iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

NIST宣布美國聯邦政府2030年12月31日後停用SHA-1加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nist.gov/news-events/news/2022/12/nist-retires-sha-1-cryptographic-algorithm">美國國家標準暨技術研究院（NIST）</a>認為目前受廣泛使用的SHA-1加密演算法，已經不夠安全，因此宣布SHA-1應該在2030年後淘汰，建議還仰賴SHA-1安全性的IT專業人員，應儘速更新採用SHA-2或SHA-3。</p> <p>SHA-1前3個字母為Secure Hash Algorithm的縮寫，從1995年以來，一直是聯邦資訊處理標準（FIPS）180-1的一部分。SHA-1是SHA的修改版本，而SHA是美國聯邦政府在1993年廣泛使用且標準化的雜湊函式，但因為當前越來越強大的運算能力，已經可對該演算法進行碰撞攻擊（Collision Attack），因此NIST才會宣布SHA-1應該在2030年12月31日退場，並採用更安全的SHA-2和SHA-3演算法。</p> <p>SHA-1目前已經是許多安全應用程式的建構模組，像是在用戶載入網頁時，透過採用SHA-1，便能夠相信來源的真實性。SHA-1透過對訊息的字元進行複雜的數學運算，生成稱為雜湊的字元短字串，第三方要從雜湊重建原始訊息是不可能的，收件人也可以透過簡單的方法來知道原始訊息是否遭到竄改，因為即便是只對訊息動了小手腳，生成的雜湊也會跟著變動。</p> <p>但是過去被認為安全的SHA-1，在現今強大的運算能力下變得不可靠，NIST表示，現在的電腦已經可以創建詐欺式訊息，也就是經過竄改的訊息，能夠產生與原始訊息相同的雜湊值，這將危害到真實訊息，而且近年這些碰撞攻擊已經被用來破壞SHA-1。</p> <p>NIST過去曾宣布，美國聯邦應該在數位簽章創建等，碰撞攻擊構成嚴重威脅的情況下，停止使用SHA-1。隨著其他應用程式也面對日漸嚴重的SHA-1碰撞攻擊，NIST現在宣布2030年12月31日前應該停止使用SHA-1，該組織將會頒布FIPS 180-5來修正SHA-1規範，並且創建並發布用於驗證加密模組和演算法的轉換策略。</p> <p>NIST宣布2030年12月31日後停用SHA-1加密演算法，這代表著聯邦政府不允許購買2030年後仍在使用SHA-1的模組，企業目前有8年的時間換掉SHA-1。</p> </div></div></div>
2022/12/19 11:11作者李建興https://www.ithome.com.tw/news/154769
樂高線上市集存在兩嚴重漏洞，可洩漏用戶個資與伺服器機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>API資安公司Salt研究人員發現<a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis">樂高（LEGO）的線上服務存在安全漏洞</a>，不只可能讓攻擊者取得其他人帳戶完全控制權，還洩漏PII以及敏感資料，同時攻擊者也能夠存取內部資料，而這可能導致內部伺服器遭入侵。</p> <p>由於研究人員Shiran Yodev除了是一名專業駭客，同時在業餘時間，也喜歡收集並且組裝樂高，於是樂高變成為了該研究人員的研究對象，這次被發現漏洞的並非是lego.com這個樂高的主要官方網站，而是樂高擁有的另一個線上交易平臺bricklink.com。</p> <p>bricklink.com最初由一個樂高迷在2000年創建，作為樂高積木以及組合包的交易平臺，隨著該平臺的壯大，成為市場上稀有樂高積木的交易地，到了2019年，bricklink.com被樂高收購，現在為樂高的全資子公司，並且由獨立團隊管理。</p> <p>bricklink.com的服務相當複雜，因為他提供賣家許多管理商店的功能，還能夠協助買家購買和管理零件和組合包收藏列表，也有一個工作室平臺，讓設計師能夠設計樂高作品，Shiran Yodev提到，這些複雜邏輯意味著更大的攻擊面。</p> <p>Shiran Yodev發現了bricklink.com中兩個API安全漏洞，第一個漏洞是發生在使用者輸入欄位，在優惠券搜尋的尋找使用者名稱對話框中，存在一個跨站腳本（XSS）漏洞，攻擊者能夠設計連結，在終端用戶的電腦上注入和執行程式碼，只要運用暴露在不同頁面上的Session ID，連結跨站腳本，便能劫持Session並且接管帳戶。</p> <p>第二個漏洞則是在上傳至願望清單頁面，這頁面讓用戶能夠以XML格式上傳想要的零件列表，而攻擊者在這個頁面便能夠進行XML外部實體攻擊（XEE），讀取網頁伺服器上的檔案，並以伺服器端請求偽造（Server-side request forgery）來存取並且操作無法被直接存取的資訊，包括AWS EC2權杖。</p> <p>樂高在接獲研究人員通報之後，已經迅速修正了這些漏洞，但因為樂高公司內部政策關係，並沒有對外多加說明，因此Salt無法正面確認這些修復。</p> </div></div></div>
2022/12/19 11:14作者李建興https://www.ithome.com.tw/news/154771
OpenAI發表新的嵌入模型，效能更好且比Davinci更便宜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表新的<a href="https://openai.com/blog/new-and-improved-embedding-model/">嵌入模型text-embedding-ada-002</a>，該模型功能更強大成本更低，且使用起來也比較簡單，可取代了文字搜尋、文字相似性和程式碼搜尋等5個獨立模型，比起之前最強大的模型Davinci，價格更是便宜了99.8％</p> <p>官方解釋，嵌入是指將概念的數字表示轉換成數字序列，這使電腦能夠簡單理解概念之間的關係。從OpenAI的嵌入端點推出以來，許多應用程式都運用嵌入來進行個人化、推薦和搜尋內容。</p> <p>新模型text-embedding-ada-002效能更強大，無論是在文字搜尋、程式碼搜尋還是語句相似性任務上，表現都優於舊的嵌入模型Davinci。</p> <p>Text-embedding-ada-002在能力表現上也更一致，過去要分散5個獨立模型各別處理文字搜尋、文字相似性和程式碼等任務，現在統一合併使用text-embedding-ada-002就能夠完成，官方提到，text-embedding-ada-002的單一表示，在不同的文字搜尋、語句相似性和程式碼搜尋基準測試，都比過去的嵌入模型表現還要好。</p> <p>另外，text-embedding-ada-002也能夠處理更長的上下文，是舊模型長度的4倍，從2048增加到8192，用戶能夠更簡單地處理長文件。text-embedding-ada-002還擁有較小的嵌入大小，新嵌入只有1536維，是davinci-001嵌入的八分之一，較小的嵌入使向量資料庫更具成本效益。</p> <p>與相同大小的舊模型相比，text-embedding-ada-002價格降低了90％，只要0.2％的舊模型價格，就可以獲得和Davinci更好或是類似的效能。</p> <p>整體來說，新模型是更強大的自然語言處理和程式碼任務工具，但仍存在一些限制，像是在SentEval線性探測分類基準的表現不如text-similarity-davinci-001，對於需要在嵌入向量上訓練輕量級線性層，以進行分類預測的任務，OpenAI建議用戶可以先比較新舊模型的表現，以選出最符合需求的模型。</p> </div></div></div>
2022/12/19 11:17作者李建興https://www.ithome.com.tw/news/154772
AWS新產品戰略以資料為主軸，更要朝全解決方案產業應用來發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">雲端服務龍頭AWS每年冬天都會在美國拉斯維加斯舉行年度全球用戶大會，但受疫情衝擊，2年前改為全線上進行，儘管相隔一年，隨即於2021年恢復實體舉辦，但實際參加人數明顯不如往年，甚至不到全盛時期一半，許多人都改線上參加，使得去年整場活動似乎沒有像以往那麼熱絡。</p> <p dir="ltr">到了今年re:Invent用戶大會，官方雖還是採實體和線上併行，但從今年現場參加人數來看，至少超過5萬人參加，人潮逐漸恢復到疫情前的水準。今年活動重頭戲，就是首日主題演講，AWS執行長Adam Selipsky這次登臺，相較去年首次登場，大多時候都在回顧AWS在各項領域發展，如今執掌一年多，他今年對這家公有雲公司未來發展策略，明顯有了更清晰的藍圖。</p> <p dir="ltr">在他的帶領下，AWS將以資料為主軸，透過整合、治理、安全和透明化，建立更廣闊的數據探索領域，來達成數據創新，甚至更要朝向「全解決方案」產業應用來發展。</p> <p dir="ltr">一開場，Adam Selipsky先細數他們如何協助大型企業用AWS雲克服自身挑戰，如BMW集團用公雲打造連網汽車服務顛覆駕駛體驗，也有美國遊戲開發商Riot Games靠雲端來應付每秒50萬起事件通報與處理，提高用戶體驗以獲得更高收益。還有全球最大證券交易所Nasdaq完成關鍵核心系統上雲，提高金融市場證券發行業務處理效率，更多系統年底前將上雲。</p> <p dir="ltr">不僅大型企業有用，Adam Selipsky也引用數據強調，超過8成新創獨角獸都是AWS客戶。</p> <p dir="ltr"> Adam Selipsky不只一開始就大談企業上雲經驗，他對於企業用戶的重視，也反應在今年AWS產品發布上跟往年明顯不同。長達2小時的主題演說，Adam Selipsky用合適工具（Right Tools）、整合（Integration）、治理（governance）以及洞察（Insight）4大主軸貫穿整場演講。他表示，面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種類型資料，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。</p> <p dir="ltr">他所提出的這個企業數據戰略，可以說就是AWS新的產品策略，這次眾多雲端產品發布和服務更新，都是圍繞這個新策略發展，推出各種資料整合、治理、安全和透明化的服務方案。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>執掌1年多，AWS執行長Adam Selipsky對這家公有雲公司未來發展策略，明顯有了更清晰的藍圖，將透過整合、治理、安全和透明化，來達成數據創新，更要朝向「全解決方案」產業應用來發展。</strong><span style="font-size:14px;">攝影／余至浩</span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>無伺服器新布局:完善Serverless產品線，通吃旗下所有分析服務</strong></span></p> <p dir="ltr">在工具上，AWS已提供完整資料庫、分析、ML/AI工具，協助企業做資料處理和運用。尤其在分析服務上，AWS今年對於無伺服器（Serverless）布局更加完整了。</p> <p dir="ltr">去年AWS在年度大會上宣布AWS資料倉儲服務Redshift能支援無伺服器服務後，緊接下來，今年其他分析產品也陸續加入支援行列，包括大數據處理平臺EMR、即時分析工具MSK，若加上原本就能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight，就只差搜尋和分析引擎服務OpenSearch還沒Serverless化。如今，AWS也把這個缺口填平，在會中宣布OpenSearch也能提供這個服務方案。</p> <p dir="ltr">Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供Serverless。」</p> <p dir="ltr">為何Serverless對於AWS如此重要？Adam Selipsky在會中並沒有明講，但他在去年大會上曾提到說，在他來看，雲端運算還在初期發展階段，要先把下水道工程布局布好，所以AWS是以雲還在起步的概念來布局，而Serverless就是一個重要戰略，對於Serverless持續加快布局，就是要把包括分析在內的服務都Serveless化，這一步還在持續發展，但AWS先從資料分析服務著手，並用資料整合來加以擴大。</p> <p dir="ltr">AWS今年在資料庫和分析服務方面也有推出不少新功能。雲端互動式查詢服務Athena整合Spark，就是其中一個重要更新，使企業可以在Athena控制臺中使用Jupyter Notebook或Athena API來構建Spark應用程式，速度比起傳統啟用做法快75倍，而雲端資料整合服務AWS Glue，加入自動化監測和管理功能，來提高整合的資料品質。</p> <p dir="ltr">AWS對資料服務布局還不只如此，還加強服務本身擴充性和可靠度，像是因應叢集服務需求，DocumentDB更新後現在可以建立跨多節點的DocumentDB叢集，以獲得每秒數百萬次讀寫吞吐量與PB級儲存規模。Redshit資料倉儲新增Multi-AZ預覽版功能，可以提供高可用配置設定，能跨多個可用區進行配置，讓資料倉儲也能和其他資料庫服務一樣具有高可用。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資料新布局：以實現Zero-ETL願景的資料整合為目標 </strong></span></p> <p dir="ltr">AWS今年在資料整合也有新布局，以往要做到不同資料庫、資料倉儲的資料整合這件事，需要透過ETL（萃取、轉置、載入）處理流程，對於分析人員來說，太花時間，因此需要有新的資料整合方式，來加快資料運用。過去手動資料整合方式已經跟不上現在資料動態的特性與企業營運快速成長。這也成了AWS想要替企業客戶解決的痛點。</p> <p dir="ltr">為了讓資料整合能更無縫接軌，AWS這些年一直想要打造一個Zero-ETL的新資料整合方式，以便在分析和ML服務時，就能直接取得這些資料做分析，而不需要搬動任何資料。「我們目標就是要實現zero-ETL願景。」Adam Selipsky強調。</p> <p dir="ltr">原先AWS在少數資料服務中就提供類似Zero-ETL的資料整合功能，例如使用AWS串流服務Kinesis時可以直接取得Redshift的資料，執行SageMaker機器學習服務時，也能很快拿到Redshift和Athena資料庫的資料做ML訓練，不需要另外建立資料處理流程（data pipeline）或撰寫程式。其他還有提供聯合查詢工具（federated querying tool ），可以跨資料倉儲和資料庫查詢和分析數據。</p> <p dir="ltr">在今年資料整合更新中，AWS朝向實現Zero-ETL邁出更大一步，徹底無縫整合兩大數據雲端服務Aurora與Redshift的資料。透過 Aurora zero ETL Integration with Redshift這個新功能，每次只要有新資料寫入Aurora資料庫中，資料就會直接同步到Redshift資料倉儲，不需要重新建立和執行繁鎖ETL流程。這種Zero-ETL資料整合方式，也讓企業在Redshift實例中更多了一種資料分析來源，能從Aurora資料庫叢集的數據分析，來獲得跨多應用的整體洞察。</p> <p dir="ltr">AWS對於資料倉儲的布局，也跨到整合串流大數據分析領域的主流平臺Spark，企業以後在Redshift上構建和執行Spark應用將變得很容易，不需要使用第三方Apache Spark連接器，就能馬上取得Redshift中的資料，提供給Amazon EMR做為大數據分析使用。這也為Redshift帶來新機會，能讓更多分析和ML服務都能用。</p> <p dir="ltr">不光如此，Redshift在資料安全管控上也有加強措施，利用AWS Lake Formation資料湖治理功能，使Redshift數據共享達到顆粒度更高的權限控管，可以針對單一欄或行，來設定不同角色的存取權限，進而提高資料安全性。這也是AWS端到端資料治理策略一環。</p> <p dir="ltr">在AI產品發展上，AWS延續去年端到端的資料戰略，AWS從去年就已經建構更加完整的機器學習和AI服務，從底層機器學習框架及基礎架構，到機器學習訓練環境全託管服務SageMaker，以及上層AI服務。目前上萬家企業用SageMaker建立ML模型，來執行每月上兆次的ML預測。</p> <p dir="ltr">儘管，今年SageMaker沒有重大更新，但AWS仍推出不少局部功能更新，持續補強SageMaker服務完整性，像是新增ML Governance治理功能，可以讓開發者在端到端ML開發過程中，就能開始使用治理和審計，來滿足企業需求克服ML治理的挑戰。</p> <p dir="ltr">對於使用SageMaker建立機器學習模型，現在也能支援地理空間類型資料作為ML訓練資料，來幫助開發團隊建立、訓練和部署這類型的ML模型，還可以將模型預測結果顯示在一個互動式3D地圖來查看。SageMaker以後可以擴展到更多應用領域，如農業、都市發展、商業新據點拓展。</p> <p dir="ltr">在No-Code服務上，AWS針對No-Code的QA工具Quicksight Q推出新功能，不只能以自然語言進行提問，還能讓使用者可以用「為什麼」來發問，再根據機器學習模型得到預測和分析的結果，給出建議或答案。而透過採用這個方式，可以降低專業IT或資料科學家的負擔，讓更多非專業素人更容易運用AI。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%963-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS雲端機器學習服務SageMaker今年雖然沒有發布重大更新，大多是提供一些補強功能，但也持續加強SageMaker服務完整性，像是新增ML Governance治理功能，可以讓開發者在端到端ML開發過程中，就能夠開始使用治理和審計，來滿足企業需求克服ML治理的挑戰。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／余至浩</span></p> <p dir="ltr"><span style="font-size:28px;"><strong>產業應用新布局:力推雲端供應鏈管理新服務</strong></span></p> <p dir="ltr">在產業應用上，AWS開始朝向全解決方案發展，新推出的AWS Supply Chain雲端供應鏈管理服務，就是瞄準全產業供應鏈管理需求。雖然目前是預覽版，但AWS強調，透過這套服務，企業未來可以自動組合和分析跨多個供應鏈系統的數據。該服務更是借助了Amazon電商物流供應鏈多年經驗與技術發展而來，但不限於電商，其他行業也能用。</p> <p dir="ltr">更進一步來說，企業可以使用該服務內建的連接器，建立統一供應鏈數據湖，並運用母公司在供應鏈預先訓練完的ML模型，來自動匯整各套ERP和供應鏈管理系統中的所有數據，然後將分析結果以視覺化呈現，不僅方便管理者隨時查看庫存變化，也能以此建立風險預警機制，一旦經過ML判斷為潛在高風險情況，就會提供警訊給負責人員，因此就能早一步採取避險行動。</p> <p dir="ltr">但初期只有支援以SAP S/4HANA、SAP ECC、EDI、Amazon S3這4類為主的ERP、供應鏈相關系統和資料源。美國、歐洲將會先上線，其他地區陸續也將推出。</p> <p dir="ltr">其他產業應用，還有支援大規模空間模擬的運算服務SimSpace Weaver。AWS表示，透過這個新運算服務，最多能支援超過1百萬個獨立動態實體，也就是可以在虛擬環境中模擬大規模人群、城市規模的環境以及複雜交通等。因為是提供企業或政府建立大型數位分身應用所需的運算基礎設施，所以將空間模擬擴展到多個EC2執行個體，管理底層運算、記憶體或網路執行大規模模擬，將有助於加速企業數位分身應用發展。</p> <p dir="ltr">在資料安全性也有獲得不少強化，AWS推出名為Amazon Security Lake的安全數據湖服務，可以協助企業組織聚集、管理和分析日誌和事件數據，包含AWS和其他合作廠商的數據，讓資安威脅檢測、調查和事件應變速度能更加提升。新數據管理服務DataZone則可以讓資料專案團隊在統一資料協作環境中發布所需分析資料，來提供團隊成員查詢、存取或共享，並搭配治理與存取權限控管，來確保資料使用安全。GuardDuty EKS Protection防護服務中，也提供部署容器runtime威脅偵測。</p> <p dir="ltr">雲端基礎設施也迎來不少更新，AWS目前超過600種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等，AWS這次發布採用新一代Nitro系統和Graviton處理器的執行個體服務。</p> <p dir="ltr">Nitro是AWS打造的EC2執行個體基礎平臺，歷經4代改版後，新一代Nitro大幅提高網路傳輸能力，每秒封包傳輸速度較前一代提高60%，反應速度加快30%，每瓦效能也有獲得40％改善。AWS還更新Graviton產品，儘管未是如外界預期Graviton4，而是改推出一款經改良的Graviton3E處理器晶片，但是該款處理器的向量指令性能表現，較前一代Graviton3能再提高30%，可適用於HPC應用場景。</p> <p dir="ltr">AWS運用Graviton3E和Nitro推出多個執行個體服務，包含能支援200Gbps超大網路頻寬的C7gn，還有推出高效能運算專用的Hpc7G等。AWS這次也更新x86架構EC2實例，推出名為R7iz的新類型，能夠支援第4代Intel Xeon Scalable處理器，使每個vCPU效能比z1d再提升20%。C7gn、R7iz先推預覽版，Hpc7G最快明年才推出。</p> <p dir="ltr">整體來看，AWS今年產品策略以擴大和延續為主，許多產品發布都是對既有服務或產品的補強，看似平淡無奇，但是這些更新背後，卻是有著AWS更長遠的企業數據產品戰略的考量，正透過一步步紮實的步伐，一一把各種企業需求的關鍵拼圖補齊。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%962-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS推出Supply Chain雲端供應鏈管理新服務，借助母公司電商物流供應鏈多年經驗與技術，來匯整各套ERP和供應鏈管理系統中所有數據，然後將分析結果以視覺化呈現，方便管理者從互動地圖上隨時查看庫存變化，也能以此建立風險預警機制。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p class="rtecenter" dir="ltr"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%964-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>在基礎設施也迎來不少更新，AWS目前超過6百種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等。AWS這次發布採用新一代Nitro系統和Graviton處理器的執行個體服務。包含能支援200Gbps超大網路頻寬的C7gn（上圖），還有推出高效能運算專用的Hpc7G等。</strong><span style="font-size:14px;">圖片來源／AWS</span></span></p> <p><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154748
【AWS 2023雲端關鍵戰略1】擴大資料倉儲Redshift產品廣度，打造企業資料全能分析中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年AWS雲端資料倉儲服務Redshift推出正式滿10周年，但在這個特別的一年，AWS在年度大會上卻一反常態，沒有發布重大升級更新。取而代之的是，AWS在會中推出許多新功能，都是和Redshift相關，從更緊密資料整合、串流資料分析到強化安全存取。儘管看似都是些小更新，但AWS沒說的是，藏在Redshift這次更新背後的更大企圖，就是要把Redshift打造成企業資料集散地，來符合各種現代化應用的使用，以及能匯整各種類型資料，提供AI分析和後續應用，更要讓這個能夠通吃各種資料類型的新一代資料倉儲架構，成為加速企業資料現代化的關鍵產品。</p> <p dir="ltr"><span style="font-size:28px;"><strong>要讓Redshift成為通吃各種資料類型的新一代資料倉儲架構</strong></span></p> <p dir="ltr">AWS數據和機器學習副總裁Swami Sivasubramanian在數據主題演講中指出：「所有新功能都瞄準同一個終極目的，不管資料在哪裡都可以集中到Redshift上來分析。」顯然，AWS就是壓寶Redshift，未來能夠成為企業資料的核心。</p> <p dir="ltr"> Redshift是第一個採用MPP（大量平行處理）架構的雲端資料倉儲，號稱比本地部署能以更經濟高效的方式對大量數據進行快速分析及查詢，並提供跨資料倉儲、核心資料庫和資料湖分析結構化和半結構化資料執行SQL查詢，更具有高擴充彈性，Redshift Serverless在今年7月正式GA，讓雲端資料倉儲也能應付資料量多變的資料分析任務。目前，上萬家企業使用Redshift，每天處理資料總量達到EB級。</p> <p dir="ltr">但要打造Redshift成為企業統一的資料集散地，只是這樣還不夠。從今年功能更新來看，AWS對資料倉儲布局更加完整，正一步步打通Redshift服務在企業資料架構中的各環節，讓它的產品完整度更高，涵蓋到不同應用層面，支援各種企業分析需求和資料整合。</p> <p dir="ltr">AWS今年推出的第一個新功能，就是將資料前處理ETL步驟簡化，甚至全面Zero-ETL化。ETL指的是資料萃取、轉置、載入的過程，以往企業會使用這個方式將多系統中的資料整合到單一資料倉儲中，以便進行分析和後續處理，過去Redshift要從其他資料庫、資料湖拿取資料，都得執行ETL程序，但如此一來，資料分析就會太慢，甚至針對不同資料來源或資料類型，就需要建立不同ETL流程，更不利於後續維護。直到現在才解決。</p> <p dir="ltr"><span style="font-size:28px;"><strong>靠Zero-ETL化，解決Redshift跨資料庫資料整合的痛點</strong></span></p> <p dir="ltr">AWS推出Aurora Zero-ETL integration with Amazon Redshift這個新功能，結合Zero-ETL做法，讓Aurora資料庫中儲存的結構化資料可以自動匯進Redshift，不需要建立和維護複雜的資料處理流程，來執行ETL操作。因為可以將資料同步時間縮短到幾秒內，這意謂著，企業可以更快從Aurora資料庫取得所需資料，進行後續分析，還能執行如ML進階分析、具體檢視圖、資料共享以及聯邦查詢等，並從這些綜合資料分析中獲得整體的洞察。</p> <p dir="ltr">不僅如此，Redshift還新增自動複製功能，讓S3資料湖和Redshift之間更加緊密整合，使用者從S3中將資料複製到Redshift中，只要一鍵就能完成所有操作，不像以前多使用S3來做備份，需要特別分析才將資料放進Redshift。</p> <p dir="ltr">有了這個新功能以後，以後只要偵測到S3資料夾有更新檔案，就會自動執行Redshift複製任務，等於是從S3就能直通到Redshift資料倉儲，就能大大簡化資料複製流程。對於資料分析人員來說，只要從Redshift就能拿到各種類型的S3資料，而且能支援不同檔案格式，如CSV、parquet檔或其他文字檔。不過目前還是預覽版。</p> <p dir="ltr">不只能更快取用AWS資料，對於第三方資料整合與分析，AWS推出了名為Informatica Data Loader的免費資料整合工具，只要透過Redshift控制臺，就能將第三方資料檔案快速上傳至Redshift，目前可以支援Salesforce、Marketo在內等超過30個原始資料源，可跨多種資料格式在Redshift中執行高速且大量的資料上傳作業。</p> <p dir="ltr">雲端串流資料的整合，也是Redshift這波更新一大重點，整合Kinesis Data Streams和Amazon MSK兩大資料串流引擎，強化Redshift對於串流資料擷取的支援能力，使企業在取得串流資料時，不需要像以往得先將資料暫存到S3中，隔段時間後，再將整批數據載入到Redshift中，導致串流分析的速度變慢。現在就沒有這個問題，所有串流資料都能接近即時匯入到Redshift資料倉儲中。</p> <p dir="ltr">甚至，AWS對於資料倉儲的布局，如今也直接整合串流大數據分析領域的主流平臺Spark。借助Amazon Redshift Integration for Apache Spark這個新功能，企業以後在Redshift和無伺服器Redshift服務上執行Spark應用變得更簡單，不像過往使用Amazon EMR、SageMaker以及AWS Glue服務執行Spark應用時，需透過第三方Spark連接器才能讀寫Redshift資料，現在只要透過預先打包好的Redshift Connector for Spark工具，就能迅速取得Redshift資料，甚至啟用速度比起傳統快10倍，還能支援Java、Python、Scala等語言編寫Spark應用程式。這也意味著，將可擴大資料倉儲在串流分析大數據應用範圍。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資料隱私和治理獲得大幅強化</strong></span></p> <p dir="ltr">資料管控更是Redshift資料倉儲要能夠通吃各種資料類型成為統一的資料集散地的關鍵。</p> <p dir="ltr">在今年更新中，AWS也大幅強化了Redshift的安全與可靠性。在安全性上，AWS推出兩項存取控管新功能，前者是動態資料遮罩（Dynamic Data Masking）預覽功能，這是資料保護常見的功能，現在AWS把這項能力放進Redshift中，強化資料隱私和處理。基於該功能，使用者從SQL查詢結果中就只會看到篩選過濾後的內容，對涉及敏感性個資或其他機敏資料就會進行遮敝或模糊化處理，沒有賦予權限的使用者就看不到，防止敏感性資料遭違法蒐集和利用，以確保合乎隱私的要求。</p> <p dir="ltr">後者則是Lake Formation-managed Redshift datashares功能，AWS讓企業也能利用資料湖管理工具Lake Formation管理Redshift的資料共享權限，透過這個集中式管理方式，企業就能使用更精細的存取控制，設定不同角色的資料共享權限，也能確保在不同AWS帳戶或跨區域中，都能安全地共用Redshift叢集即時資料。目前同樣推出預覽板。</p> <p dir="ltr">AWS推出最後一項新功能，則是可以提高Redshift服務可用性。Redshit新增Multi-AZ功能，讓企業可以在多個可用區部署Redshift，藉此可以達到跟其他AWS資料庫服務一樣具備高可用，來確保服務可以全天運作不停機，避免一旦服務中斷，企業就沒辦法透過它提供預測或協助高層加快決策，導致可能造成營運損失的風險。除了可以Redshift RA3實例將數據儲存在Redshift Managed Storage中，也支援常見的災難復原功能，如自動備份、故障轉移等。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154749
【AWS 2023雲端關鍵戰略2】不只資料倉儲、ML服務，AWS揭露全服務資料治理的大戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在年會中，AWS展現出前所未有的資料治理產品布局，從一開始只有少數資料產品具備治理功能，今年不只延伸到資料倉儲Redshift也能支援這項能力，甚至從資料源頭進一步涵蓋到機器學習服務SageMaker，就連新推出的資料管理服務，都把治理作為必備功能，提供企業來運用。AWS對於資料產品策略明顯轉變，更讓資料治理躍升為今年AWS資料產品最重要的發布之一，甚至不只資料產品，AWS更揭露了要邁向一個全服務資料治理的大戰略。</p> <p dir="ltr">資料是企業數位轉型的核心，隨著資料量越來越龐大，許多企業開始發現，光只是蒐集資料、完善資料分析還不夠，要讓企業內部資料容易使用，還要能容易做好法遵或合規，就必須落實資料治理，也因此，許多企業開始重視甚至強調資料治理，而開始受到各界的關注。近年來，各大公雲巨頭也都開始搶進，布局企業資料治理這個新領域。</p> <p dir="ltr"><span style="font-size:28px;"><strong>持續擴大資料治理布局，更多雲端資料產品都支援</strong></span></p> <p dir="ltr">去年年會，AWS推出Lake Formation服務，先在雲端資料湖產品中，開始提供資料治理的功能，到了今年，AWS持續布局資料治理的態勢更加明顯。</p> <p dir="ltr">AWS數據和機器學習副總裁Swami Sivasubramanian在演講中不只重提AWS端到端資料策略，今年更進一步揭露未來端到端的資料治理策略。他表示，要串起組織中所有數據，需要有從建立自動化資料路徑到資料治理工具的一整套解決方案，不只是數據整合，還包含了組織部門、團隊與個人的整合。「通過資料治理，可以為資料斷點、團隊斷點提供一個安全通道，如此一來，企業不同部門之間才能夠彼此協作，並根據獲取的數據來採取行動。」</p> <p dir="ltr">從今年雲端資料產品更新來看，更多資料產品都開始提供資料治理能力。AWS資料倉儲Redshift推出Centialized Access Controls for Redshift Data Sharing預覽版，就是整合治理功能來強化資料存取控管與安全。他們利用Lake Formation資料治理方式來管理Redshift叢集的資料共享，因此可以使Redshift共享資料達到顆粒度更高的權限控管，可以針對單一欄或行，來設定不同角色的存取權限，進而提高資料安全性，使用者既不需要撰寫腳本程式，也不用編寫複雜程式。這也是AWS端到端資料治理策略不可缺少的重要一環。</p> <p dir="ltr"><span style="font-size:28px;"><strong>主打內建治理的資料管理新服務</strong></span></p> <p dir="ltr">不光如此，AWS雲端資料管理服務也都開始支援這項能力。 AWS執行長Adam Selipsky親自發表了新的資料管理服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能，可對儲存在AWS中的數據提供資料目錄編制、探索、共享和管理。</p> <p dir="ltr">Swami Sivasubramanian就指出， DataZone最大價值，就是兼具有強大的資料治理控制與存取簡化，使組織中所有人可以很容易查看、組織和協作，將資料價值發揮到最大，加速企業創新。</p> <p dir="ltr">DataZone提供統一資料協作環境（Zone），讓資料專案團隊可以在DataZone中發布所需資料，來提供團隊成員查詢、存取或共享，並搭配治理與存取權限控管，來確保資料使用安全。這樣的好處是，可以大大簡化跨部門或不同專案團隊資料使用、分析流程以及治理策略整合，透過這項服務，不論是資料科學家、資料工程師或行銷人員的資料利用，都能套用一致治理標準來管理，來加快數據分析與應用。</p> <p dir="ltr">AWS對於治理布局不只如此，不只是從資料源頭做好治理，對於用這些資料訓練建立的ML模型也有提供相對應的治理方案。尤其，AI/ML應用當道，企業以ML為基礎的應用越來越多、越來越關鍵，如何透過ML治理打造負責任AI，成了企業IT新課題。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-1108-%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS發表了新的資料管理服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能，可對儲存在AWS中的數據提供資料目錄編制、探索、共享和管理。不論是資料科學家、資料工程師或行銷人員的資料利用，都能套用一致治理標準來管理，來加快數據分析與應用，包含哪些資料可以共享、誰有權使用，以及使用期限等，確保只有授予該資料存取權限的團隊成員才能使用。</strong><span style="font-size:14px;">圖片來源／AWS</span></span></p> <p dir="ltr"><strong><span style="font-size:28px;">SageMaker機器學習服務也加入治理功能</span></strong></p> <p dir="ltr">但以往要做到端到端ML流程治理，對企業挑戰很大，因為一個ML模型的建立，往往牽涉到許多不同團隊協作，彼此相互配合，包括資料科學家、資料工程師，甚至是資料使用者。但要擬定政策做好權限的控管，不僅很花時間，遇到不同使用單位，還得制定不同政策，甚至要與他人共享模型資訊也十分沒效率，常常拿到都已經是舊的資訊。</p> <p dir="ltr">為了解決這個問題，AWS先從最常用的機器學習訓練環境全託管服務SageMaker開始，將ML治理功能帶進SageMaker服務中，來強化企業端到端ML開發的治理和審計。</p> <p dir="ltr">在SageMaker服務中推出3項ML治理新功能，AWS表示，透過這三個功能，就能涵蓋端到端機器學習流程的管理與治理，分別是角色管理器（Role Manager）、模型卡片（Model Cards），以及模型儀表板（Model Dashboard）。</p> <p dir="ltr">一開始決定不同角色使用權限，就是靠Role Manager來定義與擬定政策，因為結合自動化機制，讓原本繁瑣政策建立流程，縮短到幾分鐘內完成。開始建立ML模型時，就會需要用Model Cards集中管理ML模型所有資訊和檔案文件，並採單一數據源（single source of truth）來建構ML檔案狀態更新的機制，以保持ML資訊一致，來涵蓋完整ML模型生命週期。</p> <p dir="ltr">最後，對於部署的ML模型效能表現，也能使用Model Dashboard工具來對ML模型效能進行統一監控，不只提高模型的透明度，當偵測到預測結果明顯偏離預期時就會自動告警，通知相關人員加以處理。</p> <p dir="ltr">「有了這些治理功能就可以幫助企業有責任建構ML治理」Swami Sivasubramanian補充。</p> <p dir="ltr">但資料治理只支援資料湖、資料倉儲、機器學習服務還遠遠不夠。Swami Sivasubramanian直言，想要真正實現端到端治理，需要能夠管理企業所有服務資料存取，「這是我們正在朝向發展的方向」他說。這正是AWS未來邁向一個全服務資料治理的大戰略。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154750
