25.6公里。</p> <p>路口防護告警系統則在19處路口設置，主要在視距不佳、易肇事的非號誌化路口建置，利用路側的雷達感測各方向來車，當偵測到側、對向來車時，透過警示牌面提醒駕駛注意前方路況，促使在路口降低車速行駛。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位落差</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">低軌衛星</span></font> </strong></p> <p><span style="font-size:22px;"><strong>英國測試以低軌衛星為偏遠地區提供高速連網服務</strong></span></p> <p>為縮小城鄉間的數位落差，英國政府近期開始測試低軌衛星通訊服務，基於服務的可用性，英國選擇與Starlink合作測試，為偏遠地區的鄉村提供高速連網服務，以實現英國政府所提出，讓所有家庭都能使用高速連網服務的目標。英國政府強調，不只是Starlink，也持開放態度與其他業者測試合作。</p> <p>雙方這項合作主要以寬頻服務難以抵達的偏遠地區為目標，將在3個地點部署衛星設備，包括北約克沼澤國家公園等極偏遠地區，以測試連接低軌衛星。根據先前的測試，Starlink提供平均200Mbps，為英國平均連網速度50Mbps的4倍。藉由這項測試，英國政府將評估採用低軌衛星為偏遠地區提供寬頻連網服務的可行性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">Aurora</span></font> </strong></p> <p><strong><span style="font-size:22px;">美國追加投資6千萬美元，將推動超級電腦Aurora的潔淨能源專案</span></strong></p> <p>美國政府正在打造中的新一代Exascale級超級電腦Aurora又有新進展，美國政府將投資近6千萬美元，以推動Aurora在潔淨能源的研究專案上。預料Aurora在明年完成建置後，投入高運算任務，有助於美國各項科學研究發展，例如潔淨能源、新藥開發、國家安全加密等。</p> <p>Aurora為美國能源部阿貢實驗室打造的全新超級電腦，預計在明年完成建置後，將是全球最快的超級電腦。在此之前，美國另一座同樣為Exascale級的超級電腦Frontier，在今年上半年以每秒1.102 Exaflops拿下500大超級電腦全球第一。去年，美國能源部也宣布將打造第三座Exascale超級電腦Polaris，顯示美國政府積極更新超級電腦，提升國家科研競爭力。</p> <p> </p> <p>圖片來源／新竹縣市政府、日本郵便、臺南市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.歐盟研究將資料中心放到太空的可能性</strong></p> <p><strong>2.鑑於隱私保護，義大利禁止臉部辨識及智慧眼鏡</strong></p> <p>資料來源：iThome整理，2022年11月</p> </div></div></div>
2022/12/8 16:59作者蘇文彬https://www.ithome.com.tw/news/154606
RHEL 9.1整合由林肯實驗室開發的雲端安全軟體Keylime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）在其RHEL 9.1中，<a href="https://www.ll.mit.edu/news/lincoln-laboratorys-cloud-security-software-released-red-hat-enterprise-linux">整合</a>了由麻省理工學院林肯實驗室所開發的開源雲端安全軟體架構Keylime，支援包括工業、學術界和政府部門等各種不同RHEL的用戶群。用戶可以透過RHEL內建的套件管理器安裝Keylime，RHEL作業系統廣泛的用戶，皆可以簡單地開始使用Keylime保護重要系統。</p> <p>Keylime能夠針對雲端、邊緣和物聯網運算服務，強化機器的安全性和可信度。林肯實驗室研究人員提到，雲端服務讓用戶可以向雲端供應商租用機器，而雲端供應商則負責這些機器的安全性，但是用戶卻沒有好方法可以驗證雲端的安全性，所以擁有敏感資料的組織不願意使用雲端，無法獲得雲端所帶來的靈活性和低成本好處。</p> <p>而Keylime能解決這個問題，Keylime利用可信平臺模組硬體（TPM），遠端持續驗證託管和處理組織資料的機器安全性。TPM會生成一個雜湊，當資料遭到竄改，雜湊便會產生變化，Keylime整合TPM和雲端技術，當TPM雜湊發生變更時，Keylime能夠在數秒鐘內關閉受感染機器，同時Keylime還能夠將加密金鑰、密碼和憑證，安全地上傳到租用的機器中，使雲端供應商也無法取得這些機密資料。</p> <p>Keylime讓用戶可以在啟動時驗證系統，並持續監控遠端系統的完整性，用戶也可以將加密檔案發送到受監控的系統，並指定受監控系統在未通過完整性測試時，觸發一系列自動操作。Keylime已經被CNCF接受成為沙盒專案，而且也被IBM採用，用於保護數千臺雲端機器。</p> <p>林肯實驗室與紅帽從2017年開始在Keylime專案上共同合作，一開始的試驗性計畫是由美國國土安全部資助的實踐計畫，目的是使開源社群的技術能夠更加成熟，而現在Keylime貢獻者已經有來自全球的50位開發者，在RHEL 9.1整合Keylime之前，紅帽已經先於Fedora Linux作業系統整合Keylime。</p> </div></div></div>
2022/12/8 17:05作者李建興https://www.ithome.com.tw/news/154613
亞洲國際密碼學會議在臺登場，PQC標準化在即，NIST呼籲及早做好轉換因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後量子密碼標準化的發展備受關注，美國國家標準暨技術研究院（NIST）在今年7月，公布第一批入選後量子密碼學（<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">Post-Quantum Cryptography，</span>PQC）標準的4款演算法，象徵全球公鑰密碼系統轉換到PQC的關鍵時刻逐漸靠近，而12月5日到9日在臺登場的亞洲密碼學會議Asiacrypt 2022，也呈現出這樣的趨勢，出席的國際密碼學與量子力學領域專家，分享最新技術見解與研究，也呼籲各界對於公鑰密碼系統轉換到PQC，應及早做好準備。</p> <p>基本上，國際密碼學會（IACR）每年都會舉辦三大密碼學會議，包括8月固定於IACR總部所在地美國Santa Barbara舉辦的Crypto，以及5月在歐洲舉辦Eurocrypt，年底於亞洲舉辦的Asiacrypt。這些年度密碼學盛會，也分別被簡稱為美密、歐密與亞密。</p> <p>本次亞洲密碼學會議已經是臺灣第三度舉行，之前是在2003年在臺北，以及2014年在高雄。具體而言，今年會議有兩大主題，一是後量子密碼標準化與導入，一是利用量子力學特性來加密的量子密碼學（Quantum Cryptography），共有近200位專業領域人士參與。</p> <p>其中，PQC標準化與導入的議題最受關注，因為這已是現今數學界、資安界與業界最關注的議題。而關於這場主題的首場活動，就是美國NIST PQC標準制定發言人Dustin Moody的演說，當中說明標準制定的概況及未來方向。</p> <p>Dustin Moody表示，為了制訂這項新的公鑰密碼系統標準，這些年來，大家已經做了很多的工作，標準化作業已經到了最後關頭，但還要繼續努力下去，因為接下來將是一個困難的過渡時期。</p> <p>今年6月發布一個名為「過渡到PQC」的計畫項目，這是NIST旗下國家網路安全卓越中心（NCCoE）所提出，大家可連至此項計畫的<a href="https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms">網站</a>，以瞭解更多資訊，他強調，這需要各產業與合作伙伴一同來推動，也希望外界能持續提供意見回饋。</p> <p>另外，Dustin Moody表示，如果標準在未來兩年正式發布，屆時將發布轉換時程的指引文件；儘管現在還沒有明確的時間表，但他強調，對於普遍企業組織而言，即使標準還沒有正式發布，但還是有很多事件可以先做，例如，確保自己的組織做好準備，設法識別出使用公鑰密碼系統的系統，並與你的軟體供應商做好溝通。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E4%BA%9E%E6%B4%B2%E5%9C%8B%E9%9A%9B%E5%AF%86%E7%A2%BC%E5%AD%B8%E6%9C%83%E8%AD%B0Asiacrypt%202022.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)%E4%BA%9E%E6%B4%B2%E5%9C%8B%E9%9A%9B%E5%AF%86%E7%A2%BC%E5%AD%B8%E6%9C%83%E8%AD%B0Asiacrypt%202022.jpg" style="width: 295px;" /></p> <p><strong>近日亞洲密碼學會議Asiacrypt 2022在臺舉辦，分為有兩大主題，一是後量子密碼（Post-Quantum Cryptography，PQC）標準化與導入，一是利用量子力學特性來加密的量子密碼學（Quantum Cryptography）。</strong></p> <h3><strong>國際上已有多家科技大廠積極應對</strong></h3> <p>事實上，我們確實看到有一些企業組織，已經提早在積極應對，例如，在三年前，美國摩根大通銀行（JPMorgan Chase）就針對PQC轉換提出發展藍圖，近年還有不少企業有所行動。</p> <p>舉例來說，AWS在2020年全球用戶大會上，宣布他們將打造雲端後量子加密技術；上個月Google亦有新進展，該公司ISE Crypto PQC工作小組表示，儘管現在的量子電腦仍不具備破解RSA等加密系統的能力，但他們將於Google Cloud內部嘗試部署PQC，先以ALTS協定作為良好實驗對象，利用混合方法來部署加密機制，其主要原因有二，攻擊者可能會先將加密資料儲存下來，等之後量子電腦強大時來破解，另一考量是著眼於產品生命週期角度，目的是避免日後難以系統更新，因此需要提早做好準備。</p> <p>而在這次亞洲密碼學會議上，我們看到終於有亞洲企業參與，那就是三星集團旗下IT服務供應商Samsung SDS。該公司資深工程師Eunkyung Kim在會議演說中提到過去AES、SHA-3標準化經驗，目前3DES仍容許使用到2023年，而SHA-3的遷移工作仍在進行中；在PQC方面，由於IT系統日趨複雜，相互依存程度亦日益提高，且大多數PQC演算法具有較大的金鑰與數位簽章大小，均是現今面臨的挑戰。</p> <p>如今，Samsung SDS也與美國NCCoE合作，協助制訂促進PQC轉換過程的實踐，並向其他企業組織呼籲今天就應該為轉換做準備，而不是等到明天，並要評估自身需要多長時間來準備。</p> <p>另外，在本次舉行的亞洲國際密碼學會議上，還有多位來自學界與產業界的國際密碼學專家，分享其最新技術見解與研究，也發現許多國際大型企業都有自己的密碼學家。而在參與這次大會的國內專家中，除了身為臺灣PQC領域的關鍵人物的中央研究院研究員楊柏因，我們還注意到幾位擔任演說的臺灣講者，都兼具學者與廠商身分。</p> <p>例如，在首日議程中，匯智安全科技董事長陳君明介紹硬體安全模組HSM的應用，以及後量子密碼標準演算法在HSM上的實作；由後量子密碼學家組成的跨國公司BTQ，該公司技術長郭博鈞、科學長鄭振牟也發表演講，分別介紹PQC數位簽章大小優化，以及零知識（ZK）證明技術方面的議題。</p> </div></div></div>
2022/12/8 14:52作者羅正漢https://www.ithome.com.tw/news/154609
【澳洲墨爾本現場直擊】思科持續力推混合辦公策略，主打IT設備管理雲平臺和Webex解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科12月7日展開亞太技術年會Cisco Live Melbourne，繼續延伸近年力推的混合辦公策略，包括旗下IT管理雲平臺和Webex Suite視訊會議解決方案，來強化企業全端可視化能力和辦公效率，像是將在Webex Suite中推出音檔浮水印（Audio watermarking）功能，來標記會議音訊，方便企業追蹤、管理，強化混合辦公安全性。思科也預告，接下來，Webex產品發展方向要聚焦車用、全息投影（Hologram）沈浸式體驗，以及太空視訊。</p> <p><span style="font-size:22px;"><strong>混合辦公策略1：以網通產品為基礎發展管理雲平臺</strong></span></p> <p>思科長年專攻網路交換器等網通產品，在強大的基礎下，他們近幾年開始結合雲端資源，陸續發展各主力網通產品的管理雲端平臺，如針對資料中心等級網路交換器設備打造的Nexus Cloud、針對企業級網通設備設計的Catalyst Cloud，以及針對一般Wi-Fi網路設備管理的雲平臺Meraki Cloud。</p> <p>甚至，還有針對大規模跨區域的設備管理雲平臺ThousandEyes。2020年，思科看上SaaS網路效能監控業者ThousandEyes，該業者主打網路情報提供，可藉網路上部署的數千、數萬個代理（Agent），來讓企業使用者掌握網路狀態、取得更多情報。思科於該年買下ThousandEyes，後來也發展出ThousandEyes網路智慧雲，並整合應用程式管理平臺AppDynamics和思科熱門交換器，要提供全端可視性（Full-stack observability）服務，來解決企業應用程式和服務管理問題。</p> <p>思科的這些管理雲平臺，也成為這2、3年COVID-19疫情之下，因應遠距辦公和混合辦公型態的主力產品。</p> <p>在這次亞洲技術年會上，思科重申這一點，比如，思科網路技術長Michael Beesley就盤點，Catalyst管理雲平臺可顯示各地設備的執行狀況，也能即時提供網路裝置資訊，而ThousandEyes WAN Insight網路基礎設施監控解決方案，則能提供設備預警、建議措施，方便企業在混合辦公的環境下，在不同工作地點掌握IT基礎設施動態。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CTO.jpeg" /></p> <p>而思科執行副總裁暨網路安全及協作業務總經理Jeetu Patel，也在現場重申年中美洲技術年會宣布的安全雲（Security Cloud）策略，要整合不同平臺，來實現開放式的安全管理雲服務。</p> <p>不過，思科紐澳技術長Carl Solder在8日現場專訪指出，目前思科各類管理雲平臺，如Nexus Cloud、Catalyst Cloud、Meraki Cloud等，是針對不同企業應用案例而打造，短時間內仍會持續這個策略，未來也許會考慮以一個單一的雲平臺，來整合這些雲端平臺，「但從工程角度來看，目前比較難做到，」他說。</p> <p><span style="font-size:22px;"><strong>混合辦公策略2：Webex Suite視訊會議整合服務</strong></span></p> <p>思科發展混合辦公的另一策略是，借重Webex Suite視訊會議解決方案。Jeetu Patel指出，Webex Suite每年都有150億次的使用量，整合了幾乎使用者所需的各種功能，比如最基本的視訊、通話、傳訊息、寫白板，Webinar會議，以及辦活動、投票等，讓企業使用者不必再花費購買第三方功能。</p> <p>此外，Webex Suite最近還整合了企業常用的微軟Teams視訊會議功能，讓使用者直接在Webex中開啟、使用，減少切換使用的不便。不只如此，思科也將Webex控制中心，結合旗下網路設備監控平臺ThousandEyes監控功能，來提供一致的監控體驗。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/webex%20%E5%8D%83%E7%9C%BC%202.jpeg" /></p> <p>為確保混合辦公的安全性，思科也將在Webex推出音檔浮水印功能，來對會議中每位參與者的聲音，嵌入獨特的標記（Identifier）。當音檔外洩時，就能追蹤是哪位參與者，管理者也能在Webex控制中心查看。甚至，在Webex控制中心裡，使用者除了能查看音檔來源，還能知道會議細節，如主辦人、與會人數、日期等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B5%AE%E6%B0%B4%E5%8D%B02.jpeg" /></p> <p>思科也預告，Webex接下來將把視訊會議功能再擴大，要往太空視訊、車用視訊和沈浸式體驗（如全息影像）發展。</p> <p>除此之外，思科也展示一款前幾年開始發展的空間定位服務DNA Spaces，可以IoT設備數據，來定位、追蹤不同空間的使用狀況。比如，使用者能在建築物的空間地圖上，查看每層樓的辦公室、會議室等場所預定狀況、人流、溫濕度和空氣品質，甚至能讓使用者直接點選、預定空閒的會議室。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%9A%E4%BD%8D.jpeg" /></p> <p>這些解決方案，也成為思科近幾年力推的混合辦公策略主力產品。</p> </div></div></div>
2022/12/8 11:51作者王若樸https://www.ithome.com.tw/news/154603
安全專家以一個錯誤指令擊潰一個殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Akamai安全研究人員近日意外以一個格式錯誤的指令，擊潰了一個殭屍病毒網路。</p> <p><a href="https://www.akamai.com/blog/security-research/kmdsbot-the-attack-and-mine-malware" target="_blank">Akamai安全研究小組於11月發現</a>一個挖礦殭屍網路程式KmsdBot，後者專門以SSH遠端連線感染使用弱密碼的裝置，而在持續研究的過程中，意外傳送了一個拼錯字的指令，導致這個殭屍網路停止運作。</p> <p>這隻挖礦程式是以Golang撰寫，目標廣泛，從線上遊戲業到豪華車廠、安全廠商，難以預防，此外，它還具有針對遊戲產業發動分散式阻斷服務（DDoS）的能力。研究人員相信KmsdBot有一個用戶端二進位程式（binary）和C2（command and control）伺服器通訊，並接收更新，以及啟動或中止挖礦行程。他們也觀測到一家代管線上遊戲《俠盜獵車手Grand Theft Auto Online》的伺服器成為攻擊目標。</p> <p><a href="https://www.akamai.com/blog/security-research/kmsdbot-part-two-crashing-a-botnet" target="_blank">在後續研究中</a>，Akamai研究人員修改了KmsdBot一隻病毒樣本指向的C2 IP位址和傳輸埠，使其指向研究人員控制的VM，目的在扮演C2，並接收KmsdBot樣本通訊流量內容，以便能加以研究。</p> <p>在成功接手C2角色後，研究人員對樣本程式發送攻擊指令，包含攻擊目標的IP及傳輸埠。很意外地，他們發送的指令有小小的格式錯誤，少了一個空白鍵。但由於KmsdBot程式碼缺乏檢查錯誤的機制檢查送入的指令，結果導致KmsdBot二進位程式掛掉，出現「index out of range」（超出索引值）的錯誤訊息，因為指令給的引數數量不對。結果造成在所有受感染機器上，及和C2通訊的KmsdBot殭屍網路程式碼都崩潰了，等於整個網路掛掉。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-KmsdBot-index%20out%20of%20range%20error.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Akamai</span></span></p> <p>由於KmsdBot並未具備在感染機器上長期滲透（persistence）功能，因此它復活的唯一方法只有重新感染用戶電腦、重新建立一個殭屍網路。</p> </div></div></div>
2022/12/8 13:13作者林妍溱https://www.ithome.com.tw/news/154605
