iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

剖析區塊鏈應用亂象
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1216-jia_mi_huo_bi_de_zhen_xiang_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為區塊鏈具有確保交易紀錄無法竄改的特性，因此許多人想到把它拿來做各種應用，例如：電子商務、學歷證明、病歷分享、民意調查、能源交易、生產履歷、供應鏈物流、專利著作權等。實際上，目前大部分的應用都是「為區塊鏈而區塊鏈」，而且許多企業使用區塊鏈的方法其實是沒有意義的，例如：使用「私有鏈」或「假聯盟鏈」卻宣稱「無法竄改」，結果只是成為唬外行人的把戲而已。簡單的說，目前的情況就是用區塊鏈可以做，不用也可以做，而且大部分不用還做得更好。用區塊鏈解決了某些問題，但是又製造了某些問題，那為什麼要用區塊鏈？</p> <p>凡此種種，使得區塊鏈變成內行人唬外行人的噱頭，變成一種行銷手法。新創公司不用區塊鏈就不夠「新創」，傳統企業不用區塊鏈就沒有「創新」，這些都是對區塊鏈的誤解所造成的。因為「科技創新」是一個很好的行銷話題，這和技術完全無關。你不覺得當某某公司說要用區塊鏈來做○○○應用，聽起來就很威嗎？因為大家不知道什麼是區塊鏈，而人們對自己不知道的東西都有敬畏之心，這有利於新產品的行銷推廣，也是目前區塊鏈最重要的用途之一。</p> <p>當然，許多生意模式的成功，其實一開始就是靠「唬」出來的。意思是，雖然我用新技術唬大家，但是因為大家不了解，誤以為用這個新技術很酷，就紛紛使用，最後因為大家都使用，就成功了！這件事情是有可能發生的，因此目前許多企業使用區塊鏈的方法雖然沒有意義，還是有可能會成功，至於這麼用區塊鏈到底對不對，早就不重要了！</p> <p>從商業的角度，「唬外行人做行銷」也是一種很重要的功能，但是要記得：當我們唬別人的時候，必須很清楚知道自己是在唬人，如果唬到連自己都被唬住，那就貽笑大方了！</p> <p>區塊鏈熱潮讓我想起20年前的「奈米科技」，全球瘋狂舉辦各種研討會、高峰會，世界各國都投入大量資源研究奈米科技。可能有人還記得，當時有廠商開發出號稱噴在室內可以消毒殺菌的「奈米光觸媒」，還宣稱總統府率先使用，因此稱為「總統級奈米光觸媒」。所謂的奈米光觸媒，其實是二氧化鈦的奈米粒子，尺寸必須小於100奈米，必須是銳鈦礦相（某一種原子排列方式），而且必須用足夠強度的紫外光照射數小時才有效果。但是室內沒有紫外光，用在室內根本無效，問題是廠商哪管這些？大家到底懂不懂不重要，先把客戶「唬」進來再說，顯然是拿「奈米科技」當噱頭，唬外行人做行銷而已！</p> <p><span style="font-size:28px;"><strong>區塊鏈真正的功能到底在哪裡？</strong></span></p> <p>前面談到區塊鏈80%的應用是「唬外行人做行銷」，從商業的角度，「唬外行人做行銷」也是一種很重要的功能。那麼，除了用專有名詞唬外行人，區塊鏈還有沒有實際的功能呢？</p> <p>我們用近年來政府全力推動的「金融函證區塊鏈」來說明，會計事務所每年都要對企業查帳，以前會計事務所、受查企業、金控銀行必須用紙本公文往返溝通，由會計事務所發函受查企業同意查帳，再發函金控銀行收集帳務資訊，才能讓銀行把企業帳目交給會計事務所查核。這裡有帳目造假的可能，而且紙本公文往返也浪費許多時間。但是只要所有會計事務所與銀行加入「金融函證區塊鏈」，銀行將所有資料直接上傳區塊鏈，會計事務所直接到區塊鏈下載資料，就可以完成查核工作，不但使用方便，而且因為區塊鏈去中心化、不可竄改、可以信任，因此這樣的運作模式更好，你覺得對嗎？</p> <p>如果我們把「金融函證區塊鏈」換成一台「金管會伺服器」，不是全部都做到了嗎？是因為我們懷疑銀行會上傳假資料到金管會伺服器嗎？如果是這樣，那用區塊鏈也防不了呀！還是我們懷疑金管會可能竄改伺服器的資料？</p> <p>金融函證之所以必須使用區塊鏈來做才能成功，不是因為技術，而是因為商業模式。這裡我們用一個比較俏皮的比喻來說明，雖然不完全正確，但是容易理解：金管會是老大，問題是，要架一台伺服器管理全臺灣所有企業的審計相關資料，是個龐大的工程，必須組建一個工程團隊來維持營運，而金管會主要的職責是監督管理，不是金融營運，所以「老大不想當老大」，理所當然。</p> <p>那麼老二架一台伺服器總可以了吧！金融函證區塊鏈目前是由財金資訊公司建置，請財金資訊公司架一台伺服器，為什麼也不行呢？理論上當然可以，但是因為「大家都想當老大」，為什麼財金資訊公司架一台伺服器，會計事務所和金控銀行就要買單？因此只有使用「金融函證區塊鏈」，才能把大家都拉進來玩這一局。每家公司都可以是一個節點，大家地位平等做生意，又可以用「金融創新」作為口號來行銷，不是更容易讓人買單？</p> <p>所以區塊鏈20%的應用是讓大家「地位平等做生意」，當「老大不想當老大、大家都想當老大」，那就區塊鏈吧！撇開複雜的技術不談，這是目前區塊鏈最大的意義。我們再把這個模式套到醫療病歷、農產履歷、學歷證明，就會發現全部都是相同的理由，因為老大健保局、農委會、教育部不想當老大，所以就讓民間公司來做，問題是這些民間公司都太小，如何說服醫院、農會、學校這些大傢伙一起加入呢？那就「區塊鏈」吧！</p> <p>事實上，並不是所有的老大都不想當老大，別忘了農委會也有一個「產銷履歷」，把資料儲存在一台電腦裡（中心化），事實上做得很好，那為什麼還需要私人企業建置農產履歷區塊鏈？因為私人企業如果用一台電腦建立農產履歷，誰會用呢？只有使用「農產履歷區塊鏈」，才能把農產品的上游供應商、中游製造商、下游經銷商都拉進來玩這一局，每家公司都可以是一個節點，大家地位平等做生意，而且「科技創新」是一個很好的行銷話題，這樣才能說服眾人，不是嗎？</p> <p>使用區塊鏈除了能讓大家地位平等做生意，有些人認為把資料去中心化，分散儲存在幾千台、幾百台、幾十台電腦（節點），會有許多好處，例如：怪客攻擊一台電腦也沒用，或是其中一台電腦故障了也沒關係，因為還有其他許多電腦保存正確的資料，因此使用區塊鏈能夠確保資訊安全。這樣的說法都似是而非。</p> <p>把資料分散儲存，確實可能有這些好處，但是目前的資料中心原本就是用分散的方法在備份資料，並不需要什麼區塊鏈。而且把資料集中保管，可以建立嚴密的防火牆來阻擋怪客，但是當我們把資料去中心化，分散儲存在幾千台電腦，因為成本考量，很難針對幾千台電腦建立嚴密的防火牆，這可能反而讓怪客有可乘之機。此外，因為區塊鏈大部分有使用許多演算法來運算，這會限制資料庫的使用條件。這些都是代價，當我們這麼做時，要先問問自己「為什麼」？因此我才說，用區塊鏈解決了某些問題，但是又製造了某些問題。</p> <p>以金融函證區塊鏈為例，大型企業在各家銀行的帳目資料不算小，因此不可能全部上傳區塊鏈，事實上也沒必要。可能的做法是，將帳目資料經由雜湊演算法運算出來的「雜湊值（Hash）」上傳區塊鏈（去中心化），這是函證最重要的功能，當然也可以上傳一台伺服器（中心化）來做，用與不用，不是技術問題，而是商業模式。只是要記得，企業財報造假，一般都是企業提供假資料，而不是竄改已經寫入的資料，而驗證資料真假這件事，區塊鏈幫不上忙。<strong><span style="color:#696969;">（本文摘錄整理自《加密貨幣的真相》第五章，先覺出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E7%9A%84%E7%9C%9F%E7%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%88%E8%A6%BA%E5%87%BA%E7%89%88.png" style="width: 500px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">加密貨幣的真相：揭穿區塊鏈無本金融的國王新衣</span></strong></p> <p><strong>曲建仲（曲博）／著</strong></p> <p><strong>先覺出版</strong></p> <p><strong>定價：410元</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E7%9A%84%E7%9C%9F%E7%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9B%B2%E5%8D%9A%E7%A7%91%E6%8A%80%E6%95%99%E5%AE%A4.png" style="width: 130px;" /></p> <p><strong>曲建仲（曲博）</strong></p> <p><strong>臺灣大學電機工程學系博士，曲博科技教室YouTube頻道、知識力專家社群創辦人。</strong></p> <p><strong>現任政治大學科技管理與智慧財產研究所、輔仁大學科技管理研究所、東吳大學企業管理研究所兼任助理教授，曾榮獲中華民國九十六年度優秀青年工程師獎章，並獲總統召見訓勉。曾擔任美商德州儀器公司市場行銷與資深應用工程師，獲頒最佳新人獎與技術傑出獎。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源_曲博科技教室</span></span></p> <p> </p> </div></div></div>
2022/12/16 12:56未署名https://www.ithome.com.tw/article/154756
雲端下水道工程改造中
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要了解一座城市的先進程度，要從看不見的地方著手。下水道正是城市發展背後的隱形關鍵基礎設施。</p> <p>下水道普及率越高，不只反映出一個城市的衛生越好，可以容納越多生活人口，甚至更能抗災，不怕颱風暴雨，就算局部地區淹水，也能快速排解，下水道工程正是城市治水的關鍵。</p> <p>下水道的科技應用，更影響了城市發展的型態，工業都市需要工業廢水處理廠，下水道管線中的光纖則讓都市更數位化。</p> <p>雲端世界也有下水道！若以一棟棟大樓來比喻各種雲端應用或雲端服務，雲端世界就像是蓋滿了各類用途大樓的超大型城市，而雲端服務、雲端應用、資料儲存處之間的資料網絡，就像是雲端世界的下水道。</p> <p>一座小城市要發展成大都會，不只是興建更多大樓就好，看不見的基礎設施也要跟著升級。若要從大都會，再更進一步變成世界級都市，不只要引進打造摩天大樓的新世代建築技術，更得重新改造看不見的地面下基礎設施，發展更系統性和現代化的下水道網絡和各類汙水處理系統，才能支撐起更高、更先進的摩天大樓。</p> <p>這幾年，數位轉型帶動了IT現代化技術的進化，雲原生技術成為主流，這就像是打造摩天大樓的新世代技術，企業比過去更容易打造出服務千萬人，甚至上億人的全球性服務架構，但和發展世界級都市一樣，不只大樓建築技術要提升，城市下水道網絡也得全面翻新才行。</p> <p>這正是為何，在雲原生技術成為主流之後，今年兩大雲端巨頭，Google和AWS，先後不約而同都聚焦資料產品線的改造，而且都是聚焦雲端資料倉儲和雲端大數據分析領域，這正是雲端下水道工程的新世代技術。</p> <p>Google Cloud執行長Thomas Kurian在今年Next大會揭露了Open Data Cloud新戰略，宣稱要做到「可以聚集和分析來自所有來源，所有儲存格式，所有雲端供應商的所有資料，來提供各種形式的存取。」核心產品是BigQuery，從過去十年的結構化分析平臺，從今年開始轉為通吃結構和非結構的通用型分析平臺，更打通了與雲端儲存服務、串流大數據Spark、各類商用資料庫，甚至直通到AI應用開發流程，都能以BigQuery為資料集散地來流通。</p> <p>而剛結束的re:Invent大會，AWS執行長Adam Selipsky也提出了一個新的企業數據產品戰略，他的願景是，「面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種資料類型，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。」</p> <p>AWS的策略是盡量將各種分析服務Serverless（無伺服器）化，AWS除了原本能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight之外，去年宣布AWS資料倉儲服務Redshift支援無伺服器服務，今年陸續將大數據處理平臺EMR、即時分析工具MSK也提供無伺服器服務。</p> <p>到了年底今年年會中，更推出了搜尋和分析引擎服務OpenSearch的無伺服器服務預覽版。Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供Serverless。」</p> <p>Serverless可比喻成AWS的下水道技術，因為要將各式雲端服務轉換成無伺服器服務模式的背後，其實就已經串起了這項服務的各種資料連結，才能將一項服務無伺服器化。</p> <p>AWS雲端下水道系統的終點是Redshift，這裡正是AWS企業數據產品戰略的核心。Redshift今年不只強化zero-ETL技術，無縫打通數據雲端服務Aurora到Redshift的資料通路，更內建了串流大數據分析平臺Spark的連接器，不需再使用第三方整合工具，可以快速將資料從Redshift拋轉到Spark。</p> <p>一座城市，有了更好的下水道系統，就能具備更好的治水能力，不怕颱風暴雨而淹水，才能讓都市容納更多人口和更多元化的發展。雲端巨頭們正在改造雲端世界的下水道工程，勢必帶來更大規模、更多新型態雲端應用出現的可能。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%80%89%E5%84%B2">資料倉儲</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E6%95%B8%E6%93%9A%E5%88%86%E6%9E%90">大數據分析</a></div></div></div>
2022/12/16 13:17作者王宏仁https://www.ithome.com.tw/voice/154746
Google Workspace拿下5萬美國海軍用戶授權訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/building-bridges-and-ships-google-public-sector-helps-us-navy-better-collaborate" target="_blank">Google政府業務部門本周宣布</a>為美國海軍5萬用戶提供Workspace、Google Voice、Google Meet作為協同及語音通訊工具。</p> <p>Google工具將提供給美國海軍海洋體系司令部（Naval Sea Systems Command）下、位於日本佐世保港及橫須賀港基地的海軍船艦維修設施及日本區域維護中心（Ship Repair Facility and Japan Regional Maintenance Center，SRF-JRMC）。SRF-JRMC角色是為美國海軍近100艘船艦提供日常維修及重大修復，當地約有5萬名美國海軍。</p> <p>這些工具將解決SRF-JRMC兩項問題，一是SRF-JRMC的海軍與美國其他同僚的加密通話，二是和日本維修基地3,000多名日籍約聘員工溝通。透過部署Google Workspace，美國海軍將可使用Google Voice的VoIP通訊功能在基地或家中，與位於本地的同僚或其他單位進行溝通軍事事宜。另外，基地人員也試用Google Meet的英日翻譯字幕功能，可在與日籍員工視訊會議時協助溝通。</p> <p>Workspace也可用於員工視訊面試，藉由提供特定國家專屬的撥入號碼，可為美國海軍省下每月數千美元的費用。SRF-JRMC海軍並利用Google Workspace其他雲端工具，如Google Drive、Google Docs簡化日籍維修員工招聘</p> <p>此外，在疫情期間，美國海軍也利用原名Google Data Studio的Looker Studio製作COVID-19疫情儀表板，。這項工具可自定義報告，自動化更新當地就醫人數、蒐集疫情資訊及防疫指引等資料。Google說利用這項工具，SRF-JRMC當地IT部門2小時就完成儀表板製作。</p> <p>這是Google Cloud最新的美國政府訂單。<a href="https://www.ithome.com.tw/news/153676" target="_blank">Google 10月簽下美國陸軍（US Army）</a>，將為25萬用戶提供雲端生產力應用Workspace。</p> </div></div></div>
2022/12/16 12:33作者林妍溱https://www.ithome.com.tw/news/154755
Windows Server更新引發Hyper-V VM啟動，以及App以ODBC連線SQL Server失敗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二釋出的Windows Server更新引發在Hyper-V啟動虛擬機器（virtual machine，VM），以及App以ODBC連線存取SQL Server時出現錯誤訊息的情形，微軟正在製作修補程式解決。</p> <p>微軟在本周的Patch Tuesday中釋出Windows Server 2022服務堆疊更新（servicing stack update，SSU）20348.1300版。這主要屬於功能品質更新。<a href="https://support.microsoft.com/en-us/topic/december-13-2022-kb5021249-os-build-20348-1366-d5fe7608-bc9d-4055-a88c-fb2fd3d5fd45" target="_blank">根據微軟說明</a>，在SDN配置的System Center VMM（SCVMM）管理的Hyper-V主機上安裝這版更新時，用戶可能在將網路卡（NIC，或Network Adapter）加入到VM網路，或是網路卡連到VM網路的新VM時會接到錯誤訊息。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/topic/december-13-2022-kb5021249-os-build-20348-1366-d5fe7608-bc9d-4055-a88c-fb2fd3d5fd45" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-KB5021249.png" style="width: 600px;" /></a></p> <p>微軟說，Windows Server 2019、Server 2022及AzStack HCI受到影響。不過也只有在安裝後才加入網路卡的VM才有問題，現有已經加入網路卡的VM安裝本更新時則沒有這情形。</p> <p>本更新引發另一問題是，安裝更新後，App經由ODBC SQL Server Driver （sqlsrv32.dll）使用ODBC連線存取資料庫時會無法連線，且用戶會收到App或SQL Server的錯誤訊息。若無法判斷是App或SQL Server受影響，微軟建議在提示視窗下輸入指令：tasklist /m sqlsrv32.dll。如果顯示有任務，則表示是App受影響。</p> <p>對這兩個問題，微軟都表示正在製作修補程式，將在完成後，另行於之後的更新中釋出。</p> <p>對於Hyper-V的問題，在有修補程式之前，萬一企業大量主機出現錯誤訊息，微軟也提供指令，以暫時緩解大量部署VM的環境問題。管理員可在SCVMM管理的Hyper-V主機上開啟系統PowerShell視窗，輸入以下指令：</p> <pre> $lang = （Get-WinSystemLocale）.Name C:\Windows\system32\wbem\mofcomp.exe C:\Windows\system32\wbem\ $lang \VfpExt.mfl C:\Windows\system32\wbem\mofcomp.exe C:\Windows\system32\wbem\VfpExt.mof</pre> </div></div></div>
2022/12/16 11:24作者林妍溱https://www.ithome.com.tw/news/154752
Meta、微軟、AWS等合組Overture Maps基金會，共推電子地圖互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-overture-maps-foundation-to-build-interoperable-open-map-data" target="_blank">微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom四家業者昨（15）日宣布</a>合組Overture Maps基金會，推動電子地圖資料的共享、互通與再利用，提升地圖服務的豐富性及正確性。外界相信這也是共同對抗Google之舉。</p> <p>Overture基金會的宗旨是建立簡單好用、可互通的開放地圖資料集，允許各會員廠商貢獻各自的資源和資料以打造這個地圖資料集，確保資料完整、正確及能隨時更新。這些地圖資料可在開放資料授權下開放成員使用及延伸，以便在這基礎上打造各自的服務。</p> <p>Overture Maps基金會是由這4家地圖服務業者所創，不過將代管於Linux基金會。除了AWS、Meta、微軟和TomTom，Overture Maps基金會也開放其他廠商加入，貢獻更多資料和訊號，協助改善地圖。</p> <p>Linux基金會指出，今日電子地圖的開發商面臨許多挑戰。從多個不同資料源蒐集和組織高品質、完整的新資料相當困難，成本也高。不同資料集經常以各自語彙和格式參照同一組資料，彼此難以合併，這使得地圖資訊容易出現訛誤和不一致。此外這些開放地圖資料也欠缺結構化，而難以在上面開發商業化服務和產品。</p> <p>Overtures Maps基金會會員貢獻的資料將能解決上述問題，並補強現有開放地理空間資料。Overture Maps專案計畫整合成員以電腦視覺和AI/ML技術建立的新地圖，以及現有公開地圖資料集，像是OpenStreetMaps和各市政府規劃局的資料，打造即時性的地圖記錄。其次，Overture將打造一個全面實體參照系統，將不同資料集的實體連結到同一個真實世界的實體，以簡化互通，這讓開放地圖資料將可支援實體參照系統，允許整併其他資料集，以開發更豐富的地圖應用。</p> <p>此外Overture將提供資料檢核的流程，以偵測地圖資料的錯誤、紊亂、缺失，確保資料可用於營運系統。最後，Overture將定義一組結構化的共同資料綱要（data schema），以提高地圖資料的易用性。</p> <p>Overture Maps基金會陣容明顯少了Google和蘋果，<a href="https://techcrunch.com/2022/12/15/meta-microsoft-aws-and-tomtom-launch-the-overture-maps-foundation-to-develop-interoperable-open-map-data/" target="_blank">媒體因此猜測</a>集結目的是為了對抗Android及iOS平臺上各據一方的地圖巨人。</p> <p><a href="https://www.ithome.com.tw/news/82408" target="_blank">微軟的地圖資產來自2013年以72億美元買下Nokia的HERE</a>，<a href="https://www.ithome.com.tw/news/141714" target="_blank">Amazon在2020年公布地圖和定位服務Amazon Location</a>。TomTom則是在美國禁止Google技術出口中國後，<a href="https://www.ithome.com.tw/news/135465" target="_blank">於2020年取代Google Maps獲得華為裝置採用</a>。</p> </div></div></div>
2022/12/16 11:35作者林妍溱https://www.ithome.com.tw/news/154753
微軟明文禁止用戶以該公司服務挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/licensing/terms/product/ForOnlineServices/MCA" target="_blank">微軟近日更新其線上服務（Online Services）的通用授權條款（Universal License Terms）</a>，並在「可接受使用政策」（Acceptable Use Policy）中，明文禁止用戶在未取得微軟的書面同意前，就利用任何線上服務來挖礦，且新條款已在今年的12月1日生效。</p> <p><a href="https://www.theregister.com/2022/12/15/microsoft_online_services_cryptomining_ban/" target="_blank">微軟向《The Register》解釋</a>，這是因為開挖加密貨幣可能會讓微軟的線上服務受損或中斷，且這類用戶經常與網路詐欺及濫用攻擊有關，像是未經授權存取客戶資源等，此一措施是為了保護客戶並降低微軟雲端服務受損的風險。</p> <p>該規定於12月1日生效，<a href="https://www.microsoftpartnercommunity.com/t5/Azure-Solution-Area/Important-actions-partners-need-to-take-to-secure-the-partner/td-p/82850" target="_blank">適用於於所有新的授權</a>，既有授權也必須在更新時遵守新的「可接受使用政策」，然而，微軟建議不論訂閱期限為何的所有用戶，要利用微軟服務來挖礦之前，最好都先取得微軟的書面同意。</p> </div></div></div>
2022/12/16 11:50作者陳曉莉https://www.ithome.com.tw/news/154754
Google正式推出相容於PostgreSQL的AlloyDB資料庫服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對高可擴展企業資料庫工作負載需求，在2022年5月發布了<a href="https://cloud.google.com/blog/products/databases/announcing-the-general-availability-of-alloydb-for-postgresql">AlloyDB</a>預覽版，這是一個全託管且完全相容於PostgreSQL的資料庫服務，而現在這項服務正式上線，用戶已經可以將其用於開發正式產品。</p> <p>AlloyDB的特色在於兼具PostgreSQL相容性，以及雲端可擴展性，對於將資料儲存在舊有資料庫系統，但是又想要在不更改應用程式的情況下，擴展現有PostgreSQL資料庫的企業，提供了額外的選擇。AlloyDB具備Google雲端基礎設施，橫向擴展運算和儲存、整合分析，並且支援AI/ML的功能，使得企業能夠使用相容於PostgreSQL的資料庫，但是擁有更高的效能、可用性和可擴展性。</p> <p>根據Google的測試，與標準PostgreSQL相比，AlloyDB處理交易工作負載速度達4倍，分析查詢的速度是PostgreSQL的100倍，而與AWSPostgreSQL相容的同類資料庫服務快達2倍。</p> <p>無視資料庫大小和負載，AlloyDB可在60秒內完成自動檢測，從大多數資料庫故障中恢復，並提供可用性SLA達99.99%。另外，AlloyDB的自動系統，提供包括自動儲存配置、自適應自動清理等管理功能，可減輕資料庫管理員的工作負擔。</p> <p>AlloyDB正式版較預覽版擁有包括由客戶管理加密金鑰（CMEK）和VPC服務控制等企業級功能，並且添加跨地區複製功能。同時，Google還增加AlloyDB的機器類型，提供2 vCPU/16 GB記憶體執行個體，並且支援pgRouting、PLV8和amcheck等PostgreSQL擴充套件支援。</p> </div></div></div>
2022/12/16 09:19作者李建興https://www.ithome.com.tw/news/154744
開源臭蟲追蹤系統Bugzilla專案重啟更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已經沈寂一段時間的開源臭蟲追蹤系統<a href="https://www.bugzilla.org/blog/2022/12/13/upcoming-releases-and-more-fun-stuff/">Bugzilla</a>專案，專案負責人Dave Miller經過3年多，重新更新專案官網部落格寫道「驚訝嗎？Bugzilla還沒有死透 :-)」</p> <p>Dave Miller試圖讓Bugzilla再次轉動起來，他解釋，過去Bugzilla專案的運作方式，是由使用Bugzilla的企業，贊助其員工小時，來協助維護Bugzilla上游專案開發，但是因為在過去幾年間這些公司營運衰退，使得Bugzilla維護者不是被解僱就是調職，大多數的貢獻者都沒有留下來，因此Bugzilla的專案便停頓了。</p> <p>而Dave Miller自己也一直沒有辦法完全投入在Bugzilla專案經營中，在過去10年，他兩度嘗試要將Bugzilla專案的控制權移交給其他人，但是這些人都在移交之前找到了工作，他表示，要尋找可信任，能夠接手專案的人不容易，如果沒有足夠多活躍的開發人員，就很難找到合適的人。</p> <p>由於Dave Miller開始了一項新的顧問事業，因此能夠再次花時間在Bugzilla專案上，他提到，過去6個月研究Bugzilla的次數，可能比過去6年的總和還要多。Dave Miller已經更新了一些Bugzilla專案的基礎設施，除了修復主網站的錯誤之外，也將測試套件移到GitHub Actions，使其在提交後自動運作，並且更新了IRC機器人和其郵件解析程式碼，以處理新版本的Bugzilla。另外，他也設置了一個安全的私密Git儲存庫，來暫存並且進行測試Bugzilla。</p> <p>最快Bugzilla將會在12月底發布新的分支版本，Dave Miller提到，這項更新也可能延至1月中旬，因為現在Bugzilla存在安全漏洞，為避免漏洞遭到惡意攻擊者濫用，他無法向核心開發團隊以外的人揭露相關訊息以尋求協助。</p> <p>Dave Miller正規畫Bugzilla的多分支版本，下一個主要版本將會是5.2，他在文章中徵求可以立即加入貢獻的開發人員，進行安裝說明文件等編寫工作，同時因為有許多美國政府機構像是NASA等，正在內部使用Bugzilla，但新的美國政府專案必須遵守《電訊法》第 508 節中新的可存取性規範，因此急需進行升級，Dave Miller的目標是至少要讓新版本Bugzilla能夠遵守規範。</p> <p>除了專案的發展規畫，Dave Miller也尋求企業贊助開發時間，希望有使用Bugzilla企業，能夠再次贊助負責維護Bugzilla人員的工作時數，來幫助上游Bugzilla開發。</p> </div></div></div>
2022/12/16 09:21作者李建興https://www.ithome.com.tw/news/154745
Meta發布可同時從影像、聲音和文字學習的AI模型Data2vec 2.0，訓練更快更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在早前發布了Data2vec模型，這是同時以同一方式學習三種不同模式，分別為語音、影像和文字的高效能自我監督演算法，而Meta現在釋出<a href="https://ai.facebook.com/blog/ai-self-supervised-learning-data2vec/">Data2vec 2.0</a>，這個新的演算法更快更有效率，速度達當前熱門電腦視覺自我監督演算法的16倍。</p> <p>官方提到，近期人工智慧技術的突破，都是採取自我監督式學習，但是當前演算法有幾個明顯的限制，包括通常只能用於單一模式，像是圖像或文字，並且需要大量的運算能力。這顯然與人類的學習方式不同，人類的學習效率更高，並且習慣從不同類型的資訊中學習，而不僅仰賴文字、語音或其他單獨的學習機制。</p> <p>Data2vec演算法便是Meta在這方面的突破，使得文字理解等技術更容易應用在圖像分割或是語音翻譯等應用，而Data2vec 2.0新演算則是朝這個目標更進一步，效率大幅提升，在能夠以16倍的速度，達成與現有熱門電腦視覺自我監督演算法相同準確度。</p> <p>研究人員解釋，自我監督學習的想法，是讓電腦藉由簡單地觀察世界，來學習圖像、語音和文字結構，而這產生了諸如語音模型Wav2vec 2.0、電腦視覺模型MAE，以及用於自然語言處理模型BERT，但是這些系統對於運算的要求很高，訓練大型模型需要龐大的GPU運算資源。</p> <p>Data2vec 2.0與Data2vec演算法類似，針對資料的脈絡化（Contextualized）表示進行預測，而非只是圖像的畫素、文字段落或是語音的單音。研究人員提到，這和大多數的演算法不同，這代表演算法將整個訓練範例納入考量，像是考量整個出現Bank這個單詞的句子，就更容易了解其正確含義，由於脈絡化目標帶來更豐富的學習任務，因此Data2vec 2.0也就比其他演算法學習的更快。</p> <p>研究人員使用基準測試Data2vec 2.0，測試其在電腦視覺、語音和文字任務的表現，了解新的演算法與其他模型的差異。研究人員以ImageNet-1K圖像分類基準評估Data2vec 2.0，發現準確度可媲美MAE，但是速度要快16倍，給Data2vec 2.0更多時間也就能達到更高的準確度，但是仍然比MAE快得多。</p> <p>語音方面則是使用LibriSpeech語音辨識基準進行測試，Data2vec 2.0執行速度是Wav2vec 2.0的11倍以上，達類似準確度。自然語言處理任務則使用GLUE基準測試，其以RoBERTa一半的時間，獲得相同的準確度。</p> </div></div></div>
2022/12/16 09:14作者李建興https://www.ithome.com.tw/news/154742