AWS 2023雲端新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年人潮回流，超過5萬人參加，但AWS產品策略以擴大和延續為主，儘管看似些小更新，但藏在背後的更大企圖，不只擴大資料倉儲產品廣度，更加快資料治理布局，正是補齊下一階段資料戰略的關鍵拼圖</p> <div> </div> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/article/154751
【資安日報】2022年12月16日，向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用PNG、JPG、GIF等圖片檔案挾帶惡意軟體的手法，不時有事故傳出，但現在有研究人員發現，駭客開始運用SVG格式的向量圖片檔案做為媒介。與前述幾種檔案格式有所不同，SVG採用XML語言為基礎並支援嵌入JavaScript，而使得駭客更容易透過惡意JavaScript指令碼發動攻擊。</p> <p>竊取臉書帳號的攻擊行動近期越來越頻繁，然而最近有新的手法出現，不僅幾可亂真，也能騙過大多數資安系統的檢查。研究人員揭露濫用臉書貼文的網釣攻擊，這些貼文號稱是臉書的技術支援中心，並誘導受害者到釣魚網站。</p> <p>Mozilla基金會近期推出Firefox 108、Thunderbird 102.6，美國CISA提出警告，該基金會甫修補的漏洞已出現攻擊行動，使用者應儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/html-smugglers-turn-to-svg-images/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">向量圖檔SVG被駭客用於偷渡惡意軟體QBot</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image6-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6-4.png" style="width: 300px; float: right;" /></a>思科的研究人員揭露惡意軟體QBot新的散布途徑，駭客利用向量圖檔SVG，並透過HTML挾持（HTML Smuggling）的手法來傳送這款惡意程式。駭客先是透過竊得的電子郵件，以回覆信件的型式進行釣魚攻擊，並挾帶HTML為附件，一旦收信人開啟該附件檔案，此HTML檔案將會載入SVG圖片，並執行此圖片裡面的JavaScript程式碼，建立惡意ZIP檔案，並向使用者顯示儲存檔案的對話框，收信人依照指示開啟壓縮檔案後，電腦便有可能感染感染QBot。</p> <p>研究人員指出，與過往使用PNG、JPG圖片挾帶惡意程式有所不同的是，SVG是採用XML語言開發的向量圖檔，內含的HTML指令碼標籤會被視為合法功能，再加上QBot最終是在受害電腦上組裝，而能逃過網路安全系統的偵測。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/meta-phish-facebook-infrastructure-used-in-phishing-attack-chain/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊取臉書帳密的網釣攻擊有新招！駭客濫用臉書貼文逃避資安系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/73a7365049742b726de266fcd232d90967147960.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/73a7365049742b726de266fcd232d90967147960.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露新型態的臉書帳號釣魚攻擊手法Meta-Phish，駭客假借臉書客服的名義寄送釣魚郵件，聲稱收信人的臉書帳號部分功能遭到停用，原因是收信人發布的貼文違反臉書廣告服務條款，若不依照指示處理，帳號將在48小時被刪除。</p> <p>一旦收信人照做，駭客會將其引至臉書使用者Page Support的貼文，並要求收信人點選貼文裡的URL填寫表單，一旦提交對方所要求的資料，駭客會透過Telegram機器人收集相關內容，進而接管此人的臉書帳號。此外，研究人員提到，為了確認收信人是否上鉤，駭客也濫用Google Analytics來追蹤進度。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/open-source-repositories-flooded-by-144-000-phishing-packages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">14萬NuGet、NPM、PyPI惡意套件被用於網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image_04-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_04-1.jpg" style="width: 300px; float: right;" /></a>資安業者<a href="https://checkmarx.com/blog/how-140k-nuget-npm-and-pypi-packages-were-used-to-spread-phishing-links/">Checkmarx</a>與<a href="https://medium.com/checkmarx-security/illustria-checkmarx-finds-140k-phishing-packages-6813c27d10ac">Illustria</a>聯手，揭露大規模濫用開源套件庫的攻擊行動，有人在NuGet、NPM、PyPI套件庫上傳了144,294個惡意套件，並透過90個網域架設6.5萬個釣魚網站，目的是對開發者進行網釣攻擊。這些套件疑似透過自動化產生，因為，所有的套件發布者ID存在共通的命名規則，而且這些帳號上傳的套件數量幾乎相同。</p> <p>開發者一旦安裝這些套件，將會被引導到各式各樣的釣魚網站，包含提供冒牌App、獎勵問卷、贈送禮物卡，有些人則被導向全球速賣通（AliExpress）的推薦連結。上述逾14萬個惡意套件，上傳到NuGet的最多，為136,258個；其次是PyPI的7,894個、NPM的212個。</p> <h3><a href="https://www.mandiant.com/resources/blog/trojanized-windows-installers-ukrainian-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭政府遭到木馬化的Windows 10安裝光碟鎖定</span></strong></a></h3> <p>資安業者Mandiant揭露自2022年5月出現的攻擊行動，名為UNC4166的駭客組織假借提供Windows 10的安裝光碟映像檔，在俄語與烏克蘭語Torrent共享網站上散布，一旦使用者依照指示安裝此作業系統，電腦就有可能被植入Stowaway、Beacon、Sparepart等後門程式，以便駭客能竊取電腦機密與檔案，並提供能對受害電腦持續存取的管道。</p> <p>研究人員指出，從利用Windows作業系統安裝檔案來散布惡意軟體的手段，看似針對一般民眾而來，但攻擊者會分析受害電腦、確定電腦隸屬烏克蘭政府，之後才會對其發動進一步攻擊。</p> <h3><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></strong></a></h3> <p>資安業者卡巴斯基在調查惡意軟體Deathstalker的過程裡，發現了自2020年開始行動的變種，此惡意軟體鎖定中東律師事務所的Windows、Mac電腦發動攻擊，並在2021年達到高峰。比較特別的是，駭客濫用YouTube、WordPress.com等多個雲端服務做為Dead-Drop Resolver（DDR），讓Deathstalker成功入侵受害電腦後，破解駭客埋下的訊息而能與C2中繼站連結。</p> <h3><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></strong></a></h3> <p>架站教學網站Website Planet資安團隊與研究人員Jeremiah Fowler聯手，發現沒有密碼保護的資料庫，內含9,098,506筆交易記錄與個人資料（PII），包括購買人姓名、付款人姓名、部分信用卡卡號、到期日、電子郵件信箱、驗證碼等。經調查後，資安人員得知該資料庫所有者的身分：總部位於美國加州的Cornerstone支付系統，該公司獲報後，已採取保護措施。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委要求政府儘速對民眾說明</span></strong></h3> <p>根據<a href="https://www.ithome.com.tw/news/153894#taiwan2300">民報10月下旬的報導</a>，有人在駭客論壇兜售全臺戶政資料，並強調是最新的版本而非舊資料，並標榜內有許多政要的詳細戶藉資料。<a href="https://www.ithome.com.tw/news/153924#taiwan2300">內政部、數發部表示經比對駭客提供的資料格式與內政部戶政資料差異很大</a>，研判並非戶政司網站流出，駭客持有的是舊資料。但這樣的說明，難以解釋前述新聞媒體比對後，外洩資料符合民眾現況的情形。</p> <p>對此，有立委在審查預算時，要求政府要進一步說明此事。<a href="https://www.cna.com.tw/news/aipl/202212090115.aspx">時代力量立委邱顯智、王婉諭於12月9日召開記者會</a>，要求政府必須向全國人民說明個人資料被侵害的情況，以及已採取的因應措施。<a href="https://www.ctwant.com/article/226380">民進黨立委賴品妤在14日立法院質詢時</a>，指出國安局在調查報告裡坦承全臺戶政資料遭販賣的情況，而非內政部宣稱是2020年流出的舊資料，國安局發現這次外洩的資料已用於多起詐騙事件，政府應該要再進一步釐清狀況。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://cybernews.com/news/firefox-thunderbird-flaws-allowed-system-takeover/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla修補Firefox、Thunderbird弱點，若不修補恐導致系統遭到挾持</span></strong></a></h3> <p>12月13日Mozilla基金會發布Firefox 108、Firefox ESR 102.6、Thunderbird 102.6，當中修補了高風險漏洞CVE-2022-46878，這項漏洞是該基金會的開發人與模糊測試團隊發現，若不進行修補或緩解，將會導致記憶體中斷，而使得攻擊者有可能藉此執行任意程式碼。另一個同時出現在上述瀏覽器與收信軟體的高風險漏洞，還有CVE-2022-46872，攻擊者一旦成功利用，就有機會讀取任意檔案，不過，此漏洞只有Linux使用者受到影響。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/13/mozilla-releases-security-updates-thunderbird-and-firefox">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，已有駭客將這次Mozilla修補的漏洞用於攻擊行動，並挾持受害電腦。</p> <h3><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-80-openssl-openssh-flaws-switches" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機修補逾140個漏洞</span></strong></a></h3> <p>12月13日，西門子、施耐德電機發布本月例行修補公告，總共修補超過140個漏洞。其中，西門子發出20則資安通告，提出約140個漏洞的緩解措施，這些漏洞有超過半數與Scalance X-200RNA工控交換器產品線有關，超過80個存在於這些交換器採用的OpenSSL、OpenSSH程式庫元件，本次修補的漏洞涵蓋期間橫跨2013年至2019年，同時，他們也修補OpenSSL嚴重漏洞CVE-2022-3602。</p> <p>同日施耐德電機也修補了6個漏洞，當中有4個存在於不斷電系統APC Easy UPS的監控軟體，其中的CVE-2022-42970、CVE-2022-42971的CVSS風險層級達到了9.8分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fubotv-says-world-cup-streaming-outage-caused-by-a-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">體育頻道FuboTV遭到網路攻擊，導致世足轉播中斷</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-leak-personal-info-allegedly-stolen-from-57m-gemini-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">570萬加密貨幣交易所Gemini用戶個資外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/social-blade-confirms-breach-after-hacker-posts-stolen-user-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">社群網站分析平臺Social Blade證實資料外洩</span></span></strong></a></p> <p><a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">二手樂高市集網站API存在漏洞，恐讓駭客挾持用戶帳號</span></span></strong></a></p> <p><a href="https://www.taiwannews.com.tw/en/news/4743272"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣逾700臺視訊監視鏡頭畫面外洩，疑採用華為晶片所致</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/16 18:08作者周峻佑https://www.ithome.com.tw/news/154770
2022年TeamT5臺灣APT攻擊研究出爐：觀察109起APT攻擊行動，26個受駭單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對詭譎多變的國際政治情勢，以及地緣政治的衝擊時，具有獨特政治角色的臺灣，持續是網軍鎖定攻擊的對象。</p> <p>根據臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣日前揭露的研究顯示，截至今年11月1日為止，臺灣總計發生109起APT攻擊事件，而這段期間，該公司已協助9個客戶進行深入分析與應變，並對其他26個包括政府、企業與學校的受駭單位，進行資安通報。</p> <p>他表示，上述發動APT攻擊，大多來自中國駭客組織，其中，只有一起攻擊事件，是由北韓駭客組織Lazarus發動。</p> <h2><strong>政府、軍方和資服業者是主要受駭者</strong></h2> <p>若進一步分析這些遭受到APT攻擊的受駭產業，李庭閣表示，政府和軍方是駭客主要攻擊的對象，第二大受攻擊的對象居然是資訊科技產業，以受駭比例來看，2021年是12％，2022年上升到15％。</p> <p>他指出，資訊科技產業為不同產業提供各種資訊服務，而駭客攻擊採取迂迴攻勢，當他們成功攻陷資服業者時，就可以以此作為攻擊其他產業的跳板，再滲入軍方、政府和其他各大公司行號，進行供應鏈攻擊。</p> <p>從受駭產業排名來看，線上博奕產業排名第三，媒體產業則位居第四。線上博奕產業為何成為遭受駭客攻擊的對象？李庭閣表示，中國政府想要做到維穩，並且積極進行反貪腐、防範資金外逃，而最容易成為把錢洗出中國的線上博奕產業，就成為駭客組織想要掌握、攻擊力道加深的主要原因；至於媒體產業之所以名列第四的受駭產業，他認為跟臺灣十一月的縣市長與縣市議員選舉有關，在這4大受駭產業之後，還有智庫、電信、能源、NPO，也都是受到攻擊的產業與領域。</p> <p>若再進一步分析攻擊族群，李庭閣表示，最主要發動攻擊的駭客組織，就是阿米巴Amoeba（亦稱 APT41、Barium、Winnti），其次就是畫皮Hupai（亦稱為BlackTech、Plead），以及攻擊線上博奕產業為主的Slime29。</p> <p>他說，今年超過20個駭客組織對臺灣發動攻擊，其中包括9個不同駭客組織，以及12個Slime相關的駭客組織發動攻擊。至於排名第一的阿米巴Amoeba，以及位居第二的畫皮Hupai，不論是2021年或是2022年，兩者幾乎都貢獻全年一半左右的攻擊量。</p> <p>若比對2021年的攻擊來源，第一名、第二名與2022年一樣，但第三名換成Goushe，根據TeamT5研究指出，Goushe近一、兩年的攻擊行動，主要鎖定交通運輸部門和產業，部分鎖定能源和政府單位發動攻擊。根據TeamT5對Goushe追蹤了近十年的研究結果顯示，該族群可能接受所屬單位指令來監控臺灣的關鍵基礎設施，並在關鍵時刻針對這些單位進行控制和接管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/APT%E9%A7%AD%E5%AE%A2%E7%B5%84%E7%B9%94_TeamT5(1).png" style="width: 600px; height: 374px;" /></p> <blockquote><p>臺灣資安公司TeamT5杜浦數位安全技術長李庭閣表示，排名第一名的阿米巴Amoeba和第二名畫皮Hupai駭客組織，幾乎貢獻2022年全年一半左右的攻擊量。</p> </blockquote> <h2><strong>偏好用合法工具打包惡意程式，Cobalt Strike最受歡迎</strong></h2> <p>關於2022年駭客族群最常使用的惡意程式，TeamT5這份研究的結果指出是Cobalt Strike，這也是過去三年駭客組織最常使用的惡意程式。李庭閣進一步解釋這個現象，他說，Cobalt Strike是滲透測試或紅隊演練常使用的攻擊框架，Cobalt Strike Beacon則是從 Cobalt Strike攻擊框架所產生的惡意Payload。雖然Cobalt Strike是商業付費工具，但是，經過駭客破解並在許多論壇或網站流傳，因此，有許多駭客皆透過它進行惡意攻擊。</p> <p>排名第二的DbgPrint、位居第四的Bifrost，以及第六名的SSHTD，都是駭客組織畫皮Hupai最常使用的RAT（遠端存取木馬）工具；至於今年排名第三的ShadowPad則已經超過PlugX，成為中國駭客組織最喜歡使用的惡意程式。</p> <p>若進一步分析這些惡意程式的趨勢，李庭閣觀察到這些惡意程式出現高度的差異化，相關的中國APT駭客組織喜歡在不同階段搭配不同攻擊武器，每個APT組織至少使用5個以上的惡意程式。</p> <p>他表示，若分析這些中國APT駭客組織的模式，他們偏好在偵查（Recon）和初次訪問（Initial Access）的階段，使用開源和現成的紅隊工具來發動攻擊。</p> <p>在成功入侵後，因為這個環境相對複雜，也必須保持動態的發展，所以，駭客大多傾向布下二階段或三階段的後門程式，有利於做到企業內部的橫向移動、滲透到不同單位。此時，像是多個駭客組織愛用的惡意程式，從最早的PlugX、ShadowPad，近期則開始採用的模組化後門程式Pangolin8RAT，這是因為，Pangolin8RAT支援不同的通訊協定，不僅可以做到高度客製化，更只存在記憶體中，難以被發現。</p> <p>在此同時，他也觀察到這些惡意程式因為變得更複雜，所以更難分析；而且，這些駭客組織開始將中繼站（C2）部署在雲端平臺上，不僅可以規避網管人員的偵查，也有利於彼此透過SSL加密進行溝通；此外，這些網路攻擊也經常利用合法工具來控制受駭機器，包括：SoftEther VPN、AnyDesk、TeamViewer等。更重要的是，已經有越來越多惡意程式能規避EDR（端點偵測回應）的偵測。</p> <p>李庭閣認為，2022年與2021年威脅情勢發展有其一致性，包括政府組織、智庫以及關鍵基礎設施等，仍然是中國駭客組織主要鎖定攻擊的標的，而且，也會透過很多IT服務供應商作為跳板、進行供應鏈攻擊。他表示，臺灣產業受駭情況不僅日趨嚴重，更重要的是，受駭標的變多，使用的惡意程式也更多樣。</p> <p>他觀察這些中國APT駭客組織，不僅高度分工且專業化，也願意花更多心力避免被外界發現、被工具偵測到，所以會積極研發更多樣的惡意程式、避免被EDR產品偵測到，更重要的是，會隱身在各種合法工具和雲端平臺中，都可以大幅降低被發現的機率。</p> <h2><strong>網路戰癥兆：關注中國是否有不尋常網路演習及APT組織整併</strong></h2> <p>過去十年來，針對臺灣發動APT攻擊的幕後主使者，李庭閣指出，以往是以中國解放軍為主，但解放軍現在已經整合到中國戰略支援部隊，另外還有中國國家安全部及公安部。「倘若兩岸發生真正的網路戰，將由戰略支援部負責指揮作戰，並整合三個單位的網路高手一起作戰。」</p> <p>至於，要如何觀察中國是否會有大規模的軍事動員行動呢？他認為，可以觀察兩個面向。第一個，是否出現不尋常的大規模網路管制行動，以及不尋常的、大規模的網路攻防演練；第二個，觀察這些APT組織防守範圍是否開始整併，畢竟，多數APT組織都存在著既有的負責領域，異常的整併就是重要癥兆。</p> <p>李庭閣表示，未來中國對臺灣發動網路戰爭，將會鎖定：通訊系統、關鍵基礎設施、政府部門攻擊外，也會發動資訊戰作為搭配。</p> <p>他說，若是針對通訊系統發動攻擊，包括電信公司、無線電業者、網路業者，以及軍方的指管通勤（C4SIR）系統都是可能的攻擊標的。若進一步分析攻擊的手段，除了直接切斷海底電纜，禁用各種行動通訊基地臺，也可能在受駭的關鍵網路中，植入會刪除和破壞資料的Wiper惡意程式，也可能發動DDoS攻擊，以癱瘓DNS伺服器。</p> <p>至於這樣攻擊的後遺症，除了會讓臺灣在全球網路空間被噤聲，與外界隔絕，人與人之間的交流也被隔絕，阻礙臺灣的動員和協調合作，同時，也會恫嚇臺灣民眾並削弱臺灣人的戰鬥意願。</p> <p>另外，他提到，駭客組織若是鎖定攻擊關鍵基礎設施，對象包括能源、交通運輸系統和金融系統等；在攻擊手段方面，則會採取將具有刪除和破壞資料的Wiper惡意程式，植入會影響到我們日常生活的關鍵基礎設施系統；而這麼做的目的，就是讓臺灣民眾的生活陷入混亂的無秩序狀態，讓臺灣官方疲於奔命，也可以妨礙臺灣的相關動員。</p> <p>至於駭客攻擊政府組織，包括政府網站、實體單位、媒體等等，通常會採取發動DDoS（分散式阻斷式攻擊）或是Defacement（網頁置換）的手段，藉此癱瘓政府網站的正常運作；這些攻擊帶來的後果就是，阻止臺灣官員向民眾或是其他國家發送訊息，也可以向臺灣民眾和外界傳遞假消息，而這也是攻擊者一種實力的展現。</p> <p>李庭閣表示，資訊戰通常會發生在「開戰之前」，也就是說，透過散布反戰言論，進而分裂美、日等親臺國家，並阻礙其對臺灣的支持之外，也會降低民眾對臺灣政府的信任程度；至於在戰時，則透過和臺灣內部人士的合作，塑造中國的戰略優勢，更做到貶低臺灣政府和軍隊的可信度，像是今年二月發生的烏俄戰爭，就是最明顯的例子。</p> <p>從整個資訊戰來看，網路攻擊往往早於實體攻擊外，網路攻擊也是很好的支持力量；而這些發動網路戰的單位，也會和發動APT攻擊的組織相互呼應，讓這些網路戰更為真實、更有影響力，畢竟，臺灣面對的是一個準備超過20年的敵人。</p> </div></div></div>
2022/12/16 14:55作者黃彥棻https://www.ithome.com.tw/news/154758
GitHub公開儲存庫現在也可以使用秘密掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/changelog/2022-12-15-secret-scanning-is-now-available-for-free-on-public-repositories/">GitHub</a>現在逐步向公開儲存庫推送秘密掃描功能，用戶將可以在秘密洩漏時獲得警報，GitHub也會通知其合作夥伴以採取保護措施。</p> <p>官方提到，秘密和憑證外洩是資料洩漏最常見的原因。GitHub與服務供應商合作，透過秘密掃描合作夥伴計畫，掃描儲存庫中200多種權杖格式，標記所有公開儲存庫中洩漏的憑證，並通知秘密掃描合作夥伴，採取積極保護措施。光在2022年，GitHub就已經向秘密掃描合作夥伴，通報超過170萬個公開儲存庫中潛在的秘密，避免這些權杖遭到濫用。</p> <p>而GitHub現在針對公開儲存庫，推出機密掃描公開測試版本，並預計在2023年1月底，擴展至所有用戶。一旦儲存庫獲得機密掃描警報功能，便可以在程式碼安全和分析配置中，從儲存庫的配置中啟用，並在儲存庫的安全頁籤裡的漏洞警報面板，查看系統偵測到的秘密。</p> <p>秘密掃描警報在偵測到用戶洩漏的權杖，除了會通知用戶，同時也會通知秘密掃瞄合作夥伴，以迅速採取保護措施，當然，在GitHub無法通知合作夥伴的情況下，像是自託管的HashiCorp Vault金鑰洩漏，用戶仍會收到機密警報。</p> <p>用戶隨時都可以追蹤所有警報，並且深入了解洩漏來源，並且對警報採取稽核行動。GitHub表示，在公開儲存庫中使用秘密掃描警報，能夠讓用戶更有自信地建構開源專案。</p> <p>除了秘密掃描警報功能，GitHub也推出了其他兩項小更新，其一是GitHub企業雲休眠用戶報告現在正式上線，該報告可以顯示90天內未活動的企業成員。另外，在私有儲存庫可重用工作流程，現在能夠和同一組織、使用者帳戶或是其他有私儲存庫共享。</p> </div></div></div>
2022/12/16 16:31作者李建興https://www.ithome.com.tw/news/154767
剖析區塊鏈應用亂象
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1216-jia_mi_huo_bi_de_zhen_xiang_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為區塊鏈具有確保交易紀錄無法竄改的特性，因此許多人想到把它拿來做各種應用，例如：電子商務、學歷證明、病歷分享、民意調查、能源交易、生產履歷、供應鏈物流、專利著作權等。實際上，目前大部分的應用都是「為區塊鏈而區塊鏈」，而且許多企業使用區塊鏈的方法其實是沒有意義的，例如：使用「私有鏈」或「假聯盟鏈」卻宣稱「無法竄改」，結果只是成為唬外行人的把戲而已。簡單的說，目前的情況就是用區塊鏈可以做，不用也可以做，而且大部分不用還做得更好。用區塊鏈解決了某些問題，但是又製造了某些問題，那為什麼要用區塊鏈？</p> <p>凡此種種，使得區塊鏈變成內行人唬外行人的噱頭，變成一種行銷手法。新創公司不用區塊鏈就不夠「新創」，傳統企業不用區塊鏈就沒有「創新」，這些都是對區塊鏈的誤解所造成的。因為「科技創新」是一個很好的行銷話題，這和技術完全無關。你不覺得當某某公司說要用區塊鏈來做○○○應用，聽起來就很威嗎？因為大家不知道什麼是區塊鏈，而人們對自己不知道的東西都有敬畏之心，這有利於新產品的行銷推廣，也是目前區塊鏈最重要的用途之一。</p> <p>當然，許多生意模式的成功，其實一開始就是靠「唬」出來的。意思是，雖然我用新技術唬大家，但是因為大家不了解，誤以為用這個新技術很酷，就紛紛使用，最後因為大家都使用，就成功了！這件事情是有可能發生的，因此目前許多企業使用區塊鏈的方法雖然沒有意義，還是有可能會成功，至於這麼用區塊鏈到底對不對，早就不重要了！</p> <p>從商業的角度，「唬外行人做行銷」也是一種很重要的功能，但是要記得：當我們唬別人的時候，必須很清楚知道自己是在唬人，如果唬到連自己都被唬住，那就貽笑大方了！</p> <p>區塊鏈熱潮讓我想起20年前的「奈米科技」，全球瘋狂舉辦各種研討會、高峰會，世界各國都投入大量資源研究奈米科技。可能有人還記得，當時有廠商開發出號稱噴在室內可以消毒殺菌的「奈米光觸媒」，還宣稱總統府率先使用，因此稱為「總統級奈米光觸媒」。所謂的奈米光觸媒，其實是二氧化鈦的奈米粒子，尺寸必須小於100奈米，必須是銳鈦礦相（某一種原子排列方式），而且必須用足夠強度的紫外光照射數小時才有效果。但是室內沒有紫外光，用在室內根本無效，問題是廠商哪管這些？大家到底懂不懂不重要，先把客戶「唬」進來再說，顯然是拿「奈米科技」當噱頭，唬外行人做行銷而已！</p> <p><span style="font-size:28px;"><strong>區塊鏈真正的功能到底在哪裡？</strong></span></p> <p>前面談到區塊鏈80%的應用是「唬外行人做行銷」，從商業的角度，「唬外行人做行銷」也是一種很重要的功能。那麼，除了用專有名詞唬外行人，區塊鏈還有沒有實際的功能呢？</p> <p>我們用近年來政府全力推動的「金融函證區塊鏈」來說明，會計事務所每年都要對企業查帳，以前會計事務所、受查企業、金控銀行必須用紙本公文往返溝通，由會計事務所發函受查企業同意查帳，再發函金控銀行收集帳務資訊，才能讓銀行把企業帳目交給會計事務所查核。這裡有帳目造假的可能，而且紙本公文往返也浪費許多時間。但是只要所有會計事務所與銀行加入「金融函證區塊鏈」，銀行將所有資料直接上傳區塊鏈，會計事務所直接到區塊鏈下載資料，就可以完成查核工作，不但使用方便，而且因為區塊鏈去中心化、不可竄改、可以信任，因此這樣的運作模式更好，你覺得對嗎？</p> <p>如果我們把「金融函證區塊鏈」換成一台「金管會伺服器」，不是全部都做到了嗎？是因為我們懷疑銀行會上傳假資料到金管會伺服器嗎？如果是這樣，那用區塊鏈也防不了呀！還是我們懷疑金管會可能竄改伺服器的資料？</p> <p>金融函證之所以必須使用區塊鏈來做才能成功，不是因為技術，而是因為商業模式。這裡我們用一個比較俏皮的比喻來說明，雖然不完全正確，但是容易理解：金管會是老大，問題是，要架一台伺服器管理全臺灣所有企業的審計相關資料，是個龐大的工程，必須組建一個工程團隊來維持營運，而金管會主要的職責是監督管理，不是金融營運，所以「老大不想當老大」，理所當然。</p> <p>那麼老二架一台伺服器總可以了吧！金融函證區塊鏈目前是由財金資訊公司建置，請財金資訊公司架一台伺服器，為什麼也不行呢？理論上當然可以，但是因為「大家都想當老大」，為什麼財金資訊公司架一台伺服器，會計事務所和金控銀行就要買單？因此只有使用「金融函證區塊鏈」，才能把大家都拉進來玩這一局。每家公司都可以是一個節點，大家地位平等做生意，又可以用「金融創新」作為口號來行銷，不是更容易讓人買單？</p> <p>所以區塊鏈20%的應用是讓大家「地位平等做生意」，當「老大不想當老大、大家都想當老大」，那就區塊鏈吧！撇開複雜的技術不談，這是目前區塊鏈最大的意義。我們再把這個模式套到醫療病歷、農產履歷、學歷證明，就會發現全部都是相同的理由，因為老大健保局、農委會、教育部不想當老大，所以就讓民間公司來做，問題是這些民間公司都太小，如何說服醫院、農會、學校這些大傢伙一起加入呢？那就「區塊鏈」吧！</p> <p>事實上，並不是所有的老大都不想當老大，別忘了農委會也有一個「產銷履歷」，把資料儲存在一台電腦裡（中心化），事實上做得很好，那為什麼還需要私人企業建置農產履歷區塊鏈？因為私人企業如果用一台電腦建立農產履歷，誰會用呢？只有使用「農產履歷區塊鏈」，才能把農產品的上游供應商、中游製造商、下游經銷商都拉進來玩這一局，每家公司都可以是一個節點，大家地位平等做生意，而且「科技創新」是一個很好的行銷話題，這樣才能說服眾人，不是嗎？</p> <p>使用區塊鏈除了能讓大家地位平等做生意，有些人認為把資料去中心化，分散儲存在幾千台、幾百台、幾十台電腦（節點），會有許多好處，例如：怪客攻擊一台電腦也沒用，或是其中一台電腦故障了也沒關係，因為還有其他許多電腦保存正確的資料，因此使用區塊鏈能夠確保資訊安全。這樣的說法都似是而非。</p> <p>把資料分散儲存，確實可能有這些好處，但是目前的資料中心原本就是用分散的方法在備份資料，並不需要什麼區塊鏈。而且把資料集中保管，可以建立嚴密的防火牆來阻擋怪客，但是當我們把資料去中心化，分散儲存在幾千台電腦，因為成本考量，很難針對幾千台電腦建立嚴密的防火牆，這可能反而讓怪客有可乘之機。此外，因為區塊鏈大部分有使用許多演算法來運算，這會限制資料庫的使用條件。這些都是代價，當我們這麼做時，要先問問自己「為什麼」？因此我才說，用區塊鏈解決了某些問題，但是又製造了某些問題。</p> <p>以金融函證區塊鏈為例，大型企業在各家銀行的帳目資料不算小，因此不可能全部上傳區塊鏈，事實上也沒必要。可能的做法是，將帳目資料經由雜湊演算法運算出來的「雜湊值（Hash）」上傳區塊鏈（去中心化），這是函證最重要的功能，當然也可以上傳一台伺服器（中心化）來做，用與不用，不是技術問題，而是商業模式。只是要記得，企業財報造假，一般都是企業提供假資料，而不是竄改已經寫入的資料，而驗證資料真假這件事，區塊鏈幫不上忙。<strong><span style="color:#696969;">（本文摘錄整理自《加密貨幣的真相》第五章，先覺出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E7%9A%84%E7%9C%9F%E7%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%88%E8%A6%BA%E5%87%BA%E7%89%88.png" style="width: 500px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">加密貨幣的真相：揭穿區塊鏈無本金融的國王新衣</span></strong></p> <p><strong>曲建仲（曲博）／著</strong></p> <p><strong>先覺出版</strong></p> <p><strong>定價：410元</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E7%9A%84%E7%9C%9F%E7%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9B%B2%E5%8D%9A%E7%A7%91%E6%8A%80%E6%95%99%E5%AE%A4.png" style="width: 130px;" /></p> <p><strong>曲建仲（曲博）</strong></p> <p><strong>臺灣大學電機工程學系博士，曲博科技教室YouTube頻道、知識力專家社群創辦人。</strong></p> <p><strong>現任政治大學科技管理與智慧財產研究所、輔仁大學科技管理研究所、東吳大學企業管理研究所兼任助理教授，曾榮獲中華民國九十六年度優秀青年工程師獎章，並獲總統召見訓勉。曾擔任美商德州儀器公司市場行銷與資深應用工程師，獲頒最佳新人獎與技術傑出獎。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源_曲博科技教室</span></span></p> <p> </p> </div></div></div>