Adobe Stock圖庫網站接受AI藝術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI創作的圖像是不是藝術創作、有沒有版權都還有爭議，不過Adobe決定擁抱。<a href="https://blog.adobe.com/en/publish/2022/12/05/amplifying-human-creativity-adobe-stock-defines-new-guidelines-content-generative-ai" target="_blank">Adobe宣布圖片、影片、3D資產市集Stock將開放AI創作的插圖上傳</a>。</p> <p>擁有3.2億項相片、向量圖和影片創作品項的<a href="https://helpx.adobe.com/stock/contributor/help/generative-ai-content.html" target="_blank">Adobe Stock本周公布以生成性（generative）AI創作的插圖作品的上傳指引</a>，以增加客戶創作專案的選擇。</p> <p>Adobe指出，生成性AI可讓創作者以文字、素描或手勢等結合機器學習創作出圖像。Adobe Stock貢獻者則利用AI工具和科技使其創作更豐富，擴大其營收。雖然生成性AI引發如何正確使用的爭議，但Adobe決定公布新的上傳政策，確保創作者和客戶能負責任使用AI科技，讓AI成為藝術家助力，又能為創作者帶來權利金收入。未來創作者在Adobe Stock上傳以生成性AI創作的作品，都應遵從該指引。</p> <p>Adobe表示，Adobe Stock將以和規範其他創作相同的政策來管理AI創作的內容。例如碰到有財產所有權爭議時，可能產生智財賠償責任（IP indemnification）。此外，<a href="https://helpx.adobe.com/stock/contributor/help/generative-ai-content.html" target="_blank">根據生成AI政策</a>，以第三方單位內容，包括生成AI的文字提示之中若描述知名人士（不論是漫畫或真實的人）、真實地點、可識別財產（像知名角色或logo）或藝術家風格而未獲得授權的話，則生成的作品不被接受。未取得商業使用授權的內容也不得上傳。</p> <p>Adobe也要求創作者主動標示是生成AI創作的內容。Adobe之後會再以新功能，使標示更清楚。</p> <p>Adobe並說明，<a href="https://helpx.adobe.com/stock/contributor/help/royalty-details.html" target="_blank">AI生成的作品權利金收費標準</a>和人類創作相同，授權條件也和傳統作品一樣</p> <p>Adobe也開發了能提供作者姓名標示（attribution）技術，像是該公司主導的數位證明技術Content Authenticity Initiatives，以確保版權及創作內容真實性，目前有800多家支持業者。</p> </div></div></div>
2022/12/8 11:31作者林妍溱https://www.ithome.com.tw/news/154602
蘋果為iCloud加入全程加密等安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/12/apple-advances-user-security-with-powerful-new-data-protections/" target="_blank">蘋果昨（7）日宣布包括全程加密、以金鑰驗證身分及登入Apple ID等三項iCloud安全功能</a>，預計2023年推向全球用戶。</p> <p>這三項技術包括iCloud進階資料防護（Advanced Data Protection）、iMessage聯絡人金鑰驗證（Contact Key Verification）及Apple ID安全金鑰（Security Keys for Apple ID）。其中iCloud進階資料防護提供全程加密，允許使用者啟用以保護更多iCloud服務的資料，後兩者則分別是驗證聯絡人身分，以及以實體安全金鑰登入Apple ID。</p> <p>iCloud進階資料防護提供全程加密，使用者必須自行啟用。蘋果表示，目前iCloud已預設提供14項類別資料全程加密傳送，像是iCloud Keychain密碼和Health App的健康資料。若使用者啟動「進階資料防護」，則全程加密資料類別將增至23類，包括iCloud Backup、Photos、Notes等。唯一未提供全程加密的主要類型為iCloud Mail、Contacts（聯絡人）及Calendar（行事曆），蘋果說主要原因是為了要和全球其他郵件、聯絡人和行事曆系統相容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-icloud-Apple-advanced-security-Advanced-Data-Protection.jpg" style="width: 305px;" /></p> <p>iMessage聯絡人金鑰驗證用以確保通訊隱私性。這項功能提供給面臨較大安全威脅的使用者，像是記者、人權運動人士或政府官員，不過聯絡人雙方都需啟用這項功能才能發揮作用。當兩端都啟用本項功能時，一旦有人，包括國家駭客駭入雲端伺服器，執行中間人攻擊以便竊聽通訊時，雙方會接獲系統自動發出的通知。在更進階安全防護上，本項功能還允許用戶比對聯絡對方的聯絡人驗證碼（以2FA登入Apple ID時輸入的6位數密碼）、或以FaceTime、及其他安全通訊驗證對方身分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-icloud-Apple-advanced-security-iMessage-Contact-Key-Verification.jpg" style="width: 307px;" /></p> <p>Apple ID安全金鑰則是允許以實體金鑰登入Apple ID帳號。蘋果自2015年已啟動雙因素驗證（two-factor authentication，2FA），目前有95%以上的帳號都已啟用。現在蘋果進一步允許用戶以第三方實體金鑰登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-icloud-Apple-advanced-security-Security-Keys.jpg" style="width: 312px;" /></p> <p>iMessage聯絡人金鑰驗證及Apple ID安全金鑰將在2023年供全球用戶啟用。至於全程加密，目前已開放蘋果Beta Software方案的美國會員試用，預計今年底先對全美用戶啟用正式版，而在2023年初推向其他地區。</p> <p>相較之下，Google很早就有這方面服務。Google數年前就推出了可通知入侵的進階保護方案、以及支援YubiKey等實體安全金鑰登入Google帳戶。但Google尚未提供雲端全程加密的服務。</p> </div></div></div>
2022/12/8 11:03作者林妍溱https://www.ithome.com.tw/news/154601
CISA公布知利用漏洞清單滿一年，已有近860個漏洞入列，近期新增5個古老漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著CVE漏洞的不斷增加與揭露，為了降低已知被利用漏洞的重大風險，自去年11月開始，美國網路安全暨基礎設施安全局（CISA）發布了一份清單，列出已遭成功利用的高風險漏洞名單，並且持續更新，目的就是以法令要求該國聯邦政府要在限定時間內，完成這些重大漏洞的更新修補，而這份清單，也已成為全球企業在漏洞修補上的重要參考，讓各界的關注重點，可以更聚焦於實際攻擊行動中被使用的漏洞。值得我們關注的是，在這些重大風險漏洞中，有些並不是最近幾年的已知漏洞，而是相當古老的已知漏洞。</p> <p>基本上，CISA這個「已知成功利用漏洞列表」，全名是<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">Known Exploited Vulnerabilities Catalog</a>，簡稱KEV，我們檢視了該網頁的內容，這份清單公布一年以來，目前累計有849個漏洞（從去年11月3日至今年11月3日止），而到目前11月29日為止，則共有859個。</p> <p>特別的是，前段時間CISA在此清單中，增加了幾個將近10年以上的已知漏洞。例如，在9月15日新增的6個已知漏洞中，有4個是2013年的漏洞，有1個是2010年的漏洞。</p> <p>在此當中，有3個漏洞均是存在於Linux Kernel，並且都是屬於本機權限提升（LPE）的漏洞類型。首先是CVE-2013-2596，這是一個整數溢位（integer overflow）漏洞；其次CVE-2013-2094，這是由於Kernl中的一項函數的錯誤使用，使本地端用戶可以獲得權限升級；最後是CVE-2013-6282漏洞，這是一個不適當輸入驗證漏洞，可能允許應用程式讀取與寫入Kernel，導致特權提升。</p> <p>另一個漏洞存在於Code Aurora ACDB音訊驅動程式， CVE-2013-2597是一個基於Stack的緩衝區溢位漏洞，該驅動程式主要被應用於Andorid設備等多個第三方產品中。</p> <p>最後是存在微軟Windows的CVE-2010-2568，這是一個RCE漏洞，由於Windows解析捷徑（.LNK檔案）時產生錯誤，將讓攻擊者可利用漏洞自動執行惡意程式。在2010年時，間諜組織買通伊朗核電廠技術人員，將含有此漏洞利用工具的隨身碟插入環境，傳播Stuxnet蠕蟲。</p> <p>更進一步檢視KEV所列，CISA所納入的古老漏洞並不止於這五個。從上述古老漏洞至今仍被攻擊者積極利用的狀況來看，促使CISA列入清單之內，或許這意味著，許多企業在這些IT資產的維護更新上，仍存在很大的問題。畢竟，修補漏洞是防止遭受攻擊的最好方法，如果不能修補與緩解，更該思考應該設法更換這些設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-25_093847.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-25_093847.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-25_093919.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-25_093919.jpg" style="width: 600px;" /></a></p> <h3><strong>漏洞修補優先順序議題受探討</strong></h3> <p>另一方面，<a href="https://www.cve.org/Media/News/item/news/2022/11/01/Ancient-CVEs-Can-Cause-You">今年11月1日，在MITRE CVE的網站上，也特別公布一項消息，就是以古老漏洞帶來的問題為題</a>，當中引用了CVE董事會成員Kent Landfield的一番言論，當中探討了外界應重新檢視每個漏洞管理程序，同時也提及CISA在近期針對一些古老漏洞修補的狀況。</p> <p>他認為，現在許多組織都依賴FIRST.org開發的通用漏洞評分系統（CVSS），作為修補優先順序的判斷，儘管重大漏洞（9.0到10.0分），以及高風險漏洞（7.0到8.9分），會先被受到重視，但中風險漏洞通常會被往後推遲到另一個時間，至於分數較低的漏洞，通常會被完全忽略。這個不僅僅是最終的用戶端會這樣想，軟體廠商也陷入這種心態。</p> <p>因此，他建議，如果組織企業是根據CVSS評分來決定修補，同時也請訂閱CISA的「已知成功利用漏洞列表」，將其內容作為漏洞管理流程的優先事項。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）CISA公布知利用漏洞清單滿一年，近期有5個古老漏洞.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89CISA%E5%85%AC%E5%B8%83%E7%9F%A5%E5%88%A9%E7%94%A8%E6%BC%8F%E6%B4%9E%E6%B8%85%E5%96%AE%E6%BB%BF%E4%B8%80%E5%B9%B4%EF%BC%8C%E8%BF%91%E6%9C%9F%E6%9C%895%E5%80%8B%E5%8F%A4%E8%80%81%E6%BC%8F%E6%B4%9E.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/12/7 18:36作者羅正漢https://www.ithome.com.tw/news/154595
Airbnb針對iOS釋出高效能渲染引擎Lottie 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Airbnb開源了<a href="https://medium.com/airbnb-engineering/announcing-lottie-4-0-for-ios-d4d226862a54">適用於iOS的渲染引擎Lottie 4.0</a>，這個版本使用支援Core Animation的全新渲染引擎，對所有Lottie動畫帶來顯著的效能改進。Lottie是Airbnb的跨平臺函式庫，可用於渲染向量動作圖像，不只Airbnb廣泛地使用Lottie，Lottie現已被數千個應用程式用於渲染動畫。</p> <p>Airbnb提到，他們多年來大規模的使用Lottie，發現Lottie存在一些效能缺點，像是在處理更複雜的畫面時，容易發生影格遺失的問題。而發生影格遺失的原因，跟Lottie渲染動畫的方法有關，Lottie之前的版本在應用程式的主執行緒播放動畫，每個影格呼叫一次CADisplayLink，刷新動畫進度並重新渲染內容，播放動畫大概會消耗5到20％的CPU資源，這會使用於應用程式其他部分的CPU周期被壓縮。</p> <p>也就是說，當主執行緒忙碌時，動畫可能就無法更新，導致動畫影格遺失或是停頓，產生糟糕的用戶體驗，官方解釋，這是在主執行緒綁定渲染架構的限制。</p> <p>而在iOS上，播放動畫最高效也最省電的方式是使用Core Animation，以系統框架透過GPU硬體加速在程序外渲染動畫，動畫播放會由一個稱為渲染伺服器的單獨系統程序管理，官方表示，以Core Animation驅動的動畫，不會增加應用程式本身的CPU使用率，動畫在主執行緒阻塞或是忙碌時仍可以繼續播放。</p> <p>在2022年Airbnb花了一些心力以Core Animation，替Lottie開發一個全新的渲染引擎實作，這個新引擎消除了Lottie動畫的CPU開銷，無論應用程式的CPU負載如何，都能保證Lottie動畫以60或是120 FPS順暢地渲染。</p> <p><img alt="" src="https://miro.medium.com/max/1400/1*QmNCLz3e_Zuez3nFBvu_LA.gif" style="width: 580px;" /></p> <p>在新引擎渲染的動畫，不會在應用程式的主執行緒上執行程式碼，因此應用程式現在可以將更多資源分配給其他功能，這在執行時具有高CPU負載的任務特別有價值，像是Airbnb應用程式首次啟動時會顯示Lottie動畫，在切換使用新渲染引擎後，應用程式的總啟動時間減少，同時還能提高啟動動畫的影格速率和用戶體驗。</p> <p>Airbnb在Lottie 3.4.0就已經開始加入Core Animation，但當時只作為可選功能，而Airbnb自家已經完全使用新引擎6個月，並且解決早期使用者所回報的問題，現在從Lottie 4.0 for iOS開始，Core Animation渲染引擎將成為預設，Lottie應用程式開發人員不需要進行額外的移植工作，就可以立刻獲得動畫渲染效能提升。</p> </div></div></div>
2022/12/7 22:50作者李建興https://www.ithome.com.tw/news/154588
Google部分雲端服務獲美國國防部Impact Level 5臨時授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/introducing-google-cloud-support-for-impact-level-5-workloads">Google宣布</a>部分雲端服務獲得影響等級5（Impact Level 5，IL5）臨時授權，而這代表Google雲端有能力支援美國公部門更多的額外工作負載。Google雲端產品因為在物理、邏輯和加密隔離，受到嚴謹的評估和控制，因而獲得IL5授權，Google提到，他們會在IL5邊界內快速擴展雲端服務，以支援更廣泛的使用案例和雲端架構。</p> <p>美國國防部使用影響等級分類系統，來分類資料和授權雲端環境，IL5是雲端環境可以儲存和處理受控非機密資訊（Controlled Unclassified Information，CUI）、關鍵任務資訊，以及國家安全系統訊息環境的最高層級授權。</p> <p>Google解釋，他們運用軟體定義社群雲（Software-Defined Community Cloud，SDCC）方法，來達到IL5的要求。軟體定義社群雲使用可支援隔離安全性，和法遵敏感工作負載的Assured Workloads技術，軟體定義社群雲讓用戶在遵守嚴格安全法規要求，而且不需要管理和維護個別基礎架構執行個體的情況下，能夠有效利用雲端基礎架構。</p> <p>除了預設支援NIST 800-53和FIPS-140加密方法之外，Assured Workloads還提供額外承諾，包括將用戶的資料留在美洲大陸（CONUS），並且僅由授權的美國人提供支援，而且提供的進階支援服務，只由美國境內的授權美國人處理，24/7提供回應時間少於15分鐘的支援服務。</p> <p>Google提到，這些技術建立在主權雲（Sovereign Cloud）的基礎之上，而這個基礎提供了複雜的隔離和人員控制，可保護資料免受未經授權存取，同時能夠滿足嚴格的法遵和主權要求，而這些要求獲得第三方稽核和控制驗證。</p> </div></div></div>
2022/12/7 22:54作者李建興https://www.ithome.com.tw/news/154590
Java持續失寵，12月TIOBE Index排名被C++超越首度落至第4名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言排名<a href="https://www.tiobe.com/tiobe-index/">TIOBE Index</a>在2022年末，公布12月最受歡迎的程式語言排名，前三名分別為Python、C和C++，而這也是Java首次落到第4名。</p> <p>TIOBE執行長Paul Jansen提到，下個月他們會揭曉2022年度最佳程式語言，目前有3個候選語言，為Python、C和C++。Python和C都多次獲獎，而C++卻僅在2003年獲得一次，不過他認為，C++的日益普及是建立在Java衰退之上。</p> <p>這次的TIOBE Index為2022年最後一次程式語言排名，比起去年，有不少程式語言的排名產生變動，像是記憶體安全語言Rust就達到20名，最高甚至達到18名，但是在前一年同期卻只有27名。</p> <p>Rust有這樣的進展不是沒有原因，不少大型企業認同Rust的記憶體安全特性，除了增加程式的安全性之外，還能夠有效降低安全程式的開發成本，因此紛紛擴大採用。微軟看上Rust的安全性，在2020年開始提供Rust版本的Windows Runtime（WinRT），Azure技術長更在推特上呼籲應該要以Rust代替C/C++開發，而<a href="https://www.ithome.com.tw/news/152183" target="_blank">Meta也將Rust視為內部開發的優先程式語言之一</a>。</p> <p><a href="https://www.ithome.com.tw/news/154539" target="_blank">近期Google發表了針對Android漏洞的調查結果</a>，發現近年Android的記憶體安全相關漏洞數量大量減少，Google提到，他們認為這與Rust程式碼比例上升有關。開發團隊從Android 12版本開始，使用Rust開發新功能，到了Android 13已經擁有150萬行的Rust程式碼，而記憶體漏洞年度總數，從2019年223個，下降到了2022年85個。除了商業專案，Rust也被Tor等開源安全專案使用，因此Rust後續發展看漲。</p> <p>Go程式語言的重要功能更新泛型，在2022年正式登場，這項受到眾開發者期待的功能，卻在發布之後面臨各種批評，有不少開發者認為Go泛型的實作方式，使得程式碼變慢，<a href="https://www.ithome.com.tw/news/150411" target="_blank">而Go泛型主要設計者Ian Lance Taylor則出面說明Go泛型的使用時機</a>，認為程式碼變慢顯示泛型使用錯誤。</p> <p>Go社群歷經熱鬧的2022上半年，而在8月釋出的Go 1.19版本則改進泛型功能，使程式碼效能可提升達20％。整體來說，Go從去年的19名有不少的名次前進，成長到了12名。</p> <p>在TIOBE排行中，還有一個有趣的現象，是Apple生態系開發語言Swift和Objective-C，Swift作為Objective-C後繼者，卻在這個排行中持續往下，從去年的10名掉到15名，而Objective-C卻從去年的29名，上升到了19名，前後世代的開發語言更迭發展值得關注。</p> </div></div></div>
2022/12/7 22:59作者李建興https://www.ithome.com.tw/news/154593