Waymo模擬測試自駕車事故反應，防碰撞能力比人類更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了驗證自駕車的安全性，Waymo設計了一套碰撞避免測試（Collision Avoidance Testing，CAT），來評估Waymo自駕車在突發狀況反應與減輕碰撞的能力，而<a href="https://blog.waymo.com/2022/12/waymos-collision-avoidance-testing.html">測試結果顯示</a>，Waymo的碰撞避免能力優於NIEON。</p> <p>NIEON是一個人類駕駛員的參照模型，設定上是一個細心、不會分心也不會疲勞的人類駕駛員，Waymo提到，因為人類司機時不時就會將視線從道路移開，因此NIEON模型其實代表了超越人類的效能水準，對Waymo自駕車提供比較的高基準。</p> <p>由於司機在路上通常會遭遇突發狀況，不得不緊急煞車或是轉彎，以避免與其他用路人發生碰撞，像是闖紅燈或是突然變換車道的汽車等。而全自動系統需要在無人駕駛情況下，處理整個駕駛任務，因此自動駕駛的測試，要比輔助駕駛系統更加深入完整。</p> <p>Waymo設計情境，結合虛擬、試車場和真實世界的駕駛測試，藉由使用所有駕駛資料、警察事故資料庫和行車記錄器中的撞車事故等碰撞資料，還有包括地理區域、駕駛條件和道路類型等營運資料，設計出測試場景。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiloNh_iPC9dOPaXNe1mWtX3yrt11SqMck9RJhNXJ-L1ky4KKKz3UwkT3XyOIowlD7-8FqSVQolTI9MdQVtv4dIPCVx4FtWTUtNnWw7XpP_MNEqtU4uzFMRwGx5jkuqGmh1elLLWlEfKwMarlWP3LK-tHANjBqOcO5SBcs4TL_kEKTMTe5PAMUeglwY/s16000/CAT.gif" style="width: 580px; height: 326px;" /></p> <p>Waymo從2016年以來，在場景資料庫儲存了數百萬英里的路駕資料，以及數千起真實世界的人類碰撞事故，足以涵蓋所有種類的危險情況。Waymo提到，無論開車地點為何，常見的事故類型都很相似，他們的資料庫可以作為任何城市的基準。</p> <p>研究人員以數種方法創建情境，像是在封閉的測試道路上設計情境，透過紀錄發生的經過，以便在模擬中重現，而且也能夠修改場景中參與者的位置和速度，調整出更需要緊急迴避，以避免碰撞的場景，同樣地，在道路測試中發現的任何危險情況，都可以利用相同的過程進行模擬。</p> <p>透過模擬，Waymo可以在數小時內，評估自動駕駛最新版本在數千種場景的反應，而不需要歷經數月甚至是數年的測試。而測試結果發現，Waymo自動駕駛在可能造成嚴重傷害的情況，比NIEON反應更好，Waymo自動駕駛更能夠避免車禍以及受傷風險。</p> </div></div></div>
2022/12/16 09:17作者李建興https://www.ithome.com.tw/news/154743
YouTube Web 3負責人：Web 3的創作者經濟將更加強調粉絲在社群中角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube Web 3團隊負責人Josh Principe在近日臺北一場講座中指出現今社群媒體的一個困境。「現在平臺的粉絲分類法只有付費與否兩種，這跟實際社群中的角色認同落差太大，難以凝聚社群。」他認為，這個困境，也許可以靠Web 3應用來解決。</p> <p>Josh Principe曾任Google次世代作業系統Fuchsia OS的高階產品設計師及環境運算（Ambient Computing）產品的首席設計師。後來，他加入影音社群平臺YouTube，帶領團隊為YouTube設計Web 3相關的社群功能UX。</p> <p>Principe說，創作者經濟當道，社群媒體平臺有必要增加社群經營的方法。他提出的方向是，強調粉絲在社群中角色，甚至是成就，並將這些特質轉化為可以橫跨各種平臺的非同質化代幣（NFT）。</p> <p>其實，現在已經有許多媒體發現，強調個人及個人身分認同，對促進社群交流相當有幫助。他舉例，音樂串流軟體的個人年度回顧、社群媒體的好友限定發文、網路論壇的特殊獎章等做法，背後都有這個概念。</p> <p>不過，Principe認為還能再進一步。他說，這些個人興趣、身分認同、社群角色等資訊，不應該被綁定在個別平臺上，而是能以個別使用者為中心，攜帶到不同社群媒體平臺，來延續使用者身分認同及表達身分認同的方法。</p> <p>舉例來說，一個YouTube創作者可以發給初始粉絲專屬代幣，這些代幣可以同時展示在YouTube留言、Twitter留言、Reddit留言及Instagram留言欄中。隨著使用者持有更多來自不同平臺、不同創作者、不同社群角色種類的代幣，形成獨一無二的代幣組合，他們就能展示自己在網路世界中獨一無二的社群身分認同。Principe說，當使用者感到自己身分成為一種被認可的特殊地位或成就，就會在社群中更加活躍。</p> <p><strong>Web 3應用要廣泛被使用者接受，平臺方溝通策略要調整</strong></p> <p>儘管理想很美好，不過Principe坦言，距離一般Web 2公司大規模採用Web 3應用的時代還沒到來。箇中原因，不外乎是普遍網路使用者對於Web 3技術不熟悉，以及各種金融詐騙傳聞帶來的疑慮。要讓大眾接受Web 3應用，Principe認為，首先溝通策略要調整。這也是Web 3開發社群逐漸開始重視的觀念。</p> <p>「使用者在意的不是科技本身，是應用帶來的價值。」他表示，在用語、UI/UX及價值溝通上，平臺都能使用更易懂的表達方法。例如與其叫NFT，可以改叫頭像、收藏品、會員會籍、成就等，使用介面上也不該是連結錢包或轉移到錢包或鏈上，而是單純的獲得、移動。當使用者感受到這些科技的應用價值，也就自然而然接受Web 3應用了。</p> <p>他並指出，Web 3常常跟去中心化這個概念掛勾，不過，採用Web 3應用並不代表Web 2公司需要在營運策略上大幅去中心化，而是在既有營運框架下，尋找更多以社群及社群中個人為本的經營方式。</p> </div></div></div>
2022/12/15 17:17作者郭又華https://www.ithome.com.tw/news/154741
Google在臺公開零信任實踐原則，強調以身分取代網路作為存取控制的安全邊界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全防護策略朝向零信任發展已成各界共識，原先是由國際科技大廠推動，如今多國政府亦紛紛投入支援。而早在2014年就提出實踐方法的Google，在長期推動之下，他們的零信任轉型工程也不斷進化，從公司內部的實踐，走向解決方案的推出，最近兩年以來，他們在Google Cloud部落格發表多篇文章倡導，甚至以漫畫形式來解說，持續推廣零信任。今年Google Cloud台灣技術副總經理林書平在一場合作夥伴的研討會特別以此為題，除了解釋零信任的重要性，也說明了他們的安全模型與實踐。</p> <h3><strong>聚焦用戶與服務身分的信任</strong></h3> <p>林書平強調，過去傳統作法上，是以防火牆進行單一存取控制，認為外網危險、內網安全，因此，對應用程式並無實施存取控制。而現在推動的零信任，以Google Cloud而言，是以身分作為存取控制的邊界，而非以網路作為邊界。</p> <p>在Google零信任安全模型中，是從身分角度來看信任，共分成五大要素，包含了使用者的身分、裝置的身分，機器的身分、服務的身分，以及程式碼的身分。這也顯現出兩大構面，前兩者是對「使用者」的信任，後三者是對「服務」的信任。</p> <p>而在上述身分面向的拆解之下，結合身分識別與存取管理機制（IAM），機器識別、Binary授權，以及資料保護，要達到的效果就是，讓正確的身分可以存取由正確程式碼授權的正確機器，並在正確時間與情境下，存取到正確的資料。</p> <p>在Google的零信任設計與實踐上，秉持了三大安全原則，分別是：不分內外網強制實施存取政策，強化帳戶安全並實施裝置政策，以及傳輸加密並強制實施權限檢查。</p> <h3><strong>運用縱深防禦概念提升零信任成效</strong></h3> <p>特別的是，林書平還提及 Google Cloud對於零信任，也設計了縱深防禦。過往所談的縱深防禦戰略，是基於網路防護一層層把關，但他們在此運用的縱深防禦戰略，則是從身分到資料存取，以此為出發。</p> <p>根據林書平的說明，他們的零信任縱深防禦機制，有5大關鍵要素。首先，是帳戶同步與SSO，第二，強制實施多因子認證，第三，存取控制（這部分包含了權限、裝置、網路與時間），第四，資料安全（加密、DLP），最後，是威脅防護（防止病毒與釣魚連結）。而這些環節，也都能夠對應到美國NIST所定義的零信任架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NIST%20NCCoE%20ZTA.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）Google零信任實踐在臺首度公開ss.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Google%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E8%B8%90%E5%9C%A8%E8%87%BA%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8Bss.jpg" style="width: 600px;" /></a></p> <p><strong>例如，帳戶同步與SSO對應的部分，是ZTA架構中的主體（Subject）；強制實施多因子認證，對應到政策決策點（PDP）；存取控制，是對應到PDP，以及PDP所需的決策資訊點（PIP）；資料安全，對應PIP的資料安全；威脅防護對應PIP的安全分析。</strong></p> <p>此外，Google對於服務端也有一套零信任安全原則，他指出，這部分是基於6項安全原則來進行開發與優化，包括：保護邊緣網路，服務之間沒有固有的信任，可信任機制執行已知來源的程式碼，簡單、自動與標準化的變更發布，採通用安全政策的執行機制（如確保資料存取經過授權），以及每個工作負載之間的隔離。</p> <p>而在第三方程式碼的安全與信任問題層面，林書平亦提及Google Cloud安全軟體供應鏈架構。</p> <p>基本上，軟體供應鏈安全也是Google近年來最致力推動的一項，當中亦顯現出對於底層程式碼的信任，以及需要如何去確保各環節的安全，而他也藉由一張圖表，說明Google Cloud安全軟體供應鏈架構，當中包含了Google今年5月提出的使用信任的安全套件（Assured Open Source），後續階段還有像是原始碼、開源套件安全掃描與簽章，Binary驗證是否為受信任軟體，確保符合安全政策，以及確保執行環境符合安全政策等，目的就是希望建立安全開發、安全部署，以及安全執行環境，並建立自動化流程，盡可能在開發初期發現弱點盡快修補。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Google零信任實踐在臺首度公開B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E8%B8%90%E5%9C%A8%E8%87%BA%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8BB.jpg" style="width: 600px;" /></a></p> <p><strong>Google近年積極致力於安全軟體供應鏈的強化，在這次演說中，Google Cloud台灣技術副總經理林書平也特別談到Google在安全軟體供應鏈上的多項行動。</strong></p> </div></div></div>
2022/12/15 16:52作者羅正漢https://www.ithome.com.tw/news/154735
AI趨勢周報第203期：跨雲跑ML太燒錢？加州大學開源雲端資源優化工具幫省錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1209～1215)</span></p> <p>最近見到許多生成式AI應用，如ChatGPT、抖音母公司打造的文字轉影片AI：MagicVideo、Amazon開發的床邊故事生成功能Create with Alexa，甚至，Salesforce也開發一款AI摘要工具，可總結Slack重要訊息給使用者。除了這些創造性應用，最近也有不少新工具，如加州大學柏克萊分校的團隊，開發一款雲端資源調度工具，可幫使用者找出最省錢的雲端資源組合，並自動派送工作。此外，最新版DirectML PyTorch則開始支援熱門Transformer模型，微軟更新Azure語音功能，使用者可客製SST模型改善準確度。在應用方面，德意志銀行宣布要聯手Nvidia，來打造更符合監管的金融AI服務。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeviantArt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DreamUp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文生圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>跨雲跑ML太燒錢？加州大學開源雲端資源優化框架SkyPilot幫省錢</strong></span></p> <p>對大企業和小公司來說，用雲端資源來執行機器學習（ML）應用，都會遇到成本控管問題。加州大學伯克萊分校專攻即時邊緣運算的實驗室團隊RISELab就瞄準這個痛點，開發且開源一款框架<a href="https://github.com/skypilot-org/skypilot">SkyPilot</a>，可用來管理跨雲廠商的ML工作負載，用單一使用者介面就能處理資料、安排工作，降低使用者支出。</p> <p>進一步來說，SkyPilot演算法會根據運算工作需求，如CPU、GPU或TPU等用量，來找出最划算的雲端廠商、可用區域和範圍，接著自動安排執行該工作。目前，已有10幾家企業採用SkyPilot，有些用於GPU/TPU上訓練大型模型（得到3倍成本降低）、分散式超參數微調，也有使用者用數百個CPU實例來批次處理生醫運算，減少了6.5倍的開銷。此外，團隊也與Google合作，只要是申請到Google研究雲TRC計畫的使用者，就能立即使用SkyPilot。</p> <p>目前，SkyPilot可用於3大公雲，包括AWS、GCP和微軟Azure，並提供命令列介面（CLI）和Python API。開發團隊表示，接下來將擴大框架，來支援更多雲端廠商。<a href="https://medium.com/@zongheng_yang/skypilot-ml-and-data-science-on-any-cloud-with-massive-cost-savings-244189cc7c0f">（詳全文）</a></p> <p><img alt="" src="https://miro.medium.com/max/1100/1*f1_m-emfmYYwkp2p6HOVkQ.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>吳恩達：ChatGPT類生成式AI能秀出不確定性警語會更好</strong></span></p> <p>OpenAI最近發布的大型生成式語言模型ChatGPT引起各界關注，能產出更連貫、更多細節和更有個性的文章，不只上知天文、下知地理，還能寫出故事、笑話、散文、詩歌、撩人臺詞和程式碼，發布短短幾天就吸引百萬名使用者註冊使用。ChatGPT的訓練方式與OpenAI年初打造的InstructGPT一樣，透過人工微調GPT-3，來避免產出有害內容。為此，他們還以監督式學習和強化學習來改善ChatGPT，特別是強化學習，是以人工排序的潛在回覆為標準，讓模型學習產出如人工排序般的文字段落，並給予獎勵。</p> <p>吳恩達指出，ChatGPT雖能產出比GPT-3更優秀的回覆，也會針對一些問題給出「無法回答」的回覆，但就如其他大型語言模型一樣，ChatGPT也會產出信心十足但錯得離譜的回答。他認為，這類系統應該要呈現不同程度的信心，才不會誤導使用者或大眾。比如，Meta先前開發的檢索模型Atlas和DeepMind打造的RETRO模型，能鎖定可靠來源，將這些來源的文章合成為一個答案，並根據這些來源，改變回答的風格，彰顯一定程度的可靠性。吳恩達表示，如果能讓生成式算法，在不確定生成的答案是否正確時表達懷疑，就能大大降低產生假資訊的風險。<a href="https://www.deeplearning.ai/the-batch/issue-174/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Slack </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Salesforce開發AI摘要工具，可總結Slack重要訊息</strong></span></p> <p>Slack是企業常用的溝通工具，但1天下來，使用者可能累積了來自各頻道、DM直接對話框和回覆區的訊息，為幫助使用者快速掌握資訊，CRM龍頭廠商Salesforce打造一款AI摘要工具（AI Summarist），可以摘要Slack訊息，來讓使用者迅速查看。</p> <p>具體來說，使用者可利用AI摘要工具，來對日常工作不太重要的頻道或對話摘要，也能根據需求來決定摘要頻率和時間。AI摘要工具會根據頻道內的其他使用者反應和回覆，來決定摘要哪些訊息，也能根據使用者要求，從各種訊息中，挑出重要人物的訊息摘要。Salseforce強調，系統並不會儲存原始對話Log和摘要工具產出的文字，只會儲存使用者行為的詮釋資料（Metadata），使用者也能對AI摘要工具產出的摘要給建議。<a href="https://blog.salesforceairesearch.com/ai-summarist-slack-productivity/">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/lX8b-On6yelI7NZuuAwrT_g8U75yvNOYt9JOIUC7gSRzPFB-HYQkkQVzmOXST2-1Yt_W96vzjEG1siKhh0MMtbsjrquffp8useATaQejQdSosQt_JXHwzHpFmIlqnGSUWamxmyymI21fx3UyeDpl4q63gfKKcVG3Df6Y-23MPMFl4udjgGUf4PREimOeDw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Alexa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alexa新功能可生成床邊故事，連音樂、插畫都能配</strong></span></p> <p>生成式AI又有新應用！Amazon日前給Alexa新添一項功能，讓使用者可和小孩一起設計床邊故事，再透過Echo裝置播放出來。該功能叫做Create with Alexa，是Amazon以大型語言模型和故事訓練而成，可讓使用者根據幾個示例，如場景、主角、色調和氣氛，來產生配有音樂和插圖的故事。</p> <p>進一步來說，首先，該功能會先驅動大型語言模型，來根據使用者設定，產出5至10行文字及5個場景。接著，場景生成模型會根據每個場景，從人工繪製的圖像庫和AI產生的圖像庫，來選取合適的圖像作為背景。同時，模型還會選取物件和角色，也會根據文字內容，為角色添加相對應的表情與動作。最後，音檔生成器會從音樂庫（含和弦、合聲和旋律）中，來產生相應的音樂。目前，該功能已於11月29日上線，但只限於英文版。<a href="https://www.aboutamazon.com/news/devices/what-is-create-with-alexa?utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8XjBEEP00yIrrRqQpjZpRbLTTu43MsTgd_x1CY9LpJfucuxVrmZG6TTxKTB8uHvO-BrYjm">（詳全文）</a></p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/6ac550b/2147483647/strip/true/crop/1400x854+0+0/resize/1218x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F9c%2F84%2Faef5277045fda6292f0da2aba405%2Fuiscreens-inline-gif.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ByteDance </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2D卷積 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉影片 </span></strong></span></p> <p><span style="font-size:22px;"><strong>抖音母公司用2D卷積打造文字轉影片AI，降低運算複雜度</strong></span></p> <p>近2年生成式AI熱浪大起，不只是文字生成，各種文字轉圖像應用也雨後春筍般出現。最近，科技巨頭的研究目標轉向更難的文字轉影片，因為光是收集文字-影片配對的資料集，就比文字-圖像要難得多，且不同幀的銜接度也難以掌握。</p> <p>不過，抖音母公司ByteDance近日發表自家研究成果，以擴散模型（Diffusion model）為基礎，打造一款可將文字轉為影片的生成式AI工具MagicVideo，透過預訓練的變分自動編碼器，來在潛在空間中（Laten Space）產生影片。這個方法，大大降低了MagicVideo的運算量，而且，MagicVideo還以2D卷積來取代3D卷積，克服文字-影片的資料集問題，也降低運算複雜度。為降低記憶體消耗，2D卷積的每個運算都共享同樣權重，但這麼做會降低產出的影片品質，團隊於是在MagicVideo中採用自定義輕量級模組，來調整每一幀的分布。他們認為，該研究是文字轉影片發展中，減低運算複雜度的一個重要成果。<a href="https://magicvideo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://magicvideo.github.io/img/004.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位雙生 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IDC預測2023 AI趨勢：多模態AI和數位雙生紛紛落地</strong></span></p> <p>IDC日前發表2023年科技趨勢預測，指出明年將見到更多自動化和多模態AI應用落地，因為，他們發現全球過半企業面臨嚴重的人才與技術缺口，企業也面臨營運成本增加的壓力，而自動化就會是企業解決壓力的重要投資。</p> <p>IDC指出，企業自動化應用需要AI接軌，而單模態AI對企業即時決策和預測的需求來說是不夠的，因此，能同步處理文本、視覺影像和音訊等的多模態AI，會是企業用來實現自動化、跨越內部各種業務流程的解方。IDC認為，多模態AI的自動化應用已在智慧能源和晶片開發設計上有所成績，他們預測，到了2023年，人才與技術缺口將促使35%的IT組織投資AI技能，並預期2026年，40%的AI模型將涵蓋多模態數據演算。</p> <p>此外，IDC也預測，數位雙生也將因IoT、雲端和邊緣運算技術提升，而開始進入大型製造業、倉儲物流和產業供應鏈，而非只是國防、航太和能源等產業。IDC預測，明年將見到更多元的數位雙生部署，並在不同產業和企業規模間階段性導入。甚至，2026年也將有20%的大型企業，以運行大規模的數位雙生專案來維持商業利益。<a href="https://www.ithome.com.tw/news/154580#:~:text=%E5%9C%A8%E4%B8%8A%E8%BF%B0%E5%A4%A7%E7%92%B0%E5%A2%83%E7%9A%84,%E6%94%AF%E4%BB%98%E8%AE%8A%E9%9D%A9%E5%B8%B6%E5%8B%95B2C%E7%99%BC%E5%B1%95%E3%80%82">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DirectML </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>最新版DirectML PyTorch開始支援熱門Transformer模型</strong></span></p> <p>由微軟維護的深度學習加速框架DirectML PyTorch近日發布正式版，新支援不少熱門的Transformer模型，如GPT2、BERT和Detection Transformers。也就是說，開發者現在可利用GPU加速的PyTorch，來訓練常見的Transformer模型了。</p> <p>目前最新版本的Windows 10和WSL都支援帶有DirectML技術的PyTorch應用，開發者現可下載PyPI套件，來進行Transformer模型應用開發。不只如此，新版框架也改進了記憶體消耗、提供更快的效能，也能處理更大批次的工作。<a href="https://devblogs.microsoft.com/windowsai/transformer-support-for-pytorch-with-directml-is-here/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 德意志銀行 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 金融AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size:22px;"><strong>德意志銀行測試大型金融語言模型，要加速金融AI服務</strong></span></p> <p>德意志銀行日前宣布要藉Nvidia的AI工具，來改善金融服務，包括開發符合監管要求的AI服務、支援德意志銀行雲端數位轉型政策，以及以AI來簡化、加速德意志銀行雲端搬遷決策。</p> <p>在建立這項合作之前，Nvidia與德意志銀行已先執行數月的探索性工作，比如風險模型開發、高效能運算和品牌虛擬人物的建造。這次，德意志銀行計畫使用Nvidia AI Enterprise端到端軟體套件，在雲端和資料中心執行AI開發和部署，讓德意志銀行開發者可在本地和Google雲端，執行AI工作流程。另一方面，德意志銀行也要發展非結構化資料分析技術，他們正在測試Financial Transformers大型語言模型，要來實現金融交易對手方的預警訊號，還要更快資料檢索和辨識資料品質。<a href="https://www.db.com/news/detail/20221207-deutsche-bank-partners-with-nvidia-to-embed-ai-into-financial-services">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉文字 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出新版Azure語音功能，使用者可客製SST模型改善準確度</strong></span></p> <p>微軟更新Azure認知服務語音功能，透過客製化語音轉文字功能，來加強應用程式和產品的語音轉文字準確性。新的客製化語音模型，是以樣板模型為基礎，用戶可以透過2種方式優化模型，一是以特定領域的文字資料來訓練模型，強化字彙辨識力，另一是透過轉錄的音訊資料，來提高對特定音訊條件的辨識能力。</p> <p>這些優化方式，又可細分為4種。第1是最簡單的方式，使用者以詞彙列表添加如參與者姓名、產品和行話列表，來提高模型對這些詞彙的辨識能力。再來是以純文字，如各種體育賽事使用的詞彙，來提高特定領域詞彙精確度。第3種是以結構化文字，來強化模型辨識語音中，如片語等不同的短語形式。最後，使用者也能用音訊資料，加強模型對特定口音、說話風格或背景噪音的辨識能力。<a href="https://azure.microsoft.com/zh-tw/blog/improve-speechtotext-accuracy-with-azure-custom-speech/">（詳全文）</a></p> <p>圖片來源／UC Berkeley、Salesforce、Amazon、ByteDance</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google開源注意力中心模型，可預測圖片最吸引人類目光的位置</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/15 16:52作者王若樸https://www.ithome.com.tw/news/154734
【資安日報】2022年12月15日，SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月份的例行修補當中，SAP、VMware也針對旗下產品緩解重大漏洞，用戶應提高警覺並儘速安裝修補程式。其中，SAP本次修補了4項重大漏洞，值得留意的是，當中有兩項與他們採用的元件有關，一項是Business Client所採用的Chrome網頁瀏覽器元件，另一個則是SAP Commerce的Apache Commons Text元件。</p> <p>駭客在攻擊行動濫用驅動程式的情況也出現了新手法，在最近的一波攻擊行動中，駭客開始採用帶有微軟簽章的惡意驅動程式，以此發起勒索軟體攻擊，從而繞過資安系統偵測。微軟也證實有數名開發人員的帳號遭到濫用。</p> <p>針對醫療機構的勒索軟體攻擊升溫也引起美國政府的關注，繼11月美國衛生與公共服務部對於4種勒索軟體提出警告後，他們本月針對惡名昭彰的BlackCat和LockBit發布相關警告，並指出這2種勒索軟體的攻擊手法更難以防範。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png" style="width: 300px; float: right;" /></a>本周資安業者Mandiant、SentinelOne、Sophos，不約而同揭露能夠新型態的惡意軟體攻擊行動，那就是能終止Windows系統特定程序的惡意驅動程式Poortry、Stonestop、Burntcigar，而這些驅動程式的共通點，就是它們擁有微軟硬體相容性計畫的簽章，研究人員發現至少有9個駭客組織製作此類惡意程式，用於攻擊電信業者、業務外包業者（BPO）、代管安全服務供應商（MSSP）、金融服務業者，並用於勒索軟體攻擊。</p> <p>研究人員認為，主要問題源自大部分資安系統信任微軟簽章的所有內容，特別是核心模式驅動程式的部分，而讓駭客有機可乘。對此，微軟獲報後也著手調查，有數名開發人員計畫的帳號被濫用於此起攻擊行動，他們將部分合作夥伴的帳號暫時停權來因應。</p> <h3><a href="https://www.scmagazine.com/analysis/ransomware/blackcat-lockbit-3-0-ransomware-target-healthcare-with-customizable-tactics-triple-extortion"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對醫療機構提出警告，勒索軟體BlackCat、LockBit攻擊行動升溫</span></strong></a></h3> <p>美國衛生與公共服務部（HHS）於12月12日發布資安通報，表示近期勒索軟體駭客鎖定醫療機構的情況日益惡化，繼11月針對Venus、Hive、Lorenz、Royal的攻擊行動提出警告後，他們也呼籲醫療機構要特別防範BlackCat和LockBit勒索軟體。與前述11月份發布警告的4個勒索軟體不同之處，此次HHS表示，BlackCat針對特定目標採用了專屬攻擊手段，LockBit則是對於受害組織採用3重勒索的策略，除了洩露資料，也將恐嚇訊息透過受害組織的印表機輸出，從而對受害單位施壓。</p> <h3><a href="https://www.theguardian.com/business/2022/dec/14/tpg-reveals-emails-of-15000-iinet-and-westnet-customers-exposed-in-hack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲電信業者TPG證實代管Exchange遭到攻擊，1.5萬客戶受到波及</span></strong></a></h3> <p>澳洲電信業者TPG於12月14日向當地證交所（ASX）通報，資安業者Mandiant發現，當地網際網路服務供應商iiNet、Westnet代管的Exchange服務，出現未經授權存取的遭駭狀況，估計1.5萬家企業用戶受到影響。TPG表示，初步調查的結果顯示，駭客主要目的是找尋用戶的加密貨幣與財務資料，他們也聯繫受影響的企業用戶，並通報政府部門。該公司表示攻擊者的存取管道已經切斷，此起事故並未波及行動網路與寬頻網路用戶。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/saps-december-2022-security-updates-patch-critical-vulnerabilities" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補4項CVSS風險等級近乎滿分重大漏洞</span></strong></a></h3> <p>12月13日，SAP總共修補了旗下產品14項漏洞，當中有4個為重大漏洞。其中最嚴重的是Business Client所採用的Chrome網頁瀏覽器元件漏洞，CVSS風險層級達到了滿分10分，修補範圍包含Google在107、108版修補的2個零時差漏洞。</p> <p>其次，則是CVSS風險評分9.9分的CVE-2022-41267、CVE-2022-41272，前者存在於圖像化資料分析平臺BusinessObjects，為跨網站請求偽造（SSRF）漏洞，後者則出現於NetWeaver，可被攻擊者用於未經授權的操作。該公司第4個修補的重大漏洞則是Text4Shell（CVE-2022-42889），此漏洞存在於SAP Commerce的Apache Commons Text元件。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-esxi-and-vrealize-security-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補ESXi和vRealize重大漏洞</span></strong></a></h3> <p>VMware於12月13日發布資安通告，當中提及虛擬化系統ESXi的重大漏洞CVE-2022-31705，以及混合雲管理平臺vRealize的CVE-2022-31702，兩個漏洞的CVSS風險層級為9.3分及9.8分。</p> <p>CVE-2022-31705存在於USB 2.0控制器元件，可讓取得虛擬機器（VM）管理者權限的攻擊者，藉由VMX處理程序執行任意程式碼，影響大部分版本的ESXi、Workstation、Fusion、Cloud Foundation，儘有Workstation 17與Fusion 13不受影響；CVE-2022-31705為命令注入漏洞，攻擊者可利用vRNI REST API注入命令，影響vRealize Network Insight 6.2至6.7版，6.8版不受影響。</p> <h3><a href="https://www.securityweek.com/adobe-patches-38-flaws-enterprise-software-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補38個漏洞，大部分與Experience Manager有關</span></strong></a></h3> <p>12月13日Adobe針對旗下產品發布修補程式，總共修補了38個漏洞，其中有33個位於數位內容管理解決方案Experience Manager（AEM），該公司指出，這些漏洞雖然為重要或中等風險等級，但是如果遭到利用，攻擊者就有可能執行任意程式碼或是繞過資安防護功能。除了AEM，該公司也修補客戶關係經營系統Campaign Classic（ACC）的提升權限漏洞，以及Illustrator記憶體資料外洩漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果違反GDPR，恐面臨法國600萬歐元罰款</span></strong></a></h3> <p>根據路透社的報導，法國隱私主管機關CNIL打算針對蘋果違反隱私法GDPR一事，祭出600萬歐元的罰款，相當於新臺幣2千萬元。之所以會有這個訴訟結果，源於去年當地科技社群France Digitale控告蘋果未經iOS14用戶明確同意而收集個資。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202212090115.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委呼籲政府應儘速公布調查結果</span></span></strong></a></p> <p><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></span></strong></a></p> <p><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></span></strong></a></p> <p><a href="https://techcrunch.com/2022/12/12/xnspy-stalkerware-iphone-android/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體Xnspy跟蹤數以千計的手機用戶</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-seized-domains-linked-to-48-ddos-for-hire-service-platforms/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國封鎖了48個提供DDoS攻擊服務的網域</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> </div></div></div>