2022/12/16 12:56未署名https://www.ithome.com.tw/article/154756
雲端下水道工程改造中
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要了解一座城市的先進程度，要從看不見的地方著手。下水道正是城市發展背後的隱形關鍵基礎設施。</p> <p>下水道普及率越高，不只反映出一個城市的衛生越好，可以容納越多生活人口，甚至更能抗災，不怕颱風暴雨，就算局部地區淹水，也能快速排解，下水道工程正是城市治水的關鍵。</p> <p>下水道的科技應用，更影響了城市發展的型態，工業都市需要工業廢水處理廠，下水道管線中的光纖則讓都市更數位化。</p> <p>雲端世界也有下水道！若以一棟棟大樓來比喻各種雲端應用或雲端服務，雲端世界就像是蓋滿了各類用途大樓的超大型城市，而雲端服務、雲端應用、資料儲存處之間的資料網絡，就像是雲端世界的下水道。</p> <p>一座小城市要發展成大都會，不只是興建更多大樓就好，看不見的基礎設施也要跟著升級。若要從大都會，再更進一步變成世界級都市，不只要引進打造摩天大樓的新世代建築技術，更得重新改造看不見的地面下基礎設施，發展更系統性和現代化的下水道網絡和各類汙水處理系統，才能支撐起更高、更先進的摩天大樓。</p> <p>這幾年，數位轉型帶動了IT現代化技術的進化，雲原生技術成為主流，這就像是打造摩天大樓的新世代技術，企業比過去更容易打造出服務千萬人，甚至上億人的全球性服務架構，但和發展世界級都市一樣，不只大樓建築技術要提升，城市下水道網絡也得全面翻新才行。</p> <p>這正是為何，在雲原生技術成為主流之後，今年兩大雲端巨頭，Google和AWS，先後不約而同都聚焦資料產品線的改造，而且都是聚焦雲端資料倉儲和雲端大數據分析領域，這正是雲端下水道工程的新世代技術。</p> <p>Google Cloud執行長Thomas Kurian在今年Next大會揭露了Open Data Cloud新戰略，宣稱要做到「可以聚集和分析來自所有來源，所有儲存格式，所有雲端供應商的所有資料，來提供各種形式的存取。」核心產品是BigQuery，從過去十年的結構化分析平臺，從今年開始轉為通吃結構和非結構的通用型分析平臺，更打通了與雲端儲存服務、串流大數據Spark、各類商用資料庫，甚至直通到AI應用開發流程，都能以BigQuery為資料集散地來流通。</p> <p>而剛結束的re:Invent大會，AWS執行長Adam Selipsky也提出了一個新的企業數據產品戰略，他的願景是，「面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種資料類型，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。」</p> <p>AWS的策略是盡量將各種分析服務Serverless（無伺服器）化，AWS除了原本能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight之外，去年宣布AWS資料倉儲服務Redshift支援無伺服器服務，今年陸續將大數據處理平臺EMR、即時分析工具MSK也提供無伺服器服務。</p> <p>到了年底今年年會中，更推出了搜尋和分析引擎服務OpenSearch的無伺服器服務預覽版。Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供Serverless。」</p> <p>Serverless可比喻成AWS的下水道技術，因為要將各式雲端服務轉換成無伺服器服務模式的背後，其實就已經串起了這項服務的各種資料連結，才能將一項服務無伺服器化。</p> <p>AWS雲端下水道系統的終點是Redshift，這裡正是AWS企業數據產品戰略的核心。Redshift今年不只強化zero-ETL技術，無縫打通數據雲端服務Aurora到Redshift的資料通路，更內建了串流大數據分析平臺Spark的連接器，不需再使用第三方整合工具，可以快速將資料從Redshift拋轉到Spark。</p> <p>一座城市，有了更好的下水道系統，就能具備更好的治水能力，不怕颱風暴雨而淹水，才能讓都市容納更多人口和更多元化的發展。雲端巨頭們正在改造雲端世界的下水道工程，勢必帶來更大規模、更多新型態雲端應用出現的可能。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%80%89%E5%84%B2">資料倉儲</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E6%95%B8%E6%93%9A%E5%88%86%E6%9E%90">大數據分析</a></div></div></div>
2022/12/16 13:17作者王宏仁https://www.ithome.com.tw/voice/154746
Google Workspace拿下5萬美國海軍用戶授權訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/building-bridges-and-ships-google-public-sector-helps-us-navy-better-collaborate" target="_blank">Google政府業務部門本周宣布</a>為美國海軍5萬用戶提供Workspace、Google Voice、Google Meet作為協同及語音通訊工具。</p> <p>Google工具將提供給美國海軍海洋體系司令部（Naval Sea Systems Command）下、位於日本佐世保港及橫須賀港基地的海軍船艦維修設施及日本區域維護中心（Ship Repair Facility and Japan Regional Maintenance Center，SRF-JRMC）。SRF-JRMC角色是為美國海軍近100艘船艦提供日常維修及重大修復，當地約有5萬名美國海軍。</p> <p>這些工具將解決SRF-JRMC兩項問題，一是SRF-JRMC的海軍與美國其他同僚的加密通話，二是和日本維修基地3,000多名日籍約聘員工溝通。透過部署Google Workspace，美國海軍將可使用Google Voice的VoIP通訊功能在基地或家中，與位於本地的同僚或其他單位進行溝通軍事事宜。另外，基地人員也試用Google Meet的英日翻譯字幕功能，可在與日籍員工視訊會議時協助溝通。</p> <p>Workspace也可用於員工視訊面試，藉由提供特定國家專屬的撥入號碼，可為美國海軍省下每月數千美元的費用。SRF-JRMC海軍並利用Google Workspace其他雲端工具，如Google Drive、Google Docs簡化日籍維修員工招聘</p> <p>此外，在疫情期間，美國海軍也利用原名Google Data Studio的Looker Studio製作COVID-19疫情儀表板，。這項工具可自定義報告，自動化更新當地就醫人數、蒐集疫情資訊及防疫指引等資料。Google說利用這項工具，SRF-JRMC當地IT部門2小時就完成儀表板製作。</p> <p>這是Google Cloud最新的美國政府訂單。<a href="https://www.ithome.com.tw/news/153676" target="_blank">Google 10月簽下美國陸軍（US Army）</a>，將為25萬用戶提供雲端生產力應用Workspace。</p> </div></div></div>
2022/12/16 12:33作者林妍溱https://www.ithome.com.tw/news/154755
Windows Server更新引發Hyper-V VM啟動，以及App以ODBC連線SQL Server失敗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二釋出的Windows Server更新引發在Hyper-V啟動虛擬機器（virtual machine，VM），以及App以ODBC連線存取SQL Server時出現錯誤訊息的情形，微軟正在製作修補程式解決。</p> <p>微軟在本周的Patch Tuesday中釋出Windows Server 2022服務堆疊更新（servicing stack update，SSU）20348.1300版。這主要屬於功能品質更新。<a href="https://support.microsoft.com/en-us/topic/december-13-2022-kb5021249-os-build-20348-1366-d5fe7608-bc9d-4055-a88c-fb2fd3d5fd45" target="_blank">根據微軟說明</a>，在SDN配置的System Center VMM（SCVMM）管理的Hyper-V主機上安裝這版更新時，用戶可能在將網路卡（NIC，或Network Adapter）加入到VM網路，或是網路卡連到VM網路的新VM時會接到錯誤訊息。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/topic/december-13-2022-kb5021249-os-build-20348-1366-d5fe7608-bc9d-4055-a88c-fb2fd3d5fd45" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-KB5021249.png" style="width: 600px;" /></a></p> <p>微軟說，Windows Server 2019、Server 2022及AzStack HCI受到影響。不過也只有在安裝後才加入網路卡的VM才有問題，現有已經加入網路卡的VM安裝本更新時則沒有這情形。</p> <p>本更新引發另一問題是，安裝更新後，App經由ODBC SQL Server Driver （sqlsrv32.dll）使用ODBC連線存取資料庫時會無法連線，且用戶會收到App或SQL Server的錯誤訊息。若無法判斷是App或SQL Server受影響，微軟建議在提示視窗下輸入指令：tasklist /m sqlsrv32.dll。如果顯示有任務，則表示是App受影響。</p> <p>對這兩個問題，微軟都表示正在製作修補程式，將在完成後，另行於之後的更新中釋出。</p> <p>對於Hyper-V的問題，在有修補程式之前，萬一企業大量主機出現錯誤訊息，微軟也提供指令，以暫時緩解大量部署VM的環境問題。管理員可在SCVMM管理的Hyper-V主機上開啟系統PowerShell視窗，輸入以下指令：</p> <pre> $lang = （Get-WinSystemLocale）.Name C:\Windows\system32\wbem\mofcomp.exe C:\Windows\system32\wbem\ $lang \VfpExt.mfl C:\Windows\system32\wbem\mofcomp.exe C:\Windows\system32\wbem\VfpExt.mof</pre> </div></div></div>
2022/12/16 11:24作者林妍溱https://www.ithome.com.tw/news/154752
Meta、微軟、AWS等合組Overture Maps基金會，共推電子地圖互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-overture-maps-foundation-to-build-interoperable-open-map-data" target="_blank">微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom四家業者昨（15）日宣布</a>合組Overture Maps基金會，推動電子地圖資料的共享、互通與再利用，提升地圖服務的豐富性及正確性。外界相信這也是共同對抗Google之舉。</p> <p>Overture基金會的宗旨是建立簡單好用、可互通的開放地圖資料集，允許各會員廠商貢獻各自的資源和資料以打造這個地圖資料集，確保資料完整、正確及能隨時更新。這些地圖資料可在開放資料授權下開放成員使用及延伸，以便在這基礎上打造各自的服務。</p> <p>Overture Maps基金會是由這4家地圖服務業者所創，不過將代管於Linux基金會。除了AWS、Meta、微軟和TomTom，Overture Maps基金會也開放其他廠商加入，貢獻更多資料和訊號，協助改善地圖。</p> <p>Linux基金會指出，今日電子地圖的開發商面臨許多挑戰。從多個不同資料源蒐集和組織高品質、完整的新資料相當困難，成本也高。不同資料集經常以各自語彙和格式參照同一組資料，彼此難以合併，這使得地圖資訊容易出現訛誤和不一致。此外這些開放地圖資料也欠缺結構化，而難以在上面開發商業化服務和產品。</p> <p>Overtures Maps基金會會員貢獻的資料將能解決上述問題，並補強現有開放地理空間資料。Overture Maps專案計畫整合成員以電腦視覺和AI/ML技術建立的新地圖，以及現有公開地圖資料集，像是OpenStreetMaps和各市政府規劃局的資料，打造即時性的地圖記錄。其次，Overture將打造一個全面實體參照系統，將不同資料集的實體連結到同一個真實世界的實體，以簡化互通，這讓開放地圖資料將可支援實體參照系統，允許整併其他資料集，以開發更豐富的地圖應用。</p> <p>此外Overture將提供資料檢核的流程，以偵測地圖資料的錯誤、紊亂、缺失，確保資料可用於營運系統。最後，Overture將定義一組結構化的共同資料綱要（data schema），以提高地圖資料的易用性。</p> <p>Overture Maps基金會陣容明顯少了Google和蘋果，<a href="https://techcrunch.com/2022/12/15/meta-microsoft-aws-and-tomtom-launch-the-overture-maps-foundation-to-develop-interoperable-open-map-data/" target="_blank">媒體因此猜測</a>集結目的是為了對抗Android及iOS平臺上各據一方的地圖巨人。</p> <p><a href="https://www.ithome.com.tw/news/82408" target="_blank">微軟的地圖資產來自2013年以72億美元買下Nokia的HERE</a>，<a href="https://www.ithome.com.tw/news/141714" target="_blank">Amazon在2020年公布地圖和定位服務Amazon Location</a>。TomTom則是在美國禁止Google技術出口中國後，<a href="https://www.ithome.com.tw/news/135465" target="_blank">於2020年取代Google Maps獲得華為裝置採用</a>。</p> </div></div></div>
2022/12/16 11:35作者林妍溱https://www.ithome.com.tw/news/154753
微軟明文禁止用戶以該公司服務挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/licensing/terms/product/ForOnlineServices/MCA" target="_blank">微軟近日更新其線上服務（Online Services）的通用授權條款（Universal License Terms）</a>，並在「可接受使用政策」（Acceptable Use Policy）中，明文禁止用戶在未取得微軟的書面同意前，就利用任何線上服務來挖礦，且新條款已在今年的12月1日生效。</p> <p><a href="https://www.theregister.com/2022/12/15/microsoft_online_services_cryptomining_ban/" target="_blank">微軟向《The Register》解釋</a>，這是因為開挖加密貨幣可能會讓微軟的線上服務受損或中斷，且這類用戶經常與網路詐欺及濫用攻擊有關，像是未經授權存取客戶資源等，此一措施是為了保護客戶並降低微軟雲端服務受損的風險。</p> <p>該規定於12月1日生效，<a href="https://www.microsoftpartnercommunity.com/t5/Azure-Solution-Area/Important-actions-partners-need-to-take-to-secure-the-partner/td-p/82850" target="_blank">適用於於所有新的授權</a>，既有授權也必須在更新時遵守新的「可接受使用政策」，然而，微軟建議不論訂閱期限為何的所有用戶，要利用微軟服務來挖礦之前，最好都先取得微軟的書面同意。</p> </div></div></div>
2022/12/16 11:50作者陳曉莉https://www.ithome.com.tw/news/154754
Google正式推出相容於PostgreSQL的AlloyDB資料庫服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對高可擴展企業資料庫工作負載需求，在2022年5月發布了<a href="https://cloud.google.com/blog/products/databases/announcing-the-general-availability-of-alloydb-for-postgresql">AlloyDB</a>預覽版，這是一個全託管且完全相容於PostgreSQL的資料庫服務，而現在這項服務正式上線，用戶已經可以將其用於開發正式產品。</p> <p>AlloyDB的特色在於兼具PostgreSQL相容性，以及雲端可擴展性，對於將資料儲存在舊有資料庫系統，但是又想要在不更改應用程式的情況下，擴展現有PostgreSQL資料庫的企業，提供了額外的選擇。AlloyDB具備Google雲端基礎設施，橫向擴展運算和儲存、整合分析，並且支援AI/ML的功能，使得企業能夠使用相容於PostgreSQL的資料庫，但是擁有更高的效能、可用性和可擴展性。</p> <p>根據Google的測試，與標準PostgreSQL相比，AlloyDB處理交易工作負載速度達4倍，分析查詢的速度是PostgreSQL的100倍，而與AWSPostgreSQL相容的同類資料庫服務快達2倍。</p> <p>無視資料庫大小和負載，AlloyDB可在60秒內完成自動檢測，從大多數資料庫故障中恢復，並提供可用性SLA達99.99%。另外，AlloyDB的自動系統，提供包括自動儲存配置、自適應自動清理等管理功能，可減輕資料庫管理員的工作負擔。</p> <p>AlloyDB正式版較預覽版擁有包括由客戶管理加密金鑰（CMEK）和VPC服務控制等企業級功能，並且添加跨地區複製功能。同時，Google還增加AlloyDB的機器類型，提供2 vCPU/16 GB記憶體執行個體，並且支援pgRouting、PLV8和amcheck等PostgreSQL擴充套件支援。</p> </div></div></div>
2022/12/16 09:19作者李建興https://www.ithome.com.tw/news/154744
開源臭蟲追蹤系統Bugzilla專案重啟更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已經沈寂一段時間的開源臭蟲追蹤系統<a href="https://www.bugzilla.org/blog/2022/12/13/upcoming-releases-and-more-fun-stuff/">Bugzilla</a>專案，專案負責人Dave Miller經過3年多，重新更新專案官網部落格寫道「驚訝嗎？Bugzilla還沒有死透 :-)」</p> <p>Dave Miller試圖讓Bugzilla再次轉動起來，他解釋，過去Bugzilla專案的運作方式，是由使用Bugzilla的企業，贊助其員工小時，來協助維護Bugzilla上游專案開發，但是因為在過去幾年間這些公司營運衰退，使得Bugzilla維護者不是被解僱就是調職，大多數的貢獻者都沒有留下來，因此Bugzilla的專案便停頓了。</p> <p>而Dave Miller自己也一直沒有辦法完全投入在Bugzilla專案經營中，在過去10年，他兩度嘗試要將Bugzilla專案的控制權移交給其他人，但是這些人都在移交之前找到了工作，他表示，要尋找可信任，能夠接手專案的人不容易，如果沒有足夠多活躍的開發人員，就很難找到合適的人。</p> <p>由於Dave Miller開始了一項新的顧問事業，因此能夠再次花時間在Bugzilla專案上，他提到，過去6個月研究Bugzilla的次數，可能比過去6年的總和還要多。Dave Miller已經更新了一些Bugzilla專案的基礎設施，除了修復主網站的錯誤之外，也將測試套件移到GitHub Actions，使其在提交後自動運作，並且更新了IRC機器人和其郵件解析程式碼，以處理新版本的Bugzilla。另外，他也設置了一個安全的私密Git儲存庫，來暫存並且進行測試Bugzilla。</p> <p>最快Bugzilla將會在12月底發布新的分支版本，Dave Miller提到，這項更新也可能延至1月中旬，因為現在Bugzilla存在安全漏洞，為避免漏洞遭到惡意攻擊者濫用，他無法向核心開發團隊以外的人揭露相關訊息以尋求協助。</p> <p>Dave Miller正規畫Bugzilla的多分支版本，下一個主要版本將會是5.2，他在文章中徵求可以立即加入貢獻的開發人員，進行安裝說明文件等編寫工作，同時因為有許多美國政府機構像是NASA等，正在內部使用Bugzilla，但新的美國政府專案必須遵守《電訊法》第 508 節中新的可存取性規範，因此急需進行升級，Dave Miller的目標是至少要讓新版本Bugzilla能夠遵守規範。</p> <p>除了專案的發展規畫，Dave Miller也尋求企業贊助開發時間，希望有使用Bugzilla企業，能夠再次贊助負責維護Bugzilla人員的工作時數，來幫助上游Bugzilla開發。</p> </div></div></div>
2022/12/16 09:21作者李建興https://www.ithome.com.tw/news/154745
Meta發布可同時從影像、聲音和文字學習的AI模型Data2vec 2.0，訓練更快更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在早前發布了Data2vec模型，這是同時以同一方式學習三種不同模式，分別為語音、影像和文字的高效能自我監督演算法，而Meta現在釋出<a href="https://ai.facebook.com/blog/ai-self-supervised-learning-data2vec/">Data2vec 2.0</a>，這個新的演算法更快更有效率，速度達當前熱門電腦視覺自我監督演算法的16倍。</p> <p>官方提到，近期人工智慧技術的突破，都是採取自我監督式學習，但是當前演算法有幾個明顯的限制，包括通常只能用於單一模式，像是圖像或文字，並且需要大量的運算能力。這顯然與人類的學習方式不同，人類的學習效率更高，並且習慣從不同類型的資訊中學習，而不僅仰賴文字、語音或其他單獨的學習機制。</p> <p>Data2vec演算法便是Meta在這方面的突破，使得文字理解等技術更容易應用在圖像分割或是語音翻譯等應用，而Data2vec 2.0新演算則是朝這個目標更進一步，效率大幅提升，在能夠以16倍的速度，達成與現有熱門電腦視覺自我監督演算法相同準確度。</p> <p>研究人員解釋，自我監督學習的想法，是讓電腦藉由簡單地觀察世界，來學習圖像、語音和文字結構，而這產生了諸如語音模型Wav2vec 2.0、電腦視覺模型MAE，以及用於自然語言處理模型BERT，但是這些系統對於運算的要求很高，訓練大型模型需要龐大的GPU運算資源。</p> <p>Data2vec 2.0與Data2vec演算法類似，針對資料的脈絡化（Contextualized）表示進行預測，而非只是圖像的畫素、文字段落或是語音的單音。研究人員提到，這和大多數的演算法不同，這代表演算法將整個訓練範例納入考量，像是考量整個出現Bank這個單詞的句子，就更容易了解其正確含義，由於脈絡化目標帶來更豐富的學習任務，因此Data2vec 2.0也就比其他演算法學習的更快。</p> <p>研究人員使用基準測試Data2vec 2.0，測試其在電腦視覺、語音和文字任務的表現，了解新的演算法與其他模型的差異。研究人員以ImageNet-1K圖像分類基準評估Data2vec 2.0，發現準確度可媲美MAE，但是速度要快16倍，給Data2vec 2.0更多時間也就能達到更高的準確度，但是仍然比MAE快得多。</p> <p>語音方面則是使用LibriSpeech語音辨識基準進行測試，Data2vec 2.0執行速度是Wav2vec 2.0的11倍以上，達類似準確度。自然語言處理任務則使用GLUE基準測試，其以RoBERTa一半的時間，獲得相同的準確度。</p> </div></div></div>
2022/12/16 09:14作者李建興https://www.ithome.com.tw/news/154742
Waymo模擬測試自駕車事故反應，防碰撞能力比人類更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了驗證自駕車的安全性，Waymo設計了一套碰撞避免測試（Collision Avoidance Testing，CAT），來評估Waymo自駕車在突發狀況反應與減輕碰撞的能力，而<a href="https://blog.waymo.com/2022/12/waymos-collision-avoidance-testing.html">測試結果顯示</a>，Waymo的碰撞避免能力優於NIEON。</p> <p>NIEON是一個人類駕駛員的參照模型，設定上是一個細心、不會分心也不會疲勞的人類駕駛員，Waymo提到，因為人類司機時不時就會將視線從道路移開，因此NIEON模型其實代表了超越人類的效能水準，對Waymo自駕車提供比較的高基準。</p> <p>由於司機在路上通常會遭遇突發狀況，不得不緊急煞車或是轉彎，以避免與其他用路人發生碰撞，像是闖紅燈或是突然變換車道的汽車等。而全自動系統需要在無人駕駛情況下，處理整個駕駛任務，因此自動駕駛的測試，要比輔助駕駛系統更加深入完整。</p> <p>Waymo設計情境，結合虛擬、試車場和真實世界的駕駛測試，藉由使用所有駕駛資料、警察事故資料庫和行車記錄器中的撞車事故等碰撞資料，還有包括地理區域、駕駛條件和道路類型等營運資料，設計出測試場景。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiloNh_iPC9dOPaXNe1mWtX3yrt11SqMck9RJhNXJ-L1ky4KKKz3UwkT3XyOIowlD7-8FqSVQolTI9MdQVtv4dIPCVx4FtWTUtNnWw7XpP_MNEqtU4uzFMRwGx5jkuqGmh1elLLWlEfKwMarlWP3LK-tHANjBqOcO5SBcs4TL_kEKTMTe5PAMUeglwY/s16000/CAT.gif" style="width: 580px; height: 326px;" /></p> <p>Waymo從2016年以來，在場景資料庫儲存了數百萬英里的路駕資料，以及數千起真實世界的人類碰撞事故，足以涵蓋所有種類的危險情況。Waymo提到，無論開車地點為何，常見的事故類型都很相似，他們的資料庫可以作為任何城市的基準。</p> <p>研究人員以數種方法創建情境，像是在封閉的測試道路上設計情境，透過紀錄發生的經過，以便在模擬中重現，而且也能夠修改場景中參與者的位置和速度，調整出更需要緊急迴避，以避免碰撞的場景，同樣地，在道路測試中發現的任何危險情況，都可以利用相同的過程進行模擬。</p> <p>透過模擬，Waymo可以在數小時內，評估自動駕駛最新版本在數千種場景的反應，而不需要歷經數月甚至是數年的測試。而測試結果發現，Waymo自動駕駛在可能造成嚴重傷害的情況，比NIEON反應更好，Waymo自動駕駛更能夠避免車禍以及受傷風險。</p> </div></div></div>
2022/12/16 09:17作者李建興https://www.ithome.com.tw/news/154743
YouTube Web 3負責人：Web 3的創作者經濟將更加強調粉絲在社群中角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube Web 3團隊負責人Josh Principe在近日臺北一場講座中指出現今社群媒體的一個困境。「現在平臺的粉絲分類法只有付費與否兩種，這跟實際社群中的角色認同落差太大，難以凝聚社群。」他認為，這個困境，也許可以靠Web 3應用來解決。</p> <p>Josh Principe曾任Google次世代作業系統Fuchsia OS的高階產品設計師及環境運算（Ambient Computing）產品的首席設計師。後來，他加入影音社群平臺YouTube，帶領團隊為YouTube設計Web 3相關的社群功能UX。</p> <p>Principe說，創作者經濟當道，社群媒體平臺有必要增加社群經營的方法。他提出的方向是，強調粉絲在社群中角色，甚至是成就，並將這些特質轉化為可以橫跨各種平臺的非同質化代幣（NFT）。</p> <p>其實，現在已經有許多媒體發現，強調個人及個人身分認同，對促進社群交流相當有幫助。他舉例，音樂串流軟體的個人年度回顧、社群媒體的好友限定發文、網路論壇的特殊獎章等做法，背後都有這個概念。</p> <p>不過，Principe認為還能再進一步。他說，這些個人興趣、身分認同、社群角色等資訊，不應該被綁定在個別平臺上，而是能以個別使用者為中心，攜帶到不同社群媒體平臺，來延續使用者身分認同及表達身分認同的方法。</p> <p>舉例來說，一個YouTube創作者可以發給初始粉絲專屬代幣，這些代幣可以同時展示在YouTube留言、Twitter留言、Reddit留言及Instagram留言欄中。隨著使用者持有更多來自不同平臺、不同創作者、不同社群角色種類的代幣，形成獨一無二的代幣組合，他們就能展示自己在網路世界中獨一無二的社群身分認同。Principe說，當使用者感到自己身分成為一種被認可的特殊地位或成就，就會在社群中更加活躍。</p> <p><strong>Web 3應用要廣泛被使用者接受，平臺方溝通策略要調整</strong></p> <p>儘管理想很美好，不過Principe坦言，距離一般Web 2公司大規模採用Web 3應用的時代還沒到來。箇中原因，不外乎是普遍網路使用者對於Web 3技術不熟悉，以及各種金融詐騙傳聞帶來的疑慮。要讓大眾接受Web 3應用，Principe認為，首先溝通策略要調整。這也是Web 3開發社群逐漸開始重視的觀念。</p> <p>「使用者在意的不是科技本身，是應用帶來的價值。」他表示，在用語、UI/UX及價值溝通上，平臺都能使用更易懂的表達方法。例如與其叫NFT，可以改叫頭像、收藏品、會員會籍、成就等，使用介面上也不該是連結錢包或轉移到錢包或鏈上，而是單純的獲得、移動。當使用者感受到這些科技的應用價值，也就自然而然接受Web 3應用了。</p> <p>他並指出，Web 3常常跟去中心化這個概念掛勾，不過，採用Web 3應用並不代表Web 2公司需要在營運策略上大幅去中心化，而是在既有營運框架下，尋找更多以社群及社群中個人為本的經營方式。</p> </div></div></div>
2022/12/15 17:17作者郭又華https://www.ithome.com.tw/news/154741
Google在臺公開零信任實踐原則，強調以身分取代網路作為存取控制的安全邊界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全防護策略朝向零信任發展已成各界共識，原先是由國際科技大廠推動，如今多國政府亦紛紛投入支援。而早在2014年就提出實踐方法的Google，在長期推動之下，他們的零信任轉型工程也不斷進化，從公司內部的實踐，走向解決方案的推出，最近兩年以來，他們在Google Cloud部落格發表多篇文章倡導，甚至以漫畫形式來解說，持續推廣零信任。今年Google Cloud台灣技術副總經理林書平在一場合作夥伴的研討會特別以此為題，除了解釋零信任的重要性，也說明了他們的安全模型與實踐。</p> <h3><strong>聚焦用戶與服務身分的信任</strong></h3> <p>林書平強調，過去傳統作法上，是以防火牆進行單一存取控制，認為外網危險、內網安全，因此，對應用程式並無實施存取控制。而現在推動的零信任，以Google Cloud而言，是以身分作為存取控制的邊界，而非以網路作為邊界。</p> <p>在Google零信任安全模型中，是從身分角度來看信任，共分成五大要素，包含了使用者的身分、裝置的身分，機器的身分、服務的身分，以及程式碼的身分。這也顯現出兩大構面，前兩者是對「使用者」的信任，後三者是對「服務」的信任。</p> <p>而在上述身分面向的拆解之下，結合身分識別與存取管理機制（IAM），機器識別、Binary授權，以及資料保護，要達到的效果就是，讓正確的身分可以存取由正確程式碼授權的正確機器，並在正確時間與情境下，存取到正確的資料。</p> <p>在Google的零信任設計與實踐上，秉持了三大安全原則，分別是：不分內外網強制實施存取政策，強化帳戶安全並實施裝置政策，以及傳輸加密並強制實施權限檢查。</p> <h3><strong>運用縱深防禦概念提升零信任成效</strong></h3> <p>特別的是，林書平還提及 Google Cloud對於零信任，也設計了縱深防禦。過往所談的縱深防禦戰略，是基於網路防護一層層把關，但他們在此運用的縱深防禦戰略，則是從身分到資料存取，以此為出發。</p> <p>根據林書平的說明，他們的零信任縱深防禦機制，有5大關鍵要素。首先，是帳戶同步與SSO，第二，強制實施多因子認證，第三，存取控制（這部分包含了權限、裝置、網路與時間），第四，資料安全（加密、DLP），最後，是威脅防護（防止病毒與釣魚連結）。而這些環節，也都能夠對應到美國NIST所定義的零信任架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NIST%20NCCoE%20ZTA.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）Google零信任實踐在臺首度公開ss.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Google%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E8%B8%90%E5%9C%A8%E8%87%BA%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8Bss.jpg" style="width: 600px;" /></a></p> <p><strong>例如，帳戶同步與SSO對應的部分，是ZTA架構中的主體（Subject）；強制實施多因子認證，對應到政策決策點（PDP）；存取控制，是對應到PDP，以及PDP所需的決策資訊點（PIP）；資料安全，對應PIP的資料安全；威脅防護對應PIP的安全分析。</strong></p> <p>此外，Google對於服務端也有一套零信任安全原則，他指出，這部分是基於6項安全原則來進行開發與優化，包括：保護邊緣網路，服務之間沒有固有的信任，可信任機制執行已知來源的程式碼，簡單、自動與標準化的變更發布，採通用安全政策的執行機制（如確保資料存取經過授權），以及每個工作負載之間的隔離。</p> <p>而在第三方程式碼的安全與信任問題層面，林書平亦提及Google Cloud安全軟體供應鏈架構。</p> <p>基本上，軟體供應鏈安全也是Google近年來最致力推動的一項，當中亦顯現出對於底層程式碼的信任，以及需要如何去確保各環節的安全，而他也藉由一張圖表，說明Google Cloud安全軟體供應鏈架構，當中包含了Google今年5月提出的使用信任的安全套件（Assured Open Source），後續階段還有像是原始碼、開源套件安全掃描與簽章，Binary驗證是否為受信任軟體，確保符合安全政策，以及確保執行環境符合安全政策等，目的就是希望建立安全開發、安全部署，以及安全執行環境，並建立自動化流程，盡可能在開發初期發現弱點盡快修補。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Google零信任實踐在臺首度公開B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E8%B8%90%E5%9C%A8%E8%87%BA%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8BB.jpg" style="width: 600px;" /></a></p> <p><strong>Google近年積極致力於安全軟體供應鏈的強化，在這次演說中，Google Cloud台灣技術副總經理林書平也特別談到Google在安全軟體供應鏈上的多項行動。</strong></p> </div></div></div>