最新版DirectML PyTorch開始支援熱門Transformer模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為主要維護者之一的<a href="https://devblogs.microsoft.com/windowsai/transformer-support-for-pytorch-with-directml-is-here/">DirectML PyTorch</a>公開預覽版本現在已經發布，該版本新增支援不少熱門的Transformer模型，包括GPT2、BERT和Detection Transformers，也就是說，開發者現在可以利用具有GPU加速的PyTorch，來訓練常用Transformer模型。微軟提到，要使用PyTorch和DirectML訓練Transformer模型的開發者，可以先參考GitHub的新範例。</p> <p>這個新版本的DirectML PyTorch除了支援Transformer模型，同時也包含其他更新，包括改進記憶體消耗，並且擁有更快的效能，同時也能處理更大批次的工作。</p> <p>簡單來說，DirectML讓使用者可以利用AMD、英特爾和Nvidia的GPU，在Windows硬體上使用硬體加速，進而提升機器學習訓練工作負載速度。帶有DirectML的PyTorch版本，支援在DirectX 12相容的硬體上，執行複雜機器學習模型的訓練和推理。</p> <p>目前最新版本的Windows 10和WSL都支援帶有DirectML技術的PyTorch，開發者現在可以下載PyPI套件，並且開始進行Transformer模型應用開發。</p> </div></div></div>
2022/12/7 23:01作者李建興https://www.ithome.com.tw/news/154594
【資安日報】2022年12月7日，雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有雲端服務業者代管的Exchange伺服器傳出含有ProxyNotShell而遭到攻擊，現在該業者揭露初步的調查結果，表示他們遭遇勒索軟體攻擊，但不影響代管Exchange伺服器以外的業務。</p> <p>美國針對中小企業與民眾提供的COVID-19救濟金，近期傳出該國政府發現中國駭客APT41參與盜取相關補助的攻擊行動。但這樣的情況並非首例──2020年<a href="https://www.ithome.com.tw/news/137769">奈及利亞詐騙集團Scattered Canary就企圖向該國州政府詐領失業補助</a>。</p> <p>FreeBSD開發團隊近日修補Ping元件的漏洞，並呼籲使用者應儘速修補，原因是該漏洞有可能讓攻擊者挾持整個FreeBSD作業系統。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.securityweek.com/rackspace-confirms-ransomware-attack-it-tries-determine-if-data-was-stolen"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace代管的Exchange伺服器服務證實遭勒索軟體攻擊</span></strong></a></h3> <p>本月初<a href="https://www.ithome.com.tw/news/154560#rackspace">雲端服務業者Rackspace代管的Exchange系統因資安事故停擺</a>，他們緊急將相關環境隔離，並協助用戶暫時遷移至Microsoft 365。針對這起事故，根據初步的調查結果，Rackspace認為這起事件為勒索軟體攻擊，但尚未確認是否有資料遭竊。此外，該公司研判受害範圍僅限於Exchange代管業務，自家的郵件服務Rackspace Email與其他產品則不受影響。</p> <h3><a href="https://www.nbcnews.com/tech/security/chinese-hackers-covid-fraud-millions-rcna59636"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國COVID-19救濟金傳出被盜，疑中國駭客APT41所為</span></strong></a></h3> <p>根據NBC News的報導，美國特勤局發現，中國駭客組織APT41竊取了美國政府2千萬美元的COVID-19救濟金，這些包含十幾個州小型企業的急救貸款，以及民眾的失業保險金。但不具名的官員與專家表示，上述情況很可能只是冰山一角，還有多起詐領救濟金的事件，矛頭也都指向政府資助的駭客組織。對此，中國駐華盛頓大使館並未做出說明。</p> <h3><a href="https://www.lupovis.io/russia-compromises-major-uk-and-us-organisations-to-attack-ukraine/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客入侵歐美組織，目的是綁架這些單位的網路流量，以此攻擊烏克蘭</span></strong></a></h3> <p>資安業者Lupovis揭露俄羅斯駭客近期攻擊烏克蘭組織的手法，駭客先入侵並挾持英國、美國、法國、巴西、南非的企業網路，並藉由重新路由的方式對烏克蘭發動網路攻擊。這些被充當「路由」的企業，包含了財富500強公司、15家醫療照護機構，以及水壩監控系統。</p> <p>研究人員至少看到50至60名攻擊者參與相關攻擊，攻擊方式也相當多元，包含將受害裝置納入殭屍網路並用於DDoS攻擊，或是執行SQL注入、遠端檔案包含（RFI）、入侵Docker環境，此外，他們也發現攻擊者利用已洩露的烏克蘭組織帳密，或是已有CVE編號的漏洞來潛入受害組織。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/massive-ddos-attack-takes-russia-s-second-largest-bank-vtb-offline/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯大型金融機構VTB遭到DDoS攻擊</span></strong></a></h3> <p>根據俄羅斯媒體塔新社的報導，當地大型銀行VTB的基礎設施遭到境外大規模DDoS攻擊，且為該銀行遭遇最大規模的攻擊事件。VTB強調銀行的系統正常運作，客戶資料也受到保護，駭客的目的，很可能是要讓銀行的服務中斷，導致用戶無法使用相關服務。而對於攻擊者的身分，烏克蘭IT軍隊聲稱是他們所為。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/The-story-of-a-ransomware-turning-into-an-accidental-wiper"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體與資料破壞程式只有一線之隔，駭客基於公開的Cryptonite程式碼，而發展出加密而無法解密的惡意程式</span></strong></a></h3> <p>有人透過開放原始碼的型式提供勒索軟體Cryptonite，並於GitHub上架相關的程式碼，但事隔兩個星期，駭客以此勒索軟體為基礎，打造了資料破壞軟體（Wiper）。</p> <p>資安業者Fortinet於12月5日揭露勒索軟體Cryptonite的新變種，該變種程式具備原本Cryptonite的特性，例如，在運作的過程中，此軟體會在命令提示字元視窗上，假借安裝更新程式的名義，顯示加密檔案的進度，但與原版Cryptonite不同之處在於，變種程式並未提供解密的操作介面。經研究人員調查，原因是駭客編譯該勒索軟體的過程發生錯誤所致，使得變種Cryptonite無法直接執行解密檔案模式，加密電腦檔案後也不會向攻擊者回傳解密金鑰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1669926075472.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1669926075472.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://thehackernews.com/2022/12/critical-ping-vulnerability-allows.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FreeBSD使用的Ping軟體元件出現嚴重漏洞，駭客恐能遠端挾持具有該弱點的FreeBSD系統</span></strong></a></h3> <p>維護FreeBSD的開發團隊於11月29日發布更新，修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-30293">CVSS風險層級達7.5分</a>，影響所有版本的FreeBSD作業系統，一旦攻擊者利用這項漏洞，就能遠端導致ping當機，並有可能執行任意程式碼。對此，開發團隊表示，由於此應用程式的處理程序會在相容模式沙箱運作，對於該作業系統的整體影響算是有限。此外，基於FreeBSD開發的防火牆系統OPNsense也發布了22.7.9版，修補上述漏洞。</p> <h3><a href="https://www.wiz.io/blog/hells-keychain-supply-chain-attack-in-ibm-cloud-databases-for-postgresql"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM Cloud的PostgreSQL資料庫服務出現漏洞，可被用於未經授權的存取</span></strong></a></h3> <p>資安業者Wiz揭露IBM Cloud旗下一款資料庫雲端服務的高風險漏洞Hell's Keychain，此漏洞的組成，包含了3種不慎曝露的帳密資料──Kubernetes服務帳號的Token、私有容器的登錄檔案、CI/CD伺服器帳密，以及結合內部編譯伺服器極為寬鬆的網路存取規範。一旦遭到利用，攻擊者就有可能在租戶的環境遠端執行任意程式碼，甚至讀取與竄改儲存於PostgreSQL裡面的資料，CVSS風險評分為8.8分。IBM獲報後已完成修補，並表示目前尚未發現該漏洞遭到利用的跡象。</p> <h3><a href="https://medium.com/tenable-techblog/netgear-router-network-misconfiguration-70ac695c81a6"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Netgear修補路由器組態配置不當的弱點</span></strong></a></h3> <p>資安業者Tenable指出，他們發現TP-Link與Netgear於Pwn2Own Toronto 2022開賽的前夕，修補參賽者將要挖掘漏洞的設備。</p> <p>其中，Netgear針對旗下的Wi-Fi路由器RAX30、AX2400，於12月2日發布的1.0.9.90版韌體，該公司雖沒有說明修補了那些漏洞，但研究人員指出，在此之前的路由器韌體，允許任何服務透過IPv6監聽WAN埠上的流量，而套用新版韌體的設備，已納入對應的ip6tables規則來防堵上述弱點。值得留意的是，上述兩款路由器尚無法透過自動更新套用前述韌體，使用者需手動安裝。</p> <h3><a href="https://www.zerodayinitiative.com/blog/2022/12/5/pwn2own-toronto-2022-day-one-results"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">漏洞挖掘大賽Pwn2Own Toronto 2022開幕，研究人員一天內兩度成功攻陷三星手機</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/StarLabs-CHIM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StarLabs-CHIM.png" style="width: 300px; float: right;" /></a>12月6日漏洞挖掘大賽Pwn2Own Toronto 2022於加拿大多倫多舉行，總計有26組隊伍參加，這次挖掘漏洞的設備總共有66款，涵蓋智慧型手機、印表機、路由器、NAS等。而在第一天的賽程裡，STAR Labs、Chim這兩個團隊先後找到三星Galaxy S22手機的零時差漏洞，並成功發動輸入驗證攻擊，分別取得5萬、2.5萬美元獎金，此外，兩個隊伍都得到Master of Pwn積分5分。而在當日賽程裡，參賽團隊也找到Canon、Mikrotik、Netgear、TP-Link、Lexmark、Synology、HP等廠牌的印表機或路由器漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.mirrormedia.mg/story/20221206soc001/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">衛福部桃園醫院驚傳資訊系統遭駭客入侵</span></span></strong></a></p> <p><a href="https://www-ch.scu.edu.tw/october/news/19118"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">東吳大學聯手資安業者，成立反網路勒索攻擊應變小組</span></span></strong></a></p> <p><a href="https://www.amnesty.ca/news/news-releases/cyber-breach-statement/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際特赦組織加拿大分部遭中國駭客攻擊</span></span></strong></a></p> <p><a href="https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus假借提供加密貨幣應用程式，散布惡意軟體AppleJeus</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154589"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科揭露資安韌性成功關鍵，管理高層支持和文化培養最重要</span></span></strong></a></p> <p><a href="https://blog.google/products/pixel/feature-drop-december-2022/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為Pixel 7手機提供免費VPN服務</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154575">【2022年12月6日】 American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154560">【2022年12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> </div></div></div>
2022/12/7 17:25作者周峻佑https://www.ithome.com.tw/news/154592
思科揭露全球資安韌性7大成功關鍵，管理高層支持和文化培養最重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科今日（12/7）在亞洲技術年會上揭露<a href="https://www.cisco.com/c/en/us/products/security/security-outcomes-report.html?utm_medium=web-referral&utm_source=blog&utm_campaign=umb-fy23-q2-content-ebook-security-outcomes-report-v3&utm_term=pgm">安全調查研究成果</a>，思科全球資安長Helen Patton點出7項成功關鍵，首要就是管理高層的支持，而非用了多少資安工具。第二名則是培養資安文化，再來是保有資安人才資源、簡化雲端環境，以及其他技術工具的採用。思科也同時揭露臺灣調查結果，高層支持、培養文化也是資安韌性的主要關鍵。</p> <p><span style="font-size:24px;"><strong>調查26國4,700家企業，找出7大資安韌性關鍵、高層支持排第一</strong></span></p> <p>這是思科安全成果研究報告的第三部分，鎖定資安韌性，並從26國、4,700家企業中，整理出7項成功關鍵。其中，第一項就是「管理高層的支持，而非工具，」Helen Patton說。報告指出，管理高層是指執行長、技術長、資安長等C字頭主管，而高層支持薄弱的企業，其資安韌性表現比高度支持的企業，低了39%。</p> <p>第2關鍵是培養資安文化，思科發現，具備資安文化的企業，韌性表現比未具備相關文化的企業，高出46%。再來則是保留資源，也就是資安人才的招募和雇用，Helen Patton表示，保留資源與企業人數多少沒有太大的關聯，而是能否在資安事件發生時，即時運用內外部人才來解決問題。</p> <p>第4個關鍵才開始與技術相關，也就是簡化雲端環境。報告指出，不論是以地端為主的企業，還是雲端為主要架構的企業，資安韌性表現都非常出色，相差無幾。但，思科發現，從地端往雲端發展初期的企業，因混合雲環境較難掌控，因此韌性分數下降了8.5%至14%。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-12-07%20at%204_20_24%20PM.png" /></p> <p>其他關鍵也都與技術相關，包括擴大採用零信任機制、擴充偵測和回應能力，以及把資安機制帶入邊緣裝置。進一步來說，近年來受疫情影響，辦公環境和形式變得多元，更多員工在不同地點利用不同裝置來完成工作，也因此，企業得對不同人員、裝置採取零信任機制，來管控資料存取權限。調查發現，採取零信任模型的企業，比未採取的企業，資安韌性表現好上30%。</p> <p>另一方面，要加強偵測和回應能力，就得仰賴XDR工具，來協助企業掌握網路、雲端、終端和應用程式的數據變化，並進一步分析這些數據。思科點出，XDR運用成熟的企業，資安韌性得分比未積極採用的企業，增加了45%。</p> <p>隨著混合辦公越來越普遍，企業面臨更多IT管理難題，比如使用不同雲端廠商的應用程式、裝置更多樣，思科認為，現有的安全網路作法難以解決這些問題，但安全存取服務邊緣（SASE）架構可以。SASE大多是以雲端提供資安功能的架構，但按企業情況，也有雲端搭配地端的作法。思科認為，SASE可以簡化IT維運、維持韌性。報告也發現，採取成熟SASE的企業，資安韌性分數比未採用的企業高出27%。</p> <p><span style="font-size:24px;"><strong>超過9成臺灣企業視網路安全為第一要務</strong></span></p> <p>另一方面，思科今日也揭露臺灣調查結果，不只高層支持、培養資安文化同樣是企業資安韌性的成功關鍵，更指出臺灣94%受訪企業認為，網路安全是第一考量，因為過半（55%）的受訪企業，在過去兩年內發生資安事件。</p> <p>這些事件中，最常見的是勒索軟體（49.1%）、分散式阻斷服務（DDoS）攻擊（45.5%）、惡意內部人員的權限濫用（41.8%），以及網路或系統中斷（38.2%）。</p> <p>資安事件對企業及其往來的公司有著嚴重影響，主要包括IT和通訊中斷、對品牌聲譽造成長遠損害、應變和復原的費用，以及失去競爭優勢。</p> <p>這些影響重大，幾乎所有受訪的管理階層（94%）都視資安韌性為重中之重。研究結果進一步顯示，資安主管及團隊要實現資安韌性的主要目標，是要不斷完善和提高資安能力，以及避免發生重大安全事故、遭受損失。</p> </div></div></div>
2022/12/7 16:09作者王若樸https://www.ithome.com.tw/news/154589
Rackspace證實遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://status.apps.rackspace.com/index/viewincidents?group=2" target="_blank">雲端代管業者Rackspace周二證實</a>本月稍早影響代管Exchange服務的網路事件，是勒索軟體攻擊所致，該公司正在調查是否有資料受到影響。</p> <p><a href="https://www.ithome.com.tw/news/154560" target="_blank">本月初Rackspace</a>傳出遭到「網路安全事件」，使代管的Exchange伺服器服務出現郵件同步問題及重覆要求使用者輸入密碼等。迫使該公司將代管Exchange環境暫時隔離並搬移到其他環境。在第三方安全廠商的協助下，Rackspace對此展開調查。</p> <p>昨日Rackspace表示，根據初步調查他們相信這起事件為勒索軟體攻擊，不過由於調查還在很早期階段，他們還無法斷定是否有任何資料遭到影響。若真的有，該公司將會通知客戶。</p> <p>Rackspace針對勒索軟體沒有多做說明，但該公司相信這起事件僅影響代管Exchange業務，其他產品和服務完全正常，而且自己的郵件服務Rackspace Email產品和平臺也都未受影響。</p> <p>至於受影響的Microsoft 365，目前Rackspace已經設定好隔離環境讓企業客戶將用戶和網域搬移過去。他們還無法提供恢復Exchange環境的時間表，僅能提供郵件歸檔，以便匯入到Exchange中來回復服務。</p> <p>12月5日時Rackspace聲稱，已經協助回復了數千家客戶的代管Exchange服務。</p> <p>Rackspace提醒Microsoft 365用戶在設定時啟動轉寄功能，以便將原訂送到代管Exchange的郵件送到外部電子信箱。這些用戶也應到Rackspace發起啟動該設定的需求單。不過Rackspace也說，這轉寄設定無法適用之前送到代管Exchange的信件。</p> <p>對於攻擊事件起因，資安專家Kevin Beaumont認為可能是Rackspace使用的Exchange系統較舊，存在包含CVE-2022-41040及CVE-2022-41082，即合稱ProxyNotShell的漏洞遭到駭客攻擊。</p> <p>Kevin Beaumont於10月初揭露ProxyNotShell後，微軟釋出了緊急緩解程式，<a href="https://www.ithome.com.tw/news/153503" target="_blank">但10月初安全研究人員踢爆很容易繞過</a>。<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-proxynotshell-exchange-zero-days-exploited-in-attacks/" target="_blank">微軟直到11月初的安全更新才真正修補好漏洞</a>。</p> </div></div></div>