2022/12/15 15:11作者周峻佑https://www.ithome.com.tw/news/154727
微軟今年最後一個Patch Tuesday修補52個安全漏洞，其中一個已被濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周進入2022年的最後一個Patch Tuesday，總計修補52個安全漏洞，當中有6個屬於重大（Critical）漏洞，另有兩個零時差漏洞，它們分別是僅被列為中等（Moderate）漏洞的CVE-2022-44698，與重要（Important）漏洞的CVE-2022-44710，前者已遭到駭客利用。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>漏洞允許駭客繞過可用來篩選網釣網站的Windows SmartScreen安全功能。根據微軟的說明，駭客得以建立一個可逃避Mark of the Web（MOTW）防禦的惡意檔案，損及諸如Protected View等Office安全功能的完整性及可用性。駭客可打造一個惡意網站，也能透過郵件及傳訊程式傳遞惡意網站的連結，或是藉由危害合法網站來利用<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>漏洞。</p> <p>至於6個重大漏洞皆可導致遠端程式攻擊，牽涉到Microsoft Dynamics、SharePoint Server、PowerShell與Windows Secure Socket Tunneling Protocol（SSTP）。當中涉及PowerShell的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41076" target="_blank">CVE-2022-41076</a>允許一個認證用戶繞過PowerShell的遠端階段配置，並於一個受影響的系統上執行未經批准的命令。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/12/13/the-december-2022-security-update-review" target="_blank">趨勢Zero Day Initiative（ZDI）團隊說明</a>，駭客在突破系統的第一道防線之後，經常會利用系統上既有的工具來維持對系統的存取及移動能力，PowerShell即是這類的工具之一，因此若存在任何可繞過安全限制的漏洞都應儘速修補。</p> <p>這次微軟也修補一個位於Microsoft Outlook for Mac的安全漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44713" target="_blank">CVE-2022-44713</a>，它是個欺騙漏洞，允許駭客偽裝成可靠的對象，並使得受害者誤信郵件來自合法用戶。</p> <p>ZDI認為，駭客若以<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44713" target="_blank">CVE-2022-44713</a>搭配SmartScreen繞過漏洞（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>）可能會讓事情變得更棘手，倘若駭客偽裝成使用者的長官，並寄來一封含有惡意附件的檔案，大多數人應該都會開啟。</p> </div></div></div>
2022/12/15 13:37作者陳曉莉https://www.ithome.com.tw/news/154725
Windows 7、Windows 8.1都將在2023年1月終止技術支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2022年進入尾聲，到了2023年1月10日，微軟兩個歷史悠久而好用的作業系統Windows 7及Windows 8.1抵達技術支援的生命周期終點，而Edge瀏覽器也即將停止支援。</p> <p><a href="https://www.ithome.com.tw/news/151603" target="_blank">微軟今年6月提醒用戶</a>，Windows 8.1將在2023年1月10日終止對Windows 8.1的支援，同時微軟也不會銷售付費支援服務。</p> <p>Windows 8.1是於2013年10月17日正式發行，到2018年1月抵到主流支援（mainstream support），為期5年的延伸支援（extended support）將在2023年1月截止。</p> <p>而前一個版本Windows 7則是已在2020年1月14日，來到技術支援的生命周期。不過有鑒於企業用戶仍然很多，微軟在當年提供付費的延伸安全更新（Extended Security Update）。為期三年的ESU服務僅此一次，也是2023年1月10日到期。</p> <p>除了作業系統本身的技術支援，微軟的Edge瀏覽器也會在下個月結束對兩個Windows平臺的支援。<a href="https://learn.microsoft.com/zh-tw/deployedge/microsoft-edge-supported-operating-systems" target="_blank">根據微軟網頁</a>，預計明年1月12日發行的Edge 109是支援Windows 7和8.1的最後一個版本。</p> <p>另一主要瀏覽器Chrome的供應商Google原本預計在2021年7月不再支援Windows 7，但因應疫情，先延到2022年初，之後又再推遲。<a href="https://www.ithome.com.tw/news/153801" target="_blank">今年10月Google終於宣布</a>明年2月7日發行的Chrome 110版起會終止對Windows 7和8.1的支援。</p> </div></div></div>
2022/12/15 11:22作者林妍溱https://www.ithome.com.tw/news/154718
追蹤馬斯克私人飛機的推特帳號遭永久停權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然馬斯克說要維護言論自由，不過一個專門追蹤馬斯克（Elon Musk）私人專機的推特（Twitter）帳號，本周遭到永久停權。</p> <p>一個由加州大學學生Jack Sweeney所成立的@ElonJet，利用公開資料來追蹤馬斯克私人專機，他還成立了其他帳號追蹤其他人，包括馬斯克哥哥Kimbal Musk的飛機行程。本周@ElonJet帳號被永久停權後，隔日Sweeney個人帳號及追踨其他人的帳號也被封鎖。</p> <p>這個帳號一直讓馬斯克很介意。<a href="https://techcrunch.com/2022/12/14/elon-jet-the-twitter-account-tracking-elon-musks-flights-was-permanently-suspended/" target="_blank">Techcrunch報導</a>，今年1月馬斯克曾私訊Sweeney，希望支付5,000美元請他刪除帳號，但遭這大學生拒絕。不知是否出於反諷，他要求價碼拉高到5萬美元以便支付大學學費，甚至買臺特斯拉的Model 3。</p> <p><a href="https://twitter.com/elonmusk/status/1589414958508691456" target="_blank">上個月馬斯克發文道</a>，他全心支持言論自由，程度到了不查禁追蹤他私人專機的帳號，即使那已直接造成他個人安全風險。</p> <p>顯然馬斯克及推特都改變了主意。<a href="https://help.twitter.com/en/rules-and-policies/personal-information" target="_blank">推特本周更新其隱私政策</a>，雖然推特不禁止分享可在其他地方公開取得的資訊，唯獨即時位置資訊例外。</p> <p>不過Sweeney本周已經在另一社交平臺Mastodon成立了<a href="https://mastodon.social/@elonjet" target="_blank">Elon Jet帳號</a>，這個平臺因馬斯克提及後爆紅，吸引不少擔憂推特出現言論亂象的用戶跳槽。</p> </div></div></div>
2022/12/15 11:00作者林妍溱https://www.ithome.com.tw/news/154712
蘋果被控違反歐盟隱私法，可能面臨法國罰款600萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" target="_blank">路透社報導</a>，法國隱私主管機關CNIL本周針對蘋果被控違反隱私法GDPR，建議應施以600萬歐元（約2,000萬臺幣）罰金。</p> <p>CNIL是在著手調查去年法國遊說團體控告蘋果未經用戶同意即蒐集個資後，做出這項建議。</p> <p>去年一個代表法國數位企業和創投的組織「數位法國」，控告蘋果iOS14的個資蒐集行為違反GDPR。該組織指出，雖然iOS 14有詢問使用者是否允許安裝的App蒐集用於發送廣告的識別碼，但iOS的預設設定卻讓蘋果未經明確取得用戶同意就能發送精準廣告。</p> <p>不過即使真的被罰款，對蘋果而言，可能也不痛不癢。2019年CNIL因Google用戶條款中對如何處理用戶個資說明不清，<a href="https://www.ithome.com.tw/news/128391" target="_blank">而施以5,000萬歐元的罰金</a>。</p> </div></div></div>
2022/12/15 11:10作者林妍溱https://www.ithome.com.tw/news/154716
S3新儲存桶將於明年4月全面預設禁止公開存取並停用ACL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/heads-up-amazon-s3-security-changes-are-coming-in-april-of-2023/">AWS預計要對S3進行兩項安全性變更</a>，儲存桶安全實踐將自動在2023年4月開始生效，並會在數周內擴展到所有AWS區域。一旦該區域變更生效，該區域中所有新創建的儲存桶，將會預設禁止S3公開存取，並且停用存取控制列表（ACL）。</p> <p>官方提到，這兩個選項早已經是控制臺預設配置，也一直是推薦的最佳實踐，而現在這些選項將會成為使用S3 API、S3 CLI、AWS SDK或AWS CloudFormation模板，所創建儲存桶的預設選項。</p> <p>S3儲存桶和物件預設都是私密狀態，AWS在2018年添加阻擋公開存取功能，並在2021年添加停用ACL的功能，提供用戶更多控制權，並以AWS IAM政策作為替代方案。官方認為絕大多數應用程式，皆不需要用到這兩個選項，希望用戶能夠以更謹慎的方式，創建擁有公開存取和ACL功能儲存桶。</p> <p>之後當用戶需要使用兩者之一，都需要手動調整，因此AWS提醒用戶一定要檢查程式碼、腳本、AWS CloudFormation模板和其他自動化設定。</p> <p>阻擋所有公開存取功能，具體來說包含四個細項，而在2023年4月的變更，這4項都會預設開啟，包括阻擋儲存桶和物件透過新ACL授權的公共存取；阻擋儲存桶和物件透過任何ACL授權的公共存取；阻擋儲存桶和物件，透過任何公開儲存桶或存取點政策授權的公共存取；最後則是阻擋儲存桶和物件，透過任何公開儲存桶或存取點政策授權的公開和跨帳號存取。</p> <p>在變更生效之後，嘗試以儲存桶政策或存取點政策，授權儲存桶公開存取都會被拒絕，並且顯示430存取拒絕錯誤，如果用戶仍需要授予新儲存桶公開存取權限，還是能以一般程序創建，只是需要呼叫DeletePublicAccessBlock來移除公開存取的阻擋限制。</p> <p>而預設停用存取控制列表則會在新創建桶中，啟用儲存桶擁有者強制設定，這將會使儲存桶ACL和物件ACL失效，並確保無論上傳對象為何，儲存桶擁有者都是物件的所有者。儲存桶要啟用ACL，需要在CreateBucket請求中，將ObjectOwnership參數配置成ObjectWriter，或是呼叫DeleteBucketOwnershipControls。</p> </div></div></div>
2022/12/14 22:40作者李建興https://www.ithome.com.tw/news/154703
Meta釋出免費工具HMA，供各平臺大規模偵測和刪除恐怖主義內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/12/meta-launches-new-content-moderation-tool/">Meta釋出免費Hasher-Matcher-Actioner（HMA）工具</a>，該工具能夠以雜湊值，辨識恐怖主義的圖像和影片副本，協助沒有資源的平臺，打擊恐怖主義內容，HMA以Meta之前開源的圖像和影片比對軟體為基礎開發而成，因此也可用於處理各種類型的違規內容。</p> <p>下個月Meta將會擔任全球網際網路反恐論壇（GIFCT）營運委員會的主席，GIFCT是一個非政府組織，透過集結科技公司，開發技術並且合作來處理線上恐怖主義內容。GIFCT成員通常會使用雜湊共享資料庫來偵測恐怖主義內容，但GIFCT並非儲存這些暴力或是恐怖主義內容，而是儲存這些圖像和影片的雜湊值或唯一數位指紋。</p> <p>參與雜湊資料庫的公司越多，則該資料庫就越豐富，也就能夠更好地共同防範恐怖主義內容，Meta提到，通常分享恐怖主義內容的人會跨平臺進行散布，但許多企業不具備探索和限制這些違規內容的技術，而HMA便可成為有力的工具。</p> <p>Meta提到，在臉書上，現在每1萬次的瀏覽，仇恨言論只會被瀏覽2次，低於三年前每1萬次瀏覽，就有10到11次的仇恨言論瀏覽。</p> </div></div></div>
2022/12/14 22:46作者李建興https://www.ithome.com.tw/news/154707
Google釋出開源軟體漏洞掃描工具OSV-Scanner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出免費工具<a href="https://security.googleblog.com/2022/12/announcing-osv-scanner-vulnerability.html">OSV-Scanner</a>，供開源開發人員可以更簡單地存取和專案相關的漏洞資訊。</p> <p>去年Google發布開源漏洞（Open Source Vulnerability）架構並且啟動OSV.dev服務，完成第一個分散式開源漏洞資料庫，官方解釋，OSV允許不同的開源生態系和漏洞資料庫，能夠以一種簡單、精確且機器可讀的格式發布和使用資訊。</p> <p>而OSV-Scanner則是OSV資料庫的下一步，這是由官方支援的前端，能夠將專案的相依項目列表，和影響專案的漏洞相關聯。由於軟體專案通常擁有大量的相依項目，而每個相依項目可能包含現有已知的漏洞，或是尚待發現的新漏洞，但因為相依項目和版本太多，開發人員通常難以手動追蹤，因此需要自動化來解決這項困難。</p> <p>OSV-Scanner會自動比對專案相依項目和已知漏洞列表，並於存在修補程式或是更新時通知開發者，Google提到，OSV-Scanner能夠生成可靠、高品質的漏洞資訊，以縮小開發人員軟體套件列表和OSV資料庫中的漏洞資訊落差。</p> <p>由於OSV-Scanner使用開源分散式OSV.dev資料庫，因此官方提到，OSV-Scanner與閉源資料庫的掃瞄器相比更具優勢，包括每個安全通報都是來自開放且權威的來源，所有人都可以提出改進建議，因此能夠共同維護高品質資料庫，而且OSV格式以機器可讀的格式，儲存有關受影響的套件版本資訊，該格式能精確地對應到開發者的軟體套件列表。</p> <p>OSV-Scanner會先分析清單、SBOM並提交雜湊值，找到所有正在使用的遞移相依項目，接著OSV-Scanner會將該資訊和OSV資料庫進行比對，以顯示開發者專案相關的漏洞。同時OSV-Scanner還整合到OpenSSF計分卡漏洞檢查，可將漏洞分析從專案的直接漏洞，擴及所有相依項目漏洞，代表採用OpenSSF計分卡的專案能夠獲得更全面的安全檢查。</p> </div></div></div>
2022/12/14 22:48作者李建興https://www.ithome.com.tw/news/154709
微軟簽章遭攻擊者濫用於開發合法惡意驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端旗下的資安公司<a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware">Mandiant</a>以及<a href="https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/">SentinelOne</a>聯手調查，發現多個可終止Windows系統上特定程序的惡意驅動程式，研究人員提到，在這種情況，惡意驅動程式通常會嘗試終止端點的偵測和回應代理（EDR），不過，這項攻擊更大的問題在於，該惡意驅動程式擁有合法簽章，由微軟Windows硬體開發人員計畫認證。</p> <p>這個惡意程式帶有微軟Windows硬體相容性計畫Authenticode簽章的POORTRY驅動程式樣本，研究人員仔細分析了該驅動程式的Authenticode後設資料，發現該惡意驅動程式，是由Windows硬體相容性計畫簽署，也就是說，惡意驅動程式是由微軟直接簽署，而且研究人員還發現幾個與不同攻擊者關聯的惡意軟體家族，也已經透過這項程序進行簽署，研究人員確定至少有9個組織利用這項非法手法，生成惡意驅動程式。</p> <p>驅動程式簽章是Windows作業系統的重要安全功能，其要求驅動程式需要擁有有效的加密簽章，才能被載入到系統中，也就是該簽章將開發人員核准為可信任的實體，而這些開發人員的程式碼，繼承了這種信任。</p> <p>研究人員提到，這種驗證方式對打擊核心模式Rootkit攻擊非常重要，核心模式Rootkit是能夠以最高權限運作的惡意軟體，微軟從偵測到根除核心模式Rootkit，歷經了一段時間的努力。開發人員的驅動程式要能獲得Windows硬體品質實驗室（WHQL）簽章，需滿足一組特殊標準，這個過程仰賴嚴格的檢查，以確保請求的開發人員是真實存在，且沒有提交惡意驅動程式。</p> <p>開發人員首先必須獲得擴充驗證（Extended Validation，EV）憑證，並在註冊Windows硬體開發人員計畫後，將其附加到帳戶中，EV憑證要求開發人員將私鑰儲存在物理的權杖上，並執行一系列檢查以驗證請求組織的身分。</p> <p>完成之後開發人員必須透過合作夥伴入口，提交驅動程式套件進行一系列測試和簽署，確保相容性且不存在任何惡意意圖，在通過測試後，微軟便會使用Windows Hardware Compatibility Publisher憑證對其進行簽署。</p> <p>研究人員表示，這個過程的主要問題，是來自於大多數安全解決方案信任微軟簽章的任何內容，尤其是核心模式驅動程式。雖然微軟在Windows 10開始，要求開發人員使用Windows硬體開發人員中心儀表板入口，對所有核心模式驅動程式進行簽章，任何未通過該程序的內容都無法載入到新的Windows版本中。</p> <p>即便這項新要求強化了驅動程式的控制和可見性，但是攻擊者透過開發驅動程式，並且使驅動程式在微軟的審查過程無法發現其惡意意圖，進而玩弄這個程序。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/ADV220005">微軟已經完成該事件調查</a>，判斷該惡意攻擊行動只涉及幾個遭濫用的開發人員計畫帳戶，微軟已經將合作夥伴的賣方帳戶暫時停權，並執行進一步偵測措施，避免往後又出現合法簽署的惡意驅動程式，微軟建議使用者安裝最新的Windows更新，並且更新防毒和端點偵測產品至最新狀態，同時啟用最新簽章，以防範相關攻擊。</p> </div></div></div>
2022/12/14 23:05作者李建興https://www.ithome.com.tw/news/154704
【資安日報】2022年12月14日，Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日是本月的第二個星期二，許多廠商發布了12月份的例行修補程式，值得留意的是，所針對的資安弱點，有不少是已經出現攻擊行動的零時差漏洞。</p> <p>例如，Citrix為旗下的Citrix ADC、Citrix Gateway發出資安通告，有人正利用CVE-2022-27518發動攻擊。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。</p> <p>另一個也相當值得留意的是與Safari瀏覽器有關，排版引擎WebKit被人發現有漏洞CVE-2022-42856。蘋果原先在11月底為iOS 16提供修補，但該公司現在也擴大對Mac電腦、Apple TV修補，原因是已出現攻擊行動。</p> <p>殭屍網路針對WordPress網站而來的攻擊行動也值得關注，但這起事故透過暴力破解來挾持網站，而非利用WordPress網站或外掛程式的漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.fortinet.com/blog/threat-research/gotrim-go-based-botnet-actively-brute-forces-wordpress-websites" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站遭到殭屍網路GoTrim鎖定，暴力破解管理者帳密</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1670684543601.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1670684543601.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露自今年9月出現的GoTrim殭屍網路，此殭屍網路針對WordPress網站嘗試透過暴力破解攻擊，存取管理員帳號，一旦成功入侵，惡意軟體會向C2中繼站回報，並使用PHP指令碼下載殭屍網路病毒GoTrim並部署，然後接管該網站並納入殭屍網路。</p> <p>研究人員根據程式碼進行分析，GoTrim除了能試圖存取WordPress帳密，駭客亦試圖開發能存取Joomla!、Data Life Engine帳密資料的功能。而為了規避偵測，駭客也只會針對自行管理的WordPress網站下手，排除由WordPress.com代管的網站。</p> <h3><a href="https://www.ithome.com.tw/news/154699"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特針對研究人員發現有1,700萬筆用戶資料外洩做出說明</span></strong></a></h3> <p>研究人員於8月發現有人在駭客論壇兜售540萬筆推特用戶資料，當時推特證實此事起因與他們今年1月修補的漏洞有關，<a href="http://www.ithome.com.tw/news/154485#twitter">但在11月又有研究人員發現另一批駭客利用相同的漏洞蒐集多達1,700多萬筆用戶資料</a>。</p> <p>對此，<a href="https://privacy.twitter.com/en/blog/2022/update-about-an-alleged-incident-impacting-some-accounts-on-twitter">推特於12月9日做出說明</a>，他們表示前後兩個研究人員揭露的其實是同一批資料，但未說明為何資料筆數落差如此懸殊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-citrix-adc-and-gateway-zero-day-patch-now/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix ADC的零時差漏洞已被用於攻擊行動</span></strong></a></h3> <p><a href="https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518">資安業者Citrix於12月13日發布資安通告</a>，指出駭客利用CVE-2022-27518對Citrix ADC和Citrix Gateway發動攻擊，影響12.1至13.0版的系統，13.1版不受影響。此外，該漏洞必須在系統設置為SAML的服務提供者（SP），或是身分識別資訊提供者（IdP）的角色，才會觸發。一旦遭到利用，攻擊者可在未經身分驗證的情況下，遠端執行任意命令，並控制存在該漏洞的系統。由於沒有其他的緩解措施，該公司呼籲用戶應儘速安裝更新軟體。</p> <p>Citrix並未透露該漏洞遭到利用的細節，但<a href="https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF">美國國家安全局（NSA）指出</a>，中國政府資助的駭客組織APT5（亦稱UNC2630、Manganese）將其用於攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/154698"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS修補了可被用於發動DoS、資料外洩的容器映像檔服務漏洞</span></strong></a></h3> <p>資安業者Lightspin揭露AWS的Docker映像檔儲存庫Elastic Container Registry Public（ECR Public）重大漏洞，他們在該儲存庫的入口網站ECR Public Gallery當中，發現有個文件未提到的API，可用於新增、刪除、變更容器映像檔，一旦有人發現此API，就有機會刪除其他帳號的ECR映像檔，或是上傳、新增惡意映像檔，進而發動阻斷服務（DoS）、資料外洩、網路橫向移動、權限擴張、資料破壞等攻擊行動。AWS在11月15日獲報後已完成修補。</p> <h3><a href="https://techcrunch.com/2022/12/13/apple-zero-day-webkit-iphone/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iPhone的WebKit零時差漏洞已被用於攻擊，蘋果亦為Mac電腦和Apple TV修補</span></strong></a></h3> <p>蘋果在11月30日推出的iOS 16.1.2當中，修補了瀏覽器排版引擎WebKit的漏洞CVE-2022-42856，現在該公司也針對舊版iOS與iPadOS，以及Mac電腦、Apple TV修補，原因是已出現攻擊行動。蘋果在12月13日發布iOS 15.7.2、iPadOS 15.7.2、Safari 16.2、tvOS 16.2，以及macOS Ventura 13.1，當中也修補了上述的WebKit漏洞，並指出他們獲報已有相關的漏洞攻擊行動，是針對執行iOS 15.1的手機而來。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2022-patch-tuesday-fixes-2-zero-days-49-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布12月份例行修補，緩解2個零時差漏洞</span></strong></a></h3> <p>12月14日微軟發布每月例行修補（Patch Tuesday），總共修補了49個漏洞，當中有2個零時差漏洞CVE-2022-44698、CVE-2022-44710，前者是已出現攻擊行動，後者則是細節遭到公開。CVE-2022-44698與Windows的SmartScreen防護機制有關，攻擊者可利用特製的惡意文件，避開識別是否來自網際網路（MoTW）的機制，資安新聞網站Bleeping Computer指出，已有駭客藉由JavaScript檔案發動攻擊；CVE-2022-44710則是出現在DirectX元件，可被攻擊者用於取得System權限。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-claims-attack-on-californias-department-of-finance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國加州政府財政部門遭勒索軟體LockBit攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/ukrainian-railway-state-agencies-allegedly-targeted-by-dolphincape-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭鐵路系統、國家機構遭到惡意軟體DolphinCape鎖定</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_no/research/22/l/linux-cryptomining-enhanced-via-chaos-rat-.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用木馬程式Chaos RAT入侵Linux電腦，目的是挖掘門羅幣</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2022/12/announcing-osv-scanner-vulnerability.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google釋出開源軟體漏洞掃描工具OSV-Scanner</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> </div></div></div>
2022/12/14 18:25作者周峻佑https://www.ithome.com.tw/news/154710