2022/12/15 16:52作者羅正漢https://www.ithome.com.tw/news/154735
AI趨勢周報第203期：跨雲跑ML太燒錢？加州大學開源雲端資源優化工具幫省錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1209～1215)</span></p> <p>最近見到許多生成式AI應用，如ChatGPT、抖音母公司打造的文字轉影片AI：MagicVideo、Amazon開發的床邊故事生成功能Create with Alexa，甚至，Salesforce也開發一款AI摘要工具，可總結Slack重要訊息給使用者。除了這些創造性應用，最近也有不少新工具，如加州大學柏克萊分校的團隊，開發一款雲端資源調度工具，可幫使用者找出最省錢的雲端資源組合，並自動派送工作。此外，最新版DirectML PyTorch則開始支援熱門Transformer模型，微軟更新Azure語音功能，使用者可客製SST模型改善準確度。在應用方面，德意志銀行宣布要聯手Nvidia，來打造更符合監管的金融AI服務。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeviantArt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DreamUp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文生圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>跨雲跑ML太燒錢？加州大學開源雲端資源優化框架SkyPilot幫省錢</strong></span></p> <p>對大企業和小公司來說，用雲端資源來執行機器學習（ML）應用，都會遇到成本控管問題。加州大學伯克萊分校專攻即時邊緣運算的實驗室團隊RISELab就瞄準這個痛點，開發且開源一款框架<a href="https://github.com/skypilot-org/skypilot">SkyPilot</a>，可用來管理跨雲廠商的ML工作負載，用單一使用者介面就能處理資料、安排工作，降低使用者支出。</p> <p>進一步來說，SkyPilot演算法會根據運算工作需求，如CPU、GPU或TPU等用量，來找出最划算的雲端廠商、可用區域和範圍，接著自動安排執行該工作。目前，已有10幾家企業採用SkyPilot，有些用於GPU/TPU上訓練大型模型（得到3倍成本降低）、分散式超參數微調，也有使用者用數百個CPU實例來批次處理生醫運算，減少了6.5倍的開銷。此外，團隊也與Google合作，只要是申請到Google研究雲TRC計畫的使用者，就能立即使用SkyPilot。</p> <p>目前，SkyPilot可用於3大公雲，包括AWS、GCP和微軟Azure，並提供命令列介面（CLI）和Python API。開發團隊表示，接下來將擴大框架，來支援更多雲端廠商。<a href="https://medium.com/@zongheng_yang/skypilot-ml-and-data-science-on-any-cloud-with-massive-cost-savings-244189cc7c0f">（詳全文）</a></p> <p><img alt="" src="https://miro.medium.com/max/1100/1*f1_m-emfmYYwkp2p6HOVkQ.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>吳恩達：ChatGPT類生成式AI能秀出不確定性警語會更好</strong></span></p> <p>OpenAI最近發布的大型生成式語言模型ChatGPT引起各界關注，能產出更連貫、更多細節和更有個性的文章，不只上知天文、下知地理，還能寫出故事、笑話、散文、詩歌、撩人臺詞和程式碼，發布短短幾天就吸引百萬名使用者註冊使用。ChatGPT的訓練方式與OpenAI年初打造的InstructGPT一樣，透過人工微調GPT-3，來避免產出有害內容。為此，他們還以監督式學習和強化學習來改善ChatGPT，特別是強化學習，是以人工排序的潛在回覆為標準，讓模型學習產出如人工排序般的文字段落，並給予獎勵。</p> <p>吳恩達指出，ChatGPT雖能產出比GPT-3更優秀的回覆，也會針對一些問題給出「無法回答」的回覆，但就如其他大型語言模型一樣，ChatGPT也會產出信心十足但錯得離譜的回答。他認為，這類系統應該要呈現不同程度的信心，才不會誤導使用者或大眾。比如，Meta先前開發的檢索模型Atlas和DeepMind打造的RETRO模型，能鎖定可靠來源，將這些來源的文章合成為一個答案，並根據這些來源，改變回答的風格，彰顯一定程度的可靠性。吳恩達表示，如果能讓生成式算法，在不確定生成的答案是否正確時表達懷疑，就能大大降低產生假資訊的風險。<a href="https://www.deeplearning.ai/the-batch/issue-174/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Slack </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Salesforce開發AI摘要工具，可總結Slack重要訊息</strong></span></p> <p>Slack是企業常用的溝通工具，但1天下來，使用者可能累積了來自各頻道、DM直接對話框和回覆區的訊息，為幫助使用者快速掌握資訊，CRM龍頭廠商Salesforce打造一款AI摘要工具（AI Summarist），可以摘要Slack訊息，來讓使用者迅速查看。</p> <p>具體來說，使用者可利用AI摘要工具，來對日常工作不太重要的頻道或對話摘要，也能根據需求來決定摘要頻率和時間。AI摘要工具會根據頻道內的其他使用者反應和回覆，來決定摘要哪些訊息，也能根據使用者要求，從各種訊息中，挑出重要人物的訊息摘要。Salseforce強調，系統並不會儲存原始對話Log和摘要工具產出的文字，只會儲存使用者行為的詮釋資料（Metadata），使用者也能對AI摘要工具產出的摘要給建議。<a href="https://blog.salesforceairesearch.com/ai-summarist-slack-productivity/">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/lX8b-On6yelI7NZuuAwrT_g8U75yvNOYt9JOIUC7gSRzPFB-HYQkkQVzmOXST2-1Yt_W96vzjEG1siKhh0MMtbsjrquffp8useATaQejQdSosQt_JXHwzHpFmIlqnGSUWamxmyymI21fx3UyeDpl4q63gfKKcVG3Df6Y-23MPMFl4udjgGUf4PREimOeDw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Alexa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alexa新功能可生成床邊故事，連音樂、插畫都能配</strong></span></p> <p>生成式AI又有新應用！Amazon日前給Alexa新添一項功能，讓使用者可和小孩一起設計床邊故事，再透過Echo裝置播放出來。該功能叫做Create with Alexa，是Amazon以大型語言模型和故事訓練而成，可讓使用者根據幾個示例，如場景、主角、色調和氣氛，來產生配有音樂和插圖的故事。</p> <p>進一步來說，首先，該功能會先驅動大型語言模型，來根據使用者設定，產出5至10行文字及5個場景。接著，場景生成模型會根據每個場景，從人工繪製的圖像庫和AI產生的圖像庫，來選取合適的圖像作為背景。同時，模型還會選取物件和角色，也會根據文字內容，為角色添加相對應的表情與動作。最後，音檔生成器會從音樂庫（含和弦、合聲和旋律）中，來產生相應的音樂。目前，該功能已於11月29日上線，但只限於英文版。<a href="https://www.aboutamazon.com/news/devices/what-is-create-with-alexa?utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8XjBEEP00yIrrRqQpjZpRbLTTu43MsTgd_x1CY9LpJfucuxVrmZG6TTxKTB8uHvO-BrYjm">（詳全文）</a></p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/6ac550b/2147483647/strip/true/crop/1400x854+0+0/resize/1218x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F9c%2F84%2Faef5277045fda6292f0da2aba405%2Fuiscreens-inline-gif.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ByteDance </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2D卷積 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉影片 </span></strong></span></p> <p><span style="font-size:22px;"><strong>抖音母公司用2D卷積打造文字轉影片AI，降低運算複雜度</strong></span></p> <p>近2年生成式AI熱浪大起，不只是文字生成，各種文字轉圖像應用也雨後春筍般出現。最近，科技巨頭的研究目標轉向更難的文字轉影片，因為光是收集文字-影片配對的資料集，就比文字-圖像要難得多，且不同幀的銜接度也難以掌握。</p> <p>不過，抖音母公司ByteDance近日發表自家研究成果，以擴散模型（Diffusion model）為基礎，打造一款可將文字轉為影片的生成式AI工具MagicVideo，透過預訓練的變分自動編碼器，來在潛在空間中（Laten Space）產生影片。這個方法，大大降低了MagicVideo的運算量，而且，MagicVideo還以2D卷積來取代3D卷積，克服文字-影片的資料集問題，也降低運算複雜度。為降低記憶體消耗，2D卷積的每個運算都共享同樣權重，但這麼做會降低產出的影片品質，團隊於是在MagicVideo中採用自定義輕量級模組，來調整每一幀的分布。他們認為，該研究是文字轉影片發展中，減低運算複雜度的一個重要成果。<a href="https://magicvideo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://magicvideo.github.io/img/004.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位雙生 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IDC預測2023 AI趨勢：多模態AI和數位雙生紛紛落地</strong></span></p> <p>IDC日前發表2023年科技趨勢預測，指出明年將見到更多自動化和多模態AI應用落地，因為，他們發現全球過半企業面臨嚴重的人才與技術缺口，企業也面臨營運成本增加的壓力，而自動化就會是企業解決壓力的重要投資。</p> <p>IDC指出，企業自動化應用需要AI接軌，而單模態AI對企業即時決策和預測的需求來說是不夠的，因此，能同步處理文本、視覺影像和音訊等的多模態AI，會是企業用來實現自動化、跨越內部各種業務流程的解方。IDC認為，多模態AI的自動化應用已在智慧能源和晶片開發設計上有所成績，他們預測，到了2023年，人才與技術缺口將促使35%的IT組織投資AI技能，並預期2026年，40%的AI模型將涵蓋多模態數據演算。</p> <p>此外，IDC也預測，數位雙生也將因IoT、雲端和邊緣運算技術提升，而開始進入大型製造業、倉儲物流和產業供應鏈，而非只是國防、航太和能源等產業。IDC預測，明年將見到更多元的數位雙生部署，並在不同產業和企業規模間階段性導入。甚至，2026年也將有20%的大型企業，以運行大規模的數位雙生專案來維持商業利益。<a href="https://www.ithome.com.tw/news/154580#:~:text=%E5%9C%A8%E4%B8%8A%E8%BF%B0%E5%A4%A7%E7%92%B0%E5%A2%83%E7%9A%84,%E6%94%AF%E4%BB%98%E8%AE%8A%E9%9D%A9%E5%B8%B6%E5%8B%95B2C%E7%99%BC%E5%B1%95%E3%80%82">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DirectML </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>最新版DirectML PyTorch開始支援熱門Transformer模型</strong></span></p> <p>由微軟維護的深度學習加速框架DirectML PyTorch近日發布正式版，新支援不少熱門的Transformer模型，如GPT2、BERT和Detection Transformers。也就是說，開發者現在可利用GPU加速的PyTorch，來訓練常見的Transformer模型了。</p> <p>目前最新版本的Windows 10和WSL都支援帶有DirectML技術的PyTorch應用，開發者現可下載PyPI套件，來進行Transformer模型應用開發。不只如此，新版框架也改進了記憶體消耗、提供更快的效能，也能處理更大批次的工作。<a href="https://devblogs.microsoft.com/windowsai/transformer-support-for-pytorch-with-directml-is-here/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 德意志銀行 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 金融AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size:22px;"><strong>德意志銀行測試大型金融語言模型，要加速金融AI服務</strong></span></p> <p>德意志銀行日前宣布要藉Nvidia的AI工具，來改善金融服務，包括開發符合監管要求的AI服務、支援德意志銀行雲端數位轉型政策，以及以AI來簡化、加速德意志銀行雲端搬遷決策。</p> <p>在建立這項合作之前，Nvidia與德意志銀行已先執行數月的探索性工作，比如風險模型開發、高效能運算和品牌虛擬人物的建造。這次，德意志銀行計畫使用Nvidia AI Enterprise端到端軟體套件，在雲端和資料中心執行AI開發和部署，讓德意志銀行開發者可在本地和Google雲端，執行AI工作流程。另一方面，德意志銀行也要發展非結構化資料分析技術，他們正在測試Financial Transformers大型語言模型，要來實現金融交易對手方的預警訊號，還要更快資料檢索和辨識資料品質。<a href="https://www.db.com/news/detail/20221207-deutsche-bank-partners-with-nvidia-to-embed-ai-into-financial-services">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉文字 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出新版Azure語音功能，使用者可客製SST模型改善準確度</strong></span></p> <p>微軟更新Azure認知服務語音功能，透過客製化語音轉文字功能，來加強應用程式和產品的語音轉文字準確性。新的客製化語音模型，是以樣板模型為基礎，用戶可以透過2種方式優化模型，一是以特定領域的文字資料來訓練模型，強化字彙辨識力，另一是透過轉錄的音訊資料，來提高對特定音訊條件的辨識能力。</p> <p>這些優化方式，又可細分為4種。第1是最簡單的方式，使用者以詞彙列表添加如參與者姓名、產品和行話列表，來提高模型對這些詞彙的辨識能力。再來是以純文字，如各種體育賽事使用的詞彙，來提高特定領域詞彙精確度。第3種是以結構化文字，來強化模型辨識語音中，如片語等不同的短語形式。最後，使用者也能用音訊資料，加強模型對特定口音、說話風格或背景噪音的辨識能力。<a href="https://azure.microsoft.com/zh-tw/blog/improve-speechtotext-accuracy-with-azure-custom-speech/">（詳全文）</a></p> <p>圖片來源／UC Berkeley、Salesforce、Amazon、ByteDance</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google開源注意力中心模型，可預測圖片最吸引人類目光的位置</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/15 16:52作者王若樸https://www.ithome.com.tw/news/154734
【資安日報】2022年12月15日，SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月份的例行修補當中，SAP、VMware也針對旗下產品緩解重大漏洞，用戶應提高警覺並儘速安裝修補程式。其中，SAP本次修補了4項重大漏洞，值得留意的是，當中有兩項與他們採用的元件有關，一項是Business Client所採用的Chrome網頁瀏覽器元件，另一個則是SAP Commerce的Apache Commons Text元件。</p> <p>駭客在攻擊行動濫用驅動程式的情況也出現了新手法，在最近的一波攻擊行動中，駭客開始採用帶有微軟簽章的惡意驅動程式，以此發起勒索軟體攻擊，從而繞過資安系統偵測。微軟也證實有數名開發人員的帳號遭到濫用。</p> <p>針對醫療機構的勒索軟體攻擊升溫也引起美國政府的關注，繼11月美國衛生與公共服務部對於4種勒索軟體提出警告後，他們本月針對惡名昭彰的BlackCat和LockBit發布相關警告，並指出這2種勒索軟體的攻擊手法更難以防範。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png" style="width: 300px; float: right;" /></a>本周資安業者Mandiant、SentinelOne、Sophos，不約而同揭露能夠新型態的惡意軟體攻擊行動，那就是能終止Windows系統特定程序的惡意驅動程式Poortry、Stonestop、Burntcigar，而這些驅動程式的共通點，就是它們擁有微軟硬體相容性計畫的簽章，研究人員發現至少有9個駭客組織製作此類惡意程式，用於攻擊電信業者、業務外包業者（BPO）、代管安全服務供應商（MSSP）、金融服務業者，並用於勒索軟體攻擊。</p> <p>研究人員認為，主要問題源自大部分資安系統信任微軟簽章的所有內容，特別是核心模式驅動程式的部分，而讓駭客有機可乘。對此，微軟獲報後也著手調查，有數名開發人員計畫的帳號被濫用於此起攻擊行動，他們將部分合作夥伴的帳號暫時停權來因應。</p> <h3><a href="https://www.scmagazine.com/analysis/ransomware/blackcat-lockbit-3-0-ransomware-target-healthcare-with-customizable-tactics-triple-extortion"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對醫療機構提出警告，勒索軟體BlackCat、LockBit攻擊行動升溫</span></strong></a></h3> <p>美國衛生與公共服務部（HHS）於12月12日發布資安通報，表示近期勒索軟體駭客鎖定醫療機構的情況日益惡化，繼11月針對Venus、Hive、Lorenz、Royal的攻擊行動提出警告後，他們也呼籲醫療機構要特別防範BlackCat和LockBit勒索軟體。與前述11月份發布警告的4個勒索軟體不同之處，此次HHS表示，BlackCat針對特定目標採用了專屬攻擊手段，LockBit則是對於受害組織採用3重勒索的策略，除了洩露資料，也將恐嚇訊息透過受害組織的印表機輸出，從而對受害單位施壓。</p> <h3><a href="https://www.theguardian.com/business/2022/dec/14/tpg-reveals-emails-of-15000-iinet-and-westnet-customers-exposed-in-hack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲電信業者TPG證實代管Exchange遭到攻擊，1.5萬客戶受到波及</span></strong></a></h3> <p>澳洲電信業者TPG於12月14日向當地證交所（ASX）通報，資安業者Mandiant發現，當地網際網路服務供應商iiNet、Westnet代管的Exchange服務，出現未經授權存取的遭駭狀況，估計1.5萬家企業用戶受到影響。TPG表示，初步調查的結果顯示，駭客主要目的是找尋用戶的加密貨幣與財務資料，他們也聯繫受影響的企業用戶，並通報政府部門。該公司表示攻擊者的存取管道已經切斷，此起事故並未波及行動網路與寬頻網路用戶。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/saps-december-2022-security-updates-patch-critical-vulnerabilities" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補4項CVSS風險等級近乎滿分重大漏洞</span></strong></a></h3> <p>12月13日，SAP總共修補了旗下產品14項漏洞，當中有4個為重大漏洞。其中最嚴重的是Business Client所採用的Chrome網頁瀏覽器元件漏洞，CVSS風險層級達到了滿分10分，修補範圍包含Google在107、108版修補的2個零時差漏洞。</p> <p>其次，則是CVSS風險評分9.9分的CVE-2022-41267、CVE-2022-41272，前者存在於圖像化資料分析平臺BusinessObjects，為跨網站請求偽造（SSRF）漏洞，後者則出現於NetWeaver，可被攻擊者用於未經授權的操作。該公司第4個修補的重大漏洞則是Text4Shell（CVE-2022-42889），此漏洞存在於SAP Commerce的Apache Commons Text元件。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-esxi-and-vrealize-security-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補ESXi和vRealize重大漏洞</span></strong></a></h3> <p>VMware於12月13日發布資安通告，當中提及虛擬化系統ESXi的重大漏洞CVE-2022-31705，以及混合雲管理平臺vRealize的CVE-2022-31702，兩個漏洞的CVSS風險層級為9.3分及9.8分。</p> <p>CVE-2022-31705存在於USB 2.0控制器元件，可讓取得虛擬機器（VM）管理者權限的攻擊者，藉由VMX處理程序執行任意程式碼，影響大部分版本的ESXi、Workstation、Fusion、Cloud Foundation，儘有Workstation 17與Fusion 13不受影響；CVE-2022-31705為命令注入漏洞，攻擊者可利用vRNI REST API注入命令，影響vRealize Network Insight 6.2至6.7版，6.8版不受影響。</p> <h3><a href="https://www.securityweek.com/adobe-patches-38-flaws-enterprise-software-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補38個漏洞，大部分與Experience Manager有關</span></strong></a></h3> <p>12月13日Adobe針對旗下產品發布修補程式，總共修補了38個漏洞，其中有33個位於數位內容管理解決方案Experience Manager（AEM），該公司指出，這些漏洞雖然為重要或中等風險等級，但是如果遭到利用，攻擊者就有可能執行任意程式碼或是繞過資安防護功能。除了AEM，該公司也修補客戶關係經營系統Campaign Classic（ACC）的提升權限漏洞，以及Illustrator記憶體資料外洩漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果違反GDPR，恐面臨法國600萬歐元罰款</span></strong></a></h3> <p>根據路透社的報導，法國隱私主管機關CNIL打算針對蘋果違反隱私法GDPR一事，祭出600萬歐元的罰款，相當於新臺幣2千萬元。之所以會有這個訴訟結果，源於去年當地科技社群France Digitale控告蘋果未經iOS14用戶明確同意而收集個資。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202212090115.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委呼籲政府應儘速公布調查結果</span></span></strong></a></p> <p><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></span></strong></a></p> <p><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></span></strong></a></p> <p><a href="https://techcrunch.com/2022/12/12/xnspy-stalkerware-iphone-android/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體Xnspy跟蹤數以千計的手機用戶</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-seized-domains-linked-to-48-ddos-for-hire-service-platforms/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國封鎖了48個提供DDoS攻擊服務的網域</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> </div></div></div>
2022/12/15 15:11作者周峻佑https://www.ithome.com.tw/news/154727
微軟今年最後一個Patch Tuesday修補52個安全漏洞，其中一個已被濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周進入2022年的最後一個Patch Tuesday，總計修補52個安全漏洞，當中有6個屬於重大（Critical）漏洞，另有兩個零時差漏洞，它們分別是僅被列為中等（Moderate）漏洞的CVE-2022-44698，與重要（Important）漏洞的CVE-2022-44710，前者已遭到駭客利用。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>漏洞允許駭客繞過可用來篩選網釣網站的Windows SmartScreen安全功能。根據微軟的說明，駭客得以建立一個可逃避Mark of the Web（MOTW）防禦的惡意檔案，損及諸如Protected View等Office安全功能的完整性及可用性。駭客可打造一個惡意網站，也能透過郵件及傳訊程式傳遞惡意網站的連結，或是藉由危害合法網站來利用<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>漏洞。</p> <p>至於6個重大漏洞皆可導致遠端程式攻擊，牽涉到Microsoft Dynamics、SharePoint Server、PowerShell與Windows Secure Socket Tunneling Protocol（SSTP）。當中涉及PowerShell的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41076" target="_blank">CVE-2022-41076</a>允許一個認證用戶繞過PowerShell的遠端階段配置，並於一個受影響的系統上執行未經批准的命令。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/12/13/the-december-2022-security-update-review" target="_blank">趨勢Zero Day Initiative（ZDI）團隊說明</a>，駭客在突破系統的第一道防線之後，經常會利用系統上既有的工具來維持對系統的存取及移動能力，PowerShell即是這類的工具之一，因此若存在任何可繞過安全限制的漏洞都應儘速修補。</p> <p>這次微軟也修補一個位於Microsoft Outlook for Mac的安全漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44713" target="_blank">CVE-2022-44713</a>，它是個欺騙漏洞，允許駭客偽裝成可靠的對象，並使得受害者誤信郵件來自合法用戶。</p> <p>ZDI認為，駭客若以<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44713" target="_blank">CVE-2022-44713</a>搭配SmartScreen繞過漏洞（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>）可能會讓事情變得更棘手，倘若駭客偽裝成使用者的長官，並寄來一封含有惡意附件的檔案，大多數人應該都會開啟。</p> </div></div></div>
2022/12/15 13:37作者陳曉莉https://www.ithome.com.tw/news/154725
Windows 7、Windows 8.1都將在2023年1月終止技術支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2022年進入尾聲，到了2023年1月10日，微軟兩個歷史悠久而好用的作業系統Windows 7及Windows 8.1抵達技術支援的生命周期終點，而Edge瀏覽器也即將停止支援。</p> <p><a href="https://www.ithome.com.tw/news/151603" target="_blank">微軟今年6月提醒用戶</a>，Windows 8.1將在2023年1月10日終止對Windows 8.1的支援，同時微軟也不會銷售付費支援服務。</p> <p>Windows 8.1是於2013年10月17日正式發行，到2018年1月抵到主流支援（mainstream support），為期5年的延伸支援（extended support）將在2023年1月截止。</p> <p>而前一個版本Windows 7則是已在2020年1月14日，來到技術支援的生命周期。不過有鑒於企業用戶仍然很多，微軟在當年提供付費的延伸安全更新（Extended Security Update）。為期三年的ESU服務僅此一次，也是2023年1月10日到期。</p> <p>除了作業系統本身的技術支援，微軟的Edge瀏覽器也會在下個月結束對兩個Windows平臺的支援。<a href="https://learn.microsoft.com/zh-tw/deployedge/microsoft-edge-supported-operating-systems" target="_blank">根據微軟網頁</a>，預計明年1月12日發行的Edge 109是支援Windows 7和8.1的最後一個版本。</p> <p>另一主要瀏覽器Chrome的供應商Google原本預計在2021年7月不再支援Windows 7，但因應疫情，先延到2022年初，之後又再推遲。<a href="https://www.ithome.com.tw/news/153801" target="_blank">今年10月Google終於宣布</a>明年2月7日發行的Chrome 110版起會終止對Windows 7和8.1的支援。</p> </div></div></div>
2022/12/15 11:22作者林妍溱https://www.ithome.com.tw/news/154718
追蹤馬斯克私人飛機的推特帳號遭永久停權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然馬斯克說要維護言論自由，不過一個專門追蹤馬斯克（Elon Musk）私人專機的推特（Twitter）帳號，本周遭到永久停權。</p> <p>一個由加州大學學生Jack Sweeney所成立的@ElonJet，利用公開資料來追蹤馬斯克私人專機，他還成立了其他帳號追蹤其他人，包括馬斯克哥哥Kimbal Musk的飛機行程。本周@ElonJet帳號被永久停權後，隔日Sweeney個人帳號及追踨其他人的帳號也被封鎖。</p> <p>這個帳號一直讓馬斯克很介意。<a href="https://techcrunch.com/2022/12/14/elon-jet-the-twitter-account-tracking-elon-musks-flights-was-permanently-suspended/" target="_blank">Techcrunch報導</a>，今年1月馬斯克曾私訊Sweeney，希望支付5,000美元請他刪除帳號，但遭這大學生拒絕。不知是否出於反諷，他要求價碼拉高到5萬美元以便支付大學學費，甚至買臺特斯拉的Model 3。</p> <p><a href="https://twitter.com/elonmusk/status/1589414958508691456" target="_blank">上個月馬斯克發文道</a>，他全心支持言論自由，程度到了不查禁追蹤他私人專機的帳號，即使那已直接造成他個人安全風險。</p> <p>顯然馬斯克及推特都改變了主意。<a href="https://help.twitter.com/en/rules-and-policies/personal-information" target="_blank">推特本周更新其隱私政策</a>，雖然推特不禁止分享可在其他地方公開取得的資訊，唯獨即時位置資訊例外。</p> <p>不過Sweeney本周已經在另一社交平臺Mastodon成立了<a href="https://mastodon.social/@elonjet" target="_blank">Elon Jet帳號</a>，這個平臺因馬斯克提及後爆紅，吸引不少擔憂推特出現言論亂象的用戶跳槽。</p> </div></div></div>