2022/12/7 10:28作者林妍溱https://www.ithome.com.tw/news/154586
Pixel 7新增免費VPN、降噪功能、說話者辨識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/feature-drop-december-2022/" target="_blank">Google於周二釋出12月Pixel裝置功能更新（Feature Drop）</a>，其中Pixel 7將獲得免費VPN、說話者識別及過濾通話噪音的功能。</p> <p>Google指出，12月的功能更新是歷來規模最大，自今天開始部署給Pixel 4a到最新的Pixel 7和7 Pro。此外也首度為Pixel Watch釋出新功能。</p> <p>在所有新功能中，有3項為Pixel 7及7 Pro手機優先獲得。第一是免費VPN by Google One。在此之前，<a href="https://www.ithome.com.tw/news/140862" target="_blank">必須是付費雲端硬碟方案Google One 2TB以上的美、英等國用戶才能免費享有VPN</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-google%20one%20vpn.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>其次是清晰通話（Clear Calling）。Google表示，借助Tensor G2晶片之力，清晰通話功能可在通話時降低背景噪音，並強化來電者人聲，使用戶在吵雜環境依然能聽得清對方的聲音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-google%20pixel%20clear%20calling.png" style="width: 391px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>第三項則是為錄音程式加入說話者標籤。這項功能可用於錄製訪談、會議、演說或對話情境，當用戶以錄音程式以英文轉錄對話時，這App可辨識一個以上的說話者，並加上標籤，而在說話者換人時，Google會在轉錄文字加入斷行符號。這功能是以機器學習即時處理說話者標籤，且完全在手機上執行，等錄製完成，用戶可以再為每位說話者加上人名。這功能將提供給Pixel 6以上機種。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-Google-Pixel-Recorder-speaker%20labels.png" style="width: 461px;" /></p> <p>其他新功能包括合併安全與隱私設定，用戶可在同一介面一覽帳號、密碼或手機安全與隱私設定、風險值等，並有行動卡片通知安全風險，以及解決安全風險的步驟，以及天氣App加入日出／日落磚塊、聯絡人App允許釘選5個最愛聯絡人等。</p> <p>前代手機也有新功能；Pixel 6及Pixel 6 Pro加入咳嗽和鼾聲偵測以用於睡眠監測。而Pixel 4a手機也新增可搜尋App、聯絡人、擷圖或網頁的整合搜尋功能，以及語音訊息轉錄文字功能。</p> <p>這次更新也首度為Pixel Watch加入、原本僅在Fitbit Premium服務提供的Fitbit睡眠追蹤管理功能，包括睡眠時間、中斷情形、長期睡眠趨勢及報告。Pixel Watch並加入新的Curated Culture桌布。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-google%20watch.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>Google並預告明年1月Pixel手機將支援空間音訊，搭配Pixel Buds時，開啟頭部追蹤的Pixel手機可獲得沈浸式環場音效體驗。使用有線耳機也可啟動這項功能。</p> </div></div></div>
2022/12/7 11:02作者林妍溱https://www.ithome.com.tw/news/154587
AWS遊戲託管解決方案GameLift現可管理本地遊戲伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在遊戲託管解決方案GameLift添加新功能，透過將遊戲連線（Session）管理從底層運算資源分離出來，使用戶在Anywhere Fleet邏輯結構下，註冊和部署任何硬體，也就是說，用戶現在可以在自家的基礎設施中執行遊戲伺服器。</p> <p><a href="https://aws.amazon.com/tw/blogs/aws/introducing-amazon-gamelift-anywhere-run-your-game-servers-on-your-own-infrastructure/">Amazon GameLift</a>是一個專門的託管解決方案，可以用來部署並自動擴展，基於連線的多人遊戲伺服器隊列，以滿足全球玩家的需求。用戶透過Amazon GameLift能夠創建和上傳遊戲伺服器，一次性建構、複製，並且部署至多個AWS地區和本地區域，提供全球玩家低延遲遊戲體驗。</p> <p>遊戲開發人員在開發階段，經常需要測試和迭代遊戲，但將候選版本部署到雲端卻需要花費不少等待時間，另外，遊戲開發商通常也有自己的裸機合約和本地遊戲伺服器，過去使用GameLift就無法靈活應用這些現有資產。</p> <p>因此AWS推出Amazon GameLift Anywhere，透過分離連線管理和底層運算資源，讓遊戲開發商能夠靈活地使用既有硬體。現在用戶的本地硬體也可成為GameLift管理的伺服器，因此開發者便可以先在本地桌面環境迭代伺服器建置，快速地排除伺服器錯誤，還可以在環境除錯器設置中斷點，減少反覆試驗並加速迭代。</p> <p>GameLift Anywhere的主要好處是能夠加速遊戲開發，並且以混合方式管理伺服器，而且用戶能夠在單一遊戲伺服器調度層下，統一伺服器基礎設施，進而降低成本和操作複雜性。</p> <p>AWS提到，諸如位置、隊列和運算等GameLift Anywhere資源，都可透過AWS API進行管理，能夠替遊戲伺服器程序生成有時效性的身分驗證權杖，同時，用戶也能夠利用AWS IAM角色和策略功能，管理所有對GameLift Anywhere端點的存取。</p> </div></div></div>
2022/12/6 22:06作者李建興https://www.ithome.com.tw/news/154573
微軟供Azure用戶客製化STT模型，改進語音轉文字準確度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/improve-speechtotext-accuracy-with-azure-custom-speech/">微軟更新Azure認知服務的語音功能</a>，透過客製化語音轉文字功能，進一步提高應用程式和產品的語音轉文字準確性。新的客製化語音模型，是以基礎模型加以訓練，用戶可以利用文字資料來訓練模型，強化特定領域字彙的辨識能力，或是透過帶有轉錄的音訊資料，提高應用程式對特定音訊條件的辨識能力。</p> <p>Azure Cognitive Services for Speech讓用戶可以簡單地建構語音應用程式，該服務支援多達140種語言，使用戶能高精確度地將語音轉錄成文字，或是將文字轉成自然的語音，甚至進行翻譯。而新的客製化語音功能，可供用戶客製化語音轉文字引擎，根據應用程式的常用詞彙，客製化語音模型，並且自訂聲音模型適應用戶的說話風格。</p> <p>用戶只要上傳自定義語音文字或是音訊資料，就能夠簡單創建客製化模型，這些模型會與微軟的語音模型結合後，部署到客製化語音轉文字端點，使終端用戶從各種裝置上存取。</p> <p>微軟提供用戶以四種方式客製化語音模型，第一種是最簡單的方式，用戶能以詞彙列表添加諸如參與者姓名、產品和行話列表，提高模型對這些詞彙的辨識能力，這是一種不需要模型訓練，就能即時強化準確度的方式。</p> <p>第二種方法則是使用純文字，微軟提到，這也是簡單的客製化語音模型的方式，因為像是在各種體育賽事使用的詞彙差距很大，因此透過純文字就可針對特定運動建構客製化模型，提高賽事詞彙精確度。</p> <p>第三種是以結構化文字的形式，適用於強化語音中句子模式的文字資料，針對特定單詞或是短語有所不同的話語。同時，用戶也可以使用音訊資料，訓練客製化語音模型，這將能改善模型對於特定口音、說話風格或是背景噪音的辨識能力。</p> </div></div></div>
2022/12/6 22:08作者李建興https://www.ithome.com.tw/news/154574
Wasmer Pack可簡單轉換WebAssembly套件供其他程式語言使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源WebAssembly Runtime專案Wasmer推出新工具<a href="https://wasmer.io/posts/wasmer-takes-webassembly-libraries-manistream-with-wai">Wasmer Pack</a>，這是一個整合WebAssembly套件管理器和WebAssembly介面（WebAssembly Interface，WAI）的工具，使開發者可以將WebAssembly函式庫發布成能夠在其他語言匯入的套件。</p> <p>官方提到，WebAssembly在與其他語言整合以及二進位檔案的發布方面，一直是開發人員進入WebAssembly的障礙，而Wasmer的目標是要透過發布更加通用的函式庫，試圖降低這些障礙。Wasmer Pack便是其中的一項努力，其透過WAI來和其他語言整合。</p> <p>WAI是一種類似Lisp的WebAssembly文字格式，是WebAssembly程式與WebAssembly嵌入的綁定生成器框架。現在WebAssembly套件管理器藉由WAI新增功能，能夠自動替選擇的程式語言，生成可安裝套件，簡化開發人員在其應用程式中使用WebAssembly的方法。</p> <p>WebAssembly套件管理器不只要是與WAI格式綑綁，Wasmer官方也正將Extism等各類型的WebAssembly綁定，整合到套件管理器中。</p> <p>WAI並非由Wasmer原創，WAI建立在wit-bindgen專案之上，wit-bindgen是一個WebAssembly介面類別規範實作，但因為該專案的維護者不願意讓Wasmer，將wit-bindgen整合成上游專案，因此Wasmer只好硬分叉了一個新專案，並將其命名為WAI。</p> </div></div></div>
2022/12/6 22:10作者李建興https://www.ithome.com.tw/news/154576
AWS推視覺化工具Application Composer協助用戶架構雲端應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS新發布的<a href="https://aws.amazon.com/tw/blogs/compute/visualize-and-create-your-serverless-workloads-with-aws-application-composer/">Application Composer</a>，能夠簡化和加速開發人員架構、配置和建構無伺服器應用程式。透過Application Composer的瀏覽器視覺化畫布，使用者能夠簡單拖放AWS服務，並連接到應用程式架構中，而這些服務整合配置，會由Application Composer即時維護成基礎設施即程式碼定義。</p> <p>官方提到，在剛開始學建構無伺服器應用程式，開發人員需要組合多個AWS服務時，便可能面臨陡峭的學習曲線。這個過程包括了解每個服務的配置，並且學習和編寫基礎設施即程式碼定義，來部署應用程式。當要更改現有應用程式時，開發人員可能發現大型基礎設施即程式碼定義檔案難以閱讀，增加團隊溝通架構的障礙。</p> <p>Application Composer則能消除這些摩擦，用戶可以在創建新應用程式時，重頭開始建立新架構，或是匯入現有的CloudFormation或AWS無伺服器應用程式模型（AWS Serverless Application Model，AWS SAM）模板。</p> <p>而AWS SAM最近更新加入Accelerate新功能，能夠只同步專案的更新，來加速程式碼和雲端基礎設施的回饋和測試，用戶可以整合Application Composer與AWS SAM Accelerate一起使用，以更簡單的視覺化方式，在雲端建構和測試無伺服器應用程式。</p> <p>用戶只要添加和連接AWS服務，Application Composer便可生成部署就緒的專案，像是基礎設施即程式碼定義和Lambda函式架構程式碼，並且Application Composer也會在用戶以視覺化介面操作時，即時同步基礎設施即程式碼定義。</p> <p>Application Composer的側面板提供資源列表，使用戶能夠快速瀏覽可用資源。透過語義分組資源，可以簡化畫布的視覺化呈現，像是當畫布呈現大型複雜的應用程式架構，就可以利用該功能快速選取資源。</p> <p>使用Application Composer不需要支付額外的費用，用戶可以在AWS管理控制臺中存取，Application Composer目前先在美東、美西、歐洲地區上線，亞洲則是在東京地區提供。</p> </div></div></div>
2022/12/6 22:13作者李建興https://www.ithome.com.tw/news/154578
地緣政治緊張、勞力短缺、疫情影響，IDC預測2023臺灣10大ICT趨勢：數位主權、AI自動化應用、低軌衛星布局、中小…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球COVID-19疫情持續影響，全球地緣政治持續緊張，加上通膨問題影響之下，IDC認為全球大環境衝擊，牽動臺灣在2023年的ICT發展趨勢。IDC臺灣總經理江芳韻指出，受到疫情影響，除了供應鏈受衝擊，中國的防疫政策容忍程度也成為外界關注的焦點，加上國際地緣政治緊張，戰爭導致通澎問題，以及產業所面臨的缺工、缺專業人才等，均為企業關注的問題，明年主軸在於企業如何透過科技投資，最大程度抵減通膨、地緣政治、缺工缺人才的風險。</p> <p>在上述大環境的影響之下，IDC提出2023年臺灣的10大ICT趨勢預測，包括數位主權、自動化應用加速多模AI落地、網路安全加強軟體溯源、供應鏈重組、低軌衛星發展、多重元宇宙發展、數位雙生多元多階落地、中小企業及資服業者的雲端轉型、未來消費者成形、數位人口浪潮下支付變革帶動B2C發展。</p> <p><span style="color:#B22222;"><strong>國際政治緊張促使對數位主權、低軌衛星、網路安全的重視</strong></span></p> <p>數位主權方面，為IDC去年提出的數據主權概念延伸，由於國際上地緣政治緊張與對立，企業對主權的需求，不再只限於數據主權，擴大為數位主權，數位主權包括3個核心，數據主權、雲端主權及保證主權。其中數據主權涵蓋雲端平臺、工作負載、數據中心、基礎設施，強調自主管理與安全性。不只是國家政府強調數位主權，企業及個人也更重視自主管理能力的發展。</p> <p>地緣政治的緊張與對立，也加速各地對低軌衛星的發展，IDC認為俄烏戰爭催化各國對低軌衛星的布局，意識到衛星通訊的重要性，且今年5G R17納入NTN非地面網路，NTN可望成為未來6G的關鍵技術之一。消費端方面，iPhone開始支援衛星緊急通訊，Android陣營未來也可望加入支援衛星。IDC預期2027年全球2千大企業中，8成的企業會將低軌衛星視為偏遠或高風險地區的通訊網路補強方案。</p> <p>緊張的地緣關係，也促使全球供應鏈重組，為提高供應鏈的彈性、能見度，企業從過去長鏈加速朝短鏈、多鏈發展，帶動對區塊鏈、AI、雲端、數據整合的科技布局，預期2026年約7成5的供應鏈投資為跨平臺串聯的相關應用。</p> <p>另外，政治經濟的對立衝突，也反映在網路攻擊，政府或企業提高對網路安全風險重視，尤其為軟體漏洞風險的控制，對軟體溯源、建立SBOM軟體物料清單，成為強化對軟體供應鏈透明度的重點。IDC預估2024年將有55%組織對其客戶提供服務，也需簽署SBOM以協助客戶建立軟體安全溯源、確保供應鏈安全。</p> <p><span style="color:#B22222;"><strong>企業加速數位轉型發展，AI落地、數位雙生、上雲</strong></span></p> <p>由於產業面臨缺工，特別是缺少專業人才，IDC認為企業透過投資自動化減輕壓力，其中自動化技術包括AI的應用，特別是可處理文本、影像、音訊的多模態AI應用落地。目前多模態AI已被應用在智慧能源、晶片開發設計上，IDC更預期2023年缺少人才將使3成5的IT單位投資AI，在2026年將有4成的AI模型涵蓋多模態的數據演算。</p> <p>另外，元宇宙、數位雙生成為明年值得關注的ICT趨勢之一</p> <p>其中元宇宙方面，IDC資深研究經理蔡宜秀指出，目前元宇宙應用以遊戲娛樂、行銷展演為主，根據調查，47%的企業對元宇宙感興趣，與Web 3.0、元宇宙低層技術逐漸到位有關。未來元宇宙發展不會由單一的元宇宙獨大，而是存在多個元宇宙，並且在相關組織推動之下，多重元宇宙間的互動、串聯將是未來發展趨勢，未來元宇宙發展將朝大者恆大發展，元宇宙將如同channel，未來OMO整合不只是實體通路、網路，也將包括元宇宙。</p> <p>至於數位雙生（Digital Twin）， IDC認為數位雙生擴大落地，除了國防、航太、能源、政府等產業，也進入大型製造業、倉儲物流，甚至是產業供應鏈。過去，數位雙生投資被視為需要大量資金、技術投資，但隨著IoT、AI、5G等相關技成熟，以及國產數位雙方客製化，數位雙生逐漸可被應用在小規模的產品或服務上，加速其應用發展。未來將有更多元、不同產業、規模的企業導入。</p> <p>在疫情、勞力短缺、供應鏈、通膨等因素影響，不只大型企業推動數位轉型，中小也積極規畫數位轉型策略，在經費有限之下，透過雲端改善營運，增加營運彈性、競爭力，並改善客戶體驗。IDC預估2025年，全球將有3成的中小企業將一半的核心負載轉至雲端。不只是中小企業朝雲端轉型，資服務業者也加速雲端轉型，朝提供SaaS服務發展。</p> <p>對於消費市場，因地緣政治緊張、對立，導致通膨使得消費者可支配所得減少，消費者更在意產品服務的直覺、使用效率、易管理、成本效益，形塑新的消費型態或體驗，可望帶動語音購物平臺、訂閱制的消費電子產品等。而在支付方面，因疫情改變大眾的消費行為，IDC認為信用卡、行動支付、BNLP先買後付，這類無摩擦支付方式，相較於過去以現金支付，新的支付方式提供更簡易的付款體驗，並且留下數據紀錄，有利於企業發展數據即服務（Data as a Service）應用，像是透過數據分析，找出不同消費的潛在需求關聯性，能帶動B2C產業發展。</p> </div></div></div>
2022/12/6 19:37作者蘇文彬https://www.ithome.com.tw/news/154580