健保署力推虛擬健保卡，下一步要整合電子處方箋和更多支付App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部健保署今年力推虛擬健保卡應用，昨日（12/13）展開虛擬健保卡應用分享會，不少醫院展示自家虛擬健保卡應用，包括已執行的應用以及未來可能施行的應用情境，來激發更多想像。比如，臺北榮總用虛擬健保卡和健保署開發的輕量藍牙App，來進行居家醫療，減少設備攜帶的不便也大大縮短健保卡讀寫時間，林口長庚醫院則在視訊門診、皮膚科和家醫科一般門診導入虛擬健保卡，並整合支付App方便民眾付款。雙和醫院則打造模擬情境，要結合未來將上路的電子處方箋，讓民眾從報到掃碼、看診、繳費和領藥都用虛擬健保卡完成。健保署未來推動方向也是如此，要整合電子處方箋、支付App（如Line Pay），來提供民眾一條龍式的就醫服務。</p> <p><span style="font-size:24px;"><strong>已有36萬多人持虛擬健保卡、967家特約醫院完成系統介接測試</strong></span></p> <p>健保署指出，全民健保自1995年開辦以來，就發出健保紙卡，供民眾就醫使用。但當時沒有照片，因此需搭配身分證來查核，而且也有6格換卡的限制。於是，2002年，健保署推出健保IC卡，IC卡和紙本卡並行1年後，2004年就全面換發健保IC卡，以晶片卡取代紙本卡外，也陸續整合各種就醫資訊。當時SARS疫情爆發時，也因健保IC卡可追蹤就醫史，用資訊來阻止疫情擴散。</p> <p>不過健保IC卡使用至今，也有不少問題，比如卡片遺失或損壞、基本資料變更需要換發，以及讀卡速度太慢等問題。為解決這些問題，也為配合國家數位化發展，健保署於2018年，與行政院公共數位創新空間小組（PDIS）和各專家聯手設計虛擬健保卡，要將健保卡放入民眾手機，不必攜帶實體卡也能看診，醫師也能查詢就醫資訊，並於2019年開始試辦。</p> <p>而在COVID-19疫情期間，虛擬健保卡也成為視訊診療的重要利器，健保署也鼓勵醫院、民眾使用虛擬健保卡。推動至今滿4年，健保署統計，至今年11月30日，已有36萬3,582人持有虛擬健保卡、967家特約醫療院所已完成虛擬健保卡系統介接測試。</p> <p><span style="font-size:24px;"><strong>鎖定居家醫療、視訊診療、遠距醫療，下半年也推動在地培力訓練</strong></span></p> <p>不只如此，健保署為推廣虛擬健保卡，也鼓勵醫院在居家醫療、視訊診療、遠距醫療等3大領域採用，並給予獎勵，希望在這3領域全面落實虛擬健保卡。但這不代表，虛擬健保卡只能在這3大領域使用，臺灣也有不少醫院已將虛擬健保卡用於一般門診中，如奇美醫院、長庚體系醫院等。</p> <p>除了獎勵，健保署也展開教育訓練，加強採用力道。健保署署長李伯璋指出，健保署自今年7月以來，前進偏鄉和離島，舉辦了16場在地培力訓練實體活動，還同步271個視訊點，共約2,000人參與。他們首站就到阿里山，也搭船至連江縣辦理訓練，要讓當地民眾、醫事人員、意見領袖和社區照服人員等成為在地種子，來提高偏鄉民眾虛擬健保卡的使用率、解決數位落差。</p> <p><span style="font-size:24px;"><strong>健保署打造虛擬健保卡授權功能，還要新增Line Pay支付</strong></span></p> <p>自虛擬健保卡推動以來，健保署也修改不少功能。比如，健保署企劃組組長王宗曦指出，民眾進行視訊看診時，得先在健保快易通App中截圖虛擬健保卡QR Code，再透過院所App傳送，讓醫師掃描、讀取就醫資料來看診。但這要切換程式，有時也難以讀取截圖，因此，健保署打造一套虛擬健保卡系統整合視訊診療系統介接程式，民眾可授權給醫院讀取其醫療記錄，免去掃描QR Code的不便。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%88%E6%AC%8A%E6%B5%81%E7%A8%8B.jpeg" /></p> <p>這個授權機制，是在民眾進行視訊診療前，先開啟虛擬健保卡，並於10分鐘內點選同意授權，院所就能在1小時內取得QR Code、調閱雲端健保資訊，來進行視訊診療。</p> <p>另一方面，健保署也整合金流，串接支付App，目前已支援醫指付、阿佩、街口支付，接下來要新增Line Pay，也在研擬介接銀行支付。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A2%9E%E5%8A%A0LineP.jpeg" /></p> <p>這也是民眾對虛擬健保卡的期許之一。王宗曦指出，健保署在問卷調查中發現，超過85%的民眾認同虛擬健保卡線上申請過程方便、授權機制放心，但民眾對虛擬健保卡有所期望，除了能有更多元的線上支付方式外，還要能提供整合式服務，如搭配處方箋至社區藥局領藥等。</p> <p>對醫事人員來說，超過7成認同虛擬卡讀卡時間比實體卡快速，但也期望能搭配處方箋至醫事機構領藥，並希望健保署提供院所，自行整合設計符合醫院內部流程的讀寫機制SDK，來讓醫院提供一站式服務。這也是健保署接下來的努力方向。</p> <p><span style="font-size:24px;"><strong>北榮用於居家醫療，取卡號不必再等1、2鐘頭</strong></span></p> <p>在實際運用成果上，臺北榮總現場分享，家醫部團隊以虛擬健保卡用於居家醫療照護情境，特別是採用健保署開發的輕量藍牙App，讓團隊不必帶讀卡機，減輕醫護居家醫療的負擔，也能加速讀取資料時間。</p> <p>臺北榮總家醫部醫師李蕙君指出，為實現這個目標，團隊第一步得先幫忙居家醫療病患申請虛擬健保卡，比如針對有自己門號的病患，醫護可現在自己的虛擬健保卡QR Code下方點擊機構代碼、產生機構認證碼，接著在民眾申請虛擬健保卡時，由醫事人員確認資料，並協助民眾填入機構認證碼，來申請虛擬健保卡。而在醫院端，可透過輕量藍牙App先取得醫事機構認證，再以直接拍攝民眾健保卡或透過民眾健保快易通App讀取虛擬健保卡QR Code，來完成取卡、進行看診作業。</p> <p>就北榮自身經驗來說，北榮資訊室打造一套軟體，來讓居家醫療團隊使用。在系統操作上，首先，居家醫療醫護可點選虛擬健保卡主控臺，再點選虛擬健保卡軟體，看到虛擬健保卡執行中字樣後，就可開始看診。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E7%B3%BB%E7%B5%B1.jpeg" /></p> <p>過程中，醫護可傳送虛擬健保卡憑證給病人，病人在健保快易通App中讀取、授權，醫護就能取得V開頭的虛擬健保卡卡號，來進行看診作業。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE3.jpeg" /></p> <p>北榮居家護理師李淑娟表示，過往，她在進行居家醫療服務時，光取得健保卡卡號，就會耗上1、2個小時。而透過虛擬健保卡，就不受地理空間和時間限制。她也提醒，使用虛擬健保卡一定要先連VPN，且使用介面一定要以英文輸入法輸入，否則會受健保局阻擋。</p> <p><span style="font-size:24px;"><strong>高醫不只運用於遠距醫療，還模擬救護資料調閱情境</strong></span></p> <p>另一方面，高醫副院長戴嘉言則分享虛擬健保卡遠距醫療應用成果，自去年7月開始，高醫就先將虛擬健保卡用於視訊診療，今年4月則宣示全院推動，並與健保署合力推動虛擬健保卡在地培力訓練，5月則與屏東縣泰武鄉衛生所展開計畫，以虛擬健保卡納入偏鄉遠距醫療，7月推動教育訓練、8月有所成績。</p> <p>進一步來說，這個遠距醫療虛擬健保卡應用情境有2種，一是在衛生所或民眾家中時，高醫醫師發送授權請求，來讓民眾授權給醫師，讓醫師取得虛擬健保卡卡號、讀取健保雲端藥歷資料。另一種情境則是用於視訊看診和五官鏡問診。</p> <p>不只如此，高醫也將遠距醫療所需的會診記錄，改用國際醫療資料交換標準FHIR來互通。</p> <p>戴嘉言指出，高醫也正發想虛擬健保卡的未來應用，並提出2種模擬情境。比如，它可用於資料授權，像是病人在救護車上時，救護人員可發送授權請求，病人同意後就能調閱其醫療資料，讓後送醫院先行準備。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%AB%98%E9%86%AB%E6%9C%AA%E4%BE%861.jpeg" /></p> <p>另一種應用情境則是身分識別，以虛擬健保卡作為身分認證機制，來讓民眾在社區據點或醫療院所測量生理量測值時，可將量測值上傳至健康福祉整合照護系統。這個情境又可分為2種環境，一是在健保VPN環境下，透過掃描虛擬健保卡QR Code辨識身分，讓民眾在醫療院所量測生理數值並上傳，另一種環境則是非健保VPN，如在7-11、文健站、ABC據點等，一樣透過掃碼來讓民眾使用該地生理量測設備、上傳量測值。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%AB%98%E9%86%AB%E6%9C%AA%E4%BE%862.jpeg" /></p> <p><span style="font-size:24px;"><strong>長庚去年5月展開視訊診療、支援虛擬健保卡，下一步要調整流程</strong></span></p> <p>去年5月疫情緊張時，長庚體系醫院開始支援視訊診療，也導入虛擬健保卡，來讓視訊診療更順暢。在操作上，有兩種方式可執行，一是民眾在長庚官網或App進行網路掛號，或是已掛號可在這兩處申請變更為視訊看診，免除重新掛號的不便。看診時，民眾可出示虛擬健保卡QR Code，來讓遠端醫護掃描、調閱資料，或是透過醫院HIS發送授權請求、民眾同意後，醫院取得V字頭就醫序號，來調閱就醫資料、看診。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A%E6%8E%88%E6%AC%8A.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A.jpeg" /></p> <p>若民眾已在現場掛號，也能透過官網和App，將掛號轉為視訊診療。看診完成後，民眾可透過醫指付App來付款，減少實體接觸感染風險。</p> <p>林口長庚醫院統計，醫院每周也提供超過30個專科的視訊診療，其中，兒科、胸腔內科和中醫是看診人次最多的科別。他們統計，自今年1月至9月，長庚體系的視訊看診人次達到6,463人次/月。</p> <p>不過，長庚醫院也揭露接下來將調整的流程，比如，目前看診前若量測血壓或身高體重，仍為手工輸入，但接下來要添購設備、改為掃描虛擬健保卡QR Code來寫入資料，此外，長庚也要改善病人檢查時的診間報到流程，要讓民眾透過長庚醫院App，來掃描診間報到機上的QR Code，作為報到確認，取代傳統插卡作業。另外在病人檢驗和領藥部分，也將改為以QR Code掃描，來辨識身分。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%96%80%E8%A8%BA%E6%B5%81%E7%A8%8B%E5%80%8B.jpeg" /></p> <p>不只如此，長庚醫院也已修改藥單領藥流程，只要藥單顯示的是虛擬健保卡的V字頭卡號，就配上「請出示身分證件」等字樣，民眾出示身分證或虛擬健保卡即可領取藥單。同樣地，在繳費部分，長庚醫院也已更新批價程式，讓系統可以讀取虛擬健保卡的V字頭卡號，方便民眾自助繳費。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A%E8%97%A5%E5%96%AE.jpeg" /></p> </div></div></div>
2022/12/14 14:59作者王若樸https://www.ithome.com.tw/news/154702
推特聲稱沒有另一起重大資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於近日有安全研究人員相信有新的重大資料外洩，<a href="https://privacy.twitter.com/en/blog/2022/update-about-an-alleged-incident-impacting-some-accounts-on-twitter" target="_blank">社交平臺推特（Twitter）本周聲稱</a>並無此事，只有今年8月公布的資料外洩案。</p> <p><a href="https://www.ithome.com.tw/news/152367" target="_blank">今年8月研究人員發現有人在駭客論壇上以3萬美元代價，兜售540萬筆推特用戶資料</a>，包括電話號碼和電子郵件帳號。推特證實此事，但表示，這是出於一個去年6月更新時引發的漏洞，但該公司已在今年1月修補，並稱當時並未發現漏洞已遭到濫用。</p> <p>到了11月，資安媒體Bleeping Computer報導這批資料已經在論壇上免費散布。<a href="https://www.ithome.com.tw/news/154485" target="_blank">但另一名安全研究人員Chad Loder指出</a>，有人利用前述漏洞蒐集到多達1,700多萬筆用戶資料，包含1,300多萬筆不包含在之前外洩事件的紀錄。</p> <p>推特本周指出，經過公司的事件回應小組比對兩次報導指稱的資料樣本，他們斷定兩次公告的資料外洩事件其實是同一批資料。</p> <p>好消息是，沒有第二次資料外洩事件。壞消息是，今年8月發現的資料外洩筆數應該如同研究人員懷疑，是1,700多萬筆，而非540萬。</p> <p>推特說，雖然用戶密碼並未外流，但仍鼓勵所有用戶以App或實體驗證金鑰執行雙因素驗證。<a href="https://twitter.ethicspointvp.com/custom/twitter/forms/data/form_data.asp" target="_blank">推特也開放用戶以線上表格申請查詢自己帳號的安全性</a>。</p> <p>此外，由於上千萬用戶電話及電子郵件資料已外流，推特也提醒用戶對聲稱是推特的信件保持警覺，小心釣魚詐騙。</p> </div></div></div>
2022/12/14 12:20作者林妍溱https://www.ithome.com.tw/news/154699
美國正式指控FTX創辦人SBF詐騙投資人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在FTX共同創辦人Sam Bankman-Fried（SBF）本周一（12/12）於巴哈馬<a href="https://www.ithome.com.tw/news/154681" target="_blank">遭到逮捕</a>之後，<a href="https://www.sec.gov/news/press-release/2022-219" target="_blank">美國證券交易委員會（SEC）</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8638-22" target="_blank">美國商品期貨交易委員會（CFTC）</a>周二（12/13）分別控告SBF詐騙投資人。</p> <p>SEC指出，SBF在2019年5月向投資人募集了逾18億美元的資金，當中約有11億美元來自90名美國投資人，他宣稱FTX是個安全且負責任的加密貨幣交易平臺，還說FTX擁有複雜且自動化的風險管理機制可用來保護客戶資產。</p> <p>然而，SBF卻向投資人隱瞞了許多事，包括私自將FTX客戶的資金轉移到SBF名下的加密貨幣做市商Alameda Research，允許Alameda Research享有特殊待遇，未揭露相關風險，還在Alameda Research使用了混合FTX的資金進行未公開的風險投資、購買房地產與政治捐款。</p> <p>SEC主席Gary Gensler表示，SBF在欺騙的基礎上建造了一座紙牌屋（脆弱的組織），還告訴投資人這是加密貨幣最安全的建築之一，SBF的行為彰響了加密貨幣平臺必須遵循美國的法令，例如妥善保護客戶資金與拆分具衝突的業務。SEC執法部主任Gurbir Grewal則說，FTX的崩潰突顯了未註冊的加密資產交易平臺可能替投資者與客戶帶來非常真實的風險。</p> <p>SEC認為SBF欺詐性地向投資人募集數十億美元，並濫用屬於FTX客戶的資金，違反證券交易法令的反詐欺規定。</p> <p>至於CFTC則同時控告了SBF、FTX與Alameda Research，指控它們涉及數位商品銷售的詐騙及重大不實陳述，更說這些被告的行為讓FTX客戶損失超過80億美元。</p> </div></div></div>
2022/12/14 12:35作者陳曉莉https://www.ithome.com.tw/news/154700
微軟收購英國光纖業者Lumenisity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/12/09/microsoft-acquires-lumenisity-an-innovator-in-hollow-core-fiber-hcf-cable/" target="_blank">微軟本月初宣布</a>收購英國光纖業者Lumenisity，以強化微軟雲端平臺的網路基礎架構。</p> <p>微軟指出，創立於2017年的Lumenisity是英國南安普敦大學的光電研究中心（Optoelectronics Research Centre，ORC）分拆獨立的空心光纖（Hallow Core Fiber，HCF）公司。HCF的原理是在空心玻璃導管的通道傳送光。微軟指出，Lumenisity的HCF方案比起傳統以實心玻璃光纖有很多好處，包括速度更快、延遲性更低，因為光在HCF傳送的速度比矽玻璃快47%。其次，基於Lumenisity的內在結構，其HCF更安全，也能偵測入侵活動。此外，因為減少了光纖非線性（nonlinearity）、頻譜更寬，因此網路成本更低、頻寬更大、品質更提升。最後，它訊號耗損超低，可以更長距離傳送而無需轉發器（repeater）。</p> <p>微軟指出，Lumenisity的收購案可擴大微軟最佳化全球雲端基礎架構，並服務微軟雲端平臺和服務的客戶，同時滿足更嚴格的延遲性和安全要求，嘉惠健康照護、金融服務、製造、零售和政府等產業客戶，因為這些客戶相當仰賴高速傳輸、安全及大容量通訊的資料中心。</p> <p>透過這樁交易，微軟計畫利用整合Lumenisity的技術和團隊加速網路和基礎架構的創新。</p> <p>微軟這樁收購並不令人意外，近年為了強化其Azure部門扮演雲端資料中心及代管5G基礎架構的實力，<a href="https://www.ithome.com.tw/news/145377" target="_blank">微軟去年7月買下</a>AT &T 5G行動通訊網路的工程部門和技術。微軟也和<a href="https://www.ithome.com.tw/news/153074" target="_blank">衛星連網服務公司Space X</a>、SES、<a href="https://www.ithome.com.tw/news/146920" target="_blank">和碩</a>合作，以提供衛星網路、5G專網給Azure資料中心及雲端服務企業客戶。</p> </div></div></div>
2022/12/14 11:36作者林妍溱https://www.ithome.com.tw/news/154697
AWS修補了可被用以發動DoS、資料外洩的容器映像檔服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lightspin.io/aws-ecr-public-vulnerability" target="_blank">安全廠商發現</a>AWS容器服務一項元件的重大漏洞，可被用來發動阻斷服務（DoS）、外洩資料、網路橫向移動等多種型態攻擊。AWS已經在上個月將之修補。</p> <p>AWS容器登錄檔（Amazon Elastic Container Registry，ECR）是AWS的受管Docker容器登錄檔，可供開發人員存放、共享及部署容器映像。ECR Public是開放給外部人士共享的映像檔儲存庫，其中Public Gallery則是一個公共入口網站，列出所有代管在ECR Public的公開儲存庫。許多知名公司和專案、服務像是NGINX、Ubuntu、Amazon Linux、HashCorp Consul都在此發佈映像檔給外部使用者。</p> <p>安全廠商Lightspin在ECR Public Gallery的主要JavaScript檔案中發現一組未記載的API actions，可用來新增、刪除、變更容器映像檔。這些API actions雖然未記載，卻是有效的，這意謂著可為找到這些API的人所用。研究人員指出，此一漏洞可讓攻擊者刪除其他AWS帳號名下的ECR映像檔，或上傳、新增惡意映像檔，進而發動阻斷服務、資料外洩、網路橫向移動、權限擴張、資料破壞和其他多變量攻擊路徑。</p> <p>研究人員在一次概念驗證（PoC）中，成功撰寫了一個Python腳本程式呼叫其中一個API action，並刪除測試用ECR Public上儲存庫的映像檔。</p> <p>安全廠商於11月15日向AWS通報這項漏洞，這家雲端大廠隔日就修補了漏洞。</p> </div></div></div>
2022/12/14 11:58作者林妍溱https://www.ithome.com.tw/news/154698
Meta開源匿名憑證服務ACS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta向社群開源了<a href="https://engineering.fb.com/2022/12/12/security/anonymous-credential-service-acs-open-source/">匿名憑證服務（Anonymous Credential Service，ACS）</a>，這是一個高可用的多租戶服務，供客戶端能夠以去識別化的方式，進行使用者身分驗證。</p> <p>ACS可以應用的情境有很多，Meta以自家的日誌紀錄應用來解釋開發ACS的原因。Meta在日誌紀錄實施資料最小化精神，僅收集支援服務所需要的最少資料，目標是要在提高用戶體驗的同時，收集和使用更少的資料。</p> <p>在Meta大多數日誌紀錄用例中，用戶身分並非必要，因此需要從日誌紀錄資料中排除，官方提到，移除身分驗證是刪除可辨識碼的一種方法，但是這樣卻會使系統容易受到包括資料注入等攻擊。為此Meta建立了一個更好的去識別身分驗證方法ACS，從高層次來看，ACS透過將身分驗證分為權杖發行和權杖兌換（Token Redemption）兩個階段，來進行去識別化身分驗證。</p> <p>在權杖發行階段，客戶端透過身分驗證的通道聯繫伺服器發送權杖，伺服器會簽署權杖並將其送回，接著去識別化身分驗證，也就是權杖兌換階段，客戶端使用去識別化通道提交資料，並使用權杖的變異形式，而非以用戶ID進行身分驗證。</p> <p>匿名憑證協定建立在VOPRF（Verifiable Oblivious Pseudorandom Function）和盲簽名技術之上。以日誌紀錄為例，Meta將工作流程拆分成兩個步驟解決日誌去識別化的問題，首先客戶端會經過身分驗證，連線到伺服器進一步獲得匿名憑證，之後每當客戶端需要上傳日誌的時候，便會連同匿名憑證和日誌，一起發送到伺服器未經身分驗證的連接中，而匿名憑證便用做客戶端真實性的證明。</p> <p>Meta解釋，之所以這個協定有效，是因為業務資料和身分驗證資料分離，業務資料使用非盲權杖發送，而身分資料則使用盲權杖發送。不過權杖發行和權杖兌換不會同時發生，客戶端可以將權杖儲存數小時甚至數天，當客戶端想要紀錄資料卻沒有權杖，可以獲取權杖並且立刻進行兌換，只不過這兩步驟會在單獨的請求中，避免任何人可從資料中推斷出使用者身分。</p> <p>但要將匿名憑證用於現實的大規模系統仍需要解決一些挑戰，第一是權杖兌換的計數，在理想情況，一個憑證應該只能兌換一次，但是在實作中，由於要減少伺服器負擔，Meta接受多次兌換憑證，Meta使用安全的計數服務來限制權杖兌換次數。</p> <p>另外，匿名憑證協議需要一個金鑰對，伺服器使用金鑰對權杖進行簽章，以便驗證兌換請求，客戶端則需要一個對應的公鑰來解鎖權杖，Meta提到，金鑰輪換對於ACS來說非常重要，這能夠減輕萬一使用者在獲得憑證才遭竊產生的影響。</p> <p>Meta在ACS儲存庫釋出了一個可擴充C函式庫，其主要元件包括VOPRF協定，用於客戶端權杖盲化、非盲化，以及生成用於權杖兌換的共享秘密。ACS儲存庫還有屬性金鑰衍生函式、離散日誌證明，Meta還用C++實作了用於演示的伺服器和客戶端程式。</p> </div></div></div>
2022/12/14 11:06作者李建興https://www.ithome.com.tw/news/154695
JetBrains針對測試自動化推出整合開發環境Aqua
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Kotlin的開發商Jetbrains推出新的開發工具<a href="https://blog.jetbrains.com/qa/2022/11/introducing-aqua-a-powerful-ide-for-test-automation-by-jetbrains/">Aqua</a>，這是一款功能強大的測試自動化IDE，官方提到，Aqua提供許多不同於當前JetBrains產品的獨特功能，Aqua囊括了測試自動化工程師日常所需要的所有工具，包括多語言IDE，支援JVM、Python和JavaScript等，還有HTTP客戶端、資料庫管理功能、Docker支援和UI自動化網頁檢視器等。</p> <p>JetBrains Aqua為一個能夠理解Java、Kotlin、Python、JavaScript、TypeScript和SQL等語言的IDE，即時檢查程式碼的品質和有效性，當發現問題，Aqua將提供建議操作協助用戶解決問題。</p> <p>Aqua具有與其他JetBrains IDE類似的功能，像是用戶可以透過點擊燈泡圖示，呼叫上下文操作，獲得程式碼完成、錯誤偵測和即時程式碼修復功能。開發者也能夠使用智慧搜尋功能，跳轉到任意的類別、檔案、函式和工具視窗，同時，Aqua的智慧功能能夠協助開發者安全地重新命名、刪除、擷取方法、引入變數或是執行其他重構操作。</p> <p>在Aqua中，開發者可以利用程式助理以及GUI測試程式，創建和執行程式碼測試，在Aqua中，用戶可以使用JUnit、TestNG、Pytest、Jest、Mocha和其他熱門框架，編寫、執行和除錯單元測試，並在IDE查看測試結果，以樹狀結構檢視並且簡單地導覽至測試來源。</p> <p>Aqua的特點在於提供許多自動化導引，IDE將有新建專案精靈，供開發者方便地替JVM堆疊產生新的UI測試專案，並在新建專案精靈中指定JDK、建置工具和測試執行工具。Aqua也支援Selenium API和Selenide，針對Selenium API中所使用的CSS、XPath和JavaScript程式碼片段，進行程式碼分析。</p> <p>嵌入式的網頁檢視器讓用戶在Aqua中查看網頁應用程式，並且捕捉自動化測試所需要的頁面元素，Aqua會替網頁上選定的元素，生成唯一的CSS或XPath定位器，並且將其添加到程式碼中，方便用戶建構測試程式。</p> <p>在開發發送和接受HTTP請求的網頁服務時，開發者便可以用上Aqua內建的HTTP客戶端，簡單創建和編輯請求，獲得程式碼完成、突出顯示和重構等協助。Aqua能夠存取Docker容器，供用戶執行和測試容器，並且下載和建置映像檔，或是執行多容器應用程式。</p> <p>而Aqua強大的資料庫支援，讓開發者不需要安裝其他工具準備應用程式資料，可以直接從IDE處理包括Oracle、SQL Server、PostgreSQL和MySQL等資料庫，以及開發SQL腳本和低階資料斷言（Assertion），Aqua提供即時資料庫連接、查詢、匯出資料，用戶能在視覺化介面直接管理資料庫架構。</p> <p>另外，Aqua還能夠連接外部測試管理系統，諸如TestRail等，使得測試方便從IDE存取，而且實驗性支援本地測試管理系統，允許分支、版本控制、審查，並且更好地進行自動化測試整合。</p> </div></div></div>
2022/12/13 22:05作者李建興https://www.ithome.com.tw/news/154696
【資安日報】2022年12月13日，車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Py…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>車輛共享業者Uber再度傳出資料外洩事故，但與過往不同的是，這次並非該公司本身遭到攻擊，而是他們的IT資產管理軟體的供應商成為目標，使得Uber、Uber Eats受到牽連。</p> <p>有後門程式針對VMware虛擬化平臺下手，並利用已知漏洞入侵，值得留意的是，該後門程式其實也能用於攻擊其他執行Linux作業系統的電腦。</p> <p>提供網路應用程式系統防護的應用程式防火牆（WAF），竟然出現了能被用於SQL注入的漏洞，而且，至少有5家知名的解決方案都存在相關漏洞（Palo Alto Networks、AWS、Cloudflare、F5、Imperva）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/uber-suffers-new-data-breach-after-attack-on-vendor-info-leaked-online/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">車輛共享業者Uber再傳資料外洩，起因是第三方供應商遭駭</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-uber.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-uber.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為UberLeak的人士於駭客論壇聲稱，他們從車輛共享業者Uber與外送平臺Uber Eats竊得內部機密，主要是行動裝置管理平臺（MDM）的資料，以及第三方供應商服務有關的原始碼檔案，該名人士亦特別提及先前曾對Uber下手的駭客組織Lapsus$成員。該新聞網站指出，UberLeak流出的資料包含程式原始碼、IT資產管理報告、資料銷毀報告、網域登入名稱等內部資料，其中一個檔案內有7.7萬名員工的電子郵件信箱及AD資料。</p> <p>對此，Uber透露，此起事件與<a href="https://www.teqtivity.com/breach-notification-statement/">IT資產管理軟體供應商Teqtivity的資料外洩事故</a>有關，駭客竊得此軟體業者的AWS備份伺服器權限，進而存取該公司客戶的檔案，但並非Lapsus$所為。</p> <h3><a href="https://blogs.juniper.net/en-us/threat-research/a-custom-python-backdoor-for-vmware-esxi-servers" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware ESXi伺服器遭到Python後門程式鎖定</span></strong></a></h3> <p>資安業者Juniper Network於今年10月發現以Python打造的後門程式，該惡意軟體藉由已知漏洞CVE-2019-5544、CVE-2020-3992，攻擊VMware虛擬化平臺ESXi，研究人員指出，雖然此後門程式也能用於攻擊其他Linux電腦，但有跡象顯示主要目標是ESXi──駭客設置了/store/packages/vmtools.py的Python指令碼，而這是存放VMware Tools的資料夾路徑，且該指令碼開頭有VMware的版權聲明。</p> <p>攻擊者一旦執行此Python後門程式，將會啟動網頁伺服器，而能讓攻擊者從遠端發出POST請求，啟動反向Shell或是下達其他命令。</p> <h3><a href="https://www.websiteplanet.com/blog/vevor-breach-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路商店Vevor資料庫配置不當，逾600 GB資料公開</span></strong></a></h3> <p>在今年4月與7月，架站教學網站Website Planet的研究團隊與資安人員Jeremiah Fowler合作發現一家網路電商業者的大量資料暴露。出事的業者是DIY工具網路商店Vevor，由於他們使用的AWS資料庫服務，居然未使用密碼來進行保護，導致大量資料暴露在網路上。根據上述團隊的第一次發現，Vevor曝露了逾400 GB、7億個檔案，第二次再查看時，暴露資料量逾600 GB、11億個檔案。</p> <p>研究人員指出，該資料庫內含大量的電子郵件、1290萬筆客戶資料、Vevor的網路環境架構，以及管理者的帳密等，任何使用者只要透過瀏覽器就能存取，甚至編輯、下載，或刪除資料。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-attack-on-belgium-city-of-antwerp/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play聲稱是比利時安特衛普市事故的攻擊者</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FjvxLjlVsAAn6q9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FjvxLjlVsAAn6q9.jpg" style="width: 300px; float: right;" /></a>比利時安特衛普市的IT系統、電子郵件、電話服務，約於12月5日開始發生中斷的現象，迄今仍尚未恢復，原因是專門管理市政府IT系統的業者Digipolis遭到勒索軟體攻擊，但攻擊者的身分為何？資安業者Emsisoft的研究人員指出，勒索軟體Play於11日聲稱從安特衛普市竊得557 GB資料，並要脅市政府必須在19日之前支付贖金，否則他們將會公布手上的資料。這些竊得的資料包含了個資、護照、身分證、財務文件等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://claroty.com/team82/research/js-on-security-off-abusing-json-based-sql-to-bypass-waf" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用JSON格式的SQL指令繞過應用程式防火牆的攻擊手法</span></strong></a></h3> <p>資安業者Claroty調查Cambium Networks無線設備管理平臺的過程中，發現了管理伺服器漏洞cnMaestro，後續研究這家廠商架設於AWS的代管服務，結果又找出可攻陷AWS應用程式防火牆（WAF）的方法，Claroty在此主要是利用WAF無法識別JSON的格式語法來下達SQL指令，成功發動SQL注入攻擊。</p> <p>研究人員後來也針對其他WAF產品進行測試，發現類似的漏洞也存在於Palo Alto Networks、Cloudflare、F5、Imperva旗下的WAF，上述5家供應商獲報後皆完成修補。研究人員指出，由於大部分WAF普遍無法解析JSON，上述的漏洞也可能出現在其他廠牌的WAF。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/fortinet-says-ssl-vpn-pre-auth-rce-bug-is-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet於11月底修補的SSL VPN系統漏洞，本週發出資安通告，原因是已出現攻擊行動</span></strong></a></h3> <p>資安業者<a href="https://www.fortiguard.com/psirt/FG-IR-22-398">Fortinet於12月12日發布資安通告</a>，該公司旗下的FortiOS SSL VPN重大漏洞CVE-2022-42475已出現攻擊行動。此漏洞存在於sslvpnd模組，為記憶體緩衝區溢位造成，一旦遭到利用，未經身分驗證的使用者就能遠端癱瘓SSL VPN設備，或是執行任意程式碼，CVSS風險評分為9.3分。</p> <p>然而，在此之前已有資安業者提出警告。<a href="https://www.lemagit.fr/actualites/252528257/VPN-SSL-nouvelle-vulnerabilite-critique-inedite-chez-Fortinet">法國新聞網站LeMagIT指出</a>，資安業者Olympe Cyberdefense早於9日揭露上述漏洞，並呼籲Fortinet用戶留意事件記錄是否出現可疑活動，並在修補程式推出後儘速部署。資安新聞網站Bleeping Computer發現，Fortinet早於11月28日悄悄修補CVE-2022-42475，但並未提及已出現攻擊行動的情況，後來於12月7日向客戶私下通報有關細節。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154683"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare免費提供零信任解決方案供高風險組織運用</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154677"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google於正式版Chrome提供無密碼登入機制Passkey</span></span></strong></a></p> <p><a href="https://blog.phylum.io/phylum-detects-active-typosquatting-campaign-in-pypi"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Go語言開發的勒索軟體假冒PyPI、NPM套件向開發人員勒索</span></span></strong></a></p> <p><a href="https://www.galesburg.com/story/news/local/2022/12/09/notorious-ransomware-group-claims-credit-for-knox-college-disruptions/69712979007/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國諾克斯學院遭到勒索軟體Hive攻擊</span></span></strong></a></p> <p><a href="https://www.abc.net.au/news/2022-12-13/north-korean-cyber-spies-new-tactic-tricking-foreign-experts/101763756"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Thallium疑假借尋求專家撰寫報告的名義收集情報</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> </div></div></div>