2022/12/15 11:00作者林妍溱https://www.ithome.com.tw/news/154712
蘋果被控違反歐盟隱私法，可能面臨法國罰款600萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" target="_blank">路透社報導</a>，法國隱私主管機關CNIL本周針對蘋果被控違反隱私法GDPR，建議應施以600萬歐元（約2,000萬臺幣）罰金。</p> <p>CNIL是在著手調查去年法國遊說團體控告蘋果未經用戶同意即蒐集個資後，做出這項建議。</p> <p>去年一個代表法國數位企業和創投的組織「數位法國」，控告蘋果iOS14的個資蒐集行為違反GDPR。該組織指出，雖然iOS 14有詢問使用者是否允許安裝的App蒐集用於發送廣告的識別碼，但iOS的預設設定卻讓蘋果未經明確取得用戶同意就能發送精準廣告。</p> <p>不過即使真的被罰款，對蘋果而言，可能也不痛不癢。2019年CNIL因Google用戶條款中對如何處理用戶個資說明不清，<a href="https://www.ithome.com.tw/news/128391" target="_blank">而施以5,000萬歐元的罰金</a>。</p> </div></div></div>
2022/12/15 11:10作者林妍溱https://www.ithome.com.tw/news/154716
S3新儲存桶將於明年4月全面預設禁止公開存取並停用ACL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/heads-up-amazon-s3-security-changes-are-coming-in-april-of-2023/">AWS預計要對S3進行兩項安全性變更</a>，儲存桶安全實踐將自動在2023年4月開始生效，並會在數周內擴展到所有AWS區域。一旦該區域變更生效，該區域中所有新創建的儲存桶，將會預設禁止S3公開存取，並且停用存取控制列表（ACL）。</p> <p>官方提到，這兩個選項早已經是控制臺預設配置，也一直是推薦的最佳實踐，而現在這些選項將會成為使用S3 API、S3 CLI、AWS SDK或AWS CloudFormation模板，所創建儲存桶的預設選項。</p> <p>S3儲存桶和物件預設都是私密狀態，AWS在2018年添加阻擋公開存取功能，並在2021年添加停用ACL的功能，提供用戶更多控制權，並以AWS IAM政策作為替代方案。官方認為絕大多數應用程式，皆不需要用到這兩個選項，希望用戶能夠以更謹慎的方式，創建擁有公開存取和ACL功能儲存桶。</p> <p>之後當用戶需要使用兩者之一，都需要手動調整，因此AWS提醒用戶一定要檢查程式碼、腳本、AWS CloudFormation模板和其他自動化設定。</p> <p>阻擋所有公開存取功能，具體來說包含四個細項，而在2023年4月的變更，這4項都會預設開啟，包括阻擋儲存桶和物件透過新ACL授權的公共存取；阻擋儲存桶和物件透過任何ACL授權的公共存取；阻擋儲存桶和物件，透過任何公開儲存桶或存取點政策授權的公共存取；最後則是阻擋儲存桶和物件，透過任何公開儲存桶或存取點政策授權的公開和跨帳號存取。</p> <p>在變更生效之後，嘗試以儲存桶政策或存取點政策，授權儲存桶公開存取都會被拒絕，並且顯示430存取拒絕錯誤，如果用戶仍需要授予新儲存桶公開存取權限，還是能以一般程序創建，只是需要呼叫DeletePublicAccessBlock來移除公開存取的阻擋限制。</p> <p>而預設停用存取控制列表則會在新創建桶中，啟用儲存桶擁有者強制設定，這將會使儲存桶ACL和物件ACL失效，並確保無論上傳對象為何，儲存桶擁有者都是物件的所有者。儲存桶要啟用ACL，需要在CreateBucket請求中，將ObjectOwnership參數配置成ObjectWriter，或是呼叫DeleteBucketOwnershipControls。</p> </div></div></div>
2022/12/14 22:40作者李建興https://www.ithome.com.tw/news/154703
Meta釋出免費工具HMA，供各平臺大規模偵測和刪除恐怖主義內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/12/meta-launches-new-content-moderation-tool/">Meta釋出免費Hasher-Matcher-Actioner（HMA）工具</a>，該工具能夠以雜湊值，辨識恐怖主義的圖像和影片副本，協助沒有資源的平臺，打擊恐怖主義內容，HMA以Meta之前開源的圖像和影片比對軟體為基礎開發而成，因此也可用於處理各種類型的違規內容。</p> <p>下個月Meta將會擔任全球網際網路反恐論壇（GIFCT）營運委員會的主席，GIFCT是一個非政府組織，透過集結科技公司，開發技術並且合作來處理線上恐怖主義內容。GIFCT成員通常會使用雜湊共享資料庫來偵測恐怖主義內容，但GIFCT並非儲存這些暴力或是恐怖主義內容，而是儲存這些圖像和影片的雜湊值或唯一數位指紋。</p> <p>參與雜湊資料庫的公司越多，則該資料庫就越豐富，也就能夠更好地共同防範恐怖主義內容，Meta提到，通常分享恐怖主義內容的人會跨平臺進行散布，但許多企業不具備探索和限制這些違規內容的技術，而HMA便可成為有力的工具。</p> <p>Meta提到，在臉書上，現在每1萬次的瀏覽，仇恨言論只會被瀏覽2次，低於三年前每1萬次瀏覽，就有10到11次的仇恨言論瀏覽。</p> </div></div></div>
2022/12/14 22:46作者李建興https://www.ithome.com.tw/news/154707
Google釋出開源軟體漏洞掃描工具OSV-Scanner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出免費工具<a href="https://security.googleblog.com/2022/12/announcing-osv-scanner-vulnerability.html">OSV-Scanner</a>，供開源開發人員可以更簡單地存取和專案相關的漏洞資訊。</p> <p>去年Google發布開源漏洞（Open Source Vulnerability）架構並且啟動OSV.dev服務，完成第一個分散式開源漏洞資料庫，官方解釋，OSV允許不同的開源生態系和漏洞資料庫，能夠以一種簡單、精確且機器可讀的格式發布和使用資訊。</p> <p>而OSV-Scanner則是OSV資料庫的下一步，這是由官方支援的前端，能夠將專案的相依項目列表，和影響專案的漏洞相關聯。由於軟體專案通常擁有大量的相依項目，而每個相依項目可能包含現有已知的漏洞，或是尚待發現的新漏洞，但因為相依項目和版本太多，開發人員通常難以手動追蹤，因此需要自動化來解決這項困難。</p> <p>OSV-Scanner會自動比對專案相依項目和已知漏洞列表，並於存在修補程式或是更新時通知開發者，Google提到，OSV-Scanner能夠生成可靠、高品質的漏洞資訊，以縮小開發人員軟體套件列表和OSV資料庫中的漏洞資訊落差。</p> <p>由於OSV-Scanner使用開源分散式OSV.dev資料庫，因此官方提到，OSV-Scanner與閉源資料庫的掃瞄器相比更具優勢，包括每個安全通報都是來自開放且權威的來源，所有人都可以提出改進建議，因此能夠共同維護高品質資料庫，而且OSV格式以機器可讀的格式，儲存有關受影響的套件版本資訊，該格式能精確地對應到開發者的軟體套件列表。</p> <p>OSV-Scanner會先分析清單、SBOM並提交雜湊值，找到所有正在使用的遞移相依項目，接著OSV-Scanner會將該資訊和OSV資料庫進行比對，以顯示開發者專案相關的漏洞。同時OSV-Scanner還整合到OpenSSF計分卡漏洞檢查，可將漏洞分析從專案的直接漏洞，擴及所有相依項目漏洞，代表採用OpenSSF計分卡的專案能夠獲得更全面的安全檢查。</p> </div></div></div>
2022/12/14 22:48作者李建興https://www.ithome.com.tw/news/154709
微軟簽章遭攻擊者濫用於開發合法惡意驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端旗下的資安公司<a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware">Mandiant</a>以及<a href="https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/">SentinelOne</a>聯手調查，發現多個可終止Windows系統上特定程序的惡意驅動程式，研究人員提到，在這種情況，惡意驅動程式通常會嘗試終止端點的偵測和回應代理（EDR），不過，這項攻擊更大的問題在於，該惡意驅動程式擁有合法簽章，由微軟Windows硬體開發人員計畫認證。</p> <p>這個惡意程式帶有微軟Windows硬體相容性計畫Authenticode簽章的POORTRY驅動程式樣本，研究人員仔細分析了該驅動程式的Authenticode後設資料，發現該惡意驅動程式，是由Windows硬體相容性計畫簽署，也就是說，惡意驅動程式是由微軟直接簽署，而且研究人員還發現幾個與不同攻擊者關聯的惡意軟體家族，也已經透過這項程序進行簽署，研究人員確定至少有9個組織利用這項非法手法，生成惡意驅動程式。</p> <p>驅動程式簽章是Windows作業系統的重要安全功能，其要求驅動程式需要擁有有效的加密簽章，才能被載入到系統中，也就是該簽章將開發人員核准為可信任的實體，而這些開發人員的程式碼，繼承了這種信任。</p> <p>研究人員提到，這種驗證方式對打擊核心模式Rootkit攻擊非常重要，核心模式Rootkit是能夠以最高權限運作的惡意軟體，微軟從偵測到根除核心模式Rootkit，歷經了一段時間的努力。開發人員的驅動程式要能獲得Windows硬體品質實驗室（WHQL）簽章，需滿足一組特殊標準，這個過程仰賴嚴格的檢查，以確保請求的開發人員是真實存在，且沒有提交惡意驅動程式。</p> <p>開發人員首先必須獲得擴充驗證（Extended Validation，EV）憑證，並在註冊Windows硬體開發人員計畫後，將其附加到帳戶中，EV憑證要求開發人員將私鑰儲存在物理的權杖上，並執行一系列檢查以驗證請求組織的身分。</p> <p>完成之後開發人員必須透過合作夥伴入口，提交驅動程式套件進行一系列測試和簽署，確保相容性且不存在任何惡意意圖，在通過測試後，微軟便會使用Windows Hardware Compatibility Publisher憑證對其進行簽署。</p> <p>研究人員表示，這個過程的主要問題，是來自於大多數安全解決方案信任微軟簽章的任何內容，尤其是核心模式驅動程式。雖然微軟在Windows 10開始，要求開發人員使用Windows硬體開發人員中心儀表板入口，對所有核心模式驅動程式進行簽章，任何未通過該程序的內容都無法載入到新的Windows版本中。</p> <p>即便這項新要求強化了驅動程式的控制和可見性，但是攻擊者透過開發驅動程式，並且使驅動程式在微軟的審查過程無法發現其惡意意圖，進而玩弄這個程序。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/ADV220005">微軟已經完成該事件調查</a>，判斷該惡意攻擊行動只涉及幾個遭濫用的開發人員計畫帳戶，微軟已經將合作夥伴的賣方帳戶暫時停權，並執行進一步偵測措施，避免往後又出現合法簽署的惡意驅動程式，微軟建議使用者安裝最新的Windows更新，並且更新防毒和端點偵測產品至最新狀態，同時啟用最新簽章，以防範相關攻擊。</p> </div></div></div>
2022/12/14 23:05作者李建興https://www.ithome.com.tw/news/154704
【資安日報】2022年12月14日，Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日是本月的第二個星期二，許多廠商發布了12月份的例行修補程式，值得留意的是，所針對的資安弱點，有不少是已經出現攻擊行動的零時差漏洞。</p> <p>例如，Citrix為旗下的Citrix ADC、Citrix Gateway發出資安通告，有人正利用CVE-2022-27518發動攻擊。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。</p> <p>另一個也相當值得留意的是與Safari瀏覽器有關，排版引擎WebKit被人發現有漏洞CVE-2022-42856。蘋果原先在11月底為iOS 16提供修補，但該公司現在也擴大對Mac電腦、Apple TV修補，原因是已出現攻擊行動。</p> <p>殭屍網路針對WordPress網站而來的攻擊行動也值得關注，但這起事故透過暴力破解來挾持網站，而非利用WordPress網站或外掛程式的漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.fortinet.com/blog/threat-research/gotrim-go-based-botnet-actively-brute-forces-wordpress-websites" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站遭到殭屍網路GoTrim鎖定，暴力破解管理者帳密</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1670684543601.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1670684543601.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露自今年9月出現的GoTrim殭屍網路，此殭屍網路針對WordPress網站嘗試透過暴力破解攻擊，存取管理員帳號，一旦成功入侵，惡意軟體會向C2中繼站回報，並使用PHP指令碼下載殭屍網路病毒GoTrim並部署，然後接管該網站並納入殭屍網路。</p> <p>研究人員根據程式碼進行分析，GoTrim除了能試圖存取WordPress帳密，駭客亦試圖開發能存取Joomla!、Data Life Engine帳密資料的功能。而為了規避偵測，駭客也只會針對自行管理的WordPress網站下手，排除由WordPress.com代管的網站。</p> <h3><a href="https://www.ithome.com.tw/news/154699"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特針對研究人員發現有1,700萬筆用戶資料外洩做出說明</span></strong></a></h3> <p>研究人員於8月發現有人在駭客論壇兜售540萬筆推特用戶資料，當時推特證實此事起因與他們今年1月修補的漏洞有關，<a href="http://www.ithome.com.tw/news/154485#twitter">但在11月又有研究人員發現另一批駭客利用相同的漏洞蒐集多達1,700多萬筆用戶資料</a>。</p> <p>對此，<a href="https://privacy.twitter.com/en/blog/2022/update-about-an-alleged-incident-impacting-some-accounts-on-twitter">推特於12月9日做出說明</a>，他們表示前後兩個研究人員揭露的其實是同一批資料，但未說明為何資料筆數落差如此懸殊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-citrix-adc-and-gateway-zero-day-patch-now/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix ADC的零時差漏洞已被用於攻擊行動</span></strong></a></h3> <p><a href="https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518">資安業者Citrix於12月13日發布資安通告</a>，指出駭客利用CVE-2022-27518對Citrix ADC和Citrix Gateway發動攻擊，影響12.1至13.0版的系統，13.1版不受影響。此外，該漏洞必須在系統設置為SAML的服務提供者（SP），或是身分識別資訊提供者（IdP）的角色，才會觸發。一旦遭到利用，攻擊者可在未經身分驗證的情況下，遠端執行任意命令，並控制存在該漏洞的系統。由於沒有其他的緩解措施，該公司呼籲用戶應儘速安裝更新軟體。</p> <p>Citrix並未透露該漏洞遭到利用的細節，但<a href="https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF">美國國家安全局（NSA）指出</a>，中國政府資助的駭客組織APT5（亦稱UNC2630、Manganese）將其用於攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/154698"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS修補了可被用於發動DoS、資料外洩的容器映像檔服務漏洞</span></strong></a></h3> <p>資安業者Lightspin揭露AWS的Docker映像檔儲存庫Elastic Container Registry Public（ECR Public）重大漏洞，他們在該儲存庫的入口網站ECR Public Gallery當中，發現有個文件未提到的API，可用於新增、刪除、變更容器映像檔，一旦有人發現此API，就有機會刪除其他帳號的ECR映像檔，或是上傳、新增惡意映像檔，進而發動阻斷服務（DoS）、資料外洩、網路橫向移動、權限擴張、資料破壞等攻擊行動。AWS在11月15日獲報後已完成修補。</p> <h3><a href="https://techcrunch.com/2022/12/13/apple-zero-day-webkit-iphone/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iPhone的WebKit零時差漏洞已被用於攻擊，蘋果亦為Mac電腦和Apple TV修補</span></strong></a></h3> <p>蘋果在11月30日推出的iOS 16.1.2當中，修補了瀏覽器排版引擎WebKit的漏洞CVE-2022-42856，現在該公司也針對舊版iOS與iPadOS，以及Mac電腦、Apple TV修補，原因是已出現攻擊行動。蘋果在12月13日發布iOS 15.7.2、iPadOS 15.7.2、Safari 16.2、tvOS 16.2，以及macOS Ventura 13.1，當中也修補了上述的WebKit漏洞，並指出他們獲報已有相關的漏洞攻擊行動，是針對執行iOS 15.1的手機而來。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2022-patch-tuesday-fixes-2-zero-days-49-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布12月份例行修補，緩解2個零時差漏洞</span></strong></a></h3> <p>12月14日微軟發布每月例行修補（Patch Tuesday），總共修補了49個漏洞，當中有2個零時差漏洞CVE-2022-44698、CVE-2022-44710，前者是已出現攻擊行動，後者則是細節遭到公開。CVE-2022-44698與Windows的SmartScreen防護機制有關，攻擊者可利用特製的惡意文件，避開識別是否來自網際網路（MoTW）的機制，資安新聞網站Bleeping Computer指出，已有駭客藉由JavaScript檔案發動攻擊；CVE-2022-44710則是出現在DirectX元件，可被攻擊者用於取得System權限。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-claims-attack-on-californias-department-of-finance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國加州政府財政部門遭勒索軟體LockBit攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/ukrainian-railway-state-agencies-allegedly-targeted-by-dolphincape-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭鐵路系統、國家機構遭到惡意軟體DolphinCape鎖定</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_no/research/22/l/linux-cryptomining-enhanced-via-chaos-rat-.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用木馬程式Chaos RAT入侵Linux電腦，目的是挖掘門羅幣</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2022/12/announcing-osv-scanner-vulnerability.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google釋出開源軟體漏洞掃描工具OSV-Scanner</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> </div></div></div>
2022/12/14 18:25作者周峻佑https://www.ithome.com.tw/news/154710
健保署力推虛擬健保卡，下一步要整合電子處方箋和更多支付App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部健保署今年力推虛擬健保卡應用，昨日（12/13）展開虛擬健保卡應用分享會，不少醫院展示自家虛擬健保卡應用，包括已執行的應用以及未來可能施行的應用情境，來激發更多想像。比如，臺北榮總用虛擬健保卡和健保署開發的輕量藍牙App，來進行居家醫療，減少設備攜帶的不便也大大縮短健保卡讀寫時間，林口長庚醫院則在視訊門診、皮膚科和家醫科一般門診導入虛擬健保卡，並整合支付App方便民眾付款。雙和醫院則打造模擬情境，要結合未來將上路的電子處方箋，讓民眾從報到掃碼、看診、繳費和領藥都用虛擬健保卡完成。健保署未來推動方向也是如此，要整合電子處方箋、支付App（如Line Pay），來提供民眾一條龍式的就醫服務。</p> <p><span style="font-size:24px;"><strong>已有36萬多人持虛擬健保卡、967家特約醫院完成系統介接測試</strong></span></p> <p>健保署指出，全民健保自1995年開辦以來，就發出健保紙卡，供民眾就醫使用。但當時沒有照片，因此需搭配身分證來查核，而且也有6格換卡的限制。於是，2002年，健保署推出健保IC卡，IC卡和紙本卡並行1年後，2004年就全面換發健保IC卡，以晶片卡取代紙本卡外，也陸續整合各種就醫資訊。當時SARS疫情爆發時，也因健保IC卡可追蹤就醫史，用資訊來阻止疫情擴散。</p> <p>不過健保IC卡使用至今，也有不少問題，比如卡片遺失或損壞、基本資料變更需要換發，以及讀卡速度太慢等問題。為解決這些問題，也為配合國家數位化發展，健保署於2018年，與行政院公共數位創新空間小組（PDIS）和各專家聯手設計虛擬健保卡，要將健保卡放入民眾手機，不必攜帶實體卡也能看診，醫師也能查詢就醫資訊，並於2019年開始試辦。</p> <p>而在COVID-19疫情期間，虛擬健保卡也成為視訊診療的重要利器，健保署也鼓勵醫院、民眾使用虛擬健保卡。推動至今滿4年，健保署統計，至今年11月30日，已有36萬3,582人持有虛擬健保卡、967家特約醫療院所已完成虛擬健保卡系統介接測試。</p> <p><span style="font-size:24px;"><strong>鎖定居家醫療、視訊診療、遠距醫療，下半年也推動在地培力訓練</strong></span></p> <p>不只如此，健保署為推廣虛擬健保卡，也鼓勵醫院在居家醫療、視訊診療、遠距醫療等3大領域採用，並給予獎勵，希望在這3領域全面落實虛擬健保卡。但這不代表，虛擬健保卡只能在這3大領域使用，臺灣也有不少醫院已將虛擬健保卡用於一般門診中，如奇美醫院、長庚體系醫院等。</p> <p>除了獎勵，健保署也展開教育訓練，加強採用力道。健保署署長李伯璋指出，健保署自今年7月以來，前進偏鄉和離島，舉辦了16場在地培力訓練實體活動，還同步271個視訊點，共約2,000人參與。他們首站就到阿里山，也搭船至連江縣辦理訓練，要讓當地民眾、醫事人員、意見領袖和社區照服人員等成為在地種子，來提高偏鄉民眾虛擬健保卡的使用率、解決數位落差。</p> <p><span style="font-size:24px;"><strong>健保署打造虛擬健保卡授權功能，還要新增Line Pay支付</strong></span></p> <p>自虛擬健保卡推動以來，健保署也修改不少功能。比如，健保署企劃組組長王宗曦指出，民眾進行視訊看診時，得先在健保快易通App中截圖虛擬健保卡QR Code，再透過院所App傳送，讓醫師掃描、讀取就醫資料來看診。但這要切換程式，有時也難以讀取截圖，因此，健保署打造一套虛擬健保卡系統整合視訊診療系統介接程式，民眾可授權給醫院讀取其醫療記錄，免去掃描QR Code的不便。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%88%E6%AC%8A%E6%B5%81%E7%A8%8B.jpeg" /></p> <p>這個授權機制，是在民眾進行視訊診療前，先開啟虛擬健保卡，並於10分鐘內點選同意授權，院所就能在1小時內取得QR Code、調閱雲端健保資訊，來進行視訊診療。</p> <p>另一方面，健保署也整合金流，串接支付App，目前已支援醫指付、阿佩、街口支付，接下來要新增Line Pay，也在研擬介接銀行支付。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A2%9E%E5%8A%A0LineP.jpeg" /></p> <p>這也是民眾對虛擬健保卡的期許之一。王宗曦指出，健保署在問卷調查中發現，超過85%的民眾認同虛擬健保卡線上申請過程方便、授權機制放心，但民眾對虛擬健保卡有所期望，除了能有更多元的線上支付方式外，還要能提供整合式服務，如搭配處方箋至社區藥局領藥等。</p> <p>對醫事人員來說，超過7成認同虛擬卡讀卡時間比實體卡快速，但也期望能搭配處方箋至醫事機構領藥，並希望健保署提供院所，自行整合設計符合醫院內部流程的讀寫機制SDK，來讓醫院提供一站式服務。這也是健保署接下來的努力方向。</p> <p><span style="font-size:24px;"><strong>北榮用於居家醫療，取卡號不必再等1、2鐘頭</strong></span></p> <p>在實際運用成果上，臺北榮總現場分享，家醫部團隊以虛擬健保卡用於居家醫療照護情境，特別是採用健保署開發的輕量藍牙App，讓團隊不必帶讀卡機，減輕醫護居家醫療的負擔，也能加速讀取資料時間。</p> <p>臺北榮總家醫部醫師李蕙君指出，為實現這個目標，團隊第一步得先幫忙居家醫療病患申請虛擬健保卡，比如針對有自己門號的病患，醫護可現在自己的虛擬健保卡QR Code下方點擊機構代碼、產生機構認證碼，接著在民眾申請虛擬健保卡時，由醫事人員確認資料，並協助民眾填入機構認證碼，來申請虛擬健保卡。而在醫院端，可透過輕量藍牙App先取得醫事機構認證，再以直接拍攝民眾健保卡或透過民眾健保快易通App讀取虛擬健保卡QR Code，來完成取卡、進行看診作業。</p> <p>就北榮自身經驗來說，北榮資訊室打造一套軟體，來讓居家醫療團隊使用。在系統操作上，首先，居家醫療醫護可點選虛擬健保卡主控臺，再點選虛擬健保卡軟體，看到虛擬健保卡執行中字樣後，就可開始看診。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E7%B3%BB%E7%B5%B1.jpeg" /></p> <p>過程中，醫護可傳送虛擬健保卡憑證給病人，病人在健保快易通App中讀取、授權，醫護就能取得V開頭的虛擬健保卡卡號，來進行看診作業。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE3.jpeg" /></p> <p>北榮居家護理師李淑娟表示，過往，她在進行居家醫療服務時，光取得健保卡卡號，就會耗上1、2個小時。而透過虛擬健保卡，就不受地理空間和時間限制。她也提醒，使用虛擬健保卡一定要先連VPN，且使用介面一定要以英文輸入法輸入，否則會受健保局阻擋。</p> <p><span style="font-size:24px;"><strong>高醫不只運用於遠距醫療，還模擬救護資料調閱情境</strong></span></p> <p>另一方面，高醫副院長戴嘉言則分享虛擬健保卡遠距醫療應用成果，自去年7月開始，高醫就先將虛擬健保卡用於視訊診療，今年4月則宣示全院推動，並與健保署合力推動虛擬健保卡在地培力訓練，5月則與屏東縣泰武鄉衛生所展開計畫，以虛擬健保卡納入偏鄉遠距醫療，7月推動教育訓練、8月有所成績。</p> <p>進一步來說，這個遠距醫療虛擬健保卡應用情境有2種，一是在衛生所或民眾家中時，高醫醫師發送授權請求，來讓民眾授權給醫師，讓醫師取得虛擬健保卡卡號、讀取健保雲端藥歷資料。另一種情境則是用於視訊看診和五官鏡問診。</p> <p>不只如此，高醫也將遠距醫療所需的會診記錄，改用國際醫療資料交換標準FHIR來互通。</p> <p>戴嘉言指出，高醫也正發想虛擬健保卡的未來應用，並提出2種模擬情境。比如，它可用於資料授權，像是病人在救護車上時，救護人員可發送授權請求，病人同意後就能調閱其醫療資料，讓後送醫院先行準備。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%AB%98%E9%86%AB%E6%9C%AA%E4%BE%861.jpeg" /></p> <p>另一種應用情境則是身分識別，以虛擬健保卡作為身分認證機制，來讓民眾在社區據點或醫療院所測量生理量測值時，可將量測值上傳至健康福祉整合照護系統。這個情境又可分為2種環境，一是在健保VPN環境下，透過掃描虛擬健保卡QR Code辨識身分，讓民眾在醫療院所量測生理數值並上傳，另一種環境則是非健保VPN，如在7-11、文健站、ABC據點等，一樣透過掃碼來讓民眾使用該地生理量測設備、上傳量測值。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%AB%98%E9%86%AB%E6%9C%AA%E4%BE%862.jpeg" /></p> <p><span style="font-size:24px;"><strong>長庚去年5月展開視訊診療、支援虛擬健保卡，下一步要調整流程</strong></span></p> <p>去年5月疫情緊張時，長庚體系醫院開始支援視訊診療，也導入虛擬健保卡，來讓視訊診療更順暢。在操作上，有兩種方式可執行，一是民眾在長庚官網或App進行網路掛號，或是已掛號可在這兩處申請變更為視訊看診，免除重新掛號的不便。看診時，民眾可出示虛擬健保卡QR Code，來讓遠端醫護掃描、調閱資料，或是透過醫院HIS發送授權請求、民眾同意後，醫院取得V字頭就醫序號，來調閱就醫資料、看診。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A%E6%8E%88%E6%AC%8A.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A.jpeg" /></p> <p>若民眾已在現場掛號，也能透過官網和App，將掛號轉為視訊診療。看診完成後，民眾可透過醫指付App來付款，減少實體接觸感染風險。</p> <p>林口長庚醫院統計，醫院每周也提供超過30個專科的視訊診療，其中，兒科、胸腔內科和中醫是看診人次最多的科別。他們統計，自今年1月至9月，長庚體系的視訊看診人次達到6,463人次/月。</p> <p>不過，長庚醫院也揭露接下來將調整的流程，比如，目前看診前若量測血壓或身高體重，仍為手工輸入，但接下來要添購設備、改為掃描虛擬健保卡QR Code來寫入資料，此外，長庚也要改善病人檢查時的診間報到流程，要讓民眾透過長庚醫院App，來掃描診間報到機上的QR Code，作為報到確認，取代傳統插卡作業。另外在病人檢驗和領藥部分，也將改為以QR Code掃描，來辨識身分。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%96%80%E8%A8%BA%E6%B5%81%E7%A8%8B%E5%80%8B.jpeg" /></p> <p>不只如此，長庚醫院也已修改藥單領藥流程，只要藥單顯示的是虛擬健保卡的V字頭卡號，就配上「請出示身分證件」等字樣，民眾出示身分證或虛擬健保卡即可領取藥單。同樣地，在繳費部分，長庚醫院也已更新批價程式，讓系統可以讀取虛擬健保卡的V字頭卡號，方便民眾自助繳費。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A%E8%97%A5%E5%96%AE.jpeg" /></p> </div></div></div>
2022/12/14 14:59作者王若樸https://www.ithome.com.tw/news/154702
推特聲稱沒有另一起重大資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於近日有安全研究人員相信有新的重大資料外洩，<a href="https://privacy.twitter.com/en/blog/2022/update-about-an-alleged-incident-impacting-some-accounts-on-twitter" target="_blank">社交平臺推特（Twitter）本周聲稱</a>並無此事，只有今年8月公布的資料外洩案。</p> <p><a href="https://www.ithome.com.tw/news/152367" target="_blank">今年8月研究人員發現有人在駭客論壇上以3萬美元代價，兜售540萬筆推特用戶資料</a>，包括電話號碼和電子郵件帳號。推特證實此事，但表示，這是出於一個去年6月更新時引發的漏洞，但該公司已在今年1月修補，並稱當時並未發現漏洞已遭到濫用。</p> <p>到了11月，資安媒體Bleeping Computer報導這批資料已經在論壇上免費散布。<a href="https://www.ithome.com.tw/news/154485" target="_blank">但另一名安全研究人員Chad Loder指出</a>，有人利用前述漏洞蒐集到多達1,700多萬筆用戶資料，包含1,300多萬筆不包含在之前外洩事件的紀錄。</p> <p>推特本周指出，經過公司的事件回應小組比對兩次報導指稱的資料樣本，他們斷定兩次公告的資料外洩事件其實是同一批資料。</p> <p>好消息是，沒有第二次資料外洩事件。壞消息是，今年8月發現的資料外洩筆數應該如同研究人員懷疑，是1,700多萬筆，而非540萬。</p> <p>推特說，雖然用戶密碼並未外流，但仍鼓勵所有用戶以App或實體驗證金鑰執行雙因素驗證。<a href="https://twitter.ethicspointvp.com/custom/twitter/forms/data/form_data.asp" target="_blank">推特也開放用戶以線上表格申請查詢自己帳號的安全性</a>。</p> <p>此外，由於上千萬用戶電話及電子郵件資料已外流，推特也提醒用戶對聲稱是推特的信件保持警覺，小心釣魚詐騙。</p> </div></div></div>