Fintech周報第213期：金融業年報從2024年開始揭露量化氣候數據，中信金推出獨立先買後付App專攻信用卡不支援…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>2022/11/1~11/30金融科技精選新聞</strong></span></p> <h3><strong><span style="color:#0000FF;">#永續發展、#金融業年報</span><br /> 金融業從113年開始也要在年報揭露量化氣候數據，連各子公司碳排數據都要清楚交代</strong></h3> <p>金管會將要求金融業者，比照上市櫃公司的年報，揭露更多氣候相關資訊。銀行局於11月底時發布預告，將修正相關準則條文來要求金控、銀行、票券金融公司年報和金融業有價證券公開說明書的記載內容，日後得進一步揭露金融業氣候相關資訊。根據預告，從113年1月1日開始，金融業全面適用，要依據資本額大小，分階段強制揭露範疇一和範疇二的盤查和確信情況。銀行局也要求金融業者要提供母公司與各子公司的二氧化碳總排放量和密集度數據，以及確信機構。</p> <h3><strong><span style="color:#0000FF;">#先買後付、#中信金</span><br /> 中信資融以獨立支付App搶進BNPL市場，專門鎖定信用卡不支援的消費場景</strong></h3> <p>中信金集團台灣人壽旗下中信資融正式推出了新的支付App「Fula付啦」，這是一款提供先買後付（BNPL ,Buy Now Pay Later）的掃碼支付App。這款App整合了中信金控集團的技術、外部數據和科技風險管理模式，例如利用中信金控集團自行研發的OCR和AI人臉辨識技術設計全自動申請。中信資融在金融科技展時就首度展示了這款App的操作畫面，以行動支付常見的掃碼支付方式，可以在原本沒有提供信用卡分期的商店，以先買後付的方式來掃碼購買商品，支付時可以並用優惠券折扣功能。台灣人壽表示，信用卡分期需要店家與銀行雙方簽約後，才能提供。但中信資融的Fula付啦，則是由銀行提供支付工具，要瞄準信用卡不願意或無法支援的應用場景，來提供分期支付的機制，要成為信用卡服務互補的支付工具，而非像其他先買後付以信用小白為主打對象。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E4%B8%AD%E4%BF%A1%E8%B3%87%E8%9E%8DBNPL%E5%B1%95%E7%A4%BA-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" /></p> <h3><strong><span style="color:#0000FF;">#電子支付、#全支付</span><br /> 街口和一卡通2家壟斷過半電支市占，全支付擠進前5名</strong></h3> <p>金管會在11月揭露了最新的電子支付帳戶統計數，統計到今年9月為止，全臺電子支付使用人數1,997萬人中，過半數由街口（584萬人）和一卡通（524萬人）包辦，悠遊卡以189.6萬人名列第三，玉山緊追在後。而9月才正式上線的全支付，在金管會9月統計中，已經快速竄升到第五名，一個月就增加了161.9萬名使用者。到了10月，全支付宣布會員數超過了200萬人，並積極擴展更多合作通路，如全聯小時達服務從11月開始支援，明年目標要拓展到20萬通路可使用。同樣是今年上線的全盈支付也積極卡位，在9月底時已經擁有85萬會員，除了整合全家App來瞄準零售與社區場景，也開始瞄準職場金融場景，在11月時整合到全臺最大員工福利整合平臺，來提供上班族線上商城與企業特約商店的支付，例如瞄準同事下午茶揪團需求等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%B0%8F%E6%99%82%E9%81%94-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E6%94%AF%E4%BB%98.jpg" /></p> <h3><strong><span style="color:#0000FF;">#金融資料共享、#金融科技</span><br /> 90家金融業者未來也將提供資料共享業務，證券期貨首例與無集團關係Fintech共享資料</strong></h3> <p>金管會日前公布金融機構間資料共享指引的實施調查，308家金融機構已有99.15%完成內控調整，已有17家推出資料共享新業務，例如銀行業有同集團內客戶同意資料共享註記，證券共享開戶基本資料，與壽險共享資料來申辦信用卡，或是有保險業跨業共享，輔助客戶財務核保適合度評估作業等。金管會也核准了第一例證券期貨業者與無集團關係金融科技業者間資料共享業務的首例，審核通過阿爾發投顧公司與永豐金證券公司申請合作辦理資料共享業務，用於機器人理財服務上。目前，還有90家金融業者正規畫未來要推出資料共享業務。</p> <h3><strong><span style="color:#0000FF;">#NFT、#C2C交易</span><br /> Line旗下NFT平臺開通C2C交易，用戶能私下買賣NFT商品</strong></h3> <p>Line旗下NFT平臺Dosi開放了C2C交易功能，可以讓用戶彼此買賣從品牌商店購買的FNT商品，讓Dosi不只是商家買賣平臺，也成了用戶交易場所。Dosi也新增以太幣支付的選項。Dosi在9月開放Beta版之後，到11月全球149國共開通了10萬個Dosi錢包帳號，並發放了17萬枚會員制NFT。目前Dosi發展策略主打韓流遊戲商品，來吸引粉絲購買品牌商店提供的NFT產品，例如火紅網路漫畫《地獄公使》的Hellbound NFT系列，也有韓系女團或電視銷售的NFT產品。不過，雖然Dosi平臺開始支援C2C，品牌商店仍然可以決定是否要開放旗下 NFT產品可在用戶之間私下買賣。目前只有一家品牌商店Hellbound旗下NFT產品開放C2C交易，其餘品牌商店仍未支援。</p> <h3><strong><span style="color:#0000FF;">#區塊鏈、#Dosi NFT</span><br /> Line揭露區塊鏈架構最新進展，年底將啟用第三代主網</strong></h3> <p>近日Line與日本Yahoo!聯合舉辦技術年會中，公開了Line區塊鏈的最新架構。Line從2018年開始大力發展區塊鏈，發展自有的區塊鏈基礎架構，去年開始發展NFT應用，在今年推出了Dosi平臺。Line技術長池邊智洋揭露了最新的Line區塊鏈技術架構，並宣布今年底將啟用第三代主網。在這個架構中，仍是以Line區塊鏈為底層，上層則有交易所平臺和加密貨幣資產LINK，這三層屬於區塊鏈基礎架構，在其上則是3層的NFT服務層，包括了加密貨幣錢包層及NFT市場層（包括DOSI品牌商店和日本NFT開放市場），以及最上層的NFT服務。不過，Line在11月底時宣布，關閉旗下針對全球市場的加密貨幣交易所Birfront，要回頭持續發展區塊鏈生態系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-Line%E5%8D%80%E5%A1%8A%E9%8F%88%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" /></p> <h3><strong><span style="color:#0000FF;">#加密貨幣、#交易所風波</span><br /> 全球第二大加密貨幣交易所FTX聲請破產保護，影響130家關係企業</strong></h3> <p>全球第二家加密貨幣交易所FTX集團於11月11日根據《美國破產法》第11章聲請了破產保護，涵蓋FTX.com、FTX US、Alameda Research，以及其它130家關係企業，將藉由一定的流程來審核並兌現資產，以彌補全球的利害關係人，且FTX創辦人Sam Bankman-Fried（SBF）已辭去執行長職位，由John Ray III接任。美國一家媒體《CNBC》引用了FTX集團的法院文件，指出FTX在全球約有10萬個債權人，不管是資產或是負債都介於100億~500億美元之間。臺灣也傳出受影響金額高達臺幣數十億元。</p> <h3><strong><span style="color:#0000FF;">#轉錯帳、#加密貨幣</span><br /> 加密貨幣平臺事件連連，Crypto.com坦承轉錯帳價值10億美元的以太幣</strong></h3> <p>就在FTX申請破產保護後，又傳出另一中型交易平臺Crypto.com曾經誤轉價值約10億美元的32萬個以太幣至Gate.io平臺，造成部分Crypto用戶恐慌，而出現大量提款現象，不過目前Crypto的運作看來一切正常。Crypto執行長在消息曝光當天就出面說明，解釋這是不小心轉錯帳所致，款項已轉回Crypto。</p> <p>攝影／王宏仁圖片來源／全支付、Line</p> <p><strong>責任編輯／王宏仁</strong></p> <p>資料來源：iThome整理，2022年11月</p> <h3><span style="color:#FF0000;"><strong>更多金融科技動態</strong></span></h3> <ul> <li>台新銀行智能客服Rose新推線上繳費，不用下載App也能繳費</li> <li>11月底又有一家加密貨幣業者BlockFi申請破產保護</li> <li>保險存摺App於10月底上線，付費用戶超過10萬人</li> </ul> </div></div></div>
2022/12/6 18:49作者王宏仁https://www.ithome.com.tw/news/154579
【資安日報】2022年12月6日，American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.crowdstrike.com/blog/analysis-of-intrusion-campaign-targeting-telecom-and-bpo-companies/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者與業務流程外包公司遭鎖定，目的是竊取SIM挾持攻擊所需的電信業者權限</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SIM-Picture1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SIM-Picture1-1.png" style="width: 300px; float: right;" /></a>資安業者CrowdStrike揭露自今年6月出現的一連串攻擊行動，駭客組織Scattered Spider鎖定電信業者、業務流程外包公司（BPO）發動攻擊，利用多種社交工程手法，像是假冒IT人員打電話給公司員工，或是利用Telegram或簡訊將使用者導向含有公司商標的冒牌網站，進而取得目標網路的初始網路存取權限，駭客在其中兩起攻擊行動裡，分別透過竊得的帳密存取目標組織的Azure虛擬機器，以及利用應用程式伺服器ForgeRock OpenAM的漏洞CVE-2021-35464站穩腳根。然後這些駭客透過AnyDesk、Teamviewer、Logmein等20種遠端監控與管理系統（RMM），持續在目標組織活動。</p> <p>而對於這些駭客的目的，研究人員指出，他們最終的目的是破壞電信網路，竊取使用者的資料，以便用於SIM卡挾持（SIM Swapping）攻擊。</p> <h3><a href="https://sysdig.com/blog/proot-post-explotation-cryptomining/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客自帶系統管理工具PRoot攻擊Linux主機</span></strong></a></h3> <p>資安業者Sysdig揭露針對Linux主機的挖礦攻擊行動，過程中駭客自行攜帶名為PRoot的開源系統管理工具，於目標電腦上部署獨立的根檔案系統，然後植入挖礦軟體XMRig，以及masscan、nmap等工具。這種濫用PRoot的做法，駭客的目的是因應不同Linux版本（如：Ubuntu、RHEL、Alpine等）之間的差異，而能將攻擊範圍延伸到多種Linux作業系統，此外，PRoot亦具備模擬機制，也能讓惡意軟體在不同架構的電腦上執行。</p> <p>攻擊者自備PRoot的做法，研究人員將其稱為「自帶檔案系統（Bring Your Own Filesystem，BYOF）」攻擊。</p> <h3><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q3-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ZIP與RAR壓縮檔已成為駭客主要用來埋藏惡意軟體的管道</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Filetype-trend-22Q2Q3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Filetype-trend-22Q2Q3.png" style="width: 200px; float: right;" /></a>HP資安研究團隊發布了2022年第3季的威脅分析報告，當中提及駭客散布惡意軟體的主要管道，已從Office惡意檔案轉向ZIP、RAR等壓縮檔案，在他們偵測到的惡意軟體攻擊裡，駭客總共濫用了150種檔案格式，但有44%藉由壓縮檔案傳送，其次則有32%是Office檔案。相較於2022年第2季，使用壓縮檔的比例多出11%，亦較第1季多出25%。</p> <p>研究人員認為，這樣的散布惡意軟體管道變化，與壓縮檔容易加密而難以被資安系統解析，以及駭客日益偏好以指令碼為基礎（Script-based）的惡意程式有關。</p> <h3><a href="https://blog.sucuri.net/2022/12/chinese-gambling-spam-targets-world-cup-keywords.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">5萬個網站遭到竄改，駭客注入世界盃足球賽下注內容來擾亂SEO結果</span></strong></a></h3> <p>資安業者Sucuri揭露推廣中國賭博、體育投注網站的攻擊行動，駭客假借世界盃足球賽的名義，感染50,172個網站，將其用於提升自己網站搜尋引擎最佳化（SEO）排名，駭客的工具主要針對百度、搜狗、奇虎360的網路爬蟲而來，一旦遇到這類偵測工具便會顯示與博奕有關的中文內容，然而若是使用者藉用網頁瀏覽器卻會看到未被竄改的網頁。研究人員指出，這類攻擊主要針對簡體中文網頁而來，但也有許多西方網站受到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://eclypsium.com/2022/12/05/supply-chain-vulnerabilities-put-server-ecosystem-at-risk/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">American Megatrends的BMC軟體出現重大漏洞，超過15個廠牌的伺服器曝險</span></strong></a></h3> <p>資安業者Eclypsium於12月5日，揭露American Megatrends基版管理控制器（BMC）解決方案MegaRAC的漏洞CVE-2022-40259、CVE-2022-40242、CVE-2022-2827，攻擊者一旦利用這些漏洞，就有可能在特定條件下執行程式碼、繞過身分驗證，以及進行枚舉用戶。其中最嚴重的漏洞是CVE-2022-40259，CVSS風險層級為9.9分，為利用Redfish API執行任意程式碼的重大漏洞。</p> <p>由於該BMC解決方案被運用範圍相當廣泛，至少包含AMD、Dell EMC、技嘉、雲達等15個廠牌的伺服器，研究人員除向American Megatrends通報，也對這些伺服器業者發布相關通知。</p> <h3><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補今年第9個Chrome零時差漏洞</span></strong></a></h3> <p>12月2日Google針對電腦用戶發布Chrome 108.0.5359.94與108.0.5359.95，目的是為了修補已被用於攻擊行動的漏洞CVE-2022-4262，此漏洞是該瀏覽器的JavaScript引擎V8的型態混淆造成。此為Google今年修補的第9個Chrome零時差漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/acn/202212010327.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國政府網站遭駭客組織匿名者攻擊，起因是響應白紙運動</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-attack-forces-french-hospital-to-transfer-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國教學醫院André-Mignot遭勒索軟體攻擊，病人被迫轉院</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://cloudsek.com/threatintelligence/indian-central-board-of-higher-education-compromised-by-team-mysterious-bangladesh/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客在暗網兜售15萬筆印度醫院的病人資料</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154568"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">1Password推出單一簽入瀏覽器擴充套件，支援Google、Facebook、GitHub</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154560">【2022年12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> </div></div></div>
2022/12/6 16:42作者周峻佑https://www.ithome.com.tw/news/154575
Slack共同創辦人暨執行長 Stewart Butterfield即將離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/slack-ceo-stewart-butterfield-to-exit-salesforce-in-january-2022-12?op=1" target="_blank">《Business Insider》披露</a>，Slack共同創辦人暨執行長Stewart Butterfield周一（12/5）對內宣布將在明年1月離職，繼任人選為Salesforce執行副總裁Lidiane Jones。</p> <p>Salesforce是在2020年12月宣布以277億美元買下Slack，當時Butterfield就是Slack的執行長，Salesforce發言人向《Business Insider 》表示，Butterfield已成功將Slack整合到Salesforce，並融入Customer 360平臺。言下之意是Butterfield準備功成身退，而現在也剛好是Salesforce併購Slack滿兩年之際。</p> <p><a href="https://twitter.com/LidianeJones/status/1599839215973412864" target="_blank">接手的Jones除了感謝</a>Butterfield打造Slack之外，也說未來將承襲Slack的使命，讓人們的生活更簡單、愉快及有效率。</p> <p>不只是Butterfield，<a href="https://www.cnbc.com/2022/12/05/slack-ceo-stewart-butterfield-leaving-salesforce-two-years-after-deal.html" target="_blank">根據《CNBC》的報導</a>，準備離職的還有Slack的產品長Tamar Yehoshua，以及負責行銷的Jonathan Prince。</p> <p><a href="https://investor.salesforce.com/press-releases/press-release-details/2022/Bret-Taylor-to-Step-Down-as-Salesforce-Vice-Chair-and-Co-CEO-Marc-Benioff-to-be-Chair-and-CEO/default.aspx" target="_blank">11月底Salesforce才宣布</a>共同執行長Bret Taylor將在明年1月31日離開，獨留Marc Benioff擔任執行長。現年42歲的Taylor為科技界的名人，他曾參與Google Maps的創立，曾擔任Facebook技術長，曾是Twitter董事長，會成為Salesforce共同執行長是因為Salesforce在2016年買下了<a href="https://www.ithome.com.tw/news/107473" target="_blank">他所創立的Quip文字協作平臺</a>。</p> <p>Taylor說他離開Salesforce是為了回歸他的創業初衷。</p> </div></div></div>
2022/12/6 14:54作者陳曉莉https://www.ithome.com.tw/news/154572