2022/12/13 18:06作者周峻佑https://www.ithome.com.tw/news/154694
微軟將取得倫敦證交所的4%股權，雙方達成10年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/12/11/empowering-the-future-of-financial-markets-with-london-stock-exchange-group/" target="_blank">微軟與倫敦證券交易所集團（London Stock Exchange Group，LSEG）周一（12/12）宣布長達10年的策略合作協議</a>，雙方不僅將共同開發新一代的資料、分析及雲端基礎設施解決方案，微軟也將取得LSEG的4%股權，且負責雲端與AI的微軟副總裁Scott Guthrie可望被任命為LSEG的非執行董事。</p> <p>微軟與LSEG的合作，主要奠基在LSEG在2019年以270億美元所買下的Refinitiv，Refinitiv為金融市場資料與基礎設施供應商，現於全球190個國家提供金融市場的資料分析服務，其金融機構客戶超過4萬家，雙方將力推Refinitiv的資料及分析流程解決方案Workspace。</p> <p><a href="https://www.lseg.com/en/media-centre/press-releases/2022/lseg-and-microsoft-launch-strategic-partnership" target="_blank">根據雙方的協議</a>，LSEG將把資料平臺與其它的關鍵科技基礎設施遷移到微軟的Azure雲端環境上；Refinitiv的Workspace將能與Teams與Microsoft 365等特定的微軟應用互動；雙方亦同意將共同開發基於雲端的數位市場基礎設施，目標是改變市場參與者與資本市場互動的方式。</p> <p>微軟估計，此一合作案所帶來的市場機會，將替微軟於未來10年帶進50億美元的額外營收，其中有28億美元來自於LSEG所承諾的最低支出。對於LSEG而言，發揮及擴大Refinitiv的能力也可緩解大舉併購Refinitiv所招致的回報壓力，LSEG指出，該集團的收入可望隨著此一合作的時間推移而增加，且雙方將共同投入Workspace的規畫與研發。</p> <p>此外，微軟將藉由與Blackstone/Thomson Reuters Consortium交易，取得LSEG的4%股權，微軟副總裁Scott Guthrie亦將進入LSEG董事會，擔任負責監督的非執行董事。</p> <p><a href="https://www.ft.com/content/2e613f60-fc0d-48dc-a0ef-b9a7fff06363" target="_blank">LSEG執行長David Schwimmer向英國《金融時報》（Financial Times）解釋</a>，此一協議不只是把LSEG的資產轉至雲端這麼簡單，而更像是一個重要的策略聯盟，雙方將會共同建置產品並一起進入市場。</p> </div></div></div>
2022/12/13 16:38作者陳曉莉https://www.ithome.com.tw/news/154682
Cloudflare向非營利組織提供零信任安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/cloudflare-zero-trust-for-galileo-and-athenian/">Cloudflare宣布</a>Galileo以及Athenian兩專案使用者，現在都可以獲得免費的Cloudflare One Zero Trust套件防護，抵禦網路釣魚攻擊並獲得安全通道連接服務。Cloudflare One為零信任安全和連接解決方案，受Cloudflare超過1萬名用戶採用以保護其組織資料。</p> <p>Galileo和Athenian專案是Cloudflare提供給非營利組織與公益團體的安全專案，Galileo專案的目標是要維護美國選舉公平性，增加州和地方選舉網站的安全性和效能，而Athenian專案則是對高風險網站提供網路安全保護，從事藝術、人權、公民社會、新聞工作或是民主工作的組織，都可以申請Athenian專案獲得Cloudflare的網路安全保護。</p> <p>官方表示，這些組織面臨與大型公司相同的安全挑戰，包括惡意攻擊者透過網路釣魚攻擊，試圖破壞用戶憑證以及關鍵資源，但因為這些組織缺乏預算，無法部署大型企業用以抵禦威脅的安全工具。</p> <p>現在Cloudflare擴大Galileo和Athenian專案使用者的網路安全防護能力，提供Cloudflare One，以解決團隊常見的安全問題，抵禦範圍更廣泛且日益增加的攻擊。Cloudflare One中所包含的Area 1是網路釣魚防禦工具，該工具會掃描組織的電子郵件，以偵測潛在的網路釣魚活動和其他類型攻擊。</p> <p>Galileo和Athenian專案用戶皆能夠免費使用Area 1，官方提到，Area 1的部署只需要幾分鐘修改DNS紀錄的時間，就可以開始保護Microsoft 365和Gmail等各種電子郵件。雖然部分電子郵件可能會逃避偵測，或是網路釣魚連結會從其他管道傳遞，但即便用戶不小心點擊了惡意連結，透過Cloudflare DNS解析器1.1.1.1，也能即時攔截這些查詢，攔截惡意目標載入。</p> <p>Cloudflare One支援組織的遠端工作，使遠端成員依然可以存取組織內部工具，同時組織也能準確控制，可以存取應用程式和服務的成員，而需要傳統專用網路的組織，可以在用戶端點上部署裝置客戶端WARP，透過Cloudflare Tunnel和Cloudflare的全球網路建立出站連接。</p> <p>除了網路釣魚攻擊之外，組織還面臨許多來自惡意攻擊者的威脅，包括隱藏在下載檔案中的惡意軟體，且當研究人員和記者在不受信任的來源探索特定主題時，可能連帶把勒索軟體帶回組織，或是透過飯店等不安全Wi-Fi網路連接網際網路，成員可能因洩漏DNS查詢而受到監控。</p> <p>Cloudflare One提供了一個加密且安全的網際網路入口，使得用戶能夠獲得私密網際網路連接，並過濾隱藏威脅。當用戶連線到惡意目標時，Cloudflare One將阻擋頁面，同時還會掃描用戶欲下載的惡意軟體，阻擋用戶開啟。</p> </div></div></div>
2022/12/13 16:50作者李建興https://www.ithome.com.tw/news/154683
中國要求Deepfake影片需加明顯標示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/12/12/china_deep_synthesis_deepfake_regulation/" target="_blank">中國國家互聯網信息辦公室本周發布</a>Deepfake人工智慧合成影片服務的管理法規，將要求業者應在合作的Deepfake影片提供明顯標識，避免Deepfake影片用於非法行為，此外也應主動審查客戶內容以避免散布假新聞。</p> <p>中國網信辦是在11月初通過《互聯網資訊服務深度合成管理規定》規定。深度合成服務指的是提供工具產製AI合成模仿知名人物影片（或稱deepfake影片）的服務業者。</p> <p>網信辦這項法令旨在明訂深度合成數據和技術管理規範，防止有人利用深度合成服務從事危害國家安全和利益、擾亂社會經濟秩序。中國政府要求業者應擔任資訊安全主體，建立使用者註冊、定期審核演算法、發布審核資訊、確保用戶個資保護、防範電信網路詐騙，並具備安全技術措施。</p> <p>較重要的一點是，法規要求，4類深度合成服務業者應在生成或編輯的內容特定位置加上顯著標識，以避免公眾遭到混淆或誤導。這4類包括AI對話、智能寫作等生成文本的服務；合成人聲、仿人聲及顯著改變個人身份的服務；人臉生成、替換、人臉操控及姿態操控、影片生成的服務；沈浸式擬真場景等生成或編輯服務等，以及其他類。而且任何組織或個人不得以技術手段刪除、隱藏或竄改這些標識。</p> <p>法規要求，業者和使用者不得使用深度合成服務製作或發布、散布假新聞，轉載深度合成服務發布的新聞，應同時轉載官方新聞稿源。而深度合成服務業者也應加強內容管理，對使用者輸入的資料和合成結果進行技術或人工審查，一旦發現違法和不良訊息，應立即向主管當局通報，並對使用者發布警告或限制功能、暫停服務或關帳號等措施。</p> <p>這項法規在12月11日公布後，將在2023年1月10日起上路。</p> </div></div></div>
2022/12/13 12:48作者林妍溱https://www.ithome.com.tw/news/154680
FTX創辦人SBF遭巴哈馬警方逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/latraelrahming/status/1602468030742757376" target="_blank">巴哈馬警方於本周一（12/12）逮捕了</a>FTX共同創辦人Sam Bankman-Fried（SBF），並準備將他引渡回美國。</p> <p><a href="https://twitter.com/latraelrahming/status/1602446687712473088" target="_blank">巴哈馬法務部長Ryan Pinder表示</a>，該國是收到美國的正式通知，顯示SBF面臨美國刑事指控，可能會要求引渡。此外，巴哈馬總理Philip Davis亦說，巴哈馬及美國在追究與FTX相關事件的個人責任上享有共同利益，在美國對SBF提出刑事訴訟的同時，巴拿馬也會繼續調查FTX，並繼續與美國及其它國家合作。</p> <p><a href="https://twitter.com/SDNYnews/status/1602451395910803457" target="_blank">美國紐約南區檢察官Damian Williams則證實</a>了巴哈馬政府的說法，還說很快就會公布對SBF的起訴書。<a href="https://www.nytimes.com/2022/12/12/business/ftx-sam-bankman-fried-bahamas.html" target="_blank">《紐約時報》（New York Times）</a>引用消息來源指出，SBF被控電信詐欺、證券詐欺及洗錢等罪名。</p> <p>不過，<a href="https://storage.courtlistener.com/recap/gov.uscourts.deb.188450/gov.uscourts.deb.188450.203.0.pdf" target="_blank">FTX也在周一控告</a>巴哈馬政府，宣稱該國政府與SBF聯手，將FTX資產轉移到由巴哈馬控管的加密貨幣錢包中。當時FTX資產忽然被大量移出，外界一度以為該平臺遭到駭客入侵，但隨後巴哈馬證券委員會證實，該機構是在取得法院的命令之後，率先將FTX的數位資產移至該機構的錢包以進行妥善的保管。</p> <p>另一方面，在FTX聲請破產保護之後接掌FTX執行長的John Ray III，將於今天（12/13）向美國眾議院的金融服務委員會報告他梳理FTX的心得，<a href="https://financialservices.house.gov/uploadedfiles/hhrg-117-ba00-wstate-rayj-20221213.pdf" target="_blank">根據先行公開的文字內容</a>，他說在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p><a href="https://www.ithome.com.tw/news/154305" target="_blank">Ray早就說</a>這輩子從未看過有如FTX般混亂的企業內控，他在此一文件中提出的具體例子還包括儲存客戶資產的系統或金鑰缺乏安全控制，缺乏財務及風險管理人員，以及整個集團缺乏獨立治理能力等。</p> </div></div></div>
2022/12/13 13:12作者陳曉莉https://www.ithome.com.tw/news/154681
DeepMind新AI模型能共寫電影、劇場腳本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/DeepMind/status/1601237890708537344" target="_blank">Google的AI業務部門DeepMind本周介紹最新AI語言模型Dramatron</a>，可和使用者合作共同撰寫電影或劇場腳本，還能創造人物和對話。</p> <p>Dramatron為互動式共同創作AI工具，可和作者一起創作新故事，並加上故事標題、人物、地點描述和對話。它是由DeepMind研究人員和史丹佛大學科學家合作而成。</p> <p><a href="https://github.com/deepmind/dramatron" target="_blank">根據DeepMind介紹</a>，Dramatron是利用現有預訓練的大型語言模型（large language model，LLM）Chinchilla產生一致性的長篇文字，它可協助共同創作劇場或電影劇本。Dramatron使用階層式方法生成故事，以便全篇文字之間有一致性。Dramatron使用上先輸入劇本綱要，之後就能和人互動，產生角色、情節點、地點描述和對話。產生的劇本可提供素材，供作編纂、編輯和改寫。</p> <p><a href="https://arxiv.org/pdf/2209.14958.pdf" target="_blank">DeepMind的論文說明</a>，Chinchilla擁有700億個參數的神經網路，使用6億多網頁文件、數百萬本書籍、數十億則新聞報導及142萬行GitHub程式碼及600萬維基百科文件訓練而成。</p> <p>Dramatron可被當作撰寫工具及靈感來源，也能讓作者任意地「玩」。之後DeepMind邀請15位劇作家、編輯和演員使用Dramatron測試及創作。其中加拿大公司Rapid Fire Theatre根據和AI模型共同創作的劇場腳本，實際搬上舞台表演獲得正面迴響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1213-Dramatron-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DeepMind</span></span></p> <p>不過研究小組也表示，Dramatron產出的內文，可能包含用以訓練模型的文字。解決方法之一是人類作者從成品中搜尋子字串（substring），以避免剽竊問題。此外，它可能重製訓練文字的偏見和刻板印象，甚至產生具冒犯性的文字。避免方法是使用Google和第三方業者合作的免費機器學習<a href="https://perspectiveapi.com/" target="_blank">Perspective API</a>來評估成品文字的「有毒分數」，並根據分析過濾掉。</p> <p><a href="https://github.com/deepmind/dramatron/blob/main/CONTRIBUTING.md" target="_blank">DeepMind也邀請</a>開發人員加入Dramatron的貢獻開發。</p> </div></div></div>
2022/12/13 12:03作者林妍溱https://www.ithome.com.tw/news/154678
Google Chrome M108穩定版支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼10月Canary版支援無密碼登入技術通行密鑰（Passkey），<a href="https://blog.chromium.org/2022/12/introducing-passkeys-in-chrome.html" target="_blank">Google上周宣布</a>Chrome穩定版M108也正式加入支援。</p> <p>通行密鑰是一組儲存在裝置中的獨立數位身分，是取代密碼的新選擇。在登入支援的網站或App時，通行密鑰結合裝置上的生物辨識特徵產生的安全程式碼和網站、App交換進行驗證即可完成，不必記憶密碼。</p> <p>通行密鑰另一好處是沒有外洩問題。每次產生的通行密鑰程式碼無法重覆使用，且由於它並非儲存在伺服器端，因而不用擔心伺服器被駭而外流。</p> <p>最新版Chrome M108穩定版包括Windows 11、macOS和Android版將會支援通行密鑰。在現有Android版本Chrome M108上，通行密鑰可透過Google密碼管理員同步，未來Android版本則可以使用其他支援的密碼管理員如1Password或Dashlane同步。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/B8WvaZF5QApI926gpV-sSemO8y3k3OKU1McZjtBZ7A_O2PlQ9tfozPEy5sk8tH5_2sblKwXo3HTPq9gD3oy6mfvyc_Ixx5jwQ-PsB4tOAfGt1zkJ9ywg1kbQdSP5uk1BXZlBVK7CzFaa6BV6WeoJJCa8Sthmv210Y8HKEdrZSovjwXwfvcs0eLYvFKI2PMY" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>從Chrome M108起，使用者也可以在Windows或macOS版Chrome上管理通行密鑰。</p> <p>Google說明，通行密鑰以產業標準WebAuthn為基礎打造，可運行在不同作業系統和瀏覽器上，可方便用於網站和App。在桌機上欲登入時，使用者也可選擇以附近Android或iOS等行動裝置的通行密鑰登入。</p> <p>Google小組說明，該公司和微軟、蘋果及W3C、FIDO聯盟多年來積極推動WebAuthn標準化，Chrome穩定版支援無密碼登入是一大里程碑，但還有一段路要走；iOS和Chrome OS版本的Chrome瀏覽器使用通行密鑰目前仍在努力中。</p> </div></div></div>
2022/12/13 11:18作者林妍溱https://www.ithome.com.tw/news/154677
Kubernetes 1.26穩定支援Windows特權容器並棄用CRI v1alpha2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kubernetes.io/docs/tasks/configure-pod-container/create-hostprocess-pod/">Kubernetes開發團隊發布最新1.26版本</a>，這版本主要新功能，包括容器映像檔註冊表變更、容器執行時介面（Container Runtime Interface，CRI）支援更新，以及穩定支援Windows特權容器等。</p> <p>在之前的版本，Kubernetes改變容器註冊表，使負載能夠分散到多個雲端供應商和區域，這個變化減少了對單一實體的依賴，使大量用戶能夠更快地下載容器映像檔。而官方現在將註冊表k8s.gcr.io移動到了registry.k8s.io，Kubernetes 1.26則是在registry.k8s.io發布的第一個版本，registry.k8s.io將不會發布Kubernetes 1.26以後的容器映像檔標籤，但會繼續更新之前舊版本標籤。</p> <p>由於Kubernetes對CRI的採用，以及在Kubernetes 1.24移除dockershim，因此CRI是Kubernetes目前唯一受支援與不同容器Runtime互動的方法，Kubelet需要和節點容器Runtime溝通想要使用的CRI版本。在之前的版本，雖然Kubernetes推薦使用CRI v1版本，但是Kubelet仍然可以協商使用CRI v1alpha2，而目前這個版本已經被棄用。</p> <p>Kubernetes 1.26已經不再支援CRI v1alpha2，因此當容器Runtime不支援CRI v1，則將導致Kubelet無法註冊節點，官方提到，這代表Kubernetes 1.26不支援containerd 1.5以及之前版本，因此如果用戶想使用containerd，就需要先更新到containerd 1.6.0或更高版本，再將節點升級到Kubernetes 1.26。</p> <p>在Kubernetes 1.26，用戶也能夠在Windows上穩定執行特權容器，特權容器是指容器能以類似主機程序的主機權限運作。在Windows節點這項功能稱為HostProcess容器，現在已經升級到了穩定版本，允許特權容器存取包括網路等主機資源。</p> <p>Windows HostProcess供用戶在Windows主機上執行容器化工作負載，微軟解釋，這些容器以一般的程序運作，但是在給予適當使用者特權時，能夠存取主機網路名稱空間、儲存和裝置等。HostProcess容器能夠讓用戶在Windows上部署網路擴充套件、裝置擴充套件、kube-proxy等元件，但不需要專用代理或直接安裝主機服務。</p> </div></div></div>
2022/12/13 07:45作者李建興https://www.ithome.com.tw/news/154663
VS Code 1.74更新CLI強化遠端開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布整合開發環境<a href="https://code.visualstudio.com/updates/v1_74#_remote-development">VS Code 11月更新版本</a>，這個版本有一個重要的遠端開發預覽功能—遠端通道（Remote Tunnels），遠端通道讓開發者可以安全地從任意裝置，以VS Code存取自己的機器，只要開發者開啟遠端通道功能，就能夠使用包括vscode.dev，或是VS Code桌面的遠端通道擴充套件進行遠端開發。</p> <p>VS Code的核心是一個程式碼編輯器，透過加入遠端開發功能，並與其他環境整合，將可使VS Code功能更加強大且靈活。VS Code中原本就內建命令列介面工具，讓開發者可以控制編輯器啟動和管理，透過命令列選項就能打開檔案、安裝擴充套件，甚至是輸出診斷資訊。</p> <p>微軟提到，雖然CLI在VS Code桌面工作流程非常有用，但是存在一個巨大的缺陷，就是無法用來啟動遠端實例。現在微軟強化這個程式碼CLI工具，使得開發者可以啟動VS Code，並且以VS Code桌面和vscode.dev遠端連接機器。</p> <p>VS Code 1.74包含的這個新CLI，用戶也可以選擇獨立安裝，因此即便無法在裝置上安裝VS Code桌面，也能夠用CLI創建到任何電腦的安全連線。官方提到，用戶不需要設定SSH或是HTTPS，就可以使用安全通道從VS Code桌面和網頁客戶端，對選擇的機器開始開發工作。</p> <p>另外，微軟也調整了相關擴充套件的命名，包括Remote-WSL和Remote-Containers。微軟原本使用的Remote代表著遠端和獨立的意思，與本地端意思相反，但官方提到，因為這和不少用戶的Remote用法不同，因此容易會產生「開發容器是在我的本地端機器嗎？」這類困惑。</p> <p>微軟現在更新了擴充套件產品用語和指令，使其更加清楚，並將兩個擴充套件更名為WSL和Dev Containers，因此在這個新的遠端通道功能，微軟將原本擴充套件名稱Remote Server更改成Remote Tunnels，以表示在不需要SSH的況下，透過安全通道連接到遠端電腦的行為。</p> </div></div></div>
2022/12/13 07:49作者李建興https://www.ithome.com.tw/news/154673
微軟發布高效能檔案搬遷新工具Azure Storage Mover
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了微軟在2月發布的Azure檔案搬遷計畫，讓用戶透過搬遷合作夥伴，執行搬遷工作之外，現在用戶還可以選擇使用<a href="https://azure.microsoft.com/zh-tw/blog/azure-storage-mover-a-managed-migration-service-for-azure-storage-2/">Azure Storage Mover</a>，以全託管混合搬遷服務將檔案和資料夾移動到Azure。</p> <p>目前Azure Storage Mover仍在預覽階段，提供用戶將本地網路檔案系統（NFS），共享給Azure Blob容器以進行搬遷，官方提到，接下來幾個月，Storage Mover會繼續增加額外搬遷來源和目標組合。</p> <p>Storage Mover讓用戶可以在Azure中控制搬遷計畫，並在準備完成後，從Azure Portal、PowerShell和CLI工具進行啟動和追蹤，這使得用戶可以將Storage Mover用於一次性搬遷，或是重複的資料移動。</p> <p>官方表示，在沒有協調服務的情況下，大規模複製工作不只耗時還容易出錯，而Storage Mover為一個具有搬遷代理程式的混合服務，用戶可以將代理部署在靠近資料來源儲存的地方，並在Azure同一處管理部署到全球各地的所有代理。</p> <p>Storage Mover有許多設計有助於提高搬遷效能，透過Azure Storage的REST協定，能夠快速移動資料，並且該服務明確分離管理路徑和資料路徑，而且每個代理都會將檔案和資料夾直接發送到Azure中的目標儲存。</p> <p>微軟解釋，直接將資料發送到目標，可以最佳化搬遷效能，因為資料不需要透過雲端服務，或是經過與部署目標儲存不同的Azure區域處理，這種最佳化對於跨地理位置的分公司辦公室資料搬遷尤其重要，因為這些分公司辦公室，可能會以其所在區域的Azure Storage為搬遷目標。</p> <p>微軟已經制定Storage Mover發展路線圖，除了將會支援更多的資料來源和儲存目標之外，也將會提供用戶更多的搬遷選項，自動將可能的來源載入到服務中，減少用戶在大規模搬遷時的手動輸入錯誤。</p> </div></div></div>
2022/12/13 07:51作者李建興https://www.ithome.com.tw/news/154676
【資安日報】2022年12月12日，數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防毒軟體與EDR系統有可能成為駭客破壞電腦資料的幫兇！有資安業者揭露微軟、趨勢科技、Avast、AVG、SentinelOne等廠牌的端點防護產品漏洞，其共通點是可被用來抹除電腦裡的資料。研究人員指出，有別於過往駭客使用的資料破壞軟體（Wiper），這種漏洞讓攻擊者無須取得高權限就能發動攻擊，且檔案更難復原。</p> <p>存在漏洞的SSL VPN系統也是駭客用於入侵組織的管道，<a href="https://www.ithome.com.tw/news/141261">過往有人收集Fortinet SSL VPN系統的IP位址並在暗網兜售</a>，但目前大量曝險的並非只有這個廠牌的設備，有資安業者公布Pulse Connect曝險的情況，值得留意的是，臺灣約有188臺VPN設備存在已知漏洞。</p> <p>惡意軟體轉換入侵管道並增加攻擊力道的情況也相當值得留意。駭客自今年8月改變散布惡意軟體TrueBot的手法，先是濫用特定的資產管理工具，但隔了2個月他們改用另一款惡意軟體進行攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://censys.io/pulse-connect-secure-a-view-from-the-internet/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4千個存在漏洞的Pulse Connect SSL VPN曝露於網路上，臺灣也有近200臺</span></strong></a></h3> <p>資安業者Censys揭露SSL VPN系統Pulse Connect曝險的情況，在全球可透過網際網路存取的30,266臺伺服器裡，有4,460臺存在40項已知漏洞，美國曝險的伺服器數量最多，有1,033臺，其次是日本的735臺。臺灣則有188臺曝露相關漏洞。</p> <p>研究人員指出，開發商Ivanti從2018年至2021年發布的資安通告裡，SA44784的問題最為嚴重，有1,841臺主機曝露相關漏洞，其中最嚴重的是身分驗證繞過漏洞CVE-2021-22893，攻擊者一旦利用，就有機會從遠端執行程式碼。</p> <h3><a href="https://blog.talosintelligence.com/breaking-the-silence-recent-truebot-activity/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體TrueBot藉由Netwrix Auditor漏洞與蠕蟲Raspberry Robin植入受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/raspberry-robin-truebot-new.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/raspberry-robin-truebot-new.png" style="width: 300px; float: right;" /></a>思科發現近期惡意軟體TrueBot的攻擊行動升溫，俄羅斯駭客組織Silence將其用於針對美國、墨西哥、巴西、巴基斯坦而來，最終目的是竊取機密資料，或是執行勒索軟體Clop。研究人員今年8月發現駭客的活動，他們利用資產管理工具Netwrix Auditor的RCE漏洞CVE-2022-31199，之後透過UAVRServer.exe處理程序觸發Bitsadmin，下載TrueBot並於受害電腦執行。</p> <p>到了10月，這些駭客擴大攻擊規模，改以蠕蟲程式Raspberry Robin做為TrueBot散布的途徑，進而形成了兩個TrueBot殭屍網路──前者由上千台電腦組成，這些電腦大多位於墨西哥、巴西、巴基斯坦，後者多半是Windows伺服器，且約有75%在美國。</p> <h3><a href="https://blog.jscrambler.com/defcon-skimming-a-new-batch-of-web-skimming-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾40個電商網站成Magecart攻擊行動的目標，起因是未移除已停止支援的外掛元件</span></strong></a></h3> <p>資安業者Jscrambler表示有人自2021年12月20日開始，接管了廢棄的網域，並將其用於Magecart攻擊行動，至少有40個電子商務網站受到影響（<a href="https://www.scmagazine.com/news/cybercrime/new-magecart-campaign-said-to-target-at-least-44-e-commerce-sites">新聞網站SC Magazine指出有超過44個</a>）。研究人員指出，被接管的網域曾代管JavaScript程式庫Cockpit（但該程式庫已於2014年12月停止發展），駭客找尋仍未移除該程式庫的網站下手，植入偽裝成Google Analytics的惡意程式碼，從中收集資料並傳送到位於俄羅斯的伺服器。</p> <p>研究人員提出警告，這些網站管理者未將已經停用的程式庫從網站刪除，而讓駭客有機可乘，主要原因還是大部分管理者難以管控網站的外掛元件所致。</p> <h3><a href="https://secureworks.com/blog/drokbk-malware-uses-github-as-dead-drop-resolver"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國組織遭伊朗駭客鎖定，透過GitHub散布惡意軟體Drokbk</span></strong></a></h3> <p>資安業者Secureworks揭露伊朗駭客組織Cobalt Mirage的攻擊行動，駭客運用名為Drokbk的惡意軟體，約自今年2月開始攻擊美國地方政府的網路，其入侵管道是運用兩個Log4Shell漏洞CVE-2021-44228、CVE-2021-45046，存取含有漏洞的VMware Horizon伺服器。</p> <p>研究人員指出，Drokbk為駭客提供了存取受害組織內部網路環境的管道，並具備如快速反向代理伺服器（FRP）、Ngrok等隧道工具（tunneling tool）功能，使得一般IT人員可能無法察覺該惡意軟體的行動。由於Drokbk會利用GitHub來尋找C2伺服器，因此，他們呼籲管理者，應檢查網路環境是否出現不尋常的GitHub API連線。</p> <h3><a href="https://www.skynews.com.au/australia-news/telstra-blames-database-misalignment-not-hacking-on-data-breach-after-details-of-132000-customers-publicly-exposed/news-story/846648046bf5cdfa711d0f2093de8ed1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲電信Telstra證實13萬用戶個資曝光，起因是配置不當</span></strong></a></h3> <p>根據澳洲新聞媒體Sky News於12月11日的報導，當地大型電信業者Telstra坦承因為資料庫配置不當，導致有13.2萬客戶的資料不慎遭到曝光，遭到公開的資料包含他們的姓名、地址、手機號碼。但為何會發生上述的資料庫配置不當的情況？該公司表示有待進一步調查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researcher-discovers-multiple-zero-day-vulnerabilities/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露數款防毒軟體與EDR的零時差漏洞，一旦攻擊者利用就有機會破壞電腦資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture4.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach的研究人員於BlackHat Europe大會上，揭露數款防毒軟體與EDR系統的零時差漏洞，這些漏洞可被用於打造更具威力的資料破壞軟體（Wiper），而能夠讓攻擊者在沒有取得特殊權限的情況下，利用上述的端點防護系統，將目標電腦的大部分檔案抹除，甚至無法開機。</p> <p>上述存在相關漏洞的解決方案包含了Microsoft Defender for Endpoint（CVE-2022-37971）、趨勢科技Apex One（CVE-2022-45797）、Avast Antivirus與AVG Antivirus（CVE-2022-4173），以及SentinelOne的EDR解決方案（未發布CVE編號）。微軟、趨勢科技、Avast、AVG發布了更新程式修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-earn-989-750-for-63-zero-days-exploited-at-pwn2own-toronto/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員在漏洞挖掘大賽Pwn2Own Toronto 2022找出63個零時差漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/air-gapped-pcs-vulnerable-to-data-theft-via-power-supply-radiation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">隔離網路攻擊手法COVID-bit可在2公尺外透過電磁波竊取電腦資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-high-severity-ip-phone-bug-with-exploit-code/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科揭露IP電話高風險漏洞，恐導致RCE或DoS攻擊</span></span></strong></a></p> <p><a href="https://www.websiteplanet.com/blog/vevor-breach-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路商店Vevor資料庫配置不當，逾600 GB資料公開</span></span></strong></a></p> <p><a href="https://www.wired.com/story/sequoia-hr-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">人力資源及薪資系統業者Sequoia資料外洩</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> </div></div></div>