2022/12/14 12:20作者林妍溱https://www.ithome.com.tw/news/154699
美國正式指控FTX創辦人SBF詐騙投資人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在FTX共同創辦人Sam Bankman-Fried（SBF）本周一（12/12）於巴哈馬<a href="https://www.ithome.com.tw/news/154681" target="_blank">遭到逮捕</a>之後，<a href="https://www.sec.gov/news/press-release/2022-219" target="_blank">美國證券交易委員會（SEC）</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8638-22" target="_blank">美國商品期貨交易委員會（CFTC）</a>周二（12/13）分別控告SBF詐騙投資人。</p> <p>SEC指出，SBF在2019年5月向投資人募集了逾18億美元的資金，當中約有11億美元來自90名美國投資人，他宣稱FTX是個安全且負責任的加密貨幣交易平臺，還說FTX擁有複雜且自動化的風險管理機制可用來保護客戶資產。</p> <p>然而，SBF卻向投資人隱瞞了許多事，包括私自將FTX客戶的資金轉移到SBF名下的加密貨幣做市商Alameda Research，允許Alameda Research享有特殊待遇，未揭露相關風險，還在Alameda Research使用了混合FTX的資金進行未公開的風險投資、購買房地產與政治捐款。</p> <p>SEC主席Gary Gensler表示，SBF在欺騙的基礎上建造了一座紙牌屋（脆弱的組織），還告訴投資人這是加密貨幣最安全的建築之一，SBF的行為彰響了加密貨幣平臺必須遵循美國的法令，例如妥善保護客戶資金與拆分具衝突的業務。SEC執法部主任Gurbir Grewal則說，FTX的崩潰突顯了未註冊的加密資產交易平臺可能替投資者與客戶帶來非常真實的風險。</p> <p>SEC認為SBF欺詐性地向投資人募集數十億美元，並濫用屬於FTX客戶的資金，違反證券交易法令的反詐欺規定。</p> <p>至於CFTC則同時控告了SBF、FTX與Alameda Research，指控它們涉及數位商品銷售的詐騙及重大不實陳述，更說這些被告的行為讓FTX客戶損失超過80億美元。</p> </div></div></div>
2022/12/14 12:35作者陳曉莉https://www.ithome.com.tw/news/154700
微軟收購英國光纖業者Lumenisity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/12/09/microsoft-acquires-lumenisity-an-innovator-in-hollow-core-fiber-hcf-cable/" target="_blank">微軟本月初宣布</a>收購英國光纖業者Lumenisity，以強化微軟雲端平臺的網路基礎架構。</p> <p>微軟指出，創立於2017年的Lumenisity是英國南安普敦大學的光電研究中心（Optoelectronics Research Centre，ORC）分拆獨立的空心光纖（Hallow Core Fiber，HCF）公司。HCF的原理是在空心玻璃導管的通道傳送光。微軟指出，Lumenisity的HCF方案比起傳統以實心玻璃光纖有很多好處，包括速度更快、延遲性更低，因為光在HCF傳送的速度比矽玻璃快47%。其次，基於Lumenisity的內在結構，其HCF更安全，也能偵測入侵活動。此外，因為減少了光纖非線性（nonlinearity）、頻譜更寬，因此網路成本更低、頻寬更大、品質更提升。最後，它訊號耗損超低，可以更長距離傳送而無需轉發器（repeater）。</p> <p>微軟指出，Lumenisity的收購案可擴大微軟最佳化全球雲端基礎架構，並服務微軟雲端平臺和服務的客戶，同時滿足更嚴格的延遲性和安全要求，嘉惠健康照護、金融服務、製造、零售和政府等產業客戶，因為這些客戶相當仰賴高速傳輸、安全及大容量通訊的資料中心。</p> <p>透過這樁交易，微軟計畫利用整合Lumenisity的技術和團隊加速網路和基礎架構的創新。</p> <p>微軟這樁收購並不令人意外，近年為了強化其Azure部門扮演雲端資料中心及代管5G基礎架構的實力，<a href="https://www.ithome.com.tw/news/145377" target="_blank">微軟去年7月買下</a>AT &T 5G行動通訊網路的工程部門和技術。微軟也和<a href="https://www.ithome.com.tw/news/153074" target="_blank">衛星連網服務公司Space X</a>、SES、<a href="https://www.ithome.com.tw/news/146920" target="_blank">和碩</a>合作，以提供衛星網路、5G專網給Azure資料中心及雲端服務企業客戶。</p> </div></div></div>
2022/12/14 11:36作者林妍溱https://www.ithome.com.tw/news/154697
AWS修補了可被用以發動DoS、資料外洩的容器映像檔服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lightspin.io/aws-ecr-public-vulnerability" target="_blank">安全廠商發現</a>AWS容器服務一項元件的重大漏洞，可被用來發動阻斷服務（DoS）、外洩資料、網路橫向移動等多種型態攻擊。AWS已經在上個月將之修補。</p> <p>AWS容器登錄檔（Amazon Elastic Container Registry，ECR）是AWS的受管Docker容器登錄檔，可供開發人員存放、共享及部署容器映像。ECR Public是開放給外部人士共享的映像檔儲存庫，其中Public Gallery則是一個公共入口網站，列出所有代管在ECR Public的公開儲存庫。許多知名公司和專案、服務像是NGINX、Ubuntu、Amazon Linux、HashCorp Consul都在此發佈映像檔給外部使用者。</p> <p>安全廠商Lightspin在ECR Public Gallery的主要JavaScript檔案中發現一組未記載的API actions，可用來新增、刪除、變更容器映像檔。這些API actions雖然未記載，卻是有效的，這意謂著可為找到這些API的人所用。研究人員指出，此一漏洞可讓攻擊者刪除其他AWS帳號名下的ECR映像檔，或上傳、新增惡意映像檔，進而發動阻斷服務、資料外洩、網路橫向移動、權限擴張、資料破壞和其他多變量攻擊路徑。</p> <p>研究人員在一次概念驗證（PoC）中，成功撰寫了一個Python腳本程式呼叫其中一個API action，並刪除測試用ECR Public上儲存庫的映像檔。</p> <p>安全廠商於11月15日向AWS通報這項漏洞，這家雲端大廠隔日就修補了漏洞。</p> </div></div></div>
2022/12/14 11:58作者林妍溱https://www.ithome.com.tw/news/154698
Meta開源匿名憑證服務ACS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta向社群開源了<a href="https://engineering.fb.com/2022/12/12/security/anonymous-credential-service-acs-open-source/">匿名憑證服務（Anonymous Credential Service，ACS）</a>，這是一個高可用的多租戶服務，供客戶端能夠以去識別化的方式，進行使用者身分驗證。</p> <p>ACS可以應用的情境有很多，Meta以自家的日誌紀錄應用來解釋開發ACS的原因。Meta在日誌紀錄實施資料最小化精神，僅收集支援服務所需要的最少資料，目標是要在提高用戶體驗的同時，收集和使用更少的資料。</p> <p>在Meta大多數日誌紀錄用例中，用戶身分並非必要，因此需要從日誌紀錄資料中排除，官方提到，移除身分驗證是刪除可辨識碼的一種方法，但是這樣卻會使系統容易受到包括資料注入等攻擊。為此Meta建立了一個更好的去識別身分驗證方法ACS，從高層次來看，ACS透過將身分驗證分為權杖發行和權杖兌換（Token Redemption）兩個階段，來進行去識別化身分驗證。</p> <p>在權杖發行階段，客戶端透過身分驗證的通道聯繫伺服器發送權杖，伺服器會簽署權杖並將其送回，接著去識別化身分驗證，也就是權杖兌換階段，客戶端使用去識別化通道提交資料，並使用權杖的變異形式，而非以用戶ID進行身分驗證。</p> <p>匿名憑證協定建立在VOPRF（Verifiable Oblivious Pseudorandom Function）和盲簽名技術之上。以日誌紀錄為例，Meta將工作流程拆分成兩個步驟解決日誌去識別化的問題，首先客戶端會經過身分驗證，連線到伺服器進一步獲得匿名憑證，之後每當客戶端需要上傳日誌的時候，便會連同匿名憑證和日誌，一起發送到伺服器未經身分驗證的連接中，而匿名憑證便用做客戶端真實性的證明。</p> <p>Meta解釋，之所以這個協定有效，是因為業務資料和身分驗證資料分離，業務資料使用非盲權杖發送，而身分資料則使用盲權杖發送。不過權杖發行和權杖兌換不會同時發生，客戶端可以將權杖儲存數小時甚至數天，當客戶端想要紀錄資料卻沒有權杖，可以獲取權杖並且立刻進行兌換，只不過這兩步驟會在單獨的請求中，避免任何人可從資料中推斷出使用者身分。</p> <p>但要將匿名憑證用於現實的大規模系統仍需要解決一些挑戰，第一是權杖兌換的計數，在理想情況，一個憑證應該只能兌換一次，但是在實作中，由於要減少伺服器負擔，Meta接受多次兌換憑證，Meta使用安全的計數服務來限制權杖兌換次數。</p> <p>另外，匿名憑證協議需要一個金鑰對，伺服器使用金鑰對權杖進行簽章，以便驗證兌換請求，客戶端則需要一個對應的公鑰來解鎖權杖，Meta提到，金鑰輪換對於ACS來說非常重要，這能夠減輕萬一使用者在獲得憑證才遭竊產生的影響。</p> <p>Meta在ACS儲存庫釋出了一個可擴充C函式庫，其主要元件包括VOPRF協定，用於客戶端權杖盲化、非盲化，以及生成用於權杖兌換的共享秘密。ACS儲存庫還有屬性金鑰衍生函式、離散日誌證明，Meta還用C++實作了用於演示的伺服器和客戶端程式。</p> </div></div></div>
2022/12/14 11:06作者李建興https://www.ithome.com.tw/news/154695
JetBrains針對測試自動化推出整合開發環境Aqua
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Kotlin的開發商Jetbrains推出新的開發工具<a href="https://blog.jetbrains.com/qa/2022/11/introducing-aqua-a-powerful-ide-for-test-automation-by-jetbrains/">Aqua</a>，這是一款功能強大的測試自動化IDE，官方提到，Aqua提供許多不同於當前JetBrains產品的獨特功能，Aqua囊括了測試自動化工程師日常所需要的所有工具，包括多語言IDE，支援JVM、Python和JavaScript等，還有HTTP客戶端、資料庫管理功能、Docker支援和UI自動化網頁檢視器等。</p> <p>JetBrains Aqua為一個能夠理解Java、Kotlin、Python、JavaScript、TypeScript和SQL等語言的IDE，即時檢查程式碼的品質和有效性，當發現問題，Aqua將提供建議操作協助用戶解決問題。</p> <p>Aqua具有與其他JetBrains IDE類似的功能，像是用戶可以透過點擊燈泡圖示，呼叫上下文操作，獲得程式碼完成、錯誤偵測和即時程式碼修復功能。開發者也能夠使用智慧搜尋功能，跳轉到任意的類別、檔案、函式和工具視窗，同時，Aqua的智慧功能能夠協助開發者安全地重新命名、刪除、擷取方法、引入變數或是執行其他重構操作。</p> <p>在Aqua中，開發者可以利用程式助理以及GUI測試程式，創建和執行程式碼測試，在Aqua中，用戶可以使用JUnit、TestNG、Pytest、Jest、Mocha和其他熱門框架，編寫、執行和除錯單元測試，並在IDE查看測試結果，以樹狀結構檢視並且簡單地導覽至測試來源。</p> <p>Aqua的特點在於提供許多自動化導引，IDE將有新建專案精靈，供開發者方便地替JVM堆疊產生新的UI測試專案，並在新建專案精靈中指定JDK、建置工具和測試執行工具。Aqua也支援Selenium API和Selenide，針對Selenium API中所使用的CSS、XPath和JavaScript程式碼片段，進行程式碼分析。</p> <p>嵌入式的網頁檢視器讓用戶在Aqua中查看網頁應用程式，並且捕捉自動化測試所需要的頁面元素，Aqua會替網頁上選定的元素，生成唯一的CSS或XPath定位器，並且將其添加到程式碼中，方便用戶建構測試程式。</p> <p>在開發發送和接受HTTP請求的網頁服務時，開發者便可以用上Aqua內建的HTTP客戶端，簡單創建和編輯請求，獲得程式碼完成、突出顯示和重構等協助。Aqua能夠存取Docker容器，供用戶執行和測試容器，並且下載和建置映像檔，或是執行多容器應用程式。</p> <p>而Aqua強大的資料庫支援，讓開發者不需要安裝其他工具準備應用程式資料，可以直接從IDE處理包括Oracle、SQL Server、PostgreSQL和MySQL等資料庫，以及開發SQL腳本和低階資料斷言（Assertion），Aqua提供即時資料庫連接、查詢、匯出資料，用戶能在視覺化介面直接管理資料庫架構。</p> <p>另外，Aqua還能夠連接外部測試管理系統，諸如TestRail等，使得測試方便從IDE存取，而且實驗性支援本地測試管理系統，允許分支、版本控制、審查，並且更好地進行自動化測試整合。</p> </div></div></div>
2022/12/13 22:05作者李建興https://www.ithome.com.tw/news/154696
【資安日報】2022年12月13日，車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Py…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>車輛共享業者Uber再度傳出資料外洩事故，但與過往不同的是，這次並非該公司本身遭到攻擊，而是他們的IT資產管理軟體的供應商成為目標，使得Uber、Uber Eats受到牽連。</p> <p>有後門程式針對VMware虛擬化平臺下手，並利用已知漏洞入侵，值得留意的是，該後門程式其實也能用於攻擊其他執行Linux作業系統的電腦。</p> <p>提供網路應用程式系統防護的應用程式防火牆（WAF），竟然出現了能被用於SQL注入的漏洞，而且，至少有5家知名的解決方案都存在相關漏洞（Palo Alto Networks、AWS、Cloudflare、F5、Imperva）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/uber-suffers-new-data-breach-after-attack-on-vendor-info-leaked-online/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">車輛共享業者Uber再傳資料外洩，起因是第三方供應商遭駭</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-uber.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-uber.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為UberLeak的人士於駭客論壇聲稱，他們從車輛共享業者Uber與外送平臺Uber Eats竊得內部機密，主要是行動裝置管理平臺（MDM）的資料，以及第三方供應商服務有關的原始碼檔案，該名人士亦特別提及先前曾對Uber下手的駭客組織Lapsus$成員。該新聞網站指出，UberLeak流出的資料包含程式原始碼、IT資產管理報告、資料銷毀報告、網域登入名稱等內部資料，其中一個檔案內有7.7萬名員工的電子郵件信箱及AD資料。</p> <p>對此，Uber透露，此起事件與<a href="https://www.teqtivity.com/breach-notification-statement/">IT資產管理軟體供應商Teqtivity的資料外洩事故</a>有關，駭客竊得此軟體業者的AWS備份伺服器權限，進而存取該公司客戶的檔案，但並非Lapsus$所為。</p> <h3><a href="https://blogs.juniper.net/en-us/threat-research/a-custom-python-backdoor-for-vmware-esxi-servers" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware ESXi伺服器遭到Python後門程式鎖定</span></strong></a></h3> <p>資安業者Juniper Network於今年10月發現以Python打造的後門程式，該惡意軟體藉由已知漏洞CVE-2019-5544、CVE-2020-3992，攻擊VMware虛擬化平臺ESXi，研究人員指出，雖然此後門程式也能用於攻擊其他Linux電腦，但有跡象顯示主要目標是ESXi──駭客設置了/store/packages/vmtools.py的Python指令碼，而這是存放VMware Tools的資料夾路徑，且該指令碼開頭有VMware的版權聲明。</p> <p>攻擊者一旦執行此Python後門程式，將會啟動網頁伺服器，而能讓攻擊者從遠端發出POST請求，啟動反向Shell或是下達其他命令。</p> <h3><a href="https://www.websiteplanet.com/blog/vevor-breach-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路商店Vevor資料庫配置不當，逾600 GB資料公開</span></strong></a></h3> <p>在今年4月與7月，架站教學網站Website Planet的研究團隊與資安人員Jeremiah Fowler合作發現一家網路電商業者的大量資料暴露。出事的業者是DIY工具網路商店Vevor，由於他們使用的AWS資料庫服務，居然未使用密碼來進行保護，導致大量資料暴露在網路上。根據上述團隊的第一次發現，Vevor曝露了逾400 GB、7億個檔案，第二次再查看時，暴露資料量逾600 GB、11億個檔案。</p> <p>研究人員指出，該資料庫內含大量的電子郵件、1290萬筆客戶資料、Vevor的網路環境架構，以及管理者的帳密等，任何使用者只要透過瀏覽器就能存取，甚至編輯、下載，或刪除資料。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-attack-on-belgium-city-of-antwerp/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play聲稱是比利時安特衛普市事故的攻擊者</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FjvxLjlVsAAn6q9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FjvxLjlVsAAn6q9.jpg" style="width: 300px; float: right;" /></a>比利時安特衛普市的IT系統、電子郵件、電話服務，約於12月5日開始發生中斷的現象，迄今仍尚未恢復，原因是專門管理市政府IT系統的業者Digipolis遭到勒索軟體攻擊，但攻擊者的身分為何？資安業者Emsisoft的研究人員指出，勒索軟體Play於11日聲稱從安特衛普市竊得557 GB資料，並要脅市政府必須在19日之前支付贖金，否則他們將會公布手上的資料。這些竊得的資料包含了個資、護照、身分證、財務文件等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://claroty.com/team82/research/js-on-security-off-abusing-json-based-sql-to-bypass-waf" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用JSON格式的SQL指令繞過應用程式防火牆的攻擊手法</span></strong></a></h3> <p>資安業者Claroty調查Cambium Networks無線設備管理平臺的過程中，發現了管理伺服器漏洞cnMaestro，後續研究這家廠商架設於AWS的代管服務，結果又找出可攻陷AWS應用程式防火牆（WAF）的方法，Claroty在此主要是利用WAF無法識別JSON的格式語法來下達SQL指令，成功發動SQL注入攻擊。</p> <p>研究人員後來也針對其他WAF產品進行測試，發現類似的漏洞也存在於Palo Alto Networks、Cloudflare、F5、Imperva旗下的WAF，上述5家供應商獲報後皆完成修補。研究人員指出，由於大部分WAF普遍無法解析JSON，上述的漏洞也可能出現在其他廠牌的WAF。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/fortinet-says-ssl-vpn-pre-auth-rce-bug-is-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet於11月底修補的SSL VPN系統漏洞，本週發出資安通告，原因是已出現攻擊行動</span></strong></a></h3> <p>資安業者<a href="https://www.fortiguard.com/psirt/FG-IR-22-398">Fortinet於12月12日發布資安通告</a>，該公司旗下的FortiOS SSL VPN重大漏洞CVE-2022-42475已出現攻擊行動。此漏洞存在於sslvpnd模組，為記憶體緩衝區溢位造成，一旦遭到利用，未經身分驗證的使用者就能遠端癱瘓SSL VPN設備，或是執行任意程式碼，CVSS風險評分為9.3分。</p> <p>然而，在此之前已有資安業者提出警告。<a href="https://www.lemagit.fr/actualites/252528257/VPN-SSL-nouvelle-vulnerabilite-critique-inedite-chez-Fortinet">法國新聞網站LeMagIT指出</a>，資安業者Olympe Cyberdefense早於9日揭露上述漏洞，並呼籲Fortinet用戶留意事件記錄是否出現可疑活動，並在修補程式推出後儘速部署。資安新聞網站Bleeping Computer發現，Fortinet早於11月28日悄悄修補CVE-2022-42475，但並未提及已出現攻擊行動的情況，後來於12月7日向客戶私下通報有關細節。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154683"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare免費提供零信任解決方案供高風險組織運用</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154677"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google於正式版Chrome提供無密碼登入機制Passkey</span></span></strong></a></p> <p><a href="https://blog.phylum.io/phylum-detects-active-typosquatting-campaign-in-pypi"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Go語言開發的勒索軟體假冒PyPI、NPM套件向開發人員勒索</span></span></strong></a></p> <p><a href="https://www.galesburg.com/story/news/local/2022/12/09/notorious-ransomware-group-claims-credit-for-knox-college-disruptions/69712979007/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國諾克斯學院遭到勒索軟體Hive攻擊</span></span></strong></a></p> <p><a href="https://www.abc.net.au/news/2022-12-13/north-korean-cyber-spies-new-tactic-tricking-foreign-experts/101763756"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Thallium疑假借尋求專家撰寫報告的名義收集情報</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> </div></div></div>
2022/12/13 18:06作者周峻佑https://www.ithome.com.tw/news/154694
微軟將取得倫敦證交所的4%股權，雙方達成10年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/12/11/empowering-the-future-of-financial-markets-with-london-stock-exchange-group/" target="_blank">微軟與倫敦證券交易所集團（London Stock Exchange Group，LSEG）周一（12/12）宣布長達10年的策略合作協議</a>，雙方不僅將共同開發新一代的資料、分析及雲端基礎設施解決方案，微軟也將取得LSEG的4%股權，且負責雲端與AI的微軟副總裁Scott Guthrie可望被任命為LSEG的非執行董事。</p> <p>微軟與LSEG的合作，主要奠基在LSEG在2019年以270億美元所買下的Refinitiv，Refinitiv為金融市場資料與基礎設施供應商，現於全球190個國家提供金融市場的資料分析服務，其金融機構客戶超過4萬家，雙方將力推Refinitiv的資料及分析流程解決方案Workspace。</p> <p><a href="https://www.lseg.com/en/media-centre/press-releases/2022/lseg-and-microsoft-launch-strategic-partnership" target="_blank">根據雙方的協議</a>，LSEG將把資料平臺與其它的關鍵科技基礎設施遷移到微軟的Azure雲端環境上；Refinitiv的Workspace將能與Teams與Microsoft 365等特定的微軟應用互動；雙方亦同意將共同開發基於雲端的數位市場基礎設施，目標是改變市場參與者與資本市場互動的方式。</p> <p>微軟估計，此一合作案所帶來的市場機會，將替微軟於未來10年帶進50億美元的額外營收，其中有28億美元來自於LSEG所承諾的最低支出。對於LSEG而言，發揮及擴大Refinitiv的能力也可緩解大舉併購Refinitiv所招致的回報壓力，LSEG指出，該集團的收入可望隨著此一合作的時間推移而增加，且雙方將共同投入Workspace的規畫與研發。</p> <p>此外，微軟將藉由與Blackstone/Thomson Reuters Consortium交易，取得LSEG的4%股權，微軟副總裁Scott Guthrie亦將進入LSEG董事會，擔任負責監督的非執行董事。</p> <p><a href="https://www.ft.com/content/2e613f60-fc0d-48dc-a0ef-b9a7fff06363" target="_blank">LSEG執行長David Schwimmer向英國《金融時報》（Financial Times）解釋</a>，此一協議不只是把LSEG的資產轉至雲端這麼簡單，而更像是一個重要的策略聯盟，雙方將會共同建置產品並一起進入市場。</p> </div></div></div>
2022/12/13 16:38作者陳曉莉https://www.ithome.com.tw/news/154682
Cloudflare向非營利組織提供零信任安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/cloudflare-zero-trust-for-galileo-and-athenian/">Cloudflare宣布</a>Galileo以及Athenian兩專案使用者，現在都可以獲得免費的Cloudflare One Zero Trust套件防護，抵禦網路釣魚攻擊並獲得安全通道連接服務。Cloudflare One為零信任安全和連接解決方案，受Cloudflare超過1萬名用戶採用以保護其組織資料。</p> <p>Galileo和Athenian專案是Cloudflare提供給非營利組織與公益團體的安全專案，Galileo專案的目標是要維護美國選舉公平性，增加州和地方選舉網站的安全性和效能，而Athenian專案則是對高風險網站提供網路安全保護，從事藝術、人權、公民社會、新聞工作或是民主工作的組織，都可以申請Athenian專案獲得Cloudflare的網路安全保護。</p> <p>官方表示，這些組織面臨與大型公司相同的安全挑戰，包括惡意攻擊者透過網路釣魚攻擊，試圖破壞用戶憑證以及關鍵資源，但因為這些組織缺乏預算，無法部署大型企業用以抵禦威脅的安全工具。</p> <p>現在Cloudflare擴大Galileo和Athenian專案使用者的網路安全防護能力，提供Cloudflare One，以解決團隊常見的安全問題，抵禦範圍更廣泛且日益增加的攻擊。Cloudflare One中所包含的Area 1是網路釣魚防禦工具，該工具會掃描組織的電子郵件，以偵測潛在的網路釣魚活動和其他類型攻擊。</p> <p>Galileo和Athenian專案用戶皆能夠免費使用Area 1，官方提到，Area 1的部署只需要幾分鐘修改DNS紀錄的時間，就可以開始保護Microsoft 365和Gmail等各種電子郵件。雖然部分電子郵件可能會逃避偵測，或是網路釣魚連結會從其他管道傳遞，但即便用戶不小心點擊了惡意連結，透過Cloudflare DNS解析器1.1.1.1，也能即時攔截這些查詢，攔截惡意目標載入。</p> <p>Cloudflare One支援組織的遠端工作，使遠端成員依然可以存取組織內部工具，同時組織也能準確控制，可以存取應用程式和服務的成員，而需要傳統專用網路的組織，可以在用戶端點上部署裝置客戶端WARP，透過Cloudflare Tunnel和Cloudflare的全球網路建立出站連接。</p> <p>除了網路釣魚攻擊之外，組織還面臨許多來自惡意攻擊者的威脅，包括隱藏在下載檔案中的惡意軟體，且當研究人員和記者在不受信任的來源探索特定主題時，可能連帶把勒索軟體帶回組織，或是透過飯店等不安全Wi-Fi網路連接網際網路，成員可能因洩漏DNS查詢而受到監控。</p> <p>Cloudflare One提供了一個加密且安全的網際網路入口，使得用戶能夠獲得私密網際網路連接，並過濾隱藏威脅。當用戶連線到惡意目標時，Cloudflare One將阻擋頁面，同時還會掃描用戶欲下載的惡意軟體，阻擋用戶開啟。</p> </div></div></div>
2022/12/13 16:50作者李建興https://www.ithome.com.tw/news/154683
中國要求Deepfake影片需加明顯標示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/12/12/china_deep_synthesis_deepfake_regulation/" target="_blank">中國國家互聯網信息辦公室本周發布</a>Deepfake人工智慧合成影片服務的管理法規，將要求業者應在合作的Deepfake影片提供明顯標識，避免Deepfake影片用於非法行為，此外也應主動審查客戶內容以避免散布假新聞。</p> <p>中國網信辦是在11月初通過《互聯網資訊服務深度合成管理規定》規定。深度合成服務指的是提供工具產製AI合成模仿知名人物影片（或稱deepfake影片）的服務業者。</p> <p>網信辦這項法令旨在明訂深度合成數據和技術管理規範，防止有人利用深度合成服務從事危害國家安全和利益、擾亂社會經濟秩序。中國政府要求業者應擔任資訊安全主體，建立使用者註冊、定期審核演算法、發布審核資訊、確保用戶個資保護、防範電信網路詐騙，並具備安全技術措施。</p> <p>較重要的一點是，法規要求，4類深度合成服務業者應在生成或編輯的內容特定位置加上顯著標識，以避免公眾遭到混淆或誤導。這4類包括AI對話、智能寫作等生成文本的服務；合成人聲、仿人聲及顯著改變個人身份的服務；人臉生成、替換、人臉操控及姿態操控、影片生成的服務；沈浸式擬真場景等生成或編輯服務等，以及其他類。而且任何組織或個人不得以技術手段刪除、隱藏或竄改這些標識。</p> <p>法規要求，業者和使用者不得使用深度合成服務製作或發布、散布假新聞，轉載深度合成服務發布的新聞，應同時轉載官方新聞稿源。而深度合成服務業者也應加強內容管理，對使用者輸入的資料和合成結果進行技術或人工審查，一旦發現違法和不良訊息，應立即向主管當局通報，並對使用者發布警告或限制功能、暫停服務或關帳號等措施。</p> <p>這項法規在12月11日公布後，將在2023年1月10日起上路。</p> </div></div></div>
2022/12/13 12:48作者林妍溱https://www.ithome.com.tw/news/154680
FTX創辦人SBF遭巴哈馬警方逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/latraelrahming/status/1602468030742757376" target="_blank">巴哈馬警方於本周一（12/12）逮捕了</a>FTX共同創辦人Sam Bankman-Fried（SBF），並準備將他引渡回美國。</p> <p><a href="https://twitter.com/latraelrahming/status/1602446687712473088" target="_blank">巴哈馬法務部長Ryan Pinder表示</a>，該國是收到美國的正式通知，顯示SBF面臨美國刑事指控，可能會要求引渡。此外，巴哈馬總理Philip Davis亦說，巴哈馬及美國在追究與FTX相關事件的個人責任上享有共同利益，在美國對SBF提出刑事訴訟的同時，巴拿馬也會繼續調查FTX，並繼續與美國及其它國家合作。</p> <p><a href="https://twitter.com/SDNYnews/status/1602451395910803457" target="_blank">美國紐約南區檢察官Damian Williams則證實</a>了巴哈馬政府的說法，還說很快就會公布對SBF的起訴書。<a href="https://www.nytimes.com/2022/12/12/business/ftx-sam-bankman-fried-bahamas.html" target="_blank">《紐約時報》（New York Times）</a>引用消息來源指出，SBF被控電信詐欺、證券詐欺及洗錢等罪名。</p> <p>不過，<a href="https://storage.courtlistener.com/recap/gov.uscourts.deb.188450/gov.uscourts.deb.188450.203.0.pdf" target="_blank">FTX也在周一控告</a>巴哈馬政府，宣稱該國政府與SBF聯手，將FTX資產轉移到由巴哈馬控管的加密貨幣錢包中。當時FTX資產忽然被大量移出，外界一度以為該平臺遭到駭客入侵，但隨後巴哈馬證券委員會證實，該機構是在取得法院的命令之後，率先將FTX的數位資產移至該機構的錢包以進行妥善的保管。</p> <p>另一方面，在FTX聲請破產保護之後接掌FTX執行長的John Ray III，將於今天（12/13）向美國眾議院的金融服務委員會報告他梳理FTX的心得，<a href="https://financialservices.house.gov/uploadedfiles/hhrg-117-ba00-wstate-rayj-20221213.pdf" target="_blank">根據先行公開的文字內容</a>，他說在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p><a href="https://www.ithome.com.tw/news/154305" target="_blank">Ray早就說</a>這輩子從未看過有如FTX般混亂的企業內控，他在此一文件中提出的具體例子還包括儲存客戶資產的系統或金鑰缺乏安全控制，缺乏財務及風險管理人員，以及整個集團缺乏獨立治理能力等。</p> </div></div></div>