遠距無線充電新創Reach展開3,000萬美元的B輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發遠距無線電力技術，讓充電可如同Wi-Fi網路一樣遠距進行的Reach，<a href="https://reachpower.com/reach-to-deliver-the-first-industrial-scale-wireless-power-solution/" target="_blank">近日展開3,000萬美元的B輪融資</a>，領投者為科技創投DCVC，其它參與者則包括Y Combinator、Transform VC與Collaborative Fund。</p> <p>目前人們所使用的無線充電多屬於感應式，亦即裝置必須置放於充電墊上進行「無線」充電，然而，Reach正研發的是遠距無線電力技術，可以替幾米外的裝置充電，支援家裡或工業環境。</p> <p>Reach的工業規模無線電力解決方案有許多特性，包括必須支援長距離充電；可在與Wi-Fi網路相似的範圍內運作；同時它也需要強大的電力，以替各式各樣的裝置充電，從物聯網裝置、工具、小型機器人到感應器等；此外，它必須兼具安全、易用與可靠性，並可蒐集終端裝置的資料以最佳化充電部署。</p> <p>美國所有的無線電力解決方案都必須遵守美國聯邦通訊委員會（FCC）所制定的射頻（RF）曝露限制，Reach則利用兩個獨立的系統持續監控電力的傳播，以確保沒有生物會受到功率光束的影響。</p> <p>Reach創辦人暨執行長Chris Davlantes表示，Reach對電力的任務有如Wi-Fi與資料的關係，其工業規模無線電力網路可於瞬間重新配置所有的電線，賦予裝置前所未有的功能性與行動力，此一新的資金將讓該公司得以遞送高效能的無線電力解決方案，以於全球提供高效能的智慧配電。目前Reach所打造的系統可於9米內供應最多50W的電力。</p> <p><a href="https://www.wawt.tech/2022/06/around-8-billion-wireless-power-devices-are-expected-to-shipped-in-the-next-five-years/" target="_blank">根據Wired & Wireless Technologies的估計</a>，未來5年全球的無線電力接收器與發射器的出貨量將達到80億個。</p> </div></div></div>
2022/12/6 12:36作者陳曉莉https://www.ithome.com.tw/news/154571
1Password公布無密碼單一簽入瀏覽器工具，支援Google、Facebook、GitHub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.1password.com/sign-in-with-provider/" target="_blank">密碼管理服務1Password本周公布</a>單一簽入（single sign-on，SSO）瀏覽器外掛功能，讓用戶利用Chrome、Facebook等單一簽入工具，以無密碼登入任何網站。</p> <p>1Password <a href="https://blog.1password.com/sign-in-with-anything-browser-beta/" target="_blank">6月即以beta版推出「Sign-in with」</a>，讓使用者可以瀏覽器免密碼登入單一簽入（single sign-on，SSO）工具，包括Google、Facebook和Apple。本周1Password則是<a href="https://support.1password.com/sign-in-with-provider/#appendix-supported-sign-in-providers" target="_blank">公布這項工具的正式版</a>，支援的SSO工具供應商和網站包括Facebook、Google、蘋果、微軟，以及推特（Twitter）、GitHub、Okta等。</p> <p>SSO工具如「Sign in with Google」、「Sign in with Facebook」、「Sign with Microsoft」讓使用者不論瀏覽哪個網站或應用程式，可以直接以Google或Facebook帳密登入，只要網站或應用程式支援，已經省去用戶記憶和輸入不同組帳密的必要性。但1Password表示，這類SSO工具還是有點麻煩，因為過程還是有好幾步驟、得建新帳號、或是更新密碼，用戶還是可能忘記自己是用哪個SSO工具或帳號。</p> <p>有了1Password的瀏覽器外掛，就可解決上述問題。<a href="https://support.1password.com/getting-started-browser/" target="_blank">目前這項工具支援桌機版Chrome、Firefox、Edge或Brave</a>，能儲存新帳號登入資訊或更新現有資訊。Mac或iOS版Safari不支援這工具，但前述瀏覽器Mac或iOS版則沒問題。</p> <p class="rtecenter"><img alt="" src="https://i.1password.com/media/provider-login-sign-in.png" style="width: 300px;" /><img alt="" src="https://i.1password.com/media/provider-login-choose.png" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／1Password</span></span></p> <p>啟用後，儲存登入資訊的方法，是在支援的瀏覽器中開啟1Password，再連到網頁登入頁，選擇想使用的SSO供應商。接著，循著1Password提示儲存SSO供應商資訊，包括想儲存登入資訊的儲存庫（vault）、要新增或更新登入，以及要不要綁定特定SSO供應商（如Google）。新工具也支援使用一個以上的SSO供應商，例如以Google和Facebook登入Zoom。</p> <p>用戶之後可以在1Password.com網頁編輯SSO登入資訊，或是在瀏覽器1Password外掛「設定」下管理SSO登入憑證，像是Autofill。</p> </div></div></div>
2022/12/6 10:42作者林妍溱https://www.ithome.com.tw/news/154568
Google Chrome 108修補今年第9項零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html" target="_blank">Google上周釋出</a>Chrome 108桌機版最新更新，以修補Chrome今年第9個零時差漏洞。</p> <p>Google公告，Chrome for Mac、Linux版108.0.5359.94以及Chrome for Windows 108.0.5359.94/.95會在未來幾天到幾周內，透過穩定（Stable）通道釋出給用戶。而108.0.5359.94 for Windows及Mac版也會釋出到延伸穩定（Extended Stable）通道。</p> <p>最新版更新將用於修補CVE-2022-4262，後者是存在V8 JavaScript引擎的型態混淆（Type Confusion）漏洞，是由Google威脅分析小組研究員Clement Lecigne於11月29日通報。最新漏洞被列為高風險。</p> <p>值得注意的是，Google警告已經發現針對CVE-2022-4262的攻擊程式在網路散布。</p> <p>不過Google以等待大部份用戶更新為由，並未公布漏洞及攻擊細節。Google說若漏洞出現在第三方函式庫，Google也不會公布，以免其他使用該函式庫的專案未及修補而曝險。</p> <p>這是Chrome今年修補的第9個零時差漏洞。<a href="https://www.ithome.com.tw/news/154440" target="_blank">11月底Google才以Chrome 107更新</a>修補第8個零時差漏洞。第7個則出現在10月底。</p> </div></div></div>
2022/12/6 09:43作者林妍溱https://www.ithome.com.tw/news/154564
AWS更新Redshift簡化資料擷取並提升可靠性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對其雲端資料倉儲服務<a href="https://aws.amazon.com/tw/blogs/aws/new-for-amazon-redshift-simplify-data-ingestion-and-make-your-data-warehouse-more-secure-and-reliable/">Redshift進行一系列更新</a>，目標是要讓用戶能夠更簡單地擷取資料，並且在安全可靠的環境，快速分析資料。</p> <p>Redshift現在支援從S3自動複製資料，也就是說，Redshift能夠自動將進到S3儲存桶中的檔案載入到資料倉儲中，這包括CSV、JSON、Parquet和Avro格式，如此用戶便不需要手動，或是重複執行複製程式這些繁瑣的工作。另外，Redshift也開始支援串流擷取，可以從MSK和Kinesis服務，每秒擷取數百MB的資料。</p> <p>AWS關聯資料庫服務Aurora的零ETL功能也已經與Redshift整合，如此用戶便可以利用Redshift，以接近即時的速度，對儲存在Aurora MySQL資料庫的資料，進行分析和執行機器學習工作負載。AWS解釋了服務整合背後的機制，當交易資料寫入到Aurora後，資料便會在數秒鐘內複製到Redshift中。複製過程不需要用戶手動建構和維護複雜的資料工作管線，還可以選擇從多個Aurora資料庫，複製資料到同一個Redshift執行個體，以跨多個應用程式進行分析。</p> <p>Redshift執行個體現在能夠被部署於多個可用區域，以增加資料倉儲的可用性，並利用自動恢復將恢復時間降至數秒鐘，另外，Redshift提供動態資料遮罩功能，可以保護儲存在資料倉儲中的敏感資料，限制不同權限的用戶能夠查看到的資料。這使得管理者不需要創建多個資料副本，就能方便不同層級的用戶和群組，存取不同層級的資料。</p> <p>除此之外，Redshift現在也與Apache Spark整合，使得用戶更容易在Redshift和無伺服器Redshift服務上，建構和執行Spark應用程式。AWS Backup也新增了Redshift的支援，AWS Backup使用戶可以定義備份策略來管理應用程式的資料保護，而現在Redshift也受AWS Backup保護，讓用戶在資料服務獲得更一致的保護功能。</p> </div></div></div>
2022/12/5 23:40作者李建興https://www.ithome.com.tw/news/154559
深度學習函式庫PyTorch 2.0更新編譯器技術，大幅度提升模型運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PyTorch基金會預計在2023年3月，將正式推出<a href="https://pytorch.org/get-started/pytorch-2.0/">PyTorch 2.0</a>，現在釋出開發早期版本供開發者測試，這個新版本從根本改進PyTorch編譯器的運作方式，對Dynamic Shapes和分散式運算提供更高的效能和支援。</p> <p>PyTorch 2.0加入torch.compile功能，官方提到，這除了能將PyTorch的效能推向另一個新高度之外，也是將PyTorch中C++的部分移回Python的重要更新，而這也是這個版本被稱為PyTorch 2.0的原因。</p> <p>由於PyTorch 2.0完全向後相容，因此torch.compile定位是一個額外的可選功能，torch.compile底層是一系列新技術，包含了TorchDynamo、AOTAutograd、PrimTorch和TorchInductor。這幾個新功能都是由Python編寫，並支援Dynamic Shapes。Dynamic Shapes供用戶發送不同大小的張量，但是卻又不需要重新編譯。</p> <p>為了驗證這些技術，PyTorch使用來自各領域163個開源模型建構測試基準，包括圖像分類、物件偵測、圖像生成等任務，還有各種NLP任務，如語言建模、問答、序列分類、推薦系統和增強學習。這涵蓋HuggingFace Transformers的46個模型、TIMM的61個模型以及TorchBench的56個模型。</p> <p>開發團隊使用基準中的163個模型，測試torch.compile的加速與準確性，由於執行速度可能取決於資料類型，因此測量包括float32和自動混合精度（Automatic Mixed Precision，AMP），但有鑒於AMP更常被使用，因此計算方式以0.75*AMP+0.25*float32不平均加權來計算平均速度。</p> <p>在163個開源模型中，93％模型能夠在torch.compile運作，在Nvidia A100 GPU上平均訓練速度提高43％，在使用Float32精度下，執行速度提高21％，而使用AMP精度則加速51％。對TIMM模型整體加速38％，HuggingFace模型加速52％，而TorchBench則有76％的加速。</p> <p>torch.compile的預設後端TorchInductor，支援CPU和Nvidia Volta與Ampere GPU，目前還不支援其他GPU或是加速器，或是較舊的Nvidia GPU。torch.compile仍在開發早期階段，但用戶可以在Nightly版本先行試用。</p> </div></div></div>
2022/12/5 23:42作者李建興https://www.ithome.com.tw/news/154561
Deepmind新AI精通複雜度高過圍棋的西洋陸軍棋Stratego
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deepmind發表能夠精通西洋陸軍棋Stratego的人工智慧代理<a href="https://www.deepmind.com/blog/mastering-stratego-the-classic-game-of-imperfect-information">DeepNash</a>，Stratego是一款經典的棋盤遊戲，比象棋和圍棋更複雜，而且因為玩家無法看到對方的旗，因此具有不完全訊息，大幅增加人工智慧遊玩的難度，但DeepNash在線上Stratego平臺Gravon，與人類專家比賽排名進入前三名。</p> <p>研究人員提到，棋盤遊戲一直是衡量人工智慧進步的指標，因為可以在受控環境中，研究人類和機器的策略制定和執行。但是Stratego與象棋和圍棋不同，玩家無法直接觀察對手的棋子，因此複雜度極高，使得一般人工智慧難以超越業餘玩家的水準。</p> <p>過去應用在象棋和圍棋的遊戲樹搜尋技術，在Stratego已經不管用，Deepmind所開發的人工智慧DeepNash，則是使用結合博奕理論和無模型深度強化學習方法的新技術，來精通Stratego贏過人類專家。</p> <p>研究人員解釋，所謂的無模型，代表DeepNash不會試圖在遊戲過程明確地模擬對手的私密遊戲狀態，而且因為Stratego的遊戲樹太過複雜，DeepNash無法使用典型的蒙地卡羅樹搜尋法，因為該方法只適用於不太複雜的棋盤遊戲或是撲克牌遊戲。</p> <p>研究人員參考博弈論演算法，使用稱為R-NaD（Regularised Nash Dynamics）的方法，使DeepNash的學習行為朝向納許均衡（Nash Equilibrium）發展，這項策略使DeepNash擁有超高勝率，最差的勝率是50％。</p> <p>DeepNash與最先進的Stratego機器人比賽，DeepNash的勝率高達97％，而且經常處在100％勝率的狀態，而在Gravon遊戲平臺對抗頂尖玩家時，DeepNash勝率是84％，最後還進入排名前三。</p> <p>為了不被破解，DeepNash制定了一種不可預測的策略，這代表人工智慧會進行一系列初始部署，防止對手在遊玩的時候發現模式，另外，DeepNash也會仔細評估對手試圖隱藏的資訊，即便局面呈現劣勢，也能加以利用進階情報獲得勝利。Stratego是一個需要虛張聲勢的遊戲，DeepNash學會各種虛張聲勢的策略，甚至能夠運用小棋子引誘間諜進入伏擊位置，消滅關鍵的棋子。</p> </div></div></div>
2022/12/5 23:44作者李建興https://www.ithome.com.tw/news/154563
【資安日報】2022年12月5日，雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/technology/rackspace-ongoing-exchange-outage-caused-by-security-incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace代管的數千臺Exchange伺服器中斷運作，起因疑為重大漏洞ProxyNotShell</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shodan-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-info.jpg" style="width: 300px; float: right;" /></a>12月2日，雲端服務業者Rackspace傳出他們代管的Exchage伺服器環境出現問題，導致使用者在存取網頁郵件介面OWA、將郵件同步至收信軟體時會出現錯誤，或是一直要求使用者重新輸入密碼的現象。事隔1天，該公司證實是遭到網路攻擊，導致他們決定暫時切換代管的Exchange環境，並提供用戶臨時的Microsoft 365授權。</p> <p>而對於這起攻擊事件發生的原因，資安研究員Kevin Beaumont認為，很有可能是Rackspace所採用的Exchange系統較舊，存在重大漏洞ProxyNotShell而被盯上，駭客對其發動相關攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/samsung-lg-mediatek-certificates-compromised-to-sign-android-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三星、LG、聯發科供安卓設備使用的憑證遭惡意程式濫用</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，Google旗下的安卓資安研究團隊發現，有OEM廠商用於對ROM映像檔進行簽章的憑證遭到濫用，駭客將其用於簽署惡意軟體，使得這些惡意程式也能存取高權限使用者android.uid.system，進而存取安卓裝置的系統權限。</p> <p>該新聞網站依據研究人員公布的資料進行調查，三星、LG、聯發科、Revoview等廠商的憑證簽署被用於上述惡意軟體，但仍有部分簽章無法識別其署名者的身分。這些濫用合法簽章的惡意程式包含了竊密軟體、HiddenAd木馬程式，以及惡意程式下載工具等。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-335a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對勒索軟體Cuba攻擊發布警告</span></strong></a></h3> <p>美國聯邦調查局（FBI）與網路安全及基礎設施安全局（CISA）於12月1日聯手，針對勒索軟體Cuba的攻擊行動發布資安通告，表示該駭客組織已危害全球逾百個組織，並勒索1.45億美元，其中至少得手6千萬美元。</p> <p>FBI與CISA指出，駭客入侵的管道，很可能利用Windows通用記錄檔案系統（CLFS）漏洞CVE-2022-24521，以及Netlogon漏洞CVE-2020-1472，或是外洩的帳密、遠端桌面協定（RDP）、網釣攻擊等，一旦成功進入目標組織的內部網路環境，就透過惡意程式載入工具Hancitor散布勒索軟體。</p> <h3><a href="https://blog.confiant.com/cashrewindo-how-to-age-domains-for-an-investment-scam-like-fine-scotch-a48d22788c84"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織CashRewindo濫用註冊多年的網域名稱架設詐騙網站，規避資安防護系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Q_y8WpyqwA8rbNd3UCIEew.png" style="width: 300px; float: right;" /></a>資安業者Confiant揭露駭客組織CashRewindo的攻擊行動，這些駭客在惡意廣告注入JavaScript指令碼，將瀏覽網站的使用者導向釣魚網站，或是對其電腦部署惡意軟體，攻擊目標遍及歐洲、北美、南美、亞洲，以及非洲，且使用攻擊目標熟悉的語言來降低戒心。</p> <p>有別於許多網釣攻擊，此次駭客使用的網域名稱至少已註冊2年以上，研究人員發現的487個網域名稱裡，最早註冊的一批是在2008年申請，直到今年才拿出來使用，許多資安系統可能因為其沒有不良信譽，將其視為無害而放行。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.nozominetworks.com/blog/flaws-in-gx-works3-threaten-mitsubishi-electric-safety-plc-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">三菱電機PLC設備出現帳密保護不足的弱點</span></strong></a></h3> <p>資安業者Nozomi Networks揭露三菱電機可程式化邏輯控制器（PLC）的弱點CVE-2022-29831、CVE-2022-29832、CVE-2022-29833。