2022/12/12 17:06作者周峻佑https://www.ithome.com.tw/news/154667
Chrome擴充套件移植Manifest V3遇瓶頸，Google推延Manifest V2退場時程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在9月時宣布，Chrome僅支援Manifest V2到2023年6月，並在2023年1月正式啟動淘汰計畫，但是擴充套件社群回饋，在移植到Manifest V3的過程，發現有部分功能無法順利實作，因此現在官方暫緩在Chrome預發布頻道關閉Manifest V2，也先不更新Chrome線上應用商店徽章，直到問題解決。</p> <p>Chrome在2018年推出了瀏覽器擴充套件規格Manifest V3，Google提到，Manifest V3帶來更高的透明度和權限控制，會以更嚴格的協定限制擴充套件存取外部資源，能夠有效強化Chrome擴充套件的安全性。由於Chrome、Edge與Opera都是以Chromium為基礎的瀏覽器，有著極大的市場占有率，為了維持瀏覽器擴充套件中的相容性，因此Firefox和Safari也加入支援Manifest V3。</p> <p>Manifest V3從發表以來一直飽受批評，市場普遍認爲Google推出Manifest V3，名義上是要限制流氓擴充套件，但事實上則是要限制廣告封鎖軟體的運作。雖然有著許多反對聲音，但是Google仍然著手淘汰Manifest V2的政策，原本官方預定淘汰工作，會從2023年1月預計要發布的Chrome 112開始，Chrome將會在Canary、Dev和Beta頻道關閉Manifest V2擴充套件支援，並且自2023年6月的Chrome 115，實驗關閉包括穩定頻道中的Manifest V2支援。</p> <p>但是這項計畫現在不得不暫停，因為在開發人員從Manifest V2移植擴充套件至Manifest V3的過程，發現有一些不可克服的問題，特別是Service Worker無法使用DOM功能，還有目前Manifest V3對延長Service Worker生命周期限制過於嚴格，前者官方預計要使用Chrome 109添加的Offscreen Documents API來解決，而後者則目前還沒有解決辦法。</p> <p>由於目前Google還在尋求Manifest V2到Manifest V3完整移植解決方案，因此宣布推延了原訂2023年1月的實驗，另外，Google本來要在Chrome預發布頻道關閉Manifest V2的同時，在Chrome線上應用程式商店替支援Manifest V3擴充套件標上特色徽章，以突出顯示配合更新的擴充套件，而這項措施也跟著暫緩。</p> <p>Google提到，他們會進一步評估下游的進度，在2023年3月的時候更新淘汰時程，但是會確保在關閉Manifest V2前，提供開發人員足夠的時間更新和測試擴充套件。</p> </div></div></div>
2022/12/12 16:08作者李建興https://www.ithome.com.tw/news/154655
超過4,000個有漏洞的Pulse Connect主機曝露於網際網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://censys.io/pulse-connect-secure-a-view-from-the-internet/" target="_blank">安全專家發現</a>，有4,000多個連上網際網路的VPN軟體Pulse Connect存在至少一個漏洞，可能因此遭到網路攻擊，其中臺灣也有將近200臺主機曝險。</p> <p>Pulse Connect Secure是低成本的SSL VPN方案，而廣受遠端辦公室和行動用戶歡迎。但是陸續有安全專家在其伺服器軟體發現大大小小漏洞，還甚至曾導致惡意程式的實際濫用。2021年4月美國網路安全暨基礎架構安全管理署<a href="https://www.cisa.gov/uscert/ncas/alerts/aa21-110a" target="_blank">（CISA）曾揭露</a>利用Pulse Connect多項漏洞發動的攻擊行動，還曾導致原開發商Ivanti釋出修補程式。</p> <p>為了再次檢視Pulse Connect現有曝險狀況，安全廠商Censys於是搜尋Pulse Connect Secure網頁服務發出HTTP回應的URI，藉此找到了連上網際網路的Pulse Connect Secure有30,266臺主機。</p> <p>而在這些主機中，Censys安全研究人員發現有4,460臺主機執行的軟體，存在7大安全公告指涉將近40項漏洞。這些安全公告年份從2018到2021年。其中以2021年4月的<a href="https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784" target="_blank">SA44784</a>問題最嚴重。雖然這4,500臺主機中，僅1,841臺主機受影響，但這安全公告4項漏洞中有3項為重大，包括<a href="https://www.ithome.com.tw/news/143971" target="_blank">CVE-2021-22893</a>，它屬於驗證繞過漏洞，可讓攻擊者在Pulse Connect上執行遠端程式碼。即使到了今年還是<a href="https://www.ithome.com.tw/news/151359" target="_blank">名列CISA駭客濫用攻擊的已知漏洞</a>之一。</p> <p>安全廠商發現連網的有漏洞Pulse Connect主機所在國家中，以美國最多，在8,575臺主機中有1,033臺有漏洞。其次是日本，占3,016臺中的735臺。臺灣也有895臺Pulse Connect主機連網，當中有188臺有漏洞。</p> <p>研究人員也分析，有些Pulse Connect版本完全沒有安全公告指涉的漏洞。4,500臺連網主機中安裝最多的版本是9.1.14.18105（9.1R14），其次是9.1.15.18393（9.1R15），分別有達3,000多臺及2,300多臺主機。</p> <p>而現在在網路上有漏洞的Pulse Connect版本以執行主機數量排序分別是9.1.11.12319、9.1.11.13127、9.1.9.9701、9.1.8.8511、9.0.5.64107、9.1.11.12173、9.1.4.4763版本，數量各在100餘到800餘臺之間。</p> </div></div></div>
2022/12/12 12:35作者林妍溱https://www.ithome.com.tw/news/154653
GitHub推出GitHub Copilot for Business，每個授權19美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-12-07-github-copilot-is-generally-available-for-businesses/" target="_blank">GitHub上周推出</a>AI程式碼工具商用版GitHub Copilot for Business，提供彈性的授權管理功能，以及泛組織的政策控制，每名使用者的每月費用為19美元。</p> <p>GitHub Copilot是由AI充當開發者的結對工程師，<a href="https://www.ithome.com.tw/news/151548" target="_blank">自今年6月正式上線以來</a>，已有超過100萬名開發者訂閱該服務，宣稱最多有40%的程式碼是來自GitHub Copilot，也讓開發者寫程式的速度快了55%。</p> <p>GitHub Copilot for Business所提供的授權管理功能可讓管理員針對不同的組織、團隊或成員啟用GitHub Copilot 服務；政策管理功能主要是用來限制GitHub Copilot能否依據公共程式碼來提出建議，看似為了避免著作權爭議。此外，GitHub也強調該服務將不會保留、儲存或分享程式碼。</p> <p>迄今GitHub Copilot用戶的回饋包括軟體建置變快了，減少搜尋資料的時間，以新方法來解決問題，以及加快測試速度等。</p> <p>即使GitHub Copilot令不少開發者躍躍欲試，<a href="https://www.ithome.com.tw/news/154076" target="_blank">但它上線不到半年就面臨了集體訴訟</a>，美國律師事務所Joseph Saveri指出，GitHub Copilot忽略、違反或移除至少數十萬開發者所提供的授權，以前所未見的規模進行盜版，不僅自原告的大量材料中輸出文字，也在產出的程式碼中剝奪程式碼的歸屬、版權聲明與授權，違反了著作權法，因而向微軟、GitHub與OpenAI求償90億美元。</p> </div></div></div>
2022/12/12 12:50作者陳曉莉https://www.ithome.com.tw/news/154654
Tiktok遭美2州禁止
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國2州政府上周以資料安全為由，分別以頒發禁令及提出控訴禁止短影片社群App Tiktok。</p> <p><a href="https://gov.texas.gov/uploads/files/press/Patrick_Phelan_Letter.pdf" target="_blank">德州上周三發布Tiktok的禁用命令</a>，理由是它從用戶裝置上蒐集了大量上網時間、地點，以及上網行為的資料，並將這些可能涉及敏感的資訊提供給中國政府。德州州長Greg Abbott指出，隷屬於字節跳動（ByteDance）公司的Tiktok聘用中國共產黨黨員，其子公司部份由中國共產黨持有。雖然Tiktok宣稱美國用戶的資料都儲存在美國，但該公司坦承中國員工可能存取美國資料，並有報導指出字節跳動計畫利用Tiktok的地點資訊來監控美國公民。</p> <p>此外，德州認為，根據中國法令，所有中國企業都必須協助中國的情報工作，包括資料分享，且Tiktok的演算法也公然過濾中國共產黨認為敏感的主題，像是天安門。</p> <p>德州禁止所有州政府機構發派的裝置上安裝Tiktok，也要求該州安全局及情報局在明年1月15日前，規畫州政府員工個人設備的Tiktok相關使用規定，各州政府必須在2月中實行這些個人設備的Tiktok管理規範，並需獲得該州網路安全主管機關許可。</p> <p>另一方面，<a href="https://www.forbes.com/sites/tylerroush/2022/12/07/republicans-target-tiktok-indiana-files-lawsuits-citing-security-and-child-safety-violations/" target="_blank">印第安那州則對Tiktok提出控告</a>，理由是未說明中國政府可能存取該州民眾資料，以及違反兒童保護法。該州檢察長Todd Rokita指出，這家App誤導用戶，未清楚告知中國政府可能存取其用戶個資。</p> <p>此外，印第安那州指稱，Titkok上明顯可讓兒童用戶輕易取得毒品及色情相關內容，卻對讓其App在蘋果App Store及Google Play Store上架時，列為適合兒童使用的「12+」分級。該州除了向上級法院要求對Tiktok發出禁制令，也尋求以每宗違例5,000美元的民事罰金。</p> <p>這是繼<a href="https://www.npr.org/2022/11/17/1137155540/fbi-tiktok-national-security-concerns-china" target="_blank">美國聯邦調查局長Chris Wray上個月聲稱</a>Tiktok可能危害美國民眾的裝置安全後，最新2個州採取反制Tiktok的行動。<a href="https://www.reuters.com/legal/indiana-sues-tiktok-alleging-chinese-access-user-data-mature-content-exposure-2022-12-07/" target="_blank">馬里蘭州也在11月底頒布州政府裝置上對於Tiktok的禁令</a>。</p> </div></div></div>
2022/12/12 11:21作者林妍溱https://www.ithome.com.tw/news/154651
Amazon加入OIN聯盟，提供Linux社群免訴訟防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/opensource/amazon-joins-the-open-invention-network/" target="_blank">Amazon本周宣布</a>加入開放創新網路（Open Invention Network，OIN），為開源碼社群提供免於專利訴訟的保護。</p> <p>OIN是2005年11月由IBM、NEC、Novell、Philips、紅帽及Sony共同贊助成立，旨在確保開源碼社群安心使用軟體技術。OIN會員將自有特定專利技術和聯盟其他成員交互授權，使所有成員都能免權利金使用，成員也承諾不以專利權互告。<a href="https://www.ithome.com.tw/news/44738" target="_blank">Google</a>、甲骨文早在2007年就加入，<a href="https://www.ithome.com.tw/news/126366" target="_blank">微軟</a>也在2018年加入。OIN保護包含在其<a href="https://openinventionnetwork.com/linux-system/" target="_blank">Linux System</a>定義下的開源技術，迄今OIN社群授權清單已經有3,730項軟體套件。</p> <p>Amazon本身也是開源碼軟體的大用戶，AWS環境用了包括Linux等許多開源碼軟體，而其Kindle裝置及智慧喇叭Echo系列作業系統，也都是以Linux為核心。</p> <p>雖然宣布加入OIN，但AWS並未像Google或微軟說貢獻出多少項技術到OIN授權之下，AWS開源碼的投資主要在確保開源社群的存續，包括聘請專職開發人員及維護員從事上游（upstream）專案，及微調雲端執行的開源專案。AWS也提供雲端點數及資金給各個開源基金會，或贊助開源社群計畫。像是5月間宣布對開源安全基金會（Open Source Security Foundation，OpenSSF）三年1,000萬美元的贊助計畫，11月則對雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）贊助價值300萬美元的雲端點數和工程資源，以資助Kubernetes的基礎架構創新。</p> </div></div></div>
2022/12/12 12:00作者林妍溱https://www.ithome.com.tw/news/154652
【資安週報】2022年12月5日到12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>其他值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154560"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</span></strong></a></h3> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><a href="https://www.ithome.com.tw/news/154575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月6日】American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</span></strong></a></h3> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><a href="https://www.ithome.com.tw/news/154592"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</span></strong></a></h3> <p>有雲端服務業者代管的Exchange伺服器傳出含有ProxyNotShell而遭到攻擊，現在該業者揭露初步的調查結果，表示他們遭遇勒索軟體攻擊，但不影響代管Exchange伺服器以外的業務。</p> <p>美國針對中小企業與民眾提供的COVID-19救濟金，近期傳出該國政府發現中國駭客APT41參與盜取相關補助的攻擊行動。但這樣的情況並非首例──2020年<a href="https://www.ithome.com.tw/news/137769">奈及利亞詐騙集團Scattered Canary就企圖向該國州政府詐領失業補助</a>。</p> <p>FreeBSD開發團隊近日修補Ping元件的漏洞，並呼籲使用者應儘速修補，原因是該漏洞有可能讓攻擊者挾持整個FreeBSD作業系統。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154610"><strong><span style="color: rgb(0, 0, 0);">【12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</span></strong></a></strong></p> <p>殭屍網路病毒鎖定連網設備的漏洞發動攻擊頻傳，近期資安業者發現的殭屍網路病毒Zerobot也是如此，鎖定Zyxel、D-Link、TP-Link等廠牌的物聯網裝置而來，但除此之外，該惡意軟體也將Java框架Spring、資料庫管理系統phpMyAdmin納為目標。</p> <p>已鮮少用戶使用的IE瀏覽器近期也被駭客盯上，利用其零時差漏洞發動攻擊。值得留意的是，駭客是透過Office辦公室軟體呼叫此瀏覽器元件，即便使用者沒有使用IE也有可能會曝險。</p> <p>烏克蘭戰爭成為駭客用於釣魚攻擊的幌子可說是相當常見，中國駭客Mustang Panda也運用這樣的時事來散布惡意軟體，研究人員認為這起攻擊行動的手法與過往相當雷同，但駭客進行了細部調整企圖規避偵測。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154640"><strong><span style="color: rgb(0, 0, 0);">【12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</span></strong></a></strong></strong></p> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> </div></div></div>
2022/12/12 09:36作者羅正漢https://www.ithome.com.tw/news/154644
CyberSheath調查美國國防供應商CMMC合規，不到3成承包商通過國防部驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為確保國家機敏資料安全性,美國國防部2020年1月發布網路安全成熟度模型認證(CMMC)1.0，2021年11月公布CMMC 2.0版草案，預計在2023年3月至5月,推出CMMC 2.0正式版草案，而在2026年財年（9月30日）之後，美國所有打算成為國防部的供應鏈業者，都必須符合CMMC 2.0的規範。</p> <p>CMMC 2.0是以國防採購為核心的規範，相關的供應鏈業者，包含超過30萬家美國國防工業基地（Defense IndustrialBase，DIB）及其供應鏈業者，都必須遵守國防聯邦採購補充條例（DFARS）的法律規定，相關的資安作為也須符合NIST SP 800-171等相關規定。</p> <p>美國國防部服務供應商CyberSheath為此也委託美林研究機構（Merrill Research）對美國國防供應鏈業者DIB進行調查，並以此發表《國防工業基地（DIB）網路安全成熟度狀況統計報告》。根據這份受訪達300家業者的調查結果，有71％的主要承包商、64％的分包商表示，已通過NIST SP 800-171的自評階段；其他則有29％承包商、36％的分包商表示，通過美國國防部主導的驗證階段。</p> <p>這個調查顯示，多達88％的美國國防供應鏈業者（DIB）因為網路攻擊遭到損失，其中，62％遭到金錢損失，58％遭到營運損失，另外也有51％遭到商譽損失。</p> <p>這些供應鏈業者最常採用的資安方案，以DLP（33％）最高，其次為SIEM（30％）、變更管理（30％）以及組態管理（30％）。</p> <h2><strong>有7成DIB符合自評標準，但相關安全控制措施不合格</strong></h2> <p>目前美國國防供應鏈第一級承包商和第二、三級分包商，都必須遵守美國國防聯邦採購補充條例（DFARS）的規定，其中，也針對相關資訊流的防護，必須合乎美國NIST SP 800-171的作法要求。</p> <p>根據CyberSheath調查顯示，針對美國國防供應鏈DIB的網路安全成熟度評估，71％的主要承包商，符合NIST SP 800-171的自評階段，第二、三級分包商，也有64％完成自評。</p> <p>但如果是美國國防部主導的NIST SP 800-171驗證階段，符合相關規定的承包商有29％，分包商則有36％。顯而易見，供應商要達到自評標準相對容易，而通過美國國防部的驗證難度較高。</p> <p>因為所有國防供應鏈業者都必須做到DFARS的合約規定，其中，供應鏈業者也有義務必須完成幾項作為，包括：撰寫系統安全計畫（SSP）、制定行動計畫和里程碑（PoAM）、進行供應商風險績效系統（SPRS）評分、進行年度資安事件應變演習、進行年度DFARS合約評估，以及評估引進相關軟體以達成合約規定。</p> <p>其中，高達6成的供應鏈業者。都已經做到撰寫系統安全計畫（SSP），其次則有超過5成（53％）的業者，會制定行動計畫和里程碑（PoAM），而有超過4成（46％）的業者，會進行供應商風險績效系統（SPRS）評分。</p> <p>這個供應商風險績效系統（SPRS）評分，是非常重要的機制，若組織滿足NIST SP 800-171總計110項控制措施，就可以拿到最高分110分；但是，如果不執行任何控制措施的話，得分最低為-203分（負203分）。</p> <p>根據該份調查的結果指出，國防供應鏈業者DIB的平均分數為-23分（負23分），其中一級承包商平均分數為-25分（負25分），二三級分包商為-9分（負9分），只有13％的受訪者表示，他們的供應商風險績效系統（SPRS）為70分以上。顯見，國防供應鏈業者的違規行為，如今已經直接危及國家安全層面。</p> <h2><strong>近9成國防供應鏈業者遭網路攻擊造成損失</strong></h2> <p>根據該份調查指出,將近9成（88％）的國防供應鏈業者，曾經遭到網路攻擊，並且造成損失。當中可以將損失分成三類來看：有60％供應商承受金錢損失，58％供應商遭到營運損失，另外有51％供應商面臨商譽損失。</p> <p>其中，若再區分第一級承包商和第二三級分包商的損失，62％承包商、53％分包商，面臨了金錢損失；58％承包商和58％分包商面臨營運損失；55％承包商和50％分包商的信譽受到毀損。</p> <p>也因為網路攻擊造成國防供應鏈業者極大的損失，該份調查也顯示，不管是承包商或是分包商，投保資安保險的比例高達97％，因此，對於相關業者而言，資安保險已經是一個很成熟的風險轉嫁工具。</p> <h2><strong>確保資訊流安全，超過3成業者導入DLP方案</strong></h2> <p>國防供應鏈業者的資安規範，主要都是確保CUI（受控非機密資料）以及FCI（聯邦機密資訊）的資訊流安全性，所以，根據該份調查顯示，DLP（Data Loss Prevention，資料外洩防護）解決方案，是最受相關業者青睞的解決方案，因為有多達33％的廠商導入DLP。</p> <p>由於企業內有許多不同的資安設備，要做到整合相關設備的記錄檔（Log），透過各種即時識別和分析的技術，可以找到企業內部的網路異常行為，而目前有30％的國防供應鏈業者都已部署了SIEM（資安事件管理系統）。</p> <p>所有系統的變更都可能對系統造成危害，所有的系統變更從協調過程到是否被批准，都要記錄在案，同時，也必須監控所有變更過程，才可以確保對系統的安全性，如果沒有需要變更，也不需要提交變更的請求。而根據該份調查來看，有30％的國防供應鏈業者，都已經導入變更管理系統（IT Change Management）。</p> <p>另外，有許多資安事件的發生，都是因為組態設定不當所造成的，因此，也有30％的國防供應鏈業者也導入組態管理系統，希望可以降低錯誤設定帶來的資安威脅。</p> <p>在現有的資安解決方案選項中，業者採用的比例大概為1成5到3成之間，未看到特別普遍的資安解決方案。面對這樣的狀況，也須思考國防供應鏈業者是否部署應有的解決方案，進而確保資訊安全,此種狀態值得持續關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A1%E7%94%A8%E7%9A%84%E8%B3%87%E5%AE%89%E6%96%B9%E6%A1%88.jpg" style="width: 821px; height: 760px;" /></p> <h2><strong>國防供應鏈業者要符合DFARS規定困難多</strong></h2> <p>相關的國防供應鏈業者要符合DFARS的規定，其實面臨許多困難和挑戰，像是有42％的業者就必須先了解，DFARS對業者有哪些必須遵循的要求以及規定；再者，有42％的業者，不理解DFARS相關的法律措詞代表意義；也有40％的業者的困難在於，不知DFARS相關規定對企業帶來哪些改變；也有38％的業者，對於要提交哪些文件報告，以及後續稽核可以獲得哪些支援，而感到困難；最後則有36％的業者，對於定期通報感到困擾。</p> <p>雖然從這份調查可以清楚看到整個國防供應鏈業者狀態，不管是符合DFARS的規定比例，或者是遭網路攻擊造成的各種損失，但這些現象都意味著，DIB的網路安全狀況令人擔憂。</p> <p>但其中，也有50％承包商認為，DFARS的改進對於整體國家安全有重大影響。而美國國防部基於DFARS要求而對確保網路安全制定的CMMC 2.0，就是希望透過CMMC相關政策和程序，可以讓相關的國防供應鏈業者DIB，不管是第一級承包商，或是第二、三級分包商，都可以藉此進一步提升網路安全。</p> </div></div></div>
2022/12/12 10:15作者黃彥棻https://www.ithome.com.tw/news/154645
優先聚焦數據治理，Line資料平臺和AI架構再次大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年3月，Line和Yahoo!Japan（雅虎日本）母公司Z控股整併之後，各界就高度關注通訊平臺巨頭和電商巨頭合併後將如何激發出新的火花。</p> <p>Z控股訂下的首要戰略目標是優先加強數據治理。這是因為，成為一家世界級AI科技公司，是整併後雙方的共同戰略目標，而高品質的可用資料正是邁向這個願景的關鍵基礎工程。尤其，Line日本用戶、雅虎日本用戶和PayPay三大生態系整併後，用戶數達到2億人規模。如何支撐新的超大規模生態圈，從今年11月剛結束的Line與雅虎日本首次聯合技術會中，可以觀察到，資料科技和AI技術是關鍵。</p> <p>擅長社交平臺，擁有海外多國發展經驗的Line，和擁有深厚電商、零售與金融產業布局的雅虎日本，在年會中展現出各自不同的技術發展重心，卻又可以互補。Line聚焦於發展平臺式的戰略型技術架構，尤其在AI架構和資料科技平臺，及區塊鏈架構上，而雅虎日本則聚焦在擴大AI應用和產業AI實踐等。前者聚焦強化AI技術體質和未來性，後者則聚焦擴大產業AI版圖和業務廣度。</p> <p>Line目前全球每月約2億用戶使用，累積了大量的用戶和行為資料，因此早在2019年，Line啟用了一個自助式的超大規模資料平臺IU（Information Universe），後來，2020年時，又進一步在IU上發展出了一層機器學習平臺MLU（Machine Learning Universe），用來支援多項跨服務共用的大型ML模型叢集，包括NLP模型、電腦視覺模型、推薦模型、廣告優化模型。</p> <p>目前IU支援了Line內部超過200項服務，儲存了400PB的HDFS資料，超過4萬個Hive表格，每天要執行15萬個任務。Line技術長Tomohiro Ikebe指出：「龐大資料不只是很大的儲存挑戰，利用時也是很大的挑戰。」</p> <p><span style="font-size:28px;"><strong>IU資料平臺新變革，打造資料血統功能將資料變動過程視覺化</strong></span></p> <p>在年會中，Tomohiro Ikebe 首度揭露了後續IU上進一步打造的網頁式資料目錄服務，也就是IU Web入口網站。</p> <p>在這個IU Web上，提供了多項自動化機制，例如後設資料搜集機制、Data profiling機制、可輔助法遵需求的資料驗證工具。另外，IU也引進了Apache Iceberg資料湖技術，並將串流大數據分析平臺Spark升級到3.2版。</p> <p>IU Web最重要的新功能則是2021年11月新上線的Data Lineage （資料血統）功能。Tomohiro Ikebe解釋，隨著IU上的資料流程越來越複雜，一旦發生問題，想要找出資料間的關係，越來越困難。要解決這個問題就需要資料血統機制。</p> <p>資料血統機制可以用來追蹤特定資料從建立後到現在的發展路徑，在瀏覽器上透過圖表來呈現資料變動的過程。</p> <p>Line資料平臺部門資深產品經理宇田川直人表示，這個內部資料目錄提供了一站式的入口，來涵蓋所有的資料活動，來提高包括搜尋資料，存取控制，後設資料管理和探索性資料分析等資料利用的效率。</p> <p>不過，要打造這樣的資料目錄有兩大挑戰，一是得搜集所有資料集的後設資料，第二是如何呈現這些後設資料的關聯。Line使用了開源的目錄服務專案Apache Atlas來串接各種不同資料源，搜集資料後設資料來了解異動狀況，並將資料每一次的變化過程用視覺化的方式呈現，這就是資料血統的機制。資料血統圖上的每一個節點，可以列出這個節點相關的資料表簡介、時間戳、表格關係、PII(涉及個資），資料擁有者，使用單位，還有從這份資料產生的相關報表、使用者清單和各種連結等。</p> <p>可是，IU上有4萬個Hive表格，每天要執行15萬個任務，每一個任務和每一個表格都是一個資料血統圖上的節點，要追溯出從建立到目前的所有變化和關聯，就會產生非常複雜和龐大的節點關聯圖，。</p> <p>為了改善資料血統圖的可讀性，Line採取了多項設計機制來簡化資料血統圖的複雜性。Line利用Atlas串接了HIve伺服器和Spark，利用Atlas的通知機制，採取推播更新後設資料的做法。不過，因為IU上執行的任務每天多達十幾萬個，幾分鐘內的資料表異動也多達數百次。因此，Line透過Kafka彙整來自Atlas的通知，以30分鐘為最小追蹤單位，排除掉30分鐘內的異動，例如操作錯誤的資料庫反覆新增或刪指令，大幅減少了90%異動通知。再進一步比較異動模式，過濾掉對使用者沒有意義的DDL語法異動資訊，更大幅減少了95%的雜訊。</p> <p>不只如此，Line在資料血統資料庫中，排除了不重要的資料節點的註冊，這更大幅減少了9成節點數，也刪除了3萬個不需要的任務。透過這些一層又一層的過濾和篩選，才讓Line資料目錄IU Web上提供的資料血統，要處理的複雜度降低，甚至可以進一步展開到以欄位為節點單位的關聯分析圖。</p> <p>Line更提供了一個互動式的介面，預設可以展開一項資料從出生到現在的血統脈絡。</p> <p>資料血統功能在2021年11月上線，統計到2022年5月，有79個服務和部門使用這項功能，每天用於ETL、資料管理和資料科學分析等功能，特別是Data ETL團隊可以更容易確認資料表維護的範圍，尤其要執行資料表刪除或異動時能更放心。更有不少使用者每天常用資料血統來調查各種資料錯誤的根本原因</p> <p>「可以掌握資料間的關聯，就可以很容易知道如何管理龐大資料，來提高再利用效率，更可以在安全和治理的角度下，來使用這些資料。」Tomohiro Ikebe表示。不只用於IU，在MLU平臺上，也可以利用相同的血統技術，來追蹤一個模型用了哪些資料來訓練，以及在訓練中如何使用這些資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A21-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>IU Web的資料血統功能，可以呈現一項資料從出生到現在的資料異動脈絡也就是資料血統，預設展開三層重要的節點，使用者可以自行放大或縮小畫面，也可以針對任何一個資料欄位，再進一步展開下三層的資料血統關聯圖。</strong><span style="font-size:14px;">圖片來源／Line</span></span></p> <p><span style="font-size:28px;"><strong>Line機器學習平臺MLU引進聯合學習新架構</strong></span></p> <p>不只IU資料平臺展開大變革，Line的機器學習平臺MLU也採用了全新的訓練架構和模式。Tomohiro Ikebe表示，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習（Federated Learning）和差分隱私（Differential Privacy）。」</p> <p>透過聯合學習機制，在用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。</p> <p>雅虎日本技術長小久保雅彦指出，兩家公司共同累積了龐大用戶和爆量數據，而且只會加速增加。為了持續成長，必須解決多項技術挑戰，像是得打造一套靈活平臺，回應快速暴增的流量和資料。也得擴大甚至加速導入先進AI技術。還要打造資安和隱私保護的可靠性架構來建立信任。</p> <p>這三大挑戰，也正是Line資料平臺和AI架構新變革要解決的課題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154629