2022/12/13 13:12作者陳曉莉https://www.ithome.com.tw/news/154681
DeepMind新AI模型能共寫電影、劇場腳本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/DeepMind/status/1601237890708537344" target="_blank">Google的AI業務部門DeepMind本周介紹最新AI語言模型Dramatron</a>，可和使用者合作共同撰寫電影或劇場腳本，還能創造人物和對話。</p> <p>Dramatron為互動式共同創作AI工具，可和作者一起創作新故事，並加上故事標題、人物、地點描述和對話。它是由DeepMind研究人員和史丹佛大學科學家合作而成。</p> <p><a href="https://github.com/deepmind/dramatron" target="_blank">根據DeepMind介紹</a>，Dramatron是利用現有預訓練的大型語言模型（large language model，LLM）Chinchilla產生一致性的長篇文字，它可協助共同創作劇場或電影劇本。Dramatron使用階層式方法生成故事，以便全篇文字之間有一致性。Dramatron使用上先輸入劇本綱要，之後就能和人互動，產生角色、情節點、地點描述和對話。產生的劇本可提供素材，供作編纂、編輯和改寫。</p> <p><a href="https://arxiv.org/pdf/2209.14958.pdf" target="_blank">DeepMind的論文說明</a>，Chinchilla擁有700億個參數的神經網路，使用6億多網頁文件、數百萬本書籍、數十億則新聞報導及142萬行GitHub程式碼及600萬維基百科文件訓練而成。</p> <p>Dramatron可被當作撰寫工具及靈感來源，也能讓作者任意地「玩」。之後DeepMind邀請15位劇作家、編輯和演員使用Dramatron測試及創作。其中加拿大公司Rapid Fire Theatre根據和AI模型共同創作的劇場腳本，實際搬上舞台表演獲得正面迴響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1213-Dramatron-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DeepMind</span></span></p> <p>不過研究小組也表示，Dramatron產出的內文，可能包含用以訓練模型的文字。解決方法之一是人類作者從成品中搜尋子字串（substring），以避免剽竊問題。此外，它可能重製訓練文字的偏見和刻板印象，甚至產生具冒犯性的文字。避免方法是使用Google和第三方業者合作的免費機器學習<a href="https://perspectiveapi.com/" target="_blank">Perspective API</a>來評估成品文字的「有毒分數」，並根據分析過濾掉。</p> <p><a href="https://github.com/deepmind/dramatron/blob/main/CONTRIBUTING.md" target="_blank">DeepMind也邀請</a>開發人員加入Dramatron的貢獻開發。</p> </div></div></div>
2022/12/13 12:03作者林妍溱https://www.ithome.com.tw/news/154678
Google Chrome M108穩定版支援Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼10月Canary版支援無密碼登入技術通行密鑰（Passkey），<a href="https://blog.chromium.org/2022/12/introducing-passkeys-in-chrome.html" target="_blank">Google上周宣布</a>Chrome穩定版M108也正式加入支援。</p> <p>通行密鑰是一組儲存在裝置中的獨立數位身分，是取代密碼的新選擇。在登入支援的網站或App時，通行密鑰結合裝置上的生物辨識特徵產生的安全程式碼和網站、App交換進行驗證即可完成，不必記憶密碼。</p> <p>通行密鑰另一好處是沒有外洩問題。每次產生的通行密鑰程式碼無法重覆使用，且由於它並非儲存在伺服器端，因而不用擔心伺服器被駭而外流。</p> <p>最新版Chrome M108穩定版包括Windows 11、macOS和Android版將會支援通行密鑰。在現有Android版本Chrome M108上，通行密鑰可透過Google密碼管理員同步，未來Android版本則可以使用其他支援的密碼管理員如1Password或Dashlane同步。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/B8WvaZF5QApI926gpV-sSemO8y3k3OKU1McZjtBZ7A_O2PlQ9tfozPEy5sk8tH5_2sblKwXo3HTPq9gD3oy6mfvyc_Ixx5jwQ-PsB4tOAfGt1zkJ9ywg1kbQdSP5uk1BXZlBVK7CzFaa6BV6WeoJJCa8Sthmv210Y8HKEdrZSovjwXwfvcs0eLYvFKI2PMY" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>從Chrome M108起，使用者也可以在Windows或macOS版Chrome上管理通行密鑰。</p> <p>Google說明，通行密鑰以產業標準WebAuthn為基礎打造，可運行在不同作業系統和瀏覽器上，可方便用於網站和App。在桌機上欲登入時，使用者也可選擇以附近Android或iOS等行動裝置的通行密鑰登入。</p> <p>Google小組說明，該公司和微軟、蘋果及W3C、FIDO聯盟多年來積極推動WebAuthn標準化，Chrome穩定版支援無密碼登入是一大里程碑，但還有一段路要走；iOS和Chrome OS版本的Chrome瀏覽器使用通行密鑰目前仍在努力中。</p> </div></div></div>
2022/12/13 11:18作者林妍溱https://www.ithome.com.tw/news/154677
Kubernetes 1.26穩定支援Windows特權容器並棄用CRI v1alpha2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kubernetes.io/docs/tasks/configure-pod-container/create-hostprocess-pod/">Kubernetes開發團隊發布最新1.26版本</a>，這版本主要新功能，包括容器映像檔註冊表變更、容器執行時介面（Container Runtime Interface，CRI）支援更新，以及穩定支援Windows特權容器等。</p> <p>在之前的版本，Kubernetes改變容器註冊表，使負載能夠分散到多個雲端供應商和區域，這個變化減少了對單一實體的依賴，使大量用戶能夠更快地下載容器映像檔。而官方現在將註冊表k8s.gcr.io移動到了registry.k8s.io，Kubernetes 1.26則是在registry.k8s.io發布的第一個版本，registry.k8s.io將不會發布Kubernetes 1.26以後的容器映像檔標籤，但會繼續更新之前舊版本標籤。</p> <p>由於Kubernetes對CRI的採用，以及在Kubernetes 1.24移除dockershim，因此CRI是Kubernetes目前唯一受支援與不同容器Runtime互動的方法，Kubelet需要和節點容器Runtime溝通想要使用的CRI版本。在之前的版本，雖然Kubernetes推薦使用CRI v1版本，但是Kubelet仍然可以協商使用CRI v1alpha2，而目前這個版本已經被棄用。</p> <p>Kubernetes 1.26已經不再支援CRI v1alpha2，因此當容器Runtime不支援CRI v1，則將導致Kubelet無法註冊節點，官方提到，這代表Kubernetes 1.26不支援containerd 1.5以及之前版本，因此如果用戶想使用containerd，就需要先更新到containerd 1.6.0或更高版本，再將節點升級到Kubernetes 1.26。</p> <p>在Kubernetes 1.26，用戶也能夠在Windows上穩定執行特權容器，特權容器是指容器能以類似主機程序的主機權限運作。在Windows節點這項功能稱為HostProcess容器，現在已經升級到了穩定版本，允許特權容器存取包括網路等主機資源。</p> <p>Windows HostProcess供用戶在Windows主機上執行容器化工作負載，微軟解釋，這些容器以一般的程序運作，但是在給予適當使用者特權時，能夠存取主機網路名稱空間、儲存和裝置等。HostProcess容器能夠讓用戶在Windows上部署網路擴充套件、裝置擴充套件、kube-proxy等元件，但不需要專用代理或直接安裝主機服務。</p> </div></div></div>
2022/12/13 07:45作者李建興https://www.ithome.com.tw/news/154663
VS Code 1.74更新CLI強化遠端開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布整合開發環境<a href="https://code.visualstudio.com/updates/v1_74#_remote-development">VS Code 11月更新版本</a>，這個版本有一個重要的遠端開發預覽功能—遠端通道（Remote Tunnels），遠端通道讓開發者可以安全地從任意裝置，以VS Code存取自己的機器，只要開發者開啟遠端通道功能，就能夠使用包括vscode.dev，或是VS Code桌面的遠端通道擴充套件進行遠端開發。</p> <p>VS Code的核心是一個程式碼編輯器，透過加入遠端開發功能，並與其他環境整合，將可使VS Code功能更加強大且靈活。VS Code中原本就內建命令列介面工具，讓開發者可以控制編輯器啟動和管理，透過命令列選項就能打開檔案、安裝擴充套件，甚至是輸出診斷資訊。</p> <p>微軟提到，雖然CLI在VS Code桌面工作流程非常有用，但是存在一個巨大的缺陷，就是無法用來啟動遠端實例。現在微軟強化這個程式碼CLI工具，使得開發者可以啟動VS Code，並且以VS Code桌面和vscode.dev遠端連接機器。</p> <p>VS Code 1.74包含的這個新CLI，用戶也可以選擇獨立安裝，因此即便無法在裝置上安裝VS Code桌面，也能夠用CLI創建到任何電腦的安全連線。官方提到，用戶不需要設定SSH或是HTTPS，就可以使用安全通道從VS Code桌面和網頁客戶端，對選擇的機器開始開發工作。</p> <p>另外，微軟也調整了相關擴充套件的命名，包括Remote-WSL和Remote-Containers。微軟原本使用的Remote代表著遠端和獨立的意思，與本地端意思相反，但官方提到，因為這和不少用戶的Remote用法不同，因此容易會產生「開發容器是在我的本地端機器嗎？」這類困惑。</p> <p>微軟現在更新了擴充套件產品用語和指令，使其更加清楚，並將兩個擴充套件更名為WSL和Dev Containers，因此在這個新的遠端通道功能，微軟將原本擴充套件名稱Remote Server更改成Remote Tunnels，以表示在不需要SSH的況下，透過安全通道連接到遠端電腦的行為。</p> </div></div></div>
2022/12/13 07:49作者李建興https://www.ithome.com.tw/news/154673
微軟發布高效能檔案搬遷新工具Azure Storage Mover
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了微軟在2月發布的Azure檔案搬遷計畫，讓用戶透過搬遷合作夥伴，執行搬遷工作之外，現在用戶還可以選擇使用<a href="https://azure.microsoft.com/zh-tw/blog/azure-storage-mover-a-managed-migration-service-for-azure-storage-2/">Azure Storage Mover</a>，以全託管混合搬遷服務將檔案和資料夾移動到Azure。</p> <p>目前Azure Storage Mover仍在預覽階段，提供用戶將本地網路檔案系統（NFS），共享給Azure Blob容器以進行搬遷，官方提到，接下來幾個月，Storage Mover會繼續增加額外搬遷來源和目標組合。</p> <p>Storage Mover讓用戶可以在Azure中控制搬遷計畫，並在準備完成後，從Azure Portal、PowerShell和CLI工具進行啟動和追蹤，這使得用戶可以將Storage Mover用於一次性搬遷，或是重複的資料移動。</p> <p>官方表示，在沒有協調服務的情況下，大規模複製工作不只耗時還容易出錯，而Storage Mover為一個具有搬遷代理程式的混合服務，用戶可以將代理部署在靠近資料來源儲存的地方，並在Azure同一處管理部署到全球各地的所有代理。</p> <p>Storage Mover有許多設計有助於提高搬遷效能，透過Azure Storage的REST協定，能夠快速移動資料，並且該服務明確分離管理路徑和資料路徑，而且每個代理都會將檔案和資料夾直接發送到Azure中的目標儲存。</p> <p>微軟解釋，直接將資料發送到目標，可以最佳化搬遷效能，因為資料不需要透過雲端服務，或是經過與部署目標儲存不同的Azure區域處理，這種最佳化對於跨地理位置的分公司辦公室資料搬遷尤其重要，因為這些分公司辦公室，可能會以其所在區域的Azure Storage為搬遷目標。</p> <p>微軟已經制定Storage Mover發展路線圖，除了將會支援更多的資料來源和儲存目標之外，也將會提供用戶更多的搬遷選項，自動將可能的來源載入到服務中，減少用戶在大規模搬遷時的手動輸入錯誤。</p> </div></div></div>
2022/12/13 07:51作者李建興https://www.ithome.com.tw/news/154676
【資安日報】2022年12月12日，數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防毒軟體與EDR系統有可能成為駭客破壞電腦資料的幫兇！有資安業者揭露微軟、趨勢科技、Avast、AVG、SentinelOne等廠牌的端點防護產品漏洞，其共通點是可被用來抹除電腦裡的資料。研究人員指出，有別於過往駭客使用的資料破壞軟體（Wiper），這種漏洞讓攻擊者無須取得高權限就能發動攻擊，且檔案更難復原。</p> <p>存在漏洞的SSL VPN系統也是駭客用於入侵組織的管道，<a href="https://www.ithome.com.tw/news/141261">過往有人收集Fortinet SSL VPN系統的IP位址並在暗網兜售</a>，但目前大量曝險的並非只有這個廠牌的設備，有資安業者公布Pulse Connect曝險的情況，值得留意的是，臺灣約有188臺VPN設備存在已知漏洞。</p> <p>惡意軟體轉換入侵管道並增加攻擊力道的情況也相當值得留意。駭客自今年8月改變散布惡意軟體TrueBot的手法，先是濫用特定的資產管理工具，但隔了2個月他們改用另一款惡意軟體進行攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://censys.io/pulse-connect-secure-a-view-from-the-internet/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾4千個存在漏洞的Pulse Connect SSL VPN曝露於網路上，臺灣也有近200臺</span></strong></a></h3> <p>資安業者Censys揭露SSL VPN系統Pulse Connect曝險的情況，在全球可透過網際網路存取的30,266臺伺服器裡，有4,460臺存在40項已知漏洞，美國曝險的伺服器數量最多，有1,033臺，其次是日本的735臺。臺灣則有188臺曝露相關漏洞。</p> <p>研究人員指出，開發商Ivanti從2018年至2021年發布的資安通告裡，SA44784的問題最為嚴重，有1,841臺主機曝露相關漏洞，其中最嚴重的是身分驗證繞過漏洞CVE-2021-22893，攻擊者一旦利用，就有機會從遠端執行程式碼。</p> <h3><a href="https://blog.talosintelligence.com/breaking-the-silence-recent-truebot-activity/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體TrueBot藉由Netwrix Auditor漏洞與蠕蟲Raspberry Robin植入受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/raspberry-robin-truebot-new.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/raspberry-robin-truebot-new.png" style="width: 300px; float: right;" /></a>思科發現近期惡意軟體TrueBot的攻擊行動升溫，俄羅斯駭客組織Silence將其用於針對美國、墨西哥、巴西、巴基斯坦而來，最終目的是竊取機密資料，或是執行勒索軟體Clop。研究人員今年8月發現駭客的活動，他們利用資產管理工具Netwrix Auditor的RCE漏洞CVE-2022-31199，之後透過UAVRServer.exe處理程序觸發Bitsadmin，下載TrueBot並於受害電腦執行。</p> <p>到了10月，這些駭客擴大攻擊規模，改以蠕蟲程式Raspberry Robin做為TrueBot散布的途徑，進而形成了兩個TrueBot殭屍網路──前者由上千台電腦組成，這些電腦大多位於墨西哥、巴西、巴基斯坦，後者多半是Windows伺服器，且約有75%在美國。</p> <h3><a href="https://blog.jscrambler.com/defcon-skimming-a-new-batch-of-web-skimming-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾40個電商網站成Magecart攻擊行動的目標，起因是未移除已停止支援的外掛元件</span></strong></a></h3> <p>資安業者Jscrambler表示有人自2021年12月20日開始，接管了廢棄的網域，並將其用於Magecart攻擊行動，至少有40個電子商務網站受到影響（<a href="https://www.scmagazine.com/news/cybercrime/new-magecart-campaign-said-to-target-at-least-44-e-commerce-sites">新聞網站SC Magazine指出有超過44個</a>）。研究人員指出，被接管的網域曾代管JavaScript程式庫Cockpit（但該程式庫已於2014年12月停止發展），駭客找尋仍未移除該程式庫的網站下手，植入偽裝成Google Analytics的惡意程式碼，從中收集資料並傳送到位於俄羅斯的伺服器。</p> <p>研究人員提出警告，這些網站管理者未將已經停用的程式庫從網站刪除，而讓駭客有機可乘，主要原因還是大部分管理者難以管控網站的外掛元件所致。</p> <h3><a href="https://secureworks.com/blog/drokbk-malware-uses-github-as-dead-drop-resolver"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國組織遭伊朗駭客鎖定，透過GitHub散布惡意軟體Drokbk</span></strong></a></h3> <p>資安業者Secureworks揭露伊朗駭客組織Cobalt Mirage的攻擊行動，駭客運用名為Drokbk的惡意軟體，約自今年2月開始攻擊美國地方政府的網路，其入侵管道是運用兩個Log4Shell漏洞CVE-2021-44228、CVE-2021-45046，存取含有漏洞的VMware Horizon伺服器。</p> <p>研究人員指出，Drokbk為駭客提供了存取受害組織內部網路環境的管道，並具備如快速反向代理伺服器（FRP）、Ngrok等隧道工具（tunneling tool）功能，使得一般IT人員可能無法察覺該惡意軟體的行動。由於Drokbk會利用GitHub來尋找C2伺服器，因此，他們呼籲管理者，應檢查網路環境是否出現不尋常的GitHub API連線。</p> <h3><a href="https://www.skynews.com.au/australia-news/telstra-blames-database-misalignment-not-hacking-on-data-breach-after-details-of-132000-customers-publicly-exposed/news-story/846648046bf5cdfa711d0f2093de8ed1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲電信Telstra證實13萬用戶個資曝光，起因是配置不當</span></strong></a></h3> <p>根據澳洲新聞媒體Sky News於12月11日的報導，當地大型電信業者Telstra坦承因為資料庫配置不當，導致有13.2萬客戶的資料不慎遭到曝光，遭到公開的資料包含他們的姓名、地址、手機號碼。但為何會發生上述的資料庫配置不當的情況？該公司表示有待進一步調查。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researcher-discovers-multiple-zero-day-vulnerabilities/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露數款防毒軟體與EDR的零時差漏洞，一旦攻擊者利用就有機會破壞電腦資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture4.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach的研究人員於BlackHat Europe大會上，揭露數款防毒軟體與EDR系統的零時差漏洞，這些漏洞可被用於打造更具威力的資料破壞軟體（Wiper），而能夠讓攻擊者在沒有取得特殊權限的情況下，利用上述的端點防護系統，將目標電腦的大部分檔案抹除，甚至無法開機。</p> <p>上述存在相關漏洞的解決方案包含了Microsoft Defender for Endpoint（CVE-2022-37971）、趨勢科技Apex One（CVE-2022-45797）、Avast Antivirus與AVG Antivirus（CVE-2022-4173），以及SentinelOne的EDR解決方案（未發布CVE編號）。微軟、趨勢科技、Avast、AVG發布了更新程式修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-earn-989-750-for-63-zero-days-exploited-at-pwn2own-toronto/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員在漏洞挖掘大賽Pwn2Own Toronto 2022找出63個零時差漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/air-gapped-pcs-vulnerable-to-data-theft-via-power-supply-radiation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">隔離網路攻擊手法COVID-bit可在2公尺外透過電磁波竊取電腦資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-high-severity-ip-phone-bug-with-exploit-code/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科揭露IP電話高風險漏洞，恐導致RCE或DoS攻擊</span></span></strong></a></p> <p><a href="https://www.websiteplanet.com/blog/vevor-breach-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路商店Vevor資料庫配置不當，逾600 GB資料公開</span></span></strong></a></p> <p><a href="https://www.wired.com/story/sequoia-hr-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">人力資源及薪資系統業者Sequoia資料外洩</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154592">【2022年12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</a></strong></strong></strong></p> </div></div></div>
2022/12/12 17:06作者周峻佑https://www.ithome.com.tw/news/154667
Chrome擴充套件移植Manifest V3遇瓶頸，Google推延Manifest V2退場時程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在9月時宣布，Chrome僅支援Manifest V2到2023年6月，並在2023年1月正式啟動淘汰計畫，但是擴充套件社群回饋，在移植到Manifest V3的過程，發現有部分功能無法順利實作，因此現在官方暫緩在Chrome預發布頻道關閉Manifest V2，也先不更新Chrome線上應用商店徽章，直到問題解決。</p> <p>Chrome在2018年推出了瀏覽器擴充套件規格Manifest V3，Google提到，Manifest V3帶來更高的透明度和權限控制，會以更嚴格的協定限制擴充套件存取外部資源，能夠有效強化Chrome擴充套件的安全性。由於Chrome、Edge與Opera都是以Chromium為基礎的瀏覽器，有著極大的市場占有率，為了維持瀏覽器擴充套件中的相容性，因此Firefox和Safari也加入支援Manifest V3。</p> <p>Manifest V3從發表以來一直飽受批評，市場普遍認爲Google推出Manifest V3，名義上是要限制流氓擴充套件，但事實上則是要限制廣告封鎖軟體的運作。雖然有著許多反對聲音，但是Google仍然著手淘汰Manifest V2的政策，原本官方預定淘汰工作，會從2023年1月預計要發布的Chrome 112開始，Chrome將會在Canary、Dev和Beta頻道關閉Manifest V2擴充套件支援，並且自2023年6月的Chrome 115，實驗關閉包括穩定頻道中的Manifest V2支援。</p> <p>但是這項計畫現在不得不暫停，因為在開發人員從Manifest V2移植擴充套件至Manifest V3的過程，發現有一些不可克服的問題，特別是Service Worker無法使用DOM功能，還有目前Manifest V3對延長Service Worker生命周期限制過於嚴格，前者官方預計要使用Chrome 109添加的Offscreen Documents API來解決，而後者則目前還沒有解決辦法。</p> <p>由於目前Google還在尋求Manifest V2到Manifest V3完整移植解決方案，因此宣布推延了原訂2023年1月的實驗，另外，Google本來要在Chrome預發布頻道關閉Manifest V2的同時，在Chrome線上應用程式商店替支援Manifest V3擴充套件標上特色徽章，以突出顯示配合更新的擴充套件，而這項措施也跟著暫緩。</p> <p>Google提到，他們會進一步評估下游的進度，在2023年3月的時候更新淘汰時程，但是會確保在關閉Manifest V2前，提供開發人員足夠的時間更新和測試擴充套件。</p> </div></div></div>
2022/12/12 16:08作者李建興https://www.ithome.com.tw/news/154655
超過4,000個有漏洞的Pulse Connect主機曝露於網際網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://censys.io/pulse-connect-secure-a-view-from-the-internet/" target="_blank">安全專家發現</a>，有4,000多個連上網際網路的VPN軟體Pulse Connect存在至少一個漏洞，可能因此遭到網路攻擊，其中臺灣也有將近200臺主機曝險。</p> <p>Pulse Connect Secure是低成本的SSL VPN方案，而廣受遠端辦公室和行動用戶歡迎。但是陸續有安全專家在其伺服器軟體發現大大小小漏洞，還甚至曾導致惡意程式的實際濫用。2021年4月美國網路安全暨基礎架構安全管理署<a href="https://www.cisa.gov/uscert/ncas/alerts/aa21-110a" target="_blank">（CISA）曾揭露</a>利用Pulse Connect多項漏洞發動的攻擊行動，還曾導致原開發商Ivanti釋出修補程式。</p> <p>為了再次檢視Pulse Connect現有曝險狀況，安全廠商Censys於是搜尋Pulse Connect Secure網頁服務發出HTTP回應的URI，藉此找到了連上網際網路的Pulse Connect Secure有30,266臺主機。</p> <p>而在這些主機中，Censys安全研究人員發現有4,460臺主機執行的軟體，存在7大安全公告指涉將近40項漏洞。這些安全公告年份從2018到2021年。其中以2021年4月的<a href="https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784" target="_blank">SA44784</a>問題最嚴重。雖然這4,500臺主機中，僅1,841臺主機受影響，但這安全公告4項漏洞中有3項為重大，包括<a href="https://www.ithome.com.tw/news/143971" target="_blank">CVE-2021-22893</a>，它屬於驗證繞過漏洞，可讓攻擊者在Pulse Connect上執行遠端程式碼。即使到了今年還是<a href="https://www.ithome.com.tw/news/151359" target="_blank">名列CISA駭客濫用攻擊的已知漏洞</a>之一。</p> <p>安全廠商發現連網的有漏洞Pulse Connect主機所在國家中，以美國最多，在8,575臺主機中有1,033臺有漏洞。其次是日本，占3,016臺中的735臺。臺灣也有895臺Pulse Connect主機連網，當中有188臺有漏洞。</p> <p>研究人員也分析，有些Pulse Connect版本完全沒有安全公告指涉的漏洞。4,500臺連網主機中安裝最多的版本是9.1.14.18105（9.1R14），其次是9.1.15.18393（9.1R15），分別有達3,000多臺及2,300多臺主機。</p> <p>而現在在網路上有漏洞的Pulse Connect版本以執行主機數量排序分別是9.1.11.12319、9.1.11.13127、9.1.9.9701、9.1.8.8511、9.0.5.64107、9.1.11.12173、9.1.4.4763版本，數量各在100餘到800餘臺之間。</p> </div></div></div>
2022/12/12 12:35作者林妍溱https://www.ithome.com.tw/news/154653
GitHub推出GitHub Copilot for Business，每個授權19美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-12-07-github-copilot-is-generally-available-for-businesses/" target="_blank">GitHub上周推出</a>AI程式碼工具商用版GitHub Copilot for Business，提供彈性的授權管理功能，以及泛組織的政策控制，每名使用者的每月費用為19美元。</p> <p>GitHub Copilot是由AI充當開發者的結對工程師，<a href="https://www.ithome.com.tw/news/151548" target="_blank">自今年6月正式上線以來</a>，已有超過100萬名開發者訂閱該服務，宣稱最多有40%的程式碼是來自GitHub Copilot，也讓開發者寫程式的速度快了55%。</p> <p>GitHub Copilot for Business所提供的授權管理功能可讓管理員針對不同的組織、團隊或成員啟用GitHub Copilot 服務；政策管理功能主要是用來限制GitHub Copilot能否依據公共程式碼來提出建議，看似為了避免著作權爭議。此外，GitHub也強調該服務將不會保留、儲存或分享程式碼。</p> <p>迄今GitHub Copilot用戶的回饋包括軟體建置變快了，減少搜尋資料的時間，以新方法來解決問題，以及加快測試速度等。</p> <p>即使GitHub Copilot令不少開發者躍躍欲試，<a href="https://www.ithome.com.tw/news/154076" target="_blank">但它上線不到半年就面臨了集體訴訟</a>，美國律師事務所Joseph Saveri指出，GitHub Copilot忽略、違反或移除至少數十萬開發者所提供的授權，以前所未見的規模進行盜版，不僅自原告的大量材料中輸出文字，也在產出的程式碼中剝奪程式碼的歸屬、版權聲明與授權，違反了著作權法，因而向微軟、GitHub與OpenAI求償90億美元。</p> </div></div></div>
2022/12/12 12:50作者陳曉莉https://www.ithome.com.tw/news/154654
Tiktok遭美2州禁止