這些弱點存在於其工作站電腦所使用的軟體GX Works3，此為Melsec iQ-R與iQ-F系列專用的控制系統。其中，CVE-2022-29831為寫死密碼弱點，CVE-2022-29832為透過明碼儲存記憶體的敏感資訊，CVE-2022-29833則為登入帳密的保護不足。</p> <p>研究人員表示，研究人員表示，攻擊者只要取得的GX Works3相關組態檔案，就有可能利用相關弱點，甚至串連上述3個弱點，進而取得指令（primitive），駭入該系統的安全CPU模組，擾亂工控環境的製造流程。美國網路安全暨基礎架構安全局（CISA）將這些弱點的CVSS風險層級列為9.1分，但目前沒有修補程式。</p> <h3><a href="https://blog.qualys.com/vulnerabilities-threat-research/2022/11/30/race-condition-in-snap-confines-must_mkdir_and_open_with_perms-cve-2022-3328"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux的Snapd競爭條件漏洞有可能與舊漏洞串連，讓攻擊者取得root權限</span></strong></a></h3> <p>資安業者Qualys揭露Linux高風險漏洞CVE-2022-3328，此漏洞存在於snap-confine模組，為Snap競爭條件（Race Condition）漏洞，一旦遭利用，有可能讓攻擊者得已提升本機權限，或執行任意程式碼。研究人員表示，攻擊者若是將其與另外兩個存在於Multipathd元件的身分驗證繞過漏洞「Leeloo Multipath」串連，就有可能取得目標主機的root權限。</p> <p>由於snap-confine是Ubuntu預設安裝的模組，所有採用該版本Linux作業系統的電腦都可能曝險，研究人員呼籲管理者應儘速安裝相關修補程式。</p> <h3><a href="https://www.rcesecurity.com/2022/11/from-zero-to-hero-part-1-bypassing-intel-dcms-authentication-cve-2022-33942/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel的資料中心管理主控臺存在身分驗證漏洞</span></strong></a></h3> <p>資安業者RCE Security揭露Intel資料中心管理主控臺（DCM）的漏洞CVE-2022-33942，CVSS風險層級為8.8分，一旦遭到利用，攻擊者可在沒有通過身分驗證的情況下，藉由欺騙Kerberos和LDAP的手法，繞過DCM的身分驗證流程而得到特殊權限。Intel獲報後發布DCM 5.0版予以修補，並破例頒發1萬美元給研究人員。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.semi.org/zh/products-services/semitwn-semiconductor-cybersecurity-service/assessment-fundamentum"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI半導體資安風險評級服務正式上線</span></strong></a></h3> <p>12月5日，SEMI國際半導體產業協會宣布提供資安風險評級服務SEMI Semiconductor Cyber Security Risk Rating Service，是SEMI Taiwan半導體資安委員會發布晶圓設備資安標準SEMI E187之後，與台積電等半導體產業夥伴聯手推動的服務，以零信任為最高資安防禦指導原則，目的是在提供客觀的驗證方法，確保企業邁向智慧製造時，能夠讓網路防衛能力達到適當安全水平。此項服務是SEMI參考台積電的經驗，引進第三方風險評分和風險態勢的服務，並提供補救指南和修補結果的快速驗證。</p> <h3><a href="https://security.googleblog.com/2022/12/memory-safe-languages-in-android-13.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為強化記憶體安全，Android 13有更多元件改用Rust開發</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-30 11_13_29_android-11-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-30%2011_13_29_android-11-13.png" style="width: 300px; float: right;" /></a>Google自Android 12開始支援Rust程式語言，並在其開源專案AOSP推動Rust的使用，如今該公司指出，Android 13約有21%為新增的程式碼是以Rust開發，包含Keystore2、UWB堆疊、DNS-over-HTTP3、Android虛擬化框架等元件，總共約有150萬行程式碼。執行上述開發策略之後，Android作業系統漏洞大幅減少，例如，2019年存在223個漏洞，到了2022年下降至85個。再者，由於Linux 6.1開始支援Rust，採用此核心為基礎的Android作業系統，也能從核心驅動程式導入記憶體安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2022/12/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為Chrome 108修補零時差漏洞</span></span></strong></a></p> <p><a href="https://scroll.in/latest/1038970/delhis-safdarjung-hospital-says-it-suffered-cyber-attack-in-november"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">印度再傳醫學中心遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/kmsdbot-part-two-crashing-a-botnet"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154510"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS推出可針對資安系統資料進行分析的資料湖服務</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154549"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Messages測試群組聊天全程加密功能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/154533"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">千億國防產值，CMMC規範成唯一入場券</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154541">【2022年12月2日】 Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154518">【2022年12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154493">【2022年11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</a></strong></strong></strong></p> </div></div></div>
2022/12/5 16:55作者周峻佑https://www.ithome.com.tw/news/154560
GitHub開源兩可變式字體Mona Sans、Hubot Sans
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub開源了自家設計的兩款字型，分別是<a href="https://github.blog/2022-12-02-introducing-mona-sans-and-hubot-sans/">Mona Sans以及Hubot Sans</a>，這兩款字型都是可變式字體，能靈活支援各式內容呈現，具有可變傾斜度、粗細和寬度，現在GitHub以開源字體授權（OFL）對外釋出。</p> <p>Mona Sans是GitHub主要的跨媒體字體，其設計靈感來自工業時代的怪奇風格，由GitHub和Degarism工作室合作設計，Mona Sans可變粗細和寬度，無論是在產品、網頁、印刷品都能保有良好的表現力，GitHub在主文、標題到引文等各種內容都會使用Mona Sans。GitHub提到，因為Mona Sans可以任意的彎曲和適應各種設計，在需要更具表現力的排版，也能保持字體品質。</p> <p>Hubot Sans則是Mona Sans的姐妹設計，但是帶有額外的機器人風格，加入更多幾何元素，營造出技術與獨樹一格感覺，適合用於標題和引用，是GitHub第二主要品牌字體，在ReadME專案和GitHub Universe網站都會看到Hubot Sans的使用。</p> <p>Mona Sans和Hubot Sans同時可用作靜態與動態字體，可變字體單一字體檔案打包了一組可變軸，用戶便可以精細的控制字體呈現，包括控制向量點使字體呈現特殊的外觀和呈現，同時也可以調整寬度，這賦予用戶可以將同一字體應用在各種內容和需求，而不需要針對各種新用例都載入和安裝新的字體檔案。</p> <p>Mona Sans和Hubot Sans都帶有三個可變軸，分別是可控制粗細的權重，以及調整壓縮和擴展的寬度，還有可控制傾斜的斜度，用戶自由組合這些控制軸，就能夠創造出數千種不同字型外觀和表現。</p> <p><img alt="" src="https://github.blog/wp-content/uploads/2022/11/202524269-8b5e97e6-a845-4962-bfdd-861101d249aa.gif" style="width: 360px;" /></p> <p>可變式字體減少了頁面顯示所需要的字體檔案，但官方還提供了兩個可以加速字體載入的建議，用戶可以進行預載入以及子集化字體來加快頁面呈現速度，並減少CLS（Cumulative Layout Shift）。子集化字體是在字體檔案中，刪除未在頁面和專案使用的字型，這將有助於加速網站載入，用戶可以使用glyphhanger等工具，分析內容找出最小的字型集。</p> <p>當用戶在使用自定義字體，且在第一頁渲染後才載入字體，則介面可能因為從後備字體（Fallback Font）切換至自定義字體的過程，產生不協調的載入體驗，GitHub建議用戶可以根據需求，創建具有大小調整、升冪和降冪覆寫的Mona Sans、Hubot Sans自定義後備字體，強化載入體驗。</p> </div></div></div>
2022/12/5 16:01作者李建興https://www.ithome.com.tw/news/154558
FCC批准SpaceX發射7,500顆第二代Starlink衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fcc.gov/document/fcc-partially-grants-spacex-gen2-broadband-satellite-application" target="_blank">美國聯邦通訊委員會（Federal Communications Commission，FCC）上周四（12/1）部分核准了</a>SpaceX所提出的第二代寬頻衛星申請，授權SpaceX可打造、部署與經營7,500顆第二代Starlink衛星。</p> <p>先前SpaceX所取得的通訊衛星服務授權包括4,425顆低軌（low-Earth orbit）衛星，以及7,518顆超低軌（very-low-Earth orbit）衛星，截至今年10月為止，SpaceX已發射超過3,500顆低軌衛星，但尚未發射超低軌衛星。</p> <p>SpaceX是在2020年5月提出第二代Starlink衛星星座的申請，該公司要求取得在328公里至614公里的高度範圍內打造、部署與經營29,988顆第二代Starlink衛星，而FCC上周則部份核准了該申請，允許Starlink在520公里、530公里及535公里的高度上，利用Ku與Ka頻段部署最多7,500顆衛星。</p> <p>此外，FCC延後審核SpaceX使用E頻段頻率與追蹤信標的請求，但授權SpaceX可於升軌期間執行發射及早期軌道階段的操作與測試，也能在將衛星移出軌道時進行測控（Tracking Telemetry and Command，TT&C）。</p> <p>FCC表示，此一決議將能讓SpaceX開始部署第二代的Starlink，可望替全美帶來新一代的衛星寬頻網路，支援那些過去缺乏地面寬頻網路的地區，也可推動全球衛星寬頻服務，協助縮小全球的數位落差。而限制衛星數量則可避免干擾，保護其它衛星業者或地面的電信營運商，同時也能維持太空環境的安全，推動競爭，並保留頻譜與軌道資源以供未來使用。</p> </div></div></div>
2022/12/5 13:29作者陳曉莉https://www.ithome.com.tw/news/154555
MedTech醫療科技雙周報第13期：華碩打造大腸息肉即時偵測AI，1秒辨識60幀、已取TFDA認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1116～1201)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">華碩 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大腸息肉 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>華碩打造大腸息肉即時偵測AI，1秒辨識60幀、已取TFDA認證</strong></span></p> <p>華碩在今年醫療展中展示一款大腸息肉即時偵測AI，能在醫師執行大腸鏡的當下，在螢幕畫面上框出病灶，如扁平腺瘤、無蒂鋸齒狀病變（SSL），模型分類表現AUC和特異性都達0.98、靈敏性達0.97，且上個月通過衛福部食藥署（TFDA）認證，已是智慧醫材產品。</p> <p>進一步來說，華碩在2年前，開始與臺灣幾家醫院以去識別化資料，來訓練大腸息肉偵測模型。該模型以熱門的開源物件偵測模型YOLO變形為基礎為基礎，並以標註的大腸鏡資料來訓練模型，可辨識常見的各類息肉。特別的是，他們結合自身硬體優勢，1秒可偵測60幀（Frame）影像（一般為1秒30幀），讓畫面顯示更順暢。華碩表示，接下來要除了在國內推廣這套產品，也瞄準海外市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E7%A2%A9%20-%20%E8%A4%87%E8%A3%BD.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國軍醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 胃癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高光譜儀 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國軍醫院開發早期胃癌即時偵測系統，搭配高光譜儀更準確</strong></span></p> <p>國軍醫院聯手中正大學，以高光譜儀和YOLO系列的開源模型，打造一套胃癌即時偵測系統，可在醫師操作胃鏡的當下，框出細微的早期胃癌病灶。進一步來說，當醫師操作胃鏡時，內視鏡影像會經由一臺如小盒子般的高光譜儀，將訊號於後端放大、擴增為窄頻，轉為頻譜資訊，再透過AI模型來辨識。</p> <p>這個辨識過程包括先將影像預處理、影像分割，以及特徵選取，再與資料庫資料匹配判讀，準確率為9成，目前已在國軍高雄總醫院內部試用，接下來將申請食藥署智慧醫材取證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E8%BB%8D.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急診 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 停留時間 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺大醫院展示急診輔助系統，可預測4大關鍵指標要解決急診壅塞 </strong></span></p> <p>臺大醫院在醫療科技展中展示急診臨床輔助決策系統，可預測患者停留時間、急診轉住院機率、急診部死亡風險，以及離開急診部後3天內又返診的機率，目的是要解決臺大醫院急診壅塞難題。</p> <p>進一步來說，醫院急診得時時確保病人處置順暢，要是無法消化，新進病人就會待在急診部外的流動病床上，無法即時受到照顧。但若未妥善處理就將病人安排出院，日後病人又會再至急診就醫。為解決問題，臺大醫院從4年前開始開發這套系統，要來預測急診幾個關鍵步驟的病人停留時間和死亡、返部的機率，來加速後續處置，如安排返家或住院治療。</p> <p>於是，團隊利用臺大醫院三院區自2013年至2017年的100多萬筆就診資料，來訓練模型。這些資料包含45個表單，涵蓋病人到部至離部的診斷、檢驗、處置與時序性生命徵象資料，團隊也建立急診私有雲來模擬病歷時序變化、訓練模型，完成後就導入至AI推理引擎，根據醫院HIS系統輸入的資料，來提供即時臨床指標預測。在系統使用上，系統每15分鐘會更新排程，醫師也可手動更新AI預測，系統也會在同個頁面提供相似病歷和相似的ICD-10疾病分類編碼，供醫師參考。目前，這套系統的準確率達96.7%、每位病人預測時間小於5秒，對臺大總院急診部100位病人量約4到6分鐘就能完成預測更新。該系統也在臺大醫院新竹和雲林分院試行，接下來要讓系統更穩定，要整合更多自動化功能，來加速急診流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E5%A4%A7(1).JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端查詢系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肝炎 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健保署揭露新版健保雲端查詢系統，提供更好UX還新添BC型肝炎專區</strong></span></p> <p>健保雲端系統是民眾就醫和醫療診斷治療的關鍵IT系統，健保署日前推出新版健保雲端系統2.0，不只提供更直覺的使用者介面和客製化、視覺化功能，比如將原本分散的7個雲端系統服務網站，統一納入單一入口網頁。另也新添患者資訊，如身分證字號、姓名和生日、性別，方便醫護人員確認。此外，健保署也提供疾管署預防接種連結，並新添搜尋功能和字體大小選擇，以及拖拉式功能，來讓使用者客製化自己的頁籤和欄位順序，來強化使用者體驗。</p> <p>新版系統還放寬了醫事人員登錄權限，提供第一線各職類醫事人員使用，如呼吸治療師、放射師、醫事檢驗師、助產師、護理師等。特別的是，這次雲端系統還整合國健署篩檢資料，新增B、C型肝炎專區，提供病人最近1次的B、C型肝炎用藥和檢驗檢查等紀錄，讓醫師及早發現、及早治療患者。</p> <p>健保署還預告，接下來要將雲端系統中的用藥和檢驗檢查資料，改為視覺化圖像，方便醫事人員掌握資訊外，也要結合虛擬健保卡、擴大納入特材紀錄及終生給付數量上限項目等資料。<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=2F19600AE5D1C528">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%95%AB%E9%9D%A2%E9%87%8D%E6%95%B4.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國泰醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ICD-10 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DRG</span></strong></span></p> <p><span style="font-size:22px;"><strong>國泰醫院打造ICD-10疾病編碼推薦，AUC達0.99擬在6科試行</strong></span></p> <p>國泰綜合醫院在今年度醫療科技展中，揭露一款ICD-10疾病分類碼推薦AI系統，以2015年至2018年的健保資料庫與國泰醫院內部資料訓練而成，能在醫師填寫出院病摘時，根據病人病歷資訊和DRG健保支付規範，從上萬個ICD-10編碼中推薦最合適的近10項疾病分類碼，供醫師選擇。目前，該系統的分類效能指標AUC高達0.99（最佳值為1.0），國泰醫院也已在6個科別試行，將視成效來擴大使用。