【AI技術再進化：聯合學習】混用聯合學習強化推薦，上億用戶人人專屬推薦清單全都不一樣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>貼圖是Line最成功的商業模式，推出10年來，光在臺灣的貼圖創作者高達65萬人，上架了8百多萬組貼圖，在日本更高，超過千萬組貼圖，但要從海量貼圖中，找出使用者想用的推薦清單，Line有一套利用使用者歷史紀錄訓練的推薦機器學習模型，可以針對不同使用族群提供統一的貼圖推薦清單。</p> <p>但是，Line的企圖不只如此，甚至想要更近一步貼近上億用戶每一個人各自的喜好，來提供推薦。Line技術長Tomohiro Ikebe指出，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習和差分隱私。」</p> <p>為了進一步了解用戶喜好，不只要參考購買記錄，甚至需了解用戶瀏覽貼出和發送貼圖的歷史，「但從隱私角度，得非常小心處理這類資料。」他說。</p> <p>透過聯合學習（Federated Learning）機制，可以用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型後，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。「這個方式可以在資料使用過程中，保護用戶隱私。」Tomohiro Ikebe強調。</p> <p>Line機器學習平臺部門產品經理菊地悠更透露，實測後發現，結合聯合學習來提供超級個人化的推薦，可以提高5.6%的貼圖下載率。</p> <p>機器學習訓練，可以可以分成三種模式，第一種最常見的ML模式是伺服器端機器學習，在伺服器端完成ML訓練和推論，例如推薦模型，先在伺服器端完成模型訓練，產生推薦清單，再將清單送到App端點提供給用戶，搜集在端點搜集經過同意的使用Log後，回傳到伺服器，展開再次的模型訓練。</p> <p>第二種則是裝置端推論模式。這個做法同樣在伺服器端進行模型訓練，但是將訓練好的模型派送到用戶端來，利用端點用戶資料來推論，好處是不用將用戶端資料回傳，但所有用戶都使用同樣的推論模型。</p> <p>第三模式則是新崛起的聯合學習模式。在這個模式下，採取分段訓練的方式，先在用戶端進行模型訓練，常見是隨機挑選部分用戶或特定裝置來參與模型訓練，並將各裝置上的本地端模型上傳到後端伺服器，然後才在後端整併所有的本地端模型，產生最後的整體模型，再將整體模型派送到用戶端。</p> <p>Line在今年秋天開始嘗試聯合學習，第一個導入聯合學習的應用就是貼圖訂閱帳號的推薦功能。貼圖訂閱帳號在臺灣就是貼圖超值方案，每月繳交小額費用，可以長期使用500萬組貼圖，不用一一購買不同的貼圖組。</p> <p>訂閱戶在對話框要選擇貼圖時，Line會提供貼圖推薦功能，一種是來自使用者自行下載的貼圖，還有一種推薦是來自系統自動產生的推薦清單，使用者只要輸入前幾個字，就會快速篩選出這幾個字所要挑選的貼圖，再列出來讓用戶挑選，送出到對話中。Line就是在系統產生的推薦貼圖功能導入了聯合學習。</p> <p>不過，不只用聯合學習，「推薦推圖運用了上述三種機器學習模式，分兩階段產生推薦。」Line機器學習平臺部門產品經理菊地悠表示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 380px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Line在今年秋天開始嘗試聯合學習，第一個導入的聯合學習應用就是貼圖訂閱帳號的推薦功能開始嘗試，每一個人的推薦清單排序都不一樣，能夠根據用戶個人過去使用習慣和個人偏好來優化。</strong>圖片來源／Line</span></p> <p><span style="font-size:28px;"><strong>結合聯合學習，兩階段產生超級個人化推薦清單</strong></span></p> <p>第一階段是產生初始候選推薦清單，採取的就是伺服器端機器學習訓練模式，利用歷史紀錄，例如熱門購買紀錄、下載量，再依據不同使用者的特徵屬性來區分出上千個用戶群，對每一種使用者族群建立一個推薦模型，來產生這一群用戶共用的貼圖推薦名單，這就是第一階段在伺服器端產生的候選名單。大約是從1千萬組貼圖中，選出100組候選名單。</p> <p>接著進入第二階段個人化重新排序，這也是本地端聯合學習階段，這又分成兩個部分，推論和訓練。在本地端推論上，依據用戶特性，將這名用戶所屬小組的伺服器端推薦名單下載到App上，在用戶端進行本地端推薦模型的推論，輸入這名用戶的個人特徵向量和物件特徵向量（利用輸入關鍵字來產生），來進行推論，來重新排序所下載的候選貼圖推薦清單。</p> <p>用戶輸入想搜尋的貼圖關鍵字時，每輸入一個字，就會重新產生一個新的物件特徵向量，可以用來重新執行一次推論，產生新的推薦分數，作為重新排序之用。如此一來，就會產生一份更貼近這名用戶喜好的個人化推薦順序，將他可能更想用的貼圖，列在前面，來提高使用率。</p> <p>不只是本地端推論，Line也在本地端進行模型訓練，利用了用戶在裝置上的過去瀏覽紀錄和使用紀錄，在裝置端重新訓練出一個更貼近這名用戶偏好的本地端模型，並利用這個模型來進行本地端推薦分數的再計算，更進一步讓推薦清單，可以貼近這名用戶自己過去的使用習慣。最後再將這個模型回傳到伺服器端整併，完成聯合學習的訓練。</p> <p>不過，要在本地端實現聯合學習的模型訓練，得克服2大挑戰。</p> <p>第一是必須能支援不同類型裝置和環境各自的ML訓練環境，包括伺服器端和App端，其次是要能確保隱私，上傳資料不能帶有用戶個資，也要避免模型遭駭而外流原始資料，這正是Line在聯合學習模式再加上差分隱私演算法來回傳模型到後端伺服器的緣故。</p> <p>菊地悠表示， Line不只要在貼圖推薦使用聯合學習，未來也想導入其他服務，因此必須把聯合學習模式平臺化。</p> <p>負責打造Line聯合學習平臺（Line Federated Learning平臺，簡稱LFL平臺）的Line Plus工程團隊軟體工程師Hyukjae Jang更指出，本地端訓練的挑戰是，手機資源有限，任意訓練會占用資源而影響用戶體驗，因此，關鍵是要控制和管理多個FL模型的訓練。「不只提供通用功能，要建立一個平臺架構，才能支援不同類型的聯合學習。」</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 600px;" /></span></p> <p><span style="color:#696969;"><strong>Line機器學習平臺本地端架構可以細分為三個部分，一個通用模組，應用模組和ML函式庫。區分通用模組和應用模組的原因，是為了日後可以支援多種應用各自的聯合學習訓練需求。</strong><span style="font-size:14px;">（圖片來源／Line）</span></span></p> <p><strong style="font-size: 28px;">三地兩國30人團隊打造LFL平臺</strong></p> <p>Line動員了東京、福岡和韓國三地的開發團隊，共30多名工程師協同開發，打造出這個LFL平臺，包括了伺服器端和本地端的架構。</p> <p>在這個LFL平臺上，從伺服器端模型儲存庫的模型，可以用來產生第一階段的候選推薦清單，下載到本地端App上。再依據使用者輸入的字，進行推薦分數的推論，來重新排序推薦清單。若本地端裝置處於閒置狀態，則會由本地端事件調度機制來驅動本地端的模型訓練，來更新本地端的模型，作為後續本地端推論之用，也會將模型上傳到伺服器端，經過模型整併機制，來產生新版的模型，再下載到用戶端，作為新的第一階段候選推薦模型之用。</p> <p>這個LFL平臺還提供延伸功能，在伺服器端則提供了模型儲存庫、版本控制、AB測試功能等，在本地端則有一套用ONNX格式打造的通用ML框架，可支援 iOS和Android，另外本地端還提供了背景ML訓練機制和排程機制，以及結合差分隱私處理的上傳機制。</p> <p>在本地端的聯合學習機制上，還可以細分為三個部分，一個通用模組，應用模組和ML函式庫。通用模組負責本地端的模型管理，如版本控制，模型下載上傳，模型更新等。而應用模組則可以針對不同應用，設定不同的聯合學習模型和用戶Log資料庫。「未來可以支援多種應用各自的聯合學習訓練需求，這是區分通用模組和應用模組的關鍵理由。」Hyukjae Jang透露。</p> <p>另外，要在裝置端執行聯合學習，必須要考慮電力、儲存空間和裝置待機狀態。Hyukjae Jang表示，LFL有三個啟動聯合學習訓練的原則，包括電力全滿、儲存空間足夠，還要等使用者沒有使用裝置的時間。尤其要利用裝置閒置時間來訓練，必須要設計背景執行機制。</p> <p>Line利用可以跨iOS和Android的Onyx runtime打造了一個只有1.2MB 大小的Yuki聯合學習SDK，稱為YFL，也可以支援資料科學家將TensorFlow或Pytorch訓練的模型，轉換成YFL能支援的輕量模型。函式庫中也支援利用高斯分布來計算的差分隱私機制。並且只用CPU背景服務，而不需要GPU。</p> <p>另外，還有一個抽樣機制會隨機抽樣挑選部分人上傳，也會限制上傳次數，避免過度干擾使用者。在背景執行訓練時，排程機制也會盡量利用晚上睡覺時間完成訓練，然後刪除Log資料。</p> <p>Hyukjae Jang更透露，不只貼圖，未來希望可以導入到更多不同類型的服務，包括聊天、音樂、電話、支付、新聞和影音服務上。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154630
【機器學習平臺再進化：端到端MLOps】從ML平臺邁向ML生態圈系統，免寫程式就能自動產生多人協作全套ML流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2020年，Line在內部資料平臺IU（資訊大宇宙，Information Universe）上，打造出了一個機器學習平臺MLU（Machine Learning Universe），目的是希望如同IU扮演資料單一入口角色一樣，MLU成為資料科學家或工程師的ML單一入口，可以用來調度GPU資源、上傳ML程式，來訓練、測試ML模式，也能快速部署成對外提供的ML服務。這個MLU平臺目標就是要提供整合了ML 、Dev 和Ops這三種工作流程的MLOps平臺。</p> <p>負責MLU產品的Line Plus公司MLU平臺產品經理Sunhyeong hong指出，為了大規模發展ML，Line早在3年前就打造了一個可以提供自動化ML流程的MLOps平臺。一開始只是為了控制資料科學家常用的Notebook開發環境，逐漸擴充到整個ML訓練流程，甚至延伸到部署、服務提供和監控。MLU平臺團隊也從3年的10人，現在擴編為30多人。</p> <p>這個MLU平臺的確加速了Line擴大AI應用規模的速度，到了2021年底，已有100多個機器學習產品，橫跨20多個部門都靠MLU來開發和管理ML專案。</p> <p>去年，MLU已涵蓋ML、Dev、Ops的大部分工作，去年更近一步針對模型表現監控，發站出了一套MLOps監控工具Lupus，讓專案成員更容易掌握ML模型的動態和品質，也可以即時重新訓練模型，修正模型預測的偏差。</p> <p>到了今年，Line揭露了MLU持續優化MLOps平臺最新進展，不只是一套自動化ML流程，更要涵蓋ML專案從端到端的全套流程。</p> <p>Sunhyeong hong指出，不只提供給一項ML服務設計者，開發工程師，甚至連行銷、企劃人員等都可以參與專案和共享ML專案的內容和知識，讓不同角色可以快速持續建立更多ML模型。「MLU要從一個單一MLOps平臺，成為一個ML生態圈平臺，這才是一個真正的端到端的ML流程平臺。」Sunhyeong hong強調。</p> <p>最新版的MLU可以提供雲端伺服器環境，資料預先處理、模型訓練和驗證機制。也可以提供Jupyter Lab開發環境，讓開發人員使用與上線環境同樣的ML環境。除了利用Airflow來建立整個ML流程管理，也提供了一個GUI介面的設計工具，使用者就算不懂python語言，不用寫任何一行程式碼，也能夠組合ML流程元件，來建立一套ML流程。</p> <p>MLU利用BentoML模型部署框架，自動用Docker容器將模型程式發布成一個微服務，也就容易擴充或縮小所部署的伺服器資源。</p> <p>到了模型部署時，開發者不用介入，MLU平臺會進行十幾回自動化測試和優化伺服器環境，並自動將模型部署到一個可以自動擴充和有負載平衡的可靠環境中。</p> <p>在MLU入口網站，還提供了一套UI環境，ML專案經理只需要幾個點擊就可以快速建立專案，就能建立個別的ML執行實例。不只模型建立流程可以共享，透過MLU建立的整套ML開發程序，都可以和同一個ML專案的成員共享和溝通。</p> <p>模型部署成服務，正式上線後，MLU也提供了視覺化儀表板機制，讓維運人員來監控模型的運作情況。</p> <p>Sunhyeong hong表示，使用MLU來開發模型時，工程師不用面對基礎架構的問題，MLU已經部署在優化過的基礎架構。模型工程師可以聚焦在資料分析和模型開發上。工程師可以直接使用MLU統一建立環境，和專案成員共享。「整個過程都不用寫任何程式碼，只需透過MLU入口網站的UI介面，就能快速建立全套ML流程。」</p> <p>這些MLU的再次進化，更加速Line的AI應用規模和廣度，統計到2022年10月，MLU所用的叢集，涵蓋了14,886核CPU和504核GPU，以及52TB記憶體。</p> <p>MLU的使用者不只日本、韓國，還有來自泰國和臺灣，超過386個團隊，分散在33個公司，1,111人。他們透過MLU建立了300個自動化流程，已經部署了107個模型在正式環境中運作。</p> <p><span style="font-size:28px;"><strong>MLU下一步目標要建立機器學習生態圈</strong></span></p> <p>就在今年11月，Line正式發布了一個公開的模型儲存庫MLU Market Place，來共享Line的資料集和模型，由Line負責提供運算環境和資料管理。「Line也正在打造一個新的工作流程，要建立一個有機社群，讓任何人可以討論和共享模型的知識和資料。」Sunhyeong hong透露：「MLU的下一步要建立一個有彈性和擴充性的機器學習生態圈。」</p> <p>在MLU Market Place可以快速建立模型專案，還提供了模型展示空間（Showroom）可以快速部署模型來建立示範網頁。在一個像是模型商店街的網頁上，列出了可用的ML模型，或是模型展示清單，就像到賣場購物一樣的挑選想要用的模型。</p> <p>「目前Market Place只對Line內部開放，但未來計畫可以開放給更多人。」Sunhyeong hong在演講最後QA時興奮的透露。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154631
Line戰略AI再進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line與日本雅虎去年3月整併後，首要任務是強化數據治理，也展開資料平臺和AI技術架構的變革，不只要支援2億人用戶規模的業務創新，更是為邁向世界級 AI科技公司打基礎</p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/article/154632
Martech雙周報第31期：漸強實驗室推出新產品，能用Line優惠券自動連接會員全通路行為，新增報表功能追蹤行銷成效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1127~1210)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Line官方帳號</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#優惠券</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO行銷</span></strong></span></p> <p><strong>漸強實驗室新產品，能透過Line優惠券連接會員線下線上行為，還能跟其他企業比較行銷成效</strong></p> <p>臺灣Line官方帳號解決方案商漸強實驗室近日宣布，年底將在自家全方位行銷平臺MAAC及企業客服平臺CAAC推出新功能，強化跨通路企業的消費者追蹤能力及跨店鋪客服能力，並新增數據洞察圖表，提供企業初步成效分析及評估能力。</p> <p>第一項MAAC功能更新是Line Coupon綁定功能。當消費者使用透過MAAC發行的Line Coupon，就能比對Line好友跟門市會員資料，並依據消費行為來貼標會員身上。如此，會員線上線下的消費行為都能記錄到，且此優惠券是於POS機端核銷，等待時間短，不會破壞消費者結帳體驗。</p> <p>MAAC也新增了儀表板功能，企業能看到Line OA好友總數、訊息開封率、點擊率、發送訊息量等帳號概覽，還能從時間及行銷管道來看獲客跟互動情形，甚至能比較自家與其他漸強實驗室用戶的行銷成效。</p> <p>CAAC則新增了指派客服專員功能。消費者加入OA好友時，能自動指派客服人員作為持續與該消費者聯繫的專員，以利維持跨分店或通路的客服體驗。企業也能依照消費者或企業自身需求，在後臺手動轉接消費者給其他專員。漸強實驗室更計畫未來開發專員業績追蹤等分析功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據無塵室</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第二手數據</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據交換</span></strong></span></p> <p><strong>AWS將推出自家數據無塵室，能直接比對各方儲存在雲端的數據而無須提供彼此數據副本</strong></p> <p><a href="https://aws.amazon.com/tw/clean-rooms/features/">AWS宣布數周後將推出數據無塵室服務</a>，讓已經使用AWS的企業能自行建立無塵室，和其他數據儲存在AWS上的企業比對彼此數據。</p> <p>1個無塵室中，最多能同時比對5家企業的數據。參與企業可以預先設定各式隱私限制，且無須匯出數據到其他平臺──AWS會直接從資料原本的儲存處讀取各方數據，再呈現分析結果給企業。</p> <p>AWS無塵室的所有功能都能透過API存取，能透過AWS SDK或CLI來執行自動化指令，或整合到企業既有工作流程及產品中，甚至利用AWS無塵室功能來打造客製化的無塵室。</p> <p>過去，AWS就有提供企業成為UID 2.0 Private Operator的服務，便於使用AWS的企業加密自家數據為去識別化數據共享格式，與生態系中其他企業比對數據。這次推出數據無塵室，則進一步鎖定只想跟特定合作夥伴共享數據的企業。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#原生廣告</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Taboola</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Yahoo</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#30年協議</span></strong></span></p> <p><strong>Yahoo與Taboola廣告雙巨頭簽訂30年廣告合作協議</strong></p> <p><a href="https://www.taboola.com/press-release/taboola-yahoo-native-deal">Yahoo與內容推薦平臺Taboola簽訂長達30年協議</a>，由Taboola獨家提供Yahoo數位資產平臺上的原生廣告內容。Yahoo擁有近9億全球月活躍用戶，預計雙方合作後，廣告年營收能高達10億美元。</p> <p>協議中，Yahoo買下Taboola近25%股份，成為最大股東，並在Taboola董事會增設一名Yahoo代表。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#使用者隱私</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方數據</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據交換</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Cookieless</span></strong></span></p> <p><strong>Salesforce報告：行銷業者開始採用更多元數據來源，但75%仍使用部分第三方數據</strong></p> <p><a href="https://www.salesforce.com/resources/research-reports/state-of-marketing/">調查6,000家行銷業者的年度Salesforce行銷報告出爐</a>，調查顯示，為了更全面分析使用者，業者的行銷數據來源更加多元，從去年10種來源增加到今年15種來源，預計明年還會增加到18種。其中又以交易數據、數位身分及使用者主動告知的偏好為前三大宗數據來源。</p> <p>不過，有75%業者或多或少有使用第三方數據。Salesforce警告，即使Cookie退場時限不斷延遲，隱私權意識跟相關法規仍持續抬頭，應盡早準備脫離第三方數據。調查中，業者應對方法包括提供使用者給予資料的誘因、制定第一方數據治理策略以及制定第二方數據交換策略等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#IAB</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#DOOH</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RTB標準</span></strong></span></p> <p><strong>IAB TechLab推出數位家戶外廣告的即時競價標準</strong></p> <p>因應越來越多廣告主透過程序化方式購買數位家戶外（DOOH）廣告，<a href="https://github.com/InteractiveAdvertisingBureau/openrtb2.x/blob/main/implementation.md#79---digital-out-of-home-">IAB TechLab近日將DOOH程序化廣告的交易標準納入即時競價標準OpenRtb</a>中，針對DOOH廣告受眾可變性、地點多樣性、網路延遲性以及版面大小不統一等特性，設計即時競價的物件屬性規範。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTB.jpg" style="width: 600px;" /></a></p> <p>由於DOOH廣告一對多的特性，劣質廣告可能對廣告主及發布商造成嚴重損害，因此DOOH廣告發布前都需要發布商，甚至第三方，來人工審查。因此IAB TechLab也建議使<a href="https://github.com/InteractiveAdvertisingBureau/AdManagementAPI/blob/master/Ad%20Management%20API%201.0%20FINAL.md#intro">用IAB廣告管理API</a>來進行廣告內容的提交及溝通。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Martech</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Adtech</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#衰退</span></strong></span></p> <p><strong>投資銀行Luma Partners報告：Martech和Adtech今年歷經衰退，創業投資金額降回疫情前水準</strong></p> <p>專注於數位媒體和行銷的投資銀行<a href="https://lumapartners.com/content/presentations/state-of-digital-marketing-2022/">Luma Partners State of Digital Marketing 2022報告出爐</a>。歷經2021年大幅成長後，行銷和廣告科技業界今年出現冷卻跡象，相關上市公司股價分別跌了56%和60%。</p> <p>此外，行銷和廣告科技界的大規模融資案也明顯減少。從圖表中可以看到，近兩季超過1億美元的大型融資案與先前幾季相比，數量只剩下一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/funding(1).jpg" style="width: 600px;" /></p> <p>不過，Luma Partners也指出一些Martech業界逆勢成長的趨勢。首先是CDP及意圖取代CDP的數據解決方案今年持續在業界升溫，不僅相關投資和公司雇員都大幅成長，還出了6個獨角獸或接近獨角獸等級的企業。打著隱私權大旗，用於交換第一方數據的數據無塵室也獲得大量關注。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據比對</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一方數據</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據交換</span></strong></span></p> <p><strong>身分數據服務商LiveIntent在Salesforce AppExchange上推出數據比對工具</strong></p> <p>使用Salesforce行銷雲的企業將多一種客戶數據優化工具。<a href="https://appexchange.salesforce.com/appxListingDetail?listingId=a0N3u00000Qtgr5EAB&placement=a0d3u00000DnMQ0AAN">身分數據服務商LiveIntent在Saleforce軟體市集上推出數據比對工具</a>，能比對企業CRM數據與LiveIntent資料庫中的資料進行比對。</p> <p>當兩方資料庫有對應資料，LiveIntent會於CRM內的客戶數據中加入各式身分、人口統計資料、行為及興趣資料，並刪除重複客戶數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數據清洗</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#行銷數據代表性</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#精準行銷</span></strong></span></p> <p><strong>美國數據管理新創Truthset正式開放行銷數據驗證服務，提升數據代表性及精確度</strong></p> <p>數據驅動行銷，或許能提升行銷精確度。但若數據本身不精確，企業行銷預算就會付諸東流。因此，數據準確度對數據供應商來說是相當核心的競爭力。數據管理新創Truthset是行銷業界少見的數據驗證商，提供比對客戶數據與美國人口普查等可信資料的服務，來評估數據可信度。Truthset的驗證服務在內部Beta時已經服務Epsilon、Alliant、Data Axle等20家大型行銷數據供應商，<a href="https://www.truthset.io/post/truthset-data-collective-emerges-from-private-beta-unveils-suite-of-new-enterprise-capabilities">近日進入正式版，對所有企業開放。</a></p> <p>數據供應商便能以驗證結果來分析自家不同數據來源的可信度、數據代表性、比較自家數據與競爭者的準確度，並用驗證結果作為第三方數據精確度認證。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1.<a href="https://www.wsj.com/articles/twitter-offers-advertisers-generous-incentives-after-many-marketers-left-platform-11669922354?mod=hp_lead_pos4"> Twitter將在聖誕季提供廣告主超高額的回饋方案，最多提供行銷預算100%的額外服務。</a></p> <p>2. <a href="https://www.iab.com/insights/2023-outlook-survey/">IAB調查顯示，有61%廣告主正在考慮或已經投入RMN廣告，並有56%正在考慮或已經投入元宇宙相關廣告。</a></p> <p>3. <a href="https://www.channel99.com/articles/channel99-debuts-to-enable-b2b-marketers-the-ability-to-measure-and-benchmark-the-performance-of-channels-and-vendors/">美國行銷歸因新創Channel99推出免費App，讓企業追蹤多通路的行動轉換率及實際消費轉換率</a></p> <p>資料來源：iThome整理，2022年12月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Luma Partners、漸強實驗室</p> </div></div></div>
2022/12/11 21:14作者郭又華https://www.ithome.com.tw/news/154643
Google釋出Compose for Wear OS 1.1，新增介面元件與實驗性預留位置API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對手錶現代宣告式UI工具包Compose for Wear OS，釋出最新版本1.1，這是在今年Compose for Wear OS穩定版本推出以來第一個更新，官方改進了現有元件，並且將焦點放在用戶體驗和可存取性，同時更新了範例、程式碼實驗室和Horologist函式庫等周邊資源。</p> <p>Compose是Google推出的UI開發工具，使開發者能夠以更直覺的方式，編寫和閱讀UI程式碼，並且在設計階段更快地產出原型，同時開發團隊也可以順暢地進行程式碼協作。Compose for Wear OS則是針對手錶體驗進行最佳化，內建了Wear OS專屬的Material設計。</p> <p>在1.1的版本中，Google讓開發者能夠自定義用戶介面，添加了外圍邊框形式（Outlined）的Chips和按鈕（Buttons），OutlinedChip和OutlinedButton也都有新的細邊框透明元件供選用，有可用於標示中等重點操作的環形運動場形式，與可在同一畫面顯示多個元件的緊湊版本。從這個版本開始，開發者可以使用新的函式重載，修改Chip/ToggleChip、Button/ToggleButton元件的形狀。</p> <p>Compose for Wear OS 1.1開始實驗預留位置API（Placeholder API），來支援預留位置需求，可用於單獨或是一起實作3種不同的視覺效果。開發者可以使用預留位置背景筆刷效果，在當Chip和Cards元件等待內容載入時，在預留位置圖示加上刷新的視覺效果。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjcsrF8Vw0tliKNe8M4peOjdQ92_8fhe0RCvNlWcTxPYaWdxd6HeWLIp-Th92aSfQOlOBnkMetql0zcHYdENiWXlE6nX-G-LKqk9O98cCxLDaC1-zcrJB6adGWtBDl-WbwloNL6sxkyQB2HzV8OSQNCEQWS8_XAMxTqyTlAFPiAoUtXg_PYV2JwxAf_/s1600/image6.gif" style="width: 300px; height: 300px;" /></p> <p>在等待內容載入階段，開發者便可以先使用Modifier.placeholder() ，該API會在欲顯示內容的位置上，繪製一層環形運動場形狀的圖示，當載入完成圖示便會替換成要真正顯示的內容，另外，開發者也可以使用Modifier.placeholderShimmer() 在預留位置圖示上加上漸層微光特效，表示資料正在載入。</p> <p>可產生弧形文字的CurvedTextStyle，現在加入更多屬性，包括fontFamily、fontWeight、fontStyle和fontSynthesis，供開發者指定弧形文字樣式的細節。</p> </div></div></div>