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國2州政府上周以資料安全為由，分別以頒發禁令及提出控訴禁止短影片社群App Tiktok。</p> <p><a href="https://gov.texas.gov/uploads/files/press/Patrick_Phelan_Letter.pdf" target="_blank">德州上周三發布Tiktok的禁用命令</a>，理由是它從用戶裝置上蒐集了大量上網時間、地點，以及上網行為的資料，並將這些可能涉及敏感的資訊提供給中國政府。德州州長Greg Abbott指出，隷屬於字節跳動（ByteDance）公司的Tiktok聘用中國共產黨黨員，其子公司部份由中國共產黨持有。雖然Tiktok宣稱美國用戶的資料都儲存在美國，但該公司坦承中國員工可能存取美國資料，並有報導指出字節跳動計畫利用Tiktok的地點資訊來監控美國公民。</p> <p>此外，德州認為，根據中國法令，所有中國企業都必須協助中國的情報工作，包括資料分享，且Tiktok的演算法也公然過濾中國共產黨認為敏感的主題，像是天安門。</p> <p>德州禁止所有州政府機構發派的裝置上安裝Tiktok，也要求該州安全局及情報局在明年1月15日前，規畫州政府員工個人設備的Tiktok相關使用規定，各州政府必須在2月中實行這些個人設備的Tiktok管理規範，並需獲得該州網路安全主管機關許可。</p> <p>另一方面，<a href="https://www.forbes.com/sites/tylerroush/2022/12/07/republicans-target-tiktok-indiana-files-lawsuits-citing-security-and-child-safety-violations/" target="_blank">印第安那州則對Tiktok提出控告</a>，理由是未說明中國政府可能存取該州民眾資料，以及違反兒童保護法。該州檢察長Todd Rokita指出，這家App誤導用戶，未清楚告知中國政府可能存取其用戶個資。</p> <p>此外，印第安那州指稱，Titkok上明顯可讓兒童用戶輕易取得毒品及色情相關內容，卻對讓其App在蘋果App Store及Google Play Store上架時，列為適合兒童使用的「12+」分級。該州除了向上級法院要求對Tiktok發出禁制令，也尋求以每宗違例5,000美元的民事罰金。</p> <p>這是繼<a href="https://www.npr.org/2022/11/17/1137155540/fbi-tiktok-national-security-concerns-china" target="_blank">美國聯邦調查局長Chris Wray上個月聲稱</a>Tiktok可能危害美國民眾的裝置安全後，最新2個州採取反制Tiktok的行動。<a href="https://www.reuters.com/legal/indiana-sues-tiktok-alleging-chinese-access-user-data-mature-content-exposure-2022-12-07/" target="_blank">馬里蘭州也在11月底頒布州政府裝置上對於Tiktok的禁令</a>。</p> </div></div></div>
2022/12/12 11:21作者林妍溱https://www.ithome.com.tw/news/154651
Amazon加入OIN聯盟，提供Linux社群免訴訟防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/opensource/amazon-joins-the-open-invention-network/" target="_blank">Amazon本周宣布</a>加入開放創新網路（Open Invention Network，OIN），為開源碼社群提供免於專利訴訟的保護。</p> <p>OIN是2005年11月由IBM、NEC、Novell、Philips、紅帽及Sony共同贊助成立，旨在確保開源碼社群安心使用軟體技術。OIN會員將自有特定專利技術和聯盟其他成員交互授權，使所有成員都能免權利金使用，成員也承諾不以專利權互告。<a href="https://www.ithome.com.tw/news/44738" target="_blank">Google</a>、甲骨文早在2007年就加入，<a href="https://www.ithome.com.tw/news/126366" target="_blank">微軟</a>也在2018年加入。OIN保護包含在其<a href="https://openinventionnetwork.com/linux-system/" target="_blank">Linux System</a>定義下的開源技術，迄今OIN社群授權清單已經有3,730項軟體套件。</p> <p>Amazon本身也是開源碼軟體的大用戶，AWS環境用了包括Linux等許多開源碼軟體，而其Kindle裝置及智慧喇叭Echo系列作業系統，也都是以Linux為核心。</p> <p>雖然宣布加入OIN，但AWS並未像Google或微軟說貢獻出多少項技術到OIN授權之下，AWS開源碼的投資主要在確保開源社群的存續，包括聘請專職開發人員及維護員從事上游（upstream）專案，及微調雲端執行的開源專案。AWS也提供雲端點數及資金給各個開源基金會，或贊助開源社群計畫。像是5月間宣布對開源安全基金會（Open Source Security Foundation，OpenSSF）三年1,000萬美元的贊助計畫，11月則對雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）贊助價值300萬美元的雲端點數和工程資源，以資助Kubernetes的基礎架構創新。</p> </div></div></div>
2022/12/12 12:00作者林妍溱https://www.ithome.com.tw/news/154652
【資安週報】2022年12月5日到12月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>其他值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154560"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月5日】雲端服務業者代管的Exchange伺服器中斷運作、三菱電機PLC設備出現帳密保護不足弱點</span></strong></a></h3> <p>研究人員在9月底揭露Exchange重大漏洞ProxyNotShell，如今很可能變成駭客攻擊雲端業者代管的Exchange郵件伺服器管道！雲端服務業者Rackspace證實代管的Exchange本月2日因資安事故而中斷運作，有研究人員認為有可能是Exchange曝露上述漏洞而被鎖定。</p> <p>我們過往報導廠商用於簽章軟體的憑證遭到濫用，大多發生在電腦的惡意軟體，但如今也有手機惡意軟體盜用類似的簽章──三星、LG、聯發科等廠商用於簽章安卓ROM映像檔的憑證，傳出遭到濫用的情況。</p> <p>三菱電機的工控設備被發現多項弱點，存在於可程式化邏輯控制器（PLC），原因是帳密保護不足。情況嚴重使得美國CISA發出警告，而修補程式尚在製作當中。</p> <h3><a href="https://www.ithome.com.tw/news/154575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月6日】American Megatrends的BMC漏洞波及逾15個廠牌的伺服器、電信業者與業務流程外包公司遭鎖定</span></strong></a></h3> <p>又有基版管理控制器（BMC）出現重大漏洞，而使得被控管的伺服器曝露危險。但值得留意的是，這次被發現漏洞的BMC系統MegaRAC，被用於至少15個廠牌的伺服器上，導致這些漏洞的影響範圍變得相當廣泛。</p> <p>駭客鎖定電信業者與業務流程外包公司發動攻擊，竟是為了進行SIM卡挾持（SIM Swapping）攻擊做準備！資安業者CrowdStrike揭露駭客組織Scattered Spider的攻擊行動，這些事故的入侵手法不盡相同，但目的都是為了從電信公司偷取相關資料。</p> <p>我們之前報導針對Windows電腦的自帶驅動程式（BYOD）攻擊手法，如今類似的手段駭客也拿來攻擊Linux電腦！研究人員揭露駭客攜帶PRoot工具的攻擊行動，目的是將目標擴及多個版本的Linux。</p> <h3><a href="https://www.ithome.com.tw/news/154592"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月7日】雲端服務業者Rackspace證實遭勒索軟體攻擊、Ping軟體元件漏洞恐讓駭客遠端挾持FreeBSD系統</span></strong></a></h3> <p>有雲端服務業者代管的Exchange伺服器傳出含有ProxyNotShell而遭到攻擊，現在該業者揭露初步的調查結果，表示他們遭遇勒索軟體攻擊，但不影響代管Exchange伺服器以外的業務。</p> <p>美國針對中小企業與民眾提供的COVID-19救濟金，近期傳出該國政府發現中國駭客APT41參與盜取相關補助的攻擊行動。但這樣的情況並非首例──2020年<a href="https://www.ithome.com.tw/news/137769">奈及利亞詐騙集團Scattered Canary就企圖向該國州政府詐領失業補助</a>。</p> <p>FreeBSD開發團隊近日修補Ping元件的漏洞，並呼籲使用者應儘速修補，原因是該漏洞有可能讓攻擊者挾持整個FreeBSD作業系統。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154610"><strong><span style="color: rgb(0, 0, 0);">【12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</span></strong></a></strong></p> <p>殭屍網路病毒鎖定連網設備的漏洞發動攻擊頻傳，近期資安業者發現的殭屍網路病毒Zerobot也是如此，鎖定Zyxel、D-Link、TP-Link等廠牌的物聯網裝置而來，但除此之外，該惡意軟體也將Java框架Spring、資料庫管理系統phpMyAdmin納為目標。</p> <p>已鮮少用戶使用的IE瀏覽器近期也被駭客盯上，利用其零時差漏洞發動攻擊。值得留意的是，駭客是透過Office辦公室軟體呼叫此瀏覽器元件，即便使用者沒有使用IE也有可能會曝險。</p> <p>烏克蘭戰爭成為駭客用於釣魚攻擊的幌子可說是相當常見，中國駭客Mustang Panda也運用這樣的時事來散布惡意軟體，研究人員認為這起攻擊行動的手法與過往相當雷同，但駭客進行了細部調整企圖規避偵測。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154640"><strong><span style="color: rgb(0, 0, 0);">【12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</span></strong></a></strong></strong></p> <p>俄羅斯駭客針對歐美國防產業發動攻擊的情況又添一樁！威脅情報業者Recorded Future揭露美國軍火供應商Global Ordnance的釣魚網站攻擊行動，值得留意的是，英國、波蘭的武器供應商也可能受害。</p> <p>伊朗駭客利用合法的遠端管理工具Syncro來發動攻擊也值得留意，用戶難以從收到的郵件與附加檔案察覺有異，因為駭客寄信的電子郵件信箱看起來正常，使得收信人容易降低警覺，而照著信中的指示操作。</p> <p>攻擊者竄改合法的應用程式安裝程式來挾帶惡意軟體的手法，現在也有專門的封裝服務出現！研究人員揭露名為Zombinder的惡意軟體封裝平臺，駭客利用這種平臺來散布Windows與Android的惡意程式，已有數千個受害者。</p> </div></div></div>
2022/12/12 09:36作者羅正漢https://www.ithome.com.tw/news/154644
CyberSheath調查美國國防供應商CMMC合規，不到3成承包商通過國防部驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為確保國家機敏資料安全性,美國國防部2020年1月發布網路安全成熟度模型認證(CMMC)1.0，2021年11月公布CMMC 2.0版草案，預計在2023年3月至5月,推出CMMC 2.0正式版草案，而在2026年財年（9月30日）之後，美國所有打算成為國防部的供應鏈業者，都必須符合CMMC 2.0的規範。</p> <p>CMMC 2.0是以國防採購為核心的規範，相關的供應鏈業者，包含超過30萬家美國國防工業基地（Defense IndustrialBase，DIB）及其供應鏈業者，都必須遵守國防聯邦採購補充條例（DFARS）的法律規定，相關的資安作為也須符合NIST SP 800-171等相關規定。</p> <p>美國國防部服務供應商CyberSheath為此也委託美林研究機構（Merrill Research）對美國國防供應鏈業者DIB進行調查，並以此發表《國防工業基地（DIB）網路安全成熟度狀況統計報告》。根據這份受訪達300家業者的調查結果，有71％的主要承包商、64％的分包商表示，已通過NIST SP 800-171的自評階段；其他則有29％承包商、36％的分包商表示，通過美國國防部主導的驗證階段。</p> <p>這個調查顯示，多達88％的美國國防供應鏈業者（DIB）因為網路攻擊遭到損失，其中，62％遭到金錢損失，58％遭到營運損失，另外也有51％遭到商譽損失。</p> <p>這些供應鏈業者最常採用的資安方案，以DLP（33％）最高，其次為SIEM（30％）、變更管理（30％）以及組態管理（30％）。</p> <h2><strong>有7成DIB符合自評標準，但相關安全控制措施不合格</strong></h2> <p>目前美國國防供應鏈第一級承包商和第二、三級分包商，都必須遵守美國國防聯邦採購補充條例（DFARS）的規定，其中，也針對相關資訊流的防護，必須合乎美國NIST SP 800-171的作法要求。</p> <p>根據CyberSheath調查顯示，針對美國國防供應鏈DIB的網路安全成熟度評估，71％的主要承包商，符合NIST SP 800-171的自評階段，第二、三級分包商，也有64％完成自評。</p> <p>但如果是美國國防部主導的NIST SP 800-171驗證階段，符合相關規定的承包商有29％，分包商則有36％。顯而易見，供應商要達到自評標準相對容易，而通過美國國防部的驗證難度較高。</p> <p>因為所有國防供應鏈業者都必須做到DFARS的合約規定，其中，供應鏈業者也有義務必須完成幾項作為，包括：撰寫系統安全計畫（SSP）、制定行動計畫和里程碑（PoAM）、進行供應商風險績效系統（SPRS）評分、進行年度資安事件應變演習、進行年度DFARS合約評估，以及評估引進相關軟體以達成合約規定。</p> <p>其中，高達6成的供應鏈業者。都已經做到撰寫系統安全計畫（SSP），其次則有超過5成（53％）的業者，會制定行動計畫和里程碑（PoAM），而有超過4成（46％）的業者，會進行供應商風險績效系統（SPRS）評分。</p> <p>這個供應商風險績效系統（SPRS）評分，是非常重要的機制，若組織滿足NIST SP 800-171總計110項控制措施，就可以拿到最高分110分；但是，如果不執行任何控制措施的話，得分最低為-203分（負203分）。</p> <p>根據該份調查的結果指出，國防供應鏈業者DIB的平均分數為-23分（負23分），其中一級承包商平均分數為-25分（負25分），二三級分包商為-9分（負9分），只有13％的受訪者表示，他們的供應商風險績效系統（SPRS）為70分以上。顯見，國防供應鏈業者的違規行為，如今已經直接危及國家安全層面。</p> <h2><strong>近9成國防供應鏈業者遭網路攻擊造成損失</strong></h2> <p>根據該份調查指出,將近9成（88％）的國防供應鏈業者，曾經遭到網路攻擊，並且造成損失。當中可以將損失分成三類來看：有60％供應商承受金錢損失，58％供應商遭到營運損失，另外有51％供應商面臨商譽損失。</p> <p>其中，若再區分第一級承包商和第二三級分包商的損失，62％承包商、53％分包商，面臨了金錢損失；58％承包商和58％分包商面臨營運損失；55％承包商和50％分包商的信譽受到毀損。</p> <p>也因為網路攻擊造成國防供應鏈業者極大的損失，該份調查也顯示，不管是承包商或是分包商，投保資安保險的比例高達97％，因此，對於相關業者而言，資安保險已經是一個很成熟的風險轉嫁工具。</p> <h2><strong>確保資訊流安全，超過3成業者導入DLP方案</strong></h2> <p>國防供應鏈業者的資安規範，主要都是確保CUI（受控非機密資料）以及FCI（聯邦機密資訊）的資訊流安全性，所以，根據該份調查顯示，DLP（Data Loss Prevention，資料外洩防護）解決方案，是最受相關業者青睞的解決方案，因為有多達33％的廠商導入DLP。</p> <p>由於企業內有許多不同的資安設備，要做到整合相關設備的記錄檔（Log），透過各種即時識別和分析的技術，可以找到企業內部的網路異常行為，而目前有30％的國防供應鏈業者都已部署了SIEM（資安事件管理系統）。</p> <p>所有系統的變更都可能對系統造成危害，所有的系統變更從協調過程到是否被批准，都要記錄在案，同時，也必須監控所有變更過程，才可以確保對系統的安全性，如果沒有需要變更，也不需要提交變更的請求。而根據該份調查來看，有30％的國防供應鏈業者，都已經導入變更管理系統（IT Change Management）。</p> <p>另外，有許多資安事件的發生，都是因為組態設定不當所造成的，因此，也有30％的國防供應鏈業者也導入組態管理系統，希望可以降低錯誤設定帶來的資安威脅。</p> <p>在現有的資安解決方案選項中，業者採用的比例大概為1成5到3成之間，未看到特別普遍的資安解決方案。面對這樣的狀況，也須思考國防供應鏈業者是否部署應有的解決方案，進而確保資訊安全,此種狀態值得持續關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A1%E7%94%A8%E7%9A%84%E8%B3%87%E5%AE%89%E6%96%B9%E6%A1%88.jpg" style="width: 821px; height: 760px;" /></p> <h2><strong>國防供應鏈業者要符合DFARS規定困難多</strong></h2> <p>相關的國防供應鏈業者要符合DFARS的規定，其實面臨許多困難和挑戰，像是有42％的業者就必須先了解，DFARS對業者有哪些必須遵循的要求以及規定；再者，有42％的業者，不理解DFARS相關的法律措詞代表意義；也有40％的業者的困難在於，不知DFARS相關規定對企業帶來哪些改變；也有38％的業者，對於要提交哪些文件報告，以及後續稽核可以獲得哪些支援，而感到困難；最後則有36％的業者，對於定期通報感到困擾。</p> <p>雖然從這份調查可以清楚看到整個國防供應鏈業者狀態，不管是符合DFARS的規定比例，或者是遭網路攻擊造成的各種損失，但這些現象都意味著，DIB的網路安全狀況令人擔憂。</p> <p>但其中，也有50％承包商認為，DFARS的改進對於整體國家安全有重大影響。而美國國防部基於DFARS要求而對確保網路安全制定的CMMC 2.0，就是希望透過CMMC相關政策和程序，可以讓相關的國防供應鏈業者DIB，不管是第一級承包商，或是第二、三級分包商，都可以藉此進一步提升網路安全。</p> </div></div></div>
2022/12/12 10:15作者黃彥棻https://www.ithome.com.tw/news/154645
優先聚焦數據治理，Line資料平臺和AI架構再次大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年3月，Line和Yahoo!Japan（雅虎日本）母公司Z控股整併之後，各界就高度關注通訊平臺巨頭和電商巨頭合併後將如何激發出新的火花。</p> <p>Z控股訂下的首要戰略目標是優先加強數據治理。這是因為，成為一家世界級AI科技公司，是整併後雙方的共同戰略目標，而高品質的可用資料正是邁向這個願景的關鍵基礎工程。尤其，Line日本用戶、雅虎日本用戶和PayPay三大生態系整併後，用戶數達到2億人規模。如何支撐新的超大規模生態圈，從今年11月剛結束的Line與雅虎日本首次聯合技術會中，可以觀察到，資料科技和AI技術是關鍵。</p> <p>擅長社交平臺，擁有海外多國發展經驗的Line，和擁有深厚電商、零售與金融產業布局的雅虎日本，在年會中展現出各自不同的技術發展重心，卻又可以互補。Line聚焦於發展平臺式的戰略型技術架構，尤其在AI架構和資料科技平臺，及區塊鏈架構上，而雅虎日本則聚焦在擴大AI應用和產業AI實踐等。前者聚焦強化AI技術體質和未來性，後者則聚焦擴大產業AI版圖和業務廣度。</p> <p>Line目前全球每月約2億用戶使用，累積了大量的用戶和行為資料，因此早在2019年，Line啟用了一個自助式的超大規模資料平臺IU（Information Universe），後來，2020年時，又進一步在IU上發展出了一層機器學習平臺MLU（Machine Learning Universe），用來支援多項跨服務共用的大型ML模型叢集，包括NLP模型、電腦視覺模型、推薦模型、廣告優化模型。</p> <p>目前IU支援了Line內部超過200項服務，儲存了400PB的HDFS資料，超過4萬個Hive表格，每天要執行15萬個任務。Line技術長Tomohiro Ikebe指出：「龐大資料不只是很大的儲存挑戰，利用時也是很大的挑戰。」</p> <p><span style="font-size:28px;"><strong>IU資料平臺新變革，打造資料血統功能將資料變動過程視覺化</strong></span></p> <p>在年會中，Tomohiro Ikebe 首度揭露了後續IU上進一步打造的網頁式資料目錄服務，也就是IU Web入口網站。</p> <p>在這個IU Web上，提供了多項自動化機制，例如後設資料搜集機制、Data profiling機制、可輔助法遵需求的資料驗證工具。另外，IU也引進了Apache Iceberg資料湖技術，並將串流大數據分析平臺Spark升級到3.2版。</p> <p>IU Web最重要的新功能則是2021年11月新上線的Data Lineage （資料血統）功能。Tomohiro Ikebe解釋，隨著IU上的資料流程越來越複雜，一旦發生問題，想要找出資料間的關係，越來越困難。要解決這個問題就需要資料血統機制。</p> <p>資料血統機制可以用來追蹤特定資料從建立後到現在的發展路徑，在瀏覽器上透過圖表來呈現資料變動的過程。</p> <p>Line資料平臺部門資深產品經理宇田川直人表示，這個內部資料目錄提供了一站式的入口，來涵蓋所有的資料活動，來提高包括搜尋資料，存取控制，後設資料管理和探索性資料分析等資料利用的效率。</p> <p>不過，要打造這樣的資料目錄有兩大挑戰，一是得搜集所有資料集的後設資料，第二是如何呈現這些後設資料的關聯。Line使用了開源的目錄服務專案Apache Atlas來串接各種不同資料源，搜集資料後設資料來了解異動狀況，並將資料每一次的變化過程用視覺化的方式呈現，這就是資料血統的機制。資料血統圖上的每一個節點，可以列出這個節點相關的資料表簡介、時間戳、表格關係、PII(涉及個資），資料擁有者，使用單位，還有從這份資料產生的相關報表、使用者清單和各種連結等。</p> <p>可是，IU上有4萬個Hive表格，每天要執行15萬個任務，每一個任務和每一個表格都是一個資料血統圖上的節點，要追溯出從建立到目前的所有變化和關聯，就會產生非常複雜和龐大的節點關聯圖，。</p> <p>為了改善資料血統圖的可讀性，Line採取了多項設計機制來簡化資料血統圖的複雜性。Line利用Atlas串接了HIve伺服器和Spark，利用Atlas的通知機制，採取推播更新後設資料的做法。不過，因為IU上執行的任務每天多達十幾萬個，幾分鐘內的資料表異動也多達數百次。因此，Line透過Kafka彙整來自Atlas的通知，以30分鐘為最小追蹤單位，排除掉30分鐘內的異動，例如操作錯誤的資料庫反覆新增或刪指令，大幅減少了90%異動通知。再進一步比較異動模式，過濾掉對使用者沒有意義的DDL語法異動資訊，更大幅減少了95%的雜訊。</p> <p>不只如此，Line在資料血統資料庫中，排除了不重要的資料節點的註冊，這更大幅減少了9成節點數，也刪除了3萬個不需要的任務。透過這些一層又一層的過濾和篩選，才讓Line資料目錄IU Web上提供的資料血統，要處理的複雜度降低，甚至可以進一步展開到以欄位為節點單位的關聯分析圖。</p> <p>Line更提供了一個互動式的介面，預設可以展開一項資料從出生到現在的血統脈絡。</p> <p>資料血統功能在2021年11月上線，統計到2022年5月，有79個服務和部門使用這項功能，每天用於ETL、資料管理和資料科學分析等功能，特別是Data ETL團隊可以更容易確認資料表維護的範圍，尤其要執行資料表刪除或異動時能更放心。更有不少使用者每天常用資料血統來調查各種資料錯誤的根本原因</p> <p>「可以掌握資料間的關聯，就可以很容易知道如何管理龐大資料，來提高再利用效率，更可以在安全和治理的角度下，來使用這些資料。」Tomohiro Ikebe表示。不只用於IU，在MLU平臺上，也可以利用相同的血統技術，來追蹤一個模型用了哪些資料來訓練，以及在訓練中如何使用這些資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A21-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>IU Web的資料血統功能，可以呈現一項資料從出生到現在的資料異動脈絡也就是資料血統，預設展開三層重要的節點，使用者可以自行放大或縮小畫面，也可以針對任何一個資料欄位，再進一步展開下三層的資料血統關聯圖。</strong><span style="font-size:14px;">圖片來源／Line</span></span></p> <p><span style="font-size:28px;"><strong>Line機器學習平臺MLU引進聯合學習新架構</strong></span></p> <p>不只IU資料平臺展開大變革，Line的機器學習平臺MLU也採用了全新的訓練架構和模式。Tomohiro Ikebe表示，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習（Federated Learning）和差分隱私（Differential Privacy）。」</p> <p>透過聯合學習機制，在用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。</p> <p>雅虎日本技術長小久保雅彦指出，兩家公司共同累積了龐大用戶和爆量數據，而且只會加速增加。為了持續成長，必須解決多項技術挑戰，像是得打造一套靈活平臺，回應快速暴增的流量和資料。也得擴大甚至加速導入先進AI技術。還要打造資安和隱私保護的可靠性架構來建立信任。</p> <p>這三大挑戰，也正是Line資料平臺和AI架構新變革要解決的課題。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154629
【AI技術再進化：聯合學習】混用聯合學習強化推薦，上億用戶人人專屬推薦清單全都不一樣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>貼圖是Line最成功的商業模式，推出10年來，光在臺灣的貼圖創作者高達65萬人，上架了8百多萬組貼圖，在日本更高，超過千萬組貼圖，但要從海量貼圖中，找出使用者想用的推薦清單，Line有一套利用使用者歷史紀錄訓練的推薦機器學習模型，可以針對不同使用族群提供統一的貼圖推薦清單。</p> <p>但是，Line的企圖不只如此，甚至想要更近一步貼近上億用戶每一個人各自的喜好，來提供推薦。Line技術長Tomohiro Ikebe指出，今年秋天，Line在貼圖推薦導入了一套新的機器學習訓練架構，「可以處理爆量特徵來建立模型，又能兼顧隱私和用戶便利性，就是聯合學習和差分隱私。」</p> <p>為了進一步了解用戶喜好，不只要參考購買記錄，甚至需了解用戶瀏覽貼出和發送貼圖的歷史，「但從隱私角度，得非常小心處理這類資料。」他說。</p> <p>透過聯合學習（Federated Learning）機制，可以用戶本地端App上完成模型訓練，並利用差分隱私（Differential Privacy）架構，將模型加上雜訊來避免從模型回推原始資料，再將沒有用戶資料的特徵模型，回傳到後端伺服器來更新整體推薦模型後，再分派新模型到用戶App上，利用本地端Log來產生更個人化的推薦順序。「這個方式可以在資料使用過程中，保護用戶隱私。」Tomohiro Ikebe強調。</p> <p>Line機器學習平臺部門產品經理菊地悠更透露，實測後發現，結合聯合學習來提供超級個人化的推薦，可以提高5.6%的貼圖下載率。</p> <p>機器學習訓練，可以可以分成三種模式，第一種最常見的ML模式是伺服器端機器學習，在伺服器端完成ML訓練和推論，例如推薦模型，先在伺服器端完成模型訓練，產生推薦清單，再將清單送到App端點提供給用戶，搜集在端點搜集經過同意的使用Log後，回傳到伺服器，展開再次的模型訓練。</p> <p>第二種則是裝置端推論模式。這個做法同樣在伺服器端進行模型訓練，但是將訓練好的模型派送到用戶端來，利用端點用戶資料來推論，好處是不用將用戶端資料回傳，但所有用戶都使用同樣的推論模型。</p> <p>第三模式則是新崛起的聯合學習模式。在這個模式下，採取分段訓練的方式，先在用戶端進行模型訓練，常見是隨機挑選部分用戶或特定裝置來參與模型訓練，並將各裝置上的本地端模型上傳到後端伺服器，然後才在後端整併所有的本地端模型，產生最後的整體模型，再將整體模型派送到用戶端。</p> <p>Line在今年秋天開始嘗試聯合學習，第一個導入聯合學習的應用就是貼圖訂閱帳號的推薦功能。貼圖訂閱帳號在臺灣就是貼圖超值方案，每月繳交小額費用，可以長期使用500萬組貼圖，不用一一購買不同的貼圖組。</p> <p>訂閱戶在對話框要選擇貼圖時，Line會提供貼圖推薦功能，一種是來自使用者自行下載的貼圖，還有一種推薦是來自系統自動產生的推薦清單，使用者只要輸入前幾個字，就會快速篩選出這幾個字所要挑選的貼圖，再列出來讓用戶挑選，送出到對話中。Line就是在系統產生的推薦貼圖功能導入了聯合學習。</p> <p>不過，不只用聯合學習，「推薦推圖運用了上述三種機器學習模式，分兩階段產生推薦。」Line機器學習平臺部門產品經理菊地悠表示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 380px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Line在今年秋天開始嘗試聯合學習，第一個導入的聯合學習應用就是貼圖訂閱帳號的推薦功能開始嘗試，每一個人的推薦清單排序都不一樣，能夠根據用戶個人過去使用習慣和個人偏好來優化。</strong>圖片來源／Line</span></p> <p><span style="font-size:28px;"><strong>結合聯合學習，兩階段產生超級個人化推薦清單</strong></span></p> <p>第一階段是產生初始候選推薦清單，採取的就是伺服器端機器學習訓練模式，利用歷史紀錄，例如熱門購買紀錄、下載量，再依據不同使用者的特徵屬性來區分出上千個用戶群，對每一種使用者族群建立一個推薦模型，來產生這一群用戶共用的貼圖推薦名單，這就是第一階段在伺服器端產生的候選名單。大約是從1千萬組貼圖中，選出100組候選名單。</p> <p>接著進入第二階段個人化重新排序，這也是本地端聯合學習階段，這又分成兩個部分，推論和訓練。在本地端推論上，依據用戶特性，將這名用戶所屬小組的伺服器端推薦名單下載到App上，在用戶端進行本地端推薦模型的推論，輸入這名用戶的個人特徵向量和物件特徵向量（利用輸入關鍵字來產生），來進行推論，來重新排序所下載的候選貼圖推薦清單。</p> <p>用戶輸入想搜尋的貼圖關鍵字時，每輸入一個字，就會重新產生一個新的物件特徵向量，可以用來重新執行一次推論，產生新的推薦分數，作為重新排序之用。如此一來，就會產生一份更貼近這名用戶喜好的個人化推薦順序，將他可能更想用的貼圖，列在前面，來提高使用率。</p> <p>不只是本地端推論，Line也在本地端進行模型訓練，利用了用戶在裝置上的過去瀏覽紀錄和使用紀錄，在裝置端重新訓練出一個更貼近這名用戶偏好的本地端模型，並利用這個模型來進行本地端推薦分數的再計算，更進一步讓推薦清單，可以貼近這名用戶自己過去的使用習慣。最後再將這個模型回傳到伺服器端整併，完成聯合學習的訓練。</p> <p>不過，要在本地端實現聯合學習的模型訓練，得克服2大挑戰。</p> <p>第一是必須能支援不同類型裝置和環境各自的ML訓練環境，包括伺服器端和App端，其次是要能確保隱私，上傳資料不能帶有用戶個資，也要避免模型遭駭而外流原始資料，這正是Line在聯合學習模式再加上差分隱私演算法來回傳模型到後端伺服器的緣故。</p> <p>菊地悠表示， Line不只要在貼圖推薦使用聯合學習，未來也想導入其他服務，因此必須把聯合學習模式平臺化。</p> <p>負責打造Line聯合學習平臺（Line Federated Learning平臺，簡稱LFL平臺）的Line Plus工程團隊軟體工程師Hyukjae Jang更指出，本地端訓練的挑戰是，手機資源有限，任意訓練會占用資源而影響用戶體驗，因此，關鍵是要控制和管理多個FL模型的訓練。「不只提供通用功能，要建立一個平臺架構，才能支援不同類型的聯合學習。」</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%5D%201107-%E5%B0%81%E9%9D%A23-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Line.jpg" style="width: 600px;" /></span></p> <p><span style="color:#696969;"><strong>Line機器學習平臺本地端架構可以細分為三個部分，一個通用模組，應用模組和ML函式庫。區分通用模組和應用模組的原因，是為了日後可以支援多種應用各自的聯合學習訓練需求。</strong><span style="font-size:14px;">（圖片來源／Line）</span></span></p> <p><strong style="font-size: 28px;">三地兩國30人團隊打造LFL平臺</strong></p> <p>Line動員了東京、福岡和韓國三地的開發團隊，共30多名工程師協同開發，打造出這個LFL平臺，包括了伺服器端和本地端的架構。</p> <p>在這個LFL平臺上，從伺服器端模型儲存庫的模型，可以用來產生第一階段的候選推薦清單，下載到本地端App上。再依據使用者輸入的字，進行推薦分數的推論，來重新排序推薦清單。若本地端裝置處於閒置狀態，則會由本地端事件調度機制來驅動本地端的模型訓練，來更新本地端的模型，作為後續本地端推論之用，也會將模型上傳到伺服器端，經過模型整併機制，來產生新版的模型，再下載到用戶端，作為新的第一階段候選推薦模型之用。</p> <p>這個LFL平臺還提供延伸功能，在伺服器端則提供了模型儲存庫、版本控制、AB測試功能等，在本地端則有一套用ONNX格式打造的通用ML框架，可支援 iOS和Android，另外本地端還提供了背景ML訓練機制和排程機制，以及結合差分隱私處理的上傳機制。</p> <p>在本地端的聯合學習機制上，還可以細分為三個部分，一個通用模組，應用模組和ML函式庫。通用模組負責本地端的模型管理，如版本控制，模型下載上傳，模型更新等。而應用模組則可以針對不同應用，設定不同的聯合學習模型和用戶Log資料庫。「未來可以支援多種應用各自的聯合學習訓練需求，這是區分通用模組和應用模組的關鍵理由。」Hyukjae Jang透露。</p> <p>另外，要在裝置端執行聯合學習，必須要考慮電力、儲存空間和裝置待機狀態。Hyukjae Jang表示，LFL有三個啟動聯合學習訓練的原則，包括電力全滿、儲存空間足夠，還要等使用者沒有使用裝置的時間。尤其要利用裝置閒置時間來訓練，必須要設計背景執行機制。</p> <p>Line利用可以跨iOS和Android的Onyx runtime打造了一個只有1.2MB 大小的Yuki聯合學習SDK，稱為YFL，也可以支援資料科學家將TensorFlow或Pytorch訓練的模型，轉換成YFL能支援的輕量模型。函式庫中也支援利用高斯分布來計算的差分隱私機制。並且只用CPU背景服務，而不需要GPU。</p> <p>另外，還有一個抽樣機制會隨機抽樣挑選部分人上傳，也會限制上傳次數，避免過度干擾使用者。在背景執行訓練時，排程機制也會盡量利用晚上睡覺時間完成訓練，然後刪除Log資料。</p> <p>Hyukjae Jang更透露，不只貼圖，未來希望可以導入到更多不同類型的服務，包括聊天、音樂、電話、支付、新聞和影音服務上。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"> </a></span></span><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/154632" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/154632" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960zhu_tu_1107-feng_mian_1.jpg?itok=afeyVMk0" style="width: 550px;" /></a></p> </div></div></div>
2022/12/12 00:00作者王宏仁https://www.ithome.com.tw/news/154630