</p> <p>進一步來說，該模型會根據病歷資料，如病歷（病人特徵、過去病史）和病程記錄（如用藥、手術資料、處置資訊和檢驗檢查等），以及DRG規範，來推薦最適合的ICD-10疾病編碼。在系統使用上，國泰醫院資訊部將模型內嵌至醫療資訊系統（HIS）中，讓醫師在同一個頁面、不必切換系統，就能點擊查看推薦編碼和DRG計算值。若合理，就能點選帶入出院病摘。但醫師要是有疑慮，也可查看自動生成的報告，該報告會解釋AI推薦的編碼，是根據哪些病歷資料產出。若醫師認為推薦編碼都不符合事實，也可回報系統、給出原因，後續再以這些回饋資料重新訓練模型。<a href="https://www.ithome.com.tw/news/154537">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E9%86%AB%E9%99%A2%E5%8E%9F%E5%9B%A0%E8%A7%A3%E9%87%8B.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MONAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺北榮總 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推出醫療AI新工具，也大秀在臺醫療AI成果</strong></span></p> <p>Nvidia日前於北美放射線大會RSNA之際，推出新AI工具MONAI Deploy，來加速醫療影像AI應用的打包和測試，縮短AI落地時間。2019年，Nvidia開源醫療AI框架MONAI，可用來訓練、開發和部署醫療影像AI，而這次，他們新添MONAI Deploy，已有不少公雲業者支援，如Amazon HealthLake Imgaing服務、Google雲的醫療影像套件、微軟Azure的Nuance Precision Imaging Network，以及甲骨文Cloud Infrastructure。</p> <p>另一方面，隨著臺灣醫療科技展的展開，Nvidia也盤點在臺醫療AI亮點應用，包括臺北榮總導入嵌入式AI系統Jetson、打造即時洗腎心衰預測AI，直接在洗腎機旁就能即時運算，不需昂貴的GPU伺服器。此外，北榮也採用醫療AI專用平臺Nvidia Clara平臺來進行基因體研究和藥物開發。</p> <p>而花蓮慈濟醫院也利用Nvidia DGX A100超級電腦、NGC雲端加速平臺和Clara平臺，來開發乳房攝影輔助AI系統，可加速分析乳攝車影像拍攝和資料初步分析，揪出病灶加速判讀。另一方面，國衛院也採用Nvidia產品，包括最新一代AI超級電腦和AI模型分析運算應用程式，要來打造全臺首座醫藥衛生專用超級電腦，加速生醫和醫藥開發，成立AI生醫資訊創新研究暨應用服務中心。<a href="https://blogs.nvidia.com/blog/2022/11/28/monai-deploy-framework-medical-imaging-ai-apps/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 林口長庚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音客服 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SST</span></strong></span></p> <p><span style="font-size: 22px;"><strong>長庚醫院啟用AI智能客服，與民眾對話協助查詢門診、預約掛號、住院等資訊</strong></span></p> <p>長庚醫院與長庚醫科共同開發AI智能客服，結合辨識技術，以擬人化對答方式，協助民眾文字或電話語音掛號、查詢門診，甚至主動傳送簡訊或撥電話給等待住院或預約手術的病人，確認報到及術前回覆事項。</p> <p>這項智能客服歷時約2年時間開發，系統落地長庚醫院、以保護民眾個資。民眾可透過長庚醫院官網、App，或撥打單一市話專線，在AI文字客服或語音客服的協助下，查詢或預約門診掛號、病床，以及衛教諮詢。該院稱透過AI文字、語音客服，民眾將需求「說出來」，平均可節省50%時間。</p> <p>在技術方面，當民眾撥電話給智能客服，先經由語音AI，利用STT技術辨識、校正，將語音轉為文字，再送到文字AI，通過AI大腦，通過NLU自然語言理解，辨別民眾的需求為FAQ問答，或是其他的需求意圖，再回傳文字回覆，經由語音AI的TTS將文字轉為語音，由AI客服以口說方式回覆民眾。目前長庚AI客服，語音以國語為主，未來將新添臺語、客語。<a href="https://www.ithome.com.tw/news/154482">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 達擎 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動方艙 </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準偏鄉離島醫療需求，達擎秀組裝式遠距診療艙</strong></span></p> <p>面板大廠友達旗下子公司達擎搶攻醫療市場，推出不少醫療影像優化產品，如今年下半年上市的遠距診療艙，就像一個小型行動方艙，可搭建在偏鄉、離島等醫療資源較稀缺之處，供在地民眾使用、進行遠距視訊問診。</p> <p>該遠距診療艙基本配備有生理量測儀器和具視訊問診功能的醫務電腦，達擎商業開發副理鄧偉民表示，當民眾量測生理數值後，可藉雲端上傳至遠端支援醫院，供專科醫師參考。這臺醫務電腦還支援雙系統，也內建幾款醫務人員常用的工具，以及線上簽核和觸控書寫功能。除了基本配備，該艙也可視使用者需求新添模組，如遠距醫療常見的五官鏡設備或超音波儀器，至於相關數據是否會與醫院HIS介接，則視醫療機構需求而定。看診時，該艙也可遙控設定讓艙門霧面化，來保護隱私，而艙面外側搭載數位看板，有別於傳統看板需插入USB才能播放內容，該看板可聯網操作，可作為衛教和看診預約用途。</p> <p>其他與醫療相關應用，還有3D術前規畫顯示系統，搭配動眼追蹤鏡頭，來根據使用者視角即時調整器官角度、進行手術規畫，另一個則是牙科比色解決方案，透過雲端AI模型來還原牙齒影像色彩，讓牙技師在製作假牙時，更精準拿捏加壓顏色，不必來回與牙醫診所確認。該方案已有臺灣牙e通採用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%94%E6%93%8E.JPG" /></p> <p>攝影 / 王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 中國附醫院前心肌梗塞救護AI落地，至今已有400人次使用</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/5 13:32作者王若樸https://www.ithome.com.tw/news/154556
FBI與CISA發布Cuba勒索軟體警報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-335a" target="_blank">美國聯邦調查局（FBI）與網路安全及基礎設施安全局（CISA）上周針對勒索軟體Cuba發布安全警報</a>，指出迄今Cuba勒索軟體駭客已危害全球超過100個組織，向它們勒索逾1.45億美元，且實際收到了超過6,000萬美元的贖金，公布了Cuba勒索軟體的最新攻擊戰術流程（TTP）。</p> <p>Cuba是個以C++撰寫的Windows惡意程式，<a href="https://www.ithome.com.tw/news/148214" target="_blank">去年就曾被FBI點名</a>，當時駭客利用Microsoft Exchange的安全漏洞，大舉進攻重大基礎設施，有49個組織受害，勒索金額超過7,400萬美元，而今受害組織則擴大到超過100個，勒索金額亦呈倍數。</p> <p>Cuba勒索軟體用來進入組織的手法包括利用商業軟體的已知漏洞、網釣攻擊、外洩憑證，或者是合法的遠端桌面協定（RDP）工具，成功入侵組織後即開始藉由加載器Hancitor來散布Cuba。</p> <p>遭到Cuba利用的安全漏洞包括涉及Windows通用紀錄檔系統（Common Log File System，CLFS）驅動程式的<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-24521" target="_blank">CVE-2022-24521</a>，以及微軟在2020年執行多階段修補的Windows Netlogon漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-1472" target="_blank">CVE-2020-1472</a>。此外，駭客於組織內進行橫向移動時，也會利用各種工具來躲避偵測，包括終止安全產品。</p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-24521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-CUBA%20RANSOMWARE-CVE-2022-24521.png" style="width: 554px;" /></a></p> <p><a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-1472" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-CUBA%20RANSOMWARE-CVE-2020-1472.png" style="width: 418px;" /></a></p> <p>雖然名為Cuba，但它其實與古巴沒有關係，而是與RomCom RAT及Industrial Spy勒索軟體有關，資安社群發現Cuba駭客會使用客製化的RomCom作為命令暨控制工具，有時也會部署Industrial Spy而非Cuba，而且原本Cuba駭客都在自家網站銷售所盜來的資料，但今年5月開始透過Industrial Spy的線上市集出售資料。</p> <p>FBI與CISA公布了Cuba勒索軟體截至今年8月的最新入侵指標（Indicators of Compromise，IOC）供外界參考。</p> </div></div></div>
2022/12/5 13:33作者陳曉莉https://www.ithome.com.tw/news/154557
【資安週報】2022年11月28日到12月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞利用的攻擊新趨勢中，微軟9月修補一項存在於Windows網際網路金鑰交換機制的漏洞，有資安業者發現已有攻擊行動；Redis伺服器在2月修補的一項重大漏洞，如今正遭惡意軟體Redigo鎖定。</p> <p>在漏洞揭露方面，有兩項研究受關注，首先是針對UEFI韌體使用的OpenSSL加密程式庫元件而來的調查，結果Dell、HP、聯想電腦中被發現仍採老舊OpenSSL版本；還有多款汽車品牌採用的Sirius XM衛星廣播服務，被研究人員發現存在一個身分認證漏洞，使得這些汽車將可被遠端控制。關於本週出現的修補漏洞消息，我們看到宏碁將修補一項可竄改NVRAM記憶體參數、停用Secure Boot的UEFI漏洞，以及Java框架Quarkus修補一項RCE漏洞等。</p> <p>在國際威脅態勢方面，一些新的發現值得關注，例如，有網路犯罪者兜售存在漏洞的Fortinet VPN設備的網路位址清單，有資安業者揭露Docker Hub上被上傳25萬多個暗藏惡意程式的Linux映像檔；以及商業間諜軟體活動如今更為擴散的態勢，本週被公開的是西班牙業者Variston IT的攻擊框架細節。此外，這段期間適逢世界盃足球賽，已出現假借賽事名義的網路攻擊頻傳狀況，另外也有攻擊者利用抖音的特效濾鏡影片，藉此散布竊密程式WASP的攻擊行動的狀況。</p> <p>國際上資安事件消息也不少，包括密碼管理解決方案供應商LastPass有再次遇駭的消息，WhatsApp傳出近5億筆用戶資料被兜售，遭遇勒索軟體攻擊相關的消息本周亦有不少。</p> <p>在國內，本週國內有兩家上市公司發布資安事件重大訊息，雄獅旅遊、麗臺科技均說明遭網路攻擊，分別提醒消費者注意詐騙，以及說明是遭遇勒索軟體攻擊。此外，投資詐騙簡訊橫行，近日刑事局逮捕一嫌犯，並指出該集團在10個月內發送達6700萬封詐騙簡訊，不法獲利高達1億元。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154451"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】Windows網際網路金鑰交換機制漏洞被用於攻擊、Docker Hub存在逾1,600個易受攻擊的映像檔</span></strong></a></h3> <p>存在於多個版本Windows系統的網際網路金鑰交換機制（IKE）重大漏洞CVE-2022-34721，微軟雖然在9月公告修補，但近期有研究人員發現，駭客將其用於攻擊行動，鎖定約1千臺電腦下手。</p> <p>為了加速應用程式的開發與部署，容器成為當代IT顯學，很多人都會到提供眾多Docker映像檔的Docker Hub來下載，然而，這當中也蘊藏不小的危機！根據資安業者的調查，當中上架的映像檔，有多達1,600個易受攻擊的映像檔，其中最普遍的是遭人埋入挖礦軟體，寫死帳密的情況也相當值得留意。</p> <p>Chrome瀏覽器107更新版發布，當中修補零時差漏洞CVE-2022-4135。新加坡電腦緊急應變中心（SingCERT）指出，其他採用相同排版引擎的瀏覽器也可能存在相同風險。</p> <h3><a href="https://www.ithome.com.tw/news/154485"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】Dell、HP、聯想設備韌體使用老舊版本的OpenSSL、推特網站漏洞恐有更多資料外流</span></strong></a></h3> <p>電腦UEFI韌體出現漏洞的情況相當值得留意，其中，有研究人員發現Dell、HP、聯想等多家廠牌使用的韌體裡，竟使用了大量舊版OpenSSL加密程式庫，其中最舊的是2009年推出的程式庫元件。研究人員指出，這樣的問題牽涉到採用第三方元件的軟體供應鏈生態，而難以修復。</p> <p>推特今年7月傳出540萬用戶資料流入駭客論壇的事故，原因是駭客利用該社群網站的漏洞發動攻擊得逞；但資安新聞網站Bleeping Computer指出，該漏洞造成資料外洩的情況遠比當時公布的嚴重許多，根據研究人員的最新發現，有人因此竊得約1,700萬筆資料。</p> <h3><a href="https://www.ithome.com.tw/news/154493"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月30日】駭客透過抖音短片散布竊密程式WASP、未修補已知漏洞的Fortinet資安設備網址清單遭到兜售</span></strong></a></h3> <p>鎖定開發人員並濫用NPM、PyPI套件庫散布惡意軟體的攻擊行動，之前傳出不少事故，但最近研究人員發現極為不同的新手法──駭客透過抖音短片來做為誘餌，並表示他們擁有解除濾鏡效果的工具，一旦觀眾依照指示下載，駭客將從PyPI套件庫取得竊密軟體，並於受害電腦部署。</p> <p>今年10月Fortinet修補的身分驗證繞過漏洞CVE-2022-40684，也出現有人將尚未修補的系統名單進行彙整，並在網路犯罪圈進行兜售的情況！而駭客收集該廠牌有漏洞設備的網址供他人進一步運用的情況，已非首例，<a href="https://www.ithome.com.tw/news/141261">2020年就有人收集近5萬筆Fortinet SSL VPN的IP位址求售</a>。</p> <p>世界盃足球賽相關的網路攻擊行動也相當值得留意，<a href="https://www.ithome.com.tw/news/154378#fifa2022">我們先前報導過針對球迷與球隊的網釣攻擊</a>，但最近有研究人員發現，駭客不止發動釣魚郵件攻擊，還推出假的球場通行證與加密貨幣，並向主辦國卡達的企業發動DDoS攻擊。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154518"><strong><span style="color: rgb(0, 0, 0);">【12月1日】駭客組織Lilac Wolverine發動大規模禮物卡攻擊、中國駭客利用USB裝置攻擊菲律賓組織</span></strong></a></strong></p> <p>有商業郵件詐騙（BEC）的駭客組織攻擊目標轉移到個人！奈及利亞駭客組織Lilac Wolverine挾持使用者在AOL、雅虎的電子郵件信箱，然後對通訊錄裡的聯絡人發動相關攻擊，要求收信人協助購買禮物卡行騙。這類攻擊往往採取動之以情的攻勢，例如表示自己因COVID-19居隔而無法處理相關事務，使得受害者降低戒心而協助購買禮物卡點數上當。</p> <p>利用USB裝置的攻擊行動再度出現，而值得相關機構提高警覺。中國駭客UNC4191鎖定菲律賓組織發動攻擊，研究人員表示，雖然他們也有看到針對美國、東南亞其他國家的攻擊行動，但最終目標都是位於菲律賓的電腦。</p> <p>台達電、Festo、Codesys近日修補了旗下的工控裝置漏洞，這些漏洞有些能被用於命令注入攻擊，有的能繞過身分驗證，管理者應儘速修補。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154541"><strong><span style="color: rgb(0, 0, 0);">【12月2日】Redis伺服器漏洞遭到惡意軟體Redigo鎖定、刑事局破獲投資詐騙簡訊嫌犯</span></strong></a></strong></strong></p> <p>在專門針對Redis伺服器的攻擊行動裡，駭客看準管理者可能不會盡快安裝漏洞修補程式的情況，而利用2月揭露的重大漏洞CVE-2022-0543來入侵這類系統。但駭客的目的為何？研究人員猜測應該是將其用於挖礦或發動DDoS攻擊。</p> <p>我國簡訊詐騙攻擊頻傳，但攻擊者竟為了增加成功行騙的機率，竟透過人工智慧語音誘使民眾上當。內政部刑事警察局近日破獲投資簡訊的詐騙攻擊，駭客就先針對目標撥打電話，然後透過AI分析後再決定是否向其發送簡訊。</p> <p>提供廣播服務的業者也可能成為駭客入侵汽車的管道！有研究人員發現超過十個廠牌的車輛可被以相同手法遠端存取，經調查後是廣播服務業者的系統存在漏洞所致。</p> </div></div></div>
2022/12/5 11:24作者羅正漢https://www.ithome.com.tw/news/154551
開源軟體代管網站Fosshost即將關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國知名開源軟體免費代管平臺<a href="https://fosshost.org/" target="_blank">Fosshost近日宣布即將關閉</a>，表示目前已無法保證服務的上線狀態，且應該很快就會下線，強烈建議所有用戶儘快備份資料並遷移至他處。</p> <p>Fosshost是Thomas Markey於2020年創立的雲端代管平臺，它是個非營利組織，免費提供代管服務予自由及開源軟體（Free and Open Source Software，FOSS）社群，符合資格的專案只要通過審查，即可存取虛擬私有伺服器與相關服務。它代管了許多知名的開源專案，包括GNOME、Debian與Xfce等，估計代管超過200個開源專案。</p> <p>根據Fosshost首頁的聲明，目前該平臺已超出志工的控制，因而處在一個無法保證伺服器可持續運作的狀態。</p> <p>一名自稱為Fosshost志工的使用者<a href="https://news.ycombinator.com/item?id=33848529#33849026" target="_blank">透過Hacker News回應了此一消息</a>，指出既是創辦人又是執行長的Markey這半年以來幾乎失聯，而只有Markey才能動用用來支付伺服器費用的銀行資金。這名志工還說，在去年許多員工因為管理問題相繼離職之後，便開始出現這樣的情況，看似Markey已不想應付任何有關Fosshost的問題。</p> <p>而目前Fosshost首頁上的聲明似乎也是由志工所張貼，表示自Fosshost開始出現失敗跡象之後，前任志工與其它關心自由軟體的人便著手打造替代方案，以替原本仰賴Fosshost的專案建立新家，其中之一即是Radix專案。</p> <p class="rtecenter"><a href="https://radixproject.org/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-The%20Radix%20Project.png" style="width: 450px;" /></a></p> <p><a href="https://fosshost.org/radix.html" target="_blank">Radix是由Fosshost之前的架構開發者Nate Sales所創立</a>，亦將免費提供代管服務予開源專案，避免相關專案因缺乏資源而被放棄。</p> </div></div></div>
2022/12/5 12:08作者陳曉莉https://www.ithome.com.tw/news/154554