2022/12/9 23:18作者李建興https://www.ithome.com.tw/news/154639
【資安日報】2022年12月9日，美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.recordedfuture.com/exposing-tag-53-credential-harvesting-infrastructure-for-russia-aligned-espionage-operations" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國軍火供應商遭到俄羅斯駭客TAG-53攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exposing_tag_53_credential_harvesting_infrastructure_for_russia_aligned_espionage_operations_figure_4_aa075fc12f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exposing_tag_53_credential_harvesting_infrastructure_for_russia_aligned_espionage_operations_figure_4_aa075fc12f.png" style="width: 300px; float: right;" /></a>威脅情報業者Recorded Future揭露俄羅斯駭客TAG-53的攻擊行動，駭客鎖定美國軍火供應商Global Ordnance進行網路釣魚，他們透過名稱相仿的網域，設置冒牌的微軟登入網頁，企圖騙取該公司員工的帳密。</p> <p>然而研究人員進一步調查發現，這些駭客總共設置了38個用於網釣的網域，其中有9個網域他們推測出駭客的攻擊目標，這些組織又以歐美航空及國防產業最多，但也有衛星通訊業者、非政府組織（NGO）受害，當中有2個網域可能是針對俄羅斯內政部。</p> <h3><a href="https://www.deepinstinct.com/blog/new-muddywater-threat-old-kitten-new-tricks" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列、埃及組織遭伊朗駭客MuddyWater鎖定，濫用遠端管理工具Syncro與檔案共享服務發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-muddywater-threat-campaign-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-muddywater-threat-campaign-overview.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct自今年10月發現伊朗駭客組織MuddyWater的攻擊行動，駭客針對以色列、埃及、伊朗、約旦、卡達、阿拉伯聯合大公國（UAE）等國家下手，使用遠端管理工具Syncro來掌控受害者的電腦。</p> <p>攻擊者寄送帶有HTML檔案的釣魚郵件，一旦收信人開啟附件檔案，該HTML檔案就會引導收信人從檔案共享服務OneDrive、Dropbox、OneHub下載Syncro安裝程式，使用者若是依照指示安裝，電腦將會成為駭客「列管」的對象，駭客將會部署後門程式並將其做為存取整個組織的管道。</p> <p>研究人員指出，由於駭客散布的釣魚郵件與附件沒有顯著的攻擊特徵，而不會被郵件安全系統攔截。使用者若是收到要求安裝軟體的信件，應先向IT部門進行確認，再依照指示操作。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/trojanized-onenote-document-leads-to-formbook-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟OneNote筆記軟體檔案遭到濫用，被拿來散布惡意軟體Formbook</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/formbook-onenote-picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/formbook-onenote-picture2.png" style="width: 300px; float: right;" /></a>駭客利用Word、Excel檔案散布惡意軟體的情況相當常見，但現在也有其他Office應用程式遭到濫用。資安業者Trustwave揭露近期散布木馬程式Formbook的攻擊行動，駭客透過釣魚郵件挾帶微軟筆記軟體OneNote的檔案（.ONE），信件內容宣稱是確認收信人公司的報價回覆，並表示先前詢問的報價資料如附件。</p> <p>一旦收信人開啟附件檔案，就會看到「檢視文件」的按鈕，按下後會觸發Windows指令碼檔案（WSF）執行，進而在受害電腦植入Formbook。研究人員指出，駭客為了混淆視聽，將上述的WSF檔案的檔名加入由右至左書寫的Unicode字元U+202E，導致檔名倒過來顯示，如：將xcod.wsf變成fsw.docx。</p> <h3><a href="https://blog.morphisec.com/babuk-ransomware-variant-major-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">市值數十億美元的製造公司遭勒索軟體Babuk鎖定</span></strong></a></h3> <p>資安業者Morphisec揭露勒索軟體Babuk變種病毒的攻擊行動，駭客鎖定市值數十億的製造業者下手，該公司有上萬臺工作站電腦與伺服器主機，駭客先進行為期兩週的偵察行動，並入侵網域控制器，再設置群組原則物件（GPO）來大量部署惡意軟體。</p> <p>研究人員指出，這次攻擊行動出現的Babuk，與過往的版本最為顯著的差異在於，駭客結合了開源的規避偵測軟體，以及更為隱蔽的側載手法，使得上述製造業者部署的次世代防毒軟體、EDR系統並未將其識別為有害。</p> <h3><a href="https://www.threatfabric.com/blogs/zombinder-ermac-and-desktop-stealers.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">暗網出現軟體封裝系統Zombinder，讓駭客在Android、Windows應用程式挾帶惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/zombinder.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zombinder.png" style="width: 300px; float: right;" /></a>駭客在發動惡意軟體攻擊的過程中，為了降低受害者警覺，很可能會改造應用程式的安裝檔案，從中偷渡惡意軟體，如今在網路犯罪圈也依此概念衍生出專門的軟體封裝平臺。</p> <p>資安業者ThreatFabric在調查安卓惡意軟體Ermac的攻擊行動時，意外在暗網發現名為Zombinder的惡意軟體封裝平臺，多個組織的駭客將其用於製造帶有Ermac、金融木馬Xenomorph的安卓應用程式安裝檔案（APK），以及帶有Laplas剪貼簿截取工具、竊密軟體Aurora與Erbium的Windows軟體安裝程式。研究人員粗估有數千名受害者不慎執行由Zombinder產生的「安裝程式」，其中，竊密軟體Erbium已成功從1,300名受害者偷取各式帳密。</p> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/06/dev-0139-launches-targeted-attacks-against-the-cryptocurrency-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣投資人遭到鎖定，駭客透過Telegram群組散布惡意軟體</span></strong></a></h3> <p>微軟安全威脅情報團隊揭露DEV-0139駭客組織的加密貨幣詐騙攻擊，駭客看上加密貨幣投資公司利用Telegram群組提供VIP客戶服務，他們假冒是這類投資公司，邀請攻擊目標對他們與同行收取的手續費提供意見。一旦目標人士信以為真，他們就會收到惡意Excel檔案，並依照指示開啟巨集，此檔案將會下載帶有惡意程式的PNG圖檔，並解密惡意DLL檔案與後門程式，並在受害電腦部署。研究人員指出，駭客為引誘受害者啟用巨集，刻意為部分工作表加上密碼保護。</p> <h3><a href="https://www.ithome.com.tw/news/154605"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員關閉被用於DDoS攻擊的殭屍網路KmsdBot</span></strong></a></h3> <p>雲端服務業者Akamai的資安研究團隊於11月發現殭屍網路KmsdBot，該殭屍網路病毒專門透過SSH連線入侵採用弱密碼的裝置，目的是將其用於挖礦。但在調查的過程裡，研究人員調整了其中一個殭屍網路病毒的C2中繼站配置，結果因為指令有誤，導致所有受害裝置上的KmsdBot停擺。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/us-health-dept-warns-of-royal-ransomware-targeting-healthcare/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國警告醫療機構遭到勒索軟體Royal鎖定</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/commonspirit-health-ransomware-attack-exposed-data-of-623-000-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國大型醫療連鎖機構CommonSpirit Health證實遭勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154615"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NPM提供更精細的權限管理，以強化套件生態安全</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154611"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SEMI推半導體資安風險評級服務，盼促進產業鏈提升資安量能</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154613"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紅帽於RHEL作業系統整合開源雲端安全軟體架構Keylime</span></span></strong></a></p> <p><a href="https://www.securityweek.com/several-code-execution-vulnerabilities-patched-sophos-firewall"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Sophos修補防火牆任意程式碼執行漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154575">【2022年12月6日】 American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/9 16:30作者周峻佑https://www.ithome.com.tw/news/154640
微軟實驗供開發者在瀏覽器執行Python程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-december-2022-release/">VS Code Python擴充套件12月更新</a>，這次更新的主要兩個亮點，在於Pylance自動縮排以及瀏覽器現在也能執行Python。</p> <p>VS Code的Pylance擴充套件透過深入理解Python，以進一步提供自動縮排功能，這減輕了開發人員編排格式的負擔，能夠更專注在程式碼邏輯開發上。目前開發者需要在VS Code Insiders的Python擴充套件預發布版本試用這項功能。</p> <p>另外，開發者現在可以嘗試在瀏覽器中的VS Code網頁版vscode.dev，執行和除錯Python程式碼。要使用這項實驗性功能，開發者需要使用Chromium為基礎的瀏覽器，並先安裝Python for the Web擴充套件最新版本，這會將WebAssembly用作執行引擎，在網頁中執行Python程式碼。</p> <p>官方提到，目前這項功能還是實驗和研究性質，目的是要進一步了解使用WebAssembly在網頁中執行Python的情況，開發者不應該將其用於Python產品開發，因為其還存在諸多限制。</p> </div></div></div>
2022/12/9 15:32作者李建興https://www.ithome.com.tw/news/154638
Tor瀏覽器12.0原生支援Apple Silicon，開發團隊重啟Android版本更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高隱私安全Tor瀏覽器釋出了最新版本<a href="https://blog.torproject.org/new-release-tor-browser-120/">12.0</a>，由於Tor瀏覽器是以Firefox作為基礎開發，因此開發團隊數個月來一直在審查Firefox ESR 102中的功能，並且已將所有與Tor瀏覽器隱私和安全原則衝突的內容停用。這個版本增加多語言環境和Apple Silicon的支援，同時Android版本預設採用HTTPS-Only模式。</p> <p>Tor瀏覽器終於也開始原生支援Apple Silicon，官方提到，這是一件不容易的工作，而Tor瀏覽器與Firefox採用一樣的支援方法。是以通用二進位檔案提供安裝支援，也就是x86-64和ARM64的建置捆綁在一起，於安裝時會自動選擇正確的版本。</p> <p>Tor開發團隊重新拾起Android版本Tor瀏覽器，試圖再次開始定期更新，並且跟上Android版Firefox Fenix的發布周期。目前開發團隊的Android版計畫，是要將桌面版本的高優先功能，移植到Android上，而這項工作從HTTPS-Only模式開始，這將能夠讓Tor瀏覽器可抵抗SSL Stripping攻擊。</p> <p>Android版Tor瀏覽器的另一個重要更新，是會在可用的情況下，優先處理.onion站點，在用戶啟用該選項後，便會在網站有對應的.onion站點時，自動重新導向至.onion站點。</p> <p>過去非英文的桌面版Tor瀏覽器使用者，需要從下載頁面找到對應的語言版本，而且在安裝後要切換語言，也不是一件簡單的事，需要將新的語言套件添加到現有安裝中，或是重新下載一個Tor瀏覽器。</p> <p>現在桌面版Tor瀏覽器正式支援多語言環境，所有語言都包含在同一個套件中，但是要在單一下載中綑綁多語言，勢必增加Tor瀏覽器的檔案大小，而官方強調，他們找到了在其他部分節省容量的方法，因此Tor瀏覽器12跟11.5的檔案大小差距很小。</p> </div></div></div>
2022/12/9 14:48作者李建興https://www.ithome.com.tw/news/154637
遠距虹膜辨識結合人臉辨識誤判率低於百億分之一，NEC預估2年內可以廣泛應用在商業場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>和ATM對看一眼就可以安心領錢的時代，2年內便會到來，NEC台灣金融製造解決方案事業群副總經理徐健評如此預測。</p> <p>NEC近日展示自家生物辨識及AR技術在金融、交通和零售領域的商業應用。雖然NEC早已掌握生物辨識技術多年，不過，NEC台灣副總經理卓崧華表示，今年這些技術模組化成各種解決方案，開始落地於實際商業場景。其中精度最高的遠距虹膜辨識搭配人臉辨識，做到低於100億分之一的誤判率，還有去識別化、高偽造難度等特性，可用機密需求度高的領域。</p> <p><strong>遠距虹膜辨識技術，預計2年內能普及應用於商業場景</strong></p> <p>遠距虹膜辨識技術分為4個步驟，先從鏡頭遠距擷取虹膜圖像、預處理虹膜圖像成多光譜圖像、從預處理結果擷取出特徵值、再將特徵值與企業資料庫內容比對。徐健評強調，虹膜特徵值無法逆推，去識別化的資料。NEC多年前就提供遠距虹膜辨識技術，也有上述4步驟的產品，不過，由於成本因素，一直未能廣泛應用於實際商業場景，直到現在開始出現可落地的產品，例如NEC將在日本與多家便利商店合作推出運用虹膜辨識來結帳的示範店。徐健評解釋，從開始落地到真正普及有2個關鍵，一是內建虹膜辨識的穿戴裝置普及化，來拉低相關設備市價，其二則是相關法規明朗。他認為，預計2年內，這些環境因素就會水到渠成。</p> <p>今年，NEC統整過去執行生物辨識專案的經驗，推出生物辨識平臺，用來收攏不同設備產生的生物特徵檔，來統一管理、運用，NEC希望能鎖定金融服務、零售結帳以及保安等場景。</p> <p><strong>戴口罩能辨識身分、脫口罩能分析表情，人臉辨識交通和零售場景應用多</strong></p> <p>自2019年起，NEC的One ID人臉辨識解決方案就開始陸續落地於臺、日、美機場。用於快速報到、快速通關、貴賓室門禁和免稅店自助結帳等。2020年，NEC更因應疫情需求，推出不用脫口罩的人臉辨識技術。NEC現在也展示了在智慧零售領域的生物辨識。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/omo.jpg" style="width: 750px;" /></p> <blockquote><p><em>NEC展示多種智慧零售應用，包括結合實體體驗設備的<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">AR虛擬貨架（左），以及可以辨認人臉表情來推薦飲料的行銷工具（右）。攝影－郭又華</span></em></p> </blockquote> <p>除了用來辨識消費者會員身分，人臉辨識技術還能用表情及視線辨識，在實體店面提供智慧行銷方案。例如，利用人臉分析來推測消費者性別、年齡及心情，並即時推薦適合商品。現場示範的案例是，可以依照消費者的微笑幅度等資訊，來推薦商家認為適合消費者當下心情的飲品。</p> <p>NEC也展示了如何用臉部辨識來推定視線的技術。當消費者站在貨架前，系統會研判出消費者會員身分以及感興趣商品，再結合電子標籤來顯示個人化折扣，達到即時促銷效果。從現場示範可以看到，消費者注目一個商品時，對應的電子標籤價格就會顯示出會員名稱及折扣方案，可搭配行銷策略模組，直接在電子標籤上定期更換成不同的促銷方式介紹，像買一送一或於單品售價旁邊顯示批量購買的折扣方案等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vis.jpg" style="height: 500px;" /></p> <blockquote><p><em>結合視線追蹤技術的實體貨架，可以辨認出消費者會員身分及注目的商品，即時顯示個人化折扣（上）。</em><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">搭配鏡頭的貨架可結合NEC客層分析技術Field Analyst，利用電腦視覺推測場域內所有人的性別及年齡，來補足非會員消費者的客層數據。</span></p> </blockquote> <p>除了生物辨識，NEC也展示了一個應用AR虛擬貨架的OMO購物體驗。當消費者用手機掃描到虛擬商品定位點，就可以在手機看到相關商品資訊。與此同時，後臺會啟動實體店面的香氛機等試用設備，讓消費者能即時體驗商品。如此一來，不只商品展示能脫離實體空間限制，更能將消費者購物行為數位化，有利後續分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/anal.jpg" style="width: 600px;" /></p> <p>這些智慧零售設備的營運數據，都能彙整到NEC後臺分析工具，進行多維度數據的交叉分析。例如分析實體貨架和虛擬貨架的銷售情況、利用Field Analyst客層分析結合視線停留秒數和銷售數據，來了解不同客群對產品的興趣及實際購買情況，或分析不同個人化行銷策略的實際成效等。零售業者透過應用各式可蒐集數據的智慧零售及OMO零售設備，便能像電子商務場景一樣，對實體零售場景進行高精細度的分析。</p> </div></div></div>
2022/12/8 17:19作者郭又華https://www.ithome.com.tw/news/154614
善用商業力厚植民主與環保
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>九合一大選終於落幕，雖然選前就有不少人預期投票率不高，但實際狀況還是相當慘烈，直轄市長只有59.86％，而很多人看好也支持的18歲公民權修憲公民複決，投票率為58.97％，且同意票數雖然超過不同意，但差了397萬票而無法通過門檻。</p> <p>為何民眾投票意願低？當中因素很多，但關於經濟方面的考量，似乎並未看到有人討論。投票當天是11月26日，如果是領月薪的工作者，正是處於財務捉襟見肘的時候，對於眾多不在戶籍地工作、上學的人而言，可能因為不想或無法負擔交通與時間成本，而決定放棄投票。如果這真的是影響投票率的關鍵因素之一，或許也坐實過去有人提出的「民主不能當飯吃」論調，因為大家不得不省錢或當天難以離開工作現場去投票。</p> <p>但民主不重要嗎？誠如總統蔡英文在2019年所言：「沒有民主，只能要飯吃」，以及聯電創辦人曹興誠今年11月演講提到：「沒有民主的飯很難吃！」均以不同的方式說明民主的重要性。然而，受限於COVID-19疫情管控必須按部就班進行，以及全球通貨膨脹、物價飆漲等種種不利因素，民眾必須耗費更大力氣來維持生活的穩定，若政府未持續祭出更多讓民眾有感的紓困與補貼機制，多數人可能都不得不陷入價值選擇，而無法兼顧，的確！活著已不容易，遑論尊嚴與感受，這些只能暫時擱置。</p> <p>為了避免這類為了荷包而犧牲民主自由的狀況重演，政府不僅要推動整體國家經濟發展，對於一般民生經濟的支持與資助也必須更為關照，促進商業復甦與蓬勃發展；而作為企業的營運者，也需提升組織的應變韌性與風險管理，使員工安心工作，顧客也能以合理價格滿足需求，協助大家在無後顧之憂的狀態下，得以專注評估未來四年的地方首長，以及反映民意、監督政府施政的代表。</p> <p>除了民主，環保也是另一個容易受到許多現實因素限制，而經常被大家擱置、犧牲的議題。隨著今年更加確立全球2050淨零排放（Net Zero by 2050）目標，各個國家、產業、企業都將積極推動相關的轉型計畫。而所謂的淨零排放，是設法減少人為造成的溫室氣體排放量，降低至近乎0的程度，可用負碳技術、自然碳匯等方法抵消碳排放，而非不排放溫室氣體。</p> <p>根據國家發展委員會今年3月底公布的臺灣2050淨零排放路徑藍圖，當中提出建築、運輸、工業、電力、負碳技術等5大路線規畫，並以科技研發與氣候法制做為兩大治理基礎，分別發展淨零轉型所需的各種技術，以及調整、訂定相關法規與制度，而在轉型策略推展上，將針對能源、產業、生活、社會等4大層面進行。</p> <p>除了公部門的推動，民間企業的持續支持與主動參與也相當重要。而在IT產業當中，我們看到今年下半國內外越來越多廠商開始向外界宣傳這方面的議題，以及自身的現況與轉型策略，並呼籲用戶與整個產業重視。</p> <p>除了發布更多資訊，有些大型廠商也開始舉辦主打此類議題的公開活動，一方面展示他們現行與其他業者合作的相關設計，另一方面也趁機宣傳即將上市的新平臺。</p> <p>例如，英特爾12月7日首度在臺舉行的Intel Sustainability Taiwan Day，公開展示多款設備，像是：該公司5月發表的開放智財浸沒式液體冷卻完整解決方案，以及9月公開的伺服器部署套件Open IP Server Deployment Kit。</p> <p>合作廠商方面，英業達展出可容納48U機架空間的開放智財浸沒式冷卻解決方案，以及針對嚴酷邊緣環境的兩款冷卻設備，混合浸沒式冷卻、水冷和氣冷等3種方式；雲達科技則展出另一種混合冷卻作法，他們推出名為QoolRack的機櫃，將直接晶片冷卻（D2C）從伺服器層級提升至機櫃層級。</p> <p>在個人電腦方面，宏碁展出採用消費後再生塑膠材質的筆電與AIO電腦Aspire Vero，微星展出導入ATX 12VO規範的微星主機板和桌上型電腦系統。</p> <p>隨著更多關注環保特性的IT產品推出，加上從各種層面施加的法規要求力道，可望從商業力量、公部門執法，提供更多選擇，進而減少溫室氣體與電子廢棄物處理負擔。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B7%A8%E9%9B%B6%E6%8E%92%E6%94%BE">淨零排放</a></div><div class="field-item even"><a href="/tags/%E8%BD%89%E5%9E%8B">轉型</a></div></div></div>
2022/12/9 13:25作者李宗翰https://www.ithome.com.tw/voice/154627
人類如何勝過AI？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960zhu_tu_-itshu_zhai_-21shi_ji_de_21tang_ke_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們完全無從得知，2050年的就業市場會是什麼樣子。一般同意，機器學習和機器人將會改變幾乎所有工作，從製作優格到教導瑜伽都無法倖免。但談到這項改變的本質及急迫性，各家觀點也就眾說紛紜。</p> <p>早從19世紀，就開始有人擔憂自動化會造成大量失業，但至今從未出現這種景況。自工業革命揭開序幕以來，機器每搶走一項舊工作，也會至少創造一項新工作，而且平均生活水準大幅提高。但我們有充分理由相信這次情況不同，機器學習將真正徹底改變整個情勢。</p> <p><span style="font-size:28px;"><strong>取代人類的機器</strong></span></p> <p>人類有兩種能力：身體能力和認知能力。過去，機器主要是在原始的身體能力得以與人類競爭，而人類則是在認知能力仍享有巨大優勢。因此，隨著農業和工業的工作邁向自動化，就出現了新的服務業工作。這些新工作需要人類獨有的認知技能：學習、分析、溝通，特別是必須理解人類的種種情緒。然而，人工智慧（以下簡稱AI）已經在愈來愈多認知技能項目上超越人類，包括理解人類的情緒。而且，除了身體能力和認知能力之外，我們並不知道還有什麼第三種領域，讓人類能夠永遠勝過機器。</p> <p>必須體認到的一項關鍵在於：AI革命不只讓電腦運算更快、更聰明，AI更搭配了在生命科學和社會科學方面的種種突破。我們愈瞭解是哪些生化機制在支撐人類的情感、欲望和選擇，也就愈能分析人類行為、預測人類決策，最終取代人類的司機、銀行經理和律師。</p> <p>過去幾十年，由於在神經科學和行為經濟學等領域的研究，讓科學家能夠「駭進」人類，更清楚瞭解人類究竟是如何做出各種決定。事實證明，我們從選擇食物到選擇伴侶，都不是出於什麼神祕難解的自由意志，而是數十億神經元在瞬間計算各種可能性的結果。過去大受讚譽的「人類直覺」，其實只是「辨識模式」罷了。優秀的司機、銀行經理和律師，對路況、投資或談判交涉並沒有什麼神奇的直覺，只不過是辨識出了某些一再出現的模式，於是能夠閃過漫不經心的行人、拒絕無力償債的借款人、戳破心懷不軌的騙子。而且，那些領域的研究同時也證明，人腦的生化演算法距離完美還有很長一段路。人腦會想走捷徑、想根據不完整的資訊快速找出解答，而人腦的迴路也顯得過時，整套機制適合的是過去的非洲大草原，不是現在的都市叢林。也就難怪，就算是優秀的司機、銀行經理和律師，也會犯下愚蠢的錯誤。</p> <p>這代表著，就算是那些本來認為是靠直覺的工作，AI也能夠表現得比人類更好。</p> <p><span style="font-size:28px;"><strong>如果機器也有「感覺」</strong></span></p> <p>如果是說AI能比人類更有那種難以言喻的第六感，這種事大概不會發生；但如果講的是AI能比人類更懂得計算機率、辨識模式，聽起來可能性就高了許多。</p> <p>特別是如果某些工作需要「關於別人」的直覺，AI的表現就能優於人類。許多工作（例如在人潮滿滿的街上開車，把錢借給陌生人，商業上的談判交易等等）都需要準確評估別人的情緒和願望。那個孩子是不是會突然跑到馬路中間？這個穿著西裝的人，是不是打算從我這裡一借到錢就消失？</p> <p>那位律師的言語威脅是認真的嗎？還是只想嚇嚇我？只要我們覺得這些情緒和欲望是來自某種非實體的心靈，顯然電腦就永遠無法取代人類的司機、銀行經理和律師。原因就在於：電腦怎麼可能去理解「心靈」這種神聖的創造物呢？然而，如果這些情緒和欲望實際上也只不過是某些生化演算法，電腦就沒理由無法解譯，而且解譯的成績一定比任何智人都來得好。</p> <p>不管是司機預測行人想往哪走，銀行經理判斷借款人的信用好壞，又或是律師衡量談判桌上所瀰漫的情緒，凡此種種所依賴的都不是巫術，而是在他們無所覺的情況下，大腦就會透過分析臉部表情、聲調、手部動作、甚至體味，來判讀生化模式。AI只要搭配適當的感測器，絕對可以把這些工作做得比人類更精確、更可靠。</p> <p>因此，失業的威脅不只是因為資訊科技的興起，而是因為資訊科技與生物科技的融合。要從功能性磁振造影（fMRI）掃描機，走到勞動市場，這條路肯定是漫長而曲折的，但花個幾十年總是能走完。腦科學家今天對杏仁體（主司情緒與恐懼反應）和小腦（主司感官資訊的整合與微調運動技能）的研究，就有可能讓電腦在2050年比人類更適合擔任精神科醫師和保鏢。</p> <p><span style="font-size:28px;"><strong>該如何與AI共生</strong></span></p> <p>AI也可能以另一種方式，協助創造新的人類工作：人類與其想贏過AI，不如把重點放在AI的維修和運用。舉例來說，因為無人機取代了飛行員，有些工作確實消失了，但同時在維修、遠端控制、資料分析和網路安全方面，卻也創造了許多新的工作機會。美國軍方每派出一架「掠奪者」或「死神」無人機飛越敘利亞，就需要有30人在幕後操作；至於蒐集完資料的後續分析，更需要至少再80人。在2015年，美國空軍就曾經因為受過足夠訓練的人力不足，面臨無人操作無人機的窘境。</p> <p>這樣說來，2050年的就業市場特色，很可能在於人類與AI的合作，而非競爭。從警務到銀行等各種領域，「人類搭配AI」的表現都能超越純粹的人類、或超越純粹的電腦。在IBM的深藍於1997年擊敗世界西洋棋王卡斯帕羅夫之後，人類並沒有停止下棋。相反的，在AI協助訓練之下，人類的西洋棋大師水準比過去更高。而且至少有一段時間，由人類和AI搭配而有「半人馬」之稱的這種隊伍，在西洋棋的表現也擊敗了純粹的人類和純粹的電腦。很有可能，AI也能像這樣，協助培養出史上最傑出的偵探、銀行經理和軍人。</p> <p>然而，這些新工作都需要高水準的專業知識，無法解決無技能勞工失業的問題。想讓勞工再受訓後、去做這些工作，可能還不如直接創造完全屬於人類的全新工作。像是在過去的自動化浪潮中，勞工通常可以從某項規律性、低技能的工作，輕鬆轉向另一項同樣規律性、低技能的工作。像是在1920年，因為農業機械化而失業的農場工人，可以轉到製造曳引機的工廠裡找到新工作。在1980年，工廠工人失業後，也可以轉到超市裡當收銀員。這種轉職在過去是可行的，因為從農場到工廠、從工廠到超市，都只需要稍加重新培訓即可。</p> <p>但是到了2050年，收銀員或紡織工人的工作都由機器人接手之後，他們大概無法轉職成癌症研究學者、無人機操控員、或是人類搭配AI的銀行團隊一員。他們就是少了必備的技能。在第一次世界大戰的時候，派出百萬名大兵扛著槍一陣亂射，犧牲在所不惜，其實是合理的做法，畢竟當時個人的技術好壞並不會造成太大差異。但到了今天，就算無人機操控員和資料分析師的位子確實缺人，美國空軍可不會找個失業的超市收銀員來填埔空缺。你可不希望有個沒經驗的菜鳥，把阿富汗的婚禮派對，誤認為塔利班的高層集會吧？</p> <p>因此，雖然出現許多新的人類工作，仍然可能看到新的「無用階級」日益龐大。我們甚至可能是兩面不討好：許多勞工找不到工作，但也有許多雇主找不到有技能的勞工。這可能就像是19世紀馬車變成汽車的情況再現，當時許多馬車司機轉業成為計程車司機；只是我們可能不是那些轉業的司機，而是被淘汰的馬！<span style="color:#696969;"><strong>（本文摘錄整理自《21世紀的21堂課(增訂版)》，天下文化提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-IT%E6%9B%B8%E6%91%98-21%E4%B8%96%E7%B4%80%E7%9A%8421%E5%A0%82%E8%AA%B2.png" style="width: 317px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <strong><span style="color: rgb(51, 153, 255);">21世紀的21堂課（增訂版）</span></strong></p> <p>哈拉瑞（Yuval Noah Harari）／著；林俊宏／譯</p> <p>天下文化出版</p> <p>定價：600元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_21%E5%A0%82%E8%AA%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下文化</span></span></p> <p><strong>哈拉瑞（Yuval Noah Harari）</strong></p> <p>哈拉瑞1976年出生於以色列，擁有牛津大學博士學位，是歷史學者、哲學家暨暢銷書作者，公認是目前世上影響力數一數二的公共知識份子。在《人類三部曲》系列書籍取得巨大成功之後，與先生亞哈夫（Itzik Yahav）共同成立Sapienship公司。這是一家著重於教育及娛樂領域的社會影響力企業，希望能讓公共對話聚焦於目前最重要的全球挑戰。</p> </div></div></div>
2022/12/9 13:33未署名https://www.ithome.com.tw/article/154628